VPN Gateway:VPNゲートウェイを介してVPC内のデータベースにデータを同期する

左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec接続] を選択します。

上部のナビゲーションバーで、IPsec-VPN接続を作成するリージョンを選択します。

IPsec-VPN接続とVPN gatewayが同じリージョンにあることを確認してください。

[確立] ダイアログボックスで、[OK] をクリックします。

IPsec 接続 ページで、作成したIPsec-VPN接続を見つけ、操作 列の [ピア構成の生成] をクリックします。

IPsecピアの設定は、IPsec-VPN接続を作成するときに追加する必要があるVPN設定を参照します。 この例では、データセンターのゲートウェイデバイスにVPN設定を追加する必要があります。

VPN 接続の構成 ダイアログボックスで、設定をコピーしてオンプレミスのコンピューターに保存します。 設定は、データセンターのゲートウェイデバイスを設定するときに必要です。

手順3でダウンロードしたVPN設定をデータセンターのゲートウェイデバイスに追加します。

1. ゲートウェイデバイスのCLIを開きます。

2. IKEv2の提案とポリシーを設定します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   crypto ikev2 proposal alicloud  
   encryption aes-cbc-128          //Configure the encryption algorithm. In this example, aes-cbc-128 is used. 
   integrity sha1                  //Configure the authentication algorithm. In this example, sha1 is used. 
   group 2                         //Configure the DH group. In this example, group 2 is used. 
   exit
   !
   crypto ikev2 policy Pureport_Pol_ikev2
   proposal alicloud
   exit
   !

3. IKEv2キーリングを設定します。

   // Add the following configurations to Gateway Device 1 in the data center:
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.3               // Configure the public IP address of the active tunnel for the IPsec-VPN connection. In this example, 47.XX.XX.3 is used. 
   pre-shared-key fddsFF123****     // Configure the pre-shared key. In this example, fddsFF123**** is used. 
   exit
   !
   // Add the following configurations to Gateway Device 2 in the data center:
   crypto ikev2 keyring alicloud
   peer alicloud
   address 47.XX.XX.169               // Configure the public IP address of the standby tunnel for the IPsec-VPN connection. In this example, 47.XX.XX. 169. 
   pre-shared-key fddsFF456****     // Configure the pre-shared key. In this example, fddsFF456**** is used. 
   exit
   !

4. IKEv2プロファイルを設定します。

   // Add the following configurations to Gateway Device 1 in the data center:
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.3 255.255.255.255    // Match the public IP address of the active tunnel of the IPsec-VPN connection. In this example, 47.XX.XX.3 is used. 
   identity local address 211.XX.XX.36    // Configure the public IP address of Gateway Device 1. In this example, 211.XX.XX.36 is used. 
   authentication remote pre-share   // Set the authentication mode of the VPN gateway to PSK. 
   authentication local pre-share    // Set the authentication mode of the data center to PSK. 
   keyring local alicloud            // Invoke the IKEv2 keyring. 
   exit
   !
   // Add the following configurations to Gateway Device 2 in the data center:
   crypto ikev2 profile alicloud
   match identity remote address 47.XX.XX.169 255.255.255.255    // Match the public IP address of the standby tunnel of the IPsec-VPN connection. In this example, 47.XX.XX.169 is used. 
   identity local address 211.XX.XX.71    // Configure the public IP address of Gateway Device 2. In this example, 211.XX.XX.71 is used. 
   authentication remote pre-share   // Set the authentication mode of the VPN gateway to PSK. 
   authentication local pre-share    // Set the authentication mode of the data center to PSK. 
   keyring local alicloud            // Invoke the IKEv2 keyring. 
   exit
   !

5. 変換を設定します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   crypto ipsec transform-set TSET esp-aes esp-sha-hmac
   mode tunnel
   exit
   !

6. アクセス制御リスト (ACL) を作成して、アクセス制御を実装します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

7. IPsecポリシーを作成します。

   // Add the following configurations to Gateway Device 1 in the data center:
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100
   // Add the following configurations to Gateway Device 2 in the data center:
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set TSET
   set ikev2-profile alicloud
   set pfs group2
   match address 100

8. IPsecトンネルを設定します。

   // Add the following configurations to Gateway Device 1 in the data center:
   interface GigabitEthernet1                 // Configure the IP address of the interface that is used for the active tunnel. 
   ip address 211.XX.XX.36 255.255.255.0
   crypto map ipsecpro64			// Apply the IPsec policy.
   negotiation auto
   !
   // Add the following configurations to Gateway Device 2 in the data center:
   interface GigabitEthernet1                 // Configure the IP address of the interface that is used for the standby tunnel. 
   ip address 211.XX.XX.71 255.255.255.0
   crypto map ipsecpro64		  // Apply the IPsec policy.
   negotiation auto
   !

手順3でダウンロードしたVPN設定をデータセンターのゲートウェイデバイスに追加します。

1. ゲートウェイデバイスのCLIを開きます。

2. ISAKMPポリシーを作成します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   crypto isakmp policy 1 
   authentication pre-share 
   encryption aes
   hash sha 
   group  2
   lifetime 86400

3. 事前共有キーを設定します。

   // Add the following configurations to Gateway Device 1 in the data center:
   crypto isakmp key fddsFF123**** address 47.XX.XX.3
   // Add the following configurations to Gateway Device 2 in the data center:
   crypto isakmp key fddsFF456**** address 47.XX.XX.169

4. IPsec プロトコルを設定します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   crypto ipsec transform-set ipsecpro64 esp-aes esp-sha-hmac 
   mode tunnel

5. アクセス制御を実装するためのACLを作成します。

   // Add the following configurations to Gateway Device 1 and Gateway Device 2 in the data center:
   access-list 100 permit ip 172.16.0.0 0.15.255.255 10.0.0.0 0.255.255.255

6. IPsecポリシーを作成します。

   // Add the following configurations to Gateway Device 1 in the data center:
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.3
   set transform-set ipsecpro64
   set pfs group2
   match address 100
   // Add the following configurations to Gateway Device 2 in the data center:
   crypto map ipsecpro64 10 ipsec-isakmp
   set peer 47.XX.XX.169
   set transform-set ipsecpro64
   set pfs group2
   match address 100

7. IPsecポリシーを適用します。

   // Add the following configurations to Gateway Device 1 in the data center:
   interface GigabitEthernet1    // Apply the IPsec policy to the interface that is assigned a public IP address.
   crypto map ipsecpro64
   // Add the following configurations to Gateway Device 2 in the data center:
   interface GigabitEthernet1    // Apply the IPsec policy to the interface that is assigned a public IP address.
   crypto map ipsecpro64

データセンターのゲートウェイデバイス1とゲートウェイ2にルーティング設定を追加します。

1. VPCを指すルートをゲートウェイデバイス1とゲートウェイデバイス2に追加します。

   // Add a route that points to the VPC to Gateway Device 1.
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.3
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.3
   // Add a route that points to the VPC to Gateway Device 2.
   ip route 10.0.0.0 255.0.0.0  47.XX.XX.169
   ip route 100.104.0.0 255.255.0.0  47.XX.XX.169

2. ネットワーク環境に基づいてデータセンターにルートを追加します。 このルートでは、ネットワークトラフィックをデータセンターからVPCに優先的にゲートウェイデバイス1を介して送信できるようにする必要があります。 ゲートウェイ装置1がダウンしている場合、ゲートウェイ装置2は自動的に引き継ぐ。 ベンダーに連絡して、特定のコマンドに関する情報を入手してください。