Cloud Firewall:Transit Router を使用した VPC 間トラフィックの保護 (手動迂回)

利用シーン

Cloud Firewall は、Cloud Enterprise Network (CEN) の Transit Router (TR) によって接続されたネットワークインスタンス間のトラフィックを保護できます。これらのネットワークインスタンスには、Virtual Private Cloud (VPC)、Virtual Border Router (VBR)、Cloud Connect Network (CCN)、VPN ゲートウェイが含まれます。

このトピックでは、VPC ファイアウォールの手動トラフィック迂回モードを設定する方法について説明します。このモードは、同一リージョン内の複数の VPC 間のトラフィックを保護します。

アーキテクチャ図

ステップ 2: ファイアウォール VPC と TR の接続

このステップでは、VPC インスタンス (Cfw-TR-manual-VPC) と Transit Router (TR) Enterprise Edition の間に接続を作成します。

1. CEN コンソールにログインします。

2. インスタンス ページで、VPC ファイアウォールにトラフィックを迂回させたい CEN インスタンスを見つけ、そのインスタンス ID をクリックします。

3. インスタンス詳細ページの 基本設定 タブで、アクション 列の 接続の作成 をクリックします。または、VPC の基本情報の右側にある アイコンをクリックします。

4. Create Intra-Region Connection ページで、Cfw-TR-manual-VPC と TR の間の接続を設定します。

   次の表は、ネットワークインスタンス接続を作成するための主要なパラメーターを説明しています。

   パラメーター	説明
   ネットワークタイプ	CEN に接続するネットワークインスタンスのタイプです。 Virtual Private Cloud (VPC) を選択します。
   リージョン	CEN に接続するネットワークインスタンスが配置されているリージョンです。 Cfw-TR-manual-VPC を作成したリージョンと同じである必要があります。
   ネットワーク	CEN に接続するネットワークインスタンスです。 Cfw-TR-manual-VPC のインスタンス ID を選択します。
   VSwitch	ネットワークインスタンスの接続に関連付ける vSwitch です。 TR-Vswitch-01 をプライマリ vSwitch として、TR-VSwitch-02 をセカンダリ vSwitch として選択します。

   その他のパラメーターについては、「Enterprise Edition トランジットルーターを使用した VPC 接続の作成」をご参照ください。

ステップ 3: VPC のネットワーク接続の作成

VPC-01 と VPC-02 を CEN インスタンスにアタッチするために、それぞれ個別のネットワークインスタンス接続を作成する必要があります。

詳細については、「Enterprise Edition トランジットルーターを使用した VPC 接続の作成」をご参照ください。

ステップ 4: VPC ファイアウォールの作成

このステップでは、Cfw-TR-manual-VPC 用の VPC ファイアウォールを作成します。

Cloud Firewall コンソールで、Firewall > VPC 境界ファイアウォール に移動します。CEN (エンタープライズ版) タブで、ファイアウォールを作成したい TR インスタンスを見つけ、Actions 列の 作成する をクリックします。VPC ファイアウォールを作成する際、Manual を Manual に設定し、VPC を Cfw-TR-manual-VPC に設定し、vSwitch を Cfw-Vswitch に設定します。詳細については、「Enterprise Edition トランジットルーター用の VPC ファイアウォールの設定」をご参照ください。

ステップ 5: ファイアウォール VPC のルート設定

このステップでは、TR からのトラフィックを検査のために VPC ファイアウォールに迂回させ、検査後のトラフィックを TR に戻すように VPC ルートを設定します。

1. Virtual Private Cloud コンソールにログインします。

2. ルートテーブル ページで、ファイアウォール VPC インスタンスのシステムルートテーブルを選択します。

3. ルートエントリ タブで、[カスタムルート] タブをクリックします。

4. ルートエントリの追加 をクリックし、次のセクションの説明に従ってルートエントリを設定し、他にカスタムルートエントリが存在する場合は削除します。

   主要なパラメーター：

   • ターゲット CIDR：0.0.0.0/0 に設定します。

   • ネクストホップの種類：ENI に設定します。

   • ENI：ステップ 4 で作成した cfw-bonding-eni を選択します。

   このステップを完了すると、TR からファイアウォール VPC に転送されたトラフィックは VPC ファイアウォールに迂回されます。

5. ルートテーブル ページで、作成したカスタムルートテーブル VPC-CFW-RouteTable を開きます。vSwitch タブで、関連付け をクリックし、vSwitch を Cfw-Vswitch に設定し、OK をクリックします。

