Express Connect と IPsec-VPN をプライマリ/バックアップリンクとして使用

シナリオ例

このトピックでは、Express Connect リンクと IPsec 接続をプライマリ/バックアップリンクとして使用する冗長ネットワークアーキテクチャについて説明します。

このシナリオでは、Express Connect リンクは Border Gateway Protocol (BGP) を使用し、IPsec 接続は BGP または静的ルートを使用します。

リソース計画

Alibaba Cloud のリソース計画：

• VPC：ドイツ (フランクフルト) リージョンに CIDR ブロックが 10.0.0.0/16 の VPC。

  • vSwitch 1：10.0.0.0/24。接続テスト用に IP アドレスが 10.0.0.1 の Elastic Compute Service (ECS) インスタンスが含まれます。

  • vSwitch 2：10.0.1.0/24。

• TR：ドイツ (フランクフルト) リージョンに Cloud Enterprise Network (CEN) インスタンスと、CIDR ブロックが 10.3.0.0/24 の Transit Router (TR) を作成します。

• ECR：自律システム番号 (ASN) が 65001 の Express Connect Router (ECR)。

• VBR：オンプレミスのゲートウェイデバイスに接続するための物理ポートを作成し、このポートに基づいて Virtual Border Router (VBR) を作成します。

  • [Alibaba Cloud 側 IPv4 相互接続 IP]：10.1.0.1。

  • [クライアント側 IPv4 相互接続 IP]：10.1.0.2。

  • [IPv4 サブネットマスク]：255.255.255.252。

• IPsec 接続：

  • BGP を使用する場合、BGP 設定は次のとおりです：

    • トンネル 1：トンネルの CIDR ブロックは 169.254.10.0/30、Alibaba Cloud 側の BGP IP アドレスは 169.254.10.1 です。

    • トンネル 2：トンネルの CIDR ブロックは 169.254.20.0/30、Alibaba Cloud 側の BGP IP アドレスは 169.254.20.1 です。

• Alibaba Cloud 側の ASN：65001。

オンプレミス IDC のリソース計画：

• オンプレミスネットワーク：172.16.0.0/16。接続テスト用に IP アドレスが 172.16.0.1 のサーバーが含まれます。

• オンプレミスゲートウェイデバイス：

  • Express Connect リンクを介して Alibaba Cloud に接続します。Express Connect リンクのネットワークインターフェイスの IP アドレスは 10.1.0.2 です。

  • IPsec-VPN 機能をサポートします。BGP を使用する場合、BGP 設定は次のとおりです：

    • トンネル 1：トンネルの CIDR ブロックは 169.254.10.0/30、オンプレミス側の BGP IP アドレスは 169.254.10.2 です。

    • トンネル 2：トンネルの CIDR ブロックは 169.254.20.0/30、オンプレミス側の BGP IP アドレスは 169.254.20.2 です。

    IPsec 接続で静的ルートを使用する場合、オンプレミスのゲートウェイデバイスが静的等コストマルチパス (ECMP) ルーティングをサポートしていることを確認してください。IPsec 接続を TR に関連付けると、2 つのトンネルは自動的に、クラウドからオンプレミス IDC へのトラフィックに対して ECMP リンクを形成します。オンプレミス IDC がクラウドへのトラフィックに対して ECMP をサポートしていない場合、非対称ルーティングが発生します。

  • アウトバウンドトラフィックには、単一のパブリック IP アドレス 3.3.XX.XX を使用します。このパブリック IP アドレスを使用して、IPsec 接続を確立します。

• オンプレミスの ASN：65002。

ステップ1：リソースの作成

1. ドイツ (フランクフルト) リージョンで、専用または共有の物理ポートを作成し、オンプレミスのゲートウェイデバイスに接続します。

2. 「リソース計画」で定義されている VPC と vSwitch、ECS インスタンス、CEN インスタンス、TR、ECR、VBR を作成します。

ステップ2：Express Connect リンクの接続

ping 172.16.0.1

ステップ3：IPsec 接続の確立

ステップ4：プライマリ/バックアップリンクの設定

• アウトバウンドトラフィックのプライマリ/バックアップパスの選択 (Alibaba Cloud 側での設定)

  TR のルート優先度に従い、VBR または ECR インスタンスからのルートは、IPsec 接続からのルートよりも高い優先度を持ちます。したがって、追加の設定は不要です。クラウドからのアウトバウンドトラフィックは、自動的に Express Connect リンクを優先します。

• インバウンドトラフィックのプライマリ/バックアップパスの選択 (オンプレミス IDC 側での設定)

