®
User Guide
イ ン タ ーネ ッ ト セキ ュ リ テ ィ シ ス テ ム ズ株式会社
〒 141-0021
東京都品川区上大崎 3-1-1
JR 東急目黒ビル 16F
(404) 236-2600
http://www.isskk.co.jp/
© Internet Security Systems, Inc. 2003-2006. All rights reserved worldwide. こ の出版物の適切な数の コ ピーの作成は内部で使用す る
場合だけ許可 さ れてい ます。 それ以外の場合の こ の出版物のすべて ま たは一部の コ ピーま たは複製は、 Internet Security
Systems, Inc. の事前の書面に よ る 同意な し にいかな る 人物ま たは企業に も 許可 さ れてい ません。
特許出願中。
Internet Security Systems、 ADDME、 ActiveAlert、 AlertCon、 AlertCon の ロ ゴ、 FireCell、 FlexCheck、 SecurityFusion、
SecurePartner、 SiteProtector、 SecureU、 System Scanner、 Virtual Patch、 Wireless Scanner、 お よ び X-Press Update は Internet
Security Systems, Inc. の商標お よ びサービ ス マー ク 、 Database Scanner、 Internet Scanner、 Internet Security Systems の ロ ゴ、
Online Scanner、 Proventia、 RealSecure、 SAFEsuite、 Secure Steps、 お よ び X-Force は同社の登録商標お よ びサービ ス マー ク で
す。 Network ICE、 Network ICE の ロ ゴ、 お よ び ICEpac は Internet Security Systems, Inc. の完全所有子会社であ る Network ICE
Corporation の商標、 BlackICE は同社の許諾を受けた登録商標、 お よ び ICEcap は同社の登録商標です。 Powering Content
Security は Internet Security Systems, Inc. の完全所有子会社であ る Cobion AG の商標、 お よ び Cobion は同社の登録商標です。
SilentRunner は Raytheon Company の登録商標です。 Acrobat お よ び Adobe は Adobe Systems Incorporated の登録商標です。
Certicom は Certicom Corp の商標、 Security Builder は Certicom Corp の登録商標です。 Check Point、 FireWall-1、 OPSEC、
Provider-1、 お よ び VPN-1 は、 Check Point Software Technologies Ltd. ま たはその関連会社の登録商標です。 Cisco お よ び Cisco
IOS は Cisco Systems, Inc. の登録商標です。 HP-UX お よ び OpenView は、Hewlett-Packard Company の登録商標です。 IBM お よ び
AIX は IBM Corporation の登録商標です。 InstallShield は、 米国ま たはその他の国あ る いはその両方におけ る InstallShield
Software Corporation の登録商標お よ びサービ ス マー ク です。 Intel お よ び Pentium は Intel の登録商標です。 Lucent は Lucent
Technologies, Inc. の商標です。 ActiveX、 Microsoft、 Windows、 お よ び Windows NT は Microsoft Corporation の登録商標ま たは商
標です。 Net8、 Oracle、 Oracle8、 SQL*Loader、 お よ び SQL*Plus は Oracle Corporation の登録商標ま たは商標です。 Seagate
Crystal Reports、 Seagate Info、 Seagate、 Seagate Software、 お よ び Seagate の logo は Seagate Software Holdings, Inc. ま たは Seagate
Technology, Inc. ( あ る いはその両方 ) の商標ま たは登録商標です。 Secure Shell お よ び SSH は SSH Communications Security の商
標ま たは登録商標です。 iplanet、 Sun、 Sun Microsystems、 Sun の ロ ゴ、 Netra、 SHIELD、 Solaris、 SPARC、 お よ び UltraSPARC
は米国お よ びその他の国におけ る Sun Microsystems, Inc. の商標ま たは登録商標です。 すべての SPARC 商標は、 許可の下に使
用 さ れ、 米国ま たはその他の国におけ る SPARC International, Inc. の商標ま たは登録商標です。 Adaptive Server、 SQL、 SQL
Server、 お よ び Sybase は Sybase, Inc.、 その関連会社 と ラ イ セ ンサーの商標です。 Tivoli は Tivoli Systems, Inc. の登録商標です。
Unix は米国お よ びその他の国において、 X/Open Company, Ltd. が独占的に ラ イ セ ン ス を管理 し てい る 登録商標です。 こ の文書
で言及 さ れてい る その他の名称はすべて、 各所有者のブ ラ ン ド 名、 製品名、 商標ま たは登録商標であ り 、 権利侵害の意図な し
に編集上の理由で使用 さ れてい る も のです。 明細事項は予告な し に変更 さ れ る こ と があ り ます。
免責 : こ の文書に記載 さ れてい る 情報は予告な し に変更 さ れ る こ と があ り ます。 こ の文書を ISS と X-Force 以外の ソ ース か ら
入手 し た場合は、 改変ま たは変更 さ れてい る 可能性があ り ます。 こ の情報を使用す る こ と に よ り 、 いかな る 種類の保証 も な く
「現状」 の ま ま、 ユーザーの自己責任において使用す る こ と に同意 し た も の と みな さ れます。 ISS と X-Force は、 市場性お よ び
特定目的への適合性の保証をは じ め と す る いかな る 保証 も 、 明示的に も 暗黙的に も 行い ません。 ISS ま たは X-Force は、 いか
な る 場合 も 、 本文書の使用ま たは配布か ら 生 じ る 直接的、 間接的、 付随的、 結果的、 あ る いは特別な損害について、 た と え
ISS ま たは X-Force がその よ う な損害の可能性について忠告を受けた と し て も 、 責任を負い ません。 州に よ っ ては、 結果的ま
たは付随的な損害の責任を除外ま たは限定す る こ と が許可 さ れていないため、 前述の限定事項は適用 さ れません。
こ こ に記 さ れてい る 商標名、 商標、 製造業者、 ま たはそれ以外に よ る 、 特定の商品、 プ ロ セ ス、 ま たはサービ ス な ど の引用
は、 必ず し も Internet Security Systems, Inc に よ る 保証や推奨、 ま たは支持を表明 し た り 暗示 し た り す る も のではあ り ません。
こ こ に示 さ れてい る 作者の見解お よ び意見は、 必ず し も Internet Security Systems, Inc. の主張、 ま たは同社の見解お よ び意見を
反映す る も のではな く 、 製品の保証や広告の目的で使用 さ れてはな り ません。
イ ン タ ーネ ッ ト リ ソ ースへの リ ン ク と ア ド レ ス は、 リ リ ース前に十分調査 さ れてい ますが、 刻々 と 変化する イ ン タ ーネ ッ ト
の性質上、 Internet Security Systems は リ ソ ース の内容やその存在について保証す る こ と はで き ません。 可能な場合には、 参照
セ ク シ ョ ンには、 他の方法で目的の情報が獲得で き る 代わ り のサ イ ト やキーワ ー ド が記載 さ れてい ます。 リ ン ク の破損や不適
切な リ ン ク にお気づ き の場合は、 ト ピ ッ ク 名、 リ ン ク 、 その動作状況を [email protected] ま で電子 メ ールでご
連絡 く だ さ い。
2006 年 8 月
前書き
概要
は じ めに
本書では、 Proventia Network Multi-Function プ ラ イ ア ン ス の設定お よ び管理方法について説明 し ま
す。 アプ ラ イ ア ン スは、 最小限の追加設定で基本的なネ ッ ト ワ ー ク 防御を提供す る デフ ォ ル ト 設定
で出荷 さ れます。
取 り 扱い範囲
Proventia Network Multi-Function Security アプ ラ イ ア ン ス用の 「User Guide」 は、 固有のセキ ュ リ
テ ィ 要件を満たす よ う にアプ ラ イ ア ン ス機能や防御機能を設定す る 場合に役立ち ます。 最適なパ
フ ォーマ ン ス のためにアプ ラ イ ア ン ス を管理 し てア ッ プデー ト す る 場合に も 役立ち ます。
対象読者
本書は、 Proventia Network Multi-Function Security アプ ラ イ ア ン ス全モデルのユーザーを対象 と し て
います。 ユーザーは自身のネ ッ ト ワ ー ク セキ ュ リ テ ィ ポ リ シーお よ び IP ネ ッ ト ワ ー ク に関する 基
礎知識を持っ てい る 必要があ り ます。
新機能
新機能 と 改良点は Readme フ ァ イ ルに掲載 さ れてい ます。
Proventia® Network Multi-Function Security Appliance User Guide
3
本書の構成方法
は じ めに
こ のアプ ラ イ ア ン ス のマニ ュ アルは、 ISS Web サ イ ト (http://www.isskk.co.jp/eval/
manuals.html ま たは http://www.iss.net/support/documentation/ ( 英語版 )) か ら 入
手で き ます。
最新情報
最新のアプ ラ イ ア ン ス情報については、 製品のオン ラ イ ン ヘルプお よ び readme フ ァ イ ルを参照 し
て く だ さ い。
本書の内容
次の表では、 本書のセ ク シ ョ ンについて説明 し ます。
セクシ ョ ン
内容
パー ト I: 初期設定
初期設定プ ロ セス と Proventia Setup Assistant について
パー ト II: シ ステムの設定 と ア ッ プ
デー ト
シ ステムの設定、 ア ッ プデー ト 、 およびバ ッ ク ア ッ プに
ついて
パー ト III: 機能の設定
•
イ ン タ ー フ ェ ース
•
ルーテ ィ ング
•
ア プ ラ イ ア ン ス ア ク セス
•
サービ ス
•
ネ ッ ト ワー ク オブ ジ ェ ク ト
•
通知
•
SiteProtector によ る管理
•
ハイ アベ イ ラ ビ リ テ ィ
防御機能の設定方法について
•
フ ァ イ アウ ォ ール ( ネ ッ ト ワー ク ア ド レ ス変換を含
む)
•
ア ン チスパム
•
ア ン チウ ィ ルス
•
不正侵入防御
•
Web フ ィ ル タ
パー ト IV: VPN の設定
Virtual Private Network の設定方法について
パー ト V: シ ス テム監視
イ ベン ト 、 ログ、 およびステー タ スの監視方法について
表 1: 本書の構成
関連マニ ュ アル
本書に含まれない内容については、 次の ISS Web サ イ ト を参照 し て く だ さ い。
Web サイ ト
内容
www.iss.net/support/documentation
•
www.iss.net/download/
表 2: 追加情報の Web サイ ト
4
よ く ある質問
•
デー タ シー ト
•
Virtual Private Network および フ ァ イ ア
ウ ォ ールについて
•
Readme フ ァ イル
•
製品のダウン ロー ド と ア ッ プ ロー ド
本書の構成方法
フ ィ ードバッ ク
マニ ュ アルに関す る ご意見は、 イ ン タ ーネ ッ ト セキ ュ リ テ ィ シ ス テ ム ズに と っ て貴重な も のです。
ご意見ご提案は、 [email protected] ま でお寄せ く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
5
本書で使用する表記規則
は じ めに
こ の ト ピ ッ ク では、 手順や コ マン ド を よ り わか り やす く す る ために、 本書で使われてい る 印刷上の
表記規則を説明 し ます。
手順
操作手順の説明の中で使用 さ れ る 表記規則は、 次の と お り です。
表記規則
内容
例
太字 (Bold)
グ ラ フ ィ カル ユーザー イ ン
タ ー フ ェ ースの要素。
[IP Address] ボ ッ ク ス に、 コ
ン ピ ュ ー タ のア ド レ ス を入力
し ます。
[Print] チ ェ ッ ク ボ ッ ク ス を
オンに し ます。
[OK] を ク リ ッ ク し ます。
小型英大文字
(SMALL CAPS)
キーボー ド のキー。
[ENTER] キーを押 し ます。
[+] ( プ ラ ス記号 ) キーを押 し
ます。
等幅
(Constant
width)
フ ァ イル名、 フ ォルダ名、 パ User.txt フ ァ イ ルを
ス名な ど、 表記どお り に入力 [Addresses] フ ォ ルダに保
存 し ます。
する必要のある情報。
[Username] ボ ッ ク ス に
「IUSR__SMA」 と 入力 し ま
す。
等幅斜体
フ ァ イル名、 フ ォルダ名、 パ [Identification information]
ス名な ど、 ユーザーが指定す ボ ッ ク ス に Version
る必要のある情報。
number ( バージ ョ ン番号 ) を
入力 し ます。
(Constant
width
italic)
→
タ ス ク バーまたは メ ニ ュ ー
バーから の コ マ ン ド 実行順
序。
タ ス ク バーか ら 、 [ ス タ ー ト
] → [ フ ァ イ ル名を指定 し て
実行 ] の順に選択 し ます。
[File] メ ニ ュ ーで、 [Utilities]
→ [Compare Documents] の順
に選択 し ます。
表 3: 操作手順に関する表記規則
コ マ ン ド の表記規則
コ マ ン ド ラ イ ンで使用 さ れ る 表記規則は、 次の と お り です。
表記規則
内容
例
等幅太字
(Constant
width bold)
表記どお り に入力する情報。
md ISS
斜体
状況によ っ て異な る情報。
md フ ォルダ名
[]
オプ シ ョ ン と し ての情報。
dir [ ド ラ イ ブ :][ パス ] [
フ ァ イ ル名 ] [/P][/W]
[/D]
|
ど ち ら か一方を選択する必要
のある情報。
verify [ON|OFF]
(Italic)
表 4: コ マ ン ド に関する表記規則
6
本書で使用する表記規則
表記規則
内容
例
{}
複数ある う ちから 1 つ選択す % chmod {u g o
a}=[r][w][x] file
る必要のある情報。
表 4: コ マ ン ド に関する表記規則 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
7
テ ク ニ カル サポー ト について
は じ めに
ISS では、 Web サ イ ト お よ び電子 メ ールま たは電話を通 じ てテ ク ニ カル サポー ト を提供 し てい ま
す。
ISS の Web サイ ト
Internet Security Systems (ISS) の Web サ イ ト (http://www.isskk.co.jp/support.html ま たは
http://www.iss.net/support/) では、 オン ラ イ ン マニ ュ アル、 最新バージ ョ ン一覧、 詳細
な製品資料、 ホ ワ イ ト ペーパー、 テ ク ニ カル サポー ト ナレ ッ ジベース な ど、 役立つ豊富な情報を
直接入手す る こ と がで き ます。
サポー ト レ ベル ( 米国 )
米国 ISS では、 3 つの レベルのサポー ト を提供 し てい ます。
●
Standard
●
Select
●
Premium
ど の レベル も 、 電話お よ び電子的手段に よ る サポー ト を 24 時間体制で提供 し ます。 Select サービ ス
と Premium サービ スは、 Standard サービ ス よ り も 優れた機能 と メ リ ッ ト を提供 し ます。 企業のサ
ポー ト レベルを ご存知ない場合は、 顧客サービ ス窓口 ([email protected]) にお問い合
わせ く だ さ い。
営業時間
北南米お よ びその他の地域におけ る テ ク ニ カル サポー ト の営業時間は次の と お り です。
地域
営業時間
北南米
24 時間体制
日本国内
月曜から 金曜ま での午前 10 時から 午後 5 時までです。 ただ
し 、 ISS の休業日は除き ます。
注記 : 最寄 り のサポー ト オ フ ィ スが南北ア メ リ カ以外にあ
る場合は、 その営業時間外における ご質問 ・ ご相談は、 北南
米オ フ ィ スに電話または電子 メ ールでお問い合わせいただ く
こ と がで き ます。 日本国内における ISS 製品に関する技術的
なお問い合わせは、 本製品の保守契約を締結 さ れている販売
代理店を通 じ てご連絡 く だ さ い。
表 5: テ ク ニ カル サポー ト 営業時間
問い合わせ窓口
テ ク ニ カル サポー ト 用の連絡先は次の と お り です。
地域オ フ ィ ス
電子的手段によ るサポー ト
電話番号
北米
ISS Web サイ ト の MYISS セ
ク シ ョ ン を ご覧 く だ さ い。
Standard:
www.iss.net
(1) (888) 447-4861 ( フ リ ー
ダ イヤル )
(1) (404) 236-2700
Select および Premium:
Welcome Kit を参照 し て く だ
さ い。
表 6: テ ク ニ カル サポー ト 窓口
8
テ ク ニ カル サポー ト について
地域オ フ ィ ス
電子的手段によ るサポー ト
電話番号
南米
[email protected]
(1) (888) 447-4861 ( フ リ ー
ダ イヤル )
(1) (404) 236-2700
ヨ ーロ ッ パ、 中 [email protected]
東、 ア フ リ カ
(44) (1753) 845105
ア ジ ア太平洋、
オース ト ラ リ
ア、 フ ィ リ ピ ン
[email protected]
(1) (888) 447-4861 ( フ リ ー
ダ イヤル )
日本
本製品の保守契約を締結 さ れ
ている販売代理店を通 じ てご
連絡 く だ さ い。
(1) (404) 236-2700
本製品の保守契約を締結 さ れ
ている販売代理店を通 じ てご
連絡 く だ さ い。
表 6: テ ク ニ カル サポー ト 窓口 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
9
10
目次
前書き
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3
本書の構成方法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4
本書で使用する表記規則 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .6
テ ク ニ カル サポー ト について . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8
パー ト I: 初期設定
第 1 章 : は じ めに
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
機能の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
設定プ ロ セス . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
サポー ト . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
19
20
22
24
第 2 章 : 初期設定
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
動作モー ド の選択 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
必要な情報の収集 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
セ ッ ト ア ッ プ コ ン ピ ュ ー タ と 電源ケーブルの接続 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
基本的な ア プ ラ イ ア ン ス設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ア プ ラ イ ア ン スのネ ッ ト ワー ク への接続 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
Proventia Manager の接続 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
LCD の使用 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
25
26
29
31
33
35
36
38
パー ト II: シ ス テムの設定 と ア ッ プデー ト
第 3 章 : シ ス テムの設定 と ア ッ プデー ト
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
シス テムの設定 と ア ッ プデー ト . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
シス テム設定のチ ェ ッ ク リ ス ト . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
第 4 章 : ルーテ ィ ング モー ド でのイ ン タ ー フ ェ ースの管理
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ルーテ ィ ング イ ン タ ー フ ェ ースの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
静的ルー ト の定義 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF ルー タ ーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF エ リ アの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF イ ン タ ー フ ェ ースの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF 仮想 リ ン ク の設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF デー タ ベース情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
OSPF 設定の操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
49
51
54
55
57
59
61
63
66
68
第 5 章 : ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの管理
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
ト ラ ン スペア レ ン ト モー ド での ト ラ フ ィ ッ ク の転送 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
Proventia® Network Multi-Function Security Appliance User Guide
11
目次
第 6 章 : ア プ ラ イ ア ン スのア ク セス制御
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
パスワー ド の管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
ユーザーへのア プ ラ イ ア ン ス ア ク セス権の付与 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
第 7 章 : シ ス テム サービ スの有効化
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
動的ホス ト 設定サービ スの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
リ モー ト ア ク セス サービ スの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
メ ール リ レー制御および認証サービ スの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ア プ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロキシ サービ スの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
77
78
82
83
85
86
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ネ ッ ト ワー ク オブ ジ ェ ク ト の定義 と 操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
動的ア ド レ スの定義 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
SiteProtector での動的ア ド レ ス名の操作. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
ビル ト イ ン動的ア ド レ スの操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
87
89
92
94
97
第 9 章 : シ ス テム イ ベン ト のア ラ ー ト と ロギングの有効化
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
シス テム イ ベン ト のア ラ ー ト と ロギングの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
メ ールによ る ア ラ ー ト の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
第 10 章 : SiteProtector でのア プ ラ イ ア ン スの管理 と ア ッ プデー ト
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
SiteProtector の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
SiteProtector へのア プ ラ イ ア ン スの登録. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
自動ア ッ プデー ト の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
ア ラ ー ト の有効化 と 自動ア ッ プデー ト のロギング . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115
SiteProtector から のア ッ プ ラ イ ア ン ス ア ッ プデー ト の入手 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
手動によ る ア ッ プデー ト のイ ン ス ト ール と 削除 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
第 12 章 : ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
バ ッ ク ア ッ プ と 復元の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
シス テムのバ ッ ク ア ッ プ と 復元 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
ア プ ラ イ ア ン ス フ ァ ームウ ェ アの再イ ン ス ト ール . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
シス テム ツールの操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
セ ク シ ョ ン A: ルーテ ィ ン グ ア プ ラ イ ア ン スのハイ アベ イ ラ ビ リ テ ィ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131
ハイ アベ イ ラ ビ リ テ ィ の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
ハイ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セス . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135
ハイ アベ イ ラ ビ リ テ ィ のためのア プ ラ イ ア ン スの接続. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
必要なポ リ シーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
ハイ アベ イ ラ ビ リ テ ィ の有効化 と 無効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
ハイ アベ イ ラ ビ リ テ ィ の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ース . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ースの操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
12
目次
ハイ アベ イ ラ ビ リ テ ィ でのア プ ラ イ ア ン スの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
SiteProtector でのハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
ハイ アベ イ ラ ビ リ テ ィ 実装のア プ ラ イ ア ン スのア ッ プデー ト . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
ハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157
ハイ アベ イ ラ ビ リ テ ィ の ト ラ ブルシ ュ ーテ ィ ング . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159
セ ク シ ョ ン B: ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スの フ ェ ールオーバー . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
ト ラ ン スペア レ ン ト モー ド でのフ ェ ールオーバー . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162
ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバーの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
パー ト III: 機能の設定
第 14 章 : フ ァ イ アウ ォ ールの設定
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
フ ァ イ アウ ォ ール ルーテ ィ ングにおける ト ラ フ ィ ッ ク の許可 と 拒否 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでの ト ラ フ ィ ッ ク の許可 と 拒否 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
フ ァ イ アウ ォ ール イ ベン ト のア ラ ー ト と ロギングの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178
ア プ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク のフ ィ ル タ リ ング . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでのロー カル ルー タ ーの定義 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186
ネ ッ ト ワー ク ア ド レ ス変換. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 187
イ ンバウン ド と アウ ト バウン ド の IP ア ド レ スの変換 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190
ポー ト ア ド レ ス変換 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
第 15 章 : 電子 メ ール と Web コ ン テ ン ツのフ ィ ル タ リ ング
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
ア ン チスパム防御設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
ア ン チスパム イ ベン ト のア ラ ー ト と ロギングの有効化. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
Web フ ィ ル タ 防御機能の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
Web フ ィ ル タ リ ング イ ベン ト のア ラ ー ト と ロギングの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208
フ ィ ル タ デー タ ベース . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210
第 16 章 : ウ ィ ルスの検出 と 削除
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
ア ン チウ ィ ルス防御機能の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214
ア ン チウ ィ ルス イ ベン ト のア ラ ー ト と ロギングの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
隔離 (Quarantine) さ れた フ ァ イルの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
第 17 章 : 不正侵入の検出 と 防御
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
不正侵入防御機能の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
不正侵入イ ベン ト のア ラ ー ト と ロギングの有効化 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224
不正侵入の隔離 (Quarantine) ルールの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226
不正侵入防御イ シ ュ ー リ ス ト の操作. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227
パー ト IV: VPN の設定
第 18 章 : VPN の設定
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
セ ク シ ョ ン A: VPN の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 233
VPN の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
VPN 設定プ ロ セス. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
Proventia® Network Multi-Function Security Appliance User Guide
13
目次
VPN 設定ウ ィ ザー ド . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
SoftRemote ク ラ イ ア ン ト での VPN の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
ア プ ラ イ ア ン ス間での VPN の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
Windows 2000 および XP ク ラ イ ア ン ト での VPN の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245
L2TP/IPSEC VPN 接続の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 248
VPN ユーザーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
セ ク シ ョ ン B: 証明書の管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253
証明書について . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
信頼 さ れた認証局ベースの証明書のイ ン ス ト ール と 削除 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255
自己証明書の要求、 ア ッ プ ロー ド 、 および削除 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
証明書失効 リ ス ト のイ ン ス ト ール と 削除 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
セ ク シ ョ ン C: セキ ュ リ テ ィ ゲー ト ウ ェ イの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
セキ ュ リ テ ィ ゲー ト ウ ェ イの概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
セキ ュ リ テ ィ ゲー ト ウ ェ イ での作業. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
セ ク シ ョ ン D: IPSEC ポ リ シーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
IPSEC お よび IPSEC ポ リ シー . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
IPSEC のカ プ セル化モー ド . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 279
IPSEC VPN プ ロ ト コル . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 280
L2TP と IPSEC の使用 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 281
セキ ュ リ テ ィ ア ソ シ エーシ ョ ン . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
キー管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283
IPSEC ポ リ シーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
セ ク シ ョ ン E: IKE ポ リ シーの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
IKE SA 情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 288
IKE 自動キー管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289
IKE ト ン ネル ネゴ シ エーシ ョ ン プ ロ セス . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
IKE モー ド . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 293
Diffie-Hellman 交換 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ 設定の指定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 296
IKE リ モー ト ID の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 298
IKE XAuth の設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299
パー ト V: シ ス テム監視
第 19 章 : イ ベ ン ト 、 ログ、 およびステー タ スの監視
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 303
ア ラ ー ト 、 ログ、 およびス テー タ スの表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 304
イ ベン ト に関する詳細情報の入手 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305
イ ベン ト ログの操作 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 306
14
目次
付録
付録 A: 高度なパラ メ ー タ
概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323
高度なパラ メ ー タ の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 324
ア ン チスパムの高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 326
ア ン チウ ィ ルスの高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327
自動ア ッ プデー ト の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
デー タ ベースの高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 343
DHCP の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 344
イ ベン ト 通知の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
フ ァ イ アウ ォ ール と VPN の高度なパ ラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 347
ハイ アベ イ ラ ビ リ テ ィ の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 351
不正侵入防御の高度なパラ メ ー タ の設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 352
不正侵入防御のブ ロ ッ ク ルール キーワー ド . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360
不正侵入防御の防御レ スポン ス キーワー ド . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 362
ス テー タ ス サマ リ の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 364
Web フ ィ ル タ の高度なパラ メ ー タ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 365
索引
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 367
用語集
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 377
Proventia® Network Multi-Function Security Appliance User Guide
15
目次
16
パー ト I
®
初期設定
第1章
はじめに
概要
は じ めに
初期設定プ ロ セ ス を開始す る 前に、 アプ ラ イ ア ン ス機能、 設定プ ロ セ ス、 お よ びハー ド ウ ェ アにつ
いて よ く 理解 し てお く 必要があ り ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
機能の概要
20
設定プ ロ セス
22
サポー ト
24
Proventia® Network Multi-Function Security Appliance User Guide
19
第 1 章 : は じ めに
機能の概要
は じ めに
Proventia® Network Multi-Function Security アプ ラ イ ア ン スは、 VPN 機能お よ びハ イ アベ イ ラ ビ リ
テ ィ 機能に加え て、 ネ ッ ト ワ ー ク の包括的なセキ ュ リ テ ィ 防御機能を提供 し ます。 固有のセキ ュ リ
テ ィ 要件を満たす よ う にアプ ラ イ ア ン ス を設定す る こ と がで き ます。
説明
次の表では、 アプ ラ イ ア ン ス の主な機能を簡潔に説明 し ます。
機能
ア ン チスパム
説明
ア ン チスパム機能は、 次の タ ス ク を実行 し ます。
•
スパムに対 し て、 電子 メ ールの中身、 添付フ ァ イル、 および URL を分析す
る。
•
ユーザーが定義 し たスパム ルールに基づいて、 ネ ッ ト ワー ク に出入 り する
電子 メ ールを許可または拒否する。
•
容易に認識で き る よ う に、 スパム メ ールの件名行に [SPAM] ラ ベルを追加
する。
参照 : 第 15 章 「電子 メ ール と Web コ ン テ ン ツのフ ィ ル タ リ ング」 を参照 し て
く だ さ い。
ア ン チウ ィ ルス
ア ン チウ ィ ルス機能 と ウ ィ ルス予防シ ステムは、 次を含むすべてのネ ッ ト ワー
ク ト ラ フ ィ ッ ク のウ ィ ルス を検出 し 、 隔離 し ます。
•
Web ト ラ フ ィ ッ ク (HTTP ト ラ フ ィ ッ ク )
•
フ ァ イル転送 ト ラ フ ィ ッ ク (FTP ト ラ フ ィ ッ ク )
•
電子 メ ール ト ラ フ ィ ッ ク (SMTP および POP3 ト ラ フ ィ ッ ク )
これら の機能は、 WildList を 100% 網羅 し ます。 WildList の詳細については、
www.wildlist.org を参照 し て く だ さ い。
参照 : 第 16 章 「ウ ィ ルスの検出 と 削除」 を参照 し て く だ さ い。
フ ァ イ アウ ォ ー
ル
フ ァ イ アウ ォ ール機能は、 次の機能を備えています。
•
ステー ト フル パケ ッ ト フ ィ ル タ リ ング
ア プ ラ イ ア ン スは、 発信元 IP ア ド レ ス と ポー ト 、 宛先 IP ア ド レ ス と ポー
ト 、 プ ロ ト コルな どの TCP/IP ヘ ッ ダーの情報に基づいて、 ネ ッ ト ワー ク
ト ラ フ ィ ッ ク を許可または拒否 し ます。 また、 通信セ ッ シ ョ ンの状態を追
跡 し た り 、 セ ッ シ ョ ン を行 う ポー ト を動的に開閉 し た り し ます。
•
ネ ッ ト ワー ク ア ド レ ス変換
ア プ ラ イ ア ン スは、 ネ ッ ト ワー ク に出入 り する と き にパケ ッ ト 中の IP ア ド
レ ス を変換 し ます。 NAT は、 イ ン タ ーネ ッ ト 通信のためにプ ラ イ ベー ト IP
ア ド レ ス をパブ リ ッ ク IP ア ド レ スに変換する必要性 と 、 ネ ッ ト ワー ク 上の
重要なアセ ッ ト の IP ア ド レ ス を隠ぺいする必要性に対応 し ます。
•
ア プ リ ケーシ ョ ン層ゲー ト ウ ェ イ防御
フ ァ イ アウ ォ ールは、 ウ ィ ルス、 スパム、 および遮断 さ れる Web コ ン テ
ン ツに対 し て、 送受信 メ ール (SMTP および POP3) ト ラ フ ィ ッ ク、 フ ァ イ
ル転送 (FTP) ト ラ フ ィ ッ ク、 および Web (HTTP) ト ラ フ ィ ッ ク を フ ィ ル タ
リ ング し ます。
参照 : 第 14 章 「フ ァ イ アウ ォ ールの設定」 を参照 し て く だ さ い。
表 7: 機能の説明
20
機能の概要
機能
説明
ハイ アベ イ ラ
ビリテ ィ
ハイ アベ イ ラ ビ リ テ ィ 機能は、 ア プ ラ イ ア ン スに対 し て フ ェ ールオーバー機
能を提供 し ます。 こ の機能は、 少な く と も 2 つのア プ ラ イ ア ン スが必要です。
•
プ ラ イ マ リ ア プ ラ イ ア ン ス - メ イ ンに動作する セキ ュ リ テ ィ デバイ ス。
•
セ カ ン ダ リ ア プ ラ イ ア ン ス - プ ラ イ マ リ デバイ スで障害が発生 し た場合
に、 自動的に動作を引き継ぐバ ッ ク ア ッ プ用セキ ュ リ テ ィ デバイ ス。
参照 : 第 13 章 「ア プ ラ イ ア ン スの可用性の維持」 を参照 し て く だ さ い。
不正侵入防御
不正侵入防御機能は、 次の機能を備えています。
•
高速かつ詳細な ト ラ フ ィ ッ クの不正侵入分析
•
不正侵入検知のための複数の方法
•
不正侵入のブ ロ ッ ク と ア ラ ー ト
•
Virtual Patch テ ク ノ ロ ジによ る X-Force か らの自動セキ ュ リ テ ィ ア ッ プ
デー ト
参照 : 第 17 章 「不正侵入の検出 と 防御」 を参照 し て く だ さ い。
VPN
VPN (Virtual Private Network) 機能は、 リ モー ト ユーザーや他のデバイ ス を安
全に、 かつ非公開でネ ッ ト ワー ク に接続 し ます。 VPN テ ク ノ ロ ジはイ ン タ ー
ネ ッ ト 経由でセキ ュ リ テ ィ の高い接続を構築 し ます。
参照 : 第 18 章 「VPN の設定」 を参照 し て く だ さ い。
Web フ ィ ル タ
Web フ ィ ル タ 機能は、 企業の Web 閲覧ルール と 適切な使用ガ イ ド ラ イ ン を強
制 し ます。
参照 : 第 15 章 「電子 メ ール と Web コ ン テ ン ツのフ ィ ル タ リ ング」 を参照 し て
く だ さ い。
表 7: 機能の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
21
第 1 章 : は じ めに
設定プ ロ セス
は じ めに
アプ ラ イ ア ン ス の設定 と 実装には、 異な る アプ ロ ーチがあ り ます。 こ の ト ピ ッ ク では、 推奨 さ れ る
アプ ロ ーチについて説明 し ます。
必須 タ ス ク と オプ シ ョ ン
タスク
必須 タ ス ク は、 セキ ュ リ テ ィ 要件、 ネ ッ ト ワ ー ク 環境、 お よ び選択す る 動作モー ド に よ っ て異な り
ます。
注記 : アプ ラ イ ア ン ス が動作可能であ る こ と を確認 し た ら 、 いつで も モー ド を変更 し た り 、 追加
イ ン タ ーフ ェ ース を有効に し た り 、 設定を変更 し た り す る こ と がで き ます。
プ ロ セスの概要
次の表では、 設定 と 実装のプ ロ セ ス について説明 し ます。
段階
1
説明
初期設定 :
•
ア プ ラ イ ア ン ス と 付属品を取 り 出 し ます。
•
初期設定のために コ ン ピ ュ ー タ を物理的にア プ ラ イ ア ン スに接続 し 、 接続を設定 し
ます。
•
ア プ ラ イ ア ン ス セ ッ ト ア ッ プ ウ ィ ザー ド を実行 し 、 初期設定プ ロ セスに従っ て完了
さ せます。
•
コ ン ピ ュ ー タ を ア プ ラ イ ア ン スか ら切断 し 、 ア プ ラ イ ア ン ス を プ ラ イ ベー ト ネ ッ ト
ワー ク ( 内部 ) と イ ン タ ーネ ッ ト に接続 し ます。
参照 : 「パー ト I: 初期設定」 (17 ページ ) を参照 し て く だ さ い。
2
シ ステムの設定 と ア ッ プデー ト :
•
ア プ ラ イ ア ン スに接続 し ている プ ラ イ ベー ト ネ ッ ト ワー ク のイ ン タ ー フ ェ ース を設
定 し ます。
•
ア プ ラ イ ア ン スに接続 し ている ネ ッ ト ワー ク上の ト ラ フ ィ ッ ク を正 し く ルーテ ィ ン
グする ために、 ルーテ ィ ング プ ロ ト コルa と 静的ルー ト を設定 し ます。
•
ア プ ラ イ ア ン スへの管理ア ク セス権限を ネ ッ ト ワー ク上のデバイ スに与えます。
•
ア プ ラ イ ア ン スで実行予定のサービ ス を有効に し ます。
・ 動的なホス ト 設定サービ ス (DHCP)b
・ リ モー ト ア ク セス サービ ス (SSH)
・ メ ール リ レーおよび認証サービ ス (SMTP)
・ Web プ ロキシ サービ ス (HTTP)
・ ネ ッ ト ワー ク管理サービ ス (SNMP)
•
ネ ッ ト ワー ク 上で一般的に参照 さ れる IP ア ド レ ス と ポー ト に対 し て、 名前 と グルー
プ を定義 し ます。
•
システム エ ラ ーおよび警告を、 電子 メ ール、 ネ ッ ト ワー ク メ ッ セージ (SNMP ト
ラ ッ プ )、 または SiteProtector Console で通知する よ う にシ ステムを設定 し ます。
•
ア プ ラ イ ア ン スで、 統合 さ れた SiteProtector によ る管理を有効に し ます。
•
ア プ ラ イ ア ン ス を ア ッ プデー ト し ます。
•
ア プ ラ イ ア ン ス をバ ッ ク ア ッ プ し ます。
参照 : 「パー ト II: シ ステムの設定 と ア ッ プデー ト 」 (41 ページ ) を参照 し て く だ さ い。
表 8: 設定プ ロ セス
22
設定プ ロ セ ス
段階
3
説明
防御機能の設定
•
フ ァ イ アウ ォ ールc の防御機能を設定 し ます。
•
ア ン チスパムの防御機能を設定 し ます。
•
ア ン チウ ィ ルスの防御機能を設定 し ます。
•
不正侵入防御の防御機能を設定 し ます。
•
Web フ ィ ル タ の防御機能を設定 し ます。
参照 : 「パー ト III: 機能の設定」 (167 ページ ) を参照 し て く だ さ い。
4
VPN の設定
•
VPN と ユーザーd の設定
参照 : 「パー ト VI: VPN の設定」 (229 ページ ) を参照 し て く だ さ い。 .
表 8: 設定プ ロ セス ( 続き )
a. 最適ルー ト の計算 (OSPF) な ど のルーテ ィ ン グ機能は、 ルーテ ィ ン グ モー ド でのみ使用可能です。
b. DHCP サービ ス はルーテ ィ ン グ モー ド でのみ使用可能です。
c. フ ァ イ ア ウ ォ ールの設定プ ロ セ ス は、 ルーテ ィ ン グ モー ド と ト ラ ン スペア レ ン ト モー ド に よ っ て異な り
ます。 ネ ッ ト ワ ー ク ア ド レ ス変換な ど の フ ァ イ ア ウ ォ ール機能は、 ルーテ ィ ン グ モー ド でのみ使用可能で
す。
d. VPN 機能は、 ルーテ ィ ン グ モー ド でのみ使用可能です。
Proventia® Network Multi-Function Security Appliance User Guide
23
第 1 章 : は じ めに
サポー ト
は じ めに
こ の ト ピ ッ ク では、 ISS カ ス タ マ サポー ト と 協力 し て アプ ラ イ ア ン ス の問題を解決する 際に役立つ
情報を提供 し ます。
サポー ト への連絡
カ ス タ マ サポー ト への連絡方法を見つけ る には :
●
シ ス テム サポー ト
フ ァ イルの管理
ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Support] → [Support Contacts] の順に選択 し ます。
シ ス テ ム サポー ト フ ァ イ ルには、 ISS カ ス タ マ サポー ト が ト ラ ブルシ ュ ーテ ィ ン グで使用す る 情
報が保存 さ れてい ます。 シ ス テ ム サポー ト フ ァ イ ルのフ ァ イ ル拡張子は、 tgz です。 シ ス テ ム サ
ポー ト フ ァ イ ルを作成、 ダ ウ ン ロ ー ド 、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Support] → [System Support File] の順に選択 し ます。
2. 次のいずれかを行い ます。
操作
手順
フ ァ イルを作成する
[Generate Support Data File] を選択 し ます。
フ ァ イルを ダウン ロー ド
する
1. フ ァ イルの横にあるボ タ ン を選択 し 、 [Download] ア イ コ ン
を ク リ ッ ク し ます。
2. 確認 メ ッ セージが表示 さ れた ら、 [OK] を ク リ ッ ク し ます。
3. メ ッ セージに従 っ て、 フ ァ イルをハー ド デ ィ ス ク に保存 し ま
す。
フ ァ イルを削除する
24
フ ァ イルの横にあるボ タ ン を選択 し 、 [Delete] ア イ コ ン を ク リ ッ
ク し ます。
第2章
初期設定
概要
は じ めに
アプ ラ イ ア ン ス の使用を開始す る 前に、 こ の章の説明に従っ て初期設定プ ロ セ ス を完了 さ せ る 必要
があ り ます。 こ のプ ロ セ ス では、 コ ン ピ ュ ー タ を直接アプ ラ イ ア ン ス に接続 し 、 セ ッ ト ア ッ プ ウ ィ
ザー ド にア ク セ ス し て、 ホ ス ト 名、 イ ン タ ーフ ェ ース設定、 日付、 時刻、 パ ス ワ ー ド な ど の基本的
なアプ ラ イ ア ン ス設定を行い ます。
参照 : プ ラ イ ア ン ス のパネル上にあ る ポー ト 、 ラ ベル、 お よ び ラ イ ト については、 製品に同梱 さ
れてい る 「Quick Start Card」 を参照 し て く だ さ い。
ラ ッ ク の取 り 付け
こ の章では、 アプ ラ イ ア ン ス を ラ ッ ク に取 り 付け る 手順については説明 し てい ません。 こ の手順に
ついては、 製品に同梱 さ れてい る キ ッ ト ま たは www.iss.net/support/documentation/ を
参照 し て く だ さ い。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
動作モー ド の選択
26
必要な情報の収集
29
セ ッ ト ア ッ プ コ ン ピ ュ ー タ と 電源ケーブルの接続
31
基本的なア プ ラ イ ア ン ス設定
33
ア プ ラ イ ア ン スのネ ッ ト ワー ク への接続
35
Proventia Manager の接続
36
LCD の使用
38
Proventia® Network Multi-Function Security Appliance User Guide
25
第 2 章 : 初期設定
動作モー ド の選択
は じ めに
設定プ ロ セ ス中に、 Proventia Setup Assistant はアプ ラ イ ア ン ス の動作モー ド を選択す る よ う に要求
し ます。 選択肢には、 ルーテ ィ ン グ モー ド と ト ラ ン スペア レ ン ト モー ド があ り ます。 選択す る モー
ド は、 固有のセキ ュ リ テ ィ お よ びネ ッ ト ワ ー ク 要件に よ っ て異な り ます。 こ の ト ピ ッ ク では、 固有
の要件に最適なモー ド を選択す る ために役立つ情報を提供 し ます。
モー ド の切 り 替え
警告 : 初期設定後にモー ド を切 り 替え る こ と は可能ですが、 技術的問題を ト ラ ブルシーテ ィ ン グ
す る 場合ま たはアプ ラ イ ア ン ス を テ ス ト す る 場合を除いて推奨 し ません。 正 し い手順で実行 し ない
と 、 モー ド の切 り 替えに よ っ てアプ ラ イ ア ン ス にア ク セ ス で き な く な る 場合があ り ます。 モー ド の
切 り 替え方法のすべての手順は、 オン ラ イ ン ヘルプの 「Switching Modes」 を参照 し て く だ さ い。
ルーテ ィ ング モー ド
ルーテ ィ ン グ モー ド の場合、 アプ ラ イ ア ン ス は次の よ う に動作 し ます。
26
●
すべての防御機能を提供 し ます (NAT お よ び VPN 機能のあ る フ ァ イ ア ウ ォールを含む )。
●
静的お よ び動的ルーテ ィ ン グ機能 (Open Shortest Path First) を提供 し ます。
●
イ ン タ ーフ ェ ース に対 し てルーテ ィ ン グ可能な IP ネ ッ ト ワ ー ク 設定をす る 必要があ り ます。
●
各ネ ッ ト ワ ー ク セグ メ ン ト へのルー ト を設定する 必要があ り ます。
●
重複す る サブネ ッ ト を サポー ト し ません。
●
ルーテ ィ ン グ ループをサポー ト し ません。
●
アプ ラ イ ア ン ス の内側のネ ッ ト ワ ー ク への ト ラ フ ィ ッ ク のルー ト を知 る ために、 別のネ ッ ト
ワ ー ク ルー タ ーが必要です。
動作モー ド の選択
ルーテ ィ ング モー ド の
図
次の図は、 ルーテ ィ ン グ モー ド のアプ ラ イ ア ン ス を示 し ます。
Internet
Proventia M -Series
eth0: 192.168.100.1
Router
eth1: 10.10.100.2
Internal IP: 10.10.100.1
eth2: 172.16.100 .1
eth3: 172.16.200 .1
eth1 (EXT 1)
eth3 (3)
eth0 (INT 0)
eth2 (2)
`
DMZ
172 .16.200.0/24
Corporate
192.168.100 .0/24
Web Server
`
Internal IP : 172.16.200.3
External IP : 10.10.200.3
Database Server
IP Address: 192.168.100.2
Engineering
172 .16.100.0/24
Email Server
Internal IP: 172.16.200.4
File Server
External IP : 10.10.200.4
IP Address: 172.16.100.2
図 1: ルーテ ィ ング モー ド の図
Proventia® Network Multi-Function Security Appliance User Guide
27
第 2 章 : 初期設定
ト ラ ン スペア レ ン ト
モー ド
ト ラ ン スポー ト モー ド
の図
ト ラ ン スペア レ ン ト モー ド の場合、 アプ ラ イ ア ン ス は次の よ う に動作 し ます。
●
すべての防御機能を提供 し ます (NAT 機能のない フ ァ イ ア ウ ォールを含む )。
●
イ ン タ ーフ ェ ース に対 し てルーテ ィ ン グ可能な IP ネ ッ ト ワ ー ク 設定をする 必要があ り ません。
Proventia Manager にア ク セ スする には、 アプ ラ イ ア ン ス に管理 IP ア ド レ ス を割 り 当て る 必要
があ り ます。
●
ネ ッ ト ワ ー ク 間のブ リ ッ ジ デバ イ ス と し て機能 し ます。 NAT、 OSPF、 VPN な ど の複雑なルー
テ ィ ン グ機能は備え てい ません。
●
ネ ッ ト ワ ー ク 上の適所に既存のルー タ ー イ ン フ ラ が配置 さ れてい る 必要があ り ます。
●
ルー タ ーの内側にアプ ラ イ ア ン ス を配置す る 必要があ り ます。
●
アプ ラ イ ア ン ス と イ ン タ ーネ ッ ト の直接接続を サポー ト し ません。
●
IP ア ド レ ス、 サブネ ッ ト 、 お よ びルー タ ーな ど の既存のネ ッ ト ワー ク 設定に変更す る 必要が
あ り ません。
次の図は、 ト ラ ン スペア レ ン ト モー ド の実装を示 し ます。
Internet
External Router
Internal IP: 10.10.100.1
Proventia M-Series
Management IP : 10.10.100.2
eth1 (EXT 1)
eth3 (3)
eth0 (INT 0)
eth2 (2)
Switch
Internal Router B
External IP : 10.10.100 .4
DMZ
10.10.100.0/24
Internal IP : 192.168.100.1
Internal Router A
External IP : 10.10.100 .3
Internal IP : 172.16.100 .1
DMZ
10.10.100.0/24
`
Corporate
192.168.100 .0/24
Web Server
IP Address: 10.10.100.11
`
Email Server
IP Address: 10.10.100.12
Engineering
172 .16.100.0/24
File Server
IP Address: 172.16.100.2
図 2: ト ラ ン スペア レ ン ト モー ド の図
28
Database Server
IP Address: 192.168.100.2
必要な情報の収集
必要な情報の収集
は じ めに
初期設定時に、 Proventia Setup Assistant はホ ス ト 名、 ネ ッ ト ワー ク 設定、 日付、 時刻、 パ ス ワー ド
な ど の基本的なアプ ラ イ ア ン ス設定を行 う よ う に要求 し ます。 要求す る 情報は、 選択す る オペレー
テ ィ ン グ モー ド や他の設定に よ っ て異な り ます。
ワー ク シー ト
次の ワ ー ク シー ト は、 それぞれのモー ド お よ び IP タ イ プ別に必要な情報を一覧 し ます。 スペース
には、 あ なたが入力 し た設定を記録 し 、 設定プ ロ セ ス で使用で き る よ う に保存 し てお き ます。
モー ド
設定
あなたの設定
両方
ホス ト 名a
_____________________
ルーテ ィ ン
グ
IP ア ド レ ス ( 内部イ ン タ ー フ ェ ース ETH 0)
_____._____._____._____
静的マス ク ( 内部イ ン タ ー フ ェ ース ETH 0)
_____._____._____._____
ルーテ ィ ン
グ
静的 IP ア ド レ ス ( 外部イ ン タ ー フ ェ ース ETH
1)b
_____._____._____._____
静的サブネ ッ ト マス ク ( 外部イ ン タ ー フ ェ ース
ETH 1)
_____._____._____._____
静的デ フ ォル ト ゲー ト ウ ェ イ ( 外部イ ン タ ー
フ ェ ース ETH 1)
_____._____._____._____
PPPoE ユーザー名c
_____________________
PPPoE パスワー ド
_____________________
イ ン タ ーネ ッ ト 接続の種類
[Continuous] または [On
Demand]
Clamp Maximum Segment Size (MSS)d
_____________________
サービ ス名
_____________________
管理 IP ア ド レ ス e
_____._____._____._____
管理サブネ ッ ト マス ク
_____._____._____._____
管理デ フ ォル ト ゲー ト ウ ェ イ
_____._____._____._____
第 1 DNS サーバーf
_____._____._____._____
第 2 DNS サーバー
_____._____._____._____
第 3 DNS サーバー
_____._____._____._____
DNS 検索パス g
______________________
ルーテ ィ ン
グ
ト ラ ン スペ
アレン ト
両方
表 9: 必要な情報のワー ク シー ト
Proventia® Network Multi-Function Security Appliance User Guide
29
第 2 章 : 初期設定
モー ド
設定
あなたの設定
両方
root パスワー ド
セキ ュ リ テ ィ 保護のため、 こ
こ ではパスワー ド を記録せず、
安全な場所に保管 し て く だ さ
い。 シ ス テム内のパスワー ド
を リ セ ッ ト し た り 、 調べた り
する こ と はで き ません。 パス
ワー ド を忘れた場合は、 オ リ
ジナルの ソ フ ト ウ ェ ア を再イ
ン ス ト ール し て リ セ ッ ト する
必要があ り ます。
管理者パスワー ド
Proventia Manager パスワー ド
ブー ト ローダー パスワー ド
表 9: 必要な情報のワー ク シー ト ( 続き )
a. ホ ス ト 名には完全修飾 ド メ イ ン名を使用す る 必要があ り ます。
b. デフ ォ ル ト で、 外部 イ ン タ ーフ ェ ー ス は DHCP サーバーか ら IP 設定を自動的に取得す る よ う に設定 さ れ
てい ま す。 こ の設定を静的に変更 し た場合は、 IP ア ド レ ス 、 サブネ ッ ト マ ス ク 、 お よ びデフ ォ ル ト ゲー ト
ウ ェ イ を イ ン タ ーフ ェ ー ス に手動で割 り 当て る 必要があ り ま す。
c. デフ ォ ル ト で、 外部 イ ン タ ーフ ェ ー ス は DHCP サーバーか ら IP 設定を自動的に取得す る よ う に設定 さ れ
てい ま す。 こ の設定を PPPoE に変更す る 場合は、 PPPoE サーバーか ら IP 設定を取得す る ために、 イ ン タ ー
フ ェ ー ス に必要な情報を入力す る 必要があ り ます。
d. ClampMSS は、 散発的な タ イ ム ア ウ ト な ど の DSL 接続に関す る 問題や、 SSH 接続に関す る 問題に対応す る
テ ク ノ ロ ジです。 こ のテ ク ノ ロ ジの詳細については、 www.dslreports.com/drtcp を参照 し て く だ さ い。
e. ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン ス はブ リ ッ ジ デバ イ ス であ り 、 ネ ッ ト ワ ー ク ト ラ フ ィ ッ
ク をルーテ ィ ン グ し た り 、 イ ン タ ーフ ェ ー ス に対 し てルーテ ィ ン グ可能な IP 設定を保持 し た り し ま せん。
こ こ で割 り 当て た管理 IP 設定は、 管理お よ び設定のためだけにアプ ラ イ ア ン ス にア ク セ スす る 方法を提
供 し ま す。 管理 IP 設定はネ ッ ト ワ ー ク 上で識別 さ れ ません。
f. デフ ォ ル ト で、 アプ ラ イ ア ン ス は DNS サーバーに関す る 情報を自動的に取得す る よ う に設定 さ れ ま す。 こ
の設定を手動に変更す る 場合は、 DNS 検索パ ス のほかに、 第 1、 第 2、 お よ び第 3 の DNS ネーム サーバー
の IP ア ド レ ス を入力す る 必要があ り ます。
g. DNS 検索パ ス を使用 し て、 「 *.yourcompany.net」 な ど の特定 ド メ イ ン のホ ス ト を自動的に検索す
る こ と がで き ます。 た と えば、 「website.yourcompany.net」 と 入力す る 代わ り に、
「yourcompany.net」 と い う DNS 検索パ ス を設定 し 、 次に 「website」 と 入力 し ま す。 アプ ラ イ ア
ン ス は、 「yourcompany.net」 内のホ ス ト を自動的に検索 し ま す。
30
セ ッ ト ア ッ プ コ ン ピ ュ ー タ と 電源ケーブルの接続
セ ッ ト ア ッ プ コ ン ピ ュ ー タ と 電源ケーブルの接続
は じ めに
初期設定ウ ィ ザー ド にア ク セ スす る 前に、 次の作業を行 う 必要があ り ます。
●
初期設定で使用す る PC ま たは ラ ッ プ ト ッ プ コ ン ピ ュ ー タ (Pentium II 以上 ) を選択 し ます。
●
セ ッ ト ア ッ プ コ ン ピ ュ ー タ が Internet Explorer 6.0 以上を搭載 し てい る こ と を確認 し ます。
●
セ ッ ト ア ッ プ コ ン ピ ュ ー タ が IP 設定を自動的に取得する よ う に設定 さ れてい る こ と を確認 し
ます。
●
電源ケーブルを接続 し 、 コ ン ピ ュ ー タ と アプ ラ イ ア ン ス の電源を入れます。
こ の ト ピ ッ ク では、 こ れ ら の作業の手順について説明 し ます。
セッ ト アップ コン
ピ ュ ー タ の IP 設定の確
認
セ ッ ト ア ッ プ コ ン ピ ュ ー タ が IP 設定を自動的に取得する よ う に設定 さ れてい る こ と を確認する に
は:
注記 : コ ン ピ ュ ー タ の IP 設定を確認す る 手順は、 コ ン ピ ュ ー タ のオペレーテ ィ ン グ シ ス テ ムに
よ っ て異な り ます。 こ こ に示す手順は Windows XP 用です。
1. セ ッ ト ア ッ プ コ ン ピ ュ ー タ で、 [ ス タ ー ト ] → [ 設定 ] → [ ネ ッ ト ワー ク 接続 ] → [ ローカル
エ リ ア接続 ] の順に選択 し ます。
2. [ ローカル エ リ ア接続状態 ] ウ ィ ン ド ウ で [ プ ロ パテ ィ ] を ク リ ッ ク し ます。
3. [ 全般 ] タ ブで、 [ イ ン タ ーネ ッ ト プ ロ ト コ ル (TCP/IP)] を選択 し 、 [ プ ロ パテ ィ ] を ク リ ッ ク
し ます。
4. [IP ア ド レ ス を自動的に取得す る ] がオンにな っ てい る こ と を確認 し ます。 オ フ にな っ てい る
場合は、 オンに し ます。
注記 : 初期設定のために DNS サーバー設定を設定す る 必要はあ り ません。
5. 開いてい る ウ ィ ン ド ウ を閉 じ 、 [ ネ ッ ト ワ ー ク 接続 ] を閉 じ ます。
セッ ト アップ コン
ピ ュ ー タ と 電源ケーブル
の接続
ケーブルを接続す る には :
1. 製品に同梱 さ れてい る 赤色の イ ーサネ ッ ト ク ロ ス オーバー ケーブル と 電源ケーブルを配線 し
ます。
注記 : 青色のシ リ アル ケーブルを使っ て コ ン ピ ュ ー タ を アプ ラ イ ア ン ス に接続す る こ と がで
き ますが、 こ の よ う な接続は、 オ リ ジナルのアプ ラ イ ア ン ス ソ フ ト ウ ェ ア を リ カバ リ 用 CD
か ら 再 イ ン ス ト ールす る 必要があ る 場合に使用 し て く だ さ い。
2. 電源ケーブルを接続 し 、 赤色の イ ーサネ ッ ト ク ロ ス オーバー ケーブルを次の よ う に接続 し ま
す。
Proventia® Network Multi-Function Security Appliance User Guide
31
第 2 章 : 初期設定
POWER CABLE
CROSSOVER
INTERNAL INTERFACE
SETUP COMPUTER
32
The appliance provides an
IP address to the setup computer
for the initial setup (DHCP).
基本的な ア プ ラ イ ア ン ス設定
基本的な ア プ ラ イ ア ン ス設定
は じ めに
Proventia Setup Assistant を使用す る と 、 基本的なアプ ラ イ ア ン ス設定を行 う 場合に役立ち ます。 初
期設定の場合のみウ ィ ザー ド を使用 し て く だ さ い。 設定を変更す る 必要があ る 場合は、 アプ ラ イ ア
ン ス が動作可能にな っ た後、 Proventia Manager で設定を変更 し ます。
手順
Proventia Setup Assistant を使っ て基本的なアプ ラ イ ア ン ス設定を行 う には :
1. アプ ラ イ ア ン ス に接続 し たセ ッ ト ア ッ プ コ ン ピ ュ ー タ で Internet Explorer 6.0 以降を起動 し 、 次
の IP ア ド レ ス に移動 し ます。
https://192.168.123.123
2. Proventia ロ ーカル管理 イ ン タ ーフ ェ ース の ロ グオンで、 次の ロ グ イ ン資格情報を入力 し ます。
■
ユーザー名 = admin
■
パ ス ワ ー ド = admin
3. 動作モー ド を選択 し ます。
■
ルーテ ィ ン グ - すべてのセキ ュ リ テ ィ 機能 と すべてのルーテ ィ ン グ機能を備え てい ます。
■
ト ラ ン スペア レ ン ト - すべてのセキ ュ リ テ ィ 機能を備え てい ますが、 ルーテ ィ ン グ機能は備
え てい ません。
4. アプ ラ イ ア ン ス に完全修飾 ド メ イ ン名を割 り 当て ます。
5. 選択 し たオペレーシ ョ ン モー ド に基づいて、 イ ン タ ーフ ェ ース と ネ ッ ト ワ ー ク を設定 し ます。
「必要な情報の収集」 (29 ページ ) で収集 し た情報を使用 し て次の作業を完了 さ せます。
モー ド
作業
ルーテ ィ ング
内部イ ン タ ー フ ェ ースに IP 設定を割 り 当て る
外部イ ン タ ー フ ェ ースに IP 設定を割 り 当て る
DNS ネームサーバーを割 り 当て る
ト ラ ン スペア レ
ント
管理 IP 設定を割 り 当て る
DNS ネームサーバーを割 り 当て る
6. アプ ラ イ ア ン ス のア ク セ ス権限を割 り 当て ます。
警告 : 最低で も 1 つのオプシ ョ ン をオンに し て く だ さ い。 オンに し ない場合、 アプ ラ イ ア ン ス
にア ク セ ス で き ません。 さ ら に、 ソ フ ト ウ ェ ア を再 イ ン ス ト ール し て権限を リ セ ッ ト す る 必要
があ り ます。
オプ シ ョ ン
説明
Management access
for machines on the
eth0 subnet enabled
内部イ ン タ ー フ ェ ース (ETH 0) と 同 じ サブネ ッ ト ワー ク内にある
1 つの IP ア ド レ ス を持つ任意のデバイ スか ら 、 ア プ ラ イ ア ン ス
にア ク セスで き ます。
Management access
for machines on the
eth1 subnet enabled
外部イ ン タ ー フ ェ ース (ETH 1) と 同 じ サブネ ッ ト ワー ク内にある
1 つの IP ア ド レ ス を持つ任意のデバイ スか ら 、 ア プ ラ イ ア ン ス
にア ク セスで き ます。
IP addresses
こ こ で指定するいずれかの IP ア ド レ ス を持つ任意のデバイ スか
ら 、 ア プ ラ イ ア ン スにア ク セスで き ます。
IP ranges
こ こ で指定する IP ア ド レ スの範囲を持つ任意のデバイ スから 、
ア プ ラ イ ア ン スにア ク セスで き ます。
Proventia® Network Multi-Function Security Appliance User Guide
33
第 2 章 : 初期設定
7. 内部 DHCP サーバーを設定 し 、 こ れを有効ま たは無効に し ます。
8. 日付、 日時、 お よ びパ ス ワ ー ド を設定 し ます。
9. 設定を確認 し 、 保存 し ます。
10. [Finish] を ク リ ッ ク し て ウ ィ ザー ド を終了 し ます。
11. Internet Explorer を閉 じ ます。
34
ア プ ラ イ ア ン スのネ ッ ト ワー ク への接続
ア プ ラ イ ア ン スのネ ッ ト ワー ク への接続
は じ めに
初期設定プ ロ セ ス が完了 し た ら 、 アプ ラ イ ア ン ス を ネ ッ ト ワ ー ク に接続 し 、 Proventia Manager にア
ク セ ス し てアプ ラ イ ア ン ス設定プ ロ セ ス を続行す る こ と がで き ます。 こ の ト ピ ッ ク では、 アプ ラ イ
ア ン ス を ネ ッ ト ワ ー ク に接続す る 方法について説明 し ます。
ア プ ラ イ ア ン スのネ ッ ト
ワー ク への接続
アプ ラ イ ア ン ス を ネ ッ ト ワ ー ク に接続す る には :
重要 : フ ァ イ ア ウ ォールま たは他の防御機能を設定す る 前にアプ ラ イ ア ン ス を ネ ッ ト ワ ー ク に接
続 し て も 、 ネ ッ ト ワ ー ク は脆弱点に さ ら さ れません。 アプ ラ イ ア ン ス を ネ ッ ト ワ ー ク に接続す る こ
と に よ っ て、 設定プ ロ セ ス を通 じ て設定を テ ス ト す る こ と がで き ます。
1. アプ ラ イ ア ン ス か ら セ ッ ト ア ッ プ コ ン ピ ュ ー タ を切断 し ます。
2. 次の よ う に イ ン タ ーフ ェ ース を ネ ッ ト ワ ー ク に接続 し ます。
イ ン タ ー フ ェ ース
接続
ETH 0 (Internal)
プ ラ イ ベー ト ネ ッ ト ワー ク ( 内部 ) を このイ ン タ ー フ ェ ースに接続 し
ます。
ETH 1 (External)
パブ リ ッ ク ネ ッ ト ワー ク ( イ ン タ ーネ ッ ト ) を このイ ン タ ー フ ェ ース
に接続 し ます。
3. 追加す る プ ラ イ ベー ト の内部ネ ッ ト ワ ー ク があれば、 内部 イ ン タ ーフ ェ ース に接続 し ます。
4. ス テー タ ス情報について、 前面パネルの ラ イ ト を確認 し ます。
色
表示
緑色
正常な接続
黄色 ( 点滅 )
接続中のア ク テ ィ ビ テ ィ
Proventia® Network Multi-Function Security Appliance User Guide
35
第 2 章 : 初期設定
Proventia Manager の接続
は じ めに
初期設定後、 初めて Proventia Manager に接続 し て、 シ ス テ ム と 防御機能を設定、 ア ッ プデー ト 、
お よ びバ ッ ク ア ッ プで き る 状態にな り ます。 こ の ト ピ ッ ク では、 初めて Proventia Manager に接続す
る 方法について説明 し ます。
手順
初めて Proventia Manager に接続す る には :
1. 内部ネ ッ ト ワ ー ク に接続 し てい る コ ン ピ ュ ー タ で、 Internet Explorer 6.0 以降を起動 し 、 次のい
ずれかに移動 し ます。
■
https://123.45.67.89 な ど の内部 イ ン タ ーフ ェ ース用に設定 し た IP ア ド レ ス
■
https://my_appliance.mycomputer.net な ど のアプ ラ イ ア ン ス用に設定 し た ホ ス ト
名
2. 次の ロ グ イ ン資格情報を入力 し ます。
Proventia Manager で
の操作
■
ユーザー名 = admin
■
パ ス ワ ー ド = Proventia Manager password
次の表では、 一般的な Proventia Manager の操作手順を示 し ます。
操作
手順
ウ ィ ン ド ウ内の項目にア
ク セスする
ア イ コ ン を ダ ブル ク リ ッ ク し ます。
ウ ィ ン ド ウ内の項目を展 次のいずれかを行います。
開する
• 対応する [+] 記号を ク リ ッ ク し ます。
•
ア イ コ ン を ダ ブル ク リ ッ ク し ます。
ウ ィ ン ド ウ内の項目を折 次のいずれかを行います。
り たたむ
• 対応する [+] 記号を ク リ ッ ク し ます。
•
ア イ コ ン を ダ ブル ク リ ッ ク し ます。
ページ を最小化または最
大化する
ページ右上にある
任意のページ を新 し い
ウ ィ ン ド ウで開 く
ナビゲーシ ョ ン ウ ィ ン ド ウのページ を右ク リ ッ ク し 、 メ ニ ュ ーから
[Open in a new window] を選択 し ます。
モ ジ ュ ールに関する ア
ラ ー ト を表示する
その機能の任意のページの一番上にある
す。
表 10: Proventia Manager での操作
36
ア イ コ ン を ク リ ッ ク し ます。
をク リ ッ ク しま
Proventia Manager の接続
操作
手順
変更を保存する
[Save Changes] を ク リ ッ ク し ます。
ナビゲーシ ョ ン ウ ィ ン ド ウの保存 さ れていない変更の横に、 赤色の
フ ラ グのア イ コ ンが表示 さ れます。 複数のポ リ シーを変更 し て保存す
る こ と がで き ます。 た と えば、 ア プ ラ イ ア ン ス ア ク セス ポ リ シー、
フ ァ イ アウ ォ ール ア ク セス ポ リ シー、 およびネ ッ ト ワー ク ア ド レ ス
変換ポ リ シーを変更 し 、 この 3 つの変更を一度に保存する こ と がで き
ます。
重要 : 次の項目は個別に保存する必要があ り ます。
•
証明書管理の設定
•
フ ィ ル タ デー タ ベースの設定
•
ハイ アベ イ ラ ビ リ テ ィ の変更
•
ラ イ セ ン ス情報
•
ネ ッ ト ワー クの設定 ( イ ン タ ー フ ェ ース、 動作モー ド 、 および
ルーテ ィ ング )
•
SiteProtector によ る管理の設定
•
ア ッ プデー ト の設定
変更を取 り 消す
すべての公開ポ リ シーに対する変更をすべて取 り 消す こ と がで き ま
す。 た と えば、 ア プ ラ イ ア ン ス ア ク セス ポ リ シー、 フ ァ イ アウ ォ ー
ル ポ リ シー、 およびネ ッ ト ワー ク ア ド レ ス変換ポ リ シーを変更 し 、
その後、 その変更を取 り 消 し ます。 こ の場合、 Proventia Manager は
3 つの公開ポ リ シーすべてに対する変更を取 り 消 し ます。 取 り 消 し た
変更を元に戻す こ と はで き ません。
ヘルプ を取得する
ヘルプにア ク セスするには、 任意のページ で [Help] ボ タ ン を ク リ ッ
ク し ます。
表 10: Proventia Manager での操作 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
37
第 2 章 : 初期設定
LCD の使用
は じ めに
こ の ト ピ ッ ク では、 アプ ラ イ ア ン ス上にあ る LCD の使用方法について説明 し ます。
重要 : LCD はパ ス ワー ド で保護 さ れてい ません。 LCD を無効にす る には、 こ の ト ピ ッ ク の 「LCD
の無効化」 を参照 し て下 さ い。
LCD ボ タ ン
次の表では、 LCD で使用可能なボ タ ンについて説明 し ます。
ボタン
説明
Enter - このボ タ ン を押 し て項目を選択 し ます。
Right Arrow - このボ タ ン を押 し て [OK] や [Cancel] などの メ ニ ュ ー項目間を切 り
替えます。
Right Arrow - このボ タ ン を押 し て [OK] や [Cancel] などの メ ニ ュ ー項目間を切 り
替えます。
Up Arrow - こ のボ タ ン を押 し て [Firmware Version]、 [HA Status]、 [Reboot] な ど
の メ ニ ュ ー項目を移動 し ます。
Down Arrow - こ のボ タ ン を押 し て [Firmware Version]、 [HA Status]、 [Reboot]
な どの メ ニ ュ ー項目を移動 し ます。
表 11: LCD ボ タ ンの説明
LCD の無効化
LCD を無効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Services] の順に選択 し ます。
2. [Services] タ ブを選択 し て [LCD Disabled] チ ェ ッ ク ボ ッ ク ス を オンに し 、 変更内容を保存 し ま
す。
注記 : LCD を有効にす る には、 [Enabled] チ ェ ッ ク ボ ッ ク ス を オンに し ます。
手順
次の表では、 一般的な LCD の操作手順を示 し ます。
操作
手順
フ ァ ームウ ェ ア バージ ョ ン を確
認する
[Enter] → [Firmware Version] → [Enter]
不正侵入防御シ ステムのバージ ョ
ン情報を確認する
[Enter] → [Down Arrow] → [IPS Version] → [Enter]
表 12: LCD の操作手順
38
LCD の使用
操作
手順
ア ン チウ ィ ルス シ ステムのバー
ジ ョ ン情報を確認する
[Enter] → [Down Arrow] → [AV Version] → [Enter]
ハイ アベ イ ラ ビ リ テ ィ 機能が有
効、 無効、 または不明かど う かを
表示する
[Enter] → [Down Arrow] → [HA Mode] → [Enter]
プ ラ イ マ リ 、 セ カ ン ダ リ 、 不明な
どのア プ ラ イ ア ン スのハイ アベ
イ ラ ビ リ テ ィ ステー タ ス を表示
する
[Enter] → [Down Arrow] → [HA Status] → [Enter]
ア プ ラ イ ア ン ス を再起動する
[Enter] → [Down Arrow] → [Reboot] → [OK] → [Enter]
ア プ ラ イ ア ン ス を シ ャ ッ ト ダウン
する
[Enter] → [Down Arrow] → [Shutdown] → [OK] → [Enter]
LCD メ ニ ュ ーを終了する
[Enter] → [Down Arrow] → [Exit] → [OK] → [Enter]
表 12: LCD の操作手順 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
39
第 2 章 : 初期設定
40
パー ト II
®
システムの設定と ア ッ プ
デー ト
第3章
システムの設定と ア ッ プデー ト
概要
は じ めに
アプ ラ イ ア ン ス設定の第 2 段階は、 シ ス テ ムの設定 と ア ッ プデー ト の段階です。 こ の ス テージで
は、 始めてのアプ ラ イ ア ン ス イ ン タ ーフ ェ ース の設定、 ルーテ ィ ン グ設定の定義、 アプ ラ イ ア ン
ス のア ク セ ス設定、 アプ ラ イ ア ン ス のア ッ プデー ト な ど の作業を行い ます。
注記 : こ の ス テージの手順は、 特にアプ ラ イ ア ン ス に対 し てシ ス テ ム設定を行 う こ と を目的 と し
てい ます。 フ ァ イ ア ウ ォールな ど の機能の設定方法については、 「パー ト III: 機能の設定」
(167 ページ ) を参照 し て く だ さ い。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
シ ステムの設定 と ア ッ プデー ト
44
シ ステム設定のチ ェ ッ ク リ ス ト
46
Proventia® Network Multi-Function Security Appliance User Guide
43
第 3 章 : シ ス テムの設定 と ア ッ プデー ト
シ ス テムの設定 と ア ッ プデー ト
は じ めに
こ の ト ピ ッ ク では、 シ ス テ ムの設定 と ア ッ プデー ト の概要について説明 し ます。
イ ン タ ー フ ェ ースの設定
アプ ラ イ ア ン スは、 ルーテ ィ ン グお よ び ト ラ ン スペア レ ン ト の 2 つのモー ド で動作す る よ う に設計
さ れてい ます。 イ ン タ ーフ ェ ースは各モー ド に よ っ て動作が異な り 、 異な る 設定作業が必要です。
●
ルーテ ィ ン グ モー ド - アプ ラ イ ア ン スは、 接続 し てい る ネ ッ ト ワ ー ク お よ びサブネ ッ ト ワ ー
ク 上の ト ラ フ ィ ッ ク をルーテ ィ ン グ し ます。 IP ア ド レ ス、 サブネ ッ ト ワー ク マ ス ク 、 お よ び
ゲー ト ウ ェ イ ルー タ ー IP ア ド レ ス な ど の IP ネ ッ ト ワ ー ク 設定を イ ン タ ーフ ェ ース に割 り 当て
る必要があ り ます。 静的ルーテ ィ ン グや Open Shortest Path First (OSPF) ルーテ ィ ン グ な ど の
ルーテ ィ ン グ設定 も 行 う 必要があ り ます。
参照 : 「ルーテ ィ ン グ モー ド での イ ン タ ーフ ェ ース の管理」 (49 ページ ) を参照 し て く だ さ い。
●
ト ラ ン スペア レ ン ト モー ド - アプ ラ イ ア ン スは、 イ ン タ ーフ ェ ース間の ト ラ フ ィ ッ ク のみを
転送 し ます。 複雑なルーテ ィ ン グ タ ス ク は行い ません。 ま た、 イ ン タ ーフ ェ ースは IP ア ド レ
ス を持っ てい ません。 こ のモー ド では、 アプ ラ イ ア ン スはネ ッ ト ワ ー ク か ら は見え ません。 ト
ラ フ ィ ッ ク が イ ン タ ーフ ェ ース間を流れ る 前に イ ン タ ーフ ェ ース を有効にす る 必要があ り ます
が、 他の設定は必要あ り ません。 こ の よ う な ト ラ フ ィ ッ ク 転送は、 送受信デバ イ ス の MAC ア
ド レ ス に基づいてい ます。
参照 : 「 ト ラ ン スペア レ ン ト イ ン タ ーフ ェ ース の管理」 (69 ページ ) を参照 し て く だ さ い。
アプ ラ イ ア ン ス の イ ン タ ーフ ェ ース数は、 モデルに よ っ て異な り ます。 外部 イ ン タ ーフ ェ ース を イ
ン タ ーネ ッ ト な ど のパブ リ ッ ク ネ ッ ト ワ ー ク に接続 し 、 内部 イ ン タ ーフ ェ ース を組織内の別のサ
ブネ ッ ト ワ ー ク に接続 し ます。 次は、 イ ン タ ーフ ェ ース の接続例です。
ア プ ラ イ ア ン スのア ク セ
ス と ユーザー認証
●
外部 イ ン タ ーフ ェ ース を イ ン タ ーネ ッ ト に接続す る
●
第 1 の内部 イ ン タ ーフ ェ ース を企業ネ ッ ト ワ ー ク に接続す る
●
第 2 の内部 イ ン タ ーフ ェ ース を広 く ア ク セ ス可能なサブネ ッ ト ワ ー ク (DMZ) に接続する
●
第 3 の内部 イ ン タ ーフ ェ ース を プ ラ イ ベー ト ネ ッ ト ワー ク に接続する
アプ ラ イ ア ン ス のア ク セ スは、 シ ス テ ムの整合性を維持す る ために、 厳密に規制、 監視 さ れ る 必要
があ り ます。 アプ ラ イ ア ン スは、 ユーザーがシ ス テ ムに ロ グ イ ンす る と き に、 ユーザー ID と パス
ワ ー ド の入力を要求 し ます。 アプ ラ イ ア ン スへのア ク セ ス を許可 さ れたデバ イ ス の リ ス ト を設定す
る こ と も で き ます。 シ ス テ ムに ロ グ イ ン し よ う と す る ユーザーは、 許可 さ れたいずれかのデバ イ ス
か ら し かア ク セ ス で き ません。
参照 : 「アプ ラ イ ア ン ス のア ク セ ス制御」 (73 ページ ) を参照 し て く だ さ い。
サービ ス
アプ ラ イ ア ン スは、 次のシ ス テ ム レベルのサービ ス を提供 し ます。
●
動的なホ ス ト 設定サービ ス (DHCP)
●
メ ール リ レー制御お よ び認証サービ ス (SMTP)
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP)
●
リ モー ト アプ ラ イ ア ン ス ア ク セ ス サービ ス (SSH)
●
アプ ラ イ ア ン ス ア ッ プデー ト を ダ ウ ン ロ ー ド する ための Web プ ロ キシ サービ ス (HTTP)
参照 : 「シ ス テ ム サービ ス の有効化」 (77 ページ ) を参照 し て く だ さ い。
ネ ッ ト ワー ク オブ ジ ェ
クト
44
フ ァ イ ア ウ ォール ルールや他のセキ ュ リ テ ィ ポ リ シーを設定す る 前に、 フ ァ イ ア ウ ォールを通過
す る 必要のあ る ネ ッ ト ワ ー ク 上のネ ッ ト ワ ー ク オブジ ェ ク ト ( サーバー、 コ ン ピ ュ ー タ 、 アプ ラ
イ ア ン ス、 ポー ト な ど ) と 、 フ ァ イ ア ウ ォールを通過す る 必要のないネ ッ ト ワー ク オブジ ェ ク ト
を特定す る こ と がで き ます。 アプ ラ イ ア ン ス上のネ ッ ト ワ ー ク オブジ ェ ク ト で こ の情報を定義す る
シ ス テムの設定 と ア ッ プデー ト
こ と がで き ます。 ネ ッ ト ワ ー ク オブジ ェ ク ト 機能は、 ネ ッ ト ワ ー ク 上のオブジ ェ ク ト に関す る 情報
に名前を付けた り 、 分類 し た り 、 ア ッ プデー ト し た り す る ための柔軟な方法を提供 し ます。 ネ ッ ト
ワ ー ク 情報を手動で入力 し な く て も 、 フ ァ イ ア ウ ォール ルールで名前の付いたネ ッ ト ワ ー ク オブ
ジ ェ ク ト を参照す る こ と がで き ます。 こ れは、 精度を高め、 時間を節約 し ます。
参照 : 「ネ ッ ト ワー ク オブジ ェ ク ト の定義」 (87 ページ ) を参照 し て く だ さ い。
通知
シ ス テ ム設定時に、 シ ス テ ム イ ベン ト を セキ ュ リ テ ィ チームに通知す る 方法を決定 し ます。 シ ス
テ ム イ ベン ト には、 プ ロ セ ス エ ラ ー、 シ ス テ ム警告、 お よ びセキ ュ リ テ ィ ア ッ プデー ト アナ ウ ン
ス が含まれます。 アプ ラ イ ア ン スは、 電子 メ ールに よ る 通知、 SNMP ベース の通知、 お よ び
SiteProtector Console 経由の通知を行い ます。
参照 : 「シ ス テ ム イ ベン ト のア ラ ー ト と ロ ギ ン グの有効化」 (101 ページ ) を参照 し て く だ さ い。
SiteProtector によ る管
理
SiteProtector Console でアプ ラ イ ア ン ス と 他の ISS 製品を管理する こ と がで き ます。 コ ン ソ ールは、
ポ リ シー管理機能やア ッ プデー ト 機能のほかに、 すべての ISS セキ ュ リ テ ィ 製品の集中管理機能を
備え てい ます。 さ ら に、 アプ ラ イ ア ン ス に よ っ て収集 さ れたセキ ュ リ テ ィ イ ベン ト を コ ン ソ ールで
監視 し 、 分析す る こ と も で き ます。 SiteProtector Console でアプ ラ イ ア ン ス を管理す る には、
SiteProtector を イ ン ス ト ール し て設定 し 、 アプ ラ イ ア ン ス で SiteProtector の管理を有効にす る 必要
があ り ます。
参照 : 詳細については、 次の ト ピ ッ ク を参照 し て く だ さ い。
ア ッ プデー ト
●
「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ )
●
SiteProtector Installation Guide
●
SiteProtector User Guide for Security Managers
ISS はアプ ラ イ ア ン ス のア ッ プデー ト を定期的に リ リ ース し ます。 アプ ラ イ ア ン ス が出荷 さ れてか
ら 、 い く つかのア ッ プデー ト が リ リ ース さ れてい ます。 最新で最 も 安全な ソ フ ト ウ ェ ア バージ ョ ン
を確実に保有で き る よ う に、 ISS では、 初期設定後で き る だけ早期にアプ ラ イ ア ン ス を ア ッ プデー
ト す る こ と を推奨 し ます。 ア ッ プデー ト は構成設定に影響 し ません。
注記 : 初めてアプ ラ イ ア ン ス を ア ッ プデー ト し た後は、 自動ア ッ プデー ト 機能を有効にす る か、
手動でアプ ラ イ ア ン ス を最新に保つ方法を構築す る 必要があ り ます。
参照 : 「アプ ラ イ ア ン ス のア ッ プデー ト 」 (111 ページ ) を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
45
第 3 章 : シ ス テムの設定 と ア ッ プデー ト
シ ス テム設定のチ ェ ッ ク リ ス ト
は じ めに
こ の ト ピ ッ ク では、 シ ス テ ム設定のチ ェ ッ ク リ ス ト を示 し ます。
チェ ッ クリス ト
次の表では、 シ ス テ ム設定に必要なすべての作業を確実に行 う こ と がで き る よ う に、 作業のチ ェ ッ
ク リ ス ト を示 し ます。
9
作業
‰
ルーテ ィ ング モー ド :
•
内部および外部イ ン タ ー フ ェ ースのイ ン タ ー フ ェ ース設定を確認する。
•
必要に応 じ て、 追加の内部イ ン タ ー フ ェ ース を設定 し て有効にする。
•
必要に応 じ て、 静的ルー ト を定義する。
•
Open Shortest Path First (OSPF) を設定する ( 日本国内ではサポー ト し ていません )。
参照 : 「ルーテ ィ ング モー ド でのイ ン タ ー フ ェ ースの管理」 (49 ページ ) を参照 し て く だ さ
い。
ト ラ ン スペア レ ン ト モー ド :
•
内部および外部イ ン タ ー フ ェ ースが有効にな っ ている こ と を確認する。
•
ア プ ラ イ ア ン スの管理 IP ア ド レ ス を確認する。
•
必要に応 じ て、 追加の内部イ ン タ ー フ ェ ース を有効にする。
参照 : 「 ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの管理」 (69 ページ ) を参照 し て く だ さ い。
‰
ア プ ラ イ ア ン ス ア ク セス :
•
ア プ ラ イ ア ン スへのア ク セス を許可 さ れたデバイ スの リ ス ト を設定する。
•
システム パスワー ド を確認 し 、 必要に応 じ て変更する。
参照 : 「ア プ ラ イ ア ン スのア ク セス制御」 (73 ページ ) を参照 し て く だ さ い。
‰
サービ ス :
ア プ ラ イ ア ン スで実行予定のシ ステムレベルのサービ ス を有効にする。
•
動的なホス ト 設定サービ ス (DHCP)a
•
メ ール リ レー制御および認証サービ ス (SMTP)
•
ネ ッ ト ワー ク 管理サービ ス (SNMP)
•
リ モー ト ア ク セス サービ ス (SSH)
•
ア プ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロキシ サービ ス (HTTP)
参照 : 「シ ス テム サービ スの有効化」 (77 ページ ) を参照 し て く だ さ い。
‰
ネ ッ ト ワー ク オブ ジ ェ ク ト :
•
ネ ッ ト ワー ク オブ ジ ェ ク ト ( サーバー、 コ ン ピ ュ ー タ 、 サービ ス、 およびア プ ラ イ ア ン
ス ) を特定 し 、 ア プ ラ イ ア ン ス上のネ ッ ト ワー ク オブ ジ ェ ク ト の情報を定義する。
•
ビル ト イ ンの動的ア ド レ ス を確認する。
参照 : 「ネ ッ ト ワー ク オブ ジ ェ ク ト の定義」 (87 ページ ) を参照 し て く だ さ い。
‰
通知設定 :
•
シ ステム関連イ ベン ト を セキ ュ リ テ ィ チームに通知する方法を定義する。
•
この方法に基づいて通知を設定する。
参照 : 「シ ス テム イ ベン ト のア ラ ー ト と ロギングの有効化」 (101 ページ ) を参照 し て く だ
さ い。
表 13: シス テム設定チ ェ ッ ク リ ス ト
46
シ ス テム設定のチ ェ ッ ク リ ス ト
9
作業
‰
SiteProtector によ る管理 :
•
Agent Manager 情報などの、 SiteProtector によ る管理を有効にする ために必要な情報を
収集する。
•
SiteProtector によ る管理を設定する。
参照 : 「SiteProtector でのア プ ラ イ ア ン スの管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て
く だ さ い。
‰
ハイ アベ イ ラ ビ リ テ ィ と フ ェ ールオーバー :
•
ルーテ ィ ング ア プ ラ イ ア ン スの場合は、 ハイ アベ イ ラ ビ リ テ ィ を有効にする ( オプ シ ョ
ン )。
参照 : 「ルーテ ィ ング ア プ ラ イ ア ン スのハイ アベ イ ラ ビ リ テ ィ 」 (131 ページ ) を参照 し
て く だ さ い。
•
ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スの場合は、 Spanning Tree Protocol (STP) を使っ て
フ ェ ールオーバー機能を有効にする。
参照 : 「 ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバー」 (161 ページ ) を参照
し て く だ さ い。
‰
ア ッ プデー ト :
•
ア プ ラ イ ア ン ス上で、 セキ ュ リ テ ィ コ ン テ ン ツ、 デー タ ベース、 および フ ァ ームウ ェ ア
を含む完全な初期ア ッ プデー ト を実行する。
•
自動ア ッ プデー ト を設定するか、 手動でア プ ラ イ ア ン ス を最新に保つ方法を構築する。
参照 : 「ア プ ラ イ ア ン スのア ッ プデー ト 」 (111 ページ ) を参照 し て く だ さ い。
表 13: シス テム設定チ ェ ッ ク リ ス ト ( 続き )
a.
DHCP サービ ス はルーテ ィ ン グ モー ド でのみ使用可能です。
Proventia® Network Multi-Function Security Appliance User Guide
47
第 3 章 : シ ス テムの設定 と ア ッ プデー ト
48
第4章
ルーテ ィ ング モー ド でのイ ン タ ーフ ェ ー
スの管理
概要
は じ めに
ルーテ ィ ン グ モー ド の場合、 物理ネ ッ ト ワ ー ク 間のネ ッ ト ワ ー ク ト ラ フ ィ ッ ク をルーテ ィ ン グす
る こ と がアプ ラ イ ア ン ス の基本的な機能の 1 つです。 こ の よ う なネ ッ ト ワ ー ク は、 アプ ラ イ ア ン ス
の複数の イ ン タ ーフ ェ ース に接続 さ れます。 ルーテ ィ ン グ を行 う には、 イ ン タ ーフ ェ ース を有効に
し て、 それぞれのネ ッ ト ワ ー ク に物理的に接続す る 必要があ り ます。 さ ら に、 IP ア ド レ スやサブ
ネ ッ ト マ ス ク な ど のネ ッ ト ワ ー ク 情報を イ ン タ ーフ ェ ース に割 り 当て る 必要があ り ます。 外部お よ
び内部 イ ン タ ーフ ェ ースは初期設定時に設定 さ れて有効にな り ます。 必要に応 じ て追加の内部 イ ン
タ ーフ ェ ース を有効に し 、 他の内部ネ ッ ト ワ ー ク にアプ ラ イ ア ン ス を接続す る こ と がで き ます。
イ ン タ ーフ ェ ース に ト ラ フ ィ ッ ク が到着す る と 、 アプ ラ イ ア ン スは 2 つの技術を使用 し て ト ラ
フ ィ ッ ク のルーテ ィ ン グ方法を決定 し ます。
●
静的ルー ト - ネ ッ ト ワー ク 上の宛先への静的ルー ト を手動で定義 し ます。 アプ ラ イ ア ン ス は、
こ れ ら の宛先に向か う ト ラ フ ィ ッ ク を受信す る と 、 ユーザーが定義 し た静的ルー ト に従っ て宛
先に ト ラ フ ィ ッ ク を送信 し ます。
●
動的ルー ト - Open Shortest Path First (OSPF) ルーテ ィ ン グ プ ロ ト コ ルを設定 し て有効す る と 、
アプ ラ イ ア ン スは他のルー タ ー と 連携 し て、 ト ラ フ ィ ッ ク のルーテ ィ ン グに最適な経路を決定
し ます。
こ の章では、 外部 イ ン タ ーフ ェ ース設定の変更、 追加の内部 イ ン タ ーフ ェ ース の設定、 静的ルー ト
の定義、 お よ び OSPF ルーテ ィ ン グの有効化について説明 し ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ルーテ ィ ング イ ン タ ー フ ェ ースの設定
51
静的ルー ト の定義
54
OSPF の概要
55
OSPF ルー タ ーの設定
57
OSPF エ リ アの設定
59
OSPF イ ン タ ー フ ェ ースの設定
66
OSPF 仮想 リ ン ク の設定
63
OSPF デー タ ベース情報の表示
66
Proventia® Network Multi-Function Security Appliance User Guide
49
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
トピック
OSPF 設定の操作
50
ページ
66
ルーテ ィ ング イ ン タ ー フ ェ ースの設定
は じ めに
初期設定時に、 外部 イ ン タ ーフ ェ ース と 1 つの内部 イ ン タ ーフ ェ ース を設定 し て有効に し ます。 必
要に応 じ て、 追加の内部 イ ン タ ーフ ェ ース を設定 し て有効に し ます。 こ の ト ピ ッ ク では、 追加の内
部 イ ン タ ーフ ェ ース の設定方法 と 、 外部 イ ン タ ーフ ェ ース の設定の変更方法について説明 し ます。
内部イ ン タ ー フ ェ ースの 内部 イ ン タ ーフ ェ ース を設定す る には :
設定
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Interfaces] の順に
選択 し ます。
2. [Internal Interfaces] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の よ う に入力 し 、 変更内容を保存 し ます。
オプ シ ョ ン
説明
Interface
内部イ ン タ ー フ ェ ースの名前を入力 し ます (ETH 2 など )。
Enabled
イ ン タ ー フ ェ ース を ア ク テ ィ ブにするには、 このオプ シ ョ ン を オ
ンに し ます。
IP Address
イ ン タ ー フ ェ ースの IP ア ド レ ス を入力 し ます。
Subnet Mask
イ ン タ ー フ ェ ースのサブネ ッ ト マス ク を入力 し ます。
Primary Management
Interface
このイ ン タ ー フ ェ ース を使用 し て SiteProtector で ア プ ラ イ ア ン
ス を管理する場合は、 このオプ シ ョ ン を オンに し ます。
外部イ ン タ ー フ ェ ースの 初期設定後に外部 イ ン タ ーフ ェ ース を再設定す る には :
再設定
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Interfaces] の順に
選択 し ます。
2. [External Interfaces] タ ブ を選択 し て次の よ う に入力 し 、 変更内容を保存 し ます。
オプ シ ョ ン
説明
Interface
外部イ ン タ ー フ ェ ースの名前を入力 し ます (EXT 1 など )。
Enabled
イ ン タ ー フ ェ ース を ア ク テ ィ ブにするには、 このオプ シ ョ ン を オ
ンに し ます。
Host Name
次の例のよ う なホス ト 名を入力 し ます。
gateway1.example.com
Primary Management
Interface
このイ ン タ ー フ ェ ース を使用 し て SiteProtector で ア プ ラ イ ア ン
ス を管理する場合は、 このオプ シ ョ ン を オンに し ます。
Proventia® Network Multi-Function Security Appliance User Guide
51
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
オプ シ ョ ン
説明
IP Address, subnet
mask and default
gateway
この情報を イ ン タ ー フ ェ ースに割 り 当て るには、 次の 3 つの方法
があ り ます。
•
Static - イ ン タ ー フ ェ ースに IP ア ド レ ス、 サブネ ッ ト マス
ク 、 およびデ フ ォル ト ゲー ト ウ ェ イ a を手動で割 り 当てます。
•
DHCP - イ ン タ ー フ ェ ースに DHCP サーバーを割 り 当て る と 、
イ ン タ ー フ ェ ースは動的に DHCP サーバーから IP ア ド レ ス、
サブネ ッ ト マス ク、 およびデ フ ォル ト ゲー ト ウ ェ イ を リ ース
し ます。
イ ン タ ー フ ェ ース上で他のデバイ スの MAC を ク ローン化b つ
ま り 複製する場合は、 ク ローン オプ シ ョ ン を選択 し 、
「AA:BB:CC:11:22:33」 のよ う にデバイ スの MAC ア ド レ
ス を入力 し ます。
•
PPPoEc - イ ン タ ー フ ェ ースはイ ン タ ーネ ッ ト サービ ス プ ロ
バイ ダ (ISP) の PPPoE サーバーから IP ア ド レ ス を リ ース し
ます。 イ ン タ ー フ ェ ース をサーバーに接続する前に、 次の情
報を イ ン タ ー フ ェ ースに入力する必要があ り ます。
・ PPPoE サーバーのア ク セスに必要なユーザー名 と パスワー
ド
・ イ ン タ ーネ ッ ト 接続の種類 (Continuous または On
Demand)
・ Clamp MSSd の設定 ( オプ シ ョ ン )
・ サービ ス名 ( 米国の DSL 加入者の場合、 通常要求 さ れない
任意の情報 )
注記 : ア プ ラ イ ア ン スの起動時に イ ン タ ー フ ェ ース を有効にする
ために、 デ フ ォル ト 設定を保存 し てお き ます。
DNS Server
イ ン タ ー フ ェ ースは IP ア ド レ スに基づいて ト ラ フ ィ ッ ク をルー
テ ィ ング し ます。 イ ン タ ー フ ェ ースは DNS サーバー と 連携 し て
ホス ト 名を IP ア ド レ スに変換 し ます。 た と えば、 イ ン タ ー
フ ェ ースは DNS サーバー と 連携 し て atlanta.fileserver01
を 172.16.100.2 に変換 し ます。 DNS サーバーを検索するに
は、 イ ン タ ー フ ェ ースは DNS サーバーの IP ア ド レ ス を識別 し て
いる必要があ り ます。 イ ン タ ー フ ェ ースに DNS サーバーを割 り
当て るには、 次の 2 つの方法があ り ます。
•
Manual - DNS サーバーの IP ア ド レ ス を手動で入力 し ます。
•
Dynamic - イ ン タ ー フ ェ ースは DNS サーバーの IP ア ド レ ス
をユーザーが入力 し な く て も動的に取得 し ます。
注記 : 最大で 3 台の DNS サーバーを指定する こ と がで き ます。 1
台は必須です。
DNS Search Path
a.
52
入力する情報は、 ホス ト 名に ド メ イ ン名を追加 し ます。 た と え
ば、 ホス ト 名 「myappliance」 に 「mycompany.net」 を追加
する場合は、 「myappliance mycompany.net」 と 入力 し ます。 ア
プ ラ イ ア ン スは、 ホス ト 名を
「myappliance.mycompany.net」 と 解釈 し ます。
デフ ォ ル ト ゲー ト ウ ェ イ は、 パケ ッ ト の宛先が イ ン タ ーフ ェ ース のサブネ ッ ト の外部にあ る 場合に、
イ ン タ ーフ ェ ー ス がパケ ッ ト を送信す る ルー タ ーです。
ルーテ ィ ン グ イ ン タ ー フ ェ ースの設定
b.
こ れは、 アプ ラ イ ア ン ス の内側にあ る デバ イ ス の MAC ア ド レ ス の ク ロ ーン化 と 、 外部 イ ン タ ー
フ ェ ー ス の MAC ア ド レ ス の複製に役立つ場合があ り ま す。 アプ ラ イ ア ン ス の内側にあ る デバ イ ス に
接続す る デバ イ ス は、 そのデバ イ ス 自体に直接接続 し てい る と 見なす こ と がで き ます。 MAC ア ド レ
ス を ク ロ ーン化す る と 、 アプ ラ イ ア ン ス の イ ン タ ーフ ェ ース に新 し い MAC ア ド レ ス を登録す る 必要
がな く な り ま す。 ま た、 デバ イ ス の MAC ア ド レ ス が変わ っ た と き に、 す ぐ に新 し い IP リ ース が発行
さ れない と い う DHCP サービ ス の問題を回避 し ま す。
c. PPPoE IP ア ド レ ス の詳細については、お使いの イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダ (ISP) にお問い合
わせ く だ さ い。
d. ClampMSS は、 散発的な タ イ ム ア ウ ト 、 接続す る がデー タ の受信に失敗す る Web ブ ラ ウ ザの問題、
1K を超え る フ ァ イ ルのダ ウ ン ロ ー ド の問題、 SSH 接続の問題な ど、 DSL 接続の問題に取 り 組むテ ク
ノ ロ ジです。 詳細については、 www.dslreports.com/drtcp を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
53
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
静的ルー ト の定義
は じ めに
ネ ッ ト ワ ー ク 上の宛先への静的ルー ト を定義す る こ と がで き ます。 アプ ラ イ ア ン スは、 こ れ ら のい
ずれかの宛先へのパケ ッ ト を受信す る と 、 ユーザーが定義 し た静的ルー ト に従っ て宛先にパケ ッ ト
を送信 し ます。 こ の ト ピ ッ ク では、 ネ ッ ト ワ ー ク 上の IP ア ド レ ス に静的ルー ト を定義す る 方法に
ついて説明 し ます。
ルーテ ィ ング テーブル
の優先順位
同一の宛先に対 し て 2 つ以上のルー ト があ る 場合、 ルーテ ィ ン グ テーブル内で最 も 明確に限定 さ
れたルー ト が優先 さ れます。
例
次の静的ルー ト を定義 し ます。
宛先
サブネ ッ ト マス ク
ゲー ト ウ ェ イ IP ア ド レ ス
10.0.0.0
255.0.0.0
192.168.1.1
10.1.1.0
255.255.255.0
192.168.1.2
10.1.0.0
255.255.0.0
192.168.1.3
表 14: ルーテ ィ ン グ テーブルの優先順位
アプ ラ イ ア ン スは、 10.1.1.1 のホ ス ト に向か う パケ ッ ト を受信 し ます。 アプ ラ イ ア ン スは、 ルー
タ ー 192.168.1.2 にパケ ッ ト を送信 し ます。
静的ルー ト の連携
静的ルー ト を追加、 編集、 コ ピー、 お よ び削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Routing] の順に選
択 し ます。
2. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ルー ト を追加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. 次の フ ィ ール ド に入力 し 、 [OK] を ク リ ッ ク し ます。
• Destination IP Address
• Subnet Mask
• Gateway IP Address
• Metric ( 発信元 と 宛先間のホ ッ プ数 )
ルー ト を編集する
1. 1 つの IP ア ド レ ス を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ま
す。
2. 設定を編集 し 、 [OK] を ク リ ッ ク し ます。
ルー ト を コ ピーする
1. 1 つの IP ア ド レ ス を選択 し 、 [ Copy ] ア イ コ ン を ク リ ッ ク し
ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. 設定を編集 し ます。
ルー ト を削除する
54
1 つの IP ア ド レ ス を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ま
す。
OSPF の概要
は じ めに
ルーテ ィ ン グ モー ド のアプ ラ イ ア ン ス には、 OSPF ルーテ ィ ン グ機能があ り ます。 こ の ト ピ ッ ク で
は、 OSPF の概要について説明 し ます ( 日本国内ではサポー ト し てい ません )。
背景
ネ ッ ト ワ ー ク ト ポ ロ ジは、 リ ン ク の不具合な ど の さ ま ざ ま な理由で頻繁に変わ り ます。 こ の よ う な
問題に対応す る ため、 アプ ラ イ ア ン ス には次の OSPF ベース ルーテ ィ ン グ機能があ り ます。
●
サブネ ッ ト ワ ー ク ヘのあ ら ゆ る ルー ト を学習す る
●
最適なルー ト を選択す る
●
ネ ッ ト ワ ー ク の変更や問題に関係な く ネ ッ ト ワ ー ク 内の ト ラ フ ィ ッ ク フ ロ ーを維持する
ルー ト の学習
OSPF ルー タ ーは、 ネ ッ ト ワ ー ク に関する ルーテ ィ ン グ情報を頻繁に収集 し 、 計算 し てい ます。
ルー タ ーは内部ルーテ ィ ン グ テーブルの情報を保存 し 、 定期的に情報を他のルー タ ー と 共有 し ま
す。 本質的に、 OSPF ルー タ ーは連携 し てネ ッ ト ワ ー ク 上のあ ら ゆ る 宛先 と ルー ト を マ ッ プ し 、 宛
先への最適な経路を計算 し ます。
ルー ト の選択
アプ ラ イ ア ン スは OSPF ルー タ ー と し て ト ラ フ ィ ッ ク をルーテ ィ ン グす る 場合、 次の よ う な さ ま ざ
ま な要素を考慮 し ます。
●
自身 と 宛先間のルー タ ーの数 ( こ の地点は 「 ホ ッ プ」 と 呼ばれます )
●
ルー ト 上の遅延
●
ルー ト の帯域幅、 距離、 お よ び ト ラ フ ィ ッ ク の平均負荷に基づ く ルー ト の コ ス ト
●
イ ン タ ーフ ェ ース帯域幅に基づ く イ ン タ ーフ ェ ース の コ ス ト
ト ラ フ ィ ッ ク フ ローの
維持
OSPF ルー タ ーは他のルー タ ー と ルーテ ィ ン グ情報を頻繁に交換する ため、 デバ イ ス はネ ッ ト ワ ー
ク 上のルーテ ィ ン グ問題を認識 し なが ら 、 こ の情報に基づいて適切なルー ト を決定 し ます。 た と え
ば、 ルー タ ー 1 はネ ッ ト ワ ー ク 上で不具合のあ る リ ン ク を学習 し 、 こ の リ ン ク を囲む よ う に ト ラ
フ ィ ッ ク のルーテ ィ ン グ を開始 し ます。 ルー タ ー 1 は、 ネ ッ ト ワ ー ク 上の他のルー タ ー ( アプ ラ イ
ア ン ス を含む ) と こ の情報を共有 し ます。 こ の結果、 すべてのルー タ ーは不具合のあ る リ ン ク を囲
む よ う に ト ラ フ ィ ッ ク のルーテ ィ ン グ を開始 し 、 ネ ッ ト ワ ー ク 上で最適な ト ラ フ ィ ッ ク フ ロ ーを
維持 し ます。
作業の概要
次の表では、 OSPF の設定作業について説明 し ます。
作業
説明
1
OSPF ルー タ ーを設定する
2
OSPF エ リ ア を設定する
3
OSPF イ ン タ ー フ ェ ース を設定する
4
OSPF 仮想 リ ン ク を設定する ( オプ シ ョ ン )
表 15: OSPF の設定作業
図
次の図は、 OSPF 環境のアプ ラ イ ア ン ス を示 し ます。
図 3: OSPF ルーテ ィ ングの図
Proventia® Network Multi-Function Security Appliance User Guide
55
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
56
OSPF ルー タ ーの設定
OSPF ルー タ ーの設定
は じ めに
こ の ト ピ ッ ク では、 OSPF ルー タ ーの設定方法について説明 し ます。
要件
OSPF ト ラ フ ィ ッ ク を許可する ために、 2 つのア ク セ ス ポ リ シーを設定する 必要があ り ます。 ま た、
OSPF を有効にする 前に NAT を無効にする 必要があ り ます。
手順
ルー タ ーを設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. [Enable OSPF] を選択 し 、 [Router ID] フ ィ ール ド にアプ ラ イ ア ン ス の IP ア ド レ ス ( 通常は外
部 イ ン タ ーフ ェ ース の IP ア ド レ ス ) を入力 し ます。
ルー タ ー ID は、 IP ア ド レ ス の形式を と る 任意の数値です。 こ の数値を実際のルー タ ーの IP ア
ド レ ス にす る 必要はあ り ません。 実際の IP ア ド レ ス をルー タ ー ID と し て使用せずに、 その IP
ア ド レ ス の一部を使用す る と 、 よ り 容易に 2 つの数値を認識 し 、 区別で き る こ と があ り ます。
次の例では、 ETH 1 の IP ア ド レ ス の う し ろの 2 オ ク テ ッ ト をルー タ ー ID と し て使用 し てい ま
す。
■
実際のルー タ ーの IP ア ド レ ス = 172.16.106.187
■
ルー タ ーのルー タ ー ID = 0.0.106.187
3. [Router Configuration] タ ブ を選択 し て次の よ う に入力 し 、 変更内容を保存 し ます。
オプ シ ョ ン
Default Metric
説明
このフ ィ ール ド に、 ルー ト のデ フ ォル ト のホ ッ プ数を入力 し ます。
設定可能値 = 0 ～ 16777214
Redistribute
System
Routes
1. ア プ ラ イ ア ン スが別の OSPF ルー タ ーに LSA を送信する と き に、
フ ァ イ アウ ォ ールの ( 静的 ) ルー ト な どの他のルー ト を含める場合は、
このオプ シ ョ ン を選択 し ます。
2. 対応する [Metric] フ ィ ール ド に、 他のア ド バ タ イズ さ れたルー ト のデ
フ ォル ト ホ ッ プ数を入力 し ます。
デ フ ォル ト = enabled
設定可能値 = 0 ～ 16777214
デ フ ォル ト 値 = 1
Redistribute
Connected
Routes
1. 内部ネ ッ ト ワー クへの確立 し たルー ト を経由 し てルーテ ィ ング さ れる
パケ ッ ト を転送するには、 このオプ シ ョ ン を選択 し ます。
Originate
Default Route
1. ア プ ラ イ ア ン スがデ フ ォル ト ゲー ト ウ ェ イ ( 管理ゲー ト ウ ェ イ ) への
ルー ト を宛先 0.0.0.0 へのルー ト と し てア ド バ タ イズする よ う にする
場合は、 このオプ シ ョ ン を選択 し ます。
2. 対応する [Metric] フ ィ ール ド に、 ルー ト へのデ フ ォル ト のホ ッ プ数を
入力 し ます。
2. 対応する [Metric] フ ィ ール ド に、 デ フ ォル ト ゲー ト ウ ェ イへのルー ト
のデ フ ォル ト のホ ッ プ数を入力 し ます。
設定可能値 = 0 ～ 16777214
デ フ ォル ト 値 = 1
Proventia® Network Multi-Function Security Appliance User Guide
57
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
58
オプ シ ョ ン
説明
Always
Originate
Default Route
ア プ ラ イ ア ン スがデ フ ォル ト ゲー ト ウ ェ イ ( 管理ゲー ト ウ ェ イ ) へのルー
ト を宛先 0.0.0.0 へのルー ト と し て常にア ド バ タ イズする よ う にする場合
は、 このオプ シ ョ ン を選択 し ます。
OSPF エ リ アの設定
OSPF エ リ アの設定
は じ めに
作業の概要
OSPF エ リ アは、 次の目的を実現する サブネ ッ ト ワ ー ク を一般化 し た も のです。
●
ネ ッ ト ワ ー ク を管理 ド メ イ ンに分割す る
●
OSPF 対応アプ ラ イ ア ン ス がネ ッ ト ワ ー ク 上の他のルー タ ー と や り 取 り する ルーテ ィ ン グ情報
の量を削減す る
●
常駐す る エ リ アのルーテ ィ ン グ情報のみを維持す る よ う に OSPF 対応アプ ラ イ ア ン ス に命令す
る
次の表では、 OSPF エ リ アの設定作業について説明 し ます。
作業
説明
1
エ リ アに数字または IP ア ド レ ス を割 り 当て る
2
エ リ アがス タ ブ エ リ アかど う かを指定する
3
エ リ ア内にあるルー タ ー間の通信の認証を有効または無効にする
表 16: エ リ アの設定作業
考慮すべき事項
手順
エ リ ア を定義す る 場合は、 次の点を考慮 し て く だ さ い。
●
すべてのエ リ ア を バ ッ ク ボーン と 呼ばれ る 中央のエ リ アに接続す る 必要があ り ます。 こ の
バ ッ ク ボーン エ リ アには、 エ リ ア ID 「0」 を割 り 当て る 必要があ り ます。
●
バ ッ ク ボーン エ リ ア を ス タ ブ エ リ アにす る こ と はで き ません。
●
ど のエ リ アで も 1 つ以上の イ ン タ ーフ ェ ース を有効にす る こ と がで き ます。
●
バ ッ ク ボーン エ リ ア以外のど のエ リ ア も ス タ ブ エ リ ア と し て指定す る こ と がで き ます。
●
ス タ ブ エ リ ア を仮想 リ ン ク の ト ラ ン ジ ッ ト エ リ ア と し て指定す る こ と はで き ません。
●
ス タ ブ エ リ アか ら 外部ルー ト (OSPF 以外のルー ト な ど ) にルーテ ィ ン グす る 場合は、別の方法
(NAT な ど ) でデフ ォル ト ルー ト を設定す る 必要があ り ます。
●
エ リ ア内の各デバ イ ス では、 [Dead Interval] と [Hello Interval] を同 じ 値に設定す る 必要があ り ま
す。
OSPF エ リ ア を設定する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. [Area Configuration] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
59
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
3. 次の よ う に入力 し 、 変更内容を保存 し ます。
フ ィ ール ド
説明
Stub
ス タ ブ エ リ ア を設定する場合は このオプ シ ョ ン を選択 し 、 ルー ト の
デ フ ォル ト コ ス ト を入力 し ます。
デ フ ォル ト コ ス ト = 1
注記 : シス テムは、 宛先までのホ ッ プ数ではな く 、 リ ン ク 帯域幅に基
づいて コ ス ト を算出 し ます。 ア プ ラ イ ア ン スは、 最も コ ス ト の低い経
路を選択 し ます。 ス タ ブ ネ ッ ト ワー クは、 ア プ ラ イ ア ン スのイ ン タ ー
フ ェ ース以外にネ ッ ト ワー ク に出入 り する方法がないネ ッ ト ワー ク で
す。
Disable Summary
for Stub Area
そのエ リ アの要約 し た リ ン ク ステー ト ア ド バ タ イズ メ ン ト (LSA) を
無効にする場合は、 このオプ シ ョ ン を選択 し ます。
注記 : ルー タ ーは、 ネ ッ ト ワー ク 上のルー タ ーに関する一連の複雑な
情報を維持 し 、 リ ン ク ステー ト ア ド バ タ イズ メ ン ト (LSA) と 呼ばれ
る メ ッ セージ形式で、 この情報を他のルー タ ー と 共有 し ます。
Authentication
ルー タ ー間の通信の認証方法を選択 し ます。
•
None - 認証な し
•
Plain - パスワー ド に最大 8 文字の英数字を入力 し ます。
•
MD5 - MD5 キー ID と MD5 キー値を指定 し ます。
デ フ ォル ト = disabled
注記 : 認証はオプ シ ョ ン ですが、 認証を有効に し た場合、 エ リ ア内の
すべてのルー タ ーで同 じ 方法を有効にする必要があ り ます。 適切な認
証資格情報を持たないルー タ ーは、 他のルー タ ー と ルーテ ィ ング情報
を交換で き ません。
IP Address
エ リ ア ID の IP ア ド レ ス を入力する場合は このオプ シ ョ ン を選択 し 、
IP ア ド レ ス を入力 し ます。
Area ID
エ リ ア ID の数値を入力する場合はこ のオプ シ ョ ン を選択 し 、 数値を
入力 し ます。
設定可能値 = 0 ～ 4294967295
バ ッ ク ボーン エ リ アの値 = 0
Network
1. [Network] 領域で [Add] ア イ コ ン を ク リ ッ ク し ます。
2. [Network Address/#Network Bits (CIDR)] フ ィ ール ド にネ ッ ト
ワー ク CIDR 値を入力 し 、 [OK] を ク リ ッ ク し ます。
60
OSPF イ ン タ ー フ ェ ースの設定
OSPF イ ン タ ー フ ェ ースの設定
は じ めに
こ の ト ピ ッ ク では、 イ ン タ ーフ ェ ースへの OSPF の設定方法について説明 し ます。
手順
イ ン タ ーフ ェ ース に OSPF を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. [ Interface Configuration] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の よ う に入力 し 、 変更内容を保存 し ます。
フ ィ ール ド
説明
Interface Name
一覧から 1 つのイ ン タ ー フ ェ ース を選択 し ます。
注記 : イ ン タ ー フ ェ ース を無効にするには、 [Disable OSPF for
Interface] を選択 し ます。
Interface Cost
イ ン タ ー フ ェ ース ルー ト の コ ス ト を設定 し ます。
注記 : 大容量のイ ン タ ー フ ェ ースに低い コ ス ト を割 り 当て ます。 この
設定では、 コ ス ト が低いために イ ン タ ー フ ェ ースがルー ト に選択 さ れ
易 く な り ます。
設定可能値 = 1 ～ 65535
Dead Interval
Dead 間隔を設定 し ます。
Dead 間隔は、 ルー タ ーが、 イ ン タ ー フ ェ ースがダウン し た と みなす
ま で イ ン タ ー フ ェ ースか らのレ スポン ス を待機する時間です。
設定可能値 = 1 ～ 65535 秒
デ フ ォル ト = 40 秒
Hello Interval
Hello 間隔を設定 し ます。
ア プ ラ イ ア ン スは他のルー タ ーに メ ッ セージ を送信 し て、 ア プ ラ イ ア
ン スが動作中である こ と を確認 し ます。 こ れら の メ ッ セージの間隔は
Hello 間隔 と 呼ばれます。
設定可能値 = 1 ～ 65535 秒
デ フ ォル ト = 10 秒
Priority
イ ン タ ー フ ェ ースの優先度を設定 し ます。
サブネ ッ ト 上の少な く と も 1 つの OSPF ルーテ ィ ング デバイ スでは、
優先度を 0 よ り 大き く する必要があ り ます。
設定可能値 = 0 ～ 255
デ フ ォル ト 値 = 1
Retransmission
Interval
再転送間隔を設定 し ます。
Transmit Delay
転送遅延を設定 し ます。
ア プ ラ イ ア ン スはルーテ ィ ング情報に関する メ ッ セージ を エ リ アに送
信 し ます。 こ れら の メ ッ セージの間隔は、 再転送間隔 と 呼ばれます。
ア プ ラ イ ア ン スは メ ッ セージ を ブ ロー ド キ ャ ス ト する前に時間を追加
し ます。 こ の時間は、 転送遅延 と 呼ばれます。
Proventia® Network Multi-Function Security Appliance User Guide
61
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
フ ィ ール ド
説明
Authentication
ルー タ ー間の通信の認証方法を選択 し ます。
•
None - 認証な し
•
Plain - パスワー ド に最大 8 文字の英数字を入力 し ます。
•
MD5 - MD5 キー ID と MD5 キー値を指定 し ます。
デ フ ォル ト = disabled
注記 : 認証はオプ シ ョ ン ですが、 認証を有効に し た場合、 すべての
ルー タ ーで同 じ 方法を有効にする必要があ り ます。 適切な認証資格情
報を持たないルー タ ーは、 他のルー タ ー と ルーテ ィ ング情報を交換で
き ません。
62
OSPF 仮想 リ ン ク の設定
OSPF 仮想 リ ン クの設定
は じ めに
OSPF プ ロ ト コ ルは、 各ルー タ ーがエ リ ア 0 ( バ ッ ク ボーン ) に接続 さ れてい る 必要があ り ます。 物
理的にエ リ ア 0 に接続 さ れていない OSPF ルー タ ーの場合は、 ルー タ ー と バ ッ ク ボーン間に仮想 リ
ン ク を作成す る こ と がで き ます。 こ の リ ン ク は、 物理的にエ リ ア 0 に接続 さ れてい る 他の OSPF
ルー タ ーにルー タ ーを接続す る と 作成 さ れます。
例
次の例は、 2 つのルー タ ー間に仮想 リ ン ク を作成す る 方法を示 し ます。 こ の例では、 ルー タ ー Z と
ルー タ ー A の間に仮想 リ ン ク を作成 し ます。 こ の リ ン ク は、 エ リ ア 3 を通過する ルー タ ー Z か ら 、
エ リ ア 0 を通過す る ルー タ ー A に ト ラ フ ィ ッ ク を渡す こ と がで き ます。
作業
ルー
ター
1
Z
説明
エ リ ア 0 以外のすべての OSPF エ リ ア を定義 し ます ( エ リ ア 3 を含む )。
ト ラ フ ィ ッ ク はエ リ ア 0 に直接接続 さ れる OSPF ルー タ ーに到達する ため
に、 エ リ ア 3 を通過する必要があ り ます。
2
Z
[Configuration] → [System] → [Network] → [OSPF] → [Area
Configuration] の順に選択 し 、 一覧にエ リ ア 0 を追加 し ます。
次のいずれかを使用する と エ リ ア 0 を指定する こ と がで き ます。
•
Area ID = 0
•
IP address = 0.0.0.0
重要 : エ リ ア 0 で定義 し た設定は、 エ リ ア内のすべての OSPF ルー タ ーの設
定 と 正確に一致する必要があ り ます。 た と えば、 エ リ ア 0 の Hello 間隔が、
エ リ ア 0 の既存の OSPF ルー タ ーで 10 秒に設定 さ れている場合、 この
Hello 間隔に 10 秒を入力する必要があ り ます。 エ リ ア 0 の設定がそのエ リ ア
の OSPF ルー タ ーの設定 と 一致 し ない と 、 ルー タ ーは正常に通信で き ませ
ん。
3
4
5
Z
A
A
[Configuration] → [System] → [Network] → [OSPF] → [Virtual Link
Configuration] の順に選択 し 、 次のよ う に仮想 リ ン ク を追加 し ます。
•
リ モー ト ルー タ ー ID = ルー タ ー A のルー タ ー ID
•
すべての間隔および認証設定 = エ リ ア 0 の間隔および認証設定 と 同 じ
•
エ リ ア ID または IP ア ド レ ス = 3 または 0.0.0.3 ( ト ラ フ ィ ッ クが通過す
る エ リ アの ID またはア ド レ ス )
次のよ う にルー タ ー Z への相互仮想 リ ン ク を作成 し ます。
•
リ モー ト ルー タ ー ID = ルー タ ー Z の リ モー ト ルー タ ー ID
•
すべての間隔および認証設定 = エ リ ア 0 の間隔および認証設定 と 同 じ
•
エ リ ア ID または IP ア ド レ ス = 3 または 0.0.0.3 ( ト ラ フ ィ ッ クが通過す
る エ リ アの ID またはア ド レ ス )
[Configuration] → [System] → [Network] → [OSPF] → [Database] の順に
選択 し 、 OSPF neighbor コ マ ン ド を実行 し ます。
次の 2 つのエ ン ト リ を確認 し ます。
•
ルー タ ー Z のルー タ ー ID - これはルー タ ー A がエ リ ア 3 ( 通過エ リ ア )
を監視する ID です。
•
VLINK0 ( ルー タ ー Z のルー タ ー ID)
表 17: 仮想 リ ン クの設定例
Proventia® Network Multi-Function Security Appliance User Guide
63
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
手順
OSPF 仮想 リ ン ク を設定する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. [Virtual Link Configuration] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の フ ィ ール ド に入力 し 、 変更内容を保存 し ます。
フ ィ ール ド
説明
Remote Router
ID
エ リ ア 0 に接続 し た OSPF ルー タ ーのルー タ ー ID を入力 し ます。
例:
•
ルー タ ー A はエ リ ア 0 に接続 さ れています。
•
ルー タ ー A のルー タ ー ID は 0.0.106.187 です。
•
ルー タ ー Z はエ リ ア 0 に接続 さ れています。
•
ルー タ ー Z は、 ルー タ ー A か ら エ リ ア 0 への仮想 リ ン ク が必要で
す。
•
ルー タ ー Z で、 ルー タ ー A のルー タ ー ID (0.0.106.187) を入力 し ま
す。
•
ルー タ ー A で、 ルー タ ー Z への相互仮想 リ ン ク を作成する必要があ
り ます。
•
相互 リ ン クの場合、 ルー タ ー A の [Virtual Link] タ ブ上の リ モー ト
ルー タ ー ID はルー タ ー Z のルー タ ー ID にな り ます。
ルー タ ー ID は、 近隣ルー タ ーやア プ ラ イ ア ン スに接続 さ れているルー
タ ーを区別 し ます。 情報の交換も 許可 し ます。
Dead Interval
Dead 間隔を、 エ リ ア 0 で設定 さ れているの と 同 じ 値に設定 し ます。
Dead 間隔は、 ルー タ ーが、 イ ン タ ー フ ェ ースがダウン し た と みなすま
で イ ン タ ー フ ェ ースか らのレ スポン ス を待機する時間です。
設定可能値 = 1 ～ 65535 秒
デ フ ォル ト = 40 秒
Hello Interval
Hello 間隔を、 エ リ ア 0 で設定 さ れているの と 同 じ 値に設定 し ます。
ア プ ラ イ ア ン スは他のルー タ ーに メ ッ セージ を送信 し て、 ア プ ラ イ ア
ン スが動作中である こ と を確認 し ます。 こ れら の メ ッ セージの間隔は
Hello 間隔 と 呼ばれます。
設定可能値 = 1 ～ 65535 秒
デ フ ォル ト = 10 秒
Retransmission
Interval
再転送間隔を、 エ リ ア 0 で設定 さ れているの と 同 じ 値に設定 し ます。
Transmit Delay
転送遅延を、 エ リ ア 0 で設定 さ れているの と 同 じ 値に設定 し ます。
ア プ ラ イ ア ン スはルーテ ィ ング情報に関する メ ッ セージ を エ リ アに送
信 し ます。 こ れら の メ ッ セージの間隔は、 再転送間隔 と 呼ばれます。
ア プ ラ イ ア ン スは メ ッ セージ を ブ ロー ド キ ャ ス ト する前に時間を追加
し ます。 こ の時間は、 転送遅延 と 呼ばれます。
64
OSPF 仮想 リ ン ク の設定
フ ィ ール ド
説明
Authentication
エ リ ア 0 で使用 さ れる認証方法を選択 し ます。
•
None - 認証な し
•
Plain - パスワー ド に最大 8 文字の英数字を入力 し ます。
•
MD5 - MD5 キー ID と MD5 キー値を指定 し ます。
デ フ ォル ト = disabled
注記 : ルー タ ー間の認証はオプ シ ョ ン ですが、 すべてのルー タ ーで同 じ
方法を有効にする必要があ り ます。
IP Address
Area ID
エ リ ア 0 に到達するために通過する IP ア ド レ ス、 またはそのエ リ アの
エ リ ア ID のいずれかを設定 し ます。
•
IP address - リ モー ト エ リ アの IP ア ド レ ス を入力 し ます。
•
Area ID - リ モー ト エ リ アの数値を入力 し ます。
設定可能値 = 0 ～ 4294967295
例:
•
ルー タ ーは、 エ リ ア 0 に到達するために エ リ ア 1 を通過する必要が
あ り ます。
•
エ リ ア 1 の ID は 1 です。
•
こ こ では 「1」 を入力 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
65
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
OSPF デー タ ベース情報の表示
は じ めに
アプ ラ イ ア ン スは他のルー タ ー と 連携 し て、 ネ ッ ト ワ ー ク 上で宛先やルー タ ーを マ ッ プ し ます。 ま
た、 時間、 遅延、 帯域幅な ど のルー ト に関す る 情報を算出 し ます。 アプ ラ イ ア ン スは OSPF デー タ
ベース に情報を格納 し ます。 アプ ラ イ ア ン ス と 他のルー タ ーは、 同一の同期 さ れた OSPF デー タ
ベース を持っ てい ます。 こ の ト ピ ッ ク では、 OSPF デー タ ベース情報の表示方法について説明 し ま
す。
手順
SOPF デー タ ベース情報を表示する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. [ Database] を選択 し 、 次の情報を確認 し ます。
項目
説明
OSPF Router ID
OSPF 設定でルー タ ーを表す番号。 この数値はア プ ラ イ ア ン スの
外部 IP ア ド レ スですが、 次の IP ア ド レ ス形式である必要があ り
ます。 xxx.xxx.xxx.xxx
例:
172.16.106.1
この数値を 「0.0.0.0」 に設定する と 、 ルー タ ーは OSPF 設定に
指定 さ れた イ ン タ ー フ ェ ースすべて を参照 し 、 最 も大き い数値を
ルー タ ー ID と し て使用 し ます。
Router Link States
特定のエ リ ア設定でア ク テ ィ ブにな っ ていて、 ア ド バ タ イ ズ し て
いるルー タ ー。
例:
Router Link States (Area 0.0.0.0)
Net Link States
エ リ アに割 り 当て られている指定ルー タ ー。
例:
Net Link States (Area 0.0.0.0)
Summary Link States
エ リ アか ら別のネ ッ ト ワー クへのルー ト の概要。
例:
Summary Link States (Area 0.0.0.0)
ASBR-Summary Link
States
66
自律シ ステム境界ルー タ ー (ASBR) へのルー ト の概要。 ASBR
は、 ス タ ブ エ リ ア外にある OSPF 自律シ ス テム と OSPF 以外の
ネ ッ ト ワー クの間に位置 し ます。 ASBR は、 OSPF と 別のルー
テ ィ ング プ ロ ト コル (RIP な ど ) の両方を実行 し ます。
OSPF デー タ ベース情報の表示
項目
説明
Link ID
ルー タ ー リ ン ク を表す数値。 この数値はセ ク シ ョ ンによ っ て異な
り ます。
•
[Router Link States] セ ク シ ョ ン - [Link ID] はルー タ ーの IP ア
ド レ スです。
•
[Net Link States] セ ク シ ョ ン - [Link ID] は、 そのエ リ ア内にあ
る ア ド バ タ イ ジ ング ルー タ ーのイ ン タ ー フ ェ ースの IP ア ド
レ スです。
•
[Summary Link States] セ ク シ ョ ン - [Link ID] は、 ア ド バ タ イ
ジ ング ルー タ ーがア ク セス可能なネ ッ ト ワー ク IP ア ド レ ス
です。
•
[ASBR Summary Link States] セ ク シ ョ ン - [Link ID] はルー
タ ー ID です。
例:
[Summary Link States] セ ク シ ョ ンには、 次の値が表示 さ れます。
Link ID --------ADV Router
172.16.106.0 ---0.0.89.2
172.16.106.0 ---0.0.89.1
この例では、 両方の ADV ルー タ ーが、 172.16.106.0 ネ ッ ト ワー
ク にア ク セス可能である こ と を ア ド バ タ イ ズ し ています。
例:
[Originate Default Route] オプ シ ョ ン を有効に し た場合、 [AS
External Links] セ ク シ ョ ンの 0.0.0.0 と い う [Link ID] は、 ADV
ルー タ ーがその他ルー タ ーを宛先 と し ない任意のパケ ッ ト を受信
する こ と を示 し ます。
ADV Router
Link State Advertisement (LSA) を送信する ア ド バ タ イ ジ ング
ルー タ ー。
Age
LSA の寿命。
Seq #
各 LSA には、 発信元ルー タ ーによ っ てシーケ ン ス番号が与え ら
れます。 各イ ン タ ー フ ェ ースで最初に生成 さ れた LSA には、
0x80000001 と い う シーケン ス番号が与え られます。 シーケ ン ス
番号は、 イ ン タ ー フ ェ ースで LSA が生成 さ れる ご と に増えてい
き ます。 シーケ ン ス番号は 32 ビ ッ ト の値です。
例:
0x80000001
Chsum
LSA パケ ッ ト のチ ェ ッ ク サム。
例:
0x7325
Link count
ADV ルー タ ーが指定エ リ ア内で持っ ている ア ク テ ィ ブ な リ ン ク
の数。
Proventia® Network Multi-Function Security Appliance User Guide
67
第 4 章 : ルーテ ィ ン グ モー ド でのイ ン タ ー フ ェ ースの管理
OSPF 設定の操作
は じ めに
こ の ト ピ ッ ク では、 OSPF 設定の編集、 コ ピー、 ま たは削除方法について説明 し ます。
手順
OSPF を編集、 コ ピー、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [OSPF] の順に選択
し ます。
2. 次のいずれかの タ ブを選択 し ます。
■
Area Configuration
■
Interface Configuration
■
Virtual Link Configuration
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
エ ン ト リ を編集する
手順
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 設定を変更 し 、 [OK] を ク リ ッ ク し ます。
エ ン ト リ を コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. 設定を変更 し 、 [OK] を ク リ ッ ク し ます。
エ ン ト リ を削除する
68
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
第5章
ト ラ ンスペアレ ン ト イ ン タ ーフ ェ ースの
管理
概要
は じ めに
ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン ス は イ ン タ ーフ ェ ース間の ト ラ フ ィ ッ ク のみを転
送 し ます。 複雑なルーテ ィ ン グ タ ス ク は行い ません。 イ ン タ ーフ ェ ース を有効にす る 必要があ り ま
すが、 他の設定は必要あ り ません。 こ のモー ド では、 IP ア ド レ ス な ど の IP ネ ッ ト ワー ク 設定を イ
ン タ ーフ ェ ース に割 り 当て ません。 つま り 、 アプ ラ イ ア ン スは本質的にネ ッ ト ワ ー ク か ら 見え ない
こ と を意味 し ます。 初期設定す る と 、 外部 イ ン タ ーフ ェ ース と 1 つの内部 イ ン タ ーフ ェ ース が有効
にな り ます。 こ の ト ピ ッ ク では、 必要に応 じ て追加の内部 イ ン タ ーフ ェ ース を有効にす る 方法につ
いて説明 し ます。
注記 : 管理目的の場合のみ、 目に見え る 管理 IP ア ド レ ス を内部 イ ン タ ーフ ェ ース に割 り 当て ます。
こ の IP ア ド レ ス を使用す る と 、 アプ ラ イ ア ン ス上の Proventia Manager にア ク セ スす る こ と がで き
ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ト ラ ン スペア レ ン ト モー ド での ト ラ フ ィ ッ ク の転送
70
ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの有効化
71
Proventia® Network Multi-Function Security Appliance User Guide
69
第 5 章 : ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの管理
ト ラ ン スペア レ ン ト モー ド での ト ラ フ ィ ッ ク の転送
は じ めに
こ の ト ピ ッ ク では、 アプ ラ イ ア ン ス が ト ラ ン スペア レ ン ト モー ド の イ ン タ ーフ ェ ース上で ト ラ
フ ィ ッ ク を転送す る 方法について説明 し ます。
ブ リ ッ ジ とは
ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン ス は次を行 う ブ リ ッ ジ デバ イ ス にな り ます。
●
複数のネ ッ ト ワ ー ク セグ メ ン ト を接続する 。
●
ネ ッ ト ワ ー ク セグ メ ン ト 間の不要な ト ラ フ ィ ッ ク を削減する 。
●
IP ア ド レ ス ではな く 、 発信元お よ び宛先 MAC ア ド レ ス な ど の情報に基づ く ネ ッ ト ワー ク パ
ケ ッ ト を転送す る 。
注記 : ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン スは最適経路の計算の よ う な複雑なルー
テ ィ ン グ機能を行い ません。
パケ ッ ト と フ レーム
アプ ラ イ ア ン ス が ト ラ ン スペア レ ン ト モー ド にな っ てい る 場合、 パケ ッ ト は 「フ レーム」 と 呼ば
れ る こ と があ り ます。 パケ ッ ト は通常、 IP ア ド レ ス の観点か ら ネ ッ ト ワー ク ト ラ フ ィ ッ ク を参照
し ます。 フ レームは通常、 MAC ア ド レ ス の観点か ら ネ ッ ト ワー ク ト ラ フ ィ ッ ク を参照 し ます。 さ
ら に、 ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス はポー ト でフ レーム を転送 し ます。
ブ リ ッ ジ機
ジ 機能
ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン ス は次のブ リ ッ ジ機能を行 う こ と がで き ます。
●
ルー ト の学習
アプ ラ イ ア ン スは接続 し てい る すべてのネ ッ ト ワ ー ク セグ メ ン ト 上の MAC ア ド レ ス を学習 し
ます。 ト ラ フ ィ ッ ク がアプ ラ イ ア ン ス を通過す る と 、 アプ ラ イ ア ン スは通信デバ イ ス の発信元
お よ び宛先 MAC ア ド レ ス な ど の情報を ト ラ フ ィ ッ ク か ら 取 り 出 し 、 MAC ア ド レ ス テーブル
と 呼ばれ る テーブルに情報を格納 し ます。 こ のテーブルは MAC ア ド レ ス と ブ リ ッ ジ ポー ト を
関連付け ます。 アプ ラ イ ア ン スは こ の情報を使用 し て ト ラ フ ィ ッ ク の転送を決定 し ます。
●
●
70
ト ラ フ ィ ッ ク の転送
■
アプ ラ イ ア ン ス が フ レーム を受信 し 、 その フ レームの宛先 MAC ア ド レ ス を識別で き た場
合、 アプ ラ イ ア ン スは、 MAC ア ド レ ス テーブルで MAC ア ド レ ス に関連付け ら れてい る ブ
リ ッ ジ ポー ト を調べ、 そのア ド レ ス に関連付け ら れてい る ポー ト か ら フ レーム を転送 し ま
す。
■
アプ ラ イ ア ン ス が フ レーム を受信 し 、 その フ レームの MAC ア ド レ ス を識別で き ない場合、
アプ ラ イ ア ン スは、 その フ レーム を受信 し た アプ ラ イ ア ン ス のポー ト 以外のすべてのポー
ト にその フ レーム を転送 し ます。
ト ラ フ ィ ッ ク のフ ィ ルタ リ ング
■
アプ ラ イ ア ン スは、 受信 し たポー ト と 同 じ ポー ト に フ レーム を転送す る こ と はあ り ません。
こ の機能はフ ィ ル タ リ ン グ と 呼ばれ、 送信デバ イ ス が送信 し た フ レーム を受信す る こ と を
回避 し 、 ネ ッ ト ワ ー ク 上の ト ラ フ ィ ッ ク を削減 し ます。
■
アプ ラ イ ア ン スは宛先 MAC ア ド レ ス を識別 し 、 発信元 と 宛先が同 じ ネ ッ ト ワ ー ク セグ メ
ン ト 上にあ る 場合、 フ レーム を フ ィ ル タ リ ン グ し ます。
ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの有効化
ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの有効化
は じ めに
こ の ト ピ ッ ク では、 ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス上で内部 イ ン タ ーフ ェ ース を有効に し 、
管理 IP ア ド レ ス を変更す る 方法について説明 し ます。
注記 : ト ラ ン スペア レ ン ト モー ド では、 内部 イ ン タ ーフ ェ ース の有効化ま たは無効化のみが可能
です。 他の設定は必要あ り ません、 イ ン タ ーフ ェース は こ のモー ド では表示 さ れません。 外部 イ ン
タ ーフ ェ ース を無効にす る こ と はで き ません。
内部イ ン タ フ ェ ースの有
効化
ト ラ ン スペア レ ン ト モー ド で追加の内部 イ ン タ ーフ ェ ース を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Interfaces] の順に
選択 し ます。
2. [Internal Interfaces] タ ブを選択 し て次のいずれかを行い、 変更内容を保存 し ます。
操作
内部イ ン タ ー フ ェ ース を
有効にする
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 一覧か ら イ ン タ ー フ ェ ース を
選択 し ます。
2. [Enabled] チ ェ ッ ク ボ ッ ク ス を オ ンに し 、 [OK] を ク リ ッ ク し
ます。
内部イ ン タ ー フ ェ ース を
無効にする
1. [Edit] ア イ コ ン を ク リ ッ ク し 、 一覧から イ ン タ ー フ ェ ース を
選択 し ます。
2. [Enabled] チ ェ ッ ク ボ ッ ク ス を オ フ に し 、 [OK] を ク リ ッ ク し
ます。
管理 IP 設定の変更
管理 IP ア ド レ ス を含む管理 IP 設定は、 アプ ラ イ ア ン ス が ト ラ ン スペア レ ン ト モー ド にな っ てい
る 場合のみ適用で き ます。 こ の情報は、 管理目的の場合のみアプ ラ イ ア ン ス にア ク セ スす る ために
使用 さ れ、 ネ ッ ト ワ ー ク か ら は見え ません。 初期設定時に管理 IP 設定を行い ます。
管理 IP 設定を変更す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Interfaces] の順に
選択 し ます。
2. [Management] タ ブを選択 し て次の よ う に入力 し 、 変更内容を保存 し ます。
オプ シ ョ ン
説明
Host Name
次の例のよ う なホス ト 名を入力 し ます。
gateway1.example.com.
