このトピックでは、IPsec 接続を使用して複数の CIDR ブロック間の通信を有効にするための構成推奨事項について説明し、マルチ CIDR ブロック通信に関するよくある質問（FAQ）を紹介します。
マルチ CIDR ブロック構成の推奨事項
IPsec 接続およびピアゲートウェイデバイスには、IKEv2 を使用することを推奨します。
説明ピアゲートウェイデバイスが IKEv2 をサポートしていない場合は、IPsec 接続およびピアゲートウェイデバイスに IKEv1 を使用できます。IKEv1 を使用する場合、IPsec 接続はローカル CIDR ブロック 1 つとピア CIDR ブロック 1 つのみをサポートします。「マルチ CIDR ブロック構成の推奨ソリューション」をご参照いただき、マルチ CIDR ブロック通信を有効にする接続を構成してください。
IPsec 接続のピアが Cisco や H3C などの従来型ベンダー製デバイスである場合、以下の構成推奨事項が適用されます。
Alibaba Cloud 側では、IPsec 接続の IKE 構成 フェーズおよび IPsec 構成 フェーズにおいて、それぞれ 暗号化アルゴリズム、認証アルゴリズム、および DH グループ (前方秘匿性 PFS) の各パラメーターに指定できる値は 1 つだけです。そのため、ピアゲートウェイデバイス側で VPN 構成を追加する際は、IKE 構成 フェーズおよび IPsec 構成 フェーズにおいて、暗号化アルゴリズム、認証アルゴリズム、および DH グループ (前方秘匿性 PFS)（PFS）の各パラメーターに指定できる値も 1 つだけであり、IPsec 接続側の値と一致している必要があります。
IPsec 接続で DPD が有効になっている場合は、ピアゲートウェイデバイス側で標準 DPD を構成してください。
IPsec 接続およびピアゲートウェイデバイスに構成されたセキュリティアソシエーション（SA）のライフタイムは、同一である必要があります。
ピアゲートウェイデバイスがトラフィックベースの SA ライフタイムをサポートしている場合は、その最大値に設定してください。一部のベンダー製品では、最大値として 0 バイトを設定できます。
マルチ CIDR ブロック構成の推奨ソリューション
オンプレミスデータセンターと Virtual Private Cloud（VPC）の間で IPsec 接続を使用してマルチ CIDR ブロック通信を有効にする場合、以下の構成ソリューションを推奨します。
ソリューション | サポートされる IKE バージョン | 説明 | メリットまたは制限事項 | 構成例 |
ソリューション 1（推奨） |
| オンプレミスデータセンターと VPC を接続するために IPsec 接続を 1 つ使用することを推奨します。IPsec 接続のルーティングモードを 宛先ルーティング に設定し、ピアゲートウェイデバイス側で保護対象データフローの送信元 CIDR ブロックを | メリット：
| |
ソリューション 2（代替案） |
| オンプレミスデータセンターと VPC を接続するために IPsec 接続を 1 つ使用することを推奨します。オンプレミスデータセンター側および VPC 側で通信対象の CIDR ブロックをそれぞれ 1 つの CIDR ブロックに集約し、その集約済み CIDR ブロックを IPsec 接続およびピアゲートウェイデバイスに構成します。 | 制限事項： CIDR ブロックを追加または削除する場合、集約済み CIDR ブロックを再指定し、IPsec 接続およびピアゲートウェイデバイスを再構成する必要があります。この操作により IPsec 接続が再ネゴシエートされ、一時的にトラフィックが中断されます。 | |
ソリューション 3 |
| オンプレミスデータセンターと VPC 間に複数の IPsec 接続を作成します。通信対象の CIDR ブロックのペアごとに 1 つの IPsec 接続を使用します。複数の IPsec 接続は以下の条件を満たす必要があります。
説明 VPN ゲートウェイインスタンス配下に複数の IPsec 接続が存在し、それらが同一のカスタマーゲートウェイに関連付けられており、かつ同一の IKE バージョンを使用している場合、これらの IPsec 接続は Phase 1 を共有します。 Phase 1 を共有する場合、すべての IPsec 接続の 事前共有鍵 および IKE 構成 フェーズのすべてのパラメーター（バージョン、ネゴシエーションモード、暗号化アルゴリズム、認証アルゴリズム、DH グループ (前方秘匿性 PFS)、および SA ライフサイクル (秒) を含む）は、すべて同一である必要があります。これにより、任意の IPsec 接続の IKE 構成 フェーズの構成が IPsec ネゴシエーション中に共有されることを保証します。 | 制限事項： 通信対象の CIDR ブロックを変更する必要がある場合、IPsec 接続およびピアゲートウェイデバイスの構成を変更する必要があります。この操作により IPsec 接続が再ネゴシエートされ、一時的にトラフィックが中断されます。 |
