コンテンツにスキップ

Palo Alto Networks NGFW

このチュートリアルでは、Palo Alto Networks Next-Generation Firewall (NGFW) を Cloudflare Magic WAN に接続するための IPsec トンネルを構成するために必要な手順を説明します。これは Layer 3 の展開を通じて行われます。

テストされたソフトウェアバージョン

  • PAN-OS 9.1.14-h4

ユースケース

  • Magic WAN: RFC-1918 ↗ プライベート非ルーティングアドレス空間を使用して、2つ以上の場所を接続します。
  • Cloudflare Zero Trust (Gateway egress) を使用した Magic WAN: Magic WAN と同様ですが、Magic WAN 保護サイトから Cloudflare エッジネットワークに出て行くインターネットアクセスが追加されます。

前提条件

このチュートリアルでは、2つのネットワークインターフェースを持つスタンドアロンの NGFW があることを前提としています。

  • 1つは信頼セキュリティゾーン (Trust_L3_Zone) にあり、RFC-1918 ↗ 非インターネットルーティング IP アドレス (内部ネットワーク) を持っています。
  • もう1つは非信頼セキュリティゾーン (Untrust_L3_Zone) にあり、合法的にルーティング可能な IP アドレス (インターネット向け) を持っています。

さらに、インターネットサービスプロバイダーのルーターを指すデフォルトゲートウェイが仮想ルーター (デフォルト) に設定されている必要があります。

環境

このチュートリアル全体で使用される IP アドレスは以下の通りです。合法的にルーティング可能な IP アドレスは、203.0.113.0/24 サブネット内の文書用に予約された IPv4 アドレスブロック (RFC5737 ↗) に置き換えられています。

説明アドレスアドレス
NGFW 外部インターフェース203.0.113.254/24
NGFW 内部インターフェース10.1.100.254/24
ローカルトラストサブネット (LAN)10.1.100.0/24
NGFW トンネルインターフェース 0110.252.2.26/31 (Cloudflare 側)10.252.2.27/31 (NGFW 側)
NGFW トンネルインターフェース 0210.252.2.28/31 (Cloudflare 側)10.252.2.29/31 (NGFW 側)
Magic WAN Anycast IP162.159.66.164172.64.242.164
Magic WAN ヘルスチェック Anycast IP172.64.240.253172.64.240.254
VLAN0010 - リモート Magic WAN サイト10.1.10.0/24
VLAN0020 - リモート Magic WAN サイト10.1.20.0/24

Cloudflare Magic WAN

Magic IPsec トンネル

Cloudflare ダッシュボードまたは API を使用して 2つの IPsec トンネルを構成する。以下の IPsec トンネルの追加 で言及されている設定は、このガイドの残りの部分で参照される IPsec トンネルに使用されます。

これらは双方向トンネルヘルスチェックのターゲット IP アドレスです。

  • 172.64.240.253: プライマリ IPsec トンネルで使用します。
  • 172.64.240.254: セカンダリ IPsec トンネルで使用します。

IPsec トンネルの追加

  1. トンネルの追加 の手順に従って、以下のオプションで必要な IPsec トンネルを作成します。

    • トンネル名: SFO_IPSEC_TUN01
    • インターフェースアドレス: 10.252.2.96/31
    • 顧客エンドポイント: 203.0.113.254
    • Cloudflare エンドポイント: 162.159.66.164
    • ヘルスチェックレート: 低 (デフォルト値は 中)
    • ヘルスチェックタイプ: 応答
    • ヘルスチェックターゲット: カスタム (デフォルトは デフォルト)
    • ターゲットアドレス: 172.64.240.253

  2. 後でプリシェアードキーを追加を選択 > トンネルを追加。

  3. 次のオプションで2つ目の IPsec トンネルを作成するためにプロセスを繰り返します。

    • トンネル名: SFO_IPSEC_TUN02
    • インターフェースアドレス: 10.252.2.98/31
    • 顧客エンドポイント: 203.0.113.254
    • Cloudflare エンドポイント: 172.64.242.164
    • ヘルスチェックレート: 低 (デフォルト値は 中)
    • ヘルスチェックタイプ: 応答
    • ヘルスチェックターゲット: カスタム (デフォルトは デフォルト)
    • ターゲットアドレス: 172.64.240.254

プリシェアードキーの生成

後でプリシェアードキーを追加オプションで IPsec トンネルを作成すると、Cloudflare ダッシュボードに警告インジケーターが表示されます。

Magic IPsec Tunnels - No PSK

  1. 編集を選択して各トンネルのプロパティを編集します。
  2. 新しいプリシェアードキーを生成 > 更新してプリシェアードキーを生成を選択します。 各 IPsec トンネルのために新しいプリシェアードキーを生成
  3. 各 IPsec トンネルのプリシェアードキー値をコピーし、安全な場所に保存します。その後、完了を選択します。 プリシェアードキーをメモし、安全な場所に保管してください

IPsec 識別子 - FQDN (完全修飾ドメイン名)

IPsec トンネルを作成した後、Cloudflare ダッシュボードにそれらが トンネル タブの下にリストされます。各 IPsec トンネルの矢印 (>) を選択して、各トンネルから FQDN ID 値を収集します。FQDN ID 値は、Palo Alto Networks Next-Generation Firewall で IKE フェーズ 1 を構成する際に必要です。

各 IPsec トンネルの FQDN ID 値をメモしてください

Magic 静的ルート

環境セクション を参照すると、Trust_L3_Zone 内に1つのサブネットがあることに気付くでしょう: 10.1.100.0/24。

前のセクションで構成した2つの IPsec トンネルのために、以下の設定で 静的ルート を作成します (ここで言及されていない設定はデフォルト設定のままで構いません)。

トンネル 01

  • 説明: SFO_VLAN100_01
  • プレフィックス: 10.1.100.0/24
  • トンネル/次のホップ: SFO_IPSEC_TUN01

トンネル 02

  • 説明: SFO_VLAN100_02
  • プレフィックス: 10.1.100.0/24
  • トンネル/次のホップ: SFO_IPSEC_TUN02

前のステップで作成した各 IPsec トンネルのために静的ルートを追加

Palo Alto Networks Next-Generation Firewall

タグ

タグはオプションですが ↗、オブジェクトとポリシーの可視性を大幅に向上させることができます。この構成では、以下のカラースキームが実装されています。

タグ色
Trust_L3_Zone緑
Untrust_L3_Zone赤
Cloudflare_L3_Zoneオレンジ

Palo Alto Networks Next-Generation Firewall コマンドラインを使用してタグを設定します:

Terminal window
set tag Trust_L3_Zone color color2
set tag Untrust_L3_Zone color color1
set tag Cloudflare_L3_Zone color color6

オブジェクト

可能な限り アドレス および アドレスグループ オブジェクトの使用を強く推奨します。これらのオブジェクトは、それらを参照する構成要素が正確かつ一貫して定義されることを保証します。

構成変更はオブジェクトに適用され、構成の残りの部分に自動的に適用されます。

アドレスオブジェクト

名前タイプアドレスタグ
CF_Health_Check_Anycast_01IP ネットマスク172.64.240.253Cloudflare_L3_Zone
CF_Health_Check_Anycast_02IP ネットマスク172.64.240.254Cloudflare_L3_Zone
CF_Magic_WAN_Anycast_01IP ネットマスク162.159.66.164Cloudflare_L3_Zone
CF_Magic_WAN_Anycast_02IP ネットマスク172.64.242.164Cloudflare_L3_Zone
CF_MWAN_IPsec_VTI_01_LocalIP ネットマスク10.252.2.27/31Cloudflare_L3_Zone
CF_MWAN_IPsec_VTI_01_RemoteIP ネットマスク10.252.2.26Cloudflare_L3_Zone
CF_MWAN_IPsec_VTI_02_LocalIP ネットマスク10.252.2.29/31Cloudflare_L3_Zone
CF_MWAN_IPsec_VTI_02_RemoteIP ネットマスク10.252.2.28Cloudflare_L3_Zone
CF_WARP_Client_PrefixIP ネットマスク100.96.0.0/12Cloudflare_L3_Zone
Cloudflare_IPv4_01IP ネットマスク173.245.48.0/20Cloudflare_L3_Zone
Cloudflare_IPv4_02IP ネットマスク103.21.244.0/22Cloudflare_L3_Zone
Cloudflare_IPv4_03IP ネットマスク103.22.200.0/22Cloudflare_L3_Zone
Cloudflare_IPv4_04IP ネットマスク103.31.4.0/22Cloudflare_L3_Zone
Cloudflare_IPv4_05IP ネットマスク141.101.64.0/18Cloudflare_L3_Zone
Cloudflare_IPv4_06IP ネットマスク108.162.192.0/18Cloudflare_L3_Zone
Cloudflare_IPv4_07IP ネットマスク190.93.240.0/20Cloudflare_L3_Zone
Cloudflare_IPv4_08IP ネットマスク188.114.96.0/20Cloudflare_L3_Zone
Cloudflare_IPv4_09IP ネットマスク197.234.240.0/22Cloudflare_L3_Zone
Cloudflare_IPv4_10IP ネットマスク198.41.128.0/17Cloudflare_L3_Zone
Cloudflare_IPv4_11IP ネットマスク162.158.0.0/15Cloudflare_L3_Zone
Cloudflare_IPv4_12IP ネットマスク104.16.0.0/13Cloudflare_L3_Zone
Cloudflare_IPv4_13IP ネットマスク104.24.0.0/14Cloudflare_L3_Zone
Cloudflare_IPv4_14IP ネットマスク172.64.0.0/13Cloudflare_L3_Zone
Cloudflare_IPv4_15IP ネットマスク131.0.72.0/22Cloudflare_L3_Zone
Internet_L3_203-0-113-254--24IP ネットマスク203.0.113.254/24Untrust_L3_Zone
VLAN0010_10-1-10-0--24IP ネットマスク10.1.10.0/24Cloudflare_L3_Zone
VLAN0020_10-1-20-0--24IP ネットマスク10.1.20.0/24Cloudflare_L3_Zone
VLAN0100_10-1-100-0--24IP ネットマスク10.1.100.0/24Trust_L3_Zone
VLAN0100_L3_10-1-100-254--24IP ネットマスク10.1.10.254/24Trust_L3_Zone