IP address, subnet,
and default gateway
管理 IP ア ド レ ス、 サブネ ッ ト マス ク、 およびデ フ ォル ト ゲー ト
ウ ェ イ IP ア ド レ ス を入力 し ます。
注記 : デ フ ォル ト では、 ア プ ラ イ ア ン スは、 そのア プ ラ イ ア ン ス
と 同 じ サブネ ッ ト 上の任意のデバイ スか ら ア プ ラ イ ア ン スにア ク
セスで き ます。 別のサブネ ッ ト 上のデバイ スから ア プ ラ イ ア ン ス
にア ク セスする場合は、 適切なア プ ラ イ ア ン ス ア ク セス ポ リ
シーを設定する必要があ り ます。
参照 : 「ユーザーへのア プ ラ イ ア ン ス ア ク セス権の付与」
(75 ページ ) を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
71
第 5 章 : ト ラ ン スペア レ ン ト イ ン タ ー フ ェ ースの管理
オプ シ ョ ン
説明
DNS Servers
イ ン タ ー フ ェ ースは IP ア ド レ スに基づいて ト ラ フ ィ ッ ク をルー
テ ィ ング し ます。 イ ン タ ー フ ェ ースは DNS サーバー と 連携 し て
ホス ト 名を IP ア ド レ スに変換 し ます。 た と えば、 イ ン タ ー
フ ェ ースは DNS サーバー と 連携 し て atlanta.fileserver01
を 172.16.100.2 に変換 し ます。 DNS サーバーを検索するに
は、 イ ン タ ー フ ェ ースは DNS サーバーの IP ア ド レ ス を識別 し て
いる必要があ り ます。 イ ン タ ー フ ェ ースに DNS サーバーを割 り
当て るには、 次の 2 つの方法があ り ます。
•
Manual - DNS サーバーの IP ア ド レ ス を手動で入力 し ます。
•
Dynamic - イ ン タ ー フ ェ ースは DNS サーバーの IP ア ド レ ス
をユーザーが入力 し な く て も動的に取得 し ます。
注記 : 最大で 3 台の DNS サーバーを指定する こ と がで き ます。 1
台は必須です。
DNS Search Path
72
入力する情報は、 ホス ト 名に ド メ イ ン名を追加 し ます。 た と え
ば、 ホス ト 名 「myappliance」 に 「mycompany.net」 を追加
する場合は、 「myappliance mycompany.net」 と 入力 し ます。 ア
プ ラ イ ア ン スは、 ホス ト 名を
「myappliance.mycompany.net」 と 解釈 し ます。
第6章
アプ ラ イ アンスのア ク セス制御
概要
は じ めに
アプ ラ イ ア ン ス のア ク セ ス を制御す る には、 次の 2 つの方法があ り ます。
●
ロ グ イ ン資格情報 - シ ス テ ムにア ク セ スす る ユーザー ID と パ ス ワ ー ド を入力 し ます。 ユー
ザー ID は常に 「admin」 ですが、 パ ス ワ ー ド は変更可能です。
重要 : アプ ラ イ ア ン ス のシ ャ ッ ト ダ ウ ンや再起動な ど の機能にア ク セ スす る LCD を使用す る
場合は、 ロ グ イ ン資格情報を入力す る 必要はあ り ません。 LCD を無効にする 方法については、
「LCD の使用」 (38 ページ ) を参照 し て く だ さ い。
●
デバ イ ス識別 - アプ ラ イ ア ン スは、 ユーザーが定義 し た、 シ ス テ ムにア ク セ ス可能な IP ア ド レ
ス の リ ス ト を保持 し てい ます。 ユーザーが リ ス ト にないデバ イ ス か ら アプ ラ イ ア ン ス にア ク セ
ス を試み る と 、 シ ス テ ムはア ク セ ス を拒否 し ます。
ネ ッ ト ワー ク オブ ジ ェ
クト
アプ ラ イ ア ン ス ア ク セ ス ポ リ シーでは、 動的ア ド レ ス を含む、 名前の付いたネ ッ ト ワー ク オブ
ジ ェ ク ト を使用す る こ と がで き ます。 アプ ラ イ ア ン ス ア ク セ ス設定を行 う 前に、 ネ ッ ト ワ ー ク オ
ブジ ェ ク ト を定義す る 必要があ り ます。 詳細については、 「ネ ッ ト ワ ー ク オブジ ェ ク ト の定義」
(87 ページ ) を参照 し て く だ さ い。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
パスワー ド の管理
74
ユーザーへのア プ ラ イ ア ン ス ア ク セス権の付与
75
Proventia® Network Multi-Function Security Appliance User Guide
73
第 6 章 : ア プ ラ イ ア ン スのア ク セ ス制御
パスワー ド の管理
は じ めに
Proventia Setup Assistant での初期設定プ ロ セ ス時に、 シ ス テ ム パ ス ワ ー ド を設定 し ます。 Proventia
Manager でいつで も パ ス ワ ー ド を変更す る こ と がで き ます。
パスワー ド
次のパ ス ワ ー ド はユーザーが定義 し ます。
●
Root - コ マン ド ラ イ ンか ら アプ ラ イ ア ン ス にア ク セ スす る 場合、 ユーザーは こ のパ ス ワー ド を
入力す る 必要があ り ます。
●
Administrator - アプ ラ イ ア ン ス にア ク セ スす る 場合、 ユーザーは こ のパ ス ワ ー ド を入力す る 必
要があ り ます。
●
Proventia Manager - Proventia Manager に ロ グ イ ンする 場合、 ユーザーは こ のパ ス ワ ー ド を入力
す る 必要があ り ます。
●
Bootloader - ブー ト ロ ーダー プ ロ グ ラ ムにア ク セ ス場合やアプ ラ イ ア ン ス のブー ト オプシ ョ ン
を変更す る 場合は、 Bootloader パ ス ワー ド を入力す る 必要があ り ます。 こ のパス ワ ー ド は、 常
に root パ ス ワ ー ド と 同 じ です。
重要 : LCD はパ ス ワー ド で保護 さ れてい ませんが、 アプ ラ イ ア ン ス のシ ャ ッ ト ダ ウ ンや再起動な
ど の機能を備え てい ます。 LCD を無効にする 方法については、 「LCD の使用」 (38 ページ ) を参照
し て く だ さ い。
パスワー ド を忘れた場合 パ ス ワ ー ド は安全な場所に記録 し て く だ さ い。 パ ス ワ ー ド を忘れた場合は、 再発行や新規発行がで
き ません。 アプ ラ イ ア ン ス を再 イ ン ス ト ールす る 必要があ り ます。
パスワー ド の変更
シ ス テ ム パ ス ワ ー ド を変更する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Passwords] の順に選択 し ます。
2. 次の変更す る パ ス ワ ー ド に応 じ て、 適切なセ ク シ ョ ンの [Current Password] に現在のパ ス ワ ー
ド を入力 し ます。
■
Root
■
Admin
■
Proventia Manager User
3. [New Password] の横にあ る [Set Password] を ク リ ッ ク し ます。
4. 新 し いパ ス ワ ー ド を入力 し 、 確認のために も う 一度入力 し ます。
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
ブー ト ロ ーダ パス
ワー ド
ブー ト ロ ーダー プ ロ グ ラ ムにア ク セ スする 場合やアプ ラ イ ア ン ス のブー ト オプシ ョ ン を変更す る
場合は、 Bootloader パ ス ワー ド を入力す る 必要があ り ます。 こ のパス ワ ー ド は、 常に root パ ス ワ ー
ド と 同 じ です。
ブー ト ローダ パスワー
ド の有効化
ブー ト ロ ーダ パ ス ワ ー ド を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Passwords] の順に選択 し ます。
2. [Enable bootloader password] を選択 し 、 変更内容を保存 し ます。
74
ユーザーへのア プ ラ イ ア ン ス ア ク セ ス権の付与
ユーザーへのア プ ラ イ ア ン ス ア ク セス権の付与
は じ めに
セキ ュ リ テ ィ 管理者な ど のユーザーにアプ ラ イ ア ン ス ア ク セ ス権限を与え る こ と がで き ます。 シ ス
テ ムは、 ユーザーが定義 し た、 シ ス テ ムにア ク セ ス可能な IP ア ド レ ス の リ ス ト を保持 し てい ます。
アプ ラ イ ア ン ス にア ク セ スす る 必要のあ る ユーザーは、 リ ス ト 内のいずれかの IP ア ド レ ス か ら ア
ク セ スす る 必要があ り ます。 それ以外の場合は、 ア ク セ ス が拒否 さ れます。 こ の ト ピ ッ ク では、 ア
プ ラ イ ア ン ス にア ク セ ス可能な IP ア ド レ ス リ ス ト の設定方法について説明 し ます。
重要 : ユーザーは、 アプ ラ イ ア ン ス と の接続の開始に使用す る デバ イ ス に関係な く 、 ロ グ イ ン資
格情報を入力す る 必要があ り ます。
デ フ ォル ト ポ リ シー
デフ ォ ル ト では、 アプ ラ イ ア ン スは、 そのアプ ラ イ ア ン ス と 同 じ サブネ ッ ト 上の任意のデバ イ ス か
ら アプ ラ イ ア ン ス にア ク セ ス で き ます。 別のサブネ ッ ト 上のデバ イ ス か ら アプ ラ イ ア ン ス にア ク セ
スす る 場合は、 適切なアプ ラ イ ア ン ス ア ク セ ス ポ リ シーを設定す る 必要があ り ます。
例
アプ ラ イ ア ン ス上の内部 イ ン タ ーフ ェ ース (eth0) の内側にあ る 任意のデバ イ ス にアプ ラ イ ア ン ス
ア ク セ ス権を与え る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Appliance Access] の順に選択 し
ます。
2. [Add] ア イ コ ン を ク リ ッ ク し 、 説明を入力 し ます。
3. [Address Range] を選択 し 、 [Dynamic Address Range Name] を選択 し ます。
4. [SysEth0Range] を選択 し 、 [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
アプ ラ イ ア ン ス上の外部 イ ン タ ーフ ェ ース (eth1) の内側にあ る 任意のデバ イ ス にアプ ラ イ ア ン ス
ア ク セ ス権を与え る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Appliance Access] の順に選択 し
ます。
2. [Add] ア イ コ ン を ク リ ッ ク し 、 説明を入力 し ます。
3. [Address Range] を選択 し 、 [Dynamic Address Range Name] を選択 し ます。
4. [SysEth1Range] を選択 し 、 [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
手順
アプ ラ イ ア ン ス にア ク セ ス可能な IP ア ド レ ス の リ ス ト を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Appliance Access] の順に選択 し
ます。
2. ユーザーが こ れ ら のデバ イ ス か ら アプ ラ イ ア ン ス にア ク セ ス し た こ と を ロ グに記録す る 場合
は、 [Log Manager Access] を選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 説明を入力 し ます。
4. 次のいずれかを行い、 変更内容を保存 し ます。
次のア ク セス を許可する
場合
静的 IP ア ド レ ス
手順
1. [Single IP Address] を選択 し 、 [Static Address] を選択 し ま
す。
2. IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ます。
ア ド レ ス名
1. [Single IP Address] を選択 し 、 [Address Name] を選択 し ま
す。
2. エ ン ト リ を選択 し 、 [OK] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
75
第 6 章 : ア プ ラ イ ア ン スのア ク セ ス制御
次のア ク セス を許可する
場合
動的ア ド レ ス名
手順
1. [Dynamic Address Name] を選択 し ます。
2. エ ン ト リ を選択 し 、 [OK] を ク リ ッ ク し ます。
静的 IP ア ド レ スの範囲
1. [Address Range] を選択 し 、 [Static Address Range] を選択
し ます。
2. IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ます。
ア ド レ ス範囲名
1. [Address Range] を選択 し 、 [Address Name Range] を選択
し ます。
2. エ ン ト リ を選択 し 、 [OK] を ク リ ッ ク し ます。
動的ア ド レ ス範囲名
1. [Address Range] を選択 し 、 [Dynamic Address Range
Name] を選択 し ます。
2. エ ン ト リ を選択 し 、 [OK] を ク リ ッ ク し ます。
76
第7章
システム サービスの有効化
概要
は じ めに
シ ス テ ム設定時に、 アプ ラ イ ア ン ス上で実行す る 次のサービ ス を有効に し ます。
●
動的ホ ス ト 設定 (DHCP) サービ ス - こ のサービ スは、 IP ア ド レ ス、 DNS サーバー ア ド レ ス、
お よ びゲー ト ウ ェ イ ア ド レ ス を、 こ の情報を要求 し た ク ラ イ ア ン ト に自動的に送信 し ます。 ま
た、 接続 さ れてい る ク ラ イ ア ン ト の数、 ク ラ イ ア ン ト が使用 し てい る IP ア ド レ ス、 ク ラ イ ア
ン ト が接続 し た長 さ も 示 し ます。
●
リ モー ト ア ク セ ス サービ ス (SSH) - こ のサービ スは、 アプ ラ イ ア ン ス と の暗号化 さ れた安全
な リ モー ト 接続の確立を実現 し ます。
●
メ ール リ レー制御お よ び認証サービ ス (SMTP) - こ のサービ ス は、 ユーザーがアプ ラ イ ア ン ス
か ら メ ッ セージ を発信す る こ と を制御 し 、 何者かがユーザーの メ ール サーバーを使用 し て ス
パム を リ レーす る のを阻止す る のに役立ち ます。
●
Web プ ロ キ シ サービ ス (HTTP) - こ のサービ スは、 アプ ラ イ ア ン ス が Web プ ロ キ シ サーバー
か ら アプ ラ イ ア ン ス ア ッ プデー ト を取 り 出す こ と を許可 し ます。
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP) - こ のサービ スは、 SNMP 管理アプ リ ケーシ ョ ンが、 監視
と 管理を行 う ためにアプ ラ イ ア ン ス か ら ネ ッ ト ワ ー ク 情報を取 り 出す こ と を許可 し ます。 ま
た、 アプ ラ イ ア ン ス が SNMP 管理アプ リ ケーシ ョ ンにシ ス テ ム イ ベン ト やセキ ュ リ テ ィ イ ベ
ン ト な ど のア ラ ー ト ( ト ラ ッ プ ) を送信する こ と も 許可 し ます。
こ の章では、 こ れ ら のサービ ス を有効にす る 方法について説明 し ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
動的ホス ト 設定サービ スの設定
78
リ モー ト ア ク セス サービ スの有効化
82
メ ール リ レー制御および認証サービ スの設定
83
ア プ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロキシ サービ スの有効化
85
ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化
86
Proventia® Network Multi-Function Security Appliance User Guide
77
第 7 章 : シ ス テム サービ スの有効化
動的ホス ト 設定サービ スの設定
は じ めに
アプ ラ イ ア ン スは、 Dynamic Host Configuration (DHCP) サービ ス を提供 し ます。 アプ ラ イ ア ン スは、
ス タ ン ド ア ロ ンの DHCP サーバーま たは DHCP リ レー エージ ェ ン ト と し て機能 し ます。
ス タ ン ド ア ロ ンの DHCP サーバー と し て、 アプ ラ イ ア ン スは次のサービ ス を提供 し ます。
●
IP ア ド レ ス と 、 サブネ ッ ト マ ス ク やゲー ト ウ ェ イ IP ア ド レ ス な ど の他の TCP/IP 設定情報に
対す る ク ラ イ ア ン ト 要求を処理す る 。
●
IP ア ド レ ス の リ ース を管理す る 。
●
使用可能な IP ア ド レ ス のデー タ ベース を管理す る 。
●
通常、 同 じ IP ア ド レ ス を維持す る Web サーバーやプ リ ン タ な ど のホ ス ト の静的 IP ア ド レ ス
を サポー ト す る 。
多 く の場合、 DHCP サーバー と DHCP ク ラ イ ア ン ト は同 じ サブネ ッ ト ワ ー ク 内にあ る ため、 こ れ
ら のデバ イ ス間の DHCP 通信はそのサブネ ッ ト ワ ー ク か ら 出 る こ と はあ り ません。 ただ し 、 一部の
例では、 デバ イ ス が同 じ サブネ ッ ト ワ ー ク 内にないため、 デバ イ ス間の DHCP 通信が異な る サブ
ネ ッ ト ワ ー ク 間でや り 取 り さ れ る こ と があ り ます。 こ の場合、 アプ ラ イ ア ン スは 1 つのサブネ ッ ト
ワ ー ク か ら 他のサブネ ッ ト ワ ー ク へ DHCP 関連の ト ラ フ ィ ッ ク を渡す、 DHCP リ レー エージ ェ ン
ト と し て機能 し ます。
IP ア ド レ スの リ ース プ
ロ セス
次の表では、 ク ラ イ ア ン ト に IP 情報を リ ースす る と き のプ ロ セ ス について説明 し ます。
段階
説明
1
ク ラ イ ア ン ト がネ ッ ト ワー ク 上でオン ラ イ ンにな り 、 IP ア ド レ スが必要である と 判断
し ます。
2
ク ラ イ ア ン ト がネ ッ ト ワー ク に IP ア ド レ スの要求を送信 し ます。
3
DHCP サーバーがその要求を受け取 り 、 処理 し ます。
4
DHCP サーバーがク ラ イ ア ン ト に IP ア ド レ ス と 、 サブネ ッ ト マス ク、 リ ース時間、 お
よび DHCP サーバーの IP ア ド レ ス を提供 し ます。
5
ク ラ イ ア ン ト がそのオ フ ァ ーを受け取 り 、 受諾 し ます。
注記 : ク ラ イ ア ン ト がオ フ ァ ーを受諾する と 、 ネ ッ ト ワー ク 上にある他の DHCP サー
バーはそのク ラ イ ア ン ト へのオ フ ァ ーの送信を停止 し ます。
6
リ ース を提供 し た DHCP サーバーが受諾 メ ッ セージ を受け取 り 、 プ ロ セスが完了 し ま
す。
表 18: IP ア ド レ スの リ ース プ ロ セス
推奨事項
78
DHCP サーバーが リ ース で き る IP ア ド レ ス の範囲は、 ス コープ と 呼ばれます。 ク ラ イ ア ン ト が IP
ア ド レ ス を維持で き る 時間は、 リ ース時間 と 呼ばれます。 ISS では、 ス コ ープ と リ ース について次
の推奨事項を挙げてい ます。
●
DHCP サーバーはサブネ ッ ト 内にない IP ア ド レ ス を リ ース で き ません。
●
ス コ ープには、 サブネ ッ ト 内のすべての DHCP ク ラ イ ア ン ト に対 し て十分な IP ア ド レ ス を含
め る 必要があ り ます。
●
ス コ ープは DHCP サーバーご と に変え る 必要があ り ます。
●
バ ッ ク ア ッ プや代替の DHCP サーバーの場合は、 プ ラ イ マ リ と バ ッ ク ア ッ プ サーバーで同 じ
ア ド レ ス を設定 し 、 その両方のサーバー上で他方サーバーの範囲を明確に除外す る 必要があ り
ます。
動的ホ ス ト 設定サービ スの設定
サーバーの設定
●
頻繁に変更す る ネ ッ ト ワ ー ク の場合は、 リ ース時間を短 く 設定 し ます。 固定のネ ッ ト ワ ー ク の
場合は、 リ ース時間を よ り 長 く 設定 し ます。
●
無制限な リ ース時間の場合は、 リ ース を行 う コ ン ピ ュ ー タ がオ フ ラ イ ンにな っ ていて も 、
DHCP リ レー エージ ェ ン ト は リ ース さ れた IP ア ド レ ス解放 し ません。
DHCP サーバーを設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [DHCP] の順に選択 し ます。
2. [DHCP Server] タ ブを選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
DHCP Server Enabled
ア プ ラ イ ア ン ス上のビル ト イ ンの DHCP サーバーを有効にする
場合は、 このオプ シ ョ ン を選択 し ます。
DHCP Client Lease
Time (in seconds)
許可する リ ース時間を入力 し ます。 こ れは、 ア プ ラ イ ア ン スがク
ラ イ ア ン ト に IP ア ド レ ス を リ ースで き る長 さ です。
Domain Name Suffix
次のよ う な ド メ イ ン名サ フ ィ ッ ク ス を入力 し ます。
.com
.net
.edu
.org
注記 : ド メ イ ン名サフ ィ ッ ク スは、 組織の種類を表す一般的な
ト ッ プ レベル ド メ イ ン です。
3. [Address Settings] セ ク シ ョ ンで、 [Add] ア イ コ ン を ク リ ッ ク し て次の フ ィ ール ド を入力 し 、
[OK] を ク リ ッ ク し ます。
■
Address Range - こ れは、 アプ ラ イ ア ン ス が ク ラ イ ア ン ト に リ ース で き る IP ア ド レ ス の範囲
です。
■
Subnet Mask - こ れは、 アプ ラ イ ア ン ス が ク ラ イ ア ン ト に割 り 当て る サブネ ッ ト マ ス ク で
す。
■
Gateway IP Address - こ れは、 アプ ラ イ ア ン ス が ク ラ イ ア ン ト に割 り 当て る ゲー ト ウ ェ イ IP
ア ド レ ス です。 内部 イ ン タ ーフ ェ ース の IP ア ド レ ス であ る 場合があ り ます。
4. [DNS] セ ク シ ョ ンで、 次のいずれか を行い ます。
操作
手順
デ フ ォル ト の DNS サー
バーを使用する
[Use Default] を選択 し ます。
DNS サーバーを手動で
割 り 当て る
[Specify Settings] を選択 し 、 次のよ う に入力 し ます。
•
[Primary Nameserver] に第 1 ネームサーバーの IP ア ド レ ス
•
[Secondary Nameserver] に第 2 ネームサーバーの IP ア ド レ
ス
•
[Secondary Nameserver] に第 3 ネームサーバーの IP ア ド レ
ス
5. [Static Address Assignments] セ ク シ ョ ンで、 [Add] ア イ コ ン を ク リ ッ ク し て次のフ ィ ール ド を入
力 し 、 [OK] を ク リ ッ ク し ます。
■
Host Name - こ れは、 静的 IP ア ド レ ス を取得す る デバ イ ス の完全修飾 ド メ イ ン名前です。
Proventia® Network Multi-Function Security Appliance User Guide
79
第 7 章 : シ ス テム サービ スの有効化
■
MAC Address - こ れは、 デバ イ ス のネ ッ ト ワ ー ク イ ン タ ーフ ェース カー ド の固有のハー ド
ウ ェ ア ア ド レ ス です。 こ のア ド レ スは、 AA:BB:CC:11:22:33 の よ う に 6 つの 16 進数の
ペア を コ ロ ンで区切っ て記述 さ れます。
■
IP Address - こ れは、 アプ ラ イ ア ン ス がデバ イ ス に割 り 当て る 静的 IP ア ド レ ス です。
注記 : 必要に応 じ て、 他のデバ イ ス の静的 IP ア ド レ ス を追加す る こ と がで き ます。
6. [WINS Configuration] セ ク シ ョ ンで、 次のサーバーの IP ア ド レ ス を入力 し ます。
リ レー エージ ェ ン ト の
有効化
■
[Preferred WINS server] に望ま し い WINS サーバー
■
[Alternate WINS server] に別の WINS サーバー
アプ ラ イ ア ン ス が異な る サブネ ッ ト ワ ー ク 上にあ る ク ラ イ ア ン ト と サーバー間で DHCP 通信を リ
レーで き る よ う にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [DHCP] の順に選択 し ます。
2. Services] タ ブを選択 し 、 [Enabled] を ク リ ッ ク し ます。
3. イ ン タ ーフ ェ ース セ ク シ ョ ンで、 次の作業を行い ます。
作業
説明
ク ラ イ ア ン ト 要求を受け取る イ ン タ ー
フ ェ ース を指定する
[Add] ア イ コ ン を ク リ ッ ク し 、 DHCP ク ラ イ ア
ン ト が接続 さ れている ア プ ラ イ ア ン ス イ ン
タ ー フ ェ ース を選択 し ます。
注記 : ア プ ラ イ ア ン スは、 指定 し た イ ン
タ ー フ ェ ース上で DHCP 要求を待機 し ま
す。
リ レー さ れた ク ラ イ ア ン ト 要求を送信する
イ ン タ ー フ ェ ース を指定する
注記 : こ の要求が適切な DHCP サーバー
に リ レー さ れる よ う に、 ア プ ラ イ ア ン スは
このイ ン タ ー フ ェ ースの外に ク ラ イ ア ン ト
要求を リ レー し ます。
1. [Add] ア イ コ ン を ク リ ッ ク し 、 DHCP サー
バーが接続
さ れている ア プ ラ イ ア ン ス イ ン
バー
タ ー フ ェ ース を選択 し ます。
2. [DHCP Servers] セ ク シ ョ ン で [Add] ア イ コ
ン を ク リ ッ ク し 、 DHCP サーバーの IP ア
ド レ ス を入力 し ます。
4. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
5. フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーで、 自身 ( アプ ラ イ ア ン ス ) への DHCP 要求の許可が有
効にな っ てい る こ と を確認 し ます。
現在の リ ース情報の表示 現在の IP ア ド レ ス リ ース を表示する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Status] → [System] → [DHCP] の順に選択 し ます。
2. 次のいずれかを行い ます。
操作
手順
リ ース を表示する
IP ア ド レ ス を選択 し 、 [Display] を選択 し ます。
次の情報が表示 さ れます。
リ ース を コ ピーする
•
DNS サーバーの IP ア ド レ ス
•
リ ースがア ク テ ィ ブにな っ ている時間
1. IP ア ド レ ス を選択 し 、 [Copy] ア イ コ ン (
ます。
) をクリ ッ クし
2. [Paste] を ク リ ッ ク し 、 変更内容を保存 し ます。
80
動的ホ ス ト 設定サービ スの設定
DHCP 設定の操作
DHCP リ レー エージ ェ ン ト お よ びサーバー設定を含む DHCP 設定を追加、 コ ピー、 編集す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [DHCP] の順に選択 し ます。
2. 次のいずれかの タ ブを選択 し ます。
■
Services
■
DHCP Server
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
設定を追加する
適切なセ ク シ ョ ンの [Add] ア イ コ ン を ク リ ッ ク し 、 必要な情報を
入力 し ます。
設定を編集する
1. 設定を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 設定を編集 し 、 [OK] を ク リ ッ ク し ます。
設定を コ ピーする
1. 設定を選択 し 、 [Copy] ア イ コ ン (
2. [Paste] ア イ コ ン (
) を ク リ ッ ク し ます。
) を ク リ ッ ク し ます。
3. 必要に応 じ て設定を編集 し ます。
設定を削除する
4. 設定を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
81
第 7 章 : シ ス テム サービ スの有効化
リ モー ト ア ク セス サービ スの有効化
は じ めに
プ ラ イ ベー ト ま たはパブ リ ッ ク イ ン タ ーフ ェ ース上のアプ ラ イ ア ン スへの暗号化 さ れた安全な リ
モー ト 接続を確立す る こ と がで き ます。 暗号化 さ れた SSH ベース の リ モー ト 接続を確立す る と 、
アプ ラ イ ア ン ス の コ マン ド ラ イ ン機能を リ モー ト か ら 実行する こ と がで き ます。 リ モー ト ア ク セ
ス サービ ス はデフ ォル ト で有効にな っ てい ます。
手順
リ モー ト ア ク セ ス サービ ス を有効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Services] の順に選択 し ます。
2. [Services] タ ブを選択 し て [Enabled] チ ェ ッ ク ボ ッ ク ス を オンに し 、 変更内容を保存 し ます。
注記 : サービ ス を無効にす る には、 [Enabled] チ ェ ッ ク ボ ッ ク ス を オ フ に し ます。
82
メ ール リ レ ー制御お よび認証サービ スの設定
ス の設定
メ ール リ レー制御および認証サービ スの設定
ス の設定
は じ めに
アプ ラ イ ア ン スは、 メ ールの リ レー制御サービ ス と 認証サービ ス を提供 し ます。 こ れ ら のサービ ス
はデフ ォ ル ト で無効にな っ てい ます。
●
メ ール リ レー制御 - アプ ラ イ ア ン スは、 アプ ラ イ ア ン ス か ら メ ールの発信を許可 さ れてい る 、
内部ネ ッ ト ワ ー ク 上のユーザー定義の コ ン ピ ュ ー タ と ド メ イ ンの一覧の リ ス ト を保持 し てい ま
す。 許可 さ れていない コ ン ピ ュ ー タ ま たは ド メ イ ンがアプ ラ イ ア ン ス か ら メ ッ セージの発信を
試み る と 、 アプ ラ イ ア ン スはその メ ールを遮断 し ます。 こ のサービ スは、 権限のないユーザー
が メ ール サーバーを使用 し て他のネ ッ ト ワ ー ク に不正な メ ールを リ レーする のを阻止する の
に役立ち ます。
●
メ ール認証 - アプ ラ イ ア ン スは、 アプ ラ イ ア ン ス か ら メ ールを発信 し よ う と す る ユーザーに対
し 、 ユーザー ID と パ ス ワー ド の入力を要求 し ます。
注記 : メ ール リ レー制御お よ び認証サービ スは、 SMTP アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ で有効
にな っ てい る 必要があ り ます。
参照 : 「アプ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク の フ ィ ル タ リ ン グ」 (180 ページ ) を参照 し て く だ さ
い。
手順
メ ール リ レー制御お よ び認証 (SMTP) サービ ス を設定する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Services] の順に選択 し ます。
2. [SMTP] タ ブを選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
My Domain
[My Domain] フ ィ ール ド に、 「mybiz.com」 な どの企業 ド メ イ ン
名を入力 し ます。
注記 : こ の ド メ イ ン と の メ ールの送受信が許可 さ れます。
Relay Control Enabled
メ ール リ レー制御サービ ス を有効にする場合は、 このオプ シ ョ
ン を オンに し ます。
重要 : セ ミ ト ラ ン スペア レ ン ト モー ド で SMTP ア プ リ ケーシ ョ
ン層ゲー ト ウ ェ イ を実行する場合は、 [Email Relay Control] を有
効にする必要があ り ます。
Local SMTP
Authentication
認証する場合は、 このオプ シ ョ ン を オンに し ます。
3. 次の作業を行い、 変更内容を保存 し ます。
操作
ユーザーがア プ ラ イ ア ン
スから メ ールを発信する
と き に ID と パスワー ド
の入力を要求する
手順
1. [SMTP Users] セ ク シ ョ ン で、 [Add] ア イ コ ン を ク リ ッ ク し 、
ユーザー名 と パスワー ド を入力 し ます。
2. [OK] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
83
第 7 章 : シ ス テム サービ スの有効化
操作
ア プ ラ イ ア ン スから メ ー
ルを発信で き る IP ア ド
レ ス と サブネ ッ ト の リ ス
ト を設定する
手順
1. [Relay IPs] セ ク シ ョ ン で、 [Add] ア イ コ ン を ク リ ッ ク し 、 ア
プ ラ イ ア ン スか ら メ ッ セージの発信を許可 さ れている IP ア ド
レ ス と サブネ ッ ト マス ク を入力 し ます。
2. [OK] を ク リ ッ ク し ます。
注記 :IP ア ド レ ス範囲を入力で き ます。 ア プ ラ イ ア ン スは範囲内
の コ ン ピ ュ ー タ ーに メ ールを リ レー し ます。 ネ ッ ト ワー ク ア ド レ
ス マス ク の有効な範囲は、 /16 から /32 です。
ア プ ラ イ ア ン スから メ ー
ルを発信で き る ロー カル
ド メ イ ン を設定する
1. [Local Domains] セ ク シ ョ ン で、 [Add] ア イ コ ン を ク リ ッ ク
し 、 ア プ ラ イ ア ン スか ら メ ッ セージの発信を許可 さ れている
ド メ イ ン名を入力 し ます。
2. [OK] を ク リ ッ ク し ます。
SMTP サービ ス設定の
操作
ユーザー、 リ レー IP、 お よ び ロ ーカル ド メ イ ン を含む、 SMTP サービ ス設定を追加、 編集、 コ
ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Services] の順に選択 し ます。
2. [SMTP] タ ブを選択 し て次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
設定を追加する
適切なセ ク シ ョ ンの [Add] ア イ コ ン を ク リ ッ ク し 、 必要な情報を
入力 し ます。
設定を編集する
1. 設定を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 必要に応 じ て設定を編集 し 、 [OK] を ク リ ッ ク し ます。
設定を コ ピーする
1. 設定を選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
設定を削除する
84
設定を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
ア プ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロキシ サービ スの有効化
ア プ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロキシ サービ スの有効
化
は じ めに
アプ ラ イ ア ン ス が Web (HTTP) プ ロ キシ サーバーを通っ て イ ン タ ーネ ッ ト にア ク セ ス し 、 ISS か ら
アプ ラ イ ア ン ス ア ッ プデー ト を取得する 場合は、 Web (HTTP) プ ロ キシ サービ ス を有効にす る 必要
があ り ます。 こ のサービ スはアプ ラ イ ア ン ス用のア ッ プデー ト を取得す る 場合のみ使用 さ れます。
重要 : 正 し い HTTP ALG ポ リ シー も 有効にす る 必要があ り ます。 「アプ リ ケーシ ョ ン層での ト ラ
フ ィ ッ ク の フ ィ ル タ リ ン グ」 (180 ページ ) を参照 し て く だ さ い。
手順
Web プ ロ キ シ サーバーか ら ア ッ プデー ト を取得す る ためにアプ ラ イ ア ン ス を有効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Services] の順に選択 し ます。
2. [HTTP Proxy ] タ ブを選択 し 、 [Enable HTTP Proxy] を選択 し ます。
3. 次の よ う に入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
オプ シ ョ ン
説明
Address
プ ロキシ サーバーの IP ア ド レ ス
Port
プ ロキシ サーバーのポー ト
Enable Authentication
Web プ ロキシ サーバーがイ ン タ ーネ ッ ト にア ク セスするために
ユーザー ID と パスワー ド を要求する場合は、 こ のオプ シ ョ ン を
選択 し 、 ユーザー ID と パスワー ド を入力 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
85
第 7 章 : シ ス テム サービ スの有効化
ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化
は じ めに
メ ッ セージ中のイ ベン ト
名の表示
こ の ト ピ ッ ク では、 特に、 次に挙げ る 機能のネ ッ ト ワ ー ク 管理サービ ス (SNMP) を有効にす る 方法
について説明 し ます。
●
SNMP Get - Hewlett-Packard OpenView な ど のネ ッ ト ワー ク 上の SNMP 管理アプ ラ イ ア ン スは、
監視 と 管理を行 う ためにアプ ラ イ ア ン ス か ら 情報を取 り 出す こ と がで き ます。
●
SNMP Traps - アプ ラ イ ア ン スはシ ス テ ム イ ベン ト やセキ ュ リ テ ィ イ ベン ト な ど のア ラ ー ト
(SNMP) を SNMP 管理アプ リ ケーシ ョ ンに送信す る こ と がで き ます。 大量のア ラ ー ト ト ラ
フ ィ ッ ク があ る 環境では、 ISS はア ラ ー ト のための望ま し い方法 と し て SNMP ト ラ ッ プ を推奨
し てい ます。
ISS に よ っ て割 り 当て ら れた イ ベン ト を SNMP ト ラ ッ プ メ ッ セージ中に表示す る には :
1. ブ ラ ウ ザを開 き 、 次の ISS のダ ウ ン ロ ー ド ページに移動 し ます。
http://www.iss.net/download/
2. iss.mib フ ァ イ ルを ダ ウ ン ロ ー ド し ます。
ISS MIB フ ァ イ アルは ISS SNMP ト ラ ッ プの形式を定義 し ます。 管理アプ リ ケーシ ョ ン と こ の
フ ァ イ ルは連携 し て、 SNMP ト ラ ッ プに含まれ る 数値のオブジ ェ ク ト 識別子 (OID) を変換 し ま
す。
3. iss.mib フ ァ イ ルを Hewlett-Packard OpenView な ど の SNMP 管理アプ リ ケーシ ョ ンに イ ン ポー ト
ま たは コ ンパ イ ル し ます。
参照 : 詳細については、 SNMP 管理アプ リ ケーシ ョ ンのマニ ュ アルを参照 し て く だ さ い。
手順
SNMP Get お よ び SNMP ト ラ ッ プを設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Services] の順に選択 し ます。
2. [SNMP] タ ブを選択 し て次の操作を行い、 変更内容を保存 し ます。
機能
説明
Get
[SNMP Get Enabled] を選択 し 、 次のフ ィ ール ド を入力 し ます。
Trap
•
System Name
•
System Location
•
Contact Information
•
Get Community ( コ ミ ュ ニ テ ィ 名 )
1. [SNMP Traps Enabled] を選択 し 、 次のフ ィ ール ド を入力 し ます。
• Trap Receiver (SNMP Manager サーバーの IP ア ド レ ス )
• Trap Community(public または private コ ミ ュ ニ テ ィ 名 )
2. [Trap Version] の一覧か ら、 ト ラ ッ プのバージ ョ ン を選択 し ます。
86
第8章
ネ ッ ト ワーク オブジ ェ ク ト の定義
概要
は じ めに
フ ァ イ ア ウ ォール ポ リ シーを設定する 前に、 フ ァ イ ア ウ ォールを通過する 必要のあ る ネ ッ ト ワ ー
ク オブジ ェ ク ト ( デバ イ ス、 サービ ス、 アプ リ ケーシ ョ ン な ど ) と 、 フ ァ イ ア ウ ォールを通過す る
必要のないネ ッ ト ワ ー ク オブジ ェ ク ト を定義する 必要があ り ます。 使用 さ れ る ポー ト やプ ロ ト コ ル
だけでな く 、 こ れ ら のオブジ ェ ク ト に関連す る IP ア ド レ スやネ ッ ト ワ ー ク も 定義す る 必要があ り
ます。 こ の情報を入手 し た ら 、 中央に情報を取得 し て分類す る ために、 フ ァ イ ア ウ ォール上で ネ ッ
ト ワー ク オブジ ェ ク ト に名前を付けて定義する 必要があ り ます。 こ の章では、 ネ ッ ト ワ ー ク オブ
ジ ェ ク ト について と 、 フ ァ イ ア ウ ォールでの こ れ ら の定義方法について説明 し ます。
利点
ネ ッ ト ワ ー ク オブジ ェ ク ト を定義する 作業は、 ネ ッ ト ワ ー ク の大き さ や複雑 さ に よ っ て手間 と 時
間がかか る 場合があ り ますが、 フ ァ イ ア ウ ォール ポ リ シーの設定 と 変更の準備がで き ていれば、
ネ ッ ト ワ ー ク オブジ ェ ク ト はい く つかの効果を発揮 し ます。
●
ネ ッ ト ワ ー ク 情報に意味のあ る 名前を付け る こ と がで き ます。
●
複数の フ ァ イ ア ウ ォール ポ リ シーのネ ッ ト ワ ー ク オブジ ェ ク ト を再利用 し た り 、 参照 し た り
す る こ と がで き ます。
●
中央にあ る ネ ッ ト ワ ー ク オブジ ェ ク ト の情報を更新 し 、 変更内容 と そのオブジ ェ ク ト を参照
す る すべてのポ リ シーを シ ス テ ム全体に配布す る こ と がで き ます。
●
複数の フ ァ イ ア ウ ォール ポ リ シーの情報を、 ポ リ シーを個別に編集せずに同時に更新する こ
と がで き ます。
●
個別の IP ア ド レ スやポー ト 番号を入力せずに名前の付いたネ ッ ト ワ ー ク オブジ ェ ク ト を入力
し て フ ァ イ ア ウ ォール ポ リ シーを設定する こ と で、 時間を節約する こ と がで き ます。
ユーザー定義 と シス テム 一部のネ ッ ト ワ ー ク オブジ ェ ク ト はユーザー定義で、 その他はシ ス テ ム定義です。
定義
●
User-defined - こ れ ら のオブジ ェ ク ト は、 名前を付けて定義 し たア ド レ ス名 と ポー ト 名を含み
ます。 こ れ ら のオブジ ェ ク ト の情報は動的に更新 さ れません。 た と えば、 フ ァ イ ル サーバーの
IP ア ド レ ス を示す File_Server と い う ネ ッ ト ワー ク オブジ ェ ク ト を作成 し 、 その フ ァ イ ル サー
バーの IP ア ド レ ス を後か ら 変更す る 場合は、 新 し い IP ア ド レ ス を使っ てネ ッ ト ワー ク オブ
ジ ェ ク ト を手動で更新す る 必要があ り ます。
●
System-defined - こ れ ら のオブジ ェ ク ト には、 ビル ト イ ン動的ア ド レ ス が含まれます。 こ れ ら
のオブジ ェ ク ト は、 アプ ラ イ ア ン ス イ ン タ ーフ ェ ース の IP ア ド レ ス な ど の フ ァ イ ア ウ ォール
ポ リ シーで使用 さ れ る 、 最 も 一般的に参照 さ れ る 情報を取得 し ます。 こ れ ら のオブジ ェ ク ト の
情報は動的に更新 さ れます。 た と えば、 内部 イ ン タ ーフ ェ ース の IP ア ド レ ス を変更す る と 、
こ の イ ン タ ーフ ェ ース を示すビル ト イ ン動的ア ド レ ス が動的に新 し い IP ア ド レ ス に更新 さ れ
ます。
Proventia® Network Multi-Function Security Appliance User Guide
87
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
88
ページ
ネ ッ ト ワー ク オブ ジ ェ ク ト の定義 と 操作
89
動的ア ド レ スの定義
92
SiteProtector での動的ア ド レ ス名の操作
94
ビル ト イ ン動的ア ド レ スの操作
97
ネ ッ ト ワー ク オブ ジ ェ ク ト の定義 と 操作
ネ ッ ト ワー ク オブ ジ ェ ク ト の定義 と 操作
は じ めに
こ の ト ピ ッ ク では、 ネ ッ ト ワ ー ク オブジ ェ ク ト の定義 と 操作の方法について説明 し ます。
命名要件
ネ ッ ト ワ ー ク オブジ ェ ク ト を作成する 場合は、 次の命名要件に従い ます。
種類
●
名前には空白スペース を含めないで く だ さ い。
●
名前は 16 文字を超え ない よ う に し て く だ さ い。
●
保存後に名前を編集す る と 、 別のネ ッ ト ワ ー ク オブジ ェ ク ト ま たはポ リ シーに対する リ ン ク
が解除 さ れます。 新 し い名前を使っ て接続を確立 し 直 し て く だ さ い。
次の表は、 作成で き る ユーザー定義のネ ッ ト ワ ー ク オブジ ェ ク ト の種類について説明 し ます。
ネ ッ ト ワー ク オブ
ジェク ト
説明
Address names
IP ア ド レ スに意味のある名前を付ける場合は、 こ の種類を使用 し ます。 こ
の名前は次の IP 情報を表 し ます。
Address groups
Port names
Port groups
•
1 つの IP ア ド レ ス
•
IP ア ド レ スの範囲
•
1 つの IP ア ド レ ス と CIDR マス ク
•
IP ア ド レ スの範囲
•
1 つのア ド レ ス リ ス ト には、 1 つ以上の IP ア ド レ ス範囲を含める こ と
がで き ます。
IP ア ド レ ス を さ ら にグループ化、 命名、 および管理する場合は、 こ の種
類を使用 し ます。 こ のグループは次の情報を表 し ます。
•
複数のア ド レ ス名
•
他のア ド レ ス グループ
ポー ト 情報に意味のある名前を付ける場合は、 この種類を使用 し ます。 こ
の名前は次のポー ト 情報を表 し ます。
•
1 つのポー ト
•
1 つ以上のポー ト 範囲
ポー ト 情報を さ ら にグループ化、 命名、 および管理する場合は、 この種類
を使用 し ます。 こ のグループは次の情報を表 し ます。
•
複数のポー ト 名
•
他のポー ト グループ
表 19: ネ ッ ト ワー ク オブジ ェ ク ト の説明
ネ ッ ト ワー ク オブ ジ ェ
ク ト の定義
ネ ッ ト ワ ー ク オブジ ェ ク ト を定義する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Objects] → [Network Objects] の順に選択 し
ます。
2. 次のいずれかの タ ブを選択 し ます。
■
Address Groups
■
Address Name
■
Port Groups
■
Port Name
Proventia® Network Multi-Function Security Appliance User Guide
89
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ア ド レ ス名を追加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 次のよ う に入力 し ます。
• [Name] に IP ア ド レ スの名前
• [Comment] に コ メ ン ト
2. [Addresses] セ ク シ ョ ンの [Add] ア イ コ ン を ク リ ッ ク し 、 次
のよ う に IP ア ド レ ス を名前に関連付けます。
• [Any] を選択 し ます。
• [Single IP Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
• [Address Range] を選択 し 、 範囲内の先頭 と 末尾の IP ア
ド レ ス を入力 し ます。
• [Network Address / #NetworkBits (CIDR)] を選択 し 、
「128.8.27.18 / 16」 のよ う に IP ア ド レ ス と マス ク を入力 し
ます。
• [IP Address List] を選択 し 、 1 つのア ド レ ス リ ス ト を選択
し ます。
ア ド レ ス グループ を定
義する
1. [Add] ア イ コ ン を ク リ ッ ク し 、 次のよ う に入力 し ます。
• [Name] に IP ア ド レ スのグループの名前
• [Comment] に コ メ ン ト
2. [Add] ア イ コ ン を ク リ ッ ク し 、 次のよ う に他の名前 と グルー
プ を このグループに関連付けます。
• [Address Name] を選択 し 、 1 つのア ド レ ス リ ス ト を選択
し ます。
• [Address Group] を選択 し 、 1 つのア ド レ ス リ ス ト を選択
し ます。
3. [OK] を ク リ ッ ク し て [Add Addresses] ウ ィ ン ド ウを閉 じ ま
す。
4. [OK] を ク リ ッ ク し て [Add Address Groups] ウ ィ ン ド ウを閉
じ ます。
ポー ト 名を定義する
1. [Add] ア イ コ ン を ク リ ッ ク し 、 次のよ う に入力 し ます。
• [Name ] にポー ト の名前
• [Comment] に コ メ ン ト
2. [Port] セ ク シ ョ ンの [Add] ア イ コ ン を ク リ ッ ク し 、 ポー ト で
使用 さ れる プ ロ ト コルを選択 し ます。
• TCP
• UDP
3. [Ports] セ ク シ ョ ン で、 次のいずれかを行います。
• [Single Port] を選択 し 、 ポー ト 番号を入力 し ます。
• [Port Range] を選択 し 、 リ ス ト か ら エ ン ト リ を選択 し ま
す。
4. [OK] を ク リ ッ ク し て [Add Ports] ウ ィ ン ド ウ を閉 じ ます。
5. [OK] を ク リ ッ ク し て [Add Port Groups] ウ ィ ン ド ウを閉 じ ま
す。
90
ネ ッ ト ワー ク オブ ジ ェ ク ト の定義 と 操作
操作
ポー ト グループ を定義
する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 次のよ う に入力 し ます。
• [Name] にポー ト のグループの名前
• [Comment] に コ メ ン ト
2. [Port] セ ク シ ョ ンの [Add] ア イ コ ン を ク リ ッ ク し 、 次のいず
れかを行います。
• [Port Name] を選択 し 、 リ ス ト か ら エ ン ト リ を選択 し ま
す。
• [Port Group] を選択 し 、 リ ス ト から エ ン ト リ を選択 し ま
す。
3. [OK] を ク リ ッ ク し て [Add Ports] ウ ィ ン ド ウ を閉 じ ます。
4. [OK] を ク リ ッ ク し て [Add Port Groups] ウ ィ ン ド ウを閉 じ ま
す。
ネ ッ ト ワー ク オブ ジ ェ
ク ト の操作
ネ ッ ト ワ ー ク オブジ ェ ク ト を編集、 コ ピー、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Objects] → [Network Objects] の順に選択 し
ます。
2. 次のいずれかの タ ブを選択 し ます。
■
Address Groups
■
Address Names
■
Port Groups
■
Port Names
■
Dynamic Address Names
注記 : こ こ では、 名前のみを編集す る こ と がで き ます。 名前に関連付けたア ド レ ス を編集す る
には、 [Configuration] → [Objects] → [Dynamic Addresses] の順に移動 し てエン ト リ を選択 し 、
[Edit] ア イ コ ン を ク リ ッ ク し ます。 ア ド レ ス に関連付けた名前を変更す る には、 下向 き 矢印を
矢印
ク リ ッ ク し 、 リ ス ト か ら ユーザーが定義 し た名前を選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
ネ ッ ト ワー ク オブ ジ ェ
ク ト を編集する
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
ネ ッ ト ワー ク オブ ジ ェ
ク ト を コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. この項目を編集 し 、 [OK] を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン (
ネ ッ ト ワー ク オブ ジ ェ
ク ト を削除する
) をクリ ッ クしま
) を ク リ ッ ク し ます。
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
91
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
動的ア ド レ スの定義
は じ めに
こ の ト ピ ッ ク では、 動的ア ド レ ス の設定 と 操作について説明 し ます。
説明 : 動的ア ド レ ス名
動的ア ド レ ス名は、 動的ア ド レ ス を含むネ ッ ト ワ ー ク オブジ ェ ク ト です。 動的ア ド レ ス名を作成す
る と 、 ネ ッ ト ワ ー ク オブジ ェ ク ト は配置中のすべてのアプ ラ イ ア ン ス で使用で き る よ う にな り ま
す。 し か し 、 ネ ッ ト ワ ー ク オブジ ェ ク ト にそれぞれのアプ ラ イ ア ン ス の情報を関連付け る 必要があ
り ます。 動的ア ド レ ス名の内容はアプ ラ イ ア ン ス固有です。 つま り 、 オブジ ェ ク ト の内容はアプ ラ
イ ア ン ス に よ っ て異な り ます。 ただ し 、 ネ ッ ト ワ ー ク オブジ ェ ク ト の名前は同 じ ま ま です。
た と えば、 「Internal Interfaces」 と い う 動的ア ド レ ス名を作成 し ます。 A、 B、 お よ び C の 3 つのア
プ ラ イ ア ン ス が配置 さ れてい ます。 「Internal Interfaces」 と い う ネ ッ ト ワ ー ク オブジ ェ ク ト は、 こ
の配置の 3 つのアプ ラ イ ア ン スすべてで使用で き ますが、 それぞれのアプ ラ イ ア ン ス に情報を関連
付け る ま で、 オブジ ェ ク ト は空の ま ま です。 動的ア ド レ ス名の情報は、 3 つのアプ ラ イ ア ン スすべ
てで異な り ますが、 オブジ ェ ク ト の名前は変わ ら ず 「Internal Interfaces」 の ま ま です。
ユーザー定義の動的ア ド
レ ス名の追加
ユーザー定義の動的ア ド レ ス名を追加す る には :
注記 : こ の手順では、 名前のみを設定 し ます。 次の手順で IP ア ド レ ス を名前に関連付け ます。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Objects] → [Network Objects] の順に選択 し
ます。
2. [Dynamic Addresses] タ ブを選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 次の フ ィ ール ド を入力 し ます。
IP ア ド レ ス と 動的ア ド
レ ス名の関連付け
■
Name
■
Comment
IP ア ド レ ス をユーザー定義の動的ア ド レ ス名 と 関連付け る には :
注記 : IP ア ド レ ス を シ ス テ ム定義の動的ア ド レ ス名に関連付け る こ と はで き ません。 こ れ ら の関連
付けは自動的に設定 さ れます。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Objects] → [Dynamic Addresses] の順に選択
し ます。
2. [Add] ア イ コ ン を ク リ ッ ク し 、 ユーザー定義の動的ア ド レ ス名を選択 し ます。
3. 説明を入力 し 、 次のいずれかを行い、 変更内容を保存 し ます。
92
オプ シ ョ ン
説明
Any
すべての IP ア ド レ ス と 名前を関連付ける場合はこ のオプ シ ョ ン
を選択 し 、 [OK] を ク リ ッ ク し ます。
Single IP Address
1 つの IP ア ド レ ス を名前に関連付ける場合は このオプ シ ョ ン を
選択 し 、 IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ます。
Address Range
IP ア ド レ スの範囲を名前に関連付ける場合はこ のオプ シ ョ ン を
選択 し 、 最初 と 最後の IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し
ます。
Network Address /
#NetworkBits (CIDR)
1 つの IP ア ド レ ス と サブ ネ ッ ト を名前に関連付ける場合は この
オプ シ ョ ン を選択 し 、 ア ド レ ス を 「128.8.27.18 /16」 のよ う な
CIDR 形式で入力 し 、 [OK] を ク リ ッ ク し ます。
動的ア ド レ スの定義
オプ シ ョ ン
説明
IP Address List
名前の付いた IP ア ド レ ス リ ス ト を名前に関連付ける場合は この
オプ シ ョ ン を選択 し 、 名前の付いた リ ス ト を入力 し 、 [OK] を ク
リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
93
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
SiteProtector での動的ア ド レ ス名の操作
は じ めに
例
1 つのグループ内のすべての リ モー ト アプ ラ イ ア ン ス が、 SiteProtector Console か ら 共通の動的ア ド
レ ス名を共有す る 場合は、 SiteProtector でグループ ポ リ シーを管理す る 方が容易です。 SiteProtector
Console か ら リ モー ト アプ ラ イ ア ン ス を管理す る SiteProtector 管理者で、 リ モー ト か ら 動的ア ド レ
ス名を管理す る 場合は、 次の こ と が可能です。
●
グループ内の各 リ モー ト アプ ラ イ ア ン ス に共通の動的ア ド レ ス名を与え る こ と がで き ます。
●
グループ内の各アプ ラ イ ア ン スは、 SiteProtector か ら アプ ラ イ ア ン ス上の固有のポ リ シー設定
に動的ア ド レ ス名を解決 し ます。
●
グループのポ リ シーを容易に管理す る こ と がで き ます。
あ なたは SiteProtector 管理者です。 「Remote」 と い う 名前の SiteProtector グループを作成 し ま し た。
Remote グループに 3 つのアプ ラ イ ア ン ス を追加 し ます。 こ のグループは、 A、 B、 お よ び C と い う
名前の 3 つのアプ ラ イ ア ン ス を含んでい ます。 各アプ ラ イ ア ン スは会社の リ モー ト サ イ ト にあ り ま
す。
こ のグループ内の各アプ ラ イ ア ン スは、 社内の人事部用の内部サブネ ッ ト を持っ てい ます。 それぞ
れの リ モー ト 管理者は、 人事部サブネ ッ ト 用の名前付 き のア ド レ ス リ ス ト を作成 し 、 こ れに異な
る 動的ア ド レ ス名を関連付け ま し た。 次の表では、 こ の関係について説明 し ます。
アプラ イア
ンス
A
動的ア ド レ ス名
動的ア ド レ ス名に関連付けた名前付きのア ド レ
ス リスト
HR_addressname
リ ス ト の名前 : HR_Net
この リ ス ト のア ド レ ス :
192.168.0.1—192.168.0.50
B
Human_Res_AddressName
リ ス ト の名前 : HumanRes
この リ ス ト のア ド レ ス :
192.168.0.51—192.168.0.100
C
HumanResource_AddressName
リ ス ト の名前 : HR
この リ ス ト のア ド レ ス :
192.168.0.101—192.168.0.150
リ モー ト サ イ ト の 1 つは、 HR 社員が イ ン タ ーネ ッ ト にア ク セ スす る こ と を許可 し てい ません。 次
の表では、 各アプ ラ イ ア ン ス のサブネ ッ ト と 、 イ ン タ ーネ ッ ト で使用す る その フ ァ イ ア ウ ォール
ポ リ シーについて説明 し ます。
アプラ イア
ンス
フ ァ イ アウ ォ ール ア ク セス ポ リ シー (HR サブネ ッ ト のイ ン タ ーネ ッ ト ア ク セ
ス)
A
許可 - プ ロ ト コ ル = HTTP - 発信元 = ア プ ラ イ ア ン ス - 宛先 = HR サブネ ッ ト
B
禁止 - プ ロ ト コ ル = HTTP - 発信元 = ア プ ラ イ ア ン ス - 宛先 = HR サブネ ッ ト
C
許可 - プ ロ ト コ ル = HTTP - 発信元 = ア プ ラ イ ア ン ス - 宛先 = HR サブネ ッ ト
Romote グループの 3 つのすべてのアプ ラ イ ア ン ス に、 名前付き のア ド レ ス リ ス ト を同 じ 動的ア ド
レ ス名に関連付け さ せ る と 、 こ れ ら のサブネ ッ ト のグループ ポ リ シーに容易に変更を行 う こ と が
で き ます。
新 し い動的ア ド レ ス名 「HumanResources_AddressName」 を作成 し ます。 こ の新 し いネ ッ ト ワー ク
オブジ ェ ク ト は、 グループの全ネ ッ ト ワ ー ク オブジ ェ ク ト ポ リ シーの一部です。 各アプ ラ イ ア ン
94
SiteProtector での動的ア ド レ ス名の操作
スは次に Agent Manager にハー ト ビー ト を送信す る と 、 グループ ポ リ シーの一部 と し て新 し いネ ッ
ト ワ ー ク オブジ ェ ク ト ポ リ シーを受け取 り ます。 リ モー ト の管理者は、 こ こ で、 新 し い
HumanResources_AddressName ネ ッ ト ワ ー ク オブジ ェ ク ト にアプ ラ イ ア ン ス上の HR サブネ ッ ト
フ ァ イ ア ウ ォール ポ リ シーを関連付け る こ と がで き る よ う にな り ます。 こ こ で、 各アプ ラ イ ア ン ス
は名前の付いた ア ド レ ス リ ス ト を同 じ 動的ア ド レ ス名に関連付け ます。 次の表では、 こ の関係につ
いて説明 し ます。
アプラ イア
ンス
A
動的ア ド レ ス名
動的ア ド レ ス名に関連付けた名前付きのア ド レ
ス リスト
HumanResources_AddressName
リ ス ト の名前 : HR_Net
この リ ス ト のア ド レ ス :
192.168.0.1—192.168.5.50
B
HumanResources_AddressName
リ ス ト の名前 : HumanRes
この リ ス ト のア ド レ ス :
192.168.0.51—192.168.0.100
C
HumanResources_AddressName
リ ス ト の名前 : HR
この リ ス ト のア ド レ ス :
192.168.0.101—192.168.0.150
次に、 人事部のすべての部署に イ ン タ ーネ ッ ト へのア ク セ ス権を与え る こ と を決定 し ま し た。 グ
ループ ア ク セ ス ポ リ シーに こ の変更を行い、 こ れを 「HumanResources_AddressName 」 ネ ッ ト ワ ー
ク オブジ ェ ク ト に関連付け ます。 アプ ラ イ ア ン ス B が Agent Manager にハー ト ビー ト を送信する
と 、 アプ ラ イ ア ン スはア ク セ ス ポ リ シーの変更を受け取 り ます。 アプ ラ イ ア ン ス B を使用す る リ
モー ト サ イ ト の人事部サブネ ッ ト は、 イ ン タ ーネ ッ ト ア ク セ ス権を持つ よ う にな り ま し た。
プ ロ セス
次の表は、 SiteProtector 管理者がグループ内の各アプ ラ イ ア ン ス に共通の動的ア ド レ ス を指定す る
方法について説明 し ます。
段階
1
説明
リ モー ト の管理者は、 SiteProtector の [Management] ページ で SiteProtector によ る管
理設定を行います。
[Local Settings Override SiteProtector Group Settings] チ ェ ッ ク ボ ッ ク スがオ ンにな っ
ている こ と を確認 し ます。
2
ア プ ラ イ ア ン スが SiteProtector Agent Manager に最初にハー ト ビー ト を送信する と 、
ア プ ラ イ ア ン スは指定 さ れたグループの一部 と し て Agent Manager に登録 さ れます。
Agent Manager はア プ ラ イ ア ン ス ポ リ シーをすべて保存 し ます。
3
SiteProtector Console で、 SiteProtector 管理者は SiteProtector ネ ッ ト ワー ク オブ ジ ェ
ク ト がグループ ポ リ シーにな る よ う に指定 し ます。 つま り 、 グループ内の各ア プ ラ イ ア
ン スが このポ リ シーを共有 し ます。
注記 : ネ ッ ト ワー ク オブ ジ ェ ク ト ポ リ シーは、 動的ア ド レ ス名を含む、 すべてのネ ッ
ト ワー ク オブ ジ ェ ク ト を指定 し ます。
4
ア プ ラ イ ア ン スは次に Agent Manager にハー ト ビー ト を送信する と 、 Agent Manager
が SiteProtector グループ ポ リ シーを ア プ ラ イ ア ン スに適用 し ます。 こ のグループ ポ リ
シーは、 新 し い動的ア ド レ ス名のネ ッ ト ワー ク オブ ジ ェ ク ト を含んでいます。
5
SiteProtector Console で、 リ モー ト 管理者は SiteProtector から ア プ ラ イ ア ン ス を登録
解除 し ます。
表 20: SiteProtector で動的ア ド レ ス名を使用する プ ロ セス
Proventia® Network Multi-Function Security Appliance User Guide
95
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
段階
説明
6
Proventia Manager で、 リ モー ト 管理者はア プ ラ イ ア ン ス上の固有のポ リ シーに
SiteProtector から の新 し い動的ア ド レ ス名を関連付けます。
7
SiteProtector の [Management] ページ で、 リ モー ト 管理者はア プ ラ イ ア ン ス を
SiteProtector に再登録 し ます。 ア プ ラ イ ア ン スは Agent Manager にア ッ プデー ト さ れた
ポ リ シーを送信 し ます。
8
SiteProtector 管理者は こ こ で、 共通の動的ア ド レ ス名を使用 し てグループ ポ リ シーの
変更を行います。
表 20: SiteProtector で動的ア ド レ ス名を使用する プ ロ セス
96
ビル ト イ ン動的ア ド レ スの操作
ビル ト イ ン動的ア ド レ スの操作
は じ めに
アプ ラ イ ア ン スはビル ト イ ンの一連の動的ア ド レ ス を備え てお り 、 自動的に設定を行い ます。 こ の
ト ピ ッ ク では、 動的ア ド レ ス と こ の利点について説明 し ます。
注記 : Proventia Manager で使用で き る の と 同 じ ビル ト イ ン動的ア ド レ スは、 SiteProtector Console で
も 使用で き ます。
説明
ビル ト イ ン動的ア ド レ ス名は、 アプ ラ イ ア ン ス が自動的に設定を行 う 動的ア ド レ ス です。 ビル ト イ
ン動的ア ド レ ス名は読み取 り 専用 なので、 編集 し た り シ ス テ ムか ら 削除 し た り す る こ と はで き ませ
ん。 ア ク セ ス ポ リ シー と フ ァ イ ア ウ ォール ポ リ シーを設定ま たは変更する 場合のみ、 ビル ト イ ン
動的ア ド レ ス リ ス ト にア ク セ スする こ と がで き ます。
ビル ト イ ン動的ア ド レ スは、 内部お よ び外部 イ ン タ ーフ ェ ース の IP ア ド レ ス な ど、 フ ァ イ ア
ウ ォール ポ リ シーで最 も 一般的に使用 さ れ る 情報を取得 し ます。
利点
ビル ト イ ン動的ア ド レ ス には、 次の よ う な利点があ り ます。
●
ネ ッ ト ワ ー ク 設定の変更にかかわ ら ず、 有効なアプ ラ イ ア ン ス ア ク セ ス ポ リ シー と フ ァ イ ア
ウ ォール ポ リ シーを維持する 方法
例
ネ ッ ト ワ ー ク 設定を手動で変更 し 、 こ れに対応す る 変更を アプ ラ イ ア ン ス ア ク セ ス ポ リ シー
やフ ァ イ ア ウ ォール ポ リ シーで行わなかっ たため、 アプ ラ イ ア ン ス か ら ロ ッ ク ア ウ ト さ れま
し た。 ポ リ シー中の ビル ト イ ン動的ア ド レ ス を参照す る と 、 こ の問題の回避に役立つ場合があ
り ます。
●
背景
SiteProtector Console で複数のアプ ラ イ ア ン ス を管理す る ための向上 し た機能
アプ ラ イ ア ン ス には、 ネ ッ ト ワ ー ク に出入 り す る ト ラ フ ィ ッ ク の流れを制御す る 多 く のセキ ュ リ
テ ィ ポ リ シーを搭載する こ と がで き ます。 こ れ ら の個々のポ リ シーは、 IP ア ド レ スやポー ト な ど
のい く つかの同 じ 情報を参照す る 場合があ り ます。 多 く の個々のセキ ュ リ テ ィ ポ リ シーに同 じ IP
ア ド レ ス を入力す る 作業は、 非常に面倒で間違いの元にな り ます。 1 つの IP ア ド レ ス を変更す る と
何が起 こ る かを考え てみて く だ さ い。 多 く の異な る ポ リ シーの情報を手動でア ッ プデー ト す る 必要
があ る 場合があ り ます。 動的ア ド レ スは こ の問題に 1 つの解決策を提供 し ます。
それぞれのセキ ュ リ テ ィ ポ リ シーの情報を手動で設定する よ り も 、 動的ア ド レ ス を参照する よ う
にセキ ュ リ テ ィ ポ リ シーを設定 し ます。 アプ ラ イ ア ン ス が自動で設定す る ビル ト イ ン動的ア ド レ
ス、 ま たはユーザーが作成す る ユーザー定義の動的ア ド レ ス を使用す る こ と がで き ます。
適切な情報で動的ア ド レ ス を設定す る こ と は、 1 回限 り の設定作業です。 こ れ以降は、 動的ア ド レ
ス を参照す る 各ポ リ シーが常に正 し い IP ア ド レ ス で設定 さ れます。 何 ら かの理由で こ の IP ア ド レ
ス を変更す る 必要があ る 場合は、 いっ たん動的ア ド レ ス に変更 し ます。 動的ア ド レ ス を参照す る す
べてのポ リ シーが自動的に新 し い情報に更新 さ れます。 こ のアプ ロ ーチは、 セキ ュ リ テ ィ ポ リ シー
で使用 さ れ る 情報の管理お よ びア ッ プデー ト に費や さ れ る 時間を大幅に削減す る こ と がで き ます。
ルーテ ィ ング モー ド の
デ フ ォル ト ア ド レ ス
次の表では、 ルーテ ィ ン グ モー ド のビル ト イ ン動的ア ド レ ス について説明 し ます。
名前a
意味
ポー
ト
SysEth0Ip
内部イ ン タ ー フ ェ ー
ス
eth 0 IP ア ド レ ス
172.10.15.20
SysEth0Net
内部ネ ッ ト ワー ク
eth 0 IP ア ド レ ス / サブ
ネッ ト
172.10.15.0/255.255.255.0
形式
例
表 21: ルーテ ィ ン グ モー ド のビル ト イ ン動的ア ド レ ス
Proventia® Network Multi-Function Security Appliance User Guide
97
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
名前a
意味
ポー
ト
SysEth0Cidr
内部ネ ッ ト ワー ク
eth 0 CIDR
172.10.15.0/24
SysEth0Range
内部ネ ッ ト ワー ク
eth 0 IP ア ド レ ス範囲
172.10.15.0 —
172.10.15.255
SysEth1Ipb
外部イ ン タ ー フ ェ ー
ス
eth 1 IP ア ド レ ス
172.10.15.20
SysEth1Net
外部ネ ッ ト ワー ク
eth 1 IP ア ド レ ス / サブ
ネッ ト
172.10.15.0/255.255.255.0
SysEth1Cidr
外部ネ ッ ト ワー ク
eth 1 CIDR
172.10.15.0/24
SysEth1Range
外部ネ ッ ト ワー ク
eth 1 IP ア ド レ ス範囲
172.10.15.0 —
172.10.15.255
SysEthxIpc
内部ネ ッ ト ワー ク
IP ア ド レ ス
eth x IP ア ド レ ス
172.10.15.20
SysEthxNet
内部ネ ッ ト ワー ク
IP ア ド レ ス
eth x IP ア ド レ ス / サブ
ネッ ト
172.10.15.0/255.255.255.0
SysEthxCidr
内部ネ ッ ト ワー ク
IP ア ド レ ス
eth x CIDR
172.10.15.0/24
SysEthxRange
内部ネ ッ ト ワー ク
IP ア ド レ ス
eth x IP ア ド レ ス範囲
172.10.15.0 —
172.10.15.255
形式
例
表 21: ルーテ ィ ン グ モー ド のビル ト イ ン動的ア ド レ ス ( 続き )
a.
こ の一覧中のい く つかの名前には、 イ ン タ ーフ ェ ース 番号を示す x が付いてい ま す。 イ ン タ ーフ ェ ース の
数は、 アプ ラ イ ア ン ス モデルに よ っ て異な り ます。 ビ ル ト イ ン動的ア ド レ ス は、 アプ ラ イ ア ン ス 上の各 イ
ン タ ーフ ェ ー ス に含 ま れてい ま す。
b. こ のオブジ ェ ク ト を ポ リ シーで使用す る 方法には、 次の 2 つの制約が適用 さ れ ま す。
• eth1 の IP ア ド レ ス は静的、 ま たは イ ン タ ーフ ェ ー ス に永久に リ ー ス さ れた も のであ る 必要があ り ま す。
eth1 の IP ア ド レ ス が動的に変わ る 場合は、 こ のオブジ ェ ク ト を ポ リ シーで使用 し ないで く だ さ い。 IP
ア ド レ ス が変わ る と 、 シ ス テ ムは SysEth1Ip の情報を新 し い IP ア ド レ ス に自動的にア ッ プデー ト し ま
せん。 さ ら に、 SysEth1Ip を参照す る ポ リ シー も ア ッ プデー ト し ないため、 アプ ラ イ ア ン ス に予期せ
ぬポ リ シーが適用 さ れ る 可能性があ り ま す。
• こ の ビル ト イ ン動的ア ド レ ス は ト ラ ン ジ ッ ト ポ リ シーでのみ使用可能です。 ト ラ ン ジ ッ ト ポ リ シーは
アプ ラ イ ア ン ス を通過す る ト ラ フ ィ ッ ク に適用 さ れ ます。
c. こ の ビル ト イ ン動的ア ド レ ス は ト ラ ン ジ ッ ト ポ リ シーでのみ使用可能です。 ト ラ ン ジ ッ ト ポ リ シーはアプ
ラ イ ア ン ス を通過す る ト ラ フ ィ ッ ク に適用 さ れ ます。
98
ビル ト イ ン動的ア ド レ スの操作
ト ラ ン スペア レ ン ト
モー ド のデ フ ォル ト ア
ド レス
次の表では、 ト ラ ン スペア レ ン ト モー ド のビル ト イ ン動的ア ド レ ス について説明 し ます。
名前
意味
例
SysTransmgmtIp
管理 IP ア ド レ ス
10.10.100.2
SysTransmgmtNet
管理 IP ア ド レ ス と サブネ ッ ト マス ク
10.10.100.0/
255.255.255.0
SysTransmgmtCidr
CIDR 形式の管理ネ ッ ト ワー ク
10.10.100.0/24
SysTransmgmtRange
IP 範囲形式の管理ネ ッ ト ワー ク
10.10.100.0—
10.10.100.255
表 22: ト ラ ン スペア レ ン ト モー ド のビル ト イ ン動的ア ド レ ス
ハイ アベ イ ラ ビ リ テ ィ
標準のルーテ ィ ン グ モー ド アプ ラ イ ア ン ス で使用可能な ビル ト イ ン動的ア ド レ ス は、 アプ ラ イ ア
ン ス がハ イ アベ イ ラ ビ リ テ ィ で配置 さ れてい る 場合で も 使用可能です。 大 き な違いは、 ハ イ アベ
イ ラ ビ リ テ ィ におけ る 動的ア ド レ スは、 常に仮想の IP ア ド レ ス ま たはネ ッ ト ワ ー ク を示 し 、 実際
の IP ア ド レ ス ま たはネ ッ ト ワ ー ク を示 さ ない こ と です。
動的ア ド レ スのア ッ プグ
レー ド
前回の リ リ ース では、 アプ ラ イ ア ン スは次の動的ア ド レ ス を備え てい ま し た。
名前a
説明
変換
CORP
内部ネ ッ ト ワー ク (eth0)
を示す
ポ リ シー中の CORP イ ン ス タ ン ス を、 次のいずれ
かの新 し いビル ト イ ン動的ア ド レ スに置き換え る こ
と がで き ます。
CORPTRANS
DMZ
管理 IP ア ド レ ス と サブ
ネ ッ ト ワー ク を示す
eth2 な どのイ ン タ ー
フ ェ ース上のア プ ラ イ ア
ン スに接続 さ れた、 広 く
ア ク セス可能な プ ラ イ
ベー ト ネ ッ ト ワー ク を
示す
•
SysEth0Net
•
SysEth0Cidr
•
SysEth0Range
ポ リ シー中の CORPTRANS イ ン ス タ ン ス を、 次の
いずれかの新 し いビル ト イ ン動的ア ド レ スに置き換
え る こ と がで き ます。
•
SysTransmgmtNet
•
SysTransmgmtCidr
•
SysTransmgmtRange
ポ リ シー中の DMZ イ ン ス タ ン ス を、 いずれかの
ルーテ ィ ング モー ド の内部ネ ッ ト ワー ク 用ビル ト
イ ン動的ア ド レ スに置き換え る こ と がで き ます
表 23: 動的ア ド レ スのア ッ プグレー ド
a.
新規 イ ン ス ト ールでは、 こ れ ら の名前が含ま れてい ま せんが、 ア ッ プグ レー ド に よ っ て こ れ ら の名前がな
く な る こ と はあ り ま せん。 名前は新 し いバージ ョ ン に移行 さ れ ま す。 新 し い ビ ル ト イ ン動的ア ド レ ス 名を
参照す る よ う にポ リ シーを変更す る こ と を推奨 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
99
第 8 章 : ネ ッ ト ワー ク オブ ジ ェ ク ト の定義
100
第9章
システム イベン ト のア ラー ト と ロギング
の有効化
概要
は じ めに
こ の章では、 シ ス テ ム イ ベン ト のア ラ ー ト と ロ ギ ン グの設定方法について説明 し ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
システム イ ベン ト のア ラ ー ト と ロギングの有効化
103
メ ールによ る ア ラ ー ト の設定
102
Proventia® Network Multi-Function Security Appliance User Guide
101
第 9 章 : シ ス テム イ ベ ン ト のア ラ ー ト と ロギン グの有効化
シ ス テム イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し ま
す。 こ の ト ピ ッ ク では、 イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量のア ラ ー ト と ロ グ エン ト リ には、 かな り の保存領域 と 処理能力が必要です。
始める前に
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク メ ッ セージ サービ ス (SNMP ト ラ ッ プ ) を有効にす る 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
SiteProtector を イ ン ス ト ール し て設定 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
シス テム イ ベン ト
手順
次のシ ス テ ム イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にする こ と がで き ます。
●
シ ス テ ム エ ラ ーが発生 し た場合
●
シ ス テ ム警告が発生 し た場合
●
入手可能なア ッ プデー ト に関す る 発表な ど のシ ス テ ム アナ ウ ン ス が発生 し た場合
シ ス テ ム イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Notification] の順に選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. イ ベン ト の種類ご と にア ラ ー ト と ロ ギ ン グのオプシ ョ ン を選択 し 、 変更内容を保存 し ます。
102
操作
手順
イ ベン ト のログ を記録する
[Alert Logging for Event Name] を選択 し ます。
メ ールでア ラ ー ト を受け取る
[Email Enabled] を選択 し ます。
ネ ッ ト ワー ク メ ッ セージ サービ ス
(SNMP ト ラ ッ プ ) で ア ラ ー ト を受け
取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト を送
信する
[SiteProtector Enabled] を選択 し ます。
メ ールに よ る ア ラ ー ト の設定
メ ールによ る ア ラ ー ト の設定
は じ めに
シ ス テ ムが メ ールでア ラ ー ト を送信す る には、 メ ールの送信先や メ ールの内容に関す る シ ス テ ム情
報を入力す る 必要があ り ます。
例
次の表では、 John Doe 宛ての メ ールの設定例 と 、 こ れ ら の設定に基づ く メ ールに よ る ア ラ ー ト の例
を示 し ます。
オプ シ ョ ン
値
結果
Name
Email to John Doe
SMTP
Host
www.mycompany.net
To
[email protected]
IP ア ド レ ス 192.168.134.10 の何者かが、 遮断 さ れた
Web サイ ト へのア ク セス を試みています。 ア プ ラ イ ア ン
スはセキ ュ リ テ ィ イ ベン ト を検出 し 、 John Doe に この
イ ベン ト に関する メ ールを送信 し ます。 次はこ の メ ール
の例です。
Subject
Format
Proventia(R) M series
event: <AlertName>
Body
Format
空白 ( すべてのフ ィ ール
ド を メ ールに含める )
'WFM_URL_Blocked' event detected by
Proventia(R) M series at mycompany.net).
