システム カタログ › ゲートウェイ › VPN - 仮想プライベート ネットワーキング アプライアンス

VPN - 仮想プライベート ネットワーキング アプライアンス

最新バージョン： 2.0.1-1

機能の概要

VPN は、IPv4 および IPv6 ネットワークで動作する Virtual Private Networking アプライアンスで、グリッド間通信およびアプリケーションとアプライアンスへのリモート アクセス用の安全で信頼できるトンネルを提供するために設計されています。 また、VPN は VPN トンネルを使用せずに動作できます。その場合は、結合されたクリア テキスト IN/OUT ゲートウェイとして機能します。 VPN を使用して、シームレスに IPv4 と IPv6 の CA 3Tera AppLogic グリッドを相互接続することもできます。 VPN は、OpenVPN、OpenSSH および Racoon オープン ソース ソフトウェア パッケージに基づいています。

VPN には次の 3 つの基本操作モードがあります。server、client、both。

• サーバとして動作する場合、外部インターフェースを介して受信されたトラフィックは srv 端子を介して送信されます。 VPN でトンネルを使用する場合、外部インターフェースを介して確立されたトンネルからのトラフィックは srv 端子を介して転送する前に復号化されます。 この操作モードでは、VPN は VPN トンネル サポート付きの IN ゲートウェイとして動作します。
• クライアントとして動作する場合、clt 端子を介して受信されたトラフィックは外部インターフェースを介して転送されます。 VPN でトンネルを使用する場合、トラフィックは外部インターフェースを介して確立されたトンネルで送信する前に暗号化されます。 この操作モードでは、VPN は VPN トンネル サポート付きの OUT ゲートウェイとして動作します。
• サーバおよびクライアントとして動作する場合は、上記のトラフィック フローの両方がサポートされ、結合した IN/OUT ゲートウェイとしての操作に対応します。

VPN は、IPSec、共有秘密ファイル、SSL 証明書、認証と暗号化用の ssh キー ファイルをサポートします。 通常の OpenVPN/OpenSSH クライアントをリモート ワークステーション上で使用して、VPN に接続できます。接続後は、CA 3Tera AppLogic 上で実行されるアプリケーションの内部コンポーネントへの安全なアクセスが提供されます。 VPN アプライアンスは、共有秘密ファイル、SSL 証明書、および ssh キーの生成をサポートします。

VPN を使用する安全な VPN トンネルを介して、CA 3Tera AppLogic アプリケーションにリモートアクセスするには、OpenVPN クライアント側ソフトウェアまたは OpenSSH をクライアントのマシン上で使用できます（または互換性のあるその他のソフトウェア）。

境界

リソース

端子

プロパティ

一般プロパティ

重要： 少なくとも 1 ペアのアドレス（IPv4 または IPv6）を定義する必要があります。

VPN プロパティ

サーバ プロパティ

クライアント プロパティ

ボリューム

カスタム カウンタ

VPN アプライアンスは、mon 端子を介して以下のカスタム カウンタをレポートします。

パフォーマンス

2 つのテスト アプリケーションが同じ CA 3Tera AppLogic グリッド上に存在していました。 100mbit 帯域幅は、両方の VPN アプライアンス（クライアントとサーバ）、およびサーバとクライアントのアプライアンスに割り当てられました。 サイズが各 1 メガバイトの複数のオブジェクトを取得。60 秒間で 10 のオブジェクトを並行して取得しました。

エラー メッセージ

アプライアンスの起動に失敗した場合、以下の内容のエラーがシステム ログにログ記録される場合があります。

トンネルのタイプ

クリアテキスト

このモードは、単一サーバと複数クライアントのシナリオをサポートします。複数の場所から VPN サーバへのアクセスを許可します。 このモードでは VPN トンネルが確立されず、データ ストアも必要ではありません（データ ボリュームと NAS アプライアンスのどちらも fs 端子に接続されていません）。 このモードは IPv4 と IPv6 で動作します。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタされ、srv インターフェースへ転送されます。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway、mode、tunnel、remote_host です。

IPv6 モードが使用されている場合、サーバ側のプロパティ remote_host はクライアントのアドレスで設定する必要があります。

証明書

このモードは、単一サーバと複数クライアントのシナリオをサポートします。複数の場所から VPN サーバへのアクセスを許可します。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 と IPv6 の両方で動作します。

