VPNサーバーで使用するセキュリティグループとNACLの設定
VPNサーバーが展開されているVPNサーバーのサブネット上で、セキュリティグループとネットワークアクセス制御リスト（NACL）を設定できます。 それらを、VPNトンネルを介して通信する他のVPCサブネット上でも設定できます。
VPNサーバーのサブネットにセキュリティグループとNACLを設定する場合、VPNトンネルトラフィックを許可するために以下のルールが設定されていることを確認してください。 詳細については、セキュリティー・グループについてとネットワーク ACL のセットアップを参照してください。
VPN サーバーをプロビジョン時にセキュリティー・グループを指定しなかった場合は、VPC のデフォルトのセキュリティー・グループが VPN サーバーに接続されます。 サーバーのプロビジョニング後に、VPNサーバーに他のセキュリティグループをアタッチできます。
VPN プロトコル・トラフィックのルール
VPN サーバーは、TCP プロトコルまたは UDP プロトコルで実行できます。 VPN サーバーをプロビジョンする時に、プロトコルとポートを指定できます。 対応するプロトコルとポートを、セキュリティグループルールとNACLで開放する必要があります。
VPNサーバーのセキュリティグループルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
VPN server protocol |
CIDR ブロック |
0.0.0.0/0 |
VPN server port |
outbound |
VPN server protocol |
CIDR ブロック |
0.0.0.0/0 |
VPN server port |
VPNサーバーのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
VPN server protocol |
任意 |
任意 |
VPN server subnet |
VPN server port |
outbound |
VPN server protocol |
VPN server subnet |
VPN server port |
任意 |
任意 |
たとえば、デフォルトでは、VPNサーバーはUDPポートで動作 443 します。 セキュリティグループとNACLルールは次のように設定できます：
デフォルトのプロトコルとポートを持つVPNサーバーのセキュリティグループルールの設定情報
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
UDP |
CIDR ブロック |
0.0.0.0/0 |
443 |
outbound |
UDP |
CIDR ブロック |
0.0.0.0/0 |
443 |
デフォルトのプロトコルとポートを持つVPNサーバーのNACLの設定情報
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
UDP |
任意 |
任意 |
VPN server subnet |
443 |
outbound |
UDP |
VPN server subnet |
443 |
任意 |
任意 |
VPNトラフィックのルール（route deliver アクション付き）
クライアントが VPN サーバーに接続されると、VPN サーバーはデフォルトでクライアントからのすべてのトラフィックを除去します。 このトラフィックを許可するには、VPNサーバー上でVPNルートを設定する必要があります。 ルートの動作は、または deliver のいずれか translate である。
- アクションが
deliver の場合は、パケットがトンネルから復号された後に直接転送されるので、パケットの送信元 IP が VPN クライアントの IP (つまり、クライアント IP プールからの IP) になります。
- アクションが
translate の場合は、パケットがトンネルから復号された後に、パケットの送信元 IP が VPN サーバーのプライベート IP に変換されてからパケットが送信されます。
セキュリティグループとNACLルールを作成する際に、どのCIDRを指定すべきか注意してください。
VPNサーバー上のVPNデリバリアルートに対するセキュリティグループルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
VPN route destination CIDR |
任意 |
outbound |
すべて |
CIDR ブロック |
VPN route destination CIDR |
任意 |
VPNサーバーサブネット上のVPN配信ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
VPN route destination CIDR |
任意 |
VPN server client IP pool |
任意 |
outbound |
すべて |
VPN server client IP pool |
任意 |
VPN route destination CIDR |
任意 |
同時に、VPNクライアントからのトラフィックを許可するために、VPC仮想サーバー上でセキュリティグループとNACLを設定する必要があります：
VPC仮想サーバーインターフェイス上のVPN配信ルートのセキュリティグループルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
VPN server client IP pool |
任意 |
outbound |
すべて |
CIDR ブロック |
VPN server client IP pool |
任意 |
VPC仮想サーバーサブネット上のVPN配信ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
VPN server client IP pool |
任意 |
VPN route destination CIDR |
任意 |
outbound |
すべて |
VPN route destination CIDR |
任意 |
VPN server client IP pool |
任意 |
