VPN Gateway:VPN ゲートウェイのよくある質問

クイックリンク

製品に関するお問い合わせ

• 非クロスボーダー接続とクロスボーダー接続とは

• VPN ゲートウェイを使用してインターネットにアクセスできますか。

• 異なるリージョンの VPC は VPN ゲートウェイを介して通信できますか。

• VPC 間のトラフィックはインターネットを経由しますか。

• ネットワーク ACL の設定方法

• VPN ゲートウェイの設定を変更 (アップグレード/ダウングレード) できますか。

• ゾーン間のトラフィック転送

• VPN 接続が購入した帯域幅に達しない理由

• VPN ゲートウェイは VPC とパブリック IP アドレス間のトラフィックを暗号化できますか。

• VPN ゲートウェイのパブリック IP に対するアクセス制御の実行方法

• VPN ゲートウェイはアカウント間の移行や VPC の変更をサポートしていますか。

• WireGuard プロトコルを使用してクラウドからオンプレミスデータベースにアクセスすることをサポートしていますか。

• VPN ゲートウェイの購入/課金方法

• IPsec-VPN / SSL-VPN を有効にするための設定プロセス

• VPN ゲートウェイの帯域幅/トラフィックモニタリングの確認方法

IPsec-VPN の機能

• 各 VPN ゲートウェイで作成できる IPsec 接続の数

• IPsec 接続の前提条件

• 互換性のあるオンプレミスゲートウェイ

• 1 つの IPsec 接続で複数のリモートネットワークを設定できますか。

• IPsec-VPN 帯域幅の増加

• IKE バージョンの選択

• ルートの競合の解決

• NAT との IPsec 接続

• ルートエントリのクォータ超過

• VPN 帯域幅が飽和状態または帯域幅使用率が高い場合に、上位の送信元 IP と宛先 IP を見つける方法

• VPN ゲートウェイのパブリック IP アドレスの種類は何ですか？

• シングルトンネルモードとデュアルトンネルモードの違い

• IPsec-VPN のセカンダリトンネルの削除方法

SSL-VPN の機能

• SSL クライアント接続情報の表示

• レガシーインスタンスでの SSL-VPN

• IPsec サーバと SSL サーバの比較

• 同じ優先度のセキュリティグループ ICMP ルールの競合による VPN 障害

非クロスボーダー接続とクロスボーダー接続とは

Alibaba Cloud VPN ゲートウェイは、中国の関連ポリシーおよび規制に準拠してサービスを提供しています。非クロスボーダー接続のみをサポートし、クロスボーダー接続はサポートしていません。VPN 接続を介してクロスボーダーリソースにアクセスする必要がある場合は、「VPN 接続を介してクロスボーダーリソースにアクセスする方法」をご参照ください。

VPN ゲートウェイを使用してインターネットにアクセスできますか。

いいえ。

VPN ゲートウェイは、VPC へのプライベートネットワークアクセスを提供します。インターネットアクセスは提供しません。

IPsec 接続の前提条件

• データセンターのゲートウェイデバイスは、IKEv1 および IKEv2 プロトコルをサポートしている必要があります。

  IPsec-VPN は IKEv1 および IKEv2 プロトコルをサポートしています。いずれかのプロトコルをサポートするデバイスは、Alibaba Cloud VPN ゲートウェイに接続できます。IKE バージョンの選択方法の詳細については、「IKE バージョンの選択」をご参照ください。

• データセンターのゲートウェイデバイスには、固定パブリック IP アドレスが割り当てられている必要があります。

  IPsec-VPN は、動的パブリック IP アドレスを使用した接続の確立をサポートしていません。オフィスネットワークや家庭用ブロードバンドなど、キャリアによってパブリック IP アドレスが動的に割り当てられるシナリオでは、パブリック IP アドレスが変更されるため、Alibaba Cloud VPN ゲートウェイとの IPsec-VPN トンネルを安定して確立することができません。安定したトンネルを確保するには、ピア (オンプレミスゲートウェイデバイス) に固定パブリック IP アドレスが必要です。

