衝動的にAWSにSiteToSiteVPNを張りたくなったらi-revoを契約しよう

-

思い立ったが吉日生活

普通に生活してると、ふと夜中にAWSにSiteToSiteVPNを張りたい！と思う日がある。  
そんな時におすすめなのがi-revo。

i-revoとvyattaを使えば低コストでAWSとSite to Site VPN接続ができるのでざっと解説する。

※本記事は参考程度にお読みいただけると幸いです。

 夜中のテンションで契約できる、グローバルIP付きのプロバイダ 


i-revoの場合、プロバイダの料金が月額500円でIPv4のグローバルIPを無料で払い出してくれるので、カスタマーゲートウェイのIPとして使えるのである。

 しかも面倒な書類の手続きやメールのやり取り不要で、ネットからクレジットカード使って申し込めば即日使える。 

 正に夜中のテンションでやらかすのにうってつけ！ 

ただし、i-revoは転送量制限が5GB/日と厳しいので、大容量のファイルの転送を行うのには向かない。
間違ってもi-revo経由で仮想マシンのリフトとかやるのはNG！

でもルーターがお高いんじゃないの？

え？高いルーターが要るんじゃないか？

 そんなことはありません！

ソフトウェアルータであるvyatta(現VyOS)を使えばタダ！ 
動かすのは、kvmでもesxiでもvirtualboxでもvmaware playerでもWindows10のHyper-Vでも何でもござれ！
ほら高いルーターなんて必要ない！

コミュニティ版のISOを入手すれば大丈夫！

フレッツは2セッションあるから実質無料

え？固定回線がいるんじゃないかって？

…まぁフレッツ光とか回線は別途必要だけど、デフォルトでPPPoE2セッション使えるから実質無料よ！（？）
足りなかったら300円払えばセッション追加できるから！

実際に動かしていたコンフィグ

検証用の環境なので、i-revoでも特に困ってはなかったのだが思うところあってv6プラスの固定IPサービスでグローバルIPを取得したため、i-revo＋VyOSの構成は止めてしまった。

もう使ってない環境ではあるが、実際に使ってたコンフィグを晒しておく。

Firewall周りは割と適当なので、しっかりセキュアな設定にしてくださいね♥
多分espの穴とか要らん気がする。

あと、ipsec-interfacesにeth0とpppoe0を両方書いている理由が思い出せないけど、local-addressにグローバルIPを指定してたらpppoe0で、ローカルのIPを指定してたらeth0で行けるはず。

AWSからダウンロードしてきたコンフィグだとVyOSのバージョンが1.2以降だとこちらの内容に引っかかるので、注意。
ipv4-unicastの書き方にする必要がある。
vyos@vyos:~$ show version 
Version:          VyOS 1.2-rolling-201910110117
Built by:         autobuild@vyos.net
Built on:         Fri 11 Oct 2019 01:17 UTC
Build UUID:       48a11fa6-8c59-4dbb-94a3-215376c09a02
Build Commit ID:  46f9b2ab60e4fa

Architecture:     x86_64
Boot via:         installed image
System type:      KVM guest

Hardware vendor:  QEMU
Hardware model:   Standard PC (i440FX + PIIX, 1996)
Hardware S/N:     
Hardware UUID:    6d66c35f-4d43-40cd-b384-9ae88ee68ed2

