必要に応じて、Cloud APIC で VNet ピアリングを有効にします。

VPN ゲートウェイ サブネットの 2 番目のサブネットを追加します。

1. Cloud APIC GUI で、インテント アイコン（）をクリックし、[クラウド APIC のセットアップ（Cloud APIC Setup）] を選択します。

2. [リージョン管理（Region Management）] エリアで、[設定の編集（Edit Configuration）] をクリックします。

3. [管理するリージョン（Regions to Manage）] ウィンドウで、[次へ（Next）] をクリックします。

   [一般接続（General Connectivity）] ウィンドウが表示されます。

4. [全般（General）] エリアの [クラウド ルータのサブネット プール（Subnet Pools for Cloud Routers）] フィールドで、[クラウド ルータのサブネット プールの追加（Add Subnet Pool for Cloud Routers）] をクリックします。

5. VPN ゲートウェイ ルータの 2 番目のサブネットの情報を入力します。

   たとえば、VPN ゲートウェイ（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドの VPN ゲートウェイ ルータの 2 番目のサブネットに 10.80.1.0/24 を追加します。

6. [次へ（Next）] をクリックし、次のページに必要な情報を入力して、[保存して続行（Save and Continue）] をクリックします。

   [Cloud APIC セットアップ（Cloud APIC Setup）] プロセスが完了すると、Cloud APIC によって VPN ゲートウェイ ルータのサブネットが作成されます。VPN ゲートウェイ ルータのサブネットの構成が Azure に正常にプッシュされたことを確認するには、Azure ポータルの [サブネット（Subnets）] ページに移動し、[GatewaySubnet] エントリを見つけます。

インフラでホストされる VRF を作成し、その VRF をサイト外部 EPG に使用します。

1. Cloud APIC GUI で [アプリケーション管理（Application Management）] > > [VRFs] に移動します。

2. [アクション（Actions）] > [VRF の作成（Create VRF）] をクリックします。

   [VRF の作成（Create VRF）] ウィンドウが表示されます。

3. このインフラでホストされる VRF の名前を入力し、[テナントの選択（Select Tenant）] をクリックし、テナントの [インフラ（infra）] を選択して [選択（Select）] をクリックします。

4. 必要に応じて説明を入力し、[保存（Save）] をクリックします。

非 ACI リモートサイトのネットワークを表すハブ VNet に外部 EPG を作成します。

Azure portal を介して、ステップ 2 で構成した VPN ゲートウェイ サブネットのインフラ VNet に仮想ネットワーク ゲートウェイを作成します。

1. Azure portal で、仮想ネットワーク ゲートウェイを作成するリソース マネージャ仮想ネットワークに移動して、仮想ネットワーク ゲートウェイを作成します。

2. 左側で、[リソースの作成（Create a resource）] を選択し、検索にVirtual Network Gateway と入力します。

3. 検索結果で [仮想ネットワーク ゲートウェイ（Virtual network gateway）] を見つけて、エントリをクリックします。

4. [仮想ネットワーク ゲートウェイ（Virtual network gateway）] ページで、[作成（Create）] を選択します。

5. [仮想ネットワーク ゲートウェイの作成（Create virtual network gateway）] ページで、次のフィールドに適切な情報を入力します。

   • サブスクリプション：適切なサブスクリプションが選択されていることを確認します。

   • リソースグループ：仮想ネットワークを選択すると、リソース グループが自動的に選択されます。

   • 名前：仮想ネットワーク ゲートウェイの名前。

   • リージョン：仮想ネットワークが配置されている場所を指すように [リージョン（Region）] フィールドを変更します。場所が仮想ネットワークのあるリージョンを指していない場合、仮想ネットワークは [仮想ネットワークの選択（Choose a virtual network）] ドロップダウンに表示されません。

   • ゲートウェイ タイプ：[VPN] を選択します。

   • VPN タイプ：[Route-based] を選択します。

   • SKU：[VpnGw1] を選択します。

   • 世代：[Generation1] を選択します。

   • 仮想ネットワーク：[overlay-1] を選択します。

   • パブリック IP アドレス：[新規作成（Create new）] を選択します。

   • パブリック IP アドレス名：パブリック IP アドレスの名前を指定します。

   • active-active モードを有効にする：[無効（Disabled）] に設定します。

   • BGP の構成：[有効（Enabled）] に設定します。

   • 自律システム番号（ASN）：VPN ゲートウェイの適切な BGP ASN 値を入力します。デフォルトでは、Azure は 65515 の ASN 値を使用します。

