この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。
こんにちは、菊池です。
Azure VNetへのVPN接続を検証しています。以前、以下の記事にてスタティックルーティンングでのVPN接続を紹介しています。
今回は、これに追加してBGPでのルーティングまで確認を行いたいと思います。
構成
構成イメージは以下の通りです。接続に利用するルータは、前述の記事と同じ Cisco C841Mです。
- Azure VNetのネットワーク：172.16.0.0/16
- GatewaySubnet：172.16.1.0/24
- オンプレネットワーク：10.10.10.0/24
- ローカルネットワークゲートウェイのVPN接続インターフェースのIP：192.168.1.253
VPN接続ルータ（ローカルネットワークゲートウェイ）は直接インターネットには接続せず、ルータを挟んで192.168.1.253のIPを割り当てています。NATトラバーサルにてVPN接続します。Azure側のVNet、サブネットは作成済みの状態です。
VPN接続とBGP設定
まずは、仮想ネットワークゲートウェイの作成です。Azure Potalから、仮想ネットワークゲートウェイの作成に進みます。
パラメータの設定です。BGPによる動的ルーティングを利用するためには、ルートベースのVPNと、VpnGw1以上（Basic以外）のSKUを選択する必要があります。BGP ASNを有効にし、ASNを設定します（既定の値で問題ありません）。また、今回はシングル接続のため、アクティブ/アクティブモードは無効とします。
パラメータを確認し、作成します。
次に、オンプレ側のVPN接続先となる、ローカルゲートウェイの作成です。オンプレ側のパブリックIPとBGP設定の構成にチェックを入れます。ASNは、仮想ネットワークゲートウェイと異なる値を入れましょう。BGPピアのIPアドレスは、VPNルータのトンネルインターフェースに割り当てるIPアドレスです。通信経路上のネットワークとは異なるプライベートIPアドレスを指定します。
仮想ネットワークゲートウェイとローカルネットワークゲートウェイが作成されたら、接続の追加です。仮想ネットワークゲートウェイから、[接続] -> [追加] へと進みます。
接続の種類には [サイト対サイト]、共有キーは認証に使用する文字列を指定します。IKEはv2を選択しました（既定）。
接続が作成されたら、[構成] からBGPを有効化する必要があります。
オンプレ側のVPNルーターに設定するためのサンプルコンフィグをダウンロードします。[構成のダウンロード] から、ベンダー、デバイスファミリ、バージョンを選択してダウンロードします。
ダウンロードしたコンフィグを必要に応じて編集し、ルータに設定します。主に、以下の点について設定が必要です。（記事の末尾に、ダウンロードした設定ファイルを記載します）
- VPNに利用するIPアドレスが、ローカルネットワークゲートウェイに指定したパブリックアドレスになってます。今回は、VPNルータはインターネット接続用ルータと別構成で、LAN内にあるため、プライベートIPに書き換えます。
- VPN接続のインターフェースおよびLAN側インターフェースが、それぞれ
GigabitEthernet0/0、GigabitEthernet0/1となっていますので、実際の構成に合わせて書き換えます。 - BGPで広報するルートがブランクになっていますので、オンプレ側の必要な経路に書き換えます。
デフォルト
router bgp 65000
bgp log-neighbor-changes
neighbor 172.16.1.254 remote-as 65515
neighbor 172.16.1.254 ebgp-multihop 255
neighbor 172.16.1.254 update-source Tunnel100
!
address-family ipv4
network "INSERT LAN BGP ROUTE HERE" mask "INSERT BGP ROUTE SUBNET MASK HERE"
network "INSERT LAN BGP ROUTE HERE" mask "INSERT BGP ROUTE SUBNET MASK HERE"
! etc...
