VPN アクセスを構成する

このチュートリアルでは、作成したネットワーク・エンクロージャーは公衆インターネット上では表示されません。 VRA およびすべてのサーバーは、プライベート・ネットワークを介してのみ利用でき、接続時には VPN を使用します。

1. VPN アクセスが有効になっていることを確認します。

   VPN アクセスを有効にするには マスター・ユーザー である必要があります。または、アクセスを有効にするようにマスター・ユーザーに連絡してください。

2. ユーザー・リストでユーザーを選択して、VPN アクセスの資格情報を取得します。

3. Web インターフェース を介して VPN にログインするか、 Windows、 Linux 、または macOS用の VPN クライアント を使用します。

   VPNクライアントには、ゲートウェイアドレスとしてvpn.ams03.softlayer.comなど、「利用可能なVPNエンドポイント」ページにある単一のデータセンターVPNアクセスポイントのFQDNを使用します。

アカウントの許可を確認する

インフラストラクチャー・マスター・ユーザーに連絡して、以下の許可を取得してください。

• クイック許可 (Quick Permissions) - 基本ユーザー
• ネットワーク - エンクロージャーを作成して構成するために必要です (すべてのネットワーク許可が必要)
• サービス - SSH 鍵を管理します。

SSH 鍵をアップロードする

ポータルを使用して SSH 公開鍵をアップロードします。SSH 公開鍵は、VRA およびプライベート・ネットワークのアクセスおよび管理に使用されます。

対象のデータ・センターを選択する

セキュアなプライベート・ネットワークをデプロイする IBM Cloud データ・センターを選択します。

VLAN を注文する

ターゲット・データ・センターのプライベート・エンクロージャーを作成するには、サーバーに必要なプライベート VLAN を最初に割り当てる必要があります。 VLAN を作成する場合は、「ロケーション」 の下の 「ポッド」 を選択し、VRA を作成するのと同じデータ・センター、同じポッドに VLAN を要求してください。 仮想サーバー・インスタンスを注文する前に VRA を注文する場合は、仮想サーバー・インスタンスの VLAN を購入して、仮想サーバー・インスタンスが正しいポッドに常駐するようにする必要があります。 複数層アプリケーション・トポロジーをサポートするための追加の VLAN には費用が発生します。

同じデータ・センター・ルーターで十分な VLAN を使用でき、それらを VRA に関連付けられるようにするために、VLAN を注文することができます。 詳しくは、VLAN の注文を参照してください。

デプロイされた VRA を確認する

1. 新しい VRA を検査します。 「インフラストラクチャー・ダッシュボード (Infrastructure Dashboard)」の左側のペインで 「ネットワーク」 を選択してから 「ゲートウェイ・アプライアンス」 を選択し、「ゲートウェイ・アプライアンス」ページに進みます。 「ゲートウェイ」 列で新しく作成された VRA の名前をクリックし、「ゲートウェイ詳細 (Gateway Details)」ページに進みます。

2. VRA の Private IP アドレスと Public IP アドレスを今後の使用のためにメモします。

VRA の IP ルーティングを構成する

IBM Cloud プライベート・ネットワークから新規サブネットにルーティングするための VRA 仮想ネットワーク・インターフェースを構成します。

1. SSH を使用して VRA にログインします。

   SSH vyatta@<VRA Private IP Address>
   

2. 上記のステップで記録しておいたプライベート VLAN 番号、サブネット・ゲートウェイ IP アドレス、および CIDR を使用して新しい仮想インターフェースを作成します。 通常、CIDR は /26 です。

   configure
   set interfaces bonding dp0bond0 vif <VLAN ID> address <Subnet Gateway IP>/<CIDR>
   commit
   

   <Subnet Gateway IP> アドレスが使用されていることが重要です。 これは通常、サブネットの範囲内の最初のアドレスの 1 つです。 無効なゲートウェイ・アドレスを入力すると、「Configuration path: interfaces bonding dp0bond0 vif xxxx address [x.x.x.x] is not valid」というエラーが出されます。 コマンドを訂正して再入力してください。 このゲートウェイ・アドレスは、「ネットワーク」>「IP 管理」>「サブネット」 で確認することができます。 ゲートウェイ・アドレスを確認するために必要なサブネットをクリックします。 リスト内の 2 番目の項目 ( 「ゲートウェイ」 という記述があるもの) が、<Subnet Gateway IP>/<CIDR> (/ の前) に入力する IP アドレスです。

