IPsec-VPN 接続をトランジットルーター (TR) にアタッチした後、TR からオンプレミスデータセンターへのトラフィックを転送するためのルートを構成する必要があります。
ルーティング方式の選択
TR にアタッチされた IPsec-VPN 接続では、静的ルートおよびBGP 動的ルーティングの 2 種類のルーティング方式がサポートされています。これらの方式の比較については、「ルーティング方式の選択」をご参照ください。
推奨事項：
BGP を使用することを推奨します。静的ルートを使用する場合は、オンプレミスゲートウェイデバイスが静的 Equal-Cost Multi-Path (ECMP) ルーティングをサポートしていることを確認してください。
各 IPsec-VPN 接続に対して、1 つのルーティング方式のみを使用してください。静的ルートと BGP を同時に使用しないでください。
単一の IPsec-VPN 接続では、両方のトンネルに同じルーティングプロトコルを構成することを推奨します。BGP を使用する場合、両方のトンネルに同じ ローカル ASN を設定する必要があります。
ルート優先度：
IPsec-VPN 接続のルートテーブルでは、ルートは 最長プレフィックス一致 の原則に基づいてマッチされます。
トランジットルーターのルートテーブルにおいて、複数の IPsec-VPN 接続が同一の宛先 CIDR ブロックに対して宛先ルートおよび BGP ルートの両方を TR に広告している場合、BGP ルートが優先されます。詳細については、「TR ルート優先度」をご参照ください。
静的ルート構成
静的ルートを使用する場合は、オンプレミスゲートウェイが 静的 ECMP ルーティング をサポートしていることを確認してください。IPsec-VPN 接続が TR にアタッチされている場合、クラウドからオンプレミスデータセンターへのトラフィックは自動的に ECMP リンクを使用します。一方、オンプレミスデータセンターからクラウドへのトラフィックが ECMP をサポートしていない場合、非対称ルートが発生する可能性があります。
エンドツーエンドの概要
TR にアタッチされた IPsec-VPN 接続を静的ルーティングで使用して VPC をオンプレミスデータセンターに接続する場合、次の 3 つのルートテーブルを管理する必要があります。
トラフィック方向 | トランジットルーターのルートテーブル | IPsec-VPN 接続のルートテーブル | オンプレミスデータセンターのルートテーブル |
クラウドからの送信トラフィック | ルート学習を有効化します。 これにより、TR が IPsec-VPN 接続から宛先ルートエントリを自動的に学習できるようになります。 IPsec-VPN 接続を作成する際に、システムルートを転送ルーターに自動的に伝播するデフォルトのルートテーブル を選択したままにすると、ルート学習はデフォルトで有効になります。 | ルートエントリを手動で追加します。 宛先 CIDR ブロックをオンプレミスデータセンターの CIDR ブロックに、ネクストホップをこの IPsec-VPN 接続に設定します。 | ゲートウェイデバイス上にオンプレミスデータセンターの内部ネットワークへのルートが存在することを確認します。存在しない場合は、手動で追加する必要があります。 |
クラウドへの受信トラフィック | 特に構成は不要です。 システムはデフォルトで TR にトラフィックを転送します。 | 2 つの 静的 ECMP ルート を手動で追加します。どちらも宛先 CIDR ブロックを VPC の CIDR ブロックに設定し、それぞれのネクストホップを IPsec-VPN 接続の 2 つのトンネルのいずれかに設定します。 |
静的ルートの追加または削除
コンソール
静的ルートの追加
IPsec-VPN 接続の ID をクリックして、詳細ページを開きます。
宛先ベースルーティング タブで、ルートエントリの追加 をクリックします。
CIDR：オンプレミスデータセンターの CIDR ブロックを入力します。
ネクストホップ：この IPsec-VPN 接続を選択します。
静的ルートの削除
ルートエントリの 操作 列で、削除 をクリックします。
API
静的ルートを追加するには、CreateVcoRouteEntry 操作を呼び出します。
静的ルートを削除するには、DeleteVcoRouteEntry 操作を呼び出します。
制限事項
宛先 CIDR ブロックが
0.0.0.0/0のルートはサポートされていません。100.64.0.0/10（そのサブネットおよびスーパーネットを含む）を含むルートを追加しないでください。追加すると、IPsec 接続のステータスが異常になります。デュアルトンネルモードでは、トンネルステータスが フェーズ 2 ネゴシエーション成功 の場合にのみ、宛先ルートがトランジットルーターのルートテーブルに広告されます。
BGP 動的ルーティング構成
ボーダーゲートウェイプロトコル (BGP) 動的ルーティングは、IPsec 接続とオンプレミスデータセンターとの間に BGP ネイバー関係を確立し、ルートを自動的に学習および配布します。
エンドツーエンドの概要
BGP およびトランジットルーター (TR) にバインドされた IPsec-VPN 接続を使用して VPC をオンプレミスデータセンターに接続する場合、次の 3 つのルートテーブルを管理する必要があります。
トラフィック方向 | トランジットルーターのルートテーブル | IPsec 接続のルートテーブル | オンプレミスデータセンターのルートテーブル |
