Express Connect 回線は、データセンターと VPC 間にプライベートで低遅延のリンクを提供しますが、転送中のトラフィックは暗号化されません。この回線上にプライベート IPsec-VPN 接続を追加することで、すべてのトラフィックをパブリックインターネットから隔離しつつ、エンドツーエンドの暗号化を実現します。VPN エンドポイントにパブリック IP アドレスは不要です。このガイドでは、Express Connect 接続を確立し、既存の接続性を中断することなく暗号化レイヤーを追加する、完全な 2 段階の設定手順を説明します。
IPsec-VPN 接続がダウンした場合、トラフィックは自動的に Express Connect 回線にフォールバックし、暗号化されない状態で流れ続けます。これに応じて冗長性を計画してください。
仕組み
この設定では、データセンターと VPC 間に 2 つの重複するパスが作成されます。
Express Connect 回線 → VBR → トランジットルーター → VPC：常時利用可能、非暗号化 (フォールバックパス)
Express Connect 回線 → オンプレミスゲートウェイデバイス → プライベート IPsec-VPN → トランジットルーター → VPC：暗号化 (優先パス)
BGP ルートの優先度は、トラフィックを VPN パスに誘導するために 2 つのポイントで操作されます。
VPC からデータセンターへのトラフィック：オンプレミスゲートウェイデバイスは、データセンターの CIDR ブロックを短いマスク (192.168.0.0/16) で VBR に、より長いマスク (192.168.20.0/24) で IPsec-VPN 接続にアドバタイズします。トランジットルーターはより具体的なルートを選択するため、トラフィックは VPN パスを使用します。
データセンターから VPC へのトラフィック：トランジットルーターは、VBR によってアドバタイズされた VPC ルートに余分な AS パスエントリをプリペンドするルーティングポリシーを適用します。VPN パスの AS パスが短いため、データセンターはこちらを優先します。
IPsec-VPN 接続にアドバタイズされる CIDR ブロックが、VBR にアドバタイズされるものよりも具体的でない場合、トランジットルーターは VBR ルートを優先し、トラフィックは暗号化されずに流れます。設定を完了する前に、プレフィックス長が異なることを確認してください。
代替ルーティング戦略
上記の例では、異なるプレフィックス長 (/16 を VBR へ、/24 を VPN へ) を持つ重複するプレフィックスを使用しています。アドレス空間の構造が異なる場合は、2 つのオプションがあります。
| 戦略 | 使用する状況 | 仕組み |
|---|---|---|
| VPN 経由でより具体的なプレフィックスをアドバタイズ (このガイド) | データセンターの CIDR ブロックが VBR にアドバタイズされた範囲と重複する場合 | VBR にはより広範な範囲を、VPN BGP セッションにはより具体的な範囲をアドバタイズします |
| 非連続プレフィックス | VPN 接続された範囲が、他の Express Connect 接続されたネットワークと重複しない場合 | VPN と Express Connect の BGP セッションでそれぞれ異なるプレフィックスをアドバタイズします |
ネットワーク設計
データセンターとネットワークインスタンスの CIDR ブロックが重複しないようにしてください。
基本的なサブネット分割
| ネットワーク項目 | サブネット分割 | IP アドレス |
|---|---|---|
| VPC | プライマリ CIDR ブロック：172.16.0.0/16<br>vSwitch 1（ゾーン H）：172.16.10.0/24<br>vSwitch 2（ゾーン H）：172.16.20.0/24<br>vSwitch 3（ゾーン J）：172.16.30.0/24 | ECS 1：172.16.10.225<br>ECS 2：172.16.10.226 |
| VBR | 10.0.0.0/30 | VLAN ID：0<br>Alibaba Cloud 側：10.0.0.1/30<br>データセンター側：10.0.0.2/30<br>ASN：65534 |
| データセンター | クライアント CIDR ブロック：192.168.20.0/24<br>カスタマーゲートウェイデバイスの CIDR ブロック：10.0.0.0/30、192.168.10.0/24、192.168.40.0/24 | クライアント IP：192.168.20.6<br>VPN IP 1：192.168.10.136<br>VPN IP 2：192.168.40.159<br>Express Connect ポート：10.0.0.2/30<br>ASN：65530 |
BGP トンネルのサブネット分割
BGP トンネルの CIDR ブロックは、169.254.0.0/16 の範囲内で、マスクが /30 である必要があります。以下の予約済み CIDR ブロックは使用できません：169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、169.254.6.0/30、および 169.254.169.252/30。同じ IPsec-VPN 接続内の各トンネルは、異なる CIDR ブロックを使用する必要があります。
