AWS vSocketサイトを手動でデプロイする

AWS vSocketの概要

IPsecトンネルまたは仮想ソケット (vSocket) を使用して、AWS VPCをCatoに接続できます。 この記事は、EC2インスタンス上でvSocketを展開する方法について説明します。

vSocketはこれらの利点を提供します。

• 帯域幅管理制御とQoS

• Catoクラウド内のPoPへの接続性を最大化

• 高可用性構成のサポート

vSocketおよびIPsecサイトに関するさらなる情報については、サイトの接続タイプを選択するを参照してください。

この記事は、すでにAWS環境にVPCを持っていることを前提としています。

注：

中国の規制により、中国でAWS vSocketサイトを展開するには、Catoの担当者またはCato サポートに連絡してください。

前提条件

• AWSダッシュボードとCato管理アプリケーションへの管理者権限を持っている必要があります。 さらに、AWSで以下の権限を持っている必要があります：

  • AWSマーケットプレイス

  • キーペアの作成

• 環境がCato Socket接続の前提条件でリストされている要件を満たしていることを確認してください。

AWSの制限

AWSはこれらのネットワーキング機能をサポートしていません。

• VLAN範囲

• DHCPレンジ

AWS vSocket作成の概要

1. Cato管理アプリケーションで、AWS vSocketの新しいサイトを作成します。

2. AWS仮想リソースを作成する

3. AWSマーケットプレイスで、EC2インスタンスに仮想リソースを接続するためにCato Networks AMIの提供にサブスクライブします。

4. vSocketインスタンスを起動する

5. vSocketがあなたのアカウントに接続されていることを確認します。

Cato管理アプリケーションでのvSocketサイト作成

Cato管理アプリケーションでAWS vSocketサイトを作成し、vSocketのシリアル番号が生成されます。 このシリアル番号はEC2インスタンスを起動するときに使用されます。

vSocketのローカルIPは、EC2インスタンスのLANインターフェースのIPアドレスと同じでなければなりません。 サブネットの最初の3つのIPアドレスはVPCによって予約されています。

サイト作成後、Cato管理アプリケーションが新しいvSocketのためにユニークなシリアル番号を自動生成します。 EC2インスタンスを起動するときにこのシリアル番号を入力する必要があります。

AWSサイトの作成

AWS vSocketサイトを作成するには：

1. Cato管理アプリケーションで、ナビゲーションメニューからネットワーク > サイトを選択します。

2. 新規をクリックします。 サイト追加パネルが開きます。

   

3. サイトの一般設定を構成します。

   1. サイト名を入力します。

   2. サイトの種類を選択します。 このオプションは、トポロジウィンドウで使用されるサイトのアイコンを決定します。

   3. 接続タイプとしてvSocket AWSを選択します。

   4. 国、州、タイムゾーンを設定し、メンテナンスウィンドウの時間枠を設定します。 国、および州。

4. ISPの帯域幅に応じて、WANインタフェース設定を構成し、下りと上りの帯域幅を設定します。

5. AWSサイトのためにネイティブ範囲を含むLANインタフェース設定を構成します。 この設定は、AWSのLANサブネットIP範囲と同じでなければなりません（以下のMGMT、WAN、LANサブネットの作成を参照）。

6. 適用をクリックします。 サイトがサイトリストに追加されます。

vSocketシリアル番号のコピー

Cato管理アプリケーションは、新しいvSocketのためにユニークなシリアル番号を自動生成します。 AMIを構成するときにこのシリアル番号 (S/N) を入力する必要があります。 （以下のCato AMIの構成を参照）。

