クライアントが VPC への SSL-VPN 接続を確立した後、デフォルトでは、クライアントはその VPC 内のリソースにのみアクセスできます。クライアントが他の VPC 内のリソースにアクセスできるようにするには、まず Cloud Enterprise Network (CEN) または VPC ピアリング接続を使用して VPC を相互接続します。次に、関連製品でルートを追加して、SSL-VPN 接続経由で他の VPC へのアクセスを有効にします。これにより、同じリージョン内、異なるリージョン間、または異なるアカウント配下にあるかどうかにかかわらず、他の VPC 内のリソースにアクセスできるようになります。
概要
VPC の相互接続方法は、クライアントが同じリージョン内、異なるリージョン間、または異なるアカウント配下にある他の VPC のリソースにアクセスできるかどうかを決定します。CEN と VPC ピアリング接続の両方がこれらのシナリオをサポートしています。VPC を相互接続した後、すべての宛先 VPC の CIDR ブロックを SSL サーバーに追加し、関連製品にクライアントへのルートを追加します。これにより、クライアントは SSL-VPN 接続を介して相互接続された VPC 内のリソースにアクセスできるようになります。
CEN と VPC ピアリング接続の違いの詳細については、「VPC 相互接続」をご参照ください。
|
CEN |
VPC ピアリング接続 |
 |
 |
例
このトピックでは、次の図のシナリオに基づいた例を示します。クライアントは VPC1 への SSL-VPN 接続を確立しており、VPC1 内のリソースにアクセスできます。リモートの従業員は VPC2 内のリソースにもアクセスする必要があります。これを行うには、まず CEN または VPC ピアリング接続を使用して VPC1 と VPC2 を相互接続します。次に、SSL サーバーと VPC1 または VPC2 にルートを追加します。これにより、クライアントは SSL-VPN 接続を介して VPC2 内のリソースにアクセスできるようになります。
前提条件
-
クライアントと VPC1 の間に SSL-VPN 接続が確立されており、クライアントは VPC1 内のリソースにアクセスできます。詳細については、「SSL-VPN 接続を使用して PC または Android クライアントを VPC に接続する」をご参照ください。
-
SSL サーバー の詳細ページで、設定済みのクライアント CIDR ブロックとクライアントに割り当てられた仮想 IP アドレスを確認してください。この情報は、後続の設定と接続性テストで必要になります。
この例では、クライアント CIDR ブロック は
10.10.10.0/24です。SSL 接続 セクションで、クライアントに割り当てられた仮想 IP アドレスが10.10.10.6であることを確認できます。重要クライアント CIDR ブロックが VPC1 および VPC2 で接続したいリソースの CIDR ブロックと重複していないことを確認してください。また、接続したい VPC1 と VPC2 の CIDR ブロックが互いに重複していないことも確認してください。重複が存在する場合、クライアント CIDR ブロックを変更 する必要があります。この操作は SSL-VPN 接続を中断させるため、クライアントは再接続する必要があります。
手順
このトピックでは、CEN または VPC ピアリング接続を使用して VPC 間の通信を設定する方法について説明します。どちらかの方法を選択できます。
ステップ 1: VPC の相互接続
CEN
このトピックでは、CEN を使用して、異なるリージョンにあるが同じアカウントに属する VPC を相互接続する方法について説明します。異なるアカウントに属する VPC を相互接続するなど、他のシナリオで CEN を使用するには、「CEN クイックスタート」をご参照ください。
-
CEN インスタンスを作成する際、CEN のみを作成 を選択し、CEN インスタンスの名前を指定し、他のパラメーターはデフォルト値のままにします。
-
中国 (杭州) リージョンに 1 つ、中国 (上海) リージョンにもう 1 つのトランジットルーター (TR) インスタンスを作成します。他のすべてのパラメーターはデフォルト値のままにします。
-
VPC 接続の作成
VPC1 を中国 (杭州) リージョンの TR に、VPC2 を中国 (上海) リージョンの TR に接続します。
- CEN コンソールにログインします。
- [インスタンス] ページで、管理するCENインスタンスを見つけ、インスタンスIDをクリックします。
-
タブで、TR インスタンスを見つけ、アクション 列の 接続の作成 をクリックします。
-
ピアネットワークインスタンスとの接続 ページで、以下の設定に基づいて VPC1 と VPC2 をそれぞれの TR に接続します。
パラメーター
VPC1 の接続
VPC2 の接続
[ネットワークタイプ]
Virtual Private Cloud （VPC） を選択します。
Virtual Private Cloud （VPC） を選択します。
[リージョン]
[中国 (杭州)] を選択します。
[中国 (上海)] を選択します。
[リソース所有者 ID]
デフォルト値の 現在のアカウント のままにします。
[接続名]
VPC1-Attachment と入力します。
VPC2-Attachment と入力します。
[ネットワーク]
VPC1 を選択します。
VPC2 を選択します。
[vSwitch]
TR がサポートするゾーンの vSwitch インスタンスを選択します。
複数のゾーンをサポートするリージョンでは、2 つの異なるゾーンから少なくとも 1 つずつ vSwitch インスタンスを選択する必要があります。これらの 2 つの vSwitch インスタンスは、VPC と TR 間のトラフィックに対してゾーンレベルの障害復旧を提供します。十分な vSwitch がない場合は、vSwitch を作成できます。
