Data Transmission Service:Alibaba Cloud への AWS データベースの接続

シナリオ例

このトピックでは、ある企業が Alibaba Cloud のドイツ (フランクフルト) リージョンに VPC を、AWS のヨーロッパ (フランクフルト) リージョンに VPC を持っているとします。この企業は、2 つの VPC 間の通信を有効にしたいと考えています。

この企業は、Alibaba Cloud VPN Gateway (パブリック IP アドレスを使用する VPN Gateway インスタンス) と AWS VPN を使用して IPsec 接続を確立できます。この接続により、2 つの VPC 間で暗号化された通信が可能になります。

CIDR ブロックの計画

事前準備

• Alibaba Cloud のドイツ (フランクフルト) リージョンに VPC を作成し、Elastic Compute Service (ECS) を使用してリソースをデプロイします。詳細については、「IPv4 CIDR ブロックを持つ VPC の作成」をご参照ください。

• AWS のヨーロッパ (フランクフルト) リージョンに VPC を作成し、EC2 を使用してリソースをデプロイ済みであること。詳細については、AWS プラットフォームをご参照ください。

設定フロー

ステップ 1：Alibaba Cloud での VPN Gateway インスタンスの作成

まず、Alibaba Cloud で VPN Gateway インスタンスを作成する必要があります。インスタンスが作成されると、システムによって 2 つの IP アドレスが割り当てられます。これらの IP アドレスは、AWS プラットフォームとの IPsec 接続を確立するために使用されます。

1. VPN Gateway コンソールにログインします。

2. 上部のナビゲーションバーで、VPN Gateway を作成するリージョンを選択します。

   VPN Gateway は、接続する VPC と同じリージョンにある必要があります。

3. VPN Gateway ページで、VPN Gateway の作成 をクリックします。

4. 購入ページで、次の設定で VPN Gateway を設定します。次に、今すぐ購入 をクリックして支払いを完了します。

   このトピックに関連するパラメーターのみを説明します。その他のパラメーターは、デフォルト設定のままにします。詳細については、「VPN Gateway インスタンスの作成と管理」をご参照ください。

   設定	説明	値の例
   インスタンス名	VPN Gateway インスタンスの名前を入力します。	VPN Gateway と入力します。
   リージョン	VPN Gateway インスタンスが配置されるリージョンを選択します。	[Germany (Frankfurt)] を選択します。
   ゲートウェイタイプ	VPN Gateway インスタンスのゲートウェイタイプを選択します。	[標準] を選択します。
   ネットワークタイプ	VPN Gateway インスタンスのネットワークタイプを選択します。	[パブリック] を選択します。
   トンネル	システムは、現在のリージョンの IPsec 接続でサポートされているトンネルモードを表示します。 デュアルトンネル シングル トンネル シングル トンネルモードとデュアルトンネルモードの詳細については、「IPsec 接続の作成」をご参照ください。	このトピックでは、デフォルト値は [デュアルトンネル] です。
   VPC	VPN Gateway インスタンスに関連付ける VPC を選択します。	Alibaba Cloud のドイツ (フランクフルト) リージョンにある VPC インスタンスを選択します。
   vSwitch	VPC から vSwitch を選択します。 トンネルモードがシングル トンネルの場合、1 つの vSwitch のみを指定する必要があります。 トンネルモードがデュアルトンネルの場合、2 つの vSwitch を指定する必要があります。 IPsec-VPN 機能を有効にすると、システムは 2 つの vSwitch のそれぞれに弾性ネットワークインターフェイス (ENI) を作成します。ENI は、VPC と IPsec 接続間のトラフィックのインターフェイスとして使用されます。各 ENI は、その vSwitch 内の IP アドレスを 1 つ占有します。 説明 システムはデフォルトで最初の vSwitch を選択します。vSwitch を変更するか、デフォルトの vSwitch を使用できます。 VPN Gateway インスタンスを作成した後、関連付けられた vSwitch を変更することはできません。関連付けられた vSwitch、それらが配置されているゾーン、および ENI の情報は、インスタンスの詳細ページで確認できます。	VPC 内の vSwitch を選択します。
   vSwitch 2	VPC から 2 番目の vSwitch を選択します。 VPN Gateway インスタンスに関連付けられている VPC 内の異なるゾーンにある 2 つの vSwitch を指定する必要があります。この設定により、IPsec 接続のゾーンディザスタリカバリが実装されます。 ゾーンが 1 つしかないリージョンでは、ゾーンディザスタリカバリはサポートされていません。IPsec 接続の高可用性を実現するために、そのゾーンに 2 つの異なる vSwitch を指定することを推奨します。両方に同じ vSwitch を選択できます。 説明 VPC で 2 番目の vSwitch が利用できない場合は、作成できます。詳細については、「vSwitch の作成と管理」をご参照ください。	VPC 内の 2 番目の vSwitch を選択します。
   IPsec-VPN	IPsec-VPN 機能を有効にするかどうかを指定します。デフォルト値は [有効化] です。	IPsec-VPN 機能を有効にします。
   SSL-VPN	SSL-VPN 機能を有効にするか無効にするかを選択します。デフォルト値は [無効化] です。	SSL-VPN 機能を無効にします。

