目次

ルートテーブルの変更

Network Security エンドポイントが正常に配信されたら、トラフィックが検査のために Network Security エンドポイントに送信されるように、クラウド環境のトラフィックルートを変更します。

ルートを変更するに、クラウド環境でトラフィックが正しく、想定どおりにフローしていることを確認してください。

AWSでルートを手動で変更する

Network SecurityにトラフィックをルーティングするようにAWSでルートテーブルを作成または変更するには、次の手順を使用します。

  1. AWS管理コンソールでVPCを検索して、VPCダッシュボードに移動します。
  2. Virtual Private Cloudで、Route Tablesをクリックします。
  3. Create route tableをクリックします。
  4. (オプション)既存のルートテーブルを変更するには、ルートテーブルIDをクリックし、[ルート]タブのEdit routesの順にクリックします。

クラウド環境でルーティングを設定する際に役立つ、さまざまな環境設定の例を次に示します。クラウド環境の構造に応じてルートを変更します。これらの例は環境によっては正確に一致しない場合がありますが、一般的なガイドとして使用できます。

AWSルートテーブルの詳細については、こちらを してください。

Network Security エンドポイントID

Network Securityエンドポイントのデプロイ時に、これらのエンドポイント用の新しいサブネットが作成されます (このオプションを展開時に選択した場合)。Network SecurityサブネットIDは、Network Security管理インタフェースの[Hosted Infrastructure] ([Network] > [Hosted Infrastructure]) で確認できます。 Network Securityエンドポイントをクリックすると、そのエンドポイントの詳細ページ (サブネットIDを含む) が [Environment] に表示されます。

AWSでこれらのサブネットを見つけて関連付けを変更するには、AWS管理コンソールで[VPC]→[Subnets] に移動し、サブネットIDをクリックしてサブネットを変更します。 AWSでは、 Network Securityエンドポイントはvpce-xxxxxxxxxの形式でGateway Load Balancer Endpointsとして表示されます。 AWSでのサブネットの変更に関する詳細はこちら

AWS Application Load Balancer(ALB)を使用する環境のルートを変更する

この設定は、単一のVPC内のALBターゲットに対して高度な保護が必要なクラウド環境に最適です。この環境の例については、詳細 を参照してください。

この展開の例では、環境内の AZ ごとに作成した Network Security エンドポイントがパブリックサブネットとプライベートサブネットの間に配置されます。Network Security エンドポイントは、トラフィックのフローをクラウド環境に戻す前に、インターネットトラフィックを検査のために Network Security に転送します。ルートテーブルの変更については、以下のビデオチュートリアルを参照してください。

この展開例の環境構造とルーティングの詳細については、次の図を参照してください。

この図のルートテーブルは、以下の手順のルートテーブルと同じです。


AWS Application Load Balancer (ALB) を使用する環境のルートを作成または編集するには、次の手順を実行します。

1. Network Securityエンドポイントのサブネットルートテーブルを作成する

これらのルートテーブルは、アウトバウンドの検査済みトラフィックを対応するAZのNATゲートウェイに送信します。

これらのルートテーブルは、このVPC用にデプロイしたNetwork Securityエンドポイントに関連付けられています。次の例では、各AZの各Network Securityエンドポイントサブネットに1つずつ、合計2つのルートテーブルを示しています。

Name: (オプション) Network Securityエンドポイントサブネットルートテーブル1

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

Network Securityのエンドポイントのサブネットルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックして、 Network Securityのエンドポイントを含むサブネットを選択します。
Name: (オプション) Network Securityエンドポイントサブネットルートテーブル2

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

Network Securityのエンドポイントのサブネットルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックして、 Network Securityのエンドポイントを含むサブネットを選択します。
2. パブリックサブネットルートテーブルの作成または変更する

これらのルートテーブルは、ALBが受信したトラフィックを、プライベートサブネット内の対象グループに送信する前にNetwork Securityエンドポイントに送信します。プライベートサブネットCIDRSは、同じAZ内のNetwork Securityエンドポイントを指す必要があります。

これらのルートテーブルは、パブリックサブネットとALBに関連付けられています。次の例では、各AZのパブリックサブネットごとに1つずつ、合計2つのルートテーブルを示しています。

パブリックサブネットごとに、他のパブリックサブネットに関連付けられていないルートテーブルを作成してください。


パブリックサブネットは、そのサブネットと同じAZ内のNetwork Securityエンドポイントにのみトラフィックを送信する必要があるため、異なるAZのパブリックサブネットは異なるルートテーブルを使用する必要があります。


