Cloud Firewall:アウトバウンドトラフィックを保護するためのベストプラクティス

手順 1：NAT Gateway のデプロイメント

1. NAT Gateway コンソールにログインします。ビジネスシナリオに基づいて、対応する VPC のインターネット NAT ゲートウェイを作成します。詳細については、「インターネット NAT ゲートウェイインスタンスの作成」をご参照ください。

2. 作成したインターネット NAT ゲートウェイに EIP を関連付けます。詳細については、「インターネット NAT ゲートウェイ」をご参照ください。

   重要

   インターネット NAT ゲートウェイが正しく機能するには、関連付けられた EIP が必要です。

3. インターネット NAT ゲートウェイに SNAT エントリを作成し、パブリック IP アドレスを持たない ECS インスタンスがインターネットにアクセスできるようにします。詳細については、「SNAT エントリの作成」をご参照ください。

   Cloud Firewall の NAT ファイアウォール機能は、SNAT エントリが設定されていて DNAT エントリがない NAT Gateway のみをサポートします。そうでない場合、NAT ファイアウォールを有効にすることはできません。

手順 2：NAT ファイアウォールの作成

前提条件

• 有効な Cloud Firewall のサブスクリプションと、NAT ファイアウォールに十分なライセンスクォータが必要です。詳細については、「Cloud Firewall の購入」をご参照ください。

• インターネット NAT ゲートウェイを作成済みであること。詳細については、「インターネット NAT ゲートウェイ」をご参照ください。

  重要

  現在、NAT ファイアウォールはインターネット NAT ゲートウェイのみを保護します。

  インターネット NAT ゲートウェイは、以下の条件を満たす必要があります：

  • インターネット NAT ゲートウェイがデプロイされているリージョンが NAT ファイアウォールをサポートしていること。サポートされているリージョンの一覧については、「サポートされているリージョン」をご参照ください。

  • インターネット NAT ゲートウェイには、1 ～ 10 個の EIP が関連付けられている必要があります。詳細については、「インターネット NAT ゲートウェイ」をご参照ください。

  • インターネット NAT ゲートウェイには SNAT エントリが必要ですが、DNAT エントリはあってはなりません。詳細については、「SNAT エントリの作成と管理」をご参照ください。

    インターネット NAT ゲートウェイに DNAT エントリがある場合は、NAT ファイアウォールを有効にする前にそれらを削除する必要があります。詳細については、「DNAT エントリの作成と管理」をご参照ください。

  • インターネット NAT ゲートウェイの VPC には、NAT Gateway を指す `0.0.0.0/0` のルートエントリが必要です。詳細については、「ルートテーブルの作成と管理」をご参照ください。

  • インターネット NAT ゲートウェイの VPC には、プレフィックス長が 28 以上の利用可能なサブネットが必要です。セカンダリ CIDR ブロックがサポートされています。

手順

NAT Gateway が NAT ファイアウォールのアセットリストに表示されない場合は、リストの右上隅にある Synchronize Assets をクリックして、手動でアセットを同期できます。手動同期には 5 ～ 10 分かかります。同期が完了するまでお待ちください。

1. Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、ファイアウォールスイッチ を選択します。

2. [NAT ファイアウォール] タブをクリックします。

3. [NAT ファイアウォールを作成] パネルで、NAT ファイアウォールを設定して有効にします。詳細については、「NAT ファイアウォール」をご参照ください。

4. ファイアウォールが作成された後、対象の NAT Gateway を見つけ、スイッチ 列のスイッチをオンにして、NAT ファイアウォールを有効にします。

   対象の NAT Gateway のゲートウェイタイプが 拡張 であることを確認してください。

手順 3：ポリシーの設定

1. Cloud Firewall コンソールにログインします。

2. 左側のナビゲーションウィンドウで、緩和設定 > アクセス制御 > ポリシーの構成 > NAT 境界 を選択します。

3. NAT 境界 ページで、設定する NAT Gateway を選択し、Create Policy をクリックします。

   Cloud Firewall は、現在のアカウントに関連付けられている NAT Gateway を自動的に同期します。ドロップダウンリストから設定する NAT Gateway を選択できます。

   

4. ポリシーの作成 - NAT 境界 パネルで、アクセス制御ポリシーを設定し、OK をクリックします。詳細については、「NAT ファイアウォールのアクセス制御ポリシーの設定」をご参照ください。

   ポリシーが作成されると、アクセス制御ポリシーリストで確認できます。リストには、NAT ゲートウェイ ID、優先度、送信元、宛先、プロトコル、アプリケーション、ポート、アクション、ポリシーの有効期間、有効ステータス、ヒット数などの情報が含まれます。ポリシーの編集、コピー、または移動も可能です。

手順 4：ソリューションの検証

1. VPC 内の ECS インスタンスにログインし、`curl www.example.com` などの `curl` コマンドを実行して、インターネットへのビジネスアクセスをシミュレートします。ECS インスタンスへのログイン方法については、「ECS インスタンスの接続方法の概要」をご参照ください。

2. Cloud Firewall コンソールにログインします。

3. 左側のナビゲーションウィンドウで、レスポンス検出 > ログ監査 を選択します。

4. トラフィックログ > NAT 境界 タブで、送信元 IP アドレスを ECS インスタンスのプライベート IP アドレスに設定し、トラフィックログを検索します。トラフィックログにアクセス制御ポリシーが有効であることが示されていれば、NAT ファイアウォールが NAT Gateway のアウトバウンドトラフィックを保護していることが確認できます。

手順 1：トラフィックの確認

1. Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、[概要] をクリックします。

2. 概要 ページで、トラフィックの傾向を確認し、特定の時間に異常なトラフィックの急増がないか調べます。

   説明

   トラフィックが購入した保護帯域幅を超えた場合、トレンドチャートには購入した NAT 境界の処理能力が表示されます。これは、帯域幅を超えたトラフィック量を示します。

   

異常なトラフィックの急増が見つかった場合は、アウトバウンドのプライベートアセットの詳細を確認して、異常な IP アドレスを特定する必要があります。詳細については、「手順 2」をご参照ください。

手順 2：異常な IP の特定

1. Cloud Firewall コンソールにログインします。

2. 左側のナビゲーションウィンドウで、トラフィック分析 > アクティブなアウトバウンド接続 を選択します。

3. アウトバウンド接続の詳細 > [アウトバウンドプライベート IP アドレス] タブで、トラフィックでソートして、異常に高い使用量のアセットを特定し、異常なアクセスを検出します。

   データテーブルには、NAT ゲートウェイ ID/名前、リージョン、インスタンス ID/名前、アウトバウンドドメイン数/アウトバウンド IP 数、リクエスト数、セキュリティリスクなどの列も含まれます。アクション列では、[監視対象としてマーク] をクリックしてアセットをウォッチリストに追加したり、[ログの表示] をクリックして詳細なログを表示したりできます。

異常な IP アドレスを特定した場合は、ログ監査データを使用してさらに調査する必要があります。詳細については、「手順 3」をご参照ください。

手順 3：トラフィックログの分析

1. Cloud Firewall コンソールにログインします。

2. 左側のナビゲーションウィンドウで、レスポンス検出 > ログ監査 を選択します。

3. トラフィックログ > NAT 境界 タブで、送信元 IP アドレスを ECS インスタンスのプライベート IP アドレスに設定し、トラフィックログを検索し、ソース IP、送信元ポート、および 宛先ポート を調べて、異常なトラフィックがビジネスで必要かどうかを判断します。