• データセンターと VPC の CIDR ブロックは重複してはなりません。

データセンターが IPsec 接続を使用して VPC に接続する方法については、「標準 VPN ゲートウェイのクイックスタート」をご参照ください。

互換性のあるオンプレミスゲートウェイ

Alibaba Cloud VPN ゲートウェイは、標準の IKEv1 および IKEv2 プロトコルをサポートしています。したがって、これらのプロトコルをサポートするデバイスであれば、Alibaba Cloud VPN ゲートウェイに接続できます。例として、H3C、Hillstone、Sangfor、Cisco ASA、Juniper、SonicWall、Nokia、IBM、Ixia などのデバイスがあります。詳細については、「オンプレミスデバイスの設定」をご参照ください。

異なるリージョンの VPC は VPN ゲートウェイを介して通信できますか。

はい。

VPC 間のトラフィックはインターネットを経由しますか。

VPN ゲートウェイを使用して VPC 間の通信を有効にする場合：

• 2 つの VPC が同じリージョンにある場合、トラフィックはインターネットではなく Alibaba Cloud ネットワークを介して転送されます。

• 2 つの VPC が異なるリージョンにある場合、トラフィックはインターネットを介して転送されます。

VPN ゲートウェイを購入済みでも、伸縮性のあるパブリック帯域幅は必要ですか？

いいえ。IPsec-VPN はプライベートネットワーク上に暗号化トンネルを確立し、トラフィックはプライベートネットワークを介して転送されます。したがって、VPC 内の ECS インスタンスは、Elastic IP アドレス (EIP) やパブリック帯域幅を購入することなく、VPN 経由でデータセンターと通信できます。

VPN ゲートウェイの作成後に VPC を変更できますか。

いいえ。VPN ゲートウェイの作成後は、その VPC を変更することはできません。VPN ゲートウェイを別の VPC に関連付けるには、新しい VPN ゲートウェイを作成し、ターゲットの VPC を選択する必要があります。

VPN ゲートウェイと ECS インスタンスが同じ VPC になく、VPN ゲートウェイを再作成したくない場合は、VPC ピアリング接続を使用して 2 つの VPC のプライベートネットワークを接続し、VPC 間のリソース通信を可能にすることができます。

VPN ゲートウェイはアカウント間の移行や VPC の変更をサポートしていますか。

いいえ。VPN ゲートウェイは作成後、アカウント間の移行や関連付けられた VPC の変更をサポートしていません。各シナリオの制限と対処方法は次のとおりです。

• アカウント間の移行：VPN ゲートウェイは、別のアカウントへの直接移行 (同一リージョン内のアカウント間シナリオを含む) をサポートしていません。別のアカウントで VPN ゲートウェイを使用するには、ターゲットアカウントで新しい VPN ゲートウェイインスタンスを作成する必要があります。

• VPC の変更：作成済みの VPN ゲートウェイは、関連付けられた VPC の変更をサポートしていません。VPN ゲートウェイを別の VPC に関連付けるには、既存の VPN 設定を削除し、インスタンスの登録を解除してから、新しい VPN ゲートウェイを購入する必要があります。

• Elastic Network Interface の削除時に「依存するクラウドサービスによって管理され、VPN によって作成されました」というメッセージが表示される場合：VPN ゲートウェイにバインドされた Elastic Network Interface は直接削除できません。まず VPN ゲートウェイインスタンスをリリースする必要があり、バインドされた Elastic Network Interface は自動的にリリースされます。リリース方法は次のとおりです。

  • 従来の VPN ゲートウェイ：インスタンスの有効期限が切れていない場合は、コンソールでターゲットの VPN ゲートウェイを見つけ、[返金申請] 列の [操作] を選択します。インスタンスの有効期限が切れている場合は、システムが自動的にリリースします。

