インストールガイド / アマゾンウェブサービス（AWS）編

Amazonマシンイメージ（以下、AMI）を使用し、AWS EC2上に本製品のインスタンス（仮想マシン）を作成します。
AMIは、特定のインスタンスを作成するために必要なすべての情報を含むテンプレートで、AWS上に本製品のインスタンスを作成するために必要です。

以降、AWSアカウントに本製品のVHDイメージファイルをAMIとしてアップロードするための説明をします。

Note
このプロセスは、一度だけ実行する必要があります。AWS上で本製品を起動/使用後、本製品のファームウェアを更新するときには、software-upgradeコマンドを使用します（「ファームウェアの更新」参照）。

前提条件

AMIを作成するには、以下が必要です。

Linux（UbuntuまたはDebian）を使用しているインターネットに接続されたPC（本マニュアルでは主にUbuntuを使用）。

Note
Windows PCは未サポートです。
Amazon EC2とAmazon S3のFull Access権限を持つAWS APIキー（AKIDとSAK、APIを利用するためのIDとパスワード）。
これは、次に説明する「AWSのAPIキーの作成」に記述されています
本製品のCDに収録されているVHDファイル（AMIの元となるVHDイメージファイル）
本製品のCDに収録されているPYファイル（VHDイメージファイルからAMI作成時に必要なPythonアップロードスクリプトファイル）
Amazon EC2 APIツール（EC2をコマンドラインで操作出来るツール）

APIキーの作成

Note
キーを作成するには、ユーザーアクセスと暗号化キーの管理サービス「Identity and Access Management（以下、IAM）」の実行権限を持っている必要があります。詳細はAmazon社のユーザーガイドを参照してください。

Note
アクセスキーは安全な場所に保管してください。

Note
作成したキーは一回しかダウンロードできません。また、キーをメールなどで送信したりしないように注意してください。

Note
キーは、AWSまたはAmazon.comから問い合わせが来ても、組織外に共有しないでください。Amazon社の正規代表者でも、キーを求めてくることはありません。

PC上で必要なパッケージのインストール

Linux（UbuntuまたはDebian）のPC上で必要なパッケージをインストールします。
AWSに本製品のVHDイメージファイルをアップロードするためには、以下のパッケージが必要です。

Python version 2.7
Ec2-api-tools
boto3
Python-pip

Ubuntu上でこれらをインストールするためには以下のコマンドの入力が必要です。

sudo apt-get install ec2-api-tools
sudo apt-get install python2.7
sudo apt-get install python-pip
sudo pip install boto3

AWSへのアップロード準備

フォルダーを作成して、そこに本製品のVHDファイルとPythonスクリプトを置きます。

ubuntu@ubuntu-pc:/amazon$  ls -l 
total 432268
-rw-r--r-- 1 ubuntu ubuntu 442629632  4月  8 13:19 vaa-5.4.6-0.1.vhd
-rwxrwxr-x 1 ubuntu ubuntu      7206  4月  8 13:19 vaaUploadScript.py

VHDイメージファイルのアップロード

本製品のCDに収録されている「vaaUploadScript.py」というpythonスクリプトを使用し、AWSへ本製品のCDに収録されている「vaa-5.4.6-0.1.vhd」というVHDイメージファイルをアップロードしてAMIを作成します。スクリプトは以下の引数を受け入れます。

スクリプト引数

image	vaa-5.4.6.vhd	インポートする本製品のVHDイメージファイル
name	vaa-5.4.6	AMI名
--region	ap-northeast-1	使用するAWSリージョン ※リージョンの例はAmazon社のユーザーガイドを参照してください。
--bucket	vaa.upload	一時的にVHDファイルをアップロードするAWS S3バケット。存在しない場合は、バケットは自動的に作成されます。
--akid	AKIDABCDF	APIキーのアクセスキーID（EC2とS3へのアクセス用）
--sak	SAKABCDF	APIキーのシークレットキー（EC2とS3へのアクセス用）

