[index] AMF Cloud リファレンスマニュアル 5.4.9

インストールガイド / アマゾン ウェブ サービス（AWS）編

Note

以下の説明には、AWS固有の用語が多く含まれています。AWSの各種用語や概念、より詳細な情報については、AWSのドキュメントを参照してください。また、掲載している画面例は作成時のものであり、変更される場合があります。あらかじめご了承ください。

手順概要

1. Amazonマシンイメージの作成
   本製品のVHDイメージファイルをAmazon EC2にアップロードし、Amazonマシンイメージ（以下、AMI）を作成します。
   
   
2. インスタンスの作成
   作成したAMIから本製品のインスタンス（仮想マシン）を作成します。
   
   
3. SSH接続設定
   PuTTYなどのSSHクライアントを使用してSSH経由で本製品のインスタンスにアクセスします。
   
   
4. ユーザーネットワーク 、 テナントネットワーク との接続
   シングルモードの場合、ユーザーネットワークとの間にIPsec VPNを構築し、本製品とユーザーネットワーク上のAMF対応機器が安全に通信できるようにします。
   また、マルチテナントモードの場合は、各テナントネットワークとの間にL2TPv3 + IPsec VPNを構築し、本製品上のAMFコンテナとテナントネットワーク上のAMF対応機器が安全に通信できるようにします。
   

Amazonマシンイメージの作成

Note

このプロセスが必要なのは本製品の初回インストール時だけです。AWS上で本製品の使用を開始した後で、本製品のファームウェアを更新するときには、software-upgradeコマンドを使用します（「ファームウェアの更新」参照）。

前提条件

• Linux（UbuntuまたはDebian）が動作するインターネットに接続可能なPC（本マニュアルではOSとしておもにUbuntuを使用）。
  

  Note

  Windows PCは未サポートです。

  
  
• Amazon EC2とAmazon S3のFull Access権限を持つAWS APIキー（AKIDとSAK、APIを利用するためのIDとパスワード）。
  このキーの作成方法は次節「AWSのAPIキーの作成」で説明しています。
  
  
• 本製品のCDに収録されているVHDイメージファイル（AMIの元となるディスクイメージファイル）
  
  
• 本製品のCDに収録されているPYファイル（VHDイメージファイルからAMIを作成する時に必要なPythonアップロードスクリプトファイル）
  
  
• Amazon EC2 APIツール（コマンドラインからEC2に対する各種操作を行うためのツール）
  

APIキーの作成

Note

APIキーを作成するには、ユーザーアクセスと暗号化キーの管理サービス「Identity and Access Management（以下、IAM）」の実行権限を持っている必要があります。詳細はAmazon社のユーザーガイドを参照してください。

Note

ナビゲーションウィンドウの [ロール] の設定を行っている場合、vmimportという名前のロールを作成し、このロールを VM Import が引き受けることを信頼関係ポリシードキュメントで指定して、IAM ポリシーをロールにアタッチする必要があります。詳細はAmazon社のユーザーガイドを参照してください。

1. AWSマネジメントコンソールのホーム画面メニュー一覧から [Identity and Access Management] を選択します。
   

   

   
   
2. ナビゲーションウィンドウで、 [ユーザー] を選択します。
   

   

   
   
3. IAMユーザー名を選択します（チェックボックスではありません）。
   
   
4. [認証情報] タブで、 [アクセスキーの作成] をクリックします。
   

   

   
   
5. [ユーザーのセキュリティ認証情報を表示] をクリックし、認証情報を確認してください。
   

   

   
   認証情報は、次のように表示されます。
   

   

   
   
6. [認証情報のダウンロード] をクリックします。
   

   Note

   • アクセスキーは安全な場所に保管してください。
     
   • 作成したキーは一回しかダウンロードできません。また、キーをメールなどで送信したりしないように注意してください。
     
   • AWSまたはAmazon.comから問い合わせが来ても、キーの情報を渡さないでください。Amazon社の正規代表者でも、キーを求めてくることはありません。
     

   
   
7. これでAWS APIキーの作成は完了です。
   

必要なパッケージのインストール

• Python version 2.7
  
• Ec2-api-tools
  
• boto3
  
• Python-pip
  

ubuntu@ubuntu-pc:~/tmp$ sudo apt-get install ec2-api-tools
ubuntu@ubuntu-pc:~/tmp$ sudo apt-get install python2.7
ubuntu@ubuntu-pc:~/tmp$ sudo apt-get install python-pip
ubuntu@ubuntu-pc:~/tmp$ sudo pip install "boto3>=1.3.0,<=1.4.4"

VHDイメージファイルとPythonスクリプトファイルの準備

ubuntu@ubuntu-pc:~/tmp$ ls -l
total 432268
-rw-r--r-- 1 ubuntu ubuntu 442629632  4月  8 13:19 vaa-5.4.9-2.6.vhd
-rwxrwxr-x 1 ubuntu ubuntu      7206  4月  8 13:19 upload_vhd.py

VHDイメージファイルのアップロードとAMIの作成

書式
python upload_vhd.py IMAGEFILE AMINAME --region NAME --bucket NAME --akid KEY --sak KEY

