Download Astaro Security Gateway

Astaro Security
Gateway
バージョン8.200
管理ガイド
日 付 ：2011/11/21 16:56 UTC
当 文 書 に記 載 されている仕 様 と情 報 は、予 告 なく変 更 される場 合 があります。 例 で使 用 されている会
社 、名 前 、データは、明 記 されている場 合 を除 き架 空 のものです。 Astaro GmbH & Co. KGの書 面 に
よる明 示 的 な許 可 なく、当 文 書 の一 部 または全 体 を手 段 を問 わず複 製 または配 布 することは、いかな
る理 由 においても許 可 されません。 本 マニュアル原 文 の翻 訳 には、「マニュアル原 文 の翻
訳 ( Translation of the original manual) 」と記 載 しなければなりません。
© 2000–2011 Astaro GmbH & Co. KG.
All rights reserved.
Amalienbadstraße 41/Bau 52,
76227 Karlsruhe,
Germany
http://www.astaro.com
Astaro Security Gateway&、Astaro Mail Gateway、Astaro Web Gateway、Astaro Command
Center、Astaro Gateway Manager、およびWebAdminはAstaro GmbH & Co. KGの商 標 です。
CiscoはCisco Systems Inc.の登 録 商 標 です。iOS はApple Inc.の商 標 です。 LinuxはLinus
Torvalds氏 の商 標 です。 他 のすべての商 標 は、該 当 する所 有 者 の財 産 です。
限定保証
当 文 書 に記 載 されている情 報 の正 確 性 は保 証 されません。 コメント や修 正 について
は、[email protected]までご連 絡 ください。
目次
1インスト ール
1.1参 考 資 料
1.2システム要 件
1.2.1UPSデバイスのサポート
1.2.2RAIDサポート
1.3インスト ール手 順
1.3.1インスト ール中 の主 な機 能
1.3.2インスト ール中 の特 別 なオプション
1.3.3インスト ール中 Astaro Security Gateway
1.4基 本 設 定
1.5バックアップリスト ア
2WebAdmin
2.1WebAdminメニュー
2.2ボタンバー
2.3リスト
2.4ダイアログボックス
2.5ボタンとアイコン
2.6オブジェクト リスト
3ダッシュボード
3.1フローモニタ
4マネジメント
4.1システム設 定
4.1.1組 織
4.1.2ホスト 名
4.1.3日 付 と時 刻
4.1.4シェルアクセス
4.1.5設 定 またはパスワードのリセット
4.2WebAdmin設 定
4.2.1一 般
4.2.2アクセスコント ロール
4.2.3セキュリティ
4.2.4HTTPS証 明 書
4.2.5ユーザ設 定
4.2.6詳 細
4.3ライセンス
4.3.1ライセンスの取 得 方 法
13
13
13
15
16
16
16
17
17
20
26
29
30
31
32
33
33
35
37
40
43
43
44
44
44
48
49
50
50
51
52
53
54
56
57
57
目次
4.3.2オンデマンドライセンス
4.3.3クラシックライセンス
4.3.4概 要
4.3.5インスト ール
4.3.6アクティブなIPアドレス
4.4Up2Date
4.4.1概 要
4.4.2設 定
4.4.3詳 細
4.5バックアップ/リスト ア
4.5.1バックアップ/リスト ア
4.5.2自 動 バックアップ
4.6ユーザポータル
4.6.1グローバル
4.6.2詳 細
4.7通 知
4.7.1グローバル
4.7.2通 知
4.7.3詳 細
4.8カスタマイズ
4.8.1グローバル
4.8.2Webフィルタ
4.8.3ダウンロードマネージャ
4.8.4SMTP/POP3プロキシ
4.9SNMP
4.9.1クエリ
4.9.2ト ラップ
4.10集 中 管 理
4.10.1Astaro Command Center
4.11冗 長 化 ( HA)
4.11.1ハードウェアとソフト ウェアの要 件
4.11.2ステータス
4.11.3システムステータス
4.11.4設 定
4.12シャット ダウンとリスタート
5定 義 およびユーザ
5.1ネット ワーク定 義
5.2サービス定 義
5.3期 間 定 義
5.4ユーザ&グループ
iv
58
61
63
64
65
66
66
69
70
71
71
74
75
77
79
80
80
81
81
82
82
83
84
86
87
87
90
91
91
94
95
96
98
98
103
105
105
109
112
113
ASG V8 管 理 ガイド
目次
5.4.1ユーザ
5.4.2グループ
5.5クライアント 認 証
5.6認 証 サーバ
5.6.1グローバル設 定
5.6.2サーバ
5.6.2.1eDirectory
5.6.2.2Active Directory
5.6.2.3LDAP
5.6.2.4RADIUS
5.6.2.5TACACS+
5.6.3シングルサインオン( Single Sign-On)
5.6.4詳 細
6インタフェースおよびルーティング
6.1インタフェース
6.1.1インタフェース
6.1.1.1自 動 インタフェースネット ワーク定 義
6.1.1.2インタフェースタイプ
6.1.1.33G/UMTS
6.1.1.4イーサネット 標 準
6.1.1.5イーサネット VLAN
6.1.1.6ケーブルモデム( DHCP)
6.1.1.7DSL( PPPoE)
6.1.1.8DSL( PPPoA/PPTP)
6.1.1.9モデム( PPP)
6.1.2追 加 アドレス
6.1.3リンクアグリゲーション
6.1.4アップリンクバランシング
6.1.5マルチパスルール
6.1.6ハードウェア
6.2ブリッジング
6.2.1ステータス
6.2.2詳 細
6.3スタティックルーティング
6.3.1標 準 スタティックルート
6.3.2ポリシルート
6.4ダイナミックルーティング( OSPF)
6.4.1グローバル
6.4.2エリア
6.4.3インタフェース
ASG V8 管 理 ガイド
113
116
119
120
121
122
122
124
128
130
133
134
136
139
139
140
141
141
142
144
147
149
151
153
155
157
158
159
162
164
165
166
168
168
169
170
172
173
174
176
v
目次
6.4.4メッセージダイジェスト
6.4.5デバッグ
6.4.6詳 細
6.5IPv6
6.5.1グローバル
6.5.2プレフィックス通 知
6.5.36to4
6.5.4ト ンネルブローカ
6.6サービス品 質 ( QoS)
6.6.1ステータス
6.6.2ト ラフィックセレクタ
6.6.3帯 域 幅 プール
6.7マルチキャスト ルーティング( PIM-SM)
6.7.1グローバル
6.7.2インタフェース
6.7.3RPルータ
6.7.4ルート
6.7.5詳 細
6.8アップリンクモニタリング
6.8.1グローバル
6.8.2アクション
6.8.3詳 細
7ネット ワークサービス
7.1DNS
7.1.1グローバル
7.1.2フォワーダ
7.1.3リクエスト ルーティング
7.1.4スタティックエント リ
7.1.5DynDNS
7.2DHCP
7.2.1サーバ
7.2.2リレー
7.2.3スタティックMAC/IPマッピング
7.2.4IPv4リーステーブル
7.2.5IPv6リーステーブル
7.3NTP
8ネット ワークセキュリティ
8.1ファイアウォール
8.1.1ルール
8.1.2送 受 信 国 別 ブロック
vi
178
178
179
180
180
181
182
183
184
184
186
190
192
193
194
195
196
198
198
198
199
200
201
201
201
202
202
203
204
206
207
209
210
211
212
213
215
215
215
219
ASG V8 管 理 ガイド
目次
8.1.3ICMP
8.1.4詳 細
8.2NAT
8.2.1マスカレード
8.2.2DNAT/SNAT
8.3侵 入 防 御
8.3.1グローバル
8.3.2攻 撃 パターン
8.3.3DoS/フラッド防 御
8.3.4ポート スキャン防 御
8.3.5除 外
8.3.6詳 細
8.4サーバロードバランシング
8.4.1負 荷 分 散 ルール
8.5VoIP
8.5.1SIP
8.5.2H.323
8.6詳 細
8.6.1汎 用 プロキシ
8.6.2SOCKSプロキシ
8.6.3IDENTリバースプロキシ
9Webセキュリティ
9.1Webフィルタリング
9.1.1グローバル
9.1.2アンチウイルス/マルウェア
9.1.3URLフィルタリング
9.1.4URLフィルタリングカテゴリ
9.1.5除 外
9.1.6詳 細
9.1.7HTTPS CA
9.2Webフィルタプロファイル
9.2.1概 要
9.2.2プロキシプロファイル
9.2.3フィルタ割 り当 て
9.2.4フィルタアクション
9.2.5親 プロキシ
9.3アプリケーションコント ロール
9.3.1ネット ワークの可 視 性
9.3.2アプリケーションコント ロールルール
9.3.3詳 細
ASG V8 管 理 ガイド
220
221
224
224
225
228
228
230
232
234
235
237
239
239
242
242
244
245
245
246
248
249
250
250
254
256
260
261
264
269
273
274
275
279
280
284
285
286
286
289
vii
目次
9.4FTP
9.4.1グローバル
9.4.2アンチウイルス
9.4.3除 外
9.4.4詳 細
10メールセキュリティ
10.1SMTP
10.1.1グローバル
10.1.2ルーティング
10.1.3アンチウイルス
10.1.4アンチスパム
10.1.5除 外
10.1.6リレー
10.1.7詳 細
10.2SMTPプロファイル
10.3POP3
10.3.1グローバル
10.3.2アンチウイルス
10.3.3アンチスパム
10.3.4除 外
10.3.5詳 細
10.4暗 号 化
10.4.1グローバル
10.4.2オプション
10.4.3内 部 ユーザ
10.4.4S/MIME認 証 局
10.4.5S/MIME証 明 書
10.4.6OpenPGP公 開 鍵
10.5隔 離 レポート
10.5.1グローバル
10.5.2除 外
10.5.3詳 細
10.6メールマネージャ
10.6.1メールマネージャウィンドウ
10.6.1.1SMTP/POP3隔 離
10.6.1.2SMTPスプール
10.6.1.3SMTPログ
10.6.2グローバル
10.6.3設 定
11ワイヤレスセキュリティ
viii
290
290
291
293
294
297
297
297
298
301
305
311
313
316
319
325
325
326
328
330
332
336
339
341
342
344
346
347
349
350
352
353
355
356
357
358
359
360
362
365
ASG V8 管 理 ガイド
目次
11.1グローバル設 定
11.1.1グローバル設 定
11.1.2詳 細
11.2ワイヤレスネット ワーク
11.3アクセスポイント
11.3.1アクセスポイント およびSSIDグルーピング
11.4ワイヤレスクライアント
12Webアプリケーションセキュリティ
12.1Webアプリケーションファイアウォール
12.1.1グローバル
12.1.2仮 想 Webサーバ
12.1.3リアルWebサーバ
12.1.4ファイアウォールプロファイル
12.1.5除 外
12.1.6詳 細
12.2認 証 管 理
12.2.1証 明 書
12.2.2認 証 局
12.2.3失 効 リスト
12.2.4詳 細
13REDマネジメント
13.1概 要
13.2グローバル設 定
13.3デバイス設 定
13.4導 入 ヘルパ
14ログ管 理
14.1概 要
14.2ログ管 理 インタフェース
14.2.1ダッシュボード
14.2.2グラフ
14.2.3イベント
14.2.4デバイス
14.2.5設 定
14.2.6レポート
14.3ログ転 送
14.4デバイス設 定
15サイト 間 VPN
15.1IPsec
15.1.1接 続
ASG V8 管 理 ガイド
365
366
367
369
372
373
375
377
377
377
378
380
381
385
386
386
386
387
387
387
389
390
390
391
394
397
397
398
399
401
402
403
404
406
407
407
409
410
412
ix
目次
15.1.2リモート ゲート ウェイ
15.1.3ポリシ
15.1.4ローカルRSA鍵
15.1.5詳 細
15.1.6デバッグ
15.2SSL
15.2.1接 続
15.2.2設 定
15.2.3詳 細
15.3証 明 書 管 理
15.3.1証 明 書
15.3.2認 証 局
15.3.3失 効 リスト
15.3.4詳 細
16リモート アクセス
16.1SSL
16.1.1グローバル
16.1.2設 定
16.1.3詳 細
16.2PPTP
16.2.1グローバル
16.2.2iOSデバイス
16.2.3詳 細
16.3L2TP over IPsec
16.3.1グローバル
16.3.2iOSデバイス
16.3.3詳 細
16.4IPsec
16.4.1接 続
16.4.2ポリシ
16.4.3詳 細
16.4.4デバッグ
16.5Cisco VPN Client
16.5.1グローバル
16.5.2iOSデバイス
16.5.3デバッグ
16.6詳 細
16.7認 証 管 理
16.7.1証 明 書
16.7.2認 証 局
x
414
417
421
423
426
426
427
430
432
434
434
437
439
439
441
442
442
444
445
447
448
450
451
451
452
455
456
456
459
461
465
468
468
469
470
472
472
473
473
474
ASG V8 管 理 ガイド
目次
16.7.3失 効 リスト
16.7.4詳 細
17ログおよびレポーティング
17.1ログファイルの閲 覧
17.1.1今 日 のログファイル
17.1.2アーカイブログファイル
17.1.3ログファイルの検 索
17.2ハードウェア
17.2.1デイリー
17.2.2ウィークリー
17.2.3マンスリー
17.2.4イヤリー
17.3ネット ワーク使 用 状 況
17.3.1デイリー
17.3.2ウィークリー
17.3.3マンスリー
17.3.4イヤリー
17.3.5帯 域 幅 使 用 状 況
17.4ネット ワークセキュリティ
17.4.1デイリー
17.4.2ウィークリー
17.4.3マンスリー
17.4.4イヤリー
17.4.5ファイアウォール
17.4.6IPS
17.5Webセキュリティ
17.5.1Web使 用 状 況 レポート
17.5.2検 索 エンジンレポート
17.5.3部 門
17.5.4スケジュールされたレポート
17.5.5アプリケーションコント ロール
17.5.6非 匿 名 化
17.6メールセキュリティ
17.6.1使 用 状 況 グラフ
17.6.2メール使 用 状 況
17.6.3ブロックされたメール
17.6.4非 匿 名 化
17.7リモート アクセス
17.7.1アクティビティ
17.7.2セッション
ASG V8 管 理 ガイド
474
474
475
477
477
478
479
479
480
482
482
482
482
483
483
484
484
484
486
486
487
487
488
488
488
489
489
493
495
496
497
498
499
499
500
500
501
502
502
502
xi
目次
17.8Webアプリケーションファイアウォール
17.8.1使 用 状 況 グラフ
17.8.2詳 細
17.9エグゼクティブレポート
17.9.1レポート を見 る( View Report)
17.9.2アーカイブエグゼクティブレポート ( Archived Executive Reports)
17.9.3設 定
17.10ログ設 定
17.10.1ローカルログ
17.10.2リモート Syslogサーバ
17.10.3リモート ログファイルアーカイブ
17.11レポーティング設 定
17.11.1設 定
17.11.2除 外
17.11.3匿 名 化
18サポート
18.1マニュアル
18.2印 刷 可 能 設 定
18.3サポート のお問 い合 わせ先
18.4ツール
18.4.1Pingチェック
18.4.2Traceroute
18.4.3DNSルックアップ
18.5詳 細
18.5.1プロセスリスト
18.5.2ローカルネット ワークコネクション
18.5.3ルーティングテーブル
18.5.4インタフェーステーブル
18.5.5コンフィグダンプ
18.5.6REFの解 決
19ログオフ
xii
504
504
504
505
505
505
505
506
506
508
510
513
513
515
515
517
517
518
519
519
519
520
522
522
523
523
523
523
523
524
525
ASG V8 管 理 ガイド
1インスト ール
このセクションは、ネット ワークへのAstaro Security Gatewayのインスト ールとセット アップについて
の情 報 を提 供 します。Astaro Security Gatewayのインスト ールは、2つのステップで行 います。
まず、ソフト ウェアをインスト ールします。次 に、基 本 システム設 定 を行 います。ソフト ウェアのインス
ト ールに必 要 な初 期 セット アップは、コンソールベースのインスト ールメニューで行 います。内 部 設
定 は、管 理 ワークステーションで、Astaro Security GatewayのWebベースの管 理 用 インタフ
ェースであるWebAdminを使 用 して実 行 できます。インスト ールを開 始 する前 に、ハードウェアが
システムの最 低 要 件 を満 たしていることを確 認 してください。
注 - Astaro Security Gatewayアプライアンスを導 入 している場 合 、次 のセクションをスキップ
して、 基 本 設 定 のセクションに直 接 進 むことができます。この理 由 は、すべてのAstaro
Security GatewayアプライアンスはASGソフト ウェアがプレインスト ールされた状 態 で出 荷 される
ためです。
この章 には次 のト ピックが含 まれます。
l
参考資料
l
システム要 件
l
インスト ール手 順
l
基本設定
l
バックアップリスト ア
1.1参考資料
インスト ールを始 める前 に、Astaro Security Gateway製 品 の設 定 の一 助 となる以 下 のマニュ
アルを読 むことをお勧 めします。いずれのマニュアルも、Astaro Security Gateway アプライアンス
装 置 に同 梱 されています。また、以 下 でもご利 用 いただけます： Astaroナレッジベース:
l
クイックスタート ガイドハードウェア( Quick Start Guide Hardware)
l
取 扱 説 明 書 ( Operating Instructions)
1.2システム要件
ASGのインスト ールおよび使 用 のための最 低 限 のハードウェア要 件 は以 下 のとおりです。
1.2システム要 件
1インスト ール
l
プロセッサ： Pentium 4( 1.5GHz) ( あるいは互 換 のもの)
l
メモリ： 1 GBRAM
l
HDD： 20GB IDEまたはSCSIハードディスクドライブ
l
CD-ROMド ライブ： ブート ( 起 動 ) 可 能 なIDE 、またはSCSI CD-ROMドライブ
l
NIC： 2枚 以 上 のPCIイーサネット ネット ワークインタフェースカード
l
NIC( オプション) ：1枚 のハート ビート 対 応 PCI イーサネット ネット ワークインタフェースカー
ド。高 可 用 性 システムでは、プライマリシステムとセカンダリシステムが、いわゆるハート ビート
要 求 を介 して互 いに通 信 します。 高 可 用 性 システムをセット アップする場 合 は、両 方 のユ
ニット にハート ビート 対 応 のネット ワークインタフェースカードを装 備 する必 要 があります。
l
USB( オプション) ：UPSUSB 通 信 用 に1つのUSB ポート
l
スイッチ( オプション) ：ネット ワークセグメント の接 続 ( およびその間 の選 択 ) を行 うネット ワー
クデバイス。 このスイッチはジャンボフレームをサポート することが必 要 です。
AstaroではASG ソフト ウェアのバグフィックスおよび拡 張 機 能 が含 まれています。 ハードウェア互 換
性 リスト ( HCL) は次 からご利 用 いただけます： Astaroナレッジベース.ASGソフト ウェアのインスト ー
ルと使 用 でエラーの発 生 を防 止 するために、HCLにリスト されたハードウェアのみを使 用 してくださ
い。 WebAdminへのアクセスに使 用 されるクライアント PCに必 要 なハードウェアおよびソフト ウェア
の条 件 を以 下 に示 します。
l
プロセッサ： クロック周 波 数 ：1GHz以 上
l
ブラウザ： Firefox 2( 推 奨 ) あるいはMicrosoft Internet Explorer6また
は7。JavaScriptを有 効 にする必 要 があります。 さらに、ASGの内 部 ネット ワークカード
のIPアドレス( eth0) にプロキシを使 用 しないようにブラウザを設 定 する必 要 があります。
注 –Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
14
ASG V8 管 理 ガイド
1インスト ール
1.2システム要 件
図 1 IE7 セキュリティ設 定 信 頼 済 みサイト ゾーン
1.2.1UPSデバイスのサポート
無 停 電 電 源 装 置 ( UPS) デバイスは、公 共 の電 力 が利 用 できない場 合 に、別 個 の電 源 から接
続 した機 器 に電 力 を供 給 して給 電 を維 持 します。Astaro Security Gateway は、MGE UPS
SystemsおよびAPCのUPSデバイスをサポート しています。 UPSデバイスとAstaro Security
Gateway の通 信 はUSB インタフェースで行 います。
UPSデバイスがバッテリオペレーションを始 動 すると、管 理 者 に通 知 が送 信 されます。 停 電 が長
期 間 続 いてUPSデバイスの電 圧 が限 界 値 に近 づいた場 合 は、管 理 者 に別 のメッセージが送 信
されます。そして、Astaro Security Gateway は自 動 的 にシャット ダウンします。
注 – 当 製 品 にUPSデバイスを接 続 するときは、UPSデバイスの使 用 説 明 書 をお読 みください。
Astaro Security Gateway. USBインタフェースを介 してブート ( 起 動 ) すると、ASGはUPSデバ
イスを認 識 します。 USBインタフェースを相 互 に接 続 してからAstaro Security Gateway をブー
ト してください。
ASG V8 管 理 ガイド
15
1.3インスト ール手 順
1インスト ール
1.2.2RAIDサポート
RAID( Redundant Array of Independent Disks) とは、複 数 のハードドライブを使 用 してドライ
ブ間 でデータを共 有 あるいは複 製 するデータスト レージ技 術 です。RAIDシステムが検 出 されてダ
ッシュボードに正 しく表 示 されるようにするには、当 製 品 でサポート されるRAIDコント ローラを使 用
することが必 要 です。 Astaro Security Gateway.サポート されているRAIDコント ローラを確 認 す
るには、HCLをチェックしてください。 HCLはAstaroナレッジベースで提 供 されています。 「HCL」を
検 索 用 語 として使 用 して、該 当 するページを探 してください。
1.3インスト ール手順
次 に、Astaro Security Gatewayソフト ウェアのインスト ールプロセスを順 を追 って説 明 します。
インスト ールを始 める前 に、次 のアイテムがお手 元 にあることを確 認 してください。
l
Astaro Security Gateway CD-ROM
l
Astaro Security Gatewayのライセンスキー
セット アッププログラムがシステムのハードウェアをチェックしてから、PCにソフト ウェアをインスト ールし
ます。
1.3.1インスト ール中 の主 な機 能
メニューのナビゲーションには、次 のキーを使 用 します( 画 面 の下 部 にも追 加 のキー機 能 がリスト さ
れています) 。
16
l
F1：コンテキスト に応 じたヘルプ画 面 が表 示 されます。
l
カーソルキー：これらのキーを使 用 して、テキスト ボックス間 をナビゲーションします( たとえば、
ライセンス条 件 や、キーボードレイアウト の選 択 時 ) 。
l
Tabキー：テキスト ボックス、リスト 、ボタンを前 後 に移 動 します。
l
Enterキー：入 力 した情 報 が確 定 され、インスト ールが次 のステップに進 みます。
l
Spaceキー：アスタリスク( *) の付 いたオプションを選 択 または選 択 解 除 します。
l
Alt-F2：インスト ールコンソールに切 り替 えます。
l
Alt-F4：ログに切 り替 えます。
ASG V8 管 理 ガイド
1インスト ール
l
Alt F1：インタラクティブバッシュシェルに切 り替 えます。
l
Alt-F1：メインのインスト ール画 面 に戻 ります。
1.3インスト ール手 順
1.3.2インスト ール中 の特 別 なオプション
一 部 の画 面 には追 加 のオプションがあります。
ログの閲 覧 (View Log)： インスト ールログを開 きます。
サポート (Support)： サポート ダイアログ画 面 を開 きます。
USBスティックへ(To USB Stick)： インスト ールログをzipファイルとしてUSBスティックへ書 き込
みます。 このオプションを確 定 する前 に、必 ずUSBスティックを差 し込 んでください。 このzipファイル
は、インスト ールでの問 題 をAstaroサポート チームなどが解 決 する際 に使 用 されます。
戻 る(Back)： 前 の画 面 に戻 ります。
キャンセル(Cancel)： インスト ールの中 止 を確 認 するダイアログウィンドウが開 きます。
ヘルプ(Help)： コンテキスト に応 じたヘルプ画 面 が開 きます。
1.3.3インスト ール中 Astaro Security
Gateway
1. CD-ROMド ライブからPCをブート します。
インスト ール開 始 画 面 が表 示 されます。
注 - いつでもF1を押 してヘルプメニューを利 用 することができます。 開 始 画 面 でF3を押
すと、ト ラブルシューティングの画 面 が開 きます。
2. Enterを押 します。
【開 始 ( Introduction) 】 画 面 が表 示 されます。
3. 【インストール開 始 (Start Installation)】 を選 択 します。
【ハードウェア検 出 ( Hardware Detection) 】 画 面 が表 示 されます。
ソフト ウェアが次 のハードウェアコンポーネント をチェックします。
l
CPU
l
ハードディスクドライブのサイズと型
l
CD-ROMドライブ
ASG V8 管 理 ガイド
17
1.3インスト ール手 順
l
ネット ワークインタフェースカード
l
IDE 、またはSCSI コント ローラ
1インスト ール
システムが最 低 要 件 を満 たしていない場 合 、エラーが報 告 され、インスト ールは中 止 されま
す。
ハードウェア検 出 が完 了 すると、 【検 出 されたハードウェア( Detected Hardware) 】 画 面
が参 考 として表 示 されます。
4. Enterを押 します。
【キーボード選 択 ( Select Keyboard) 】 画 面 が表 示 されます。
5. キーボード のレイアウト を選 択 します。
カーソルキーを使 用 してキーボードレイアウト ( 例 ：English (UK)) を選 択 し、Enterを押 し
て続 行 します。
【タイムゾーン選 択 ( Select Timezone) 】 画 面 が表 示 されます。
6. エリアを選 択 します。
カーソルキーを使 用 してエリア( 例 ：Europe) を選 択 し、Enterを押 して続 行 します。
7. タイムゾーンを選 択 します。
カーソルキーを使 用 してタイムゾーン( 例 ：London) を選 択 し、Enterを押 して続 行 します。
【日 付 と時 刻 ( Date and Time) 】 画 面 が表 示 されます。
8. 日 付 と時 刻 を設 定 します。
日 付 と時 刻 が正 しくない場 合 、ここで変 更 できます。 Tabキーとカーソルキーを使 用 して、
テキスト ボックス間 を切 り替 えます。 【ホストクロックはUTC( Host Clock is UTC) 】 オプション
の選 択 を解 除 するには、Spaceキーを押 します。 無 効 なエント リは却 下 されます。 設 定
をEnterキーで確 認 します。
【管 理 インタフェース選 択 ( Select Admin Interface) 】 画 面 が表 示 されます。
9. 内 部 ネット ワークカード を選 択 します。
WebAdminツールを使 用 してAstaro Security Gatewayの残 りの設 定 を行 う場 合 、内
部 ネット ワークカード( eth0) とするネット ワークインタフェースカードを選 択 します。 リスト から
使 用 可 能 なネット ワークカードを1つ選 択 し、Enterキーで選 択 を確 認 します。
注 - アクティブな接 続 があるインタフェースには「LINK」という言 葉 が付 いています。
【ネットワーク設 定 ( Network Configuration) 】 画 面 が表 示 されます。
18
ASG V8 管 理 ガイド
1インスト ール
1.3インスト ール手 順
10. 管 理 ネット ワークインタフェースを設 定 します。
管 理 ネット ワークインタフェースとする内 部 インタフェースのIPアドレス、ネット ワークマスク、
ゲート ウェイを定 義 します。 デフォルト 値 は以 下 のとおりです。
アド レス(Address)：192.168.2.100
ネット マスク(Netmask)：255.255.255.0
ゲート ウェイ(Gateway)： なし
ネット マスクで定 義 されたサブネット 外 にあるワークステーションからWebAdminインタフェー
スを使 用 したい場 合 のみ、ゲート ウェイ値 を変 更 する必 要 があります。 ゲート ウェイ自 体 が
サブネット 内 にある必 要 があります。 1
設 定 をEnterキーで確 認 します。
CPUが64ビット をサポート している場 合 、 【 64ビットカーネルのサポート ( 64 Bit Kernel
Support) 】 画 面 が表 示 されます。 サポート していない場 合 、続 いて【 Enterprise
Toolkit】 画 面 が表 示 されます。
11. 64ビット カーネルのインスト ール(Install the 64-bit kernel)
【はい( Yes) 】 を選 択 すると64ビット カーネルが、 【いいえ( No) 】 をインスト ールすると32ビット
カーネルがインスト ールされます。
【 Enterprise Toolkit】 画 面 が表 示 されます。
12. Enterprise Toolkitのインスト ールに同 意 します。
Enterprise ToolkitはAstaroソフト ウェアから構 成 されています。Open Sourceソフト ウェ
アのインスト ールのみを決 定 できます。 ただし、Astaro Security Gatewayの全 機 能 を使
用 するためには、Enterprise Toolkitもインスト ールすることをお勧 めします。
Enterを押 して両 方 のソフト ウェアパッケージをインスト ールするか、 【いいえ( No) 】 を選 択 し
てOpen Sourceソフト ウェアのみをインスト ールします。
【インストール：パーティショニング( Installation: Partitioning) 】 画 面 が表 示 されます。
1 たとえば、255.255.255.0というネット ワークマスクを使 用 している場 合 、サ
ブネット はアド レスの最 初 の3オクテット で定 義 されます。この場 合
は、192.168.2です。 管 理 コンピュータのIPアド レスが192.168.10.5である
場 合 、同 じサブネット 上 にないため、ゲート ウェイが必 要 になります。 ゲート ウェ
イルータは、192.168.2サブネット 上 にインタフェースが必 要 であり、管 理 コン
ピュータに連 絡 できなければなりません。 この例 では、ゲート ウェイのIPアド レス
は192.168.2.1とします。
ASG V8 管 理 ガイド
19
1.4基 本 設 定
1インスト ール
13. 警 告 メッセージを確 認 してインスト ールを開 始 します。
警 告 は注 意 して読 んでください。確 認 後 、PCにすでに存 在 するすべてのデータが削 除 され
ます。
設 定 を変 更 するには、 【戻 る( Back) 】 を選 択 します。
警 告 - インスト ールプロセスを行 うと、ハードディスクドライブ上 のすべてのデータが削 除 さ
れます。
ソフト ウェアのインスト ールプロセスには最 大 2、3分 かかる可 能 性 があります。
【インストール完 了 ( Installation Finished) 】 画 面 が表 示 されます。
14. CD-ROMを取 り出 して、内 部 ネット ワークに接 続 し、システムをリブート します。
インスト ールプロセスが完 了 したら、ドライブからCD-ROMを取 り出 して、eth0ネット ワーク
カードを内 部 ネット ワークに接 続 します。内 部 ネット ワークカード( eth0) を除 き、ネット ワーク
カードの順 序 は、通 常 PCI IDおよびカーネルドライバによって決 定 されます。 ハードウェア構
成 を変 更 すると( 特 にネット ワークカードを取 り外 した場 合 や追 加 した場 合 など) 、ネット
ワードカード名 の順 序 も変 わる可 能 性 があります。
次 に、インスト ール画 面 で Enter を押 し、ASGをリブート します。 ブート プロセス中 に、内 部
ネット ワークカードのIPアドレスが変 わります。 このとき、インスト ールルーチンコンソー
ル( Alt+F1) に、「eth0にIPなし( No IP on eth0) 」というメッセージが表 示 されます。
Astaro Security Gatewayのリブート 後 ( ハードウェアによっては、このプロセスは数 分 かかりま
す) 、eth0インタフェースのIPアドレスをpingし、このアドレスが到 達 可 能 であることを確 認 します。
接 続 できない場 合 、次 のいずれかの問 題 が発 生 していないかチェックしてください。
l
Astaro Security GatewayのIPアドレスが誤 っている。
l
クライアント コンピュータのIPアドレスが正 しくない。
l
クライアント のデフォルト ゲート ウェイが正 しくない。
l
正 しくないネット ワークカードにネット ワークケーブルが接 続 されている。
l
すべてのネット ワークカードが同 じハブに接 続 されている。
1.4基本設定
インスト ールの2番 目 のステップはWebAdminで行 います。これは、Astaro Security Gateway
のWebベースの管 理 インタフェースです。基 本 システム設 定 の前 に、Astaro Security Gateway
20
ASG V8 管 理 ガイド
1インスト ール
1.4基 本 設 定
をネット ワークに統 合 する方 法 を計 画 しておく必 要 があります。どのような機 能 を提 供 するか( ブリ
ッジモードと標 準 ( ルーティング) モードのどちらで運 用 するか、インタフェース間 でデータパケット の
流 れをどのようにコント ロールするかなど) を決 定 する必 要 があります。 ただし、Astaro Security
Gateway は後 でいつでも再 設 定 できます。 したがって、Astaro Security Gateway をネット
