Oracle Cloud Infrastructureドキュメント

GoogleへのVPN接続

Oracle Cloud Infrastructure (OCI)サイト間VPNサービスは、オンプレミス・ネットワークとVirtual Cloud Network (VCN)間にセキュアなIPSec接続を提供します。サイト間VPNを使用して、OCIリソースを他のクラウド・サービス・プロバイダに接続することもできます。

このトピックでは、OCIサイト間VPNサービスおよびGoogle Cloud VPNサービスを使用するOCIとGoogle Cloud Platform (GCP)間のIPSec VPNトンネルのベスト・プラクティス構成を示します。

ノート

このドキュメントでは、VCNおよびDynamic Routing Gateway (DRG)がすでにプロビジョニングされており、このシナリオに必要なすべてのVCNルート表およびセキュリティ・リストと、Google Cloudでの同等のものも構成済であることを前提としています。

GCPに固有の考慮事項

ルーティング・タイプ: このシナリオでは、Border Gateway Protocol (BGP)を使用して、GCPとOCI間のルートを交換します。可能な場合、サイト間VPNにはBGPが推奨されます。オプションで、GCPとOCI間に静的ルーティングを使用することもできます。

OCIサイト間VPNバージョンの確認

IPSec接続で使用されるサイト間VPNバージョンは、IPSec接続ページのIPSec「接続情報」タブで確認できます。

サポートされているIPSecパラメータ

すべてのOCIリージョンでサポートされているIPSecパラメータのベンダー非依存のリストについては、サポートされているIPSecパラメータを参照してください。

構成プロセス

GCP - VPN構成の開始
  1. メインのGoogle Cloudポータルで:
    1. 左上隅からメイン・メニューを展開します
    2. 「Hybrid Connectivity」まで下にスクロールします
    3. 「VPN」をクリックします

  2. 次のページで、「Create VPN Connection」リンクをクリックして、IPSec VPN接続を作成するためのワークフローを開始します。

  3. 「VPN Options」で、「High-availability (HA) VPN」を選択し、下部にある「Continue」ボタンをクリックします。

  4. Cloud HA VPNゲートウェイを作成します。次の詳細を入力します。

    • Name: VPNゲートウェイに名前を付けます。
    • Network: IPSec VPNの接続先となるVPCを選択します。

    • Region: VPNゲートウェイのリージョンを選択します

      VPNゲートウェイの構成が終了したら、「Create & Continue」ボタンをクリックして続行します。

  5. 次のページで、GCP VPNエンドポイントのパブリックIPが公開されます。

    いずれかのインタフェースのパブリックIPを保存し、別のウィンドウでOCIコンソールを開いて構成プロセスを続行します。後で戻って、OCI IPSec接続のプロビジョニング後にGCP構成を完了します。

OCI - CPEオブジェクトの作成
  1. ナビゲーション・メニューを開き、「ネットワーク」をクリックします。「顧客接続」で、「顧客オンプレミス機器」をクリックします。
  2. 「顧客構内機器の作成」をクリックします。

  3. 次の値を入力します。

    • コンパートメントに作成: 必要なVCNのコンパートメントを選択します。
    • 名前: CPEオブジェクトのわかりやすい名前。必ずしも一意である必要はありませんが、後でコンソールで変更することはできません(ただし、APIで変更できます)。機密情報の入力は避けてください。

      この例では、名前として"TO_GCP"を使用します。

    • IPアドレス: GCP VPNゲートウェイのパブリックIPアドレスを入力します。
    • CPEベンダー: 「その他」を選択します。
  4. 「CPEの作成」をクリックします。
OCI - IPSec接続の作成
  1. ナビゲーション・メニューを開き、「ネットワーク」をクリックします。「顧客接続」で、「サイト間VPN」をクリックします。
  2. 「IPSec接続の作成」をクリックします。