Name: (オプション) パブリックサブネットルートテーブル1

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

パブリックサブネットのルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックし、公開対象のアセットに関連付けられている対応するAZ内のパブリックサブネットを選択します。
Name: (オプション) パブリックサブネットルートテーブル2

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

パブリックサブネットのルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックし、公開対象のアセットに関連付けられている対応するAZ内のパブリックサブネットを選択します。
3. プライベートサブネットルートテーブルを作成または変更する

これらのルートテーブルは、プライベートサブネットからNetwork Securityエンドポイントにトラフィックを送信するため、アウトバウンドトラフィックはインターネットまたはパブリックサブネットに送信される前に検査されます。

これらのルートテーブルは、プライベートサブネットと内部アセットに関連付けられています。次の例では、各AZの各プライベートサブネットに1つずつ、合計2つのルートテーブルを示しています。

Name: (オプション) プライベートサブネットルートテーブル1

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

プライベートサブネットルートテーブルを選択し、[Subnet Associations] タブをクリックし、[Edit subnet associations] をクリックして、プライベートサブネットを選択します。
Name: (オプション) プライベートサブネットルートテーブル2

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example
サブネットの関連付けの作成

プライベートサブネットルートテーブルを選択し、[Subnet Associations] タブをクリックし、[Edit subnet associations] をクリックして、プライベートサブネットを選択します。

Edgeでルーティングを使用する環境のルートを変更する

この設定は、受信インターネットトラフィックからの保護を必要とするが、ALBを使用しない一般公開のアセットを含むクラウド環境に最適です。これらの環境では、多くの場合、単一のVPC内のパブリックアセットを保護する必要があります。この環境の例については、詳細を参照してください。

この展開の例では、先ほど作成した Network Security エンドポイントがインターネットゲートウェイとパブリックサブネットの間に配置されています。Network Security エンドポイントは、トラフィックのフローをクラウド環境に戻す前に、インターネットトラフィックを検査のために Network Security に転送します。ルートテーブルの変更については、以下のビデオチュートリアルを参照してください。

この展開例の環境構造とルーティングの詳細については、次の図を参照してください。

この図のルートテーブルは、以下の手順のルートテーブルと同じです。


Edgeでのルーティングを使用する環境のルートを作成または編集するには、次の手順を実行します。

環境内でトラフィックフローが中断されないように、次の順序でルートを変更することをお勧めします。


1. Network Securityエンドポイントのサブネットルートテーブルを作成します

このルートテーブルは、検査されたすべてのトラフィックをNetwork Securityからインターネットゲートウェイに送信します。

このルートテーブルは、このVPC用にデプロイしたNetwork Securityエンドポイントに関連付けられています。

Name: (オプション) Network Securityエンドポイントサブネットルートテーブル

VPC: Workload VPC

次のルートテーブルの例と一致するようにルートを追加または編集します
route table example

サブネットの関連付けの作成

Network Securityのエンドポイントのサブネットルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックして、 Network Securityのエンドポイントを含むサブネットを選択します。すべてのAZでNetwork Securityエンドポイントを含むサブネットごとに、このルートテーブルのサブネット関連付けを作成します。
2. エッジアソシエーションルートテーブルの作成または変更

このルートテーブルは、インターネットから戻ってくるトラフィックを、パブリックサブネットに送信する前に検査のためにNetwork Securityエンドポイントに送信します。

このルートテーブルはWorkload VPCに関連付けられています。このルートテーブルが受信VPCトラフィックをNetwork Securityエンドポイントにルーティングするには、エッジの関連付けが必要です。

Name: (オプション) Edgeアソシエーションルートテーブル

VPC: Workload VPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

エッジの関連付けの作成

このルートテーブルのエッジの関連付けを作成します。エッジアソシエーションルートテーブルを選択し、Edge Associations タブをクリックします。 [Edit edge associations] をクリックし、保護するInternet Gatewayを選択して、[Save changes] をクリックします。

3. パブリックサブネットルートテーブルの作成または変更

このルートテーブルは、パブリックサブネットからNetwork Securityエンドポイントにトラフィックを送信するため、アウトバウンドトラフィックはインターネットに送信される前に検査されます。

このルートテーブルは、パブリックサブネットと内部アセットに関連付けられています。

パブリックサブネットごとに、他のパブリックサブネットに関連付けられていないルートテーブルを作成してください。


パブリックサブネットは、そのサブネットと同じAZ内のNetwork Securityエンドポイントにのみトラフィックを送信する必要があるため、異なるAZのパブリックサブネットは異なるルートテーブルを使用する必要があります。


Name: (オプション) パブリックサブネットルートテーブル

VPC: Workload VPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

サブネットの関連付けの作成

パブリックサブネットのルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックし、公開対象のアセットに関連付けられている対応するAZ内のパブリックサブネットを選択します。AZごとに作成するパブリックサブネットルートテーブルごとに関連付けを作成します。