引数
  IMAGEFILE     : インポートする本製品のVHDイメージファイル（例：vaa-5.4.9-2.6.vhd）
  AMINAME       : AMI名（例：vaa-5.4.9）
  --region NAME : 使用するAWSリージョン（例：ap-northeast-1）
                  ※リージョン名の一覧はAmazon社のユーザーガイドを参照してください。
  --bucket NAME : 一時的にVHDファイルをアップロードするAWS S3バケット（例：vaa.upload）
                  ※存在しない場合、バケットは自動的に作成されます。
  --akid KEY    : APIキーのアクセスキーID（EC2とS3へのアクセス用）（例：AKIDABCDF）
  --sak KEY     : APIキーのシークレットキー（EC2とS3へのアクセス用）（例：SAKABCDF）

Note

S3の使用で発生する料金についてはAmazon社のユーザーガイドを参照してください。

Note

バケット名はS3全体で一意でなくてはなりません（他のS3ユーザーが使っているバケット名は使用できません）。バケット名の命名規則についてはAmazon社のユーザーガイドを参照してください。

Note

スクリプト実行時に表示される内容は一例です。AWS側の設定その他によって表示内容は異なることがあります。

ubuntu@ubuntu-pc:~/tmp$ python upload_vhd.py vaa-5.4.9-2.6.vhd vaa-5.4.9 --region ap-northeast-1 --bucket vaa.upload --akid AKIDABCDF --sak SAKABCDF
create_role: Creating vmimport role
upload_image: Creating Bucket
upload_image: Uploading disk image
upload_image: 10% (17MB/168MB)
upload_image: 20% (33MB/168MB)
upload_image: 30% (50MB/168MB)
upload_image: 40% (67MB/168MB)
upload_image: 50% (84MB/168MB)
upload_image: 60% (101MB/168MB)
upload_image: 70% (117MB/168MB)
upload_image: 80% (134MB/168MB)
upload_image: 90% (151MB/168MB)
upload_image: 100% (168MB/168MB)
import_snapshot: Converting disk image to EBS snapshot
import_snapshot: ImportTaskId=import-snap-fg9mk5uk
import_snapshot: 3%
import_snapshot: 19%
import_snapshot: 32%
import_snapshot: 35%
import_snapshot: 41%
import_snapshot: 43%
import_snapshot: 73%
import_snapshot: 89%
import_snapshot: 92%
import_snapshot: 95%
import_snapshot: 97%
import_snapshot: 100%
import_snapshot: Snapshot created snap-0551ce3b0f962fd3b
import_snapshot: Deleting disk image from S3
register_image: Creating AMI
register_image: AMI created ami-8da526eb

register_image: AMI created ami-XXXXXXXX

インスタンスの作成

前提条件

インスタンスの作成開始

AMIファイルの選択

インスタンスタイプの選択

Note

本製品のインスタンスは64ビットです。本マニュアルの例ではt2.microを使用していますが、実際には必要動作環境にそったものをご使用ください。

インスタンスの詳細の設定

VPCの作成

Note

• AWSでは、多くの仮想マシンインスタンスネットワークの構成方法について紹介しています。Amazon Virtual Private Cloud（以下、VPC）については、Amazon社のユーザーガイドを参照してください。
  
  
• デフォルト設定のAWSは、新しいアカウント上の仮想マシン用に設定された172.31.0.0/16のVPCをすでに持っていますが、このサブネットはAMFが同じエリア内のAMFノード間の内部通信に使用するデフォルトのマネージメントサブネットであるため、使用しないでください。デフォルトのVPCを使用する必要がある場合は、本製品と同じエリア内のすべてのAMFノードが異なるAMFサブネットを使用するように再構成する必要があります。本製品の起動時に、AWSから172.31.0.0/16範囲内のIPアドレスを受信検出した場合、自動的にAMFマネージメントサブネットを10.255.0.0/16に変更します。また、同一エリア内の他のAMFノードは、このサブネットを使用するように再構成する必要があります。AMFマネージメントサブネットの詳細については、本マニュアルの「アライドテレシスマネージメントフレームワーク（AMF）」/「導入」編を参照してください。デフォルトVPCの詳細については、Amazon社のユーザーガイドを参照してください。
  
  
• AWSでは、RFC1918で指定されているように、プライベートアドレスの範囲内でのVPCの作成を推奨しています。プライベートアドレスを使う場合、お客様ご自身のネットワークで使用しているプライベートアドレスと重複しないVPC設定を確認してください。
  

1. [新しいVPCの作成] をクリックします。
   下記画面では「非VPC」という注が表示されていますが、デフォルトVPCを削除していない限りこちらは表示されません。また、本設定ではデフォルトVPCは削除する必要はありません。
   

   

   
   
2. [VPC ダッシュボード] 画面が新しいウィンドウで開きますので、 [VPCの作成] をクリックします。
   

   

   
   
3. [VPCの作成] ウィンドウが表示されたら、 [ネームタグ] にVPCの名前を入力し、本製品で使用するための [CIDRブロック] を割り当て、 [作成] をクリックします。
   

   

   
   
4. 画面左側のメニューから、 [VPC] を選択し、設定されたVPCの詳細が正しいことを確認します。
   

   

   
   
5. 次に、画面左側のメニューから、 [サブネット] を選択し、 [サブネットの作成] をクリックします。
   

   

   
   
6. [サブネットの作成] ウィンドウが表示されたら、 [サブネットの作成] を選択し、必要な情報を入力後、 [作成] をクリックします。
   

   

   Note

   サブネットをVPCと同じサイズにする必要はありません。詳細はAmazon社のユーザーガイドを参照してください。

   
   
7. [状態] の表示が「available」となっていることを確認します。
   

   

