関連トピック

# Microsoft Azure への動的ルーティングの BOVPN 仮想インターフェイス

Fireware v11.12 以降では、Firebox を Microsoft Azure 仮想ネットワークに接続して、動的ルートを構成するように BOVPN 仮想インターフェイスを構成することができます。この構成では、ワイルドカード トラフィック セレクタをサポートするエンドポイント タイプを指定して、GRE トンネリング プロトコルなしで IPSec トンネルを確立します。Azure では BGP 動的ルーティング プロトコルがサポートされています。OSPF はサポートされていません。

BGP を使用して Firebox と Microsoft Azure の間に動的ルートを構成するには、Microsoft PowerShell、コマンドライン ツール、スクリプティング環境を理解する必要があります。

## 構成例

この例には、BGP を使用した Firebox と Microsoft Azure ネットワークの間の BOVPN 仮想インターフェイスと動的ルートの構成設定が示されています。

### Firebox インターフェイス

この例では、Firebox に 1 つの外部インターフェイスおよび 1 つの信頼済みネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 203.0.113.2/24
1 | 信頼済み | 信頼済み | 10.0.1.1/24

### Azure インターフェイス

この例では、Microsoft Azure 仮想ネットワークに 1 つの外部仮想インターフェイスと 1 つの信頼済み仮想ネットワークがあるとします。

インターフェイス | 種類 | 名前 | IP アドレス
--- | --- | --- | ---
0 | 外部 | 外部 | 198.51.100.2/24
1 | 信頼済み | 信頼済み | 10.0.100.1/24

## Firebox 構成

この例では、Firebox と Azure で事前共有キーを使用します。

Firebox と Azure の間の動的ルートには IKEv2 が必要となるため、Firebox でフェーズ 1 の設定を IKEv1 (既定の設定) から IKEv2 に変更する必要があります。

Firebox の BOVPN 仮想インターフェイス構成の ゲートウェイの設定 タブで、以下の設定を指定します。

- リモート エンドポイント タイプ ドロップダウン リストから クラウド VPN またはサードパーティ ゲートウェイ を選択します。
- 認証メソッド に、2 つのサイトが合意した事前共有キーが含まれている必要があります。
- ゲートウェイ エンドポイント の設定：

- ローカル ゲートウェイ — 203.0.113.2 (Firebox の外部インターフェイスの IP アドレス) ヒントローカル ゲートウェイとリモートゲートウェイには、IPv4 アドレスを使用する必要があります。
- リモートゲートウェイ — 198.51.100.2 (Azure ゲートウェイの外部インターフェイスの IP アドレス)

BOVPN 仮想インターフェイス構成の VPN ルート タブで、以下の設定を指定します。

- ローカル IP アドレス — 100.100.100.1
  ネットワークにすでに存在している IP アドレスと競合しない IP アドレスを指定することができます。
- ピア IP アドレスまたはネットマスク — 172.20.2.254
  ネットマスクではなく、Azure 仮想インターフェイスの IP アドレスを指定します。Azure 仮想インターフェイスの IP アドレスは Azure により定義されています。

フェーズ 1 の設定 タブで、以下の設定を選択します。

- バージョン — IKEv2。Firebox と Azure 間の静的 VPN ルートには IKEv2 が必要です。
- 認証 — SHA2-256
- 暗号化 — AES (256 ビット)
- キー グループ — Diffie-Hellman グループ 2。Azure ではグループ 2 のみがサポートされています。

Fireware v12.0 以降では、既定のキー グループ設定が Diffie-Hellman グループ 14 となっています。この設定を Diffie-Hellman グループ 2 に変更する必要があります。

フェーズ 2 の設定 タブで、以下の設定を選択します。

- Perfect Forward Secrecy — Firebox デバイスと Azure 間の VPN 接続では、現在のところ PFS (Perfect Forward Secrecy) はサポートされていません。
- IPSec プロポーザル — ESP-AES256-SHA256

Azure BGP ASN と仮想 IP アドレス (Azure では bgpPeeringAddress と呼ばれています) は、Azureにより定義され、これを変更することはできません。Microsoft PowerShell を使用して、Azure BGP ASN および bgpPeeringAddress を表示することができます。Firebox BGP の動的ルート構成には、以下のコマンドがあります。

    !

    ! The local BGP ASN is 10001

    !

    router bgp 10001

    !

    ! to Azure VPC

    !

    !

    ! The Azure (remote) BGP ASN is 65515 and its VIF IP (bgpPeeringAddress) is 172.20.2.254.

    ! These are the two parameters you must get from the Azure side.

    !

    neighbor 172.20.2.254 remote-as 65515

    neighbor 172.20.2.254 activate

    neighbor 172.20.2.254 ebgp-multihop

    !

    ! To advertise the local networks

    !

    network 10.0.1.0/24

Firebox に複数の信頼済みネットワークを構成し、追加の信頼済みネットワークへのルートが Azure で学習されるようにする場合は、追加の ネットワーク コマンドを実行してください。例:

network 10.0.1.0/24

ネットワーク 10.0.2.0/24

### Azure BOVPN 仮想インターフェイス構成

Microsoft Azure 仮想ネットワークにおけるゲートウェイの設定：

- リモートゲートウェイ — 203.0.113.2 (Firebox の外部インターフェイスの IP アドレス)
- ローカル ゲートウェイ — 198.51.100.2 (Azure ゲートウェイの外部インターフェイスの IP アドレス)
- BGP ASN — 10001 (Firebox の BGP ASN)
- 仮想 IP アドレス — 100.100.100.1 (Firebox の仮想 IP アドレス)

Microsoft PowerShell を使用して、Microsoft Azure 仮想ネットワークに BGP 設定を構成する必要があります。PowerShell の詳細については、Microsoft が提供しているマニュアルを参照してください。

#### 関連情報

Microsoft Azureへの静的ルーティングの BOVPN 仮想インターフェイス

サードパーティ製エンドポイントへの VPN の仮想インターフェイス IP アドレス

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索