VPN Gateway:ポリシーベースのルートの設定

ポリシーベースのルートの一致ルール (ルートの優先順位を含む)

VPNゲートウェイがトラフィックを転送するとき、次の一致ルールが適用されます。

1. ポリシーベースのルートは、ルート優先度の降順でトラフィックと照合されます。 優先度の値が小さいほど優先度が高いことを示す。 VPNゲートウェイは、トラフィックと一致するルートに基づいてトラフィックを転送します。

   VPNゲートウェイにアクティブ /スタンバイポリシーベースのルートが設定されている場合、VPNゲートウェイは、ルートのIPsec-VPN接続がIPsecネゴシエーションステータスとヘルスチェックステータスの条件を満たしているかどうかに基づいてポリシーベースのルートを選択します。

   • アクティブなポリシーベースのルートがIPsecネゴシエーションとヘルスチェックの両方に合格した場合、アクティブなポリシーベースのルートが使用されます。

   • アクティブなポリシーベースのルートがIPsecネゴシエーションまたはヘルスチェックに失敗したが、スタンバイポリシーベースのルートがIPsecネゴシエーションおよびヘルスチェックに合格した場合、スタンバイポリシーベースのルートが使用されます。

   • アクティブなポリシーベースのルートとスタンバイのポリシーベースのルートの両方がIPsecネゴシエーションまたはヘルスチェックに失敗した場合、アクティブなポリシーベースのルートが使用されます。

2. 複数のポリシーベースのルートに同じ優先度が割り当てられている場合、トラフィックは、シーケンス番号に基づいてポリシーベースのルートと照合されます。 VPNゲートウェイは、最初に一致したポリシーベースのルートを使用してトラフィックを転送します。

   各ルートには、システムに適用されるときにシーケンス番号が割り当てられます。 ほとんどの場合、以前に設定されたルートは最初にシステムに配信され、後で設定されたルートよりも優先度が高くなります。 ただし、これは保証されていません。 場合によっては、後で設定されたルートが最初にシステムに配信され、以前に設定されたルートよりも優先度が高くなります。

推奨事項

トラフィックを期待どおりに転送できるようにするには、ポリシーベースのルートごとに異なる優先順位を設定することをお勧めします。

アクティブ /スタンバイのポリシーベースのルートを設定する場合は、アクティブとスタンバイの両方のポリシーベースのルートに同じ優先度を設定することをお勧めします。

例

前の図に示すように、Data Center_1はIPsec-VPN接続1を介してVPC_1と通信し、Data Center_2はIPsec-VPN接続2を介してVPC_1と通信します。 VPC_1に接続するData Center_1のCIDRブロックは192.168.1.0/24と192.168.2.0/24、VPC_1に接続するData Center_2のCIDRブロックは192.168.5.0/24、データセンターに接続するVPC_1のCIDRブロックは172.16.0.0/16です。

ポリシーベースのルートを設定するときは、最初にVPC_1からData Center_2へのルートを設定してから、VPC_1からData Center_1へのルートの宛先CIDRブロックを192.168.0.0/21に集約する必要があります。 両方のポリシーベースのルートは、同じ優先順位を有する。 上記の設定を完了すると、ポリシーベースのルートは、設定した順序でシステムに適用されません。 これにより、次の表に示すように、ポリシーベースのルートの宛先CIDRブロックのシーケンス番号が中断されます。

VPNゲートウェイがVPC_1からData Center_2にトラフィックを転送する場合、両方のポリシーベースのルートの優先順位が同じであるため、ネットワークトラフィックはルートと順番に照合されます。 VPC_1からData Center_2へのトラフィックは、シーケンス番号が1のルートと一致します。 その結果、VPC_1からData Center_2へのトラフィックは、IPsec-VPN接続1を介してData Center_1にルーティングされます。

上記のシナリオでは、ポリシーベースのルートがシステムに適用される時間を制御できません。 その結果、ポリシーベースのルートは所望の順序でソートされず、トラフィックは所望のルートを使用して転送されない。 この問題を防ぐには、ポリシーベースのルートごとに異なる優先順位を設定することをお勧めします。 このようにして、トラフィックは、ポリシーベースのルートのシーケンスに影響されることなく、1つのルートのみに一致します。

