VPN Gateway:Alibaba Cloud VPC と AWS VPC の接続

カスタマーゲートウェイを 2 つ作成します。 Alibaba Cloud VPN ゲートウェイインスタンスの 2 つの IP アドレスをカスタマーゲートウェイの IP アドレスとして使用します。

aliyun1 および aliyun2 という名前のカスタマーゲートウェイを 2 つ作成します。両方の BGP ASN を 65530 に設定します。Alibaba Cloud VPN ゲートウェイインスタンスの 2 つのパブリック IP アドレスをカスタマーゲートウェイの IP アドレスとして使用します。タイプは両方とも ipsec.1 に設定します。作成後、両カスタマーゲートウェイのステータスは 利用可能 と表示されます。

仮想プライベートゲートウェイを作成します。 仮想プライベートゲートウェイを作成し、AWS VPC にアタッチします。

作成後、仮想プライベートゲートウェイのステータスは アタッチ済み、タイプは ipsec.1、Amazon ASN は 64512 と表示されます。このゲートウェイに関連付けられた VPC ID を記録しておいてください。後続の設定で必要になります。

サイト間 VPN 接続を 2 つ作成します。 各 VPN 接続を異なるカスタマーゲートウェイに関連付けます。以下は 1 つの接続の設定を示しています。もう一方の接続では、2 番目のカスタマーゲートウェイを使用し、残りの設定は同じにしてください。トンネルオプションはデフォルト値のままにしてください。作成後、各 VPN 接続のトンネル 1 の Outside IP アドレスをメモしておいてください。これらはステップ 3 で使用します。

ローカル IPv4 ネットワーク CIDR には Alibaba Cloud VPC CIDR ブロックを、リモート IPv4 ネットワーク CIDR には AWS VPC CIDR ブロックを設定します。

サイト間 VPN 接続作成ページの 詳細 セクションで、以下のパラメーターを設定します。

• 名前タグ: vpn-01 を入力します

• ターゲットゲートウェイタイプ: 仮想プライベートゲートウェイ を選択し、作成した仮想プライベートゲートウェイを選択します

• カスタマーゲートウェイ: 既存 を選択し、カスタマーゲートウェイ ID ドロップダウンリストから作成したカスタマーゲートウェイを選択します

• ルーティングオプション: 静的 を選択します

• 静的 IP プレフィックス: 10.0.0.0/16 を入力します

• ローカル IPv4 ネットワーク CIDR: 10.0.0.0/16 を入力します

• リモート IPv4 ネットワーク CIDR: 192.168.0.0/16 を入力します

サイト間 VPN 接続の トンネルの詳細 タブで、各トンネルの Outside IP アドレス および Inside IPv4 CIDR を確認できます。この時点で、両トンネルのステータスは 停止（未接続）と表示されますが、これは正常です。

ルート伝播を有効化します。 仮想プライベートゲートウェイに関連付けられた VPC のルートテーブルで、ルート伝播を有効化して、サイト間 VPN 接続からのルートが自動的に VPC ルートテーブルに伝播されるようにします。

ルートテーブル 詳細ページで、ルート伝播 タブを選択し、対象の仮想プライベートゲートウェイの 伝播 列に はい と表示されていることを確認します。これは、自動ルート伝播が有効になっていることを示します。

カスタマーゲートウェイを 2 つ作成します。 Alibaba Cloud VPN ゲートウェイインスタンスの 2 つの IP アドレスをカスタマーゲートウェイの IP アドレスとして使用します。Alibaba Cloud IPsec-VPN 接続の BGP 自律システム番号 (ASN) を登録します。

AWS VPN コンソールの カスタマーゲートウェイ ページで、以下のカスタマーゲートウェイを 2 つ作成します。

• aliyun1: BGP ASN 65530、IP アドレスは Alibaba Cloud VPN ゲートウェイインスタンスの最初のパブリック IP

• aliyun2: BGP ASN 65530、IP アドレスは Alibaba Cloud VPN ゲートウェイインスタンスの 2 番目のパブリック IP

両ゲートウェイのタイプは ipsec.1 で、ステータスは両方とも 利用可能 と表示されます。

仮想プライベートゲートウェイを作成します。 仮想プライベートゲートウェイを作成し、AWS 側の BGP ASN を指定して、AWS VPC にアタッチします。

作成後、仮想プライベートゲートウェイのステータスが アタッチ済み であり、対象 VPC に関連付けられており、Amazon ASN が 64512 であることを確認します。

サイト間 VPN 接続を 2 つ作成します。 各 VPN 接続を異なるカスタマーゲートウェイに関連付けます。以下は 1 つの接続の設定を示しています。2 番目の接続では、トンネル 1 Inside IPv4 CIDR を 169.254.214.96/30 に設定し、他の設定はすべて同じにしてください。作成後、トンネルの詳細を確認して、Outside IP アドレスおよび BGP IP アドレスを取得します。

