Fujitsu Cloud Direct当社が提供するサービスを法人のお客様へ直接販売するサイトです。

CLOUD NAVIクラウドとは？からクラウドを支える技術や関連用語まで解説

FJcloud実践

FJcloud-VとAWSの「VPN接続」検証

2016年02月17日
FJcloud-VとAWSの「VPN接続」検証

この記事は、ニフクラブログで2016-02-17に公開された記事を移転したものです。

こんにちは、FJcloud-V(旧ニフクラ)のテクニカルアカウントエンジニアです。

マルチクラウドという言葉がありますが、FJcloud-V(旧ニフクラ)の商談の中でも、「他社のクラウドから移行したい」、「他社クラウドの一部の機能も使いたい」と言った要望を受けることがあります。

今回は、そういったケースに利用できそうな「FJcloud-V(旧ニフクラ)と他社とのVPN通信」について検証したいと思います。

目次

今回は、AWSさんを例に構築してみます。

構築の目的はFJcloud-V(旧ニフクラ)-AWS間でVPNコネクションを張り、相互のプライベートLANに対して通信ができるようにすることです。

構成については、FJcloud-V(旧ニフクラ)側はプライベートLAN⇔VPNゲートウェイの構成を作成し、AWS側はVPC⇔VyOSの構成を作成後、VPNゲートウェイとVyOSでVPNコネクションを張ります。

構成については詳しくは以下の構成概要図を確認ください。

構成概要図

1

構築手順目次

  1. VPCの作成
  2. VyOSインスタンスの作成
  3. AWSのネットワーク設定
  4. VPNゲートウェイの作成
  5. ファイアウォールの設定
  6. VyOSの設定
  7. ローカルサーバー間通信の確認

構築手順詳細

以下では、上記構築手順について各手順の詳細を示しています。

1. VPCの作成

AWSのプライベートLANにあたる、VPCをまず作成します。

  1. VPCメニューのVPCダッシュボードから「VPCウィザードの起動」をクリックします。
    2
  2. 「1個のパブリックネットを持つVPC」を選択し、「選択」をクリックします。
    3
  3. 「IP CIDRブロック」に10.0.0.0/16を、「パブリックサブネット」に10.0.0.0/24を、「サブネット名」にパブリックサブネット（任意の物で可）を入力し、「VPCの作成」をクリックします。
    4
  4. VPCメニューのサブネットから「サブネットの作成」をクリックします。
    5
  5. 「ネームタグ」にPVsubnet（任意の物で可）を、「VPC」に作成した10.0.0.0/16のVPCを、「CIDRブロック」に10.0.1.0/24を入力し、「作成」をクリックします。
    6

2. VyOSインスタンスの作成

作成したVPC上にAWS側のVPNGWとなるVyOSを作成します。

  1. EC2メニューのインスタンスから「インスタンスの作成」をクリックします。
    7
  2. 「コミュニティAMI」からVyOS 1.1.0（仮想化方式HVM）を探し、「選択」をクリックします。
    8
  3. 使用するインスタンスタイプを選択し、「次の手順：インスタンスの詳細の設定」をクリックします。 9
  4. 「ネットワーク」に作成したVPCを、「サブネット」に作成したパブリックサブネットを入力します。
  5. 「デバイスの追加」をクリック後、「eth0」の「プライマリIP」に10.0.0.10を入力し、「eth1」の「サブネット」に作成したPVsubunetを選択後、さらに「プライマリIP」に10.0.1.10を入力し、「次の手順：ストレージの追加」をクリックします。
    10

    11
  6. 追加するストレージを設定後、「次の手順：インスタンスのタグ付け」をクリックします。
    12
  7. インスタンスのタグ付け設定後、「次の手順：セキュリティグループの設定」をクリックします。（特に必要がなければ未設定で問題なし）
    13
  8. この時点では、VPNに使用するグローバルIPアドレスが不明なため、ひとまず必要になるSSH接続許可を設定し、「確認と作成」をクリックします。（IPは適当な物に変更すること）
    14
  9. 設定を確認後、「作成」をクリックします。
    15
  10. 「新しいキーペアの作成」を選択後、任意のキーペア名を入力し、「キーペアのダウンロード」から鍵を取得後に、「インスタンスの作成」をクリックします。（すでに作成済みの鍵を使用する場合は「既存のキーペアを使用」を選択）
    16