Palo Alto Networks Next-Generation Firewall コマンドラインを使用してオブジェクトを設定します:

Terminal window
set address CF_Health_Check_Anycast_01 ip-netmask 172.64.240.253
set address CF_Health_Check_Anycast_01 tag Cloudflare_L3_Zone
set address CF_Health_Check_Anycast_02 ip-netmask 172.64.240.254
set address CF_Health_Check_Anycast_02 tag Cloudflare_L3_Zone
set address CF_Magic_WAN_Anycast_01 ip-netmask 162.159.66.164
set address CF_Magic_WAN_Anycast_01 tag Cloudflare_L3_Zone
set address CF_Magic_WAN_Anycast_02 ip-netmask 172.64.242.164
set address CF_Magic_WAN_Anycast_02 tag Cloudflare_L3_Zone
set address CF_MWAN_IPsec_VTI_01_Local ip-netmask 10.252.2.27/31
set address CF_MWAN_IPsec_VTI_01_Local tag Cloudflare_L3_Zone
set address CF_MWAN_IPsec_VTI_02_Local ip-netmask 10.252.2.29/31
set address CF_MWAN_IPsec_VTI_02_Local tag Cloudflare_L3_Zone
set address CF_MWAN_IPsec_VTI_01_Remote ip-netmask 10.252.2.26
set address CF_MWAN_IPsec_VTI_01_Remote tag Cloudflare_L3_Zone
set address CF_MWAN_IPsec_VTI_02_Remote ip-netmask 10.252.2.28
set address CF_MWAN_IPsec_VTI_02_Remote tag Cloudflare_L3_Zone
set address CF_WARP_Client_Prefix ip-netmask 100.96.0.0/12
set address CF_WARP_Client_Prefix tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_01 ip-netmask 173.245.48.0/20
set address Cloudflare_IPv4_01 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_02 ip-netmask 103.21.244.0/22
set address Cloudflare_IPv4_02 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_03 ip-netmask 103.22.200.0/22
set address Cloudflare_IPv4_03 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_04 ip-netmask 103.31.4.0/22
set address Cloudflare_IPv4_04 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_05 ip-netmask 141.101.64.0/18
set address Cloudflare_IPv4_05 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_06 ip-netmask 108.162.192.0/18
set address Cloudflare_IPv4_06 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_07 ip-netmask 190.93.240.0/20
set address Cloudflare_IPv4_07 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_08 ip-netmask 188.114.96.0/20
set address Cloudflare_IPv4_08 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_09 ip-netmask 197.234.240.0/22
set address Cloudflare_IPv4_09 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_10 ip-netmask 198.41.128.0/17
set address Cloudflare_IPv4_10 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_11 ip-netmask 162.158.0.0/15
set address Cloudflare_IPv4_11 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_12 ip-netmask 104.16.0.0/13
set address Cloudflare_IPv4_12 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_13 ip-netmask 104.24.0.0/14
set address Cloudflare_IPv4_13 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_14 ip-netmask 172.64.0.0/13
set address Cloudflare_IPv4_14 tag Cloudflare_L3_Zone
set address Cloudflare_IPv4_15 ip-netmask 131.0.72.0/22
set address Cloudflare_IPv4_15 tag Cloudflare_L3_Zone
set address Internet_L3_203-0-113-254--24 ip-netmask 203.0.113.254/24
set address Internet_L3_203-0-113-254--24 tag Untrust_L3_Zone
set address VLAN0010_10-1-10-0--24 ip-netmask 10.1.10.0/24
set address VLAN0010_10-1-10-0--24 tag Trust_L3_Zone
set address VLAN0020_10-1-20-0--24 ip-netmask 10.1.20.0/24
set address VLAN0020_10-1-20-0--24 tag Trust_L3_Zone
set address VLAN0100_10-1-100-0--24 ip-netmask 10.1.100.0/24
set address VLAN0100_10-1-100-0--24 tag Trust_L3_Zone
set address VLAN0100_L3_10-1-100-254--24 ip-netmask 10.1.100.254/24
set address VLAN0100_L3_10-1-100-254--24 tag Trust_L3_Zone

アドレスグループオブジェクト

この構成で使用されるアドレスグループオブジェクトは、CloudflareのIPv4パブリックアドレス空間全体の単一オブジェクト表現を提供します。

名前タイプアドレスタグ
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_01Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_02Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_03Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_04Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_05Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_06Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_07Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_08Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_09Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_10Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_11Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_12Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_13Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_14Cloudflare_L3_Zone
Cloudflare_IPv4_Static_GrpStaticCloudflare_IPv4_15Cloudflare_L3_Zone

Palo Alto Networksの次世代ファイアウォールコマンドラインを使用してアドレスグループオブジェクトを設定します：

Terminal window
set address-group Cloudflare_IPv4_Static_Grp static [ Cloudflare_IPv4_01 Cloudflare_IPv4_02 Cloudflare_IPv4_03 Cloudflare_IPv4_04 Cloudflare_IPv4_05 Cloudflare_IPv4_06 Cloudflare_IPv4_07 Cloudflare_IPv4_08 Cloudflare_IPv4_09 Cloudflare_IPv4_10 Cloudflare_IPv4_11 Cloudflare_IPv4_12 Cloudflare_IPv4_13 Cloudflare_IPv4_14 Cloudflare_IPv4_15 ]
set address-group Cloudflare_IPv4_Static_Grp tag Cloudflare_L3_Zone

インターフェース管理 - ネットワークプロファイル

インターフェース管理プロファイルは、ファイアウォールへのトラフィックが許可される方法を制御します。ファイアウォールを通過するのではなく、ファイアウォールに対してです。

トンネルインターフェースにインターフェース管理プロファイルを追加すると、ファイアウォール上の仮想トンネルインターフェースにpingを送信する能力が提供されます。

ダッシュボード経由での設定

ダッシュボードからpingを許可するインターフェース管理プロファイルを定義できます：

  1. ネットワークプロファイル > インターフェース管理に移動します。
  2. ネットワークタブで追加を選択します。
  3. Pingを許可するプロファイルを作成し、ネットワークサービスグループでPingを選択します。

インターフェース管理プロファイル

インターフェース管理プロファイル

コマンドライン経由での設定

コマンドラインを使用してpingを許可することもできます：

Terminal window
set network profiles interface-management-profile Allow_Ping userid-service no
set network profiles interface-management-profile Allow_Ping ping yes

ネットワークインターフェース

Palo Alto Networksの次世代ファイアウォール（NGFW）は、2つのイーサネットインターフェースで構成されています：

インターフェースインターフェースタイプIPアドレス仮想ルーター
ethernet1/1Layer310.1.100.254/24default
ethernet1/2Layer3203.0.113.254/24default

ダッシュボード経由での設定

以下の画像のガイダンスに従って、ダッシュボードを通じてイーサネットインターフェースを設定します。

ethernet1/1: Trust_L3_Zone
名前オプション値
ethernet1/1インターフェースタイプLayer3
ネットフロープロファイルNone
設定タブ仮想ルーターdefault
セキュリティゾーンTrust_L3_Zone
IPv4タブタイプStatic
IPVLAN0100_L3_10-1-100-254--24
アドレスオブジェクト
詳細タブ管理プロファイルMgmt_Services