本製品は、一時的にAWS S3バケットにアップロードされます。

Note
S3の使用で発生する料金についてはAmazon社のユーザーガイドを参照してください。

Note
バケット名はS3全体で一意でなくてはなりません（他のS3ユーザーが使っているバケット名は使用できません）。バケット名の命名規則についてはAmazon社のユーザーガイドを参照してください。

■ 使用例

ubuntu@ubuntu-pc:/amazon$ ./vaaUploadScript.py vaa-5.4.6-0.1.vhd vaa-5.4.6 --region ap-northeast-1 --bucket vaa.upload --akid AKIDABCDF --sak SAKABCDF
import_volume: image='vaa-5.4.6-0.1.vhd' image_format='VHD' size=None
import_volume: Uploading disk image
import_volume: ec2-import-volume vaa-5.4.6-0.1.vhd --format VHD --bucket vaa.upload --region ap-northeast-1 --availability-zone ap-northeast-1a
import_volume: Disk image uploaded import-vol-fg1bguyh
volume_conversion: task_id='import-vol-fg1bguyh'
volume_conversion: Converting disk image to EBS volume...
volume_conversion: Conversion complete
volume_conversion: Deleting uploaded disk image
volume_conversion: ec2-delete-disk-image --task import-vol-fg1bguyh --region ap-northeast-1
volume_conversion: Volume imported vol-bbb34d45
create_snapshot: volume_id='vol-bbb34d45'
create_snapshot: Creating snapshot vaa-5.4.6
create_snapshot: Snapshot created snap-0fd95c30
create_snapshot: Deleting volume vol-bbb34d45
register_image: snapshot_id='snap-0fd95c30'
register_image: Creating AMI
register_image: {'VirtualizationType': 'hvm', 'RootDeviceName': '/dev/sda1', 'BlockDeviceMappings': [{'DeviceName': '/dev/sda1', 'Ebs': {'SnapshotId': 'snap-0fd95c30', 'VolumeType': 'gp2'}}], 'Name': 'vaa-5.4.6', 'Architecture': 'i386'}
register_image: AMI created ami-0b392b65

本製品が正常にAWSにアップロードされたときは、以下のメッセージが表示されます。

register_image: AMI created ami-XXXXXXX

また、アップロードされたAMIはAWSリージョンで見ることができます。

インスタンスの作成

ここでは、本製品のインスタンスの作成と実行するプロセスについて説明します。
また、AWS上でAMFコントローラーとして動作する本製品のインスタンス（仮想マシン）を作成するプロセスを説明します。

ここの説明では、Amazon社の用語が多く含まれています。Amazon社の用語や概念、より詳細な情報については、Amazon社のユーザーガイドを参照してください。

前提条件

インスタンスを作成するためにはAMIが必要です。
AMIは、インスタンスを作成するために必要とされるすべての情報を含んでいるテンプレートです。

前述の「インストール」で説明されている前提条件はすでに揃っていることとして説明しています。
Amazon社のネットワーキング方法、SSHキーの交換、およびアクセス制御などの概念は、ネットワーク導入前に事前計画が必要になります。

インスタンスの作成手順

ここでは、まだインスタンスを作成していない新規のアカウントを使う前提で手順を説明します。
EC2ダッシュボード画面で、［インスタンスの作成］をクリックします。

1.　AMIファイルの選択

ベースマシンとして使用することができる別のマシンのオプションのリストを開きます。
［マイAMI］を選択し、前述の「インストール」の章で作成した本製品のAMIを選択します。

2.　インスタンスタイプの選択

起動するインスタンスタイプを選択して、［次の手順：環境設定インスタンスの詳細の設定］をクリックしてください

Note
本製品は32bitのインスタンスタイプをサポートしています。本マニュアルの例ではt2.microを使用していますが、ご使用の際はt2.mediumまたはc3.largeをご使用ください。

3.　インスタンスの詳細の設定

インスタンスの詳細を設定する上でいくつかの注意点があるため、以下の手順をよく読み設定してください。

ネットワーク設定例

Note
AWSでは、多くの仮想マシンインスタンスネットワークの構成方法について紹介しています。Amazon Virtual Private Cloud（以下、VPC）については、Amazon社のユーザーガイドを参照してください。

