NAT ファイアウォール

次のビデオチュートリアルでは、NAT ゲートウェイの NAT ファイアウォールを有効にする方法について説明します。

機能の説明

実装

数回クリックするだけで NAT ファイアウォールを有効にして資産情報を同期し、NAT ファイアウォールのアクセス制御ポリシーを構成し、トラフィック分析結果と監査ログを表示できます。

NAT ファイアウォールまたは NAT ゲートウェイを有効にすると、NAT ファイアウォールは、同じ VPC 内のリソースと VPC 間のリソースを含む、VPC 内の内部向けリソースから NAT ゲートウェイへのすべてのアウトバウンドトラフィックを監視します。 NAT ファイアウォールは、トラフィックに関する情報をユーザー定義のアクセス制御ポリシーおよび組み込みの脅威インテリジェンスライブラリと照合して、トラフィックを許可するかどうかを判断します。情報には、送信元アドレス、宛先アドレス、ポート、プロトコル、アプリケーション、ドメイン名が含まれます。このようにして、インターネットへの不正アクセスがブロックされます。

次の図は例を示しています。

ワークフロー

次のフローチャートは、NAT ファイアウォールの使用方法を示しています。

説明

Cloud Firewall は、NAT ファイアウォールにデフォルトのクォータを提供します。デフォルトのクォータがビジネス要件を満たせない場合は、追加のクォータを購入できます。詳細については、「Cloud Firewall を購入する」をご参照ください。

前提条件

• Cloud Firewall がアクティブ化され、NAT ファイアウォール用に十分なクォータが購入されていること。詳細については、「Cloud Firewall の購入」をご参照ください。

• インターネット NAT ゲートウェイが作成されていること。詳細については、「インターネット NAT ゲートウェイの作成と管理」をご参照ください。

  重要

  NAT Firewall 機能は、インターネット NAT ゲートウェイのみをサポートします。

  インターネット NAT ゲートウェイは、次の要件を満たしている必要があります。

  • インターネット NAT ゲートウェイは、NAT Firewall 機能が利用可能なリージョンにあること。NAT Firewall 機能が利用可能なリージョンの詳細については、「サポートされているリージョン」をご参照ください。

  • 少なくとも 1 つの EIP がインターネット NAT ゲートウェイに関連付けられており、NAT ゲートウェイに関連付けられている EIP の数が 10 以下であること。詳細については、「インターネット NAT ゲートウェイの作成と管理」をご参照ください。

  • SNAT エントリが作成されており、インターネット NAT ゲートウェイに DNAT エントリが存在しないこと。詳細については、「SNAT エントリの作成と管理」をご参照ください。

    インターネット NAT ゲートウェイに DNAT エントリが存在する場合は、NAT ファイアウォールを有効にする前に DNAT エントリを削除する必要があります。詳細については、「DNAT エントリの作成と管理」をご参照ください。

  • インターネット NAT ゲートウェイを指す 0.0.0.0 ルートが、インターネット NAT ゲートウェイの VPC に追加されていること。詳細については、「ルートテーブルの作成と管理」をご参照ください。

  • インターネット NAT ゲートウェイの VPC に割り当てられている CIDR ブロックのサブネットマスクの長さが少なくとも 28 ビットであること。 VPC のセカンダリ CIDR ブロックもサポートされています。

NAT ファイアウォールを作成して有効にする

このセクションでは、NAT ファイアウォールを作成する方法について説明します。 NAT ゲートウェイごとに NAT ファイアウォールを作成できます。

使用上の注意

• 新しい NAT ゲートウェイに関する情報を NAT Firewall 機能に同期するには、約 1 ～ 5 分かかります。

• NAT ゲートウェイに関連付けられている EIP と NAT ゲートウェイで構成されている SNAT エントリを NAT Firewall 機能に同期するには、約 1 ～ 2 分かかります。 EIP と SNAT エントリは、同期が完了するまで有効になりません。

  Synchronize Assets をクリックして、ファイアウォールスイッチ > インターネットボーダー タブで EIP の数と SNAT エントリを手動で同期することもできます。

