目次

オプション2: Gateway Load Balancerを使用して一元化された仮想アプライアンスを展開する

Gateway Load Balancer の入力および出力トラフィックルーティングアーキテクチャをAWS環境に展開するには、次の手順を実行します。

マクロテンプレートスタックを作成する

  1. AWSアカウントにログインします。
  2. マクロCloudFormationスタックを作成するには、このリンクをクリックします。
  3. パラメータは初期設定のままにし、Create stackをクリックします。

セキュリティVPCテンプレートスタックを作成する

  1. AWSアカウントにログインします。

  2. 次のいずれかのリンクをクリックして、Security VPC CloudFormationスタックを作成します。


    注意

    選択するバージョンは、2021年8月4日以前に Cloud One アカウントを作成したかどうかによって異なります。詳細を表示


  3. Specify stack details画面で、次のパラメータを入力します。

    • Availability Zones (AZ): ワークロードVPCで使用されているすべてのAZを選択します。
    • Security VPC CIDR Block: Security VPCのVPC CIDRを入力します。
    • SSH Key Pair: SSHキーの名前を選択します。
    • Cloud One appliance deployment token: Cloud One アプライアンス展開トークンを入力します。詳細を表示
    • Network Security Instance AMI: 最新の Network Security AMI IDを入力します。AMI IDに対して正しいリージョンが選択されていることを確認します。詳細を表示
    • Number of instances: 各 AZで作成する Network Security インスタンスの数を選択します。
    • Instance Type: 初期設定のままにします。
    • Enable Inspection logs: 有効にすると、NSVAインスペクションログが CloudWatch ロググループ network_security_logsに公開されます。
  4. スタックオプションの残りの手順に従い、Create stackをクリックします。

  5. スタックが作成されたら、Stack detailsをクリックし、Outputsをクリックします。

  6. Gateway Load Balancer Endpointサービス名の値をコピーして、Workload VPCで Gateway Load Balancer エンドポイントを作成するときに使用します。

ワークロードVPCの設定

次のリソースをワークロードVPCに追加します。


注意

環境内の各ワークロードVPCについて、これらの各セクションの手順を繰り返します。


クロスアカウント展開

環境でクロスアカウント展開を使用する場合は、次の情報に注意してください。

複数のAWSアカウントに展開する場合は、AWSアカウントAの Gateway Load Balancer エンドポイントサービスを最初にAWSアカウントBと共有する必要があります。これにより、AWSアカウントBで Gateway Load Balancer エンドポイントを作成してサービスに接続できるようになります。

Gateway Load Balancer エンドポイントサービスがCloudFormationテンプレートを使用して作成されると、 AcceptanceRequired 値がfalseに設定されます。これは、サービスコンシューマからサービスへのエンドポイントを作成する要求が自動的に受け入れられることを示します。エンドポイントの受け入れ設定を変更することで、この設定を有効にしてエンドポイントの要求を手動で受け入れたり拒否したりできます。詳細を表示

詳細については、「 エンドポイントサービス の権限の追加と削除」を参照してください。

可用性ゾーンのマッピング

複数のAWSアカウントに展開する場合、あるアカウントの AZ が、別のアカウントの同じ名前の AZ と物理的に同じ場所にマッピングされるとは限りません。 AZ IDを使用してアカウント間でAZをマッピングすることで、異なるAWSアカウントのAZが同じ物理的な場所にマッピングされるようにします。詳細を表示

サブネットを作成

Gateway Load Balancer エンドポイントを持つ AZ ごとに、 Gateway Load Balancer エンドポイントサブネットを作成します。/ 28などの小さなCIDRブロックを使用することをお勧めします。


注意

クロスアカウント展開を使用している場合は、 AZ マッピングのこのサブネットに対して正しい AZ を選択してください。詳細を表示


AZごとに Gateway Load Balancer エンドポイントを作成します。

  1. AWSマネジメントコンソールから、VPCダッシュボードに移動します。
  2. Virtual Private Cloudで、Endpointsをクリックし、Create Endpointをクリックします。
  3. Service categoryで、Find service by nameを選択します。
  4. Security VPCスタックの作成時に Gateway Load Balancer エンドポイントサービス名としてコピーした値を入力します。
  5. VPCには、Workload VPCと Gateway Load Balancer Endpointサブネットを選択します。
  6. Create Endpoint をクリックします。

ルートテーブルを作成または変更する

VPCダッシュボードに移動し、ルートテーブル をクリックして、新しいルートテーブルを作成するか、既存のルートテーブルを変更します。

1.エッジ関連付けルートテーブルを作成する

Name tag: エッジ関連付けルートテーブル

VPC: ワークロードVPC

ルートを編集


注意

このルートをWorkload VPCの AZ ごとに追加します。


送信先 対象
<WORKLOAD_SUBNET_CIDR> (for each AZ) 対応する AZで、 Gateway Load Balancer エンドポイントを選択します。

エッジの関連付けを作成する

このルートテーブルのエッジ関連付けを作成します。エッジの関連付けルートテーブルを選択し、Edge Associationsタブをクリックします。Edit edge associationsをクリックし、Associated gatewaysで、 検査するInternet GatewayVirtual Private Gatewaysをドロップダウンリストから選択します。