ダッシュボードでのethernet1/1の設定 ダッシュボードでのethernet1/1の設定 ダッシュボードでのethernet1/1の設定

ethernet1/2: Untrust_L3_Zone
名前オプション値
ethernet1/2インターフェースタイプLayer3
ネットフロープロファイルNone
設定タブ仮想ルーターdefault
セキュリティゾーンUntrust_L3_Zone
IPv4タブタイプStatic
IPInternet_L3_203-0-113-254--24
アドレスオブジェクト
詳細タブ管理プロファイルAllow_Ping
MTU576 - 1500
TCP MSS調整有効
IPv4 MSS調整64

ダッシュボードでのethernet1/2の設定 ダッシュボードでのethernet1/2の設定 ダッシュボードでのethernet1/2の設定

イーサネットインターフェースを設定した後、概要ページに表示されるはずです：

イーサネットインターフェース - 概要

コマンドライン経由での設定

コマンドラインを使用してイーサネットインターフェースを設定することもできます。

Terminal window
set network interface ethernet ethernet1/1 layer3 ndp-proxy enabled no
set network interface ethernet ethernet1/1 layer3 lldp enable no
set network interface ethernet ethernet1/1 layer3 ip VLAN0100_L3_10-1-100-254--24
set network interface ethernet ethernet1/1 layer3 interface-management-profile Mgmt_Services
set network interface ethernet ethernet1/2 layer3 ndp-proxy enabled no
set network interface ethernet ethernet1/2 layer3 lldp enable no
set network interface ethernet ethernet1/2 layer3 ip Internet_L3_203-0-113-254--24
set network interface ethernet ethernet1/2 layer3 interface-management-profile Allow_Ping
set network interface ethernet ethernet1/2 layer3 adjust-tcp-mss enable yes
set network interface ethernet ethernet1/2 layer3 adjust-tcp-mss ipv4-mss-adjustment 64

トンネルインターフェース

Cloudflare Magic WANへのIPsecトンネルを確立するには、2つのトンネルインターフェースが必要です - それぞれのCloudflare anycast IPアドレスに対して1つずつです。また、詳細 > 管理プロファイルでAllow_Pingが両方のトンネルアダプタにバインドされていることを確認する必要があります。

以下の画像を参照して、詳細情報を確認してください。

ダッシュボード経由での設定

tunnel.1 - Cloudflare_L3_Zone
名前オプション値
tunnel.1ネットフロープロファイルNone
設定タブ仮想ルーターdefault
セキュリティゾーンCloudflare_L3_Zone
IPv4タブIPCF_MWAN_IPsec_VTI_01_Local
アドレスオブジェクト
詳細タブ管理プロファイルAllow_Ping
MTU1450

トンネル1の設定 トンネル1の設定 トンネル1の設定

tunnel.2 - Cloudflare_L3_Zone
名前オプション値
tunnel.2Netflow ProfileNone
Config tabVirtual Routerdefault
Security ZoneCloudflare_L3_Zone
IPv4 tabIPCF_MWAN_IPsec_VTI_02_Local
アドレスオブジェクト
Advanced tabManagement ProfileAllow_Ping
MTU1450

トンネル2の設定 トンネル2の設定 トンネル2の設定

トンネルインターフェースの設定が完了したら、概要ページに表示されるはずです：

トンネルインターフェース - 概要

コマンドラインからの設定

コマンドラインでもトンネルを設定できます：

Terminal window
set network interface tunnel units tunnel.1 ip CF_MWAN_IPsec_VTI_01_Local
set network interface tunnel units tunnel.1 mtu 1450
set network interface tunnel units tunnel.1 interface-management-profile Allow_Ping
set network interface tunnel units tunnel.2 ip CF_MWAN_IPsec_VTI_02_Local
set network interface tunnel units tunnel.2 mtu 1450
set network interface tunnel units tunnel.2 interface-management-profile Allow_Ping

ゾーン

このチュートリアルを作成するために使用されたPalo Alto Networks Next-Generation Firewall (NGFW) には、以下のゾーンと対応するネットワークインターフェースが含まれています：

ゾーンインターフェースインターフェース
Trust_L3_Zoneethernet1/1
Untrust_L3_Zoneethernet1/2
Cloudflare_L3_Zonetunnel.1tunnel.2

トンネルインターフェースは、より詳細なセキュリティポリシーの設定を容易にするために、別のゾーンに配置されています。トンネルインターフェースに他のゾーンを使用する場合は、設定をそれに応じて調整する必要があります。

ダッシュボードからの設定

Trust_L3_zone
名前オプション値
Trust_L3_zoneログ設定None
タイプLayer3
インターフェースethernet1/1
ゾーン保護プロファイルNone

Trust_L3_Zoneを表示するPalo Altoインターフェース

Untrust_L3_zone
名前オプション値
Untrust_L3_zoneログ設定None
タイプLayer3
インターフェースethernet1/2
ゾーン保護プロファイルUntrust_Zone_Prof

Untrust_L3_Zoneを表示するPalo Altoインターフェース

Cloudflare_L3_zone
名前オプション値
Cloudflare_L3_zoneログ設定None
タイプLayer3
インターフェースtunnel.1
tunnel.2
ゾーン保護プロファイルNone

Cloudflare_L3_Zoneを表示するPalo Altoインターフェース トンネルインターフェースの概要セクションを表示するPalo Altoインターフェース

コマンドラインからの設定

コマンドラインを使用してゾーンとインターフェースを関連付けることもできます：

Terminal window
set zone Trust_L3_Zone network layer3 ethernet1/1
set zone Untrust_L3_Zone network layer3 ethernet1/2
set zone Cloudflare_L3_Zone network layer3 [ tunnel.1 tunnel.2 ]

変更の適用

ここで、これまでに行った設定変更を保存してコミットするのが良いでしょう。完了したら、ファイアウォールへの基本的な接続性をテストしてください。

IKE暗号プロファイル フェーズ1

フェーズ1の必要なパラメータをサポートするために、新しいIKE暗号プロファイルを追加します。

複数のDHグループと認証設定が希望の順序で定義されています。Palo Alto Networks Next-Generation Firewall (NGFW) は、指定された値に基づいて最適な設定を自動的に交渉します。

ダッシュボードからの設定

名前オプション値
CF_IKE_Crypto_CBCDHグループgroup14
認証sha512
sha384
sha256
暗号化aes-256-cbc
キーの有効期限8時間
IKEv2認証複数0

フェーズ1のためにデバイスに設定する必要があるIKE暗号プロファイル

コマンドラインからの設定

コマンドラインを使用してフェーズ1の暗号プロファイルを設定することもできます：

Terminal window
set network ike crypto-profiles ike-crypto-profiles CF_IKE_Crypto_CBC hash [ sha512 sha384 sha256 ]
set network ike crypto-profiles ike-crypto-profiles CF_IKE_Crypto_CBC dh-group [ group14 ]
set network ike crypto-profiles ike-crypto-profiles CF_IKE_Crypto_CBC encryption aes-256-cbc
set network ike crypto-profiles ike-crypto-profiles CF_IKE_Crypto_CBC lifetime hours 8
set network ike crypto-profiles ike-crypto-profiles CF_IKE_Crypto_CBC authentication-multiple 0

IPsec暗号プロファイル フェーズ2

フェーズ2の必要なパラメータをサポートするために、新しいIPsec暗号プロファイルを追加します。

複数の認証設定が希望の順序で定義されています。Palo Alto Networks Next-Generation Firewall (NGFW) は、指定された値に基づいて最適な設定を自動的に交渉します。

ダッシュボードからの設定

名前オプション値
CF_IPsec_Crypto_CBC暗号化aes-256-cbc
認証sha256
sha1
DHグループgroup14
有効期限1時間

デバイスに設定する必要があるIPsec暗号プロファイル

コマンドラインからの設定

コマンドラインを使用してフェーズ2のIPsec暗号プロファイルを設定することもできます：

Terminal window
set network ike crypto-profiles ipsec-crypto-profiles CF_IPsec_Crypto_CBC esp authentication [ sha256 sha1 ]
set network ike crypto-profiles ipsec-crypto-profiles CF_IPsec_Crypto_CBC esp encryption aes-256-cbc
set network ike crypto-profiles ipsec-crypto-profiles CF_IPsec_Crypto_CBC lifetime hours 1
set network ike crypto-profiles ipsec-crypto-profiles CF_IPsec_Crypto_CBC dh-group group14

