IPsec-VPNを使用してAlibaba Cloud VPCをAmazon VPCに接続する

例

以下の図は一例です。 企業は、Alibaba Cloudのドイツ (フランクフルト) リージョンにVPCを作成し、Amazon Web Services (AWS) のヨーロッパ (フランクフルト) リージョンにVPCを作成します。 企業は、Alibaba Cloud VPCとAmazon VPCが相互に通信することを望んでいます。

企業は、Alibaba CloudとAWS VPNのパブリックVPNゲートウェイを使用してIPsec-VPN接続を確立し、2つのVPC間の暗号化通信を可能にします。

手順

手順3: VPN gatewayをAlibaba Cloudにデプロイする

AWSでVPNリソースを設定した後、次の情報に基づいてAlibaba CloudにVPNゲートウェイをデプロイし、Amazon VPCとAlibaba Cloud VPCの間にIPsec-VPN接続を確立します。

1. カスタマーゲートウェイを作成します。

   1. VPN Gatewayコンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [カスタマーゲートウェイ] を選択します。

   3. 上部のナビゲーションバーで、カスタマーゲートウェイを作成するリージョンを選択します。

      接続するカスタマーゲートウェイとVPNゲートウェイが同じリージョンにデプロイされていることを確認してください。

   4. カスタマーゲートウェイ ページで、カスタマーゲートウェイの作成 をクリックします。

   5. カスタマーゲートウェイの作成 パネルで、次のパラメーターを設定し、OK をクリックします。

      2つのカスタマーゲートウェイを作成し、AWS Site-to-Site VPN接続のトンネルの外部IPアドレスをカスタマーゲートウェイのIPアドレスとして使用する必要があります。 次の表に、このトピックに関連するパラメーターのみを示します。 他のパラメータのデフォルト値を使用することも、空のままにすることもできます。 詳細については、「カスタマーゲートウェイの作成と管理」をご参照ください。

      重要

      カスタマーゲートウェイのIPアドレスとして、各サイト間VPN接続のトンネル1の外部IPアドレスのみを使用します。 デフォルトでは、各サイト間VPN接続のトンネル2の外部IPアドレスは使用されません。 IPsec-VPN接続が作成された後、各サイト間VPN接続のトンネル2は使用できません。

      パラメーター	説明	カスタマーゲートウェイ1	カスタマーゲートウェイ2

      パラメーター	説明	カスタマーゲートウェイ1	カスタマーゲートウェイ2
      名前	カスタマーゲートウェイの名前。	[Customer Gateway 1] を入力します。	Customer Gateway 2を入力します。
      IP アドレス	AWSトンネルの外部IPアドレスを入力します。	3.XX. XX.52を入力します。	3.XX. XX.56を入力します。
      ASN	AWS仮想プライベートゲートウェイのBGP ASN。 説明 BGP動的ルーティングモードを使用する場合は、このパラメーターを設定する必要があります。	64512を入力します。	64512を入力します。