| リソース | トンネル | BGP トンネル CIDR ブロック | BGP IP アドレス | BGP ローカル ASN |
|---|---|---|---|---|
| IPsec-VPN 接続 | トンネル 1 | 169.254.10.0/30 | 169.254.10.1 | 65534 |
| IPsec-VPN 接続 | トンネル 2 | 169.254.20.0/30 | 169.254.20.1 | 65534 |
| カスタマーゲートウェイデバイス | トンネル 1 | 169.254.10.0/30 | 169.254.10.2 | 65530 |
| オンプレミスゲートウェイデバイス | トンネル 2 | 169.254.20.0/30 | 169.254.20.2 | 65530 |
前提条件
開始する前に、以下を確認してください。
中国 (杭州) リージョンで作成された VPC および Elastic Compute Service (ECS) インスタンスで実行されているアプリケーション。詳細については、「IPv4 CIDR ブロックを持つ VPC の作成」をご参照ください。
IKEv1 と IKEv2 をサポートするオンプレミスゲートウェイデバイスがあること。サポート状況については、ゲートウェイのベンダーにお問い合わせください。
ステップ 1：データセンターと VPC の接続
Express Connect 回線のデプロイ
中国 (杭州) リージョンで Express Connect 回線を申請します。詳細については、「クラシックモードのリクエスト」または「ホスト接続の概要」をご参照ください。この例では、専用接続を使用します。
仮想ボーダールーター (VBR) を作成します。
Express Connect コンソールにログインします。
左側のナビゲーションウィンドウで、[Virtual Border Routers (VBRs)] をクリックします。
上部のナビゲーションバーで、[中国 (杭州)] リージョンを選択します。VBR と Express Connect 回線は同じリージョンにある必要があります。
[Virtual Border Routers (VBRs)] ページで、[Create VBR] をクリックします。
[Create VBR] パネルで、以下のパラメーターを設定し、[OK] をクリックします。その他のパラメーターはデフォルト値を使用します。詳細については、「VBR の作成と管理」をご参照ください。
パラメーター 値 名前 VBR物理接続情報 専用物理接続 を選択し、ご利用の Express Connect 回線を選択します VLAN ID 0Alibaba Cloud 側 IPv4 アドレス 10.0.0.1データセンター側 IPv4 アドレス 10.0.0.2IPv4 サブネットマスク 255.255.255.252VBR の BGP グループを設定します。
[Virtual Border Routers (VBRs)] ページで、VBR ID をクリックします。
詳細ページで、[BGP グループ] タブをクリックします。
[Create BGP Group] をクリックし、以下のパラメーターを設定して [OK] をクリックします。詳細については、「BGP の設定」をご参照ください。
Name：
VBR-BGPPeer ASN：
65530(オンプレミスゲートウェイデバイスの ASN)Local ASN：
65534(VBR の BGP ASN)
VBR の BGP ピアを設定します。
VBR の詳細ページで、[BGP Peers] タブをクリックします。
「[BGP ピアの作成]」をクリックします。
[Create BGP Peer] パネルで、以下のパラメーターを設定し、[OK] をクリックします。
BGP Group：
VBR-BGPBGP Peer IP Address：
10.0.0.1(Express Connect 回線に接続するオンプレミスゲートウェイデバイスのインターフェイスの IP アドレス)
オンプレミスゲートウェイデバイスで BGP ルーティングを設定します。Cisco ASA CLI にログインし、コンフィグレーションモードに入ります。
この例では、Cisco ASA ソフトウェアバージョン 9.19.1 を使用しています。コマンドはソフトウェアバージョンによって異なる場合があります。特定の環境については、ベンダーのドキュメントをご参照ください。ゲートウェイ構成のガイダンスについては、「ローカルゲートウェイの構成」をご参照ください。以下の構成には、参照目的でのみ提供されているサードパーティ製品の情報が含まれています。Alibaba Cloud は、サードパーティ製品のパフォーマンス、信頼性、またはこれらの製品を使用して実行される操作の影響について、いかなる保証も行いません。
重要データセンターの CIDR ブロックを短いサブネットマスクで VBR にアドバタイズします。これにより、IPsec-VPN 接続にアドバタイズされるより具体的な CIDR ブロックが優先され、トラフィックが暗号化されたパスを経由するようになります。
