関連トピック

# AWS 上に Firebox Cloud を配備する

## 開始する前に

Firebox Cloud を使用する前に、AWS アカウントを作成する必要があります。AWS アカウントをセットアップするときに、AWS マネジメント コンソールにログインするために使用する請求情報とセキュリティ認証情報を指定します。

AWS を回避する方法の詳細については、次を参照してください：

http://docs.aws.amazon.com/gettingstarted/latest/awsgsg-intro/gsg-aws-intro.html

AWS マネジメント コンソールの詳細については、次を参照してください：

http://docs.aws.amazon.com/awsconsolehelpdocs/latest/gsg/getting-started.html

## 配備の概要

Firebox Cloud のインスタンスを AWS に配備するには、次の手順を完了する必要があります。

仮想プライベート クラウド (VPC) を作成する

VPC ウィザードを使用して、パブリックとプライベートのサブネットをもつ VPC を作成します。

NAT インスタンスを終了します

VPC ウィザードにより VPC に対して自動的に作成された NAT インスタンスを終了します。Firebox Cloud のインスタンスがこの VPC のサブネットに対して NAT 機能を完了するため、この既定の NAT インスタンスは終了できます。

Firebox Cloud のインスタンスを作成します

次のプロパティを含む Firebox Cloud の EC2 インスタンスを起動します。

- VPC の構成 — パブリックとプライベートのサブネットをもつ VPC
- AMI — WatchGuard Firebox Cloud
- インスタンスの種類 — BYOL ライセンスによる Firebox Cloud を選択する場合、購入した Firebox Cloud ライセンスと同じ数の vCPU をもつインスタンスの種類を選択します。

- ネットワーク — パブリックとプライベートのサブネットをもつ VPC
- インターフェイス — Eth0 はパブリック サブネットを使用し、Eth1 はプライベート サブネットを使用する必要があります。
- ストレージ — 既定のサイズを使用します
- セキュリティ グループ — すべてのインバウンド トラフィックを許可します

Firebox Cloud (BYOL) および Firebox Cloud (Hourly) に対応する EC2 インスタンスの種類については、AWS マーケットプレイス の Firebox Cloud 製品情報を参照してください。

Firebox で発信元/宛先のチェックを無効にします

VPC の NAT デバイスとして Firebox Cloud を機能させるには、Firebox Cloud のインスタンスで発信元/宛先を無効にする必要があります。

Firebox Cloud のインスタンスに Elastic IP アドレスを割り当てます

Firebox Cloud のインスタンスの eth0 インターフェイスに Elastic IP (EIP) アドレスを割り当てます 終了した NAT インスタンスに割り当てられていた EIP アドレスまたはその他の任意の EIP アドレスを使用できます。

プライベート ネットワークの既定のルートを構成します

Firebox Cloudを既定のゲートウェイとしてs表するように、プライベート サブネットのルーティングを変更します。

インスタンスのステータスをチェックします

Firebox Cloud のインスタンスの状態をチェックして、電源が入っていること、パブリック IP アドレスと DNS サーバーが割り当てられていること、正しいセキュリティ グループが構成されていることを確認します。

これらの各手順はの詳細は次のセクションにあります。

## パブリックとプライベートのサブネットをもつ VPC を作成する

パブリックとプライベートのサブネットをもつ VPC がない場合は、ここで作成する必要があります。

VPC ウィザードを使用して、次の手順で VPC を作成します。

1. aws.amazon.com から AWS マネジメント コンソールにログインします。
2. サービス > VPC の順に選択します。
3. VPC ウィザードを開始する をクリックします。
4. ページ左側で、パブリックとプライベートのサブネットをもつ VPC を選択します。

1. 選択 をクリックします。
   パブリックとプライベートのサブネットの構成設定が表示されます。
2. VPC 名テキスト ボックスで、VPC を識別する名前を入力します。
3. パブリックとプライベートのサブネットを構成します。既定のパブリックとプライベートのサブネットを使用するか、またはその他のサブネットを選択できます。
4. 各サブネットにアベイラビリティ ゾーンを設定します。パブリック サブネットとプライベート サブネットが同じゾーンにあることを確認します。
5. NAT の設定で、代わりに NAT インスタンスを使用するをクリックします。
   NAT インスタンスの設定が表示されます。既定のインスタンスの設定を使用できます。

