みなさん、こんにちは！

前回までの手順で、Palo AltoをAWSに導入するための基礎的な準備が整いました。
本記事では、Palo AltoのEC2インスタンスの構築を行い、さらにAWS側の周辺設定について解説します。

Palo Altoのインスタンスを構築

マネジメントコンソールにログインし、EC2サービスを開きます。
次に「インスタンス」メニューからインスタンスの起動をクリックします。
表示された画面で「アプリケーションおよび OS イメージ (Amazon マシンイメージ)」の検索欄に「Palo」と入力して検索します。

検索すると、AWS Marketplace AMI に以下の VM-Series が表示されます。
利用するライセンス形態や必要な機能に応じて、適切な AMI を選択してください。
今回は IPS／アンチウイルス／アンチスパイウェアなどのセキュリティ機能を検証するため、「VM-Series Next-Gen Virtual Firewall w/Advanced Threat Prevention (PAYG)」を選択します。

ここでは、利用するライセンス形態や必要な機能について説明します。

AMI 名	ライセンス形態	説明
VM-Series Virtual Next-Generation Firewall (BYOL)	BYOL（Bring Your Own License）	機能はライセンスに依存（Threat Prevention / URL Filtering / WildFire などは別途契約
VM-Series Next-Gen Virtual Firewall w/ Advanced Security Subs (PAYG)	PAYG（従量課金）	Threat Prevention、URL Filtering、WildFire、GlobalProtect 等のサブスクリプションがセット
VM-Series Next-Gen Virtual Firewall w/ Advanced Threat Prevention (PAYG)	PAYG（従量課金）	Threat Prevention（IPS / アンチウイルス / アンチスパイウェア等）中心

AMI を選択したら、「今すぐ購読」をクリックすると、カタログから対象の OS イメージが表示されます。
そのまま進めて、インスタンスの名前も設定していきます。

インスタンスタイプを選択します。
AWS では、Palo Alto の VM-300 相当の性能を発揮するために、c5n.xlarge 以上のインスタンスを利用することが推奨されています。
今回は検証目的のため、最小構成として c5n.xlarge を選択します。

https://docs.paloaltonetworks.com/vm-series/10-0/vm-series-deployment/about-the-vm-series-firewall/vm-series-models/vm-series-system-requirements.html#idb04eb16a-3824-4d10-ae65-2f440608f87b

インスタンスへの初回ログインは SSH で行うため、キーペアが必要です。
画面の指示に従ってキーペアを作成し、作成したキーペアはローカル環境にダウンロードして保管しておきましょう。

ネットワーク設定の編集をクリックし、Palo Alto を展開する VPC を選択します。
サブネットは「管理用ネットワーク」となるものを選びましょう。
また、パブリック IP の自動割り当ては無効化しておきます。
Palo Alto がセキュリティ機能を最新の状態に保つためのダイナミック更新でインターネット接続を必要となりますが、後ほどEIPを割り振ってEINと関連付けします。
最後にセキュリティグループを選択します。
「既存のセキュリティグループ」を選び、事前に作成しておいたものを指定してください。

ストレージ容量は60GBに設定します。
ログをEC2内部で多く溜めなければ60GBのままで問題ありませんので、そのまま進めます。

設定を確認してインスタンスを起動していきます。

インスタンスの起動を待つ間に、並行して他の設定作業を進めていきましょう。

ENIを追加作成

PaloAltoのインスタンスにアタッチする、Trust,UntrustとDMZ接続用のENIを作成します。
マネジメントコンソールでEC2にアクセス後、左ペインから「ネットワークインターフェイス」をクリックし、右ペインから「ネットワークインターフェイスの作成」をクリックします。

まず、Palo Alto の Trust 側インターフェイスとなる ENI を作成します。
サブネットは Trust 用サブネットを選択します。インターフェイスタイプは「EA」を指定して、IPv4 Private IP は Custom を選択し、固定 IP を割り当てます。
（ここではTrust＝10.0.11.254に割り当てています）

次に、セキュリティグループを選択し、任意のタグ名を付けて作成をクリックします。

同じ手順で、Untrust 側および DMZ 側の ENI も作成します。
まずはUntrustから作成していきます。（ここではUntrust＝10.0.12.254に割り当てています）

次に、セキュリティグループを選択し、任意のタグ名を付けて作成をクリックします。

最後はDMZ側の ENI も作成します。（ここではDMZ＝10.0.13.254に割り当てています）

次に、セキュリティグループを選択し、任意のタグ名を付けて作成をクリックします。

ENIの送信元チェックを無効化(アタッチされるENI全部に実施)

Palo Alto は NAT を行うため、ENI には IP アドレス変換が発生します。
このため、作成した ENI では送信元／送信先チェックを無効化する必要があります。
設定を忘れると、Palo Alto 側の設定が正しくても通信が通らなくなるので注意してください。
無効化が必要な ENI は以下の 4 つです。

PaloAltoのTrustインターフェイスになるENI
PaloAltoのUntrustインターフェイスになるENI
PaloAltoのDMZインターフェイスになるENI
PaloAltoの管理用インターフェイスになるENI

先ほどの手順で作成したENIを選択し、右クリックのメニューから「アクション」をクリックして「送信元/送信先の変更チェック」をおします。

「送信元/送信先のチェック」を「有効化」のチェックを外して、「保存」をクリックします。

他の ENI についても同様に設定してください。

ENIをPaloAlto用のインスタンスにアタッチする

PaloAltoのインスタンスに作成したENIをアタッチします。
マネジメントコンソールでEC2にアクセス後、左ペインから「インスタンス」をクリックします。
PaloAltoのインスタンスをクリックして選択後、右クリックして「ネットワーキング」→「ネットワークインターフェイスのアタッチ」をクリックします。

アタッチするネットワークインターフェースを選択して「アタッチ」をクリックします。アタッチするのは下記3つのENIで、上から順にアタッチしていきます。

PaloAltoのDMZインターフェイスになるENI
PaloAltoのTrustインターフェイスになるENI
PaloAltoのUntrustインターフェイスになるENI

同様の手順で他のENIもアタッチしてください。
3 つの ENI のアタッチが完了すると、下記のようにEC2 インスタンス上で確認できる ENI の一覧に新しいインターフェイスが追加されます。
これにより、正常にアタッチできたことを確認できます。

PaloaltoのENIにEIPをアタッチ

まず、EIPを取得します。
マネジメントコンソールでEC2にアクセス後、左ペインから「Elastic IP」をクリックします。
「Elastic IP アドレスの割り振る」をクリックして、「Amazon の IPv4 アドレスプール」が選択されていることを確認して、「割り振る」をクリックします。
関連付けするのは以下の２つのENIとなります。

PaloAltoの管理インターフェイスになるENI
PaloAltoのUntrustインターフェイスになるENI

問題なければ、EIPアドレスが正常に割り当てられましたと表示されます。

確保したEIPをENIに割り当てます。
EIPをクリックし、「アクション」から「Elastic IPアドレスの関連付け」をクリックします。
リソースタイプはネットワークインターフェースを選択して、Paloaltoの管理のENIを選びます。
プライベートIPアドレスはPaloaltoの管理に割り当てられているプライベート IPを指定して関連付けるをクリックします。

設定が終わると、アソシエーション IDが登録されています。

同様の手順でPaloAltoのUntrustインターフェイスになるENIもEIP関連付けを行ってください。

ここまでで、Palo Alto 用インスタンスの作成と AWS 周辺環境の構築が完了しました。
次回の手順では、各セグメントへのWebサーバおよび管理サーバ用インスタンスの作成を進めていきたいと思います。