メインコンテンツに移動

Palo Alto Networks VM シリーズファイアウォールの作成

Panoramaアプリケーションを使用してデバイスを管理している場合は、デバイス作成時にPanorama IPアドレスと認証キーを入力する必要がある。Panoramaのサポートはバージョン10.1.12以上でのみ提供されている。

Palo Alto Networks VMシリーズファイアウォールには、単一、冗長、およびクラスタ化。以下で説明する設定オプションは、シングル構成と冗長構成に適用される。クラスタ構成オプションは、クラスタ化されたVMシリーズファイアウォールの作成

接続オプション​

接続タイプ機能は、Palo Alto Networks VMシリーズファイアウォールで使用可能。この機能では、EquinixからのパブリックIPアドレスの有無にかかわらず、仮想インターフェイスを含めるオプションを提供する。パブリックIPアドレスなしでVNFを起動するオプション仮想デバイスをインターネットから分離する必要があるユースケース。その後、ユーザーはプライベートネットワークまたは仮想接続からデバイスを管理できる。

接続タイプのオプションとその違いを以下の表にまとめました。

接続タイプEquinixパブリックIPアドレスを使用パブリックIPアドレスを使用しない場合
ユースケースこのオプションにはEquinixのパブリックIPアドレスが付属しており、仮想デバイスを管理するための仮想接続を追加する必要はありません。このオプションは、EquinixソースのパブリックIPアドレス割り当てを削除し、デバイス作成後にVNFをインターネットから分離する。デバイスをコロケージまたはプライベート仮想接続で実行されるソフトウェアで管理する必要がある場合は、このオプションを推奨する。
インターネット接続EquinixからのパブリックIPアドレスは、次のインターフェイスに割り当てられ、インターネットからアクセスできる。管理（MGMT）、イーサネット1/1（WAN）。EquinixからのパブリックIPアドレスは含まれていない。このオプションでは、ネットワークサービスプロバイダー（NSP）またはインターネットサービスプロバイダー（ISP）とは別の仮想接続が必要。詳細については、Bring Your Own Connection- Remote Fabric Portを参照。
アクセスコントロールリストVNF 管理 (MGMT) または WAN インターフェースへのトラフィックを制限するアクセス制御リスト (ACL) を作成します。ACLオプションが使用できない。任意のプライベート仮想接続からのトラフィックに対して追加の補償制御を実装できる。
SSHアクセスアクセスにイーサネット1/1（WAN）インターフェイスを使用するSSHアクセス用のRSA公開鍵を生成し、デバイス作成ワークフローで設定する必要がある（必須）。デフォルトではSSHアクセスなし。デバイスアクセス用のユーザー名を作成する必要がある。1つの選択肢は、SSHアクセス用のRSA公開鍵を生成して設定することである。NSPまたはISP経由でインターネット接続を確立する。
デバイスの管理性シングル/冗長デバイスの場合、管理(MGMT)はデフォルトでパノラマアクセスにマップされる。サービスルート機能を使用して、別のインターフェイスに再マップする。シングルおよび冗長展開で Panorama にアクセスするには、まず、仮想接続（BYOC オプション経由）を管理（MGMT）インターフェースに割り当てる必要があります。
ライセンス登録デバイス作成ワークフロー中にAuthCodeを提供する。AuthCodeは、仮想デバイスがパロアルトネットワークのライセンス登録サーバに到達すると自動的に登録される。デバイス作成ワークフロー中にAuthCodeは不要。ユーザーは、プライベート仮想接続(オンラインライセンス登録)またはオフラインモードライセンスを介したインターネットアクセスを使用してライセンスを登録する責任がある。

Equinix 公共 IP アドレスを使用せずにデバイスを設定する​

EquinixパブリックIPアドレスを使用せずにVMシリーズファイアウォールを作成すると、WANまたは管理インターフェイスにパブリックIPアドレスを使用せずにVNFがプロビジョニングされるライセンス登録、オーバーレイネットワーク構成、クラスタリング（オプション）の構成は、お客様の責任で行ってください。

接続オプション

Device Detailsを入力するときに、次のIPアドレスオプションのいずれかを選択する。

  • DHCP - IPアドレスを自動的に割り当てるネットワーク管理プロトコル。
  • 静的IPアドレス - IPアドレス、サブネットマスク、デフォルトゲートウェイを入力します。

デバイスの詳細

マネジメントインターフェイスの構成​

以下は、管理インターフェイスのセットアップのためのサンプルで、参考のみの構成です。

コマンド

set deviceconfig system type static
set deviceconfig system ip-address x.x.x.x
set deviceconfig system netmask y.y.y.y
set deviceconfig system default-gateway z.z.z.z

ライセンス登録​

デバイスにライセンスを手動で追加する必要がある。パロアルトネットワークスカスタマーサポートポータル(ライセンスポータル)にアクセスして、UUIDとCPU-ID情報を使用してデバイスを登録できる。ポータルのライセンスキーを使用して、デバイスにライセンスを追加する。ライセンス認証のドキュメントは、Palo Alto Networksのドキュメントから入手可能。