起動時に、必要な証明書およびキー ファイルが存在していない場合、サーバ アプライアンスがこれらのファイルを生成します。 これらのファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN クライアントも、設定する前にそのクライアント用の証明書を生成しておく必要があります。 ユーザは、実行されている VPN サーバ アプライアンスへログインし、以下のようにクライアント キー ペアを生成することができます。

grid> comp login VPN-1:main.VPN
CentOS release 5 (Final)

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
Generated client SSL certificate and key file.
==============================================
These files, with CA certificate file, should be copied to VPN server into
データ ボリュームまたは fs マウント ボリュームの /client/ サブディレクトリにコピーされる必要があります。
Path to client files (client.829de5afcac564b3) should be specified in auth_path property.
ファイルの場所：
client certificate: /mnt/fs/server/client.829de5afcac564b3.crt
client key file: /mnt/fs/server/client.829de5afcac564b3.key
CA certificate file located at /mnt/fs/server/ca.crt

クライアント証明書およびキー ファイルは、データ ストアの /client/ サブディレクトリへのクライアント VPN アプライアンスにコピーする必要があります。また、auth_path を適切な値に設定する必要があります（この場合は client.829de5afcac564b3）。 VPN サーバ（/mnt/fs/server/ca.crt）からの CA 証明書は、クライアント アプライアンス上の /client/ サブディレクトリにコピーし、「ca.crt」と命名する必要があります。 すべてのクライアント VPN アプライアンスに、それぞれの証明書が必要です。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタされた後、srv インターフェースへ転送されます。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは暗号化され、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、remote_host、auth_path です。

共有秘密ファイル

このモードは、単一サーバと単一クライアントのシナリオのみをサポートします。一度に 1 つのクライアントから VPN サーバへのアクセスのみを許可します。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 と IPv6 の両方で動作します。

起動時に共有秘密ファイル /server/secret.key が存在していない場合、サーバ アプライアンスがこのファイルを生成します。 このファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN クライアントを設定する前にも、この共有秘密ファイルを /client/ サブディレクトリ内のデータ ストアにコピーする必要があります。 共有秘密ファイルを新規に生成するには、実行する VPN サーバ アプライアンスへユーザがログインし、以下のコマンドを発行します。

[VPN-1:main.VPN server]# /appliance/security.sh generate_secret
Generated OpenVPN shared secrets file.
======================================
This file should be copied to VPN server into /server/ subdirectory of data volume or fs-mounted volume,
and to the VPN client into /client/ subdirectory of data volume or fs-mounted volume.
Path to it should be specified in auth_path property of the VPN client.
Location of file: /mnt/fs/server/secret.key

古い秘密ファイルがある場合、新規に生成された秘密ファイルが古いファイルを上書きします。 この共有秘密ファイル /mnt/fs/server/secret.key は、データ ストアの /client/ サブディレクトリ中のクライアント VPN アプライアンスにコピーする必要があります。また、auth_path プロパティを適切な値（この場合は secret.key）に設定します。 複数のクライアント VPN アプライアンスを設定できますが、接続できるのは常に 1 つのみです。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタされた後、srv インターフェースへ転送されます。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは暗号化され、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway （または対応する IPv6 プロパティ）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway （または対応する IPv6 プロパティ）、mode、tunnel、remote_host、auth_path です。

SSH キー

このモードは、単一サーバと複数クライアントのシナリオをサポートします。複数の場所から VPN サーバへのアクセスを許可します。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 ssh トンネルを介してトンネルできるのは tcp トラフィックのみです。したがって、サーバ側では tcp_ports プロパティのみが使用されます。 ポート範囲はサポートしていません。転送するすべてのポートは、ssh_ports のクライアント側プロパティで明示的に指定する必要があります。 このモードは IPv4 と IPv6 の両方で動作します。

vpn サーバは、起動時にデフォルトの ssh キーペアを生成します。デフォルト キーは、次の場所にあります。サーバ キー（公開キー）、server/ssh-server.pub クライアント キー（秘密キー）、server/ssh-client.key。追加のキーは、security.sh スクリプトを使用して手動で生成することができます。

[VPN-1:main.VPN ~]# /appliance/security.sh generate_ssh
Generated SSH keypair.
======================
Public key should be copied to VPN server into /server/ subdirectory of data volume or fs-mounted volume.
Private key should be copied to VPN client into /client/ subdirectory of data volume or fs-mounted volume.
Path to key files should be specified in auth_path property on both VPN client and server.
Location of files:
Public key: /mnt/fs/server/ssh.11179ebbfa3f6852.pub
Private key: /mnt/fs/server/ssh.11179ebbfa3f6852.key