5. VPN Gateway ページに戻り、作成した VPN Gateway インスタンスを表示します。

   新しい VPN Gateway インスタンスの初期ステータスは [準備中] です。約 1〜5 分後、ステータスは [正常] に変わります。[正常] ステータスは、VPN Gateway が初期化され、使用準備が整ったことを示します。

   次の表に、システムによって VPN Gateway インスタンスに割り当てられた 2 つの IP アドレスを示します。

   VPN Gateway インスタンス名	VPN Gateway インスタンス ID	IP アドレス
   VPN Gateway	vpn-gw8dickm386d2qi2g****	IPsec アドレス 1 (デフォルトでアクティブなトンネルアドレス)：8.XX.XX.146
   		IPsec アドレス 2 (デフォルトでスタンバイ トンネルアドレス)：8.XX.XX.74

ステップ 2：AWS プラットフォームでの VPN のデプロイ

IPsec 接続を確立するには、次の情報に基づいて AWS プラットフォームに VPN をデプロイする必要があります。特定のコマンドや操作については、AWS の公式ドキュメントをご参照ください。

ステップ 3：Alibaba Cloud での VPN Gateway のデプロイ

AWS プラットフォームで VPN 設定を完了した後、次の情報に基づいて Alibaba Cloud 側で VPN Gateway をデプロイする必要があります。これにより、AWS VPC と Alibaba Cloud VPC の間に IPsec 接続が確立されます。

1. カスタマーゲートウェイの作成

   1. VPN Gateway コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [カスタマーゲートウェイ] を選択します。

   3. 上部のナビゲーションバーで、カスタマーゲートウェイを作成するリージョンを選択します。

      カスタマーゲートウェイと接続する VPN Gateway が同じリージョンにデプロイされていることを確認してください。

   4. カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。

   5. カスタマーゲートウェイの作成 パネルで、次のパラメーターを設定し、OK をクリックします。

      2 つのカスタマーゲートウェイを作成し、AWS サイト間 VPN 接続のトンネルの外部 IP アドレスをカスタマーゲートウェイの IP アドレスとして使用する必要があります。これにより、2 つの暗号化されたトンネルが確立されます。このトピックに関連するパラメーターのみを説明します。その他のパラメーターは、デフォルト設定のままにします。詳細については、「カスタマーゲートウェイ」をご参照ください。

      重要

      各サイト間 VPN 接続のトンネル 1 の外部 IP アドレスのみをカスタマーゲートウェイアドレスとして使用します。各サイト間 VPN 接続のトンネル 2 の外部 IP アドレスはデフォルトでは使用されません。IPsec 接続が作成された後、各サイト間 VPN 接続のトンネル 2 はデフォルトでは接続されません。

      設定	説明	カスタマーゲートウェイ 1	カスタマーゲートウェイ 2
      名前	カスタマーゲートウェイの名前を入力します。	カスタマーゲートウェイ 1 と入力します。	カスタマーゲートウェイ 2 と入力します。
      IP アドレス	AWS プラットフォーム上のトンネルの外部 IP アドレスを入力します。	3.XX.XX.52 と入力します。	3.XX.XX.56 と入力します。
      ASN	AWS 仮想プライベートゲートウェイの BGP ASN を入力します。 説明 このパラメーターは、BGP 動的ルーティングを使用する場合に必要です。	64512 と入力します。	64512 と入力します。