Copyright:        VyOS maintainers and contributors
vyos@vyos:~$ show config | strip-private 
firewall {
    all-ping enable
    broadcast-ping disable
    config-trap disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name FromOutSide {
        default-action drop
        rule 10 {
            action accept
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action accept
            icmp {
                type-name echo-request
            }
            protocol icmp
        }
        rule 30 {
            action accept
            destination {
                port 500
            }
            protocol udp
        }
        rule 31 {
            action accept
            protocol esp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
    twa-hazards-protection disable
}
interfaces {
    ethernet eth0 {
        address xxx.xxx.90.1/24
        hw-id XX:XX:XX:XX:XX:14
        pppoe 0 {
            default-route auto
            firewall {
                local {
                    name FromOutSide
                }
            }
            mtu 1454
            name-server auto
            password xxxxxx
            user-id xxxxxx
        }
    }
    ethernet eth1 {
        address xxx.xxx.20.200/24
        hw-id XX:XX:XX:XX:XX:6a
    }
    loopback lo {
    }
    vti vti0 {
        address xxx.xxx.198.126/30
        description "VPC tunnel 1"
        mtu 1436
    }
    vti vti1 {
        address xxx.xxx.147.18/30
        description "VPC tunnel 2"
        mtu 1436
    }
}
nat {
    source {
    }
}
protocols {
    bgp XXXXXX {
        address-family {
            ipv4-unicast {
                network xxx.xxx.0.0/0 {
                }
            }
        }
        neighbor xxx.xxx.147.17 {
            address-family {
                ipv4-unicast {
                    soft-reconfiguration {
                        inbound
                    }
                }
            }
            remote-as XXXXXX
            timers {
                holdtime 30
                keepalive 10
            }
        }
        neighbor xxx.xxx.198.125 {
            address-family {
                ipv4-unicast {
                    soft-reconfiguration {
                        inbound
                    }
                }
            }
            remote-as XXXXXX
            timers {
                holdtime 30
                keepalive 10
            }
        }
    }
    static {
        route xxx.xxx.10.0/24 {
            next-hop xxx.xxx.20.1 {
            }
        }
    }
}
service {
    ssh {
        listen-address xxx.xxx.20.200
    }
}
system {
    config-management {
        commit-revisions 100
    }
    console {
        device ttyS0 {
            speed 115200
        }
    }
    host-name xxxxxx
    login {
        user xxxxxx {
            authentication {
                encrypted-password xxxxxx
                plaintext-password xxxxxx
            }
            level admin
        }
    }
    ntp {
        server xxxxx.tld {
        }
    }
    syslog {
        global {
            facility all {
                level info
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Asia/Tokyo
}
vpn {
    ipsec {
        esp-group AWS {
            compression disable
            lifetime 3600
            mode tunnel
            pfs enable
            proposal 1 {
                encryption aes128
                hash sha1
            }
        }
        ike-group AWS {
            dead-peer-detection {
                action restart
                interval 15
                timeout 30
            }
            ikev2-reauth no
            key-exchange ikev1
            lifetime 28800
            proposal 1 {
                dh-group 2
                encryption aes128
                hash sha1
            }
        }
        ipsec-interfaces {
            interface eth0
            interface pppoe0
        }
        site-to-site {
            peer xxxxx.tld {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret xxxxxx
                }
                connection-type initiate
                description "VPC tunnel 1"
                ike-group AWS
                ikev2-reauth inherit
                local-address xxx.xxx.80.81
                vti {
                    bind vti0
                    esp-group AWS
                }
            }
            peer xxxxx.tld {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret xxxxxx
                }
                connection-type initiate
                description "VPC tunnel 2"
                ike-group AWS
                ikev2-reauth inherit
                local-address xxx.xxx.80.81
                vti {
                    bind vti1
                    esp-group AWS
                }
            }
        }
    }
}
ちょっと古いけどVyoSの基礎を知りたい方におすすめの書籍 

ルーターはハードじゃなきゃ嫌だと言う方にはvyattaが動いているEdgeRouterをおすすめ
下記設定でSite To Site VPNが張れるらしい。

コメント

コメントを投稿

このブログの人気の投稿

JP1の定義をドキュメント化するjp1ajs2.jobdocが超便利

-
素晴らしいツール こちらの作者さん が作成されているJP1の定義からドキュメントのhtmlを生成するツールが超便利な件。 jp1ajs2.jobdoc https://github.com/mizukyf/jp1ajs2.jobdoc/ 必要とした経緯 JP1の標準で作成した定義を Excelに落とせるツール はあるのだが、なぜかJP1 Viewが入っている端末にExcelが入っていなかった。 （ちなみに、JP1用語だと定義を抜き出すのが「インポート」、定義を登録するのが「エクスポート」らしく大変ややこしい。） 見ようと思えば 定義ファイルの中身の記述が公開されている ので人力でも解析可能ではあるが、そんなのクソ面倒なので、誰か偉い人が作ってくれてるだろうと他力本願したところ、jp1ajs2.jobdocに出会った。 おすすめポイント 定義情報をjp1ajs2.jobdocに食わせると、html形式で解析対象配下のジョブ定義のパラメータをテーブル形式で表示してくれたり、マップもsvg形式で出力してくれる。 ブラウザがあれば定義情報とマップの両方を参照できるのが素晴らしい。 コード値に対応した日本語の説明文も出力してくれるので、わかりやすい。 また、これでドキュメント化しておけば、定義を確認するのにJP1 View開いて確認する必要がないので、JP1 Viewを見れない人に情報共有をしたり、自席で定義をサクッと確認したりするのにちょうどいいと思う。
続きを読む

