関連トピック

# Amazon Web Services (AWS) への動的ルーティングの BOVPN 仮想インターフェイス

Fireware v11.12.2 以降では、Firebox を Amazon Web Services (AWS) 仮想ネットワークに接続するように BOVPN 仮想 インターフェイスを構成することができます。Amazon では、この仮想ネットワークは仮想プライベートクラウド (VPC) と呼ばれています。

この例は、Firebox BOVPN 仮想インターフェイスと AWS VPC の間の動的ルートの設定をまとめたものです。AWS では BGP 動的ルーティング プロトコルがサポートされています。OSPF はサポートされていません。

仮想インターフェイスを構成する手順については、BOVPN 仮想インターフェイスを構成する を参照してください。

事前共有キーと AWS IPアドレスを取得して、Firebox の構成を完了するためには、AWS VPC コンソールから構成ファイルをダウンロードする必要があります。VPN 接続 > 構成をダウンロードする の順に選択してから、汎用 ベンダーを選択します。
AWS VPN 設定の構成方法の詳細については、Amazon 仮想プライベートクラウド ユーザーガイド を参照してください。

## 構成例

### Firebox インターフェイス

この例では、Firebox に 1 つの外部インターフェイスおよび 1 つの信頼済みネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 203.0.113.2/24
1 | 信頼済み | 信頼済み | 10.0.1.1/24

### AWS インターフェイス

この例では、AWS VPN 構成に 2 つの外部仮想インターフェイスおよび 1 つの信頼済み仮想ネットワークがあるとします。

AWS VPN 構成には、リダンダンシーのための 2 つの外部 IP アドレスを持つ 1 つの仮想プライベート ゲートウェイが含まれています。AWS では、どのIP アドレスがプライマリ IP アドレスであるかが自動的に判断されます。

外部 IP アドレス間のフェールオーバーが既定で有効化されています。プライマリ AWS 外部 IP アドレスが利用できない場合は、VPN トラフィックが自動的に他の AWS 外部 IP アドレスにフェールオーバーされます。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 1 | 198.51.100.2/24
1 | 外部 | 外部 2 | 192.0.2.2/24
2 | 信頼済み | 信頼済み | 10.0.100.1/24

### Firebox 構成

両方の AWS 外部 IP アドレスを使用するように冗長ゲートウェイを構成するには、2 つの BOVPN 仮想インターフェイスを構成する必要があります。

最初の仮想インターフェイス (この例では、toAWS-1) のゲートウェイ設定 タブで、以下のように設定します。

- リモート エンドポイント タイプ は クラウド VPN またはサードパーティ ゲートウェイ です。
- 認証メソッド には、事前共有キーの使用 を選択します。IPSec トンネル＃1 の AWS VPN 構成ファイルに含まれている事前共有キーを指定します。
- ゲートウェイ エンドポイント の設定は以下の通りです。

- ローカル ゲートウェイ ID — 203.0.113.2 (Firebox の外部インターフェイス)
- リモートゲートウェイの IP アドレスと ID — 198.51.100.2 (AWS 仮想プライベート ゲートウェイの最初の IP アドレス)

2 番目の仮想インターフェイス (この例では、toAWS-2)：

- リモート エンドポイント タイプ は クラウド VPN またはサードパーティ ゲートウェイ です。
- 認証メソッド には、事前共有キーの使用 を選択します。
  IPSec トンネル＃2 の AWS VPN 構成ファイルに含まれている事前共有キーを指定します。
- ゲートウェイ エンドポイント の設定は以下の通りです。
  - ローカル ゲートウェイ ID — 203.0.113.2 (Firebox の外部インターフェイス)
  - リモートゲートウェイの IP アドレスと ID — 192.0.2.2 (AWS 仮想プライベート ゲートウェイの 2 番目の IP アドレス)

VPN ルート タブで、AWS VPN 構成ファイルに含まれている仮想 IP アドレスを指定します。AWS により割り当てられるネットマスクは常に /30 (255.255.255.252) です。

最初の仮想インターフェイス (toAWS-1)：

- 仮想インターフェイスの IP アドレスを割り当てる — 選択済み
- ローカル IP アドレス — 169.254.11.254
  AWS VPN 構成ファイルの IPSec トンネル＃1 セクションでは、これはインサイド カスタマー ゲートウェイの IP アドレスとなります。
- ピア IP アドレスまたはネットマスク — 255.255.255.252
  AWS VPN 構成ファイルの IPSec トンネル＃1 セクションでは、これはインサイド カスタマー ゲートウェイのネットマスクとなります。

2 番目の仮想インターフェイス (toAWS-2)：

- 仮想インターフェイスの IP アドレスを割り当てる — 選択済み
- ローカル IP アドレス — 169.254.9.162
  AWS VPN 構成ファイルの IPSec トンネル＃2 セクションでは、これはインサイド カスタマー ゲートウェイの IP アドレスとなります。
- ピア IP アドレスまたはネットマスク — 255.255.255.252
  AWS VPN 構成ファイルの IPSec トンネル＃2 セクションでは、これはインサイド カスタマー ゲートウェイのネットマスクとなります。