2. IPsec 接続の作成

   1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec 接続] を選択します。

   2. IPsec 接続 ページで、[VPN Gateway のバインド] をクリックします。

   3. [IPsec 接続の作成] ページで、IPsec 接続のパラメーターを設定し、[OK] をクリックします。

      設定	説明	設定例
      IPsec-VPN 接続名	IPsec 接続の名前を入力します。	IPsec 接続と入力します。
      リージョン	IPsec 接続に関連付ける VPN Gateway がデプロイされているリージョンを選択します。 IPsec 接続は、VPN Gateway と同じリージョンに作成されます。	[ドイツ (フランクフルト)] を選択します。
      VPN Gateway をアタッチする	IPsec 接続に関連付ける VPN Gateway インスタンスを選択します。	作成した VPN Gateway を選択します。
      ルーティングモード	ルーティングモードを選択します。 宛先ベースルーティング：宛先 IP アドレスに基づいてトラフィックをルーティングします。 対象トラフィックパターン: ソース IP アドレスと宛先 IP アドレスに基づいて、トラフィックを正確にルーティングおよび転送します。	この Topic の静的ルートメソッドを使用する場合、[対象ストリームパターン] (推奨) を選択します。 [ローカルネットワーク] を 10.0.0.0/16 に設定します。 [リモートネットワーク] を 192.168.0.0/16 に設定します。 このトピックで BGP 動的ルーティングを使用する場合は、[宛先ベースルーティング] (推奨) を選択します。
      今すぐ有効化	IPsec 接続の設定がすぐに有効になるかどうかを選択します。有効な値は次のとおりです。 はい：設定完了後、すぐにネゴシエーションが開始されます。 いいえ：ネゴシエーションはトラフィックによってトリガーされます。	[はい] を選択します。
      BGP の有効化	IPsec 接続で BGP を使用する必要がある場合は、BGP を有効にします。BGP 機能はデフォルトで無効になっています。	デフォルト設定のままにし、BGP を有効にしないでください。これはデフォルトで静的ルートになります。IPsec 接続を作成した後に BGP 動的ルーティングを使用するには、BGP 設定を個別に追加する必要があります。
      トンネル 1	トンネル 1 (アクティブなトンネル) の VPN 設定を追加します。 デフォルトでは、システムはトンネル 1 をアクティブなトンネル、トンネル 2 をスタンバイ トンネルとして設定します。これは変更できません。
      カスタマーゲートウェイ	アクティブなトンネルに関連付けるカスタマーゲートウェイを追加します。	カスタマーゲートウェイ 1 を選択します。
      事前共有鍵	アクティブなトンネルの認証キーを入力します。このキーは身分認証に使用されます。 キーは 1〜100 文字の長さで、数字、大文字と小文字のアルファベット、および次の特殊文字を含めることができます：~`!@#$%^&*()_-+={}[]\|;:',.<>/?。 事前共有鍵を指定しない場合、システムはランダムに 16 文字の文字列を事前共有鍵として生成します。 重要 トンネルとその対向ゲートウェイデバイスに設定された事前共有鍵は同じである必要があります。そうでない場合、システムは IPsec 接続を確立できません。	このトンネルの認証キーは、接続されている AWS トンネルのキーと同じである必要があります。
      暗号化設定	IKE、IPsec、DPD、および NAT 越えを設定します。	IKE 構成 で、SA ライフサイクル (秒) は AWS プラットフォームの値と一致する必要があります。このトピックでは、値は 28800 に設定されています。 IPsec 構成 セクションで、SA ライフサイクル (秒) は AWS プラットフォームの値と一致する必要があります。このトピックでは、値は 3600 に設定されています。 その他のすべてのパラメーターについては、デフォルト値を使用します。デフォルト値の詳細については、「IPsec 接続 (VPN Gateway)」をご参照ください。
      トンネル 2	トンネル 2 (スタンバイ トンネル) の VPN 設定を追加します。
      カスタマーゲートウェイ	スタンバイ トンネルに関連付けるカスタマーゲートウェイを追加します。	カスタマーゲートウェイ 2 を選択します。
      事前共有鍵	スタンバイ トンネルの認証キーを入力します。このキーは身分認証に使用されます。	このトンネルの認証キーは、接続されている AWS トンネルのキーと同じである必要があります。
      暗号化設定	IKE、IPsec、DPD、および NAT 越えを設定します。	IKE 構成 では、SA ライフサイクル (秒) は AWS プラットフォームの値と一致する必要があります。このトピックでは、例として 28800 の値を使用します。 IPsec 構成 では、SA ライフサイクル (秒) は AWS プラットフォームの値と一致する必要があります。このトピックでは、3600 の値を使用します。 その他のすべてのパラメーターについては、デフォルト値を使用します。デフォルト値の詳細については、「IPsec 接続 (VPN Gateway)」をご参照ください。

   4. [作成済み] メッセージで、[キャンセル] をクリックします。

3. VPN Gateway ルートの設定

   静的ルートの使用

   IPsec 接続を作成した後、VPN Gateway インスタンスのルートを設定する必要があります。IPsec 接続を作成するときに ルーティングモード に [ポリシーベースルーティング] を選択した場合、システムは VPN Gateway インスタンスにポリシーベースのルートを自動的に作成します。ルートは [未公開] 状態で作成されます。その後、VPN Gateway インスタンスから VPC にルートを公開する必要があります。

