VPN Gateway:IPsec-VPN 接続 (VPN Gateway)

• IKE 設定:

  • バージョン: [ikev2] を使用することをお勧めします。IKEv2 はセキュリティアソシエーション (SA) ネゴシエーションプロセスを簡素化し、マルチセグメントシナリオのサポートを向上させます。

  • ネゴシエーションモード: ネゴシエーションが成功した後、データ転送のセキュリティは両方のモードで同じです。

    • メイン (デフォルト): メインモードでは、ID 情報が送信中に暗号化されるため、ネゴシエーションプロセスがアグレッシブモードよりも安全になります。

    • アグレッシブ: アグレッシブモードは、より高速なネゴシエーションを提供し、成功率が高いです。

  • 暗号化アルゴリズム: フェーズ 1 ネゴシエーションで使用される暗号化アルゴリズム。オンプレミスゲートウェイデバイスのものと同じである必要があります。

    サポートされている暗号化アルゴリズムは、aes128 (デフォルト)、aes192、aes256、des、および 3des です。

    VPN Gateway インスタンスの帯域幅が 200 Mbps 以上の場合、aes128、aes192、または aes256 暗号化アルゴリズムを使用することをお勧めします。3des 暗号化アルゴリズムは推奨されません。

    • AES は、高強度の暗号化と復号を提供する対称鍵暗号アルゴリズムです。安全なデータ転送を確保しながら、ネットワーク遅延、スループット、および転送パフォーマンスへの影響は軽微です。

    • 3des はトリプルデータ暗号化アルゴリズムです。暗号化時間が長く、アルゴリズムの複雑性が高く、計算オーバーヘッドが大きいため、AES と比較して転送パフォーマンスが低下します。

  • 認証アルゴリズム: フェーズ 1 ネゴシエーションで使用される認証アルゴリズム。オンプレミスゲートウェイデバイスのものと同じである必要があります。

    サポートされている認証アルゴリズムは、sha1 (デフォルト)、md5、sha256、sha384、および sha512 です。

    一部のオンプレミスゲートウェイデバイスでは、PRF アルゴリズムを指定する必要がある場合があります。PRF アルゴリズムは IKE 認証アルゴリズムと同じでなければなりません。

  • DH グループ (前方秘匿性 PFS): フェーズ 1 ネゴシエーションのための Diffie-Hellman 鍵交換アルゴリズムを選択します。

    group1、group2 (デフォルト)、group5、および group14 は、それぞれ DH1、DH2、DH5、および DH14 に対応します。

  • SA ライフサイクル (秒): フェーズ 1 でネゴシエートされるセキュリティアソシエーション (SA) の有効期間を指定します。デフォルト値は 86400 です。値の範囲は 0 から 86400 です。

  • ローカル ID: トンネルのローカルエンドの識別子。デフォルトでは、トンネルの IP アドレスがローカル識別子として使用されます。

    このパラメーターは、IPsec-VPN ネゴシエーション中の Alibaba Cloud 側の識別子にすぎず、他の機能はありません。IP アドレスまたは FQDN 形式をサポートし、スペースを含めることはできません。ローカルトンネル識別子としてプライベート IP アドレスを使用することをお勧めします。

    [LocalId] に FQDN 形式 (例: example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイス上の IPsec-VPN 接続のピア ID は [LocalId] の値と一致する必要があります。ネゴシエーションモードを [アグレッシブ] に設定することをお勧めします。

  • リモート ID: トンネルのリモートエンドの識別子。デフォルトでは、関連付けられたカスタマーゲートウェイの IP アドレスがリモート識別子として使用されます。

    このパラメーターは、IPsec-VPN ネゴシエーション中のオンプレミスゲートウェイデバイスの識別子にすぎず、他の機能はありません。IP アドレスまたは FQDN 形式をサポートし、スペースを含めることはできません。リモートトンネル識別子としてプライベート IP アドレスを使用することをお勧めします。

    [RemoteId] が FQDN 形式 (例: example.aliyun.com) を使用する場合、オンプレミスゲートウェイデバイス上の IPsec-VPN 接続のローカル ID は [RemoteId] の値と一致する必要があり、ネゴシエーションモードを [アグレッシブ] に設定することをお勧めします。

