Palo Alto Networks クラスタ化された VM シリーズファイアウォールの作成

Panoramaアプリケーションを使用してデバイスを管理している場合は、デバイス作成時にPanorama IPアドレスと認証キーを入力する必要がある。Panoramaのサポートはバージョン10.1.12以上でのみ提供されている。

Palo Alto Networks VMシリーズファイアウォールには、単一、冗長、およびクラスタ化。以下で説明する構成オプションは、クラスタ構成に適用される。単一および冗長構成オプションは、VMシリーズファイアウォールの作成にある

接続オプション

Network Edgeによるクラスタデバイスのプロビジョニング方法は、接続オプションによって異なる。プライマリデバイスとセカンダリデバイスの両方をクラスタノードとして構成するために必要な手順を理解するために、このセクションを注意深く読む。

両方の接続オプション（EquinixパブリックIPアドレスありまたはなし）には、初期デバイスプロビジョニング後にプライマリノードとセカンダリノード間のリンクが付属している。これらのリンクはHeartbeat通信に使用され、クラスタ配置に必要である。

接続タイプに応じた設定内容を以下の表にまとめています。

接続タイプ	EquinixパブリックIPアドレスを使用	パブリックIPアドレスを使用しない場合
ユースケース	このオプションにはEquinixからのパブリックIPアドレスが付属しており、仮想デバイスを管理するために追加の仮想接続は必要ない。	このオプションは、EquinixソースのパブリックIPアドレス割り当てを削除し、デバイス作成後にVNFをインターネットから分離する。デバイスをコロケージまたはプライベート仮想接続で実行されるソフトウェアで管理する必要がある場合は、このオプションを推奨する。
インターネット接続	EquinixからのパブリックIPアドレスは、次のインターフェイスに割り当てられ、インターネットからアクセスできる。管理（MGMT）、イーサネット1/1（WAN）。	EquinixからのパブリックIPアドレスは含まれていない。このオプションでは、ネットワークサービスプロバイダー（NSP）またはインターネットサービスプロバイダー（ISP）とは別の仮想接続が必要。詳細については、Bring Your Own Connection- Remote Fabric Portを参照。
アクセスコントロールリスト	VNF 管理 (MGMT) または WAN インターフェースへのトラフィックを制限するアクセス制御リスト (ACL) を作成します。	ACLオプションが使用できない。任意のプライベート仮想接続からのトラフィックに対して追加の補償制御を実装できる。
SSHアクセス	アクセスにイーサネット1/1（WAN）インターフェイスを使用するSSHアクセス用のRSA公開鍵を生成し、デバイス作成ワークフローで設定する必要がある（必須）。	デフォルトではSSHアクセスなし。デバイスアクセス用のユーザー名を作成する必要がある。1つの選択肢は、SSHアクセス用のRSA公開鍵を生成して設定することである。NSPまたはISP経由でインターネット接続を確立する。
デバイスの管理性	クラスタデバイスでは、Panorama アクセスは管理 (MGMT) インターフェースにのみマッピングできます。	クラスタ展開で Panorama にアクセスするには、まず、仮想接続（BYOC オプションを使用）を管理（MGMT）インターフェースに割り当てる必要があります。
ライセンス登録	デバイス作成ワークフロー中にAuthCodeを提供する。AuthCodeは、仮想デバイスがパロアルトネットワークのライセンス登録サーバに到達すると自動的に登録される。	デバイス作成ワークフロー中にAuthCodeは不要。ユーザーは、プライベート仮想接続(オンラインライセンス登録)またはオフラインモードライセンスを介したインターネットアクセスを使用してライセンスを登録する責任がある。
クラスタリングセットアップ	デバイス作成ワークフローの中で、クラスター設定が自動化されます。	クラスタデバイスはユーザーが手動で設定する必要があります。
内部HA接続	デフォルトでは、GigabitEthernet 8および9はHA接続用に自動的に設定される。この設定を変更するオプションはないデバイスリンクを使用してプライマリデバイスとセカンダリデバイスを接続する必要はない	Heartbeat通信用のインターフェイスを2つ選択する。インターフェイス番号は、プライマリデバイスとセカンダリデバイスの間で一致している必要がある。たとえば、gigabitethernet5がプライマリノードに設定されており、最初のHA接続用にGigabitEthernet 5がセカンダリノードに設定されている場合。HA接続のために、ノードごとに2つのインターフェイスを割り当てる必要がある
内部HA構成	デフォルトでは、2つのデバイス間でクラスタを形成するために必要なすべての設定は、デバイスプロビジョニングフェーズ中にプロビジョニングされる。クラスタリング用に追加の構成を発行する必要はない	上記の2つのインターフェイス(リンク)でクラスタ設定を行う必要がある。設定例は、「EquinixパブリックIPアドレスなしのクラスタ構成」にある。
Authコード	クラスタ化されたデバイスを作成する前に、プライマリノードとセカンダリノードの両方の認証コードを生成する必要があるこれらのコードはデバイスプロビジョニングで自動的に使用されるため、手動でライセンスを適用する必要はない。認証コードが欠落しているか、無効な認証コードが原因でプロビジョニングが失敗する	An Identical Auth Code for Primary and Secondary nodes, is generated after the device creation flow. You will need to identify CPU ID and UUID for each VNF to generate Auth Code. You need to manually apply the license after the devices are provisioned.