  3. 次の値を入力します。

    • コンパートメントに作成: そのままにします(VCNのコンパートメント)。
    • 名前: IPSec接続のわかりやすい名前を入力します。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • 顧客構内機器コンパートメント: そのままにします(VCNのコンパートメント)。
    • 顧客構内機器: TO_GCPという名前で以前に作成したCPEオブジェクトを選択します。
    • 動的ルーティング・ゲートウェイ・コンパートメント: そのままにします(VCNのコンパートメント)。
    • 動的ルーティング・ゲートウェイ: 以前に作成したDRGを選択します。
    • 静的ルートCIDR: デフォルト・ルート0.0.0.0/0を入力します。アクティブ・トンネルではBGPが使用されるため、OCIはこのルートを無視します。IPSec接続の2番目のトンネルにはエントリが必要です。デフォルトでは静的ルーティングが使用されますが、このシナリオでは使用されていません。この接続に静的ルーティングを使用する場合は、GCP仮想ネットワークを表す静的ルートを入力します。IPSec接続ごとに最大10個の静的ルートを構成できます。

    • OCIが、トンネル内IPに対して選択した/30アドレスをサポートしていることを確認します。OCIでは、トンネル内IPに次のIP範囲を使用できません:

      • 169.254.10.0-169.254.19.255
      • 169.254.100.0-169.254.109.255
      • 169.254.192.0-169.254.201.255

  4. 「トンネル1」タブで次の詳細を入力します(必須):

    • 名前: トンネルのわかりやすい名前を入力します(例: GCP-TUNNEL-1)。一意である必要はなく、後で変更できます。機密情報の入力は避けてください。
    • カスタム共有シークレットの指定: このトンネルのIPSecで使用される事前共有キー。カスタム・キーを使用する場合は、このチェック・ボックスを選択します。選択を解除したままにすると、自動的に生成されます。
    • IKEバージョン: 「IKEv2」を選択します。
    • ルーティング・タイプ: 「BGP動的ルーティング」を選択します。静的ルーティングを使用する場合は、「静的ルーティング」を選択します。
    • BGP ASN: GCPで使用されるBGP ASNを入力します。GCP BGP ASNは、今後のステップで構成します。このシナリオでは、GCPに65000のBGP ASNを使用します。
    • IPv4トンネル内インタフェース - CPE: GCPで使用されるBGP IPアドレスを入力します。このIPアドレスには完全なCIDR表記を使用します。これは、リンク・ローカル・アドレスである必要があります。このシナリオでは、BGP IPアドレスに169.254.20.0/30 CIDRを使用します。
    • IPV4トンネル内インタフェース - Oracle: OCIで使用されるBGP IPアドレスを入力します。このIPアドレスをCIDR表記に含めます。これは、リンク・ローカル・アドレスである必要があります。このシナリオでは、BGP IPアドレスに169.254.20.0/30 CIDRを使用します。
  5. トンネルの「拡張オプションの表示」をクリックし、https://cloud.google.com/network-connectivity/docs/vpn/concepts/supported-ike-ciphersにリストされているGCP側と一致するようにフェーズ1およびフェーズ2の存続期間を変更します。

    フェーズ1とフェーズ2の存続期間は、IKEv1とIKEv2のどちらを使用しているかに応じて、GCP側で異なる値になります。次のようになります:

    • フェーズ1 IKEセッション・キー存続期間(秒) = 36,000秒
    • フェーズ2 IPSecセッション・キー存続期間(秒) = 10,800秒

    他のすべての設定はデフォルトのままにします。

  6. 「IPSec接続の作成」をクリックします。

    IPSec接続が作成され、ページに表示されます。接続は、短い間「プロビジョニング中」状態になります。

OCI - Oracle VPN IPアドレスおよび共有シークレットの保存

IPSec接続がプロビジョニングされたら、GCPポータルのCPE IPとして使用するサイト間VPN IPアドレスおよびトンネルの共有シークレットを保存します。

  1. OCIコンソールでIPSec接続を参照します。

    プライマリとして使用するトンネルを選択します。そのトンネルのサイト間VPN IPアドレスを保存します。次に、そのトンネルのトンネル名をクリックすると、トンネル・ビューが表示されます。

  2. トンネルの下で、共有シークレットを表示するリンクを選択します。それを保存します。共有シークレットは、GCPでIPSec VPN構成を完了するために使用されます。
GCP - VPNピア・ゲートウェイの作成

  1. GCP VPN構成ウィンドウに戻ります。
  2. 「Peer VPN Gateway」で、「On-prem or Non Google Cloud」を選択します。
  3. 「Peer VPN gateway name」リストを展開し、「Create new VPN peer gateway」を選択します。
  4. 「Add a peer VPN gateway」ページが表示されます。次の詳細を入力します。
  5. 下部にある「Create」ボタンをクリックして続行します。「Create a VPN」ワークフローに戻ります。
GCP - クラウド・ルーターの作成

