ノート:

• このチュートリアルでは、Oracle Cloudへのアクセスが必要です。無料アカウントにサインアップするには、Oracle Cloud Infrastructure Free Tierの開始を参照してください。
• Oracle Cloud Infrastructureの資格証明、テナンシおよびコンパートメントに例の値を使用します。演習を終える際は、これらの値をクラウド環境に固有の値に置き換えてください。

Oracle Cloud InfrastructureへのpfSenseファイアウォールのインストール

イントロダクション

ノート: pfSenseは、NetgateまたはOracleによるOracle Cloud Infrastructureでは公式にサポートされていません。このチュートリアルを試す前に、pfSenseサポート・チームに連絡してください。

pfSenseは、Oracle Cloud Infrastructure (OCI)ネイティブ・ファイアウォール・サービスをシミュレートできる本番またはテスト目的で使用できるファイアウォールです。このpfSenseファイアウォール設定は、ハブおよびスポークVCNルーティング・シナリオ内で使用できます。

次の図は、デプロイメントおよび構成が終了したときに環境がどのように表示されるかを示しています。

目的

• OCI内でpfSenseファイアウォールを設定します。ルーティングおよびセキュリティ・リストを調整して、pfSenseファイアウォールを適切に管理できるようにし、ICMPテストを実行して接続を確認します。

前提条件

• OCI内でpfSenseファイアウォールの設定を開始する前に、Webブラウザを使用して新しいpfSenseファイアウォールに接続し、pfSenseファイアウォールで管理を実行できる別のインスタンスを持つことが重要です。このチュートリアルでは、これを行うためにWindowsインスタンスを作成しました。同じようなものがあることを確認してください。

タスク1: pfSenseイメージのダウンロード

• NetgateのWebサイトからpfSenseイメージをダウンロードします。必ずmemstick-serialバージョンをダウンロードしてください。使用しているイメージのファイル名はpfSense-CE-memstick-serial-2.7.2-RELEASE-amd64.img.gzです。詳細は、Netgateを参照してください。

  

  1. イメージは.gz形式になります。
  2. OS Xを使用している場合は、圧縮ファイルを右クリックして「次で開く」をクリックします。
  3. イメージを圧縮解除するには、「アーカイブ・ユーティリティ(デフォルト)」を選択します。

  

• イメージ・ファイル名がpfSense-CE-memstick-serial-2.7.2-RELEASE-amd64.imgであることに注意してください。

  

タスク2: OCIオブジェクト・ストレージ・バケットの作成

このタスクでは、pfSenseイメージのアップロードおよびカスタム・イメージの作成に使用するOCIオブジェクト・ストレージ・バケットを作成します。

• ストレージ・バケットを作成します。

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「ストレージ」をクリックします。
  3. 「バケット」をクリックします。

  

• 「バケットの作成」をクリックします。

  

  1. バケット名を入力します。
  2. 「標準」ストレージ層を「デフォルト・ストレージ層」として選択します。
  3. 「作成」をクリックします。

  

• ストレージ・バケットが作成されていることを確認します。

  

タスク3: pfSenseイメージのストレージ・バケットへのアップロード

• タスク1でダウンロードしたイメージをアップロードします。

  1. 下へスクロール
  2. 「アップロード」をクリックします。

  

• 「オブジェクトのアップロード」画面で、次の情報を入力します。

  1. 「オブジェクト名の接頭辞」と入力します。
  2. ストレージ層として標準を選択します。
  3. 「ファイルの選択」をクリックし、pfSenseイメージを選択します。
  4. pfSenseイメージを選択すると、次のセクションに表示されます。
  5. 「アップロード」をクリックします。

  

• pfSenseイメージがストレージ・バケットにアップロードされている間は、進捗をモニターできます。

  

  1. pfSenseイメージが完全にアップロードされると、進捗ステータスは「終了」になります。
  2. 「閉じる」をクリックします。

  

タスク4: カスタム・イメージの作成

pfSenseイメージをアップロードしました。次に、このアップロードされたイメージからカスタムOCIイメージを作成する必要があります。このカスタムOCIイメージは、pfSenseファイアウォール・インスタンスの作成に使用されます。

• カスタム・イメージの作成

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「計算」をクリックします。
  3. 「カスタム・イメージ」をクリックします。