Equinix 公共 IP アドレスを使用せずにデバイスを設定する

EquinixパブリックIPアドレスなしでデバイスを作成する場合、WANまたは管理インターフェイスでパブリックIPアドレスなしでVNFがプロビジョニングされるライセンス登録、オーバーレイネットワーク設定、およびクラスタリングの設定を担当する。

マネジメントインターフェイスの構成

次に、管理インターフェイスの設定例（参照のみ）を示す。コマンド

set deviceconfig system type static
set deviceconfig system ip-address x.x.x.x
set deviceconfig system netmask y.y.y.y
set deviceconfig system default-gateway z.z.z.z

ライセンス登録

デバイスにライセンスを手動で追加する必要がある。パロアルトネットワークスカスタマーサポートポータル(ライセンスポータル)にアクセスして、UUIDとCPU-ID情報を使用してデバイスを登録できる。ポータルのライセンスキーを使用して、デバイスにライセンスを追加する。ライセンス認証のドキュメントは、Palo Alto Networksのドキュメントから入手可能。

展開シナリオ

シナリオ1：Colocation Colocation SPACEに接続されたネットワークからのみアクセス可能な管理インターフェース(オフラインライセンス登録)からファイアウォールを管理するオフラインライセンス登録。

Network Edgeポータルで、EquinixパブリックIPアドレスを使用しないVMシリーズファイアウォールVNFを作成する。
プライマリおよびセカンダリのVNFコンソールに、ユーザー名とパスワードでログインします。
VNF からコロケーションへの仮想接続を最初のインターフェース（管理インターフェース）に作成します。
両方のVNFの管理インターフェイスにIPアドレスを割り当てる。
コロケーションスペースにある機器からIP到達性を確認する。
コロケーション空間内の機器からSSHでVNFにアクセスします。
VNFのCPU IDとUUIDを特定する。
Palo Alto Networksカスタマーサポートポータル（ライセンスポータル）にアクセスし、VNF用の同一のライセンスを2つ生成します。
オフラインモードライセンスを両方のVNFに適用する
_(オプション)VNFは、_Colocationスペースで構成されたパノラマ管理ソフトウェアから管理できる。
残りのインターフェイスから、クラウドサービスプロバイダ（CSP）への仮想接続を作成します。
ソフトウェアのアップデートには、引き続きオフラインのデバイス管理を使用します。

シナリオ2：仮想接続またはBYOC接続インターフェイスから管理インターフェイスにアクセスできるNSPネットワーク(オンラインライセンス登録)からファイアウォールを管理するNSP。オンラインライセンス登録。

