関連トピック

# Amazon Web Services (AWS) への静的ルーティングの BOVPN 仮想インターフェイス

Fireware v11.12.2 以降では、Firebox を Amazon Web Services (AWS) 仮想ネットワークに接続するように BOVPN 仮想 インターフェイスを構成することができます。Amazon では、この仮想ネットワークは仮想プライベートクラウド (VPC) と呼ばれています。

この例は、Firebox BOVPN 仮想インターフェイスと AWS VPC 間の静的ルートの設定をまとめたものです。仮想インターフェイスを構成する一般的な手順については、BOVPN 仮想インターフェイスを構成する を参照してください。

事前共有キーと AWS IPアドレスを取得して、Firebox の構成を完了するためには、AWS VPC コンソールから構成ファイルをダウンロードする必要があります。VPN 接続 > 構成をダウンロードする の順に選択してから、汎用 ベンダーを選択します。
AWS VPN 設定の構成方法の詳細については、Amazon 仮想プライベートクラウド ユーザーガイド を参照してください。

## 構成例

### Firebox インターフェイス

この例では、Firebox に 1 つの外部インターフェイスおよび 1 つの信頼済みネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 203.0.113.2/24
1 | 信頼済み | 信頼済み | 10.0.1.1/24

### AWS インターフェイス

この例では、AWS VPN 構成に 2 つの外部仮想インターフェイスおよび 1 つの信頼済み仮想ネットワークがあるとします。

AWS VPN 構成には、リダンダンシーのための 2 つの外部 IP アドレスを持つ 1 つの仮想プライベート ゲートウェイが含まれています。AWS では、どのIP アドレスがプライマリ IP アドレスであるかが自動的に判断されます。

外部 IP アドレス間のフェールオーバーが既定で有効化されています。プライマリ AWS 外部 IP アドレスが利用できない場合は、VPN トラフィックが自動的に他の AWS 外部 IP アドレスにフェールオーバーされます。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 1 | 198.51.100.2/24
1 | 外部 | 外部 2 | 192.0.2.2/24
2 | 信頼済み | 信頼済み | 10.0.100.1/24

### Firebox 構成

両方の AWS 外部 IP アドレスを使用する冗長ゲートウェイを構成するには、2 つのゲートウェイ エンドポイントが含まれている 1 つの BOVPN 仮想インターフェイスを構成する必要があります。

Firebox の各ゲートウェイ エンドポイントに異なる事前共有キーを指定する必要があります。この場合、Fireware は v11.12.2 以降である必要があります。

ゲートウェイ設定 タブ：

- リモート エンドポイント タイプ は クラウド VPN またはサードパーティ ゲートウェイ です。
- 認証メソッド には、事前共有キーの使用 を選択します。
  テキスト ボックスは空のままにします。設定プロセスの後半で、ゲートウェイ エンドポイント設定で各ゲートウェイに異なる事前共有キーを指定する必要があります。
- ゲートウェイ エンドポイント の設定は以下の通りです。

- ローカル ゲートウェイ ID — 203.0.113.2 (Firebox の外部インターフェイス)
- リモートゲートウェイの IP アドレスと ID — 198.51.100.2 (AWS 仮想プライベート ゲートウェイの最初の IP アドレス)
- リモートゲートウェイの IP アドレスと ID — 192.0.2.2 (AWS 仮想プライベート ゲートウェイの 2 番目の IP アドレス)

各ゲートウェイ エンドポイントの 詳細 設定で、AWS 構成ファイルに含まれている事前共有キーを指定します。AWS 構成ファイルには、2 つの事前共有キー (各ゲートウェイ エンドポイントごとに 1 つずつ) が含まれています。

VPN ルート タブで、AWS VPC の信頼済み (プライベート) ネットワークへのルートを指定します。AWS 構成でこの IP アドレスを見つけるには、サブネット または ルート テーブル を選択します。

- 種類の選択 — ネットワーク IPv4
- ルーティング先 — 10.0.100.0/24

VPN ネゴシエーション中、AWS では Firebox の認証と暗号化アルゴリズムの設定が特定され、それがサポートされている場合は、自動的に同じ設定が使用されます。AWS では特定のプロポーザルがサポートされています。AWS にあるプロポーザルのリストは編集できません。

セキュリティを強化するために、両方のゲートウェイの フェーズ 1 の設定 タブで、以下の設定を選択することをお勧めします。

- 認証 — SHA2-256
- 暗号化 — AES (256 ビット)
- Diffie-Hellman グループ — 14

Fireware v12.0 以降では、既定の Diffie-Hellman 設定はグループ 14 です。Fireware v11.12.4 以降では、既定の Diffie-Hellman 設定はグループ 2 です。AWS では両方のグループがサポートされています。

他すべてのフェーズ 1 設定は、既定値のままにします。IKEv1 の既定の バージョン 設定を変更しないでください。AWS では IKEv2 はサポートされていません。

より強力なセキュリティを設定するために、フェーズ 2 の設定で既定の ESP-AES256-SHA256 変換を選択することをお勧めします。

Fireware v11.12.4 以下では、既定のフェーズ 2 の設定が異なります。Firebox で Fireware v11.12.4 以下を実行している場合は、暗号化に ESP、AES (256 ビット)、認証に SHA2-256 を指定する新しいフェーズ 2 プロポーザルを追加することをお勧めします。詳細については、フェーズ 2 のプロポーザルを追加する を参照してください。

両方のゲートウェイの フェーズ 2 の設定 タブ：

- Perfect Forward Secrecy を有効にする — 選択済み
- Diffie-Hellman グループ — グループ 14
- フェーズ 2 IPSec プロポーザル — ESP-AES256-SHA256

Fireware v12.0 以降では、既定の Diffie-Hellman 設定はグループ 14 です。Fireware v11.12.4 以降では、既定の Diffie-Hellman 設定はグループ 2 です。AWS では両方のグループがサポートされています。

### AWS 構成

AWS VPN 構成における設定：

- カスタマー ゲートウェイ アドレス — 203.0.113.2 (Firebox の外部インターフェイス)
- VPN 接続：
  - トンネル 1 — 198.51.100.2 (AWS 仮想プライベート ゲートウェイの最初の IP アドレス)
  - トンネル 2 — 192.0.2.2 (AWS 仮想プライベート ゲートウェイの 2 番目の IP アドレス)
- 静的ルート — 10.0.1.0/24 (Firebox の信頼済みネットワーク)

AWS VPC 設定の構成方法の詳細については、Amazon 仮想プライベートクラウド ユーザーガイドを参照してください。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索