すべてのプロダクト
Search

このプロダクト

    VPN Gateway:IPsec-VPN と CEN を使用したグローバルネットワークの構築

    ドキュメントセンター

    VPN Gateway:IPsec-VPN と CEN を使用したグローバルネットワークの構築

    最終更新日:Apr 21, 2026

    このトピックでは、IPsec-VPN と Cloud Enterprise Network (CEN) を組み合わせて、高品質でコスト効率の高いグローバルな企業ネットワークを構築する方法について説明します。このアーキテクチャでは、VPN Gateway インスタンス上の IPsec-VPN 接続を使用することで、複数のリージョンにまたがるオンプレミスデータセンターと VPC 間の any-to-any 通信を可能にします。

    シナリオ

    説明

    • ご利用の Alibaba Cloud アカウントにパブリック VPN Gateway インスタンスがない場合は、IPsec-VPN 接続をトランジットルーターに関連付けて、グローバルなネットワーク接続を有効にすることを推奨します。

    • ご利用の Alibaba Cloud アカウントにすでにパブリック VPN Gateway インスタンスがある場合、このトピックでは、VPN Gateway に関連付けられた IPsec-VPN 接続を使用して世界中のサイトを接続する方法について説明します。

    ある企業が、世界中に複数のデータセンターと VPC を展開しています。VPN Gateway インスタンスに関連付けられた IPsec-VPN 接続を使用してデータセンターを VPC に接続した後、データセンターは、その VPN Gateway がアタッチされている VPC とのみ通信できます。デフォルトでは、異なるリージョンの VPC とデータセンターは相互に通信できません。次の図は、このシナリオにおけるネットワーク接続を示しています。

    • VPC1 は VPC2 と通信できません。

    • データセンター 1 は VPC1 と通信できます。データセンター 1 とデータセンター 2 は、IPsec-VPN を使用して同じ VPN Gateway インスタンスに接続している場合、相互に通信できます。データセンター 1 は、データセンター 3、データセンター 4、または VPC2 とは通信できません。

    • データセンター 2 は VPC1 と通信できます。データセンター 1 とデータセンター 2 は、IPsec-VPN を使用して同じ VPN Gateway インスタンスに接続している場合、相互に通信できます。データセンター 2 は、データセンター 3、データセンター 4、または VPC2 とは通信できません。

    • データセンター 3 は VPC2 と通信できます。データセンター 3 とデータセンター 4 は、IPsec-VPN を使用して同じ VPN Gateway インスタンスに接続している場合、相互に通信できます。データセンター 3 は、データセンター 1、データセンター 2、または VPC1 とは通信できません。

    • データセンター 4 は VPC2 と通信できます。データセンター 3 とデータセンター 4 は、IPsec-VPN を使用して同じ VPN Gateway インスタンスに接続している場合、相互に通信できます。データセンター 4 は、データセンター 1、データセンター 2、または VPC1 とは通信できません。

    世界中のサイト間の通信を可能にするために、Cloud Enterprise Network (CEN) を使用できます。CEN は、VPC 間に高品質で低遅延のプライベート接続を確立します。また、ルートの自動広告と学習をサポートしてルート設定を簡素化し、クロスリージョン VPC 間の通信を可能にします。これにより、異なるリージョンのデータセンターが、相互接続された VPC と CEN を介して相互に通信し、グローバルな any-to-any のネットワーク接続を実現できます。

    重要

    データセンターと VPN Gateway インスタンス間に IPsec-VPN 接続を確立する際は、静的ルートを使用することを推奨します。

    シナリオ例

    この例では、IPsec-VPN (IPsec 接続が VPN Gateway インスタンスにバインドされている場合) と CEN を組み合わせて、グローバルサイト間の any-to-any 通信を有効にする方法を示します。ある多国籍企業が、中国の上海に 2 つのデータセンター (データセンター 1 とデータセンター 2)、米国のシリコンバレーに 2 つのデータセンター (データセンター 3 とデータセンター 4) を持っているとします。同社はまた、中国 (上海) リージョンに VPC1、米国 (シリコンバレー) リージョンに VPC2 を作成し、両方の VPC の Elastic Compute Service (ECS) インスタンスにアプリケーションを展開しています。事業拡大のため、同社は 6 つのサイトすべてで any-to-any の通信を必要としています。

    サブネット化

    重要

    ネットワークを計画する際は、通信が必要なサイトの CIDR ブロックが重複しないようにしてください。

    VPC のサブネット化

    VPC

    リージョン

    VPC CIDR ブロック

    ECS インスタンスの IP アドレス

    VPC1

    中国 (上海)

    • VPC CIDR ブロック：192.168.0.0/16

    • vSwitch 1 CIDR ブロック：192.168.99.0/24、ゾーン E

    • vSwitch 2 CIDR ブロック：192.168.100.0/24、ゾーン F

    ECS1 の IP アドレス：192.168.99.48

    VPC2

    米国 (シリコンバレー)

    • VPC CIDR ブロック：10.0.0.0/16

    • vSwitch 1 CIDR ブロック：10.0.10.0/24、ゾーン A

    • vSwitch 2 CIDR ブロック：10.0.20.0/24、ゾーン B

    ECS2 の IP アドレス：10.0.10.33

    オンプレミスデータセンターのサブネット化

    データセンター

    リージョン

    VPC の CIDR ブロック

    ゲートウェイのパブリック IP

    クライアント IP

    データセンター 1

    中国 (上海)

    172.16.10.0/24

    • パブリック IP 1：47.XX.XX.23

    • パブリック IP 2：47.XX.XX.32

    172.16.10.207

    データセンター 2

    中国 (上海)

    172.16.40.0/24

    • パブリック IP 1：47.XX.XX.69

    • パブリック IP 2：47.XX.XX.71

    172.16.40.60

    データセンター 3

    米国 (シリコンバレー)

    10.10.10.0/24

    • パブリック IP 1：57.XX.XX.11

    • パブリック IP 2：57.XX.XX.191

    10.10.10.201

    データセンター 4

    米国 (シリコンバレー)

    10.30.66.0/24

    • パブリック IP 1：57.XX.XX.22

    • パブリック IP 2：57.XX.XX.234

    10.30.66.11

    事前準備

    • 中国 (上海) リージョンに VPC1、米国 (シリコンバレー) リージョンに VPC2 を作成済みであること。両方の VPC の ECS インスタンスにワークロードを展開済みであること。 詳細については、「IPv4 CIDR ブロックを持つ VPC を作成」をご参照ください。

    • 中国 (上海) と米国 (シリコンバレー) の両リージョンに VPN Gateway インスタンスを作成済みであり、それぞれのネットワークタイプをパブリックに設定し、IPsec-VPN 機能を有効にしていること。詳細については、「IPsec-VPN の有効化」をご参照ください。