6. [確認 + 作成（Review + Create）] を選択し、[作成（Create）] でゲートウェイの作成を開始します。

   設定が確認され、ゲートウェイが展開します。仮想ネットワーク ゲートウェイの作成は、完了するまでに最長 45 分かかることがあります。

   仮想ネットワーク ゲートウェイが正常に展開されたことを確認するには、[仮想ネットワーク ゲートウェイ（virtual network gateway）] ページに移動して、作成したばかりの仮想ネットワーク ゲートウェイを選択し、[設定：構成（Settings: Configuration）] をクリックして、仮想ネットワーク ゲートウェイの構成設定を表示および確認します。

ローカル ネットワーク ゲートウェイを作成します。

1. Azure portal で、ローカル ネットワーク ゲートウェイを作成する Resource Manager ローカル ネットワークに移動して、ローカル ネットワーク ゲートウェイを作成します。

2. 左側で [リソースの作成（Create a resource）] を選択し、検索に「Local Network Gateway」と入力します。

3. 検索結果で [ローカル ネットワーク ゲートウェイ] を見つけて、エントリをクリックします。

4. [ローカル ネットワーク ゲートウェイ（Local network gateway）] ページで、[作成（Create）] を選択します。

5. [ローカル ネットワーク ゲートウェイの作成（Create local network gateway）] ページで、次のフィールドに適切な情報を入力します。

   • 名前： ローカル ネットワーク ゲートウェイの名前。

   • エンドポイント：[IP アドレス（IP address）] を選択します。

   • IP アドレス：ローカル ネットワーク ゲートウェイの適切な IP アドレスを入力します。

   • アドレス空間 : アドレス空間に適切な値を入力します。たとえば、VPN ゲートウェイ（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 192.168.0.0/16 を追加します。

   • BGP 設定の構成：この設定を有効にするには、チェックボックスをクリックします。

   • 自律システム番号（ASN）： ローカル ネットワーク ゲートウェイの適切な BGP ASN 値を入力します。これは、リモート デバイスの ASN 値です。たとえば、VPN ゲートウェイ（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 65150 を追加します。

   • BGP ピア IP アドレス：このフィールドには、オンプレミス デバイスに使用する BGP ピア IP アドレスを入力します（Azure 仮想ネットワーク ゲートウェイではありません）。たとえば、VPN ゲートウェイ（仮想ネットワーク ゲートウェイ）を使用した接続の構成 の構成例を使用して、このフィールドに 196.254.0.8 を追加します。

   • サブスクリプション：ステップ 5の仮想ネットワーク ゲートウェイに使用したものと同じサブスクリプションを選択します。

   • リソース グループ：ステップ 5 の仮想ネットワーク ゲートウェイに使用したのと同じリソース グループを選択します。

   • 場所：ステップ 5 の仮想ネットワーク ゲートウェイに使用したのと同じ場所（リージョン）を選択します。

6. [確認 + 作成（Review + Create）] を選択し、[作成（Create）] でゲートウェイの作成を開始します。

   設定が確認され、ゲートウェイが展開します。

   ローカル ネットワーク ゲートウェイが正常に展開されたことを確認するには、[ローカル ネットワーク ゲートウェイ（local network gateway）] ページに移動して、作成したばかりのローカル ネットワーク ゲートウェイを選択し、[設定：構成（Settings: Configuration）] をクリックして、ローカル ネットワーク ゲートウェイの構成設定を表示および確認します。

Azure 仮想ネットワーク ゲートウェイからローカル ネットワーク ゲートウェイ（オンプレミスの IPsec デバイス）への VPN 接続を作成します。

1. Azure ポータルで、仮想ネットワーク ゲートウェイのページに移動し、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを見つけます。

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定：接続（Settings: Connections）] をクリックします。

3. [追加（Add）] をクリックします。

   [接続の追加（Add connection）] ウィンドウが開きます。

4. この VPN 接続を Azure 仮想ネットワーク ゲートウェイからローカル ネットワーク ゲートウェイ（オンプレミスの IPsec デバイス）に追加するために必要な情報を入力します。

   • [接続タイプ（Connection type）] フィールドで、[サイト間（IPsec）（Site-to-site (IPsec)）] を選択します。

   • [仮想ネットワーク ゲートウェイ（Virtual network gateway）] フィールドで、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを選択します。

   • [ローカル ネットワーク ゲートウェイ（Local network gateway）] フィールドで、ステップ 6 で作成したローカル ネットワーク ゲートウェイを選択します。

   • [BGP を有効にする（Enable BGP）] フィールドでチェックボックスをクリックして、この接続の BGP を有効にします。

   • [IKE プロトコル（IKE Protocol）] フィールドで、[IKEv2] を選択します。

5. この VPN 接続の構成情報の入力が完了したら、[OK] をクリックします。

Azure から VPN 構成テンプレートをダウンロードします。

1. Azure ポータルで、仮想ネットワーク ゲートウェイのページに移動し、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを見つけます。

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定：接続（Settings: Connections）] をクリックします。

