Cloud Firewall:CEN トランジットルーターを使用して接続された VPC 間のトラフィックを保護する

適用範囲

Cloud Firewall は、CEN トランジットルーターを使用して接続されているネットワークインスタンス間のトラフィックを保護できます。ネットワークインスタンスは、VPC、VBR、クラウド相互接続ネットワーク (CCN) インスタンス、VPN ゲートウェイです。

VPC ファイアウォールを使用して同一リージョン内の VPC 間のトラフィックを保護したい場合は、このトピックの手順に従ってください。

ステップ 2: 作成した VPC をトランジットルーターに接続する

このステップでは、作成した FW VPC という名前の VPC と Enterprise Edition のトランジットルーター間の接続を確立します。

1. CEN コンソールにログインします。

2. [インスタンス] ページで、トラフィックを VPC ファイアウォールにリダイレクトする CEN インスタンスを見つけ、インスタンスの ID をクリックします。

3. [基本情報] タブで、CEN トランジットルーターを見つけ、[アクション] 列の [接続の作成] をクリックするか、タブの上部にある VPC の右側にある アイコンをクリックします。

4. [ピアネットワークインスタンスとの接続] ページで、パラメーターを設定します。

   次の表に、重要なパラメーターを示します。

   パラメーター	説明
   ネットワークタイプ	CEN インスタンスに接続するネットワークインスタンスのタイプ。この例では、VPC を選択します。
   リージョン	ネットワークインスタンスが存在するリージョン。この例では、FW VPC の作成時に指定したリージョンを選択します。
   ネットワークインスタンス	CEN インスタンスに接続するネットワークインスタンス。この例では、FW VPC の ID を選択します。
   VSwitch	ネットワークインスタンスに関連付けることができる vSwitch。この例では、プライマリ vSwitch として TR-Vswitch-01 を選択し、セカンダリ vSwitch として TR-VSwitch-02 を選択します。

   その他のパラメーターの詳細については、「Enterprise Edition のトランジットルーターを使用する」をご参照ください。

ステップ 3: VPC と VBR をトランジットルーターに接続する

このステップでは、トランジットルーターと次の各ネットワークインスタンス (VPC1、VPC2、DMZ VPC、IDC-1、IDC-2) との間に個別に接続を確立します。これにより、VPC と VBR が CEN インスタンスに接続されます。

詳細については、「Enterprise Edition のトランジットルーターを使用する」をご参照ください。

ステップ 4: VPC ファイアウォールを作成する

このステップでは、FW VPC 用の VPC ファイアウォールを作成します。

VPC ファイアウォールを作成するには、Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、[ファイアウォール設定] > [VPC ファイアウォール] > [CEN (Enterprise Edition)] を選択します。[CEN (Enterprise Edition)] タブで、目的のトランジットルーターを見つけ、[アクション] 列の [作成] をクリックします。[VPC ファイアウォールの作成] ダイアログボックスで、[トラフィックリダイレクトモード] に 手動 を、[VPC] に FW VPC を、vSwitch に Cfw-Vswitch を選択します。詳細については、「Enterprise Edition のトランジットルーター用に VPC ファイアウォールを設定する」をご参照ください。

ステップ 5: FW VPC のルートを設定する

このステップでは、トランジットルーターによって FW VPC に転送されたトラフィックを VPC ファイアウォールにリダイレクトし、VPC ファイアウォールによって処理されたトラフィックをトランジットルーターにリダイレクトするルートを作成します。

1. VPC コンソールにログインします。

2. [ルートテーブル] ページで、FW VPC 用に作成されたシステムルートテーブルをクリックします。

3. [ルートエントリリスト] タブで、[カスタムルート] タブをクリックします。

4. [ルートエントリの追加] をクリックし、パラメーターを設定します。他のカスタムルートが存在する場合は、カスタムルートを削除します。

   パラメーターの説明:

   • [宛先 CIDR ブロック]: 0.0.0.0/0 を指定します。

   • [ネクストホップタイプ]: ENI を選択します。

   • [ENI]: ステップ 4 で作成した Cfw-bonding-eni を選択します。

   このステップが完了すると、トランジットルーターによって FW VPC に転送されたトラフィックは VPC ファイアウォールにリダイレクトされます。

5. [ルートテーブル] ページで、作成したカスタムルートテーブル VPC-CFW-RouteTable をクリックします。表示されたページで、[関連付けられた VSwitch] タブをクリックし、[vSwitch の関連付け] をクリックします。[vSwitch の関連付け] ダイアログボックスで、[vSwitch] に Cfw-Vswitch を選択します。次に、[OK] をクリックします。

6. [ルートエントリリスト] タブで、[カスタムルート] タブをクリックします。[ルートエントリの追加] をクリックし、パラメーターを設定します。他のカスタムルートが存在する場合は、カスタムルートを削除します。

   パラメーターの説明:

   • [宛先 CIDR ブロック]: 0.0.0.0/0 を指定します。

   • [ネクストホップタイプ]: トランジットルーターを選択します。

   • [トランジットルーター]: VPC ファイアウォールが作成されたトランジットルーターを選択します。

   このステップが完了すると、VPC ファイアウォールによって処理されたトラフィックはトランジットルーターに転送されます。

ステップ 6: トランジットルーターのルートを設定する

このステップでは、VPC-01、VPC-02、および Cfw-TR-manual-VPC のルートを作成し、VPC-01 と VPC-02 間のトラフィックが VPC ファイアウォールを通過できるようにします。

1. CEN コンソールにログインします。

2. [CEN] コンソールにログインし、VPC ファイアウォールを有効にするトランジットルーターを見つけてクリックします。[ルートテーブル] タブが表示されます。

3. Cfw-Untrust-RouteTable と Cfw-Trust-RouteTable という名前のルートテーブルを作成します。

   1. [ルートテーブル] タブで、[ルートテーブルの作成] をクリックします。

   2. [ルートテーブルの作成] ダイアログボックスで、Cfw-Untrust-RouteTable と Cfw-Trust-RouteTable ルートテーブルのパラメーターを設定します。

      [トランジットルーター]: VPC ファイアウォールを有効にするトランジットルーターを選択します。

      説明

      • Cfw-Untrust-RouteTable ルートテーブルは、VPC1、IDC-1、および IDC-2 から FW VPC にトラフィックを転送するために使用されます。

      • Cfw-Trust-RouteTable ルートテーブルは、FW VPC から VPC1、VPC2、DMZ VPC、IDC-1、および IDC-2 にトラフィックを転送するために使用されます。

4. Cfw-Trust-RouteTable ルートテーブルを設定します。

   この操作が完了すると、Cfw-Trust-RouteTable ルートテーブルは VPC1、VPC2、DMZ VPC、IDC-1、および IDC-2 からルートを自動的に学習し、FW VPC からのトラフィックは Cfw-Trust-RouteTable ルートテーブルに基づいて転送されます。

   1. 作成した Cfw-Trust-RouteTable ルートテーブルをクリックします。右側のセクションで、[ルート伝播] タブをクリックします。

   2. [ルート伝播] タブで、[ルート伝播の有効化] をクリックします。

   3. [ルート伝播の有効化] ダイアログボックスで、[アタッチメント] に VPC1、VPC2、DMZ VPC、IDC-1、および IDC-2 を選択します。次に、[OK] をクリックします。

      ルート学習を有効にすると、システムが学習したルートに関する情報を [ルートエントリ] タブで表示できます。

   4. [ルートテーブル] タブで、左側のルートテーブルリストにあるシステムルートテーブルをクリックします。[ルートテーブルの詳細] セクションで、[ルートテーブルの関連付け] タブをクリックします。

   5. [ルートテーブルの関連付け] タブで、作成した Cfw-Trust-RouteTable ルートテーブルをクリックします。[ルートテーブルの関連付け] タブで、[関連付けの作成] をクリックします。

