Oracle Cloud Infrastructureドキュメント

AWSへのVPN接続

Oracle Cloud Infrastructure (OCI)サイト間VPNサービスは、オンプレミス・ネットワークとVirtual Cloud Network (VCN)間にセキュアなIPSec接続を提供します。サイト間VPNを使用して、Oracle Cloud Infrastructureリソースを他のクラウド・サービス・プロバイダに接続することもできます。

このトピックでは、OCIサイトツーサイトVPNサービスおよびAWSサイトVPNサービスを使用したOCIとAWS間のIPSec VPNトンネルのベスト・プラクティス構成を示します。

ノート

このドキュメントでは、 Virtual Cloud Network (VCN)および Dynamic Routing Gateway (DRG)がすでにプロビジョニングされており、このシナリオに必要なすべてのVCNルート表およびセキュリティ・リストと、AWSと同等のものを構成していることを前提としています。

事前共有キー:トンネルの事前共有キーを自動生成するためにAWSに依存している場合、生成されたキーにはピリオドまたはアンダースコア(.または_)文字が含まれている可能性があります。OCIでは、事前共有キーでこれらの文字はサポートされていません。AWSで自動生成されたパスワードにこれらの文字が含まれている場合は、VPN構成を完了する前に、関連するトンネル用の事前共有キーを変更します。

ルーティング・タイプ:このシナリオでは、Border Gateway Protocol (BGP)を使用して、AWSとOCI間のルート交換を行います。可能な場合は常に、IPSecトンネルにBGPを使用してください。オプションで、AWSとOCI間に静的ルーティングを使用することもできます。

IPSec接続で使用されるサイト間VPNバージョンは、IPSec接続ページの「IPSec接続情報」タブで確認できます。

すべてのOCIリージョンでサポートされているIPSecパラメータのベンダー非依存性のリストについては、サポートされているIPSecパラメータに関する項を参照してください。

AWS - 一時カスタマ・ゲートウェイの作成

構成プロセスの最初のステップは、一時カスタマ・ゲートウェイを作成することです。この一時カスタマ・ゲートウェイは、AWSサイト間VPNが初期プロビジョニングされて、トンネルのAWS VPNエンドポイントを公開するために使用されます。OCIでは、IPSec接続を作成する前に、リモートVPNピールのパブリックIPが必要です。このプロセスが完了すると、実際のOCI VPNエンドポイント・パブリックIPを表す新しいカスタマ・ゲートウェイが構成されます。

  1. メインのAWSポータルで、画面の左上にある「Services」メニューを展開します。「Networking & Content Delivery」の下の「VPC」を参照します。
  2. 左側のメニューで、下にスクロールして「Virtual Private Network (VPN)」 の下にある「Customer Gateways」を選択します。
  3. 「Create Customer Gateway」を選択して、カスタマ・ゲートウェイを作成します。
  4. 「Create Customer Gateway」ページが表示されます。次の詳細を入力します。
    • Name:このカスタマ・ゲートウェイで一時的であることが明らかになる名前を付けます。この例では、TempGatewayという名前が使用されます。
    • Routing: 「Dynamic」を選択します。
    • BGP ASN: OCI BGP ASNを入力します。Oracleの商用クラウド用のBGP ASNは31898です。ただし、セルビア中央部(ジョバノヴァック)リージョンは14544です。

    • IP Address:一時ゲートウェイに任意の有効なIPv4アドレスを使用します。この例では、1.1.1.1を使用します。

      一時カスタマ・ゲートウェイの構成が終了したら、「カスタマ・ゲートウェイの作成」を選択してプロビジョニングを完了します。

AWS - 仮想プライベート・ゲートウェイの作成およびアタッチ
  1. AWSの左側のメニューで、下にスクロールして「Virtual Private Network(VPN)」 の下の「Virtual Private Gateways」を選択します。
  2. 「Create Virtual Private Gateway」ボタンをクリックして、新しい仮想プライベート・ゲートウェイを作成します。
  3. 「Create Virtual Private Gateway」ページが表示されます。次の詳細を入力します。
    • 名前:仮想プライベート・ゲートウェイ(VPG)に名前を付けます。

    • ASN: 「Amazon default ASN」を選択します。

      仮想プライベート・ゲートウェイの構成が終了したら、「仮想プライベート・ゲートウェイの作成」ボタンを選択してプロビジョニングを完了します。

  4. 仮想プライベート・ゲートウェイ・ページが表示されている間、VPGが選択されていることを確認し、「アクション」メニュー(3つのドット)、「VPCにアタッチ」の順に選択します。
  5. 選択した仮想プライベート・ゲートウェイで「Attach to VPC」ページが表示されます。