シリアル番号をコピーするには：

1. ナビゲーションメニューからネットワーク > サイトを選択し、サイトを選択します。

2. ナビゲーションメニューからサイト設定 > ソケットを選択します。

3. vSocketのためにS/Nをコピーします。

   vSocketインスタンスを起動するときにこのシリアル番号を入力する必要があります。

AWS仮想リソースの作成

vSocketを作成したら、AWS仮想リソースを作成して、それらをEC2インスタンスに接続することができます。

AWS仮想リソースの手動作成

vSocketインスタンスのためのこれらの仮想リソースを作成します。

注：

もしこれらのリソースが既に存在する場合は、以下のEC2インスタンスへのリソースの関連付けに進むことができます。

• インターネットゲートウェイ

• 3つのサブネット - WAN、LAN、MGMT

• セキュリティグループ - インバウンドおよびアウトバウンド通信を管理する

• 3つのインタフェース (ENIs) - WAN、LAN、MGMT

• 2つのルートテーブル - インターネットとLAN

• 2つのエラスティックIP (WANとMGMTインターフェース用)

VPCのためのインターネットゲートウェイの定義

AWS Virtual Private Cloud (VPC) ダッシュボードを使用して、新しいインターネットゲートウェイを作成し、それをVPCにアタッチします。

新しいインターネットゲートウェイを作成し、それをVPCにアタッチするには：

1. VPCダッシュボードのナビゲーションメニューから仮想プライベートクラウド > インターネットゲートウェイを選択します。

2. インターネットゲートウェイを作成するをクリックします。

3. 名前タグの中に、インターネットゲートウェイの名前を入力します。

4. インターネットゲートウェイを作成するをクリックします。 VPCダッシュボードには、インターネットゲートウェイの詳細が表示されます。

   

5. アクションドロップダウンメニューから、VPCにアタッチを選択します。

6. VPCにアタッチウィンドウの利用可能なVPCセクションでVPCを選択します。

7. インターネットゲートウェイをアタッチをクリックします。 インターネットゲートウェイはあなたのVPCにアタッチされます。

MGMT、WAN、LANサブネットの作成

AWS内でこれらのサブネットを作成し、それらが自動的にVPCにアタッチされます。

• MGMTサブネット

• WANサブネット

• LANサブネット - これはサイトのネイティブ範囲と同じです。

すべてのサブネットが同じAWSアベイラビリティゾーン内にあることを確認してください。

AWS vSocketサブネットを作成するには：

1. VPCダッシュボードのナビゲーションメニューから仮想プライベートクラウド > サブネットを選択します。

2. サブネットを作成するをクリックします。

3. サブネットを作成するウィンドウのVPCセクションで、VPC IDを選択します。

4. サブネットの設定を構成します。

   1. サブネット名を入力します。

   2. サブネットのアベイラビリティゾーンを選択します。

   3. サブネットのIPv4 CIDRブロックを入力します。 LANサブネットのために - これはサイトのネイティブ範囲と同じ値です。

5. 追加のサブネットを追加するには、新しいサブネットを追加するをクリックし、前のステップ4を繰り返します。

6. サブネットを作成するをクリックします。 AWSはサブネットを作成し、それらをVPCにアタッチします。

セキュリティグループの構成

すべてのアウトバウンドトラフィックを許可するアウトバウンドルールを使用して、WANおよびMGMTトラフィックのセキュリティグループルールを構成し、Catoクラウドにトラフィックが到達できるようにします。

WANおよびLANインタフェースの作成

EC2インスタンスのvSocketのためのWANおよびLANインタフェースを作成します。 EC2ダッシュボードを使用してインタフェースを作成します。

LANインターフェースのカスタムIPアドレスをネイティブ範囲のローカルIPと同じIPアドレスに設定します。 最初の3つのIPアドレスはAWSによって予約されているため、使用しないでください。

