VPN Gateway のルート設定 - 宛先ベース、ポリシーベース、BGP ルーティング - VPN Gateway

VPN Gateway に静的、ポリシーベース、または BGP ルートを設定し、IPsec-VPN 接続で VPC をデータセンターに接続します。

ルーティング方式の選択

静的ルートと BGP ルートの比較

カテゴリ	静的ルート	BGP ルート
ユースケース	ルート数が少なく、変更頻度が低いネットワーク。	ルート数が多く、変更頻度が高いネットワーク。
メンテナンス	中。ルートの変更は手動で設定する必要があります。	低。ルートは自動的にアドバタイズされ、学習されます。
前提条件	なし。	VPN Gateway とローカルゲートウェイデバイスの両方が BGP をサポートしている必要があります。

静的ルート：宛先ベースのルートとポリシーベースのルート

宛先ベースのルートとポリシーベースのルートから選択します。

カテゴリ	宛先ベースのルート	ポリシーベースのルート
一致条件	宛先 IP のみ	送信元 IP + 宛先 IP
ユースケース	一般的な用途。ほとんどのユーザーに推奨します。	送信元 CIDR ブロックによってトラフィックのルーティングを区別する場合。
優先度	ポリシーベースのルートより低い。	宛先ベースのルートより高い。

ルート優先度

VPN Gateway は、次の順序でトラフィックをルートと照合します：

ゲートウェイは最初に [ポリシーベースルーティング] を確認し、最長プレフィックス一致ルールではなく、ポリシー優先度に基づいてルートを照合します。
次に、ゲートウェイは [宛先ベースルーティング] を確認し、最長プレフィックス一致ルールに基づいてルートを照合します。
最後に、ゲートウェイは [BGP ルートテーブル] を確認します。

静的ルートの設定

エンドツーエンドの概要

VPN Gateway を介して VPC をデータセンターに接続するには、3 つのルートテーブルが関係します：

トラフィックの方向

VPC ルートテーブル

VPN Gateway ルートテーブル

ローカルゲートウェイデバイスのルートテーブル

アウトバウンド (VPC からデータセンター)

次のいずれかの方法を選択します：

VPN Gateway からルートをアドバタイズ (推奨)：

VPN Gateway のルートテーブルで、ルートエントリの [操作] 列にある [VPC へのアドバタイズ] をクリックします。
手動でルートを追加：

宛先 CIDR ブロックをデータセンターの CIDR ブロックに設定し、ネクストホップを VPN Gateway に設定します。「ルートエントリの追加と削除」をご参照ください。

手動でルートを 1 つ追加します：

宛先 CIDR ブロックはデータセンターの CIDR ブロックで、ネクストホップは IPsec-VPN 接続です。
宛先ベースルートまたはポリシーベースルートのいずれかを設定できます。

ローカルゲートウェイデバイスにデータセンターの内部ネットワークへのルートがあることを確認します。ない場合は、手動で追加します。

インバウンド (データセンターから VPC)

設定は不要です。

手動で 2 つのルートを追加します：

両方のルートで、宛先 CIDR ブロックを VPC の CIDR ブロックに設定し、ネクストホップをそれぞれ IPsec-VPN 接続のアクティブトンネルとスタンバイトンネルに設定します。アクティブトンネルにはより高い重みを割り当てます。

宛先ベースルートの設定

宛先ベースルートは、宛先 IP アドレスに基づいてトラフィックを転送します。

一致ルール：

最長プレフィックス一致：トラフィックは、サブネットマスクが最も長いルートに一致します。たとえば、10.0.0.0/8 と 10.10.0.0/16 の両方のルートが存在する場合、10.10.10.1 宛てのトラフィックは 10.10.0.0/16 ルートに一致します。
アクティブ/スタンバイルート (従来のシングルトンネル VPN Gateway のみ)：アクティブなルートのみが一致し、スタンバイルートはスキップされます。「アクティブ/スタンバイルートの設定」をご参照ください。

