Alibaba CloudとAzureをIPsec-VPNで繋ぐ方法

何故、複数のパブリッククラウドをあわせて利用するのか

パブリッククラウドが提供しているリージョン / ゾーンの考え方としては、リージョン = 国 / 地域、ゾーン = データセンターの所在地という考え方が一般的です。利用する場所が、利用リージョン / ゾーンに近いほど、通信の遅延を最小限に抑えることができ、なおかつレスポンスタイムを短くすることができます。一方、利用する場所が、利用リージョン / ゾーンから遠いほど通信の遅延は増え、レスポンスタイムが長くなります。異なるパブリッククラウド同士をあわせて利用する理由としては、利用する場所 / 地域に近いリージョン / ゾーンが提供されている、メインで使っているパブリッククラウドに無いプロダクトや機能を利用したいといった理由があります。

パブリッククラウドのVPN比較、料金について

別のBlogでご紹介していますので詳細については、パブリッククラウドVPNのサービス比較（Alibaba Cloud / AWS / Azure / Google Cloud)をご参照ください。

IPsec-VPNでAlibaba Cloud環境とAzure環境を接続する手順

■構成図

■検証内容

クラウド間をIPsec VPNで接続し、それぞれのクラウドに設置した仮想サーバ間でプライベート通信が可能か検証する

■検証方法

Alibaba CloudのECSとAzureのVirtual Machinesで双方からそれぞれのプライベートIPに対しpingを実行し、疎通確認

■利用プロダクト

●Alibaba Cloud
VPC
VPN Gateway
ECS

●Azure
仮想ネットワーク
仮想ネットワークゲートウェイ
ローカルネットワークゲートウェイ
Virtual Machines

■事前準備

●Alibaba Cloud
VPC : 10.0.0.0/16 (北京リージョン)
vSwitch : 10.0.1.0/24  (北京リージョン)
ECS : CentOS7.7 / パブリックIP付与 / 北京リージョン
Security Group : ICMPをALL, 検証で使用するクライアント環境の接続元IPアドレスをSSHで許可
※Alibaba Cloudで中国リージョンのプロダクトを利用する場合、実名認証を完了させている必要があります。詳細については、Real-name registration FAQsをご参照ください。

●Azure
仮想ネットワーク : 172.18.0.0/16 (Japan Eastリージョン)
サブネット : 172.18.0.0/24 (Japan Eastリージョン)
Virtual Machines : CentOS7 / パブリックIP付与 / Japan East
※インターネットに接続ができる状態
受信ポートの制限 : ICMPをALL, 検証で使用するクライアント環境の接続元IPアドレスをSSHで許可

■設定時間の目安

30 ~ 45分ほど

■設定の流れ

1. Alibaba Cloud側での設定
2. Azure側での設定
3. Alibaba Cloud側での設定
4. 動作確認前のチェック
※Alibaba CloudとAzureを交互で設定します。最初にVPN Gateway / 仮想ネットワークゲートウェイのどちらかを作成する必要があります。理由としては、Alibaba CloudまたはAzureのVPN製品でグローバルIPを持つGatewayを対向側で設定する必要があります。

■設定手順： Alibaba Cloud側での設定

<1-1>
Alibaba Cloudコンソールにログインし、プロダクト一覧より「VPN Gateway」を選択します。

<1-2>
「Create VPN Gateway」をクリックし、VPN Gatewayの作成を行います。

<1.3>
以下の通りパラメータを設定し、VPN Gatewayを作成します。
■設定パラメータ

<1-4>
作成されたVPN Gatewayが表示されるか確認します。
※VPN GatewayのIPは以降の設定で入力しますのでメモしておいてください。

■設定手順：Azure側での設定

<2-1>
Azureコンソールにログインし、プロダクト一覧より「仮想ネットワークゲートウェイ」を選択し、「作成」をクリックします。

<2-2>
以下の通りパラメータを設定し、仮想ネットワークゲートウェイを作成します。

■設定パラメータ

<2-3>
仮想ネットワークゲートウェイが作成されたことを確認します。
後程、仮想ネットワークゲートウェイのパブリックIPをAlibaba Cloudに設定しますので、メモしておいてください。

