Cisco Cisco Secure Firewall Threat Defense virtual は、シスコの次世代ファイアウォール機能を仮想環境にもたらします。物理環境、仮想環境、クラウド環境全体を通して、またクラウド間で一貫性のあるセキュリティポリシーを実現し、ワークロードをサポートします。

Cisco Security Cloud Control でテナントをプロビジョニングして、Firewall Threat Defense 仮想デバイスを導入準備して管理し、Multicloud Defense と クラウド提供型 Firewall Management Center の間を移動できます。

Firewall Threat Defense 仮想ゲートウェイの展開に関するガイドライン

Firewall Threat Defense 仮想ゲートウェイを Multicloud Defense を使用して展開することで、標準のインターネットサービスプロバイダーゲートウェイでは使用できない、高度なネットワークセキュリティおよび管理機能が得られます。Multicloud Defense を使用して Firewall Threat Defense 仮想ゲートウェイを展開する場合も、ネットワークを保護できます。

これは複数の製品を含むタスクであるため、手順を完了するには、Multicloud Defense と クラウド提供型 Firewall Management Center の両方の間を移動する必要があります。Multicloud Defense は、インターフェイス、ゲートウェイ設定、NAT ルール、プラットフォーム設定を含む Firewall Threat Defense 仮想デバイスを展開して登録します。これに対し、クラウド提供型 Firewall Management Center アカウントのアクセスポリシー、ルール、およびオブジェクトを編集します。

クラウド提供型 Firewall Management Center によって管理される Firewall Threat Defense 仮想を作成する場合は、次のガイドラインに従ってください。

• サービス VPC を作成し、Firewall Threat Defense 仮想環境にゲートウェイを適用すると、Multicloud Defense によってセカンダリインターフェイスのサブネットと対応するセキュリティグループが自動的に作成されます。

• 要件に基づいて、最適な数の Firewall Threat Defense 仮想ゲートウェイをテナント内の クラウド提供型 Firewall Management Center 階層に展開すると、最適な効率を得ることができます。アップグレード中、以前のインスタンスをデコミッションする前に、新しいインスタンスを起動するために、追加のキャパシティが一時的に必要になります。

• Azure 展開の場合、Firewall Threat Defense 仮想のデフォルトの SSH ユーザー名は centos であり、アクセスはゲートウェイの展開時にプロビジョニングされた SSH キーを使用して認証されます。

  または、Azure シリアルコンソールを使用して、ゲートウェイの展開中に提供された管理者ユーザー名とパスワードを使用して Firewall Threat Defense 仮想デバイスにログインできます。

• AWS では、East-West トラフィックの検査では、アクセス制御ポリシーで、送信元セキュリティゾーンと接続先セキュリティゾーンの両方に VNI を使用します。これは U ターントラフィックであるため、送信元と接続先のセキュリティゾーンは同じです。

• AWS では、出力トラフィックの場合、アクセス制御ポリシーで、VNI ゾーンを送信元セキュリティゾーンとして設定し、外部ゾーンを接続先セキュリティゾーンとして設定します。

• Azure では、East-West のトラフィック検査のために、アクセス制御ポリシーで内部ゾーンを送信元セキュリティゾーンおよび接続先セキュリティゾーンとして構成します。これは U リターントラフィックであるため、送信元と接続先のセキュリティゾーンは同じです。

• Azure では、出力トラフィックについて、アクセス制御ポリシーで、内部ゾーンを送信元セキュリティゾーンとして構成し、外部ゾーンを接続先セキュリティゾーンとして構成します。

Firewall Threat Defense Virtual Gateway を展開するための前提条件

• Cisco Security Cloud Control でテナントをプロビジョニングする必要があります。詳細については、「Cisco Security Cloud Control テナントの作成」を参照してください。

• アクティブな クラウド提供型 Firewall Management Center アカウントが必要です。

• アクティブな Multicloud Defense アカウントが必要です。

Firewall Threat Defense 仮想ゲートウェイを展開する際の制限事項

クラウド提供型 Firewall Management Centerによって管理される Firewall Threat Defense 仮想ゲートウェイを作成する場合は、次の制限事項を確認してください。

