本設定例では、VPC に 作成した VPN Gateway を、お客様拠点に設置した NEC IX ルーターと IPsec-VPN で接続します。
事前準備
ネットワークや IP アドレスの設計を事前に設計し、接続する VPC に VPN Gateway を購入します。
本設定例では、クラウド側の VPC (セグメント 192.168.0.0/24) と NEC IX ルーター側 (セグメント 192.168.100.0/24) を Route-based で接続します。
本設定例について
Alibaba Cloud の VPC との接続を保証するものではありません。
2019年 8 月の仕様に基づいて記載しています。確認しているファームウェアは下記のとおりです。今後、サービス内容の変更や、仕様変更などによって接続できなくなる可能性があります。
本設定例でテスト済みの NEC IX ルーターは以下になります。
モデル | バージョン |
---|---|
NEC IX2215 | Version 10.1.16 |
NEC IX に関する情報および設定方法については NEC お問い合わせ窓口までお問い合わせください。
設定手順
ステップ 1:VPN Gateway の設定
- 対象 VPC に VPN Gateway とカスタマーゲートウェイを作成します。カスタマーゲートウェイの設定ではお客様拠点 ルーターのグローバル IP アドレスを使って設定します。VPN Gateway 、カスタマーゲートウェイの具体的な設定方法は、「サイト間コネクションの設定」をご参照ください。
IPsec Connections より VPN 接続を作成します。
- 「名前」任意の識別名を入力します。
- 「VPN Gateway」上項で作成したVPN Gateway名を選択します。
- 「カスタマーゲートウェイ」 上項で作成したカスタマーゲートウェイを選択します。
- 「ローカルネットワーク」 (0.0.0.0/0)を入力します。
- 「リモートネットワーク」 (0.0.0.0/0)を入力します。
- 「今すぐ有効化」“はい”を選択します。
- 「高度な構成」有効にします。
- 「事前共有鍵」拠点ルーター側と同一の任意の共有鍵を入力します。
- 「バージョン」 ikev2 を選択します。
<以下の設定はオプションになります。> - 「ヘルスチェック」 有効にします。
- 「宛先 IP」お客様拠点側サブネット内の疎通可能な任意のIPアドレスを入力します。
- 「送信元 IP」クラウド側サブネットの内で任意のIPアドレスを入力します。
- 「再試行間隔」任意の間隔を指定します。
- 「再試行回数」任意の回数を指定します。
- 「OK」ボタンを押します。
注意: ヘルスチェックを有効にすると VPN Gateway が対向のピアにヘルスチェックを送信し、IPsecトンネルの通信断を検出できるようになり、チェックが失敗した場合にはIPsecの再接続を試みます。そのほか項目についても運用方針に沿って指定いただけますが、拠点ルーター側と合わせる必要があります。
ルートの追加をします。
上記完了後、下記のポップアップが表示されるので、OKボタンを押します。
下記、VPN-GW のルートテーブル画面へ遷移しますので、宛先ベースルーティングのタブを選択し、ルートエントリの追加を行います。
ルートエントリの追加は下記の様に行います。
「宛先 CIDR ブロック」お客様拠点側セグメントを設定します。
「VPC に公開」“はい”を選択します。
「OK」ボタンを押します。
VPN-GW のルートテーブルにてルートエントリの追加が行われ、ステータスが公開済みとなっていることを確認します。IPsec Connectionsの画面より、VPN 接続が追加されることを確認します。
ステップ 2:NEC IX ルーターの設定
NEC IX ルーターにアクセスし以下の項目を設定します。
IPsec接続設定
ikev2 authentication psk id ipv4 <VPN Gatewayのグローバル IP アドレス> key char <Alibaba Cloud VPN Gatewayと同一の任意の共有鍵>
ikev2 authentication psk id ipv4 <お客様拠点ルーターのグローバル IP アドレス> key char <Alibaba Cloud VPN Gatewayと同一の任意の共有鍵>
!
ikev2 default-profile
child-lifetime 86400
local-authentication psk id ipv4 <お客様拠点ルーターのグローバル IP アドレス>
sa-lifetime 86400
WAN インターフェイスの NAPT 設定
interface GigaEthernet <Number>
ip address <お客様拠点ルーターのグローバル IP アドレス>
ip napt enable
ip napt static GigaEthernet<Number> 50
ip napt static GigaEthernet<Number> udp 500
ip napt static GigaEthernet<Number> udp 4500
no shutdown
Tunnelインターフェイスの設定
interface Tunnel <Number>
tunnel mode ipsec-ikev2
ip unnumbered GigaEthernet <お客様ルーターの LAN インターフェイス>
ip tcp adjust-mss auto
ikev2 connect-type auto
ikev2 peer <VPN Gateway のグローバルIPアドレス> authentication psk id ipv4 <VPN Gateway のグローバル IP アドレス>
no shutdown
経路設定
ip route 192.168.0.0/24 Tunnel <Number>
注意:ルーティング,ポリシー等の項目についても運用方針に沿ってお客様拠点側機器を設定する必要があります。ステップ1で VPN Gateway のヘルスチェックを利用する場合は送信元 IP からの ICMP パケットをお客様拠点側機器で許可する必要があります。
ステップ 3:ステータス確認
NEC IX ルーターの設定が完了し、接続が成功すれば、接続ステータスが「成功」、ヘルスチェックステータスが「正常」に変わります。
ステップ4:接続のテスト
VPC 内の ECS インスタンスにログインし、拠点内のプライベート IP アドレスに ping を送信して、VPC と拠点側の通信が成功することを確認します。