コンソールでVPNサーバーを作成する

コンソールでクライアント・ツー・サイトVPNサーバーを作成するには：

1. 『始める前に』セクションの前提条件をすべて完了します。

2. ブラウザから、 IBM Cloud コンソールを開き、アカウントにログインします。

3. ナビゲーション メニュー を選択し、 インフラストラクチャ > ネットワーク > VPN をクリックします。

4. ページ右上の**「作成」**をクリックします。

5. VPNの種類]セクションで、[ クライアントからサイトへのサーバー ]をクリックします。

   

   Locations」セクションには、VPCが配置され、VPNサーバーがプロビジョニングされる地域が表示されます。

6. 「詳細」セクションで次の情報を指定します。

   • VPN サーバー名 - VPN サーバーの名前 (my-vpn-server など) を入力します。

   • リソース・グループ - VPN サーバーのリソース・グループを選択します。

   • タグ- オプションで、タグを追加して、リソースの整理、使用コストの追跡、アクセス管理を行うことができます。

   • アクセス管理タグ-オプションで、アクセス制御関係の編成に役立つアクセス管理タグをリソースに追加します。 サポートされるアクセス管理タグの形式は key:value のみです。 詳しくは、タグを使用したリソースに対するアクセス権限の制御を参照してください。

   • 仮想プライベート・クラウド - VPN サーバーの VPC を選択します。

   • クライアント IPv4 アドレス・プール - CIDR の範囲を入力します。 クライアントには、このアドレス・プールからのセッションの IP アドレスが割り当てられます。

     

7. 「サブネット」セクションで次の情報を指定します。

   • VPN サーバー・モードを選択します。

     • 高可用性モード - 異なるゾーンにある 2 つのサブネットにわたって VPN サーバーをデプロイします。 クライアントの VPN アクセスが重要なマルチゾーン・デプロイメントおよびソリューションに最適です。
     • スタンドアロン・モード - VPN サーバーを単一のサブネットおよびゾーンにデプロイします。 マルチゾーンの回復力が不要な単一ゾーン・デプロイメントに最適です。

   • VPC の 1 つのサブネット (スタンドアロン・モード) または複数のサブネット (HA モード) を指定します。

     

8. 「認証」セクションで次の情報を指定します。

   • VPN サーバー認証- Secrets Managerからサーバー SSL 証明書を選択します。 すべての必須フィールドに入力します。

     

   • クライアント認証モード - クライアント証明書、ユーザー ID とパスコード、またはその両方を選択し、それを使用したユーザー認証を構成します。

     • クライアント証明書 - クライアント証明書を選択してユーザー ID とパスコードを構成することにより、最適なセキュリティーを実現できます。 ユーザーIDとパスコードは、アカウントアクセスに追加のログイン認証情報を必要とするセキュリティの追加レイヤーを提供します。

       オプションで、証明書失効リスト (CRL) を PEM 形式でアップロードできます。 CRL をアップロードすると、PEM ファイルは VPN サーバーの名前として表示されます。

     • ユーザー ID とパスコード-VPN クライアント・ユーザーの追加認証を構成します。 この認証方式は、 IBM Cloud IAMと統合してクライアント認証を完了する、セキュリティの追加レイヤーを提供します。 認証が完了すると、システムは認証用のコードを openVPN クライアントに渡す。

     

9. 「セキュリティー・グループ」セクションで、少なくとも 1 つのセキュリティー・グループを選択します。

   1つまたは複数のセキュリティグループとそのルールを設定したり、VPNサーバを配置する予定のサブネットや、VPNトンネルを介して通信する他のVPCサブネットにアクセス制御リスト(ACL)を設定したりするには、「 VPNサーバで使用するACLの設定 」を参照してください。

   

   VPN サーバーの詳細ページ (「セキュリティー・グループ」タブ) からプロビジョニング後にセキュリティー・グループを関連付けることができます。

10. **「追加構成 (Additional configuration)」**セクションで次の情報を指定します。

    • DNS サーバーの IP アドレス - オプションで、ドメイン・ネーム解決のために 1 つまたは 2 つの DNS サーバー IP アドレスを指定します。

    • アイドル・タイムアウト・セッション (秒数) - この期間が経過しても VPN サーバーにトラフィックがない場合、自動的に切断されます。 この値は 0 秒から 28800 秒の間の値を指定できます。 デフォルト値は 600 秒です。

    • トランスポート・プロトコル - 以下のいずれかのプロトコルを選択し、有効な VPN ポート (1 - 65535) を入力します。

      • UDP はエラー検査を実行するが、エラーのあるパケットを破棄するコネクションレス・プロトコルです。 TCP よりも高速です。
      • TCP はエラー検査とエラー・リカバリーを行う、コネクション指向型プロトコルです。 UDP よりも信頼性が高いプロトコルです。

    • トンネル・モード - 以下のいずれかを指定します。

      • フル・トンネル - すべてのトラフィックが VPN インターフェースを経由して VPN トンネルに流れます。

      • スプリット・トンネル - プライベート・トラフィックは VPN インターフェースを介して VPN トンネルに流れ、パブリック・トラフィックは既存の LAN インターフェースを介して流れます。

        

CLIからVPNサーバーを作成する

開始する前に、 CLI 環境をセットアップします。

CLIからVPNサーバーを作成するには、以下のコマンドを入力する：

ibmcloud is vpn-server-create --subnets SUBNETS --client-ip-pool CLIENT_IP_POOL --cert CERT (--client-auth-methods certificate | username | certificate,username | username,certificate) [--client-ca CLIENT_CA] [--client-crl CLIENT_CRL] [--client-dns CLIENT_DNS] [--client-idle-timeout CLIENT_IDLE_TIMEOUT] [--enable-split-tunnel false | true] [--port PORT] [--protocol udp | tcp] [--security-group SECURITY_GROUP1 --security-group SECURITY_GROUP2 ...] [--name NAME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

APIを使用したVPNサーバーの作成

APIを使ってクライアント-サイト間VPNサーバーを作成するには、以下の手順に従ってください：

1. 適切な変数を設定して API 環境をセットアップします。

2. API コマンドで使用する追加の変数を格納します。次に例を示します。

   • ResourceGroupId - get resource groups コマンドを使用してリソース・グループ ID を確認してから、変数に設定します。

     export ResourceGroupId=<your_resourcegroup_id>
     

   • SubnetId - get subnet コマンドを使用してサブネット ID を確認してから、変数に設定します。

     export SubnetId=<your_subnet_id>
     

3. すべての変数が開始されたら、VPN サーバーを作成します。

      curl -X POST "$vpc_api_endpoint/v1/vpn_servers?version=$api_version&generation=2" \
        -H "Authorization: $iam_token" \
        -d '{
           "certificate": {
               "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
            },
           "client_ip_pool": "192.168.50.0/22",
           "name": "my-new-vpn-server",
           "subnets": [
               {
                     "id": "0716-046c3fd3-1cc5-40f6-b0ad-bbc305308f6d"
               },
               {
                     "id": "0717-30ff71ff-3e90-42a9-aa93-96a062081f18"
               }
            ],
           "client_authentication": [
               {
                     "method": "certificate",
                     "client_ca": {
                        "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
                     }
               },
               {
                     "method": "username",
                     "identity_provider": {
                        "provider_type": "iam"
                     }
               }
            ]
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'