Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

VMware を使用した vSRX 仮想ファイアウォールの理解

このセクションでは、VMware 上の vSRX 仮想ファイアウォールの概要を示します。

vSRX仮想ファイアウォールの概要

vSRX仮想ファイアウォールは、仮想プライベートクラウドまたはパブリック クラウド 環境の境界またはエッジでセキュリティとネットワークサービスを提供する仮想セキュリティアプライアンスです。vSRX 仮想ファイアウォールは、標準 x86 サーバー上の仮想マシン(VM)として実行されます。vSRX 仮想ファイアウォールは Junos オペレーティング システム(Junos OS)上に構築され、SRX シリーズ ファイアウォールのソフトウェア リリースと同様のネットワーク機能とセキュリティ機能を提供します。

vSRX仮想ファイアウォールは、コアファイアウォール、VPN、NAT、アプリケーションセキュリティ、侵入検出および防止(IPS)などの高度なレイヤー4〜レイヤー7セキュリティサービス、および拡張Webフィルタリングやアンチウイルスなどのコンテンツセキュリティ機能を含む、次世代ファイアウォール(NGFW)の完全なソリューションを提供します。vSRX仮想ファイアウォールは、ATPクラウドと組み合わせることで、クラウドベースの高度なアンチマルウェアサービスと動的分析を提供し、高度なマルウェアから保護し、見分け効果を改善し、修復時間を短縮する組み込みの機械学習を提供します。

図 1 は、アーキテクチャの概要を示しています。

図 1:vSRX 仮想ファイアウォール アーキテクチャ vSRX Virtual Firewall Architecture

vSRX 仮想ファイアウォールには、データ プレーンを構成する Junos コントロール プレーン(JCP)とパケット転送エンジン(PFE)コンポーネントが含まれています。vSRX仮想ファイアウォールは、JCPに1つの仮想CPU(vCPU)を使用し、PFEには少なくとも1つのvCPUを使用します。Junos OSリリース15.1X49-D70およびJunos OSリリース17.3R1以降、マルチコアvSRX仮想ファイアウォールは、vCPUとGB仮想RAM(vRAM)の拡張をサポートしています。パフォーマンスを向上させるために、データ プレーンに追加の vCPU が適用されます。

Junos OS リリース 18.4R1 は、新しいソフトウェア アーキテクチャ vSRX 仮想ファイアウォール 3.0 をサポートし、既存の vSRX 仮想ファイアウォール アーキテクチャに対するデュアル OS とネストされた仮想化の要件を排除します。

vSRX 仮想ファイアウォール 3.0 アーキテクチャでは、ゲスト OS として FreeBSD 11.x が使用され、ルーティング エンジンとパケット転送エンジンは FreeBSD 11.x 上で単一の仮想マシンとして動作し、パフォーマンスと拡張性が向上します。vSRX仮想ファイアウォール3.0は、DPDKを使用してデータプレーン内のデータパケットを処理します。Junos を vSRX 仮想ファイアウォールから vSRX 仮想ファイアウォール 3.0 ソフトウェアに直接アップグレードすることはできません。

vSRX 仮想ファイアウォール 3.0 では、vSRX 仮想ファイアウォールと比較して以下の機能が強化されています。

  • ハイパーバイザーでネストされた VM のサポートが必要となる問題を解消しました。

  • プロミスキャス モードを有効にするには、コントロール プレーンに接続されたポートを要求する制限を削除しました。

  • 管理運用時のブート時間が短縮され、コントロールプレーンの応答性が向上しました。

  • ライブ移行を改善。

図 2 は、vSRX 仮想ファイアウォール 3.0 のハイレベル ソフトウェア アーキテクチャを示しています。

図 2:vSRX 仮想ファイアウォール 3.0 アーキテクチャ vSRX Virtual Firewall 3.0 Architecture

vSRX 仮想ファイアウォールのメリットと導入事例

標準x86サーバー上のvSRX仮想ファイアウォールにより、新しいサービスを迅速に導入し、カスタマイズされたサービスを顧客に提供し、動的なニーズに基づいてセキュリティサービスを拡張できます。vSRX 仮想ファイアウォールは、パブリック クラウド、プライベート クラウド、ハイブリッド クラウド環境に最適です。

