コンピューティングゲートウェイのファイアウォールルールの追加または変更

デフォルトでは、コンピューティングゲートウェイは SDDC コンピューティングネットワークとの間のトラフィックをブロックします。必要に応じて、トラフィックを許可するコンピューティングゲートウェイのファイアウォールルールを追加します。

デフォルトのコンピューティングゲートウェイおよび作成する追加の Tier-1 ゲートウェイのファイアウォールルールは、指定された送信元から指定された宛先およびサービスへのネットワークトラフィックに対して実行するアクションを指定します。アクションは次のいずれかになります。

許可（一致するトラフィックを許可する）
ドロップ（一致するトラフィックを通知なしにドロップする）
拒否（一致するトラフィックをドロップして送信元に通知する）

物理ネットワークインターフェイスのリストからの選択、または [すべてのアップリンク] という一般的な指定（ゲートウェイから VPC インターフェイス、インターネットインターフェイス、またはイントラネット (Direct Connect) インターフェイスに向かうすべてのトラフィックに適用される）にルールを適用できます。

注： [すべてのアップリンク] に適用されるファイアウォールルールは、仮想インターフェイスであって物理アップリンクではない [VPN トンネルインターフェイス] (VTI) には適用されません。 [VPN トンネルインターフェイス] は、ルートベースの VPN で行われるワークロード仮想マシンの通信を管理する、任意のファイアウォールルールの [適用先] パラメータで明示的に指定する必要があります。

ファイアウォールを通過するすべてのトラフィックは、ルールテーブルに表示されている順序でルールによって評価されます。最初のルールに一致するトラフィックは、そのアクション（許可、ドロップ、または拒否）に従い、評価は停止します。最初のルールに一致しないトラフィックは後続のルールに渡されます。一致すると、ルールアクションの指定に従ってトラフィックが許可、ドロップ、または拒否され、ルールの評価は停止します。ユーザー定義のルールに一致しないトラフィックは、デフォルトルールによって処理されます。

次の 2 種類のファイアウォールルールがあります。

事前定義されたファイアウォールルールは、VMware Cloud on AWS によって作成されます。2 つの事前定義されたコンピューティングゲートウェイのファイアウォールルールを次に示します。

表 1. 事前定義されたコンピューティングゲートウェイのファイアウォールルール
名前	送信元	宛先	サービス	適用先	操作
デフォルトの VTI ルール	任意	任意	任意	VPN トンネルインターフェイス	ドロップ *
デフォルトのアップリンクルール	任意	任意	任意	すべてのアップリンク	Drop

* [デフォルトの VTI ルール] は、ワークロード仮想マシンがルートベースの VPN を介して通信できるように、（仮想トンネルインターフェイス経由の）ルートベースの VPN トラフィックをすべてドロップし、このルールを [許可] に変更してトラフィックを許可するか、ルール階層の下位に移動して、より許可度の高いルールの後ろに配置します。[デフォルトのアップリンクルール] を変更または並べ替えることはできません。

ユーザー定義のファイアウォールルールは、指定した順序で処理され、常に [デフォルトのアップリンクルール] の前に処理されます。

前提条件

コンピューティングゲートウェイのファイアウォールルールでは、送信元と宛先の値についてインベントリグループを指定する必要があります。インベントリグループの操作を参照してください。

手順

https://vmc.vmware.com の VMware Cloud Services にログインします。
[インベントリ] > [SDDC] の順にクリックし、SDDC カードを選択して [詳細表示] をクリックします。
[NSX Manager を開く] をクリックし、SDDC の [設定] 画面に表示されている [NSX Manager 管理者ユーザーアカウント] を使用してログインします。NSX Manager による SDDC ネットワーク管理を参照してください。
このワークフローでは、 VMware Cloud コンソールの [ネットワークとセキュリティ] タブを使用することもできます。
[ゲートウェイファイアウォール] 画面で、[コンピューティングゲートウェイ] をクリックします。
ルールを追加するには、[ルールの追加] をクリックし、新しいルールの [名前] を入力します。

新しいルールのパラメータを入力します。

パラメータはデフォルト値に初期化されます（ [送信元] と [宛先] は [すべて] など）。パラメータを編集するには、パラメータ値の上にマウスカーソルを移動し、鉛筆アイコン (