2. IPsec-VPN 接続を作成します。

   1. 左側のナビゲーションウィンドウで、[相互接続] > [VPN] > [IPsec接続] を選択します。

   2. 上部のナビゲーションバーで、IPsec-VPN接続を作成するリージョンを選択します。

      IPsec-VPN接続とVPN gatewayが同じリージョンにあることを確認してください。

   3. IPsec 接続 ページで、VPN 接続の作成 をクリックします。

   4. VPN 接続の作成 ページで、次の情報に基づいてIPsec-VPN接続を設定し、[OK] をクリックします。

      パラメーター	説明	例

      パラメーター	説明	例
      名前	IPsec-VPN接続の名前。	[IPsec接続] を入力します。
      リソースの関連付け	IPsec-VPN接続に関連付けるネットワークリソースのタイプを選択します。	この例では、VPN Gatewayが選択されています。
      VPNゲートウェイ	IPsec-VPN接続に関連付けるVPNゲートウェイ。	[VPN Gateway] を選択します。
      ルーティングモード	ルーティングモードを選択します。 宛先ルーティングモード: トラフィックは宛先IPアドレスに基づいて転送されます。 保護されたデータフロー: トラフィックは、送信元と送信先のIPアドレスに基づいて転送されます。	静的ルーティングモードを使用する場合は、[保護されたデータフロー] を選択することを推奨します。 ローカルネットワーク: 10.0.0.0/16と入力します。 リモートネットワーク: 192.168.0.0/16と入力します。 BGP動的ルーティングモードを使用する場合は、宛先ルーティングモードを選択することを推奨します。
      今すぐ有効化有効	接続のネゴシエーションをすぐに開始するかどうかを指定します。 有効値: はい: 設定完了後にネゴシエーションを開始します。 いいえ: インバウンドトラフィックが検出されると、ネゴシエーションを開始します。	この例では、はいが選択されています。
      BGPの有効化	Border Gateway Protocol (BGP) を有効にするかどうかを指定します。 IPsec-VPN接続にBGPルーティングを使用する場合は、[BGPの有効化] をオンにします。 デフォルトでは、Enable BGPはオフになっています。	この例では、[BGPの有効化] をオフにして、デフォルトで静的ルーティングモードを使用します。 IPsec-VPN接続の作成後にBGP動的ルーティングを使用する場合は、BGP設定を個別に追加できます。
      トンネル1	アクティブなトンネルのVPNパラメーターを設定します。 デフォルトでは、トンネル1はアクティブトンネルとして機能し、トンネル2はスタンバイトンネルとして機能します。 この設定は変更できません。
      カスタマーゲートウェイ	アクティブなトンネルに関連付けるカスタマーゲートウェイ。	[カスタマーゲートウェイ1] を選択します。
      事前共有鍵	IDの検証に使用されるアクティブなトンネルの事前共有キー。 事前共有キーは、長さが1〜100文字でなければならず、数字、文字、および次の文字を含むことができます。 @ # $ % ^ & * ( ) _ - + = { } [ ] \ | ; : ' , . < > / ? 事前共有キーを指定しない場合、事前共有キーとして16文字の文字列がランダムに生成されます。 重要 トンネルおよびピアゲートウェイデバイスは、同じ事前共有鍵を使用しなければならない。 そうしないと、システムはIPsec-VPN接続を確立できません。	現在のトンネルの事前共有キーは、接続するAWSトンネルのキーと同じである必要があります。
      暗号化設定	IKE、IPsec、デッドピア検出 (DPD) 、およびNATトラバーサル機能のパラメーターを設定します。	IKE 構成のSA ライフサイクル (秒) の値は、AWSで指定された値と同じである必要があります。 この例では、値は28800に設定されています。 IPsec 構成のSA ライフサイクル (秒) の値は、AWSで指定された値と同じである必要があります。 この例では、値は3600に設定されています。 他のパラメーターにはデフォルト値を使用します。 詳細については、「デュアルトンネルモードでのIPsec-VPN接続の作成と管理」をご参照ください。
      トンネル2	スタンバイトンネルのVPNパラメーターを設定します。
      カスタマーゲートウェイ	スタンバイトンネルに関連付けるカスタマーゲートウェイ。	[カスタマーゲートウェイ2] を選択します。
      事前共有鍵	IDの検証に使用されるスタンバイトンネルの事前共有キー。	現在のトンネルの事前共有キーは、接続するAWSトンネルのキーと同じである必要があります。
      暗号化設定	IKE、IPsec、デッドピア検出 (DPD) 、およびNATトラバーサル機能のパラメーターを設定します。	IKE 構成のSA ライフサイクル (秒) の値は、AWSで指定された値と同じである必要があります。 この例では、値は28800に設定されています。 IPsec 構成のSA ライフサイクル (秒) の値は、AWSで指定された値と同じである必要があります。 この例では、値は3600に設定されています。 他のパラメーターにはデフォルト値を使用します。 詳細については、「デュアルトンネルモードでのIPsec-VPN接続の作成と管理」をご参照ください。

   5. [作成済み] メッセージで、[OK] をクリックします。

3. VPNゲートウェイのルートをアドバタイズします。

   静的ルーティングの使用

   BGP動的ルーティングの使用

   IPsec-VPN接続を作成した後、VPNゲートウェイのルートをアドバタイズする必要があります。 ルーティングモード として [保護されたデータフロー] を選択した場合、IPsec-VPN接続の作成後にVPNゲートウェイのポリシーベースのルートが作成されます。 ルートは未公開の状態です。 VPNゲートウェイのポリシーベースのルートをVPCにアドバタイズする必要があります。

   1. 左側のナビゲーションウィンドウで、相互接続 > VPN > VPN Gateway.

   2. 上部のナビゲーションバーで、VPN gatewayが存在するリージョンを選択します。

   3. [VPN gateway] ページで、管理するVPN gatewayを見つけ、そのIDをクリックします。

   4. VPNゲートウェイの詳細ページで、ポリシーベースルーティングタブで、管理するルートを見つけて、をクリックします。公開で、操作列を作成します。

   5. ルートエントリの公開 メッセージで、[OK] をクリックします。

   1. IPsec-VPN接続のBGP動的ルーティングを設定します。

      1. 左側のナビゲーションウィンドウで、相互接続 > VPN > IPsec 接続.

      2. [IPsec 接続] ページで、IPsec-VPN接続を見つけ、そのIDをクリックします。

      3. IPsec 接続 セクションで、[BGPの有効化] の横にある [編集] をクリックします。 BGP 設定 ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。

         パラメーター	説明	IPsec-VPN接続設定
         ローカル ASN	IPsec-VPN接続のASN。	65530を入力します。
         トンネル1	アクティブなトンネルに追加されたBGP設定。	IPsec-VPN接続のアクティブなトンネルのBGP設定を追加します。
         トンネル CIDR ブロック	IPsecトンネリングに使用されるCIDRブロック。	169.254.116.208/30を入力します。
         ローカル BGP IP アドレス	IPsec-VPN接続のBGP IPアドレス。 このIPアドレスは、IPsecトンネリングのCIDRブロック内にある必要があります。	169.254.116.210を入力します。
         トンネル2	スタンバイトンネル用に追加されたBGP設定。	IPsec-VPN接続のスタンバイトンネルのBGP設定を追加します。
         トンネル CIDR ブロック	IPsecトンネリングに使用されるCIDRブロック。	169.254.214.96/30と入力します。
         ローカル BGP IP アドレス	IPsec-VPN接続のBGP IPアドレス。 このIPアドレスは、IPsecトンネリングのCIDRブロック内にある必要があります。	169.254.214.98を入力します。

   2. VPNゲートウェイの自動BGPルート伝播を有効にするには、次の手順を実行します。

      1. 左側のナビゲーションウィンドウで、相互接続 > VPN > VPN Gateway.

      2. On theVPN GatewayページでVPNゲートウェイを見つけ、ポインタをアイコンをクリックし、自動 BGP 伝播を有効にするで、アクション列を作成します。

      3. では、自動 BGP 伝播を有効にするメッセージ, クリックOK.