建立與 Check Point 整合的 MVE

本主題說明如何建立並設定搭配 Check Point 的 Megaport Virtual Edge（MVE）。

備註

Check Point 的架構與許多其他防火牆廠商不同。

Check Point 使用集中式的安全管理伺服器（原則伺服器）來管理並設定其安全閘道器，包含 MVE。安全管理伺服器會定義安全性原則並將其分發至閘道器，由閘道器強制執行這些原則。

初始存取與管理

使用 vNIC 0 與裝置進行初始通訊。
將 vNIC 0 設定為未標記，以允許首次管理員登入。
Check Point 防火牆預設停用網際網路控制訊息協定（ICMP）。您無法在部署完成後立即使用 ping 或其他以 ICMP 為基礎的工具來驗證連線。
在 MVE 上線後，請透過 SSH 或 HTTPS 登入。

原則與進階設定

請使用 Check Point Smart Console 進行進階設定與原則管理。您必須先完成 Smart Console 的設定，才能建立或發佈防火牆原則。
部署管理閘道器（安全管理伺服器）以定義並分發防火牆原則。您可以在任何 CSP 環境中部署該管理閘道器。

如需自動化 Check Point CloudGuard 部署的相關資訊，請參閱 CloudGuard Network Security - How to configure cloud-init automation 與 How to provide user data in KVM with Configuration Drive。

基本步驟

本節摘要說明使用 Megaport Portal 的設定步驟。詳細程序會在此基本步驟摘要之後提供。

基本步驟如下：

從 Check Point 取得授權。
在 Megaport Portal 中建立 Check Point MVE。Check Point 的架構與許多其他防火牆廠商不同，因其使用中央 Security Management Server（Policy Server）來管理與設定其 Security Gateways。
確認連線已在 Check Point 入口網站上建立。

產生 SSH 金鑰組

您透過公開/私密 SSH 金鑰配對連線至您的 MVE，以建立安全連線。公開 SSH 金鑰可讓您使用 SSH 存取 MVE。

Megaport 支援 2048 位元 RSA 金鑰類型。

產生 SSH 金鑰配對（Linux/Mac OSX）

在終端機中輸入 ssh-keygen 指令。

 ssh-keygen -f ~/.ssh/megaport-mve-instance-1-2048 -t rsa -b 2048

金鑰產生指令會建立一組 SSH 金鑰配對，並在您的 ~/.ssh 目錄中新增兩個檔案：

megaport-mve-instance-1-2048 - 包含私密金鑰。
megaport-mve-instance-1-2048.pub - 包含已授權登入供應商帳戶的公鑰。

在 Windows（使用 PuTTYgen）產生 SSH 金鑰配對

開啟 PuTTYgen。
在 Key 區段中，選擇 RSA 2048 bit，然後按一下 Generate (產生)。
在小視窗中隨機移動滑鼠以產生金鑰配對。
輸入金鑰註解以識別金鑰。
當您使用多把 SSH 金鑰時，這會很方便。
輸入金鑰密語，並再次輸入以確認。
此密語用於保護您的金鑰。當您透過 SSH 連線時，系統會要求您輸入該密語。
按一下 Save private key (儲存私密金鑰)，選擇位置，然後按一下 Save (儲存)。
按一下 Save public key (儲存公鑰)，選擇位置，然後按一下 Save (儲存)。

稍後您會在 Megaport Portal 複製並貼上公鑰檔案的內容，以將公鑰分發至 MVE。您的私密金鑰會與該公鑰相符以授予存取權。只有單一私密金鑰可透過 SSH 存取 MVE。

在 Megaport Portal 中建立 MVE

建立 MVE 時，請選擇支援 MVE 且與您的網路設計相容的大都會區位置。您可以將多個位置連線到單一 MVE。如需位置詳細資料，請參閱規劃您的部署。

您可以在同一個大都會區內部署多個 MVE，以達到備援或擴充容量的目的。

建立 MVE

在 Megaport Portal 中，前往 Services (服務) 頁面。
按一下 Create MVE (建立 MVE)。
選取 Check Point CloudGuard Network。
選取軟體版本。

此 MVE 將設定為與該版本的 Check Point CloudGuard 相容。
按一下 Next (下一步)。
指定 MVE 詳細資料：
- Location (位置) – 選取 MVE 的位置。
  
  選擇在地理位置上接近您目標分支與／或內部部署位置的站點。
  
  您選擇的國家必須是您已註冊的市場。
  
  若您尚未在將部署 MVE 的位置註冊計費市場，請依照啟用計費市場中的程序進行。
  
  您可以使用 Search (搜尋) 欄位來尋找目的地 Port 的名稱、國家、都會城市或地址。您也可以依多樣性區域進行篩選。
- Diversity Zone (多樣性區域) – 選取一個多樣性區域。
  