  

• 「イメージのインポート」をクリックします。

  

• 「イメージのインポート」セクションで、次の情報を入力します。

  1. nameを入力します。
  2. 「オペレーティング・システム」として「汎用Linux」を選択します。
  3. 「オブジェクト・ストレージ・バケットからインポート」を選択します。
  4. イメージをアップロードしたストレージ・バケットを選択します。
  5. 「オブジェクト名」で、pfSenseイメージを選択します。
  6. 「イメージ・タイプ」として「VMDK」を選択します。
  7. 下へスクロール

  

• 他のフィールドはデフォルトのままにして、「イメージのインポート」をクリックします。

  

  1. ステータスが「インポート中」であることを確認します。
  2. 下へスクロール

  

  1. 状態が「In progress」であることを確認します。
  2. 進捗をモニターします。

  

  1. 数分後、ステータスは使用可能になり、状態は「成功」に変わります。
  2. 「%完了」は「100%」になります。

  

タスク5: カスタムpfSenseイメージを使用したインスタンスの作成

• インスタンスの作成

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「計算」をクリックします。
  3. 「インスタンス」をクリックします。

  

  1. 「インスタンスの作成」をクリックします。

  

  1. インスタンスの名前を入力します。
  2. 下へスクロール

  

• 「イメージの変更」をクリックします。

  

  1. 「マイ・イメージ」を選択します。
  2. 「カスタム・イメージ」を選択します。
  3. 下へスクロール

  

  1. タスク4で作成したカスタム・イメージを選択します。
  2. 「イメージの選択」をクリックします。

  

  1. pfSenseイメージが選択されていることを確認します。
  2. 下へスクロール

  

  1. 「プライマリ・ネットワーク」で、「既存の仮想クラウド・ネットワークを選択」を選択します。
  2. pfSenseインスタンスにアタッチするVCNを選択します。
  3. 「サブネット」で、「既存のサブネットを選択」を選択します。
  4. pfSenseインスタンスにアタッチするサブネットを選択します。
  5. 下へスクロール

  

  1. 「プライベートIPv4アドレスの手動割当て」を選択します。
  2. IPv4アドレスを入力します。
  3. 下へスクロール

  

  1. 「SSHキーなし」を選択します。
  2. 下へスクロール

  

• 「作成」をクリックします。

  

• ステータスが「プロビジョニング中」であることを確認します。

  

• 数分後、ステータスは「実行中」に変わります。

  

• 次の図は、作成したものを視覚的に表現したものです。

  

タスク6: インスタンスへのpfSenseのインストール

pfSenseファイアウォールの初期インストールおよび設定を行う必要があります。すでに実行中のインスタンスがあります。

• pfSenseファイアウォール・ソフトウェアをインストールするには、コンソール接続を作成する必要があります。

  1. 下へスクロール
  2. 「コンソール接続」をクリックします。
  3. 「Cloud Shell接続の起動」をクリックします。

  

• 「クラウド・シェル」ウィンドウが開きます。

  

• いくつかの起動メッセージが表示されます。「入力」を押します。

  

• 著作権に関するメッセージを読み、「Accept」を選択してから、「ENTER」を押します。

  

  1. 「Install pfSense」を選択します。
  2. 「OK」を選択し、「ENTER」を押します。

  

  1. 「Manual Disk Setup (experts)」を選択します。
  2. 「OK」を選択し、「ENTER」を押します。

  

  1. da0 - 47 GB MBRを選択します。
  2. 「Create」を選択し、「ENTER」を押します。

  

  1. 「タイプ」に、freebsdと入力します。
  2. 「サイズ」に、46 GBと入力します。
  3. 「Mountpoint」と入力します。
  4. 「OK」を選択し、「ENTER」を押します。

  

  1. da0s4で、「46 GB BSD」を選択します。
  2. 「Create」を選択し、「ENTER」を押します。

  

  1. 「タイプ」に、freebsd-ufsと入力します。
  2. 「サイズ」に、40 GBと入力します。
  3. 「マウントポイント」に、/と入力します。
  4. 「OK」を選択し、「ENTER」を押します。

  

  1. /のマウント・ポイントが作成されていることを確認します。
  2. da0s4に、46 GB BSDと入力します。
  3. 「Create」を選択し、「ENTER」を押します。

