Express Connect と IPsec-VPN をプライマリおよびバックアップリンクとして使用 - VPN Gateway

IPsec 接続を Express Connect リンクのバックアップとして使用することで、オンプレミス環境とクラウド環境間の接続の安定性と冗長性を向上させることができます。

シナリオ例

このトピックでは、Express Connect リンクと IPsec 接続をプライマリおよびバックアップリンクとして使用する冗長ネットワークアーキテクチャについて説明します。

このシナリオでは、Express Connect リンクはボーダーゲートウェイプロトコル (BGP) を使用し、IPsec 接続は BGP または静的ルートを使用します。

リソース計画

Alibaba Cloud 側のリソース計画：

VPC：ドイツ (フランクフルト) リージョンに CIDR ブロックが 10.0.0.0/16 の VPC。
- vSwitch 1： 10.0.0.0/24。接続テスト用に IP アドレスが 10.0.0.1 の ECS インスタンスを含みます。
- vSwitch 2： 10.0.1.0/24。
TR：ドイツ (フランクフルト) リージョンに CIDR ブロックが 10.3.0.0/24 の CEN インスタンスとトランジットルーター (TR) を作成します。
ECR：自律システム番号 (ASN) が 65001 の Express Connect Router (ECR)。
VBR：オンプレミスゲートウェイデバイスに接続するための物理ポートを作成し、このポートに基づいて仮想ボーダールーター (VBR) を作成します。
- [Alibaba Cloud 側 IPv4 相互接続 IP]： 10.1.0.1。
- [クライアント側 IPv4 相互接続 IP]： 10.1.0.2。
- [IPv4 サブネットマスク]： 255.255.255.252。
IPsec 接続：
- BGP を使用する場合、BGP 設定は次のとおりです。
  - トンネル 1：トンネル CIDR ブロックは 169.254.10.0/30、Alibaba Cloud 側 BGP IP アドレスは 169.254.10.1。
  - トンネル 2：トンネル CIDR ブロックは 169.254.20.0/30、Alibaba Cloud 側 BGP IP アドレスは 169.254.20.1。
Alibaba Cloud 側 ASN： 65001。
クラウド側の ASN は、ECR を使用する場合にのみカスタマイズできます。それ以外の場合は、デフォルトで 45104 が使用されます。

オンプレミス IDC 側のリソース計画：

オンプレミスネットワーク： 172.16.0.0/16。接続テスト用に IP アドレスが 172.16.0.1 のサーバーを含みます。
オンプレミスゲートウェイデバイス：
- Express Connect リンクを介して Alibaba Cloud に接続します。Express Connect リンク用のネットワークインターフェースの IP アドレスは 10.1.0.2 です。
- IPsec-VPN 機能をサポートします。BGP を使用する場合、BGP 設定は次のとおりです。
  - トンネル 1：トンネル CIDR ブロックは 169.254.10.0/30、オンプレミス BGP IP アドレスは 169.254.10.2。
  - トンネル 2：トンネル CIDR ブロックは 169.254.20.0/30、オンプレミス BGP IP アドレスは 169.254.20.2。
  IPsec 接続が静的ルートを使用する場合、オンプレミスゲートウェイデバイスが静的等コストマルチパス (ECMP) ルーティングをサポートしていることを確認してください。IPsec 接続を TR に関連付けると、2 つのトンネルはクラウドからオンプレミス IDC へのトラフィック用の ECMP リンクを自動的に形成します。オンプレミス IDC がクラウドへのトラフィックに ECMP をサポートしていない場合、非対称ルーティングが発生します。
- アウトバウンドトラフィックには、単一のパブリック IP アドレスである 3.3.XX.XX を使用します。このパブリック IP アドレスは IPsec 接続の確立に使用されます。
オンプレミス ASN： 65002。

