Azure と GCP を HA 構成の BGP VPN で接続する
昨今のシステム構築時は複数のプラットフォームを活用することが多いと思います。最も多いケースは特定のパブリッククラウド（Azure 等）とオンプレミスとの組み合わせだと思いますが、異なるパブリッククラウド（AWS, GCP 等）と接続して利用するケースも必要になると思います。コンプライアンス等によってはすべてをオンプレミス側のルータを起点・経由して異なるプラットフォームに接続することもあると思いますが、あるパブリッククラウドの特定機能を使いたいがために VPN で直接接続したいケースもあります。私が今回試したケースは「別プラットフォームから Azure にアクセスした場合の環境を作りたいな」と思い、出来心で試してみました。GCP から AWS や Azure に VPN 接続する記事としてはトップゲートさんが公開している記事が懇切丁寧に解説してくれているので、非常に参考になります。
www.topgate.co.jp
こちらをそのまま参考にしても良いと思うのですが、同記事は GCP 側で利用しているコンポーネントが Classic VPN となり、本番環境で利用したいであろう 高可用性（HA）VPN になっていないので、こちらを利用した際に Azure 側も含めてどの様に設定するかのポイントを記載したいと思います。
まず、アーキテクチャ図としては以下になります。太字でそれぞれ Azure/GCP でどの様なリソースを追加しなければならないかを明示しました。一点注意が必要なのが、Azure 側の BGP Routers は Virtual Network Gateway 設定の一部となっていますが、対比のためには明記した方が良いと思い記載しております。
ルーティングとして BGP を利用するので、クラウド間で互いに AS 番号を指定して BGP ルータの設定をしています。こちらに加えて VPN Gateway の Public IP や BGP Router の IP を Azure/GCP で互いに設定します。先述した通り「高可用性（HA）VPN 」を実現するためにコンポーネントの数が増えており、混乱しやすいのではと思うので本記事が理解の手助けになれば幸いです。
Azure/GCP で作成するコンポーネント
今回のケースでは以下のコンポーネントを作成する必要があります。設定次第で前後はあると思いますが、作成の流れとしてはおおよそ以下になると思います。
- Azure, GCP で Virtual Network, VPC Network を作成、NSG, ファイヤウォール等を設定
- Azure 側で Virtual Network Gateway x 1 を作成
- GCP 側で Peer VPN Gateway x 1 を作成
- GCP 側で Cloud VPN Gateway x 1 を作成
- GCP 側で Cloud Router x 1 を作成
- GCP 側で VPN Tunnel x 2 を作成
- GCP 側で BGP Session x 2 を作成
- Azure 側で Local Network Gateways x 2
- Azure 側で Connections x 2
流石に 一つ目の項目は説明は不要だと思うので、Azure の Virtual Network Gateway の作成から行きましょう。
Azure 側で Virtual Network Gateway x 1 を作成
以下の例を参考にして頂ければと思います。
特に以下の設定項目は必須です。Second Public IP を新規で作成するので、リソース名等は適宜設定してください。作成時には Configure BGP はいったん off のままで後で設定します。
| 設定名 | 設定値 |
| Gateway Type | VPN |
| VPN Type | Route-based |
| Enable active-active mode | enabled |
| SECOND PUBLIC IP ADDRESS | Create new |
次に Virtual Network Gateway の Configuration メニューを選択し、Configure BGP を有効化します。ここで設定する主な項目は ASN と Custom Azure APIPA BGP IP address の二つです。今回の設定値としては以下にしました。
| 設定名 | 設定値 |
| ASN | 65510 |
| Custom Azure APIPA BGP IP address | 169.254.21.14 |
| Second Custom Azure APIPA BGP IP address | 169.254.22.50 |
ASN は GCP 側（別プラットフォーム側）でも設定し、異なる番号を入力します。ASN に関してはプライベートレンジの範囲で任意に入力して問題ありません。(Second)Custom Azure APIPA BGP IP address については、Azure のサポートする BGP IP のレンジが 169.254.21.* ~ 169.254.22.* である点、後述しますが GCP 側が Peer BGP IP（この場合は Azure BGP IP を指します）が "/30 subnet" 以内に居ないといけない制約がある点に注意が必要ですが、この範囲で有れば任意で問題ありません。
GCP 側で Peer VPN Gateway x 1 を作成
GCP 側に移動して Peer VPN Gateway を作成します（Azure 側でいう Local Network Gateway）。今回は高可用性のオプションを設定しているので、two interfaces のオプションを選択し、以下の様に Azure 側の VPN Gateway の Public IP アドレス x 2を指定します。
