ローカルデータセンターとVPN Gatewayに基づくVPC間のデータ同期の実装 (DTS)

1. 左側のナビゲーションウィンドウで、ネットワーク相互接続 > VPN > IPsec 接続 を選択します。

2. IPsec 接続 ページで、[VPN Gateway のバインド] をクリックします。

3. [IPsec-VPN 接続 (VPN) の作成] ページで、接続パラメータを構成し、[OK] をクリックします。

   パラメータ	説明	例
   名前	IPsec-VPN 接続の名前を入力します。	この例では、IPsec-Connection を使用します。
   リージョン	IPsec-VPN 接続に関連付ける VPN Gateway がデプロイされているリージョンを選択します。 IPsec-VPN 接続は、VPN Gateway と同じリージョンに作成されます。	この例では、中国 (フフホト) を選択します。
   VPN Gateway のバインド	IPsec-VPN 接続に関連付ける VPN Gateway を選択します。	この例では、VPN Gateway VPNGW を選択します。
   ルーティングモード	ルーティングモードを選択します。 宛先ルーティングモード: トラフィックは宛先 IP アドレスに基づいて転送されます。 保護されたデータフロー: 送信元 IP アドレスと宛先 IP アドレスに基づいてトラフィックを転送します。	この例では、保護されたデータフロー を選択します。
   ローカルネットワーク	VPN Gateway インスタンスが関連付けられている VPC の CIDR ブロックを入力します。	この例では、次の 2 つの CIDR ブロックを入力します。 VPC の CIDR ブロック: 10.0.0.0/8 DTS サーバーの CIDR ブロック: 100.104.0.0/16 重要 DTS サーバーの CIDR ブロックを ローカルネットワーク セクションに追加する必要があります。これにより、DTS は VPN Gateway 経由でピアエンドのデータベースにアクセスできます。 DTS で使用される CIDR ブロックの詳細については、「DTS サーバーの CIDR ブロックを追加する」をご参照ください。
   リモートネットワーク	データセンターの CIDR ブロックを入力します。	この例では、172.16.0.0/12 を使用します。
   今すぐ有効化	構成をすぐに有効にするかどうかを指定します。有効な値: はい: 構成が完了した後、ネゴシエーションを開始します。 いいえ: インバウンドトラフィックが検出されたときにネゴシエーションを開始します。	この例では、はい を選択します。
   BGP 設定	IPsec-VPN 接続で BGP プロトコルを使用する場合は、BGP を有効にします。 BGP はデフォルトで無効になっています。	この例では、デフォルト値を使用します。 BGP は無効になっています。
   トンネル 1	アクティブトンネルの VPN パラメータを構成します。 デフォルトでは、トンネル 1 がアクティブトンネル、トンネル 2 がスタンバイトンネルとして機能します。この構成は変更できません。
   カスタマーゲートウェイ	アクティブトンネルに関連付けるカスタマーゲートウェイを選択します。	この例では、CustomerGW1 を選択します。
   事前共有鍵	ID を検証するために使用されるアクティブトンネルの事前共有鍵。 事前共有鍵は 1 ～ 100 文字で、数字、文字、および次の文字を含めることができます: ~ ` ! @ # $ % ^ & * ( ) _ - + = { } [ ] \ | ; : ' , . < > / ? 事前共有鍵を指定しない場合、システムは 16 文字の文字列を事前共有鍵としてランダムに生成します。 重要 IPsec-VPN 接続とピアゲートウェイデバイスは、同じ事前共有鍵を使用する必要があります。そうでない場合、システムは IPsec-VPN 接続を確立できません。	この例では、fddsFF123**** を使用します。
   暗号化構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	この例では、デフォルトの暗号化設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。
   トンネル 2	スタンバイトンネルの VPN パラメータを構成します。
   カスタマーゲートウェイ	スタンバイトンネルに関連付けるカスタマーゲートウェイを選択します。	この例では、CustomerGW2 を選択します。
   事前共有鍵	ID を検証するために、スタンバイトンネルの事前共有鍵を入力します。	この例では、fddsFF456**** を使用します。
   暗号化構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	この例では、デフォルトの暗号化設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。

4. [確立済み] ダイアログボックスで、[OK] をクリックします。

5. IPsec 接続 ページで、作成した IPsec-VPN 接続を見つけ、操作 列の [ピア構成の生成] をクリックします。

   IPsec ピアの構成は、IPsec-VPN 接続を作成するときに追加する必要がある VPN 構成を指します。この例では、VPN 構成をデータセンターのゲートウェイデバイスに追加する必要があります。