インターネットゲートウェイの作成と設定

1. 画面左側のメニューから、 [インターネットゲートウェイ] を選択し [インターネットゲートウェイの作成] をクリックします。
   

   

   
   
2. [インターネットゲートウェイ] ウィンドウが表示されたら、 [ネームタグ] に任意の名前を付け、 [作成] をクリックします。
   

   

   
   
3. 作成したインターネットゲートウェイを選択して右クリックし、 [VPCにアタッチ] を選択します。
   

   

   
   
4. [VPCにアタッチ] ウィンドウが表示されたら、前述の「VPCの作成」で作成したVPCを選択し、 [アタッチ] をクリックします。
   

   

   
   
5. [状態] の表示が「attached」となっていることを確認します。
   

   

   
   
6. 次に、ルートテーブルを作成してデフォルトルートを登録し、インターネットゲートウェイ経由でVPCからインターネットへの通信ができるよう設定します。
   
   • 画面左側のメニューから、 [ルートテーブル] を選択し [ルートテーブルの作成] をクリックします。
     

     

     
     
   • [ルートテーブル] ウィンドウが表示されたら、 [ネームタグ] に任意の名前を付け、 [作成] をクリックします。
     

     

     
     
   • 次に、作成したルートテーブルの項目にチェックを入れます。その後、画面下部の [ルート] タブをクリックし、 [編集] ボタンをクリックします。
     

     

     
     
   • 「別のルートの追加」をクリックすると、新しいルートが追加できるようになり、 [送信先] 欄に「0.0.0.0/0」を入力し、 [ターゲット] 欄は空欄をクリックすると予測で出てくる該当項目を選択し、 [保存] をクリックします。
     

     

     

     
     
   • 下図のようにルートが追加されますので、 [Main-VPC-Route-Table] を選択し、「メインテーブルとして設定」をクリックしてください。
     

     

   
   
7. これでVPCの作成は完了です。
   [VPC ダッシュボード] 画面のウィンドウを閉じてください。
   
   
8. 再び [ステップ 3: インスタンスの詳細の設定] ウィンドウに戻って、作成したばかりのVPCを選択します。
   下図赤枠部分の更新ボタンをクリックすると、[ネットワーク] ドロップダウンメニューの選択肢が更新され、ここまでの手順で作成した Main-VPC が選べるようになりますので、それを選択してください。
   

   

   
   
9. [サブネット] でサブネット範囲を設定し、 [自動割り当てパブリックIP] のドロップダウンメニューを、 [サブネット設定を使用（無効）] から [有効化] に変更します。
   Main-VPC を選択することにより、同VPCのサブネットが自動的に選択されるはずですが、そうなっていない場合は [サブネット] ドロップダウンメニューから適切なものを選択してください。
   

   Note

   インスタンスのIPアドレスを固定設定するには、次の2つの方法がありますが、2を推奨します。
   

   1. インスタンス（AW+）側でIPアドレスを設定
      
   2. AWSで設定
      

   AWS上のAMF Cloudは、起動時にeth0でDHCPクライアントが自動的に有効になるため、AmazonのDHCPサーバーから上記手順で設定したプライマリIPを受信することができます。
   

   

   
   
10. インスタンスの詳細を確認し、 [次の手順： ストレージの追加] をクリックします。
    

    

ストレージの追加

インスタンスのタグ付け

セキュリティグループの設定

Note

デフォルトのルールではすべてのIPアドレスからSSHアクセスを許可していますが、実際の運用時には必要なIPアドレスからのみSSHアクセスを許可するよう設定してください。

インスタンス作成の詳細確認

SSHキーペアの設定

1. 1つ目のドロップダウンメニューから [新しいキーペアの作成] を選択します。
   

   

   
   
2. 次に、 [キーペア名] の欄に任意のキーペア名を入力し、 [キーペアのダウンロード] をクリックします。これにより、キーペア（パブリックキーとプライベートキー）が作成され、PEM形式の鍵ファイルのダウンロードが開始されます。
   

   

   Note

   プライベートキーファイルは安全な場所に保存してください。AWSから再度プライベートキーをダウンロードすることはできません。保存したプライベートキーファイルを利用して本製品にSSH接続する方法については、次節「SSH接続設定」をご覧ください。

インスタンスの作成開始

インスタンスの起動確認

Note

AWSは、インスタンスにアクセスするための仮想コンソールを提供していません。インスタンスの制御はSSHでのみ可能です。ただし、AMF Cloudの内部コンソールに出力されたメッセージを読み取り専用のログとして閲覧することは可能です。これには、本製品のインスタンスを選択して右クリックし、 [インスタンスの設定] から [システムログの取得] を選択します。

Note

読み取り専用のログに何も表示されていない場合は、数分待ってから表示を更新してみてください。ログファイルはリアルタイムではなく、AWS側で決められたリフレッシュタイマーにしたがって更新されます。

Note

本製品の稼働確認をPingで行うためには、VPCのインターネットゲートウェイ、デフォルトルートが正しく設定されていることに加え、本製品インスタンスに適用されているセキュリティグループのインバウンドルールでPing（ICMP Echo）を許可するよう設定する必要があります。詳細はAmazon社のユーザーガイドを参照してください。

• 本製品にリモートログインするため、SSHキーとSSHクライアントを設定します。
  
• 本製品と、AMF機器が実際に存在しているユーザーまたはテナントのネットワークをVPNで接続します。
  

SSH接続設定

SSHキーペア

• パブリックキー（公開鍵）
  パブリックキーは秘密にしておく必要がないキーです。
  SSHの公開鍵認証では、ユーザーのパブリックキーをあらかじめアクセス先のホスト（サーバーなど）にインストールしておきます。
  パブリックキーは公開可能なため、複数のホストに同じパブリックキーをインストールしても問題ありません。
  
