VPN プロトコル・トラフィックのルール

VPN サーバーは、TCP プロトコルまたは UDP プロトコルで実行できます。 VPN サーバーをプロビジョンする時に、プロトコルとポートを指定できます。 セキュリティ・グループ・ルールとNACLを使用して、対応するプロトコルとポートを開く必要があります。

例えば、デフォルトでは、VPNサーバーはUDPポート 443 で実行されるため、セキュリティ・グループとNACLルールを以下のように設定する必要がある：

deliver ルートアクションを持つVPNトラフィックのルール

クライアントが VPN サーバーに接続されると、VPN サーバーはデフォルトでクライアントからのすべてのトラフィックを除去します。 このトラフィックを許可するには、VPN サーバーで VPN 経路を構成する必要があります。 ルートのアクションは deliver か translate のどちらかである。

• アクションが deliver の場合は、パケットがトンネルから復号された後に直接転送されるので、パケットの送信元 IP が VPN クライアントの IP (つまり、クライアント IP プールからの IP) になります。
• アクションが translate の場合は、パケットがトンネルから復号された後に、パケットの送信元 IP が VPN サーバーのプライベート IP に変換されてからパケットが送信されます。

セキュリティグループとNACLルールを作成するときに、どのCIDRを指定すべきかに注意すること。

同時に、VPC仮想サーバー上でセキュリティグループとNACLを設定し、VPNクライアントからのトラフィックのブロックを解除する必要があります：

例えば、VPN サーバーのプロビジョン時にクライアント IP プールとして 172.16.0.0/20 を使用し、VPN クライアントからサブネット 10.240.128.0/24 のリソースにアクセスする場合は、宛先 10.240.128.0/24 とアクション deliver を使用して VPN 経路を作成する必要があります。 また、セキュリティグループとNACLルールを以下のように設定する必要がある：

translate ルートアクションを持つVPNトラフィックのルール

VPN 変換経路のルールは、送信経路の場合とほとんど同じです。 唯一の違いは、パケットの送信元 IP が VPN サーバーのプライベート IP に変換されることです。 そのため、VPNサーバーのクライアントIPプールではなく、VPNサーバーのサブネットを使用する必要があります。

VPNサーバーのプロビジョニング時に複数のサブネットを選択した場合は、すべてのサブネットをセキュリティグループとNACLルールに含める必要があります。

通常、VPN 変換経路の宛先は VPC の外にあります。 たとえば、VPN サーバーを使用して IBM classic infrastructure virtual server instance にアクセスしたいとします。 同時に、VPNクライアントからのトラフィックをブロックしないように、宛先にファイアウォールルールを設定する必要があります。

例えば、VPN サーバーのプロビジョニング時にサブネット 10.240.64.0/24 および 10.240.129.0/24 を使用する場合、 IBM クラシック・インフラストラクチャー内にサブネット 10.187.190.0/26 があり、VPN クライアントからクラシック仮想サーバー・インスタンスにアクセスする必要があります。 次に、宛先を指定してVPNルートを作成する必要があります： 10.187.190.0/26 アクション translate そして、以下のようにセキュリティグループとNACLルールを設定する：