ワークに統 合 する方 法 をまだ計 画 していない場 合 でも、すぐに基 本 設 定 に着 手 することが可 能 で
す。
1. ブラウザを起 動 して、WebAdminを開 きます。
Astaro Security GatewayのURL( eth0のIPアドレス) を参 照 します。上 記 の設 定 例 との
整 合 性 を保 つために、これはhttps://192.168.2.100:4444とします( プロト コル
がHTTPS であり、ポート 番 号 が4444であることに注 意 してください) 。
設 定 例 と異 なり、各 Astaro Security Gatewayアプライアンスの出 荷 時 は次 のデフォルト
設 定 になっています。
l
インタフェース(Interfaces)： 内 部 ネット ワークインタフェース( eth0)
l
IPアド レス(IP address)： 192.168.0.1
l
ネット ワークマスク(Network mask)： 255.255.255.0
l
デフォルト ゲート ウェイ(Default gateway)： なし
任 意 のAstaro Security GatewayアプライアンスのWebAdminにアクセスするには、代 わ
りに次 のURLを入 力 します。
https://192.168.0.1:4444
認 証 および暗 号 化 された通 信 を提 供 するために、Astaro Security Gateway には、自
己 署 名 済 みのセキュリティ証 明 書 が含 まれています。この証 明 書 は、WebAdminへ
のHTTPS接 続 が確 立 するとWebブラウザに対 して提 供 されます。証 明 書 の有 効 期 間 を
確 認 できない場 合 、ブラウザはセキュリティ警 告 を表 示 します。証 明 書 に同 意 すると、最
初 のログインページが表 示 されます。
ASG V8 管 理 ガイド
21
1.4基 本 設 定
1インスト ール
図 2 WebAdmin：初 期 ログインページ
2. 【基 本 システム設 定 (Basic System Setup)】フォームに記 入 します。
ここに表 示 されるテキスト ボックスに会 社 の情 報 を正 確 に入 力 します。さらに、管 理 者 アカ
ウント にパスワードと有 効 なEメールアドレスを指 定 します。 ライセンス条 件 に同 意 する場 合
は、 【基 本 システム設 定 の実 行 ( Perform Basic System Setup) 】 ボタンをクリックしてロ
グインを続 行 します。 基 本 システム設 定 の実 行 中 、多 数 の証 明 書 と認 証 局 が作 成 され
ます。
22
l
WebAdmin CA：WebAdmin証 明 書 に署 名 したCA( 「マネジメン
ト」 >>「 WebAdminの設 定 」 >>「 HTTPS証 明 書 」を参 照 ) 。
l
VPNに署 名 するCA(VPN Signing CA)：VPN接 続 に使 用 されるデジタル証 明
書 に署 名 するCA( 「サイト間 VPN」 >>「認 証 管 理 」 >>「認 証 局 」を参 照 ) 。
l
証 明 書 を再 生 成 (Re-generate WebAdmin Certificate)：WebAdminの
デジタル証 明 書 ( 「サイト間 VPN」 >>「証 明 書 管 理 」 >>「証 明 書 」 を参 照 ) 。
ASG V8 管 理 ガイド
1インスト ール
l
1.4基 本 設 定
ローカルX.509証 明 書 (Local X.509 Certificate)：VPN接 続 に使 用 され
る、Astaro Security Gatewayのデジタル証 明 書 ( 「サイト間 VPN」 >>「証 明 書
管 理 」 >>「証 明 書 」を参 照 ) 。
ログインページが表 示 されます。( ただし、入 力 した値 に基 づいて証 明 書 が変 更 されている
ため、一 部 のブラウザでは、さらにセキュリティ警 告 が表 示 される場 合 もあります。)
図 3 WebAdmin：通 常 のログインページ
3. WebAdminにログインします。
【ユーザ名 ( Username) 】 フィールドに「admin」と入 力 し、前 の画 面 で指 定 したパスワード
を入 力 します。
初 期 設 定 プロセスをガイドする設 定 ウィザードが表 示 されます。 ウィザードのステップに従
い、Astaro Security Gatewayの基 本 設 定 を行 います。
バックアップファイルがある場 合 、代 わりにこのバックアップファイルをリスト アすることもできま
す( 「 バックアップリストア」のセクションを参 照 ) 。
あるいは、( ウィザードの任 意 のステップで) 【キャンセル( Cancel) 】 をクリックし、安 全 にウィ
ザードを終 了 することもできます( Astaro Security GatewayをWebAdminで直 接 設 定
したい場 合 など) 。 いつでも 【終 了 ( Finish) 】 をクリックし、そこまでの設 定 を保 存 してウィ
ザードを終 了 できます。
4. ライセンスをインスト ールします。
購 入 したライセンス( テキスト ファイル) をアップロードするには、フォルダのアイコンをクリックしま
す。 【次 へ( Next) 】 をクリックしてライセンスをインスト ールします。ライセンスを購 入 していな
い場 合 、 【次 へ( Next) 】 をクリックして、製 品 に組 み込 まれた30日 間 のト ライアルライセンス
ASG V8 管 理 ガイド
23
1.4基 本 設 定
1インスト ール
を使 用 してください。Astaro Security Gatewayに搭 載 されたすべての機 能 が有 効 になり
ます。
5. 内 部 ネット ワークインタフェースを設 定 します。
内 部 ネット ワークインタフェース( eth0) に対 して表 示 された設 定 を確 認 します。 このインタフ
ェースの設 定 は、ソフト ウェアのインスト ール時 に提 供 した情 報 に基 づいています。さらに、チ
ェックボックスをオンにして、Astaro Security Gatewayが内 部 インタフェースでDHCPサーバ
として機 能 するように設 定 することができます。
注 – 内 部 インタフェースのIPアドレスを変 更 する場 合 、ウィザード終 了 後 に新 しいIPアド
レスを使 用 してWebAdminに接 続 し直 す必 要 があります。
6. 外 部 インタフェースのアップリンクタイプを選 択 します。
外 部 ネット ワークカードで使 用 するアップリンク/インターネット 接 続 の接 続 タイプを選 択 しま
す。 インタフェースのタイプとその設 定 は、どのような種 類 のインターネット 接 続 を使 用 するか
によって異 なります。 【次 へ( Next) 】 をクリックします。
Astaro Security Gatewayにアップリンクがないか、今 すぐ設 定 したくない場 合 には、 【イン
ターネットアップリンクタイプ( Internet Uplink Type) 】 入 力 ボックスを空 欄 のまま残 しま
す。インターネット アップリンクを設 定 すると、内 部 ネット ワークからインターネット への接 続 用
にIP マスカレーディングが自 動 設 定 されます。
【スタティックIPアドレスによる標 準 イーサネットインタフェース( Standard Ethernet
Interface with Static IP Address) 】 を選 択 する場 合 、 デフォルトゲートウェイの指 定 は
オプションです。テキスト ボックスを空 欄 のままにすると、インスト ール時 のデフォルト ゲート ウ
ェイ設 定 が維 持 されます。 【次 へ( Next) 】 をクリックして、残 りの各 ステップをスキップすること
ができます。 スキップした設 定 は、後 でWebAdminで設 定 ・変 更 できます。
7. 基 本 的 なファイアウォール設 定 を行 います。
ここで、インターネット で許 可 するサービスのタイプを選 択 できます。 【次 へ( Next) 】 をクリック
して設 定 を確 認 します。
8. 基 本 的 な侵 入 防 止 設 定 を行 います。
ここで、複 数 のオペレーションシステムとデータベースに対 する侵 入 防 止 を設 定 できます。 【
次 へ( Next) 】 をクリックして設 定 を確 認 します。
9. インスタント メッセージングとP2P用 の設 定 を行 います。
ブロックするインスタント メッセージやピアツーピアプロト コルを選 択 できます。 【次 へ( Next) 】
をクリックして設 定 を確 認 します。
24
ASG V8 管 理 ガイド
1インスト ール
1.4基 本 設 定
10. Webセキュリティ設 定 を行 います。
ここで、Webト ラフィックに対 してウイルスやスパイウェアのスキャンを行 う必 要 があるかどうか
を選 択 できます。さらに、特 定 のカテゴリに属 するWebページのブロックを選 択 できます。 【
次 へ( Next) 】 をクリックして設 定 を確 認 します。
11. メールセキュリティ設 定 を行 います。
ここでは、最 初 のチェックボックスにチェックを入 れて、POP3プロキシを有 効 にすることができ
ます。また、2つ目 のチェックボックスをオンにして、ASGをインバウンドSMTPリレーとして有 効
にすることができます。内 部 メールサーバのIPアドレスを入 力 し、SMTPドメインをルート に追
加 します。 【次 へ( Next) 】 をクリックして設 定 を確 認 します。
12. 設 定 を確 認 します。
設 定 のサマリが表 示 されます。 【終 了 ( Finish) 】 をクリックして確 認 するか、 【戻 る( Back) 】
をクリックして変 更 します。 これらは後 でWebAdminで変 更 することもできます。
【終 了 ( Finish) 】 をクリックすると設 定 は保 存 され、ユーザはWebAdminのダッシュボードに
リダイレクト されます。ここで、Astaro Security Gatewayユニット の最 も重 要 なシステムス
テータス情 報 が表 示 されます。
ASG V8 管 理 ガイド
25
1.5バックアップリスト ア
1インスト ール
図 4 WebAdmin：ダッシュボード
これらのステップの実 行 中 に問 題 が発 生 した場 合 は、Astaro Security Gatewayサプライ
ヤのサポート 部 門 にお問 い合 わせください。 次 のWebサイト でも詳 細 情 報 を提 供 していま
す。
l
Astaroサポート フォーラム
l
Astaroナレッジベース
1.5バックアップリスト ア
WebAdmin設 定 ウィザード( 「基 本 設 定 」 セクションを参 照 ) を使 用 すると、基 本 設 定 プロセスを
すべて実 行 する代 わりに、既 存 のバックアップファイルをリスト アすることができます。 以 下 の手 順 に
従 ってください。
1. 設 定 ウィザード で 【既 存 のバックアップファイルのリストア(Restore existing backup
file)】 を選 択 します。
26
ASG V8 管 理 ガイド
1インスト ール
1.5バックアップリスト ア
設 定 ウィザードで 【既 存 のバックアップファイルのリストア( Restore existing backup file) 】
を選 択 し、 【次 へ( Next) 】 をクリックします。
アップロードページが表 示 されます。
2. バックアップをアップロード します。
フォルダアイコンをクリックし、リスト アするバックアップファイルを選 択 して、 【アップロード開
始 ( Start Upload) 】 をクリックします。
3. バックアップをリスト アします。
【終 了 ( Finish) 】 をクリックしてバックアップをリスト アします。
重 要 - 後 で設 定 ウィザードを使 用 することはできません。
バックアップのリスト アが成 功 すると、ログインページにリダイレクト されます。
ASG V8 管 理 ガイド
27
2WebAdmin
WebAdminはWebベースの管 理 インタフェースで、ここでは当 製 品 のあらゆる局 面 の設 定 を行 う
ことができます。 Astaro Security Gateway. WebAdminはメニューとページで構 成 され、それら
の多 くには複 数 のタブが含 まれています。 画 面 左 側 のメニューには、Astaro Security Gateway
の機 能 が論 理 的 に構 成 されています。 【ネットワーク( Network) 】 などのメニュー項 目 を選 択 する
と、それが拡 大 してサブメニューが表 示 されたり関 連 ページが開 きます。 メニュー項 目 の中 には、
関 連 ページがないものもあります。 前 に選 択 したメニューまたはサブメニュー項 目 のページは、そ
のまま表 示 されます。 サブメニュー項 目 のいずれかを選 択 すると、それによって最 初 のタブの関 連
ページが開 きます。
この管 理 ガイドの手 順 に従 ってメニュー項 目 、サブメニュー項 目 、およびタブを指 定 すると、ページ
が開 きます( 例 ： 【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【インタフェー
ス( Interfaces) 】 >>【ハードウェア( Hardware) 】 タブ) 。
図 5 WebAdmin：概 要
2.1WebAdminメニュー
2WebAdmin
2.1WebAdminメニュー
WebAdminメニューは、Astaro Security Gatewayのすべての設 定 オプションへのアクセスを提
供 します。したがって、特 定 パラメータの設 定 にコマンドラインインタフェースを使 用 する必 要 はあり
ません。
30
l
ダッシュボード (Dashboard)：ダッシュボードは、Astaro Security Gatewayユニット の現
在 の操 作 状 況 をグラフィカルに表 示 します。
l
マネジメント (Management)： 基 本 的 なシステム設 定 、WebAdmin設 定 、およ
びAstaro Security Gatewayユニット の設 定 に関 するすべての設 定 を構 成 します。
l
定 義 およびユーザ(Definitions & Users)：Astaro Security Gatewayユニット で使
用 するネット ワーク、サービス、期 間 定 義 、およびユーザアカウント 、ユーザグループ、外 部
認 証 サーバを構 成 します。
l
インタフェースおよびルーティング(Interfaces & Routing)： ネット ワークインタフェース
およびルーティングオプションなどのシステム機 能 を設 定 します。
l
ネット ワークサービス(Network Services)： DNSやDHCPなどのネット ワークサービスを
設 定 します。
l
ネット ワークセキュリティ(Network Security)： ファイアウォールルール、VoIP、侵 入 防
止 設 定 などの基 本 的 なネット ワークセキュリティ機 能 を設 定 します。
l
Webセキュリティ(Web Security)：Astaro Security Gatewayユニット のWebフィルタ
およびアプリケーションコント ロール、ならびにFTPプロキシを設 定 します。
l
メールセキュリティ(Mail Security)：Astaro Security Gateway ユニット のSMTPおよ
びPOP3プロキシ、ならびにEメールの暗 号 化 を設 定 します。
l
ワイヤレスセキュリティ(Wireless Security)： ゲート ウェイのワイヤレスアクセスポイント
を設 定 します。
l
Webアプリケーションセキュリティ(Web Application Security)： Webサーバをクロス
サイト スクリプティングやSQLインジェクションなどの攻 撃 から防 御 します。
l
REDマネジメント (RED Management)： RED( Remote Ethernet device) アプライア
ンスを設 定 します。
l
ログ管 理 (Log Management)： ログファイルを集 中 管 理 するスト レージを設 定 します。
l
サイト 間 VPN(Site-to-site VPN)： サイト 間 VPN( バーチャルプライベート ネット ワーク)
を設 定 します。
ASG V8 管 理 ガイド
2WebAdmin
2.2ボタンバー
l
リモート アクセス(Remote Access)：Astaro Security Gatewayユニット へのリモート ア
クセスVPN接 続 を設 定 します。
l
ログおよびレポーティング(Logging & Reporting)：Astaro Security Gatewayユニッ
ト の使 用 状 況 に関 するログメッセージと統 計 を表 示 し、ログおよびレポーティングに関 する
設 定 を構 成 します。
l
サポート (Support)：Astaro Security Gatewayユニット で利 用 できるサポート ツールに
アクセスします。
l
ログオフ(Log Off)： ユーザインタフェースからログアウト します。
メニューの検 索
メニュー上 部 に検 索 ボックスがあります。 ここではキーワードについてメニューを検 索 し、特 定 のト ピ
ックに関 するメニューを容 易 に検 索 できます。 検 索 機 能 はメニュー名 を検 索 しますが、非 表 示 の
索 引 付 けされた別 名 やキーワードも検 索 できます。
検 索 ボックスに入 力 を開 始 するとすぐに、関 連 するメニュー項 目 のみが自 動 的 に表 示 されます。
検 索 ボックスはそのままにして、該 当 すると予 想 されるメニュー項 目 をクリックしてください。 少 なくな
ったメニュー項 目 はそのまま残 り、その隣 りのリセット ボタンをクリックするまで検 索 結 果 が表 示 され
ます。
ヒント – キーボードショート カット CTRL+Yで検 索 ボックスにフォーカスすることができます。
2.2ボタンバー
WebAdminの右 上 隅 にあるボタンから、次 の機 能 にアクセスできます。
l
ユーザ/IPアド レス(User/IP Address)： 現 在 ログインしているユーザと、WebAdmin
にアクセスしているIPアドレスを示 します。
l
オンラインヘルプ(Online Help)： すべてのメニュー、サブメニュー、タブにはオンラインヘル
プ画 面 があり、WebAdminの現 在 ページのコント ロールに関 連 するコンテキスト に応 じた情
報 や手 順 を提 供 します。
注 - オンラインヘルプは、パターン更 新 によって更 新 されており、説 明 は常 にAstaro
Security Gatewayの最 新 バージョンに基 づいているため、オンラインヘルプと現 在 インス
ト ールされているファームウェアの間 にわずかな不 整 合 が発 生 する場 合 があります。
ASG V8 管 理 ガイド
31
2.3リスト
l
2WebAdmin
リロード (Reload)： すでに表 示 されているWebAdminページを再 び要 求 する場 合 、必
ず【リロード ( Reload) 】 ボタンをクリックしてください。
注 - ブラウザの「再 読 み込 み」ボタンや「更 新 」ボタンは使 用 しないでください。これを行 う
と、WebAdminからログアウト することになります。
2.3リスト
WebAdminの多 くのページにはリスト があります。 各 リスト の左 にあるボタンを使 用 すると、アイテ
ムの編 集 、削 除 、または複 製 が可 能 です( 詳 しくは「ボタンとアイコン」セクションを参 照 してくださ
い) 。 リスト にアイテムを追 加 するには、 【新 規 ...( New ...) 】 ボタンをクリックします。ここで「...」
は、作 成 中 のオブジェクト ( インタフェースなど) を示 すプレースホルダです。 ダイアログボックスが開
き、新 規 オブジェクト のプロパティを定 義 することができます。
図 6 WebAdmin：リスト の例
それぞれのリスト では、タイプ別 にすべてのアイテムをソート することができます。 さらに、検 索 ボック
スを使 用 して、具 体 的 なアイテムを検 索 することができます。 検 索 文 字 列 を入 力 し、 【検
索 ( Find) 】 をクリックします。
アイテムが11個 以 上 含 まれるリスト は、複 数 ページに分 割 され、【>】( 次 へ) ボタンと【<】( 前 へ)
ボタンを使 用 して移 動 することができます。 ただし、この設 定 は【ユーザ設 定 ( User
Preferences) 】 タブで変 更 できます。
ヒント - 情 報 アイコンをクリックすると、そのオブジェクト が使 用 されているすべての設 定 オプション
が表 示 されます。
32
ASG V8 管 理 ガイド
2WebAdmin
2.4ダイアログボックス
2.4ダイアログボックス
ダイアログボックスとは、特 定 の情 報 の入 力 を求 めるためにWebAdminが使 用 する特 別 なウィン
ドウです。 例 として、 【インタフェース( Interfaces) 】 >>【ルーティング( Routing) 】 >>【スタティック
ルーティング( Static Routing) 】 メニューで表 示 される、新 しいスタティックルート を作 成 するための
ダイアログボックスを示 します。
図 7 WebAdmin：ダイアログボックスの例
各 ダイアログボックスは、テキスト ボックス、チェックボックスなどの各 種 ウィジェット から構 成 されていま
す。 さらに、多 くのダイアログボックスにはドラッグ＆ ドロップ機 能 があり、DNDと記 された特 別 な背
景 で識 別 されます。 このようなボックスが表 示 された場 合 、ボックスにオブジェクト をドラッグすること
ができます。 オブジェクト をドラッグする元 の場 所 となるオブジェクト リスト を開 くには、テキスト ボック
スのすぐ横 にあるフォルダアイコンをクリックします。 これにより、設 定 オプションに応 じて、使 用 可 能
なネット ワーク、インタフェース、ユーザ/グループ、またはサービスのリスト が開 きます。 緑 色 の「+」
アイコンをクリックすると、2つ目 のダイアログボックスが開 き、新 しい定 義 を作 成 することができます。
特 定 の設 定 で不 要 なウィジェット は、グレーアウト 表 示 されます。 これらのウィジェット を編 集 でき
る場 合 もありますが、効 果 はありません。
注 - WebAdminには、 【保 存 ( Save) 】 ボタンと【適 用 ( Apply) 】 ボタンの両 方 が存 在 しま
す。 【保 存 ( Save) 】 ボタンは、スタティックルート やネット ワーク定 義 といったWebAdmin内 のオブ
ジェクト を作 成 または編 集 するときに使 用 します。 常 に、対 応 する【キャンセル( Cancel) 】 ボタン
が用 意 されています。 一 方 、 【適 用 ( Apply) 】 ボタンは、バックエンドで設 定 を確 認 し、速 やか
に有 効 化 するために使 用 します。
2.5ボタンとアイコン
ここでは、WebAdminで使 用 されているボタンとアイコンの用 途 について説 明 します。
ASG V8 管 理 ガイド
33
2.5ボタンとアイコン
ボタン
2WebAdmin
意味
オブジェクト の詳 細 情 報 を示 すダイアログウィンドウが表 示 されます。
オブジェクト のプロパティを編 集 するためのダイアログウィンドウが開 きます。
オブジェクト を削 除 します。 そのオブジェクト が他 の箇 所 でまだ使 用 されている
場 合 は、警 告 が表 示 されます。 使 用 中 のオブジェクト は削 除 できない場 合 が
あります。
同 じ設 定 やプロパティで別 のオブジェクト を作 成 するためのダイアログウィンドウ
が開 きます。 同 じ設 定 を何 度 も繰 り返 し入 力 する必 要 なく、類 似 のオブジェ
クト を作 成 できます。
機能 意味
アイコ
ン
情 報 ： オブジェクト が使 用 されているすべての設 定 が表 示 されます。
ステータス(Status)： 機 能 を有 効 または無 効 にします。 有 効 な場 合 は緑 、無 効 な
場 合 は赤 、有 効 化 する前 に設 定 が必 要 な場 合 はアンバーとなります。
フォルダ： 2種 類 の機 能 があります。(1) 左 側 にあるオブジェクト リスト を開 く( 下 のセク
ションを参 照 ) 。ここで適 切 なオブジェクト を選 択 できます。 (2) ファイルのアップロード
用 のダイアログウィンドウを開 く。
プラス(+)： 必 要 なタイプの新 しいオブジェクト を追 加 するためのダイアログボックスが
開 きます。
ゴミ箱 ： 現 在 の設 定 からオブジェクト を除 去 します。 ただし、このオブジェクト は削 除 さ
れるわけではありません。
インポート ： 複 数 のアイテムまたは行 を持 つテキスト をインポート するためのダイアログウ
ィンドウが開 きます。 複 数 のアイテムを個 別 に入 力 するのではなく、まとめて追 加 する
ことができます( たとえば、URLブラックリスト に大 規 模 なブラックリスト を追 加 する) 。 任
意 の場 所 からテキスト をコピーし、CTRL+Vで貼 り付 けます。
エクスポート ： 既 存 のアイテムをすべてエクスポート するためのダイアログウィンドウが開
きます。 アイテムを区 切 るための区 切 り文 字 として、新 しい行 、コロン、コンマのいずれ
かを選 択 できます。 アイテムをテキスト としてエクスポート するには、 【エクスポートする
テキスト ( Exported Text) 】 フィールドでテキスト 全 体 を選 択 し、CTRL+Cを押 してコ
ピーします。 続 いて、CTRL+Vを使 用 してすべての共 通 アプリケーション( テキスト エディ
タなど) にこれを貼 り付 けます。
ソート ： 2つの矢 印 を使 用 してリスト の各 要 素 を上 下 に動 かし、並 べ替 えることができ
ます。
34
ASG V8 管 理 ガイド
2WebAdmin
2.6オブジェクト リスト
機能 意味
アイコ
ン
PDF： 現 在 表 示 されているデータをPDFファイルに保 存 してから、保 存 したファイルをダ
ウンロードするためのダイアログウィンドウが開 きます。
CSV： 現 在 表 示 されているデータをCSV( コンマ区 切 り値 ) ファイルに保 存 してから、
保 存 したファイルをダウンロードするためのダイアログウィンドウが開 きます。
2.6オブジェクト リスト
オブジェクト リスト とは、WebAdminの左 側 に一 時 的 に表 示 されるドラッグ＆ ドロップリスト で、メイ
ンメニューをカバーします。
図 8 WebAdmin：オブジェクト リスト ネットワークからのオブジェクト のドラッグ
オブジェクト リスト は、フォルダアイコンをクリックすると自 動 的 に開 きます( 上 のセクションを参 照 ) 。
あるいは、キーボードショート カット を使 用 して手 動 で開 くこともできます( 「マネジメン
ASG V8 管 理 ガイド
35
2.6オブジェクト リスト
2WebAdmin
ト」 >>「 WebAdmin設 定 」 >>「ユーザプリファレンス」 を参 照 ) 。
オブジェクト リスト から、ユーザ/グループ、インタフェース、ネット ワーク、サービスなどのWebAdmin
オブジェクト にすばやくアクセスし、設 定 時 に選 択 することができます。 オブジェクト を選 択 するに
は、現 在 の設 定 にオブジェクト をドラッグ＆ ドロップするだけです。
既 存 の各 種 オブジェクト タイプに従 い、オブジェクト リスト には5つのタイプがあります。 フォルダアイコ
ンをクリックすると、現 在 の設 定 で必 要 なタイプが常 に開 きます。
36
ASG V8 管 理 ガイド
3ダッシュボード
ダッシュボードは、Astaro Security Gatewayの現 在 の操 作 状 況 をグラフィカルに表 示 します。
デフォルト で、ダッシュボードは5秒 間 隔 で更 新 されます。更 新 間 隔 は【無 し( Never) 】 ～ 【 60
秒 ( 60 seconds) 】 の間 で設 定 できます。
図 9 WebAdmin：ASGソフト ウェアのサンプルダッシュボード V8
このダッシュボードにはデフォルト で、ユーザがいつWebAdminにログインしたのかを示 す情 報 と次
の情 報 が表 示 されます。
l
一 般 情 報 (General Information)： ユニット ( 装 置 ) のホスト 名 、モデル、ライセン
スID、アップタイム。
l
バージョン情 報 (Version Information)： 現 在 インスト ールされているファームウェアと
パターンバージョン、および利 用 可 能 な更 新 パッケージの情 報 。
l
リソースの使 用 状 況 (Resource Usage)： 次 のコンポーネント を含 むシステムの現 在 の
使用状況。
3ダッシュボード
l
38
l
CPU使 用 率 ( %)
l
RAM使 用 率
l
スワップ使 用 率 ( %)
l
ログパーティションで消 費 されているハードディスクの容 量 ( %)
l
ルート パーティションで消 費 されているハードディスクの容 量 ( %)
l
UPS( 無 停 電 電 源 装 置 ) モジュールがある場 合 はその状 態
今 日 の脅 威 状 況 (Today's Threat Status)： 深 夜 以 降 に検 出 された関 連 するセキ
ュリティ脅 威 のカウンタ：
l ログが有 効 になっているドロップされたデータパケット と拒 否 されたデータパケット の合
計
l
侵 入 がブロックされた回 数 の合 計
l
ブロックされたウイルスの合 計 ( 全 プロキシ)
l
ブロックされたスパムメッセージの合 計 ( SMTP/POP3)
l
ブロックされたスパイウェアの合 計 ( 全 プロキシ)
l
ブロックされたURLの合 計 ( HTTP/S)
l
ブロックされたWebサーバ攻 撃 の合 計 ( WAF)
l
インタフェース(Interfaces)：設 定 されているネット ワークインタフェースカードの名 前 とス
テータス。さらに、受 信 ト ラフィックと送 信 ト ラフィックの両 方 に対 する過 去 75秒 間 の平 均 ビ
ット レート に関 する情 報 も表 示 されます。 表 示 される値 は、15秒 間 隔 で収 集 されるサンプ
ルに基 づく平 均 ビット レート から取 得 されます。インタフェースのト ラフィックアイコンをクリックす
ると、フローモニタが新 しいウィンドウで開 きます。 フローモニタには、過 去 10分 間 のト ラフィッ
クが表 示 され、短 い間 隔 で自 動 更 新 されます。 フローモニタについて詳 しくは、 「フローモニ
タ」 を参 照 してください。
l
現 在 のシステム設 定 (Current System Configuration)： 関 連 セキュリティ機 能 が
有 効 であるか無 効 であるかを示 します。
l ファイアウォール(Firewall)： アクティブファイアウォールルールの合 計 に関 する情
報。
l
侵 入 防 御 (Intrusion Prevention)： 侵 入 防 御 システム( IPS) は、シグニチャ
に基 づくIPSルールセット を利 用 して攻 撃 を認 識 します。
l
Webフィルタ(Web Filter)：HTTP/Sプロト コル用 のアプリケーションレベルのゲー
ト ウェイ。サービスの使 用 が許 可 されているネット ワークに対 し、豊 富 なWebフィルタ
技 術 を提 供 します。
ASG V8 管 理 ガイド
3ダッシュボード
l
ネット ワークの可 視 性 (Network Visibility)： Astaroのレイヤ7アプリケーション
コント ロールを使 用 すると、ネット ワークト ラフィックを分 類 およびコント ロールできま
す。
l
FTPプロキシ(FTP Proxy)： FTP( ファイル転 送 プロトコル) を使 用 したファイル転
送 用 のアプリケーションレベルのゲート ウェイ。
l
SMTPプロキシ(SMTP Proxy)： SMTP( 簡 易 メール転 送 プロトコル) を使 用 した
メッセージ送 信 用 のアプリケーションレベルのゲート ウェイ。
l
POP3プロキシ(POP3 Proxy)： POP3( Post Office Protocol 3) を使 用 したメッ
セージ送 信 用 のアプリケーションレベルのゲート ウェイ。
l
Webアプリケーションセキュリティ(Web Application Security)： Webサーバ
をクロスサイト スクリプティングやSQLインジェクションなどの攻 撃 から防 御 するためのア
プリケーションレベルのゲート ウェイ。
l
アンチウイルス(AntiVirus)： ウイルス、ワーム、その他 のマルウェアなどの有 害 で
危 険 なコンテンツを伝 送 するWebト ラフィックからネット ワークを保 護 します。
l
アンチスパム(AntiSpam)： 未 承 諾 のスパムメールを検 知 し、既 知 の( または疑 わ
しい) スパム発 信 者 からのスパム送 信 を特 定 します。
l
アンチスパイウェア(AntiSpyware)： シグニチャデータベースとスパイウェアフィルタリ
ング技 術 が定 期 的 に更 新 される2種 類 のウイルススキャンエンジンを使 用 して、スパ
イウェア感 染 を防 止 します。受 信 ト ラフィックと送 信 ト ラフィックの両 方 を保 護 します。
l
メール暗 号 化 (E-mail Encryption)： S/MIMEまたはOpenPGP標 準 によってE
メールを暗 号 化 、復 号 化 、デジタル署 名 します。
l
サイト 間 VPN(Site2Site VPN)： サイト 間 VPNシナリオの設 定 。
l
リモート アクセス(Remote Access)： ロードウォリアVPNシナリオの設 定 。
l
HA/クラスタ(HA/Cluster)： 冗 長 化 ( HA) フェイルオーバおよびクラスタリング。つ
まり、処 理 集 約 型 のタスク( コンテンツフィルタ、ウイルススキャン、侵 入 検 知 、復 号
化 など) を複 数 のクラスタノードに均 一 に分 散 します。
l
ログ管 理 (Log Management)： ネット ワーク内 外 のマシンからのログファイルを一
括 して保 存 します。 ログは、定 義 したイベント 時 の自 動 通 知 を含 め、簡 単 に検 索 お
よびモニタリングできます。
l
ワイヤレスセキュリティ(Wireless Security)： ワイヤレスネット ワークおよびアクセ
スポイント の設 定 。
ASG V8 管 理 ガイド
39
3.1フローモニタ
3ダッシュボード
3.1フローモニタ
Astaro Security Gatewayのフローモニタは、現 在 ASGのインタフェースを通 過 しているネット ワー
クト ラフィックに関 する情 報 を素 早 く確 認 するためのアプリケーションです。 ダッシュボードの右 上 で
いずれかのインタフェースをクリックすることにより簡 単 にアクセスできます。 【すべてのインタフェー
ス( All Interfaces) 】 をクリックすると、すべてのアクティブなインタフェースについて蓄 積 されたト ラフ
ィックがフローモニタに表 示 されます。 単 一 のインタフェースをクリックすると、そのインタフェースのト ラ
フィックのみがフローモニタに表 示 されます。
注 - フローモニタは新 しいブラウザウィンドウで開 きます。 このウィンドウはポップアップブロッカによ
ってブロックされる可 能 性 があるため、WebAdminに対 してポップアップブロッカを無 効 にすること
をお勧 めします。
フローモニタには、グラフとテーブルという2種 類 のビューがあります。それぞれについては後 述 します。
ビューは5秒 間 隔 で更 新 されます。 更 新 を停 止 するには【 一 時 停 止 ( Pause) 】ボタンをクリックし
ます。 【続 行 ( Continue) 】 をクリックして更 新 を再 開 すると、フローモニタが最 新 のト ラフィック情 報
に更 新 します。
グラフビュー
フローモニタのグラフには、過 去 10分 間 のネット ワークト ラフィックが表 示 されます。 横 軸 は時 間
を、縦 軸 はスループット にスケールを動 的 に適 用 したときのト ラフィック量 を示 します。
グラフビューの下 部 には、インタフェースを通 過 するト ラフィックの種 類 を示 す凡 例 が表 示 されます。
ト ラフィックは種 類 ごとに色 分 けされるため、グラフ内 で簡 単 に見 分 けることができます。
注 - ネット ワークの可 視 性 ( Netowork Visibility) を有 効 にした場 合 ( 「 Web セキュリテ
ィ」 >>「アプリケーションコントロール」 >>「ネットワークの可 視 性 」 の章 を参 照 ) 、フローモニタは