6. IPsec-VPN 接続の設定 ダイアログボックスで、構成をコピーしてオンプレミスマシンに保存します。データセンターのゲートウェイデバイスを構成するときに、これらの構成が必要です。

上部のナビゲーションバーで、IPsec-VPN 接続を作成するリージョンを選択します。

IPsec-VPN 接続と VPN Gateway が同じリージョンにあることを確認してください。

1. 左側のナビゲーションウィンドウで、相互接続 > VPN > IPsec 接続 を選択します。

2. IPsec 接続 ページで、[VPN Gateway のバインド] をクリックします。

3. [IPsec-VPN 接続 (VPN) の作成] ページで、接続パラメータを構成し、[OK] をクリックします。

   IKEv1 を使用する場合、ローカルネットワークセクションに複数の CIDR ブロックを追加することはできません。この場合、DTS と VPC のトラフィックを送信するために 2 つの IPsec-VPN 接続を作成する必要があります。

   パラメータ	説明	IPsec-VPN 接続 1	IPsec-VPN 接続 2
   名前	IPsec-VPN 接続の名前。	この例では、IPsec-Connection1 を使用します。	この例では、IPsec-Connection2 を使用します。
   リージョン	IPsec-VPN 接続に関連付ける VPN Gateway がデプロイされているリージョンを選択します。 IPsec-VPN 接続は、VPN Gateway と同じリージョンに作成されます。	この例では、VPN Gateway を選択します。	この例では、VPN Gateway を選択します。
   VPN Gateway のバインド	IPsec-VPN 接続に関連付ける VPN Gateway を選択します。	この例では、VPN Gateway VPNGW を選択します。	この例では、VPN Gateway VPNGW を選択します。
   ルーティングモード	ルーティングモードを選択します。 宛先ルーティングモード: トラフィックは宛先 IP アドレスに基づいて転送されます。 保護されたデータフロー: 送信元 IP アドレスと宛先 IP アドレスに基づいてトラフィックを転送します。	この例では、保護されたデータフロー を選択します。	この例では、保護されたデータフロー を選択します。
   ローカルネットワーク	VPN Gateway インスタンスが関連付けられている VPC の CIDR ブロックを入力します。	VPC の CIDR ブロック: 10.0.0.0/8	DTS サーバーの CIDR ブロック: 100.104.0.0/16 重要 DTS サーバーの CIDR ブロックを ローカルネットワーク セクションに追加する必要があります。これにより、DTS は VPN Gateway 経由でピアエンドのデータベースにアクセスできます。 DTS で使用される CIDR ブロックの詳細については、「DTS サーバーの CIDR ブロックを追加する」をご参照ください。
   リモートネットワーク	データセンターの CIDR ブロックを入力します。	この例では、172.16.0.0/12 を使用します。	この例では、172.16.0.0/12 を使用します。
   今すぐ有効化	構成をすぐに有効にするかどうかを指定します。有効な値: はい: 構成が完了した後、ネゴシエーションを開始します。 いいえ: インバウンドトラフィックが検出されたときにネゴシエーションを開始します。	この例では、はい を選択します。	この例では、はい を選択します。
   BGP 設定	IPsec-VPN 接続で BGP プロトコルを使用する場合は、BGP を有効にします。 BGP はデフォルトで無効になっています。	この例では、デフォルト値を使用します。 BGP は無効になっています。	この例では、デフォルト値を使用します。 BGP は無効になっています。
   トンネル 1	アクティブトンネルの VPN パラメータを構成します。 デフォルトでは、トンネル 1 がアクティブトンネル、トンネル 2 がスタンバイトンネルとして機能します。この構成は変更できません。
   カスタマーゲートウェイ	アクティブトンネルに関連付けるカスタマーゲートウェイを選択します。	この例では、CustomerGW1 を選択します。	この例では、CustomerGW1 を選択します。
   事前共有鍵	ID を検証するために使用されるアクティブトンネルの事前共有鍵。 事前共有鍵は 1 ～ 100 文字で、数字、文字、および次の文字を含めることができます: ~ ` ! @ # $ % ^ & * ( ) _ - + = { } [ ] \ | ; : ' , . < > / ? 事前共有鍵を指定しない場合、システムは 16 文字の文字列を事前共有鍵としてランダムに生成します。 重要 IPsec-VPN 接続とピアゲートウェイデバイスは、同じ事前共有鍵を使用する必要があります。そうでない場合、システムは IPsec-VPN 接続を確立できません。	この例では、fddsFF123**** を使用します。	この例では、fddsFF123**** を使用します。
   暗号化構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	IKE バージョンとして IKEv1 を選択し、他の機能にはデフォルト設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。	IKE バージョンとして IKEv1 を選択し、他の機能にはデフォルト設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。
   トンネル 2	スタンバイトンネルの VPN パラメータを構成します。
   カスタマーゲートウェイ	スタンバイトンネルに関連付けるカスタマーゲートウェイを選択します。	この例では、CustomerGW2 を選択します。	この例では、CustomerGW2 を選択します。
   事前共有鍵	ID を検証するために、スタンバイトンネルの事前共有鍵を入力します。	この例では、fddsFF456**** を使用します。	この例では、fddsFF456**** を使用します。
   暗号化構成	IKE、IPsec、デッドピア検出 (DPD)、および NAT トラバーサル機能のパラメータを構成します。	IKE バージョンとして IKEv1 を選択し、他の機能にはデフォルト設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。	IKE バージョンとして IKEv1 を選択し、他の機能にはデフォルト設定を使用します。詳細については、「デュアルトンネルモードで IPsec-VPN 接続を作成および管理する」をご参照ください。