例えば、VPN サーバーのプロビジョン時にクライアント IP プールとして 172.16.0.0/20 を使用し、VPN クライアントからサブネット 10.240.128.0/24 のリソースにアクセスする場合は、宛先 10.240.128.0/24 とアクション deliver を使用して VPN 経路を作成する必要があります。 また、セキュリティグループとNACLルールを以下のように設定する必要があります：
VPNサーバー上のVPNデリバリアルートに対するセキュリティグループルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
10.240.128.0/24 |
任意 |
outbound |
すべて |
CIDR ブロック |
10.240.128.0/24 |
任意 |
VPNサーバーサブネット上のVPN配信ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
10.240.128.0/24 |
任意 |
172.16.0.0/20 |
任意 |
outbound |
すべて |
172.16.0.0/20 |
任意 |
10.240.128.0/24 |
任意 |
VPC仮想サーバー上のVPN配信ルートのセキュリティグループルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
172.16.0.0/20 |
任意 |
outbound |
すべて |
CIDR ブロック |
172.16.0.0/20 |
任意 |
VPC仮想サーバーサブネット上のVPN配信ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
172.16.0.0/20 |
任意 |
10.240.128.0/24 |
任意 |
outbound |
すべて |
10.240.128.0/24 |
任意 |
172.16.0.0/20 |
任意 |
VPNトラフィックのルール（route translate アクション付き）
VPN 変換経路のルールは、送信経路の場合とほとんど同じです。 唯一の違いは、パケットの送信元IPアドレスがVPNサーバーのプライベートIPアドレスに変換される点です。 したがって、VPNサーバーのクライアントIPプールではなく、VPNサーバーのサブネットを使用する必要があります。
VPNサーバーのプロビジョニング時に複数のサブネットを選択した場合、セキュリティグループおよびNACLルールにはすべてのサブネットを含める必要があります。
VPN サーバーの VPN 変換経路のセキュリティー・グループ・ルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
VPN route destination CIDR |
任意 |
outbound |
すべて |
CIDR ブロック |
VPN route destination CIDR |
任意 |
VPNサーバーのサブネット上のVPNトランスレート・ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
VPN route destination CIDR |
任意 |
VPN server subnet CIDR |
任意 |
outbound |
すべて |
VPN server subnet CIDR |
任意 |
VPN route destination CIDR |
任意 |
通常、VPN 変換経路の宛先は VPC の外にあります。 たとえば、サブネット内にあるクラシック・インフラストラクチャー仮想 IBM サーバー 10.187.190.0/26 インスタンスにアクセスするために、VPNサーバーを使用したい場合があります。 同時に、VPNクライアントからのトラフィックを許可するために、宛先側でファイアウォールルールを設定する必要があります。
この例では、VPNサーバーがプロビジョニングされる際にサブネット 10.240.64.0/24 および 10.240.129.0/24 が使用されます。 VPNクライアントからアクセスしたい従来の仮想サーバーインスタンスは、 クラシック・インフラストラクチャーIBM インフラストラクチャ内の 10.187.190.0/26 サブネットにあります。 宛先: 10.187.190.0/26、アクション:
としてVPNルートを作成し、セキュリティグループと translate NACLルールを以下のように設定する必要があります：
VPN サーバーの VPN 変換経路のセキュリティー・グループ・ルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元/宛先タイプ |
ソース |
値 |
inbound |
すべて |
CIDR ブロック |
10.187.190.0/26 |
任意 |
outbound |
すべて |
CIDR ブロック |
10.187.190.0/26 |
任意 |
VPNサーバーのサブネット上のVPNトランスレート・ルートのNACLルール
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
10.187.190.0/26 |
任意 |
10.240.64.0/24 |
任意 |
inbound |
すべて |
10.187.190.0/26 |
任意 |
10.240.129.0/24 |
任意 |
outbound |
すべて |
10.240.64.0/24 |
任意 |
10.187.190.0/26 |
任意 |
outbound |
すべて |
10.240.129.0/24 |
任意 |
10.187.190.0/26 |
任意 |
ターゲット・ファイアウォール・デバイスの VPN 変換経路のファイアウォール・ルール (オプション)
| インバウンド/アウトバウンドのルール |
プロトコル |
送信元 IP |
ソース・ポート |
宛先 IP |
宛先ポート |
inbound |
すべて |
10.240.64.0/24 |
任意 |
10.187.190.0/26 |
任意 |
inbound |
すべて |
10.240.129.0/24 |
任意 |
10.187.190.0/26 |
任意 |
outbound |
すべて |
10.187.190.0/26 |
任意 |
10.240.64.0/24 |
任意 |
outbound |
すべて |
10.187.190.0/26 |
任意 |
10.240.129.0/24 |
任意 |