   デフォルトでは、VRRP は無効に設定されています。 これにより、新たなプロビジョンおよび再ロードによりマスター・デバイスで障害が発生することがなくなります。 VLAN トラフィックが機能するためには、プロビジョニングまたは再ロードの完了後に VRRP を再度有効にする必要があります。

   delete interfaces bonding dp0bond0 vrrp vrrp-group 1 disable
   commit
   

   HA ペアを使用する場合、コマンドは多少異なり、VRRP 仮想 IP (VIP) アドレスになります。

3. 新規仮想インターフェース (vif) をリストします。

   show interfaces
   

   これは、vif 1199 とサブネット・ゲートウェイ・アドレスが示されたインターフェース構成の例です。

   

4. ワークステーションから管理ネットワーク経由で VSI に再度アクセスできることを確認します。

   ping <VSI Private IP Address>
   

   VSI にアクセスできない場合は、VRA IP ルーティング・テーブルが予想どおり構成されていることを確認してください。 表示インターフェースによって提供される情報を利用し、削除コマンド delete interfaces bonding dp0bond0 vif <VLAN ID> address <Subnet Gateway IP>/<CIDR> を実行して削除してから、適切な値を指定して再作成します。 構成モードで show コマンドを実行するには、run コマンドを使用します。

    run show ip route <Subnet Gateway IP>
   

これで、IP ルーティングの構成は完了です。

セキュア・エンクロージャーを構成する

セキュアなプライベート・ネットワーク・エンクロージャーは、ゾーンとファイアウォール・ルールを構成することによって作成されます。 手順を進める前に、ファイアウォール構成に関する VRA の資料を確認してください。

以下の 2 つのゾーンが定義されています。

• INSIDE: IBM のプライベート・ネットワークと IBM の管理ネットワーク
• APP: プライベート・ネットワーク・エンクロージャー内のユーザーの VLAN およびサブネット

1. ファイアウォールとデフォルトを定義します。

   configure
   set security firewall name APP-TO-INSIDE default-action drop
   set security firewall name APP-TO-INSIDE default-log
   
   set security firewall name INSIDE-TO-APP default-action drop
   set security firewall name INSIDE-TO-APP default-log
   commit
   

   set コマンドが誤って 2 回実行されると、次のメッセージが表示されます。 「Configuration path xxxxxxxx is not valid. Node exists」 これは無視してかまいません。 間違ったパラメーターを変更するには、「delete security xxxxx xxxx xxxxx」と表示されているノードを最初に削除する必要があります。

2. IBM Cloud プライベート・ネットワーク・リソース・グループを作成します。 このアドレス・グループは、エンクロージャー、およびエンクロージャーから到達可能なネットワークにアクセスできる IBM Cloud プライベート・ネットワークを定義します。 2 つのセットの IP アドレスがセキュアなエンクロージャーとの間のアクセスを必要とします。 これらの IP アドレスは、SSL VPN データ・センターと IBM Cloud サービス・ネットワーク (バックエンド/プライベート・ネットワーク) です。IBM Cloud の IP 範囲には、許可されるすべての IP 範囲のリストがあります。

   • VPN アクセスに使用しているデータ・センターの SSL VPN アドレスを定義します。 「IBM Cloud の IP 範囲」の「SSL VPN データ・センター」セクションから、データ・センターまたは DC クラスターの VPN アクセス・ポイントを選択します。 以下の例では、IBM Cloud ロンドンのデータ・センターの VPN アドレス範囲が示されています。

     set resources group address-group ibmprivate address 10.2.220.0/24
     set resources group address-group ibmprivate address 10.200.196.0/24
     set resources group address-group ibmprivate address 10.3.200.0/24
     

   • IBM Cloud の「サービス・ネットワーク (バックエンド/プライベート・ネットワーク上)」の DAL10、WDC04、およびターゲット・データ・センターのアドレス範囲を定義します。 以下の例は、DAL10、WDC04 (アドレス 2 つ)、および LON06 です。

     set resources group address-group ibmprivate address 10.200.80.0/20
     set resources group address-group ibmprivate address 10.3.160.0/20
     set resources group address-group ibmprivate address 10.201.0.0/20
     
     set resources group address-group ibmprivate address 10.201.64.0/20
     commit
     

3. ユーザーの VLAN およびサブネットの APP ゾーン、および IBM Cloud プライベート・ネットワークの INSIDE ゾーンを作成します。 以前に作成したファイアウォールを割り当てます。 ゾーン定義では、VRA ネットワーク・インターフェース名を使用して、各 VLAN に関連付けられているゾーンを識別します。 APP ゾーンを作成するコマンドでは、先ほど作成した VRA に関連する VLAN の VLAN ID を指定する必要があります。 これは、<VLAN ID> と強調表示されています。

   set security zone-policy zone INSIDE description "IBM Internal network"
   set security zone-policy zone INSIDE default-action drop
   set security zone-policy zone INSIDE interface dp0bond0
   set security zone-policy zone INSIDE to APP firewall INSIDE-TO-APP
   
   set security zone-policy zone APP description "Application network"
   set security zone-policy zone APP default-action drop
   
   set security zone-policy zone APP interface dp0bond0.<VLAN ID>
   set security zone-policy zone APP to INSIDE firewall APP-TO-INSIDE
   