[詳細設定]
すべての詳細オプションを有効にするために、デフォルト設定のままにします。
説明VPC のルートテーブルに、宛先 CIDR ブロックが 10.0.0.0/8、172.16.0.0/12、または 192.168.0.0/16 のルートエントリがすでに含まれている場合、システムはルートエントリを自動的に追加できません。VPC と TR 間の通信を有効にするには、VPC ルートテーブルに VPC 接続を指すルートエントリを手動で追加する必要があります。
ネットワーク の右側にある ルートチェックをする をクリックして、ネットワークインスタンスにそのようなルートが存在するかどうかを確認します。
-
リージョン間接続の作成
VPC1 と VPC2 は異なるリージョンにあるため、それらを相互接続するには、中国 (杭州) と中国 (上海) リージョンの TR 間にリージョン間接続を作成する必要があります。
-
タブで、TR インスタンスを見つけ、アクション 列の 接続の作成 をクリックします。
-
ピアネットワークインスタンスとの接続 ページで、以下の情報に基づいてリージョン間接続を作成します。
パラメーター
説明
[ネットワークタイプ]
リージョン間接続 を選択します。
[リージョン]
[中国 (杭州)] を選択します。
[対向リージョン]
[中国 (上海)] を選択します。
[帯域幅割り当てモード]
データ転送量課金 を選択します。
説明[データ転送量課金] を選択した場合、リージョン間接続のデータ転送料金は Cloud Data Transfer (CDT) によって請求されます。
[帯域幅]
リージョン間接続の帯域幅の値を Mbit/s 単位で入力します。
[詳細設定]
すべての詳細オプションを有効にするために、デフォルト設定のままにします。
-
VPC ピアリング接続
このトピックでは、VPC ピアリング接続を使用して、異なるリージョンにあるが同じアカウントに属する VPC を相互接続する方法について説明します。異なるアカウントに属する VPC を相互接続するなど、他のシナリオで VPC ピアリング接続を使用するには、「VPC ピアリング接続を使用して VPC 間のプライベート通信を有効にする」をご参照ください。
-
VPC ピアリング接続の作成
-
VPC ピアリング接続コンソールにログインします。上部のナビゲーションバーで、リクエスタ VPC のリージョンを選択します。
この例では、VPC1 がリクエスタ VPC です。[中国 (杭州)] リージョンを選択します。
-
VPC ピアリング接続を初めて使用する場合、VpcPeer ページで CDT サービスの有効化 をクリックし、表示されるダイアログボックスで アクティブ化 をクリックします。
-
VpcPeer ページで VPC ピアリング接続の作成 をクリックし、次のパラメーターを設定します。
[リクエスタ VPC] を選択します。[アクセプタアカウントタイプ] には [自アカウント] を選択します。[アクセプタリージョンタイプ] には [クロスリージョン] を選択します。[リンクタイプ] には [ゴールド] を選択します。[アクセプタリージョン] には [中国 (上海)] を選択します。[アクセプタ VPC] を選択し、[OK] をクリックします。
-
-
VPC ピアリング接続のルートを設定します。
-
VpcPeer ページで、作成した VPC ピアリング接続を見つけます。送信側 VPC インスタンス 列で ルートエントリの設定 をクリックして、VPC1 に VPC2 を指すルートエントリを追加します。これにより、クライアントは VPC1 を介して VPC2 にアクセスできるようになります。[ルートエントリの設定] ダイアログボックスで、[名前] を
to-SHに、[宛先 CIDR ブロック] を172.16.0.0/16に、[ネクストホップ] をピアリング接続インスタンスに設定します。その後、[OK] をクリックします。 -
(オプション) 受信側 VPC インスタンス 列で ルートエントリの設定 をクリックして、VPC2 に VPC1 を指すルートエントリを追加します。
この手順を完了すると、VPC1 と VPC2 はプライベート接続を介して相互に通信できるようになります。VPC1 と VPC2 の間でプライベート通信が不要な場合は、この手順をスキップできます。
-
ステップ 2: 宛先 CIDR ブロックの追加
VPC2 の CIDR ブロックを SSL サーバーに追加して、クライアントがその CIDR ブロック内のリソースにアクセスできるようにします。
クライアントが複数の相互接続された VPC 内のリソースにアクセスする必要がある場合、これらすべての VPC の CIDR ブロックを SSL サーバーに追加する必要があります。
-
VPN Gateway コンソールにログインします。
-
左側メニューで、ネットワーク相互接続 > [VPN] > SSL サーバー を選択します。
-
上部メニューで、SSL サーバーのリージョンを選択します。
-
SSL サーバー ページで、管理したい SSL サーバーを見つけ、操作 列の 編集 をクリックします。
-
SSL サーバーの編集 パネルで ローカルネットワークセグメントを追加する。 をクリックし、VPC2 の CIDR ブロックを入力して OK をクリックします。
ステップ 3: クライアントへのルート設定
CEN
VPC1 から CEN へクライアントへのルートを広報します。これにより、VPC2 は CEN を介してクライアントと通信できるようになります。
- VPC コンソールにログインします。
-
上部メニューで、VPC1 のリージョンを選択します。
- In the left-side navigation pane, click Route Tables.