  您可以選擇 Red 或 Blue，或選擇 Auto 讓 Megaport 為您選擇區域。所選或指派的多樣性區域會在後續佈建流程中的位置詳細資料，以及最後的摘要頁面上顯示。
  如需詳細資訊，請參閱MVE 多樣性。
- Size (大小) – 從可用大小清單中選擇。可用的大小會以綠色反白並標示為 Available (可用)。不同大小支援不同數量的並行連線，且各合作夥伴產品的指標會略有差異。
  
  備註
  
  如果您想要的 MVE 大小未出現在清單中，表示所選位置的可用容量不足。您可以選擇其他具有足夠容量的位置，或聯絡您的客戶經理洽談需求。
- Minimum Term (最短合約期限) – 選擇無最短合約期限、12 個月、24 個月、36 個月、48 個月，或 60 個月。較長的合約期限可享有較低的月費。12 個月 為預設選項。請留意畫面上的資訊，以避免產生提前終止費用（ETF）。
  
  針對 12、24、36、48 或 60 個月期的服務，啟用最短合約期限續約選項，可在合約期滿時以相同的折扣價格與合約期間自動續約。若您未續約，於合約期滿時，合約將在下一個計費期間自動轉為按月合約，價格相同，但不再享有期限折扣。
  
  如需詳細資訊，請參閱MVE 定價與合約條款。
按一下 Next (下一步)。
指定 Check Point CloudGuard 特定設定：
- Admin Password (系統管理員密碼) – 指定一組暫用的系統管理員密碼，您將使用它來存取此虛擬設備。密碼至少需 8 個字元，且必須包含：
  - 1 個大寫字母 (A-Z)
  - 1 個小寫字母 (a-z)
  - 1 個數字 (0-9)
  - 1 個符號
  請妥善保存系統管理員密碼，切勿與他人分享。您可以在首次登入已設定的設備時重設系統管理員密碼。
  
  備註
  
  Megaport 不會儲存客戶密碼。
- SSH Key – 將您的公用 SSH 金鑰內容複製並貼到此處。您可以在先前產生的 megaport-mve-instance-1-2048.pub 檔案中找到公鑰。
- Virtual Interfaces (vNICs) – 每個 Check Point MVE 都會配置一個名為 Data Plane 的 vNIC。若要變更名稱，請在方塊中直接覆寫名稱文字。MVE 佈建完成後，您也可以再變更 vNIC 名稱。
- Megaport Marketplace – 預設情況下，每項服務皆僅供您的企業私有使用，並從 Megaport 網路消耗服務資源，僅用於您公司的內部團隊與資源。當設定為私有時，該服務不會在 Megaport Marketplace 中被搜尋到；然而，其他人仍可使用服務金鑰連線至您。Megaport Marketplace 的可見性由您的 Megaport Marketplace 個人檔案控制。若需將您的服務顯示於 Megaport Marketplace 的方式，請參閱將服務新增至您的個人檔案。
按一下 Next (下一步)。
指定選用設定：
- MVE Name (MVE 名稱) – 輸入便於識別的 MVE 名稱，特別是當您打算佈建多個時。此名稱會顯示在 Megaport Portal 中。
  
  MVE 名稱會依據位置名稱自動產生，並顯示於摘要頁面。您可以輸入自訂名稱以覆寫它。
- Service Level Reference (服務層級參考) （選用） – 指定一組用於計費用途的 Megaport 服務唯一識別編號，例如成本中心編號、唯一的客戶 ID，或採購單號。此服務層級參考編號會在發票的 Product 區段中為每個服務顯示。您也可以為現有服務編輯此欄位。
- Resource Tags (資源標籤) – 您可以使用資源標籤為 Megaport 服務新增您自訂的參考中繼資料。
  若要新增標籤：
  1. 按一下 Add Tags（新增標籤）。
  2. 按一下 Add New Tag（新增標籤）。
  3. 在欄位中輸入詳細資料：
    - Key（鍵） – 字串最大長度為 128。有效值為 a-z 0-9 _ : . / \ -
    - Value（值） – 字串最大長度為 256。有效值為 a-z A-Z 0-9 _ : . @ / + \ -（空格）
  4. 按一下 Save（儲存）。
  如果您已經為該服務建立資源標籤，您可以按一下 Manage Tags（管理標籤） 來進行管理。
  
  警告
  
  請勿在資源標籤中包含敏感資訊。敏感資訊包括會傳回現有標籤定義的指令，以及可識別個人或公司的資訊。
在摘要頁面確認設定與定價。

每月費率會依位置與大小而定。
按一下 Add MVE (新增 MVE)。

系統會提示您建立 Megaport Internet 連線。Megaport Internet 連線可提供連線能力，並讓 MVE 能夠向 Check Point CloudGuard 註冊與通訊。overlay 網路由 Check Point CloudGuard 建立與維護，以從各分支位置提供安全通道。

建立 Megaport Internet 連線

按一下 Create Megaport Internet (建立 Megaport Internet) 繼續（建議），或按一下 Not now (稍後再設定) 以便稍後再佈建網際網路存取。