Network Edgeポータルで、EquinixパブリックIPアドレスを使用しないVMシリーズファイアウォールVNFを作成する。
プライマリおよびセカンダリのVNFコンソールに、ユーザー名とパスワードでログインします。
最初のインタフェース（管理インタフェース）で、VNFからNSPへの仮想接続を作成する。
両方のVNFの管理インターフェイスにIPアドレスを割り当てる。
NSPネットワーク内の機器からIP到達性を確認する。
NSPネットワーク内の機器からSSHでVNFにアクセスします。
Palo Alto Networks Customer Support Portal (License portal) にアクセスし、この VNF のライセンスと認証コードを生成します。
両方のVNFに同一のAuth Codeを適用します。
_（オプション）_NSPネットワークで構成されたパノラマ管理ソフトウェアからVNFを管理できる。
残りのインターフェイスからCSPへの仮想接続を作成します。

Equinix パブリック IP アドレスを使用しないクラスタ構成

EquinixパブリックIPアドレスなしで接続オプションを選択した場合、は、プライマリノードとセカンダリノードの間にクラスタを形成するように、各ノードに2つのインターフェイスを設定する必要がある。コマンドラインインタフェース(CLI)を使用した設定例を以下に示す。

プライマリノードのサンプル構成：

set deviceconfig high-availability interface ha1 port ethernet1/<HA1_Interface> 
set deviceconfig high-availability interface ha1 ip-address <Primary_HA1_IP> 
set deviceconfig high-availability interface ha1 netmask <NETMASK> 
set deviceconfig high-availability interface ha1-backup 

set deviceconfig high-availability interface ha2 port ethernet1/<HA1_Interface> 
set deviceconfig high-availability interface ha2 ip-address <Primary_HA2_IP> 
set deviceconfig high-availability interface ha2 netmask <NETMASK> 
set deviceconfig high-availability group group-id <Group_ID> 
set deviceconfig high-availability group peer-ip <Secondary_IP> 
set deviceconfig high-availability group election-option device-priority <Priority> 
set deviceconfig high-availability group election-option timers recommended

set deviceconfig high-availability enabled yes 
set network interface ethernet ethernet1/<HA1_Interface> ha 
set network interface ethernet ethernet1/<HA2_Interface> ha

セカンダリノードのサンプル構成：

set deviceconfig high-availability interface ha1 port ethernet1/<HA1_Interface> 
set deviceconfig high-availability interface ha1 ip-address <Secondary_HA1_IP> 
set deviceconfig high-availability interface ha1 netmask <NETMASK> 
set deviceconfig high-availability interface ha1-backup 

set deviceconfig high-availability interface ha2 port ethernet1/<HA1_Interface> 
set deviceconfig high-availability interface ha2 ip-address <Secondary_HA2_IP> 
set deviceconfig high-availability interface ha2 netmask <NETMASK> 
set deviceconfig high-availability group group-id <Group_ID> 
set deviceconfig high-availability group peer-ip <Primary_IP> 
set deviceconfig high-availability group election-option device-priority <Priority> 

set deviceconfig high-availability enabled yes 
set network interface ethernet ethernet1/<HA1_Interface> ha 
set network interface ethernet ethernet1/<HA2_Interface> ha

管理ソフトウェアからグラフィカルユーザーインター(GUI)を使用した設定例については、Palo Altoのドキュメントの「HAクラスタの設定」を参照。

FIPS モードを有効にする

デフォルトでは、FIPS モードは Palo Alto Networks の仮想ファイアウォールデバイスでは有効になっていないため、有効にする必要があります。

前提条件

パブリック IP または Colo 経由でファイアウォールの管理インターフェースに GUI および SSH アクセス。
仮想デバイスへのコンソールアクセス。
ライセンスのない Palo Alto VM。FIPS を有効にした後、ライセンスを手動でロードする必要があります。
デバイスの設定のバックアップ。
Palo Alto ファイアウォールの動作について深い理解があること。
管理者パスワードは SHA256 暗号化する必要があります。
管理インターフェースでデバイスに SSH を使用できる必要があります。
FIPS モードでは OTP が必須となります。

