VPN Gateway:IPsec-VPN 接続 (TR にアタッチ)

仕組み

• TR にアタッチされた IPsec-VPN 接続はデュアルトンネルモードで動作します

  • アクティブ・アクティブ： 2つのトンネルは自動的に ECMP (等価コストマルチパス) リンクを形成し、同時にトラフィックを伝送することで負荷分散を実現します。

  • アベイラビリティーゾーンレベルのディザスタリカバリ：デフォルトでは、2つのトンネルは異なるアベイラビリティーゾーンにデプロイされ、ゾーン間のディザスタリカバリを提供します。アベイラビリティーゾーンが1つしかないリージョンでは、2つのトンネルは同じアベイラビリティーゾーンにデプロイされます。この場合、ゾーンレベルのディザスタリカバリはサポートされませんが、リンク冗長性は引き続き利用できます。

• トラフィックの伝送

  • 下りトラフィック：両方のトンネルが利用可能な場合、ECMP リンクを形成します。トラフィックはハッシュアルゴリズムに基づいて分散され、2つのトンネル間で均等に分散されることは保証されません。一方のトンネルに障害が発生した場合、システムは自動的にトラフィックをもう一方のトンネルに切り替えます。

  • 上りトラフィック：トラフィックパスは、オンプレミスデータセンターのルーティング設定に依存します。両方のトンネル経由でクラウドにトラフィックを伝送するように ECMP ルーティングを設定することを推奨します。これにより、下りトラフィックとのパス対称性が確保されます。オンプレミスデータセンターがアクティブ・スタンバイルートで設定されている場合、または特定の CIDR ブロックのトラフィックを1つのトンネルのみ経由で伝送する場合、非対称ルーティングにより、リターントラフィックが想定されたパス経由でオンプレミスデータセンターに到達できない可能性があります。

• ルーティングの原則

  • BGP 動的ルーティングの使用を推奨します。静的ルーティングを使用する場合は、オンプレミスゲートウェイが静的 ECMP をサポートしていることを確認してください。サポートしていない場合、オンプレミスデータセンターからクラウドへのトラフィックに対して ECMP 負荷分散を実現できず、非対称パスが発生します。

  • 両方のトンネルで同じルーティングプロトコル (BGP または静的ルーティング) を使用する必要があります。

  • BGP を使用する場合、2つのトンネルは同じローカル自律システム番号 (ASN) を使用する必要があります。両方のトンネルで同じピア ASN を使用することも推奨します。

IPsec-VPN 接続の作成

開始する前に、以下を確認してください。

• TR が作成されていること。

• TR にCIDRブロックが設定されていること。

• カスタマーゲートウェイが作成されていること。

次のステップ

IPsec-VPN 接続の作成後、VPC とオンプレミスデータセンターを接続するには、以下の手順を実行する必要があります。

1. ルートの設定。

2. オンプレミスゲートウェイデバイスの設定：オンプレミスデータセンターのゲートウェイデバイス (ファイアウォールやルーターなど) で、Alibaba Cloud 上の IPsec-VPN 接続の設定に一致するように IPsec と BGP (有効になっている場合) を設定します。

BGPの有効化または無効化

IPsec-VPN 接続で BGP を有効にする前に、関連付けられたカスタマーゲートウェイインスタンスがオンプレミス自律システム番号 (ASN) で設定されていることを確認してください。

IPsec-VPN 接続には以下の BGP パラメータがあります。

• [ローカル ASN]：BGP を有効にした後の Alibaba Cloud 側の ASN。両方のトンネルは同じ ASN を使用します。デフォルト値：45104。有効な値：1～4294967295。ピアオンプレミスデバイスにはプライベート ASN を使用することを推奨します。

• [トンネル CIDR ブロック]：BGP ピアリング接続を確立するために使用される相互接続 CIDR ブロック。VPN Gateway インスタンス内では、各トンネルのトンネル CIDR ブロックは一意である必要があります。CIDR ブロックは 169.254.0.0/16 内の /30 サブネットである必要があり、169.254.0.0/30、169.254.1.0/30、169.254.2.0/30、169.254.3.0/30、169.254.4.0/30、169.254.5.0/30、または 169.254.169.252/30 は使用できません。

