©2014 Check Point Software Technologies Ltd. 1 ©2014 Check Point Software Technologies Ltd AWS R77.30 セットアップガイド [Restricted] ONLY for designated groups.

©2014 Check Point Software Technologies Ltd. 2 チェック・ポイントの Software Blade が Amazon Public Cloud 上で展開可能となりましたチェック・ポイントの Software Blade が Amazon Public Cloud 上で展開可能となりました Amazon パブリック・クラウド用仮想アプライアンス Public Cloud Amazon Web Services 向け先進のセキュリティ！ 2

©2014 Check Point Software Technologies Ltd. 3 Amazon VPC トポロジーと構成要素 Internet 1 2 3 プライベート・サブネットの AWS EC2 インスタンスインターネット接続（直結または VPN ） Check Point VPC 用仮想アプライアンス Amazon VPC アマゾン VPC インターネットゲートウェイ 1 4 4 3 2

©2014 Check Point Software Technologies Ltd. 5 クラウド上でのネットワーク攻撃から防御攻撃パターンの検知 SQL インジェクション攻撃攻撃者 Firewall & IPS Software Blades チェック・ポイントバーチャル・アプライアンスお客様向けサーバ Firewall と IPS Software Blades すべての DB の内容を閲覧しよう・・・

©2014 Check Point Software Technologies Ltd. 10 想定構成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 100(eth0) 100(eth1) VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント

©2014 Check Point Software Technologies Ltd. 11 環境概要 VPC としては 10.0.0.0/16 の空間を利用外部セグメントとして 10.0.0.0/24 を利用内部セグメントとして 10.0.1.0/24 を利用 – このセグメント内の Web サーバを保護 SG には自身の IP アドレスと Web サーバ用の IP アドレスの 2 つを割り当てる EIP も同様に SG 用と Web サーバ用の 2 つを割り当てる –EIP1 ←→ 10.0.0.100 (SGアクセス用) –EIP2 ←→ 10.0.0.101 (Webサーバ用) SG は Static NAT を行い、 Web サーバへの通信を行う

©2014 Check Point Software Technologies Ltd. 13 VPC 作成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 17 外部セグメント作成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント VPC 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 18 外部セグメント作成 [Restricted] ONLY for designated groups and individuals VPC VPC 環境内に外部セグメントを作成します。外部サブネットを作成する VPC と、割り当てるサブネット (10.0.0.0/24) を指定します。 “testX_Ext-Net“ で入力して下さい “testX_VPC” を選択

©2014 Check Point Software Technologies Ltd. 20 内部セグメント作成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント VPC 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 21 内部セグメント作成 [Restricted] ONLY for designated groups and individuals VPC VPC 環境内に内部セグメントを作成します。内部サブネットを作成する VPC と、割り当てるサブネット (10.0.1.0/24) を指定します。 “testX_Int-Net“ で入力して下さい “testX_VPC” を選択

©2014 Check Point Software Technologies Ltd. 23 Internet Gateway 作成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント VPC 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 25 Internet Gateway 作成 [Restricted] ONLY for designated groups and individuals VPC Internet Gateway と VPC を紐付けます。紐付ける VPC(testX_VPC) を指定します。 “testX_VPC ” を選択

©2014 Check Point Software Technologies Ltd. 27 外部セグメント用ルーティング設定 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント VPC 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 28 ルート・テーブル作成 [Restricted] ONLY for designated groups and individuals VPC 外部セグメントで使用するルート・テーブルを作成します。ルート・テーブルを作成する VPC (testX_VPC) を選択します。 “testX_SG-Route” で入力して下さい “testX_VPC” を選択

©2014 Check Point Software Technologies Ltd. 30 ルート・テーブル作成 [Restricted] ONLY for designated groups and individuals VPC デフォルトルート (0.0.0.0/0) が、 Internet Gateway に向くように設定します。ヒント： Internet Gateway の名前は Internet Gateways ページで確認します。

©2014 Check Point Software Technologies Ltd. 34 Security Group (AWS 標準セキュリティ ) 設定 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント VPC 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 35 Security Group 作成 [Restricted] ONLY for designated groups and individuals VPC 各インスタンスが使用する Security Group ( PermissiveSecGrp ) を作成します。ヒント：デフォルトの Security Group は限られた通信しか許可されません (SG に通信が到達しない ) 。そのため、特別な Security Group を作成します。

©2014 Check Point Software Technologies Ltd. 36 Security Group 作成 [Restricted] ONLY for designated groups and individuals VPC Security Group の名前 ( PermissiveSecGrp ) と、 Security Group を作成する VPC を指定します。 “testX_PerSecGrp“ で入力して下さい “testX_VPC ” を選択

©2014 Check Point Software Technologies Ltd. 39 Security Group 作成 [Restricted] ONLY for designated groups and individuals VPC Security Group ( PermissiveSecGrp ) が作成されました。この Security Group を使用すると、すべての通信が許可されます。

