VPN Gateway:IPsec-VPN を使用して Alibaba Cloud VPC を Amazon VPC に接続する

ステップ 3: Alibaba Cloud に VPN ゲートウェイをデプロイする

AWS に VPN リソースを構成した後、次の情報に基づいて Alibaba Cloud に VPN ゲートウェイをデプロイし、Amazon VPC と Alibaba Cloud VPC 間の IPsec-VPN 接続を確立します。

1. カスタマーゲートウェイを作成します。

   1. VPN ゲートウェイ コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [カスタマーゲートウェイ] を選択します。

   3. 上部のナビゲーションバーで、カスタマーゲートウェイを作成するリージョンを選択します。

      カスタマーゲートウェイと接続する VPN ゲートウェイが同じリージョンにデプロイされていることを確認してください。

   4. カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。

   5. カスタマーゲートウェイの作成 パネルで、次のパラメータを構成し、OK をクリックします。

      2 つのカスタマーゲートウェイを作成し、AWS サイト間 VPN 接続のトンネルの外部 IP アドレスをカスタマーゲートウェイ IP アドレスとして使用する必要があります。次の表では、このトピックに関連するパラメータのみを説明しています。その他のパラメータのデフォルト値を使用するか、空のままにすることができます。詳細については、「カスタマーゲートウェイの作成と管理」をご参照ください。

      重要

      各サイト間 VPN 接続のトンネル 1 の外部 IP アドレスのみをカスタマーゲートウェイ IP アドレスとして使用します。デフォルトでは、各サイト間 VPN 接続のトンネル 2 の外部 IP アドレスは使用されません。 IPsec-VPN 接続の作成後、各サイト間 VPN 接続のトンネル 2 は使用できなくなります。

      パラメータ	説明	カスタマーゲートウェイ 1	カスタマーゲートウェイ 2
      名前	カスタマーゲートウェイの名前。	カスタマーゲートウェイ 1 と入力します。	カスタマーゲートウェイ 2 と入力します。
      IP アドレス	AWS トンネルの外部 IP アドレスを入力します。	3.XX.XX.52 と入力します。	3.XX.XX.56 と入力します。
      ASN	AWS 仮想プライベートゲートウェイの BGP ASN。 説明 BGP 動的ルーティングモードを使用する場合は、このパラメータを構成する必要があります。	64512 と入力します。	64512 と入力します。

2. IPsec-VPN 接続を作成します。

   1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。

   2. IPsec 接続 ページで、[VPN ゲートウェイのバインド] をクリックします。

   3. [IPsec-VPN 接続の作成 (VPN)] ページで、次の情報に基づいて IPsec-VPN 接続を構成し、[OK] をクリックします。

      パラメータ	説明	例
      名前	IPsec-VPN 接続の名前。	IPsec 接続 と入力します。
      リージョン	IPsec-VPN 接続に関連付ける VPN ゲートウェイがデプロイされているリージョンを選択します。 IPsec-VPN 接続は、VPN ゲートウェイと同じリージョンに作成されます。	[ドイツ (フランクフルト)] を選択します。
      VPN ゲートウェイのバインド	IPsec-VPN 接続に関連付ける VPN ゲートウェイ。	既存の [VPN ゲートウェイ] を選択します。
      ルーティングモード	ルーティングモードを選択します。 宛先ルーティングモード: トラフィックは宛先 IP アドレスに基づいて転送されます。 保護されたデータフロー: トラフィックは送信元および宛先 IP アドレスに基づいて転送されます。	静的ルーティングモードを使用する場合は、[保護されたデータフロー] を選択することをお勧めします。 [ローカルネットワーク]: 10.0.0.0/16 と入力します。 [リモートネットワーク]: 192.168.0.0/16 と入力します。 BGP 動的ルーティングモードを使用する場合は、[宛先ルーティングモード] を選択することをお勧めします。
      今すぐ有効化	接続のネゴシエーションをすぐに開始するかどうかを指定します。有効な値: はい: 構成が完了した後、ネゴシエーションを開始します。 いいえ: インバウンドトラフィックが検出されたときにネゴシエーションを開始します。	この例では、[はい] が選択されています。
      BGP を有効にする	Border Gateway Protocol (BGP) を有効にするかどうかを指定します。 IPsec-VPN 接続に BGP ルーティングを使用する場合は、[BGP を有効にする] をオンにします。デフォルトでは、[BGP を有効にする] はオフになっています。	この例では、デフォルトで静的ルーティングモードを使用するために、[BGP を有効にする] をオフにします。 IPsec-VPN 接続の作成後に BGP 動的ルーティングを使用する場合は、個別に BGP 構成を追加できます。
      トンネル 1	アクティブトンネルの VPN パラメータを構成します。 デフォルトでは、トンネル 1 はアクティブトンネルとして、トンネル 2 はスタンバイトンネルとして機能します。この構成は変更できません。
      カスタマーゲートウェイ	アクティブトンネルに関連付けるカスタマーゲートウェイ。	[カスタマーゲートウェイ 1] を選択します。
      事前共有鍵	ID を検証するために使用されるアクティブトンネルの事前共有鍵。 事前共有鍵は 1 ～ 100 文字で、数字、文字、および次の文字を含めることができます: ~ ` ! @ # $ % ^ & * ( ) _ - + = { } [ ] \ | ; : ' , . < > / ? 事前共有鍵を指定しない場合、システムは 16 文字の文字列を事前共有鍵としてランダムに生成します。 重要 トンネルとピアゲートウェイデバイスは、同じ事前共有鍵を使用する必要があります。そうしないと、システムは IPsec-VPN 接続を確立できません。	現在のトンネルの事前共有鍵は、接続する AWS トンネルの鍵と同じである必要があります。
      暗号化の構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	IKE 構成 の SA ライフサイクル (秒) の値は、AWS で指定された値と同じである必要があります。この例では、値は 28800 に設定されています。 IPsec 構成 の SA ライフサイクル (秒) の値は、AWS で指定された値と同じである必要があります。この例では、値は 3600 に設定されています。 その他のパラメータにはデフォルト値を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。
      トンネル 2	スタンバイトンネルの VPN パラメータを構成します。
      カスタマーゲートウェイ	スタンバイトンネルに関連付けるカスタマーゲートウェイ。	[カスタマーゲートウェイ 2] を選択します。
      事前共有鍵	ID を検証するために使用されるスタンバイトンネルの事前共有鍵。	現在のトンネルの事前共有鍵は、接続する AWS トンネルの鍵と同じである必要があります。
      暗号化の構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	IKE 構成 の SA ライフサイクル (秒) の値は、AWS で指定された値と同じである必要があります。この例では、値は 28800 に設定されています。 IPsec 構成 の SA ライフサイクル (秒) の値は、AWS で指定された値と同じである必要があります。この例では、値は 3600 に設定されています。 その他のパラメータにはデフォルト値を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。

