---
# System prepended metadata

title: PANOSのVPN冗長検証について

---

# PANOSのVPN冗長検証について

## アジェンダ
- 環境

- (準備).既存のConfigのインポートが可能か 
 -　-> PanOSのバージョンとETHポートの数次第、仮想環境構築時に合わせれば問題ない、固有IP/CIDR Block設定は無視できる。
- (準備).同じVPC内ではVPC間接続できないので、VPCは新たに構築。
- (準備).AMI自体は15日間利用可能なトライアルバージョンを使用。
- (準備).NICはPaloのインターフェース分必要なので、最低でも、Public Subnetに1つとPrivate Subnetに1つ用意する(仮想的にWAN[eth1]/LAN[eth2]、Palo上ではEther1/1,Ether1/2の扱い)

VM-Series Next-Generation Firewall Bundle 1(スタティックVPN不可?、BGP優先、PanOS 10.x)
Starting from $0.77/hr or from $1,530.00/yr (up to 77% savings) for software + AWS usage fees
https://aws.amazon.com/marketplace/pp/B083M7JPKB?qid=1600920943342&sr=0-3&ref_=srh_res_product_title

Palo Alto Networks VM-300 Bundle 2(スタティックVPN可能 PanOS 9.x)
Starting from $1.38 to $1.38/hr for software + AWS usage fees
https://aws.amazon.com/marketplace/pp/B00PJ2V04O?
qid=1600920943342&sr=0-4&ref_=srh_res_product_title

![](https://i.imgur.com/bjqGX0x.png)

- 検証環境
  - VPCを分ける
  - paloのパートナーでないとOVAファイルのDLは出来なそう
    - 一旦マーケットプレイスのイメージで検証するが、ダメそうなら松本さんにDLをいらい

- 検証内容
  - トンネルモニタとアラートの飛ばし先
    - 再接続
  - Act/Act冗長？　Act/Sby冗長
    - VRFを分けるみたいなのは
    - 経路的にはAWS(10.152.0.0/16)がpaloaltoのTEPに向いていれば良さそう
    - Act/Act
      - Dead peer Detectionでルーティングテーブルを切り替える
      - トンネルと経路は２個もたないといけない
  - BGPで経路交換する場合（いったんスタティックで検証してから）
  