6. ルートエントリ タブで、[カスタムルート] タブをクリックします。ルートエントリの追加 をクリックし、次のセクションの説明に従ってルートエントリを設定し、他にカスタムルートエントリが存在する場合は削除します。

   主要なパラメーター：

   • ターゲット CIDR：0.0.0.0/0 に設定します。

   • ネクストホップの種類：Transit Router に設定します。

   • Transit Router：ファイアウォール VPC のネットワークインスタンス接続を選択します。

   このステップを完了すると、VPC ファイアウォールは処理済みのトラフィックを TR に戻します。

ステップ 6: TR のルート設定

このステップでは、VPC-01、VPC-02、およびファイアウォール VPC の TR ルートを設定します。これにより、VPC-01 と VPC-02 間のトラフィックが VPC ファイアウォールを通過するようになります。

1. CEN コンソールにログインします。

2. Cloud Enterprise Network で、VPC ファイアウォールを有効にしたい TR を見つけ、そのインスタンス ID をクリックし、ルートテーブル タブに移動します。

3. ルートテーブル タブで、左側のリストにあるシステムルートテーブルをクリックします。

4. システムルートテーブルの詳細ページで、ルート伝播 タブをクリックします。

5. ルート伝播 タブで、2 つのルート伝播エントリを作成します。VPC-01 と VPC-02 の接続を選択します。

   この操作により、システムルートテーブルのルート伝播が有効になり、VPC-01 と VPC-02 からのルートが自動的に学習されます。

   ルート伝播を設定した後、ルートエントリ タブで学習したルートを確認できます。

6. システムルートテーブルの詳細ページで、ルートテーブル関連付け タブをクリックします。

7. ルートテーブル関連付け タブで、[関連付けの作成] をクリックします。

8. [関連付けの追加] ダイアログボックスで、Cfw-TR-manual-VPC 接続を選択します。

   このステップを完了すると、ファイアウォール VPC は TR を介して VPC-01 と VPC-02 にトラフィックを自動的にルーティングできるようになります。

9. ルートテーブル ページで、左側のパネルの ルートテーブルの作成 をクリックします。ルートテーブルの作成 ダイアログボックスで、ルートテーブルを設定します。

   トランジットルーター には、VPC ファイアウォールを有効にしたい TR を選択し、ルートテーブルの名前を指定します。このトピックでは、Cfw-TR-RouteTable を例として使用します。

   新しいルートテーブル Cfw-TR-RouteTable は、VPC-01 と VPC-02 からのトラフィックをファイアウォール VPC Cfw-TR-manual-VPC に転送します。

10. Cfw-TR-RouteTable ルートテーブルを見つけ、[ルートエントリの追加] をクリックします。ルートエントリの追加 ダイアログボックスで、ルートエントリを設定します。

    パラメーター：

    • 宛先 CIDR：デフォルトの CIDR ブロック 0.0.0.0/0 に設定します。

    • ブラックホールルート：デフォルトのオプション いいえ に設定します。

    • ネクストホップ：ファイアウォール VPC インスタンス Cfw-TR-manual-VPC に対応する TR 接続インスタンス ID を選択します。

11. ルートテーブル タブで、左側のリストにあるシステムルートテーブルをクリックします。次に、詳細ページで ルートテーブル関連付け タブをクリックします。

    警告

    これらの操作は、オフピーク時間またはメンテナンスウィンドウ中に実行してください。次のステップにはルート切り替えが含まれており、長時間の TCP 接続で一時的な瞬断が発生する可能性があります。

12. ルートテーブル関連付け タブで、ネクストホップが VPC-01 と VPC-02 であるルートテーブルの関連付けを削除します。次に、ルートテーブル タブで、左側のリストにある Cfw-TR-RouteTable ルートテーブルをクリックします。

13. 詳細ページで、ルートテーブル関連付け タをクリックし、[関連付けの作成] をクリックします。

14. [関連付けの追加] ダイアログボックスで、ルートテーブル関連付け に VPC-01 と VPC-02 を選択し、OK をクリックします。

    このステップを完了すると、VPC-01 と VPC-02 からのトラフィックが Cfw-TR-RouteTable に関連付けられます。VPC-01 と VPC-02 間のトラフィックは、その後ファイアウォール VPC に転送されます。

ステップ 7: 設定の確認

ログ分析機能で CEN インスタンスからのトラフィックログを確認できます。関連するログが存在すれば、転送設定が成功していることが確認できます。詳細については、「ログ分析」をご参照ください。