VPN Gateway:VPN Gateway 経由でデータセンターと VPC 間でデータを同期するために DTS を使用する

左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。

[作成成功] ダイアログボックスで、[OK] をクリックします。

IPsec 接続 ページで、作成した IPsec-VPN 接続を見つけ、操作 列の [ピア設定の生成] をクリックします。

IPsec ピアの設定は、IPsec-VPN 接続を作成するときに追加する必要がある VPN 設定を指します。この例では、データセンターのゲートウェイデバイスに VPN 設定を追加する必要があります。

IPsec-VPN 接続の設定 ダイアログボックスで、設定をコピーしてオンプレミスマシンに保存します。この設定は、データセンターのゲートウェイデバイスを設定するときに必要です。

保存したピア設定をオンプレミスゲートウェイデバイスに追加します。

1. オンプレミスゲートウェイデバイスのコマンドラインインターフェイス (CLI) にログインします。

2. 次のコマンドを実行して、IKEv2 プロポーザルとポリシーを設定します。

   //オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //暗号化アルゴリズムを設定します。この例では、aes-cbc-128 が使用されます。
   integrity sha1                  //認証アルゴリズムを設定します。この例では、sha1 が使用されます。
   group 2                         //DH グループを設定します。この例では、group 2 が使用されます。
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. 次のコマンドを実行して、IKEv2 キーリングを設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.3               //IPsec-VPN 接続のアクティブなトンネルのパブリック IP アドレス。この例では、47.XX.XX.3 が使用されます。
   pre-shared-key fddsFF123****     //事前共有鍵を設定します。この例では、fddsFF123**** が使用されます。
   exit
   !
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.169               //IPsec-VPN 接続のスタンバイ トンネルのパブリック IP アドレス。この例では、47.XX.XX.169 が使用されます。
   pre-shared-key fddsFF456****     //事前共有鍵を設定します。この例では、fddsFF456**** が使用されます。
   exit
   !

4. 次のコマンドを実行して、IKEv2 プロファイルを設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.3 255.255.255.255    //IPsec-VPN 接続のアクティブなトンネルのパブリック IP アドレスを照合します。この例では、47.XX.XX.3 が使用されます。
   identity local address 211.XX.XX.36    //オンプレミスゲートウェイデバイス 1 のパブリック IP アドレス。この例では、211.XX.XX.36 が使用されます。
   authentication remote pre-share   //ピアの認証方式は PSK (事前共有鍵) です。
   authentication local pre-share    //ローカルエンドの認証方式は PSK です。
   keyring local alicloud            //キーリングを呼び出します。
   exit
   !
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.169 255.255.255.255    //IPsec-VPN 接続のスタンバイ トンネルのパブリック IP アドレスを照合します。この例では、47.XX.XX.169 が使用されます。
   identity local address 211.XX.XX.71    //オンプレミスゲートウェイデバイス 2 のパブリック IP アドレス。この例では、211.XX.XX.71 が使用されます。
   authentication remote pre-share   //ピアの認証方式は PSK (事前共有鍵) です。
   authentication local pre-share    //ローカルエンドの認証方式は PSK です。
   keyring local alicloud            //キーリングを呼び出します。
   exit
   !

5. 次のコマンドを実行して、変換セットを設定します。

   //オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. 保護するデータストリームを定義するために、アクセス制御リスト (ACL) を設定します。

   //オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

7. IPsec ポリシーを設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100

8. 次のコマンドを実行して、IPsec トンネルを設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   interface GigabitEthernet1                 //IPsec-VPN 接続とのアクティブな VPN トンネルを確立するために使用されるインターフェイス IP アドレスを設定します。
   ip address 211.XX.XX.36 255.255.255.0
   crypto map ipsecpro64			//IPsec ポリシーを適用します。
   negotiation auto
   !
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   interface GigabitEthernet1                 //IPsec-VPN 接続とのスタンバイ VPN トンネルを確立するために使用されるインターフェイス IP アドレスを設定します。
   ip address 211.XX.XX.71 255.255.255.0
   crypto map ipsecpro64		  //IPsec ポリシーを適用します。
   negotiation auto
   !

保存したピア設定をオンプレミスゲートウェイデバイスに追加します。

1. オンプレミスゲートウェイデバイスの CLI にログインします。

2. ISAKMP ポリシーを設定します。

   //オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto isakmp policy 1 
   authentication pre-share 
   encryption aes
   hash sha 
   group  2
   lifetime 86400

3. 事前共有鍵を設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   crypto isakmp key fddsFF123**** address 47.XX.XX.3
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto isakmp key fddsFF456**** address 47.XX.XX.169

4. IPsec セキュリティプロトコルを設定します。

   //オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac 
   mode tunnel

5. 保護するデータストリームを定義するために ACL を設定します。//オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に次の設定を追加します。 access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

   //以下の構成をオンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に追加します。
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

6. IPsec ポリシーを設定します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set ipsecpro64
   set pfs group2
   match address 100
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set ipsecpro64
   set pfs group2
   match address 100

7. IPsec ポリシーを適用します。

   //オンプレミスゲートウェイデバイス 1 に次の設定を追加します。
   interface GigabitEthernet1    //パブリック IP アドレスで設定されたインターフェイスに IPsec ポリシーを適用します。
   crypto map ipsecpro64
   //オンプレミスゲートウェイデバイス 2 に次の設定を追加します。
   interface GigabitEthernet1    //パブリック IP アドレスで設定されたインターフェイスに IPsec ポリシーを適用します。
   crypto map ipsecpro64

オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 にルーティング設定を追加します。

1. オンプレミスゲートウェイデバイス 1 とオンプレミスゲートウェイデバイス 2 に VPC を指すルートを追加します。

   //オンプレミスゲートウェイデバイス 1 に VPC を指すルートを追加します。
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
   //オンプレミスゲートウェイデバイス 2 に VPC を指すルートを追加します。
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

2. ネットワーク環境で必要な場合は、データセンターにルーティング設定を追加します。ルートは、データセンターから VPC へのトラフィックが優先的にオンプレミスゲートウェイデバイス 1 を通過するように許可する必要があります。オンプレミスゲートウェイデバイス 1 に障害が発生した場合、トラフィックは自動的にオンプレミスゲートウェイデバイス 2 を通過します。具体的なコマンドについては、デバイスベンダーにお問い合わせください。