　Routing Based　とPolicy Based

IPSecの世界にざっくり２種類の実装があって、1つはACL/Policyでトラフィックを選択し、選択したトラフィック毎にIPsecTunnelを構成するPolicy Based、もう一つはざっくり何でも通すIPsec Tunnelを構成しておいて、どのトンネルを使うかあるいは使わないかをIP RoutingのNexthopで選ぶタイプ。
Alibaba CloudのVPN-GWはpolicy BasedのIPSecに見える。ということで、今回はRouting Basedな機器を接続するパターンを検証。

0.0.0.0/0 <---> 10.128.1.0/24を暗号化するトンネル作成
Alibaba CloudはPolicyに従い、10.128.1.0/24宛てのトラフィックは全てトンネルを使用（Policy based）
FortigateはStatic Routeで必要なCIDR（この場合は172.24.0.0/16）のNext Hopをトンネルに指定(Routing based)

接続

Alibaba Cloud側準備

VPN Gateway準備

Alibaba Cloud側の IPsec終端ポイントの作成。
1時間10円ぐらい。購入するとIPSec用のグローバルIPが割り当てられる。

Customer Gateway準備

こちらはFortigate側のアドレス。今回のように他の機器でNATされている場合はNATの外側で使われているグローバルアドレスを設定。

VPN Connection準備

先ほど作成したVPN GatewayとCustomer Gatewayを選択

ローカルネットワークは0.0.0.0/0とする。AlibabaCloud側として全ての宛先を受け入れる設定になり、FortigateはRoutingの仕組みでここを通すトラフィックを選ぶ。
リモートネットワークはfortigate側のプライベートアドレス空間を指定する。0.0.0.0/0にしてはいけない。
「高度な設定」が必要
事前共有鍵"alitest"
RemoteIDは今回のようにNATの裏にFortigateがいる場合はNATの裏側のFortigateのプライベートIPになるので書き換える。
DHグループはFortigate側に合わせてGroup5に変更。Alibaba Cloud側のデフォルト値の2がデフォルトではFortigate側に設定されていない。
他はデフォルト値で。

Fortigate側準備

Address Object作成

fortigate側のLANのアドレスを定義

IPSec Tunnel作成

こちらもAlibaba Cloud側に合わせ、Remote Addressは0.0.0.0/0、Local Addressは実際のSubnetアドレスを指定する。Preshared keyはここではAlibaba Cloud側に合わせて"alitest"を設定する。

MEMO
Local Addressが複数のCIDRになる場合は注意が必要。
「Phase 2 Selector」が複数行あるとIKEv1でもv2でもそれ毎にSAペアを作ろうとするのでAlibaba Cloud側でもその数だけVPN　Connectionが作る必要がある。下記のCISCOと同じ挙動をする。
https://qiita.com/makotaka/items/985277345794b4a51273

Polocy作成

FortigateのportとTunnelとの間で想定できるトラフィックを全てAcceptする。

Static Route 作成

そして実際にTunnelへ流すトラフィックはそのStatic　Routeのnext hopをVPN Tunnel interfaceに設定することで選択する。