AWSのSite to Site VPNのサービスを使って、VPCと自宅のネットワークを接続してみた時の備忘録です。
自宅のVPNゲートウェイは、古いPCにvyosをインストールしたものを使いました。2022/06/27現在、AWSが出力するカスタマーゲートウェイ用の設定を使うためには1.3系のvyosが必要です。1.4系ではvyosのコマンドが変わっていて、うまく設定できませんでした。
ベースとする環境
下記がベースとする環境です。
仮想プライベートゲートウェイによるSite to Site VPN接続
仮想プライベートゲートウェイを使って自宅のネットワークとSite to Site VPNをしてみます。
下記が最終的な構成です。
[AWS] 仮想プライベートゲートウェイの作成
- AWSマネコンでVPCを選択します
- 仮想プライベートネットワーク -> 仮想プライベートゲートウェイを選択します
- 仮想プライベートゲートウェイを作成します
- アクション -> VPCにアタッチ を選択して、作成した仮想プライベートゲートウェイをVPCにアタッチします
[AWS] カスタマーゲートウェイの作成
- AWSマネコンでVPCを選択します
- 仮想プライベートネットワーク -> カスタマーゲートウェイを選択します
- カスタマーゲートウェイを作成します
- IPアドレスには自宅のグローバルIPアドレスを設定します
[AWS] Site to Site VPNの作成
- AWSマネコンでVPCを選択します
- 仮想プライベートネットワーク -> Site to Site VPNを選択してVPNを作成します
- 仮想プライベートゲートウェイと、カスタマーゲートウェイに、先ほど作成したものを設定します
- ルーティングオプションではBGPを有効にしておきます
[自宅] vyosのインストール
vyosの1.3系をインストールします。
LTS版は有償なので、下記からRC版のisoイメージをダウンロードします。
https://vyos.net/get/snapshots/
RC版にもいくつかありますが、今回はrc6を選択しました。vyos-1.3.0-rc6-amd64.iso (vyos-1.3.0-rc6)
isoイメージからインストール用のブータブルUSBを作成して、古いPC（Let's note CF-N10 SandyBridge世代）にインストールします。
[自宅] vyosのネットワーク設定
AWSの仮想プライベートゲートウェイと通信する側のインターフェス（WAN側インタフェース）と内側のインタフェース（LAN側インタフェース）の設定をします。
IPアドレスはWAN側は上位のルーターからDHCPでもらいます。LAN側は固定IPにします。今回はWiFiをWAN側、有線LANをLAN側のインタフェースとして使いました。
WAN側インタフェースの設定
configure
set interfaces wireless wlan0 type station
set interfaces wireless wlan0 security wpa mode wpa2
set interfaces wireless wlan0 ssid <WiFi接続先のSSID>
set interfaces wireless wlan0 security wpa passphrase <WiFi接続用のパスワード>
set interfaces wireless wlan0 address dhcp
commit
save
LAN側インタフェースの設定
configure
set interfaces ethernet eth0 address 172.16.0.1/16
commit
save
LAN側DHCPサーバーの設定
LAN側に接続されたクライアントにIPを払い出すためにDHCPサーバーの設定をします。
set service dhcp-server shared-network-name dhcp1
set service dhcp-server shared-network-name dhcp1 subnet 172.16.0.0/16 default-router 172.16.0.1
set service dhcp-server shared-network-name dhcp1 subnet 172.16.0.0/16 range 1 start 172.16.0.2
set service dhcp-server shared-network-name dhcp1 subnet 172.16.0.0/16 range 1 stop 172.16.0.9
[自宅] vyosのVPN設定（vyosをカスタマーゲートウェイにする設定）
AWSマネージメントコンソールのSite to Site VPNの画面から、「設定をダウンロード」を選択して、vyos用のVPN設定ファイルをダウンロードします。
設定ファイルの中身は、vyos用のIPSec VPNとBGPを設定するためのコマンドリストです。
IKE設定、IPsec設定、トンネルインタフェース設定、BGP設定に別れているので、内容を確認し、必要に応じて環境に合わせて修正して実行していきます。
VPNトンネルを2本接続して冗長構成にすることが推奨されていますが、お試しなので1本だけの接続にします。設定ファイルの２本目の設定項目は使用しません。
IKE設定
<y.y.y.y>の部分を元の設定から変更します。NAT配下からNATトラバーサル機能を使って接続するため、local-address部はグローバルIPではなく、vyosのWAN側インタフェースのプライベートIPに変更します。
set vpn ipsec ike-group AWS lifetime '28800'
set vpn ipsec ike-group AWS proposal 1 dh-group '2'
set vpn ipsec ike-group AWS proposal 1 encryption 'aes128'
set vpn ipsec ike-group AWS proposal 1 hash 'sha1'
set vpn ipsec site-to-site peer <x.x.x.x> authentication mode 'pre-shared-secret'
set vpn ipsec site-to-site peer <x.x.x.x> authentication pre-shared-secret '<事前共有キー>'
set vpn ipsec site-to-site peer <x.x.x.x> description 'VPC tunnel 1'
set vpn ipsec site-to-site peer <x.x.x.x> ike-group 'AWS'
set vpn ipsec site-to-site peer <x.x.x.x> local-address <y.y.y.y>
set vpn ipsec site-to-site peer <x.x.x.x> vti bind 'vti0'
