AWS上のvSRX仮想ファイアウォールの要件

AWSの最小システム要件

表1 は、AWSに導入するvSRX仮想ファイアウォールインスタンスの最小システム要件を示しています。

で

表1:vSRX仮想ファイアウォールの最小システム要件

コンポーネント	仕様と詳細
ハイパーバイザーのサポート	XEN-HVM
メモリ	4GB
ディスク容量	16GB
vCPU	2
vNIC	3
vNICタイプ	SR-IOV
AMDプロセッサー	Junos OSリリース22.3R2以降、Amazon Web Services(AWS)上のvSRX仮想ファイアウォール 3.0は、パフォーマンスを向上させるためにアドバンスドマイクロデバイス(AMD)プロセッサをサポートします。

AWS上のvSRX仮想ファイアウォールのインターフェイスマッピング

AWS上のvSRX仮想ファイアウォールは最大8つのネットワークインターフェイスをサポートしますが、vSRX仮想ファイアウォールインスタンスに接続できる実際の最大インターフェイス数は、それが起動されたAWSインスタンスタイプによって決まります。8つ以上のインターフェイスを許可するAWSインスタンスの場合、vSRX仮想ファイアウォールは最大8つのインターフェイスのみをサポートします。

サポートされているC5インスタンスタイプは次のとおりです。

• c5.large

• c5.xlarge

• C5.2xラージ

• c5.4xlargeサイズ

• c5.9xlargeサイズ

• c5n.2xlargeサイズ

• c5n.4xlargeサイズ

• c5n.9xlargeサイズ

サポートされているAMDベースのAWSインスタンスは次のとおりです。

• C5a.16xlargeサイズ

• C5a.8xlargeサイズ

• C5a.4xlargeサイズ

• C5a.2xlargeサイズ

• C5a.xlarge

Junos OSリリース24.4R2以降、vSRX 3.0は新しいAWSインスタンスタイプc6inおよびc7iをサポートします。これら 2 つのインスタンスタイプは、24.2R2、23.4R2、23.2R2 を含む以前の Junos リリースではサポートされていません。これらの以前のリリースでは、c5、c5a、またはc5nインスタンスタイプを使用します。

関連情報	参照
例えば、vCPU、メモリなどの詳細	価格情報
インスタンスタイプ別の最大ネットワークインターフェイス数	https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html
最大8つのネットワークインターフェイスについて、vSRX仮想ファイアウォールインターフェイス名とそれに対応するAWSインターフェイス名間のマッピング用。 最初のネットワークインターフェイスは、vSRX仮想ファイアウォールの帯域外管理(fxp0)に使用されます。	表2

表2:vSRX仮想ファイアウォールとAWSインターフェイス名

インターフェイス番号	vSRX仮想ファイアウォールインターフェイス	AWSインターフェース
1	fxp0	エスティ0
2	ge-0/0/0	eth1
3	ge-0/0/1	ETH2
4	ge-0/0/2	ETH3
5	ge-0/0/3	eth4
6	ge-0/0/4	ETH5
7	ge-0/0/5	eth6
8	ge-0/0/6	eth7

非対称ルーティングを回避するためのベストプラクティスとして、ルーティングインスタンスに収益性の高いインターフェイスを配置することをお勧めします。fxp0はデフォルト(inet.0)ルーティングテーブルの一部であるため、同じルーティングインスタンスに2つのデフォルトルートが必要になる場合があります。1つは外部管理アクセス用のfxp0インターフェイス用、もう1つはトラフィックアクセス用の収益インターフェイス用で、非対称ルーティングになります。収益インターフェイスを別のルーティングインスタンスに配置することで、単一のルーティングインスタンスに2つのデフォルトルートが発生する状況を回避できます。

注:

同じセキュリティゾーンに属するインターフェイスが同じルーティングインスタンス内にあることを確認します。 KB記事「インターフェイスはゾーン内の他のインターフェイスと同じルーティングインスタンスにある必要があります」を参照してください。

AWSのvSRX仮想ファイアウォールのデフォルト設定

vSRX仮想ファイアウォールには、以下の基本的な構成設定が必要です。

• インターフェイスにはIPアドレスを割り当てる必要があります。

• インターフェイスはゾーンにバインドする必要があります。

• トラフィックを許可または拒否するには、ゾーン間でポリシーを設定する必要があります。

• ENAドライバー関連のコンポーネントは、vSRX仮想ファイアウォールに対応している必要があります。

表3は 、vSRX仮想ファイアウォールのセキュリティポリシーの工場出荷時のデフォルト設定を示しています。

表3:セキュリティポリシーの工場出荷時のデフォルト設定

送信元ゾーン	宛先ゾーン	ポリシーアクション
信頼	信頼できない	許可
信頼	信頼	許可

注意:

vSRX仮想ファイアウォール AWS インスタンスで load factory-default コマンドを使用しないでください。工場出荷時のデフォルト設定では、AWSの事前設定が削除されます。工場出荷時のデフォルトに戻す必要がある場合は、設定をコミットする前に必ずAWSの設定前設定ステートメントを手動で再設定してください。そうしないと、vSRX仮想ファイアウォールインスタンスにアクセスできなくなります。AWS事前設定の詳細については、AWSの CLIを使用したvSRXの設定 を参照してください。

vSRX仮想ファイアウォールのパフォーマンスを向上させるためのベストプラクティス

以下の導入方法を確認して、vSRX仮想ファイアウォールのパフォーマンスを向上させます。

• すべてのvSRX仮想ファイアウォールインターフェイスの送信元/宛先チェックを無効にします。

• キーペアの公開キーアクセス許可を400に制限します。

• AWSセキュリティグループとvSRX仮想ファイアウォールの設定の間に矛盾がないことを確認します。

• AWSでc5nインスタンスタイプを使用して、vSRX仮想ファイアウォールで最高のスループットを実現します。

  注:

  c5-large インスタンスの場合、AWS は第 2 世代 Intel Xeon スケーラブルプロセッサー (Cascade Lake) または第 1 世代 Intel Xeon Platinum 8000 シリーズ (Skylake-SP) プロセッサーを使用し、c4-xtra large インスタンスの場合、AWS は高周波数 Intel Xeon E5-2666 v3 を使用します。

• vCPUを最適に使用できるように、トラフィックがvSRX仮想ファイアウォールの複数のインターフェイスを通過するようにします。

• vSRX仮想ファイアウォール NAT を使用して、Amazon EC2 インスタンスをインターネットの直接トラフィックから保護します。