公開キーは VPN サーバの /server/ サブディレクトリにコピーし、秘密キーはクライアントの /client/ サブディレクトリにコピーします。 auth_path プロパティは、クライアントとサーバの両方で設定する必要があります。 auth_path がサーバ上で空の場合、デフォルトの SSH キーが使用されます。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは復号化され、ssh_ports プロパティによってフィルタされた後、srv インターフェースへ転送されます。 tcp ポート転送のみがサポートされています。 auth_path プロパティは、使用する SSH 公開キーを定義します。 アプライアンスがクライアント モードとサーバ モードの両方で動作しているとき、公開キーと秘密キーはどちらも同じ名前に命名し、/server/ および /client/ サブディレクトリに置く必要があります。 ssh_ports プロパティは同様に、サーバとクライアントの両方で設定する必要があります。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは暗号化され、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway （または対応する IPv6 プロパティ）、mode、tunnel、allowed_hosts、auth_path、tcp_ports です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、remote_host、auth_path、ssh_ports です。

重要： SSH サーバ - サーバ モードについて。 2 つの VPN アプライアンスを両方のモードで設定し、互いに接続することができます。 このモードを使用するには、以下のように特別な方法でアプライアンスを設定する必要があります。

VPN1 と VPN2 という名前の 2 つのアプライアンスがあると仮定します。1. 2 セットの公開/秘密キー ファイル（「/appliance/security.sh generate_ssh」スクリプトを使用する 1.key/1.pub、2. key/2.pub） を作成します。2. 「ssh.key」への両方のアプライアンス上の auth_path プロパティを設定します。3. 2.pub を VPN1:/mnt/data/server/ssh.key（または NAS ドライブの /server/ サブディレクトリ内の ssh.key ファイル）へコピーします（公開キーは /server/ サブディレクトリに移動します）。4. 2.key を VPN2:/mnt/data/client/ssh.key へコピーします（秘密キーは /client/ サブディレクトリに移動します）。5. 1.pub を VPN2:/mnt/data/server/ssh.key へコピーします（公開キーは /server/ サブディレクトリに移動します）。6. 1.key を VPN1:/mnt/data/client/ssh.key へコピーします（秘密キーは /client/ サブディレクトリに移動します）。

IPSec 証明書

このモードは、単一サーバと複数クライアントのシナリオをサポートします。複数の場所から VPN サーバへのアクセスを許可します。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 のみで動作します。

起動時に、必要な証明書およびキー ファイルが存在していない場合、サーバ アプライアンスがこれらのファイルを生成します。 これらのファイルは、/appliance/ ディレクトリ内で、security.sh スクリプトによって再生成することができます。 どの VPN クライアントも、設定する前にそのクライアント用の証明書を生成しておく必要があります。 ユーザは、実行されている VPN サーバ アプライアンスへログインし、以下のようにクライアント キー ペアを生成することができます。

grid> comp login VPN-1:main.VPN
CentOS release 5 (Final)

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
Generated client SSL cerfiticate and key file.
==============================================
These files, with CA certificate file, should be copied to VPN server into
データ ボリュームまたは fs マウント ボリュームの /client/ サブディレクトリにコピーされる必要があります。
Path to client files (client.829de5afcac564b3) should be specified in auth_path property.
ファイルの場所：
client certificate: /mnt/fs/server/client.829de5afcac564b3.crt
client key file: /mnt/fs/server/client.829de5afcac564b3.key
CA certificate file located at /mnt/fs/server/ca.crt

クライアント証明書およびキー ファイルは、データ ストアの /client/ サブディレクトリへのクライアント VPN アプライアンスにコピーする必要があります。また、auth_path を適切な値に設定する必要があります（この場合は client.829de5afcac564b3）。 VPN サーバ（/mnt/fs/server/ca.crt）からの CA 証明書は、クライアント アプライアンス上の /client/ サブディレクトリにコピーし、「ca.crt」と命名する必要があります。 すべてのクライアント VPN アプライアンスに、それぞれの証明書が必要です。

重要： VPN が both モードで使用される場合、例外が存在します。 この場合、クライアントとサーバのすべての証明書は、同じ VPN インスタンスによって生成し、他のインスタンスへの ca.crt 証明書と共に生成する必要があります。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタされた後、srv インターフェースへ転送されます。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは暗号化され、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、remote_host、auth_path です。

IPSec 共有秘密

このモードは、単一サーバと複数クライアントのシナリオをサポートします。複数の場所から VPN サーバへのアクセスを許可します。 データ ストアが必要です（データ ボリュームか NAS アプライアンスのいずれかが fs 端子に接続されています）。 このモードは IPv4 のみで動作します。

