サブネットの作成

1. 左側のペインの 「ネットワーク」 にある 「サブネット」 をクリックし、「作成」 をクリックします。

   1. 「ロケーション」 で、地域、地域、およびゾーンを選択します。
   2. 名前に vpc-secure-bastion-subnet と入力してから、作成した仮想プライベート・クラウドを選択します。
   3. VPCと同じリソースグループを選択します。
   4. アドレスのプレフィックスはそのままにして、 総 IP アドレス数を 256 に設定します。

2. 「パブリック・ゲートウェイ」 を 「接続済み」 に切り替えます。

   パブリック・ゲートウェイをサブネットに接続して、すべての接続リソースがパブリック・インターネットと通信できるようにします。

3. 「サブネットの作成」 をクリックしてサブネットをプロビジョンします。

要塞セキュリティー・グループを作成して構成する

セキュリティグループを作成し、バスターVSI（仮想サーバーインスタンス）への受信ルールを設定しましょう。

1. 「ネットワーク」 下の 「セキュリティー・グループ」 を選択してから、「作成」 をクリックします。

2. 名前に vpc-secure-bastion-sg と入力してから、先ほど作成した VPC を選択します。

3. VPCと同じリソースグループを選択します。

4. ここで、インバウンド・セクションの 「追加」 をクリックして、以下のインバウンド・ルールを作成します。 SSH アクセスと ping (ICMP) を許可するルールです。 値は下記の表に示しています。

   要塞: インバウンド・ルール

   プロトコル	ポート/値	ソース・タイプ
   TCP	ポート範囲: 22-22	任意
   ICMP	タイプ: 8 、コード: 空のままにする	任意

   さらにセキュリティーを強化するために、インバウンド・トラフィックを会社のネットワークまたは一般的なホーム・ネットワークに制限することができます。 curl ipecho.net/plain ; echo を実行してネットワークの外部 IP アドレスを取得し、代わりにそれを使用することができます。

5. 「セキュリティー・グループの作成」 をクリックして作成します。

要塞インスタンスを作成する

サブネットとセキュリティー・グループの準備が完了したら、次は、要塞仮想サーバー・インスタンスを作成します。

1. 左側のペインの 「サブネット」 で vpc-secure-bastion-subnet を選択します。
2. 「Attached resources（添付リソース）」 をクリックし 、「Attached instances（添付インスタンス）」 の下にある 「Create（作成）」 をクリックして、サブネットと同じリソースグループの下に 「vpc-secure-bastion-vsi」 という新しい仮想サーバーをプロビジョニングします。
3. 場所を選択し、後で同じ場所を再度使用するようにしてください。
4. 「イメージ」 で、 「イメージの変更」 をクリックします。 検索フィールドを使用して、 オペレーティング・システム として Ubuntu Linux を選択します。 イメージの任意のバージョンを選出できます。
5. 「プロファイルの変更」 をクリックし、カテゴリーとして 「コンピュート」 を選択して、プロファイルとして cx2-2x4 (2 vCPUs および 4 GB RAM) を選択します。
6. 新しい SSH鍵を作成するには、 [新しい鍵] をクリックします
   1. 鍵の名前として vpc-ssh-key と入力します。
   2. VSIと同じリソースグループを選択します。
   3. 「リージョン (Region)」 はそのままにします。
   4. 既存のローカル SSH 鍵の内容をコピーして、「公開鍵」 に貼り付けます。
   5. 「SSH 鍵の追加」 をクリックします。
7. スクロールして 「ネットワーキング」 下の VPC を選択します。
8. 「仮想ネットワーク・インターフェース」 が選択されており、 vpc-secure-bastion-subnet がサブネットとしてリストされていることを確認します。 そのサブネットの編集アイコンをクリックします。
   1. 最初に、 「ネットワーク接続および仮想ネットワーク・インターフェースの詳細 (Network attachment and virtual network interface details)」 で、 vpc-secure-bastion-subnet が選択されていることを確認します。 次へ をクリックします。
   2. 「セキュリティー・グループ」 セクションの 「ネットワーク」 で、デフォルトのセキュリティー・グループのチェック・マークを外し、 vpc-secure-bastion-sg にマークを付けます。 次へ をクリックします。
   3. 「IP 構成」 ダイアログで、すべてをそのままにして、 「次へ」 をクリックします。
   4. 最後に、すべてを確認し、 「保存」 をクリックして終了します。
9. 仮想サーバーの作成をクリックします。
10. インスタンスが起動して 実行中 になったら、 vpc-secure-bastion-vsi をクリックし、 「ネットワーク・インターフェース」 の下の 「編集」 アイコンをクリックし、 「浮動 IP アドレス」 の下で 「新規浮動 IP の予約」 を選択して、浮動 IP を 予約 します。 「保存」 をクリックして終了します。

