Oracle Cloud Infrastructureドキュメント

Google CloudへのVPN接続

Oracle Cloud Infrastructure (OCI)サイト間VPNサービスは、オンプレミス・ネットワークとVirtual Cloud Network (VCN)間にセキュアなIPSec接続を提供します。サイト間VPNを使用して、OCIリソースを他のクラウド・サービス・プロバイダに接続することもできます。

このトピックでは、OCIサイト間VPPNサービスおよびGoogle Cloud VPNサービスの使用によるOCIとGoogle Cloud間のIPSec VPNトンネルのベスト・プラクティス構成を示します。

ノート

このドキュメントでは、Virtual Cloud Network (VCN)および Dynamic Routing Gateway (DRG)をすでにプロビジョニングし、このシナリオおよびGoogle Cloudのすべての同等のものに必要なすべてのVCNルート表およびセキュリティ・リストを構成していることを前提としています。

ルーティング・タイプ:このシナリオでは、Border Gateway Protocol (BGP)を使用して、Google CloudとOCI間のルート交換を行います。可能な場合、サイト間VPNではBGPが推奨されています。オプションで、Google CloudとOCI間に静的ルーティングを使用することもできます。

IPSec接続で使用されるサイト間VPNバージョンは、IPSec接続ページの「IPSec接続情報」タブで確認できます。

すべてのOCIリージョンでサポートされているIPSecパラメータのベンダー非依存性のリストについては、サポートされているIPSecパラメータに関する項を参照してください。

Google Cloud - VPN構成の開始
  1. メインのGoogle Cloudポータルで:
    1. 左上隅からメイン・メニューを展開
    2. 「Hybrid Connectivity」まで下にスクロールします
    3. 「VPN」を選択します。
  2. 次のページで、「Create VPN Connection」リンクを選択して、IPSec VPN接続を作成するためのワークフローを起動します。
  3. 「VPN Options」で、「High-availability (HA) VPN」を選択し、下部にある「Continue」ボタンを選択します。
  4. Cloud HA VPNゲートウェイを作成します。次の詳細を入力します。
    • 名前: VPNゲートウェイに名前を付けます。
    • ネットワーク: IPSec VPNが接続するVPCを選択します。

    • Region: VPNゲートウェイのリージョンを選択します

      VPNゲートウェイの構成が終了したら、「作成して続行」ボタンを選択して続行します。

  5. 次のページでは、Google Cloud VPNエンドポイントのパブリックIPを公開します。

    いずれかのインタフェースのパブリックIPを保存し、別のウィンドウでOCI Consoleを開いて構成プロセスを続行します。OCI IPSec接続がプロビジョニングされた後、後で戻ってGoogle Cloud構成を完了します。

OCI - CPEオブジェクトの作成
  1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「顧客構内機器」を選択します。
  2. 「顧客構内機器の作成」を選択します。
  3. 次の値を入力します。
    • コンパートメントに作成:必要なVCNのコンパートメントを選択します。
    • 名前: CPEオブジェクトのわかりやすい名前。必ずしも一意である必要はありませんが、後でコンソールで変更することはできません(ただし、APIで変更できます)。機密情報の入力は避けてください。

      この例では、名前としてTO_GCPを使用します。

    • IPアドレス: Google Cloud VPNゲートウェイのパブリックIPアドレスを入力します。
    • CPEベンダー: 「その他」を選択します。
  4. 「CPEの作成」を選択します。
OCI - IPSec接続の作成
  1. ナビゲーション・メニューを開き、「ネットワーキング」を選択します。「顧客接続」で、「サイト間VPN」を選択します。
  2. 「IPSec接続の作成」を選択します。
  3. 次の値を入力します。
    • コンパートメントに作成: そのままにします(VCNのコンパートメント)。
    • 名前: IPSec接続のわかりやすい名前を入力します。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • 顧客構内機器コンパートメント: そのままにします(VCNのコンパートメント)。
    • 顧客構内機器: TO_GOOGLE_CLOUDという名前で以前に作成したCPOオブジェクトを選択します。
    • 動的ルーティング・ゲートウェイ・コンパートメント: そのままにします(VCNのコンパートメント)。
    • 動的ルーティング・ゲートウェイ: 以前に作成したDRGを選択します。
    • 静的ルートCIDR:デフォルト・ルート0.0.0.0/0を入力します。アクティブ・トンネルにはBGPが使用されるので、OCIはこのルートを無視します。IPSec接続の2番目のトンネルにはエントリが必要です。デフォルトでは静的ルーティングが使用されますが、このシナリオでは使用されていません。この接続に静的ルーティングを使用する場合は、Google Cloud仮想ネットワークを表す静的ルートを入力します。IPSec接続ごとに最大10個の静的ルートを構成できます。