起動時に、サーバ アプライアンスは auth_path プロパティによって指定されるファイルの最初の行を抽出し、共有キーとして使用します。 このファイルは両方のパーティ上に存在する必要があります。 どの VPN クライアントを設定する前にも、この共有秘密ファイルを /client/ サブディレクトリ内のデータ ストアにコピーする必要があります。

サーバ VPN アプライアンスでは、外部インターフェース上で受信したトラフィックは復号化され、tcp_ports、udp_ports、aux_protocols プロパティによってフィルタされた後、srv インターフェースへ転送されます。

クライアント VPN アプライアンスでは、clt インターフェース上で受信したすべてのトラフィックは暗号化され、remote_host プロパティで指定されたリモート VPN サーバへ転送されます。

サーバ側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols です。

クライアント側で設定する必要があるプロパティは、ip_addr、netmask、gateway（または対応する IPv6 プロパティ）、mode、tunnel、remote_host、auth_path です。

典型的な使用状況

外部サービスへのリモート アクセス

以下の図は、外部サービスのリモート アクセスの設定方法の例を示しています。

この例では、グリッド A 上で実行される Web アプライアンスで、安全な VPN トンネルを介してグリッド B 上で実行されるリモート MySQL データベースにアクセスします。

グリッド A 上の vpn1 は、グリッド B 上の vpn2 に割り当てられた IP アドレスに接続するように設定されます。 vpn1 の srv 端子、および vpn2 の clt 端子は、未接続のままです。 vpn1 と vpn2 の外部インターフェースは、適切なルーティング可能 IP アドレスで設定されます。

プロパティ設定の例：

vpn1：

vpn2：

内部 CA 3Tera AppLogic アプライアンスへのリモート アクセス

以下の図は、内部 CA 3Tera AppLogic アプライアンスへのリモート アクセスの設定方法の例を示しています。

この例の場合、ユーザは、自分の PC から OpenVPN クライアントを使用し、安全な VPN 接続を通じて、異なる複数のアプライアンスにアクセスする必要があります。 OpenVPN は vpn に割り当てられた IP アドレスに接続するために使用されます。 Vpn は、ユーザの PC で VPN トンネルを確立し、アプリケーション内の 4 つの異なるアプライアンスにトラフィックを配信するように設定された sw ポート スイッチにすべての受信トラフィックを転送します。

OpenVPN は、この例で説明されているように、VPN アプライアンスを使用する CA 3Tera AppLogic アプリケーションにアクセスする前にユーザの PC にインストールする必要があります。 以下の手順では、このアプリケーションがどのように設定されるか、および安全な VPN トンネルを介してアプリケーションにアクセスするには、ユーザが何を実行する必要があるかを説明します。

1. ユーザは自分の PC に OpenVPN をインストールする必要があります。 OpenVPN は、さまざまな場所から取得できる可能性があります（Windows Vista 上では動作しない OpenVPN についてレポートされています）。 インストール後に、CA 3Tera AppLogic アプリケーションにアクセスするために、ユーザが使用する OpenVPN トンネルのプロパティを定義する個別の設定ファイルを作成する必要があります。 以下の手順では、その方法について説明します。
2. VPN アプライアンスの共有秘密操作モードを使用することを強くお勧めします。 以下のように vpn を設定します。

vpn：

3. sw アプライアンスを介して転送する必要がある目的のプロトコルおよびポートを割り当てます。 この場合は、4 つのポート（122、422、522、822）が sw に接続されたアプライアンスの ssh ポートへ転送されます。

4. アプリケーションを起動します。 アプリケーションが起動されたら、vpn アプライアンスから共有秘密ファイルを抽出します。

grid> comp ssh APPLICATION:main.VPN
vpn> cat /mnt/data/server/secret.key
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
431e845f2ca67f2a31649b20e3ba3291
...
fe991cdbfe82525a9367b9afbfd0f922
-----END OpenVPN Static key V1-----

