VPN ゲートウェイの計画に関する考慮事項
VPNゲートウェイを作成する前に、適用可能な計画上の考慮事項、構成要件、およびその他のガイドラインを確認してください。
一般的な考慮事項
VPNゲートウェイを作成する前に、以下の一般的な検討事項を確認してください：
- ゲートウェイのサブネットに十分なスペースがあることを確認してください。 VPN 管理機能とフェイルオーバー機能が正しく機能できるようにするには、他の VPC リソースを使用せずにサブネット内に VPN ゲートウェイを作成します。 このプロセスは、ゲートウェイに十分なプライベートIPアドレスが利用可能であることを保証する。 高可用性を実現し、ローリング・アップグレードを可能にするには、VPN ゲートウェイに 4 個のプライベート IP アドレスが必要になります。 サブネット内の最大5つのプライベートIPアドレスが予約されているため、VPNゲートウェイをホストするために使用できる最小のサブネットサイズは
/28(16 IPアドレスまたはネットマスク255.255.255.240)です。 - デフォルトでは、VPCの IBM Cloud VPN、PFS（Perfect Forward Secrecy）は無効になっています。 一部のベンダーでは、フェーズ 2 で PFS を有効にする必要があります。 ベンダーの指示を確認し、PFSが必要な場合はカスタムポリシーを使用する。
- IBM VPN ゲートウェイは、そのパブリック IP アドレスを IKE ローカル ID として使用し、デフォルトでピアのパブリック IP アドレスを IKE ピア ID として指定します。 ローカルおよびピアの IKE ID を指定して、VPN 接続の作成時にこのデフォルトの動作をオーバーライドすることができます。 ピアVPNゲートウェイがNATファイアウォールの背後にあり、ピアのパブリックIPアドレスがピアVPNゲートウェイのインターフェイスに関連付けられていない場合、ピアVPNゲートウェイの設定を調整することができます。 この構成では、ピアのパブリックIPアドレスがIKE IDとして使用されます。 また、VPN 接続を作成するときにピア IKE ID を指定して、ピア VPN ゲートウェイの実際の IKE ID を使用することもできます。
- ピアVPNゲートウェイがNATデバイスの背後にあり、パブリックIPを持たない場合、NATされたIPアドレスにFQDNを関連付けることができます。 VPN接続を作成する際に、IPアドレスの代わりにこのFQDNを使用することができます。 この方法では、デフォルトのピア IKE ID は FQDN です。 VPN接続を作成する際に、相手VPNゲートウェイの実際のIKE IDとデフォルトが一致しない場合は、相手IKE IDを指定してこのデフォルトを上書きすることができます。
- VPN接続を作成する際に、確立モード（双方向またはピア・オンリー）を選択できます。 VPN 接続の作成時にピア VPN ゲートウェイにパブリック IP アドレスがない場合は、VPN ゲートウェイを 「ピアのみ」 モードに設定する必要があることに注意してください。 この場合、VPNゲートウェイは、接続が切断された場合に接続を回復させる責任がある。
- VPN接続のプロビジョニング後、ピアゲートウェイアドレスの種類をIPアドレスからFQDNに、またはFQDNからIPアドレスに変更することはできません。
- IBM Cloud VPCは、DNS Services によるFQDN解決をサポートしています。 VPNゲートウェイが存在するVPCがプライベートDNSインスタンスの許可ネットワーク内にある場合、このプライベートDNSに追加されたDNSレコードはVPNゲートウェイで解決可能です。
ポリシーベースVPNゲートウェイの考察
ポリシー・ベースのVPNゲートウェイを作成する前に、以下の点を確認してください：
- ポリシーベースVPNゲートウェイは、選択したサブネットに関連付けられたゾーンに作成されます。 VPN ゲートウェイは、このゾーン内の仮想サーバー・インスタンスにのみ接続できます。 その結果、他のゾーンのインスタンスは、このVPNゲートウェイを使って他のネットワークと通信することができない。 ゾーン障害に対する耐障害性が必要な場合は、VPN ゲートウェイはゾーンごとに 1 つデプロイしてください。
- ポリシーベースのVPNゲートウェイでは、ルートは自動的に検出されません。 ルーティングテーブルは、VPNゲートウェイからのルートを受け入れるように設定する必要があり、伝播されるルートはVPNポリシーで定義されたCIDRプレフィックスに限定されます。 広告ルートを 参照してください。
ルートベースVPNゲートウェイの考察
ルートベースVPNゲートウェイを作成する前に、以下の点を確認してください：
スタティック・ルート・ベースのVPN接続に関する考察
スタティック・ルート・ベースのVPN接続を作成する前に、以下の点を確認してください：
- VPCリソースからのイグジット・トラフィックがVPNゲートウェイを通過するように、VPCルーティング・テーブルにデフォルト・ルート(
