FW Migration Guide(ipsec1)

Size: px

Start display at page:

Download "FW Migration Guide(ipsec1)"

みさえちゃわんや
4 years ago
Views:

4 前提条件 IPSec をファイアウォール (vfw 5600 vrouter)( 以下 vfw) でご利用されている場合に外接点に Managed Firewall( 以下 M-FW) を設置する実施方法です vfw で利用しているネットワークの外側に M-FW を設置します vfw で利用しているネットワークの接続解除から vfw および M-FW の設定変更完了まで通信断の時間が発生いたします MFW で IPSec 対応後に MFW で IPSec をご利用予定の方は IPSec 移行構成 - サイト間トンネル利用時 2.pptx の資料による移行方法も合わせてご検討ください参考 1( 本資料 ) と 2 の比較設定項目 1 資料 ( 本資料 ) 2 資料初期導入時 vfwのネットワーク設定 1 回 3 回ルーティングの追加無有 MFWでのIPSec 対応後の移行 vfwのlnw 切断回数 2 回 0 回 MFWのネットワーク設定 1 回 0 回移行必要な動作は上記以外にもありますが 1 資料と 2 資料の差のみ記載してあります事前検証を行ってから移行を実施ください Copyright NTT Communications Corporation. All right reserved. 4

6 検証環境構成図 Managed FW 差し込みパターン /24( 外部セグメント ) /30(IPSec セグメント ) FW-01(ipsec_a) の設定 set interfaces vti vti0 address ' /30' set security vpn ipsec esp-group ESP-1W lifetime '3600' set security vpn ipsec esp-group ESP-1W proposal 1 encryption 'aes256' set security vpn ipsec esp-group ESP-1W proposal 1 hash 'sha1' set security vpn ipsec ike-group IKE-1W lifetime '28800' set security vpn ipsec ike-group IKE-1W proposal 1 dh-group '2' set security vpn ipsec ike-group IKE-1W proposal 1 encryption 'aes256' set security vpn ipsec ike-group IKE-1W proposal 1 hash 'sha1' set security vpn ipsec site-to-site peer authentication pre-shared-secret 'test_key_1' set security vpn ipsec site-to-site peer ike-group 'IKE-1W' set security vpn ipsec site-to-site peer local-address ' ' set security vpn ipsec site-to-site peer vti bind 'vti0' set security vpn ipsec site-to-site peer vti esp-group 'ESP-1W' set protocols static interface-route /24 next-hop-interface 'vti0' dp0s4.25 FW-01(ipsec_a) dp0s5.254 vti0.2 vti /24( サーバセグメント ).3 dp0s4.161 FW-02(ipsec_b) dp0s /24( サーバセグメント 2).3 FW-02(ipsec_a) の設定 set interfaces vti vti0 address ' /30' set security vpn ipsec esp-group ESP-1W lifetime '3600' set security vpn ipsec esp-group ESP-1W proposal 1 encryption 'aes256' set security vpn ipsec esp-group ESP-1W proposal 1 hash 'sha1' set security vpn ipsec ike-group IKE-1W lifetime '28800' set security vpn ipsec ike-group IKE-1W proposal 1 dh-group '2' set security vpn ipsec ike-group IKE-1W proposal 1 encryption 'aes256' set security vpn ipsec ike-group IKE-1W proposal 1 hash 'sha1' set security vpn ipsec site-to-site peer authentication pre-shared-secret 'test_key_1' set security vpn ipsec site-to-site peer ike-group 'IKE-1W' set security vpn ipsec site-to-site peer local-address ' ' set security vpn ipsec site-to-site peer vti bind 'vti0' set security vpn ipsec site-to-site peer vti esp-group 'ESP-1W' set protocols static interface-route /24 next-hop-interface 'vti0' Client Client Copyright NTT Communications Corporation. All right reserved. 6

7 検証環境構成図 Managed FW 差し込みパターン /24( 外部セグメント ) /30(IPSec セグメント ) MFW-01 MFW-02 dp0s4.25 FW-01(ipsec_a) dp0s5.254 vti0.2 vti0.1 dp0s4.161 FW-02(ipsec_b) dp0s /24( サーバセグメント ) /24( サーバセグメント 2) 手順 1:Managed FW の申込み.3.3 Client Client Copyright NTT Communications Corporation. All right reserved. 7