      説明

      この例では、デュアルトンネルモードをサポートする VPN Gateway インスタンスを使用します。ご利用の VPN Gateway インスタンスが IPsec-VPN 接続でシングルトンネルモードしかサポートしていない場合は、アップグレードすることを推奨します。デュアルトンネルモードは、アベイラビリティゾーンレベルのディザスタリカバリを提供します。詳細については、「デュアルトンネルモードへのアップグレード」をご参照ください。

      次の表に、VPN Gateway インスタンスの設定詳細 (関連付けられた VPC やシステムによって割り当てられた IP アドレスなど) を示します。これらの IP アドレスは、IPsec-VPN 接続を作成するために必要です。

      名前

      リージョン

      ゲートウェイタイプ

      ネットワークタイプ

      トンネルモード

      関連付けられた VPC

      IP アドレス

      VPN Gateway 1

      中国 (上海)

      標準

      パブリック

      デュアルトンネル

      VPC1

      • IPsec アドレス 1：47.XX.XX.87

      • IPsec アドレス 2：47.XX.XX.78

      VPN Gateway 2

      米国 (シリコンバレー)

      標準

      パブリック

      デュアルトンネル

      VPC2

      • IPsec アドレス 1：47.XX.XX.207

      • IPsec アドレス 2：47.XX.XX.15

    操作手順

    ステップ 1：カスタマーゲートウェイの作成

    カスタマーゲートウェイインスタンスを作成して、オンプレミスゲートウェイデバイスのパブリック IP アドレスを Alibaba Cloud に登録します。VPN Gateway インスタンスは、オンプレミスデータセンターへの IPsec-VPN 接続を確立するために、登録されたカスタマーゲートウェイを必要とします。

    1. VPN Gateway コンソールにログインします。

    2. 左側のナビゲーションウィンドウで、相互接続 > VPN > カスタマーゲートウェイを選択します。

    3. 上部のナビゲーションバーで、カスタマーゲートウェイのリージョンを選択します。

      説明

      カスタマーゲートウェイインスタンスと接続したい VPN Gateway インスタンスは、同じリージョンにある必要があります。

    4. カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。

    5. カスタマーゲートウェイの作成 パネルで、カスタマーゲートウェイインスタンスを以下の設定で構成し、OK をクリックします。

      4 つのオンプレミスゲートウェイデバイスの 8 つのパブリック IP アドレスを Alibaba Cloud に登録するために、8 つのカスタマーゲートウェイインスタンスを作成します。次の表に、必要な設定を示します。その他のパラメーターはすべてデフォルト値のままにします。詳細については、「カスタマーゲートウェイ」をご参照ください。

      リージョン

      名前

      IP アドレス

      中国 (上海)

      カスタマーゲートウェイ 1

      オンプレミスゲートウェイデバイス 1 の最初のパブリック IP アドレス：47.XX.XX.23

      カスタマーゲートウェイ 2

      オンプレミスゲートウェイデバイス 1 の 2 番目のパブリック IP アドレス：47.XX.XX.32

      カスタマーゲートウェイ 3

      オンプレミスゲートウェイデバイス 2 の最初のパブリック IP アドレス：47.XX.XX.69

      カスタマーゲートウェイ 4

      オンプレミスゲートウェイデバイス 2 の 2 番目のパブリック IP アドレス：47.XX.XX.71

      米国 (シリコンバレー)

      カスタマーゲートウェイ 5

      オンプレミスゲートウェイデバイス 3 の最初のパブリック IP アドレス：57.XX.XX.11

      カスタマーゲートウェイ 6

      オンプレミスゲートウェイデバイス 3 の 2 番目のパブリック IP アドレス：47.XX.XX.191

      カスタマーゲートウェイ 7

      オンプレミスゲートウェイデバイス 4 の最初のパブリック IP アドレス：57.XX.XX.22

      カスタマーゲートウェイ 8

      オンプレミスゲートウェイデバイス 4 の 2 番目のパブリック IP アドレス：47.XX.XX.234

    ステップ 2：IPsec-VPN 接続の作成

    各 VPN Gateway に 2 つの IPsec-VPN 接続を作成します。接続を作成する際には、トンネルの暗号化アルゴリズムと宛先データセンターを指定する必要があります。各 IPsec-VPN 接続は、1 つのデータセンターにリンクします。

    1. VPN Gateway コンソールの IPsec-VPN 接続ページ に移動し、VPN ゲートウェイの選択 をクリックし、以下のパラメーターを設定します。

    2. 次の表に、IPsec-VPN 接続の主要なパラメーターを示します。その他のパラメーターはすべてデフォルト値のままにします。詳細については、「IPsec-VPN 接続 (VPN Gateway に関連付け)」をご参照ください。

      パラメーター

      IPsec-VPN 接続 1

      IPsec-VPN 接続 2

      IPsec-VPN 接続 3

      IPsec-VPN 接続 4

      IPsec 接続名

      IPsec-VPN 接続 1 と入力します。

      IPsec-VPN 接続 2 と入力します。

      IPsec-VPN 接続 3 と入力します。

      IPsec-VPN 接続 4 と入力します。

      リージョン

      中国 (上海) を選択します。

      中国 (上海) を選択します。

      米国 (シリコンバレー) を選択します。

      米国 (シリコンバレー) を選択します。

      VPN ゲートウェイの選択

      VPN Gateway 1 を選択します。

      VPN Gateway 1 を選択します。

      VPN Gateway 2 を選択します。

      VPN Gateway 2 を選択します。

      ルーティングモード

      送信先ルーティング を選択します。このモードは、複数の CIDR ブロックが通信する必要がある場合に必要です。

      今すぐ有効化

      デフォルト値の はい を維持します。設定完了後、すぐに IPsec ネゴシエーションが開始されます。

      トンネル 1

      カスタマーゲートウェイ

      カスタマーゲートウェイ 1 を選択します。

      カスタマーゲートウェイ 3 を選択します。

      カスタマーゲートウェイ 5 を選択します。

      カスタマーゲートウェイ 7 を選択します。

      事前共有鍵

      重要

      IPsec-VPN 接続の事前共有鍵は、ピアゲートウェイデバイスの事前共有鍵と同じでなければなりません。そうでない場合、IPsec-VPN 接続は確立できません。

      fddsFF111****

      fddsFF333****

      fddsFF555****

      fddsFF777****

      暗号化設定

      以下を除き、デフォルト値を使用します：

      • IKE 設定では、DH グループを group14 に設定します。

      • IPsec 設定では、DH グループを group14 に設定します。

      説明

      IPsec 接続の暗号化設定がオンプレミスゲートウェイデバイスの暗号化設定と同じになるように、オンプレミスゲートウェイデバイスに基づいて暗号化パラメーターを選択する必要があります。