<2-4>
プロダクト一覧より「ローカルネットワークゲートウェイ」を選択し、「作成」をクリックします。

<2-5>
以下の通りパラメータを設定し、ローカルネットワークゲートウェイを作成します。

■設定パラメータ

<2-6>
ローカルネットワークゲートウェイが作成されたことを確認します。

<2-7>
<2-3>で作成した仮想ネットワークゲートウェイのIDをクリックします。

<2-8>
「接続」をクリックし、「追加」をクリックします。

<2-9>
以下の通りパラメータを設定し、接続を作成します。
事前共有キー(PSK)は、以降の設定で入力しますのでメモしておいてください。

■設定パラメータ

<2-10>
IPsec接続が作成されたことを確認します。
※Alibaba Cloud側のIPsec-VPNの設定がされていないため、状態が「不明」となっています。このため、状態が「不明」の状態で以降の手順を実施ください。

Azure側のIPsec-VPNの設定は以上となります。

■設定手順：Alibaba Cloud側での設定

<3-1>
Alibaba Cloudコンソールにログインし、プロダクト一覧より「VPN Gateway」を選択します。表示された画面の左ペイン「VPN」のタブをクリックし、「Customer Gateways」をクリックします。その後、「Create Customer Gateways」をクリックし、カスタマーゲートウェイを作成します。

<3-2>
以下の通りパラメータを設定し、カスタマーゲートウェイを作成します。

■設定パラメータ

<3-3>
カスタマーゲートウェイが作成されたことを確認します。

<3-4>
プロダクト一覧より「VPN Gateway」を選択します。表示された画面の左ペイン「VPN」のタブをクリックし、「IPsec Connections」をクリックします。その後、「Create IPsec Connection」をクリックし、IPsec Connectionを作成します。

<3-5>
以下の通りパラメータを設定し、IPsec Connectionを作成します。

■設定パラメータ

<3-6>
IPsec Connectionが作成されたことを確認します。
※「Phase 1 negotiations failed」になっているのはAlibaba Cloud VPN Gatewayでルーティングが設定されていないためです。このまま以降の手順を実施ください。

<3-7>
<1-3>で作成したAlibaba Cloud VPN GatewayのIDをクリックすると以下の画面が表示されます。「Policy-based Routing」のタブをクリックし、「Add Route Entry」をクリックし、ルートエントリを作成します。

<3-8>
以下の通りパラメータを設定し、ルートエントリを作成します。

■設定パラメータ

<3-9>
ルートエントリが作成されたことを確認します。

Alibaba Cloud側の設定は以上となります。

■動作確認

<動作確認前のチェック>
●Alibaba Cloud
IPsec ConnectionのConnection Statusが「Phase2 negotiations succeeded.」であることを確認します。

●Azure
接続の状態が「接続済み」であることを確認します。

ステータス、状態が失敗になっている場合、パラメータの設定間違いや、設定パラメータが異なっている可能性が考えられます。
ご紹介させていただいた手順をもう一度確認いただき、設定パラメータをご確認ください。

解決しない場合、以下のドキュメントをご参照ください。
●Alibaba Cloud : FAQ about IPsec-VPN connections
●Azure : トラブルシューティング: Azure サイト間 VPN が動作を停止して接続できない

<疎通確認>
① Alibaba Cloud ECSとAWS EC2にそれぞれSSHログインします。
② Alibaba Cloud ECSとAWS EC2のプライベートIPに対して、それぞれの環境からプライベートIPに対してpingを実行します。

●Alibaba Cloud ECS環境

●Azure Virtual Machines環境

結果を見ると、Alibaba Cloud ECSからAzure Virtual Machines、Azure Virtual MachinesからAlibaba Cloud ECSでそれぞれping応答があり、ネットワークの疎通ができていることが分かります。

さいごに

今回はAlibaba CloudとAzureをIPsec-VPNで接続する方法についてご紹介させていただきましたがいかがでしたでしょうか。

Azureのほか、4大クラウドのAWS, Google Cloudも中国リージョンの提供数が少なく、AWS, Azure Google Cloudをメインで利用しているが、提供されている中国リージョンから利用リージョン / ゾーンから遠いといった場合、中国リージョンの提供数が多いAlibaba Cloudと併せてマルチクラウドで利用することをお勧めいたします。

関連サービス