   4. [作成済み] メッセージで、[キャンセル] をクリックします。

3. IPsec 接続 ページで、VPN 接続の作成 をクリックします。

4. 上部のナビゲーションバーで、IPsec-VPN 接続を作成するリージョンを選択します。

   IPsec-VPN 接続と VPN ゲートウェイが同じリージョンにあることを確認してください。

5. VPN ゲートウェイのルートをアドバタイズします。

   静的ルーティングを使用する

   IPsec-VPN 接続を作成した後、VPN ゲートウェイのルートをアドバタイズする必要があります。 ルーティングモード として [保護されたデータフロー] を選択すると、IPsec-VPN 接続の作成後に、システムは VPN ゲートウェイのポリシーベースのルートを作成します。ルートは [未公開] 状態です。 VPN ゲートウェイのポリシーベースのルートを VPC にアドバタイズする必要があります。

   1. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > VPN Gateway を選択します。

   2. トップメニューバーで、VPN ゲートウェイのリージョンを選択します。

   3. [VPN ゲートウェイ] ページで、管理する VPN ゲートウェイを見つけて、その ID をクリックします。

   4. VPN ゲートウェイの詳細ページで、ポリシーベースルーティング タブをクリックし、管理するルートを見つけ、公開 を 操作 列でクリックします。

   5. ルートエントリの公開 メッセージで、[OK] をクリックします。

   BGP 動的ルーティングを使用する

   1. IPsec-VPN 接続に BGP 動的ルーティングを構成します。

      1. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > IPsec 接続 を選択します。

      2. IPsec 接続 ページで、IPsec-VPN 接続を見つけて、その ID をクリックします。

      3. IPsec 接続 セクションで、[BGP を有効にする] の横にある [編集] をクリックします。 BGP 設定 ダイアログボックスで、次のパラメータを構成し、OK をクリックします。

         パラメータ	説明	IPsec-VPN 接続の構成
         ローカル ASN	IPsec-VPN 接続の ASN。	65530 と入力します。
         [トンネル 1]	アクティブトンネルに追加された BGP 構成。	IPsec-VPN 接続のアクティブトンネルの BGP 構成を追加します。
         トンネル CIDR ブロック	IPsec トンネリングに使用される CIDR ブロック。	169.254.116.208/30 と入力します。
         ローカル BGP IP アドレス	IPsec-VPN 接続の BGP IP アドレス。 この IP アドレスは、IPsec トンネリングの CIDR ブロック内にある必要があります。	169.254.116.210 と入力します。
         [トンネル 2]	スタンバイトンネルに追加された BGP 構成。	IPsec-VPN 接続のスタンバイトンネルの BGP 構成を追加します。
         トンネル CIDR ブロック	IPsec トンネリングに使用される CIDR ブロック。	169.254.214.96/30 と入力します。
         ローカル BGP IP アドレス	IPsec-VPN 接続の BGP IP アドレス。 この IP アドレスは、IPsec トンネリングの CIDR ブロック内にある必要があります。	169.254.214.98 と入力します。

   2. VPN ゲートウェイのルート自動 BGP 伝播を有効にするには、次の手順を実行します。

      1. 左側のナビゲーションウィンドウで、[クロスネットワーク相互接続] > [VPN] > VPN Gateway を選択します。

      2. VPN Gateway ページで、VPN ゲートウェイを見つけて、ポインタを アイコンの上に移動し、自動 BGP 伝播を有効にする[アクション] 列の をクリックします。

      3. 自動 BGP 伝播を有効にする メッセージで、OK をクリックします。