VPN Gateway:H3Cファイアウォールの設定

シングル出力と静的ルーティング

単一出力のシナリオでは、H3Cファイアウォールの単一出力を2つのトンネルインターフェイスにバインドし、トンネルインターフェイスの異なるIPsecプロファイルを設定して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続できます。

手順1: インターフェイスとネットワークの設定

H3CファイアウォールのパブリックおよびプライベートインターフェイスのIPアドレスとセキュリティゾーンを個別に設定し、H3Cファイアウォールにルートを追加します。

# Configure a public interface.
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# Configure a private interface.
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# Add the public and private interfaces to their respective security zone.
security-zone name Untrust
 import interface GigabitEthernet 2/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# Configure routes for the public IP addresses of the peer VPN gateway on Alibaba Cloud, with the next hop pointing to the gateway IP address that routes traffic to the Internet.
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.32.0.173
# Configure a route for the CIDR block of the local internal network, with the next hop pointing to the gateway IP address that routes traffic to the internal network.
ip route-static 10.0.0.0 8 10.34.0.253

手順2: トンネルの設定

2つのトンネルインターフェイスを作成して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続します。

# Configure the tunnel interfaces and apply IPsec to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit

# Add the tunnel interfaces to the Untrust security zone.
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順3: IPsecプロポーザルと関連ポリシーの設定

IPsecとIKEを設定します。 IPsecとIKEの設定は、Alibaba Cloud側の設定と一致している必要があります。

# Configure an IPsec proposal.
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# Configure an IKEv2 proposal and an IKEv2 policy.
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# Configure IKEv2 keychains. Specify the active and standby tunnels on Alibaba Cloud as the two peers. Set the address parameter to the public IP addresses of the active and standby tunnels on Alibaba Cloud.
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# Configure IKEv2 profiles. Specify the active and standby tunnels on Alibaba Cloud as the two peers.
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# Configure IPsec profiles and reference the preceding IKEv2 profiles.
# We recommend that you specify only the time-based SA lifetime. If you specify the traffic-based SA lifetime, set it to the maximum value.
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# Configure the tunnel interfaces and apply the IPsec profiles to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.32.0.175
 destination 39.XX.XX.10
 quit

# Configure routes for the peer VPC CIDR block to point to the tunnel interfaces. Tunnel 1 serves as the active tunnel and has a higher priority than Tunnel 2.
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

ステップ4: ACLの設定

アクセス制御リスト (ACL) を設定して、IKEプロトコルトラフィックとIPsecデータトラフィックを許可します。

# Configure an ACL to allow IKE negotiation packets and IPsec data packets between the Untrust security zone and any other zone. In this example, the configurations are simplified. You can configure a fine-grained ACL based on your business requirements.
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

ステップ5: 結果の確認

データセンターのサーバーからH3Cファイアウォールにルートを追加した後、データセンターとAlibaba Cloud上のVPC間のネットワーク接続をデータセンターからテストできます。 アクティブトンネルとスタンバイトンネルの間で切り替えを実行できるかどうかを確認することもできます。

1. VPCとデータセンター間のネットワーク接続をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. ECSインスタンスでpingコマンドを実行し、データセンターのサーバーにpingを実行して、データセンターのアクセシビリティをテストします。

      ECSインスタンスにエコー応答パケットが返された場合、VPCがデータセンターと通信できることを示します。

      ping <Private IP address of a server in the data center>

2. IPsec-VPN接続の高可用性をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. 次のコマンドを実行して、ECSインスタンスからデータセンターにパケットを連続的に送信します。

      ping <Private IP address of a server in the data center> -c 10000

   3. IPsec-VPN接続のアクティブなトンネルを閉じます。

      アクティブトンネルを閉じるには、アクティブトンネルの事前共有キーを変更します。 アクティブなトンネルは、トンネルの両側が異なる事前共有鍵を使用するときに閉じられる。

   4. アクティブなトンネルが閉じられた後、ECSインスタンスのトラフィックステータスを確認できます。 トラフィックが中断されてから再開された場合は、アクティブなトンネルがダウンした後にスタンバイトンネルが自動的に引き継ぐことを示します。

シングル出力とBGP動的ルーティング

単一出力のシナリオでは、H3Cファイアウォールの単一出力を2つのトンネルインターフェイスにバインドし、トンネルインターフェイスの異なるIPsecプロファイルを設定して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続できます。