ト ラフィックについてより差 別 化 された情 報 を表 示 します。
マウスのカーソルをグラフ上 に置 くと、大 きなドット ( 点 ) が表 示 され、グラフのその部 分 の詳 細 な情
報 が表 示 されます。 このドット は、グラフの線 に沿 って移 動 します。 マウスのカーソルを移 動 する
と、ドット もそれに従 って移 動 します。 グラフに何 本 かの線 がある場 合 、ドット はマウスカーソルの移
動 に従 って線 の間 を移 動 します。 さらに、ドット の色 は、それが表 示 している情 報 がどの線 に関 連
するかによって変 わるため、線 が互 いに近 接 している場 合 に役 立 ちます。 ドット は、ある時 点 での
ト ラフィックの種 類 とサイズに関 する情 報 を示 します。
40
ASG V8 管 理 ガイド
3ダッシュボード
3.1フローモニタ
テーブルビュー
フローモニタのテーブルには、過 去 5秒 間 のネット ワークト ラフィックに関 する情 報 が表 示 されます。
#： ト ラフィックは、現 在 の帯 域 幅 使 用 状 況 に基 づいてランク付 けされます。
アプリケーション(Application)： 利 用 可 能 な場 合 、ネット ワークト ラフィックのプロト コルまたは名
前 。 未 分 類 のト ラフィックは、システムにとって不 明 な種 類 のト ラフィックです。
クライアント (Clients)： ト ラフィックに関 与 するクライアント の数 。
現 在 の帯 域 幅 使 用 状 況 (Bandwidth Usage Now)： 過 去 5秒 間 の帯 域 幅 使 用 状 況 。
合 計 ト ラフィック(Total Traffic)： 接 続 の「ライフタイム」中 に生 成 されたネット ワークト ラフィック
の合 計 数 。 例 1：ダウンロードが、過 去 のある時 点 で開 始 され、まだ継 続 中 です。ダウンロード開
始 時 点 から、期 間 中 に生 成 されたト ラフィック全 体 が表 示 されます。 例 2：複 数 のクライアント
がFacebookを使 用 しています。いずれか1つのクライアント が接 続 をオープンにしている限 り、すべ
てのクライアント によってこれまでに生 成 されたト ラフィックがすべて蓄 積 されて合 計 ト ラフィックに表
示 されます。
アクション(Actions)： アプリケーションの種 類 に応 じて、利 用 可 能 なアクションがあります。
l
ブロック( Blocking) ：赤 いブロックシンボルをクリックすると、現 時 点 から該 当 アプリケーション
がブロックされます。 これにより、 【アプリケーションコントロールルール( Application Control
Rules) 】 ページにルールが作 成 されます。 このオプションは、Astaro Security Gateway
の正 常 なオペレーションに必 要 なアプリケーションに対 しては利 用 できません。 たとえ
ば、WebAdminト ラフィックはブロックできません。これをブロックすると、ユーザ自 身
がWebAdminからシャット アウト されてしまいます。 未 分 類 のト ラフィックもブロックできませ
ん。
l
ト ラフィックシェーピング( Traffic shaping) ：オレンジとグレーのシェーピングシンボルをクリッ
クすると、当 該 アプリケーションのト ラフィックシェーピングが有 効 になります。 ダイアログウィン
ドウが開 き、ルール設 定 を定 義 するよう要 求 されます。 完 了 したら【保 存 ( Save) 】 をクリッ
クします。 これにより、 【トラフィックセレクタ( Traffic Selectors) 】 ページにルールが作 成 さ
れます。
シェーピングはインタフェース単 位 で機 能 するため、 【すべてのインタフェース( All
Interfaces) 】 フローモニタを閲 覧 している際 はト ラフィックシェーピングを利 用 できません。
ASG V8 管 理 ガイド
41
4マネジメント
この章 では、基 本 システム設 定 や、Astaro Security Gateway、WebAdminなどのWebベー
ス管 理 インタフェースの設 定 を定 義 する方 法 を説 明 します。 【概 要 ( Overview) 】 ページには、加
えられた可 能 性 のある変 更 を含 め、最 近 のWebAdminセッションの統 計 が表 示 されます。 変 更
の詳 細 を確 認 するには、 【変 更 ログ( Changelog) 】 列 の【表 示 ( Show) 】 ボタンをクリックします。
この章 には次 のト ピックが含 まれます。
l
システム設 定
l
WebAdmin設 定
l
ライセンス
l
Up2Date
l
バックアップ/リスト ア
l
ユーザポータル
l
通知
l
カスタマイズ
l
SNMP
l
集中管理
l
冗長化
l
シャット ダウン/リスタート
4.1システム設定
【システム設 定 ( System Settings) 】 の下 にあるタブで、ホスト 名 、日 付 、時 刻 など、ゲート ウェ
イ設 定 を行 うことができます。
4.1システム設 定
4マネジメント
4.1.1組 織
御 社 の名 前 と所 在 地 、および当 製 品 の運 用 を技 術 的 に担 当 されるご担 当 者 様 または担 当 部
署 のEメールアドレスを入 力 します。 Astaro Security Gateway.このデータは、IPsec、Eメール
暗 号 化 、およびWebAdminの証 明 書 でも使 用 されます。
4.1.2ホスト 名
このフィールドにゲート ウェイ ホスト 名 を完 全 修 飾 ドメイン名 ( FQDN) で入 力 します(
例 ：ASG.example.com) 。 ホスト 名 には英 数 字 、ドット 、およびハイフンを使 用 できます。 ホスト
名 の末 尾 にはcom、org、deなどの特 殊 な識 別 子 を使 用 する必 要 があります。ホスト 名 は、通
知 メッセージでゲート ウェイを識 別 するために使 用 されます。また、Web Webフィルタから送 信 され
たステータスメッセージにも表 示 されます。お客 様 のドメインのDNSゾーンにホスト 名 を登 録 する必
要 はありません。
4.1.3日 付 と時 刻
ゲート ウェイでは、日 付 と時 刻 を常 に正 しく設 定 しておく必 要 があります。これは、ロギングおよびレ
ポーティングシステムから正 しい情 報 を取 得 したり、インターネット 上 の他 のコンピュータとの相 互 運
用 性 を保 証 するために必 要 です。
通 常 は、日 付 と時 刻 を手 動 で設 定 する必 要 はありません。デフォルト で、パブリックのインターネッ
ト サーバとの自 動 同 期 が有 効 化 されています( 「インターネットサーバと時 間 を同 期 」 のセクション
を参 照 ) 。
まれではありますが、タイムサーバとの同 期 を無 効 にする必 要 がある場 合 、時 刻 と日 付 を手 動 で
変 更 することができます。 ただし、これを行 う場 合 は、以 下 の警 告 に注 意 してください。
44
l
システム時 間 を標 準 時 間 からサマータイムに( あるいはその逆 に) 変 更 しないでください。こ
の変 更 は、タイムサーバとの自 動 同 期 を無 効 にした場 合 でも、タイムゾーンの設 定 によって
自 動 的 に行 われます。
l
タイムサーバとの同 期 が有 効 になっている場 合 は、日 付 または時 刻 を手 動 で変 更 しないで
ください。多 くの場 合 、自 動 同 期 により、手 動 で行 った変 更 がすぐに取 り消 されます。 日 付
または時 刻 を手 動 で設 定 する必 要 がある場 合 、最 初 に【 NTPサーバ( NTP Servers) 】 ボ
ックス( 下 の【インターネットサーバと時 間 を同 期 ( Synchronize Time With Internet
Server) 】 セクション) からすべてのサーバを削 除 し、 【適 用 ( Apply) 】 をクリックしてください。
ASG V8 管 理 ガイド
4マネジメント
4.1システム設 定
l
システム時 間 を手 動 で変 更 してから、変 更 が成 功 したことを通 知 する緑 色 の確 認 メッセー
ジが表 示 されるまで待 機 します。 次 に、システムをリブート します( 【マネジメン
ト ( Management) 】 >>【シャットダウン/リスタート ( Shutdown/Restart) 】 ) 。 多 くのサー
ビスでは、時 間 は連 続 的 に変 化 し、急 に変 化 する訳 ではないという事 実 に依 存 しているた
め、これが推 奨 されます。 時 間 に飛 びがあると、様 々 なサービスの誤 作 動 につながる可 能
性 があります。 このアドバイスは、あらゆる種 類 のコンピュータシステムに共 通 して該 当 しま
す。
l
まれに、システム時 間 を変 更 すると、WebAdminセッションが強 制 終 了 される可 能 性 があ
ります。 これが発 生 した場 合 、ログインし直 して、時 刻 が正 しく設 定 されていることを確 認
し、後 でシステムを再 起 動 してください。
いくつかのタイムゾーンにまたがる相 互 接 続 された複 数 のゲート ウェイ を運 用 している場 合 は、す
べてのデバイスに同 じタイムゾーンを選 択 します( 例 ：UTC( 協 定 世 界 時 ) )。これにより、ログメッ
セージをより簡 単 に比 較 できます。
システム時 間 を手 動 で変 更 すると、システムを正 しく再 起 動 した場 合 でも、複 数 の副 作 用 が予
想 されます。
l
時 刻 を早 める
l 時 刻 に基 づくレポート の場 合 、スキップされた時 間 のデータがなくなります。 ほとんど
のグラフでは、この期 間 は、最 近 記 録 された値 が直 線 で表 示 されます。
l
l
アカウンティングレポート では、この期 間 は、すべての変 数 が0で表 示 されます。
時 刻 を戻 す
l 時 刻 に基 づくレポート には、該 当 する期 間 のログデータがすでに存 在 します。
l
ほとんどの図 は、この期 間 に記 録 された値 を圧 縮 して表 示 します。
l
ダッシュボードで表 示 される最 後 のパターンチェックからの経 過 時 間 は、たとえ最 後 の
チェックがほんの数 分 前 に行 われた場 合 であっても、値 について「なし」と表 示 しま
す。
l
ASG上 で自 動 的 に作 成 された証 明 書 は、それらの有 効 期 間 の開 始 日 付 が将 来
になっている場 合 は無 効 になります。
l
アカウンティングレポート は将 来 の時 刻 から記 録 された値 を保 持 します。 再 度 リセッ
ト の時 刻 になると、アカウンティングデータは再 度 通 常 どおりに記 述 されます。
こうした欠 点 があるため、システム時 刻 はシステムのセット アップ時 に一 度 だけ設 定 し、その後 は
少 し調 整 するだけにするべきです。これは、レポート データをさらに処 理 する必 要 がある場 合 や
データの精 度 が重 要 な場 合 には、特 に言 えることです。
ASG V8 管 理 ガイド
45
4.1システム設 定
4マネジメント
日 付 お よび時 間 を設 定 ( S e t Ti m e An d D a te )
システム時 刻 を手 動 で設 定 するには、日 付 と時 刻 をそれぞれのドロップダウンリスト から選 択 しま
す。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
タイム ゾ ーン を設 定 ( S e t Ti m e zon e )
システムのタイムゾーンを変 更 するには、ドロップダウンリスト から地 域 またはタイムゾーンを選 択 しま
す。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
インターネット サーバと時 間 を同 期 ( S y n c h r on i ze Ti m e W i th
I n te r n e t S e r v e r )
タイムゾーンを変 更 してもシステム時 間 は変 更 されず、影 響 があるのは、ロギングデータやレポーテ
ィングデータなどの出 力 における時 間 の表 示 のみです。 したがって、サービスの妨 げとなることはな
く、後 でシステムをリブート する必 要 はありません。 ただし、時 刻 の変 更 と同 様 に、ロギングおよび
レポーティングデータには影 響 があります。
タイムサーバを使 用 してシステム時 刻 の同 期 をとるには、1台 以 上 のNTP サーバを選 択 します。
設 定 を終 了 したら【適 用 ( Apply) 】 をクリックします。
46
ASG V8 管 理 ガイド
4.1システム設 定
4マネジメント
図 10 システム設 定 ：日 付 および時 間 を設 定
NTPサーバ(NTP Servers)： デフォルト では【 NTPサーバプール( NTP Server Pool) 】 が選 択
されています。 このネット ワーク定 義 はpool.ntp.orgプロジェクト のパブリックタイムサーバの大 きな
仮 想 クラスタにリンクしています。 インターネット サービスプロバイダが顧 客 用 にNTP サーバを運 用 し
ており、これらのサーバへのアクセス権 がある場 合 、NTPサーバプールを削 除 してプロバイダのサー
バを使 用 することが推 奨 されます。 独 自 のサーバまたはプロバイダのサーバを選 択 する場 合 、複
数 のサーバを使 用 すると、精 度 や信 頼 性 が向 上 します。 3つの独 立 したサーバを使 用 すれば、
常 に十 分 です。 それ以 上 のサーバを追 加 しても、さらなる改 良 はほとんど期 待 できず、サーバの
負 荷 が増 加 します。NTPサーバプールと独 自 またはプロバイダのサーバの両 方 を使 用 しても、精
度 や信 頼 性 は向 上 しないため、使 用 は推 奨 されません。
テスト 構 成 サーバ(Test Configured Servers)： デバイスから選 択 されたNTPサーバへの接
続 を確 立 できることと、NTPサーバが使 用 可 能 な時 刻 データを返 すことをテスト する際 は、このボ
タンをクリックします。 これで、お使 いのシステムとサーバ間 の時 間 のオフセット を測 定 します。 お使
いのシステムが正 しく設 定 されており、一 定 時 間 にわたって安 定 した状 態 で動 作 している場 合
は、オフセット は一 般 的 に1秒 未 満 になります。
通 常 、NTPを有 効 化 したり他 のサーバを追 加 した直 後 は、オフセット がこれより長 くなります。 時
間 の飛 びを防 ぐために、NTPはゆっくりとシステム時 間 をずらします。やがて、システム時 間 は時 間
ASG V8 管 理 ガイド
47
4.1システム設 定
4マネジメント
の飛 びなく補 正 されます。 このような状 況 が発 生 した場 合 は、しばらく待 機 してください。 特 に、こ
のような場 合 には、システムを再 起 動 しないでください。 その代 わりに、約 1時 間 後 に再 びチェック
してください。 オフセット が減 少 すると、すべてが正 しく機 能 するようになります。
4.1.4シェルアクセス
セキュアシェル( SSH) はコマンドラインアクセスモードであり、主 に ゲート ウェイへのリモート シェルア
クセスを取 得 するために使 用 されます。 これは通 常 、低 レベルのメンテナンスやト ラブルシューティ
ングに使 用 されます。このシェルにアクセスするには、SSHクライアント が必 要 です。SSHクライアント
は一 般 的 に、ほとんどのLinuxディスト リビューションに装 備 されています。
許 可 ネ ット ワーク( Al l ow e d Ne tw or k s )
【許 可 ネットワーク( Allowed Networks) 】 コント ロールを使 用 して、この機 能 へのアクセスを特 定
ネット ワークのみに制 限 します。ここにリスト されたネット ワークは、SSHサービスに接 続 できます。
認 証 ( Au th e n ti c a ti on )
このセクションで、SSH アクセスの認 証 方 法 とアクセスの厳 格 さを定 義 できます。 以 下 の認 証 方
法 を利 用 できます。
l
パスワード( デフォルト )
l
公開鍵
l
パスワードと公 開 鍵
【公 開 鍵 認 証 ( Public Key Authentication) 】 を使 用 するには、公 開 鍵 での認 証 を許 可 された
各 ユーザーについて、それぞれの公 開 鍵 を【ログインユーザに承 認 された鍵 ( Authorized Keys
For Loginuser) 】 フィールドにアップロードする必 要 があります。
ルート ログインの許 可 (Allow Root Login)： ルート ユーザに対 してSSHアクセスを許 可 できま
す。 このオプションを有 効 にするとセキュリティリスクが高 くなるため、デフォルト では無 効 になってい
ます。 このオプションを有 効 にすると、ルート ユーザは公 開 鍵 を介 してログインできます。 【ルートに
承 認 された鍵 ( Authorized Keys For Root) 】 フィールドにルート ユーザの公 開 鍵 をアップロードし
ます。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
シ ェルユーザパスワード ( S h e l l U s e r P a s s w or ds )
デフォルト のシェルアカウント root( ルート ) およびloginuser( ログインユーザ) 用 のパスワードを入
力 します。これら2つのアカウント のいずれか一 方 のパスワードのみを変 更 するには、他 方 のアカウ
ント の入 力 ボックスを空 白 のままにします。
48
ASG V8 管 理 ガイド
4マネジメント
4.1システム設 定
注 - SSHシェルアクセスを有 効 にするには、最 初 にパスワードを設 定 する必 要 があります。 さら
に、 【定 義 およびユーザ( Definitions & Users) 】 >>【認 証 サーバ( Authentication
Servers) 】 >>【詳 細 ( Advanced) 】 タブで設 定 したパスワードの複 雑 さの設 定 に準 拠 したパス
ワードのみを指 定 できます。 つまり、複 雑 なパスワードを有 効 にした場 合 は、シェルユーザのパス
ワードも同 じ要 件 を満 たすことが必 要 になります。
S S H デーモ ンリスンポート ( S S H D a e m on L i s te n P or t)
このオプションで、SSHに使 用 するTCPポート を変 更 できます。 デフォルト では、標 準 SSHポート
の22が設 定 されています。 ポート を変 更 するには、1024～ 65535の適 切 な値 を【ポート番
号 ( Port Number) 】 ボックスに入 力 し、 【適 用 ( Apply)】 をクリックします。
4.1.5設 定 またはパスワードのリセット
【設 定 またはパスワードのリセット ( Reset configuration or passwords)】 タブのオプションで、
シェルユーザのパスワードを削 除 できます。さらに、工 場 出 荷 時 の状 態 に戻 すことができます。
システムパスワード のリセット (Reset System Passwords)： この機 能 を実 行 すると、以 下 の
ユーザのパスワードがリセット されます。
l
ルート ユーザ( シェルユーザ)
l
ログインユーザ( シェルユーザ)
l
admin( 事 前 に定 義 されている管 理 者 アカウント )
さらに、システムを停 止 するには、 【後 でシステムをシャットダウン( Shutdown System
Afterwards) 】 オプションを選 択 します。
セキュリティに関 する注 記 - 次 にWebAdminに接 続 する人 に対 して、 【 adminパスワード設
定 ( Admin Password Setup) 】 ダイアログウインドウが表 示 されます。 したがって、パスワードを
リセット したら、すぐにログアウト し、ブラウザでそのページをリロード( 再 読 み込 み) して、新 し
いadminパスワードを設 定 してください。
また、 【マネジメント ( Management) 】 >>【システム設 定 ( System Settings) 】 >>【シェルアク
セス( Shell Access) 】 タブで新 しいシェルパスワードを設 定 しない限 り、シェルアクセスは実 行 でき
なくなります。
工 場 リセット (Factory Reset)：この機 能 は、工 場 出 荷 時 のデフォルト の設 定 にデバイスをリセ
ット します。 以 下 のデータが削 除 されます。
ASG V8 管 理 ガイド
49
4.2WebAdmin設 定
l
システム設 定
l
Webフィルタキャッシュ
l
ログおよびレポーティングデータ
l
データベース
l
更 新 パッケージ
l
ライセンス
l
パスワード
l
高 可 用 性 ステータス
4マネジメント
ただし、Astaro Security Gateway ソフト ウェアのバージョン番 号 はそのままです。つまり、インス
ト ールされたすべてのファームウェアおよびパターンの更 新 が維 持 されるということです。
注 -Astaro Security Gateway は、工 場 リセット が開 始 するとシャット ダウンします。
4.2WebAdmin設定
【マネジメント ( Management) 】 >>【 WebAdmin設 定 ( WebAdmin Settings) 】 の下 にあるタ
ブで、TCPポート 、ユーザ設 定 、およびWebAdminの言 語 といったWebAdminの基 本 設 定 を構
成 できます。
4.2.1一 般
【 WebAdmin設 定 ( WebAdmin Settings) 】 >>【一 般 ( General)】 タブで、WebAdmin言 語
と基 本 アクセス設 定 を構 成 できます。
W e bAdm i n言 語 ( W e bAdm i n L a n gu a ge )
WebAdminの言 語 を選 択 します。 これは現 在 のユーザプロファイルのみに適 用 されます。
W e bAdm i nア クセス設 定 ( W e bAdm i n Ac c e s s C on f i gu r a ti on )
ここで、WebAdminへのアクセスが許 可 されるユーザやネット ワークを設 定 できます。
許 可 された管 理 者 (Allowed Administrators)：Astaro Security Gateway は同 時 に複
数 の管 理 者 によって管 理 できます。 【許 可 された管 理 者 ( Allowed Administrators) 】 ボックス
で、WebAdminインタフェースへの無 制 限 の読 み取 りおよび書 き込 みアクセスを持 つユーザまたは
グループを指 定 できます。 デフォルト では、これはSuperAdminsのグループになります。
50
ASG V8 管 理 ガイド
4.2WebAdmin設 定
4マネジメント
許 可 ネット ワーク(Allowed Networks)： 【許 可 ネットワーク( Allowed Networks) 】 ボックス
で、WebAdminインタフェースに接 続 できるネット ワークを定 義 できます。ゲート ウェイをスムーズに
インスト ールするために、デフォルト は【すべて(Any)】になっています。 これは、WebAdminインタフ
ェースはどこからでもアクセスできることを意 味 します。 この設 定 は、できるだけ早 く内 部 ネット ワー
クに変 更 してください。 ただし、最 もセキュアなソリューションは、ゲート ウェイ へのアクセス
を、HTTPS経 由 の1台 の管 理 者 用 PCのみに制 限 することです。
アクセスト ラフィックをログ(Log Access Traffic)： すべてのWebAdminアクセスアクティビティを
ファイアウォールログにログする場 合 は、 【アクセストラックをログ( Log Access Traffic) 】 チェックボッ
クスにチェックを入 れます。
4.2.2アクセスコント ロール
【 WebAdmin設 定 ( WebAdmin Settings) 】 >>【アクセスコントロール( Access Control) 】 タブ
で、特 定 のユーザに対 してWebAdmin役 割 を作 成 することができます。 これにより、WebAdmin
ユーザに付 与 できる権 限 を細 かく定 義 することができます。
図 11 WebAdmin設 定 ：アクセスコント ロールの設 定
以 下 の2つのユーザ役 割 があらかじめ定 義 されています。
監 査 担 当 者 (Auditor)： この役 割 のユーザは、ログデータやレポート データを参 照 できます。
読 取 専 用 (Readonly)： この役 割 のユーザは、WebAdmin内 のすべてを参 照 できますが、編
集 、作 成 、削 除 は一 切 できません。
これらのいずれかの役 割 をユーザまたはグループに割 り当 てるには、 【編 集 ( Edit) 】 ボタンをクリック
し、各 ユーザまたはグループを【メンバ( Members) 】 ボックスに追 加 します。
セキュリティポリシに応 じて、追 加 の役 割 を作 成 することができます。 以 下 の手 順 に従 ってくださ
い。
ASG V8 管 理 ガイド
51
4.2WebAdmin設 定
4マネジメント
1. 【アクセスコントロール(Access Control)】 タブで、 【新 規 役 割 (New Role)】 をクリック
します。
【役 割 の作 成 ( Create Role) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この定 義 を説 明 する名 前 を入 力 します。
メンバ(Members)： この役 割 を割 り当 てるユーザとグループをこのボックスに追 加 します。
読 取 専 用 アクセスを付 与 (Grant Read-Only Access)( オプション) ：このチェックボック
スにチェックを入 れると、WebAdminのすべてのエリアへの読 取 専 用 アクセスが、指 定 メン
バに付 与 されます。
権 限 (Rights)： このボックスでは、WebAdminの異 なる職 種 ( 監 査 担 当 者 とマネージ
ャ) に対 し、異 なる権 限 レベルが含 まれています。マネージャは各 機 能 に対 する完 全 な管
理 権 限 を持 ちますが、監 査 担 当 者 は参 照 権 限 のみです。 権 限 の前 にあるチェックボック
スにチェックを入 れて、1つ以 上 の権 限 を選 択 することができます。
例 ：ユーザJon Doeに、メールセキュリティのマネージャ権 限 を付 与 し、追 加 で 【読 取 専 用
アクセスを付 与 ( Grant Read-Only Access) 】 チェックボックスにチェックを入 れるとします。
このユーザは、メールセキュリティのセクションでは設 定 を変 更 できますが、WebAdminのそ
の他 のエリアでは参 照 のみ可 能 で、変 更 は一 切 できません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】をクリックします。
設 定 が保 存 されます。
役 割 を編 集 または削 除 するには、対 応 するボタンをクリックします。 監 査 担 当 者 と読 取 専 用 の各
役 割 は削 除 できません。
4.2.3セキュリティ
パスワード 推 測 をブロック(Block Password Guessing)：この機 能 を使 用 してパスワードが
推 測 されないようにします。設 定 した回 数 のログインに失 敗 すると( デフォルト では3
回 ) 、WebAdminアクセスを取 得 しようとしているIPアドレスは設 定 した時 間 ( デフォルト では600
秒 間 ) ブロックされます。 【ブロック対 象 外 ネットワーク( Never Block Networks) 】 ボックスにリスト
されているネット ワークは、このチェックから除 外 されます。
52
ASG V8 管 理 ガイド
4マネジメント
4.2WebAdmin設 定
4.2.4HTTPS証 明 書
【マネジメント ( Management) 】 >>【 WebAdmin設 定 ( WebAdmin Settings) 】 >>【 HTTPS
証 明 書 ( HTTPS Certificate) 】 タブで、WebAdmin CA証 明 書 をブラウザにインポート した
り、WebAdmin証 明 書 を再 生 成 したり、WebAdminとユーザポータルでの署 名 証 明 書 の使 用
を選 択 したりできます。
WebAdminアクセスの初 回 セット アップ時 に、ローカルCA証 明 書 をゲート ウェイで作 成 しました。こ
のCA証 明 書 の公 開 鍵 をお使 いのブラウザにインスト ールすると、WebAdminインタフェースへのア
クセス時 にセキュリティ警 告 が表 示 されなくなります。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
CA証 明 書 をインポート するには、以 下 の手 順 に従 います。
1. 【 HTTPS 証 明 書 (HTTPS Certificate)】 タブで、 【 CA証 明 書 をインポート (Import
CA Certificate)】 をクリックします。
CA証 明 書 の公 開 鍵 がエクスポート されます。
CA証 明 書 の公 開 鍵 は、ディスクに保 存 するか、お使 いのブラウザにインスト ールできます。
2. 証 明 書 をインスト ールします( オプション) 。
ブラウザにダイアログボックスが表 示 され、証 明 書 のインスト ールをすぐに選 択 できます。
注 - システム時 刻 とタイムゾーンの違 いによって証 明 書 を作 成 してもすぐに有 効 にならない場 合
があります。 この場 合 、ほとんどのブラウザでは、証 明 書 が期 限 切 れであると表 示 されますが、
この表 示 は間 違 っています。 ただし、証 明 書 は24時 間 以 内 には自 動 的 に有 効 になり、その
後 27年 間 有 効 期 間 が持 続 します。
W e bAdm i n証 明 書 の再 生 成 ( Re - ge n e r a te W e bAdm i n
C e r ti f i c a te )
WebAdmin証 明 書 は、お客 様 が初 回 ログイン時 に指 定 したホスト 名 を参 照 します。その間 にホ
スト 名 が変 更 された場 合 は、ブラウザがセキュリティ警 告 を表 示 します。 この問 題 を避 けるため
に、新 しいホスト 名 を考 慮 に入 れて証 明 書 を作 成 できます。 このようなホスト 名 を入 力 して【適
用 ( Apply) 】 をクリックします。 証 明 書 の変 更 後 、WebAdminで引 き続 き作 業 を行 うには、多 く
ASG V8 管 理 ガイド
53
4.2WebAdmin設 定
4マネジメント
の場 合 、お使 いのWebブラウザでページをリロード( 再 読 み込 み) し、新 しい証 明 書 を承 認 し
て、Webadminに再 度 ログインする必 要 があります。
W e bAdm i n /ユーザポータ ル証 明 書 の選 択 ( C h oos e
W e bAdm i n /U s e r P or ta l C e r ti f i c a te )
CA証 明 書 をインポート する代 わりに、独 自 に署 名 した証 明 書 をWebAdminおよびユーザポータ
ルで使 用 したい場 合 、ここでその証 明 書 を選 択 します。 ただし、ドロップダウンリスト で証 明 書 を選
択 できるようにするためには、最 初 に【リモートアクセス( Remote Access) 】 >>【証 明 書 管
理 ( Certificate Management) 】 >>【証 明 書 ( Certificates) 】 タブにおいて、証 明 書 、CA、秘
密 鍵 が含 まれる証 明 書 をPKCS#12形 式 でアップロードする必 要 があります。 アップロードされた
証 明 書 を使 用 するには、 【証 明 書 ( Certificates) 】 ドロップダウンリスト から選 択 し、 【適
用 ( Apply) 】 をクリックします。
4.2.5ユーザ設 定
【マネジメント ( Management) 】 >>【 WebAdmin設 定 ( WebAdmin Settings) 】 >>【ユーザ
設 定 ( User Preference) 】 タブで、現 在 ログインしているユーザのためにグローバルショート カット や
ページあたりのアイテムといったユーザプリファレンス( 基 本 設 定 ) を構 成 できます。
54
ASG V8 管 理 ガイド
4.2WebAdmin設 定
4マネジメント
図 12 WebAdmin設 定 ：ユーザ設 定 の内 容
W e bAdm i nシ ョート カット の設 定
ここでは、多 くの設 定 に使 用 されるドラッグ＆ ドロップのオブジェクト リスト を開 いたり閉 じたりするため
のキーボードショート カット を設 定 できます( 詳 細 は、 「 WebAdmin」 >>「オブジェクトリスト」 を参
照 ) 。また、検 索 ボックスのカーソルフォーカスを設 定 できます( 「 WebAdmin」 >>「 WebAdminメ
ニュー」 を参 照 ) 。 ドロップダウンリスト を使 用 して、Alt、Ctrl、Shiftなどの各 種 修 飾 キーとテキスト
ボックスを選 択 し、異 なる文 字 を入 力 してください。 また、ドロップダウンリスト で 【オフ( Off) 】 を選
択 して、キーボードショート カット をオフにできます。
デフォルト の設 定 に戻 るには、 【デフォルトにリセット ( Reset to Defaults) 】 ボタンをクリックします。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ASG V8 管 理 ガイド
55
4.2WebAdmin設 定
4マネジメント
テーブ ルページ ャオプシ ョ ン( Ta bl e P a ge r Opti on s )
ここでWebAdminのテーブルのページネーション( ページ割 り) 、 つまり、ページあたりのアイテムの
表 示 数 をグローバルに定 義 できます。 ドロップダウンリスト をクリックして値 を選 択 します。設 定 を保
存 するには【適 用 ( Apply) 】 をクリックします。
As ta r oニュースフィ ード ( As ta r o Ne w s F e e d)
Astaroニュースフィードを有 効 にすると、ダッシュボード上 の小 さなセクションでAstaroやAstaro製
品 に関 するニュースが提 供 されます。 これはデフォルト では無 効 になっています。 ニュースフィード
を有 効 にするには、 【 Astaroニュースフィードを無 効 にする( Disable Astaro News Feed) 】 チェッ
クボックスのチェックを外 します。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
F l a s hベースのレポーティング
Astaro Security Gatewayのレポーティングセクションのグラフは、デフォルト でAdobe® Flash®
アニメーションとして表 示 されます。 これらのレポーティンググラフを表 示 するには、お使 いのブラウザ
にFlash Playerプラグインをインスト ールする必 要 があります。 Flash Playerプラグインをインスト ー
ルしていない場 合 やFlashを使 用 したくない場 合 は、 【 Flashベースのレポーティングを有 効 にす
る( Enable Flash-based Reporting) 】 チェックボックスのチェックを外 してFlashベースのレポーテ
ィングを無 効 にしてください。 無 効 にすると、グラフは静 止 画 像 で表 示 されるようになります。 ただ
し、Flashベースのレポーティングを無 効 にすると、一 部 のレポーティング表 示 機 能 が失 われます。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
4.2.6詳 細
W e bAdm i nア イド ルタイムア ウト ( W e bAdm i n I dl e Ti m e ou t)
待 ち時 間 (Log Out After)： このフィールドでは、どれぐらいWebAdminセッションのアイドル期
間 が続 いたら管 理 者 に再 度 ログインを要 求 するかを秒 単 位 で指 定 できます。 デフォルト では、ア
イドルタイムアウト は300秒 に設 定 されています。 指 定 できる範 囲 は60～ 86,400秒 です。
