Elastic Desktop Service:IPsec-VPN 経由でのクラウドコンピューターへのプライベートアクセス

前提条件

開始する前に、「クラウドコンピューターへのプライベート接続の概要」を読み、以下の前提条件を満たしてください。

• Cloud Enterprise Network (CEN) インスタンスを作成します。詳細については、「CEN インスタンスの作成」をご参照ください。

• Virtual Private Cloud (VPC) インスタンスを作成し、その VPC インスタンスを Cloud Enterprise Network に追加します。詳細については、「VPC と vSwitch の作成」または「ネットワークインスタンスを CEN にすばやく追加」をご参照ください。

• オフィスネットワークを作成し、その VPC を Cloud Enterprise Network に追加します。詳細については、「簡便アカウントを使用するオフィスネットワークの作成と管理」または「エンタープライズ AD アカウントを使用するオフィスネットワークの作成と管理」をご参照ください。

  重要

  • 新しい オフィスネットワーク、Cloud Enterprise Network 内の既存ネットワーク、およびオンプレミスデータセンター間の IP アドレスの競合を防ぐため、オフィスネットワークを作成する前に IPv4 CIDR ブロックを計画してください。詳細については、「CIDR ブロックの計画」をご参照ください。

  • 既存の簡便な オフィスネットワークがある場合は、それを Cloud Enterprise Network に追加する必要があります。

  • AD が Elastic Compute Service (ECS) インスタンスにデプロイされている場合は、AD サーバーを含む VPC を Cloud Enterprise Network に追加する必要があります。AD がオンプレミスサーバーにデプロイされている場合は、まずオンプレミスネットワークとクラウド間の接続を確立して、AD との統合を正常に完了させる必要があります。最初に AD オフィスネットワークを作成し、ネットワーク接続が確立された後に AD ドメインの設定を完了させることができます。

• クラウドコンピューターとユーザーアカウントを作成し、そのクラウドコンピューターをユーザーアカウントに割り当てます。

  • ユーザーアカウントの作成方法については、「簡易ユーザーの作成」または「AD ユーザーの作成と管理」をご参照ください。

  • クラウドコンピューターの作成と割り当て方法については、「クラウドコンピューターの作成」および「ユーザーへのクラウドコンピューターの割り当て」をご参照ください。

• Alibaba Cloud Workspace クライアントを入手して、クラウドコンピューターにアクセスします。詳細については、「ソフトウェアクライアントの使用」をご参照ください。