   6. [関連付けの追加] ダイアログボックスで、[関連付け] に FW VPC を選択します。次に、[OK] をクリックします。

5. Cfw-Untrust-RouteTable ルートテーブルを設定します。

   この操作が完了すると、トラフィックは Cfw-Untrust-RouteTable ルートテーブルに基づいて FW VPC に転送されます。

   1. 作成した Cfw-Untrust-RouteTable ルートテーブルをクリックします。右側のセクションで、[ルートエントリ] タブをクリックします。

   2. [ルートエントリ] タブで、[ルートエントリの追加] をクリックします。

   3. [ルートエントリの追加] ダイアログボックスで、パラメーターを設定します。

      パラメーターの説明:

      • [宛先 CIDR]: デフォルト値 10.0.0.0/8 を保持します。

      • [ブラックホールルート]: デフォルト値 いいえ を保持します。

      • [ネクストホップ]: FW VPC を選択します。

   4. 前のステップを繰り返して、次のルートを追加します:

      • 宛先 CIDR が 172.16.0.0/12 で、ネクストホップが FW VPC のルート。

      • 宛先 CIDR が 192.168.0.0/16 で、ネクストホップが FW VPC のルート。

      • 宛先 CIDR が 61.20.0.0/16 で、ネクストホップが FW VPC のルート。

      • 宛先 CIDR が 0.0.0.0/0 で、ネクストホップが DMZ VPC のルート。

6. VPC1、IDC-1、および IDC-2 宛てのトラフィックが Cloud Firewall を通過できるように、システムルートテーブルを設定します。

   警告

   この操作を実行すると、トラフィックが中断される可能性があります。オフピーク時間または変更ウィンドウ中にこの操作を実行することをお勧めします。

   1. [ルートテーブル] タブで、左側のルートテーブルリストにあるシステムルートテーブルをクリックします。右側のセクションで、[ルート伝播] タブをクリックします。

   2. [ルート伝播] タブで、VPC1、IDC-1、FW VPC、および IDC-2 用に作成されたルート学習の相関関係を削除します。

      この操作が完了すると、システムルートテーブルには VPC2 と DMZ VPC 用に作成されたルート学習の相関関係のみが保持されます。システムが自動的に学習したルートに関する情報は、[ルートエントリ] タブで表示できます。

   3. [ルートエントリ] タブで、[ルートエントリの追加] をクリックします。

   4. [ルートエントリの追加] ダイアログボックスで、次のルートを追加します:

      • 宛先 CIDR が 10.0.0.0/24 (VPC1) で、ネクストホップが FW VPC のルート。

      • 宛先 CIDR が 172.16.0.0/12 (IDC-1) で、ネクストホップが FW VPC のルート。

      • 宛先 CIDR が 61.20.0.0/16 (IDC-2) で、ネクストホップが FW VPC のルート。

7. VPC1、IDC-1、および IDC-2 から他の VPC へのトラフィックが Cloud Firewall を通過できるように、関連付けられた転送相関を変更します。

   この操作が完了すると、VPC1、IDC-1、および IDC-2 からのトラフィックは Cfw-Untrust-RouteTable ルートテーブルに基づいて転送されます。

   警告

   この操作を実行すると、トラフィックが中断される可能性があります。オフピーク時間または変更ウィンドウ中にこの操作を実行することをお勧めします。

   1. システムルートテーブルの [ルートテーブルの関連付け] タブで、VPC1、IDC-1、および IDC-2 用に作成された関連付けられた転送相関を削除します。

   2. Cfw-Untrust-RouteTable ルートテーブルの [ルートテーブルの関連付け] タブで、[関連付けの作成] をクリックします。

   3. [関連付けの追加] ダイアログボックスで、[関連付け] に VPC1、IDC-1、および IDC-2 を選択します。次に、[OK] をクリックします。

   4. [ルートテーブルの関連付け] タブで、[関連付けの作成] をクリックします。

   5. [関連付けの追加] ダイアログボックスで、[関連付け] に VPC1、IDC-1、および IDC-2 を選択します。次に、[OK] をクリックします。

このステップが完了すると、CEN インスタンスと FW VPC 間のルートが作成され、トラフィックを FW VPC に転送できるようになります。

ステップ 7: 転送設定が成功したかどうかを確認する

詳細については、「ログ監査」をご参照ください。