• クラスターモードで Firewall Threat Defense 仮想ゲートウェイを展開することはできません。

• VPN（サイト間およびリモートアクセス）はサポートされていません。

• 集中型モデルのみがサポートされています。

• 新しいサービス VPC を作成する必要があります。この機能が導入される前に作成された VPC では、この機能がサポートされていません。新しい VPC は Multicloud Defense ゲートウェイと Firewall Threat Defense 仮想ゲートウェイの両方をサポートします。

• Cisco Smart Licensing を使用するには、シスコの販売者またはパートナーを介してライセンスを購入する必要があります。

• Multicloud Defense ダッシュボードを使用してソフトウェアアップグレードを実行します。

• Firewall Threat Defense 仮想ゲートウェイに加えられた Firewall Threat Defense 仮想設定の変更は、Multicloud Defense ダッシュボードを使用して行う必要があります。展開されたデバイスのセキュリティポリシーのみを Multicloud Defense から編集する必要があります。クラウド提供型 Firewall Management Center で直接変更を実行しないでください。アクセス制御ポリシーと NAT ポリシーを管理するためにのみ使用する必要があります。

• アクセス制御ポリシーの変更（セキュリティルールの追加や削除など）は、クラウド提供型 Firewall Management Center を介して行う必要があります。

• 現時点では、ジャンボフレームはサポートされていません。

Firewall Threat Defense Virtual Gateway を展開するためのライセンス要件

Multicloud Defense Gateway は、Multicloud Defense ライセンス、スマートライセンス、および Pay-As-You-Go（PAYG）ライセンスをサポートします。

Multicloud Defense ライセンスは 、クラウドを介して提供されるソフトウェアへのサブスクリプションベースのアクセスであり、アクセスの容易さ、拡張性、定期的な更新などの利点があります。Multicloud Defense ライセンスは通常、定期的な料金が発生するサブスクリプションベースであり、多くの場合パッケージの一部としてメンテナンス、更新、およびサポートが含まれます。ほとんどの Multicloud Defense ライセンスモデルは拡張性を備えており、組織が現在のニーズに基づいてユーザー数や機能の数を簡単に調整できます。このライセンスモデルはクラウドに基づいているため、最新の機能やアップデートにすぐにアクセスできます。詳細については、『 Cisco Multicloud Defense発注ガイド』を参照してください。

スマートライセンスは 、特定の展開シナリオで既存のライセンスを活用してコストを削減する場合に適しています。スマートライセンスを選択すると、組織はクラウドまたはハイブリッド展開で事前購入済みライセンスを使用し、組織がすでに所有しているライセンスを活用してコスト効率を高めることができます。スマートライセンスは、クラウドシナリオやハイブリッドシナリオなどの特定の展開タイプで使用されることが多く、組織は新しいライセンスを取得せずに既存のワークロードを移行できます。

Pay-As-You-Go（PAYG）ライセンスは、オンデマンドでライセンスを使用できる従量制のモデルです。このライセンスモデルは、AWS でのみ使用できます。

Firewall Threat Defense 仮想のゲートウェイを作成する場合は、リソースに応じて、次の 3 つのオプションのいずれかを選択できます。

（注）	Firewall Threat Defense 仮想デバイスを使用してゲートウェイを展開すると、ライセンスモデルを変更できません。選択したライセンスモデルのパフォーマンス階層を変更できます。ライセンスモデルを変更する場合は、新しいゲートウェイを展開する必要があります。

さまざまなタイプのライセンス：

• 基本ライセンス：ステートフル ファイアウォール、ルーティング、NAT 機能など、基本的なファイアウォールおよびネットワーク機能を有効にします。これは、すべての展開に必須の標準的な基盤ライセンスです。

• キャリアライセンス：GPRS、M3UA、ストリーム制御送信などのプロトコルのインスペクションを有効にします。詳細については、「キャリアライセンス」を参照してください。

• 脅威ライセンス（脅威からの保護） : 侵入防御システム（IPS）機能へのアクセスが提供され、脅威の検出と防御が可能になります。また、既知の脆弱性や脅威に対する署名ベースの検出も含まれます。

• マルウェアライセンス（Malware Defense）：Cisco Advanced Malware Protection（AMP）を介した高度なマルウェア保護が有効になります。これには、ファイルトラジェクトリ、サンドボックス、およびレトロスペクティブ マルウェア検出機能が含まれます。

• URL フィルタリングライセンス：URL フィルタリングで Web トラフィックを制御およびモニターできるようにし、Web 分類用のシスコのグローバル脅威インテリジェンスへのアクセスを提供します。