ステップ 1. リソースの作成

ドイツ (フランクフルト) リージョンで、専用または共有物理ポートを作成し、オンプレミスゲートウェイデバイスに接続します。
リソース計画で定義したVPC と vSwitch、ECS インスタンス、CEN インスタンス、TR、ECR、およびVBR を作成します。

ステップ 2. Express Connect リンクの接続

1. TR を VPC に接続

CEN コンソールに移動します。作成した TR の「操作」列で、接続の作成 > リージョン内接続の作成 をクリックし、VPC 接続を作成します。

インスタンスタイプ： VPC
リージョン：ドイツ (フランクフルト)
ネットワークインスタンス：作成した VPC を選択します。
詳細設定：デフォルトで選択されている 3 つのオプションをそのまま使用します。

2. TR、ECR、VBR の接続

TR と VBR の接続には ECR を使用することを推奨します。これにより、低レイテンシ、広帯域幅、および柔軟なルーティング制御が実現します。詳細については、「Express Connect Router (ECR)」をご参照ください。

手順は、ECR を使用するかどうかによって異なります。

ECR (推奨)

ECR リストページに移動し、ECR インスタンスの ID をクリックして詳細ページを開きます。
VBR タブで、VBR の追加 をクリックします:
- [リージョン]：ドイツ (フランクフルト)。
- [ネットワークインスタンス]：対象の VBR を選択します。
TR タブで、関連付けられた転送ルーター をクリックします:
- [CEN ID]：対象の CEN インスタンスを選択します。
- [リージョン]：ドイツ (フランクフルト)。
- [許可されたプレフィックスルート]: デフォルトの マッチングモード を選択し、下のテキストボックスは空のままにします。プレフィックスルートの詳細については、「ECR を使用して指定されたルートプレフィックスをアドバタイズする」をご参照ください。

ECR なし

ECR を使用しない場合は、TR を VBR に直接接続します。次の手順に従ってください。

ターゲット TR の操作列で、接続の作成 > リージョン内接続の作成 をクリックします:

[ネットワークタイプ]: [仮想ボーダールーター (VBR)]。
[リージョン]：ドイツ (フランクフルト)。
[ネットワーク]：対象の VBR インスタンスを選択します。
[詳細設定]：デフォルトで有効になっている 3 つのオプションをそのまま使用します。

3. VBR で BGP を有効化

VBR リストページに移動し、ドイツ (フランクフルト) リージョンを選択し、VBR インスタンスの ID をクリックして詳細ページを開きます。
BGP グループ タブで、BGP グループの作成 をクリックし、ピア ASN をオンプレミス IDC の ASN である 65002 に設定します。
BGP ピア タブで、BGP ピアの作成 をクリックします。BGP グループ で、先ほど作成した BGP グループを選択します。BGP ピア IP に、クライアント側 IPv4 相互接続 IP である 10.1.0.2 を入力します。
1～5 分待機し、BGP ピアの BGP 接続ステータス が 確立済み になっていることを確認します。

4. ルートの確認

接続と BGP の設定が完了すると、VPC とオンプレミス IDC 間でルートが自動的に伝播されます。各リソースのルートテーブルで次のエントリを確認してください。

VPC ルートテーブル

送信先CIDRブロック	ネクストホップ	ソース
10.0.0.0/8	TR	VPC 接続の作成時にシステムによって生成されます (トランジットルーターへのルートを自動的に作成し、現在の VPC のすべてのルートテーブルに追加するオプションが選択されていたため)。
172.16.0.0/12	TR	VPC 接続の作成時にシステムによって生成
192.168.0.0/16	TR	VPC 接続の作成時にシステムによって生成

