VPN Gateway インスタンスは、Virtual Private Cloud (VPC) とオンプレミスのデータセンターを接続するクラウド側のゲートウェイです。VPN Gateway バインディングモードで IPsec-VPN を選択した場合、まず VPN Gateway インスタンスを作成する必要があります。
TR バインディングモードで IPsec 接続を選択した場合、VPN Gateway インスタンスを作成する必要はなく、直接IPsec-VPN 接続 (TR にアタッチ) を作成できます。
機能
VPN Gateway インスタンスは、Alibaba Cloud 側にデプロイされるゲートウェイデバイスであり、暗号化されたトンネルのクラウドエンドポイントとして機能します。まず VPN Gateway を作成し、その VPN Gateway に基づいて IPsec 接続を作成する必要があります。
VPN Gateway インスタンスを作成する際、VPC を関連付け、異なるゾーンにある2 つの vSwitch を指定して、デュアルトンネルの IPsec-VPN 接続を確立し、ゾーンレベルの災害復旧を実現する必要があります。
1 つのゾーンしかサポートしていないリージョンでは、ゾーンレベルの災害復旧はサポートされていません。ゾーン内で 2 つの異なる vSwitch インスタンスを指定して、IPsec 接続の高可用性を実現することを推奨します。
VPN Gateway インスタンスを作成すると、システムは指定された 2 つの vSwitch のそれぞれに 1 つの Elastic Network Interface (ENI) を作成し、VPN Gateway と VPC 間のトラフィック交換用のインターフェイスとして使用します。各 ENI は、vSwitch 配下で1 つのプライベート IP アドレスを占有します。vSwitch 配下に十分な利用可能な IP アドレスがあることを確認してください。
VPN Gateway の作成
VPN Gateway には、Enhanced と Standard の 2 種類があります。これらの違いの詳細については、「Enhanced VPN と Standard VPN の比較」をご参照ください。
Enhanced VPN Gateway (コンソール)
拡張型 VPN ゲートウェイは 2024 年 2 月にリリースされ、現在 パブリックプレビュー 中です。ご利用になるには、Alibaba Cloud エンジニアにアクセス権限をリクエストしてください。
対応リージョン：マレーシア (クアラルンプール)、イギリス (ロンドン)、中国 (成都)、米国 (バージニア)、米国 (シリコンバレー)、中国 (香港)、シンガポール。
コンソールのVPN Gatewayページへ移動し、Enhanced IPsec-VPN タブに切り替え、Enhanced IPsec-VPN の作成 をクリックして設定を開始します。
[リージョン]：接続する VPC があるリージョンを選択します。
[VPC]：対象の VPC を選択します。
[vSwitch 1] および [vSwitch 2]：関連付ける VPC と、クロスゾーンでの高可用性を確保するために異なるゾーンにデプロイされた 2 つの vSwitch を選択する必要があります。IPsec-VPN を有効にすると、システムは 2 つの vSwitch のそれぞれに 1 つの ENI を作成し、IPsec 接続を使用して VPC とトラフィックを交換するためのインターフェイスとして使用します。各 ENI は vSwitch 配下で 1 つの IP アドレスを占有します。
Standard VPN Gateway (コンソール)
コンソールのVPN Gatewayページへ移動し、従来型 VPN Gateway タブで、VPN Gateway の作成 をクリックして設定を開始します。
従来型 VPN Gateway タブがない場合は、直接 VPN Gateway の作成 をクリックします。
リージョンとゾーン：VPC があるリージョンを選択します。
ゲートウェイタイプ：Standard を選択します。IPsec 接続が確立されると、国際標準の商用暗号アルゴリズム (標準暗号アルゴリズム) が使用されます。
[ネットワークタイプ]：パブリックネットワーク を選択します。IPsec 接続を確立するためにパブリック IP が割り当てられます。プライベート IPsec 接続を確立するには、「プライベート IPsec 接続を使用して Enterprise Transit Router をバインドする」ことを推奨します。
