暗号化されたプライベート接続の原理と設定方法 - VPN Gateway

Express Connect回線とcloud Enterprise Network (CEN) を介してデータセンターと仮想プライベートクラウド (VPC) 間にプライベート接続を確立した後、プライベート接続は暗号化されません。これは、セキュリティリスクを引き起こす。ネットワークセキュリティを向上させるために、プライベートVPNゲートウェイを使用して、Express Connect回線を介したプライベート接続 (以下、プライベート接続と呼びます) を暗号化できます。このトピックでは、暗号化されたプライベート接続の原理と設定方法について説明します。

重要

プライベートネットワーク上で暗号化されたトンネルを確立する場合は、プライベートIPsec-VPN接続をトランジットルーター (TR) に関連付けることをお勧めします。詳細については、「複数のプライベートIPsec-VPN接続を作成して負荷分散を実装する」をご参照ください。

制御ポリシー機能の動作

Express Connect回線とCENを介してデータセンターとVPCの間にプライベート接続を確立すると、プライベートVPNゲートウェイとオンプレミスゲートウェイデバイスの間に暗号化されたトンネルを確立できます。データセンターとVPC間のネットワークトラフィックを暗号化されたトンネルにルーティングするルートを設定できます。このように、トンネルを介して送信されるネットワークトラフィックは暗号化される。

私网连接方案概述

次の例では、プライベート接続の暗号化方法について説明します。この例では、プライベート接続を使用して、データセンターのクライアントがVPCのElastic Compute Service (ECS) インスタンスにアクセスします。

流量传输说明

いいえ	ノード	説明
1	クライアント	クライアントは要求を開始する。クライアントは、ルートテーブルを照会し、要求パケットをオンプレミスゲートウェイ装置に転送する。
2	オンプレミスゲートウェイデバイス	オンプレミスゲートウェイデバイスが要求パケットを受信した後、オンプレミスゲートウェイデバイスは、宛先IPアドレスおよびIPsec構成に基づいて、要求パケットを暗号化し、カプセル化する。リクエストパケットが暗号化されてカプセル化された後、宛先IPアドレスはVPNゲートウェイのプライベートIPアドレスに変わります。オンプレミスゲートウェイ装置は、ルートテーブルを照会し、新しい宛先IPアドレスに基づいて、要求パケットを仮想ボーダールータ (VBR) に転送する。
3	VBR	VBRがリクエストパケットを受信した後、VBRはルートテーブルを照会し、リクエストパケットをCENインスタンスに転送します。
4	CENインスタンス	CENインスタンスがリクエストパケットを受信すると、CENインスタンスはルートテーブルを照会し、リクエストパケットをVPCに転送します。
5	VPC	VPCがリクエストパケットを受信すると、VPCはルートテーブルにクエリを実行し、リクエストパケットをVPNゲートウェイに転送します。
6	VPN ゲートウェイ	VPNゲートウェイが要求パケットを受信した後、VPNゲートウェイは、要求パケットを復号化し、再カプセル化する。 VPNゲートウェイはルートテーブルを照会し、リクエストパケットの宛先IPアドレスに基づいてリクエストパケットをECSインスタンスに転送します。
7	ECS インスタンス	ECSインスタンスがリクエストパケットを受信すると、ECSインスタンスは応答パケットをクライアントに送信します。 ECSインスタンスはルートテーブルを照会し、応答パケットの宛先IPアドレスに基づいてVPNゲートウェイに応答パケットを転送します。
8	VPN ゲートウェイ	VPNゲートウェイが応答パケットを受信した後、VPNゲートウェイは、応答パケットを暗号化し、カプセル化する。応答パケットが暗号化され、カプセル化された後、その宛先IPアドレスは、オンプレミスゲートウェイ装置のVPN IPアドレスに変化する。 VPNゲートウェイはルートテーブルを照会し、新しい宛先IPアドレスに基づいて応答パケットをVPCに転送します。
9	VPC	VPCが応答パケットを受信すると、VPCはルートテーブルを照会し、応答パケットをCENインスタンスに転送します。
10	CENインスタンス	CENインスタンスが応答パケットを受信した後、CENインスタンスはルートテーブルを照会し、応答パケットをVBRに転送します。
11	VBR	VBRが応答パケットを受信した後、VBRはルートテーブルに問い合わせ、応答パケットをオンプレミスゲートウェイデバイスに転送する。
12	オンプレミスゲートウェイデバイス	オンプレミスゲートウェイデバイスが応答パケットを受信した後、オンプレミスゲートウェイデバイスは、応答パケットを復号化し、再カプセル化する。オンプレミスゲートウェイ装置は、ルートテーブルを照会し、応答パケットの宛先IPアドレスに基づいて応答パケットをクライアントに転送する。

設定方法

プライベートVPNゲートウェイを使用してプライベート接続を暗号化するには、VPNゲートウェイと、VPNゲートウェイに接続されているVBRをさまざまな方法で設定できます。次の表では、設定方法の違いを説明し、チュートリアルへのリンクを示します。

設定方法	説明	チュートリアル	VPN接続中断後の通信への影響
方法 1	VBRおよびVPNゲートウェイの静的ルーティングを設定します。	静的ルートを使用したプライベート接続の暗号化	プライベート接続は暗号化されなくなりました。データセンターとVPC間のプライベート接続が中断されました。 VPNゲートウェイでアドバタイズされているルートを手動で撤回できます。ルートを撤回すると、VPCはExpress Connect回線とCENを介してデータセンターに接続されます。
方法 2	VBRの静的ルーティングを設定します。 VPNゲートウェイのボーダーゲートウェイプロトコル (BGP) 動的ルーティングを設定します。説明静的ルーティングがVPNゲートウェイに設定されている場合、VBRのBGP動的ルーティングを設定できません。	静的ルーティングとBGPルーティングを使用したプライベート接続の暗号化	プライベート接続は暗号化されなくなりました。システムは、VPNゲートウェイでアドバタイズされるBGP動的ルートを自動的に撤回します。 VPCは、Express Connect回線とCENを介してデータセンターに接続されます。
方法 3	VBRおよびVPNゲートウェイのBGP動的ルーティングを設定します。	BGPルーティングを使用したプライベート接続の暗号化	プライベート接続は暗号化されなくなりました。システムは、VPNゲートウェイでアドバタイズされるBGP動的ルートを自動的に撤回します。 VPCは、Express Connect回線とCENを介してデータセンターに接続されます。