  説明

  このソリューションは、Windows クライアント、macOS クライアントをサポートしています。

ステップ 1：IPsec 接続の設定

1. VPN ゲートウェイを購入し、IPsec-VPN 機能を有効にします。詳細については、「VPN ゲートウェイの作成」をご参照ください。

   設定の詳細

   パラメーター	説明
   インスタンス名	VPN ゲートウェイの名前を入力します。
   リソースグループ	VPN ゲートウェイのリソースグループを選択します。 リソースグループを選択しない場合、VPN ゲートウェイは作成後にデフォルトのリソースグループに追加されます。Resource Management コンソールで、VPN ゲートウェイやその他のクラウドリソースのリソースグループを管理できます。詳細については、「Resource Management とは」をご参照ください。
   リージョンとゾーン	VPN ゲートウェイを作成するリージョンです。 VPN ゲートウェイは、関連付ける VPC と同じリージョンにある必要があります。
   ゲートウェイタイプ	VPN ゲートウェイのタイプです。
   ネットワークタイプ	VPN ゲートウェイのネットワークタイプです。 パブリック：VPN ゲートウェイはインターネット経由で VPN 接続を確立します。 プライベート：VPN ゲートウェイはプライベートネットワーク経由で VPN 接続を確立します。 説明 プライベートネットワーク経由で VPN 接続を確立する必要がある場合は、トランジットルーターにバインドされたプライベート IPsec 接続を使用することを推奨します。詳細については、「BGP 動的ルーティングを使用してプライベートネットワーク上のデータ転送を暗号化する」をご参照ください。
   トンネル	現在のリージョンで IPsec 接続にサポートされているトンネルモードが表示されます。 シングルトンネル デュアルトンネル IPsec 接続のトンネルモードの詳細については、「IPsec 接続を VPN ゲートウェイに関連付ける」をご参照ください。
   VPC	VPN ゲートウェイに関連付ける VPC を選択します。
   vSwitch 1	VPC から vSwitch を選択します。 IPsec 接続のトンネルモードがシングルトンネルの場合、vSwitch は 1 つだけ指定する必要があります。 IPsec 接続のトンネルモードがデュアルトンネルの場合、vSwitch を 2 つ指定する必要があります。 IPsec-VPN 機能が有効になると、システムは 2 つの vSwitch それぞれに Elastic Network Interface (ENI) を作成します。これらの ENI は、IPsec 接続と VPC 間のトラフィック交換を処理します。各 ENI は、その vSwitch から IP アドレスを 1 つ占有します。 説明 デフォルトでは、システムは最初の vSwitch を選択します。変更することも、デフォルトのものを使用することもできます。 VPN ゲートウェイの作成後に、関連付けられた vSwitch を変更することはできません。VPN ゲートウェイの詳細ページには、関連付けられた vSwitch、それらが存在するゾーン、および vSwitch 内の ENI が表示されます。
   vSwitch 2	IPsec 接続のトンネルモードがデュアルトンネルの場合、VPC から 2 つ目の vSwitch を選択します。 ゾーンディザスタリカバリのためには、VPN ゲートウェイに関連付けられた VPC 内の異なるゾーンから 2 つの vSwitch を指定します。 ゾーンが 1 つしかないリージョンでは、ゾーンディザスタリカバリはサポートされていません。IPsec 接続の高可用性を確保するために、同じゾーン内の 2 つの異なる vSwitch を指定することを推奨します。同じ vSwitch を 2 回選択することもできます。
   ピーク帯域幅	VPN ゲートウェイの最大帯域幅を選択します。単位：Mbit/s。
   IPsec-VPN	IPsec-VPN 機能を有効または無効にします。デフォルト値は [有効] です。 IPsec 接続を確立するには、この機能を [有効] にします。
   SSL-VPN	SSL-VPN 機能を有効または無効にします。デフォルト値は [無効] です。 IPsec 接続を確立するために、この機能を有効にする必要はありません。
   	サブスクリプション期間を選択します。
   サービスリンクロール	[サービスリンクロールの作成] をクリックして、AliyunServiceRoleForVpn サービスリンクロールを自動的に作成します。 VPN ゲートウェイはこのロールを使用して、他のクラウドサービスのリソースにアクセスします。詳細については、「AliyunServiceRoleForVpn」をご参照ください。 このパラメーターが [作成済み] と表示されている場合、ロールはすでに存在しており、操作は不要です。

