Fortinet SD-WAN を使用した MVE の Azure 接続の作成
MVE(FortiGate)からAzure ExpressRouteへのネットワーク接続は、Virtual Cross Connections(VXC)で作成できます。プライベート接続、またはパブリック(Microsoft)接続のいずれかを作成することができます。
重要
始める前に、FortiManagerでMVE(FortiGate)を作成します。詳細については、MVEの作成を参照してください。
MVE および FortiManager への ExpressRoute 接続の追加には、3 つの部分があります。
-
ExpressRouteプランをセットアップし、AzureコンソールでExpressRoute回線を展開します。構築すると、サービスキーを取得します。詳細については、Microsoft ExpressRoute のドキュメンテーションを参照してください。
-
Megaport Portalで、MVEからExpressRouteのロケーションへの接続(VXC)を作成します。
-
FortiManagerで新しいインターフェイスを作成し、ExpressRoute接続の詳細を追加します。
このトピックでは、2番目と3番目の部分を順に説明します。
注意
Fortinet SD-WANのMVEでは、すべてのクラウド接続に対してFortiManagerとMegaport Portalの両方で設定の手順が必要です。
Megaport Portal での ExpressRoute 接続の追加
ExpressRouteの接続を設定するには、Megaport Portalで接続を作成する必要があります。
Megaport PortalからExpressRouteへの接続を作成するには
-
Megaport Portal で、 「Services(サービス)」ページに移動し、使用するMVEを選択します。
-
MVEの「+Connection(+接続)」をクリックします。
-
「Cloud (クラウド)」タイルをクリックします。
-
プロバイダーとして「Azure ExpressRoute」を選択します。
-
右側のパネルのフィールドに、ExpressRoute サービス キーを追加します。
ポータルはキーを確認してから、ExpressRouteリージョンに基づいて 使用可能なポートのロケーションを表示します。例えば、 ExpressRouteサービスが、シドニーのオーストラリア東部地域に構築されている場合、 シドニーのターゲットを選択できます。 -
最初の接続の接続ポイントを選択します。
2番目の接続を構築するには(これが推奨されます)、 2番目のVXCを作成します - 同じサービスキーを入力し、 別の接続ターゲットを選択します。設定画面には、Azure Resource Managerコンソールやチュートリアルビデオなどの リソースへの便利なリンクが 表示されます。
-
次の接続の詳細を指定します。
-
Connection Name (接続名) – Megaport Portal に表示される VXC の名前です。
-
Service Level Reference (サービス レベル参照) (オプション) – コスト センター番号や一意の顧客 ID など、請求目的で使用する VXC の識別番号を指定します。サービス レベル参照番号は、請求書の「Product (プロダクト)」セクションの各サービスに表示されます。また、既存のサービスのこのフィールドを編集することもできます。
注意
パートナー マネージド アカウントは、サービスにパートナー ディールを適用することができます。詳細については、「取引をサービスに関連付ける」をご覧ください。
-
Rate Limit (帯域制限) – これは Mbps 単位の接続速度です。VXC の帯域制限は、ExpressRoute サービス キーに基づいて許容される最大値に制限されます。
-
Preferred A-End VLAN (優先 A エンド VLAN) (オプション) – この接続で未使用の VLAN ID を指定します (ExpressRoute の場合は S-Tag)。これは、この MVE の一意の VLAN ID である必要があり、2 から 4093 の範囲で指定できます。既に使用されている VLAN ID を指定すると、次に使用可能な VLAN 番号が表示されます。注文を続行するには、VLAN ID が一意である必要があります。値を指定しない場合は、Megaport が値を割り当てます。
-
Configure Single Azure Peering VLAN (単一 Azure ピアリング VLAN の構成) – デフォルトでは、MVE についてこのオプションが有効化されています。Fortinet SD-WAN を使用する場合は、このまま有効にしておくことを強くお勧めします。
このオプションは、シングルタグVLANのソリューションを提供します。MVEのVLAN(Aエンド)とAzureに設定されたピアVLAN(Bエンド)でAzureにピアリングを設定します。なお、このオプションでは、VXCごとに1つのピアリングタイプ(プライベートまたはMicrosoft)しか設定できません。重要
このオプションを有効にしないと、VXCはアクティブに見えますが、トラフィックを認識しません。
-
Azure Peering VLAN (Azure ピアリング VLAN) – この値は、A エンドの VLAN と一致する必要があります。
-
-
「Next(次へ)」をクリックして注文プロセスを続行します。
VXCの設定が完了すると、VXCのアイコンが緑色になります。
Azure Resource Managementコンソールでは、プロバイダーのステータスが「Provisioned(プロビジョニング済み)」になります。
プロビジョニングされたら、ピアリングを設定する必要があります。プライベートピアリングとMicrosoftピアリングを設定することができます。設定する相手をクリックして、次の詳細を入力します。
- Peer ASN (ピア AS 番号) – MVE の AS 番号を入力します。
- IPv4 Subnets (IPv4 サブネット) – これらの各サブネットから、MVE は最初の使用可能な IP アドレスを使用し、Microsoft は 2 番目に使用可能な IP をルーターに使用します。
