Amazon Web Services (AWS) への動的ルートの BOVPN 仮想インターフェイス

Firebox と Amazon Web Services (AWS) の間の VPN 接続を構成することができます。例えば、ローカルネットワークのホストが Amazon 仮想プライベートクラウド (VPC) のリソースにセキュアに接続できるように VPN を構成することができます。

AWS への VPN 接続の場合、BOVPN の代わりに Firebox で BOVPN 仮想インターフェイスを構成することをお勧めします。静的または動的ルートを使用できます。

この例では、以下の VPN 構成内容を示しています：

動的 BGP ルーティング
1 つの Firebox 外部物理インターフェイス
2 つの Firebox BOVPN 仮想インターフェイス
フェールオーバー用の 2 つの IP アドレスがある 1 つの AWS ゲートウェイ

AWS では OSPF はサポートされていません。

AWS の構成

AWS VPN 構成には、リダンダンシーのための 2 つの外部 IP アドレスを持つ 1 つの仮想プライベートゲートウェイが含まれています。AWS では、どのIP アドレスがプライマリ IP アドレスであるかが自動的に判断されます。

外部 IP アドレス間のフェールオーバーが既定で有効化されています。プライマリ AWS 外部 IP アドレスが利用できない場合は、VPN トラフィックが自動的に他の AWS 外部 IP アドレスにフェールオーバーされます。

AWS VPN 設定の詳細な構成方法については、Amazon 仮想プライベートクラウドユーザーガイドを参照してください。

AWS 構成ファイルのダウンロード

Firebox を構成する前に、AWS アカウントから構成ファイルをダウンロードします：

https://aws.amazon.com/console で AWS マネジメントコンソールにログインします。
すべてのサービス をクリックして拡張します。
ネットワーキングとコンテンツ配信 セクションで VPC を選択します。
ナビゲーションメニューの 仮想プライベートネットワーク セクションで、サイト間 VPN 接続 をクリックします。
接続のボックスを選択します。
構成のダウンロード をクリックします。
ベンダー ドロップダウンリストから WatchGuard, Inc. を選択します。
ソフトウェア ドロップダウンリストから Fireware OS 11.12.2 + を選択します。
ダウンロード をクリックします。
.txt ファイルがデスクトップにダウンロードされます。
テキストエディタで .txt ファイルを開きます。

AWS 事前共有キーと IP アドレスを見つける

.txt 構成ファイルには、事前共有キー、AWS トンネル 1 およびトンネル 2 用ゲートウェイ IP アドレス、および AWS VPC の信頼済み (プライベート) ネットワークへのルートが含まれています。

また、AWS 構成では IP アドレスを検索することもできます：

ゲートウェイ IP アドレスの場合は、仮想プライベートネットワーク > サイト間 VPN 接続 > 名前 の順に選択します。
ルートの場合は、仮想プライベートクラウド > サブネット または 仮想プライベートクラウド > ルートテーブル の順に選択します。

この例では、AWS 構成は以下の IP アドレスを使用しています：

カスタマーゲートウェイアドレス — 203.0.113.2 (Firebox の外部インターフェイス)
VPN 接続：
- トンネル 1 — 198.51.100.2 (AWS 仮想プライベートゲートウェイの最初の IP アドレス)
- トンネル 2 — 192.0.2.2 (AWS 仮想プライベートゲートウェイの 2 番目の IP アドレス)
静的ルート — 10.0.1.0/24 (Firebox の信頼済みネットワーク)

