マイクロソフトのクラウドAzure VPNのサイト間接続をポータルから設定する

MicrosoftのクラウドサービスAzureには、オンプレミスの環境（物理的な拠点）とVPN接続（サイト対サイト）するための機能があります。VPNを利用することでクラウド環境をローカルネットワークと接続し、クラウドをローカルと同じように利用することができる機能です。このVPNですが、実際に設定をやってみると、Azure側の設定が分かり難い。特に今年(2016年）からAzureを管理するためのポータルが大幅に変更されてしまい、以前に比較して、より分かり難くなっています。古いAzureポータルを利用してのVPN設定についてはインターネット上に多くの事例や情報がありますが、今回変更された新ポータルを利用してのVPN接続についての接続方法を説明した情報が見つからなかったため、設定を行ってみました。

といった問題でお悩みの時に参照頂けると、幸いです。

1. Azure VPN設定の前提となる環境

VPN接続を行う環境は以下を前提としています。実際に設定する環境に合わせて読み替えて下さい。

1-1. ネットワーク

(Azure側）

(オンプレミス側）

1-2. Azure 新ポータルで表示されるメニューについて

メニューについて、新ポータルでは同じ設定項目でも「クラシック」とクラシック無しがあります。このクラシックも、古いポータルと比較して、随分手順が変わってしまいました。こちらについても別の記事で接続方法は説明するとして、今回は、「クラシック無し」でVPN接続を行います。

1-3. Azureに追加するリソースについて

Azureではリソースをリソースグループというグルーピングで、ひと纏めにできます。VPNの設定には専用のリソースグループ作成は必須ではありませんが、Azureの管理上、分かりやすくするために、リソースグループの作成からVPNに必要なリソースの作成まで紹介していきます。

2. Azureポータルへのログイン

AzureポータルへのサインインページからAzureポータルへログインします。

古いポータルへのURLもこちらへリダイレクトされます。ログインには事前にMicrosoftアカウントなどを作成する必要があります。ここではログインに必要なアカウントの作成方法は割愛します。

3. リソースグループの作成

参照から、リソースグループをクリックすると、リソースグループ作成の画面が開きます。
リソースグループとして、VPN接続に関連するリソースを保存するためのグループ、「VPN-GROUP」を作成します。

本VPNの記事のみで利用する前提ですので、分かりやすい名前にしました。実際には利用する環境に合わせてグループ名の設定を行って下さい。

4. Azure側ネットワーク環境の整備

VPN設定を行う前に、Azure側のネットワーク環境を整備する必要があります。
ここでは、Azure側で利用する仮想ネットワークを作成します。

4-1. 仮想ネットワークの作成

参照から、仮想ネットワークを選択して、仮想ネットワーク作成画面へ移行します。

追加[+]をクリックして、仮想ネットワークを追加します。

以下のようにパラメーターを設定しました。

パラメーターの入力後、[作成]ボタンをクリックして、仮想ネットワークを作成します。
仮想ネットワークのデプロイが開始された旨、情報が表示されます。多少時間が掛かります。

作成が完了すると、作成した仮想ネットワークが表示されます。

4-2. サブネットの追加

作成した仮想ネットワークはアドレス空間として、172.16.0.0/16を設定しています。
このアドレス空間を実際に利用するサブネットに分割していきます。
最低限、必要になるサブネットは、VPN用のゲートウェイとなるゲートウェイサブネットと、実際に仮想マシンなどを配置するサブネットです。仮想マシンを配置するためのサブネットは、手順4-１で作成が完了しているため、ここではVPN用のゲートウェイサブネットを追加します。

仮想ネットワークからサブネットを選択して、Gateway subnet[+]をクリックします。

サブネット追加で以下のようにパラメーターを設定します。

入力後[OK]をクリックして、ゲートウェイサブネットの追加を完了します。
完了すると、追加したサブネットが表示されます。

サブネットの作成が完了すると、二つのサブネットが表示されます。

これでVMを配置するサブネットと、VPNゲートウェイサブネットの作成が完了しました。

4-3. 仮想ネットワーク ゲートウェイの作成

続いて仮想ネットワーク ゲートウェイの作成を行います。
仮想ネットワーク ゲートウェイは仮想ネットワークと他拠点を接続するためのVPNゲートウェイになります。事前に手順4-2. に記載したゲートウェイサブネットを作成している必要があります。

参照から、仮想ネットワーク ゲートウェイをクリックします。

仮想ネットワーク ゲートウェイの作成から、必要なパラメーターを入力します。

4-3-1. パブリックIPアドレスの作成

ここで、仮想ネットワークゲートウェイに割り当てるパブリックIPアドレスを作成します。
このパブリックIPアドレスをルーター側のピアとして設定します。
新規から、パブリックIPアドレスを追加します。

パブリックIPアドレスの作成画面で

を入力して[OK]をクリックします。
これでパブリックIPアドレスの作成は完了です。引き続き、仮想ネットワークゲートウェイの作成に戻ります。

4-3-2. 仮想ネットワークゲートウェイの作成（続き）

仮想ネットワークゲートウェイの作成について残りのパラメーターを指定します。
VPNの種類については、ルートベースがデフォルトになっています。
※古いポータルではポリシーベース(静的）がデフォルトになっていたようです。
ポリシーベースとルートベースの差異は、マイクロソフトのサイト「VPN ゲートウェイについて」に記載されています。