コンソール

宛先ベースルートの追加

VPN Gateway に関連付けられた IPsec-VPN 接続が作成されていることを確認してください。

コンソールの VPN Gateway ページに移動します。対象の VPN Gateway インスタンスの ID をクリックします。
宛先ベースルーティング タブに移動し、ルートエントリの追加 をクリックします。
- [CIDR]：データセンターの CIDR ブロックを入力します。
- [ネクストホップ]：対象の IPsec-VPN 接続を選択します。
- VPC への公開：はいを選択すると、ルートが VPC システムルートテーブルに自動的にアドバタイズされます。いいえ を選択した場合は、VPC ルートテーブルに手動でルートを追加する必要があります。
- [重み]：従来のシングルトンネル VPN Gateway のみが重みの設定に対応しています。「アクティブ/スタンバイルートの設定」をご参照ください。

宛先ベースルートの削除

対象のルートエントリを見つけ、操作列の削除をクリックします。

API

API 操作	説明
CreateVpnRouteEntry	宛先ベースルートを作成します。
PublishVpnRouteEntry	VPN ルートをアドバタイズまたは撤回します。
DeleteVpnRouteEntry	宛先ベースルートを削除します。
ModifyVpnRouteEntryWeight	重みを変更します (従来のシングルトンネル VPN Gateway のみ)。
DescribeVpnRouteEntries	宛先ベースルートと BGP ルートを照会します。

ポリシーベースルートの設定

ポリシーベースルートは、送信元 IP アドレスと 宛先 IP アドレスの両方でトラフィックを照合し、宛先ベースルートや BGP ルートよりも優先されます。

照合順序：

ポリシー優先度：優先度の値が最も低いルートが最初に一致します。
同じ優先度のルート：作成時間順に照合されます。最初に一致したものが使用されます。

重要

決定的なルーティングを行うには、各ポリシーベースルートに一意の優先度を割り当ててください。
従来のシングルトンネル VPN Gateway の場合、アクティブ/スタンバイのポリシーベースルートは同じ優先度を設定する必要があります。アクティブなルートのみが一致します。「アクティブ/スタンバイルートの設定」をご参照ください。

ポリシーベースルートの照合例

例：

VPC_1 (172.16.0.0/16) は、IPsec-VPN 接続 1 を介して IDC_1 (192.168.1.0/24, 192.168.2.0/24) に接続し、接続 2 を介して IDC_2 (192.168.5.0/24) に接続します。

誤り：同じ優先度と集約 CIDR は不一致の原因となります：

優先度	宛先 CIDR ブロック	送信元 CIDR ブロック	ネクストホップ	問題
10	192.168.0.0/21	172.16.0.0/16	IPsec-VPN 接続 1	IDC_2 へのトラフィックに誤って一致する
10	192.168.5.0/24	172.16.0.0/16	IPsec-VPN 接続 2	—

正しい：異なる優先度を割り当てます。より具体的なルートに高い優先度 (より低い値) を与えます。

優先度	宛先 CIDR ブロック	送信元 CIDR ブロック	ネクストホップ
10	192.168.5.0/24	172.16.0.0/16	IPsec-VPN 接続 2
20	192.168.0.0/21	172.16.0.0/16	IPsec-VPN 接続 1

説明

従来の VPN Gateway：お使いの VPN Gateway がポリシー優先度の設定に対応していない場合、ポリシーは優先度なしで、設定された順序で照合されます。集約ネットワークセグメント (例：192.168.0.0/21) の代わりに、特定のネットワークセグメント (例：192.168.1.0/24) を使用するか、VPN Gateway をアップグレードしてポリシー優先度に対応するようにしてください。

コンソール

ポリシーベースルートの追加

VPN Gateway に関連付けられた IPsec-VPN 接続が作成されていることを確認してください。

コンソールの VPN Gateway ページに移動します。対象の VPN Gateway インスタンスの ID をクリックします。
ポリシーベースルーティング タブに移動し、ルートエントリの追加 をクリックします。
- [CIDR]：データセンターの CIDR ブロックを入力します。
- [送信元 CIDR ブロック]：関連付けられた VPC の CIDR ブロックを入力します。
- [ネクストホップ]：対象の IPsec-VPN 接続を選択します。
- VPC への公開：はいを選択すると、ルートが VPC システムルートテーブルに自動的にアドバタイズされます。いいえ を選択した場合は、VPC ルートテーブルに手動でルートを追加する必要があります。
- [ポリシーの優先度]：範囲：1～100。値が小さいほど優先度が高くなります。デフォルト：10。
- [重み]：従来のシングルトンネル VPN Gateway のみが重みの設定に対応しています。「アクティブ/スタンバイルートの設定」をご参照ください。

