翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
AWS Network Firewall と AWS Transit Gateway を使用してファイアウォールをデプロイする
作成者: Shrikant Patil (AWS)
概要
このパターンは、AWSNetwork Firewall と AWS Transit Gateway を使用してファイアウォールをデプロイする方法を示しています。Network Firewall リソースは、 AWS CloudFormation テンプレートを使用してデプロイされます。ネットワークファイアウォールは、ネットワークトラフィックに合わせて自動的にスケーリングし、数十万の接続をサポートできるため、独自のネットワークセキュリティインフラストラクチャの構築と維持について心配する必要はありません。トランジットゲートウェイは、仮想プライベートクラウド (VPCs) とオンプレミスネットワークを相互接続するために使用できるネットワークトランジットハブです。
このパターンでは、ネットワークアーキテクチャVPCに検査を含める方法についても学習します。最後に、このパターンでは、Amazon CloudWatch を使用してファイアウォールのリアルタイムのアクティビティモニタリングを提供する方法について説明します。
ヒント
Network Firewall サブネットを使用して他のAWSサービスをデプロイすることは避けるのがベストプラクティスです。これは、Network Firewall がファイアウォールサブネット内の送信元または発信先からのトラフィックを検査できないためです。
前提条件と制限
前提条件
アクティブなAWSアカウント
AWS Identity and Access Management (IAM) ロールとポリシーのアクセス許可
CloudFormation テンプレートのアクセス許可
制約事項
ドメインのフィルタリングに問題があり、別の種類の設定が必要になる可能性があります。詳細については、AWSNetwork Firewall ドキュメントの「Network Firewall のステートフルドメインリストルールグループ」を参照してください。
アーキテクチャ
テクノロジースタック
Amazon CloudWatch ログ
Amazon VPC
AWS Network Firewall
AWS Transit Gateway
ターゲット アーキテクチャ
次のダイアグラムは、ネットワークファイアウォールと Transit Gateway を使用してトラフィックを検査する方法を示しています。

アーキテクチャには、以下のコンポーネントが含まれます。
アプリケーションは 2 つのスポーク でホストされますVPCs。VPCs は Network Firewall によってモニタリングされます。
Egress VPCはインターネットゲートウェイに直接アクセスできますが、Network Firewall では保護されません。
検査VPCでは、Network Firewall がデプロイされます。
自動化とスケール
CloudFormation Infrastructure as Code を使用して、このパターンを作成できます。
ツール
AWS サービス
Amazon CloudWatch Logs は、すべてのシステム、アプリケーション、AWSサービスからのログを一元化するのに役立つため、ログをモニタリングして安全にアーカイブできます。
Amazon Virtual Private Cloud (Amazon VPC) は、定義した仮想ネットワークでAWSリソースを起動するのに役立ちます。この仮想ネットワークは、ユーザー自身のデータセンターで運用されていた従来のネットワークと似ていますが、AWS のスケーラブルなインフラストラクチャを使用できるという利点があります。
AWS Network Firewall は、 AWS クラウドVPCs内の のステートフルでマネージド型のネットワークファイアウォールおよび侵入検知および防止サービスです。
AWS Transit Gateway は、 VPCsとオンプレミスネットワークを接続する中央ハブです。
コード
このパターンのコードは、 GitHub AWSTransit Gateway リポジトリを使用した Network Firewall デプロイ
エピック
タスク | 説明 | 必要なスキル |
---|---|---|
CloudFormation テンプレートを準備してデプロイします。 |
| AWS DevOps |
タスク | 説明 | 必要なスキル |
---|---|---|
transit gateway を作成します。 |
| AWS DevOps |
Transit Gateway アタッチメントを作成します。 | 以下については、「Transit Gateway アタッチメントを作成」します。
| AWS DevOps |
Transit Gateway ルートテーブルを作成します。 |
| AWS DevOps |
タスク | 説明 | 必要なスキル |
---|---|---|
検査 でファイアウォールを作成しますVPC。 |
| AWS DevOps |
ファイアウォールポリシーを作成します。 |
| AWS DevOps |
VPC ルートテーブルを更新します。 | 検査VPCルートテーブル
スポークVPCAルートテーブル プライベートルートテーブルで、 スポークVPCBルートテーブル プライベートルートテーブルで、 Egress VPCルートテーブル 出力パブリックルートテーブルで、スポークVPCAブロックとスポークVPCBCIDRブロックを Transit Gateway ID に追加します。プライベートサブネットについても同じ手順を繰り返します。 | AWS DevOps |
タスク | 説明 | 必要なスキル |
---|---|---|
ファイアウォールのロギング設定を更新します。 |
| AWS DevOps |
タスク | 説明 | 必要なスキル |
---|---|---|
EC2 インスタンスを起動してセットアップをテストします。 | スポーク で 2 つの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを起動しますVPC。1 つは Jumpbox 用、もう 1 つはテスト接続用です。 | AWS DevOps |
メトリクスを確認します。 | メトリクスはまずサービスの名前空間ごとにグループ化され、次に各名前空間内のさまざまなディメンションの組み合わせごとにグループ化されます。Network Firewall CloudWatch の名前空間は です
| AWS DevOps |