Fortinet FortiGate NVA による Azure Stack Hub インスタンスの間の VNet 間接続

[アーティクル]
10/30/2024

この記事では、Fortinet FortiGate NVA (ネットワーク仮想アプライアンス) を使用して、ある Azure Stack Hub 内の VNET を別の Azure Stack Hub 内の VNET に接続します。

この記事では、現在の Azure Stack Hub に適用されている、テナントで 2 つの環境間に 1 つの VPN 接続しか設定できない制限事項に対処します。ユーザーは、異なる Azure Stack Hub 間で複数の VPN 接続を許可するカスタムゲートウェイを Linux 仮想マシンに設定する方法について学びます。この記事の手順では、各 VNET に 1 つの FortiGate NVA を含む 2 つの VNET をデプロイします。Azure Stack Hub 環境ごとに 1 つデプロイされます。また、2 つの VNET 間に IPSec VPN を設定するために必要な変更についても詳しく説明します。この記事の手順は、各 Azure Stack Hub 内の各 VNET に対して繰り返してください。

前提条件

Azure Stack Hub 統合システムへのアクセスと、このソリューションで求められるコンピューティング要件、ネットワーク要件、リソース要件をデプロイするために必要とされる空き容量。

Note

これらの手順は、Azure Stack Development Kit (ASDK) のネットワーク制限により、ASDK では使用できません。詳細については、「ASDK の要件と考慮事項」を参照してください。
Azure Stack Hub Marketplace にダウンロードされ、発行されているネットワーク仮想アプライアンス (NVA) ソリューション。 NVA は、境界ネットワークから他のネットワークまたはサブネットへのネットワークトラフィックのフローを制御します。この手順では、「Fortinet FortiGate の次世代ファイアウォールの単一の VM ソリューション」を使用します。
FortiGate NVA をアクティブにするための、2 つ以上の有効な FortiGate ライセンスファイル。これらのライセンスを取得する方法については、Fortinet ドキュメントライブラリの「ライセンスの登録とダウンロード」の記事を参照してください。

この手順では、「単一の FortiGate-VM デプロイ」を使用します。 FortiGate NVA を Azure Stack Hub VNET に接続する手順については、オンプレミスネットワーク内で確認できます。

アクティブ/パッシブ (HA) 設定で FortiGate ソリューションをデプロイする方法については、Fortinet ドキュメントライブラリの「Azure 上の FortiGate-VM の HA」の記事を参照してください。

展開のパラメーター

次の表には、これらのデプロイで使用されているパラメーターが参照用にまとめられています。

デプロイ 1: Forti1

FortiGate のインスタンス名	Forti1
BYOL ライセンス/バージョン	6.0.3
FortiGate の管理ユーザー名	fortiadmin
リソースグループ名	forti1-rg1
仮想ネットワーク名	forti1vnet1
VNET のアドレス空間	172.16.0.0/16*
パブリック VNET サブネット名	forti1-PublicFacingSubnet
パブリック VNET アドレスプレフィックス	172.16.0.0/24*
VNET 内部サブネット名	forti1-InsideSubnet
VNET 内部サブネットプレフィックス	172.16.1.0/24*
FortiGate NVA の VM サイズ	標準 F2s_v2
パブリック IP アドレス名	forti1-publicip1
パブリック IP アドレスの種類	静的

デプロイ 2: Forti2

FortiGate のインスタンス名	Forti2
BYOL ライセンス/バージョン	6.0.3
FortiGate の管理ユーザー名	fortiadmin
リソースグループ名	forti2-rg1
仮想ネットワーク名	forti2vnet1
VNET のアドレス空間	172.17.0.0/16*
パブリック VNET サブネット名	forti2-PublicFacingSubnet
パブリック VNET アドレスプレフィックス	172.17.0.0/24*
VNET 内部サブネット名	Forti2-InsideSubnet
VNET 内部サブネットプレフィックス	172.17.1.0/24*
FortiGate NVA の VM サイズ	標準 F2s_v2
パブリック IP アドレス名	Forti2-publicip1
パブリック IP アドレスの種類	静的