©2014 Check Point Software Technologies Ltd. 41 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 44 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals AWS Marketplace で “Check Point” で検索します。 ”PAYG” ではないイメージ (BYOL) を選択します。 EC2 ヒント： PAYG はライセンス込みのインスタンスになります。利用時間に応じて Amazon 経由で R77.30 使用料が課金されます。どちらのモデルも 15 日間の評価機期間があります。

©2014 Check Point Software Technologies Ltd. 45 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals インスタンスタイプを選択します。ここでは、 “c4.large ” を選択しています。 EC2 ヒント：選択可能なタイプはリリースノートを参照してください。未対応のタイプでの動作は保障されません。

©2014 Check Point Software Technologies Ltd. 46 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals SG インスタンスを設置する VPC とサブネット ( 外部セグメント :10.0.0.0/24) を指定します。【次ページに続く】 EC2 “testX_VPC” を選択 “testX_Ext-Net” を選択

©2014 Check Point Software Technologies Ltd. 47 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals 1. SG インスタンスに割り当てる外部セグメント側の IP アドレス (10.0.0.100) を指定します。 EC2 2. 内部セグメント用にインタフェース (eth1) を追加します。

©2014 Check Point Software Technologies Ltd. 54 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals ssh でアクセスするための証明書キーを作成し、ローカルに保存します。 ※ キーペアのダウンロード後に、 ” インスタンスの作成 ” ボタンがクリックできるようになります。 EC2 “testX” と入力し、 “ キーペアのダウンロード ” をクリックします

©2014 Check Point Software Technologies Ltd. 58 SG インスタンス作成 [Restricted] ONLY for designated groups and individuals EC2 SG インスタンスが作成されました。インスタンスのタイプにより running 状態になるまで時間がかかることがあります。作成後、 Name の欄に “testX_SG” と入力します。

©2014 Check Point Software Technologies Ltd. 59 送信先 / 送信元の変更チェック無効化 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント EC2 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 60 送信先 / 送信元の変更チェック無効化 [Restricted] ONLY for designated groups and individuals Security Gateway 宛 ( 発 ) 以外の通信も送受信できるようにします。 EC2 ヒント：デフォルトでは、自身宛 ( 発 ) 以外の通信しか送受信しません ( パケットが到達しません ) 。

©2014 Check Point Software Technologies Ltd. 64 SG への EIP 割り当て [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 66 SG への EIP 割り当て [Restricted] ONLY for designated groups and individuals EC2 取得した EIP を SG に割り当てます。 EIP を割り当てる SG インスタンスと対応する IP アドレス (10.0.0.100) を指定します。 “testX_SG” を選択

©2014 Check Point Software Technologies Ltd. 68 SG への EIP 割り当て (Web サーバ用 ) [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 69 SG への Secondary IP 割り当て (Web サーバ用 ) [Restricted] ONLY for designated groups and individuals 内部の Web サーバに対応する IP アドレスを SG に割り当てます。 EC2 ヒント：インターネットからは、 EIP→10.0.0.101→10.0.1.200 と 2 段階に NAT されて Web サーバにアクセスされます。

©2014 Check Point Software Technologies Ltd. 72 SG への Secondary IP 割り当て (Web サーバ用 ) [Restricted] ONLY for designated groups and individuals ヒント：セカンダリ IP アドレスは SG 側では特に設定を行う必要はありません。セカンダリ IP 宛ての通信は IG が SG の外部インタフェースにルーティングしてくれます。 EC2

©2014 Check Point Software Technologies Ltd. 74 SG Secondary IP に EIP 割り当て (Web サーバ用 ) [Restricted] ONLY for designated groups and individuals Web サーバ用 EIP を SG の Secondary IP に割り当てます。 EC2 EIP を割り当てるインタフェースと対応する IP アドレスを指定します。ヒント：インタフェース名は Network Interfaces ページで事前に確認しておきます。

©2014 Check Point Software Technologies Ltd. 77 SG GAiA 管理者パスワード設定 GAiA ssh で SG 用 EIP にアクセスします。証明書を利用し、 “admin” ユーザでログインします。デフォルトでは admin ユーザにパスワードが設定されていないため、パスワードを設定し、設定を保存します。 ※ パスワードは ”P@ssw0rd” と設定してください。

©2014 Check Point Software Technologies Ltd. 79 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals ブラウザで SG の EIP に https でアクセスします。 ※ 初回アクセス時に証明書のエラーが表示されますが、続けてアクセスしてください。 GAiA

©2014 Check Point Software Technologies Ltd. 80 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals 通常の製品と同様に First Time Configuration Wizard が起動しますので、手順に従います。ここではシングル構成でセットアップします。 GAiA

©2014 Check Point Software Technologies Ltd. 82 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals GAiA eth0 にはインスタンス作成時に指定した IP アドレス (10.0.0.100) が設定されています。この IP アドレスを変更することはできません。

©2014 Check Point Software Technologies Ltd. 83 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals GAiA メーカサイト (UserCenter) へ接続するインタフェースを選択する画面となりますが、特に変更せずに次に進めます。

©2014 Check Point Software Technologies Ltd. 85 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals GAiA 次に、日付や時刻の設定画面が表示されます。日付や時刻に大きなズレがないことを確認して次に進めます。 ※ NTP 連携は実施しません。

