VPN Gateway:strongSwan デバイスを構成する

2 つの出口と BGP 動的ルーティング

VPC をデュアルトンネルモードでデータセンターに接続し、BGP 動的ルーティングを有効にする注:カスタマーゲートウェイを作成するIPsec 接続を作成するヒント:を参照して、「VPN ゲートウェイの作成」、「カスタマーゲートウェイの作成」、「IPsec 接続の作成」、および「BGP 自動ルートアドバタイズメントの有効化」の手順を完了します。

1. strongSwan デバイスには 2 つのインターネット出口 IP アドレスがあります。したがって、2 つのカスタマーゲートウェイを作成する必要があります。

2. IPsec 接続を作成するときは、出口 1 にはトンネル 1 を、出口 2 にはトンネル 2 を選択します。この例では、宛先ルーティングモードが選択されています。

2 つの出口と静的ルーティング

VPC をデュアルトンネルモードでデータセンターに接続する/wp-json/wp/v2/commentsヒント:"Hello, World!"VPN ゲートウェイルーティングを設定するを参照して、「VPN ゲートウェイの作成」、「カスタマーゲートウェイの作成」、「IPsec 接続の作成」、および「VPN ゲートウェイルーティングの構成」の手順を完了します。

1. strongSwan デバイスには 2 つのインターネット出口 IP アドレスがあります。したがって、2 つのカスタマーゲートウェイを作成する必要があります。

2. IPsec 接続を作成するときは、出口 1 にはトンネル 1 を、出口 2 にはトンネル 2 を選択します。この例では、宛先ルーティングモードが選択されています。

1 つの出口と BGP 動的ルーティング

デュアルトンネルモードで VPC をデータセンターに接続し、BGP 動的ルーティングを有効にするを参照して、[VPN ゲートウェイの作成]、[カスタマーゲートウェイの作成]、[IPsec 接続の作成]、[BGP 自動ルート広告の有効化] の手順を完了します。

1. strongSwan デバイスには 1 つのインターネット出口 IP アドレスしかありません。したがって、1 つのカスタマーゲートウェイを作成するだけで済みます。

2. IPsec 接続を作成するときは、同じカスタマーゲートウェイの 2 つのトンネルを選択します。この例では、宛先ルーティングモードが選択されています。

1 つの出口と静的ルーティング

VPC をデュアルトンネルモードでデータセンターに接続するVPN ゲートウェイを作成するカスタマーゲートウェイを作成するIPsec 接続を作成するVPN ゲートウェイルーティングを設定するを参照して、「VPN ゲートウェイの作成」、「カスタマーゲートウェイの作成」、「IPsec 接続の作成」、および「VPN ゲートウェイルーティングの構成」の手順を完了します。

1. strongSwan デバイスには 1 つのインターネット出口 IP アドレスしかありません。したがって、1 つのカスタマーゲートウェイを作成するだけで済みます。

2. IPsec 接続を作成するときは、保護されたデータフローを構成します。同じカスタマーゲートウェイの 2 つのトンネルを選択します。

   • ローカル CIDR ブロックには、VPC の CIDR ブロック (192.168.0.0/16) を入力します。

   • ピア CIDR ブロックには、データセンターの CIDR ブロック (172.16.0.0/16) を入力します。

2 つの出口 - 静的ルーティングと BGP 動的ルーティング

1. IPsec アドレス 1 からのアクセスが eth0 を経由し、IPsec アドレス 2 からのアクセスが eth1 を経由するようにルートを構成します。

   ip route add 47.XX.XX.151 via 172.16.20.253 dev eth0  #172.16.20.253 は eth0 のプライベートゲートウェイアドレスです。
   ip route add 47.XX.XX.87 via 172.16.21.253 dev eth1   #172.16.20.253 は eth1 のプライベートゲートウェイアドレスです。

   次の 2 つの IPsec アドレスに ping できることを確認します。

   ping 47.XX.XX.151
   ping 47.XX.XX.87

2. IPsec トンネルを確立するための 2 つの仮想ネットワークインターフェースを作成します。

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # トンネル 1 の XFRM 仮想ネットワークインターフェースを作成します。インターフェース ID は 42、パブリックインターフェース eth0 は基盤となるインターフェースです。
   ip link add ipsec1 type xfrm dev eth1 if_id 43 # トンネル 2 の XFRM 仮想ネットワークインターフェースを作成します。インターフェース ID は 43、パブリックインターフェース eth1 は基盤となるインターフェースです。
   ip link set ipsec0 up # トンネル 1 の XFRM 仮想ネットワークインターフェースを起動します。
   ip link set ipsec1 up # トンネル 2 の XFRM 仮想ネットワークインターフェースを起動します。

