本トピックでは、VPC ファイアウォールをデフォルトのアクティブ/アクティブアーキテクチャから、指定したアクティブ/スタンバイアーキテクチャに移行する方法について説明します。この移行により、アベイラビリティゾーン間のトラフィッククロッシングによる遅延が削減されます。
利用シーン
シンガポールリージョンで VPC ファイアウォールを作成し、プライマリおよびセカンダリアベイラビリティゾーンに デフォルト (自動割り当て) オプションを選択したとします。
デフォルトでは、VPC ファイアウォールはディザスタリカバリのためにアクティブ/アクティブアーキテクチャを使用します。このアーキテクチャでは、Cloud Firewall クラスターは近接性に基づいてトラフィックを転送するのではなく、2 つのアベイラビリティゾーン間でトラフィックをランダムにロードバランシングします。
この問題に対処するため、VPC ファイアウォールはアクティブ/スタンバイアーキテクチャをサポートしています。このアーキテクチャは、プライマリゾーンでのトラフィック処理を優先し、セカンダリゾーンはディザスタリカバリのフェールオーバーにのみ使用します。
アクティブ/アクティブアーキテクチャを使用する VPC ファイアウォールをご利用の場合は、本トピックの手順に従ってアクティブ/スタンバイアーキテクチャに移行してください。
|
移行前 |
移行後 |
|
|
|
注意事項
-
移行するには、指定したリージョン内の VPC ファイアウォールを無効化、削除してから、再作成する必要があります。既存のアクセス制御ポリシーは、このプロセス中に保持されます。
-
CEN (Basic Edition) の場合、VPC ファイアウォールのトラフィックリダイレクションを有効または無効にすると、数秒間ルーティングが短時間中断されます。
CEN (Enterprise Edition) の場合、このプロセスでルーティングの中断は発生しません。
このプロセス中に一方向のトラフィックがブロックされるのを防ぐには、ANY トラフィックに対して優先度の高い許可ポリシーを設定してください。詳細については、「VPC ファイアウォールのアクセス制御ポリシーの設定」をご参照ください。
-
開始する前に、既存の VPC ファイアウォールの VPC および vSwitch の CIDR ブロックを記録しておいてください。この情報は、ファイアウォールを再作成する際に必要になります。
-
アクティブ/スタンバイアーキテクチャでは、プライマリとセカンダリのアベイラビリティゾーン間に依存関係が存在します。選択可能なアベイラビリティゾーンは、コンソールで利用可能なオプションに限定されます。
CEN (Basic Edition) のアクティブ/スタンバイアーキテクチャへの移行
特定のリージョンにある CEN (Basic Edition) インスタンスの VPC ファイアウォールをアクティブ/アクティブアーキテクチャからアクティブ/スタンバイアーキテクチャに移行するには、まずそのリージョン内の CEN インスタンスに関連付けられているすべての VPC ファイアウォールを無効化して削除し、その後再作成する必要があります。
ステップ 1： VPC ファイアウォールの無効化と削除
-
Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、スイッチ をクリックします。
-
タブで、一括無効化 をクリックします。
-
一括無効化 ダイアログボックスで、CEN インスタンス と リージョン を選択し、次に OK をクリックします。
-
ファイアウォールを無効にした後、指定されたリージョンでアセットを見つけ、操作 列の 削除 をクリックして、そのリージョン内のすべての VPC ファイアウォールを削除します。
ステップ 2： VPC ファイアウォールの作成
-
指定したリージョンの CEN インスタンスの 操作 列で、作成する をクリックします。
-
ファイアウォールの作成 パネルで、[ワンクリックチェック] をクリックします。
Basic Edition トランジットルーターでは、診断チェックを実行して、VPC ファイアウォールを有効化できることを確認できます。チェックが完了すると、診断の有効化 ウィザードで結果を確認できます。このプロセスに精通している場合は、このチェックをスキップして、ファイアウォールを直接作成できます。診断が失敗した場合は、詳細については「Cloud Firewall の有効化に失敗する原因と解決策」をご参照ください。
-
ファイアウォール VPC の CIDR ブロック、プライマリおよびセカンダリアベイラビリティゾーン、ビジネス VPC の vSwitch インスタンスとアベイラビリティゾーン、侵入防止設定などのパラメーターを設定します。
重要-
