はじめに

AWS Transit GatewayとSD-WANを簡単に接続することができる「AWS Transit Gateway Connect」を触ってみました。アプライアンス(SD-WAN)側はFortiGate-VMを使用しました。
なお、AWS側の設定は、以下のドキュメントを参考にしています。

AWS Transit Gateway Connect

詳しくは上記リンク先通りですが、各社SD-WANとTransit Gatewayを簡単に接続できるようにしたものです。
SD-WAN側はVPCへ仮想アプライアンスを設置し、仮想アプライアンスとTransit Gatewayを今回の機能であるConnectアタッチメントを使用して接続します。
仮想アプライアンスとTransit Gateway間は、IPSecではなく、GREを使用します。ルーティングプロトコルはBGPのみサポートします。

FortiGate-VM

Firewall製品で有名なFortinet社ForiGateのVM版となります。AWSではMarketPlaceを通じて利用することができます。課金は従量制とBYOLが用意されています。
今回使用するものは以下となります。

環境

構成
メインは黄色枠の「Transit Gateway Connect」ですが、FortiGate間のVPNを絡めた、一般的であろう構成にしてみました。
構築後、ServerA,B～ServerC間でPingによる疎通ができることが確認できればOKとします。
※FortiGate-VMのPublic addressは構築中にElastic IPを取得するため、ここでは未確定としています。
バージョン等
- FortiGate-VM: 7.0.0
- Server A,B,C: Amazon Linux 2

構築

VPC,Transit Gateway,EC2の作成　※Transit Gateway Connect周り, FortiGate-VM除く

本題では無いため、CloudFormationで一気に作成します。
※Transit Gateway Connect関連とFortiGate-VMは後ほど手動で構築します。
※構築後に稼働確認を行うため、各ServerへSession Managerを使用して接続できるようにCloudFormationへ必要な設定を組み込んでおきます。
※AWS CLIを使用するため、事前にセットアップしておきます。

バージニア

CloudFormationテンプレートは最後の補足を参照。

aws cloudformation validate-template --template-body file://010-UsVpcEc2.yml

aws cloudformation deploy --stack-name handson-tgw-connect --template-file 010-UsVpcEc2.yml --region us-east-1 --capabilities CAPABILITY_NAMED_IAM

東京

CloudFormationテンプレートは最後の補足を参照。

aws cloudformation validate-template --template-body file://020-JpVpcEc2.yml

aws cloudformation deploy --stack-name handson-tgw-connect --template-file 020-JpVpcEc2.yml --region ap-northeast-1 --capabilities CAPABILITY_NAMED_IAM

(バージニア)Transit GatewayへCIDR(192.0.2.0/24)の割り当て

Transit Gateway Connectは、割り当てたCIDRからGREで使用するアドレスを割り当てます。
[VPC]-[TRANSIT GATEWAY]-[Transit Gateway]から上記で作成済みのTGWを選択→[Modify]→[Transit Gateway CIDR blocks]の順で進み「192.0.2.0/24」を追加します。

(バージニア)各VPCへTransit Gateway向きのルートの追加

[VIRTUAL PRIVATE CLOUD]-[ルートテーブル]から、以下のように各VPCのルートテーブルへ上記で作成済みのTGWをターゲットとしたルートを追加します。

VPC A
上記で作成済みのTGWをターゲットとしたデフォルトルートを追加します。
VPC B
上記で作成済みのTGWをターゲットとしたデフォルトルートを追加します。
Connect VPC
上記で作成済みのTGWをターゲットとしたVPC A,B及び「192.0.2.0/24」宛てのルートを追加します。

(バージニア)Transit Gateway Connectの作成

[VPC]-[TRANSIT GATEWAY]-[Transit Gateway接続]から[Create Transit Gateway Attachment]をクリックし以下のように設定します。

項目	設定内容
Transit Gateway ID	上記で作成済みのTGW
Attachment type	Connect
Attachment name tag	任意
Transport Attachment ID	tgw_handson_us-connectvpc ※FortiGate-VMが存在するVPC

