OCIJP#33_NetworkFirewall

Slide 1

Slide 1 text

OCI で Network Firewallがリリースされたら自由研究しないわけがない - OCIjp#33 -

Slide 2

Slide 2 text

2 Copyright © 2022 Atomitech Inc. All rights reserved. ⼤森信哉 @shinpy 株式会社アトミテッククラウドサービス事業である (クラウディ)を担当福島県会津若松市在住（リモート）インフラエンジニア、エバンジェリスト、営業（マーケティング）、いろいろクラウド案件：OCI 7割、AWS 1割、Azure 1割、他1割好きなOCIサービス：DRG（だいなみっくるーてぃんぐげーとうぇい）

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

6 Copyright © 2022 Atomitech Inc. All rights reserved. Network Firewallとは１ u次世代の管理対象ネットワーク・ファイアウォールで、Palo Alto Networks®を搭載したOracle Cloud Infrastructure VCNの侵入検出および防止サービス ※参照= https://docs.oracle.com/ja-jp/iaas/Content/network-firewall/overview.htm 1. IPS/IDSが使える！ 2. URLフィルタリング等の各フィルタリング 3. SSL検査 4. トラフィック検査 UTMをマネージドで使える！！

Slide 7

Slide 7 text

Slide 8

Slide 8 text

8 Copyright © 2022 Atomitech Inc. All rights reserved. Network Firewallとは３ u参考資料（今回検証時に参照したサイト） • 公式ドキュメント https://docs.oracle.com/ja-jp/iaas/Content/network-firewall/overview.htm • 公式ブログ？：OCI Network Firewall - Concepts and Deployment https://www.ateam-oracle.com/post/oci-network-firewall---concepts-and-deployment • Youtube：Oracle Cloud Infrastructure Network Firewall Overview https://www.youtube.com/watch?v=AlwQQQOl5qw

Slide 9

Slide 9 text

9 Copyright © 2022 Atomitech Inc. All rights reserved. 検証構成 VCN_172.17.0.0/16 ORACLE CLOUD INFRASTRUCTURE (ap-Tokyo-1) ＆ AD1 PrivateSubnet 172.21.10.0/24 PublicSubnet 172.17.1.0/24 インターネット Internet Gateway NAT Gateway 端末 PublicSubnet 172.17.0.0/24 Network Firewall (254) WEB01 (208) WEB02 (144) Bastion (181) PWEB (10) LB DNS u情報 1. NW • VCN：172.17.0.0/16 • PublicSubnet • 172.17.0.0/24 • 172.17.1.0/24 • PlibateSubnet • 172.17.10.0/24 2. DNS • LB =flb.shinpy.info • Bastion＝bastion.shinpy.info • PWEB =pweb.shinpy.info 3. Routeng • PublicSubnetはNetworkFirewallを通過するように設定 ※実画面で説明

Slide 10

Slide 10 text

Slide 11

Slide 11 text

11 Copyright © 2022 Atomitech Inc. All rights reserved. デモの補⾜ uIGW（インターネット・ゲートウェイ）に「ルート表の関連付け」が必要 uルート表で、プライベートIP指定のルーティング設定が必要（ターゲットをNFWにする） ※ 構成図を書いて設計推奨！！ uIDS（侵入検知）のログは「”action” : “alert”」で検出確認 uIPS（侵入防御）のログは「 ”action” : “reset-both”」や「 ”action” : “drop”」で防御確認 ※ “reset-both”は送信元と先にRST（リセット）パケットを送信

Slide 12

Slide 12 text

12 Copyright © 2022 Atomitech Inc. All rights reserved. 感想 uちょっとお高めだが、マネージドなのでそこは楽そう！ • ある程度の規模、IPS/IDS必須等の要件時は良さそう ※ フロントにあるサーバ（VM）全てにIPS/IDSを搭載したソフトを導入するより1台で済む • UTMをマネージドしてくれる（パッチ等が自動のはず） • SR対象範囲？であれば、サポート付きなのでお得？！ u 慣れが必要 • パロアルト製品に慣れている方は吸収しやすい？！（私はFortiGateがいい。。。 • 直感で設定できなかったので、マニュアルやブログを活用して設定する。 ※利用料金が高いので検証もタイトにしたい u その他 • 既存のOCI環境への導入は敷居が高い → ルーティング設定変更するので。。。 • WAFとの連携でより強固なセキュリティを提供 • URLフィルター設定が上手くいかない！（宿題）