Details:
Alert ID: BCV58PJYUGPXWR6IKVZGEFGIE4
Alert Type: WebFilterAlert
Time: 2005-04-05 17:37:15 UTC
Priority: medium
HA Node: N/A
Message: Requested URL matched a blocked
category
Url: <http://playboy.com/>
Category: Erotic / Sex; General News /
Newspapers / Magazines
Client IP Address: 192.168.134.10
Actions:
DISPLAY=Default:0,EMAIL=Default:0
Event Specific Information:
:src: 192.168.134.10
:cat: action: block
表 24: メ ールによ る ア ラ ー ト の例
メ ールによ る ア ラ ー ト の
設定
メ ールに よ る ア ラ ー ト を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Notification] の順に選択 し ます。
2. [Delivery Setup] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Name
ア ラ ー ト の名前 ( 例 : John Doe 宛てのシ ス テム ア ラ ー ト 設定 )
SMTP Host
メ ール サーバーの IP ア ド レ ス または完全修飾 ド メ イ ン名
To
シ ステムがア ラ ー ト を送信する メ ール ア ド レ ス
Proventia® Network Multi-Function Security Appliance User Guide
103
第 9 章 : シ ス テム イ ベ ン ト のア ラ ー ト と ロギン グの有効化
フ ィ ール ド
説明
Subject Format
シ ステムが メ ールの件名に含める テキス ト ( 例 : システム イ ベン ト の
名前 )
Body Format
シ ステムが メ ールの本文に含める情報 ( 例 : 空白設定にする と 、 イ ベ
ン ト に関するすべての情報が メ ールに含まれます。 )
4. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
メ ールによ る ア ラ ー ト の
操作
メ ールに よ る ア ラ ー ト の設定を編集、 コ ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Notification] の順に選択 し ます。
2. [Delivery Setup] タ ブを選択 し て次のいずれかを行い、 変更内容を保存 し ます。
実行内容
設定を編集する
手順
1. エン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 必要に応 じ てエ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
設定を コ ピーする
1. エン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. [Paste] ア イ コ ン (
) をク リ ックしま
) を ク リ ッ ク し ます。
3. 必要に応 じ てエ ン ト リ を編集 し ます。
設定を削除する
104
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
第 10 章
SiteProtector でのアプ ラ イ アンスの管理
と ア ッ プデー ト
概要
は じ めに
SiteProtector は、 アプ ラ イ ア ン ス を含むすべての ISS 製品を中央か ら 管理する 機能を備えてい ます。
SiteProtector でアプ ラ イ ア ン ス を管理する 前に、 こ の章で説明す る 統合プ ロ セ ス を完了す る 必要が
あ り ます。
可能な作業
SiteProtector Console では、 次の作業を行 う こ と がで き ます。
許可 さ れない作業
こ の章の内容
●
ア ラ ー ト と イ ベン ト を表示す る 。
●
SiteProtector X-Press Update Server を使っ てアプ ラ イ ア ン ス に フ ァ ーム ウ ェ ア ア ッ プデー ト と セ
キ ュ リ テ ィ コ ン テ ン ツ ア ッ プデー ト を ダ ウ ン ロ ー ド し 、 適用す る 。
●
アプ ラ イ ア ン ス グループへの設定 と 適用を同時に行 う 。
●
フ ァ イ ア ウ ォールを含むすべての防御機能を設定 し 、 管理す る 。
●
ア ラ ー ト 、 ネ ッ ト ワ ー ク オブジ ェ ク ト 、 お よ びサービ ス を管理する 。
SiteProtector Console では、 次の作業を行 う こ と がで き ません。
●
SiteProtector に よ る 管理を有効にする 。
●
X-Press Update Server を使っ てデー タ ベース ア ッ プデー ト を ダ ウ ン ロ ー ド ま たは適用す る 。
●
隔離 さ れた フ ァ イ ルを表示 し 、 管理す る 。
●
隔離テーブルの変更内容 と DHCP リ ース を適用す る 。
●
ハ イ アベ イ ラ ビ リ テ ィ を設定する 。
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
SiteProtector の概要
106
SiteProtector へのア プ ラ イ ア ン スの登録
108
Proventia® Network Multi-Function Security Appliance User Guide
105
第 10 章 : SiteProtector でのア プ ラ イ ア ン スの管理 と ア ッ プデー ト
SiteProtector の概要
は じ めに
SiteProtector は、 アプ ラ イ ア ン ス を含む Internet Security Systems (ISS) 製品全体に コ マ ン ド 、 制御、
お よ び監視機能を提供す る 集中管理シ ス テ ムです。
アーキテ ク チ ャ
SiteProtector シ ス テ ムは、 次か ら 構成 さ れます。
ア プ ラ イ ア ン ス と 連携す
る コ ンポーネ ン ト
●
コ ン ポーネ ン ト - SiteProtector コ ン ポーネ ン ト は、 コ アの SiteProtector 機能を備え、 固有のチ ャ
ネルを使用 し て コ ン ポーネ ン ト ど う し の相互通信やアプ ラ イ ア ン ス な ど の他の ISS 製品 と の通
信を行い ます。 コ ン ポーネ ン ト と ポー ト の全一覧については、 「SiteProtector Installation Guide」
を参照 し て く だ さ い。
●
追加モジ ュ ール - こ れ ら は追加の SiteProtector 機能を備え てい ます。
●
エージ ェ ン ト - エージ ェ ン ト は SiteProtector と 連携 し てセキ ュ リ テ ィ イ ベン ト の検出 と 防御を
行 う ISS 製品です。 アプ ラ イ ア ン ス は SiteProtector Console の 1 つのエージ ェ ン ト と 見な さ れ
ます。
SiteProtector は、 それぞれが SiteProtector シ ス テ ム内で非常に固有の機能を持つ、 異な る コ ン ポー
ネ ン ト か ら な り ます。 次の表では、 アプ ラ イ ア ン ス と 連携す る い く つかの SiteProtector コ ン ポーネ
ン ト について説明 し ます。
コ ンポーネ
ント
説明
Agent
Manger
Agent Manager は、 SiteProtector で ア プ ラ イ ア ン ス を設定、 ア ッ プデー ト 、 およ
び管理する機能を備えています。 SiteProtector X-Press Update Server と 呼ばれる
ア プ ラ イ ア ン スの代替のア ッ プデー ト サーバーの管理機能も 備えています。
ア プ ラ イ ア ン スがセキ ュ リ テ ィ デー タ を生成する と 、 Agent Manager は
SiteProtector Console でデー タ を表示するのに必要なデー タ 処理を容易に し ま
す。
ア プ ラ イ ア ン スは、 ハー ト ビー ト 信号を Agent Manager に定期的に送信 し てア ク
テ ィ ブ である こ と を示 し 、 Agent Manager から ポ リ シー と ア ッ プデー ト を受信 し
ます。 ハー ト ビー ト 間隔はユーザーによ っ て定義 さ れます。
Central
Responses
Central Responses は、 SiteProtector シス テムから のア ラ ー ト 、 ログ エ ン ト リ 、
およびレ スポン スです。 た と えば、 セキ ュ リ テ ィ イ ベン ト がア プ ラ イ ア ン スから
SiteProtector システムに入る と 、 SiteProtector は メ ール、 ネ ッ ト ワー ク メ ッ セー
ジ (SNMP ト ラ ッ プ )、 または SiteProtector Console によ っ てア ラ ー ト を送信す
る こ と がで き ます。 分析や監視のために SiteProtector のある中央の場所に イ ベン
ト のログ を記録する こ と も で き ます。 ア プ ラ イ ア ン スのス テー タ スの変更につい
てア ラ ー ト を要求する こ と も で き ます。
表 25: SiteProtector コ ンポーネン ト の説明
106
SiteProtector の概要
コ ンポーネ
ント
説明
Console
コ ン ソ ールは、 次を含むすべての SiteProtector 作業を行 う イ ン タ ー フ ェ ースで
す。
•
ア プ ラ イ ア ン ス を設定 し 、 管理する。
•
セキ ュ リ テ ィ ポ リ シーを作成 し 、 管理する。
•
ア ラ ー ト と ロギング を有効にする。
•
ユーザー と ユーザー権限を設定する
•
ネ ッ ト ワー ク 上のセキ ュ リ テ ィ イ ベン ト と 脆弱点を監視する
•
レポー ト を作成する。
参照 : SiteProtector Console の使用方法については、 www.iss.net または http://
www.isskk.co.jp/ から 入手可能な次のマニ ュ アルを参照 し て く だ さ い。
Site
Database
X-Press
Update
Server
•
SiteProtector User Guide for Security Managers
•
SiteProtector オ ン ラ イ ン ヘルプ
Site Database は、 次の情報を格納 し ます。
•
ISS 製品によ っ て生成 さ れたセキ ュ リ テ ィ デー タ
•
セキ ュ リ テ ィ イ ベン ト の統計値
•
全製品のア ッ プデー ト ステー タ ス
•
SiteProtector ユーザー ア カ ウン ト と 権限
X-Press Update Server は、 連携する よ う に設定 さ れている SiteProtector や他の
ISS 製品を ア ッ プデー ト する ための主要な ツールです。 X-Press Update Server は
次の作業を行います。
•
ISS ダウン ロー ド セ ン タ ーに接続する。
•
ア プ ラ イ ア ン スに フ ァ ームウ ェ ア ア ッ プデー ト と セキ ュ リ テ ィ コ ン テ ン ツ
ア ッ プデー ト を ダウン ロー ド する。
•
ア プ ラ イ ア ン スに フ ァ ームウ ェ ア ア ッ プデー ト と セキ ュ リ テ ィ コ ン テ ン ツ
ア ッ プデー ト を適用する。
注記 : X-Press Update Server は、 ア プ ラ イ ア ン スへのデー タ ベース ア ッ プデー
ト のダウン ロー ド や適用を行いません。 ア プ ラ イ ア ン スがデー タ ベース ア ッ プ
デー ト のダウン ロー ド や適用を行 う には、 イ ン タ ーネ ッ ト にア ク セスする必要が
あ り ます。
表 25: SiteProtector コ ンポーネン ト の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
107
第 10 章 : SiteProtector でのア プ ラ イ ア ン スの管理 と ア ッ プデー ト
SiteProtector へのア プ ラ イ ア ン スの登録
は じ めに
こ の ト ピ ッ ク では、 アプ ラ イ ア ン ス を SiteProtector に登録す る 方法について説明 し ます。
関連マニ ュ アル
SiteProtector の イ ン ス ト ール、 設定、 お よ びア ッ プデー ト 方法 と 、 SiteProtector でのポ リ シーの設定
お よ び適用方法については、 次を参照 し て く だ さ い。
始める前に
手順
●
SiteProtector Installation Guide
●
SiteProtector User Guide for Security Managers
●
SiteProtector オン ラ イ ン ヘルプ
アプ ラ イ ア ン ス を SiteProtector に登録す る 前に、 次の作業を行い ます。
●
SiteProtector を イ ン ス ト ール、 設定、 ア ッ プデー ト す る 。
●
SiteProtector Console でアプ ラ イ ア ン ス の ラ イ セン ス を設定す る 。 アプ ラ イ ア ン ス が
SiteProtector か ら ア ッ プデー ト を受け取る には、 こ の ラ イ セ ン ス が必要です。
●
SiteProtector 2.0 Service Pack 5 以降を実行 し てい る こ と を確認す る 。
●
アプ ラ イ ア ン ス の SiteProtector Console で 1 つのグループを作成 し 、 グループ設定を定義する 。
グループには、 同 じ 種類のアプ ラ イ ア ン ス のみを含め る こ と がで き ます。
●
統合プ ロ セ ス で使用す る ために、 次の情報を入手す る 。
■
アプ ラ イ ア ン ス を設置す る SiteProtector グループの名前
■
アプ ラ イ ア ン ス と 通信す る 各 SiteProtector Agent Manager の IP ア ド レ ス と ポー ト
こ の情報を入手す る には、 SiteProtector Console に移動 し 、 エージ ェ ン ト ビ ュ ーで Agent
Manager のプ ロ パテ ィ を確認 し ます。
●
アプ ラ イ ア ン ス のプ ラ イ マ リ 管理 イ ン タ ーフ ェ ース の IP ア ド レ ス を確認す る 。 こ の イ ン タ ー
フ ェ ースは、 アプ ラ イ ア ン ス イ ン タ ーフ ェ ース を設定する と き にユーザーに よ っ て定義 さ れ
ます。 こ の情報を確認す る には、 [Configuration] → [System] → [Network] → [Interfaces] の順
に移動 し ます。
●
アプ ラ イ ア ン ス を最新の フ ァ ーム ウ ェ アにア ッ プデー ト す る 。
SiteProtector に よ る アプ ラ イ ア ン ス管理を設定する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [SiteProtector Management] の順に選択 し ま
す。
2. [Register with SiteProtector] を選択 し ます。
3. 次のいずれかを行い ます。
操作
手順
ア プ ラ イ ア ン スに個別の
設定 と ポ リ シーを維持 さ
せる
[Local Settings Override SiteProtector Group Settings] オプ
シ ョ ン を オンに し ます。
このオプ シ ョ ンは、 SiteProtector でア プ ラ イ ア ン ス用の設定を定
義 し ていない場合に推奨 さ れます。 このオプ シ ョ ンは、 ア プ ラ イ
ア ン スが SiteProtector に含まれるデ フ ォル ト ポ リ シーを引き継
ぐ こ と を回避 し ます。
ア プ ラ イ ア ン スに
[Local Settings Override SiteProtector Group Settings] オプ
SiteProtector から の設定 シ ョ ン を オ フ に し ます。
と ポ リ シーを取得 さ せる このオプ シ ョ ンは、 SiteProtector ですべてのア プ ラ イ ア ン ス設定
と ポ リ シーを定義する場合に推奨 さ れます。
108
SiteProtector へのア プ ラ イ ア ン スの登録
4. 次の フ ィ ール ド を入力 し ます。
オプ シ ョ ン
説明
Desired SiteProtector
Group for Sensor
SiteProtector Console は、 監視 と 管理を行 う ためにネ ッ ト ワー ク
デバイ ス をグループに分類 し ます。 ア プ ラ イ ア ン ス を登録するグ
ループの名前を入力 し ます。
注記 : ア プ ラ イ ア ン ス を登録する前に、 SiteProtector でグループ
を作成する必要があ り ます。 作成 し ない場合、 ア プ ラ イ ア ン ス を
登録する と き に SiteProtector がグループ を作成 し ます。
Heartbeat Interval
ア プ ラ イ ア ン スは SiteProtector と のセ ッ シ ョ ン を開始する ため
に、 SiteProtector に定期的に信号を送信 し ます。 これ らの信号の
間隔を秒単位で入力 し ます。
設定可能値 = 300 ～ 86,400 秒
5. [SiteProtector Management Level] セ ク シ ョ ンで、SiteProtector に よ る 管理の レベルを選択 し ます。
レベル
説明
Policy Control
and Events
SiteProtector Console でア プ ラ イ ア ン ス を管理する場合は このオプ シ ョ ン
を選択 し ます。
注記 :SiteProtector Console では、 この設定に関係な く 次の作業を行 う こ
と がで き ません。
Events Only
•
SiteProtector によ る管理を有効または無効にする。
•
フ ァ ームウ ェ ア ア ッ プデー ト を適用する。
•
隔離フ ァ イルやテーブルを表示、 管理する。
•
DHCP リ ース を表示する。
•
ハイ アベ イ ラ ビ リ テ ィ を設定する。
Proventia Manager で ア プ ラ イ ア ン ス を管理 し 、 SiteProtector Console に
のみア ラ ー ト を送信する場合は、 このオプ シ ョ ン を選択 し ます。
注記 : ア プ ラ イ ア ン スは、 この設定に関係な く SiteProtector に登録 さ れま
す。 ア プ ラ イ ア ン スは、 指定 し たグループのエージ ェ ン ト と し て表示 さ
れ、 ステー タ スには [Unmanaged] と 表示 さ れます。
Proventia® Network Multi-Function Security Appliance User Guide
109
第 10 章 : SiteProtector でのア プ ラ イ ア ン スの管理 と ア ッ プデー ト
6. [Agent Manager Configuration] セ ク シ ョ ンで、 [Add] ア イ コ ン を ク リ ッ ク し 、 Agent Manger を設
定 し て変更内容を保存 し ます。
オプ シ ョ ン
説明
Authentication
level
ア プ ラ イ ア ン ス と 他の Agent Manager 間の信頼で き る レベルを設定
し ます。
•
Trust-all - ア プ ラ イ ア ン スは、 SiteProtector のデジ タ ル証明書を
使用せずに、 Agent Manager から の接続を常に信頼 し ます。
•
First-time Trust - ア プ ラ イ ア ン スは SiteProtector の証明書を使用
せずに、 Agent Manager と の最初の接続を信頼 し ます。 最初の接
続で、 ア プ ラ イ ア ン スは必要な証明書を、 SiteProtector から ア プ
ラ イ ア ン ス上の次の場所に自動的に コ ピー し ます。
/cache/spool/crm/cacerts directory
これ以降、 ア プ ラ イ ア ン スは この証明書を使用 し て Agent
Manager と の接続を認証 し ます。
•
Explicit Trust - 次の作業を行 う 必要があ り ます。
• SiteProtector の証明書を、 ア プ ラ イ ア ン ス上の次の場所に手動
で コ ピー し ます。
/cache/spool/crm/cacerts directory
• 次の ISS の サポー ト Web サイ ト でナレ ッ ジベースの Article
番号 2202 ( 英語 ) を参照 し て、 追加の設定作業を行いま
す。
http://www.iss.net/support/knowledgebase/
Agent Manager
Name, Address,
and Port
通信で使用 さ れる Agent Manager の名前、 IP ア ド レ ス、 およびポー
ト を入力 し ます。
Account Name
ア プ ラ イ ア ン スが Agent Manager と のア ク セスに使用する必要があ
る ア カ ウン ト 名 と パスワー ド を入力 し ます ( オプ シ ョ ン )。
デ フ ォル ト ポー ト = 3995
Use Proxy Settings ア プ ラ イ ア ン スがプ ロキシ サーバーを経由 し て Agent Manager にア
ク セスする必要がある場合は、 このオプ シ ョ ン を選択 し 、 プ ロキシ
サーバーの IP ア ド レ ス と ポー ト を入力 し ます。
110
第 11 章
アプ ラ イ アンスのア ッ プデー ト
概要
は じ めに
こ の章では、 自動お よ び手動ア ッ プデー ト に よ る アプ ラ イ ア ン ス の設定方法について説明 し ます。
重要 : 最新の防御機能を確保す る ために、 初期設定後で き る だけ早急にアプ ラ イ ア ン ス を ア ッ プ
デー ト す る こ と を強 く 推奨 し ます。 ア ッ プデー ト は、 アプ ラ イ ア ン ス が最新の修正、 機能、 セキ ュ
リ テ ィ コ ン テ ン ツ、 お よ びデー タ ベース ア ッ プデー ト を保有 し てい る こ と を確認 し ます。
要件
アプ ラ イ ア ン ス が ISS か ら ア ッ プデー ト を取得する ために Web プ ロ キシ サーバーを通過す る 必要
があ る 場合、 次の作業を行 う 必要があ り ます。
●
ア ッ プデー ト を ダ ウ ン ロ ー ド す る ために Web (HTTP) プ ロ キシ サービ ス を有効にす る 。
参照 : 「アプ ラ イ ア ン ス ア ッ プデー ト のための Web プ ロ キ シ サービ ス の有効化」 (85 ページ )
を参照 し て く だ さ い。
●
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ で、 HTTPOUTBOUND と い う ALG ポ リ シーを有効にす る 。
参照 : 「アプ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク の フ ィ ル タ リ ン グ」 (180 ページ ) を参照 し て く
だ さ い。
種類
ISS では、 アプ ラ イ ア ン ス に対 し て次の種類のア ッ プデー ト を提供 し ます。
タ イプ
説明
フ ァ ームウ ェ ア ア ッ プデー
ト
システム ソ フ ト ウ ェ ア用のア ッ プデー ト 。 これら のア ッ プデー
ト は連続 し ている ため、 順番に イ ン ス ト ールする必要があ り ま
す。
セキ ュ リ テ ィ コ ン テ ン ツ
ア ッ プデー ト
ア ン チウ ィ ルスおよび不正侵入防御機能のア ッ プデー ト 。 これ ら
のア ッ プデー ト は累積的である ため、 以前のア ッ プデー ト がすべ
て含まれます。
デー タ ベース ア ッ プデー ト
フ ィ ル タ デー タ ベースのア ッ プデー ト 。 これら のア ッ プデー ト
は累積的である ため、 以前のア ッ プデー ト がすべて含まれます。
表 26: ア ッ プデー ト の種類
SiteProtector によ る
ア ッ プデー ト
SiteProtector に よ る ア ッ プデー ト のダ ウ ン ロ ー ド と 適用については、 「SiteProtector でのアプ ラ イ ア
ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
111
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
112
ページ
自動ア ッ プデー ト の設定
113
ア ラ ー ト の有効化 と 自動ア ッ プデー ト のロギング
115
SiteProtector から のア ッ プ ラ イ ア ン ス ア ッ プデー ト の入手
117
手動によ る ア ッ プデー ト のイ ン ス ト ール と 削除
119
自動ア ッ プデー ト の設定
は じ めに
次の自動ア ッ プデー ト を有効にす る こ と がで き ます。
●
フ ィ ル タ デー タ ベース
●
フ ァ ーム ウ ェ ア
●
セキ ュ リ テ ィ コ ン テ ン ツ
こ の ト ピ ッ ク では、 自動ア ッ プデー ト の設定方法について説明 し ます。
注記 : ア ッ プデー ト 後、 アプ ラ イ ア ン ス を再起動す る 必要があ り ます。
推奨事項
手順
ア ッ プデー ト を ス ケ ジ ュ ー リ ン グす る 場合は、 次の作業を行 う こ と を推奨 し ます。
●
ア ッ プデー ト を イ ン ス ト ールす る 前にシ ス テ ム バ ッ ク ア ッ プを作成する 。
●
ア ッ プデー ト 作業を定期的に (1 日 1 回な ど ) 行 う よ う に、 自動ア ッ プデー ト を ス ケ ジ ュ ー リ ン
グす る 。
●
シ ス テ ムのバ ッ ク ア ッ プ と ア ッ プデー ト の イ ン ス ト ールを行 う 前に、 少な く と も 1 時間はア ッ
プデー ト をチ ェ ッ ク す る よ う にアプ ラ イ ア ン ス を ス ケ ジ ュ ー リ ン グす る 。 こ の設定に よ っ て、
アプ ラ イ ア ン スは こ れ ら のプ ロ セ ス を完了す る のに十分な時間が与え ら れます。
●
アプ ラ イ ア ン スは数分間オ フ ラ イ ンにな り 、 ア ッ プデー ト す る のにかな り の時間がかか る 可能
性があ る ため、 通常の業務時間外にア ッ プデー ト を実行す る よ う に ス ケ ジ ュ ー リ ン グす る 。
セキ ュ リ テ ィ コ ン テ ン ツ、 デー タ ベース、 お よ びフ ァ ーム ウ ェ アの自動ア ッ プデー ト を有効にす
る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] → [Automatic Settings] の順に選択
し ます。
注記 : [Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認 し 、
[Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
2. [Update Settings] タ ブを選択 し 、 次の作業を行い ます。
作業
説明
ア プ ラ イ ア ン スがア ッ プ
デー ト を チ ェ ッ ク する日
時を スケジ ュ ー リ ングす
る
次のいずれかのオプ シ ョ ン を選択 し ます。
•
Check for updates daily or weekly - ア ッ プデー ト を チ ェ ッ
ク する日時を設定 し ます。
•
Check for updates at given intervals - ア ッ プデー ト を
チ ェ ッ ク する間隔 (60 分に 1 回な ど ) を設定 し ます。
最小 = 60 分
最大 = 1440 分
セキ ュ リ テ ィ ア ッ プデー 次のいずれかのオプ シ ョ ン を選択 し ます。
ト のための自動ダウン
• Automatically Download - ア プ ラ イ ア ン スはセキ ュ リ テ ィ
ロー ド および自動イ ン ス
ア ッ プデー ト を自動的にダウン ロー ド し ます。
ト ール オプ シ ョ ン を設定
• Automatically Install - ア プ ラ イ ア ン スはセキ ュ リ テ ィ ア ッ
する
プデー ト を自動的に イ ン ス ト ール し ます。
フ ィ ル タ デー タ ベースの [Automatically Update Web Filter and Antispam Database] を
ためのア ッ プデー ト オプ 選択する と 、 デー タ ベースは自動的に最新の状態に維持 さ れま
す。
シ ョ ン を設定する
Proventia® Network Multi-Function Security Appliance User Guide
113
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
作業
説明
フ ァ ームウ ェ ア ア ッ プ
次から 選択 し ます。
デー ト のためのア ッ プ
• Ignore Feature Upgrades - こ のオプ シ ョ ンは、 ア プ ラ イ ア
デー ト オプ シ ョ ン を選択
ン スがフ ァ ームウ ェ ア を新 し いシ リ ーズに (3.x から 4.x へ、
する
な ど ) ア ッ プグ レー ド で き ないよ う に し ます。 ア プ ラ イ ア ン
スは、 現在のフ ァ ームウ ェ ア シ リ ーズ用に リ リ ース さ れた
ア ッ プデー ト (3.x シ リ ーズのすべてのア ッ プデー ト な ど ) の
イ ン ス ト ールを継続 し ます。
•
Ignore Any Product Updates or Feature Upgrades Later
Than A Specified Version - このオプ シ ョ ンは、 ア プ ラ イ ア
ン スが過去の特定のソ フ ト ウ ェ ア バージ ョ ン を ア ッ プグレー
ド で き ないよ う に し ます。
こ のオプ シ ョ ン を有効にする と 、 ア プ ラ イ ア ン スはすべての
ア ッ プデー ト と ア ッ プグレー ド を通知 し ます。 ただ し 、 指定
し た フ ァ ームウ ェ ア バージ ョ ン番号以降の フ ァ ームウ ェ ア
バージ ョ ンは表示、 ダウン ロー ド 、 またはイ ン ス ト ール さ れ
ません。
•
フ ァ ームウ ェ ア ア ッ プ
デー ト と バ ッ ク ア ッ プの
オプ シ ョ ン を設定する
Automatically Download - ア プ ラ イ ア ン スは上記で指定 し た
設定に基づいてア ッ プデー ト を自動的にダウン ロー ド し ます。
次のオプ シ ョ ンから 選択 し ます。
•
Automatically Download - ア プ ラ イ ア ン スは フ ァ ームウ ェ ア
ア ッ プデー ト を自動的にダウン ロー ド し ます。
•
Perform Full System Backup Before Installation - システム
はフ ァ ームウ ェ ア ア ッ プデー ト を イ ン ス ト ールする前に、 フ
ル シ ス テム バ ッ ク ア ッ プ を作成 し ます。
注記 : 自動によ る シ ステム バ ッ ク ア ッ プは、 ア プ ラ イ ア ン ス
がフ ァ ームウ ェ ア ア ッ プデー ト を イ ン ス ト ールする場合のみ
行われます。 た と えば、 [Do Not Install] オプ シ ョ ン を選択 し
た場合、 ア プ ラ イ ア ン スはア ッ プデー ト を イ ン ス ト ールする
までシ ス テム バ ッ ク ア ッ プ を行いません。
•
Do Not Install - ア プ ラ イ ア ン スは、 ア ッ プデー ト を ダウン
ロー ド し た後、 フ ァ ームウ ェ ア ア ッ プデー ト を イ ン ス ト ール
し ません。
•
Automatically Install Updates - ア プ ラ イ ア ン スは、 設定 し
た時刻に フ ァ ームウ ェ ア ア ッ プデー ト を イ ン ス ト ール し ま
す。
Delayed - 日時を設定する必要があ り ます。
Immediate - 推奨 し ません。
•
Schedule One-Time Install - ア プ ラ イ ア ン スは、 設定 し た時
刻に選択 し たア ッ プデー ト を イ ン ス ト ール し ます。
• Date and Time - イ ン ス ト ールする時刻。
All Available Updates - ア プ ラ イ ア ン スはすべてのア ッ プ
デー ト を イ ン ス ト ール し ます。
Up To Specific Version - ア プ ラ イ ア ン スは特定のバージ ョ
ン までのすべてのア ッ プデー ト を イ ン ス ト ール し 、 停止 し ま
す。
114
ア ラ ー ト の有効化 と 自動ア ッ プデー ト のロギン グ
ア ラ ー ト の有効化 と 自動ア ッ プデー ト のロギング
は じ めに
アプ ラ イ ア ン スはダ ウ ン ロ ー ド お よ び イ ン ス ト ールが可能にな っ た と き に、 ア ラ ー ト を送信す る こ
と がで き ます。 ま た、 ア ッ プデー ト プ ロ セ ス時のエ ラ ーについて も ア ラ ー ト を送信する こ と がで
き ます。 ア ラ ー ト は、 電子 メ ール、 SNMP ト ラ ッ プ メ ッ セージ、 ま たは SiteProtector Console で受
信す る こ と がで き ます。 こ の ト ピ ッ ク では、 自動ア ッ プデー ト のア ラ ー ト を有効にす る 方法につい
て説明 し ます。
始める前に
自動ア ッ プデー ト のア ラ ー ト を有効にす る 前に、 ア ラ ー ト の受信方法に よ っ て、 次の作業を行 う 必
要があ り ます。
●
SNMP ト ラ ッ プ メ ッ セージの場合は、 アプ ラ イ ア ン ス上のネ ッ ト ワ ー ク 管理サービ ス (SNMP)
を有効にす る 必要があ り ます。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
電子 メ ールの場合は、 メ ール ア ラ ー ト を設定する 必要があ り ます。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
ア ッ プデー ト イ ベン ト
手順
次のア ッ プデー ト イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にする こ と がで き ます。
●
ア ッ プデー ト が入手可能にな っ た と き
●
ア ッ プデー ト が イ ン ス ト ール さ れた と き
●
ア ッ プデー ト プ ロ セ ス時にエ ラ ーが発生 し た と き
自動ア ッ プデー ト のア ラ ー ト を有効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] → [Automatic Settings] の順に選択
し ます。
注記 : [Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認 し 、
[Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
2. [Event Notification] タ ブを選択 し ます。
3. 次の作業を行い、 変更内容を保存 し ます。
操作
手順
ア ッ プデー ト が入手可能にな っ た と き
に記録する
[Enable Alert Logging for Available Updates] を
選択 し ます。
ア ッ プデー ト が入手可能にな っ た と き
にア ラ ー ト を受信する
次のア ラ ー ト 配信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
ア ッ プデー ト がイ ン ス ト ール さ れたに
記録する
[Alert Logging for Update Installation] を選択 し ま
す。
ア ッ プデー ト がイ ン ス ト ール さ れた と
き にア ラ ー ト を受信する
次のア ラ ー ト 配信方法を選択 し ます。
ア ッ プデー ト プ ロ セス時にエ ラ ーが
発生 し た と き に記録する
Proventia® Network Multi-Function Security Appliance User Guide
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
[Alert Logging for Update Errors] を選択 し ます。
115
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
116
操作
手順
ア ッ プデー ト プ ロ セス時にエ ラ ーが
発生 し た と き にア ラ ー ト を受信する
次のア ラ ー ト 配信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
SiteProtector か ら のア ッ プ ラ イ ア ン ス ア ッ プデー ト の入手
SiteProtector からのア ッ プ ラ イ ア ン ス ア ッ プデー ト の入手
は じ めに
アプ ラ イ ア ン スは SiteProtector か ら ア ッ プデー ト を入手す る こ と がで き ます。 こ の ト ピ ッ ク では、
こ の機能を有効にす る 方法について説明 し ます。
説明
次の場合は、 SiteProtector か ら アプ ラ イ ア ン ス ア ッ プデー ト を入手す る こ と を推奨 し ます。
始める前に
必要な証明書のコ ピー
●
主に SiteProtector Console でアプ ラ イ ア ン ス を管理する 場合
●
数多 く のアプ ラ イ ア ン ス があ る 場合
●
アプ ラ イ ア ン ス を直接 イ ン タ ーネ ッ ト に接続 し ない場合
アプ ラ イ ア ン ス を設定 し て SiteProtector か ら ア ッ プデー ト を入手す る 前に、 次の作業を行 う 必要が
あ り ます。
●
SiteProtector ア ッ プデー ト サーバーのホ ス ト 名、 IP ア ド レ ス、 お よ びポー ト を入手す る 。
●
アプ ラ イ ア ン ス と SiteProtector ア ッ プデー ト サーバー間の接続のための認証レベルを選択す
る。
●
explicit trust 認証の場合は、 こ の ト ピ ッ ク で説明す る よ う に、 必要な証明書を アプ ラ イ ア ン ス
に コ ピー し ます。
explicit trust 認証のために必要な証明書を コ ピーす る には :
1. SiteProtector X-Press Update Server 上で次の証明書フ ァ イ ルを探 し ます。
server-rsa.crt
注記 : こ の フ ァ イ ルは、 ア ッ プデー ト サーバー上の次のデフ ォ ル ト の場所に格納 さ れてい ま
す。
Program Files\ISS\RealSecure SiteProtector\X-Press Update
Server\webserver\Apache2\conf\ssl.crt
2. Windows Secure Copy な ど の移行ユーテ ィ リ テ ィ を使用 し て server-rsa.crt 証明書フ ァ イ ルを コ
ピー し 、 アプ ラ イ ア ン ス上の次のデ ィ レ ク ト リ に貼 り 付け ます。
/etc
注記 : 移行ユーテ ィ リ テ ィ の実行方法については、 ユーテ ィ リ テ ィ の製品マニ ュ アルを参照
し て く だ さ い。
手順
アプ ラ イ ア ン ス を設定 し て SiteProtector か ら ア ッ プデー ト を入手す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] → [Automatic Settings] の順に選択
し ます。
注記 : [Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認 し 、
[Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
2. [Alternate Update Server] タ ブを選択 し ます。
3. [Use Alternate Update Server] オプシ ョ ン を選択 し 、 次のオプシ ョ ン を行い ます。
オプ シ ョ ン
説明
Host or IP
SiteProtector ア ッ プデー ト サーバーの IP ア ド レ スまたは完全修飾 ド メ イ
ン名を入力 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
117
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
オプ シ ョ ン
説明
Port
ア プ ラ イ ア ン ス と SiteProtector ア ッ プデー ト サーバーが通信するポー ト
を入力 し ます。
デ フ ォル ト = 3994
Trust Level
次のいずれかを選択 し ます。
•
Trust-all - ア プ ラ イ ア ン スは、 サーバーのデジ タ ル証明書を使用せず
に、 SiteProtector ア ッ プデー ト サーバー と のの接続を常に信頼 し ま
す。
ヒ ン ト : こ れは、 接続を設定する最も 簡単な方法です。
•
Explicit-trust - ア プ ラ イ ア ン スは、 サーバーのデジ タ ル証明書を使っ
てサーバーの身元を確認 し ます。 ア プ ラ イ ア ン スに証明書を手動で コ
ピー し 、 その証明書がア プ ラ イ ア ン ス上に格納 さ れる場所の完全修飾
パス を入力する必要があ り ます。
/etc/server-rsa.crt
ヒ ン ト : こ れは、 trust-all よ り さ ら に安全な接続です。
4. 変更内容を保存 し ます。
118
手動に よ る ア ッ プデー ト の イ ン ス ト ール と 削除
手動に よ る ア ッ プデー ト のイ ン ス ト ール と 削除
は じ めに
次のア ッ プデー ト を手動で イ ン ス ト ールす る こ と がで き ます。
●
フ ィ ル タ デー タ ベース
●
フ ァ ーム ウ ェ ア
●
セキ ュ リ テ ィ コ ン テ ン ツ
注記 : ア ッ プデー ト 後、 アプ ラ イ ア ン ス を再起動す る 必要があ り ます。
作業の概要
次の表では、 アプ ラ イ ア ン ス を手動でア ッ プデー ト す る 場合の作業について説明 し ます。
作業
説明
1
利用可能なア ッ プデー ト を検索する
2
ア ッ プデー ト を ダウン ロー ド する
3
ア ッ プデー ト を イ ン ス ト ールする
表 27: 手動でア プ ラ イ ア ン ス を ア ッ プデー ト する場合の作業
ア ッ プデー ト の検索
利用可能なア ッ プデー ト を検索す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] → [Status] の順に選択 し ます。
注記 : [Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認 し 、
[Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
2. [Find Updates] を ク リ ッ ク し ます。
3. 次のいずれかを行い ます。
ア ッ プデー ト のダウン
ロー ド
次の場合
手順
ア ッ プデー ト がダウン ロー ド 可能
[View Available Downloads] を ク リ ッ ク し ます。
ア ッ プデー ト がイ ン ス ト ール可能
[View Available Installs] を ク リ ッ ク し ます。
利用可能なア ッ プデー ト を ダ ウ ン ロ ー ド す る には、 次のいずれかを行い ます。
操作
手順
[Updates Status] ページから
ア ッ プデー ト を ダウン ロー ド
する
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] →
[Updates] → [Status] の順に選択 し ます。
[Updates to Downloads] ペー
ジから ア ッ プデー ト を ダウン
ロー ド する
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] →
[Updates] → [Available Downloads] の順に選択 し ます。
2. [Download Updates] を ク リ ッ ク し ます。
注記 :[Export Administration Regulation] ウ ィ ン ド ウが
表示 さ れた場合は、 内容を確認 し 、 [Yes] を選択 し てか
ら [Submit] を ク リ ッ ク し ます。
2. [Download All Available Updates] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
119
第 11 章 : ア プ ラ イ ア ン スのア ッ プデー ト
手動によ る ア ッ プデー ト
のイ ン ス ト ール
ア ッ プデー ト を手動で イ ン ス ト ールす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] → [Available Installs] の順に選択 し
ます。
注記 : [Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認 し 、
[Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
2. イ ン ス ト ールす る ア ッ プデー ト を選択 し 、 [Install Updates] を ク リ ッ ク し ます。
注記 : ア ッ プデー ト 後、 アプ ラ イ ア ン ス を再起動す る 必要があ り ます。
ア ッ プデー ト の削除
ア ッ プデー ト の削除は、 ロ ールバ ッ ク と 呼ばれます。 次の よ う に削除ま たは ロ ールバ ッ ク す る こ と
がで き ます。
●
最後の不正侵入防御ア ッ プデー ト お よ びア ッ プデー ト パ ッ ケージ
●
最後のア ンチ ウ ィ ルス ア ッ プデー ト お よ びア ッ プデー ト パ ッ ケージ
注記 : フ ァ ーム ウ ェ ア ア ッ プデー ト は削除ま たは ロ ールバ ッ ク で き ません。
例
次の例は、 累積ア ッ プデー ト に よ る ロ ールバ ッ ク プ ロ セ ス を示 し ます。
作業
説明
1
バージ ョ ン 1.1 を イ ン ス ト ール し ます。
2
バージ ョ ン 1.2 を省略 し 、 バージ ョ ン 1.3 にア ッ プデー ト し ます。
3
1.3 のア ッ プデー ト を削除またはロールバ ッ ク し ます。
4
ア プ ラ イ ア ン スはバージ ョ ン 1.1 に戻 り ます。
表 28: ロール バ ッ ク プ ロ セスの例
ア ッ プデー ト のロール
バッ ク
ア ッ プデー ト を ロ ールバ ッ ク す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Updates] の順に選択 し ます。
2. 次のいずれかを行い ます。
ト ラ ブルシ ュ ーテ ィ ング
操作
手順
ア ン チウ ィ ルス ア ッ プデー
ト を ロールバ ッ ク する
[Rollback Last Update] を ク リ ッ ク し 、 [OK] を ク リ ッ ク し
ます。
不正侵入防御ア ッ プデー ト を
ロールバ ッ ク する
[Rollback Last Update] を ク リ ッ ク し 、 [OK] を ク リ ッ ク し
ます。
フ ァ ーム ウ ェ ア ア ッ プデー ト の適用後に異常な動作が発生 し た場合は、 次の こ と を試 し て く だ さ
い。
1. Web ブ ラ ウ ザを閉 じ ます。
2. Java キ ャ ッ シ ュ の消去 し ます。
3. Web ブ ラ ウ ザを再起動 し 、 Proventia Manager に ロ グオン し ます。
注記 : Java キ ャ ッ シ ュ の消去方法については、 お使いのオペレーテ ィ ン グ シ ス テ ムのマニ ュ
アルを参照 し て く だ さ い。
120
第 12 章
アプ ラ イ アンスのバッ ク ア ッ プ と 復元
概要
は じ めに
こ の章では、 「スナ ッ プシ ョ ッ ト 」 バ ッ ク ア ッ プお よ びフル シ ス テ ム バ ッ ク ア ッ プの作成方法につ
いて説明 し ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
バ ッ ク ア ッ プ と 復元の設定
122
シ ステムのバ ッ ク ア ッ プ と 復元
123
ア プ ラ イ ア ン ス フ ァ ームウ ェ アの再イ ン ス ト ール
124
システム ツールの操作
127
Proventia® Network Multi-Function Security Appliance User Guide
121
第 12 章 : ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
バ ッ ク ア ッ プ と 復元の設定
は じ めに
設定のバ ッ ク ア ッ プには、
ポ リ シーや ロ グ イ ン資格情報な ど のアプ ラ イ ア ン ス設定だけが含まれま
プ
す。 バ ッ ク ア ッ プ フ ァ イ ルか ら 設定を復元する こ と がで き ます。 バ ッ ク ア ッ プ フ ァ イ ルを使用 し
て複数のアプ ラ イ ア ン ス に設定を配布 し ないで く だ さ い。 SiteProtector を使用す る と 、 複数のアプ
ラ イ ア ン ス に設定を配布す る こ と がで き ます。
FactoryDefault.settings と い う バ ッ ク ア ッ プ フ ァ イ ルには、 オ リ ジナルのアプ ラ イ ア ン ス設定が含ま
れます。 オ リ ジナル と は、 工場出荷時設定を指 し ます。 こ の フ ァ イ ルは、 削除 し ない限 り アプ ラ イ
ア ン ス上に保存 さ れます。
推奨事項
アプ ラ イ ア ン ス を設定 し た ら 、 その設定を で き る だけ早 く バ ッ ク ア ッ プする 必要があ り ます。 設
定をバ ッ ク ア ッ プす る ま で、 [Restore from Backup] を ク リ ッ ク し ないで く だ さ い。 ク リ ッ ク す る
と 、 FactoryDefault.settings フ ァ イ ルか ら 設定が復元 さ れ、 設定が上書 き さ れます。
FactoryDefault.settings フ ァ イ ルを復元 し た ら 、 初期セ ッ ト ア ッ プ プ ロ セ ス を も う 一度実行 し 、 すべ
てのパ ス ワ ー ド をデフ ォ ル ト 値に リ セ ッ ト す る 必要があ り ます。
制約
次の制約が適用 さ れます。
バ ッ ク ア ッ プ と 復元
の設定
●
設定のバ ッ ク ア ッ プ フ ァ イ ルは モデル固有です。 バ ッ ク ア ッ プは、 ま っ た く 同 じ モデルのア
プ ラ イ ア ン ス間でのみ互換性があ り ます。 あ る モデルを ア ッ ク ア ッ プ し 、 こ のバ ッ ク ア ッ プを
別のモデルに復元す る こ と はで き ません。
●
アプ ラ イ ア ン ス には、 常に複数のバ ッ ク ア ッ プ フ ァ イ ルを格納する こ と がで き ます。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し て あ る 場合は、 アプ ラ イ ア ン ス設定をバ ッ ク ア ッ プす
る 前に、 SiteProtector か ら アプ ラ イ ア ン ス を登録解除す る 必要があ り ます。
設定をバ ッ ク ア ッ プ ま たは復元す る には :
重要 : ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス で設定をバ ッ ク ア ッ プ ま たは復元す る 場合は、 こ の
手順を使用 し ないで く だ さ い。 詳細については、 「ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス のバ ッ ク
ア ッ プ と 復元」 (157 ページ ) を参照 し て く だ さ い。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Backup and Recovery] の順に選択 し ます。
2. [Settings Backup] タ ブを確認 し 、 次のいずれかを行い ます。
操作
設定をバ ッ ク ア ッ プする
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 バ ッ ク ア ッ プ フ ァ イルの名前
を入力 し ます。
2. [Create] を ク リ ッ ク し ます。
設定を復元する
フ ァ イルを選択 し 、 [Apply] を ク リ ッ ク し ます。
バ ッ ク ア ッ プ フ ァ イル
を削除する
フ ァ イルを選択 し 、 [Delete] を ク リ ッ ク し ます。
バ ッ ク ア ッ プ フ ァ イル
を ダウン ロー ド する
フ ァ イルを選択 し 、 [Download] を ク リ ッ ク し ます。
バ ッ ク ア ッ プ フ ァ イル
を ア ッ プ ロー ド する
1. [Add] を ク リ ッ ク し ます。
2. フ ァ イル名を入力するか、 [Browse] を ク リ ッ ク し て フ ァ イル
を検索 し ます。
3. [Upload] を ク リ ッ ク し ます。
122
シ ス テムのバ ッ ク ア ッ プ と 復元
シ ス テムのバ ッ ク ア ッ プ と 復元
は じ めに
フルシ ス テ ム バ ッ ク ア ッ プには、 アプ ラ イ ア ン ス のすべての イ メ ージ と そのオペレーテ ィ ン グが
含まれます。 バ ッ ク ア ッ プ フ ァ イ ルか ら シ ス テ ム全体を復元する こ と がで き ます。 フ ァ ーム ウ ェ
ア ア ッ プデー ト を適用する 前に、 常にシ ス テ ム をバ ッ ク ア ッ プする 必要があ り ます。
制約
次の制約が適用 さ れます。
シス テムのバ ッ ク ア ッ プ
と 復元
●
フ ァ ーム ウ ェ ア バージ ョ ン 1.7 以前の フルシ ス テ ム バ ッ ク ア ッ プは、 フ ァ ーム ウ ェ ア バー
ジ ョ ン 1.8 以降 と 互換性があ り ません。 1.7 か ら 1.8 以降にア ッ プデー ト し た後、 シ ス テ ム を
バ ッ ク ア ッ プす る 必要があ り ます。
●
アプ ラ イ ア ン ス には、 常に 1 つの フルシ ス テ ム バ ッ ク ア ッ プ フ ァ イ ルを格納す る こ と がで き
ます。 シ ス テ ム をバ ッ ク ア ッ プす る と き に、 既存のバ ッ ク ア ッ プ フ ァ イ ルを新 し いバ ッ ク
ア ッ プ フ ァ イ ルで上書き し ます。
●
シ ス テ ム をバ ッ ク ア ッ プす る と 、 アプ ラ イ ア ン スは数分間オ フ ラ イ ンにな り ます。
フルシ ス テ ム をバ ッ ク ア ッ プ ま たは復元す る には :
重要 : ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス で設定をバ ッ ク ア ッ プ ま たは復元す る 場合は、 こ の
手順を使用 し ないで く だ さ い。 詳細については、 「ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス のバ ッ ク
ア ッ プ と 復元」 (157 ページ ) を参照 し て く だ さ い。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Backup and Recovery] の順に選択 し ます。
2. [Full Backup] タ ブを確認 し 、 次のいずれかを行い ます。
目的
作業
オペ レーテ ィ ング シ ス
テム と 設定をバ ッ ク ア ッ
プする
[Create System Backup] を ク リ ッ ク し ます。
オペ レーテ ィ ング シ ス
テムの復元 と バ ッ ク ア ッ
プから の設定
注記 : バ ッ ク ア ッ プ または復元プ ロ セス中は、 ア プ ラ イ ア ン スに
ア ク セスで き ません。
1. [Restore from Backup] を ク リ ッ ク し 、 OK] を ク リ ッ ク し ま
す。
注記 : バ ッ ク ア ッ プ または復元プ ロ セス中は、 ア プ ラ イ ア ン
スにア ク セスで き ません。
2. Web ブ ラ ウザ ウ ィ ン ド ウをすべて閉 じ 、 Java キ ャ ッ シ ュ を
消去 し ます。
すべてのブ ラ ウザ ウ ィ ン ド ウを閉 じ て、 Java キ ャ ッ シ ュ を
消去する必要があ り ます。 そ う し ない と 、 シ ステムを復元 し
た後、 Proventia Manager が正 し く 機能 し ない場合があ り ま
す。 キ ャ ッ シ ュ を消去する方法については、 オペ レーテ ィ ン
グ システムのマニ ュ アルを参照 し て く だ さ い。
3. 5 分間待機 し てから 、 ア プ ラ イ ア ン スにア ク セス し ます。
Proventia® Network Multi-Function Security Appliance User Guide
123
第 12 章 : ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
ア プ ラ イ ア ン ス フ ァ ームウ ェ アの再イ ン ス ト ール
は じ めに
こ の ト ピ ッ ク では、 製品に含まれ る リ カバ リ CD か ら アプ ラ イ ア ン ス ソ フ ト ウ ェ ア を再 イ ン ス
ト ールす る 方法について説明 し ます。 こ の手順では、 次の内容を行い ます。
●
アプ ラ イ ア ン ス用の、 オ リ ジナルの未設定の ソ フ ト ウ ェ ア を イ ン ス ト ールす る 。
●
ユーザーが定義 し た設定を、 オ リ ジナルのアプ ラ イ ア ン ス設定で上書 き す る 。
●
オ リ ジナルのデフ ォ ル ト ロ グ イ ン資格情報を復元する 。
■
ユーザー名 = admin
■
パ ス ワ ー ド = admin
重要 : こ の手順は、 フ ィ ル タ デー タ ベース を再 イ ン ス ト ール し ません。 アプ ラ イ ア ン ス が動作可
能にな っ てか ら 、 Proventia Manager でフ ィ ル タ デー タ ベース を入手す る こ と がで き ます。 フ ィ ル
タ デー タ ベース全体を ダ ウ ン ロ ー ド する のに、 全部で 6 ～ 8 時間かか る こ と があ り ます。
始める前に
アプ ラ イ ア ン ス フ ァ ーム ウ ェ ア を再 イ ン ス ト ールする 前に、 次の作業を行 う 必要があ り ます。
9
説明
‰
再イ ン ス ト ール プ ロ セスでア プ ラ イ ア ン スに直接接続する PC またはラ ッ プ ト ッ プ を選択
する。 この コ ン ピ ュ ー タ は、 Pre-boot eXecution (PXE) サーバー と 呼ばれます。 Pentium II
以上のほ と んどの PC を PXE ブー ト サーバー と し て使用する こ と がで き ます。 PC は、 サ
ポー ト する ネ ッ ト ワー ク イ ン タ ー フ ェ ース カ ー ド と シ リ アル ポー ト を持ち、 次の要件を満
たす必要があ り ます。
注記 : リ カバ リ CD は CD か ら実行 し 、 PC 上に ソ フ ト ウ ェ ア を イ ン ス ト ール し ません。
要件 :
•
コ ン ピ ュ ー タ の BIOS 設定は、 CD から 再起動で き る よ う に設定する必要があ り ます。
詳細については、 コ ン ピ ュ ー タ のマニ ュ アルを参照 し て く だ さ い。
•
Pentium II または これに準拠 し た CPU
•
64M RAM
•
IDE CD-ROM ド ラ イ ブ
•
COM1 シ リ アル ポー ト
•
次のいずれかのネ ッ ト ワー ク カー ド :
3Com 3c905C
Intel PRO/100 または PRO/1000
3Com 3c574 または 3Com 3c575
Netgear FA511 または Netgear FA411
Intel PRO/100 S モバイル アダプ タ
重要 : ISS では、 上記のネ ッ ト ワー ク カ ー ド のみをサポー ト し ています。 Proventia M50 ア
プ ラ イ ア ン スは、 ネ ッ ト ワー ク イ ン タ ー フ ェ ース カ ー ド を自動的に検出 し ます。
ネ ッ ト ワー ク 上で複数の PXE ブー ト サーバーが動作 し ている場合は、 Mxx の再イ ン ス ト ー
ルを開始する前に接続を切断する必要があ り ます。
表 29: ア プ ラ イ ア ン ス フ ァ ームウ ェ ア を再イ ン ス ト ールする前に
124
ア プ ラ イ ア ン ス フ ァ ームウ ェ アの再 イ ン ス ト ール
9
説明
‰
製品の同梱物を確認する。
•
リ カバ リ CD - こ の CD には、 ア プ ラ イ ア ン ス用のオ リ ジナルの未設定ソ フ ト ウ ェ ア と 、
イ ン ス ト ール方法の手順が搭載 さ れています。 ア ン チスパムおよび Web フ ィ ル タ 機能
で使用 さ れる フ ィ ル タ デー タ ベースは含まれていません。 ソ フ ト ウ ェ ア を再イ ン ス ト ー
ル し た後、 Proventia Manager でデー タ ベース を イ ン ス ト ールする こ と がで き ます。
•
イ ーサネ ッ ト ク ロ スオーバ ケーブル ( 同梱の赤色のケーブル )
•
シ リ アル ヌル モデム ケーブル ( 同梱の青色のケーブル )
重要 : 他のケーブルの使用はサポー ト し ていません。 PC と ア プ ラ イ ア ン ス を接続する 1 本
のケーブルだけが必要です。
‰
ア プ ラ イ ア ン ス設定をバ ッ ク ア ッ プ し 、 リ モー ト の場所にバ ッ ク ア ッ プ フ ァ イルを ダウン
ロー ド する。
ア プ ラ イ ア ン ス フ ァ ームウ ェ ア を再イ ン ス ト ール し た後、 バ ッ ク ア ッ プ フ ァ イルから 設定
を復元する こ と がで き ます。
‰
ルーテ ィ ング モー ド :
次のア プ ラ イ ア ン ス設定を記録 し ます。
•
すべてのイ ン タ ー フ ェ ースの IP ア ド レ ス、 サブネ ッ ト マス ク、 およびデ フ ォル ト ゲー
トウェ イ
•
ホス ト 名、 ド メ イ ン名、 および DNS ネーム サーバー
ト ラ ン スペア レ ン ト モー ド :
次の管理イ ン タ ー フ ェ ース用のア プ ラ イ ア ン ス設定を記録 し ます。
‰
•
IP ア ド レ ス、 サブネ ッ ト マス ク、 およびデ フ ォル ト ゲー ト ウ ェ イ
•
ホス ト 名、 ド メ イ ン名、 および DNS ネーム サーバー
ア プ ラ イ ア ン スの電源を切 り 、 付属のケーブル 1 本を使 っ て、 コ ン ピ ュ ー タ (PXE サーバー
) と ア プ ラ イ ア ン ス を直接接続 し ます。
シ リ アル ケーブル と デバイ ス を次のよ う に接続 し ます。
•
コ ン ピ ュ ー タ (PXE サーバー ) では、 COM1 と い う ポー ト を使用 し ます。
•
ア プ ラ イ ア ン スでは、 Console と い う ポー ト を使用 し ます。
イ ーサネ ッ ト ケーブル と デバイ ス を次のよ う に接続 し ます。
•
コ ン ピ ュ ー タ (PXE サーバー ) では、 イ ーサネ ッ ト ポー ト を使用 し ます。
•
ア プ ラ イ ア ン スでは、 ETH 0 と い う ポー ト を使用 し ます。
注記 : コ ン ピ ュ ー タ (PXE サーバー ) と ア プ ラ イ ア ン ス を接続する場合は、 ア プ ラ イ ア ン ス
と イ ン タ ーネ ッ ト 間の接続を無効に し ます。 再イ ン ス ト ール プ ロ セス を終了する場合は、
イ ン タ ーネ ッ ト 接続を再確立 し 、 ア プ ラ イ ア ン ス ア ッ プデー ト を取得 し ます。
表 29: ア プ ラ イ ア ン ス フ ァ ームウ ェ ア を再イ ン ス ト ールする前に ( 続き )
Mx モデル用フ ァ ーム
Mx モデル用フ ァ ーム ウ ェ ア を再 イ ン ス ト ールする には :
ウ ェ アの再イ ン ス ト ール
1. リ カバ リ CD を PC ま たは ラ ッ プ ト ッ プの CD-ROM ド ラ イ ブに挿入 し 、 コ ン ピ ュ ー タ を再起動
し ます。
注記 : M50 モデルの場合のみ、 リ カバ リ CD を アプ ラ イ ア ン ス上の CD-ROM デバ イ ス に挿入
し 、 手順 4 に進みます。
[Proventia Mxx Boot Server CD] 画面に、 次の よ う に表示 さ れます。
***You may now boot your Proventia Mxx via the network***
***Starting Terminal Emulator***
Proventia® Network Multi-Function Security Appliance User Guide
125
第 12 章 : ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
***Press Control-G to Exit and Reboot***
2. アプ ラ イ ア ン ス の電源を入れます。
3. 「Press L to boot from LAN, or press any other key to boot normally」 と
表示 さ れた ら 、 [L] キーを押 し ます。
PXE ブー ト サーバーにアプ ラ イ ア ン ス か ら の ス テー タ ス メ ッ セージが表示 さ れ、 ネ ッ ト ワ ー
ク 経由で イ ン ス ト ー ラ が起動 し ます。
4. boot: プ ロ ンプ ト が表示 さ れた ら 、 「reinstall」 と 入力 し 、 [ENTER] キーを押 し ます。
5. アプ ラ イ ア ン ス が ソ フ ト ウ ェ ア を再 イ ン ス ト ールす る 間、 待機 し ます。
6. イ ン ス ト ールが完了 し た ら 、 [CTRL] + [g] キーを押 し て CD を取 り 出 し 、 通常モー ド で コ ン
ピ ュ ー タ を再起動 し ます。
注記 : M50 モデルの場合のみ、 アプ ラ イ ア ン スはビープ音を鳴 ら し て、 リ カバ リ CD を自動
的に再起動 し 、 取 り 出 し ます。
次の手順
ソ フ ト ウ ェ ア を再 イ ン ス ト ール し た後、 アプ ラ イ ア ン ス が動作可能にな る 前に次の手順を完了す る
必要があ り ます。
作業
1
説明
初期セ ッ ト ア ッ プ プ ロ セス を完了 し 、 ネ ッ ト ワー ク にア プ ラ イ ア ン ス を再接続する。
参照 : 「初期設定」 (25 ページ ) を参照 し て く だ さ い。
3
Proventia Manager にア ク セス し 、 バ ッ ク ア ッ プ フ ァ イルから ア プ ラ イ ア ン ス設定を復
元する ( オプ シ ョ ン )。
参照 : 「バ ッ ク ア ッ プ と 復元の設定」 (122 ページ ) を参照 し て く だ さ い。
4
ア ン チスパムおよび Web フ ィ ル タ 機能を使用する場合は、 フ ィ ル タ デー タ ベース を入
手する。
Proventia Manager で、 [Maintenance] → [Filter DB] の順に選択 し 、 [Get Local DB] を
ク リ ッ ク する。 このプ ロ セスは、 完了するのに 6 ～ 8 時間かかる こ と があ り ます。
参照 : 「 フ ィ ル タ デー タ ベース」 (210 ページ ) を参照 し て く だ さ い。
表 30: ソ フ ト ウ ェ ア を再イ ン ス ト ール し た後の次の手順
126
シ ス テム ツ ールの操作
シ ス テム ツールの操作
は じ めに
traceroute のプ ロ ト コ
ル
こ の ト ピ ッ ク では、 シ ス テ ム ツールを使用 し て接続性を確認 し 、 次を含む保守作業を行 う 方法に
ついて説明 し ます。
●
アプ ラ イ ア ン ス を再起動ま たはシ ャ ッ ト ダ ウ ンす る 。
●
Traceroute ユーテ ィ リ テ ィ を使用 し て、 コ ン ピ ュ ー タ ま たは宛先へのパ ス に沿っ て存在す る す
べてのルー タ ーを リ ス ト ア ッ プす る 。
●
ネ ッ ト ワ ー ク 上の コ ン ピ ュ ー タ に ping を打ち、 コ ン ピ ュ ー タへ到達可能かど う か確認する 。
●
外部 イ ン タ ーフ ェ ース上の PPPoE に再接続す る 。
●
外部 イ ン タ ーフ ェ ース に対 し て DHCP リ ース を リ リ ース ま たは更新す る 。
traceroute ユーテ ィ リ テ ィ に対 し て、 2 種類のプ ロ ト コ ルを使用す る こ と がで き ます。
プ ロ ト コル 説明
UDP
UNIX の 「traceroute」 コ マ ン ド 。 traceroute のプ ロ ト コルに UDP を選択 し た場合、
ア プ ラ イ ア ン スは対象ホス ト のラ ン ダムなポー ト に UDP パケ ッ ト を送信 し ます。
Time to Live (TTL) のフ ィ ール ド と 宛先ポー ト のフ ィ ール ド は、 「ICMP Port
Unreachable」 メ ッ セージが返 さ れる ご と 、 または 30 ホ ッ プに達する ご と に増え
てい き ます。
ICMP
Windows の 「tracery」 コ マ ン ド 。 traceroute のプ ロ ト コ ルに ICMP を選択 し た場
合、 TTL のフ ィ ール ド と 宛先ポー ト の フ ィ ール ド は、 「ICMP Port Unreachable」
メ ッ セージが返 さ れる ご と 、 または 30 ホ ッ プに達する ご と に増えてい き ます。
表 31: Traceroute のプ ロ ト コ ル
ツールの操作
シ ス テ ム ツールを使用する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Tools] の順に選択 し ます。
2. 次のいずれかを行い ます。
操作
手順
ア プ ラ イ ア ン ス を再起動
する
[Reboot] を ク リ ッ ク し ます。
ア プ ラ イ ア ン ス を停止 し
ます。
[Shutdown] を ク リ ッ ク し ます。
ping の実行
[Ping] フ ィ ール ド に、 ping を実行する コ ン ピ ュ ー タ の IP ア ド レ
ス を入力 し 、 [Submit] を ク リ ッ ク し ます。
デバイ スへのルー ト を ト
レースする
1. [Traceroute] フ ィ ール ド に、 ト レースする IP ア ド レ ス を入力
し ます。
2. [Protocol] セ ク シ ョ ン で プ ロ ト コルを選択 し ます。
• UDP (User Datagram Protocol)
• ICMP (Internet Control message Protocol)
3. [Submit] を ク リ ッ ク し ます。
外部イ ン タ ー フ ェ ース上
の PPPoE 接続を再接続
する
[Network Connection] セ ク シ ョ ン で、 [Reconnect PPPoE
Connection ] の横にある
Proventia® Network Multi-Function Security Appliance User Guide
ボ タ ン を ク リ ッ ク し ます。
127
第 12 章 : ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
128
操作
手順
外部イ ン タ ー フ ェ ースに
対 し て DHCP リ ース を
リ リ ースまたは更新する
[Network Connection] セ ク シ ョ ン で、 [Renew DHCP lease] の横
にある
ボ タ ン を ク リ ッ ク し ます。
第 13 章
アプ ラ イ アンスの可用性の維持
概要
は じ めに
セキ ュ リ テ ィ 操作を維持す る ために、 同一のバ ッ ク ア ッ プ アプ ラ イ ア ン ス を配置 し 、 設定する こ
と がで き ます。 手動で フ ェ ールオーバー し てアプ ラ イ ア ン ス をバ ッ ク ア ッ プ し た り 、 自動フ ェ ール
オーバー機能を有効にす る こ と がで き ます。 こ の機能はハ イ アベ イ ラ ビ リ テ ィ と 呼ばれ、 アプ ラ
イ ア ン ス のルーテ ィ ン グにのみ使用可能です。 こ の章では、 プ ラ イ マ リ アプ ラ イ ア ン スお よ び
バ ッ ク ア ッ プ アプ ラ イ ア ン ス を配置 し 、 設定する 方法について説明 し ます。
注記 : ハ イ アベ イ ラ ビ リ テ ィ 機能を有効に し ない場合は、 アプ ラ イ ア ン ス を閉 じ る こ と がで き ま
せん。
ト ラ ン スペア レ ン ト
フ ェ ールオーバー
ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス は、 バ ッ ク ア ッ プ アプ ラ イ ア ン ス に フ ェールオーバーす る こ
と も で き ますが、 こ の機能の設定プ ロ セ スはルーテ ィ ン グ アプ ラ イ ア ン ス の設定プ ロ セ ス と は異
な り ます。 詳細については、 「 ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス の フ ェ ールオーバー」 (161 ペー
ジ ) を参照 し て く だ さ い。
こ の章の内容
こ の章では、 次のセ ク シ ョ ンについて説明 し ます。
セクシ ョ ン
ページ
セ ク シ ョ ン A: 「ルーテ ィ ング ア プ ラ イ ア ン スのハイ アベ イ ラ ビ リ テ ィ 」
131
セ ク シ ョ ン B: 「 ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバー」
161
Proventia® Network Multi-Function Security Appliance User Guide
129
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
130
ルーテ ィ ング ア プ ラ イ ア ン スのハイ アベ
イラビリテ ィ
セ ク シ ョ ン A:
概要
は じ めに
こ のセ ク シ ョ ンでは、 ルーテ ィ ン グ モー ド で実行する アプ ラ イ ア ン ス に対する ハ イ アベ イ ラ ビ リ
テ ィ 機能の設定方法について説明 し ます。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ハイ アベ イ ラ ビ リ テ ィ の概要
132
ハイ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セス
135
必要なポ リ シーの設定
143
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ース
145
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ースの操作
149
ハイ アベ イ ラ ビ リ テ ィ でのア プ ラ イ ア ン スの管理
151
ハイ アベ イ ラ ビ リ テ ィ 実装のア プ ラ イ ア ン スのア ッ プデー ト
154
ハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
157
ハイ アベ イ ラ ビ リ テ ィ の ト ラ ブルシ ュ ーテ ィ ング
159
Proventia® Network Multi-Function Security Appliance User Guide
131
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
ハイ アベ イ ラ ビ リ テ ィ の概要
概要
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ 機能の基本的な概要について説明 し ます。
ハイ アベ イ ラ ビ リ テ ィ
とは
ハ イ アベ イ ラ ビ リ テ ィ と は、 バ ッ ク ア ッ プ デバ イ ス に自動的に フ ェールオーバー し 、 中断 し ない
セキ ュ リ テ ィ サービ ス を ネ ッ ト ワ ー ク に提供 し 続け る こ と がで き る デバ イ ス を指 し て使用 さ れ る
用語です。 アプ ラ イ ア ン ス はハ イ アベ イ ラ ビ リ テ ィ デバ イ ス です。 こ れは、 アプ ラ イ ア ン ス が第 2
のバ ッ ク ア ッ プ デバ イ ス と 共に実装 さ れ、 必要に応 じ てバ ッ ク ア ッ プ デバ イ ス に自動的に フ ェー
ルオーバーす る よ う に設定 さ れ る こ と を意味 し ます。 ポ リ シーを含むプ ラ イ マ リ アプ ラ イ ア ン ス
設定がバ ッ ク ア ッ プ アプ ラ イ ア ン ス上に複製 さ れ る ため、 機能を失 う こ と な く フ ェ ールオーバー
が行われます。
注記 : こ の機能は、 ルーテ ィ ン グ モー ド で実行中のアプ ラ イ ア ン ス でのみ利用可能です。 アプ ラ
イ ア ン ス を ト ラ ン スペア レ ン ト モー ド で実行 し てい る と き に も フ ェ ールオーバー機能を使用 し た
い場合は、 Spanning Tree Protocol (STP) を設定す る 必要があ り ます。 STP は、 プ ラ イ マ リ アプ ラ イ
ア ン ス に障害が発生 し た場合に、 ト ラ フ ィ ッ ク を セカ ン ダ リ ( バ ッ ク ア ッ プ ) アプ ラ イ ア ン ス に自
動的に リ ダ イ レ ク ト す る 、 アプ ラ イ ア ン ス上の内部ルーテ ィ ン グ プ ロ ト コ ルです。 詳細について
は、 「 ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス の フ ェ ールオーバー」 (161 ページ ) を参照 し て く だ さ
い。
用語
次の表では、 こ の章で使用す る 用語を定義 し ます。
用語
説明
プ ラ イ マ リ アプ ラ イ アンス
メ イ ンの操作用セキ ュ リ テ ィ デバイ ス。
セ カ ンダ リ アプ ラ イ アンス
プ ラ イ マ リ ア プ ラ イ ア ン スに障害が発生 し た場合に、 操作を引
き継ぐ受動的なバ ッ ク ア ッ プ デバイ ス。
クラスタ
ハイ アベ イ ラ ビ リ テ ィ 用に接続 さ れて設定 さ れた、 プ ラ イ マ リ
ア プ ラ イ ア ン スおよびセ カ ン ダ リ ア プ ラ イ ア ン ス を指 し ます。
ハイ アベ イ ラ ビ リ テ ィ 専用
イ ン タ ー フ ェ ース
2 つのデバイ ス間のア プ ラ イ ア ン ス同士の直接接続。
ハー ト ビー ト
プ ラ イ マ リ ア プ ラ イ ア ン スがア ク テ ィ ブ であ る こ と を示す、 プ
ラ イ マ リ か ら セ カ ン ダ リ への信号。
仮想 IP ア ド レ ス
ク ラ ス タ を表す 1 つの IP ア ド レ ス。
自動フ ェ ールオーバー
プ ラ イ マ リ ア プ ラ イ ア ン スに障害が発生 し た場合に、 第 2 の
バ ッ ク ア ッ プ ア プ ラ イ ア ン スにセキ ュ リ テ ィ 操作を転送する自
動プ ロ セス。
手動フ ェ ールオーバー
セ カ ン ダ リ ア プ ラ イ ア ン スに操作を強制的に フ ェ ールオーバー
さ せる プ ロ セス
注記 :Force Failover システム ツールを使用 し ます。
ア プ ラ イ ア ン ス障害
プ ラ イ ア マ リ ア プ ラ イ ア ン スがセ カ ン ダ リ ア プ ラ イ ア ン スに、
これ以上ハー ト ビー ト 信号を送信で き ない状態。
表 32: ハイ アベ イ ラ ビ リ テ ィ 用語
132
ハイ アベ イ ラ ビ リ テ ィ の概要
用語
説明
ウ ォ ーム フ ェ ールオーバー
プ ラ イ マ リ ア プ ラ イ ア ン スに障害が発生 し 、 次を含む既存の接
続がすべて切断 さ れる と 、 ウ ォ ーム フ ェ ールオーバーが発生 し
ます。
•
FTP
•
VPN
•
他の TCP の固定接続
注記 : セ カ ン ダ リ ア プ ラ イ ア ン スで再接続する必要があ り ます。
HTTP 接続の場合は、 [F5] キーを押 し て ブ ラ ウザを更新 し 、 イ ン
タ ーネ ッ ト 接続を再確立 し て く だ さ い。
表 32: ハイ アベ イ ラ ビ リ テ ィ 用語 ( 続き )
許可 さ れない作業
ハ イ アベ イ ラ ビ リ テ ィ 機能を有効にする と 、 次の作業を行 う こ と がで き ません。
●
ネ ッ ト ワ ー ク 設定の変更
●
Proventia Setup Assistant の実行
セカ ン ダ リ アプ ラ イ ア ン ス では、 アプ ラ イ ア ン ス設定や VPN 設定のオプシ ョ ンにア ク セ ス で き ま
せん。 た と えば、 セカ ン ダ リ アプ ラ イ ア ン ス では次のすべて を設定で き ません。
●
ア ンチ スパム
●
ア ンチ ウ ィ ルス
●
フ ァ イ ア ウ ォール
●
ネ ッ ト ワ ー ク オブジ ェ ク ト
●
ネ ッ ト ワ ー ク イ ン タ ーフ ェ ース
●
パス ワー ド
●
サービ ス
Proventia® Network Multi-Function Security Appliance User Guide
133
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
論理図
次の図は、 ハ イ アベ イ ラ ビ リ テ ィ 実装で使用 さ れ る ネ ッ ト ワ ー ク 設定を示 し ます。
HA Settings
Virtual Gateway : 10.10.100.2
Internet
External VIP: 10.10.100.1
Internal VIP: 192.168.0.1
Ping Node (1): 10.10.100.2
Ping Node (2): 192.168.0.4
Router
Internal IP: 10.10.100.2
10.10.100 .0/30
192 .168 .1.0/30
NOTE: Using non-routable IP addresses for the external
interfaces is not necessary but is recommended as it
reduces the information given to potential attackers.
192.168.2.0/30
Primary
Secondary
eth0: 192 .168 .0.2
eth0: 192.168.0.3
eth1: 192 .168 .1.1
eth1: 192.168.1.2
eth7: 192 .168 .2.1
GW: 192.168.2.2
eth7: 192.168.2.2
192 .168 .0.0/24
GW: 192 .168 .2.1
File Server
IP Address: 192.168.0.4
134
`
`
ハイ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セ ス
ハイ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セス
は じ めに
こ の ト ピ ッ ク では、 プ ラ イ マ リ お よ びセカ ン ダ リ アプ ラ イ ア ン ス を設定する のに必要なプ ロ セ ス
の概要について説明 し ます。
作業の概要
次の表では、 プ ラ イ マ リ お よ びセカ ン ダ リ アプ ラ イ ア ン ス を設定する ための作業について説明 し
ます。
9
作業
‰
プ ラ イ マ リ と セ カ ン ダ リ の両ア プ ラ イ ア ン スのラ イ セ ン ス を取得 し 、 イ ン ス ト ールする。
‰
両ア プ ラ イ ア ン ス を接続する。
参照 : 「ハイ アベ イ ラ ビ リ テ ィ のためのア プ ラ イ ア ン スの接続」 (137 ページ ) を参照 し て
く だ さ い。
‰
次のいずれかを行い、 ア プ ラ イ ア ン ス上でネ ッ ト ワー ク設定を行います。
•
Proventia Setup Assistant を実行する。
•
Proventia Manager を使用する。
次の ヒ ン ト は、 この作業をする場合に役立ち ます。
•
プ ラ イ マ リ ア プ ラ イ ア ン スでは、 内部イ ン タ ー フ ェ ース (INT0) と 外部イ ン タ ー フ ェ ー
ス (EXT1) のみを設定する。
•
セ カ ン ダ リ ア プ ラ イ ア ン スのハイ アベ イ ラ ビ リ テ ィ 専用イ ン タ ー フ ェ ース をゲー ト ウ ェ
イ に指定する。
参照 : 「ルーテ ィ ング モー ド でのイ ン タ ー フ ェ ースの管理」 (49 ページ ) を参照 し て く だ さ
い。
‰
正 し く 機能する よ う に、 ハイ アベ イ ラ ビ リ テ ィ に必要なポ リ シーを設定する。
参照 : 「必要なポ リ シーの設定」 (139 ページ ) を参照 し て く だ さ い。
‰
セキ ュ リ テ ィ ゲー ト ウ ェ イの Local ID 設定が仮想 IP ア ド レ スにな る よ う に設定する。 次の
値は使用 し ないで く だ さ い。
•
エ イ リ アス
•
プ ロキシ ARP を使用する IP ア ド レ ス
•
2 番目以降の仮想 IP ア ド レ ス
競合する セキ ュ リ テ ィ ゲー ト ウ ェ イは削除 し 、 再度追加する。
参照 : 「セキ ュ リ テ ィ ゲー ト ウ ェ イの設定」 (259 ページ ) を参照 し て く だ さ い。
‰
仮想 IP ア ド レ ス を参照する よ う に、 次を変更する。a
•
フ ァ イ アウ ォ ール ア ク セス ポ リ シー
•
フ ァ イ アウ ォ ール ルール
•
ア ド バン ス ト フ ァ イ アウ ォ ール ア プ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG) ポ リ シー
•
VPN 設定
•
外部 DNS エ ン ト リ
•
IPSEC ポ リ シー
•
Network Address Translation (NAT) ポ リ シー
注記 : こ の作業は、 既存のポ リ シーを持つ既存のア プ ラ イ ア ン スでのみ必要です。
表 33: ハイ アベ イ ラ ビ リ テ ィ を有効にする前に
a.
ポ リ シーでは Local ID を使用 し ないで く だ さ い。 こ れを仮想 IP ア ド レ ス に置 き 換え ます。
Proventia® Network Multi-Function Security Appliance User Guide
135
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
ハイ アベ イ ラ ビ リ テ ィ
を無効にする前に
ハ イ アベ イ ラ ビ リ テ ィ を無効にする と 、 仮想 IP ア ド レ ス を参照する ポ リ シーや他の設定が正 し く
機能 し な く な り ます。 ハ イ アベ イ ラ ビ リ テ ィ 機能を無効にする 前に、 次の作業を行 う 必要があ り
ます。
9
作業
‰
仮想 IP ア ド レ ス を参照するポ リ シーまたは設定を変更するか、 無効にする ( 必須のハイ ア
ベ イ ラ ビ リ テ ィ ポ リ シーを含む )。
仮想 IP ア ド レ ス を参照するポ リ シーおよび設定は、 ハイ アベ イ ラ ビ リ テ ィ を無効にする と
機能 し な く な り ます。
参照 : 「必要なポ リ シーの設定」 (139 ページ ) を参照 し て く だ さ い。
‰
セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定する。
•
セキ ュ リ テ ィ ゲー ト ウ ェ イが仮想 IP ア ド レ ス以外の IP ア ド レ スにな る よ う に、 Local
ID 設定を リ セ ッ ト する。
•
競合する セキ ュ リ テ ィ ゲー ト ウ ェ イは削除 し 、 再度追加する。
参照 : 「セキ ュ リ テ ィ ゲー ト ウ ェ イの設定」 (259 ページ ) を参照 し て く だ さ い。
‰
ポ リ シー、 ネ ッ ト ワー ク 設定、 および他の設定は、 ア プ ラ イ ア ン スがス タ ン ド ア ロ ン デバ
イ ス と し て実行する よ う に設定 さ れている こ と を確認する。a
•
フ ァ イ アウ ォ ール ア ク セス ポ リ シー
•
フ ァ イ アウ ォ ール ルール
•
ア ド バン ス ト フ ァ イ アウ ォ ール ア プ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG) ポ リ シー
•
VPN 設定
•
外部 DNS エ ン ト リ
•
IPSEC ポ リ シー
•
Network Address Translation (NAT) ポ リ シー
表 34: ハイ アベ イ ラ ビ リ テ ィ を無効にする前に
a.
136
ス タ ン ド ア ロ ン アプ ラ イ ア ン ス のポ リ シーま たは設定では、 仮想 IP ア ド レ ス を使用 し ないで く だ さ い。
仮想 IP ア ド レ ス は、 ハ イ アベ イ ラ ビ リ テ ィ 機能が有効にな っ てい る 場合のみ動作 し ま す。
ハ イ アベ イ ラ ビ リ テ ィ のためのア プ ラ イ ア ン スの接続
ハイ アベ イ ラ ビ リ テ ィ のためのア プ ラ イ ア ン スの接続
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ のためにプ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ
ラ イ ア ン ス を接続す る 方法について説明 し ます。
ア プ ラ イ ア ン スに接続す
る前に
プ ラ イ マ リ お よ びセカ ン ダ リ アプ ラ イ ア ン ス を接続する 前に、 次の作業を行 う 必要があ り ます。
アプ ラ イ ア ン ス間の接続に使用す る ポー ト を選択す る 。
●
両方のアプ ラ イ ア ン ス で、 ポー ト を同 じ にす る 必要があ り ます。
■
INT0 (eth0) ま たは EXT1 (eth1) は使用 し ないで く だ さ い。
■
プ ラ イ マ リ お よ びセカ ン ダ リ の両方のデバ イ ス で、 同 じ アプ ラ イ ア ン ス モデルを使用 し ま
す。
■
イ ン タ ーフ ェ ース が専用のプ ラ イ ベー ト ネ ッ ト ワ ー ク 上にあ る こ と を確認 し ます。 こ れは
イ ン タ ーフ ェ ース上の攻撃を阻止 し ます。
■
ユーザーのネ ッ ト ワ ー ク ト ラ フ ィ ッ ク が イ ン タ ーフ ェ ース を通過 し ない よ う に し ます。
プ ラ イ マ リ と セカ ン ダ リ の両アプ ラ イ ア ン ス の電源が切れてい る こ と を確認す る 。
●
ア プ ラ イ ア ン スの接続
■
ハ イ アベ イ ラ ビ リ テ ィ のためにプ ラ イ マ リ お よ びセカ ン ダ リ アプ ラ イ ア ン ス を接続す る には :
作業
1
2
3
説明
内部ネ ッ ト ワー ク の接続 :
•
内部ネ ッ ト ワー ク に接続 さ れている ス イ ッ チ を探す。
•
ス イ ッ チにプ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ン ダ リ ア プ ラ イ ア ン ス を接続する。
•
接続には、 ア プ ラ イ ア ン ス イ ン タ ー フ ェ ース ETH 0 を使用する。
外部ネ ッ ト ワー ク の接続 :
•
外部ネ ッ ト ワー ク に接続 さ れている ス イ ッ チ を探す。
•
ス イ ッ チにプ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ン ダ リ ア プ ラ イ ア ン ス を接続する。
•
接続には、 ア プ ラ イ ア ン ス イ ン タ ー フ ェ ース ETH 1 を使用する。
プ ラ イ マ リ と セ カ ン ダ リ の接続 :
•
両方のア プ ラ イ ア ン スのイ ン タ ー フ ェ ース を ハイ アベ イ ラ ビ リ テ ィ 専用イ ン タ ー
フ ェ ース に指定する。 このイ ン タ ー フ ェ ースは、 ポー ト 2 ( プ ラ イ マ リ ) と ポー ト
2 ( セ カ ン ダ リ ) のよ う に、 両方のデバイ スで同 じ にする必要があ り ます。
•
接続用のイ ーサネ ッ ト ク ロ スオーバー ケーブルを調達する。
•
イ ーサネ ッ ト ク ロ スオーバー ケーブルでア プ ラ イ ア ン ス を接続する。
•
接続用に指定 さ れた イ ン タ ー フ ェ ース を使用する。
注記 : 接続には標準のイ ーサネ ッ ト ケーブルを使用する こ と がで き ますが、 2 つのア プ
ラ イ ア ン ス間にス イ ッ チ を置いて、 ア プ ラ イ ア ン ス と ス イ ッ チ を接続する必要があ り ま
す。 標準のイ ーサネ ッ ト ケーブルは、 2 つのア プ ラ イ ア ン ス間の直接接続では機能 し ま
せん。
4
次の手順 :
•
プ ラ イ マ リ ア プ ラ イ ア ン スで初期設定プ ロ セス を完了 さ せる。
•
セ カ ン ダ リ ア プ ラ イ ア ン スで初期設定プ ロ セス を完了 さ せる。
表 35: ハイ アベ イ ラ ビ リ テ ィ のためのア プ ラ イ ア ン スの接続
Proventia® Network Multi-Function Security Appliance User Guide
137
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
物理ネ ッ ト ワー ク 図
次の図は、 ハ イ アベ イ ラ ビ リ テ ィ 用に実装 さ れた 2 つのアプ ラ イ ア ン ス間の正 し いケーブル接続
を示 し ます。 こ の例では、 ス イ ッ チ と 標準の イ ーサネ ッ ト ケーブルが、 アプ ラ イ ア ン ス上の内部
お よ び外部 イ ン タ ーフ ェ ース を接続す る のに使用 さ れます。 ク ロ ス オーバー イ ーサネ ッ ト ケーブ
ルは、 アプ ラ イ ア ン ス を直接接続す る のに使用 さ れます。
注記 : アプ ラ イ ア ン ス上のポー ト 数はモデルに よ っ て異な り ますが、 ハ イ アベ イ ラ ビ リ テ ィ のた
めのケーブル配線要件は同 じ ま ま です。 た と えば、 アプ ラ イ ア ン ス間の接続では、 両方のアプ ラ イ
ア ン ス で同 じ ポー ト を使用す る 必要があ り ます。 こ の図は、 M30 モデルの場合を示 し ます。 こ の
図では、 両方のアプ ラ イ ア ン ス のポー ト ETH 0、 ETH 1、 お よ び ETH 2 がケーブル接続のために
使用 さ れます。
Internet
Physical Connections
1: Primary External (EXT 1)
2: Secondary External (EXT 1)
3: Primary Internal (INT 0)
Router
4: Secondary Internal (INT 0)
HA: High Availability
External Switch
Primary Node
1
2
Secondary Node
HA
3
4
Internal Switch
LAN
図 4: ハイ アベ イ ラ ビ リ テ ィ のためのケーブル接続 と イ ン タ ー フ ェ ース
138
必要なポ リ シーの設定
必要なポ リ シーの設定
は じ めに
ネ ッ ト ワー ク オブ ジ ェ
クト
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ に必要なポ リ シー と 次の内容について説明 し ます。
●
ネ ッ ト ワ ー ク オブジ ェ ク ト
●
ア ク セ ス ポ リ シー
●
ネ ッ ト ワ ー ク ア ド レ ス変換ルール
次の表では、 必須のネ ッ ト ワ ー ク オブジ ェ ク ト について説明 し ます。
ネ ッ ト ワー ク オブ ジ ェ ク ト
説明
Cluster_IPAddresses
プ ラ イ マ リ と セ カ ン ダ リ の両方のア プ ラ イ ア ン スで有効にな っ て
いる、 次を含むすべてのイ ン タ ー フ ェ ースの IP ア ド レ ス範囲を
示 し ます。
HA_Net_IPAddresses
•
HA イ ン タ ー フ ェ ース
•
仮想 IP ア ド レ ス
HA イ ン タ ー フ ェ ースの静的 IP ア ド レ ス範囲のみを示 し ます。
表 36: ハイ アベ イ ラ ビ リ テ ィ に必要なネ ッ ト ワー ク オブ ジ ェ ク ト
必須ポ リ シー
次の表では、 必須ポ リ シーを一覧 し ます。
名前
アク
ション
プロ ト コ
ル
発信元ア ド
レ スa
発信元
ポー ト
宛先ア ド レ
ス
宛先ポー ト
Allow policy
synchronization over
HA network (HA ネ ッ
ト ワー ク でのポ リ
シーの同期を許可す
る)
Allow
TCP
HA_Net_
IPAddresses
Any
Self
2998
説明 : こ のポ リ シーは、 ア プ ラ イ ア ン スがポ リ シーや他の設定を同期する こ と を許可 し ます。 こ
のポ リ シーは、 プ ラ イ マ リ および セ カ ン ダ リ ア プ ラ イ ア ン スで必須です。
Allow UDP heartbeat
on all enabled
interfaces ( すべての
有効な イ ン タ ー
フ ェ ースで UDP ハー
ト ビー ト を許可する )
Allow
UDP
Cluster_IP_
Addresses
Any
Self
694
説明 : こ のポ リ シーは、 すべてのイ ン タ ー フ ェ ース上でア プ ラ イ ア ン スから の必須のハー ト ビー
ト 信号を許可 し ます。 このポ リ シーは、 プ ラ イ マ リ および セ カ ン ダ リ ア プ ラ イ ア ン スで必須で
す。
表 37: ハイ アベ イ ラ ビ リ テ ィ の必須ポ リ シー
Proventia® Network Multi-Function Security Appliance User Guide
139
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
名前
アク
ション
プロ ト コ
ル
発信元ア ド
レ スa
発信元
ポー ト
宛先ア ド レ
ス
宛先ポー ト
Allow secondary
appliance updates
over HA network (HA
ネ ッ ト ワー ク でのセ
カ ンダ リ アプ ラ イ ア
ン スのア ッ プデー ト
を許可する )
Allow
TCP
HA_Net_
IPAddresses
Any
Any
Any
説明 : こ のポ リ シーは、 セ カ ン ダ リ ア プ ラ イ ア ン スがア ッ プデー ト を受信する こ と を許可 し ま
す。 このポ リ シーは、 プ ラ イ マ リ ア プ ラ イ ア ン スでのみ必要です。 両方のア プ ラ イ ア ン スが自
動的にポ リ シー と 設定を同期する と 、 プ ラ イ マ リ ア プ ラ イ ア ン スはセ カ ン ダ リ ア プ ラ イ ア ン ス
上に このポ リ シーを複製 し ます。
表 37: ハイ アベ イ ラ ビ リ テ ィ の必須ポ リ シー ( 続き )
a.
必須の NAT ルール
こ れ ら のポ リ シー中の発信元ア ド レ ス は、 必須 IP ア ド レ ス を ま と めて示すネ ッ ト ワ ー ク オブジ ェ ク ト で
す。 HA_Net_IPAddresses は、 HA イ ン タ ーフ ェ ー ス の静的 IP ア ド レ ス 範囲のみを示 し 、
Cluster_IP_Addresses は、 HA イ ン タ ーフ ェ ー ス や仮想 IP ア ド レ ス な ど の、 有効な イ ン タ ーフ ェ ー ス の IP
ア ド レ ス範囲を示 し ます。
次の表は、 必須のネ ッ ト ワ ー ク ア ド レ ス変換 (NAT) ルールについて説明 し ます。
プ ロ ト コル 発信元ア ド
レ スa
発信元ポー 宛先ア ド レ ス
ト
宛先ポー ト
変換済みア ド レ ス
Any
None
Any
Single IP Address
ñ 外部仮想 IP ア ド
レ ス を使用
HA_Net_
IPAddresses
Any
説明 : こ のルールは、 セ カ ン ダ リ ア プ ラ イ ア ン スがア ッ プデー ト を受信で き る よ う に、 セ カ ンダ
リ ア プ ラ イ ア ン スの発信元の NAT ア ド レ ス を指定 し ます。
注記 : このルールは、 プ ラ イ マ リ ア プ ラ イ ア ン スでのみ必要です。 両方のア プ ラ イ ア ン スが自動
的にポ リ シー と 設定を同期する と 、 プ ラ イ マ リ ア プ ラ イ ア ン スはセ カ ン ダ リ ア プ ラ イ ア ン ス上
に このポ リ シーを複製 し ます。
表 38: ハイ アベ イ ラ ビ リ テ ィ の必須 NAT ルール
a.
こ のルールの発信元ア ド レ ス は、 HA イ ン タ ーフ ェ ース の静的 IP ア ド レ ス範囲のみを ま と めて示す
HA_Net_IPAddresses と 呼ばれ る ネ ッ ト ワ ー ク オブジ ェ ク ト です。
重要 : Hide NAT Source Rule と 呼ばれ る NAT ルールがデフ ォル ト で有効にな っ てお り 、 すべてのプ
ラ イ ベー ト IP ア ド レ ス が eth1 イ ン タ ーフ ェース の IP ア ド レ ス に変換 さ れます。 ハ イ アベ イ ラ ビ
リ テ ィ 設定の場合は、 Hide NAT Source Rule を編集す る 必要があ り ます。 IP ア ド レ ス エン ト リ を
HA ク ラ ス タ の仮想 IP ア ド レ ス に変更 し て く だ さ い。
ポ リ シー と ハイ アベ イ
ラビリテ ィ
ハ イ アベ イ ラ ビ リ テ ィ 実装は、 少な く と も 2 つのアプ ラ イ ア ン ス で構成 さ れます。
●
プ ラ イ マ リ - こ のアプ ラ イ ア ン スは、 メ イ ン操作用のセキ ュ リ テ ィ デバ イ ス と し て機能 し ま
す。
●
セカ ン ダ リ ( バ ッ ク ア ッ プ ) - こ のアプ ラ イ ア ン ス は、プ ラ イ マ リ アプ ラ イ ア ン ス に障害が発生
し た場合に、 操作を引 き 継ぐ 受動的なバ ッ ク ア ッ プ デバ イ ス と し て機能 し ます。
こ の機能が正 し く 機能す る ために、 2 つのアプ ラ イ ア ン スは、 2 つの静的 IP ア ド レ ス ではな く 、 1
つの仮想 IP ア ド レ ス で表示 さ れます。 仮想 IP ア ド レ スは、 ハ イ アベ イ ラ ビ リ テ ィ 機能がアプ ラ イ
140
必要なポ リ シーの設定
ア ン ス上で有効にな っ てい る 場合のみ動作 し ます。 こ の機能が無効にな っ てい る 場合は動作 し ませ
ん。
アプ ラ イ ア ン ス のすべてのポ リ シーは、 仮想 IP ア ド レ ス のほかに次の内容 も 参照す る 必要があ り
ます。
●
アプ ラ イ ア ン ス ア ク セ ス ポ リ シー
●
フ ァ イ ア ウ ォール ア ク セ ス ポ リ シー
●
IPSEC ポ リ シー
●
NAT ポ リ シー
●
ALG ポ リ シー
重要 : 2 つのアプ ラ イ ア ン ス のハ イ アベ イ ラ ビ リ テ ィ 機能を有効にす る 前に、 すべてのポ リ シー
が仮想 IP ア ド レ ス を参照 し てい る こ と を確認 し て く だ さ い。 そ う し ない と 、 アプ ラ イ ア ン スはハ
イ アベ イ ラ ビ リ テ ィ 実装で ト ラ フ ッ ク を正 し く ルーテ ィ ン グで き ず、 ト ラ フ ィ ッ ク が中断 さ れま
す。
Proventia® Network Multi-Function Security Appliance User Guide
141
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
ハイ アベ イ ラ ビ リ テ ィ の有効化 と 無効化
は じ めに
こ の ト ピ ッ ク では、 アプ ラ イ ア ン ス のハ イ アベ イ ラ ビ リ テ ィ を有効ま たは無効にする 方法につい
て説明 し ます。 こ の ト ピ ッ ク の情報は、 ルーテ ィ ン グ モー ド で実行する アプ ラ イ ア ン ス にのみ当
てはま り ます。
ハイ アベ イ ラ ビ リ テ ィ
を有効にする前に
ハ イ アベ イ ラ ビ リ テ ィ を有効にする 前に、 こ の章で説明 し た準備作業や設定作業を完了 さ せる 必
要があ り ます。 詳細については、 次の ト ピ ッ ク を参照 し て く だ さ い。
ハイ アベ イ ラ ビ リ テ ィ
の有効化
●
「ハ イ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セ ス」 (135 ページ )
●
「必要なポ リ シーの設定」 (139 ページ )
●
「ハ イ アベ イ ラ ビ リ テ ィ の設定」 (143 ページ )
ハ イ アベ イ ラ ビ リ テ ィ を有効にする には :
1. ブ ラ ウ ザを開 き 、 プ ラ イ マ リ アプ ラ イ ア ン ス の固有の内部 IP ア ド レ ス (Proventia Manager) に
進みます。
2. プ ラ イ マ リ アプ ラ イ ア ン ス のナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [System] →
[High Availability] の順に選択 し ます。
3. [Base Configuration] タ ブを選択 し 、 [Enabled] チ ェ ッ ク ボ ッ ク ス を オンに し ます。
4. [Save Changes] を ク リ ッ ク し ます。
5. ナビ ゲーシ ョ ン パネルで [Home] を選択 し 、 次の ス テー タ ス情報を確認 し ます。
High Availability Active Status is Running.
ハイ アベ イ ラ ビ リ テ ィ
を無効にする前に
ハ イ アベ イ ラ ビ リ テ ィ を無効にする 前に、 こ の章で説明 し た準備作業や設定作業を完了 さ せる 必
要があ り ます。 詳細については、 「ハ イ アベ イ ラ ビ リ テ ィ の初期設定プ ロ セ ス」 (135 ページ ) を参
照 し て く だ さ い。
ハイ アベ イ ラ ビ リ テ ィ
の無効化
ハ イ アベ イ ラ ビ リ テ ィ を無効にする には :
1. ブ ラ ウ ザを開 き 、 次のいずれかに進みます。
■
プ ラ イ マ リ アプ ラ イ ア ン ス の静的 IP ア ド レ ス
■
ク ラ ス タ の仮想 IP ア ド レ ス
2. プ ラ イ マ リ アプ ラ イ ア ン ス のナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [System] →
[High Availability] の順に選択 し ます。
3. [Base Configuration] タ ブを選択 し 、 [Enabled] チ ェ ッ ク ボ ッ ク ス を オフ に し ます。
4. [Save Changes] を ク リ ッ ク し ます。
5. ナビ ゲーシ ョ ン パネルで [Home] を選択 し 、 次の ス テー タ ス情報を確認 し ます。
High Availability Active Status is Stopped.
142
ハイ アベ イ ラ ビ リ テ ィ の設定
ハイ アベ イ ラ ビ リ テ ィ の設定
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ の基本設定を行い、 その機能を有効にする 方法につい
て説明 し ます。 こ の手順は、 アプ ラ イ ア ン ス がルーテ ィ ン グ モー ド にな っ てい る 場合のみ行 う こ
と がで き ます。
重要 : こ の操作は、 プ ラ イ マ リ アプ ラ イ ア ン ス でのみ行 う 必要があ り ます。
基本設定
プ ラ イ マ リ アプ ラ イ ア ン ス で基本設定を行 う には :
1. プ ラ イ マ リ アプ ラ イ ア ン ス のナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [System] →
[High Availability] の順に選択 し ます。
2. [Base Configuration] タ ブを選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Enabled
こ のオプ シ ョ ン を選択 し ます。
HA interface Name
一覧から イ ン タ ー フ ェ ース を選択 し ます。
注記 : このイ ン タ ー フ ェ ースは、 プ ラ イ マ リ およびセ カ ン ダ リ ア
プ ラ イ ア ン ス と ク ロ スオーバー イ ーサネ ッ ト ケーブルを直接接
続する イ ン タ ー フ ェ ースです。
Dead Timeout ( ミ リ 秒
単位 )
Shared Secret
次のガ イ ド ラ イ ン を使用 し て こ の値を設定 し ます。
•
値を小 さ く する と 、 問題が発生 し てから ア プ ラ イ ア ン スが
バ ッ ク ア ッ プ ア プ ラ イ ア ン スに フ ェ ールオーバーする までの
時間が短縮 さ れます。
•
小 さ な値を使用する と 、 ネ ッ ト ワー ク 通信量が増加 し た と き
にア プ ラ イ ア ン スがフ ェ ールオーバーする可能性があ り ます。
•
デ フ ォル ト 値はテス ト 済みであ り 、 ほ と んどの場合すべての
ア プ ラ イ ア ン スで有効です。
•
デ フ ォル ト 値を微調整 し ます。
•
デ フ ォル ト = 30000 ミ リ 秒 (30 秒 )
こ の文字列はア プ ラ イ ア ン ス間で共有 さ れます。 こ のフ ィ ール ド
は必須です。
プ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ンダ リ ア プ ラ イ ア ン ス間で共
有 さ れる シー ク レ ッ ト テキス ト 文字列。
注記 : このテキス ト 文字列は 16 ～ 64 文字に し て く だ さ い ( ス
ペース を含めない )。
Virtual Gateway
こ れは、 ア プ ラ イ ア ン スの外部ゲー ト ウ ェ イの IP ア ド レ スです。
3. 次の作業を行い ます。
タブ
Virtual IP Addresses
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. デ フ ォル ト 設定の [Enabled] を承諾 し ます。
3. ド ロ ッ プダウン リ ス ト から [Interface Name] を選択 し ます。
4. [ IP address] に IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ま
す。
Proventia® Network Multi-Function Security Appliance User Guide
143
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
タブ
Monitor IP Addresses
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. デ フ ォル ト 設定の [Enabled] を承諾 し ます。
3. デバイ スの IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ます。
注記 : こ の IP ア ド レ スはオプ シ ョ ン です。
Alternate Node
Interfaces
1. [Add] ア イ コ ン を ク リ ッ ク し 、 セ カ ン ダ リ ア プ ラ イ ア ン スの
次の情報を入力 し ます。
イ ン タ ー フ ェ ース名
IP ア ド レ ス
2. [OK] を選択 し ます。
4. ナビ ゲーシ ョ ン パネルで [Home] を選択 し 、 次の ス テー タ ス情報を確認 し ます。
High Availability Active Status is Running.
144
ハ イ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ース
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ース
は じ めに
必須 IP ア ド レ ス
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ 用の イ ン タ ーフ ェ ース と IP ア ド レ ス について、 次の内
容を含めて説明 し ます。
●
仮想 IP ア ド レ ス
●
監視 IP ア ド レ ス
●
代替 ノ ー ド イ ン タ ーフ ェ ース
次の要件が適用 さ れます。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の両方の内部 イ ン タ ーフ ェース は、
静的 IP ア ド レ ス を持っ てい る 必要があ り ます。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の両方の外部 イ ン タ ーフ ェース は、
DHCP お よ び PPPoE を サポー ト し ません。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス で有効にな っ てい る イ ン タ ーフ ェー
スは、 少な く と も 1 つの仮想 IP ア ド レ ス を持っ てい る 必要があ り ます。
●
仮想 IP ア ド レ スは、 他のアプ ラ イ ア ン ス イ ン タ ーフ ェ ースやネ ッ ト ワ ー ク 上に存在で き ませ
ん。
●
ハ イ アベ イ ラ ビ リ テ ィ イ ン タ ーフ ェース は、 静的 IP ア ド レ ス にす る 必要があ り ます。
例
こ の例では、 プ ラ イ マ リ お よ びセカ ン ダ リ アプ ラ イ ア ン ス を次の よ う に設定 し ます。
●
内部 イ ン タ ーフ ェ ース = 1 つの静的 IP ア ド レ ス
●
外部 イ ン タ ーフ ェ ース = 1 つの静的 IP ア ド レ ス
●
ハ イ アベ イ ラ ビ リ テ ィ イ ン タ ーフ ェース = 1 つの静的 IP ア ド レ ス
●
内部 = 1 つの仮想 IP ア ド レ ス
●
外部 = 1 つの仮想 IP ア ド レ ス
注記 : こ のア ド レ スは仮想ゲー ト ウ ェ イ IP ア ド レ ス で も あ り ます。
仮想 IP ア ド レ ス
アプ ラ イ ア ン ス がハ イ アベ イ ラ ビ リ テ ィ で配置 さ れ る と 、 ク ラ イ ア ン ト は仮想 IP ア ド レ ス を使っ
てアプ ラ イ ア ン ス と 通信 し ます。 こ れ ら のア ド レ スは、 両方のアプ ラ イ ア ン ス で設定 さ れますが、
プ ラ イ マ リ アプ ラ イ ア ン ス でのみ有効にな り ます。 こ の設定は、 プ ラ イ マ リ アプ ラ イ ア ン ス のみ
がネ ッ ト ワ ー ク ト ラ フ ィ ッ ク をルーテ ィ ン グする こ と を保証 し ます。 プ ラ イ マ リ アプ ラ イ ア ン ス
は、 フ ェ ールオーバーが発生す る ま で仮想 IP ア ド レ ス を所有 し てい ます。 その時点で、 セカ ン ダ
リ アプ ラ イ ア ン ス は仮想 IP ア ド レ ス を所有 し てい ます。
ハ イ アベ イ ラ ビ リ テ ィ 管理作業は、 仮想 IP ア ド レ ス のみを使用 し て行 う 必要があ り ます。 次の作
業を行 う 場合は、 固有の IP ア ド レ ス を使っ て各アプ ラ イ ア ン ス に個別に接続す る こ と がで き ます。
●
フ ァ ーム ウ ェ ア ア ッ プデー ト を イ ン ス ト ールする 場合
●
シ ス テ ムのバ ッ ク ア ッ プを実行す る 場合
●
シ ス テ ム バ ッ ク ア ッ プか ら 復元する 場合
Proventia® Network Multi-Function Security Appliance User Guide
145
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
監視 IP ア ド レ ス
監視 IP ア ド レ ス は、 外部お よ び内部の接続を監視す る ために使用で き る オプシ ョ ン機能です。 次
の表では、 監視プ ロ セ ス について説明 し ます。
段階
説明
1
HA ク ラ ス タ の外部にある別のネ ッ ト ワー ク デバイ スの IP ア ド レ ス を指定 し ます。 こ
れが監視 IP ア ド レ スです。
2
指定 し たデバイ スは、 ICMP エ コ ー要求パケ ッ ト を ア プ ラ イ ア ン スに送信 し 、 ユーザー
が定義 し た時間ま でその応答を待機 し ます。 この時間は デ ッ ド タ イムアウ ト と 呼ばれ
ます。
3
送信デバイ スが指定 し た時間内に応答を 受信 し た場合、 そのア プ ラ イ ア ン スは動作中 で
ある と 見な さ れます。
送信デバイ スが指定 し た時間内に応答を受信 し なか っ た場合、 そのア プ ラ イ ア ン スは障
害が発生 し ている と 見な さ れます。
4
プ ラ イ マ リ HA ア プ ラ イ ア ン スはセ カ ン ダ リ ア プ ラ イ ア ン ス を調査 し 、 ど ち ら のア プ
ラ イ ア ン スが接続可能なネ ッ ト ワー ク デバイ ス数が多いかを判断 し ます。
5
プ ラ イ マ リ ア プ ラ イ ア ン スの方が少ない場合は、 フ ェ ールオーバーが発生 し ます。
表 39: 監視プ ロ セス
監視 IP ア ド レ スの選択
146
次のガ イ ド ラ イ ンは、 監視 IP ア ド レ ス を選択す る 場合に役立ち ます。
●
外部接続を監視す る 場合は、 ルー タ ーな ど の Proventia ク ラ ス タ の EXT1 (eth1) 側にあ る デバ イ
ス、 ま たは他の IP ア ド レ ス を指定可能なデバ イ ス を選択 し ます。
●
内部接続を監視す る 場合は、 フ ァ イ ル サーバーや ド メ イ ン コ ン ト ロ ー ラ な ど の、 信頼性が高
く 、 平均的な ト ラ フ ィ ッ ク を維持 し てい る ネ ッ ト ワ ー ク に接続 さ れたデバ イ ス を選択 し ます。
●
ト ラ フ ィ ッ ク 負荷の高い Web サーバー、 メ ール サーバー、 その他のデバ イ ス は、 監視 IP ア ド
レ ス の候補にふ さ わ し く あ り ません。
●
ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク 量の混雑時に正常に機能する ルー タ ーやマネージ ド ス イ ッ チな ど
のハー ド ウ ェ ア デバ イ ス は、 監視 IP ア ド レ ス の候補に適 し てい ます。
●
ハ イ アベ イ ラ ビ リ テ ィ を有効に し た後で、 監視 IP ア ド レ ス を追加ま たは削除する 場合は、 ハ
イ アベ イ ラ ビ リ テ ィ を無効に し てか ら 変更を行 う 必要があ り ます。
●
ハ イ アベ イ ラ ビ リ テ ィ を有効にする 前に信頼で き る デバ イ ス を選択する こ と で、 不要なダ ウ
ン タ イ ム を回避 し ます。
ハ イ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ース
図 : 監視 IP 物理ネ ッ ト
ワー ク 図
次の物理ネ ッ ト ワ ー ク 図では、 監視 IP デバ イ ス を含む、 一般的な HA 実装シナ リ オを示 し ます。
図 5: 監視 IP の物理的な実装例
Proventia® Network Multi-Function Security Appliance User Guide
147
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
図 : 監視 IP 論理ネ ッ ト
ワー ク 図
次の例は、 監視 IP を使用 し た標準的なハ イ アベ イ ラ ビ リ テ ィ ク ラ ス タ の論理ネ ッ ト ワー ク 図を示
し ます。
図 6: 監視 IP 論理ネ ッ ト ワー ク図
代替 ノ ー ド イ ン タ ー
フ ェ ース
148
代替 ノ ー ド イ ン タ ーフ ェ ース は、 HA ク ラ ス タ の他のアプ ラ イ ア ン ス に関す る IP 情報を提供 し ま
す。 代替 ノ ー ド 上のすべてのア ク テ ィ ブな イ ン タ ーフ ェ ース (HA イ ン ターフ ェース を含む ) に関
す る IP 情報を入力す る 必要があ り ます。
ハ イ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ースの操作
ハイ アベ イ ラ ビ リ テ ィ の IP ア ド レ ス と イ ン タ ー フ ェ ースの操作
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ 用の次の種類の IP ア ド レ ス と イ ン タ ーフ ェ ース を追
加、 編集、 コ ピー、 お よ び削除す る 方法について説明 し ます。
●
仮想 IP ア ド レ ス
●
監視 IP ア ド レ ス
●
代替 ノ ー ド イ ン タ ーフ ェ ース
重要 : HA を有効に し た後で、 監視 IP ア ド レ ス を追加ま たは削除す る 場合は、 HA を無効に し てか
ら 変更を行 う 必要があ り ます。 不要なダ ウ ン タ イ ム を回避す る には、 HA を有効にす る 前に、 明 ら
かに信頼で き る デバ イ ス を選択す る こ と が重要です。
IP ア ド レ ス と イ ン タ ー
フ ェ ースの操作
仮想 IP ア ド レ ス ま たは代替 ノ ー ド イ ン タ ーフ ェ ース を追加、 編集、 コ ピー、 ま たは削除する には
:
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [High Availability] の順に選択 し
ます。
2. [Base Configuration] タ ブを選択 し 、 次のいずれかを行い ます。
操作
仮想 IP ア ド レ ス を追加
する
手順
1. [Virtual IP Addresses ] タ ブ を選択 し 、 [Add] ア イ コ ン を ク
リ ッ ク し ます。
2. デ フ ォル ト 設定の [Enabled] を承諾 し ます。
3. ド ロ ッ プダウン リ ス ト から [Interface Name] を選択 し ます。
4. [ IP address] に IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ま
す。
5. [Save Changes] を ク リ ッ ク し ます。
監視 IP ア ド レ スの追加
1. [Monitor IP Addresses] タ ブ を選択 し 、 [Add] ア イ コ ン を ク
リ ッ ク し ます。
2. デ フ ォル ト 設定の [Enabled] を承諾 し ます。
3. デバイ スの IP ア ド レ ス を入力 し 、 [OK] を ク リ ッ ク し ます。
4. [Save Changes] を ク リ ッ ク し ます。
代替 ノ ー ド を追加する
1. [Alternate Node Interfaces] タ ブ を選択 し 、 [Add] ア イ コ ン
を ク リ ッ ク し ます。
2. セ カ ン ダ リ ア プ ラ イ ア ン スに関する次の情報を追加 し 、 [OK]
を ク リ ッ ク し ます。
イ ン タ ー フ ェ ース名
IP ア ド レ ス
3. [Save Changes] を ク リ ッ ク し ます。
次を変更 し ます。
1. いずれかの タ ブ を選択 し 、 タ ブ上のエ ン ト リ を選択 し ます。
•
仮想 IP ア ド レ ス
2. [Edit] ア イ コ ン を ク リ ッ ク し ます。
•
監視 IP ア ド レ ス
3. この項目を編集 し 、 [OK] を ク リ ッ ク し ます。
•
代替 ノ ー ド
4. [Save Changes] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
149
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
操作
次を コ ピー し ます。
•
仮想 IP ア ド レ ス
•
監視 IP ア ド レ ス
•
代替 ノ ー ド
手順
1. いずれかの タ ブ を選択 し 、 エ ン ト リ を選択 し ます。
2. [Copy] ア イ コ ン (
(
) を ク リ ッ ク し 、 [Paste] ア イ コ ン
) を ク リ ッ ク し ます。
3. [Save Changes] を ク リ ッ ク し ます。
150
次を削除 し ます。
1. いずれかの タ ブ を選択 し 、 エ ン ト リ を選択 し ます。
•
仮想 IP ア ド レ ス
2. [Remove] ア イ コ ン を ク リ ッ ク し ます。
•
監視 IP ア ド レ ス
3. [Save Changes] を ク リ ッ ク し ます。
•
代替 ノ ー ド
ハイ アベ イ ラ ビ リ テ ィ でのア プ ラ イ ア ン スの管理
ハイ アベ イ ラ ビ リ テ ィ でのア プ ラ イ ア ン スの管理
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ でアプ ラ イ ア ン ス を ア ッ プデー ト する 場合の要件 と 推
奨事項について説明 し ます。
ア ッ プデー ト の要件
ア ッ プデー ト の要件は、 次の と お り です。
ス テー タ ス情報の表示
●
アプ ラ イ ア ン ス ご と に手動で フ ァ ーム ウ ェ ア ア ッ プデー ト を適用する 必要があ り ます。
●
アプ ラ イ ア ン ス上の自動フ ァ ーム ウ ェ ア ア ッ プデー ト を有効にする こ と はで き ません。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の両方に、 同 じ バージ ョ ンの フ ァ ー
ム ウ ェ ア を適用 し ます。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の フ ァ ーム ウ ェ ア を、 同 じ バージ ョ
ンにす る 必要があ り ます。
●
アプ ラ イ ア ン ス ご と にセキ ュ リ テ ィ コ ン テ ン ツ と デー タ ベース の自動ア ッ プデー ト を有効に
す る こ と がで き ます。
ハ イ アベ イ ラ ビ リ テ ィ 機能を持つアプ ラ イ ア ン ス の ス テー タ ス情報を表示する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Home] を選択 し ます。
2. 次の ス テー タ ス情報を確認 し ます。
HA ステー タ ス
説明
High Availability Mode
HA 機能のステー タ ス。
High Availability Node Name
High Availability Operating As
High Availability Active Status
•
Enabled
•
Disabled
ア プ ラ イ ア ン スの ノ ー ド 名。 形式は次の と お り です。
hostname.ipaddress
ア プ ラ イ ア ン スの HA ロール。
•
Unknown
•
Primary
•
Secondary
プ ラ イ マ リ ア プ ラ イ ア ン スのステー タ ス。
•
Running
•
Stopped
•
Not configured
•
Not installed
•
Unknown
表 40: ハイ アベ イ ラ ビ リ テ ィ ステー タ ス情報
Proventia® Network Multi-Function Security Appliance User Guide
151
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
HA ステー タ ス
説明
High Availability Secondary
Status
ハイ アベ イ ラ ビ リ テ ィ 機能が有効にな っ ている場合、 この
統計値はプ ラ イ マ リ ア プ ラ イ ア ン ス上でのみ表示 さ れます。
これは、 セ カ ン ダ リ アプ ラ イ ア ン スのステー タ スです。 オ
プ シ ョ ンは次の と お り です。
•
Unknown
•
Running
•
Stopped
•
Failure
表 40: ハイ アベ イ ラ ビ リ テ ィ ステー タ ス情報 ( 続き )
SiteProtector でのク ラ
ス タ の管理
SiteProtector Console でハ イ アベ イ ラ ビ リ テ ィ ク ラ ス タ を管理す る こ と がで き ます。 コ ン ソ ールは、
ク ラ ス タ を 1 つのアプ ラ イ ア ン ス と し て表示 し 、 1 つの仮想 IP ア ド レ ス で ク ラ ス タ を追跡 し ます。
コ ン ソ ールで ク ラ ス タ か ら の イ ベン ト を表示す る と き 、 イ ベン ト ソ ース は仮想 IP ア ド レ ス です。
重要 : コ ン ソ ールで ク ラ ス タ のネ ッ ト ワ ー ク 設定を変更 し ないで く だ さ い。
ハ イ アベ イ ラ ビ リ テ ィ ク ラ ス タ に対 し て SiteProtector に よ る 管理を有効にす る 前に、 ハ イ アベ イ
ラ ビ リ テ ィ を設定 し て有効にす る ためのプ ロ セ ス を完了す る 必要があ り ます。
注記 : ハ イ アベ イ ラ ビ リ テ ィ を設定 し た時点で、 セカ ン ダ リ アプ ラ イ ア ン ス が既に SiteProtector
に登録 さ れてい る 場合は、 次の作業を行 う 必要があ り ます。
■
ハ イ アベ イ ラ ビ リ テ ィ を設定 し て有効にする ためのプ ロ セ ス を完了する 。
■
SiteProtector か ら アプ ラ イ ア ン ス を登録解除す る 。
アプ ラ イ ア ン ス の ス テー タ スは、 SiteProtector Console で 「offline」 と 表示 さ れます。
152
SiteProtector でのハ イ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スの管理
SiteProtector でのハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スの管理
は じ めに
こ の ト ピ ッ ク では、 SiteProtector でのハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス の管理方法について説
明 し ます。 SiteProtector Agent Manager か ら HA アプ ラ イ ア ン ス を管理す る 場合は、 仮想 IP ア ド レ
ス を参照 し ます。 SiteProtector では、 HA ク ラ ス タ が 1 つのエン テ ィ テ ィ ま たはエージ ェ ン ト と し
て表示 さ れます
セカ ン ダ リ アプ ラ イ ア ン ス が既に SiteProtector Agent Manager に登録 さ れてい る 場合は、
SiteProtector か ら セカ ン ダ リ アプ ラ イ ア ン ス を登録解除す る 前に HA を有効にす る 必要があ り ま
す。 HA を有効にす る と 、 アプ ラ イ ア ン スは重複 し 、 ス テー タ ス は SiteProtector Console で 「offline」
と 表示 さ れます。
考慮すべき事項
次の点を考慮 し て く だ さ い。
●
SiteProtector イ ン タ ーフ ェ ース の HA ク ラ ス タ の構成では、 Proventia Manager イ ン タ ーフ ェ ー
ス と 同 じ CPE お よ びポ リ シー コ ンポーネ ン ト を使用 し ます。
●
SiteProtector は、 発信元に HA 仮想 IP ア ド レ ス を持つ HA ク ラ ス タ か ら イ ベン ト を受け取 り ま
す。
●
HA ク ラ ス タ のネ ッ ト ワ ー ク 設定を変更 し ないで く だ さ い。 SiteProtector で変更を行っ た場合
は、 エ ラ ー メ ッ セージ を回避する ためにその変更を取 り 消す必要があ り ます。
●
SiteProtector は仮想 IP ア ド レ ス で識別 し て、 HA ク ラ ス タ を 1 つのアプ ラ イ ア ン ス と 見な し ま
す。 SiteProtector は、 一方のアプ ラ イ ア ン ス か ら 他方のアプ ラ イ ア ン スへの フ ェ ールオーバー
を検知 し ません。
●
アプ ラ イ ア ン ス上ですべてのネ ッ ト ワ ー ク 設定 と HA 設定を有効に し た後、 HA アプ ラ イ ア ン
ス ク ラ ス タ に対する SiteProtector に よ る 管理を有効に し ます。
●
セカ ン ダ リ アプ ラ イ ア ン ス が既に SiteProtector Agent Manager に登録 さ れてい る 場合は、
SiteProtector か ら セカ ン ダ リ アプ ラ イ ア ン ス を登録解除す る 前に HA を有効にす る 必要があ り
ます。 HA を有効にす る と 、 アプ ラ イ ア ン スは重複 し 、 ス テー タ スは SiteProtector Console で
「offline」 と 表示 さ れます。
Proventia® Network Multi-Function Security Appliance User Guide
153
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
ハイ アベ イ ラ ビ リ テ ィ 実装のア プ ラ イ ア ン スのア ッ プデー ト
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ 実装のプ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ
イ ア ン ス を ア ッ プデー ト す る 方法について説明 し ます。
参照 : ウ ィ ルス シ グ ネチ ャ お よ びフ ィ ル タ デー タベース用のア ッ プデー ト の削除ま たは自動ア ッ
プデー ト の設定方法については、 「アプ ラ イ ア ン ス のア ッ プデー ト 」 (111 ページ ) を参照 し て く だ
さ い。
要件
作業の概要
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス を ア ッ プデー ト す る と き に適用す る のは、
次の要件です。
●
アプ ラ イ ア ン ス ご と に手動で フ ァ ーム ウ ェ ア ア ッ プデー ト を適用する 必要があ り ます。 アプ
ラ イ ア ン ス で自動フ ァ ーム ウ ェ ア ア ッ プデー ト を有効にする こ と は で き ません。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の両方に、 同 じ バージ ョ ンの フ ァ ー
ム ウ ェ ア を適用 し ます。
●
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス の フ ァ ーム ウ ェ ア を、 同 じ バージ ョ
ンにす る 必要があ り ます。
●
両方のアプ ラ イ ア ン ス で、 ウ ィ ルス定義お よ びフ ィ ル タ デー タ ベース用の自動アプ ラ イ ア ン
ス ア ッ プデー ト を有効にする こ と がで き ます。
●
アプ ラ イ ア ン ス のア ッ プデー ト は、 通常の業務時間外に行 う 必要があ り ます。
次の表では、 プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ ( バ ッ ク ア ッ プ ) アプ ラ イ ア ン ス でフ ァ ーム
ウ ェ ア を ア ッ プデー ト す る 場合の作業について説明 し ます。
注記 : こ のプ ロ セ ス中に、 2 つのブ ラ ウ ザを同時に開 く こ と がで き ます。 1 つはプ ラ イ マ リ アプ ラ
イ ア ン ス用で、 も う 1 つはセカ ン ダ リ アプ ラ イ ア ン ス用です。 プ ロ セ ス中にプ ラ イ マ リ アプ ラ イ
ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス を切 り 替え る こ と が容易にな り ます。
作業
アプラ イア
ンス
説明
1
プラ イマ リ
ブ ラ ウザを開き、 プ ラ イ マ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ ス を
入力 し ます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
2
3
プラ イマ リ
プラ イマ リ
自動ア ッ プデー ト で設定 さ れた プ ラ イ マ リ アプ ラ イ ア ン スですか。
•
そ う である場合は、 [Maintenance] → [Updates] → [Updates to
Install] の順に選択 し 、 ア ッ プデー ト が一覧 さ れている こ と を確認 し ま
す。
•
そ う でない場合は、 [Maintenance] → [Updates] → [Available
Downloads, ] の順に選択 し 、 [ Download All Available Updates] を
選択 し ます。
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Tools] の順に選択
し ます。
2. [Failover ] を ク リ ッ ク し て、 セ カ ン ダ リ ア プ ラ イ ア ン スに フ ェ ール
オーバー し ます。
表 41: プ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ン ダ リ ( バ ッ ク ア ッ プ ) ア プ ラ イ ア ン スのア ッ プデー ト
作業
154
ハ イ アベ イ ラ ビ リ テ ィ 実装のア プ ラ イ ア ン スのア ッ プデー ト
作業
アプラ イア
ンス
4
セカ ンダ リ
説明
1. ブ ラ ウザを開き、 セ カ ン ダ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ
ス を入力 し ます。
2. ナビゲーシ ョ ン パネルで [Home] を選択 し 、 次のス テー タ ス を確認 し
ます。
High Availability Operating As is Primary.
5
プラ イマ リ
ブ ラ ウザを開き、 プ ラ イ マ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ ス を
入力 し ます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
6
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Backup and
Recovery] の順に選択 し ます。
プラ イマ リ
2. [Full Backup] タ ブ を選択 し 、 [Create System Backup] を ク リ ッ ク し
ます。
3. 画面上の指示に従います。
7
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Updates] →
[Available Installs] の順に選択 し ます。
プラ イマ リ
2. すべてのア ッ プデー ト を イ ン ス ト ール し ます。
8
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Updates] の順に選
択 し ます。
プラ イマ リ
2. [Review History] タ ブ を選択 し 、 ア ッ プデー ト が正常に イ ン ス ト ール
さ れた こ と を確認 し ます。
9
セカ ンダ リ
ブ ラ ウザを開き、 セ カ ン ダ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ ス を
入力 し ます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
10
11
セカ ンダ リ
セカ ンダ リ
自動ア ッ プデー ト で設定 さ れたセ カ ン ダ リ アプ ラ イ ア ン スですか。
•
そ う である場合は、 [Maintenance] → [Updates] → [Updates to
Install] の順に選択 し 、 ア ッ プデー ト が一覧 さ れている こ と を確認 し ま
す。
•
そ う でない場合は、 [Maintenance] → [Updates] → [Available
Downloads, ] の順に選択 し 、 [ Download All Available Updates] を
選択 し ます。
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Tools] の順に選択
し ます。
2. [Failover ] を ク リ ッ ク し て、 プ ラ イ マ リ ア プ ラ イ ア ン スに フ ェ ール
バ ッ ク し ます。
12
プラ イマ リ
1. ブ ラ ウザを開き、 プ ラ イ マ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ
ス を入力 し ます。
2. ナビゲーシ ョ ン パネルで [Home] を選択 し 、 次のス テー タ ス を確認 し
ます。
High Availability Operating As is Primary.
表 41: プ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ン ダ リ ( バ ッ ク ア ッ プ ) ア プ ラ イ ア ン スのア ッ プデー ト
作業 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
155
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
作業
アプラ イア
ンス
説明
13
セカ ンダ リ
ブ ラ ウザを開き、 セ カ ン ダ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ ス を
入力 し ます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
14
セカ ンダ リ
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Backup and
Recovery] の順に選択 し ます。
2. [Full Backup] タ ブ を選択 し 、 [Create System Backup] を ク リ ッ ク し
ます。
3. 画面上の指示に従います。
15
セカ ンダ リ
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Updates] →
[Available Installs] の順に選択 し ます。
2. すべてのア ッ プデー ト を イ ン ス ト ール し ます。
16
セカ ンダ リ
1. ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Updates] の順に選
択 し ます。
2. [Review History] タ ブ を選択 し 、 ア ッ プデー ト が正常に イ ン ス ト ール
さ れた こ と を確認 し ます。
表 41: プ ラ イ マ リ ア プ ラ イ ア ン ス と セ カ ン ダ リ ( バ ッ ク ア ッ プ ) ア プ ラ イ ア ン スのア ッ プデー ト
作業 ( 続き )
156
ハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
ハイ アベ イ ラ ビ リ テ ィ ア プ ラ イ ア ン スのバ ッ ク ア ッ プ と 復元
は じ めに
こ の ト ピ ッ ク では、 ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス をバ ッ ク ア ッ プお よ び復元す る 場合の
制約 と 推奨事項について説明 し ます。
ハ イ アベ イ ラ ビ リ テ ィ と 通常のアプ ラ イ ア ン ス のバ ッ ク ア ッ プお よ び復元手順は、 同 じ です。 ハ
イ アベ イ ラ ビ リ テ ィ 実装の場合は、 バ ッ ク ア ッ プお よ び復元作業を、 プ ラ イ マ リ アプ ラ イ ア ン ス
上で行 う 必要があ り ます。 こ れ ら の作業を行 う ためにプ ラ イ マ リ アプ ラ イ ア ン ス にア ク セ スする
場合は、 プ ラ イ マ リ アプ ラ イ ア ン ス の静的 IP ア ド レ ス ではな く 、 仮想 IP ア ド レ ス を使用す る 必要
があ り ます。
参照 : バ ッ ク ア ッ プお よ び復元プ ロ セ ス については、 「アプ ラ イ ア ン ス のバ ッ ク ア ッ プ と 復元」
(121 ページ ) を参照 し て く だ さ い。
制約
次の制約が適用 さ れます。
●
プ ラ イ マ リ アプ ラ イ ア ン ス上で設定をバ ッ ク ア ッ プ し 、 復元する 必要があ り ます。
注記 : ハ イ アベ イ ラ ビ リ テ ィ 機能は、 プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン
ス の設定を同期 し ます。 セカ ン ダ リ アプ ラ イ ア ン ス を再起動する と 、 セカ ン ダ リ アプ ラ イ ア
ン スは自動的にプ ラ イ マ リ アプ ラ イ ア ン ス か ら 設定を取得 し ます。
●
ハ イ アベ イ ラ ビ リ テ ィ 機能を持たないアプ ラ イ ア ン ス か ら 、 ハ イ アベ イ ラ ビ リ テ ィ が有効に
な っ てい る アプ ラ イ ア ン ス に設定を復元す る こ と はで き ません。
推奨事項
プ ラ イ マ リ アプ ラ イ ア ン ス と セカ ン ダ リ アプ ラ イ ア ン ス を個別にバ ッ ク ア ッ プ し てか ら 、 両方の
アプ ラ イ ア ン ス でハ イ アベ イ ラ ビ リ テ ィ を設定 し て有効にする こ と を推奨 し ます。
ア プ ラ イ ア ン スのバ ッ ク
アップ
次の表は、 ハ イ アベ イ ラ ビ リ テ ィ アプ ラ イ ア ン ス のバ ッ ク ア ッ プ作業について説明 し ます。
作業
アプラ イア
ンス
説明
1
セカ ンダ リ
ブ ラ ウザを開き、 セ カ ン ダ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ スに
進みます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
2
セカ ンダ リ
フ ル システムをバ ッ ク ア ッ プ し ます。
3
セカ ンダ リ
Home ページに進み、 次のス テー タ ス を確認 し ます。
High Availability Active Status is Running.
4
プラ イマ リ
ブ ラ ウザを開き、 プ ラ イ マ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ スに
進みます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
5
プラ イマ リ
プ ラ イ マ リ アプ ラ イ ア ン スで HA 機能が正常に動作 し ている こ と を確認
するには、 Home ページの [System Status] セ ク シ ョ ン に進み、 [High
Availability Active Status] が 「Running」 にな っ ている こ と を確認 し ま
す。
6
プラ イマ リ
ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Maintenance] → [Tools] の順に選択 し 、
を ク リ ッ ク する と 、 セ カ ン ダ リ ア プ ラ イ ア ン スに フ ェ ール
オーバー し ます。
表 42: ハイ アベ イ ラ ビ リ テ ィ 実装における ア プ ラ イ ア ン スのバ ッ ク ア ッ プ作業
Proventia® Network Multi-Function Security Appliance User Guide
157
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
作業
アプラ イア
ンス
説明
7
プラ イマ リ
フ ル システムをバ ッ ク ア ッ プ し ます。
8
クラスタ
ブ ラ ウザを開き、 内部仮想 IP ア ド レ スに移動 し ます。
9
プラ イマ リ
Home ページに進み、 次のス テー タ ス を確認 し ます。
High Availability Active Status is Running
表 42: ハイ アベ イ ラ ビ リ テ ィ 実装における ア プ ラ イ ア ン スのバ ッ ク ア ッ プ作業 ( 続き )
ア プ ラ イ ア ン スの復元
次の表は、 ハ イ アベ イ ラ ビ リ テ ィ 実装のアプ ラ イ ア ン ス の復元作業について説明 し ます。
作業
アプラ イア
ンス
説明
1
プラ イマ リ
ブ ラ ウザを開き、 プ ラ イ マ リ ア プ ラ イ ア ン スの固有の内部 IP ア ド レ スに
進みます。
注記 : 仮想 IP ア ド レ スは使用 し ないで く だ さ い。
2
プラ イマ リ
ナビゲーシ ョ ン ウ ィ ン ド ウで、 [Configuration] →[System] → [High
Availability] の順に選択 し 、 [HA Enabled] ボ ッ ク ス を オ フ に し ます。
注記 : こ の作業によ っ て、 両方のア プ ラ イ ア ン スで HA 機能が無効化 さ れ
ます。
3
プラ イマ リ
プ ラ イ マ リ アプ ラ イ ア ン ス上にシ ステム バ ッ ク ア ッ プ を復元 し ます。
4
セカ ンダ リ
セ カ ン ダ リ アプ ラ イ ア ン ス上にシ ステム バ ッ ク ア ッ プ を復元 し ます。
5
両方
ハイ アベ イ ラ ビ リ テ ィ 設定を再設定する。
参照 : 「ア プ ラ イ ア ン スの可用性の維持」 (129 ページ ) を参照 し て く だ さ
い。
表 43: ハイ アベ イ ラ ビ リ テ ィ 実装における ア プ ラ イ ア ン スの復元作業
158
ハイ アベ イ ラ ビ リ テ ィ の ト ラ ブルシ ュ ーテ ィ ング
は じ めに
こ の ト ピ ッ ク の情報は、 HA 設定の ト ラ ブルシ ュ ーテ ィ ン グ を行 う 場合に使用 し ます。
問題点 と 解決法
次の表では、 ハ イ アベ イ ラ ビ リ テ ィ で発生する 可能性のあ る 問題点の解決法について説明 し ます。
問題点
ア プ ラ イ ア ン スのハー ド ド
ラ イ ブ または他のハー ド ウ ェ
ア コ ンポーネン ト に障害が
発生 し ている
解決法a
1. ア プ ラ イ ア ン ス を交換 し 、 新 し いア プ ラ イ ア ン ス を設定 し ま
す。
2. ケーブルを接続 し ます。
3. ナビゲーシ ョ ン ウ ィ ン ド ウで [Configuration] → [System]
の順に選択 し ます。
4. [Restore Secondary] を ク リ ッ ク し てハイ アベ イ ラ ビ リ テ ィ
設定を最初期化 し ます。
アプラ イアンス ソ フ ト ウ ェ
アが正常に動作 し ない
1. ア プ ラ イ ア ン スのケーブルを取 り 外 し ます。
2. 製品に同梱 さ れている リ カバ リ CD から ソ フ ト ウ ェ ア を再イ
ン ス ト ール し ます。
3. ア プ ラ イ ア ン ス を再設定 し ます。
4. ケーブルを接続 し ます。
5. ナビゲーシ ョ ン ウ ィ ン ド ウで [Configuration] → [System]
の順に選択 し ます。
6. [Restore Secondary] を ク リ ッ ク し てハイ アベ イ ラ ビ リ テ ィ
設定を再初期化 し ます。
ソ フ ト ウ ェ アは正常に動作 し
ているが、 ハイ アベ イ ラ ビ
リ テ ィ 設定に問題がある
1. ア プ ラ イ ア ン ス間の ク ロ スオーバー ケーブルを取 り 外 し 、 も
う 一度接続 し ます。
2. ナビゲーシ ョ ン ウ ィ ン ド ウで [Configuration] → [System]
の順に選択 し ます。
3. [Restore Secondary] を ク リ ッ ク し てハイ アベ イ ラ ビ リ テ ィ
設定を再初期化 し ます。
表 44: ハイ アベ イ ラ ビ リ テ ィ の ト ラ ブルシ ュ ーテ ィ ング
a.
こ れ ら の手順で問題を解決で き ない場合、 詳細については、 こ の章の ト ピ ッ ク 「テ ク ニ カル サポー ト につ
いて」 (8 ページ ) お よ び 「テ ク ニ カル サポー ト について」 (8 ページ ) を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
159
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
160
概要
ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スの
フ ェ ールオーバー
セ ク シ ョ ン B:
概要
は じ めに
こ の ト ピ ッ ク では、 ト ラ ン スペア レ ン ト モー ド で実行する アプ ラ イ ア ン ス で フ ェ ールオーバー機
能を有効にす る 方法について説明 し ます。
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ト ラ ン スペア レ ン ト モー ド でのフ ェ ールオーバー
162
ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバーの有効化
165
Proventia® Network Multi-Function Security Appliance User Guide
161
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
ト ラ ン スペア レ ン ト モー ド での フ ェ ールオーバー
は じ めに
用語
こ の ト ピ ッ ク では、 次の内容について説明 し ます。
●
用語の説明
●
作業の概要
●
こ の機能に必要な接続図
次の表では、 こ の ト ピ ッ ク で使用す る 用語を定義 し ます。
用語
説明
ブ リ ッ ジ ID
ど ち ら のア プ ラ イ ア ン スがプ ラ イ マ リ であるかを判断 し ます。
最小の MAC ア ド レ ス
ブ リ ッ ジ ID を判断 し ます。
ループ
ア プ ラ イ ア ン ス間に複数のア ク テ ィ ブ パスがある場合、 ネ ッ ト ワー
ク 内で発生 し ます。
ルー ト ブ リ ッ ジ
プ ラ イ マ リ ア プ ラ イ ア ン ス ( 最小の MAC ア ド レ ス を持つア プ ラ イ ア
ンス もa )
Spanning Tree Protocol
ア プ ラ イ ア ン スに対 し て次の 1 組の冗長パス を維持 し 、ネ ッ ト ワー ク
ループ を排除する、 ブ リ ッ ジ管理プ ロ ト コル。
•
動作可能なア プ ラ イ ア ン スへの プ ラ イ マ リ パス
•
バ ッ ク ア ッ プ ア プ ラ イ ア ン スへのバ ッ ク ア ッ プ パス
パス を確立する ために、 プ ロ ト コルは次の作業を行います。
•
広範囲なネ ッ ト ワー ク にあるすべてのス イ ッ チの橋渡 し をする ツ
リ ーを作成する。
•
冗長パスまたはバ ッ ク ア ッ プ パス と し て知ら れる リ ン ク を、 強制
的にブ ロ ッ ク さ れたス タ ンバイ状態にする。
•
2 つのネ ッ ト ワー ク デバイ ス間で、一度に 1 つのア ク テ ィ ブ パス
( プ ラ イ マ リ パス ) のみを許可する。
動作可能なア プ ラ イ ア ン スへのプ ラ イ マ リ パスに障害が発生する と 、
STP プ ロ ト コ ルは自動的にバ ッ ク ア ッ プ ア プ ラ イ ア ン スへのバ ッ ク
ア ッ プ パス を ア ク テ ィ ブに し ます。 バ ッ ク ア ッ プ ア プ ラ イ ア ン スへ
の この自動的な リ ルーテ ィ ングは、 STP ベース フ ェ ールオーバー b
と 呼ばれます。
注記 : 場合によ っ ては、 STP がプ ラ イ マ リ パス と バ ッ ク ア ッ プ パス
を両方 と も 許可 し 、 ネ ッ ト ワー ク上でループ を引き起 こ す可能性があ
り ます。
表 45: Spanning Tree Protocol の用語
a.