TR ルートテーブル
送信先CIDRブロック
ネクストホップ
ソース
10.0.0.0/24
VPC
TRによって学習
10.0.1.0/24
VPC
TRによって学習
172.16.0.0/16
ECR (ECR を使用しない場合は VBR)
TRによって学習
ECR ルートテーブル
送信先CIDRブロック
ネクストホップ
ソース
10.0.0.0/24
TR
TRから同期
10.0.1.0/24
TR
TRから同期
172.16.0.0/16
VBR
BGPによって伝播
VBR ルートテーブル
送信先CIDRブロック
ネクストホップ
ソース
10.0.0.0/24
ECR
ECRによって伝播
10.0.1.0/24
ECR
ECRによって伝播
172.16.0.0/16
物理ポート
BGPによって伝播
ECR を使用しない場合、ルート 10.0.0.0/24 と 10.0.1.0/24 のネクストホップは TR となり、ソースは「TR から同期」となります。

オンプレミスゲートウェイデバイスのルートテーブル

送信先CIDRブロック	ネクストホップ	ソース
10.0.0.0/24	Express Connect リンク用のネットワークインターフェース	BGPによって伝播
10.0.1.0/24	Express Connect リンク用のネットワークインターフェース	BGPによって伝播

5. 接続の確認

VPC 内の ECS インスタンス (10.0.0.1) にログオンし、ping コマンドを実行してオンプレミスサーバー (172.16.0.1) への接続をテストします。応答があれば、接続は確立されています。

ping 172.16.0.1

ステップ 3. IPsec 接続の確立

1. カスタマーゲートウェイの作成

カスタマーゲートウェイページに移動し、カスタマーゲートウェイの作成 をクリックします。次のパラメーターを設定します:

[IP アドレス]：オンプレミスゲートウェイデバイスのパブリック IP アドレスである 3.3.XX.XX を入力します。
[ASN]：オンプレミス IDC の ASN である 65002 を入力します。

2. IPsec 接続の作成

VPN Gateway コンソールの左側のナビゲーションペインで、IPsec 接続 をクリックします。
CEN と関連付け をクリックし、IPsec 接続の基本パラメーターを設定します：
- [IPsec 接続名]：リソースの名前を入力します (例: ipsec-demo)。
- [リージョン]：ドイツ (フランクフルト) を選択します。
- [ゲートウェイタイプ]: パブリック を選択します。
- [CEN と関連付け]：アカウント内 を選択します。
- [リソースの関連付け]: トランジットルーター を選択します。
- [CEN インスタンス ID]：作成した CEN インスタンスを選択します。
- [ルーティングモード]：宛先ルーティングモード を選択します。
- 今すぐ有効化: はい、設定が完了すると即座にネゴシエーションする を選択します。設定完了後、Alibaba Cloud はネゴシエーションを開始します。
- 上級設定 (ルートテーブルの自動関連付けとルート転送設定などの設定を含む) で、ルートの自動公開、転送ルーターに自動的に関連付けるデフォルトのルートテーブル、および システムルートを転送ルーターに自動的に伝播するデフォルトのルートテーブル を含むすべてのオプションを選択します。
トンネルパラメータを次のように設定します。
- [トンネル 1 (プライマリ)]：
  - [カスタマーゲートウェイ]：ステップ 1 で作成したカスタマーゲートウェイを選択します。
  - [事前共有鍵]：トンネルの確立に使用する相互認証用のパスワードです。複雑なキーの使用を推奨します。キーは Alibaba Cloud 側とオンプレミス側で同一である必要があります。
- [トンネル 2 (バックアップ)]：
  - [カスタマーゲートウェイ]：トンネル 1 と同じカスタマーゲートウェイを選択します。このシナリオでは、オンプレミス IDC にはパブリック IP アドレスが 1 つしかありません。
  - [事前共有鍵]：このトピックでは、トンネル 1 と同じキーを使用します。
    暗号化設定セクションのその他のパラメーターは、デフォルト値のままでかまいません。アルゴリズムを手動で指定する必要がある場合は、暗号化設定 セクションを展開して変更してください。

(オプション) BGP の有効化
「リソース計画」セクションで説明されているとおりに BGP を有効にします。詳細な手順については、「BGPの有効化または無効化」をご参照ください。