3-1.　VPCの作成

本製品を使用するために新しいVPCを作成します。

Note
デフォルト設定のAWSは、新しいアカウント上の仮想マシン用に設定された172.31.0.0/16のVPCをすでに持っていますが、このサブネットはAMFが同じエリア内のAMFノード間の内部通信に使用するデフォルトのマネージメントサブネットであるため、使用しないでください。デフォルトのVPCを使用する必要がある場合は、本製品と同じエリア内のすべてのAMFノードが異なるAMFサブネットを使用するように再構成する必要があります。本製品の起動時に、AWSから172.31.0.0/16範囲内のIPアドレスを受信検出した場合、自動的にAMFマネージメントサブネットを10.255.0.0/16に変更します。また、同一エリア内の他のAMFノードは、このサブネットを使用するように再構成する必要があります。AMFマネージメントサブネットの詳細については、本マニュアルの「アライドテレシスマネージメントフレームワーク（AMF）」/「導入」編を参照してください。デフォルトVPCの詳細については、Amazon社のユーザーガイドを参照してください。

Note
AWSでは、RFC1918で指定されているように、プライベートアドレスの範囲内でのVPCの作成を推奨しています。プライベートアドレスを使う場合、お客様ご自身のネットワークで使用しているプライベートアドレスと重複しないVPC設定を確認してください。

Note
サブネットをVPCと同じサイズにする必要はありません。詳細はAmazon社のユーザーガイドを参照してください。

3-2.　インターネットゲートウェイの作成と設定

VPCは、サブネットの外部接続を許可するインターネットゲートウェイを自動的に設定しませんので、設定する必要があります。

Note
インスタンスのIPアドレスを固定設定するには、次の2つの方法がありますが、2を推奨します。

4.　ストレージの追加

ストレージは追加せず、デフォルトのままで［次の手順：インスタンスのタグ付け］をクリックします。

5.　インスタンスのタグ付け

［値］の欄に適切なインスタンスの名前を入力し、［次の手順：セキュリティーグループの設定］をクリックします。
AWSは、インスタンスに多くの異なる名前あるいは記述を持つ「タグ」を提供します。

6.　セキュリティーグループの設定

［セキュリティーグループ名：］と［説明：］を確認し、［確認と作成］をクリックします。

Note
インスタンスへのSSHアクセスは、必要なIPアドレスからのみに限定してください。

Note
VPC内に多数のサーバーがあり、ソースIPに基づいたトラフィックだけを許可したい場合は、さらにVPCサブネットをカバーするルールが作成されている必要があいます。そうでなければ、それらはまたブロックされます。

7.　インスタンス作成の確認

すべてのインスタンスの設定を確認し、[作成]をクリックします。

8.　SSHキーペアの設定

Note
安全な場所にプライベートキーファイルを保存することを確認してください。再度AWSからプライベートキーをダウンロードすることはできません。仮想マシンのインスタンスにリモートSSHアクセスを許可するように.PEMファイルをインポートする方法の詳細は、以降に説明する「PuTTYgenへのAWSキーペアのインポート」を参照してください。

9.　インスタンスの起動

SSHキーペアがダウンロードされたら、［インスタンスの表示］をクリックします。インスタンスの最初の起動が完了するまでに数分かかることがあります。

ステータスは、EC2ダッシュボードの［インスタンス］から確認することができます。

Note
AWSは、インスタンスにアクセスするための仮想コンソールを提供していません。インスタンスの制御はSSHでのみ可能です。ただし、AMF Cloudの内部コンソールに出力されたメッセージを読み取り専用のログとして閲覧することは可能です。これには、本製品のインスタンスを選択して右クリックし、［インスタンスの設定］から［システムログの取得］を選択します。