手順1: インターフェイスとネットワークの設定

H3CファイアウォールのパブリックおよびプライベートインターフェイスのIPアドレスとセキュリティゾーンを個別に設定し、H3Cファイアウォールにルートを追加します。

# Configure a public interface.
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# Configure a private interface.
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# Add the public and private interfaces to their respective security zone.
security-zone name Untrust
 import interface GigabitEthernet 2/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# Configure routes for the public IP addresses of the peer VPN gateway on Alibaba Cloud, with the next hop pointing to the gateway IP address that routes traffic to the Internet.
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.32.0.173
# Configure a route for the CIDR block of the local internal network, with the next hop pointing to the gateway IP address that routes traffic to the internal network.
ip route-static 10.0.0.0 8 10.34.0.253

手順2: トンネルの設定

2つのトンネルインターフェイスを作成して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続します。

# Configure the tunnel interfaces and apply IPsec to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit

# Add the tunnel interfaces to the Untrust security zone.
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順3: IPsecプロポーザルと関連ポリシーの設定

IPsecとIKEを設定します。 IPsecとIKEの設定は、Alibaba Cloud側の設定と一致している必要があります。

# Configure an IPsec proposal.
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# Configure an IKEv2 proposal and an IKEv2 policy.
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# Configure IKEv2 keychains. Specify the active and standby tunnels on Alibaba Cloud as the two peers. Set the address parameter to the public IP addresses of the active and standby tunnels on Alibaba Cloud.
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# Configure IKEv2 profiles. Specify the active and standby tunnels on Alibaba Cloud as the two peers.
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# Configure IPsec profiles and reference the preceding IKEv2 profiles.
# We recommend that you specify only the time-based SA lifetime. If you specify the traffic-based SA lifetime, set it to the maximum value.
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# Configure the tunnel interfaces and apply the IPsec profiles to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.32.0.175
 destination 39.XX.XX.10
 quit

# Configure routes for the peer VPC CIDR block to point to the tunnel interfaces. Tunnel 1 serves as the active tunnel and has a higher priority than Tunnel 2.
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

ステップ4: ACLの設定

IKEプロトコルトラフィックとIPsecデータトラフィックを許可するようにACLを設定します。

# Configure an ACL to allow IKE negotiation packets and IPsec data packets between the Untrust security zone and any other zone. In this example, the configurations are simplified. You can configure a fine-grained ACL based on your business requirements.
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

手順5: BGP動的ルーティングの設定

# Configure IP addresses for the tunnel interfaces to establish BGP peering with the VPN gateway on Alibaba Cloud.
interface tunnel 1 mode ipsec
 ip address 169.254.10.2 30
 quit
interface tunnel 2 mode ipsec
 ip address 169.254.20.2 30
 quit

# Delete the static routes that point to the tunnels in the static routing scenario.
undo ip route-static 192.168.0.0 16 Tunnel 1 preference 10
undo ip route-static 192.168.0.0 16 Tunnel 2 preference 20

# Configure BGP dynamic routing. The H3C firewall advertises 10.0.0.0/8 to the VPN gateway on Alibaba Cloud.
bgp 65500
peer 169.254.10.1 as-number 65535
peer 169.254.20.1 as-number 65535
address-family ipv4 unicast
peer 169.254.10.1 enable
peer 169.254.20.1 enable
network 10.0.0.0 8  # Advertise the CIDR block 10.0.0.0/8.

設定が完了したら、BGP接続を確認します。

BGP動的ルーティングを確認します。

ルートテーブルを確認します。

ステップ6: 結果を確認する

データセンターのクライアントからH3Cファイアウォールにルートを追加した後、データセンターとAlibaba Cloud上のVPC間のネットワーク接続をデータセンターからテストできます。 アクティブトンネルとスタンバイトンネルの間で切り替えを実行できるかどうかを確認することもできます。

1. VPCとデータセンター間のネットワーク接続をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. ECSインスタンスでpingコマンドを実行し、データセンターのサーバーにpingを実行して、データセンターのアクセシビリティをテストします。

      ECSインスタンスにエコー応答パケットが返された場合、VPCがデータセンターと通信できることを示します。

      ping <Private IP address of a server in the data center>

2. IPsec-VPN接続の高可用性をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. 次のコマンドを実行して、ECSインスタンスからデータセンターにパケットを連続的に送信します。

      ping <Private IP address of a server in the data center> -c 10000

   3. IPsec-VPN接続のアクティブなトンネルを閉じます。

      アクティブトンネルを閉じるには、アクティブトンネルの事前共有キーを変更します。 アクティブなトンネルは、トンネルの両側が異なる事前共有鍵を使用するときに閉じられる。

