目標

• IPSec VPN の構成パラメーターの文書化
• 仮想ルーター・アプライアンス上の IPSec VPN の構成
• GRE トンネル経由のトラフィックのルーティング

{: caption="図

1. VPN 構成の文書化
2. VRA 上の IPSec VPN の作成
3. データ・センターの VPN とトンネルの構成
4. GRE トンネルの作成
5. 静的 IP 経路の作成
6. ファイアウォールの構成

開始前に

このチュートリアルでは、セキュア・プライベート・ネットワークを使用してワークロードを分離するチュートリアルのセキュア・プライベート・エンクロージャーをデータ・センターに接続します。 そのチュートリアルを先に完了する必要があります。

VPN 構成の文書化

データ・センターと IBM Cloud の間に IPSec VPN サイト間リンクを構成するには、多くの構成パラメーター、トンネルのタイプ、および IP ルーティング情報の決定について、オンサイトのネットワーキング・チームと調整する必要があります。 VPN 接続が動作するには、パラメーターが正確に対応している必要があります。 通常は、オンサイトのネットワーキング・チームが合意された企業標準に合わせて構成を指定し、データ・センターの VPN ゲートウェイの必須 IP アドレスおよびアクセス可能なサブネット・アドレス範囲を提供します。

VPN のセットアップを開始する前に、VPN ゲートウェイの IP アドレスと IP ネットワーク・サブネット範囲を決定し、データ・センターの VPN 構成および IBM Cloud のセキュア・プライベート・ネットワーク・エンクロージャーで使用できるようにする必要があります。 これらを以下の図に示します。セキュア・エンクロージャーの APP ゾーンは、IPSec トンネル経由でクライアント・データ・センターの「DC IP サブネット」内のシステムに接続されます。

VPN を構成する IBM Cloud ユーザーとクライアント・データ・センターのネットワーキング・チームの間で以下のパラメーターについて合意し、文書化する必要があります。 この例では、リモート・トンネルとローカル・トンネルの IP アドレスはそれぞれ 192.168.10.1 と 192.168.10.2 に設定されています。 オンサイトのネットワーキング・チームの同意があれば、任意のサブネットを使用できます。

VRA 上の IPSec VPN の構成

IBM Cloudで VPN を作成するために、変更する必要があるコマンドとすべての変数が <> で強調表示されています。 変更する必要がある行ごとに、行ごとに変更が識別されます。 値は表から 取得されます。

1. SSH で VRA に接続し、[edit] モードに入ります。

   SSH vyatta@<VRA Private IP Address>
   configure
   

2. Internet Key Exchange (IKE) グループを作成します。

   set security vpn ipsec ike-group <ike group name> proposal 1
   set security vpn ipsec ike-group <ike group name> proposal 1 encryption <ike encryption>
   set security vpn ipsec ike-group <ike group name> proposal 1 hash <ike hash>
   set security vpn ipsec ike-group <ike group name> proposal 1 dh-group 2
   set security vpn ipsec ike-group <ike group name> lifetime <ike-lifetime>
   

3. カプセル化セキュリティー・ペイロード (ESP) グループを作成します。

   set security vpn ipsec esp-group <esp group name> proposal 1 encryption <esp encryption>
   set security vpn ipsec esp-group <esp group name> proposal 1 hash <esp hash>
   set security vpn ipsec esp-group <esp group name> lifetime <esp-lifetime>
   set security vpn ipsec esp-group <esp group name> mode tunnel
   set security vpn ipsec esp-group <esp group name> pfs enable
   

4. サイト間接続を定義します。

   set security vpn ipsec site-to-site peer <DC VPN Public IP>  authentication mode pre-shared-secret
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  authentication pre-shared-secret <Shared-Secret>
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  connection-type initiate
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  ike-group <ike group name>
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  local-address <VRA Public IP>
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  default-esp-group <esp group name>
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  tunnel 1
   set security vpn ipsec site-to-site peer <DC VPN Public IP>  tunnel 1 protocol gre
   commit
   