• IPsec 設定:

  • 暗号化アルゴリズム: フェーズ 2 ネゴシエーションの暗号化アルゴリズム。

    サポートされている暗号化アルゴリズムは、aes128 (デフォルト)、aes192、aes256、des、および 3des です。

    帯域幅が 200 Mbps 以上の VPN Gateway インスタンスでは、3des 暗号化アルゴリズムの代わりに aes128、aes192、または aes256 暗号化アルゴリズムを使用することをお勧めします。

    • AES は、高強度の暗号化と復号を提供する対称鍵暗号アルゴリズムです。安全なデータ転送を確保しながら、ネットワーク遅延、スループット、および転送パフォーマンスへの影響は軽微です。

    • 3des はトリプルデータ暗号化アルゴリズムです。暗号化時間が長く、アルゴリズムの複雑性が高く、計算負荷が大きいため、AES と比較して転送パフォーマンスが低下します。

  • 認証アルゴリズム: フェーズ 2 ネゴシエーションの認証アルゴリズム。

    サポートされている認証アルゴリズムは、sha1 (デフォルト)、md5、sha256、sha384、および sha512 です。

  • DH グループ (前方秘匿性 PFS): フェーズ 2 ネゴシエーションの Diffie-Hellman 鍵交換アルゴリズム。

    • 無効: DH 鍵交換アルゴリズムが使用されないことを示します。

      • PFS をサポートしないクライアントの場合は、[無効] を選択します。

      • [無効] 以外のグループを選択した場合、Perfect Forward Secrecy (PFS) 機能はデフォルトで有効になります。これにより、再ネゴシエーションのたびにキーを更新する必要があります。したがって、対応するクライアントでも PFS 機能を有効にする必要があります。

    • group1、group2 (デフォルト)、group5、および group14 は、それぞれ DH グループ DH1、DH2、DH5、および DH14 を表します。

  • SA ライフサイクル (秒): フェーズ 2 でネゴシエートされるセキュリティアソシエーション (SA) の有効期間を指定します。デフォルト値は 86400 です。値の範囲は 0 から 86400 です。

  • DPD: ピア生存確認。この機能を常に有効にすることをお勧めします (デフォルト)。ピアの障害を迅速に検出し、スイッチオーバーをトリガーします。

    DPD を有効にすると、IPsec-VPN 接続は DPD メッセージを送信して、ピアデバイスがアクティブであるかどうかを検出します。指定された時間内に応答がない場合、ピアは切断されたと見なされます。その後、IPsec-VPN 接続は ISAKMP SA と対応する IPsec SA を削除し、セキュアトンネルも削除されます。DPD タイムアウト後、IPsec-VPN 接続は自動的に IPsec-VPN トンネルネゴシエーションを再開します。DPD メッセージのタイムアウトは 30 秒です。

    IKEv2 を使用している一部の既存の VPN Gateway インスタンスでは、DPD タイムアウトが 130 秒または 3600 秒の場合があります。この場合、VPN Gateway インスタンスを最新バージョンに スペックアップ できます。

  • NAT トラバーサル: デフォルトで有効にしておくことをお勧めします。有効にすると、IKE ネゴシエーションプロセスは UDP ポート番号の検証をスキップし、暗号化された通信チャネル内の NAT ゲートウェイデバイスを検出できます。

BGP 設定 (オプション)

BGP を有効にしている場合は、トンネルの BGP 設定 を完了する必要があります。

ヘルスチェック

この機能はデフォルトで無効になっています。非アクティブ/スタンバイシナリオの IPsec-VPN 接続にヘルスチェックを設定することはお勧めしません。ヘルスチェックを設定する場合は、宛先 IP が ICMP 応答をサポートしていることを確認する必要があります。また、オンプレミスデータセンターに、送信元 IP を宛先 CIDR ブロック、32 ビットのサブネットマスク、および IPsec-VPN 接続をネクストホップとするルートを追加する必要があります。これにより、IPsec-VPN 接続のヘルスチェックが期待どおりに機能することが保証されます。