これらのライセンスタイプには、コストの最適化と拡張性を役立つ可能性のあるパフォーマンスとスループットを調整することを目的とした階層型ライセンスがあります。

• FTDv5：最大 100 Mbps。これは、Azure および GCP でのみサポートされています。

• FTDv10：最大 1 ギガビット/秒（Gbps）。これは、Azure および GCP でのみサポートされています。

• FTDv20：最大 3 Gbps

• FTDv30：最大 5 Gbps

• FTDv50: 最大 10 Gbps

• FTDv100：最大 16 Gbps

Firewall Threat Defense 仮想ゲートウェイの作成と展開

Firewall Threat Defense 仮想ゲートウェイを正常に作成して展開するには、次の手順を実行します。

1. Cisco Security Cloud Control テナントでのクラウド提供型 Firewall Management Center の有効化

2. CSP の導入準備。

3. サービス VPC の作成。

4. FTDv ゲートウェイの作成。

5. クラウド提供型 Firewall Management Center でのアクセスポリシーの設定。

Firewall Threat Defense Virtualでの自動スケーリング

自動スケーリングは、コスト効率を最適化しながら、パフォーマンスを維持するために必要なリソースをアプリケーションに提供します。

Firewall Threat Defense 仮想ゲートウェイでの自動スケーリングは、Multicloud Defense Gateway での自動スケーリングと同じではないことに注意してください。ネイティブの自動スケーリング機能については、「Multicloud Defense Gateway コンポーネントのゲートウェイ オート スケーリング」を参照してください。ここで提供される情報は、自動スケーリングが Firewall Threat Defense 仮想ゲートウェイにどのように影響するかについて説明しています。

• 監視対象メトリック - 特定の環境で適切かつタイムリーに実行されるよう、システムメモリ、Snort CPU、およびデータプレーンに関連するメトリックが監視されます。

• スケールアウト - メトリックのいずれかが許容されるしきい値を超えるしきい値を登録すると、トラフィックのスパイクを処理するために、インスタンスに関連付けられた負荷またはリソースを対応するように環境がスケールアップまたはスケールアウトします。このトリガーされるイベントは、指定されたリージョンに対するものではなく、可用性ゾーンに対するものです。

  （注）	環境をスケールアウトすると、デプロイメント時間は長くなります。

• スケールイン - いずれかのメトリックが許可されるしきい値を下回っている場合、効率を確保し、コストを削減するために、環境をスケールダウンまたはスケールインします。このトリガーされるイベントは、指定されたリージョンに対するものではなく、可用性ゾーンに対するものです。

出力/East-West ゲートウェイ

パブリック クラウド ネットワークから発信されるトラフィックを保護するために出力/East-West ゲートウェイを展開します。エグレスゲートウェイは、完全な復号を実行し、侵入防御、マルウェア対策、データ損失防止、フルパス URL フィルタリングなどの高度なセキュリティ機能を組み込む透過的な転送プロキシとして機能します。必要に応じて転送モードで動作させることもできます。この場合、トラフィックのプロキシ接続や復号は行われませんが、悪意のある IP ブロッキングや FQDN フィルタリングなどのセキュリティ機能は適用されます。

次の図は、集中型モードの出力ゲートウェイを持つ AWS アカウントの例を示します。

出力の NAT ゲートウェイ

（注）	現時点で、Multicloud Defense は AWS および Azure の出力展開のみでネイティブゲートウェイをサポートしています。

ネットワークアドレス変換（NAT）ゲートウェイは、クラウド サービス プロバイダー内から発信するように設計されたゲートウェイです。出力トラフィックは、単一の IPアドレス、または可用性ゾーンごとに少なくとも 1 つの IP アドレスから発生します。ゲートウェイを構築し、クラウド環境内からホストすることで、効率を高め、コストを削減できる可能性があります。Multicloud Defense 内の VPC または VNet とクラウド サービス プロバイダーのゲートウェイとの関連付けが失敗した場合、障害対応のために、Multicloud Defense システムログにインスタンスがキャプチャされることに注意してください。