neighbor 172.16.1.254 activate
exit-address-family書き換え後。10.10.10.0/24と10.212.134.0/24を広報するように設定しました。
router bgp 65000
bgp log-neighbor-changes
neighbor 172.16.1.254 remote-as 65515
neighbor 172.16.1.254 ebgp-multihop 255
neighbor 172.16.1.254 update-source Tunnel100
address-family ipv4
network 10.10.10.0 mask 255.255.255.0
network 10.212.134.0 mask 255.255.255.0
neighbor 172.16.1.254 activate
exit-address-family- BGPピアとなる仮想プライベートゲートウェイへのスタティックルートを追加します。
ip route 172.16.1.254 255.255.255.255 Tunnel100上記設定を実施し、問題なければIPSecがアップし、BGPによる経路交換が行われます。接続を確認すると、[接続済み] のステータスになっています。
ルータ側でBGPの状態を確認すると、VNetのネットワークを受け取っていることが確認できます。
#show ip bgp
BGP table version is 6, local router ID is 192.168.255.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
r RIB-failure, S Stale, m multipath, b backup-path, f RT-Filter,
x best-external, a additional-path, c RIB-compressed,
Origin codes: i - IGP, e - EGP, ? - incomplete
RPKI validation codes: V valid, I invalid, N Not found
Network Next Hop Metric LocPrf Weight Path
*> 10.10.10.0/24 0.0.0.0 0 32768 i
*> 10.212.134.0/24 10.10.10.253 0 32768 i
*> 172.16.0.0 172.16.1.254 0 65515 i#show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
ia - IS-IS inter area, * - candidate default, U - per-user static route
o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
a - application route
+ - replicated route, % - next hop override, p - overrides from PfR
Gateway of last resort is 192.168.1.1 to network 0.0.0.0
S* 0.0.0.0/0 [1/0] via 192.168.1.1
10.0.0.0/8 is variably subnetted, 3 subnets, 2 masks
C 10.10.10.0/24 is directly connected, Vlan1
L 10.10.10.254/32 is directly connected, Vlan1
S 10.212.134.0/24 [1/0] via 10.10.10.253
172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks
B 172.16.0.0/16 [20/0] via 172.16.1.254, 14:14:55
S 172.16.1.254/32 is directly connected, Tunnel100
192.168.1.0/24 is variably subnetted, 2 subnets, 2 masks
C 192.168.1.0/24 is directly connected, GigabitEthernet0/5
L 192.168.1.253/32 is directly connected, GigabitEthernet0/5
192.168.255.0/24 is variably subnetted, 2 subnets, 2 masks
C 192.168.255.0/31 is directly connected, Tunnel100
L 192.168.255.1/32 is directly connected, Tunnel100Azure Portalからも、BGPで受け取った経路が有効であることが確認できます。
これで、Azure VNetへのSite to Site VPNが接続され、BGPによる経路交換を確認できました。念のため、オンプレ側からVNet内のVMへ、SSHで接続確認します。
$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:15:5d:63:84:21 brd ff:ff:ff:ff:ff:ff
inet 10.10.10.201/24 brd 10.10.10.255 scope global noprefixroute eth0
valid_lft forever preferred_lft forever
inet6 fe80::5bb0:a9d4:9ef1:337e/64 scope link noprefixroute
valid_lft forever preferred_lft forever
$ ssh 172.16.0.5
skikuchi@172.16.0.5's password:
Last login: Tue Jun 16 10:13:15 2020 from 10.10.10.201
$無事、接続できました。
まとめ
AzureとのVPN接続における、BGPのルーティングを試しました。BGPパラメータの設定に加え、接続単位で有効化が必要になるので見逃さないようにしましょう。
参考
ダウンロードしたサンプルコンフィグの全文です。（バプリックIPはマスクしています）
! Microsoft Corporation
! --------------------------------------------------------------------------------------------------------------------------------------------
! Generic configuration templates
!
! DISCLAIMER : THIS IS A SAMPLE CONFIGURATION SCRIPT OFFERED BY MICROSOFT FOR YOUR 3RD PARTY DEVICE. IF YOU NEED
! HANDS-ON SUPPORT OR FURTHER ASSISTANCE, PLEASE CONTACT YOUR VENDOR DIRECTLY.
!
! This configuration template shows all the VPN configuration parameters associated with your S2S VPN connection.