3. オンプレミスゲートウェイデバイスの設定

設定手順については、ゲートウェイデバイスのベンダーにお問い合わせください。一部のデバイスの設定例については、「オンプレミスデバイスの設定」をご参照ください。

目標は、IPsec 接続の詳細ページで、両方のトンネルの接続ステータスにフェーズ 2 のネゴシエーションが成功しましたとBGP 正常が表示されるようにすることです。

IPsec 接続が静的ルートを使用する場合、オンプレミスゲートウェイデバイスが静的 ECMP ルーティングをサポートしていることを確認してください。IPsec 接続を TR に関連付けると、2 つのトンネルはクラウドからオンプレミス IDC へのトラフィック用の ECMP リンクを自動的に形成します。オンプレミス IDC がクラウドへのトラフィックに ECMP をサポートしていない場合、非対称ルーティングが発生します。

4. ルートの確認

上記の設定が完了すると、各リソースのルートテーブルが次のように更新されます。

TR ルートテーブル

2つの新しい候補エントリが追加されます:

送信先CIDRブロック	ネクストホップ	ステータス	ソース
10.0.0.0/24	VPC	[利用可能]	TRによって学習
10.0.1.0/24	VPC	[利用可能]	TRによって学習
172.16.0.0/16	ECR (ECR を使用しない場合は VBR)	[利用可能]	TRによって学習
172.16.0.0/16	IPsec 接続	[候補]	TRによって学習
172.16.0.0/16	IPsec 接続	[候補]	TRによって学習

IPsec 接続ルートテーブル
送信先CIDRブロック
ネクストホップ
ソース
10.0.0.0/24
TR
TRから同期
10.0.1.0/24
TR
TRから同期
172.16.0.0/16
IPsec トンネル 1
BGP
172.16.0.0/16
IPsec トンネル 2
BGP
IPsec 接続が BGP を使用しない場合、IPsec 接続のルートテーブルにルートを手動で追加する必要があります。送信先 CIDR ブロックを 172.16.0.0/16 に設定し、ネクストホップを IPsec トンネル に設定します。

オンプレミスゲートウェイデバイスのルートテーブル

ネクストホップが IPsec 接続を指す新しいルートエントリが追加されます。

送信先CIDRブロック	ネクストホップ	ソース
10.0.0.0/24	Express Connect リンク用のネットワークインターフェース	BGPによって伝播
10.0.1.0/24	Express Connect リンク用のネットワークインターフェース	BGPによって伝播
10.0.0.0/24	IPsec 接続	BGPによって伝播
10.0.1.0/24	IPsec 接続	BGPによって伝播

IPsec 接続が BGP を使用しない場合、そのルートテーブルにルートを手動で追加する必要があります。送信先 CIDR ブロックを 10.0.0.0/24 と 10.0.1.0/24 に設定し、ネクストホップを IPsec 接続 に設定します。

