複数のネットワークから1つのVPCにサイト間接続したい

[dataX]

MerakiとAWSのサイト間VPNについて困っており、質問させてください。

■実現したいこと

1つのオーガナイゼーションの中に、2つネットワークがあり、

その2つのネットワークから1つのaws VPCに対してサイト間VPN接続を実施したい。

awsにはファイルサーバーを構築しており、

2つのネットワークから構築したファイルサーバーにアクセスできるようにしたい。

■現状

2つのネットワーク間はAutoVPN接続されており、1つはハブ、1つはスポークです。

すでにスポークのネットワークとaws間はサイト間VPN接続が完了しております。

ハブのネットワークとaws間でサイト間VPNを設定すると、競合してしまっているのか、ハブ・スポークのどちらからもawsにアクセスができなくなる。

■確認したいこと 2つのネットワークからサイト間VPNで1つのVPCにアクセスするための方法を教えてください。

[TatsuyaN]

構成情報やAWS 側の仕様などが不明瞭ですが、以下の記事で紹介されているように通常のNon-meraki VPN では、1つの接続先が、複数のダッシュボードネットワークのMX とNon-meraki VPN の直接接続することはサポートされている構成と考えられます。
※Non-meraki 拠点を中継してAuto VPN 拠点間の通信はできません。

https://community.meraki.com/t5/Meraki-サポートの記事/Meraki-Auto-VPN-Mesh構成-とNon-Meraki-VPNを併用時の動作/ba-p/25...

Hub を設定した後で通信が不可となる状況ですが、その際にHub およびSpoke MX では、Non-meraki Tunnel 接続は確立されておりますでしょうか。

Non-meraki VPN のStatus に関しても、Auto VPN と同様にSecurity & SD-WAN > VPN Status ページよりご確認いただくことが可能となります。

もし、接続に問題がある場合は、以下の記事も参考に切り分けを実施いただくことが推奨されます。

https://documentation.meraki.com/MX/Site-to-site_VPN/Troubleshooting_Non-Meraki_Site-to-site_VPN_Pee...

また、解決されない場合は、以下の記事を参考にMeraki サポートへケースを開くことをお勧めいたします。

https://documentation.meraki.com/General_Administration/Support/Ways_to_Contact_Meraki_Support

[dataX]

ご回答いただきありがとうございます。

いただいた内容を踏まえて、情報を補足させていただき、

疑問点をお伺いさせていただきたく存じます。

■情報の補足

構成情報が不明瞭で申し訳ございません。

構成は、以下のサイトでいうパターン2,3に該当いたします。

https://community.meraki.com/t5/Meraki-サポートの記事/Meraki-Auto-VPN-Mesh構成-とNon-Meraki-VPNを併用時の動作/ba-p/25...

また、aws側の仕様としては、site to site VPNにて設定しており、

IKEv1の設定ファイルをawsからダウンロードしてMerakiに設定いたしました。

当方の場合は、拠点A（Spoke）と拠点B（Hub）の2拠点があり、

各拠点からNonMeraki Peerに接続したいと考えております。

※NonMeraki Peerを経由して、AとBの通信ができる必要はございません。

現状、拠点A（スポーク）からしか接続できない状況となっております。

また、拠点AとBにおいては、BGP・OSPFは無効となっております。

＞Hub を設定した後で通信が不可となる状況ですが、その際にHub およびSpoke MX では、Non-meraki Tunnel 接続は確立されておりますでしょうか。

上記につきましては、Security & SD-WAN > VPN Status ページからステータスを確認したところ、

以下のステータスとなっておりました。

Hub：ダウン

Spoke：アップ

■お伺いしたいこと

結論、2つのネットワークから1つのNonMeraki Peerに対して

VPN接続を構築することは可能という認識でよろしいでしょうか。

また、その際は1つのネットワークにNonMeraki Peerに対するサイト間VPNの設定をすれば

オーガナイゼーション全体に適用され、ハブ・スポークのどちらからも

NonMeraki Peerに接続できるようになる認識でよろしいでしょうか。

[TatsuyaN]

■お伺いしたいこと

結論、2つのネットワークから1つのNonMeraki Peerに対して

VPN接続を構築することは可能という認識でよろしいでしょうか。

→ はい、可能と考えております。

弊社環境にて、以下のような構成でVPN が構築でき、Test1,2 からTest3 のセグメント宛の通信も可能でした。

また、その際は1つのネットワークにNonMeraki Peerに対するサイト間VPNの設定をすれば

オーガナイゼーション全体に適用され、ハブ・スポークのどちらからも

NonMeraki Peerに接続できるようになる認識でよろしいでしょうか。

→ Security & SD-WAN > Site-to-site VPN > IPsec VPN Peers に間しては、Organization 単位で管理されます。

ピアに対して「すべてのネットワーク」を選択した場合、組織内のすべてのMX-Zアプライアンスがそのピアに接続します。

詳細は以下をご参照ください。

https://documentation.meraki.com/MX/Site-to-site_VPN/Site-to-Site_VPN_Settings#Peer_Availability

以下のステータスとなっておりました。

Hub：ダウン

Spoke：アップ

→ 上記の状態の場合は、Non-meraki VPN 先に対して疎通が失敗することは考えられます。

AWS 側の仕様などでVPN 同時接続数などに該当していないのか確認するなどがよろしいかと存じます。

また、Meraki 側でのより詳細なトラブルシュートを可能とするため、ケースでのお問い合わせをいただくことが推奨されます。

[dataX]

お返事いただきありがとうございます。

＞弊社環境にて、以下のような構成でVPN が構築でき、Test1,2 からTest3 のセグメント宛の通信も可能でした。

ご確認いただきありがとうございます。実現可能であること、承知いたしました。

＞AWS 側の仕様などでVPN 同時接続数などに該当していないのか確認するなどがよろしいかと存じます。

こちらについてもありがとうございます。確認いたします。

＞また、Meraki 側でのより詳細なトラブルシュートを可能とするため、ケースでのお問い合わせをいただくことが推奨されます。

承知いたしました。

本件と並行で既に起票させていただいており、以下のケースにてご対応いただいております。

Case 13258848

引き続きよろしくお願いいたします。

[TatsuyaN]

既にケースオープン済みなこと承知しました。

また、もしAWS における、Site-to-site vpn をご利用の場合は、複数の接続は許容されているように見られました。

https://docs.aws.amazon.com/ja_jp/vpn/latest/s2svpn/Examples.html#MultipleVPN

また、外部リンク先、少し古い情報にはなりますが、AWS Site-to-site vpn のAWS 側の通信経路の設定が不十分な際に片方の拠点からの通信に影響がある場合があるようでした。

こちらもご参考までにお送りいたします。

https://dev.classmethod.jp/articles/yamaha-vpn-troubleshoot/