このトピックでは、IPsec-VPN 接続と Express Connect 回線を使用して、オンプレミスデータセンター (IDC) から Alibaba Cloud へのアクティブ/スタンバイ接続を確立する方法について説明します。この構成により、オンプレミス IDC と仮想プライベートクラウド (VPC) 間の通信が可能になります。
シナリオの説明
このトピックでは、以下の図に示すシナリオを例に、IPsec-VPN 接続と Express Connect 回線を使用して Alibaba Cloud へのアクティブ/スタンバイ接続を確立する方法を説明します。ある企業は中国 (杭州) リージョンにオンプレミス IDC を有し、同リージョン内の VPC1 にサービスをデプロイしています。VPC1 には、Elastic Compute Service (ECS) インスタンスなどのクラウドプロダクト上にアプリケーションおよびデータ分析サービスがデプロイされており、業務連携およびデータ分析に使用されています。この企業は、オンプレミス IDC と VPC1 を接続するためにアクティブ/スタンバイリンクを構築する必要があります。各リンクは以下のとおりです。
Express Connect 回線をプライマリリンクとして使用します。オンプレミス IDC は、Express Connect 回線およびトランジットルーターを経由して VPC1 に接続されます。
VPN Gateway をスタンバイリンクとして使用します。VPN Gateway は別の VPC (VPC2) に関連付けられています。VPC2 にはサービスはデプロイされておらず、オンプレミス IDC とクラウド間の IPsec-VPN 接続を確立するためのトランジット VPC としてのみ機能します。オンプレミス IDC は、IPsec-VPN 接続およびトランジットルーターを経由して VPC1 に接続されます。
Express Connect 回線および IPsec-VPN 接続の両方が正常に動作している場合、トランジットルーターは両方の接続からオンプレミス IDC の CIDR ブロックを学習します。デフォルトでは、Express Connect 回線から学習したルートの方が、IPsec-VPN 接続から学習したルートよりも優先度が高くなります。そのため、VPC1 内のインスタンスからオンプレミス IDC へのトラフィックは、デフォルトで Express Connect 回線を経由します。
Express Connect 回線に異常が発生すると、Express Connect 回線から学習したルートは自動的に取り消されます。その結果、IPsec-VPN 接続から学習したルートが有効になり、VPC1 内のインスタンスからオンプレミス IDC へのトラフィックは IPsec-VPN 接続を経由するようになります。Express Connect 回線が回復すると、VPC1 内のインスタンスからオンプレミス IDC へのトラフィックは再び Express Connect 回線を経由し、IPsec-VPN 接続はスタンバイリンクとして復元されます。
事前準備
オンプレミス IDC およびネットワークインスタンスのルーティング可能プロトコルを計画します。このトピックでは、以下のプロトコル計画を使用します。
IDC 内のオンプレミスゲートウェイデバイスと VPN Gateway 間に静的ルートを設定します。
IDC 内のオンプレミスゲートウェイデバイスと仮想ボーダールータ (VBR) 間にボーダーゲートウェイプロトコル (BGP) 動的ルーティングプロトコルを使用します。
説明Express Connect 回線のスタンバイ接続として VPN Gateway を使用するシナリオでは、VBR は BGP 動的ルーティングプロトコルを使用する必要があります。一方、VPN Gateway は静的ルートまたは BGP 動的ルーティングプロトコルのいずれかを使用できます。
オンプレミス IDC およびネットワークインスタンスの CIDR ブロックを計画します。CIDR ブロックが重複しないようにしてください。このトピックでは、以下の CIDR ブロック計画を使用します。
パラメーター
CIDR ブロック計画
IP アドレス
VPC1
192.168.0.0/16
ECS インスタンスアドレス：192.168.20.161
VPC2
10.0.0.0/16
該当なし
VBR
10.1.0.0/30
VLAN ID：0
Alibaba Cloud 側ピア IPv4：10.1.0.1/30
お客様側ピア IPv4：10.1.0.2/30
このトピックでは、「お客様側」とは IDC 内のオンプレミスゲートウェイデバイスを指します。
オンプレミス IDC
172.16.0.0/16
クライアントアドレス：172.16.1.188
IDC 内のオンプレミスゲートウェイデバイス