8 検証環境構成図 Managed FW 差し込みパターン /24( 外部セグメント ) /30(IPSec セグメント ) MFW-01 MFW /24(FW セグメント ) /24(FW セグメント ) dp0s4.25 vti0.2 vti0.1 dp0s4.161 FW-01(ipsec_a) dp0s /24( サーバセグメント ).3 FW-02(ipsec_b) dp0s /24( サーバセグメント 2).3 手順 2 FW セグメントの作成手順 3 M-FW の設定 1:SNAT オブジェクトの設定 2:DNAT オブジェクトの設定 3: ファイアウォールポリシーの設定 Client Client Copyright NTT Communications Corporation. All right reserved. 8

9 検証環境構成図 Managed FW 差し込みパターン /24( 外部セグメント ) MFW-01 MFW /24(FW セグメント ) /24(FW セグメント ) dp0s4.25 vti0.2 vti0.1 dp0s4.161 FW-01(ipsec_a) dp0s /24( サーバセグメント ).3 FW-02(ipsec_b) dp0s /24( サーバセグメント 2).3 手順 4 vfw の設定変更 1: ロジカルネットワークの切断 ( 外部セグメント ) ( 通信断発生 ) 2: ロジカルネットワークの接続 (FW セグメント ) 3:vFW の設定変更 Client Client Copyright NTT Communications Corporation. All right reserved. 9

10 検証環境構成図 Managed FW 差し込みパターン /24( 外部セグメント ) port4.25 MFW-01 (CES606) port5.254 port4.161 MFW-02 (CES607) port /24(FW セグメント ) /24(FW セグメント ) dp0s4.25 vti0.2 vti0.1 dp0s4.161 FW-01(ipsec_a) dp0s /24( サーバセグメント ) FW-02(ipsec_b) dp0s /24( サーバセグメント 2) 手順 5 M-FW の設定ロジカルネットワークの接続 ( 通信断回復 ).3.3 Client Client Copyright NTT Communications Corporation. All right reserved. 10

11 検証環境構成図 Managed FW 差し込みパターン 1 完成図 DstNAT: > SrcNAT: all -> /24( 外部セグメント ) port /30(IPSec セグメント ) port4.161 DstNAT: > SrcNAT: all -> MFW-01 (CES606) port5.254 MFW-02 (CES607) port /24(FW セグメント ) dp0s4.25 FW-01(ipsec_a) dp0s5.254 vti0.2 vti /24( サーバセグメント ).3 Client /24(FW セグメント ) dp0s4.161 FW-02(ipsec_b) dp0s /24( サーバセグメント 2).3 Client 全実施内容手順 1:Managed FW の申込み手順 2 FW セグメントの作成手順 3 M-FW の設定 1:SNAT オブジェクトの設定 2:DNAT オブジェクトの設定 3: ファイアウォールポリシーの設定手順 4 vfw の設定変更 1: ロジカルネットワークの切断 ( 外部セグメント ) ( 通信断発生 ) 2: ロジカルネットワークの接続 (FW セグメント ) 3:vFW の設定変更手順 5 M-FW の設定ロジカルネットワークの接続 ( 通信断回復 ) Copyright NTT Communications Corporation. All right reserved. 11

13 手順 1 M-FW 申し込み下記リンクを参照の上シングル構成のお申し込みをお願いいたします tm/order_new_single.html コントロールパネル画面にログイン後セキュリティをクリックし Managed Firewall の Order をクリックください Copyright NTT Communications Corporation. All right reserved. 13

17 手順 2 FW セグメントの作成 2-1. ロジカルネットワークを作成しますロジカルネットワークタブから必要項目を設定し次へを選択サブネットタグから必要項目を設定し次へを選択 ( ネットワークアドレスに /24 をゲートウェイ IP にを記入 ) DHCP 有効にチェックし IP アドレス割り当てプールに , を設定サブネットの詳細タブから必要項目を設定しロジカルネットワークの作成を選択 / Copyright NTT Communications Corporation. All right reserved. 17