次の設定がサポートされています。

• Azure は 1 つのサブネットをサポートします。

• NAT ゲートウェイに少なくとも 1 つ のパブリック IP アドレスが設定されている必要があります。

次の図は、集中型モードの出力ゲートウェイを持つ Azure アカウントの例です。

AWS CloudWAN

現時点で、Multicloud Defense は AWS の CloudWAN をエグレスゲートウェイに含めることをサポートしています。CloudWAN は、データセンター、ブランチ、および AWS ネットワークを統合する、インテント主導型のマネージド広域エリアネットワーク（WAN）サービスです。リージョン間で複数のトランジットゲートウェイを相互接続することでグローバルネットワークを作成することは可能ですが、CloudWAN には、コアネットワークポリシーに基づいてグローバルネットワークを構築および運用するために特別に設計された、組み込みの自動化、セグメンテーション、および設定管理機能が用意されています。

このオプションは、自動化された VPC アタッチメント、統合パフォーマンスモニタリング、一元化された設定などの拡張機能を提供し、これらはすべて AWS Network Manager 内で管理されます。これにより、AWS アカウント、リージョン、およびオンプレミスの場所全体で、CloudWAN コアネットワークとトランジット ゲートウェイ ネットワークを一元的に管理および可視化できます。

主な利点：

• 簡素化されたネットワーク管理：AWS CloudWAN は、AWS Network Manager を介した一元化ダッシュボードを提供し、ネットワーク設定、ポリシーの管理、およびトラフィックのモニタリングを行います。これにより、複数の異なるネットワーキング ソリューションの処理に伴う複雑さが大幅に軽減され、ネットワークの統合ビューが実現します。

• 拡張性：ビジネスの成長に合わせてネットワークを簡単に拡張できます。組織のクラウドプレゼンスとグローバルフットプリントの拡大に合わせて、CloudWAN は増大する需要に対応でき、手作業での大掛かりな再設定は必要ありません。

• 最適化されたパフォーマンス：AWS のグローバル インフラストラクチャを活用することで、CloudWAN はさまざまな地理的場所で高いパフォーマンスと低遅延の接続を確保し、アプリケーションのパフォーマンスとユーザー体験を向上させます。

CloudWAN による簡素化：

• 一元化されたポリシー管理：宣言型言語で記述されたコアネットワークポリシーは、セグメント、AWS リージョンのルーティング、およびアタッチメントをセグメントにマッピングする方法を定義します。単一のネットワークポリシーを使用してネットワーク全体のルーティングとセキュリティポリシーを管理できるため、手動設定の必要性が減り、エラーを最小限に抑えることができます。

• 運用の自動化：CloudWAN は、ルート伝達やポリシーの適用など、多くのネットワーク管理タスクを自動化し、IT チームがより戦略的なイニシアチブに集中できるようにします。

• シームレスな統合：他の AWS サービスやサードパーティのソリューションと統合することで、お客様は負担を最小限に抑えながら、まとまりのある包括的なネットワーク インフラストラクチャを構築できます。

• 可視化の強化：AWS Network Manager には、ネットワークリソースをピンポイントで示す世界地図、CloudWatch イベントによるモニタリング、リアルタイムのイベントトラッキング、ネットワークのトポロジ図など、複数のダッシュボードの可視化が用意されています。これにより、グローバルネットワークをあらゆる面から簡単に管理およびモニターできます。

セキュリティサービスの挿入とは、セキュリティサービスをネットワークパスに直接統合するプラクティスを指します。Multicloud Defense でこれを実装する利点は次のとおりです。

• 強化されたセキュリティ態勢：ネットワークにセキュリティサービスを挿入することで、トラフィックをリアルタイムで検査、モニター、およびフィルタリングできるため、重要なリソースに影響が及ぶ前に脅威を検出し、軽減できます。

• 一貫したセキュリティポリシー：セキュリティサービスの挿入により、基盤となるインフラストラクチャや地理的な場所に関係なく、一貫したセキュリティポリシーがネットワーク全体に適用されます。この統一性により、コンプライアンスとガバナンスが簡素化されます。

• 可視性と制御の向上：セキュリティサービスを統合することで、ネットワークトラフィックと潜在的な脅威に対する可視性が向上します。管理者は、高度な分析およびモニタリングツールを活用して、より深いインサイトを取得し、セキュリティリスクをより効果的に管理できます。