- VLAN ID – MVE から A エンドの VLAN を入力します。(注:AzureコンソールのVLAN IDは、AエンドVLANとは異なる可能性があります。)
- Shared Key (共有キー) – 必要に応じて、BGP の MD5 パスワードを入力します。
FortiManager への ExpressRoute 接続の追加
MVEからAzureへの接続を作成し、Azureコンソールで接続を設定した後、FortiManagerで設定を行う必要があります。これには、インターフェイスの作成、BGPの設定、AS番号、VLAN、MD5値の設定が含まれます。
FortiManagerでAzure Cloud接続を追加するには
-
Azureコンソールから接続の詳細を収集します。
この接続用にAzureで作成した接続の詳細を表示します。Peer ASN(ピアAS番号)、Shared Key(共有キー)、VLAN ID、IPv4 Primary Subnet(IPv4プライマリサブネット)の値に注意してください。 -
Megaport Portalから接続情報を収集します。
MVEからのAzure接続の歯車アイコンをクリックし、「Details(詳細)」ビューをクリックします。 AエンドVLANの値に注意してください。 -
FortiManagerにログインします。
注意
MVE インスタンスにログインすることもできます。https://<mve-ip-address>
-
管理対象デバイスから、「System(システム)」メニューを開き、「Interface(インターフェイス)」を選択します。
ページには、物理インターフェイスとしてport1が表示されます。 -
「+Create New(新規作成)」 > 「Interface(インターフェイス)」をクリックし、次の情報を入力します。
- Interface Name (インターフェイス名) – インターフェイスのわかりやすい名前を指定します。
- Alias Name (エイリアス名) – 必要に応じて、別の名前を指定します。
- Type (タイプ) – VLAN を選択します。
- Interface (インターフェイス) – 親インターフェイス: 「port1」を選択します。
- VLAN ID – Megaport Portal でこの Azure 接続に一覧表示されている A エンド VLAN を指定します。
- Role (ロール) – Undefined (未定義) を選択します。
- Addressing Mode (アドレッシング モード) – Manual (手動) を選択します。
- IP/Netmask (IP/ネットマスク) – これらの値は、Azure コンソールで確認できます。IPアドレスとCIDRが「IPv4 Primary Subnet(IPv4プライマリサブネット)」フィールドに表示されます。MVEは最初の使用可能なIPアドレスを使用し、Azureは2番目の使用可能なIPをルーターに使用します。このフィールドには、MVEの(最初に使用可能な)IPアドレスを入力します。
- Administrative Access(管理者アクセス) - HTTPS、PING、SSHなど、このインターフェイスにアクセスする方法を指定します。
- DHCP Server(DHCPサーバー) - 「OFF」をクリックします。
-
「OK」をクリックします。
新しいVLANインターフェイスは、物理的なインターフェイスであるport1
に表示されます。
FortiOSからexecute ping
コマンドを実行して接続を確認することができます。
注意
MVEに設定をプッシュする必要がありますが、これはAutoUpdate(自動更新)を設定している場合に起こります。ping が成功しない場合は、FortiManager の「Manage Devices(デバイスの管理)」で MVE を選択し、「More(詳細)」メニューから「Refresh Device(デバイスの再表示)」を選択します。プロンプトが表示されたら、「Config Status(コンフィグのステータス)」でAutoUpdate(自動更新)を選択します。
この時点で、インターフェイスの作成が完了し、次にBGPセッションを作成する必要があります。
-
FortiManagerで「Router(ルーター)」 > 「BGP」に移動します。
-
次の情報を入力します。
- Local AS (ローカル AS) – MVE 接続用の AS 番号を入力します。AzureコンソールのPeer ASN(ピアAS番号)を使用します。
- Router ID (ルーター ID) – Azure コンソールから IPv4 プライマリ サブネットの最初に使用可能な IP アドレスを入力します。
-
「Neighbors(ネイバー)」で、「+Create New(新規作成)」をクリックします。
- ネイバーIPに、AzureコンソールのIPv4 Primary Subnet(プライマリサブネット)の2つ目の使用可能なIPアドレスを追加します。
-
Remote ASN(リモートAS番号)には、Azure側のASNの12076を入力します。
これは固定値で、Azureコンソールの接続詳細に表示されます。 -
「OK」をクリックします。
-
「Apply(適用)」をクリックします。
ネイバーは設定されていますが、AzureコンソールでBGP認証情報を定義した場合は、これを追加する必要があります。(これはオプションでした。)Webインターフェイスではこの定義ができないため、コマンドラインを使用してBGPの詳細を追加する必要があります。 -
秘密鍵ファイルを使ってMVEインスタンスにSSH接続します。
例:
ssh -i ~/.ssh/megaport-mve-instance-1-2048 admin@162.43.143.XX
-
これらのコマンドを使用して、BGPネイバーのパスワードを追加します。
Azure 接続の確認
次のコマンドを使って、CLIから接続状態を含む接続の詳細を確認することができます。
get system interface
– デバイスのインターフェイスの構成の詳細と現在のステータスを表示します。get router info bgp neighbor <ip-address>
– BGP ネイバーの構成の詳細と現在のステータスを表示します。