2. カスタマーゲートウェイを作成します。詳細については、「カスタマーゲートウェイの作成と管理」をご参照ください。

   設定の詳細

   パラメーター	説明
   名前	カスタマーゲートウェイの名前を入力します。
   IP アドレス	オンプレミスゲートウェイデバイスの静的 IP アドレスを入力します。 パブリック IPsec 接続を作成する場合は、パブリック IP アドレスを入力します。 プライベート IPsec 接続を作成する場合は、プライベート IP アドレスを入力します。 以下の IP アドレスは使用できません。使用した場合、IPsec 接続は確立できません： 100.64.0.0 から 100.127.255.255 127.0.0.0 から 127.255.255.255 169.254.0.0 から 169.254.255.255 224.0.0.0 から 239.255.255.255 255.0.0.0 から 255.255.255.255
   自律システム番号 (ASN)	IPsec 接続でボーダーゲートウェイプロトコル (BGP) を有効にする場合は、オンプレミスゲートウェイデバイスの自律システム番号 (ASN) を設定する必要があります。有効な値の範囲は 1 から 4294967295 です。45104 は使用できません。 ASN は、ピリオド (.) で区切られた 2 つのセグメントで入力できます。各セグメントは 10 進数形式です。 たとえば、123.456 と入力した場合、ASN は次のように計算されます：123 * 65536 + 456 = 8061384。 説明 Alibaba Cloud との BGP 接続を確立するには、プライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。 45104 は、グローバルなインターネットルーティングとデータ転送のために Internet Assigned Numbers Authority (IANA) によって Alibaba Cloud に割り当てられた一意の識別子です。
   説明	カスタマーゲートウェイの説明を入力します。
   リソースグループ	カスタマーゲートウェイのリソースグループを選択します。 Resource Management コンソールで、カスタマーゲートウェイやその他のクラウドリソースのリソースグループを管理できます。詳細については、「Resource Management とは」をご参照ください。
   タグ	カスタマーゲートウェイにタグを追加して、それらをマークし分類することができます。これにより、リソースの検索と集約が容易になります。詳細については、「タグとは」をご参照ください。 タグキー：カスタマーゲートウェイのタグキーを追加します。既存のキーを選択するか、新しいキーを入力できます。 タグ値：カスタマーゲートウェイのタグ値を追加します。既存の値を選択するか、新しい値を入力できます。タグ値は空にすることもできます。

3. IPsec 接続を作成します。詳細については、「IPsec 接続の作成」をご参照ください。

   設定の詳細

   パラメーター	説明
   名前	IPsec 接続の名前を入力します。
   リージョン	IPsec 接続に関連付ける VPN ゲートウェイのリージョンを選択します。 IPsec 接続が作成されると、そのリージョンは VPN ゲートウェイのリージョンと同じになります。
   リソースグループ	VPN ゲートウェイのリソースグループを選択します。 リソースグループを選択しない場合、システムはすべてのリソースグループの VPN ゲートウェイを表示します。
   VPN ゲートウェイのバインド	IPsec 接続に関連付ける VPN ゲートウェイを選択します。
   ルーティングモード	IPsec 接続のルーティングモードを選択します。 宛先ルーティングモード (デフォルト)：宛先 IP アドレスに基づいてトラフィックをルーティングおよび転送します。 保護されたデータフロー：送信元と宛先の両方の IP アドレスに基づいてトラフィックをルーティングおよび転送します。 [保護されたデータフロー] を選択した場合、[ローカルネットワーク] と [リモートネットワーク] を設定する必要があります。IPsec 接続が設定されると、システムは自動的に VPN ゲートウェイのポリシーベースのルートテーブルにポリシーベースのルートを追加します。 デフォルトでは、ルートは公開されません。ネットワーク通信のニーズに応じて、ルートを VPC のルートテーブルに公開するかどうかを決定できます。詳細については、「ポリシーベースのルートの設定」をご参照ください。 説明 IPsec 接続が以前のバージョンの VPN ゲートウェイに関連付けられている場合、ルーティングモードを選択する必要はありません。
   ローカルネットワーク	[ルーティングモード] を [保護されたデータフロー] に設定した場合、オンプレミスデータセンターと通信する必要がある VPC 側の CIDR ブロックを入力します。フェーズ 2 のネゴシエーション中に、両側の保護されたデータフローがネゴシエートされます。指定された [ローカルネットワーク] がオンプレミスデータセンター側のリモートネットワークと一致することを推奨します。 テキストボックスの横にある追加アイコンをクリックして、VPC 側に複数の CIDR ブロックを追加します。 説明 複数の CIDR ブロックを設定する場合、IKE バージョンを IKEv2 に設定する必要があります。
   リモートネットワーク	[ルーティングモード] を [保護されたデータフロー] に設定した場合、VPC と通信する必要があるオンプレミスデータセンター側の CIDR ブロックを入力します。フェーズ 2 のネゴシエーション中に、両側の保護されたデータフローがネゴシエートされます。指定された [リモートネットワーク] がオンプレミスデータセンター側のローカルネットワークと一致することを推奨します。 テキストボックスの横にある追加アイコンをクリックして、オンプレミスデータセンター側に複数の CIDR ブロックを追加します。 説明 複数の CIDR ブロックを設定する場合、IKE バージョンを IKEv2 に設定する必要があります。
   即時有効	設定がすぐに有効になるかどうかを指定します。 はい (デフォルト)：設定完了後、システムはすぐに IPsec ネゴシエーションを開始します。 いいえ：トラフィックが検出された場合にのみ、システムは IPsec ネゴシエーションを開始します。
   カスタマーゲートウェイ	IPsec 接続に関連付けるカスタマーゲートウェイを選択します。
   事前共有鍵	IPsec 接続の認証キーを入力します。これは、VPN ゲートウェイとオンプレミスデータセンター間の本人確認に使用されます。 キーは 1～100 文字の長さで、数字、大文字と小文字のアルファベット、および次の特殊文字を含めることができます：~`!@#$%^&*()_-+={}[]\|;:',.<>/?。スペースを含めることはできません。 事前共有鍵を指定しない場合、システムはランダムな 16 文字の文字列を生成します。IPsec 接続を作成した後、[編集] をクリックしてシステムが生成したキーを表示できます。詳細については、「IPsec 接続 (VPN ゲートウェイにバインド)」をご参照ください。 重要 事前共有鍵は IPsec 接続の両側で同一でなければなりません。そうでない場合、接続は失敗します。
   BGP の有効化	IPsec 接続で BGP を使用する必要がある場合は、このスイッチを有効にします。BGP はデフォルトで無効になっています。 BGP 動的ルーティングを使用する前に、その動作メカニズムと制限を理解することを推奨します。詳細については、「BGP 動的ルーティングの設定」をご参照ください。
   ローカル ASN	IPsec 接続の Alibaba Cloud 側の ASN を入力します。デフォルト値は 45104 です。有効な値の範囲は 1 から 4294967295 です。 ASN は、ピリオド (.) で区切られた 2 つのセグメントで入力できます。各セグメントは 10 進数形式です。 たとえば、123.456 と入力した場合、ASN は次のように計算されます：123 * 65536 + 456 = 8061384。 説明 Alibaba Cloud との BGP 接続を確立するには、プライベート ASN を使用することを推奨します。プライベート ASN の範囲については、関連ドキュメントをご参照ください。