    リストからVPCを選択し、「はい、添付」ボタンを選択して、VPGをVPCにアタッチします。

AWS - VPN接続の作成
  1. 左側のメニューで、下にスクロールして「Virtual Private Network (VPN)」の下の「Site-to-Site VPN Connections」を選択します。
  2. 「Create VPN Connection」を選択して、新しい仮想プライベート・ゲートウェイを作成します。
  3. 「Create VPN Connection」ページが表示されます。次の詳細を入力します。
    • 名前タグ: VPN接続に名前を付けます。
    • Target Gateway Type: 「Virtual Private Gateway」を選択し、リストから以前に作成した仮想プライベート・ゲートウェイを選択する。
    • Customer Gateway: 「Existing」を選択し、リストから一時カスタマ・ゲートウェイを選択してください。
    • Routing Options: 「Dynamic (requires BGP)」を選択します。
    • Tunnel inside Ip Version: 「IPv4」を選択します。

    • Local/Remote IPv4 Network CIDR:これらの両方のフィールドを空白のままにして、any/anyのルートベースのIPSec VPNを作成します。

      次のステップに進みます。「Create VPN Connection」ボタンをまだ選択しないでください。

  4. 「Create VPN Connection」ページが表示したまま、「Tunnel Options」まで下にスクロールします。

    リンク・ローカルの169.254.0.0/16範囲内から/30 CIDRを選択します。「Inside IPv4 CIDR for Tunnel 1」フィールドに完全なCIDRを入力します。

    OCIが、トンネル内IPに対して選択した/30アドレスをサポートしていることを確認します。OCIでは、トンネル内IPに次のIP範囲を使用することはできません:

    • 169.254.10.0-169.254.19.255
    • 169.254.100.0-169.254.109.255
    • 169.254.192.0-169.254.201.255

    次のステップに進みます。「Create VPN Connection」ボタンをまだ選択しないでください。

  5. 「Advanced Options for Tunnel 1」で、「Edit Tunnel 1 Options」のラジオ・ボタンをクリックします。追加のオプション・セットが展開されます。

    このトンネルに使用される暗号化アルゴリズムに制限が必要な場合は、必要なフェーズ1およびフェーズ2のオプションをここで構成します。この接続にはIKEv2を使用することをお薦めします。IKEv1が使用されないようにするには、「IKEv1」チェック・ボックスの選択を解除します。OCIでサポートされているフェーズ1およびフェーズ2のオプションを確認するには、サポートされているIPSecパラメータを参照してください。

    すべての必要なオプションの構成が終了したら、下部にある「Create VPN Connection」ボタンを選択してVPN接続のプロビジョニングを完了します。

AWS - 構成のダウンロード

VPN接続のプロビジョニング中に、すべてのトンネル情報の構成をダウンロードします。このテキスト・ファイルは、OCIコンソールでトンネルの構成を完了するために必要です。

  1. VPN接続が選択されていることを確認し、「構成のダウンロード」ボタンを選択します。
  2. 「Vendor」および「Platform」設定の「Generic」を選択し、「Download」ボタンをクリックして、構成のテキスト・コピーをローカル・ハード・ドライブに保存ます。
  3. IPSec Tunnel #1の下にあるセクション#1 Internet Key Exchange Configurationを参照します。ここでは、トンネルの事前共有キーが自動的に生成されます。この値を保存します。

    AWSでは、ピリオドまたはアンダースコア文字(.または_)を使用して事前共有キーが生成される可能性があります。OCIでは、これらの文字を事前共有キーで使用することはサポートされていません。これらの値を含むキーは変更する必要があります。トンネルのAWSで事前共有キーを変更するには、VPN接続を選択し、「アクション」メニュー(3つのドット)、「VPNトンネル・オプションの変更」の順に選択します。

  4. ダウンロードした構成のトンネル1の下で、#3 Tunnel Interface Configurationセクションまで下にスクロールします

    次の値を記録して、OCIのサイト間VPN構成を完了します:

    • 仮想プライベート・ゲートウェイの外部IPアドレス
    • カスタマ・ゲートウェイの内部IP
    • 仮想プライベート・ゲートウェイの内部IP
    • 仮想プライベート・ゲートウェイのBGP ASN。デフォルトASNは64512です。
OCI - CPEオブジェクトの作成
  1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「顧客構内機器」を選択します。
  2. 「顧客構内機器の作成」を選択します。
  3. 次の値を入力します。
    • コンパートメントに作成:必要なVCNのコンパートメントを選択します。
    • 名前: CPEオブジェクトのわかりやすい名前。必ずしも一意である必要はありませんが、後でコンソールで変更することはできません(ただし、APIで変更できます)。機密情報の入力は避けてください。