この例では、次の表に示すようにルートを設定することを推奨します。 シーケンス番号1のポリシーベースのルートが最初にシステムに適用されますが、優先度は低くなります。 したがって、VPNゲートウェイがVPC_1からData Center_2にトラフィックを転送するとき、トラフィックはシーケンス番号2のポリシーベースのルートと一致し、トラフィックは期待どおりにData Center_2に転送されます。

ポリシーベースのルートの一致ルール (ルート優先順位を除く)

VPNゲートウェイがトラフィックを転送するとき、ネットワークトラフィックは、最長プレフィックスではなくシーケンス番号に基づいてポリシーベースのルートと照合されます。 ネットワークトラフィックがポリシーベースのルートと一致する場合、VPNゲートウェイは直ちにポリシーベースのルートを使用してトラフィックを転送します。

• ポリシーベースのルートのシーケンス番号は、ルートがシステムに適用される時間によって決定されます。 ほとんどの場合、以前に設定されたルートは最初にシステムに適用され、後で設定されたルートよりも優先度が高くなります。 ただし、これは保証されていません。 場合によっては、後で設定されたルートが最初にシステムに適用され、以前に設定されたルートよりも優先度が高くなります。

• VPNゲートウェイにアクティブ /スタンバイポリシーベースのルートが設定されている場合、VPNゲートウェイは、ルートのIPsec-VPN接続がIPsecネゴシエーションステータスとヘルスチェックステータスの条件を満たしているかどうかに基づいてポリシーベースのルートを選択します。

  • アクティブなポリシーベースのルートがIPsecネゴシエーションとヘルスチェックの両方に合格した場合、アクティブなポリシーベースのルートが使用されます。

  • アクティブなポリシーベースのルートがIPsecネゴシエーションまたはヘルスチェックに失敗したが、スタンバイポリシーベースのルートがIPsecネゴシエーションおよびヘルスチェックに合格した場合、スタンバイポリシーベースのルートが使用されます。

  • アクティブなポリシーベースのルートとスタンバイのポリシーベースのルートの両方がIPsecネゴシエーションまたはヘルスチェックに失敗した場合、アクティブなポリシーベースのルートが使用されます。

推奨事項

トラフィックが目的のルートを使用して転送されるようにするには、ポリシーベースのルートに小さなCIDRブロックを指定し、トラフィックが1つのポリシーベースのルートでのみ一致するようにすることをお勧めします。

例

前の図に示すように、Data Center_1はIPsec-VPN接続1を介してVPC_1と通信し、Data Center_2はIPsec-VPN接続2を介してVPC_1と通信します。 VPC_1に接続するData Center_1のCIDRブロックは192.168.1.0/24と192.168.2.0/24、VPC_1に接続するData Center_2のCIDRブロックは192.168.5.0/24、データセンターに接続するVPC_1のCIDRブロックは172.16.0.0/16です。

ポリシーベースのルートを作成するときは、まず、VPC_1からData Center_2にトラフィックを転送するルートを作成する必要があります。 次に、VPC_1からData Center_1にトラフィックを転送するルートを作成し、ルートの宛先CIDRブロックを192.168.0.0/21に設定する必要があります。 ルートが作成された後、ルートは作成された順序でシステムに適用されません。 次の表に、ルートのシーケンス番号を示します。

VPNゲートウェイがVPC_1からData Center_2にトラフィックを転送するとき、ネットワークトラフィックはシーケンス番号に基づいてルートと照合されます。 VPC_1からData Center_2へのトラフィックは、シーケンス番号が1のルートと一致します。 その結果、VPC_1からData Center_2へのトラフィックは、IPsec-VPN接続1を介してData Center_1にルーティングされます。

上記のシナリオでは、ポリシーベースのルートがシステムに適用される時間を制御できません。 その結果、ポリシーベースのルートは所望の順序でソートされず、トラフィックは所望のルートを使用して転送されない。 この問題を防ぐには、ポリシーベースのルートに小さいCIDRブロックを指定して、トラフィックが1つのルートにのみ一致するようにすることをお勧めします。 このようにして、トラフィックは、ポリシーベースのルートのシーケンスに影響されることなくルーティングされ得る。

この例では、次の表に示すように、ポリシーベースのルートを設定できます。 VPNゲートウェイがVPC_1からData Center_2にトラフィックを転送する場合、トラフィックはシーケンス番号が2のポリシーベースのルートにのみ一致し、トラフィックは目的のルートを使用してData Center_2に転送されます。