みなさんこんにちは。先日、Alibaba Cloudとの接続例が公開されていましたので、IPsecでVPN接続しつつ、LAN内のマシンとECS (Elastic Compute Service)との間で相互に疎通が取れることを検証してみました。

今回の検証に用いたネットワーク構成

今回の検証は、以下図のようにVPC側は192.168.0.0/24、RTX830設置拠点は192.168.10.0/24というシンプルなネットワーク構成で行いました。RTX830のWAN側は、固定IPアドレスが/32で振られており、RTX830のLAN1のIPアドレスは192.168.10.1とします。

※ 実際のAlibaba Cloud VPCのアーキテクチャはVSwitch、ゲートウェイ、コントローラーの3つのコンポーネントで構成されていますが、ここでは図示を省略します。

Alibaba Cloud で VPC を作成する

Alibaba Cloudにログインし、VPCを作成します。

VPC作成

ログイン後、「製品(プロダクト)」->「ネットワークサービス」->「Virtual Private Cloud」の順にクリックします。

VPCのリージョンを日本(東京)に、「VPCの作成」をクリックします。

VPC作成時のパラメータを投入します。

パラメータの投入例は以下の通りです。

VPC

VSwitch

ここまで投入したパラメータに問題がなければOKをクリックし、次の画面で「完了」をクリックします。

VPN Gateways作成

VPC作成後、VPNゲートウェイを作成します。

VPNゲートウェイ作成画面では、以下のパラメータを投入します。

「今すぐ購入」をクリック後、「注文の確認」画面へ遷移しますので、「利用規約とSLAに同意する」にチェックを入れ、「有効化」をクリックします。

「発注は完了しました」画面へ遷移するので、「コンソール」をクリックします。

コンソールへ戻った後、「プロダクトとサービス」から「Virtual Private Cloud」をクリックします。

再度「VPN Gateways」からステータスを確認してみます。VPNゲートウェイは作成に時間がかかりますので、作成直後のステータスが準備中でも、一旦先に進みます。

Customer Gateway作成

VPNゲートウェイの次に、カスタマーゲートウェイを作成します。画面左の「Customer Gateways」をクリックします。

次に「カスタマー ゲートウェイ」画面に遷移するので、「カスタマーゲートウェイの作成」をクリックします。

ここで、カスタマーゲートウェイの名前と、RTX830設置拠点のグローバルIPアドレスを入力します。

作成後、表示されているIPアドレスが正しいことを確認して、次へ進みます。

IPsec Connections作成

次に、画面左側「IPsec Connections」をクリックし、IPsecコネクションを作成します。

パラメータの投入例は以下の通りです。

すべてのパラメータを投入してOKをクリックします。IPsec Connectionsの画面に戻ると「IKE トンネルネゴシエーションのフェーズ1 失敗」と表示されますが、これはまだRTX830側の設定を投入していないためですので、ここでは無視して先に進みます。

VPNゲートウェイ IPアドレス確認

RTX830側の設定に必要なため、VPNゲートウェイのIPアドレスを確認します。

VPN Gatewaysをクリックし、VPNゲートウェイの一覧から、IPアドレスの列を控えておきます。

RTX830側 VPN設定

次にRTX830側のVPN設定を行います。あらかじめ次の3点のパラメータを確認しておきましょう。

• RTX830側 グローバルIPアドレス
• VPNゲートウェイ グローバルIPアドレス
• 事前共有鍵

以下、投入するコマンドを列挙します。IPアドレスおよび事前共有鍵の行は適宜置き換えてください。また、事前共有鍵に特殊文字を含む場合は、ダブルクォートで囲ってあげましょう。

config投入後 save コマンドで保存します。

ECS (Elastic Compute Service) インスタンス作成とルーティング設定

ECSのインスタンスを作成する

LAN内のPCと疎通試験をするため、ECSのインスタンスを1台、最低限のスペックで構築します。コンソールから「Elastic Compute Service」をクリックし、次の画面で「インスタンスを作成」をクリックします。

今回はすぐに使い捨てるインスタンスにしますので、「従量課金」を選択します。

vCPUは1を、メモリは0.5GBを選択します。

イメージのプラットフォームはCentOS、バージョンは7.4 64bitを選択し、「次のステップ : ネットワーク」をクリックします。

ネットワークは、先ほど作成したVPCとVSwitchを選択し、セキュリティグループではICMPプロトコルと22,3389ポートにチェックが入っていることを確認し、「次のステップ : システム構成」をクリックします。

デフォルトではキーペアですが、今回は一時的なインスタンスということもあり、パスワード認証を選択し、パスワードを打ち込んで「次のステップ : グループ化」にすすみます。

ここでは任意の名前をつけ、「次のステップ : プレビュー」にすすみます。

「ECS SLAと利用規約に同意する」にチェックを入れ、「インスタンスの作成」をクリックします。

インスタンスが作成されはじめましたので、コンソールに戻ります。

ルーティングの設定を行う

さて、ECSのインスタンスは起動しましたが、IPsec Connectionsの接続ステータスでは「IKE トンネルネゴシエーションのフェーズ2 成功」になっているにもかかわらず、つまりVPNの疎通が取れているにもかかわらず、SSH接続ができません。

これまでの設定ではルーティングを行っていなかったので、アクション列にある「ルーティンググループの設定」をクリックします。

ここでは、ECSに関連付けられたセキュリティグループを使用するので、あらかじめコンソールから確認しておきましょう。

投入するパラメータは以下の通りです。

これらパラメータを投入後、「確定」ボタンをクリックします。

接続試験

まずは、RTX830からECSインスタンスに向けてPingを飛ばしてみます。ご覧の通り、応答があることがわかります。

次に、LAN内のWindows10上のWSL (Windows Subsystem for Linux) 環境 Ubuntu 18.04から、ECSインスタンスにSSH接続してみましょう。ご覧のように問題なくログインできました。

さらに、ECSから、RTX830設置拠点LAN内にあるLinuxマシンへSSH接続してみましょう。こちらも問題なくログインできました。

いかがでしたでしょうか。Alibaba CloudのVPC、VPN構築は ユーザー固有のパラメータを除きほぼ初期値のままで、そしてRTX830側の設定もわずか28行追加するだけで、簡単にVPN接続ができました。Alibaba Cloudとヤマハルーターの組み合わせは、越境ECを手がける企業にとって魅力的なソリューションではないでしょうか。

著者の記事一覧

著者

濱田 康貴

株式会社パイプライン 代表取締役