環境
| IP アドレス | |
|---|---|
| RTX1200 | aaa.bbb.ccc.ddd(192.168.0.x/24) |
| GCP | AAA.BBB.CCC.DDD(10.140.0.0/20) |
RTX1200 は NAT 配下にあって上位の FW でグローバル IP アドレス aaa.bbb.ccc.ddd を割り当てている
GCP は、デフォルトのネットワーク（10.140.0.0/20）をそのまま使用して VPN ゲートウェイにはグローバル IP アドレス AAA.BBB.CCC.DDD を割り当てている
GCP VPN の設定
GCP 側で VPN ゲートウェイとトンネルの作成
RTX1200 の設定
tunnle の ID は適当に
tunnel select 100
description tunnel VPNGCP
ipsec tunnel 1100
ipsec sa policy 1100 100 esp aes-cbc sha-hmac
ipsec ike version 100 2
ipsec ike always-on 100 on
ipsec ike encryption 100 aes-cbc
ipsec ike group 100 modp1024
ipsec ike hash 100 sha
ipsec ike keepalive log 100 on
ipsec ike keepalive use 100 on rfc4306
ipsec ike local address 100 aaa.bbb.ccc.ddd
ipsec ike local name 100 aaa.bbb.ccc.ddd ipv4-addr
ipsec ike nat-traversal 100 on
ipsec ike pfs 100 on
ipsec ike pre-shared-key 100 text ***************** # Preshared Key
ipsec ike remote address 100 AAA.BBB.CCC.DDD
ipsec ike remote name 100 AAA.BBB.CCC.DDD ipv4-addr
ipsec auto refresh 100 on
ip tunnel tcp mss limit auto
tunnel enable 100
状況の確認
> show ipsec sa
sa sgw isakmp connection dir life[s] remote-id
-----------------------------------------------------------------------------
5 100 - ike - 26867 AAA.BBB.CCC.DDD
23 100 5 tun[100]esp send 26867 AAA.BBB.CCC.DDD
24 100 5 tun[100]esp recv 26867 AAA.BBB.CCC.DDD
詳細の確認
> show ipsec sa gateway 100 detail
SA[5] Status: Establised Duration: 26725s
Protocol: IKEv2
Local Host: 192.168.0.x:4500
Remote Host: AAA.BBB.CCC.DDD:4500
Encryption Algorithm : AES256_CBC PRF : HMAC_SHA2_256
Authentication Algorithm: HMAC_SHA2_256_128 DH Group: MODP_2048
SPI: 9f 2c ee 14 09 82 41 8c 7a 7d e8 53 7d dd e4 71
Key: ** ** ** ** ** (confidential) ** ** ** ** **
----------------------------------------------------
SA[23] Status: Establised Duration: 26725s
Direction: send
Protocol: ESP (Mode: tunnel)
Local ID : aaa.bbb.ccc.ddd (IPv4_ADDR)
Remote ID: AAA.BBB.CCC.DDD:4500 (IPv4_ADDR)
Encryption Algorithm : AES256_CBC
Authentication Algorithm: HMAC_SHA1_96 ESN: DISABLE
Source Traffic Selector (type / protocol / port / address)
IPv4-range / any / 0-65535 / 192.168.0.0-192.168.0.255
IPv4-range / any / 0-65535 / 192.168.0.0-192.168.0.255
Destination Traffic Selector (type / protocol / port / address)
IPv4-range / any / 0-65535 / 10.140.0.0-10.140.15.255
IPv4-range / any / 0-65535 / 10.140.0.0-10.140.15.255
SPI: 75 22 42 12
Key: ** ** ** ** ** (confidential) ** ** ** ** **
----------------------------------------------------
SA[24] Status: Establised Duration: 26725s
Direction: receive
Protocol: ESP (Mode: tunnel)
Local ID : aaa.bbb.ccc.ddd (IPv4_ADDR)
Remote ID: AAA.BBB.CCC.DDD:4500 (IPv4_ADDR)
Encryption Algorithm : AES256_CBC
Authentication Algorithm: HMAC_SHA1_96 ESN: DISABLE
SPI: 69 92 43 b6
Key: ** ** ** ** ** (confidential) ** ** ** ** **
----------------------------------------------------
スタティックルートの追加
# ip route 10.140.0.0/20 gateway tunnel 100
あとは、GCP 側でファイアウォールルールの調整を行う