ポリシーベースルートの編集

対象のルートエントリを見つけ、操作列の編集をクリックして ポリシーの優先度 または重みを変更します。従来のシングルトンネル VPN Gateway のみが重みの変更に対応しています。

ポリシーベースルートの削除

対象のルートエントリを見つけ、操作列の削除をクリックします。

API

API 操作	説明
CreateVpnPbrRouteEntry	ポリシーベースルートを作成します。
DeleteVpnPbrRouteEntry	ポリシーベースルートを削除します。
ModifyVpnPbrRouteEntryWeight	重みを変更します。
ModifyVpnPbrRouteEntryPriority	ポリシー優先度を変更します。
ModifyVpnPbrRouteEntryAttribute	重みとポリシー優先度を変更します。
DescribeVpnPbrRouteEntries	ポリシーベースルートを照会します。

VPC ルートテーブルへのアドバタイズ

手動で追加したルートは、VPC コンソールで設定しなくても、VPC のシステムルートテーブルにアドバタイズできます。

ルートは VPC システムルートテーブルにのみアドバタイズされ、カスタムルートテーブルにはアドバタイズされません。カスタムルートテーブルにルートを追加するには、ルートエントリの追加と削除を使用します。
ポリシーベースと宛先ベースの両方のルートテーブルに同じ宛先 CIDR ブロックを持つルートが存在する場合、一方のテーブルからルートを撤回すると、もう一方からも撤回されます。

コンソール

宛先ベースまたはポリシーベースのルートを追加する際に、公開を選択できます。
既存のルートエントリについては、操作列の公開または 公開の取り消し をクリックできます。

API

PublishVpnRouteEntry を呼び出して、ルートをアドバタイズまたは撤回します。

制限事項

これらの制限事項は、宛先ベースルートとポリシーベースルートの両方に適用されます：

宛先 CIDR ブロックが 0.0.0.0/0 のルートは追加できません。
100.64.0.0/10 (サブネットおよびスーパーネットを含む) へのルートを追加しないでください。これは IPsec 接続またはネゴシエーションの失敗の原因となります。
システムがルートの競合を報告した場合は、「重複ルートエラーの処理」をご参照ください。

BGP ルートの設定

BGP (Border Gateway Protocol) により、VPN Gateway とデータセンターが自動的にピアリングし、手動でのメンテナンスを必要とせずにルートを学習および配信できます。

エンドツーエンドの概要

トラフィックの方向

VPC ルートテーブル

VPN Gateway ルートテーブル

ローカルゲートウェイデバイスのルートテーブル

アウトバウンド (VPC からデータセンター)

設定は不要です。

VPN ゲートウェイで ルートの自動伝播 を有効にすると、VPC ルートテーブルは VPN ゲートウェイからデータセンターへのルートを自動的に学習します。

VPN ゲートウェイでルートの自動伝播を有効にする必要があります。

有効にすると、VPN Gateway は VPC システムルートテーブルからシステムルートを自動的に学習し、データセンターのルートを VPC システムルートテーブルにアドバタイズします。
VPN Gateway で BGP を有効にする必要があります。

有効にすると、ゲートウェイは VPC の CIDR ブロックをデータセンターに自動的にアドバタイズし、データセンターの CIDR ブロックを学習します。

ローカルゲートウェイデバイスで BGP を有効にする必要があります。

有効にすると、デバイスはローカルネットワークの CIDR ブロックをクラウドに自動的にアドバタイズし、VPC の CIDR ブロックを学習します。

インバウンド (データセンターから VPC)

設定は不要です。

BGP ルートアドバタイズの原則

クラウドへのインバウンド：データセンターから BGP 経由でアドバタイズされたルート → VPN Gateway に伝播 → VPC システムルートテーブルに自動的に伝播します (ルート伝播を有効にする必要があります)。
クラウドからのアウトバウンド：VPC システムルートテーブルのシステムルートエントリ → VPN Gateway が自動的に学習 (ルート伝播を有効にする必要があります) → BGP 経由でデータセンターに伝播します。