      トンネル 2

      カスタマーゲートウェイ

      カスタマーゲートウェイ 2 を選択します。

      カスタマーゲートウェイ 4 を選択します。

      カスタマーゲートウェイ 6 を選択します。

      カスタマーゲートウェイ 8 を選択します。

      事前共有鍵

      fddsFF222****

      fddsFF444****

      fddsFF666****

      fddsFF888****

      暗号化設定

      以下を除き、デフォルト値を使用します：

      • IKE 設定では、DH グループを group14 に設定します。

      • IPsec 設定では、DH グループを group14 に設定します。

      説明

      IPsec 接続の暗号化設定がオンプレミスゲートウェイデバイスの暗号化設定と同じになるように、オンプレミスゲートウェイデバイスに基づいて暗号化パラメーターを選択する必要があります。

    3. Created ダイアログボックスで、キャンセル をクリックします。

    4. IPsec 接続ページで、作成した IPsec-VPN 接続を見つけ、アクション 列の ピア設定の生成 をクリックします。

      ピア設定には、ピアデバイスの VPN 設定が含まれています。このシナリオでは、これらの設定をローカルゲートウェイデバイスに追加する必要があります。

    5. IPsec-VPN 接続の設定 ダイアログボックスで、設定をコピーしてローカルマシンに保存します。これらの設定を使用して、ローカルゲートウェイデバイスをセットアップします。

      設定を完了すると、次の表に VPC、VPN Gateway、IPsec-VPN 接続、カスタマーゲートウェイ、データセンター間の関係が示されます。

      VPC

      VPN Gateway

      IPsec-VPN 接続

      トンネル

      カスタマーゲートウェイ

      ピアデータセンター

      VPC1

      VPN Gateway 1

      IPsec-VPN 接続 1

      アクティブトンネル

      カスタマーゲートウェイ 1

      データセンター 1

      スタンバイトンネル

      カスタマーゲートウェイ 2

      IPsec-VPN 接続 2

      アクティブトンネル

      カスタマーゲートウェイ 3

      データセンター 2

      スタンバイトンネル

      カスタマーゲートウェイ 4

      VPC2

      VPN Gateway 2

      IPsec-VPN 接続 3

      アクティブトンネル

      カスタマーゲートウェイ 5

      データセンター 3

      スタンバイトンネル

      カスタマーゲートウェイ 6

      IPsec-VPN 接続 4

      アクティブトンネル

      カスタマーゲートウェイ 7

      データセンター 4

      スタンバイトンネル

      カスタマーゲートウェイ 8

    ステップ 3：VPN Gateway ルートの設定

    IPsec-VPN 接続を作成した後、データセンターへのルートを VPN Gateway インスタンスに追加します。このトピックでは、宛先ベースルートを例として使用します。他のルート設定方法の詳細については、「ルート設定」をご参照ください。

    1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > VPN Gatewayを選択します。

    2. 上部のナビゲーションバーで、VPN Gateway インスタンスが存在するリージョンを選択します。

    3. VPN Gateway ページで、VPN Gateway インスタンスを見つけ、そのインスタンス ID をクリックします。

    4. 宛先ベースルーティング タブをクリックし、次に ルートエントリの追加 をクリックします。

    5. ルートエントリの追加 パネルで、宛先ベースルートを以下のパラメーターで設定し、OK をクリックします。

      VPN Gateway 1 にデータセンター 1 とデータセンター 2 へのルートを追加します。VPN Gateway 2 にデータセンター 3 とデータセンター 4 へのルートを追加します。

      パラメーター

      VPN Gateway 1

      VPN Gateway 2

      宛先 CIDR ブロック

      データセンター 1 の場合：172.16.10.0/24

      データセンター 2 の場合：172.16.40.0/24

      データセンター 3 の場合：10.10.0.0/16

      データセンター 4 の場合：10.30.0.0/16

      ネクストホップタイプ

      IPsec 接続 を選択します。

      IPsec 接続 を選択します。

      IPsec 接続 を選択します。

      IPsec 接続 を選択します。

      ネクストホップ

      IPsec-VPN 接続 1 を選択します。

      IPsec-VPN 接続 2 を選択します。

      IPsec-VPN 接続 3 を選択します。

      IPsec-VPN 接続 4 を選択します。

      VPC にアドバタイズ

      デフォルト値の はい を維持します。

      宛先ベースルートエントリを追加すると、VPN Gateway はデータセンター 1 とデータセンター 2 へのルートを VPC1 のシステムルートテーブルに自動的にアドバタイズします。

      デフォルト値の はい を維持します。

      宛先ベースルートエントリを追加すると、VPN Gateway はデータセンター 3 とデータセンター 4 へのルートを VPC2 のシステムルートテーブルに自動的にアドバタイズします。

    ステップ 4：オンプレミスゲートウェイデバイスの設定

    上記の設定を完了した後、オンプレミスゲートウェイデバイスに VPN とルーティングの設定を追加して、VPN Gateway との IPsec-VPN 接続を確立します。この設定により、データセンターから他のサイトへのトラフィックは、優先的にアクティブトンネルを経由してルーティングされます。アクティブトンネルに障害が発生した場合、トラフィックは自動的にスタンバイトンネルに切り替わります。

    説明

    この例では、ソフトウェア Adaptive Security Appliance (ASA) 9.19.1 を使用して、Cisco ファイアウォールの設定方法を説明します。コマンドはソフトウェアのバージョンによって異なる場合があります。操作中は、実際の環境に基づいてドキュメントまたはベンダーにご相談ください。詳細については、「ローカルゲートウェイを設定する」をご参照ください。

    以下の内容には、サードパーティ製品の情報が含まれており、参照のみを目的としています。Alibaba Cloud は、サードパーティ製品のパフォーマンスや信頼性、またはこれらの製品を使用した操作によって生じる潜在的な影響について、保証やその他の形式の約束を行いません。

    オンプレミスゲートウェイ 1

    1. Cisco ファイアウォールのコマンドラインインターフェイス (CLI) にログインし、設定モードに入ります。 

      ciscoasa> enable
Password: ********             #enable モードのパスワードを入力します。
ciscoasa# configure terminal   #設定モードに入ります。
ciscoasa(config)#