IKEゲートウェイ

Cloudflareへの2つのIPsecトンネルを確立するために、2つのIKEゲートウェイを定義します。以下の値を定義してください：

ダッシュボードからの設定

トンネル1の設定: CF_Magic_WAN_IKE_01
タブオプション値
一般タブ名前CF_Magic_WAN_IKE_01
バージョンIKEv2のみモード。
両方のIKEゲートウェイがこの設定に基づいていることを確認してください。
ローカルIPアドレスInternet_L3_203-0-113-254--24
ピアアドレスCF_Magic_WAN_Anycast_01
事前共有キーこの値はCloudflareダッシュボードから取得できます - 値はトンネルごとにユニークです。
ローカル識別FQDN (ホスト名)。
この値はCloudflareダッシュボードから取得できます - 値はトンネルごとにユニークです。
ピア識別None
詳細タブIKE暗号プロファイルCF_IKE_Crypto_CBC
ライブネスチェックデフォルト値（5秒）は十分です。この設定は、フェーズ1のセキュリティアソシエーションの作成に悪影響を及ぼす可能性のある基礎的な接続性の問題があるかどうかを定期的に判断するために使用されます。

トンネル1のIKEゲートウェイ設定 トンネル1のIKEゲートウェイ設定

トンネル2の設定: CF_Magic_WAN_IKE_02
タブオプション値
一般タブ名前CF_Magic_WAN_IKE_02
バージョンIKEv2のみモード。
両方のIKEゲートウェイがこの設定に基づいていることを確認してください。
ローカルIPアドレスInternet_L3_203-0-113-254--24
ピアアドレスCF_Magic_WAN_Anycast_02
事前共有キーこの値はCloudflareダッシュボードから取得できます - 値はトンネルごとにユニークです。
ローカル識別FQDN (ホスト名)。
この値はCloudflareダッシュボードから取得できます - 値はトンネルごとにユニークです。
ピア識別None
詳細タブIKE暗号プロファイルCF_IKE_Crypto_CBC
ライブネスチェックデフォルト値（5秒）は十分です。この設定は、フェーズ1のセキュリティアソシエーションの作成に悪影響を及ぼす可能性のある基礎的な接続性の問題があるかどうかを定期的に判断するために使用されます。

トンネル2のIKEゲートウェイ設定 トンネル2のIKEゲートウェイ設定

コマンドラインからの設定

トンネル1の設定: CF_Magic_WAN_IKE_01
Terminal window
set network ike gateway CF_Magic_WAN_IKE_01 protocol ikev1 dpd enable yes
set network ike gateway CF_Magic_WAN_IKE_01 protocol ikev2 dpd enable yes
set network ike gateway CF_Magic_WAN_IKE_01 protocol ikev2 ike-crypto-profile CF_IKE_Crypto_CBC
set network ike gateway CF_Magic_WAN_IKE_01 protocol version ikev2
set network ike gateway CF_Magic_WAN_IKE_01 local-address ip Internet_L3_203-0-113-254--24
set network ike gateway CF_Magic_WAN_IKE_01 local-address interface ethernet1/2
set network ike gateway CF_Magic_WAN_IKE_01 protocol-common nat-traversal enable no
set network ike gateway CF_Magic_WAN_IKE_01 protocol-common fragmentation enable no
set network ike gateway CF_Magic_WAN_IKE_01 peer-address ip CF_Magic_WAN_Anycast_01
set network ike gateway CF_Magic_WAN_IKE_01 authentication pre-shared-key key -AQ==Xdcd9ir5o5xhjuIH---------------------HsRoVf+M0TTG4ja3EzulN37zMOwGs
set network ike gateway CF_Magic_WAN_IKE_01 local-id id 28de99ee57424ee0a1591384193982fa.33145236.ipsec.cloudflare.com
set network ike gateway CF_Magic_WAN_IKE_01 local-id type fqdn
set network ike gateway CF_Magic_WAN_IKE_01 disabled no
トンネル2の設定: CF_Magic_WAN_IKE_02
Terminal window
set network ike gateway CF_Magic_WAN_IKE_02 protocol ikev1 dpd enable yes
set network ike gateway CF_Magic_WAN_IKE_02 protocol ikev2 dpd enable yes
set network ike gateway CF_Magic_WAN_IKE_02 protocol ikev2 ike-crypto-profile CF_IKE_Crypto_CBC
set network ike gateway CF_Magic_WAN_IKE_02 protocol version ikev2
set network ike gateway CF_Magic_WAN_IKE_02 local-address ip Internet_L3_203-0-113-254--24
set network ike gateway CF_Magic_WAN_IKE_02 local-address interface ethernet1/2
set network ike gateway CF_Magic_WAN_IKE_02 protocol-common nat-traversal enable no
set network ike gateway CF_Magic_WAN_IKE_02 protocol-common fragmentation enable no
set network ike gateway CF_Magic_WAN_IKE_02 peer-address ip CF_Magic_WAN_Anycast_02
set network ike gateway CF_Magic_WAN_IKE_02 authentication pre-shared-key key -AQ==rvwEulxx7wLBl---------------------swSeJPXxxM2cfPbt7q4HZZGZZ8
set network ike gateway CF_Magic_WAN_IKE_02 local-id id b87322b0915b47158667bf1653990e66.33145236.ipsec.cloudflare.com
set network ike gateway CF_Magic_WAN_IKE_02 local-id type fqdn
set network ike gateway CF_Magic_WAN_IKE_02 disabled no

IPsecトンネル

IKEゲートウェイが定義されたので、次のステップは前のセクションで構成した2つのIKEゲートウェイに対応する2つのIPsecトンネルを構成することです。

前提条件

続行する前に知っておくべきいくつかの前提条件があります：

  • プロキシIDを構成しないでください。Magic WAN IPsecトンネルは、ルートベースのVPNモデルに基づいています。プロキシIDはポリシーベースのVPNで使用されます。
  • 高度なオプションの下でリプレイ保護を無効にします。
  • トンネルモニターを無効にします。これは望ましくない結果を引き起こす可能性があります。トンネルモニターは、IPsecトンネルの両側にPalo Alto Networksの次世代ファイアウォールデバイスがあると仮定するPalo Alto Networksの独自機能です。また、トンネルモニターはIKEv1に基づくIPsecトンネルでの使用を意図しています（Magic WAN IPsecトンネルはIKEv2に基づいています）。

ダッシュボード経由での設定

トンネル1の設定: CF_Magic_WAN_IPsec_01
名前オプション値
CF_Magic_WAN_IPsec_01トンネルインターフェースtunnel.1
IKEゲートウェイCF_Magic_WAN_IKE_01
IPsec暗号プロファイルCF_IKE_Crypto_CBC
リプレイ保護を有効にする無効

IPsecトンネルの設定 IPsecトンネルの設定

トンネル2の設定: CF_Magic_WAN_IPsec_02
名前オプション値
CF_Magic_WAN_IPsec_02トンネルインターフェースtunnel.2
IKEゲートウェイCF_Magic_WAN_IKE_02
IPsec暗号プロファイルCF_IKE_Crypto_CBC
リプレイ保護を有効にする無効

IPsecトンネルの設定 IPsecトンネルの設定

コマンドライン経由での設定

トンネル1の設定: CF_Magic_WAN_IPsec_01
Terminal window
set network tunnel ipsec CF_Magic_WAN_IPsec_01 auto-key ike-gateway CF_Magic_WAN_IKE_01
set network tunnel ipsec CF_Magic_WAN_IPsec_01 auto-key ipsec-crypto-profile CF_IPsec_Crypto_CBC
set network tunnel ipsec CF_Magic_WAN_IPsec_01 tunnel-monitor destination-ip 10.252.2.26
set network tunnel ipsec CF_Magic_WAN_IPsec_01 tunnel-monitor tunnel-monitor-profile default
set network tunnel ipsec CF_Magic_WAN_IPsec_01 tunnel-interface tunnel.1
set network tunnel ipsec CF_Magic_WAN_IPsec_01 anti-replay no
set network tunnel ipsec CF_Magic_WAN_IPsec_01 disabled no
トンネル2の設定: CF_Magic_WAN_IPsec_02
Terminal window
set network tunnel ipsec CF_Magic_WAN_IPsec_02 auto-key ike-gateway CF_Magic_WAN_IKE_02
set network tunnel ipsec CF_Magic_WAN_IPsec_02 auto-key ipsec-crypto-profile CF_IPsec_Crypto_CBC
set network tunnel ipsec CF_Magic_WAN_IPsec_02 tunnel-monitor destination-ip 10.252.2.28
set network tunnel ipsec CF_Magic_WAN_IPsec_02 tunnel-monitor tunnel-monitor-profile default
set network tunnel ipsec CF_Magic_WAN_IPsec_02 tunnel-interface tunnel.2
set network tunnel ipsec CF_Magic_WAN_IPsec_02 anti-replay no
set network tunnel ipsec CF_Magic_WAN_IPsec_02 disabled no