Note

* 上記が何らかの形 (いずれかの Azure Stack Hub の VIP プールなど) でオンプレミスネットワーク環境と重複する場合は、別のセットのアドレス空間とサブネットプレフィックスを選択してください。また、アドレス範囲が互いに重複していないことを確認してください。**

FortiGate NGFW Marketplace 項目をデプロイする

両方の Azure Stack Hub 環境に対して、この手順を繰り返します。

Azure Stack Hub ユーザーポータルを開きます。少なくともサブスクリプションに対する共同作成者権限を持つ資格情報を使用してください。
[リソースの作成] を選択し、FortiGate を検索します。
[FortiGate NGFW] を選択し、[作成] を選択します。
「デプロイで使用されるパラメーター」の表にあるパラメーターを使用して、[基本] を入力します。

フォームには次のように情報を入力してください。
[OK] を選択します。
「デプロイで使用されるパラメーター」を使用して、仮想ネットワーク、サブネット、VM サイズの詳細を指定します。

別の名前や範囲を使用する場合は、他の Azure Stack Hub 環境内の他の VNET や FortiGate のリソースと競合するパラメーターは使用しないよう注意してください。 VNET 内の VNET IP 範囲やサブネットの範囲を設定するときは特に気を付けてください。作成した他の VNET の IP 範囲と重複していないことを確認します。
[OK] を選択します。
FortiGate NVA で使用されるパブリック IP を次のように構成します。
[OK] を選択し、[OK] を選択します。
［作成］ を選択します

デプロイには約 10 分かかります。これでその手順を繰り返して、他の Azure Stack Hub 環境で他の FortiGate NVA と VNET のデプロイを作成できるようになりました。

各 VNET のルート (UDR) を構成する

forti1-rg1 と forti2-rg1 の両方のデプロイで、次の手順を実行します。

Azure Stack Hub ポータルで、forti1-rg1 リソースグループに移動します。
"forti1-forti1-InsideSubnet-routes-xxxx" リソースを選択します。
[設定] で、[ルート] を選択します。
[to-Internet]$インターネットへ$ ルートを削除します。
[はい] を選択します。
[追加] を選択します。
[ルート] に to-forti1 または to-forti2 という名前を付けます。別の IP 範囲を使用している場合は、その IP 範囲を使用します。
次を入力します。
- forti1: 172.17.0.0/16
- forti2: 172.16.0.0/16
別の IP 範囲を使用している場合は、その IP 範囲を使用します。
[次ホップの種類] として [仮想アプライアンス] を選択します。
- forti1: 172.16.1.4
- forti2: 172.17.0.4
別の IP 範囲を使用している場合は、その IP 範囲を使用します。
[保存] を選択します。

各リソースグループについて、各 InsideSubnet ルートに対して同じ手順を繰り返します。

FortiGate NVA をアクティブにして各 NVA で IPSec VPN 接続を構成する

各 FortiGate NVA をアクティブにするには、Fortinet が提供する有効なライセンスファイルが必要です。各 NVA がアクティブになるまで、NVA は機能しません。ライセンスファイルを取得する方法と NVA をアクティブにする手順については、Fortinet ドキュメントライブラリの「ライセンスの登録とダウンロード」の記事を参照してください。