手順

開始する前に、次のことを確認してください：

VPN Gateway が BGP をサポートしていること。VPN Gateway が BGP をサポートしているかどうかの確認。
データセンターのゲートウェイデバイスが BGP をサポートしていること。

コンソール

カスタマーゲートウェイでデータセンターの ASN を指定

カスタマーゲートウェイを作成する際に、データセンターの自律システム番号 (ASN) を指定します。既存のカスタマーゲートウェイに ASN が設定されていない場合は、新しいカスタマーゲートウェイを作成します。詳細については、「カスタマーゲートウェイ」をご参照ください。
IPsec-VPN 接続で BGP を有効化
- IPsec-VPN 接続を作成または編集するときは、カスタマーゲートウェイ、BGP の有効化、ローカル ASN、トンネル CIDR ブロック、および ローカル BGP IP アドレス を設定します。パラメーターの説明と手順については、「BGP の有効化または無効化」をご参照ください。
- 両方のトンネルの [ローカル ASN] は、同じである必要があります。ピア BGP ASN も、両方のトンネルで同じである必要があります。
- IPsec-VPN 接続の [ルーティングモード] を [宛先ルーティングモード] に設定します。
ルート伝播の有効化

対象の VPN ゲートウェイインスタンスの ルート自動伝播 列でこの機能を有効にします。有効にすると：
- VPN Gateway は VPC システムルートテーブルからシステムルートを自動的に学習します。
- VPN Gateway はデータセンターからの BGP ルートを VPC システムルートテーブルに自動的に伝播します。
  
  BGP ルートは VPC システムルートテーブルにのみ伝播され、カスタムルートテーブルには伝播されません。
BGP ルートの確認
- VPN ゲートウェイ BGP ルートテーブル: VPN ゲートウェイインスタンスの詳細ページにある BGP ルートテーブル タブでは、ルートソースが「CLOUD」(クラウドネイティブルート) または「VPN_BGP」(BGP 経由で学習したルート) と表示されます。
- VPC システムルートテーブル：VPC のシステムルートテーブルで、タイプが「Dynamic Route」のエントリを確認します。

API

カスタマーゲートウェイでデータセンターの ASN を指定

CreateCustomerGateway API を呼び出します。
IPsec-VPN 接続で BGP を有効化
- CreateVpnConnection API を呼び出して IPsec-VPN 接続を作成します。
- ModifyVpnConnectionAttribute API を呼び出して IPsec-VPN 接続の設定を変更し、ModifyTunnelAttribute API を呼び出してトンネルの設定を変更します。
ルート伝播の有効化

ModifyVpnGatewayAttribute API を呼び出して有効にします。
BGP ルートの確認

DescribeVpnRouteEntries API を呼び出して BGP ルートエントリをクエリします。

制限事項

各 VPN Gateway BGP ルートテーブルは最大 50 ルートをサポートします (200 まで拡張可能。アカウントマネージャーにお問い合わせください)。
VPN Gateway は、宛先 CIDR ブロックが 0.0.0.0/0 の BGP ルートを受け入れません。
同じ VPN Gateway 上で複数の IPsec-VPN 接続に対して BGP が有効になっている場合、すべての接続で [ローカル ASN] は同じである必要があります。
異なる IPsec-VPN 接続間でルートを交換しないでください。
VPC が複数の VPN Gateway に関連付けられている場合、ゲートウェイは相互の BGP ピアリングをサポートしません。異なる VPN Gateway 間でルートを交換しないでください。
VPC が、すべて BGP を使用し、同じカスタマーゲートウェイに接続する複数の VPN Gateway に関連付けられている場合、ルーティングループを防ぐために、各 VPN Gateway 上の IPsec-VPN 接続のローカル ASN は同じにする必要があります。
複数のデュアルトンネル IPsec-VPN 接続が同時に BGP を使用する場合、各接続によって学習されたルートの宛先 CIDR ブロックは重複してはなりません。
Express Connect 回線と VPN Gateway を使用して VPC へのアクティブ/スタンバイアクセスを行う場合、ボーダールーター (VBR) と VPN Gateway で設定されたローカル ASN は同じにする必要があります。
VPN Gateway の VPC が Cloud Enterprise Network (CEN) に属している場合は、ルートの重複を有効にします。これは、2019 年 3 月以降に作成された CEN インスタンスではデフォルトで有効になっています。
同じ CEN 内の複数の VPC が BGP を介して同じデータセンターに接続する場合、動的ルートが CEN を介して他の VPC に伝播し、ルートフラッピングを引き起こす可能性があります。代わりに静的ルートを使用してください。
シングルトンネルモードの VPN Gateway：100.64.0.0/10 (そのサブネットとスーパーネットを含む) のルートを伝播しないでください。この問題は、IPsec-VPN 接続をデュアルトンネルモードにアップグレードすることで回避できます。