[VPC]-[TRANSIT GATEWAY]-[Transit Gateway接続]から上記のConnect Attachmentを選択し、[Connect peers]から[Create Connect peer]をクリックします。
Connect Peerは以下のように設定します。
※「Transit Gateway GRE address」は未入力の場合、自動でアサインされます。
※BGPアドレスは「BGP inside CIDR blocks」から3つ自動でアサインされます。
　挙動としては、Peer GRE address、Transit Gateway BGP 1 address、Transit Gateway BGP 2 addressの順にアサインされるようです。

(バージニア)FortiGate-VMの作成

[EC2]-[インスタンス]-[インスタンス]から[インスタンスを起動]をクリックします。
[AWS Marketplace]を選択し"fortigate"を検索後「Fortinet FortiGate Next-Generation Firewall」を選択します。

[Continue]をクリックします。

「ステップ 2: インスタンスタイプの選択」では、[t2.small]を選択し、次へ進みます。

「ステップ 3: インスタンスの詳細の設定」では、[ネットワーク]は「tgw_handson_us-connectvpc」を選択、[ネットワークインターフェース]-[eth0]-[プライマリIP]は「172.31.0.11」と入力し、次へ進みます。
※上記以外はデフォルトのままで問題ありません。

「ステップ4:ストレージの追加」は何もせず、次へ進みます。
「ステップ 5: タグの追加」では、キーと値へ識別し易い名称を入力し、次へ進みます。

「ステップ 6: セキュリティグループの設定」では、以下のように設定し、[確認と作成]へ進みます。

操作	タイプ	プロトコル	ポート範囲	ソース	補足
変更	SSH	TCP	22	管理者オフィスのIP
変更	HTTP	TCP	80	管理者オフィスのIP
変更	HTTPS	TCP	443	管理者オフィスのIP
削除	カスタムTCP	TCP	541	0.0.0.0/0	今回未使用
削除	カスタムTCP	TCP	3000	0.0.0.0/0	今回未使用
削除	カスタムTCP	TCP	8080	0.0.0.0/0	今回未使用
新規	カスタムプロトコル	47	all	0.0.0.0/0	TGW ConnectとのGRE
新規	カスタムプロトコル	50	all	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - ESP
新規	カスタムUDP	UDP	500	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - IKE
新規	カスタムUDP	UDP	4500	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - NAT-T
新規	すべてのICMP	ICMP	0 - 65535	10.0.0.0/8	疎通確認用

[起動]をクリックします。キーペアは[キーペアなしで続行]とし、[インスタンスの作成]をクリックします。
[EC2]-[ネットワーク&セキュリティ]-[Elastic IP]から「Elastic IPアドレスの割り当て」を行い、上記のFortiGate-VMへ関連付けを行います。

ブラウザから「https://FortiGate-VMのパブリックIP」もしくは「https://パブリックDNS」へアクセスします。ブラウザによっては(自己署名のため)「潜在的なセキュリティリスク」と表示しますが、そのまま続行します。

[Accept]をクリックします。

[Username]は「admin」、「Password」は「インスタンスID」を入力し[Login]をクリックします。

[Old Password]は「インスタンスID」、「New Password」「Confirm Password」は「任意のパスワード」を入力し[OK]をクリックします。

再度、認証画面が表示するため、「admin」「任意のパスワード」を入力します。

[Begin]をクリックします。

[Hostname]へ「FortiGate-VM-US」を入力し、[OK]をクリックします。

そのまま[OK]をクリックします。

[Don't show again]へチェックを入れ、[OK]をクリックします。

GREの設定を行います。CLIからのみ設定が可能です。
右上の「>_」をクリックし、CLI Consoleを開きます。

GREトンネル及びTunnelインタフェースの設定を行います。

config system gre-tunnel
    edit "tunnel1"
        set interface port1
        set local-gw 172.31.0.11
        set remote-gw 192.0.2.1
    next
end
config system interface
    edit "tunnel1"
        set ip 169.254.10.1 255.255.255.255
        set allowaccess ping
        set type tunnel
        set remote-ip 169.254.10.2 255.255.255.255
        set interface port1
    next
end

設定後、右上の[x]をクリックし、CLI Consoleを閉じます。
[Network]-[Interfaces]から「tunnel1」が作成されていることを確認します。

BGPの設定を行います。
東京のサブネットをTGWへアドバタイズするためにASパスプリペンドの設定を行います。
ASパスプリペンドの設定が無いと、TGW側でサブネット情報を受信してもTGWのルートテーブルへ反映しないようです。