ciscoasa> enable Password: ******** # enable モードのパスワードを入力します。 ciscoasa# configure terminal # コンフィグレーションモードに入ります。 ciscoasa(config)#インターフェイスの設定を確認します。この例では以下を使用します。
ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/0 # VBR に接続します。 nameif VBR security-level 0 ip address 10.0.0.1 255.255.255.252 # GigabitEthernet0/0 の IP アドレス。 ! interface GigabitEthernet0/2 # データセンターに接続します。 nameif private security-level 100 # セキュリティレベルは Alibaba Cloud に接続するインターフェイスより低くする必要があります。 ip address 192.168.50.215 255.255.255.0 # GigabitEthernet0/2 の IP アドレス。 ! interface GigabitEthernet0/3 # プライベート IPsec-VPN トンネル 1 に接続します。 nameif VPN-IP1 security-level 0 ip address 192.168.10.136 255.255.255.0 # GigabitEthernet0/3 のプライベート IP アドレス。 ! interface GigabitEthernet0/4 # プライベート IPsec-VPN トンネル 2 に接続します。 nameif VPN-IP2 security-level 0 ip address 192.168.40.159 255.255.255.0 # GigabitEthernet0/4 のプライベート IP アドレス。 !prefix-list と route-map を設定し、次に BGP ルーティングを設定します。
# prefix-list と route-map を設定します。 prefix-list VBR permit 192.168.0.0/16 route-map VBR permit 10 match ip address prefix-list VBR # BGP ルーティングを設定します。 router bgp 65530 # データセンターの ASN で BGP を有効にします。 bgp router-id 10.0.0.1 # BGP ルーター ID。 address-family ipv4 unicast neighbor 10.0.0.2 remote-as 65534 # VBR へのピアリング接続を確立します。 neighbor 10.0.0.2 activate # BGP ピアをアクティベートします。 neighbor 10.0.0.2 route-map VBR out # VBR には広範な CIDR ブロックのルートのみをアドバタイズします。 network 192.168.0.0 mask 255.255.0.0 # データセンターの CIDR ブロックを短いマスクでアドバタイズします。 exit-address-family ! # データセンター内のクライアントへの静的ルートを追加します。 route private 192.168.0.0 255.255.0.0 192.168.50.216
トランジットルーターの設定
Express Connect 回線が稼働したら、トランジットルーターを設定してデータセンターと VPC を接続します。
Cloud Enterprise Network (CEN) インスタンスを作成する。[CEN インスタンスの作成] ダイアログボックスで、[CEN のみを作成] をクリックし、名前を入力して、その他のパラメーターにはデフォルト設定を使用します。
中国 (杭州) リージョンでEnterprise Edition トランジットルーターを作成します。
VPC 接続を作成します。
[Create More Connections] をクリックして [Connection with Peer Network Instance] ページに戻ります。
パラメーター 値 インスタンスタイプ 仮想プライベートクラウド (VPC) リージョン 中国 (杭州) 添付ファイル名 VPC-Attachment[ネットワークインスタンス] ご利用の VPC [vSwitch] vSwitch 2 および vSwitch 3。ゾーンを 2 つ以上選択し、各ゾーンに vSwitch を 1 つずつ割り当てます。アイドル状態の vSwitch を使用してください。 詳細設定 デフォルト設定を使用します。すべての詳細機能が有効になっています。 VBR 接続を作成します。「[ピアネットワークインスタンスとの接続]」ページで、以下のパラメーターを設定し、[OK] をクリックします。詳細については、「VBR をトランジットルーターに接続する」をご参照ください。