    • OCIが、トンネル内IPに対して選択した/30アドレスをサポートしていることを確認します。OCIでは、トンネル内IPに次のIP範囲を使用することはできません:

      • 169.254.10.0-169.254.19.255
      • 169.254.100.0-169.254.109.255
      • 169.254.192.0-169.254.201.255
  4. 「トンネル1」タブで次の詳細を入力します(必須):
    • 名前:トンネルのわかりやすい名前を入力します(例: GCP-TUNNEL-1)。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • カスタム共有シークレットの指定:このトンネルのIPSecで使用される事前公開キー。カスタム・キーを使用する場合は、このチェック・ボックスを選択します。選択項目が指定されていない場合は、選択項目が生成されます。
    • IKEバージョン: IKEv2を選択します。
    • ルーティング・タイプ: 「BGP動的ルーティング」を選択します。静的ルーティングを使用する場合は、「静的ルーティング」を選択します。
    • BGP ASN: Google Cloudで使用されるBGP ASNを入力しますGoogle Cloud BGP ASNは、今後のステップで構成します。このシナリオでは、Google Cloudに65000のBGP ASNを使用します。
    • IPv4トンネル内インタフェース- CPE: Google Cloudで使用されるBGP IPアドレスを入力します。このIPアドレスには完全なCIDR表記を使用します。これは、リンク・ローカル・アドレスである必要があります。このシナリオでは、BGP IPアドレスに169.254.20.0/30 CIDRを使用します。
    • IPv4トンネル内インタフェース- Oracle: OCIで使用されるBGP IPアドレスを入力します。このIPアドレスをCIDR表記に含めます。これは、リンク・ローカル・アドレスである必要があります。このシナリオでは、BGP IPアドレスに169.254.20.0/30 CIDRを使用します。
  5. トンネルの「拡張オプションの表示」を選択し、https://cloud.google.com/network-connectivity/docs/vpn/concepts/supported-ike-ciphersにリストされているGoogle Cloud側と一致するようにフェーズ1およびフェーズ2の存続期間を変更してください。

    フェーズ1とフェーズ2の存続期間は、IKEv1とIKEv2のどちらを使用しているかに反応して、Google Cloud側で異なる値になる。これらは次のとおりです:

    • フェーズ1 IKEセッション・キー存続期間(秒) = 36,000秒
    • フェーズ2 IPSecセッション・キー存続期間(秒) = 10,800秒

    他のすべての設定はデフォルトのままにします。

  6. 「IPSec接続の作成」を選択します。

    IPSec接続が作成され、ページに表示されます。接続は、短い間Provisioning状態です。

OCI - Oracle VPN IPアドレスおよび共有シークレットの保存

IPSec接続がプロビジョニングされたら、Google CloudポータルでCPE IPとして使用するサイト間VPN IPアドレスおよびトンネルの共有シークレットを保存します。

  1. OCIコンソールでIPSec接続を参照します。

    プライマリとして使用するトンネルを決定します。そのトンネルのサイト間VPN IPアドレスを保存します。次に、そのトンネルのトンネル名を選択すると、トンネル・ビューが表示されます。

  2. トンネルの下で、共有シークレットを表示するリンクを選択します。それを保存します。共有シークレットは、Google CloudでIPSec VPN構成を完了するために使用されます。
Google Cloud - VPNピア・ゲートウェイの作成

