1. はじめに
一般的には、VCFaaSでインターネットアクセスする際のPublic IPは、
- inbound trafficは、Customer Edge(T1)でDNATしてからユーザーのVMに到達する
- outbound trafficは、Customer Edge(T1)でSNAT/Masquaradeされてインターネットに出ていく。
といったFloating IPが割り当てられている。しかし、こうしたNATをCustomer Edge(T1)で実施することなく直接自分で操作したいとか、セキュリティーアプライアンスを配置したいとか、独自のIPSec VPNソフトウェアを構築したいとかという要件を満たすために、VMに直接IPアドレスを割り当てる方法も存在する。本稿ではその方法を紹介する。
2. Public IP address (without NAT)のためのIP Prefixを注文する
以下のdocsにあるように、Customer Edge(T1)に割り当てるIPアドレス（Floating IP
https://cloud.ibm.com/docs/vmware-service?topic=vmware-service-vcd-ops-guide#vcd-ops-guide-additional-ips
Requesting additional public IP addresses
You can open an IBM Support ticket to request additional public IP addresses on VDCs with public-private networking. Each ticket can include a request for either four NAT/Floating IPs or a public IP prefix. IP prefix requests can include a single /30 (two contiguous addresses) or /29 (six contiguous addresses).
- Use NAT/Floating addresses similar to the initial eight public addresses. You must configure the addresses to NAT from the public network to the Cloud Director private networks.
- Use IP prefix addresses to connect Cloud Director VMs directly to the public network without a NAT. The edge firewall is used to control public egress and ingress.
Provide the following details in the IBM Support ticket:
- The IP address type: NAT/Floating IPs or IP Prefix
- The VDC ID that includes the edge to add the IP addresses against
- The name of the edge gateway or the provider gateway in the VDC to add additional IP addresses
なお、/30ではtwo contiguous addressesと書いてあるが、その一方はdefault gateway用のIPになるので、実質利用できるのは1個だけである。例えばCaseには以下のように起票すればいいだろう。
Subject:
Please assign the public IP prefix addresses without NAT for VCFaaS
Description:
Please assign the public IP prefix addresses(/30), as we'd like to connect the Cloud Director VMs directly to the public network without NAT. I'd like to try the following usecase.
https://cloud.ibm.com/docs/vmware-service?topic=vmware-service-vcd-ops-guide#vcd-ops-guide-additional-ips
> Use IP prefix addresses to connect Cloud Director VMs directly to the public network without a NAT. The edge firewall is used to control public egress and ingress.
Region: Tokyo
VDC name: xxxxx
VDC ID: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Public IP Address(without NAT)のIP prefixが割り当てられると、VMware Cloud Director上では以下で割り当ての確認が可能である。
以下では、161.xx.xx.228/30が割り当てられたため、
- 161.xx.xx.228: Network Address
- 161.xx.xx.229: Gateway Address
- 161.xx.xx.230: VMに割り当てるAddress
- 161.xx.xx.231: Broadcast Address
として扱う。
3. Routed Networkの作成
あとはデフォルトのまま作成。
4. VMの作成
161.xx.xx.230をVMに割り当てる。
5. Firewall ruleの修正
私の端末のIPからこのPublic IPのみをSSHで許可する。
6. 疎通テスト
syasuda@MacBook-Pro ~ % ssh root@161.xxx.xx.230 -i .ssh/id_rsa
（無事SSHアクセス成功）
[root@gateway01 ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: ens192: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
link/ether 00:50:56:02:19:d1 brd ff:ff:ff:ff:ff:ff
altname enp11s0
inet 161.xxx.xx.230/30 brd 161.xxx.xx.231 scope global noprefixroute ens192
valid_lft forever preferred_lft forever
inet6 fe80::250:56ff:fe02:19d1/64 scope link
valid_lft forever preferred_lft forever
[root@gateway01 ~]# ip r
default via 161.xxx.xx.229 dev ens192 proto static metric 100
161.xxx.xx.228/30 dev ens192 proto kernel scope link src 161.xxx.xx.230 metric 100
[root@gateway01 ~]# cat /var/log/secure
（途中略）
Jul 24 02:47:05 gateway01 sshd[5290]: Accepted publickey for root from 111.xxx.x.xxx port 61465 ssh2: RSA SHA256:cGMDJ5foiwrw++tGsoDtQgJxrxWf2g0Itxob5ErenGg
Jul 24 02:47:05 gateway01 sshd[5290]: pam_unix(sshd:session): session opened for user root(uid=0) by root(uid=0)
(途中略）
7. アドバンストな構成
VCFaaSではVRRPが稼働するので、例えば既存でvSRXなどを仮想アプライアンスを構成していた場合は、IBM CloudのClassic Infrastructureの構成に似せた、以下のような構成も可能だと思われる。
