更新日：2026.9.7
| このページの内容 |
今回の目的
 |
今回は上の図のようにCisco Secure AccessとAWSをIPsecで接続してみます。 |
 |
ん？IPsecのトンネル、4本も張るの？Secure AccessとFortigateをIPsec接続する時は2本だったよね？ |
|
そうだね。私もビビった。超厳重だなと。 |
|
ですね。それにPrimary tunnelがtunnel1とtunnel2の2つに分かれていて、Secondary tunnelもtunnel1とtunnel2の2つに分かれていて、わかりづらいですね。上の図のx.x.x.xのところはIPアドレスが未定なのかな？ |
|
Yesです。これから行う手順の途中でGIP（Global IP address）が払出されていくんだけど、それがちょっとメンドイ。一旦、仮のアドレスで手順を進めて、あとから正規のGIPに書き換えるといった流れになっているんだ。 |
|
なんかややこしそうですね。 |
|
そうだね。けどなるべく簡潔に手順を紹介していきます。 |
AWSの作業 Transit GWの作成
|
それではまずは赤枠のTransit GWを構築します。尚、VPC（172.26.0.0/16）、subnet（172.26.1.0/24）、yk_winsv1（172.26.1.101）は既に構築済という前提です。 |
①AWSのVPCの画面から、Transit gateways → Create transit gateway。
②Name tagに任意の名前を入力。今回はTGW_Osaka1にしました。
AWS側のAS番号として65002を入力。そしたら右下のCreate Transit Gatewayへ。
③作成完了。
AWSの作業 Transit gateway attachmentの作成
|
続いてTransit gateway attachmentを作成します。これは物理的なものではなく、先程作成した赤枠のTransit gatewayにVPCを紐づける設定です。 |
①Transit gateway attachments → Create transit gateway attachment
②Name tagに任意の名前を入れます。今回はTGW_Osaka1_attachmentにしました。
Transit gateway IDは、先程作成したTGW_OS1のIDを選択。
Attachment typeはデフォルトでVPCになっています。
VPC IDは、既に作成済だった172.26.0.0/16のものを選択。
subnetは、ap-northeast-3c内に作成済の172.26.1.0/24のものを選択。
そしたら右下のCreate Transit gateway attachmentへ。
③作成完了。
AWSの作業 仮のCustomer gatewayの作成
|
続いてCustomer gatewayを2セット作成します。これも物理的なものではありません。customer gatewayという名前のとおり、AWSから見た時の相手の接続口（つまりSecure Accessの接続口）の情報を設定する工程です。具体的にはIPsec接続先のIPアドレスやAS番号を設定します。ただここがややこしいのですが、この時点ではsecure access側もAWS側もIPsec接続用のGIPが決まっていません。そこで仮のGIPを使って仮のCustomer gatewayを一旦作成します。上の図に記載しているIPアドレスがその仮のものです。 |
①1セット目のCustomer gatewayをまず作成します。Customer gateways → Create customer gateway。
②Name tagに仮のcustomer gatewayの名前を入力します。今回はplaceholder_CGW1にしました。
BGP ASNには、Cisco Secure AccessのAS番号である32644を入力。
IP addressには仮のGIPを入力。今回はciscoのサイトに掲載されていた仮のIPである209.165.200.240にしました。
そしたらCreate customer gatewayへ。
③仮のcustomer gatewayが作成されました。
④同じ要領でもう1セット、仮のcustomer gatewayを作成します。以下の通り入力してCreateまで進めます。
AWSの作業 VPN Connectionの作成
|
続いて赤枠のようにVPN Connectionを2セット作成します。これも物理的なものではありません。IPsecトンネルのIPアドレスやトンネル接続時のPWにあたるPSK（Pre-shared key）などを設定します。 |
①まずは1セット目から作成します。Site-to-Site VPN connections → Create VPN connection。
②Name tagに任意の名前を入力します。今回はVPN_to_CGW1にしました。
Target gateway typeはTransit gatewayにチェックを入れて先程作成したTransit gatewayのIDを選択。
Customer gatewayはExistingにチェックを入れて先程作成したplaseholder_CGW1のIDを選択。
そしたら画面を下の方へスクロール。
③Tunnel 1 optionsに進む。
Inside IPv4 CIDR for tunnel 1に、1本目のIPsecトンネル用のNWアドレスである169.254.0.4/30を入力。
Pre-shared key for tunnel 1にPSKを入力。今回はPassword12345678にしました。
Advanced options for tunnel 1はEdit tunnel 1 optionsを選択。画面を更に下へスクロール。
④DPD timeout actionはRestart。Startup actionはStartを選択。
⑤Tunnel 2 optionsに進む。
Inside IPv4 CIDR for tunnel 1に、2本目のIPsecトンネル用のNWアドレスである169.254.0.8/30を入力。
Pre-shared key for tunnel 2は、tunnel1のときと同じようにPassword12345678を入力。
Advanced options for tunnel 2はEdit tunnel 2 optionsを選択。画面を更に下へスクロール。
⑥DPD timeout actionはRestart。Startup actionはStartを選択しCreate VPN connectionを押して作成完了。
