VPN Gateway:SSL サーバーの作成と管理

1. VPN Gateway コンソールにログインします。

2. 左側のナビゲーションペインで、ネットワーク相互接続 > [VPN] >SSL サーバー を選択します。

3. トップナビゲーションバーで、SSL サーバーを作成するリージョンを選択します。

   SSL サーバーは、関連付けられている VPN Gateway インスタンスと同じリージョンにある必要があります。

4. SSL サーバー ページで、SSLサーバーの作成 をクリックします。

5. SSLサーバーの作成 パネルで、次のパラメーターを設定し、OK をクリックします。

   パラメーター	説明
   [名前]	SSL サーバーの名前を入力します。
   [リソースグループ]	VPN Gateway インスタンスが属するリソースグループを選択します。 SSL サーバーは、VPN Gateway インスタンスと同じリソースグループに自動的に追加されます。
   [VPN Gateway]	VPN Gateway インスタンスを選択します。 選択した VPN Gateway インスタンスで SSL-VPN 機能が有効であることを確認してください。
   [ローカルネットワーク]	クライアントが SSL-VPN 接続でアクセス可能な CIDR ブロックを指定します。 ローカルネットワークとして、Virtual Private Cloud (VPC) の CIDR ブロック、vSwitch、Express Connect 回線を介して VPC に接続されたオンプレミスデータセンター、または Object Storage Service (OSS) や ApsaraDB RDS などのクラウドサービスを指定できます。 ローカルネットワークセグメントを追加する。 をクリックして、複数の CIDR ブロックを追加します。最大 5 つのローカルネットワークを追加できます。次の IP アドレス範囲はサポートされていません： 127.0.0.0～127.255.255.255 169.254.0.0～169.254.255.255 224.0.0.0～239.255.255.255 255.0.0.0～255.255.255.255 説明 ローカルネットワークのサブネットマスクは 8～32 ビット長である必要があります。
   [クライアント CIDR ブロック]	VPN Gateway インスタンスがクライアントに IP アドレスを割り当てるための IP アドレスプールです。これはクライアントのプライベート CIDR ブロックではありません。 クライアント CIDR ブロックには、VPN Gateway インスタンスがサポートする SSL の最大同時接続数の少なくとも 4 倍の IP アドレスが含まれている必要があります。 クリックして理由を表示 たとえば、クライアント CIDR ブロックとして 192.168.0.0/24 を指定した場合、システムは各接続に 192.168.0.4/30 のような /30 サブネットを割り当てます。このサブネットから 1 つの IP アドレスがクライアントに割り当てられ、残りの 3 つはネットワーク通信用にシステムによって予約されます。したがって、各クライアント接続はプールから 4 つの IP アドレスを使用します。すべてのクライアントが IP アドレスを取得できるようにするには、クライアント CIDR ブロック内の IP アドレスの総数が、VPN Gateway インスタンスがサポートする SSL の最大接続数の少なくとも 4 倍である必要があります。 クリックしてサポートされていない CIDR ブロックを表示 100.64.0.0～100.127.255.255 127.0.0.0～127.255.255.255 169.254.0.0～169.254.255.255 224.0.0.0～239.255.255.255 255.0.0.0～255.255.255.255 クリックして、SSL 接続数に応じた推奨クライアント CIDR ブロックを表示 SSL 接続数が 5 つの場合、27 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/27 または 10.0.0.0/26。 SSL 接続数が 10 の場合、26 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/26 または 10.0.0.0/25。 SSL 接続数が 20 の場合、25 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/25 または 10.0.0.0/24。 SSL 接続数が 50 の場合、24 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/24 または 10.0.0.0/23。 SSL 接続数が 100 の場合、23 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/23 または 10.0.0.0/22。 SSL 接続数が 200 の場合、22 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/22 または 10.0.0.0/21。 SSL 接続数が 500 の場合、21 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/21 または 10.0.0.0/20。 SSL 接続数が 1,000 の場合、20 ビット以下のサブネットマスクを推奨します。例：10.0.0.0/20 または 10.0.0.0/19。 重要 クライアント CIDR ブロックのサブネットマスクは 16～29 ビット長である必要があります。 