Transit Router (TR) を使用する場合、ルートを手動で設定して TR と VPC ファイアウォール間のトラフィックを誘導できます。これにより、VPC ファイアウォールは、TR に接続された VPC と仮想ボーダールーター (VBR) 間の選択されたトラフィックを保護できます。このトピックでは、TR を VPC ファイアウォールに接続する方法について説明します。
利用シーン
Cloud Firewall は、Cloud Enterprise Network (CEN) の Transit Router (TR) を介して接続されたネットワークインスタンス間のトラフィックを保護できます。これらのネットワークインスタンスには、VPC、仮想ボーダールーター (VBR)、クラウド相互接続ネットワーク (CCN) インスタンス、VPN ゲートウェイが含まれます。
このトピックでは、手動トラフィックリダイレクトモードで VPC ファイアウォールを設定し、同一リージョン内の複数の VPC 間のトラフィックを保護する方法について説明します。
シナリオ図
前提条件
CEN コンソールで Cloud Enterprise Network (CEN) インスタンス、3 つの VPC (この例では VPC1、VPC2、DMZ VPC)、および 2 つの VBR (この例では IDC-1、IDC-2) が作成されていること。詳細については、「CEN インスタンスの作成」をご参照ください。
この例では、VPC1、IDC-1、IDC-2 と他の VPC 間のトラフィックは Cloud Firewall によって保護されます。VPC2 と DMZ VPC 間のトラフィックは保護されません。任意の VPC または IDC からデフォルトルート 0.0.0.0/0 へのトラフィックは保護されません。
手順1：VPC ファイアウォール用の VPC の作成
VPC ファイアウォールには専用の VPC が必要です。この目的のために専用の VPC インスタンスを作成する必要があります。
VPC コンソールにログインします。
上部のナビゲーションバーで、VPC を作成するリージョンを選択し、VPC の作成 をクリックします。
VPC の作成 ページで、以下の情報を使用して VPC を設定し、OK をクリックします。
パラメーター
説明
リージョン
VPC ファイアウォールを有効化するリージョンを選択します。
名前
VPC インスタンスの名前を入力します。この例では、
FW VPCを使用します。IPv4 CIDR ブロック
VPC のプライマリ IPv4 CIDR ブロックを指定します。これは、マスクが /26 以上のプライベート CIDR ブロックである必要があり、ご利用のサービスの CIDR ブロックと競合しないようにする必要があります。
vSwitch
ネットワークインスタンス接続用の vSwitch を指定します。各 vSwitch には、マスクが /28 以上のプライベート CIDR ブロックが必要です。
3 つの vSwitch を作成します。2 つの vSwitch は TR ネットワークインスタンス接続に使用されます。これらは、TR サービスをサポートする異なるアベイラビリティゾーンに作成する必要があります。レイテンシーを削減するために、サービスがデプロイされているアベイラビリティゾーンを選択することを推奨します。3 つ目の vSwitch は VPC ファイアウォール用で、任意のアベイラビリティゾーンに作成できます。
この例では、TR 接続用の プライマリ vSwitch の名前は TR-Vswitch-01、セカンダリ vSwitch の名前は TR-VSwitch-02、VPC ファイアウォール用の vSwitch の名前は Cfw-Vswitch です。
VPC ページで、ファイアウォール VPC インスタンス
FW VPCを特定し、そのインスタンス ID をクリックします。リソース タブで、追加 を ルートテーブル セクションでクリックします。
作成 ダイアログボックスで、次の情報でルートテーブルを設定し、OK をクリックします。
パラメーター
説明
VPC
作成したファイアウォール VPC を選択します。この例では、
FW VPCを使用します。リソータイプ
ルートテーブルに関連付けるリソースタイプとして vSwitch を選択します。
名前
カスタムルートテーブルの名前を入力します。この例では、VPC-CFW-RouteTable を使用します。
手順2：ファイアウォール VPC の TR への接続
この手順では、VPC インスタンス (FW VPC) を Enterprise Edition の Transit Router に接続します。
- CEN コンソールにログインします。
インスタンス ページで、VPC ファイアウォールにトラフィックをリダイレクトする CEN インスタンスを探し、そのインスタンス ID をクリックします。
インスタンスの詳細ページの 基本設定 タブで、アクション 列の 接続の作成 をクリックするか、VPC 情報の右側にある
アイコンをクリックします。Create Intra-Region Connection ページで、
FW VPCとトランジットルーターとの接続を設定します。以下の表は、ネットワーク接続を作成するための主要なパラメーターを説明しています。
パラメーター
説明
ネットワークタイプ
CEN を介して接続するネットワークインスタンスのタイプ。VPC を選択します。
リージョン
ネットワークインスタンスのリージョン。これは、
FW VPCが作成されたリージョンと同じである必要があります。ネットワーク
CEN を介して接続するネットワークインスタンス。
FW VPCのインスタンス ID を選択します。VSwitch
ネットワーク接続に関連付ける vSwitch。プライマリ vSwitch には TR-Vswitch-01 を、セカンダリ vSwitch には TR-VSwitch-02 を選択します。
