すべてのプロダクト
Search

このプロダクト

    VPN Gateway:サイト間および VPC との接続

    ドキュメントセンター

    VPN Gateway:サイト間および VPC との接続

    最終更新日:Jul 03, 2026

    VPN Gateway のハブ機能を使用すると、大規模企業は複数のサイト間、およびこれらのサイトと VPC 間でプライベート通信を実現できます。本トピックでは、VPN Gateway のハブ機能を使用して、複数のサイトを相互に、また VPC にも接続する方法について説明します。

    仕組み

    VPN Gateway インスタンスを作成すると、そのハブ機能が自動的に有効になります。各サイトのカスタマーゲートウェイと、各サイトからクラウドへの IPsec 接続を設定するだけで、サイト間およびサイトとご利用の VPC 間の通信が可能になります。

    説明

    デフォルトでは、各 VPN Gateway インスタンスは最大 10 個の IPsec 接続をサポートします。つまり、1 つの VPN Gateway インスタンスで、異なるリージョンにある 10 カ所のサイトに接続できます。

    次のいずれかの方法でクォータを増やすことができます。

    シナリオ

    建立多站点连接

    本トピックでは、上図に示すシナリオを例として使用します。大規模企業は中国 (杭州) リージョンに VPC1 という名前の VPC を持ち、ECS インスタンス上にサービスを展開しています。また、上海、杭州、寧波にそれぞれオンプレミスのサイトがあります。これらのサイトは互いに、また VPC1 とも通信できません。ビジネスの拡大に伴い、企業は VPN Gateway のハブ機能を使用して、上海、杭州、寧波の各サイトを相互に、また VPC1 にも接続したいと考えています。

    前提条件

    • 各サイトのオンプレミスゲートウェイデバイスのパブリック IP アドレスを取得済みである必要があります。

    • 中国 (杭州) リージョンに VPC1 という名前の VPC を作成し、VPC1 内の ECS インスタンス上にサービスを展開済みである必要があります。詳細については、「IPv4 VPC の作成」をご参照ください。

      以下の表は、この例で VPC1 および各サイトに計画された CIDR ブロックを示しています。

      説明

      ビジネス要件に基づいて CIDR ブロックを計画できます。ただし、相互に通信が必要な VPC1 および各サイトの CIDR ブロックが重複しないようにしてください。

      サイト

      VPC1

      上海サイト

      杭州サイト

      寧波サイト

      CIDR ブロック

      192.168.0.0/16

      10.10.10.0/24

      10.10.20.0/24

      10.10.30.0/24

      ECS インスタンスの IP アドレス

      192.168.20.121

      該当なし

      該当なし

      該当なし

      オンプレミスゲートウェイデバイスのパブリック IP アドレス

      該当なし

      1.XX.XX.1

      2.XX.XX.2

      3.XX.XX.3

    • VPC1 内の ECS インスタンスに適用されているセキュリティグループルールおよび各サイトのアクセス制御ルールが、サイト間およびサイトと VPC1 間の通信を許可していることを確認してください。詳細については、「セキュリティグループルールの確認」および「セキュリティグループルールの追加」をご参照ください。

    操作手順

    建立多站点的连接--配置流程

    ステップ 1：VPN Gateway の作成

    上海、杭州、寧波の各サイトが相互に、また VPC1 とも通信できるように、VPC1 と同じリージョンに VPN Gateway インスタンスを作成します。

    1. [VPN Gateway コンソール] にログインします。

    2. 上部のナビゲーションバーで、VPN Gateway インスタンスを作成するリージョンを選択します。

      この例では、中国 (杭州) を選択します。

    3. [VPN Gateway] ページで、[VPN Gateway の作成] をクリックします。

    4. 購入ページで、以下の情報を基に VPN Gateway インスタンスを設定し、[今すぐ購入] をクリックして支払いを完了します。

      パラメーター

      説明

      インスタンス名

      VPN Gateway インスタンスの名前を入力します。この例では、VPN Gateway 1 と入力します。

      Region

      VPN Gateway インスタンスを配置するリージョンを選択します。この例では、中国 (杭州) を選択します。

      ゲートウェイタイプ

      VPN Gateway インスタンスのタイプを選択します。この例では、標準型 を選択します。

      ネットワークタイプ

      VPN Gateway インスタンスのネットワークタイプを選択します。この例では、インターネット を選択します。

      Tunnel

      現在のリージョンで IPsec 接続がサポートするトンネルモードが表示されます。

      VPC

      VPN Gateway インスタンスに関連付ける VPC インスタンスを選択します。この例では、VPC1 を選択します。

      vSwitch 1

      VPC から vSwitch を選択します。

      • [シングルトンネル] を選択した場合、vSwitch を 1 つだけ指定する必要があります。

      • デュアルトンネルを選択した場合、vSwitch を 2 つ指定する必要があります。

        IPsec-VPN 機能を有効化すると、システムは 2 つの vSwitch のそれぞれにエラスティックネットワークインターフェース (ENI) を作成し、IPsec 接続経由で VPC と通信するためのインターフェースとして使用します。各 ENI は、vSwitch 内の IP アドレスを 1 つ占有します。