4. 構成を確定します。 そして、ワークステーションから ping を使用して、ファイアウォールで VRA を経由した VSI へのトラフィックが拒否されていることを確認します。

   commit
   

   ping <VSI Private IP Address>
   

5. UDP、TCP、および ICMP のファイアウォール・アクセス・ルールを定義します。

   set security firewall name INSIDE-TO-APP rule 200 protocol icmp
   set security firewall name INSIDE-TO-APP rule 200 icmp type 8
   set security firewall name INSIDE-TO-APP rule 200 action accept
   set security firewall name INSIDE-TO-APP rule 200 source address ibmprivate
   
   set security firewall name INSIDE-TO-APP rule 100 action accept
   set security firewall name INSIDE-TO-APP rule 100 protocol tcp
   set security firewall name INSIDE-TO-APP rule 100 source address ibmprivate
   
   set security firewall name INSIDE-TO-APP rule 110 action accept
   set security firewall name INSIDE-TO-APP rule 110 protocol udp
   set security firewall name INSIDE-TO-APP rule 110 source address ibmprivate
   commit
   
   set security firewall name APP-TO-INSIDE rule 200 protocol icmp
   set security firewall name APP-TO-INSIDE rule 200 icmp type 8
   set security firewall name APP-TO-INSIDE rule 200 action accept
   set security firewall name APP-TO-INSIDE rule 200 destination address ibmprivate
   
   set security firewall name APP-TO-INSIDE rule 100 action accept
   set security firewall name APP-TO-INSIDE rule 100 protocol tcp
   set security firewall name APP-TO-INSIDE rule 100 destination address ibmprivate
   
   set security firewall name APP-TO-INSIDE rule 110 action accept
   set security firewall name APP-TO-INSIDE rule 110 protocol udp
   set security firewall name APP-TO-INSIDE rule 110 destination address ibmprivate
   commit
   

6. ファイアウォール・アクセスを確認します。

   • ローカル・マシンから INSIDE-TO-APP ファイアウォールで ICMP および UPD/TCP トラフィックが許可されていることを確認します。

     ping <VSI Private IP Address>
     SSH root@<VSI Private IP Address>
     

   • APP-TO-INSIDE ファイアウォールで ICMP および UPD/TCP トラフィックが許可されていることを確認します。 SSH を使用して VSI にログインし、10.0.80.11 および 10.0.80.12 の IBM Cloud ネーム・サーバーのいずれかを ping します。

     SSH root@<VSI Private IP Address>
     [root@vsi  ~]# ping 10.0.80.11
     

7. ワークステーションから SSH 経由で VRA 管理インターフェースに継続してアクセスできることを確認します。 アクセスが維持されている場合、構成を確認して保存します。 そうでない場合は、VRA をリブートすることによって、作業構成に戻ります。

   SSH vyatta@<VRA Private IP Address>
   

   show security
   

ファイアウォール・ルールをデバッグする

VRA 操作コマンド・プロンプトからファイアウォール・ログを表示できます。 この構成では、ファイアウォールの間違った構成の診断に役立つように、各ゾーンのドロップされたトラフィックのみログに記録されます。

1. 拒否されたトラフィックのファイアウォール・ログを確認します。 ログの定期的な確認により、APP ゾーンのサーバーが IBM ネットワーク上のサービスに適切に接続を行っているのか、誤って接続しようとしているのかを識別できます。

   show log firewall name INSIDE-TO-APP
   show log firewall name APP-TO-INSIDE
   

2. サービスまたはサーバーに接続できず、ファイアウォール・ログに何も示されていない場合は、IBM Cloud プライベート・ネットワークからの VRA ネットワーク・インターフェース、または前述の <VLAN ID> を使用する VLAN への VRA インターフェース上に、予期される ping /ssh IP トラフィックが存在するかどうかを確認します。

   monitor interface bonding dp0bond0 traffic
   monitor interface bonding dp0bond0.<VLAN ID> traffic