10.1.0.0/30
パブリック IP アドレス：211.XX.XX.68
Express Connect 回線に接続されたポートの IP アドレス：10.1.0.2/30
BGP 自律システム番号：65530
中国 (杭州) リージョンに VPC1 および VPC2 を作成済みである必要があります。VPC1 にはアプリケーションおよびデータ分析サービスがデプロイされており、VPC2 にはサービスはデプロイされていません。VPC2 は VPN Gateway に関連付けられており、オンプレミス IDC とクラウド間の VPN 接続を確立するためのトランジット VPC として機能します。詳細については、「VPC の作成と管理」をご参照ください。
IDC 内のオンプレミスゲートウェイデバイスが標準的な IKEv1 および IKEv2 プロトコルをサポートしていることを確認してください。これは、デバイスが Alibaba Cloud の VPN Gateway に接続するために必要です。デバイスが標準的な IKEv1 および IKEv2 プロトコルをサポートしているかどうかは、ゲートウェイデバイスのベンダーにお問い合わせください。
オンプレミスゲートウェイデバイスに固定パブリック IP アドレスを設定しました。
VPC1 内の ECS インスタンスに適用されているセキュリティグループルールに精通している必要があります。これらのルールがオンプレミス IDC からの ECS インスタンスへのアクセスを許可していることを確認してください。詳細については、「セキュリティグループルールの照会」および「セキュリティグループルールの追加」をご参照ください。
手順 1：Express Connect 回線のデプロイ
Express Connect 回線を作成します。
中国 (杭州) リージョンで Express Connect 回線を申請します。詳細については、「専用接続の申請」または「共有 Express Connect 回線への接続手順」をご参照ください。
VBR を作成します。
Express Connect コンソール にログインします。
左側のナビゲーションウィンドウで、[仮想ボーダールーター (VBR)] をクリックします。
上部のナビゲーションバーで、VBR を作成するリージョンを選択します。
この例では、中国 (杭州) リージョンを使用します。
[仮想ボーダールーター (VBR)] ページで、[VBR の作成] をクリックします。
VBR の作成 パネルで、パラメーターを設定し、OK をクリックします。
現在のアカウント: [現在のアカウント] を選択します。
名前：VBR と入力します。
[物理接続インターフェイス]：申請した Express Connect 回線を選択します。
[VLAN ID]：0 と入力します。
VBR 帯域幅値の設定：VBR インスタンスの帯域幅上限を選択します。
[Alibaba Cloud 側 IPv4]：10.1.0.1 と入力します。
[お客様側 IPv4]：10.1.0.2 と入力します。
[IPv4 サブネットマスク]：255.255.255.252 と入力します。
BGP グループを設定します。
[仮想ボーダールーター (VBR)] ページで、対象の VBR ID をクリックします。
詳細ページで、[BGP グループ] タブをクリックします。
BGP グループの作成 をクリックし、BGP グループを設定して、OK をクリックします。
名前：BGP グループの名前を入力します。この例では、test と入力します。
[ピア AS 番号]：オンプレミス IDC 内のゲートウェイデバイスの自律システム (AS) 番号です。この例では、65530 と入力します。
[BGP キー]：BGP グループのキーです。この例では、このパラメーターは設定しません。
説明：BGP グループの説明を入力します。この例では、test と入力します。
BGP ピアを設定します。
VBR 詳細ページで、[BGP ピア] タブをクリックします。
[BGP ピア] タブで、[BGP ピアの作成] をクリックします。
BGP ピアの作成 パネルで、BGP ピアを設定し、OK をクリックします。
[BGP グループ]：BGP ピアを追加する BGP グループを選択します。この例では、作成した BGP グループを選択します。
[BGP ピア IP]：BGP ピアの IP アドレスです。この例では、10.1.0.2 と入力します。これは、オンプレミスゲートウェイデバイス上のポートの IP アドレスです。
手順 2：VPN Gateway のデプロイ
VPN Gateway を作成します。
VPN Gateway コンソール にログインします。
上部のナビゲーションバーで、中国 (杭州) リージョンを選択します。
VPN Gateway ページで、VPN Gateway の作成 をクリックします。