) をクリックしてパラメータ固有のエディタを開きます。

オプション	説明
送信元	[送信元] 列の [任意] をクリックし、送信元ネットワークトラフィックのインベントリグループを選択するか、[グループの追加] をクリックして、このルールで使用する新しいユーザー定義のインベントリグループを作成します。[保存] をクリックします。
宛先	[宛先] 列の [任意] をクリックし、宛先ネットワークトラフィックのインベントリグループを選択するか、[グループの追加] をクリックして、このルールで使用する新しいユーザー定義のインベントリグループを作成します。[保存] をクリックします。
サービス	[サービス] 列の [任意] をクリックして、リストからサービスを選択するか、[サービスの追加] をクリックして、このルールで使用する新しいユーザー定義のサービスを作成します。[保存] をクリックします。
適用先	ルールを適用するトラフィックのタイプを定義します。ルートベースの VPN 上のトラフィックにルールを適用する場合は、[VPN トンネルインターフェイス] を選択します。リンクされた Amazon VPC 接続上のトラフィックにルールを適用する場合は、[VPC インターフェイス] を選択します。パブリック IP エンドポイントを使用するポリシーベースの VPN を介したトラフィックを含む、SDDC のインターネットゲートウェイを介したトラフィックにルールを適用する場合は、[インターネットインターフェイス] を選択します。 AWS Direct Connect、VMware Transit Connect、およびプライベート IP アドレスを使用するポリシーベースの VPN を介したトラフィックをルールで許可する場合は、[イントラネットインターフェイス] を選択します。 [VPC インターフェイス]、[インターネットインターフェイス]、[イントラネットインターフェイス] にルールを適用し、[VPN トンネルインターフェイス] に適用しない場合は、[すべてのアップリンク] を選択します。注： [VPN トンネルインターフェイス] はアップリンクとして分類されていません。
操作	すべての L3 トラフィックがファイアウォールを通過できるようにするには、[許可] を選択します。 [ドロップ] を選択すると、指定した [送信元]、[宛先]、[サービス] に一致するパケットをドロップします。これは、送信元または宛先のシステムに通知されない、サイレントアクションです。パケットがドロップされると、再試行のしきい値に到達するまで、接続が再試行されます。 [拒否] を選択すると、指定した [送信元]、[宛先]、[サービス] に一致するパケットを拒否します。このアクションは、「宛先への到達不能メッセージ」を送信者に返します。TCP パケットの場合、応答には TCP `RST` メッセージが含まれます。UDP、ICMP、およびその他のプロトコルの場合、応答には「管理上禁止」のコード（9 または 10）が含まれます。接続を確立できない場合、すぐに送信者に通知されます（再試行は行われません）。

新しいルールはデフォルトで有効になります。トグルボタンを左にスライドして無効にします。

[発行] をクリックして、ルールを作成します。

新しいルールには、ルールによって生成されるログエントリで使用される、整数の [ID] 値が付与されます。

次のタスク

既存のファイアウォールルールを使用して、これらの任意のアクションのいずれか、またはすべてを実行できます。

歯車アイコンをクリックして、ルールのログ設定を表示または変更します。ログのエントリは、VMware VMware Aria Operations for Logs サービスに送信されます。『VMware Cloud on AWS Operations Guide』のUsing VMware Aria Operations for Logsを参照してください。

グラフアイコン

をクリックして、ルールのヒットおよびフローの統計情報を表示します。

表 2. ルールのヒットの統計
ポピュラリティインデックス	過去 24 時間にルールがトリガーされた回数。
ヒットカウント	ルールが作成されてからトリガーされた回数。

表 3. フローの統計
パケット数	このルールの対象となるパケットフローの合計。
バイト数	このルールの対象となるバイトフローの合計。

統計情報は、ルールが有効になるとすぐに集計が開始されます。

ファイアウォールルールを並べ替えます。
[新しいルールの追加] ボタンから作成されたルールは、ルールのリストの一番上に配置されます。ファイアウォールルールは、一番上から順に適用されます。リスト内のルールの位置を変更するには、ルールを選択して新しい位置にドラッグします。[公開] をクリックして変更を公開します。