2. Gateway Load Balancer エンドポイントのサブネットルートテーブルを作成します。

Name tag: Gateway Load Balancer エンドポイントサブネットルートテーブル

VPC: ワークロードVPC

ルートを編集

送信先 対象
0.0.0.0/0 インターネットゲートウェイ

サブネットの関連付けを作成する

Gateway Load Balancer エンドポイントサブネットルートテーブルを選択し、 Subnet Associations タブをクリックし、 Edit subnet associationsをクリックして、作成した Gateway Load Balancer エンドポイントサブネットを選択します。AZごとに作成したサブネットごとに、このルートテーブルのサブネット関連付けを作成します。

3. ワークロードのサブネットルートテーブルを作成する

Name tag: ワークロードのサブネットルートテーブル

VPC: ワークロードVPC


注意

環境内の AZ ごとにこのルートテーブルを作成します。


ルートを編集

送信先 対象
0.0.0.0/0 対応する AZで、 Gateway Load Balancer エンドポイントを選択します。

サブネットの関連付けを作成する

Workloadサブネットルートテーブルを選択し、Subnet Associationsタブをクリックし、Edit subnet associationsの順にクリックして、作成したWorkloadサブネットを選択します。 AZごとに作成するWorkloadサブネットルートテーブルごとに関連付けを作成します。


注意

パブリックサブネットごとに、他のパブリックサブネットに関連付けられていないルートテーブルを作成してください。


高可用性の概要

Gateway Load Balancerの展開で、環境に対する保護と継続的なトラフィックフローを提供する高可用性の複数のレイヤが実現されます。

フェイルオーバーの高可用性により、ネットワークで検査可能な仮想アプライアンスにトラフィックが均等に分散されます。仮想アプライアンスがトラフィックの検査を停止すると、そのアプライアンスへの現在の接続は中断されますが、新しい接続は残りの使用可能な仮想アプライアンスに送信されます。 Gateway Load Balancerを展開すると、フェイルオーバーの高可用性が自動的に有効になります。クロスゾーン負荷分散は、AZ間にトラフィックを転送することで、機能の層を追加します。詳細を表示

何らかの理由でトラフィックを検査できる仮想アプライアンスがない場合は、フェイルオープン高可用性により、トラフィックが中断されることなく仮想アプライアンスをバイパスしてフローを継続します。Fail-Open HAを展開する手順は、次のとおりです。

ゾーン間負荷分散

クロスゾーン負荷分散では、AZ間でトラフィックを共有することにより、環境にフェイルオーバー保護を提供します。さらに、クロスゾーン負荷分散により、複数のAZに展開されたすべての仮想アプライアンスでトラフィックを検査できます。これにより、フェイルオーバーの高可用性が必要になるまでインスタンスをアイドル状態のままにする代わりに、すべての仮想アプライアンスの使用が最適化されます。詳細を表示


注意

クロスゾーン負荷分散を有効にすると、AZ間のリージョンデータ転送で発生するコストが増加します。


次の図は、クロスゾーン負荷分散を使用した環境の例を示しています。詳細を表示


フェールオープンHAの展開

フェールオープンHAは、障害が発生した仮想アプライアンスをバイパスすることで、ネットワークトラフィックの流れを維持します。フェールオープンHAは、トラフィックの検査に使用できる機能的な仮想アプライアンスがない場合でも、トラフィックが中断されないようにします。環境でフェールオープンHAを有効にするには、次のセクションを完了してください。

クロスアカウント展開用のIAMロールスタックを作成する

Network Security がすべてのAWSアカウントの検査をバイパスできるように、IAMロールスタックを作成します。検査をバイパスするために、 Network Security はワークロードVPCのルートを変更します。ワークロードとセキュリティVPCが異なるAWSアカウントにある場合、 Network Security では、これらの異なるアカウント間でルートを変更する権限が必要です。詳細を表示

次の手順を実行して、Workload VPCを含む各アカウントでクロスアカウントロールを生成します。

  1. ワークロードVPCの作成に使用したAWSアカウントにログインします。
  2. すでに展開されているセキュリティVPCテンプレートスタックのOutputsセクションに移動し、External IDの値をコピーします。
  3. このリンクをクリックして、Workloadアカウントに IAMロールスタック を作成します。
  4. 次の情報を入力します。
    • 手順2でコピーした外部ID。
    • セキュリティVPCアカウントID。
  5. Create stackをクリックします。

HAスタックを作成する

適切な権限を有効にしたら、HAの展開に必要なスタックを作成できます。

  1. Security VPCテンプレートスタックの展開に使用したAWSアカウントにログインします。
  2. HAスタックを作成するには、このリンクをクリックします。
  3. Specify stack details画面で、作成済みのセキュリティVPCスタック名を入力します。
  4. スタックオプションの残りの手順に従い、Create stackをクリックします。

Security VPC CloudFormationスタックを削除する

  1. AWSマネジメントコンソールから、EC2ダッシュボードに移動します。
  2. Auto Scalingで、Auto Scaling Groupsをクリックします。
  3. Auto Scalingグループの横にあるチェックボックスをオンにします。Auto Scaling groups画面の下部に、選択したグループに関する情報を示す分割ペインが開きます。
  4. Detailsタブで、最小、最大、および必要な容量の現在の設定を0に変更します。Auto Scalingグループのステータスが Updating capacityに変更されます。 Network Security 仮想アプライアンスのインスタンスが自動的に削除され、 Cloud Oneから登録解除されます。
  5. HA CloudWatch ログに「Starting Bypass」というメッセージが表示されることを確認します。
  6. Gateway Load Balancer エンドポイントを削除します。
  7. 複数のAWSアカウントに展開されているIAMロールスタックを削除します。
  8. Security VPC AWSアカウントのHAスタックを削除します。
  9. Updating capacity ステータスがクリアされたら、CloudFormationスタックを削除します。