VM1のHAコンフィグのバックアップをsshで取る。

> set cli config-output-format set
> configure
Entering configuration mode
[edit]

# show | match high-availability

FIPSを有効にする前にVM1のHAを無効にし、設定をコミットする。
コンソールからデバイスにログインする。
Maintenance Recovery Tool（MRT）を起動する。デバイスがMRTから起動するまで数分かかる
MRTで、Set FIPS -- CC mode（FIPSの設定-- CCモード）を選択する。値をデフォルトのままにして、を選択してEnable FIPS-CC ModeEnterを押す。スクラブは現時点では推奨されていない。
デバイスを再起動する。

デバイスにSSH接続して、以下のデフォルト・コンフィグレーションを削除する。

CLI では、ログインすると次のメッセージが表示されます。

**** FIPS-CC MODE ENABLED ****

delete network ike crypto-profiles ike-crypto-profiles default encryption aes-128-cbc
delete network ike crypto-profiles ike-crypto-profiles default encryption
set network ike crypto-profiles ike-crypto-profiles default encryption aes-256-cbc
delete network ike crypto-profiles ike-crypto-profiles default dh-group
set network ike crypto-profiles ike-crypto-profiles default dh-group group19

delete network ike crypto-profiles ipsec-crypto-profiles default esp encryption
set network ike crypto-profiles ipsec-crypto-profiles default esp encryption aes-256-cbc
delete network ike crypto-profiles ipsec-crypto-profiles default dh-group

commit force

VM2に対して上記の手順を繰り返す。両方の仮想マシンのGUIにログインする。最初のログインページとWebインターフェイス下部のステータスバーに常にFIPS-CCモードが表示される。

すべてのパロアルトネットワークスファイアウォールは、HA1トラフィックの暗号化に使用できる独自の高可用性キーを持っている。キーをVM1からエクスポートし、VM2にインポートする必要があるVM2キーもVM1にエクスポートしてインポートする必要がある。

VM2のGUIにログインする。デバイス>証明書管理>証明書>デバイス証明書> HAキーのエクスポートと移動

メモ
キーファイル名に特殊文字が含まれていないことを確認してください。
VM1のGUIにログインする：HAキーをVM2からVM1にアップロードするデバイス>証明書管理>証明書>デバイス証明書> HAキーのインポートと移動
VM1のGUIにログインする：VM1からHAキーをダウンロードする。デバイス>証明書管理>証明書>デバイス証明書> HAキーのエクスポートと移動
VM2のGUIにログインする：HAキーをVM1からVM2にアップロードするデバイス>証明書管理>証明書>デバイス証明書> HAキーのインポートと移動

ステップ1で取得したVM1とVM2のバックアップHAコンフィグに、以下の行を追加する。

set deviceconfig setting auto-mac-detect yes
set deviceconfig high-availability interface ha1 encryption enabled yes

VM1 と VM2 のそれぞれのバックアップから設定を追加し、ssh 経由で設定をコミットします。
```
> configure
Entering configuration mode
[edit]

# <Load config>

# commit
```
両方のデバイスにライセンスをロードする。
```
request license fetch auth-code <auth-code>
```
重要
ライセンスが正常に適用されると、デバイスは自動的に再起動します。
必要に応じて、プライマリ・デバイスにログインし、両方のデバイス間で設定を同期します。
```
request high-availability sync-to-remote running-config
```

接続オプション​

Equinix 公共 IP アドレスを使用せずにデバイスを設定する​

マネジメントインターフェイスの構成​

ライセンス登録​

展開シナリオ​

Equinix パブリック IP アドレスを使用しないクラスタ構成​

FIPS モードを有効にする​