    2. インターフェイスとパブリックルートの設定を表示します。

      Cisco ファイアウォールには、必要なインターフェイスがすでに設定され、有効になっています。以下のコードは一例です。

      ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0
 nameif outside1                            #GigabitEthernet0/0 インターフェイスの名前。
 security-level 0
 ip address 47.XX.XX.23 255.255.255.255     #GigabitEthernet0/0 インターフェイスに設定されたパブリック IP アドレス。
!
interface GigabitEthernet0/1                #オンプレミスデータセンターに接続するインターフェイス。
 nameif private                             #GigabitEthernet0/1 インターフェイスの名前。
 security-level 100                         #プライベートインターフェイスのセキュリティレベルをパブリックインターフェイスよりも高く指定します。
 ip address 172.16.10.217 255.255.255.0       #GigabitEthernet0/1 インターフェイスに設定された IP アドレス。
!
interface GigabitEthernet0/2                
 nameif outside2                            #GigabitEthernet0/2 インターフェイスの名前。
 security-level 0
 ip address 47.XX.XX.32 255.255.255.255    #GigabitEthernet0/2 インターフェイスに設定されたパブリック IP アドレス。
!

route outside1 47.XX.XX.87 255.255.255.255 192.XX.XX.172   #Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route outside2 47.XX.XX.78 255.255.255.255 192.XX.XX.158   #Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route private 172.16.10.0 255.255.255.0 172.16.10.216           #オンプレミスデータセンターへのルートを設定します。

    3. パブリックインターフェイスで IKEv2 を有効にします。

      crypto ikev2 enable outside1
crypto ikev2 enable outside2

    4. IKEv2 ポリシーを作成します。IKE フェーズの認証アルゴリズム、暗号化アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IKE 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ikev2 policy 10     
 encryption aes             #暗号化アルゴリズムを指定します。
 integrity sha              #認証アルゴリズムを指定します。
 group 14                   #DH グループを指定します。
 prf sha                    #prf 値は integrity 値と同じでなければなりません。Alibaba Cloud 側では、prf はデフォルトで認証アルゴリズムと同じ値になります。
 lifetime seconds 86400     #SA ライフタイムを指定します。

    5. IPsec プロポーザルとプロファイルを作成します。IPsec フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IPsec 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #IPsec プロポーザルを作成します。
 protocol esp encryption aes                         #暗号化アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
 protocol esp integrity sha-1                        #認証アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #IPsec プロファイルを作成し、作成したプロポーザルを適用します。
 set ikev2 local-identity address                    #ローカル ID 形式を IP アドレスに設定して、Alibaba Cloud 側の RemoteId 形式と一致させます。
 set pfs group14                                     #PFS と DH グループを指定します。
 set security-association lifetime seconds 86400     #時間ベースの SA ライフタイムを指定します。
 set security-association lifetime kilobytes unlimited #トラフィックベースの SA ライフタイムを無効にします。

    6. トンネルグループを作成し、トンネルの事前共有鍵を指定します。鍵は Alibaba Cloud の鍵と一致している必要があります。

      tunnel-group 47.XX.XX.87 type ipsec-l2l                    #トンネル 1 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.87 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF111****  #トンネル 1 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF111****   #トンネル 1 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!
tunnel-group 47.XX.XX.78 type ipsec-l2l                    #トンネル 2 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.78 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF222****  #トンネル 2 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF222****   #トンネル 2 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!

    7. トンネルインターフェイスを作成します。

      interface Tunnel1                                  #トンネル 1 のインターフェイスを作成します。
 nameif ALIYUN1
 ip address 169.254.10.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside1                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/0 に設定します。
 tunnel destination 47.XX.XX.87                    #トンネルの宛先を Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 1 に適用します。
 no shutdown                                       #Tunnel 1 インターフェイスを有効にします。
!
interface Tunnel2                                  #トンネル 2 のインターフェイスを作成します。
 nameif ALIYUN2                
 ip address 169.254.20.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside2                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/2 に設定します。
 tunnel destination 47.XX.XX.78                    #トンネルの宛先を Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 2 に適用します。
 no shutdown                                       #Tunnel 2 インターフェイスを有効にします。
!

    8. 他のサイトへの静的ルートを設定します。

      データセンター 1 から他のサイトへのトラフィックをトンネル 1 経由でルーティングするための高優先度ルート。
route ALIYUN1 172.16.40.0 255.255.255.0 47.XX.XX.87 4  #データセンター 2 へのルートを設定します。
route ALIYUN1 10.30.0.0 255.255.0.0 47.XX.XX.87 4      #データセンター 4 へのルートを設定します。
route ALIYUN1 10.10.0.0 255.255.0.0 47.XX.XX.87 4      #データセンター 3 へのルートを設定します。
route ALIYUN1 10.0.0.0 255.255.0.0 47.XX.XX.87 4       #VPC2 へのルートを設定します。
route ALIYUN1 192.168.99.0 255.255.255.0 47.XX.XX.87 4 #VPC1 へのルートを設定します。

データセンター 1 から他のサイトへのトラフィックをトンネル 2 経由でルーティングするための低優先度ルート。
route ALIYUN2 172.16.40.0 255.255.255.0 47.XX.XX.78 5   
route ALIYUN2 10.30.0.0 255.255.0.0 47.XX.XX.78 5       
route ALIYUN2 10.10.0.0 255.255.0.0 47.XX.XX.78 5       
route ALIYUN2 10.0.0.0 255.255.0.0 47.XX.XX.78 5        
route ALIYUN2 192.168.99.0 255.255.255.0 47.XX.XX.78 5

    9. データセンター 1 で、ネットワーク環境に適したルートを追加して、クライアントが Cisco ファイアウォール経由で他のサイトにアクセスできるようにします。

    オンプレミスゲートウェイ 2

    1. Cisco ファイアウォールのコマンドラインインターフェイス (CLI) にログインし、設定モードに入ります。 

      ciscoasa> enable
Password: ********             #enable モードのパスワードを入力します。
ciscoasa# configure terminal   #設定モードに入ります。
ciscoasa(config)#

    2. インターフェイスとパブリックルートの設定を表示します。

      Cisco ファイアウォールには、必要なインターフェイスがすでに設定され、有効になっています。以下のコードは一例です。

      ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0
 nameif outside1                            #GigabitEthernet0/0 インターフェイスの名前。
 security-level 0
 ip address 47.XX.XX.69 255.255.255.255     #GigabitEthernet0/0 インターフェイスに設定されたパブリック IP アドレス。
!
interface GigabitEthernet0/1                #オンプレミスデータセンターに接続するインターフェイス。
 nameif private                             #GigabitEthernet0/1 インターフェイスの名前。
 security-level 100                         #プライベートインターフェイスのセキュリティレベルをパブリックインターフェイスよりも高く指定します。
 ip address 172.16.40.217 255.255.255.0       #GigabitEthernet0/1 インターフェイスに設定された IP アドレス。
!
interface GigabitEthernet0/2                
 nameif outside2                            #GigabitEthernet0/2 インターフェイスの名前。
 security-level 0
 ip address 47.XX.XX.71 255.255.255.255    #GigabitEthernet0/2 インターフェイスに設定されたパブリック IP アドレス。
!