パラメーター 値 [インスタンスタイプ] Virtual Border Router (VBR) [リージョン] 中国 (杭州) [アタッチメント名] VBR-Attachment[ネットワークインスタンス] VBR [詳細設定] デフォルトを使用します。すべての詳細機能が有効になっています。
接続の確認
ECS インスタンスのセキュリティグループルールで、データセンターの CIDR ブロックからの ICMP トラフィックとアクセスが許可されていることを確認してください。 データセンターのアクセスの制御ルールでも、VPC からの ICMP トラフィックとアクセスを許可する必要があります。 詳細については、「セキュリティグループルールを表示する」および「セキュリティグループルールを追加する」をご参照ください。
VPC 内の ECS 1 に接続します。詳細については、「接続方法の概要」をご参照ください。
次のコマンドを実行して、データセンター内のクライアントに PING を送信します。
ping <データセンター内のクライアントの IP アドレス>ECS 1 が応答を受信した場合、データセンターと VPC は接続されています。
ステップ 2：Express Connect 回線経由のトラフィックの暗号化
Express Connect 接続が確立されたら、プライベート IPsec-VPN 接続を追加し、ルーティングポリシーを設定して、データセンターと VPC 間のすべてのトラフィックを暗号化します。
プライベート IPsec-VPN 接続の作成
トランジットルーターに CIDR ブロック
10.10.10.0/24を追加します。詳細については、「トランジットルーターの CIDR ブロック」をご参照ください。この CIDR ブロックから割り当てられたゲートウェイ IP アドレスは、非公開 IPsec-VPN エンドポイントで使用されます。この CIDR ブロックは、通信に使用されるデータセンターまたは VPC の CIDR ブロックと重複してはなりません。2 つのカスタマーゲートウェイを作成して、オンプレミスゲートウェイデバイスの VPN IP アドレスと BGP ASN を Alibaba Cloud に登録します。
VPN Gateway コンソールにログインします。
左側のナビゲーションウィンドウで、相互接続 > VPN > カスタマーゲートウェイ を選択します。
[Customer Gateway] ページで、[Create Customer Gateway] をクリックします。
以下の 2 つのカスタマーゲートウェイを作成します。その他のパラメーターはデフォルト値を使用します。詳細については、「カスタマーゲートウェイ」をご参照ください。
カスタマーゲートウェイ 1
Name：
Customer-Gateway1IP Address：
192.168.10.136ASN：
65530
カスタマーゲートウェイ 2
Name：
Customer-Gateway2IP Address：
192.168.40.159ASN：
65530
IPsec-VPN 接続を作成します。接続が作成されると、詳細ページにプライベート IPsec-VPN 接続の作成に使用されたゲートウェイ IP アドレスが表示されます。
左側のナビゲーションウィンドウで、[Interconnections] > [VPN] > [IPsec Connections] を選択します。
[IPsec Connections] ページで、[Bind CEN] をクリックします。
以下のパラメーターを設定し、[OK] をクリックします。詳細については、「デュアルトンネル接続の作成と管理」をご参照ください。
重要IPsec-VPN 接続の事前共有鍵は、オンプレミスゲートウェイデバイスで設定された事前共有鍵と一致する必要があります。不一致の場合、接続は確立されません。
オンプレミスゲートウェイデバイスと一致する暗号化パラメーターを選択して、IKE と IPsec の設定が両側で一貫していることを確認してください。
パラメーター 値 [名前] IPsecConnection[リージョン] トランジットルーターのリージョン。IPsec 接続は、トランジットルーターと同じリージョンに作成されます。 [ゲートウェイタイプ] プライベート [CEN のバインド] 同じアカウント [CEN インスタンス ID] データセンターと VPC を接続する CEN インスタンスを選択します。システムにより、トランジットルーターのインスタンス ID と CIDR ブロックが表示されます。 [トランジットルーター] システムによって自動的に入力されます。 [ルーティングモード] 宛先ルーティングモード [BGP の有効化] 有効 [ローカル ASN] 65534[トンネル 1 — カスタマーゲートウェイ] Customer-Gateway1[トンネル 1 — 事前共有キー] fddsFF111****[トンネル 1 — 暗号化設定] デフォルト値を使用します。ただし、IKE と IPsec の両方の設定で [DH グループ] を [group14] に設定します。オンプレミスゲートウェイデバイスの設定と一致させる必要があります。 [トンネル 1 — BGP 設定] トンネル CIDR ブロック: 169.254.10.0/30、ローカル BGP IP アドレス:169.254.10.1[トンネル 2 — カスタマーゲートウェイ] Customer-Gateway2[トンネル 2 — 事前共有キー] fddsFF222****[トンネル 2 — 暗号化設定] デフォルト値を使用します。ただし、IKE と IPsec の両方の設定で [DH グループ] を [group14] に設定します。オンプレミスゲートウェイデバイスの設定と一致させる必要があります。 [トンネル 2 — BGP 設定] トンネル CIDR ブロック: 169.254.20.0/30、ローカル BGP IP アドレス:169.254.20.1[詳細設定] デフォルト値を使用します。すべての詳細機能が有効になっています。 [IPsec Connections] ページで、IPsec-VPN 接続を見つけ、[Actions] 列の [Generate Peer Configuration] をクリックします。
[IPsec Connection Configuration] ダイアログボックスで、ピア設定をコピーして保存します。これらはオンプレミスゲートウェイデバイスを設定する際に必要になります。
カスタマーゲートウェイデバイスを設定します。この設定後、カスタマーゲートウェイデバイスは Alibaba Cloud に対して非公開 IPsec 接続を確立しますが、BGP ピアはまだ設定されていません。IPsec 接続の詳細ページで接続ステータスを確認してください。接続が確立されていない場合は、「セルフサービス診断機能」をご参照ください。
Cisco ファイアウォールの CLI にログインし、コンフィグレーションモードに入ります：``
ciscoasa> enable Password: ******** # enable モードのパスワードを入力します。 ciscoasa# configure terminal # コンフィグレーションモードに入ります。 ciscoasa(config)#``インターフェイスとルートの設定を表示します。トンネルインターフェイスが設定され、有効になっていることを確認します。
ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/3 # プライベート IPsec-VPN トンネル 1 に接続します。 nameif VPN-IP1 security-level 0 ip address 192.168.10.136 255.255.255.0 # GigabitEthernet0/3 のプライベート IP アドレス。 ! interface GigabitEthernet0/4 # プライベート IPsec-VPN トンネル 2 に接続します。 nameif VPN-IP2 security-level 0 ip address 192.168.40.159 255.255.255.0 # GigabitEthernet0/4 のプライベート IP アドレス。 !両方のインターフェイスで IKEv2 を有効にします：``
crypto ikev2 enable VPN-IP1 crypto ikev2 enable VPN-IP2``IKEv2 ポリシーを作成します。値は Alibaba Cloud で設定したものと一致する必要があります。
重要IKE フェーズでは、暗号化アルゴリズム、認証アルゴリズム、DH グループのそれぞれに 1 つの値のみを指定してください。Alibaba Cloud で設定したものと同じ値を使用してください。
crypto ikev2 policy 10 encryption aes # 暗号化アルゴリズム。 integrity sha # 認証アルゴリズム。 group 14 # DH グループ。 prf sha # 整合性の値と一致する必要があります。 lifetime seconds 86400 # SA ライフタイム。IPsec プロポーザルとプロファイルを作成します。値は Alibaba Cloud で設定したものと一致する必要があります。
重要IPsec フェーズでは、暗号化アルゴリズム、認証アルゴリズム、DH グループのそれぞれに 1 つの値のみを指定してください。Alibaba Cloud で設定したものと同じ値を使用してください。
crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL protocol esp encryption aes # 暗号化アルゴリズム。Alibaba Cloud は ESP を使用します。 protocol esp integrity sha-1 # 認証アルゴリズム。Alibaba Cloud は ESP を使用します。 crypto ipsec profile ALIYUN-PROFILE set ikev2 ipsec-proposal ALIYUN-PROPOSAL set ikev2 local-identity address # ローカル ID のフォーマットを IP アドレスに設定し、Alibaba Cloud と一致させます。 set pfs group14 # PFS と DH グループ。 set security-association lifetime seconds 86400 # 時間ベースの SA ライフタイム。 set security-association lifetime kilobytes unlimited # トラフィックベースの SA ライフタイムを無効にします。トンネルグループを作成し、事前共有鍵を指定します。鍵は Alibaba Cloud のものと一致する必要があります。