展開シナリオ​

シナリオ1：Colocation Colocation SPACEに接続されたネットワークからのみアクセス可能な管理インターフェース(オフラインライセンス登録)からファイアウォールを管理するオフラインライセンス登録。

  1. Network Edgeポータルで、EquinixパブリックIPアドレスを使用しないVMシリーズファイアウォールVNFを作成する。
  2. プライマリおよびセカンダリのVNFコンソールに、ユーザー名とパスワードでログインします。
  3. VNF からコロケーションへの仮想接続を最初のインターフェース（管理インターフェース）に作成します。
  4. 両方のVNFの管理インターフェイスにIPアドレスを割り当てる。
  5. コロケーションスペースにある機器からIP到達性を確認する。
  6. コロケーション空間内の機器からSSHでVNFにアクセスします。
  7. VNFのCPU IDとUUIDを特定する。
  8. Palo Alto Networksカスタマーサポートポータル（ライセンスポータル）にアクセスし、VNF用の同一のライセンスを2つ生成します。
  9. オフラインモードライセンスを両方のVNFに適用する
  10. _(オプション)VNFは、_Colocationスペースで構成されたパノラマ管理ソフトウェアから管理できる。
  11. 残りのインターフェイスから、クラウドサービスプロバイダ（CSP）への仮想接続を作成します。
  12. ソフトウェアのアップデートには、引き続きオフラインのデバイス管理を使用します。

シナリオ2：仮想接続またはBYOC接続インターフェイスから管理インターフェイスにアクセスできるNSPネットワーク(オンラインライセンス登録)からファイアウォールを管理するNSP。オンラインライセンス登録。

  1. Network Edgeポータルで、EquinixパブリックIPアドレスを使用しないVMシリーズファイアウォールVNFを作成する。
  2. プライマリおよびセカンダリのVNFコンソールに、ユーザー名とパスワードでログインします。
  3. 最初のインタフェース（管理インタフェース）で、VNFからNSPへの仮想接続を作成する。
  4. 両方のVNFの管理インターフェイスにIPアドレスを割り当てる。
  5. NSPネットワーク内の機器からIP到達性を確認する。
  6. NSPネットワーク内の機器からSSHでVNFにアクセスします。
  7. Palo Alto Networks Customer Support Portal (License portal) にアクセスし、この VNF のライセンスと認証コードを生成します。
  8. 両方のVNFに同一のAuth Codeを適用します。
  9. _（オプション）_NSPネットワークで構成されたパノラマ管理ソフトウェアからVNFを管理できる。
  10. 残りのインターフェイスからCSPへの仮想接続を作成します。

FIPS モードを有効にする​

デフォルトでは、FIPS モードは Palo Alto Networks の仮想ファイアウォール デバイスでは有効になっていないため、有効にする必要があります。

前提条件

  • パブリック IP または Colo 経由でファイアウォールの管理インターフェースに GUI および SSH アクセス。
  • 仮想デバイスへのコンソールアクセス。
  • ライセンスのない Palo Alto VM。FIPS を有効にした後、ライセンスを手動でロードする必要があります。
  • デバイスの設定のバックアップ。
  • Palo Alto ファイアウォールの動作について深い理解があること。
  • 管理者パスワードは SHA256 暗号化する必要があります。
  • 管理インターフェースでデバイスに SSH を使用できる必要があります。
  • FIPS モードでは OTP が必須となります。

  1. コンソールからデバイスにログインする。

  2. Maintenance Recovery Tool（MRT）を起動する。デバイスがMRTから起動するまで数分かかる

  3. MRTで、Set FIPS -- CC mode（FIPSの設定-- CCモード）を選択する。値をデフォルトのままにして、を選択してEnable FIPS-CC ModeEnterを押す。スクラブは現時点では推奨されていない。

  4. デバイスを再起動する。

  5. デバイスにSSH接続して、以下のデフォルト・コンフィグレーションを削除する。

    CLI では、ログインすると次のメッセージが表示されます。

    **** FIPS-CC MODE ENABLED ****

    delete network ike crypto-profiles ike-crypto-profiles default encryption aes-128-cbc
    delete network ike crypto-profiles ike-crypto-profiles default encryption
    set network ike crypto-profiles ike-crypto-profiles default encryption aes-256-cbc
    delete network ike crypto-profiles ike-crypto-profiles default dh-group
    set network ike crypto-profiles ike-crypto-profiles default dh-group group19

    delete network ike crypto-profiles ipsec-crypto-profiles default esp encryption
    set network ike crypto-profiles ipsec-crypto-profiles default esp encryption aes-256-cbc
    delete network ike crypto-profiles ipsec-crypto-profiles default dh-group

    commit force

  6. デバイスGUIにログインする。FIPS-CCモードが最初のログインページに表示され、Webインターフェイスの下部にあるステータスバーに常に表示される。

  7. ライセンスをロードする。

    request license fetch auth-code <auth-code>
このページは役に立ちましたか？