サイト間VPNの概要

通常、Oracle Cloud Infrastructureを使用したサイト間VPNの設定には、次のタイプの人員が関与します:

• Oracle Cloud InfrastructureConsoleを使用して仮想ネットワークおよびサイト間VPNに必要なクラウド・コンポーネントを設定する、Dev Opsチーム・メンバー(または同様の職務)。
• Dev Opsチーム・メンバーから提供された情報を使用して顧客構内機器(CPE)デバイスを構成する、ネットワーク・エンジニア(または同様の職務)。

次の概念と定義をよく理解している人である必要があります:

• 「Oracle Cloud Infrastructureへようこそ」で説明されているOracle Cloud Infrastructureの基礎
• 基本的なネットワーキング・サービス・コンポーネント
• IPSecトンネルの一般的な機能

クラウド・リソース

ユーザーがクラウド・プラットフォームでプロビジョニングするあらゆるものです。たとえば、Oracle Cloud Infrastructureでは、クラウド・リソースとして、VCN、コンピュート・インスタンス、ユーザー、コンパートメント、ロード・バランサー、またはプラットフォーム上のその他のサービス・コンポーネントを使用できます。

オンプレミス

従来のデータ・センター環境を指す、クラウド・テクノロジで広く使用されている用語。オンプレミスには、コロケーション・シナリオ、専用フロア・スペース、専用データ・センター・ビルディング、またはデスク下で稼働するデスクトップなどがあります。

Oracle Cloud Identifier (OCID)

Oracle Cloud Infrastructureでプロビジョニングする各リソースに割り当てられる一意の識別子。OCIDは、Oracleによって自動的に生成される長い文字列です。OCIDの値を選択したり、リソースのOCIDを変更することはできません。詳細は、リソース識別子を参照してください。

一般に、IPSec接続は次のモードで構成できます:

• トランスポート・モード: IPSecはパケットの実際のペイロードのみを暗号化して認証し、ヘッダー情報は元のままです。
• トンネル・モード(Oracleでサポート): IPSecはパケット全体を暗号化して認証します。暗号化の後、パケットはカプセル化されて、異なるヘッダー情報を持つ新しいIPパケットを形成します。

Oracle Cloud Infrastructureは、IPSec VPNsのトンネル・モードのみをサポートしています。

各Oracle IPSec接続は、いくつかの冗長IPSecトンネルで構成されます。特定のトンネルについて、Border Gateway Protocol (BGP)動的ルーティングか静的ルーティングのいずれかを使用して、そのトンネルのトラフィックをルーティングできます。ルーティングの詳細については後述します。

サイト間VPN IPSecトンネルを使用すると、次の利点があります:

• データの送付に公衆インターネット回線を使用しているため、サイト間で高価な専用のリース回線は必要ありません。
• 参加しているネットワークおよびノードの内部IPアドレスは、外部ユーザーには公開されません。
• ソース・サイトと宛先サイト間の通信全体が暗号化されるため、情報窃取の可能性が減少します。

サイト間VPNを設定する場合、2つの冗長IPSecトンネルがあります。Oracleでは、両方のトンネルを使用するようにCPEデバイスを構成することをお薦めします(デバイスでサポートされている場合)。以前は、Oracleによって、最大4つのIPSecトンネルを持つIPSec接続が作成されていました。

次の3つのルーティング・タイプを使用でき、サイト間VPNの各IPSecトンネルに対して個別にルーティング・タイプを選択できます:

基本的なネットワーキング・サービス・コンポーネントについてまだ十分に知識がない場合は、先に進む前にネットワーキングを参照してください。

VCNにサイト間VPNを設定するときは、複数のネットワーキング・コンポーネントを作成する必要があります。コンポーネントは、コンソールまたはAPIを使用して作成できます。コンポーネントの次の図および説明を参照してください。

CPEオブジェクト

サイト間VPNのオンプレミス側の終端は、オンプレミス・ネットワーク内の実際のデバイスの(ハードウェアまたはソフトウェア)です。顧客構外機器(CPE)という語はこのタイプのオンプレミス機器を示す言語であり、一部の業界では一般的に使用しています。VPNを設定する際には、デバイスの仮想表現を作成する必要があります。Oracleではこの仮想表現をCPEと呼びますが、このドキュメントでは通常、仮想表現と実際のCPEデバイスを区別するためにCPEオブジェクトという語を使用します。CPEオブジェクトには、Oracleが必要とするデバイスに関する基本情報が含まれています。単一のCPEオブジェクト・パブリックIPには、最大8つのIPSec接続を含めることができます。

動的ルーティング・ゲートウェイ(DRG)