   4. アクティブなトンネルが閉じられた後、ECSインスタンスのトラフィックステータスを確認できます。 トラフィックが中断されてから再開された場合は、アクティブなトンネルがダウンした後にスタンバイトンネルが自動的に引き継ぐことを示します。

デュアルegressesと静的ルーティング

デュアル出力シナリオでは、H3Cファイアウォールの2つの出力を2つのトンネルインターフェイスにバインドし、トンネルインターフェイス用に異なるIPsecプロファイルを設定して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続できます。

手順1: インターフェイスとネットワークの設定

H3CファイアウォールのパブリックおよびプライベートインターフェイスのIPアドレスとセキュリティゾーンを個別に設定し、H3Cファイアウォールにルートを追加します。

# Configure Public Interface 1.
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# Configure Public Interface 2.
interface GigabitEthernet 3/0
 ip addr 10.33.0.238 24
 quit
 
# Configure a private interface.
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# Add the public and private interfaces to their respective security zone.
security-zone name Untrust
 import interface GigabitEthernet 2/0
 import interface GigabitEthernet 3/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# Configure 32-bit routes for the public IP addresses of the peer VPN gateway on Alibaba Cloud, with the next hops pointing to the gateway IP addresses that route traffic to the Internet.
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.33.0.236
# Configure a route for the CIDR block of the local internal network, with the next hop pointing to the gateway IP address that routes traffic to the internal network.
ip route-static 10.0.0.0 8 10.34.0.253

手順2: トンネルの設定

2つのトンネルインターフェイスを作成して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続します。

# Configure the tunnel interfaces and apply IPsec to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 quit

# Add the tunnel interfaces to the Untrust security zone.
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順3: IPsecプロポーザルと関連ポリシーの設定

IPsecとIKEを設定します。 IPsecとIKEの設定は、Alibaba Cloud側の設定と一致している必要があります。

# Configure an IPsec proposal.
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# Configure an IKEv2 proposal and an IKEv2 policy.
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# Configure IKEv2 keychains. Specify the active and standby tunnels on Alibaba Cloud as the two peers. Set the address parameter to the public IP addresses of the active and standby tunnels on Alibaba Cloud.
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# Configure IKEv2 profiles. Specify the active and standby tunnels on Alibaba Cloud as the two peers.
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 116.XX.XX.68
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# Configure IPsec profiles and reference the preceding IKEv2 profiles.
# We recommend that you specify only the time-based SA lifetime. If you specify the traffic-based SA lifetime, set it to the maximum value.
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# Configure the tunnel interfaces and apply the IPsec profiles to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.33.0.238
 destination 39.XX.XX.10
 quit

# Configure routes for the peer VPC CIDR block to point to the tunnel interfaces. Tunnel 1 serves as the active tunnel and has a higher priority than Tunnel 2.
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

ステップ4: ACLの設定

IKEプロトコルトラフィックとIPsecデータトラフィックを許可するようにACLを設定します。

# Configure an ACL to allow IKE negotiation packets and IPsec data packets between the Untrust security zone and any other zone. In this example, the configurations are simplified. You can configure a fine-grained ACL based on your business requirements.
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

ステップ5: 結果の確認

データセンターのクライアントからH3Cファイアウォールにルートを追加した後、データセンターとAlibaba Cloud上のVPC間のネットワーク接続をデータセンターからテストできます。 アクティブトンネルとスタンバイトンネルの間で切り替えを実行できるかどうかを確認することもできます。

1. VPCとデータセンター間のネットワーク接続をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. ECSインスタンスでpingコマンドを実行し、データセンターのサーバーにpingを実行して、データセンターのアクセシビリティをテストします。

      ECSインスタンスにエコー応答パケットが返された場合、VPCがデータセンターと通信できることを示します。

      ping <Private IP address of a server in the data center>

2. IPsec-VPN接続の高可用性をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. 次のコマンドを実行して、ECSインスタンスからデータセンターにパケットを連続的に送信します。

      ping <Private IP address of a server in the data center> -c 10000

   3. IPsec-VPN接続のアクティブなトンネルを閉じます。

      アクティブトンネルを閉じるには、アクティブトンネルの事前共有キーを変更します。 アクティブなトンネルは、トンネルの両側が異なる事前共有鍵を使用するときに閉じられる。