2 つのアプ ラ イ ア ン ス の う ち、 最小の MAC ア ド レ ス を持つアプ ラ イ ア ン ス はルー ト ブ リ ッ ジです。 こ の
アプ ラ イ ア ン ス に障害が発生 し た場合は、 他のアプ ラ イ ア ン ス がルー ト ブ リ ッ ジにな り ま す。
b. STP ベー ス フ ェ ールオーバーは常に自動で行われ ま す。 手動で強制的に ト ラ ン ス ペア レ ン ト モー ド に
フ ェ ールオーバーす る こ と はで き ま せん。
162
ト ラ ン スペア レ ン ト モー ド での フ ェ ールオーバー
作業の概要
次の表は、 ト ラ ン スペア レ ン ト モー ド で実行する アプ ラ イ ア ン ス に フ ェ ールオーバーを設定する
場合に必要な作業について説明 し ます。
作業
1
説明
プ ラ イ マ リ ア プ ラ イ ア ン スの設定 :
•
ア プ ラ イ ア ン ス を イ ン ス ト ールする。
•
1 本のケーブルで 1 つのイ ン タ ー フ ェ ース を接続する。
•
Proventia Setup Assistant を実行 し て、 ア プ ラ イ ア ン ス を ト ラ ン スペア レ ン ト モー
ド に設定する。
注記 : 管理のために、 一意の IP ア ド レ ス を割 り 当てて く だ さ い。
2
セ カ ン ダ リ ア プ ラ イ ア ン スの設定 :
•
ア プ ラ イ ア ン ス を イ ン ス ト ールする。
•
1 本のケーブルで 1 つのイ ン タ ー フ ェ ース を接続する。a
•
Proventia Setup Assistant を実行 し て、 ア プ ラ イ ア ン ス を ト ラ ン スペア レ ン ト モー
ド に設定する。b
注記 : 管理のために、 一意の IP ア ド レ ス を割 り 当てて く だ さ い。
3
プ ラ イ マ リ ア プ ラ イ ア ン スの STP 設定 :
•
プ ラ イ マ リ アプ ラ イ ア ン スで STP を設定する。
参照 : 「 ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバーの有効化」 (165 ペー
ジ ) を参照 し て く だ さ い。
4
セ カ ン ダ リ ア プ ラ イ ア ン スの STP 設定 :
•
セ カ ン ダ リ アプ ラ イ ア ン スで STP を設定する。
参照 : 「 ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スのフ ェ ールオーバーの有効化」 (165 ペー
ジ ) を参照 し て く だ さ い。
表 46: ト ラ ン スペア レ ン ト モー ド アプ ラ イ ア ン スに フ ェ ールオーバーを設定する場合の作業
a.
プ ラ イ マ リ アプ ラ イ ア ン ス と セ カ ン ダ リ アプ ラ イ ア ン ス を、 ス イ ッ チ、 ブ リ ッ ジ、 ハブ な ど の Spanning
Tree Protocol が有効にな っ てい る デバ イ ス に接続 し ま す。 STP に準拠 し ないデバ イ ス は使用 し ないで く だ
さ い。 フ ェ ールオーバー防御は、 STP に準拠 し ないデバ イ ス 上では動作せず、 こ の機能をサポー ト し ま せ
ん。 詳細については、 次の物理ネ ッ ト ワ ー ク 図を参照 し て く だ さ い。
b. こ の機能が正常に機能す る よ う に、 プ ラ イ マ リ アプ ラ イ ア ン ス の設定は、 セ カ ン ダ リ アプ ラ イ ア ン ス上
に手動で複製 さ れ る 必要があ り ま す。
Proventia® Network Multi-Function Security Appliance User Guide
163
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
物理ネ ッ ト ワー ク 図
次の図は、 STP ベース のフ ェ ールオーバー防御のために配置 さ れた 2 つのアプ ラ イ ア ン ス の正 し い
ケーブル接続を示 し ます。
注記 : STP ベース の フ ェールオーバー防御のための 2 つのアプ ラ イ ア ン ス間の直接接続はあ り ませ
ん。 こ の種類の防御は、 プ ラ イ マ リ アプ ラ イ ア ン ス が使用で き ない場合に、 バ ッ ク ア ッ プ アプ ラ
イ ア ン ス に自動的に ト ラ フ ィ ッ ク を リ ルーテ ィ ン グす る 、 ルーテ ィ ン グ プ ロ ト コ ル設定に依存 し
ます。
Internet
Physical Connections
1: Primary External (EXT 1)
2: Secondary External (EXT 1)
Router
3: Primary Internal (INT 0)
4: Secondary Internal (INT 0)
External Switch
Node A
1
3
2
4
Internal Switch
LAN
164
Node B
ト ラ ン スペ ア レ ン ト ア プ ラ イ ア ン スの フ ェ ールオーバーの有効化
ト ラ ン スペア レ ン ト ア プ ラ イ ア ン スの フ ェ ールオーバーの有効化
は じ めに
こ の ト ピ ッ ク では、 プ ラ イ マ リ アプ ラ イ ア ン ス に障害が発生 し た と き に、 ト ラ フ ィ ッ ク がバ ッ ク
ア ッ プ アプ ラ イ ア ン ス に自動的にルーテ ィ ン グ さ れ る よ う に、 ト ラ ン スペア レ ン ト アプ ラ イ ア ン
ス での Spanning Tree Protocol の設定方法について説明 し ます。
注記 : こ の作業を、 まずプ ラ イ マ リ アプ ラ イ ア ン ス で実行 し 、 次にセカ ン ダ リ アプ ラ イ ア ン ス で
行 う 必要があ り ます。
要件
STP ベース のフ ェ ールオーバー機能は、 次の要件を満たす、 少な く と も 2 つのアプ ラ イ ア ン ス が必
要です。
●
各アプ ラ イ ア ン スは、 固有の識別子 ( 通常はアプ ラ イ ア ン ス の MAC ア ド レ ス に優先度値を加
えた も の ) を持っ てい る 必要があ り ます。
●
アプ ラ イ ア ン ス の各ポー ト は、固有の識別子 ( 通常はポー ト の MAC ア ド レ ス ) を持っ てい る 必
要があ り ます。
●
各ポー ト は、 コ ス ト に関連付け ら れ る 必要があ り ます。
注記 : コ ス ト は、 ルー ト 上の使用可能な帯域幅な ど の要素を示 し ます。 プ ロ ト コ ルは コ ス ト
を考慮 し て、 ネ ッ ト ワ ー ク 上のルー ト を選択 し ます。
作業の概要
次の表では、 ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス にフ ェ ールオーバーする ための STP の設定作業
について説明 し ます。
段階
1
説明
ルー ト ブ リ ッ ジ を選択 し ます。
最小の優先度値を割 り 当て ら れた ブ リ ッ ジが、 ルー ト ブ リ ッ ジ と な り ます。 これは、
接続 さ れているすべての LAN における、 ルー ト ブ リ ッ ジ機能を実行する唯一のブ リ ッ
ジ です。
2
ルー ト ポー ト を選択 し ます。
各ブ リ ッ ジは、 ルー ト ブ リ ッ ジへの接続に使用するルー ト ポー ト を特定 し ます。 ルー
ト ポー ト には、 最小のパス コ ス ト が割 り 当て ら れます。
3
各 LAN の指定ブ リ ッ ジ を選択 し ます。
指定ブ リ ッ ジは、 ルー ト ブ リ ッ ジに対する最小の コ ス ト 値を伴 う パス を持ち ます。 指
定ブ リ ッ ジは、 その LAN か らルー ト ブ リ ッ ジへパケ ッ ト を転送 し ます。
4
各ブ リ ッ ジの指定ポー ト を選択 し ます。
これは、 LAN 上の各ブ リ ッ ジが指定ブ リ ッ ジへの接続に使用するポー ト です。
表 47: STP のプ ロ セス
STP の設定
ト ラ ン スペア レ ン ト アプ ラ イ ア ン ス でフ ェ ールオーバー用の STP 設定を行 う には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [System] → [Network] → [Interfaces] の順に
選択 し ます。
2. [Spanning Tree Protocol Enabled] チ ェ ッ ク ボ ッ ク ス を オンに し ます。
Proventia® Network Multi-Function Security Appliance User Guide
165
第 13 章 : ア プ ラ イ ア ン スの可用性の維持
3. 次の よ う に入力 し 、 変更内容を保存 し ます。
フ ィ ール ド
説明
Maximum Age (secs)
ア プ ラ イ ア ン スが待機状態に切 り 替わる ま での、 イ ン タ ー フ ェ ー
ス上での Hellow パケ ッ ト の最大待機時間を設定 し ます。
設定可能値 = 6 ～ 39
166
Hello Time (secs)
Hello ブ ロー ド キ ャ ス ト メ ッ セージの最大間隔を秒単位で設定 し
ます。 ア プ ラ イ ア ン スは、 動作中である こ と を示すために Hello
ブ ロー ド キ ャ ス ト メ ッ セージ を送信 し ます。
Forward Delay (secs)
ア プ ラ イ ア ン スが転送状態か ら待機状態に切 り 替わる場合、 それ
ぞれの状態での待機時間を秒単位で設定 し ます。
Aging Delay (secs)
ア プ ラ イ ア ン スが動的に学習 し た転送情報を エージ アウ ト する ま
での最大待機時間を秒単位で設定 し ます。
パー ト III
®
機能の設定
第 14 章
フ ァ イ アウォールの設定
概要
は じ めに
正 し く 設定 さ れ る と 、 フ ァ イ ア ウ ォールはプ ラ イ ベー ト ネ ッ ト ワ ー ク へのア ク セ ス を制限 し 、 プ
ラ イ ベー ト ネ ッ ト ワ ー ク の制限付き 領域にユーザーがア ク セ ス で き ない よ う にする こ と も で き ま
す。 さ ら に、 フ ァ イ ア ウ ォールは次の機能を備え てい ます。
●
パケ ッ ト フ ィ ル タ リ ン グ - フ ァ イ ア ウ ォールは、 発信元 IP ア ド レ ス、 宛先 IP ア ド レ ス、 プ ロ
ト コ ル、 他のユーザー定義ルールな ど の情報に基づいて ト ラ フ ィ ッ ク を フ ィ ル タ リ ン グ し ま
す。
●
ネ ッ ト ワ ー ク ア ド レ ス変換 - フ ァ イ ア ウ ォールは、 ユーザーが定義 し た設定に基づいてネ ッ
ト ワ ー ク に出入 り す る と き に、 ト ラ フ ィ ッ ク 中の IP ア ド レ ス を変換 し ます。 ネ ッ ト ワ ー ク 内
のプ ラ イ ベー ト IP ア ド レ ス を非公開に し 、 プ ラ イ ベー ト ネ ッ ト ワ ー ク 内のすべてのデバ イ ス
に対 し て 1 つのパブ リ ッ ク IP ア ド レ ス を与え る こ と が可能です。
●
アプ リ ケーシ ョ ン層 ト ラ フ ィ ッ ク フ ィ ル タ リ ン グ - フ ァ イ ア ウ ォールは、 ユーザーが定義 し
たルールに基づいて、 電子 メ ール ト ラ フ ィ ッ ク (SMTP お よ び POP3)、 Web ト ラ フ ィ ッ ク
(HTTP)、 お よ びフ ァ イ ル転送 ト ラ フ ィ ッ ク (FTP) を フ ィ ル タ リ ン グ し ます。
参照 : フ ァ イ ア ウ ォールの監視 と 、 関連す る ス テー タ ス、 イ ベン ト 、 お よ び統計値の詳細な説明
については、 オン ラ イ ン ヘルプを参照 し て く だ さ い。
ネ ッ ト ワー ク オブ ジ ェ
クト
すべての フ ァ イ ア ウ ォール ポ リ シーで名前付き のネ ッ ト ワ ー ク オブジ ェ ク ト を使用す る こ と がで
き ます。 フ ァ イ ア ウ ォールを設定す る 前に、 ネ ッ ト ワ ー ク オブジ ェ ク ト を定義する 必要があ り ま
す。 詳細については、 「ネ ッ ト ワー ク オブジ ェ ク ト の定義」 (87 ページ ) を参照 し て く だ さ い。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
フ ァ イ アウ ォ ール ルーテ ィ ングにおける ト ラ フ ィ ッ ク の許可 と 拒否
171
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでの ト ラ フ ィ ッ ク の許可 と 拒否
174
フ ァ イ アウ ォ ール イ ベン ト のア ラ ー ト と ロギングの有効化
178
ア プ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク の フ ィ ル タ リ ング
180
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンの設定
183
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでのロー カル ルー タ ーの定義
183
ネ ッ ト ワー ク ア ド レ ス変換
187
イ ンバウン ド と アウ ト バウン ド の IP ア ド レ スの変換
190
Proventia® Network Multi-Function Security Appliance User Guide
169
第 14 章 : フ ァ イ アウ ォ ールの設定
トピック
ポー ト ア ド レ ス変換
170
ページ
195
フ ァ イ アウ ォ ール ルーテ ィ ングにおける ト ラ フ ィ ッ クの許可 と 拒否
は じ めに
フ ァ イ ア ウ ォールは、 ア ク セ ス ポ リ シーを使用 し て、 イ ン タ ーフ ェ ース を出入 り する ト ラ フ ィ ッ
ク と イ ン タ ーフ ェ ース に接続 し たネ ッ ト ワ ー ク の処理方法を決定 し ます。 こ の ト ピ ッ ク では、 効果
的なア ク セ ス ポ リ シーを定義する のに役立つ情報を提供 し ます。
注記 : フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーは、 通常、 ネ ッ ト ワー ク を防御す る ための大規模戦略
の一部です。
許可 と 拒否
ア ク セ ス ポ リ シーは、 フ ァ イ ア ウ ォールに対 し て次の命令を明確に定義 し ます。
●
許可す る ト ラ フ ィ ッ ク - ア ク セ ス ポ リ シーは、 フ ァ イ ア ウ ォールの通過を許可す る ト ラ
フ ィ ッ ク の種類を明確に記述 し ます。 た と えば、 Web サーバーに対 し て HTTP 接続 と HTTPS
接続だけ を許可す る こ と がで き ます。
●
拒否す る ト ラ フ ィ ッ ク - ア ク セ ス ポ リ シーは、 フ ァ イ ア ウ ォールの通過を拒否す る ト ラ
フ ィ ッ ク の種類を明確に記述 し ます。 た と えば、 プ ラ イ ベー ト ネ ッ ト ワ ー ク 内のサーバーへ
の フ ァ イ ル転送 (FTP) 接続を拒否す る こ と がで き ます。
アウ ト バウン ド と イ ンバ 上記の例か ら わか る よ う に、 フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーは許可ま たは拒否す る ト ラ
フ ィ ッ ク を定義す る だけでな く 、 ト ラ フ ィ ッ ク の方向に も 関係 し てい ます。 一部のポ リ シーでは、
ウン ド
イ ンバ ウ ン ド ト ラ フ ィ ッ ク の処理方法を定義 し 、 その他はア ウ ト バ ウ ン ド ト ラ フ ィ ッ ク の処理方
法を定義 し ます。
発信元 と 宛先
効果的なポ リ シー
●
ア ウ ト バ ウ ン ド - こ れ ら のポ リ シーは、 ネ ッ ト ワー ク を出 る ト ラ フ ィ ッ ク に関係 し てい ます。
た と えば、 ユーザーが イ ン タ ーネ ッ ト にア ク セ ス で き る よ う に Web ページ要求の送信を許可
す る 必要があ る か も し れませんが、 プ ラ イ ベー ト ネ ッ ト ワ ー ク に Web サーバーを ホ ス ト し て
いない場合は、 Web ページ要求の受信を許可 し た く ないか も し れません。
●
イ ンバ ウ ン ド - こ れ ら のポ リ シーは、 ネ ッ ト ワー ク に入 る ト ラ フ ィ ッ ク に関係 し てい ます。 た
と えば、 ユーザーが社外の他の ド メ イ ンか ら 電子 メ ールを取得で き る よ う に、 電子 メ ール ト
ラ フ ィ ッ ク の受信を許可す る 必要があ る か も し れません。
最終的にア ク セ ス ポ リ シーは、 ネ ッ ト ワ ー ク 内のデバ イ ス が ト ラ フ ィ ッ ク を送受信で き る 、 特定
の制御を提供 し ます。 ポー ト 情報は、 さ ら に、 ト ラ フ ィ ッ ク 制御をデバ イ ス上の特定の通信チ ャ ネ
ルに制限 し ます。 ポー ト は、 デバ イ ス上の無形のアプ リ ケーシ ョ ンやサービ ス を参照す る 傾向があ
り ますが、 IP ア ド レ スは物理デバ イ ス を参照す る 傾向があ り ます。
●
発信元 - ア ク セ ス ポ リ シーの発信元は、 フ ァ イ ア ウ ォールを通過す る ト ラ フ ィ ッ ク を 送信で
き る デバ イ ス ま たはネ ッ ト ワ ー ク を定義 し ます。 た と えば、 販売ネ ッ ト ワ ー ク 内のデバ イ ス が
顧客調査のために Web にア ク セ スす る こ と を許可す る こ と はで き ますが、 会計ネ ッ ト ワ ー ク
内のデバ イ ス が イ ン タ ーネ ッ ト にア ク セ スす る こ と は拒否 し ます。 ポ リ シーに発信元ポー ト 情
報を追加す る と 、 特定の通信チ ャ ネルで発生す る よ う にデバ イ ス の外向 き の通信を さ ら に制限
し ます。
●
宛先 - ア ク セ ス ポ リ シーの宛先は、 フ ァ イ ア ウ ォールを通過す る ト ラ フ ィ ッ ク を 受信で き る
デバ イ ス ま たはネ ッ ト ワ ー ク を定義 し ます。 た と えば、 イ ン タ ーネ ッ ト か ら メ ール ト ラ
フ ィ ッ ク を受信す る 内部 メ ール サーバーを許可 し 、 他のすべてのデバ イ ス を拒否する こ と が
で き ます。 こ のポ リ シーは、 プ ラ イ ベー ト ネ ッ ト ワ ー ク のユーザーに送信 さ れ る 前に、 ウ ィ
ルスやスパム を ス キ ャ ンす る 専用サーバーに受信 メ ールを隔離す る ための大規模戦略の一部で
す。 ポ リ シーに宛先ポー ト 情報を追加す る と 、 特定の通信チ ャ ネルで発生す る よ う にデバ イ ス
の内向 き の通信を さ ら に制限 し ます。
こ こ で示す例は、 ア ク セ ス ポ リ シーの主な機能を簡単に説明 し てい ます。 効果的な ア ク セ ス ポ リ
シー設定は、 フ ァ イ ア ウ ォールがセキ ュ リ テ ィ 要件、 顧客、 お よ び内部ユーザーのニーズに適応す
る こ と を保証す る ために綿密な計画を必要 と す る 複雑な作業です。 ま た、 ア ク セ ス ポ リ シーは、
設計どお り に機能 し 続け、 セキ ュ リ テ ィ と ネ ッ ト ワ ー ク の要件を満たす こ と を保証す る ために継続
的なテ ス ト 、 分析、 お よ び調整 も 必要です。
Proventia® Network Multi-Function Security Appliance User Guide
171
第 14 章 : フ ァ イ アウ ォ ールの設定
ネ ッ ト ワー ク オブ ジ ェ
クト
フ ァ イ ア ウ ォール ポ リ シーの発信元ま たは宛先 と し てネ ッ ト ワ ー ク オブジ ェ ク ト を指定す る こ と
がで き ます。 ネ ッ ト ワ ー ク オブジ ェ ク ト については、 「ネ ッ ト ワ ー ク オブジ ェ ク ト の定義」
(87 ページ ) を参照 し て く だ さ い。
ト ラ フ ィ ッ ク を許可する
ポ リ シーの定義
デバ イ ス と ネ ッ ト ワ ー ク 間の ト ラ フ ィ ッ ク を許可す る ア ク セ ス ポ リ シーを定義する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Access Policy] タ ブで [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の タ ブに入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
タブ
Access Policy
説明
1. [Enabled] を選択 し てポ リ シーを適用 し ます。
2. [Add] ア イ コ ン を ク リ ッ ク し 、 [Allow] を選択 し ます。
3. [Log Enabled] を選択 し て このポ リ シーに関連する セキ ュ リ テ ィ イ ベ
ン ト を記録 し ます。
4. [comment] に、 ポ リ シーのコ メ ン ト または説明を入力 し ます。
Protocol
フ ァ イ アウ ォ ールは、 こ こ で指定 し た ト ラ フ ィ ッ クの種類を許可 し ます。
ト ラ フ ィ ッ ク ( プ ロ ト コ ル ) を入力または選択 し ます。
Source
Address
フ ァ イ アウ ォ ールは、 こ こ で指定 し た IP ア ド レ ス またはネ ッ ト ワー ク か
ら 発信 さ れる ト ラ フ ィ ッ ク を許可 し ます。 発信元ア ド レ ス を選択または入
力 し ます。
Source Port
フ ァ イ アウ ォ ールは、 送信デバイ スまたはネ ッ ト ワー ク上の このポー ト か
ら ト ラ フ ィ ッ ク が発信 さ れる と 、 その ト ラ フ ィ ッ ク を許可 し ます。 複数の
ポー ト を指定する こ と がで き ます。 発信元ポー ト を選択または入力 し ま
す。
Destination
Address
フ ァ イ アウ ォ ールは、 こ こ で指定 し た IP ア ド レ ス またはネ ッ ト ワー ク に
ト ラ フ ィ ッ ク が送信 さ れる と 、 その ト ラ フ ィ ッ ク を許可 し ます。 宛先ア ド
レ ス を選択または入力 し ます。
Destination
Port
フ ァ イ アウ ォ ールは、 受信デバイ スまたはネ ッ ト ワー ク上の このポー ト に
ト ラ フ ィ ッ ク が送信 さ れる と 、 その ト ラ フ ィ ッ ク を許可 し ます。 複数の
ポー ト を指定する こ と がで き ます。 宛先ポー ト を選択または入力 し ます。
4. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
ト ラ フ ィ ッ ク を拒否する
ポ リ シーの定義
デバ イ ス と ネ ッ ト ワ ー ク 間の ト ラ フ ィ ッ ク を拒否す る ア ク セ ス ポ リ シーを定義する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Access Policy] タ ブで [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の タ ブに入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
タブ
Access Policy
説明
1. [Enabled] を選択 し てポ リ シーを適用 し ます。
2. [Add] ア イ コ ン を ク リ ッ ク し 、 [Reject] を選択 し ます。
3. [Log Enabled] を選択 し て このポ リ シーに関連する セキ ュ リ テ ィ イ ベ
ン ト を記録 し ます。
4. [comment] に、 コ メ ン ト またはポ リ シーの説明を入力 し ます。
172
フ ァ イ アウ ォ ール ルーテ ィ ン グにおけ る ト ラ フ ィ ッ ク の許可 と 拒否
タブ
説明
Protocol
フ ァ イ アウ ォ ールは、 こ こ で指定 し た ト ラ フ ィ ッ クの種類を拒否 し ます。
ト ラ フ ィ ッ ク ( プ ロ ト コ ル ) の種類を入力または選択 し ます。
Source
Address
フ ァ イ アウ ォ ールは、 こ こ で指定 し た IP ア ド レ ス またはネ ッ ト ワー ク か
ら 発信 さ れる ト ラ フ ィ ッ ク を拒否 し ます。 IP ア ド レ ス を選択または入力
し ます。
Source Port
フ ァ イ アウ ォ ールは、 送信デバイ スまたはネ ッ ト ワー ク上の このポー ト か
ら 発信 さ れる ト ラ フ ィ ッ ク を拒否 し ます。 複数のポー ト を指定する こ と が
で き ます。 発信元ポー ト を選択または入力 し ます。
Destination
Address
フ ァ イ アウ ォ ールは、 こ こ で指定 し た IP ア ド レ ス またはネ ッ ト ワー ク に
ト ラ フ ィ ッ ク が送信 さ れる と 、 その ト ラ フ ィ ッ ク を拒否 し ます。 宛先ア ド
レ ス を選択または入力 し ます。
Destination
Port
フ ァ イ アウ ォ ールは、 受信デバイ ス上の このポー ト に ト ラ フ ィ ッ クが送信
さ れる と 、 その ト ラ フ ィ ッ ク を拒否 し ます。 複数のポー ト を指定する こ と
がで き ます。 宛先ポー ト を選択または入力 し ます。
4. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
ア ク セス ポ リ シーの操
作
ア ク セ ス ポ リ シーを編集、 コ ピー、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Access Policy] タ ブを選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ア ク セス ポ リ シーを編
集する
手順
1. ア ク セス ポ リ シーを選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ま
す。
2. ポ リ シーを編集 し 、 [OK] を ク リ ッ ク し ます。
ア ク セス ポ リ シーを コ
ピーする
1. ア ク セス ポ リ シーを選択 し 、 [Copy] ア イ コ ン (
リ ッ ク し ます。
2. [Paste] ア イ コ ン (
) をク
) を ク リ ッ ク し ます。
3. 必要に応 じ てポ リ シーを編集 し 、 [OK] を ク リ ッ ク し ます。
ア ク セス ポ リ シーを削
除 し ます。
ポ リ シーを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
173
第 14 章 : フ ァ イ アウ ォ ールの設定
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでの ト ラ フ ィ ッ クの許可 と 拒否
は じ めに
ト ラ ン スペア レ ン ト モー ド では、 フ ァ イ ア ウ ォールは次の 2 つの技法を使用 し て ト ラ フ ィ ッ ク を
フ ィ ル タ リ ン グ し ます。
●
MAC ア ド レ ス フ ィ ル タ リ ン グ - アプ ラ イ ア ン ス は、 フ ァ イ ア ウ ォールを通過する ト ラ フ ィ ッ
ク を送受信で き る デバ イ ス の、 ユーザーが定義 し た MAC ア ド レ ス リ ス ト を保持 し てい ます。
許可 さ れていないデバ イ ス か ら の ト ラ フ ィ ッ ク は拒否 さ れます。 MAC ア ド レ スは、 デバ イ ス
のネ ッ ト ワ ー ク イ ン タ ーフ ェ ース カー ド (NIC) の固有のハー ド ウ ェ ア ア ド レ ス です。
●
プ ロ ト コ ル フ ィ ル タ リ ン グ ñ アプ ラ イ ア ン ス は、 第 2 層でネ ッ ト ワー ク に出入 り で き る プ ロ
ト コ ルを制御す る こ と がで き ます。
こ の ト ピ ッ ク では、 こ れ ら の種類のア ク セ ス ルールの設定方法 と 、 ト ラ ン スペア レ ン ト アプ ラ イ
ア ン ス のデフ ォ ル ト ア ク セ ス ポ リ シーについて説明 し ます。
ア ク セス制御の有効化
ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールでア ク セ ス制御を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Layer Two Access Control] タ ブ を選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
有効にする ア ク セス制御 手順
MAC ベースのア ク セス
ポ リ シーの追加
プ ロ ト コル ア ク セス制
御
[Protocol Access Control Enabled] チ ェ ッ ク ボ ッ ク ス を オ ンに
し ます。
MAC ア ド レ ス ア ク セス
制御
[MAC Access Control Enabled] チ ェ ッ ク ボ ッ ク ス を オ ンに し ま
す。
ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールで MAC ア ド レ スベース のア ク セ ス ポ リ シーを追加す る に
は:
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Layer Two Access Control] タ ブ を選択 し 、 [MAC Address Control] セ ク シ ョ ンの [Add] ア イ コ
ン を ク リ ッ ク し ます。
3. 次の よ う に入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
174
オプ シ ョ ン
説明
Name
ルールの名前を入力 し ます。
Enabled
ルールを適用する場合は、 このオプ シ ョ ン を選択 し ます。
Log Enabled
フ ァ イ アウ ォ ールで このルールに関連する イ ベン ト のログ を記録
する場合は、 このオプ シ ョ ン を選択 し ます。
Comment
ルールの コ メ ン ト または説明を入力 し ます。
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでの ト ラ フ ィ ッ ク の許可 と 拒否
オプ シ ョ ン
説明
Protocol Classification
[Protocol ] セ ク シ ョ ン で、 次の分類のいずれかを選択 し 、 一覧か
ら 1 種類を選択 し ます。
•
Ethertype based on DIX frame format
• IPV4
• IPV6
• ARP
• RARP
•
SAP based on LLC 802.2 Value
• NetBEUI
• SNA
•
SNAP based on SNAP Values
• IPV4
• IPV6
• ARP
• RARP
注記 : こ れら のフ ィ ール ド の値を 16 進数で入力する こ と がで き
ます。 使用可能な値については、 RFC 1010 を参照 し て く だ さ
い。
プ ロ ト コ ルベース ア ク
セス ポ リ シーの追加
ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールでプ ロ ト コ ルベース のア ク セ ス ポ リ シーを追加す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Layer Two Access Control] タ ブ を選択 し 、 [Protocol Access Rule] セ ク シ ョ ンの [Add] ア イ コ ン
を ク リ ッ ク し ます。
3. 次の よ う に入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
第 2 層のア ク セス ルー
ルの操作
オプ シ ョ ン
説明
Name
ルールの名前を入力 し ます。
Enabled
ポ リ シーを適用する場合は、 こ のオプ シ ョ ン を選択 し ます。
MAC Address
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールを通過する ト ラ フ ィ ッ ク
を送受信で き るデバイ スの MAC ア ド レ ス を入力 し ます。
Log Enabled
フ ァ イ アウ ォ ールで こ のポ リ シーに関連する イ ベン ト のログを記
録する場合は、 こ のオプ シ ョ ン を選択 し ます。
Comment
ポ リ シーのコ メ ン ト または説明を入力 し ます。
プ ロ ト コ ル ア ク セ ス ルールや MAC ア ド レ ス ア ク セ ス ルールを含むア ク セ ス ルールを編集、 コ
ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Layer Two Access Control] タ ブ を選択 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
175
第 14 章 : フ ァ イ アウ ォ ールの設定
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
1. ア ク セス ルールを選択 し 、[Edit] ア イ コ ン を ク リ ッ ク し ます。
ア ク セス ルールを編集
する
2. このルールを編集 し 、 [OK] を ク リ ッ ク し ます。
ア ク セス ルールを コ
ピーする
1. ア ク セス ルールを選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ま
す。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. このルールを編集 し 、 [OK] を ク リ ッ ク し ます。
ア ク セス ルールを削除
する
デ フ ォル ト ア ク セス ポ
リ シー
ア ク セス ルールを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ま
す。
次の表では、 ト ラ ン スペア レ ン ト モー ド のデフ ォル ト で有効お よ び無効にな っ てい る ア ク セ ス ポ
リ シーについて説明 し ます。
名前
アク
ション
プロ ト コ
ル
発信元ア ド レ
ス
発信元
ポー ト
宛先ア ド レ ス
Allow HTTPS from
CORPTRANS to
appliance
Allow
HTTPS
CORPTRANS
Any
Self
宛先ポー ト
説明 : こ のポ リ シーは、 ア プ ラ イ ア ン ス と 同 じ サブネ ッ ト にあるデバイ スから ア プ ラ イ ア ン スへ
の Web ア ク セス を許可 し ます。 サブネ ッ ト の外部のデバイ スへの Web ア ク セス を許可するに
は、 追加のルー タ ーご と にア ド レ ス名 ( ネ ッ ト ワー ク オブ ジ ェ ク ト ) を作成 し 、 ポ リ シーの発信
元ア ド レ ス リ ス ト にそのア ド レ ス名を追加 し ます。
Allow SSH traffic
from
CORPTRANS to
appliance
Allow
SSH
CORPTRANS
Any
Self
説明 : こ のポ リ シーは、 ア プ ラ イ ア ン ス と 同 じ サブネ ッ ト にあるデバイ スから ア プ ラ イ ア ン スへ
の安全な リ モー ト ア ク セス (SSH) を許可 し ます。
Allow traffic to and
from the
CORPTRANS
subnet through the
appliance
Allow
Any
CORPTRANS
Any
CORPTRANS Any
説明 : こ のポ リ シーは、 CORPTRAN サブネ ッ ト に出入 り するすべての ト ラ フ ィ ッ ク を許可 し ま
す。
Allow SNMP_TCP
and SNMP_UDP
traffic from any
source address to
the appliance
Allow
SNMP_
TCP
CORPTRANS
Any
CORPTRANS Any
SNMP_
UDP
説明 : こ のポ リ シーは、 任意の発信元から ア プ ラ イ ア ン スへの TCP および UDP ベース デバイ
スの管理 ト ラ フ ィ ッ ク (SNMP) を許可 し ます。 このポ リ シーは、 セキ ュ リ テ ィ 上の脆弱点 と な る
ため、 デ フ ォル ト では無効にな っ ています。 デバイ ス管理のために このポ リ シーを一時的に有効
に し 、 後で無効にする こ と を推奨 し ます。
表 48: ト ラ ン スペア レ ン ト モー ド のデ フ ォル ト ポ リ シーの説明
176
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでの ト ラ フ ィ ッ ク の許可 と 拒否
名前
アク
ション
プロ ト コ
ル
発信元ア ド レ
ス
発信元
ポー ト
宛先ア ド レ ス
宛先ポー ト
Allows BOOTPS
and BOOTPC
broadcast
messages from
any source
address to the
appliance
Allow
BOOTPS
Any
Any
Self
Any
BOOTPC
説明 : こ のポ リ シーは、 任意の発信元ア ド レ スから ア プ ラ イ ア ン スへのブ ロー ド キ ャ ス ト メ ッ
セージ (BOOTPS および BOOTPC) を許可 し ます。
Reject all
broadcast traffic to
appliance
Deny
Broadcast
traffic
Any
Any
Self
Any
説明 : こ のポ リ シーは、 任意の発信元ア ド レ スから ア プ ラ イ ア ン スへのブ ロー ド キ ャ ス ト ト ラ
フ ィ ッ ク をすべて拒否 し ます。
Rejects all
Deny
broadcast traffic
from the appliance
Broadcast
traffic
Any
Any
Any
Any
説明 : こ のポ リ シーは、 ア プ ラ イ ア ン スから 任意の宛先へのブ ロー ド キ ャ ス ト ト ラ フ ィ ッ ク をす
べて拒否 し ます。
表 48: ト ラ ン スペア レ ン ト モー ド のデ フ ォル ト ポ リ シーの説明 ( 続き )
ア ク セス ポ リ シーの移
行
ア ッ プグ レー ド す る と 、 シ ス テ ムはプ ロ セ ス の過程で既存の フ ァ イ ア ウ ォール ポ リ シーを自動的
に移行 し ます。 正 し い設定 と 機能性のために、 ア ッ プグ レー ド 後に移行 し た ア ク セ ス ポ リ シーを
詳細に確認す る こ と を推奨 し ます。 移行 し た ア ク セ ス ポ リ シーには、 廃止予定の設定や新 し い機
能に置 き 換え ら れた設定が含まれ る 場合があ り ます。 廃止予定の設定は引 き 続 き 機能 し ますが、 今
後のポ リ シー と 一致 し ない可能性があ り ます。 読み取 り 専用の [Deprecated] タ ブでは、 廃止予定の
設定を含んでい る ポ リ シーの横に次の イ ン ジケー タ が表示 さ れます。
設定
説明
Deprecated
このチ ェ ッ ク ボ ッ ク スは、 ポ リ シーが廃止予定の設定を含んでいる こ と を示
し ます。 変更する こ と を推奨 し ます。
Direction
このフ ィ ール ド に次のいずれかが表示 さ れている場合、 ア ク セス ポ リ シーの
方向性の設定は廃止予定であ り 推奨で き ません。
•
Inbound
•
Outbound
ア ク セス ポ リ シーは、 デ フ ォル ト でネ ッ ト ワー ク 上のイ ンバウン ド と アウ ト
バウン ド の両方の ト ラ フ ィ ッ ク に適用 さ れます。 移行 さ れた フ ァ イ アウ ォ ール
ルールがイ ンバウン ド またはアウ ト バウン ド の一方のネ ッ ト ワー ク ト ラ
フ ィ ッ ク だけに適用 さ れていた場合、 この設定は廃止予定の非推奨設定です。
NAT Enabled
このチ ェ ッ ク ボ ッ ク スは、 ア ク セス ポ リ シーが NAT ポ リ シーに関連付け ら れ
ている こ と を示 し ます。 変更する こ と を推奨 し ます。 NAT ポ リ シーはグロー
バルであ り 、 個別のア ク セス ポ リ シーに関連付ける こ と はで き ません。
Name
このフ ィ ール ド には、 このア ク セス ポ リ シーに関連付け ら れた NAT リ ス ト の
名前が表示 さ れます。
表 49: 廃止予定の設定
Proventia® Network Multi-Function Security Appliance User Guide
177
第 14 章 : フ ァ イ アウ ォ ールの設定
フ ァ イ アウ ォ ール イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し
ます。 こ の ト ピ ッ ク では、 イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量のア ラ ー ト と ロ グ エン ト リ には、 かな り の保存領域 と 処理能力が必要です。
始める前に
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP ト ラ ッ プ ) を有効にする 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
フ ァ イ アウ ォ ール イ ベ
ント
次の フ ァ イ ア ウ ォール イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にする こ と がで き ます。
●
Syn フ ラ ッ ド イ ベン ト が発生 し た と き
こ の イ ベン ト は、 何者かが、 コ ン ピ ュ ー タ の処理速度を超え る 速 さ で複数の TCP 接続要求を
コ ン ピ ュ ー タ に送信す る と き に発生 し ます。 コ ン ピ ュ ー タ は正当な接続要求を受け入れず、
サービ ス不能状態にな り ます。
●
Ping of Death イ ベン ト が発生 し た と き
何者かが ping コ マ ン ド を実行 し て、 受信 コ ン ピ ュ ー タ の記憶容量が処理で き る よ り も サ イ ズ
の大 き いパケ ッ ト を送信す る と 、 こ の イ ベン ト が発生 し ます (65535 バ イ ト を超え る 長 さ )。 受
信 コ ン ピ ュ ー タ は断片化 さ れたパケ ッ ト を受信 し ますが、 無意識の う ちにパケ ッ ト を再構築 し
ます。 パケ ッ ト は コ ン ピ ュ ー タ の容量バ ッ フ ァ に対 し て過度に大 き いため、 バ ッ フ ァ がオー
バーフ ロ ー し 、 コ ン ピ ュ ー タ はサービ ス不能状態にな り ます。
●
IP ス プーフ ィ ン グ イ ベン ト が発生 し た と き
こ の イ ベン ト は、 デバ イ ス が ス プーフす る 、 つま り 他のデバ イ ス の IP ア ド レ ス を所有す る ふ
り をす る と き に発生 し ます。
178
●
フ ァ イ ア ウ ォールが不正なパケ ッ ト を検出 し た と き
●
フ ァ イ ア ウ ォールが一般的な攻撃を検出 し た と き
●
アプ ラ イ ア ン ス が フ ァ イ ア ウ ォールに よ る エ ラ ー、 ま たはフ ァ イ ア ウ ォールを通過す る ト ラ
フ ィ ッ ク に よ る エ ラ ーを検出 し た と き
●
フ ァ イ ア ウ ォールがユーザー定義のブ ロ ッ ク ルールに基づ く ト ラ フ ィ ッ ク を ブ ロ ッ ク し た と
き
●
フ ァ イ ア ウ ォールがユーザー定義のブ ロ ッ ク ルールに基づ く ト ラ フ ィ ッ ク を許可 し た と き
●
フ ァ イ ア ウ ォールがパケ ッ ト の処理方法を説明す る ルールを見つけ る こ と がで き なかっ た と き
フ ァ イ ア ウ ォ ール イ ベ ン ト のア ラ ー ト と ロギン グの有効化
手順
●
ユーザーが フ ァ イ ア ウ ォール設定を変更 し た と き
●
フ ァ イ ア ウ ォールが ス テー タ ス を ア ッ プデー ト し 、 フ ァ イ ア ウ ォール統計値を生成 し た と き
●
フ ァ イ ア ウ ォールが DNS 照会お よ び応答を検出 し た と き
フ ァ イ ア ウ ォール イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. Syn フ ラ ッ ド や IP ス プーフ ィ ン グ な ど の フ ァ イ ア ウ ォール イ ベン ト の場合は、 ロ グ記録 と ア
ラ ー ト を受信を行 う イ ベン ト を選択 し 、 次のア ラ ー ト 受信方法を選択 し ます。
操作
手順
メ ールでア ラ ー ト を受け取る
[Email Enabled] を選択 し ます。
ネ ッ ト ワー ク メ ッ セージ サービ
ス (SNMP ト ラ ッ プ ) でア ラ ー ト
を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
4. 許可ま たは拒否 イ ベン ト な ど の一般的な イ ベン ト の場合は、 ロ グ記録 と ア ラ ー ト 受信を行 う イ
ベン ト を選択 し 、 次のア ラ ー ト 受信方法を選択 し ます。
操作
手順
メ ールでア ラ ー ト を受け取る
[Email Enabled] を選択 し ます。
ネ ッ ト ワー ク メ ッ セージ サービ
ス (SNMP ト ラ ッ プ ) でア ラ ー ト
を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
5. 変更内容を保存 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
179
第 14 章 : フ ァ イ アウ ォ ールの設定
ア プ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク のフ ィ ル タ リ ング
は じ めに
フ ァ イ ア ウ ォールは、 ウ ィ ルス、 スパム、 お よ び遮断 さ れた Web コ ン テ ン ツについて次の ト ラ
フ ィ ッ ク を ス キ ャ ンす る 、 アプ リ ケーシ ョ ン層フ ィ ル タ リ ン グ機能を備え てい ます。
●
Web ト ラ フ ィ ッ ク (HTTP)
●
電子 メ ール ト ラ フ ィ ッ ク (SMTP)
●
フ ァ イ ル転送 ト ラ フ ィ ッ ク (FTP)
●
電子 メ ール ト ラ フ ィ ッ ク (POP3)
こ のサービ スは、 ア ンチ スパム、 ア ンチ ウ ィ ルス、 お よ び Web の各フ ィ ル タ で設定 し たセキ ュ リ
テ ィ ポ リ シーが適用 さ れます。 ALG サービ スは、 デフ ォ ル ト でユーザーか ら は見え ません。 つま
り 、 フ ィ ル タ リ ン グ ソ フ ト ウ ェ アは ト ラ フ ィ ッ ク を傍受 し て、 その ト ラ フ ィ ッ ク を ス キ ャ ン し 、
さ ら に発信元ア ド レ ス を変更せずに最終的な宛先にその ト ラ フ ィ ッ ク をルーテ ィ ン グ し ます。 こ の
プ ロ セ スは通信デバ イ ス か ら は見え ません。
場合に よ っ ては、 ネ ッ ト ワ ー ク 上の他の フ ァ イ ア ウ ォール、 ルー タ ー、 メ ール サーバーな ど の他
のデバ イ スは、 フ ァ イ ア ウ ォールか ら の ト ラ フ ィ ッ ク し か受け入れない こ と があ り ます。 こ れは、
防御ネ ッ ト ワ ー ク が直接パブ リ ッ ク ネ ッ ト ワ ー ク ま たは イ ン タ ーネ ッ ト か ら 潜在的に有害な ト ラ
フ ィ ッ ク を受信す る こ と を回避 し ます。 アプ リ ケーシ ョ ン フ ィ ル タ リ ン グに よ っ て も 、 デバ イ ス
は有害な ト ラ フ ィ ッ ク か ら 保護 さ れますが、 こ の フ ィ ル タ は発信元 IP ア ド レ ス を変更 し ないため、
こ れ ら の発信元か ら 直接発信 さ れてい る よ う に見え ます。 デバ イ スは ト ラ フ ィ ッ ク を拒否す る こ と
があ り ます。 こ の場合は、 元の IP ア ド レ ス で フ ィ ル タ リ ン グ さ れた ト ラ フ ィ ッ ク を許可す る よ う
に、 こ れ ら のデバ イ ス の設定を変更す る 必要があ り ます。
注記 : アプ ラ イ ア ン ス が ト ラ ン スペア レ ン ト モー ド にな っ てい る 場合、 ALG も デフ ォル ト で ト ラ
ン スペア レ ン ト モー ド にな っ てい ます。 こ の設定を変更する こ と はで き ません。
参照 : セ ミ ト ラ ン スペア レ ン ト モー ド でアプ リ ケーシ ョ ン フ ィ ル タ リ ン グ サービ ス を実行す る 方
法については、 「ア ンチ スパムの高度なパ ラ メ ー タ 」 (326 ページ ) の次のパ ラ メ ー タ を参照 し て く
だ さ い。
例 : SMTP ALG
●
avm.se.ftp.pftpd.address_transparent
●
avm.se.http.phttpd.address_transparent
●
avm.se.pop3.ppop3d.address_transparent
●
avm.se.smtp.psmtpd.address_transparent
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ は、 メ ール送信者 と メ ール受信者 と の間でデー タ の受け渡 し を行
い ますが、 ユーザーお よ びサーバーか ら は見え ません。 ユーザーお よ びサーバーが互いに直接や り
と り し てい る よ う に見え ます。
ネ ッ ト ワ ー ク の DMZ セグ メ ン ト に メ ール サーバーを設定 し 、 ポー ト 25 での メ ール受け取 り を
メ ール サーバーに許可する ア ク セ ス ポ リ シーを アプ ラ イ ア ン ス上で作成す る こ と がで き ます。
ネ ッ ト ワ ー ク 外部の送信者がネ ッ ト ワ ー ク 内部の受信者に メ ールを送信す る と 、 アプ リ ケーシ ョ ン
層ゲー ト ウ ェ イ はその メ ール (SMTP ト ラ フ ィ ッ ク ) を傍受 し 、 ウ ィ ルス と スパムについて メ ール
を ス キ ャ ン し ます。
ゲー ト ウ ェ イ は メ ール サーバーに感染 し ていない メ ールを渡 し ます。 こ のプ ロ セ ス は、 受信者や
サーバーか ら は見え ません。 ゲー ト ウ ェ イ は、 ユーザーが定義 し た設定に基づいて感染 し た フ ァ イ
ルを隔離ま たは削除 し ます。 さ ら に、 スパムに指定す る か削除 し ます。 拒否 さ れた メ ールの場合、
アプ ラ イ ア ン スは送信者に拒否 メ ッ セージ を送信 し ます。
180
ア プ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク の フ ィ ル タ リ ン グ
説明
次の表では、 ALG について説明 し ます。
ALG
説明
SMTPa
ウ ィ ルス と スパムについて電子 メ ール ト ラ フ ィ ッ ク (SMTP) を スキ ャ ン し ます。
ア ン チウ ィ ルス機能 と ア ン チスパム機能を使用するには、 SMTP フ ァ イ アウ ォ ール
ALG を設定する必要があ り ます。
HTTPb
ウ ィ ルス と 遮断 さ れた Web コ ン テ ン ツについて Web ト ラ フ ィ ッ ク (HTTP) を ス
キ ャ ン し ます。
FTP
ウ ィ ルスについて フ ァ イル転送 ト ラ フ ィ ッ ク (FTP) を スキ ャ ン し ます。
POP3
ウ ィ ルス と スパムについて電子 メ ール ト ラ フ ィ ッ ク (SMTP) を スキ ャ ン し ます。
表 50: ALG の説明
a.
SMTP ALG は、 設定が必要な唯一の ALG です。 こ の ALG は、 ア ン チ ス パムお よ びア ン チ ウ ィ ル ス 機能 と
連携 し ます。
b. HTTP ALG と HTTP プ ロ キ シ サーバーは異な り ま す。 HTTP プ ロ キ シ サーバーは、 アプ ラ イ ア ン ス の外部
にあ り 、 ネ ッ ト ワ ー ク を イ ン タ ーネ ッ ト に接続す る こ と がで き ま す。 HTTP プ ロ キ シ サーバーを使用す る
場合は、 Web フ ィ ル タ 機能やア ッ プデー ト 機能を使用す る 前に、 アプ ラ イ ア ン ス で HTTP プ ロ キ シ サービ
ス を設定す る 必要があ り ます。
ALG ポ リ シー
ALG は、 イ ンバ ウ ン ド ま たはア ウ ト バ ウ ン ド の ト ラ フ ィ ッ ク を ス キ ャ ンする こ と がで き ます。
ALG ポ リ シーはス キ ャ ンの方向を制御 し ます。
注記 : ア ンチ ウ ィ ルス機能を設定す る と き に、 ス キ ャ ンす る プ ロ ト コ ルを指定す る こ と がで き ま
す。
次の表は、 デフ ォ ル ト の ALG ポ リ シーについて説明 し ます。
ポ リ シー
説明
POP3OUTBOUND
アウ ト バウン ド の電子 メ ール ト ラ フ ィ ッ ク (POP3) を スキ ャ ンす
る場合は、 このポ リ シーを有効に し ます。
SMTPINBOUND
イ ンバウン ド の メ ール ト ラ フ ィ ッ ク (SMTP) を スキ ャ ンする場
合は、 このポ リ シーを有効に し ます。
SMTPOUTBOUND
アウ ト バウン ド の メ ール ト ラ フ ィ ッ ク (SMTP) を スキ ャ ンする
場合は、 このポ リ シーを有効に し ます。
FTPOUTBOUND
アウ ト バウン ド の フ ァ イル転送 ト ラ フ ィ ッ ク (FTP) を スキ ャ ンす
る場合は、 このポ リ シーを有効に し ます。
FTPINBOUND
イ ンバウン ド の フ ァ イル転送 ト ラ フ ィ ッ ク (FTP) を スキ ャ ンする
場合は、 このポ リ シーを有効に し ます。
HTTPOUTBOUND
アウ ト バウン ド の Web ト ラ フ ィ ッ ク (HTTP) を スキ ャ ンする場
合は、 このポ リ シーを有効に し ます。
表 51: デ フ ォル ト の ALG ポ リ シー
手順
ALG ポ リ シーを追加す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Advanced Firewall ALG] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
181
第 14 章 : フ ァ イ アウ ォ ールの設定
3. 次の よ う に入力 し 、 [OK] を ク リ ッ ク し て変更内容を保存 し ます。
ALG ポ リ シーの操作
オプ シ ョ ン
説明
Name
ポ リ シーの名前を入力 し ます。
Enabled
ポ リ シーを適用する場合は、 こ のオプ シ ョ ン を選択 し ます。
Direction
スキ ャ ンする方向を選択 し ます。
•
Inbound
•
Outbound
Comment
ポ リ シーの説明を入力 し ます。
Protocol
スキ ャ ンする プ ロ ト コ ル ( ト ラ フ ィ ッ ク の種類 ) を選択 し ます。
•
Web (HTTP)
•
File transfer (FTP)
•
Email (SMTP)
•
Email (POP3)
Source Address
発信元 IP ア ド レ ス を入力 し ます。
Destination Address
宛先 IP ア ド レ ス を入力 し ます。
Port
ト ラ フ ィ ッ ク の通信ポー ト を入力 し ます。
ALG ポ リ シーを有効化、 無効化、 編集、 コ ピー、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Advanced Firewall ALG] タ ブを選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
ポ リ シーを有効にする
ポ リ シーを選択 し 、 [Enabled] オプ シ ョ ン を ク リ ッ ク し ます。
ポ リ シーを無効にする
ポ リ シーを選択 し 、 [Enabled] オプ シ ョ ン を オ フ に し ます。
ポ リ シーを編集する
1. 設定を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. ポ リ シーを編集 し 、 [OK] を ク リ ッ ク し ます。
ポ リ シーを コ ピーする
1. ポ リ シーを選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. 必要に応 じ てポ リ シーを編集 し 、 [OK] を ク リ ッ ク し ます。
ポ リ シーを削除する
182
ポ リ シーを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンの設定
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンの設定
は じ めに
アプ ラ イ ア ン ス を通過す る 接続が一方向に限 ら れてい る 場合、 ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ
ン機能は、一群のホ ス ト ま たはネ ッ ト ワ ー ク 間を行 き 来す る すべての ト ラ フ ィ ッ ク にセキ ュ リ テ ィ
チ ェ ッ ク の回避を許可 し ます。
アプ ラ イ ア ン ス の内部 イ ン タ ーフ ェ ース のいずれかのネ ッ ト ワ ー ク セグ メ ン ト にホ ス ト と ルー
タ ーが混在 し てい る と 、 い く つかのホ ス ト が別の内部ネ ッ ト ワ ー ク セグ メ ン ト に対 し て非対称の
パ ス を持つ場合があ り ます。 同一サブネ ッ ト 上にルー タ ー と し て多数のホ ス ト が存在す る 場合、 す
べてのホ ス ト に静的ルー ト を設定す る のは現実的ではあ り ません。 ア シ ン メ ト リ ッ ク リ ダ イ レ ク
シ ョ ン を使用 し て、 非対称の ト ラ フ ィ ッ ク がアプ ラ イ ア ン ス を通過する の を許可 し 、 必要であれば
ICMP リ ダ イ レ ク ト メ ッ セージ を生成す る こ と がで き ます。
図
次の例では、 ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン機能を使用 し た一般的なネ ッ ト ワ ー ク 配置図を
示 し ます。
Figure 7: アシ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン機能を使用 し たネ ッ ト ワー ク の例
こ の例では、 ルーテ ィ ン グ モー ド の通常動作どお り 、 アプ ラ イ ア ン ス はネ ッ ト ワ ー ク の外側に宛
てたすべての ト ラ フ ィ ッ ク を フ ィ ル タ リ ン グ し ます。 メ ール サーバー と ワ ー ク ス テーシ ョ ンは
別々のネ ッ ト ワ ー ク セグ メ ン ト にあ り ますが、 内部ネ ッ ト ワ ー ク ではハブ と ルー タ ーが同一サブ
ネ ッ ト にあ り 、 ルー タ ーは必ず し も すべての内部 ト ラ フ ィ ッ ク を アプ ラ イ ア ン ス経由でルーテ ィ ン
グす る わけではあ り ません。
Proventia® Network Multi-Function Security Appliance User Guide
183
第 14 章 : フ ァ イ アウ ォ ールの設定
プ ロ セス例
上記の例では、 ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン と フ ァ イ ア ウ ォールが連携 し て、 メ ール サー
バー と デス ク ト ッ プ間の ト ラ フ ィ ッ ク がセキ ュ リ テ ィ チ ェ ッ ク を迂回する のを許可 し てい ます。
次の表では、 こ のプ ロ セ ス について説明 し ます。
段階
説明
1
メ ール サーバーは、 デス ク ト ッ プに ト ラ フ ィ ッ ク を送信 し ます。 デス ク ト ッ プは別の
ネ ッ ト ワー ク 上にある ため、 メ ール サーバーはパケ ッ ト を デ フ ォル ト ルー ト 、 つま り
ア プ ラ イ ア ン スへ送信 し ます。
2
ア プ ラ イ ア ン スは メ ール サーバーから の ト ラ フ ィ ッ ク を受信 し 、 これがルー タ ーを指
す経路 と 一致する こ と を確認 し 、 デス ク ト ッ プへ向けてルー タ ーを通 じ て ト ラ フ ィ ッ ク
を送信 し ます。
3
デス ク ト ッ プが メ ール サーバーに ト ラ フ ッ ク を送信する場合、 ト ラ フ ィ ッ ク はデス ク
ト ッ プのデ フ ォル ト ルー ト を通過 し ます。 ルー タ ーは直接関連付け ら れている ネ ッ ト
ワー ク が宛先 と な っ ている こ と を確認 し 、 ト ラ フ ィ ッ ク を直接 メ ール サーバーへ ( ア プ
ラ イ ア ン ス を迂回 し て ) 送信 し ます。
4
メ ール サーバー と ネ ッ ト ワー ク の間の ト ラ フ ィ ッ ク がア プ ラ イ ア ン スのセキ ュ リ テ ィ
チ ェ ッ ク を迂回するのを許可するには、 [Firewall/VPN Settings] ページの [Asymmetric
Redirection] タ ブ を選択 し 、 メ ール サーバーのネ ッ ト ワー クの IP ア ド レ ス
(192.168.1.10/24) と デス ク ト ッ プのネ ッ ト ワー クの IP ア ド レ ス (10.1.1.0/24) を使用 し
てアシ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン エ ン ト リ を追加 し ます。
5
ア プ ラ イ ア ン スは、 内部ネ ッ ト ワー ク上の メ ール サーバー と デス ク ト ッ プの間の ト ラ
フ ィ ッ ク がセキ ュ リ テ ィ チ ェ ッ ク を迂回するのを許可 し ます フ ァ イ アウ ォ ールは正当
な ト ラ フ ッ ク を遮断 し ません。 また、 ア プ ラ イ ア ン スは必要に応 じ て ICMP リ ダ イ レ ク
ト メ ッ セージ を送信する こ と がで き ます。
表 52: アシ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンのプ ロ セス例
こ の ト ピ ッ ク では、 ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ンの設定方法について説明 し ます。
推奨事項
内部ホ ス ト と 正 し いルーテ ィ ン グ を ICMP リ ダ イ レ ク ト に依存 し てい る ルーテ ィ ン グ デバ イ ス が
両方 と も ネ ッ ト ワ ー ク 上にあ る 場合に限 り 、 ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン機能の使用を推
奨 し ます。
アシン メ ト リ ッ ク リ ダ
イ レ ク シ ョ ン エン ト リ
の追加
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン ポ リ シーを追加す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Asymmetric Redirection] タ ブ を選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
3. 次の フ ィ ール ド を入力 し ます。
オプ シ ョ ン
説明
Name
エ ン ト リ の名前を入力 し ます。
Enabled
ポ リ シーを ア ク テ ィ ブにする場合は、 このオプ シ ョ ン を選択 し ま
す。
Comment
エ ン ト リ の説明を入力 し ます。
4. [Addresses] セ ク シ ョ ン で [Add] ア イ コ ン を ク リ ッ ク し 、 リ ダ イ レ ク ト す る ア ド レ ス を選択ま た
は入力 し ます。
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
184
アシン メ ト リ ッ ク リ ダ
イ レ ク シ ョ ン エン ト リ
の操作
ア シ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン エン ト リ を編集、 コ ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Asymmetric Redirection] タ ブ を選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
エ ン ト リ を編集する
手順
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
エ ン ト リ を コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
エ ン ト リ を削除する
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
185
第 14 章 : フ ァ イ アウ ォ ールの設定
ト ラ ン スペア レ ン ト フ ァ イ アウ ォ ールでのロー カル ルー タ ーの定義
は じ めに
ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールは、 送受信デバ イ ス の MAC ア ド レ ス に基づいて ト ラ フ ィ ッ
ク をルーテ ィ ン グ し ます。 ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールは ト ラ フ ィ ッ ク を受信する と 、
正 し いポー ト ( イ ン タ ーフ ェース ) に適切に ト ラ フ ィ ッ ク を転送す る 前に、 ト ラ フ ィ ッ ク の IP ア ド
レ ス を MAC ア ド レ ス に変換す る 必要があ り ます。
ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールは、 IP ア ド レ ス と 、 ネ ッ ト ワ ー ク 上のデバ イ ス に対応す る
MAC ア ド レ ス のシ ス テ ム定義 リ ス ト を保有 し 、 こ の情報に基づいて独自にルーテ ィ ン グ を行い ま
す。 場合に よ っ ては、 アプ ラ イ ア ン スは IP ア ド レ ス に対応す る MAC ア ド レ ス を知 ら ない こ と が
あ り ます。 こ の場合、 アプ ラ イ ア ン スは こ の情報を参照 し てパケ ッ ト を正 し く 転送す る ために、 接
続 さ れてい る ルー タ ーに依存 し ます。 ト ラ ン スペア レ ン ト フ ァ イ ア ウ ォールが こ の ロ ーカル ルー
タ ー と 連携 し て IP ア ド レ ス を MAC ア ド レ ス に解決す る 前に、 ト ラ ン スペア レ ン ト フ ァ イ ア
ウ ォールで ロ ーカル ルー タ ーに関する 情報を定義する 必要があ り ます。 こ の ト ピ ッ ク では、 フ ァ
イ ア ウ ォールで こ の情報を定義す る 方法について説明 し ます。
ロー カル ルー タ ーの操
作
Local Router テーブルで ロ ーカル ルー ターを追加、 編集、 コ ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Local Routers] タ ブを選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ロー カル ルー タ ーを追
加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 ルー タ ーの名前を入力 し ます。
2. 次の フ ィ ール ド に入力 し 、 [OK] を ク リ ッ ク し ます。
• Router IP Address
• Comment ( 説明 )
ロー カル ルー タ ー設定
を編集する
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
ロー カル ルー タ ー設定
を コ ピーする
1. ロー カル ルー タ ー エ ン ト リ を選択 し 、 [Copy] ア イ コ ン を ク
リ ッ ク し ます。
2. ロー カル ルー タ ー設定を変更 し 、 [OK] を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
3. 設定を編集 し 、 [OK] を ク リ ッ ク し ます。
ロー カル ルー タ ーを削
除する
186
ロー カル ルー タ ー エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク
リ ッ ク し ます。
ネ ッ ト ワー ク ア ド レ ス変換
ネ ッ ト ワー ク ア ド レ ス変換
は じ めに
フ ァ イ ア ウ ォールは、 ネ ッ ト ワ ー ク ア ド レ ス変換 (NAT) 機能を備え てい ます。 こ の機能は、 内部
ネ ッ ト ワ ー ク の IP ア ド レ ス を外部か ら 隠ぺい し 、 すべての送信 ト ラ フ ィ ッ ク に対 し て 1 つのパブ
リ ッ ク IP ア ド レ ス を使用 し ます。
注記 : 特定のプ ロ ト コ ルま たはポー ト 上のパケ ッ ト をすべて特定の IP ア ド レ ス に リ ダ イ レ ク ト す
る よ う に、 アプ ラ イ ア ン ス を設定す る こ と がで き ます。 こ れを、 ポー ト 転送 と いい ます。
用語
次の表では、 い く つかの NAT 用語について説明 し ます。
用語
説明
パブ リ ッ ク IP
ア ド レス
これら のア ド レ スは固有であ り 、 イ ン タ ーネ ッ ト 上でだれで も ア ク セス可能で
す。 これら は、 イ ン タ ーネ ッ ト サービ ス プ ロバイ ダによ っ て割 り 当て ら れま
す。
プ ラ イ ベー ト
IP ア ド レ ス a
これら のア ド レ スは固有ではな く 、 イ ン タ ーネ ッ ト か ら ア ク セスで き ません。
宛先 NAT
宛先 NAT はイ ンバウン ド のネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れます。 これ
はフ ァ イ アウ ォ ールがパケ ッ ト を傍受する と き に行われ、 パケ ッ ト のパブ リ ッ
ク IP ア ド レ ス を プ ラ イ ベー ト IP ア ド レ スに変換 し 、 プ ラ イ ベー ト ネ ッ ト
ワー ク 内部の宛先に ト ラ フ ィ ッ ク を転送 し ます。 宛先 NAT はイ ンバウン ド
NAT と も呼ばれます。
発信元 NAT
発信元 NAT はアウ ト バウン ド のネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れます。
これはフ ァ イ アウ ォ ールがパケ ッ ト を傍受する と き に行われ、 パケ ッ ト のプ ラ
イ ベー ト IP ア ド レ ス をパブ リ ッ ク IP ア ド レ スに変換 し 、 プ ラ イ ベー ト ネ ッ
ト ワー ク 外部の宛先に ト ラ フ ィ ッ ク を転送 し ます。 発信元 NAT はアウ ト バウ
ン ド NAT と も 呼ばれます。
動的 NAT
動的 NAT は、 フ ァ イ アウ ォ ールがプ ラ イ ベー ト IP ア ド レ ス を最初に使用可能
なパブ リ ッ ク IP ア ド レ スに変換する と き に行われます。 フ ァ イ アウ ォ ールは、
割 り 当て ら れる ア ド レ スのプールか ら、 最初に使用可能なパブ リ ッ ク ア ド レ
ス を選択 し ます。 動的 NAT は次を変換する こ と がで き ます。
•
複数のプ ラ イ ベー ト ア ド レ ス を 1 つのパブ リ ッ ク ア ド レ スに
•
複数のプ ラ イ ベー ト ア ド レ ス を複数のパブ リ ッ ク ア ド レ スに
動的 NAT は多 く の場合、 DHCP サービ ス と 共に使用 さ れます。
静的 NAT
静的 NAT は、 フ ァ イ アウ ォ ールがプ ラ イ ベー ト IP ア ド レ ス を同 じ パプ リ ッ ク
IP ア ド レ スに変換する と き に、 変換する たびに行われます。 静的 NAT は、 常
に 1 つのプ ラ イ ベー ト ア ド レ ス を 1 つのパブ リ ッ ク ア ド レ スに変換 し ます。
表 53: NAT 用語
a.
NAT プ ロ セス
プ ラ イ ベー ト IP ア ド レ ス の詳細については、 www.ietf.org の 「Address Allocation for Private Internets」 を
参照 し て く だ さ い。
次の表では、 動的 NAT プ ロ セ ス について説明 し ます。
段階
1
説明
プ ラ イ ベー ト ネ ッ ト ワー ク 上の コ ン ピ ュ ー タ は、 イ ン タ ーネ ッ ト 上の Web サーバーに
ア ク セス を試みます。
表 54: 動的 NAT プ ロ セス
Proventia® Network Multi-Function Security Appliance User Guide
187
第 14 章 : フ ァ イ アウ ォ ールの設定
段階
2
説明
フ ァ イ アウ ォ ールは次の作業を行います。
•
ト ラ フ ィ ッ ク を遮断する。
•
コ ン ピ ュ ー タ ーのプ ラ イ ベー ト ア ド レ ス を そのア ド レ ス変換テーブルに保存する。
•
プ ラ イ ベー ト ア ド レ ス を最初に使用可能なパブ リ ッ ク IP ア ド レ スに置き換え る。
注記 : ア ド レ ス変換テーブルは、 元のプ ラ イ ベー ト IP ア ド レ ス をパブ リ ッ ク ア ド レ ス
に変換 し ます。
3
Web サーバーはコ ン ピ ュ ー タ に情報を送信 し 、 フ ァ イ アウ ォ ールは次の作業を行いま
す。
•
ト ラ フ ィ ッ ク を遮断する。
•
ア ド レ ス変換テーブルで宛先ア ド レ ス を参照する。
•
元のプ ラ イ ベー ト IP ア ド レ ス と パブ リ ッ ク ア ド レ ス間のマ ッ ピ ングを見つける。
•
パブ リ ッ ク ア ド レ ス を元のプ ラ イ ベー ト IP ア ド レ スに置き換え る。
•
コ ン ピ ュ ー タ に ト ラ フ ィ ッ ク を送信する。
注記 : フ ァ イ アウ ォ ールがア ド レ ス変換テーブル上で 2 つのア ド レ スのマ ッ ピ ングを見
つける こ と がで き ない場合は、 ト ラ フ ィ ッ クが中断 さ れます。
4
内部の コ ン ピ ュ ー タ がネ ッ ト ワー ク外部 と 通信を続ける間、 このプ ロ セスが繰 り 返 さ れ
ます。
表 54: 動的 NAT プ ロ セス ( 続き )
図
次の図は、 一般的な NAT 実装例を示 し ます。
Figure 8: NAT 実装
188
例
次の例では、 イ ン タ ーネ ッ ト か ら Web サーバーのプ ラ イ ベー ト IP ア ド レ ス (10.0.0.100) を隠ぺい
し 、 Web サーバーへのア ク セ ス を許可す る のに必要なア ク セ ス ポ リ シー と NAT ルールを示 し ま
す。
ルールの種類 と 名前
アク
ション
プロ ト コ
ル
発信元ア ド
レス
発信元
ポー ト
宛先ア ド レ ス
宛先ポー ト
種類 : Destination NAT Rule
Allow
Any
Any
NA
192.166.0.1 Any
変換済みア ド
レス
変換済み
ポー ト
10.0.0.100
ポー ト を
変換 し な
いで く だ
さい
名前 : Allow destination NAT
traffic to the Web server
説明 : フ ァ イ アウ ォ ールは Web サーバーが受信するすべてのパケ ッ ト を傍受 し 、 パケ ッ ト の宛先ア ド レ ス を 192.166.0.1 か
ら 10.0.0.100 に変換 し 、 Web サーバーにパケ ッ ト を転送 し ます。 イ ン タ ーネ ッ ト 上のユーザー と デバイ スか らは、
192.166.0.1 でや り 取 り し ている よ う に見え ます。 NAT は、 実際のプ ラ イ ベー ト IP ア ド レ ス 10.0.0.100 をパブ リ ッ ク ネ ッ
ト ワー ク から 隠ぺい し ます。
種類 : Access Policy
Allow
Any
Any
Any
10.0.0.100
2998
NA
NA
名前 : Allow destination NAT
traffic to the Web server
説明 : フ ァ イ アウ ォ ールは、 ポー ト 2998 で フ ァ イ アウ ォ ールから Web サーバーへの任意の ト ラ フ ィ ッ ク を許可 し ます。
種類 : Do Not Translate Rule Deny
Any
Any
Any
Any
Any
Any
Any
名前 : Do not translate
internal to DMZ
説明 : フ ァ イ アウ ォ ールは、 ト ラ フ ィ ッ ク を傍受 し 、 その ト ラ フ ィ ッ ク を内部ネ ッ ト ワー ク から DMZ に変換 し ません。
種類 : Source NAT Rule
Allow
Any
10.0.0.100
NA
Any
Any
名前 : Allow source NAT
traffic from the Web server
192.168.0.1 ポー ト を
変換 し な
いで く だ
さい
説明 : フ ァ イ アウ ォ ールは Web サーバーから 送信するすべてのパケ ッ ト を傍受 し 、 パケ ッ ト のア ド レ ス を 10.0.0.100 から
192.166.0.1 に変換 し 、 パブ リ ッ ク ネ ッ ト ワー ク にパケ ッ ト を転送 し ます。 イ ン タ ーネ ッ ト 上のユーザー と デバイ スが Web
サーバーから レ スポン ス を取得する と 、 レ スポン スは 192.168.0.1 か ら送信 さ れた よ う に見え ます。 NAT は、 実際のプ ラ イ
ベー ト ア ド レ ス 10.0.0.100 をパブ リ ッ ク ネ ッ ト ワー クか ら隠ぺい し ます。
種類 : Access Policy
Allow
Any
10.0.0.100
Any
Any
Any
NA
NA
名前 : Allow source NAT
traffic from the Web server
説明 : The firewall allows outgoing traffic from the Web server.
表 55: Web サーバーを イ ン タ ーネ ッ ト に さ ら す方法の例
Proventia® Network Multi-Function Security Appliance User Guide
189
第 14 章 : フ ァ イ アウ ォ ールの設定
イ ンバウン ド と アウ ト バウ ン ド の IP ア ド レ スの変換
は じ めに
こ の ト ピ ッ ク では、 ア ウ ト バ ウ ン ド ( 発信元 ) お よ び イ ンバ ウ ン ド ( 宛先 ) の NAT ポ リ シーの設定
手順について説明 し ます。
重要 : 正 し い NAT 設定には、 ポ リ シーがネ ッ ト ワ ー ク 上で ト ラ フ ィ ッ ク フ ロ ー と 正 し いルーテ ィ
ン グ を を維持す る こ と を保証す る ために、 綿密な計画 と テ ス ト が必要です。
発信元 NAT ポ リ シーの
追加
発信元 NAT ポ リ シーを追加 し て送信 ト ラ フ ィ ッ ク のア ド レ ス を変換す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [NAT Policy] タ ブ を選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Name
NAT ポ リ シーの名前を入力 し ます。
Enabled
ポ リ シーを ア ク テ ィ ブにする場合は、 こ のオプ シ ョ ン を選択 し ま
す。
Comment
NAT ポ リ シーのコ メ ン ト または説明を入力 し ます。
4. 次の タ ブを選択 し 、 タ ブご と に次の手順を完了 し ます。
190
タブ
説明
Protocol
プ ロ ト コルを選択 し ます。
•
TCP
•
UDP
•
ICMP
•
AH
•
ESP
•
GRE
Source
Address
発信元 IP ア ド レ ス を選択 し ます。 こ れは、 ト ラ フ ィ ッ ク を送信 し ている
ネ ッ ト ワー ク 上のデバイ スの IP ア ド レ スです。 フ ァ イ アウ ォ ールはこ の
デバイ スから 送信 さ れたパケ ッ ト 中のア ド レ ス を変換 し ます。
Destination
Address
宛先 IP ア ド レ ス を選択 し ます。 こ れは、 ト ラ フ ィ ッ ク を受信 し ているデ
バイ スの IP ア ド レ スです。 こ のデバイ スは、 送信デバイ スの変換 さ れた
IP ア ド レ ス を認識 し ます。
Destination
Port
宛先ポー ト を選択 し ます。
イ ンバウ ン ド と アウ ト バウ ン ド の IP ア ド レ スの変換
タブ
説明
Translated
Address
次のいずれかを選択 し ます。
•
NAT Configuration Item - ユーザーが定義 し た NAT 設定に基づいて発
信元ア ド レ ス を変換する場合は このオプ シ ョ ン を選択 し 、 一覧か ら項
目を選択 し ます。
•
Single IP Address - 発信元ア ド レ ス を 1 つの IP ア ド レ スに変換する
場合は、 このオプ シ ョ ン を選択 し ます。
•
IP Address of a Specific Interface - 発信元ア ド レ ス を ア プ ラ イ ア ン ス
イ ン タ ー フ ェ ースの IP ア ド レ スに変換する場合は、 こ のオプ シ ョ ン を
選択 し ます。
•
Do not translate - 発信元ア ド レ スが変換 さ れないよ う にする場合は、
このオプ シ ョ ン を選択 し ます。
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
宛先 NAT ポ リ シーの追
加
宛先 NAT ポ リ シーを追加 し て受信 ト ラ フ ィ ッ ク のア ド レ ス を変換す る には :
注記 : 1 つの宛先 NAT ポ リ シーで複数の IP ア ド レ ス を複数の IP ア ド レ ス に変換す る こ と はで き ま
せん。 ポ リ シーで動的 イ ン タ ーフ ェ ース を参照す る こ と はで き ません。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [NAT Policy] タ ブ を選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Name
NAT ポ リ シーの名前を入力 し ます。
Enabled
ポ リ シーを適用する場合は、 このオプ シ ョ ン を選択 し ます。
Comment
ポ リ シーの コ メ ン ト または説明を入力 し ます。
4. 次の タ ブを選択 し 、 タ ブご と に次の手順を完了 し ます。
タブ
説明
Protocol
プ ロ ト コルを選択 し ます。
•
TCP
•
UDP
•
ICMP
•
AH
•
ESP
•
GRE
Source
Address
発信元 IP ア ド レ ス を選択 し ます。 こ れは、 ト ラ フ ィ ッ ク を送信 し ている
デバイ スの IP ア ド レ スです。 フ ァ イ アウ ォ ールはこ のデバイ スから 送信
さ れたパケ ッ ト 中のア ド レ ス を変換 し ます。
Destination
Address
宛先 IP ア ド レ ス を選択 し ます。 こ れは、 ト ラ フ ィ ッ ク を受信 し ているデ
バイ スの IP ア ド レ スです。 こ のデバイ スは、 送信デバイ スの変換 さ れた
IP ア ド レ ス を認識 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
191
第 14 章 : フ ァ イ アウ ォ ールの設定
タブ
説明
Destination
Port
宛先ポー ト を選択 し ます。
Translated
Address
次のいずれかのオプ シ ョ ン を選択 し ます。
Translated
Port
•
NAT Configuration Item - 宛先ア ド レ ス を NAT 設定に変換する場合は
このオプ シ ョ ン を選択 し 、 一覧か ら設定を選択 し ます。
•
Single IP Address - 宛先ア ド レ ス を 1 つの IP ア ド レ スに変換する場
合は このオプ シ ョ ン を選択 し 、 IP ア ド レ ス を入力 し ます。
•
Do not translate - 受信 ト ラ フ ィ ッ ク の IP ア ド レ スが変換 さ れない よ
う にする場合は、 このオプ シ ョ ン を選択 し ます。
次のいずれかのオプ シ ョ ン を選択 し ます。
•
Do not translate - 受信ポー ト が変換 さ れないよ う にする場合は、 この
オプ シ ョ ン を選択 し ます。
•
Single Port - 受信ポー ト を別のポー ト に変換する場合は このオプ シ ョ
ン を選択 し 、 ポー ト を入力 し ます。
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
NAT 設定ポ リ シーの追
加
NAT 設定ポ リ シーは、 次の と お り です。
●
複数のア ド レ ス を 1 つのア ド レ ス に変換す る 。
●
1 つのア ド レ ス を 1 つのア ド レ ス に変換す る 。
●
複数のア ド レ ス を複数のア ド レ ス に変換す る
注記 : HideasEth1 NAT と 呼ばれ る NAT ルールがデフ ォル ト で有効にな っ てい ます。 こ のルール
は、 すべてのプ ラ イ ベー ト IP ア ド レ ス を アプ ラ イ ア ン ス のパブ リ ッ ク IP ア ド レ ス に変換 し ます。
ガイ ド ラ イ ン
次のガ イ ド ラ イ ンは、 NAT ルールを設定す る 場合に役立ち ます。
●
一対一の NAT 設定では、 同 じ 数のプ ラ イ ベー ト IP ア ド レ ス と パブ リ ッ ク ア ド レ ス を使用す
る必要があ り ます。
●
一対一の NAT ルールでは、 ア ド レ ス範囲を使用 し ないで く だ さ い。
●
一対一の NAT ルールでは、 ポー ト 変換を使用 し ないで く だ さ い。
●
宛先 NAT ルール と 共に、 他対他の NAT ルールを使用 し ないで く だ さ い。
●
宛先 NAT ルールでは、 動的 イ ン タ ーフ ェ ース を使用 し ないで く だ さ い。
NAT 設定ポ リ シーを追加す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [NAT Policy] タ ブ を選択 し 、 [NAT Configuration] タ ブを選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 ルー タ ーの名前を入力 し ます。
192
イ ンバウ ン ド と アウ ト バウ ン ド の IP ア ド レ スの変換
4. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
複数のプ ラ イ ベー ト ア ド レ ス を 1
つのパブ リ ッ ク ア ド レ スに変換
する
1. [Many to One] を選択 し 、 次のいずれかのオプ シ ョ
ン を選択 し ます。
• Static IP address- プ ラ イ ベー ト IP ア ド レ ス を 1
つの静的ア ド レ スに変換する場合は このオプ シ ョ ン
を選択 し 、 [NAT IP Address] フ ィ ール ド に IP ア ド レ
ス を入力 し ます。
• Address Name
• Dynamic Address Name
• Dynamic Interface— プ ラ イ ベー ト IP ア ド レ ス を
動的イ ン タ ー フ ェ ースの IP ア ド レ スに変換する場合
は このオプ シ ョ ン を選択 し 、 一覧か ら イ ン タ ー
フ ェ ース を選択 し ます。
注記 : 静的 IP ア ド レ スは、 ネ ッ ト ワー ク 内の コ ン
ピ ュ ー タ と 対応 し ている必要はあ り ません。 ただ し 、 イ
ン タ ーネ ッ ト サービ ス プ ロバイ ダ (ISP) は、 その IP ア
ド レ スへのルー ト を持 っ ている必要があ り ます。
2. NAT IP ア ド レ ス を入力 し ます。
1 つのプ ラ イ ベー ト ア ド レ ス を 1
つのパブ リ ッ ク ア ド レ スに変換
する
次のいずれかの種類を選択 し 、 次の手順に進みます。
•
One To One NAT
•
Many To Many NAT
複数のプ ラ イ ベー ト ア ド レ ス を
複数のパブ リ ッ ク ア ド レ スに変
換する
プ ラ イ ベー ト ア ド レ ス範囲をパ
ブ リ ッ ク ア ド レ ス範囲に変換す
る
5. 元のア ド レ ス範囲 と 変換済みア ド レ ス範囲を定義 し ます。 次の選択肢があ り ます。
■
[IP Address Range] を選択 し 、 IP ア ド レ ス範囲を入力 し ます。
■
[Address Range Name] を選択 し 、 一覧か ら 名前の付いた範囲を選択 し ます。
■
[Dynamic Address Range Name] を選択 し 、 一覧か ら 名前の付いた範囲を選択 し ます。
6. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
NAT ルールの操作
NAT ルールを編集、 コ ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [NAT Policy] タ ブ を選択 し 、 次の タ ブのいずれか を選択 し ます。
■
Source NAT Rules
■
Destination NAT Rules
■
NAT Configuration
Proventia® Network Multi-Function Security Appliance User Guide
193
第 14 章 : フ ァ イ アウ ォ ールの設定
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ルールを編集する
手順
1. ルールを選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. [Enabled] チ ェ ッ ク ボ ッ ク ス を オ ン またはオ フ に し ます。
3. このルールを編集 し 、 [OK] を ク リ ッ ク し ます。
ルールを コ ピーする
1. ルールを選択 し 、 [Copy] ア イ コ ン (
2. [Paste] ア イ コ ン (
) を ク リ ッ ク し ます。
) を ク リ ッ ク し ます。
3. 必要に応 じ てルールを編集 し 、 [OK] を ク リ ッ ク し ます。
ルールを削除する
1. ルールを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
2. [OK] を ク リ ッ ク し ます。
194
ポー ト ア ド レ ス変換
ポー ト ア ド レ ス変換
は じ めに
ポー ト フ ォ ワ ーデ ィ ン グは、 フ ァ イ ア ウ ォールがフ ァ イ ア ウ ォールのパブ リ ッ ク IP ア ド レ ス を使
用 し てネ ッ ト ワ ー ク ト ラ フ ィ ッ ク を送受信する と き に行われますが、 ネ ッ ト ワ ー ク 上のポー ト に
ト ラ フ ィ ッ ク を リ ダ イ レ ク ト し ます。 ポー ト フ ォ ワ ーデ ィ ン グ を使用する と 、 次を行 う こ と がで
き ます。
●
ネ ッ ト ワ ー ク 外部の侵入者か ら Telnet な ど のサービ ス を隠ぺい し ますが、 ネ ッ ト ワー ク 内の
ユーザーはサービ ス を利用で き ます。
●
リ モー ト ユーザーは、 イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダ (ISP) か ら 余分な IP ア ド レ ス を取
得す る のに追加費用を払わな く て も 、 Web サーバーや他デバ イ ス を利用で き ます。
例
メ ール サーバー と Web サーバーを フ ァ イ ア ウ ォールの内側に置 き ます。 メ ール サーバーはポー ト
25 を使用 し 、 Web サーバーはポー ト 80 を使用 し ます。 ど ち ら のサーバー も 、 フ ァ イ ア ウ ォールの
同 じ IP ア ド レ ス を使用 し ます。 ポー ト 80 の ト ラ フ ィ ッ ク が Web サーバーに流れ、 ポー ト 25 の ト
ラ フ ィ ッ ク が メ ール サーバーに流れ る よ う に、 フ ァ イ ア ウ ォールを設定 し ます。 一方のサーバー
は Web サーバー ( ポー ト 80) を実行 し 、 も う 一方のサーバーは FTP サーバー ( ポー ト 25) を実行 し
ますが、 ど ち ら のサーバー も フ ァ イ ア ウ ォールの IP ア ド レ ス を使用 し ます。
要件
次の要件は、 ポー ト フ ォ ワ ーデ ィ ン グ ルールを設定す る 場合に役立ち ます。
●
静的 IP ア ド レ ス を使用す る 必要があ り ます。
●
ポー ト フ ォ ワ ーデ ィ ン グ ルールを設定す る 前に、 次の情報を入手す る 必要があ り ます。
■
ロ ーカル ネ ッ ト ワ ー ク 上のサーバーの IP ア ド レ ス
■
イ ンバ ウ ン ド ポー ト 番号、 プ ラ イ ベー ト ポー ト 番号、 お よ びサーバーが処理す る デー タ の
種類に対応す る プ ロ ト コ ル
注記 : DHCP のサーバー IP ア ド レ ス を確認する 場合は、 DHCP 情報をチ ェ ッ ク し ます。
推奨事項
次の推奨事項は、 ポー ト フ ォ ワ ーデ ィ ン グ ルールを設定す る 場合に役立ち ます。
●
フ ァ イ ア ウ ォール上で実行中のサービ ス と の衝突を避け る ため、 1 ～ 1023 の よ う な wellknown ポー ト は使用 し ないで く だ さ い。
●
バ ッ ク ド ア、 ト ロ イ の木馬、 ま たは不明なサービ ス で よ く 使用 さ れ る ポー ト 番号を避け ます。
●
ポー ト フ ォ ワ ーデ ィ ン グ ルールに関す る 他の推奨事項については、 IANA に確認 し て く だ さ
い。
Proventia® Network Multi-Function Security Appliance User Guide
195
第 14 章 : フ ァ イ アウ ォ ールの設定
ポー ト フ ォ ワーデ ィ ン
グの設定
ポー ト フ ォ ワ ーデ ィ ン グ を設定する には :
注記 : 各サービ ス ご と にポー ト フ ォ ワ ーデ ィ ン グ を設定す る 必要があ り ます。
1. 静的 IP ア ド レ ス を NAT IP ア ド レ ス に変換す る Many-to-One NAT 設定を作成 し ます。
注記 : NAT IP ア ド レ ス は、 受信パケ ッ ト が NAT を使用 し て送信 さ れ る プ ラ イ ベー ト IP ア ド
レ ス (192.16.100.6 な ど ) です。 HTTP な ど のサービ ス を実行 し てい る 場合は、 Web サーバーの
内部 IP ア ド レ ス を NAT IP ア ド レ ス と し て使用 し て く だ さ い。
2. 次のルールを作成 し 、 変更内容を保存 し ます。
ルールの種
類
アク
ション
プロ ト コル
発信元ア ド
レス
発信元ポー
ト
宛先ア ド レ
ス
宛先ポー ト
変換済みア
ド レス
変換済み
ポー ト
Destination
NAT Rule
Allow
ユーザー
定義
Any
NA
1 つのパブ
リ ッ ク IP
ア ド レス
ユーザー
定義
手順 1 で
作成 し た
Many-toOne 設定
を選択 し
ます。
発信元
ポー ト と
同じ
Access
Policy
Allow
ユーザー
定義
Any
Any
1 つのパブ
リ ッ ク IP
ア ド レス
ユーザー
定義
NA
NA
表 56: Web サーバーを イ ン タ ーネ ッ ト に さ ら す方法の例
196
第 15 章
電子メ ールと Web コ ンテン ツのフ ィ ルタ
リ ング
概要
は じ めに
こ の章では、 スパムや他の違法ま たは攻撃的な要素に対 し て、 電子 メ ール と Web コ ン テ ン ツ を
フ ィ ル タ リ ン グす る 方法について説明 し ます。
参照 : ア ンチ スパムお よ び Web フ ィ ル タ の ス テー タ ス、 イ ベン ト 、 お よ び統計値については、 オ
ン ラ イ ン ス ヘルプを参照 し て く だ さ い。
フ ィ ル タ デー タ ベース
こ の章で説明す る 機能にはフ ィ ル タ デー タ ベース が必要です。 詳細については、 「フ ィ ル タ デー タ
ベース」 (210 ページ ) を参照 し て く だ さ い。
ラ イ セ ン スの リ ソ ース
こ の機能を使用す る には ラ イ セン ス が必要です。 次の表では、 ラ イ セン ス の リ ソ ース について説明
し ます。
リ ソ ース
説明
www.iss.net/issEn/MYISS/login_help.jhtml ラ イ セ ン ス を持 っ たユーザーを登録す
る場合は この リ ン ク に進みます。
www1.iss.net/cgi-bin/lrc
ラ イ セ ン スの登録 と ダウン ロー ド を行
う 場合は この リ ン ク に進みます。
https://[email protected]
ラ イ セ ン スの更新情報については この
リ ン ク に進みます。
ISS 販売代理店
ラ イ セ ン スの入手については、 販売代
理店ま でお問い合わせ く だ さ い。
Proventia Manager の [Licensing] ページか ら
[Maintenance] → [Licensing]
ア プ ラ イ ア ン スに ラ イ セ ン ス を ア ッ プ
ロー ド する場合は このページに進みま
す。
表 57: ラ イ セン スの リ ソ ース
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ア ン チスパム防御設定
199
ア ン チスパム イ ベン ト のア ラ ー ト と ロギングの有効化
203
Proventia® Network Multi-Function Security Appliance User Guide
197
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
トピック
198
ページ
Web フ ィ ル タ 防御機能の設定
205
Web フ ィ ル タ リ ング イ ベン ト のア ラ ー ト と ロギングの有効化
208
フ ィ ル タ デー タ ベース
210
ア ン チスパム防御設定
ア ン チスパム防御設定
は じ めに
スパム と は、 未承諾広告や不快な内容を含む電子 メ ールです。 ま た、 ウ ィ ルス、 ワ ーム、 ト ロ イ の
木馬、 お よ びスパ イ ウ ェ ア を含む こ と も あ り ます。 大量の スパムは、 受信 ト レ イ や メ ール サー
バーを いっぱいにす る な ど、 メ ール リ ソ ース に悪影響を及ぼ し ます。 さ ら に、 業務の妨害にな っ
た り 、 場合に よ っ ては会社が法的責任に さ ら さ れ る こ と も あ り ます。 ア ンチ スパム機能は、 スパ
ム、 違法 / 攻撃的 コ ン テ ン ツ、 お よ び ウ ィ ルス に対 し て電子 メ ールを フ ィ ル タ リ ン グ ために、 次の
テ ク ノ ロ ジの組み合わせを使用 し ます。
●
コ ン テ ン ツ分析 - アプ ラ イ ア ン スは、 スパムや他の攻撃的お よ び違法 コ ン テ ン ツに関連す る
キーワ ー ド 、 画像、 お よ び URL のデー タ ベース を保有 し てい ます。 電子 メ ールがアプ ラ イ ア
ン ス を通過す る と き に、 アプ ラ イ ア ン スは こ れ ら の要素に対 し て電子 メ ール全体を分析 し ま
す。 電子 メ ールが十分に一致す る 要素を含んでい る 場合、 アプ ラ イ ア ン スはその電子 メ ールに
スパムの タ グ を付け、 ユーザーが定義 し た防御設定に応 じ て こ れを シ ス テ ムか ら 削除 し ます。
参照 : ア ンチ スパム機能は、 コ ン テ ン ツ分析中に フ ィ ル タ デー タ ベース と 連携 し ます。 デー
タ ベース の詳細については、 「フ ィ ル タ デー タ ベース」 (210 ページ ) を参照 し て く だ さ い。
さ ら な る防御
●
ブ ラ ッ ク リ ス ト - アプ ラ イ ア ン スは、 スパム、 違法 / 攻撃的コ ン テ ン ツ、 お よ びウ ィ ルス を含
む電子 メ ールの既知の発信元であ る 、 ユーザーが定義 し た メ ール ア ド レ ス と ド メ イ ン名の リ
ス ト を保有 し てい ます。 フ ィ ル タ は こ れ ら の発信元か ら の電子 メ ールを ブ ロ ッ ク し ます。
●
ホ ワ イ ト リ ス ト - アプ ラ イ ア ン スは、 電子 メ ールの正当な発信元であ る 、 ユーザーが定義 し た
メ ール ア ド レ ス と ド メ イ ン名の リ ス ト を保持 し てい ます。 フ ィ ル タ は こ れ ら の発信元か ら の
電子 メ ールを許可 し ます。
ア ンチ スパム、 ア ンチ ウ ィ ルス、 不正侵入防御、 お よ びウ ィ ルス防御機能は連携 し て、 悪意のあ る
スパムに よ る ネ ッ ト ワ ー ク の侵害を阻止 し ます。 さ ら に、 メ ール リ レー制御お よ び認証サービ ス
は、 メ ール サーバーが他のネ ッ ト ワ ー ク に スパム を リ レーする の回避する のに役立ち ます。
参照 : 「 メ ール リ レー制御お よ び認証サービ ス の設定」 (83 ページ ) を参照 し て く だ さ い。
防御設定
考慮すべき事項
始める前に
ア ンチ スパム防御設定は、 次の内容を制御 し ます。
●
フ ィ ル タ が スパム を ス キ ャ ンす る メ ール プ ロ ト コ ル (SMTP お よ び POP3)
●
フ ィ ル タ が スパム を検出す る 積極性 と 精密性
●
フ ィ ル タ が既知の スパム を処理す る 方法 ( 認識 し やすい よ う に タ グ を付けた り 、 削除す る こ と
が可能 )
●
フ ィ ル タ が スパム メ ールの件名に挿入する テ キ ス ト 文字 ([SPAM] な ど )
●
非スパマであ り 、 電子 メ ールの送信が許可 さ れ る べ き メ ール ア ド レ スお よび ド メ イ ン ( ホ ワ イ
ト リスト )
●
既知の スパマであ り 、 ブ ロ ッ ク さ れ る べ き メ ール ア ド レ スお よ び ド メ イ ン ( ブ ラ ッ ク リ ス ト )
ホ ワ イ ト リ ス ト と ブ ラ ッ ク リ ス ト を定義す る 場合は、 次の点を考慮 し て く だ さ い。
●
アプ ラ イ ア ン スは、 メ ールの内容に関係な く 、 ホ ワ イ ト リ ス ト 上の ド メ イ ンお よ び メ ール ア
ド レ ス か ら の電子 メ ールをすべて許可 し ます。
●
アプ ラ イ ア ン スは、 メ ールの内容に関係な く 、 ブ ラ ッ ク リ ス ト 上の ド メ イ ンお よ び メ ール ア
ド レ ス か ら の電子 メ ールをすべて拒否 し ます。
ア ンチ スパム機能を有効にす る 前に、 こ の機能を使用す る ための最新の ラ イ セン ス と 、 フ ィ ル タ
デー タ ベース の最新の コ ピーがあ る こ と を確認す る 必要があ り ます。
Proventia® Network Multi-Function Security Appliance User Guide
199
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
手順
ア ンチ スパム防御を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antispam] の順に選択 し ます。
2. [Protection Settings] タ ブを選択 し 、 [Spam Detection Enabled] を選択 し ます。
3. [Protected Protocols] タ ブを選択 し 、 スパム を ス キ ャ ンす る メ ール プ ロ ト コ ルを選択 し ます。
■
SMTP
■
POP3
4. [Spam Tagging Sensitivity] タ グ を選択 し 、 次のモー ド を設定 し ます。
モー ド
説明
Learning
フ ィ ル タ はスパムを削除 し ませんが、 電子 メ ールに SPAM または SPAM+ の
タ グ を付けます。 この タ グは、 認識 し やすいよ う に [ 件名 ] 行に表示 さ れます。
•
[SPAM] は、 電子 メ ールがスパム し き い値を下回 っ ている こ と を示 し ます。
•
[SPAM+] は、 電子 メ ールがスパム し き い値を上回っ ている こ と を示 し ま
す。
Delete
フ ィ ル タ はい く つかの電子 メ ールにスパムの タ グ を付け、 それ以外は削除 し ま
す。
•
スパム し き い値を下回る電子 メ ールは、 [SPAM] の タ グが付け られます。
この タ グは、 認識 し やすいよ う に電子 メ ールの [ 件名 ] 行に表示 さ れます。
•
し き い値を上回る電子 メ ールは削除 さ れます。
5. 次の よ う に [Delete Threshold] を設定 し ます。
■
Minimal - スパムの検出 と 削除を行 う 際に フ ィ ル タ リ ン グ を非常に厳 し く す る 場合は、 ス ラ
イ ダ を左端に設定 し ます。
■
Maximum - スパムの検出 と 削除を行 う 際に フ ィ ル タ リ ン グ を寛大にす る 場合は、 ス ラ イ ダ
を右端に設定 し ます。
注記 : マーカーを下回 る メ ールは、 し き い値を下回 る と 見な さ れます。 マーカーを上回 る
メ ールは、 し き い値を上回 る と 見な さ れます。
6. [Subject Tag Format] タ ブを選択 し 、 次の よ う に入力 し ます。
フ ィ ール ド
説明
Below Threshold
デ フ ォル ト で、 シ ステムは設定 し た し き い値を下回る電子 メ ールの [
件名 ] 行に、 [SPAM] ラ ベルを追加 し ます。 [ 件名 ] 行に表示 さ れる テ
キス ト 文字を変更する場合は、 ユーザーが定義 し たテキス ト 文字を入
力 し ます。
Above Threshold
デ フ ォル ト で、 シ ステムは設定 し た し き い値を上回る電子 メ ールの [
件名 ] 行に、 [SPAM+] ラ ベルを追加 し ます。 [ 件名 ] 行に表示 さ れる
テキス ト 文字を変更する場合は、 ユーザーが定義 し たテキス ト 文字を
入力 し ます。
7. [Email Sender Whitelist ] と [Email Sender Blacklist] を選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ま
す。
8. ド メ イ ン名 と メ ール ア ド レ ス を、 ホ ワ イ ト リ ス ト と ブ ラ ッ ク リ ス ト に追加 し ます。 有効なエ
ン ト リ は次の と お り です。
200
■
1 つの ド メ イ ン名 ( ド メ イ ン名に 「http:\\」 や 「https:\\」 は入力 し ないで く だ さ い )
■
1 つの メ ール ア ド レ ス
■
メ ール配信 リ ス ト
ア ン チスパム防御設定
■
ワ イ ル ド カー ド を含むエン ト リ
- 疑問符 (?) は、 任意の 1 文字を表 し ます。
- ア ス タ リ ス ク (*) は、 メ ール ア ド レ ス ま たは ド メ イ ンのグループ を表 し ます。
9. 変更内容を保存 し ます。
ホワ イ ト リ ス ト と ブ ラ ッ
ク リ ス ト に含まれるワ イ
ル ド カー ド
次の表では、 い く つかのエン ト リ 例について説明 し ます。
例
説明
spam_sender@*
ア プ ラ イ ア ン スは ド メ イ ンに関係な く 、 spam_sender を スパム
の発信元 と 見な し ます。 次の送信者はスパムの発信元である と 考
え ら れます。
*spam_sender@
spam_sender
domain_name
•
[email protected]
•
[email protected]
これら の例に不完全なエ ン ト リ がある場合、 ア プ ラ イ ア ン スは こ
のエ ン ト リ の最初 と 最後にワ イル ド カ ー ド がある と 見な し ます。
ア プ ラ イ ア ン スは、 これ らの例のエ ン ト リ を次のよ う に解釈 し ま
す。
*spam_sender@*
*domain_name*
spam_sender または domain_name を含む メ ール送信者は、 ド
メ イ ンや残 り の部分の名前に関係な く 、 スパムの発信元 と 見な さ
れます。
spa?@*domain_name.net
*@domain_name.n?t
ア プ ラ イ ア ン スは、 「spam@domain_name.net」 を スパムの送
信元 と 見な し ます。
sp?m@*.net
spam@?omain_name.*
?pam@*
表 58: ホワ イ ト リ ス ト と ブ ラ ッ ク リ ス ト のワ イル ド カ ー ド の例
ホワ イ ト リ ス ト と ブ ラ ッ
ク リ ス ト のエ ン ト リ の操
作
ホ ワ イ ト リ ス ト と ブ ラ ッ ク リ ス ト の メ ール ア ド レ ス と ド メ イ ン名を編集、 コ ピー、 ま たは削除す
る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antispam] の順に選択 し ます。
2. [Protection Settings] タ ブを選択 し て次のいずれかを行い、 変更内容を保存 し ます。
操作
送信者を追加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し 、 ド メ イ ン名または メ ール ア ド
レ ス を入力 し ます。
2. [OK] を ク リ ッ ク し ます。
送信者を編集する
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
送信者を コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. [Paste] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
201
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
202
操作
手順
送信者を削除する
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
ア ン チ スパム イ ベ ン ト のア ラ ー ト と ロギン グの有効化
ア ン チスパム イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し
ます。 こ の ト ピ ッ ク では、 イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量のア ラ ー ト と ロ グ エン ト リ には、 かな り の保存領域 と 処理能力が必要です。
始める前に
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP ト ラ ッ プ ) を有効にする 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
電子 メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
ア ン チスパム イ ベン ト
手順
次のア ンチ スパム イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にする こ と がで き ます。
●
こ の機能が電子 メ ールに スパムの タ グ を付けた と き
●
こ の機能が スパムについて電子 メ ールを ス キ ャ ン し た と き
●
こ の機能が ス テー タ ス を ア ッ プデー ト し 、 ア ンチ スパム統計値を生成 し た と き
ア ンチ スパム イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antispam] の順に選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. イ ベン ト ご と にア ラ ー ト と ロ ギ ン グのオプシ ョ ン を選択 し 、 変更内容を保存 し ます。
操作
手順
機能のロギング を有効にする
[Enable Event Logging] を選択 し ます。
スパム と 特定 さ れた メ ールのみを
記録する
[Log Only Email Tagged As Spam] を選択 し ます。
スキ ャ ン さ れた メ ールをすべて記
録する
[Log All Email] を選択 し ます。
ネ ッ ト ワー ク メ ッ セージ サービ
ス (SNMP ト ラ ッ プ ) でア ラ ー ト
を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
注意 : こ の設定は大量のア ラ ー ト ア ク テ ィ ビ テ ィ を生成
し 、 シ ステム パフ ォ ーマ ン スに悪影響を及ぼす可能性
があ り ます。
203
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
操作
手順
ステー タ ス情報 と 統計値に関する
ア ラ ー ト を受け取る
[Status Summary Enabled] を選択 し 、 次のア ラ ー ト 受
信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
注記 : デ フ ォル ト で、 シ ス テムは 1 日 1 回 ( 午前 8 時 )
ア ラ ー ト を送信 し ます。 スケジ ュ ールを変更するには、
「ス テー タ ス サマ リ の高度なパラ メ ー タ 」 (364 ページ )
を参照 し て く だ さ い。
204
Web フ ィ ル タ 防御機能の設定
Web フ ィ ル タ 防御機能の設定
は じ めに
多 く の企業は、 職場か ら Web にア ク セ スす る 社員に対 し て、 適切な使用ガ イ ド ラ イ ン を備え てい
ます。 こ れ ら のポ リ シーは多 く の場合、 社員が攻撃的要素や違法 コ ン テ ン ツ を含む Web サ イ ト に
ア ク セ スす る こ と を禁止 し ます。 ま た、 オン ラ イ ン ギ ャ ンブル、 オン ラ イ ン シ ョ ッ ピ ン グ、
チ ャ ッ ト ルーム な ど の生産性を低下 さ せ る 行為を禁止す る 場合 も あ り ます。 不適切な Web 閲覧は、
ネ ッ ト ワ ー ク を Web か ら ダ ウ ン ロ ー ド さ れた ウ ィ ルス な ど の脅威に さ ら す こ と も あ り ます。 Web
フ ィ ル タ 機能は、 Web 閲覧ポ リ シーの適用に役立つ よ う に、 次のテ ク ノ ロ ジの組み合わせを使用
し てい ます。
●
コ ン テ ン ツ分析 - アプ ラ イ ア ン スは、 異な る Web コ ン テ ン ツ カ テ ゴ リ に関連す る キーワ ー ド 、
画像、 URL、 お よ び他の情報のデー タ ベース を保有 し てい ます。 た と えば、 不法行為やわいせ
つ情報に関連す る 要素の一覧を保有 し てい ます。 ユーザーが Web ページ を要求す る と き に、
フ ィ ル タ は こ れ ら の要素について Web ページの コ ン テ ン ツ を ス キ ャ ン し ます。 コ ン テ ン ツが
要素 と 要素 と 十分に一致 し た場合、 フ ィ ル タ はその Web ページ を ブ ロ ッ ク し 、 ユーザーが定
義 し た コ ン テ ン ツ フ ィ ル タ リ ン グ ルールに応 じ て、 ユーザーのア ク テ ィ ビ テ ィ を記録 し ます。
参照 :Web フ ィ ル タ 機能は、 コ ン テ ン ツ分析中に フ ィ ル タ デー タベース と 連携 し ます。 デー タ
ベース の詳細については、 「フ ィ ル タ デー タ ベース」 (210 ページ ) を参照 し て く だ さ い。
●
宛先ブ ロ ッ ク リ ス ト - アプ ラ イ ア ン スはユーザーが定義 し た、 ブ ロ ッ ク さ れた ド メ イ ン名 と
IP ア ド レ ス の リ ス ト を保有 し てい ます。 ユーザーが こ れ ら の発信元か ら Web コ ン テ ン ツ を要
求す る と 、 フ ィ ル タ はその コ ン テ ン ツ を ブ ロ ッ ク し ます。
●
宛先許可 リ ス ト - アプ ラ イ ア ン スはユーザーが定義 し た、 許可 さ れた ド メ イ ン名 と IP ア ド レ
ス の リ ス ト を保有 し てい ます。 ユーザーが こ れ ら の発信元か ら Web コ ン テ ン ツ を要求す る と 、
フ ィ ル タ はその コ ン テ ン ツ を許可 し ます。
●
発信元許可 リ ス ト - アプ ラ イ ア ン スはユーザーが定義 し た、 無制限に イ ン タ ーネ ッ ト にア ク セ
ス で き る IP ア ド レ ス の リ ス ト を保有 し てい ます。
始める前に
Web フ ィ ル タ 機能を有効にす る 前に、 こ の機能を使用す る ための最新の ラ イ セン ス と 、 フ ィ ル タ
デー タ ベース の最新の コ ピーがあ る こ と を確認す る 必要があ り ます。
手順
ブ ロ ッ ク さ れた コ ン テ ン ツ リ ス ト を含む、 Web フ ィ ル タ 防御機能を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Web Filter] → [Web Filter Settings] の順に
選択 し ます。
2. [Protection Settings] タ ブを選択 し 、 有効にす る オプシ ョ ン を選択 し ます。
オプ シ ョ ン
説明
Web Filter Module
Enabled
コ ン テ ン ツ フ ィ ル タ リ ングを有効にする場合は、 このオプ シ ョ
ン を選択 し ます。
URL Blocking Enabled
ブ ロ ッ ク さ れた コ ン テ ン ツ を含む、 Web サイ ト へのア ク セスか
ら ユーザーを ブ ロ ッ ク する場合は、 このオプ シ ョ ン を選択 し ま
す。 ブ ロ ッ ク さ れた コ ン テ ン ツ リ ス ト は、 この手順でユーザー
定義 さ れます。
Proventia® Network Multi-Function Security Appliance User Guide
205
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
3. 次の タ ブを選択 し 、 コ ン テ ン ツ ブ ロ ッ ク ルールの例外を定義 し 、 変更を保存 し ます。
タブ
説明
Filter Override Destination Allow
List
他の コ ン テ ン ツ ブ ロ ッ ク ルールに関係な く 、 ユーザーが常にア ク セ
スで き る ド メ イ ン名または IP ア ド レ ス を追加 し ます。
Filter Override Destination Block
List
他の コ ン テ ン ツ ブ ロ ッ ク ルールに関係な く 、 ユーザーがア ク セスで
き ない ド メ イ ン名または IP ア ド レ ス を追加 し ます。
このオーバー ラ イ ド は、 コ ン テ ン ツがブ ロ ッ ク さ れた コ ン テ ン ツ リ
ス ト にある Web サイ ト にユーザーがア ク セスする こ と を許可する場
合に役立ち ます。 た と えば、 ニ ュ ース コ ン テ ン ツ を含む Web サイ ト
を ブ ロ ッ ク する一方で、 ユーザーが CNN Web サイ ト にア ク セスする
こ と を許可する場合は、 CNN Web サイ ト を こ の リ ス ト に追加 し ま
す。
このオーバー ラ イ ド は、 ISS Web フ ィ ル タ カ テ ゴ リ またはフ ィ ル タ
デー タ ベースに一覧 さ れていない コ ン テ ン ツ または Web サイ ト を ブ
ロ ッ ク する場合に役立ち ます。
宛先許可 リ ス ト および宛先ブ ロ ッ ク リ ス ト の有効なエ ン ト リ 例は次
の と お り です。
•
1 つの IP ア ド レ スまたは ド メ イ ン名
•
先頭または末尾にワ イル ド カ ー ド を含む IP ア ド レ ス または ド メ イ
ン名 ( エ ン ト リ の中央ではワ イル ド カ ー ド を使用 し ないで く だ さ
い。 )
• 疑問符 (?)
