Cloud Firewall:Basic EditionトランジットルーターのVPCファイアウォールの設定

機能の説明

実装

VPCファイアウォールを有効にすると、Cloud firewallは、トラフィック分析ポリシー、侵入防止ポリシー、脅威インテリジェンスルール、仮想パッチ適用ポリシー、およびアクセス制御ポリシーに基づいて、VPC間のトラフィックをフィルタリングします。 次に、Cloud Firewallは、トラフィックが指定された条件に一致するかどうかをチェックし、不正なトラフィックをブロックします。 これにより、内部対応資産間のトラフィックのセキュリティが保証されます。

次の図は、Basic Editionトランジットルーター用に作成されたVPCファイアウォールの例を示しています。

保護スコープの詳細については、クラウドファイアウォールとは

影響

数回クリックするだけでVPCファイアウォールを作成し、現在のネットワークトポロジを変更することなくトラフィックリダイレクトモードを設定できます。 トラフィックリダイレクトモードを自動トラフィックリダイレクトモードまたは手動トラフィックリダイレクトモードに設定できます。 作成中、ワークロードは影響を受けません。 作成時間は約5分です。 オフピーク時にVPCファイアウォールを有効にすることを推奨します。

VPCファイアウォールを有効または無効にするには、約5〜30分かかります。 作成期間は、ルートの数によって異なります。 永続的な接続は、数秒間中断され得る。 短命の接続は影響を受けません。

制限事項

VPCファイアウォールの作成と有効化

前提条件

• Cloud Firewall Enterprise EditionまたはUltimate Editionを購入しました。 詳細については、「Cloud Firewallの購入」をご参照ください。

  Basic EditionトランジットルーターのVPCファイアウォールを設定できるのは、Cloud Firewall Enterprise EditionとUltimate Editionのみです。

• Cloud Firewallは、他のクラウドリソースへのアクセスを許可されています。 詳細については、「Cloud Firewallによる他のクラウドリソースへのアクセス許可」をご参照ください。

• CENインスタンスが購入され、VPCがCENインスタンスにアタッチされます。 詳細については、「Basic Editionトランジットルーターを使用して同じリージョンのVPCを接続する」および「Basic Editionトランジットルーターを使用してリージョン間のVPCを接続する」をご参照ください。

  説明

  CENインスタンス内の複数のVPCが異なるAlibaba Cloudアカウントによって作成されている場合、Cloud Firewallは次の条件を満たす必要があります。 それ以外の場合、VPCファイアウォールは作成できません。 この場合、Alibaba Cloudアカウントを使用してCloud Firewallコンソールにログインし、認証を完了するか、Cloud FirewallをUltimate Editionにアップグレードする必要があります。 次に、VPCファイアウォールを作成できます。 詳細については、「クラウドファイアウォールに他のクラウドリソースへのアクセスを許可する」および「クラウドファイアウォールのアップグレードとダウングレード」をご参照ください。

• ネットワークリソースが存在するリージョンは、VPCファイアウォールでサポートされています。 詳細については、「サポートされているリージョン」をご参照ください。

手順

1. Cloud Firewallコンソールにログインします。 左側のナビゲーションウィンドウで、ファイアウォールスイッチ をクリックします。

2. ファイアウォールスイッチページで、VPC 境界ファイアウォールタブをクリックします。

3. VPC 境界ファイアウォールタブで、CEN (基本)タブをクリックします。

4. VPCファイアウォールを作成するCENインスタンスを見つけ、作成で、操作列を作成します。

   アセットリストに利用可能なアセットが表示されていない場合は、[アセットの同期] をクリックして、現在のAlibaba CloudアカウントとAlibaba Cloudアカウントのメンバーのアセット情報を同期できます。

5. では、ファイアウォールの作成パネルで、ウィザードを完了するためのパラメータを設定します。

   Basic Editionトランジットルーター用のVPCファイアウォールを作成する場合は、[今すぐチェックを開始] をクリックして、必要な条件が満たされているかどうかを確認できます。 チェックが完了したら、[チェックの詳細] セクションでチェック結果を表示できます。 VPCファイアウォールを作成するためのルールに精通している場合は、ワンクリック診断をスキップして、VPCファイアウォールを直接作成できます。