  本製品では、インスタンス作成時に設定したキーペアのパブリックキーが、最初の起動時にmanagerユーザー用のパブリックキーとして自動的にインストールされるため、該当パブリックキーとペアになったプライベートキーを用いて、リモートから本製品にmanagerユーザーとしてログインすることができます。
  
  
• プライベートキー（秘密鍵）
  プライベートキーは、その所有者が安全に保管し、絶対他者には公開すべきでないキーです。
  プライベートキーは、パブリックキーで暗号化されたデータを復号化できる唯一のキーであるため、SSH公開鍵認証においてサーバーはこの性質を利用し、アクセスしてきたユーザーがサーバーにインストールされたパブリックキーとペアになった適切なプライベートキーを保有しているかどうか判断し、その結果にもとづいてアクセスを許可または拒否します。
  
  SSH経由で本製品のインスタンスにアクセスするには、インスタンス作成時に入力したパブリックキーに対応するプライベートキーを使用して認証を受けるようSSHクライアントソフトウェアを設定する必要があります。
  

「PuTTY」を使用したSSH経由での本製品へのアクセス

前提条件

• putty.exe（SSH接続に使います）
  
• puttygen.exe（PEM形式プライベートキーファイルをPuTTYが扱えるPPK形式に変換するために使用します）
  

PuTTYgenによるプライベートキーの形式変換

1. PuTTYgenの起動
   以下のいずれかの方法でPuTTYgenを起動してください。
   
   
   • [スタート] メニューで [すべてのプログラム] > [PuTTY] > [PuTTYgen] をクリック
     
   • 「ファイル名を指定して実行」で「c:\Program Files\PuTTY/puttygen.exe」を入力
     
   
   PuTTY Key Generatorウィンドウが表示されます。
   

   

   
   
2. PEM形式プライベートキーファイルの読み込み。
   [Conversions] > [Import Key] をクリックします。
   

   

   PEM形式プライベートキーファイルの場所をたずねるウィンドウが表示されるので、AWSからダウンロードしたPEM形式プライベートキーファイルを指定して [開く] をクリックします。
   
   PuTTYgenは、指定されたプライベートキーを読み込むと、上図「Key」枠内にPEMファイルに格納されている各種情報（パブリックキー、プライベートキーの指紋、キーコメントなど）を表示します。
   
   
3. キーコメントの修正
   わかりやすさのため、 [Key comment]欄のコメントをデフォルトの「Imported-openssh-key」から、前述の「SSHキーペアの設定」 で指定したキ―ペアの名前に変更してください。
   
   
4. パスフレーズの設定
   [オプション] [Key passphrase]欄にプライベートキーを保護するためのパスフレーズを入力します。
   ここでパスフレーズを設定しておけば、万一他者がプライベートキーを入手しても、パスフレーズを入力しない限りプライベートキーを使うことはできません。
   

   

   
   
5. PPK形式プライベートキーファイルの書き出し
   上図の [Save private key] ボタンをクリックします。
   新しいウィンドウが開くので、PPK形式プライベートキーの保存先とファイル名を指定してください。
   これで、PuTTYで使える形式のプライベートキーがファイルに保存されました。
   

PuTTYとPPKプライベートキーを使って本製品にSSH接続する

1. PuTTYを開くと下図のようなウィンドウが表示されますので、 [Host Name] 欄に「manager@（本製品インスタンスのパブリックIPアドレス）」を入力します。
   

   Note

   本製品（AMF Cloud）インスタンスのパブリックIPアドレスは、EC2ダッシュボードのインスタンス画面 から確認できます。

   

   
   
2. 次に左側のパネルにある [Connection] の [SSH] から「Auth」をクリックします。
   

   

   
   
3. [Authentication parameters] > [Private key file for authentication: ] ＞ [Browse] をクリックし、さきほど（PEMファイルから変換して）保存したプライベートキーのPPKファイルを指定してロードした後、本製品インスタンスへのSSHセッションを開始するために、 [Open] をクリックします。
   

   

   
   
4. 本製品のインスタンスに接続するのが初めての場合は、接続先のホストを信頼するかどうかを尋ねるセキュリティアラートダイアログボックスが表示されます。
   

   

   
   
5. これで、SSHによる本製品への接続が完了し、AlliedWare PlusのCLI画面が表示されます。
   

   

Ubuntu（Linux）のSSHクライアントを使って本製品にSSH接続する

1. コマンドシェル上で、インスタンス作成時にAWSからダウンロードしたプライベートキーファイルのある場所にカレントディレクトリーを移動します。
   

   ubuntu@ubuntu-pc:~/tmp$ cd ~/.ssh
   

   Note

   セキュリティー上の理由から、プライベートキーファイルのパーミッションがファイル所有者にのみ読み込み可に設定されていることを確認してください。
   プライベートキーファイルのパーミッションを推奨設定に変更するには、「chmod 400 ファイル名」を入力します。
   

   ubuntu@ubuntu-pc:~/.ssh$ chmod 400 vaa-atkk-test.pem
   ubuntu@ubuntu-pc:~/.ssh$ ls -la vaa-atkk-test.pem
   -r-------- 1 vaa vaa 1696 Feb 15 15:06 vaa-atkk-test.pem
   