• ア ス タ リ ス ク (*)
例:
• *.iss.*
• iss
• *.iss.n?t
• ?*.net
• .iss.net
• 172.16.106.*
• 172.16.*
• 172.*
•
Filter Override Source Allow List
iss は、 ア プ ラ イ ア ン スによ っ て *iss* と 解釈 さ れます。
他の コ ン テ ン ツ ブ ロ ッ ク ルールに関係な く 、 イ ン タ ーネ ッ ト にア ク
セスで き るユーザーの静的 IP ア ド レ ス を追加 し ます。
このオーバー ラ イ ド は、 特定のユーザーが無制限に イ ン タ ーネ ッ ト に
ア ク セスで き る よ う にする場合に役立ち ます。
有効なエ ン ト リ 例は次の と お り です。
•
1 つの IP ア ド レ ス
•
末尾セグ メ ン ト にワ イル ド カ ー ド 文字 と し てア ス タ リ ス ク (*) を
含む IP ア ド レ ス ( ア ス タ リ ス ク は、 次の例のよ う にエ ン ト リ 中の
最後の文字である必要があ り ます )
192.168.120.*
192.168.*
192.*
206
Web フ ィ ル タ 防御機能の設定
4. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Web Filter] → [Web Filter] の順に選択 し ま
す。
5. ブ ロ ッ ク す る コ ン テ ン ツ を選択 し 、 変更内容を保存 し ます。
許可 リ ス ト と ブ ロ ッ ク
リ ス ト の操作
■
Criminal activities ( 犯罪行為 )
■
Drugs, alcohol, and tobacco ( 薬物、 アル コ ール、 タ バ コ )
■
Entertainment and culture ( 娯楽 と 文化 )
■
Extreme ( 過激思想 )
■
Finance and investing ( 金融 と 投資 )
■
Games and gambling ( ゲーム と 賭博 )
■
Information and communication ( 情報 と 通信 )
■
Information technology ( 情報技術 )
■
Job search ( 求職 )
■
Lifestyle ( 生活様式 )
■
Medicine ( 医学 )
■
Nudity ( ヌー ド )
■
Ordering and online shopping ( 注文 と オン ラ イ ン シ ョ ッ ピ ン グ )
■
Private home pages ( 個人のホームページ )
■
Society/Education/Religion ( 社会 / 教育 / 宗教 )
■
SPAM ( スパム )
■
Spyware ( スパ イ ウ ェ ア )
■
Transportation ( 交通 )
■
Weapons ( 武器 )
許可 リ ス ト と ブ ロ ッ ク リ ス ト のエン ト リ を編集、 コ ピー、 ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Web Filter] → [Web Filter Settings] の順に
選択 し ます。
2. 次のいずれかを行い、 変更内容を保存 し ます。
操作
エ ン ト リ を編集する
手順
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
エ ン ト リ を コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. [Paste] ア イ コ ン (
エ ン ト リ を削除する
) をクリ ッ クしま
) を ク リ ッ ク し ます。
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
207
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
Web フ ィ ル タ リ ング イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し
ます。 こ の ト ピ ッ ク では、 ア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量のア ラ ー ト と ロ グ エン ト リ には、 かな り の保存領域 と 処理能力が必要です。
前提条件
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP ト ラ ッ プ ) を有効にする 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
電子 メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
Web フ ィ ル タ イ ベン ト
手順
次の Web フ ィ ル タ イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にす る こ と がで き ます。
●
フ ィ ル タ が Web ページ要求を ブ ロ ッ ク し た と き
●
ユーザーがブ ロ ッ ク さ れた Web ページ を要求 し た と き
●
フ ィ ル タ が ス テー タ ス を ア ッ プデー ト し 、 Web フ ィ ル タ 統計値を生成 し た と き
Web フ ィ ル タ イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Web Filter] → [Web Filter Settings] の順に
選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. イ ベン ト ご と にア ラ ー ト と ロ ギ ン グのオプシ ョ ン を選択 し 、 変更内容を保存 し ます。
208
操作
手順
機能のロギング を有効にする
[Enable Event Logging] を選択 し ます。
ブ ロ ッ ク さ れた Web ページ要求
のみを記録する
[Log Only Blocked Web Page Requests] を選択 し ま
す。
Web ページ要求をすべて記録す
る
[Log All Web Page Requests] を選択 し ます。
ネ ッ ト ワー ク メ ッ セージ サービ
ス (SNMP ト ラ ッ プ ) でア ラ ー ト
を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
注意 : こ の設定は大量のア ラ ー ト ア ク テ ィ ビ テ ィ を生成
し 、 シ ステム パフ ォ ーマ ン スに悪影響を及ぼす可能性
があ り ます。
Web フ ィ ル タ リ ン グ イ ベ ン ト のア ラ ー ト と ロギン グの有効化
操作
手順
ステー タ ス情報 と 統計値に関する
ア ラ ー ト を受け取る
[Status Summary Enabled] を選択 し 、 次のア ラ ー ト 受
信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
注記 : デ フ ォル ト で、 シ ス テムは 1 日 1 回 ( 午前 8 時 )
ア ラ ー ト を送信 し ます。 スケジ ュ ールを変更するには、
「ス テー タ ス サマ リ の高度なパラ メ ー タ 」 (364 ページ )
を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
209
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
フ ィ ル タ デー タ ベース
は じ めに
アプ ラ イ ア ン スは、 ユーザーが定義 し た防御設定 と フ ィ ル タ デー タ ベース (Filter DB) の情報に基
づいて、 ア ンチ スパム ポ リ シー と Web フ ィ ル タ ポ リ シーを適用 し ます。 こ の ト ピ ッ ク では、 フ ィ
ル タ デー タ ベース について説明 し ます。
説明
フ ィ ル タ デー タ ベース は、 大量の Web コ ン テ ン ツ、 Web サ イ ト 、 URL、 お よび他の Web 関連情
報を分類す る 高度な メ カ ニ ズ ムです。 ア ンチ スパム機能 と Web フ ィ ル タ 機能は、 デー タ ベース と
連携 し てユーザーが定義 し た スパム と コ ン テ ン ツのブ ロ ッ ク ルールを適用 し ます。
●
ア ンチ スパム機能は、 デー タ ベース と 連携 し て スパム を特定 し ます。
●
Web フ ィ ル タ 機能は、 デー タ ベース と 連携 し て、 ユーザーが不適切 と 見なす Web コ ン テ ン ツ
を特定 し ます。
ISS は、 次の よ う な さ ま ざ ま な方法やデバ イ ス を使用 し てデー タ ベース を関連付け、 情報を分類 し
ます。
Web ラ ーン機能
●
自動化 さ れた Web ク ロ ー ラ
●
犯罪行為、 賭博、 ヌ ー ド 、 暴力な ど のカ テ ゴ リ
●
管理 さ れた リ ン ク の一覧
●
ニ ュ ース グループ
●
検索エン ジ ン
●
テキ ス ト 分類
●
オブジ ェ ク ト 認識
●
不明ま たは未認識の Web サ イ ト を ISS に報告す る Web ラ ーン対応アプ ラ イ ア ン ス
Web ラ ーン機能を有効にす る と 、 今後の フ ァ イ ア ウ ォール デー タ ベース ア ッ プデー ト の調査 と 追
加のために、 アプ ラ イ ア ン スは不明ま たは未認識の Web サ イ ト を ISS に報告 し ます。 アプ ラ イ ア
ン スは、 フ ィ ル タ デー タ ベース のア ッ プデー ト プ ロ セ ス時に、 不明の URL 10 個をひ と ま と めに
し て ISS に送信 し ます。
Web ラ ーン機能を有効に し 、 ISS に よ る フ ィ ル タ デー タ ベース の強化に役立て る には :
●
デー タ ベース プ ロパ
テ ィ の表示
[Maintenance] → [Filter DB] の順に選択 し 、 [Web Learn.] を選択 し ます。
デー タ ベース に関す る 情報を表示す る には、 [Maintenance] → [Filter DB] の順に選択 し ます。 アプ
ラ イ ア ン スは、 次の フ ィ ル タ デー タ ベース に関する 情報を表示 し ます。
プ ロパテ ィ
説明
Mode
現在のデー タ ベースのステー タ ス
Version
•
Not installed
•
Installed
ロー カル デー タ ベースのバージ ョ ン。 次の形式で表示 さ れます。
x.xxxx
表 59: デー タ ベース情報
210
フ ィ ル タ デー タ ベース
Status
ロー カル デー タ ベースのステー タ ス
•
Download Progress
Installed
•
Downloading
•
Updating
ロー カル デー タ ベースのダウン ロー ド の進行状況
•
x% ( ダウン ロー ド 済みのパーセ ン テージ )
•
Indexing Database
表 59: デー タ ベース情報 ( 続き )
デー タ ベースのア ッ プ
デー ト
ISS では、 継続的にデー タ ベース のア ッ プデー ト と 強化を行っ てい ます。 最新の機能を入手す る に
は、 フ ィ ル タ デー タ ベース を最新のバージ ョ ンに保つ必要があ り ます。 1 日 1 回デー タ ベース を
ア ッ プデー ト す る こ と を推奨 し ます。 自動ア ッ プデー ト 機能は、 自動ア ッ プデー ト が発生す る と
デー タ ベース を自動的にア ッ プデー ト し ます。 自動ア ッ プデー ト 機能の設定方法については、 「ア
プ ラ イ ア ン ス のア ッ プデー ト 」 (111 ページ ) を参照 し て く だ さ い。
デー タ ベースの入手
最新のアプ ラ イ ア ン スは、 デフ ォ ル ト で フ ィ ル タ デー タ ベース を搭載 し て ます。 場合に よ っ ては、
デー タ ベース を手動で入手す る 必要があ り ます。 完全な フ ィ ル タ デー タ ベース を入手する には :
重要 : 既存の フ ィ ル タ デー タ ベース を ア ッ プデー ト す る 場合は、 こ の手順を使用 し ないで く だ さ
い。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Maintenance] → [Filter DB] の順に選択 し ます。
2. [Get Local DB] を ク リ ッ ク し ます。
注記 : 注記 :[Export Administration Regulation] ウ ィ ン ド ウ が表示 さ れた場合は、 内容を確認
し 、 [Yes] を選択 し てか ら [Submit] を ク リ ッ ク し ます。
Firmware Update バージ ョ ン 1.7 以前で動作 し てい る アプ ラ イ ア ン ス のデー タ ベース を入手す る 場合
は、 次のいずれかを行い ます。
問題点の報告
●
ISS の Web サ イ ト か ら 、 Firmware Update バージ ョ ン 1.8 以降を ダ ウ ン ロ ー ド す る
●
ISS のダ ウ ン ロ ー ド ページか ら フ ィ ル タ デー タ ベース を ダ ウ ン ロ ー ド す る
Web サ イ ト の誤っ た分類な ど、 フ ィ ル タ デー タ ベース に関す る 問題点を報告す る 場合は、 本製品
の保守契約を締結 さ れてい る 販売代理店ま でご連絡 く だ さ い。
●
http://www.iss.net/products_services/webfilter/test_site.php
●
[email protected]
●
[email protected]
Proventia® Network Multi-Function Security Appliance User Guide
211
第 15 章 : 電子 メ ール と Web コ ン テ ン ツの フ ィ ル タ リ ン グ
212
第 16 章
ウ ィ ルスの検出と 削除
概要
は じ めに
こ の章では、 ア ンチ ウ ィ ルスお よ びウ ィ ルス防御シ ス テ ム (VPS) で ウ ィ ルス を検出 し て削除する 方
法について説明 し ます。
参照 : こ れ ら の機能の監視方法 と 、 関連す る ス テー タ ス、 イ ベン ト 、 お よ び統計値の詳細な説明
については、 オン ラ イ ン ヘルプを参照 し て く だ さ い。
ラ イ セ ン スの リ ソ ース
こ の機能を使用す る には ラ イ セン ス が必要です。 次の表では、 ラ イ セン ス の リ ソ ース について説明
し ます。
リ ソ ース
説明
www.iss.net/issEn/MYISS/login_help.jhtml ラ イ セ ン ス を持 っ たユーザーを登録す
る場合は この リ ン ク に進みます。
www1.iss.net/cgi-bin/lrc
ラ イ セ ン スの登録 と ダウン ロー ド を行
う 場合は この リ ン ク に進みます。
https://[email protected]
ラ イ セ ン スの更新情報については この
リ ン ク に進みます。
ISS 販売代理店
ラ イ セ ン スの入手については、 販売代
理店ま でお問い合わせ く だ さ い。
Proventia Manager の [Licensing] ページか ら
[Maintenance] → [Licensing]
ア プ ラ イ ア ン スに ラ イ セ ン ス を ア ッ プ
ロー ド する場合は このページに進みま
す。
表 60: ラ イ セン スの リ ソ ース
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ア ン チウ ィ ルス防御機能の設定
214
ア ン チウ ィ ルス イ ベン ト のア ラ ー ト と ロギングの有効化
217
隔離 (Quarantine) さ れた フ ァ イルの管理
219
Proventia® Network Multi-Function Security Appliance User Guide
213
第 16 章 : ウ ィ ルスの検出 と 削除
ア ン チウ ィ ルス防御機能の設定
は じ めに
ウ ィ ルス は、 プ ロ グ ラ ム、 デー タ フ ァ イ ル、 ま たはデ ィ ス ク 領域に自身を添付する 、 自己増殖お
よ び自己実行型 コ ー ド です。 ウ ィ ルスは、 悪意のあ る プ ロ グ ラ ムや ト ラ ッ プ ド ア を含む こ と があ り
ますが、 通常は常に悪意を持っ てい ます。 ウ ィ ルスは直ちに識別 さ れ、 削除 さ れ る 必要があ り ま
す。 ア ンチ ウ ィ ルスお よ びウ ィ ルス防御シ ス テ ムは、 次のテ ク ノ ロ ジ を使用 し て ウ ィ ルス の識別 と
削除を行い ます。
●
シグ ネチ ャ ベース の ウ ィ ルス検知 - アプ ラ イ ア ン スは、 ISS が定義 し た シ グネチ ャ と 呼ばれ る
ウ ィ ルス定義 リ ス ト を保有 し てい ます。 こ れ ら は既知の ウ ィ ルス のための も のです。 アプ ラ イ
ア ン スは、 こ れ ら のシグ ネチ ャ について電子 メ ール、 フ ァ イ ル転送、 お よ び Web ト ラ フ ィ ッ
ク を ス キ ャ ン し 、 感染 し た フ ァ イ ルがあれば適切な対応を取 り ます。 暗号化 さ れた フ ァ イ ル、
パ ス ワ ー ド で保護 さ れた フ ァ イ ル、 ま たはユーザーが定義 し た除外フ ァ イ ル リ ス ト はス キ ャ
ン し ません。
参照 : ウ ィ ルス の詳細については、 www.wildlist.org を参照 し て く だ さ い。
●
ビヘ イ ビ アベ
アベース
ース の ウ ィ ルス検知 - アプ ラ イ ア ン スは、 悪意のあ る コ ー ド の特徴について電子
メ ール、 フ ァ イ ル転送、 お よ び Web ト ラ フ ィ ッ ク を分析 し ます。 た と えば、 悪意のあ る プ ロ
グ ラ ムは自己増殖 し ます。 アプ ラ イ ア ン スは自己増殖型 コ ー ド を削除 し ます。 動作分析は、
ウ ィ ルス定義が存在 し な く て も 、 アプ ラ イ ア ン ス に よ る ウ ィ ルス検知を可能に し ます。 こ の よ
う な ウ ィ ルス防御は、 ゼ ロ デ イ ウ ィ ルス防御 と し て知 ら れてい ます。 アプ ラ イ ア ン ス は、 疑
わ し い フ ァ イ ルやプ ロ グ ラ ム を隔離す る ために適切な対応を取 り ます。 100 MB を超え る フ ァ
イ ルでは、 動作分析を行い ません。
こ の ト ピ ッ ク では、 ア ンチ ウ ィ ルス防御機能の設定方法について説明 し ます。
透過性
始める前に
ア ンチ ウ ィ ルス ソ フ ト ウ ェ アは、 デフ ォル ト で ト ラ ン スペア レ ン ト アプ リ ケーシ ョ ン層ゲー ト
ウ ェ イ (ALG) サービ ス と し て機能 し ます。 ト ラ ン スペア レ ン ト ウ ィ ルス ス キ ャ ン を無効にする 方
法については、 「ア ンチ ウ ィ ルス の高度なパ ラ メ ー タ 」 (327 ページ ) を参照 し て く だ さ い。
●
avm.se.ftp.pftpd.address_transparent
●
avm.se.http.phttpd.address_transparent
●
avm.se.pop3.ppop3d.address_transparent
●
avm.se.smtp.psmtpd.address_transparent
ア ンチ ウ ィ ルスお よ び VPS 機能を有効にする 前に、 ス キ ャ ンする 次の ト ラ フ ィ ッ ク の種類に対 し
て ALG ポ リ シーを有効にす る 必要があ り ます。
●
Web ト ラ フ ィ ッ ク (HTTP)
注記 : 外部のプ ロ キ シ サーバーか ら ク ラ イ ア ン ト への Web ト ラ フ ィ ッ ク (HTTP) は防御 さ れ
ません。
●
電子 メ ール ト ラ フ ィ ッ ク (SMTP お よ び POP3)
●
フ ァ イ ル転送 (FTP)
参照 : 「アプ リ ケーシ ョ ン層での ト ラ フ ィ ッ ク の フ ィ ル タ リ ン グ」 (180 ページ ) を参照 し て く だ さ
い。
214
ア ン チウ ィ ルス防御機能の設定
手順
ア ンチ ウ ィ ルス防御機能を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antivirus] の順に選択 し ます。
2. 次の フ ィ ール ド を入力 し ます。
タブ
オプ シ ョ ン
説明
Basic
Configuration
Antivirus Module Enabled
ウ ィ ルス防御を有効にする場合は、 こ
のオプ シ ョ ン を選択 し ます。
General
Settings
Quarantine Infected Files
Found by Signature Engine
既知のウ ィ ルスに感染 し た フ ァ イルを
隔離する場合は、 このオプ シ ョ ン を選
択 し ます。
Quarantine Infected Files
Found by VPS Engine
潜在的なウ ィ ルスに感染 し た フ ァ イル
を隔離する場合は、 このオプ シ ョ ン を
選択 し ます。
•
HTTP using Signature
Engine
ト ラ フ ィ ッ ク と スキ ャ ンの種類を選択
し ます。
•
HTTP using VPS Engine
•
•
FTP using Signature Engine
•
FTP using VPS Engine
既知のウ ィ ルス ( シグネチ ャ ベー
ス ) と 不明のウ ィ ルス (VPS) につ
いて、 Web ト ラ フ ィ ッ ク (HTTP)
のスキ ャ ン
•
SMTP using Signature
Engine
•
•
SMTP using VPS Engine
•
POP3 using Signature
Engine
既知のウ ィ ルス ( シグネチ ャ ベー
ス ) と 不明のウ ィ ルス (VPS) につ
いて、 フ ァ イル転送 ト ラ フ ィ ッ ク
(FTP) のスキ ャ ン
•
•
POP3 using VPS Engine
既知のウ ィ ルス ( シグネチ ャ ベー
ス ) と 不明のウ ィ ルス (VPS) につ
いて、 電子 メ ール ト ラ フ ィ ッ ク
(SMTP および POP3) のスキ ャ ン
Protocols to
Protect
3. [File Extensions to Exclude from HTTP Antivirus] タ ブを選択 し 、 ウ ィ ルス ス キ ャ ンか ら 除外 さ
れた フ ァ イ ル拡張子の一覧を確認 し 、 編集 し ます。 ア ス タ リ ス ク (*) は ワ イ ル ド カー ド と し て
使用可能です。 た と えば、 「*.chm」 や 「*.dbx」 な ど です。
4. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
フ ァ イル拡張子の操作
[File Extensions Excluded from HTTP Antivirus] リ ス ト で フ ァ イ ル拡張子を追加、 編集、 コ ピー、 ま た
は削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antivirus] の順に選択 し ます。
2. [ Settings] を選択 し 、 [File Extensions to Exclude from HTTP Antivirus] タ ブを選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
フ ァ イル拡張子を追加す
る
[Add] ア イ コ ン を ク リ ッ ク し 、 フ ァ イル拡張子を入力 し 、 [OK] を
ク リ ッ ク し ます。
フ ァ イル拡張子を編集す
る
1. フ ァ イル拡張子を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 拡張子を編集 し 、 [OK] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
215
第 16 章 : ウ ィ ルスの検出 と 削除
操作
フ ァ イル拡張子を コ ピー
する
手順
1. フ ァ イル拡張子を選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ま
す。
2. [Paste] ア イ コ ン を ク リ ッ ク し 、 拡張子を編集 し 、 [OK] を ク
リ ッ ク し ます。
フ ァ イル拡張子を削除す
る
216
フ ァ イル拡張子を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し 、
[OK] を ク リ ッ ク し ます。
ア ン チウ ィ ルス イ ベ ン ト のア ラ ー ト と ロギン グの有効化
ア ン チウ ィ ルス イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し
ます。 こ の ト ピ ッ ク では、 イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量の イ ベン ト には、 かな り の保存領域 と 処理能力が必要です。
始める前に
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク 管理サービ ス (SNMP ト ラ ッ プ ) を有効にする 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
電子 メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
ア ン チウ ィ ルス イ ベン
ト
手順
次のア ンチ ウ ィ ルス イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にする こ と がで き ます。
●
こ の機能が ウ ィ ルス を検出 し た と き
●
こ の機能が ス テー タ ス を ア ッ プデー ト し 、 ア ンチ ウ ィ ルス機能の統計数値を生成 し た と き
ア ンチ ウ ィ ルス イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Antivirus] の順に選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. イ ベン ト の種類ご と にア ラ ー ト と ロ ギ ン グのオプシ ョ ン を選択 し 、 変更内容を保存 し ます。
操作
手順
イ ベン ト のログ を記録する
[Alert Logging for Event Name] を選択 し ます。
メ ールでア ラ ー ト を受け取る
[Email Enabled] を選択 し ます。
重要 : 高度なパラ メ ー タ
attack.log_one_attack_every をデ フ ォル ト 設
定の 100 のま まに し ます。 同 じ 種類のイ ベン ト が 100
回発生する と 、 シ ステムは 100 のイ ベン ト ではな く 1
つのイ ベン ト だけ を記録 し 、 電子 メ ールを 1 回送信 し ま
す。
ネ ッ ト ワー ク ア ラ ー ト (SNMP ト
ラ ッ プ ) を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
217
第 16 章 : ウ ィ ルスの検出 と 削除
操作
手順
ステー タ ス と 統計値に関する ア
ラ ー ト を受け取る
[Status Summary Enabled] を選択 し 、 次のア ラ ー ト 受
信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
注記 : デ フ ォル ト で、 シ ス テムは 1 日 1 回 ( 午前 8 時 )
ア ラ ー ト を送信 し ます。 スケジ ュ ールを変更するには、
「ス テー タ ス サマ リ の高度なパラ メ ー タ 」 (364 ページ )
を参照 し て く だ さ い。
218
隔離 (Quarantine) さ れた フ ァ イルの管理
イ ルの管理
隔離 (Quarantine) さ れた フ ァ イルの管理
は じ めに
こ の ト ピ ッ ク では、 隔離 さ れた フ ァ イ ルの表示お よ び削除方法について説明 し ます。 シ ス テ ムは、
フ ァ イ ルの感染部分だけ を隔離 し 、 フ ァ イ ルの残 り の部分を削除 し ます。
注意 : 隔離 さ れた フ ァ イ ルの復元を試み る 場合は、 細心の注意を払っ て く だ さ い。
隔離 さ れた フ ァ イルの操 隔離 さ れた フ ァ イ ルを表示ま たは削除す る には、 次の作業を行い ます。
作
操作
手順
隔離 さ れた フ ァ イルを表示す
る
[Quarantine File Management ] ページにア ク セス し ます。
隔離 さ れた フ ァ イルを削除す
る
フ ァ イルを選択 し 、 [Delete] を ク リ ッ ク し ます。
隔離 さ れた フ ァ イルをすべて
削除する
[Delete All] を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
219
第 16 章 : ウ ィ ルスの検出 と 削除
220
第 17 章
不正侵入の検出と 防御
概要
は じ めに
こ の章では、 不正侵入防御機能を使っ てネ ッ ト ワ ー ク 上の不正侵入を検出 し て防御す る 方法につい
て説明 し ます。
参照 : こ の機能の監視方法 と 、 関連す る ス テー タ ス、 イ ベン ト 、 お よ び統計値の詳細な説明につ
いては、 オン ラ イ ン ヘルプを参照 し て く だ さ い。
ラ イ セ ン スの リ ソ ース
こ の機能を使用す る には ラ イ セン ス が必要です。 次の表では、 ラ イ セン ス の リ ソ ース について説明
し ます。
リ ソ ース
説明
www.iss.net/issEn/MYISS/login_help.jhtml ラ イ セ ン ス を持 っ たユーザーを登録す
る場合は この リ ン ク に進みます。
www1.iss.net/cgi-bin/lrc
ラ イ セ ン スの登録 と ダウン ロー ド を行
う 場合は この リ ン ク に進みます。
https://[email protected]
ラ イ セ ン スの更新情報については この
リ ン ク に進みます ( 米国のみ )。
ISS 販売代理店
ラ イ セ ン スの入手については、 販売代
理店ま でお問い合わせ く だ さ い。
Proventia Manager の [Licensing] ページか ら
[Maintenance] → [Licensing]
ア プ ラ イ ア ン スに ラ イ セ ン ス を ア ッ プ
ロー ド する場合は このページに進みま
す。
表 61: ラ イ セン スの リ ソ ース
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
不正侵入防御機能の設定
222
不正侵入イ ベン ト のア ラ ー ト と ロギングの有効化
224
不正侵入の隔離 (Quarantine) ルールの管理
226
不正侵入防御イ シ ュ ー リ ス ト の操作
227
Proventia® Network Multi-Function Security Appliance User Guide
221
第 17 章 : 不正侵入の検出 と 防御
不正侵入防御機能の設定
は じ めに
不正侵入は、 デバ イ ス がネ ッ ト ワ ー ク 上の脆弱点を悪用 し よ う と し てい る と き 、 ま たは後か ら 攻撃
で使用で き る 情報についてデバ イ ス がネ ッ ト ワ ー ク を ス キ ャ ン し よ う と す る と き に行われます。 不
正侵入防御機能は、 次の作業を行い ます。
●
進行中の攻撃を検出 し てブ ロ ッ ク す る 。
●
不正なポー ト ス キ ャ ンやネ ッ ト ワ ー ク 調査な ど の監査を検出 し てブ ロ ッ ク する 。
●
電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま たは SiteProtector Console に よ っ
て、 攻撃、 監査、 お よ びブ ロ ッ ク ア ク テ ィ ビ テ ィ に関する 警告を発する 。
●
シ ス テ ム ロ グで攻撃、 監査、 お よ びブ ロ ッ ク ア ク テ ィ ビ テ ィ を記録す る 。
●
イ ベン ト を フ ィ ル タ リ ン グす る 。
こ の ト ピ ッ ク では、 不正侵入防御機能の設定方法について説明 し ます。
イ ベン ト フ ィ ル タ
イ ベン ト フ ィ ル タ は、 アプ ラ イ ア ン ス が生成す る イ ベン ト を制御 し ます。 アプ ラ イ ア ン ス が特定
のホ ス ト ま たは ト ラ フ ィ ッ ク の イ ベン ト を無視す る よ う にす る 場合は、 イ ベン ト フ ィ ル タ を設定
し て く だ さ い。
手順
不正侵入防御機能を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Intrusion Prevention] → [Intrusion
Prevention Settings] の順に選択 し ます。
2. [Protection Settings] タ ブを選択 し 、 次のオプシ ョ ン を選択 し ます。
オプ シ ョ ン
説明
Intrusion Prevention Module
Enabled
不正侵入防御を有効にする場合は、 このオプ シ ョ ン を選択 し
ます。
X-Force Protection
Responses, featuring Virtual
Patch Technology, enabled
X-Force がブ ロ ッ ク レ スポン ス を含むすべてのシグネチ ャ に
割 り 当て るデ フ ォル ト の防御レ スポン ス をすべて有効にする
場合は、 このオプ シ ョ ン を選択 し ます。
ア プ ラ イ ア ン スが不正侵入を ブ ロ ッ ク する よ う にする場合
は、 このオプ シ ョ ン を有効にする必要があ り ます。 そ う し な
い と 、 ア プ ラ イ ア ン スは不正侵入だけ を検出 し 、 その不正侵
入に関 し てア ラ ー ト を送信 し ます。
3. [Event Filters] タ ブ を選択 し ます。
4. 次のいずれかを行い、 変更内容を保存 し ます。
操作
イ ベン ト フ ィ ル タ を追
加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. [Description] に フ ィ ル タ の説明を入力 し 、 [Enabled] を選択
し ます。
3. [Issue Id] リ ス ト から イ シ ュ ーを選択 し ます。
4. [OK] を ク リ ッ ク し ます。
222
不正侵入防御機能の設定
操作
イ ベン ト フ ィ ル タ ルー
ルを追加する
手順
1. イ ベン ト フ ィ ル タ 項目を選択 し 、 ダブルク リ ッ ク し ます。
2. [Issue Id] リ ス ト から イ シ ュ ーを選択 し ます。
3. [Event Filter] セ ク シ ョ ン で [Add] ア イ コ ン を ク リ ッ ク し ます。
4. [OK] を ク リ ッ ク し ます。
イ ベン ト フ ィ ル タ ルー
ルを編集する
1. [Event Filters] セ ク シ ョ ン で、 エ ン ト リ を ダブルク リ ッ ク し ま
す。
2. [Not] を オ ンに し ます。
3. [Addresses] フ ィ ール ド を ダブルク リ ッ ク し ます。
4. [Intruder Addresses] セ ク シ ョ ン または [Victim Addresses] セ
ク シ ョ ン で、 [Edit] または [Add] を ク リ ッ ク し ます。
5. 次のいずれかを選択 し 、 適切な IP ア ド レ ス を入力 し ます。
• Any Address
• Single IP Address
• IP Address Range
• IP Address/Mask
6. [OK] を ク リ ッ ク し ます。
7. [Datagram] フ ィ ール ド を ダブルク リ ッ ク し ます。
8. [Protocol] の矢印を ク リ ッ ク し て プ ロ ト コルの リ ス ト を確認
し 、 プ ロ ト コルを選択 し ます。
9. [Intruder Ports] セ ク シ ョ ン または [Victim Ports] セ ク シ ョ ン
で、 [Edit] または [Add] を ク リ ッ ク し ます。
10. 次のいずれかを選択 し 、 適切なポー ト 番号を入力 し ます。
• Any Port
• Single Port
• Port Range
11. [Not] を オ ン またはオ フ に し ます。
12. [OK ] を ク リ ッ ク し て [Port Expression Editor] ウ ィ ン ド ウを閉
じ 、 も う 一度 [OK ] を ク リ ッ ク し ます。
イ ベン ト フ ィ ル タ を削
除する
イ ベン ト フ ィ ル タ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ま
す。
Proventia® Network Multi-Function Security Appliance User Guide
223
第 17 章 : 不正侵入の検出 と 防御
不正侵入イ ベン ト のア ラ ー ト と ロギングの有効化
は じ めに
イ ベン ト が発生す る と 、 シ ス テ ムは電子 メ ール、 ネ ッ ト ワ ー ク メ ッ セージ (SNMP ト ラ ッ プ )、 ま
たは SiteProtector Console で警告を発する こ と がで き ます。 さ ら に、 その イ ベン ト の ロ グ も 記録 し
ます。 こ の ト ピ ッ ク では、 ア ラ ー ト と ロ ギ ン グ を有効にす る 方法について説明 し ます。
ガイ ド ラ イ ン
大量の イ ベン ト が予測 さ れ る 場合は、 選択す る ア ラ ー ト と ロ ギ ン グの種類を慎重に検討す る こ と を
推奨 し ます。 大量のア ラ ー ト と ロ グ エン ト リ には、 かな り の保存領域 と 処理能力が必要です。
始める前に
ア ラ ー ト を有効にす る 前に、 ア ラ ー ト を受信す る 方法に応 じ て、 次の作業を行 う 必要があ り ます。
●
ネ ッ ト ワ ー ク メ ッ セージ サービ ス (SNMP ト ラ ッ プ ) を有効にす る 。
参照 : 「ネ ッ ト ワー ク 管理サービ ス (SNMP) の有効化」 (86 ページ ) を参照 し て く だ さ い。
●
電子 メ ールに よ る ア ラ ー ト を設定す る 。
参照 : 「 メ ールに よ る ア ラ ー ト の設定」 (103 ページ ) を参照 し て く だ さ い。
●
アプ ラ イ ア ン ス を SiteProtector に登録 し 、 アプ ラ イ ア ン ス で SiteProtector に よ る 管理を有効に
する。
参照 : 「SiteProtector でのアプ ラ イ ア ン ス の管理 と ア ッ プデー ト 」 (105 ページ ) を参照 し て く
だ さ い。
不正侵入防御イ ベン ト
手順
次の不正侵入防御 イ ベン ト に対 し て、 ア ラ ー ト と ロ ギ ン グ を有効にす る こ と がで き ます。
●
こ の機能が攻撃を ブ ロ ッ ク し た と き
●
こ の機能が攻撃を検出 し たが、 ブ ロ ッ ク し ない と き
●
こ の機能が監査を検出 し たが、 ブ ロ ッ ク し ない と き
●
こ の機能が ス テー タ ス を ア ッ プデー ト し 、 統計値を生成 し た と き
●
隔離ルールが追加、 削除、 期限切れ、 ま たは一致 し た と き
●
こ の機能がパケ ッ ト 内の無効なチ ェ ッ ク サム ま たはプ ロ ト コ ルを検出 し た と き
●
こ の機能が リ ソ ース エ ラ ーを検出 し た と き
●
こ の機能が TCP 接続を ブ ロ ッ ク し た と き
不正侵入防御 イ ベン ト のア ラ ー ト と ロ ギ ン グ を有効にす る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Intrusion Prevention] → [Intrusion
Prevention Settings] の順に選択 し ます。
2. [Event Notification] タ ブを選択 し ます。
3. イ ベン ト の種類ご と にア ラ ー ト と ロ ギ ン グのオプシ ョ ン を選択 し 、 変更内容を保存 し ます。
224
操作
手順
イ ベン ト のログ を記録する
Alert Logging for Event Name] を選択 し ます。
メ ールでア ラ ー ト を受け取る
[Email Enabled] を選択 し ます。
ネ ッ ト ワー ク ア ラ ー ト (SNMP ト
ラ ッ プ ) を受け取る
[SNMP Trap Enabled] を選択 し ます。
SiteProtector Console にア ラ ー ト
を送信する
[SiteProtector Enabled] を選択 し ます。
不正侵入 イ ベ ン ト のア ラ ー ト と ロギン グの有効化
操作
手順
ステー タ ス と 統計値に関する ア
ラ ー ト を受け取る
[Status Summary Enabled] を選択 し 、 次のア ラ ー ト 受
信方法を選択 し ます。
•
Email Enabled
•
SNMP Trap Enabled
•
SiteProtector Enabled
注記 : デ フ ォル ト で、 シ ス テムは 1 日 1 回 ( 午前 8 時 )
ア ラ ー ト を送信 し ます。 スケジ ュ ールを変更するには、
「ス テー タ ス サマ リ の高度なパラ メ ー タ 」 (364 ページ )
を参照 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
225
第 17 章 : 不正侵入の検出 と 防御
不正侵入の隔離
不正侵入の隔離 (Quarantine) ルールの管理
は じ めに
シ ス テ ムは、 イ ベン ト を検出す る と 自動的に隔離ルールを作成 し 、 そのルールを隔離ルール テー
ブルに格納 し ます。 隔離ルールは、 ブ ロ ッ ク す る パケ ッ ト と ブ ロ ッ ク 期間を指定 し ます。 こ のルー
ルは ワ ームの拡散を防ぎ、 バ ッ ク ド ア ま たは ト ロ イ の木馬に感染 し た シ ス テ ムへのア ク セ ス を拒否
し ます。 こ の ト ピ ッ ク では、 隔離ルールの表示お よ び削除方法について説明 し ます。
隔離ルール テーブル
表 62 では、 隔離ルール テーブルの フ ィ ール ド について説明 し ます。
フ ィ ール ド a
説明
Source IP
ブ ロ ッ ク 対象パケ ッ ト の発信元 IP ア ド レ ス。
Source Port
ブ ロ ッ ク 対象パケ ッ ト の発信元ポー ト 番号 ( プ ロ ト コルが 6 または 17 の
場合 )。
Dest IP
ブ ロ ッ ク 対象パケ ッ ト の宛先 IP ア ド レ ス。
Dest Port
ブ ロ ッ ク 対象パケ ッ ト の宛先ポー ト 番号 ( プ ロ ト コルが 6 または 17 の場
合 )。
ICMP Type
ブ ロ ッ ク 対象パケ ッ ト の ICMP タ イ プ番号 ( プ ロ ト コルが 1 の場合 )。
ICMP Code
ブ ロ ッ ク 対象パケ ッ ト の ICMP コ ー ド 番号 ( プ ロ ト コルが 1 の場合 )。
Protocol
ルールの IP プ ロ ト コル (ICMP = 1、 TCP = 6、 UDP = 17)。
Expiration Time
ルールの有効期限。
Block Percentage
ブ ロ ッ ク するパケ ッ ト のパーセ ン テージ。
表 62: 隔離ルール テーブルのフ ィ ール ド
a.
隔離ルールの操作
ア ス タ リ ス ク (*) は無視 さ れた フ ィ ール ド を示 し ま す。
隔離ルールを表示ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Intrusion Prevention] → [Intrusion
Prevention Settings] の順に選択 し ます。
2. [Quarantined Intrusions] を選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
226
操作
手順
隔離ルールを表示する
エ ン ト リ を選択 し 、 [Display] を ク リ ッ ク し ます。
隔離ルールを削除する
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
不正侵入防御 イ シ ュ ー リ ス ト の操作
不正侵入防御イ シ ュ ー リ ス ト の操作
は じ めに
こ の ト ピ ッ ク では、 不正侵入防御 イ シ ュ ーの表示 と コ ピーを行い ます。
イ シ ュー リ ス ト の
フ ィ ール ド
表 63 では、 リ ス ト に表示 さ れ る フ ィ ール ド について説明 し ます。
フ ィ ール ド
説明
Name
セキ ュ リ テ ィ チ ェ ッ ク ( イ シ ュ ー ) の名前。
Issue ID
イ シ ュ ーの固有の識別子。
Type
イ シ ュ ーの タ イ プ (attack または audit)。
Protocol
イ シ ュ ーのア プ リ ケーシ ョ ン プ ロ ト コ ル ( 例 : http、 ftp、 smtp、 dns)。
Priority
イ シ ュ ーの危険度 (high、 medium、 low)。
Status
イ シ ュ ーの検出ス テー タ ス (enabled または disabled)。
Protection Response X-Force によ っ て指定 さ れた、 イ シ ュ ーの防御レ スポン ス。
表 63: イ シ ュ ー リ ス ト のフ ィ ール ド
イ シ ュ ー リ ス ト の操作
イ シ ュ ー リ ス ト か ら イ シ ュ ーを表示ま たは コ ピーする には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [Configuration] → [Intrusion Prevention] → [Intrusion
Prevention Settings] の順に選択 し ます。
2. [Issue List] を選択 し ます。
3. 次のいずれかを行い ます。
操作
イ シ ュ ーを表示する
手順
1. イ シ ュ ーを選択 し 、 [Display] を ク リ ッ ク し ます。
2. [OK] を ク リ ッ ク し ます。
イ シ ュ ーを コ ピーする
1. イ シ ュ ーを選択 し 、 [Copy] ア イ コ ン を ク リ ッ ク し ます。
2. 情報を フ ァ イルに貼 り 付けます。
Proventia® Network Multi-Function Security Appliance User Guide
227
第 17 章 : 不正侵入の検出 と 防御
228
パー ト IV
®
VPN の設定
第 18 章
VPN の設定
概要
は じ めに
こ の章では、 VPN を設定す る 方法について説明 し ます。
こ の章の内容
こ の章では、 次のセ ク シ ョ ンについて説明 し ます。
セクシ ョ ン
ページ
セ ク シ ョ ン A: 「VPN の設定」
233
セ ク シ ョ ン B: 「証明書の管理」
253
セ ク シ ョ ン C: 「セキ ュ リ テ ィ ゲー ト ウ ェ イの設定」
259
セ ク シ ョ ン D: 「IPSEC ポ リ シーの設定」
277
セ ク シ ョ ン E: 「IKE ポ リ シーの設定」
287
Proventia® Network Multi-Function Security Appliance User Guide
231
第 18 章 : VPN の設定
232
セ ク シ ョ ン A:
VPN の設定
概要
は じ めに
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 Virtual Private Network (VPN) の使用方法 と 使用時期、 ま た VPN の設定に付
随す る 設定作業について説明 し ます。 さ ら に、 次の新 し い VPN ウ ィ ザー ド を使用 し て VPN を設定
す る 手順について説明 し ます。
●
SoftRemote VPN ク ラ イ ア ン ト か ら M シ リ ーズ アプ ラ イ ア ン ス
●
M シ リ ーズ アプ ラ イ ア ン ス か ら M シ リ ーズ アプ ラ イ ア ン ス
●
Windows 2000 お よ び XP か ら M シ リ ーズ アプ ラ イ ア ン ス
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
VPN の概要
234
VPN 設定プ ロ セス
237
VPN 設定ウ ィ ザー ド
238
SoftRemote ク ラ イ ア ン ト での VPN の設定
239
ア プ ラ イ ア ン ス間での VPN の設定
241
Windows 2000 および XP ク ラ イ ア ン ト での VPN の設定
245
L2TP/IPSEC VPN 接続の設定
248
VPN ユーザーの設定
251
Proventia® Network Multi-Function Security Appliance User Guide
233
第 18 章 : VPN の設定
VPN の概要
は じ めに
こ の ト ピ ッ ク では、 VPN に関す る 一般的な情報を説明 し ます。
VPN と は
VPN は、 リ モー ト ク ラ イ ア ン ト や LAN の よ う にデバ イ ス を相互に接続 し ます。 VPN は、 物理的
接続の よ う に機能す る 、 2 デバ イ ス間の安全な接続です。 費用のかか る 専用回線やモデムの代わ り
に、 VPN 接続は、 専用の ソ フ ト ウ ェ ア と 既存の イ ン タ ーネ ッ ト 基盤を使用 し て接続を確立 し ます。
本質的に、 こ の接続は イ ン タ ーネ ッ ト を通過す る ト ン ネルです。 ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク は、
イ ン タ ーネ ッ ト 上の ト ン ネルを通っ て非公開かつ安全に移動す る こ と がで き ます。 イ ン タ ーネ ッ ト
上のデバ イ ス が VPN 上の ト ラ フ ィ ッ ク を挿入、 表示、 ま たは受信す る こ と はで き ません。 接続を
確立 し てい る デバ イ ス を 認証 し 、 VPN 上の ト ラ フ ィ ッ ク を 暗号化す る こ と が重要です。 アプ ラ イ
ア ン スベース の VPN ソ リ ュ ーシ ョ ンは、 認証 と 暗号化の両方をサポー ト し ます。 こ れ ら の ト ピ ッ
ク については、 こ の章で さ ら に説明 し ます。
VPN ト ンネル
VPN は、 公共の イ ン タ ーネ ッ ト 基盤を通過す る 非公開で安全な接続であ る こ と か ら 、 ト ンネル と
呼ばれ ます。 ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク は、 こ の ト ン ネルを通っ て接続 さ れたデバ イ ス間を移動
す る こ と がで き ます。 ト ン ネル内の ト ラ フ ィ ッ ク は、 秘匿性、 機密性、 お よ び完全性を保証す る た
めにカプセル化 と 暗号化が行われます。 ほ と ん ど のネ ッ ト ワ ー ク ト ラ フ ィ ッ ク は ト ン ネルを通過
で き ます。 通信デバ イ ス に と っ て、 ト ン ネルは透過的です。 通信デバ イ スは、 ト ン ネルの 2 つの終
点の間にあ る ルー タ ー、 ス イ ッ チ、 プ ロ キ シ サーバー、 ま たはゲー ト ウ ェ イ デバ イ ス に気付 き ま
せん。
VPN ト ンネルの種類
次の表では、 VPN 機能を使っ て作成で き る 2 種類の ト ン ネルについて説明 し ます。
ト ン ネルの種類
説明
IPSec ト ンネル
IPSec ト ンネルには次のよ う な特徴があ り ます。
L2TP over IPSec ト ン ネ
ル
•
非常に合理的で、 調整可能。
•
認証 と ルーテ ィ ングの設定には、 手動によ る設定が必要です。
•
TCP/IP ト ラ フ ィ ッ ク に対 し てのみカ プ セル化をサポー ト し ます。
•
部門間の接続な ど、 ゲー ト ウ ェ イ ど う し の接続に使用 さ れます。
•
接続パラ メ ー タ が変化 し ない場所の接続に適 し ています。
•
動的に設定を変更する ク ラ イ ア ン ト の接続には、 あま り 適 し てい
ません。
L2TP over IPSec ト ン ネルには次のよ う な特徴があ り ます。
•
暗号化に IPSec を使用 し ます。
•
TCP/IP お よび IPX ト ラ フ ィ ッ ク のカ プ セル化をサポー ト し ます。
•
Windows 2000 および XP でサポー ト さ れています。
•
ク ラ イ ア ン ト と サーバー間の接続に使用 さ れます。
•
動的に設定を変更する ク ラ イ ア ン ト の接続によ く 適 し ています。
•
ゲー ト ウ ェ イ間の接続に使用 さ れます。
•
Microsoft オペレーテ ィ ング シ ス テムな どのオペレーテ ィ ング シ
ステムは、 ト ン ネルのために保存 さ れたネ ッ ト ワー ク接続を維持
する こ と がで き ます。
表 64: VPN ト ン ネルの種類
認証
234
ネ ッ ト ワ ー ク への接続を試み る デバ イ ス を認証す る こ と は非常に重要であ り 、 認証済みのデバ イ ス
だけが接続 し てい る こ と を保証す る こ と がで き ます。 アプ ラ イ ア ン スベース の VPN ソ リ ュ ーシ ョ
ンでは、 数種類の認証を提供 し ます。
VPN の概要
VPN コ ンポーネ ン ト
次の表では、 アプ ラ イ ア ン ス で設定可能な VPN コ ン ポーネ ン ト について説明 し ます。
コ ンポーネン ト
説明
セキ ュ リ テ ィ ゲー ト ウ ェ
イ
セキ ュ リ テ ィ ゲー ト ウ ェ イ は、 VPN ト ンネルのネ ッ ト ワー ク 上
にある接続ポ イ ン ト です。 た と えば、 ネ ッ ト ワー ク に接続する リ
モー ト ユーザーのために VPN ト ンネルを設定する場合、 こ の接
続の 2 つの終点は、 リ モー ト ク ラ イ ア ン ト と セキ ュ リ テ ィ ゲー
ト ウ ェ イ にな り ます。 セキ ュ リ テ ィ ゲー ト ウ ェ イ と し て機能する
実際のデバイ スは、 次のいずれかです。
•
ルー タ ー
•
フ ァ イ アウ ォ ール
•
プ ロキシ サーバー
•
Proventia ア プ ラ イ ア ン ス
ア プ ラ イ ア ン スベースの VPN 接続の場合、 セキ ュ リ テ ィ ゲー ト
ウ ェ イはア プ ラ イ ア ン スです。 VPN 接続パラ メ ー タ を設定する と
き に、 その接続のセキ ュ リ テ ィ レベルやその接続で使用 さ れる プ
ロ ト コルな どの情報を入力 し ます。 ア プ ラ イ ア ン スは、 使用する
キー管理の タ イ プに応 じ て、 4 つのア プ ラ イ ア ン ス セキ ュ リ テ ィ
ゲー ト ウ ェ イ を備えています。
注記 :DMZ などの信頼 さ れていないゾーンの ト ラ フ ィ ッ ク を さ ら
に防御する ために、 複数のセキ ュ リ テ ィ ゲー ト ウ ェ イ を プ ラ イ
ベー ト ネ ッ ト ワー ク 内に設定する こ と がで き ます。
VPN の高度な設定
ア プ ラ イ ア ン スは、 認証 さ れた VPN ユーザー と 、 認証 さ れた
ユーザーを認証する ためのテ ク ノ ロ ジ である Remote
Authentication Dial-In User Service (RADIUS) を設定する ための
高度な設定オプ シ ョ ン を提供 し ます。
ネ ッ ト ワー ク オブ ジ ェ ク
ト
ネ ッ ト ワー ク オブ ジ ェ ク ト は、 IP ア ド レ スやポー ト 情報な どの
一般的に使用 さ れる ネ ッ ト ワー ク情報を含んでいます。 ネ ッ ト
ワー ク オブ ジ ェ ク ト ア プ ラ イ ア ン ス上に格納 さ れ、 VPN を設定
する と き に使用可能です。 詳細については、 「ネ ッ ト ワー ク オブ
ジ ェ ク ト の定義」 (87 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ
ア プ ラ イ ア ン スは、 VPN 設定を さ ら に調整 し て カ ス タ マ イ ズする
ために高度なパラ メ ー タ を提供 し ます。 詳細については、 「高度
なパラ メ ー タ 」 (323 ページ ) を参照 し て く だ さ い。
表 65: ア プ ラ イ ア ン スの VPN コ ンポーネン ト
VPN プ ロ ト コ ル
VPN プ ロ ト コ ルは次の内容を定義 し ます。
●
ピ アがデー タ パケ ッ ト を カプセル化する 方法
●
ピ アが相互に認証す る 方法
●
ピ アがパブ リ ッ ク / プ ラ イ ベー ト 暗号化キーを交換す る 方法
●
ピ アが VPN ト ン ネルを ネ ゴ シエー ト す る 方法
●
ピ アがデー タ を暗号化す る 方法
Proventia® Network Multi-Function Security Appliance User Guide
235
第 18 章 : VPN の設定
VPN 接続は次のプ ロ ト コ ルをサポー ト し ます。
プ ロ ト コル
定義
PPTP
Point-to-Point Tunneling Protocol。 Virtual Private Network (VPN) 作成の新
し い技術です。 イ ン タ ーネ ッ ト は本質的にオープ ン なネ ッ ト ワー ク であ
る ため、 Point-to-Point Tunneling Protocol (PPTP) は、 ある VPN ノ ー ド か
ら 別の VPN ノ ー ド に送信 さ れる メ ッ セージ を保護するために使用 さ れま
す。
L2TP
Layer 2 Tunneling Protocol。 Point-to-Point Tunneling Protocol (PPTP) の
拡張であ り 、 イ ン タ ーネ ッ ト 上で VPN の動作を有効にするために イ ン
タ ーネ ッ ト サービ ス プ ロバイ ダによ っ て使用 さ れます。 L2TP には暗号
化が備わっ ていませんが、 リ モー ト ユーザーから 企業 LAN への VPN 接
続を提供する ために、 IPSec の使用がデ フ ォル ト で設定 さ れています。
L2TP は、 ほ と んどの新 し い Microsoft オペ レーテ ィ ング システムに含ま
れています。
IPSEC
IPSEC は、 IP プ ロ ト コルに対する一連の拡張機能です。 暗号化キーの管
理方法や様々な レ ベルでの VPN ピ ア認証方法な ど、 多 く の技術を 1 つの
完全なサービ スに統合 し ます。
表 66: VPN のネ ッ ト ワー ク プ ロ ト コル
VPN と ハイ アベ イ ラ ビ
リティ
236
ハ イ アベ イ ラ ビ リ テ ィ 用に配置 し 、 設定 し た アプ ラ イ ア ン ス は、 VPN を設定す る と き に次の考慮
事項を確認す る 必要があ り ます。
●
ネ ッ ト ワ ー ク 設定 - ハ イ アベ イ ラ ビ リ テ ィ 機能を持つアプ ラ イ ア ン ス のネ ッ ト ワ ー ク 設定を
変更す る こ と はで き ません。 設定を変更す る 前に、 ハ イ アベ イ ラ ビ リ テ ィ 機能を無効にする
必要があ り ます。
●
接続の切断 - プ ラ イ マ リ アプ ラ イ ア ン ス がバ ッ ク ア ッ プ アプ ラ イ ア ン ス に フ ェ ールオーバー
す る と 、 VPN、 FTP、 HTTP、 他の TCP 接続な ど の既存の接続がすべて切断 さ れます。 フ ェ ー
ルオーバー後に、 セカ ン ダ リ アプ ラ イ ア ン ス で接続を再確立する 必要があ り ます。
●
セキ ュ リ テ ィ ゲー ト ウ ェ イ 設定 - VPN 接続のセキ ュ リ テ ィ ゲー ト ウ ェ イ と し て アプ ラ イ ア ン
ス を設定す る と き に、 最初の仮想 IP ア ド レ ス を Local ID に使用す る 必要があ り ます。 Local ID
には次のいずれ も 使用で き ません。
■
エイ リ アス
■
プ ロ キ シ ARP を使用す る IP ア ド レ ス
■
2 番目の仮想 IP ア ド レ ス
VPN 設定プ ロ セ ス
VPN 設定プ ロ セス
は じ めに
こ の ト ピ ッ ク では、 VPN 接続を設定す る プ ロ セ ス について説明 し ます。
作業の概要
次の表では、 VPN 接続の設定作業について説明 し ます。
作業
1
説明
証明書を イ ン ス ト ール し て設定する ( オプ シ ョ ン )。
「証明書の管理」 (253 ページ ) を参照 し て く だ さ い。
2
セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定する。
「セキ ュ リ テ ィ ゲー ト ウ ェ イの設定」 (259 ページ ) を参照 し て く だ さ い。
3
必要なア ク セス ポ リ シーを設定する。
「 フ ァ イ アウ ォ ール ルーテ ィ ングにおける ト ラ フ ィ ッ ク の許可 と 拒否」 (171 ページ ) を
参照 し て く だ さ い。
4
IPSEC ポ リ シーを設定する。
「IPSEC ポ リ シーの設定」 (277 ページ ) を参照 し て く だ さ い。
5
VPN ユーザー リ ス ト を設定する。
「VPN ユーザーの設定」 (251 ページ ) を参照 し て く だ さ い。
6
RADIUS ク ラ イ ア ン ト を設定する ( オプ シ ョ ン )。
「IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設定」 (263 ページ )
を参照 し て く だ さ い。
表 67: VPN の設定作業
VPN 設定
アプ ラ イ ア ン ス と 他のシ ス テ ム間の VPN (Virtual Private Network) の設定方法については、 次の ド
キ ュ メ ン ト を参照 し て く だ さ い。
●
Configuring VPN from Proventia Integrated Security Appliance to Cisco PIX 515E (http://
documents.iss.net/literature/proventia/vpn_ex_cisco.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to Check Point Systems (http://
documents.iss.net/literature/proventia/vpn_ex_ckpt.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to Proventia Integrated Security
Appliance (http://documents.iss.net/literature/proventia/
vpn_ex_mseries.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to NetScreen Systems (http://
documents.iss.net/literature/proventia/vpn_ex_netscreen.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to SoftRemote Systems (http://
documents.iss.net/literature/proventia/vpn_ex_softremote.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to Symantec Systems (http://
documents.iss.net/literature/proventia/vpn_ex_symantec.pdf)
●
Configuring VPN from Proventia Integrated Security Appliance to Windows XP Systems (http://
documents.iss.net/literature/proventia/vpn_ex_winxp.pdf)
●
Configuring L2TP/IPSEC VPN Connections from Proventia M Series Appliance to Windows XPSystems
(http://documents.iss.net/literature/proventia/vpn_ex_winxp_L2TP.pdf)
Proventia® Network Multi-Function Security Appliance User Guide
237
第 18 章 : VPN の設定
VPN 設定ウ ィ ザー ド
は じ めに
VPN ウ ィ ザー ド は、 アプ ラ イ ア ン ス と さ ま ざ ま な VPN ク ラ イ ア ン ト 間で VPN 接続を作成す る 作
業を容易に し ます。 こ の ウ ィ ザー ド は、 提供 さ れた情報を使用 し て、 必要 と さ れ る フ ァ イ ア ウ ォー
ル ルールやその他設定を作成 し ます。
ウ ィ ザー ド の説明
次の表では、 各 VPN ウ ィ ザー ド について説明 し ます。
ウ ィ ザー ド
説明
SoftRemote VPN Client to M Series Wizard SoftRemote VPN ク ラ イ ア ン ト を使 っ て リ モー ト 接
続するユーザーを対象に、 ア プ ラ イ ア ン スへの
VPN 接続を作成 し ます。
M Series to M Series Wizard
2 つのア プ ラ イ ア ン ス間の VPN 接続を作成 し ます。
注記 : こ のウ ィ ザー ド は、 ウ ィ ザー ド を実行する ア
プ ラ イ ア ン スに対 し て、 VPN 接続パラ メ ー タ を作
成 し ます。 接続パラ メ ー タ を設定するには、 他のア
プ ラ イ ア ン ス上で このウ ィ ザー ド を再び実行する必
要があ り ます。
W2K and XP to M Series Wizard
Windows 2000 または XP の VPN ク ラ イ ア ン ト を
使 っ て リ モー ト 接続するユーザーを対象に、 VPN
接続を作成 し ます。
表 68: VPN ウ ィ ザー ド の説明
生成 さ れるポ
れ るポ リ シー
ウ ィ ザー ド は VPN に対 し て次を作成 し ます。
●
NAT 発信元ルール
●
IPSec ポ リ シー
注記 : フ ァ イ ア ウ ォール設定の こ れ ら のポ リ シーを編集ま たは削除す る こ と がで き ます。 ポ リ
シーを削除す る 場合は、 VPN 接続を無効に し ます。
ネ ッ ト ワー ク オブ ジ ェ
クト
238
ウ ィ ザー ド では、 IP ア ド レ ス に既存のネ ッ ト ワー ク オブジ ェ ク ト を選択す る こ と がで き ます。 こ
の作業中にネ ッ ト ワ ー ク オブジ ェ ク ト を作成ま たは編集する には、 ウ ィ ザー ド で使用可能な
[Configure] オプシ ョ ン を ク リ ッ ク し ます。
SoftRemote ク ラ イ ア ン ト での VPN の設定
SoftRemote ク ラ イ ア ン ト での VPN の設定
は じ めに
こ の ト ピ ッ ク では、 アプ ラ イ ア ン ス と SoftRemote ク ラ イ ア ン ト 間で VPN 接続を確立す る 方法につ
いて説明 し ます。
注記 : こ の ウ ィ ザー ド には、 ほ と ん ど のネ ッ ト ワ ー ク 用に最適化 さ れたデフ ォ ル ト 設定が含まれ
てい ます。 デフ ォ ル ト 設定を承諾す る こ と を推奨 し ます。
手順
アプ ラ イ ア ン ス と SoftRemote ク ラ イ ア ン ト 間で VPN 接続を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [VPN] → [Wizards] → [SoftRemote VPN Client to M Series] の順
に選択 し ます。
2. [Comment] フ ィ ール ド に、 最大 256 文字の英数字を入力 し ます。
3. [Local Network Settings] セ ク シ ョ ンで、 次のいずれか を行っ て [Local Network IP Address/#
Network Bits] を選択 し ます。
操作
手順
固定 IP ア ド レ ス / マス
ク を使用する
[Static Address/Mask] を選択 し 、 ア ド レ ス と サブ ネ ッ ト マス ク
を入力 し ます。
例:
128.8.27.18 / 16
ア ド レ ス名を使用する
[Address CIDR Name] を選択 し 、 一覧から エ ン ト リ を選択 し ま
す。
動的ア ド レ ス名を使用す
る
[Dynamic Address CIDR Name] を選択 し 、 一覧から エ ン ト リ を
選択 し ます。
4. 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Authenticate Peer
Users
VPN ユーザーを認証する場合は このオプ シ ョ ン を選択 し ます。
New Security Gateway
Name
新 し いゲー ト ウ ェ イ名に最大 32 文字の英数字を入力 し ます。
5. [VPN Address Pool] セ ク シ ョ ンで、 次のいずれか を行っ て [Address Range 1] を指定 し ます。
注記 : 最大 3 つのア ド レ ス範囲を指定す る こ と がで き ます。 ク ラ イ ア ン ト がアプ ラ イ ア ン ス
で VPN ト ン ネルを構築す る と き に、 アプ ラ イ ア ン スは SoftRemote ク ラ イ ア ン ト に IP ア ド レ
ス範囲を割 り 当て ます。 IP ア ド レ ス を ネ ッ ト ワー ク 内の既存 IP ア ド レ ス と 重複 さ せ る こ と は
で き ません。
操作
手順
静的 IP ア ド レ ス / マス
ク を使用する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から エ ン ト リ を選択
し ます。
Proventia® Network Multi-Function Security Appliance User Guide
239
第 18 章 : VPN の設定
6. [Local IP Address] セ ク シ ョ ンで、 次のいずれかを行っ て認証のための IP ア ド レ ス オプシ ョ ン
を選択 し ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から エ ン ト リ を選択
し ます。
7. [Remote ID] セ ク シ ョ ンの [FQDN] (Fully Qualified Domain Name) フ ィ ール ド に、 完全修飾 ド
メ イ ン名を入力 し ます。
例 : [email protected]
8. [Authentication Method] セ ク シ ョ ン で、 次の認証モー ド を選択 し ます。
操作
事前共有キーを使用する
手順
1. [Pre-Shared Key] を選択 し 、 英数字 8 文字以上のテキス ト 文
字列を入力 し ます。 #*! な どの記号を含める こ と がで き ます。
2. VPN 接続を確立する ために VPN ピ アにキーを入力 し ます。
注記 : 共有キー認証は、 メ イ ン モー ド ではサポー ト さ れません。
DSS を使用する
[ DSS SIGN] を選択 し ます。
RSA を使用する
[ RSA SIGN] を選択 し ます。
9. 変更内容を保存 し ます。
240
ア プ ラ イ ア ン ス間での
ス間 での VPN の設定
ア プ ラ イ ア ン ス間での
ス間 での VPN の設定
は じ めに
こ の ト ピ ッ ク では、 Firewall/VPN M Series to M Series Wizard を使用 し て 2 つのアプ ラ イ ア ン ス間で
VPN 接続を確立す る 方法について説明 し ます。
注記 : こ の ウ ィ ザー ド には、 ほ と ん ど のネ ッ ト ワ ー ク 用に最適化 さ れたデフ ォ ル ト 設定が含まれ
てい ます。 デフ ォ ル ト 設定を承諾す る こ と を推奨 し ます。
作業の概要
M Series to M Series Wizard を完了す る には、 次の作業を行 う 必要があ り ます。
作業
説明
1
一般設定を指定する。
2
ロー カル ネ ッ ト ワー ク 設定を指定する。
3
リ モー ト ネ ッ ト ワー ク 設定を指定する。
4
VPN/ セキ ュ リ テ ィ ゲー ト ウ ェ イ設定を指定する。
表 69: M to M VPN ウ ィ ザー ド の作業
作業 1: 一般設定を指定
する
一般設定を指定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [VPN] → [Wizards] → [M Series to M Series] の順に選択 し ます。
2. [General] タ ブ を選択 し 、 次の よ う に入力 し ます。
作業 2: ロー カル ネ ッ ト
ワー ク 設定を指定する
オプ シ ョ ン
説明
Name
名前に最大 32 文字の英数字を入力 し ます。
Comment
説明に最大 256 文字の英数字を入力 し ます。
Log Enabled
ログ を記録する場合は このオプ シ ョ ン を選択 し ます。
ロ ーカル ネ ッ ト ワ ー ク 設定を指定する には :
●
[Local Network] タ ブを選択 し 、 次のいずれかを行い ます。
操作
手順
1 つの IP ア ド レ ス を使
用する
[Single IP Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
サブネ ッ ト 上の IP ア ド
レ ス を使用する
[Network Address / #NetworkBits (CIDR)] を選択 し 、 IP ア ド レ
ス と マス ク を入力する
例 : 128.8.27.18 / 16
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から 項目を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から 項目を選択 し ま
す。
Proventia® Network Multi-Function Security Appliance User Guide
241
第 18 章 : VPN の設定
作業 3: リ モー ト ネ ッ ト
ワー ク 設定を指定する
リ モー ト ネ ッ ト ワ ー ク 設定を指定する には :
●
[Remote Network] タ ブ を選択 し 、 次のいずれか を行い ます。
操作
手順
1 つの IP ア ド レ ス を使
用する
[Single IP Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
サブネ ッ ト 上の IP ア ド
レ ス を使用する
[Network Address / #NetworkBits (CIDR)] を選択 し 、 IP ア ド レ
ス と マス ク を入力する
例 : 128.8.27.18 / 16
作業 4:VPN セキ ュ リ
テ ィ ゲー ト ウ ェ イ設定
を指定する
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から 項目を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から 項目を選択 し ま
す。
セキ ュ リ テ ィ ゲー ト ウ ェ イ 設定を指定する には :
1. [VPN] タ ブ を選択 し 、 次のいずれか を行い ます。
操作
手順
既存のセキ ュ リ テ ィ
ゲー ト ウ ェ イ を使用する
[Use Existing Auto Key IPSEC Security Gateway] を選択 し 、
一覧か ら項目を選択 し ます。
新 し いセキ ュ リ テ ィ
ゲー ト ウ ェ イ を作成する
手順 2 に進みます。
2. [Create New Auto Key IPSEC Security Gateway] を選択 し ます。
3. [New Security Gateway Name] セ ク シ ョ ンの [Name] フ ィ ール ド に、 名前を入力 し ます。
4. [Local IP Address] セ ク シ ョ ンで、 次のいずれかを行い ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Range Name] を選択 し 、 一覧から 動的ア ド
レ ス名のエ ン ト リ を選択 し ます。
5. [Remote IP Address] セ ク シ ョ ンで、 次のいずれかを行い ます。
242
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Range Name] を選択 し 、 一覧から 動的ア ド
レ ス名のエ ン ト リ を選択 し ます。
ア プ ラ イ ア ン ス間での
ス間 での VPN の設定
6. [Remote ID] セ ク シ ョ ンで、 次のいずれかを行い ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ヒ ン ト : ほ と んどの Windows L2TP/IPSEC ク ラ イ ア ン ト では、
[Static IP Address] を選択 し 、 ア プ ラ イ ア ン スの外部 IP ア ド レ
ス を入力 し ます。
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から エ ン ト リ を選択
し ます。
FQDN
[FQDN] を選択 し 、 完全修飾 ド メ イ ン名を入力 し ます。
例:
companyserver.iss.net
User FQDN
[User FQDN] を選択 し 、 完全修飾 ド メ イ ン名を入力 し ます。
例:
[email protected]
DER ASN1 DN
[DER ASN1 DN] を選択 し 、 [DER ASN1 DN] フ ィ ール ド にデー タ
を入力 し ます。
これは、 すべての ク ラ イ ア ン ト が共有する証明書の値であ り 、 各
ク ラ イ ア ン ト に与え られた x.509 証明書である必要があ り ます。
オプ シ ョ ンは次の と お り です。
/C ( 国 )
/S ( 州または地方 )
/L ( 地域または都市 )
/O ( 組織または会社 )
/OU ( 組織単位または担当部署 )
/CN ( 一般名 )
例:
/C=US /S=GA /L=Atlanta /O=ISS /OU=QA /CN=mycomputer
注記 : 証明書のフ ィ ール ド では、 任意の値 と 一致するワ イル ド
カ ー ド と し て 「*」 を使用 し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
243
第 18 章 : VPN の設定
7. [Authentication Method] セ ク シ ョ ン で、 次のいずれか を行い ます。
注記 : 認証モー ド は、 ロ ーカル ピ アが リ モー ト ピ アに対 し て自分自身の身元を証明する 方法
を定義 し ます。
操作
事前共有キーを使用する
手順
1. [Pre-Shared Key] を選択 し 、 次のテキス ト 文字列を入力 し ま
す。
ヒ ン ト : テキス ト 文字列は、 英数字 8 文字以上にする必要が
あ り ます。 #*! な どの記号を含める こ と がで き ます。
2. VPN 接続を確立する ために VPN ピ アに事前共有キーを入力
し ます。
注記 : 事前共有キー認証は、 メ イ ン モー ド ではサポー ト さ れませ
ん。
DSS を使用する
[ DSS SIGN] を選択 し ます。
RSA を使用する
[ RSA SIGN] を選択 し ます。
8. 変更内容を保存 し ます。
244
Windows 2000 お よび XP ク ラ イ ア ン ト での VPN の設定
Windows 2000 および XP ク ラ イ ア ン ト での VPN の設定
は じ めに
こ の ト ピ ッ ク では、 VPN ウ ィ ザー ド を使用 し て アプ ラ イ ア ン ス と Windows 2000 ま たは XP の VPN
ク ラ イ ア ン ト 間で VPN 接続を確立す る 方法について説明 し ます。
注記 : こ の ウ ィ ザー ド には、 ほ と ん ど のネ ッ ト ワ ー ク 用に最適化 さ れたデフ ォ ル ト 設定が含まれ
てい ます。 デフ ォ ル ト 設定を承諾す る こ と を推奨 し ます。
手順
Firewall/VPN W2K and XP to M Series Wizard を完了す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [VPN] → [Wizards] → [W2K/XP to M Series] の順に選択 し ます。
2. [General] タ ブ を選択 し 、 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Name
名前に最大 32 文字の英数字を入力 し ます。
Comment
説明に最大 256 文字の英数字を入力 し ます。
3. 次のいずれかを行っ て、 ロ ーカル L2TP ト ン ネルの終点に割 り 当て る IP ア ド レ ス オプシ ョ ン
を選択 し ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ヒ ン ト : ほ と んどの Windows L2TP/IPSEC ク ラ イ ア ン ト では、
このオプ シ ョ ン を選択 し ます。
例:
•
L2TP エ ン ド ポ イ ン ト IP ア ド レ ス : 192.168.2.1
•
L2TP IP ア ド レ ス プール : 192.168.2.2-192.168.2.254
ア ド レ ス名を使用する
[Address Name] を選択 し 、 一覧から エ ン ト リ を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Name] を選択 し 、 一覧から エ ン ト リ を選択
し ます。
4. [Local Network Settings] セ ク シ ョ ンで、 次のいずれかを行っ て [Local Network ID Type] の一覧
か ら オプシ ョ ン を選択 し ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 IP ア ド レ ス を入力 し ます。
ア ド レ ス名を使用する
[Address Range Name] を選択 し 、 リ ス ト から ア ド レ ス項目を選
択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Range Name] を選択 し 、 一覧か ら動的ア ド
レ ス名のエ ン ト リ を選択 し ます。
FQDN を使用する
[FQDN] を選択 し 、 完全修飾 ド メ イ ン名を入力 し ます。
ヒ ン ト : ほ と んどの Windows L2TP/IPSEC ク ラ イ ア ン ト では、
こ のオプ シ ョ ン を選択 し ます。
例:
companyserver.iss.net
Proventia® Network Multi-Function Security Appliance User Guide
245
第 18 章 : VPN の設定
操作
手順
User FQDN を使用する
[User FQDN] を選択 し 、 完全修飾 ド メ イ ン名を入力 し ます。
例:
[email protected]
DER ASN1 DN を使用す
る
[DER ASN1 DN] を選択 し 、 エ ン ト リ を入力 し ます。
こ れは、 すべてのク ラ イ ア ン ト が共有する証明書の値であ り 、 各
ク ラ イ ア ン ト に与え ら れた x.509 証明書である必要があ り ます。
オプ シ ョ ンは次の と お り です。
/C ( 国 )
/S ( 州または地方 )
/L ( 地域または都市 )
/O ( 組織または会社 )
/OU ( 組織単位または担当部署 )
/CN ( 一般名 )
例:
/C=US /S=GA /L=Atlanta /O=ISS /OU=QA /CN=mycomputer
注記 : 証明書のフ ィ ール ド では、 任意の値 と 一致するワ イル ド
カ ー ド と し て 「*」 を使用 し て く だ さ い。
5. 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Local Network ID
選択 し た [Local ID Type] に対応する ロー カルの証明書情報を入
力 し ます。
ヒ ン ト : ほ と んどの Windows L2TP/IPSEC ク ラ イ ア ン ト では、
このフ ィ ール ド にはア プ ラ イ ア ン スの外部 IP ア ド レ ス を入力 し
ます。
Remote ID Type
リ ス ト か ら オプ シ ョ ン を選択 し ます。
ヒ ン ト : 動的 IP ア ド レ ス を使用する Windows L2TP/IPSEC ク ラ
イ ア ン ト の場合は、 一覧か ら [IP Address] を選択 し ます。
Remote Client ID
選択 し た [Remote ID Type] に対応する リ モー ト の証明書情報を
入力 し ます。
ヒ ン ト : 動的 IP ア ド レ ス を使用する Windows L2TP/IPSEC ク ラ
イ ア ン ト の場合は、 この フ ィ ール ド に 「0.0.0.0」 と 入力 し ます。
こ う する こ と で、 VPN ト ン ネルの IPSEC コ ンポーネ ン ト の発信
側ピ ア と し て任意の IP ア ド レ スが許可 さ れます。
6. [Authentication Method] セ ク シ ョ ン で、 次のいずれか を行い ます。
246
Windows 2000 お よび XP ク ラ イ ア ン ト での VPN の設定
注記 : 認証モー ド は、 ロ ーカル ピ アが リ モー ト ピ アに対 し て自分自身の身元を証明する 方法
を定義 し ます。
操作
事前共有キーを使用する
手順
1. [Pre-Shared Key] を選択 し 、 次のテキス ト 文字列を入力 し ま
す。
ヒ ン ト : テキス ト 文字列は、 英数字 8 文字以上にする必要が
あ り ます。 #*! な どの記号を含める こ と がで き ます。
2. VPN 接続を確立する ために VPN ピ アに事前共有キーを入力
し ます。
注記 : 事前共有キー認証は、 メ イ ン モー ド ではサポー ト さ れませ
ん。
DSS を使用する
[ DSS SIGN] を選択 し ます。
RSA を使用する
[ RSA SIGN] を選択 し ます。
7. 変更内容を保存 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
247
第 18 章 : VPN の設定
L2TP/IPSEC VPN 接続の設定
は じ めに
アプ ラ イ ア ン ス と Windows 2000 ま たは XP の VPN ク ラ イ ア ン ト と の間で、 L2TP/IPSEC VPN 接続
を設定す る こ と がで き ます。 L2TP ( パケ ッ ト カプセル化 ) と IPSEC ( 暗号化 ) の組み合わせ (L2TP/
IPSEC) は、 イ ン タ ーネ ッ ト な ど のパブ リ ッ ク ネ ッ ト ワー ク を通 じ て リ モー ト ア ク セ ス を提供す る
VPN 接続を作成す る ための非常に安全な技術です。
要件
Windows 2000 ま たは XP の ク ラ イ ア ン ト と L2TP/IPSEC 接続を設定す る 前に、 次の作業を行 う 必要
があ り ます。
●
ア カ ウ ン ト 認証を サポー ト し FRAME 設定 コ マ ン ド を提供可能な RADIUS サーバーを保有 し
てい る こ と を確認す る 。
●
認証のための RSA ま たは DSS の署名を受けた証明書を入手す る ( 認証では事前共有秘密を使
用で き ません )。
●
User_FQDN PKI パ ラ メ ー タ ( メ ール ア ド レ ス ) のエン ト リ が証明書に含まれていない こ と を確
認す る 。
●
次に説明す る 必要なア ク セ ス ポ リ シーを作成する 。
●
次のいずれかを イ ン ス ト ールす る 。
■
http://support.microsoft.com/?kbid=818043 にあ る Microsoft Hotfix
■
Windows XP Service Pack 2
重要 : こ の Windows hotfix は、 Windows XP Service Pack 2 に含まれてい ます。 NAT デバ イ ス の
内側でアプ ラ イ ア ン ス に接続を試み る Windows 2000 ま たは Windows XP ク ラ イ ア ン ト に、 こ
の hotfix を イ ン ス ト ール し て く だ さ い。
L2TP IP ア ド レ ス プー
ル
L2TP IP ア ド レ ス プールを、 [VPN Advanced] ページで設定 し ます。 こ れ ら の IP ア ド レ スは、 L2TP/
IPSEC VPN 接続を作成す る 場合に使用 し ます。 こ の作業中に、 IP ア ド レ ス に対 し て既存のネ ッ ト
ワ ー ク オブジ ェ ク ト を選択する こ と がで き ます。 作業中にネ ッ ト ワ ー ク オブジ ェ ク ト を作成ま た
は編集す る には、 こ こ で使用で き る [Configure] オプシ ョ ン を ク リ ッ ク し ます。
L2TP IP ア ド レ ス プー
ルの設定
L2TP IP ア ド レ ス プールを設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [VPN Advanced] タ ブを選択 し ます。
3. [L2TP IP Pool] タ ブ を選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
4. [Address Range] 領域で、 次のいずれかを行い ます。
操作
手順
IP ア ド レ ス範囲を使用す [Static Address Range] を選択 し 、 先頭 と 末尾の IP ア ド レ ス を
る
入力 し ます。
ア ド レ ス名を使用する
[Address Range Name] を選択 し 、 一覧か ら プ ラ イ ベー ト ア ド
レ ス を選択 し ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Range Name] を選択 し 、 一覧か ら動的ア ド
レ ス を選択 し ます。
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
248
L2TP/IPSEC VPN 接続の設定
必要な ア ク セス ポ リ
シーの有効化
必要なア ク セ ス ポ リ シー L2TP/IPSEC VPN 接続を有効にす る には :
1. ポー ト 1701 におけ る 発信元 ANY か ら 宛先 SELF への UDP ト ラ フ ィ ッ ク を許可す る ア ク セ ス
ポ リ シーを有効に し ます。
注記 : L2TP/IPSEC-to-M Series Wizard は こ のポ リ シーを自動的に有効に し ます。 さ ら に、 リ
モー ト の L2TP/IPSEC VPN ク ラ イ ア ン ト か ら 発信 さ れた ト ラ フ ィ ッ ク は、 アプ ラ イ ア ン ス の外
部 IP ア ド レ ス を通 じ てルーテ ィ ン グ さ れます。
2. アプ ラ イ ア ン ス の外部 IP ア ド レ ス か ら 内部ネ ッ ト ワ ー ク への ト ラ フ ィ ッ ク を許可す る 追加の
ア ク セ ス ポ リ シーを作成 し ます。
注記 : リ モー ト 接続 し てい る L2TP/IPSEC VPN ク ラ イ ア ン ト か ら 発信 さ れた ト ラ フ ィ ッ ク が
内部ネ ッ ト ワ ー ク にア ク セ スす る には、 こ のポ リ シーを作成す る 必要があ り ます。 そ う し ない
と 、 アプ ラ イ ア ン スは こ の ト ラ フ ィ ッ ク を ブ ロ ッ ク し 、 Firewall_Rule_Not_Found メ ッ セージ
を表示 し ます。
例
次の例は、 ク ラ イ ア ン ト に よ る 内部ネ ッ ト ワ ー ク へのア ク セ ス を許可す る ア ク セ ス ポ リ シーの使
用を示 し ます。
ネ ッ ト ワー ク 設定 :
IP ア ド レ ス
説明
10.1.1.2
リ モー ト の L2TP/IPSEC VAN ク ラ イ ア ン ト の IP ア ド レ ス
172.16.1.5
ア プ ラ イ ア ン スの外部 IP ア ド レ ス
192.168.1.0/24
内部ネ ッ ト ワー クの IP ア ド レ ス
ア ク セス ポ リ シーの例 :
作業の概要
アク
ション
発信元 IP
発信元ポー ト
宛先 IP
宛先ポー ト
プ ロ ト コル
Allow
172.16.1.5
Any
192.168.1.0/24
Any
Any
Allow
10.1.1.2
Any
192.168.1.0/24
Any
Any
次の表では、 Windows 2000 ま たは XP への L2TP/IPSEC VPN 接続の設定作業について説明 し ます。
作業
1
説明
ク ラ イ ア ン ト の証明書入手元 と な る信頼 さ れた認証局か ら、 ア プ ラ イ ア ン スに証明書を
イ ン ス ト ールする。
「証明書の管理」 (253 ページ ) を参照 し て く だ さ い。
2
認証局に証明書を要求 し 、 これを イ ン ス ト ールする。
「証明書の管理」 (253 ページ ) を参照 し て く だ さ い。
3
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定する。
「セキ ュ リ テ ィ ゲー ト ウ ェ イの設定」 (259 ページ ) を参照 し て く だ さ い。
表 70: L2TP/IPSEC VPN 接続の設定作業
Proventia® Network Multi-Function Security Appliance User Guide
249
第 18 章 : VPN の設定
作業
4
説明
ポー ト 1701 で、 発信元 ANY から 宛先 SELF への UDP ト ラ フ ィ ッ ク を許可する ア ク セ
ス ポ リ シーを有効にする。
注記 :L2TP/IPSEC to M Series Wizard を使用する場合、ア プ ラ イ ア ン スはこ のア ク セス
ポ リ シーを自動的に有効に し ます。
「 フ ァ イ アウ ォ ール ルーテ ィ ングにおける ト ラ フ ィ ッ ク の許可 と 拒否」 (171 ページ ) を
参照 し て く だ さ い。
5
RADIUS サーバーへの接続を設定する。
「RADIUS ク ラ イ ア ン ト と サーバーの有効化」 (264 ページ ) を参照 し て く だ さ い。
6
L2TP IP ア ド レ ス プールを設定する。
「VPN の設定」 (233 ページ ) を参照 し て く だ さ い。
7
ユーザーの検証を行っ て PPTP アダ プ タ の リ モー ト エ ン ド に割 り 当て る IP ア ド レ ス を
返すよ う に、 RADIUS サーバーを設定する。
注記 :RADIUS サーバー コ マ ン ド の設定については、 RADIUS ソ フ ト ウ ェ アのマニ ュ ア
ルを参照 し て く だ さ い。
「RADIUS ク ラ イ ア ン ト と サーバーの有効化」 (264 ページ ) を参照 し て く だ さ い。
表 70: L2TP/IPSEC VPN 接続の設定作業 ( 続き )
250
VPN ユーザーの設定
VPN ユーザーの設定
は じ めに
VPN ユーザー エ ン ト リ
の作成
[VPN Advanced] タ ブのエン ト リ を作成、 編集、 削除する こ と で、 VPN ユーザー リ ス ト を設定 し ま
す。 VPN ユーザー リ ス ト は、 XAuth が有効にな っ ていて、 かつ次のセキ ュ リ テ ィ ゲー ト ウ ェ イ で
一般認証が使用 さ れてい る 場合に、 ユーザーを認証す る ために使用 さ れます。
●
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
●
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
VPN ユーザー リ ス ト のエン ト リ を作成す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [VPN Advanced] タ ブを選択 し ます。
3. [VPN Users] タ ブを選択 し ます。
4. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
ユーザーを追加する
2. 次の フ ィ ール ド に入力 し 、 [OK] を ク リ ッ ク し ます。
ユーザーを編集する
•
User Name
•
Set Password ( ユーザーのパスワー ド )
•
Confirm Password( ユーザーのパスワー ド )
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
ユーザーを コ ピーする
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. [Paste] ア イ コ ン (
ユーザーを削除する
) をクリ ッ クしま
) を ク リ ッ ク し ます。
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
251
第 18 章 : VPN の設定
252
セ ク シ ョ ン B:
証明書の管理
概要
は じ めに
こ のセ ク シ ョ ンでは、 アプ ラ イ ア ン ス におけ る 証明書の管理方法について説明 し ます。
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
証明書について
254
信頼 さ れた認証局ベースの証明書のイ ン ス ト ール と 削除
255
自己証明書の要求、 ア ッ プ ロー ド 、 および削除
256
証明書失効 リ ス ト のイ ン ス ト ール と 削除
258
Proventia® Network Multi-Function Security Appliance User Guide
253
第 18 章 : VPN の設定
証明書について
は じ めに
セキ ュ リ テ ィ 証明書は、 個人の証明書であれ Web サ イ ト の証明書であれ、 身元を 「パブ リ ッ ク
キー」 と 関連付け ます。 証明書の所有者だけが、 対応す る 「プ ラ イ ベー ト キー」 を知っ てい ます。
所有者は 「プ ラ イ ベー ト キー」 を使用 し て、 「デジ タ ル署名」 を行っ た り 、 対応す る 「パブ リ ッ ク
キー」 で暗号化 さ れた情報を復号化 し た り す る こ と がで き ます。 証明書を他の人に送 る と い う こ と
は、 実際にパブ リ ッ ク キーを渡す と い う こ と です。 し たがっ て、 パブ リ ッ ク キーを受け取っ た側
は、 そのパブ リ ッ ク キーを送っ て き た人物だけが自分のプ ラ イ ベー ト キーを使っ て復号化 し て読
む こ と がで き る よ う に、 暗号化 さ れた情報を送 る こ と がで き ます。
セキ ュ リ テ ィ 証明書のデジ タ ル署名 コ ン ポーネ ン ト は、 電子的な ID カー ド です。 こ の ト ピ ッ ク で
は、 証明書の用語 と プ ロ セ ス について説明 し ます。
暗号化ま たはデジ タ ル署名 さ れた情報を送信で き る よ う にす る には、 証明書を入手 し 、 こ れを使用
す る よ う に Web ブ ラ ウ ザを設定す る 必要があ り ます。 安全な Web サ イ ト ( 「https」 で始ま る ア ド
レ ス を持つサ イ ト ) を訪問 し た場合、 サ イ ト は自動的に自分の証明書を訪問者へ送 り ます。
セキ ュ リ テ ィ 証明書は、 個別の認証局に よ っ て発行 さ れます。 セキ ュ リ テ ィ 証明書には さ ま ざ ま な
ク ラ ス があ り 、 それぞれ異な る レベルの信頼性を提供 し ます。 個人のセキ ュ リ テ ィ 証明書を、 認証
局 (Certificate Authority: CA) か ら 入手す る こ と がで き ます。
DSA 証明書の要件
DSA 証明書の要求は、 証明書の署名に DSA を使用する CA に よ っ て必ず署名を受けてい る 必要が
あ り ます。 DSA 証明書が RSA CA に よ っ て署名 さ れてい る と 、 証明書を証明書 リ ポジ ト リ に入れ
る こ と がで き ません。
用語
次の表では、 一般的な証明書用語について説明 し ます。
用語
定義
デジ タ ル署名アルゴ リ ズム (Digital
Signature Algorithm: DSA)
大き い数のペアの形式でデジ タ ル署名を生成する非対称暗
号アルゴ リ ズム。 署名は、 署名者の身元 と 署名 さ れたデー
タ の完全性 と を検証で き る よ う なルール と パラ メ ー タ を使
用 し て算出 さ れます。
Rivest-Shamir-Adleman (RSA)
Ron Rivest、 Adi Shamir、 お よび Leonard Adleman によ っ
て 1977 年に考案 さ れた、 非対称暗号化のアルゴ リ ズム。
表 71: 証明書の用語
254
信頼 さ れた認証局ベースの証明書の イ ン ス ト ール と 削除
信頼 さ れた認証局ベースの証明書のイ ン ス ト ール と 削除
は じ めに
こ の ト ピ ッ ク では、 信頼 さ れた認証局か ら 証明書を イ ン ス ト ールお よ び削除す る 方法について説明
し ます。
要件
信頼 さ れた認証局か ら 証明書を イ ン ス ト ールす る 前に、 認証局か ら 証明書を ダ ウ ン ロ ー ド す る 必要
があ り ます。
証明書の操作
信頼 さ れた認証局か ら 証明書を イ ン ス ト ールま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [VPN] → [Certificate Management] → [Trusted Certificate
Authority] の順に選択 し ます。
2. 次のいずれかを行い、 変更内容を保存 し ます。
操作
証明書を イ ン ス ト ールす
る
手順
1. [ 参照 ] を ク リ ッ ク し 、 信頼 さ れた認証局か ら受け取 っ た証明
書を探 し ます。
2. [ 開 く ] を ク リ ッ ク し ます。
3. [Upload] を ク リ ッ ク し ます。
証明書を削除する
証明書を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
255
第 18 章 : VPN の設定
自己証明書の要求、 ア ッ プ ロー ド 、 および削除
は じ めに
こ の ト ピ ッ ク では、 自己証明書を要求、 ア ッ プ ロ ー ド 、 お よ び削除す る 方法について説明 し ます。
説明
自己証明書は、 認証局 (CA) か ら 要求 し たパブ リ ッ ク キー証明書です。
プ ロ セスの概要
次の表では、 自己証明書のセ ッ ト ア ッ プ プ ロ セ ス を説明 し ます。
段階
説明
1
証明書要求を作成する。
2
プ ラ イ ベー ト キーを CA に送信する。
3
パブ リ ッ ク 証明書を CA から 受け取る。
4
パブ リ ッ ク 証明書フ ァ イルを ア プ ラ イ ア ン スにア ッ プ ロー ド する。
表 72: 自己証明書のセ ッ ト ア ッ プ プ ロ セス
要件
自己証明書を作成す る 前に、 信頼 さ れた認証局か ら 証明書を イ ン ス ト ールす る 必要があ り ます。
自己証明書の要求
自己証明書を要求す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [VPN] → [Certificate Management] → [Create Self Certificates]
の順に選択 し ます。
2. [Generate Certificate Request] を ク リ ッ ク し 、 次の よ う に入力 し ます。
フ ィ ール ド
説明
Key ID
証明書要求を識別で き る よ う に、 [Key ID] フ ィ ール ド に 1 つ以上
の英数字を入力 し ます。
Subject
要求の説明を入力 し ます。
Department
部署名または番号を入力 し ます。
Organization
会社名または組織名を入力 し ます。
City, State, Postal
Code, and Country
Code
都市、
国番号を入力
し ます。
都市 州、 郵便番号、
郵便番号 および国番号
国番号
E-mail
メ ール ア ド レ ス を入力 し ます。
注記 : 国コ ー ド は 2 桁です。 た と えば、 ア メ リ カ合衆国の国 コ ー
ド は 「US」 です。
これは、 証明書が送信 さ れる宛先の メ ール ア ド レ スです。
Domain Name
会社の ド メ イ ン名を入力 し ます。
IP Address
ア プ ラ イ ア ン スの外部 IP ア ド レ ス
Algorithm
認証アルゴ リ ズムを選択 し ます。
Key Length
キーの長 さ を選択 し ます。
3. [Submit Request] を ク リ ッ ク し ます。
256
自己証明書の要求、 ア ッ プ ロ ー ド 、 お よび削除
自己証明書の操作
パブ リ ッ ク 証明書を ア ッ プ ロ ー ド ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [VPN] → [Certificate Management] → [Self Certificates] の順に
選択 し ます。
2. 次のいずれかを行い、 変更内容を保存 し ます。
操作
手順
証明書を ア ッ プ ロー ド す
る
1. [Private Key Number] フ ィ ール ド に、 プ ラ イ ベー ト キー名 (
キー ID) を入力 し ます。
注記 : ア プ ラ イ ア ン スに
ア ッ プ ロー ド する前に、
証明書を イ ン ス ト ールす
る必要があ り ます。
2. [ 参照 ] を ク リ ッ ク し ます。
3. 証明書を探 し 、 [ 開 く ] を ク リ ッ ク し ます。
4. [Upload] を ク リ ッ ク し ます。
証明書がア プ ラ イ ア ン スに イ ン ス ト ール さ れ、 [Self
Certificate Certificates] ページが表示 さ れます。
証明書を表示する
証明書を削除する
証明書を選択 し 、 次の情報を確認 し ます。
•
Subject name
•
Serial number
•
Issuer Name
•
Expiration Date
証明書を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
257
第 18 章 : VPN の設定
証明書失効 リ ス ト のイ ン ス ト ール と 削除
は じ めに
こ の ト ピ ッ ク では、 証明書失効 リ ス ト を イ ン ス ト ールお よ び削除す る 方法について説明 し ます。
注記 : アプ ラ イ ア ン スは、 証明書失効 リ ス ト を必要 と し ません。
説明
アプ ラ イ ア ン スは、 証明書失効 リ ス ト を使用 し て証明書を検証 し ます。
プ ロ セス
次の表では、 こ のプ ロ セ ス について説明 し ます。
段階
説明
1
ア プ リ ケーシ ョ ンは、 VPN ト ン ネルの リ モー ト ピ アから 証明書を受け取 り ます。
2
ア プ ラ イ ア ン スは、 既知の認証局が証明書を発行 し た こ と を検証 し ます。
3
ア プ ラ イ ア ン スは、 ロー カルに イ ン ス ト ール さ れた証明書失効 リ ス ト と 証明書を比較 し
ます。
4
認証局が既知である場合、 ア プ ラ イ ア ン スは証明書が有効である と 見な し て接続を受け
入れます。 それ以外の場合は、 拒否 し ます。
表 73: 証明書の検証プ ロ セス
前提条件
証明書失効 リ ス ト を イ ン ス ト ールす る 前に、 CA の Web サ イ ト か ら 証明書失効 リ ス ト を ダ ウ ン ロ ー
ド す る 必要があ り ます。
証明書失効 リ ス ト の操作 証明書失効 リ ス ト を イ ン ス ト ールま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 [VPN] → [Certificate Management] → [Certificate Revocation
List] の順に選択 し ます。
2. 次のいずれかを行い、 変更内容を保存 し ます。
操作
証明書を イ ン ス ト ールす
る
手順
1. [ 参照 ] を ク リ ッ ク し ます。
2. 証明書を探 し 、 [ 開 く ] を ク リ ッ ク し ます。
3. [Upload] を ク リ ッ ク し ます。
証明書がア プ ラ イ ア ン スに イ ン ス ト ール さ れ、 [Self
Certificate Certificates] ページが表示 さ れます。
証明書を削除する
258
証明書を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
セ ク シ ョ ン C:
セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
概要
は じ めに
こ のセ ク シ ョ ンでは、 VPN 設定用ネ ッ ト ワー ク オブジ ェ ク ト と し てのセキ ュ リ テ ィ ゲー ト ウ ェ イ
の作成 と 使用に関す る 情報 と 手順について説明 し ます。
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
セキ ュ リ テ ィ ゲー ト ウ ェ イの概要
260
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
261
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設定
263
Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
266
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
269
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
271
Proventia® Network Multi-Function Security Appliance User Guide
259
第 18 章 : VPN の設定
セキ ュ リ テ ィ ゲー ト ウ ェ イの概要
は じ めに
セキ ュ リ テ ィ ゲー ト ウ ェ イ を使用 し て、 一連の VPN 設定を定義 し ます。 セキ ュ リ テ ィ ゲー ト ウ ェ
イ は、 VPN を設定す る と き に再利用可能なネ ッ ト ワー ク オブジ ェ ク ト です。
種類
アプ ラ イ ア ン ス には、 次の 4 種類のセキ ュ リ テ ィ ゲー ト ウ ェ イ があ り ます。
考慮すべき事項
●
IPSEC Remote Client
●
Auto Key IPSEC
●
Manual Key IPSEC
●
L2TP/IPSEC Remote Client
接続を通 じ て送信 さ れ る 情報の種類に基づいて、 VPN 接続のセキ ュ リ テ ィ レベルに関す る 選択を
行っ て く だ さ い。 暗号化や認証アルゴ リ ズ ムのオプシ ョ ンの安全性が高 く な る ほ ど、 完了ま でに時
間がかか り 、 CPU 使用率 も 高 く な る 可能性があ り ます。
次の点を考慮 し て く だ さ い。
VPN と ハイ アベ イ ラ ビ
リティ
●
情報を強力に保護す る 必要があ る 場合は、 よ り 安全性の高い方法を選択 し て く だ さ い。
●
VPN 接続において最 も 強力な レベルのセキ ュ リ テ ィ を必要 と し ない場合は、 時間やシ ス テ ム
リ ソ ース を節約す る 比較的高速なオプシ ョ ン を検討 し て く だ さ い。
●
DES 暗号化アルゴ リ ズ ムは、 処理速度は速い も のの、 安全性は 3DES 暗号化アルゴ リ ズ ムに劣
り ます。
●
MD5 認証アルゴ リ ズ ムは、 処理速度は速い も のの、 安全性は SHA1 認証アルゴ リ ズ ムに劣 り
ます。
●
事前認証キー認証モー ド は、 処理速度は速い も のの、 安全性は RSA 署名モー ド に劣 り ます。
DSS 署名モー ド は、 処理速度は遅い も のの、 安全性は RSA 署名モー ド に勝 り ます。
ハ イ アベ イ ラ ビ リ テ ィ 実装は、 Proventia M に対 し て フ ェ ールオーバー機能を提供 し ます。 こ の実
装は、 少な く と も 2 つのアプ ラ イ ア ン ス で構成 さ れます。
●
メ イ ン操作用のセキ ュ リ テ ィ デバ イ ス と し て機能する プ ラ イ マ リ アプ ラ イ ア ン ス。
●
プ ラ イ マ リ アプ ラ イ ア ン ス に障害が発生 し た場合に、 操作を引き 継ぐ 受動的なバ ッ ク ア ッ プ
デバ イ ス と し て機能す る セカ ン ダ リ アプ ラ イ ア ン ス。
こ の機能が正 し く 機能す る ために、 2 つのアプ ラ イ ア ン スは、 2 つの静的 IP ア ド レ ス ではな く 、 1
つの仮想 IP ア ド レ ス で表示 さ れます。 仮想 IP ア ド レ スは、 ハ イ アベ イ ラ ビ リ テ ィ 機能がアプ ラ イ
ア ン ス上で有効にな っ てい る 場合のみ動作 し ます。 こ の機能が無効にな っ てい る 場合は動作 し ませ
ん。
ハ イ アベ イ ラ ビ リ テ ィ 実装におけ る すべてのセキ ュ リ テ ィ ゲー ト ウ ェ イ の Local ID 設定は、 仮想
IP ア ド レ ス も 参照す る 必要があ り ます。
重要 : 2 つのアプ ラ イ ア ン ス のハ イ アベ イ ラ ビ リ テ ィ 機能を有効にす る 前に、 セキ ュ リ テ ィ ゲー
ト ウ ェ イ が仮想 IP ア ド レ ス を参照 し てい る こ と を確認 し て く だ さ い。 そ う し ない と 、 VPN が正常
に機能 し ません。
260
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
は じ めに
こ の ト ピ ッ ク では、 IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定方法について説明 し ま
す。
作業の概要
次の表では、 IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る 場合の作業 と タ ブについ
て説明 し ます。
作業
説明
タブ
1
一般設定を定義する
IPSEC Remote Client Security Gateway
2
Define the IKE configuration.
IKE Configuration
3
IPSEC ポ リ シーを定義する
IPSEC Configuration
表 74: IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定作業
手順
一般設定を定義す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. [IPSEC Remote Client Security Gateway] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ます。
4. 次の フ ィ ール ド を入力 し ます。
オプ シ ョ ン
説明
Enabled
このオプ シ ョ ン を選択 し ます。
Name
名前に最大 32 文字を入力 し ます。
Comment
説明に最大 256 文字を入力 し ます。
5. [IKE Configuration] タ ブ を選択 し 、 次の よ う に入力 し ます。
フ ィ ール ド
説明
Exchange Type
次の IKE モー ド を選択 し ます。
•
Main Mode
•
Aggressive Mode
Local ID Type
ロー カル ホス ト が認証のために リ モー ト ホス ト に送信するデー
タ の種類を選択 し ます。
Local ID Data
選択 し た [Local ID Type] に対応する ロー カルの証明書情報を入
力 し ます。
Local IP Address
ロー カル ピ ア IP ア ド レ ス を入力 し ます。
Remote IP Address
リ モー ト ピ ア IP ア ド レ ス を入力 し ます。
6. 次を設定 し ます。
■
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ の設定
■
リ モー ト ID
■
IKE XAuth
Proventia® Network Multi-Function Security Appliance User Guide
261
第 18 章 : VPN の設定
参照 : 「IKE ポ リ シーの設定」 (287 ページ ) を参照 し て く だ さ い。
7. [IKE Configuration Policy] タ ブ を選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
First IP Range
範囲内の先頭 と 末尾の IP ア ド レ ス を入力 し ます。
Second IP Range
注記 : 最初の IP 範囲のみ必須です。 他の 2 つはオプ シ ョ ン です。
IP ア ド レ ス範囲を ネ ッ ト ワー ク 内の既存 IP ア ド レ ス と 重複 さ せ
る こ と はで き ません。
Third IP Range
Primary WINS IP
Secondary WINS IP
Primary DNS IP
Secondary DNS IP
これら の フ ィ ール ド はオプ シ ョ ン です。
ホス ト 名を解決する Domain Name System (DNS) サーバーの IP
ア ド レ ス を入力 し ます。
これら の フ ィ ール ド はオプ シ ョ ン です。
Source Address/Mask
リ モー ト ク ラ イ ア ン ト がア ク セスする ロー カル ネ ッ ト ワー ク の
IP ア ド レ ス と サブネ ッ ト マス ク を入力 し ます。
PFS Group ID
Diffie-Hellman グループ を選択 し ます。
Security Protocol
リ ス ト か ら セキ ュ リ テ ィ プ ロ ト コルを選択 し ます。
Authentication Alg
一覧か ら認証アルゴ リ ズムを選択 し ます。
ESP Alg
一覧か ら暗号化方式を選択 し ます。
AES Key Length
暗号化方式 AES を選択 し た場合は、 一覧から AES キーの長 さ を
選択 し ます。
Life Time Secs
セキ ュ リ テ ィ プ ロポーザルの有効期間 ( 秒数 ) を入力 し ます。
Life Time KBytes
セキ ュ リ テ ィ プ ロポーザルがフ ィ ール ド で有効にな っ ている場
合に送信 さ れるキロバイ ト 数を入力 し ます。
8. 変更内容を保存 し ます。
262
ホス ト 名を解決する Windows Internet Name Service (WINS)
サーバーの IP ア ド レ ス を入力 し ます。
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設定
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設
定
は じ めに
RADIUS の機能
ユーザー名 / パ ス ワ ー ド ペアの認証に RADIUS サーバーを使用す る ために IPSEC Remote Client セ
キ ュ リ テ ィ ゲー ト ウ ェ イ を設定 し た ら 、 アプ ラ イ ア ン ス が RADIUS サーバー と 通信で き る よ う に
RADIUS ク ラ イ ア ン ト を設定す る 必要があ り ます。 こ の ト ピ ッ ク では、 ネ ッ ト ワー ク にア ク セ スす
る 必要のあ る リ モー ト ユーザーがアプ ラ イ ア ン ス に対 し て認証で き る よ う に Remote Authentication
Dial-In User Service (RADIUS) ク ラ イ ア ン ト を有効にす る 方法について説明 し ます。 次の作業の手
順について も 説明 し ます。
●
RADIUS ク ラ イ ア ン ト の有効化 と プ ラ イ マ リ サーバーの設定
●
バ ッ ク ア ッ プ サーバーの設定
ユーザー資格情報が RADIUS サーバー / ク ラ イ ア ン ト に よ っ て検証 さ れ る と 、 IKE/Xauth プ ロ セ ス
の間にユーザー固有の属性が取得 さ れます。 ユーザー名 / パ ス ワー ド ペアの認証に RADIUS サー
バーを使用す る よ う に IKE ポ リ シーを設定 し た ら 、 RADIUS ク ラ イ ア ン ト お よ びサーバーを適宜
設定す る 必要があ り ます。 RADIUS ク ラ イ ア ン ト を設定す る と 、 アプ ラ イ ア ン ス が RADIUS サー
バー と 通信で き る よ う にな り ます。
重要 : PAP 認証を正 し く 機能 さ せ る ためには、 Proventia Manager の IKE Xauth 認証設定を
[Generic] に指定す る 必要があ り ます。
重要 : IKE/Xauth メ ッ セージが受諾 さ れて返 さ れ る よ う にす る には、 RADIUS サーバーで
「RADIUS_accept」 を有効に し てお く 必要があ り ます。 具体的な手順については、 RADIUS サー
バーのマニ ュ アルを参照 し て く だ さ い。
要件
RADIUS ベース のユーザー認証を有効にす る には、 次の作業を行 う 必要があ り ます。
●
RADIUS サーバーが Proventia M で使用 さ れ る こ と を確認お よ び設定す る 。
●
RADIUS サーバー内で、 認証 さ れ る ユーザーを設定す る 。
●
Proventia M で利用可能な RADIUS ク ラ イ ア ン ト を設定す る 。
●
RADIUS 経由の リ モー ト ユーザー認証に Xauth を使用する IKE ポ リ シーを設定す る 。
注記 : Proventia M Series appliance は、 次の よ う な 3 種類の Xauth 方式を サポー ト し てい ます。
■
ロ ーカル デー タ ベース を使用 し た一般的な Xauth
■
RADIUS を使用 し た一般的な XAuth (PAP)
■
RADIUS を使用 し た CHAP
注記 : 具体的な設定手順については、 RADIUS サーバーのマニ ュ アルを参照 し て く だ さ い。 一般
的な設定は、 「Configuring VPN from Proventia Integrated Security Appliance to SoftRemote Systems」 ま
たは 「Configuring VPN from Proventia Integrated Security Appliance to Proventia Integrated Security
Appliance 」 (http://www.iss.net/support/documentation/proventia/fwvpn/) に説明
さ れてい ます。
Proventia® Network Multi-Function Security Appliance User Guide
263
第 18 章 : VPN の設定
RADIUS ク ラ イ ア ン ト
と サーバーの有効化
こ の手順では、 RADIUS ク ラ イ ア ン ト の有効化 と プ ラ イ マ リ RADIUS サーバーの設定の方法を説
明 し ます。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [VPN] を選択 し ます。
2. [VPN Advanced] タ ブを選択 し ます。
3. [Radius Client Configuration ] タ ブを選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Enabled
こ のオプ シ ョ ン を選択 し ます。
Primary Server Auth
Port
一覧から プ ラ イ マ リ RADIUS サーバーの認証ポー ト を選択 し ま
す。
Primary Server Acct
Port
一覧から プ ラ イ マ リ RADIUS サーバーのア カ ウン ト ポー ト を選
択 し ます。
ヒ ン ト : デ フ ォル ト ポー ト 番号の使用を推奨 し ますが、 以前の
バージ ョ ンの標準ポー ト 番号を各一覧から 選択する こ と も で き ま
す。
Secret with Primary
Server
ア プ ラ イ ア ン スが RADIUS サーバー と 通信する と き に ク ラ イ ア
ン ト と し て使用する共通シー ク レ ッ ト を入力 し ます。
共有シー ク レ ッ ト と は、 自分の身元証明 ( 証明書または事前共有
シー ク レ ッ ト キー ) です。Primary Server NAS ID
NAS ID を必要 と するバ ッ ク ア ッ プ RADIUS サーバーの場合は、
フ ィ ール ド に NAS ID を入力 し ます。
NAS ID を必要 と し ないバ ッ ク ア ッ プ RADIUS サーバーの場合
は、 フ ィ ール ド に 「1」 または 「0」 を入力 し ます。
Network Access Server (NAS) は、 一時的なオ ンデマ ン ド のネ ッ
ト ワー ク ア ク セス をユーザーに提供するデバイ スです。 このア
ク セスは、 公衆交換電話網 (Public Switched Telephone Network:
PSTN) 回線または総合デジ タ ル通信網 (Integrated Services
Digital Network: ISDN) 回線を使用 し たポ イ ン ト ツーポ イ ン ト ア
ク セスです。 NAS は RADIUS の ク ラ イ ア ン ト と し て機能 し ます。
ク ラ イ ア ン ト は、 ユーザー情報を宛先の RADIUS サーバーに渡
す役割を担います。
4. [Primary Server IP Address] セ ク シ ョ ンで、 次のいずれかを行っ てプ ラ イ マ リ RADIUS サー
バーの IP ア ド レ ス と サブネ ッ ト マ ス ク を指定 し ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 ア ド レ ス と サブネ ッ ト マス ク を入力
し ます。
ア ド レ ス名を使用する
[Address Subnet Name] を選択 し 、 一覧から エ ン ト リ を選択 し
ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Subnet Name] を選択 し 、 一覧から エ ン ト リ
を選択 し ます。
5. 変更内容を保存 し ます。
264
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS の設定
RADIUS バ ッ ク ア ッ プ
サーバーの設定
こ の手順では、 RADIUS バ ッ ク ア ッ プ サーバーの設定方法を説明 し ます。
1. 次の フ ィ ール ド を入力 し ます。
オプ シ ョ ン
説明
Use Backup Server
このオプ シ ョ ン を選択 し ます。
Backup Server Auth
Port
一覧か らバ ッ ク ア ッ プ RADIUS サーバーの認証ポー ト を選択 し
ます。
Backup Server Acct
Port
一覧か らバ ッ ク ア ッ プ RADIUS サーバーのア カ ウン ト ポー ト を
選択 し ます。
ヒ ン ト : デ フ ォル ト ポー ト 番号の使用を推奨 し ます。 ただ し 、 以
前のバージ ョ ンの標準ポー ト 番号を各一覧か ら選択する こ と も で
き ます。
Secret with Backup
Server
ア プ ラ イ ア ン スが RADIUS サーバー と 通信する と き に ク ラ イ ア
ン ト と し て使用する共通シー ク レ ッ ト を入力 し ます。
Backup Server NAS ID
NAS ID を必要 と するバ ッ ク ア ッ プ RADIUS サーバーの場合は、
フ ィ ール ド に NAS ID を入力 し ます。
NAS ID を必要 と し ないバ ッ ク ア ッ プ RADIUS サーバーの場合
は、 フ ィ ール ド に 「1」 または 「0」 を入力 し ます。
2. [Backup Server IP Address] セ ク シ ョ ンで、 次のいずれか を行っ てバ ッ ク ア ッ プ RADIUS サー
バーの IP ア ド レ ス と サブネ ッ ト マ ス ク を指定 し ます。
操作
手順
静的 IP ア ド レ ス を使用
する
[Static Address] を選択 し 、 ア ド レ ス と サブネ ッ ト マス ク を入力
し ます。
ア ド レ ス名を使用する
[Address Subnet Name] を選択 し 、 一覧から エ ン ト リ を選択 し
ます。
動的ア ド レ ス名を使用す
る
[Dynamic Address Subnet Name] を選択 し 、 一覧から エ ン ト リ
を選択 し ます。
3. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
265
第 18 章 : VPN の設定
Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
は じ めに
こ の ト ピ ッ ク では、 手動に よ る キー管理 と 、 Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
手順について説明 し ます。 こ のゲー ト ウ ェ イ を使用す る と 、 暗号化キーを手動で管理す る こ と がで
き ます。
手動キー管理
手動キー管理では、 管理者がキー情報を手作業で入力 し ます。 管理者は次の作業を行い ます。
●
プ ロ ト コ ルを設定す る
●
各プ ロ ト コ ルのキー情報を入力す る
●
Security Parameter Index (SPI) の値を手作業で入力する
キー情報 と SPI の値には有効期限がな く 、 第三者に よ る セキ ュ リ テ ィ 侵害を受け る 可能性があ り ま
す。 地理的に離れてい る ホ ス ト の間でキーを共有す る 必要があ る ため、 キー情報は電子 メ ールや郵
便、 口頭な ど の保護 さ れていない手段を通 じ て渡 さ れ る 可能性が高 く な り ます。 こ の種のや り と り
は傍受 さ れ る 可能性があ り 、 イ ン タ ーネ ッ ト 上の ト ラ フ ィ ッ ク を傍受す る のに必要な情報を第三者
が収集で き て し ま う おそれがあ り ます。
作業の概要
次の表では、 Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る 場合の作業 と タ ブについて
説明 し ます。
作業
説明
タブ
1
一般設定を定義する
Manual Key IPSEC Security Gateways
2
ロー カル セキ ュ リ テ ィ ゲー ト ウ ェ イ設定
を定義する
General
3
認証を設定する ( オプ シ ョ ン )
AH Configuration
4
暗号化を設定する ( オプ シ ョ ン )
ESP Configuration
5
初期ベ ク ト ルを定義する ( オプ シ ョ ン )
Advanced
表 75: Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定する場合の作業
手順
Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. [Manual Key IPSEC Security Gateways] タ ブを選択 し ます。
4. [Add] ア イ コ ン を ク リ ッ ク し ます。
5. 次の フ ィ ール ド を入力 し ます。
266
オプ シ ョ ン
説明
Enabled
こ のオプ シ ョ ン を選択 し ます。
Name
名前に最大 32 文字を入力 し ます。
Comment
説明に最大 256 文字を入力 し ます。
Encapsulation Mode
カ プ セル化モー ド を選択 し ます。
Manual Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
オプ シ ョ ン
説明
Peer Security Gateway
リ モー ト ゲー ト ウ ェ イ IP ア ド レ ス を入力 し ます。
ヒ ン ト : ワ イル ド カー ド IP ア ド レ ス を使用するには、 次のよ う
に入力 し ます。
0.0.0.0
6. [General] タ ブ を選択 し 、 次のいずれかを行い ます。
次を使用する場合
手順
動的ロー カル ゲー ト
ウェ イ
[Dynamic Local Gateway] を選択 し 、 [Dynamic Interface] フ ィ ー
ル ド に 「eth1」 と 入力 し ます。
静的ロー カル ゲー ト
ウェ イ
[Static Local Gateway] を選択 し 、 [Local Security Gateway]
フ ィ ール ド にロー カル ゲー ト ウ ェ イ IP ア ド レ ス を入力 し ます。
7. [AH Configuration] タ ブ を選択 し て次の よ う に入力 し 、 [OK] を ク リ ッ ク し ます。
オプ シ ョ ン
説明
Authentication
Enabled
このオプ シ ョ ン を選択 し ます。
Auth Algorithm
[Auth Algorithm] リ ス ト から 、 認証アルゴ リ ズムを選択 し ます。
IN Key
Inbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
OUT Key
Outbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
IN SPI
各セ ッ シ ョ ン で使用 さ れる Security Parameter Index を入力 し
ます。
OUT SPI
各セ ッ シ ョ ン で使用 さ れる Security Parameter Index を入力 し
ます。
注記 : 各ポ リ シーの SPI 値は、 一意である必要があ り ます。
8. [ESP Configuration] タ ブ を選択 し て次の よ う に入力 し 、 [OK] を ク リ ッ ク し ます。
オプ シ ョ ン
説明
Enabled
このオプ シ ョ ン を選択 し ます。
Encryption
[Encryption] リ ス ト から 、 暗号化方式を選択 し ます。
•
ESP
•
ESP With Auth
Auth Algorithm
暗号化方式 ESP With Auth を選択 し た場合は、 一覧か ら認証ア
ルゴ リ ズムを選択 し ます。
IN Auth Key
Inbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
OUT Auth Key
Outbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
ESP Algorithm
暗号化アルゴ リ ズムを選択 し ます。
IN SPI
各セ ッ シ ョ ン で使用 さ れる Security Parameter Index を入力 し
ます。
Proventia® Network Multi-Function Security Appliance User Guide
267
第 18 章 : VPN の設定
オプ シ ョ ン
説明
OUT SPI
各セ ッ シ ョ ン で使用 さ れる Security Parameter Index を入力 し
ます。
注記 : 各ポ リ シーの SPI 値は、 一意である必要があ り ます。
IN ESP Key
Inbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
OUT ESP Key
Outbound セ ッ シ ョ ン キー と し て使用する文字列
文字列を入力
し ます。
文字列
9. [Advanced] タ ブを選択 し 、 使用す る 文字列を [Initialization Vector] フ ィ ール ド に入力 し 、
[OK] を ク リ ッ ク し ます。
10. 変更内容を保存 し ます。
268
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
は じ めに
こ の ト ピ ッ ク では、 Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ の追加、 編集、 削除、 コ ピー、 貼
り 付けの方法について説明 し ます。
注記 : Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る には、 IKE 設定 と IPSEC 設定を指定
す る 必要があ り ます。 セキ ュ リ テ ィ プ ロ ポーザルお よ び高度な設定は、 オプシ ョ ンです。
自動キー管理
自動キー管理では、 Internet Key Exchange (IKE) 方式を使用 し ます。 自動キーを使用す る 場合は、 事
前共有秘密の使用をお勧め し ます。 「IKE ポ リ シーの設定」 (287 ページ ) を参照 し て く だ さ い。
作業の概要
次の表では、 Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る 場合の作業 と タ ブについて説
明 し ます。
作業
説明
タブ
1
一般設定を定義する
Auto Key IPSEC Security Gateways
2
IKE 設定を定義する
IKE Configuration
3
IPSEC 設定を定義する
IPSEC Configuration
表 76: Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定する場合の作業
手順
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. [Auto Key IPSEC Security Gateways] タ ブ を選択 し ます。
4. [Add] ア イ コ ン を ク リ ッ ク し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Enabled
このオプ シ ョ ン を選択 し ます。
Name
名前に最大 32 文字を入力 し ます。
Comment
説明に最大 256 文字を入力 し ます。
5. [IKE Configuration] タ ブ を選択 し 、 次の よ う に設定 し ます。
■
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ の設定
■
リ モー ト ID
■
IKE XAuth
参照 : 「IKE ポ リ シーの設定」 (287 ページ ) を参照 し て く だ さ い。
6. [IPSEC Policy] タ ブ を選択 し 、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Encapsulation Mode
一覧か らルールを選択 し ます。
Perfect Forward
Secrecy
次のいずれかを選択 し ます。
•
Diffie-Hellman Group (Diffie-Hellman グループ )
•
None ( な し )
Proventia® Network Multi-Function Security Appliance User Guide
269
第 18 章 : VPN の設定
7. [Security Proposals] セ ク シ ョ ンで [Add] ア イ コ ン を ク リ ッ ク し ます。
8. 次の フ ィ ール ド に入力 し 、 [OK] を ク リ ッ ク し ます。
フ ィ ール ド
説明
Security Protocol
セキ ュ リ テ ィ プ ロ ト コルを選択 し ます。
Auth Algorithm
認証アルゴ リ ズムを選択 し ます。
ESP Algorithm
暗号化アルゴ リ ズムを選択 し ます。
AES key length
暗号化方式 AES を選択 し た場合は、 キーの長 さ を選択 し ます。
Auth Algorithm (for
ESP With Auth and AH)
ESP With Auth および AH セキ ュ リ テ ィ プ ロ ト コルを選択 し た
場合は、 認証アルゴ リ ズムを選択 し ます。
Life Time Secs
セキ ュ リ テ ィ プ ロポーザルの有効期間 ( 秒数 ) を入力 し ます。
Life Time KBytes
セキ ュ リ テ ィ プ ロポーザルが有効にな っ ている場合に送信 さ れ
るキロバイ ト 数を入力 し ます。
Perfect Forward Secrecy が有効にな っ ている と 、 [Life Time
Secs] または [Life Time KBytes] が期限切れにな っ た と き に新 し
いキーが生成 さ れます。 Perfect Forward Secrecy が有効にな っ
ていない場合は、 既存のセ ッ シ ョ ン キーが引き続き使用 さ れま
すが、 SA は新 し く 作成 さ れます。
9. [Advanced Settings] セ ク シ ョ ンで、 次の よ う に入力 し ます。
オプ シ ョ ン
説明
Enabled
このオプ シ ョ ン を選択 し ます。
PKT_VAL
次のいずれかを行います。
SPD_VAL
270
•
一覧か ら セキ ュ リ テ ィ ア ソ シ エーシ ョ ン を選択 し ます。
•
このオプ シ ョ ン を省略 し ます。
次のいずれかを行います。
•
セキ ュ リ テ ィ ア ソ シ エーシ ョ ン と し てセキ ュ リ テ ィ ア ソ シ
エーシ ョ ン パラ メ ー タ を選択 し ます。
•
このオプ シ ョ ン を省略 し ます。
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定
は じ めに
こ の ト ピ ッ ク では、 L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定方法について説明
し ます。
注記 : L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ は 1 つ し か設定で き ません。
作業の概要
次の表では、 L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る 場合の作業 と タ ブに
ついて説明 し ます。
作業
説明
タブ
1
一般設定を定義する
L2TP/IPSEC Remote Client Security
Gateway
2
IKE 設定を定義する。
IKE Configuration
3
IPSEC 設定を定義する
IPSEC Configuration
表 77: L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの設定作業
手順
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ を設定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. [L2TP/IPSEC Remote Client Security Gateway] タ ブを選択 し 、 [Add] ア イ コ ン を ク リ ッ ク し ま
す。
4. 次の フ ィ ール ド を入力 し ます。
オプ シ ョ ン
説明
Enabled
このオプ シ ョ ン を選択 し ます。
Name
名前に最大 32 文字を入力 し ます。
Comment
説明に最大 256 文字を入力 し ます。
L2TP End Point IP
Address
ア プ ラ イ ア ン スがロー カル L2TP ト ンネルの終点に割 り 当て る IP
ア ド レ ス を入力 し ます。
これは、 L2TP VPN ト ンネルのア プ ラ イ ア ン ス側の IP ア ド レ ス
です。 This IP address is the endpoint of the local VPN connection.