[作成]をクリックして、仮想ネットワークゲートウェイのデプロイを開始します。

デプロイが完了するまで、約40～50分程度掛かりますので、この間に他の設定を行います。

4-4. ローカルネットワークゲートウェイの作成

ローカルネットワークゲートウェイはオンプレミス側のネットワーク設定になります。
この設定はVPNの[接続]を追加する際に利用されます。[接続]を設定する前に、ローカルネットワークゲートウェイの作成を完了しておく必要があります。
参照から、ローカルネットワークゲートウェイをクリックします。

表示された画面から、追加[+]をクリックします。

表示されたローカルネットワークゲートウェイの作成画面で以下のパラメーターを入力します。

パラメーターを全て指定後、[作成]をクリックして、ローカルネットワークゲートウェイをデプロイします。

デプロイが完了すると、作成したローカルネットワークゲートウェイが表示されます。
表示されない場合は、[最新の情報に更新]をクリックして、表示されることを確認して下さい。正常に表示されれば、ローカルネットワークゲートウェイの作成は完了です。

4-5. 仮想ネットワークゲートウェイのデプロイ完了

4-3-2. で作成した仮想ネットワークゲートウェイの作成が完了すると、リソースとして以下の状態になります。

リソースは上から、以下の内容となります。

ここまで表示されれば、Azure側ネットワーク環境の整備は完了です。
続いて、VPN接続設定の追加を行います。

5. VPN接続の追加

ここではVPNを行うための接続設定を追加します。
暗号に関するプロポーサルなどは指定できず、決め打ちになります。どのようなプロポーサルが利用できるかはマイクロソフトのサイト「サイト間 VPN Gateway 接続の VPN デバイスについて」を参照下さい。

5-1. 接続の追加

参照から「接続」を選択します。表示された画面から、追加をクリックします。
接続の追加画面が表示されます。
以下のパラメーターを設定します。共有キーについては、実際に利用するものに合わせて下さい。ここで設定した共有キーを、オンプレミス側のルーターにも設定します。

[OK]をクリックして、接続をデプロイします。

接続のデプロイが正常に完了すると、Azure側の設定は完了です。
接続画面に作成した[接続]が表示されます。
この時点では、ルーター側の設定が行われていないため、接続状態は不明になっています。

6. ルーター側の設定

ルーター側にVPN設定を追加します。本記事ではVPNルーターとしてCenturySystemsのNXR-230を利用しました。ルーターの設定に必要となるパラメーターは以下になります。事前にご用意下さい。

ルーター側の設定はCenturySystemsのサイト、「4-2. Windows Azure接続設定例」に記載されています。
ほぼこのサイトに記載されている設定内容でVPN接続には問題ありませんが、Azure側のVPNをルートベースにした場合、IKEv1だと接続できませんのでIKEv2を指定する必要があります。
Azureが利用するプロポーサル（暗号化方式などのVPN設定）はマイクロソフトのサイト「サイト間 VPN Gateway 接続の VPN デバイスについて」で確認できます。

本記事では参考としてNXRを利用した場合のVPN設定を記載します。
環境はPPPoEによる固定IPで、ローカルIPサブネットは192.168.10.0/24を想定しています。
*(アスタリスク）で伏せてある設定パラメーターについては、環境に合わせて設定して下さい。

ヤマハのRTXシリーズでAzure環境とのVPNを行う場合は、「Microsoft AzureとVPN接続するルーターの設定」以下のサイトに掲載されている設定を参考にして下さい。
気を付ける点として、IKEのバージョンがあります。NXRと同じくIKEのバージョンがv1だと接続できませんので、IKEv2を指定する必要があります。VPNトンネルで、IKEv2をコマンドは以下になるようです。

もしRTXで接続が出来た方は設定について、教えて下さい。

7. VPN接続の確認

ルーター側とAzure側の両方でVPN設定ができれば、VPNは自動的に接続されます。古いポータルや、クラシックメニューを利用したVPN設定だと、「接続」「切断」を操作できたのですが、新ポータルでは探してみた限り、そのようなメニューがありません。（切断するにはルーター側で行うしかなさそうです。）

VPN接続されると、Azure側の接続画面が、「接続」に変更されます。
ルーター側でも確認してみます。NXRでは、ipsecの確認に、show ipsec statusコマンドを利用します。
sshでログインして、コマンドを実行した結果は以下の通りです。

出力結果からVPN接続が正常に完了していることが確認できます。
VPNトンネルのステータスはshow ipsec status briefコマンドで確認できます。

8. まとめ

AzureでのVPNは新ポータルに代わってから、情報が少ないことから、難しい部分が多いと思います。
恐らく新ポータルでのVPN接続は、まだ環境が十分に整っていないように見受けられます。
今後は、より使いやすいように手が入っていくと考えられますが、現時点ではまだ使いにくい部分が多々あります。そんなときに本記事が参考になれば幸いです。
オンプレミス側のVPNルーターについては、マイクロソフトのサイトに動作確認済みの機器が掲載されていますが、ipsecが利用できるVPNルーターなら、殆どの機種が利用できます。
クラウドとオンプレミス側の環境を統合するためにはVPNは欠かせない設定ですので、是非、試して見て下さい。

9. RTXでのipsec設定（2018年1月追記）

一年近く経過してしまいましたが、記事を見た読者様よりRTXで上手くipsecが設定できたconfigを頂きました。
以下に掲載しますので、RTXでの設定を行っている方は参考にしていただければ幸いです。
K様、心より感謝申し上げます。（掲載するのが大変遅くなってしまい申し訳ございません。）