VPN Gateway:strongSwanデバイスの設定

シナリオ

この例では、企業がAlibaba CloudにVPCをデプロイしています。 VPCのCIDRブロックは10.0.0.0/16です。 アプリケーションは、VPCのECS (Elastic Compute Service) インスタンスにデプロイされます。 同社には、VPCと通信するためにCIDRブロック192.168.0.0/16を使用する必要があるデータセンターがあります。 同社は、相互リソースアクセスを実装するために、データセンターとクラウド上のVPC間にIPsec-VPN接続を確立したいと考えています。

CIDRブロックプランとサンプルVPN設定

CIDRブロックプラン

サンプルVPN設定

• この例では、トンネル1はアクティブトンネルであり、トンネル2はスタンバイトンネルである。 2つのトンネルは同じサンプル値を使用する。

• Alibaba CloudとstrongSwanデバイスのVPN設定は、各トンネルで同じである必要があります。

前提条件

このトピックでは、strongSwanデバイスにVPN設定を追加する方法についてのみ説明します。 Alibaba CloudでVPNゲートウェイを設定する手順は省略します。 strongSwanデバイスを設定する前に、VPNゲートウェイの作成、カスタマーゲートウェイの作成、IPsec-VPN接続の作成、およびVPNゲートウェイのルーティングの設定を完了していることを確認してください。 詳細については、「デュアルトンネルモードでVPCをデータセンターに接続する」をご参照ください。

手順

1. strongSwanデバイスのCLIを開きます。

2. 次のコマンドを実行してstrongSwanをインストールします。

   sudo yum install -y strongswan-5.9.10

3. strongSwanデバイスのトラフィック転送を有効にします。

   echo 1 > /proc/sys/net/ipv4/ip_forward

   重要

   上記のコマンドはroot権限を必要とし、一時的なコマンドです。 strongSwanデバイスを再起動した後、コマンドを再度実行する必要があります。 強力なSwanデバイスのトラフィック転送を有効にする場合は、次の手順を実行します。

   手順を展開するにはここをクリック

   1. 次のコマンドを実行して、/etc/sysctl.confファイルを開きます。

      sudo vi /etc/sysctl.conf

   2. Iキーを押して編集モードに入ります。

   3. ファイルに次の設定を追加します。

      net.ipv4.ip_forward = 1

   4. Escキーを押して :wqと入力し、enterキーを押して変更を保存します。

   5. 次のコマンドを実行して、変更を適用します。

      sudo sysctl -p

4. IPsec-VPNトンネルを確立するための2つの仮想ネットワークインターフェイスを作成します。

   sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1, with the interface ID 42 and the public interface eth0 as the underlying interface. 
   sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # Create an XFRM virtual network interface for Tunnel 2, with the interface ID 43 and the public interface eth0 as the underlying interface. 
   sudo ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1. 
   sudo ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   重要

   • XFRM仮想ネットワークインターフェイスを使用するには、strongSwan 5.8.0以降をインストールする必要があります。 また、Linuxのカーネルバージョンは4.19以降、Linuxのiproute2バージョンは5.1.0以降である必要があります。 詳細については、「Linux上のXFRMインターフェイス」をご参照ください。

   • 仮想ネットワークインターフェイスを作成するための上記の設定は、一時的な設定です。 strongSwanデバイスを再起動した後、設定を再度追加し、sudo systemctl restart strongswan;swanctl -- load-allコマンドを実行する必要があります。 コマンドにはroot権限が必要です。 strongSwanデバイスの再起動後に仮想ネットワークインターフェイスを自動的に作成するように、システムの起動時に実行されるスクリプトを構成する場合は、次の手順を実行します。

   手順を展開するにはここをクリック

   1. 次のコマンドを実行してスクリプトを作成します。

      vi xfrm.sh

   2. Iキーを押して編集モードに入ります。

   3. スクリプトに次の設定を追加します。

      sudo ip link add ipsec0 type xfrm dev eth0 if_id 42 # Create an XFRM virtual network interface for Tunnel 1, with the interface ID 42 and the public interface eth0 as the underlying interface. 
      sudo ip link add ipsec1 type xfrm dev eth0 if_id 43 # Create an XFRM virtual network interface for Tunnel 2, with the interface ID 43 and the public interface eth0 as the underlying interface. 
      sudo ip link set ipsec0 up # Start the XFRM virtual network interface for Tunnel 1. 
      sudo ip link set ipsec1 up # Start the XFRM virtual network interface for Tunnel 2.