   次の表に、CENに接続されたVPCのVPCファイアウォールを作成するために必要なパラメーターを示します。

   パラメーター	説明
   基本情報	インスタンス名: VPCファイアウォールの名前を指定します。 ビジネス要件に基づいてVPCファイアウォールを識別できるように、一意の名前を入力することを推奨します。
   ファイアウォール VPC の設定	トラフィックのリダイレクト用にVPCファイアウォール用に自動的に作成されたvSwitchおよびCloud_Firewall_VPCにCIDRブロックを割り当てます。 CIDRブロックのサブネットCIDRブロックを、VPCに関連付けられているvSwitchに割り当てます。 サブネットCIDRブロックのマスクは、長さが29ビット以下である必要があります。また、ネットワークプランと競合することはありません。 重要 VPCファイアウォールの作成後は設定を変更できないため、ビジネス要件に基づいて設定を完了する必要があります。 異なる設定を使用する場合は、VPCファイアウォールを削除し、別のVPCファイアウォールを作成する必要があります。 ファイアウォールで使用される VPC: デフォルト値は10.0.0.0/8です。 VPCに別のCIDRブロックを割り当てることができます。 次のCIDRブロックとそのサブネットCIDRブロックがサポートされています: 10.0.0.0/8、172.16.0.0/12、および192.168.0.0/16。 vSwitch CIDRブロック: デフォルト値は10.219.219.216/29です。 デフォルト値がネットワークプランと競合する場合は、別の値を指定できます。 vSwitch ゾーン: システムはvSwitchにゾーンを自動的に割り当てます。 別のゾーンを指定できます。 ビジネスがレイテンシーに敏感な場合、ファイアウォールのvSwitchとビジネスVPCのvSwitchに同じゾーンを指定して、レイテンシーを最小限に抑えることができます。
   ビジネス VPC に必要な vSwitch を割り当ててください	トラフィックのリダイレクトを有効にするビジネスVPCのvSwitchを指定します。 vSwitchは、VPCファイアウォールに必要なelastic network interface (ENI) に関連付けるために使用されます。 システムは自動的にvSwitchを割り当てます。 ビジネスがレイテンシーに敏感な場合は、ビジネスVPCが存在するゾーンを選択して、レイテンシーを最小限に抑えることができます。 重要 VPCファイアウォールの作成後に設定を変更することはできません。 設定を変更する場合は、VPCファイアウォールを削除し、別のVPCファイアウォールを作成する必要があります。 ゾーン: vSwitchのゾーンを選択します。 vSwitch: ビジネスVPCのvSwitchを選択します。
   リダイレクト設定	[トラフィックリダイレクトの有効化] をオンまたはオフにし、保護されたCIDRブロックを表示します。
   侵入防止	侵入防止システム (IPS) の動作モードと、有効にする侵入防止ポリシーを指定します。 IPSモード 観察モード: このモードを有効にすると、Cloud Firewallはトラフィックを監視し、悪意のあるトラフィックを検出するとアラートを送信します。 ブロックモード: このモードを有効にすると、Cloud Firewallは悪意のあるトラフィックを傍受し、侵入の試みをブロックします。 IPS機能 基本ポリシー: 基本ポリシーは、ブルートフォース攻撃やコマンド実行の脆弱性を悪用する攻撃に対する保護など、基本的な侵入防止機能を提供します。 基本的なポリシーでは、侵害されたホストからコマンド&コントロール (C&C) サーバーへの接続を管理することもできます。 仮想パッチ: 仮想パッチを使用して、一般的なリスクの高いアプリケーションの脆弱性をリアルタイムで防御できます。 説明 この設定は、同じCENインスタンスに属するすべてのネットワークインスタンスに適用されます。

6. 作成を始めるをクリックして、VPCファイアウォールを作成します。

7. CEN (基本)タブで、作成したVPCファイアウォールを有効にします。

   Cloud Firewallは、VPCファイアウォールを有効にした後にのみネットワークリソースを保護できます。 VPCファイアウォールの [ファイアウォールステータス] 列のステータスが [有効] に変更された場合、VPCファイアウォールは有効になります。

   説明

   VPCファイアウォールを有効にした後、VPCルートテーブルでルートを追加または削除する場合、Cloud firewallがルートを学習するまで15〜30分待つ必要があります。 Cloud Firewallがルートを学習したら、ルートテーブルが有効かどうかを確認することを推奨します。 また、DingTalkグループ33081734に参加して、Cloud Firewallでテクニカルサポートを受けることもできます。

   VPCファイアウォールを作成すると、Cloud firewallは自動的に次のリソースを作成します。

   • Cloud_Firewall_VPCという名前のVPC。

     重要

     Cloud_Firewall_VPCにクラウドリソースを追加しないでください。 そうしないと、VPCファイアウォールを削除するときにクラウドリソースを削除できません。 Cloud_Firewall_VPCのネットワークリソースを手動で変更または削除しないでください。

   • Cloud_Firewall_vSwitchという名前のVSWITCH。

   • 次の注意事項があるカスタムルート。クラウドファイアウォールによって作成されました。 変更または削除しないでください。

   VPCファイアウォールを有効にすると、ECS (Elastic Compute Service) は自動的にCloud_Firewall_Security_Groupという名前のセキュリティグループを作成し、[Action] が [Allow] に設定されているセキュリティグループルールをセキュリティグループに追加して、VPCファイアウォールからECSへのインバウンドトラフィックを許可します。

   重要

   ActionパラメーターがAllowに設定されているセキュリティグループCloud_Firewall_Security_Groupまたはセキュリティグループルールは削除しないでください。 そうしないと、ビジネスが中断される可能性があります。

   VPCファイアウォールでバッチ操作を実行する場合、またはVPCファイアウォールを頻繁に有効または無効にする場合は、ビジネスに影響を与えないように、オフピーク時にそのような操作を実行することを推奨します。

その他操作

VPCファイアウォールの変更

VPCファイアウォールの設定を変更するには、VPCファイアウォールタブのCEN (Basic Edition) タブに移動し、VPCファイアウォールが作成されたCENインスタンスを見つけて、[操作] 列の [編集] をクリックします。

VPCファイアウォールの有効化または無効化

1. ファイアウォールの設定ページで、VPCファイアウォールタブをクリックします。

2. CEN (ベーシックエディション)タブで、VPCファイアウォールが作成されているCENインスタンスを見つけ、スイッチ列を作成します。

   VPCファイアウォールが無効になるまで待ちます。 VPCファイアウォールのファイアウォールステータスの値が無効に変更された場合、VPCファイアウォールは無効になります。

VPCファイアウォールの削除

VPCファイアウォールが不要になった場合は、[VPCファイアウォール] タブの [CEN (Basic Edition)] タブに移動し、VPCファイアウォールが作成されたCENインスタンスを見つけて、[操作] 列の [削除] をクリックします。

関連ドキュメント

• 概要

• VPCファイアウォールを有効にした後、ECSのセキュリティグループルールは影響を受けますか。

• Basic EditionトランジットルーターのVPCファイアウォールを有効にしました。 routing policy ActionがDenyに設定されているルーティングポリシーがトランジットルーターのルートテーブルに追加されるのはなぜですか。