   重要

   仮想ネットワークインターフェースを作成するための上記の構成は一時的な構成です。 strongSwan デバイスを再起動した後、構成を再度追加し、sudo systemctl restart strongswan;swanctl --load-all コマンドを実行する必要があります。コマンドには root 権限が必要です。システム起動時に実行されるスクリプトを構成して、strongSwan デバイスの再起動後に仮想ネットワークインターフェースを自動的に作成するには、次の手順を実行します。

   ここをクリックして手順を展開します。

   1. スクリプトを作成するには、次のコマンドを実行します。

      vi xfrm.sh

   2. 次の構成を追加して保存します。

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # トンネル 1 の XFRM 仮想ネットワークインターフェースを作成します。インターフェース ID は 42、パブリックインターフェース eth0 は基盤となるインターフェースです。
      sudo ip link add ipsec1 type xfrm dev eth1 if_id 43 # トンネル 2 の XFRM 仮想ネットワークインターフェースを作成します。インターフェース ID は 43、パブリックインターフェース eth1 は基盤となるインターフェースです。
      sudo ip link set ipsec0 up # トンネル 1 の XFRM 仮想ネットワークインターフェースを起動します。
      sudo ip link set ipsec1 up # トンネル 2 の XFRM 仮想ネットワークインターフェースを起動します。

   3. スクリプトの絶対パスを表示するには、次のコマンドを実行します。

      sudo find / -name xfrm.sh

   4. sudo vi /etc/rc.d/rc.local コマンドを実行して、スクリプトの絶対パスを /etc/rc.d/rc.local ファイルに追加します。

      i を押して編集モードに入ります。絶対パス /root/xfrm.sh を /etc/rc.d/rc.local ファイルに追加します。 Esc を押して終了し、:wq と入力して変更を保存します。

   5. rc.local ファイルと xfrm.sh ファイルを実行可能にするには、次のコマンドを実行します。

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

3. strongSwan 構成ファイルを修正します。

   1. 元の strongSwan 構成ファイルをバックアップします。

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. strongSwan 構成ファイルを作成します。

      vi /etc/strongswan/swanctl/swanctl.conf

   3. 詳細については、「WordPress REST API ハンドブック」をご参照ください。

      重要

      静的ルートを使用する予定の場合は、構成ファイルで updown = /root/connect_1.sh コマンドと updown = /root/connect_2.sh コマンドを有効にします。

      connections {
         vco1 {                            // IPsec-VPN トンネル 1 の VPN 構成。
            version = 2                    // IKE バージョン。Alibaba Cloud でトンネル 1 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
            local_addrs  = 172.16.20.80       // 最初のローカル NIC の IP アドレス。
            remote_addrs = 47.XX.XX.151       // トンネル 1 のリモートアドレスを、Alibaba Cloud 上のトンネル 1 の VPN ゲートウェイアドレス（IPsec アドレス 1）に設定します。
            dpd_delay = 10
            rekey_time = 84600             // トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。
            over_time = 1800               
            proposals = aes-sha1-modp1024  // トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。group2 の値は modp1024 を示します。
            encap = yes
      
            local {
               auth = psk                  // データセンターの認証アルゴリズムを PSK に設定します。
               id = 120.XX.XX.202             // 最初のローカル出口のパブリック IP アドレス。この値は、トンネル 1 の RemoteId と同じである必要があります。
            }
            remote {
               auth = psk                  // VPC の認証アルゴリズムを PSK に設定します。
               id = 47.XX.XX.151             // Alibaba Cloud 側の IPsec アドレス 1。この値は、トンネル 1 の LocalId と同じである必要があります。
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    // Alibaba Cloud 上の宛先ベースルートモードの保護対象データフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  remote_ts = 0.0.0.0/0    // Alibaba Cloud 上の宛先ベースルートモードの保護対象データフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        // トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024   // トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。group2 の値は modp1024 を示します。
      