変更の適用

ここで、これまでに行った構成変更を保存してコミットするのが良いでしょう。完了したら、IPsecトンネルを介った基本的な接続性をテストしてください。

IPsecトンネル接続性テスト

IPsecトンネルが確立されていることを確認し、基本的な接続性を検証するのに良いタイミングです。

IKEフェーズ1通信の確認

最初のステップは、IKEフェーズ1が成功裏に完了したことを確認することです：

構文
Terminal window
show vpn ike-sa gateway [value]
CF_Magic_WAN_IKE_01の例
Terminal window
admin@panvm03> show vpn ike-sa gateway CF_Magic_WAN_IKE_01


IKEv1フェーズ-1 SAは見つかりません。


IKEv1フェーズ-2 SAは見つかりません。


IKEv2 SA
ゲートウェイID      ピアアドレス           ゲートウェイ名           役割 SN       アルゴリズム             確立日時     有効期限      Xt 子  ST


----------      ------------           ------------           ---- --       ---------             -----------     ----------      -- -----  --


2               162.159.66.164         CF_Magic_WAN_IKE_01    Init 67       PSK/DH14/A256/SHA256  Jun.04 21:09:13 Jun.05 05:09:13 0  1      確立済み


IKEv2 IPsec子SA
ゲートウェイ名           TnID     トンネル                    ID       親   役割 SPI(in)  SPI(out) MsgID    ST


------------           ----     ------                    --       ------   ---- -------  -------- -----    --


CF_Magic_WAN_IKE_01    2        CF_Magic_WAN_IPsec_01     322550   67       Init FCAEE176 1EF41BA9 000007B4 成熟


IKEv2 SAを表示: 合計2つのゲートウェイが見つかりました。1つのike saが見つかりました。
CF_Magic_WAN_IKE_02の例
Terminal window
admin@panvm03> show vpn ike-sa gateway CF_Magic_WAN_IKE_02


IKEv1フェーズ-1 SAは見つかりません。


IKEv1フェーズ-2 SAは見つかりません。


IKEv2 SA
ゲートウェイID      ピアアドレス           ゲートウェイ名           役割 SN       アルゴリズム             確立日時     有効期限      Xt 子  ST


----------      ------------           ------------           ---- --       ---------             -----------     ----------      -- -----  --


3               172.64.242.164         CF_Magic_WAN_IKE_02    Init 66       PSK/DH14/A256/SHA256  Jun.04 20:37:42 Jun.05 04:37:42 0  2      確立済み


IKEv2 IPsec子SA
ゲートウェイ名           TnID     トンネル                    ID       親   役割 SPI(in)  SPI(out) MsgID    ST


------------           ----     ------                    --       ------   ---- -------  -------- -----    --


CF_Magic_WAN_IKE_02    3        CF_Magic_WAN_IPsec_02     323145   66       Init B6EDA356 43F71BC5 00000A52 成熟


IKEv2 SAを表示: 合計2つのゲートウェイが見つかりました。1つのike saが見つかりました。

IKEフェーズ1通信のトラブルシューティング

Magic WAN IPsecトンネルは、顧客デバイスがIPsecトンネルを開始することを期待しています。通常の条件下でトンネルを横断するトラフィックがない場合、トンネルは確立されない可能性があります。この場合、IKEフェーズ1を強制する必要があるかもしれません。

構文
Terminal window
test vpn ike-sa gateway [value]
CF_Magic_WAN_IKE_01の例
Terminal window
admin@panvm03> test vpn ike-sa gateway CF_Magic_WAN_IKE_01


開始時間: Jun.05 00:30:29
1つのIKE SAを開始します。
CF_Magic_WAN_IKE_02の例
Terminal window
admin@panvm03> test vpn ike-sa gateway CF_Magic_WAN_IKE_02


開始時間: Jun.05 00:30:33
1つのIKE SAを開始します。

それぞれのトンネルに対してこれらのコマンドを繰り返し、IKE SAが期待通りに表示されることを確認してください。

IPsecフェーズ2通信の確認

IPsecトンネルが確立されていることを確認するために、Palo Alto Networksの次世代ファイアウォールのコマンドラインからリモート仮想トンネルインターフェース（Cloudflare側）にpingを送信します。仮想トンネルインターフェースのローカル側からのpingの送信元IPアドレスを指定してください：

構文
Terminal window
show vpn ipsec-sa tunnel [value]
CF_Magic_WAN_IPsec_01の例
Terminal window
admin@panvm03> show vpn ipsec-sa tunnel CF_Magic_WAN_IPsec_01


GwID/client IP  TnID   ピアアドレス           トンネル(ゲートウェイ)                                アルゴリズム          SPI(in)  SPI(out) life(Sec/KB)             残り時間(Sec)


--------------  ----   ------------           ---------------                                ---------          -------  -------- ------------             ----------------


2               2      162.159.66.164         CF_Magic_WAN_IPsec_01(CF_Magic_WAN_IKE_01)     ESP/A256/SHA256    B5D09AB8 9FA69407 3600/Unlimited           3445


IPsec SAを表示: 合計1つのトンネルが見つかりました。1つのipsec saが見つかりました。
CF_Magic_WAN_IPsec_02の例
Terminal window
admin@panvm03> show vpn ipsec-sa tunnel CF_Magic_WAN_IPsec_02


GwID/client IP  TnID   ピアアドレス           トンネル(ゲートウェイ)                                アルゴリズム          SPI(in)  SPI(out) life(Sec/KB)             残り時間(Sec)


--------------  ----   ------------           ---------------                                ---------          -------  -------- ------------             ----------------


3               3      172.64.242.164         CF_Magic_WAN_IPsec_02(CF_Magic_WAN_IKE_02)     ESP/A256/SHA256    CAEA6F09 EC6ACC7A 3600/Unlimited           3361


IPsec SAを表示: 合計1つのトンネルが見つかりました。1つのipsec saが見つかりました。

IPsecフェーズ2通信のトラブルシューティング

Magic WAN IPsecトンネルは、顧客デバイスがIPsecトンネルを開始することを期待しています。通常の条件下でトンネルを横断するトラフィックがない場合、トンネルは確立されない可能性があります。この場合、IPsecフェーズ2を強制する必要があるかもしれません。これは通常不要ですが、IKEフェーズ1が成功裏に交渉されると、IPsecフェーズ2は自動的にトンネルを確立します。このテストは実行する価値があります。

構文
Terminal window
test vpn ipsec-sa tunnel [value]
CF_Magic_WAN_IPsec_01の例
Terminal window
admin@panvm03> test vpn ipsec-sa tunnel CF_Magic_WAN_IPsec_01


開始時間: Jun.05 00:37:50
トンネルCF_Magic_WAN_IPsec_01のために1つのIPsec SAを開始します。
CF_Magic_WAN_IPsec_02の例
Terminal window
admin@panvm03> test vpn ipsec-sa tunnel CF_Magic_WAN_IPsec_02


開始時間: Jun.05 00:38:52
トンネルCF_Magic_WAN_IPsec_02のために1つのIPsec SAを開始します。

それぞれのトンネルに対してこれらのコマンドを繰り返し、IPsec SAが期待通りに表示されることを確認してください。

リモート仮想トンネルインターフェースへのping

Palo Alto Networksの次世代ファイアウォール（NGFW）の仮想トンネルインターフェースのIPアドレスから、IPsecトンネルのCloudflare側の仮想トンネルインターフェースのIPアドレスにトラフィックをソースとしてpingを使用します。

構文
Terminal window
ping source [value src IP] host [value dst IP]
トンネル1の例
Terminal window
admin@panvm03> ping source 10.252.2.27 host 10.252.2.26
PING 10.252.2.26 (10.252.2.26) from 10.252.2.27 : 56(84) bytes of data.
64 bytes from 10.252.2.26: icmp_seq=1 ttl=64 time=2.71 ms
64 bytes from 10.252.2.26: icmp_seq=2 ttl=64 time=2.03 ms
64 bytes from 10.252.2.26: icmp_seq=3 ttl=64 time=1.98 ms
64 bytes from 10.252.2.26: icmp_seq=4 ttl=64 time=1.98 ms
^C
--- 10.252.2.26 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3002ms
rtt min/avg/max/mdev = 1.980/2.180/2.719/0.312 ms
トンネル2の例
Terminal window
admin@panvm03> ping source 10.252.2.29 host 10.252.2.28
PING 10.252.2.28 (10.252.2.28) from 10.252.2.29 : 56(84) bytes of data.
64 bytes from 10.252.2.28: icmp_seq=1 ttl=64 time=2.90 ms
64 bytes from 10.252.2.28: icmp_seq=2 ttl=64 time=1.92 ms
64 bytes from 10.252.2.28: icmp_seq=3 ttl=64 time=1.76 ms
64 bytes from 10.252.2.28: icmp_seq=4 ttl=64 time=1.97 ms
^C
--- 10.252.2.28 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3003ms
rtt min/avg/max/mdev = 1.765/2.141/2.900/0.446 ms