マルチ CIDR ブロック構成ソリューションの例
ソリューション 1 構成例
次の図は、VPC 内の複数の CIDR ブロック（10.1.1.0/24 および 10.1.2.0/24）が、オンプレミスデータセンター内の複数の CIDR ブロック（192.168.1.0/24 および 192.168.2.0/24）と通信する必要があるシナリオの例を示しています。推奨される構成は以下のとおりです。
Alibaba Cloud 側で IPsec 接続を構成する際は、IPsec 接続の ルーティングモード を 宛先ルーティングモード に設定します。詳細については、「IPsec 接続の作成」をご参照ください。
VPN ゲートウェイインスタンス配下でルート構成を追加する際は、ポリシーベースルートを使用し、関連するルート構成を追加することを推奨します。詳細については、「ポリシーベースルートの構成」をご参照ください。
オンプレミスゲートウェイデバイス側で、送信元 CIDR ブロックが 0.0.0.0/0、宛先 CIDR ブロックが 0.0.0.0/0 の保護対象データフローを追加します。具体的なコマンドについては、オンプレミスゲートウェイデバイスのベンダーにお問い合わせください。
ソリューション 2 構成例
例 1
次の図は、VPC 内の複数の CIDR ブロック（10.1.1.0/24 および 10.1.2.0/24）が、オンプレミスデータセンター内の複数の CIDR ブロック（192.168.1.0/24 および 192.168.2.0/24）と通信する必要があるシナリオの例を示しています。推奨される構成は以下のとおりです。
Alibaba Cloud 側で IPsec 接続を構成する際は、IPsec 接続の ルーティングモード を 保護対象データフローモード に設定します。IPsec 接続の ローカルネットワーク を VPC の集約済み CIDR ブロック 10.1.0.0/16 に設定し、リモートネットワーク をオンプレミスデータセンターの集約済み CIDR ブロック 192.168.0.0/16 に設定します。詳細については、「IPsec 接続の作成」をご参照ください。
IPsec 接続の ルーティングモード が 保護対象データフローモード に設定されている場合、システムは自動的に VPN ゲートウェイインスタンスの ポリシーベースルーティング 配下にポリシーベースルートを追加します。このルートの 送信元 CIDR ブロック は IPsec 接続の ローカルネットワーク であり、宛先 CIDR ブロック は IPsec 接続の リモートネットワーク です。ネクストホップは IPsec 接続となります。デフォルトでは、このポリシーベースルートは VPC に公開されません。
デフォルトのポリシーベースルートを使用する場合は、そのルートを VPC に公開する必要があります。カスタムポリシーベースルートを使用する場合は、システムが自動的に追加したポリシーベースルートを削除し、要件に応じてルートを再構成してください。詳細については、「ポリシーベースルートの構成」をご参照ください。
例 2
次の図は、VPC 内の複数の CIDR ブロック（10.1.1.0/24 および 10.1.2.0/24）が、オンプレミスデータセンター内の複数の CIDR ブロック（192.168.1.0/24 および 172.16.1.0/24）と通信する必要があるシナリオの例を示しています。推奨される構成は以下のとおりです。
Alibaba Cloud 側で IPsec 接続を構成する際は、IPsec 接続の ルーティングモード を 保護対象データフローモード に設定します。IPsec 接続の ローカルネットワーク を VPC の集約済み CIDR ブロック 10.1.0.0/16 に設定し、リモートネットワーク を 0.0.0.0/0 に設定します。詳細については、「IPsec 接続の作成」をご参照ください。
説明オンプレミスデータセンターの 2 つの CIDR ブロックは隣接しておらず、集約できません。このようなシナリオでは、IPsec 接続の リモートネットワーク を 0.0.0.0/0 に設定することを推奨します。
