正解: IPsec / IKE policy を Custom に設定する。
ルート ベース VPN ゲートウェイからポリシー ベース VPN デバイスへ接続するには、カスタム IPsec/IKE ポリシーと組み合わせてポリシー ベース トラフィック セレクター (UsePolicyBasedTrafficSelectors) を有効にする必要があります。
解説: ポリシー ベース VPN デバイスは、両端のプレフィックスの組み合わせ (具体的なトラフィック セレクター) を用いて IPsec トンネルの暗号化対象を定義します。一方、ルート ベース VPN ゲートウェイは既定でワイルドカード (0.0.0.0/0) のトラフィック セレクターを使用するため、そのままではポリシー ベース デバイスとの IKE フェーズ 2 ネゴシエーションが成立しません。Azure のルート ベース VPN ゲートウェイでポリシー ベース デバイスと相互運用するには、接続オブジェクトで「Use policy based traffic selector = Enable」とするだけでなく、カスタム IPsec/IKE ポリシー (IKE および IPsec の暗号化/整合性アルゴリズム、DH/PFS グループ、SA ライフタイムを完全指定) を割り当てる必要があります。提示の構成では Use policy based traffic selector が Enable になっているものの、IPsec / IKE policy が Default のままであるため、接続を作成する前に Custom へ変更しカスタム ポリシーを定義する必要があります。
各選択肢の検討:
- Connection Mode を ResponderOnly に設定する。: Connection Mode は IKE ネゴシエーションのイニシエーター/レスポンダーを制御する設定であり、ポリシー ベース デバイスとの相互運用要件とは関係ありません。
- BGP を Enabled に設定する。: BGP は動的ルーティング用であり、ポリシー ベース VPN は静的セレクターのみを扱うため BGP は使用できません。むしろ有効化は要件と矛盾します。
- Use Azure Private IP Address を Enabled に設定する。: これは ExpressRoute プライベート ピアリング経由でゲートウェイのプライベート IP を VPN エンドポイントとして使う機能で、ポリシー ベース デバイスとのトラフィック セレクター不整合の解消には寄与しません。
- IPsec / IKE policy を Custom に設定する。: カスタム ポリシーを指定することで、ポリシー ベース トラフィック セレクターを伴う接続を作成でき、ポリシー ベース デバイスとの相互運用が成立します。
参考: Microsoft Learnオンプレミスのポリシー ベースの複数の VPN デバイスに VPN ゲートウェイを接続する