仮想ルーター

ポリシーベースの転送を利用してポリシーベースのルーティングを実装しますが、仮想ルーターのルーティングを構成することも良いアイデアです。

Cloudflare Magic WANは、IPsecトンネルを介してトラフィックを誘導するために等価コストマルチパス（ECMP）ルーティングを実装しています。デフォルトの動作は、トラフィックを両方のトンネルに均等に負荷分散することです。

ECMPを有効にする

まず、一般タブにイーサネットおよびトンネルインターフェースの両方が表示されていることを確認します。表示されていないインターフェースがある場合は、Addを使用して不足しているインターフェースを指定するか、インターフェースメニューに移動して関連する仮想ルーターが選択されていることを確認してください。

イーサネットおよびトンネルインターフェースが仮想ルーターに表示されていることを確認

  1. デフォルトの仮想ルーターのRouter settingsを開き、ECMPタブを選択します。
  2. Enable、Symmetric Return、およびStrict Source Pathの横にあるチェックボックスを選択します（すべてのチェックボックスが選択されている必要があります）。
  3. Load Balanceの下で、Methodを_IP Modulo_から_Weighted Round Robin_に変更し、両方のトンネルインターフェースを追加します。重みがMagic WAN Static Routesで定義された重みに一致することを確認してください（Cloudflare Dashboardを参照）。

すべてのチェックボックスが選択されていることを確認

これらの変更をコマンドラインを使用して行うこともできます：

Terminal window
set network virtual-router default ecmp algorithm weighted-round-robin interface tunnel.1 weight 100
set network virtual-router default ecmp algorithm weighted-round-robin interface tunnel.2 weight 100
set network virtual-router default ecmp enable yes
set network virtual-router default ecmp symmetric-return yes
set network virtual-router default ecmp strict-source-path yes

静的ルートを追加する

各Magic WAN Protected Networkに対して2つの静的ルートを追加します - 2つのトンネルインターフェースそれぞれに1つずつ。

このチュートリアルで使用される環境は、2つのMagic WAN Protected Networksを想定しています：

  • VLAN0010: 10.1.10.0/24
  • VLAN0020: 10.1.20.0/24
VLAN0010 (10.1.10.0/24) via tunnel.1
名前オプション値
Magic_WAN_VLAN0010_Tun01宛先VLAN0010_10-1-10-0—24
インターフェースtunnel.1
次ホップIP Address
CF_MWAN_IPsec_VTI_01_Remote
メトリック10
ルートテーブルUnicast
BFDプロファイルDisable BFD

静的ルート - VLAN0010 (10.1.10.0/24 via tunnel.1)

VLAN0010 (10.1.10.0/24) via tunnel.2
名前オプション値
Magic_WAN_VLAN0010_Tun02宛先VLAN0010_10-1-10-0—24
インターフェースtunnel.2
次ホップIP Address
CF_MWAN_IPsec_VTI_02_Remote
メトリック11
ルートテーブルUnicast
BFDプロファイルDisable BFD

静的ルート - VLAN0010 (10.1.10.0/24 via tunnel.2)

VLAN0020 (10.1.20.0/24) via tunnel.1
名前オプション値
Magic_WAN_VLAN0020_Tun01宛先VLAN0020_10-1-20-0—24
インターフェースtunnel.1
次ホップIP Address
CF_MWAN_IPsec_VTI_01_Remote
メトリック10
ルートテーブルUnicast
BFDプロファイルDisable BFD

静的ルート - VLAN0020 (10.1.20.0/24 via tunnel.1)

VLAN0020 (10.1.20.0/24) via tunnel.2
名前オプション値
Magic_WAN_VLAN0020_Tun02宛先VLAN0020_10-1-20-0—24
インターフェースtunnel.2
次ホップIP Address
CF_MWAN_IPsec_VTI_02_Remote
メトリック11
ルートテーブルUnicast
BFDプロファイルDisable BFD

静的ルート - VLAN0020 (10.1.20.0/24 via tunnel.1)

これらの設定をコマンドラインを使用して構成することもできます：

VLAN0010 - 10.1.10.0/24
Terminal window
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 nexthop ip-address CF_MWAN_IPsec_VTI_01_Remote
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 bfd profile None
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 interface tunnel.1
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 metric 10
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 destination VLAN0010_10-1-10-0--24
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun01 route-table unicast
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 nexthop ip-address CF_MWAN_IPsec_VTI_02_Remote
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 bfd profile None
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 interface tunnel.2
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 metric 11
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 destination VLAN0010_10-1-10-0--24
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0010_Tun02 route-table unicast
VLAN0020 - 10.1.20.0/24
Terminal window
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 nexthop ip-address CF_MWAN_IPsec_VTI_01_Remote
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 bfd profile None
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 interface tunnel.1
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 metric 10
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 destination VLAN0020_10-1-20-0--24
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun01 route-table unicast
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 nexthop ip-address CF_MWAN_IPsec_VTI_02_Remote
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 bfd profile None
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 interface tunnel.2
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 metric 11
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 destination VLAN0020_10-1-20-0--24
set network virtual-router default routing-table ip static-route Magic_WAN_VLAN0020_Tun02 route-table unicast

Magicヘルスチェック

Cloudflareは、CloudflareのグローバルAnycastネットワークのランダムなサーバーからIPsecトンネルを通じて送信されるICMPプローブを作成します。これらのICMPプローブは、ICMPリプライパケットが送信されるため、ユニークです（ICMPリクエストではなく）。

Cloudflare Magic WANの顧客は、ヘルスチェックエンドポイントにカスタムAnycast IPアドレスを使用するためにIPsecトンネルを構成する必要があります：

  • CF_Health_Check_Anycast_01: 172.64.240.253
  • CF_Health_Check_Anycast_02: 172.64.240.254

セキュリティポリシー - トンネルヘルスチェック

ICMPリプライプローブを許可するルールを定義する必要があります。Palo Alto Networks Next-Generation Firewallのデフォルトの動作は、ヘルスチェックをドロップするためです。

ダッシュボード経由での設定
名前オプション値
Cloudflare_Tunnel_Bidirect_HCルールタイプuniversal (default)
説明双方向HCを許可
タグによるグループルールNone
ソースタブソースゾーンCloudflare_L3_Zone
ソースアドレスCF_Health_Check_Anycast_01
CF_Health_Check_Anycast_02
宛先タブ宛先ゾーンCloudflare_L3_Zone
宛先アドレスCloudflare_IPv4_Static_Grp
アプリケーションタブアプリケーションicmp
ping
アクションタブアクションAllow
ログ設定セッション終了時にログ
プロファイスタイプNone
スケジュールNone
QoSマーキングNone

双方向ヘルスチェックルール - 一般 双方向ヘルスチェックルール - ソース 双方向ヘルスチェックルール - 宛先 双方向ヘルスチェックルール - アプリ 双方向ヘルスチェックルール - サービス/URLカテゴリ 双方向ヘルスチェックルール - アクション

コマンドライン経由での設定
Terminal window
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC to Cloudflare_L3_Zone
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC from Cloudflare_L3_Zone
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC source [ CF_Health_Check_Anycast_01 CF_Health_Check_Anycast_02 ]
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC destination Cloudflare_IPv4_Static_Grp
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC source-user any
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC category any
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC application [ icmp ping ]
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC service application-default
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC hip-profiles any
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC action allow
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC rule-type universal
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC description "双方向HCを許可"
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC disabled no
set rulebase security rules Cloudflare_Tunnel_Bidirect_HC log-end yes

ポリシーベースの転送 - トンネルヘルスチェック

最後のステップで定義されたセキュリティルールに一致するトラフィックは、受信トラフィックが受信されたトンネルを通じて対称的にルーティングされる必要があります。2つのポリシーベースの転送ルールが、トラフィックが適切にルーティングされることを保証します。

次の内容を確認してください：

  • ソースゾーン: Cloudflare_L3_Zone
  • ソースアドレス: CF_Health_Check_Anycast_01 と CF_Health_Check_Anycast_02
  • デスティネーションゾーン: Cloudflare_L3_Zone
  • デスティネーションアドレス: Cloudflare_IPv4_Static_Grp
  • アプリケーション: icmp と ping
ダッシュボード経由での設定 tunnel.1
名前オプション値
PBF_Cloudflare_Health_Check_01タグCloudflare_L3_Zone
タグによるグループ化なし
ソースタブタイプゾーン
ゾーンCloudflare_L3_Zone
ソースアドレスCF_Health_Check_Anycast_01
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスCloudflare_IPv4_Static_Grp
転送タブアクション転送
出口インターフェースtunnel.1
次のホップIPアドレス
CF_MWAN_IPsec_VTI_01_Remote

双方向ヘルスチェック via tunnel.1 - 一般 双方向ヘルスチェック via tunnel.1 - ソース 双方向ヘルスチェック via tunnel.1 - デスティネーション 双方向ヘルスチェック via tunnel.1 - 転送