後で NAT インスタンスを終了し、NAT Firebox Cloud のインスタンスを NAT に使用します。

1. VPC の作成 をクリックします。
   ウィザードにより、VPC と関連する NAT インスタンスが作成されます。
2. OK をクリックし、VPC ダッシュボードに移動します。
3. サブネット を選択して、VPC のサブネットとルーティング情報を確認します。
   リストをフィルタするには、VPC 別にフィルタ ドロップダウン リストから該当する VPC を選択します。

## NAT インスタンスを終了します

VPC ウィザードにより、VPC に対して NAT インスタンスが自動的に作成されます。Firebox により VPC 用の NAT サービスが提供されるため、この既定の NAT インスタンスは必要ありません。自動的に作成された NAT インスタンスは EC2 インスタンス ページから終了できます。

既定で、自動的に作成された NAT インスタンスには関連付けられているタグはありません。2 つ以上のタグなしの NAT インスタンスがある場合、VPC に関連付けられているインスタンスのみを終了します。

どのインスタンスが NAT インスタンスかを確認するには、次の手順を実行します。

1. EC2 インスタンス ページで、インスタンスを選択します。
   インスタンス情報がページ下部に表示されます。
2. インスタンスの VPC ID が VPC に一致することを確認します。
3. AMI ID が NAT インスタンスのものであることを確認します。NAT インスタンスの AMI ID は amzn-ami-vpc-nat で始まります。

NAT インスタンスを終了するときに、NAT インスタンスに割り当てられている Elastic IP (EIP) を解放するかを選択できます。この手順では、EIP アドレスを解放しないため、Firebox Cloud のインスタンスに後で割り当てることができます。

NAT インスタンスに関連付けられた EIP を Firebox Cloud のインスタンスに割り当てたい場合は、NAT インスタンスを終了する前に EIP アドレスをコピーします。これにより、Firebox Cloud のインスタンスに EIP アドレスを容易に確認できます。

NAT インスタンスを終了するには、次の手順で実行します。

1. NAT インスタンスを選択します。
2. アクション > インスタンスの状態 > 終了 の順に選択します。
3. はい、終了します を選択します。

## Firebox Cloud のインスタンスを作成する

EC2 ダッシュボードから、Firebox Cloud の EC2 インスタンスを作成できます。

Firebox Cloud のインスタンスを作成するには、次の手順を実行します。

1. サービス > EC2 の順に選択します。
2. ナビゲーション ウィンドウで AMI を選択します。
3. WatchGuard Firebox Cloud AMI を選択します。

1. Launch をクリックします。

1. AWS インスタンスを選択します。BYOL ライセンスによる Firebox Cloud を選択した場合、ご使用の Firebox Cloud ライセンスに対応する数の vCPU をもつインスタンスを選択します。
   - 各 Firebox Cloud モデルの vCPU の数の詳細は、次を参照してください：Firebox Cloud の概要
   - Firebox Cloud (BYOL) および Firebox Cloud (Hourly) に対応する EC2 インスタンスの種類については、AWS マーケットプレイス の Firebox Cloud 製品情報を参照してください。
2. Next: Configure Instance Details をクリックします。
   Configure Instance Details の手順が表示されます。

1. ネットワーク ドロップダウン リストから、VPC を選択します。
2. サブネット ドロップダウン リストから、eth0 に使用するパブリック サブネットを選択します。
   選択したサブネットが eth0 の ネットワーク インターフェイス セクションに表示されます。
3. 2 つ目のインターフェイスを追加するには、ネットワーク インターフェイス セクションで デバイスの追加 をクリックします。
   Eth1 がネットワーク インターフェイスのリストに追加されます。
4. eth1 の サブネット ドロップダウン リストから、eth1 に使用するプライベート サブネットを選択します。
5. Next: Add Storage をクリックします。

1. 既定のストレージ サイズ（5 GB）を使用します。Next: Add Tags をクリックします。

1. 値 テキスト ボックスに、このインスタンスを識別する名前を入力します。
2. Next: Configure Security Group をクリックします。

既定で、インスタンスは基本ファイアウォールとして機能するセキュリティ グループを使用します。Firebox Cloud はファイアウォールであるため、すべてのトラフィックを許可する新しいセキュリティ グループを追加し、この EC2 インスタンスにそのセキュリティ グループを割り当てる必要があります。

