SSL サーバーは、クライアントが SSL-VPN を介してアクセスできるネットワークとリソースを定義します。SSL-VPN を使用する前に、SSL サーバーを作成してください。
前提条件
SSL-VPN が有効化された VPN Gateway インスタンス。VPN Gateway インスタンスの作成と管理をご参照ください。
ゲートウェイの作成時に SSL-VPN を有効にしていない場合は、後で SSL-VPN 機能を有効化できます。
SSL サーバーの作成
VPN Gateway コンソールにログインします。
左側のナビゲーションペインで、ネットワーク相互接続 > [VPN] > SSL サーバー を選択します。
上部メニューで、SSL サーバーを作成するリージョンを選択します。
SSL サーバーは、関連付けられた VPN Gateway インスタンスと同じリージョンに存在する必要があります。
SSL サーバー ページで、SSLサーバーの作成 をクリックします。
SSLサーバーの作成 パネルで、次のパラメーターを設定し、OK をクリックします。
パラメータ
説明
[名前]
SSL サーバーの名前を入力します。
[リソースグループ]
VPN Gateway インスタンスのリソースグループを選択します。
SSL サーバーは、ゲートウェイと同じリソースグループに追加されます。
SSL-VPN 接続のアクセス範囲は、ローカルネットワーク (VPC CIDR ブロックに基づく) によって決定され、リソースグループとは無関係です。同じ VPC 内のリソースは、所属するリソースグループに関係なく、SSL-VPN 経由でアクセスできます。
[VPN Gateway]
VPN Gateway インスタンスを選択します。
選択したインスタンスは、SSL-VPN が有効化されている必要があります。
[ローカルネットワーク]
クライアントが SSL-VPN 接続経由でアクセスできる CIDR ブロックです。
ローカルネットワークには、VPC の CIDR ブロック、vSwitch、Express Connect 経由で VPC に接続されたオンプレミスデータセンター、または Object Storage Service (OSS) や ApsaraDB RDS などのクラウドサービスを指定できます。
ローカルネットワークセグメントを追加する。 をクリックして、複数の CIDR ブロックを追加します。最大 5 つのローカルネットワークを追加できます。次の IP アドレス範囲はサポートされていません。
127.0.0.0 ～ 127.255.255.255
169.254.0.0 ～ 169.254.255.255
224.0.0.0 ～ 239.255.255.255
255.0.0.0 ～ 255.255.255.255
説明ローカルネットワークのサブネットマスクは、8 ～ 32 ビットの長さである必要があります。
[クライアント CIDR ブロック]
VPN Gateway がクライアントにアドレスを割り当てる IP アドレスプールです。クライアントのプライベート CIDR ブロックではありません。
クライアント CIDR ブロックは、VPN Gateway インスタンスがサポートする最大同時 SSL 接続数の少なくとも 4 倍の IP アドレスを提供する必要があります。
重要クライアント CIDR ブロックのサブネットマスクは、16 ～ 29 ビットの長さである必要があります。
クライアント CIDR ブロックは、ローカルネットワーク、VPC CIDR ブロック、またはクライアントでルーティングされる CIDR ブロックと重複してはなりません。
10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 などのプライベート CIDR ブロック、またはそのサブネットを使用してください。パブリック IP 範囲を使用する場合は、適切なルーティングのために VPC でユーザー定義 CIDR ブロックとして設定してください。VPC FAQ および VPC FAQ をご参照ください。
SSL サーバーを作成すると、システムはクライアント CIDR ブロックのルートを VPC ルートテーブルに追加します。このルートを手動で追加しないでください。SSL-VPN トラフィックが中断される可能性があります。vSwitch がカスタムルートテーブルに関連付けられている場合、システムはクライアント CIDR ブロックのルートをそのカスタムルートテーブルに自動的に追加しません。宛先 CIDR ブロックがクライアント CIDR ブロックで、ネクストホップが VPN Gateway であるルートエントリを手動で追加する必要があります。そうしないと、カスタムルートテーブルに関連付けられた CIDR ブロック内のホストは、SSL-VPN クライアントと通信できません。
[高度な構成]
[プロトコル]
SSL-VPN 接続のプロトコルです。有効な値：
UDP
TCP (デフォルト)
[ポート]
SSL サーバーが使用するポートです。有効な値：1 ～ 65535。デフォルト値：1194。
説明以下のポートはサポートされていません：22、2222、22222、9000、9001、9002、7505、80、443、53、68、123、4510、4560、500、および 4500。
[暗号化アルゴリズム]
SSL-VPN 接続の暗号化アルゴリズムです。