route outside1 47.XX.XX.87 255.255.255.255 192.XX.XX.172   #Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route outside2 47.XX.XX.78 255.255.255.255 192.XX.XX.158   #Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route private 172.16.40.0 255.255.255.0 172.16.40.216           #オンプレミスデータセンターへのルートを設定します。

    3. パブリックインターフェイスで IKEv2 を有効にします。

      crypto ikev2 enable outside1
crypto ikev2 enable outside2

    4. IKEv2 ポリシーを作成します。IKE フェーズの認証アルゴリズム、暗号化アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IKE 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ikev2 policy 10     
 encryption aes             #暗号化アルゴリズムを指定します。
 integrity sha              #認証アルゴリズムを指定します。
 group 14                   #DH グループを指定します。
 prf sha                    #prf 値は integrity 値と同じでなければなりません。Alibaba Cloud 側では、prf はデフォルトで認証アルゴリズムと同じ値になります。
 lifetime seconds 86400     #SA ライフタイムを指定します。

    5. IPsec プロポーザルとプロファイルを作成します。IPsec フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IPsec 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #IPsec プロポーザルを作成します。
 protocol esp encryption aes                         #暗号化アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
 protocol esp integrity sha-1                        #認証アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #IPsec プロファイルを作成し、作成したプロポーザルを適用します。
 set ikev2 local-identity address                    #ローカル ID 形式を IP アドレスに設定して、Alibaba Cloud 側の RemoteId 形式と一致させます。
 set pfs group14                                     #PFS と DH グループを指定します。
 set security-association lifetime seconds 86400     #時間ベースの SA ライフタイムを指定します。
 set security-association lifetime kilobytes unlimited #トラフィックベースの SA ライフタイムを無効にします。

    6. トンネルグループを作成し、トンネルの事前共有鍵を指定します。鍵は Alibaba Cloud の鍵と一致している必要があります。

      tunnel-group 47.XX.XX.87 type ipsec-l2l                    #トンネル 1 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.87 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF333****  #トンネル 1 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF333****   #トンネル 1 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!
tunnel-group 47.XX.XX.78 type ipsec-l2l                    #トンネル 2 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.78 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF444****  #トンネル 2 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF444****   #トンネル 2 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!

    7. トンネルインターフェイスを作成します。

      interface Tunnel1                                  #トンネル 1 のインターフェイスを作成します。
 nameif ALIYUN1
 ip address 169.254.11.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside1                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/0 に設定します。
 tunnel destination 47.XX.XX.87                    #トンネルの宛先を Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 1 に適用します。
 no shutdown                                       #Tunnel 1 インターフェイスを有効にします。
!
interface Tunnel2                                  #トンネル 2 のインターフェイスを作成します。
 nameif ALIYUN2                
 ip address 169.254.21.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside2                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/2 に設定します。
 tunnel destination 47.XX.XX.78                    #トンネルの宛先を Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 2 に適用します。
 no shutdown                                       #Tunnel 2 インターフェイスを有効にします。
!

    8. 他のサイトへの静的ルートを設定します。

      データセンター 2 から他のサイトへのトラフィックをトンネル 1 経由でルーティングするための高優先度ルート。
route ALIYUN1 172.16.10.0 255.255.255.0 47.XX.XX.87 4  #データセンター 1 へのルートを設定します。
route ALIYUN1 10.30.0.0 255.255.0.0 47.XX.XX.87 4      #データセンター 4 へのルートを設定します。
route ALIYUN1 10.10.0.0 255.255.0.0 47.XX.XX.87 4      #データセンター 3 へのルートを設定します。
route ALIYUN1 10.0.0.0 255.255.0.0 47.XX.XX.87 4       #VPC2 へのルートを設定します。
route ALIYUN1 192.168.99.0 255.255.255.0 47.XX.XX.87 4 #VPC1 へのルートを設定します。

データセンター 2 から他のサイトへのトラフィックをトンネル 2 経由でルーティングするための低優先度ルート。
route ALIYUN2 172.16.10.0 255.255.255.0 47.XX.XX.78 5   
route ALIYUN2 10.30.0.0 255.255.0.0 47.XX.XX.78 5       
route ALIYUN2 10.10.0.0 255.255.0.0 47.XX.XX.78 5       
route ALIYUN2 10.0.0.0 255.255.0.0 47.XX.XX.78 5        
route ALIYUN2 192.168.99.0 255.255.255.0 47.XX.XX.78 5

    9. データセンター 2 で、ネットワーク環境に適したルートを追加して、クライアントが Cisco ファイアウォール経由で他のサイトにアクセスできるようにします。

    オンプレミスゲートウェイ 3

    1. Cisco ファイアウォールのコマンドラインインターフェイス (CLI) にログインし、設定モードに入ります。 

      ciscoasa> enable
Password: ********             #enable モードのパスワードを入力します。
ciscoasa# configure terminal   #設定モードに入ります。
ciscoasa(config)#

    2. インターフェイスとパブリックルートの設定を表示します。

      Cisco ファイアウォールには、必要なインターフェイスがすでに設定され、有効になっています。以下のコードは一例です。

      ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0
 nameif outside1                            #GigabitEthernet0/0 インターフェイスの名前。
 security-level 0
 ip address 57.XX.XX.11 255.255.255.255     #GigabitEthernet0/0 インターフェイスに設定されたパブリック IP アドレス。
!
interface GigabitEthernet0/1                #オンプレミスデータセンターに接続するインターフェイス。
 nameif private                             #GigabitEthernet0/1 インターフェイスの名前。
 security-level 100                         #プライベートインターフェイスのセキュリティレベルをパブリックインターフェイスよりも高く指定します。
 ip address 10.10.10.217 255.255.255.0       #GigabitEthernet0/1 インターフェイスに設定された IP アドレス。
!
interface GigabitEthernet0/2                
 nameif outside2                            #GigabitEthernet0/2 インターフェイスの名前。
 security-level 0
 ip address 57.XX.XX.191 255.255.255.255    #GigabitEthernet0/2 インターフェイスに設定されたパブリック IP アドレス。
!

route outside1 47.XX.XX.207 255.255.255.255 192.XX.XX.172   #Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route outside2 47.XX.XX.15 255.255.255.255 192.XX.XX.158   #Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route private 10.10.10.0 255.255.255.0 10.10.10.216           #オンプレミスデータセンターへのルートを設定します。

    3. パブリックインターフェイスで IKEv2 を有効にします。

      crypto ikev2 enable outside1
crypto ikev2 enable outside2

    4. IKEv2 ポリシーを作成します。IKE フェーズの認証アルゴリズム、暗号化アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IKE 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ikev2 policy 10     
 encryption aes             #暗号化アルゴリズムを指定します。
 integrity sha              #認証アルゴリズムを指定します。
 group 14                   #DH グループを指定します。
 prf sha                    #prf 値は integrity 値と同じでなければなりません。Alibaba Cloud 側では、prf はデフォルトで認証アルゴリズムと同じ値になります。
 lifetime seconds 86400     #SA ライフタイムを指定します。