   4. Escキーを押して :wqと入力し、enterキーを押して変更を保存します。

   5. 次のコマンドを実行して、スクリプトの絶対パスを表示します。

      sudo find / -name xfrm.sh

   6. /etc/rc.d/rc.localファイルに絶対パスを追加します。

      sudo vi /etc/rc.d/rc.local # Open the /etc/rc.d/rc.local file. 
      Press the I key to enter the edit mode.
      /root/xfrm.sh  # Add the absolute path to the /etc/rc.d/rc.local file. 
      Press the Esc key, enter :wq, and then press the Enter key to save the change.

   7. 次のコマンドを実行して、rc.localおよびxfrm.shファイルを実行可能にします。

      sudo chmod +x /etc/rc.d/rc.local
      sudo chmod +x /root/xfrm.sh

5. strongSwan設定ファイルを変更します。

   1. 次のコマンドを実行してstrongSwan設定ファイルを開きます。

      sudo vi /etc/strongswan/swanctl/swanctl.conf

   2. Iキーを押して編集モードに入ります。

   3. ファイル内の元の設定をすべて削除し、次のサンプルコードを参照してファイルにVPN設定を追加します。

      重要

      サンプルコードのIPアドレスを実際に使用するIPアドレスに置き換え、Alibaba CloudのVPN設定とstrongSwanデバイスのVPN設定が同じであることを確認します。

      connections {
         vco1 {                            # The VPN configurations of IPsec-VPN Tunnel 1.
            version = 2                    # The IKE version, which must be the same as that configured for Tunnel 1 on Alibaba Cloud. A value of 2 indicates IKEv2. 
            local_addrs  = 8.XX.XX.99      # The public IP address for which you want to create an IPsec-VPN connection. 
            remote_addrs = 8.XX.XX.149     # Set the remote address of Tunnel 1 to the VPN gateway address of Tunnel 1 on Alibaba Cloud, which is IPsec Address 1. 
            dpd_delay = 10
            rekey_time = 84600             # The SA lifecycle of Tunnel 1, which must be the same as that specified in the IKE configurations of Tunnel 1 on Alibaba Cloud. 
            over_time = 1800               
            proposals = aes-sha1-modp1024  # The encryption algorithm, authentication algorithm, and DH group of Tunnel 1, which must be the same as those specified in the IKE configurations of Tunnel 1 on Alibaba Cloud. A value of group2 indicates modp1024. 
            encap = yes
      
            local {
               auth = psk                  # Set the authentication algorithm of the data center to PSK. 
               id = 8.XX.XX.99             # The ID of the data center, which must be the same as the RemoteId value of Tunnel 1 on Alibaba Cloud. 
            }
            remote {
               auth = psk                  # Set the authentication algorithm of the VPC to PSK. 
               id = 8.XX.XX.149            # The ID of the VPC, which must be the same as the LocalId value of Tunnel 1 on Alibaba Cloud. 
            }
            children {
               vco_child1 {
                  local_ts  = 0.0.0.0/0    # Specify that the CIDR block of the protected data flows for the destination-based route mode on Alibaba Cloud is 0.0.0.0/0. 
                  remote_ts = 0.0.0.0/0    # Specify that the CIDR block of the protected data flows for the destination-based route mode on Alibaba Cloud is 0.0.0.0/0. 
                  mode = tunnel
                  rekey_time = 85500
                  life_time = 86400        # The SA lifecycle of Tunnel 1, which must be the same as that specified in the IPsec configurations of Tunnel 1 on Alibaba Cloud. 
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024   # The encryption algorithm, authentication algorithm, and DH group of Tunnel 1, which must be the same as those specified in the IPsec configurations of Tunnel 1 on Alibaba Cloud. A value of group2 indicates modp1024. 
      
                  if_id_out = 42           # Specify that the XFRM virtual network interface of Tunnel 1 is used as the egress port and ingress port of Tunnel 1. 
                  if_id_in = 42
                  updown = /root/connect_1.sh         # Execute the /root/connect_1.sh script to configure routing based on the UP/DOWN status of Tunnel 1. 
               }
            }
         }
        vco2 {                             # The VPN configurations of IPsec-VPN Tunnel 2.
            version = 2                    # The IKE version, which must be the same as that configured for Tunnel 2 on Alibaba Cloud. A value of 2 indicates IKEv2. 
            local_addrs  = 8.XX.XX.99      # The public IP address for which you want to create an IPsec-VPN connection. 
            remote_addrs = 8.XX.XX.137     # Set the remote address of Tunnel 2 to the VPN gateway address of Tunnel 2 on Alibaba Cloud, which is IPsec address 2. 
            dpd_delay = 10
            rekey_time = 84600             # The SA lifecycle of Tunnel 2, which must be the same as that specified in the IKE configurations of Tunnel 2 on Alibaba Cloud. 
            over_time = 1800               # 
            proposals = aes-sha1-modp1024  # The encryption algorithm, authentication algorithm, and DH group of Tunnel 2, which must be the same as those specified in the IKE configurations of Tunnel 2 on Alibaba Cloud. A value of group2 indicates modp1024. 
            encap = yes
      