   
   
2. 次のコマンドで本製品にSSH接続します。-iオプションで指定する vaa-atkk-test.pem はAWSでのキーペア作成時にダウンロードしたPEMファイル、manager はAW+上のユーザー名、XX.XXX.XX.XXXは本製品インスタンスのパブリックIPアドレスです。
   

   Note

   本製品（AMF Cloud）インスタンスのパブリックIPアドレスは、EC2ダッシュボードのインスタンス画面 から確認できます。

   ubuntu@ubuntu-pc:~/.ssh$ ssh -i vaa-atkk-test.pem manager@XX.XXX.XX.XXX
   

   
   
3. 初めてサーバー（本製品）に接続するときは、サーバーのパブリックキー（ホスト鍵）を確認するよう求められますので、「yes」を入力し、 [Enter] キーを押します。
   

   The authenticity of host 'XX.XXX.XX.XXX (XX.XXX.XX.XXX)' can't be established.
   ECDSA key fingerprint is 7f:4e:5c:04:e2:bc:b1:dc:e5:27:b4:86:17:33:9c:0c.
   Are you sure you want to continue connecting (yes/no)? yes
   Warning: Permanently added 'XX.XXX.XX.XXX' (ECDSA) to the list of known hosts.
   

   
   
4. これで、SSHによる本製品への接続が完了し、AlliedWare PlusのCLI画面が表示されます。
   

   Last login: Mon Jul 31 05:27:39 UTC 2017 from xx.x.xxx.xx
   
   AlliedWare Plus (TM) 5.4.9 XX/XX/XX XX:XX:XX
   
   ip-172-30-0-139>
   

ユーザーネットワークとの接続（シングルモード）

• AMF Cloud のVPN機能を使う方法
  AMF Cloud自身とユーザーネットワークのVPNルーターの間にIPsecトンネルを構築します。
  
  
• AWS（VPC）のVPN機能を使う方法
  AWS（VPC）の仮想プライベートゲートウェイとユーザーネットワーク上のVPNルーターの間にIPsecトンネルを構築します。
  

AMF CloudのVPN機能を使う方法

Note

本製品（AMF Cloud）インスタンスのパブリックIPアドレスは、EC2ダッシュボードのインスタンス画面 から確認できます。

AWS側の設定

AMF Cloud側の設定

1. ARルーター（10.1.1.1）との間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
   

   crypto isakmp key abcdefghijklmnopqrstuvwxyz1234 address 10.1.1.1
   

2. IPsecトンネルインターフェース tunnel0 を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   ・ローカル側トンネル終端アドレス（tunnel source） - AMF Cloud の eth0 インターフェースを指定します
   ・リモート側トンネル終端アドレス（tunnel destination） - ARルーターのパブリックIPアドレスを指定します
   ・ISAKMPローカル名（tunnel local name） - ARルーターがAMF Cloudを識別できるよう任意の文字列を指定します
   ・トンネリング方式（tunnel mode ipsec）
   ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
   ・トンネルインターフェースのIPアドレス（ip address）
   ・トンネルインターフェースのMTU（mtu）
   

   interface tunnel0
    tunnel source eth0
    tunnel destination 10.1.1.1
    tunnel local name vaa0
    tunnel mode ipsec ipv4
    tunnel protection ipsec
    ip address 172.16.0.1/30
    mtu 1300
   

3. ユーザーネットワーク（192.168.1.0/24）への経路を設定します。これにはip routeコマンドを使います。
   ただし、VPN接続が有効になるまでは、同経路を使用できないように設定します。
   

   ip route 192.168.1.0/24 tunnel0
   ip route 192.168.1.0/24 null 254
   

ARルーター側の設定

1. AMF Cloudとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
   AMF CloudのパブリックIPは実際にはNAT変換されたものであるため、ここではAMF Cloudをホスト名形式の文字列IDで識別しています。
   

   crypto isakmp key abcdefghijklmnopqrstuvwxyz1234 hostname vaa0
   

2. IPsecトンネルインターフェース tunnel0 を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   ・ローカル側トンネル終端アドレス（tunnel source） - ARルーターの ppp0 インターフェースを指定します
   ・リモート側トンネル終端アドレス（tunnel destination） - AMF CloudのパブリックIPアドレスを指定します
   ・ISAKMPリモート名（tunnel local name） - NAT経由で相手を識別するため、AMF Cloudに設定したのと同じ文字列を指定します
   ・トンネリング方式（tunnel mode ipsec）
   ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
   ・トンネルインターフェースのIPアドレス（ip address）
   ・トンネルインターフェースにおけるMSS書き換え設定（ip tcp adjust-mss）
   ・トンネルインターフェースのMTU（mtu）
   

   interface tunnel0
    tunnel source ppp0
    tunnel destination 10.0.0.5
    tunnel remote name vaa0
    tunnel mode ipsec ipv4
    tunnel protection ipsec
    ip address 172.16.0.2/30
    ip tcp adjust-mss 1260
    mtu 1300
   

3. AMF Cloud（172.30.0.5/32）への経路を設定します。これにはip routeコマンドを使います。
   ただし、VPN接続が有効になるまでは、同経路を使用できないように設定します。
   

   ip route 172.30.0.5/32 tunnel0
   ip route 172.30.0.5/32 null 254
   

AWS（VPC）のVPN機能を使う方法

AWS側の設定

• 仮想プライベートゲートウェイ - AWS側の仮想VPNルーター
  
• VPN接続 - AWSとユーザーネットワークのVPN接続に必要な情報をまとめたもの
  

仮想プライベートゲートウェイの作成

1. VPCダッシュボードから [VPN接続] を選択し、 [仮想プライベートゲートウェイ] をクリックします。
   

   