[Network]-[Routing Objects]から[Create New]-[Prefix List]の順に選択します。
Prefix Listは以下のように設定します。

同様に[Create New]-[Route Map]の順に選択します。
Route Mapは以下のように設定します。
[Match IP address]は上記Prefix Listを選択、[Set AS path]は「99」を入力。

[Network]-[BGP]から以下のように設定します。
「Local AS」「RouterID」「Neighbors」「Networks」を設定します。
[Neighbors]は「IP：169.254.10.2」「Remote AS：64512」「Route map out：as-path-prepend-route-map」を設定します。

(補足)
上記設定後に再度何らかの理由でRouteMapを変更した場合は、設定を反映させるためにCLI ConsoleからBGPハードクリアを行います。

execute router clear bgp all

BGPの状態を確認します。
Next Hopに「169.254.10.2」が表示していればTransit Gateway ConnectとBGPのコネクションが確立できています。

# get router info bgp network
VRF 0 BGP table version is 2, local router ID is 169.254.10.1
Status codes: s suppressed, d damped, h history, * valid, > best, i - internal,
              S Stale
Origin codes: i - IGP, e - EGP, ? - incomplete

   Network          Next Hop            Metric LocPrf Weight RouteTag Path
*>i10.1.0.0/16      169.254.10.2           100    100      0        0 i <-/1>
*>i10.2.0.0/16      169.254.10.2           100    100      0        0 i <-/1>
*> 10.99.0.0/16     0.0.0.0                       100  32768        0 i <-/1>
*>i172.31.0.0       169.254.10.2           100    100      0        0 i <-/1>

Total number of prefixes 4

(バージニア)確認1

[VPC]-[TRANSIT GATEWAY]-[Transit Gateway接続]から"tgw-connect01"を選択し、[Connect peers]から上記で作成したConnect peerから[Transit Gateway BGP 1 Status]が「UP」であることを確認します。
※「Transit Gateway BGP 2 Status」はFortiGate-VM側で設定していないため「DOWN」のままで問題ありません。

[VPC]-[TRANSIT GATEWAY]-[Transit Gatewayルートテーブル]から今回作成したルートテーブルを選択し、[Routes]をクリックします。
「10.99.0.0/16」のルートがあることを確認します。FortiGate-VMからBGPでルートを正常に受信できていることが分かります。

(バージニア)VPCへFortiGate-VM宛てのルートの追加

[VIRTUAL PRIVATE CLOUD]-[ルートテーブル]から「tgw_handson_us-connectvpc-public」を選択し、ルートを追加します。
上記で作成したFortiGate-VMをターゲットとした東京宛てのルートを追加します。

(バージニア)FortiGate-VMの「送信元/送信先チェック」の無効化

[EC2]-[インスタンス]-[インスタンス]から「FortiGate-VM-US」を選択し、右クリック[ネットワーキング]-[ソース/宛先チェックを変更]をクリックします。「送信元/送信先チェック中」の「停止」へチェックを入れ[保存]をクリックします。

(東京)FortiGate-VMの作成

上述の「(バージニア)FortiGate-VMの作成」を参照し、ForiGate-VMを作成します。
以降は(バージニア)と異なる箇所のみ記載します。

「ステップ 3: インスタンスの詳細の設定」では、[ネットワーク]は「tgw_handson_jp」を選択、[ネットワークインターフェース]-[eth0]-[プライマリIP]は「10.99.1.11」と入力し、次へ進みます。
※上記以外はデフォルトのままで問題ありません。

「ステップ 5: タグの追加」では、キーと値へ識別し易い名称を入力し、次へ進みます。

「ステップ 6: セキュリティグループの設定」では、以下のように設定し、[確認と作成]へ進みます。

操作	タイプ	プロトコル	ポート範囲	ソース	補足
変更	SSH	TCP	22	管理者オフィスのIP
変更	HTTP	TCP	80	管理者オフィスのIP
変更	HTTPS	TCP	443	管理者オフィスのIP
削除	カスタムTCP	TCP	541	0.0.0.0/0	今回未使用
削除	カスタムTCP	TCP	3000	0.0.0.0/0	今回未使用
削除	カスタムTCP	TCP	8080	0.0.0.0/0	今回未使用
新規	カスタムプロトコル	50	all	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - ESP
新規	カスタムUDP	UDP	500	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - IKE
新規	カスタムUDP	UDP	4500	0.0.0.0/0	東京のFortiGate-VMとのIPSecVPN - NAT-T
新規	すべてのICMP	ICMP	0 - 65535	10.0.0.0/8	疎通確認用

