VMware Cloud on AWS での SDDC ネットワークの構成
VMware Cloud on AWS
での SDDC ネットワークの構成VMware Cloud on AWS
で VMware Cloud Director Availability
とのペアリングを許可するには、まず SDDC のネットワーク設定を構成します。- SDDC が最初にVMware Cloud Director Availabilityのデプロイのために準備されていることを確認します。必要な手順の詳細については、デプロイのための VMware Cloud on AWS での SDDC の準備を参照してください。
- VMware Cloud Director Availability4.2 以降がVMware Cloud on AWSにデプロイされていることを確認します。詳細については、SDDC での VMware Cloud Director Availability のデプロイを参照してください。
VMware Cloud on AWS
では、リソース プールへのアクセスが制限されており、vCenter Server
や ESXi
などの管理リソース プール内の管理コンポーネントやインフラストラクチャ コンポーネントへのアクセスにも、VMware Cloud Director Availability
のすべてのクラウド アプライアンスのプライベート IP アドレスを明示的に許可する必要があります。VMware Cloud on
AWS
の VMware Cloud Director Availability
は、インターネットに 2 つのサービスを提供します。必要な NAT ルールの構成で 2 つのサービスを使用するには、両方のサービスが内部で非標準の HTTPS ポートを使用するため、これらを明示的に定義します。これらの 2 つのサービスと次の 2 つの NAT ルールを組み合わせて、外部ポート 443/TCP 上の公開 IP アドレスに送信されるネットワーク トラフィックを以下に対して変換します。- Cloud Serviceへの管理インターフェイス ネットワーク トラフィックのポート 8046/TCP 上の内部Cloud Director レプリケーション管理アプライアンス。
- パブリック サービス エンドポイントへのレプリケーション データ ネットワーク トラフィックのポート 8048/TCP 上の内部Tunnel Appliance。
- https://vmc.vmware.com でVMware Cloud on AWSにログインします。
- 管理インターフェイス向けとパブリック サービス エンドポイント向けの 2 つの新しいインベントリ SDDC サービスを追加します。
- VMC コンソールの左側のペインで、SDDCをクリックします。
- SDDC で詳細表示をクリックし、ネットワークとセキュリティタブをクリックします。
- 左側のペインのインベントリセクションで、サービスをクリックします。次の手順を 2 回繰り返します。
- Cloud Director レプリケーション管理アプライアンスの管理インターフェイス用のインベントリ サービスを追加します。
- Tunnel Applianceのパブリック サービス エンドポイント用の別のインベントリ サービスを追加します。
- インベントリ SDDC サービスを追加するには、サービスの追加をクリックします。
- 各サービスの名前と、必要に応じて説明を入力します。
- 各サービスの [サービス エントリ] 列で、サービス エントリの設定リンクをクリックします。
- サービスごとに、サービス エントリの設定ウィンドウのタイプドロップダウン メニューからレイヤー 3 以上を選択します。
- サービスごとに、ポート/プロトコルタブでサービス エントリの追加をクリックし、それぞれの列で詳細を入力して、適用をクリックします。オプション管理インターフェイス インベントリ サービスパブリック サービス エンドポイントインベントリ サービス名前Cloud Director レプリケーション管理アプライアンス管理インターフェイスのサービス エントリの名前を入力します。たとえば、「」と入力します。VCDA-Cloud-Service-ManagementTunnel Applianceパブリック サービス エンドポイントのサービス エントリの名前を入力します。たとえば、「」と入力します。VCDA-Tunnel-Service-Endpointサービス タイプTCPを選択します。TCPを選択します。その他のプロパティ送信元ポートテキスト ボックスを空のままにします。送信元ポートテキスト ボックスを空のままにします。Cloud Director レプリケーション管理アプライアンスの管理インターフェイスにアクセスするには、宛先ポートテキスト ボックスにポート「8046」と入力します。Tunnel Applianceのパブリック サービス エンドポイントにアクセスするには、宛先ポートテキスト ボックスにポート「8048」と入力します。
- 各インベントリ サービスを保存するには、保存をクリックします。サービス画面で、両方のサービスは次のように表示されます。名前サービス エントリVCDA-Cloud-Service-ManagementTCP（送信元：任意 | 宛先：8046）VCDA-Tunnel-Service-EndpointTCP（送信元：任意 | 宛先：8048）
- 後で NAT ルールで使用するには、2 つの新しい公開 SDDC IP アドレスを要求します。
- Cloud Director レプリケーション管理アプライアンスの管理インターフェイスの初期セットアップ ウィザードにアクセスするための公開 IP アドレスを要求します。
- Tunnel Applianceのパブリック サービス エンドポイントへの外部ペアリングを許可するための公開 IP アドレスを要求します。