  • 拡張 VPN ゲートウェイ：ターゲットの VPN ゲートウェイの [操作] 列で、[削除] をクリックします。

異なる Alibaba Cloud アカウントに属する 2 つの VPC を VPN ゲートウェイで接続できますか。

はい。異なる Alibaba Cloud アカウントに属する 2 つの VPC は、次のいずれかの方法で接続できます。

1. VPN ゲートウェイの使用：各アカウントで VPN ゲートウェイインスタンスを作成し、各アカウントで IPsec 接続、カスタマーゲートウェイ、およびルートを設定して、2 つの VPC 間の接続を有効にします。

2. VPN ゲートウェイなし：代わりに VPC ピアリング接続または Cloud Enterprise Network (CEN) を使用します。

VPN ゲートウェイに関連付ける VPC の選択方法

VPN ゲートウェイは作成後、関連付けられた VPC を変更できません。クラウド内のリソースのデプロイ状況に基づいて、作成前に選択してください。

• クラウドにまだリソースがデプロイされていない場合：まず VPC を作成し、VPN ゲートウェイを作成する際にその VPC を関連付けます。

• クラウド上のリソース (ECS や RDS など) が単一の VPC にある場合：リソースが存在する VPC に VPN ゲートウェイを関連付けます。

• クラウド上のリソースが複数の VPC に分散している場合：トランジットルーターに関連付けられた VPN ゲートウェイを使用して、IPsec 接続を介して複数の VPC と通信することを推奨します。詳細については、「トランジットルーターへのバインド」をご参照ください。

VPN ゲートウェイを作成すると、既存の ECS インスタンスのパブリック IP アドレスは変更されますか。

いいえ。VPN ゲートウェイを作成しても、VPC 内の既存の ECS インスタンスのパブリック IP アドレスには影響しません。ECS インスタンスのパブリック IP アドレスは変更されません。

WireGuard プロトコルを使用してクラウドからオンプレミスデータベースにアクセスすることをサポートしていますか。

現在、Alibaba Cloud の IPsec 接続は標準の IPsec プロトコル (IKEv1 および IKEv2 バージョンを含む) のみをサポートしており、WireGuard プロトコルはサポートされていません。

クラウドのバックエンドアプリケーションがオンプレミスデータベースにアクセスできるようにするには、IPsec-VPN を使用して暗号化トンネルを確立し、オンプレミスサーバとクラウド VPC の間に仮想 LAN を形成して、安全な相互アクセスを可能にすることを推奨します。

1. Alibaba Cloud コンソールで VPN ゲートウェイを作成し、IPsec 接続を設定して、ローカル CIDR ブロック (VPC が存在する CIDR ブロック) とリモート CIDR ブロック (オンプレミスデータベースサーバが存在する CIDR ブロック) を指定します。

2. オンプレミスゲートウェイデバイスで対応する IPsec-VPN 設定を完了し、両側の IKE/IPsec パラメータが一致していることを確認します。

3. クラウド VPC の CIDR ブロックとオンプレミスサーバの CIDR ブロック間のトラフィックが正しく転送されるように、正しいルーティングルールを設定します。

上記の設定を完了し、IPsec 接続のステータスが「フェーズ 2 ネゴシエーション成功」であることを確認すると、クラウドサービスとオンプレミスデータベース間の安全な相互アクセスが実現できます。

IPsec サーバと SSL サーバの比較

1 つの IPsec 接続で複数のリモートネットワークを設定できますか。

はい。

IPsec 接続に複数のリモートネットワークを設定する前に、複数の CIDR ブロックに関する設定の提案を確認してください。詳細については、「複数 CIDR ブロックシナリオの設定提案」をご参照ください。

各 VPN ゲートウェイで作成できる IPsec 接続の数

デフォルトでは、各 VPN ゲートウェイで最大 10 個の IPsec 接続を作成できます。クォータは Alibaba Cloud コンソールで調整できます。詳細については、「クォータの管理」をご参照ください。

複数の IPsec 接続が同じ VPN ゲートウェイとカスタマーゲートウェイを使用する場合のオンプレミス側の設定方法

1. Alibaba Cloud 側：複数の IPsec 接続が同じ VPN ゲートウェイとカスタマーゲートウェイに関連付けられている場合、各接続の IPsec ネゴシエーションパラメータ (暗号化アルゴリズム、認証アルゴリズム、DH グループ、事前共有鍵など) は一致している必要があります。