• 遅延と複雑性の軽減：個別のセキュリティアプライアンスを介してトラフィックをルーティングする代わりに、ネットワークパスにセキュリティ機能を組み込みます。それにより遅延が最小限に抑えられ、ネットワークの複雑さが軽減され、パフォーマンスの向上とネットワークアーキテクチャの簡素化が実現します。

• 柔軟性と拡張性：Multicloud Defense を使用したセキュリティサービスの挿入により、組織は変化するネットワークの状態や新たな脅威に応じてセキュリティ対策を動的に拡張し、堅牢な保護を常に確保できます。

• 集中型セキュリティ：セキュリティリソースを統合し、管理に伴う負担を軽減してインフラストラクチャのコストを削減します。

• ルーティングの簡素化：複雑なルーティング設定やサードパーティ製の自動化ツールを使用せずに、ネットワークトラフィックをセキュリティアプライアンスに簡単にステアリングできます。

• マルチリージョンのセキュリティ検査：マルチリージョンの展開を簡素化し、複雑な設定なしでリージョン内およびリージョン間のトラフィックがセキュリティ インフラストラクチャを通過できるようにします。

AWS CloudWAN と Multicloud Defense を活用してセキュリティサービスを挿入することで、お客様は、ビジネスの成長と復元力のある運用をサポートする、高性能で安全な、簡単に管理できるネットワーク インフラストラクチャを実現できます。Multicloud Defense を使用すると、ユーザーはセキュリティサービス VPC を作成し、それを既存の CloudWAN にアタッチし、ネットワーク機能グループ（NFG）を作成し、ルーティングを更新してスポークセグメントを保護でき、これらの操作はすべて自動化されます。

AWS CloudWAN でサービス VPC を作成する方法

AWS CloudWAN でサービス VPC を正常に作成するには、次の手順を実行します。

• サービス VPC を作成：必要なゲートウェイを使用して、複数の CNE でサービス VPC を確立します。

• ネットワーク機能グループ（NFG）を作成します。

• サービス VPC を NFG としてアタッチ：アタッチメント ポリシー ルールを使用してサービス VPC をアタッチします。

• ワークロード VPC をアタッチ：アタッチメント ポリシー ルールを使用して、VPC をそれぞれのセグメントにアタッチします。

• ルーティングを更新：ポリシーとワークロード VPC を変更して、ルーティングを更新します。

• コアネットワークポリシーを更新：コアネットワークポリシーに必要な変更を適用して実行します。

AWS CloudWAN でサービス VPC を作成する前に、次の制限事項を考慮してください。

• NAT ゲートウェイは、サービス VPC に必須です。

• デュアルホップとエッジ選択は、現在サポートされていません。

• AWS CloudWAN には、転送用の SNAT 対応トラフィックをサポートしないという制限があるため、SNAT で設定されたポリシールールセットのトラフィックはドロップされます。Multicloud Defense ポリシールールセットで SNAT を無効化にすることを強くお勧めします。

• 別のリージョン（CNE）にサービス VPC を追加するには、次の 2 つのオプションのいずれかを実行します。

  • 新しい NFG アタッチメントのルーティングを更新するには、ポリシーを手動で実行して適用する必要があります。

  • コアネットワークを介したワークロード VPC のルートを使用して、新しいサービス VPC データパスサブネットのルーティングテーブルを手動で更新します。

AWS グローバルアクセラレータ

Multicloud Defense は、Multicloud Defense Gateway インスタンス間でトラフィックをロードバランシングするための入力点として使用する、1 つ以上の AWS グローバルアクセラレータのセットと統合できます。これは、イングレスゲートウェイが展開されたときに Multicloud Defense によって作成および管理される AWS ネットワークロードバランサに似ていますが、アプリケーションとワークロードを保護するためのイングレスゲートウェイの代替的な入力点を提供します。

アクセラレータは、グローバルアクセラレータのリスナーエンドポイントグループを管理して、エンドポイントグループにゲートウェイインスタンスのアクティブなセットがあることを確認します。クライアント IP アドレスは、グローバルアクセラレータを介して Multicloud Defense イングレスゲートウェイに渡される間、保持されます。

Multicloud Defense をグローバルアクセラレータと統合するには、まず AWS 内でグローバルアクセラレータを作成し、目的のリスナーを定義し、空のエンドポイントグループ（または既存の Multicloud Defense イングレス ゲートウェイ インスタンスを含むエンドポイントグループ）を作成する必要があります。AWS リソースが存在するようになったら、Multicloud Defense イングレスゲートウェイをグローバルアクセラレータと統合するように設定します。

