Edge Network Acceleration:FortiGate を使用した ENS ノード間のサイト間 VPN

2.1 ライセンスのインポート

1. デフォルトのユーザー名は admin です。セキュリティリスクを軽減するため、初期設定後、できるだけ早くデフォルトのパスワードを変更してください。

FortiGate VM に SSH 経由でログインし、diagnose debug vm-print-license コマンドを実行して、現在のライセンスステータスを確認し、評価ライセンスであることを確認します。

tianhong@U-Y7T49NCJ-2218 ~ % ssh admin@112.13.209.140
admin@1xxx40's password:
FortiGate-VM64-KVM # diagnose debug vm-print-license
SerialNumber: FGVMEVO84K13L75D
CreateDate: Tue Jul  2 02:39:59 2024
Model: EVAL (1)
CPU: 1
MEM: 2048
VDOM license:
    permanent: 2
    subscription: 0
FortiGate-VM64-KVM #

2. FortiGate ライセンスの適用が必要です。このチュートリアルでは、ライセンス持ち込み (BYOL) 方式を使用します。

[FortiGate VM License] ダイアログボックスで、[Full license] を選択します。[Upload License File] エリアで、[Select file] をクリックしてライセンスファイルを選択し、[OK] をクリックします。

3. 重要：ライセンスをインポートすると、デバイスは自動的に再起動します。IPsec を設定するには、再度ログインする必要があります。

2.2 システムの初期化

1. 再起動後、Web ブラウザーでパブリック IP アドレスを HTTPS で入力して、FortiGate コンソールにアクセスします。

   FortiGate 管理ログインページで、[Username] と [Password] を入力し、[Login] をクリックします。

2. 初期設定ウィザードを完了します。

   FortiGate 設定ウィザードでは、[Register with FortiCare]、[Automatic Patch Upgrades]、[Dashboard Setup]、[Change Your Password] の 4 つの初期化ステップが表示されます。[Begin] をクリックして開始します。

3. 初回デプロイの場合、最新の安定バージョン (例：7.4.X) にアップグレードするか、ベンダーに相談することを推奨します。新しいバージョンでは、IPsec などの手動設定ステップを削減できます。コンソールにログインします。

   ログイン後、[Dashboard] > [Status] ページには、[System Information] (ホスト名、シリアル番号、ファームウェアバージョン、動作モード、システム時刻、WAN IP)、[Licenses] (FortiCare Support、IPS、AntiVirus、Web Filtering のアクティベーションステータス)、[Virtual Machine] (vCPU 割り当てと RAM サイズ)、[FortiGate Cloud] (アクティベーションステータス)、[Security Fabric] (接続ステータス)、およびリアルタイムの [CPU] 使用率など、いくつかのパネルが表示されます。現在のファームウェアバージョン (例：v7.2.8) を確認し、必要に応じて推奨される 7.4.X バージョンにアップグレードします。

4. 使用前にシステムの初期化が必要です。ナビゲーションペインで [Settings] を選択し、ホスト名やタイムゾーンなどのパラメーターを設定します。

   [Host name] を FortiGWENSTest に、[Time zone] を (GMT+8:00) Beijing, ChongQing, HongKong に設定します。

2.3 ネットワーク接続の確認

1. デバイス自体に ping を実行します：ping 10.0.100.2。

   FortiGWENSTest # exec ping 10.0.100.2
   PING 10.0.100.2 (10.0.100.2): 56 data bytes
   64 bytes from 10.0.100.2: icmp_seq=0 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=1 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=2 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=3 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=4 ttl=255 time=0.0 ms
   --- 10.0.100.2 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.0/0.0/0.0 ms

2. 同じ VPC 内のテスト VM に ping を実行します：ping 10.0.100.3。

   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

3. www.aliyun.com などのパブリックドメインに ping を実行して、インターネット接続を確認します。

   FortiGWENSTest #
   FortiGWENSTest # exec ping www.aliyun.com
   PING www.a.shifen.com (153.x.x.x): 56 data bytes
   64 bytes from 153.x.x.x: icmp_seq=0 ttl=46 time=13.6 ms
   64 bytes from 153.x.x.x: icmp_seq=1 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=2 ttl=46 time=10.4 ms
   64 bytes from 153.x.x.x: icmp_seq=3 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=4 ttl=46 time=10.0 ms
   --- www.aliyun.com ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 10.0/10.8/13.6 ms

4. これらの手順を完了すると、ENS 上の FortiGate アプライアンスの基本設定が完了します。

3.1 サイト 1 の設定

以下に示すように、設定ウィザードの手順に従います。

1. ナビゲーションペインで、[VPN] > [IPsec Tunnels] > [Create New] に移動し、[IPsec Tunnel] をクリックします。

2. 名前を入力し、[Site to Site] テンプレートを選択します。

   [Name] には toVPC2fortigate と入力します。[NAT Configuration] では、[No NAT between sites] を選択します。[Remote Device Type] では、[FortiGate] を選択します。