                  if_id_out = 42           // トンネル 1 の XFRM 仮想ネットワークインターフェースを、トンネル 1 の出口ポートと入口ポートとして使用することを指定します。
                  if_id_in = 42
                  //updown = /root/connect_1.sh         // /root/connect_1.sh スクリプトを実行して、トンネル 1 の UP/DOWN ステータスに基づいてルーティングを構成します。このパラメーターは、静的ルーティングを使用する場合にのみ必要です。
               }
            }
         }
        vco2 {                             // IPsec-VPN トンネル 2 の VPN 構成。
            version = 2                    // IKE バージョン。Alibaba Cloud でトンネル 2 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
            local_addrs  = 172.16.21.248        // 2 番目のローカル NIC の IP アドレス。
            remote_addrs = 47.XX.XX.127       // トンネル 2 のリモートアドレスを、Alibaba Cloud 上のトンネル 2 の VPN ゲートウェイアドレス（IPsec アドレス 2）に設定します。
            dpd_delay = 10
            rekey_time = 84600             // トンネル 2 の SA ライフサイクル。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。
            over_time = 1800               // 
            proposals = aes-sha1-modp1024  // トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。group2 の値は modp1024 を示します。
            encap = yes
      
            local {
               auth = psk                  // データセンターの認証アルゴリズムを PSK に設定します。
               id = 47.XX.XX.87              // 2 番目のローカル出口のパブリック IP アドレス。この値は、トンネル 2 の RemoteId と同じである必要があります。
            }
            remote {
               auth = psk                  // VPC の認証アルゴリズムを PSK に設定します。
               id = 47.XX.XX.127             // Alibaba Cloud 側の IPsec アドレス 2。この値は、トンネル 2 の LocalId と同じである必要があります。
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    // Alibaba Cloud 上の宛先ベースルートモードの保護対象データフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  remote_ts = 0.0.0.0/0    // Alibaba Cloud 上の宛先ベースルートモードの保護対象データフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        // トンネル 2 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024     // トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IPsec 構成で指定されているものと同じである必要があります。group2 の値は modp1024 を示します。
                  if_id_out = 43           // トンネル 2 の XFRM 仮想ネットワークインターフェースを、トンネル 2 の出口ポートと入口ポートとして使用することを指定します。
                  if_id_in = 43
                  //updown = /root/connect_2.sh           // /root/connect_2.sh スクリプトを実行して、トンネル 2 の UP/DOWN ステータスに基づいてルーティングを構成します。このパラメーターは、静的ルーティングを使用する場合にのみ必要です。
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            secret = ChangeMe***            // トンネル 1 の PSK。Alibaba Cloud でトンネル 1 に構成されているものと同じである必要があります。
         }
         ike-vco2 {
            secret = ChangeMe***            // トンネル 2 の PSK。Alibaba Cloud でトンネル 2 に構成されているものと同じである必要があります。
         }
      }

4. WordPress の使い方については、WordPress の使い方 をご覧ください。

   sudo systemctl restart strongswan
   swanctl --load-all
   // すべての swanctl セキュリティアソシエーションを表示します。
   watch swanctl --list-sas

   ヒント: ブラウザの開発者ツールを使用して、REST API のレスポンスを確認できます。

   

5. ルートを構成します。

   必要に応じてルーティングメソッドを選択します。

   BGP 動的ルーティング

   説明

   strongSwan デバイスの再起動後、BGP 構成を再度追加します。

   1. 次のコマンドを実行して、BGP IP アドレスを構成します。

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. frr をインストールします。

      yum install -y frr

   3. vi /etc/frr/daemons コマンドを実行して、BGP 動的ルーティングを有効にします。

      i を押して、編集モードに入ります。yes に bgpd パラメーターの値を変更して、BGP 動的ルーティングを有効にします。Esc を押して終了し、:wq と入力して変更を保存します。

   4. frr 機能を実行します。

      systemctl enable frr
      systemctl restart frr

   5. BGP 構成を追加します。

      1. 次のコマンドを実行して、構成インターフェイスにアクセスします。

         vtysh

      2. 次のコマンドを実行して、構成モードに入ります。

         config terminal

      3. BGP 構成を追加します。

         次のコマンドを実行して、以下のアドレスを実際のアドレスに置き換えます。

         • 「169.254.10.1」と「169.254.20.1」を、Alibaba Cloud 側の実際のトンネル BGP IP アドレスに置き換えます。

         • 「65535」を、VPN ゲートウェイの実際の BGP ASN に置き換えます。

         • 「172.16.20.0/24」と「172.16.21.0/24」を、データセンターの実際の CIDR ブロックに置き換えます。

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. exit を実行して終了し、show ip bgp を実行して BGP ルートを表示します。

      strongSwan デバイスは VPC からルートを学習しました。データセンターと VPC は通信できます。

   静的ルーティング

   strongSwan 用の 2 つのスクリプトを作成し、トラフィックを転送するルートを構成します。

   1. /root/connect_1.sh を作成および編集します。

      vi /root/connect_1.sh

   2. 次のスクリプトを追加して保存します。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec0 metric 100
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec0 metric 100
      fi