• [ローカル BGP IP アドレス]：Alibaba Cloud 側の BGP IP アドレス。トンネル CIDR ブロック内である必要があります。例えば、169.254.10.0/30 CIDR ブロックでは、169.254.10.1 を使用できます。

BGP 機能のサポート、ルートアドバタイズの原則、および制限事項については、「BGP動的ルーティング (TRにアタッチ)」をご参照ください。

トンネルおよび暗号化の設定

IPsec-VPN 接続を作成または編集する場合、以下の3つのトンネルパラメータセットを設定する必要があります。

1. [基本設定]：

   • [カスタマーゲートウェイ]：オンプレミスゲートウェイデバイスを表すカスタマーゲートウェイインスタンスを選択します。両方のトンネルを同じカスタマーゲートウェイに関連付けることができます。

   • [事前共有鍵]：認証に使用される秘密キー。2つのトンネルの事前共有キーは、オンプレミスゲートウェイデバイスで設定されたキーと完全に一致する必要があります。このパラメータを空白のままにすると、システムはランダムなキーを生成します。

2. [暗号化設定]：クラウド側とオンプレミス側で設定したパラメータが一致している必要があります。

   • [IKE 構成] (フェーズ1暗号化)

     パラメータ	説明
     [バージョン]	[ikev2] の使用を推奨します。SA ネゴシエーションプロセスが簡素化され、複数の CIDR ブロックを含むシナリオに対するサポートが向上します。
     [ネゴシエーションモード]	main (デフォルト)：メインモード。このモードは、送信中に ID 情報を暗号化し、アグレッシブモードよりもネゴシエーション中のセキュリティが高くなります。 aggressive：アグレッシブモード。このモードは、ネゴシエーションが高速で、成功率が高くなります。 ネゴシエーションが成功した後、両方のモードはデータ伝送に対して同じレベルのセキュリティを提供します。
     [暗号化アルゴリズム]	フェーズ1ネゴシエーションで使用される暗号化アルゴリズム。 サポートされているアルゴリズム：AES128-GCM16 (プレビュー)、AES256-GCM16 (プレビュー)、AES128、AES192、AES256、DES、3DES (非推奨)。 AES128-GCM16 および AES256-GCM16 暗号化アルゴリズムは招待制プレビューです。使用するには、アカウントマネージャーにお問い合わせください。
     [認証アルゴリズム]	フェーズ1ネゴシエーションで使用される認証アルゴリズム。 サポートされているアルゴリズム：sha1 (デフォルト)、md5、sha256、sha384、sha512。 一部のオンプレミスゲートウェイデバイスで VPN を設定する場合、PRF アルゴリズムを指定する必要がある場合があります。PRF アルゴリズムは IKE 認証アルゴリズムと同じである必要があります。
     [DH グループ (前方秘匿性 PFS)]	フェーズ1ネゴシエーション用の Diffie-Hellman (DH) 鍵交換アルゴリズムを選択します。 disabled：DH 鍵交換アルゴリズムを無効にします。 Perfect Forward Secrecy (PFS) をサポートしていないクライアントには disabled を選択します。 disabled 以外のグループを選択すると、PFS 機能がデフォルトで有効になります。これにより、ネゴシエーションのたびにキーを更新する必要があります。したがって、オンプレミスゲートウェイデバイスでも PFS を有効にする必要があります。 group1/2/5/14/15-24：DH グループ番号が大きいほど、セキュリティは高くなりますが、リソースの消費も増加します。 DH グループ 15～24 のサポートは招待制プレビューです。これらのグループを使用するには、アカウントマネージャーにお問い合わせください。
     [SA ライフサイクル (秒)]	フェーズ1で確立された SA (セキュリティアソシエーション) の有効期間。デフォルト値：86400。有効な値：0～86400。 クラウド側の有効期間設定は、オンプレミス側の設定と一致させる必要があります。
     LocalId	トンネルのローカルエンドの識別子。デフォルトでは、トンネルの IP アドレスがローカル識別子として使用されます。 このパラメータは、IPsec-VPN 接続ネゴシエーション中に Alibaba Cloud エンドポイントを識別します。値は IP アドレスまたは完全修飾ドメイン名 (FQDN) であり、スペースを含めることはできません。トンネルのローカルエンドの識別子としてプライベート IP アドレスを使用することを推奨します。 LocalId に FQDN (example.aliyun.com など) を使用する場合、オンプレミスゲートウェイデバイスで設定されたピア ID は LocalId の値と一致する必要があります。ネゴシエーションモードを aggressive に設定することを推奨します。
     RemoteId	トンネルのリモートエンドの識別子。デフォルトでは、関連付けられたカスタマーゲートウェイの IP アドレスがリモート識別子として使用されます。 このパラメータは、IPsec-VPN 接続ネゴシエーション中にオンプレミスゲートウェイデバイスを識別します。値は IP アドレスまたは完全修飾ドメイン名 (FQDN) であり、スペースを含めることはできません。トンネルのリモートエンドの識別子としてプライベート IP アドレスを使用することを推奨します。 RemoteId に FQDN (example.aliyun.com など) を使用する場合、オンプレミスゲートウェイデバイスで設定されたローカル ID は RemoteId の値と一致する必要があります。ネゴシエーションモードを aggressive に設定することを推奨します。