18 手順 2 FW セグメントの作成 2-1. ロジカルネットワークを作成しますロジカルネットワークタブから必要項目を設定し次へを選択サブネットタグから必要項目を設定し次へを選択 ( ネットワークアドレスに /24 をゲートウェイ IP にを記入 ) DHCP 有効にチェックし IP アドレス割り当てプールに , を設定サブネットの詳細タブから必要項目を設定しロジカルネットワークの作成を選択 / Copyright NTT Communications Corporation. All right reserved. 18

21 手順 3-1 M-FW の設定 Destination NAT の設定は下記をご覧ください _utm/4330_destination_nat.html コントロールパネル画面にログイン後セキュリティをクリックし Managed Firewall の Operation をクリックください Copyright NTT Communications Corporation. All right reserved. 21

22 手順 3-1 M-FW の設定デバイス管理からいずれかのデバイスを右クリックし [ デバイス管理 ] をクリックしてください画面左側のオブジェクト画面から Destination NAT をクリックしますオブジェクト NAT Object Destination NAT hihihiffff 画面右側の Destination NAT 画面で [ 追加 ] をクリックします Copyright NTT Communications Corporation. All right reserved. 22

25 手順 3-2 M-FW の設定 (SNAT の設定 ) ルーティングの設定は下記をご覧ください _utm/4210_routing_single.html コントロールパネル画面にログイン後セキュリティをクリックし Managed Firewall の Operation をクリックください Copyright NTT Communications Corporation. All right reserved. 25

26 手順 3-2 M-FW の設定 (SNAT の設定 ) デバイス管理からいずれかのデバイスを右クリックし [ デバイス管理 ] をクリックしてください画面左側のオブジェクト画面から Source NAT をクリックしますオブジェクト NAT Object Source NAT 画面右側の Source NAT 画面で [ 追加 ] をクリックします Copyright NTT Communications Corporation. All right reserved. 26

手順 3-2 M-FW の設定 (SNAT の設定 ) 設定値を入力して [ 保存 ] をクリックします MFW-01 SNAT 後のアドレスを Start と End に入力

29 手順 3-3 M-FW の設定ファイアウォールポリシーの設定は下記をご覧ください _utm/4500_firewall_policy.html コントロールパネル画面にログイン後セキュリティをクリックし Managed Firewall の Operation をクリックください Copyright NTT Communications Corporation. All right reserved. 29

30 手順 3-3 M-FW の設定デバイス管理からいずれかのデバイスを右クリックし [ デバイス管理 ] をクリックしてください画面左側のオブジェクト画面から Firewall Policy をクリックしますオブジェクト Firewall Policy Firewall Policy 画面右側の Firewall Policy 画面で [ 追加 ] をクリックします Copyright NTT Communications Corporation. All right reserved. 30

40 手順 4-3 vfw の設定変更 (IPSec の設定追加 ) Local ID と対向 Peer ID を一致させるために下記を設定 FW-01 set security vpn ipsec site-to-site peer authentication id ' ' FW-02 set security vpn ipsec site-to-site peer authentication id Copyright NTT Communications Corporation. All right reserved. 40

42 手順 5 M-FW の設定 M-FW のインターフェースの設定が可能です _utm/3110_interface_single.html コントロールパネル画面にログイン後セキュリティをクリックし Managed Firewall の Operation をクリックください Copyright NTT Communications Corporation. All right reserved. 42

手順 5 M-FW の設定 [UTM Port Management] をクリックしてください

Refresh が完了すると [ ステータス ] に成功と表示されます Copyright

Interfaces] の画面には表示されません設定対象のポートをクリックで選択して [ 編集 ]

45 手順 5 M-FW の設定設定対象のデバイスをクリックで選択し [Manage Interfaces] をクリックします [Manage Interfaces] の画面が開きます Port 2,3 は [Manage Interfaces] の画面には表示されません設定対象のポートをクリックで選択して [ 編集 ] をクリックします Copyright NTT Communications Corporation. All right reserved. 45