   
   
2. 「仮想プライベートゲートウェイの作成」ウィンドウが表示されますので、 [ネームタグ] 欄に適切なゲートウェイ名を入力し、 [作成] をクリックします。
   

   

   
   
3. 作成した仮想プライベートゲートウェイは、どのサブネットにも接続されていない状態です。
   

   

   
   
4. 作成した仮想プライベートゲートウェイを選択して右クリックし、 [VPCにアタッチ] を選択します。
   

   

   
   
5. 前述の「インスタンスの作成」の「VPCの作成」で作成したVPCを選択し [アタッチ] をクリックします。
   

   

VPN接続の作成

1. 下図のように [VPN接続の作成] ウィンドウが表示されますので、 [名前タグ] 欄に適切なVPN接続名を入力します。
   
   
2. [仮想プライベートゲートウェイ] 欄では、前の手順で作成したゲートウェイを選択します。
   
   
3. [カスタマーゲートウェイ] 欄は、[新規] を選択して、[IPアドレス] 欄にユーザーネットワーク側VPNルーターのパブリックIPアドレスを入力します。
   
   
4. [BGP ASN] 欄は、デフォルトの65000（プライベートASN）のままでかまいません。
   
   
5. [ルーティングオプション] 欄では [静的] を選択し、[静的IPプレフィックス] 欄にユーザーネットワークのLAN側IPアドレス範囲を入力してください。
   
   
6. 最後に「作成」をクリックします。
   

   

   
   
7. VPN接続の作成が完了すると、以下のようにVPN接続が表示され、 [状態] が [available] になります。
   

   

スタティックIPプレフィックスの追加

ルート伝達の有効化

ARルーター側の設定

1. VPCダッシュボードから [VPN接続] を選択し、 [設定のダウンロード] をクリックします。
   

   

   
   
2. Cisco Systems社のISRシリーズの設定をダウンロードします。
   

   

   ダウンロードした設定サンプルには多くのセクションがありますが、本マニュアルでは重要な部分だけを抜粋し、ISRシリーズ用とAR4050S用の設定を対比する形で示していきます。
   

• カスタムISAKMPプロファイル
  
• キー
  
• カスタムIPSECプロファイル
  
• トンネルピアへのプロファイル割り当て
  
• トンネル
  

ISAKMP プロファイル設定（Ciscoでの「Policy」）

crypto isakmp policy 200
 encryption aes 128
 authentication pre-share
 group 2
 lifetime 28800
 hash sha
 exit

awplus(config)# crypto isakmp profile AWS-ISAKMP-Phase-1 ↓
awplus(config-isakmp-profile)# transform 1 integrity sha1 encryption aes128 group 2 ↓
awplus(config-isakmp-profile)# lifetime 28800 ↓
awplus(config-isakmp-profile)# dpd-interval 10 ↓
awplus(config-isakmp-profile)# version 1 mode main ↓
awplus(config-isakmp-profile)# end ↓
awplus# 

Note

IKE交換モードについて、Ciscoでは両方のモード（aggressive、main）を自動的に試みますが、AR4050Sでは手動で設定する必要があります。

awplus# show isakmp profile AWS-ISAKMP-Phase-1 ↓
ISAKMP Profile: AWS-ISAKMP-Phase-1
  Version:        IKEv1
  Mode:           Main
  Authentication: PSK
  Expiry:         8h
  DPD Interval:   10s
  DPD Timeout:    150s
  Transforms:
       Integrity   Encryption  DH Group
    1    SHA1        AES128       2

ISAKMP事前共有鍵設定

crypto keyring keyring-vpn-4234d12b-0
 local-address 10.1.1.1
 pre-shared-key address 10.0.0.1 key j3mqY_4dtzOHG7uP9mREjNkQxyeqnmEc
 exit

awplus(config)# crypto isakmp key j3mqY_4dtzOHG7uP9mREjNkQxyeqnmEc address 10.0.0.1 ↓

awplus# show isakmp key ↓
Hostname/IP address             Key
----------------------------------------------------
10.0.0.1                        j3mqY_4dtzOHG7uP9mRE
                                  jNkQxyeqnmEc

AWSピアへのカスタムISAKMPプロファイル割り当て

awplus(config)# crypto isakmp peer address 10.0.0.1 profile AWS-ISAKMP-Phase-1 ↓

awplus# show isakmp peer ↓
Peer Profile (* incomplete) Key
---------------------------------------------------------------------
10.0.0.1 AWS-ISAKMP-Phase-1 PSK

IPsec設定

crypto IPsec transform-set IPsec-prop-vpn-4234d12b-0 esp-aes 128 esp-sha-hmac
 mode tunnel
 exit

awplus(config)# crypto IPsec profile AWS-IPSEC-Phase-2 ↓
awplus(config-IPsec-profile)# transform 1 protocol esp integrity sha1 encryption aes128 ↓
awplus(config-IPsec-profile)# pfs 2 ↓
awplus(config-IPsec-profile)# lifetime seconds 3600 ↓
awplus(config-IPsec-profile)# exit ↓
awplus(config)# exit ↓
awplus# 

awplus# show ipsec profile AWS-IPSEC-Phase-2 ↓
IPsec Profile: AWS-IPSEC-Phase-2
  Replay-window:  32
  Expiry:         1h
  PFS group:      2
  Transforms:
       Protocol  Integrity   Encryption
    1    ESP       SHA1        AES128