1. 既存のセキュリティ グループを選択するか、またはすべてのトラフィックを許可する新しいセキュリティ グループを追加します。
   新しいセキュリティ グループを作成する場合、種類 ドロップダウン リストから すべてのトラフィック を選択します。
2. Review and Launch をクリックします。
   インスタンスの設定情報が表示されます。
3. Launch をクリックします。
   キー ペアの設定 ダイアログ ボックスが表示されます。

## SSH 認証用のキー ペアを選択または作成する

新しい EC2 インスタンスを起動するときに、キー ペアを選択または作成できます。キー ペアは、Firebox Cloud の Fireware コマンドライン インターフェイス（CLI）への ssh 接続にのみ必要となります。Fireware Web UI への接続にはキー ペアは必要ありません。キー ペアなしで手順を進める場合、Fireware Web UI にログインできますが、VPC 以外から CLI に接続することはできません。

プライベート キー ファイルにアクセスできる場合、既存のキー ペアを使用できます。または、新しいキー ペアを作成して、プライベート キー ファイルをダウンロードできます。

既存のキー ペアを使用する場合:

1. 上部のドロップダウン リストから、Choose existing key pair を選択します。

1. Select a key pair ドロップダウン リストから、既存のキー ペアを選択します。
2. チェック ボックスを選択して、選択したプリベート キー ファイルにアクセスできることを承認します。
3. Launch Instances をクリックします。

新しいキー ペアを作成するには、次の手順を実行します。

1. ドロップダウン リストから、Create a new key pair を選択します。

1. キー ペアの名前 テキスト ボックスに、新しいキー ペアの名前を入力します。
2. Download Key Pair をクリックします。
   プライベート キーを含む .PEM ファイルがダウンロードされます。
3. 安全でアクセス可能な場所にプライベート キーを保存します。プライベート キー ファイルは再ダウンロードすることはできません。
4. Launch Instances をクリックします。

## 発信元/宛先のチェックを無効にする

既定では、各 EC2 インスタンスが発信元/宛先のチェックを実行します。VPC のネットワークが NAT の Firebox Cloud のインスタンスを使用できるようにするには、Firebox Cloud のインスタンスに割り当てられたネットワーク インターフェイスで発信元/宛先のチェックを無効にする必要があります。

パブリック インターフェイスで発信元/宛先のチェックを無効にするには、次の手順を実行します。

1. EC2 管理コンソールで、インスタンス > インスタンス を選択します。
2. Firebox Cloud のインスタンスを選択します。
3. アクション > 発信元/宛先のチェックの変更 の順に選択します。.
   確認メッセージにこのinsタンスのパブリック インターフェイスが含まれています。

1. はい、無効にしますをクリックします。
   発信元/宛先のチェックがパブリック インターフェイスに対して無効になります。

プライベート インターフェイスで発信元/宛先のチェックを無効にするには、次の手順を実行します。

1. EC2 管理コンソールで、ネットワークとセキュリティ > ネットワーク インターフェイス を選択します。
2. ご使用の VPC のインターフェイスを選択します。
3. アクション > 発信元/宛先のチェックの変更 の順に選択します。
4. 無効化 を選択します。
5. 保存 をクリックします。

## 外部インターフェイスに Elastic IP アドレスを割り当てる

Firebox Cloud のインスタンスの eth0 インターフェイスに Elastic IP (EIP) アドレスを割り当てる必要があります。終了した NAT インスタンスに割り当てられていた EIP アドレスまたは使用可能なその他の任意の EIP アドレスを使用できます。EIP アドレスを正しいインターフェイスに割り当てるには、Firebox Cloud のインスタンスの eth0 インターフェイス ID を見つけてコピーします。

Firebox Cloud のインスタンスの eth0 インターフェイス ID を見つけるには、次の手順を実行します。

1. EC2 管理コンソールで、インスタンス を選択します。
2. Firebox Cloud のインスタンスを選択します。
   インスタンスの詳細が表示されます。
3. eth0 ネットワーク インターフェイスをクリックします。
   ネットワーク インターフェイスの詳細情報が表示されます。
4. インターフェイス ID の値をコピーします。

