サードパーティのファイアウォールを使用して、SD-WAN Edge の VNF を介してトラフィックを展開および転送できます。

セキュリティ VNF 構成を有効にできるのはオペレータのみです。[セキュリティ VNF (Security VNF)] オプションを利用できない場合、オペレータに問い合わせてください。

前提条件

次の項目について確認してください。

  • SD-WAN Orchestrator および特定のセキュリティ VNF の展開をサポートするソフトウェア バージョンを実行しているアクティブ化された SD-WAN Edge。サポート対象のソフトウェア バージョンおよび Edge プラットフォームの詳細については、セキュリティ VNF のサポート マトリックスを参照してください。
  • VNF Manager アドオンのライセンス。
  • 構成済みの VNF 管理サービス。詳細については、VNF 管理サービスの構成を参照してください。

手順

  1. エンタープライズ ポータルで、[構成 (Configure)] > [Edge (Edges)] をクリックします。
  2. [Edge (Edges)] ページで、Edge の横にある [[デバイス (Device)]] アイコンをクリックするか、Edge へのリンクをクリックして [デバイス (Device)] タブをクリックします。
  3. [デバイス (Device)] タブで、[セキュリティ VNF (Security VNF)] セクションまでスクロールし、[編集 (Edit)] をクリックします。
  4. [Edge VNF の構成 (Edge VNF Configuration)] ウィンドウで、[デプロイ (Deploy)] チェックボックスをオンにします。
  5. [仮想マシンの構成 (VM Configuration)] で、次のように構成します。
    1. [VLAN (VLAN)]:VNF 管理で使用する VLAN をドロップダウン リストから選択します。
    2. [VM-1 IP (VM-1 IP)]:仮想マシンの IP アドレスを入力し、IP アドレスが選択した VLAN のサブネット範囲内にあることを確認します。
    3. [VM-1 Hostname (VM-1 ホスト名)]:仮想マシン ホストの名前を入力します。
    4. [展開後の状態 (Deployment State)]:次のいずれかのオプションを選択します。
      • [[イメージをダウンロード済みでパワーオン (Image Downloaded and Powered On)]]:このオプションは、Edge 上でファイアウォール VNF を構築した後、仮想マシンをパワーオンします。トラフィックは、このオプションが選択されている場合にのみ VNF を転送します。この場合、VNF の挿入用に少なくとも 1 つの VLAN またはルーティング インターフェイスを構成する必要があります。
      • [[イメージをダウンロード済みでパワーオフ (Image Downloaded and Powered Off)]]:このオプションは、Edge 上でファイアウォール VNF を構築した後、仮想マシンをパワーオフのままにします。VNF を経由してトラフィックを送信する場合は、このオプションを選択しないでください。
    5. [セキュリティ VNF (Security VNF)]:ドロップダウン リストから事前定義された VNF 管理サービスを選択します。[新規 VNF サービス (New VNF Service)] をクリックして、新しい VNF 管理サービスを作成することもできます。詳細については、VNF 管理サービスの構成を参照してください。
      次の図は、セキュリティ VNF タイプとしての [Check Point ファイアウォール]の例を示しています。
      [Palo Alto Networks ファイアウォール (Palo Alto Networks Firewall)] をセキュリティ VNF として選択した場合は、次の追加設定を構成します。
      • [ライセンス (License)]:ドロップダウン リストから VNF ライセンスを選択します。
      • [デバイス グループ名 (Device Group Name)]:Panorama サーバで事前構成されたデバイス グループ名を入力します。
      • [構成テンプレート名 (Config Template Name)]:Panorama サーバで事前構成されている構成テンプレート名を入力します。
      注: [Palo Alto Networks ファイアウォール (Palo Alto Networks Firewall)] 構成の展開を VNF タイプから削除する場合は、この構成を削除する前に、Palo Alto Networks の [VNF ライセンス (VNF License)] を確実に無効にします。
      [Fortinet ファイアウォール (Fortinet Firewall)] を選択した場合は、次の設定を構成します。
      • [仮想マシン コア (VM Cores)]:ドロップダウン リストからコアの数を選択します。仮想マシンのライセンスは、仮想マシンのコアに基づいています。仮想マシンのライセンスが選択したコアの数に適合することを確認してください。
      • [検査モード (Inspection Mode)]:次のいずれかのモードを選択します。
        • [プロキシ (Proxy)]:このオプションはデフォルトで選択されています。プロキシベースの検査では、トラフィックをバッファリングし、分析のためにデータ全体を調べます。
        • [フロー (Flow)]:フローベースの検査では、バッファリングなしで FortiGate ユニットを通過するトラフィック データを検査します。
      • [ライセンス (License)]:仮想マシン ライセンスをドラッグ アンド ドロップします。
    6. [更新 (Update)] をクリックします。

結果

構成の詳細が [セキュリティ VNF (Security VNF)] セクションに表示されます。

次のタスク

複数のトラフィック セグメントを VNF にリダイレクトする場合は、セグメントとサービス VLAN 間のマッピングを定義します。サービス VLAN を使用したマッピング セグメントの定義を参照してください。

セキュリティ VNF を VLAN とルーティング インターフェイスの両方に挿入して、トラフィックを VLAN またはルーティング インターフェイスから VNF にリダイレクトできます。VNF 挿入を使用した VLAN の構成を参照してください。