ダッシュボード でログアウト (Log Out on Dashboard)：デフォルト で、WebAdminの 【ダッ
シュボード( Dashboard) 】 ページを開 くと、自 動 ログアウト機 能 は無 効 になっています。 ただし、こ
のオプションを選 択 して、自 動 ログアウト 機 能 をダッシュボードでも有 効 化 することができます。
W e bAdm i n TC P ポート ( W e bAdm i n TC P P or t)
デフォルト では、ポート 4444をWebAdminのTCPポート として使 用 します。 【 TCPポート ( TCP
Port) 】 ボックスには、443あるいは1024～ 65535の任 意 の値 を入 力 できます。 ただし、一 部 の
ポート は他 のサービス用 に予 約 されています。 特 に、ポート 10443は使 用 できません。また、ユー
ザポータルあるいはSSLリモート アクセスに使 用 しているものと同 じポート は使 用 できません。
56
ASG V8 管 理 ガイド
4マネジメント
4.3ライセンス
WebAdminにアクセスするときは、ブラウザのアドレスバーでポート 番 号 をIPアドレスに( コロンで区
切 って) 追 加 する必 要 があります。たとえば、https://192.168.のように指 定 します。
利 用 条 件 ( Te r m s of U s e )
会 社 ポリシで、WebAdminへのアクセスを求 めるユーザに利 用 条 件 への同 意 を求 めることができ
ます。 ユーザがWebAdminにログインするたびに利 用 条 件 に同 意 することを要 求 するには、 【ログ
イン後 に「利 用 条 件 」を表 示 ( Display "Terms of Use" After Login) 】 チェックボックスにチェック
を入 れます。 これにより、ユーザがログインすると利 用 条 件 が表 示 されるようになります。 利 用 条
件 に同 意 しないと、再 びログアウト されます。
必 要 に応 じて利 用 条 件 の文 面 を変 更 することができます。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
4.3ライセンス
Astaro Security Gatewayの特 定 の機 能 を使 用 できるか否 かは、ライセンスとサブスクリプション
によって定 義 されています。 つまり、ゲート ウェイとともに購 入 したライセンスとサブスクリプションに応
じて、使 用 できる機 能 とできない機 能 があります。
2009年 10月 、Astaroはオンデマンドライセンスという新 しいライセンスモデルを導 入 し、 従 来 のラ
イセンスから段 階 的 に移 行 を進 めています。 お客 様 が購 入 された従 来 のライセンスも引 き続 き
有 効 となります。
4.3.1ライセンスの取 得 方 法
Astaroライセンスの購 入 後 に、アクティベーションキーがEメールで送 信 されます。これらのキーを
使 用 して、ライセンスを作 成 するか、既 存 のライセンスをアップグレードしてください。ライセンスを有
効 にするには、MyAstaroポータルにログインし、ライセンス管 理 のページにアクセスしてください。
ページ上 部 にあるフォームの該 当 フィールドに、Eメールからアクティベーションキーをカット ＆ ペース
ト します。
ASG V8 管 理 ガイド
57
4.3ライセンス
4マネジメント
図 13 MyAstaroポータル
別 のフォームが表 示 されます。ここで、お客 様 がライセンスを購 入 した代 理 店 についての情 報 と、
お客 様 自 身 の詳 細 情 報 を入 力 してください。 このフォームには、わかる限 りの情 報 があらかじめ
入 力 されています。 また、該 当 する場 合 、AstaroはASG ハードウェアのシリアル番 号 をこのフォー
ムから収 集 します。 フォームの送 信 後 、ライセンスが作 成 され、ライセンス詳 細 ページが表 示 され
ます。ここで、ライセンスファイルをダウンロードすることができます。
ライセンスを実 際 に使 用 する場 合 、ライセンスファイルをハードドライブにダウンロードして、インスト ー
ルされているWebAdminにログインする必 要 があります。 WebAdminで、 【マネジメン
ト ( Management) 】 >>【ライセンス( Licensing) 】 >>【インストレーション( Installation) 】 タブに
アクセスし、アップロード機 能 を使 用 してハードドライブ上 のライセンステキスト ファイルを検 索 しま
す。ライセンスファイルをアップロードすると、WebAdminがこれを処 理 して、すべてのサブスクリプシ
ョンと、ライセンスに規 定 されたその他 の設 定 を有 効 化 します。
注 - Eメールで受 信 したアクティベーションキーをWebAdminにインポート することはできません。
このキーは、ライセンスの有 効 化 だけに使 用 されます。ASGにインポート できるのはライセンスファ
イルのみです。
4.3.2オンデマンドライセンス
Astaroのオンデマンドライセンスモデルは、従 来 のライセンスモデルと比 べてより簡 単 で柔 軟 性 が
あります。 まず、クラシックライセンスモデルの無 料 ホームユーザライセンスと似 ている基 本 ライセン
58
ASG V8 管 理 ガイド
4マネジメント
4.3ライセンス
スがあります。これは、基 本 機 能 を無 料 で提 供 するもので、すべてのホームユーザだけではなく、
ビジネスユーザにもご利 用 いただけます。 次 に、3種 類 の購 入 サブスクリプションがあります。
l
ネット セキュリティ
l
Webセキュリティ
l
メールセキュリティ
これらは、個 別 に購 入 することも組 み合 わせて購 入 することもできます。 それぞれのサブスクリプシ
ョンを使 用 して、製 品 の特 定 の機 能 を利 用 できます。 下 の表 は、どのサブスクリプションでどの機
能 を使 用 できるかを示 しています。
機能
基 本 ライ
センス
ネット
Web
メール
WAS
WS
管 理 ( バックアップ、通
知 、SNMP、ACCなど)
ローカル認 証 ( ユーザ、グ
ループ)
基 本 ネット ワーキング( ス
タティックルーティン
グ、DHCP、DNS、Auto
QoS、NTPなど)
ファイアウォー
ル/NAT( DNAT、SNAT
など)
PPTP & L2TPリモート アク
セス
ローカルログ、標 準 エグゼ
クティブレポート
侵 入 防 御 ( パター
ン、DoS、フラッド、ポート
スキャンなど)
IPsec & SSLサイト
間 VPN、IPsec & SSLリ
モート アクセス
ASG V8 管 理 ガイド
59
4.3ライセンス
機能
4マネジメント
基 本 ライ
センス
アドバンスト ネット ワーキン
グ( リンクアグリゲーション、
リンクバランシング、ポリシ
ルーティング、OSPF、マル
チキャスト 、カスタムQoS、
サーバ負 荷 分 散 、ジェネ
リックプロキシなど)
ネット
Web
メール
(
(
)
WAS
WS
)
ユーザポータル
冗長化
リモート 認
証 ( AD、eDir、RADIUS
など)
リモート ログ、詳 細 エグゼ
クティブレポート ( アーカイ
ブ、設 定 )
基 本 HTTP/S & FTPプロ
キシ
Web & FTPマルウェアフィ
ルタリング
基 本 SMTPプロキシ、隔
離 レポート 、メールマネー
ジャ
SMTP & POP3マルウェア
フィルタリング
Webアプリケーションセキ
ュリティ
ワイヤレスセキュリティ
サブスクリプションとその機 能 セット について詳 しくは、認 定 Astaroパート ナーまたはAstaroホーム
ページまでお問 い合 わせください。
Up2Date
各 サブスクリプションは、自 動 更 新 を完 全 にサポート します。 つまり、新 しいファームウェアの更 新
に関 する情 報 が自 動 的 に通 知 されます。 また、ファームウェアとパターン更 新 を自 動 的 にダウン
60
ASG V8 管 理 ガイド
4マネジメント
4.3ライセンス
ロード( およびインスト ール) できます。
サブスクリプションなしの基 本 ライセンスでは、自 動 更 新 に制 限 があります。オンラインヘルプの更
新 などのパターン更 新 に限 り、自 動 的 にダウンロードされ、インスト ールされますが、 使 用 可 能 な
ファームウェア更 新 については通 知 されず、ファームウェア更 新 は手 動 でダウンロードする必 要 があ
ります。 新 しいファームウェア更 新 については、Astaro Up2Dateブログで告 知 されます。
サポート とメンテナンス
基 本 ライセンスにはWeb サポート が含 まれます。Astaroサポート フォーラムとAstaroナレッジベース
をご利 用 いただけます。
サブスクリプションのうちいずれかを購 入 すると、お客 様 のサポート 内 容 は自 動 的 に標 準 サポート
にアップグレードされ、MyAstaroポータルでサポート ケースを開 くことや、認 定 Astaroパート ナーへ
の問 い合 わせが可 能 になります。
Astaroエンジニアが担 当 者 となる24時 間 年 中 無 休 のサポート を提 供 するプレミアムサポート サ
ブスクリプションを購 入 することもできます。
4.3.3クラシックライセンス
クラシックライセンスモデルは、上 述 のオンデマンドライセンスモデルに移 行 されます。 クラシックライ
センスはただちに無 効 になるわけではなく、段 階 的 に移 行 が進 められます。そのため、ここでは、互
換 性 を維 持 するために従 来 のライセンスについて説 明 します。
Astaro Security Gateway には、すべての機 能 が有 効 になる30日 間 のト ライアルライセンスが
付 属 しています。このライセンスの期 限 満 了 後 にAstaro Security Gatewayを操 作 したい場 合
には、有 効 なライセンスをインスト ールする必 要 があります。すべてのライセンス( 無 料 のホームユー
ザライセンスを含 む) はMyAstaroポータルで作 成 されます。
サブスクリプション
AstaroのWebフィルタリング機 能 ( オプションのAstaro Security Gateway用 サブスクリプションパ
ッケージで提 供 ) は、HTTP/S用 にコンテンツフィルタリング、アンチウイルス、スパイウェア保 護
を、FTP用 にアンチウイルス機 能 、ファイル拡 張 子 スキャニングを提 供 します。
Webフィリタリングサブスクリプションが使 用 可 能 ではない場 合 、WebAdminの次 のタブが無 効 に
なります。
l
【 Web セキュリティ( Web Security) 】 >>【 HTTP/S】 >>【アンチウイルス/マルウェ
ア( AntiVirus/Malware) 】
ASG V8 管 理 ガイド
61
4.3ライセンス
4マネジメント
l
【 Web セキュリティ( Web Security) 】 >>【 HTTP/S】 >>【 URLフィルタリング( URL
Filtering) 】
l
【 Web セキュリティ( Web Security) 】 >>【 HTTP/S】 >>【 URLフィルタリングカテゴリ( URL
Filtering Categories) 】
l
【 Web セキュリティ( Web Security) 】 >>【 HTTP/Sプロファイル( HTTP/S Profiles) 】 >>【
フィルタアクション( Filter Actions) 】
l
【 Web セキュリティ( Web Security) 】 >>【 FTP】 >>【アンチウイルス( AntiVirus) 】
Astaroのメールセキュリティ機 能 は、Astaro Security Gatewayソリューションの2つの異 なるサ
ブスクリプションであるメールフィルタリング( Mail Filtering) とメール暗 号 化 ( Mail Encryption) に
よって提 供 されています。 メールフィルタリングは、アンチスパム、アンチウイルス、フィッシング保 護 を
提 供 します。 一 方 、メール暗 号 化 は、OpenPGPおよびS/MIME暗 号 化 とSMTP Eメール用 のデ
ジタル署 名 を提 供 します。
メールフィリタリングサブスクリプションが使 用 可 能 ではない場 合 、WebAdminの次 のタブが無 効
になります。
l
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【アンチウイルス( AntiVirus) 】
l
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【アンチスパム( AntiSpam) 】
l
【メールセキュリティ( Mail Security) 】 >>【 POP3】 >>【アンチウイルス( AntiVirus) 】
l
【メールセキュリティ( Mail Security) 】 >>【 POP3】 >>【アンチスパム( AntiSpam) 】
l
【メールセキュリティ( Mail Security) 】 >>【暗 号 化 ( Encryption) 】 メニューのすべてのタブ
注 - 過 去 にメールフィルタリングまたはメール暗 号 化 のいずれかのサブスクリプションを購 入 した
ことがあるお客 様 は、サブスクリプションのマージによるメリット を活 用 できます。これにより、両 サブ
スクリプションの機 能 を使 用 できるようになります。
さらに、次 の機 能 が無 効 になります。
62
l
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【リレー( Relaying) 】 >>【コンテン
ツスキャン( Content Scan) 】
l
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【詳 細 ( Advanced) 】 >>【 BATV
シークレット ( BATV Secret) 】
l
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【詳 細 ( Advanced) 】 >>【最 大 メ
ッセージサイズ( Max Message Size) 】
l
【メールセキュリティ( Mail Security) 】 >>【 SMTPプロファイル( SMTP Profiles) 】
ASG V8 管 理 ガイド
4マネジメント
4.3ライセンス
現 在 のライセンスがサブスクリプション機 能 をカバーしないことを示 すために、タブの上 に警 告 メッ
セージが表 示 されます。
図 14 ライセンス( Licensing) ：サブスクリプション警 告 メッセージ
4.3.4概 要
【概 要 ( Overview) 】タブには、ライセンスに関 する詳 細 情 報 が表 示 され、次 のように複 数 のエリ
アに分 割 されています。
l
基 本 ライセンス(Base License)：所 有 者 、ID、有 効 期 限 などの基 本 的 なライセンスパ
ラメータが表 示 されます。
l
ネット ワークセキュリティ、メールセキュリティ、Webセキュリティ、Webアプリケーションセキュ
リティ、ワイヤレスセキュリティ(Network Security, Mail Security, Web
Security, Web Application Security, Wireless Security)：サブスクリプショ
ンに関 する情 報 ( 購 入 したものか否 か、有 効 化 されているか、有 効 期 限 、および提 供 する
機 能 の簡 単 な説 明 など) が表 示 されます。
l
サポート サービス(Support Services)：サポート レベルと有 効 期 限 が表 示 されます。
ASG V8 管 理 ガイド
63
4.3ライセンス
4マネジメント
図 15 ライセンス( Licensing) ：概 要 ( オンデマンドライセンス) ( Overview( OnDemand
Licensing) )
4.3.5インスト ール
【マネジメント ( Management) 】 >>【ライセンス( Licensing) 】 >>【インストール( Installation) 】
タブでは、新 しいライセンスのアップロードおよびインスト ールを実 行 できます。
64
ASG V8 管 理 ガイド
4マネジメント
4.3ライセンス
図 16 ライセンス( Licensing) ：ライセンスのインスト ール
ライセンスをインスト ールするには、次 の手 順 に従 ってください。
1. 【ファイルのアップロード (Upload File)】 ダイアログボックスを開 きます。
【ライセンスファイル( License File) 】 ボックスの横 にあるフォルダアイコンをクリックします。
【ファイルのアップロード ( Upload File) 】 ダイアログボックスが開 きます。
2. ライセンスファイルを選 択 します。
ライセンスファイルが保 存 されているディレクト リを参 照 します。
アップロードするライセンスファイルを選 択 します。
3. 【保 存 (Save)】 をクリックします。
ライセンスファイルがアップロードされます。
4. 【適 用 (Apply)】 をクリックします。
ライセンスがインスト ールされます。 新 しいライセンスは、すでにインスト ールされている他 のラ
イセンスを自 動 的 に置 き換 えます。
ライセンスのインスト ールには約 60秒 かかります。
4.3.6アクティブなIPアドレス
ユーザ( IPアドレス) が無 制 限 に許 可 されるライセンスをお持 ちでない場 合 は、お客 様 のライセンス
でカバーされるIPアドレスに関 する情 報 がこのタブに表 示 されます。 お客 様 のライセンスの範 囲 外
となるIPアドレスは、別 のリスト に記 載 されています。制 限 を超 えると、定 期 的 にEメール通 知 が送
信 されます。
注 - 7日 間 にわたって使 用 されなかったIPアドレスは、ライセンスカウンタから自 動 的 に削 除 され
ます。
ASG V8 管 理 ガイド
65
4.4Up2Date
4マネジメント
4.4Up2Date
【マネジメント ( Management) 】 >>【 Up2Date】 メニューを使 用 して、Astaro Security
Gatewayの更 新 サービスを設 定 できます。定 期 的 に更 新 パッケージをインスト ールすることで、
ゲート ウェイ を最 新 のバグフィックス、製 品 改 善 機 能 、およびウイルスパターンで保 つことができま
す。各 更 新 パッケージは、Astaroによってデジタル署 名 されています。署 名 がないものや偽 造 され
た更 新 は拒 否 されます。
2種 類 の更 新 を利 用 できます。
l
ファームウェアの更 新 ： ファームウェアの更 新 には、Astaro Security Gateway ソフト ウェア
のバグフィックスおよび拡 張 機 能 が含 まれています。
l
パターンの更 新 ： パターンの更 新 によって、アンチウイルス、アンチスパム、侵 入 防 止 の定
義 、およびオンラインヘルプが最 新 状 態 に保 たれます。
Up2Dateパッケージをダウンロードするために、ゲート ウェイ は更 新 サーバに対 するTCP 接 続 を
ポート 443で開 きます。このため、この接 続 は管 理 者 の調 整 なしで使 用 できます。ただし、途 中 に
別 のファイアウォールがある場 合 は、ポート 443 TCPを介 した更 新 サーバへの通 信 を明 示 的 に許
可 する必 要 があります。
4.4.1概 要
【マネジメント ( Management) 】 >>【 Up2Date】 >>【概 要 ( Overview) 】 タブには、お使 いのシ
ステムが最 新 のものであるかどうかを示 す概 要 が表 示 されます。ここで、新 しいファームウェアやパ
ターンの更 新 パッケージをインスト ールできます。
66
ASG V8 管 理 ガイド
4マネジメント
4.4Up2Date
図 17 Up2Date：【概 要 ( Overview) 】ページ
U p2 D a te進 行 状 況 ( U p2 D a te P r ogr e s s )
このセクションはインスト ールプロセスを開 始 した場 合 のみ表 示 されます。 【 Up2Dateの進 行 状 況
を新 しいウィンドウで確 認 する( Watch Up2Date Progress in New Window) 】 ボタンをクリック
して、更 新 の進 行 状 況 をモニタしてください。 ブラウザでポップアップウインドウの表 示 を禁 止 してい
ない限 り、更 新 の進 行 状 況 を示 す新 しいウインドウが表 示 されます。 表 示 されない場 合 は、ポッ
プアップウインドウを明 示 的 に許 可 する必 要 があります。
注 - インスト ールプロセスが開 始 する前 に、標 準 バックアップEメール受 信 者 にバックアップが送
信 されます。
ASG V8 管 理 ガイド
67
4.4Up2Date
4マネジメント
図 18 Up2Date：進 捗 ウィンドウ
ファームウェア( F i r m w a r e )
【ファームウェア( Firmware) 】 セクションには、現 在 インスト ールされているファームウェアのバージョ
ンが表 示 されます。 更 新 パッケージが利 用 できる場 合 は、 【すぐに最 新 バージョンに更
新 ( Update to Latest Version Now) 】 ボタンが表 示 されます。 また、 【利 用 可 能 なファームウェ
アの概 要 ( Available Firmware Up2Dates) 】 セクションにメッセージが表 示 されます。ここで最
新 の更 新 パッケージを直 接 ダウンロードしてインスト ールできます。 【すぐに最 新 バージョンに更
新 ( Update to Latest Version Now) 】 をクリックすると、新 しいウインドウに更 新 の進 行 状 況 が
表 示 されます。 これには、Webadminの【リロード ( Reload) 】 ボタンをクリックします。
利 用 可 能 なフ ァーム ウェア の概 要 ( Av a i l a bl e F i r m w a r e
U p2 D a te s )
【設 定 ( Configuration) 】 タブで 【手 動 ( Manual) 】 を選 択 すると、このセクションに【すぐ
にUp2Dateパッケージを確 認 ( Check for Up2Date Packages Now) 】 ボタンが表 示 されます。
このボタンを使 用 して、ファームウェアのUp2Dateパッケージを手 動 でダウンロードできます。
Up2Dateが複 数 利 用 できる場 合 は、どれをインスト ールするかを選 択 できます。 最 新 のバージョ
ンを直 接 インスト ールする場 合 は、 【ファームウェア( Firmware) 】 セクションで 【すぐに最 新 バージョ
ンに更 新 ( Update to Latest Version Now) 】 ボタンを使 用 できます。
各 Up2Dateには【スケジュール( Schedule) 】 ボタンがあり、更 新 パッケージを自 動 的 にインスト ー
68
ASG V8 管 理 ガイド
4マネジメント
4.4Up2Date
ルする日 時 を指 定 できます。 スケジュールしたインスト ールを取 り消 す場 合 は、 【キャンセ
ル( Cancel) 】 をクリックします。
「暗 黙 的 」インスト ールに関 する注 記 ：スケジュールしたUp2Dateパッケージが、古 いUp2Dateパ
ッケージを最 初 にインスト ールすることを必 要 とする場 合 があります。 その場 合 、この古
いUp2Dateパッケージは、実 際 のUp2Dateパッケージの前 にインスト ールするよう自 動 的 にスケ
ジュールされます。 このパッケージに特 定 のタイミングを指 定 することもできますが、そのインスト ー
ルを止 めることはできません。
図 19 Up2Date：Up2Dateパッケージの暗 黙 的 インスト ール
パターン( P a tte r n )
【パターン( Pattern) 】 セクションには、インスト ールしたパターンの現 在 のバージョンが表 示 されま
す。 【設 定 ( Configuration) 】 タブで 【手 動 ( Manual) 】 を選 択 すると、 【すぐにパターンを更
新 ( Update Patterns Now) 】 ボタンが表 示 されます。このボタンを使 用 して、使 用 可 能 な新 しい
パターンをダウンロードしてインスト ールします。
注 - ユニット を正 常 に動 作 させるためには、現 在 のパターンバージョンと利 用 可 能 な最 新 のパ
ターンバージョンが一 致 している必 要 はASG ありません。 お使 いのユニット に新 しいパターンを
適 用 できない場 合 は、現 在 のパターンバージョンと利 用 できる最 新 パターンバージョンが異 なっ
てきます。 どのパターンをダウンロードするかは、お客 様 の設 定 とハードウェアの構 成 によります。
たとえば、Astaro Security Gatewayの侵 入 防 止 機 能 を使 用 しない場 合 は、新 しく利 用 可
能 になったIPS パターンはインスト ールされません。このようにして、現 在 インスト ールされているパ
ターンバージョンと利 用 できる最 新 のパターンバージョンの開 きが大 きくなっていきます。
4.4.2設 定
デフォルト では、新 しい更 新 パッケージは自 動 的 にゲート ウェイにダウンロードされます。
ファームウェアのダウンロード 間 隔 ( F i r m w a r e D ow n l oa d I n te r v a l )
このオプションは、デフォルト で15分 に設 定 されています。つまり、Astaro Security Gateway
は、15分 毎 に利 用 できるファームウェアの更 新 を確 認 します。Astaro Security Gateway は、
利 用 できるファームウェア更 新 パッケージを自 動 的 にダウンロードします( インスト ールは行 いませ
ASG V8 管 理 ガイド
69
4.4Up2Date
4マネジメント
ん) 。 これが行 われる実 際 の時 間 は、選 択 された間 隔 の制 限 内 でランダムに決 定 されます。 最
長 で 【マンスリー( Monthly) 】 の間 隔 を指 定 できます。または、ドロップダウンリスト から【手
動 ( Manual) 】 を選 択 することで、ファームウェアの自 動 ダウンロードを無 効 にできます。 【手
動 ( Manual) 】 を選 択 した場 合 は、 【すぐにUp2Dateパッケージを確 認 ( Check for Up2Date
Packages Now) 】 ボタンが【概 要 ( Overview) 】 タブに表 示 されます。
パターンのダウンロード / インスト ール間 隔 ( P a tte r n
D ow n l oa d/I n s ta l l a ti on I n te r v a l )
このオプションは、デフォルト で15分 に設 定 されています。つまり、Astaro Security Gateway
は、15分 毎 に利 用 できるパターンの更 新 を確 認 します。Astaro Security Gateway は、利 用
できるパターン更 新 パッケージを自 動 的 にダウンロードしてインスト ールします。 これが行 われる実
際 の時 間 は、選 択 された間 隔 の制 限 内 でランダムに決 定 されます。 最 長 で 【マンス
リー( Monthly) 】 の間 隔 を指 定 できます。または、ドロップダウンリスト から【手 動 ( Manual) 】 を選
択 することで、パターンの自 動 ダウンロードとインスト ールを無 効 にできます。 【手 動 ( Manual) 】 を
選 択 した場 合 は、 【すぐにパターンを更 新 ( Update Patterns Now) 】 ボタンが【概
要 ( Overview) 】 タブに表 示 されます。
4.4.3詳 細
【マネジメント ( Management) 】 >>【 Up2Date】 >>【詳 細 ( Advanced) 】 タブで、詳 細
なUp2Dateオプションを設 定 できます。たとえば、ゲート ウェイ用 に親 プロキシまたはUp2Dateキャ
ッシュを選 択 することなどができます。
注 - 更 新 パッケージはAstaroのFTP サーバからダウンロードできます。
手 動 Up2Dateパッケージアップロード (Manual Up2Date Package Upload)： お使 いの
ゲート ウェイ が新 規 更 新 パッケージを直 接 ダウンロードするためにインターネット またはUp2Dateキ
ャッシュに直 接 アクセスできない場 合 は、更 新 パッケージを手 動 でアップロードできます。 手 動 で
アップロードするには、以 下 の手 順 に従 います。
1. 【ファイルのアップロード (Upload File)】 ダイアログボックスを開 きます。
【 Up2Dateファイル( Up2Date File) 】 ボックスの横 にあるフォルダアイコンをクリックします。
【ファイルのアップロード ( Upload File) 】 ダイアログボックスが開 きます。
2. 更 新 パッケージを選 択 します。
【ファイルのアップロード ( Upload File) 】 ダイアログボックスの【参 照 ( Browse) 】 をクリックし
て、アップロードする更 新 パッケージを選 択 します。
70
ASG V8 管 理 ガイド
4マネジメント
4.5バックアップ/リスト ア
3. 【アップロード 開 始 (Start Upload)】 をクリックします。
更 新 パッケージがゲート ウェイにアップロードされます。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
親 プロ キシ ( P a r e n t P r ox y )
親 プロキシは、多 くの場 合 、政 府 承 認 のプロキシサーバを通 してインターネット アクセスをルーティ
ングする必 要 のある国 で必 要 とされます。 親 プロキシの使 用 がセキュリティポリシで求 められてい
る場 合 、ここでホスト 定 義 とポート を選 択 して親 プロキシを設 定 できます。
親 プロキシを使 用 (Use a Parent Proxy)： このチェックボックスにチェックを入 れて、親 プロキ
シの使 用 を有 効 にします。 プロキシのホスト 名 とポート を入 力 します。
このプロキシは認 証 が必 要 (This Proxy Requires Authentication)： 親 プロキシが認
証 を必 要 とする場 合 は、ここでユーザ名 とパスワードを入 力 します。
親 プロキシが設 定 されている場 合 は、Astaro Security Gateway はファームウェアとパターン
のUp2Dateの両 方 を親 プロキシからフェッチします。
4.5バックアップ/リスト ア
バックアップ/リスト ア機 能 を使 用 すると、ゲート ウェイの設 定 をローカルディスク上 のファイルに保 存
することができます。 このバックアップファイルを使 用 すると、新 しいシステムや設 定 が誤 っているシ
ステムに、適 切 であるとわかっている設 定 をインスト ールすることができます。
システムに変 更 を加 えるたびに忘 れずにバックアップをとってください。 これにより、常 に最 新 の設 定
を使 用 できるようになります。さらに、バックアップは安 全 な場 所 に保 存 してください。この理 由 は、
証 明 書 や暗 号 化 鍵 といったセキュリティ関 連 のデータも含 まれているためです。バックアップの生
成 後 、読 み取 り可 能 であることを必 ずチェックしてください。 外 部 プログラムを使 用 してMD5チェック
サムを生 成 すると良 いでしょう。これにより、バックアップの完 全 性 を後 でチェックすることができま
す。
4.5.1バックアップ/リスト ア
【マネジメント ( Management) 】 >>【バックアップ/リストア( Backup/Restore) 】 >>【バックアッ
プ/リストア( Backup/Restore) 】 >ページでは、バックアップの作 成 やインポート に加 え、既 存 のバ
ックアップのリスト ア、ダウンロード、送 信 、削 除 ができます。
ASG V8 管 理 ガイド
71
4.5バックアップ/リスト ア
4マネジメント
>使 用 可 能 な バック アップ( Av a i l a bl e B a c k u ps )
このセクションは、バックアップを1つ以 上 作 成 していないと表 示 されません。
すべてのバックアップが、作 成 日 時 、ASGバージョン番 号 、作 成 ユーザ、コメント 付 きでリスト され
ます。
バックアップに対 して、 リストア、 ダウンロード 、 送 信 、 削 除 を実 行 できます。 バックアップのダウン
ロードを選 択 すると、ダウンロードしたバックアップを保 存 するためのファイルシステムの場 所 を選 択
するプロンプト が表 示 されます。
【送 信 ( Send) 】 をクリックすると、小 さいダイアログウィンドウが開 き、ファイルを暗 号 化 して( パス
ワードとともに) 送 信 するか、暗 号 化 せずに送 信 するかを決 めることができます。 【保 存 ( Save) 】 を
クリックしてバックアップを送 信 します。受 信 者 は標 準 受 信 者 となります。つまり、 【自 動 バックアッ
プ( Automatic Backups) 】 タブに指 定 したアドレスに、バックアップが送 信 されます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
バックアップのダウンロードまたは送 信 の前 に、バックアップを暗 号 化 するオプションがあります。暗 号
化 は、CBCモードではBlowfish暗 号 にって実 現 します。 パスワードを入 力 します( 確 認 のために2
回 入 力 します) 。バックアップのインポート 時 に、このパスワードが求 められます。暗 号 化 されたバッ
クアップのファイル拡 張 子 はebf、暗 号 化 されていないバックアップのファイル拡 張 子 はabfです) 。
注 - バックアップには、管 理 者 パスワード、HAパスフレーズ( 設 定 している場 合 ) 、すべてのRSA
鍵 およびX.509証 明 書 が含 まれます。これは機 密 情 報 なので、暗 号 化 を有 効 にするのが賢
明 です。
USBスティックなどのFATフォーマット されたUSBフラッシュドライブから、暗 号 化 されていないバックア
ップファイル( ファイル拡 張 子 abf) をリスト アすることもできます。 USBフラッシュドライブからバックアッ
プをリスト アするには、バックアップファイルをUSBフラッシュドライブにコピーして、ブート ( 起 動 ) 前 に
デバイスをAstaro Security Gatewayにプラグインします。 デバイスに複 数 のバックアップファイルが
保 存 されている場 合 、辞 書 的 に最 初 のファイルが使 用 されます( 数 字 は文 字 より優 先 します) 。
たとえば、バックアップファイルであるgateway_backup_2007-04-17.abfと2006-03-20_
gateway_backup.abfの両 ファイルがUSBフラッシュドライブに保 存 されているとします。 ブート 時
72
ASG V8 管 理 ガイド
4マネジメント
4.5バックアップ/リスト ア
に使 用 されるのは2つ目 のファイルです。このファイルはもう一 方 より日 時 が古 いのですが、 ファイル
名 の先 頭 が数 字 であるためです。
さらに、バックアップのリカバリが成 功 するとロックファイルが作 成 され、USBフラッシュドライブがまだプ
ラグインされている間 に同 じバックアップが何 度 も繰 り返 しインスト ールされることを防 ぎます。 前 の
バックアップを再 びインスト ールしたい場 合 には、USBフラッシュドライブをプラグインしていない状 態
でリブート ( 再 起 動 ) する必 要 があります。 これにより、すべてのロックファイルが削 除 されます。 再
びUSBフラッシュドライブをプラグインしてからブート すると、同 じバックアップをインスト ールすることが
できます。
バック アップの作 成
バックアップは、( 予 期 しない) 変 更 または故 障 の後 でシステムをリスト アするために便 利 なだけで
はありません。 類 似 の設 定 にするシステムをセット アップする際 のテンプレート として使 用 し、これら
のシステムをあらかじめある程 度 設 定 しておくことで、時 間 を大 幅 に節 約 できます。 そのために
は、バックアップを作 成 する前 に、ホスト 名 、証 明 書 など特 定 の情 報 を削 除 しておくことができま
す。
現 在 のシステム状 態 のバックアップを作 成 するには、次 の手 順 に従 います。