Firebox を構成する

この例では、Firebox に 1 つの外部インターフェイスおよび 1 つの信頼済みネットワークがあるとします。

インターフェイス	種類	名前	IP アドレス
0	外部	外部	203.0.113.2/24
1	信頼済み	信頼済み	10.0.1.1/24

BOVPN 仮想インターフェイスを追加する

両方の AWS 外部 IP アドレスを使用するように冗長ゲートウェイを構成するには、2 つの BOVPN 仮想インターフェイスを構成する必要があります。

最初の BOVPN 仮想インターフェイスを構成するには、Fireware Web UI から以下の手順を実行します。

VPN > BOVPN 仮想インターフェイス の順に選択します。
追加をクリックします。
インターフェイス名 テキストボックスに、その仮想インターフェイスを表す名前を入力します。この例では toAWS-1 を使用します。
リモート Endpoint タイプ ドロップダウンリストから クラウド VPN またはサードパーティゲートウェイ を選択します。
ゲートウェイアドレスファミリー ドロップダウンリストから IPv4 アドレス を選択します。AWS は VPN トンネルの IPv6 をサポートしていません。
認証メソッドとして 事前共有キーの使用 を選択します。
IPSec トンネル＃1 の AWS VPN 構成ファイルに含まれている事前共有キーを指定します。AWS は、サイト間 VPN に対しては事前共有キー認証方法しかサポートしていません。
ゲートウェイ Endpoint セクションで、追加をクリックします。
ゲートウェイ Endpoint の設定ダイアログボックスが表示されます。
物理ドロップダウンリストから外部を選択します。
インターフェイス IP アドレス ドロップダウンリストから プライマリ IPv4 インターフェイスアドレス を選択します。
IP アドレス別 を選択します。
隣りのテキストボックスに、Firebox の外部インターフェイスの IP アドレスを入力します。この例では 203.0.113.2 を使用します。
リモートゲートウェイ タブを選択します。
静的 IP アドレス を選択します。
隣のテキストボックスに、AWS 仮想プライベートゲートウェイの最初の IP アドレスを入力します。この例では 198.51.100.2 を使用します。

BOVPN 仮想インターフェイス設定のスクリーンショット

2 つ目の BOVPN 仮想インターフェイスを構成するには、Fireware Web UI から以下の手順を実行します。

VPN > BOVPN 仮想インターフェイス の順に選択します。
追加をクリックします。
インターフェイス名 テキストボックスに、その仮想インターフェイスを表す名前を入力します。この例では toAWS-2 を使用します。
リモート Endpoint タイプ ドロップダウンリストから クラウド VPN またはサードパーティゲートウェイ を選択します。
ゲートウェイアドレスファミリー ドロップダウンリストから IPv4 アドレス を選択します。AWS は VPN トンネルの IPv6 をサポートしていません。
認証メソッドとして 事前共有キーの使用 を選択します。
IPSec トンネル＃2 の AWS VPN 構成ファイルに含まれている事前共有キーを指定します。AWS は、サイト間 VPN に対しては事前共有キー認証方法しかサポートしていません。

ゲートウェイ Endpoint セクションで、追加をクリックします。
ゲートウェイ Endpoint の設定ダイアログボックスが表示されます。
物理ドロップダウンリストから外部を選択します。
インターフェイス IP アドレス ドロップダウンリストから プライマリ IPv4 インターフェイスアドレス を選択します。
IP アドレス別 を選択します。
隣りのテキストボックスに、Firebox の外部インターフェイスの IP アドレスを入力します。この例では 203.0.113.2 を使用します。
リモートゲートウェイ タブを選択します。
静的 IP アドレス を選択します。
隣のテキストボックスに、AWS 仮想プライベートゲートウェイの最初の IP アドレスを入力します。この例では 192.0.2.2 を使用します。
OK をクリックします。

BOVPN 仮想インターフェイス設定のスクリーンショット

仮想インターフェイスの IP アドレスおよびネットマスクを構成する

フェーズ 1 およびフェーズ 2 の設定の構成

VPN ネゴシエーション中に、AWS は Firebox から認証および暗号化アルゴリズム設定を特定します。AWS がその設定をサポートしている場合は、AWS は自動的に同じ設定を使用します。AWS では特定のプロポーザルがサポートされています。AWS 構成を編集して異なるプロポーザルを指定することはできません。

BGP コマンドを指定する

AWS BGP ASN および仮想 IP アドレス (BGP ピアアドレス) は AWS により定義され、これを変更することはできません。