! The script you need to copy onto your Cisco ISR SRX (IOS 15.2+) to setup a RouteBased IKEv2 VPN Tunnel to Azure (with BGP) is found below [#11]
! --------------------------------------------------------------------------------------------------------------------------------------------
! [1] Resource names
! CONNECTION NAME : This field is the name of your connection resource
! VIRTUAL NETWORK GATEWAY : The name of your Azure VPN gateway resource for the connection
! LOCAL NETWORK GATEWAY : The name of your local network gateway resource for the connection
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/CONNECTION_NAME = test
/Data/VNG_NAME = b819006d-97c1-4337-ab09-0ead63ce8cb5
/Data/LNG_NAME = home-gw
! [2] Public IP address of the Azure VPN gateway
! Active-Standby VPN gateway (single public IP address)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/VNG_GATEWAYIP = 20.xxx.xxx.xxx
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
! Active-Active VPN gateway (A/A mode if more than one public IP is listed below)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/VNG_GATEWAYIPS/IpAddress/IP = 20.xxx.xxx.xxx
! [3] Public IP address of the on-premises VPN device
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/LNG_GATEWAYIP = 222.xxx.xxx.xxx
! [4] VNet address prefixes: a list of all VNet address prefixes in different formats
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/VnetSubnets/Subnet/SP_NetworkIpRange = 172.16.0.0
SP_NetworkSubnetMask = 255.255.0.0
SP_NetworkWildcardBits = 0.0.255.255
SP_NetworkCIDR = 172.16.0.0/16
SP_TunnelName = SP_TunnelName
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
! [5] On-premises address prefixes: a list of all on-premises address prefixes defined in LNG
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
! [6] Phase 1/Main Mode:
! IKE encryption algorithm
! IKE hashing algorithm
! IKE Diffie-Hellman group
! IKE SA lifetime (seconds)
! IKE SA data size (Kilobytes)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/IKE_ENCRYPTION_1 = AES256
/Data/IKE_INTEGRITY_1 = SHA256
/Data/IKE_DHGROUP_1 = DHGroup2
/Data/IKE_SALIFETIME_1 = 28800
! [7] Phase 2/Quick Mode:
! IPsec encryption algorithm
! IPsec hashing algorithm
! PFS Group (Perfect Forward Secrecy)
! IPsec SA (QMSA) lifetime (seconds)
! IPsec SA (QMSA) lifetime (kilobytes)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/IPsec_ENCRYPTION_1 = AES256
/Data/IPsec_INTEGRITY_1 = SHA256
/Data/IPsec_PFSGROUP_1 = None
/Data/IPsec_SALIFETIME = 3600
/Data/IPsec_KB_SALIFETIME = 102400000
! [8] Connection pre-shared key
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/CONNECTION_PSK = vc8NkyUYpuuLYzZ6NWGocK2c
! [9] BGP parameters - Azure VPN gateway
! Enable BGP
! BGP ASN for Azure VPN gateway
! BGP speaker IP address for the Azure VPN gateway
! BGP peer IP address(es)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/CONNECTION_BGP_ENABLED = True
/Data/VNG_ASN = 65515
/Data/VNG_BGPIP = 172.16.1.254
/Data/VNG_BGPIPS/IpAddress/IP = 172.16.1.254
! [10] BGP parameters - on-premises network / LNG
! BGP ASN for the on-premises network
! BGP speaker IP address for the on-premises network
!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/LNG_ASN = 65000
/Data/LNG_BGPIP = 192.168.255.1
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
/Data/BGPSubnets/Subnet/SP_NetworkIpRange = 172.16.1.254
SP_NetworkSubnetMask = 255.255.255.255
SP_NetworkWildcardBits = 0.0.0.0
SP_NetworkCIDR = 172.16.1.254/32
SP_TunnelName = 20.xxx.xxx.xxx
! [11] Misc
! NOTE: REPLACE these miscellaneous variables on the script below values as necessary, some devices may have overlapping identifiers for other pre-configured VPN tunnels/policies
!=================================================================================
/Data/AccessList = Azure-ACL-test
/Data/Outside_Interface_Name = GigabithEthernet0/0
/Data/Inside_Interface_Name = GigabithEthernet0/1
!=================================================================================
! ---------------------------------------------------------------------------------------------------------------------
! ACL rules
!
! Some VPN devices require explicit ACL rules to allow cross-premises traffic towards Azure:
! Ensure all the lines below under the network objects are single-spaced.
object-group network AzureNetworks
description Azure-Virtual-Networks
network-object 172.16.0.0 255.255.0.0
exit
object-group network OnpremisesNetworks
description Onpremises-Networks
exit
access-list Azure-ACL-test permit 20.xxx.xxx.xxx log
access-list Azure-ACL-test permit object-group AzureNetworks log
access-list Azure-ACL-test permit object-group OnpremisesNetworks log
! ---------------------------------------------------------------------------------------------------------------------
! IKEv2 PROPOSAL
crypto ikev2 proposal azure-proposal-test
encryption aes-cbc-256 aes-cbc-128
integrity sha1 sha256
group 2
!
!
! ---------------------------------------------------------------------------------------------------------------------
! IKEv2 POLICY
crypto ikev2 policy azure-policy-test
proposal azure-proposal-test
!