購入ページで、VPN Gateway を設定し、[今すぐ購入] をクリックして、支払いを完了します。
[インスタンス名]：VPN Gateway インスタンスの名前を入力します。
[リージョン]：VPN Gateway のリージョンを選択します。
この例では、VPN Gateway は VPC2 に関連付けられています。VPC2 と VPN Gateway が同じリージョンにあることを確認してください。この例では、中国 (杭州) を使用します。
[ゲートウェイタイプ]：作成する VPN Gateway のタイプを選択します。この例では、標準 を使用します。
[ネットワークタイプ]：VPN Gateway インスタンスのネットワークタイプを選択します。この例では、[パブリック] を使用します。
[トンネル]：現在のリージョンでサポートされている IPsec-VPN 接続のトンネルモードが表示されます。
[VPC]：接続先の VPC を選択します。この例では、VPC2 を使用します。
[vSwitch 1]：VPC インスタンスから vSwitch を選択します。
IPsec-VPN 接続のトンネルモードがシングルトンネルの場合、vSwitch を 1 つだけ指定する必要があります。
IPsec-VPN 接続のトンネルモードがデュアルトンネルの場合、vSwitch を 2 つ指定する必要があります。
IPsec-VPN 機能を有効にすると、システムは 2 つの vSwitch のそれぞれにエラスティックネットワークインターフェース (ENI) を作成します。これらの ENI は、IPsec-VPN 接続と VPC 間のトラフィック用インターフェースとして使用されます。各 ENI は、その vSwitch 内の IP アドレスを 1 つ占有します。
説明デフォルトでは、システムが最初の vSwitch を自動的に選択します。手動で vSwitch を変更することも、デフォルトのまま使用することもできます。
VPN Gateway インスタンスを作成した後は、関連付けられた vSwitch を変更することはできません。VPN Gateway インスタンスの詳細ページで、関連付けられた vSwitch、それらが存在するゾーン、および vSwitch 内の ENI の情報を確認できます。
VSwitch 2：VPC インスタンスから 2 番目の vSwitch を選択します。
IPsec-VPN 接続のトンネルモードがシングルトンネルの場合、このパラメーターを設定する必要はありません。
[ピーク帯域幅]：VPN Gateway の帯域幅を選択します。これは、VPN Gateway のパブリック帯域幅です。
[トラフィック]：デフォルトでは、VPN Gateway はトラフィック課金方式を使用します。詳細については、「課金」をご参照ください。
[IPsec-VPN]：IPsec-VPN 機能を有効にするかどうかを選択します。IPsec-VPN 機能は、オンプレミス IDC と VPC 間、または異なる VPC 間の接続に使用できます。この例では、[有効] を使用します。
[SSL-VPN]：SSL-VPN 機能を有効にするかどうかを選択します。SSL-VPN 機能を使用すると、任意の場所から単一のコンピューターで VPC に接続できます。この例では、[無効] を使用します。
[サブスクリプション期間]：デフォルトでは、VPN Gateway は時間単位で課金されます。
[サービスリンクロール]：[サービスリンクロールの作成] をクリックします。システムが自動的にサービスリンクロール AliyunServiceRoleForVpn を作成します。
詳細については、「AliyunServiceRoleForVpn」をご参照ください。この設定項目が [作成済み] と表示されている場合、すでにアカウントに対してロールが作成されており、再度作成する必要はありません。
VPN Gateway ページに戻ります。作成した VPN Gateway を確認し、そのパブリック IP アドレスを記録します。この IP アドレスは、後ほどオンプレミス IDC のルート設定に使用します。
新しく作成された VPN Gateway は、準備中 状態になります。約 1～5 分後に、正常 状態になります。正常 状態は、VPN Gateway が初期化され、使用可能な状態であることを示します。
カスタマーゲートウェイを作成します。
左側のナビゲーションウィンドウで、 を選択します。
カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。
カスタマーゲートウェイの作成 パネルで、カスタマーゲートウェイを設定し、OK をクリックします。
名前：カスタマーゲートウェイの名前を入力します。