5. 上記の secret.key の内容をユーザの PC 上の新しいファイルに貼り付けて、ファイルを保存します。 これは認証に使用される共有秘密ファイルです。

6. クライアント OpenVPN 設定ファイルを準備します。 以下の行をユーザの PC 上の新しいファイルにコピーします（手順 5 とは異なるファイル）。

dev tun
proto udp
resolv-retry infinite
persist-key
persist-tun
cipher AES-128-CBC
comp-lzo
keepalive 10 120
remote 11.22.33.44 1194
secret "C:¥¥Program Files¥¥OpenVPN¥¥sample-config¥¥secret.key"
nobind
ifconfig 169.254.215.101 169.254.215.102

ifconfig 行内の IP アドレスは、a) 169.254.0.0/16 ネットワーク ブロックに基づいている、b) 同じ /30 サブネットにある、および c) /30 サブネット内の最初または最後のアドレスでない限り、任意に指定できます。 B および C は、Windows プラットフォーム上で実行される OpenVPN クライアントの制限です。

7. リモート IP アドレスを vpn アプライアンスに割り当てられる IP アドレスに置き換えます。 秘密行内の共有秘密ファイルへのパスを、手順 5 で作成したキー ファイルへのパスに置き換えます。 OpenVPN がインストールされたユーザ PC 上で Microsoft Windows オペレーティング システムを使用している場合は、すべての行を引用符で囲み、すべてのスラッシュをダブルスラッシュに置き換えます。

8. 以下のように OpenVPN クライアントを起動します。

c:¥program files¥OpenVPN¥bin¥openvpn.exe --config "c:¥client.ovpn"

注：「c:¥client.ovpn」を手順 6 で作成した設定ファイルへのパスに置き換えてください。

9. 数秒後、OpenVPN から以下のメッセージが表示されます。

Wed Jul 01 09:41:12 2009 Peer Connection Initiated with XX.XX.XX.XX:1194
Wed Jul 01 09:41:12 2009 Initialization Sequence Completed

これで、設定ファイル（ここでは 169.254.215.102）内に定義された IP アドレスを使用して、CA 3Tera AppLogic アプリケーションのアプライアンスにアクセスできます。 ポート 169.254.215.102:122 はソフトウェアによって srv1 アプライアンスのポート 22 に転送されます。同様に、ポート 169.254.215.102:422 は srv4 アプライアンスへ転送されます。 たとえば、

ssh -p 122 root@169.254.215.102
を実行して、最初のアプライアンスにアクセスします。

MySQL レプリケーション用の安全な VPN トンネルの提供

以下の図は、ユーザが MySQL レプリケーション用の安全な VPN トンネルを提供する方法の一例を示します。

この例では、グリッド A およびグリッド B の異なるグリッド上で 2 つのアプリケーションが実行されています。どちらのアプリケーションも、安全な VPN トンネルを介してレプリケートされるものと同じ MySQL データベースを使用します。

vpn1 と vpn2 は、外部インターフェース上のルーティング可能な IP アドレスで設定されます。 vpn1 は vpn2 へのトンネルを確立するように設定され、vpn2 は vpn1 へのトンネルを確立するように設定されます。

グリッド A からの db1 は、レプリケーションのために vpn1 へトラフィックを送信します。そこでトラフィックは暗号化されて vpn2 に転送された後、復号化されてグリッド B 上の db2 のリング ターミナルへ送信されます。 グリッド B 上の db2 からグリッド A 上の db1 へのレプリケーションも、同じ仕組みで動作します。

vpn1：

vpn2：

または、IPSec 共有秘密モードを使用してもかまいません。
vpn1：

vpn2：

MySQL レプリケーション用の安全な IPv6 VPN トンネルの提供

以下の図は、ユーザが MySQL レプリケーション用の安全な IPv6 VPN トンネルを提供する方法の一例を示しています。

ここでは、前の例から同じ 2 つの適用例を使用しますが、IPv6 ネットワーク上で実行される点が異なります。

vpn1 と vpn2 は、外部インターフェース上のルーティング可能な IP アドレスで設定されます。 vpn1 は vpn2 へのトンネルを確立するように設定され、vpn2 は vpn1 へのトンネルを確立するように設定されます。

グリッド A からの db1 は、レプリケーションのために vpn1 へトラフィックを送信します。そこでトラフィックは暗号化されて vpn2 に転送された後、復号化されてグリッド B 上の db2 のリング ターミナルへ送信されます。 グリッド B 上の db2 からグリッド A 上の db1 へのレプリケーションも、同じ仕組みで動作します。

vpn1：

vpn2：

注

VPN アプライアンスによって提供される安全な VPN トンネルにアクセスするには、クライアントのマシン上で OpenVPN を使用する必要があります。

アプライアンスの内部で使用されるサードパーティ オープンソース ソフトウェア

VPN では、そのベース クラス LUX5 によって使用されるサードパーティのオープン ソース パッケージに加えて、以下のサードパーティ オープン ソース パッケージを使用します。