4. [確立済み] ダイアログボックスで、[OK] をクリックします。

5. IPsec 接続 ページで、作成した IPsec-VPN 接続を見つけ、操作 列の [ピア構成の生成] をクリックします。

   IPsec ピアの構成は、IPsec-VPN 接続を作成するときに追加する必要がある VPN 構成を指します。この例では、VPN 構成をデータセンターのゲートウェイデバイスに追加する必要があります。

6. IPsec-VPN 接続の設定 ダイアログボックスで、構成をコピーしてオンプレミスマシンに保存します。データセンターのゲートウェイデバイスを構成するときに、これらの構成が必要です。

上部のナビゲーションバーで、IPsec-VPN 接続を作成するリージョンを選択します。

IPsec-VPN 接続と VPN Gateway が同じリージョンにあることを確認してください。

1. ステップ 3 でダウンロードした VPN 構成をデータセンターのゲートウェイデバイスに追加します。

   1. ゲートウェイデバイスの CLI を開きます。

   2. IKEv2 プロポーザルとポリシーを構成します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      crypto ikev2 proposal alicloud
      encryption aes-cbc-128          // 暗号化アルゴリズムを構成します。この例では、aes-cbc-128 を使用します。
      integrity sha1                  // 認証アルゴリズムを構成します。この例では、sha1 を使用します。
      group 2                         // DH グループを構成します。この例では、グループ 2 を使用します。
      exit
      !
      crypto ikev2 policy Pureport_Pol_ikev2
      proposal alicloud
      exit
      !

   3. IKEv2 キーリングを構成します。

      // オンプレミスゲートウェイデバイス 1 に次の構成を追加します。
      crypto ikev2 keyring alicloud
      peer alicloud
      address 47.XX.XX.3               // IPsec-VPN 接続のアクティブトンネルのパブリック IP アドレスを構成します。この例では、47.XX.XX.3 を使用します。
      pre-shared-key fddsFF123****     // 事前共有鍵を構成します。この例では、fddsFF123**** を使用します。
      exit
      !
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      crypto ikev2 keyring alicloud
      peer alicloud
      address 47.XX.XX.169             // IPsec-VPN 接続のスタンバイトンネルのパブリック IP アドレスを構成します。この例では、47.XX.XX.169 を使用します。
      pre-shared-key fddsFF456****     // 事前共有鍵を構成します。この例では、fddsFF456**** を使用します。
      exit
      !

   4. IKEv2 プロファイルを構成します。

      // オンプレミスゲートウェイデバイス 1 に次の構成を追加します。
      crypto ikev2 profile alicloud
      match identity remote address 47.XX.XX.3 255.255.255.255  // IPsec-VPN 接続のアクティブトンネルのパブリック IP アドレスと一致します。この例では、47.XX.XX.3 を使用します。
      identity local address 211.XX.XX.36  // ゲートウェイデバイス 1 のパブリック IP アドレスを構成します。この例では、211.XX.XX.36 を使用します。
      authentication remote pre-share // VPN Gateway の認証モードを PSK に設定します。
      authentication local pre-share  // データセンターの認証モードを PSK に設定します。
      keyring local alicloud          // IKEv2 キーリングを呼び出します。
      exit
      !
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      crypto ikev2 profile alicloud
      match identity remote address 47.XX.XX.169 255.255.255.255  // IPsec-VPN 接続のスタンバイトンネルのパブリック IP アドレスと一致します。この例では、47.XX.XX.169 を使用します。
      identity local address 211.XX.XX.71  // ゲートウェイデバイス 2 のパブリック IP アドレスを構成します。この例では、211.XX.XX.71 を使用します。
      authentication remote pre-share // VPN Gateway の認証モードを PSK に設定します。
      authentication local pre-share  // データセンターの認証モードを PSK に設定します。
      keyring local alicloud          // IKEv2 キーリングを呼び出します。
      exit
      !

   5. 変換を設定します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      crypto ipsec transform-set TSET esp-aes esp-sha-hmac
      mode tunnel
      exit
      !