      この例では、名前としてTO_AWSを使用します。

    • IPアドレス: AWSからダウンロードした構成に示されている仮想プライベート・ゲートウェイの外部IPアドレスを入力します。
    • CPEベンダー: 「その他」を選択します。
  4. 「CPEの作成」を選択します。
OCI - IPSec接続の作成
  1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「サイト間VPN」を選択します。
  2. 「IPSec接続の作成」を選択します。
  3. 次の値を入力します。
    • コンパートメントに作成: そのままにします(VCNのコンパートメント)。
    • 名前: IPSec接続のわかりやすい名前を入力します(例: OCI-AWS-1)。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • 顧客構内機器コンパートメント: そのままにします(VCNのコンパートメント)。
    • 顧客構内機器:以前に作成したTO_AWSという名前のCPEオブジェクトを選択します。
    • 動的ルーティング・ゲートウェイ・コンパートメント: そのままにします(VCNのコンパートメント)。
    • 動的ルーティング・ゲートウェイ: 以前に作成したDRGを選択します。
    • 静的ルートCIDR:デフォルト・ルート0.0.0.0/0を入力します。アクティブ・トンネルではBGPが使用されるため、OCIはこのルートを無視します。IPSec接続の2番目のトンネルにはエントリが必要です。デフォルトでは静的ルーティングが使用されますが、アドレスはこのシナリオでは使用されていません。この接続に静的ルーティングを使用する場合は、AWS仮想ネットワークを表す静的ルートを入力します。IPSec接続ごとに最大10個の静的ルートを構成できます。
  4. 「トンネル1」タブで次の詳細を入力します(必須):
    • 名前:トンネルのわかりやすい名前を入力します(例: AWS-TUNNEL-1)。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • カスタム共有シークレットの指定:このトンネルに対してIPSecで使用される事前共有キーを入力します。このチェック・ボックスを選択し、AWS VPN構成ファイルから事前共有キーを入力します。
    • IKEバージョン: IKEv2を選択します。
    • ルーティング・タイプ: 「BGP動的ルーティング」を選択します。
    • BGP ASN: AWS VPN構成ファイルにあるとおり、AWSで使用されるBGP ASNを入力します。デフォルトAWS BGP ASNは64512です。
    • IPv4トンネル内インタフェース- CPE: AWS VPN構成ファイルからIPアドレス内の仮想プライベート・ゲートウェイを入力します。このIPアドレスには完全なCIDR表記を使用します。
    • IPv4トンネル内インタフェース- Oracle: OCIで使用される内部IPアドレスを入力します。AWS VPN構成ファイルを参照して、カスタマ・ゲートウェイの内部IPアドレスを入力します。このIPアドレスには完全なCIDR表記を使用します。
  5. 「IPSec接続の作成」を選択します。

    IPSec接続が作成され、ページに表示されます。この接続は、短い間「Provisioning」状態です。

  6. IPSec接続がプロビジョニングされたら、トンネルのOracle VPN IPアドレスを書き留めます。このアドレスを使用して、AWSポータルで新しいカスタマ・ゲートウェイを作成します。
    1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「サイト間VPN」を選択します。

      表示しているコンパートメント内のIPSec接続のリストが表示されます。探しているポリシーが表示されない場合は、正しいコンパートメントが表示されていることを確認します。別のコンパートメントにアタッチされたポリシーを表示するには、「リスト範囲」で、リストからそのコンパートメントを選択します。

    2. 目的のIPSec接続を選択します(例: OCI-AWS-1)。
    3. AWS-TUNNEL-1のOracle VPN IPアドレスを見つけます。
AWS - 新規カスタマ・ゲートウェイの作成
AWSコンソールで、「Customer Gateways」を参照し、次の詳細を使用してカスタマ・ゲートウェイを作成します:
  • Name:この顧客ゲートウェイに名前を付けます。
  • Routing: 「Dynamic」を選択します。
  • BGP ASN: OCI BGP ASNを入力します。Oracleの商用クラウド用のBGP ASNは31898です。ただし、セルビア中央部(ジョバノヴァック)リージョンは14544です。

  • IP Address:トンネル1のOracle VPN IPアドレスを入力します。前のタスクで保存したIPを使用します。

    「Create Customer Gateway」を選択してプロビジョニングを完了します。

AWS - 新規カスタマ・ゲートウェイのVPN接続の変更

このタスクでは、一時カスタマ・ゲートウェイを、OCI VPN IPアドレスを使用するものに置き換えます。

  1. AWSコンソールで、「Site-to-Site VPN Connections」を参照し、VPN接続を選択します。
  2. 「アクション」メニュー(3つのドット)、「VPN接続の変更」の順に選択します。
  3. 「Modify VPN Connection」ページが表示されます。次の詳細を入力します。
    • Target Type:リストから「Customer Gateway」を選択します。

    • Target Customer Gateway ID:リストから、OCI VPN IPアドレスを持つ新しいカスタマ・ゲートウェイを選択します。

      完了後、「保存」ボタンを選択して構成を保存します。

      数分後、AWSはVPN接続のプロビジョニングを完了し、AWSとOCIの間のIPSec VPNが起動します。

  4. この時点で、一時カスタマ・ゲートウェイを削除できます。
検証

OCIのIPSec接続と、AWSのサイト間VPN接続を参照して、トンネルのステータスを確認します。

  • 「IPSec接続」の下のOCIトンネルに、IPSecステータスとしてUpと表示されて、稼働中のトンネルを確認できます。
  • 同様に、「IPv4 BGPステータス」にも、確立されたB GPセッションを示すUpが表示されます。
  • AWSのサイト間VPN接続の「トンネル詳細」タブにあるトンネルのステータスに、Upと表示されます。

モニタリング・サービスは、クラウド・リソースをアクティブおよびパッシブでモニターするためにOCIからも使用できます。OCIサイト間VPNの監視の詳細は、サイト間VPNメトリックを参照してください。

問題がある場合は、サイト間VPNのトラブルシューティングを参照してください。