備註

MVE 需要透過管理平面虛擬介面連線到網際網路。您可以佈建 Megaport Internet 連線，或使用私有 VXC 設定第三方網際網路連線。我們強烈建議您在初始 MVE 啟動與部署時建立 Megaport Internet 連線，以確保 MVE 能正確佈建並正常運作。
選取目標 Port（網際網路路由器）。
Megaport Internet 連線的 B 端可以位於任何提供 Megaport Internet 的位置。
您可以使用 Search (搜尋) 欄位來尋找目的地 Port 的名稱、國家、都會城市或地址。您也可以依多樣性區域進行篩選。
按一下 Next (下一步)。
指定連線詳細資料：
- Connection Name (連線名稱) – 您的 Megaport Internet 連線在 Megaport Portal 中顯示的名稱。
- Service Level Reference (服務層級參考) （選用） – 指定一組用於計費用途的 Megaport 服務唯一識別編號，例如成本中心編號、唯一的客戶 ID，或採購單號。此服務層級參考編號會在發票的 Product 區段中為每個服務顯示。您也可以為現有服務編輯此欄位。
  
  提示
  
  將 Megaport Internet 連線與 MVE 使用相同的 Service Level Reference 編號，有助於在您的帳單中識別配對。
- Rate Limit (速率上限) – 您連線的速率（以 Mbps 計）。速率上限可自 20 Mbps 起設定，並可依需求以 1 Mbps 的增量擴充至數個 Gbps 或更高。可用的速率分級可能會因位置與服務類型而異。您可在建立 Megaport Internet 連線後，視需要變更速率。每月計費明細會依位置與速率上限顯示。
- VXC State (VXC 狀態) – 選取 Enabled (已啟用) 或 Shut Down (關機) 以定義連線的初始狀態。欲知詳細資訊，請參閱為進行容錯移轉測試而關閉 VXC。
  
  備註
  
  若您選擇 Shut Down (關機)，流量將不會透過此服務傳送，且在 Megaport 網路上會呈現為中斷狀態。但此服務的計費仍會持續，您仍需為此連線付費。
- Preferred A-End VLAN (偏好 A 端 VLAN) (選填) – 按一下 Untag (移除標記) 以移除 VLAN 標記，並允許第一次以系統管理員身分登入設備。
- Minimum Term (最短合約期限) – 選擇無最短合約期限、12 個月、24 個月、36 個月、48 個月，或 60 個月。較長的合約期限可享有較低的月費。12 個月 為預設選項。請留意畫面上的資訊，以避免產生提前終止費用（ETF）。
  
  針對 12、24、36、48 或 60 個月期的服務，啟用最短合約期限續約選項，可在合約期滿時以相同的折扣價格與合約期間自動續約。若您未續約，於合約期滿時，合約將在下一個計費期間自動轉為按月合約，價格相同，但不再享有期限折扣。
  
  如需詳細資訊，請參閱Megaport Internet 定價與合約條款與VXC、Megaport Internet 與 IX 之計費。
- Resource Tags (資源標籤) – 您可以使用資源標籤為 Megaport 服務新增您自訂的參考中繼資料。
  若要新增標籤：
  1. 按一下 Add Tags（新增標籤）。
  2. 按一下 Add New Tag（新增標籤）。
  3. 在欄位中輸入詳細資料：
    - Key（鍵） – 字串最大長度為 128。有效值為 a-z 0-9 _ : . / \ -
    - Value（值） – 字串最大長度為 256。有效值為 a-z A-Z 0-9 _ : . @ / + \ -（空格）
  4. 按一下 Save（儲存）。
  如果您已經為該服務建立資源標籤，您可以按一下 Manage Tags（管理標籤） 來進行管理。
  
  警告
  
  請勿在資源標籤中包含敏感資訊。敏感資訊包括會傳回現有標籤定義的指令，以及可識別個人或公司的資訊。
按一下 Next (下一步) 以前往連線詳細資料摘要。
按一下 Add VXC (新增 VXC) 以訂購此連線。
在「Configured Services」區域按一下 Review Order (檢閱訂單)。
若您有促銷代碼，按一下 Add Promo Code (新增促銷代碼)，輸入代碼後，按一下 Add Code (新增代碼)。
按一下 Order Now (立即下單)。

訂購 MVE 後，系統會佈建設備並從 Megaport SDN 指派 IP 位址。MVE 的佈建通常只需數分鐘即可完成。佈建程序會啟動一個 Check Point CloudGuard 執行個體。

後續步驟

當 MVE 佈建完成且狀態為 Active 後，下一步是將 VXC 連線到 Cloud Service Provider（CSP）、本地連接埠，或第三方網路。您也可以選擇透過私有 VXC 將實體 Port 連接到 MVE，或在 Megaport Marketplace 中連接至服務供應商。

如需詳細資訊，請參閱建立 VXC。