アクティブアクティブなHAクラスターにファイアウォールを展開します。

アクティブアクティブな高可用性（HA）クラスター内で、Azureで2つのSophosファイアウォールを展開し、ロードバランシングを行うことができます。展開では、Azure標準ロードバランサーを使用し、HAポート機能を活用して、受信および送信の負荷分散を提供しています。

アクティブパッシブ展開はサポートされていません。

この展開では、Azureテンプレートを使用して、ロードバランサーに必要なルートを自動的に構成します。

ネットワーク図

ネットワーク図には、外部（インターネット側）ネットワークに接続された2つのファイアウォールと、内部ネットワークに接続されたロードバランサーが表示されています。このセットアップは、受信および送信トラフィックの両方に負荷分散を提供し、高い可用性と最適化されたパフォーマンスを確保します。

要件

本人は次のいずれかのライセンスを持っている必要があります。

• 既存のライセンスを持参してください（BYOL）：各ファイアウォールには有効なライセンスが必要です。
• 支払い方法：前払い（PAYG）

ファイアウォールとセキュリティグループの構成がTCPポート4444と3128へのアクセスを許可していることを確認してください。ロードバランサーは、これらのポートを外部および内部のヘルスチェックに使用します。

インストール

アクティブアクティブHAクラスターでファイアウォールを展開するには、次の手順を実行してください。

1. -Microsoft Azure ポータルにサインインします。

2. 別のブラウザタブで、Sophos Firewall アクティブアクティブ HA デプロイメントテンプレートにアクセスしてください。

3. 「Azure へのデプロイ」をクリックして、Azure ポータルでテンプレートを起動します。

4. 次の設定を行います。

1. 「Next」をクリックします。

2. 「作成」をクリックします。

Azureは、トラフィックを効率的に管理するために、アクティブアクティブHAクラスタに2つのファイアウォールと、インバウンドおよびアウトバウンドロードバランサを展開し始めます。展開には通常、10〜15分かかります。

ファイアウォールに接続しています

Web管理コンソールまたはCommand-Lineインターフェース（CLI）を使用してファイアウォールに接続できます。

ファイアウォールVMのパブリックIPアドレス。

!!! tip "ヒント"

    外部ロードバランサーのDNS名を使用することもできます。

最初のファイアウォールに接続するには、`https://<外部負荷分散装置のパブリックIPまたはDNS名>:4444` を入力してください。
<ja-JP>- 第2のファイアウォールに接続するには、`https://<外部ロードバランサーのパブリックIPまたはDNS名>:4445` を入力してください。</ja-JP>

![Web管理コンソール。](../../images/AzureHALoadBalancingWebAdminConsole.png)

-   ユーザー名: 管理者
-   パスワード**展開中に作成した管理者パスワード**

ファイアウォールVMのパブリックIPアドレス。

次のportを使用する必要があります。

最初のファイアウォール: 2222
第2ファイアウォール：2223

CLIコンソール。

-   ユーザー名: 管理者
-   パスワード**展開中に作成した管理者パスワード**

ウォールの登録

Firewall を登録するには、以下の手順に従います。

1. ファーストファイアウォールにポート4444を使用して接続し、サインインしてください。 ファイアウォールに接続していますを参照してください。

2. 次のいずれかのオプションを選択してください。

3. 既存のシリアル番号がある

   このオプションを選択して、Sophosまたはパートナーから提供されたシリアル番号を入力してください。

4. シリアル番号がない (試用を開始)

   このオプションを選択して、30日間のトライアルを開始します。シリアル番号は自動的に生成されます。

   このオプションは、弊社のセットアップ例で使用されています。

1. 「続行」をクリックします。

2. 次のオプションをクリックして、Sophos Centralのファイアウォールを申請します:

3. タグペア2: Sophos Central でのクレーム

   既存のSophos Centralアカウントでファイアウォールを申請するには、このオプションを使用してください。

   このオプションは、弊社のセットアップ例で使用されています。

4. パートナーダッシュボード内のクレーム

   このオプションを使用して、パートナーアカウントを介してファイアウォールを申請してください。

5. **Sophos Central**に登録:

   このオプションを使用して、新しいSophos Centralアカウントを作成し、ファイアウォールを登録します。

1. 「ファイアウォールの追加要求」をクリックします。

このページには、シリアル番号、トライアルサブスクリプション、有効期限などの詳細が表示されます。

1. 「続行」をクリックします。

第2のファイアウォールについても同じ手順を繰り返します。

ロードバランサーのヘルスプローブを設定する

ロードバランサーのヘルスプローブを構成して、トラフィックが適切に流れ、ロードバランサーによって分散されることを確認できます。

外部および内部ロードバランサーのヘルスプローブを構成するには、両方のファイアウォールに外部および内部ロードバランサー用のゲートウェイとSD-WANルートを作成する必要があります。以下のような処理が行われます。

1. ファーストファイアウォールにポート4444を使用して接続し、サインインします。 ファイアウォールに接続していますを参照してください。

2. 次のように内部ロードバランサー用のゲートウェイを作成してください:

3. 「ルーティング」 > 「ゲートウェイ」に移動して、「追加」をクリックします。

4. 次の設定を行います。

   設定	値
   名前	内部ロードバランサーゲートウェイの名前を入力してください。例: Internal LB。
   ゲートウェイ IP	内部ロードバランサーのサブネットの最初のIPアドレスを入力してください。 この例では、10.54.11.1です。
   インターフェース	WAN インターフェイスを選択します。
   ゾーン	「なし」を選択します。

5. セキュリティ状態のチェックをオフにしますか。

6. 「保存」をクリックします。

7. 外部負荷分散装置用のゲートウェイを以下のように作成してください:

8. 「ルーティング」 > 「ゲートウェイ」に移動して、「追加」をクリックします。

9. 次の設定を行います。

   設定	値
   名前	外部負荷分散ゲートウェイの名前を入力してください。例: External LB。
   ゲートウェイ IP	外部ロードバランサのサブネットの最初のIPアドレスを入力してください。 この例では、10.54.22.1です。
   インターフェース	WAN インターフェイスを選択します。
   ゾーン	「なし」を選択します。

10. セキュリティ状態のチェックをオフにしますか。

11. 「保存」をクリックします。

1. 内部ロードバランサープロービング用のルートを以下のように作成します:

2. 「ルーティング > SD-WAN ルート」に移動し、「追加」をクリックします。

3. 次の設定を行います。

   設定	値
   名前	内部ロードバランサールートの名前を入力してください。
   ルートの位置	「最上位」を選択します。
   送信元ネットワーク	タグペア2を削除して、LANポートを選択します。 この例では、#PortAです。
   宛先ネットワーク	次のいずれかを削除し、新しい項目を追加して、AzureのマジックIPアドレス168.63.129.16のIPアドレスホストを作成します。
   プライマリゲートウェイとバックアップゲートウェイ	このオプションを選択します。
   プライマリゲートウェイ	作成した内部負荷分散ゲートウェイを選択してください。
   指定されたゲートウェイのみを経由してルーティングする	このオプションを選択します。

   

4. 「保存」をクリックします。

5. 外部ロードバランサーのプローブ用のルートを次のように作成します:

6. 「ルーティング > SD-WAN ルート」に移動し、「追加」をクリックします。

7. 次の設定を行います。

   設定	値
   名前	外部ロードバランサールートの名前を入力してください。
   ルートの位置	選択しますTop。
   送信元ネットワーク	Remove Any and select the WAN port. In this example, it's #PortB.
   宛先ネットワーク	Anyを削除し、新しいアイテムを追加をクリックして、AzureのマジックIPアドレス168.63.129.16のホストを作成してください。
   サービス	Any を削除し、HTTP を選択します。
   プライマリおよびバックアップゲートウェイ	このオプションを選択します。
   プライマリゲートウェイ	作成した外部ロードバランサーゲートウェイを選択してください。
   指定されたゲートウェイのみを経由してルーティングする	このオプションを選択します。

   

8. 「保存」をクリックします。

9. 外部ロードバランサールートが内部ロードバランサールートよりも優先されるようにしてください。この構成により、内部ロードバランサーの #PortA が正常にヘルスチェックプローブを通過できるようになります。