読み取り専用のログが表示されます。

Note
読み取り専用のログファイルが情報を含んでいない場合は、数分待ち、かつリフレッシュしてみてください。

ログファイルはリアルタイムで更新されず、AWSによってセットされたリフレッシュタイマーに従います。

Note
本製品のパブリックIPアドレスを設定した場合は、pingを実行してください。pingが失敗した場合は、デフォルトルートがルーティングテーブルにあり、VPCのインターネットゲートウェイが正しく設定されていることを確認し、本製品に適用されるセキュリティールールのICMPを許可します。詳細はAmazon社のユーザーガイドを参照してください。

これで本製品のAMFが正常に起動し、実行されていることを確認することができました。
次の章では以下についての説明をします。

マシンがリモートアクセスできるようにSSHキーを設定します。
セキュアな接続のための本製品間のIPsecトンネル、およびローカルAMFネットワークを設定します。

SSH接続設定

本章では、PuTTYでSSHキーを使用して、EC2マシンに接続するための説明をしています。
SSHキー交換についての詳細は、Amazon社のユーザーガイドを参照してください。
また、ここではSSHキーペアは設定されていることを前提とします（前述の「SSHキーペアの設定」参照）。

SSHキーペア

SSHキーペアは、データ解読のためのキーとデータ暗号化のためのキーが異なる暗号化方式の「非対称暗号化方式」です。
ペアの1つのメンバーで暗号化されたデータは、ペアおよびその逆の他のメンバーだけが解読できます。

パブリック/プライベートキーペア

パブリックキー

パブリックキーは秘密にしておく必要がありません。また、他のAWSインスタンスに同じパブリックキーをインストールしても問題ありません。
パブリックキーは、本製品の最初の起動時にmanagerユーザー用のパブリックキーが自動的にインストールされます。

プライベートキー

プライベートキーは秘密にすべきもので、絶対に他者に公開してはいけません。
そのためAWSでは、キーペアの作成時に一回しかプライベートキーをダウンロードできないようになっています。

プライベートキーは、パブリックキーで暗号化されたものを復号化するために必要とします。
本製品は、適切な（パブリックキーとペアになった）プライベートキーを保持しているユーザーにのみアクセスを許可します。

SSH経由で本製品のインスタンスにアクセスするには、このプライベートキーを使用して認証を受けるようターミナルクライアントを設定する必要があります。
ここではLinux上でSSH経由で本製品にアクセスする方法、「PuTTY」を使用してWindows上でプライベートキーを使用する方法を説明します。

「PuTTY」を使用したSSH経由での本製品へのアクセス

本マニュアルは、一般的なWindowsのSSHクライアントのPuTTYを使用して、キーをインポートする方法だけを説明しています。
より詳細な内容についてはAmazon社やPuTTYのユーザーガイドを参照してください。

PuTTYはPEM形式のキーを扱えないため、最初にPPKファイルに変換させる必要があります。
これには「PuTTYgen」を使用します。

前提条件

以下URLからPuTTYをダウンロードしてインストールします。
http://www.chiark.greenend.org.uk/~sgtatham/putty/

上記のリンクからダウンロードする以下のものを確認してください。

PuTTY
PuTTYgen（PEMファイルをPuTTYのPPKファイルに変換するために使用します）

PuTTYgenへのAWS keyshareのインポート

[スタート] メニューで［すべてのプログラム] > ［PuTTY］ > ［PuTTYgen］をクリック
「ファイル名を指定して実行」で「c:\Program Files\PuTTY/puttygen.exe」を入力

「SSHキーペアの設定」

PuTTYとPPKプライベートキーを使って本製品にSSH接続する

Ubuntu（Linux）上でのSSH経由による本製品へのアクセス

awplus@ubuntu:~$ cd amazon

Note
セキュリティー上の理由から、プライベートキー上のファイルのパーミッションがファイル所有者にのみ読み込み可に設定されていることを確認してください。

awplus@ubuntu:~/amazon$ chmod 400 vaa-atkk-test.pem
awplus@ubuntu::~/amazon$ ls -la vaa-atkk-test.pem
-r-------- 1 vaa vaa 1696 Feb 15 15:06 vaa-atkk-test.pem

awplus@ubuntu:~/amazon$ ssh -i vaa-atkk-test.pem manager@XX.XXX.XX.XXX

The authenticity of host 'XX.XXX.XX.XXX (XX.XXX.XX.XXX)' can't be established.
RSA key fingerprint is 86:2e:0d:b3:b8:f8:fa:01:3e:15:d8:52:19:a2:61:79.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added 'XX.XXX.XX.XXX' (RSA) to the list of known hosts.