VPN ネゴシエーション中、AWS では Firebox の認証と暗号化アルゴリズムの設定が特定され、それがサポートされている場合は、自動的に同じ設定が使用されます。AWS では特定のプロポーザルがサポートされています。AWS にあるプロポーザルのリストは編集できません。

より強力なセキュリティを設定するために、両方の仮想インターフェイスの フェーズ 1 設定 タブで以下の設定を使用することをお勧めします。

- 認証 — SHA2-256
- 暗号化 — AES (256 ビット)
- Diffie-Hellman グループ — 14

Fireware v12.0 以降では、既定の Diffie-Hellman 設定はグループ 14 です。Fireware v11.12.4 以降では、既定の Diffie-Hellman 設定はグループ 2 です。AWS では両方のグループがサポートされています。

他すべてのフェーズ 1 設定は、既定値のままにします。IKEv1 の既定の バージョン 設定を変更しないでください。AWS では IKEv2 はサポートされていません。

より強力なセキュリティを設定するために、フェーズ 2 の設定で既定の ESP-AES256-SHA256 変換を選択することをお勧めします。

Fireware v11.12.4 以下では、既定のフェーズ 2 の設定が異なります。Firebox で Fireware v11.12.4 以下を実行している場合は、暗号化に ESP、AES (256 ビット)、認証に SHA2-256 を指定する新しいフェーズ 2 プロポーザルを追加することをお勧めします。詳細については、フェーズ 2 のプロポーザルを追加する を参照してください。

両方の仮想インターフェイスの フェーズ 2 の設定 タブで、以下のようにします：

- Perfect Forward Secrecy を有効にする — 選択済み
- Diffie-Hellman グループ — グループ 14
- フェーズ 2 IPSec プロポーザル — ESP-AES256-SHA256

Fireware v12.0 以降では、既定の Diffie-Hellman 設定はグループ 14 です。Fireware v11.12.4 以降では、既定の Diffie-Hellman 設定はグループ 2 です。AWS では両方のグループがサポートされています。

AWS BGP ASN および 仮想 IP アドレス (BGP ピア アドレス) は AWS により定義され、これを変更することはできません。この例では、Firebox BGP の動的ルート構成には、IP アドレスに対して以下のコマンドがあります。

    router bgp 10001

    !

    ! to AWS VPC 1st ext-if

    !

    neighbor 169.254.11.253 remote-as 7224

    neighbor 169.254.11.253 activate

    neighbor 169.254.11.253 timers 10 30

    !

    ! to AWS VPC 2nd ext-if

    !

    neighbor 169.254.9.161 remote-as 7224

    neighbor 169.254.9.161 activate

    neighbor 169.254.9.161 timers 10 30

    !

    ! To advertise additional prefixes to Amazon VPC, copy the 'network' statement

    ! and identify the prefix you wish to advertise. Make sure the prefix is present

    ! in the routing table of the device with a valid next-hop.

    !

    network 10.0.1.0/24

Firebox に複数の信頼済みネットワークを構成し、追加の信頼済みネットワークへのルートが AWS で学習されるようにする場合は、追加の ネットワーク コマンドを使用してください。例:

network 10.0.1.0/24

ネットワーク 10.0.2.0/24

### AWS 構成

AWS VPN 構成ファイルにおける設定：

IPSec トンネル #1：

- 外部 IP アドレス：
  - カスタマー ゲートウェイ — 203.0.113.2 (Firebox の外部インターフェイス)
  - 仮想プライベート ゲートウェイ — 198.51.100.2 (AWS 仮想プライベート ゲートウェイの最初の IP アドレス)
- 内部 IP アドレス：
  - カスタマー ゲートウェイ — 169.254.11.254/30 (Firebox の最初の仮想インターフェイスの IP アドレス)
  - 仮想プライベート ゲートウェイ — 169.254.11.253 (AWS VPN の最初の仮想インターフェイスの IP アドレス)
- BGP：
  - ネイバー IP アドレス — 169.254.11.254
  - カスタマー ゲートウェイ ASN — 10001 (Firebox の BGP ASN)

IPSec トンネル #2：

- 外部 IP アドレス：
  - カスタマー ゲートウェイ — 203.0.113.2 (Firebox の外部インターフェイス)
  - 仮想プライベート ゲートウェイ — 192.0.2.2 (AWS 仮想プライベート ゲートウェイの 2 番目の IP アドレス)
- 内部 IP アドレス：
  - カスタマー ゲートウェイ — 169.254.9.162/30 (Firebox の 2番目の仮想インターフェイスの IP アドレス)
  - 仮想プライベート ゲートウェイ — 169.254.9.161 (AWS VPN の 2 番目の仮想インターフェイスの IP アドレス)
- BGP：
  - ネイバー IP アドレス — 169.254.9.162
  - カスタマー ゲートウェイ ASN — 10001 (Firebox の BGP ASN)

AWS VPC の構成方法の詳細については、Amazon 仮想プライベートクラウド ユーザーガイド を参照してください。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索