2 つのライセンスファイル (NVA ごとに 1 つ) を取得する必要があります。

2 つの NVA 間に IPSec VPN を作成する

NVA がアクティブになったら、次の手順に従って、2 つの NVA 間に IPSec VPN を作成します。

forti1 NVA と forti2 NVA の両方について、次の手順に従います。

fortiX VM の概要ページに移動して、割り当てられたパブリック IP アドレスを取得します。
割り当てられた IP アドレスをコピーし、ブラウザーを開いてアドレスバーにそのアドレスを貼り付けます。セキュリティ証明書が信頼されていないという警告がブラウザーに表示される場合があります。そのまま続行します。
デプロイ中に指定した FortiGate の管理ユーザー名とパスワードを入力します。
[System]$システム$>[Firmware]$ファームウェア$ を選択します。
最新のファームウェアを示すボックスを選択します (例: FortiOS v6.2.0 build0866)。
[Backup config and upgrade]$コンフィグをバックアップしてアップグレード$ を選択し、プロンプトが表示されたら [Continue]$続行$ を選択します。
NVA でファームウェアが最新のビルドに更新され、再起動されます。このプロセスには約 5 分かかります。 FortiGate Web コンソールにもう一度ログインします。
[VPN]>[IPSec Wizard]$IPSec ウィザード$ をクリックします。
VPN の名前を入力します。たとえば、[VPN Creation Wizard]$VPN 作成ウィザード$ で「conn1」と入力します。
[This site is behind NAT]$このサイトは NAT の背後にある$ を選択します。
[次へ] を選択します。
接続先となるオンプレミスの VPN デバイスのリモート IP アドレスを入力します。
[Outgoing Interface]$送信インターフェイス$ として [port1] を選択します。
[Pre-shared Key]$事前共有キー$ を選択し、事前共有キーを入力 (および記録) します。

Note

このキーは、オンプレミスの VPN デバイスで接続を設定するために必要であるため、"正確に" 一致する必要があります。

$[VPN Creation Wizard]$VPN 作成ウィザード$ のスクリーンショットは、2 番目の手順である [Authentication]$認証$ を示し、選択した値が強調表示されています。$
[次へ] を選択します。
[Local Interface]$ローカルインターフェイス$ として [port2] を選択します。
次のローカルサブネットの範囲を入力します。
- forti1: 172.16.0.0/16
- forti2: 172.17.0.0/16
別の IP 範囲を使用している場合は、その IP 範囲を使用します。
オンプレミスの VPN デバイスを介して接続する、オンプレミスネットワークを表す適切なリモートサブネットを入力します。
- forti1: 172.16.0.0/16
- forti2: 172.17.0.0/16
別の IP 範囲を使用している場合は、その IP 範囲を使用します。

$[VPN Creation Wizard]$VPN 作成ウィザード$ のスクリーンショットは、3 番目の手順である [Policy & Routing]$ポリシーとルーティング$ を示し、選択および入力した値が表示されています。$
[作成] を選択します
[Network]$ネットワーク$>[Interfaces]$インターフェイス$ を選択します。
[port2] をダブルクリックします。
[Role]$ロール$ の一覧から [LAN] を、アドレス指定モードとして [DHCP] を選択します。
[OK] を選択します。

他の NVA に対して同じ手順を繰り返します。

すべてのフェーズ 2 セレクターを表示する

"両方" の NVA で上記が完了したら、次のようにします。

forti2 の FortiGate Web コンソールで、[Monitor]$モニター$>[IPsec Monitor]$IPsec モニター$ を選択します。
conn1 を強調表示し、[Bring Up]$表示$>[All Phase 2 Selectors]$すべてのフェーズ 2 セレクター$ を選択します。

接続のテストと検証

これで、FortiGate NVA を介して各 VNET 間をルーティングできるようになりました。接続を検証するには、各 VNET の InsideSubnet に Azure Stack Hub VM を作成します。 Azure Stack Hub VM の作成は、ポータル、Azure CLI、または PowerShell を使用して行うことができます。 VM を作成する際は、次の手順に従います。

Azure Stack Hub VM は、各 VNET の InsideSubnet に配置されます。
VM の作成時には、NSG は適用しません (ポータルから VM を作成している場合は、既定で追加される NSG を削除してください)。
接続をテストするために使用する通信が VM のファイアウォール規則によって許可されていることを確認します。テスト目的の場合は、可能な限り、OS 内でファイアウォールを完全に無効にすることをお勧めします。

次のステップ

Azure Stack Hub ネットワークの違いと考慮事項
 Fortinet FortiGate を使用して Azure Stack Hub にネットワークソリューションを提供する

次の方法で共有