ESXi ファイアウォールの設定変更により管理アクセスが不可となった場合の復旧手順

Products

• VMware vSphere ESXi

Issue/Introduction

免責事項：これは英文の記事「Recovery Procedure When Management Access is Disabled Due to ESXi Firewall Configuration Changes (432513)」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

---

本ナレッジベースは、ESXi のファイアウォール設定を誤って変更し、Host Client や SSH 等から ESXi ホストへアクセスできなくなった場合の復旧手順について説明します。

Environment

VMware ESXi

Resolution

ESXi のファイアウォール設定によりネットワーク経由でのアクセスが遮断されている場合、物理コンソールまたはリモート コンソールから直接 ESXi Shell を操作して制限を解除します。

1. ESXi Shell へのログイン
   
   
   1. ESXi ホストのコンソール画面から F2 キーを押下し、root ユーザーのパスワードを入力して System Customization メニューにログインします。
      
      
   2. Troubleshooting Options の Enable ESXi Shell を選択して、ESXi Shell を有効化します。
      
      Note: 有効化するとメニューの表示が Disable ESXi Shell に更新されます。
      
      
   3. ESXi Shell の有効化後、ESC キーを複数回押して System Customization メニューからログアウトし、初期画面に戻ります。
      
      
   4. その後、Alt + F1 キーを押下してコンソール画面を切り替え、表示される login: プロンプトに対して再度 root ユーザーとパスワードを入力し、ESXi Shell にログインします。
      
      
2. 制限されているルールセットの確認
   
   現在のファイアウォールで許可されている IP アドレスのリストを表示し、アクセスしたいサービス(vSphereClient や sshServer など)がデフォルトの All ではなく、特定の IP アドレスに制限されていないか確認します。
   
   esxcli network firewall ruleset allowedip list | more
   
   Note: 出力結果の Allowed IP Addresses 列が特定の IP アドレスになっている場合、その IP からのみアクセスが許可されています。
   
   
3. 特定のルールセットの制限解除
   
   アクセスを復旧させたい特定のルールセット名(例: vSphereClient や sshServer)に対して、すべての IP アドレスからのアクセスを許可するようにフラグを変更します。
   
   esxcli network firewall ruleset set --ruleset-id=<ルールセット名> --allowed-all true
   
   例: vSphereClient の制限を解除する場合
   
   esxcli network firewall ruleset set --ruleset-id=vSphereClient --allowed-all true
   
   設定後、以下のコマンドを再度実行し、該当ルールの状態が変更されたことを確認します。
   
   esxcli network firewall ruleset allowedip list | more
   
   
4. アクセスの確認
   
   管理端末のブラウザ(https://<ESXi_IP>/ui)や SSH クライアントから対象の ESXi ホストへ正常にアクセスできることを確認します。