IP アドレス：VPC2 が接続するオンプレミス IDC 内のゲートウェイデバイスのパブリック IP アドレスを入力します。この例では、211.XX.XX.68 と入力します。
ASN：オンプレミスゲートウェイデバイスの自律システム番号です。この例では、このパラメーターを設定する必要はありません。
説明：カスタマーゲートウェイの説明を入力します。
IPsec-VPN 接続を作成します。
左側のナビゲーションウィンドウで、 に移動します。
IPsec 接続 ページで、[VPN Gateway のバインド] をクリックします。
[IPsec-VPN 接続の作成] ページで、IPsec-VPN 接続を設定し、OK をクリックします。
[IPsec 接続名]：IPsec-VPN 接続の名前を入力します。
[リージョン]：IPsec-VPN 接続をアタッチする VPN Gateway インスタンスのリージョンを選択します。
[VPN Gateway のアタッチ]：作成した VPN Gateway を選択します。
ルーティングモード：ルーティングモードを選択します。この例では、[宛先ベースのルーティングモード] を使用します。
今すぐ有効化：接続のネゴシエーションを即座に開始するかどうかを選択します。この例では、いいえ を使用します。
はい：設定完了後、すぐにネゴシエーションが開始されます。
いいえ：トラフィックが検出されたときにネゴシエーションが開始されます。
カスタマーゲートウェイ：作成したカスタマーゲートウェイを選択します。
事前共有鍵：共有鍵を入力します。オンプレミスゲートウェイデバイスの事前共有鍵は、この値と同じである必要があります。この例では、デフォルトのランダムに生成された値を使用します。
[暗号化設定]：この例では、IKEv1 を使用します。その他のオプションはデフォルト設定を使用します。
詳細については、「シングルトンネルモードでの IPsec-VPN 接続の作成」をご参照ください。
VPN Gateway のルートを設定します。
オンプレミスの IDC に向けて、VPN Gateway から VPC2 へのルートをアドバタイズする必要があります。
IPsec-VPN 接続を作成した後、[作成済み] ダイアログボックスで [OK] をクリックし、VPN Gateway インスタンスからルートをアドバタイズします。
左側のナビゲーションウィンドウで、 を選択します。
VPN Gateway ページで、対象の VPN Gateway を見つけ、その ID をクリックします。
宛先ベースルーティング タブで、ルートエントリの追加 をクリックします。
ルートエントリの追加 パネルで、宛先ベースルートを設定し、OK をクリックします。
宛先 CIDR ブロック：オンプレミス IDC の CIDR ブロックを入力します。この例では、172.16.0.0/16 と入力します。
ネクストホップの種類：IPsec-VPN 接続 を選択します。
ネクストホップ：作成した IPsec-VPN 接続インスタンスを選択します。
VPC への公開：新しいルートを VPC2 のルートテーブルにアドバタイズするかどうかを選択します。この例では、はい を使用します。
重み：ルートの重みを選択します。この例では、デフォルト値の 100 を使用します。これは、高い優先度を示します。
説明VPN Gateway に宛先 CIDR ブロックが同一の宛先ベースルートが複数存在する場合、両方のルートの重みを 100 に設定することはできません。
VPN 設定をオンプレミスゲートウェイデバイスに読み込みます。
左側のナビゲーションウィンドウで、 に移動します。
IPsec 接続 ページで、対象の IPsec-VPN 接続を見つけ、操作 列の ピア設定の生成 をクリックします。
ダウンロードした設定を、オンプレミスゲートウェイデバイスの設定要件に基づいてデバイスに追加します。詳細については、「オンプレミスゲートウェイデバイス設定の例」をご参照ください。
手順 3：CEN の設定
VBR および VPN Gateway を設定した後、VPC1、VPC2、および VBR をトランジットルーターに接続する必要があります。トランジットルーターにより、オンプレミス IDC と VPC1 間の通信が可能になります。
CEN インスタンスを作成します。[CEN インスタンスのみ作成] を選択します。
トランジットルーターインスタンスを作成します。
インスタンス ページで、対象の CEN インスタンスを見つけ、その ID をクリックします。
タブで、トランジットルーターの作成 をクリックします。
トランジットルーターの作成 ダイアログボックスで、トランジットルーターインスタンスを設定し、OK をクリックします。
次の表の情報に基づき、中国 (杭州) にトランジットルーターインスタンスを作成します。
設定項目
説明
中国 (杭州)
リージョン