LANインターフェース上でAWSのソース/宛先チェックを無効にして、EC2インスタンスがトラフィック転送を行えるようにする必要があります。

注：

vSocketの正しい動作を確保するために、信頼されたサーバーをプライマリDNSサーバーとしてカスタムDHCPオプションを定義します。

ネットワークインタフェース (ENI) を作成するには：

1. EC2ダッシュボードのナビゲーションメニューからネットワーク＆セキュリティ > ネットワークインタフェースを選択します。

2. ネットワークインタフェースを作成するをクリックします。

3. ネットワークインタフェースを作成するウィンドウで、LANサブネットを選択します。

4. プライベートIPv4アドレスで、カスタムをクリックしてネイティブ範囲のローカルIPを入力します。

5. セキュリティグループで、インタフェースに対応する適切なセキュリティグループを選択します。

6. ネットワークインタフェースを作成するをクリックします。 AWSはインタフェースを作成します。

7. WANインタフェースについて前の手順を繰り返します。

8. LANインタフェースについては、AWSのソース/宛先トラッキングを無効にします。

   1. ネットワークインターフェースウィンドウで、LANインタフェースを右クリックし、ソース/宛先変更を選択します。 チェックを外します。

      

   2. 「変更ソース/宛先の確認」ウィンドウで、有効化するのチェックを外します。

   3. 保存をクリックします。

ルートテーブルの作成

vSocketのトラフィックに対して新規作成するか、既存のVPCルートテーブルを使用します。

• LANサブネット用のプライベートルートテーブル

  • LANサブネットをアタッチします

  • Socket LAN ENI を次のホップ（デフォルトルート）として設定します

• MGMTおよびWANサブネット用のインターネットルートテーブル。 このルートテーブルは、vSocketとCato Cloudリソースの間の接続性を提供するために使用されます。

  • WANおよびMGMTサブネットをアタッチします

  • インターネットゲートウェイをデフォルトルートのターゲット（次のホップ）として定義します

インターネットとLANルートテーブルを作成するために：

1. VPCダッシュボードのナビゲーションメニューから、Virtual Private Cloud > ルートテーブルを選択します。

2. ルートテーブルを作成をクリックします。

3. 名前タグに、インターネットまたはLAN用のルートテーブルの名前を入力します。

4. vSocket用のVPCを選択します。

5. 作成をクリックします。 ルートテーブルはVPCに追加されます。

6. WANとMGMTのサブネットをインターネットルートテーブルに、またはLANのサブネットをLANルートテーブルに関連付けます。

   1. ルートテーブルを右クリックして、サブネットの関連付けを編集を選択します。 これはインターネットルートテーブルの例です。

      

   2. サブネットの関連付けを編集ウィンドウで：

      • インターネットルートテーブルでは、MGMTとWANサブネットを選択します

      • LANルートテーブルでは、LANサブネットを選択します

   3. 保存をクリックします。 サブネットがルートテーブルに関連付けられます。

7. 各ルートテーブルにデフォルトルートを追加します（最初にインターネットルートテーブルを設定し、その後LAN）。

   1. ルートテーブルを右クリックして、ルートの編集を選択します。 以下のスクリーンショットはインターネットルートテーブルを示しています：

      

   2. ルートを追加をクリックします。

   3. 新しいルートの宛先を0.0.0.0/0に設定します。

   4. ターゲットで、インターネットまたはLANルートテーブルの次のホップを選択します：

      • インターネットルートテーブルの場合、インターネットゲートウェイを選択し、VPCのインターネットゲートウェイを選択します

      • LANルートテーブルの場合、ネットワークインタフェースを選んでLAN ENIを選択します。 以下のスクリーンショットはLANルートテーブルを示しています：

      

   5. 変更を保存するをクリックします。

   6. ウィンドウはルートが正常に作成されたことを示し、閉じるをクリックします。

8. 前の手順をLANルートテーブルに対して繰り返します。

インタフェースに弾性IPアドレスを関連付ける

弾性IPアドレスを新規作成し、WANおよびMGMTインタフェースに関連付けます。 AmazonのIPv4アドレスプールから割り当てられたパブリックIPアドレスを使用することができます。

注：

MGMTインタフェース用の弾性IP はインスタンス作成時にCato AMI によって自動的に作成された MGMT インタフェースに関連付ける必要があり、手動で作成されたものに関連付けてはなりません。