            local {
               auth = psk                  # Set the authentication algorithm of the data center to PSK. 
               id = 8.XX.XX.99             # The ID of the data center, which must be the same as the RemoteId value of Tunnel 2 on Alibaba Cloud. 
            }
            remote {
               auth = psk                  # Set the authentication algorithm of the VPC to PSK. 
               id = 8.XX.XX.137            # The ID of the VPC, which must be the same as the LocalId value of Tunnel 2 on Alibaba Cloud. 
            }
            children {
               vco_child2 {
                  local_ts  = 0.0.0.0/0    # Specify that the CIDR block of the protected data flows for the destination-based route mode on Alibaba Cloud is 0.0.0.0/0.
                  remote_ts = 0.0.0.0/0    # Specify that the CIDR block of the protected data flows for the destination-based route mode on Alibaba Cloud is 0.0.0.0/0.
                  mode = tunnel 
                  rekey_time = 85500
                  life_time = 86400        # The SA lifecycle of Tunnel 2, which must be the same as that specified in the IPsec configurations of Tunnel 1 on Alibaba Cloud. 
                  dpd_action = restart
                  start_action = start
                  close_action = start
                  esp_proposals = aes-sha1-modp1024     # The encryption algorithm, authentication algorithm, and DH group of Tunnel 2, which must be the same as those specified in the IPsec configurations of Tunnel 2 on Alibaba Cloud. A value of group2 indicates modp1024. 
                  if_id_out = 43           # Specify that the XFRM virtual network interface of Tunnel 2 is used as the egress port and ingress port of Tunnel 2. 
                  if_id_in = 43
                  updown = /root/connect_2.sh           # Execute the /root/connect_2.sh script to configure routing based on the UP/DOWN status of Tunnel 2. 
               }
            }
         }
      }
      
      secrets {
         ike-vco1 {
            secret = 123456****            # The PSK of Tunnel 1, which must be the same as that configured for Tunnel 1 on Alibaba Cloud. 
         }
         ike-vco2 {
            secret = 123456****            # The PSK of Tunnel 2, which must be the same as that configured for Tunnel 2 on Alibaba Cloud. 
         }
      }

   4. Escキーを押して :wqと入力し、enterキーを押して変更を保存します。

6. 次の手順を参照して、データセンターからCIDRブロックが10.0.0.0/16のVPCへのトラフィックを制御するようにルーティングを設定するスクリプトを作成します。

   1. 次のコマンドを実行して /root/connect_1.shファイルを開きます。

      sudo vi /root/connect_1.sh

   2. Iキーを押して編集モードに入ります。

   3. スクリプトに次の設定を追加します。

      Tunnel 1のステータスがUPの場合、Tunnel 1のXFRM仮想ネットワークインターフェイスを介して、データセンターからCIDRブロックが10.0.0.0/16であるVPCにトラフィックを送信するルートを追加します。 さらに、このルートのメトリック値を100に設定して、このルートに、トンネル2のXFRM仮想ネットワークインターフェイスを指すルートよりも高い優先度を割り当てます。 トンネル1のステータスがDOWNの場合、ルートを撤回します。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 10.0.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route add 10.0.0.0/16 dev ipsec0 metric 100
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 10.0.0.0/16 dev ipsec0" >> /root/vpn_route.log;ip route del 10.0.0.0/16 dev ipsec0 metric 100
      fi

   4. Escキーを押して :wqと入力し、enterキーを押して変更を保存します。

   5. 上記の手順を繰り返して、/root/connect_2.shファイルを変更します。

      Tunnel 2のステータスがUPの場合、Tunnel 2のXFRM仮想ネットワークインターフェイスを介して、データセンターからCIDRブロックが10.0.0.0/16であるVPCにトラフィックを送信するルートを追加します。 さらに、このルートのメトリック値を101に設定して、このルートに、トンネル1のXFRM仮想ネットワークインターフェイスを指すルートよりも低い優先度を割り当てます。 トンネル2のステータスがDOWNの場合、ルートを撤回します。

