Skip to content

非公式本サイトは非公式の日本語ドキュメントであり、Cloudflare 公式サイトではありません。最新情報はdevelopers.cloudflare.comをご確認ください。

Sophos Firewall

最終更新 Markdown で表示Agent セットアップ

このチュートリアルでは、次のバージョンの Sophos Firewall で Cloudflare WAN（旧 Magic WAN）を使う方法を説明します。

  • 検証済みの Sophos フォームファクター:

    • Sophos Firewall XGS および XG シリーズハードウェア
    • VMware 上の Sophos Firewall 仮想アプライアンス

  • 検証済みの Sophos ソフトウェアバージョン:

    • SFOS Version 19.0 MR2-Build 472
    • SFOS Version 19.5.1 MR1-Build 278

Cloudflare WAN へは、Generic Routing Encapsulation（GRE）または IPsec トンネル で接続できます。

IPsec 接続

次の手順では、Sophos Firewall デバイスで IPsec 接続を設定します。明示していない設定は、既定値のままで構いません。

1. IPsec プロファイルを追加する

  1. System > Profiles を開きます。
  2. IPsec profiles で Add を選びます。
  3. General settings グループで、次の設定にします。
    • Name: わかりやすい名前を付けます。
    • Key exchange: IKEv2
    • Authentication mode: Main mode
  4. Phase 1 グループで、次の設定にします。
    • DH group (key group): 20
    • Encryption: AES256
    • Authentication: SHA2 256
  5. Phase 2 グループで、次を選びます。
    • PFS group (DH group): Same as phase-1
    • Key life: 28800
    • Encryption: AES256
    • Authentication: SHA2 256
  6. Dead Peer Detection を有効にします。
  7. When peer unreachable で Re-initiate を選びます。
  8. Save を選びます。

2. IPsec 接続トンネルを作成する

次に、Sophos Firewall デバイスでサイト間 IPsec VPN 接続を設定します。

  1. Configure > Site-to-site VPN を開きます。
  2. IPsec で Add を選びます。
  3. General settings グループで、次の設定にします。
    • Name: サイト間 VPN にわかりやすい名前を付けます。
    • Connection type: Tunnel interface
    • Gateway type: Initiate the connection
  4. Encryption グループで、次の設定にします。
    • Authentication type: Preshared key
  5. Gateway settings で、次の設定にします。
    • Gateway address: アカウントに割り当てられた Cloudflare anycast IP アドレスのいずれかを入力します。Leased IPs ↗ で確認できます。
    • Local ID type: Cloudflare が提供する IKE ID を追加します。
IPsec トンネルを設定します。

注: この画像のラベルは、以前の製品名のままの場合があります。

IPsec トンネルを設定すると、IPsec 接続一覧に Active ステータスで表示されます。

IPsec トンネルは IPsec 接続一覧に表示されます。

注: この画像のラベルは、以前の製品名のままの場合があります。

3. XFRM インターフェースアドレスを割り当てる

Cloudflare WAN で トンネルエンドポイントを設定する ときに必要な /31 サブネットから、インターフェースアドレスを使う必要があります。

  1. Configure > Network を開きます。
  2. Interfaces で、手順 2 で作成した IPsec トンネルに対応するインターフェースを選びます。
  3. インターフェースを編集し、トンネルエンドポイントを設定する ときに必要な /31 サブネットからアドレスを割り当てます。完了すると、次のようになります。
XFRM インターフェースを設定します。

注: この画像のラベルは、以前の製品名のままの場合があります。

4. ファイアウォールルールを追加する

  1. Protect > Rules and policies を開きます。
  2. Firewall rules で、自社の基準とセキュリティポリシーに沿ったファイアウォールルールを作成し、Sophos と Cloudflare WAN のあいだでトラフィックが流れるようにします。
自社の基準とセキュリティポリシーに沿ったファイアウォールルールを作成します。

5. IPsec アンチリプレイを無効にする

Sophos Firewall で IPsec Anti-Replay を無効にします。アンチリプレイ設定を変更すると IPsec サービスが再起動し、すべての IPsec トンネルでトンネルフラップが発生します。すべての VPN 接続で、グローバルに IPsec アンチリプレイ保護も無効になります。変更は計画的に行ってください。