   4. アクティブなトンネルが閉じられた後、ECSインスタンスのトラフィックステータスを確認できます。 トラフィックが中断されてから再開された場合は、アクティブなトンネルがダウンした後にスタンバイトンネルが自動的に引き継ぐことを示します。

デュアルエグレスとBGP動的ルーティング

デュアル出力シナリオでは、H3Cファイアウォールの2つの出力を2つのトンネルインターフェイスにバインドし、トンネルインターフェイス用に異なるIPsecプロファイルを設定して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続できます。

手順1: インターフェイスとネットワークの設定

H3CファイアウォールのパブリックおよびプライベートインターフェイスのIPアドレスとセキュリティゾーンを個別に設定し、H3Cファイアウォールにルートを追加します。

# Configure Public Interface 1.
interface GigabitEthernet 2/0
 ip addr 10.32.0.175 24
 quit

# Configure Public Interface 2.
interface GigabitEthernet 3/0
 ip addr 10.33.0.238 24
 quit
 
# Configure a private interface.
interface GigabitEthernet 4/0
 ip addr 10.34.0.10 24
 quit

# Add the public and private interfaces to their respective security zone.
security-zone name Untrust
 import interface GigabitEthernet 2/0
 import interface GigabitEthernet 3/0
 quit
security-zone name Trust
 import interface GigabitEthernet 4/0
 quit

# Configure 32-bit routes for the public IP addresses of the peer VPN gateway on Alibaba Cloud, with the next hops pointing to the gateway IP addresses that route traffic to the Internet.
ip route-static 39.XX.XX.17 32 10.32.0.173
ip route-static 39.XX.XX.10 32 10.33.0.236
# Configure a route for the CIDR block of the local internal network, with the next hop pointing to the gateway IP address that routes traffic to the internal network.
ip route-static 10.0.0.0 8 10.34.0.253

手順2: トンネルの設定

2つのトンネルインターフェイスを作成して、Alibaba Cloud上のアクティブトンネルとスタンバイトンネルに接続します。

# Configure the tunnel interfaces and apply IPsec to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 quit

# Add the tunnel interfaces to the Untrust security zone.
security-zone name Untrust
 import interface Tunnel 1
 import interface Tunnel 2
 quit

手順3: IPsecプロポーザルと関連ポリシーの設定

IPsecとIKEを設定します。 IPsecとIKEの設定は、Alibaba Cloud側の設定と一致している必要があります。

# Configure an IPsec proposal.
ipsec transform-set to-ali-trans
 encapsulation-mode tunnel
 protocol esp
 esp authentication-algorithm sha256
 esp encryption-algorithm aes-cbc-256
 pfs dh-group14
 quit

# Configure an IKEv2 proposal and an IKEv2 policy.
ikev2 proposal to-ali-prop
 dh group14
 encryption aes-cbc-256
 integrity sha256
 prf sha256
 quit
ikev2 policy to-ali-policy
 priority 1
 proposal to-ali-prop
 quit

# Configure IKEv2 keychains. Specify the active and standby tunnels on Alibaba Cloud as the two peers. Set the address parameter to the public IP addresses of the active and standby tunnels on Alibaba Cloud.
ikev2 keychain to_ali_key1
 peer to-ali-peer1
  address 39.XX.XX.17 32
  identity address 39.XX.XX.17
  pre-shared-key plaintext ChangeMe****
  quit
 quit
ikev2 keychain to_ali_key2
 peer to-ali-peer2
  address 39.XX.XX.10 32
  identity address 39.XX.XX.10
  pre-shared-key plaintext ChangeMe****
  quit
 quit

# Configure IKEv2 profiles. Specify the active and standby tunnels on Alibaba Cloud as the two peers.
ikev2 profile to-ali-profile1
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key1
 identity local address 8.XX.XX.3
 match remote identity address 39.XX.XX.17 32
 sa duration 86400
 dpd interval 30 periodic
 quit
 
ikev2 profile to-ali-profile2
 authentication-method local pre-share
 authentication-method remote pre-share
 keychain to_ali_key2
 identity local address 116.XX.XX.68
 match remote identity address 39.XX.XX.10 32
 sa duration 86400
 dpd interval 30 periodic
 quit