      説明

      • システムはデフォルトで vSwitch を選択します。デフォルトの vSwitch を使用するか、変更することもできます。

      • VPN Gateway 作成後は、関連付けられた vSwitch を変更できません。VPN Gateway の詳細ページで、関連付けられた vSwitch、その vSwitch が属するゾーン、および vSwitch 内の ENI を確認できます。

      vSwitch 2

      VPC から 2 番目の vSwitch を選択します。

      トンネルモードがシングルトンネルの場合、このパラメーターを設定する必要はありません。

      Peak bandwidth

      VPN Gateway インスタンスの最大パブリック帯域幅を選択します。単位：Mbit/s。

      トラフィック

      VPN Gateway インスタンスの課金方法です。デフォルト値は トラフィック課金 です。

      詳細については、「課金」をご参照ください。

      IPsec-VPN

      IPsec-VPN 機能を有効にするかどうかを指定します。この例では、はい を選択します。

      SSL-VPN

      SSL-VPN 機能を有効にするかどうかを指定します。この例では、無効化 を選択します。

      Duration

      VPN Gateway インスタンスの課金サイクルです。デフォルト値は 時間単位 です。

      Service-linked role

      [サービスにリンクされたロールの作成] をクリックします。システムにより、AliyunServiceRoleForVpn サービスリンクロールが自動的に作成されます。

      VPN Gateway はこのロールを使用して、他の Alibaba Cloud サービスのリソースにアクセスします。詳細については、「AliyunServiceRoleForVpn」をご参照ください。

      このパラメーターに [作成しました。] と表示されている場合は、アカウントに対してすでにロールが作成済みであることを示しており、再度作成する必要はありません。

      パラメーターの詳細については、「VPN Gateway の作成」をご参照ください。

    5. [VPN Gateway] ページに戻り、新しく作成した VPN Gateway インスタンスを確認します。

      新しく作成された VPN Gateway インスタンスの初期ステータスは 準備中 です。約 1～5 分後にステータスが 正常 に変化します。正常 ステータスの VPN Gateway インスタンスは使用可能な状態です。

    ステップ 2：カスタマーゲートウェイの作成

    VPN Gateway インスタンスを作成したら、1 つの VPN Gateway インスタンス経由で通信できるように、各サイトのカスタマーゲートウェイを作成する必要があります。

    1. 左側のナビゲーションウィンドウで、[Interconnections > VPN > カスタマーゲートウェイ] を選択します。

    2. 上部のナビゲーションバーで、カスタマーゲートウェイを作成するリージョンを選択します。

      説明

      カスタマーゲートウェイは、接続先の VPN Gateway インスタンスと同じリージョンに配置する必要があります。

    3. [カスタマーゲートウェイ] ページで、[カスタマーゲートウェイの作成] をクリックします。

    4. [カスタマーゲートウェイの作成] パネルで、以下の情報を基にカスタマーゲートウェイを設定し、[OK] をクリックします。

      各サイトごとにカスタマーゲートウェイを作成する必要があります。以下の表は、カスタマーゲートウェイの構成を示しています。

      パラメーター

      説明

      上海サイト

      杭州サイト

      寧波サイト

      名前

      カスタマーゲートウェイの名前を入力します。

      Shanghai-customer1

      Hangzhou-customer2

      Ningbo-customer3

      IP アドレス

      カスタマーゲートウェイのパブリック IP アドレスを入力します。

      この例では、上海サイトのオンプレミスゲートウェイデバイスのパブリック IP アドレス 1.XX.XX.1 を入力します。

      この例では、杭州サイトのオンプレミスゲートウェイデバイスのパブリック IP アドレス 2.XX.XX.2 を入力します。

      この例では、寧波サイトのオンプレミスゲートウェイデバイスのパブリック IP アドレス 3.XX.XX.3 を入力します。

      パラメーターの詳細については、「カスタマーゲートウェイの作成」をご参照ください。

    ステップ 3：IPsec 接続の作成

    上海、杭州、寧波の各サイトごとに IPsec 接続を作成する必要があります。IPsec 接続はカスタマーゲートウェイと VPN Gateway を関連付け、各サイトを Alibaba Cloud に接続します。