3. AWSのネットワーク設定

作成したVyOSインスタンスのネットワーク設定を行います。

  1. EC2メニューのElastic IPから「新しいアドレスの割り当て」をクリックします。
    17
  2. VPCを選択後、「関連付ける」をクリックします。
    18
  3. 作成されたElastic IPを選択後、「アクション」タブから「アドレスの関連付け」をクリックします。
    19
  4. 「インスタンス」に作成したVyosのIDを、「プライベートIPアドレス」に10.0.0.10を選択し、「関連付ける」をクリックします。
    20
  5. EC2メニューの「ネットワークインターフェイス」から、作成したVyOSのeth0（eth1）を選択後、「アクション」タブから「送信元/送信先の変更チェック」をクリックします。
    21
  6. 「送信元/送信先チェック」を「無効」に変更し、「保存」をクリックします。
    • eth0の設定変更後にeth1も同じ設定を行ってください。 22

4. VPNゲートウェイの作成

FJcloud-V(旧ニフクラ)上にプライベートLANを作成します。

  1. ネットワークタブから「プライベートLAN作成」をクリックします。
    23
  2. 「プライベートLAN名」に「PVLAN（任意の名前で可）」を、「ゾーン」に使用するゾーンを、「CIDR」に172.16.0.0/16を入力し、「確認へ」をクリック後、プライベートLANを作成します。
    24
  3. ネットワークタブから「VPNゲートウェイの作成」をクリック後、「VPNゲートウェイ名」に「VPNGW（任意の名前で可）」を、「タイプ」には本手順構成は1対1なので「small」を、「プライベート側ネットワーク」に作成したプライベートLANを選択後、「ファイアウォール設定へ」をクリックします。
    25
  4. 「VPNGW」のIPアドレスがまだ決定していないため、「ファイアウォール」には一旦適用しないを選択し、「確認へ」をクリック後、VPNゲートウェイを作成します。
    26
  5. カスタマーGWタブから「カスタマーゲートウェイ作成」をクリックします。
    27
  6. 「カスタマーゲートウェイ名」に「CMGW（任意の名前で可）」を、「対向機種IPアドレス」にAWSで関連付けたElastic IPアドレスを、「対向機種LAN側IPアドレス帯」にAWSのLAN側ネットワークアドレス10.0.1.0/24を、「対向機種LAN側IPアドレス」にVyOSLAN側IPアドレス10.0.1.10を入力後、「作成する」をクリックします。
    • 「対向機種LAN側IPアドレス」はYAMAHAシリーズのみ設定が必要と記載がありますが、今回は必要でした。
      28
  7. 作成した「VPNGW」をクリックし、プルダウンから「VPNコネクション作成」をクリックします。
    29
  8. 「カスタマーゲートウェイ」に「CMGW」を、「接続方式」に「IPsec」を、「暗号化アルゴリズム」に「AES128」を、「認証アルゴリズム」に「SHA1」を、「事前共有鍵」に「niftyAWSVPN（任意の物で可）」を入力後、「トンネル設定へ」をクリックします。
    30
  9. そのまま「確認へ」をクリックし、VPNコネクションを作成します。
    31
  10. この後の設定で必要となる、「VPNGW」のグローバルIPアドレスを「VPNGW」のネットワークタブで確認します。
    また、ローカルIPアドレスはネットワークアドレスから自動的に「172.16.0.1」が付与されます。 32

5. ファイアウォールの設定

使用するIPアドレスが出揃ったので、FJcloud-V(旧ニフクラ)・AWSそれぞれのVPNゲートウェイ・VyOSおよびローカルサーバーのファイアウォールにインバウンドの許可設定を追加します。 設定については以下の表を参考にしてください。

  • その他、VPNコネクション以外の設定については必要な物を追加してください。
ベンダー 許可IPアドレス 備考
FJcloud-V(旧ニフクラ) yyy.yyy.yyy.yyy AWS VyOS
172.16.0.0/16 FJcloud-V(旧ニフクラ) LAN側ネットワーク
10.0.1.0/24 AWS LAN側ネットワーク（VPNコネクション後にLAN側IPで接続される）
AWS xxx.xxx.xxx.xxx FJcloud-V(旧ニフクラ) VPNゲートウェイ
10.0.1.0/24 AWS LAN側ネットワーク
172.16.0.0/16 FJcloud-V(旧ニフクラ) LAN側ネットワーク（VPNコネクション後にLAN側IPで接続される）

6. VyOSの設定

VPNコネクションに必要な設定を行います。
基本的な設定は「VPNコネクション：IPsec VPN（L3VPN）で接続する拠点側VPN装置の設定（VyOS）」を参照しています。