• NAT ゲートウェイを指すルートを NAT Firewall 機能に同期するには、30 分かかります。

  Synchronize Assets をクリックして、ファイアウォールスイッチ > [NAT ファイアウォール] タブでルートを手動で同期することもできます。

• NAT ファイアウォールを作成すると、Cloud Firewall は次の操作を実行します。

  • NAT ゲートウェイを指す 0.0.0.0/0 ルートを、NAT ファイアウォール用に作成された vSwitch のルートテーブルに追加します。

  • システムルートテーブルの 0.0.0.0/0 ルートを変更して、ネクストホップを Cloud Firewall の ENI にポイントします。

  説明

  NAT ファイアウォールを作成すると、Cloud Firewall は NAT ファイアウォールの VPC にカスタムルートテーブルを作成します。 Flannel ネットワークプラグインを使用する Container Service for Kubernetes (ACK) クラスタが VPC にデプロイされている場合は、NAT ファイアウォールを作成した後にクラウドコントローラマネージャ (CCM) を使用して VPC のシステムルートテーブルを追加することにより、VPC 用に複数のルートテーブルを構成する必要があります。そうしないと、クラスタのノードスケールアウト操作に影響を与える可能性があります。詳細については、「VPC 用に複数のルートテーブルを構成する」をご参照ください。

  CCM を使用して NAT ファイアウォールの VPC 用に複数のルートテーブルを既に構成している場合は、この注記は無視してください。

手順

1. Cloud Firewall コンソール にログインします。 左側のナビゲーションウィンドウで、ファイアウォールスイッチ をクリックします。。

2. NAT Firewall タブをクリックします。 [NAT ファイアウォール] タブで、必要な NAT ゲートウェイを見つけて、操作する 列の Create をクリックします。

3. NAT ファイアウォールの作成 パネルで、自動チェック手順の ワンクリックでチェック開始 をクリックします。チェックが完了し、すべての診断項目に合格したら、次へ をクリックします。

   NAT ゲートウェイが NAT ファイアウォールを作成するために必要なすべての条件を満たしていることを確認したら、Skip and start creation now. をクリックします。

4. トラフィックリダイレクトモード手順で、トラフィックリダイレクトモードパラメータを構成します。次のトラフィックリダイレクトモードがサポートされています。

   • vSwitch を自動的に作成: このオプションは、予約済みの CIDR ブロックが十分にあるシナリオに適しています。このオプションを選択すると、トラフィックは自動的にリダイレクトされます。

   • vSwitch を手動で選択: このオプションは、予約済みの CIDR ブロックが不十分なシナリオに適しています。このオプションを選択した場合は、既存の vSwitch の CIDR ブロックを指定するか、vSwitch を手動で作成する必要があります。構成は複雑で、専門の担当者が必要です。