    1. 左側のナビゲーションウィンドウで、[Interconnections > VPN > IPsec 接続] を選択します。

    2. [IPsec 接続] ページで、[Bind VPN Gateway] をクリックします。

    3. 以下の情報を基に IPsec 接続を設定し、[OK] をクリックします。

      以下の表は、上海、杭州、寧波の各サイト向け IPsec 接続の構成を示しています。

      パラメーター

      説明

      上海サイト

      杭州サイト

      寧波サイト

      Name

      IPsec 接続の名前を入力します。

      IPsec-connection-1

      IPsec-connection-2

      IPsec-connection-3

      Region

      IPsec 接続にバインドする VPN Gateway インスタンスが配置されているリージョンを選択します。

      中国 (杭州) を選択します。

      VPN Gateway

      作成済みの VPN Gateway インスタンスを選択します。

      VPN Gateway 1 を選択します。

      ルーティングモード

      ルーティングモードを選択します。

      宛先ルーティングモード を選択します。

      宛先ルーティングモード を選択します。

      保護されたデータフロー を選択します。

      ローカルネットワーク

      サイトに接続する VPC の CIDR ブロックを入力します。このパラメーターはフェーズ 2 ネゴシエーションに使用されます。

      該当なし

      該当なし

      192.168.0.0/16

      リモートネットワーク

      VPC に接続するサイトの CIDR ブロックを入力します。このパラメーターはフェーズ 2 ネゴシエーションに使用されます。

      10.10.30.0/24

      今すぐ有効化

      ネゴシエーションを即時開始するかどうかを指定します。

      • はい：構成完了後すぐにネゴシエーションを開始します。

      • いいえ：インバウンドトラフィックを検出したときにネゴシエーションを開始します。

      この例では、はい を選択します。

      この例では、はい を選択します。

      この例では、はい を選択します。

      カスタマーゲートウェイ

      作成済みのカスタマーゲートウェイインスタンスを選択します。

      Shanghai-customer1 を選択します。

      Hangzhou-customer2 を選択します。

      Ningbo-customer3 を選択します。

      事前共有鍵

      事前共有鍵を入力します。

      値を入力しない場合、システムはランダムな 16 文字の文字列を生成します。

      重要

      オンプレミスゲートウェイデバイスの事前共有鍵は、IPsec 接続の事前共有鍵と一致している必要があります。

      fddsFF123****

      TTTddd321****

      PPPttt456****

      暗号化設定

      IKE 構成、IPsec 構成、DPD、NAT 越えを追加します。

      この例では IKEv1 を使用します。その他のパラメーターはデフォルト値を使用します。

      この例では IKEv1 を使用します。その他のパラメーターはデフォルト値を使用します。

      この例では IKEv1 を使用します。その他のパラメーターはデフォルト値を使用します。

      その他のパラメーターはデフォルト値を使用します。詳細については、「シングルトンネルモードでの IPsec 接続の作成と管理」をご参照ください。

    4. 後で VPN Gateway のルートを設定するには、表示されるダイアログボックスで [Cancel] をクリックします。

    ステップ 4：VPN Gateway ルートの設定

    IPsec 接続を作成したら、VPN Gateway インスタンスの宛先ベースルートテーブルに上海および杭州サイトの CIDR ブロックを追加し、上海、杭州、寧波の各サイトの CIDR ブロックを VPC1 にアドバタイズする必要があります。これにより、サイト間およびサイトと VPC1 間の通信が可能になります。

    説明

    寧波サイトの IPsec 接続はポリシーベースルーティングモードを使用します。IPsec 接続を作成すると、システムは自動的にローカルルートおよびリモートルートを VPN Gateway インスタンスのポリシーベースルートテーブルに追加します。そのため、ポリシーベースルートテーブルで寧波サイトの CIDR ブロックを VPC1 にアドバタイズするだけでよく、手動でルートを追加する必要はありません。

