このトピックでは、Cloud Firewall の VPC ファイアウォールの基本的な概念と利用シーンについて説明します。
VPC ファイアウォールとは
VPC ファイアウォールは、Virtual Private Cloud (VPC) 間、および VPC とオンプレミスデータセンター間のトラフィックを検査および制御します。ご利用の VPC が Cloud Enterprise Network (CEN) または Express Connect 回線を介して接続されている場合、VPC ファイアウォールを作成して、VPC 間および VPC とオンプレミスデータセンター間のトラフィックを制御できます。
VPC ファイアウォールは、アカウント間管理もサポートしています。たとえば、アカウント A が Cloud Enterprise Network (CEN) インスタンスと VPC_1 を所有し、アカウント B が VPC_2 を所有しているシナリオを考えます。両方の VPC がアカウント A の CEN インスタンスを介して接続されている場合、アカウント A を使用して Cloud Firewall Enterprise Edition または Ultimate Edition を購入し、VPC_1 と VPC_2 間のトラフィックを保護できます。
仕組み
VPC ファイアウォールの仕組みに関するアーキテクチャ図については、次のトピックをご参照ください。
保護範囲
Cloud Firewall は、3 種類の VPC ファイアウォールを提供します。ご利用のネットワークトポロジーに最も適したものを選択できます。
VPC ファイアウォールタイプ | シナリオ | 操作ガイド |
Enterprise Edition トランジットルーター向け VPC ファイアウォール | 保護をサポート：
保護をサポートしない： 複数 CCN 間のトラフィック | |
Basic Edition トランジットルーター向け VPC ファイアウォール | 保護をサポート：
保護をサポートしない：
| |
Express Connect 向け VPC ファイアウォール | 保護をサポート：
保護をサポートしない：
説明 クロスリージョン、アカウント間の VPC トラフィック、または VPC と VBR 間のトラフィックを保護する必要がある場合は、Cloud Enterprise Network の使用を推奨します。詳細については、チケットを起票してください。 |
VPC ファイアウォールは、ジャンボフレーム機能をサポートしていません。
仕様
VPC ファイアウォールの仕様には、VPC ファイアウォールインスタンスの数とトラフィック処理能力という 2 つの主要なメトリックがあります。
|
仕様 |
説明 |
サブスクリプション |
従量課金 |
|
VPC ファイアウォールインスタンスの数 |
作成可能な VPC ファイアウォールインスタンスの最大数。 |
クォータは、作成する VPC ファイアウォールインスタンスの数と購入する VPC トラフィック処理能力によって決まります。クォータが不足している場合は、仕様をアップグレードできます。詳細については、「Enterprise Edition トランジットルーター向け VPC ファイアウォールの設定」をご参照ください。 クォータは Cloud Firewall のエディションによって異なります。詳細については、「サブスクリプション 2.0」をご参照ください。 説明
トラフィックが購入した Cloud Firewall の処理能力を超えた場合、サービスレベルアグリーメント (SLA) は適用されません。これにより、アクセス制御ポリシー (ACL)、侵入防止システム (IPS)、ログ監査などのセキュリティ機能の失敗といったサービス低下がトリガーされる可能性があります。また、過剰なトラフィックを生成するアセットに対するファイアウォール保護の無効化や、スロットリングによるパケット損失が発生することもあります。 ご利用のクォータを超えるトラフィックスパイクが予想される場合は、弹性トラフィックの従量課金の課金方法を使用することを推奨します。 |
課金は、保護対象インスタンスの実際の数と処理された合計トラフィックに基づきます。クォータ制限は適用されません。課金の詳細については、「従量課金 2.0」をご参照ください。 |
|
VPC トラフィック処理能力 |
VPC 間で保護できる最大ピークトラフィック。 |
アセットの保護とクォータ使用量
VPC ファイアウォールページで、ご利用のアカウント内のアセットの保護ステータスを確認できます。
-
Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、スイッチ をクリックします。
-
VPC 境界ファイアウォール タブには、未作成および作成済みの VPC ファイアウォールの数と、ご利用のアカウントで利用可能なクォータが表示されます。また、ネットワーク要素の総数、および未保護と保護済みのネットワーク要素の数も確認できます。
ご利用のエディションで利用可能なクォータを使い切った場合は、アップグレードされたライセンスの数 をクリックしてクォータを増やします。各エディションでサポートされる VPC ファイアウォールインスタンスの数については、「サブスクリプション 2.0」をご参照ください。
[保護対象のネットワーク要素] セクションでは、表示されるデータが重複排除済みであることを示すヒントが表示されます。
-
[VPC ファイアウォール] セクションで、
アイコンをクリックして、Cloud Enterprise Network (CEN) (Enterprise Edition)、Cloud Enterprise Network (CEN) (Basic Edition)、および Express Connect の未作成および作成済みのファイアウォールインスタンスの数を表示します。 -
[保護対象のネットワーク要素] セクションで、
アイコンをクリックして、VPC、VBR、TR (トランジットルーター)、VPN ゲートウェイを含むネットワーク要素の合計数、未保護数、保護済み数を表示します。
データは次のように計算されます：
-
Cloud Enterprise Network (CEN) (Enterprise Edition)
-
未保護のネットワーク要素： VPC ファイアウォールで保護されていないネットワーク要素の数。これには VPC、VBR、TR、VPN ゲートウェイが含まれます。この数には、手動モードで管理されているネットワーク要素は含まれません。
-
保護済みのネットワーク要素： VPC ファイアウォールで保護されているネットワーク要素の数。これには VPC、VBR、TR、VPN ゲートウェイが含まれます。この数には、手動モードで管理されているネットワーク要素は含まれません。
-
利用可能なクォータ： 有効にした VPC ファイアウォールインスタンスの数。各 CEN トランジットルーターは 1 つのクォータを消費します。
-
-
Cloud Enterprise Network (CEN) (Basic Edition)
-
未保護のネットワーク要素： VPC ファイアウォールで保護されていない VPC の数。
-
保護済みのネットワーク要素： VPC ファイアウォールで保護されている VPC の数。
-
利用可能なクォータ： 有効にした VPC ファイアウォールインスタンスの数。各 VPC は 1 つのクォータを消費します。
-
-
Express Connect
-
未保護のネットワーク要素： VPC ファイアウォールで保護されていない VPC の数。
-
保護済みのネットワーク要素： VPC ファイアウォールで保護されている VPC の数。
-
利用可能なクォータ： 有効にした VPC ファイアウォールインスタンスの数。ローカル VPC とそのピア VPC からなる VPC の各ペアは、1 つのクォータを消費します。
-