VPN Gateway:IPsec 接続 (VPN Gateway)

• [IPsec 設定]：VPN Gateway をデプロイした[リージョン]を選択します。

• [ゲートウェイ設定]：アタッチする VPN Gateway を選択します。

• [ルート設定]：

  • ルーティングモード：

    • [宛先ルーティングモード]（デフォルト）：宛先 IP アドレスに基づいてトラフィックを転送します。BGP 経由または静的にルートを学習するシナリオで推奨されます。

    • [保護対象データフロー]：送信元および宛先 IP アドレスに基づいてトラフィックを転送します。特定の CIDR ブロックとの通信を制限する必要があるシナリオで推奨されます。

      • [ローカルネットワーク] (VPC CIDR ブロック) と [リモートネットワーク] (オンプレミス CIDR ブロック) を指定する必要があります。

      • システムは自動的にポリシーベースルートを生成します。このルートでは、[送信元 CIDR ブロック]は接続のローカルネットワーク、[宛先 CIDR ブロック]は接続のリモートネットワーク、ネクストホップは IPsec 接続となります。このルートは VPC ルートテーブルに公開できますが、デフォルトでは公開されません。

      • オンプレミスゲートウェイのインテレストトラフィック構成がこれらの設定（ローカルネットワークとリモートネットワークを入れ替えたもの）と一致していることを確認してください。

      • 複数のネットワークセグメントを追加するには、[追加] アイコンをクリックします。複数のセグメントにはIKEv2が必要です。

  • 今すぐ有効化：接続を迅速に有効にするか、トラフィック遅延を回避するには [はい] を選択します。リソースを節約し、トラフィックが少ない場合は [いいえ] を選択します。

• [デュアルトンネル設定]：

  • [BGP を有効化]：BGP 動的ルーティングを使用するかどうかを指定します。

    • 無効（デフォルト）：静的ルートを使用します。シンプルなネットワークトポロジーで推奨されます。

    • 有効：動的ルーティングを使用して、ルートの自動配布と学習を行います。前提条件：関連付けられたカスタマーゲートウェイに ASN を構成する必要があります。

  • ローカル ASN：Alibaba Cloud 側（両方のトンネルで使用）の自律システム番号（ASN）です。

    • デフォルト：45104

    • 有効値：1 ～ 4294967295

    • 推奨事項：オンプレミスデバイスの ASN を構成する際は、非公開 ASN を使用することを推奨します。

• [トンネル 1（プライマリ）]および[トンネル 2（バックアップ）]の構成：

  • カスタマーゲートウェイ：オンプレミスデバイスに関連付けられたカスタマーゲートウェイを選択します。同じカスタマーゲートウェイを両方のトンネルに関連付けることができます。

  • [事前共有鍵]：身分認証に使用する事前共有鍵を入力します。

    • 要件：キーはオンプレミスゲートウェイの構成と一致する必要があります。

    • 一貫性：両方のトンネルのキーは同一である必要があります。

    • デフォルト：空白のままにすると、システムが自動的にランダムなキーを生成します。

  [暗号化構成]を表示するにはクリックします。

  • [IKE 構成]：

    • バージョン：ikev2を推奨します。SA ネゴシエーションが簡素化され、マルチセグメントシナリオへの対応が強化されます。

    • ネゴシエーションモード：ネゴシエーションが成功した後のデータ伝送におけるセキュリティレベルは、どちらのモードも同じです。

      • main（デフォルト）：ネゴシエーション中に識別情報を暗号化するため、より高いセキュリティを提供します。

      • aggressive：ネゴシエーションが高速で、成功率が高くなります。

    • 暗号化アルゴリズム：フェーズ 1 ネゴシエーション用の暗号化アルゴリズムを選択します。

      • 要件：オンプレミスゲートウェイの構成と一致する必要があります。

      • サポートされるアルゴリズム：aes128（デフォルト）、aes192、aes256、des、および3des。

      • 推奨事項：帯域幅が 200 Mbps 以上の接続では、AES アルゴリズム（aes128、aes192、aes256）を使用することを推奨します。

        • AES：強力な暗号化を提供しながら、効率的なパフォーマンス（遅延やスループットへの影響が小さい）を実現します。

        • 3des：推奨されません。計算負荷が高く、AES と比較して転送パフォーマンスが制限されます。

    • 認証アルゴリズム：フェーズ 1 ネゴシエーション用の認証アルゴリズムを選択します。

      • 要件：オンプレミスゲートウェイの構成と一致する必要があります。

      • サポートされるアルゴリズム：sha1（デフォルト）、md5、sha256、sha384、およびsha512。

      • 注記：オンプレミスデバイスで擬似乱数関数（PRF）アルゴリズムが必要な場合は、選択した認証アルゴリズムと一致していることを確認してください。

    • DH グループ (前方秘匿性 PFS)：フェーズ 1 ネゴシエーション用の Diffie-Hellman キー交換アルゴリズムを選択します。

      group1、group2（デフォルト）、group5、およびgroup14は、それぞれ DH グループの DH1、DH2、DH5、DH14 を表します。

    • SA ライフサイクル (秒)：フェーズ 1 セキュリティアソシエーション（SA）の有効期間を指定します。デフォルト値は86400です。有効値は0 ～ 86400です。