  

  1. 「タイプ」に、freebsd-swapと入力します。
  2. 「サイズ」に、5770 MBと入力します。
  3. 「Mountpoint」と入力します。
  4. 「OK」を選択し、「ENTER」を押します。

  

  1. マウントポイントがスワップ用に作成されていることを確認します。
  2. 「Finish」を選択し、「ENTER」を押します。

  

• 「Commit」を選択し、「ENTER」を押します。

  

• インストールによって、設定の初期化が開始されます。

  

  インストールでは、迅速なチェックサム検証が実行されます。

  

  インストールによってアーカイブ抽出が実行されます。

  

• 新規インストールであるため、「Could not locate an existing config.xml file!」というメッセージが表示されます。

  

• 「Reboot」を選択し、「ENTER」を押します。

  

• 最初のリブート後、WANインタフェースを構成するためのいくつかの構成オプションが表示されます。

• 「Should VLANS be set up」に nと入力し、「ENTER」を押します。

  

• 「WANインタフェース名または自動検出(vtnet0またはa)の場合はa」に、vtnet0と入力します。

  

• この設定では、1つのインタフェースのみを持つファイアウォールを作成しているため、LANインタフェースは構成しません。したがって、ENTER the LAN interface name or 'a' for auto-detectionの場合は、ENTERを押してこのインタフェースの設定をスキップします。

  

  1. WANインタフェース名を確認します。
  2. 「Do you want to proceed」に「y」と入力し、「ENTER」を押します。

  

• いくつかのメッセージが表示され、構成が行われます。

  

• pfSense OSはフル・ブートを実行します。

  

  1. IPアドレスはDHCPを使用して構成されます。
  2. 追加の基本構成を行うには、pfSenseメニューに注意してください。

  

タスク7: pfSense Webグラフィック・ユーザー・インタフェース(GUI)への接続および初期設定の完了

インストールが完了しました。ここでは、pfSenseファイアウォールのWebインタフェースに接続する必要があります。ただし、この前に、VCNのセキュリティ・リストでいくつかのポートを開く必要があります。

• イングレス・ルールの追加

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「Virtual Cloud Networks」をクリックするか、「ネットワーキング」および「Virtual Cloud Networks」に移動します。

  

• pfSenseファイアウォールがアタッチされているVCNを選択します。

  

  1. 下へスクロール
  2. 「セキュリティ・リスト」をクリックします。
  3. 「Default Security List for HUB-VCN」をクリックします。

  

• 「イングレス・ルールの追加」をクリックして、イングレス・ルールを作成します。

  

  1. 「ソース・タイプ」に、CIDRと入力します。
  2. 「ソースCIDR」で、このチュートリアルに172.16.0.128/25と入力します。これは、ブラウザを使用してpfSenseファイアウォールに接続するために使用する、Windowsインスタンスを含むサブネットです。
  3. 「IPプロトコル」に、「TCP」と入力します。
  4. 「宛先ポート範囲」に、80,443と入力します。
  5. 「イングレス・ルールの追加」 をクリックします。

  

• VCNにアタッチされているセキュリティ・リストのTCP/80およびTCP/443ポートを許可するために、セキュリティ・ルールが追加されていることに注意してください。これにより、Windowsインスタンスからこの新しいpfSenseファイアウォール・インスタンスへのHTTPおよびHTTPS接続を設定できます。

  

  1. コンピュートおよびインスタンスに移動します。
  2. pfSenseファイアウォールIPアドレスをノートにとります。

  

  1. Windowsインスタンスで、ブラウザを開き、HTTPSを使用してpfSenseファイアウォールIPに移動します。
  2. 「詳細設定」をクリックします。

  

• 「続行」をクリックします。

  

  1. デフォルトのユーザー名にadminを入力します。
  2. デフォルト・パスワードにpfsenseと入力します。
  3. 「サインイン」をクリックします。

  

• 「次」をクリックします。

  

• 「次」をクリックします。

  

  1. ホスト名の入力
  2. ドメイン名を入力するか、ドメイン名をデフォルトのままにします。
  3. 下へスクロール

  

• 「次」をクリックします。

  

• 「次」をクリックします。

  