    5. IPsec プロポーザルとプロファイルを作成します。IPsec フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IPsec 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #IPsec プロポーザルを作成します。
 protocol esp encryption aes                         #暗号化アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
 protocol esp integrity sha-1                        #認証アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #IPsec プロファイルを作成し、作成したプロポーザルを適用します。
 set ikev2 local-identity address                    #ローカル ID 形式を IP アドレスに設定して、Alibaba Cloud 側の RemoteId 形式と一致させます。
 set pfs group14                                     #PFS と DH グループを指定します。
 set security-association lifetime seconds 86400     #時間ベースの SA ライフタイムを指定します。
 set security-association lifetime kilobytes unlimited #トラフィックベースの SA ライフタイムを無効にします。

    6. トンネルグループを作成し、トンネルの事前共有鍵を指定します。鍵は Alibaba Cloud の鍵と一致している必要があります。

      tunnel-group 47.XX.XX.207 type ipsec-l2l                    #トンネル 1 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.207 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF555****  #トンネル 1 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF555****   #トンネル 1 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!
tunnel-group 47.XX.XX.15 type ipsec-l2l                    #トンネル 2 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.15 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF666****  #トンネル 2 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF666****   #トンネル 2 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!

    7. トンネルインターフェイスを作成します。

      interface Tunnel1                                  #トンネル 1 のインターフェイスを作成します。
 nameif ALIYUN1
 ip address 169.254.12.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside1                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/0 に設定します。
 tunnel destination 47.XX.XX.207                    #トンネルの宛先を Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 1 に適用します。
 no shutdown                                       #Tunnel 1 インターフェイスを有効にします。
!
interface Tunnel2                                  #トンネル 2 のインターフェイスを作成します。
 nameif ALIYUN2                
 ip address 169.254.22.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside2                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/2 に設定します。
 tunnel destination 47.XX.XX.15                   #トンネルの宛先を Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 2 に適用します。
 no shutdown                                       #Tunnel 2 インターフェイスを有効にします。
!

    8. 他のサイトへの静的ルートを設定します。

      データセンター 3 から他のサイトへのトラフィックをトンネル 1 経由でルーティングするための高優先度ルート。
route ALIYUN1 172.16.40.0 255.255.255.0 47.XX.XX.207 4  #データセンター 2 へのルートを設定します。
route ALIYUN1 10.30.0.0 255.255.0.0 47.XX.XX.207 4      #データセンター 4 へのルートを設定します。
route ALIYUN1 172.16.10.0 255.255.255.0 47.XX.XX.207 4  #データセンター 1 へのルートを設定します。
route ALIYUN1 10.0.0.0 255.255.0.0 47.XX.XX.207 4       #VPC2 へのルートを設定します。
route ALIYUN1 192.168.99.0 255.255.255.0 47.XX.XX.207 4 #VPC1 へのルートを設定します。

データセンター 3 から他のサイトへのトラフィックをトンネル 2 経由でルーティングするための低優先度ルート。
route ALIYUN2 172.16.40.0 255.255.255.0 47.XX.XX.15 5   
route ALIYUN2 10.30.0.0 255.255.0.0 47.XX.XX.15 5       
route ALIYUN2 172.16.10.0 255.255.255.0 47.XX.XX.15 5      
route ALIYUN2 10.0.0.0 255.255.0.0 47.XX.XX.15 5        
route ALIYUN2 192.168.99.0 255.255.255.0 47.XX.XX.15 5

    9. データセンター 3 で、ネットワーク環境に適したルートを追加して、クライアントが Cisco ファイアウォール経由で他のサイトにアクセスできるようにします。

    オンプレミスゲートウェイ 4

    1. Cisco ファイアウォールのコマンドラインインターフェイス (CLI) にログインし、設定モードに入ります。 

      ciscoasa> enable
Password: ********             #enable モードのパスワードを入力します。
ciscoasa# configure terminal   #設定モードに入ります。
ciscoasa(config)#

    2. インターフェイスとパブリックルートの設定を表示します。

      Cisco ファイアウォールには、必要なインターフェイスがすでに設定され、有効になっています。以下のコードは一例です。

      ciscoasa(config)# show running-config interface 
!
interface GigabitEthernet0/0
 nameif outside1                            #GigabitEthernet0/0 インターフェイスの名前。
 security-level 0
 ip address 57.XX.XX.22 255.255.255.255     #GigabitEthernet0/0 インターフェイスに設定されたパブリック IP アドレス。
!
interface GigabitEthernet0/1                #オンプレミスデータセンターに接続するインターフェイス。
 nameif private                             #GigabitEthernet0/1 インターフェイスの名前。
 security-level 100                         #プライベートインターフェイスのセキュリティレベルをパブリックインターフェイスよりも高く指定します。
 ip address 10.30.66.217 255.255.255.0       #GigabitEthernet0/1 インターフェイスに設定された IP アドレス。
!
interface GigabitEthernet0/2                
 nameif outside2                            #GigabitEthernet0/2 インターフェイスの名前。
 security-level 0
 ip address 57.XX.XX.234 255.255.255.255    #GigabitEthernet0/2 インターフェイスに設定されたパブリック IP アドレス。
!

route outside1 47.XX.XX.207 255.255.255.255 192.XX.XX.172   #Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route outside2 47.XX.XX.15 255.255.255.255 192.XX.XX.158   #Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスへのルートを設定します。ネクストホップはパブリック IP アドレスです。
route private 10.30.66.0 255.255.255.0 10.30.66.216           #オンプレミスデータセンターへのルートを設定します。

    3. パブリックインターフェイスで IKEv2 を有効にします。

      crypto ikev2 enable outside1
crypto ikev2 enable outside2

    4. IKEv2 ポリシーを作成します。IKE フェーズの認証アルゴリズム、暗号化アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IKE 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ikev2 policy 10     
 encryption aes             #暗号化アルゴリズムを指定します。
 integrity sha              #認証アルゴリズムを指定します。
 group 14                   #DH グループを指定します。
 prf sha                    #prf 値は integrity 値と同じでなければなりません。Alibaba Cloud 側では、prf はデフォルトで認証アルゴリズムと同じ値になります。
 lifetime seconds 86400     #SA ライフタイムを指定します。

    5. IPsec プロポーザルとプロファイルを作成します。IPsec フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループ、SA ライフタイムを指定します。これらの設定は Alibaba Cloud の設定と一致する必要があります。