   6. アクセス制御を実装するための ACL を作成します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

   7. IPsec ポリシーを作成します。

      // オンプレミスゲートウェイデバイス 1 に次の構成を追加します。
      crypto map ipsecpro64 10 ipsec-isakmp
      set peer 47.XX.XX.3
      set transform-set TSET
      set ikev2-profile alicloud
      set pfs group2
      match address 100
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      crypto map ipsecpro64 10 ipsec-isakmp
      set peer 47.XX.XX.169
      set transform-set TSET
      set ikev2-profile alicloud
      set pfs group2
      match address 100

   8. IPsec トンネルを設定します。

      // オンプレミスゲートウェイデバイス 1 に次の構成を追加します。
      interface GigabitEthernet1                 // アクティブトンネルに使用されるインターフェースの IP アドレスを構成します。
      ip address 211.XX.XX.36 255.255.255.0
      crypto map ipsecpro64			// IPsec ポリシーを適用します。
      negotiation auto
      !
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      interface GigabitEthernet1                 // スタンバイトンネルに使用されるインターフェースの IP アドレスを構成します。
      ip address 211.XX.XX.71 255.255.255.0
      crypto map ipsecpro64		  // IPsec ポリシーを適用します。
      negotiation auto
      !

2. データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 にルーティング構成を追加します。

   1. ゲートウェイデバイス 1 とゲートウェイデバイス 2 に VPC を指すルートを追加します。

      // ゲートウェイデバイス 1 に VPC を指すルートを追加します。
      ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
      ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
      // ゲートウェイデバイス 2 に VPC を指すルートを追加します。
      ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
      ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

   2. ネットワーク環境に基づいてデータセンターにルートを追加します。ルートは、ネットワークトラフィックがデータセンターから VPC に、オンプレミスゲートウェイデバイス 1 を優先して送信されるようにする必要があります。オンプレミスゲートウェイデバイス 1 がダウンした場合、オンプレミスゲートウェイデバイス 2 が自動的に引き継ぎます。特定のコマンドについては、ベンダーにお問い合わせください。

1. ステップ 3 でダウンロードした VPN 構成をデータセンターのゲートウェイデバイスに追加します。

   1. ゲートウェイデバイスの CLI を開きます。

   2. ISAKMP ポリシーを作成します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      crypto isakmp policy 1
      authentication pre-share
      encryption aes
      hash sha
      group  2
      lifetime 86400

   3. 事前共有鍵を設定します。

      // データセンターのゲートウェイデバイス 1 に次の構成を追加します。
      crypto isakmp key fddsFF123**** address 47.XX.XX.3
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      crypto isakmp key fddsFF456**** address 47.XX.XX.169

   4. IPsec プロトコルを構成します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac
      mode tunnel

   5. アクセス制御を実装するための ACL を作成します。

      // データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 に次の構成を追加します。
      access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

   6. IPsec ポリシーを作成します。

      // オンプレミスゲートウェイデバイス 1 に次の構成を追加します。
      crypto map ipsecpro64 10 ipsec-isakmp
      set peer 47.XX.XX.3
      set transform-set ipsecpro64
      set pfs group2
      match address 100
      // オンプレミスゲートウェイデバイス 2 に次の構成を追加します。
      crypto map ipsecpro64 10 ipsec-isakmp
      set peer 47.XX.XX.169
      set transform-set ipsecpro64
      set pfs group2
      match address 100

   7. IPsec ポリシーを適用します。

      // データセンターのゲートウェイデバイス 1 に次の構成を追加します。
      interface GigabitEthernet1    // パブリック IP アドレスが割り当てられているインターフェースに IPsec ポリシーを適用します。
      crypto map ipsecpro64
      // データセンターのゲートウェイデバイス 2 に次の構成を追加します。
      interface GigabitEthernet1    // パブリック IP アドレスが割り当てられているインターフェースに IPsec ポリシーを適用します。
      crypto map ipsecpro64

2. データセンターのゲートウェイデバイス 1 とゲートウェイデバイス 2 にルーティング構成を追加します。

   1. ゲートウェイデバイス 1 とゲートウェイデバイス 2 に VPC を指すルートを追加します。

      // ゲートウェイデバイス 1 に VPC を指すルートを追加します。
      ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
      ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
      // ゲートウェイデバイス 2 に VPC を指すルートを追加します。
      ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
      ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

   2. ネットワーク環境に基づいてデータセンターにルートを追加します。ルートは、ネットワークトラフィックがデータセンターから VPC に、オンプレミスゲートウェイデバイス 1 を優先して送信されるようにする必要があります。オンプレミスゲートウェイデバイス 1 がダウンした場合、オンプレミスゲートウェイデバイス 2 が自動的に引き継ぎます。特定のコマンドについては、ベンダーにお問い合わせください。