送信トラフィック | ルート学習を有効化します。 有効化後、TR が IPsec 接続から宛先ルートエントリを自動的に学習します。 IPsec 接続を作成する際に、システムルートを転送ルーターに自動的に伝播するデフォルトのルートテーブル が選択されているため、ルート学習はデフォルトで有効になります。 | BGP を有効化します。 有効化後、クラウドの CIDR ブロックがオンプレミスデータセンターに自動的に広告され、オンプレミスデータセンターの CIDR ブロックが自動的に学習されます。 | BGP を有効化します。 有効化後、ローカル CIDR ブロックがクラウドに自動的に広告され、VPC の CIDR ブロックが自動的に学習されます。 |
受信トラフィック |
BGP ルート広告の原則
受信トラフィック：オンプレミスデータセンターが BGP を通じてルートを広告 → ルートが IPsec 接続の BGP ルートテーブルに伝搬 → ルートが ルート学習 を通じて TR のルートテーブルに伝搬。
送信トラフィック：TR のルートテーブルからのルート → ルートが ルート同期 を通じて IPsec 接続の BGP ルートテーブルに伝搬 → ルートが BGP を通じてオンプレミスデータセンターに伝搬。
構成手順
コンソール
カスタマーゲートウェイでオンプレミスデータセンターの ASN を指定
カスタマーゲートウェイを作成する際、オンプレミスデータセンターの自律システム番号 (ASN) を指定します。既存のカスタマーゲートウェイに ASN が指定されていない場合は、新しいものを作成してください。詳細については、「カスタマーゲートウェイ」をご参照ください。
IPsec 接続で BGP を有効化
IPsec 接続を作成または変更する際、カスタマーゲートウェイ、BGP の有効化、ローカル ASN、トンネル CIDR ブロック、およびローカル BGP IP アドレス を構成します。パラメーターの説明および手順については、「BGP の有効化または無効化 (TR にバインドされた接続の場合)」をご参照ください。
2 つのトンネルのローカル ASN は同一である必要があります。ピア BGP AS 番号も同一である必要があります。
IPsec 接続の ルートモード として、宛先ルートモード を選択します。
BGP ルートが有効になっていることを確認
VPN ゲートウェイの BGP ルートテーブル：VPN ゲートウェイインスタンスの詳細ページで、BGP ルートテーブル タブに移動してルートを確認します。ルートソースは「CLOUD」(クラウドルート) または「VPN_BGP」(BGP で学習したルート) と表示されます。
VPC システムルートテーブル：VPC システムルートテーブルで、「動的ルート」タイプのエントリを確認します。
API
カスタマーゲートウェイでオンプレミスデータセンターの ASN を指定
CreateCustomerGateway を呼び出してカスタマーゲートウェイを作成し、オンプレミスデータセンターの ASN を指定します。
IPsec 接続で BGP を有効化
CreateVpnAttachment を呼び出して IPsec 接続を作成します。
ModifyVpnAttachmentAttribute を呼び出して IPsec 接続およびトンネル構成を変更します。
BGP ルートが有効になっていることを確認
DescribeVcoRouteEntries を呼び出して BGP ルートエントリを照会します。
使用制限
デュアルトンネルモード：各 IPsec 接続は最大 2,000 件の BGP ルート (トンネルあたり 1,000 件) を受信できます。この上限は変更できません。
シングルトンネルモード：各 IPsec 接続は最大 50 件の BGP ルートを受信できます。上限を 200 件に引き上げるには、チケットを送信してください。
宛先 CIDR ブロックが
0.0.0.0/0のルートは、TR とオンプレミスゲートウェイデバイス間で BGP を介して伝搬できます。これは VPN ゲートウェイのシナリオとは異なります。Express Connect 回線と IPsec 接続をコールドスタンバイで TR に接続する場合、仮想ボーダールーター (VBR) および IPsec 接続に構成されたローカル ASN は同一である必要があります。
サポート対象リージョン
IPsec 接続の BGP 動的ルーティング (接続が TR にバインドされているシナリオ) は、以下のリージョンでのみサポートされています。
エリア | リージョン |
アジア太平洋 | 中国 (杭州)、中国 (上海)、中国 (青島)、中国 (北京)、中国 (張家口)、中国 (フフホト)、中国 (深セン)、中国 (香港)、日本 (東京)、シンガポール、マレーシア (クアラルンプール)、インドネシア (ジャカルタ) |
ヨーロッパおよびアメリカ | ドイツ (フランクフルト)、イギリス (ロンドン)、米国 (バージニア)、米国 (シリコンバレー) |
中東 | UAE (ドバイ) |
一部のリージョンでは、BGP 動的ルーティングプロトコルをサポートするようにアップグレードされています。アップグレード前に作成されたシングルトンネルモードの IPsec-VPN 接続は BGP をサポートしていません。アップグレード後に作成された新しい IPsec-VPN 接続はデフォルトでデュアルトンネルモードとなり、自動的に BGP をサポートします。BGP を使用する必要がある場合は、新しい IPsec-VPN 接続を作成してください。