2. オンプレミス側：各 IPsec 接続に対して個別の物理接続や追加のインターフェイスを設定する必要はありません。オンプレミスゲートウェイデバイスの IPsec 設定が、Alibaba Cloud 側の対応する接続のネゴシエーションパラメータと一致していることを確認するだけで十分です。

3. デバイスの機能確認：オンプレミスゲートウェイデバイスが 1 対多の IPsec 接続モードをサポートしているかどうかを確認します。サポートしていない場合は、ネットワークアーキテクチャを調整するか、オンプレミスゲートウェイデバイスを交換する必要があります。

ネットワーク ACL の設定方法

VPN ゲートウェイの設定を変更 (アップグレード/ダウングレード) できますか。

はい。

• VPN ゲートウェイの帯域幅をにアップグレードまたはダウングレードするには、「アップグレード」をご参照ください。

• VPN ゲートウェイの SSL 最大同時接続数をにアップグレードまたはダウングレードするには、「SSL 同時接続数の変更」をご参照ください。

• VPN ゲートウェイで IPsec-VPN または SSL-VPN 機能を有効にするには、「IPsec-VPN の有効化」および「SSL-VPN 機能の有効化」をご参照ください。

SSL クライアント接続情報の表示

はい。

レガシーインスタンスでの SSL-VPN

いいえ。

SSL-VPN 機能を使用するには、VPN ゲートウェイを最新バージョンにアップグレードする必要があります。詳細については、「VPN ゲートウェイのアップグレード」をご参照ください。

IKE バージョンの選択

IPsec 接続を設定する際は、ピアゲートウェイデバイスがサポートする IKE バージョンと、複数の CIDR ブロック間で通信する必要があるかどうかに基づいて IKE バージョンを選択します。

IPsec-VPN のネゴシエーションが有効になるのが遅い理由と、通常かかる時間

1. 通常の有効化時間：IPsec 接続の両端 (Alibaba Cloud 側とオンプレミスゲートウェイデバイス側) の設定が正しく、互いに一致している場合、IPsec-VPN のネゴシエーションは基本的に数秒で有効になります。

2. 有効化が遅い場合のトラブルシューティング：ネゴシエーションが有効になるのが遅い場合は、この期間中に両端の設定が調整されたかどうかを確認してください。たとえば、IKE/IPsec ネゴシエーションパラメータ、ルート設定、またはセキュリティグループルールの変更などです。設定の変更は再ネゴシエーションをトリガーし、ネゴシエーション時間が増加する可能性があります。

IPsec 接続の再ネゴシエーションをトリガーする方法

IPsec 接続は、直接の再起動操作をサポートしていません。

トンネルの再ネゴシエーションを強制的にトリガーする必要がある場合 (たとえば、設定変更が自動的に有効にならない場合)、任意の設定項目 ( [事前共有鍵] や [SA 生存期間] など) を変更して保存します。設定が有効になった後、設定項目を元の値に戻して再度保存すると、システムが IKE/IPsec ネゴシエーションを再開するようにトリガーされます。

NAT を使用した IPsec 接続

たとえば、あるデータセンターが IP アドレス 42.XX.XX.1 を使用して Alibaba Cloud VPN ゲートウェイとの IPsec 接続を確立する計画があるとします。しかし、そのデータセンターは SNAT を使用しており、送信元 IP アドレスを 42.XX.XX.1 から 47.XX.XX.21 に変換します。この場合、VPN ゲートウェイコンソールでカスタマーゲートウェイを作成する際には、カスタマーゲートウェイの IP アドレスを 47.XX.XX.21 に設定する必要があります。これにより、Alibaba Cloud VPN ゲートウェイはデータセンターとの IPsec 接続を確立できます。

データセンターと VPN ゲートウェイ間の IPsec 接続を確立するには、デフォルトの IPsec ポート (UDP 500 および 4500) を使用してください。ポート番号は変換しないでください。