      スクリプトの目的: トンネル 1 のステータスが UP の場合、CIDR ブロックが 192.168.0.0/16 の VPC にデータセンターからトラフィックを送信するルートを、トンネル 1 の XFRM 仮想ネットワークインターフェイス経由で追加します。さらに、このルートのメトリック値を 100 に設定して、トンネル 2 の XFRM 仮想ネットワークインターフェイスを指すルートよりも高い優先順位を割り当てます。トンネル 1 のステータスが DOWN の場合は、ルートを撤回します。

   3. /root/connect_2.sh を作成および編集します。

      vi /root/connect_2.sh

   4. 次のスクリプトを追加して保存します。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route add 192.168.0.0/16 dev ipsec1 metric 101
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 192.168.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route del 192.168.0.0/16 dev ipsec1 metric 101
      fi

      スクリプトの目的: トンネル 2 のステータスが UP の場合、CIDR ブロックが 192.168.0.0/16 の VPC にデータセンターからトラフィックを送信するルートを、トンネル 2 の XFRM 仮想ネットワークインターフェイス経由で追加します。さらに、このルートのメトリック値を 101 に設定して、トンネル 1 の XFRM 仮想ネットワークインターフェイスを指すルートよりも低い優先順位を割り当てます。トンネル 2 のステータスが DOWN の場合は、ルートを撤回します。

   5. 次のコマンドを実行して、スクリプトを実行可能にします。

      sudo chmod +x /root/connect_1.sh
      sudo chmod +x /root/connect_2.sh

   6. strongSwan プロセスを再起動します。

      sudo systemctl restart strongswan

   7. 次のコマンドを実行して、構成ファイルの変更が有効になっているかどうかを確認します。

      route -n

      

1 つの出口 - BGP 動的ルーティング

1. IPsec-VPN トンネルを確立するために、2 つの仮想ネットワークインターフェースを作成します。

   ip link add ipsec0 type xfrm dev eth0 if_id 42 # インターフェース ID 42、パブリックインターフェース eth0 を基盤となるインターフェースとして、トンネル 1 用の XFRM 仮想ネットワークインターフェースを作成します。
   ip link add ipsec1 type xfrm dev eth0 if_id 43 # インターフェース ID 43、パブリックインターフェース eth0 を基盤となるインターフェースとして、トンネル 2 用の XFRM 仮想ネットワークインターフェースを作成します。
   ip link set ipsec0 up # トンネル 1 用の XFRM 仮想ネットワークインターフェースを起動します。
   ip link set ipsec1 up # トンネル 2 用の XFRM 仮想ネットワークインターフェースを起動します。

   重要

   仮想ネットワークインターフェースを作成するための前述の構成は一時的な構成です。 strongSwan デバイスを再起動した後、構成を再度追加し、sudo systemctl restart strongswan;swanctl --load-all コマンドを実行する必要があります。コマンドには root 権限が必要です。 strongSwan デバイスの再起動後に仮想ネットワークインターフェースを自動的に作成するためにシステム起動時に実行されるスクリプトを構成する場合は、次の手順を実行します。

   ヒント: ブラウザの開発者ツールを使用して、REST API のレスポンスを確認できます。

   1. 次のコマンドを実行して、スクリプトを作成します。

      vi xfrm.sh

   2. 次の構成を追加して保存します。

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # インターフェース ID 42、パブリックインターフェース eth0 を基盤となるインターフェースとして、トンネル 1 用の XFRM 仮想ネットワークインターフェースを作成します。
      sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # インターフェース ID 43、パブリックインターフェース eth0 を基盤となるインターフェースとして、トンネル 2 用の XFRM 仮想ネットワークインターフェースを作成します。
      sudo ip link set ipsec0 up # トンネル 1 用の XFRM 仮想ネットワークインターフェースを起動します。
      sudo ip link set ipsec1 up # トンネル 2 用の XFRM 仮想ネットワークインターフェースを起動します。