    • [LocalId]：トンネルの Alibaba Cloud 側の識別子です。

      • デフォルト：トンネルの IP アドレス。

      • フォーマット：IP アドレスまたは FQDN（例：example.aliyun.com）をサポートします。スペースは使用できません。

      • 推奨事項：プライベート IP アドレスを使用することを推奨します。

      • FQDN の要件：FQDN を使用する場合は、オンプレミスゲートウェイのピア ID がこの値と一致していること、およびネゴシエーションモードをaggressiveに設定していることを確認してください。

    • [RemoteId]：トンネルのオンプレミス側の識別子です。

      • デフォルト：関連付けられたカスタマーゲートウェイの IP アドレス。

      • フォーマット：IP アドレスまたは FQDN（例：example.aliyun.com）をサポートします。スペースは使用できません。

      • 推奨事項：プライベート IP アドレスを使用することを推奨します。

      • FQDN の要件：FQDN を使用する場合は、オンプレミスゲートウェイのローカル ID がこの値と一致していること、およびネゴシエーションモードをaggressiveに設定していることを確認してください。

  • [IPsec 構成]：

    • 暗号化アルゴリズム：フェーズ 2 ネゴシエーション用の暗号化アルゴリズムを選択します。

      • サポートされるアルゴリズム：aes128（デフォルト）、aes192、aes256、des、および3des。

      • 推奨事項：帯域幅が 200 Mbps 以上の接続では、AES アルゴリズム（aes128、aes192、aes256）を使用することを推奨します。

        • AES：高強度の暗号化を提供しながら、効率的なパフォーマンス（遅延やスループットへの影響が小さい）を実現します。

        • 3des：推奨されません。計算負荷が高く、AES と比較して転送パフォーマンスが制限されます。

    • 認証アルゴリズム：フェーズ 2 ネゴシエーション用の認証アルゴリズムを選択します。サポートされるアルゴリズム：sha1（デフォルト）、md5、sha256、sha384、およびsha512。

    • DH グループ (前方秘匿性 PFS)：フェーズ 2 ネゴシエーション用の Diffie-Hellman キー交換アルゴリズムを選択します。

      • disabled： PFS を無効にします。クライアントが完全転送秘密性（PFS）をサポートしていない場合に選択します。

      • group1、group2（デフォルト）、group5、およびgroup14：PFS（DH1、DH2、DH5、DH14）を有効にします。

        • 要件： 有効にした場合、再ネゴシエーションごとにキーが更新されます。対応するクライアントでも PFS を有効にする必要があります。

    • SA ライフサイクル (秒)：フェーズ 2 セキュリティアソシエーション（SA）の有効期間を指定します。デフォルト値は86400です。有効値は0 ～ 86400です。

    • DPD：ピア生存確認です。

      • 推奨事項：常に DPD を有効にしてください（デフォルト）。30 秒以内にピアの障害を検出し、自動フェールオーバーをトリガーすることで、高可用性を確保します。

      • メカニズム：システムは DPD プローブを送信します。応答がない場合、ピアは切断されたと見なされ、トンネルは破棄されます。その後、システムは接続を再確立しようと試みます。

      • 注記：IKEv2 を使用する旧バージョンの VPN Gateway では、タイムアウトが 130 秒または 3600 秒になる場合があります。最新バージョンにアップグレードすると、標準の 30 秒タイムアウトが適用されます。

  • NAT トラバーサル：

    • 推奨事項：この機能を有効にしてください（デフォルト）。

    • 機能：UDP ポート検証をスキップすることで、IKE ネゴシエーションが NAT デバイスを通過できるようにし、NAT 境界を越えた接続性を確保します。

  BGP 設定を表示するにはクリックします。

  BGP を有効にした場合は、各トンネルのBGP 構成を完了する必要があります。

構成の確認

1. 構成を確認し、ページ下部の[OK]をクリックします。

2. 表示されるダイアログボックスで、[キャンセル]をクリックします。ルーティングは後で構成できます。

3. 対象の IPsec 接続の操作列で、[ピア構成の生成]をクリックします。IPsec-VPN 接続の設定ダイアログボックスで、構成をコピーしてローカルに保存し、オンプレミスゲートウェイデバイスを構成します。

BGP の有効化

• IPsec 接続を作成する際に、[BGP を有効化]を選択し、ローカル ASN、トンネル CIDR ブロック、およびローカル BGP IP アドレスを構成することで、BGP を有効にできます。

• 既存の IPsec 接続については、インスタンス詳細ページのIPsec 接続セクションで、[BGP を有効化]をクリックできます。

BGP の無効化

IPsec 接続詳細ページのIPsec 接続セクションで、[BGP を有効化]スイッチをオフにします。