AlliedWare Plus (TM) 5.4.6 03/18/16 01:59:25

awplus>

これで、SSH経由により本製品に接続されます。

その他

本製品でのSSHサーバーおよびクライアント機能の詳細については、本マニュアルの「Secure Shell」を参照してください。

IPsec設定

AWSとARルーター（弊社別売製品）の間でIPsecを設定する説明をします。
AWSは、エリア2のAMFマスターとして機能するARルーターへの相互エリア間リンクを持つエリア1です。
AMFマネージャートラフィックを、第三者がスヌープまたは操作できないようにするため、
ユーザーネットワークのVPNルーターとの通信用に設定されるIPsecトンネルが必要です。
VPN用語についての詳細は、Amazon社のユーザーガイドを参照してください。

ここでは、前述の「インスタンスの作成」で説明されているゲートウェイが設定されていることを前提として、説明しています。次世代ファイアーウォール（以下、NGFW）を搭載したルーターAT-AR4050S（弊社別売製品）を使用して、ユーザー側の設定および確認に続き、AWSのIPsecサービスとの設定例を説明します。

AWS上でのIPsecトンネルの設定

仮想プライベートゲートウェイの作成

IPsecトンネルを設定する前に、まず仮想プライベートゲートウェイを作成する必要があります。

「インスタンスの作成」

VPN接続の作成

VPCダッシュボードから［VPN接続］を選択し、［VPN接続の作成］をクリックします。

スタティックIPプレフィックスの追加

AARルーターからトンネル経由でAWSへの通信（pingなど）を行いたい場合は、AWS側のVPNゲートウェイにトンネル上で使われているリンクローカルアドレスの範囲を教えてあげる必要があります。そうしないと、ARルーターからAWSにはパケットが届いても、戻りのパケットがVPNゲートウェイで捨てられてしまうためです。
これは、静的ルートとしてリンクローカルプレフィックスを追加することで対応できます。
作成したVPN接続で使用されているリンクローカルアドレスは、次項「IPsecトンネル設定 / ルーティング設定」で調べることができます。

下図は、VPNインターフェースを経由するすべてのトンネルのリンクローカルトラフィックを指定した例です。
VPCダッシュボードから［VPN接続］を選択し、作成したVPN接続を選択し、［静的ルート］タブから、［編集］をクリックし、IPプレフィックスを追加し、［保存］をクリックします。

ルート伝達の有効

VPNスタティックIPプレフィックス（スタティックルート）が、正しくルーティングテーブルにインストールされるためには、ルート伝達を有効にする必要があります。それ以外の場合は、VPNスタティックルートトラフィックは、正しくルーティングされないことがあります。

下図のようにVPCダッシュボードから［ルートテーブル］を選択し、［ルート伝達］タブから、［編集］をクリックし、［伝達］にチェックを入れて［保存］をクリックします。

IPsecトンネル設定

NGFWをAWSのIPsec VPNに接続するための設定について説明します。
構成図は、前述の「IPsec設定」を参照してください。
また、前述のAWS上でのIPsecトンネルの設定は、完了していることを前提とします。
AWSの設定が完了すると、特定の機器向け、あるいは、汎用的な設定サンプルファイルをダウンロードできます。

以下では、Cisco Systems社のISRシリーズの設定サンプルファイルをもとに、AR4050Sの設定を行う方法を説明します。
汎用的な設定サンプルではなく、ISRシリーズ用の設定サンプルをもとにするのは、後者のほうがAR4050Sの設定に近いためです。