ステップ 4. プライマリおよびバックアップリンクの設定

アウトバウンドトラフィックのプライマリ/バックアップパス選択 (Alibaba Cloud 側の設定)
「TR のルート優先度」に従い、VBR または ECR インスタンスからのルートは IPsec 接続からのルートよりも優先度が高くなります。したがって、追加の設定は必要ありません。クラウドからのアウトバウンドトラフィックは自動的に Express Connect リンクを優先します。
インバウンドトラフィックのプライマリ/バックアップパス選択 (オンプレミス IDC 側の設定)
オンプレミスゲートウェイデバイスでルート優先度を次のように設定します。
- IPsec 接続が BGP ルーティングを使用する場合、優先度を次のように設定します: Express Connect リンク経由で学習した BGP ルート > IPsec 接続経由で学習した BGP ルート。
- IPsec 接続が静的ルーティングを使用する場合、優先度を次のように設定します: Express Connect リンク経由で学習した BGP ルート > ネクストホップが IPsec 接続を指す静的ルート。
次の例は、IPsec 接続が BGP ルーティングを使用する Cisco ASA ファイアウォール (ソフトウェアバージョン 9.19.1) における設定例です。
重要
設定コマンドはソフトウェアバージョンによって異なる場合があります。操作を実行する際は、お使いの環境のドキュメントを参照するか、関連するベンダーにご相談ください。サードパーティ製品に関する情報は参考用です。Alibaba Cloud は、サードパーティ製品のパフォーマンスおよび信頼性に関して、明示的または黙示的ないかなる保証も行わず、また、そのような製品の使用に起因する可能性のある問題について一切の責任を負いません。
```
router bgp 65002
 bgp router-id 10.1.0.2
 bgp log-neighbor-changes

 address-family ipv4 unicast
  network 172.16.0.0 mask 255.255.0.0

  neighbor 10.1.0.1 remote-as 65001
  neighbor 10.1.0.1 activate
  neighbor 10.1.0.1 weight 1000       # Express Connect リンク経由で学習したルートの重みを 1000 に設定します。

  neighbor 169.254.10.1 remote-as 65001
  neighbor 169.254.10.1 ebgp-multihop 255
  neighbor 169.254.10.1 activate
  neighbor 169.254.10.1 weight 500    # IPsec 接続経由で学習したルートの重みを 500 に設定します。この重みは Express Connect リンク経由で学習したルートよりも低く、オンプレミス IDC から VPC へのトラフィックが Express Connect リンクを優先的に経由するようにします。
 exit-address-family
```

ステップ 5. フェールオーバーの検証

ルートが正しいことを確認した後、Express Connect の障害訓練機能を使用してバックアップリンクの信頼性をテストします。

継続的な ping テストの開始
ECS インスタンスで、オンプレミスサーバーへの継続的な ping テストを実行します。ターミナルを閉じないでください。
Linux システムでは、次を実行します: ping 172.16.0.1。
Windows システムでは、次を実行します: ping -t 172.16.0.1。
障害訓練の開始
Express Connect の「障害訓練」機能を使用して、Express Connect リンクの障害をシミュレートします。この例では、訓練期間は 5 分です。
警告
障害訓練は、指定されたリソースをシャットダウンすることで障害をシミュレートし、リソースを人工的な障害状態にします。サービスが中断する可能性に備えてください。
訓練中および訓練後のステータス変化の観察
- 継続的な ping テストの結果
  - 訓練開始時: ping は一時的に中断された後再開されますが、訓練前よりもレイテンシが大幅に高くなります。これは、トラフィックが IPsec 接続に自動的にフェールオーバーしたことを示しています。
  - 訓練終了時: ping のレイテンシは訓練前のレベルに戻ります。これは、トラフィックが Express Connect リンクにフェイルバックしたことを示しています。
- TR に接続されているネットワークインスタンス接続のトラフィック傾向
  ネットワークインスタンス接続のモニタリング列で、対応するモニタリングアイコンをクリックすると、メトリックの傾向を確認できます。
  - 訓練開始時: ECR 接続のトラフィックはゼロに低下し、VPN 接続のトラフィックが増加します。これは、トラフィックが Express Connect リンクから VPN バックアップリンクに自動的にフェールオーバーしたことを示しています。
  - 訓練終了時: VPN 接続のトラフィックはゼロに低下し、ECR 接続のトラフィックが再開されます。これは、トラフィックが VPN リンクから Express Connect プライマリリンクに自動的にフェイルバックしたことを示しています。
- TR のルートテーブルエントリ
  - 演習が開始されると、ECR 接続へのルートが取り消されます。VPN 接続を指すルートエントリのステータスが候補から 利用可能 に変更され、ネクストホップが VPN バックアップリンクに切り替わります。
  - 訓練が終了すると、ECR 接続へのルートが再アドバタイズされ、優先度が高いためアクティブルートになります。VPN 接続へのルートエントリのステータスは候補に戻り、ネクストホップは Express Connect プライマリリンクにフェイルバックします。