サイト間VPNの作業

ポリシーベースのVPN機能に移行する理由

サイト間VPN v1サービスは、常にルートベースのVPNとして構成され、BGPルーティング・タイプと静的ルーティング・タイプの両方に任意または任意の暗号化ドメインを使用します。ポリシーベースのVPNの相互運用性のために、CPEがイニシエータとして機能し、1つの暗号化ドメインのみがOCIに送信される場合、サイト間VPN v1はポリシーベースのVPN用に構成されたCPEをサポートします。このシナリオで複数の暗号化ドメインを構成すると、トンネルのフラッピングが観察されるトンネルが不安定になるか、トンネルを横断するトラフィックに安定した到達可能性がありません。

サイト間VPN v2サービスでは、BGPおよび静的ルーティング・タイプに加えて、ポリシーベースのルーティング・タイプ・オプションが使用されます。サイト間VPN v2のBGPおよび静的ルーティング・タイプは、ルートベースのままであり、単一または任意の暗号化ドメインをサポートします。これらのオプションは、単一の暗号化ドメイン・ポリシーベースのCPE構成で動作しますが、これはお薦めしません。また、複数の暗号化ドメインを送信すると、トンネルが不安定になります。

サイト間VPN v2で使用可能なポリシーベースのルーティング・タイプは、完全に機能するポリシーベースのVPNで、CPEのポリシーベース構成に完全に一致するようにOCI側を構成し、安定したIPSec VPNトンネルに必要な個々のセキュリティ・アソシエーション(SA)をすべて受け入れることができます。

暗号化ドメインおよび様々なIPSec VPNトンネル・タイプの詳細は、サポートされている暗号化ドメインまたはプロキシIDを参照してください。

トンネルがサイト間VPN v1からv2に移行された後は、移行前に構成されたものと同じルーティング・タイプ(BGPまたは静的)を引き続き使用します。既存のルートベースのトンネルをポリシーベースのルーティングを使用するように変更する手順については、を参照してください。

ポリシーベースのVPNに移行する特定のステップは、IPSecトンネルの更新を参照してください。

システムのセキュリティ、安定性、パフォーマンスを確保するために、OracleはOCIプラットフォーム全体でソフトウェアを定期的に更新しています。これらの更新には、脆弱性パッチ、新機能、バグ修正などの重要な修正が含まれており、全体的な機能と信頼性が向上します。更新プロセス中に、あるVPNヘッドエンドから別のヘッドエンドにIPSecトンネルが移動され、1つのトンネルのみが使用されると、IPSec接続がリセットされます。IPSec接続では、1つのIPSecトンネルのみが移動されます。トンネルへのこの短い中断を防ぐことはできませんが、ダウンタイムを最小限に抑えるために更新メカニズムを最適化しました。顧客構内設備(CPE)が継続的に接続の再確立を試行する場合、通常のIPSecトンネルのダウンタイムは1分未満です。この設計により、Oracleは、システムの安全性と信頼性を維持しながら、接続の中断を最小限に抑えることができます。IPSecトンネルのリストアには、最大10分かかる場合があります。

• トンネルがOCI側でのみレスポンダとして設定され、CPEがトンネルをすぐに起動しようとしていない場合
• CPEがOCI側によって開始されたIKEネゴシエーションへの応答に失敗した場合

ソフトウェア更新中のIPSecトンネル・フラップは避けられませんが、OCIは冗長トンネルを提供します。これらの冗長トンネルは、1つのトンネルがダウンタイムを経験する短い期間であっても、継続的なトラフィック・フローを維持するように設計されています。冗長性が正しく設定されている場合、プライマリ・トンネルを介してルーティングされるすべてのトラフィックは、トンネル・フラップ中に冗長トンネルにシームレスに切り替わります。このフェイルオーバーメカニズムにより、サービスが中断されないままになり、トラフィックフローが大幅に遅延することなく保持されます。OCIは、冗長トンネルが2つの異なるVPNヘッドエンドに着陸することを保証します。ソフトウェア更新中は、一度に1つのトンネルだけが影響を受けます。

初期設定時とそれ以降の定期的な間隔の両方で、プライマリVPNトンネルを停止して冗長性をテストすることをお薦めします。プライマリ・トンネルがオフラインの間、VCNインスタンスが到達可能なままであり、トラフィックが冗長トンネルに移行していることを確認します。この冗長性ガイドのVPN冗長性のセクションには、様々なユース・ケースでのVPNトンネルの冗長性の設定に関するより詳細な洞察が記載されています。

次のステップを使用して、トンネルを一時的に無効にして、プライマリIPSecトンネルからセカンダリIPSecトンネルへの冗長性フェイルオーバーをテストできます。