1. 【バックアップの作 成 (Create Backup)】 セクションに、コメント を入 力 します( オプショ
ン) 。
コメント は、バックアップリスト でバックアップとともに表 示 されます。
2. 次 の設 定 を行 います( オプション) 。
ホスト 固 有 のデータの削 除 (Remove host-specific data)： ホスト 固 有 のデータなし
でバックアップを作 成 するには、このオプションを選 択 します。 この対 象 となるのは、ホスト
名 、SNMPデータ、HAデータ、ログ管 理 データ、匿 名 パスワード、ならびにメールセキュリテ
ィ、Webセキュリティ、クライアント 認 証 、IPsec、SSL VPN、RED、WebAdmin、Webアプ
リケーションファイアウォール、およびプロキシ用 のすべての証 明 書 、公 開 鍵 と秘 密 鍵 、およ
び指 紋 とシークレット などです。
このようなバックアップは、類 似 のシステムを複 数 セット アップするために便 利 です。 ただし、
いくつか考 慮 すべき点 があります。1) リスト ア後 、基 本 システムセット アップが表 示 されま
す。 2) 最 初 のインタフェースのみが設 定 されています。プライマリIPアドレスは、インスト ール
中 に構 成 される設 定 の1つです。
警 告 - ほとんどのホスト 固 有 データが削 除 されても、このようなバックアップテンプレート に
はユーザパスワードなどの機 密 情 報 がまだ含 まれています。 そのため、暗 号 化 することを
お勧 めします。
ASG V8 管 理 ガイド
73
4.5バックアップ/リスト ア
4マネジメント
管 理 メールメッセージの削 除 (Remove administrative mail addresses)：ASG
の様 々 な部 分 ( メールセキュリティのポスト マスタアドレス、通 知 など) で使 用 される管 理 者
のEメールアドレスを追 加 で削 除 するには、このオプションを選 択 します。 このオプションは、
顧 客 のサイト でAstaro Security Gatewayデバイスをセット アップするITパート ナーにとって
特 に便 利 です。
3. 【バックアップを今 すぐ作 成 (Create Backup Now)】 をクリックします。
使 用 可 能 なバックアップのリスト に、バックアップが表 示 されます。
バック アップのイン ポート ( I m por t B a c k u p)
バックアップをインポート するには、フォルダアイコンをクリックし、アップロードするバックアップファイルを
選 択 してから、 【保 存 ( Save】 をクリックしてください。 暗 号 化 されたバックアップファイルをインポート
する場 合 、バックアップのインポート 前 に、正 しいパスフレーズを入 力 する必 要 があります。 バックア
ップはすぐにリスト アされるのではなく、【使 用 可 能 なバックアップ( Available Backups) 】 リストに追
加 されます。
4.5.2自 動 バックアップ
【マネジメント ( Management) 】 >>【バックアップ/リストア( Backup/Restore) 】 >>【自 動 バック
アップ( Automatic Backup) 】 タブでは、バックアップの自 動 生 成 に関 する複 数 のオプションを設
定 することができます。 バックアップを自 動 的 に作 成 するためには、次 の手 順 に従 います。
1. 【自 動 バックアップ(Automatic Backups)】 タブで自 動 バックアップを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【オプション( Options) 】 および【バックアップをEメール送
信 ( Send Backups by E-mail) 】 エリアが編 集 可 能 になります。
2. 間 隔 を選 択 します。
自 動 バックアップは、さまざまな間 隔 で作 成 することができます。
デイリー、ウィークリー、マンスリーから選 択 できます。
3. 保 存 する最 大 バックアップ数 を指 定 します。
ここで指 定 した数 まで、バックアップが保 存 されます。 最 大 値 に到 達 すると、一 番 古 いバッ
クアップが削 除 されます。
この対 象 となるのは、自 動 作 成 されたバックアップのみです。システム更 新 の前 に手 動 で作
成 されたバックアップや自 動 的 に作 成 されたバックアップは削 除 されません。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
74
ASG V8 管 理 ガイド
4マネジメント
4.6ユーザポータル
ゲート ウェイのバックアップ作 業 を簡 素 化 するために、バックアップ機 能 では、定 義 したEメールアド
レスのリスト に対 して、バックアップファイルをEメールで送 信 することができます。
受 信 者 (Recipients)： 自 動 的 に生 成 されたバックアップは、 【受 信 者 ( Recipients) 】 ボックス
に含 まれるユーザに送 信 されます。 複 数 のアドレスを追 加 できます。 デフォルト では、最 初 の管
理 者 のEメールアドレスが使 用 されます。
Eメールバックアップの暗 号 化 (Encrypt E-Mail Backups)：さらに、オプションでバックアップを
暗 号 化 できます( 3DES暗 号 化 ) 。
パスワード (Password)： 【暗 号 化 ( Encryption) 】 このオプションを選 択 したら、パスワードを入
力 します( 確 認 のために2回 ) 。バックアップのインポート 時 に、このパスワードが求 められます。
自 動 的 に作 成 されたバックアップは、 作 成 者 を示 す【システム(System)】フラグ付 きで 【バックアッ
プ/リストア( Backup/Restore) 】 タブの【使 用 可 能 なバックアップ( Available Backups) 】 リスト に
表 示 されます。ここで、自 分 で作 成 したバックアップと同 様 に、リスト ア、ダウンロード、削 除 を実 行
できます。
4.6ユーザポータル
Astaro Security Gatewayのユーザポータルは、許 可 されたユーザにパーソナルなEメールおよび
リモート アクセスサービスを提 供 するユニット の特 別 なブラウザベースアプリケーションです。 ユーザ
ポータルにアクセスするには、Astaro Security GatewayのURL( https://192.168.2.100な
ど) をブラウズします( HTTPSプロト コルを使 用 していることと、WebAdminインタフェースにアクセス
するために通 常 入 力 するポート 番 号 4444がないことに注 意 ) 。
ユーザポータルは、Eメール隔 離 を始 めとする機 能 を備 えています。Eメール隔 離 は、悪 意 あるソ
フト ウェアに感 染 したメッセージ、不 審 な添 付 物 を含 むメッセージ、スパムと特 定 されたメッセージ、
または明 確 に禁 止 した表 現 を含 むメッセージを保 持 します。
ASG V8 管 理 ガイド
75
4.6ユーザポータル
4マネジメント
図 20 ユーザポータル：「ようこそ」のページ
ユーザポータルで、ユーザは以 下 のサービスにアクセスできます。
76
l
SMTP隔 離 (SMTP Quarantine)：ユーザは隔 離 場 所 に保 持 されているメッセージを
表 示 したりリリースできます。 どのタイプのメッセージをユーザがリリースできるかは【メールセ
キュリティ( Mail Security) 】 >>【隔 離 レポート ( Quarantine Report) 】 >>【詳
細 ( Advanced) 】 タブで決 定 できます。 ( このタブは、POP3が無 効 な場 合 は【メール隔
離 ( Mail Quarantine) 】 となります。)
l
SMTPログ(SMTP Log)：ここでは、ユーザはメールト ラフィックのSMTPログを表 示 できま
す。 ( このタブは、POP3が無 効 な場 合 は【メールログ( Mail Log) 】 となります。)
l
POP3隔 離 (POP3 Quarantine)： ユーザは隔 離 場 所 に保 持 されているメッセージを
表 示 したりリリースできます。 どのタイプのメッセージをユーザがリリースできるかは【メールセ
キュリティ( Mail Security) 】 >>【隔 離 レポート ( Quarantine Report) 】 >>【詳
細 ( Advanced) 】 タブで決 定 できます。 ( このタブは、SMTPが無 効 な場 合 は【メール隔
離 ( Mail Quarantine) 】 となります。)
l
POP3アカウント (POP3 Accounts)：ユーザは使 用 するPOP3アカウント の資 格 情 報 を
入 力 できます。 POP3アカウント の資 格 情 報 が与 えられたスパムメールのみがユーザポータ
ルに表 示 されます。POP3アカウント の資 格 情 報 が保 存 されているユーザは、各 Eメールアド
レスについて個 々 の隔 離 レポート を受 け取 ります。許 可 されるPOP3サーバは【メールセキュ
リティ( Mail Security) 】 >>【 POP3】 >>【詳 細 ( Advanced) 】 タブで指 定 する必 要 があり
ます。
l
送 信 者 ホワイト リスト (Sender Whitelist)：ここで送 信 者 をホワイト リスト に追 加 するこ
とで、それらの送 信 者 から送 信 されたメッセージがスパムとして分 類 されないようにできます。
ホワイト リスト 内 の送 信 者 は、有 効 なEメールアドレス( 例 ：[email protected]) またはア
ASG V8 管 理 ガイド
4マネジメント
4.6ユーザポータル
スタリスクをワイルドカードとして使 用 して特 定 ドメインの全 Eメールアドレス(
例 ：*@example.com) を指 定 できます。
l
送 信 者 ブラックリスト (Sender Blacklist)：ここでEメール送 信 者 をブラックリスト に追 加
する( 例 ：[email protected]) か、ドメイン全 体 をブラックリスト に追 加 する(
例 ：*@hotmail.com) ことができます。 ブラックリスト は、システム内 でSMTPとPOP3が使 用
されていれば、SMTPとPOP3の両 方 のEメールに適 用 されます。 新 しいエント リを指 定 する
には、「+」アイコンをクリックしてアドレスを入 力 し、チェックアイコンをクリックして保 存 します。
l
リモート アクセス(Remote Access)：ユーザはリモート アクセスクライアント ソフト ウェアおよ
びそれらに付 属 する設 定 ファイルをダウンロードできます。 ただし、 【リモートアクセ
ス( Remote Access) 】 タブは、その特 定 ユーザに対 して最 低 １つのリモート アクセスモード
が有 効 になっている場 合 のみ利 用 できます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないよう
にするには、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に
追 加 します。これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さら
に、Internet Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウ
ンロード時 に自 動 的 にダイアログを表 示 】 を選 択 します。
l
パスワード の変 更 (Change Password)：ユーザはユーザポータルにアクセルするための
パスワードを変 更 できます。
l
Webフィルタ(Web Filter)：ユーザはWebフィルタCA証 明 書 をインポート し、セキュ
アWebサイト への訪 問 時 に表 示 されるエラーメッセージを回 避 することができます。 【プロキ
シ CA証 明 書 をインポート ( Import Proxy CA certificate) 】 をクリックすると、ユーザのブラ
ウザに、他 の目 的 に対 してCAを信 頼 するか確 認 するプロンプト が表 示 されます。 詳 しく
は、 「 Web セキュリティ」 >>「 Web フィルタ」 >>「 HTTPS CA」 の章 を参 照 してください。
l
ログアウト (Log Out)：ユーザポータルからログアウト するには、ここをクリックします。 これ
は、ログイン時 に【ログインを記 憶 ( Remember My Login) 】 を選 択 した場 合 に( これにより
クッキーが作 成 されます) 、明 示 的 にログアウト してこのクッキーを削 除 したいときのみ必 要 で
す。 そうでない場 合 は、このログアウト ボタンを使 用 する必 要 はありません。ブラウザのタブ
またはウインドウを閉 じるだけで十 分 です。
4.6.1グローバル
【マネジメント ( Management) 】 >>【ユーザポータル( User Portal) 】 >>【グローバル( Global) 】
タブで、ユーザポータルを有 効 化 できます。 さらに、ユーザポータルへのアクセスを許 可 するネット
ワークとユーザを指 定 できます。
ASG V8 管 理 ガイド
77
4.6ユーザポータル
4マネジメント
図 21 ユーザポータル：ユーザポータルへのアクセスの設 定
ユーザポータルへのアクセスを有 効 にするには、以 下 の手 順 に従 います。
1. ユーザポータルを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり【ユーザポータルオプション( User Portal
Options) 】 エリアが編 集 可 能 になります。
2. 許 可 するネット ワークを選 択 します。
ユーザポータルへのアクセスを許 可 するネット ワークを選 択 します。
3. 許 可 するユーザを選 択 します。
ユーザポータルへのアクセスを許 可 するユーザまたはユーザグループを選 択 します。
すべてのユーザにアクセスを許 可 しない場 合 は、 【特 定 のユーザのみ許 可 ( Allow Only
Specific Users) 】 をクリックし、ユーザとユーザグループを個 々 に選 択 します。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
78
ASG V8 管 理 ガイド
4マネジメント
4.6ユーザポータル
4.6.2詳 細
【詳 細 ( Advanced) 】 タブで、ユーザポータルの代 替 ホスト 名 とポート 番 号 に加 え、言 語 とセキュ
リティオプションを設 定 できます。
言 語 ( L a n gu a ge )
ログイン時 に、ユーザポータルはWebブラウザの言 語 設 定 をフェッチし、それぞれのロケールをロード
して、ブラウザのデフォルト と同 じ言 語 でポータルを表 示 します。 ブラウザの言 語 設 定 がユーザ
ポータルで利 用 できない場 合 は、フォールバック( 予 備 ) の言 語 をここで選 択 できます。
【 セキ ュリティ ( S e c u r i ty ) 】
ユーザポータルはCookieを使 用 してセッションを追 跡 します。 永 続 的 ( 固 定 ) Cookieにより、セッ
ションを閉 じた後 で再 度 ログインしないで戻 ることが可 能 になります。 これらはいつでもユーザ側 で
削 除 できますが、ユーザポータルの【ログアウト ( Log Out) 】 ボタンを使 用 することが必 要 です。
ポータ ルアイ テムの無 効 化 ( D i s a bl e P or ta l I te m s )
ここにリスト されているそれぞれの機 能 をWebAdminで有 効 にすると、ユーザポータルにメニュー項
目 が表 示 されます。 ただし、ここでは、ユーザポータルで表 示 しないメニュー項 目 を定 義 できま
す。 これを定 義 するには、それぞれのオプションを選 択 して【適 用 ( Apply) 】 をクリックします。
ネット ワーク 設 定 ( Ne tw or k S e tti n gs )
ホスト 名 (Hostname)： デフォルト では、これはゲート ウェイのホスト 名 です( 【マネジメン
ト ( Management) 】 >>【システム設 定 ( System Settings) 】 >>【ホスト名 ( Hostname) 】 タブ
で指 定 ) 。 ただし、インターネット を介 してアクセスするユーザにユーザポータルへのアクセスを付 与
する場 合 は、パブリックに解 決 できる代 替 ホスト 名 をここに入 力 する必 要 があります。
リスンアド レス(Listen Address)： デフォルト は【すべて( Any) 】 です。 Webアプリケーションファ
イアウォールを使 用 する場 合 、サービスがユーザポータル接 続 をリスンするためのインタフェースアド
レスを指 定 する必 要 があります。 ユーザポータル接 続 ハンドラとWebアプリケーションファイアウォー
ルが受 信 SSL接 続 を識 別 できるようにするために、この設 定 が必 要 です。
ポート (Port)： デフォルト では、HTTPSのポート 443が選 択 されています。 ポート は、80、また
は1024～ 65535の任 意 の値 に変 更 できます。10443またはWebAdmin TCPポート は選 択 でき
ません。これは【マネジメント ( Management) 】 >>【 WebAdmin設 定 ( WebAdmin
Settings) 】 >>【一 般 ( General)】 タブで設 定 されています。
ASG V8 管 理 ガイド
79
4.7通 知
4マネジメント
ようこ そメ ッセ ージ ( W e l c om e Me s s a ge )
ユーザポータルのようこそメッセージをカスタマイズできます。 シンプルなHTMLマークアップとハイ
パーリンクを使 用 できます。
注 – 家 庭 用 ライセンスを使 用 している場 合 は、ようこそメッセージを変 更 できません。
4.7通知
Astaro Security Gateway には、ゲート ウェイで発 生 するあらゆる種 類 のセキュリティ関 連 イベン
ト について、EメールまたはSNMPト ラップで即 時 通 知 する機 能 が搭 載 されています。管 理 者 が知
るべきすべてのイベント が、各 種 エラー、警 告 、情 報 コードによって示 されます。 どのような通 知 が
送 信 されるのかは、 【通 知 ( Notifications) 】 タブで設 定 した選 択 内 容 に応 じて決 まります。
4.7.1グローバル
【マネジメント ( Management) 】 >>【通 知 ( Notifications) 】 >>【グローバル( Global) 】 タブで
は、ゲート ウェイが送 信 する通 知 Eメールに利 用 される送 信 者 アドレス( つまり送 信 元 ( From) アド
レス) を設 定 できます。 デフォルト では[email protected]となっています。 このアド
レスを変 更 する場 合 、お客 様 のドメインのEメールアドレスを入 力 することをお勧 めします。この理
由 は、一 部 のメールサーバでは、指 定 された送 信 者 アドレスが本 当 に存 在 することを確 認 するよ
うに設 定 されているためです。
さらに、ゲート ウェイ通 知 の受 信 者 を指 定 することができます。 デフォルト では、初 期 セット アップ
時 に入 力 された管 理 者 のEメールアドレスです。
通 知 を制 限 (Limit Notifications)： 一 部 のセキュリティ関 連 イベント ( 検 出 された侵 入 試
行 など) では、大 量 の通 知 が発 生 し、通 知 受 信 者 の受 信 ト レイが短 時 間 でいっぱいになる可 能
性 があります。 このため、Astaro Security Gatewayには、1時 間 あたりに送 信 される通 知 数 を
制 限 するための妥 当 なデフォルト 値 が用 意 されています。 このオプションを無 効 にすると、 【マネジ
メント ( Management) 】 >>【通 知 ( Notifications) 】 >>【通 知 ( Notifications) 】 タブで通 知 を
送 信 するように設 定 されているすべてのセキュリティ関 連 のイベント から通 知 が発 生 します。
デバイ ス固 有 のテキ スト ( D e v i c e S pe c i f i c Te x t)
ここでは、Astaro Security Gatewayの説 明 ( 場 所 など) を入 力 できます。この情 報 は、送 信 さ
れる通 知 に示 されます。
80
ASG V8 管 理 ガイド
4マネジメント
4.7通 知
4.7.2通 知
通 知 は次 の3つのカテゴリに分 類 されます。
l
CRIT：ゲート ウェイが操 作 不 能 になる可 能 性 がある重 大 なイベント を通 知 するメッセー
ジ。
l
WARN： しきい値 の超 過 など、ユーザの注 意 を必 要 とする潜 在 的 な問 題 についての警
告。
l
INFO： システムコンポーネント の再 起 動 など、情 報 提 供 目 的 のみのメッセージ。
通 知 をEメールとSNMPト ラップのいずれで送 信 するかを選 択 できます。
4.7.3詳 細
ASGでEメールを直 接 送 信 できない場 合 、Eメールを送 信 するスマート ホスト を設 定 することがで
きます。 次 の手 順 で実 行 します。
1. 【マネジメント (Management)】 >>【通 知 (Notifications)】 >>【詳
細 (Advanced)】 タブで 【外 部 SMTP(External SMTP)】 を有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
2. スマート ホスト を入 力 します。
ドラッグ＆ ドロップを使 用 できます。 ポート は、デフォルト のSMTPポート である25に事 前 設
定 されています。
l
TLSを使 用 (Use TLS)： 通 知 の送 信 でTLSを強 制 するには、このチェックボックス
にチェックを入 れます。 スマート ホスト でTLSがサポート されない場 合 、通 知 は送 信 さ
れません。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
スマート ホスト で認 証 が必 要 な場 合 、下 の【認 証 ( Authentication) 】 エリアでスマート ホスト 用
の対 応 するユーザ名 とパスワードを入 力 してください。設 定 を保 存 するには【適 用 ( Apply) 】 をクリ
ックします。
ASG V8 管 理 ガイド
81
4.8カスタマイズ
4マネジメント
4.8カスタマイズ
【マネジメント ( Management) 】 >>【カスタマイズ( Customization) 】 メニューのタブを使 用 する
と、Astaro Security Gatewayが生 成 するステータスメッセージとEメール通 知 のテンプレート をカ
スタマイズおよびローカライズして、会 社 のポリシやコーポレート アイデンティティに合 わせてこれらのメ
ッセージを調 整 することができます。
注 – 家 庭 用 ライセンスを使 用 している場 合 は、カスタマイズできません。
4.8.1グローバル
【マネジメント ( Management) 】 >>【カスタマイズ( Customization) 】 >>【グローバル( Global) 】
タブでは、ユーザに表 示 されるシステムメッセージのグローバル表 示 オプションをカスタマイズすること
ができます。 UTF-8/Unicodeがサポート されています。
図 22 カスタマイズ：ブロックされるページの例 とカスタマイズ可 能 な部 分
会 社 のロゴ( C om pa n y L ogo)
会 社 のロゴ/バナーをアップロードし( jpg形 式 のみ) 、次 の状 況 で使 用 することができます。
82
l
Webフィルタメッセージ
l
「POP3メッセージがブロックされました」メッセージ
ASG V8 管 理 ガイド
4マネジメント
4.8カスタマイズ
l
( 隔 離 レポート を通 じてスパムメールが隔 離 場 所 からリリースまたはホワイト リスト 化 された
後 で表 示 される) 隔 離 リリースステータスメッセージ
l
隔 離 レポート
画 像 の解 像 度 は適 度 な値 に制 限 してください( 100 x 200ピクセルなど) 。
バナーをアップロードするには、次 の手 順 に従 ってください。
1. 【ファイルのアップロード (Upload File)】 ダイアログボックスを開 きます。
【新 しいロゴのアップロード ( Upload New Logo) 】 ボックスの横 にあるフォルダアイコンをクリッ
クします。
【ファイルのアップロード ( Upload File) 】 ダイアログボックスが開 きます。
2. バナーを選 択 します。
アップロードするバナーがある場 所 までブラウズします。
バナーを選 択 し、 【保 存 ( Save) 】 をクリックします。
3. 【適 用 (Apply)】 をクリックします。
バナーがアップロードされ、すでにインスト ールされているファイルと置 き換 えられます。
カスタ ムカン パニーテキスト ( C u s tom C om pa n y Te x t)
Astaro Security GatewayのウイルススキャナまたはコンテンツフィルタによってWebサイト がブロッ
クされたときに、会 社 ロゴの下 に表 示 されるメッセージをカスタマイズします。ここには、管 理 者 の連
絡 先 データなどを入 力 することができます。 Webサイト は、さまざまな理 由 でブロックされます。たと
えば、このWebサイト が禁 止 カテゴリに属 している場 合 やスパイウェアとして分 類 されている場 合 、
あるいは危 険 だとみなされる拡 張 子 のファイル( 実 行 可 能 ファイルなど) をユーザがダウンロードしよ
うとした場 合 などです。 これらの状 況 で使 用 されるテンプレート を、 【マネジメン
ト ( Management) 】 >>【カスタマイズ( Customization) 】 >>【 Web フィルタ( Web Filter) 】 タブ
で変 更 することができます。
4.8.2Webフィルタ
Astaro Security GatewayのWebフィルタの警 告 Webページ用 のテンプレート をカスタマイズしま
す。この警 告 Webページは、禁 止 されたWebサイト へのアクセスが検 知 されると表 示 されるもの
で、それぞれの違 反 タイプに対 する警 告 文 を示 します。 これらのテンプレート を他 の言 語 に翻 訳 し
たり、顧 客 サポート の連 絡 先 情 報 が表 示 されるように変 更 したりできます。 次 のメッセージテンプ
レート をカスタマイズできます。
l
Webフィルタ管 理 者 情 報 (Web Filtering Administrator Information)：ここ
で、Webフィルタを管 理 する管 理 者 についての情 報 を入 力 できます。 さらに、管 理 者 のE
ASG V8 管 理 ガイド
83
4.8カスタマイズ
4マネジメント
メールアドレスも入 力 可 能 です。
l
サーフプロテクションによってブロックされたコンテンツ(Content Blocked by Surf
Protection)： このメッセージは、ブロック対 象 として設 定 されているURLカテゴリと一 致 す
るコンテンツを持 つWebページにユーザがアクセスしようとすると表 示 されます。
l
ブラックリスト によってブロックされたコンテンツ(Content Blocked by Blacklist)： この
メッセージは、ブラックリスト 化 されたブラックリスト のURLと一 致 するコンテンツを持 つWeb
ページをユーザが取 得 しようとすると表 示 されます。 URLをブラックリスト 化 する方 法
は、 「 Web セキュリティ」 >>「 Web フィルタ」 >>「 URLフィルタリング」 を参 照 してください。
l
検 出 されたウイルス(Virus Detected)： このメッセージは、ウイルス感 染 が原 因 でファイ
ルがブロックされた場 合 に表 示 されます。
l
ファイルダウンロード 中 (Downloading File)： このメッセージは、ファイルのダウンロード
の進 行 中 に表 示 されます。
l
ウイルススキャン中 (Virus Scanning)： このメッセージは、悪 意 のあるコンテンツが含 ま
れていないかファイルをスキャンしているときに表 示 されます。
l
ファイルダウンロード 完 了 (File Download Completed)： このメッセージは、ファイル
のダウンロードとスキャンが完 了 した後 で表 示 されます。
l
認 証 付 き透 過 モード (Transparent Mode with Authentication)： このセクショ
ンは、 【認 証 付 き透 過 モード ( Transparent Mode with Authentication) 】 でWebフィ
ルタを使 用 しているときに限 って有 効 です。 テキスト は認 証 ページに表 示 されます。各 ユー
ザはWebフィルタを使 用 する前 にこの認 証 ページにログインする必 要 があります。 【利 用 条
件 ( Terms of Use) 】 フィールドはデフォルト で空 になっています。つまり、認 証 ページには
免 責 事 項 が表 示 されません。 ユーザが同 意 する必 要 がある免 責 事 項 を追 加 するには、
このフィールドに記 入 します。 【利 用 条 件 ( Terms of Use) 】 フィールドを空 にすると、免 責
事 項 が再 び無 効 になります。
l
URLフィルタの上 書 き(URL Filter Override)： このメッセージは、ページがブロックさ
れ、各 ユーザに対 してバイパスブロックオプションが有 効 担 っている場 合 に表 示 されま
す( 「 Web セキュリティ」 >>「 Web フィルタリング」 >>「 URLフィルタリング」 を参 照 ) 。
4.8.3ダウンロードマネージャ
Webフィルタが有 効 である場 合 、サイズが1 MBを超 え、コンテンツタイプがテキスト または画 像 以
外 であるコンテンツのダウンロード中 、Webブラウザに次 のダウンロードページが表 示 されます。 要
求 されているのが動 画 または音 声 スト リームである場 合 や、5秒 以 内 にファイルの50%超 のダウン
ロードが完 了 している場 合 には、ダウンロードページは表 示 されません。
84
ASG V8 管 理 ガイド
4マネジメント
4.8カスタマイズ
図 23 カスタマイズ：HTTPダウンロードページ、ステップ1/3
図 24 カスタマイズ：HTTPダウンロードページ、ステップ2/3
ASG V8 管 理 ガイド
85
4.8カスタマイズ
4マネジメント
図 25 カスタマイズ：HTTPダウンロードページ、ステップ3/3
4.8.4SMTP/POP3プロキシ
Astaro Security GatewayのSMTP/POP3プロキシによって生 成 されるユーザメッセージに使 用 さ
れるテンプレート をカスタマイズします。これらのテンプレート を他 の言 語 に翻 訳 したり、顧 客 サポー
ト の連 絡 先 情 報 が表 示 されるように変 更 したりできます。 次 のメッセージテンプレート をカスタマイ
ズできます。
l
メッセージが隔 離 からリリースされました(Message Released From Quarantine)：
このメッセージは、Eメールが隔 離 から正 常 にリリースされたときに表 示 されます。
l
メッセージを隔 離 からリリースする際 にエラーが発 生 しました(Error While Releasing
Message From Quarantine)： このメッセージは、メッセージを隔 離 からリリースする
際 にエラーが発 生 したときに表 示 されます。
l
POP3メッセージがブロックされました(POP3 Message Blocked)： このメッセージ
は、POP3 Eメールがブロックされたときに受 信 者 に送 信 されます。
図 26 カスタマイズ：POP3プロキシのブロックメッセージ
86
ASG V8 管 理 ガイド
4マネジメント
4.9SNMP
4.9SNMP
簡 易 ネットワーク管 理 プロトコル( SNMP) は、ルータ、サーバ、スイッチなどのネット ワークに接 続 さ
れたデバイスを監 視 するためにネット ワーク管 理 システムで使 用 されます。 SNMPによって管 理 者
は、監 視 している各 ネット ワークデバイスの状 態 に関 するクエリを速 やかに実 行 できます。Astaro
Security Gatewayは、SNMPクエリに返 答 したり、SNMPト ラップをSNMP管 理 ツールに送 信 する
ように設 定 できます。前 者 は「管 理 情 報 ベース( management information bases：MIB) 」に
よって実 現 します。 MIBは、どのネット ワークデバイスに対 してどの情 報 がクエリ可 能 かを指 定 しま
す。Astaro Security Gateway は、SNMPバージョン2と3および以 下 のMIBをサポート していま
す。
l
DISMAN-EVENT-MIB： イベント 管 理 情 報 ベース
l
HOST-RESOURCES-MIB： ホスト リソース管 理 情 報 ベース
l
IF-MIB： インタフェースグループ管 理 情 報 ベース
l
IP-FORWARD-MIB： IPフォワーディングテーブル管 理 情 報 ベース
l
IP-MIB： インターネットプロトコル( IP) 用 管 理 情 報 ベース
l
NOTIFICATION-LOG-MIB： 通 知 ログ管 理 情 報 ベース
l
RFC1213-MIB： TCP/IPベースのインターネット のネット ワーク管 理 用 管 理 情 報 ベー
ス：MIB II
l
SNMPv2-MIB： 簡 易 ネットワーク管 理 プロトコル( SNMP) 用 管 理 情 報 ベース
l
TCP-MIB： 伝 送 制 御 プロトコル( TCP) 用 管 理 情 報 ベース
l
UDP-MIB： ユーザデータグラムプロトコル( UDP) 用 管 理 情 報 ベース
Astaro Security Gatewayシステム情 報 を取 得 するには、最 低 でもRFC1213-MIB( MIB II) を
コンパイルしたSNMPマネージャを使 用 する必 要 があります。
4.9.1クエリ
【マネジメント ( Management) 】 >>【 SNMP】 >>【クエリ( Query) 】 ページでは、SNMPクエリの使
用 を有 効 化 できます。
ASG V8 管 理 ガイド
87
4.9SNMP
4マネジメント
図 27 SNMP：SNMPクエリの設 定
SNMPクエリを設 定 するには、次 の手 順 に従 ってください。
1. 【 SNMPクエリ(SNMP Queries)】 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
【 SNMPバージョン( SNMP Version) 】 および【 SNMPアクセスコントロール( SNMP Access
Control) 】 セクションが編 集 可 能 になります。
2. SNMPバージョンを選 択 します。
【 SNMPバージョン( SNMP Version) 】 セクションで、ドロップダウンリスト からバージョンを選
択 します。 SNMPバージョン3には認 証 が必 要 です。
3. 許 可 されるネット ワークを選 択 します。
88
ASG V8 管 理 ガイド
4マネジメント
4.9SNMP
【許 可 ネットワーク( Allowed Networks) 】 ボックスにリスト されているネット ワークは、当 製
品 上 で実 行 されているSNMPエージェント にクエリを行 うことができます。 Astaro Security
Gateway. アクセスは常 に読 み取 り専 用 です。
l
コミュニティ文 字 列 (Community String)：バージョン2を使 用 する場 合 、コミュ
ニティ文 字 列 を入 力 します。 SNMPコミュニティ文 字 列 はパスワードとして機 能
し、SNMPエージェント へのアクセスを保 護 します。 デフォルト では、SNMPコミュニティ
文 字 列 は"public"に設 定 されていますが、お客 様 のニーズに応 じて変 更 できます。
注 - コミュニティ文 字 列 に使 用 できる文
字 ：( a～ z) 、( A～ Z) 、( 0～ 9) 、( +) 、( _) 、( @) 、( .) 、( -) 、( 空 白 )
l
ユーザ名 /パスワード (Username/Password)：バージョン3を使 用 する場 合 、