Alibaba Cloud 側では、パブリック向け VPN ゲートウェイが関連付けられている VPC に NAT Gateway も設定されている場合、NAT Gateway はパブリック向け VPN ゲートウェイインスタンスの IP アドレスを変換しません。

IPsec-VPN 帯域幅の増加

IPsec 接続が VPN ゲートウェイインスタンスに関連付けられている場合、インスタンスの最大帯域幅は 1,000 Mbit/s (一部のリージョンでは 500 Mbit/s) です。IPsec 接続の帯域幅を増やすには、IPsec 接続をトランジットルーター (TR) インスタンスに関連付けて、データセンターを Alibaba Cloud に接続します。その後、TR を使用してデータセンターと VPC 間のネットワーク通信を有効にできます。

IPsec 接続が TR インスタンスに関連付けられている場合、単一の IPsec 接続の最大帯域幅は 1,000 Mbit/s です。合計帯域幅を増やすには、TR とデータセンター間に複数の IPsec 接続を確立できます。これにより、以下の図に示すように、データセンターと Alibaba Cloud 間のトラフィックを複数の IPsec 接続で同時に転送できます。詳細については、「複数のパブリック IPsec-VPN 接続による負荷分散」および「複数のプライベート IPsec-VPN 接続を作成して負荷分散を実装する」をご参照ください。

• パブリック IPsec-VPN 接続シナリオ：

  

• プライベート IPsec-VPN 接続シナリオ：

  

ゾーン間のトラフィック転送？

はい。

VPN ゲートウェイインスタンスを作成する際には、vSwitch を指定する必要があります。システムは、指定された vSwitch が存在するゾーンに VPN ゲートウェイをデプロイします。VPN ゲートウェイインスタンスが作成された後、VPC のすべてのゾーンにある ECS インスタンスのトラフィックを転送できます。

設定によっては、VPN ゲートウェイインスタンスが ECS インスタンスからのトラフィックを転送できるようにルートを追加する必要がある場合があります。たとえば、一部のゾーンの vSwitch が VPC のカスタムルートテーブルに関連付けられている場合、そのカスタムルートテーブルに VPN ゲートウェイインスタンスを指すカスタムルートを追加する必要があります。

ルートの競合の解決

VPN ゲートウェイインスタンスにルートを追加する際にエラーが報告された場合、このエラーは通常、以下のいずれかの理由で発生します。

• 追加しようとしているルートの宛先 CIDR ブロックが、VPC 内の既存のルートの宛先 CIDR ブロックと同じである。VPC のルートテーブル内のルートを確認して、ルートの競合を解決してください。

• 追加しようとしているルートが、VPN ゲートウェイインスタンスの既存のルートと競合している。VPN ゲートウェイインスタンスのポリシーベースルートと宛先ベースルートを確認して、ルートの競合を解決してください。

  • 宛先 CIDR ブロックとネクストホップが VPN ゲートウェイインスタンスの既存の宛先ベースルートと同じである宛先ベースルートを追加すると、ルートの競合が発生します。

  • 送信元 CIDR ブロック、宛先 CIDR ブロック、およびネクストホップが VPN ゲートウェイインスタンスの既存のポリシーベースルートと同じであるポリシーベースルートを追加すると、ルートの競合が発生します。

VPN 接続が購入した帯域幅に達しない理由

VPN ゲートウェイは購入した帯域幅を提供しますが、実際のスループットには以下の要因が影響します。

• カスタマーゲートウェイに関連付けられているデバイスの機能、接続容量、平均パケットサイズ、およびプロトコル (TCP および UDP)。

• カスタマーゲートウェイに関連付けられているデバイスと VPN ゲートウェイ間のネットワーク遅延。

  説明

  パブリック向け VPN ゲートウェイインスタンスを購入した場合、またはパブリック向け IPsec 接続を使用した場合、パブリック帯域幅の容量とインターネットの遅延がスループットに影響する可能性があります。

VPN ゲートウェイの帯域幅をテストする必要がある場合は、iPerf3 ツールを使用してください。FTP、SCP、CP などのコマンドの転送速度は、ディスク I/O 速度によって制限されるため、実際のネットワークスループットを反映しません。iPerf3 ツールの使用方法の詳細については、「iPerf3 を使用して Express Connect 回線の帯域幅をテストする」をご参照ください。