  ノート:ネットワークを使用している場合は、インスタンスの作成時に静的IPv4アドレスを使用するように指定したため、少し奇妙に見えることがあります。この特定のケースでの動作方法は、OracleがDHCPサーバーで静的IPを予約し、このアドレスをpfSenseファイアウォールに割り当てることです。そのため、pfSenseファイアウォールは常に同じIPアドレスを取得しますが、OCIの観点から見ると、これは静的IPとなり、pfSenseの観点から見ると、これはDHCPアドレスになります。

  1. 「WANインタフェースの構成」で、「DHCP」を選択します。
  2. 下へスクロール

  

  1. すべてのIPアドレス設定をデフォルトのままにします。
  2. 下へスクロール

  

• 下へスクロール

  

• 「次」をクリックします。

  

  1. 新規管理パスワードを入力してください。
  2. 再度管理パスワードを入力してください。
  3. 「次」をクリックします。

  

• 「リロード」をクリックします。

  

• pfSenseファイアウォール構成が再ロードされることに注意してください。

  

• 下へスクロール

  

• 「終了」をクリックします。

  

• 下へスクロール

  

• 「同意」をクリックします。

  

• 「閉じる」をクリックします。

  

• 次の図は、作成した内容を視覚的に示したものです。Windowsのステップ・ストーンを使用してpfSenseファイアウォールに接続することに注意してください。

  

• pfSenseファイアウォールがインターネットにアクセスできない場合、ダッシュボード・ページのロードには少し時間がかかります。ただし、これを修正するには、OCI NATゲートウェイを使用してpfSenseファイアウォールをインターネットに許可します。

  1. pfSenseファイアウォールがインストールされ、ダッシュボードが表示されることに注意してください。
  2. サポート情報は利用できないことに注意してください。これは、pfSenseファイアウォールがプライベート・サブネットにインストールされており、このプライベート・サブネットはデフォルトでインターネットにアクセスできないためです。

  

• インターネット・トラフィックをNATゲートウェイにルーティングします。VCNにNATゲートウェイが存在することを確認します。

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「Virtual Cloud Networks」をクリックするか、「ネットワーキング」および「Virtual Cloud Networks」に移動します。

  

• pfSenseファイアウォールがアタッチされ、NATゲートウェイが存在するVCNを選択します。

  

  1. 「ルート表」をクリックします。
  2. 「HUB-VCNのデフォルト・ルート表」をクリックします。

  

  1. デフォルトのルート表には、すべてのトラフィックをインターネット・ゲートウェイにルーティングするルートがあることに注意してください。プライベート・サブネットのトラフィックをNATゲートウェイにルーティングする必要があるため、これは使用できません。
  2. 「HUB-VCN」をクリックして、「ルート表の詳細」ページから1ページに戻ります。

  

• トラフィックを特定のサブネットのNATゲートウェイにルーティングするには、新しいルート表を作成し、そのルート表をプライベート・サブネットにアタッチする必要があります。「ルート表の作成」をクリックします。

  

  1. 名前を入力します。
  2. 「ターゲット・タイプ」に、NAT Gatewayと入力します。
  3. 「宛先CIDRブロック」に、0.0.0.0/0と入力します。
  4. 下へスクロール

  

  1. VCNですでに使用可能なNAT Gatewayを選択します。NATゲートウェイがない場合は、「取消」をクリックしてNATゲートウェイを作成します。
  2. 「作成」をクリックします。

  

  1. NATゲートウェイへの静的ルートが作成されていることを確認します。
  2. 「HUB-VCN」をクリックして、「ルート表の詳細」ページから1ページに戻ります。

  

• 新しいルート表が作成されていることを確認します。

• 次に、そのルート表をサブネットにバインドします。

  1. 「サブネット」をクリックします。
  2. pfSenseインスタンスが現在アタッチされているサブネットである「プライベート・サブネット」をクリックします。

  

• 「編集」をクリックします。

  

  1. 作成したルート表を選択します。
  2. 「変更を保存」をクリックします。

  

• プライベート・サブネットのルート表が変更されていることを確認します。

  

• Windowsインスタンスに戻ります。

  1. ページをリフレッシュします。
  2. 下へスクロール

  

• 「同意」をクリックします。

  

