このガイドでは、カスタマーゲートウェイデバイスとトランジットルーターの間にプライベート IPsec-VPN 接続を作成し、仮想ボーダールーター (VBR) 上の静的ルーティングと VPN 接続上のボーダーゲートウェイプロトコル (BGP) 動的ルーティングを組み合わせることで、Express Connect 回線上のトラフィックを暗号化する方法について説明します。
シナリオ
オンプレミス IDC と VPC の間にプライベート接続を確立した後、企業はカスタマーゲートウェイデバイスと TR の間にプライベート IPsec-VPN 接続を作成できます。このプライベート IPsec-VPN 接続は、物理接続を通過するトラフィックを暗号化し、企業の厳しいセキュリティ要件を満たします。
ネットワーク計画
オンプレミス IDC と関連ネットワークインスタンスの CIDR ブロックを計画する際は、相互接続するネットワークの CIDR ブロックが重複しないようにしてください。
ルーティングメカニズム
ルート選択を制御することで、物理接続上のプライベートトラフィックを暗号化できます：
VPC からオンプレミス IDC へのトラフィック：
TR は、仮想ボーダールーター (VBR) インスタンスとプライベート IPsec-VPN 接続の両方からオンプレミス IDC へのルートを学習します。デフォルトでは、TR は VBR から学習したルートを優先します。その結果、VPC からオンプレミス IDC へのトラフィックは、物理接続上で暗号化されずに送信されます。
この問題を回避するには、オンプレミス IDC の CIDR ブロックに異なるサブネットマスクを使用します。オンプレミス IDC の CIDR ブロックを VBR インスタンスに追加する際は、より大きな CIDR ブロック (より短いサブネットマスク) を指定します。カスタマーゲートウェイデバイスがプライベート IPsec-VPN 接続を介してオンプレミス IDC の CIDR ブロックをアドバタイズする際は、より具体的な CIDR ブロック (より長いサブネットマスク) をアドバタイズします。
たとえば、オンプレミス IDC の CIDR ブロックが
192.168.0.0/16で、VPC と通信する必要があるクライアント CIDR ブロックが192.168.20.0/24の場合、192.168.0.0/16の CIDR ブロックを VBR インスタンスに追加します。その後、カスタマーゲートウェイデバイスは、より具体的な192.168.20.0/24のクライアント CIDR ブロックをプライベート IPsec-VPN 接続を介してアドバタイズします。これにより、最長プレフィックス一致のルールに従い、TR はプライベート IPsec-VPN 接続からのルートを優先するようになります。その結果、VPC からクライアントへのトラフィックは暗号化され、プライベート IPsec-VPN 接続を介して送信されます。オンプレミス IDC から VPC へのトラフィック：
オンプレミス IDC は、プライベート IPsec-VPN 接続を介して VPC へのルートを自動的に学習します。さらに、ご利用のカスタマーゲートウェイデバイスに VPC の CIDR ブロックの静的ルートを追加し、ネクストホップを物理接続に指定します。その後、この静的ルートの優先度を下げて、プライベート IPsec-VPN 接続を介して動的に学習されたルートを優先させます。これにより、オンプレミス IDC から VPC へのトラフィックは、暗号化されたプライベート IPsec-VPN 接続を介してルーティングされます。
基本的な CIDR ブロック計画
リソース | CIDR ブロック | IP アドレス |
VPC |
|
|
VBR |
|
|
オンプレミス IDC | クライアント CIDR ブロック： | クライアント IP アドレス： 192.168.20.6 |
カスタマーゲートウェイデバイスの CIDR ブロック：
|
|
BGP CIDR ブロック計画
| リソース | トンネル | BGP トンネル CIDR ブロック | BGP IP アドレス | BGP ローカル ASN |
|---|---|---|---|---|
| IPsec-VPN 接続 | トンネル 1 | 169.254.10.0/30 | 169.254.10.1 | 65534 |
| IPsec-VPN 接続 | トンネル 2 | 169.254.20.0/30 | 169.254.20.1 | 65534 |
| カスタマーゲートウェイデバイス | トンネル 1 | 169.254.10.0/30 | 169.254.10.2 | 65530 |
| カスタマーゲートウェイデバイス | トンネル 2 | 169.254.20.0/30 | 169.254.20.2 | 65530 |
前提条件
開始する前に、以下を確認してください：
中国 (杭州) リージョンに、Elastic Compute Service (ECS) インスタンス上でアプリケーションが実行されている VPC があること。詳細については、「IPv4 CIDR ブロックを持つ VPC の作成」をご参照ください。
IKEv1 と IKEv2 をサポートするカスタマーゲートウェイデバイスがあること。ゲートウェイのベンダーに確認してください。
操作手順
ステップ 1: オンプレミス IDC と VPC の接続
ステップ 1a: Express Connect 回線のデプロイ
中国 (杭州) リージョンで Express Connect 回線を申請します。詳細については、「クラシックモードのリクエスト」または「ホスト型接続の概要」をご参照ください。この例では、専用の物理接続を使用します。
VBR を作成します。
Express Connect コンソールにログインします。
左側のナビゲーションウィンドウで、[Virtual Border Routers (VBRs)] をクリックします。
上部のナビゲーションバーで、[中国 (杭州)] を選択します。VBR と Express Connect 回線は同じリージョンにある必要があります。