他のパラメーターについては、「Enterprise Edition の Transit Router を使用した VPC 接続の作成」をご参照ください。
手順3：VPC と VBR のネットワーク接続の作成
VPC1、VPC2、DMZ VPC、IDC-1、および IDC-2 を CEN インスタンスにアタッチするために、ネットワークインスタンス接続を作成する必要があります。
詳細については、「Enterprise Edition の Transit Router を使用した VPC 接続の作成」をご参照ください。
手順4：VPC ファイアウォールの作成
FW VPC 用に VPC ファイアウォールを作成します。
Cloud Firewall コンソールで、Firewall > VPC 境界ファイアウォール > CEN(Enterprise Edition) の順に移動します。 ファイアウォールを有効にする Transit Router を見つけ、Actions 列の 作成する をクリックします。 VPC ファイアウォールを作成するときは、トラフィックリダイレクションモードに Manual を選択し、VPC に FW VPC を選択し、vSwitch に Cfw-Vswitch を選択します。 詳細については、「Enterprise Edition のトランジットルーターの VPC ファイアウォールを設定する」をご参照ください。
ファイアウォール用に設定された VPC は、CEN TR と同じアカウントに属している必要があります。そうでない場合、VPC ファイアウォールは作成できません。
この手順の後、Cloud Firewall はトラフィックリダイレクトのために Cfw-Vswitch に Elastic Network Interface (ENI) を作成します。この ENI は、ECS コンソールの ネットワークとセキュリティ > ENI ページで確認できます。システムはデフォルト名
cfw-bonding-eniを割り当てます。この ENI はルート設定に使用される仮想ネットワークインターフェースです。デフォルトでは、ファイアウォールクラスターは高可用性を確保するために、異なるアベイラビリティゾーンにある複数の仮想 ENI にバインドします。手動トラフィックリダイレクトモードでは、ファイアウォールクラスターは、自動的に割り当てられた 2 つのアベイラビリティゾーンにまたがるアクティブ - アクティブ構成をデフォルトとします。
手順5：ファイアウォール VPC のルート設定
VPC ルートを設定して、TR からのトラフィックを VPC ファイアウォールに誘導し、戻します。
VPC コンソールにログインします。
ルートテーブル ページで、ファイアウォール VPC インスタンスのシステムルートテーブルを選択します。
ルートエントリ タブで、[カスタム] タブを選択します。
ルートエントリの追加 をクリックし、次のルートエントリを設定して、他の既存のカスタムルートエントリを削除します。
主要なパラメーターの説明：
ターゲット CIDR: 0.0.0.0/0 を選択します。
ネクストホップの種類: ENI を選択します。
ENI：手順4で作成された Cfw-bonding-eni を選択します。
この手順を完了すると、TR からファイアウォール VPC へのトラフィックが VPC ファイアウォールにリダイレクトされます。
ルートテーブル ページで、以前に作成したカスタムルートテーブル VPC-CFW-RouteTable を開き、vSwitch タブで 関連付け をクリックします。vSwitch で Cfw-Vswitch を選択し、OK をクリックします。
ルートエントリ タブで、[カスタム] タブを選択します。ルートエントリの追加 をクリックし、次のルートエントリを設定して、他の既存のカスタムルートエントリを削除します。
主要なパラメーターの説明：
ターゲット CIDR：0.0.0.0/0 を選択します。
ネクストホップの種類: トランジットルーターを選択します。
Transit Router：VPC ファイアウォールのネットワークインスタンス接続を選択します。
その後、VPC ファイアウォールは処理されたトラフィックを TR に戻します。
手順6：TR のルート設定
VPC1 と VPC2 間のトラフィックが VPC ファイアウォールを通過するように、VPC1、VPC2、およびファイアウォール VPC の Transit Router 上でルートを設定します。
- CEN コンソールにログインします。
Cloud Enterprise Network コンソールで、VPC ファイアウォールを有効にする対象のトランジットルーターを探し、そのインスタンス ID をクリックしてから、ルートテーブル タブに移動します。
2 つのルートテーブルを作成します：Cfw-Untrust-RouteTable と Cfw-Trust-RouteTable。
ルートテーブル タブで、ルートテーブルの作成 をクリックします。
ルートテーブルの作成 ダイアログボックスで、Cfw-Untrust-RouteTable と Cfw-Trust-RouteTable ルートテーブルを作成します。
Transit Router：VPC ファイアウォールを有効にする Transit Router を選択します。
説明ルートテーブル Cfw-Untrust-RouteTable：VPC1、IDC-1、IDC-2 からのトラフィックを FW VPC に転送します。
ルートテーブル Cfw-Trust-RouteTable：FW VPC からのトラフィックを VPC1、VPC2、DMZ VPC、IDC-1、IDC-2 に転送します。
Cfw-Trust-RouteTable ルートテーブルを設定します。
Cfw-Trust-RouteTable ルートテーブルを設定して、VPC1、VPC2、DMZ VPC、IDC-1、IDC-2 からのルートを自動的に学習し、FW VPC からのトラフィックを Cfw-Trust-RouteTable に関連付けます。