ブラウザから「https://FortiGate-VMのパブリックIP」もしくは「https://パブリックDNS」へアクセスします。ブラウザによっては(自己署名のため)「潜在的なセキュリティリスク」と表示しますが、そのまま続行します。
上述の「(バージニア)FortiGate-VMの作成」を参照し、ログインします。

(バージニア,東京)FortiGate-VM間のIPSec VPNの作成

(東京)IPSec VPNを設定します。今回はウィザードで進めます。
[VPN]-[IPsec Wizard]から以下の順番で設定します。

[Remote IP address]は「FortiGate-VM-US」のEIPを入力します。

ここはFirewall Policyの設定情報となります。通信させたい送信元・宛先サブネットを指定します。

[Create]をクリックします。

[Show Tunnel List]をクリックします。

現時点ではVPNはInactiveとなります。
※バージニア側のVPN設定が完了後、トラフィックが発生するとActiveとなります。

(バージニア)IPSec VPNを設定します。今回はウィザードで進めます。
[VPN]-[IPsec Wizard]から以下の順番で設定します。

[Remote IP address]は「FortiGate-VM-US」のEIPを入力します。

ここはFirewall Policyの設定情報となります。通信させたい送信元・宛先サブネットを指定します。
※「10.1.0.0/24」「10.2.0.0/24」は「tunnel1(GRE)」インタフェースに関連するサブネットですが、本項目では「port1」しか選択できないため一旦仮で設定します。

[Create]をクリックします。

[Show Tunnel List]をクリックします。

現時点ではVPNはInactiveとなります。
※トラフィックが発生するとActiveとなります。

[Policy & Objects]-[Firewall Policy]から「port1→vpn01」のポリシーを選択し[Edit]をクリックします。
[Incoming Interface]の「port1」を「tunnel1」へ変更します。

※このとき[OK]をクリックすると「Comments」において「Invalid characters」となるため"("")"を削除します。

を

へ変更。
同様に「vpn01→port01」のポリシーも[Edit]から「port1」を「tunnel1」へ変更します。
変更後のポリシー一覧は以下となります。

(東京)VPCへFortiGate-VM宛てのルートの追加

[VIRTUAL PRIVATE CLOUD]-[ルートテーブル]から「tgw_handson_jp-private」を選択し、ルートを追加します。
上記で作成したFortiGate-VMをターゲットとしたVPC A,B宛てのルートを追加します。

(東京)FortiGate-VMの「送信元/送信先チェック」の無効化

[EC2]-[インスタンス]-[インスタンス]から「FortiGate-VM-JP」を選択し、右クリック[ネットワーキング]-[ソース/宛先チェックを変更]をクリックします。「送信元/送信先チェック中」の「停止」へチェックを入れ[保存]をクリックします。

(バージニア,東京)確認2

バージニア、東京のそれぞれのServerから相互でPingの疎通ができることを確認します。

(東京)[EC2]-[インスタンス]-[インスタンス]から「tgw_handson_us-servera」を選択し「接続」をクリックします。「セッションマネージャー」で接続後、Pingを実行します。

# ServerA宛て
ping 10.1.0.11
PING 10.1.0.11 (10.1.0.11) 56(84) bytes of data.
64 bytes from 10.1.0.11: icmp_seq=1 ttl=252 time=146 ms
# ServerB宛て
ping 10.2.0.11
PING 10.2.0.11 (10.2.0.11) 56(84) bytes of data.
64 bytes from 10.2.0.11: icmp_seq=1 ttl=252 time=147 ms

(バージニア)[EC2]-[インスタンス]-[インスタンス]から「handson-tgw-connect」を選択し、同様にPingを実行します。

ping 10.99.0.11
PING 10.99.0.11 (10.99.0.11) 56(84) bytes of data.
64 bytes from 10.99.0.11: icmp_seq=1 ttl=252 time=146 ms