トランジットルーターインスタンスが存在するリージョンを選択します。
この例では、中国 (杭州) リージョンを使用します。
エディション
トランジットルーターインスタンスのエディションです。
システムが自動的に現在のリージョンにおけるトランジットルーターインスタンスのエディションを判定・表示します。
[マルチキャストの有効化]
トランジットルーターインスタンスのマルチキャスト機能を有効にするかどうかを選択します。
この例では、マルチキャスト機能を有効にしないデフォルト値を使用します。
名前
トランジットルーターインスタンスの名前を入力します。
トランジットルーターインスタンスのカスタム名を入力します。
説明
トランジットルーターインスタンスの説明を入力します。
トランジットルーターインスタンスのカスタム説明を入力します。
TR アドレスセグメント
トランジットルーターの CIDR ブロックを入力します。
詳細については、「トランジットルーターの CIDR ブロック」をご参照ください。
この例では、トランジットルーターの CIDR ブロックを指定しません。
VPC1 および VPC2 をトランジットルーターに接続します。
インスタンス ページで、対象の CEN インスタンスを見つけ、その ID をクリックします。
タブで、中国 (杭州) リージョンのトランジットルーターインスタンスを見つけ、アクション 列の 接続の作成 をクリックします。
ピアネットワークインスタンスとの接続 ページで、パラメーターを設定し、OK をクリックします。
次の表に、VPC1 および VPC2 の設定項目とパラメーター値を示します。この表のデータを使用して、VPC1 および VPC2 をトランジットルーターインスタンスに接続します。
説明VPC インスタンスを初めて接続する際、システムは自動的に AliyunServiceRoleForCEN という名前のサービスリンクロールを作成します。このロールにより、トランジットルーターインスタンスが VPC 内の vSwitch 上に ENI を作成できるようになります。詳細については、「AliyunServiceRoleForCEN」をご参照ください。
パラメーター
説明
VPC1
VPC2
ネットワークタイプ
接続するネットワークインスタンスのタイプを選択します。
仮想プライベートクラウド (VPC)
仮想プライベートクラウド (VPC)
リージョン
接続するネットワークインスタンスが存在するリージョンを選択します。
中国 (杭州)
中国 (杭州)
トランジットルーター
システムが自動的に、そのリージョンで作成されたトランジットルーターインスタンスの ID を表示します。
リソース所有者 ID
接続するネットワークインスタンスが属するアカウントタイプを選択します。
現在のアカウント
現在のアカウント
課金方法
デフォルト値は 従量課金 です。
課金ルールの詳細については、「課金」をご参照ください。
接続名
ネットワークインスタンス接続の名前を入力します。
VPC1-test
VPC2-test
ネットワーク
接続するネットワークインスタンスを選択します。
VPC1 を選択します
VPC2 を選択します
VSwitch
トランジットルーターがサポートするゾーン内の vSwitch を選択します。
トランジットルーターが現在のリージョンで 1 つのゾーンのみをサポートしている場合、そのゾーン内の vSwitch を選択する必要があります。
トランジットルーターが現在のリージョンで複数のゾーンをサポートしている場合、少なくとも 2 つの異なるゾーン内の vSwitch を選択する必要があります。これにより、VPC とトランジットルーター間のトラフィックに対してゾーン間ディザスタリカバリが提供されます。
各ゾーン内で vSwitch を選択することで、トラフィックの迂回や伝送遅延を削減し、パフォーマンスを向上させることができます。
選択した各 vSwitch に空き IP アドレスがあることを確認してください。 VPC にトランジットルーターがサポートするゾーン内に vSwitch がない場合、または vSwitch に空き IP アドレスがない場合は、vSwitch を作成する必要があります。詳細については、「vSwitch の作成と管理」をご参照ください。
詳細については、「VPC 接続の作成」をご参照ください。
中国 (杭州) リージョンのゾーン H およびゾーン I にそれぞれ 1 つの vSwitch を選択します。
中国 (杭州) リージョンのゾーン H およびゾーン I にそれぞれ 1 つの vSwitch を選択します。
詳細設定
VPC1 および VPC2 の両方について、デフォルト設定を維持します。つまり、すべての詳細設定項目が選択された状態になります。
VBR インスタンスをトランジットルーターに接続します。
インスタンス ページで、対象の CEN インスタンスを見つけ、その ID をクリックします。