弾性IPアドレスを割り当てるには：

1. EC2ダッシュボードのナビゲーションメニューから、ネットワーク & セキュリティ > 弾性IPを選択します。

2. 弾性IPアドレスを割り当てるをクリックします。

3. パブリックIPv4アドレスプールに対して、AmazonのIPv4アドレスのプールを選択します。

4. 割り当てるをクリックします。 弾性IPが割り当てられている。

5. 弾性IPを選択して、アクション > 弾性IPアドレスを関連付けるを選択します。

   

6. 弾性IPアドレスを関連付けるウィンドウで、リソースタイプを選択し、ネットワークインタフェースを選びます。

7. ネットワークインタフェースで、WANインタフェースを選択します。

8. 関連付けるをクリックします。 弾性IPがインタフェースに関連付けられています。

9. 前の手順をMGMTインタフェースに対して繰り返します。

vSocket用のEC2インスタンスの設定

vSocketのためにすべての仮想リソースを作成した後、AWSマーケットプレイスで利用可能なCato Networks AMIを使用してこれらのリソースをEC2インスタンスに接続します。

EC2サポートインスタンス

以下のEC2インスタンスタイプはvSocketsで認定されています：

• t3.large

• t3.xlarge

• c3.xlarge

• c4.xlarge

• c5.xlarge

• c5d.xlarge

• c5n.xlarge（2Gbps以上の帯域幅を持つ高性能サイト向けに推奨）

• d2.xlarge

• 以下のインスタンスタイプは、ソケットバージョン26.0.23517からサポートされます:

  • c7i.xlarge

  • c7i.2xlarge

  • c7i.4xlarge

  • c7i.8xlarge

インスタンスタイプの仕様を確認し、サイト要件に合ったタイプを選択するのに役立つこの記事をご覧ください。 

注：

c3.xlargeまたはc4.xlargeインスタンスがあなたの地域で利用できない場合は、AWSカスタマーサポートに連絡してください。

Cato AMIの設定

環境を準備した後、Cato Networks AMIを設定できます。

AMIの設定：

1. AWSマーケットプレイスで、Cato Networks Virtual Socketを検索します。

2. サブスクライブを続けるをクリックします。

3. 設定に進むをクリックします。

   • 実行オプションの下で、Amazon Machine Imageを選択します。

   • 地域の下で、vSocket のある地域を選択します。

   

4. 起動に進むをクリックします。

5. このソフトウェアを起動するページで：

   1. アクションを選択の下で、EC2経由で起動を選択します。

   2. EC2インスタンスタイプの下で、EC2インスタンスを選択します。

   3. VPC設定の下で、接続するVPCを選択します。

   4. サブネット設定の下で、MGMTネットワークを選択します。

   5. セキュリティグループ設定の下で、このインスタンスのために作成したセキュリティグループを選択します。

   6. 高度なネットワーク構成を展開し、ネットワークインタフェースであなたが作成したMGMTインタフェースを選択します。

      注: 既存のインタフェースを選択しない場合、新しいインタフェースが作成されます。

      

   7. キーペア設定の下で、作成したキーペアを選択します。

   8. 高度な詳細セクションで、ユーザーデータ - オプションの下に、Cato 管理アプリケーションで作成したvSocketサイトからコピーしたシリアル番号を入力します。

6. 起動をクリックします。

vSocketインスタンスへのインタフェースのアタッチ

vSocketインスタンスが起動した後、MGMTインタフェースがそれにアタッチされます。 インスタンスを停止し、残りのWANおよびLANインタフェースをインスタンスにアタッチします。

