OCI Network Firewall - プライベート LBaaS トラフィックの保護 (2023/03/30)

https://blogs.oracle.com/ateam/post/oci-network-firewall-securing-the-private-lbaas-traffic

投稿者： Andrei Stoian | Master Principal Cloud Architect | North America Cloud Engineering

前提条件:

OCI Network Firewall - Concepts and Deployment

OCI Network Firewall - NAT Gateway use case

OCI Network Firewall - Hub and Spoke traffic inspection

OCI Network Firewall - Securing the LBaaS traffic

ルーティングとセキュリティの観点から、NFW とプライベート LBaaS を含むネットワークアーキテクチャのデプロイは非常に興味深いものです。パブリック LBaaS の場合と同様に、使用されるプライベートリソースに関連する違いはありますが、同程度のセキュリティが提供されます。

NFW がネットワークのさまざまな部分との間のトラフィックを検査するために必要なルーティング構成については、次のセクションで説明します。これは、NFW がバンプインとして機能するネットワークアーキテクチャのコアを形成します。 概念の一部は、以前の NFW ブログで既に公開されていますが、ここでは、NFW をプライベート OCI LBaaS と統合しましょう。

以下は、提案されたネットワークトポロジです。非常に単純ですが、適切な場所に配置する必要があるすべての関連するルーティングとセキュリティの詳細を提供します。

アプリ VM1 と VM2 はプライベート LBaaS の背後にあり、10.114.187.184 のオンプレミスホストとコンシューマ VM1 から発信されたトラフィックは、プライベート LBaaS に送信される前に NFW によって分析される必要があります。

ルーティング構成

a) 10.114.187.184 のオンプレミス ホストからプライベート LBaaS へのトラフィック

IPSec または FC VC DRG アタッチメントに接続されたルート テーブルには、次の静的ルートが含まれています。

HUB と呼ばれるネクスト ホップ アタッチメント名は、上記のネットワーク ダイアグラムの共有およびインターネット VCN です。プライベート LBaaS が存在する 192.168.0.0/28 サブネットは、192.168.0.12 のプライベート LBaaS フローティング プライベート IP アドレスへの IP 到達可能性のためにオンプレミス CPE にアドバタイズされます。

プライベート LBaaS に到達する前に、トラフィックが NFW を介してパスを作成していることを確認する必要があるため、HUB 接続 VCN ルート テーブルで次のルートを構成します。

DRG は、サブネット 192.168.0.0/28 のすべてのトラフィックを、基本的に NFW である 192.168.0.20 のプライベート IP に転送します。

注 1 : サブネットレベルでは、すべてのルーティングとセキュリティを適切に配置して、トラフィックとルーティングを適切に許可する必要があります。

トラフィックは NFW によって検査された後、プライベート LBaaS に転送されます。この時点で、構成されている 2 つのバックエンドサーバーのいずれかに送信する必要があります。

注 2 : プライベート LBaaS によって (SNAT の実行後に) 発生したユーザートラフィックは、プライベート LBaaS によってバックエンドサーバーに対して実行されるヘルス チェックと共に、NFW によって検査される必要があります。

プライベート LBaaS サブネット ルート テーブルには、次のルートエントリが含まれます。

ご覧のとおり、ネクスト ホップは NFW であり、赤い四角の宛先へのすべてのトラフィックは NFW によって検査されます。

プライベート NFW サブネット ルート テーブルには、次のルートエントリが含まれています。

トラフィックは NFW によって検査された後、DRG に転送され、DRG は HUB VCN 接続ルートテーブルに基づいて、動的に学習したルートを使用してバックエンドサーバーへの転送を実行します。

バックエンドサーバーが応答すると、DRG はトラフィックを受信し、次のように、バックエンド DRG VCN アタッチメント ルートテーブルで構成された静的なデフォルトルートを使用します。

LBaaS は応答を受信し、NFW -> DRG -> CPE パスを使用してトラフィックをオンプレミス ホストに送り返します。DRG は HUB DRG VCN アタッチメント ルートテーブルで学習した動的ルートを持ちます。

b) 192.168.2.4 のコンシューマ VM からプライベート LBaaS へのトラフィック

コンシューマ DRG VCN アタッチメント ルートテーブルには、NFW がデプロイされている HUB VCN にすべてのトラフィックを送信するための静的に構成されたデフォルトルートが含まれています。

トラフィックは次のパスをたどります: Consumer VM -> DRG -> NFW -> LBaaS -> NFW -> DRG -> Backend Servers -> DRG -> NFW -> LBaaS -> NFW -> DRG -> Consumer VM

NFW セキュリティ構成

NFW ポリシーの 4 つの IP アドレス リスト:

1 つの HTTP アプリケーション:

2 つのセキュリティルール:

2 番目のセキュリティルールは、LBaaS ヘルスチェックとともにユーザートラフィックを許可することに注意してください。

ルーティングとセキュリティの構成全体が整ったので、トラフィックが正しく流れているかどうかを確認し、NFW トラフィック ログを分析します。

トラフィックが期待どおりに機能していることを確認しました。NFW ログを分析して、NFW がトラフィックを傍受したことを確認しましょう。

上記の NFW トラフィック ログは、予想される動作を確認します。