①もう1セットも作成します。Name tagに任意の名前を入力します。今回はVPN_to_CGW2にしました。
Target gateway typeはTransit gatewayにチェックを入れて先程作成したTransit gatewayのIDを選択。
Customer gatewayはExistingにチェックを入れて先程作成したplaseholder_CGW2のIDを選択。
そしたら画面を下の方へスクロール。
②Tunnel 1 optionsに進む。
Inside IPv4 CIDR for tunnel 1に、1本目のIPsecトンネル用のNWアドレスである169.254.0.12/30を入力。
Pre-shared key for tunnel 1にPSKを入力。今回はPassword12345678にしました。
Advanced options for tunnel 1はEdit tunnel 1 optionsを選択。画面を更に下へスクロール。
③DPD timeout actionはRestart。Startup actionはStartを選択。
④Tunnel 2 optionsに進む。
Inside IPv4 CIDR for tunnel 1に、2本目のIPsecトンネル用のNWアドレスである169.254.0.16/30を入力。
Pre-shared key for tunnel 2は、tunnel1のときと同じようにPassword12345678を入力。
Advanced options for tunnel 2はEdit tunnel 2 optionsを選択。画面を更に下へスクロール。
⑤DPD timeout actionはRestart。Startup actionはStartを選択しCreate VPN connectionを押して作成完了。
⑥赤枠のように2セットのVPN connectionが作成できました。
⑦一方にチェックを入れ、画面下半分のTunnel detailsをクリックすると、Outside IP addressのところにGlobal IP addressが
表示されています。これが、AWSが払出したIPsec接続用のIPアドレスですのでメモしておきます。
Cisco Secure Access側の作業 Network Tunnel Groupの作成
|
今度はCisco Secure Access側の作業です。赤枠のように4本のIPsecトンネルをまとめたNetwork Tunnel Groupを1セット作成します。これも物理的なものではありません。AWS側のIPアドレスやPSKなどを設定します。 |
①Connect → Network Tunnel Groups → Add
②Tunnel Group Nameに任意の名前を入力します。今回はTunnelGroup-to-AWSにしました。
Device TypeはAWSを選択。
RegionはAsia Pacific（Osaka）を選択しNext。
③AWS側の4つのGIPとPassphrase（PSK）を入力しNext。
④Device AS NumberにAWSのTGWのAS番号（AS65002）を入力。
今回はSecure AccessからBGPでデフォルトルートも配信しないようにするため、Block default route advertisementにもチェックを入れてSave。
⑤Secure Access側のGIPが払出されます。
Download CSVを押すと、これらの情報が記載されたCSVファイルを入手できます。そしたらDone。
⑥Network Tunnel Groupが作成されました。
しかしまだAWS側の設定は仮のGIPを前提にしたものになっているため、Disconnectedになっています。
⑦CSVファイルを確認します。
赤字のIPがSecure Accessが払出したIPです。その他の4つはAWS側のGIP。これでIPアドレスは出揃いました。
AWS側の作業 正規のCustomer gatewayの作成
|
上図の赤字が、Secure Accessから払出された正規のIPアドレスです。仮のGIPは取消線で消しました。そしたら仮のGIPで作成していた仮のCustomer gatewayも、正規のCustomer gatewayに差し替えます。ということで正規のCustomer gatewayを作成します。 |
①右上のCreate Customer gatewayをクリック。
②Name tagに任意の名前を入力。今度は仮ではなく正規のものを作成しますので、「placeholder」を抜いた名前であるCGW1に。
BGP ASNはSecure AccessのAS番号である32644。
IP addressはsecure access側のPrimary Tunnel用の15.168.116.110を入力しCreate customer gatewayへ。
③同じようにSecondary Tunnel用の正規のCustomer gatewayも作成します。
下図の通り入力してCreate customer gatewayへ。
④仮の2つに加え、正規の2つのcustomer gatewayが作成されました。
AWS側の作業 VPN Connectionの設定を編集
|
VPN_to_CGW1とVPN_to_CGW2の2つのVPN Connectionの設定を編集し、Customer gatewayを先程作成した正規のものに差し替えます。 |
①VPN_to_CGW1にチェックが入った状態で、右上のActionsの中からModify VPN connectionに進みます。
②Target customer gatewayを、仮のものから正規のものに選択し直してSave changesをクリックします。
③VPN_to_CGW2も同様にModify VPN connectionへ。
④同じくTarget customer gatewayを正規のものに差し替えてSave changesへ。
結果確認
①AWS側のVPN_to_CGW1のステータスを確認するに下図のとおりUpになっており、IPsecトンネルがUpしたことがわかります。
②VPN_to_CGW2も同じくUpしています。
③Secure Access側の画面を見るに、こちらも4本のトンネルがすべてActive（Up）になっており成功です。
④画面を下にスクロールしPrimary 1へ。
⑤Stateを確認するにESTABLISHEDになっており成功です。
画面の下のボタンを押せば、BGPで入手した経路を含めたsecure access基盤のルーティングテーブルが入手可能です。
|
無事成功ですね。 |
|
そうだね。今回もとても長かったけど、読んでくれてありがとうございました。 |