2つ目のファイアウォールに対してこれらの手順を繰り返します。

ヘルスプローブを検証する

ヘルスプローブステータスメトリックは、ロードバランサーの構成に基づいて、ファイアウォールインスタンスの健全性を示します。Azureは、新しい接続をどこにルーティングするかを決定するためにこのステータスを使用します。ヘルスプローブはAzureインフラストラクチャのIPアドレスから発信され、VMのオペレーティングシステム内で見えます。

セキュリティプローブ状態を検証するには、次の手順を実行します。

1. -Microsoft Azure ポータルにサインインします。

2. ロードバランサーに移動してください。検索バーで「ロードバランサー」も検索できます。

3. 確認するグループを選択します。

4. Click モニタリング > メトリクス.

5. タグペア2の下にある「メトリック」を選択し、タグペア3の「ヘルスプローブステータス」を選択してください。

6. 集約の下で、Avgを選択します。

1. 「Add」をクリックして、次の手順を実行します。

2. Propertyの下で、Backend IP address.を選択してください。

3. オペレーターの下で、\=を選択します。
4. の値の下で、監視したいIPアドレスを選択してください。

必要に応じて追加のフィルターを適用できます。

ファイアウォールIPアドレスのいずれも、ヘルスプローブのステータスが0にならないように注意してください。ステータスが0の場合、ファイアウォールは健全なインスタンスのプールから削除されます。

ファイアウォールを介してインターネットトラフィックをルーティングします。

内部ロードバランサーの背後にあるデバイスからのインターネットトラフィックをファイアウォールを介してルーティングするには、Azureのルートテーブルを構成し、ファイアウォールルールを作成してください。\

このセットアップにより、LANからのインターネットトラフィックが内部ロードバランサーを介して流れ、次いでロードバランシング方式を使用して両方のファイアウォールに分散されます。\

Microsoft Azure

In the Azure portal, do as follows:

1. Microsoft Azure ポータルにサインインします。

2. ルート テーブル へ移動してください。検索バーで「ルートテーブル」も検索することもできます。

3. 「作成」をクリックします。

4. 次の設定を行います。

1. 「確認して作成」をクリックします。

2. 「作成」をクリックします。

3. リソースに移動

4. 「関連付け」をクリックします。

5. 次の設定を行います。

1. 「OK」をクリックします。

   

2. クリックルートをクリックして、追加をクリックします。

3. 次の設定を行います。

   設定	値
   ルート名	名前を入力します。
   宛先の種類	「IP アドレス」を選択します。
   *宛先 IP アドレス/CIDR 範囲*：	「0.0.0.0/0」と入力します。
   次のホップの種類；	「仮想アプライアンス」を選択します。
   次のホップのアドレス:	内部ロードバランサーのIPアドレスを入力してください。 この例では、10.54.11.250です。

4. 「Add」(追加) をクリックします。

   

ファイアウォール

ファイアウォールで、次の手順を実行します。

1. 最初のファイアウォールにポート4444を使用して接続し、次にサインインしてください。 ファイアウォールに接続していますを参照してください。

2. 「ルールとポリシー > ファイアウォールルール」に移動します。

3. 「IPv4」プロトコルを選択します。

4. 「ファイアウォールルールの追加」をクリックし、「新しいファイアウォールルール」を選択します。

5. 次の設定を行います。

1. 「保存」をクリックします。

2つ目のファイアウォールに対してこれらの手順を繰り返します。

外部ロードバランサを介して内部デバイスへのアクセスを許可する

上記のネットワーク図を参照して、インターネットから10.54.11.6のRDPデバイスにアクセスする例を考えてみましょう。受信トラフィックはまず、健康チェックプローブを使用して可用性を判定し、その後トラフィックをファイアウォールの1つに転送する外部ロードバランサーに到達します。

Microsoft Azure

In the Azure portal, do as follows:

1. Microsoft Azure ポータルにサインインします。

2. ロードバランサーに移動してください。検索バーで「ロードバランサー」も検索できます。

3. 外部ロードバランサーを選択してください。

4. 設定 > ヘルスプローブ に移動し、追加 をクリックしてください。

5. 次の設定を行います。

1. 「保存」をクリックします。

1. 設定

2. 次の設定を行います。

1. 「保存」をクリックします。

2. 「ネットワークセキュリティグループ」を選択します。検索バーで「ネットワークセキュリティグループ」を検索することもできます。

3. ファイアウォールに関連付けられたNSGを選択してください。

4. 設定＞インバウンドセキュリティルールに移動し、追加をクリックしてください。

5. 次の設定を行います。

   設定	値
   送信元	Any を選択します。 より安全かつ具体的なルールを作成するために、RDP アクセスが必要な管理者やユーザーのパブリック IP アドレスのみを許可してください。
   宛先ポート範囲	「3389」と入力します。
   プロトコル	「TCP」を選択します。
   処理	選択してください 許可。
   Name	名前を入力します。

6. 「Add」(追加) をクリックします。

   

ファイアウォール

ファイアウォールで、次の手順を実行します。

1. 最初のファイアウォールにポート4444を使用して接続し、次にサインインしてください。 ファイアウォールに接続していますを参照してください。

2. 「ルールとポリシー > ファイアウォールルール」に移動します。

3. 「IPv4」プロトコルを選択します。

4. 「ファイアウォールルールの追加」をクリックし、「新しいファイアウォールルール」を選択します。

5. 次の設定を行います。

1. 「保存」をクリックします。

2. 「ルールとポリシー > NAT ルール」に移動します。

3. 「IPv4」プロトコルを選択します。

4. 「NAT ルールの追加 > 新しい NAT ルール」をSELECTします。

5. 次の設定を行います。

   設定	値
   ルール名	名前を入力します。
   変換前の送信元	「Any」を選択します。
   変換前の宛先	WANポートを選択してください。 この例では、#PortBです。
   変換前のサービス	タグペア2を削除し、作成したRDPサービスを選択してください。
   変換後の送信元 (SNAT)	「MASQ」を選択します。
   変換後の宛先 (DNAT)	ドロップダウンリストをクリックし、追加をクリックして、RDPサーバーのIPアドレスホストを作成します。 この例では、それは10.54.11.6です。
   変換されたサービス (PAT)	選択するオリジナル。

   

   タグペア2を（SNAT）からタグペア3（MASQ）に設定したため、RDPトラフィックはRDPサーバーに到達する前にファイアウォールのLAN IPアドレスに変換されます。これにより、リクエストトラフィックが1つのファイアウォールから内部ロードバランサー経由でルーティングされる際に発生する非対称ルーティングの問題が防止され、しかし、応答トラフィックが別のファイアウォールを経由して送信され、トラフィックフローが途切れることがありません。

6. 「保存」をクリックします。

2つ目のファイアウォールに対してこれらの手順を繰り返します。

トラブルシューティング

このセクションでは、AzureでアクティブアクティブHAクラスタを展開する際に発生する一般的な問題とそれらの解決策について説明します。

健康プローブが失敗する一般的な理由

ヘルスプローブが失敗する最も一般的な理由は次の通りです：

ポートまたはプロトコルが間違っています

    ヘルスプローブは、リスニングしていないポート、応答していないポート、または誤ったプロトコルを使用して構成されています。

    サービスがDirect Server Return（DSR）またはフローティングIPルールを使用している場合は、サービスがNICのIPアドレス構成でリッスンするようにし、フロントエンドIPアドレスにバインドされたループバックアドレスではないことを確認してください。

セキュリティ規則によってブロックされました

    次のセキュリティルールのいずれかによって、プローブがブロックされる可能性があります:

    ネットワークセキュリティグループ（NSG）のルール
    仮想マシンのゲストOSファイアウォール
    -   アプリケーション-レイヤフィルタリング

ファームウェアのアップグレード後、特別なルートが欠落しています

    オートメーションランブックによってインジェクトされたルートは、ファームウェアのアップグレードを行っても永続的ではありません。ファイアウォールのファームウェアをアップグレードした後、内部ロードバランサーの特別なルートを再注入するために自動化ランブックを再実行してください。

内部ロードバランサーの健康状態が不健康であるか、100% のプローブ損失を示しています

内部ロード バランサーの正常なヘルス プローブを有効にするために、Azure の IP アドレス `168.63.129.16` のルートがカーネル ルーティング テーブルに注入されます。これらのルートはファームウェアのアップグレードを跨いで持続しません。