      重要

      Alibaba Cloud では、IPsec 設定フェーズの暗号化アルゴリズム、認証アルゴリズム、DH グループパラメーターに 1 つの値しか指定できません。Cisco ファイアウォールでも同様に行い、値が Alibaba Cloud の設定と一致することを確認することを推奨します。

      crypto ipsec ikev2 ipsec-proposal ALIYUN-PROPOSAL    #IPsec プロポーザルを作成します。
 protocol esp encryption aes                         #暗号化アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
 protocol esp integrity sha-1                        #認証アルゴリズムを指定します。プロトコルは ESP で、Alibaba Cloud 側で必要です。
crypto ipsec profile ALIYUN-PROFILE                  
 set ikev2 ipsec-proposal ALIYUN-PROPOSAL            #IPsec プロファイルを作成し、作成したプロポーザルを適用します。
 set ikev2 local-identity address                    #ローカル ID 形式を IP アドレスに設定して、Alibaba Cloud 側の RemoteId 形式と一致させます。
 set pfs group14                                     #PFS と DH グループを指定します。
 set security-association lifetime seconds 86400     #時間ベースの SA ライフタイムを指定します。
 set security-association lifetime kilobytes unlimited #トラフィックベースの SA ライフタイムを無効にします。

    6. トンネルグループを作成し、トンネルの事前共有鍵を指定します。鍵は Alibaba Cloud の鍵と一致している必要があります。

      tunnel-group 47.XX.XX.207 type ipsec-l2l                    #トンネル 1 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.207 ipsec-attributes             
 ikev2 remote-authentication pre-shared-key fddsFF777****  #トンネル 1 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF777****   #トンネル 1 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!
tunnel-group 47.XX.XX.15 type ipsec-l2l                    #トンネル 2 のカプセル化モードを L2L に指定します。
tunnel-group 47.XX.XX.15 ipsec-attributes
 ikev2 remote-authentication pre-shared-key fddsFF888****  #トンネル 2 のピアの事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵です。
 ikev2 local-authentication pre-shared-key fddsFF888****   #トンネル 2 のローカル事前共有鍵を指定します。これは Alibaba Cloud 側の事前共有鍵と一致している必要があります。
!

    7. トンネルインターフェイスを作成します。

      interface Tunnel1                                  #トンネル 1 のインターフェイスを作成します。
 nameif ALIYUN1
 ip address 169.254.13.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside1                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/0 に設定します。
 tunnel destination 47.XX.XX.207                   #トンネルの宛先を Alibaba Cloud 側のトンネル 1 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 1 に適用します。
 no shutdown                                       #Tunnel 1 インターフェイスを有効にします。
!
interface Tunnel2                                  #トンネル 2 のインターフェイスを作成します。
 nameif ALIYUN2                
 ip address 169.254.23.2 255.255.255.252           #インターフェイスの IP アドレスを指定します。
 tunnel source interface outside2                  #トンネルソースをパブリックインターフェイス GigabitEthernet0/2 に設定します。
 tunnel destination 47.XX.XX.15                    #トンネルの宛先を Alibaba Cloud 側のトンネル 2 のパブリック IP アドレスに設定します。
 tunnel mode ipsec ipv4                            
 tunnel protection ipsec profile ALIYUN-PROFILE    #ALIYUN-PROFILE IPsec プロファイルをトンネル 2 に適用します。
 no shutdown                                       #Tunnel 2 インターフェイスを有効にします。
!

    8. 他のサイトへの静的ルートを設定します。

      データセンター 4 から他のサイトへのトラフィックをトンネル 1 経由でルーティングするための高優先度ルート。
route ALIYUN1 172.16.40.0 255.255.255.0 47.XX.XX.207 4  #データセンター 2 へのルートを設定します。
route ALIYUN1 10.10.0.0 255.255.0.0 47.XX.XX.207 4      #データセンター 3 へのルートを設定します。
route ALIYUN1 172.16.10.0 255.255.255.0 47.XX.XX.207 4  #データセンター 1 へのルートを設定します。
route ALIYUN1 10.0.0.0 255.255.0.0 47.XX.XX.207 4       #VPC2 へのルートを設定します。
route ALIYUN1 192.168.99.0 255.255.255.0 47.XX.XX.207 4 #VPC1 へのルートを設定します。

データセンター 4 から他のサイトへのトラフィックをトンネル 2 経由でルーティングするための低優先度ルート。
route ALIYUN2 172.16.40.0 255.255.255.0 47.XX.XX.15 5   
route ALIYUN2 10.10.0.0 255.255.0.0 47.XX.XX.15 5       
route ALIYUN2 172.16.10.0 255.255.255.0 47.XX.XX.15 5      
route ALIYUN2 10.0.0.0 255.255.0.0 47.XX.XX.15 5        
route ALIYUN2 192.168.99.0 255.255.255.0 47.XX.XX.15 5

    9. データセンター 4 で、ネットワーク環境に適したルートを追加して、クライアントが Cisco ファイアウォール経由で他のサイトにアクセスできるようにします。

    オンプレミスゲートウェイデバイスを設定すると、データセンター 1、データセンター 2、VPC1 は相互に通信できるようになり、データセンター 3、データセンター 4、VPC2 も同様に通信できるようになります。ただし、これら 2 つのグループ間の通信はまだ確立されていません。

    ステップ 5：Cloud Enterprise Network の設定

    Cloud Enterprise Network (CEN) を使用して、データセンター 1、データセンター 2、VPC1、データセンター 3、データセンター 4、VPC2 間の完全な接続を有効にします。

    1. CEN インスタンスを作成します。詳細については、「CEN インスタンス」をご参照ください。

    2. 中国 (上海) リージョンに 1 つ、米国 (シリコンバレー) リージョンにもう 1 つのトランジットルーターを作成します。詳細については、「トランジットルーターインスタンスの作成」をご参照ください。

      トランジットルーターインスタンスにはデフォルト設定を使用します。

    3. VPC 接続を作成します。

      VPC1 を中国 (上海) リージョンのトランジットルーターに、VPC2 を米国 (シリコンバレー) リージョンのトランジットルーターにアタッチします。

      1. CEN インスタンス詳細ページの 基本設定 > トランジットルーター タブで、中国 (上海) リージョンのトランジットルーターを見つけ、その アクション 列にある [ネットワークインスタンス接続の作成] をクリックします。

      2. パラメーターを以下のように設定し、[OK] をクリックします。

        次の表に主要なパラメーターを示します。その他のパラメーターはすべてデフォルト設定のままにします。詳細については、「Enterprise Edition トランジットルーターを使用して VPC 接続を作成する」をご参照ください。

