IBM Cloud: VPCにF5 BIG-IP Virtual Editionを導入してみた

この記事は2020年に記述したものであり、現在では古くなっています。代わりに以下の記事を参照することを推奨します。
IBM Cloud: VPCにF5 BIG-IP Virtual Editionを導入してみた（2022年10月改訂版）

1. はじめに

IBM CloudのVPCではVirtual Network Function(VNF)機能が、allow-listに追加されたユーザーにだけベータで利用が可能になっている。執筆時点（2020/11/21)時点では、F5 BIG-IP Virtual Editionのみが利用可能。今回はそのベータ申請を実施して、その機能を試してみた。
なお、当面はBYOL(Bring Your Own License)での提供のようなので、ライセンスは別途取得する必要がある。今回は、30日のトライアルライセンスをここから申請し、メールに送付されてきたライセンス情報を利用した。

2. 注文方法

(allow-listに追加されたユーザーであれば）カタログからF5を検索すれば、対象のタイルが表示される。

以下は、画面に沿って値を入力していくだけである。特に何も指示がない限りはデフォルトを選択すればよい。

F5 BIG-IPの導入は内部的にはIBM Cloud Schematics（実装はTerraform）を使っているので、そのworkspace名を指定する必要がある。

以下、必須とされる箇所は赤枠で囲んだ。今回は、必須とされる箇所以外では、data_1_X_subnet_idとtmos_admin_passwordしか指定しておらず、それ以外はデフォルトの値を利用した。
ライセンス情報は後から入力可能なので、noneのままでよい。
なお、TMOSはF5製品のOS(Operating System)であり、adminはブラウザアクセス用の管理IDである。

3. プロビジョニング

IBM Cloud Schematicsのworkspace上で淡々とプロビジョニングが実施される。5分程度で完了する。

4. プロビジョニング後の状態

management interfaceには新たにFloating IP（今回の例では162.xxx.xxx.xxx）が割り当てられ、Public IP経由でアクセス可能な形でプロビジョニングされてくる。
気をつけなければいけないのは、defaultのsecurity groupではなく、新たにsecurity groupが生成されており、しかもそのsecurity groupは全ての通信を許可するような構成になっていることである。よって、Inboundだけでも早々に通信元を制限するように構成変更することが望ましい。

5. CLIによるログイン確認

バージョン情報の確認

Shinobu-no-MacBook-Pro:~ yasuda$ ssh [e-mail]
The authenticity of host '162.xxx.xxx.xxx (162.xxx.xxx.xxx)' can't be established.
ECDSA key fingerprint is SHA256:EbX3CRCZnmwKCpwgOphdoEE00HsKaYJ/f0sF3j6Q6/k.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '162.xxx.xxx.xxx' (ECDSA) to the list of known hosts.
[root@f5-ve-01:NO LICENSE:Standalone] config # tmsh
root@(f5-ve-01)(cfg-sync Standalone)(NO LICENSE)(/Common)(tmos)# show sys version

Sys::Version
Main Package
  Product     BIG-IP
  Version     15.1.0.4
  Build       0.0.6
  Edition     Point Release 4
  Date        Thu Jun 18 20:31:45 PDT 2020

6. Web Consoleへのログイン確認とSetup Utilityの完了

https://162.xxx.xxx.xxx/にアクセスすると以下の画面が出てくる。

• UserIDはadmin、Passwordはtmos_admin_passwordで設定した値を利用。
  
• Setup Utilityが起動している。Nextを選択。
  
• Activateを選択
  
• ライセンス情報を入力してNextを選択。
  
• Acceptを選択。
  
• 一連の処理が完了した後に、Log inを選択。
  
• 再度ログインしなおす
  
• Setup Utilityを再度選択
  
• Licenseが登録されていることを確認
  
• Platformにて、TimezoneをUTC->Japanに変更。RootAccount: Disable Loginを選択するか、パスワードを設定するかを必ず指定しないといけないようであり、コンソールアクセスは引き続き必要なため、適切なパスワードを設定。SSH IP Allowは、Security Groupで制限しているので今回は設定しない。
  
• これ以上は設定ウィザードに従う必要はないので、NetworkにてAdvanced Network ConfigurationのFinishedを選択。
  
• Setup Utilityが完了し、一旦セットアップは完了。