トンネル設定

interface Tunnel1
 ip address 169.254.XX.XX 255.255.255.252
 ip virtual-reassembly
 tunnel source 10.1.1.1
 tunnel destination 10.0.0.1
 tunnel mode IPsec ipv4
 tunnel protection IPsec profile IPsec-vpn-4234d12b-0
 ! This option causes the router to reduce the Maximum Segment Size of
 ! TCP packets to prevent packet fragmentation.
 ip tcp adjust-mss 1387
 no shutdown
 exit

awplus(config)# int tunnel1 ↓
awplus(config-if)# mtu 1434 ↓
awplus(config-if)# ip address 169.254.XX.XX/30 ↓
awplus(config-if)# tunnel source 10.1.1.1 ↓
awplus(config-if)# tunnel destination 10.0.0.1 ↓
awplus(config-if)# tunnel mode IPsec ipv4 ↓
awplus(config-if)# tunnel protection IPsec profile AWS-IPSEC-Phase-2 ↓
awplus(config-if)# ip tcp adjust-mss 1387 ↓
awplus(config-if)# end ↓

awplus# show ip interface brief ↓
Interface             IP-Address         Status          Protocol
eth1                  unassigned         admin up        running
eth2                  unassigned         admin up        down
lo                    unassigned         admin up        running
vlan1                 unassigned         admin up        down
vlan10                192.168.1.0/24     admin up        running
tunnel1               169.254.XX.XX/30   admin up        running
ppp0                  10.1.1.1/32        admin up        running

awplus# show interface tunnel1 ↓
Interface tunnel1
  Link is UP, administrative state is UP
  Hardware is Tunnel
  IPv4 address 169.254.XX.XX/30 point-to-point 169.254.XX.XX
  index 14 metric 1 mtu 1434
  IPv4 mss 1387
  <UP,POINT-TO-POINT,RUNNING,MULTICAST>
  SNMP link-status traps: Disabled
  Tunnel source 10.1.1.1, destination 10.0.0.1
  Tunnel name local 10.1.1.1, remote 10.0.0.1
  Tunnel protocol/transport IPsec ipv4, key disabled, sequencing disabled
  Checksumming of packets disabled, path MTU discovery disabled
  Tunnel protection via IPsec (profile "AWS-IPSEC-Phase-2")
    input packets 0, bytes 0, dropped 0, multicast packets 0
    output packets 0, bytes 0, multicast packets 0 broadcast packets 0
  Time since last state change: 0 days 00:21:30

Note

トンネルインターフェースが「UP」の間は、トンネルはピアの状態を追跡しません。つまり、トンネルは、接続を開始する準備、またはピアの開始に応答する準備ができているということです。トンネルが動作しているかどうかを確認するには、AT-AR4050SからAWSルーター（169.254.XXX.XXX）のリンクローカルアドレスにpingを実行してみてください。pingが成功した場合、トンネルはアップしていて作動しています。ルーティングが希望通りに動作しているかどうかを確認するために、他の所望のネットワークにpingを実行してみて、必要に応じてスタティックルーティングを設定してください。

ルーティング設定

ip route 0.0.0.0/0 ppp0
ip route 172.30.0.0/24 169.254.XX.XX

テナントネットワークとの接続（マルチテナントモード）

AMF CloudのVPN機能を使う方法

Note

本製品（AMF Cloud）インスタンスのパブリックIPアドレスは、EC2ダッシュボードのインスタンス画面 から確認できます。

Note

本構成では、各AMFコンテナのネットワークが独立していることを示すため、AMFコンテナ「ConA」と「ConB」およびテナントA、Bのネットワークで同じIPアドレスを設定していますが、これはAMFコンテナ間でVLAN、IPアドレスの重複設定が可能であることを示すためのもので、必須の設定ではありません。

Note

以下の説明は、前述した シングルモードの構成 をベースにしていますが、AMF Cloud・ユーザーネットワーク間の接続が不要な場合はその部分を省略可能です。

AWS側の設定

AMF Cloud側の設定

1. テナントA、テナントBのARルーター（10.10.10.1、10.20.20.1）との間で使用するISAKMPの事前共有鍵を設定します。
   これにはcrypto isakmp keyコマンドを使います。
   

   crypto isakmp key efghijklmnopqrstuvwxyz1234abcd address 10.10.10.1
   crypto isakmp key ijklmnopqrstuvwxyz1234abcdefgh address 10.20.20.1
   

2. L2TPv3トンネルインターフェース tunnel1（テナントA用）、tunnel2（テナントB用）を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   ・ローカル側トンネル終端アドレス（tunnel source） - AMF Cloud の eth0 インターフェースを指定します
   ・リモート側トンネル終端アドレス（tunnel destination） - ARルーターのパブリックIPアドレスを指定します
   ・ISAKMPローカル名（tunnel local name） - ARルーターがAMF Cloudを識別できるよう任意の文字列を指定します
   ・L2TPv3ローカルID（tunnel local id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・L2TPv3リモートID（tunnel remote id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・トンネリング方式（tunnel mode ipsec）
   ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
   

   interface tunnel1
    tunnel source eth0
    tunnel destination 10.10.10.1
    tunnel local name vaa1
    tunnel local id 11
    tunnel remote id 12
    tunnel mode l2tp v3
    tunnel protection ipsec
   
   interface tunnel2
    tunnel source eth0
    tunnel destination 10.20.20.1
    tunnel local name vaa2
    tunnel local id 21
    tunnel remote id 22
    tunnel mode l2tp v3
    tunnel protection ipsec
   