        パラメーター

        VPC1 接続

        VPC2 接続

        ネットワークタイプ

        仮想プライベートクラウド (VPC) を選択します。

        リージョン

        中国 (上海) を選択します。

        米国 (シリコンバレー) を選択します。

        所属 UID

        [現在のアカウント] を選択します。

        接続名

        VPC1-attachment と入力します。

        VPC2-attachment と入力します。

        ネットワーク

        VPC1 を選択します。

        VPC2 を選択します。

        vSwitch

        ゾーン E の vSwitch 1 とゾーン F の vSwitch 2 を選択します。

        選択した各 vSwitch にアイドル状態の IP アドレスがあることを確認してください。 VPC がトランジットルーターでサポートされているゾーンに vSwitch を持っていない場合、または vSwitch にアイドル状態の IP アドレスがない場合は、vSwitch を作成する必要があります。詳細については、「vSwitch の作成と管理」をご参照ください。

        ゾーン A の vSwitch 1 とゾーン B の vSwitch 2 を選択します。

        選択した各 vSwitch にアイドル状態の IP アドレスがあることを確認してください。 VPC がトランジットルーターでサポートされているゾーンに vSwitch を持っていない場合、または vSwitch にアイドル状態の IP アドレスがない場合は、vSwitch を作成する必要があります。詳細については、「vSwitch の作成と管理」をご参照ください。

        詳細設定

        デフォルト設定を維持します。デフォルトでは、すべての詳細オプションが選択されています。

    4. リージョン間接続を作成します。

      VPC1 と VPC2 は異なるリージョンにあるため、それらの間の通信を可能にするには、リージョン間接続を作成する必要があります。

      1. CEN インスタンス詳細ページの 基本設定 > 帯域幅プラン タブで、リージョン接続の作成 をクリックします。

      2. [ネットワークインスタンスの接続] ページで、リージョン間接続を以下のように設定し、[OK] をクリックします。

        パラメーター

        説明

        ネットワークタイプ

        リージョン間接続 を選択します。

        リージョン

        中国 (上海) を選択します。

        Local Region

        米国 (シリコンバレー) を選択します。

        帯域幅割り当てモード

        データ転送量課金 を選択します。この課金方法の料金は、Cloud Data Transfer (CDT) によって請求されます。

        帯域幅

        接続帯域幅を Mbps で入力します。

        デフォルトのリンクタイプ

        リンクタイプは、デフォルト値の ゴールド のままにします。

        詳細設定

        デフォルト設定を維持します。デフォルトでは、すべての詳細オプションが選択されています。

    5. データセンタールートをトランジットルーターにアドバタイズします。

      リージョン間接続が作成された後、VPC1 と VPC2 のみが相互に通信できます。データセンター 1、データセンター 2、データセンター 3、データセンター 4 間のクロスリージョン通信を有効にするには、データセンタールートをトランジットルーターにアドバタイズする必要もあります。

      1. CEN インスタンス詳細ページの 基本設定 > トランジットルーター タブで、中国 (上海) リージョンのトランジットルーターを見つけ、そのインスタンス ID をクリックします。

      2. トランジットルーター詳細ページで、ルーティング情報 タブをクリックします。

      3. ルーティング情報 タブで、VPC1 インスタンスと、データセンター 1 およびデータセンター 2 を指すルートエントリを見つけます。

      4. ルートエントリの 公開のステータス 列で、公開 をクリックします。PublishRoute ダイアログボックスで、ルート情報を確認し、[OK] をクリックします。

      5. 米国 (シリコンバレー) リージョンのトランジットルーターに対してこれらの手順を繰り返します。VPC2 インスタンスについては、データセンター 3 とデータセンター 4 を指すルートをアドバタイズします。

      データセンター 1 と 2

      VPC1-已发布

      データセンター 3 と 4

      VPC2-已发布

    ステップ 6：接続性のテスト

    上記の手順を完了すると、異なるリージョンのデータセンターと VPC 間で any-to-any の通信が可能になります。このセクションでは、この接続性をテストする方法を示します。

    説明

    接続性をテストする前に、VPC 内の ECS インスタンスに適用されているセキュリティグループルールと、データセンターの ACL ルールを理解していることを確認してください。これらのセキュリティグループルールと ACL ルールが、データセンターと VPC 間のトラフィックを許可していることを確認してください。ECS セキュリティグループルールの詳細については、「セキュリティグループルールのクエリ」および「セキュリティグループルールの追加」をご参照ください。

    VPC1 と VPC2、データセンター 1、データセンター 2、データセンター 3、データセンター 4 間の接続性をテストします。

    1. VPC1 の ECS1 にログインします。詳細については、「接続方法の概要」をご参照ください。

    2. ECS1 インスタンスで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      VPC1-1

      VPC1-2

      ECS1 インスタンスがエコー応答パケットを受信した場合、VPC1 が他のサイトに接続されていることが確認されます。

    VPC2 と VPC1、データセンター 1、データセンター 2、データセンター 3、データセンター 4 間の接続性をテストします。

    1. VPC2 の ECS2 にログインします。詳細については、「接続方法の概要」をご参照ください。

    2. ECS2 インスタンスで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      VPC2-1VPC2-2

      ECS2 インスタンスがエコー応答パケットを受信した場合、VPC2 が他のサイトに接続されていることが確認されます。

    データセンター 1 と VPC1、VPC2、データセンター 2、データセンター 3、データセンター 4 間の接続性をテストします。

    1. データセンター 1 のクライアントにログインします。

    2. クライアントで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      IDC1-1IDC1-2

      データセンター 1 のクライアントがエコー応答パケットを受信した場合、データセンター 1 が他のサイトに接続されていることが確認されます。

    データセンター 2 と VPC1、VPC2、データセンター 1、データセンター 3、データセンター 4 間の接続性をテストします。

    1. データセンター 2 のクライアントにログインします。

    2. クライアントで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      IDC2-1

      IDC2-2

      データセンター 2 のクライアントがエコー応答パケットを受信した場合、データセンター 2 が他のサイトに接続されていることが確認されます。

    データセンター 3 と VPC1、VPC2、データセンター 1、データセンター 2、データセンター 4 間の接続性をテストします。

    1. データセンター 3 のクライアントにログインします。

    2. クライアントで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      IDC4-1IDC4-2

      データセンター 3 のクライアントがエコー応答パケットを受信した場合、データセンター 3 が他のサイトに接続されていることが確認されます。

    データセンター 4 と VPC1、VPC2、データセンター 1、データセンター 2、データセンター 3 間の接続性をテストします。

    1. データセンター 4 のクライアントにログインします。

    2. クライアントで、ping コマンドを実行して、別のサイトのクライアントへの接続性をテストします。

      ping <client_ip_address>

      IDC3-1IDC3-2

      データセンター 4 のクライアントがエコー応答パケットを受信した場合、データセンター 4 が他のサイトに接続されていることが確認されます。