重要なものは次のセクションです。

カスタムISAKMPプロファイル
キー
カスタムIPSECプロファイル
トンネルピアへのプロファイル割り当て　
トンネル

ISAKMP プロファイル設定（Ciscoでの「Policy」）

■ Cisco自動生成設定

crypto isakmp policy 200
encryption aes 128
authentication pre-share
group 2
lifetime 28800
hash sha
exit

■ AlliedWare Plus設定

crypto isakmp profile AWS-ISAKMP-Phase-1
transform 1 integrity sha1 encryption aes128 group 2
Lifetime 28800
dpd-interval 10
Version 1 mode main ← Ciscoでは両方のモード（aggressive、main）を自動的に試みます。AlliedWare Plusでは、手動で設定する必要があります。 
This is because by default Alliedware Plus attempts IKE version 2
exit

■ AR4050SのCLIにおける実際の設定手順

awplus# configure terminal ↓
Enter configuration commands, one per line.  End with CNTL/Z.
awplus(config)# crypto isakmp profile AWS-ISAKMP-Phase-1 ↓
awplus(config-isakmp-profile)# transform 1 integrity sha1 encryption aes128 group 2 ↓
awplus(config-isakmp-profile)# lifetime 28800 ↓
awplus(config-isakmp-profile)# dpd-interval 10 ↓
awplus(config-isakmp-profile)# version 1 mode main ↓
awplus(config-isakmp-profile)# end ↓
awplus#

■ 設定内容の確認方法
show isakmp profileコマンド

ISAKMP Profile: AWS-ISAKMP-Phase-1
  Version:        IKEv1
  Mode:           Main
  Authentication: PSK
  Expiry:         8h
  DPD Interval:   10s
  DPD Timeout:    150s
  Transforms:
       Integrity   Encryption  DH Group
    1    SHA1        AES128       2

ISAKMP事前共有鍵設定

■ Cisco自動生成設定

! The ISAKMP keyring stores the Pre Shared Key used to authenticate the
! tunnel endpoints.
!
crypto keyring keyring-vpn-4234d12b-0
local-address 172.16.0.1 
pre-shared-key address 10.0.0.1 key
j3mqY_4dtzOHG7uP9mREjNkQxyeqnmEc
exit

■ AlliedWare Plus設定

crypto isakmp key j3mqY_4dtzOHG7uP9mREjNkQxyeqnmEc address 10.0.0.1

■ AR4050SのCLIにおける実際の設定手順

awplus(config)# crypto isakmp key j3mqY_4dtzOHG7uP9mREjNkQxyeqnmEc address 10.0.0.1 ↓

■ 設定内容の確認方法

awplus# show isakmp key ↓
Hostname/IP address             Key
----------------------------------------------------
10.0.0.1　　                    j3mqY_4dtzOHG7uP9mRE
                                  jNkQxyeqnmEc
awplus#

AWSピアへのカスタムISAKMPプロファイル割り当て

AWSピアに、ISAKMP設定を静的に割り当てる必要がある場合、わずかにCiscoの設定とは異なります。

■ AlliedWare Plus設定

crypto isakmp peer address 10.0.0.1 profile AWS-ISAKMP-Phase-1

■ AR4050SのCLIにおける実際の設定手順

awplus(config)# crypto isakmp peer address 10.0.0.1 profile AWS-ISAKMP-Phase-1 ↓

■ 設定内容の確認方法

awplus# sh isakmp peer ↓
Peer Profile (* incomplete) Key
---------------------------------------------------------------------
10.0.0.1 AWS-ISAKMP-Phase-1 PSK

IPsec設定

■ Cisco 自動生成設定

#2: IPsec Configuration!
! The IPsec transform set defines the encryption, authentication, and
IPsec
! mode parameters.
!
crypto IPsec transform-set IPsec-prop-vpn-4234d12b-0 esp-aes 128 espsha-
hmac
mode tunnel
exit

■ AlliedWare Plus設定
カスタムIPsecプロファイルの作成

crypto IPsec profile AWS-IPSEC-Phase-2
Transform 1 protocol esp integrity sha1 encryption aes128
Pfs 2
Lifetime seconds 3600
Exit