  1. Google Cloud VPN構成ウィンドウに戻ります。
  2. 「Peer VPN Gateway」で、「On-prem or Non Google Cloud」を選択します。
  3. 「Peer VPN gateway name」リストを展開し、「Create new VPN peer gateway」を選択します。
  4. 「Add a peer VPN gateway」ページが表示されます。次の詳細を入力します。
  5. 下部にある「Create」ボタンを選択して続行します。「Create a VPN」ワークフローに戻ります。
Google Cloud - クラウド・ルーターの作成
  1. 「Cloud Router」リストを展開し、「Create new router」を選択します。
  2. 「Create a router」ページが表示されます。次の詳細を入力します。
    • 名前:クラウド・ルーターに名前を付けます。

    • Google ASN: Google BGP ASNを入力します。これは、OCIでIPSec接続を構成する際にも使用されます。

      他のオプションはすべてデフォルトのままにします。

  3. クラウド・ルーターの構成が終了したら、「作成」ボタンを選択して続行します。

    「Create a VPN」ワークフローに戻ります。

Google Cloud - VPNトンネルの完全な構成
VPNトンネルの構成を完了します。次の詳細を入力します。
  • Cloud Router:前のステップで構成したクラウド・ルーターを選択します。
  • Associated Cloud VPN gateway IP: OCIで構成されたPEオブジェクトIPアドレスと一致します。
  • Associated peer VPN Gateway interface: OCI VPNトンネルのOracle VPN IPアドレスに一致します。OCI - Oracle VPN IPアドレスおよび共有シークレットの保存に関する項を参照してください。
  • 名前: VPNトンネルに名前を付けます。
  • IKE version: IKEv2を選択します(推奨)。IKEv1を使用する場合は、OCIのIPSec接続の下のVPNトンネルにもIKEv1が構成されていることを確認します。

  • IKE pre-shared key: OCIのIPSec接続にあるVPNトンネルの共有シークレットに一致します。OCI - Oracle VPN IPアドレスおよび共有シークレットの保存に関する項を参照してください。他のオプションはすべてデフォルトのままにします。

    VPNトンネルの構成が終了したら、「作成して続行」を選択します。

Google Cloud - BGPセッションの構成

このステップでは、IPSecトンネルのBGPセッションを構成します。BGP設定は、OCI - IPSec接続の作成で構成した構成のOCI側と一致する必要があります。

  1. VPNトンネルの「BGPセッション」の下の「構成」ボタンを選択します。
  2. トンネルの「BGPセッションの作成」ページで、次の詳細を入力します:
    • 名前: BGPセッションに名前を付けます。
    • Peer ASN: BGP ASNを入力します。Oracleの商用クラウド用のBGP ASNは31898です。ただし、セルビア中央部(ジョバノヴァック)リージョンは14544です。
    • クラウド・ルーターBGP IP: OCI - IPSec接続の作成でトンネル1の「IPv4トンネル内インタフェース- CPE」に対して構成したIPアドレスと一致しますこのフィールドにはCIDR表記を使用しないでください。
    • BGPピアIP: OCI - IPSec接続の作成でトンネル1の「IPv4トンネル内インタフェース- Oracle」に対して構成したIPアドレスに一致します。このフィールドにはCIDR表記を使用しないでください。

    • BGP peer: 「Enabled」を選択します。

      他のオプションはすべてデフォルトのままにします。

  3. BGPセッションの構成が終了したら、「保存して続行」を選択して「BGPセッションの構成」ページに戻ります。
  4. 「Save BGP configuration」ボタンをクリックして続行します。
  5. 「Summary and reminder」ページが表示されます。

    「VPN tunnel status」および「BGP status」にEstablishedと表示されます。

  6. 下部にある「OK」を選択して構成を完了します。
検証

OCIのIPSec接続と、Google Cloudのサイト間VPN接続を参照して、トンネルのステータスを確認します。

「IPSec接続」の下のOCIトンネルに、IPSecステータスとしてUpと表示されて、稼働中のトンネルを確認できます。

同様に、「IPv4 BGPステータス」にも、確立されたB GPセッションを示すUpが表示されます。

Google Cloud ConsoleでクラウドVPNトンネルを参照します。VPNトンネル・ステータスとBGPセッション・ステータスのどちらもEstablishedを示す必要があります。

モニタリング・サービスは、クラウド・リソースをアクティブおよびパッシブでモニターするためにOCIからも使用できます。OCIサイト間VPNの監視の詳細は、サイト間VPNメトリックを参照してください。

問題がある場合は、サイト間VPNのトラブルシューティングを参照してください。