!
! ---------------------------------------------------------------------------------------------------------------------
! IKEv2 KEYRING (PRE-SHARED KEY)
crypto ikev2 keyring azure-keyring-test
peer 20.xxx.xxx.xxx
address 20.xxx.xxx.xxx
pre-shared-key vc8NkyUYpuuLYzZ6NWGocK2c
!
!
!
! ---------------------------------------------------------------------------------------------------------------------
! IKEv2 PROFILE
! NOTE: Interface 'GigabitEthernet0/0' was picked as the LAN interface where on-Premises networks are connected.
! REPLACE as needed.
crypto ikev2 profile azure-profile-test
match address local interface GigabitEthernet0/0
match identity remote address 20.xxx.xxx.xxx 255.255.255.255
authentication local pre-share
authentication remote pre-share
keyring local azure-keyring
lifetime 28800
dpd 10 5 on-demand
!
!
! ---------------------------------------------------------------------------------------------------------------------
! IPSEC TRANSFORM
crypto ipsec transform-set azure-ipsec-proposal-set esp-aes 256 esp-sha256-hmac
!
crypto ipsec profile azure-ipsec-profile-test
set security-association lifetime kilobytes 102400000
set transform-set azure-ipsec-proposal-set
set ikev2-profile azure-profile-test
!
!
! ---------------------------------------------------------------------------------------------------------------------
! TUNNEL INTERFACE FOR ROUTEBASED ROUTING TO AZURE
! Note: 'Tunnel100' was picked as an arbitrary interface name.
! REPLACE as needed.
interface Tunnel100
ip address 192.168.255.1 255.255.255.254
ip tcp adjust-mss 1350
tunnel source 222.xxx.xxx.xxx
tunnel mode ipsec ipv4
tunnel destination 20.xxx.xxx.xxx
tunnel protection ipsec profile azure-ipsec-profile-test
!
! ---------------------------------------------------------------------------------------------------------------------
! WAN INTERFACE (WHERE THE PUBLIC IP OF CISCO ISR PORT IS LOCATED)
! NOTE: REPLACE the interface name ('GigabitEthernet0/0') as needed.
! REPLACE the WAN public (ISP) IP subnet as needed. In this example, it's '255.255.252.0', denoting a /22 ISP Public IP subnet
interface GigabitEthernet0/0
description OUTSIDE
ip address 222.xxx.xxx.xxx 255.255.252.0
duplex auto
speed auto
no cdp enable
!
! ---------------------------------------------------------------------------------------------------------------------
! LAN INTERFACE (WHERE THE ONPREMISES NETWORKS ARE LOCATED)
! NOTE: REPLACE the interface name ('GigabitEthernet0/1') as needed.
! Insert your LAN Port IP as well as your LAN mask below, as configured on your device.
interface GigabitEthernet0/1
ip address "INSERT_LAN-PORT_IP_HERE" "INSERT_LAN_MASK_HERE"
duplex auto
speed auto
no cdp enable
no mop enabled
!
! ---------------------------------------------------------------------------------------------------------------------
! BGP ROUTER CONFIGURATION
! NOTE: Change your LAN BGP Advertisements (under the IPV4 Addr Family) as needed for your tunnel
router bgp 65000
bgp log-neighbor-changes
neighbor 172.16.1.254 remote-as 65515
neighbor 172.16.1.254 ebgp-multihop 255
neighbor 172.16.1.254 update-source Tunnel100
!
address-family ipv4
network "INSERT LAN BGP ROUTE HERE" mask "INSERT BGP ROUTE SUBNET MASK HERE"
network "INSERT LAN BGP ROUTE HERE" mask "INSERT BGP ROUTE SUBNET MASK HERE"
! etc...
neighbor 172.16.1.254 activate
exit-address-family
!
ip forward-protocol nd
!
! ---------------------------------------------------------------------------------------------------------------------
! STATIC ROUTES TO ENSURE AZURE-SPECIFIC TRAFFIC CROSSES THE TUNNEL INTERFACE BEFORE GETTING OUTSIDE
! NOTE: UPDATE the routes as needed.
! If you are going through an ISP default gateway, make sure that IP is reflected under the general traffic going through the WAN instead (Line 1 below).
ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0 222.xxx.xxx.xxx
ip route Tunnel100
! OPTIONAL
no service-routing capabilities-manager
2