    1. 左側のナビゲーションウィンドウで、[Interconnections > VPN > VPN Gateway] を選択します。

    2. 上部のナビゲーションバーで、VPN Gateway インスタンスが配置されているリージョンを選択します。

    3. [VPN Gateway] ページで、対象の VPN Gateway インスタンスを見つけ、インスタンス ID をクリックします。

    4. VPN Gateway インスタンスの [宛先ベースルーティング] タブで、上海および杭州サイトの CIDR ブロックを追加およびアドバタイズします。

      1. [宛先ベースルーティング] タブで、[ルートエントリの追加] をクリックします。

      2. [ルートエントリの追加] パネルで、以下の情報を基に宛先ベースルートエントリを設定し、[OK] をクリックします。

        パラメーター

        説明

        ルートエントリ 1

        ルートエントリ 2

        宛先 CIDR ブロック

        通信したい宛先の CIDR ブロックを入力します。

        上海サイトのプライベート CIDR ブロック 10.10.10.0/24 を入力します。

        杭州サイトのプライベート CIDR ブロック 10.10.20.0/24 を入力します。

        ネクストホップの種類

        ネクストホップのタイプを選択します。

        IPsec 接続 を選択します。

        IPsec 接続 を選択します。

        ネクストホップ

        ネクストホップを選択します。

        IPsec-connection-1 を選択します。

        IPsec-connection-2 を選択します。

        VPC への公開

        新しいルートエントリを VPN Gateway に関連付けられた VPC にアドバタイズするかどうかを指定します。

        この例では、はい を選択します。

        この例では、はい を選択します。

        重み

        ルートエントリの重みを選択します。

        • 100：高優先度。

        • 0：低優先度。

        この例では、デフォルト値 100 を使用します。

        この例では、デフォルト値 100 を使用します。

        パラメーターの詳細については、「宛先ベースルートの追加」をご参照ください。

    5. VPN Gateway インスタンスの [ポリシーベースルーティング] タブで、寧波サイトの CIDR ブロックをアドバタイズします。

      1. [ポリシーベースルーティング] タブで、[宛先 CIDR ブロック] が寧波サイトの CIDR ブロックであるルートエントリを見つけ、[操作] 列の [公開] をクリックします。

      2. [ルートの公開] ダイアログボックスで、[OK] をクリックします。

    ステップ 5：オンプレミスゲートウェイの設定

    Alibaba Cloud で VPN Gateway を設定したら、各オフィス拠点のオンプレミスゲートウェイデバイスも設定する必要があります。[IPsec 接続] ページからオンプレミスゲートウェイデバイスの構成をダウンロードし、デバイスに追加することで、オフィス拠点が相互に、また VPC1 とも通信できるようになります。

    1. 左側のナビゲーションウィンドウで、[Interconnections > VPN > IPsec 接続] を選択します。

    2. [IPsec 接続] ページで、対象の IPsec 接続を見つけ、[操作] 列の [ピア設定の生成] をクリックします。

      IPsec-connection-1、IPsec-connection-2、IPsec-connection-3 を見つけ、それぞれのピア構成をダウンロードします。

    3. オンプレミスゲートウェイデバイスの要件に基づき、ダウンロードした構成をデバイスに適用します。詳細については、「オンプレミスゲートウェイデバイスの設定」をご参照ください。

      • IPsec-connection-1 用にダウンロードしたピア構成を、上海サイトのオンプレミスゲートウェイデバイスに適用します。

      • IPsec-connection-2 用にダウンロードしたピア構成を、杭州サイトのオンプレミスゲートウェイデバイスに適用します。

      • IPsec-connection-3 用にダウンロードしたピア構成を、寧波サイトのオンプレミスゲートウェイデバイスに適用します。

    ステップ 6：接続性のテスト

    上記の設定を完了すると、上海、杭州、寧波の各サイトが相互に、また VPC1 とも接続されます。以下のセクションでは、接続性をテストする方法について説明します。

    1. サイトと VPC1 間の接続性をテストします。

      1. VPC1 内の ECS インスタンスにログインします。

        ECS インスタンスへのログイン方法の詳細については、「接続方法」をご参照ください。

      2. ping コマンドを実行して、上海、杭州、寧波の各サイトのクライアントに ping を送信します。

        ping <Client IP address>

        すべてのクライアントから応答メッセージを受信できれば、サイトと VPC1 が接続されていることを示します。

    2. サイト間の接続性をテストします。

      1. 上海サイトのクライアントでコマンドラインウィンドウを開きます。

      2. ping コマンドを実行して、杭州および寧波の各サイトのクライアントに ping を送信します。

        ping <Client IP address>

        応答メッセージを受信できれば、サイトが接続されていることを示します。

      3. 杭州サイトのクライアントでコマンドラインウィンドウを開きます。

      4. ping コマンドを実行して、寧波サイトのクライアントに ping を送信します。

        ping <Client IP address>

        応答メッセージを受信できれば、杭州サイトと寧波サイトが接続されていることを示します。