作成した Cfw-Trust-RouteTable ルートテーブルをクリックし、詳細ペインで ルート伝播 タブをクリックします。
ルート伝播 タブで、[ルート伝播の作成] をクリックします。
[ルート伝播の作成] ダイアログボックスで、[ルート伝播元のアタッチメント] ドロップダウンリストから VPC1、VPC2、DMZ VPC、IDC-1、および IDC-2 を選択し、次に OK をクリックします。
ルート伝播が有効になると、ルートエントリ タブで自動学習されたルートエントリを表示できます。
ルートテーブル タブで、左側のリストからシステムルートテーブルをクリックし、ルートテーブル詳細ペインで ルートテーブル関連付け タブをクリックします。
システムルートテーブルの ルートテーブル関連付け タブで、作成した Cfw-Trust-RouteTable ルートテーブルをクリックし、ルートテーブル関連付け タブで、[関連付けの作成] をクリックします。
関連付けの作成 ページで、ルートテーブル関連付け ドロップダウンリストから FW VPCを選択し、 OKをクリックします。
Cfw-Untrust-RouteTable ルートテーブルを設定します。
デフォルトでは、カスタムルートテーブル Cfw-Untrust-RouteTable はトラフィックを VPC インスタンスに誘導します。
作成した Cfw-Untrust-RouteTable ルートテーブルをクリックし、詳細ペインで ルートエントリ タブをクリックします。
ルートエントリ タブで、[ルートエントリの作成] をクリックします。
ルートエントリの追加 ダイアログボックスで、ルートエントリを設定します。
パラメーターの説明：
宛先 CIDR：アドレス範囲 10.0.0.0/8 を選択します。
ブラックホールルート：デフォルトオプションの いいえ を選択します。
ネクストホップ：ファイアウォール VPC インスタンス (FW VPC) を選択します。
上記の手順を繰り返して、以下のルートを追加します。
172.16.0.0/12 CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
192.168.0.0/16 CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
61.20.0.0/16 CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
0.0.0.0/0 CIDR ブロックのルートを追加し、ネクストホップを DMZ VPC に設定します。
システムルートテーブルを設定して、VPC1、IDC-1、IDC-2 からのトラフィックを Cloud Firewall 経由で誘導します。
警告この操作により、短時間のトラフィック中断が発生します。オフピーク時間帯または計画されたメンテナンスウィンドウ内に実行することを推奨します。
ルートテーブル タブで、左側のリストにあるシステムルートテーブルをクリックし、詳細ペインでルート伝播 タブをクリックします。
ルート伝播 タブで、VPC1、IDC-1、FW VPC、および IDC-2 のルート伝播エントリを削除します。
この操作の後、システムルートテーブルには VPC2 と DMZ VPC のルート伝播エントリのみが残ります。[ルートエントリ] タブで自動学習されたルートエントリを確認できます。
ルートエントリ タブで、[ルートエントリの作成] をクリックします。
ルートエントリの追加 ダイアログボックスで、次のルートを追加します。
10.0.0.0/24 (VPC1) CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
172.16.0.0/12 (IDC-1) CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
61.20.0.0/16 (IDC-2) CIDR ブロックのルートを追加し、ネクストホップをファイアウォール VPC インスタンス (FW VPC) に設定します。
ルートテーブルの関連付けを切り替えて、VPC1、IDC-1、IDC-2 から他の VPC へのトラフィックを Cloud Firewall 経由で誘導します。
VPC1、IDC-1、IDC-2 からのトラフィックを Cfw-Untrust-RouteTable に関連付けます。
警告この操作により、短時間のトラフィック中断が発生します。オフピーク時間帯または計画されたメンテナンスウィンドウ内に実行することを推奨します。
システムルートテーブルの ルートテーブル関連付け タブで、VPC1、IDC-1、および IDC-2 の関連付けを削除します。
Cfw-Untrust-RouteTable ルートテーブルの ルートテーブル関連付け タブで、[関連付けの作成] をクリックします。
[関連付けの作成] ダイアログボックスで、ルートテーブル関連付け ドロップダウンリストから VPC1、IDC-1、IDC-2 を選択し、OK をクリックします。
ルートテーブル関連付け タブで、[ルート転送の作成] をクリックします。
[ルート転送の追加] ダイアログボックスで、ルートテーブル関連付け ドロップダウンリストから、VPC1、IDC-1、および IDC-2 を選択します。 次に、OK をクリックします。
この手順が完了すると、CEN はトラフィックを VPC ファイアウォールの VPC インスタンスに誘導します。
手順7：転送設定の確認
CEN インスタンスからのトラフィックログを確認できます。関連するトラフィックログが存在する場合、転送設定が成功したことを示します。例：
VPC1 と VPC2 間の通信は成功し、トラフィックログが生成されます。
VPC2 と DMZ VPC 間の通信は成功しますが、トラフィックログは生成されません。
詳細な手順については、「Log Audit」をご参照ください。