転送品質に対する要件が高い場合は、Cloud Enterprise Network (CEN) を使用してください。

IPsec-VPN の転送速度がインターネットより遅い、または遅延が専用回線より高い理由

パフォーマンスオーバーヘッドの原因：IPsec-VPN は、元のデータパケットに加えて、暗号化および復号処理のオーバーヘッド、ヘッダーのカプセル化、およびセキュリティメカニズムを追加します。これにより、RTT 遅延が増加し、純粋なインターネットアクセスや物理的な専用回線よりもスループットが低下します。

専用回線との比較：物理的な専用回線は、インターネットのキャリアバックボーンネットワークを通過せず、暗号化のオーバーヘッドもないため、RTT を最適化し、遅延を削減できます。

VPN ゲートウェイは VPC とパブリック IP アドレス間のトラフィックを暗号化できますか。

はい。

VPN ゲートウェイを使用して VPC 内のリソースからパブリック IP アドレスへのトラフィックを暗号化するには、以下の条件を満たす必要があります。

1. パブリック IP アドレスが属する CIDR ブロックを VPN ゲートウェイに追加します。

   • IPsec-VPN を使用する場合、IPsec 接続のリモートネットワークにパブリック CIDR ブロックを追加する必要があります。

   • SSL-VPN を使用する場合、パブリック CIDR ブロックを SSL サーバーの クライアント CIDR ブロック に追加する必要があります。

2. VPC がパブリック CIDR ブロックにアクセスできるように、パブリック CIDR ブロックを VPC のユーザー定義 CIDR ブロックとして設定します。ユーザー定義 CIDR ブロックの詳細については、「VPC のよくある質問」および「VPC のよくある質問」をご参照ください。

ルートエントリのクォータ超過

ルートエントリのクォータが原因で新しいルートエントリを追加できない、または IPsec 接続が BGP ルートを学習できない場合。

• ルートエントリのクォータを増やします。

  ポリシーベースのルートエントリ、宛先ベースのルートエントリ、または BGP ルートエントリのクォータを増やすことができます。詳細については、「IPsec-VPN のクォータ」をご参照ください。

• 集約ルートを設定します。

  ビジネスに影響を与えずに、設定済みの複数のルートエントリを単一のルートエントリに集約します。

  たとえば、宛先 CIDR ブロックが 10.10.1.0/24、10.10.2.0/24、および 10.10.3.0/24 で、ネクストホップがすべて同じ IPsec 接続 (たとえば、IPsec 接続 1) を指す 3 つの宛先ベースルートを設定した場合、宛先 CIDR ブロックが 10.10.0.0/22 でネクストホップが IPsec 接続 1 を指す宛先ベースルートを追加し、その後上記の 3 つの宛先ベースルートを削除して、宛先ベースルートエントリのクォータを節約できます。

VPN 帯域幅が飽和状態または帯域幅使用率が高い場合に、上位の送信元 IP と宛先 IP を見つける方法

VPC フローログを有効にして、VPN Elastic Network Interface のトラフィックを収集および分析できます。詳細については、ENI フローログを使用して VPN ゲートウェイのトラフィックを照会するをご参照ください。

大容量ファイルのアップロード時に、速度が徐々に 0 に低下するのはなぜですか。

1. 帯域幅飽和の影響：VPN ゲートウェイの帯域幅が飽和状態になると、VPN ゲートウェイ配下の他の IPsec 接続や SSL 接続で速度低下やパケット損失が発生する可能性があります。VPN ゲートウェイインスタンスのモニタリングを通じて帯域幅の使用状況を確認し、帯域幅が飽和していないか確認できます。

2. 検証の提案：トラフィックの少ない時間帯に再度アップロードおよびダウンロード速度をテストして、VPN ゲートウェイの実際の帯域幅能力を確認することを推奨します。