  1. 「Cloud Router」リストを展開し、「Create new router」を選択します。

  2. 「Create a router」ページが表示されます。次の詳細を入力します。

    • Name: クラウド・ルーターに名前を付けます。

    • Google ASN: Google BGP ASNを入力します。これは、OCIでIPSec接続を構成する際にも使用されます。

      他のオプションはすべてデフォルトのままにします。

  3. クラウド・ルーターの構成が終了したら、「Create」ボタンをクリックして続行します。

    「Create a VPN」ワークフローに戻ります。

GCP - VPNトンネルの構成の完了

VPNトンネルの構成を完了します。次の詳細を入力します。

  • Cloud Router: 前のステップで構成したクラウド・ルーターを選択します。
  • Associated Cloud VPN gateway IP: OCIで構成されたCPEオブジェクトIPアドレスと一致します。
  • Associated peer VPN Gateway interface: OCI VPNトンネルのOracle VPN IPアドレスと一致します。OCI - Oracle VPN IPアドレスおよび共有シークレットの保存を参照してください。
  • Name: VPNトンネルに名前を付けます。
  • IKE version: IKEv2を選択します(推奨)。IKEv1を使用する場合は、OCIのIPSec接続の下のVPNトンネルにもIKEv1が構成されていることを確認します。

  • IKE pre-shared key: OCIのIPSec接続にあるVPNトンネルの共有シークレットと一致します。OCI - Oracle VPN IPアドレスおよび共有シークレットの保存を参照してください。他のオプションはすべてデフォルトのままにします。

    VPNトンネルの構成が終了したら、「Create & Continue」をクリックします。

GCP - BGPセッションの構成

このステップでは、IPSecトンネルのBGPセッションを構成します。BGP設定は、OCI - IPSec接続の作成で設定した構成のOCI側と一致する必要があります。

  1. VPNトンネルのBGPセッションの下の「Configure」ボタンをクリックします。
  2. トンネルの「Create BGP Session」ページが表示されます。次の詳細を入力します。
    • Name: BGPセッションに名前を付けます。
    • Peer ASN: BGP ASNを入力します。Oracleの商用クラウド用のBGP ASNは31898です。ただし、セルビア中央部(ジョバノヴァック)リージョンは14544です。
    • Cloud Router BGP IP: OCI - IPSec接続の作成でトンネル1の「IPV4トンネル内インタフェース - CPE」に対して構成したIPアドレスと一致します。このフィールドではCIDR表記を使用しないでください。
    • BGP peer IP: OCI - IPSec接続の作成でトンネル1の「IPV4トンネル内インタフェース - Oracle」に対して構成したIPアドレスと一致します。このフィールドではCIDR表記を使用しないでください。

    • BGP peer: 「Enabled」を選択します。

      他のオプションはすべてデフォルトのままにします。

  3. BGPセッションの構成が終了したら、「Save & Continue」をクリックして「Configure BGP sessions」ページに戻ります。

  4. 「Save BGP configuration」ボタンをクリックして続行します。

  5. 「Summary and reminder」ページが表示されます。

    「VPN tunnel status」および「BGP status」に「established」と表示されます。

  6. 下部にある「OK」をクリックして構成を完了します。
検証

OCIのIPSec接続と、GCPのサイト間VPN接続を参照して、トンネルのステータスを確認します。

「IPSec接続」の下のOCIトンネルに、IPSecステータスとして「稼働中」と表示され、稼働中のトンネルを確認できます。

同様に、「IPV4 BGPステータス」には、確立されたBGPセッションを示す「稼働中」が表示されます。

GCPコンソールでクラウドVPNトンネルを参照します。VPNトンネル・ステータスとBGPセッション・ステータスの両方に「Established」と表示されます。

モニタリング・サービスは、クラウド・リソースをアクティブおよびパッシブにモニターするためにOCIから使用できます。OCIサイト間VPNのモニタリングの詳細は、サイト間VPNのメトリックを参照してください。

問題がある場合は、サイト間VPNのトラブルシューティングを参照してください。