付録

ルート設定の推奨事項

VPN Gateway 上のすべての IPsec-VPN 接続で同じルーティング方式を使用してください。宛先ベース、ポリシーベース、BGP ルートを混在させないでください。
BGP ルートを設定する場合、IPsec-VPN 接続のルーティングモードを宛先ルーティングモードに設定します。

VPN Gateway の BGP サポートの確認

新規に作成された、デュアルトンネル IPsec-VPN 接続をサポートする VPN Gateway は、デフォルトで BGP をサポートしています。
既存の VPN Gateway の場合： DescribeVpnGateway API を呼び出し、Tag フィールドに VpnEnableBgp タグが含まれており、その値が true であることを確認してください。
サポートされていないゲートウェイのアップグレードオプション：

- デュアルトンネルモード VPN Gateway： VPN Gateway のアップグレード (クラシックタイプのみ)

- シングルトンネルモード VPN Gateway：デュアルトンネルモードへのアップグレード

アクティブ/スタンバイルートの設定

重要

このセクションは、シングルトンネルモードを使用する既存の VPN Gateway のみが対象です。

従来のシングルトンネル VPN Gateway でアクティブ/スタンバイを設定するには、IPsec-VPN 接続をデュアルトンネルモードにアップグレードしてください。デュアルトンネル接続は、重みの設定なしでデフォルトでアクティブ/スタンバイをサポートします。
シングルトンネルモードでアクティブ/スタンバイリンクを設定する必要がある場合は、次の手順に従ってください。
1. アクティブルートの重みを 100 に、スタンバイルートの重みを 0 に設定します。宛先 CIDR ブロックは同じにする必要がありますが、ネクストホップは異なるものにする必要があります。ポリシーベースルートの場合、送信元 CIDR ブロックも同じにする必要があります。
2. IPsec-VPN 接続のヘルスチェックを設定して、自動フェイルオーバーを有効にします。このオプションは、IPsec-VPN 接続のトンネル設定で確認できます。
3. ルートの重みを変更するには、まずスタンバイルートを削除し、アクティブルートの重みを変更してから、スタンバイルートを再作成します。スタンバイルートの重みを変更する場合も同様の手順です。
2023 年 10 月 12 日以降にアップグレードされていない VPN Gateway インスタンスの場合、アクティブ/スタンバイポリシーベースルートを設定する必要がある場合は、各 CIDR ブロックに対してアクティブ/スタンバイリンクが指定されていることを確認してください。CIDR ブロックに 1 つのリンクのみが設定されている場合、他の CIDR ブロックのフェイルオーバーが失敗する可能性があります。この問題は、VPN Gateway のアップグレードまたは IPsec-VPN 接続のデュアルトンネルモードへのアップグレードによって回避できます。この問題は、2023 年 10 月 12 日以降に作成またはアップグレードされた VPN Gateway インスタンスには影響しません。

設定後、ルートは以下のルールに従って有効になります：

アクティブルートの IPsec-VPN 接続	スタンバイルートの IPsec-VPN 接続	有効なルート
アップ (ネゴシエーション成功、ヘルスチェック正常)	任意の状態	アクティブルート
ダウン	アップ	スタンバイルート
ダウン	ダウン	アクティブルート (デフォルト)

チュートリアル

strongSwan 設定例