• [アーティクル]

Windows Azure 仮想ネットワークと SEIL シリーズの
VPN 相互接続

更新日: 2014 年 1 月 17 日

執筆者: 株式会社 インターネットイニシアティブ

SEIL (ザイル: http://www.seil.jp/) は、ISP であるインターネットイニシアティブ (IIJ) が開発した企業向けアクセス ルータです。Windows Azure 仮想ネットワークと IPsec による VPN の相互接続が可能であり、VPN を設定することで LAN 内のコンピュータから Windows Azure 上の仮想マシンへ容易にアクセス可能になります。

目次

事前準備 Windows Azure 側の設定
  1. ネットワークの管理
  2. 仮想ネットワークの作成
  3. 仮想ネットワークの情報の設定
  4. ゲートウェイの設定
  5. SEIL 側ネットワークの設定
  6. 作成された仮想ネットワークの確認
  7. ゲートウェイ IP アドレスの取得
  8. 共有キーの取得
SEIL 側の設定
  1. IKE フェーズ 1 の設定
  2. IKE フェーズ 2 の設定
SEIL 側の動作確認
  1. IKE フェーズ 1 のステータス確認
  2. IKE フェーズ 2 のステータス確認
Windows Azure 側の動作確認
  1. 接続状況の確認

事前準備

Windows Azure のサブスクリプション申し込みを行ってください。また、下表を参考に設定情報を準備してください。

なお、LAN 側の VPN ゲートウェイとなる SEIL はインターネット接続が可能な状態に設定済みであるものとします。

項目 値の例 備考
仮想ネットワークのアドレス空間 10.0.0.0/8  
VPN で使用する仮想ネットワーク側のサブネット 10.0.0.0/11  
Windows Azure の VPN ゲートウェイ アドレス (グローバル アドレス) 自動生成 仮想ネットワークの設定完了後に確認する
IKE 事前共有鍵 自動生成 仮想ネットワークの設定完了後に確認する
SEIL のグローバル IP アドレス 203.0.113.1  
VPN で使用する SEIL 側のプライベート アドレス空間 192.168.10.0/24  

ページのトップへ

Windows Azure 側の設定

1. ネットワークの管理

「ネットワーク」を開き、「仮想ネットワークを作成する」をクリックしてください。

図 1

図 1

2. 仮想ネットワークの作成

図 2

図 2
  • 名前: 任意の名称を入力してください。
  • アフィニティ グループ: 未作成の場合には「新しいアフィニティ グループの作成」を選択してください。
  • 地域: 任意の地域を選択してください。
  • アフィニティ グループ名: 任意の名称を入力してください。

3. 仮想ネットワークの情報の設定

図 3

図 3
  • アドレス空間: VPN で利用する仮想ネットワーク全体のアドレス空間を入力してください。
  • サブネット: Windows Azure 側の VPN ゲートウェイが属するサブネットを入力してください。

4. ゲートウェイの設定

図 4

図 4
  • DNS サーバー: 設定を省略します。
  • 接続: 「ローカル ネットワークへの接続を作成します。」をチェックしてください。
  • ゲートウェイ サブネット: 3. 仮想ネットワークの情報の設定で設定したゲートウェイ サブネットを入力してください。
  • ローカル ネットワーク: 「新しいローカル ネットワークを設定する」を選択してください。

5. SEIL 側ネットワークの設定

図 5

図 5
  • 名前: 任意の名称を入力してください。
  • VPN デバイスの IP アドレス: SEIL がインターネット接続に使用するグローバル IP アドレスを入力してください。
  • アドレス空間: VPN で利用する SEIL の LAN 側アドレス空間を入力してください。

6. 作成された仮想ネットワークの確認

仮想ネットワークが正しく作成されていることを確認してください。

図 6

図 6

7. ゲートウェイ IP アドレスの取得

追加された仮想ネットワークを開き、Windows Azure 側のゲートウェイ IP アドレスを取得してください。

図 7

図 7

8. 共有キーの取得

「キーの管理」をクリックし、「共有キー」を取得してください。

図 8

図 8

以上で Windows Azure 側の設定は完了です。引き続き SEIL 側の設定手順を説明します。

ページのトップへ

SEIL 側の設定

SEIL のコマンド シェルにログインして設定してください。
SEIL シリーズのコマンドの詳細は下記のサイトに掲載されています。
http://www.seil.jp/support/tech/doc/