データ・センターの VPN とトンネルの構成

1. クライアント・データ・センターのネットワーク・チームは、< DC VPN パブリック IP> および < VRA パブリック IP> スワップ、ローカル・トンネル・アドレスとリモート・トンネル・アドレス、および < DC サブネット /CIDR> パラメーターと < アプリ・ゾーン・サブネット /CIDR> パラメーターをスワップして、同一の IPSec VPN 接続を構成します。 クライアント・データ・センターの特定の構成コマンドは、VPN のベンダーによって異なります。
2. 次に進む前に、DC VPN ゲートウェイのパブリック IP アドレスにインターネットを介してアクセス可能であることを確認します。

   ping <DC VPN Public IP>
   

3. データ・センターの VPN 構成が完了すると、IPSec リンクが自動的に確立されます。 リンクが確立され、ステータスが 1 つ以上のアクティブ IPsec トンネルの存在を示していることを確認します。 データ・センターで VPN の両端がアクティブ IPsec トンネルを示していることを確認します。

   show vpn ipsec sa
   show vpn ipsec status
   

4. リンクが作成されていない場合は、デバッグ・コマンドを使用して、ローカル・アドレスとリモート・アドレスが正しく指定され、他のパラメーターが期待どおりであることを確認します。

   show vpn debug
   

出力に、peer-<DC VPN Public IP>-tunnel-1: ESTABLISHED 5 seconds ago, <VRA Public IP>[500]....... という行が表示されます。 この行が存在しない場合、または「CONNECTING」が表示される場合は、VPN 構成にエラーがあります。

GRE トンネルの定義

1. VRA 編集モードで GRE トンネルを作成します。

   set interfaces tunnel tun0 address <Local tunnel IP/24>
   set interfaces tunnel tun0 encapsulation gre
   set interfaces tunnel tun0 mtu 1300
   set interfaces tunnel tun0 local-ip <VRA Public IP>
   set interfaces tunnel tun0 remote-ip <DC VPN Public IP>
   commit
   

2. トンネルの両端が構成されると、トンネルは自動的に確立されます。 VRA コマンド・ラインからトンネルの動作状態を確認します。

   show interfaces tunnel
   show interfaces tun0
   

   最初のコマンドは、トンネルの状態とリンクが u/u (UP/UP) であることを示します。 2 番目のコマンドは、トンネルに関する詳細とトラフィックが送受信されていることを示します。
3. トラフィックがトンネルを通過することを確認します。

   ping <Remote tunnel IP>
   

   show interfaces tunnel tun0 の TX と RX のカウントは、ping トラフィックがある間は増加を示します。
4. トラフィックが流れていない場合は、monitor interface コマンドを使用して、各インターフェース上で見られるトラフィックを監視できます。 インターフェース tun0 は、トンネル上の内部トラフィックを示します。 インターフェース dp0bond1 は、リモート VPN ゲートウェイとの間のカプセル化されたトラフィック・フローを示します。

   monitor interface tunnel tun0 traffic
   monitor interface bonding dp0bond1 traffic
   

戻りのトラフィックがない場合は、データ・センターのネットワーキング・チームがリモート・サイトの VPN およびトンネル・インターフェースにおけるトラフィック・フローをモニターして、問題を特定する必要があります。

静的 IP 経路の作成

トラフィックをトンネル経由でリモート・サブネットに送信する VRA ルーティングを作成します。

1. VRA 編集モードで静的ルートを作成します。

   set protocols static route <DC Subnet/CIDR>  next-hop <Remote tunnel IP>
   

2. VRA コマンド・ラインで VRA ルーティング・テーブルを確認します。 現時点では、トンネル経由のトラフィックを許可するファイアウォール・ルールが存在しないため、トラフィックは経路を横断しません。 ファイアウォール・ルールは、いずれの側で開始されたトラフィックに対しても必要になります。

   show ip route
   

ファイアウォールの構成

1. 許可された icmp トラフィックと tcp ポートのリソース・グループを作成します。

   set res group icmp-group icmpgrp type 8
   set res group icmp-group icmpgrp type 11
   set res group icmp-group icmpgrp type 3
   
   set res group port tcpports port 22
   set res group port tcpports port 80
   set res group port tcpports port 443
   commit
   