   3. 次のコマンドを実行して、スクリプトの絶対パスを表示します。

      sudo find / -name xfrm.sh

   4. sudo vi /etc/rc.d/rc.local コマンドを実行して、スクリプトの絶対パスを /etc/rc.d/rc.local ファイルに追加します。

      i を押して、[編集モード] に入ります。絶対パス /root/xfrm.sh を /etc/rc.d/rc.local ファイルに追加します。Esc を押して終了し、:wq と入力して変更を保存します。

   5. 次のコマンドを実行して、rc.local ファイルと xfrm.sh ファイルを実行可能にします。

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

2. strongSwan 構成ファイルを修正します。

   1. 元の strongSwan 構成ファイルをバックアップします。

      mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

   2. strongSwan 構成ファイルを作成します。

      vi /etc/strongswan/swanctl/swanctl.conf

   3. 例に基づいて次の構成を追加して保存します。

      connections {
         vco1 {                            # IPsec-VPN トンネル 1 の VPN 構成。
            version = 2                    # IKE バージョン。Alibaba Cloud 上のトンネル 1 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
            local_addrs  = 172.16.20.80    # eth0 のプライベート IP アドレス。
            remote_addrs = 47.XX.XX.151    # トンネル 1 のリモートアドレスを、Alibaba Cloud 上のトンネル 1 の VPN ゲートウェイアドレス（IPsec アドレス 1）に設定します。
            dpd_delay = 10
            rekey_time = 84600             # トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。
            over_time = 1800               
            proposals = aes-sha1-modp1024  # トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
            encap = yes
      
            local {
               auth = psk                  # データセンターの認証アルゴリズムを PSK に設定します。
               id = 120.XX.XX.202          # eth0 のインターネット出口の IP アドレス。この値は、トンネル 1 の RemoteId と同じである必要があります。
            }
            remote {
               auth = psk                  # VPC の認証アルゴリズムを PSK に設定します。
               id = 47.XX.XX.151           # Alibaba Cloud 側の IPsec アドレス 1。この値は、トンネル 1 の LocalId と同じである必要があります。
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    # Alibaba Cloud 上の宛先ベースのルートモードの保護されたデータフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  remote_ts = 0.0.0.0/0    # Alibaba Cloud 上の宛先ベースのルートモードの保護されたデータフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        # トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024   # トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
      
                  if_id_out = 42           # トンネル 1 の XFRM 仮想ネットワークインターフェースを、トンネル 1 の出口ポートと入口ポートとして使用することを指定します。
                  if_id_in = 42
               }
            }
         }
        vco2 {                             # IPsec-VPN トンネル 2 の VPN 構成。
            version = 2                    # IKE バージョン。Alibaba Cloud 上のトンネル 2 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
            local_addrs  = 172.16.20.80    # eth0 のプライベート IP アドレス。
            remote_addrs = 47.XX.XX.87     # トンネル 2 のリモートアドレスを、Alibaba Cloud 上のトンネル 2 の VPN ゲートウェイアドレス（IPsec アドレス 2）に設定します。
            dpd_delay = 10
            rekey_time = 84600             # トンネル 2 の SA ライフサイクル。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。
            over_time = 1800               # 
            proposals = aes-sha1-modp1024  # トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
            encap = yes
      
            local {
               auth = psk                  # データセンターの認証アルゴリズムを PSK に設定します。
               id = 120.XX.XX.202          # eth0 のインターネット出口の IP アドレス。この値は、トンネル 2 の RemoteId と同じである必要があります。
            }
            remote {
               auth = psk                  # VPC の認証アルゴリズムを PSK に設定します。
               id = 47.XX.XX.87            # Alibaba Cloud 側の IPsec アドレス 2。この値は、トンネル 2 の LocalId と同じである必要があります。
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    # Alibaba Cloud 上の宛先ベースのルートモードの保護されたデータフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  remote_ts = 0.0.0.0/0    # Alibaba Cloud 上の宛先ベースのルートモードの保護されたデータフローの CIDR ブロックを 0.0.0.0/0 に指定します。
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        # トンネル 2 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024     # トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IPsec 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
                  if_id_out = 43           # トンネル 2 の XFRM 仮想ネットワークインターフェースを、トンネル 2 の出口ポートと入口ポートとして使用することを指定します。
                  if_id_in = 43
                