認 証 が必 要 です。 ユーザ名 とパスワード( 確 認 のために2回 ) を入 力 し、リモート 管
理 者 がクエリを送 信 できるようにします。 パスワードは8文 字 以 上 にする必 要 があり
ます。 SNMP v3では、認 証 にSHAを、暗 号 化 にAESを使 用 します。 ユーザ名 とパ
スワードはその両 方 で使 用 されます。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
さらに、ゲート ウェイについての追 加 情 報 を入 力 できます。
デバイ ス情 報 ( D e v i c e I n f or m a ti on )
【デバイス情 報 ( Device Information) 】 テキスト ボックスに、名 前 、場 所 、管 理 者 など、ゲート ウ
ェイ に関 する追 加 情 報 を指 定 できます。 この情 報 は、SNMP管 理 ツールが読 み取 って、ゲート ウ
ェイの識 別 に使 用 します。
注 -ゲート ウェイ と【許 可 ネットワーク( Allowed Networks) 】 間 のすべてのSNMPト ラフィック( プ
ロト コルバージョン2) は暗 号 化 されず、パブリックネット ワーク上 での転 送 中 に読 むことができま
す。
As ta r o Noti f i e r MI B
このセクションで、Astaro notifierMIB をダウンロードできます。これには、通 知 ト ラップの現 在 の
設 定 に基 づいたAstaro SNMP通 知 の定 義 が含 まれます。
ASG V8 管 理 ガイド
89
4.9SNMP
4マネジメント
4.9.2ト ラップ
【トラップ( Traps) 】 タブで、ゲート ウェイ で発 生 した関 連 イベント の通 知 をSNMP ト ラップとして送
信 する宛 先 のSNMPト ラップサーバを定 義 できます。 これらのト ラップを表 示 するには、特 別
なSNMPモニタリングソフト ウェアが必 要 です。
SNMPト ラップとして送 られるメッセージには、オブジェクト 識 別 子 ( OID) が含 まれます。たとえ
ば、.1.3.6.1.4.1.9789が挙 げられます。これは、IANAが発 行 した私 企 業 番 号 に属 しま
す。.1.3.6.1.4.1はiso.org.dod.internet.private.enterpriseプレフィックスで、9789
はAstaroの私 企 業 番 号 です。通 知 イベント のOIDは1500で、それに通 知 タイプのOIDおよび対
応 するエラーコード( 000～ 999) が追 加 されます。 以 下 の通 知 タイプを使 用 できます。
l
DEBUG = 0
l
INFO = 1
l
WARN = 2
l
CRIT = 3
例 ：通 知 「INFO-302:新 しいファームウェアUp2Dateがインスト ールされました( New firmware
Up2Date installed) 」では、OID .1.3.6.1.4.1.9789.1500.1.302を使 用 し、以 下 の文 字
列 が割 り当 てられます。
[<HOST>][INFO][302]
<HOST>はプレースホルダでシステムのホスト 名 を表 し、通 知 の件 名 フィールドのタイプおよびエラー
コードのみが伝 送 されます。
SNMPト ラップサーバを選 択 するには、以 下 の手 順 に従 います。
1. 【新 規 SNMPトラップシンク(New SNMP Trap Sink)】 をクリックします。
【新 規 SNMPトラップシンクの作 成 ( Create New SNMP Trap Sink) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
ホスト (Host)： SNMPト ラップサーバのホスト 定 義 。
コミュニティ文 字 列 (Community string)：SNMPコミュニティ文 字 列 はパスワードとして
機 能 し、クエリを行 うSNMPメッセージへのアクセスを保 護 します。 デフォルト では、SNMPコ
ミュニティ文 字 列 は"public"に設 定 されています。 それをリモート SNMPト ラップサーバで設
定 された文 字 列 に変 更 します。
90
ASG V8 管 理 ガイド
4マネジメント
4.10集 中 管 理
注 - コミュニティ文 字 列 に使 用 できる文 字 ：( a～ z) 、( A～ Z) 、( 0～ 9) 、( +) 、( _
) 、( @) 、( .) 、( -) 、( 空 白 )
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいSNMPト ラップサーバが【トラップ( Traps) 】 タブに表 示 されます。
4.10集中管理
【集 中 管 理 ( Central Management) 】 メニューのページを使 用 すると、ゲート ウェイのモニタリング
やリモート 管 理 に使 用 できる管 理 ツールへのインタフェースを設 定 することができます。
4.10.1Astaro Command Center
Astaro Command Center( ACC) とは、Astaroの一 元 ( 集 中 ) 管 理 用 製 品 です。モニタリング、
設 定 、メンテナンス、インベント リなどの機 能 があり、管 理 者 を複 数 設 定 することができます。 この
製 品 は、Astaroの各 ゲート ウェイソフト ウェアおよびアプライアンスの状 態 、そのバージョン、現 在 の
負 荷 、ライセンス期 限 、重 大 なセキュリティイベント を概 要 的 に示 すことを目 的 としています。希 望
する場 合 、2つ目 のACCサーバを設 定 することができます。これは、設 定 を自 力 で行 い( 1つ目
のACCサーバ) 、マシンについては引 き続 きサードパーティ( MSSPなどによってモニタリングしたい( 2
つ目 のACCサーバ) 場 合 に便 利 です。
情 報 へのアクセスにはWebベースのグラフィカルフロント エンドを使 用 します。このフロント エンドに
は、モニタリング対 象 の全 デバイスに対 するさまざまな表 示 オプションが用 意 されています。 さら
に、ACCには各 デバイスを自 動 的 にト ラッキング( 追 跡 ) するインベント リシステムが含 まれていま
す。 最 後 に、さまざまな管 理 者 権 限 を複 数 の管 理 者 に割 り当 てることができるため、ACC
はAstaroパート ナーやMSSPにとって完 璧 なソリューションとなります。Astaro Command Center
について詳 しくは、Astaro Webサイト で提 供 されているACCデータシート をご確 認 ください。
ASG V8 管 理 ガイド
91
4.10集 中 管 理
4マネジメント
図 28 集 中 管 理 ：Astaro Command Centerのダッシュボード
ACCの設 定
Astaro Security GatewayがACCサーバのモニタリング対 象 になるよう準 備 するには、次 の手 順
に従 ってください。
1. 【 Astaro Command Center】 タブでACCを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【 ACC設 定 ( ACC Settings) 】 エリアが編 集 可 能 に
なります。
2. 【 ACCホスト (ACC Host)】 を指 定 します。
Astaro Security Gatewayの接 続 先 とするACCサーバを選 択 または追 加 します。
92
l
【認 証 (Authentication)】(オプション)：ACCで認 証 が必 要 な場 合 、このオプ
ションを選 択 して、ACCサーバで設 定 したものと同 じパスワード (共 有 シークレット )
を入 力 します。
l
Up2DateキャッシュとしてACCサーバを使 用 します( オプション) 。Up2Dateパッ
ケージは、ACCサーバにあるキャッシュからフェッチすることができます。 ゲート ウェイ用
にこの機 能 を使 用 するには、 【 ACCサーバをUp2Dateキャッシュとして使 用 ( Use
ACC Server as Up2Date Cache) 】 オプションを選 択 します。 管 理 を行 うACCの
ASG V8 管 理 ガイド
4.10集 中 管 理
4マネジメント
管 理 者 が、サーバ上 でUp2Dateキャッシュ機 能 を適 切 に有 効 にしていることを確 認
してください。Up2Dateキャッシュ機 能 の使 用 は、Up2Datesのペアレント プロキシの
使 用 と相 互 排 他 的 になります。
選 択 したACCの管 理 者 による管 理 を、ASGのどの機 能 エリアに対 して許 可 するのか決 定
するには、4つのオプションがあります。 これらのオプションには、ACCの管 理 機 能 が反 映 さ
れています。 詳 細 はACCのマニュアルを参 照 してください。 2つ目 のACCには設 定 オプション
がありません。これは、デバイスの設 定 は1つ目 のACCのみで可 能 であるためです。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。設 定 後 すぐに、ここで選 択 したACCサーバでAstaro Security
Gateway をモニタリングおよび管 理 できるようになります。
注 - ゲート ウェイとACCの間 の通 信 はポート 4433で行 われますが、Astaro Command Center
には、HTTPSプロト コルを使 用 してブラウザ経 由 でアクセスすることができます。WebAdminの
場 合 はポート 4444、ゲート ウェイマネージャインタフェースの場 合 はポート 4422です。
図 29 集 中 管 理 ：ACC V2サーバの使 用
AC C の健 全 性
【 ACCの健 全 性 ( ACC Health) 】 セクションで、現 在 の接 続 ステータスと健 全 性 を確 認 することが
できます。 ページをリロードすると、このデータが更 新 されます。
AC C オブジ ェクト
このエリアは、ACC経 由 で作 成 されたオブジェクト があり、このACCがAstaro Security Gateway
から切 断 されている場 合 を除 き、無 効 になっています( グレーアウト 表 示 されています) 。 ACCで作
成 されたオブジェクト とは、ネット ワーク定 義 、リモート ホスト 定 義 、IPsec VPNト ンネルなどです。
【オブジェクトのクリーンアップ( Cleanup Objects) 】 ボタンを押 すと、デバイスを以 前 に管 理 してい
たACCで作 成 されたすべてのオブジェクト をリリースすることができます。 これらのオブジェクト は通 常
ロックされ、ローカルデバイスのみで表 示 できます。 このボタンを押 すと、オブジェクト は完 全 にアクセ
ス可 能 になり、ローカル管 理 者 が再 利 用 または削 除 できます。
注 - 以 前 にACCで作 成 されたオブジェクト をクリーンアップすると、同 じACCに再 接 続 したときにこ
れらのオブジェクト を再 変 換 できなくなります。つまり、リモート ACCが、後 で接 続 を再 確 立 するデ
バイス用 にオブジェクト 定 義 をまだホスト している場 合 、ローカルコピーがすでに存 在 しても、これ
らのオブジェクト はデバイスに再 配 備 されます。
ASG V8 管 理 ガイド
93
4.11冗 長 化 ( HA)
4マネジメント
ライブ ログ
ライブログを使 用 して、Astaro Security GatewayとACCの間 の接 続 をモニタリングすることができ
ます。 【ライブログを開 く( Open Live Log) 】 ボタンをクリックすると、新 しいウィンドウでライブログが
開 きます。
4.11冗長化( HA)
インターネット セキュリティシステムの障 害 の主 な原 因 は、ハードウェアの故 障 です。システムに障
害 が発 生 した後 もサービスを継 続 して提 供 する能 力 をフェイルオーバーと呼 びます。Astaro
Security Gateway はHAフェイルオーバーを実 現 するため、お客 様 はプライマリシステムで障 害 が
発 生 したときのためにホット スタンバイシステムをセット アップできます( active-passive) 。あるい
は、Astaro Security Gatewayを使 用 してクラスタをセット アップして、専 用 のネット ワークト ラフィッ
クを一 群 のノードに分 散 させて運 用 し( active-active) 、リソース利 用 率 を最 大 限 に高 めて演 算
時 間 を削 減 することができます。これは従 来 の負 荷 分 散 アプローチと似 ています。
Astaro Security Gatewayに導 入 された冗 長 化 とクラスタの概 念 には、密 接 な関 係 があります。
HAシステムは2ノードクラスタと考 えることができます。これは冗 長 性 を実 現 する最 低 限 の要 件 で
す。
クラスタ内 の各 ノードは次 のいずれかの役 割 を果 たすことができます。
l
マスタ： ホット スタンバイ/クラスタセット アップ内 のプライマリシステム。 クラスタ内 で、マスタは
データの同 期 と配 信 を行 う責 任 を担 います。
l
スレーブ： ホット スタンバイ/クラスタセット アップ内 のスタンバイシステム。マスタに障 害 が発 生
すると、オペレーションを引 き継 ぎます( テイクオーバーします) 。
l
ワーカ： データ処 理 のみを担 当 するシンプルなクラスタノード。
すべてのノードは、いわゆるハート ビート 信 号 を使 用 して自 らをモニタリングします。ハート ビート 信
号 とは、他 のノードが稼 働 していることを確 認 するために定 期 的 に送 信 されるマルチキャスト UDP
パケット です。技 術 的 エラーが原 因 で、いずれかのノードがこのパケット の送 信 に失 敗 すると、その
ノードはデッド ( Dead) と宣 言 されます。失 敗 したノードが担 っていた役 割 に応 じて、セット アップの
構 成 が次 のように変 更 されます。
94
l
マスタノードで障 害 が発 生 した場 合 、スレーブがマスタの役 割 を引 き継 ぎ、IDが最 も高 い
ワーカノードがスレーブとなります。
l
スレーブノードで障 害 が発 生 した場 合 、IDが最 も高 いワーカノードがスレーブとなります。
ASG V8 管 理 ガイド
4マネジメント
l
4.11冗 長 化 ( HA)
ワーカノードで障 害 が発 生 した場 合 、処 理 能 力 が失 われることによるパフォーマンス低 下 は
認 識 されますが、 フェイルオーバー機 能 は損 なわれません。
レポーティング
すべてのレポーティングデータはマスタノード上 で統 合 され、5分 間 隔 で他 のクラスタノードと同 期 さ
れます。したがって、引 き継 ぎが発 生 すると、5分 以 下 のレポーティングデータが失 われます。 ただ
し、データ収 集 プロセスには違 いがあります。 【ログおよびレポーティング( Logging &
Reporting) 】 >>【ハードウェア( Hardware) 】 タブに表 示 されるグラフには、現 在 マスタとなってい
るノードのデータのみが表 示 されます。一 方 、 【ログおよびレポーティング( Logging &
Reporting) 】 >>【ネットワーク使 用 状 況 ( Network Usage) 】 ページなどに表 示 されるアカウン
ティング情 報 には、関 連 するすべてのノードから収 集 されたデータが表 示 されます。 たとえば、今
日 のCPU使 用 状 況 のヒスト グラムには、マスタノードの現 在 のプロセッサ使 用 状 況 が表 示 されま
す。 切 り替 わりが発 生 した場 合 、ここにはスレーブノードのデータが表 示 されるようになります。 一
方 、上 位 アカウンティングサービスに関 する情 報 などは、ユニット を通 過 するト ラフィックの分 散 処
理 に関 与 したすべてのノードから収 集 されたデータの集 合 体 となります。
注記
l
アドレス解 決 プロトコル( ARP) を使 用 するのは、実 際 のマスタのみです。 つまり、スレーブ
ノードとワーカノードはARP要 求 の送 信 や応 答 を行 いません。
l
フェイルオーバーが発 生 すると、オペレーションを引 き継 ぐユニット がARPアナウンスメント ( 別
名 「 gratuitous ARP」 ) を実 行 します。これは通 常 、要 求 を受 信 する他 のホスト のARPキ
ャッシュを更 新 することを目 的 とするARP要 求 です。 Gratuitous ARPは、マスタのIPがス
レーブに移 行 したことをアナウンスするために使 用 されます。
l
マスタで設 定 するすべてのインタフェースには物 理 リンクが必 要 です。つまり、任 意 のネット
ワークデバイスにポート を正 しく接 続 しなければなりません。
4.11.1ハードウェアとソフト ウェアの要 件
HAフェイルオーバーまたはクラスタ機 能 を提 供 するためには、次 のハードウェアおよびソフト ウェア要
件 を満 たす必 要 があります。
l
冗 長 化 オプションが使 用 可 能 な有 効 なライセンス( スタンバイユニット の場 合 、追 加 の基
本 ライセンスのみが必 要 です) 。
l
ソフト ウェアバージョンとハードウェアが同 じである2台 のASGユニット 、または同 じモデルの2
台 のASGアプライアンス。
ASG V8 管 理 ガイド
95
4.11冗 長 化 ( HA)
4マネジメント
l
ハート ビート が可 能 なイーサネット ネット ワークカード。サポート されているネット ワークカードを
確 認 するには、HCLをチェックしてください。HCLはAstaroナレッジベースで提 供 されていま
す( 検 索 用 語 に「HCL」を使 用 します) 。
l
イーサネット クロスオーバーケーブル( ホット スタンバイシステムでのマスタとスレーブの接 続
用 ) 。ASG 専 用 HAインタフェースがギガビット 自 動 MDXデバイスであるアプライアンスのモデ
ル320、425、525は、標 準 のIEEE 802.3イーサネット ケーブルで接 続 可 能 です( イーサ
ネット ポート が送 信 /受 信 ペアを自 動 的 に交 換 するため) 。
l
ネット ワークスイッチ( クラスタノードの接 続 用 ) 。
4.11.2ステータス
図 30 冗 長 化 ( HA) ：【ステータス( Status) 】ページ
【マネジメント ( Management) 】 >>【冗 長 化 ( High Availability) 】 >>【ステータス( Status) 】 タ
ブには、ホット スタンバイシステムまたはクラスタに関 与 するすべてのデバイスがリスト され、次 の情 報
が表 示 されます。
l
ID： デバイスのノードID。 ホット スタンバイシステムでは、ノードIDは1( マスタ) または2( ス
レーブ) です。
クラスタ内 のノードIDは1～ 10の範 囲 になります。この理 由 は、1つのクラスタに最 大 10ノー
ドまで持 たせることができるためです。
l
96
役 割 (Role)： クラスタ内 の各 ノードは次 のいずれかの役 割 を果 たすことができます。
l マスタ( MASTER) ：ホット スタンバイ/クラスタセット アップ内 のプライマリシステム。 クラ
スタ内 でデータの同 期 と配 信 を行 う責 任 を担 います。
l
スレーブ( SLAVE) ：ホット スタンバイ/クラスタセット アップ内 のスタンバイシステム。マス
タに障 害 が発 生 すると、オペレーションを引 き継 ぎます( テイクオーバーします) 。
l
ワーカ( WORKER) ：データ処 理 のみを担 当 するシンプルなクラスタノード。
ASG V8 管 理 ガイド
4マネジメント
4.11冗 長 化 ( HA)
l
デバイス名 (Device Name)： デバイスの名 前 。
l
ステータス(Status)： HAステータスに関 するデバイスの状 態 。次 のいずれかになります。
l アクティブ( ACTIVE) ：ノードは完 全 に操 作 可 能 です。
l
リンク解 除 済 み( UNLINKED) ：1つ以 上 のインタフェースリンクがダウンしています。
l
UP2DATE：Up2Dateが進 行 中 です。
l
UP2DATE失 敗 ( UP2DATE-FAILED) ：Up2Dateが失 敗 しました。
l
デッド( DEAD) ：ノードに到 達 できません。
l
同 期 中 ( SYNCING) ：データ同 期 が進 行 中 です。 このステータスは、引 き継 ぎプロ
セスの進 行 中 に表 示 されます。 最 初 の同 期 には5分 以 上 時 間 がかかります。 あら
ゆる同 期 関 連 のプログラムにより、この時 間 が長 期 化 する場 合 もあります。 スレーブ
が同 期 中 であり【同 期 中 ( SYNCING) 】 ステータスの場 合 、マスタノードでのリンク障
害 などが原 因 で正 常 な引 き継 ぎは行 われません。
l
バージョン(Version)： システムにインスト ールされたAstaro Security Gatewayソフト ウ
ェアのバージョン番 号 。
l
最 後 のステータス変 化 (Last Status Change)： ステータス変 更 が最 後 に発 生 した時
間。
リブート (Reboot)/シャット ダウン(Shutdown)： これらのボタンを使 用 して、デバイスを手 動 で
リブート またはシャット ダウンすることができます。
ノード 削 除 (Remove Node)： このボタンを使 用 して、WebAdmin経 由 でデッド( Dead) 状 態
のクラスタノードを削 除 します。 メール隔 離 やスプールなど、ノード固 有 のすべてのデータがマスタ
に引 き継 がれます。
HAライブログを別 ウィンドウで表 示 するには、右 上 隅 にある【 HAライブログを開 く( Open HA Live
Log) 】 ボタンをクリックします。
ASG V8 管 理 ガイド
97
4.11冗 長 化 ( HA)
4マネジメント
4.11.3システムステータス
図 31 冗 長 化 ：シングルHAまたはクラスタデバイスのリソース使 用 状 況
【マネジメント ( Management) 】 >>【冗 長 化 ( High Availability) 】 >>【システムステータ
ス( System Status) 】 タブには、ホット スタンバイシステムまたはクラスタに関 与 するすべてのデバイ
スがリスト され、各 デバイスのリソース使 用 状 況 に関 する次 の情 報 が表 示 されます。
l
CPU使 用 状 況 ( %)
l
RAM使 用 状 況
l
スワップ使 用 状 況 ( %)
l
ログパーティションで消 費 されているハードディスクの容 量 ( %)
l
ルート パーティションで消 費 されているハードディスクの容 量 ( %)
4.11.4設 定
Astaro Security Gatewayの冗 長 化 機 能 は、3つの基 本 設 定 をカバーします。
98
l
自動設定
l
ホット スタンバイ( active-passive)
l
クラスタ( active-active)
ASG V8 管 理 ガイド
4マネジメント
4.11冗 長 化 ( HA)
自 動 設 定 ：Astaro Security Gateway には、ASGアプライアンス用 のプラグアンドプレイ設 定 オプ
ションがあります。このオプションを使 用 すると、クラスタに追 加 するデバイスを再 設 定 したり手 動 で
インスト ールしたりする必 要 なく、ホット スタンバイシステム/クラスタをセット アップすることができま
す。ASGアプライアンスの専 用 HAインタフェース( eth3) を相 互 接 続 し、すべてのデバイスで 【自 動
設 定 ( Automatic Configuration) 】 を選 択 するだけで、準 備 は完 了 です。
注 - 自 動 設 定 が正 常 に機 能 するためには、すべてのASGアプライアンスは同 じモデルでなけれ
ばなりません。 たとえば、HAシステムのセット アップには、2台 のASG 320アプライアンスを使 用 す
る必 要 があり、ASG 220ユニット とASG 320ユニット を組 み合 わせて使 用 することはできませ
ん。
この専 用 インタフェースを介 して2台 のASGアプライアンスを接 続 すると、すべてのデバイスが相 互 に
認 識 し、HAシステムとして自 動 的 に自 己 設 定 します。アップタイムが長 い方 のデバイスがマスタと
なります。 可 能 性 は低 いものの、アップタイムが同 じであった場 合 には、MACアドレスに基 づいてマ
スタとなるデバイスが決 まります。
ASGソフト ウェアを使 用 すると、専 用 スレーブシステムで 【自 動 設 定 ( Automatic
Configuration) 】 オプションが使 用 され、マスタまたはすでに設 定 されているホット スタンバイシステ
ム/クラスタに自 動 的 に追 加 されます。 このため、 【自 動 設 定 ( Automatic Configuration) 】 は、
それ自 体 、高 可 用 性 オペレーションモードではなく移 行 モードと考 えることができます。 【自 動 設
定 ( Automatic Configuration) 】 が選 択 されているデバイスがホット スタンバイシステムまたはクラ
スタに追 加 されると、高 可 用 性 オペレーションモードはそれぞれ【ホットスタンバイ( Hot Standby) 】
または【クラスタ( Cluster) 】 となります。ただし、この機 能 が正 常 に機 能 するためには、マスタシステ
ムで 【自 動 追 加 ( Autojoin) 】 オプションが有 効 になっていることが条 件 となります。 【自 動 追
加 ( Autojoin) 】 機 能 により、高 可 用 性 オペレーションモードが【自 動 設 定 ( Automatic
Configuration) 】 に設 定 されているデバイスがホット スタンバイシステム/クラスタに自 動 的 に追 加
されます。
ホット スタンバイ(active-passive)：Astaro Security Gateway では、2つのノードから成 るホ
ット スタンバイ高 可 用 性 コンセプト が採 用 されており、冗 長 性 を実 現 する最 低 要 件 となりま
す。Astaro Security Gatewayソフト ウェアV8に導 入 された主 な改 良 点 の1つに、テイクオー
バー( 引 き継 ぎ) のレイテンシを2秒 未 満 に低 減 できる点 があります。ファイアウォールは、ファイアウ
ォール接 続 の同 期 化 に加 え、IPsecト ンネルの同 期 化 にも対 応 してます。 つまり、ロードウォリアや
リモート VPNゲート ウェイが、テイクオーバー後 にIPsecト ンネルを再 度 確 立 する必 要 はありませ
ん。また、隔 離 されたオブジェクト も同 期 化 されるため、テイクオーバー後 も使 用 可 能 です。
クラスタ(active-active)： 大 量 のインターネット ト ラフィックのリアルタイム処 理 に対 する需 要 が
高 まっています。これに対 応 するために、Astaro Security Gatewayには、処 理 集 約 型 のタスク(
コンテンツフィルタ、ウイルススキャン、侵 入 防 止 、復 号 化 など) を複 数 のクラスタノードに均 一 に分
ASG V8 管 理 ガイド
99
4.11冗 長 化 ( HA)
4マネジメント
散 するためのクラスタリング機 能 が用 意 されています。専 用 のハードウェアベースの負 荷 分 散 装 置
を使 用 する必 要 なく、ゲート ウェイの全 体 的 なパフォーマンスを大 幅 に向 上 できます。
注 - クラスタの設 定 時 は、マスタノードを設 定 してから残 りのユニット をスイッチに接 続 してくださ
い。
図 32 冗 長 化 ：クラスタの設 定
ホット スタンバイシステム/クラスタのマスタをセット アップするには、次 の手 順 に従 ってください。
1. 高 可 用 性 オペレーションモード を選 択 します。
デフォルト では、高 可 用 性 はオフになっています。 次 のモードを使 用 できます。
l
自動設定
l
ホット スタンバイ( active-passive)
l
クラスタ( active-active)
【ホットスタンバイ( Hot Standby) 】 または【クラスタ( Cluster) 】 を選 択 します。
100
ASG V8 管 理 ガイド
4マネジメント
4.11冗 長 化 ( HA)
注 - 高 可 用 性 オペレーションモードを変 更 する場 合 、モードを【自 動 設 定 ( Automatic
Configuration) 】 、 【ホットスタンバイ( Hot Standby) 】 、または【クラスタ( Cluster) 】 に
変 更 するためには、モードを一 度 【オフ( Off) 】 に戻 す必 要 があります。
2. 次 の設 定 を行 います。
Sync NIC： マスタシステムとスレーブシステムとの通 信 で経 由 するネット ワークインタフェー
スカードを選 択 します。 リンクアグリゲーションがアクティブである場 合 、ここでリンクアグリゲー
ションインタフェースも選 択 できます。
注 - まだ設 定 していないインタフェースのみが表 示 されます。
次 のオプションは、オペレーションモードとして【ホットスタンバイ( Hot Standby) 】 または【クラ
スタ( Cluster) 】 を選 択 した場 合 のみ設 定 できます。
デバイス名 (Device Name)： このデバイスを説 明 する名 前 を入 力 してください。
デバイスノード ID(Device Node ID)： デバイスのノードIDを選 択 します。 プライマリシ
ステムに障 害 が発 生 した場 合 、IDが最 も高 いノードがマスタとなります。
暗 号 鍵 (Encryption Key)： マスタとスレーブの通 信 を暗 号 化 するパスフレーズ( 確 認
のためにパスフレードを2回 入 力 します) 。 鍵 の最 大 長 は16文 字 です。
3. 【適 用 (Apply)】 をクリックします。
マスタで高 可 用 性 フェイルオーバーがアクティブになりました。
4. オプションで、次 の詳 細 設 定 を行 います。
自 動 追 加 (Autojoin)： ホット スタンバイシステム/クラスタを手 動 で設 定 した場 合 、 【自
動 追 加 ( Autojoin) 】 機 能 により、高 可 用 性 オペレーションモードが【自 動 設
定 ( Automatic Configuration) 】 に設 定 されているデバイスがホット スタンバイシステム/ク
ラスタに自 動 的 に追 加 されます。
注 - HA同 期 化 インタフェースに障 害 が発 生 した場 合 、設 定 はそれ以 上 同 期 されなくな
ります。 バックアップインタフェースは、マスタ/マスタの状 況 を回 避 するだけです。
5. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ここで、スレーブシステムのセット アップに進 みます。
ASG V8 管 理 ガイド
101
4.11冗 長 化 ( HA)
4マネジメント
1. 高 可 用 性 オペレーションモード を選 択 します。
デフォルト では、高 可 用 性 はオフになっています。
次 のモードを使 用 できます。
l
自動設定
l
ホット スタンバイ( active-passive)
l
クラスタ( active-active)
自 動 設 定 を選 択 した場 合 、マスタとの通 信 用 のインタフェースのみを選 択 する必 要 があり
ます。
2. 次 の設 定 を行 います。
Sync NIC： マスタシステムとスレーブシステムとの通 信 で経 由 するネット ワークインタフェー
スカードを選 択 します。 リンクアグリゲーションがアクティブである場 合 、ここでリンクアグリゲー
ションインタフェースも選 択 できます。 次 のオプションは、オペレーションモードとして【ホットス
タンバイ( Hot Standby) 】 または【クラスタ( Cluster) 】 を選 択 した場 合 のみ設 定 できます。
デバイス名 (Device Name)： このデバイスを説 明 する名 前 を入 力 してください。
デバイスノード ID(Device Node ID)： デバイスのノードIDを選 択 します。 プライマリシ
ステムに障 害 が発 生 した場 合 、IDが最 も高 いノードがマスタとなります。
暗 号 鍵 (Encryption Key)： マスタとスレーブの通 信 を暗 号 化 するパスフレーズ( マスタ
で設 定 されているものと同 じパスフレードを入 力 します) 。 鍵 の最 大 長 は16文 字 です。
3. 【適 用 (Apply)】 をクリックします。
マスタで高 可 用 性 フェイルオーバーがアクティブになりました。
4. オプションで、次 の詳 細 設 定 を行 います。
自 動 追 加 (Autojoin)： ホット スタンバイシステム/クラスタを手 動 で設 定 した場 合 、 【自
動 追 加 ( Autojoin) 】 機 能 により、高 可 用 性 オペレーションモードが【自 動 設
定 ( Automatic Configuration) 】 に設 定 されているデバイスがホット スタンバイシステム/ク
ラスタに自 動 的 に追 加 されます。 ただし、このオプションはスレーブシステムに一 切 影 響 を
与 えないため、デフォルト 設 定 のまま有 効 にしておくことができます。
注 - HA同 期 化 インタフェースに障 害 が発 生 した場 合 、設 定 はそれ以 上 同 期 されなくな
ります。バックアップインタフェースは、マスタ/マスタの状 況 を回 避 するだけです。
5. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
102
ASG V8 管 理 ガイド
4マネジメント
4.12シャット ダウンとリスタート
ホット スタンバイモードのゲート ウェイは、データ転 送 接 続 に対 して定 期 的 に更 新 されます。アクティ
ブなプライマリシステムでエラーが発 生 した場 合 、速 やかにセカンダリシステムが通 常 モードに自 動
的 に切 り替 わり、プライマリシステムの機 能 を引 き継 ぎます。
注 - ホット スタンバイシステム/クラスタを無 効 にすると、スレーブノードとワーカノードは工 場 出 荷
時 の状 態 に戻 り、シャット ダウンします。
詳 細 情 報 ( 特 に使 用 事 例 ) は、Astaroナレッジベースにある『 HA/クラスタガイド ( HA/Cluster
Guide) 』 で確 認 できます。
設定
実 行 中 の設 定 で同 期 化 インタフェースを変 更 することができます。 その後 、すべてのノードはリ
ブート します。
詳細
このセクションでは、詳 細 設 定 を行 うことができます。
新 しいデバイスの自 動 設 定 を有 効 化 (Enable Automatic Configuration of New
Devices)： このオプションはデフォルト でアクティブになっており、新 たに接 続 されたデバイスは自
動 的 に設 定 されます。
優 先 マスタ(Preferred Master)： ここでは、ドロップダウンリスト でノードを選 択 して、指 定 のマ
スタノードを定 義 できます。 フェイルオーバーが発 生 した場 合 、選 択 されたノードはリンクの回 復 後
はスレーブモードのままではなく、マスタモードにスイッチバックします。
バックアップインタフェース(Backup Interface)： HA同 期 化 インタフェースの障 害 やネット ワー
クケーブルの切 断 などが原 因 で、マスタとスレーブの両 方 が同 時 にマスタになること( マスタ/マスタ
の状 況 ) を防 ぐために、バックアップ用 のハート ビート インタフェースを選 択 できます。 この追 加 ハー
ト ビート インタフェースには、いずれかの設 定 済 みアクティブイーサネット インタフェースを選 択 できま
す。 バックアップインタフェースを選 択 すると、マスタ/スレーブ設 定 が維 持 されていることを確 認 する
ために、このインタフェース経 由 で追 加 のハート ビート 信 号 が一 方 向 へ( マスタからスレーブへ) 送
信 されます。 マスタ/スレーブ接 続 が無 効 であり、バックアップインタフェースが関 与 すると、いずれか
のクラスタノードが停 止 していることを知 らせる通 知 が管 理 者 に送 信 されます。 ただし、このオプシ
ョンはスレーブシステムに一 切 影 響 を与 えないため、未 設 定 のままにしておくことができます。
4.12シャット ダウンとリスタート
このタブでは、手 動 でシャット ダウンまたはリスタート できます。 Astaro Security Gateway.