■ AR4050SのCLIにおける実際の設定手順

awplus(config)# crypto IPsec profile AWS-IPSEC-Phase-2 ↓
awplus(config-IPsec-profile)# transform 1 protocol esp integrity sha1 encryption aes128 ↓
awplus(config-IPsec-profile)# pfs 2 ↓
awplus(config-IPsec-profile)# lifetime seconds 3600 ↓
awplus(config-IPsec-profile)# exit ↓
awplus(config)# exit ↓
awplus#

■ 設定内容の確認方法

awplus# show IPsec profile AWS-IPSEC-Phase-2 ↓
IPsec Profile: AWS-IPSEC-Phase-2
  Replay-window:  32
  Expiry:         1h
  PFS group:      2
  Transforms:
       Protocol  Integrity   Encryption
    1    ESP       SHA1        AES128

トンネル設定

-------------
! #3: Tunnel Interface Configuration
!
! A tunnel interface is configured to be the logical interface
associated
! with the tunnel. All traffic routed to the tunnel interface will be
! encrypted and transmitted to the VPC. Similarly, traffic from the VPC
! will be logically received on this interface.

■ Cisco 自動生成設定

interface Tunnel1
ip address 169.254.XX.XX 255.255.255.252
ip virtual-reassembly
tunnel source 172.16.0.1
tunnel destination 10.0.0.1
tunnel mode IPsec ipv4
tunnel protection IPsec profile IPsec-vpn-4234d12b-0
! This option causes the router to reduce the Maximum Segment Size of
! TCP packets to prevent packet fragmentation.
ip tcp adjust-mss 1387
no shutdown
exit

■ AlliedWare Plus設定

Interface tunnel1
mtu 1436
Ip address 169.254.XX.XX/30
tunnel source 172.16.0.1
tunnel destination 10.0.0.1
tunnel mode IPsec ipv4
tunnel protection IPsec profile AWS-IPSEC-Phase-2
ip tcp adjust-mss 1387

■ AR4050SのCLIにおける実際の設定手順

awplus(config)# int tunnel1 ↓
awplus(config-if)# mtu 1434 ↓
awplus(config-if)# ip address 169.254.XX.XX/30 ↓
awplus(config-if)# tunnel source 172.16.0.1 ↓
awplus(config-if)# tunnel destination 10.0.0.1 ↓
awplus(config-if)# tunnel mode IPsec ipv4 ↓
awplus(config-if)# tunnel protection IPsec profile AWS-IPSEC-Phase-2 ↓
awplus(config-if)# ip tcp adjust-mss 1387 ↓
awplus(config-if)# end ↓

■ 設定内容の確認方法

awplus# sh ip int b ↓
Interface             IP-Address         Status          Protocol
eth1                  unassigned         admin up        running
eth2                  unassigned         admin up        down
lo                    unassigned         admin up        running
vlan1                 unassigned         admin up        down
vlan10                10.0.10.1/24       admin up        running
tunnel1               169.254.XX.XX/30   admin up        running
ppp0                  172.16.0.1/32      admin up        running
awplus# 
awplus# sh interface tunnel1 ↓
Interface tunnel1
  Link is UP, administrative state is UP
  Hardware is Tunnel
  IPv4 address 169.254.XX.XX/30 point-to-point 169.254.XX.XX
  index 14 metric 1 mtu 1434
  IPv4 mss 1387
  <UP,POINT-TO-POINT,RUNNING,MULTICAST>
  SNMP link-status traps: Disabled
  Tunnel source 172.16.0.1, destination 10.0.0.1
  Tunnel name local 172.16.0.1, remote 10.0.0.1
  Tunnel protocol/transport IPsec ipv4, key disabled, sequencing disabled
  Checksumming of packets disabled, path MTU discovery disabled
  Tunnel protection via IPsec (profile "AWS-IPSEC-Phase-2")
    input packets 0, bytes 0, dropped 0, multicast packets 0
    output packets 0, bytes 0, multicast packets 0 broadcast packets 0
  Time since last state change: 0 days 00:21:30
  awplus#