46 手順 5 M-FW の設定 [Enable Port] をチェックすると設定値を入力できます外部セグメント (Port4) の入力値は下記になります [ 保存 ] をクリックしますこの画面で保存しただけではデバイスに適用されません MFW-01 Port4 に付与する IP アドレス external_segment Port4 に接続するネットワークアドレス MFW-02 Port4 に付与する IP アドレス external_segment Port4 に接続するネットワークアドレス Copyright NTT Communications Corporation. All right reserved. 46

47 手順 5 M-FW の設定 [Enable Port] をチェックすると設定値を入力できます外部セグメント (Port5) の入力値は下記になります [ 保存 ] をクリックしますこの画面で保存しただけではデバイスに適用されません MFW-01 Port5 に付与する IP アドレス Port5 に接続するネットワークアドレス MFW-02 Port5 に付与する IP アドレス Port5 に接続するネットワークアドレス Copyright NTT Communications Corporation. All right reserved. 47

手順 6 M-FW の設定使用するポート設定が準備できたら Manage Interfaces 画面で [ 今実行 ]

手順 5 M-FW の設定 [ ステータス ] や [ メッセージ ] が表示されている領域をクリックすると履歴が表示され [Manage Interfaces]

51 動作確認ファイアウォールのトンネル状態確認 FW01(ipsec_a) show vpn ipsec sa Peer ID / IP Local ID / IP Tunnel State Bytes Out/In Encrypt Hash A-Time L-Time Proto vti up 0.0/0.0 aes256 sha al FW02(ipsec_b) user-admin@vyatta:~$ show vpn ipsec sa Peer ID / IP Local ID / IP Tunnel State Bytes Out/In Encrypt Hash A-Time L-Time Proto vti up 504.0/588.0 aes256 sha all Copyright NTT Communications Corporation. All right reserved. 51

52 ファイアウォールの vti0 インタフェース状態 FW01(IPsec-a) show interfaces Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down Interface IP Address S/L Description dp0s /24 u/u dp0s /24 u/u vti /30 u/u 動作確認 FW-02(IPsec-b) user-admin@vyatta:~$ show interfaces Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down Interface IP Address S/L Description dp0s /24 u/u dp0s /24 u/u vti /30 u/u Copyright NTT Communications Corporation. All right reserved. 52

53 動作確認仮想サーバ ( ) から対向の仮想サーバ ( ) に対しての通信確認を実行しました ping ~]$ ping PING ( ) 56(84) bytes of data. 64 bytes from : icmp_seq=1 ttl=62 time=5.41 ms 64 bytes from : icmp_seq=2 ttl=62 time=3.19 ms 64 bytes from : icmp_seq=3 ttl=62 time=3.53 ms 64 bytes from : icmp_seq=4 ttl=62 time=3.36 ms 64 bytes from : icmp_seq=5 ttl=62 time=3.00 ms ^C ping statistics packets transmitted, 5 received, 0% packet loss, time 4005ms rtt min/avg/max/mdev = 3.001/3.701/5.417/0.878 ms [test-user@ipsec-test-a ~]$ Copyright NTT Communications Corporation. All right reserved. 53

54 動作確認仮想サーバ ( ) から対向の仮想サーバ ( ) に対しての通信確認を実行しました ftp ~]$ ftp Connected to ( ). 220 (vsftpd 3.0.2) Name ( :test-user): 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> ftp> dir 227 Entering Passive Mode (192,168,2,3,229,173). 150 Here comes the directory listing. 226 Directory send OK. ftp> ftp> put test_file local: test_file remote: test_file 227 Entering Passive Mode (192,168,2,3,178,172). 150 Ok to send data. 226 Transfer complete. ftp> ftp> dir 227 Entering Passive Mode (192,168,2,3,223,247). 150 Here comes the directory listing. -rw-r--r Jul 15 13:00 test_file 226 Directory send OK. ftp> ftp> bye 221 Goodbye. Copyright NTT Communications Corporation. All right reserved. 54

FW Migration Guide(ipsec2)

FW Migration Guide(ipsec2) IPsec( サイト間トンネル ) 機能利用時の移行 2 第 1 版 Copyright NTT Communications Corporation. All right reserved. 更新履歴更新日更新内容版数 2017/12/11 初版 1 Copyright NTT Communications Corporation. All right reserved. 2 前提条件 Copyright