set vpn ipsec site-to-site peer <x.x.x.x> vti esp-group 'AWS'
IPsec設定
WAN側インタフェースにwlan0を使うので、ipsec-interfaces interfaceをwlan0に変更します。
set vpn ipsec ipsec-interfaces interface 'wlan0'
set vpn ipsec esp-group AWS compression 'disable'
set vpn ipsec esp-group AWS lifetime '3600'
set vpn ipsec esp-group AWS mode 'tunnel'
set vpn ipsec esp-group AWS pfs 'enable'
set vpn ipsec esp-group AWS proposal 1 encryption 'aes128'
set vpn ipsec esp-group AWS proposal 1 hash 'sha1'
BGP設定
BGPの設定コマンドの一部の仕様が変わっているため、新しい仕様に合わせて書き換えます。具体的には、address-family ipv4-unicatを追加します。
set protocols bgp 65000 neighbor 169.254.92.205 remote-as '64512'
set protocols bgp 65000 neighbor 169.254.92.205 address-family ipv4-unicast soft-reconfiguration 'inbound'
set protocols bgp 65000 neighbor 169.254.92.205 timers holdtime '30'
set protocols bgp 65000 neighbor 169.254.92.205 timers keepalive '10'
set protocols bgp 65000 address-family ipv4-unicast network 0.0.0.0/0
[自宅] NAT越えのための設定
vyosでのNAT-Traversal設定
今回はONU + Router配下から接続するので、NAT-Traversalを有効にします。この設定は、AWSからダウンロードする設定ファイルには含まれていません。
set vpn ipsec nat-traversal enable
set vpn ipsec nat-networks allowed-network 0.0.0.0/0
ONU + ルータのポートマッピング設定
ONU + ルータのポートマッピング設定に、UDPの500と4500への通信を、vyosが起動しているPCのIPアドレスに転送するルールを追加します。
[AWS] 仮想プライベートゲートウェイへのルーティング設定
VPCのPrivate Subnetのルーティングテーブルに、自宅側のネットワーク(172.16.0.0/16）向けの通信の宛先を仮想プライベートゲートウェイにするルールを追加します。
[AWS] EC2のセキュリティグループ設定
Private SubnetのEC2インスタンスのセキュリティグループを変更して、自宅のプライベートIPアドレス（172.16.0.0/16）からI通信を許可します。
VPN接続状態の確認
以上でIPsecによるVPN接続ができているはずですので、状態を確認していきます。
AWS上の確認
AWSマネージメントコンソールのSite to Site VPNの設定画面で、トンネルの状態を確認します。vyos側では、２本のうちの１本目の設定しかしていないため、１本目がUpステータスになっていれば、期待通りの動作です。
VPCのPrivate Subnet上のEC2から、自宅のvyos配下のchromebookに向けてPingを打ってみます。
sh-4.2$ ping 172.16.0.2
PING 172.16.0.1 (172.16.0.2) 56(84) bytes of data.
64 bytes from 172.16.0.2: icmp_seq=1 ttl=64 time=133 ms
VPC -> 自宅が疎通しました。
自宅のvyosの状態確認
vyosの下記のコマンドを使って、IKEとIPsecのトンネルが貼られていることを確認します。
vyos@vyos:~$ show vpn ike sa
Peer ID / IP Local ID / IP
------------ -------------
x.x.x.x y.y.y.y
Description: VPC tunnel 1
State IKEVer Encrypt Hash D-H Group NAT-T A-Time L-Time
----- ------ ------- ---- --------- ----- ------ ------
up IKEv1 aes128 sha1_96 2(MODP_1024) no 3600 28800
vyos@vyos:~$ show vpn ipsec sa
Connection State Uptime Bytes In/Out Packets In/Out Remote address Remote ID Proposal
--------------------------- ------- -------- -------------- ---------------- ---------------- ----------- ----------------------------------
peer-x.x.x.x-tunnel-vti up 7m46s 6K/6K 100/101 x.x.x.x N/A AES_CBC_128/HMAC_SHA1_96/MODP_1024
ルーティングテーブルも確認してみます。
vyos@vyos:~$ route
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
default 192.168.0.1 0.0.0.0 UG 20 0 0 wlan0
10.60.0.0 169.254.92.205 255.255.0.0 UG 20 0 0 vti0
169.254.92.204 0.0.0.0 255.255.255.252 U 0 0 0 vti0
172.16.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wlan0
自宅のvyosのPCの配下に接続したchromebook(172.16.0.2)からEC2のプライベートIPアドレスを指定してPingを打ってみます。
ping 10.60.2.250
64byte from 10.60.2.250: icmp_seq=1 ttl=251 time=139 ms
自宅 -> VPCも疎通しました。