• 「閉じる」をクリックします。

  

• 「Netgate Services and Support」セクションが変更されることに注意してください。

• ダッシュボード・ページのレスポンス時間も短くなります。

  

• pfSense Web管理インタフェースを使用します。

  1. 「Firewall」をクリックします。
  2. 「ルール」をクリックします。

  

• pfSenseファイアウォールのデフォルト・ルールに注意してください。

  

• 次の図は、作成した内容を視覚的に示したものです。

  • pfSenseファイアウォールがインターネットと通信できるように、NATゲートウェイが使用されることに注意してください。

  • デフォルトのセキュリティ・リストでポートTCP/80およびTCP/443も開いていることに注意してください。

  

タスク8: Pingを使用した接続の確認

• ping (ICMP)を使用した接続の確認は、テストの開始点として適しています。

  1. Windowsインスタンスで、コマンド・プロンプトを開き、pfSenseファイアウォールのIPアドレスにpingを試行します。
  2. pingの結果に 100%パケット損失が表示されていることを確認します。

  

• これを解決するには、次のことが必要です。

  • VCNにアタッチされているデフォルトのセキュリティ・リストで、インターネット制御メッセージ・プロトコル(ICMP)を開きます。
  • pfSenseファイアウォールでICMPを開きます。

• まずはデフォルトのセキュリティ・リストから始めましょう。

  1. 左上隅のハンバーガーメニュー(≡)をクリックします。
  2. 「Virtual Cloud Networks」をクリックするか、「ネットワーキング」および「Virtual Cloud Networks」に移動します。

  

• pfSenseファイアウォールがアタッチされ、NATゲートウェイがあるVCNを選択します。

  

  1. 下へスクロール
  2. 「セキュリティ・リスト」をクリックします。
  3. 「HUB-VCNのデフォルト・セキュリティ・リスト」をクリックします。

  

• 「イングレス・ルールの追加」をクリックして、イングレス・ルールを作成します。

1. 「ソース・タイプ」に、CIDRと入力します。
2. 「ソースCIDR」に、0.0.0.0/0と入力します。
3. 「IP Protocol」に、「ICMP」と入力します。
4. 「イングレス・ルールの追加」をクリックします。

• 追加したICMPルールを確認します。

  

• pfSenseファイアウォール管理インタフェースで、「ファイアウォール」、「ルール」および「追加」をクリックして新しいルールを追加します。

• 次の情報を入力します

  1. 処置: 「パス」を選択します。
  2. プロトコル: 「ICMP」を選択します。
  3. ICMPサブタイプ: 「任意」を選択します。
  4. 下へスクロール

  

  1. ソース: 「任意」を選択します。
  2. 宛先: 「任意」を選択します。
  3. 「保存」をクリックします。

  

  1. 新しいICMPルールが適用されていることを確認します。
  2. 「変更の適用」をクリックして変更をコミットします。

  

• 変更が正常に適用されていることを確認します。

  

  1. Windowsインスタンスで、コマンド・プロンプトを開き、pfSenseファイアウォールのIPアドレスにpingを試行します。
  2. pingの結果に 0%パケット損失が表示されます。

  

• もう1つのpingテストは、pfSenseファイアウォールからインターネットに向かうことです。

  1. 「診断」をクリックします。
  2. 「Ping」をクリックします。

  

  1. 「ホスト名」に、8.8.8.8と入力します。
  2. 「Ping」をクリックします。

  

• pingの結果に 0%パケット損失が表示されます。

  

• 次の図は、作成した内容を視覚的に示したものです。デフォルトのセキュリティ・リストでICMPも開いていることに注意してください。

  

承認

• 著者 - Iwan Hoogendoorn (OCIネットワーク・スペシャリスト)

その他の学習リソース

docs.oracle.com/learnの他のラボをご覧いただくか、Oracle Learning YouTubeチャネルで無料のラーニング・コンテンツにアクセスしてください。また、education.oracle.com/learning-explorerにアクセスして、Oracle Learning Explorerになります。

製品ドキュメントは、Oracle Help Centerを参照してください。

---

タイトルおよび著作権情報

Install a pfSense Firewall in Oracle Cloud Infrastructure

F99948-01

June 2024

Copyright ©2024,

Oracle and/or its affiliates.