0.0.0.0/0)を設定する場合は、ルーティング・テーブルに関連付けられたサブネットとは異なるサブネットにVPNゲートウェイを作成してください。 そうでない場合、このデフォルトルートはVPNゲートウェイのルーティング競合を引き起こし、VPN接続をダウンさせる可能性があります。 - IBM Cloud VPN for VPC は、VPC ごとにゾーンごとに 1 つの経路ベース VPN のみをサポートします。
動的ルートベースVPN接続に関する考察
ダイナミック・ルート・ベースのVPN接続を作成する前に、以下の点を確認してください：
- VPNゲートウェイとオンプレミスデバイス間のダイナミックルーティングを有効にするには、 Transit Gateway作成し、VPNゲートウェイにアタッチする必要があります。 このセットアップでは、 Transit Gatewayデバイス間のトラフィックを自動的に管理・分散します。 Transit Gateway で VPNゲートウェイ接続に関する考慮事項 を参照。 スタティック・ルーティングはこのタイプのアタッチメントをサポートしないことを覚えておいてほしい。
- ダイナミックVPN接続は、VPNゲートウェイがTransit Gateway接続される前であっても、いつでも作成することができます。 ただし、トラフィックが流れるのは、VPNゲートウェイがTransit Gateway接続されているときだけである。
- ダイナミック・ルート・ベースVPNでは、ローカルとピアのASN値が必要です。 ローカルASNはBGPピアリングのためのローカルネットワークを識別し、ピアASNはVPNがルートを交換するリモートピアネットワークを識別します。 ローカルの ASN 値を指定しない場合、VPN ゲートウェイはデフォルトの ASN
64520で作成されます。 - VPNゲートウェイを作成する際、特定のASN値が制限され、ローカルまたはピアのASNとして使用できません。これには、
0、13884、36351、64512、64513、65100、65200–65234、65402–65433、65500、4201065000–4201065999が含まれます。 これらの値は予約されているか、プライベートASN範囲の一部であり、ルーティングの競合を引き起こす可能性がある。 - Transit Gateway VPNに接続した場合、サービス接続を解除するまでASNの値を変更することはできません。
- 複数のVPNゲートウェイは同じTransit Gateway接続できますが、各VPNゲートウェイは1つのTransit Gateway接続できません。
- Transit Gateway接続に標準のプライベートIP範囲（
10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）以外のRFC 1918 CIDRを使用する場合は、VPCのegressルーティングテーブルにdelegate-VPCルートを追加する必要があります。 このルートは、選択したCIDRを指し、同じゾーン内のVPNサブネットに関連付けられていなければならない。 Transit Gateway VPNゲートウェイ接続の考慮 事項を参照。 - 各 IBM VPN は、ダイナミックルーティングセットアップにおいて、各VPNピアに対して最大120ルートをサポートする。 この制限を超えると、そのピアのBGPセッションは自動的にシャットダウンします。 セッションを復元するには、オンプレミスのピアネットワークからアドバタイズされるルートの数を120以下に減らしてから、 IBM Cloud、接続を切り替えてBGPセッションを再確立します。 詳細については、 「 VPN for VPC は、動的なルートベースの接続で、VPN ピアごとにいくつのルートをサポートしていますか?
IBM Power Virtual Servers ワークスペースのデプロイの自動化
サイト間 VPN 自動化プロジェクトは、サイト間 VPN ゲートウェイを作成するための Terraform モジュールを提供するために使用できます。 また、ローカルのオンプレミスネットワークからインターネットを介したセキュアな接続を可能にし、 Power Virtual Server のワークスペースにあるプライベートリソースにアクセスできる。 このTerraform Infrastructure as Code ( IaC ) モジュールは、ローカルおよびピアポリシーを持つポリシーベースのVPNゲートウェイと接続を作成します。 Transit Gateway と IBM Power Virtual Server ワークスペースはデフォルトで作成されるが、既存のものを指定してデフォルトを上書きすることができる。
このオートメーション・プロジェクトの GitHub リポジトリーは、 IBM / にあります power-vpn-gateway GitHub リポジトリ. プロジェクトの README ファイルは、VPN ゲートウェイを作成し、新規または既存の Power Virtual Server ワークスペースにアタッチし、 IBM Cloud Power インフラストラクチャへのセキュアなアクセスを提供します。