IPsec は UP なのに BGP が DOWN だった話

サーカスLT会 #2 @富山

Transcript

1. サーカスLT会 #2 @富山 IPsecはUPなのに BGPがDOWNだった話 AWS Site-to-Site VPN / FortiGate 2026.09.25
2. 自己紹介 北島 海叶 @kaiton 株式会社石川コンピュータ・センター 社会人 3年目 21歳 2026 Japan AWS Jr.Champions 2026 Japan All AWS Certifications Engineers 情報処理安全確保支援士 第031611号 @kaiton5tech @kaiton-ton
3. 何が起きた？ IPsec UP IPSEC IS UP BGP DOWN Active のまま（Established にならない） 学習経路 0
4. 原因その1 気づいたきっかけ 169.254 への ping ✗ → Phase2 が具体 CIDR
5. 直したのに直らない やったこと FortiGate 側のセレクタを 0.0.0.0/0 に変更 sniffer で BGP（TCP 179）を見た結果 BGP は Active のまま
6. 原因その2 Before 片側だけ 0.0.0.0/0 After 両側を 0.0.0.0/0 にそろえる FortiGate 0.0.0.0/0 ＋ 古いプロキシ ID AWS modify-vpn-connection-options AWS 具体 CIDR のまま FortiGate diagnose vpn ike gateway flush name <名前> → 不一致 → BGP Established
7. なぜ 0.0.0.0/0 でも安全か ① トラフィックセレクタ トンネルに乗せる範囲 ← ここを 0.0.0.0/0 にした ② ルーティング 実際にどこへ流れるか BGP の経路広告 ③ アクセス制御 誰が何に通信してよいか SG / NACL / FW 暗号の強さ アルゴリズム（AES・SHA など）で決まる ↓ ↓ セレクタを広げても変わらない
8. 「UP」は、通っている証拠じゃない 1 トンネルの状態を見る IPsec は UP、BGP は Active 2 トンネルに流れているか ping・sniffer 3 両側の設定がそろっているか セレクタ（Phase2）
9. ご清聴ありがとうございました 詳しくは Qiita へ BGPのSite-to-Site VPNでトラフィックセレクタを 0.0.0.0/0にするのはなぜ正しいのか qiita.com/kaiton-ton/items/e06c247e53d6dde79173