簡単！CloudVPN 実際にやってみた

拠点が複数ある企業の各拠点間を、インターネット経由して接続し、仮想化技術を用いてセキュアな通信を行う方法としてVPN（Virtual Private Network）があります。
従来は、オンプレミスのデータセンタ環境同士や支店などの拠点間通信が主でしたが、クラウド時代と呼ばれる昨今、社内の作業環境とクラウド環境で行うことも年々増えているのではないでしょうか。

GCPでは、他ネットワークとの接続手段として、Cloud VPN を提供しています。
Cloud VPN を利用することで、GCPネットワークとイントラネット間、または他クラウドネットワーク間に対してVPNトンネルを張り、安全に通信を行えるようになります。
Cloud VPNの設定自体はとても簡単で、必要な情報があれば30分もかからずにVPN接続が可能です。

百聞は一見にしかず！ということで、早速Cloud VPN を使用して、社内のネットワーク環境とGCP環境でVPN接続を行う手順を見ていきましょう！！

1.今回の構成
2.設定内容
3. まとめ

1.今回の構成

今回は、下記のような簡単な構成で構築します。

2.設定内容

GCP側の各サービスとGoogle Cloud VPN の設定、対向側のルーターの設定を行います。
下記の設定について、説明していきます。

オンプレミス環境のVPNルーター
VPCネットワーク
インスタンス
ファイアウォール

2.1 ルーターの設定

オンプレミス環境のVPNルーターとして、今回はYAMAHAのRTX1200を使用します。
ルーターのVPN設定は下記のように設定しました。

設定項目	設定内容
ルーターのグローバルIPアドレス(下記※1)	39.xxx.xxx.xxx
イントラネットアドレス範囲	192.168.100.0/24
Cloud VPNアドレス(下記※2)	35.xxx.xxx.xxx

コード

tunnel select 1
 ipsec tunnel 1
  ipsec sa policy 1 1 esp aes-cbc sha-hmac
  ipsec ike version 1 2
  ipsec ike always-on 1 on
  ipsec ike encryption 1 aes-cbc
  ipsec ike group 1 modp1024
  ipsec ike hash 1 sha
  ipsec ike keepalive log 1 off
  ipsec ike keepalive use 1 on dpd
  ipsec ike local address 1 192.168.100.1
  ipsec ike local name 1 39.xxx.xxx.xxx（※1） ipv4-addr
  ipsec ike pfs 1 on
  ipsec ike pre-shared-key 1 *
  ipsec ike remote address 1 35.xxx.xxx.xxx（※2）
  ipsec ike remote name 1 35.xxx.xxx.xxx（※2） ipv4-addr
  ipsec auto refresh 1 on
 ip tunnel tcp mss limit auto
 tunnel enable 1

2.2 VPCネットワークの作成

CloudVPNは、GCPのVPCネットワークとオンプレミスや他クラウドのネットワークをVPN経由で接続します。
接続するネットワークがないと話がはじまらないため、まずはGCP側にVPCネットワークを作成します。
「VPCネットワーク」をクリックし、「VPCネットワークを作成」をクリックします。
今回は下記のようなネットワーク、サブネットワークを作成しました。

2.3 インスタンスの作成

Cloud VPN 経由で社内環境とGCP環境を接続するため、社内環境からGCP環境へ内部接続するサーバとして、GCP上にCompute Engine インスタンスを作成します。

下記の設定でインスタンスを作成しました。

設定項目	設定内容
名前	test-vpn-instance
ゾーン	asia-northeast1-a
マシンタイプ	n1-standard-1
OS	CentOS 7
ネットワーク	test-vpn-network
サブネットワーク	test-vpn-subnet (192.168.200.0/24)
プライマリ外部IP	エフェメラル
外部IP	エフェメラル
IP転送	オフ

作成したインスタンスがこちら

2.4 ファイアウォールルールの設定

ファイアーウォールルールにより、外部からのアクセス拒否や、一部のIPアドレスやポートからのみのアクセスができるよう制限できます。
社内環境のCloud VPN 接続用ルーターと外部通信をする必要があるため、外部通信用に、ルーターのグローバルIPアドレスの許可ルールを設定いたしました。
また、内部通信用にサブネットワークのIPアドレス範囲(192.168.200.0/24)を設定します。

2.5 Cloud VPN の作成

インスタンスが所属するVPCネットワークの作成、実際に接続予定の仮想マシンインスタンスの作成、仮想マシンインスタンスと社内環境までを接続するためのファイアウォールルールの設定が完了したら、実際に社内環境と接続する予定のCloud VPN の作成をします。
VPCネットワークの設定、社内環境のルーターのグローバルIPアドレスを元に、下記のように設定しました。

設定項目	設定内容
名前	vpn-gcp-yamaha
ネットワーク	vpn-test-net
リージョン	asia-northeast1
IPアドレス	35.xxx.xxx.xxx
トンネル名	tunnel-gcp-yamaha
リモートピアIPアドレス	39.xxx.xxx.xxx
IKEバージョン	IKEv2
共有シークレット	任意
ルーティングオプション	ポリシーベース
リモートネットワークIPの範囲	192.168.100.0/24
ローカルサブネットワーク	test-vpn-subnet
ローカルIP範囲	192.168.200.0/24