Oracleのサイト間VPNの終端は、動的ルーティング・ゲートウェイと呼ばれる仮想ルーターです。これは、オンプレミス・ネットワークからVCNへのゲートウェイになります。オンプレミス・ネットワークおよびVCNに接続するためにサイト間VPNかOracle Cloud Infrastructure FastConnectプライベート仮想回線のどちらのを使用しているかにかかわらず、トラフィックはDRGを通過します。詳細は、Dynamic Routing Gatewaysを参照してください。

ネットワーク・エンジニアは、DRGをVPNヘッドエンドと考えることができます。DRGの作成後に、コンソールまたはAPIを使用して、そのVCNにアタッチする必要があります。また、VCNからDRGにトラフィックをルーティングする1つ以上のルート・ルールを追加する必要があります。そのDRGアタッチメントとルート・ルールがないと、トラフィックはVCNとオンプレミス・ネットワークの間を移動しません。いつでもDRGをVCNからデタッチできますが、残りのすべてのVPNコンポーネントは維持されます。その後、DRGを再アタッチしたり、別のVCNにアタッチすることができます。

IPsec接続

CPEオブジェクトとDRGを作成した後で、IPSec接続を作成して接続します。これは、サイト間VPNを表す親オブジェクトと考えることができます。IPSec接続には独自のOCIDがあります。このコンポーネントを作成するときは、各IPSecトンネルに使用するルーティングのタイプを構成し、関連するルーティング情報を指定します。1つのCPEオブジェクトのパブリックIPには、最大8つのIPSec接続を設定できます。

トンネル

IPSecトンネルは、セキュアなIPSecエンドポイント間のトラフィックを暗号化するために使用されます。Oracleにより、冗長性のために各IPSec接続に2つのトンネルが作成されます。各トンネルには独自のOCIDがあります。両方のトンネルで障害が発生した場合、またはOracleがメンテナンスのために1つオフラインになった場合に備えて、CPEデバイスを構成することをお薦めします。各トンネルには、CPEデバイスの構成時にネットワーク・エンジニアが必要とする構成ファイルが含まれています。この情報には、IPアドレスと共有シークレットのほか、ISAKMPおよびIPSecパラメータも含まれます。CPE構成ヘルパーを使用すると、ネットワーク・エンジニアが必要とする情報を収集できます。詳細は、サポートされているIPSecパラメータおよび検証済CPEデバイスを参照してください。

CPEがNATデバイスの背後にある場合

一般的に、接続のオンプレミス側で構成されたCPE IKE識別子は、Oracleが使用しているCPE IKE識別子と一致する必要があります。デフォルトでは、OracleではCPEのパブリックIPアドレスが使用されます。これは、Oracle ConsoleでCPEオブジェクトを作成したときに指定したものです。ただし、CPEがNATデバイスの背後にある場合、次の図に示すように、オンプレミス側で構成されたCPE IKE識別子がCPEのプライベートIPアドレスになる可能性があります。

ノート

一部のCPEプラットフォームでは、ローカルIKE識別子を変更できません。実行できない場合は、Oracle ConsoleでリモートIKE IDを変更して、CPEのローカルIKE IDと一致させる必要があります。IPSec接続を設定するときに、または設定後に、IPSec接続を編集して値を指定できます。Oracleでは、値がIPアドレスまたはcpe.example.comなどの完全修飾ドメイン名(FQDN)であることが必要です。手順については、Oracleで使用されるCPE IKE識別子の変更を参照してください。

ネットワーク・エンジニアは、IPSec接続のオンプレミス側にあるCPEを構成する必要があります。これを容易にするために、Oracleでは次のリソースを提供しています:

• CPE構成ヘルパー: ネットワーク・エンジニアがCPPの構成時に使用できるコンテンツのセットを生成する、Oracle Consoleのツール。
• 検証済CPEデバイスのリスト: デバイスごとに構成手順が提供されます。
• サポートされているIPSecパラメータのリスト: CPEは検証済デバイスのリストにない場合は、このパラメータのリストを使用してCPEPEを構成できます。

詳細は、CPE構成も参照してください。

メトリック、アラームおよび通知を使用して、Oracle Cloud Infrastructureリソースのヘルス、容量およびパフォーマンスをモニターできます。詳細は、モニタリングおよび通知を参照してください。

接続の監視の詳細は、サイト間VPNのメトリックを参照してください。

次の関連トピックを参照してください:

• Site-to-Site VPNウィザード
• サイト間VPNの設定
• サポートされているIPSecパラメータ
• CPE構成
• 検証済CPEデバイス
• CPE構成ヘルパーの使用
• オンプレミス・ネットワークへの接続のルーティング詳細
• サイト間VPNの作業
• Site-to-Site VPNのFAQ