要塞をテストする

要塞の浮動 IP アドレスがアクティブになったら、ssh を使用して接続してみてください。

ssh -i ~/.ssh/<PRIVATE_KEY> root@<BASTION_FLOATING_IP_ADDRESS>

サブネットの作成

サブネットを新規作成するには、次のようにします。

1. 左側のペインの 「ネットワーク」 にある 「サブネット」 をクリックし、「作成」 をクリックします。
   1. 名前に vpc-secure-private-subnet と入力してから、作成した VPC を選択します。
   2. VPCと同じリソースグループを選択します。
   3. ロケーション を選択します。
   4. アドレスのプレフィックスはそのままにして、 総 IP アドレス数を 256 に設定します。
2. 「パブリック・ゲートウェイ」 を 「接続済み」 に切り替えます。
3. 「サブネットの作成」 をクリックしてサブネットをプロビジョンします。

セキュリティー・グループの作成

セキュリティー・グループを新規作成するには、次のようにします。

1. 「ネットワーク」下の 「セキュリティー・グループ」 をクリックしてから、「作成」 をクリックします。
2. 名前に vpc-secure-private-sg としてから、前に作成した VPC を選択します。
3. 「セキュリティー・グループの作成」 をクリックします。

仮想サーバー・インスタンスを作成する

新規に作成されたサブネットで仮想サーバー・インスタンスを作成するには、以下のようにします。

1. 「サブネット」 では、以前に作成したサブネット vpc-secure-private-subnet をクリックします。
2. 「接続されたインスタンス」 下の 「接続済みリソース (Attached resources)」 をクリックし、「作成」 をクリックします。
3. インスタンスを構成するには、以下のようにします。
   1. 固有の名前 vpc-secure-private-vsi と、先ほどと同じリソース・グループを入力します。
   2. 要塞仮想サーバーで既に使用しているのと同じ 「ロケーション」 を選択します。
   3. 「パブリック」 タイプの仮想サーバーを選択します。
   4. 「イメージ」 で、 「イメージの変更」 をクリックします。 検索フィールドを使用して、 オペレーティング・システム として Ubuntu Linux を選択します。 イメージの任意のバージョンを選出できます。
   5. 「プロファイルの変更」 をクリックし、カテゴリーとして 「コンピュート」 を選択して、プロファイルとして cx2-2x4 (2 vCPUs および 4 GB RAM) を選択します。
   6. 「SSH 鍵」 で、要塞用に前に作成した SSH 鍵を選択します。
4. さらに、作成した VPC を選択します。 上記と同様に、 「ネットワーク接続と仮想ネットワーク・インターフェースの詳細 (Network attachment and virtual network interface details)」 の下にある vpc-secure-private-subnet の編集アイコンをクリックします。
   1. 次に、 vpc-secure-private-subnet が選択されていることを確認します。 **「次へ」**をクリックします。
   2. 「ネットワーク」 の 「セキュリティー・グループ」 セクションで、デフォルトのセキュリティー・グループのチェック・マークを外し、 vpc-secure-private-sg にマークを付けます。 次へ をクリックします。
   3. 「IP 構成」 ダイアログで、すべてをそのままにして、 「次へ」 をクリックします。
   4. 最後に、すべてを確認し、 「保存」 をクリックして終了します。
5. 仮想サーバーの作成をクリックします。