ローカル IPv4 ネットワーク CIDR には Alibaba Cloud VPC CIDR ブロックを、リモート IPv4 ネットワーク CIDR には AWS VPC CIDR ブロックを設定します。

VPN 接続作成ページで、主要なパラメーターを以下のように設定します。

• ターゲットゲートウェイタイプ: 仮想プライベートゲートウェイ を選択します

• カスタマーゲートウェイ: 既存 を選択し、カスタマーゲートウェイ ID フィールドで作成したカスタマーゲートウェイを選択します

• ルーティングオプション: 動的 (BGP 必須) を選択します

• ローカル IPv4 ネットワーク CIDR: 10.0.0.0/16 を入力します

• リモート IPv4 ネットワーク CIDR: 192.168.0.0/16 を入力します

• トンネル 1 inside IPv4 CIDR: 169.254.116.208/30 を入力します

• トンネル 1 事前共有鍵: カスタムの事前共有鍵を入力します

サイト間 VPN 接続を作成後、VPN 接続ページの トンネルの詳細 タブをクリックして、トンネル情報を確認します。Outside IP アドレス および Inside IPv4 CIDR（この例では 169.254.116.208/30）を記録しておいてください。この情報は、Alibaba Cloud 側で IPsec-VPN 接続を設定する際に必要になります。この時点で、両トンネルのステータスは 停止（未接続）と表示されますが、これは正常です。

Alibaba Cloud 側の事前共有鍵と BGP IP アドレスを取得します。 AWS コンソールから Alibaba Cloud VPN ゲートウェイの VPN 設定ファイルをダウンロードします。このファイルには、ステップ 3 で必要な事前共有鍵と BGP IP アドレスが含まれています。ダウンロードする際は、ベンダーに [Generic] を、IKE バージョンに [IKEv2] を選択します。詳細については、「設定ファイルのダウンロード」をご参照ください。事前共有鍵を表示します: Alibaba Cloud BGP IP アドレスを表示します: 各 VPN 接続のトンネル 1 の外部 IP アドレス、BGP IP アドレス、および関連付けられたカスタマーゲートウェイ IP アドレス:

サイト間 VPN 接続作成時に事前共有鍵を指定した場合は、設定ファイルで確認する必要はありません。システム生成の鍵を使用した場合は、ファイル内で確認してください。Alibaba Cloud 側と AWS 側の事前共有鍵は一致している必要があります。

IPSec Tunnel #1
=====================================

#1: Internet Key Exchange Configuration

Configure the IKE SA as follows:
Please note, these sample configurations are for the minimum requirement...
Category "VPN" connections in the GovCloud region have a minimum requirement...
You will need to modify these sample configuration files to take advantage...
NOTE: If you customized tunnel options when creating or modifying your ...

Higher parameters are only available for VPNs of category "VPN," and not...
The address of the external interface for your customer gateway must be a...
Your customer gateway may reside behind a device performing network a...
To ensure that NAT traversal (NAT-T) can function, you must adjust your f...
If not behind NAT, and you are not using an Accelerated VPN, we recomm...
  - IKE version              : IKEv2
  - Authentication Method     : Pre-Shared Key
  - Pre-Shared Key            : xxx38iNi
  - Authentication Algorithm  : sha1
  - Encryption Algorithm      : aes-128-cbc
  - Lifetime                  : 28800 seconds
  - Phase 1 Negotiation Mode  : main
  - Diffie-Hellman            : Group 2

#3: Tunnel Interface Configuration

Your Customer Gateway must be configured with a tunnel interface that is
associated with the IPSec tunnel. All traffic transmitted to the tunnel
interface is encrypted and transmitted to the Virtual Private Gateway.

The Customer Gateway and Virtual Private Gateway each have two addresses that relate
to this IPSec tunnel. Each contains an outside address, upon which encrypted
traffic is exchanged. Each also contain an inside address associated with
the tunnel interface.

The Customer Gateway outside IP address was provided when the Customer Gateway
was created. Changing the IP address requires the creation of a new
Customer Gateway.

The Customer Gateway inside IP address should be configured on your tunnel
interface.

Outside IP Addresses:
  - Customer Gateway                : 8.xxx.146
  - Virtual Private Gateway         : 3.xxx.52

Inside IP Addresses
  - Customer Gateway                : 169.254.116.210/30
  - Virtual Private Gateway         : 169.254.116.209/30

ルート伝播を有効化します。 仮想プライベートゲートウェイに関連付けられた VPC のルートテーブルで、ルート伝播を有効化して、サイト間 VPN 接続からのルートが自動的に AWS VPC ルートテーブルに伝播されるようにします。

ルートテーブル 詳細ページで、ルート伝播 タブを選択し、対象の仮想プライベートゲートウェイの 伝播 列に はい と表示されていることを確認します。これは、自動ルート伝播が有効になっていることを示します。