4. リモートネットワークの CIDR ブロックを Cloud Enterprise Network に公開します。

   1. VPC コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ルートテーブル] をクリックします。

   3. ルートテーブルのリストで、ユーザー VPC に対応するルートテーブルを見つけ、その ID をクリックします。

   4. [ルートエントリリスト] タブで、[カスタムルート] タブをクリックします。

   5. 設定したリモートネットワークの CIDR ブロック (オンプレミスデータセンターのプライベート CIDR ブロック) を見つけ、[操作] 列の [公開] をクリックします。

      [CEN でのステータス] 列が [公開済み] に変わると、ルートは公開されます。

ステップ 2：ゲートウェイへの VPN 設定のロード

1. VPC コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。

3. 上部のナビゲーションバーで、IPsec 接続のリージョンを選択します。

4. [IPsec 接続] ページで、対象の IPsec 接続を見つけ、[操作] 列の [ピア設定の生成] をクリックします。

5. ダウンロードした設定をオンプレミスのゲートウェイデバイスにロードします。

   詳細については、「H3C ファイアウォールの設定例」をご参照ください。

ステップ 3：VPC アドレスまたはクラウドサービスルートの設定

以下のいずれかのソリューションを選択できます。ソリューション 1 と 2 はどちらも Alibaba Cloud VPC アドレスを設定しますが、ソリューション 1 はデフォルトアドレスを使用するため、エンドユーザーはカスタムアドレスを設定する必要がなく、より簡単です。

ステップ 4：プライベート接続の検証