その他の設定情報については、『Amazon AWS のドキュメント』を参照してください。

Azure Load Balancer

Azure クラウド サービス プロバイダーを使用している場合は、Multicloud Defense Gateway の一部として Azure から独自のロードバランサを使用できるようになりました。Azure ロードバランサは、Multicloud Defense Gateway インスタンスのクラスタを少なくとも 1 つ含むシステム提供のバックエンドプールに、複数のプロキシサーバーからのトラフィックを集めて処理します。このシナリオは、非 HTTP トラフィックを処理する複数のプロキシサーバーのセキュリティポリシーを作成する場合に最適です。

この機能を使用できるようにするには、Azure ロードバランサに従う Multicloud Defense Gateway を作成する必要があります。次の前提条件と制限事項に注意してください。

• Azure ロードバランサがすでに設定されている必要があります。

• ロードバランサを機能させるには、ロードバランサルールのフローティング IP を有効にする必要があります 。

• カスタムロードバランサ用に Azure でバックエンドプールを作成し、設定することを強くお勧めします。この時点では、バックエンドプールにリソースを含める必要はなく、後で変更できます。

• リソースグループを含む Azure ロードバランサを構成する場合は、Azure リソースグループと Multicloud Defense Gateway のリソースグループを同じリージョンで設定する必要があります。

• リソースグループを含む Azure ロードバランサを構成する場合、ロードバランサのリソースグループと Multicloud Defense Gateway リソースグループが同じである必要はないことにご注意ください。

• Azure ロードバランサの正常性プローブは設定できますが、必須ではありません。

• Multicloud Defense Gateway の仮想ネットワークと Azure ロードバランサの仮想ネットワークは同じである必要があります。

• Multicloud Defense Gateway のデータパスサブネットと Azure ロードバランサのサブネットは同じである必要があります。

• 少なくとも 1 つの可用性ゾーンを持つ VPC にゲートウェイをアタッチする必要があります。

Azure ロードバランサを作成、変更、または完了する方法については、『Microsoft Azure のドキュメント』を参照してください。

Azure UDP フラグメンテーション

一般にフラグメンテーションを回避することが推奨されますが、フラグメンテーションが発生し、Azure ロードバランサがパケットをドロップするシナリオもあります。

フラグメンテーションのサポートを有効にするには、シスコサポートにお問い合わせください。

前提条件と制限事項

スポーク VPC または VNet を保護する前に、次の要件を満たします。

AWS

• AWS は、エッジモードまたは集中モードで展開された環境向けにサービス VPC が作成された後の、可用性ゾーンの追加または削除をサポートしていません。サービス VPC の作成後に可用性ゾーンを変更する必要がある場合は、正しいゾーンを含めた新しい VPC を作成する必要があります。

• CloudWAN を使用する AWS アカウントでは、スポーク VPC の保護またはゲートウェイの追加の前に、AWS Network Manager を使用して次のように設定する必要があります。

  • すでにオンボーディングされている AWS アカウントの場合は、AWS ダッシュボードの権限リストを手動で変更して、MCDControllerRole IAM ポリシーに networkmanager:* を含めます。詳細については、AWS の「Adding and removing IAM Identity permission」のドキュメントを参照してください。

  • 出力/East-West ゲートウェイをサービス VPC にアタッチする必要があります。

  • 少なくとも 1 つのグローバルネットワークが設定されている必要があります。

  • 少なくとも 1 つのコアネットワークがすでに作成されている必要があります。すでにセグメントが含まれている必要はありません。

Azure

• VNet ペアリングは、同じ CSP タイプ内のアカウント間でサポートされます。アカウント内およびアカウント間でスポーク VPC/VNet を追加できます。Azure では、サブスクリプション間でピアリングするスポーク VPC の場合、同じアプリケーション登録を使用して CSP アカウントをオンボードする必要があり、サブスクリプションは同じ Active Directory 内にある必要があります。

• Azure 環境では、スポーク VPC/VNet を保護する前に、ルートテーブルをアタッチする必要があります。詳細については、Azure ユーザーガイドの「Associate a route table to a subnet」の章を参照してください。

