VPN Connection の作成
VPN Connection を作成するには、次の手順に従います。
手順
Step 1: メニューで Network を選択し、VPN Site-to-Site タブを開きます。 この画面で VPN Connection を管理します。Create VPN connection を選択します。
Step 2: VPN Gateway を初期化し、Next を選択します。
Step 3: VPN Connection を作成するための設定情報を入力します。 VPN Connection のパラメータは、次の 3 つのセクションで構成されます。
- General Information（接続の基本情報）
- Remote VPN Information（暗号化設定とお客様側の情報）
- Dead Peer Detection（接続に問題が発生した際の自動リトライ回数）
セクション 1: General information
| 項目 | 説明 |
|---|---|
| VPN name | VPN Connection の名前。 |
| Description | VPN Connection の説明。 |
| Pre-shared key | 2 台の機器で共有するセキュリティキー。Refresh Key で新しいキーを生成し、Copy でコピーできます。 |
| Local IP public | FPT Cloud システムが割り当てる public IP。 |
| Local private networks | FPT Cloud 上のリソースのネットワーク範囲。 |
セクション 2: Remote VPN Information
Customer gateway
| 項目 | 説明 |
|---|---|
| Customer gateway | |
| Customer gateway | 接続の相手側の設定。接続先の Customer Gateway を正しく選択します。Customer Gateway がまだない場合は Customer Gateway の作成 を参照してください。 |
| Providers | FCI への VPN 接続プロバイダーの一覧。 |
| IKE Policy | |
| Authorization algorithm | VPN 接続確立時にデータを認証するアルゴリズム。値: sha1、sha256、sha384、sha512、aes-xcbc。セキュリティと性能のバランスから sha256 を推奨します。 |
| Encryption algorithm | キー交換処理を暗号化します。値: aes-128、aes-192、aes-256、aes-128-gcm-8、aes-128-gcm-12、aes-128-gcm-16、aes-192-gcm-8、aes-192-gcm-12、aes-192-gcm-16、aes-256-gcm-8、aes-256-gcm-12、aes-256-gcm-16。FCI は aes-256 を推奨します。ikev1 を使用する場合、gcm 系アルゴリズムは VPN 接続に問題を起こすため選択しないでください。 |
| IKE version | サポートされる IKE のバージョン。値: ikev1、ikev2。FCI はほとんどの firewall 機器で ikev2 を推奨します。ikev1 のみ対応する旧型 Cisco 機器を使う場合は ikev1 を選択します。 |
| Lifetime units | IKE 接続の有効期間の単位。デフォルト: second。 |
| Lifetime value | Phase 1 の有効期間の値。 |
| DH Group | 初期キー交換を生成する Diffie-Hellman アルゴリズムのグループ。値: group_1、group_2、group_5、group_14、group_15、group_16、group_17、group_18、group_19、group_20、group_21。 |
| Phase 1 negotiation mode | IKE の Phase 1 で 2 台の機器が安全な接続を確立する方式。値: main、aggressive（デフォルト: main）。 |
| IPSec Policy | |
| Authorization algorithm | VPN 接続確立時にデータを認証するアルゴリズム。値: sha1、sha256、sha384、sha512、aes-xcbc。sha256 を推奨します。 |
| Encapsulation mode | 送信前にデータを暗号化・カプセル化する方式。デフォルト: tunnel。 |
| Encryption algorithm | VPN 上を流れる実データを暗号化します。値: aes-128、aes-192、aes-256。aes-256 を推奨します。 |
| Lifetime units | デフォルト: second。 |
| Lifetime value | IPSec セッションが再確立されるまで維持できる時間。 |
| Perfect forward secrecy | セッションキーの安全性を確保するオプション（PFS。通常は DH Group と組み合わせます）。値: off、group_1、group_2、group_5、group_14、group_15、group_16、group_17、group_18、group_19、group_20、group_21。group_14 を推奨します。 |
| Transform protocol | IPSec における暗号化と認証の方式を定める protocol。値: esp、ah。 |
Providers について
- FCI は現在、次のプロバイダー向けの設定を用意しています: AWS、Fortigate、Palo Alto。最良の接続結果のため、これらの設定の利用を推奨します。
- 一覧にないプロバイダーの場合は、Providers 名、IKE、IPSec の情報を手動で入力します。
サポート対象プロバイダーの既定パラメータ:
| 設定パラメータ | AWS | Fortigate | Palo Alto |
|---|---|---|---|
| IKE Info | |||
| IKE version | ikev2 | ikev2 | ikev2 |
| Encryption algorithm | aes-256 | aes-256 | aes-256 |
| Authorization algorithm | sha256 | sha256 | sha256 |
| DH Group | group14 | group 19 | group 20 |
| Lifetime value | 28800s | 28800s | 28800s |
| Phase 1 negotiation mode | main | main | main |
| IPSec Info | |||
| Encryption algorithm | aes-256 | aes-256 | aes-256 |
| Authorization algorithm | sha256 | sha256 | sha256 |
| Perfect forward secrecy | group14 | group14（または group19） | group 19 |
| Lifetime value | 3600s | 3600s | 3600s |
| Encapsulation mode | tunnel | tunnel | tunnel |
| Transform protocol | esp | esp | esp |
セクション 3: Dead Peer Detection
| 項目 | 説明 |
|---|---|
| Delay(s) | 接続確認のために DPD プローブを送信する間隔（秒）。デフォルト: 30s。 |
| Max failures | peer が停止していると判断して接続をリセットするまでの失敗回数の上限。デフォルト: 10。 |
すべての情報を入力したら、Create VPN Connection を選択します。