Elastic IP アドレスを eth0 インターフェイスに割り当てるには、次の手順を実行します。

1. EC2 管理コンソールで、ネットワークとセキュリティ > Elastic IPs を選択します。
2. 使用可能な Elastic IP アドレスを選択します。
3. アクション > アドレスを関連付ける の順に選択します。
   アドレスを関連付ける ページが表示されます。

1. リソースの種類 の設定で、ネットワーク インターフェイス を選択します。
2. ネットワーク インターフェイス テキスト ボックスに、eth0 のインターフェイス ID を貼り付けます、
3. Associate を選択します。

これで、EIP アドレスを使用して Firebox Cloud のインスタンスの Fireware Web UI に接続できます。

Fireware Wen UI にS津族するには、Web ブラウザを開き、https://<eth0_EIP>:8080 にアクセスします。

Firebox Cloud のインスタンスに関連付けられてた EIP アドレスを変更する場合、Firebox Cloud が新しい EIP アドレスを使用できるようになる前に AWS コンソールを使用してインスタンスを停止して再起動する必要があります。

## 既定のルートを構成する

Firebox Cloud が eth1 に接続されたプライベート ネットワークからのアウトバウンド トラフィックを管理できるようにするには、プライベート サブネットの既定のゲートウェイとして Firebox Cloud を使用するようにルート テーブルを変更する必要があります。

プライベート ネットワークのネットワーク インターフェイス ID を見つけるには、次の手順を実行します。

1. EC2 ダッシュボードで、ネットワークとセキュリティ > ネットワーク インターフェイス を選択します。
2. ご使用のインスタンス ID のプライベート ネットワーク インターフェイスを探します。これはパブリック IP アドレスが割り当てられていないインターフェイスです。
3. ネットワーク インターフェイス ID をコピーします。

ルート テーブルを編集するには、以下の手順を実行します：

1. サービス > VPC の順に選択します。
2. ルート テーブル を選択します。
3. プライベート ネットワークのインターフェイスを探すには、VPC の各ルート テーブルを一つずつ選択します。
   ルート テーブルごとのインターフェイス情報を含むルート テーブルの詳細が表示されます。
4. 各ネットワークのルートを確認するには、ルート タブを選択します。
   プライベート インターフェイスでは、NAT のターゲットが VPC ウィザードにより終了済みの NAT インスタンスに設定されているため、既定のルートのステータスはブラックホールになります。

1. プライベート ネットワークの ルート タブで、編集 をクリックします。
2. ターゲット テキスト ボックスに、プライベート ネットワーク インターフェイスのインターフェイス ID を貼り付けます、
   ルートのステータスがブラックホールから有効に変わります。

1. 保存 をクリックします。

## インスタンスのステータスを確認する

Firebox Cloud のインスタンスを配備するすべての手順を終了した後、EC2 インスタンス ページでインスタンスの詳細を見直して、次の点を確認します。

- パブリック IP アドレスとパブリック DNS サーバーが割り当てられている
- すべてのトラフィックを許可するセキュリティ グループが割り当てられている

## Firebox Cloud ライセンスをアクティベートする（BYOL のみ）

ご使用の Firebox Cloud のインスタンスに BYOL ライセンスが付与されている場合、WatchGuard ポータルで Firebox Cloud のシリアル番号をアクティベートする必要があります。Firebox Cloud をアクティベートする前に、WatchGuard から受け取った Firebox Cloud のシリアル番号を用意し、AWS EC2 のインスタンス ID を知っておく必要があります。

Firebox Cloud ライセンスをアクティベートするには、次の手順を実行します。

1. www.watchguard.com にアクセスします。
2. サポート をクリックします。
3. 製品をアクティブにする をクリックします。
4. WatchGuard カスタマーまたは Partner ポータル アカウントにログインします。アカウントをお持ちでない場合は、作成することができます。
5. 必要があれば、サポートセンターに移動して、マイ WatchGuard > 製品のアクティベート の順で選択します。
6. プロンプトが表示されたら、Firebox Cloud のシリアル番号と EC2 のインスタンス ID を入力します。
7. アクティベーションが完了したら、機能キーをコピーし、ローカル ファイルに保存します。