トンネル：デュアルトンネル を選択します。
VPC および 仮想 vSwitch：関連付ける VPC と、クロスゾーンでの高可用性を確保するために異なるゾーンにデプロイされた 2 つの vSwitch を選択する必要があります。IPsec-VPN が有効になると、システムは 2 つの vSwitch のそれぞれに 1 つの ENI を作成し、IPsec 接続を使用して VPC とトラフィックを交換するためのインターフェイスとして使用します。各 ENI は vSwitch 配下で 1 つの IP アドレスを占有します。VPN Gateway の作成後、関連付けられた vSwitch は変更できません。
ピーク帯域幅：VPN Gateway がサポートする最大帯域幅仕様はリージョンによって異なります。5 Mbps または 10 Mbps の帯域幅仕様を選択した場合、オンプレミスのデータセンターから VPN Gateway へのピーク帯域幅は 10 Mbps に制限されます。詳細については、「クォータと制限」をご参照ください。
IPsec-VPN を有効にし、SSL-VPN を無効にします。
作成した VPN Gateway で IPsec-VPN が有効になっていない場合、対象の VPN Gateway の[ゲートウェイステータス]列で、[IPsec接続] の右にある IPsec 接続 をクリックします。
既存の VPN Gateway で IPsec-VPN を有効にするには、現在の請求期間の残り時間に対する機能の料金差額を支払う必要があります。
サブスクリプション期間：
VPN Gateway の請求サイクルです。デフォルト値：時間単位課金。
API
CreateEnhancedVpnGateway を呼び出して、Enhanced VPN Gateway を作成します。
重要高機能版 VPN Gateway は 2024 年 2 月にリリースされ、現在は招待制プレビューの段階です。この機能をご利用になるには、Alibaba Cloud のエンジニアにご連絡いただき、アクセス権を取得してください。サポートされているリージョン：マレーシア (クアラルンプール)、イギリス (ロンドン)、中国 (成都)、米国 (バージニア)、米国 (シリコンバレー)、中国 (香港)、シンガポール。
CreateVpnGateway を呼び出して、Standard VPN Gateway を作成します。
次のステップ
クラウド VPC とオンプレミスの IDC 間の通信を有効にするには、VPN Gateway インスタンスの作成後に、さらに次の操作が必要です：
カスタマーゲートウェイ：オンプレミスのゲートウェイデバイスの情報 (IP アドレスや BGP AS 番号など) を Alibaba Cloud に登録します。
IPsec-VPN 接続の作成：Alibaba Cloud VPN Gateway とオンプレミスのゲートウェイデバイス間に IPsec 暗号化トンネルを作成し、接続が正常に確立されることを確認します。
VPN Gateway のアップグレード (Standard タイプのみ)
Standard VPN Gateway が最新バージョンでない場合は、機能と互換性を向上させるためにアップグレードすることを強く推奨します。
これはバージョンアップグレードのみを指しており、Enhanced への移行ではありません。(Enhanced タイプは再作成が必要です)。
アップグレードの確認：VPN Gateway の詳細ページで、[アップグレード] ボタンの状態に基づいて、VPN Gateway が最新バージョンであるかどうかを判断できます。新規に購入した VPN Gateway はデフォルトで最新バージョンです。
アップグレードコスト：
VPN Gateway のアップグレードには約 10 分かかります。
重要アップグレード中、VPN Gateway はサービスを提供できず、既存の接続は中断されます。ビジネス運用への影響を避けるため、ネットワークのメンテナンス時間帯にアップグレードを実行することを推奨します。
VPN Gateway のアップグレードに料金はかかりません。
アップグレードの制限事項：
VPN Gateway に IPsec 接続がない場合、設定はアップグレード前後で変更されません。
VPN Gateway に IPsec 接続がある場合：
IKEv1 + 複数 CIDR ブロック：IKEv2 に変更するか、複数 CIDR ブロックを複数の接続に分割します。
2019 年 3 月 21 日より前に作成され、アップグレードされていないゲートウェイ：アップグレード後、手動でルート設定を行う必要があります。