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            secret = ChangeMe***            # トンネル 1 の PSK。Alibaba Cloud 上のトンネル 1 に構成されているものと同じである必要があります。
         }
         ike-vco2 {
            secret = ChangeMe***            # トンネル 2 の PSK。Alibaba Cloud 上のトンネル 2 に構成されているものと同じである必要があります。
         }
      }

3. strongSwan プロセスを再起動し、トンネル [ステータス] を表示します。

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   次の図では、strongSwan デバイスと VPN ゲートウェイは IPsec-VPN 接続を介して接続されています。それらが通信できるように、ルーティングを構成する必要があります。

   

4. BGP 動的ルーティングを構成します。

   説明

   strongSwan デバイスの再起動後、BGP 構成を再度追加します。

   1. 次のコマンドを実行して、BGP IP アドレスを構成します。

      ip address add 169.254.10.2/30 dev ipsec0
      ip address add 169.254.20.2/30 dev ipsec1

   2. frr をインストールします。

      yum install -y frr

   3. vi /etc/frr/daemons コマンドを実行して、BGP 動的ルーティングを有効にします。

      iヒント: を押して、[編集モード] に入ります。 パラメーターの値を yes に変更して、BGP 動的ルーティングを有効にします。Esc を押して終了し、:wq と入力して変更を保存します。

   4. frr 機能を実行します。

      systemctl enable frr
      systemctl restart frr

   5. BGP 構成を追加します。

      1. 次のコマンドを実行して、構成インターフェースにアクセスします。

         vtysh

      2. 次のコマンドを実行して、構成モードに入ります。

         config terminal

      3. BGP 構成を追加します。

         次のコマンドを実行して、次のアドレスを実際のアドレスに置き換えます。

         • 「169.254.10.1」と「169.254.20.1」を、Alibaba Cloud 側の実際のトンネル BGP IP アドレスに置き換えます。

         • 「65535」を、VPN ゲートウェイの実際の BGP ASN に置き換えます。

         • 「172.16.20.0/24」と「172.16.21.0/24」を、データセンターの実際の CIDR ブロックに置き換えます。

         route-map allow-all permit 1
         exit
         
         router bgp 65530
          bgp router-id 169.254.10.2
          neighbor 169.254.10.1 remote-as 65535   
          neighbor 169.254.10.1 timers 10 30
          neighbor 169.254.20.1 remote-as 65535    
          neighbor 169.254.20.1 timers 10 30
          
          address-family ipv4 unicast
           network 172.16.20.0/24                  
           network 172.16.21.0/24
           neighbor 169.254.10.1 soft-reconfiguration inbound
           neighbor 169.254.10.1 route-map allow-all in
           neighbor 169.254.10.1 route-map allow-all out
           neighbor 169.254.20.1 soft-reconfiguration inbound
           neighbor 169.254.20.1 route-map allow-all in
           neighbor 169.254.20.1 route-map allow-all out
           maximum-paths 32                       
          exit-address-family
         exit
         

   6. exit を実行して終了し、show ip bgp を実行して BGP ルートを表示します。

      strongSwan デバイスは VPC からルートを学習しました。データセンターと VPC は通信できます。

1 つの出口 - 静的ルーティングと BGP 動的ルーティング

1. 元の strongSwan 構成ファイルをバックアップします。

   mv /etc/strongswan/swanctl/swanctl.conf /etc/strongswan/swanctl/swanctl.conf.bak

2. strongSwan 構成ファイルを作成します。

   vi /etc/strongswan/swanctl/swanctl.conf

3. 例 セクションに基づいて、次の構成を追加して保存します。

   connections {
      vco1 {                            # IPsec-VPN トンネル 1 の VPN 構成。
         version = 2                    # IKE バージョン。Alibaba Cloud 上のトンネル 1 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
         local_addrs  = 172.16.20.80      # eth0 のプライベート IP アドレス。
         remote_addrs = 47.XX.XX.151      # トンネル 1 のリモートアドレスを、Alibaba Cloud 上のトンネル 1 の VPN ゲートウェイアドレス（IPsec アドレス 1）に設定します。
         dpd_delay = 10
         rekey_time = 84600             # トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。
         over_time = 1800               
         proposals = aes-sha1-modp1024  # トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IKE 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
         encap = yes
   