2. VRA 編集モードで、リモート・サブネットへのトラフィックのファイアウォール・ルールを作成します。

   set security firewall name APP-TO-TUNNEL default-action drop
   set security firewall name APP-TO-TUNNEL default-log
   
   set security firewall name APP-TO-TUNNEL rule 100 action accept
   set security firewall name APP-TO-TUNNEL rule 100 protocol tcp
   set security firewall name APP-TO-TUNNEL rule 100 destination port tcpports
   
   set security firewall name APP-TO-TUNNEL rule 200 protocol icmp
   set security firewall name APP-TO-TUNNEL rule 200 icmp group icmpgrp
   set security firewall name APP-TO-TUNNEL rule 200 action accept
   commit
   

   set security firewall name TUNNEL-TO-APP default-action drop
   set security firewall name TUNNEL-TO-APP default-log
   
   set security firewall name TUNNEL-TO-APP rule 100 action accept
   set security firewall name TUNNEL-TO-APP rule 100 protocol tcp
   set security firewall name TUNNEL-TO-APP rule 100 destination port tcpports
   
   set security firewall name TUNNEL-TO-APP rule 200 protocol icmp
   set security firewall name TUNNEL-TO-APP rule 200 icmp group icmpgrp
   set security firewall name TUNNEL-TO-APP rule 200 action accept
   commit
   

3. トンネルのゾーンを作成し、いずれかのゾーンで開始されたトラフィックのファイアウォールを関連付けます。

   set security zone-policy zone TUNNEL description "GRE Tunnel"
   set security zone-policy zone TUNNEL default-action drop
   set security zone-policy zone TUNNEL interface tun0
   
   set security zone-policy zone TUNNEL to APP firewall TUNNEL-TO-APP
   set security zone-policy zone APP to TUNNEL firewall APP-TO-TUNNEL
   commit
   

4. 両端のファイアウォールとルーティングが正しく構成され、ICMP トラフィックと TCP トラフィックを許可していることを確認するには、まず VRA コマンド・ラインからリモート・サブネットのゲートウェイ・アドレスを ping します。成功した場合は VSI にログインします。

   ping <Remote Subnet Gateway IP>
   ssh root@<VSI Private IP>
   ping <Remote Subnet Gateway IP>
   

5. VRA コマンド・ラインからの ping が失敗した場合は、トンネル・インターフェースに対する ping 要求への ping 応答があることを確認します。

   monitor interface tunnel tun0 traffic
   

   無応答の場合は、データ・センターのファイアウォール・ルールまたはルーティングに問題があります。 モニター出力に応答が表示されるが、ping コマンドがタイムアウトする場合は、ローカル VRA ファイアウォール・ルールの構成を確認します。
6. VSI からの ping が失敗した場合は、VRA ファイアウォール・ルール、VRA 構成のルーティング、または VSI 構成のルーティングに問題があります。 前のステップを完了して、要求がデータ・センターに送信され、データ・センターから応答があることを確認します。 ローカル VLAN 上のトラフィックをモニターし、ファイアウォール・ログを調べると、問題をルーティングまたはファイアウォールに切り分けるのに役立ちます。

   monitor interfaces bonding dp0bond0.<VLAN ID>
   show log firewall name APP-TO-TUNNEL
   show log firewall name TUNNEL-TO-APP
   

これで、セキュア・プライベート・ネットワーク・エンクロージャーからの VPN のセットアップは完了です。 このシリーズの他のチュートリアルで、エンクロージャーからパブリック・インターネット上のサービスにアクセスする方法を示します。

リソースを削除する

このチュートリアルで作成したリソースを削除する手順は以下のとおりです。

VRA は月額料金プランで提供されます。 取り消しても払い戻しはありません。 取り消しは、この VRA が翌月に再び必要とならない場合にのみ行うことをお勧めします。 デュアル VRA 高可用性クラスターが必要な場合は、この単一の VRA を「ゲートウェイの詳細 (Gateway Details)」ページでアップグレードできます。

1. 仮想サーバーまたはベアメタル・サーバーをすべて取り消します
2. VRA を取り消します
3. 追加の VLAN をすべて取り消します

関連コンテンツ

• IBM Virtual Router Appliance
• 静的 IP サブネットおよびポータブル IP サブネット
• Vyatta 資料
• Brocade Vyatta Network OS IPsec Site-to-Site VPN コンフィギュレーション・ガイド5.2R1
• Brocade Vyatta ネットワーク OS トンネル設定ガイド5.2R1