SFOS バージョン 19 と SFOS バージョン 19.5 での手順は次のとおりです。

SFOS 19.0 MR2-Build 472、19.5 MR1-Build278、またはそれ以降:

  1. CLI にサインインします。

  2. 4 を入力して Device console を選び、次のコマンドを入力します。

    set vpn ipsec-performance anti-replay window-size 0
    アンチリプレイを無効にするため CLI を使います。

古い SFOS バージョン

Sophos サポートに問い合わせてください。

GRE 接続

1. SFOS と Cloudflare のあいだに GRE トンネルを設定する

まず、SFOS と Cloudflare anycast IP アドレスのあいだに GRE トンネルを設定します。

  1. CLI にサインインします。

  2. 4 を入力して Device console を選び、次のコマンドを入力します。

    system gre tunnel add name <NAME_OF_YOUR_GRE_TUNNEL> local-gw <WAN_PORT> remote-gw <REMOTE_GATEWAY_IP_ADDRESS> local-ip <LOCAL_IP_ADDRESS> remote-ip <REMOTE_IP_ADDRESS>
    GRE トンネルを設定するため CLI を使います。

    詳細は Sophos Firewall knowledge base ↗ を参照してください。

2. GRE トンネル経由でトラフィックを転送する GRE または SD-WAN ルートを追加する

GRE トンネル経由でトラフィックを転送する GRE または SD-WAN ルートの追加方法は、Sophos Firewall のトラフィック転送の仕組み を参照してください。

3. LAN/DMZ から VPN 向けのファイアウォールルールを追加する

自社の基準とセキュリティポリシーに沿ったファイアウォールルールを作成し、Sophos と Cloudflare WAN のあいだでトラフィックが流れるようにします。このファイアウォールルールには、必要なネットワークとサービスを含めます。

  1. Protect > Rules and policies を開きます。
  2. Firewall rules で IPv4 > Add firewall rule を選びます。
自社の基準とセキュリティポリシーに沿ったファイアウォールルールを作成します。

Sophos Firewall のトラフィック転送の仕組み

トラフィックを転送するには、静的ルートまたは SD-WAN ルートを追加できます。

IPsec

静的ルート

Configure > Routing > Static routes を開き、XFRM インターフェースベースのルートを追加します。インターフェースは、IPsec ベースのトンネルインターフェース（上記の Cloudflare_MWAN の例など）を設定すると自動作成されます。

静的ルートを開き、XFRM インターフェースベースのルートを追加します。

注: この画像のラベルは、以前の製品名のままの場合があります。

SD-WAN ルート

  1. Configure > Routing > Gateways を開き、XFRM インターフェース上にカスタムゲートウェイを作成します。インターフェースは、IPsec ベースのトンネルインターフェース（上記の Cloudflare_MWAN の例など）を設定すると自動作成されます。
Gateways を開き、XFRM インターフェースベースのルートを追加します。

注: この画像のラベルは、以前の製品名のままの場合があります。

  1. Configure > Routing > SD-WAN routes で Add を選び、Cloudflare へトラフィックを転送するルートに、必要なネットワークとサービスを追加します。接続にわかりやすい名前を付け、Incoming interface と Source networks に IPsec トンネル用に設定した IP アドレスを入力します。正しい Primary gateway オプションを選んでください。
SD-WAN を開き、ルートに必要なネットワークとサービスを追加します。

GRE

ルーティング要件に応じて、GRE ルート、SD-WAN ルート、または両方を追加します。

GRE ルート

CLI でルートを追加します。

  1. CLI にサインインします。
  2. 4 を入力して Device console を選び、次のコマンドでトンネルを作成します。
system gre route add net <IP_ADDRESS> tunnelname <TUNNEL_NAME>
CLI でルートを追加します。