-
ルートテーブル ページで、VPC1 のルートテーブルを見つけ、その ID をクリックします。
-
タブで、宛先 CIDR ブロックが
10.10.10.0/24のルートエントリを見つけます。そのルートの 公開ステータス 列で、公開 をクリックします。ステータスが [CEN に広報済み] に変わることを確認します。広報をキャンセルするには、[取り消し] をクリックします。
VPC ピアリング接続
VPC ピアリング接続コンソールにログインします。VpcPeer ページで、作成した VPC ピアリング接続を見つけます。受信側 VPC インスタンス 列で ルートエントリの設定 をクリックして、VPC2 にクライアントを指すルートを設定します。
クライアントが複数の相互接続された VPC 内のリソースにアクセスする必要がある場合、各宛先 VPC のルートテーブルにクライアントへのルートを追加する必要があります。
表示される [ルートエントリの設定] ダイアログボックスで、[名前] を to-SSL-VPN に設定し、[宛先 CIDR ブロック] を 10.10.10.0/24 に設定し、[ネクストホップ] としてピアリング接続インスタンスを選択し、[OK] をクリックします。
ステップ 4: 接続性テスト
設定が完了すると、クライアントは VPC2 内のリソースにアクセスでき、VPC2 内のリソースもクライアントにアクセスできます。
-
クライアントでコマンドラインインターフェイスを開きます。
-
ifconfigコマンドを実行して、確立された SSL-VPN 接続のネットワークインターフェイスを表示します。 -
ping <ECS IP アドレス> -I <SSL-VPN トンネルインターフェイス>コマンドを実行して、SSL-VPN トンネルインターフェイスから ECS2 インスタンスに ping を実行します。次の出力のように応答パケットを受信すると、クライアントが VPC2 内のリソースにアクセスできることが確認されます。説明ping コマンドを実行する前に、ECS2 インスタンスのセキュリティグループルールとクライアントのアクセス制御ルールが ICMP トラフィックを許可していることを確認してください。
[root@iZ Z ~]# ifconfig eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet 172.16.32.133 netmask 255.255.255.0 broadcast 172.16.32.255 xxx xxx xxx xxx xxx lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 inet 127.0.0.1 netmask 255.0.0.0 xxx xxx xxx xxx tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST> mtu 1500 inet 10.10.10.6 netmask 255.255.255.255 destination 10.10.10.5 xxx xxx xxx xxx [root@iZ Z ~]# ping 172.16.20.218 -I tun0 PING 172.16.20.218 (172.16.20.218) from 10.10.10.6 tun0: 56(84) bytes of data. 64 bytes from 172.16.20.218: icmp_seq=1 ttl=61 time=49.3 ms 64 bytes from 172.16.20.218: icmp_seq=2 ttl=61 time=9.72 ms 64 bytes from 172.16.20.218: icmp_seq=3 ttl=61 time=9.68 ms 64 bytes from 172.16.20.218: icmp_seq=4 ttl=61 time=9.73 ms ^Z [1]+ Stopped ping 172.16.20.218 -I tun0 [root@iZb Z ~]# -
VPC2 内の ECS2 インスタンスにログインし、
ping <クライアント仮想アドレス>コマンドを実行してクライアントに ping を実行します。ECS2 インスタンスが次の出力のように応答パケットを受信した場合、ECS2 インスタンスもクライアントにアクセスできることを示しています。[root@iZuf 8c1Z ~]# ping 10.10.10.6 PING 10.10.10.6 (10.10.10.6) 56(84) bytes of data. 64 bytes from 10.10.10.6: icmp_seq=1 ttl=61 time=9.79 ms 64 bytes from 10.10.10.6: icmp_seq=2 ttl=61 time=9.47 ms 64 bytes from 10.10.10.6: icmp_seq=3 ttl=61 time=9.46 ms 64 bytes from 10.10.10.6: icmp_seq=4 ttl=61 time=9.45 ms ^C [1]+ Stopped ping 10.10.10.6 [root@iZuf641 8c1Z ~]#
よくある質問 (FAQ)
CEN へのルート広報後の接続失敗
すべての 詳細設定 を有効にして VPC 接続とリージョン間接続を作成すると、TR はルートを自動的に伝播および学習します。ただし、すべての 詳細設定 を有効にしなかったり、カスタムルートエントリを追加したり、環境にルートの競合がある場合、TR がルートを学習またはルートエントリを作成できないことがあります。これにより、接続の失敗が発生する可能性があります。関連製品コンソールで VPC 相互接続シナリオの各インスタンスのルートを確認してください。各インスタンスが相互接続された VPC とクライアントへのルートを持っていることを確認してください。ルートが欠落している場合は、手動で追加してください。詳細については、「エンタープライズ版トランジットルーターにカスタムルートエントリを追加する」および「カスタムルートエントリの追加」をご参照ください。