[VBR の作成] をクリックします。
[VBR の作成] パネルで、以下のパラメーターを設定し、[OK] をクリックします。その他のパラメーターは、デフォルト値を使用します。詳細については、「VBR の作成と管理」をご参照ください。
パラメーター 設定例 名前 VBR物理接続情報 [専用物理接続] を選択し、デプロイした Express Connect 回線を選択します VLAN ID 0Alibaba Cloud 側 IPv4 アドレス 10.0.0.1データセンター側 IPv4 アドレス 10.0.0.2IPv4 サブネットマスク 255.255.255.252VBR にデータセンターを指すルートを追加します。
[Virtual Border Routers (VBRs)] ページで、VBR ID をクリックします。
[ルート] タブをクリックし、次に [カスタムルートエントリ] タブをクリックし、[ルートの追加] をクリックします。
[ルートの追加] パネルで、以下のパラメーターを設定し、[OK] をクリックします。
重要ここでは、短いマスク (
/16) を使用します。これにより、より具体的な IPsec-VPN ルート (/24) が、トンネルがアクティブな場合にこのルートよりも優先されます。パラメーター 例の値 ネクストホップタイプ Express Connect 回線 宛先 CIDR ブロック 192.168.0.0/16ネクストホップ デプロイした Express Connect 回線 カスタマーゲートウェイデバイスに VPC を指すルートを追加します。Cisco ファイアウォールにインターフェイスがすでに設定されていることを確認します：
説明この例では、Cisco Adaptive Security Appliance（ASA）ソフトウェア バージョン 9.19.1 を使用しています。コマンドはバージョンによって異なる場合があります — お客様の環境に応じたベンダーのドキュメントを参照してください。詳細については、「ローカル ゲートウェイの設定」をご参照ください。以下の Cisco 設定は参考用のみです。Alibaba Cloud は、サードパーティ製品のパフォーマンスまたは信頼性について一切保証いたしません。
ciscoasa> enable Password: ******** # enable モードのパスワードを入力します。 ciscoasa# configure terminal # 設定モードに入ります。 ciscoasa(config)# ciscoasa(config)# show running-config interface ! interface GigabitEthernet0/0 # VBR に接続します。 nameif VBR security-level 0 ip address 10.0.0.1 255.255.255.252 ! interface GigabitEthernet0/2 # データセンターに接続します。 nameif private security-level 100 # Alibaba Cloud に接続するインターフェイスよりも低くする必要があります。 ip address 192.168.50.215 255.255.255.0 ! interface GigabitEthernet0/3 # プライベート IPsec-VPN トンネル 1 に接続します。 nameif VPN-IP1 security-level 0 ip address 192.168.10.136 255.255.255.0 ! interface GigabitEthernet0/4 # プライベート IPsec-VPN トンネル 2 に接続します。 nameif VPN-IP2 security-level 0 ip address 192.168.40.159 255.255.255.0 ! # VPC (172.16.0.0/16) への静的ルート。 route VBR 172.16.0.0 255.255.0.0 10.0.0.2 # データセンターのクライアントサブネットへのルート。 route private 192.168.0.0 255.255.0.0 192.168.50.216
ステップ 1b: トランジットルーターの設定
Cloud Enterprise Network (CEN) インスタンスを作成します。[CEN インスタンスの作成] ダイアログボックスで、[CEN のみ作成] をクリックし、名前を入力して、デフォルト設定を維持します。
中国 (杭州) リージョンに Enterprise Edition トランジットルーターを作成して、VBR と VPC を接続します。デフォルト設定を維持します。
VPC 接続を作成します。
[さらに接続を作成] をクリックして、[ピアネットワークインスタンスとの接続] ページに戻ります。
パラメーター 値 インスタンスタイプ Virtual Private Cloud (VPC) リージョン 中国 (杭州) アタッチメント名 VPC-Attachmentネットワークインスタンス ご利用の VPC vSwitch vSwitch 2 と vSwitch 3。リージョンに複数のゾーンがある場合は、各ゾーンに 1 つの vSwitch を持つ少なくとも 2 つのゾーンを選択します。アイドル状態の vSwitch を使用します。 詳細設定 デフォルト (すべての高度な機能が有効) 同じページで VBR 接続を作成します。以下のパラメーターを設定し、[OK] をクリックします。詳細については、「VBR をトランジットルーターに接続する」をご参照ください。
パラメーター 値 インスタンスタイプ Virtual Border Router (VBR) リージョン 中国 (杭州) アタッチメント名 VBR-Attachmentネットワークインスタンス VBR 詳細設定 デフォルト (すべての高度な機能が有効)
ステップ 2: プライベートネットワークトラフィックの暗号化
