AWS Site-to-Site VPN でオンプレミスと VPC を接続する
記事の「実践」を 1 項目ずつ進めるためのページです。AWS マネジメントコンソールで操作したら、右の一覧にチェックを入れてください。チェックはこのブラウザに保存されます。
前提条件
- リージョン:
ap-northeast-1（東京） - IAM ユーザーまたはロールに VPC、VPN 関連の操作権限があること
- 以下のリソースが作成済みであること
| リソース種別 | リソース名 | 用途 |
|---|---|---|
| VPC | basic-vpn-vpc（10.36.0.0/16） | VPN 接続先の VPC |
| サブネット | basic-vpn-private-subnet（10.36.1.0/24） | VPC 内のプライベートサブネット |
| ルートテーブル | basic-vpn-private-rt | サブネットに関連付けたルートテーブル（ステップ 7 でルート伝播を設定） |
本記事のハンズオンでは、オンプレミス側の VPN デバイスの代わりに、仮の IP アドレスを使用してカスタマーゲートウェイを作成します。実際の VPN トンネルの確立には物理的な VPN デバイスが必要ですが、AWS 側のリソース作成と設定の流れを体験することが目的です。
作成するリソース一覧
| リソース種別 | リソース名 | 用途 |
|---|---|---|
| 仮想プライベートゲートウェイ | basic-vpn-vgw | VPC 側の VPN エンドポイント |
| カスタマーゲートウェイ | basic-vpn-cgw | オンプレミス側 VPN デバイスの表現 |
| VPN 接続 | basic-vpn-connection | VGW と CGW を結ぶ VPN 接続 |
ステップ1: 仮想プライベートゲートウェイの作成
AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します。
上部の検索バーに VPC と入力し、表示された「VPC」を選択します。
左側ナビゲーションの「仮想プライベートネットワーク（VPN）」→「仮想プライベートゲートウェイ」を選択します。
右上の「仮想プライベートゲートウェイを作成」をクリックします。
以下の内容を入力します。
- 名前タグ:
basic-vpn-vgw - 自律システム番号（ASN）: 「Amazon デフォルト ASN」を選択
「仮想プライベートゲートウェイを作成」をクリックします。
作成した VGW が一覧に表示されます。作成直後は「状態」が「保留中」で、まだ VPC につないでいないため「VPC アタッチ状態」は「デタッチ済み」です。
ステップ2: VGW を VPC にアタッチ
作成した basic-vpn-vgw を選択した状態で、「アクション」→「VPC にアタッチ」を選択します。「VPC へアタッチ」画面が表示されます。
- 使用可能な VPC:
basic-vpn-vpcを選択（vpc-… / basic-vpn-vpcと表示されます）
「VPC にアタッチ」をクリックします。
「VPC アタッチ状態」は 1 分ほど「アタッチ中」になったあと、「アタッチ済み」に変わります。「状態」が「利用可能」、「VPC アタッチ状態」が「アタッチ済み」になったことを確認します。
ステップ3: カスタマーゲートウェイの作成
左側ナビゲーションの「仮想プライベートネットワーク（VPN）」→「カスタマーゲートウェイ」を選択します。
右上の「カスタマーゲートウェイを作成」をクリックします。
以下の内容を入力します。
- 名前タグ:
basic-vpn-cgw - BGP ASN:
65000（デフォルト値） - IP アドレス:
203.0.113.1（ドキュメント用に予約された、ハンズオン用の仮の IP アドレス）
「ARN 証明書」「デバイス」などその他の項目はデフォルトのままにします。
「カスタマーゲートウェイを作成」をクリックします。
作成が完了すると、状態が「利用可能」と表示されます。
ステップ4: VPN 接続の作成
左側ナビゲーションの「仮想プライベートネットワーク（VPN）」→「サイト間の VPN 接続」を選択します。
右上の「VPN 接続を作成」をクリックします。
以下の内容を入力します。
- 名前タグ:
basic-vpn-connection - ターゲットゲートウェイのタイプ: 「仮想プライベートゲートウェイ」を選択
- 仮想プライベートゲートウェイ:
basic-vpn-vgwを選択（vgw-… / basic-vpn-vgwと表示されます） - カスタマーゲートウェイ: 「既存」（デフォルトで選択済み）
- カスタマーゲートウェイ ID:
basic-vpn-cgwを選択 - ルーティングオプション: 「動的（BGP が必要）」（デフォルトで選択済み）
事前共有キーの保存先、ローカル／リモートの IPv4 ネットワーク CIDR、トンネルのログ記録やトンネルごとのオプションなど、その他の項目はデフォルトのままにします。
「VPN 接続を作成する」をクリックします。
作成直後の状態は「保留中」で、数分（今回は約 4 分）で「利用可能」に変わります。なお、オンプレミス側のデバイスが接続されていないため、トンネルの状態は「ダウン」のままです。
ステップ5: VPN トンネルの詳細確認
作成した basic-vpn-connection を選択し、「トンネルの詳細」タブを確認します。
2 本のトンネルが表示され、それぞれに以下の情報が確認できます。
- 外部 IP アドレス: AWS 側のトンネルエンドポイントの IP アドレス
- 内部 IPv4 CIDR: トンネル内部で BGP のやり取りに使うアドレス範囲
- ステータス: トンネルの接続状態（オンプレミス未接続のため「ダウン」。「詳細」には
IPSEC IS DOWNと表示されます）
ステップ6: VPN 設定のダウンロード
VPN 接続を選択した状態で、「設定をダウンロードする」をクリックします。
オンプレミス側の VPN デバイスに適用する設定ファイルをダウンロードできます。ダウンロードダイアログで以下を選択します。
- ベンダー: お使いの VPN デバイスのベンダーを選択（例:
Generic。ベンダーを選ぶと、プラットフォームとソフトウェアの候補も切り替わります） - プラットフォーム: デバイスのプラットフォーム（
Genericの場合はGeneric） - ソフトウェア: デバイスのソフトウェアバージョン（
Genericの場合はVendor Agnostic） - IKE バージョン:
ikev1またはikev2
このファイルには、オンプレミス側の VPN デバイスに設定する IPsec トンネルのパラメータ（Pre-Shared Key、トンネル IP アドレス、BGP 設定など）が記載されています。事前共有キーが含まれるため、ダウンロードしたファイルの扱いには注意が必要です。今回は内容の確認だけなので、「キャンセル」で閉じます。
ステップ7: ルートテーブルの確認
VPN 接続を通じてオンプレミスと通信するには、VPC のルートテーブルに適切なルートが必要です。
左側ナビゲーションの「ルートテーブル」を選択し、basic-vpn-private-rt を選択します。
「ルート伝播」タブを確認します。VGW からのルート伝播が有効になっている場合、BGP で受信したオンプレミスのネットワーク経路が自動的にルートテーブルに追加されます。
ルート伝播はデフォルトでは「いいえ」（無効）です。有効にするには、「ルート伝播」タブで「ルート伝播の編集」をクリックし、basic-vpn-vgw の「伝播」の「有効化」にチェックを入れて保存します。