3. 構成した VPN 接続の名前を選択します。

   VPN 接続の概要ページが表示されます。

4. [ダウンロード構成（Download configuration）] をクリックします。

   [ダウンロード構成（Download configuration）] ページが表示されます。

5. [ダウンロード構成（Download configuration）] ページで次の選択を行います。

   • [デバイス ベンダー（Device vendor）] フィールドで、[Cisco] を選択します。

   • [デバイス ファミリ（Device family）] フィールドで、[IOS（ISR, ASR）] を選択します。

   • [ファームウェア バージョン（Firmware version）] フィールドで、[15.x (IKEv2)] を選択します。

6. [ダウンロード構成（Download configuration）] をクリックします。

ダウンロードした構成テンプレート ファイルをテキスト エディタで開き、構成テンプレートの指示に従って必要な編集を行います。

編集した構成テンプレートを保存して閉じます。

編集した構成テンプレートをオンプレミスの IPsec デバイスに適用します。

access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.0.0 0.0.0.127
access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.0.128 0.0.0.127
access-list 101 permit ip 192.168.0.0 0.0.255.255 10.80.1.0 0.0.0.127
access-list 101 permit esp host 52.152.235.192 host 173.39.125.130
access-list 101 permit udp host 52.152.235.192 eq isakmp host 173.39.125.130
access-list 101 permit udp host 52.152.235.192 eq non500-isakmp host 173.39.125.130
!
crypto ikev2 proposal Azure-Ikev2-Proposal
  encryption aes-cbc-256
  integrity sha1
  group 2
  exit
!
crypto ikev2 policy Azure-Ikev2-Policy
  proposal Azure-Ikev2-Proposal
  match address local 173.39.125.130
  exit
! 
crypto ikev2 keyring singaporeisr-keyring
  peer 52.152.235.192
    address 52.152.235.192
    pre-shared-key 0123456789cisco
    exit
  exit

crypto ikev2 profile Azure-Ikev2-Profile
  match address local 173.39.125.130
  match identity remote address 52.152.235.192 255.255.255.255
  authentication remote pre-share
  authentication local pre-share
  lifetime 28800       
  dpd 10 5 on-demand
  keyring local singaporeisr-keyring
  exit
!
crypto ipsec transform-set Azure-TransformSet esp-aes 256 esp-sha256-hmac
  mode tunnel
  exit
!
crypto ipsec profile Azure-IPsecProfile
  set transform-set Azure-TransformSet
  set ikev2-profile Azure-Ikev2-Profile
  set security-association lifetime seconds 3600
  ! Note: PFS (perfect-forward-secrecy) is an optional feature (commented out)
  !set pfs None
  exit
!
int tunnel 11
  ip address 169.254.0.1 255.255.255.255
  tunnel mode ipsec ipv4
  ip tcp adjust-mss 1350
  tunnel source 173.39.125.130
  tunnel destination 52.152.235.192
  tunnel protection ipsec profile Azure-IPsecProfile
  exit

interface Loopback 11
  ip address 196.254.0.8 255.255.255.255
  exit
!
router bgp 65150
  bgp log-neighbor-changes
  neighbor 10.80.1.30 remote-as 65515
  neighbor 10.80.1.30 ebgp-multihop 255
  neighbor 10.80.1.30 update-source loopback 11

  address-family ipv4
    network 192.168.0.0 mask 255.255.0.0 
    neighbor 10.80.1.30 activate    
    exit
  exit
!
ip route 10.80.0.0 255.255.255.128 Tunnel 11
ip route 10.80.0.128 255.255.255.128 Tunnel 11
ip route 10.80.1.0 255.255.255.128 Tunnel 11
ip route 10.80.1.30 255.255.255.255 Tunnel 11

VPN 接続を確認します。

1. Azure ポータルで、仮想ネットワーク ゲートウェイのページに移動し、ステップ 5 で作成した Azure 仮想ネットワーク ゲートウェイを見つけます。

2. 作成した仮想ネットワーク ゲートウェイを選択し、[設定：接続（Settings: Connections）] をクリックします。

3. 作成した VPN 接続が [ステータス（Status）] 列に [接続済み（Connected）] と表示されていることを確認します。

リダイレクトを使用して仮想ネットワーク ゲートウェイを展開するかどうかを決定します。

クラウド EPG と、仮想ネットワーク ゲートウェイによって接続された外部 EPG との間のコントラクトを構成します。