Azureとオンプレ環境をインターネットVPNのSite to Site(IKEv2)で接続する手順

#目次
1. 構成イメージ
2. 事前確認・注意事項
3. Azureのネットワーク作成
4. パブリックIPアドレスの作成
5. 仮想ネットワークゲートウェイの作成
6. ローカルネットワークゲートウェイ作成
7. オンプレ側ルータ設定
8. VPNコネクションの作成
9. トラブルシュート
10. ハイブリッド・マルチクラウド検証ラボの紹介
 
#1. 構成イメージ
以下のように、オンプレが192.168.70.0/24、クラウド側が172.16.0.0/16という環境を作る際のAzure側の環境構築手順を記載します。
VPNはP2SではなくS2Sで接続します。
Azureのマニュアルを読むのが~~面倒~~時間がない人向けに、このブログだけで完結できるようになっています。
(情報が不足していたり、間違っていたらコメントをください。修正します。)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/fb7aaaa2-084c-2b7b-3d9a-74dc2672c090.png)

- Azureのマニュアル  
https://docs.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-about-vpngateways  
https://docs.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-vpn-faq

#2. 事前確認・注意事項
- ネットワーク設計
    - (当たり前ですが)オンプレとAzureそれぞれサブネットがかぶらないようにネットワークを割り当てましょう。
- VPN接続用の共通パスワードの準備
    - pre-shared-keyを決めましょう。任意の文字列をルータとAzureに設定します。
- グローバルIPの確認
    - 事前にグローバルIPを確認しましょう。(オンプレミス、Azureともに)
    - Azure側は手動でパブリックIPを作成するので、その時にメモします。
- 接続する回線速度の検討
    - オンプレミス側で加入している通信回線の回線速度とは別に、Azure側で受け入れられる回線速度を指定する必要があります。AzureのUIでVPNの仮想ネットワークゲートウェイを作成する画面(後述)で「SKU」を選ぶことで、回線速度上限と価格が決まります。オンプレ側に引いた回線とのバランスを考えてSKUを選択しましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/e6427b41-4fc2-c4d7-1084-ef2d0dae205f.png)
    - 2020年10月時点ではAzureの無料サブスクリプションを使っているとBasicを選択不可なため、高価で高速な回線しか契約できません。Azureサポートに連絡して無料サブスクリプションの特典(残金)を放棄して、有償サブスクリプションに変更するとBasicを選べるようになります。

#3. Azureのネットワーク作成
172.16.0.0/16の仮想ネットワークを作成し、その中に以下のサブネットを作成します。  
・サブネット　　　　　　　172.16.1.0/24
・ゲートウェイサブネット　172.16.255.0/29

     ※以降の画面キャプチャは第2オクテットが172.21.0.0となっていますが、172.16.0.0に読み替えてください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/c974477b-a67c-cf12-e0ad-288a53733586.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/740d7529-3977-1214-6006-ca8485a11258.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/83b4eebe-cf87-3af7-acf2-d41f79740758.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/0e8e9a8a-54ec-e4ca-dc15-1302a7ddf0ca.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/7615596d-d32f-74d4-503a-00c64e488800.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/6cba817a-ba51-00e2-a4c6-3c373ffb7a1e.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/8379a2d9-1b61-3373-53c8-3993f2d78206.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/4758752b-f761-b51b-4649-4bf093139887.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/b3df795e-d300-90d6-8849-e30a9dd3ea8a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/59fa9806-8485-d2fa-80e9-f72f0f568d98.png)

#4. パブリックIPアドレスの作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/cd511533-c33d-74a8-1da4-7779cf29963d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/28efc08d-ea1a-b1aa-91e3-5a55f0549f4c.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/64b8f1b9-d403-440e-feb0-9965cd2699ed.png)

#5. 仮想ネットワークゲートウェイの作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/dfa71961-66e1-3722-292e-e6efff96085a.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/33b2ffdc-221d-4358-8c7e-1305c29c72f5.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/b9068192-d12a-5423-d84e-a505bba30b40.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/d33ceac4-694f-8cd9-5231-b5a6c0513525.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/7721dbd8-9591-4ffa-7cba-4f34cf442db9.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/28336227-03b2-893e-10d4-6e703bce6d80.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/ad304a3b-5735-1882-aa74-f5ba0a4de497.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/aa9be319-0985-0916-ae62-4471f03b0847.png)

#6. ローカルネットワークゲートウェイ作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/15993fda-044f-b5e3-a1cf-96198653141c.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/9917628c-f20d-7880-1ac2-e5eb923dc1ac.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/6af47f35-725c-f708-714e-1c981dd5f550.png)

#7. オンプレ側ルータ設定
ルーターの設定サンプルが公開されているので、それを活用します。
Yamaha RTX1210の場合、以下を利用しました。
https://network.yamaha.com/setting/router_firewall/cloud/microsoft_azure/
Azure側のパブリックIPをルータに設定するので、Azureの「仮想ネットワークゲートウェイ」に動的に割り当てられるグローバルIPをメモしておく必要があります。

#8. VPNコネクションの作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/ed1eb2b2-0dc8-7cd9-31f7-ba3d4d0467b9.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/85162c82-9770-2fd0-3dbd-6bdf29479142.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/5483aa4d-0b9b-30f3-dd21-5aff6855f30b.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/89b172f0-4c0b-fc48-4af1-95f1399e01ce.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/65a08c98-9b15-46cc-159d-d453a228b784.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/f226e175-e192-84f3-4495-cbc4a4a20c2c.png)

#9. トラブルシュート
- Azure側での調査
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/5c7cd6c4-5ee9-2f5d-9584-d2d66aaaee75.png)

- オンプレルータ側の調査 (Yamaha RTX1210の場合)

```
# show ipsec sa 
Total: isakmp:2 send:2 recv:2
sa    sgw isakmp connection    dir  life[s] remote-id
----------------------------------------------------------------------------
1     2    -     ike           -    26645   20.**.**.123
2     1    -     ike           -    28561   20.***.***.171
3     2    1     tun[0002]esp  send 24845   20.**.**.123
4     2    1     tun[0002]esp  recv 24845   20.**.***.123
6     1    2     tun[0001]esp  send 26761   20.***.***.171
7     1    2     tun[0001]esp  recv 26761   20.***.***.171
```

```
# show ipsec sa <数字>
SA[1] Status: Establised  Duration: 28774s
Protocol: IKEv2
Local Host: 192.168.70.254:4500
Remote Host: 20.**.**.123:4500
Encryption Algorithm    : AES256_CBC         PRF     : HMAC_SHA1
Authentication Algorithm: HMAC_SHA1_96       DH Group: MODP_1024
SPI: 5d c2 7f b1 87 a4 3b 06 67 b7 9f 75 88 83 1d ce
Key: ** ** ** ** **  (confidential)   ** ** ** ** **
```

#10. ハイブリッド・マルチクラウド検証ラボの紹介
どなたでも利用できるラボ環境があります。
ご興味のある方はNetApp担当営業、もしくはNetAppパートナーまでお問い合わせください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1001215/796ccf50-36ff-4d6a-3961-971ab4eec521.png)