9. IKEフェーズ 1 の設定

ike preshared-key add "137.116.161.150" "fJ9hDVBf6sVar7bAZSYVSeFQKzAhjZVb"
ike proposal add Azure encryption aes256 hash sha1 authentication preshared-key dh-group modp1024 lifetime-of-time 08h
ike peer add Azure address 137.116.161.150 exchange-mode main proposals Azure nat-traversal enable responder-only on

  • ike preshared-key add: Windows Azure 側のゲートウェイ IP アドレスと、共有キーを設定します。
  • ike proposal add: Windows Azure 側の要求に合わせた暗号アルゴリズム等のパラメーターを設定する必要があります。例の通りに設定してください。
  • ike peer add: Windows Azure のゲートウェイを対向とする接続先を設定します。
noteNote:
  • SEIL 側が NAT 配下であるかに関わらず、NAT Traversal を設定してください (nat-traversal enable)。
  • VPN 接続の始動側 (Initiator) を Windows Azure とするため、受動側専用としてください (responder-only on)。

10. IKE フェーズ 2 の設定

ipsec security-association proposal add Azure authentication-algorithm hmac-sha1 encryption-algorithm aes256 lifetime-of-time 01h
ipsec security-association add Azure tunnel pppoe1 137.116.161.150 ike Azure esp enable
ipsec security-policy add Azure security-association Azure src 192.168.10.0/24 dst 10.0.0.0/8

  • ipsec security-association proposal add: Windows Azure 側の要求に合わせた暗号アルゴリズム等のパラメーターを設定する必要があります。例の通りに設定してください。
  • ipsec security-association add: IPsec-SA をトンネル モード (tunnel) とし、始点と終点を設定します。
noteNote:
  • 始点は SEIL のインターネット接続のために設定されているインタフェース (pppoe1) またはグローバル IP アドレスを設定してください。
  • SEIL 側のプライベート アドレス空間と、Windows Azure 側の仮想ネットワークのアドレス空間を VPN とするようセキュリティ ポリシーを設定してください。

以上で VPN 設定は完了です。Windows Azure 側から接続を開始し、動作を確認してください。

ページのトップへ

SEIL側の動作確認

11. IKE フェーズ 1 のステータス確認

"show status ike" コマンドを実行します。

# show status ike
IKE server: up
IKE Phase1 Sessions:
     203.0.113.1 137.116.161.150
          Cookies: 0xd865b141:0x6866c068
          Status: established
          Side: responder
          Phase2 Negotiations: 1
          Created Time: 2013-04-03 20:10:33
          Lifetime: 28800
          Identity (local): 203.0.113.1/32 (AddressPrefix)
          Identity (remote): 137.116.161.150/32 (AddressPrefix)

noteNote:
  • タイミングによって、VPN 接続中でも IKE フェーズ 1 は保持していないことがあります。

12. IKE フェーズ 2 のステータス確認

"show status ipsec-security-association" コマンドを実行します。

# show status ipsec security-association
203.0.113.1[500] 137.116.161.150[500]
     ESP tunnel spi=969121498(0x39C39EDA)
     Encap: AES256 0x89EFABBC2DCA4CE1BD588E8BF08651CE
     Auth: HMAC-SHA1 0x6A49A675E847AED0F76F4F5960EDF5EEFC828246
     State: mature
     Add Time: 2013-04-03 20:10:33
     Use Time: (not used)
     Use Packets: 0
     Use Bytes: 0
     Lifetime (soft/hard): 2880/3600
     Lifebyte (soft/hard): 1422707840/1778384896

137.116.161.150[500] 203.0.113.1[500]
     ESP tunnel spi=151131169(0x09021421)
     Encap: AES256 0x212F0CFA9A054C047486BE9A5053D46C
     Auth: HMAC-SHA1 0x4E487AE60F4F99D49F574CF360D640F429A60F8E
     State: mature
     Add Time: 2013-04-03 20:10:33
     Use Time: 2013-04-03 20:12:42
     Use Packets: 13
     Use Bytes: 416
     Lifetime (soft/hard): 2880/3600
     Lifebyte (soft/hard): 1422707840/1778384896

noteNote:
  • VPN 接続中は送信用と受信用として最低 2 つのセキュリティ アソシエーション (IKE フェーズ 2) を保持します。
  • 更新のタイミングによって、2 つより多く保持していることがあります。

ページのトップへ

Windows Azure 側の動作確認

13. 接続状況の確認

図 13

図 13
  • 受信データ/送信データ: 仮想ネットワークとの通信が発生すると送受信量が計上されます。
  • リソース: 仮想ネットワークに仮想マシンを接続すると、VPN 経由でリモート デスクトップなどを利用できます。

関連リンク

ページのトップへ