## Firebox Cloud セットアップ ウィザードを実行する

Fireware Cloud を配備した後、パブリック IP アドレスで Fireware Web UI に接続して、Firebox Cloud セットアップ ウィザードを実行できます。ウィザードを使用して、Firebox Cloud の管理パスワードを設定します。

Firebox Cloud セットアップ ウィザードを実行するには、次の手順を実行します。

1. eth0 Elastic IP アドレスが割り当てられた Firebox Cloud の Fireware Web UI に接続します。
   https://<eth0_EIP>:8080
2. 次の既定の管理者アカウントのユーザー名とパスフレーズを使用してログインします。
   - ユーザー名 — admin
   - パスフレーズ — Firebox Cloud インスタンス ID

   Firebox Cloud セットアップ ウィザードの ようこそ ページが表示されます。

3. 次へ をクリックします。
   セットアップ ウィザードが開始します。
4. エンドユーザー使用許諾契約を読んで同意します。次へ をクリックします。

1. ビルトイン ステータス および admin ユーザー アカウントの新しいパスフレーズを指定します。
2. 次へ をクリックします。
   設定が Firebox Cloud に保存され、ウィザードが終了します。

## Fireware Web UI に接続する

Fireware Web UI に接続して Firebox Cloud を管理するには、次の手順を実行します。

1. Web ブラウザを開き、次の Firebox Cloud のインスタンスの eth0 Elastic IP アドレスに移動します:
   https://<eth0_EIP>:8080
2. admin ユーザー アカウントでログインします。Firebox Cloud セットアップ ウィザードで設定したパスフレーズを指定します。

既定では、Firebox Cloud にはデバイス管理者の認証情報をもつ 2 名以上のユーザーが同時にログインすることができます。2 名以上の管理者による変更を防ぐため、設定は既定でロックされています。構成をロック解除して変更を行うには、 をクリックしてください。

1 名のでデバイス管理者のみにログインを制限したい場合は、システム > グローバル設定 を選択し、複数のデバイス管理者が同時に Firebox にログインすることを許可する チェック ボックスをクリアします。

## 機能キー（BYOL のみ）を追加する

WatchGuard ポータルで Firebox Cloud ライセンスをアクティブ化した場合、WatchGuard から機能キーを直接使用できます。Firebox Cloud のすべての機能と設定オプションを有効にするには、この機能キーを Firebox Cloud に追加する必要があります。

機能キーを追加した後、Firebox Cloud が新しいシリアル番号で自動的に再起動します。

機能キーを追加するには、Fireware Web UI から次の手順を実行します。

1. システム > 機能キー の順に選択します。
   機能キー ウィザードが表示されます。

1. 構成ファイルをロック解除するには、 をクリックします。
2. 機能キーをダウンロードしてインストールするには、次へ をクリックします。
3. 概要 ページで、機能キーが正常にインストールされていることを確認します。
   機能キーがインストールされていると、概要 ページに 機能キーが正常に取得されました と表示されます。

1. 次へ をクリックします。
   ウィザードが終了し、Firebox Cloud が新しいシリアル番号で再起動します。

## 次の手順

セットアップ ウィザードを実行し、機能キーを追加した後、Fireware Web UI にログインし、Firebox Cloud の設定を構成できます。

### 機能キーの同期化を有効化する（BYOL のみ）

サービスの期限切れが近づいたら、Firebox Cloud が機能キーの更新を自動的にチェックするようにするには、次の手順を実行します。

1. システム > 機能キー の順に選択します。
2. 機能キーの自動同期化を有効化 チェックボックスを選択します。
3. 保存 をクリックします。

### Firebox Cloud がフィードバックを WatchGuard に送信するように設定する

Firebox Cloud がフィードバックを WatchGuard に送信するように設定するには、次の手順を実行します。

1. システム > グローバル設定 の順に選択します。
2. デバイスのフィードバックを WatchGuard に送信する チェック ボックスをオンにします。
3. 障害レポートを毎日 WatchGuard に送信する チェック ボックスを選択します。

### ファイアウォール ポリシーとサービスを設定する

他の Firebox と同様に、ポリシーとサービスを設定します。

Firebox Cloud は、Fireware ヘルプ に記載されているすべての機能をサポートしていません。Firebox Cloud と他の Firebox モデルの相違点の概要については、次を参照してください：Firebox Cloud 機能の相違点.

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索