ア プ ラ イ ア ン スの L2TP エ ン ド ポ イ ン ト IP ア ド レ スは、 世界規
模で固有の固定 IP ア ド レ スである必要があ り ます。 また、 L2TP
IP ア ド レ ス プールにない も の、 または当該ア プ ラ イ ア ン スのそ
の他イ ン タ ー フ ェ ースで使用 さ れていない ものである必要があ り
ます。
例:
•
L2TP エ ン ド ポ イ ン ト IP ア ド レ ス : 192.168.2.1
•
L2TP IP ア ド レ ス プール : 192.168.2.2-192.168.2.254
Proventia® Network Multi-Function Security Appliance User Guide
271
第 18 章 : VPN の設定
オプ シ ョ ン
説明
Disable L2TP Tunnel
Authentication
L2TP ト ン ネル認証を有効にする場合は、 このオプ シ ョ ン を選択
し ます。
デ フ ォル ト 設定 ( 無効化 ) のま まに し てお く こ と をお勧め し ま
す。
L2TP Host Name
ア プ ラ イ ア ン スのホス ト 名を入力 し ます。
注記 :L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イの
L2TP ホス ト 名を設定する場合、 この値はア プ ラ イ ア ン スのホス
ト 名です。 このホス ト 名はア プ ラ イ ア ン ス設定時に設定済みであ
り 、 [Proventia Manager Home] ページの右上角に表示 さ れます。
例:
Device Name: myappliance.mycompany.com
5. [IKE Configuration] タ ブ を選択 し 、 [Exchange Type] リ ス ト か ら IKE モー ド を選択 し ます。
■
Main Mode ( メ イ ン モー ド )
■
Aggressive Mode ( ア グ レ ッ シブ モー ド )
6. [Local ID Type] リ ス ト か ら 、 次の表に示すオプシ ョ ン を選択 し ます。
ID タ イ プ
説明
例
IP Address
ド ッ ト 付き 10 進数形式
172.16.106.34
重要 : このオプ シ ョ ンは、 ほ と ん
どの Windows L2TP/IPSEC ク ラ
イ ア ン ト で使用 し ます。
FQDN
完全修飾 ド メ イ ン名
mycomputer.test.iss.net
User FQDN
ユーザーの完全修飾 ド メ イ ン名
[email protected]
DER ASN1 DN
/C ( 国 )
/C=US /S=GA /L=Atlanta /O=ISS
/OU=QA /CN=mycomputer
/S ( 州または地方 )
/L ( 地域または都市 )
/O ( 組織または会社 )
/OU ( 組織単位または担当部署 )
/CN ( 一般名 )
7. 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Local ID Data
選択 し た [Local ID Type] に対応する ロー カルの証明書情報を入
力 し ます。
ヒ ン ト : ほ と んどの Windows L2TP/IPSEC ク ラ イ ア ン ト の場合、
ア プ ラ イ ア ン スの外部 IP ア ド レ ス を入力 し ます。
272
L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定
フ ィ ール ド
説明
Remote ID Type
一覧か ら 1 つのオプ シ ョ ン を選択 し ます。
ヒ ン ト : 動的 IP ア ド レ ス を使用する Windows L2TP/IPSEC ク ラ
イ ア ン ト の場合は、 一覧か ら [IP Address] を選択 し ます。
[Local ID Type] と [Remote ID Type] のオプ シ ョ ンは同 じ です。
Remote ID Data
フ ィ ール ド に、 前に選択 し た [Remote ID Type] と 対応する リ
モー ト の証明書情報を入力 し ます。
ヒ ン ト : 動的 IP ア ド レ ス を使用する Windows L2TP/IPSEC ク ラ
イ ア ン ト の場合は、 この フ ィ ール ド に 「0.0.0.0」 と 入力 し ま
す。 こ う する こ と で、 VPN ト ン ネルの IPSEC コ ンポーネ ン ト の
発信側ピ ア と し て任意の IP ア ド レ スが許可 さ れます。
Encryption Algorithm
暗号化方式を選択 し ます。
AES Key Length
暗号化方式 AES を選択 し た場合は、 一覧から AES キーの長 さ を
選択 し ます。 それ以外の場合は、 この フ ィ ール ド を省略 し ます。
Authentication
Algorithm
一覧か ら認証方式を選択 し ます。
Authentication Mode
一覧か ら認証方式を選択 し ます。
•
Pre-Shared Key ( 事前認証キー )
•
DSS Signed (DSS 署名 )
•
RSA Signed (RSA 署名 )
認証モー ド は、 ロー カル ピ アが リ モー ト ピ アに対 し て自分自身
の身元を証明する方法を定義 し ます。
Pre-Shared Key
Pre Shared Key 認証モー ド を選択 し た場合は、 英数字 8 文字以
上のテキス ト 文字列を入力 し ます。 それ以外の場合は、 この
フ ィ ール ド を省略 し ます。
ヒ ン ト : キーには記号を含める こ と がで き ます。
VPN 接続を確立するには、 この事前共有キーを VPN ピ ア と 共有
する必要があ り ます。 事前共有キーは、 メ イ ン モー ド ではサ
ポー ト さ れていません。
Life Time Secs
IKE フ ェ ーズ 1 の暗号化設定 と 認証設定の有効期間 ( 秒数 ) を入
力 し ます。
DH Group Descriptor
一覧か ら Diffie-Hellman グループ を選択 し ます。
8. [IPSEC Policy] タ ブ を選択 し て次の よ う に入力 し 、 [OK] を ク リ ッ ク し ます。
フ ィ ール ド
説明
Encapsulation Mode
一覧か ら カ プセル化モー ド を選択 し ます。
Security Protocol
リ ス ト か ら セキ ュ リ テ ィ プ ロ ト コルを選択 し ます。
Authentication
Algorithm
一覧か ら認証アルゴ リ ズムを選択 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
273
第 18 章 : VPN の設定
フ ィ ール ド
説明
Encryption Algorithm
一覧か ら暗号化方式を選択 し ます。
AES Key Length
暗号化方式 AES を選択 し た場合は、 一覧から AES キーの長 さ を
選択 し ます。 それ以外の場合は、 この フ ィ ール ド を省略 し ます。
Life Time Secs
セキ ュ リ テ ィ プ ロポーザルの有効期間 ( 秒数 ) を入力 し ます。
Life Time KBytes
セキ ュ リ テ ィ プ ロポーザルが有効にな っ ている場合に送信 さ れ
るキロバイ ト 数を入力 し ます。
9. 変更内容を保存 し ます。
274
セキ ュ リ テ ィ ゲー ト ウ ェ イ での作業
セキ ュ リ テ ィ ゲー ト ウ ェ イ での作業
は じ めに
こ の ト ピ ッ ク では、 セキ ュ リ テ ィ ゲー ト ウ ェ イ の コ ピー、 編集、 お よ び削除方法について説明 し
ます。
手順
ゲー ト ウ ェ イ を編集、 コ ピー、 お よ び削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Settings] を選択 し ます。
3. [Security Gateways] タ ブを選択 し ます。
4. 次のいずれかの タ ブを選択 し ます。
■
Auto Key IPSEC Security Gateways
■
Manual Key IPSEC Security Gateways
■
L2TP/IPSEC Security Gateways
■
IPSEC Remote Client Security Gateway
5. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ゲー ト ウ ェ イ を編集する
手順
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. 設定を編集 し 、 [OK] を ク リ ッ ク し ます。
ゲー ト ウ ェ イ を コ ピーす
る
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. [Paste] ア イ コ ン (
) をクリ ッ クしま
) を ク リ ッ ク し ます。
3. 必要に応 じ て設定を編集 し 、 [OK] を ク リ ッ ク し ます。
ゲー ト ウ ェ イ を削除する
エ ン ト リ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
275
第 18 章 : VPN の設定
276
概要
セ ク シ ョ ン D:
IPSEC ポ リ シーの設定
概要
は じ めに
こ のセ ク シ ョ ンでは、 Internet Protocol Security (IPSEC) ポ リ シーを使用 し た安全な VPN 接続の作成
方法について説明 し ます。
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
IPSEC および IPSEC ポ リ シー
278
IPSEC のカ プ セル化モー ド
279
IPSEC VPN プ ロ ト コ ル
280
L2TP と IPSEC の使用
281
セキ ュ リ テ ィ ア ソ シ エーシ ョ ン
282
キー管理
283
IPSEC ポ リ シーの設定
284
Proventia® Network Multi-Function Security Appliance User Guide
277
第 18 章 : VPN の設定
IPSEC および IPSEC ポ リ シー
は じ めに
Internet Protocol Security (IPSEC) は、 イ ン タ ーネ ッ ト な ど の保護 さ れていないネ ッ ト ワ ー ク 上で安
全な通信を可能にす る 一連のプ ロ ト コ ルです。 IPSEC は、 VPN セ ッ シ ョ ンの作成に使用 さ れます。
ま た、 パブ リ ッ ク ネ ッ ト ワ ー ク 上での Internet Protocol (IP) パケ ッ ト の送信を、 暗号化を使っ て保
護 し ます。 IPSEC ポ リ シーは、 次の内容を定義 し ます。
●
IPSEC VPN セキ ュ リ テ ィ プ ロ ト コ ル
●
キー交換方式 ( キー管理 )
●
セキ ュ リ テ ィ ア ソ シエーシ ョ ン (Security Association: SA)
IPSEC は、 デー タ に対 し て次の よ う な保護を講 じ ます。
●
デー タ の完全性
●
リ プ レーに対す る 防御
●
デー タ のプ ラ イ バシー
●
起点認証
デー タ の完全性
IPSEC は、 不明な第三者に よ っ てパケ ッ ト が変更 さ れてい る 場合に、 そのパケ ッ ト を廃棄する こ と
でデー タ を保護 し ます。 こ のテ ク ニ ッ ク は、 デー タ 認証、 ま たは コ ン テ ン ツの完全性 と 呼ばれ る こ
と も あ り ます。
リ プ レーに対する防御
IPSEC は、 傍受お よび リ プ レーか ら パケ ッ ト を保護 し ます。 第三者が単独パケ ッ ト ま たは一連のパ
ケ ッ ト を傍受 し 、 ホ ス ト のセキ ュ リ テ ィ の侵害やサービ ス不能攻撃の実行を意図 し てパケ ッ ト の リ
プ レーを試みた場合、 それを受信 し た ホ ス ト は、 パケ ッ ト が既に受信済みであ る こ と を確認 し 、 パ
ケ ッ ト を削除 し ます。
デー タ のプ ラ イバシー
IPSEC は、 IP パケ ッ ト を暗号化す る こ と で、 送信 さ れ る IP デー タ グ ラ ム を保護 し ます。 IPSEC 暗
号化は、 保護 さ れていないパブ リ ッ ク ネ ッ ト ワ ー ク 上で第三者が待機 し 、 パケ ッ ト か ら 個人情報
を入手す る こ と を防ぎ ます。 第三者は IPSEC パケ ッ ト を傍受 し て も 、 デー タ を復号化で き ません。
起点認証
IPSEC パケ ッ ト には、 パケ ッ ト を送信 し た ホ ス ト を一意に識別する 情報が常に含まれてい ます。 こ
の機能を、 起点認証 と いい ます。 送信者認証、 ま たは否認防止 と も いい ます。
IPSEC での開始者 と 応
答者
IPSEC はピ ア ツーピ ア を基準 と し てい ます。 開始者は、 ネ ゴ シエーシ ョ ン を開始する VPN ピ アで
す。 応答者は、 ネ ゴ シエーシ ョ ンに応答す る VPN ピ アです。 アプ ラ イ ア ン ス を、 ピ ア ツーピ ア
VPN 接続の開始者、 応答者、 ま たはその両方 と し て設定す る こ と がで き ます。
IPSEC を ト ンネル モー
ド で使用する場合
IPSec ト ン ネルは、 L2TP/IPSEC ま たは PPTP の VPN ト ン ネ リ ン グ をサポー ト し ない他のルー タ ー、
ゲー ト ウ ェ イ 、 ま たはエン ド シ ス テ ム と 互換性があ り ます。 IPSEC ト ン ネル モー ド は、 リ モー ト
ア ク セ ス におけ る VPN 接続では使用 し ないで く だ さ い。 リ モー ト ア ク セ ス におけ る VPN 接続で
は、 L2TP/IPSEC ま たは PPTP を使用 し て く だ さ い。
278
IPSEC のカ プ セル化モー ド
サポー ト 対象のモー ド
ト ンネル モー ド
IPSEC は、 次の よ う な カプセル化モー ド をサポー ト し てい ます。
●
ト ン ネル ( シ ス テ ムのデフ ォ ル ト )
●
ト ラ ン ス ポー ト
ト ン ネル モー ド は、 最 も 使用 さ れてい る カプセル化方式です。 ト ン ネル モー ド では、 IP デー タ グ
ラ ム全体が保護 さ れます。 ト ン ネル モー ド では、 暗号化のエン ド ポ イ ン ト ではないホ ス ト ( ゲー
ト ウ ェ イ デバ イ ス な ど ) へのパケ ッ ト 配信が許可 さ れてい ます。 ト ン ネル モー ド は、 IPSEC カプ
セル化モー ド のデフ ォ ル ト オプシ ョ ンです。
ト ン ネル モー ド の IPSEC パケ ッ ト には、 IP ヘ ッ ダーが 2 つあ り ます。
ト ラ ン スポー ト モー ド
●
外側の IP ヘ ッ ダーには、 パケ ッ ト 全体を ゲー ト ウ ェ イ デバ イ ス に配信する ための情報が含ま
れてい ます。
●
内側の IP ヘ ッ ダーは暗号化 さ れてお り 、 VPN ト ンネルの向 こ う 側にあ る 対象ホ ス ト に宛てた
元の情報だけが含まれてい ます。
ト ラ ン ス ポー ト モー ド は、 ホ ス ト 間 ト ン ネルに限っ て使用 し て く だ さ い。 ト ラ ン ス ポー ト モー ド
は、 上方のプ ロ ト コ ル層だけ を保護す る ために使用 さ れます。 元の IP ヘ ッ ダーは暗号化 さ れませ
ん。 ト ラ ン ス ポー ト モー ド は、 暗号化のエン ド ポ イ ン ト が通信のエン ド ポ イ ン ト と 同一であ る 場
合のみに使用で き ます。
Proventia® Network Multi-Function Security Appliance User Guide
279
第 18 章 : VPN の設定
IPSEC VPN プ ロ ト コ ル
サポー ト 対象のプ ロ ト コ
ル
Encapsulating
Security Protocol
IPSEC では、 デー タ の暗号化 と 認証のために次のプ ロ ト コ ルを使用 し ます。
●
Encapsulating Security Protocol (ESP)
●
認証ヘ ッ ダー (Authentication Header: AH)
ESP は、 デー タ の完全性、 リ プ レーに対する 防御、 デー タ のプ ラ イ バシー、 お よ び起点認証を確保
す る ために使用 さ れます。 ESP では、 対称キー暗号化を使用 し て IP パケ ッ ト 全体 ( ヘ ッ ダー と ペ
イ ロ ー ド ) が暗号化 さ れます。 続いて、 新 し いヘ ッ ダー と ESP ト レー ラ が追加 さ れます。
注記 : 復号化前にパケ ッ ト を認証で き る だけの十分なデー タ が ク リ ア テ キ ス ト 形式にな っ てい る 必
要があ る ため、 ト レー ラ の部分は暗号化 さ れません。
注記 : ESP では、 暗号化アルゴ リ ズ ム と 認証アルゴ リ ズ ムの両方を使用 し ます。
認証ヘ ッ ダー
280
AH は、 デー タ の完全性、 起点認証、 お よ び リ プ レーに対す る 防御を確保す る ために使用 さ れま
す。 AH では IP デー タ グ ラ ム を暗号化 し ないので、 暗号化アルゴ リ ズ ムの使用は必要あ り ません。
AH では、 保護 さ れたデー タ ( 元のパケ ッ ト ) の前に、 ク リ アテ キ ス ト のヘ ッ ダーが追加 さ れます。
AH は、 認証アルゴ リ ズ ム を使用 し ます。
L2TP と IPSEC の使用
L2TP と IPSEC の使用
は じ めに
L2TP と IPSEC の組み合わせ (L2TP/IPSEC) は、 イ ン タ ーネ ッ ト な ど のパブ リ ッ ク ネ ッ ト ワ ー ク を
通 じ て リ モー ト ア ク セ ス を提供する VPN 接続を作成す る ための、 非常に安全な技術です。 L2TP/
IPSEC は IPSEC 単独 よ り も 安全です。 ただ し 、 ユーザーの コ ン ピ ュ ー タ と VPN サーバー と の間の
相互認証、 お よ び ク ラ イ ア ン ト と サーバーの間で交換 さ れ る すべてのデー タ に対 し て強力な暗号化
を行 う ためには、 IPSEC が使用 さ れます。 L2TP と IPSEC は、 任意の IP ネ ッ ト ワー ク において IP、
IPX、 お よびその他プ ロ ト コ ル パケ ッ ト の ト ン ネ リ ン グ と セキ ュ リ テ ィ を提供す る ために統合 さ れ
てい ます。 IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ を使用 し て、 アプ ラ イ ア ン ス上で L2TP/
IPSEC VPN 接続を設定 し て く だ さ い。
注記 : ど のゲー ト ウ ェ イ も L2TP ま たは PPTP を サポー ト し ない場合を除いて、 IPSec ト ン ネルは
常に L2TP で設定 さ れ る 必要があ り ます。
L2TP の機能
L2TP は、 PPTP の拡張です。 L2TP は元のパケ ッ ト を、 まず PPP フ レーム内にカプセル化 し ( 可能
であれば圧縮を行 う )、 続いてポー ト 1701 を使用 し て UDP メ ッ セージ内にカプセル化 し ます。
UDP メ ッ セージは IP ペ イ ロ ー ド であ る ため、 L2TP は IPSEC を使用 し て ト ン ネルを保護 し ます。
IPSEC は、 次のプ ロ ト コ ルを使用 し ます。
●
証明書に基づ く 認証ま たは事前共有キーに よ る 認証を使用 し て L2TP ト ン ネルのセキ ュ リ テ ィ
を ネ ゴ シエー ト す る IKE プ ロ ト コ ル
●
パケ ッ ト を暗号化す る ESP
IPSEC メ イ ン モー ド お よ び ク イ ッ ク モー ド のセキ ュ リ テ ィ ア ソ シエーシ ョ ンが正常に確立 さ れ る
と 、 L2TP は、 圧縮やユーザー認証のオプシ ョ ン を含めて ト ン ネルを ネ ゴ シエー ト し 、 PPP ベース
の認証を行い ます。
L2TP と IPSec の相違点 L2TP/IPSEC プ ロ ト コ ルは、 IPSEC を単独で使用 し た場合 と 次の点で異な り ます。
●
L2TP では、 認証のために証明書が要求 さ れ る 。
●
L2TP では証明書に よ る 認証 と ユーザーレベルの認証の両方が行われ る ため、 よ り 安全であ る 。
Proventia® Network Multi-Function Security Appliance User Guide
281
第 18 章 : VPN の設定
セキ ュ リ テ ィ ア ソ シ エーシ ョ ン
セキ ュ リ テ ィ ア ソ シ
セキ ュ リ テ ィ ア ソ シエーシ ョ ン (SA) は、 2 つのホ ス ト が IPSEC を使用 し て互いに通信す る 方法を
定義
し ます。 SA は、 使用す る プ ロ ト コ ル、 使用す る カプセル化モー ド 、 関係す る キー、 お よ び
エーシ ョ ンが定義する内
キーの有効期間を定義 し ます。
容
保持 さ れる場所
プロ ト コル
SA は、 IPSEC 接続の有効期間中 SA デー タ ベース (SADB) 内に保持 さ れます。 接続の有効期間は、
秒数ま たは送信 さ れ る バ イ ト 数で指定で き ます。 各ホ ス ト は、 最低で も 2 つの SA を作成 し ます。
●
SAin
●
SAout
ホ ス ト が 1 つ以上のプ ロ ト コ ル (ESP、 AH な ど ) を使用す る 場合、 各プ ロ ト コ ルに対 し て SA の追
加ペアが作成 さ れます。 SA は、 Manual Key IPSEC の よ う に手動かつオ フ ラ イ ンで作成 さ れ る か、
IKE の よ う にキー管理プ ロ ト コ ルに よ っ て作成 さ れます。
次の イ ベン ト が発生 し た場合、 SA は削除 さ れます。
●
SA 情報
SA の有効期間が期限切れにな っ た場合
●
キーのセキ ュ リ テ ィ が侵害 さ れた場合
●
SA のバ イ ト 送信制限に達 し た場合
●
ホ ス ト が SA の削除を要求 し た場合
セキ ュ リ テ ィ ア ソ シエーシ ョ ン (Security Association: SA) に関す る 統計値は、 [SA Information] セ ク
シ ョ ンにあ り ます。 表 78 では、 SA 情報に関す る 統計値について説明 し ます。
統計値
説明
IPSEC SA count
SAin と SAout の総数。
表 78: セキ ュ リ テ ィ ア ソ シエーシ ョ ン (SA) に関する統計値
282
キー管理
キー管理
は じ めに
IPSEC によ っ てサポー
ト さ れる モー ド
手動キー管理
暗号化シ ス テ ムには、 3 つの基本要素があ り ます。
●
情報を コ ー ド に変換す る アルゴ リ ズ ム
●
アルゴ リ ズ ムの秘密の起点であ る 暗号化キー
●
キーを管理す る 管理シ ス テ ム
IPSEC はパブ リ ッ ク キー と プ ラ イ ベー ト キーを使用 し て ト ラ フ ィ ッ ク の暗号化 と 認証を行い、 2
つのキー交換モー ド を サポー ト し てい ます。
●
手動
●
自動
手動に よ る キー管理では、 キー情報が管理者の手作業に よ っ て入力 さ れます。 管理者はプ ロ ト コ ル
を設定 し 、 各プ ロ ト コ ルにキー情報を提供 し 、 Security Parameter Index (SPI) の値を手作業で入力 し
ます。 キー情報 と SPI の値には有効期限がな く 、 第三者に よ る セキ ュ リ テ ィ 侵害を受け る 可能性が
あ り ます。
地理的に離れてい る ホ ス ト の間で共有秘密キー値を共有す る 必要があ る ため、 キー情報は電子 メ ー
ルや郵便、 口頭な ど の保護 さ れていない手段を通 じ て渡 さ れ る 可能性が高 く な り ます。 こ の種のや
り と り は傍受 さ れ る 可能性があ り 、 イ ン タ ーネ ッ ト 上の ト ラ フ ィ ッ ク を傍受す る のに必要な情報を
第三者が収集で き て し ま う おそれがあ り ます。
参照 : 設定手順については、 「セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定」 (259 ページ ) を参照 し て く だ さ
い。
Security Parameters
Index (SPI)
Security Parameter Index (SPI) は、 パケ ッ ト が所属する セキ ュ リ テ ィ ア ソ シエーシ ョ ン (SA) を一意
に識別す る 32 ビ ッ ト の フ ィ ール ド です。 SPI はすべてのパケ ッ ト に含まれてい る ので、 受信側の
ホ ス ト は こ れを Security Parameters Database (SPDB) 内の項目 と 一致 さ せ、 受信パケ ッ ト のセキ ュ リ
テ ィ をチ ェ ッ ク す る ための SA を取得す る こ と がで き ます。
SPI 値は、 IPSEC 接続の間中、 変更 さ れ る こ と はあ り ません。 通信が終了する と 、 SPI 値は再要求
さ れ、 新 し い IPSEC 接続で再び使用 さ れます。
自動キー管理
自動キー管理では、 Internet Key Exchange (IKE) 方式を使用 し ます。
参照 : 設定手順については、 「セキ ュ リ テ ィ ゲー ト ウ ェ イ の設定」 (259 ページ ) を参照 し て く だ さ
い。
Proventia® Network Multi-Function Security Appliance User Guide
283
第 18 章 : VPN の設定
IPSEC ポ リ シーの設定
は じ めに
IPSEC ポ リ シーの追加
こ の ト ピ ッ ク では、 IPSEC ポ リ シーの設定方法について説明 し ます。 次の作業の手順について も 説
明 し ます。
●
IPSEC ポ リ シーの追加
●
IPSEC ポ リ シーの編集
●
IPSEC ポ リ シーの削除
IPSEC ポ リ シーを追加す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [IPSEC Policy] タ ブ を選択 し ます。
3. [Add] ア イ コ ン を ク リ ッ ク し 、 次の よ う に入力 し ます。
フ ィ ール ド
説明
Name
ポ リ シーの名前を入力 し ます。
Enabled
このオプ シ ョ ン を選択 し ます。
Comment
ポ リ シーの説明を入力 し ます。
Security Process
このポ リ シーを使用する IPSEC 接続のパケ ッ ト に対する セキ ュ
リ テ ィ ア ク シ ョ ンのオプ シ ョ ン を選択 し ます。
Protocol
•
Encrypt - パケ ッ ト を VPN ト ン ネルを通 じ てルーテ ィ ン グ し
ます。
•
Bypass - パケ ッ ト を VPN ト ンネルを通 じ てルーテ ィ ング し
ません。
•
Discard - パケ ッ ト を中断 し ます。
IPSEC プ ロ ト コ ルを選択 し ます。
•
TCP (Transmission Control Protocol) は、 デー タ ス ト リ ーム
を交換する 2 ホス ト 間における通信に適用 し ます。
•
UDP (User Datagram Protocol) は、 IP ネ ッ ト ワー ク 上で直接
の送受信を許可する コ ネ ク シ ョ ン レ ス型プ ロ ト コルに適用 し
ます。
•
ICMP (Internet Control Message Protocol) は、 エ ラ ー メ ッ
セージや制御 メ ッ セージ、 情報 メ ッ セージ を含むパケ ッ ト に
適用 し ます。
•
AH (Authentication Header: 認証ヘ ッ ダー ) は、 デー タ の完全
性、 起点認証、 および リ プ レーに対する抵抗性 ( オプ シ ョ ン )
を提供 し ます。 AH の主な機能は、 認証サービ ス を提供する
こ と です。 機密性は提供 さ れません。
•
ESP (Encapsulating Security Payload) は、 制限 さ れた ト ラ
フ ィ ッ ク フ ローの機密性に加え、 デー タ の機密性、 完全性、
起点認証、 ア ン チ リ プ レー サービ ス ( オプ シ ョ ン ) など、 い
く つかのセキ ュ リ テ ィ サービ ス を提供 し ます。
•
ALL は、 すべてのプ ロ ト コ ルをポ リ シーに適用 し ます。
4. ポ リ シーに関す る 次の情報を設定 し ます。
■
284
発信元お よ び宛先のア ド レ スお よ びポー ト
IPSEC ポ リ シーの設定
■
手動キー管理ま たは自動キー管理
5. [OK] を ク リ ッ ク し 、 変更内容を保存 し ます。
IPSEC ポ リ シーの操作
IPSEC ポ リ シーを編集ま たは削除する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [IPSEC Policy] タ ブ を選択 し ます。
3. 次のいずれかを行い、 変更内容を保存 し ます。
操作
ポ リ シーを編集する
手順
1. 設定を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. ポ リ シーを編集 し 、 [OK] を ク リ ッ ク し ます。
リ モー ト ID を削除する
ポ リ シーを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
Proventia® Network Multi-Function Security Appliance User Guide
285
第 18 章 : VPN の設定
286
概要
セ ク シ ョ ン E:
IKE ポ リ シーの設定
概要
は じ めに
こ のセ ク シ ョ ンでは、 Internet Key Exchange (IKE) ポ リ シーを使っ て Internet Protocol Security
(IPSEC) のセキ ュ リ テ ィ ア ソ シエーシ ョ ン を作成す る 方法について説明 し ます。 IKE は、 追加の機
能、 柔軟性、 設定の容易 さ を提供す る こ と で IPSEC を強化 し ます。 ま た、 IPSEC セキ ュ リ テ ィ ア
ソ シエーシ ョ ン を自動的にネ ゴ シエー ト し 、 手作業に よ る 事前設定を行わずに IPSEC の安全な通
信を有効に し ます。
こ のセ ク シ ョ ンの内容
こ のセ ク シ ョ ンでは、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
IKE 自動キー管理
289
IKE モー ド
293
Diffie-Hellman 交換
295
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ 設定の指定
296
IKE リ モー ト ID の設定
298
IKE XAuth の設定
299
Proventia® Network Multi-Function Security Appliance User Guide
287
第 18 章 : VPN の設定
IKE SA 情報の表示
は じ めに
こ の ト ピ ッ ク では、 IKE セキ ュ リ テ ィ ア ソ シエーシ ョ ン情報を表示す る 方法について説明 し ます。
IKE SA 情報
IKE SA 情報を表示す る には :
ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Status] → [Firewall] → [Status] の順に選択 し ます。
IKE ポ リ シーの状態は、 [IKE SA Information] セ ク シ ョ ンにポ リ シー名ご と に表示 さ れます。 表 79
では、 IKE SA 情報の統計値について説明 し ます。
統計値
説明
Policy
Name
1 つ以上の VPN 接続で使用 さ れているポ リ シーの名前。
State
ポ リ シーの現在の状態。
•
不使用 ( ポ リ シーが使われていない こ と を示す )
• INIT_IDLE
• RESP_IDLE
•
一時的 (IKE ネゴシ エーシ ョ ンが発生 し ている こ と を示す )
注記 : こ のス テー タ スは数分間 し か継続 さ れません。
• MM_SA_WAIT
• AM_SA_WAIT
• RESP_KE_WAIT
• INIT_KE_WAIT
• RESP_ID_WAIT
• INIT_ID_WAIT
• HASH_WAIT
•
確定 し たステー タ ス (IKE SA が確立 し た こ と を示す )
• SA_MATURE
表 79: IKE SA 情報
288
IKE 自動キー管理
は じ めに
Internet Key Exchange (IKE) は、 セキ ュ リ テ ィ ア ソ シエーシ ョ ン (Security Association: SA) 作成 と
IPSEC に よ っ て使われ る キーの交換を行 う 、 動的な手法を提供 し ます。 複数の VPN ト ン ネルの配
置を円滑に行 う ために、 自動キー管理が必要です。 IKE 自動キー管理は、 次の方法で使用す る こ と
がで き ます。
方法
説明
Pre-shared key
method
セ ッ シ ョ ンの両方のピ アが同 じ 事前共有キーを使用 し ている場合は、 この
キーを互いの認証に使用する こ と がで き ます。 ピ アは このキーを実際に送
信 し 合 う のではな く 、 このキーを Diffie-Hellman グループ と 併用 し てセ
キ ュ リ テ ィ ネゴ シ エーシ ョ ン プ ロ セスの一環 と し てのセ ッ シ ョ ン キーを
作成 し ます。 ピ アは、 このセ ッ シ ョ ン キーを使用 し て暗号化 と 認証を行
います。 IKE は、 通信セ ッ シ ョ ン中に、 こ のセ ッ シ ョ ン キーを自動的に再
生成 し ます。
事前共有キーを自動キー管理 と 併用する こ と をお勧め し ます。
Certificate method
このキー管理方法では、 信頼 さ れた第三者機関である認証局 (Certificate
Authority: CA) の参加が必要です。 VPN の各ピ アはまず、 パブ リ ッ ク / プ
ラ イ ベー ト キーのペア と 呼ばれる一連のキーを生成 し ます。 CA は各ピ ア
に対応するパブ リ ッ ク キーに署名 し て、 署名済みのデジ タ ル証明書を作
成 し ます。 各ピ アは CA に問い合わせ、 自分の証明書 と 、 CA 自体の証明
書を入手 し ます。 ア プ ラ イ ア ン スに証明書を ア ッ プ ロー ド し 、 適切な
IPSEC ト ンネル と ポ リ シーを設定 し た ら 、 ピ アが通信で き る よ う にな り
ます。 IKE は通信の間、 ピ アから ピ アへ署名済みデジ タ ル証明書を送信す
る こ と によ っ て、 証明書の交換を管理 し ます。 署名済みデジ タ ル証明書
は、 各エ ン ド での CA 証明書の存在によ っ て検証 さ れます。 この認証が完
了する と 、 IPSEC ト ンネルは確立 さ れます。
一般的に、 証明書は手動キー管理や事前共有キーよ り も管理 し やす く 、 大
規模なネ ッ ト ワー ク に最 も適 し ています。
表 80: 方法
Proventia® Network Multi-Function Security Appliance User Guide
289
第 18 章 : VPN の設定
IKE ト ン ネル ネゴ シ エーシ ョ ン プ ロ セス
は じ めに
こ の ト ピ ッ ク では、 IKE ト ンネル ネ ゴ シエーシ ョ ン プ ロ セ ス について説明 し ます。
プ ロ セス
次の表では、 プ ロ セ ス の フ ェ ーズについて説明 し ます。
フ ェ ー 説明
ズ
1
ピ アは、 通信チ ャ ネルの認証 と 保護の方法に関する プ ロポーザルを交換 し ます。 プ ロ
ポーザルには、 次の情報が含まれます。
•
暗号化アルゴ リ ズム
•
認証アルゴ リ ズム
•
Diffie-Hellman グループ と ノ ン ス ( 疑似乱数 )
•
身元確認のための事前共有キーまたは証明書
フ ェ ーズ 1 は メ イ ン モー ド またはアグレ ッ シ ブ モー ド で行われます。
このセ ッ シ ョ ンは暗号化 さ れたチ ャ ネルを確立 し ます。 フ ェ ーズ 2 はこ のチ ャ ネル上で
行われます。
2
ピ アは次の作業を行います。
•
VPN ト ン ネル内でのデー タ の暗号化 と 認証のために、 セキ ュ リ テ ィ ア ソ シ エー
シ ョ ン (SA) を ネゴシ エー ト する。
•
IPSEC プ ロポーザルを交換 し て、 SA で使用する セキ ュ リ テ ィ パ ラ メ ー タ を決定す
る。
ピ アは、 最大 3 つの メ ッ セージ を使用 し て、 プ ロポーザル決定 と SA 確定を行 う こ と が
で き ます。 ピ アは、 プ ロポーザル中で次の項目を使用 し ます。
•
セキ ュ リ テ ィ プ ロ ト コル : AH、 ESP、 または両方
•
ESP を使用する場合は、 暗号化方式 (DES、 3DES、 または AES)
•
AH が使用 さ れている場合は、 認証アルゴ リ ズム (MD5 または SHA1)
•
Perfect Forward Secrecy を使用する場合は、 Diffie-Hellman グループ
このセ ッ シ ョ ンは、 ホス ト 間の安全な通信を提供する IPSEC ト ンネルを確立 し ます。
表 81: IKE ト ン ネル ネゴ シエーシ ョ ン プ ロ セス
暗号化アルゴ リ ズム
暗号化アルゴ リ ズ ムは、 バ イ ナ リ コ ー ド 化 さ れた情報を暗号化お よ び復号化する ための数学アル
ゴ リ ズ ムです。 暗号化では、 デー タ が 「暗号文」 と 呼ばれ る 理解不能な形式に変換 さ れます。 暗号
文の復号化では、 デー タ バン ク が元の形式 ( プ レーン テキ ス ト ) に変換 さ れます。 次の表では、 暗
号方式について説明 し ます。
方式
説明
DES
Data Encryption Standard (DES) アルゴ リ ズムは、 64 ビ ッ ト から
成るデー タ のブ ロ ッ ク を 64 ビ ッ ト キーの管理下で暗号化する よ
う に設計 さ れています。 復号化は暗号化 と 同 じ キーを使用 し て行
われますが、 復号化プ ロ セスが暗号化プ ロ セスの逆にな る よ う
に、 キー ビ ッ ト を扱 う タ イ ミ ングが変更 さ れています。
重要 : キーの長 さ は 3 文字です。
表 82: 暗号化方式
290
IKE ト ン ネル ネ ゴ シ エーシ ョ ン プ ロ セ ス
方式
説明
3DES
通信の当事者間で共有 さ れる Triple-Data Encryption Standard
(3DES) の秘密キーは、 DES-CBC アルゴ リ ズムの単純な変種で
す。 DES 機能は暗号化→復号化→暗号化 と 3 回実行 さ れ、 それ
ぞれの段階で個別のキー (k1、 k2、 k3) が使用 さ れます。
重要 : キーの長 さ は 24 文字です。
AES
Advanced Encryption Standard (AES) は、 128 ビ ッ ト のデー タ ブ
ロ ッ ク を処理で き る対称型ブ ロ ッ ク 暗号です。
重要 : キーの長 さ は 128、 192、 または 256 ビ ッ ト です。
表 82: 暗号化方式 ( 続き )
認証アルゴ リ ズム
サポー ト さ れてい る 認証アルゴ リ ズ ムは、 次の と お り です。
アルゴ リ ズム
説明
MD5
Message Digest 5 (MD5) は、 デジ タ ル署名の作成に使用 さ れる
アルゴ リ ズムです。 これは、 32 ビ ッ ト マシ ン での使用を意図 し
た も のです。 MD5 は一方向ハ ッ シ ュ関数です。 つま り 、 メ ッ
セージ を取 り 上げて一定の数列に変換する と い う もので、 メ ッ
セージ ダ イ ジ ェ ス ト と も いいます。
一方向ハ ッ シ ュ関数を使用する と 、 算出 さ れた メ ッ セージ ダ イ
ジ ェ ス ト と パブ リ ッ ク キーで復号化 さ れた メ ッ セージ ダ イ ジ ェ
ス ト と を比較 し て、 メ ッ セージが改ざん さ れていない こ と を確認
する こ と がで き ます。 この比較を、 ハ ッ シ ュ チ ェ ッ ク と いいま
す。
キーの長 さ は 16 文字です。
SHA1
Secure Hash Algorithm (SHA1) は、 メ ッ セージの圧縮表現 ( メ ッ
セージ ダ イ ジ ェ ス ト ) を生成 し ます。 メ ッ セージ ダ イ ジ ェ ス ト
は、 メ ッ セージ用の署名を生成する間に使用 さ れます。 SHA1 は
また、 署名検証プ ロ セスで受信 メ ッ セージの メ ッ セージ ダ イ
ジ ェ ス ト を算出する場合に も使用 さ れます。 送信中の メ ッ セージ
に何ら かの変更が加え られる と 、 異な る メ ッ セージ ダ イ ジ ェ ス
ト が生成 さ れ、 署名の検証が失敗 し ます。 SHA1 は、 メ ッ セージ
の送信者 と 意図 さ れた受信者の両方で、 デジ タ ル署名の算出 と 検
証に使用 さ れます。
キーの長 さ は 20 文字です。
表 83: サポー ト 対象の認証アルゴ リ ズム
Diffie-Hellman グループ
Diffie-Hellman は、 5 つのグループで構成 さ れてい ます。 こ のアプ ラ イ ア ン ス では、 5 つの う ち 3 つ
を サポー ト し てい ます。 グループは次の と お り です。
グループ
説明
Group 1
768 ビ ッ ト MODP グループ ( サポー ト 対象 )
Group 2
1024 ビ ッ ト MODP グループ ( サポー ト 対象 )
Group 3
155 ビ ッ ト EC2N グループ ( サポー ト 対象外 )
Group 4
185 ビ ッ ト EC2N グループ ( サポー ト 対象外 )
表 84: Diffie-Hellman グループの説明
Proventia® Network Multi-Function Security Appliance User Guide
291
第 18 章 : VPN の設定
グループ
説明
Group 5
1536 ビ ッ ト MODP グループ ( サポー ト 対象 )
表 84: Diffie-Hellman グループの説明 ( 続き )
注記 : グループ番号が大 き いほ ど、 第三者に よ る セ ッ シ ョ ン キー値の推測は難 し く な り ます。
292
IKE モー ド
IKE モー ド
は じ めに
メ イ ン モー ド
IKE では、 2 つのモー ド の う ち 1 つを使用で き ます。
●
メ イン
●
ア グ レ ッ シブ
メ イ ン モー ド の開始者 ( ク ラ イ ア ン ト ) と 応答者 ( サーバー ) は、 次のプ ロ セ ス で説明す る よ う に
6 つの メ ッ セージ を交換 し ます。
段階
説明
1
開始者が IKE プ ロポーザルを応答者に送信 し ます。 プ ロポーザルは、 フ ェ ーズ 1 ネゴ
シ エーシ ョ ンの暗号化アルゴ リ ズム と 認証アルゴ リ ズムを含んでいます。
2
応答者がプ ロポーザルを受け入れます。
3
開始者が Diffie-Hellman プ ロポーザル と ノ ン ス値 ( 乱数 ) を送信 し ます。
4
応答者が Diffie-Hellman プ ロポーザルを受け入れ、 自分自身の ノ ン ス値を送信 し ます。
5
開始者が自分の身元証明 ( 証明書または事前共有秘密キー ) を送信 し ます。
6
応答者が自分の身元証明 ( 証明書または事前共有秘密キー ) を送信 し ます。
表 85: メ イ ン モー ド のプ ロ セス
長所
暗号化方式が 1 と 2 のや り と り で確立 さ れ る ため、 Diffie-Hellman 交換、 2 つの ノ ン ス値、 お よ び
身元証明は、 すべて第三者に よ る 傍受か ら 保護 さ れます。
制約
メ イ ン モー ド を使用する には、 各当事者の IP ア ド レ ス がわかっ てい る 必要があ り ます。 し たがっ
て、 応答者 と 開始者の両方で静的 IP ア ド レ ス を使用す る 必要があ り ます。
注記 : 事前共有キーを使用す る 場合、 メ イ ン モー ド ト ンネル ( 応答のみ ) は 1 つだけ許可 さ れま
す。
アグレ ッ シ ブ モー ド
ア グ レ ッ シブ モー ド の開始者 と 応答者は、 次のプ ロ セ ス で説明する よ う に 3 つの メ ッ セージだけ
を交換 し ます。
段階
1
説明
開始者が次の作業を行います。
•
暗号化および認証の IKE プ ロポーザルを送信する。
•
Diffie-Hellman 交換を開始する。
•
ノ ン ス値 と 身元証明を送信する。
2
応答者がセキ ュ リ テ ィ プ ロポーザルを受け入れ、 自分自身の ノ ン ス値 と 身元証明を送
信 し ます。
3
開始者が身元 と 交換を確認 し ます。
表 86: アグレ ッ シ ブ モー ド のプ ロ セス
注記 : ピ アの IP ア ド レ ス を知 る 必要があ り ません。
Proventia® Network Multi-Function Security Appliance User Guide
293
第 18 章 : VPN の設定
アグレ ッ シ ブ モー ド と
メ イ ン モー ド
ア グ レ ッ シブ モー ド では Diffie-Hellman 交換 と 身元証明が暗号化開始の前に送信 さ れ る ため、 メ イ
ン モー ド ほど安全ではあ り ません。
動的 IP ア ド レ スの制約
開始者が動的 IP ア ド レ ス を持っ てい る 場合、 使用で き る 方式はア グ レ ッ シブ モー ド のみです。
294
Diffie-Hellman 交換
Diffie-Hellman 交換
は じ めに
Diffie-Hellman (DH) 交換は、 保護 さ れていない通信チ ャ ネル ( イ ン タ ーネ ッ ト な ど ) を通 じ て共有
の秘密を送信す る ために使用 さ れます。 Diffie-Hellman 交換では、 個別の一方向関数を使用 し て、
交換プ ロ セ ス で使用す る キー マテ リ アルを生成 し ます。
Diffie-Hellman 交換のプ
ロ セス
Diffie-Hellman 交換は、 次の よ う な 2 段階のプ ロ セ ス です。
段階
説明
1
各ピ アがラ ン ダムな番号を選定 し 、 両ピ アが使用に同意 し ている Diffie-Hellman アルゴ
リ ズム ( グループ と も い う ) の計算でその数値を使用 し ます。 この計算で、 各ピ アのパ
ブ リ ッ ク キーが作成 さ れます。
2
ピ アがパブ リ ッ ク キーを交換 し ます。 各ピ アは、 このキーを DH グループに基づいて
別の計算で使用 し 、 共有秘密を生成 し ます。
表 87: Diffie-Hellman 交換のプ ロ セス
注記 : パブ リ ッ ク キーは イ ン タ ーネ ッ ト 上を ク リ アテ キ ス ト で送信 さ れ、 その演算について も よ
く 知 ら れてい ますが、 各ピ アに よ っ て生成 さ れた秘密の乱数がない と 、 第三者は共有秘密を推測で
き ません。
Proventia® Network Multi-Function Security Appliance User Guide
295
第 18 章 : VPN の設定
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ 設定の指定
は じ めに
セキ ュ リ テ ィ ゲー ト ウ ェ イ の Internet Key Exchange (IKE) セキ ュ リ テ ィ 設定を指定 し ます。 次の手
順で、 IKE セキ ュ リ テ ィ 設定を指定 し ます。
IKE ネ ッ ト ワー ク設
定の指定
IKE ポ リ シーのネ ッ ト ワー ク 設定を指定す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. 次のいずれかの タ ブを選択 し ます。
■
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
■
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
4. [Add] ア イ コ ン を ク リ ッ ク し ます。
5. [IKE Configuration] タ ブ を選択 し 、 次の よ う に入力 し ます。
フ ィ ール ド
説明
Direction
ピ アが VPN ト ンネルを使用する方法を選択 し ます。
Exchange Type
次のいずれかのオプ シ ョ ン を選択 し ます。
•
Main Mode ( メ イ ン モー ド )
•
Aggressive Mode ( アグレ ッ シ ブ モー ド )
Local ID Type
一覧か ら タ イ プ を選択 し ます。
Local ID Data
選択 し た [Local ID Type] に対応する ロー カルの証明書情報を選
択 し ます。
Local IP Address
ロー カル ピ ア IP ア ド レ ス を入力 し ます。
Remote IP Address
リ モー ト ピ ア IP ア ド レ ス を入力 し ます。
6. 暗号化を設定す る 場合は、 次のいずれかを行い ます。
操作
手順
AES 暗号化を使用する
[AES] を選択 し 、 [AES Key Length] リ ス ト から AES キーの長 さ
を選択 し ます。
別の暗号化方式を使用す
る
1. 一覧か ら方式を選択 し ます。
2. [Authentication Algorithm] リ ス ト か ら、 認証方式を選択 し
ます。
3. [Authentication Mode] を選択 し ます。
[Pre-Shared Key] の場合は、 事前共有キーの長 さ に英数字 8
文字以上のテキス ト 文字列を入力 し ます。 これには記号を含
める こ と がで き ます。 事前共有キーは、 メ イ ン モー ド ではサ
ポー ト さ れていません。
296
IKE ネ ッ ト ワー ク と セキ ュ リ テ ィ 設定の指定
7. 次の フ ィ ール ド を入力 し ます。
フ ィ ール ド
説明
Life Time Secs
IKE フ ェ ーズ 1 の暗号化設定 と 認証設定の有効期間 ( 秒数 ) を入
力 し ます。
Life Time KBytes
IKE フ ェ ーズ 1 の暗号化設定 と 認証設定が有効にな っ ている場合
に送信 さ れるキロバイ ト 数を入力 し ます。
DH Group
一覧か ら Diffie-Hellman グループ を選択 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
297
第 18 章 : VPN の設定
IKE リ モー ト ID の設定
は じ めに
次のセキ ュ リ テ ィ ゲー ト ウ ェ イ に対 し て、 IKE リ モー ト ID を設定する こ と がで き ます。
●
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
●
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
こ の作業で決定 さ れる内 リ モー ト ID はそれぞれ、 VPN 接続のエン ド ポ イ ン ト を表 し ます。 セキ ュ リ テ ィ ゲー ト ウ ェ イ の リ
モー ト ID を設定す る と 、 こ の VPN 接続のエン ド ポ イ ン ト を最大 10 個ま で入力す る こ と がで き ま
容
す。 入力 し てお く と 、 同一の VPN セ ッ シ ョ ンで最大 10 ユーザーま でが接続可能にな り ます。
制約
各セキ ュ リ テ ィ ゲー ト ウ ェ イ には、 最大 10 個ま での リ モー ト ID が許可 さ れてい ます。
リ モー ト ID の操作
リ モー ト ID を追加、 編集、 コ ピー、 ま たは削除す る には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. 次のいずれかの タ ブを選択 し ます。
■
IPSEC Remote Client Security Gateway
■
Auto Key IPSEC Security Gateway
4. 次のいずれかを行い、 変更内容を保存 し ます。
操作
リ モー ト ID を追加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. [Remote ID Type] リ ス ト から 、 リ モー ト ピ アが認証のため
にロー カル ピ アに送信するデー タ の種類を選択 し ます。
3. [Remote ID] フ ィ ール ド に、 選択 し た [Remote ID Type] と 対
応する リ モー ト の証明書情報を入力 し ます。
4. [OK] を ク リ ッ ク し ます。
リ モー ト ID を編集する
1. エ ン ト リ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. エ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
リ モー ト ID を コ ピーす
る
1. エ ン ト リ を選択 し 、 [Copy] ア イ コ ン (
す。
2. [Paste] ア イ コ ン (
) をクリ ッ クしま
) を ク リ ッ ク し ます。
3. 必要に応 じ てエ ン ト リ を編集 し 、 [OK] を ク リ ッ ク し ます。
リ モー ト ID を削除する
298
ポ リ シーを選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ます。
IKE XAuth の設定
IKE XAuth の設定
は じ めに
次のセキ ュ リ テ ィ ゲー ト ウ ェ イ に対 し て、 XAuth を設定す る こ と がで き ます。
●
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
●
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
セキ ュ リ テ ィ ゲー ト ウ ェ イ に対 し て XAuth を有効に し た場合は、 IKE XAuth 設定を指定す る 必要
があ り ます。
XAuth と は
XAuth (Extended Authentication) は、 IKE セ ッ シ ョ ンに第 2 のユーザー名お よ びパ ス ワー ド を提供 し
ます。 XAuth プ ロ セ ス は、 IKE フ ェ ーズ 1 の終了後に開始 さ れます。 XAuth プ ロ セ ス は次の よ う に
行われます。
段階
説明
1
リ モー ト VPN と ピ アがユーザー名 と パスワー ド を要求 し ます。
2
ロー カル ピ アが次のいずれかの方法で資格情報を取得 し ます。
•
ピ アがユーザーにユーザー名 と パスワー ド を要求する。
•
ピ アがポ リ シー内のユーザー名 と パスワー ド を探す。
3
ロー カル ピ アが リ モー ト ピ アに資格情報を転送 し ます。
4
リ モー ト ピ アがユーザー名 と パスワー ド のペア を検証 し ます。
表 88: XAuth プ ロ セスの段階
名前 / パスワー ド 認証の
方式
名前 と パ ス ワ ー ド のペア を認証す る には、 次の 2 つの方式があ り ます。
方式
説明
Generic
この方式はビル ト イ ンのロー カル デー タ ベース を使用 し ます。
この方式は、 SoftRemote VPN ピ ア または PAP 認証用です。
RADIUS
この方式は認証のために RADIUS サーバーに情報を渡 し ます。
この方式は、 CHAP 認証をサポー ト する VPN ク ラ イ ア ン ト です。
「IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ での RADIUS
の設定」 (263 ページ ) を参照 し て く だ さ い。
表 89: 名前 / パスワー ド 認証の方式
IKE XAuth の設定
IKE ポ リ シーの XAuth を設定する には :
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Configuration] → [Firewall] の順に選択 し ます。
2. [Security Gateways] タ ブを選択 し ます。
3. 次のいずれかの タ ブを選択 し ます。
■
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
■
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
4. Auto Key IPSEC ま たは IPSEC Remote Client ゲー ト ウ ェ イ の場合は、 [XAuth] セ ク シ ョ ンに移
動 し 、 [Enabled] を オンに し ます。
Proventia® Network Multi-Function Security Appliance User Guide
299
第 18 章 : VPN の設定
5. 次のいずれかを行い、 変更内容を保存 し ます。
リ モー ト ピ アが次の場
合
認証のためにユーザー名
と パスワー ド を提供する
手順
1. [Device Type] リ ス ト から [Edge Device ] を選択 し ます。
2. ユーザー名を入力 し ます。
3. [Set Password] を ク リ ッ ク し 、 パスワー ド を入力 し てから 確
認 し ます。
4. [OK] を ク リ ッ ク し ます。
認証のためにユーザー名
と パスワー ド を提供 し な
い
1. [Device Type] リ ス ト から [IP Sec Host] を選択 し ます。
2. 認証の方式を選択 し ます。
Safenet Soft Remote VPN ピ ア または PAP (Password
Authentication Protocol) 認証の場合は、 [Generic]。
CHAP (Challenge Handshake Authentication Protocol) ベース
の認証をサポー ト する VPN ク ラ イ ア ン ト の場合は、
[RADIUS]。
[RADIUS] を選択 し た場合は、 RADIUS ク ラ イ ア ン ト も設定
する必要があ り ます。 「IPSEC Remote Client セキ ュ リ テ ィ
ゲー ト ウ ェ イ での RADIUS の設定」 (263 ページ ) を参照 し て
く だ さ い。
3. [OK] を ク リ ッ ク し ます。
300
パー ト V
®
システム監視
第 19 章
イベン ト 、 ログ、 およびステー タ スの監
視
概要
は じ めに
こ の章では、 イ ベン ト 、 ロ グ、 お よ びス テー タ ス の監視方法について説明 し ます。
参照 : 防御機能の監視方法 と 、 関連す る ス テー タ ス、 イ ベン ト 、 お よ び統計値の詳細な説明につ
いては、 オン ラ イ ン ヘルプを参照 し て く だ さ い。
こ の章の内容
こ の章では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
ア ラ ー ト 、 ログ、 およびステー タ スの表示
304
イ ベン ト に関する詳細情報の入手
305
イ ベン ト ログの操作
306
Proventia® Network Multi-Function Security Appliance User Guide
303
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
ア ラ ー ト 、 ログ、 およびス テー タ スの表示
は じ めに
こ の ト ピ ッ ク では、 ア ラ ー ト 、 ロ グ、 お よ びス テー タ ス の表示方法について説明 し ます。
参照 : 各機能の ス テー タ ス情報の詳細な説明については、 オン ラ イ ン ヘルプを参照 し て く だ さ い。
ア ラ ー ト の表示
ア ラ ー ト を表示す る には、 ナビ ゲーシ ョ ン ウ ィ ン ド ウ で次の作業を行い ます。
次のア ラ ー ト を表示する場合
手順
ア ン チスパム
[Status] → [Antispam] → [Alerts]
ア ン チウ ィ ルス
[Status] → [Antivirus] → [Alerts]
フ ァ イ アウ ォ ール
[Status] → [Firewall] → [Alerts]
不正侵入防御
[Status] → [Intrusion Prevention] → [Alerts]
ログ
[Logs] → [Alerts]
システム
[Status] → [System] → [Alerts]
ア ッ プデー ト
[Updates] → [Alerts]
Web フ ィ ル タ
[Status] → [Web Filter] → [Alerts]
ログの表示
シ ス テ ム ロ グ を表示する には、 ナビ ゲーシ ョ ン ウ ィ ン ド ウ で [Logs] → [System Logs]
ス テー タ スの表示
ス テー タ ス を表示す る には、 ナビ ゲーシ ョ ン ウ ィ ン ド ウ で次の作業を行い ます。
304
次のステー タ ス を表示する場合
手順
ア ン チスパム
[Status] → [Antispam] → [Status]
ア ン チウ ィ ルス
[Status] → [Antivirus] → [Status]
DHCP
[Status] → [DHCP] → [Status]
フ ァ イ アウ ォ ール
[Status] → [Firewall] → [Status]
不正侵入防御
[Status] → [Intrusion Prevention] →[Status]
OSPF
[Status] → [OSPF] → [Status]
システム
[Status] → [System] → [Status]
Web フ ィ ル タ
[Status] → [Web Filter] → [Status]
イ ベ ン ト に関する詳細情報の入手
イ ベン ト に関する詳細情報の入手
は じ めに
手順
こ の ト ピ ッ ク では、 イ ベン ト に関す る 詳細情報の入手方法 と 、 次の作業を行 う 方法について説明 し
ます。
●
イ ベン ト 詳細を表示す る
●
不正侵入防御情報を入手す る
●
ア ンチ ウ ィ ルス情報を入手す る
イ ベン ト に関す る 詳細情報を入手す る には、 次のいずれかの作業を行い ます。
操作
手順
イ ベン ト 詳細を表示する
[Alert Name] 列のイ ベン ト 名を ク リ ッ ク し ます。
不正侵入防御イ ベン ト に関す
る X-Force 情報を入手する
ア ン チウ ィ ルス イ ベン ト に
関する情報を入手する
[Alert Name] 列の X-Force ア ラ ー ト ア イ コ ン (
ク し ます。
[Alert Name] 列のア
ア ン チウ ィ ルス ア イ コ ン (
し ます。
Proventia® Network Multi-Function Security Appliance User Guide
) をクリ ッ
) をクリ ッ ク
305
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
イ ベン ト ログの操作
は じ めに
こ の ト ピ ッ ク は、 イ ベン ト ロ グの操作方法について説明 し ます。
イ ベン ト ログの操作
イ ベン ト ロ グ を操作する には、 [Alert Event Log] ページで次のいずれかを行い ます。
操作
手順
ログ を更新する
[Refresh Data] リ ス ト から オプ シ ョ ン を選択 し ます。
1. [Filter Options] リ ス ト から オプ シ ョ ン を選択 し ます。
ログ を フ ィ ル タ リ ングする
2. 表示 さ れた フ ィ ール ド で、 フ ィ ル タ の基準を入力または選択
し 、 [Go] を ク リ ッ ク し ます。
フ ィ ル タ を削除する
[Filter Off] を選択 し 、 [Go] を ク リ ッ ク し ます。
ログ を検索する
26 文字のア ラ ー ト ID 番号を入力 し 、 [Go] を ク リ ッ ク し ます。
参照 : ア ラ ー ト ID 番号は、 機能名ご と に この章に記載 さ れてい
ます。 詳細については、 次の ト ピ ッ ク を参照 し て く だ さ い。
•
「ア ン チスパム イ ベン ト 」 (310 ページ )
•
「ア ン チウ ィ ルス イ ベン ト 」 (310 ページ )
•
「フ ァ イ アウ ォ ール イ ベン ト 」 (311 ページ )
•
「不正侵入防御イ ベン ト 」 (317 ページ )
•
「統計イ ベン ト 」 (318 ページ )
•
「シス テム イ ベン ト 」 (318 ページ )
•
「ア ッ プデー ト イ ベン ト 」 (319 ページ )
•
「Web フ ィ ル タ イ ベン ト 」 (319 ページ )
ヒ ン ト : アス タ リ ス ク (*) はワ イル ド カ ー ド 検索で使用可能です。
詳細については、 この ト ピ ッ クの 「ワ イル ド カ ー ド 検索」 を参照
し て く だ さ い。
ログ フ ァ イルを保存する
[Generate new log file from Alerts] を ク リ ッ ク し ます。
現在のログ フ ァ イルは、 3 つのカ ン マ区切 り 値フ ァ イル (.csv) と
し て保存 さ れます。 この 3 つの フ ァ イルは、 [Alerts] 内に表示 さ
れたデー タ を相互参照する ために使用 さ れます。 フ ァ イルは次の
と お り です。
ログ を消去する
•
「 フ ァ イ ル名 _eventdata.csv」 には、 ア ラ ー ト レ コ ー
ド 番号 と 一致する個別レ コ ー ド が含まれます。 この フ ァ イル
には、 イ ベン ト 名 と 危険度 も含まれます。
•
「 フ ァ イ ル名 _eventinfo.csv」 には、 ア ラ ー ト のイ ベ
ン ト 固有情報のセ ク シ ョ ンに挙げ られたデー タ が含まれます。
•
「 フ ァ イ ル名 _eventresp.csv」 には、 ア ラ ー ト の実行
し た レ スポン スのセ ク シ ョ ンに含まれるデー タ が含まれます。
[Clear Current Alerts] を ク リ ッ ク し 、 [OK] を ク リ ッ ク し ます。
ヒ ン ト : ログを消去する前に、 保管用コ ピーを保存する こ と がで
き ます。 保存 さ れた コ ピーは、 法的な目的に役立ち ます。
306
イ ベ ン ト ロ グの操作
操作
手順
1. [View/Manage Log Files] を ク リ ッ ク し ます。
ログ フ ァ イルを ダウン ロー
ド する
2. ダウン ロー ド する フ ァ イルを選択 し 、 [Download] を ク リ ッ
ク し ます。
3. [Save the file to disk] を選択 し 、 [OK] を ク リ ッ ク し ます。
4. [File Name] に フ ァ イル名を入力 し 、 [Save] を ク リ ッ ク し ま
す。
注記 : こ の手順は、 ア プ ラ イ ア ン スから ログ フ ァ イルを削除 し ま
せん。
ログ フ ァ イルを削除する
ワ イル ド カ ー ド 検索
[View/Manage Log Files] ク リ ッ ク し 、 次のいずれかを行いま
す。
•
フ ァ イルを選択 し 、 [Delete] を ク リ ッ ク し 、 [OK] を ク リ ッ ク
し ます。
•
[Delete All] を ク リ ッ ク し ます。
ア ス タ リ ス ク ワ イ ル ド カー ド 文字 (*) を使用 し て、 ア ラ ー ト イ ベン ト ロ グの次の フ ィ ール ド を検
索す る こ と がで き ます。
●
Alert Name
●
Source IP Address
●
Destination IP Address
例
次の表では、 ワ イ ル ド カー ド 検索例の結果を示 し ます。
検索
結果
129*( 発信元ア ド レ スの場
129 で始ま る発信元 IP ア ド レ スのア ラ ー ト がすべて表示 さ れま
す。
合)
*129 ( 宛先ア ド レ スの場合 129 で終わる宛先 IP ア ド レ スのア ラ ー ト がすべて表示 さ れます。
)
*129* ( 発信元ア ド レ スの
129 を含む発信元 IP ア ド レ スのア ラ ー ト がすべて表示 さ れます。
場合 )
Firewall* ( ア ラ ー ト 名
の場合 )
「Firewall」 で始ま る名前の付いたア ラ ー ト がすべて表示 さ れま
す。
表 90: ワ イル ド カ ー ド 検索の例
ログのフ ィ ル タ リ ング
ロ グ フ ァ イ ルを フ ィ ル タ リ ン グする には、 [System Log] ページで次のいずれか を行い ます。
次を フ ィ ル タ リ ングする場合 手順
Risk Level ( 危険度 )
危険度を選択 し 、 [Go] を ク リ ッ ク し ます。
Alert Name ( ア ラ ー ト 名 )
ア ラ ー ト 名を入力 し 、 [Go] を ク リ ッ ク し ます。
表 91: フ ィ ル タ オプシ ョ ン
Proventia® Network Multi-Function Security Appliance User Guide
307
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
次を フ ィ ル タ リ ングする場合 手順
Alert Type ( ア ラ ー ト タ イ プ
)
一覧か ら ア ラ ー ト タ イ プ を選択 し 、 [Go] を ク リ ッ ク し ます。
Date and Time ( 日時 )
開始 と 終了の日時を入力 し 、 [Go] を ク リ ッ ク し ます。
参照 : 詳細については、 こ の ト ピ ッ ク の 「フ ィ ル タ オプ シ ョ ン」
を参照 し て く だ さ い。
入力形式 :
•
日付は 「mm/dd/yyyy」 の形式で入力する必要があ り ます。
01/01/2004
•
時刻は 「hh:mm:ss」 の形式で入力する必要があ り ます。
14:25:00
開始日または終了日を省略する こ と がで き ますが、 2 つの う ち少
な く と も 1 つの フ ィ ール ド には値を入力する必要があ り ます。
[Start Date and Time] フ ィ ール ド の日時を省略する と 、 ア プ ラ イ
ア ン スは この値を 「00:00:00」 と 解釈 し ます。 [End Date and
Time] フ ィ ール ド の日時を省略する と 、 ア プ ラ イ ア ン スは この値
を 「23:59:59」 と 解釈 し ます。
Source IP ( 発信元 IP)
イ ベン ト の発信元 IP ア ド レ ス を入力 し 、 [Go] を ク リ ッ ク し ま
す。
Destination IP ( 宛先 IP)
イ ベン ト の宛先 IP ア ド レ ス を入力 し 、 [Go] を ク リ ッ ク し ます。
Source and Destination IP (
発信元 と 宛先の IP)
イ ベン ト の発信元 と 宛先の IP ア ド レ ス を入力 し 、 [Go] を ク リ ッ
ク し ます。
Source Port Number ( 発信元
のポー ト 番号 )
イ ベン ト の発信元のポー ト 番号を入力 し 、 [Go] を ク リ ッ ク し ま
す。
Destination Port Number ( 宛
先のポー ト 番号 )
イ ベン ト の宛先のポー ト 番号を入力 し 、 [Go] を ク リ ッ ク し ます。
Protocol Number ( プ ロ ト コ
ル番号 )
イ ベン ト のプ ロ ト コル番号を入力 し 、 [Go] を ク リ ッ ク し ます。
Multiple Values ( 複数の値 )
一部またはすべての フ ィ ール ド で値を入力または選択 し 、 [Go]
を ク リ ッ ク し ます。
フ ィ ル タ オプ シ ョ ン ご と に 1 つの フ ィ ール ド が表示 さ れます。
特定のイ ベン ト を検出するには、 検索内容に含める各 フ ィ ール ド
値がイ ベン ト と 一致 し ている必要があ り ます。
表 91: フ ィ ル タ オプシ ョ ン ( 続き )
308
イ ベ ン ト ロ グの操作
フ ィ ル タ オプ シ ョ ン
次の表では、 ア ラ ー ト タ イ プのフ ィ ル タ オプシ ョ ンについて説明 し ます。
アラー ト タ イプ
含まれる メ ッ セージ
All Firewall
•
System Messages ( シ ス テム メ ッ セージ ) - 以前の Resource
Errors。 フ ァ イ アウ ォ ールまたはフ ァ イ アウ ォ ールを通過する ト ラ
フ ィ ッ ク に関 し て発生 し たエ ラ ーが、 ログ フ ァ イルに書き込まれ
ます。
•
Deny Rule Messages ( 拒否ルールに関する メ ッ セージ ) - ログの
有効にな っ た拒否ルールがフ ァ イ アウ ォ ール ポ リ シー内にあ り 、
こ のルールによ っ て ト ラ フ ィ ッ ク がブ ロ ッ ク さ れた場合に、 イ ベ
ン ト がログ フ ァ イルに書き込まれます。
•
Allow Rule Messages ( 許可ルールに関する メ ッ セージ ) - ロ グの
有効にな っ た許可ルールがフ ァ イ アウ ォ ール ポ リ シー内にあ り 、
こ のルールによ っ て ト ラ フ ィ ッ ク が受容 さ れた場合に、 イ ベン ト
がログ フ ァ イルに書き込まれます。
•
Rule Not Found Messages ( ルールが見つから ない場合の メ ッ
セージ ) - パケ ッ ト がネ ッ ト ワー ク を通っ て来て、 一致する フ ァ イ
アウ ォ ール ポ リ シー ルールがないために中断 さ れた場合、 イ ベン
ト がログ フ ァ イルに書き込まれます。
•
Configuration Changes ( 設定変更 ) - フ ァ イ アウ ォ ール ルール、
リ ス ト 、 またはその他設定可能な フ ァ イ アウ ォ ール設定が変更 さ
れた場合、 イ ベン ト がログ フ ァ イルに書き込まれます。
注記 : イ ベン ト は、 どのユーザーが変更を行っ たかについては指摘
し ません。
Firewall Rule
Firewall Alerts
Firewall General
•
Access Statistics ( ア ク セス統計値 ) - 現在のネ ッ ト ワー ク ア ク
テ ィ ビ テ ィ を説明する ログ項目が、 定期的に書き込まれます。
•
VPN Messages (VPN に関する メ ッ セージ ) - ユーザーが IPSEC
ポ リ シーまたは手動 IPSEC ポ リ シーのいずれかを通 じ てネ ッ ト
ワー ク にア ク セスする たびに、 イ ベン ト がログ フ ァ イルに書き込
まれます。
•
DNS and ICMP Messages (DNS と ICMP に関する メ ッ セージ ) すべての DNS 照会および応答の メ ッ セージについて、 イ ベン ト が
ログ フ ァ イルに書き込まれます。
•
Allow Rule
•
Deny Rule
•
Syn フ ラ ッ ド
•
Ping of Death
•
IP ス プー フ ィ ン グ
•
無効なパケ ッ ト
•
一般的な攻撃
•
リ ソ ース エ ラ ー
•
VPN に関する メ ッ セージ
Antivirus
ア ン チウ ィ ルス イ ベン ト に関する メ ッ セージ
Antispam
•
スパムである と タ グ付け さ れた メ ールのみを記録する
•
すべての メ ールを記録する
表 92: ア ラ ー ト タ イ プのフ ィ ル タ オプ シ ョ ン
Proventia® Network Multi-Function Security Appliance User Guide
309
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
アラー ト タ イプ
含まれる メ ッ セージ
Web Filter
•
ブ ロ ッ ク 済みの Web ページ要求
•
すべての Web ページ要求
•
ブ ロ ッ ク さ れた攻撃 / 監査
•
ブ ロ ッ ク さ れなかっ た攻撃
•
ブ ロ ッ ク さ れなかっ た監査
•
一般的な イ ベン ト ( 隔離ルールおよびパケ ッ ト の ド ロ ッ プ )
•
シス テム エ ラ ー
•
シス テム警告
•
シス テム通知
Intrusion Prevention
System
表 92: ア ラ ー ト タ イ プのフ ィ ル タ オプ シ ョ ン ( 続き )
ア ン チスパム イ ベン ト
表 93 では、 ア ンチ スパム イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
6000000
ASM_Spam_Detected
Email is classified as spam
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
6000001
ASM_Email_Received
Email received
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
表 93: ア ン チスパム イ ベン ト
ア ン チウ ィ ルス イ ベン
ト
表 94 では、 ア ンチ ウ ィ ルス イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
2000000
Specific_Virus_Flood
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
2000001
Local_Client_Virus_Flood
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
2000002
Local_Client_Sent_Virus
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
2000003
Virus_Found_In_Encapsulating_
Object
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
2000004
Virus_Found_In_File
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
2000007
AVM_Internal_Error
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
表 94: ア ン チウ ィ ルス イ ベン ト
310
イ ベ ン ト ロ グの操作
フ ァ イ アウ ォ ール イ ベ
ント
表 95 では、 発生す る 可能性のあ る フ ァ イ ア ウ ォール イ ベン ト と 、 各 イ ベン ト に関連付け ら れた
メ ッ セージ を示 し ます。
ID
イ ベン ト 名
3000012 Firewall_Resource_Error
メ ッ セージ
パケ ッ ト
Ceiling for number of connections reached,
dropping packet
ドロップ
Ceiling for number of connections to the
device, dropping packet
Memory allocation for connection failed,
dropping packet
Unable to send syn packet
Send final ACK to target failed
Attempt to release incorrect TCP nat port
Attempt to release incorrect UDP nat port
Attempt to release incorrect ICMP nat port
Traffic Police module Init function failed
(module not present)
Traffic Shaping module Init function failed
(module not present)
Unable to get PortMap for NAT %lx:%ld
Proto %u
Unable to free Unknown Protocol NAT port
for %lx:%ld
Unable to free TCP NAT port for%lx:%ld
Unable to free UDP NAT port for%lx:%ld
Unable to free ICMP NAT port for%lx:%ld
Unable to free GRE NAT port for%lx:%ld
Unable to free Unknown Protocol NAT port
for%lx:%ld
Aol ALG Alloc Entry Failed!
Dns Alloc Entry Failed!
Dropping DNS request as memory allocation
failed
Dmy ALG Alloc Entry Failed!
Invalid FTP PASV cmd reply seen, dropping
packet
FTP Get port failed
Invalid FTP PASV cmd reply seen, dropping
packet
FTP PASV cmd response came without
request, dropping packet
FTP ALG Alloc Entry Failed!
H.323:Registration Failed because
InitPerBuffers Failed
H.323: Unable to get Nat port
表 95: フ ァ イ アウ ォ ール イ ベン ト
Proventia® Network Multi-Function Security Appliance User Guide
311
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
ID
イ ベン ト 名
メ ッ セージ
パケ ッ ト
300012
Firewall_Resource_Error
H.323:Failed to Allocate memory for
H323_H245 Connection
ドロップ
H.323:Failed to make H323_H245
Connection
H.323:Failed to Create memory for
pH323_RtpRtcp
H.323:Failed to Create memory for
pH323_T120
H.323:Failed to make connection for
H323T120
H.323:Failed to make connection for
H323RtpRtcp
H.323:Failed to Allocate Memory for
H323GK ALG Alloc Entry Failed!
Ils ALG Alloc Entry Failed!
IRC:Failed to allocate memory for IRC
connection
IRC:No of Messages are more than
MAX_IRC_REQUESTS
IRC:Size of Message is more than
MAX_IRCSIZE
IRC:Something wrong%d
IRC:Something gone wrong in Notice
Message
IRC:Unable to Allocate memory for IRCData
IRC:Unable to allocate create dynamic
association for IRC
IRC:Unable to create IGWbuf for IRC
Msn ALG Alloc Entry Failed!
N2P ALG Alloc Entry Failed!
N2PE ALG Alloc Entry Failed!
Pptp Alloc Entry Failed!
Rpc Alloc Entry Failed!
RPC Program Number%lu denied
Stored RPC transaction Id doesn't match
server response, dropping packet
RPC Server's response is undecipherable,
dropping packet
RTSP:Failed to allocate memory for RTSP
connection
RTSP:Failed to allocate IGWbuf for RTSP
connection
RTSP:Failed to NatPort for RTSP connection
RTSP:Failed to Create RTSP Data
connection
表 95: フ ァ イ アウ ォ ール イ ベン ト ( 続き )
312
イ ベ ン ト ロ グの操作
ID
イ ベン ト 名
3000012 Firewall_Resource_Error
メ ッ セージ
パケ ッ ト
Sql ALG Alloc Entry Failed!
ドロップ
Tftp ALG Alloc Entry Failed!
ALGSipInit::Could Not allocate Ctrl Info
ALGSipInit::Failed to set app process
ALGSipInit::Failed to set app process
ALGSipProcess::Unsupported SIP message
ALGSipProcess::ALGSipMangleMessage
returned error
ALGSipProcess::Failed to allocate new
buffer
ALGSipMangleMessage::Failed to create
association for RTP.
ALGSipMangleMessage::Failed to create
association for RTP.
ALGSipProcess::Failed to Allocate CtrlInfo
ALGSipProcess::Failed to create association
Memory allocation for AppRegister failed.
ICMP Type: %u Code: %u Memory allocation
failed, dropping packet
Unable to get PortMap for NAT %lx:%ld
Proto %u
Unable to get PortMap for NAT %lx:%ld
Proto %u
Unable to get PortMap for NAT %lx:%ld
Proto %u
Unable to allocate memory for NAT portmap
(%lx->%lx)
ADAlgRegisterNatPorts:Some ports in the
specified Range already Registered
AlgId %d Protocol %d StartPort %ld EndPort
%ld
ADAlgRegisterNatPorts: Unable to get
memory
ADAlgRegisterNatPorts:Invalid Range
StartPort %ld EndPort %ld
ADAlgRegisterNatPorts:Trying to register
twice. AlgId %d Protocol %d
Attempt to de-register port map for
unavailable NIP %lx-%lx
Something went wrong in function
ADLDelNatPort
Unable to get PortMap for NAT %lx Proto %d
表 95: フ ァ イ アウ ォ ール イ ベン ト ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
313
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
ID
イ ベン ト 名
3000012 Firewall_Resource_Error
メ ッ セージ
パケ ッ ト
Attempt to Access Blocked NEWS Group %s
ドロップ
Attempt to contact ProxyServer, dropping
packet
HTTP request exceed the buffer limit of URL
keyword filtering
Denyed key-word \"%s\" found in the URL
Memory allocation failed URL filtering,
closing the connection
Invalid HTTP request, closing the connection
3000004 Firewall_Syn_Flood
Crossed 80% of resource. Possible flooding
(TCP)
許可
3000007 Firewall_IP_Spoofing
Spoofing detected, dropping packet
ドロップ
3000010 Firewall_Rule_Not_Found
Security policy unavailable for access policy,
dropping packet
ドロップ
Access Policy not found, dropping packet
3000011 Firewall_Allow_Rule
Service access request successful
許可
3000008 Firewall_Deny_Rule
Deny access policy matched, dropping
packet
ドロップ
Access policy referred on deny timerange,
dropping packet
3000013 Firewall_Access_Statistics
Connection terminated/closed/timed out.
Bytes transferred : %lu
表 95: フ ァ イ アウ ォ ール イ ベン ト ( 続き )
314
該当な し
イ ベ ン ト ロ グの操作
ID
イ ベン ト 名
3000006 Firewall_General_Attack
メ ッ セージ
パケ ッ ト
Possible Land attack detected, dropping
packet
ドロップ
Unable to find route for source, dropping
packet
Source IP is a broadcast address, dropping
packet
Unable to determine route to destination,
dropping packet
TCP connection request received is invalid,
dropping packet
Invalid ack value received for connection,
dropping packet
UDP echo response received for uninitiated
echo request (Possible smurf attack),
dropping packet
Echo response for uninitiated echo request
(Possible Smurf Attack), dropping packet
General attack detected, dropping packet
(not used currently)
IP header length is less then the minimum
length
Packet without any data received
Packet with Short TCP Header length
detected,packet dropped
Dropping packet due to length problem in
TCP
TCP Null Scan attack detected
Packet with Short UDP Header length
detected, packet dropped
Dropping packet because of invalid length in
UDP
Packet with Short ICMP length detected,
packet dropped
Dropping ICMP packet of type %d (unknown
type)
Post Connection SYN attack detected
Security Policy configured but plain pkt
received, dropping packet
Rate-Limiting: Max Conn Rate reached, new
conns will not be formed
Rate-Limiting: Max Conn Limit reached, new
conns will not be formed
Data packet received after reset, dropping
packet
Blind Spoofing attack detected
Zero bytes transferred for connection (nonICMP)
Zero bytes transferred for connection (ICMP)
表 95: フ ァ イ アウ ォ ール イ ベン ト ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
315
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
ID
イ ベン ト 名
3000006 Firewall_General_Attack
メ ッ セージ
パケ ッ ト
Data connection not established from remote
ドロップ
Received Invalid DNS reply with ID: %u
FTP Bounce attack detected dropping packet
MIME Header Length Exceeded the
Maximum Limit in the HTTP Request
Maximun number of MIME Header in the
HTTP nequesyt exceeded
Rate-Limiting: Maximum Packet Rate
reached, dropping the packet
Rate-Limiting: Maximum Bandwidth
Reached, dropping the packet
Packet with sequence number out of range
detected, dropping packet
Invalid sequence number received with
Reset, dropping packet
ICMP Type: %u Code: %u, Received
duplicate sequence number: %u
ICMP Type: %u Code: %u Echo response
received for unknown sequence number %u,
dropping packet
Packet header length is less than expected,
dropping packet
Received packet is too small to yank IP
header, dropping packet
Checksum error, dropping packet
Packet without any data received, packet
dropped
Zero data length IP fragment detected,
dropping fragment
Length in IP Header > Data length. Possible
JOLT attack
Fragment of size less than configured
minimum fragment size detected
Fragment of size less than configured
minimum fragment size detected
Reassembly is currently disabled
IpReassembly Fragment count exceeds max
limit
IpReassembly last Fragment length changed
IP Reassembly : Overlapped IP fragment
received, Dropping Fragment
IP Reassembly : Overlapped IP fragment
received
IpReassembly Datagram size exceeds max
limit
IpReassembly time out
Icmp error message received for uninitiated
connection
ICMP error message contains less data than
expected (Possible attack)
Dropping ICMP error packet to external n/w
Dropping ICMP error packet
316
イ ベ ン ト ロ グの操作
ID
イ ベン ト 名
3000014 Firewall_DNS_and_ICMP
メ ッ セージ
パケ ッ ト
Received DNS request with ID: %u
許可
Received DNS reply with ID: %u
ICMP Type: %u Code: %u Sequence
number: %u received
3000015 Firewall_VPN
IKE Init Cookie: %s & Resp Cookie: %s
Deleting the IsakmpSA
許可
IKE Init Cookie: %s & Resp Cookie: %s IKE
phase-II msg not received after retries
IKE Init Cookie: %s & Resp Cookie: %s IKE
start phase-I success
IKE Init Cookie: %s & Resp Cookie: %s
Quick Mode completed of msg ID %s
IKE Init Cookie: %s & Resp Cookie: %s
Sending a Delete payload for phase-I
IKE Init Cookie: %s & Resp Cookie: %s
Sending a Delete payload for phase-II
IKE Init Cookie: %s & Resp Cookie: %s
Started phase-I negotiation
IKE Init Cookie: %s & Resp Cookie: %s
Started Quick Mode of Msg ID %s
3000016 Firewall_Configuration_
Change
Access policy with Rule id: %d has been
added
該当な し
Access policy with Rule id %d has been
deleted
Configuration for box access has been
modified
Configuration for firewall attacks has been
modified
Max association limits for different networks
has been modified
3000005 Firewall_Ping_of_Death
Ping of Death attack detected (protocol is
ICMP)
ドロップ
Jolt attack detected (protocol is not ICMP)
表 95: フ ァ イ アウ ォ ール イ ベン ト ( 続き )
不正侵入防御イ ベン ト
表 96 では、 不正侵入防御 イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
4000000
IPM_Dynamic_Rule_Added
メ ッ セージ詳細については、 イ ベン ト を参
照 し て く だ さ い。
4000001
IPM_Dynamic_Rule_Removed
メ ッ セージ詳細については、 イ ベン ト を参
照 し て く だ さ い。
4000002
IPM_Dynamic_Table_Cleared
メ ッ セージ詳細については、 イ ベン ト を参
照 し て く だ さ い。
表 96: 不正侵入防御イ ベン ト
Proventia® Network Multi-Function Security Appliance User Guide
317
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
イシュー
ID
イ ベン ト 名
メ ッ セージ
4000003
IPM_Dynamic_Rule_Expired
メ ッ セージ詳細については、 イ ベン ト を参
照 し て く だ さ い。
4000004
IPM_Packet_Dropped
メ ッ セージ詳細については、 イ ベン ト を参
照 し て く だ さ い。
4000005
IPM_Internal_Error
IPM Internal Error. Contact ISS Technical
Support.
表 96: 不正侵入防御イ ベン ト ( 続き )
統計イ ベン ト
表 99 では、 統計 イ ベン ト を示 し ます。
イ シ ュ ー ID
イ ベン ト 名
メ ッ セージ
4000012
IPS_Stats
Intrusion prevention statistics summary
メ ッ セージ詳細については、 イ ベ ン ト を
参照 し て く だ さ い。
3000017
FWM_Stats
Firewall statistics summary
メ ッ セージ詳細については、 イ ベ ン ト を
参照 し て く だ さ い。
2000005
AVM_Stats
Antivirus statistics summary
メ ッ セージ詳細については、 イ ベ ン ト を
参照 し て く だ さ い。
6000002
ASM_Stats
Antispam statistics summary
メ ッ セージ詳細については、 イ ベ ン ト を
参照 し て く だ さ い。
5000003
WFM_Stats
Web filter statistics summary
メ ッ セージ詳細については、 イ ベ ン ト を
参照 し て く だ さ い。
表 97: 統計イ ベン ト
シス テム イ ベン ト
表 98 では、 シ ス テ ム イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
1000000
System_Info
The appliance is now restarted. You may access it
using Proventia Manager.
There are updates available to be installed.
There are updates available to be downloaded.
1000001
System_Warning
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ
さ い。
1000002
System_Error
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ
さ い。
1000003
System_Failed_Login
Failed login detected,srcip=%s,service=%s,username=%s
表 98: シス テム イ ベン ト
318
イ ベ ン ト ロ グの操作
イシュー
ID
イ ベン ト 名
メ ッ セージ
1000004
System_Successful_Login
Successful login detected,srcip=%s,service=%s,username=%s
表 98: シス テム イ ベン ト ( 続き )
ア ッ プデー ト イ ベン ト
表 99 では、 ア ッ プデー ト イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
7000000
Update_Available
Updates are available for security (Antivirus or Intrusion
Prevention), firmware and/or the Web Filter and Antispam
Database.
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ さ い。
7000001
Update_Installation
Installations have occurred for security (Antivirus or Intrusion
Prevention) updates or firmware updates.
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ さ い。
7000002
Update_Uninstall
A security update (Antivirus or Intrusion Prevention) has been
uninstalled.
注記 : フ ァ ームウ ェ ア またはデー タ ベースのア ッ プデー ト を ア
ン イ ン ス ト ールあるいはロールバ ッ ク する こ と はで き ません。
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ さ い。
7000003
Update_Error
An error has occurred related to the update process.
メ ッ セージ詳細については、 イ ベン ト を参照 し て く だ さ い。
表 99: ア ッ プデー ト イ ベン ト
Web フ ィ ル タ イ ベン ト
表 100 では、 Web フ ィ ル タ イ ベン ト を示 し ます。
イシュー
ID
イ ベン ト 名
メ ッ セージ
5000000
WFM_URL_Blocked
Requested URL matched a blocked category
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
5000001
WFM_URL_Requested
URL request received
メ ッ セージ詳細については、 イ ベン ト を参照 し
て く だ さ い。
表 100: Web フ ィ ル タ イ ベン ト
Proventia® Network Multi-Function Security Appliance User Guide
319
第 19 章 : イ ベ ン ト 、 ロ グ、 お よびス テー タ スの監視
320
®
付録
付録 A
高度なパラ メ ー タ
概要
は じ めに
こ の付録では、 アプ ラ イ ア ン ス の高度なパ ラ メ ー タ について説明 し ます。
こ の付録の内容
こ の付録では、 次の ト ピ ッ ク について説明 し ます。
トピック
ページ
高度なパラ メ ー タ の概要
324
ア ン チスパムの高度なパラ メ ー タ
326
ア ン チウ ィ ルスの高度なパラ メ ー タ
327
自動ア ッ プデー ト の高度なパラ メ ー タ
341
デー タ ベースの高度なパラ メ ー タ
343
DHCP の高度なパラ メ ー タ
344
イ ベン ト 通知の高度なパラ メ ー タ
345
フ ァ イ アウ ォ ール と VPN の高度なパラ メ ー タ
347
ハイ アベ イ ラ ビ リ テ ィ の高度なパラ メ ー タ
351
不正侵入防御の高度なパラ メ ー タ の設定
352
不正侵入防御のブ ロ ッ ク ルール キーワー ド
360
不正侵入防御の防御レ スポン ス キーワー ド
362
ステー タ ス サマ リ の高度なパラ メ ー タ
364
Web フ ィ ル タ の高度なパラ メ ー タ
365
Proventia® Network Multi-Function Security Appliance User Guide
323
付録 A: 高度なパ ラ メ ー タ
高度なパラ メ ー タ の概要
は じ めに
高度なパ ラ メ ー タ は、 アプ ラ イ ア ン ス の動作を さ ら に制御 し ます。 高度なパ ラ メ ー タ は名前 と 値の
ペア を含んでい ます。 各ペアには、 デフ ォ ル ト 値が設定 さ れてい ます。 こ の値を要件に合 う よ う に
変更す る こ と がで き ます。 こ の値は、 次のいずれかです。
●
Boolean ( ブー リ ア ン )
●
Number ( 数値 )
●
String ( 文字列 )
注記 : Proventia Manager は、 1 つの機能に対 し て最 も 一般的に使用 さ れ る 高度なパ ラ メ ー タ のみを
表示 し ます。 他のパ ラ メ ー タ は使用可能ですが、 表示 さ れません。
高度なパラ メ ー タ の
操作
高度なパ ラ メ ー タ を追加、 編集、 コ ピー、 ま たは削除す る には :
注記 : こ の手順は、 すべての コ ン ポーネ ン ト お よ び機能で同一です。
1. ナビ ゲーシ ョ ン ウ ィ ン ド ウ で、 次のいずれかを行い ます。
次のパラ メ ー タ を設定する場合
手順
Antispam
[Configuration] → [Antispam]
Antivirus
[Configuration] → [Antivirus]
Firewall
[Configuration] → [Firewall]
Intrusion Prevention
[Configuration] → [Intrusion Prevention]
Web Filter
[Configuration] → [Web Filter]
Updates
[Maintenance] → [Updates] → [Automatic
Settings]
Filter database
[Maintenance] → [Filter DB]
DHCP
[Configuration] → [System] → [DHCP]
Event Notification (System)
[Configuration] → [System] → [Notification]
VPN
[VPN]
High Availability
[Configuration] → [System] → [High
Availability]
2. [Advanced Parameters] タ ブを選択 し 、 次のいずれかを行い ます。
操作
パラ メ ー タ を追加する
手順
1. [Add] ア イ コ ン を ク リ ッ ク し ます。
2. [Name] フ ィ ール ド にパラ メ ー タ 名を入力 し ます。
3. [Description] フ ィ ール ド に説明を入力 し ます。
4. [Value] セ ク シ ョ ン で、 値の種類 と 値を指定 し ます。
5. [OK] を ク リ ッ ク し ます。
パラ メ ー タ を編集する
1. パラ メ ー タ を選択 し 、 [Edit] ア イ コ ン を ク リ ッ ク し ます。
2. パラ メ ー タ を編集 し 、 [OK] を ク リ ッ ク し ます。
324
高度なパ ラ メ ー タ の概要
操作
パラ メ ー タ を コ ピーする
手順
1. 高度なパラ メ ー タ を選択 し 、 [Copy] ア イ コ ン (
ク し ます。
2. [Paste] ア イ コ ン (
) をク リ ッ
) を ク リ ッ ク し ます。
3. 必要に応 じ てパラ メ ー タ を編集 し 、 [OK] を ク リ ッ ク し ます。
パラ メ ー タ を削除する
高度なパラ メ ー タ を選択 し 、 [Remove] ア イ コ ン を ク リ ッ ク し ま
す。
3. 変更内容を保存 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
325
付録 A: 高度なパ ラ メ ー タ
ア ン チスパムの高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス のア ンチ スパム調整パ ラ メ ー タ について
説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 次の表では、 ア ンチ スパムの高度な調整パ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の
種類 / 値
デ フ ォル
ト値
説明
asm.mailfilter.
config.log_level
Numeric
1
このパ ラ メ ー タ を使用 し て、 よ り 高い詳
細度 (3 または 4) で ロギングを設定 し ま
す。 パ ラ メ ー タ を入力 し 、 [Value] セ ク
シ ョ ンの [Number] フ ィ ール ド に数値を
入力 し ます。
この設定は、 [Event Notification] タ ブの
設定よ り も 詳細な ロギングを提供 し ま
す。
[Enable Event Logging] チ ェ ッ ク ボ ッ
ク スは、 デ フ ォル ト ではオ フ にな っ てい
ます。 この状態でのログ イ ング レベルは
0 です。
[Enable Event Logging] チ ェ ッ ク ボ ッ
ク ス を オ ンにする と 、 [Log Only Email
Tagged As Spam] も デ フ ォル ト でオ ン
にな り ます。 こ の場合のロギング レベル
は 1 です。
[Log All Email] を オ ンに し た場合、 ロギ
ング レベルは 2 です。
asm.scanner.scannerd.
max_spam_scan_size
Numeric
50*1024
このパ ラ メ ー タ を使用 し て、 スパム ス
キ ャ ンの規模を制限 し ます。
asm.mailfilter.
tuning.check_chinese
Numeric
1
漢字に対する ヒ ュ ー リ ス テ ィ ッ ク チ ェ ッ
ク を無効に し ます。
0 = オ フ ( ヒ ュ ー リ ステ ィ ッ ク チ ェ ッ ク
は無効 )
1 = オ ン ( ヒ ュ ー リ ステ ィ ッ ク チ ェ ッ ク
は有効 )
注記 : 漢字の メ ールは、 別のチ ェ ッ ク に
よ っ てスパム と し て タ グ付け さ れる可能
性があ り ます。
表 101: ア ン チスパムの高度なパラ メ ー タ
326
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス のア ンチ ウ ィ ルス調整パ ラ メ ー タ につい
て説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
フ ァ ームウ ェ ア バー
ジ ョ ン 2.x から 移行 さ れ
る調整パラ メ ー タ
ア ンチ ウ ィ ルス ソ フ ト ウ ェ アでは、 2 つのエン ジ ン を使用 し て アプ ラ イ ア ン ス を防御 し ます。
●
ウ ィ ルス定義 ( シ グネチ ャ ) を使っ て ウ ィ ルス を検出す る シ グ ネチ ャ エン ジ ン
●
ウ ィ ルス シ グ ネチ ャ のア ッ プデー ト 前に新規お よ び未知の ウ ィ ルスやワ ーム を特定する 、 動
作分析を利用 し た ウ ィ ルス予防シ ス テ ム (Virus Prevention System: VPS) エン ジ ン
重要 : フ ァ ーム ウ ェ ア リ リ ース 3.x では、 ウ ィ ルス定義 ( シ グネチ ャ ) を使用 し て ウ ィ ルス を検出
す る シグ ネチ ャ エン ジ ンは、 こ れま での ソ フ ト ウ ェ ア バージ ョ ン と は異な る 働 き を し ます。 い く
つかの調整パ ラ メ ー タ は新規であ り 、 パ ラ メ ー タ に よ っ ては以前のバージ ョ ン と は名前が変更 さ れ
ていた り 、 適用外 と な っ てい ます。 ア ンチ ウ ィ ルス設定 と 調整パ ラ メ ー タ を見直 し て、 以前の
フ ァ ーム ウ ェ ア バージ ョ ンか ら 移行 さ れたパ ラ メ ー タ はどれか、 ま たパ ラ メ ー タ を追加ま たは変
更す る 必要はないか ど う かを確認す る 必要があ り ます。
高度なパラ メ ー タ の説明 表 102 では、 ア ンチ ウ ィ ルス コ ンポーネ ン ト の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.ftp.pftpd.
address_transparent
Boolean
True
ルーテ ィ ング モー ド での FTP ア プ リ
ケーシ ョ ン層ゲー ト ウ ェ イの完全透過
性を有効または無効に し ます。
True/False
オプ シ ョ ンは次の と お り です。
•
true ( 完全透過性を有効にする )
•
false ( 完全透過性を無効にする )
注記 : ア ン チウ ィ ルス、 Web フ ィ ル
タ 、 またはア ン チ スパムのモ ジ ュ ール
が有効にな っ ている と き に フ ァ ーム
ウ ェ ア ア ッ プデー ト を ア プ ラ イ ア ン
スに適用する と 、 各パラ メ ー タ のデ
フ ォル ト 値は false ( 無効 ) にな り ま
す。
リ リ ース 2.x でア ン チウ ィ ルス モ
ジ ュ ールが有効にな っ ていない と き に
フ ァ ームウ ェ ア ア ッ プデー ト を ア プ
ラ イ ア ン スに適用する と 、 各パラ メ ー
タ のデ フ ォル ト 値は true ( 有効 ) にな
り ます。
出荷時に リ リ ース 3.x がイ ン ス ト ール
さ れていた新規ア プ ラ イ ア ン ス を使用
し ている場合、 各パラ メ ー タ のデ フ ォ
ル ト 値は true ( 有効 ) にな り ます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
327
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.ftp.pftpd.
enable_get_leak
Boolean,
False
フ ァ イルのダウン ロー ド プ ロ セス中
に FTP ク ラ イ ア ン ト が タ イムアウ ト
し ないよ う に、 バイ ト リ ー ク を有効に
し ます。
True / False
FTP ク ラ イ ア ン ト は、 特定の タ イム
アウ ト 期間内にデー タ を受信 し ない と
タ イ ムアウ ト し ます。 こ のパラ メ ー タ
は、 タ イ ムアウ ト を防ぐ ために、 ス
キ ャ ン さ れない少量のデー タ を指定量
送信で き る よ う に し ます。
avm.se.ftp.pftpd.
enable_put_leak
Boolean,
False
True / False
フ ァ イルのア ッ プ ロー ド プ ロ セス中
に FTP サーバーが タ イムアウ ト し な
いよ う に、 バイ ト リ ー ク を有効に し ま
す。
FTP サーバーは、 特定の タ イムアウ
ト 期間内にデー タ を受信 し ない と タ イ
ムアウ ト し ます。 こ のパラ メ ー タ は、
タ イ ムアウ ト を防ぐ ために、 スキ ャ ン
さ れない少量のデー タ を指定量送信で
き る よ う に し ます。
avm.se.ftp.pftpd.
get_leak_interval
Numeric
50
ダウン ロー ド - バイ ト リ ー クの間隔 (
秒単位 )。
avm.se.ftp.pftpd.
idle_timeout
Numeric
300
idle_timeout は、 ト ラ フ ィ ッ クのない
状態で接続が保持 さ れる期間です。 最
小値は 60、 最大値は無制限です。
avm.se.ftp.pftpd.
max_connections
Numeric
500
サポー ト さ れる接続の最大数。 プ ロ セ
スが max_connections に対 し て十分
な容量を割 り 当て ら れない場合、
max_connections は利用可能な容量に
調整 さ れます。 最小値は 2、 最大値は
3000 です。 無効な値が指定 さ れた場
合は、 デ フ ォル ト 値が使用 さ れます。
avm.se.ftp.pftpd.
max_msg_size
Numeric
1GB
max_msg_size は、 PFTPD フ ァ イ ア
ウ ォ ール ALG を通過可能な フ ァ イル
の最大サイ ズです。 最小値は 50,000、
最大値は 20GB です。
avm.se.ftp.pftpd.
max_scan_size
Numeric
1GB
max_scan_size は、 PFTPD フ ァ イ ア
ウ ォ ール ALG を通 じ てスキ ャ ン さ れ
る フ ァ イルの最大サイ ズです。 最小値
は 50,000 バイ ト 、 最大値は 2GB で
す。
avm.se.ftp.pftpd.
put_leak_interval
Numeric
50
ア ッ プ ロー ド バイ ト リ ー ク の間隔 ( 秒
単位 )。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
328
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.ftp.pftpd.
scanner_timeout
Numeric
300
こ のパラ メ ー タ は、 ア ン チウ ィ ルスに
よ る FTP フ ァ イル スキ ャ ンの結果を
待つ時間の長 さ を決定 し ます。 スキ ャ
ンが指定値 ( 秒数 ) よ り 長 く かかる
と 、 スキ ャ ナーが機能 し ていない と 見
な さ れ、 スキ ャ ン プ ロ セスが中止 さ
れます。
avm.se.ftp.pftpd.
slow_streaming_timeout
Numeric
25
slow_streaming_timeout は、 フ ァ イ ア
ウ ォ ール ALG が コ ー ド 150 レ スポン
ス を制御チ ャ ネル上に生成する ま でに
サーバーから フ ァ イルを取得する期間
です。 最小値は 5、 最大値は無制限で
す。
avm.se.ftp.pftpd.
vscan_fail_block
Boolean,
False
こ のパラ メ ー タ は、 スキ ャ ンが失敗 し
た場合に FTP コ ン テ ン ツがブ ロ ッ ク
さ れるかど う かを決定 し ます。
avm.se.http.phttpd.
address_transparent
Boolean
「注記
注記」
注記 を
参照
Layer 3 ( ルーテ ィ ング ) モー ド での
HTTP プ ロ ト コル フ ァ イ アウ ォ ール
ALG の完全透過性を有効または無効
に し ます。
True / False
True/False
オプ シ ョ ンは次の と お り です。
•
true ( 完全透過性を有効にする )
•
false ( 完全透過性を無効にする )
注記 : ア ン チウ ィ ルス、 Web フ ィ ル
タ 、 またはア ン チ スパムのモ ジ ュ ール
が有効にな っ ている と き に フ ァ ーム
ウ ェ ア ア ッ プデー ト を ア プ ラ イ ア ン
スに適用する と 、 各パラ メ ー タ のデ
フ ォル ト 値は false ( 無効 ) にな り ま
す。
リ リ ース 2.x でア ン チウ ィ ルス モ
ジ ュ ールが有効にな っ ていない と き に
フ ァ ームウ ェ ア ア ッ プデー ト を ア プ
ラ イ ア ン スに適用する と 、 各パラ メ ー
タ のデ フ ォル ト 値は true ( 有効 ) にな
り ます。
出荷時に リ リ ース 3.x がイ ン ス ト ール
さ れていた新規ア プ ラ イ ア ン ス を使用
し ている場合、 各パラ メ ー タ のデ フ ォ
ル ト 値は true ( 有効 ) にな り ます。
avm.se.http.phttpd.
allow_nonstandard
_methods
Boolean,
True / False
False
不明な タ イ プの要求 ( 「SOURCE」 な
ど ) がア プ ラ イ ア ン ス を通過するのを
許可 し ます。 標準の要求方式は、
POST、 GET、 HEAD な ど です。 不明
な方式の要求がすべて ALG を通 じ て
正 し く 処理 さ れる と い う 保証はあ り ま
せん。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
329
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.http.phttpd.
allow_range
Boolean,
False
HTTP/ 1.1 要求の範囲を許可 し ます。
avm.se.http.phttpd.
cf_connections
Numeric
20
Web フ ィ ル タ に対する同時接続の数。
パフ ォ ーマ ン スが遅い場合は、 こ のパ
ラ メ ー タ の数値を増や し ます。 最大値
は 100、 デ フ ォル ト 設定は 20 です。
avm.se.http.phttpd.
idle_timeout
Numeric
1800
idle_timeout は、 ト ラ フ ィ ッ クのない
状態で接続がア ク テ ィ ブ な状態を保つ
期間です。 最小値は 60、 最大値は無
制限です。
avm.se.http.phttpd.
max_connections
Numeric
600
サポー ト さ れる接続の最大数。 プ ロ セ
スが max_connections に対 し て十分
な容量を割 り 当て ら れない場合、
max_connections は利用可能な容量に
調整 さ れます。 最小値は 5、 最大値は
2000、 デ フ ォル ト は 600 です。 無効
な値が指定 さ れた場合は、 デ フ ォル ト
値が使用 さ れます。
avm.se.http.phttpd.
max_header_line
Numeric
8000
max_header_line は、 PHTTPD フ ァ
イ アウ ォ ール ALG の通過を許可 さ れ
た 1 つの要求または応答の最大長で
す。 要求または応答中の行数ではあ り
ません。 こ のパラ メ ー タ は、 本文行に
は適用 さ れません。 こ のパラ メ ー タ を
超え る と 、 接続が閉 じ ます。 最小値は
2000、 最大値は 20000 です。
avm.se.http.phttpd.
max_msg_size
Numeric
2GB
max_msg_size は、 PHTTPD フ ァ イ
アウ ォ ール ALG を通過可能な フ ァ イ
ルの最大サイ ズです。 最小値は
50MB、 最大値は無制限です。
avm.se.http.phttpd.
max_scan_size
Numeric
100MB
max_scan_size は、 PHTTPD フ ァ イ
アウ ォ ール ALG を通 じ てスキ ャ ン さ
れる フ ァ イルの最大サイ ズです。 最小
値は 50MB、 最大値は 2GB です。
True / False
こ のパラ メ ー タ を True ( 有効 ) に設定
する と 、 セキ ュ リ テ ィ 上の脆弱点が発
生する場合があ り ます。 こ のパラ メ ー
タ が True である場合はダウン ロー ド
の再開や部分的なダウン ロー ド が許可
さ れ、 ア ン チウ ィ ルス シス テムの
ウ ィ ルス検出機能が制限 さ れます。 し
たがっ て、 ウ ィ ルスが通 り 抜ける危険
性があ り ます。 ア ン チウ ィ ルス モ
ジ ュ ールが有効にな っ ている場合は、
こ のパラ メ ー タ を False に設定する こ
と を お勧め し ます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
330
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.http.phttpd.
max_url_length
Numeric
2000
max_url_length は、 PHTTPD フ ァ イ
アウ ォ ール ALG の通過を許可 さ れた
URL に含まれる文字の最大数です。
こ のパラ メ ー タ を使用する場合の最小
文字数は 1000、 最大文字数は 10000
です。
avm.se.http.phttpd.
scanner_timeout
Numeric
300
こ のパラ メ ー タ は、 ア ン チウ ィ ルスに
よ る HTTP フ ァ イル スキ ャ ンの結果
を待つ時間の長 さ を決定 し ます。 ス
キ ャ ンが指定値 ( 秒数 ) よ り 長 く かか
る と 、 スキ ャ ナーが機能 し ていない と
見な さ れ、 スキ ャ ン プ ロ セスが中止
さ れます。
avm.se.http.phttpd.
slow_streaming_timeout
Numeric
25
こ の タ イ ムアウ ト は、 フ ァ イ アウ ォ ー
ル ALG が受信者にヘ ッ ダー行を渡す
ま でに メ ッ セージ本文を取得する期間
です。 最小値は 5、 最大値は無制限で
す。
avm.se.http.phttpd.
use_allow_list
Boolean,
False
こ の リ ス ト は、 特定の URL か らの特
定のフ ァ イルまたはフ ァ イル タ イ プ
を許可する場合に使用 し ます。
True / False
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
331
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.http.phttpd.
use_extension_list
Boolean,
True
次の拡張子を持つ フ ァ イルを ウ ィ ルス
スキ ャ ンから 除外するかど う かを指定
し ます。
• .nrg
• .aif
True / False
•
.aifc
•
.pbm
•
.aiff
•
.pxc
•
.asc
•
.pgm
•
.au
•
.png
•
.avi
•
.pnm
•
.bmp
•
.ppm
•
.csv
•
.ps
•
.eps
•
.qt
•
.gif
•
.ra
•
.gho
•
.ram
•
.ief
•
.rgb
•
.iso
•
.rm
•
.jpe
•
.rof
•
.jpeg
•
.snd
•
.jpg
•
.tex
•
.kar
•
.texi
•
.latex
•
.texinfo
•
.log
•
.tif
•
.mid
•
.tiff
•
.midi
•
.tsv
•
.mov
•
.txt
•
.movie
•
.wav
•
.mp2
•
.wma
•
.mp3
•
.xbm
•
.mpa
•
.xpm
•
.mpe
•
.xwd
•
.mpeg
設定は次の と お り です。
•
0 - 除外 さ れた フ ァ イルはスキ ャ ン
さ れません。
•
1 - 除外 さ れた フ ァ イルがスキ ャ ン
さ れます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
332
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.http.phttpd.
vscan_fail_block
Boolean
False
こ のパラ メ ー タ は、 スキ ャ ンが失敗 し
た場合に http コ ン テ ン ツがブ ロ ッ ク
さ れるかど う かを決定 し ます。
avm.se.http.phttpd.wf_
bypass
Boolean
False
Web フ ィ ル タ 機能が過負荷にな る と 、
新 し く 受信 し た URL 要求の動作は こ
のパラ メ ー タ の値によ っ て異な り ま
す。 False に設定 さ れている場合、 新
し い要求は URL スキ ャ ンの待ち行列
に入 り ます。 True に設定 さ れている
場合、 新 し く 受信 し た要求は URL ス
キ ャ ン を回避 し ます。
avm.se.pop3.ppop3d.
address_transparent
Boolean
True
Layer 3 ( ルーテ ィ ング ) モー ド での
POP3 プ ロ ト コル フ ァ イ アウ ォ ール
ALG の完全透過性を有効または無効
に し ます。
True/False
True/False
オプ シ ョ ンは次の と お り です。
•
true ( 完全透過性を有効にする )
•
false ( 完全透過性を無効にする )
注記 : ア ン チウ ィ ルス、 Web フ ィ ル
タ 、 またはア ン チ スパムのモ ジ ュ ール
が有効にな っ ている と き に フ ァ ーム
ウ ェ ア ア ッ プデー ト を ア プ ラ イ ア ン
スに適用する と 、 各パラ メ ー タ のデ
フ ォル ト 値は false ( 無効 ) にな り ま
す。
リ リ ース 2.x でア ン チウ ィ ルス モ
ジ ュ ールが有効にな っ ていない と き に
フ ァ ームウ ェ ア ア ッ プデー ト を ア プ
ラ イ ア ン スに適用する と 、 各パラ メ ー
タ のデ フ ォル ト 値は true ( 有効 ) にな
り ます。
出荷時に リ リ ース 3.x がイ ン ス ト ール
さ れていた新規ア プ ラ イ ア ン ス を使用
し ている場合、 各パラ メ ー タ のデ フ ォ
ル ト 値は true ( 有効 ) と な り ます。
avm.se.pop3.ppop3d.
idle_timeout
Numeric
1800
idle_timeout は、 ト ラ フ ィ ッ クのない
状態で接続が保持 さ れる期間です。 最
大値は 60、 最大値はな し 、 デ フ ォル
ト 値は 1800 です。
avm.se.pop3.ppop3d.
max_connections
Numeric
600
サポー ト さ れる接続の最大数。 プ ロ セ
スが max_connections に対 し て十分
な容量を割 り 当て ら れない場合、
max_connections は利用可能な容量に
調整 さ れます。 最小値は 5、 最大値は
2000、 デ フ ォル ト は 600 です。 無効
な値が指定 さ れた場合は、 デ フ ォル ト
値が使用 さ れます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
333
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.pop3.ppop3d.
max_msg_size
Numeric
30MB
max_msg_size は、 ppop3d フ ァ イ ア
ウ ォ ール ALG を通過可能な メ ッ セー
ジの最大サイ ズです。 最小値は 5000、
最大値は 1GB です。
avm.se.pop3.ppop3d.
max_spam_scan_size
Numeric
51200
(50KB)
ア ン チ スパム機能は、 こ のパラ メ ー タ
で指定 し たユーザー定義のサイ ズよ り
も 大き い POP3 メ ールを スキ ャ ン し
ません。
avm.se.pop3.ppop3d.
scanner_timeout
Numeric
300
こ のパラ メ ー タ は、 ア ン チウ ィ ルスに
よ る pop3 フ ァ イル スキ ャ ンの結果を
待つ時間の長 さ を決定 し ます。 スキ ャ
ンが指定値 ( 秒数 ) よ り 長 く かかる
と 、 スキ ャ ナーが機能 し ていない と 見
な さ れ、 スキ ャ ン プ ロ セスが中止 さ
れます。
avm.se.pop3.ppop3d.
slow_streaming_timeout
Numeric
25
slow_streaming_timeout は、 フ ァ イ ア
ウ ォ ール ALG が メ ールのヘ ッ ダー行
を生成する前にサーバーから メ ールを
取得する期間です。 最小値は 5、 最大
値は無制限です。
avm.se.pop3.ppop3d.
spam_bypass
Boolean
False
ア ン チ スパム機能が過負荷にな る と 、
現在の要求を処理 し 終え る ま で、 新 し
いスキ ャ ン要求を処理で き な く な り ま
す。 こ の場合、 ア プ ラ イ ア ン スは処理
で き る よ う にな る ま で、 新 し い要求を
破棄するか、 待ち行列に入れてお く こ
と がで き ます。
こ の調整パラ メ ー タ は、 ア プ ラ イ ア ン
スが過負荷にな っ た場合に新 し いス
キ ャ ン要求を処理する方法を決定 し ま
す。
オプ シ ョ ンは次の と お り です。
avm.se.pop3.ppop3d.
vscan_fail_block
Boolean
True/False
False
•
True ( デ フ ォル ト ) - ア プ ラ イ ア ン
スは新 し いスキ ャ ン要求を破棄 し 、
こ の要求に関連する POP3 メ ール
はスパムのスキ ャ ン を回避 し ます。
•
False - ア プ ラ イ ア ン スは、 スキ ャ
ナが過負荷でない と き に後で処理
する ために、 新 し いスキ ャ ン要求
を プ ロ セスの待ち行列に入れます。
こ のパラ メ ー タ は、 スキ ャ ンが失敗 し
た場合に pop3 コ ン テ ン ツがブ ロ ッ ク
さ れるかど う かを決定 し ます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
334
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.quarantine.
quarantined.dir_size
Numeric
2G
駆除プ ロ セスの間に維持 さ れる隔離
デ ィ レ ク ト リ のサイ ズ。 駆除のプ ロ セ
スは、 max_age 設定よ り 古い フ ァ イ
ルを削除する こ と と 、 有効期間に基づ
いて フ ァ イルを削除 し てデ ィ レ ク ト リ
フ ァ イルの合計サイ ズを dir_size 設定
未満に保つ こ と から 成っ ています。 最
小値は 50000 バイ ト 、 最大値は 2GB
です。
avm.se.quarantine.
quarantined.max_age
Numeric
2592000
駆除プ ロ セスの間に隔離デ ィ レ ク ト リ
が維持する フ ァ イルの有効期間 ( 秒単
位 )。 駆除のプ ロ セスは、 max_age 設
定よ り 古い フ ァ イルを削除する こ と
と 、 有効期間 と max_files 設定に基づ
いて フ ァ イルを削除 し てデ ィ レ ク ト リ
フ ァ イルの合計サイ ズを dir_size 設定
未満に保つ こ と から 成っ ています。 最
小値は 600 秒、 最大値は 2592000 秒
です。
avm.se.quarantine.
quarantined.max_files
Numeric
1000
駆除プ ロ セスの間に隔離デ ィ レ ク ト リ
が維持する フ ァ イルの数。 駆除のプ ロ
セスは、 max_age 設定よ り 古い フ ァ
イルを削除する こ と と 、 有効期間に基
づいて フ ァ イルを削除 し てデ ィ レ ク ト
リ フ ァ イルの合計サイ ズを dir_size
設定未満に保つ こ と から 成っ ていま
す。 最小値は 1 フ ァ イル、 最大値は
1000 です。
avm.se.quarantine.
quarantined.
scan_frequency
Numeric
900
隔離デ ィ レ ク ト リ がデー タ の駆除を行
う 頻度 ( 秒単位 )。 駆除のプ ロ セスは、
max_age 設定よ り 古い フ ァ イルを削
除する こ と と 、 有効期間 と max_files
設定に基づいて フ ァ イルを削除 し て
デ ィ レ ク ト リ フ ァ イルの合計サイ ズ
を dir_size 設定未満に保つ こ と から
成っ ています。 最小値は 1 秒、 最大値
は無制限です。
avm.se.scanner.
scannerd.disable_
caches
Boolean,
False
フ ァ イルのキ ャ ッ シ ュ を無効に し ま
す。 有効 (True) にな っ ている場合、
フ ァ イルがア プ ラ イ ア ン ス を通過する
たびに、 ア ン チウ ィ ルス シス テムは
フ ァ イルを スキ ャ ン し ます。 こ の値を
有効にする と 、 パフ ォ ーマ ン スが低下
し ます。
True / False
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
335
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.scanner.
scannerd.max_pending_
virus_requests
Numeric
Twice the
value of
avm.se.
scanner.
scannerd.
num_virus
_scanners
ア ン チウ ィ ルス機能が過負荷にな る
と 、 現在の要求を処理 し 終え る ま で、
新 し いスキ ャ ン要求を処理で き な く な
り ます。 こ の場合、 ア プ ラ イ ア ン スは
処理で き る よ う にな る ま で、 新 し いス
キ ャ ン要求を待ち行列に入れてお き ま
す。
こ のパラ メ ー タ は、 待ち行列に入れて
お く こ と がで き る スキ ャ ン要求の最大
数を設定 し ます。
例
こ の値を 8 に設定 し た場合、 ア プ ラ イ
ア ン スは、 スキ ャ ン要求の処理中に過
負荷にな る と 、 一度に最大 8 つのス
キ ャ ン要求を待ち行列に入れます。
待ち行列に入れる スキ ャ ン要求の数を
増やす と 、 すべての要求が処理 さ れた
こ と を確認するのに役立ち ますが、 シ
ステム パフ ォ ーマ ン スに悪影響を及
ぼす可能性も あ り ます。
avm.se.scanner.
scannerd.max_
pending_vps_requests
Numeric
0
ア ン チウ ィ ルス機能が過負荷にな る
と 、 現在の要求を処理 し 終え る ま で、
新 し いスキ ャ ン要求を処理で き な く な
り ます。 こ の場合、 ア プ ラ イ ア ン スは
処理で き る よ う にな る ま で、 新 し いス
キ ャ ン要求を待ち行列に入れてお き ま
す。
こ のパラ メ ー タ は、 待ち行列に入れて
お く こ と がで き る スキ ャ ン要求の最大
数を設定 し ます。
例
こ の値を 8 に設定 し た場合、 ア プ ラ イ
ア ン スは、 スキ ャ ン要求の処理中に過
負荷にな る と 、 一度に最大 8 つのス
キ ャ ン要求を待ち行列に入れます。
待ち行列に入れる スキ ャ ン要求の数を
増やす と 、 すべての要求が処理 さ れた
こ と を確認するのに役立ち ますが、 シ
ステム パフ ォ ーマ ン スに悪影響を及
ぼす可能性も あ り ます。
avm.se.smtp.psmtpd.
max_spam_scan_size
Numeric
51200
(50KB)
こ のパラ メ ー タ は、 メ ールの大き さ に
基づいてスパムを スキ ャ ンする SMTP
メ ールを決定 し ます。
例
値を 40KB に設定 し た場合、 ア プ ラ イ
ア ン スは 40KB を超え る大き さ の電子
メ ールを スキ ャ ン し ません。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
336
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.smtp.psmtpd.
spam_bypass
Boolean,
False
ア ン チ スパム機能が過負荷にな る と 、
現在の要求を処理 し 終え る ま で、 新 し
いスキ ャ ン要求を処理で き な く な り ま
す。 こ の場合、 ア プ ラ イ ア ン スは処理
で き る よ う にな る ま で、 新 し い要求を
破棄するか、 待ち行列に入れてお く こ
と がで き ます。
True / False
こ の調整パラ メ ー タ は、 ア プ ラ イ ア ン
スが過負荷にな っ た場合に新 し いス
キ ャ ン要求を処理する方法を決定 し ま
す。
オプ シ ョ ンは次の と お り です。
avm.se.smtp.psmtpd.
address_transparent
Boolean
True/False
True
•
True ( デ フ ォル ト ) - ア プ ラ イ ア ン
スは新 し いスキ ャ ン要求を破棄 し 、
こ の要求に関連する メ ールはスパ
ムのスキ ャ ン を回避 し ます。
•
False - ア プ ラ イ ア ン スは、 スキ ャ
ナが過負荷でない と き に後で処理
する ために、 新 し いスキ ャ ン要求
を プ ロ セスの待ち行列に入れます。
Layer 3 ( ルーテ ィ ング ) モー ド での
SMTP プ ロ ト コ ル フ ァ イ アウ ォ ール
ALG の完全透過性を有効または無効
に し ます。
オプ シ ョ ンは次の と お り です。
•
true ( 完全透過性を有効にする )
•
false ( 完全透過性を無効にする )
注記 : ア ン チウ ィ ルス、 Web フ ィ ル
タ 、 またはア ン チ スパムのモ ジ ュ ール
が有効にな っ ている と き に フ ァ ーム
ウ ェ ア ア ッ プデー ト を ア プ ラ イ ア ン
スに適用する と 、 各パラ メ ー タ のデ
フ ォル ト 値は false ( 無効 ) にな り ま
す。
リ リ ース 2.x でア ン チウ ィ ルス モ
ジ ュ ールが有効にな っ ていない と き に
フ ァ ームウ ェ ア ア ッ プデー ト を ア プ
ラ イ ア ン スに適用する と 、 各パラ メ ー
タ のデ フ ォル ト 値は true ( 有効 ) にな
り ます。
出荷時に リ リ ース 3.x がイ ン ス ト ール
さ れていた新規ア プ ラ イ ア ン ス を使用
し ている場合、 各パラ メ ー タ のデ フ ォ
ル ト 値は true ( 有効 ) と な り ます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
337
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.smtp.psmtpd.
discard_spam
Boolean
False
スパム メ ールを通知な く 削除するか
ど う かを決定 し ます。
注記 : このパラ メ ー タ は、 ア ン チスパ
ム ソ フ ト ウ ェ アが Delete Mode に設
定 さ れている場合に限っ て適用 さ れま
す。
オプ シ ョ ンは次の と お り です。
avm.se.smtp.psmtpd.
discard_virus
Boolean
False
•
True - スパム メ ールを通知な く 廃
棄 し ます。
•
False - スパム メ ールが通知な く
廃棄 さ れる こ と はあ り ません。
ウ ィ ルス感染 し た メ ールを通知な く 削
除するかど う かを決定 し ます。
オプ シ ョ ンは次の と お り です。
•
True - ウ ィ ルス感染 し た メ ールを
通知な く 廃棄 し ます。
•
False - ウ ィ ルス感染 し た メ ールが
通知な く 廃棄 さ れる こ と はあ り ま
せん。
avm.se.smtp.psmtpd.
idle_timeout
Numeric
300
idle_timeout は、 ト ラ フ ィ ッ クのない
状態で接続が保持 さ れる期間です。 最
小値は 30、 最大値は無制限です。
avm.se.smtp.psmtpd.
max_connections
Numeric
600
サポー ト さ れる接続の最大数。 プ ロ セ
スが max_connections に対 し て十分
な容量を割 り 当て ら れない場合、
max_connections が調節 さ れます。 最
小値は 5、 最大値は 3000 です。 無効
な値が指定 さ れた場合は、 デ フ ォル ト
値が使用 さ れます。
avm.se.smtp.psmtpd.
max_errors
Numeric
5
セ ッ シ ョ ン中に許可 さ れる エ ラ ーの最
大数。 最小値は 5、 最大値は無制限で
す。
avm.se.smtp.psmtpd.
max_msg_size
Numeric
20MB
max_msg_size は、 psmtpd フ ァ イ ア
ウ ォ ール ALG を通過可能な メ ッ セー
ジの最大サイ ズです。 最小値は
50000、 最大値は無制限です。
avm.se.smtp.psmtpd.
max_rcpt
Numeric
200
許可 さ れる受信者の最大数。 最小値は
5、 最大値は無制限です。
avm.se.smtp.psmtpd.
scanner_timeout
Numeric
300
こ のパラ メ ー タ は、 ア ン チウ ィ ルスに
よ る smtp フ ァ イル スキ ャ ンの結果を
待つ時間の長 さ を決定 し ます。 スキ ャ
ンが指定値 ( 秒数 ) よ り 長 く かかる
と 、 スキ ャ ナーが機能 し ていない と 見
な さ れ、 スキ ャ ン プ ロ セスが中止 さ
れます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
338
ア ン チウ ィ ルスの高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.se.smtp.psmtpd.
vscan_fail_block
Boolean
False
こ のパラ メ ー タ は、 スキ ャ ンが失敗 し
た場合に SMTP コ ン テ ン ツがブ ロ ッ
ク さ れるかど う かを決定 し ます。
avm.se.smtp.psmtpd.
vscan_timeout_block
Boolean
True
こ のパラ メ ー タ は、 ア ン チウ ィ ルス /
スパム スキ ャ ンが タ イ ムアウ ト し た
場合にスキ ャ ン済み メ ールがブ ロ ッ ク
さ れるかど う かを決定 し ます。
True/False
True/False
True の設定は、 スキ ャ ンが予測よ り
長 く かかっ た場合に、 重複する メ ール
が転送 さ れるのを防ぎます。
avm.vps.controller.
config.memlimit_interval
Numeric
10
seconds
iss-ibe-wine (wine-preloader) プ ロ セス
が リ ソ ース を消費 し すぎていないかど
う かの最小チ ェ ッ ク 間隔。
avm.vps.controller.
config.memlimit_virtual_
max
Numeric
2,048 MB
(2 GB)
iss-ibe-wine (wine-preloader) プ ロ セス
に消費が許可 さ れている仮想 メ モ リ 空
間の最大量。
avm.vps.controller.
config.memlimit_
real_max
Numeric
512 MB
iss-ibe-wine (wine-preloader) プ ロ セス
に消費が許可 さ れている実 メ モ リ の最
大量。
750
オープ ン
フ ァ イル
デ ィ スク リ
プタ
iss-ibe-wine (wine-preloader) プ ロ セス
に許可 さ れているオープ ン フ ァ イル
デ ィ ス ク リ プ タ の最大数。
avm.vps.controller.