      #!/usr/bin/env bash
      if [ x"$PLUTO_VERB" == "xup-client" ]; then
      	echo "ip route add 10.0.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route add 10.0.0.0/16 dev ipsec1 metric 101
      elif [ x"$PLUTO_VERB" == "xdown-client" ]; then
      	echo "ip route del 10.0.0.0/16 dev ipsec1" >> /root/vpn_route.log;ip route del 10.0.0.0/16 dev ipsec1 metric 101
      fi

   6. 次のコマンドを実行して、/root/connect_1.shおよび /root/connect_2.shファイルを実行可能にします。

      sudo chmod +x /root/connect_1.sh
      sudo chmod +x /root/connect_2.sh

   7. strongSwanプロセスを再起動します。

      sudo systemctl restart strongswan

7. アクセス制御またはファイアウォールポリシーがstrongSwanデバイスで設定されている場合、ポリシーがUDPポート500および4500を介してAlibaba Cloud側のトンネルのIPアドレスからのアクセスを許可していることを確認します。 次のコマンドを実行して、UDPポート500および4500からのアクセスを許可します。

   # Allow access through the specified ports.
   sudo firewall-cmd --zone=public --add-port=500/udp --permanent
   sudo firewall-cmd --zone=public --add-port=4500/udp --permanent
   sudo systemctl restart firewalld.service
   sudo firewall-cmd --reload
   # View the ports that are already open.
   sudo firewall-cmd --list-ports  

8. トンネルのステータスとルートを表示します。

   通常、上記の手順を実行すると、strongSwanデバイスとVPNゲートウェイの間にIPsec-VPN接続が確立されます。 次のコマンドを実行して、IPsec-VPN接続のトンネルステータスとルートを表示できます。

   sudo swanctl --list-sas  # View the tunnel status.
   route -n            # View the routing configurations.

   

9. データセンター側で、データセンターからstrongSwanデバイスへのルート、およびstrongSwanデバイスからデータセンターへのルートを設定します。

   その後、データセンターとAlibaba Cloud VPC間のネットワーク接続をテストできます。 詳細については、「デュアルトンネルモードでVPCをデータセンターに接続する」の「ステップ6: ネットワーク接続のテスト」セクションをご参照ください。

よくある質問

BGP動的ルーティングは、strongSwanを使用して作成されたIPsec-VPN接続でサポートされていますか?

いいえ。

IKEv1はstrongSwanを使用して作成されたIPsec-VPN接続でサポートされていますか?

はい。

IKEv1を使用するには、/etc/strongswan/swanctl/swanctl.confファイルの設定時にversion = 1を指定します。

strongSwanを使用してIPsec-VPN接続を確立するときに、保護されたデータフローを指定する方法?

保護されたデータフローを指定するには、/etc/strongswan/swanctl/swanctl.confファイルを設定するときに、次のコードブロックの説明に従ってCIDRブロックを追加します。 保護されたデータフローがAlibaba Cloud側のIPsec-VPN接続に指定されていることを確認します。

データセンター側またはAlibaba Cloud側で複数のCIDRブロックを指定する必要がある場合、Alibaba Cloud側のstrongSwanデバイスとIPsec-VPN接続はIKEv2を使用する必要があります。

children {
         vco_child1 {
            local_ts  = 192.168.20.0/24,192.168.50.0/24    # The CIDR block of the data center. 
            remote_ts = 10.0.0.0/16    # The CIDR block of the VPC. 
         }

パブリックIPアドレスが割り当てられていないstrongSwanデバイスとVPNゲートウェイの間にIPsec-VPN接続を確立できますか?

はい。

strongSwanデバイスは、パブリックIPアドレスを使用せずにインターネットにアクセスできます。 たとえば、データセンターのstrongSwanデバイスがデータセンターの統合された出力を使用してインターネットにアクセスする場合、strongSwanデバイスのプライベートIPアドレスを使用してIPsec-VPN接続を確立できます。 strongSwanデバイスのプライベートIPアドレスを使用してIPsec-VPN接続を確立するには、次のコードブロックに基づいて /etc/strongswan/swanctl/swanctl.confファイルを設定します。

connections {
   vco1 {                            
      local_addrs  = 192.168.1.1     # The private IP address of the strongSwan device. 

      local {
         id = 8.XX.XX.99             # The public IP address of the strongSwan device. 
      }
      
   }
}
}