クライアント CIDR ブロックがローカルネットワーク、VPC CIDR ブロック、またはクライアント側でルーティングされる CIDR ブロックと重複しないようにしてください。 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 などのプライベート CIDR ブロックまたはそのサブネットを使用することを推奨します。パブリック IP アドレス範囲を使用する必要がある場合は、適切なルーティングを確保するために、そのパブリック IP アドレス範囲を VPC のユーザー定義 CIDR ブロックとして設定してください。ユーザー定義 CIDR ブロックの詳細については、「VPC FAQ」および「VPC FAQ」をご参照ください。 SSL サーバーを作成すると、システムはクライアント CIDR ブロックのルートを VPC のルートテーブルに自動的に追加します。このルートを手動で追加しないでください。そうしないと、SSL-VPN トラフィックが正常に転送されない可能性があります。
   [高度な構成]
   [プロトコル]	SSL-VPN 接続のプロトコル。有効な値： UDP TCP (デフォルト)
   [ポート]	SSL サーバーが使用するポート。有効な値： 1～65535。 デフォルト値： 1194。 説明 次のポートはサポートされていません： 22、2222、22222、9000、9001、9002、7505、80、443、53、68、123、4510、4560、500、4500。
   [暗号化アルゴリズム]	SSL-VPN 接続の暗号化アルゴリズム。 クライアントが Tunnelblick または OpenVPN 2.4.0 以降を使用している場合、SSL サーバーとクライアントは暗号化アルゴリズムを動的にネゴシエートします。ネゴシエーションでは、サーバーとクライアントの両方でサポートされている最も安全なアルゴリズムが優先されます。この場合、SSL サーバーに指定した暗号化アルゴリズムは適用されません。 クライアントが OpenVPN 2.4.0 より前のバージョンを使用している場合、SSL サーバーとクライアントは、SSL サーバーに指定した暗号化アルゴリズムを使用します。SSL サーバーは、次の暗号化アルゴリズムをサポートしています： AES-128-CBC (デフォルト) AES-192-CBC AES-256-CBC none 暗号化を無効にします。
   [圧縮の有効化]	SSL-VPN 接続上のデータを圧縮するかどうかを指定します。有効な値： [はい] [いいえ] (デフォルト)
   [2 要素認証]	二要素認証を有効にするかどうかを指定します。デフォルトでは無効です。 二要素認証は、クライアントに 2 つの認証方法 (デフォルトの SSL クライアント証明書認証と IDaaS EIAM インスタンスを利用したユーザー名とパスワードによる認証) を要求することで、SSL-VPN 接続に第 2 のセキュリティ層を追加します。これにより、ID 盗難や不正な接続から保護し、VPC 内の機密データを保護します。チュートリアルについては、「SSL-VPN の二要素認証」をご参照ください。 この機能を有効にする場合は、認証用として IDaaS EIAM インスタンスと IDaaS アプリケーション ID を選択する必要があります。 クリックして二要素認証のプロセスを表示 クライアントが SSL-VPN 接続要求を開始します。 証明書を検証した後、VPN Gateway インスタンスはクライアントにユーザー名とパスワードの入力を求めます。 クライアントでユーザー名とパスワードを入力すると、VPN ソフトウェアは資格情報を VPN Gateway インスタンスに送信します。 VPN Gateway インスタンスは、認証のため資格情報を IDaaS に転送します。 IDaaS はユーザー名とパスワードを認証し、結果を VPN Gateway インスタンスに返します。 IDaaS からの結果に基づいて、VPN Gateway インスタンスは SSL-VPN 接続を許可または拒否します。 説明 初めて二要素認証を使用する場合は、まず必要な権限を付与する必要があります。詳細については、「承認」をご参照ください。 UAE (ドバイ) リージョンで SSL サーバーを作成する場合、リージョン間のレイテンシを削減するために、シンガポールリージョンの IDaaS EIAM 2.0 インスタンスをバインドすることを推奨します。 IDaaS EIAM 1.0 インスタンスは現在購入できません。Alibaba Cloud アカウントに IDaaS EIAM 1.0 インスタンスをお持ちの場合、二要素認証を有効にした後でもそのインスタンスをバインドできます。 Alibaba Cloud アカウントに IDaaS EIAM 1.0 インスタンスをお持ちでない場合は、IDaaS EIAM 2.0 インスタンスのみをバインドできます。 IDaaS EIAM 2.0 インスタンスをバインドする場合、VPN Gateway インスタンスのアップグレードが必要になることがあります。詳細については、「[変更通知] SSL-VPN の二要素認証が IDaaS EIAM 2.0 をサポート」をご参照ください。
   [カスタムクライアント DNS]	有効にすると、すべてのクライアントの DNS 設定を一元的に構成できます。この機能は一部のリージョンでのみ利用可能です。詳細については、「クライアントの DNS 設定の構成」をご参照ください。

次のステップ

SSL サーバーを作成した後、SSL クライアント証明書を作成してダウンロードします。クライアント認証とデータ暗号化のために、クライアントデバイスに証明書をインストールします。詳細については、「SSL クライアント証明書の作成と管理」をご参照ください。