- ネットワークとセキュリティタブで、システムセクションの左側のペインの公開 IP アドレスをクリックします。
- Cloud Director レプリケーション管理アプライアンスの公開 IP アドレスを要求するには、新しい IP アドレスの要求をクリックし、メモを入力して、保存をクリックします。たとえば、メモとして「」と入力します。VCDA-Management-Public-IP-address
- Tunnel Applianceの公開 IP アドレスを要求するには、新しい IP アドレスの要求をクリックし、メモを入力して、保存をクリックします。たとえば、メモとして「」と入力します。VCDA-Tunnel-Public-IP-address
- 受信ネットワーク トラフィックを正しいクラウド アプライアンスおよびポートに転送するには、2 つの新しい NAT ルールを追加します。
- ネットワークとセキュリティタブで、ネットワークセクションの左側のペインのNATをクリックします。次の手順を 2 回繰り返します。
- Cloud Director レプリケーション管理アプライアンスの管理インターフェイス用の NAT ルールを追加します。
- Tunnel Applianceのパブリック サービス エンドポイントへの受信ネットワーク トラフィック用の別の NAT ルールを追加します。
- NAT ルールを追加するには、NAT ルールの追加をクリックし、次の設定を構成して、保存をクリックします。
初期構成が完了したら、攻撃対象の可能性を低減するために、管理インターフェイスの NAT ルールを無効にするか、または削除できます。オプション管理インターフェイス NATパブリック サービス エンドポイントNAT名前Cloud Director レプリケーション管理アプライアンス管理インターフェイスの NAT ルールの名前を入力します。たとえば、「」と入力します。VCDA Management Interface NATTunnel Applianceパブリック サービス エンドポイントの NAT ルールの名前を入力します。たとえば、「」と入力します。VCDA Tunnel Service Endpoint NAT公開 IPを選択します。VCDA-Management-Public-IP-addressを選択します。VCDA-Tunnel-Public-IP-addressサービスCloud Director レプリケーション管理アプライアンス管理インターフェイスのインベントリ サービスを選択します。たとえば、を選択します。VCDA-Cloud-Service-ManagementTunnel Applianceパブリック サービス エンドポイントのインベントリ サービスを選択します。たとえば、を選択します。VCDA-Tunnel-Service-Endpointパブリック ポートポート「443」と入力します。ポート「443」と入力します。内部 IPCloud Director レプリケーション管理アプライアンスの「」を入力します。private-IP-addressTunnel Applianceの「」を入力します。private-IP-address内部ポート8046（編集不可）8048（編集不可）ファイアウォール内部アドレスとの一致内部アドレスとの一致VMware Cloud Director Availability用プラグインを使用して、Cloud Director インスタンスから引き続きVMware Cloud Director Availabilityにアクセスできます。
- 後で管理グループを作成して管理ファイアウォール ルールで使用するために、SDDC のコンピュート ゲートウェイの送信元 NAT の公開 IP アドレスを書き留めます。
- ネットワークとセキュリティタブの左側のペインで概要をクリックします。
- デフォルトのコンピュート ゲートウェイとワークロードの下で、SDDC の送信元 NAT の公開 IPアドレスを書き留めます。
- vCenter ServerやESXiなどの管理ゲートウェイ サービスへのアクセスをクラウド アプライアンスに準備するには、2 つの管理グループを追加します。
- ネットワークとセキュリティタブで、インベントリセクションの左側のペインのグループをクリックします。
- 管理グループタブをクリックします。次の手順を 2 回繰り返します。
- デプロイされたすべてのReplicator Applianceインスタンスのプライベート IP アドレスを含む管理グループを追加します。
- コンピュート ゲートウェイの送信元 NAT を含む別の管理グループを追加します。
- 管理グループを作成するには、グループの追加をクリックし、グループごとに管理グループ名を入力します。
- 信頼できるメンバーを各管理グループに追加するには、[コンピュート メンバー] 列でメンバーの設定リンクをクリックします。
- メンバーの選択ウィンドウのIP アドレスタブで各管理グループの次の IP アドレスを入力し、適用をクリックします。管理グループ名管理グループの信頼できるメンバーの IP アドレスSNAT VCDA Management Group
- 前の手順で説明したように、SDDC のコンピュート ゲートウェイの送信元 NAT のを入力します。public-IP-address
- VMware Cloud Director Availabilityアプライアンスのサブネット グループを入力します。たとえば、「」と入力します。vcda-network-segment