   • [IPsec 構成] (フェーズ2暗号化)

     フェーズ2ネゴシエーションのパラメータを設定します。

     • 暗号化アルゴリズム、認証アルゴリズム、DH グループ (前方秘匿性 PFS)、およびSA ライフサイクル (秒)については、フェーズ 1 の IKE 構成 セクションにある対応するオプションの説明を参照できます。

     • [DPD]：この機能を有効にすることを推奨します。DPD は、ピアデバイスがアクティブかどうかを確認します。ピアがタイムアウトした場合 (30 秒後)、SA は削除され、ネゴシエーションが自動的に開始されます。

     • [NAT トラバーサル]：この機能を有効にすることを推奨します。有効にすると、システムはトンネルネゴシエーション中に NAT デバイスを自動的に検出します。NAT デバイスが検出された場合、UDP 4500 カプセル化が使用されます。データ伝送中、UDP ポート検証はスキップされ、NAT によってポート番号が書き換えられたパケットも正しく受信されます。

3. [BGP 設定]：このオプションは BGP が有効になっている場合のみ使用できます。詳細については、「BGPの有効化または無効化」をご参照ください。

IPsec-VPN 接続の管理

付録：シングルトンネルモード (レガシー)

TR にアタッチされた既存のシングルトンネル IPsec-VPN 接続については、削除して再作成し、デュアルトンネルモードを有効にすることを強く推奨します。

シングルトンネルモードの手順は、デュアルトンネルモードと類似していますが、以下の主な違いがあります。

• デュアルトンネルモードとは異なり、シングルトンネルモードのすべてのパラメータは接続レベルで設定されます。トンネル用の個別の設定レベルはありません。

• シングルトンネルモードはヘルスチェック機能をサポートしていますが、デフォルトでは無効になっています。アクティブ/スタンバイ以外のシナリオでは、ヘルスチェックを有効にすることは推奨しません。ヘルスチェックを設定する必要がある場合は、オンプレミスデータセンターに宛先を [送信元IP] に設定し、/32 サブネットマスクを使用し、ネクストホップを IPsec-VPN 接続に指定するルートエントリを追加します。これにより、ヘルスチェックが正しく機能します。

  パラメータ	説明
  [宛先 IP]	Alibaba Cloud が IPsec-VPN 接続経由でアクセスできる、オンプレミスデータセンター内の IP アドレス。この IP アドレスは ICMP リクエストに応答する必要があります。
  [送信元 IP]	オンプレミスデータセンターが IPsec-VPN 接続経由でアクセスできる、Alibaba Cloud 側の IP アドレス。
  [再試行間隔]	ヘルスチェックの再試行間隔。単位：秒。デフォルト値：3。
  [再試行回数]	ヘルスチェックの再試行回数。デフォルト値：3。
  [ルートの切り替え]	ヘルスチェックが失敗した場合に、アドバタイズされたルートを取り消すかどうかを指定します。デフォルト値：[はい]。