curlでADのドメインユーザーでプロキシを超える

-
curlでADのドメインユーザーで認証してプロキシを超えたい こちらのサイト でslackにsnmp trapを送信する方法が書かれていたのに触発されてシステムのエラーを通知するのに、MicrosoftのTeamsのWebhookにjsonで飛ばしてみようと思ったらcurlでつながらない。 ADユーザーでプロキシ認証しないと外に出られない、Linux好きにとっては反吐の出る環境のため、それが原因で外に出れなかった。 ネット上にcurlで認証通す場合こうしたらいいよ～みたいなのがいっぱい転がっているが、なんかいまいちなので自分のやったことを備忘録として乗っけとく。 実際のコマンド例 ほんとは出力するメッセージを加工したりする処理を入れているのだが、要素だけ掲載すると下記のようなコマンドで飛ばせる。 WEBHOOKのURL作ったりするところはggrksでよろしくお願いします。 #環境変数定義 MESSAGE=<なんかメッセージ> TEAMS_WEBHOOKURL=＜TEAMSのWEBHOOKURL＞ #コマンド実行 echo "{ \" text \" : \" ${MESSAGE} \" } " | \ curl -H 'Content-type:application/json' \ -U "<ドメイン>\<ユーザー名>:<パスワード>" \ --proxy-ntlm \ -proxy <プロキシサーバ>:<ポート> \ -insecure -d @- ${TEAMS_WEBHOOKURL} プロキシ越えの肝となるオプション ポイントは下記の3つで、特にADのドメインユーザーで認証する場合、ntlm認証のために「--proxy-ntlm」オプションが必要らしい。 -U "<ドメイン>\<ユーザー名>:<パスワード>" --proxy-ntlm -proxy <プロキシサーバ>:<ポート>
続きを読む

ヤマダ電機の安心会員住所変更をした

-
安心会員住所変更 ヤマダ電機の住所変更の顛末を記す。 結論から言えば実にあっさりと住所変更ができた。 重い腰を上げる 昨年三月末に引っ越しをしたので、当然ながら住所が変わったのだが、郵便局に転送依頼をかけておけば1年間は郵便物を新住所に転送してもらえる。 それに甘えて２～３の会員登録で住所変更をさぼっていたのだが、そろそろ転送の期限も近づいてきたので重い腰を上げてみた。 昨今、ネットのサイトから住所変更できるところが大半なので、ヒッキーの私でも安心して変更できるのだが、ネットでできないところは正直めんどくさい。 電話が怖いのよ電話が(((((( ;ﾟДﾟ)))))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ …まぁ、社会人○○年目の大人だから必要があったらやるけどさ。 ということで、勇気を出してヤマダ電機の安心会員専用窓口に住所変更の電話を掛けてみた。 まったく簡単だ！！！ 簡単に言えば下記のようなホップステップからのホイップである。 住所変更の依頼である旨をご担当者様に申告すると、「とある情報」を聞かれるのでそれに答える。 その情報をキーとして、ご担当者様が会員情報を検索し、ヒットした情報が電話を掛けている人間のものであるか確かめるためにいくつか質問をされる。 回答した内容が正解であれば、住所変更の手続きに入る。 一応、「とある情報」というのは伏せておくが、引っ越しによって変わる可能性のある情報なので、個人情報にあたるもので引っ越し前後で変わったものがあれば、電話する前に書き出しておくことをお勧めする。 また、旧住所の情報も必要なので、番地、マンション名なども回答できるようにしておこう。 俺はしどろもどろになりながら答えた！だが、ご担当者は優しく対応してくれた！ 上記のプロセスを経て、晴れて住所変更が完了する。 ただ、つい最近変更したところなので、本当に住所変更できたか、郵便物がちゃんと届くのかといったところはわかり次第、追記したい。 追記：ちゃんと新住所に届きました！
続きを読む