• Azure は、エッジモードまたは集中モードで展開された環境向けにサービス VPC が作成された後の、可用性ゾーンの追加または削除をサポートしていません。サービス VPC の作成後に可用性ゾーンを変更する必要がある場合は、正しいゾーンを含めた新しい VPC を作成する必要があります。

GCP

• GCP は、エッジモードまたは集中モードで展開された環境向けにサービス VPC が作成された後の、可用性ゾーンの追加または削除をサポートしていません。これは、エッジモードで展開された環境の Azure 、GCP、および OCI にも適用されます。サービス VPC の作成後に可用性ゾーンを変更する必要がある場合は、正しいゾーンを含めた新しい VPC を作成する必要があります。

OCI

• OCI は、エッジモードまたは集中モードで展開された環境向けにサービス VPC が作成された後の、可用性ゾーンの追加または削除をサポートしていません。サービス VPC の作成後に可用性ゾーンを変更する必要がある場合は、正しいゾーンを含めた新しい VPC を作成する必要があります。

Multicloud Defense Gateway の前提条件と制限事項

前提条件

サポートされるクラウド サービス プロバイダー（AWS、Azure、GCP、OCI）は、独自の用語とゲートウェイ環境を使用する個別のエンティティです。Multicloud Defense Controller で使用可能なすべてのオプションが、お使いのクラウド サービス プロバイダーに対応しているわけではありません。たとえば、AWS は独自のトランジットゲートウェイを使用しており、そこに VPC を追加できますが、Azure はロードバランサを使用して Webトラフィックとアプリケーションを管理しており、そこに追加できるのは VNet です。続行する際は、この点に注意してください。

（注）	AWS 環境の場合、集中型モードでスポーク VPC を保護する場合、Multicloud Defense はサービス VPC に関連付けられているトランジットゲートウェイに VPC をアタッチします。デフォルトで、Multicloud Defense は、トランジットゲートウェイへのアタッチ用に各可用性ゾーンのサブネットをランダムに選択します。VPC を追加するときにこのオプションを変更したり、すでにゲートウェイに割り当てられている VPC を変更したりできます。

制限事項

Multicloud Defense Gateway の作成時には、次の制限事項に注意してください。

• IPSec プロファイルを含むサイト間 VPNトンネルを使用する Multicloud Defense Gateway を展開する場合は、サービス VPC またはサービス VNet を使用し、VPN 接続の両側でネットワークアドレス変換（NAT）ゲートウェイを使用せずにゲートウェイを展開する必要があります。

• 自動スケーリングは、IPSec プロファイルを含むゲートウェイではサポートされていません。

• ゲートウェイ内のポリシールールは転送のみである必要があります。

• AWS または Azure アカウントの Multicloud Defense Gateway に IPSec プロファイルを含める場合は、ゲートウェイインスタンスを core 8 で設定する 必要があります。Multicloud Defense Gateway は現在、core 2 または core 4 オプションのゲートウェイをサポートしていません。

FTDv ゲートウェイの前提条件と制限事項

Multicloud Defense ゲートウェイを作成、展開、および維持するプロセスのみをオーケストレーションします。ポリシーまたはルールの作成は クラウド提供型 Firewall Management Centerで行われます。ゲートウェイを作成する前に、両方の管理製品の統合をサポートするための以下の前提条件、制限事項、および推奨事項を考慮してください。

前提条件

FTDv の Multicloud Defense Gateway を作成する前に、次の手順を完了し、設定する必要があります。

• 新しいサービス VPC を作成する必要があります。この機能より前に作成された VPC は、この機能をサポートしていません。新しい VPC を作成しても、 Multicloud Defense ゲートウェイと FTDv ゲートウェイの両方に使用できることに注意してください。

• Multicloud Defense テナントにオンボーディングされたクラウド サービス プロバイダーが必要です。

• FTDv ゲートウェイの指定クラウド サービス プロバイダーとして AWS アカウントを使用している場合は、AWS マーケットプレイスのサービス利用条件に手動で同意する必要があります。送信しないと、Multicloud Defense Controller は必要な API リクエストを送信できません。

• シスコの販売者またはパートナーを通じて購入したライセンスを 1 つ以上持っている必要があります。

• クラウド提供型 Firewall Management Center へのサブスクリプションが必要です。

この環境の制限事項と要件については、Firewall Threat Defense Virtual を参照してください。