仮想プライベートまたはパブリッククラウドのマルチテナント環境におけるvSRX仮想ファイアウォールの主なメリットには、以下のものがあります。

  • テナント エッジでのステートフル ファイアウォール保護

  • 新しいサイトへの仮想ファイアウォールの迅速な導入

  • さまざまなハイパーバイザーやパブリッククラウドインフラストラクチャ上で実行できる機能

  • フルルーティング、 VPN、コアセキュリティ、ネットワーク機能

  • アプリケーション セキュリティ機能(IPS と App-Secure を含む)

  • コンテンツセキュリティ機能(アンチウイルス、Webフィルタリング、アンチスパム、コンテンツフィルタリングを含む)

  • Junos Space Security Director による一元管理と J-Web インターフェイスによるローカル管理

  • ジュニパーネットワークスのJuniper Advanced Threat Prevention Cloud(ATP Cloud)の統合

VMware ESXi 導入での vSRX 仮想ファイアウォール

VMware vSphere は、x86 アーキテクチャをサポートするシステム向けの仮想化環境です。VMware ESXi®は、ホストマシン上で仮想マシン(VM)および仮想アプライアンスを作成および実行するために使用されるハイパーバイザーです。VMware vCenter Server® は、複数の ESXi ホストのリソースを管理するサービスです。

VMware vSphere Web クライアントは、vSRX 仮想ファイアウォール VM の導入に使用されます。

図 3 は、vSRX 仮想ファイアウォールを導入して、1 つ以上の仮想マシンで実行されるアプリケーションにセキュリティを提供する方法の例を示しています。vSRX 仮想ファイアウォール仮想スイッチは、物理アダプター(アップリンク)に接続して、すべてのアプリケーション トラフィックが vSRX 仮想ファイアウォール VM を経由して外部ネットワークに流れます。

図 3:vSRX 仮想ファイアウォールの導入 Example of vSRX Virtual Firewall Deployment

vSRX仮想ファイアウォールによるパフォーマンスの向上

表1 は、vSRX仮想ファイアウォールVMに適用されたvCPUとvRAMの数に基づいて、vSRX仮想ファイアウォールのパフォーマンスを向上させます。この表では、VMware に vSRX 仮想ファイアウォールを導入するための特定のソフトウェア仕様が導入された Junos OS リリースの概要を示しています。特定のスケールアップパフォーマンス機能を活用するには、特定のJunos OSリリースをダウンロードする必要があります。

表 1:vSRX 仮想ファイアウォールによるパフォーマンスの拡張

Vcpu

Vram

Nic

Junos OS リリースが導入されました

vCPU x 2

4 GB

  • SR-IOV(Intel 82599、X520/X540)

  • VMNET3

Junos OS リリース 15.1X49-D15 および Junos OS リリース 17.3R1

vCPU x 5

8 GB

  • SR-IOV(Intel 82599、X520/X540)

  • VMNET3

Junos OS リリース 15.1X49-D70 および Junos OS リリース 17.3R1

9 個の vCPU

16 GB

  • SR-IOV(Mellanox ConnectX-3/ConnectX-3 Pro および Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)

メモ:

vSRX 仮想ファイアウォールのパフォーマンスと容量を 9 個の vCPU と 16 GB の vRAM に拡張する場合、SR-IOV(Mellanox ConnectX-3/ConnectX-3 Pro および Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)が必要です。

Junos OS リリース 18.4R1

17 個の vCPU

32 GB

  • SR-IOV(Mellanox ConnectX-3/ConnectX-3 Pro および Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)

メモ:

vSRX 仮想ファイアウォールのパフォーマンスと容量を 17 個の vCPU と 32 GB vRAM に拡張する場合、SR-IOV(Mellanox ConnectX-3/ConnectX-3 Pro および Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)が必要です。

