PPPoE接続しているルータの配下にある、プライベートIPアドレスを持ったVyattaから、Amazon VPCへVPN接続してみました。
簡単な構成図は以下のようになります。
その設定内容を記載しています。運用していく為には、細かな微修正は必要になると思いますが、取りあえずの接続の部分となります。
利用したVyattaは「Vyatta Core 6.6 R1」です。
１．PPPoE（NAT）ルータで、VPN接続用の設定
PPPoE（NAT）ルータで、Vyatta（192.168.1.180）までの「UDP/500」（isakmp）、「UDP/4500」（IPsec NAT-Traversal）を解放します。
２．Amazon VPC 作成
VPC を作成します。
今回作成したVPCのタイプは「VPC with a Private Subnet Only and Hardware VPN Access」です。この「Hardware VPN」がVyattaに該当します。
次の画面にいきます。
「Specify the public IP Address of your VPN router」は、PPPoEルータのグローバルIPアドレスを設定します。最初の図でいうと「xxx.xxx.xxx.111」と記載しているグローバルIPアドレスが該当します。
「Specify the routing for the VPN Connection」では「Use static routing」を選択します。
「Specify the IP prefixes for the network on your side of the VPN Connection」のIP Prefixでは最初の図でいうと「192.168.3.0/24」を入力し、Addリンクをクリックして追加します。
あとは、VPCが作成されるのを待ちます。
VPCが作成されたら、対向側のVPN装置（今回のVyatta側）で設定するConfigがダウンロードできる状態になります。
「Download Configuration」ボタンをクリックすると、「Download Configuration」画面が表示されます。
Vendorは「Generic」、Platformも「Generic」、Softwareは「Vendor Agnostic」を選択し、「Yes, Download」ボタンをクリックすると、設定値が記載されたテキストファイルがダウンロードできます。
このファイルを見ながら、VyattaでVPN設定を行う事になります。
３．VyattaでVPN設定
先ほどダウンロードした、設定値が記載されたテキストファイルを見ながら、Vyattaの設定を行います。
VPN Tunnel を2個設定する為の情報がテキストファイルに記載されていますが、今回は一つだけのVPN Tunnelを設定します。
以下、関連する箇所だけ抜粋しています。
まず、VPN部分です。
vpn {
ipsec {
disable-uniqreqids
esp-group AWS-TOKYO-ESP {
compression disable
lifetime 3600
mode tunnel
pfs dh-group2
proposal 1 {
encryption aes128
hash sha1
}
}
ike-group AWS-TOKYO-IKE {
dead-peer-detection {
action restart
interval 60
timeout 30
}
lifetime 28800
proposal 1 {
dh-group 2
encryption aes128
hash sha1
}
}
ipsec-interfaces {
interface eth0
}
nat-networks {
allowed-network 0.0.0.0/0 {
}
}
nat-traversal enable
site-to-site {
peer 27.0.xxx.xxx {
authentication {
mode pre-shared-secret
pre-shared-secret ****************
}
connection-type initiate
ike-group AWS-TOKYO-IKE
local-address 192.168.1.180
tunnel 1 {
esp-group AWS-TOKYO-ESP
local {
prefix 192.168.3.0/24
}
remote {
prefix 10.0.0.0/16
}
}
}
}
}
}
「site-to-site」の「peer」に記載しているIPアドレスは一部伏せて記載していますが、Amazon側の「Virtual Private Gateway」のIPアドレスです。
「ike-group」と「esp-group」の名称は、適当な名称を付けてください。あと、各設定内容は環境に合わせて適時変更してください。
次は、Interfaces部分で関係のある個所を抜粋します。
interfaces {
ethernet eth0 {
address 192.168.1.180/24
address 169.254.252.2/32
}
}
ここでは「address 169.254.252.2/32」を追加しています。これは、tunnelインターフェース用のIPアドレスで「Inside IP Addresses」の「Customer Gateway」に記載されているIPアドレスです。このIPアドレスは、ダウンロードした設定値が記載されたテキストファイルを見ながら、置き換えてください。
次は、Staticルートの設定です。
protocols {
static {
route 10.0.0.0/16 {
next-hop 169.254.252.1 {
}
}
}
}
「next-hop」の値は、tunnelインターフェース用のIPアドレスで「Inside IP Addresses」の「Virtual Private Gateway」に記載されているIPアドレスです。このIPアドレスは、ダウンロードした設定値が記載されたテキストファイルを見ながら、置き換えてください。
以上が設定内容になります。
４．VPN接続確認
VPCの「VPN Connections」画面では、このように表示されます。
一つのトンネルのみがUPしています。
VPCのSubnet内に、EC2インスタンスを作成し、接続確認をします。今回作成したEC2インスタンスにはIPアドレスは「10.0.1.211」が割り当てられました。
192.168.3.0/24にあるLinuxマシンから、EC2インスタンスにPingを打ってみます。（これをやる場合、Security Group の設定で、ICMPを許可してください。）
$ ping 10.0.1.211 PING 10.0.1.211 (10.0.1.211) 56(84) bytes of data. 64 bytes from 10.0.1.211: icmp_seq=1 ttl=61 time=30.7 ms 64 bytes from 10.0.1.211: icmp_seq=2 ttl=61 time=19.6 ms 64 bytes from 10.0.1.211: icmp_seq=3 ttl=61 time=19.9 ms 64 bytes from 10.0.1.211: icmp_seq=4 ttl=61 time=20.6 ms ^C --- 10.0.1.211 ping statistics --- 4 packets transmitted, 4 received, 0% packet loss, time 3606ms rtt min/avg/max/mdev = 19.669/22.767/30.799/4.653 ms $
無事、ICMP通信が出来ています！
次は、SSHで「10.0.1.211」に直接ログインしてみます。
$ ssh -l ec2-user -i ec2.pem 10.0.1.211
__| __|_ )
_| ( / Amazon Linux AMI
___|\___|___|
https://aws.amazon.com/amazon-linux-ami/2013.09-release-notes/
[ec2-user@ip-10-0-1-211 ~]$
SSH接続が出来ました！
Vyatta上でIKEとIPSECの状態を見てみます。
vyatta@vyatta:~$ show vpn ike sa
Peer ID / IP Local ID / IP
------------ -------------
27.0.xxx.xxx 192.168.1.180
State Encrypt Hash D-H Grp NAT-T A-Time L-Time
----- ------- ---- ------- ----- ------ ------
up aes128 sha1 2 no 1917 28800
vyatta@vyatta:~$ show vpn ipsec sa
Peer ID / IP Local ID / IP
------------ -------------
27.0.xxx.xxx 192.168.1.180
Tunnel State Bytes Out/In Encrypt Hash NAT-T A-Time L-Time Proto
------ ----- ------------- ------- ---- ----- ------ ------ -----
1 up 25.2K/24.4K aes128 sha1 no 1974 3600 all
vyatta@vyatta:~$
ちゃんと接続できています！
５．あとがき
今回のトンネル設定ですが、２つ設定する方法を調べる余力がなかったので、１つだけにしました。２つ設定する良い情報があれば欲しいです。
あと、しばらく放置していると、VPN接続が切れたり再接続したりという現象も見られました。設定した値が関連しているのだと思いますが、今回は深追いしていません。
Vyattaの「monitor vpn all」などで状況を見ていると、色々情報が出てきていましたので、調査が必要な時は、ログを見るとヒントが見つかるかと思います。