ダッシュボード経由での設定 tunnel.2
名前オプション値
PBF_Cloudflare_Health_Check_02タグCloudflare_L3_Zone
タグによるグループ化なし
ソースタブタイプゾーン
ゾーンCloudflare_L3_Zone
ソースアドレスCF_Health_Check_Anycast_02
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスCloudflare_IPv4_Static_Grp
転送タブアクション転送
出口インターフェースtunnel.2
次のホップIPアドレス
CF_MWAN_IPsec_VTI_02_Remote

双方向ヘルスチェック via tunnel.2 - 一般 双方向ヘルスチェック via tunnel.2 - ソース 双方向ヘルスチェック via tunnel.2 - デスティネーション 双方向ヘルスチェック via tunnel.2 - 転送

コマンドライン経由での設定 tunnel.1
Terminal window
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 action forward nexthop ip-address CF_MWAN_IPsec_VTI_01_Remote
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 action forward egress-interface tunnel.1
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 from zone Cloudflare_L3_Zone
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 source CF_Health_Check_Anycast_01
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 destination Cloudflare_IPv4_Static_Grp
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 source-user any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 application any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 service any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_01 tag Cloudflare_L3_Zone
コマンドライン経由での設定 tunnel.2
Terminal window
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 action forward nexthop ip-address CF_MWAN_IPsec_VTI_02_Remote
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 action forward egress-interface tunnel.2
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 from zone Cloudflare_L3_Zone
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 source CF_Health_Check_Anycast_02
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 destination Cloudflare_IPv4_Static_Grp
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 source-user any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 application any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 service any
set rulebase pbf rules PBF_Cloudflare_Healthcheck_02 tag Cloudflare_L3_Zone

トンネルヘルスチェックのトラブルシューティング

セキュリティポリシー

トラフィックログビューアを使用して、ヘルスチェックトラフィックが許可されていることを確認します。適用可能なトラフィックを許可するセキュリティポリシールールの名前に基づいてログをフィルタリングするルールを追加します。

ルール名でフィルタリング
Terminal window
rule eq Cloudflare_Tunnel_Bidirect_HC

双方向ヘルスチェックのログ記録 - ルール名でフィルタリング

フィルタに一致するトラフィックが表示されない場合は、CF_Health_Check_Anycast_01 と CF_Health_Check_Anycast_02 アドレスオブジェクトに関連するアドレスに基づいてログエントリを表示するフィルタに置き換えます。

ヘルスチェックAnycast IPでフィルタリング
Terminal window
( addr.src in 172.64.240.253 ) or ( addr.src in 172.64.240.254 )

双方向ヘルスチェックのログ記録 - ヘルスチェックAnycast IPでフィルタリング

ポリシーベースの転送

ポリシーベースの転送のトラブルシューティングは少し難しい場合があります。トラフィックが意図したパスを通過しているかどうかを確認する最良の方法は、ログエントリの詳細ビューを選択することです。

  1. ソースIPアドレス 172.64.240.253 のログエントリの隣にある虫眼鏡を選択します。

  2. CF_Health_Check_Anycast_01 (172.64.240.253) から発信されたトラフィックは、tunnel.1 で入出力される必要があります。

双方向ヘルスチェックのログ記録 - tunnel.1

  1. ソースIPアドレス 172.64.240.254 のログエントリの隣にある虫眼鏡を選択します。

  2. CF_Health_Check_Anycast_02 (172.64.240.254) から発信されたトラフィックは、tunnel.2 で入出力される必要があります。

双方向ヘルスチェックのログ記録 - tunnel.2

トラフィックが同じインターフェースを入出力していない場合、ポリシーベースの転送ルールが一致していない可能性があります。

セキュリティポリシー - プロダクショントラフィック

前述のように、このチュートリアルには2つの異なるユースケースの例が含まれています：

  • Magic WAN: RFC-1918 ↗ プライベート非ルーティングアドレス空間を持つ2つ以上の場所間のトラフィックを許可します。
  • Cloudflare Zero Trust (ゲートウェイ出口) を使用したMagic WAN: Magic WANと同様ですが、Magic WANで保護されたサイトからCloudflareエッジネットワークに出るアウトバウンドインターネットアクセスが追加されています。

Magic WANのみ

信頼ネットワークからMagic WANで保護されたサイトへのトラフィックを促進するためにルールを定義する必要があります。両方向のトラフィックに対して1つのルールを定義することも可能ですが、この例では2つのルールを含めています：

  • 信頼からMagic WANで保護されたサイトへ。

  • Magic WANで保護されたサイトから信頼へ。

信頼からMagic WANダッシュボード
名前オプション値
Trust_to_Cloudflare_Magic_WAN_Allowルールタイプユニバーサル (デフォルト)
タグによるグループ化なし
ソースタブソースゾーンTrust_L3_Zone
ソースアドレスVLAN0100_10-1-100-0—24
デスティネーションタブデスティネーションゾーンCloudflare_L3_Zone
デスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
アクションタブアクション許可
ログ設定セッション終了時にログ
プロファイルタイプなし
スケジュールなし
QoSマーキングなし

信頼からMagic WAN - 一般 信頼からMagic WAN - ソース 信頼からMagic WAN - デスティネーション 信頼からMagic WAN - アプリケーション 信頼からMagic WAN - サービス/URLカテゴリ 信頼からMagic WAN - アクション

信頼からMagic WANコマンドライン
Terminal window
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow to Cloudflare_L3_Zone
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow from Trust_L3_Zone
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow source VLAN0100_10-1-100-0--24
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow source-user any
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow category any
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow application any
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow service application-default
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow hip-profiles any
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow action allow
set rulebase security rules Trust_to_Cloudflare_Magic_WAN_Allow rule-type universal
Magic WAN to Trust ダッシュボード
名称オプション値
Cloudflare_Magic_WAN_to_Trust_Allowルールタイプuniversal (デフォルト)
タグでグループ化なし
ソースタブソースゾーンCloudflare_L3_Zone
ソースアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
デスティネーションタブデスティネーションゾーンTrust_L3_Zone
デスティネーションアドレスVLAN0100_10-1-100-0—24
アクションタブアクションAllow
ログ設定セッション終了時にログ
プロファイルタイプなし
スケジュールなし
QoSマーキングなし

Magic WAN to Trust - General Magic WAN to Trust - Source Magic WAN to Trust - Destination Magic WAN to Trust - Applications Magic WAN to Trust - Services/URL Categories Magic WAN to Trust - Action

Magic WAN to Trust コマンドライン
Terminal window
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow to Trust_L3_Zone
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow from Cloudflare_L3_Zone
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow source [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow destination VLAN0100_10-1-100-0--24
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow source-user any
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow category any
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow application any
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow service application-default
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow hip-profiles any
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow action allow
set rulebase security rules Cloudflare_Magic_WAN_to_Trust_Allow rule-type universal

ポリシーベースの転送 - プロダクショントラフィック

Palo Alto Networks Next-Generation Firewall​​を通過するトラフィックが入るか出るかにかかわらず、トラフィックが対称的にルーティングされることを確認することが重要です。これはポリシーベースの転送を使用して実現されます。

ポリシーベースの転送ルールは、出力トラフィックにのみ必要です。

Magic WAN保護サイトまたはGateway出力を持つMagic WAN保護サイトに向けられたトラフィックは、IPsecトンネルを介してルーティングされる必要があります。

ダッシュボード ポリシーベースの転送 - Magic WAN プロダクショントラフィック via tunnel.1

名称オプション値
PBF_Magic_WAN_Sites_01タグでグループ化なし
ソースタブタイプゾーン
ゾーンTrust_L3_Zone
ソースアドレスVLAN0100_10-1-100-0—24
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
転送タブアクションForward
出力インターフェースtunnel.1
次のホップIPアドレス
CF_MWAN_IPsec_VTI_01_Remote

PBF: Trust to Magic WAN via tunnel.1 - General PBF: Trust to Magic WAN via tunnel.1 - Source PBF: Trust to Magic WAN via tunnel.1 - Destinations PBF: Trust to Magic WAN via tunnel.1 - Forwarding

コマンドライン ポリシーベースの転送 - Magic WAN プロダクショントラフィック via tunnel.1

Terminal window
set rulebase pbf rules PBF_Magic_WAN_Sites_01 action forward nexthop ip-address CF_MWAN_IPsec_VTI_01_Remote
set rulebase pbf rules PBF_Magic_WAN_Sites_01 action forward egress-interface tunnel.1
set rulebase pbf rules PBF_Magic_WAN_Sites_01 from zone Trust_L3_Zone
set rulebase pbf rules PBF_Magic_WAN_Sites_01 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_Magic_WAN_Sites_01 source VLAN0100_10-1-100-0--24
set rulebase pbf rules PBF_Magic_WAN_Sites_01 destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase pbf rules PBF_Magic_WAN_Sites_01 source-user any
set rulebase pbf rules PBF_Magic_WAN_Sites_01 application any
set rulebase pbf rules PBF_Magic_WAN_Sites_01 service any
set rulebase pbf rules PBF_Magic_WAN_Sites_01 disabled no
set rulebase pbf rules PBF_Magic_WAN_Sites_01 negate-destination no