         local {
            auth = psk                   # データセンターの認証アルゴリズムを PSK に設定します。
            id = 120.XX.XX.202            # ローカルインターネット出口の IP アドレス。この値は、トンネル 1 の RemoteId と同じである必要があります。
         }
         remote {
            auth = psk                  # VPC の認証アルゴリズムを PSK に設定します。
            id = 120.XX.XX.202            # Alibaba Cloud 側の IPsec アドレス 1。この値は、トンネル 1 の LocalId と同じである必要があります。
         }
         children {
            vco_child1 {
               local_ts  = 172.16.0.0/16   # ローカルで保護されたデータフロー。データセンターのプライベート CIDR ブロック（172.16.0.0/16）を入力します。
               remote_ts = 192.168.0.0/16  # Alibaba Cloud 側で保護されたデータフロー。VPC CIDR ブロック（192.168.0.0/16）を入力します。
               mode = tunnel
               rekey_time = 85500
               life_time = 86400        # トンネル 1 の SA ライフタイム。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes-sha1-modp1024   # トンネル 1 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 1 の IPsec 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
               priority = 1                        # トンネル 1 の優先度。トンネル 1 を優先します。
            }
         }
      }
     vco2 {                             # IPsec-VPN トンネル 2 の VPN 構成。
         version = 2                    # IKE バージョン。Alibaba Cloud 上のトンネル 2 に構成されているものと同じである必要があります。値 2 は IKEv2 を示します。
         local_addrs  = 172.16.20.80    # eth0 のプライベート IP アドレス。
         remote_addrs = 47.XX.XX.87     # トンネル 2 のリモートアドレスを、Alibaba Cloud 上のトンネル 2 の VPN ゲートウェイアドレス（IPsec アドレス 2）に設定します。
         dpd_delay = 10
         rekey_time = 84600             # トンネル 2 の SA ライフタイム。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。
         over_time = 1800               
         proposals = aes-sha1-modp1024  # トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IKE 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
         encap = yes
   
         local {
            auth = psk                  # データセンターの認証アルゴリズムを PSK に設定します。
            id = 120.XX.XX.202          # ローカルインターネット出口のパブリック IP アドレス。この値は、トンネル 2 の RemoteId と同じである必要があります。
         }
         remote {
            auth = psk                  # VPC の認証アルゴリズムを PSK に設定します。
            id = 47.XX.XX.87            # Alibaba Cloud 側の IPsec アドレス 2。この値は、トンネル 2 の LocalId と同じである必要があります。
         }
         children {
            vco_child2 {
               local_ts  = 172.16.0.0/16     # ローカルで保護されたデータフロー。データセンターのプライベート CIDR ブロック（172.16.0.0/16）を入力します。
               remote_ts =  192.168.0.0/16   # Alibaba Cloud 側で保護されたデータフロー。VPC CIDR ブロック（192.168.0.0/16）を入力します。
               mode = tunnel 
               rekey_time = 85500
               life_time = 86400        # トンネル 2 の SA ライフタイム。Alibaba Cloud 上のトンネル 2 の IPsec 構成で指定されているものと同じである必要があります。
               dpd_action = restart
               start_action = start
               close_action = start
               esp_proposals = aes-sha1-modp1024     # トンネル 2 の暗号化アルゴリズム、認証アルゴリズム、および DH グループ。Alibaba Cloud 上のトンネル 2 の IPsec 構成で指定されているものと同じである必要があります。値 group2 は modp1024 を示します。
               priority = 2                          # トンネル 2 の優先度。トンネル 1 より低くなります。
            }
         }
      }
   }
   
   secrets {
      ike-vco1 {
         secret = ChangeMe***            # トンネル 1 の PSK。Alibaba Cloud 上のトンネル 1 に構成されているものと同じである必要があります。
      }
      ike-vco2 {
         secret = ChangeMe***            # トンネル 2 の PSK。Alibaba Cloud 上のトンネル 2 に構成されているものと同じである必要があります。
      }
   }

4. strongSwan プロセスを再起動し、トンネルステータスを表示します。

   sudo systemctl restart strongswan
   swanctl --load-all
   watch swanctl --list-sas

   次の図では、strongSwan デバイスと VPN ゲートウェイが IPsec 接続を介して接続されています。データセンターと VPC は通信できます。