アクティブ/スタンバイアーキテクチャを有効にするには、[ファイアウォール VPC 設定] セクションの [プライマリおよびセカンダリアベイラビリティゾーン] をご利用のビジネスのアベイラビリティゾーンに設定します。ただし、[ビジネス VPC の vSwitch] のアベイラビリティゾーンがプライマリゾーンと異なる場合、トラフィックの遅延が発生する可能性があります。
ご利用のビジネスが遅延の影響を受けやすい場合は、[ファイアウォール VPC 設定] セクションのプライマリゾーンと、[ビジネス VPC の vSwitch] のアベイラビリティゾーンの両方を、ご利用のビジネスのプライマリアベイラビリティゾーンに設定してください。これにより、遅延を最小限に抑えることができます。
-
侵入防止設定は、同じ CEN インスタンス内のすべてのネットワークインスタンスに適用されます。
-
-
作成を始める をクリックして、VPC ファイアウォールを作成します。
-
ファイアウォールが作成されたら、CEN インスタンス内の他のビジネス VPC についてもこれらの手順を繰り返し、それらの vSwitch のアベイラビリティゾーンがファイアウォールのプライマリアベイラビリティゾーンと一致するようにします。
-
リージョン内のすべての VPC の設定が完了したら、ファイアウォールスイッチ 列ですべての VPC のファイアウォールを有効にします。
CEN (Enterprise Edition) のアクティブ/スタンバイアーキテクチャへの移行
CEN (Enterprise Edition) インスタンスの VPC ファイアウォールをアクティブ/アクティブアーキテクチャからアクティブ/スタンバイアーキテクチャに移行するには、まずリージョンのトラフィックリダイレクションシナリオを削除し、VPC ファイアウォールを削除して再作成してから、元のトラフィックリダイレクションシナリオを復元する必要があります。
ステップ 1： トラフィックリダイレクションシナリオの無効化と削除
-
Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、スイッチ をクリックします。
-
タブで、対象リージョンの VPC ファイアウォールを探し、操作 列の 詳細 をクリックします。
-
タブで、スイッチをオフにします。
-
リダイレクトシナリオを無効化する ダイアログボックスで、ルーティングのロールバック を選択し、OK をクリックします。
シナリオが無効化されている間は、ファイアウォールのタスク タブでタスクの進捗状況を確認できます。
-
シナリオが無効になった後、削除 をクリックして削除します。次に、VPC ファイアウォールの詳細 パネルを閉じます。
ステップ 2： VPC ファイアウォールの削除
-
指定されたリージョンの CEN インスタンスを見つけ、操作 列で 削除 をクリックします。
-
削除 ダイアログボックスで、OK をクリックしてファイアウォールインスタンスを削除します。
ステップ 3： ファイアウォールの作成とトラフィックリダイレクションの設定
-
指定されたリージョンの CEN インスタンスを探し、操作 列の 作成する をクリックします。
-
ファイアウォールの作成 パネルで、自動リダイレクトモード を選択し、ワンクリック診断の開始 をクリックします。
Enterprise Edition トランジットルーターでは、診断チェックを実行して VPC ファイアウォールを有効化できるかどうかを検証できます。チェックが完了すると、作成前チェック ウィザードで結果を確認できます。このプロセスをよくご存知の場合は、スキップして直接作成 をクリックします。診断に失敗した場合は、詳細については「Cloud Firewall の有効化が失敗する原因と解決策」をご参照ください。
-
ファイアウォール VPC の CIDR ブロック、プライマリおよびセカンダリアベイラビリティゾーン、侵入防止設定などのパラメーターを設定します。
重要-
ご利用のビジネスが遅延の影響を受けやすい場合は、遅延を削減するために、プライマリおよびセカンダリゾーンとしてご利用のビジネスの実際のアベイラビリティゾーンを選択してください。
-
侵入防止設定は、同じ CEN インスタンス内のすべてのネットワークインスタンスに適用されます。
ファイアウォール VPC には、既存のネットワークプランと重複しない、少なくとも /27 の CIDR ブロックを入力する必要があります。システムは、この CIDR ブロックを使用して、ファイアウォールの作成に必要な vSwitch を割り当てます。
-
-
VPC ファイアウォールが作成されたら、次へ をクリックして、トラフィックのリダイレクトシナリオを再設定します。
-
次へ をクリックして構成を完了し、VPC ファイアウォールを自動的に有効にします。