OpenswanでVPN接続してIPSec通信をやってみた。

はじめに

くどうです

今回は、VPN（Virtual Private Network）について投稿します。
AWSではオンプレとVPNを利用し接続する場合、VPCで用意されているVPNを利用するか、マーケットプレイスで用意されているvyatta、OpenVPN、Sophosなどのソフトウェアルータを利用するのが一般的だと思います。
他にも、DirectConnectが用意されていますが専用線のためコスト面など簡単に導入できないのが実情です。

そこで、簡単に導入が可能なVPNがOpenswanを紹介します。
https://www.openswan.org/
今回の投稿の背景として、VPCで用意されているVPNやvyattaが利用しできなかったことがあります。
マーケットプレイスにvyattaなどのイメージは利用できますが下記のような問題に直面しOpenswanを検証しました。

10拠点を超える多拠点で接続する

VPCで用意されているVPNの制限は1VPCあたり10拠点までの接続制限がある。
詳細は下記のURLよりご確認ください。
Amazon VPC 制限

VPNのランニングコスト

VPCで用意されているVPNについてはランニングコストが発生します。
一時間当たり約0.05 USD。
約5円換算で
24時間=5x24=120円
1か月30日=120x30=3,600円
1年365日=120x365=43,800円
これに加え拠点が増えるとその分の掛け算となり
10拠点だとした場合43,800x10=438,000となります。
また、標準的な AWS データ転送料も発生し、場合によってはコストが増大することも考えられます。
詳しい費用については下記のURLよりご確認ください。
VPN 接続料金表

vyattaとYAMAHAのRTXと相性が悪い。

vyattaと接続が簡単ではない（接続はできるが面倒である）。
IPSecで接続する場合、IPSec Over IPIPでの接続が必要である。
vyattaについてはCore Editionの開発が終了しているため今後のサポートを考えると問題があります。
http://ja.wikipedia.org/wiki/Vyatta

他のマーケットプレイスのソフトウェアルータでも相性が悪い。

SophosやOpenVPNでも検証を行ったが接続を行えなかった。
検証不足かもしれませんがあしからず。

以上、10拠点以上の接続をYAMAHA RTXを行った場合の問題に直面しました。
Openswanで多拠点接続の不安定さなど不確定要素の部分は考慮していません。
また、拠点数が少ない場合は、安定性などを考慮した場合、VPCで用意されているVPNを利用することをお勧めします。

ネットワーク構成図

検証を行う環境は以下になります。

Openswanの準備

AWS側に用意するAMIはAmazon Linuxを用意しましょう。
Ubuntu、CentOSなどでも動作可能です。
[Bash] # yum update # yum install openswan [/Bash] secretsファイルの変更を行います。pre-shared-keyは任意に設定してください。
[Bash] # vi /etc/ipsec.secrets [/Bash] [Bash] include /etc/ipsec.d/*.secrets : PSK "xxxxxxxxxxxxxxxx" [/Bash]

最初に設定を行います。
[Bash] # vi /etc/ipsec.conf [/Bash] [Bash] version 2.0 config setup dumpdir=/var/run/pluto/ nat_traversal=yes virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12,%v4:25.0.0.0/8,%v6:fd00::/8,%v6:fe80::/10 oe=off protostack=auto include /etc/ipsec.d/*.conf [/Bash] 対向のルータRTX810に接続する情報はvpnxx.confとしてipsec.dディレクトリに保存します。
[Bash] # vi /etc/ipsec.d/vpnxx.conf [/Bash] [Bash] conn vpn01 auto=start type=tunnel aggrmode=no authby=secret keyexchange=ike ike=aes128-sha1;modp1024 phase2=esp phase2alg=aes128-sha1;modp1024 pfs=no compress=no ikelifetime=8h salifetime=8h

#AWS Config left=(インスタンスのプライベートIPアドレス[xxx.xxx.xxx.xxx]) leftsubnet=(VPCのネットワークアドレス[xxx.xxx.xxx.xxx/xx]) leftid=(EIP[xxx.xxx.xxx.xxx])

#Internal Config right=(オンプレのグローバルIPアドレス[xxx.xxx.xxx.xxx]) rightsubnet=(オンプレのネットワークアドレス[xxx.xxx.xxx.xxx/xx]) rightid=(オンプレのLAN側IPアドレス[xxx.xxx.xxx.xxx]) [/Bash] IPフォーワードのおまじない。
[Bash] # echo 1 >/proc/sys/net/ipv4/ip_forward [/Bash] 以下は再起動後も設定が反映されるよう設定します。
networkファイルに設定します。 [Bash] # vim /etc/sysconfig/network [/Bash] 以下を追記します。
[Bash] FORWARD_IPV4=yes [/Bash] sysctl.confへ設定します
[Bash] # vim /etc/sysctl.conf [/Bash] 以下に変更します。
[Bash] net.ipv4.ip_forward = 1 [/Bash]

OpenswanインスタンスのSource/Destination CheckをDisableにします。
つぎに、VPCのRoute TableにオンプレのネットワークアドレスをOpenswanインスタンスに向けに登録します。
また、セキュリティグループにはオンプレのネットワークアドレスも追加しましょう。
以上でOpenswan側に設定は完了です。

YAHAMA RTX810の準備

トンネルの準備を行います。トンネルIDなどは環境に応じて変更してください。
[Bash] ip route (VPCのネットワークアドレス) gateway tunnel 1 tunnel select 1 tunnel encapsulation ipsec ipsec tunnel 1001 ipsec sa policy 1001 1 esp aes-cbc sha-hmac ipsec ike encryption 1 aes-cbc ipsec ike group 1 modp1024 ipsec ike hash 1 sha ipsec ike local address 1 (オンプレのLAN側IPアドレス[xxx.xxx.xxx.xxx]) ipsec ike local id 1 (オンプレのLAN側IPアドレス[xxx.xxx.xxx.xxx]) ipsec ike pre-shared-key 1 text xxxxxxxxxxxxxxxx ipsec ike remote address 1 (EIP[xxx.xxx.xxx.xxx]) ipsec ike remote id 1 (EIP[xxx.xxx.xxx.xxx]) ipsec auto refresh 1 on tunnel enable 1 [/Bash] saveは忘れずに。

接続確認

Openswanを起動しましょう。
[Bash] # /etc/init.d/ipsec start # /etc/init.d/ipsec status IPsec running - pluto pid: xxxxx pluto pid xxxxx 1 tunnels up some eroutes exist # chkconfig ipsec on [/Bash] pingをオンプレに打ってみましょう。
レスポンスがあれば成功です。
ついで、tcpdumpでパケットを確認してみましょう。
以下はpingのパケットになります。
[Bash] IP インスタンスのプライベートIPアドレス > オンプレのグローバルIPアドレス: ESP(spi=0x0706f373,seq=0x6), length 132 IP オンプレのグローバルIPアドレス > インスタンスのプライベートIPアドレス: ESP(spi=0x8f98d71d,seq=0x1b), length 132 [/Bash] IPSecでデータ転送に使われるESPパケットがが確認できれば成功です。

まとめ

今回はVPNの設定を行ってみました。
ただし、運用には気を付けましょう。IPSecは複合化暗号化にリソースを使います。そのため、データ転送量や拠点数によってスケールアップ、スケールアウトが必要になるかもしれません。
また、YAHAMAに限らずCISCOなどでもIPSec接続は可能だと思います。
これで、オンプレとAWSへの道が開けるかもかも・・・