Junos OS リリース 18.4R1

1 vCPU

4 GB

Mellanox ConnectX-3 および ConnectX-4 ファミリー アダプター上の SR-IOV。

Junos OS リリース 21.2R1

4 個の vCPU

8 GB

Mellanox ConnectX-3 および ConnectX-4 ファミリー アダプター上の SR-IOV。

Junos OS リリース 21.2R1

8 個の vCPU

16 GB

Mellanox ConnectX-3 および ConnectX-4 ファミリー アダプター上の SR-IOV。

Junos OS リリース 21.2R1

16 個の vCPU

32 GB

Mellanox ConnectX-3 および ConnectX-4 ファミリー アダプター上の SR-IOV。

Junos OS リリース 21.2R1

vSRX仮想ファイアウォールインスタンスのパフォーマンスと容量を拡張するには、vCPUの数とvSRX仮想ファイアウォールに割り当てるvRAMの量を増やします。マルチコア vSRX 仮想ファイアウォールは、ブート時に適切な vCPU と vRAM 値と、NIC 内の受信側スケーリング(RSS)キューの数を自動的に選択します。vSRX仮想ファイアウォールVMに割り当てられたvCPUとvRAMの設定が現在利用可能なものと一致しない場合、vSRX仮想ファイアウォールはインスタンスでサポートされている最も近い値にスケールダウンします。たとえば、vSRX 仮想ファイアウォール VM に 3 個の vCPU と 8 GB の vRAM がある場合、vSRX 仮想ファイアウォールは小規模な vCPU サイズまで起動し、最小で 2 個の vCPU を必要とします。vSRX 仮想ファイアウォール インスタンスをより多くの vCPU と量の vRAM にスケールアップすることはできますが、既存の vSRX 仮想ファイアウォール インスタンスをより小規模な設定にスケール ダウンすることはできません。

メモ:

RSS キューの数は、通常、vSRX 仮想ファイアウォール インスタンスのデータ プレーン vCPU の数と一致します。たとえば、データ プレーン vCPU が 4 個の vSRX 仮想ファイアウォールには、4 つの RSS キューが必要です。

vSRX 仮想ファイアウォール セッション容量の増加

vSRX仮想ファイアウォールソリューションは、メモリを増やしてセッション数を増やすために最適化されています。

メモリを増やしてセッション数を増やす機能により、vSRX仮想ファイアウォールを有効にして以下を実行できます。

  • モバイル ネットワークの戦略的拠点で、拡張性、柔軟性、パフォーマンスに優れたセキュリティーを提供します。

  • サービス プロバイダがネットワークの拡張と保護に必要なパフォーマンスを提供します。

最大セッション数を show security flow session summary | grep maximum 表示するには、 コマンドを実行します。

Junos OS リリース 18.4R1 以降、vSRX 仮想ファイアウォール インスタンスでサポートされるフロー セッション数は、使用する vRAM サイズに基づいて増加しています。

Junos OSリリース19.2R1以降、vSRX仮想ファイアウォール3.0インスタンスでサポートされるフローセッション数は、使用するvRAMサイズに基づいて増加しています。

表 2 は、フロー セッションの容量を示しています。

表 2: vSRX 仮想ファイアウォールと vSRX 仮想ファイアウォール 3.0 フロー セッション容量の詳細

Vcpu

メモリ

フロー セッション容量

2

4 GB

0.5 M

2

6 GB

100 万

2/5

8 GB

200 万

2/5

10 GB

200 万

2/5

12 GB

2.5 M

2/5

14 GB

300 万

2/5/9

16 GB

400 万

2/5/9

20 GB

600 万

2/5/9

24 GB

800 万

2/5/9

28 GB

10 M

2/5/9/17

32 GB

1,200 万

2/5/9/17

40 GB

1,600 万

2/5/9/17

48 GB

20 M

2/5/9/17

56 GB

2,400 万

2/5/9/17

64 GB

2,800 万

リリース履歴テーブル
リリース
説明
19.2R1
Junos OSリリース19.2R1以降、vSRX仮想ファイアウォール3.0インスタンスでサポートされるフローセッション数は、使用するvRAMサイズに基づいて増加しています。
18.4R1
Junos OS リリース 18.4R1 以降、vSRX 仮想ファイアウォール インスタンスでサポートされるフロー セッション数は、使用する vRAM サイズに基づいて増加しています。
15.1X49-D70
Junos OSリリース15.1X49-D70およびJunos OSリリース17.3R1以降、マルチコアvSRX仮想ファイアウォールは、vCPUとGB仮想RAM(vRAM)の拡張をサポートしています。パフォーマンスを向上させるために、データ プレーンに追加の vCPU が適用されます。