  1. teratermでVyOSのElastic IPアドレスを入力後、VyOSインスタンス作成時に同時に作成したキーペアをSSH鍵に指定し、SSH接続をします。
    ユーザー名およびパスフレーズはVyOSの初期設定で両方とも、「vyos」となっています。
    33
  2. IKEの暗号・ハッシュアルゴリズム設定
    • IKEグループ名「IKE1」は任意の名前で問題ありませんが、その場合は後の手順でも一致したIKEグループ名を使用してください。
      $ configure
# set vpn ipsec ike-group IKE1 dead-peer-detection action restart
# set vpn ipsec ike-group IKE1 dead-peer-detection interval 15
# set vpn ipsec ike-group IKE1 dead-peer-detection timeout 90
# set vpn ipsec ike-group IKE1 proposal 1 encryption aes128
# set vpn ipsec ike-group IKE1 proposal 1 hash sha1
# set vpn ipsec ike-group IKE1 proposal 1 dh-group 2
# set vpn ipsec ike-group IKE1 lifetime 28800
  3. ESPの暗号・ハッシュアルゴリズム設定
    • ESPグループ名「ESP1」は任意の名前で問題ありませんが、その場合は後の手順でも一致したESPグループ名を使用してください。
      # set vpn ipsec esp-group ESP1 proposal 1 encryption aes128
# set vpn ipsec esp-group ESP1 proposal 1 hash sha1
# set vpn ipsec esp-group ESP1 lifetime 3600
  4. IPsec用のインターフェースとしてWAN側のeth0を指定
    # set vpn ipsec ipsec-interfaces interface eth0
  5. FJcloud-V(旧ニフクラ)に作成したVPNゲートウェイのIPアドレスおよび事前共有鍵を設定
    # edit vpn ipsec site-to-site peer xxx.xxx.xxx.xxx
# set authentication mode pre-shared-secret
# set authentication pre-shared-secret niftyAWSVPN
  6. FJcloud-V(旧ニフクラ)へのVPNに作成したIKE1・ESP1グループを使用
    # set ike-group IKE1
# set default-esp-group ESP1
  7. VyOSのWAN側IPアドレス設定
    今回の構築ではAWSのVPCを利用しているので、WAN側IPアドレスはElastic IPの「yyy.yyy.yyy.yyy」ではなく、実際にVyOSに付与している「10.0.0.10」のIPアドレスを設定します。
    また、先ほど掲載した参照ページでは「set local-ip」と記載されていますが、AWS AMIのVyOS1.1では「set local-address」コマンドとなります。 
    # set local-address 10.0.0.10
  8. FJcloud-V(旧ニフクラ)・AWSそれぞれのトンネリングするネットワークを設定
    作成したVPCの/16をまるごと使用することも可能ですが、今回はサブネットとして/24で切るかたちでトンネリング設定を構築します。
    remote側はFJcloud-V(旧ニフクラ)のプライベートLANアドレスを指定します。 
    # set tunnel 1 local prefix 10.0.1.0/24
# set tunnel 1 remote prefix 172.16.0.0/16
  9. VyOSのeth1にLAN側IPアドレスを設定
    VyOS作成時にeth1に「10.0.1.10/24」を指定しているものの、AWS上だと確保されただけのようで、実際にはVyOS上からだとeth1のIPアドレスは未設定状態となるため、追加で設定をします。
    # top
# set interfaces ethernet eth1 address 10.0.1.10/24
  10. idおよびremote-idの設定
    本構成では以下のようにidおよびremote-idをVyOS側で指定しないとVPN接続が不可でした。
    idにはVyOSのLAN側IPアドレスを、remote-idにはFJcloud-V(旧ニフクラ)VPNゲートウェイのWAN側IPアドレスを設定します。
    • 動的IPを利用している場合、IKEのIDとしては、ローカル側IPを指定する必要があります。
      # set vpn ipsec site-to-site peer xxx.xxx.xxx.xxx authentication id 10.0.1.10
# set vpn ipsec site-to-site peer xxx.xxx.xxx.xxx authentication remote-id xxx.xxx.xxx.xxx
# set authentication pre-shared-secret niftyAWSVPN
  11. 設定の保存
    # commit
# save
  12. VPNステータスの確認
    IKE/IPsecの両方がupでsessionが張れている状態となり、疎通確認にFJcloud-V(旧ニフクラ)VPNゲートウェイのLAN側IPアドレスにpingを打ちます。
    # run show vpn ike sa
# set interfaces ethernet eth1 address 10.0.1.10/24
Peer ID / IP                            Local ID / IP
------------                            -------------
xxx.xxx.xxx.xxx                         10.0.0.10