5. ファイアウォールの作成手順で、次のパラメータを構成します。

   パラメータ		説明

   パラメータ		説明
   基本情報	名前	NAT ファイアウォールの名前を入力します。
   ファイアウォールへの切り替え設定	ルートテーブルの選択	ネクストホップが NAT ゲートウェイであるルートテーブルを選択します。システムは、Cloud Firewall 用に作成されたルートテーブルにネクストホップを自動的に変更します。このようにして、内部資産宛てのトラフィックのネクストホップは NAT ファイアウォールをポイントします。
   	[トラフィックリダイレクト用の VSwitch] (vSwitch を自動的に作成) または [vSwitch CIDR ブロック] (vSwitch を手動で選択)	新しい vSwitch を [作成] するか、[既存の] vSwitch を選択できます。 vSwitch の CIDR ブロックを作成するための使用上の注意: トラフィックリダイレクトのために、vSwitch の CIDR ブロックを NAT ファイアウォールに割り当てる必要があります。 CIDR ブロックのサブネットマスクの長さは少なくとも 28 ビットで、ネットワーク計画と競合してはなりません。 vSwitch の CIDR ブロックは、VPC に割り当てられている CIDR ブロックのサブネットであり、現在のサービス CIDR ブロックと競合しない必要があります。 VPC のセカンダリ CIDR ブロックもサポートされています。 vSwitch の CIDR ブロックを割り当てると、Cloud Firewall は自動的に vSwitch をカスタムルートテーブルに関連付けます。 既存の vSwitch を選択するための使用上の注意: NAT ファイアウォールには、次の要件を満たす vSwitch が必要です。詳細については、「VPC の作成と管理」をご参照ください。 vSwitch、NAT ゲートウェイ、および NAT ファイアウォールは、同じ VPC にデプロイする必要があります。 vSwitch は、NAT ゲートウェイと同じゾーンにある必要があります。 vSwitch の CIDR ブロックのサブネットマスクの長さは少なくとも 28 ビットで、CIDR ブロック内の使用可能な IP アドレスの数は、NAT ゲートウェイの SNAT エントリで指定されている EIP の数よりも大きい必要があります。 他のクラウドリソースは vSwitch に接続されていません。 ルートテーブルを作成し、ルートテーブルを vSwitch に関連付けます。詳細については、「ルートテーブルの作成と管理」をご参照ください。 オプション。ビジネス要件に基づいて、0.0.0.0/0 エントリ以外のカスタムルートをルートテーブルに追加します。詳細については、「カスタムルートテーブルを使用してネットワークトラフィックを管理する」をご参照ください。 たとえば、ワークロードで VPC 間の通信が必要な場合は、VPC のバックホールルートを手動でルートテーブルに追加する必要があります。 説明 ドロップダウンリストに vSwitch が表示されない場合、または必要な vSwitch が選択不可になっている場合は、vSwitch が他のクラウドリソースに関連付けられているかどうか、および vSwitch がカスタムルートテーブルに関連付けられているかどうかを確認してください。 vSwitch を指定した後、NAT Firewall タブの右上隅にある Synchronize Assets をクリックできます。
   エンジンモード	エンジンモード	アクセス制御ポリシーの照合モードを選択します。有効な値: 緩いモード (デフォルト): アプリケーションタイプまたはドメイン名が不明として識別されたトラフィックは、通常のアクセスを確保するために許可されます。 厳密モード: アプリケーションタイプまたはドメイン名が不明として識別されたトラフィックは、構成したすべてのポリシーによって処理されます。拒否ポリシーを構成すると、トラフィックは拒否されます。

6. [上記の注意事項を読みました] を選択し、[ファイアウォールの有効化] をクリックします。

7. NAT ファイアウォールが作成されたら、[ステータス] を手動でオンにする必要があります。

   NAT ファイアウォールを有効にした後でのみ、トラフィックを NAT ファイアウォールにルーティングできます。

次のステップ

NAT ファイアウォール を有効にした後、NAT ファイアウォール のアクセス制御ポリシーを構成し、監査ログを表示して、プライベート資産から発信されインターネット宛てのトラフィックを制御できます。

NAT ファイアウォールを無効にして削除する

• NAT ファイアウォールを無効にする

  ファイアウォールスイッチ > NAT Firewall タブに移動し、無効にする NAT ファイアウォールを見つけて、スイッチ 列のスイッチをオフにします。

• NAT ファイアウォールを削除する

  ファイアウォールスイッチ > NAT Firewall タブに移動し、削除する NAT ファイアウォールを見つけて、操作する 列の Delete アイコンをクリックし、 をクリックします。

参考文献

• 内部資産から指定されたドメイン名へのトラフィックを管理する方法の詳細については、「内部サーバーのみが指定されたドメイン名にアクセスできるようにポリシーを構成する」をご参照ください。

• NAT ファイアウォールのトラフィックログを表示する方法の詳細については、「ログ監査」をご参照ください。

• インターネットファイアウォールの詳細については、次のトピックをご参照ください。

  • NAT ファイアウォールを有効にするとどのような影響がありますか？

  • NAT ファイアウォールを有効にした後、Cloud Firewall がルートテーブルを作成し、静的ルート 0.0.0.0/0 をルートテーブルに追加するのはなぜですか？

  • Cloud Firewall は、アウトバウンドトラフィックをインターネットファイアウォール、NAT ファイアウォール、および DNS ファイアウォールのアクセス制御ポリシーとどのように照合しますか？