Note
トンネルインターフェースが「UP」の間は、トンネルはピアの状態を追跡しません。つまり、トンネルは、接続を開始する準備、またはピアの開始に応答する準備ができているということです。トンネルが動作しているかどうかを確認するには、AT-AR4050SからAWSルーター（169.254.XXX.XXX）のリンクローカルアドレスにpingを実行してみてください。pingが成功した場合、トンネルはアップしていて作動しています。ルーティングが希望通りに動作しているかどうかを確認するために、他の所望のネットワークにpingを実行してみて、必要に応じてスタティックルーティングを設定してください。

ルーティング設定

この例では、AR4050Sにデフォルトルートを設定していませんので、次のコマンドでAWSルーターのパブリックIPアドレスおよび本製品が所属するサブネットへのスタティックルートを登録します。

ip route  0.0.0.0/0 ppp0
ip route 172.30.0.0/24 169.254.XX.XX

AR4050Sから開始された通信について、本製品からAR4050Sへの戻りパケットを正しく返送するための設定は、AWS VPNのスタティックIPプレフィックスの項で説明済みです（「IPsec設定」参照）。
ここまでくれば、AWS上の本製品とお客様側AMFネットワークの間でIPの通信ができるようになっています。
AMFの設定については、本インストールガイドでは触れていません。本製品とAMFネットワーク間の仮想リンクの設定については、本マニュアルの「アライドテレシスマネージメントフレームワーク（AMF）」を参照してください。

ファームウェアの更新

本製品のファームウェアを更新するには、software-upgradeコマンドを使います。

前提条件

弊社ホームページから、本製品のメンテナンスファームウェア（ISOイメージファイル）をダウンロードし、AWS上の本製品にアップロードしておく必要があります。

ISOファイル、VHDファイルについて

VHDイメージファイルは、本製品をAMIとしてアップロードするためのものです（前述のインストールを参照してください）。弊社ホームページで提供するISOイメージは、すでにAWS上で使用している本製品のファームウェアを、更新するためのものです。

■ 使用例

awplus# dir ↓
4096 drwx Mar 14 2016 03:00:00 atmf/
2401 -rw- Mar 13 2016 23:10:34 V60153A591FFD2F0.bin
143 -rw- Mar 13 2016 09:58:49 reboot.log
551 -rw- Mar 13 2016 09:57:48 default.cfg
25499648 -rw- Feb 16 2016 20:45:45 vaa-5.4.6-0.2.iso ← 新しいファームウェア

awplus #software-upgrade vaa-5.4.6-0.2.iso
Install this release to disk? (y/n): y
Upgrade succeeded, the changes will take effect after rebooting the
device.
awplus #reboot

トラブルシューティング

到達不能

本製品につながらなくなった場合には、いくつかの復旧手段があります。

AWS内部ネットワークへの接続不可

eth0ポートのシャットダウン
Eth0上の誤った静的IPアドレス設定
ルーティングの問題

SSHサービスの無効化

SSHが無効化すると、さらに5分の監視タイマーが始まるでしょう。これは、本製品がSSH接続管理の機能に依存しているためです。
SSHサービスが5分間無効になっている場合、本製品はデフォルト設定で再起動します。
以前に実行しているコンフィグファイルは、「default_backup.cfg」という名前に変更されます。

インスタンスのリカバリー不能

本製品のインスタンスがリカバリー不能になる非常事態に備え、正常に動作しているインスタンスイメージのスナップショットをとっておくには、以下の手順を実行します。

一度イメージが作成されたら、［イメージ］＞［AMI］の下に見つけることができます。

このスナップショットからマシンを作成するには、前述の「インスタンスの作成」で説明されている手順のように、［マイAMI］の下の［スナップショット］に基づいて新しいインスタンスを作成します。

Note
（スナップショットからインスタンスを作り直した場合）MACアドレスとIPアドレスは以前と異なったものになります。そのため、手動による仮想リンクの再設定やアニュアルライセンスの再登録が必要になります。

PN: 613-002312 Rev.D

インストールガイド / アマゾン ウェブ サービス（AWS）編

手順概要