クライアントが Tunnelblick または OpenVPN 2.4.0 以降を実行している場合、サーバーとクライアントは暗号化アルゴリズムを動的にネゴシエートし、相互にサポートされている最も安全なオプションを優先します。ここで指定されたアルゴリズムは有効になりません。
クライアントが OpenVPN 2.4.0 より前のバージョンを実行している場合、指定されたアルゴリズムが使用されます。サポートされているアルゴリズム：
AES-128-CBC (デフォルト)
AES-192-CBC
AES-256-CBC
none
暗号化を無効にします。
[圧縮の有効化]
SSL-VPN トラフィックを圧縮するかどうかを指定します。有効な値：
[はい]
[いいえ] (デフォルト)
[2 要素認証]
二要素認証を有効にするかどうかを指定します。デフォルトでは無効です。
二要素認証では、クライアントが SSL 証明書検証と IDaaS EIAM インスタンスによるユーザー名/パスワード認証の両方に合格する必要があります。SSL-VPN 二要素認証をご参照ください。
有効にした場合、認証用の IDaaS EIAM インスタンスとアプリケーション ID を選択します。
クライアントが SSL-VPN 接続リクエストを開始します。
証明書を検証した後、VPN Gateway インスタンスはクライアントにユーザー名とパスワードの入力を求めます。
クライアントでユーザー名とパスワードを入力すると、VPN ソフトウェアは認証情報を VPN Gateway インスタンスに送信します。
VPN Gateway インスタンスは、認証情報を IDaaS に転送して認証を行います。
IDaaS はユーザー名とパスワードを認証し、結果を VPN Gateway インスタンスに返します。
IDaaS からの結果に基づいて、VPN Gateway インスタンスは SSL-VPN 接続を許可または拒否します。
説明初めて使用する場合は、[Authorization] パネルで必要な権限を付与してください。
UAE (ドバイ) リージョンで SSL サーバーを作成する場合は、クロスリージョンレイテンシーを削減するために、シンガポールリージョンの IDaaS EIAM 2.0 インスタンスをバインドしてください。
IDaaS EIAM 1.0 インスタンスは購入できなくなりました。アカウントに存在する場合は、二要素認証を有効にした後でもバインドできます。
アカウントに IDaaS EIAM 1.0 インスタンスが存在しない場合、IDaaS EIAM 2.0 インスタンスのみをバインドできます。
IDaaS EIAM 2.0 インスタンスをバインドするには、VPN Gateway のアップグレードが必要な場合があります。[変更通知] SSL-VPN 二要素認証が IDaaS EIAM 2.0 をサポートをご参照ください。
[カスタムクライアント DNS]
すべてのクライアントの DNS 設定を一元的に構成します。一部のリージョンでのみ利用可能です。クライアントの DNS 設定の構成をご参照ください。
次のステップ
SSL サーバーを作成した後、クライアント接続を認証および暗号化するために、SSL クライアント証明書を作成してダウンロードします。SSL クライアント証明書の作成と管理をご参照ください。
SSL サーバーの変更
SSL サーバーは作成後に変更できます。一部の変更では、新しい SSL クライアント証明書のダウンロードまたは接続の再確立が必要になります。
SSL サーバーの 高度な構成 セクションで プロトコル、圧縮の有効化、または 2 要素認証 の設定を変更した場合、その SSL サーバーに関連付けられている SSL クライアント証明書は無効になります。新しい SSL クライアント証明書を作成し、新しい証明書をクライアントにインストールしてから、SSL-VPN 接続を再開する必要があります。
ローカルネットワーク または クライアント CIDR ブロック を変更すると、SSL サーバー上のすべてのアクティブな SSL-VPN 接続が切断されます。クライアントは接続を再確立する必要があります。
VPN Gateway コンソールにログインします。
左側のナビゲーションペインで、ネットワーク相互接続 > [VPN] > SSL サーバーを選択します。
上部メニューで、SSL サーバーのリージョンを選択します。
SSL サーバー ページで、変更する SSL サーバーを探し、操作 列の 編集 をクリックします。
SSL サーバーの編集 パネルで、名前、ローカルネットワーク、クライアント CIDR ブロック、または詳細設定を変更し、OK をクリックします。
SSL サーバーの削除
SSL サーバーを削除すると、関連付けられているすべての SSL クライアント証明書も削除され、すべてのアクティブなクライアント接続が直ちに終了します。
VPN Gateway コンソールにログインします。
左側のナビゲーションウィンドウで、ネットワーク相互接続 > VPN > SSL サーバー を選択します。
上部メニューで、SSL サーバーのリージョンを選択します。
SSL サーバー ページで、削除する SSL サーバーを見つけ、操作 列の 削除 をクリックします。
「確認」ダイアログボックスで情報を確認し、削除 をクリックします。
API を使用した SSL サーバーの管理
Alibaba Cloud SDK (推奨)、Alibaba Cloud CLI、Terraform、および Resource Orchestration Service (ROS) を使用して、SSL サーバーをプログラムで管理します。API 操作：