©2014 Check Point Software Technologies Ltd. 87 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals GAiA 展開する製品・機能の選択画面が表示されます。 “Security Gateway” 及び ”Security Management” にチェックが入っていることを確認し、次に進めます。

©2014 Check Point Software Technologies Ltd. 88 SG First Time Configuration Wizard [Restricted] ONLY for designated groups and individuals GAiA 管理ツール (SmartConsole) でアクセスする際のアカウントを作成します。管理者名 : fwadmin パスワード : P@ssw0rd に設定します。

©2014 Check Point Software Technologies Ltd. 98 Web サーバ設定 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 115 内部セグメント用ルーティング設定 [Restricted] ONLY for designated groups and individuals SG Web サーバ 10.0.0.0/24 10.0.1.0/24 VPC: 10.0.0.0/16 200 仮想 IP: 101 EIP1 ・・・ SG 用 EIP2 ・・・ Web サーバ用 SG : Security Gateway IG 外部セグメント内部セグメント 100(eth0) 100(eth1)

©2014 Check Point Software Technologies Ltd. 116 Web サーバ用ルートテーブル作成 [Restricted] ONLY for designated groups and individuals Web サーバ ( 内部セグメント ) で使用するルート・テーブルを作成します。 VPC ルート・テーブルは VPC で使用します。 testx_WebRoute と設定します。

©2014 Check Point Software Technologies Ltd. 118 Web サーバ用ルートテーブル作成 [Restricted] ONLY for designated groups and individuals デフォルト・ルート (0.0.0.0/0) が SG の内部インタフェースに向かうようにします。 SG の内部インタフェースは EC2 の Network Interface ページで調べておきます。 VPC

©2014 Check Point Software Technologies Ltd. 126 SG トポロジー設定 [Restricted] ONLY for designated groups and individuals トポロジーを正しく設定します。 “Get” ⇒ ”Interface with Topology..” を選択します。正しく設定できると、以下のような状態に更新されます。 eth0 (10.0.0.100): External eth1 (10.0.1.100): Internal GUI

©2014 Check Point Software Technologies Ltd. 127 Web サーバ・オブジェクト ( 外部 ) [Restricted] ONLY for designated groups and individuals Web サーバ用のオブジェクトを作成するために、画面右下にある ”Nodes” の項目を右クリックして、オブジェクトの作成画面を表示させます。 GUI

©2014 Check Point Software Technologies Ltd. 128 Web サーバ・オブジェクト ( 外部 ) [Restricted] ONLY for designated groups and individuals Web サーバの外部側での IP アドレスのオブジェクトを作成します。 NAT および FireWall ルールで使用します。 Name : Web-SV-ext IPv4 Address : 10.0.0.101 GUI

©2014 Check Point Software Technologies Ltd. 129 Web サーバ・オブジェクト ( 内部 ) [Restricted] ONLY for designated groups and individuals 外部側のオブジェクトと同じ流れで、 Web サーバの内部側での IP アドレスのオブジェクトを作成します ( 実際の IP アドレス ) 。 NAT および FireWall ルールで使用します。 Name : Web-SV-int IPv4 Address : 10.0.1.200 GUI

©2014 Check Point Software Technologies Ltd. 131 NAT ルールの説明 [Restricted] ONLY for designated groups and individuals 1. デフォルトで入っている Office Mode 用 NAT ルール ( 削除可 ) 2. デフォルトで入っている Office Mode 用 NAT ルール ( 削除可 ) 3. インターネットから Web サーバ (10.0.0.101) 宛ての通信を 10.0.1.200 宛てに変換 4.Web サーバ (10.0.1.200) からの通信を 10.0.0.101 からの通信に変換

©2014 Check Point Software Technologies Ltd. 133 ルール説明 [Restricted] ONLY for designated groups and individuals 1. インターネットから SG への ssh / https 通信を許可 2. インターネットから Web サーバへの http / ssh 通信を許可 3.Web サーバからインターネットへの http/dns 通信を許可 4. 上記以外はドロップ

©2014 Check Point Software Technologies Ltd. 1 ©2014 Check Point Software Technologies Ltd AWS R77.30 セットアップガイド [Restricted] ONLY for designated groups.

Similar presentations

Presentation on theme: "©2014 Check Point Software Technologies Ltd. 1 ©2014 Check Point Software Technologies Ltd AWS R77.30 セットアップガイド [Restricted] ONLY for designated groups."— Presentation transcript:

Similar presentations

About project

フィードバック

ログインする

Auth with social network:

©2014 Check Point Software Technologies Ltd. 1 ©2014 Check Point Software Technologies Ltd AWS R77.30 セットアップガイド [Restricted] ONLY for designated groups.

Similar presentations

Presentation on theme: "©2014 Check Point Software Technologies Ltd. 1 ©2014 Check Point Software Technologies Ltd AWS R77.30 セットアップガイド [Restricted] ONLY for designated groups."— Presentation transcript:

Similar presentations

About project

フィードバック