その他のシナリオでは、IPsec 接続の設定はアップグレード前後で変更されません。
コンソール
VPN Gatewayコンソールにログインします。上部メニューで、VPN Gateway のリージョンを選択します。
対象の VPN Gateway ID をクリックして詳細ページへ移動し、[アップグレード] をクリックします。
VPN Gateway の削除
Enhanced VPN Gateway (コンソール)
対象の VPN Gateway の操作 列で、[削除] をクリックします。
削除する前に、VPN Gateway にIPsec 接続、SSL サーバー、またはIPsec サーバーがないことを確認してください。
Standard VPN Gateway (コンソール)
削除する前に、VPN Gateway にIPsec 接続、SSL サーバー、またはIPsec サーバーがないことを確認してください。
対象の VPN Gateway の操作 列にある [削除] をクリックします。
API
Enhanced VPN：DeleteEnhancedVpnGateway を呼び出して削除します。
Standard VPN：DeleteVpnGateway を呼び出して削除します。
クォータと制限
Enhanced VPN Gateway
既存の Standard VPN Gateway から Enhanced IPsec-VPN 形式への直接移行はサポートされていません。新規作成することを推奨します。
Enhanced VPN Gateway は、復号化された IP フラグメントパケットの処理をサポートしていません。
Enhanced VPN Gateway でルートを追加すると、既存のトラフィックがエージアウトするまでに約 30 秒かかり、その後、新しいルートが転送の指針として使用されます。ルートを変更または削除した場合、トラフィック転送はすぐに有効になります。
Enhanced VPN Gateway の単一トンネルが受信する BGP ルートエントリが 2000 を超えると、現在のトンネルのルート学習機能は中断されます。
その他のクォータ制限については、「クォータと制限」をご参照ください。
Standard VPN Gateway
Standard VPN Gateway でサポートされる最大帯域幅仕様はリージョンによって異なります。
カテゴリ
リージョン
最大 1000 Mbps
中国 (杭州)、中国 (上海)、中国 (青島)、中国 (北京)、中国 (張家口)、中国 (フフホト)、中国 (ウランチャブ)、中国 (深圳)、中国 (河源)、中国 (広州)、中国 (成都)、 香港 (中国)、シンガポール、日本 (東京)、マレーシア (クアラルンプール)、インドネシア (ジャカルタ)、タイ (バンコク)、韓国 (ソウル)、フィリピン (マニラ)、米国 (シリコンバレー)、 米国 (バージニア)、ドイツ (フランクフルト)、英国 (ロンドン)、メキシコ
最大 500 Mbps
UAE (ドバイ)、サウジアラビア (リヤド)
サウジアラビア (リヤド) リージョンはパートナーによって運営されています。
新規購入した VPN Gateway インスタンスでは、IPsec 接続はデフォルトでデュアルトンネルモードを使用します。既存の VPN Gateway インスタンスは、デフォルトでシングルトンネルモードでのみ IPsec-VPN 接続の作成をサポートしています。接続の可用性を高めるため、できるだけ早くデュアルトンネルモードにアップグレードすることを推奨します。
IPsec-VPN トンネルモードと帯域幅仕様が異なる Standard VPN Gateway では、オンプレミスのデータセンターと Standard VPN Gateway 間の双方向のピーク帯域幅は完全に同じではありません。
IPsec-VPNトンネルモード
Standard VPN Gateway の帯域幅仕様値
アウトバウンド方向のピーク帯域幅
インバウンド方向のピーク帯域幅
デュアルトンネル
> 10 Mbps
Standard VPN Gateway の帯域幅仕様値。
Standard VPN Gateway の帯域幅仕様値。
≤ 10 Mbps
Standard VPN Gateway の帯域幅仕様値。
10 Mbps。
シングルトンネル
> 100 Mbps
Standard VPN Gateway の帯域幅仕様値。
Standard VPN Gateway の帯域幅仕様値。
≤ 100 Mbps
Standard VPN Gateway の帯域幅仕様値。
100 Mbps。
その他のクォータ制限については、「クォータと制限」をご参照ください。