tunnel-group 10.10.10.49 type ipsec-l2l # トンネル 1：暗号化モードを l2l に設定します。 tunnel-group 10.10.10.49 ipsec-attributes ikev2 remote-authentication pre-shared-key fddsFF111** # トンネル 1 のピア事前共有鍵。 ikev2 local-authentication pre-shared-key fddsFF111 # トンネル 1 のローカル事前共有鍵。 ! tunnel-group 10.10.10.50 type ipsec-l2l # トンネル 2：暗号化モードを l2l に設定します。 tunnel-group 10.10.10.50 ipsec-attributes ikev2 remote-authentication pre-shared-key fddsFF222 # トンネル 2 のピア事前共有鍵。 ikev2 local-authentication pre-shared-key fddsFF222** # トンネル 2 のローカル事前共有鍵。 !トンネルインターフェイスを作成します。
interface Tunnel1 # トンネル 1 インターフェイス。 nameif ALIYUN1 ip address 169.254.10.2 255.255.255.252 # インターフェイス IP アドレス。 tunnel source interface VPN-IP1 # ソース：GigabitEthernet0/3。 tunnel destination 10.10.10.49 # 送信先：Alibaba Cloud トンネル 1 プライベート IP。 tunnel mode ipsec ipv4 tunnel protection ipsec profile ALIYUN-PROFILE no shutdown # インターフェイスを有効にします。 ! interface Tunnel2 # トンネル 2 インターフェイス。 nameif ALIYUN2 ip address 169.254.20.2 255.255.255.252 # インターフェイス IP アドレス。 tunnel source interface VPN-IP2 # ソース：GigabitEthernet0/4。 tunnel destination 10.10.10.50 # 送信先：Alibaba Cloud トンネル 2 プライベート IP。 tunnel mode ipsec ipv4 tunnel protection ipsec profile ALIYUN-PROFILE no shutdown # インターフェイスを有効にします。 !
ルートの設定
この時点では、トラフィックはまだ Express Connect 回線経由で暗号化されずに流れています。BGP ルーティングとトランジットルーターのルートを設定して、トラフィックを暗号化された VPN パスに切り替えます。
オンプレミスゲートウェイデバイスに BGP ルーティング設定を追加します。VBR よりも具体的なルートを IPsec-VPN トンネルにアドバタイズします。
重要IPsec-VPN 接続にアドバタイズされる CIDR ブロックは、VBR にアドバタイズされるものよりも具体的でなければなりません。これにより、トランジットルーターはデータセンター宛のトラフィックに対して VPN パスを優先するようになります。
# prefix-list と route-map を設定します。 prefix-list VPN permit 192.168.10.0/16 prefix-list VPN permit 192.168.20.0/16 prefix-list VPN permit 192.168.40.0/16 route-map VPN permit 10 match ip address prefix-list VPN # オンプレミスゲートウェイデバイスと IPsec-VPN 接続の間に BGP ピアを設定します。 router bgp 65530 address-family ipv4 unicast neighbor 169.254.10.1 remote-as 65534 # BGP ピア：Alibaba Cloud 側のトンネル 1 IP。 neighbor 169.254.10.1 activate neighbor 169.254.10.1 route-map VPN out # トンネル 1 に具体的なルートをアドバタイズします。 neighbor 169.254.20.1 remote-as 65534 # BGP ピア：Alibaba Cloud 側のトンネル 2 IP。 