ASG V8 管 理 ガイド
103
4.12シャット ダウンとリスタート
4マネジメント
シャット ダウン(Shutdown)： この操 作 により、システムをシャット ダウンして、すべてのサービスを
適 切 に停 止 できます。 モニタやLCDディスプレイが接 続 されていないシステムの場 合 は、シャット ダ
ウンプロセスの最 後 にビープ音 が1秒 間 隔 で鳴 り続 けます。
シャット ダウンするには、Astaro Security Gateway以 下 の手 順 に従 います。
1. 【システムをシャットダウン(停 止 )(Shutdown (Halt) the System Now)】をクリッ
クします。
2. 警 告 メッセージを確 認 します。
【システムをシャット ダウンしますか？ ( Really shut down the system?) 】というメッセージ
が表 示 されたら、 【 OK】 をクリックします。
システムはシャット ダウンして停 止 します。
お使 いのハードウェアおよび設 定 により、シャット ダウンが完 了 するまでに数 分 かかる場 合 がありま
す。 システムが完 全 にシャット ダウンした後 で、電 源 を切 ります。 システムが完 全 にシャット ダウン
する前 に電 源 を切 ると、システムが次 回 の起 動 ( ブート ) 時 にファイルシステムの一 貫 性 をチェック
するため、起 動 プロセスに通 常 よりかなり長 く時 間 がかかることになります。 最 悪 の場 合 は、データ
が失 われる場 合 があります。
システムの起 動 が正 常 に行 われるとビープ音 が連 続 して5回 鳴 ります。
リスタート ： この操 作 により、システムを完 全 にシャット ダウンして再 起 動 ( リブート ) します。 お使 い
のハードウェアおよび設 定 により、完 全 にリスタート するまでに数 分 かかる場 合 があります。
リスタート するには、Astaro Security Gateway以 下 の手 順 に従 います。
1. 【システムをリスタート (リブート )(Restart (Reboot) the System Now)】をクリック
します。
2. 警 告 メッセージを確 認 します。
【システムをリスタート しますか？ ( Really restart the system?) 】というメッセージが表 示
されたら、 【 OK】 をクリックします。
システムはシャット ダウンし、停 止 してからリブート します。
104
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.1ネット ワーク定 義
5定義およびユーザ
この章 では、Astaro Security Gateway全 体 で使 用 されるネット ワーク、サービス、期 間 の定 義
を設 定 する方 法 について説 明 します。 WebAdminの【オブジェクト定 義 の概 要 ( Definitions
Overview) 】 ページは、タイプに基 づくネット ワーク定 義 の数 と、プロト コルタイプに基 づくサービス定
義 の数 を示 します。
【定 義 およびユーザ( Definitions & Users) 】 メニューのページを使 用 すると、他 のすべての設 定
メニューで使 用 できるネット ワークとサービスを一 元 的 に定 義 することができます。 これにより、IPア
ドレス、ポート 、ネット ワークマスクなどに悩 まされることなく、名 前 を使 用 して作 業 できます。 その
他 のメリット としては、個 々 のネット ワークやサービスをグループにまとめて、一 度 に設 定 できることが
あげられます。 後 でこれらのグループに特 定 の設 定 を割 り当 てたりすると、これらの設 定 はグループ
に含 まれるすべてのネット ワークとサービスに適 用 されます。
さらに、この章 では、Astaro Security Gatewayのユーザアカウント 、ユーザグループ、および外
部 認 証 サーバの設 定 方 法 や、クライアント PCの認 証 について説 明 します。
この章 には次 のト ピックが含 まれます。
l
ネット ワーク定 義
l
サービス定 義
l
期間定義
l
ユーザ&グループ
l
クライアント 認 証
l
認 証 サーバ
5.1ネット ワーク定義
【定 義 およびユーザ( Definitions & Users) 】 >>【ネットワーク定 義 ( Network Definitions) 】
ページは、ASGのホスト 、ネット ワーク、ネット ワークグループを一 元 的 に定 義 する場 所 です。 ここ
で作 成 した定 義 は、他 の多 くのWebAdmin設 定 メニューでも使 用 できます。
ヒント - ネットワーク定 義 リスト でネット ワーク定 義 の情 報 アイコンをクリックすると、ネット ワーク定
義 が使 用 されるすべての設 定 オプションを表 示 できます。
ASG V8 管 理 ガイド
105
5.1ネット ワーク定 義
5定 義 およびユーザ
図 33 定 義 ( Definitions) ：ネット ワーク定 義 のリスト
ネット ワークテーブルには、システムが自 動 的 に作 成 した、編 集 も削 除 もできない静 的 ネット ワー
クも含 まれています。
l
インタフェースアド レス(Interface Address)： このタイプの定 義 は、各 ネット ワークインタ
フェースに追 加 されます。 ここには、インタフェースの現 在 のIPアドレスが含 まれています。 名
前 では、インタフェース名 の後 に「(Address)」という言 葉 が付 いています。
l
インタフェースブロード キャスト アド レス(Interface Broadcast Address)： このタイプ
の定 義 は、各 イーサネット タイプネット ワークインタフェースに追 加 されます。 ここには、インタ
フェースの現 在 のIPv4ブロードキャスト アドレスが含 まれています。 名 前 では、インタフェース
名 の後 に「(Broadcast)」という言 葉 が付 いています。
l
インタフェースネット ワークアド レス(Interface Network Address)： このタイプの定 義
は、各 イーサネット タイプネット ワークインタフェースに追 加 されます。 ここには、インタフェース
の現 在 のIPv4ネット ワークが含 まれています。 名 前 では、インタフェース名 の後
に「(Network)」という言 葉 が付 いています。
l
インターネット (Internet)： インタフェースに関 連 付 けられたネット ワーク定 義 。デフォルト
ゲート ウェイとして機 能 します。 設 定 でこれを使 用 すると、設 定 プロセスが容 易 になりま
す。 【アップリンクバランシング( Uplink Balancing) 】 を有 効 にすると、 インターネット はアップ
リンクインタフェースと関 連 付 けられます。
ネット ワーク定 義 を作 成 するには、次 の手 順 に従 います。
106
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.1ネット ワーク定 義
1. 【ネットワーク定 義 (Network Definitions)】 ページで 【新 規 ネットワーク定 義 (New
Network Definition)】 をクリックします。
【新 規 ネットワーク定 義 の作 成 ( Create New Network Definition) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
( 選 択 した定 義 タイプに応 じて、ネット ワーク定 義 のさらに詳 細 なパラメータが表 示 されま
す。)
名 前 (Name)： この定 義 を説 明 する名 前 を入 力 します。
タイプ(Type)： ネット ワーク定 義 タイプを選 択 します。 次 のタイプを使 用 できます。
l
l
ホスト (Host)： 1つのIPv4アドレス。 次 の情 報 を指 定 します。
l アド レス(Address)： ホスト のIPアドレス( 設 定 されたインタフェースのIPアドレ
スを入 力 することはできません) 。
l
インタフェース(Interface)( オプション) ：ネット ワーク定 義 を特 定 インタフェー
スにバインドして、その定 義 への接 続 がこのインタフェース経 由 でのみ確 立 され
るようにすることができます。
l
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
DNSホスト (DNS Host)：DNSホスト 名 。システムによって動 的 に解 決 され、IPア
ドレスが生 成 されます。 DNSホスト は、動 的 IPエンドポイント の使 用 時 に便 利 です。
システムは、TTL( 生 存 時 間 ) の値 に従 って定 期 的 にこれらの定 義 を再 解 決 し、新
しいIPアドレスがある場 合 は定 義 を更 新 します。 次 の情 報 を指 定 します。
l インタフェース(Interface)( オプション) ：ネット ワーク定 義 を特 定 インタフェー
スにバインドして、その定 義 への接 続 がこのインタフェース経 由 でのみ確 立 され
るようにすることができます。
l
ホスト 名 (Hostname)： 解 決 したいホスト 名 。
l
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
l
DNSグループ(DNS Group)： DNSホスト と似 ていますが、1つのホスト 名 用
のDNS内 の複 数 のRR( リソースレコード) を処 理 できます。透 過 プロキシでのファイア
ウォールルールと例 外 の定 義 に便 利 です。
l
ネット ワーク(Network)： 標 準 的 なIPv4ネット ワーク。ネット ワークアドレスとネット
マスクから構 成 されています。 次 の情 報 を指 定 します。
l アド レス(Address)： ネット ワークのネット ワークアドレス( 設 定 されたインタフ
ェースのIPアドレスを入 力 することはできません) 。
ASG V8 管 理 ガイド
107
5.1ネット ワーク定 義
l
108
5定 義 およびユーザ
l
インタフェース(Interface)( オプション) ：ネット ワーク定 義 を特 定 インタフェー
スにバインドして、その定 義 への接 続 がこのインタフェース経 由 でのみ確 立 され
るようにすることができます。
l
ネット マスク(Netmask)： オクテット 内 のいくつのビット でサブネット ワークが指
定 され、いくつのビット がホスト アドレスに使 用 されるかを示 すために使 用 される
ビット マスク。
l
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
マルチキャスト グループ(Multicast Group)： 定 義 されたマルチキャスト ネット ワー
ク範 囲 から構 成 されるネット ワーク。
l アド レス(Address)： マルチキャスト ネット ワークのネット ワークアドレ
ス。224.0.0.0～ 239.255.255.255の範 囲 である必 要 があります。
l
インタフェース(Interface)( オプション) ：ネット ワーク定 義 を特 定 インタフェー
スにバインドして、その定 義 への接 続 がこのインタフェース経 由 でのみ確 立 され
るようにすることができます。
l
ネット マスク(Netmask)： オクテット 内 のいくつのビット でサブネット ワークが指
定 され、いくつのビット がホスト アドレスに使 用 されるかを示 すために使 用 される
ビット マスク。
l
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
l
ネット ワークグループ(Network Group)： 他 のネット ワーク定 義 のリスト が含 まれ
るコンテナ。 これらを使 用 してネット ワークとホスト をバンドルすると、設 定 がより読 み
やすくなります。 ネットワークグループを選 択 すると、 【メンバ( Members) 】 ボックスが
表 示 され、グループメンバを追 加 できます。
l
可 用 性 グループ(Availability Group)： ホスト またはDNSホスト ( あるいはその
両 方 ) のグループ。優 先 順 位 に基 づいてソート されています。ICMP pingにより、す
べてのホスト の生 存 ステータスが指 定 の間 隔 でチェックされます。 優 先 順 位 が最 も
高 く、生 存 ステータスであるホスト が設 定 で使 用 されます。
l メンバ(Members)： グループメンバを追 加 します。
l
チェック間 隔 (Check Interval)： ホスト をpingチェックする間 隔 を秒 単 位
で入 力 します。
l
常 に解 決 (Always Resolved)： このオプションはデフォルト で選 択 されて
いるため、すべてのホスト が使 用 不 可 である場 合 、グルーブは最 後 に使 用 可
能 であったホスト で解 決 されます。 これを選 択 しないと、グループは未 解 決 に
設 定 されます。
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.2サービス定 義
3. 【保 存 (Save)】をクリックします。
新 しい定 義 がネット ワーク定 義 リスト に表 示 されます。
ネット ワーク定 義 を編 集 または削 除 するには、対 応 するボタンをクリックします。
5.2サービス定義
【定 義 およびユーザ( Definitions & Users) 】 >>【サービス定 義 ( Service Definitions) 】 ペー
ジで、サービスおよびサービスグループを定 義 して一 元 管 理 できます。サービスは、特 定 タイプのネ
ット ワークト ラフィックの定 義 で、TCP 、またはUDP といったプロト コルに関 する情 報 とプロト コル関 連
オプション( ポート 番 号 など) に関 する情 報 を組 み合 わせています。 サービスを使 用 して、ゲート ウ
ェイで許 可 または定 義 されるト ラフィックのタイプを決 定 することができます。
図 34 定 義 ( Definitions) ：サービス定 義 リスト
ASG V8 管 理 ガイド
109
5.2サービス定 義
5定 義 およびユーザ
ヒント -【サービス定 義 ( Service Definitions) 】 リスト のサービス定 義 の情 報 アイコンをクリックす
ると、サービス定 義 が使 用 されているすべての設 定 オプションを表 示 できます。
サービス定 義 を作 成 するには、以 下 の手 順 に従 います。
1. 【サービス定 義 (Service Definitions)】 ページで 【新 規 サービス定 義 (New
Service Definition)】 をクリックします。
【新 規 サービス定 義 の作 成 ( Create New Service Definition) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
( 選 択 した定 義 タイプに応 じて、ネット ワーク定 義 のさらに詳 細 なパラメータが表 示 されま
す。)
名 前 (Name)： この定 義 を説 明 する名 前 を入 力 します。
定 義 タイプ(Type of Definition)： サービスタイプを選 択 します。 次 のタイプを使 用 で
きます。
l
TCP： TCP( 伝 送 制 御 プロト コル) 接 続 では、0～ 65535のポート 番 号 を使 用 しま
す。 ロスト したパケット はTCPが認 識 して再 度 リクエスト します。 TCP接 続 では、受 信
者 は送 信 者 に対 してデータパケット を受 信 したときに通 知 します( 接 続 関 連 のプロト
コル) 。 TCPセッションは3WAYハンドシェークで始 まり、セッションの最 後 に接 続 がク
ローズします。 次 の情 報 を指 定 します。
l 宛 先 ポート (Destination Port)： 宛 先 ポート を単 一 のポート 番 号 (
例 ：80) あるいは範 囲 ( 例 ：1024:64000) として入 力 します。範 囲 を指 定 する
場 合 は、コロンを区 切 り文 字 として使 用 します。
l
l
110
送 信 元 ポート (Source Port)： 送 信 元 ポート を単 一 のポート 番 号 (
例 ：80) あるいは範 囲 ( 例 ：1024:64000) として入 力 します。範 囲 を指 定 する
場 合 は、コロンを区 切 り文 字 として使 用 します。
UDP：UDP( User Datagram Protocol) は、0～ 65535のポート 番 号 を使 用 する
ステート レスプロト コルです。 UDPはステート を維 持 しないため、TCPより高 速 です。
特 に、少 量 のデータは高 速 に送 信 できます。 ただし、このステート レスは、UDPはパ
ケット がロスト またはドロップした場 合 に認 識 できないことも意 味 します。 受 信 コンピ
ュータは、データパケット を受 信 しても送 信 者 に通 知 しません。UDPを選 択 した場 合
は、TCPの場 合 と同 じ設 定 オプションを編 集 できます。
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.2サービス定 義
l
TCP/UDP： TCPとUDPの組 み合 わせで、DNSなどの両 方 のサブプロト コルを使 用
するアプリケーションプロト コルに適 切 です。TCP/UDPを選 択 した場 合 は、TCPまた
はUDPの場 合 と同 じ設 定 オプションを編 集 できます。
l
ICMP/ICMPv6：ICMP( Internet Control Message Protocol) は主 にエラーメ
ッセージの送 信 に使 用 されます。たとえば、要 求 されたサービスが利 用 できない、あ
るいはホスト やルータに到 達 できなかった、などのメッセージを送 信 します。ICMPまた
はICMPv6を選 択 した場 合 は、ICMPコード/タイプを選 択 します。 IPv4ファイアウォー
ルルールはICMPv6では機 能 せず、IPv6ファイアウォールルールはICMPでは機 能 し
ません。
l
IP：IP( Internet Protocol) は、インターネット 上 でのデータのやり取 りに使 用 される
ネット ワークおよび伝 送 プロト コルです。IPを選 択 したら、IP内 でカプセル化 されるプロ
ト コルの番 号 を指 定 します( 例 ：121、これはSMPプロト コルを表 します) 。
l
ESP：ESP( カプセル化 セキュリティペイロード ) は、IPsecト ンネリングプロト コルスイー
ト の一 部 で、VPNを介 してト ンネルされるデータに暗 号 化 サービスを提 供 します。
ESPまたはAHを選 択 した場 合 は、SPI( セキュリティパラメータインデックス) を指 定 し
ます。これは、IPアドレスとともにセキュリティパラメータを特 定 します。 特 に自
動 IPsec鍵 交 換 を使 用 する場 合 は、256～ 4,294,967,296の値 を入 力 するか、
または256～ 4,294,967,296の範 囲 として指 定 されたデフォルト 設 定 を使 用 しま
す( コロンを区 切 り文 字 として使 用 します) 。 1～ 255の番 号 はIANA( Internet
Assigned Numbers Authority) によって予 約 されています。
l
AH： 認 証 ヘッダー( AH) はIPsecト ンネリングプロト コルスイート の一 部 で、IPヘッダと
データグラムペイロード間 に位 置 し、情 報 の( 機 密 性 ではなく) 整 合 性 を維 持 しま
す。
l
グループ(Group)： その他 のサービス定 義 リスト を含 むコンテナ。 設 定 を読 みやす
くするために、これらを使 用 してサービス定 義 をまとめることができます。 【グルー
プ( Group) 】 を選 択 すると、 【メンバ( Members) 】 ダイアログボックスが開 くので、そこ
でグループのメンバ( その他 のサービス定 義 ) を追 加 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい定 義 がサービス定 義 リスト に表 示 されます。
定 義 を編 集 または削 除 するには、対 応 するボタンをクリックします。
注 -定 義 タイプは後 で変 更 できません。 定 義 タイプを変 更 するには、サービス定 義 を削 除 し、
希 望 の設 定 で新 しいサービス定 義 を作 成 します。
ASG V8 管 理 ガイド
111
5.3期 間 定 義
5定 義 およびユーザ
5.3期間定義
【定 義 およびユーザ( Definitions & Users) 】 >>【期 間 定 義 ( Time Period Definitions) 】
ページで、単 独 または繰 り返 し発 生 する時 間 帯 ( タイムスロット ) を定 義 できます。これを使 用 し
て、コンテンツフィルタプロファイルの割 り当 てを特 定 の時 間 範 囲 に制 限 できます。
図 35 定 義 ( Definitions) ：タイムイベント 定 義 リスト
ヒント -【期 間 定 義 ( Time Period Definitions) 】 リスト の期 間 定 義 の情 報 アイコンをクリックす
ると、その期 間 定 義 が使 用 されているすべての設 定 オプションを表 示 できます。
期 間 定 義 を作 成 するには、以 下 の手 順 に従 います。
1. 【期 間 定 義 (Time Period Definitions)】 タブで 【新 規 期 間 定 義 (New Time
Period Definition)】 をクリックします。
【新 規 期 間 定 義 を作 成 ( Create New Time Period Definition) 】 ダイアログボックスが開
きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この期 間 定 義 を説 明 する名 前 を入 力 します。
タイプ(Type)： 期 間 定 義 のタイプを選 択 します。 次 のタイプを使 用 できます。
l
112
繰 り返 しイベント (Recurring Event)： これらのイベント は定 期 的 に繰 り返 されま
す。 開 始 時 間 、終 了 時 間 、および期 間 定 義 が適 用 される曜 日 を選 択 できます。
このタイプには開 始 日 と終 了 日 は選 択 できません。
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.4ユーザ&グループ
l
単 独 のイベント (Single Event)： これらのイベント は一 度 だけ実 施 されます。 開
始 日 時 および終 了 日 時 の両 方 を選 択 できます。 これらの定 義 は繰 り返 されないの
で、 【曜 日 ( Weekdays) 】 オプションはこのタイプには選 択 できません。
l
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい期 間 定 義 が【期 間 定 義 ( Time Period Definitions) 】 リスト に表 示 されます。
期 間 定 義 を編 集 あるいは削 除 するには、該 当 するボタンをクリックします。
注 - ファイアウォールルールまたはフィルタ割 り当 て内 で使 用 されていない期 間 定 義 のみを削 除
できます。
5.4ユーザ&グループ
【定 義 およびユーザ( Definitions & Users) 】 >>【ユーザとグループ】 Users & Groups) 】 メニ
ューを使 用 して、WebAdminアクセス、リモート アクセス、ユーザポータルアクセス、Eメールの使 用
のためのユーザとグループを作 成 することができます。
5.4.1ユーザ
【定 義 およびユーザ( Definitions & Users) 】 >>【ユーザとグループ( Users & Groups) 】 >>【
ユーザ( Users) 】 タブで、ゲート ウェイにユーザアカウント を追 加 することができます。工 場 出 荷 時
のデフォルト 設 定 では、Astaro Security Gateway にはadminという1人 の管 理 者 が構 成 され
ています。
ヒント -【ユーザ( Users) 】 リスト のユーザ定 義 の情 報 アイコンをクリックすると、ユーザ定 義 が使
用 されているすべての設 定 オプションを表 示 できます。
【新 規 ユーザ( New User) 】 ダイアログボックスでEメールアドレスを指 定 すると、このユーザ
のX.509証 明 書 が生 成 されるのと同 時 に、Eメールアドレスを証 明 書 のVPNIDとして使 用 して
ユーザ定 義 が作 成 されます。 Eメールアドレスが指 定 されていない場 合 は、ユーザの識 別
名 ( DN) をVPN IDとして証 明 書 が作 成 されます。 このように、ユーザがeDirectoryなどのバックエ
ンドグループにより認 証 されている場 合 は、対 応 するバックエンドユーザオブジェクト でEメールアドレ
スが設 定 されていない場 合 でも証 明 書 は作 成 されます。
ASG V8 管 理 ガイド
113
5定 義 およびユーザ
5.4ユーザ&グループ
なぜなら、各 証 明 書 のVPN IDは一 意 であるため、各 ユーザ定 義 は異 なる一 意 のEメールアドレ
スを使 用 しているからです。システムにすでにあるEメールアドレスを使 用 したユーザ定 義 の作 成 は
失 敗 します。 証 明 書 は、Astaro Security Gatewayがサポート する各 種 リモート アクセス方 法
で使 用 可 能 です。ただし、PPTP、PSKを使 用 するL2TP over IPsec、およびRSAまたはPSKを使
用 するネイティブIPsecは除 外 されます。
図 36 ユーザ( Users) ：ユーザリスト
ユーザアカウント を追 加 するには、以 下 の手 順 に従 います。
1. 【ユーザ(Users)】 タブで、 【新 規 ユーザ(New User)】 をクリックします。
【新 規 ユーザの作 成 ( Create New User) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
ユーザ名 (Username)： このユーザを説 明 する名 前 を入 力 します( 例 ：jdoe) 。
実 際 の名 前 (Real Name)： ユーザの実 際 の名 前 を入 力 します( 例 ：John Doe) 。
Eメールアド レス(E-mail Address)： ユーザのプライマリEメールアドレスを入 力 します。
他 のEメールアド レス(Additional E-mail Addresses)( オプション) ：このユーザの他
のEメールアドレスを入 力 します。 これらのEメールアドレスに送 信 されたスパムメールは各 E
メールアドレス用 の個 々 の隔 離 レポート にリスト され、このレポート は前 述 のプライマリEメー
ルアドレスに送 信 されます。
認 証 (Authentication)： 認 証 方 式 を選 択 します。 以 下 の方 式 を使 用 できます。
114
l
ローカル(Local)： この方 式 は、ゲート ウェイ.
l
リモート (Remote)： 当 製 品 でサポート されている外 部 認 証 方 式 のいずれかを使
用 してユーザを認 証 する場 合 に選 択 します。 Astaro Security Gateway. 詳 細
は、 【定 義 およびユーザ( Definitions & Users) 】 >>【認 証 サー
バ( Authentication Servers) 】 を参 照 してください。
ASG V8 管 理 ガイド
5定 義 およびユーザ
l
5.4ユーザ&グループ
なし(None)： ユーザが認 証 されるのを完 全 に防 止 する場 合 に選 択 します。 これ
は、たとえば、ユーザ定 義 を削 除 することなくユーザを一 時 的 に無 効 にする場 合 に
役 に立 ちます。
パスワード (Password)： ユーザのパスワードを入 力 します( 確 認 のために2回 入 力 しま
す) 。 認 証 方 式 として【ローカル( Local) 】 を選 択 した場 合 のみ利 用 できます。 基 本 的 な
ユーザ認 証 ではウムラウト はサポート していません。
バンクエンド の同 期 (Backend Sync)： 実 際 の名 前 やユーザのEメールアドレスなどの
ユーザ定 義 の基 本 設 定 の一 部 を、データを外 部 バックエンド認 証 サーバと同 期 することで
自 動 的 に更 新 できます( 認 証 方 式 として【リモート ( Remote) 】 を選 択 したときのみ利 用 で
きます) 。
注 - 現 在 は、Active DirectoryおよびeDirectoryサーバのデータのみ同 期 できます。
X.509証 明 書 (X.509 Certificate)： ユーザ定 義 を作 成 したら、ユーザ定 義 を編 集
する際 にこのユーザにX.509証 明 書 を割 り当 てることができます。 デフォルト では、この証
明 書 はユーザ定 義 を作 成 したときに自 動 的 に生 成 されたものです。 ただし、サードパーティ
の証 明 書 を割 り当 てることもできます。証 明 書 は、 【リモートアクセス( Remote
Access) 】 >>【証 明 書 管 理 ( Certificate Management) 】 >>【証 明
書 ( Certificates) 】 タブでアップロードできます。
スタティックリモート アクセスIPを使 用 (Use Static Remote Access IP)( オプショ
ン) ：リモート アクセスを取 得 するユーザに、IPアドレスプールのダイナミックIPアドレスを割 り当
てる代 わりにスタティックIPアドレスを割 り当 てる場 合 に選 択 します。 NATルータ背 後
のIPsecユーザは、スタティックリモート アクセスIPアドレスを必 ず使 用 する必 要 があります。
注 - スタティックリモート アクセスIPは、PPTP、L2TP、およびIPsecを介 したリモート アクセ
スのみに使 用 できます。 これは、SSLを介 したリモート アクセスには使 用 できません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで詳 細 設 定 を行 います。
ユーザは独 自 のEメールホワイト リスト とブラックリスト を作 成 し、管 理 することができます( 「
ユーザポータル」の章 を参 照 ) 。 ここでこれらのリスト を参 照 し、必 要 に応 じて変 更 すること
ができます。
4. 【保 存 (Save)】 をクリックします。
新 しいユーザアカウント が【ユーザ( Users) 】 リスト に表 示 されます。
ASG V8 管 理 ガイド
115
5定 義 およびユーザ
5.4ユーザ&グループ
このユーザをWebベースの管 理 インタフェースWebAdminへのアクセスをもつ正 規 の管 理 者 にす
る場 合 は、そのユーザをSuperAdminsグループに追 加 します。SuperAdminsは、WebAdmin
の【定 義 およびユーザ( Definitions & Users) 】 >>【ユーザとグループ( Users &
Groups) 】 >>【グループ( Groups) 】 タブで設 定 します。
注 - ユーザオブジェクト を削 除 した後 で同 じ名 前 でユーザオブジェクト を作 成 する場 合 は、この
ユーザに関 連 する証 明 書 も 【リモートアクセス( Remote Access) 】 >>【証 明 書 管
理 ( Certificate Management) 】 >>【証 明 書 ( Certificates) 】 タブで削 除 したことを確 認 して
ください。 削 除 していない場 合 、「その名 前 のアイテムはすでに存 在 します」という旨 のエラーメッ
セージが表 示 されます。
5.4.2グループ
【定 義 およびユーザ( Definitions & Users) 】 >>【ユーザとグループ( Users & Groups) 】 >>【
グループ( Groups) 】 ページで、ゲート ウェイにユーザグループを追 加 することができます。 工 場 出
荷 時 のデフォルト 設 定 として、Astaro Security GatewayにはSuperAdminsというユーザグルー
プがあります。 管 理 特 権 をユーザに割 り当 てたい( つまりWebAdminへのアクセス権 をユーザに付
与 したい) 場 合 は、当 該 ユーザをSuperAdminsグループに追 加 します。このグループは削 除 しな
いでください。
図 37 グループ：グループのリスト
ヒント - 【グループ( Groups) 】 リスト でグループの定 義 をクリックすると、そのグループ定 義 が使
用 されているすべての設 定 オプションが表 示 されます。
ユーザグループを追 加 するには、次 の手 順 に従 ってください。
116
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.4ユーザ&グループ
1. 【グループ(Groups)】 タブで、 【新 規 グループ(New Group)】 をクリックします。
【新 規 グループの作 成 ( Create New Group) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
グループ名 (Group Name)： このグループを説 明 する名 前 を入 力 します。 この名 前 は、
バックエンドグループの名 前 に対 応 している必 要 はありません。
グループタイプ(Group Type)： グループのタイプを選 択 します。 静 的 メンバのグループ
か、動 的 メンバシップを実 現 する2種 類 のグループタイプから選 択 できます。
l
静 的 メンバ(Static Members)： このグループのメンバとなるローカルユーザを選
択 します。
l
IPsec X509 DNマスク(IPsec X509 DN Mask)： ユーザは、IPsec接 続 に
よってゲート ウェイへのログインに成 功 し、識 別 名 に含 まれる特 定 のパラメータが【 DN
マスク( DN Mask) 】 ボックスで指 定 された値 と一 致 した場 合 に、IPsec X509 DNグ
ループ定 義 に動 的 に追 加 されます。
l
バックエンド メンバシップ(Backend Membership)： ユーザは、サポート されるい
ずれかの認 証 メカニズムによる認 証 が成 功 した場 合 に、グループ定 義 に動 的 に追
加 されます。 続 行 するには、該 当 するバックエンド認 証 タイプを選 択 します。
l Active Directory：ゲート ウェイのActive Directorユーザグループ
は、Windowsネット ワーク上 で設 定 されているActive Directoryサーバユー
ザグループのメンバに対 し、グループメンバシップを提 供 します。 このユーザが
メンバとなっているActive Directoryサーバグループの名 前 を入 力 してくださ
い。 詳 細 は、 「定 義 およびユーザ」 >>「認 証 サーバ」 >>「サーバ」 を参 照 し
てください。
l
eDirectory：ゲート ウェイのeDirectoryユーザグループは、eDirectoryネッ
ト ワーク上 で設 定 されているeDirectoryユーザグループのメンバに対 し、グ
ループメンバシップを提 供 します。 このユーザがメンバとなっているeDirectory
グループの名 前 を入 力 してください。 詳 細 は、 「定 義 およびユーザ」 >>「認
証 サーバ」 >>「サーバ」 を参 照 してください。
l
RADIUS： ユーザは、RADIUS認 証 方 式 による認 証 が成 功 する
と、RADIUSバックエンドグループに自 動 的 に追 加 されます。
l
TACACS+： ユーザは、TACACS+認 証 方 式 による認 証 が成 功 する
と、TACACS+バックエンドグループに自 動 的 に追 加 されます。
l
LDAP： ユーザは、LDAP認 証 方 式 による認 証 が成 功 すると、LDAPバックエ
ンドグループに自 動 的 に追 加 されます。
ASG V8 管 理 ガイド
117
5.4ユーザ&グループ
5定 義 およびユーザ
バックエンド グループメンバシップに制 限 (Limit to Backend Group(s)
Membership)( オプション) ：選 択 したバックエンドサーバのすべてのユーザをこのグループ
定 義 に含 めることを望 まない場 合 は、すべてのX.500ベースのディレクト リサービスに対 し
て、バックエンドサーバ上 のいくつかのグループにメンバシップを制 限 することができます。 こ
のオプションを選 択 する場 合 、ここで入 力 するグループは、バックエンドサーバに設 定 されて
いる一 般 名 と一 致 している必 要 があります。 Active Directoryバックエンドに対 してこのオ
プションを選 択 する場 合 、CN=プレフィックスは省 略 できます。 eDirectoryバックエンドに対
してこのオプションを選 択 すると、eDirectoryブラウザを使 用 して、このグループ定 義 に含 め
るeDirectoryグループを簡 単 に選 択 することができます。 ただし、eDirectoryブラウザを使
用 しない場 合 は、eDirectoryコンテナの入 力 時 にCN=プレフィックスを必 ず含 めてください。
LDAP属 性 のチェック(Check an LDAP Attribute)( オプション) ：選 択 したバックエン
ドLDAPサーバのすべてのユーザをこのグループ定 義 に含 めたくはない場 合 は、このチェック
ボックスにチェックを入 れて、バックエンドサーバ上 にある特 定 のLDAP属 性 に一 致 するユー
ザのみにメンバシップを制 限 することができます。 この属 性 はLDAP検 索 フィルタとして使 用
されます。 たとえば、属 性 としてgroupMembershipを入 力 し、その値 とし
てCN=Sales,O=Exampleを入 力 することができます。 これにより、会 社 の営 業 部 門 に属 す
るすべてのユーザをグループ定 義 に含 めることができます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいユーザグループが【グループ( Groups) 】 リスト に表 示 されます。
グループを編 集 または削 除 するには、対 応 するボタンをクリックします。
118
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.5クライアント 認 証
図 38 グループ( Groups) ：eDirectoryブラウザ - Astaro Security Gateway
5.5クライアント 認証
Astaroは、ユーザ認 証 をASGで直 接 認 証 を行 うために、Windows用 の認 証 クライアント を提 供
しています。 これにより、ユーザネット ワークまたはグループネット ワークに基 づくファイアウォールルー
ルを作 成 したりすることで、Webサーフィンやネット ワークト ラフィックをユーザに基 づいてコント ロール
することができます。 さらに、可 能 であれば、IPアドレス、ホスト 名 、その他 の情 報 をユーザ名 に置
き換 えるため、データやオブジェクト のレポート がより読 みやすくなります。
クライアント 認 証 を使 用 したい( あるいは使 用 する必 要 がある) ユーザは、クライアント PCにAstaro
Authentication Agent( AAA) をインスト ールする必 要 があります。 AAAは、このWebAdmin
ページまたはユーザポータルからダウンロード可 能 です。 ユーザポータルのページにダウンロードリン
クが表 示 されるのは、クライアント 認 証 設 定 のユーザグループに参 加 しているユーザのみです。
クライアント 認 証 を設 定 するには、次 の手 順 に従 ってください。
1. 【クライアント認 証 (Client Authentication)】 タブで、クライアント 認 証 を有 効 にしま
す。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ASG V8 管 理 ガイド
119
5.6認 証 サーバ
5定 義 およびユーザ
ステータスアイコンが緑 色 になり、 【クライアント認 証 オプション( Client Authentication
Options) 】 エリアが編 集 可 能 になります。
2. 許 可 するネット ワークを選 択 します。
クライアント 認 証 を使 用 する必 要 があるネット ワークを選 択 します。 クライアント 認 証 が機
能 するためには、これらのネット ワークがASGに直 接 接 続 されている必 要 があります。
3. 許 可 するユーザおよびグループを選 択 します。
単 一 のユーザおよびグループを【許 可 されるユーザおよびグループ( Allowed Users and
Groups) 】 ボックスで選 択 または追 加 します。 これは、既 存 の認 証 グループ( Active
Directoryユーザグループなど) にすることもできます。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
選 択 したネット ワークでクライアント 認 証 を利 用 できるようになりました。
クライ アント 認 証 プ ログラ ム
クライアント 認 証 を有 効 にすると、ここでAstaro Authentication Agent( AAA) をダウンロードでき
ます。 AAAを手 動 で配 布 することも、ユーザがユーザポータルからダウンロードできるようにすること
もできます。
AAAはWebフィルタの認 証 モードとして使 用 できます。 詳 しくは、 「 Web セキュリティ」 >>「 Web フ
ィルタ」 >>「グローバル」 の章 を参 照 してください。
5.6認証サーバ
【定 義 ( Definitions) 】 &【ユーザ( Users) 】 >>【認 証 サーバ( Authentication Servers) 】 ペー
ジでは、外 部 ユーザ認 証 サービスのデータベースおよびバックエンドサーバを管 理 できます。外 部
ユーザ認 証 を使 用 すると、ネット ワーク内 の他 のサーバ上 にある既 存 のユーザデータベースやディ
レクト リサービスに対 して、ユーザアカウント を検 証 することができます。 現 在 サポート されている認
証 サービスは次 のとおりです。
l
NovellのeDirectory
l
マイクロソフト のActive Directory
l
RADIUS
l
TACACS+
l
LDAP
120
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
5.6.1グローバル設 定
【定 義 ( Definitions) 】 &【ユーザ( Users) 】 >>【認 証 サーバ( Authentication
Servers) 】 >>【グローバル設 定 ( Global Settings) 】 タブでは、基 本 的 な認 証 オプションを設 定
できます。 次 のオプションを使 用 できます。
自 動 的 にユーザを作 成 (Create Users Automatically)： このオプションを選 択 した場 合 、
設 定 済 みのバックエンドグループの不 明 ユーザが、Astaro Security Gatewayでサポート されて
いる各 種 認 証 サービスのいずれかに対 する認 証 に成 功 すると、Astaro Security Gatewayは常
にユーザオブジェクト を自 動 的 に作 成 します。たとえば、RADIUSバックエンドグループを設 定 してお
り、 【マネジメント ( Management) 】 >>【 WebAdmin設 定 ( WebAdmin Settings) 】 >>【アク
セスコントロール( Access Control) 】 タブの【許 可 される監 査 役 ( Allowed Auditors) 】 ボックス
でこのグループを選 択 している場 合 、Astaro Security GatewayはWebAdminへのログインに
成 功 したRADIUSユーザに対 してユーザ定 義 を自 動 的 に作 成 します。
l
機 能 別 自 動 ユーザ作 成 (Automatic User Creation for Facilities)： 自 動 ユー
ザ作 成 は、特 定 のサービスに対 して有 効 または無 効 にすることができます。 有 効 なサービ
スに対 してのみ、ユーザが作 成 されます。 【自 動 的 にユーザを作 成 ( Create Users
Automatically) 】 オプションからチェックを外 すと、このオプションは使 用 できず、ユーザの自
動 作 成 機 能 はすべてのファシリティに対 して無 効 になります。
注 - この機 能 は、Active Directoryのシングルサインオン( SSO) では機 能 しません。
これらのユーザオブジェクト は、Astaro Security Gatewayのユーザポータルへのアクセス権 を付
与 するためにも必 要 です。さらに、自 動 作 成 されたすべてのユーザオブジェクト のために、SSL証 明
書 が生 成 されます。ただし、Eメールアドレスが衝 突 する場 合 は、このユーザの自 動 作 成 は失 敗 し
ます。この理 由 は、自 動 的 に作 成 されるユーザ定 義 において、システムにすでに存 在 するEメール