GCP 側で Cloud VPN Gateway x 1 を作成
Peer VPN Gateway では「Azure 側の VPN Gateway ってこのアドレスだよ」というガワを作成しているだけなので、GCP 側でも本体である Cloud VPN Gateway を作成する必要があります。VPN Gateway の所属する Network と Region を指定して Cloud VPN Gateway を作成します。作成後、以下の様に Public IP が二つ割り当てられるので、Azure 側で Local Network Gateways を作成する際にはこちらを利用します。
GCP 側で Cloud Router x 1 を作成
GCP 上では Cloud Router を作成します。こちらは BGP の動的ルーティングを行うために必要なコンポーネントになります。この辺り Azure は VPN Gateway 側のリソースに統合されてみえるので、見た目上の違いとして表れている点だと思います。
ここで GCP 側の ASN を指定します。この値はプライベートレンジかつ Azure 側の ASN と異なる必要があります。今回は 65509 を指定しました。
GCP 側で VPN Tunnel x 2 を作成
GCP 側では Cloud VPN Gateway, Peer VPN Gateway, Cloud Router と一通りの登場人物が作成できたので、漸く VPN Tunnel x 2 を作成します。Cloud VPN Gateway の画面から VPN Tunnel を作成できますが、原則は既に作成済のリソースを選ぶだけだと思います。IKE-pre-shaed key をここで pick up し、後で Azure 側で Connection を作成する際に利用する点、VPN Tunnel は二つ作る点に注意してください。
GCP 側で BGP Session x 2 を作成
Configure BGP sessions は後で設定する様に選択し、いったん設定を完了します。その後、VPN Tunnels 一覧から BGP の設定をします。以下に設定例を記載していますが、ここで Azure 側で設定した ASN 番号と Custom Azure APIPA BGP IP address を利用します。
| 設定名 | 設定値 |
| Peer ASN | 65510（Azure 側で設定した値） |
| Cloud Router BGP IPv4 address | 169.254.21.13 |
| BGP Peer IPv4 address | 169.254.21.14（Azure 側で設定した値） |
本記事では片方の VPN Tunnel のみ設定を記載していますが、高可用性のために用意したもう一つの VPN Tunnel 側も同様に設定してください。
Azure 側で Local Network Gateways x 2
これで漸く GCP 側は一通りの設定が完了したので、Azure 側に戻り、Local Network Gateway を二つ作成します。以下を参考にリソースを作成して下さい。
| 設定名 | 設定値 |
| IP Address | 35.242.112.236（GCP 側の Cloud VPN Gateway の Public IP #1） |
| Address Space(s) | 10.101.0.0/16（GCP 側の VPC Network のアドレス ） |
繰り返しとなりますが、こちらの操作も高可用性のために GCP 側の Cloud VPN Gateway 二つ目にあたる Local Network Gateway も作成を忘れない様にして下さい。
Azure 側で Connections x 2
最後に Azure の Virtual Network Gateway から Connections を二つ作成します。これで設定は完了するはずです。
| 設定名 | 設定値 |
| Connection Type | Site-tosite(IPSec) |
| Local network gateway | GCP 側の Public IP を指定した上記で作成のリソース |
| Shared key (PSK) | GCP 側で pick up した値 |
| Enable BGP | 有効化 |
| Enable Custom BGP Addresses | 有効化 |
| Custom BGP Addresses | GCP 側で設定した BGP peer IPv4 address を設定 |
設定が上手くいかない場合
Azure 側では Virtual Network Gateway の Connections メニューで接続状態が確認できます。以下の様に Status が Unknown の場合は VPN の接続自体でこけています。この場合は shared key や各 IP アドレスの設定を見直してください。
VPN 接続が上手くいった場合でも以下の様に BGP sessions status が waiting for peer のままで BGP のルーティングが始まらない場合があります。
当然 BGP ルータの IP アドレス等の設定を再確認が必要ですが、何度も設定を見直しているせいで反映がどうなっているかの把握が難しい状態で BGP の設定が完了しない場合、以下の Azure の Virtual Network Gateway 側で Reset を試すと上手く接続が完了する場合があります。Reset 配下にある VPN troubleshoot も VPN 接続時のトラブルシューティングには参考になります。