VCDA Replicators Management GroupVMware Cloud on AWSにデプロイされているすべてのReplicator Applianceインスタンスのvcda-network-segment内で予約されているを入力します。すべてのprivate-IP-addressesReplicator Applianceインスタンスは、ESXiホストおよびデータストアを使用して仮想マシンのプロビジョニングおよびレプリケーション タスクを実行するために、vCenter Server管理ゲートウェイ サービスにアクセスする必要があります。 - 各管理グループを保存するには、保存をクリックします。
- クラウド アプライアンスからvCenter Server、および管理ゲートウェイ内のESXiデータストアへの内部通信を許可するには、2 つの新しい管理ゲートウェイ ファイアウォール ルールを追加します。
- ゲートウェイ ファイアウォール画面で、管理ゲートウェイタブをクリックします。次の手順を 2 回繰り返します。
- コンピュート ゲートウェイの送信元 NAT から管理ゲートウェイvCenter Serverへのネットワーク トラフィックを許可するための管理ファイアウォール ルールを追加します。
- 宛先ESXiデータストアに書き込むReplicator Applianceインスタンスを許可する別の管理ファイアウォール ルールを追加します。
- 管理ファイアウォール ルールを作成するには、ルールの追加をクリックします。
- 2 つの管理ファイアウォール ルールをそれぞれ構成し、プロンプトが表示されたら適用をクリックします。オプションvCenter Serverの管理ゲートウェイ ファイアウォール ルールESXiホストの管理ゲートウェイ ファイアウォール ルール名前vCenter Server管理ゲートウェイ ルールの名前を入力します。たとえば、「」と入力します。SNAT VCDA to vCenter RuleESXi管理ゲートウェイ ルールの名前を入力します。たとえば、「」と入力します。VCDA Replicators to ESXi Rule送信元任意をクリックします。送信元の設定ウィンドウで、ユーザー定義グループを選択し、SNAT の管理グループを選択します。たとえば、を選択し、SNAT VCDA Management Group適用をクリックします。任意をクリックします。送信元の設定ウィンドウで、ユーザー定義グループを選択し、Replicator Applianceインスタンスのプライベート IP アドレスの管理グループを選択します。たとえば、を選択し、VCDA Replicators Management Group適用をクリックします。宛先任意をクリックします。宛先の設定ウィンドウのシステム定義グループの下でvCenter Serverを選択し、適用をクリックします。任意をクリックします。宛先の設定ウィンドウのシステム定義グループの下でESXiを選択し、適用をクリックします。サービス任意をクリックし、HTTPS (TCP 443)を選択します。Replicator ApplianceのData Engine ServiceがESXiデータストアに書き込むことを許可するには、任意をクリックし、HTTPS (TCP 443)およびプロビジョニングとリモート コンソール (TCP 902)を選択します。アクション許可許可
- 両方の管理ゲートウェイ ファイアウォール ルールを作成したら、公開をクリックします。
- VMware Cloud on AWSでコンピュート ゲートウェイ サービスにアクセスするための準備として、4 つのコンピュート グループを作成します。
- ネットワークとセキュリティタブで、インベントリセクションの左側のペインのグループをクリックします。次の手順を 4 回繰り返します。
- VMware Cloud Director Availability管理インターフェイスへのアクセスが必要な信頼できるユーザーのコンピュート グループを追加します。
- Cloud Director レプリケーション管理アプライアンスのコンピュート グループを追加します。
- すべてのReplicator Applianceインスタンスのコンピュート グループを追加します。
- Tunnel Applianceのコンピュート グループを追加します。
- コンピュート グループを作成するには、コンピュート グループタブでグループの追加をクリックし、グループ名を入力します。
- 信頼できるメンバーを各コンピュート グループに追加するには、[コンピュート メンバー] 列でメンバーの設定リンクをクリックします。
- メンバーの選択ウィンドウのIP アドレスタブで各コンピュート グループの次の IP アドレスを入力し、適用をクリックします。コンピュート グループ名コンピュート グループの信頼できるメンバーの IP アドレスTrusted Compute Sources GroupVMware Cloud Director Availabilityの管理インターフェイスへのアクセス権を付与されたユーザーの外部向けを入力します。public-IP-addressesVMware Cloud on AWSでVMware Cloud Director Availabilityへのアクセスを許可された各ユーザーのすべての公開 IP アドレスを追加していることを確認してください。そうしないと、ユーザーはアクセスできません。VCDA Manager Compute GroupCloud Director レプリケーション管理アプライアンスの「」を入力します。private-IP-addressVCDA Replicators Compute GroupすべてのReplicator Applianceインスタンスのを入力します。private-IP-addressesVCDA Tunnel Compute GroupTunnel Applianceの「」を入力します。private-IP-address
- 各コンピュート グループを保存するために、保存をクリックします。