neighbor 169.254.20.1 activate neighbor 169.254.20.1 route-map VPN out # トンネル 2 に具体的なルートをアドバタイズします。 maximum-paths 5 # ECMP ルートエントリを増やします。 network 192.168.10.0 mask 255.255.255.0 # データセンター CIDR ブロック — VBR にアドバタイズされたルートよりも具体的。 network 192.168.20.0 mask 255.255.255.0 network 192.168.40.0 mask 255.255.255.0 exit-address-familyトランジットルーターのルートテーブルにカスタムルートを追加します。上記の BGP 設定が有効になると、トランジットルーターのルートテーブルに VPN IP アドレス (
192.168.10.136および192.168.40.159) へのルートが存在しなくなるため、IPsec-VPN 接続が中断される可能性があります。これらの IP を指すホストルートを、ネクストホップとして VBR を指定して追加し、接続を復元します。CEN コンソールの [Route Table] タブで、[Route Entry] タブをクリックし、[Add Route Entry] をクリックします。
[Add Route Entry] ダイアログボックスで、以下の 2 つのルートエントリを作成し、[OK] をクリックします。
パラメーター CIDR ブロック 1 CIDR ブロック 2 [Destination CIDR] 192.168.10.136/32192.168.40.159/32ブラックホールルートかどうか いいえ いいえ [Next Hop Connection] VBR-AttachmentVBR-Attachmentトランジットルーターにルーティングポリシーを作成して、VBR によってアドバタイズされる VPC ルートの優先度を下げます。これにより、データセンターから VPC へのトラフィックが IPsec-VPN パスを優先するようになります。ルーティングポリシー 1 — VBR がデータセンターにアドバタイズする VPC ルートの優先度を下げる：ルーティングポリシー 2 — VPN IP アドレスが VBR 経由でデータセンターに伝播されるのを防ぎ、ルーティングループを回避する：
CEN コンソールにログインします。
[Instances] ページで、CEN インスタンス ID をクリックします。
詳細ページで、中国 (杭州) リージョンのトランジットルーターを見つけ、その ID をクリックします。
トランジットルーターの詳細ページで、[Route Table] タブをクリックし、次に [Route Maps] をクリックします。
[Route Maps] タブで、[Add Route Map] をクリックし、以下の 2 つのルーティングポリシーを作成します。詳細については、「ルートマップの概要」をご参照ください。
パラメーター 値 ポリシーの優先順位 30関連ルートテーブル デフォルト値を使用 方向 下りリージョンゲートウェイ 一致条件 宛先インスタンス ID：VBR ID を選択ルートプレフィックス： 172.16.10.0/24および172.16.20.0/24、完全一致ポリシーアクション 許可 アクションオブジェクトの追加 AS パスのプリペンド： 65525、65526、65527パラメーター 値 ポリシーの優先度 40関連付けられたルートテーブル デフォルトを使用 方向 Egress Regional Gateway マッチ条件 宛先インスタンス ID：VBR ID を選択<br>ルートプレフィックス： 192.168.10.136/32および192.168.40.159/32、完全一致ポリシーのアクション 拒否 
暗号化の確認
設定が完了したら、IPsec-VPN 接続の詳細ページでデータ転送統計を確認し、トラフィックが暗号化された IPsec-VPN パスを流れていることを確認します。
VPC 内の ECS 1 に接続し、次のコマンドを実行してトラフィックを生成します。
-s 1000：1,000 バイトのパケットを送信します。-c 10000：10,000 個のパケットを送信します。
ping <データセンター内のクライアントの IP アドレス> -s 1000 -c 10000VPN Gateway コンソールにログインします。
上部のナビゲーションバーで、[中国 (杭州)] リージョンを選択します。
左側のナビゲーションウィンドウで、[Interconnections] > [VPN] > [IPsec Connections] を選択します。
IPsec-VPN 接続を見つけ、その ID をクリックして詳細ページを開きます。詳細ページにデータ転送統計が表示されていれば、トラフィックは暗号化されています。
次のステップ
他のメソッドを使用して Express Connect トラフィックを暗号化する方法については、「Express Connect トラフィックを暗号化する」をご参照ください。
IPsec 接続の問題をトラブルシューティングするには、「セルフサービス診断」をご参照ください。