ARルーター側の設定

テナントA側ARルーター

1. AMF Cloudとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
   AMF CloudのパブリックIPは実際にはNAT変換されたものであるため、ここではAMF Cloudをホスト名形式の文字列IDで識別しています。
   

   crypto isakmp key efghijklmnopqrstuvwxyz1234abcd hostname vaa1
   

2. L2TPv3トンネルインターフェース tunnel0 を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   ・ローカル側トンネル終端アドレス（tunnel source） - ARルーターの ppp0 インターフェースを指定します
   ・リモート側トンネル終端アドレス（tunnel destination） - AMF CloudのパブリックIPアドレスを指定します
   ・ISAKMPリモート名（tunnel local name） - NAT経由で相手を識別するため、AMF Cloudに設定したのと同じ文字列を指定します
   ・L2TPv3ローカルID（tunnel local id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・L2TPv3リモートID（tunnel remote id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・トンネリング方式（tunnel mode ipsec）
   ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
   ・トンネルインターフェースのIPアドレス（ip address）
   

   interface tunnel0
    tunnel source ppp0
    tunnel destination 10.0.0.5
    tunnel remote name vaa1
    tunnel local id 12
    tunnel remote id 11
    tunnel mode l2tp v3
    tunnel protection ipsec
    ip address 172.16.0.2/24
   

テナントB側ARルーター

1. AMF Cloudとの間で使用するISAKMPの事前共有鍵を設定します。これにはcrypto isakmp keyコマンドを使います。
   AMF CloudのパブリックIPは実際にはNAT変換されたものであるため、ここではAMF CloudをISAKMPリモート名で識別しています。
   

   crypto isakmp key ijklmnopqrstuvwxyz1234abcdefgh hostname vaa2
   

2. L2TPv3トンネルインターフェース tunnel0 を作成します。
   これには、interfaceコマンドでトンネルインターフェースを作成し、以下の情報を設定します。
   
   ・ローカル側トンネル終端アドレス（tunnel source） - ARルーターの ppp0 インターフェースを指定します
   ・リモート側トンネル終端アドレス（tunnel destination） - AMF CloudのパブリックIPアドレスを指定します
   ・ISAKMPリモート名（tunnel local name） - NAT経由で相手を識別するため、AMF Cloudに設定したのと同じ文字列を指定します
   ・L2TPv3ローカルID（tunnel local id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・L2TPv3リモートID（tunnel remote id） - 対向側とペアになるようにして任意の数値を割り当てます
   ・トンネリング方式（tunnel mode ipsec）
   ・トンネルインターフェースに対するIPsec保護の適用（tunnel protection ipsec）
   ・トンネルインターフェースのIPアドレス（ip address）
   

   interface tunnel0
    tunnel source ppp0
    tunnel destination 10.0.0.5
    tunnel remote name vaa2
    tunnel local id 22
    tunnel remote id 21
    tunnel mode l2tp v3
    tunnel protection ipsec
    ip address 172.16.0.2/24
   

ファームウェアの更新

前提条件

ISOファイル、VHDファイルについて

• 本製品のCDに収録されているVHDイメージファイルは、AWSにアップロードして本製品のAMIを作成するためのものです。
  詳しくは、「Amazonマシンイメージの作成」をご参照ください。
  
  
• 弊社ホームページで提供するISOイメージファイルは、すでにAWS上で動作している本製品のファームウェアを更新するためのものです。
  

更新手順

1. ファイルシステム上にISOイメージファイルが存在することを確認します。
   

   awplus# dir ↓
   4096 drwx Mar 14 2016 03:00:00 atmf/
   2401 -rw- Mar 13 2016 23:10:34 V60153A591FFD2F0.bin
   143 -rw- Mar 13 2016 09:58:49 reboot.log
   551 -rw- Mar 13 2016 09:57:48 default.cfg
   25499648 -rw- Feb 16 2016 20:45:45 vaa-5.4.9-2.7.iso ← 新しいファームウェア
   

   
   
2. software-upgradeコマンドでISOイメージファイルを指定します。確認メッセージが表示されるので「y」を入力してください。
   

   awplus# software-upgrade vaa-5.4.9-2.7.iso ↓
   Install this release to disk? (y/n): y
   Upgrade succeeded, the changes will take effect after rebooting the device.
   

   
   
3. 新しいファームウェアで再起動します。
   

   awplus# reboot ↓
   

トラブルシューティング

ネットワーク接続が失われた場合

• eth0ポートのシャットダウン
  
• eth0に対する誤ったIPアドレスの静的設定
  
• ルーティングの問題
  

SSHサーバー機能が無効化された場合

復旧不能時への備え

1. EC2 ダッシュボードで [インスタンス] をクリックします。
   
   
2. 目的のインスタンスを選択して右クリックし、 [イメージ] から [イメージを作成] を選択します。
   

Note

スナップショットからインスタンスを作り直した場合、MACアドレスとIPアドレスは以前と異なったものになります。そのため、手動による仮想リンクの再設定やアニュアルライセンスの再登録が必要になります。

(C) 2016 - 2020 アライドテレシスホールディングス株式会社

PN: 613-002940 Rev.A