保守セキュリティー・グループへの仮想サーバー・インスタンスの追加

サーバー上で管理作業を行うには、特定の仮想サーバーを保守セキュリティー・グループに関連付ける必要があります。 以下では、保守を有効にしてプライベート・サーバーにログインし、ソフトウェア・パッケージ情報を更新してから、セキュリティー・グループの関連付けを解除します。

サーバーの保守セキュリティー・グループを有効にしましょう。

1. 「セキュリティー・グループ」 に移動し、vpc-secure-maintenance-sg セキュリティー・グループを選択します。
2. 「接続されたリソース」 タブをクリックし、フィルターで 「仮想サーバー・インターフェース」 を選択します。
3. 「仮想サーバー・インターフェースの編集」 をクリックして、VSI のリストを表示します。 リストを展開し、 vpc-secure-private-vsi の 「インターフェース」 列の横にある選択を確認します。
4. 「保存」 をクリックして、変更を適用します。

インスタンスに接続する

プライベート IP を使用してインスタンスに SSH 接続するには、要塞ホストを 踏み台ホスト として使用します。

1. 左側のメニューの「コンピュート」セクションで 「仮想サーバー・インスタンス」 を選択します。 vpc-secure-private-vsi の Reserved IP (プライベート IP) アドレスをメモします。

2. -J を使用して ssh コマンドを実行し、先に使用したバスターミナルフローティング IP アドレスと、今調べたサーバーのプライベート IP アドレスでサーバーにログインします。

   ssh -J root@<BASTION_FLOATING_IP_ADDRESS> root@<PRIVATE_IP_ADDRESS>
   

   -J フラグは、OpenSSH バージョン 7.3 以上でサポートされています。古いバージョンでは、-J は使用できません。 この場合、最も安全で簡単な方法は、ssh の stdio 転送 (-W) モードを使用して、要塞ホストを介して接続を「バウンス」することです。例: ssh -o ProxyCommand="ssh -W %h:%p root@<BASTION_FLOATING_IP_ADDRESS" root@<PRIVATE_IP_ADDRESS>

ソフトウェアをインストールして保守タスクを実行する

接続したら、仮想サーバーにソフトウェアをインストールしたり、保守タスクを実行したりできます。

1. まずは、ソフトウェア・パッケージ情報を更新します。

   apt-get update
   

2. 目的のソフトウェア (Nginx、MySQL、IBM Db2 など) をインストールします。

完了したら、exit コマンドを使用してサーバーから切断します。

インターネット・ユーザーからの HTTP/HTTPS 要求を許可するには、VSI に 浮動 IP を割り当て、プライベート VSI のセキュリティー・グループ内のインバウンド・ルールを介して必要なポート (HTTP 用は 80 および HTTPS 用は 443) を開きます。

保守セキュリティー・グループを無効にする

ソフトウェアのインストールまたは保守が完了したら、仮想サーバーを保守セキュリティー・グループから外して分離します。

1. 「セキュリティー・グループ」 に移動し、vpc-secure-maintenance-sg セキュリティー・グループを選択します。
2. 「接続されたリソース」 をクリックしてから、 「仮想サーバー・インターフェースの編集」 をクリックします。
3. 仮想サーバーインスタンスを拡張し 、vpc-secure-private-vsi の インターフェース列の選択を解除します。
4. 「保存」 をクリックして、変更を適用します。

ジャンプ・ホスト・オプションを指定して、上記から ssh コマンドを繰り返すことができます。 今は失敗するはずだ。