ファイアウォールVMファームウェアをアップグレードした後、これらのルートはルーティングテーブルから削除されます。その結果、内部ロードバランサーのヘルスステータスが不健康となるか、両方のファイアウォールで100%のプローブ損失が表示されるため、ユーザーはインターネットアクセスを失う可能性があります。

内部ロードバランサープローブの健全な状態を復元するには、次の手順に従ってください。

1。  <p>In the Azure portal, go to <strong>ホーム</strong> > <strong>ネットワークセキュリティグループ</strong>。</p>
1。  ファイアウォールに関連付けられたNSGを選択してください。
1。  **Inbound security rules**の下にある**allow_ssh**をクリックし、次のようにします：

    1。  **ソース**の下で、**IPアドレス**を選択します。
    1。  <source>**Source IP addresses/CIDR ranges**</source>
        <target>**ソースIPアドレス/CIDR範囲**</target>
    1。  「保存」をクリックします。

    インバウンドセキュリティルール。

1。  **リソース グループ** の隣に、リソース グループをクリックします。

    リソース グループ。

1。  Runbookを検索して選択します。

    ![ランブック。](../../images/AzureHALoadBalancingRunbook.png)

1。  **編集**をクリック > **ポータルで編集**をクリック。
1。  各行の先頭に `#` を追加して、20行目から24行目までをコメントアウトします。

    ![ランブックの編集。](../../images/AzureHALoadBalancingRunbookEdit.png)

1。  **保存**をクリックし、次に**公開**をクリックして、最後に**はい**をクリックして確認してください。

    次回の実行サイクル中に更新されたスクリプトが実行されます。

1。  「**Start**」をクリックします**.
1。  最初のファイアウォールVMの詳細を使用して、以下の設定を構成してください。

    | 設定 | 値 |
    | --- | --- |
    **パスワード**|
    TransUnit内の翻訳例えば、`10.0.2.5`。|
    LANのゲートウェイIPアドレスを入力してください。<p>通常、これはAzureにおけるLANサブネットの最初のIPアドレスです。この例では、`10.0.2.1` です。|
    ホスト名 | **ホスト名** | DNS名または公開IPアドレスを入力してください。|
    TransUnit>
        <Translation>**sshport**例えば、ポート `2222`。|

    ![ランブック開始。](../../images/AzureHALoadBalancingRunbookStart.png)

    !!! tip "ヒント"

        インターフェースの詳細を表示するには、Azureポータルで**ホーム** > **ネットワークインターフェイス**に移動します。

1。  「**Start**」をクリックします**.

    成功した場合、ステータスは**完了**に変わり、ファイアウォールVMが再起動します。このプロセスは、Azure IP アドレス `168.63.129.16` のルートを再注入し、内部ロードバランサーのヘルスプローブを復元します。

    ランブックのステータスが完了しました。

1。  ファームウェアをアップグレードした後、第2ファイアウォールVMでも同じ手順を繰り返します。

    このプロセスを完了した後、両方のファイアウォールの内部ロードバランサーのヘルスプローブが100％の健全性に戻り、インターネット接続が復元されます。

1。  内部ロードバランサーの状態を確認するには、以下の手順を実行してください。

    1。  <p>In the Azure portal, go to **ホーム** > **リソースマネージャー** > **リソースグループ**、次にリソースグループを選択してください。</p>
    1。  クリック**内部ロードバランサー**。
    1。  クリック**モニタリング**＞**インサイト**。

        両方のファイアウォールには、緑色のチェックマークが表示されるはずです。

        内部ロードバランサーのインサイト。

1。  プロセスを完了した後、許可されたIPアドレスへのSSHアクセスを元に戻してください。以下のような処理が行われます。

    1。  <p>Azure ポータルで、**ホーム** > **ネットワークセキュリティグループ** に移動します。</p>
    1。  ファイアウォールに関連付けられたNSGを選択してください。
    1。  **Inbound security rules**の下、**allow_ssh**をクリックし、次のようにします:

        1。  **ソース**で、**IPアドレス**を選択してください。
        1。  **ソースIPアドレス/CIDR範囲**の下に、組織で許可されたIPアドレスを入力してください。
        1。  「保存」をクリックします。