   1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > VPN Gateway を選択します。

   2. 上部のナビゲーションバーで、VPN Gateway インスタンスが存在するリージョンを選択します。

   3. [VPN Gateway] ページで、対象の VPN Gateway の ID をクリックします。

   4. VPN Gateway の詳細ページで、ポリシーベースルーティング タブをクリックし、管理したいルートを見つけて、操作 列の 公開 をクリックします。

   5. ルートエントリの公開 ダイアログボックスで、[OK] をクリックします。

   BGP 動的ルーティングの使用

   1. IPsec 接続に BGP 設定を追加します。

      1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > IPsec 接続 に移動します。

      2. IPsec 接続 ページで、IPsec 接続の ID をクリックします。

      3. IPsec 接続 セクションで、[BGP の有効化] をオンにします。開いた BGP 設定 ダイアログボックスで、必要な設定を行い、OK をクリックします。

         設定	説明	IPsec 接続の設定
         ローカル ASN	IPsec 接続の自律システム番号を入力します。	65530 と入力します。
         トンネル 1	アクティブなトンネルの BGP 設定を追加します。	IPsec 接続のアクティブなトンネルの BGP 設定を追加します。
         トンネル CIDR ブロック	暗号化されたトンネルを確立するために使用される CIDR ブロックを入力します。	169.254.116.208/30 と入力します。
         ローカル BGP IP アドレス	IPsec 接続の BGP IP アドレスを入力します。 このアドレスは、トンネル CIDR ブロック内の IP アドレスです。	169.254.116.210 と入力します。
         トンネル 2	スタンバイ トンネルの BGP 設定を追加します。	IPsec 接続のスタンバイ トンネルの BGP 設定を追加します。
         トンネル CIDR ブロック	暗号化されたトンネルを確立するために使用される CIDR ブロックを入力します。	169.254.214.96/30 と入力します。
         ローカル BGP IP アドレス	IPsec 接続の BGP IP アドレスを入力します。 このアドレスは、トンネル CIDR ブロック内の IP アドレスです。	169.254.214.98 と入力します。

   2. VPN Gateway インスタンスの BGP ルートの自動伝播を有効にします。

      1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > VPN Gateway を選択します。

      2. VPN Gateway ページで、対象の VPN Gateway インスタンスを見つけます。[操作] 列で、 > 自動 BGP 伝播を有効にする を選択します。

      3. 自動 BGP 伝播を有効にする ダイアログボックスで、OK をクリックします。

ステップ 4：接続性のテスト

設定が完了すると、Alibaba Cloud VPC と AWS VPC の間に IPsec 接続が確立されます。次の手順では、Alibaba Cloud ECS インスタンスから AWS EC2 インスタンスにアクセスして、VPC 間の接続性をテストする方法について説明します。

1. Alibaba Cloud VPC 内の ECS インスタンスにログインします。ECS インスタンスへのログイン方法の詳細については、「ECS インスタンスのリモート接続方法の選択」をご参照ください。

2. ECS インスタンスで、ping コマンドを実行して AWS EC2 インスタンスにアクセスし、2 つのインスタンスが通信できることを確認します。

   ECS インスタンスが AWS EC2 インスタンスから応答メッセージを受信した場合、VPC は相互に通信できます。

   ping <AWS EC2 インスタンスのプライベート IP アドレス>

   

3. IPsec 接続の高可用性をテストします。

   デュアルトンネル IPsec 接続は高可用性を提供します。アクティブなトンネルが中断された場合、トラフィックは自動的にスタンバイ トンネルを経由してルーティングされます。次の手順では、デュアルトンネル IPsec 接続の高可用性を確認する方法について説明します。

   1. Alibaba Cloud VPC 内の ECS インスタンスにログインしたままにします。

   2. 次のコマンドを実行して、Alibaba Cloud ECS インスタンスが AWS EC2 インスタンスに継続的にアクセスできるようにします。

      ping <AWS EC2 インスタンスのプライベート IP アドレス> -c 10000

   3. IPsec 接続のアクティブなトンネルを中断します。

      このトピックでは、Alibaba Cloud 側で事前共有鍵を変更することでアクティブなトンネルを中断します。アクティブなトンネルの両端の事前共有鍵が一致しない場合、トンネルは中断されます。

   4. Alibaba Cloud ECS インスタンスの通信ステータスを確認します。短い中断の後、通信が再開されることがわかります。これは、アクティブなトンネルが中断された後、トラフィックが自動的にスタンバイ トンネルを経由してルーティングされることを示しています。

      Alibaba Cloud コンソールの [モニタリング] タブで各トンネルのトラフィックを監視できます。詳細については、「IPsec 接続の監視」をご参照ください。

次のステップ

データ同期、データ移行、データ検証などのタスクタイプに応じて、DTS サーバーの IP アドレスを、対応するデータベースのセキュリティグループルール、ファイアウォール、ホワイトリストなどのセキュリティ設定に追加します。