SD-WAN ルート

  1. GRE 上にカスタムゲートウェイを追加します。Gateway IP アドレスにはピア IP アドレス（先に選んだ /31 サブネットから）を使い、Health check は無効にします。
GRE 上にカスタムゲートウェイを追加します。
  1. Cloudflare へトラフィックを転送するルートに、必要なネットワークとサービスを含む SD-WAN ルートを追加します。
SD-WAN ルートを追加します。

Cloudflare ダッシュボードでトンネルステータスを確認する

Cloudflare ダッシュボードは、Cloudflare からオリジンネットワークへトラフィックをルーティングする、アカウント上のすべての anycast トンネルの健全性を監視します。詳細は ダッシュボードでトンネルの健全性を確認する を参照してください。

Cloudflare ヘルスチェックを設定する

  1. Cloudflare からの ICMP プローブパケットは、anycast 送信元 IP を持つ ICMP request である必要があります。次の例では、ターゲット例として 172.64.240.252 を使っています。
curl --request PUT \
https://api.cloudflare.com/client/v4/accounts/{account_id}/magic/ipsec_tunnels/{tunnel_id} \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data '{
  "health_check": {
    "enabled": true,
    "target": "172.64.240.252",
    "type": "request",
    "rate": "mid"
  }
}'
  1. Configure > Network > Interfaces > Add alias を開きます。ICMP プローブトラフィック用に Cloudflare が提供する IP アドレスを追加します。Sophos ファイアウォールがスプーフパケットとして破棄するのを防ぐために必要です。VPN 作成に使う IP とは異なります。プローブトラフィック専用の特別な IP アドレスです。
ファイアウォールがプローブを破棄しないよう、Cloudflare が提供する IP アドレスを追加します。
  1. SFOS からの ICMP 応答は、プローブパケットを受信したのと同じトンネル経由で戻す必要があります。追加の SD-WAN ポリシールートを作成します。
ICMP 応答が同じトンネル経由で Cloudflare に戻るよう、SD-WAN ルートを設定します。

パケットフローは次のようになります。

tcpdump -nn proto 1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked v1), capture size 262144 bytes

13:09:55.500453 xfrm1, IN: IP 172.70.51.31 > 172.64.240.252: ICMP echo request, id 33504, seq 0, length 64
13:09:55.500480 xfrm1, OUT: IP 172.64.240.252 > 172.70.51.31: ICMP echo reply, id 33504, seq 0, length 64

13:09:55.504669 xfrm1, IN: IP 172.71.29.66 > 172.64.240.252: ICMP echo request, id 60828, seq 0, length 64
13:09:55.504695 xfrm1, OUT: IP 172.64.240.252 > 172.71.29.66: ICMP echo reply, id 60828, seq 0, length 64

Sophos Firewall ダッシュボードでトンネルステータスを確認する

IPsec

トンネルが動作しているとき、Status は緑になります。

トンネルが動作していると、緑のステータスで表示されます。

注: この画像のラベルは、以前の製品名のままの場合があります。

対応する XFRM インターフェースも Connected ステータスを示します。

XFRM インターフェースも接続済みステータスを示します。

注: この画像のラベルは、以前の製品名のままの場合があります。

GRE

CLI にアクセスし、system gre tunnel show と入力して GRE トンネルのステータスを確認します。トンネルが動作しているとき、ステータスは Enabled と表示されます。

動作中の GRE トンネルは Enabled ステータスを示します。 動作中の GRE トンネルは Enabled ステータスを示します。

トラブルシューティング

トンネルの両端が接続済みでも確立されない場合:

  • IPsec プロファイルの設定が正しいかを確認します。
  • 対応するトンネルインターフェースが起動していることを確認します。
  • SFOS 上のルーティング設定とルート優先順位が正しいことを確認します。
  • Cloudflare 側に静的な戻りルートを追加していることを確認します。
  • 特定のゾーンとホストまたはサービス向けのファイアウォールルールを、SFOS に追加する必要があります。GRE と IPsec は VPN ゾーンに属します。
  • tcpdump を実行し、パケットが想定どおり VPN または GRE トンネルを通過しているかを確認します。
  • Cloudflare でパケットキャプチャを実行し、トラフィックが Cloudflare プラットフォームに到達しているかを確認します。

役に立ちましたか？