# Configure IPsec profiles and reference the preceding IKEv2 profiles.
# We recommend that you specify only the time-based SA lifetime. If you specify the traffic-based SA lifetime, set it to the maximum value.
ipsec profile to-ali-profile1 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile1
 sa duration time-based 86400
 quit

ipsec profile to-ali-profile2 isakmp
 transform-set to-ali-trans
 ikev2-profile to-ali-profile2
 sa duration time-based 86400
 quit
 
# Configure the tunnel interfaces and apply the IPsec profiles to the tunnel interfaces.
interface tunnel 1 mode ipsec
 ip address unnumbered interface GigabitEthernet 2/0
 tunnel protection ipsec profile to-ali-profile1
 source 10.32.0.175
 destination 39.XX.XX.17
 quit
interface tunnel 2 mode ipsec
 ip address unnumbered interface GigabitEthernet 3/0
 tunnel protection ipsec profile to-ali-profile2
 source 10.33.0.238
 destination 39.XX.XX.10
 quit

# Configure routes for the peer VPC CIDR block to point to the tunnel interfaces. Tunnel 1 serves as the active tunnel and has a higher priority than Tunnel 2.
ip route-static 192.168.0.0 16 Tunnel 1 preference 10
ip route-static 192.168.0.0 16 Tunnel 2 preference 20

ステップ4: ACLの設定

IKEプロトコルトラフィックとIPsecデータトラフィックを許可するようにACLを設定します。

# Configure an ACL to allow IKE negotiation packets and IPsec data packets between the Untrust security zone and any other zone. In this example, the configurations are simplified. You can configure a fine-grained ACL based on your business requirements.
acl advanced 3001
 rule 0 permit ip
 quit
zone-pair security source any destination any
 packet-filter 3001
 quit

手順5: BGP動的ルーティングの設定

# Configure IP addresses for the tunnel interfaces to establish BGP peering with the VPN gateway on Alibaba Cloud.
interface tunnel 1 mode ipsec
 ip address 169.254.10.2 30
 quit
interface tunnel 2 mode ipsec
 ip address 169.254.20.2 30
 quit

# Delete the static routes that point to the tunnels in the static routing scenario.
undo ip route-static 192.168.0.0 16 Tunnel 1 preference 10
undo ip route-static 192.168.0.0 16 Tunnel 2 preference 20

# Configure BGP dynamic routing. The H3C firewall advertises 10.0.0.0/8 to the VPN gateway on Alibaba Cloud.
bgp 65500
peer 169.254.10.1 as-number 65535
peer 169.254.20.1 as-number 65535
address-family ipv4 unicast
peer 169.254.10.1 enable
peer 169.254.20.1 enable
network 10.0.0.0 8  # Advertise the CIDR block 10.0.0.0/8.

設定が完了したら、BGP接続を確認します。

BGP動的ルーティングを確認します。

ルートテーブルを確認します。

ステップ6: 結果を確認する

データセンターのクライアントからH3Cファイアウォールにルートを追加した後、データセンターとAlibaba Cloud上のVPC間のネットワーク接続をデータセンターからテストできます。 アクティブトンネルとスタンバイトンネルの間で切り替えを実行できるかどうかを確認することもできます。

1. VPCとデータセンター間のネットワーク接続をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. ECSインスタンスでpingコマンドを実行し、データセンターのサーバーにpingを実行して、データセンターのアクセシビリティをテストします。

      ECSインスタンスにエコー応答パケットが返された場合、VPCがデータセンターと通信できることを示します。

      ping <Private IP address of a server in the data center>

2. IPsec-VPN接続の高可用性をテストします。

   1. VPC の ECS インスタンスにログインします。 ECSインスタンスにログインする方法の詳細については、接続方法の概要.

   2. 次のコマンドを実行して、ECSインスタンスからデータセンターにパケットを連続的に送信します。

      ping <Private IP address of a server in the data center> -c 10000

   3. IPsec-VPN接続のアクティブなトンネルを閉じます。

      アクティブトンネルを閉じるには、アクティブトンネルの事前共有キーを変更します。 アクティブなトンネルは、トンネルの両側が異なる事前共有鍵を使用するときに閉じられる。

   4. アクティブなトンネルが閉じられた後、ECSインスタンスのトラフィックステータスを確認できます。 トラフィックが中断されてから再開された場合は、アクティブなトンネルがダウンした後にスタンバイトンネルが自動的に引き継ぐことを示します。