オンプレミス IDC と VPC の間にプライベート接続を確立した後、ご利用のカスタマーゲートウェイデバイスとトランジットルーターの間にプライベート IPsec-VPN 接続を作成します。次に、オンプレミス IDC と VPC 間のトラフィックが IPsec-VPN 接続を通過するようにルートを設定します。これにより、物理接続を介して送信されるプライベートネットワークトラフィックが暗号化されます。
ステップ 1: プライベート IPsec-VPN 接続の確立
カスタマーゲートウェイデバイスを設定します。
IPsec 接続を作成した後、Alibaba Cloud とのプライベート IPsec-VPN 接続を確立するために、VPN 設定をカスタマーゲートウェイデバイスに追加する必要があります。
これらの設定を完了すると、カスタマーゲートウェイデバイスは Alibaba Cloud とのプライベート IPsec-VPN 接続を確立しますが、BGP ピアリングはまだ確立されていません。Alibaba Cloud コンソールの IPsec 接続詳細ページでプライベート IPsec-VPN 接続のステータスを確認できます。接続に失敗した場合は、問題のトラブルシューティングを試みてください。詳細については、「IPsec-VPN セルフサービス診断」をご参照ください。
ステップ 2: ルーティングの設定
プライベート IPsec-VPN 接続を作成した後も、オンプレミス IDC と VPC 間のトラフィックは物理接続上で暗号化されずに通信されます。このトラフィックがプライベート IPsec-VPN 接続を通過するようにルートを設定する必要があります。
カスタマーゲートウェイデバイスに BGP 設定を追加して、IPsec 接続との BGP ピアリング関係を確立します。これにより、オンプレミス IDC と VPC は BGP 動的ルーティングを通じて互いのルートを自動的に学習できるようになります。
#カスタマーゲートウェイデバイスと IPsec 接続の間に BGP ピアリングを確立するための BGP 設定を追加します。 router bgp 65530 address-family ipv4 unicast neighbor 169.254.10.1 remote-as 65534 #BGP ピアを指定します。これは Alibaba Cloud 側のトンネル 1 の IP アドレスです。 neighbor 169.254.10.1 activate #BGP ピアをアクティブ化します。 neighbor 169.254.20.1 remote-as 65534 #BGP ピアを指定します。これは Alibaba Cloud 側のトンネル 2 の IP アドレスです。 neighbor 169.254.20.1 activate #BGP ピアをアクティブ化します。 network 192.168.10.0 mask 255.255.255.0 #オンプレミス IDC の CIDR ブロックをアドバタイズします。この CIDR ブロックは、VBR インスタンスに追加された CIDR ブロックよりも具体的でなければなりません。 network 192.168.20.0 mask 255.255.255.0 network 192.168.40.0 mask 255.255.255.0 maximum-paths 5 #BGP ECMP 等コストルートの数を増やします。 exit-address-family #Alibaba Cloud VPC (172.16.0.0/16) への静的ルートのアドミニストレーティブディスタンスを、BGP ルートのアドミニストレーティブディスタンスよりも高い値に変更します。アドミニストレーティブディスタンスが高いほど、優先度は低くなります。eBGP のデフォルトのアドミニストレーティブディスタンスは 20 です。 route VBR 172.16.0.0 255.255.0.0 10.0.0.2 30トランジットルーターのルートテーブルにルーティングポリシーを追加して、プライベート IPsec-VPN 接続がカスタマーゲートウェイデバイスの VPN IP アドレスへのルートをオンプレミス IDC にアドバタイズしないようにします。これにより、ルーティングループを防ぎます。
Cloud Enterprise Network コンソールにログインします。
インスタンス ページで、作成した CEN インスタンスを見つけ、インスタンス ID をクリックします。
インスタンス詳細ページで、中国 (杭州) リージョンのトランジットルーター ID をクリックします。
トランジットルーター詳細ページで、Forwarding router routing table タブをクリックし、次に Routing Policy をクリックします。
Routing Policy タブで、ルートマップの追加 をクリックします。ルーティングポリシーを設定し、OK をクリックします。
このトピックでは、このシナリオに関連するパラメーターのみを説明します。その他のパラメーターについては、デフォルト値を使用してください。詳細については、「ルートポリシー (レガシー) (TR のみ)」をご参照ください。
ステップ 2c: 暗号化の検証
設定完了後、トラフィックが暗号化トンネルを通過していることを確認します。
ECS 1 に接続し、データセンター内のクライアントに持続的なトラフィックを送信します：
-s 1000：パケットあたり 1,000 バイトを送信します。-c 10000：10,000 リクエストを送信します。
ping <データセンター内のクライアントの IP アドレス> -s 1000 -c 10000VPN Gateway コンソールVPN Gateway コンソールにログインします。
上部のナビゲーションバーで、[中国 (杭州)] を選択します。
左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。
[IPsec 接続] ページで、IPsec-VPN 接続の ID をクリックします。
詳細ページでデータ転送アクティビティが表示されれば、トラフィックは暗号化され、プライベート IPsec-VPN 接続を通過しています。