Numeric
config.filedesc_limit_max
注記 :iss-ibe-wine がオープ ン し ている
フ ァ イル デ ィ ス ク リ プ タ のそれぞれ
に対 し 、 wineserver プ ロ セス も 「シ ャ
ド ー ハン ド ル」 を オープ ン し ます。
し たがっ て、 iss-ibe-wine が 100 個の
フ ァ イル デ ィ ス ク リ プ タ を オープ ン
し ている場合、 iss-ibe-wine と
wineserver がそれぞれ 100 個を オー
プ ンする ため、 シ ステムの総負荷は
200 オープ ン フ ァ イル デ ィ ス ク リ プ
タ と な り ます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
339
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種
類/値
デ フ ォル ト
値
説明
avm.vps.server.config.
max_archive_depth
Numeric
1
階層構造のアー カ イ ブ ( アー カ イ ブ内
のアー カ イ ブ ) が VPS によ っ て処理
さ れる深 さ を制限 し ます。 た と えば、
A.ZIP を VPS に提出する と き に A.ZIP
には B.ZIP と C.ZIP が含まれ、 B.ZIP
には BA.ZIP と BB.ZIP が含まれる場
合、 次のよ う にな り ます。
こ の設定を 1 にする と 、 A.ZIP 内の
フ ァ イルが処理 さ れ、 他のフ ァ イルは
処理 さ れません。 2 に設定する と 、
A.ZIP、 B.ZIP、 および C.ZIP 内のフ ァ
イルが処理 さ れ、 BA.ZIP と BB.ZIP 内
のフ ァ イルは処理 さ れません。 3 に設
定する と 、 すべてのアー カ イ ブ内の
フ ァ イルがすべて処理 さ れます。
avm.vps.server.config.
max_archive_breadth
Numeric
10
アー カ イ ブが VPS によ っ て処理 さ れ
る幅を制限 し ます。 Proventia M のデ
フ ォル ト 値は 10 に設定 さ れています。
-1 よ り 小 さ い値は、 警告が発生 し て
ログに記録 さ れます。 -1 に設定する
と 、 VPS はアー カ イ ブの各階層の
フ ァ イルをすべてスキ ャ ン し ます。 値
が -1 よ り 大き い場合は、 スキ ャ ン さ
れる アー カ イ ブの各階層のフ ァ イル数
に制限が設定 さ れます。 こ の値をゼロ
ベース、 つま り ゼロに設定する と 、 最
初のフ ァ イルがスキ ャ ン さ れ、 1 に設
定する と 、 最初の 2 つのフ ァ イルがス
キ ャ ン さ れます。
表 102: ア ン チウ ィ ルス コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
340
自動ア ッ プデー ト の高度なパ ラ メ ー タ
自動ア ッ プデー ト の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の自動ア ッ プデー ト 調整パ ラ メ ー タ につ
いて説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 表 103 では、 自動ア ッ プデー ト の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
Update.disable.
remote.discovery
Boolean
False
ダウン ロー ド サイ ト での
ア ッ プデー ト フ ァ イルの リ
モー ト 検索を有効または無
効に し ます。
Update.disable.wfas
db.update.discovery
Boolean
False
Web Filter and Antispam
Database ア ッ プデー ト の検
出を有効または無効に し ま
す。 デー タ ベースがイ ン ス
ト ール さ れていて も、 ア プ
ラ イ ア ン スはデー タ ベース
ア ッ プデー ト を チ ェ ッ ク し
ません。
Update.enable.
comm.debug
Boolean
False
CrmTrace.txt フ ァ イルへ送
信 さ れる Curl ログ メ ッ
セージ を有効または無効に
し ます。 ログ メ ッ セージ を
表示するには、 CRM の ト
レース レベルを 6 ( デバ ッ
グ ) に設定する必要があ り
ます。 Curl ロ グ メ ッ セージ
は、 Curl ラ イ ブ ラ リ がア ッ
プデー ト サーバー と 通信す
る と き に ラ イ ブ ラ リ か ら生
成 さ れたデバ ッ グ メ ッ セー
ジに由来 し ます。
Update.filterdb.
update.cutoff
Numeric
20
フ ィ ル タ デー タ ベース ア ッ
プデー ト がい く つ期限切れ
と な っ た ら フ ィ ル タ デー タ
ベースの完全なダウン ロー
ド と ア ッ プデー ト が強制 さ
れるのか、 その最大数を決
定 し ます。 期限切れの フ ィ
ル タ デー タ ベース ア ッ プ
デー ト がユーザー定義の限
界数に達する と 、 次にア ッ
プデー ト が手動または自動
で開始 さ れた と き に フル
ア ッ プデー ト が強制 さ れま
す。
True/False
True/False
True/False
表 103: ア ッ プデー ト の高度なパラ メ ー タ
Proventia® Network Multi-Function Security Appliance User Guide
341
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
Update.preserve.
update.files
Boolean
False
ア ッ プデー ト パ ッ ケージ
フ ァ イルが正常に イ ン ス
ト ール さ れた後の フ ァ イル
削除を、 有効または無効に
し ます。
True/False
注意 : こ のパラ メ ー タ を有
効にする と 、 デ ィ ス ク上の
ア ッ プデー ト フ ァ イルの数
が非常に大き く な る可能性
があ り ます。 長期間にわ
た っ て このパラ メ ー タ ーを
有効に し ないで く だ さ い。
Update.update.
directory
String
/var/spool/updates
ア ッ プデー ト パ ッ ケージ
フ ァ イルがダウン ロー ド さ
れて手動で コ ピー さ れる場
合の、 コ ピー先の完全修飾
パス を指定 し ます。
Update.update.logs.
directory
String
/var/spool/updates/
logs
ア ッ プデー ト のイ ン ス ト ー
ル と ア ン イ ン ス ト ールのロ
グ フ ァ イルが コ ピー さ れる
場合の、 コ ピー先の完全修
飾デ ィ レ ク ト リ を指定 し ま
す。
表 103: ア ッ プデー ト の高度なパラ メ ー タ ( 続き )
342
デー タ ベースの高度なパ ラ メ ー タ
デー タ ベースの高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の Web Filter and Antispam Database パ ラ
メ ー タ について説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 次の表では、 Web Filter and Antispam Database の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
debug.level
Numeric
0
診断 メ ッ セージの数を指定 し ま
す。 設定は次の と お り です。
max_bandwidth
Numeric
0
•
0 - メ ッ セージ な し
•
1
•
2
•
3
•
4
完全なデー タ ベース ア ッ プデー
ト および漸増的ア ッ プデー ト を
ダウン ロー ド する と き に使用す
る帯域幅を制限 し ます。
(0 = 無制限 )
表 104: Web Filter and Antispam Database の高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
343
付録 A: 高度なパ ラ メ ー タ
DHCP の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の DHCP 調整パ ラ メ ー タ について説明 し
ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 表 103 では、 DHCP の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
dhcpserver.ddnsupdate-style
String
なし
DHCP サーバーの ddnsupdate-style 設定を決定 し ま
す。
表 105: DHCP の高度なパラ メ ー タ
344
イ ベ ン ト 通知の高度なパ ラ メ ー タ
イ ベン ト 通知の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 イ ベン ト 通知の高度なパ ラ メ ー タ について説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 表 106 では、 次の値を使用 し て、 デフ ォ ル ト の高度なパ ラ メ ー タ について説明 し ます。
●
●
<namespace> は、 次のいずれかです。
■
不正侵入防御の場合は pam
■
シ ス テ ム、 ア ンチ ウ ィ ルス、 フ ァ イ ア ウ ォール、 お よ び VPN の場合は provm
<issue-id> は、 イ シ ュ ーに関連付け ら れたアルゴ リ ズ ム ID 番号です。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト
値
説明
event.enabled.
<namespace>.
<issue-id>
Boolean/
なし
指定 さ れた イ ベン ト を有効にするか無
効にするかを決定 し ます。
event.priority.
<namespace>.
<issue-id>
Number
なし
特定のイ ベン ト の優先順位を設定 し ま
す。 優先度は次の と お り です。
enabled、 disabled
1=高
2=中
3=低
event.response.
<namespace>.
<issue-id>
String/
なし
response keyword
イ ベン ト に対する レ スポ ン ス を設定 し
ます。
レ スポ ン ス キーワー ド は次の と お り で
す。
•
DISPLAY:Default
•
EMAIL:Default or
EMAIL:<EmailName>
注記 :<EmailName> は、 [System
Notification] で設定 さ れた Email レ
スポ ン スの名前です。
レ スポ ン スの高度なパラ メ ー タ は、 各
イ ベン ト に対 し て 1 つ し か設定で き ま
せん。 1 つのイ ベン ト に複数のレ スポ
ン ス を設定するには、 カ ン マ を使用 し
て レ スポ ン ス を区切っ て く だ さ い。
例:
event.response.pam.20000001
DISPLAY:Default,
EMAIL:Default
Eventlog.fullpolicy
String/
WRAP
WRAP、 STOP
イ ベン ト ログがい っぱいである こ と を
示 し ます。
表 106: 通知レ スポン スの高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
345
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト
値
説明
Eventlog.maxsize
Number
15000000
イ ベン ト ログの最大サイ ズ ( バイ ト 単
位 ) を特定 し ます。
Trace.csf.filename
String
/tmp/
csf ト レース フ ァ イルの名前を特定 し
CrmTrace ます。
.txt
Trace.csf.level
Number
0
csf ト レース フ ァ イルに表示する ト
レース情報のレ ベルを特定 し ます。 ト
レース レベル設定は次の と お り です。
•
0 - ト レースな し
•
1 - エ ラ ーのみ
•
2 - エ ラ ーおよび警告のみ
•
3 - エ ラ ー、 警告、 その他通知に値
する情報のみ
•
4 - エ ラ ー、 警告、 通知に値する情
報、 および情報 メ ッ セージのみ
•
5 - エ ラ ー、 警告、 通知に値する情
報、 情報 メ ッ セージ、 およびデバ ッ
グ メ ッ セージのみ
•
6 - 1 ～ 5 の全レ ベル
Trace.other.
filename
String
/tmp/
CrmComm
Trace.txt
通信 ト レース フ ァ イルを識別 し ます。
Trace.other.level
Number
0
通信 ト レース フ ァ イルに表示する ト
レース情報のレ ベルを特定 し ます。 ト
レース レベル設定は次の と お り です。
•
0 - ト レースな し
•
1 - エ ラ ーのみ
•
2 - エ ラ ーおよび警告のみ
•
3 - エ ラ ー、 警告、 その他通知に値
する情報のみ
•
4 - エ ラ ー、 警告、 通知に値する情
報、 および情報 メ ッ セージのみ
•
5 - エ ラ ー、 警告、 通知に値する情
報、 情報 メ ッ セージ、 およびデバ ッ
グ メ ッ セージのみ
•
6 - 1 ～ 5 の全レ ベル
表 106: 通知レ スポン スの高度なパラ メ ー タ の説明 ( 続き )
346
フ ァ イ アウ ォ ール と VPN の高度なパ ラ メ ー タ
フ ァ イ アウ ォ ール と VPN の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の フ ァ イ ア ウ ォールま たは VPN の高度な
パ ラ メ ー タ について説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 表 107 では、 フ ァ イ ア ウ ォール コ ンポーネ ン ト と VPN コ ン ポーネ ン ト の高度なパ ラ メ ー タ につい
て説明 し ます。
名前
フ ィ ール ド の
種類 / 値
デ フ ォル ト 値
説明
attack.icmperror_messages
Boolean/
True
フ ァ イ アウ ォ ールが ICMP エ
ラ ー メ ッ セージ を検出 し て
レ ポー ト するかど う かを制御
し ます。
True、 False
attack.log_one_attack_every
Numeric
1
重複する攻撃項目で イ ベン ト
ログ シ ス テムが溢れるのを
防ぎ ます。
attack.log_one_policy_every
Numeric
1
重複するルール項目で イ ベン
ト ログ シ ス テムが溢れるの
を防ぎ ます。
attack.log_one_vpn_every
Numeric
1
重複する VPN 項目で イ ベン
ト ログ シ ス テムが溢れるの
を防ぎ ます。
attack.mimeflood
Boolean/
False
フ ァ イ アウ ォ ールが MIME フ
ラ ッ ド 攻撃を検出 し て レ ポー
ト するかど う かを制御 し ま
す。
True、 False
attack.mimeflood_maxhdrlen
Numeric
8192
MIME ヘ ッ ダーの最大サイ ズ
を指定 し ます。
attack.mimeflood_maxhdrs
Numeric
16
攻撃がレ ポー ト さ れる ま でに
検出 さ れる MIME ヘ ッ ダーの
最小数を指定 し ます。
Boolean/
True
フ ァ イ アウ ォ ールが SYN フ
ラ ッ ド 攻撃を検出するかど う
かを制御 し ます。
attack.synflood
True、 False
connlim.external
Numeric
101150
外部ネ ッ ト ワー ク から の許可
さ れた接続の最大数を指定 し
ます。
connlim.exttoself
Numeric
5000
外部イ ン タ ー フ ェ ース (eth1)
から の許可 さ れた接続の最大
数を指定 し ます。
表 107: フ ァ イ アウ ォ ール コ ンポーネ ン ト の高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
347
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の
種類 / 値
デ フ ォル ト 値
説明
connlim.internal
Numeric
101150
内部ネ ッ ト ワー ク から の許可
さ れた接続の最大数を指定 し
ます。
connlim.self
Numeric
101150
ア プ ラ イ ア ン スから の許可 さ
れた接続の最大数を指定 し ま
す。
icmp.replay.detection
Boolean/
True
True、 False
( 有効 )
ICMP リ プ レー チ ェ ッ ク の動
作を制御 し ます。 オプ シ ョ ン
は次の と お り です。
•
有効 (True) にな っ ている
場合、 重複する ( リ プ
レー さ れた ) ICMP パケ ッ
ト の有無がチ ェ ッ ク さ れ、
パケ ッ ト の検出、 記録、
削除が行われます。
•
無効 (False) にな っ ている
場合、 ICMP パケ ッ ト は
すべて、 重複に関 し て
チ ェ ッ ク さ れる こ と な く
出入 り が許可 さ れます。
リ プ レー チ ェ ッ ク を無効に
するには、 このパラ メ ー タ を
[Firewall Settings] →
[Advanced Parameters] タ
ブ で追加 し 、 [Boolean] を選
択 し 、 [Enabled] チ ェ ッ ク
ボ ッ ク ス を オ フ に し ます。
ipre.enabled
Boolean/
True
IP 再構築を有効または無効に
し ます。
True、 False
ipre.max_frag_count
Numeric
44
IP 再構築においてパケ ッ ト ご
と に許可 さ れた フ ラ グ メ ン ト
の最大数を指定 し ます。
ipre.max_packet_size
Numeric
65535
IP 再構築において許可 さ れた
最大パケ ッ ト サイ ズを指定
し ます。
ipre.min_frag_size
Numeric
28
IP 再構築において許可 さ れた
最小フ ラ グ メ ン ト サイ ズを
指定 し ます。
ipre.timeout
Numeric/
60
IP 再構築においてすべての フ
ラ グ メ ン ト が受信 さ れる必要
のある期間を、 秒数で指定 し
ます。
60 seconds
デー タ 転送の関連付け情報を
フ ァ イ アウ ォ ールが メ モ リ 内
に保管する期間の タ イ ムアウ
ト 値 ( 秒単位 )。
1 - 120
inclusive
protection.bypass.timeout
Numeric
表 107: フ ァ イ アウ ォ ール コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
348
フ ァ イ アウ ォ ール と VPN の高度なパ ラ メ ー タ
名前
フ ィ ール ド の
種類 / 値
デ フ ォル ト 値
説明
radius.timeout
Numeric
5 seconds
ビル ト イ ンの RADIUS ク ラ
イ ア ン ト が認証 メ ッ セージに
対する応答を待機する時間を
設定 し ます。
radius.retry.limit
Numeric
5
RADIUS サーバーから の応答
が radius.timeout の期間に検
出 さ れない場合に認証 メ ッ
セージ を再送信する回数を設
定 し ます。
srvctimeout.ftp
Numeric
14400
FTP 接続が タ イムアウ ト する
までの秒数を指定 し ます。
srvctimeout.http
Numeric
360
HTTP 接続が タ イムアウ ト す
る までの秒数を指定 し ます。
srvctimeout.https
Numeric
360
HTTPS 接続が タ イムアウ ト
する までの秒数を指定 し ま
す。
srvctimeout.icmp
Numeric
60
ICMP 接続が タ イ ムアウ ト す
る までの秒数を指定 し ます。
srvctimeout.tcp
Numeric
14400
TCP 接続が タ イムアウ ト す
る までの秒数を指定 し ます。
srvctimeout.udp
Numeric
60
UDP 接続が タ イ ムアウ ト す
る までの秒数を指定 し ます。
stealth.external.enabled
Boolean,
False
外部から 内部ホス ト への ト ラ
フ ィ ッ ク の起点に関する拒否
ルール と 一致するすべてのパ
ケ ッ ト について、 ス テルス
ド ロ ッ プ を有効に し ます。
False
内部から 外部ホス ト への ト ラ
フ ィ ッ ク の起点に関する拒否
ルール と 一致するすべてのパ
ケ ッ ト について、 ス テルス
ド ロ ッ プ を有効に し ます。
False
外部または内部のホス ト から
ア プ ラ イ ア ン スの任意イ ン
タ ー フ ェ ースへの ト ラ フ ィ ッ
ク の起点に関する拒否ルール
と 一致するすべてのパケ ッ ト
について、 ス テルス ド ロ ッ
プ を有効に し ます。
Firewall
Syslog に書き込まれる フ ァ
イ アウ ォ ール関連の各項目に
添付 さ れる テキス ト を指定 し
ます。
True / False
stealth.internal.enabled
Boolean,
True / False
stealth.self.enabled
Boolean,
True / False
syslog.firewall_name
String
表 107: フ ァ イ アウ ォ ール コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
349
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の
種類 / 値
デ フ ォル ト 値
説明
syslog.server
String
127.0.0.1
フ ァ イ アウ ォ ール イ ベン ト
が書き込まれる syslog を指
定 し ます。
注記 : この設定を変更する
と 、 フ ァ イ アウ ォ ール ア
ラ ー ト と VPN ア ラ ー ト がア
ラ ー ト イ ベン ト ログ ページ
に表示 さ れな く な り ます。
表 107: フ ァ イ アウ ォ ール コ ンポーネ ン ト の高度なパラ メ ー タ の説明 ( 続き )
350
ハイ アベ イ ラ ビ リ テ ィ の高度なパ ラ メ ー タ
ハイ アベ イ ラ ビ リ テ ィ の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス のハ イ アベ イ ラ ビ リ テ ィ の高度なパ ラ
メ ー タ について説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
考慮すべき事項
高度なパ ラ メ ー タ を使用す る 場合は、 セカ ン ダ リ アプ ラ イ ア ン ス でのプ ロ キシ ARP (Address
Resolution Protocol) を無効に し て く だ さ い。 こ う する こ と で、 セカ ン ダ リ アプ ラ イ ア ン ス がプ ロ キ
シ ARP ア ド レ ス に応答 し ない よ う に し ます。
高度なパラ メ ー タ の説明 次の表では、 ハ イ アベ イ ラ ビ リ テ ィ の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
debug.log
Boolean
オフ
HA 用に別々のロ グ フ ァ イルを有
効に し ます。
オン / オフ
フ ァ イルは次の と お り です。
/var/log/ha-log and /var/
log/ha-debug
udp.broadcast
Boolean
オフ
ハー ト ビー ト UDP パケ ッ ト がすべ
ての内部イ ン タ ー フ ェ ースで ブ
ロー ド キ ャ ス ト さ れる よ う に し ま
す。
694
ハー ト ビー ト UDP パケ ッ ト を送信
するポー ト の値。
Boolean
オン / オフ
udp.port
integer 0.65535
表 108: ハイ アベ イ ラ ビ リ テ ィ の高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
351
付録 A: 高度なパ ラ メ ー タ
不正侵入防御の高度なパラ メ ー タ の設定
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の不正侵入防御の高度なパ ラ メ ー タ につ
いて説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 表 109 では、 不正侵入防御の高度なパ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.attacks
Boolean/
オン
オ ンに設定 さ れている と 、 IPM は
既知の攻撃イ シ ュ ーを すべて検出
し て レポー ト する よ う に PAM を
設定 し ます。
オン / オフ
オ フ に設定 さ れている と 、 IPM は
攻撃イ シ ュ ーを検出またはレポー
ト し ないよ う に PAM を設定 し ま
す。
ipm.audits
Boolean/
オフ
オン / オフ
オ ンに設定 さ れている と 、 IPM は
既知の監査イ シ ュ ーを すべて検出
し て レポー ト する よ う に PAM を
設定 し ます。
オ フ に設定 さ れている と 、 IPM は
監査イ シ ュ ーを検出またはレポー
ト し ないよ う に PAM を設定 し ま
す。
ipm.default.block.
duration
number/
秒数
3600 seconds
(1 時間 )
ブ ロ ッ ク ルールの有効期間がゼロ
である場合に、 今後の ト ラ フ ィ ッ
ク を ブ ロ ッ ク する時間を秒数で指
定 し ます。
ipm.drop.invalid.
checksum
Boolean/
オン
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効な
チ ェ ッ ク サムを含むパケ ッ ト を す
べて ド ロ ッ プ し ます。
オン / オフ
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効な
チ ェ ッ ク サムを含むパケ ッ ト を ド
ロ ッ プ し ません。
ipm.drop.invalid.
protocol
Boolean/
オン
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効なプ
ロ ト コルを含むパケ ッ ト を すべて
ド ロ ッ プ し ます。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効なプ
ロ ト コルを含むパケ ッ ト を ド ロ ッ
プ し ません。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明
352
不正侵入防御の高度なパ ラ メ ー タ の設定
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.drop.resource.
error
Boolean/
オン
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 攻撃に関
し てパケ ッ ト を調査する十分な リ
ソ ースがない場合に、 エ ラ ー メ ッ
セージ を発行 し て現在のパケ ッ ト
を ド ロ ッ プ し ます。
オン / オフ
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 十分な リ
ソ ースがない場合で も 現在のパ
ケ ッ ト を ド ロ ッ プ し ません。
ipm.drop.rogue.tcp.
packets
Boolean/
オフ
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 パケ ッ ト
が SYN パケ ッ ト ではな く 既存の
接続の一部で も ない場合に、 エ
ラ ー メ ッ セージ を発行 し て現在の
TCP パケ ッ ト を ド ロ ッ プ し ます。
既に確立 さ れた TCP 接続の一部
であるパケ ッ ト は、 PAM が再
ロー ド さ れた と き にすべて不良パ
ケ ッ ト と 見な さ れます。 これは、
PAM がすべての TCP 接続レ コ ー
ド を消去する ためです。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、不良 TCP
パケ ッ ト を ド ロ ッ プ し ません。
ipm.dump.all
Boolean/
オフ
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アはすべてのパ
ケ ッ ト を、 IP ス タ ッ ク から /var/
log/iss-ipm/dump.pid.tcpdump と
い う 名前の TCPDUMP キ ャ プ
チ ャ フ ァ イルへ読み出 さ れる と き
にダ ン プ し ます。 「pid」 は、 不正
侵入防御ソ フ ト ウ ェ ア パケ ッ ト 検
閲プ ロ セスの現在のプ ロ セス ID
です。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アはすべてのパ
ケ ッ ト を、 IP ス タ ッ ク から 読み出
さ れる と き にダ ン プ し ません。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
353
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.dump.all.issues
Boolean/
オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 イ シ ュ ー
を誘発するパケ ッ ト を すべてダ ン
プ し ます。 キ ャ プ チ ャ さ れた単一
パケ ッ ト は、 /var/log/iss-ipm/
issue.issueid.frame.pid.tcpdump
と い う 名前の TCPDUMP キ ャ プ
チ ャ フ ァ イルに格納 さ れます。
「issueid」 は現在のイ シ ュ ーのイ
シ ュ ー ID、 「frame」 は現在のパ
ケ ッ ト のフ レーム番号、 「pid」 は
不正侵入防御ソ フ ト ウ ェ ア パケ ッ
ト 検閲プ ロ セスの現在のプ ロ セス
ID です。
オン / オフ
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 高度なパ
ラ メ ー タ ipm.issue.dump.issueid
で指定 さ れていない限 り 、 イ
シ ュ ーを誘発するパケ ッ ト を ダ ン
プ し ません。
ipm.dump.invalid.
checksum
Boolean/
オン
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効な
チ ェ ッ ク サムを含むパケ ッ ト を す
べてダ ン プ し ます。 キ ャ プ チ ャ さ
れた単一パケ ッ ト は、 /var/log/issipm/invalidchecksum.frame.pid.tcpdump と い
う 名前の TCPDUMP キ ャ プ チ ャ
フ ァ イルに格納 さ れます。
「frame」 は現在のパケ ッ ト のフ
レーム番号、 「pid」 は不正侵入防
御ソ フ ト ウ ェ ア パケ ッ ト 検閲プ ロ
セスの現在のプ ロ セス ID です。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効な
チ ェ ッ ク サムを含むパケ ッ ト を ダ
ン プ し ません。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
354
不正侵入防御の高度なパ ラ メ ー タ の設定
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.dump.invalid.
protocol
Boolean/
オン
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効なプ
ロ ト コルを含むパケ ッ ト を すべて
ダ ン プ し ます。 キ ャ プ チ ャ さ れた
単一パケ ッ ト は、 /var/log/iss-ipm/
invalid-protocol.frame.pid.tcpdump
と い う 名前の TCPDUMP キ ャ プ
チ ャ フ ァ イルに格納 さ れます。
「frame」 は現在のパケ ッ ト のフ
レーム番号、 「pid」 は不正侵入防
御ソ フ ト ウ ェ ア パケ ッ ト 検閲プ ロ
セスの現在のプ ロ セス ID です。
オン / オフ
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 無効なプ
ロ ト コルを含むパケ ッ ト を ダ ン プ
し ません。
ipm.issue.
<issue-id>
Boolean/
オフ
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 指定 さ れ
た イ シ ュ ーを検出 し て報告する よ
う に PAM を設定 し ます。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 指定 さ れ
た イ シ ュ ーを検出 し て報告する よ
う に PAM を設定 し ません。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
355
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種類 /
値
ipm.issue.block.rule. String/
<issue-id>
1 つ以上のブ ロ ッ キ
ング ルール キー
ワー ド
デ フ ォル ト 値
説明
なし
1 つ以上のブ ロ ッ ク ルール キー
ワー ド が指定 さ れている と 、 不正
侵入防御ソ フ ト ウ ェ アは、 指定 さ
れた イ シ ュ ーに対 し て PAM が推
奨する ブ ロ ッ ク ルール と 差 し 換え
ます。 1 つのイ シ ュ ーに対 し て複
数のブ ロ ッ ク ルールを指定する こ
と がで き ます。 文字列の値は、 1
つ以上のブ ロ ッ ク ルール キー
ワー ド から 成る カ ン マ区切 り リ ス
ト と し て解釈 さ れます。
ブ ロ ッ ク ルール キーワー ド が指
定 さ れていない と 、 不正侵入防御
ソ フ ト ウ ェ アは、 指定 さ れた イ
シ ュ ーに対 し て PAM が推奨する
ブ ロ ッ ク ルールをすべて無視 し ま
す。
参照 : キーワー ド の完全な一覧 と
使用方法については、 「不正侵入
防御のブ ロ ッ ク ルール キーワー
ド 」 (360 ページ ) を参照 し て く だ
さ い。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
356
不正侵入防御の高度なパ ラ メ ー タ の設定
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.issue.dump.
<issue-id>
Boolean/
オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 指定 さ れ
た イ シ ュ ーを誘発するパケ ッ ト を
すべてダ ン プ し ます。 キ ャ プ チ ャ
さ れた単一パケ ッ ト は、 /var/log/
iss-ipm/
issue.issueid.frame.pid.tcpdump
と い う 名前の TCPDUMP キ ャ プ
チ ャ フ ァ イルに格納 さ れます。
「issue-id」 は現在のイ シ ュ ーのア
ルゴ リ ズム ID 番号、 「frame」 は
現在のパケ ッ ト のフ レーム番号、
「pid」 は不正侵入防御 ソ フ ト ウ ェ
ア パケ ッ ト 検閲プ ロ セスの現在の
プ ロ セス ID です。 こ の高度なパ
ラ メ ー タ は、 ipm.dump.all.issues
が有効にな っ ている と 無視 さ れま
す。
オン / オフ
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 高度なパ
ラ メ ー タ ipm.dump.all.issues で指
定 さ れていない限 り 、 イ シ ュ ーを
誘発するパケ ッ ト を ダ ン プ し ませ
ん。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
ipm.issue.log.
<issue-id>
Boolean/
オン
オン / オフ
オ ンに設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 指定 さ れ
た イ シ ュ ーを PAM が検出 し た と
き に イ ベン ト を シ ステム ログ
フ ァ イルに書き込みます。
オ フ に設定 さ れている と 、 不正侵
入防御ソ フ ト ウ ェ アは、 指定 さ れ
た イ シ ュ ーに関する イ ベン ト を シ
ステム ログ フ ァ イルに書き込み
ません。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
357
付録 A: 高度なパ ラ メ ー タ
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.issue.name.
<issue-id>
String/
なし
新 し い名前が指定 さ れている と 、
不正侵入防御ソ フ ト ウ ェ アは、 指
定 さ れた イ シ ュ ーに対 し て PAM
が推奨する イ シ ュ ー名を無効に し
ます。
イ シ ュ ーの新 し い名
前
新 し い名前が指定 さ れていない
と 、 不正侵入防御ソ フ ト ウ ェ アは
警告 メ ッ セージ を発行 し 、 この高
度なパラ メ ー タ を無視 し ます。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
ipm.issue.priority.
<issue-id>
String/
なし
イ シ ュ ーの新 し い優
先度 :
•
low
•
medium
•
high
新 し い優先度が low、 medium、 ま
たは high に設定 さ れている と 、
不正侵入防御ソ フ ト ウ ェ アは、
PAM が推奨する優先度を無効に
し ます。
新 し い優先度が low、 medium、 ま
たは high に指定 さ れていない と 、
不正侵入防御ソ フ ト ウ ェ アは警告
メ ッ セージ を発行 し 、 この高度な
パラ メ ー タ を無視 し ます。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
ipm.issue.protocol.
<issue-id>
String/
なし
イ シ ュ ーの新 し いプ
ロ ト コル
新 し いプ ロ ト コルが指定 さ れてい
る と 、 不正侵入防御ソ フ ト ウ ェ ア
は、 指定 さ れた イ シ ュ ーに対 し て
PAM が推奨する プ ロ ト コ ルを無
効に し ます。
新 し いプ ロ ト コルが指定 さ れてい
ない と 、 不正侵入防御ソ フ ト ウ ェ
アは警告 メ ッ セージ を発行 し 、 こ
の高度なパラ メ ー タ を無視 し ま
す。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
358
不正侵入防御の高度なパ ラ メ ー タ の設定
名前
フ ィ ール ド の種類 /
値
デ フ ォル ト 値
説明
ipm.issue.response.
<issue-id>
String/
なし
新 し い レ スポン ス キーワー ド が指
定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 指定 さ れた イ
シ ュ ーに対 し て PAM が推奨する
レ スポン ス と 差 し 換えます。 各イ
シ ュ ーには、 1 セ ッ ト のレ スポ ン
ス し か設定で き ません。 文字列の
値は、 1 つ以上の防御レ スポ ン ス
キーワー ド から 成る カ ン マ区切 り
リ ス ト と し て解釈 さ れます。
イ シ ュ ーの新 し いレ
スポ ン ス キーワー
ド
新 し い レ スポン ス キーワー ド が指
定 さ れていない と 、 不正侵入防御
ソ フ ト ウ ェ アは、 指定 さ れた イ
シ ュ ーに対 し て PAM が推奨する
レ スポン ス を すべて無視 し ます。
参照 : キーワー ド の完全な一覧 と
使用方法については、 「不正侵入
防御の防御レ スポン ス キーワー
ド 」 (362 ページ ) を参照 し て く だ
さ い。
注記 : 「issue-id」 は、 イ シ ュ ーに
関連付け ら れたアルゴ リ ズム ID
番号です。
表 109: 不正侵入防御の高度なパラ メ ー タ の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
359
付録 A: 高度なパ ラ メ ー タ
不正侵入防御のブ ロ ッ ク ルール キーワー ド
は じ めに
PAM (Protocol Analysis Module) には、 隔離ルール テーブルが組み込まれてい ます。 こ のテーブルに
は、 ブ ロ ッ ク す る パケ ッ ト と ブ ロ ッ ク 期間を指定す る 、 ブ ロ ッ ク ルール と 呼ばれ る 項目が含まれ
てい ます。 不正侵入防御 ソ フ ト ウ ェ アは、 推奨 さ れ る レ ス ポ ン ス に 「block-future-traffic」 ま たは
「block-future-icmp-traffic」 の レ ス ポ ン ス キーワ ー ド が含まれてい る 場合に、 ブ ロ ッ ク ルールを隔離
ルール テーブルに追加 し ます。
新 し いブ ロ ッ ク ルール
の作成
新 し いブ ロ ッ ク ルールは、 攻撃 イ シ ュ ーま たは監査 イ シ ュ ーの ど ち ら について も 作成する こ と が
で き ます。 既存のブ ロ ッ ク ルールは、 次の高度なパ ラ メ ー タ に よ っ て無効 と する こ と がで き ます。
ipm.issue.block.rule.issueid
ブ ロ ッ ク ルール キー
ワー ド の説明
ブ ロ ッ ク ルールは、 フ ィ ル タ リ ン グ対象パケ ッ ト を定義する 一連の フ ィ ール ド で構成 さ れてい ま
す。 パケ ッ ト を フ ィ ル タ リ ン グす る には、 こ の フ ィ ール ド で指定 さ れた条件をパケ ッ ト がすべて満
た し てい る 必要があ り ます。
不正侵入防御 ソ フ ト ウ ェ アは、 次のブ ロ ッ ク ルール キー ワー ド を認識 し ます。
キーワー ド
フ ィ ール ド の種類
説明
block-by-icmp-code
Boolean
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 元の攻撃パケ ッ ト または監
査パケ ッ ト の ICMP コ ー ド と 一致する ICMP
コ ー ド のパケ ッ ト をすべて ド ロ ッ プ し ます。
有効 / 無効
注記 : レ スポン スの種類が block-futuretraffic である場合、 この フ ィ ール ド は無視 さ
れます。
block-by-icmp-type
Boolean
有効 / 無効
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 元の攻撃パケ ッ ト または監
査パケ ッ ト の ICMP タ イ プ と 一致する ICMP
タ イ プのパケ ッ ト をすべて ド ロ ッ プ し ます。
注記 : レ スポン スの種類が block-futuretraffic である場合、 この フ ィ ール ド は無視 さ
れます。
block-by-intruder-addr
Boolean
有効 / 無効
block-by-intruder-port
Boolean
有効 / 無効
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 発信元または宛先の IP ア ド
レ ス ( ルールの指示によ っ て異な る ) が元の
攻撃パケ ッ ト または監査パケ ッ ト の侵入側
ア ド レ ス と 一致するパケ ッ ト をすべて ド
ロ ッ プ し ます。
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 発信元または宛先のポー ト (
ルールの指示によ っ て異な る ) が元の攻撃パ
ケ ッ ト または監査パケ ッ ト の侵入側ポー ト
と 一致するパケ ッ ト をすべて ド ロ ッ プ し ま
す。
注記 : レ スポン スの種類が block-futureicmp-traffic である場合、 こ のフ ィ ール ド は
無視 さ れます。
表 110: ブ ロ ッ ク ルール キーワー ド の説明
360
不正侵入防御のブ ロ ッ ク ルール キーワー ド
キーワー ド
フ ィ ール ド の種類
説明
block-by-victim-addr
Boolean
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 発信元または宛先の IP ア ド
レ ス ( ルールの指示によ っ て異な る ) が元の
攻撃パケ ッ ト または監査パケ ッ ト の被害側
ア ド レ ス と 一致するパケ ッ ト をすべて ド
ロ ッ プ し ます。
有効 / 無効
block-by-victim-port
Boolean
有効 / 無効
有効に設定 さ れている と 、 不正侵入防御ソ
フ ト ウ ェ アは、 発信元または宛先のポー ト (
ルールの指示によ っ て異な る ) が元の攻撃パ
ケ ッ ト または監査パケ ッ ト の被害側ポー ト
と 一致するパケ ッ ト をすべて ド ロ ッ プ し ま
す。
注記 : レ スポン スの種類が block-futureicmp-traffic である場合、 こ のフ ィ ール ド は
無視 さ れます。
duration: <seconds>
Number
ブ ロ ッ ク する期間を秒数で指定 し ます。 期
間がゼロに指定 さ れている場合は、 高度な
パラ メ ー タ ipm.default.block.duration で指
定 さ れた値にデ フ ォル ト 設定 さ れます。
percentage: <ratio>
Number
ブ ロ ッ ク するパケ ッ ト のパーセ ン テージ を
指定 し ます。 値が 100 である場合は、 すべ
てのパケ ッ ト がブ ロ ッ ク さ れます。
表 110: ブ ロ ッ ク ルール キーワー ド の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
361
付録 A: 高度なパ ラ メ ー タ
不正侵入防御の防御レ スポン ス キーワー ド
は じ めに
不正侵入防御 ソ フ ト ウ ェ アは、 1 つ以上の防御レ ス ポ ン ス を実行 し て、 攻撃 イ シ ュ ーや監査 イ
シ ュ ーが検出 さ れた と き に自動的にブ ロ ッ ク す る こ と がで き ます。
新 し いレ スポン スの作成 次の高度なパ ラ メ ー タ を使用 し て、 攻撃ま たは監査の イ シ ュ ーに対す る 新 し い レ ス ポ ン ス を作成 し
た り 、 既存レ ス ポ ン ス よ り も 優先 さ せた り す る こ と がで き ます。
ipm.issue.response.issueid
防御レ スポン ス キー
ワー ド の説明
不正侵入防御 ソ フ ト ウ ェ アは、 次の防御レ ス ポ ン ス キーワ ー ド を認識 し ます。
レ スポン ス キーワー ド
説明
block-connection または
block
不正侵入防御 ソ フ ト ウ ェ アは、 PAM 接続 タ ギングを使用 し て、
現在の TCP 接続に関連付け ら れた今後のパケ ッ ト をすべて ド
ロ ッ プ し ます。 UDP な どの コ ネ ク シ ョ ン レ ス型プ ロ ト コルの場
合は、 現在のパケ ッ ト が ド ロ ッ プ さ れます。
block-future-icmp-traffic また
は block-icmp-traffic
PAM によ っ て推奨 さ れているか、 設定フ ァ イルで指定 さ れてい
る各ブ ロ ッ ク ルールに関 し て、 不正侵入防御ソ フ ト ウ ェ アは、
指定方向のみの今後の ICMP ト ラ フ ィ ッ ク をすべて ブ ロ ッ ク す
る ため、 隔離ルール テーブルに項目を 1 つ追加 し ます。
block-future-traffic または
block-traffic
PAM によ っ て推奨 さ れているか、 設定フ ァ イルで指定 さ れてい
る各ブ ロ ッ ク ルールに関 し て、 不正侵入防御ソ フ ト ウ ェ アは、
双方向の今後の ト ラ フ ィ ッ ク をすべて ブ ロ ッ ク する ため、 隔離
ルール テーブルに一対の項目を追加 し ます。
block-intruder
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 侵入側ホス ト と 被害側ホス ト の間で今後発生する ト
ラ フ ィ ッ ク をすべて ブ ロ ッ ク する ために、 一対の項目を隔離
ルール テーブルに追加 し ます。 現在のパケ ッ ト が TCP ではない
場合、 措置は と られません。
block-Trojan
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 被害側ホス ト 上の被害側ポー ト を出入 り する今後の
ト ラ フ ィ ッ ク をすべて ブ ロ ッ ク する ために、 一対の項目を隔離
ルール テーブルに追加 し ます。 現在のパケ ッ ト が TCP ではない
場合、 措置は と られません。
block-worm
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 侵入側ホス ト と 任意のシ ス テム上の被害側ポー ト と
の間で今後発生する ト ラ フ ィ ッ ク をすべて ブ ロ ッ ク する ために、
一対の項目を隔離ルール テーブルに追加 し ます。 現在のパケ ッ
ト が TCP ではない場合、 措置は と ら れません。
drop-packet または drop
不正侵入防御 ソ フ ト ウ ェ アは、 現在のパケ ッ ト を ド ロ ッ プ し ま
す。 このパケ ッ ト は、 宛先ま で転送 さ れません。
none
現在のイ シ ュ ーに対 し て防御レ スポン ス を行わないよ う に指定
し ます。
重要 : こ のキーワー ド は、 その他のレ スポン ス キーワー ド と 同
時に使用 し ないで く だ さ い。
表 111: 防御レ スポン ス キーワー ド の説明
362
不正侵入防御の防御レ スポン ス キーワー ド
レ スポン ス キーワー ド
説明
reset
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 侵入側 と 被害側の両方に TCP リ セ ッ ト パケ ッ ト を送
信 し ます。 現在のパケ ッ ト が TCP ではない場合、 措置は と ら れ
ません。
注記 :
reset-intruder
•
高度なパラ メ ー タ ipm.allow.reset が無効にな っ ている と 、 こ
のレ スポン スは無視 さ れます。
•
場合によ っ ては、 攻撃の影響を緩和する ために、 PAM が被
害側への現在のパケ ッ ト を変更する こ と があ り ます。 高度な
パラ メ ー タ ipm.allow.modify が無効にな っ ている と 、 このレ
スポン スは無視 さ れます。
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 TCP リ セ ッ ト パケ ッ ト を侵入側に送信 し ます。 現在
のパケ ッ ト が TCP ではない場合、 措置は と ら れません。
注記 : 高度なパラ メ ー タ ipm.allow.reset が無効にな っ ている と 、
このレ スポン スは無視 さ れます。
reset-victim
現在のパケ ッ ト が TCP パケ ッ ト であれば、 不正侵入防御ソ フ ト
ウ ェ アは、 TCP リ セ ッ ト パケ ッ ト を被害側に送信 し ます。 現在
のパケ ッ ト が TCP ではない場合、 措置は と ら れません。
注記 :
•
高度なパラ メ ー タ ipm.allow.reset が無効にな っ ている と 、 こ
のレ スポン スは無視 さ れます。
•
場合によ っ ては、 攻撃の影響を緩和する ために、 PAM が被
害側への現在のパケ ッ ト を変更する こ と があ り ます。 高度な
パラ メ ー タ ipm.allow.modify が無効にな っ ている と 、 このレ
スポン スは無視 さ れます。
表 111: 防御レ スポン ス キーワー ド の説明 ( 続き )
Proventia® Network Multi-Function Security Appliance User Guide
363
付録 A: 高度なパ ラ メ ー タ
ス テー タ ス サマ リ の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 ス テー タ ス サマ リ 通知の高度なパ ラ メ ー タ 高度なパ ラ メ ー タ について説明 し
ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
説明
次の表では、 高度な調整パ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の
種類 / 値
デ フ ォル
ト値
説明
stat_alert.weekly.<day>
String
なし
ス テー タ ス サマ リ イ ベン ト の通知を、
特定の曜日の特定の時刻にスケジ ュ ー リ
ング し ます。 [Name] フ ィ ール ド の
<day> 値は曜日、 [String] の値は時刻を
示 し ます。 [String] の値は次の形式で指
定 し て く だ さ い。
HH:MM:SS
stat_alert.daily
String
08:00:00
ス テー タ ス サマ リ イ ベン ト の通知を、
毎日の特定の時刻にスケジ ュ ー リ ング し
ます。 [String] の値は時刻を示 し ます。
[String] の値は次の形式で指定 し て く だ
さ い。
HH:MM:SS
stat_alert.hourly.
<interval>
String
なし
指定時刻に開始する期間にス テー タ ス サ
マ リ イ ベン ト 通知を スケジ ュ ー リ ング し
ます。 [Name] フ ィ ール ド の <interval>
値は期間の時間数、 [String] の値は期間
が開始する時刻を示 し ます。 [String] の
値は次の形式で指定 し て く だ さ い。
HH:MM:SS
表 112: ステー タ ス サマ リ 通知の高度なパラ メ ー タ の説明
364
Web フ ィ ル タ の高度なパ ラ メ ー タ
Web フ ィ ル タ の高度なパラ メ ー タ
は じ めに
こ の ト ピ ッ ク では、 Proventia M シ リ ーズ アプ ラ イ ア ン ス の Web フ ィ ル タ の高度なパ ラ メ ー タ につ
いて説明 し ます。
高度なパラ メ ー タ の追
加、 編集、 および削除
高度なパ ラ メ ー タ の追加、 編集、 お よ び削除の手順については、 「高度なパ ラ メ ー タ の概要」
(324 ページ ) を参照 し て く だ さ い。
高度なパラ メ ー タ の説明 次の表では、 Web フ ィ ル タ の高度な調整パ ラ メ ー タ について説明 し ます。
名前
フ ィ ール ド の
種類 / 値
デ フ ォル ト 値
説明
wfm.webfilter.
config.log_level
Numeric
0
このパラ メ ー タ を使用 し て、 よ り 高
い詳細度 (3 または 4) で ロギングを設
定 し ます。 パラ メ ー タ を入力 し 、
[Value] セ ク シ ョ ンの [Number]
フ ィ ール ド に数値を入力 し ます。
このパラ メ ー タ は、 [Event
Notification] タ ブの設定よ り も 詳細
な ロギング を提供 し ます。
[Enable Event Logging] チ ェ ッ ク
ボ ッ ク スは、 デ フ ォル ト ではオ フ に
な っ ています。 この設定でのロギン
グ レベルは 0 です。
[Enable Event Logging] チ ェ ッ ク
ボ ッ ク ス を オンにする と 、 [Log Only
Blocked Web Page Requests] も デ
フ ォル ト でオンにな り ます。 この場
合のロギング レベルは 1 です。
[Log All Web Page Requests] を オン
に し た場合、 ロギング レベルは 2 で
す。
表 113: Web フ ィ ル タ の高度なパラ メ ー タ の説明
Proventia® Network Multi-Function Security Appliance User Guide
365
付録 A: 高度なパ ラ メ ー タ
366
索引
d
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
HyperText Transfer Protocol (HTTP)、 フ ィ ル タ リ ン グ
Dead Timeout
DHCP
180
143
i
78
DHCP サービ ス の設定 と 有効化
78
設定の操作 81
推奨事項
IANA
ICMP
ビル ト イ ンの DHCP サーバーの設定
リ ース の表示 と コ ピー
79
Web サ イ ト
128
79, 80
128
Diffie-Hellman グループ
DNS
DSA 証明書要求
IPSEC
8
236, 279
サポー ト 対象のプ ロ ト コ ル
291
DNS 検索パ ス、 初期設定
8
テ ク ニ カル サポー ト
リ レー エージ ェ ン ト の設定 と 有効化
DHCP リ ース の リ リ ースお よ び更新
263
RADIUS ク ラ イ ア ン ト
Internet Security Systems
80
リ ース の リ リ ースお よ び更新
384
127
IKE ポ リ シー
304
リ ース と ス テー タ ス の表示
280
285
ポ リ シーの追加 284
ポ リ シー管理
29
254
IP ア ド レ ス
初期設定のデフ ォ ル ト
e
33
187
変換
178
IP ス プーフ ィ ン グ
Encapsulating Security Protocol (ESP)
ESP
181
280
l
280
f
L2TP
File Transfer Protocol (FTP)
L2TP/IPSEC VPN 接続
236
L2TP IP ア ド レ ス プール
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
File Transfer Protocol (FTP)、 フ ィ ル タ リ ン グ
FTP
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
181
180
181
248
設定
272
L2TP ト ン ネル認証
L2TP ホ ス ト 名
LCD
272
38
39
h
再起動
HTTP
バージ ョ ン情報の確認
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
使用 と 無効化
181
271
ボタン
38
38
38
HTTP サービ ス 85
HyperText Transfer Protocol (HTTP)
Proventia® Network Multi-Function Security Appliance User Guide
367
索引
m
接続の再接続
PPTP
174
MAC ア ド レ ス制御
174
36
一般的な操作手順
36
Proventia Manager パ ス ワ ー ド
n
NAT
236
Proventia Manager
MAC ア ド レ ス フ ィ ル タ リ ン グ
127
変更
74
74
33
33
124
Proventia Setup Assistant
187
ロ グ イ ン資格情報
192
コ ンセプ ト 187
ポ リ シーの追加 192
例 189
NAT の各段階 187
ガイ ド ラ イン
PXE ブー ト サーバー
r
Network Access Server (NAS)
RADIUS ク ラ イ ア ン ト 263
RADIUS ク ラ イ ア ン ト と サーバー
264
Network Address Translation (NAT)
169, 187
有効化
264
RADIUS ク ラ イ ア ン ト と プ ラ イ マ リ サーバー
o
設定
RADIUS サーバー
Open Shortest Path First (OSPF)
イ ン タ ーフ ェ ース の定義
root パ ス ワー ド
変更
ス テー タ ス の表示
ルー タ ーの定義
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
55
181
83
フ ィ ル タ リ ン グ 180
サービ ス設定
304
86
Simple Network Management Protocol (SNMP)
SiteProtector
p
コ ン ポーネ ン ト の説明
195
Ping of Death 178
ping コ マ ン ド 127
プ ラ イ マ リ 管理 イ ン タ ーフ ェ ース
200
POP3、 フ ィ ル タ リ ン グ 180
Post Office Protocol 3 (POP3) 181
スパムの ス キ ャ ン
51
プ ラ イ マ リ ネ ッ ト ワ ー ク イ ン タ ーフ ェース
SMTP
POP3
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
108
106
アプ ラ イ ア ン ス の統合
195
使用例
368
82
283
Security Parameters Index (SPI)
Simple Mail Transfer Protocol (SMTP)
66
57
ス テー タ ス の表示
PPPoE
74
Secure Shell (SSH) プ ロ ト コ ル
68
デー タ ベース の表示
PAT
263
74
s
63
304
仮想 リ ン ク の定義
設定の管理
55
61
59
エ リ アの定義
OSPF
264
181
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
83
サービ ス の管理 84
スパムの ス キ ャ ン 200
SNMP 86
サービ ス設定
51
181
索引
SNMP メ ッ セージ中の イ ベン ト 名の表示
SSH
86
82
Syn フ ラ ッ ド
207
207
Web フ ィ ル タ カ テ ゴ リ
コ ンテン ツ カテゴ リ
178
設定
205
Web フ ィ ル タ リ ン グ
t
205
URL ブ ロ ッ キ ン グ
オーバー ラ イ ド 、 「宛先許可 リ ス ト 」
127
traceroute コ マン ド
オーバー ラ イ ド 、 「発信元許可 リ ス ト 」
設定
u
UDP
205
テク ノ ロジ
205
207
Web フ ィ ル タ リ ン グのための宛先許可 リ ス ト 205, 206
Web フ ィ ル タ リ ン グのための宛先ブ ロ ッ ク リ ス ト 205,
206
Web フ ィ ル タ リ ン グのための発信元許可 リ ス ト 205, 206
ブ ロ ッ ク す る コ ン テ ン ツ カ テ ゴ リ の選択
127
205
URL のブ ロ ッ ク
v
Web プ ロ キ シ サーバー
VPN
アプ ラ イ ア ン ス ア ッ プデー ト の取得
設定 237
VPN ア ド レ ス
Web プ ロ キ シ サービ ス (HTTP)
RADIUS バ ッ ク ア ッ プ サーバーの設定
265
238
VPN ウ ィ ザー ド
RADIUS ク ラ イ ア ン ト
263
VPN ユーザー リ ス ト
236
251
117
z
アシン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン
w
184
ポ リ シーの設定
ア ッ プデー ト
Web 閲覧
ア ッ プデー ト の ロ ールバ ッ ク
205
Web コ ン テ ン ツ カ テ ゴ リ 207
使用ポ リ シーの適用
Web コ ン テ ン ツ フ ィ ル タ リ ン グ
Web サ イ ト のブ ロ ッ ク
120
117
119
SiteProtector か ら の入手
ア ッ プデー ト の検索
205
Web サ イ ト 、 Internet Security Systems
8
205
Web フ ィ ル タ
304
イ ベン ト の一覧 208
高度なパ ラ メ ー タ 365
ス テー タ ス の表示 304
ア ラ ー ト の表示
Web フ ィ ル タ イ ベン ト
ア ラ ー ト と 通知
85
210
Web ラ ーン機能
X-Press Update Server
234
VPN のネ ッ ト ワー ク プ ロ ト コ ル
85
x
VPN 設定
VPN ト ン ネル
206
206
オーバー ラ イ ド 、 「宛先ブ ロ ッ ク リ ス ト 」
127
traceroute のプ ロ ト コ ル
206
208
ロ ギ ン グ 208
Web フ ィ ル タ 機能
Proventia® Network Multi-Function Security Appliance User Guide
ア ッ プデー ト のダ ウ ン ロ ー ド
119
304
115
ア ラ ー ト の表示
イ ベン ト の一覧
自動に よ る ア ッ プデー ト の イ ン ス ト ール
手動に よ る ア ッ プデー ト の イ ン ス ト ール
種類 と 説明
113
120
111
セキ ュ リ テ ィ コ ン テ ン ツ ア ッ プデー ト
111
セキ ュ リ テ ィ コ ン テ ン ツ ア ッ プデー ト の削除
120
117
デー タ ベース ア ッ プデー ト 111
ト ラ ブルシ ュ ーテ ィ ン グ 120
代替ア ッ プデー ト サーバー
369
索引
154
ハ イ アベ イ ラ ビ リ テ ィ
124
要件
111
フ ァ ーム ウ ェ ア ア ッ プデー ト
180
ア ッ プデー ト イ ベン ト
115
ア ラ ー ト と 通知
ロ グ記録
宛先 NAT
アプ リ ケーシ ョ ン レ イ ヤー ゲー ト ウ ェ イ (ALG)
115
187
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
ア ド レ ス グループ
ア ド レ ス名
191
89
デフ ォ ル ト ポ リ シー
ポ リ シーの設定
78
DHCP サーバー
78
SSH での リ モー ト ア ク セ ス の有効化
111
20
再起動 127
シ ス テ ム レベル サービ ス
77
127
22
シャ ッ ト ダウン
ハー ド ウ ェ アの ラ イ ト
28
ア ンチ ウ ィ ルス ア ラ ー ト の表示
イ ベン ト の一覧
ア ラ ー ト と 通知
217
217
217
ロ ギング
ア ンチ スパム
ア ンチ スパム ア ラ ー ト の表示
304
ア ンチ スパムの ス テー タ ス と 統計値の表示
203
し き い値の削除 200
スパムの タ グ付け 200
イ ベン ト の一覧
73
39
アプ ラ イ ア ン ス フ ァ ーム ウ ェ アの再 イ ン ス ト ール
スパムの タ グ付け感度
設定
200
200
設定の考慮事項
防御設定
199
199
ア ンチ スパム イ ベン ト
ア ラ ー ト と 通知
ロ ギング
203
203
一般的なネ ッ ト ワ ー ク 攻撃
178
イ ベン ト
不正侵入の検出 と 防御
370
304
ア ンチ ウ ィ ルス イ ベン ト
アプ ラ イ ア ン ス のア ク セ ス制御 73
アプ ラ イ ア ン ス のシ ャ ッ ト ダ ウ ン
125
Mx1004 の手順 125
Mx3006 の手順 125
304
ア ンチ ウ ィ ルス の ス テー タ ス と 統計値の表示
アプ ラ イ ア ン ス ア ク セ ス ポ リ シー
M50 の手順
207
ア ンチ ウ ィ ルス
70
ルー タ ー と し て 26
ルーテ ィ ン グ モー ド 26
アプ ラ イ ア ン ス ア ク セ ス 75
ア ク セ ス試行の ロ グ記録 75
デフ ォ ル ト ポ リ シー 75
ポ リ シーの設定 75
ポ リ シー例 75
ネ ッ ト ワ ー ク オブジ ェ ク ト の使用
224
アル コ ール、 Web コ ン テ ン ツのブ ロ ッ ク
35
35
ブ リ ッ ジ デバ イ ス
LCD
208
ア ッ プデー ト イ ベン ト 115
ア ンチ ウ ィ ルス イ ベン ト 217
ア ンチ スパム イ ベン ト 203
シ ス テ ム イ ベン ト 102
表示 304
フ ァ イ ア ウ ォール イ ベン ト 178
不正侵入検知お よ び防御 イ ベン ト
ト ラ ン スペア レ ン ト モー ド
ネ ッ ト ワ ー ク への接続
181
Web フ ィ ル タ イ ベン ト
82
機能
設定プ ロ セ ス
181
ア ラー ト
DHCP リ レー エージ ェ ン ト
ア ッ プデー ト
180
セ ミ ト ラ ン スペア レ ン ト 操作
アプ ラ イ ア ン ス
181
180
使用例
89
180
181
ゲー ト ウ ェ イ の一覧
ポ リ シーの追加
169,
アプ リ ケーシ ョ ン層 ト ラ フ ィ ッ ク フ ィ ル タ リ ン グ
224
304
索引
208
ア ッ プデー ト 115
ア ンチ ウ ィ ルス 217
ア ンチ スパム 203
シ ス テ ム 102
フ ァ イ ア ウ ォール 178
Web フ ィ ル タ
高度なパ ラ メ ー タ
DHCP
イ ベン ト 通知
不正侵入検知お よ び防御 イ ベン ト
343
デー タ ベース
351
ハ イ アベ イ ラ ビ リ テ ィ
347
フ ァ イ ア ウ ォールま たは VPN
352
不正侵入防御
205
コ ンテン ツ フ ィ ルタ リ ング
205
URL のブ ロ ッ ク
224
イ ベン ト 名
205
Web サ イ ト のブ ロ ッ ク
オーバー ラ イ ド 、 「宛先許可 リ ス ト 」
SNMP メ ッ セージの表示
86
オーバー ラ イ ド 、 「発信元許可 リ ス ト 」
設定
33
初期設定
ト ラ ン スペア レ ン ト モー ド の管理
プ ラ イ マ リ 管理 イ ン タ ーフ ェ ース
ルーテ ィ ン グ モー ド での管理
オペレーテ ィ ン グ シ ス テ ム
69
51
49
隔離ルールの管理
51
51
219
226
39
サブネ ッ ト ワ ー ク 間の DHCP メ ッ セージの リ レー
要求
146
80
207
256
257
256
セ ッ ト ア ッ プ プロセス
256
システム
管理 IP ア ド レ ス
304
イ ベン ト の一覧 102
ス テー タ ス の表示 304
ア ラ ー ト の表示
71
74
変更 74
キー情報
キー交換で使用
LCD
管理
279
44
再起動
自己証明書
カプセル化方式
管理者パ ス ワ ー ド
205
フ ィ ル タ リ ン グ 199
シガ レ ッ ト 、 Web コ ン テ ン ツのブ ロ ッ ク
397
監視 IP ア ド レ ス
207
例外の定義 206
コ ン テ ン ツ分析
サービ ス、 アプ ラ イ ア ン ス で利用可能
プ ラ イ マ リ 管理 イ ン タ ーフ ェ ース
隔離 さ れた フ ァ イ ル
205
ブ ロ ッ ク す る コ ン テ ン ツ カ テ ゴ リ の選択
スパム
外部 イ ン タ ーフ ェ ース
ルーテ ィ ン グ モー ド の設定
206
206
Web フ ィ ル タ リ ン グ
123
バ ッ ク ア ッ プ と 復元
206
オーバー ラ イ ド 、 「宛先ブ ロ ッ ク リ ス ト 」
6
印刷上の表記規則
イ ン タ ーフ ェ ース
シ ス テ ム イ ベン ト
ア ラ ー ト と 通知
283
ロ グ記録
既知の スパム ソ ース
定義
364
ス テー タ ス サマ リ
208
ア ッ プデー ト イ ベン ト 115
ア ンチ ウ ィ ルス イ ベン ト 217
ア ンチ スパム イ ベン ト 203
シ ス テ ム イ ベン ト 102
フ ァ イ ア ウ ォール イ ベン ト 178
説明
365
326
345
ア ンチ スパム
Web フ ィ ル タ イ ベン ト
IPSEC
344
Web フ ィ ル タ
イ ベン ト 通知
仮想 IP
26
ルーテ ィ ン グ モー ド
102
シ ス テ ム サポー ト フ ァ イ ル
200
24
シ ス テ ム設定
機能
ト ラ ン スペア レ ン ト モー ド
102
28
Proventia® Network Multi-Function Security Appliance User Guide
工場出荷時設定の復元
122
371
索引
122
バ ッ ク ア ッ プ と 復元
シ ス テ ム ツール
127
スパムの タ グ付け
シ ス テ ムのせっ てい
概要
ス パム の フ ィ ル タ リ ン グ
44
46
スパ イ ウ ェ ア、 ト ロ イ の木馬、 ウ ィ ルス
103
77
メ ールに よ る ア ラ ー ト
シ ス テ ム レベル サービ ス
設定
防御設定
証明書 258
実装の考慮事項
静的 NAT
113
自動に よ る アプ ラ イ ア ン ス ア ッ プデー ト
132
セカ ン ダ リ アプ ラ イ ア ン ス
障害が発生 し た HA アプ ラ イ ア ン ス の交換
119
159
統計値
282
282
ホ ス ト 通信の定義
セキ ュ リ テ ィ ア ソ シエーシ ョ ン (SA) デー タ ベース
86
235
セキ ュ リ テ ィ ゲー ト ウ ェ イ
258
失効 リ ス ト の イ ン ス ト ール
セキ ュ リ テ ィ コ ン テ ン ツ ア ッ プデー ト
初期設定
手動に よ る イ ン ス ト ール
33
イ ン タ ーフ ェ ース
第 2 層のア ク セ ス制御
255
ポ リ シー管理
図
Open Shortest Path First (OSPF)
監視 IP ア ド レ ス、 物理ネ ッ ト ワ ー ク
監視 IP ア ド レ ス、 論理ネ ッ ト ワ ー ク
ト ラ ン スペア レ ン ト モー ド
ネ ッ ト ワ ー ク ア ド レ ス変換
183
147
148
28
188
ハ イ アベ イ ラ ビ リ テ ィ 物理ネ ッ ト ワ ー ク
ルーテ ィ ン グ モー ド
27
138, 134
スナ ッ プシ ョ ッ ト の設定
208
ア ッ プデー ト イ ベン ト 115
ア ンチ ウ ィ ルス イ ベン ト 217
ア ンチ スパム イ ベン ト 203
シ ス テ ム イ ベン ト 102
フ ァ イ ア ウ ォール イ ベン ト 178
Web フ ィ ル タ イ ベン ト
自動に よ る イ ン ス ト ール
122
手動に よ る イ ン ス ト ール
199
既知の スパム ソ ース の定義
200
111
113
119
テ ク ニ カル サポー ト
200
200
シ ス テ ム サポー ト フ ァ イ ル
200
207
通知
デー タ ベース ア ッ プデー ト
304
件名の タ グ付け
175
不正侵入検知お よ び防御 イ ベン ト
ス テー タ ス情報
SMTP の ス キ ャ ン
174
タ バ コ 、 Web コ ン テ ン ツのブ ロ ッ ク
55
アシ ン メ ト リ ッ ク リ ダ イ レ ク シ ョ ン
POP3 の ス キ ャ ン
122
設定、 バ ッ ク ア ッ プ と 復元
信頼 さ れた認証局
イ ン ス ト ール
120
手動に よ る 削除
35
111
113
119
自動に よ る イ ン ス ト ール
33
Proventia Setup Assistant
初期設定後
282
セキ ュ リ テ ィ ア ソ シエーシ ョ ン (SA)
283
手動に よ る アプ ラ イ ア ン ス ア ッ プデー ト
372
49
54
静的ルー ト の管理
113
設定 と ス ケ ジ ュ ール
200
187
静的ルーテ ィ ン グ
自動ア ッ プデー ト
情報の取得
証明書
200
スパム メ ールの タ グ付け
28
26
ルーテ ィ ン グ モー ド
手動キー管理
199
199
スパムのブ ロ ッ ク
ト ラ ン スペア レ ン ト モー ド
199
200
テク ノ ロジ
失効 リ ス ト
スパム
199
考慮すべ き 事項
チェ ッ ク リ ス ト
表示
200
200
削除 と タ ギ ン グ
24
224
282
索引
連絡
24
テ ク ニ カル サポー ト 、 Internet Security Systems
8
デフ ォ ル ト ポ リ シー
181
電子 メ ール
200
ト ラ ン スペア レ ン ト モー ド の無効化
200
ト ラ ン スペア レ ン ト モー ド の有効化
200
正当な発信元の識別 200
スパムのブ ロ ッ ク
ルーテ ィ ン グ モー ド
内部接続 と 外部接続の監視
28
26
187
動的ア ド レ ス 92
MD5
291
291
Secure Hash Algorithm (SHA1)
92
IP ア ド レ ス の関連付け
280
認証ヘ ッ ダー
99
97
ヌ ル モデム ケーブル
125
ネ ッ ト ワ ー ク オブジ ェ ク ト
89
ア ド レ ス グループ
94
制約 98
定義手順 92
使用例
89
ア ド レ ス名
アプ ラ イ ア ン ス ア ク セ ス ポ リ シー
ルーテ ィ ン グ モー ド
管理
99
ト ラ ン スペア レ ン ト モー ド
87
定義
49
ド ラ ッ グ、 Web コ ン テ ン ツのブ ロ ッ ク
87
説明 と 長所
78
89
動的ア ド レ ス
207
75
91
シ ス テ ム定義 と ユーザー定義
97
動的ホ ス ト 設定サービ ス (DHCP)
動的ルーテ ィ ン グ
171
フ ァ イ ア ウ ォールでの防御
認証
動的 NAT
92
アプ ラ イ ア ン ス ア ク セ ス ポ リ シーでの使用
ト ラ ッ プ機能 86
ト ラ フ ィ ッ ク の転送
ビル ト イ ン動的ア ド レ ス
70
ト ラ ン スペア レ ン ト モー ド
フ ァ イ ア ウ ォール ルールでの使用
ア ク セ ス に使用 さ れ る IP ア ド レ ス の変更
アプ ラ イ ア ン スへのア ク セ ス
71
71
ポー ト グループ
ポー ト 名
28
要件
28
89
35
ネ ッ ト ワ ー ク デバ イ ス
ト ラ フ ィ ッ ク の転送
ネ ッ ト ワ ー ク オブジ ェ ク ト の定義
ネ ッ ト ワーク プ ロ ト コル
内部 イ ン タ ーフ ェ ース の無効化
内部 イ ン タ ーフ ェ ース の有効化
フ ァ イ ア ウ ォール ルール
IPSEC
71
71
L2TP
PPTP
174
フ ァ イ ア ウ ォール ア ク セ ス ポ リ シー
174
169
89
図
70
169
89
ネ ッ ト ワ ー ク ケーブルの接続
28
説明 28, 44
73
97
フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーでの使用
ト ラ ン スペア レ ン ト モー ド
実装の考慮事項
51
146
内部ネ ッ ト ワ ー ク
ト ラ ン スペア レ ン ト
機能
71
71
ルーテ ィ ン グ モー ド の設定
動作モー ド
シ ス テ ム定義
234
ト ン ネル モー ド 279
内部 イ ン タ ーフ ェ ース
スパム ソ ース の定義
ア ッ プグ レー ド
279
ト ラ ン ス ポー ト モー ド
ト ンネ リ ング
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
スパムの タ グ
186
ロ ーカル ルー タ ーの定義
87
236
236
236
バージ ョ ン情報
LCD での確認
38
134
ア ッ プデー ト 作業の概要 154
ハ イ アベ イ ラ ビ リ テ ィ
Proventia® Network Multi-Function Security Appliance User Guide
373
索引
137
HA 専用 イ ン タ ーフ ェ ース
143
Virtual Gateway 143
ア ッ プデー ト 要件 151, 154
アプ ラ イ ア ン ス の管理 151
アプ ラ イ ア ン ス の再初期化 159
イ ン タ ーフ ェ ース名 143
監視 IP ア ド レ ス 146
Shared Secret
172
172
ト ラ フ ィ ッ ク の許可
ト ラ フ ィ ッ ク の拒否
169
プ ロ ト コ ルに基づ く ポ リ シーの定義 175
プ ロ ト コ ル フ ィ ル タ リ ン グ 174
ルーテ ィ ン グ モー ド 171
ネ ッ ト ワ ー ク オブジ ェ ク ト の使用
159
フ ァ イ ア ウ ォール イ ベン ト
ア ラ ー ト と 通知
151
ス テー タ ス の表示 151
代替 ノ ー ド 149
物理ネ ッ ト ワ ー ク 図 138
論理ネ ッ ト ワ ー ク 図 134
パケ ッ ト フ ィ ル タ リ ン グ 169
ス テー タ ス情報
178
178
ロ ギング
フ ァ イ ア ウ ォール ポ リ シー
移行
177
廃止予定の設定
177
フ ァ イ ア ウ ォール ポ リ シーの廃止予定の設定
第 2 層のア ク セ ス制御
74
174
MAC ア ド レ ス に基づ く ルールの定義
74
MAC ア ド レ ス フ ィ ル タ リ ン グ
バ ッ ク ア ッ プ と 復元
122
123
173
管理
フル シ ス テ ム
171, 174
デフ ォ ル ト ルール 176
ト ラ ン スペア レ ン ト モー ド 174
ト ラ フ ィ ッ ク の許可 172
ト ラ フ ィ ッ ク の拒否 172
コ ン セプ ト の概要
187
ポ リ シーの設定
パネルの ラ イ ト
190
35
パブ リ ッ ク IP ア ド レ ス
187
犯罪行為、 Web コ ン テ ン ツのブ ロ ッ ク
207
表記規則、 印刷上
手順
本書
フ ィ ル タ デー タ ベース
自動に よ る イ ン ス ト ール
手動に よ る イ ン ス ト ール
フ ァ イ ア ウ ォール
111
113
119
210
既存のア ッ プデー ト 211
Web ラ ーン機能
手動に よ る ア ッ プデー ト の イ ン ス ト ール
178
304
フ ァ イ ア ウ ォール ス テー タ ス の表示 304
ロ ーカル ルー タ ーの定義 186
フ ァ イ ア ウ ォール ア ク セ ス ポ リ シー
MAC ア ド レ ス に基づ く ポ リ シーの定義
MAC ア ド レ ス フ ィ ル タ リ ン グ
173
第 2 層のア ク セ ス制御
374
113
119
自動に よ る ア ッ プデー ト の イ ン ス ト ール
フ ァ イ ア ウ ォール ア ラ ー ト の表示
管理
171
210
ルーテ ィ ン グ モー ド
フ ァ ーム ウ ェ ア ア ッ プデー ト
169
175
174
プロ ト コル フ ィ ルタ リ ング
6
6
イ ベン ト の一覧
ネ ッ ト ワ ー ク オブジ ェ ク ト の使用
プ ロ ト コ ルに基づ く ルールの定義
6
コマン ド
174
174
シ ス テ ム設定のみ
発信元 NAT
177
フ ァ イ ア ウ ォール ルール
パス ワー ド
忘れた場合
174
ト ラ ン スペア レ ン ト モー ド
障害が発生 し た アプ ラ イ ア ン ス の交換
管理
176
デフ ォ ル ト ポ リ シー
174
174
174
フル バージ ョ ンの入手
126, 211
フ ィ ルタ リ ング
Web ト ラ フ ィ ッ ク
180
電子 メ ール ト ラ フ ィ ッ ク
フ ァ イ ル転送 ト ラ フ ィ ッ ク
180
180
フ ィ ル タ リ ン グ、 アプ リ ケーシ ョ ン層
ブー ト ロ ーダ パス ワ ー ド
有効化 と 無効化
不正侵入検知
74
74
180
索引
224
イ ベン ト の一覧
304
不正侵入ス テー タ ス の表示 304
不正侵入ア ラ ー ト の表示
マニ ュ アルの場所
無効なパケ ッ ト
不正侵入検知お よ び防御 イ ベン ト
ア ラ ー ト と 通知
メ ール ア ド レ ス
正当なア ド レ ス の定義
メ ール サーバー
224
メ ールに よ る ア ラ ー ト
不正侵入防御
メ ール リ レーの阻止
イ ベン ト の一覧
304
不正侵入ス テー タ ス の表示 304
ブ ロ ッ ク ルール 360
防御レ ス ポ ン ス キーワ ー ド 362
プ ラ イ ベー ト IP ア ド レ ス 187
プ ラ イ マ リ アプ ラ イ ア ン ス 132
プ ラ イ マ リ 管理 イ ン タ ーフ ェ ース 51
プ ラ イ マ リ ネ ッ ト ワ ー ク イ ン タ ーフ ェース
設定の管理
例
フルバ ッ ク ア ッ プ
プ ロ キシ サーバー
200
メ ールの認証 83
メ ール リ レー制御 83
51
メ ッ セージ ダ イ ジ ェ ス ト
70
バー
263
DSA 証明書
254
要求
123
プ ロ ト コ ル ア ク セ ス ルール
プロ ト コル フ ィ ルタ リ ング
防御レ ス ポ ン ス キーワ ー ド
ポー ト ア ド レ ス変換 (PAT)
85
360
175
174
362
195
リ モー ト アプ ラ イ ア ン ス ア ク セ ス サービ ス (SSH)
リ レー IP ア ド レ ス の編集
ルー タ ー
84
186
ロ ーカル ルー タ ーの定義
静的ルー ト の管理
54
70
ルーテ ィ ン グ と ブ リ ッ ジ ン グ
ルーテ ィ ン グ モー ド
89
ポー ト フ ォ ワ ーデ ィ ン グ
外部 イ ン タ ーフ ェ ース の設定
196
ポー ト 名 89
機能
ポ リ シー
図
設定
IKE
26
27
説明 26, 44
190
51
171
内部 イ ン タ ーフ ェ ース の設定
フ ァ イ ア ウ ォール ルール
ポ リ シーの設定
アプ ラ イ ア ン ス ア ク セ ス
フ ァ イ ア ウ ォール ア ク セ ス ポ リ シー
75
アプ リ ケーシ ョ ン層ゲー ト ウ ェ イ (ALG)
ホワ イ ト リ ス ト
51
26
実装の考慮事項
288
発信元 NAT
82
ルーテ ィ ン グ
195
発信元 NAT
ポ リ シーの状態
197, 213, 221
ラ イ セン ス キー フ ァ イ ルの生成
ブ ロ ッ ク ルール キー ワー ド
ポー ト グループ
291
認証アルゴ リ ズ ム
ユーザー名 / パ ス ワー ド ペア認証用 RADIUS サー
ア ッ プデー ト 取得のためのアプ ラ イ ア ン ス の有効化
例
83
スパムの タ グ
199
ブ リ ッ ジ ン グ と ルーテ ィ ン グ
103
メ ールの件名行
70
ブリ ッジ
83
104
メ ール認証サービ ス
199
スパム フ ィ ル タ リ ン グ
200
103
設定
不正侵入ア ラ ー ト の表示
ブラ ッ ク リ ス ト
4
178
224
224
ロギング
199
スパム フ ィ ル タ リ ン グ
181
190
199
ロ ーカル ド メ イ ンの編集
84
ロ ギング
Web フ ィ ル タ
208
ア ンチ ウ ィ ルス イ ベン ト
ア ンチ スパム イ ベン ト
Proventia® Network Multi-Function Security Appliance User Guide
171
217
203
375
索引
178
フ ァ イ ア ウ ォール イ ベン ト
不正侵入検知お よ び防御 イ ベン ト
224
ロ グ イ ン資格情報
administrator
74
Proventia Manager
74
Proventia Setup Assistant
root
33
74
ブー ト ロ ー ド プ ロ グ ラ ム
ロ グ記録
74
115
アプ ラ イ ア ン ス ア ク セ ス 75
シ ス テ ム イ ベン ト 102
ア ッ プデー ト イ ベン ト
ロ グ フ ァ イル
管理
表示
306
304
ワ イ ル ド カー ド に よ る 検索
307
ワ イ ル ド カー ド
メ ール送信者のホ ワ イ ト リ ス ト と ブ ラ ッ ク リ ス ト
認証
376
291
201
用語集
802.3 Ethernet Standard (802.3 イ ーサネ ッ ト 標準 )—「802.3」 と い う 用語は、 「 イ ーサネ ッ ト 」 と い う 用語の代
わ り に、 ま たは こ れ と 併せて使用 さ れ る こ と が多 く 見 ら れ ます。 802.3 IEEE グループは、 DIX イ ーサネ ッ
ト と 同等の機能を持つ CSMA/CD ネ ッ ト ワー ク の動作を標準化 し ま し た。 「 イ ーサネ ッ ト 」 と い う 用語
は、 DIX イ ーサネ ッ ト 実装 と IEEE 802.3 標準を総称 し た も のです。
a
Access Policy ( ア ク セス ポ リ シー )—フ ァ イ ア ウ ォールの属性を定義す る 、 一連の フ ァ イ ア ウ ォール設定。
フ ァ イ ア ウ ォ ールはネ ッ ト ワー ク パケ ッ ト を調査 し 、 ア ク セ ス ポ リ シー内のルールに基づいてパケ ッ ト
の受容ま たは拒否を決定 し ます。 ア ク セ ス ポ リ シーは、 [Access Policy] ページで設定 し ます。
ABR —Area Border Router。 1 つ以上の OSPF 領域の境界に置かれた、 こ れ ら 領域をバ ッ ク ボーン ネ ッ ト ワー ク に
接続す る ルー タ ーです。 ABR は、 OSPF バ ッ ク ボーン と 付属エ リ アの両方に属す る と 見な さ れてい ます。
ま た、 バ ッ ク ボーン の ト ポ ロ ジ と その他エ リ アの ト ポ ロ ジの両方が記載 さ れたルーテ ィ ン グ テーブルを
維持 し ます。
Address Group ( ア ド レ ス グループ )—1 つ以上のア ド レ ス名ま たは 1 つ以上のア ド レ ス グループ を含むネ ッ ト
ワー ク オブジ ェ ク ト 。
Address Name ( ア ド レ ス名 )—任意の IP ア ド レ ス、 単一の IP ア ド レ ス、 単一の IP ア ド レ ス範囲、 単一の IP ア
ド レ ス と CIDR マ ス ク 、 ま たは単一のア ド レ ス リ ス ト を含むネ ッ ト ワ ー ク オブジ ェ ク ト 。 注記 :1 つのア
ド レ ス リ ス ト には、 1 つ以上の IP ア ド レ ス範囲を含め る こ と がで き ます。
AES —Advanced Encryption Standard (AES) は、 128 ビ ッ ト のデー タ ブ ロ ッ ク を処理で き る対称型ブ ロ ッ ク 暗号で
す。 キーの長 さ は 128、 192、 ま たは 256 ビ ッ ト と し て く だ さ い。
AH —認証ヘ ッ ダー (Authentication Header: AH) は、 デー タ の完全性、 起点認証、 お よ び リ プ レーに対す る抵抗性 (
オプシ ョ ン ) を提供 し ます。 AH の主な機能は、 認証サービ ス を提供す る こ と です。 機密性は提供 さ れま
せん。
ARP —Address Resolution Protocol。 ARP は、 Internet Protocol (IP) ア ド レ ス を、 対応す る物理ネ ッ ト ワー ク ア ド レ
ス に変換 し ます。 ARP は低レベルのネ ッ ト ワ ー ク プ ロ ト コ ルであ り 、 OSI モデルの第 2 層で機能 し ます。
ASBR —自律シ ス テ ム境界ルー タ ー (Autonomous System Boundary Router)。 ABR は、 OSPF 自律シ ス テ ム と OSPF
ではないネ ッ ト ワー ク と の間に位置 し ます。 ASBR は、 OSPF と 別のルーテ ィ ン グ プ ロ ト コ ル (RIP な ど )
の間で動作 し ます。 ASBR は ス タ ブではない OSPF エ リ ア内に存在す る 必要があ り ます。
Area Configuration ( エ リ ア設定 )—OSPF の場合、 エ リ ア と は IP がサブネ ッ ト 化 さ れたネ ッ ト ワ ー ク を一般化 し
た も のです。 0 ～ 0xFFFFFFFF の数値、 ま たは ド ッ ト 付 き 10 進数形式の IP ア ド レ ス と し て指定す る こ と
がで き ます。 エ リ ア 0 はバ ッ ク ボーン エ リ アであ り 、 デフ ォ ル ト の設定です。
Alternate Node ( 代替 ノ ー ド )—HA ク ラ ス タ 内の一対アプ ラ イ ア ン ス の う ち、 セカ ン ダ リ アプ ラ イ ア ン ス。
Alternate Node Interface ( 代替 ノ ー ド イ ン タ ー フ ェ ース )—HA ク ラ ス タ 内のセカ ン ダ リ アプ ラ イ ア ン ス の内部
イ ン タ ーフ ェース。
Authentication Algorithm ( 認証アルゴ リ ズム )—サポー ト さ れてい る 認証アルゴ リ ズ ムは、 MD5 と SHA1 です。
MD5 お よ び SHA1 を参照 し て く だ さ い。
Authentication Level ( 認証レ ベル )—SiteProtector は、 SSL 証明書を使用 し て認証を行い ます。 M シ リ ーズ アプ
ラ イ ア ン ス は こ の証明書を使用 し て、 SiteProtector への接続を認証 し ます。 認証レベルのオプシ ョ ンは、
Proventia® Network Multi-Function Security Appliance User Guide
377
用語集
次の と お り です。
trust-all - アプ ラ イ ア ン ス は、 SiteProtector が提示 し た SSL 証明書を使用 し ません。 アプ ラ イ ア ン ス はポー
ト 3995 ( ま たは指定 さ れたその他ポー ト ) におけ るすべての接続を信頼 し 、 こ のポー ト に接続可能な任意
のシ ス テ ム にア ラ ー ト を送信 し ます。
first-time-trust - アプ ラ イ ア ン ス は、 最初の接続において SSL 証明書を受け入れ、 格納 し ます。 その後の
SiteProtector デス ク ト ッ プ コ ン ト ロ ー ラ に対す る すべての接続において、 SiteProtector は同 じ 証明書を提
示す る 必要があ り ます。
explicit-trust - SiteProtector を認証す る ため、 接続の前にアプ ラ イ ア ン ス の正 し い場所に SSL 証明書を コ
ピーす る 必要があ り ます。 証明書は、 /cache/spool/crm/cacerts デ ィ レ ク ト リ に置いて く だ さ い。 [explicittrust] を選択 し た場合は、 追加の作業を行 う 必要があ り ます。 詳細については、 次の場所にあ る Internet
Security Systems ナレ ッ ジベース の Article 番号 2202 ( 英語 ) を参照 し て く だ さ い。
Authentication Mode ( 認証モー ド )—認証モー ド は、 ロ ーカル ピ アが リ モー ト ピ アに対 し て自分自身の身元を
証明す る 方法を定義 し ます。 オプシ ョ ン には Pre-Shared Key、 DSS Signed、 RSA Signed があ り ます。
b
Backbone ( バ ッ ク ボーン )—OSPF の場合、 バ ッ ク ボーン と は、 すべての OSPF エ リ ア設定が物理的に接続 し て
い る必要のあ る エ リ ア設定です。 バ ッ ク ボーン エ リ アには、 エ リ ア設定 ID 「0」 を割 り 当て る必要があ
り ます。
boot-P—BOOTstrap Protocol (boot-P) は、 デ ィ ス ク レ ス ワ ー ク ス テーシ ョ ンにネ ッ ト ワー ク 設定情報を提供す る
TCP/IP プ ロ ト コ ルです。 こ のプ ロ ト コ ルに よ っ て、 デ ィ ス ク を持た ない ワ ー ク ス テーシ ョ ンは、 起動時
に自分自身を動的に構成す る こ と がで き ます。 こ のプ ロ ト コ ルは、IP ア ド レ ス の割 り 当て、 中央サーバー
の IP ア ド レ ス の検出、 ホ ス ト に よ っ て ロ ー ド さ れ実行 さ れ る フ ァ イ ルの名前の検出、 と い っ た 3 つの
サービ ス を提供 し ます。 ワー ク ス テーシ ョ ンは、 初めて起動す る と き に BOOTP メ ッ セージ を中央サー
バーに送信 し ます。 中央サーバーは、 ネ ッ ト ワー ク 設定情報を ワ ー ク ス テーシ ョ ンに送 り 返 し ます。
BOOTP の代わ り に DHCP が使用 さ れ る 場合 も あ り ます。
c
Certificate Authority: CA ( 認証局 )—デジ タ ル署名 と パブ リ ッ ク / プ ラ イ ベー ト キーのペアの作成に使用 さ れ る
デジ タ ル証明書を発行す る 、 信頼 さ れた第三者機関。 認証局は、 固有の証明書を付与 さ れた個人が自 ら
名乗 る 身元を保証 し ます。 通常は、 CA が ク レ ジ ッ ト カー ド 会社な ど の金融機関 と 提携す る こ と 、 個人の
名乗 る 身元を確認す る ための情報を こ う し た機関に提供す る こ と を意味 し ます。
Certificate ( 証明書 )—デジ タ ル証明書は、 Web 通信保護の業界標準方式であ る Secure Sockets Layer (SSL) 技術を
使っ てデー タ を暗号化 し ます。 デジ タ ル証明書を イ ン ス ト ールす る と 、 SSL 機能がオ ン にな り ます。
CHAP—Challenge Handshake Authentication Protocol。 CHAP は ス リ ー ウ ェ イ ハン ド シ ェ イ ク を使用 し て、 ピ アの身
元を定期的に確認 し ます。 こ れは最初に接続を確立する と き に行われ、 接続が確立 さ れた後 も 任意に繰
り 返 さ れ る場合があ り ます。
Cost ( コ ス ト )—OSPF の場合、 コ ス ト は、 特定 イ ン タ ーフ ェース を通 じ てパケ ッ ト を送信す る ために必要 と な る
オーバーヘ ッ ド を示 し ます。 経路の コ ス ト は、 リ ン ク 帯域幅、 パケ ッ ト の宛先へ至 る ま でのホ ッ プ数、
ト ラ フ ィ ッ ク の平均負荷な ど さ ま ざ ま な要因に基づいて算出 さ れ ます。 イ ン タ ーフ ェ ース の コ ス ト は、
宛先へ至 る ま でのホ ッ プ数 と い う よ り も 、 リ ン ク 帯域幅に基づいて算出 さ れ ます。 コ ス ト 値は、 Spanning
Tree Protocol 用のポー ト に も 割 り 当て ら れます。 コ ス ト 値を使用 し て、 望ま し いパ ス を指定す る こ と がで
き ます。
Cluster ( ク ラ ス タ )—「ハ イ アベ イ ラ ビ リ テ ィ 」 を参照 し て く だ さ い。
378
用語集
d
Database Update ( デー タ ベース ア ッ プデー ト )—Web フ ィ ル タ 分類情報を含む、 ISS のデー タ ベース サーバー
か ら 入手可能な Web Filter and Antispam Database のア ッ プデー ト 。 デー タ ベース ア ッ プデー ト は、 ダ ウ ン
ロ ー ド と イ ン ス ト ールが自動的に行われます。
Dead Interval— こ の値は、 OSPF ルーテ ィ ン グ機能において、 アプ ラ イ ア ン ス がダ ウ ン し てい る と みなすま でに
隣接ルー タ ーが OSPF エ コ ー ( キープア ラ イ ブ ) パケ ッ ト を待機す る 時間を秒単位で指定 し ます。
Dead Timeout—セカ ン ダ リ HA アプ ラ イ ア ン ス が、 プ ラ イ マ リ アプ ラ イ ア ン スへ送信 し たハー ト ビー ト に対す
る 応答を待つ一定の期間。 デ ッ ド タ イ ム ア ウ ト 期間が切れ る と 、 セ カ ン ダ リ アプ ラ イ ア ン ス はプ ラ イ マ
リ アプ ラ イ ア ン ス に障害が発生 し た と 見な し 、 すべての イ ン タ ーフ ェース の仮想 IP ア ド レ ス を引 き 継ぎ
ます。
Delete Mode ( 削除モー ド )—Delete Mode では、 選択 し た削除 し き い値に従っ て ス パム メ ールが削除 さ れます。
メ ールに含まれ る ス パム内容が し き い値 よ り も 少ない場合は、 メ ールの件名に 「[SPAM]」 と い う ヘ ッ
ダーが追加 さ れ ます。 メ ールに含ま れ る ス パム内容が し き い値 よ り も 多い場合は、 メ ールが削除 さ れま
す。
Delete Threshold—[Delete Threshold] の設定を使用 し て、 スパム メ ールの タ グ付け ま たは削除の基準 と し て使わ
れ る ス パム内容の レベルを設定す る こ と がで き ます。
Deprecated—廃止予定の、 ま たは新 し い機能に取っ て代わ ら れた、 設定ま たは機能。
DES—Data Encryption Standard (DES) アルゴ リ ズ ムは、 64 ビ ッ ト か ら 成 る デー タ のブ ロ ッ ク を 64 ビ ッ ト キーの管
理下で暗号化お よ び復号化す る よ う に設計 さ れてい ます。 復号化は暗号化 と 同 じ キーを使用 し て行われ
ますが、 復号化プ ロ セ ス が暗号化プ ロ セ ス の逆にな る よ う に、 キー ビ ッ ト を扱 う タ イ ミ ン グが変更 さ れ
てい ます。 キーの長 さ は 3 文字 と し て く だ さ い。
3DES—通信の当事者間で共有 さ れ る Triple-Data Encryption Standard (3DES) の秘密キーは、 DES-CBC アルゴ リ ズ
ムの単純な変種です。 DES 機能は暗号化→復号化→暗号化 と 3 回実行 さ れ、 それぞれの段階で個別の
キー (k1、 k2、 k3) が使用 さ れます。 キーの長 さ は 24 文字 と し て く だ さ い。
Destination Address ( 宛先ア ド レ ス )—ネ ッ ト ワ ー ク パケ ッ ト を受信す る コ ン ピ ュ ー タ の IP ア ド レ ス
Destination Blacklist—Destination Blacklist は、 お使いのネ ッ ト ワ ー ク か ら ア ク セ ス で き ない URL、 ド メ イ ン、
ま たは IP ア ド レ ス の リ ス ト です。 こ の リ ス ト は、 選択 し た Web フ ィ ル タ に含ま れていない宛先をブ ロ ッ
ク す る 場合に使用で き ます。
Destination NAT Rule—着信ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク のルーテ ィ ン グ可能な IP ア ド レ ス を、 ルーテ ィ ン グ不
能な IP ア ド レ ス に変換 し ます。 Destination NAT ルールは、 別のポー ト に対す る TCP ま たは UDP パケ ッ
ト の宛先ポー ト を変換す る こ と も で き ます。 Destination NAT ルールは、 ネ ッ ト ワー ク 上のルーテ ィ ン グ
不能な IP ア ド レ ス がネ ッ ト ワ ー ク 外部のユーザーか ら 見え ない よ う に し ます。
Destination Port ( 宛先ポー ト )—発信側の コ ン ピ ュ ー タ が受信側の コ ン ピ ュ ー タ へ開 く よ う に要請す る ポー ト の
番号。
Destination Whitelist—Destination Whitelist は、 ブ ロ ッ ク さ れた Web フ ィ ル タ カ テ ゴ リ に属 し てい る場合で も 、
お使いのネ ッ ト ワー ク か ら 常にア ク セ ス可能な URL、 ド メ イ ン、 ま たは IP ア ド レ ス の リ ス ト です。 ブ
ロ ッ ク さ れた カ テ ゴ リ に含ま れ る 特定の宛先 (1 つのニ ュ ース サ イ ト な ど ) に対 し 、 Web フ ィ ル タ よ り も
優先 さ せて ア ク セ ス を許可す る場合に役立ち ます。
DHCP—Dynamic Host Configuration Protocol (DHCP) は、 ア ド レ ス の自動割 り 当て と IP ネ ッ ト ワー ク の改良 さ れた
設定管理をサポー ト し ます。
Proventia® Network Multi-Function Security Appliance User Guide
379
用語集
DHCP Lease (DHCP リ ース )—DHCP サーバーが ク ラ イ ア ン ト に IP ア ド レ ス を割 り 当て、 その使用を許可す る 期
間。 ク ラ イ ア ン ト に対 し て リ ース が行われ る と 、 リ ース はア ク テ ィ ブであ る と 表現 さ れ ます。 許可 さ れ
た リ ース期間の半分が経過 し た場合、 ク ラ イ ア ン ト はア ド レ ス リ ース の割 り 当て を DHCP サーバーに対
し て更新す る 必要があ り ます。 リ ース期間は秒単位で規定 さ れます。 0 秒の リ ース期間は、 リ ース が ク ラ
イ ア ン ト に対 し て永久的に予約 さ れてい る こ と 、 つま り リ ース に有効期限がない こ と を指 し ます。
DHCP Relay Agent (DHCP リ レ ー エージ ェ ン ト )—DHCP サーバーがアプ ラ イ ア ン ス フ ァ イ ア ウ ォールを通 じ
てネ ッ ト ワー ク 上の ク ラ イ ア ン ト と 通信 し 、 IP ア ド レ ス を割 り 当て る こ と がで き る よ う にす る プ ロ ト コ
ル。 リ レー エージ ェ ン ト はアプ ラ イ ア ン ス イ ン タ ーフ ェース上に存在 し 、 ネ ッ ト ワー ク 上の ク ラ イ ア ン
ト と DHCP サーバー と の間のフ ァ イ ア ウ ォールを通 じ て DHCP メ ッ セージ を中継 し ます。
Diffie-Hellman Group (Diffie-Hellman グループ )—Diffie-Hellman は、 7 つのグループで構成 さ れてい ます。 こ の
アプ ラ イ ア ン ス では、 7 つの う ち 3 つをサポー ト し てい ます。 サポー ト さ れてい る グループは、 グループ
1、
グループ 2、 お よ びグループ 5 です。 グループ番号が大 き いほ ど、 第三者に よ
る セ ッ シ ョ ン キー値の推測は難 し く な り ます。 IPSEC ポ リ シーの場合、 New Group Exchange を使用 し て
作成 さ れた Private Group を使用す る こ と も で き ます。こ こ に挙げ ら れたすべてのグループが Proventia
Manager の Diffie-Hellman グループ設定すべてで利用可能であ る と は限 り ません。
Direction—ア ク セ ス ポ リ シーでのネ ッ ト ワ ー ク ト ラ フ ィ ッ ク の方向を指定 し ます。 [Direction] のオプシ ョ ンは、
次の と お り です。
Inbound - ネ ッ ト ワー ク へ入っ て く る ネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れ る
Outbound - ネ ッ ト ワー ク を出てい く ネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れ る
Auto - 着信 ト ラ フ ィ ッ ク と 発信 ト ラ フ ィ ッ ク の両方に適用 さ れ る
DIX —Digital、 Intel、 お よ び Xerox に よ っ て標準化 さ れた、 イ ーサネ ッ ト ネ ッ ト ワーキ ン グ実装。 「 イ ーサネ ッ
ト 」 と い う 用語は、 DIX イ ーサネ ッ ト 実装 と IEEE 802.3 標準を総称 し た も のです。
DNS —Domain Name Server。 ド メ イ ン名を IP ア ド レ ス に変換す る イ ン タ ーネ ッ ト サービ ス。
Domain Name ( ド メ イ ン名 )—IP ア ド レ ス に関連付け ら れた名前。 ド メ イ ン名は必ず ド ッ ト で区切 ら れた 2 つ以
上の部分か ら 成っ てお り 、 一般的には何 ら かの形の組織名 と 3 文字以上のサ フ ィ ッ ク ス で構成 さ れてい
ます。 た と えばホ ワ イ ト ハ ウ ス の Web サ イ ト にア ク セ スす る 場合、 Web ブ ラ ウ ザのア ド レ ス ボ ッ ク ス に
ホ ワ イ ト ハ ウ ス の IP ア ド レ ス を入力す る こ と がで き ますが、 ほ と ん ど の人は 「www.whitehouse.gov」 と
い う ド メ イ ン名を使用す る 方を好みます。 こ の場合、 ド メ イ ン名は 「whitehouse.gov」 です。
Domain Name Suffix ( ド メ イ ン名サ フ ィ ッ ク ス )—URL ま たは メ ールア ド レ ス の最後尾にあ る 、一般的な ト ッ プ
レベル ド メ イ ン拡張子。 ド メ イ ン名に関連す る 組織の名前を表 し ます。
DSA—Digital Signature Standard (DSS) は、 電子文書認証用のデジ タ ル署名を生成す る ために U.S. National Security
Agency (NSA) に よ っ て開発 さ れたデジ タ ル署名アルゴ リ ズ ム (Digital Signature Algorithm: DSA) です。DSS
は、 1994 年に National Institute of Standards and Technology (NIST) に よ っ て提案 さ れた も ので、 現在は電子
文書認証の米国政府標準 と な っ てい ます。
Dynamic Interface ( ダ イ ナ ミ ッ ク イ ン タ ー フ ェ ース )— こ のアプ ラ イ ア ン ス イ ン タ ーフ ェ ース は、 Many-to-One
NAT 設定で動的 IP ア ド レ ス を使用す る 場合に選択す る アプ ラ イ ア ン ス イ ン タ ーフ ェース の名前です。 オ
プシ ョ ンは eth0 ( 内部 イ ン タ ーフ ェース )、 eth1 ( 常に外部 イ ン タ ーフ ェ ース )、eth2 ( 内部 イ ン タ ーフ ェー
ス で使用可能 )、
PPP0 ( アプ ラ イ ア ン ス上で PPPoE が動作 し てい る 場合に自動的に作成 さ れ る )
です。
ダ イ ナ ミ ッ ク イ ン タ ーフ ェース機能は、 外部 イ ン タ ーフ ェース の DHCP 設定お よ び PPPoE 設定 と と も に
使用 し て く だ さ い。 DHCP の場合のダ イ ナ ミ ッ ク イ ン タ ーフ ェース は、 アプ ラ イ ア ン ス の eth1 ( 外部 ) イ
ン タ ーフ ェース です。 PPPoE の場合、 動的ア ド レ ス は PPP0 です。 こ の イ ン タ ーフ ェース は、 PPPoE がア
プ ラ イ ア ン ス上で動作 し てい る場合に自動的に作成 さ れ ます。 ルーテ ィ ン グ不能ア ド レ ス は、 eth1 イ ン
タ ーフ ェース ま たは PPP0 イ ン タ ーフ ェース に割 り 当て ら れた IP ア ド レ ス に変換 さ れ ます。
Dynamic Address List ( ダ イ ナ ミ ッ ク ア ド レ ス リ ス ト )—Dynamic Address Name に関連付け ら れた各アプ ラ イ ア
ン ス に固有の IP ア ド レ ス。 Dynamic Address Name を作成 し 、 アプ ラ イ ア ン ス の Dynamic Address List を定
380
用語集
義 し ます。 アプ ラ イ ア ン ス間で Dynamic Address Name を共有 し なが ら 、 各アプ ラ イ ア ン ス の個別ア ド レ
ス を それぞれの Dynamic Address List 内で関連付け る こ と がで き ます。 一連のアプ ラ イ ア ン ス に関す る
SiteProtector 内でのポ リ シー変更を Dynamic Address Name を使っ て定義す る 場合、 各アプ ラ イ ア ン ス は、
こ の名前に関連付け ら れた個別の Dynamic Address List を使用 し て変更内容を実装 し ます。
Dynamic Address Name ( 動的ア ド レ ス名 )—異な る Dynamic Address List を持つ多数のアプ ラ イ ア ン ス の間で共
有可能な名前。 各アプ ラ イ ア ン ス には、 そのアプ ラ イ ア ン ス に固有のア ド レ ス が含まれた 1 つ以上の
Dynamic Address List があ り ます。 こ の Dynamic Address List を、 多数のアプ ラ イ ア ン ス か ら 1 つの
Dynamic Address Name ネ ッ ト ワー ク オブジ ェ ク ト に関連付け る こ と がで き ます。 一連のアプ ラ イ ア ン ス
に関す る SiteProtector 内でのポ リ シー変更を Dynamic Address Name を使っ て定義す る場合、各アプ ラ イ ア
ン ス は、 こ の名前に関連付け ら れた個別の Dynamic Address List を使用 し て変更内容を実装 し ます。
e
Email Sender Blacklist—Email Sender Blacklist には、 アプ ラ イ ア ン ス が常に ス パム の送信元であ る と 特定す る ド
メ イ ン と メ ール ア ド レ ス が含ま れ ます。
Email Sender Whitelist—Email Sender Whitelist には、 アプ ラ イ ア ン ス が ス パム であ る と 特定 し ない ド メ イ ンお よ
び メ ール ア ド レ ス が含ま れ ます。
Encryption Algorithm ( 暗号化アルゴ リ ズム ) または ESP Algorithm (ESP アルゴ リ ズム )—暗号化アルゴ リ ズ
ムは、 バ イ ナ リ コー ド 化 さ れた情報を暗号化お よ び復号化す る ための数学アルゴ リ ズ ム です。 暗号化で
は、 デー タ が 「暗号文」 と 呼ばれ る 理解不能な形式に変換 さ れます。 暗号文の復号化では、 デー タ バン
ク が元の形式 ( プ レーン テ キ ス ト ) に変換 さ れます。 暗号化方式は DES、 3DES、 ま たは AES です ((DES、
3DES、 ま たは AES を参照 し て く だ さ い )。
ESP —Encapsulating Security Payload。 デー タ の機密性、 完全性、 起点認証、 制限 さ れた ト ラ フ ィ ッ ク フ ロ ーの機
密性、 ア ンチ リ プ レー サービ ス ( オプシ ョ ン ) な ど、 い く つかのセ キ ュ リ テ ィ サービ ス を提供 し ます。
EtherType Value—IEEE EtherType Field Registrar は、 プ ロ ト コ ル識別の手がか り と な る数値を企業に割 り 当て ま
す。 元々 EtherType と し て知 ら れ る IEEE 802.3 (1998 Length/EtherType Field) は、 2 オ ク テ ッ ト の フ ィ ール
ド です。 2 オ ク テ ッ ト フ ィ ール ド の値が 0600 (16 進法 ) と 同等以上であれば、 MAC ク ラ イ ア ン ト プ ロ ト
コ ルの性質を示す タ イ プ フ ィ ール ド です (EtherType 解釈 )。
Event Notification ( イ ベ ン ト 通知 )— イ ベン ト に関す る 通知レ ス ポ ン ス を アプ ラ イ ア ン ス が送信す る 場合の方法
を、 設定す る こ と がで き ます。 利用可能な レ ス ポ ン ス の種類は、 次の と お り です。
- Email レ ス ポ ン ス は、 個別のア ド レ ス ま たは メ ール グループに、 メ ールに よ る ア ラ ー ト を送信 し ます。
- こ の レ ス ポ ン ス に対 し て複数の メ ールに よ る 通知を定義 し 、 送信 さ れ る デー タ を設定す る こ と がで き ま
す。
- SNMP レ ス ポ ン ス は、 統合 さ れた SNMP サーバーに SNMP ト ラ ッ プ を送信 し ます。
- SiteProtector へのア ラ ー ト 配信は、 SiteProtector デス ク ト ッ プ コ ン ト ロ ー ラ にア ラ ー ト を送信 し ます。
f
Failover ( フ ェ ールオーバー )—ハ イ アベ イ ラ ビ リ テ ィ 環境において、 ク ラ ス タ 内のプ ラ イ マ リ アプ ラ イ ア ン ス
に障害が起 こ っ た場合に フ ェールオーバーが発生 し 、 セカ ン ダ リ アプ ラ イ ア ン ス がプ ラ イ マ リ の役割を
引 き受け ます。 セ カ ン ダ リ アプ ラ イ ア ン ス がプ ラ イ マ リ アプ ラ イ ア ン ス か ら の応答を一定時間内に受信
し ない場合 ( デ ッ ド タ イ ム ア ウ ト )、 プ ラ イ マ リ アプ ラ イ ア ン ス に障害が発生 し た と 見な さ れます。 こ の
場合、 セ カ ン ダ リ アプ ラ イ ア ン ス はすべての イ ン タ ーフ ェ ース の仮想 IP をすべて引 き 継ぎ、 プ ラ イ マ リ
アプ ラ イ ア ン ス にな り ます。 「Forced Failover」 も 参照 し て く だ さ い。
Firewall ( フ ァ イ アウ ォ ール )— コ ン ピ ュ ー タ ま たはネ ッ ト ワ ー ク と 外部ネ ッ ト ワ ー ク と の境界を強化す る、 シ ス
テ ム ま たはシ ス テ ム の組み合わせ。 フ ァ イ ア ウ ォールの主な目的は、 ネ ッ ト ワ ー ク 内部か ら イ ン タ ー
ネ ッ ト へのア ク セ スお よ び イ ン タ ーネ ッ ト か ら ネ ッ ト ワー ク 内部の コ ン ピ ュー タ への制限付 き ア ク セ ス
Proventia® Network Multi-Function Security Appliance User Guide
381
用語集
を提供す る、 ネ ッ ト ワー ク 防御の単一ポ イ ン ト と な る こ と です。 一般的な フ ァ イ ア ウ ォールの種類には、
ト ラ フ ィ ッ ク を ネ ッ ト ワー ク プ ロ ト コ ル パケ ッ ト の レベルで調査す る ネ ッ ト ワー ク レベルの フ ァ イ ア
ウ ォール ( パケ ッ ト フ ィ ル タ ) と 、 FTP や電子 メ ール、 Telnet な ど の ト ラ フ ィ ッ ク を アプ リ ケーシ ョ ン層
で調査す る アプ リ ケーシ ョ ン レベルの フ ァ イ ア ウ ォ ールの 2 種類があ り ます。 フ ァ イ ア ウ ォ ールは ま た、
出てい く ト ラ フ ィ ッ ク に対 し て ア ド レ ス を再度割 り 当てた り 、 再度変換を行っ た り す る こ と も で き ま
す。Firewall ALG ( フ ァ イ アウ ォ ール ALG)—Firewall Application Layer Gateway ( 別名 Application Level Gateway)。
ALG は、 フ ァ イ ア ウ ォール シ ス テ ム と 2 つのネ ッ ト ワー ク の間で動作す る アプ リ ケーシ ョ ン プ ロ グ ラ ム
です。 ク ラ イ ア ン ト プ ロ グ ラ ムが宛先のサービ スへの接続を確立す る と 、 ALG はその接続を検出 し 、
フ ァ イ ア ウ ォ ールを通過す る フ ァ イ ルやその他コ ン テ ン ツ を分析 し ます。 フ ァ イ ア ウ ォール ALG は、 身
元確認 と 認証で絶対に必要な も の以外、 ク ラ イ ア ン ト か ら の要求に何の変更 も 加え ません。 すべての接
続が フ ァ イ ア ウ ォール ALG を通 じ て行われ る ため、 フ ァ イ ア ウ ォ ールの背後にあ る コ ン ピ ュ ー タ は保護
さ れ ます。
Firewall General Message ( 一般のフ ァ イ アウ ォ ール メ ッ セージ )—一般的な メ ッ セージは次の と お り です。
System Messages ( シ ス テ ム メ ッ セージ ) - 以前の Resource Errors。 フ ァ イ ア ウ ォールま たは フ ァ イ ア
ウ ォールを通過す る ト ラ フ ィ ッ ク に関 し て発生 し たエ ラ ーが、 ロ グ フ ァ イ ルに書 き 込まれます。 – Errors
that occur with the firewall or with traffic going through the firewall. Such errors are written to the log file.