ダッシュボード ポリシーベースの転送 - Magic WAN プロダクショントラフィック via tunnel.2

名称オプション値
PBF_Magic_WAN_sites_02タグでグループ化なし
ソースタブタイプゾーン
ゾーンTrust_L3_Zone
ソースアドレスVLAN0100_10-1-100-0—24
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
転送タブアクションForward
出力インターフェースtunnel.2
次のホップIPアドレス
CF_MWAN_IPsec_VTI_02_Remote

PBF: Trust to Magic WAN via tunnel.2 - General PBF: Trust to Magic WAN via tunnel.2 - Source PBF: Trust to Magic WAN via tunnel.2 - Destinations PBF: Trust to Magic WAN via tunnel.2 - Forwarding

コマンドライン ポリシーベースの転送 - tunnel.2

Terminal window
set rulebase pbf rules PBF_Magic_WAN_Sites_02 action forward nexthop ip-address CF_MWAN_IPsec_VTI_02_Remote
set rulebase pbf rules PBF_Magic_WAN_Sites_02 action forward egress-interface tunnel.2
set rulebase pbf rules PBF_Magic_WAN_Sites_02 from zone Trust_L3_Zone
set rulebase pbf rules PBF_Magic_WAN_Sites_02 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_Magic_WAN_Sites_02 source VLAN0100_10-1-100-0--24
set rulebase pbf rules PBF_Magic_WAN_Sites_02 destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase pbf rules PBF_Magic_WAN_Sites_02 source-user any
set rulebase pbf rules PBF_Magic_WAN_Sites_02 application any
set rulebase pbf rules PBF_Magic_WAN_Sites_02 service any
set rulebase pbf rules PBF_Magic_WAN_Sites_02 disabled no
set rulebase pbf rules PBF_Magic_WAN_Sites_02 negate-destination no

Magic WAN と Cloudflare Zero Trust (Gateway 出力)

このセクションでは、Cloudflare Gatewayの使用をサポートするための追加について説明します。Cloudflare Gatewayを追加すると、DNS、ネットワーク、HTTP、および出力フィルタリングを通じてインターネットへのアウトバウンドトラフィックを検査するためのポリシーを設定できます。

このユースケースは、次の2つの方法のいずれかでサポートできます。

  • オプション 1

    • セキュリティルール: Trust_to_Cloudflare_Magic_WAN_Allowルールの範囲を拡張して、任意のデスティネーションアドレスを許可します。
    • ポリシーベースの転送: PBF_Magic_WAN_Sites_01およびPBF_Magic_WAN_Sites_02の範囲を拡張して、任意のデスティネーションアドレスを許可します。

  • オプション 2

    • セキュリティルール: Trust_to_Cloudflare_Magic_WAN_Allowの下に新しいルールTrust_to_MWAN_Gateway_Egress_Allowを追加して、Magic WAN保護サイトを除く任意のデスティネーションアドレスへのトラフィックを許可します（ネガティブオプションを使用）。
    • ポリシーベースの転送: PBF_Magic_WAN_Sites_01およびPBF_Magic_WAN_Sites_02の下に新しいルールを追加して、Magic WAN保護サイトを除く任意のデスティネーションアドレスを許可します（ネガティブオプションを使用）。

以下の例はオプション2に基づいています。

セキュリティルール: Trust to Gateway Egress

ダッシュボード

名前オプション値
Trust_to_MWAN_Gateway_Egress_Allowルールタイプuniversal (default)
タグによるグループ化None
ソースタブソースゾーンTrust_L3_Zone
デスティネーションタブデスティネーションゾーンCloudflare_L3_Zone
デスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
Negate
アクションタブアクションAllow
ログ設定セッション終了時にログ
プロファイルタイプNone
スケジュールNone
QoSマーキングNone

Trust to MWAN Egress - General Trust to MWAN Egress - Source Trust to MWAN Egress - Destination Trust to MWAN Egress - Applications Trust to MWAN Egress - Services/URL Categories Trust to MWAN Egress - Action

コマンドライン

Terminal window
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow to Cloudflare_L3_Zone
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow from Trust_L3_Zone
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow source any
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow source-user any
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow category any
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow application any
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow service application-default
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow hip-profiles any
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow action allow
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow rule-type universal
set rulebase security rules Trust_to_MWAN_Gateway_Egress_Allow negate-destination yes

ポリシーベースの転送: トラストからゲートウェイの出口へトンネル.1経由

ダッシュボード

名前オプション値
PBF_MWAN_Egress01タグによるグループ化None
ソースタブソースゾーンTrust_L3_Zone
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
Negate
転送タブアクションForward
出口インターフェースtunnel.1
次のホップIP Address
CF_MWAN_IPsec_VTI_01_Remote

PBF: Trust to Magic WAN Egress via tunnel.1 - General PBF: Trust to Magic WAN via tunnel.1 - Source PBF: Trust to Magic WAN via tunnel.1 - Destinations PBF: Trust to Magic WAN via tunnel.1 - Forwarding

コマンドライン

Terminal window
set rulebase pbf rules PBF_MWAN_Egress_01 action forward nexthop ip-address CF_MWAN_IPsec_VTI_01_Remote
set rulebase pbf rules PBF_MWAN_Egress_01 action forward egress-interface tunnel.1
set rulebase pbf rules PBF_MWAN_Egress_01 from zone Trust_L3_Zone
set rulebase pbf rules PBF_MWAN_Egress_01 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_MWAN_Egress_01 source VLAN0100_10-1-100-0--24
set rulebase pbf rules PBF_MWAN_Egress_01 destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase pbf rules PBF_MWAN_Egress_01 source-user any
set rulebase pbf rules PBF_MWAN_Egress_01 application any
set rulebase pbf rules PBF_MWAN_Egress_01 service any
set rulebase pbf rules PBF_MWAN_Egress_01 disabled no
set rulebase pbf rules PBF_MWAN_Egress_01 negate-destination yes

ポリシーベースの転送: トラストからゲートウェイの出口へトンネル.2経由

ダッシュボード

名前オプション値
PBF_MWAN_Egress02タグによるグループ化None
ソースタブソースゾーンTrust_L3_Zone
ソースアドレスVLAN0100_10-1-100-0—24
デスティネーション/アプリケーション/サービスタブデスティネーションアドレスVLAN0010_10-1-10-0—24
VLAN0020_10-1-20-0—24
Negate
転送タブアクションForward
出口インターフェースtunnel.2
次のホップIP Address
CF_MWAN_IPsec_VTI_02_Remote

PBF: Trust to Magic WAN Egress via tunnel.2 - General PBF: Trust to Magic WAN via tunnel.2 - Source PBF: Trust to Magic WAN via tunnel.2 - Destinations PBF: Trust to Magic WAN via tunnel.2 - Forwarding

コマンドライン

Terminal window
set rulebase pbf rules PBF_MWAN_Egress_02 action forward nexthop ip-address CF_MWAN_IPsec_VTI_02_Remote
set rulebase pbf rules PBF_MWAN_Egress_02 action forward egress-interface tunnel.2
set rulebase pbf rules PBF_MWAN_Egress_02 from zone Trust_L3_Zone
set rulebase pbf rules PBF_MWAN_Egress_02 enforce-symmetric-return enabled no
set rulebase pbf rules PBF_MWAN_Egress_02 source VLAN0100_10-1-100-0--24
set rulebase pbf rules PBF_MWAN_Egress_02 destination [ VLAN0010_10-1-10-0--24 VLAN0020_10-1-20-0--24 ]
set rulebase pbf rules PBF_MWAN_Egress_02 source-user any
set rulebase pbf rules PBF_MWAN_Egress_02 application any
set rulebase pbf rules PBF_MWAN_Egress_02 service any
set rulebase pbf rules PBF_MWAN_Egress_02 disabled no
set rulebase pbf rules PBF_MWAN_Egress_02 negate-destination yes

トラブルシューティング

Cloudflareは、一般的なトラブルシューティングのためにPAN-OS 9.1 管理者ガイド - VPNエラーメッセージの解釈 ↗およびPAN-OS 10.2 管理者ガイド - VPNエラーメッセージの解釈 ↗を参照することを推奨します。

Cloudflare DashboardDiscordCommunityLearning CenterSupport Portal
Cookie Settings