注：

EC2インスタンスが停止していて、まずWANインタフェースをアタッチし、その後LANインタフェースをアタッチすることを確認してください。

vSocketインスタンスにインタフェースをアタッチするには：

1. EC2ダッシュボードのナビゲーションメニューから、インスタンス > インスタンスを選択します。

2. vSocketインスタンスを右クリックしてインスタンスを停止を選択します。

3. 確認ウィンドウで、停止をクリックします。 ウィンドウを更新し、インスタンスの状態が停止されているか確認します。

4. ナビゲーションメニューからネットワーク & セキュリティ > ネットワークインタフェースを選択します。

5. インスタンスにWANインタフェースをアタッチします：

   1. WANインタフェースを右クリックし、インタフェースをアタッチを選択します。

   2. ネットワークインタフェースをアタッチウィンドウでインスタンスを選び、vSocketインスタンスを選択します。

   3. アタッチをクリックします。

   4. 前の3つのステップをLANインタフェースに対して繰り返します。

vSocketインストールの完了

インタフェースをvSocketにアタッチした後、インスタンスを開始し、それがCato Cloudに接続したことを確認します。 vSocketがCato Cloudに接続された後、自動的に最新のソケットバージョンに更新されます。

vSocketインストールを完了するには：

1. EC2ダッシュボードからナビゲーションメニューで、インスタンス > インスタンスを選択します。

2. vSocketインスタンスを右クリックして、インスタンスを開始を選択します。
   インスタンスがすでに動作している場合は、それを再起動します。

3. Cato管理アプリケーションで、マイネットワーク > トポロジを選択します。

4. AWSサイトがCato Cloudに接続されていることを確認してください。

(オプション) Socket WebUIへの接続

Elastic IPアドレスを使用してAWS vSocket WebUIに接続することは推奨されません。 Socket WebUIにログインする必要がある場合、この設定を使用してください：

• MGMT弾性IPアドレスをvSocketのパブリックIPアドレスとして使用します

  • 単一IPアドレス（弾性IPアドレス）からの着信トラフィックを許可するセキュリティルールを作成します

• ユーザ名は 管理者です。

• デフォルトのパスワードは インスタンスIDです。

（オプション）EC2インスタンスへのトラフィックのルーティング

アプリケーションEC2インスタンスがネイティブ範囲サブネット（vSocket LANインタフェースサブネットでないサブネット）に関連付けられている場合、Cato管理アプリケーションでサイトのネットワークセクションにルーテッド範囲を追加します。

EC2インスタンスへのトラフィックをルーティングするには：

1. ナビゲーションメニューから ネットワーク > サイト を選択し、サイトを選択します。

2. ナビゲーションメニューから サイト設定 > ネットワーク を選択します。

3. LAN セクションで、新規 をクリックします。 新しいIPレンジ パネルが開きます。

4. IP範囲の 名前 を入力します。

5. 範囲の タイプ を ルーテッド に設定します。

6. サブネット IP 範囲を入力します。

7. ゲートウェイIPをVPCルーターに設定します（それはネイティブ範囲サブネットの最初のホストIPアドレスです）。

8. （オプション） 範囲の 静的NAT を設定します。

9. 適用 をクリックします。 範囲が ネットワーク 画面に追加されます。

上記のスクリーンショットでは、ルーテッド範囲のこれらの設定を示しています。

• ネイティブ範囲 - 10.0.2.0/24

• ルーテッド範囲 - 10.0.26.0/24

• ゲートウェイ IP - 10.0.2.1

（オプション）EC2インスタンス向けのIMDSv2設定

IMDS（インスタンスメタデータサービス）は、インスタンスのメタデータを取得するための安全なアクセスを提供します。 Catoはこのサービスを使用して以下の情報を取得します。

• ユーザーデータ内のシリアル番号

• インスタンスID

• HA関連情報

• ルートテーブルを変更するためのキーとホスト名の設定

ソケット v20 ビルド 18221 から、Cato は IMDSv2 のサポートを追加しています。

IMDSv2 を使用するようにインスタンスを設定するには：

1. AWSで、設定したいインスタンスを選択します。

2. アクション > インスタンス設定 を選択します。

3. インスタンスメタデータオプションを変更 セクションで、IMDSv2 の下に 必須 を選択します。

4. 保存 をクリックします。

この変更はダウンタイムを引き起こしません。 しかし、HA展開をしている場合、プライマリとセカンダリのインスタンスが同じIMDSバージョンを使用するように設定する必要があります。