VPN ゲートウェイのパブリック IP アドレスのタイプ

VPN ゲートウェイのパブリック IP アドレスタイプはマルチライン BGP です。このタイプは、複数のキャリア回線に接続し、自動的に最適な経路を選択することで、ユーザーに高速で安定したアクセス体験を提供します。

シングルトンネルモードとデュアルトンネルモードの違い

新規に購入した VPN ゲートウェイインスタンスの IPsec 接続は、デフォルトでデュアルトンネルモードです。既存の VPN ゲートウェイインスタンスは、デフォルトでシングルトンネルモードの IPsec-VPN 接続の作成のみをサポートしています。より高い接続可用性を得るために、できるだけ早くIPsec-VPN 接続をデュアルトンネルモードにアップグレードすることを推奨します。デュアルトンネルモードへのアップグレードは課金方法を変更せず、追加料金は発生しません。

IPsec-VPN のセカンダリトンネルの削除方法

セカンダリトンネルは削除できません。Alibaba Cloud IPsec-VPN は、デフォルトでデュアルトンネル高可用性アーキテクチャを使用します。2 つのトンネルが連携してリンクの冗長性とゾーンディザスタリカバリを確保するため、システムはセカンダリトンネルの削除を許可していません。

両方のトンネルが設定され、利用可能な状態であることを確認してください。トンネルのいずれか一方のみを設定または使用する場合：

• リンクの冗長性を確保できず、単一トンネルの障害が直接ビジネスの中断を引き起こします。

• ゾーンディザスタリカバリを確保できません。

• このシナリオでは、VPN ゲートウェイは SLA コミットメントを提供しません。

オンプレミスゲートウェイデバイスベンダーの設定ドキュメントを参照し、VPN 接続の高可用性を確保するために両方のトンネルの設定を同時に完了することを推奨します。

デュアルトンネル VPN ゲートウェイを購入しましたが、シングルトンネルのみを使用したい場合の設定方法

1. IPsec 接続を作成する際、最初のトンネルのパラメータが正しく設定されていることを確認します。2 番目のトンネルのカスタマーゲートウェイやその他のパラメータは任意に指定できます。

2. オンプレミスの IDC 側では、トンネル 1 に対応する IPsec 接続のみを設定し、トンネル 2 のネゴシエーションパラメータは設定しません。

VPN ゲートウェイのパブリック IP に対するアクセス制御の実行方法

VPN ゲートウェイ自体は、製品レベルでパブリック送信元 IP ホワイトリストを直接設定することをサポートしていません。IPsec-VPN と SSL-VPN の 2 つのシナリオでは、アクセス制御のメカニズムは次のようになります。

• IPsec-VPN：IPsec 接続を作成する際、Alibaba Cloud 側でカスタマーゲートウェイのパブリック IP アドレスを設定する必要があります。VPN ゲートウェイは、このカスタマーゲートウェイの IP アドレスからの IKE/IPsec ネゴシエーションリクエストのみを受け入れます。他のソースからの IP アドレスは VPN ゲートウェイとの IPsec トンネルを確立できないため、追加の送信元 IP アクセス制御は不要です。

• SSL-VPN：SSL 接続はクライアントの送信元 IP アドレスを制限せず、アクセス制御はクライアント証明書の検証に依存します。アクセス制御を強化する必要がある場合は、IDaaS を使用して 2 要素認証を実装できます。

VPN ゲートウェイが存在するサブネットのネットワークトラフィックを送信元 IP でフィルタリングする必要がある場合は、VPC のネットワーク ACL 機能を使用できます。VPC コンソールでネットワーク ACL を作成し、送信元 IP を制限するインバウンドルールを設定してから、そのネットワーク ACL を VPN ゲートウェイが存在する vSwitch に関連付けます。詳細については、「ネットワーク ACL の設定方法」をご参照ください。