- 初期セットアップ ウィザードを完了するための準備として、信頼できるコンピュート 送信元からVMware Cloud Director Availability管理インターフェイスへのアクセスを許可します。また、2 つの新しいコンピュート ゲートウェイ ファイアウォール ルールを追加することで、クラウド アプライアンスの送信アクセスも許可します。
- ネットワークとセキュリティタブで、セキュリティセクションの左側のペインのゲートウェイ ファイアウォールをクリックします。次の手順を 2 回繰り返します。
- VMware Cloud Director Availabilityの初期セットアップ ウィザードを完了するように、信頼できるコンピュート送信元によるCloud Director レプリケーション管理アプライアンスへのアクセスを許可するためのコンピュート ゲートウェイ ファイアウォール ルールを追加します。
- コンピュート ゲートウェイからのVMware Cloud Director Availabilityアプライアンスの送信ネットワーク トラフィックを許可するためのコンピュート ゲートウェイ ファイアウォール ルールを追加します。
- コンピュート ゲートウェイタブで、ルールの追加をクリックします。
- 2 つのコンピュート ファイアウォール ルールをそれぞれ構成し、プロンプトが表示されたら適用をクリックします。オプション受信コンピュート ゲートウェイ ファイアウォール ルール送信コンピュート ゲートウェイ ファイアウォール ルール名前受信コンピュート ゲートウェイ ルールの名前を入力します。たとえば、「」と入力します。VCDA Management from Trusted Compute Sources Rule送信コンピュート ゲートウェイ ルールの名前を入力します。たとえば、「」と入力します。VCDA Appliances Outbound Compute Rule送信元任意をクリックします。送信元の設定ウィンドウで、信頼できるコンピュート送信元グループを選択し、適用をクリックします。たとえば、を選択します。Trusted Compute Sources Group任意をクリックします。送信元の設定ウィンドウで、VMware Cloud Director Availabilityアプライアンスの 3 つのコンピュート グループを選択し、適用をクリックします。たとえば、、VCDA Manager Compute Group、VCDA Replicators Compute Groupの 3 つすべてを選択します。VCDA Tunnel Compute Group宛先任意をクリックします。宛先の設定ウィンドウで、Cloud Director レプリケーション管理アプライアンスコンピュート グループを選択し、適用をクリックします。たとえば、を選択します。VCDA Manager Compute Group任意サービス任意をクリックします。サービスの設定ウィンドウで、Cloud Director レプリケーション管理アプライアンス管理インターフェイス サービスを選択し、適用をクリックします。たとえば、を選択します。VCDA-Cloud-Service-ManagementTCP (送信元: 任意 | 宛先: 8046)任意適用対象すべてのアップリンクすべてのアップリンクアクション許可許可
- 両方のコンピュート ゲートウェイ ファイアウォール ルールを作成したら、公開をクリックします。
VMware Cloud on AWS
の SDDC 構成が完了し、VMware Cloud Director Availability
の初期構成の準備が整いました。要約すると、VMware Cloud on AWS
の SDDC ネットワークは次のように構成されています。 - vcda-network-segment：
- VMware Cloud Director Availabilityのすべてのクラウド アプライアンス専用の経路指定ネットワーク。
- 公開 IP アドレス：
- Cloud Director レプリケーション管理アプライアンスの管理インターフェイスと、Tunnel Applianceのパブリック サービス エンドポイントの 2 つの公開 IP アドレスが要求されました。
- 管理ゲートウェイ：
- コンピュート ゲートウェイの送信元 NAT アドレスから管理ゲートウェイvCenter Serverへのアクセス。コンピュート ゲートウェイのVMware Cloud Director Availabilityアプライアンスからのアクセスをブリッジするために使用されます。
- Replicator Applianceから管理ゲートウェイESXiデータストアへのアクセス。移行の宛先に使用されます。
- コンピュート ゲートウェイ：
- 信頼できるコンピュート送信元グループからCloud Serviceの管理インターフェイスへのアクセス。初期セットアップの完了に使用されます。その後、同じルールを変更すると、VMware Cloud Director Availabilityの 4 種類すべての管理インターフェイスにアクセスできるようになります。詳細については、VMware Cloud on AWS での SDDC ネットワークのポスト構成を参照してください。
- VMware Cloud Director Availabilityアプライアンスからインターネットへのアクセス。コンピュート ゲートウェイからの外部ネットワーク トラフィックに使用されます。
Cloud Director レプリケーション管理アプライアンス
の初期セットアップ ウィザードを完了することで、VMware Cloud on AWS
で VMware Cloud Director Availability
を構成できるようになりました。詳細については、VMware Cloud on AWS での VMware Cloud Director Availability の構成を参照してください。