3. インターフェイスと事前共有キーを設定します。

   [Remote device] を [IP Address] に設定し、リモートのパブリック IP アドレスを入力します。[Outgoing Interface] を [port2] に設定します。[Authentication method] で [Pre-shared Key] を選択し、事前共有キーを入力します。

4. トラフィックセレクター (VPN 接続のローカルおよびリモートサブネット) を設定します。

   [Policy & Routing] ステップで、[Local Interface] を [port4] に設定します。[Local Subnets] を 10.0.100.0/24 に、[Remote Subnets] を 172.16.100.0/24 に設定します。[Internet Access] では、[None] を選択します。

5. 設定の概要を確認し、[Create] をクリックします。

   [Review Settings] ページの [Object Summary] には、次の設定が表示されます：[Phase 1 interface] は toVPC2fortigate、[Local address group] は toVPC2fortigate_local、[Remote address group] は toVPC2fortigate_remote、[Phase 2 interface] は toVPC2fortigate、[Static route] と [Blackhole route] は両方とも static、[Local to remote policies] は vpn_toVPC2fortigate_local、[Remote to local policies] は vpn_toVPC2fortigate_remote です。

6. ファイアウォールポリシーを設定します。[Policy & Objects] > [Firewall Policy] の下で、プライベートネットワークから IPsec トンネルへのトラフィック、およびトンネルからプライベートネットワークへのトラフィックを許可するポリシーを作成します。注：新しいバージョンでは、VPN 設定テンプレートによってこれらのポリシーが自動的に生成される場合があります。FortiGate の公式マニュアルをご参照ください。

   この例では、2 つの VPN ポリシーが作成されます：[vpn_toVPC2fortigate_local] は [port4] から [toVPC2fortigate] へのトラフィック用 (送信元 [toVPC2fortigate_local]、宛先 [toVPC2fortigate_remote])、[vpn_toVPC2fortigate_remote] は [toVPC2fortigate] から [port4] へのトラフィック用 (送信元 [toVPC2fortigate_remote]、宛先 [toVPC2fortigate_local]) です。両方のポリシーで、[Service] は [ALL]、[Action] は [ACCEPT]、[Schedule] は [always]、[NAT] は [Disabled] に設定されています。

7. ビジネストラフィック用の静的ルートを設定します。ナビゲーションペインで、[Network] -> [Static Routes] に移動し、リモートサブネット宛てのトラフィックを IPsec VPN トンネル経由で転送するルートを手動で設定します。注：新しいバージョンでは、VPN 設定テンプレートによってこのステップが自動化される場合があります。

   [New Static Route] フォームで、[Destination] を [Subnet] に設定し、値を 172.16.100.0/24 とします。[Interface] を [toVPC2fortigate] に設定します。[Administrative Distance] を 10 に、[Status] を [Enabled] に設定します。

   静的ルートリストには、VPN ウィザードによって作成されたトンネルルートと対応するブラックホールルート (宛先 [toVPC2fortigate_remote]、インターフェイス [toVPC2fortigate]、コメント [VPN: toVPC2fortigate (Created by VPN wizard)])、および手動で追加されたその他のビジネスルートが含まれます。

8. テスト用にインターフェイスで ping を有効にします。デフォルトでは、インターフェイスアドレスへの ping は無効になっています。リスト内のポートをダブルクリックして設定を編集し、手動で有効にします。

   [port4] インターフェイスを編集します。[Addressing mode] を [Manual] に設定し、[IP/Netmask] に 10.0.100.2/255.255.255.0 を入力します。[Administrative Access] エリアで、[PING] のみを選択します。

   設定後、[port4] インターフェイスの IP アドレスは 10.0.100.2/255.255.255.0 になり、[Administrative Access] の下で [PING] が有効になります。

3.2 サイト 2 の設定

• [VPN] > [IPsec Tunnels] ページで、[Site to Site - FortiGate] グループの下に [toVPC1] という名前のトンネルが確立されています。その [Interface Binding] は [port2] で、[Status] は [Up] (緑色) です。

  [Network] > [Static Routes] ページで、VPN ウィザードは自動的に 2 つの静的ルートを作成しました。1 つ目は宛先が [toVPC1_remote]、インターフェイスが [toVPC1] (VPN トンネル) で、ステータスは [Enabled] です。2 つ目は同じ宛先を持つ [Blackhole] ルートで、ステータスは [Enabled] です。両方のルートには [VPN: toVPC1 (Created by VPN wizard)] というコメントが付いています。

  [Policy & Objects] > [Firewall Policy] ページで、VPN ウィザードは自動的に 2 つの双方向ファイアウォールポリシーを作成しました。ポリシー [vpn_toVPC1_local] (port4 → toVPC1) は、送信元 toVPC1_local、宛先 toVPC1_remote のトラフィックを許可します。ポリシー [vpn_toVPC1_remote] (toVPC1 → port4) は、送信元 toVPC1_remote、宛先 toVPC1_local のトラフィックを許可します。両方のポリシーで、[Service] は [ALL]、[Action] は [ACCEPT]、[Schedule] は [always]、[NAT] は [Disabled] に設定されています。