[新サービス] SORACOM Doorを試してみた #scd2016 #soracom

SORACOM Conference 2016 “Discovery”

#VyOS

#イベント

#体験レポート

#SORACOM

市田善久

2016.07.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

市田です。
本日開催されているイベント「SORACOM Discovery2016」にて発表された新サービス「SORACOM Door」を早速試してみたので、そのレポートをしたいと思います。

本記事はテストフェーズの環境で検証したものです。サービスのベータ/プレビューフェーズとは仕様が異なる場合があります

SORACOM Doorって？

こんなことができるようになります。

SORACOM Door image

これまでのSORACOM Canalでは、VPCピアリングで自分のVPC環境とセキュアに接続することができましたが、VPCピアリングの為、異なるリージョン間では接続することができませんでした。

今回発表されたSORACOM Doorを使うと、SORACOMのVPCと自分のVPCをインターネットVPN経由で接続することができるので、異なるリージョン間でも利用することができるようになりました。

SORACOM Doorを確認するまでの流れ

自分のVPCにカスタマーゲートウェイとしてのVPNインスタンスを構築
VyOS用にElatsic IPを払い出してSORACOM側でVPN Connectionを作成(ルータコンフィグを生成してダウンロード)
疎通確認用のインスタンスを作成(VyOS経由でアクセス)
3Gドングル経由でプライベートIPで上記インスタンスに接続確認

VPC環境の構築

下記のような環境を用意します。VPCは簡単にデフォルトVPCで作ってます。

VPC環境

VyOSインスタンスの作成

MarketplaceからVyOSインスタンスを作成します。インスタンスが作成できたら、まずは下記を設定しておきます。

Elastic IPの付与
- SORACOM側にカスタマーゲートウェイとして登録する為です。
送信元/送信先チェックの無効化

VyOSバージョンアップ

MarketplaceのVyOSバージョンはバグがあるので、最新版にアップデートします。
VyOSにはvyosユーザでログインします。

ssh -i <VyOSインスタンスのSSH鍵> vyos@<VyOSのElastic IP>

最新バージョンをダウンロードしてバージョンアップします。

vyos@VyOS-AMI:~$ add system image http://packages.vyos.net/iso/release/1.1.7/vyos-1.1.7-amd64.iso

ここまでの状態では、まだver1.1.0のままです。デフォルトでver1.1.7として起動するように再起動します。

vyos@VyOS-AMI:~$ show system image

The system currently has the following image(s) installed:

   1: VyOS-1.1.7 (default boot)
   2: 1.1.0 (running image)

VyOSを再起動します。

vyos@VyOS-AMI:~$ reboot

Proceed with reboot? (Yes/No) [No] y

コンンフィグ投入

次にSORACOM側でVPN接続を作成して、VyOSのコンフィグをダウンロードします。
ダウンロードしたコンフィグは下記を修正します。

(変更前)
set vpn ipsec site-to-site peer ***** local-address [VyOSのEIP]
set protocols bgp 65000 network 0.0.0.0/0

(変更後)
set vpn ipsec site-to-site peer ***** local-address [VyOSのプライベートIP]
set protocols bgp 65000 network 172.31.0.0/20

今回は、VyOSを設置するサブネットがデフォルトVPCの為、アドバタイズするネットワークを上記のようにしていますが、設置するサブネットに合わせて修正してください。

ルーティングテーブルの設定

SORACOM側への戻りのルーティングがVyOSになるように設定します。
下記の図の「ターゲット」にvyosを指定します。「送信先」のSORACOM側のIPは自分の環境用のものを設定してください。

vpc-routetable

VPN接続の確認

VPN環境の設定が完了したら、VyOSからVPN接続の状況を確認します。
下記のように「State」が「up」になっていることを確認します。

vyos@VyOS-AMI:~$ show vpn ipsec sa

Peer ID / IP                            Local ID / IP
------------                            -------------
xx.xx.xx.xx                             172.31.2.9

    Description: VPC tunnel 1

    Tunnel  State  Bytes Out/In   Encrypt  Hash    NAT-T  A-Time  L-Time  Proto
    ------  -----  -------------  -------  ----    -----  ------  ------  -----
    vti     up     4.3K/4.2K      aes128   sha1    no     924     3600    all


Peer ID / IP                            Local ID / IP
------------                            -------------
xx.xx.xx.xx                             172.31.2.9

    Description: VPC tunnel 2

    Tunnel  State  Bytes Out/In   Encrypt  Hash    NAT-T  A-Time  L-Time  Proto
    ------  -----  -------------  -------  ----    -----  ------  ------  -----
    vti     up     28.1K/27.3K    aes128   sha1    no     2120    3600    all