タブで、[中国 (杭州)] リージョンでトランジットルーターインスタンスを見つけ、アクション 列の 接続の作成 をクリックします。
ピアネットワークインスタンスとの接続 ページで、パラメーターを設定し、OK をクリックします。
ネットワークタイプ：仮想ボーダールーター (VBR) を選択します。
リージョン：接続するネットワークインスタンスが存在するリージョンを選択します。この例では、中国 (杭州) を使用します。
トランジットルーター：システムが自動的に、現在のリージョンで作成されたトランジットルーターインスタンスの ID を表示します。
リソース所有者 ID：接続するネットワークインスタンスが属するアカウントタイプを選択します。この例では、デフォルト値の 現在のアカウント を使用します。
接続名：ネットワークインスタンス接続の名前を入力します。この例では、VBR と入力します。
ネットワーク：接続するネットワークインスタンスの ID を選択します。この例では、VBR インスタンスを使用します。
詳細設定：デフォルト設定を維持します。つまり、すべての詳細設定項目が選択された状態になります。
オンプレミス IDC 用の VPC2 から CEN へのルートをアドバタイズします。
VPN Gateway から VPC2 へのオンプレミス IDC 用のルートをアドバタイズした後、VPC2 内でのそのルートのステータスはデフォルトで [未アドバタイズ] になります。トランジットルーターが VPC2 からもオンプレミス IDC へのルートを学習できるようにするには、VPC2 から CEN へのルートを手動でアドバタイズする必要があります。
Cloud Enterprise Network コンソール にログインします。
インスタンス ページで、対象の CEN インスタンスを見つけ、その ID をクリックします。
CEN インスタンスの詳細ページで、中国 (杭州) リージョンのトランジットルーターインスタンスを見つけ、その ID をクリックします。
トランジットルーターインスタンスの詳細ページで、ルーティング情報 タブをクリックします。
ルーティング情報 タブで、VPC2 ネットワークインスタンスのルートエントリを表示するように選択します。オンプレミス IDC へのルートを見つけ、[アドバタイズステータス] 列の [アドバタイズ] をクリックします。
PublishRoute ダイアログボックスで、[OK] をクリックします。
手順 4：オンプレミスゲートウェイデバイスの設定
以下のサンプル設定は参考用です。コマンドはデバイスベンダーによって異なる場合があります。詳細については、デバイスベンダーにお問い合わせください。
#BGP を設定し、VBR との BGP ピア接続を確立し、オンプレミス IDC のプライベート CIDR ブロックをクラウドにアドバタイズします。
interface GigabitEthernet 0/12 #これは、オンプレミスゲートウェイデバイスを Express Connect 回線に接続するポートです。
no switchport
ip address 10.1.0.2 255.255.255.252 #ポートの IP アドレスです。この IP アドレスは、VBR のお客様側ピア IPv4 アドレスと同じである必要があります。
router bgp 65530
bgp router-id 10.1.0.2
network 172.16.0.0 mask 255.255.0.0 #オンプレミス IDC のプライベート CIDR ブロックをアドバタイズします。
neighbor 10.1.0.1 remote-as 45104 #VBR との BGP ピア接続を確立します。
exit
#VPN Gateway 経由で VPC1 への静的ルートを設定し、その優先度を BGP ルートより低く設定します。
ip route 192.168.0.0 255.255.0.0 <Public IP address of the VPN Gateway> preference 255
手順 5：接続のテスト
オンプレミス IDC で、クライアントのコマンドラインウィンドウを開きます。
pingコマンドを実行し、VPC1 の 192.168.0.0/16 CIDR ブロック内の ECS インスタンスの IP アドレスにアクセスします。応答メッセージが返された場合、オンプレミス IDC が VPC1 に接続されています。オンプレミスゲートウェイデバイスで、Express Connect 回線に接続されているポートをシャットダウンして回線を切断します。クライアントで再度
pingコマンドを実行し、オンプレミス IDC と VPC1 間の接続性をテストします。応答メッセージが返された場合、スタンバイ VPN リンクがアクティブになっています。