IPsec 接続の ルーティングモード が 保護対象データフローモード に設定されている場合、システムは自動的に VPN ゲートウェイインスタンスの ポリシーベースルーティング 配下にポリシーベースルートを追加します。このルートの 送信元 CIDR ブロック は IPsec 接続の ローカルネットワーク であり、宛先 CIDR ブロック は IPsec 接続の リモートネットワーク です。ネクストホップは IPsec 接続となります。デフォルトでは、このポリシーベースルートは VPC に公開されません。
ポリシーベースルーティング に 0.0.0.0/0 CIDR ブロックのルートを構成することは推奨されません。そのため、システムが自動的に追加したポリシーベースルートを削除し、より具体的なポリシーベースルートを追加することを推奨します。詳細については、「ポリシーベースルートの構成」をご参照ください。
ソリューション 3 構成例
次の図は、VPC 内の複数の CIDR ブロック（10.1.1.0/24 および 10.1.2.0/24）が、オンプレミスデータセンター内の複数の CIDR ブロック（192.168.1.0/24 および 172.16.1.0/24）と通信する必要があるシナリオの例を示しています。推奨される構成は以下のとおりです。
Alibaba Cloud 側で複数の IPsec 接続を作成します。各 IPsec 接続の ルーティングモード を 保護対象データフローモード に設定し、各 IPsec 接続に対して ローカルネットワーク 1 つと リモートネットワーク 1 つを構成します。詳細については、「IPsec 接続の作成」をご参照ください。
IPsec 接続の ルーティングモード が 保護対象データフローモード に設定されている場合、システムは自動的に VPN ゲートウェイインスタンスの ポリシーベースルーティング 配下にポリシーベースルートを追加します。このルートの 送信元 CIDR ブロック は IPsec 接続の ローカルネットワーク であり、宛先 CIDR ブロック は IPsec 接続の リモートネットワーク です。ネクストホップは IPsec 接続となります。デフォルトでは、このポリシーベースルートは VPC に公開されません。
システムが自動的に追加した 4 つのポリシーベースルートを VPC に公開する必要があります。詳細については、「ポリシーベースルートの構成」をご参照ください。
よくある質問
IPsec 接続のステータスが「Phase 2 ネゴシエーション成功」と表示されているにもかかわらず、マルチ CIDR ブロックのシナリオで一部の CIDR ブロックのみが通信可能で、他の CIDR ブロックが通信できないのはなぜですか？
原因
オンプレミスデータセンターと VPC 間の通信を IPsec 接続で有効にする際、VPN ゲートウェイが Cisco や H3C などの従来型ベンダー製デバイスに接続されており、IPsec 接続が 保護対象データフロー ルーティングモードで複数の CIDR ブロックを構成している場合、1 つの CIDR ブロックのみが通信可能となり、他の CIDR ブロックは通信できません。
この問題は、Alibaba Cloud の VPN ゲートウェイが Cisco や H3C などの従来型ベンダー製デバイスに接続されている際に、両端の IPsec プロトコル間に互換性の問題が生じることによって発生します。IPsec 接続に複数の CIDR ブロックを構成すると、Alibaba Cloud の VPN ゲートウェイは 1 つの SA を使用してピアゲートウェイデバイスとネゴシエートしますが、一方でピアゲートウェイデバイスは複数の CIDR ブロックを構成する際に複数の SA を使用して VPN ゲートウェイとネゴシエートします。
解決策
詳細については、「マルチ CIDR ブロック構成の推奨ソリューション」をご参照ください。
オンプレミスゲートウェイデバイスが IKEv2 をサポートしていない場合、マルチ CIDR ブロック通信を有効にするにはどうすればよいですか？
オンプレミスゲートウェイデバイスが IKEv2 をサポートしていない場合は、IPsec 接続およびオンプレミスゲートウェイデバイスに IKEv1 を使用できます。
IPsec 接続に IKEv1 を使用する場合、その IPsec 接続はローカル CIDR ブロック 1 つとピア CIDR ブロック 1 つのみをサポートします。「マルチ CIDR ブロック構成のソリューション」をご参照いただき、マルチ CIDR ブロック通信を有効にする接続を構成してください。