FWaaS(Firewall-as-a-Service)プラグインの設定

ジュニパーネットワークスのFWaaS(Firewall-as-a-Service)プラグインは、ジュニパーML2およびL3プラグインの上に構築されています。Neutronは、SRXおよびvSRXデバイスでファイアウォールのルールとポリシーを設定できます。OpenStack では、テナントがファイアウォールを作成してセキュリティ ポリシーを割り当てることができます。セキュリティ ポリシーは、ファイアウォール ルールの集まりです。 図 1 は、ファイアウォール ルール、ファイアウォール ポリシー、ファイアウォールの関係を示しています。

ファイアウォール ルール - 送信元アドレスとポート、宛先アドレスとポート、プロトコル、および一致するトラフィックに対して実行するアクションを定義します。

ファイアウォール ポリシー - ファイアウォール ルールの収集

ファイアウォール - ファイアウォール デバイスを表します。

FwaaS プラグインを有効にした場合、SRX または vSRX はルーターおよびファイアウォールとして機能する必要があります。管理者は、トポロジの設定時にこれを確認する必要があります。

サポート対象デバイス

SRX および vSRX シリーズ デバイス

プラグイン構成

手記：

さらに進む前に、以下の前提条件を満たしていることを確認します。

• トポロジーの設定

  • デバイスをjnpr_devicesテーブルに追加

  • 物理ネットワークエイリアスマッピング→コンピューティングnicがjnpr_nic_mappingテーブルに追加されます。

  • コンピューティング→スイッチ接続がjnpr_switchport_mappingテーブルにキャプチャされる(L2 VLAN オーケストレーションに必要)

• L2 プラグインが設定されています。サードパーティーのML2プラグインを使用している場合は、これはオプションです。

• L3 プラグインは、SRX/vSRX をルーターとして使用するように設定されています。

ジュニパーの FwaaS サービス プラグインを使用するように Neutron を設定するには、次の手順に応えます。

1. Neutron 設定ファイルファイル /etc/neutron/neutron.conf を更新し、service_plugインを次の内容で追加します。

2. ファイアウォールをトポロジーに追加します。

3. プラグインによって RVI が作成される SRX デバイス上のダウンリンク トランク ポートを定義します。

   アグリゲーション スイッチが接続されている SRX デバイスのポートでプラグイン データベースを更新します。

   例えば：

4. ファイアウォールをテナントに割り当てるか、すべてのテナントのデフォルトとして割り当てます。

   ファイアウォールがデフォルトとして割り当てられているすべてのテナントにファイアウォールを割り当てるには、以下のコマンドを使用します。

5. ファイアウォール パネルを表示するには、Horizon を有効にします。

   Horizonユーザーインターフェイスのネットワークグループの下にファイアウォールパネルを表示するには、次の設定を開 /usr/share/openstack-dashboard/openstack_dashboard/local/local_settings.pyき、更新します。

   enable_firewall: True

6. FWaaS プラグイン構成が完了したら、以下を再起動します。

   • Neutron-Server

     • Ubuntu – サービス neutron サーバーの再起動

     • CentOS – systemctl リスタート neutron-server

   • Apache(再起動ホライズン)

     • Ubuntu – サービスApache2の再起動

     • CentOS – systemctl 再起動 httpd

7. Horizon GUI から、ファイアウォール ルールを作成し、ポリシーに関連付けます。ファイアウォールを作成し、ルーターとファイアウォール ポリシーを割り当てます。

8. SRX では、各ルーティング インスタンスのファイアウォール ゾーンと、ゾーン内にプッシュされる対応するポリシーを検証できます。