拒否ルールに関す る メ ッ セージ - ロ グの有効にな っ た拒否ルールがフ ァ イ ア ウ ォール ポ リ シー内にあ り 、
こ のルールに よ っ て ト ラ フ ィ ッ ク がブ ロ ッ ク さ れた場合に、 イ ベン ト が ロ グ フ ァ イ ルに書 き込ま れます。
Allow Rule Messages ( 許可ルールに関す る メ ッ セージ ) - ロ グの有効にな っ た許可ルールが フ ァ イ ア
ウ ォール ポ リ シー内にあ り 、 こ のルールに よ っ て ト ラ フ ィ ッ ク が受容 さ れた場合に、 イ ベン ト が ロ グ
フ ァ イ ルに書 き 込まれ ます。
Rule Not Found Messages ( ルールが見つか ら ない場合の メ ッ セージ ) - パケ ッ ト がネ ッ ト ワー ク を通っ て
来て、 一致す る フ ァ イ ア ウ ォール ポ リ シー ルールがないために中断 さ れた場合、 イ ベン ト が ロ グ フ ァ イ
ルに書 き 込まれ ます。
Configuration Changes ( 設定変更 ) - フ ァ イ ア ウ ォール ルール、 リ ス ト 、 ま たはその他設定可能な フ ァ イ
ア ウ ォ ール設定が変更 さ れた場合、 イ ベン ト が ロ グ フ ァ イ ルに書 き 込ま れます。 ど のユーザーが変更を
行っ たのか イ ベン ト に示 さ れていない場合は、 次の メ ッ セージが表示 さ れ ます。
Access Statistics ( ア ク セ ス統計値 ) - 現在のネ ッ ト ワー ク ア ク テ ィ ビ テ ィ を説明す る ロ グ項目が、 定期的
に書 き 込ま れます。
VPN Messages (VPN に関す る メ ッ セージ ) - ユーザーが IPSEC ポ リ シーま たは
手動 IPSEC ポ リ シーのいずれか を通 じ てネ ッ ト ワ ー ク にア ク セ スす る たびに、 イ ベン ト が ロ グ フ ァ イ ル
に書 き 込ま れ ます。
DNS and ICMP Messages (DNS と ICMP に関す る メ ッ セージ ) - すべての DNS 照会お よ び応答の メ ッ セー
ジについて、 イ ベン ト が ロ グ フ ァ イ ルに書 き込ま れます。
Firmware Update ( フ ァ ームウ ェ ア ア ッ プデー ト )—ISS のダ ウ ン ロ ー ド ページか ら 入手可能な、新 し いプ ロ グ ラ
ム フ ァ イ ル、
fix ま たはパ ッ チ、 拡張機能、 オン ラ イ ン ヘルプが含まれ る ア ッ プデー ト 。
フ ァ ーム ウ ェ ア ア ッ プデー ト は、 自動的にダ ウ ン ロ ー ド し て イ ン ス ト ールす る こ と がで き ます。 一部の
フ ァ ーム ウ ェ ア ア ッ プデー ト では、 イ ン ス ト ール後にアプ ラ イ ア ン ス の再起動が必要です。
FTP—File Transfer Protocol は、 イ ン タ ーネ ッ ト 上の コ ン ピ ュ ー タ がフ ァ イ ル交換を行 う 場合に使用す る一連の
ルールです。 FTP は、 イ ン タ ーネ ッ ト の TCP/IP プ ロ ト コ ル群を使用す る アプ リ ケーシ ョ ン プ ロ ト コ ルで
す。 FTP プ ロ ト コ ルは、 一般的にポー ト 21 に指定 さ れ ます。 FTP を使用 し て、 フ ァ イ ルの削除、 名前変
更、 移動、 コ ピーをサーバーにて行 う こ と がで き ます。 こ う し た作業を行 う には、 FTP サーバーに ロ グ
オ ンす る 必要があ り ます。 ただ し 、 公的に利用可能な フ ァ イ ルにア ク セ スす る 場合は、 匿名 FTP を使用
す る こ と がで き ます。
FQDU—完全修飾 ド メ イ ン名 (Fully Qualified Domain Name: FQDN) は、 ホ ス ト 、 第 2 レベル ド メ イ ン、 ト ッ プ レ
ベル ド メ イ ン を含む名前です。 た と えば、 「ftp.companyname.com」 は FQDN です。
382
用語集
g
Gateway ( ゲー ト ウ ェ イ )—ネ ッ ト ワー ク ゲー ト ウ ェ イ は、 2 つのネ ッ ト ワー ク を結びつけ る 相互ネ ッ ト ワ ー ク
シ ス テ ム です。 ネ ッ ト ワー ク ゲー ト ウ ェ イ は当然なが ら ネ ッ ト ワー ク の端に現れ る ため、 フ ァ イ ア
ウ ォールな ど の関連機能はネ ッ ト ワー ク ゲー ト ウ ェ イ 上に イ ン ス ト ール さ れ る傾向にあ り ます。
Gateway Antispam ( ゲー ト ウ ェ イ ア ン チ スパム )—Proventia アプ ラ イ ア ン ス は、 ネ ッ ト ワー ク を通過す る すべ
ての電子 メ ールのテ キ ス ト 、 URL、 添付フ ァ イ ルを分析 し ます。 無害な メ ールについては直ちに通過を
許可 し ますが、 不適切な メ ールについては、 メ ールが ス パム であ る こ と を件名欄に表示す る こ と 、 ま た
は メ ールを
削除す る こ と で対応 し ます。
Gateway Antivirus ( ゲー ト ウ ェ イ ア ン チウ ィ ルス )—ア ンチ ウ ィ ル ス機能を使用す る と 、 デス ク ト ッ プ防御 ク
ラ イ ア ン ト が無効化 し ていた り 古 く な っ ていた り す る 場合で も 、 ゲー ト ウ ェ イ を通過す るすべての ト ラ
フ ィ ッ ク が フ ィ ル タ リ ン グ さ れ ます。 ウ ィ ル ス予防シ ス テ ム (Virus Prevention System: VPS) は、 シ グネ
チ ャ ベース のア ンチ ウ ィ ル ス ア ッ プデー ト 防御だけでな く 、 あ ら ゆ る 系統の悪意あ る コ ー ド を事前に検
出お よ び防止す る動作分析 も 使用 し ます。 Ｐ roventia アプ ラ イ ア ン ス は、 一箇所での簡単な管理を提供 し
ます。 ま た、 Web サ イ ト お よ び Web メ ール (HTTP)、 ダ ウ ン ロ ー ド サ イ ト (FTP)、 企業お よ び個人の電子
メ ール (SMTP、 POP3) を発信元 と す る フ ァ イ ルの高速な リ アル タ イ ム分析を行い、 WildList を 100% 網羅
し ます。 WildList Organization International (http://www.wildlist.org) は、 広 く 流布 し てい る ウ ィ
ル ス に関す る 重要な情報源です。
GRE—Generic Route Encapsulation (GRE) プ ロ ト コ ルは、 ク ラ イ ア ン ト と サーバー と の間で Virtual Private Network
(VPN) を作成す る ために、 Point-to-Point Tunneling Protocol (PPTP) と 合わせて使用 さ れます。 PPTP 制御
セ ッ シ ョ ン が確立 さ れ る と 、 GRE を使っ てデー タ ま たはペ イ ロ ー ド が安全な方法でカプセル化 さ れます。
ト ン ネルを通過す る デー タ ま たはペ イ ロ ー ド は Point-to-Point Protocol (PPP) ヘ ッ ダーが付け ら れ、 GRE パ
ケ ッ ト の内部に置かれ ます。 GRE パケ ッ ト は、 2 つの ト ン ネル エ ン ド ポ イ ン ト の間でデー タ を運びます。
GRE パケ ッ ト が最終的な宛先 ( ト ン ネルのエ ン ド ポ イ ン ト ) に達す る と ヘ ッ ダーは廃棄 さ れ、 カプセル化
さ れたパケ ッ ト は最終的な宛先に転送 さ れます。
h
Halt—ルーテ ィ ン グ モー ド と ト ラ ン スペア レ ン ト モー ド を切 り 替え る場合、 こ のオプシ ョ ン を使用 し て、 [Save
Changes] を選択 し た場合にシ ン グルユーザー ( コ マ ン ド ラ イ ン イ ン タ ーフ ェース ) 状態に入 り 、 手作業
でアプ ラ イ ア ン ス の電源を切 る ま でその ま ま の状態に留ま る か ど う か を選択 し ます。 ク リ ーン シ ャ ッ ト
ダ ウ ン の前にケーブル配線の変更が必要な場合に、 こ のオプシ ョ ン をお勧め し ます。
Ham ( ハム )—広告や不適切な内容を含ま ない、 正当な電子 メ ール。 アプ ラ イ ア ン ス は Web Filter and Antispam
Database の情報 と
メ ール ア ド レ ス、 Email Whitelist と Email Blacklist に含ま れ る ド メ イ ン を使用
し て、 ハム が宛先へ到達す る の を許可 し ます。
Heartbeat ( ハー ト ビ ー ト )—一方のアプ ラ イ ア ン ス か ら も う 一方のアプ ラ イ ア ン ス に繰 り 返 し 送信 さ れ る 、 アプ
ラ イ ア ン ス が動作中であ る こ と を示す信号。 ハー ト ビー ト は、 アプ ラ イ ア ン ス のハ イ アベ イ ラ ビ リ テ ィ
機能において、 一方のアプ ラ イ ア ン ス が も う 一方のアプ ラ イ ア ン ス の ス テー タ ス と 可用性を確認す る た
めに 「ping」 ( ブ ロ ー ド キ ャ ス ト / マルチキ ャ ス ト メ ッ セージ ) を送信す る場合に発生 し ます。
Hello Interval— こ の値は、 アプ ラ イ ア ン ス が機能 し てい る こ と を他のルー タ ーに知 ら せ る ためにアプ ラ イ ア ン ス
がエ コ ー ( キープア ラ イ ブ ) パケ ッ ト を送信す る間隔を秒単位で設定 し ます。
High Availability ( ハイ アベ イ ラ ビ リ テ ィ )—Proventia M シ リ ーズ アプ ラ イ ア ン ス は、プ ラ イ マ リ アプ ラ イ ア ン
スお よ び
セカ ン ダ リ アプ ラ イ ア ン ス の 2 アプ ラ イ ア ン ス間で仮想 IP ア ド レ ス を使用す
る こ と で、 ア ク テ ィ ブ - パ ッ シブのハ イ アベ イ ラ ビ リ テ ィ を提供 し ます。 セカ ン ダ リ アプ ラ イ ア ン ス は、
プ ラ イ マ リ アプ ラ イ ア ン ス に障害が発生 し た場合、 いつで も プ ラ イ マ リ アプ ラ イ ア ン ス と し て動作で き
る よ う にパ ッ シブ モー ド で待機 し ます。 2 つのアプ ラ イ ア ン ス は、 「 ク ラ ス タ ペア」 を構成す る プ ラ イ マ
リ と セ カ ン ダ リ の間で専用の イ ン タ ーフ ェース リ ン ク を使用 し て接続 さ れます。 アプ ラ イ ア ン ス は、 定
Proventia® Network Multi-Function Security Appliance User Guide
383
用語集
期的にハー ト ビー ト を送信 し て ス テー タ ス を監視 し ます。 セ カ ン ダ リ アプ ラ イ ア ン ス がプ ラ イ マ リ アプ
ラ イ ア ン ス か ら の応答を一定時間内に受信 し ない場合 ( デ ッ ド タ イ ム ア ウ ト )、 プ ラ イ マ リ アプ ラ イ ア ン
ス に障害が発生 し た と 見な さ れ ます。 こ の場合、 セ カ ン ダ リ アプ ラ イ ア ン ス は ク ラ ス タ 内の イ ン タ ー
フ ェース の仮想 IP をすべて引 き 継ぎ、 プ ラ イ マ リ アプ ラ イ ア ン ス にな り ます。
HTTP —Hypertext Transfer Protocol。 World Wide Web 上でテ キ ス ト 、 グ ラ フ ィ ッ ク イ メ ージ、 サ ウ ン ド 、 ビデオ、
お よ びその他マルチ メ デ ィ ア フ ァ イ ルをや り と り す る ためのルール一式です。 HTTP プ ロ ト コ ルは、
ポー ト 80 を使用 し ます。
i
IANA—Internet Assigned Numbers Authority。 Local Internet Registry (LIR)、 National Internet Registry (NIR)、 Regional
Internet Registry (RIR) な ど の イ ン タ ーネ ッ ト レ ジ ス ト リ に IP ア ド レ ス を割 り 当て る 、 世界的な権威です。
こ れ ら の レ ジ ス ト リ は、 IP ア ド レ ス を イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダに割 り 当て ます。 企業がルー
テ ィ ン グ可能な IP ア ド レ ス の割 り 当て を必要 と す る 場合、 企業の ISP は自分の割 り 当ての中か ら ア ド レ
ス を割 り 当て ます。
ICMP—Internet Control Message Protocol (ICMP) は、 エ ラ ー メ ッ セージや制御 メ ッ セージ、 情報 メ ッ セージ を含む
パケ ッ ト に適用 さ れます。
ID Type (ID タ イ プ )—認証に使用 さ れ る デー タ の種類を規定 し ます。
IKE—Internet Key Exchange。 ユーザーの認証、 暗号化方式のネ ゴ シエーシ ョ ン、 お よ び秘密キーの交換を行 う セ
キ ュ リ テ ィ ア ソ シエーシ ョ ン (SA) を確立す る ための方法です。 IKE は、 IPSEC プ ロ ト コ ル内で使用 さ れ
ます。
IKE Direction—ピ アが VPN ト ン ネルを使用す る方法。 オプシ ョ ン には Initiator Only (VPN 要求を開始す る )、
Responder Only (VPN 要求に応答す る )、Both Directions (VPN 要求を開始 し 、 応答す る ) があ り ます。
Inbound Policy (Inbound ポ リ シー )—Inbound フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーは、 ネ ッ ト ワー ク へ入っ て
く る ネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れ ます。
Initialization Vector ( 初期ベ ク ト ル )—初期ベ ク ト ルは、 最初のパケ ッ ト を暗号化す る と き に使用 さ れます。 後
に続 く パケ ッ ト は、 前のパケ ッ ト を暗号化す る と き に派生 し た値に よ っ て暗号化 さ れます。 初期ベ ク ト
ルが指定 さ れていない場合は、 指定 さ れた アルゴ リ ズ ム を使用 し て ラ ン ダ ムに選択 さ れ ます。
Interface ( イ ン タ ー フ ェ ース )—2 つのシ ス テ ム ま たはデバ イ ス をつな ぐ も の。 接続 タ イ プは内部、 外部、 ま たは
PPPoE です。
Intrusion Prevention ( 不正侵入防御 )—Proventia アプ ラ イ ア ン ス は、 折 り 紙付 き の不正侵入防御技術を備え てい
ます。
高速かつ詳細な ト ラ フ ィ ッ ク 分析
複数の検出方法
セキ ュ リ テ ィ 研究お よ び脆弱点検出の世界的 リ ーダーであ る X-Force か ら 提供 さ れ る自動ア ッ プデー ト
さ ら に、 X-Force に よ る イ ベン ト の タ グ付け ( ブ ロ ッ ク 、 ア ラ ー ト 、 調整な ど ) な ど の自動防御機能を備
え てい ます。
IP Address (IP ア ド レ ス )—TCP/IP ネ ッ ト ワー ク 上にあ る コ ン ピ ュー タ ま たはデバ イ ス の識別子。 TCP/IP プ ロ ト
コ ルを使用す る ネ ッ ト ワー ク は、 宛先の IP ア ド レ ス に従っ て メ ッ セージ をルーテ ィ ン グ し ます。
IP Address Classes (IP ア ド レ ス ク ラ ス )—ネ ッ ト ワーキ ン グで一般的に使用 さ れてい る ルーテ ィ ン グ不能な IP
ア ド レ ス は、 次の 3 ク ラ ス に分かれてい ます。
384
用語集
ク ラ ス A - 10.0.0.0 ～ 10.255.255.255
ク ラ ス B - 172.16.0.0 ～ 172.31.255.255
ク ラ ス C - 192.168.0.0 ～ 192.168.255.255
IPSEC—IP Security。 イ ン タ ーネ ッ ト 上での認証 と 暗号化を提供す る セキ ュ リ テ ィ プ ロ ト コ ル。
IPSEC Encapsulation Mode (IPSEC のカ プ セル化モー ド )—IPSEC は、 次の方法でネ ッ ト ワー ク パケ ッ ト を カ
プセル化 し ます。
ト ン ネル - 最 も 頻繁に使用 さ れ る カプセル化方式。 ト ン ネル モー ド では、 IP デー タ パケ ッ ト 全体が保護
さ れ ます。 ト ン ネル モー ド では、 暗号化のエ ン ド ポ イ ン ト ではない ピ ア ( ゲー ト ウ ェ イ デバ イ ス な ど )
へのパケ ッ ト 配信が許可 さ れてい ます。 ト ン ネル モー ド の IPSEC パケ ッ ト には、 IP ヘ ッ ダーが 2 つあ り
ます。 外側の IP ヘ ッ ダーには、 パケ ッ ト 全体を ゲー ト ウ ェ イ デバ イ ス に配信す る ための情報が含まれて
い ます。
内側の IP ヘ ッ ダーは暗号化 さ れてお り 、 VPN ト ン ネルの向 こ う 側にあ る 対象
ホ ス ト に宛てた元の情報だけが含ま れてい ます。
ト ラ ン ス ポー ト - 上方のプ ロ ト コ ル層だけ を保護 し ます。 元の IP ヘ ッ ダーは暗号化 さ れません。 ト ラ ン
ス ポー ト モー ド は、 暗号化のエ ン ド ポ イ ン ト が通信のエ ン ド ポ イ ン ト と 同一であ る 場合のみに使用で き
ます。 こ のため、 ト ラ ン ス ポー ト モー ド は ピ ア ツーピ ア ト ン ネルに限定 さ れ ます。
IPSEC Policy (IPSEC ポ リ シー )—IPSEC ポ リ シーは、 IP パケ ッ ト にセキ ュ リ テ ィ を提供す る ために必要な
IPSEC プ ロ ト コ ル、 キー交換方式、 お よ びその他情報を定義 し ます。
IPSEC Template Proposal (IPSEC テ ン プ レ ー ト プ ロ ポーザル )—認証局 (CA) に よ っ て発行 さ れた証明書の内容
を定義す る IPSEC 設定のプ ロ フ ァ イ ル。 CA が IPSEC 証明書を発行で き る よ う に、 テ ン プ レー ト プ ロ
ポーザルを設定す る 必要があ り ます。
IP Spoofing (IP ス プー フ ィ ン グ )—あ る シ ス テ ム が IP ネ ッ ト ワー ク ア ド レ ス を使用 し て別のシ ス テ ム に不法に
な り すま そ う と す る 攻撃。 こ の種の脆弱点に よ っ て、 侵入者は TCP シーケ ン ス の予測、 安全でない ソ
ケ ッ ト 、 予測可能なパ ス ワー ド を利用 し 、 シ ス テ ム に対 し てパケ ッ ト を偽造す る こ と がで き ます。 内部
ネ ッ ト ワー ク へ侵入す る ために IP ア ド レ ス を フ ァ イ ア ウ ォールに と っ て受け入れ可能な IP ア ド レ ス に変
更す る には、 い く つか方法があ り ます。 ス プーフ ィ ン グは一般的に、 攻撃者の身元を隠すため、 ま たは
ネ ッ ト ワー ク ベース のや り と り を違法に乗っ取る ために使用 さ れます。
ISP— イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダ (Internet Service Provider)。 イ ン タ ーネ ッ ト へのア ク セ ス を顧客 ( 企業
や個人 ) に提供す る ベン ダ。
IPV4—Internet Protocol version 4。
IPV6 —Internet Protocol version 4 のア ッ プデー ト バージ ョ ン。
IPX —Internetwork Packet Exchange。 Novell NetWare オペレーテ ィ ン グ シ ス テ ム で使用 さ れ る ネ ッ ト ワー ク プ ロ ト
コ ルです。 UDP/IP と 同様、 IPX は コ ネ ク シ ョ ン レ ス型接続で使用 さ れ るデー タ グ ラ ム プ ロ ト コ ルです。
こ れ よ り 上位レベルのプ ロ ト コ ル (SPX お よ び NCP) は、 追加のエ ラ ー復旧サービ ス に使用 さ れます。
l
L2TP—Layer 2 Tunneling Protocol。Point-to-Point Tunneling Protocol (PPTP) の拡張であ り 、イ ン タ ーネ ッ ト 上で VPN
の動作を有効にす る ために イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダに よ っ て使用 さ れ ます。 L2TP には暗号
化が備わっ てい ませんが、 リ モー ト ユーザーか ら 企業 LAN への VPN 接続を提供す る ために、 IPSEC の
使用がデフ ォ ル ト で設定 さ れてい ます。 L2TP は、 ほ と ん ど の新 し い Microsoft オペレーテ ィ ン グ シ ス テ
ムに含ま れてい ます。
L2TP Endpoint IP Address (L2TP エ ン ド ポ イ ン ト IP ア ド レ ス )—L2TP ト ン ネルのアプ ラ イ ア ン ス側 IP ア ド レ
ス。 こ の IP ア ド レ ス は、 ロ ーカル VPN 接続のエン ド ポ イ ン ト です。 アプ ラ イ ア ン ス の L2TP エ ン ド ポ イ
ン ト IP ア ド レ ス は、 グ ロ ーバルな固有の固定 IP ア ド レ ス であ る 必要があ り ます。 ま た、 L2TP IP ア ド レ
Proventia® Network Multi-Function Security Appliance User Guide
385
用語集
ス プールにない も の、 ま たは当該アプ ラ イ ア ン ス のその他 イ ン タ ーフ ェース で使用 さ れていない も ので
あ る必要があ り ます。
例:
L2TP EndPoint IP Address: 192.168.2.1
L2TP IP Address Pool: 192.168.2.2-192.168.2.254
L2TP Host Name (L2TP ホス ト 名 )—L2TP/IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ の L2TP ホ ス ト 名を設
定す る 場合の こ の値は、 アプ ラ イ ア ン ス のホ ス ト 名です。 こ のホ ス ト 名はアプ ラ イ ア ン ス設定時に設定
済みであ り 、 [Proventia Manager Home] ページの右上角に表示 さ れます。 例 Device Name:
myappliance.mycompany.com
L2TP IP Address Pool (L2TP IP ア ド レ ス プール )—アプ ラ イ ア ン ス が リ モー ト VPN ク ラ イ ア ン ト に割 り 当て る
IP ア ド レ ス の範囲。 アプ ラ イ ア ン ス は、 リ モー ト ク ラ イ ア ン ト か ら LAN への VPN 接続の要求を受け取
る と 、 L2TP IP ア ド レ ス プールか ら L2TP エ ン ド ポ イ ン ト IP ア ド レ ス を ク ラ イ ア ン ト に割 り 当て ます。
Learning Mode ( ラ ーニ ン グ モー ド )—Learning Mode では、 選択 し た削除 し き い値に従っ て スパム メ ールが タ グ
付け さ れ ます。 メ ールに含ま れ る ス パム内容が し き い値 よ り も 少ない場合は、 メ ールの件名に
「[SPAM]」 と い う ヘ ッ ダーが追加 さ れ ます。 メ ールに含ま れ る ス パム内容が し き い値 よ り も 多い場合は、
メ ールの件名に 「[SPAM+]」 と い う ヘ ッ ダーが追加 さ れ ます。 Learning Mode は、 アプ ラ イ ア ン ス が ど の
メ ールを [SPAM] お よ び [SPAM+] と 判断 し たのか知 り たい場合に役立ち ます。 ス パム メ ールの削除を開
始す る 前に、 ネ ッ ト ワー ク に と っ て最上のパフ ォーマ ン ス を得 ら れ る よ う に [Delete Threshold] 設定を調
整す る こ と がで き ます。
LLC —Logical Link Control。 LLC は IEEE 802 系の LAN 仕様に よ っ て定義 さ れ、 MAC (Media Access Control) 層に
対す る 共通の イ ン タ ーフ ェース ポ イ ン ト を提供 し ます。 LLC は、 プ ロ ト コ ル ス タ ッ ク のデー タ リ ン ク 層
の一部です。 デー タ リ ン ク 層は、 ネ ッ ト ワー ク 媒体へのア ク セ ス を制御 し 、 特定ネ ッ ト ワー ク で配信す
る ためにパケ ッ ト ま たはデー タ グ ラ ム の形式であ る 上位層のデー タ を フ レーム に挿入す る方法を定義 し
ます。 続いて、 下位にあ る 物理層 (MAC 層 ) が、 フ レーム化 さ れたデー タ を ビ ッ ト ス ト リ ーム と し て
ネ ッ ト ワー ク 媒体上で伝送 し ます。
Local Router ( ロ ー カル ルー タ ー )— ロ ーカル ルー タ ーは、 ト ラ ン スペア レ ン ト モー ド において、 アプ ラ イ ア ン
ス と 同 じ ネ ッ ト ワー ク セグ メ ン ト にあ り ます。
LSA —Link State Advertisement。 ルー タ ー と その イ ン タ ーフ ェース、 隣接ルー タ ー、 お よ びネ ッ ト ワー ク の状態
を説明 し ます。 すべてのルー タ ーお よ びネ ッ ト ワー ク か ら 収集 さ れた リ ン ク ス テー ト ア ド バ タ イ ズ メ ン
ト に よ っ て、 各ルー タ ーの ト ポ ロ ジ デー タ ベース が形成 さ れます。 最 も 一般的に使用 さ れ る LSA の種類
は次の と お り です。
Router は、 ルー タ ーの イ ン タ ーフ ェース ( リ ン ク ) の状態 と 各 リ ン ク の発信 コ ス ト を含む タ イ プ 1 ( ルー
タ ー ) の LSA を使用 し ます。 ルー タ ーは、 ルー タ ーのエ リ ア内でのみ、 こ の LSA を フ ラ ッ ド さ せます。
ス タ ブ エ リ アの境界の ABR (Area Border Routers) は、 タ イ プ 2 ( ネ ッ ト ワー ク サマ リ ) の LSA を使用 し
て、 エ リ アへのデフ ォ ル ト 経路を 1 つア ド バ タ イ ズ し ます。
ス タ ブ エ リ アの境界の ASBR (Autonomous System Boundary Routers) は、 タ イ プ 4 の LSA を使用 し て、
ASBR へのパ ス を ア ド バ タ イ ズ し ます。
タ イ プ 5 の LSA は、 OSPF エ リ ア設定に対 し て外部の宛先、 ま たはエ リ ア設定に対 し て外部のデフ ォ ル ト
経路を ア ド バ タ イ ズ し ます。
タ イ プ 4 お よ び タ イ プ 5 の LSA は、 ス タ ブ エ リ アに入 る こ と がで き ません。 「LSA タ イ プ」 を参照 し て
く だ さ い。
LSA Types (LSA タ イ プ )—LSA タ イ プは次の と お り です。
タ イ プ 1 (Router LSA) は、 ス タ ブ ネ ッ ト ワー ク を ア ド バ タ イ ズ し 、 リ ン ク の状態 と エ リ アに対す る ルー
タ ーの リ ン ク の コ ス ト を説明 し ます。 こ の LSA は、 こ のエ リ ア内に限っ て フ ラ ッ ド さ れ、 ルー タ ーが
386
用語集
Area Border Router (ABR) なのか Autonomous System Boundary Router (ASBR) なのか、 ルー タ ーが仮想 リ ン
ク の一端か ど う か、 を示 し ます。
タ イ プ 2 (Network LSA) は、 ネ ッ ト ワー ク に所属す るすべてのルー タ ーに関す る リ ン ク 状態 と コ ス ト 情報
を説明 し ます。 指定ルー タ ーのみに よ っ て生成お よ び追跡 さ れます。
タ イ プ 3 (Network Summary LSA) は ABR に よ っ て生成 さ れ、 別のエ リ ア内にあ る ルー タ ーに対 し て内部
ネ ッ ト ワー ク を ア ド バ タ イ ズ し ます ( エ リ ア間経路 )。 こ の LSA は 1 つのネ ッ ト ワー ク 、 ま たは 1 つのア
ド バ タ イ ズ メ ン ト に ま と め ら れた一連のネ ッ ト ワー ク を表 し ます。
タ イ プ 4 (ASBR Summary LSA) は、 ASBR が自分の場所を ア ド バ タ イ ズす る 場合に限 り 、 ASBR に よ っ て
生成 さ れます。 外部ネ ッ ト ワー ク に到達を試みる ルー タ ーは、 こ れ ら のア ド バ タ イ ズ メ ン ト を使用 し て、
次のホ ッ プへの最適なパ ス を決定 し ます。 ASBR は タ イ プ 4 LSA を生成 し ます。
タ イ プ 5 (AS External LSA) は、 別の AS か ら の経路を再配信 ( 通常は、 異な る ルーテ ィ ン グ プ ロ ト コ ルか
ら OSPF へ ) し ます。
タ イ プ 8 (Link LSA) は、 関連付け ら れた リ ン ク を超え て フ ラ ッ ド す る こ と はあ り ません。 Link LSA は、
リ ン ク に所属す るすべてのルー タ ーに対 し てルー タ ーの リ ン ク ロ ーカル ア ド レ ス を提供 し 、 リ ン ク に所
属す る その他ルー タ ーに一連の IPv6 プ レ フ ィ ッ ク ス ( リ ン ク と の関連付け用 ) を通知 し 、 ルー タ ーに一
群のオプシ ョ ン ビ ッ ト ( リ ン ク に対 し て発信元 と な る ネ ッ ト ワー ク LSA と の関連付け用 ) のアサー ト を
許可 し ます。
タ イ プ 9 (Intra-Area-Prefix LSA) には、Router LSA と Network LSA のいずれか と の関連性を説明す る リ ン ク
ス テー ト ID が含まれ ます。 ルー タ ーは、 各ルー タ ーま たは ト ラ ン ジ ッ ト ネ ッ ト ワ ー ク に対 し て複数の タ
イ プ 9 LSA を発信す る こ と がで き ます。 各 LSA には固有の リ ン ク ス テー ト ID と プ レ フ ィ ッ ク ス が割 り
当て ら れてい ます。
m
MAC Address (MAC ア ド レ ス )—Medium Access Control ア ド レ ス。 MAC 名 と も いい ます。 MAC ア ド レ ス は、
ネ ッ ト ワー ク 内の各ネ ッ ト ワー ク イ ン タ ーフ ェ ース カー ド (Network Interface Card: NIC) に固有の番号で
す。 MAC ア ド レ ス は、 通常は製造時にカー ド 内にプ ロ グ ラ ム さ れます。 MAC ア ド レ ス には、 ROM (Read
Only Memory) にプ ロ グ ラ ム さ れた、 変更不可能な個別の識別子が 2 つ含まれてい ます。 含ま れてい る の
は、
IEEE か ら NIC 製造元に割 り 当て ら れた番号 と 、 製造元に よ っ て割 り 当て ら れ
た拡張 ID です。 MAC 名は NIC カー ド に留ま り 、 場所には依存 し ません。 宛先お よ び発信元の MAC ア ド
レ ス はネ ッ ト ワー ク パケ ッ ト のヘ ッ ダーに含まれ、 ルーテ ィ ン グ デバ イ ス は こ の情報を使用 し てネ ッ ト
ワー ク 上でパケ ッ ト を転送 し ます。
MAC Address Rule (MAC ア ド レ ス ルール )— ト ラ ン スペア レ ン ト モー ド の場合、 [Firewall Settings] ページで こ
れ ら のルールを定義 し て、 フ ァ イ ア ウ ォ ールを通 じ てパケ ッ ト を送信可能な発信元 MAC ア ド レ ス を指定
し ます。
Many-to-Many NAT ( 多対多の NAT)—グループ内の 1 つの IP ア ド レ ス ま たはネ ッ ト ワー ク 内のルーテ ィ ン グ不
能な IP ア ド レ ス範囲を、グループ内で最初に利用可能な IP ア ド レ ス ま たはルーテ ィ ン グ可能な IP ア ド レ
ス範囲に変換す る NAT 設定。
Many-to-One NAT ( 多対一の NAT)—グループ内の 1 つの IP ア ド レ ス ま たはネ ッ ト ワー ク 内のルーテ ィ ン グ不能
な IP ア ド レ ス範囲を、 別のポー ト を割 り 当て る こ と で 1 つのルーテ ィ ン グ可能な IP ア ド レ ス に変換す る
NAT 設定。 単一ア ド レ ス NAT、 PAT (Port Address Translation)、 ポー ト レベル多重 NAT と も いい ます。
Message Digest 5 (MD5)—デジ タ ル署名の作成に使用 さ れ る アルゴ リ ズ ム。 こ れは、 32 ビ ッ ト マシ ン での使用
を意図 し た も のです。 MD5 は一方向ハ ッ シ ュ関数です。 つま り 、 メ ッ セージ を取 り 上げて一定の数列に
変換す る と い う も ので、 メ ッ セージ ダ イ ジ ェ ス ト と も いい ます。 一方向ハ ッ シ ュ 関数を使用す る と 、 算
出 さ れた メ ッ セージ ダ イ ジ ェ ス ト と パブ リ ッ ク キーで復号化 さ れた メ ッ セージ ダ イ ジ ェ ス ト と を比較 し
Proventia® Network Multi-Function Security Appliance User Guide
387
用語集
て、 メ ッ セージが改ざん さ れていない こ と を確認す る こ と がで き ます。 こ の比較を、 ハ ッ シ ュ チ ェ ッ ク
と いい ます。
キーの長 さ は 16 文字です。
Metric ( メ ト リ ッ ク )—宛先に対 し て 1 つ以上の経路が存在す る場合、 経路を最 も 良い も のか ら 悪い も のの順に ラ
ン ク 付けす る ために割 り 当て ら れた変数。 ルーテ ィ ン グ プ ロ ト コ ルご と に、 異な る メ ト リ ッ ク が使用 さ
れます。 メ ト リ ッ ク の例 と し ては、 ホ ッ プ カ ウ ン ト 、 帯域幅、 負荷、 遅延、 信頼性、 コ ス ト があ り ます。
Monitor IP Addresses ( 監視 IP ア ド レ ス )—監視 IP ア ド レ ス は、 ネ ッ ト ワー ク が正常であ る か ど う か を定期的
に確認す る ために HA ク ラ ス タ で使用で き る オプシ ョ ン機能です。 HA ク ラ ス タ 以外の他のネ ッ ト ワー ク
デバ イ ス の IP ア ド レ ス を指定 し て ICMP エ コ ー要求パケ ッ ト を送信 し 、 その応答を待機 し ます。 デ ッ ド
タ イ ム ア ウ ト 期間内にアプ ラ イ ア ン ス が応答 し ない場合、 接続はダ ウ ン し てい る と 見な さ れます。 プ ラ
イ マ リ HA アプ ラ イ ア ン ス はセ カ ン ダ リ アプ ラ イ ア ン ス を調査 し 、 ど ち ら のアプ ラ イ ア ン ス が接続可能
なネ ッ ト ワー ク デバ イ ス数が多いか を判断 し ます。 プ ラ イ マ リ アプ ラ イ ア ン ス の方が少ない場合は、
フ ェールオーバーが発生 し ます。
MSS—Maximum Segment Size ( 最大セ グ メ ン ト サ イ ズ )。 単一の TCP パケ ッ ト で送信可能なデー タ 量を規定す る
MSS 値。IPv4 ネ ッ ト ワ ー ク では、 こ の値が イ ン タ ーフ ェ ース MTU (Maximum Transmission Unit) よ り も 40
バ イ ト 少ない値であ る 必要があ り ます。
MSS Clamping (MSS ク ラ ン プ )—Maximum Segment Size ( 最大セグ メ ン ト サ イ ズ ) ク ラ ン プ。MSS ク ラ ン プでは
TCP 接続の MSS ネ ゴ シエーシ ョ ン を傍受 し て変更 し ます。 ク ラ イ ア ン ト コ ン ピ ュー タ の MTU を調整 し
ないでパ ス MTU の問題に対処す る 場合に役立ち ます。 [Clamp MSS] オプシ ョ ン を選択する と 、 PPPoE に
おけ る TCP の最大セグ メ ン ト サ イ ズが 「固定」 ま たは制御 さ れます。 ClampMSS は、 イ ン タ ーネ ッ ト ア
ク セ ス、 FTP、 お よ び電子 メ ールの TCP ト ラ フ ィ ッ ク に関す る 、 ICMP 関連の接続性の問題を解決 し ま
す。 [ClampMSS] オプシ ョ ンのデフ ォ ル ト 値は 1260 であ り 、 こ のオプシ ョ ンはデフ ォ ル ト で有効にな っ
てい ます。
MTU—Maximum Transmission Unit。 MTU パ ラ メ ー タ は、 ネ ッ ト ワー ク が送信可能な物理的な最大パケ ッ ト サ イ
ズ をバ イ ト 単位で指定 し ます。 ネ ッ ト ワー ク が相互接続 し ていて、 それ ら のネ ッ ト ワ ー ク の MTU サ イ ズ
が異な る 場合は、 こ のパ ラ メ ー タ が問題 と な り ます。 MTU の値 よ り も 大 き いパケ ッ ト は、 送信 さ れ る 前
に、 も っ と 小 さ いパケ ッ ト に分割 ( 断片化 ) さ れます。 お使いのネ ッ ト ワー ク の MTU が、 お使いの コ ン
ピ ュー タ と メ ッ セージの最終的な宛先 と の間にあ る すべてのネ ッ ト ワー ク の う ちで最 も 小 さ い MTU と 一
致す る こ と が理想です。 間に入 る MTU の う ち 1 つ よ り も メ ッ セージ内のパケ ッ ト が大 き い場合、 ルー
テ ィ ン グ デバ イ ス は、 次のホ ッ プ ネ ッ ト ワー ク のフ レームに収ま る よ う にパケ ッ ト を断片化 し ます。 こ
のプ ロ セ ス は、 送信速度を低下 さ せます。 多 く の Web ブ ラ ウ ザな ど い く つかのアプ リ ケーシ ョ ン では、
アプ リ ケーシ ョ ン パケ ッ ト で 「断片化不可」 フ ラ グが設定 さ れてい ます。 こ れ ら のパケ ッ ト は、 MTU 制
限を超え てい る と ド ロ ッ プ さ れ ます。
n
NAS ID—Network Access Server (NAS) は、 イ ン タ ーネ ッ ト な ど のパケ ッ ト 界 と 公衆交換電話網 (Public Switched
Telephone Network: PSTN) な ど の回路界 と を結び付け る 、 プ ラ ッ ト フ ォ ーム ま たはプ ラ ッ ト フ ォーム の集
合です。
NAT—Network Address Translation。 ロ ーカル エ リ ア ネ ッ ト ワー ク (Local Area Network: LAN) で、 1 セ ッ ト の IP ア
ド レ ス を内部 ト ラ フ ィ ッ ク で使用 し 、 も う 1 セ ッ ト のア ド レ ス を外部 ト ラ フ ィ ッ ク で使用で き る よ う に
す る、 ほ と ん ど の フ ァ イ ア ウ ォールに備わ っ た機能。 NAT には、 LAN の外か ら 内部 IP ア ド レ ス が見え な
い よ う にす る 、 ま た多数の内部 IP ア ド レ ス を 1 つの外部 IP ア ド レ ス で使用で き る と い う 利点があ り ます
( 多 く の コ ン ピ ュ ー タ で使用 さ れ る DSL 接続ま たは ISDN 接続で非常に役立ち ます )。 さ ら に、 異な る 内
部接続を 1 つの イ ン タ ーネ ッ ト 接続に ま と め る こ と がで き ます。
NAT Configuration (NAT 設定 )—NAT ポ リ シーがネ ッ ト ワー ク 上の IP ア ド レ ス を変換す る 場合の方法を規定 し
ます。 NAT 設定は、 次のいずれか を指定で き ます。
Many-to-One NAT ( 多対一の NAT) - 多数のルーテ ィ ン グ不能な内部ア ド レ ス を、 ルーテ ィ ン グ可能な 1
つの IP ア ド レ ス に変換 し ます。
388
用語集
One-to-One NAT ( 一対一の NAT) - ルーテ ィ ン グ不能な元の内部ア ド レ ス それぞれを、 ルーテ ィ ン グ可能
な 1 つの IP ア ド レ ス に変換 し ます。
Many-to-Many NAT ( 多対多の NAT) - ルーテ ィ ン グ不能な内部 IP ア ド レ ス を、 ルーテ ィ ン グ可能な IP ア
ド レ ス範囲に変換 し ます。
NAT Policy (NAT ポ リ シー )—Network Address Translation ポ リ シー。 着信お よ び発信のネ ッ ト ワー ク ト ラ フ ィ ッ
ク の IP ア ド レ ス を フ ァ イ ア ウ ォ ールが変換す る場合の方法を定義 し た、 一連の NAT 設定。 NAT ポ リ
シーは、 [NAT Policy] ページで設定 し ます。
NETBEUI —NetBIOS Extended User Interface。 NetBEUI は、 NetBIOS の拡張バージ ョ ン であ り 、 コ ン ピ ュ ー タ が
ロ ーカル エ リ ア ネ ッ ト ワー ク ないで通信で き る よ う にする プ ロ グ ラ ム です。 NetBEUI は、 NetBIOS の一
部 と し て指定 さ れなか っ た フ レーム形式 ( ま たはデー タ 送信におけ る情報の配列 ) を形式化 し ます。
Netmask ( ネ ッ ト マス ク )—ネ ッ ト ワー ク マ ス ク は、 サブネ ッ ト マ ス ク 、 ネ ッ ト マ ス ク 、 お よ びア ド レ ス マ ス ク
と も 呼ばれ、 1 オ ク テ ッ ト 中の何ビ ッ ト がサブネ ッ ト ワー ク を識別 し 、 何ビ ッ ト がホ ス ト ア ド レ ス に空
間を提供す る か を定義す る ために使用 さ れ ます。
Network Object ( ネ ッ ト ワー ク オ ブ ジ ェ ク ト )—定義 し て名前を付け る フ ァ イ ア ウ ォール ま たは VPN の要素、
ま たは一連の要素。 ネ ッ ト ワー ク オブジ ェ ク ト を使用す る と 、 頻繁に使用す る要素ま たは一連の要素に
名前を付け、 こ れを複数のポ リ シーで共有す る こ と に よ っ て、 フ ァ イ ア ウ ォール ポ リ シーや VPN ポ リ
シーを簡単に管理す る こ と がで き ます。 ネ ッ ト ワー ク オブジ ェ ク ト は、 [Firewall/VPN Network Objects]
ページで設定 し ます。
Nonce ( ノ ン ス )—時間 と と も に変化す る パ ラ メ ー タ 。 ノ ン ス は時間 と と も に変化す る ため、 現在の時刻 と ノ ン
ス を比較す る こ と で、 フ ァ イ ルの再生ま たは複製の試みが正当であ る か ど う か を簡単に見分け る こ と が
で き ます。 現在の時刻が ノ ン ス を超え ない場合や ノ ン ス が存在 し ない場合、 その試みは許可 さ れ ます。
そ う でない場合は、 試みは許可 さ れ ません。
NTLM —Windows NT LAN Manager。 NTLM では、 認証にチ ャ レ ン ジ / レ ス ポ ン ス方式を使用 し ます。 こ の方式で
は、 ク ラ イ ア ン ト はサーバーへパ ス ワー ド を送信 し な く て も 身元を証明す る こ と がで き ます。 こ れは 3
つの メ ッ セージで構成 さ れ、 一般的に タ イ プ 1 ( ネ ゴ シエーシ ョ ン )、 タ イ プ 2 ( チ ャ レ ン ジ )、 タ イ プ 3 (
認証 ) と 呼ばれてい ます。 こ のプ ロ ト コ ルは Windows 2000 で も 引 き続 き サポー ト さ れてい ますが、 デ
フ ォ ル ト / 標準 と し ては Microsoft Kerberos に取っ て代わ ら れてい ます。NTLM プ ロ ト コ ルは Windows NT
4.0 オペレーテ ィ ン グ シ ス テ ム においてデフ ォ ル ト のネ ッ ト ワー ク 認証で し た。 Windows 2000 では、 下位
の ク ラ イ ア ン ト お よ びサーバー と の互換性のために維持 さ れてい ま し た。
NTP—Network Time Protocol は、 設定時刻を ネ ッ ト ワー ク タ イ ム サーバー と 同期 し ます。
0
One-to-One NAT ( 一対一の NAT)—ネ ッ ト ワー ク 内の 1 つのルーテ ィ ン グ不能な IP ア ド レ ス をルーテ ィ ン グ可
能な IP ア ド レ ス に変換す る NAT 設定。
OSPF—Open Shortest Path First。 ノ ー ド 間の距離 と い く つかの品質パ ラ メ ー タ に基づ き 、 TCP/IP ネ ッ ト ワー ク 上
で IP ト ラ フ ィ ッ ク をルーテ ィ ン グす る 場合の最適なパ ス を決定す る ルーテ ィ ン グ プ ロ ト コ ル。 OSPF は、
自律的なシ ス テ ム の内部で動作す る よ う に設計 さ れた内部ゲー ト ウ ェ イ プ ロ ト コ ル (Interior Gateway
Protocol) です。 ま た、 RIP プ ロ ト コ ル ( 距離ベ ク ト ル型プ ロ ト コ ル ) に代わ る も の と し て設計 さ れた、 RIP
よ り も ルー タ ー間のア ッ プデー ト ト ラ フ ィ ッ ク が少ない リ ン ク ス テー ト 型プ ロ ト コ ルで も あ り ます。
OSPF Authentication (OSPF 認証 )—別のルー タ ーか ら 受け取る LSA に対 し て アプ ラ イ ア ン ス が求め る認証を
指定 し ます。 オプシ ョ ンは次の と お り です。
None - 認証な し
Plain - 英数字 8 文字のパス ワ ー ド
MD5 - MD5 キー ID と MD5 キー値が必要
Proventia® Network Multi-Function Security Appliance User Guide
389
用語集
重要 : 通信を行 う ために、 すべてのルー タ ーに同 じ 認証オプシ ョ ン を指定す る 必要があ り ます。
OSPF MD5 Key (OSPF MD5 キー )—MD5 キーは、 1 ～ 16 文字の英数字です。 OSPF MD5 キーは、 MD5 キー値 と
関連付け ら れた識別子を指定 し 、 さ ら に OSPF MD5 認証が機能す る ために必要です。
OSPF MD5 Key ID (OSPF MD5 キー ID)—MD5 キー ID は、 MD5 キー値 と 関連付け ら れた識別子を指定 し ます。
MD5 キー ID は、 1 ～ 255 文字の英数字です。 MD5 キー値 も ま た、 OSPF MD5 認証が機能す る ために必要
です。 MD5 認証が機能す る ためには、 受信側 と 送信側のルー タ ーが同一の MD5 キーを持っ てい る 必要が
あ り ます。 各 イ ン タ ーフ ェース に MD5 キーを定義 し て く だ さ い。
Outbound Policy (Outbound ポ リ シー )—Outbound フ ァ イ ア ウ ォール ア ク セ ス ポ リ シーは、 ネ ッ ト ワー ク を出
てい く ネ ッ ト ワー ク ト ラ フ ィ ッ ク に適用 さ れ ます。
p
Packet Value ( パケ ッ ト 値 )—指定 さ れた値がパケ ッ ト 内に存在す る 場合、 セキ ュ リ テ ィ ア ソ シエーシ ョ ンが作
成 さ れ ます。
例 : 発信元 IP セ レ ク タ 値が 1 つだけで 「PKT_VAL」 に設定 さ れてい る場合、 IP セキ ュ リ テ ィ ポ リ シー
パ ラ メ ー タ に含ま れ る 可能性のあ る すべての IP ア ド レ ス に関 し てセキ ュ リ テ ィ ア ソ シエーシ ョ ン が作成
さ れ ます。 発信元 IP ア ド レ ス の範囲が 10.1.5.1 ～ 10.1.5.100 であ る 場合は、 100 個のセキ ュ リ テ ィ ア ソ シ
エーシ ョ ン が作成 さ れ ます。 発信元 IP ア ド レ ス か ら の ト ラ フ ィ ッ ク がない場合、 セキ ュ リ テ ィ ア ソ シ
エーシ ョ ンは作成 さ れません。
PAP—Password Authentication Protocol。 PAP では、 保護 さ れたシ ス テ ムへア ク セ スす る 前に、 ユーザーはパス
ワー ド の入力を要求 さ れ ます。 ユーザーの名前 と パ ス ワー ド は、 サーバーへ ク リ ア テ キ ス ト で送信 さ れ、
そ こ でユーザー ア カ ウ ン ト 名 と パ ス ワー ド のデー タ ベース と 比較 さ れます。 何者かに よ っ てパ ス ワー ド
が傍受 さ れ、 シ ス テ ムへの ロ グオン に使用 さ れ る 可能性があ る ため、 こ のテ ク ニ ッ ク は盗聴 ( ス ニ ッ フ ィ
ン グ ) に対 し て脆弱です。
ほ と ん ど の場合、 PAP は推奨 さ れてい ません。 し か し 、 一部の認証シ ス テ ムは、 こ れ以上良い認証ス
キーム を利用で き ない と PAP に戻 り ます。 CHAP (Challenge Handshake Authentication Protocol) が こ れに代
わ る プ ロ ト コ ルであ り 、 チ ャ レ ン ジ / レ ス ポ ン ス技術を使用す る こ と で、 いかな る 形のパ ス ワー ド 送信 も
行わない よ う に し ます。
PAT—Port Address Translation ( ポー ト ア ド レ ス変換 ) は、 ネ ッ ト ワー ク ア ド レ ス変換の一種です。 PAT の間、
LAN 上の各 コ ン ピ ュ ー タ は同 じ IP ア ド レ ス に変換 さ れ ますが、 ポー ト 番号の割 り 当ては異な り ます。
PAT は、 オーバー ロ ーデ ィ ン グ、 ポー ト マ ッ ピ ン グ、 ポー ト レベル多重 NAT、 ま たは単一ア ド レ ス NAT
と も いい ます。
Perfect Forward Secrecy—第三者に よ っ て キー値が発見 さ れ る可能性を避け る ため、IPSEC では Perfect Forward
Secrecy (PFS) と し て知 ら れ る プ ロ セ ス を採用 し てい ます。 こ のプ ロ セ ス は、 キー交換の両当事者に よ っ
て供給 さ れた値を基に、 新 し いキー値を定期的に作成 し ます。 両当事者は自分た ちだけがわか る ラ ン ダ
ム な値を提出す る ので、 生成 さ れ る 新 し いキーは、 以前に作成 さ れた キー と は ま っ た く 異な り ます。 PFS
を使用 し てい る と 、 第三者が対称キーを なん と か傍受 し た と し て も 、 傍受 し た キーを短期間使用す る こ
と し かで き ません。 さ ら に、 新 し く 作成 さ れた キーは前に傍受 さ れた キーに基づいた も のではないので、
第三者は新たにブルー ト フ ォース に よ る 計算を開始 し て新 し いキー値を推測 し なければな り ません。
IPSEC で PFS が有効にな っ てい る と 、 PFS を使用 し ない場合 よ り も 、 新 し いキーの作成に時間がかか り
ます。 ただ し 、 PFS を使用す る と 、 第三者に よ るデー タ の傍受や復号化を防ぐ のに役立ち ます。
PFS Group (PFS グループ )—Perfect Forward Secrecy グループ。 こ のグループは、 Diffie-Hellman グループ 1 ま た
はグループ 2 です。 IPSEC の場合、 PFS グループは、 最初の PFS キー と 後続の PFS キー と の相違の度合い
を決定 し ます。
390
用語集
Phishing ( フ ィ ッ シ ン グ )—フ ィ ッ シ ン グは メ ール詐欺の一種です。 加害者は、 有名で信頼に足 る Web サ イ ト か
ら 送 ら れた正当な メ ールに見せかけた メ ールを送信 し 、 受信者か ら 個人情報や金融情報を集め よ う と し
ます。 フ ィ ッ シ ン グ エ ク スペデ ィ シ ョ ン (Phishing Expedition) は、 その由来 と な る フ ィ ッ シ ン グ エ ク スペ
デ ィ シ ョ ン (Fishing Expedition: 法的尋問。 自分に有利な情報を引 き 出すために相手に探 り を入れ る こ と )
と 同様に、 投機的な企てです。 フ ィ ッ シ ャ ーは、 「餌」 に遭遇 し た者の う ち少な く と も 2、 3 人が食いつ
く こ と を期待 し て、 お と り を仕掛け ます。 フ ィ ッ シ ャ ーに よ る な り すま し で頻繁に利用 さ れ る Web サ イ
ト には PayPal、 eBay、 MSN、 Yahoo、 BestBuy、 America Online があ り ます。
Ping—ホ ス ト へのア ク セ ス の ト ラ ブルシ ュ ーテ ィ ン グに使われ る一般的な方法。 ping は、 ICMP エ コー メ ッ セー
ジ と その応答を テ ス ト し ます。 ping は、 ホ ス ト に対す る最 も 単純なテ ス ト です。 ping を実行 し て、 パ
ケ ッ ト が送信 さ れたか、 パケ ッ ト が受信 さ れたか、 パケ ッ ト ロ ス の割合、 往復にかか る 時間 ( ミ リ 秒単
位 ) を確認 し ます。 ping が失敗 し た場合は、 traceroute を試 し て く だ さ い。 「traceroute」 (396 ページ ) を参
照 し て く だ さ い。
Ping of Death—Ping を使用 し て 65535 バ イ ト を超え る長 さ の ICMP エ コー パケ ッ ト を脆弱な コ ン ピ ュー タ に送信
す る サービ ス不能攻撃。 IP の仕様では こ の よ う な大 き さ のパケ ッ ト の作成が禁 じ ら れてい ますが、 断片
化に よ っ て こ のパケ ッ ト の送信は許可 さ れます。 こ の脆弱点は、 攻撃対象シ ス テ ムのネ ッ ト ワーキ ン グ
ス タ ッ ク の再構築 コ ー ド に存在 し ます。 こ のパケ ッ ト が再構築 さ れ る と 、 割 り 当て ら れたバ ッ フ ァ に対
し てパケ ッ ト が大 き すぎ る ために、 バ ッ フ ァ オーバーフ ロ ーが発生 し ます。 こ のバ ッ フ ァ オーバーフ
ロ ーは、 特定シ ス テ ムの ク ラ ッ シ ュ 、 再起動、 ま たは予測不能な方法での動作を引 き 起 こ す可能性があ
り ます。 こ の攻撃は ICMP に限 ら ず、 IP を使用す る任意のプ ロ ト コ ルで悪用可能です。
Policy ( ポ リ シー )—特定 タ イ プの ト ラ フ ィ ッ ク の処理方法を フ ァ イ ア ウ ォール /VPN モジ ュールに指示す る フ ァ
イ ア ウ ォール ルール。
Policy List ( ポ リ シー リ ス ト )—特定の イ ン タ ーフ ェ ースお よ び使用法に関す る フ ァ イ ア ウ ォ ール ルールの リ ス
ト。
POP3 —Post Office Protocol version 3 (POP3) は、 特定の イ ン タ ーネ ッ ト サービ ス プ ロ バ イ ダか ら メ ールを取 り 出
すために、 一般的に使用 さ れ る プ ロ ト コ ルです。 POP3 プ ロ ト コ ルは、 ポー ト 110 を使用 し ます。
PPP0—Point-to-Point Protocol over Ethernet (PPPoE) で使用 さ れ る アプ ラ イ ア ン ス イ ン タ ーフ ェース。PPPoE を有効
にす る と 、 アプ ラ イ ア ン ス に よ っ て こ の イ ン タ ーフ ェース が自動的に作成 さ れ ます。
PPPoE—Point-to-Point Protocol over Ethernet。 PPPoE は、 一般的なブ ロ ー ド バン ド 媒体 (DSL シ ン グル回線、 無線
デバ イ ス、 ケーブル モデム な ど ) を通 じ て イ ーサネ ッ ト 上のユーザーを イ ン タ ーネ ッ ト に接続す る ため
の規格です。
Port Group ( ポー ト グループ )— 1 つ以上のポー ト 名ま たは 1 つ以上のポー ト グループ を含むネ ッ ト ワー ク オブ
ジェ ク ト 。
Port Name ( ポー ト 名 )—
ジェ ク ト 。
単一のポー ト ま たは複数のポー ト 範囲のいずれか を含むネ ッ ト ワ ー ク オブ
PPTP —Point-to-Point Tunneling Protocol。 リ モー ト ク ラ イ ア ン ト がプ ラ イ ベー ト ネ ッ ト ワー ク に対す る VPN ト ン
ネルを作成で き る よ う に し ます。 イ ン タ ーネ ッ ト は本質的にオープ ン なネ ッ ト ワー ク であ る ため、 PPTP
は、 あ る VPN ノ ー ド か ら 別の VPN ピ アに送信 さ れ る メ ッ セージ を保護す る ために使用 さ れます。 PPTP
は、 ほ と ん ど の Microsoft オペレーテ ィ ン グ シ ス テ ムに含ま れてい ます。
Primary Management Interface ( プ ラ イ マ リ 管理イ ン タ ー フ ェ ース )—SiteProtector デス ク ト ッ プ コ ン ト ロ ー ラ
がアプ ラ イ ア ン ス の識別に使用す る 、 アプ ラ イ ア ン ス イ ン タ ーフ ェース ( 内部ま たは外部 ) IP ア ド レ ス。
アプ ラ イ ア ン ス と 通信す る 場合、 ま たは Proventia Manager を起動す る場合に、 最初に試 さ れます。
Protection Bypass Policy ( プ ロ テ ク シ ョ ン回避のポ リ シー )—特定の信頼で き る 企業 IP ア ド レ ス に宛てた ト ラ
フ ィ ッ ク の発信元が、 別な信頼で き る企業 IP ア ド レ ス であ る場合、 その よ う な ト ラ フ ィ ッ ク すべてにセ
Proventia® Network Multi-Function Security Appliance User Guide
391
用語集
キ ュ リ テ ィ チ ェ ッ ク の回避を許可 し ます。 ア ク セ ス ポ リ シーは、 [Protection Bypass Policy] タ ブで設定 し
ます。
Protocol ( プ ロ ト コ ル )— コ ン ピ ュー タ に よ っ て使用 さ れ る 、 合意済みの通信手段。 製品がネ ッ ト ワー ク 上で動
作す る 場合 ( デー タ の送信な ど ) に従 う 必要のあ る ルールお よ び手順を説明す る 仕様。 同 じ プ ロ ト コ ルを
使用 し ていれば、 製造元の異な る 製品で も 、 同一のネ ッ ト ワー ク 上で通信す る こ と がで き ます。 —
Protocol Access Rule ( プ ロ ト コ ル ア ク セス ルール )— ト ラ ン スペア レ ン ト モー ド の場合、 [Firewall/VPN
Settings] ページで こ れ ら のルールを定義 し て、 アプ ラ イ ア ン ス フ ァ イ ア ウ ォ ールが許可ま たは ド ロ ッ プ
す る ト ラ フ ィ ッ ク のプ ロ ト コ ルを指定 し ます。
Proventia Setup Assistant —Proventia Setup Assistant は、 アプ ラ イ ア ン ス の動作モー ド 、 ネ ッ ト ワー ク イ ン タ ー
フ ェース設定、 DNS 設定、 お よ びパス ワ ー ド を設定す る ために使用す る、 ブ ラ ウ ザベース のセ ッ ト ア ッ
プ ユーテ ィ リ テ ィ です。 Proventia Manager ( ロ ーカル管理 イ ン タ ーフ ェース ) へ ロ グオ ンす る前に、 こ れ
ら の設定作業を行 う 必要があ り ます。 Proventia Setup Assistant は、 2 通 り の形式で利用可能です。
テ キ ス ト ベース
GUI ベース ( グ ラ フ ィ カル ユーザー イ ン タ ーフ ェース )
Proventia Setup Utility (provsetup)—アプ ラ イ ア ン ス オペレーテ ィ ン グ シ ス テ ム の コ マ ン ド ラ イ ン イ ン タ ー
フ ェース。 こ のツールを使用 し て、 初期接続設定、 ネ ッ ト ワー ク イ ン タ ーフ ェース、 お よ びパ ス ワー ド
を設定 し ます。 ま た、 Web ブ ラ ウ ザを使用で き ない場合に、 Proventia Setup を使用 し て アプ ラ イ ア ン ス設
定を管理す る こ と も で き ます。 Proventia Manager に ロ グオンす る ためには、 Proventia Setup Utility を使用
し てネ ッ ト ワー ク 初期設定を設定す る必要があ り ます。
Proventia Manager (provmanager)—Proventia M シ リ ーズ 統合セキ ュ リ テ ィ アプ ラ イ ア ン ス の、 Web ベース の
ユーザー イ ン タ ーフ ェース。
q
Quarantine Rule ( 隔離ルール )—ブ ロ ッ ク す る ネ ッ ト ワー ク パケ ッ ト と 、 それ ら パケ ッ ト をブ ロ ッ ク す る 時間の
長 さ を指定す る 、 動的に生成 さ れ る ルール。 アプ ラ イ ア ン ス上の IPS モジ ュ ールは、 不正侵入に対応 し
て隔離ルールを動的に生成 し 、 そのルールを隔離テーブルに保存 し ます。
r
RADIUS—Remote Authentication Dial-In User Service。 認証デー タ ベース内で保持 さ れ る ユーザー プ ロ フ ァ イ ルの
管理を集中化 し 、 複数の VPN ス イ ッ チのサポー ト プ ロ セ ス を簡易化す る 、 ク ラ イ ア ン ト / サーバー ベー
ス の認証 ソ フ ト ウ ェ ア。 リ モー ト ア ク セ ス サーバーは、 集中化 さ れた認証サーバーに接続す る RADIUS
ク ラ イ ア ン ト と し て動作 し ます。
Relay IP Address ( リ レ ー IP ア ド レ ス )—別の ド メ イ ンへ メ ールを送信可能なネ ッ ト ワー ク 内部のユーザーを含
む、 一連の IP ア ド レ ス。
RARP —Reverse Address Resolution Protocol。 RARP は ARP と 逆の機能を持ち、 ハー ド ウ ェ ア (MAC) ア ド レ ス を イ
ン タ ーネ ッ ト ア ド レ ス にマ ッ ピ ン グ し ます。 最初に初期化を行っ て自分の イ ン タ ーネ ッ ト ア ド レ ス を見
つけ る 場合に、 主にデ ィ ス ク レ ス ノ ー ド で使用 さ れます。
Reboot—ルーテ ィ ン グ モー ド と ト ラ ン スペア レ ン ト モー ド を切 り 替え る 場合、 こ のオプシ ョ ン を使用 し て、
[Save Changes] を選択 し た場合に [Network Mode] 領域で選択 し たモー ド で再起動す る よ う にす る か ど う か
を選択 し ます。
RIP—主に内部ルーテ ィ ン グ環境で使用 さ れ る 、 動的なネ ッ ト ワ ー ク 間ルーテ ィ ン グ プ ロ ト コ ル。 動的なルー
テ ィ ン グ プ ロ ト コ ルは固定的なルーテ ィ ン グ プ ロ ト コ ル と 異な り 、 経路を自動的に発見 し てルーテ ィ ン
グ テーブルを作成 し ます。 RIP は、 距離ベ ク ト ル型アルゴ リ ズ ム を使用 し ます。
392
用語集
Router ID —ルー タ ー ID の値は、 OSPF において、 隣接ルー タ ー と アプ ラ イ ア ン ス に対 し てルー タ ーを一意に識
別 し 、 LSA 情報を交換で き る よ う に し ます。
Routing Mode ( ルーテ ィ ン グ モー ド )—アプ ラ イ ア ン ス がルーテ ィ ン グ ネ ッ ト ワ ー ク モー ド にな っ てい る 場合、
こ のプ ラ イ ア ン ス は完全な機能性で動作 し ます。 Proventia Setup Assistant を使用す る と 、 新 し いアプ ラ イ
ア ン ス をルーテ ィ ン グ モー ド に設定 し た り 、 ネ ッ ト ワ ー ク 上にアプ ラ イ ア ン ス を設置 し てか ら [System]
→ [Networking] ページ を使用 し てルーテ ィ ン グ モー ド と ト ラ ン スペア レ ン ト モー ド を切 り 替え た り す る
こ と がで き ます。
Remote ID ( リ モー ト ID)— リ モー ト ID は、VPN ク ラ イ ア ン ト が フ ェーズ 1 で VPN ゲー ト ウ ェ イ か ら 受信す る こ
と を予期 し てい る ID です。 ID の種類は、 認証に使用 さ れ る デー タ の種類を定義 し ます。 こ の ID は、IP
ア ド レ ス、
完全修飾 ド メ イ ン名、 メ ール ア ド レ ス、 文字列、 ま たは証明書発行者です。
RSA—Rivest-Shamir-Adleman。 1977 年に考案 さ れ、 考案者にちなんで名付け ら れたパブ リ ッ ク キー暗号化アルゴ
リ ズ ム。 大 き い数のアルゴ リ ズ ム であ り 、 RSA キーのサ イ ズは 768 ～ 2048 バ イ ト に及びます。 RSA は、
ほ と ん ど の し つ こ いブルー ト フ ォ ース攻撃に対 し 、 高い免疫性があ り ます。 RSA Security Inc. は、 こ の
RSA の中核的な アルゴ リ ズ ムに基づいたセキ ュ リ テ ィ ツールを数多 く 提供 し てい ます。 PGP (Pretty Good
Privacy) と SET (Secure Electronics Commerce) には、 RSA アルゴ リ ズ ム が組み込ま れてい ます。
Rule GUID ( ルール GUID)—ア ク セ ス ポ リ シーに割 り 当て ら れた、 固有の識別子。 ア ク セ ス ポ リ シー ( ま たは
フ ァ イ ア ウ ォ ール ルール ) のルール GUID は、 [Alert Event Details] ウ ィ ン ド ウ に表示 さ れます。 ルール
GUID は、 一般的な フ ァ イ ア ウ ォ ール ア ラ ー ト を生成 し たルールを ア ラ ー ト イ ベン ト ロ グ内で特定す る
こ と がで き ます。 ア ク セ ス ポ リ シーを編集 し て も [Rule GUID] の値は変わ り ませんが、 上向 き ま たは下
向 き の矢印ボ タ ン を ク リ ッ ク し てポ リ シーを [Access Policy] 表内で上下に移動す る と 変わ り ます。
Rule Order ( ルールの順序 )—[Access Policy] 表内でのア ク セ ス ポ リ シーの位置を示す値。 ア ク セ ス ポ リ シーを
表内で上下に移動す る と 、 ルール ID の値が増加ま たは低減 し ます。 こ の値は、 フ ァ イ ア ウ ォール ア ラ ー
ト と それに対応す る ア ク セ ス ポ リ シーの ト ラ ブルシ ュ ーテ ィ ン グに役立ち ます。
s
SAP—Service Advertising Protocol。 サーバーやルー タ ーは、 提供す る サービ ス の種類を示す メ ッ セージ を、 SAP
を使用 し てブ ロ ー ド キ ャ ス ト し ます。 こ れ ら の メ ッ セージは、 60 秒ご と にブ ロ ー ド キ ャ ス ト さ れます。
SAP は、 ネ ッ ト ワー ク デバ イ ス がネ ッ ト ワー ク での可用性に関す る 情報を交換で き る よ う にす る 点で
RIP と 似てい ます。 し か し 、 SAP のブ ロ ー ド キ ャ ス ト は、 ネ ッ ト ワー ク に と っ て不要な ト ラ フ ィ ッ ク を増
やす可能性があ り ます。 SAP のブ ロ ー ド キ ャ ス ト を削減す る には、 発生の間隔を大 き く す る か、 広範囲
の リ ン ク におけ る SAP ト ラ フ ィ ッ ク を減 ら すための フ ィ ル タ を使用す る必要があ り ます。
Security Association Selector ( セキ ュ リ テ ィ ア ソ シ エーシ ョ ン セ レ ク タ )—セ キ ュ リ テ ィ ア ソ シエーシ ョ ン
セ レ ク タ には、
Source IP Selector Value、 Destination IP Selector Value、 Transport Selector Value (
プ ロ ト コ ル )、 Source Port Selector Value、 Destination Port Selector Value、 User ID Selector Value ( 不使用 )、
Sensitivity Selector Value ( 不使用 ) があ り ます。
Security Content Update ( セキ ュ リ テ ィ コ ン テ ン ツのア ッ プデー ト )—ISS のダ ウ ン ロ ー ド ページか ら 入手可能
な、 不正侵入防御 と ア ンチ ウ ィ ル ス の コ ン テ ン ツ を含むア ッ プデー ト 。 セ キ ュ リ テ ィ コ ン テ ン ツ ア ッ プ
デー ト は、 自動的にダ ウ ン ロ ー ド し て イ ン ス ト ールする こ と がで き ます。
Security Gateway ( セキ ュ リ テ ィ ゲー ト ウ ェ イ )—VPN 接続の リ モー ト ピ ア を定義す る 一連の設定。 セキ ュ リ
テ ィ ゲー ト ウ ェ イ を再利用 し て、 VPN 接続をす ぐ に作成す る こ と がで き ます。 セキ ュ リ テ ィ ゲー ト ウ ェ
イ の種類には、
Auto Key IPSEC、 IPSEC Remote Client、 L2TP/IPSEC Remote Client、 Manual Key
IPSEC があ り ます。
Security Policy Database Value ( セキ ュ リ テ ィ ポ リ シー デー タ ベース値 )—指定 さ れた値がセキ ュ リ テ ィ ポ リ
シー デー タ ベース内に存在す る場合、 セキ ュ リ テ ィ ア ソ シエーシ ョ ン が作成 さ れます。
Proventia® Network Multi-Function Security Appliance User Guide
393
用語集
Security Process ( セキ ュ リ テ ィ プ ロ セス )—IPSEC 接続におけ る パケ ッ ト に対す る セキ ュ リ テ ィ ア ク シ ョ ン を
示 し ます。 オプシ ョ ンは、 次の と お り です。
Encrypt ( パケ ッ ト を VPN ト ン ネルを通 じ てルーテ ィ ン グす る )、 Bypass ( パケ ッ ト を VPN ト ン ネルを通
じ てルーテ ィ ン グ し ない )、 Discard ( パケ ッ ト を ド ロ ッ プす る )
Security Parameters Index—Security Parameter Index (SPI) は、 パケ ッ ト が所属す る セキ ュ リ テ ィ ア ソ シエーシ ョ
ン (SA) を一意に識別す る 32 ビ ッ ト の フ ィ ール ド です。 SPI はすべてのパケ ッ ト に含まれてい る ので、 受
信側のホ ス ト は こ れを Security Parameters Database (SPDB) 内の項目 と 一致 さ せ、 受信パケ ッ ト のセキ ュ リ
テ ィ をチ ェ ッ ク す る ための SA を取得す る こ と がで き ます。 SPI 値は、 IPSEC 接続の間中、 変更 さ れ る こ
と はあ り ません。 通信が終了す る と 、 SPI 値は再要求 さ れ、 新 し い IPSEC 接続で再び使用 さ れ ます。
Security protocol ( セキ ュ リ テ ィ プ ロ ト コ ル )—セキ ュ リ テ ィ プ ロ ト コ ルのオプシ ョ ン には、ESP With Auth (
デー タ 暗号化 と デー タ 認証を行 う )、 ESP ( デー タ 暗号化だけ を行 う )、ESP and AH (ESP プ ロ ト コ ル と AH
プ ロ ト コ ルの組み合わせ )、ESP With Auth and AH (ESP With Auth プ ロ ト コ ル と AH プ ロ ト コ ルの組み合わ
せ )、
AH ( パケ ッ ト 認証のみ ) があ り ます。 こ こ に挙げ ら れたセキ ュ リ テ ィ プ ロ ト
コ ルのすべてが Proventia Manager の [Security Protocol] 設定で利用可能であ る と は限 り ません。 一部の製
造元では、 ESP With Auth を ESP と 呼んでい ます。
SHA1—Secure Hash Algorithm (SHA1) は、 メ ッ セージの圧縮表現 ( メ ッ セージ ダ イ ジ ェ ス ト ) を生成 し ます。 メ ッ
セージ ダ イ ジ ェ ス ト は、 メ ッ セージ用の署名を生成す る 間に使用 さ れ ます。 SHA1 は ま た、 署名検証プ
ロ セ ス で受信 メ ッ セージの メ ッ セージ ダ イ ジ ェ ス ト を算出す る 場合に も 使用 さ れます。 送信中の メ ッ
セージに何 ら かの変更が加え ら れ る と 、 異な る メ ッ セージ ダ イ ジ ェ ス ト が生成 さ れ、 署名の検証が失敗
し ます。 SHA1 は、 メ ッ セージの送信者 と 意図 さ れた受信者の両方で、 デジ タ ル署名の算出 と 検証に使用
さ れ ます。
キーの長 さ は 20 文字です。
Simple Network Management Protocol (SNMP)—ネ ッ ト ワー ク デバ イ ス と その機能を管理お よ び監視す る ため
に使用 さ れ る プ ロ ト コ ル。 各ネ ッ ト ワー ク デバ イ ス での レ ポーテ ィ ン グ プ ロ セ ス ア ク テ ィ ビ テ ィ を使っ
てデー タ が SNMP エージ ェ ン ト か ら 渡 さ れ、 管理 コ ン ソ ールに送 ら れます。 エージ ェ ン ト は、 情報を
MIB (Management Information Base) フ ァ イ ルに含めて返 し ます。
SiteProtector—ISS の管理 コ ン ソ ール。 SiteProtector は、 アプ ラ イ ア ン スやエージ ェ ン ト 、 セ ンサーな ど の さ ま ざ
ま なネ ッ ト ワー ク アセ ッ ト を管理す る こ と がで き ます。
SMTP —Simple Mail Transfer Protocol (SMTP) は、 サーバー間で電子 メ ール メ ッ セージ を送信す る ためのルール一
式です。 メ ッ セージは、 メ ッ セージ転送シ ス テ ムの管理下で送信 さ れます。 SMTP は一般的に、 メ ール
ク ラ イ ア ン ト か ら メ ール サーバーに メ ッ セージ を送信す る ために使用 さ れ ます。 SMTP プ ロ ト コ ルは、
ポー ト 25 を使用 し ます。
SNA —Systems Network Architecture。 SNA は、 IBM のシ ス テ ムお よ びネ ッ ト ワー ク に関す る 一連の通信プ ロ ト コ
ルを規定す る IBM のアーキ テ ク チ ャ です。 SNA は、 OSI モデルの よ う なアーキ テ ク チ ャ です。 プ ロ ト コ
ル ス タ ッ ク が存在 し 、 そ う し たプ ロ ト コ ル ス タ ッ ク の さ ま ざ ま な レベルで通信の発生す る 方法に関す る
さ ま ざ ま な構造上の定義が存在 し ます。
Subnet Mask ( サブ ネ ッ ト マス ク )—「Netmask」 を参照 し て く だ さ い。
SubNetwork Attachment Point (SNAP)—Sub-Network Attachment Point。 SNAP ヘ ッ ダーは、 イ ーサネ ッ ト お よ び
類似のネ ッ ト ワー ク パケ ッ ト 向けに IEEE で定義 さ れた第 2 層ヘ ッ ダー カプセル化形式です。 SNAP は、
IEEE 802.3 通信プ ロ ト コ ル ス タ ッ ク の論理 リ ン ク 制御層で、 LLC/SNAP カプセル化において IEEE で定義
さ れた論理 リ ン ク 制御ヘ ッ ダーに対す る ト レー ラ と し て使用 さ れます。
SNMP —Simple Network Management Protocol。 ネ ッ ト ワ ー ク デバ イ ス と その機能を管理お よ び監視す る ために使
用 さ れ る プ ロ ト コ ル。 各ネ ッ ト ワー ク デバ イ ス での レ ポーテ ィ ン グ プ ロ セ ス ア ク テ ィ ビ テ ィ を使っ て
デー タ が SNMP エージ ェ ン ト か ら 渡 さ れ、 管理 コ ン ソ ールに送 ら れ ます。 エージ ェ ン ト は、 MIB
(Management Information Base) フ ァ イ ルに含まれた状態で情報を返 し ます。
Source Address ( 発信元ア ド レ ス )—ネ ッ ト ワー ク パケ ッ ト を送信す る コ ン ピ ュ ー タ の IP ア ド レ ス。
394
用語集
Source NAT Rule (Source NAT ルール )—発信ネ ッ ト ワー ク ト ラ フ ィ ッ ク のルーテ ィ ン グ不能な内部 IP ア ド レ
ス を、 固有のルーテ ィ ン グ可能な IP ア ド レ ス に変換 し ます。 Source NAT ルールは、 ネ ッ ト ワー ク 内部の
コ ン ピ ュ ー タ がパブ リ ッ ク ネ ッ ト ワー ク 上の コ ン ピ ュ ー タ と 通信で き る よ う に し ます。
Source Port ( 発信元ポー ト )—発信元 コ ン ピ ュ ー タ に よ っ てネ ッ ト ワー ク パケ ッ ト に割 り 当て ら れた、 発信元
ポー ト 。
Source Whitelist—Source Whitelist は、 お使いのネ ッ ト ワ ー ク か ら 自由に イ ン タ ーネ ッ ト ア ク セ ス で き る 固定 IP
ア ド レ ス の リ ス ト です。 ネ ッ ト ワー ク 内の特定のユーザーが無制限の イ ン タ ーネ ッ ト ア ク セ ス を必要 と
し てい る 場合に役立ち ます。
重要 : Source Whitelist にユーザーを含め る と 、 そのユーザーはすべての Web フ ィ ル タ を免除 さ れます。 そ
のユーザーは、 任意の URL、 ド メ イ ン、 ま たは IP ア ド レ ス にア ク セ ス可能です (Destination Blacklist に
載っ てい る も のであ っ て も 同様 )。
SPAM ( スパム )—未承諾広告や不快な内容を含む電子 メ ール。
Spyware ( スパイ ウ ェ ア )—個人ま たは組織に関す る 情報を、 当事者が気付かない う ちに収集す る のを支援す る
技術。 イ ン タ ーネ ッ ト 上では、 侵入者がユーザーの コ ン ピ ュ ー タ にプ ロ グ ラ ム を置 き 、 秘密裏に情報を
集めて広告主ま たは利害関係にあ る 団体に中継す る 可能性があ り ます。 侵入者は、 ウ ィ ル ス と し て、 ま
たは新規プ ロ グ ラ ム の イ ン ス ト ールに よ っ て、 コ ン ピ ュ ー タ 上に ス パ イ ウ ェ ア を置 く こ と がで き ます。
ス パ イ ボ ッ ト 、 ト ラ ッ キ ン グ ソ フ ト ウ ェ ア と も いい ます。
SSH—Secure Shell は、 Windows お よ び Unix の ク ラ イ ア ン ト な ら びにサーバーへの ロ グオン を保護 し ます。 SSH
は、 telnet、 ftp お よ びその他 リ モー ト ロ グオン ユーテ ィ リ テ ィ を、 暗号化 さ れた も のに置 き換え ます。
SSL—Secure Sockets Layer (SSL) 証明書は、 SiteProtector 内のアプ ラ イ ア ン ス に対す る 接続を認証 し ます。 SSL は、
SSL 接続を通 じ て送信す るデー タ をプ ラ イ ベー ト キーを使っ て暗号化す る こ と で機能 し ます。
Stateful Firewall ( ス テー ト フルな フ ァ イ アウ ォ ール )—ス テー ト フルな フ ァ イ ア ウ ォ ール モジ ュ ールは、 ア ド レ
ス / ポー ト 別の従来型の許可 / 拒否ルール、 オブジ ェ ク ト の名前付き リ ス ト 、 DHCP サーバー、NAT、
PAT、
DHCP ク ラ イ ア ン ト 、 PPPoE (DSL/ ケーブル接続用 )、 お よ び ICSA ( 認定待ち )
をサポー ト し てい ます。
STP—Spanning Tree Protocol (STP) は、 メ デ ィ ア ア ク セ ス制御ブ リ ッ ジに関す る IEEE 802.1 標準の一部であ る リ ン
ク 管理型プ ロ ト コ ルです。 STP は ス パニ ン グ ツ リ ー アルゴ リ ズ ム (STA) を使用 し 、 デバ イ ス間の複数の
ア ク テ ィ ブ パ ス に よ っ てネ ッ ト ワ ー ク で不要なループが発生す る のを防止す る一方で、 パ ス の冗長性を
提供 し ます。 Proventia アプ ラ イ ア ン ス の場合、 ト ラ ン スペア レ ン ト モー ド の 2 台のアプ ラ イ ア ン ス が重
複 し て接続 さ れてい る 場合に STP を使用す る こ と がで き ます。 「 ト ラ ン スペア レ ン ト モー ド での STP を
使用 し た フ ェールオーバー防御」 を参照 し て く だ さ い。
Stub Domain ( ス タ ブ ド メ イ ン )—IP ネ ッ ト ワー ク において IP ア ド レ ス指定を使用 し て ロ ーカル パケ ッ ト ルー
テ ィ ン グ を行 う 、 LAN ( ロ ーカル エ リ ア ネ ッ ト ワー ク ) な ど の ロ ーカル ド メ イ ン。 ド メ イ ン内のホ ス ト
か ら 発信 さ れた ト ラ フ ィ ッ ク 、 ま たはその よ う な ホ ス ト を宛先 と す る ト ラ フ ィ ッ ク だけ を扱い ます。 ス
タ ブ ド メ イ ン外 と 通信す る には、 NAT (Network Address Translation) を使用す る 必要があ り ます。
Subnet Mask ( サブ ネ ッ ト マス ク )—ルーテ ィ ン グ デバ イ ス がサブネ ッ ト ( 「サブネ ッ ト ワー ク 」 の省略形 ) 上で
パケ ッ ト を よ り 迅速に動かせ る よ う に し ます。 IP ア ド レ ス には、 ネ ッ ト ワー ク ア ド レ ス を表す数値 と 、
ホ ス ト 番号ア ド レ ス を表す数値が含まれてい ます。 固有のネ ッ ト ワー ク 番号を持つパケ ッ ト がネ ッ ト
ワー ク ゲー ト ウ ェ イ に達 し た後、 ルーテ ィ ン グ デバ イ ス はサブネ ッ ト 番号を さ ら に使用 し て、 こ のパ
ケ ッ ト を ネ ッ ト ワー ク 内で転送 し ます。 ルー タ ーは、 サブネ ッ ト マ ス ク を見て、 注目す る ビ ッ ト と 無視
す る ビ ッ ト を判断 し ます。 サブネ ッ ト マ ス ク に よ っ て、 ルーテ ィ ン グ デバ イ ス は、 32 ビ ッ ト のア ド レ ス
全体ではな く 、 マ ス ク に よ っ て選択 さ れた ビ ッ ト だけ を見 る こ と がで き ます。 マ ス ク と は、 下部の ど の
数値を見 る のかルーテ ィ ン グ デバ イ ス に指示す る ため、 数値を選別す る と い う も のです。 サブネ ッ ト マ
ス ク では、 「1」 ま たはそれ以上の数値は 「下部の数値を見 よ 」、 「0」 は 「見 る な」 を意味 し ます。
Proventia® Network Multi-Function Security Appliance User Guide
395
用語集
SYN Flood (SYN フ ラ ッ ド )—SYN パケ ッ ト と も いい ます。 偽造 TCP 接続要求を、 標的の コ ン ピ ュ ー タ が要求を
処理可能な速度 よ り も 速 く 送信す る サービ ス不能攻撃です。 攻撃対象は、 こ の不正な要求に応答 し た後、
返っ て こ ない確認を待ち続け る こ と にな り ます。 接続要求テーブルがい っぱいにな る と 、 新 し い接続要
求はすべて無視 さ れ ます。 SYN フ ラ ッ ド で コ ン ピ ュー タ が ク ラ ッ シ ュ す る こ と はほ と ん ど あ り ません。
攻撃者が攻撃を停止す る と 、 ネ ッ ト ワー ク は通常の状態に戻 る こ と が普通です。 比較的新 し いオペレー
テ ィ ン グ シ ス テ ム ま たはパ ッ チを適用済みのオペレーテ ィ ン グ シ ス テ ムは、 も っ と 効率 よ く リ ソ ース を
処理 し ますが、 それで も こ の攻撃に対 し て脆弱であ る 可能性があ り ます。 メ モ リ 割 り 当ての改良、 特定
の着信接続の ド ロ ッ プ、 RST Cookie お よ び SYN Cookie な ど のテ ク ニ ッ ク 、 さ ら に確認の タ イ ム ア ウ ト 値
の引 き 下げに よ っ て、 SYN フ ラ ッ ド の影響を減少 さ せ る こ と がで き ます。 SYN フ ラ ッ ド 攻撃は、 構造化
さ れた攻撃の一部分であ る 可能性があ り ます。 TCP 乗っ取 り において接続の一端を無効化す る ために使
用 さ れた り 、 認証ま たはサーバー間通信の阻止に使用 さ れた り す る 可能性があ り ます。
t
TCP —Transmission Control Protocol (TCP) は、 デー タ ス ト リ ーム を交換す る 2 ホ ス ト 間におけ る 通信に適用 さ れ
ます。
traceroute—お使いの コ ン ピ ュ ー タ か ら イ ン タ ーネ ッ ト ホ ス ト へのパケ ッ ト を追跡 し 、 ホ ス ト に達す る ま でにい
く つのホ ッ プが必要であ る か、 各ホ ッ プで ど の く ら いの時間がかか る のか を示すユーテ ィ リ テ ィ 。
traceroute は UNIX ユーテ ィ リ テ ィ です。
Translated Address ( 変換済みア ド レ ス )—ネ ッ ト ワー ク 内 コ ン ピ ュー タ の公に面 し た ア ド レ ス と し て アプ ラ イ
ア ン ス が使用す る、 ルーテ ィ ン グ可能な IP ア ド レ ス。
Transmit Delay— こ の値は、 OSPF ルーテ ィ ン グ機能において、 アプ ラ イ ア ン ス がエ リ ア設定を通 じ てブ ロ ー ド
キ ャ ス ト を行 う 前に LSA パケ ッ ト の有効期限に追加す る 時間を秒数で設定 し ます。
Transparent Mode ( ト ラ ン スペア レ ン ト モー ド )—アプ ラ イ ア ン ス が ト ラ ン スペア レ ン ト モー ド にな っ てい る
場合、 こ のアプ ラ イ ア ン ス はブ リ ッ ジ デバ イ ス と し て機能 し 、 IP パケ ッ ト ヘ ッ ダーの発信元情報や宛先
情報を ま っ た く 変更せずに、 フ ァ イ ア ウ ォールを通過す る パケ ッ ト に フ ィ ル タ をかけ ます。 すべての イ
ン タ ーフ ェース の IP ア ド レ ス は 0.0.0.0 に設定 さ れ る ため、 アプ ラ イ ア ン ス の存在はネ ッ ト ワ ー ク か ら 見
え ません。 ト ラ ン スペア レ ン ト モー ド では、 アプ ラ イ ア ン ス の一部の機能が使用で き ません。
TTL—Time to Live。 IP プ ロ ト コ ルで使用 さ れ ます。 TTL は、 パケ ッ ト 断片がネ ッ ト ワー ク 上の任意のデバ イ ス に
よ っ て削除可能 と な る ま での時間 ( 一般的には秒 ) です。 多 く の場合、 パケ ッ ト を永久的に循環 さ せ る よ
う なエ ラ ーをルー タ ーが発生 さ せた場合に使用 さ れます。 「Traceroute」 と 「UDP」 も 参照 し て く だ さ い。
Tuning Parameter ( 調整パ ラ メ ー タ )—調整パ ラ メ ー タ は、 次の よ う に指定 し ます。 ブー リ ア ン値を有効に設定
す る には、 [Boolean] を選択 し てか ら [Enabled] を オン に し ます。 ブー リ ア ン値を無効に設定する には、
[Boolean] を選択 し てか ら [Enabled] チ ェ ッ ク ボ ッ ク ス をオ フ に し ます。 数値を指定す る には、 [Number]
を選択 し 、 [Value] フ ィ ール ド に数値を入力 し ます。 テ キ ス ト 値を指定す る には、 [String] を選択 し 、
[Value] フ ィ ール ド にテ キ ス ト を入力 し ます。
u
UDP—User Datagram Protocol (UDP) は、 IP ネ ッ ト ワー ク 上での直接的な送受信を可能にす る コ ネ ク シ ョ ン レ ス型
プ ロ ト コ ルに適用 さ れ ます。
URI—Uniform Resource Indicator。 イ ン タ ーネ ッ ト 上にあ る リ ソ ース のア ド レ ス。 URI には、 Universal Resource
Locator (URL) に加え て https な ど のプ ロ ト コ ル も 含ま れ ます。 例 : http://www.iss.net.
URL Blocking (URL ブ ロ ッ キン グ )—Web フ ィ ル タ を有効にす る と 、 URL ブ ロ ッ キ ン グがデフ ォ ル ト で有効にな
り ます。 URL ブ ロ ッ キ ン グが有効にな っ てい る場合、 アプ ラ イ ア ン ス は、 選択 し た Web フ ィ ル タ カ テ ゴ
リ に属す る URL に対す る 要求をすべてブ ロ ッ ク し ます。 URL ブ ロ ッ キ ン グ を無効にする と 、 選択 し た
Web フ ィ ル タ カ テ ゴ リ 内の URL、 ド メ イ ン、 ま たは IP ア ド レ ス に対す る ア ク セ ス要求が記録 さ れます。
396
用語集
v
仮想 IP ア ド レ ス —仮想 IP ア ド レ ス は両方の HA アプ ラ イ ア ン ス ( プ ラ イ マ リ お よ びセ カ ン ダ リ ) で設定 さ れます
が、 プ ラ イ マ リ アプ ラ イ ア ン ス でのみ有効にな っ てい る ため、 プ ラ イ マ リ アプ ラ イ ア ン ス だけがネ ッ ト
ワー ク ト ラ フ ィ ッ ク をルーテ ィ ン グ し ます。 すべての外部 ク ラ イ ア ン ト は こ れ ら のア ド レ ス を使用 し て
HA ク ラ ス タ と 通信を行い ます。
Virtual Gateway ( 仮想ゲー ト ウ ェ イ )—デフ ォ ル ト の HA ク ラ ス タ 用外部ゲー ト ウ ェ イ の IP ア ド レ ス。 例 :
10.10.100.1
Virtual Link ( 仮想 リ ン ク )—OSPF プ ロ ト コ ルの場合は、 各ルー タ ーがエ リ ア 0 ( バ ッ ク ボーン ) に接続 さ れてい
る 必要があ り ます。 物理的にエ リ ア 0 に接続 さ れていない OSPF ルー タ ーの場合、 エ リ ア 0 に物理的に接
続 し てい る別の OSPF ルー タ ーへ こ のルー タ ーを リ ン ク す る こ と で、 バ ッ ク ボーン に対す る 「仮想 リ ン
ク 」 を作成す る こ と がで き ます。
Virtual Management IP Address ( 仮想管理 IP ア ド レ ス )— ト ラ ン スペア レ ン ト モー ド のアプ ラ イ ア ン ス の管理
に使用す る固定 IP ア ド レ ス。 こ の IP ア ド レ ス は、 CORPTRANS Dynamic Address Name に関連付けたの と
同 じ IP ア ド レ ス であ る必要があ り ます。 ヘルプ ト ピ ッ ク の 「Switching Between Routing Mode and
Transparent Mode」 を参照 し て く だ さ い。
VPN—Virtual Private Network。 ユーザーがプ ラ イ ベー ト ネ ッ ト ワー ク の よ う に イ ン タ ーネ ッ ト にア ク セ ス し た り 、
こ れを利用 し た り で き る よ う に し ます。
VPN Module (VPN モ ジ ュ ール )—Proventia M シ リ ーズ アプ ラ イ ア ン ス は、 次の も のか ら の VPN 接続を受け付け
ます。
サ イ ト ツーサ イ ト の場合 : リ モー ト のオ フ ィ スお よ びパー ト ナー
ク ラ イ ア ン ト の場合 : ホーム オ フ ィ スお よ びモバ イ ル ユーザー
VPN Users—[VPN Users] リ ス ト を使用 し て、 次のセキ ュ リ テ ィ ゲー ト ウ ェ イ で一般認証を使用す る ために
XAuth を有効に し て設定 し ます。
IPSEC Remote Client セキ ュ リ テ ィ ゲー ト ウ ェ イ
Auto Key IPSEC セキ ュ リ テ ィ ゲー ト ウ ェ イ
w
Web Filter (Web フ ィ ル タ )—ネ ッ ト ワー ク 上のユーザーが利用で き る Web サ イ ト を指定 し ます。 Web フ ィ ル タ
モジ ュ ールを有効にす る と 、M シ リ ーズ アプ ラ イ ア ン ス は選択 し た Web フ ィ ル タ 基準に従っ て Web サ イ
ト を ブ ロ ッ ク ま たは許可 し ます。
WildList—WildList Organization International (http://www.wildlist.org) は、 実環境で広 く 流布 し てい る ウ ィ ル ス に関
す る重要な情報源です。
WINS—Windows Internet Naming Service。WINS は Microsoft 独自仕様の名前解決サービ ス です。NetBIOS 名か ら IP
ア ド レ ス の動的マ ッ ピ ン グ を行い、 TCP/IP ネ ッ ト ワー ク 内で NetBIOS API コ ールを解す る ネ ッ ト ワー ク
リ ソ ース を特定す る 場合の問題を解決 し ます。 WINS サーバーは、 コ ン ピ ュ ー タ 名 (NetBIOS 名 ) と IP ア
ド レ ス を自動的に保持 し ます。 ほ と ん ど の場合、 NT ベース の ド メ イ ン ネーム サーバーに Windows コ ン
ピ ュー タ の名前 と IP ア ド レ ス を提供する ために、 DHCP と 併用 さ れます。
x
XAuth—XAuth (Extended Authentication の略 ) は、 IKE セ ッ シ ョ ン に第 2 のユーザー名お よ びパ ス ワー ド を提供 し
ます。 XAuth プ ロ グ ラ ムは、 X サーバーへの接続に使用 さ れ る認証情報の編集お よ び表示に使用 さ れま
す。 こ のプ ロ グ ラ ムは通常、 あ る マシ ン か ら 認証レ コ ー ド を抽出 し 、 こ れを別のマシ ン にマージす る た
めに使用 さ れ ます。 X Window System 技術 と 混同 し ない よ う に し て く だ さ い。
Proventia® Network Multi-Function Security Appliance User Guide
397
用語集
398
Internet Security Systems, Inc. Software License Agreement
THIS SOFTWARE PRODUCT IS PROVIDED IN OBJECT CODE AND IS LICENSED, NOT SOLD. BY INSTALLING, ACTIVATING,
COPYING OR OTHERWISE USING THIS SOFTWARE PRODUCT, YOU AGREE TO ALL OF THE PROVISIONS OF THIS SOFTWARE
LICENSE AGREEMENT (“LICENSE”). EXCEPT AS MAY BE MODIFIED BY AN APPLICABLE ISS LICENSE NOTIFICATION THAT
ACCOMPANIES, PRECEDES, OR FOLLOWS THIS LICENSE, AND AS MAY FURTHER BE DEFINED IN THE USER DOCUMENTATION
ACCOMPANYING THE SOFTWARE PRODUCT, YOUR RIGHTS AND OBLIGATIONS WITH RESPECT TO THE USE OF THIS SOFTWARE
PRODUCT ARE AS SET FORTH BELOW. IF YOU ARE NOT WILLING TO BE BOUND BY THIS LICENSE, RETURN ALL COPIES OF THE
SOFTWARE PRODUCT, INCLUDING ANY LICENSE KEYS, TO ISS WITHIN FIFTEEN (15) DAYS OF RECEIPT FOR A FULL REFUND OF
ANY PAID LICENSE FEE. IF THE SOFTWARE PRODUCT WAS OBTAINED BY DOWNLOAD, YOU MAY CERTIFY DESTRUCTION OF
ALL COPIES AND ANY LICENSE KEYS IN LIEU OF RETURN.
1. License - Upon your payment of the applicable fees and ISS delivery to you of the applicable license notification, Internet Security Systems, Inc. (“ISS”) grants to
you as the only end user (“Licensee”) a nonexclusive and nontransferable, limited license for the accompanying ISS software product, the related
documentation, and any associated license key(s) (Software), for use only on the specific network configuration, for the number and type of devices, and for the
time period (“Term”) that are specified in ISS quotation and Licensees purchase order, as accepted by ISS. ISS limits use of Software based upon the number of
nodes, users and/or the number and type of devices upon which it may be installed, used, gather data from, or report on, depending upon the specific Software
licensed. A device includes any network addressable device connected to Licensees network, including remotely, including but not limited to personal
computers, workstations, servers, routers, hubs and printers. A device may also include ISS hardware (each an Appliance) delivered with pre-installed Software
and the license associated with such shall be a non-exclusive, nontransferable, limited license to use such pre-installed Software only in conjunction with the ISS
hardware with which it is originally supplied and only during the usable life of such hardware. Except as provided in the immediately preceding sentence,
Licensee may reproduce, install and use the Software on multiple devices, provided that the total number and type are authorized by ISS. Licensee may make a
reasonable number of backup copies of the Software solely for archival and disaster recovery purposes. In connection with certain Software products, ISS
licenses security content on a subscription basis for a Term. Content subscriptions are licensed pursuant to this License based upon the number of protected
nodes or number of users. Security content is regularly updated and includes, but is not limited to, Internet content (URLs) and spam signatures that ISS
classifies, security algorithms, checks, decodes, and ISS related analysis of such information, all of which ISS regards as its confidential information and
intellectual property. Security content may only be used in conjunction with the applicable Software in accordance with this License. The use or re-use of such
content for commercial purposes is prohibited. Licensees access to the security content is through an Internet update using the Software. In addition, unknown
URLs may be automatically forwarded to ISS through the Software, analyzed, classified, entered into ISS URL database and provided to Licensee as security
content updates at regular intervals. ISS URL database is located at an ISS facility or as a mirrored version on Licensees premises. Any access by Licensee to
the URL database that is not in conformance with this License is prohibited. Upon expiration of the security content subscription Term, unless Licensee renews
such content subscription, Licensee shall implement appropriate system configuration modifications to terminate its use of the content subscription. Upon
expiration of the license Term, Licensee shall cease using the Software and certify return or destruction of it upon request.
2. Migration Utilities - For Software ISS markets or sells as a Migration Utility, the following shall apply. Provided Licensee holds a valid license to the ISS Software
to which the Migration Utility relates (the Original Software), ISS grants to Licensee as the only end user a nonexclusive and nontransferable, limited license to
the Migration Utility and the related documentation (“Migration Utility”) for use only in connection with Licensees migration of the Original Software to the
replacement software, as recommended by ISS in the related documentation. The Term of this License is for as long as Licensee holds a valid license to the
applicable Original Software. Licensee may reproduce, install and use the Migration Utility on multiple devices in connection with its migration from the Original
Software to the replacement software. Licensee shall implement appropriate safeguards and controls to prevent unlicensed use of the Migration Utility. Licensee
may make a reasonable number of backup copies of the Migration Utility solely for archival and disaster recovery purposes.
3. Third-party Products - Use of third party product(s) supplied hereunder, if any, will be subject solely to the manufacturers terms and conditions that will be
provided to Licensee upon delivery. ISS will pass any third party product warranties through to Licensee to the extent authorized. If ISS supplies Licensee with
Crystal Decisions Runtime Software, then the following additional terms apply: Licensee agrees not to alter, disassemble, decompile, translate, adapt or reverseengineer the Runtime Software or the report file (.RPT) format, or to use, distribute or integrate the Runtime Software with any general-purpose report writing,
data analysis or report delivery product or any other product that performs the same or similar functions as Crystal Decisions product offerings; Licensee agrees
not to use the Software to create for distribution a product that converts the report file (.RPT) format to an alternative report file format used by any generalpurpose report writing, data analysis or report delivery product that is not the property of Crystal Decisions; Licensee agrees not to use the Runtime Software on
a rental or timesharing basis or to operate a service bureau facility for the benefit of third parties unless Licensee first acquires an Application Service Provider
License from Crystal Decisions; CRYSTAL DECISIONS AND ITS SUPPLIERS DISCLAIM ALL WARRANTIES, EXPRESS, OR IMPLIED, INCLUDING
WITHOUT LIMITATION THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE, AND NONINFRINGEMENT OF THIRD
PARTY RIGHTS. CRYSTAL DECISIONS AND ITS SUPPLIERS SHALL HAVE NO LIABILITY WHATSOEVER UNDER THIS AGREEMENT OR IN
CONNECTION WITH THE SOFTWARE. In this section 3 Software means the Crystal Reports software and associated documentation supplied by ISS and any
updates, additional modules, or additional software provided by Crystal Decisions in connection therewith; it includes Crystal Decisions Design Tools, Report
Application Server and Runtime Software, but does not include any promotional software or other software products provided in the same package, which shall
be governed by the online software license agreements included with such promotional software or software product.
4. Beta License - If ISS is providing Licensee with the Software, security content and related documentation, and/or an Appliance as a part of an alpha or beta test,
the following terms of this Section 4 additionally apply and supercede any conflicting provisions herein or any other license agreement accompanying, contained
or embedded in the subject prototype product or any associated documentation. ISS grants to Licensee a nonexclusive, nontransferable, limited license to use
the ISS alpha/beta software program, security content, if any, Appliance and any related documentation furnished by ISS (Beta Products) for Licensees
evaluation and comment (the “Beta License”) during the Test Period. ISS standard test cycle, which may be extended at ISS discretion, extends for sixty (60)
days, commencing on the date of delivery of the Beta Products (the “Test Period”). Upon expiration of the Test Period or termination of the Beta License,
Licensee shall, within thirty (30) days, return to ISS or destroy all copies of the beta Software, and shall furnish ISS written confirmation of such return or
destruction upon request. If ISS provides Licensee a beta Appliance, Licensee agrees to discontinue use of and return such Appliance to ISS upon ISS request
and direction. If Licensee does not promptly comply with this request, ISS may, in its sole discretion, invoice Licensee in accordance with ISS current policies.
Licensee will provide ISS information reasonably requested by ISS regarding Licensee’s experiences with the installation and operation of the Beta Products.
Licensee agrees that ISS shall have the right to use, in any manner and for any purpose, any information gained as a result of Licensees use and evaluation of
the Beta Products. Such information shall include but not be limited to changes, modifications and corrections to the Beta Products. Licensee grants to ISS a
perpetual, royalty-free, non-exclusive, transferable, sublicensable right and license to use, copy, make derivative works of and distribute any report, test result,
suggestion or other item resulting from Licensee’s evaluation of its installation and operation of the Beta Products. LICENSEE AGREES NOT TO EXPORT
BETA PRODUCTS DESIGNATED BY ISS IN ITS BETA PRODUCT DOCUMENTATION AS NOT YET CLASSIFIED FOR EXPORT TO ANY DESTINATION
OTHER THAN THE U.S. AND THOSE COUNTRIES ELIGIBLE FOR EXPORT UNDER THE PROVISIONS OF 15 CFR 740.17(A) (SUPPLEMENT 3),
CURRENTLY CANADA, THE EUROPEAN UNION, AUSTRALIA, JAPAN, NEW ZEALAND, NORWAY, AND SWITZERLAND. If Licensee is ever held or
deemed to be the owner of any copyright rights in the Beta Products or any changes, modifications or corrections to the Beta Products, then Licensee hereby
irrevocably assigns to ISS all such rights, title and interest and agrees to execute all documents necessary to implement and confirm the letter and intent of this
Section. Licensee acknowledges and agrees that the Beta Products (including its existence, nature and specific features) constitute Confidential Information as
defined in Section 18. Licensee further agrees to treat as Confidential Information all feedback, reports, test results, suggestions, and other items resulting from
Licensee’s evaluation and testing of the Beta Products as contemplated in this Agreement. With regard to the Beta Products, ISS has no obligation to provide
support, maintenance, upgrades, modifications, or new releases. However, ISS agrees to use its reasonable efforts to correct errors in the Beta Products and
related documentation within a reasonable time, and will provide Licensee with any corrections it makes available to other evaluation participants. The
documentation relating to the Beta Products may be in draft form and will, in many cases, be incomplete. Owing to the experimental nature of the Beta Products,
Licensee is advised not to rely exclusively on the Beta Products for any reason. LICENSEE AGREES THAT THE BETA PRODUCTS AND RELATED
DOCUMENTATION ARE BEING DELIVERED “AS IS” FOR TEST AND EVALUATION PURPOSES ONLY WITHOUT WARRANTIES OF ANY KIND,
INCLUDING WITHOUT LIMITATION ANY IMPLIED WARRANTY OF NONINFRINGEMENT, MERCHANTABILITY OR FITNESS FOR A PARTICULAR
PURPOSE. LICENSEE ACKNOWLEDGES AND AGREES THAT THE BETA PRODUCT MAY CONTAIN DEFECTS, PRODUCE ERRONEOUS AND
UNINTENDED RESULTS AND MAY AFFECT DATA NETWORK SERVICES AND OTHER MATERIALS OF LICENSEE. LICENSEES USE OF THE BETA
PRODUCT IS AT THE SOLE RISK OF LICENSEE. IN NO EVENT WILL ISS BE LIABLE TO LICENSEE OR ANY OTHER PERSON FOR DAMAGES,
DIRECT OR INDIRECT, OF ANY NATURE, OR EXPENSES INCURRED BY LICENSEE. LICENSEE’S SOLE AND EXCLUSIVE REMEDY SHALL BE TO
TERMINATE THE BETA PRODUCT LICENSE BY WRITTEN NOTICE TO ISS.
5. Evaluation License - If ISS is providing Licensee with the Software, security content and related documentation on an evaluation trial basis at no cost, such
license Term is 30 days from installation, unless a longer period is agreed to in writing by ISS. ISS recommends using Software and security content for
evaluation in a non-production, test environment. The following terms of this Section 5 additionally apply and supercede any conflicting provisions herein.
Licensee agrees to remove or disable the Software and security content from the authorized platform and return the Software, security content and
documentation to ISS upon expiration of the evaluation Term unless otherwise agreed by the parties in writing. ISS has no obligation to provide support,
maintenance, upgrades, modifications, or new releases to the Software or security content under evaluation. LICENSEE AGREES THAT THE EVALUATION
SOFTWARE, SECURITY CONTENT AND RELATED DOCUMENTATION ARE BEING DELIVERED AS IS FOR TEST AND EVALUATION PURPOSES
ONLY WITHOUT WARRANTIES OF ANY KIND, INCLUDING WITHOUT LIMITATION ANY IMPLIED WARRANTY OF NONINFRINGEMENT,
MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE. IN NO EVENT WILL ISS BE LIABLE TO LICENSEE OR ANY OTHER PERSON FOR
DAMAGES, DIRECT OR INDIRECT, OF ANY NATURE, OR EXPENSES INCURRED BY LICENSEE. LICENSEES SOLE AND EXCLUSIVE REMEDY
SHALL BE TO TERMINATE THE EVALUATION LICENSE BY WRITTEN NOTICE TO ISS.
6. Covenants - ISS reserves all intellectual property rights in the Software, security content and Beta Products. Licensee agrees: (i) the Software, security content
or Beta Products is owned by ISS and/or its licensors, is a valuable trade secret of ISS, and is protected by copyright laws and international treaty provisions; (ii)
to take all reasonable precautions to protect the Software, security content or Beta Product from unauthorized access, disclosure, copying or use; (iii) not to
modify, adapt, translate, reverse engineer, decompile, disassemble, or otherwise attempt to discover the source code of the Software, security content or Beta
Product; (iv) not to use ISS trademarks; (v) to reproduce all of ISS and its licensors copyright notices on any copies of the Software, security content or Beta
Product; and (vi) not to transfer, lease, assign, sublicense, or distribute the Software, security content or Beta Product or make it available for time-sharing,
service bureau, managed services offering, or on-line use.
7. Support and Maintenance - Depending upon what maintenance programs Licensee has purchased, ISS will provide maintenance, during the period for which
Licensee has paid the applicable maintenance fees, in accordance with its prevailing Maintenance and Support Policy that is available at http://
documents.iss.net/maintenance_policy.pdf. Any supplemental Software code or related materials that ISS provides to Licensee as part of any support and
maintenance service are to be considered part of the Software and are subject to the terms and conditions of this License, unless otherwise specified.
8. Limited Warranty - The commencement date of this limited warranty is the date on which ISS provides Licensee with access to the Software. For a period of
ninety (90) days after the commencement date or for the Term (whichever is less), ISS warrants that the Software or security content will conform to material
operational specifications described in its then current documentation. However, this limited warranty shall not apply unless (i) the Software or security content is
installed, implemented, and operated in accordance with all written instructions and documentation supplied by ISS, (ii) Licensee notifies ISS in writing of any
nonconformity within the warranty period, and (iii) Licensee has promptly and properly installed all corrections, new versions, and updates made available by ISS
to Licensee. Furthermore, this limited warranty shall not apply to nonconformities arising from any of the following: (i) misuse of the Software or security content,
(ii) modification of the Software or security content, (iii) failure by Licensee to utilize compatible computer and networking hardware and software, or (iv)
interaction with software or firmware not provided by ISS. If Licensee timely notifies ISS in writing of any such nonconformity, then ISS shall repair or replace the
Software or security content or, if ISS determines that repair or replacement is impractical, ISS may terminate the applicable licenses and refund the applicable
license fees, as the sole and exclusive remedies of Licensee for such nonconformity. THIS WARRANTY GIVES LICENSEE SPECIFIC LEGAL RIGHTS, AND
LICENSEE MAY ALSO HAVE OTHER RIGHTS THAT VARY FROM JURISDICTION TO JURISDICTION. ISS DOES NOT WARRANT THAT THE
SOFTWARE OR THE SECURITY CONTENT WILL MEET LICENSEE’S REQUIREMENTS, THAT THE OPERATION OF THE SOFTWARE OR SECURITY
CONTENT WILL BE UNINTERRUPTED OR ERROR-FREE, OR THAT ALL SOFTWARE OR SECURITY CONTENT ERRORS WILL BE CORRECTED.
LICENSEE UNDERSTANDS AND AGREES THAT THE SOFTWARE AND THE SECURITY CONTENT ARE NO GUARANTEE AGAINST UNSOLICITED EMAILS, UNDESIRABLE INTERNET CONTENT, INTRUSIONS, VIRUSES, TROJAN HORSES, WORMS, TIME BOMBS, CANCELBOTS OR OTHER
SIMILAR HARMFUL OR DELETERIOUS PROGRAMMING ROUTINES AFFECTING LICENSEE’S NETWORK, OR THAT ALL SECURITY THREATS AND
VULNERABILITIES, UNSOLICITED E-MAILS OR UNDESIRABLE INTERNET CONTENT WILL BE DETECTED OR THAT THE PERFORMANCE OF THE
SOFTWARE AND SECURITY CONTENT WILL RENDER LICENSEES SYSTEMS INVULNERABLE TO SECURITY BREACHES. THE REMEDIES SET OUT
IN THIS SECTION 8 ARE THE SOLE AND EXCLUSIVE REMEDIES FOR BREACH OF THIS LIMITED WARRANTY.
9. Warranty Disclaimer - EXCEPT FOR THE LIMITED WARRANTY PROVIDED ABOVE, THE SOFTWARE AND SECURITY CONTENT ARE EACH PROVIDED
AS IS AND ISS HEREBY DISCLAIMS ALL WARRANTIES, BOTH EXPRESS AND IMPLIED, INCLUDING IMPLIED WARRANTIES RESPECTING
MERCHANTABILITY, TITLE, NONINFRINGEMENT, AND FITNESS FOR A PARTICULAR PURPOSE. LICENSEE EXPRESSLY ACKNOWLEDGES THAT
NO REPRESENTATIONS OTHER THAN THOSE CONTAINED IN THIS LICENSE HAVE BEEN MADE REGARDING THE GOODS OR SERVICES TO BE
PROVIDED HEREUNDER, AND THAT LICENSEE HAS NOT RELIED ON ANY REPRESENTATION NOT EXPRESSLY SET OUT IN THIS LICENSE.
10. Proprietary Rights - ISS represents and warrants that ISS has the authority to license the rights to the Software and security content that are granted herein. ISS
shall defend and indemnify Licensee from any final award of costs and damages against Licensee for any actions based on infringement of any U.S. copyright,
trade secret, or patent as a result of the use or distribution of a current, unmodified version of the Software and security content, but only if ISS is promptly
notified in writing of any such suit or claim, and only if Licensee permits ISS to defend, compromise, or settle same, and only if Licensee provides all available
information and reasonable assistance. In any such suit, if the use of the alleged infringing intellectual property is held to constitute an infringement and is
enjoined, or if in light of any claim, ISS deems it reasonably advisable to do so, ISS may at ISS sole option: (i) procure the right to continue the use of such
Software and security content for Licensee; (ii) replace or modify such Software and security content in a manner such that such Software and security content
are free of the infringement claim; or (iii) require Licensee to return the same to ISS and ISS shall refund the fees paid for the affected Software, security content
or portion thereof, less amortization for use (A) on a straight line basis over a period of three (3) years from the effective date of the applicable order for a
perpetual license, or (B) on a straight line basis over the subscription term for a term license. The foregoing is the exclusive remedy of Licensee and states the
entire liability of ISS with respect to claims of infringement or misappropriation relating to the Software and security content.
11. Limitation of Liability - ISS’ ENTIRE LIABILITY FOR MONETARY DAMAGES ARISING OUT OF THIS LICENSE SHALL BE LIMITED TO THE AMOUNT OF
THE LICENSE FEES ACTUALLY PAID BY LICENSEE UNDER THIS LICENSE, PRORATED OVER A THREE-YEAR TERM FROM THE DATE LICENSEE
RECEIVED THE SOFTWARE. OR SECURITY CONTENT, AS APPLICABLE, IN NO EVENT SHALL ISS BE LIABLE TO LICENSEE UNDER ANY THEORY
INCLUDING CONTRACT AND TORT (INCLUDING NEGLIGENCE AND STRICT PRODUCTS LIABILITY) FOR ANY SPECIAL, PUNITIVE, INDIRECT,
INCIDENTAL OR CONSEQUENTIAL DAMAGES, INCLUDING, BUT NOT LIMITED TO, COSTS OF PROCUREMENT OF SUBSTITUTE GOODS OR
SERVICES, DAMAGES FOR LOST PROFITS, LOSS OF DATA, LOSS OF USE, OR COMPUTER HARDWARE MALFUNCTION, EVEN IF ISS HAS BEEN
ADVISED OF THE POSSIBILITY OF SUCH DAMAGES.
12. Termination - Licensee may terminate this License at any time by notifying ISS in writing. All rights granted under this License will terminate immediately, without
prior written notice from ISS, at the end of the term of the License, if not perpetual. If Licensee fails to comply with any provisions of this License, ISS may
immediately terminate this License if such default has not been cured within ten (10) days following written notice of default to Licensee. Upon termination or
expiration of a license for Software, Licensee shall cease all use of such Software, including Software pre-installed on ISS hardware, and destroy all copies of the
Software and associated documentation. Termination of this License shall not relieve Licensee of its obligation to pay all fees incurred prior to such termination
and shall not limit either party from pursuing any other remedies available to it.
13. General Provisions - This License, together with the identification of the Software and/or security content, pricing and payment terms stated in the applicable ISS
quotation and Licensee purchase order (if applicable) as accepted by ISS, constitute the entire agreement between the parties respecting its subject matter.
Standard and other additional terms or conditions contained in any purchase order or similar document are hereby expressly rejected and shall have no force or
effect. If Licensee has not already downloaded the Software, security content and documentation, then it is available for download at http://www.iss.net/
download/. All ISS hardware with pre-installed Software and any other products not delivered by download are delivered f.o.b. origin. This License will be
governed by the substantive laws of the State of Georgia, USA, excluding the application of its conflicts of law rules. This License will not be governed by the
United Nations Convention on Contracts for the International Sale of Goods, the application of which is expressly excluded. If any part of this License is found
void or unenforceable, it will not affect the validity of the balance of the License, which shall remain valid and enforceable according to its terms. This License
may only be modified in writing signed by an authorized officer of ISS.
14. Notice to United States Government End Users - Licensee acknowledges that any Software and security content furnished under this License is commercial
computer software and any documentation is commercial technical data developed at private expense and is provided with RESTRICTED RIGHTS. Any use,
modification, reproduction, display, release, duplication or disclosure of this commercial computer software by the United States Government or its agencies is
subject to the terms, conditions and restrictions of this License in accordance with the United States Federal Acquisition Regulations at 48 C.F.R. Section 12.212
and DFAR Subsection 227.7202-3 and Clause 252.227-7015 or applicable subsequent regulations. Contractor/manufacturer is Internet Security Systems, Inc.,
6303 Barfield Road, Atlanta, GA 30328, USA.
15. Export and Import Controls; Use Restrictions - Licensee will not transfer, export, or reexport the Software, security content, Beta Products, any related
technology, or any direct product of either except in full compliance with the export controls administered by the United States and other countries and any
applicable import and use restrictions. Licensee agrees that it will not export or reexport such items to anyone on the U.S. Treasury Department’s list of Specially
Designated Nationals or the U.S. Commerce Department’s Denied Persons List or Entity List or such additional lists as may be issued by the U.S. Government
from time to time, or to any country to which the United States has embargoed the export of goods or for use with chemical or biological weapons, sensitive
nuclear end-uses, or missiles. Licensee represents and warrants that it is not located in, under control of, or a national or resident of any such country or on any
such list. Many ISS software products include encryption and export outside of the United States or Canada is strictly controlled by U.S. laws and regulations.
ISS makes its current export classification information available at http://www.iss.net/export. Please contact ISS’ Sourcing and Fulfillment for export questions
relating to the Software or security content ([email protected]). Licensee understands that the foregoing obligations are U.S. legal requirements and agrees that
they shall survive any term or termination of this License.
16. Authority - Because the Software is designed to test or monitor the security of computer network systems and may disclose or create problems in the operation
of the systems tested, Licensee and the persons acting for Licensee represent and warrant that: (a) they are fully authorized by the Licensee and the owners of
the computer network for which the Software is licensed to enter into this License and to obtain and operate the Software in order to test and monitor that
computer network; (b) the Licensee and the owners of that computer network understand and accept the risks involved; and (c) the Licensee shall procure and
use the Software in accordance with all applicable laws, regulations and rules.
17. Disclaimers - Licensee acknowledges that some of the Software and security content is designed to test the security of computer networks and may disclose or
create problems in the operation of the systems tested. Licensee further acknowledges that neither the Software nor security content is fault tolerant or designed
or intended for use in hazardous environments requiring fail-safe operation, including, but not limited to, aircraft navigation, air traffic control systems, weapon
systems, life-support systems, nuclear facilities, or any other applications in which the failure of the Software and security content could lead to death or personal
injury, or severe physical or property damage. ISS disclaims any implied warranty of fitness for High Risk Use. Licensee accepts the risk associated with the
foregoing disclaimers and hereby waives all rights, remedies, and causes of action against ISS and releases ISS from all liabilities arising therefrom.
18. Confidentiality - “Confidential Information” means all information proprietary to a party or its suppliers that is marked as confidential. Each party acknowledges
that during the term of this Agreement, it will be exposed to Confidential Information of the other party. The obligations of the party (“Receiving Party”) which
receives Confidential Information of the other party (“Disclosing Party”) with respect to any particular portion of the Disclosing Party’s Confidential Information
shall not attach or shall terminate when any of the following occurs: (i) it was in the public domain or generally available to the public at the time of disclosure to
the Receiving Party, (ii) it entered the public domain or became generally available to the public through no fault of the Receiving Party subsequent to the time of
disclosure to the Receiving Party, (iii) it was or is furnished to the Receiving Party by a third parting having the right to furnish it with no obligation of confidentiality
to the Disclosing Party, or (iv) it was independently developed by the Receiving Party by individuals not having access to the Confidential Information of the
Disclosing Party. Each party acknowledges that the use or disclosure of Confidential Information of the Disclosing Party in violation of this License could severely
and irreparably damage the economic interests of the Disclosing Party. The Receiving Party agrees not to disclose or use any Confidential Information of the
Disclosing Party in violation of this License and to use Confidential Information of the Disclosing Party solely for the purposes of this License. Upon demand by
the Disclosing Party and, in any event, upon expiration or termination of this License, the Receiving Party shall return to the Disclosing Party all copies of the
Disclosing Party’s Confidential Information in the Receiving Party’s possession or control and destroy all derivatives and other vestiges of the Disclosing Party’s
Confidential Information obtained or created by the Disclosing Party. All Confidential Information of the Disclosing Party shall remain the exclusive property of
the Disclosing Party.
19. Compliance - From time to time, ISS may request Licensee to provide a certification that the Software and security content is being used in accordance with the
terms of this License. If so requested, Licensee shall verify its compliance and deliver its certification within forty-five (45) days of the request. The certification
shall state Licensees compliance or non-compliance, including the extent of any non-compliance. ISS may also, at any time, upon thirty (30) days prior written
notice, at its own expense appoint a nationally recognized software use auditor, to whom Licensee has no reasonable objection, to audit and examine use and
records at Licensee offices during normal business hours, solely for the purpose of confirming that Licensees use of the Software and security content is in
compliance with the terms of this License. ISS will use commercially reasonable efforts to have such audit conducted in a manner such that it will not
unreasonably interfere with the normal business operations of Licensee. If such audit should reveal that use of the Software or security content has been
expanded beyond the scope of use and/or the number of authorized devices or Licensee certifies such non-compliance, ISS shall have the right to charge
Licensee the applicable current list prices required to bring Licensee in compliance with its obligations hereunder with respect to its current use of the Software
and security content. In addition to the foregoing, ISS may pursue any other rights and remedies it may have at law, in equity or under this License.
20. Data Protection - The data needed to process this transaction will be stored by ISS and may be forwarded to companies affiliated with ISS and possibly to
Licensees vendor within the framework of processing Licensees order. All personal data will be treated confidentially.
Revised October 7, 2005.

印刷用紙セット時の注意点 印刷結果に異常を感じたら

野口宇宙飛行士搭乗のソユーズ宇宙船の帰還につい て【宇宙開発委員

クラス最高のネットワーク・ アンチウイルス・プロテクション 製品ハイライト

COMST T-SIMカード簡単セットアップガイド

PDFダウンロード

準公営企業室関係資料

組立て作業分析用 Video(Victor GZ

リモートメンテナンス技術の動向