同じ優先度のセキュリティグループ ICMP ルールの競合による VPN 障害

症状：SSL 接続が確立された後、VPC 内のリソースに PING できない。

原因：セキュリティグループに優先度 1 の 2 つのインバウンド ICMP ルールが存在する：

• すべてのソース (0.0.0.0/0) を拒否

• VPN クライアント CIDR ブロック (10.200.200.0/24) を許可

2 つのルールが同じ優先度を持つ場合、拒否ルールが優先され、ICMP トラフィックがブロックされます。

解決策：拒否ルールの優先度の値を大きくする (例：1 から 2 へ) ことで、許可ルール (優先度 1) が先に照合され、有効になります。

VPN ゲートウェイの購入/請求はどのように行いますか？

購入したい VPN ゲートウェイのタイプを確認する必要があります。

1. IPsec-VPN ゲートウェイ (IDC と VPC を接続)：

   • 拡張 IPsec-VPN ゲートウェイ：従量課金。現在、インターネットトラフィック料金のみが課金され (CDT による課金)、IPsec 接続料金は当面課金されません。

   • 標準 IPsec-VPN ゲートウェイ：帯域幅仕様による課金 (5 Mbps から、5/10/20/50/100/200/500/1000 Mbps をサポート)、月額/年額前払い。

   • 購入方法：「IPsec-VPN ゲートウェイの作成」。

2. SSL-VPN ゲートウェイ (クライアントと VPC を接続)：最大同時接続数による課金 (例：20/50/100/500/1000 ユーザーパッケージ)、証明書の数とは無関係—パッケージ数 = 最大同時接続数であり、作成する証明書の数ではありません。購入方法：「SSL-VPN ゲートウェイの作成」

トランジットルーター (TR) にバインドされた IPsec-VPN は、切断後も課金され続けますか。課金を停止する方法はありますか。

1. 課金の説明：インスタンスが存在する限り、IPsec-VPN 接続が切断されたり、データが転送されなかったりしても、トランジットルーター (TR) の接続料金は発生し続けます。

2. 課金を停止する方法：課金を停止するには、まず Cloud Enterprise Network コンソールで対応するトランジットルーター上の VPN 接続を削除し、次に IPsec-VPN コンソールで対応する IPsec 接続を削除します。

VPN ゲートウェイは料金節約プランやリソースプランの控除をサポートしていますか。

いいえ。VPN ゲートウェイは現在、料金節約プランやリソースプランなどの費用控除サービスをサポートしていません。すべての料金は、実際の課金項目 (サブスクリプションまたは従量課金方法) に基づいて個別に決済されます。

その中で、拡張 IPsec-VPN ゲートウェイは現在、IPsec 接続料金を課金していません。

IPsec-VPN / SSL-VPN を有効化するための構成プロセスは何ですか？

2 つのタイプのプロセスは異なります。

IPsec-VPN (サイト間)：① VPN ゲートウェイの作成 → ② カスタマーゲートウェイの作成 (ピアのパブリック IP を入力) → ③ IPsec 接続の作成 (事前共有鍵、ローカル/ピア CIDR ブロック、IKE バージョン、アルゴリズムを設定) → ④ ルーティングの設定 (VPC ルートテーブルに VPN ゲートウェイを指すルートを追加) → ⑤ オンプレミスデバイスで対応するパラメータを設定。参考：「拡張 VPN ゲートウェイのクイックスタート」。

SSL-VPN (クライアントアクセス)：① VPN ゲートウェイの作成 (SSL タイプ) → ② SSL サーバの作成 (ローカル CIDR ブロックとクライアント CIDR ブロックを設定) → ③ クライアント証明書の作成 → ④ クライアント設定とクライアントソフトウェアのダウンロード → ⑤ 接続。参考：「SSL-VPN を使用して PC および Android クライアントを VPC に接続する」。

VPN ゲートウェイの帯域幅/トラフィックのモニタリングを確認するにはどうすればよいですか？

2 つのエントリポイント：

1. VPN ゲートウェイコンソール → インスタンスを選択 → モニタリングチャートを表示 (トンネルトラフィックとインバウンド/アウトバウンド帯域幅を含む)。

2. CloudMonitor コンソール → 「VPN ゲートウェイ」を検索 → リージョンとインスタンスを選択。参考：「VPN ゲートウェイインスタンスのモニタリング」。