  オンプレミスのゲートウェイデバイスでルートの優先度を設定します：

  • IPsec 接続が BGP ルーティングを使用する場合、優先度を次のように設定します：Express Connect リンク経由で学習した BGP ルート > IPsec 接続経由で学習した BGP ルート。

  • IPsec 接続が静的ルーティングを使用する場合、優先度を次のように設定します：Express Connect リンク経由で学習した BGP ルート > ネクストホップが IPsec 接続を指す静的ルート。

  次の例は、IPsec 接続が BGP ルーティングを使用する Cisco ASA ファイアウォール (ソフトウェアバージョン 9.19.1) での設定を示しています。

  重要

  設定コマンドは、ソフトウェアのバージョンによって異なる場合があります。操作を実行する際は、お使いの環境のドキュメントを参照するか、関連ベンダーにお問い合わせください。サードパーティ製品に関する情報は参照用です。Alibaba Cloud は、サードパーティ製品の性能および信頼性に関して、明示または黙示を問わず、いかなる保証も行いません。また、かかる製品の使用に起因する可能性のあるいかなる問題についても、一切の責任を負いません。

  router bgp 65002
   bgp router-id 10.1.0.2
   bgp log-neighbor-changes
  
   address-family ipv4 unicast
    network 172.16.0.0 mask 255.255.0.0
  
    neighbor 10.1.0.1 remote-as 65001
    neighbor 10.1.0.1 activate
    neighbor 10.1.0.1 weight 1000       #Express Connect リンク経由で学習したルートの重みを 1000 に設定します。
  
    neighbor 169.254.10.1 remote-as 65001
    neighbor 169.254.10.1 ebgp-multihop 255
    neighbor 169.254.10.1 activate
    neighbor 169.254.10.1 weight 500    #IPsec 接続経由で学習したルートの重みを 500 に設定します。この重みは Express Connect リンク経由で学習したルートよりも低いため、オンプレミス IDC から VPC へのトラフィックは Express Connect リンク経由で優先的に転送されます。
   exit-address-family

ステップ5：フェイルオーバーの検証

ルートが正しいことを確認した後、Express Connect の障害演習機能を使用して、バックアップリンクの信頼性をテストします。

1. 継続的な ping テストの開始

   ECS インスタンスで、オンプレミスサーバーへの継続的な ping テストを実行します。ターミナルは閉じないでください。

   Linux システムでは、ping 172.16.0.1 を実行します。

   Windows システムでは、ping -t 172.16.0.1 を実行します。

2. 障害演習の開始

   Express Connect の 障害演習機能を使用して、Express Connect リンクの障害をシミュレートします。この例では、演習期間は 5 分です。

   警告

   障害演習は、指定されたリソースをシャットダウンすることで障害をシミュレートし、リソースを人為的な障害状態にします。サービスが中断する可能性に備えて準備していることを確認してください。

3. 演習中および演習後のステータス変化の観察

   • 継続的な ping テストの結果

     • 演習開始時：ping が一時的に中断された後、再開されますが、レイテンシは演習前よりも大幅に高くなります。これは、トラフィックが自動的に IPsec 接続にフェイルオーバーしたことを示します。

     • 演習終了時：ping のレイテンシが演習前のレベルに戻ります。これは、トラフィックが Express Connect リンクにフェールバックしたことを示します。

   • TR にアタッチされたネットワークインスタンス接続のトラフィック傾向

     ネットワークインスタンス接続の モニタリング 列で、対応する監視アイコンをクリックしてメトリックの傾向を観察します。

     • 演習開始時：ECR 接続のトラフィックがゼロになり、VPN 接続のトラフィックが増加します。これは、トラフィックが Express Connect リンクから VPN バックアップリンクに自動的にフェイルオーバーしたことを示します。

     • 演習終了時：VPN 接続のトラフィックがゼロになり、ECR 接続のトラフィックが再開します。これは、トラフィックが VPN リンクから Express Connect プライマリリンクに自動的にフェールバックしたことを示します。

   • TR ルートテーブルのエントリ

     • 演習開始時：ECR 接続へのルートが取り消されます。VPN 接続を指すルートエントリのステータスが 候補 から 利用可能 に変わり、ネクストホップが VPN バックアップリンクに切り替わります。

     • 演習終了時：ECR 接続へのルートが再アドバタイズされ、優先度が高いためアクティブなルートになります。VPN 接続を指すルートエントリのステータスは 候補 に戻り、ネクストホップは Express Connect プライマリリンクにフェールバックします。