EdgeRouter XとGCP(Google Cloud Platform)をVPN接続 その1

今回のテーマは、EdgeRouterXとGCP(Google Cloud Platform)をIPsec VPNで接続してみようと思います。 はじめは、IPv6で接続しようとも考えましたが、GCP側不明だったのでIPv4で接続することにしました。

1.環境

GCPであらかじめ、静的なグローバルIPとローカルネットワークで接続する仮想サーバを準備します。家庭内LANは、192.168.10.0/24に接続、グローバルIPはPPPoEのものを利用します。IKEはV2、ハッシュアルゴリズムはSHA1、暗号化アルゴリズムは、AES128ビットとします。
VS(10.140.0.3)--GCP(35.xx.xx.xx)--(IPSec VPN)--EGRT(153.xx.xx.xx)--VS(192.168.10.202)
こんなイメージの接続です。

2.EdgeRouterXの設定

今回は、GUIから設定して見ます。VPN-IPsec Site-to-SiteタグからPeer:GCPのグローバルIP、Encryption:AES-128,Hash:SHA1を設定します。Pre-shared secretにはGCPにも設定する共通キーを設定します。local subnetは、家庭内LAN側の192.168.10.0/24を設定し、Remote subnetにはGCP側の10.140.0.0/20を設定します。

残念ながらIKEの設定箇所がありません。EdgeRouterXのdefaultはIKEv1のようです。今回はV2にしたいので、Config Treeから設定を追加します。Config TreeタグのVPN-ipsec-ike-groupにあるkey-exchangeがikev1となっていますので、これをikev2に変更して更新します。
これで設定は完了です。下に全体の設定項目をつけておきます。なおFireWallの設定は前に記述したEdgeRouter XでDS-Lite+公開サーバ用PPPoE設定 その3を参照してください。

 ipsec {
     auto-firewall-nat-exclude enable
     esp-group FOO0 {
         proposal 1 {
             encryption aes128
             hash sha1
         }
     }
     ike-group FOO0 {
         key-exchange ikev2
         proposal 1 {
             dh-group 14
             encryption aes128
             hash sha1
         }
     }
     site-to-site {
         peer 35.xx.xx.xx {
             authentication {
                 mode pre-shared-secret
                 pre-shared-secret xxxxxxxxxxxxxxx
             }
             connection-type initiate
             description GCP
             ike-group FOO0
             local-address any
             tunnel 1 {
                 esp-group FOO0
                 local {
                     prefix 192.168.10.0/24
                 }
                 remote {
                     prefix 10.140.0.0/20
                 }
             }
         }
     }
 }

これでEdgeRouterX側の設定が完了しました。次回は、GCP側の設定です。