    State  Encrypt  Hash    D-H Grp  NAT-T  A-Time  L-Time
    -----  -------  ----    -------  -----  ------  ------
    up     aes128   sha1    2        no     1345    28800

# run show vpn ipsec sa
Peer ID / IP                            Local ID / IP
------------                            -------------
xxx.xxx.xxx.xxx                         10.0.0.10

    Tunnel  State  Bytes Out/In   Encrypt  Hash    NAT-T  A-Time  L-Time  Proto
    ------  -----  -------------  -------  ----    -----  ------  ------  -----
    1       up     420.0/420.0    aes128   sha1    no     1617    3600    all

# run ping 172.16.0.1
PING 172.16.0.1 (172.16.0.1) 56(84) bytes of data.
64 bytes from 172.16.0.1: icmp_req=1 ttl=64 time=87.9 ms
64 bytes from 172.16.0.1: icmp_req=2 ttl=64 time=87.8 ms
64 bytes from 172.16.0.1: icmp_req=3 ttl=64 time=87.7 ms
64 bytes from 172.16.0.1: icmp_req=4 ttl=64 time=87.7 ms

7. ローカルサーバー間通信の確認

VPNコネクションを張った後に、それぞれのLAN側に設置したローカルサーバーで相互に通信が可能なことを確認します。

  • 構成概要図内のローカルサーバー同士の通信
  • 本手順ではLinuxサーバー間で確認
  1. サーバーの作成
    LAN側ネットワークに属するインターフェースを所持するサーバーをそれぞれで作成し、IPアドレス設定します。
    今回はFJcloud-V(旧ニフクラ)側は「172.16.0.20」を、AWS側は「10.0.1.20」を設定しました。
    • AWSのインスタンス作成についてはVyOSインスタンス作成手順を参考にしていただき、FJcloud-V(旧ニフクラ)のサーバー作成手順についてはサーバーの作成を参考にしてください。
  2. ルーティングの追加
    今回はOS側でルーティングの追加をし、接続の確認をします。
    1. FJcloud-V(旧ニフクラ)ローカルサーバー
      AWSのLAN側ネットワーク「10.0.1.0/24」接続時は、VPNゲートウェイのLAN側IPアドレス「172.16.0.1」をゲートウェイとします。
      # route add -net 10.0.1.0/24 gw 172.16.0.1
    2. AWSローカルサーバー
      FJcloud-V(旧ニフクラ)のLAN側ネットワーク「172.16.0.0/16」接続時は、VyOSのLAN側IPアドレス「10.0.1.10」をゲートウェイとします。
      # route add -net 172.16.0.0/16 gw 10.0.1.10
    3. ssh確認 sshでログインし、接続確認をします。
      1. FJcloud-V(旧ニフクラ)ローカルサーバー AWSローカルサーバーにawsユーザーを作成し、sshログインを行います。 
        # ssh aws@10.0.1.20
aws@10.0.1.20's password:
Last login: Wed Nov 11 06:51:23 2015 from ip-172-16-0-20.ap-southeast-1.compute.internal
　　　　__|　__|_　)
　　　　_|　(　　　/　　Amazon Linux AMI
　　　 ___|\___|___|
https://aws.amazon.com/amazon-linux-ami/2015.09-release-notes/
[aws@ip-10-0-1-20 ~]$
      2. AWSローカルサーバー FJcloud-V(旧ニフクラ)ローカルサーバーにniftyユーザーを作成し、sshログインを行います。 
        # ssh nifty@172.16.0.20
nifty@172.16.0.20's password:
Last login: Wed Nov 11 15:53:15 2015 from 10.0.1.20
[nifty@awsvpn001 ~]$

    検証結果まとめ

    本検証の通り、FJcloud-V(旧ニフクラ)/AWS間でVPNコネクションを張り、相互のプライベートLANに対して通信ができることが確認できました。

    この検証によりマルチベンダーでのクラウド構築などが可能になるのではと考えられます。
    各クラウドベンダーメリットデメリットを理解して上手く使うと、いい所取りをしたシステム構築が可能になるかもしれないですね。

    • 本手順については検証結果の1つであり、利用される際は事前にそれぞれの環境で十分に検証を行っていただくようお願いします。

    関連記事

テーマに沿った記事を一気見
お客様のニーズに合ったより良いサービスを提供するために、当ウェブサイトではCookieを使用しています。お客様は、Cookie受け入れについて同意するかしないかを選択できます。詳細は、当社のクッキーポリシーを確認してください。
同意しない 同意する
PageTop