Transit Gatewayを使用する環境のルートを変更します。

この設定は、Transit Gatewayを使用して複数のVPCに接続してトラフィックをルーティングするクラウド環境に最適です。多くの場合、これらの環境では、Transit Gatewayに接続された複数のVPCのアセットを保護する必要があります。この環境の例については、詳細を参照してください。

展開の例の環境構造とルーティングの詳細については、次の図を参照してください。数字の付いた矢印は、環境内のトラフィックの流れの順序を表しています。緑色は要求を表し、オレンジ色は応答を表します。

この図のルートテーブルは、以下の手順のルートテーブルと同じです。


Transit Gatewayを使用する環境のルートを作成または編集するには、次の手順を実行します。

1. Workload VPCプライベートサブネットルートテーブルを作成または変更します

このルートテーブルは、公開アセットを含むWorkload VPC内のプライベートサブネットに関連付けられています。

Name: (オプション) WorkloadVPCプライベートサブネットルートテーブル

VPC: Workload VPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

サブネットの関連付けの作成

AZごとに作成するWorkload VPCプライベートサブネットルートテーブルごとに関連付けを作成します。Workload VPCプライベートサブネットルートテーブルを選択し、[Subnet Associations] タブをクリックし、[Edit subnet associations] をクリックして、対応するAZのWorkload VPCプライベートサブネットを選択します。

2. Transit Gatewayアタッチメントサブネットルートテーブルの作成または変更

このルートテーブルは、Security VPCをTransit Gatewayに接続するために使用され、 Transit Gatewayのアタッチメントサブネットに関連付けられます。

Name: (オプション) Transit Gatewayアタッチメントサブネットルートテーブル

VPC: セキュリティVPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

サブネットの関連付けの作成

Transit Gateway接続サブネットルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックし、作成したTransit Gateway接続サブネットを選択します。 AZごとに作成するTransit Gateway接続サブネットルートテーブルごとに関連付けを作成します。

3. Network Securityエンドポイントサブネットルートテーブルの作成

このルートテーブルは、Security VPC用にデプロイしたNetwork Securityエンドポイントに関連付けられています。

Name: (オプション) Network Securityエンドポイントサブネットルートテーブル

VPC: セキュリティVPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

サブネットの関連付けの作成

Network Securityのエンドポイントのサブネットルートテーブルを選択し、[Subnet Associations] タブ、[Edit subnet associations] の順にクリックして、 Network Securityのエンドポイントを含むサブネットを選択します。すべてのAZでNetwork Securityエンドポイントを含むサブネットごとに、このルートテーブルのサブネット関連付けを作成します。
4. Security VPCパブリックサブネットルートテーブルの作成または変更

Security VPCのパブリックサブネットルートテーブルは、Security VPCをインターネットゲートウェイに接続するために使用されます。

パブリックサブネットごとに、他のパブリックサブネットに関連付けられていないルートテーブルを作成してください。


パブリックサブネットは、そのサブネットと同じAZ内のNetwork Securityエンドポイントにのみトラフィックを送信する必要があるため、異なるAZのパブリックサブネットは異なるルートテーブルを使用する必要があります。


Name: (オプション) Security VPCパブリックサブネットルートテーブル

VPC: セキュリティVPC

環境内のAZごとにこのルートテーブルを作成します。次の例のようにルートを追加または編集します。
route table example

サブネットの関連付けの作成

AZごとに作成するSecurity VPCパブリックサブネットルートテーブルごとに関連付けを作成します。Security VPCパブリックサブネットルートテーブルを選択し、[Subnet Associations] タブをクリックし、[Edit subnet associations] をクリックして、対応するAZのSecurity VPCパブリックサブネットを選択します。

5. Transit Gatewayルートテーブルの作成または変更

Transit Gatewayルートテーブルを作成するには、VPCダッシュボードの下部までスクロールし、 Transit Gateway Route TablesCreate Transit Gateway Route Tableをクリックします。

上の図の例は、 Transit Gatewayの下にあるこれら2つのルートを示しています。

Workload VPCとインターネット間のトラフィックを検査する場合は、上の図に示すように、単一のルートテーブルを作成できます。ただし、複数のVPCを使用していて、これらのWorkload VPC間のトラフィックを検査する場合は、次に示すように、2つの個別のTransit Gatewayルートテーブルを作成します。

イングレストラフィックルートテーブル

アソシエーション: Workload VPC

route table example

下りトラフィックルートテーブル

アソシエーション: Security VPC

route table example