簡単！CloudVPN 実際にやってみた

注意

この記事は2018年4月19日に更新されたもので、内容が古い可能性がありますのでご注意ください。

拠点が複数ある企業の各拠点間を、インターネット経由して接続し、仮想化技術を用いてセキュアな通信を行う方法としてVPN（Virtual Private Network）があります。
従来は、オンプレミスのデータセンタ環境同士や支店などの拠点間通信が主でしたが、クラウド時代と呼ばれる昨今、社内の作業環境とクラウド環境で行うことも年々増えているのではないでしょうか。

GCPでは、他ネットワークとの接続手段として、Cloud VPN を提供しています。
Cloud VPN を利用することで、GCPネットワークとイントラネット間、または他クラウドネットワーク間に対してVPNトンネルを張り、安全に通信を行えるようになります。
Cloud VPNの設定自体はとても簡単で、必要な情報があれば30分もかからずにVPN接続が可能です。

百聞は一見にしかず！ということで、早速Cloud VPN を使用して、社内のネットワーク環境とGCP環境でVPN接続を行う手順を見ていきましょう！！

1.今回の構成
2.設定内容
3. まとめ

1.今回の構成

今回は、下記のような簡単な構成で構築します。

2.設定内容

GCP側の各サービスとGoogle Cloud VPN の設定、対向側のルーターの設定を行います。
下記の設定について、説明していきます。

オンプレミス環境のVPNルーター
VPCネットワーク
インスタンス
ファイアウォール

2.1 ルーターの設定

オンプレミス環境のVPNルーターとして、今回はYAMAHAのRTX1200を使用します。
ルーターのVPN設定は下記のように設定しました。

設定項目	設定内容
ルーターのグローバルIPアドレス(下記※1)	39.xxx.xxx.xxx
イントラネットアドレス範囲	192.168.100.0/24
Cloud VPNアドレス(下記※2)	35.xxx.xxx.xxx

コード

tunnel select 1
 ipsec tunnel 1
  ipsec sa policy 1 1 esp aes-cbc sha-hmac
  ipsec ike version 1 2
  ipsec ike always-on 1 on
  ipsec ike encryption 1 aes-cbc
  ipsec ike group 1 modp1024
  ipsec ike hash 1 sha
  ipsec ike keepalive log 1 off
  ipsec ike keepalive use 1 on dpd
  ipsec ike local address 1 192.168.100.1
  ipsec ike local name 1 39.xxx.xxx.xxx（※1） ipv4-addr
  ipsec ike pfs 1 on
  ipsec ike pre-shared-key 1 *
  ipsec ike remote address 1 35.xxx.xxx.xxx（※2）
  ipsec ike remote name 1 35.xxx.xxx.xxx（※2） ipv4-addr
  ipsec auto refresh 1 on
 ip tunnel tcp mss limit auto
 tunnel enable 1

2.2 VPCネットワークの作成

CloudVPNは、GCPのVPCネットワークとオンプレミスや他クラウドのネットワークをVPN経由で接続します。
接続するネットワークがないと話がはじまらないため、まずはGCP側にVPCネットワークを作成します。
「VPCネットワーク」をクリックし、「VPCネットワークを作成」をクリックします。
今回は下記のようなネットワーク、サブネットワークを作成しました。

2.3 インスタンスの作成

Cloud VPN 経由で社内環境とGCP環境を接続するため、社内環境からGCP環境へ内部接続するサーバとして、GCP上にCompute Engine インスタンスを作成します。

下記の設定でインスタンスを作成しました。

設定項目	設定内容
名前	test-vpn-instance
ゾーン	asia-northeast1-a
マシンタイプ	n1-standard-1
OS	CentOS 7
ネットワーク	test-vpn-network
サブネットワーク	test-vpn-subnet (192.168.200.0/24)
プライマリ外部IP	エフェメラル
外部IP	エフェメラル
IP転送	オフ

作成したインスタンスがこちら

2.4 ファイアウォールルールの設定

ファイアーウォールルールにより、外部からのアクセス拒否や、一部のIPアドレスやポートからのみのアクセスができるよう制限できます。
社内環境のCloud VPN 接続用ルーターと外部通信をする必要があるため、外部通信用に、ルーターのグローバルIPアドレスの許可ルールを設定いたしました。
また、内部通信用にサブネットワークのIPアドレス範囲(192.168.200.0/24)を設定します。

2.5 Cloud VPN の作成

インスタンスが所属するVPCネットワークの作成、実際に接続予定の仮想マシンインスタンスの作成、仮想マシンインスタンスと社内環境までを接続するためのファイアウォールルールの設定が完了したら、実際に社内環境と接続する予定のCloud VPN の作成をします。
VPCネットワークの設定、社内環境のルーターのグローバルIPアドレスを元に、下記のように設定しました。

設定項目	設定内容
名前	vpn-gcp-yamaha
ネットワーク	vpn-test-net
リージョン	asia-northeast1
IPアドレス	35.xxx.xxx.xxx
トンネル名	tunnel-gcp-yamaha
リモートピアIPアドレス	39.xxx.xxx.xxx
IKEバージョン	IKEv2
共有シークレット	任意
ルーティングオプション	ポリシーベース
リモートネットワークIPの範囲	192.168.100.0/24
ローカルサブネットワーク	test-vpn-subnet
ローカルIP範囲	192.168.200.0/24

リモートピアIPアドレスには社内環境にある、Cloud VPNと接続するルーターのグローバルIPアドレスを設定。
IKEのバージョン、共有シークレットは対向VPNルーターと設定を合わせてください。

Cloud VPN と対向のVPNルーターの設定がうまくいっている場合、トンネルが張られ、ステータスが「確立済み」になり通信ができるようになります。

これでCloud VPNの設定は完了です。

実際に接続ができているかpingテストをします。
今回作成したインスタンスには、内部IPとして192.168.200.2が割り振られていたため、ローカルのルーターから、インスタンスに向けて、ping コマンドを実行してパケットが届くか確認しました。

結果…

インスタンスからの応答があり、接続していることが確認できました！！
これでCloud VPN の設定は終了です。

3. まとめ

社内環境のルーターの設定と、Google Cloud VPNの設定を合わせる必要がありますが、そこだけ注意すれば、想像より簡単に構築ができます。
フルマネージドサービスのため、初期設定を行う負担もなく、簡単な情報をいれるだけで拠点間接続が実現できるのは素晴らしいですね。

複数拠点がある場合、Cloud VPNをそれぞれ作成することで拠点間接続ができますので、拠点が増えた場合も手間と時間をかけずに柔軟に作成が可能です。
クラウドとオンプレ間の接続だからといって、敷居が高いものではありませんので、ご利用を検討してみてはいかがでしょうか。

※クラウドエース(Cloud Ace)はGCPの導入・運用支援サービスを提供しております。ご興味のある方はこちらまでお問い合わせください。VPNに限らず、あらゆるGCPサービスのサポートが可能です。