アドレスを設 定 すべきではないためです。EメールアドレスはSSL証 明 書 の識 別 子 として使 用 され
るため、すべてのEメールアドレスはシステム内 で一 意 でなければなりません。
重 要 - ユーザオブジェクト が自 動 作 成 されたユーザに対 する認 証 ( ユーザが何 者 であるかを判
断 するためのアクション) と権 限 付 与 ( ユーザが何 を許 可 されているかを判 断 するためのアクショ
ン) は、常 にリモート のバックエンドサーバ/ディレクト リサービス上 で実 行 されます。 そのため、対
応 するバックエンドサーバが使 用 不 能 な場 合 や、そのリモート サイト でユーザオブジェクト が削 除
されている場 合 には、Astaro Security Gatewayで自 動 的 に作 成 されたユーザオブジェクト は
機 能 しません。
ASG V8 管 理 ガイド
121
5.6認 証 サーバ
5定 義 およびユーザ
また、Active Directoryのシングルサインオン( SSO) を除 き、Astaro Security Gatewayはリ
モート 認 証 サーバから取 得 したユーザ認 証 データを300秒 間 キャッシュします。 このため、リモート
ユーザ設 定 への変 更 は、キャッシュの期 限 が切 れた後 で初 めて有 効 になります。
認 証 キ ャッシ ュ
Astaro Security Gatewayが不 明 ユーザからhttpなどのユーザ要 求 を受 信 し、認 証 が必 要 で
ある場 合 は、Astaro User Authentication( AUA) が必 ず認 証 キャッシュにエント リを書 き込 み
ます。長 期 的 に、ユーザが頻 繁 に変 わるような環 境 では、適 宜 キャッシュを空 にすることが合 理
的 です。 また、すべてのユーザに対 して、新 たな認 証 を今 すぐ強 制 したい場 合 には、 【認 証 キャッ
シュのクリア( Flush Authentication Cache) 】 ボタンを使 用 して、認 証 キャッシュを空 にしてくださ
い。
認 証 は300秒 間 有 効 です。 この間 、同 じユーザから他 の認 証 要 求 があったときには、直 接 キャッ
シュが検 索 されます。 この方 法 により、eDirectoryなどのバックエンド認 証 サービスにかかる負 荷
を軽 減 できます。
注 - キャッシュのフラッシングは、リモート ログイン中 のユーザには影 響 がありません。
ライブ ログ
ライブログを開 く(Open Live Log)： このボタンをクリックすると、新 しいウィンドウにAstaro User
Authentication( AUA) のログが表 示 されます。
5.6.2サーバ
【定 義 ( Definitions) 】 &【ユーザ( Users) 】 >>【認 証 サーバ( Authentication
Servers) 】 >>【サーバ( Servers) 】 タブで、1つ以 上 の認 証 サーバ( eDirectory、Active
Directory、LDAP、RADIUS、TACACS+など) を作 成 できます。
5.6.2.1eDirectory
Novell eDirectoryは、あるネット ワーク内 の複 数 のサーバとコンピュータ上 にあるリソースへのアク
セスを一 元 管 理 するためのX.500互 換 ディレクト リサービスです。 eDirectoryは階 層 構 造 のオブ
ジェクト 指 向 データベースであり、組 織 内 のすべての資 産 を論 理 ツリーで表 現 します。 資 産 に
は、人 、サーバ、ワークステーション、アプリケーション、プリンタ、サービス、グループなどが含 まれま
す。
122
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
図 39 認 証 ( Authentication) ：eDirectoryの設 定
eDirectory認 証 を設 定 するには、次 の手 順 に従 ってください。
1. 【サーバ(Servers)】 タブで、 【新 規 認 証 サーバ(New Authentication Server)】 を
クリックします。
【新 規 認 証 サーバの作 成 ( Create New Authentication Server) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
バックエンド (Backend)： バックエンドのディレクト リサービスとして【 eDirectory】 を選 択 し
ます。
位 置 (Position)： バックエンドサーバの位 置 を選 択 します。 番 号 が小 さいバックエンド
サーバから順 に問 い合 わせが行 われます。 パフォーマンスを向 上 するためには、要 求 を最
も多 く受 けると予 想 されるバックエンドサーバをリスト の一 番 上 に配 置 します。
サーバ(Server)： eDirectoryサーバを選 択 ( または追 加 ) します。
ASG V8 管 理 ガイド
123
5.6認 証 サーバ
5定 義 およびユーザ
SSLを使 用 (Use SSL)：SSLデータ転 送 を有 効 にするには、このオプションを選 択 しま
す。すると、 ポート が389( LDAP) から636( ldaps = LDAP over SSL) に変 わります。
ポート (Port)： eDirectoryサーバのポート を選 択 します。 デフォルト で、ポート 389が選
択 されています。
バインド DN(Bind DN)： サーバにバインドするユーザの識 別 名 ( DN) を指 定 します。
eDirectoryサーバへの匿 名 での問 い合 わせが許 可 されていない場 合 、このユーザが必 要
です。 バインドユーザには、関 連 するすべてのユーザオブジェクト 情 報 をeDirectoryサーバ
から取 得 してユーザの認 証 を行 うために必 要 な特 権 が付 与 されている必 要 があります。
eDirectoryユーザ、グループ、コンテナは、LDAP表 記 法 で完 全 識 別 名 として指 定 します。
区 切 り文 字 にはコンマを使 用 します(
例 ：CN=administrator,DC=intranet,DC=example,DC=com) 。
パスワード (Password)： バインドユーザのパスワードを入 力 します( 確 認 のために2回 ) 。
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。 このボタンは、 【適
用 ( Apply) 】 ボタンをクリックしてサーバ設 定 を保 存 した場 合 のみ使 用 できます。
ベースDN(Base DN)： LDAPツリーのルート に相 対 的 な開 始 位 置 で、ここに認 証 される
ユーザが含 まれています。 ベースDNは、LDAP表 記 の完 全 識 別 名 ( FDN) で、コンマを区
切 り文 字 として使 用 して指 定 する必 要 があります( 例 ：O=Example,OU=RnD) 。 ベースDN
は空 にすることもできます。 この場 合 は、ベースDNは自 動 的 にディレクト リから取 り出 されま
す。
ユーザ名 (Username)： 認 証 を実 行 するテスト ユーザのユーザ名 を入 力 してください。
パスワード (Password)： テスト ユーザのパスワードを入 力 します。
サンプルユーザの認 証 (Authenticate Example User)： 【テスト ( Test) 】 ボタンをクリ
ックして、テスト ユーザの認 証 テスト を開 始 します。 これにより、すべてのサーバ設 定 が正 し
いこと、サーバが稼 働 中 で接 続 を受 け付 けていること、およびユーザを正 常 に認 証 できるこ
とを確 認 できます。
3. 【保 存 (Save)】 をクリックします。
サーバが【サーバ( Servers) 】 リスト に表 示 されます。
5.6.2.2Active Directory
Active Directory( AD) とは、マイクロソフト が実 装 したディレクト リサービスであり、Windows
2000/2003 Serverの中 核 を成 すコンポーネント です。 Active Directoryには、ユーザ、グルー
124
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
プ、コンピュータ、プリンタ、アプリケーション、サービス、あらゆる種 類 のユーザ定 義 オブジェクト な
ど、ネット ワーク内 に存 在 するさまざまなリソースに関 する情 報 が保 存 されます。 このため、Active
Directoryには、これらのリソースへのアクセスを一 元 的 に体 系 化 し、管 理 し、コント ロールするた
めの機 能 が用 意 されています。
図 40 認 証 ( Authentication) ：Active Directoryユーザ認 証 の設 定
Active Directory認 証 方 式 では、Astaro Security GatewayをWindowsドメインに登 録 し、プ
ライマリのドメインコントローラ( DC) にAstaro Security Gateway用 のオブジェクト を作 成 します。
これにより、ASGは、このドメインのユーザとグループに関 する情 報 を問 い合 わせることが可 能 になり
ます。
Active Directory認 証 を設 定 するには、次 の手 順 に従 ってください。
1. 【サーバ(Servers)】 タブで、 【新 規 認 証 サーバ(New Authentication Server)】 を
クリックします。
【新 規 認 証 サーバの作 成 ( Create New Authentication Server) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
バックエンド (Backend)： バックエンドのディレクト リサービスとして【 Active Directory】 を
選 択 します。
ASG V8 管 理 ガイド
125
5.6認 証 サーバ
5定 義 およびユーザ
位 置 (Position)： バックエンドサーバの位 置 を選 択 します。 番 号 が小 さいバックエンド
サーバから順 に問 い合 わせが行 われます。 パフォーマンスを向 上 するためには、要 求 を最
も多 く受 けると予 想 されるバックエンドサーバをリスト の一 番 上 に配 置 します。
サーバ(Server)： Active Directoryサーバを選 択 ( または追 加 ) します。
SSLを使 用 (Use SSL)：SSLデータ転 送 を有 効 にするには、このオプションを選 択 しま
す。すると、 ポート が389( LDAP) から636( ldaps = LDAP over SSL) に変 わります。
ポート (Port)： Active Directoryサーバのポート を選 択 します。 デフォルト で、ポート 389
が選 択 されています。
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。 このボタンは、 【適
用 ( Apply) 】 ボタンをクリックしてサーバ設 定 を保 存 した場 合 のみ使 用 できます。
バインド DN(Bind DN)： サーバにバインドするユーザの完 全 な 識 別 名 ( DN) をLDAP表
記 法 で指 定 します。 eDirectoryサーバへの匿 名 での問 い合 わせが許 可 されていない場
合 、このユーザが必 要 です。 バインドユーザには、関 連 するすべてのユーザオブジェクト 情
報 をActive Directoryサーバから取 得 してユーザの認 証 を行 うために必 要 な特 権 を付 与
する必 要 があります。通 常 は、ドメインの管 理 者 がこの要 件 に対 応 します。
各 DNは、Active Directoryユーザオブジェクト のいくつかの属 性 から成 る1つ以 上 のRDN(
相 対 識 別 名 ) で構 成 されます。ユーザ名 、常 駐 するノード、サーバのト ップレベルDNなど
を、コンマ区 切 りのLDAP表 記 法 で記 述 します。
126
l
ユーザ名 は、ディレクト リにアクセスできるユーザの名 前 にする必 要 があり、CN識 別
子 ( CN=userなど) で指 定 します。 ドメイン権 限 を持 つ「admin」などの一 般 的 なア
カウント を使 用 することもできますが、ベスト プラクティスとしては、admin権 限 を持 た
ないユーザを指 定 することが推 奨 されます。この理 由 は、所 与 のベースDNを起 点 と
するサブツリー内 の全 オブジェクト に対 する読 み取 り権 限 さえあれば十 分 であるため
です。
l
ユーザオブジェクト が保 存 されているノードの情 報 には、ルート ノードからユーザオブジ
ェクト まですべてのサブノードが含 まれている必 要 があり、通 常 はいわゆる組 織 ユニッ
ト コンポーネント や一 般 名 コンポーネント から構 成 されます。 組 織 ユニッ
ト ( Microsoft Management Consoleでは、フォルダと本 を組 み合 わせたアイコンで
示 される) は、識 別 子 OUを使 用 して指 定 します。 ノードは、最 も低 いノードから順 に
並 べられ、末 尾 は最 も高 いノードになります。つまり、先 頭 は最 も詳 細 な要 素 になり
ます( 例 ：OU=Management_US,OU=Management) 。 一 方 、事 前 定 義 されてい
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
るUsersノードなどのデフォルト Active Directoryコンテナ( シンプルなフォルダアイコ
ンで示 される) は、識 別 子 CNで指 定 します( 例 ：CN=Users) 。
l
サーバのト ップレベルDNは、それぞれ識 別 子 DCで指 定 されている複 数 のドメインコン
ポーネント から構 成 することができます。 ドメインコンポーネント はドメイン名 と同 じ順
序 で指 定 します( たとえば、ドメイン名 がexample.comである場 合 、DN部 分
はDC=example,DC=comとします) 。
たとえば、名 前 がadministratorであり、オブジェクト がexample.comドメインのUsersコン
テナに保 存 されるバインドユーザのDNは次 のようになりま
す。CN=administrator,CN=Users,DC=example,DC=com
図 41 認 証 ( Authentication) ：Microsoft Management Console
ここで、Managementという名 前 の組 織 ユニット を作 成 し、サブノードをManagement_
USとし、管 理 者 ユーザオブジェクト をこのサブノードに移 動 すると、管 理 者 のDNは次 のよう
に変 わります。CN=administrator,OU=Management_
US,OU=Management,DC=example,DC=com
パスワード (Password)： バインドユーザのパスワード( 確 認 のために2回 ) 。
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。 このボタンは、 【適
用 ( Apply) 】 ボタンをクリックしてサーバ設 定 を保 存 した場 合 のみ使 用 できます。
ベースDN(Base DN)： LDAPツリーのルート に相 対 的 な開 始 位 置 で、ここに認 証 される
ユーザが含 まれています。 ベースDNは、LDAP表 記 の完 全 識 別 名 ( FDN) で、コンマを区
切 り文 字 として使 用 して指 定 する必 要 があります( 例 ：O=Example,OU=RnD) 。 ベースDN
は空 にすることもできます。 この場 合 は、ベースDNは自 動 的 にディレクト リから取 り出 されま
す。
ASG V8 管 理 ガイド
127
5.6認 証 サーバ
5定 義 およびユーザ
ユーザ名 (Username)： 認 証 を実 行 するテスト ユーザのユーザ名 を入 力 してください。
パスワード (Password)： テスト ユーザのパスワードを入 力 します。
サンプルユーザの認 証 (Authenticate Example User)： 【テスト ( Test) 】 ボタンをクリ
ックして、テスト ユーザの認 証 テスト を開 始 します。 これにより、すべてのサーバ設 定 が正 し
いこと、サーバが稼 働 中 で接 続 を受 け付 けていること、およびユーザを正 常 に認 証 できるこ
とを確 認 できます。
3. 【保 存 (Save)】 をクリックします。
サーバが【サーバ( Servers) 】 リスト に表 示 されます。
5.6.2.3LDAP
LDAPとは、 「 Lightweight Directory Access Protocol」 の略 であり、X.500標 準 に基 づいてデ
ィレクト リサービスの問 い合 わせと変 更 を行 うネット ワーキングプロト コルです。Astaro Security
Gateway では、複 数 のサービスへのユーザ認 証 にLDAPプロト コルを使 用 しており、LDAPサーバ
に設 定 された属 性 やグループメンバシップに基 づいてアクセスを許 可 または却 下 します。
図 42 認 証 ( Authentication) ：LDAPの設 定
LDAP認 証 を設 定 するには、次 の手 順 に従 ってください。
128
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
1. 【サーバ(Servers)】 タブで、 【新 規 認 証 サーバ(New Authentication Server)】 を
クリックします。
【新 規 認 証 サーバの作 成 ( Create New Authentication Server) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
バックエンド (Backend)： バックエンドのディレクト リサービスとして【 LDAP】 を選 択 します。
位 置 (Position)： バックエンドサーバの位 置 を選 択 します。 番 号 が小 さいバックエンド
サーバから順 に問 い合 わせが行 われます。 パフォーマンスを向 上 するためには、要 求 を最
も多 く受 けると予 想 されるバックエンドサーバをリスト の一 番 上 に配 置 します。
サーバ(Server)： LDAPサーバを選 択 ( または追 加 ) します。
SSLを使 用 (Use SSL)： SSLデータ転 送 を有 効 にするには、このオプションを選 択 しま
す。すると、 ポート が389( LDAP) から636( ldaps = LDAP over SSL) に変 わります。
ポート (Port)： LDAPサーバのポート を選 択 します。 デフォルト では、ポート 389が選 択 さ
れています。
バインド DN(Bind DN)： サーバにバインドするユーザの識 別 名 ( DN) を指 定 します。 こ
のユーザは必 須 です。 セキュリティ上 の理 由 から、LDAPサーバへの匿 名 での問 い合 わせ
はサポート されていません。 バインドユーザには、関 連 するすべてのユーザオブジェクト 情 報
をLDAPサーバから取 得 してユーザを認 証 するために必 要 な特 権 が付 与 されている必 要 が
あります。 LDAPユーザ、グループ、コンテナは、LDAP表 記 法 で完 全 識 別 名 として指 定 し
ます。区 切 り文 字 にはコンマを使 用 します。(
例 ：CN=administrator,DC=intranet,DC=example,DC=com)
パスワード (Password)： バインドユーザのパスワードを入 力 します( 確 認 のために2回 ) 。
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。 このボタンは、 【適
用 ( Apply) 】 ボタンをクリックしてサーバ設 定 を保 存 した場 合 のみ使 用 できます。
ユーザ属 性 (User Attribute)： LDAPディレクト リ検 索 用 のフィルタとして使 用 される
ユーザ属 性 を選 択 します。 ユーザ属 性 には、リモート アクセスサービスなどが各 ユーザに対
してプロンプト 表 示 する実 際 のログイン名 が含 まれます。 次 のユーザ属 性 を選 択 できま
す。
l
CN( 一 般 名 )
l
SN( 姓 )
ASG V8 管 理 ガイド
129
5.6認 証 サーバ
l
5定 義 およびユーザ
UID( ユーザID)
LDAPディレクト リのユーザ名 がこれらのフォームに保 存 されていない場 合 、リスト で<<カス
タム( Custom) >>を選 択 し、下 の【カスタム( Custom) 】 フィールドにカスタム属 性 を入 力
します。 この属 性 はLDAPディレクト リで設 定 する必 要 があります。
ベースDN(Base DN)： LDAPツリーのルート に相 対 的 な開 始 位 置 で、ここに認 証 される
ユーザが含 まれています。 ベースDNは、LDAP表 記 の完 全 識 別 名 ( FDN) で、コンマを区
切 り文 字 として使 用 して指 定 する必 要 があります( 例 ：O=Example,OU=RnD) 。 ベースDN
は空 にすることもできます。 この場 合 は、ベースDNは自 動 的 にディレクト リから取 り出 されま
す。
ユーザ名 (Username)： 認 証 を実 行 するテスト ユーザのユーザ名 を入 力 してください。
パスワード (Password)： テスト ユーザのパスワードを入 力 します。
サンプルユーザの認 証 (Authenticate Example User)： 【テスト ( Test) 】 ボタンをクリ
ックして、テスト ユーザの認 証 テスト を開 始 します。 これにより、すべてのサーバ設 定 が正 し
いこと、サーバが稼 働 中 で接 続 を受 け付 けていること、およびユーザを正 常 に認 証 できるこ
とを確 認 できます。
3. 【保 存 (Save)】 をクリックします。
サーバが【サーバ( Servers) 】 リスト に表 示 されます。
5.6.2.4RADIUS
RADIUSとは、「Remote Authentication Dial In User Service」の略 であり、ルータなどのネッ
ト ワークデバイスで中 央 データベースに対 してユーザを認 証 するために広 く用 いられているプロト コ
ルです。 RADIUSには、ユーザの情 報 に加 え、ネット ワークデバイスで使 用 される技 術 情 報 ( サ
ポート されるプロト コル、IPアドレス、ルーティング情 報 など) も保 存 できます。 この情 報
は、RADIUSサーバ上 のファイルまたはデータベースに保 存 されるユーザプロファイルを構 成 します。
RADIUSプロト コルは非 常 に柔 軟 であり、サーバはほとんどのオペレーティングシステムで利 用 可
能 です。 このASGにRADIUSを導 入 することで、プロキシとユーザに基 づいてアクセス権 限 を設 定
できるようになります。 RADIUS認 証 を使 用 するためには、ネット ワーク上 で稼 働 しているRADIUS
サーバが必 要 です。 パスワードは平 文 ( 暗 号 化 なし) で送 信 されるため、ASGと同 じネット ワーク
内 にRADIUSサーバを配 置 してください。また、ASGとサーバは同 じスイッチに接 続 してください。
130
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
図 43 認 証 ( Authentication) ：RADIUSの設 定
RADIUS認 証 を設 定 するには、次 の手 順 に従 ってください。
1. 【サーバ(Servers)】 タブで、 【新 規 認 証 サーバ(New Authentication Server)】 を
クリックします。
【新 規 認 証 サーバの作 成 ( Create New Authentication Server) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
バックエンド (Backend)： バックエンドのディレクト リサービスとして【 RADIUS】 を選 択 しま
す。
位 置 (Position)： バックエンドサーバの位 置 を選 択 します。 番 号 が小 さいバックエンド
サーバから順 に問 い合 わせが行 われます。 パフォーマンスを向 上 するためには、要 求 を最
も多 く受 けると予 想 されるバックエンドサーバをリスト の一 番 上 に配 置 します。
サーバ(Server)： RADIUSサーバを選 択 ( または追 加 ) します。
ポート (Port)： RADIUSサーバのポート を選 択 します。 デフォルト では、ポート 1812が選
択 されています。
共 有 シークレット (Shared Secret)： 共 有 シークレット とは、RADIUSクライアント
とRADIUSサーバの間 でパスワードとしての役 割 を果 たすテキスト 文 字 列 です。 共 有 シー
クレット を入 力 します( 確 認 のために2回 ) 。
ASG V8 管 理 ガイド
131
5.6認 証 サーバ
5定 義 およびユーザ
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。
ユーザ名 (Username)： 認 証 を実 行 するテスト ユーザのユーザ名 を入 力 してください。
パスワード (Password)： テスト ユーザのパスワードを入 力 します。
NAS識 別 子 (NAS Identifier)： 適 切 なNAS識 別 子 をリスト から選 択 します。 詳 細
は、注 記 と下 の表 を参 照 してください。
サンプルユーザの認 証 (Authenticate Example User)： 【テスト ( Test) 】 ボタンをクリ
ックして、テスト ユーザの認 証 テスト を開 始 します。 これにより、すべてのサーバ設 定 が正 し
いこと、サーバが稼 働 中 で接 続 を受 け付 けていること、およびユーザを正 常 に認 証 できるこ
とを確 認 できます。
3. 【保 存 (Save)】 をクリックします。
サーバが【サーバ( Servers) 】 リスト に表 示 されます。
注 -RADIUSサーバに問 い合 わせを行 う、Astaro Security Gatewayの各 ユーザ認 証 サービ
ス( PPTPや L2TP) は、異 なる識 別 子 ( NAS識 別 子 ) をRADIUSサーバに送 信 します。 たとえ
ば、PPTPサービスは、このユーザの認 証 を試 みるときに、pptpというNAS識 別 子 をRADIUSサー
バに送 信 します。これにより、RADIUSサーバがさまざまなサービスを識 別 して特 定 の種 類 のサー
ビスをユーザに付 与 することができるため、権 限 付 与 の目 的 で役 に立 ちます。 ユーザ認 証 サー
ビスとそれに対 応 するNAS識 別 子 のリスト は以 下 のとおりです。
ユーザ認 証 サービス
NAS識 別 子
SSL VPN
ssl
PPTP
pptp
IPsec
ipsec
L2TP over IPsec
l2tp
SMTPプロキシ
smtp
ユーザポータル
portal
WebAdmin
webadmin
132
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
ユーザ認 証 サービス
NAS識 別 子
SOCKSプロキシ
socks
Webフィルタ
http
認 証 クライアント
エージェント
表 1：RADIUS NAS識 別 子
5.6.2.5TACACS+
TACACS+( 「Terminal Access Controller Access Control System」の略 ) 語 ) とは、Cisco
Systems, Inc. 独 自 のプロト コルであり、認 証 プロセスと権 限 付 与 プロセスについて詳 細 なアカウ
ンティング情 報 と管 理 的 なコント ロールを提 供 します。RADIUSでは認 証 と権 限 付 与 がユーザプロ
ファイルにまとめられていますが、TACACS+ではこれらのオペレーションを区 別 しています。 他 の相
違 点 としては、TACACS+ではTCPプロト コル( ポート 49) を使 用 し、RADIUSではUDPプロト コルを
使 用 します。
図 44 認 証 ( Authentication) ：TACACS+ユーザ認 証 の設 定
TACACS+認 証 を設 定 するには、次 の手 順 に従 ってください。
1. 【サーバ(Servers)】 タブで、 【新 規 認 証 サーバ(New Authentication Server)】 を
クリックします。
ASG V8 管 理 ガイド
133
5.6認 証 サーバ
5定 義 およびユーザ
【新 規 認 証 サーバの作 成 ( Create New Authentication Server) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
バックエンド (Backend)： バックエンドのディレクト リサービスとして【 TACACS+】 を選 択 しま
す。
位 置 (Position)： バックエンドサーバの位 置 を選 択 します。 番 号 が小 さいバックエンド
サーバから順 に問 い合 わせが行 われます。 パフォーマンスを向 上 するためには、要 求 を最
も多 く受 けると予 想 されるバックエンドサーバをリスト の一 番 上 に配 置 します。
サーバ(Server)： TACACS+サーバを選 択 ( または追 加 ) します。
ポート (Port)： TACACS+サーバのポート を選 択 します。 デフォルト では、ポート 49が選
択 されています。
鍵 (Key)：Astaro Security GatewayとTACACS+サーバの間 のすべてのTACACS+通
信 に使 用 する認 証 および暗 号 鍵 を入 力 します。 ここで入 力 する鍵 の値 は、TACACS+
サーバで設 定 した値 と一 致 している必 要 があります。 鍵 を入 力 してください( 確 認 のため
に2回 ) 。
サーバ設 定 のテスト (Test Server Settings)： 【テスト ( Test) 】 ボタンを押 すと、設 定 さ
れたサーバとのバインドテスト が実 行 されます。 これにより、このタブの設 定 が正 しいこと、お
よびサーバが起 動 しており、接 続 を受 け付 けていることが確 認 されます。 このボタンは、 【適
用 ( Apply) 】 ボタンをクリックしてサーバ設 定 を保 存 した場 合 のみ使 用 できます。
ユーザ名 (Username)： 認 証 を実 行 するテスト ユーザのユーザ名 を入 力 してください。
パスワード (Password)： テスト ユーザのパスワードを入 力 します。
サンプルユーザの認 証 (Authenticate Example User)： 【テスト ( Test) 】 ボタンをクリ
ックして、テスト ユーザの認 証 テスト を開 始 します。 これにより、すべてのサーバ設 定 が正 し
いこと、サーバが稼 働 中 で接 続 を受 け付 けていること、およびユーザを正 常 に認 証 できるこ
とを確 認 できます。
3. 【保 存 (Save)】 をクリックします。
サーバが【サーバ( Servers) 】 リスト に表 示 されます。
5.6.3シングルサインオン( Single Sign-On)
【定 義 ( Definitions) 】 &【ユーザ( Users) 】 >>【認 証 サーバ( Authentication
Servers) 】 >>【シングルサインオン( Single Sign-On) 】 タブでは、Active Directoryまた
はeDirectory( あるいはその両 方 ) のシングルサインオン機 能 を設 定 できます。
134
ASG V8 管 理 ガイド
5定 義 およびユーザ
5.6認 証 サーバ
図 45 認 証 ( Authentication) ：シングルサインオンの設 定
Ac ti v e D i r e c tor y のシ ン グルサインオン( S S O)
Active DirectoryのSSO機 能 は現 在 、Webフィルタのみで使 用 されており、NTLMv2また
はKerberos認 証 をサポート するブラウザでシングルサインオン機 能 を使 用 できます。
シングルサインオン機 能 を有 効 にするには、ASGをActive Directoryドメインに追 加 する必 要 が
あります。追 加 するドメインが機 能 するためには、次 の前 提 条 件 を満 たしている必 要 があります。
l
ゲート ウェイとドメインコント ローラ( DC) のタイムゾーンが同 じである。
l
ゲート ウェイのクロックとDCのクロックの間 に、5分 を超 える時 刻 差 がない。
l
ASGホスト 名 がADDNSシステムに存 在 する。
l
ASGがAD DNSをフォワーダとして使 用 しているか、ADドメインのDNS要 求 ルート がAD
DNSサーバをポイント している。
Active Directory SSOを設 定 するには、次 の手 順 に従 ってください。
1. Active Directoryサーバを【サーバ(Servers)】 タブで作 成 します。
2. 次 の設 定 を行 います。
ド メイン(Domain)： ドメインの名 前 ( intranet.mycompany.comなど) 。
ASG V8 管 理 ガイド
135
5.6認 証 サーバ
5定 義 およびユーザ
サーバ(Server)( オプション) ：ASGで特 定 のDCを使 用 するには、ここでActive
Directoryサーバを選 択 ( または追 加 ) してください。 ここで指 定 しなければ、ASGはDNS
経 由 で取 得 可 能 なすべてのDCを使 用 します。
adminユーザ名 (Admin Username)： 管 理 特 権 があり、ドメインにコンピュータを追
加 することが許 可 されているユーザ( 通 常 は「管 理 者 」) 。
パスワード (Password)： adminユーザのパスワード( 確 認 のために2回 ) 。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
Kerberos認 証 サポート に関 する注 記 ：SSO Kerberosサポート が機 能 するためには、クライア
ント はプロキシ設 定 でASGのFQDNホスト 名 を使 用 する必 要 があります。IPアドレスを使 用 する
と機 能 しません。 NTLMv2モードは、この要 件 の影 響 を受 けません。この要 件 が満 たされてい
ない場 合 や、ブラウザがKerberos認 証 をサポート しない場 合 には、NTLMv2モードが自 動 的
に使 用 されます。
e D i r e c tor y のシ ングルサインオン( S S O)
ここでは、eDirectory用 にSSOを設 定 できます。 【 Web セキュリティ( Web
Security) 】 >>【 Web フィルタリング( Web Filtering) 】 で認 証 方 式 としてeDirectory SSOを設
定 した場 合 、ここで選 択 したeDirectoryサーバが使 用 されます。
eDirectory SSOを設 定 するには、次 の手 順 に従 ってください。
1. eDirectoryサーバを【サーバ(Servers)】 タブに登 録 します。
2. eDirectoryサーバを選 択 します。
SSOを有 効 にしたいeDirectoryサーバをドロップダウンリスト で選 択 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
5.6.4詳 細
パスワード の複 雑 性 ( P a s s w or d C om pl e x i ty )
このオプションを使 用 すると、管 理 者 や管 理 者 権 限 を持 つローカル登 録 ユーザに対 して、パスワー
ドの強 化 を強 制 できます。 次 のセキュリティ要 件 を遵 守 するパスワードの複 雑 性 を設 定 できま
す。
136
ASG V8 管 理 ガイド
5定 義 およびユーザ
l
パスワードの最 低 長 。デフォルト は8文 字
l
小 文 字 が1つ以 上 必 要
l
大 文 字 が1つ以 上 必 要
l
数 字 が1つ以 上 必 要
l
英 数 字 以 外 の文 字 が1つ以 上 必 要
5.6認 証 サーバ
選 択 したパスワードプロパティを有 効 にするためには、 【複 雑 なパスワードを必 須 にする( Require
complex passwords) 】 チェックボックスにチェックを入 れて、 【適 用 ( Apply) 】 をクリックします。
ディレ クト リユーザのプリフェッチ( P r e f e tc h D i r e c tor y U s e r s )
eDirectoryまたはActive DirectoryのユーザをASGと同 期 することができます。 これにより、ASG
にユーザオブジェクト が事 前 に作 成 され、当 該 ユーザがログインしたときには、これらのユーザオブジ
ェクト がすでに存 在 しています。 同 期 プロセスは週 次 または日 次 で実 行 できます。
プリフェッチを有 効 にするには、次 の設 定 を行 います。
サーバ(Server)： このドロップダウンリスト には、 【サーバ( Servers) 】 タブで作 成 されたサーバが
含 まれています。 プリフェッチを有 効 にするサーバを選 択 します。
プリフェッチ間 隔 (Prefetch Interval)：ユーザをプリフェッチする間 隔 を選 択 します。 同 期 を週
次 で実 行 する場 合 、同 期 を開 始 する曜 日 を選 択 します。 同 期 を日 次 で実 行 する場 合 、 【デイ
リー( Daily) 】 を選 択 します。
プリフェッチ時 間 (Prefetch Time)：ユーザをプリフェッチする時 間 を選 択 します。
eDirectory/Active Directoryグループ(eDirectory/Active Directory Groups)：
どのグループを事 前 に作 成 するか指 定 するには、ここでグループを入 力 します。統 合 LDAPブラウ
ザを使 用 して、これらのグループを選 択 できます。
ログイン時 のバックエンド 同 期 を有 効 にする(Enable Backend Sync on Login)( オプショ
ン) ：不 明 ユーザのログイン時 に、ディレクト リからユーザ情 報 をフェッチする場 合 には、このオプショ
ンを選 択 します。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
直 ちにプリフェッチ(Prefetch Now)： プリフェッチを今 すぐ開 始 するには、このボタンをクリックしま
す。
開 く(Open)： プリフェッチのライブログを開 くには、このボタンをクリックします。
ASG V8 管 理 ガイド
137
6インタフェースおよびルーティン
グ
この章 では、Astaro Security Gatewayでインタフェースとネット ワーク固 有 の設 定 を構 成 する方
法 について説 明 します。WebAdminの【ネットワーク統 計 ( Network Statistics) 】 ページには、
今 日 の上 位 10件 のアカウンティングサービス、上 位 送 信 元 ホスト 、および同 時 接 続 の概 要 が表
示 されます。 各 セクションには、 【詳 細 ( Detail) 】 リンクが含 まれています。リンクをクリックする
とWebAdminのそれぞれのレポーティングセクションが表 示 され、そこでさらなる統 計 情 報 を参 照
できます。
この章 には次 のト ピックが含 まれます。
l
インタフェース
l
ブリッジング
l
スタティックルーティング
l
ダイナミックルーティング( OSPF)
l
IPv6
l
サービス品 質 ( QoS)
l
マルチキャスト ルーティング( PIM-SM)
l
アップリンクモニタリング
6.1インタフェース
ファイアウォールには、内 部 LANを外 部 ネット ワーク( インターネット など) にセキュリティを維 持 して
接 続 するために、少 なくとも2つのネット ワークインタフェースカードが必 要 です。 次 の例 では、ネット
ワークカードeth0は、常 に内 部 ネット ワークに接 続 されるインタフェースであり、ネット ワークカー
ドeth1は、外 部 ネット ワーク( インターネット など) に接 続 されるインタフェースです。 これらのインタフ
ェースは、それぞれ信 頼 されるインタフェース、信 頼 されないインタフェースとも呼 ばれます。
ネット ワークカードは、インスト ール中 に自 動 認 識 されます。ソフト ウェアアプライアンスでは、新 しい
ネット ワークカードを後 で追 加 する場 合 、新 たなインスト ールが必 要 になります。 システムの再 イン
スト ールを行 うには、設 定 のバックアップをとり、ソフト ウェアをインスト ールし、バックアップを復 元 する
だけです。
6.1インタフェース
6インタフェースおよびルーティング
ゲート ウェイを内 部 ネット ワークと外 部 ネット ワークの唯 一 の接 点 としなければなりません。 すべて
のデータはASGを通 過 する必 要 があります。 内 部 インタフェースと外 部 インタフェースを1つのハブ
またはスイッチに接 続 することはお勧 めしません。ただし、スイッチがVLANスイッチとして設 定 されてい
る場 合 は除 きます。誤 ったARP( アドレス解 決 プロト コル) 解 決 が発 生 する可 能 性 があり、これ
を「ARPクラッシュ」と呼 びます。この状 況 は、( マイクロソフト 製 品 など) オペレーティングシステムに
よっては管 理 できないものもあります。 そのため、各 ゲート ウェイネット ワークインタフェースに対 し
て、1つの物 理 ネット ワークセグメント を使 用 する必 要 があります。
【インタフェース( Interfaces) 】 メニューを使 用 すると、ASGにインスト ールされているすべてのネット
ワークカードを設 定 ・管 理 したり、外 部 ネット ワーク( インターネット ) へのすべてのインタフェースや内
部 ネット ワーク( LAN、DMZ) へのインタフェースを設 定 ・管 理 することができます。
注 - ネット ワークト ポロジを計 画 し、ASGを設 定 しているときは、どのインタフェースをどのネット
ワークに接 続 しているかに注 意 してください。 ほとんどの設 定 で、SysIDがeth1のネット ワークイ
ンタフェースは外 部 ネット ワークへの接 続 として選 択 されます。 高 可 用 性 ( HA) フェイルオーバー
をインスト ールするためには、同 じSysIDのネット ワークカードを両 システムで選 択 する必 要 があり
ます。 HAフェイルオーバーのインスト ールについては、「 冗 長 化 」のページで詳 しく説 明 していま
す。
次 のセクションでは、 【インタフェース( Interfaces) 】 、 【追 加 アドレス( Additional
Addresses) 】 、 【リンクアグリゲーション( Link Aggregation) 】 、 【アップリンクバランシン
グ( Uplink Balancing) 】 、 【マルチパスルール( Multipath Rules) 】 、 【ハードウェ
ア( Hardware) 】 のタブを使 用 してさまざまなインタフェースタイプを管 理 および設 定 する方 法 につ
いて説 明 します。
6.1.1インタフェース
【インタフェース( Interfaces) 】 タブでは、ネット ワークカードと仮 想 インタフェースを設 定 できます。
リスト に、すでに定 義 されているインタフェースが、シンボル名 、ハードウェアデバイス、現 在 のアドレ
スとともに表 示 されます。 インタフェースのステータスも表 示 されます。 ステータスアイコンをクリックし
て、インタフェースを有 効 または無 効 にすることができます。
ヒント - 【インタフェース( Interfaces) 】 リスト でインタフェース定 義 の情 報 アイコンをクリックする
と、インタフェース定 義 が使 用 されているすべての設 定 オプションを表 示 することができます。
新 たに追 加 されたインタフェースは、セット アップ中 、 【ダウン( Down) 】 と表 示 される可 能 性 がありま
す。 対 応 するボタンをクリックして、インタフェースを編 集 したり削 除 することができます。
140
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
図 46 インタフェース( Interfaces) ：インタフェースの設 定
6.1.1.1自 動 インタフェースネット ワーク定 義
ゲート ウェイの各 インタフェースには、シンボル名 とハードウェアデバイスが割 り当 てられています。 シ
ンボル名 は、他 の構 成 設 定 でインタフェースを参 照 するときに使 用 します。 各 インタフェースについ
て、次 のような対 応 するネット ワーク定 義 のセット がゲート ウェイによって自 動 的 に作 成 されます。
l
インタフェースの現 在 のIPアドレス、インタフェース名 と( アドレス( Address) ) サフィックスから
成 る名 前 が含 まれる定 義 。
l
インタフェースに接 続 されたネット ワーク、インタフェース名 と( ネットワーク( Network) ) サフィ
ックスから成 る名 前 が含 まれる定 義 。 この定 義 は、PPP( ポイントツーポイント ) タイプのイン
タフェースに対 しては作 成 されません。
l
インタフェースのブロードキャスト アドレス、インタフェース名 と( ブロードキャスト ( Broadcast) )
サフィックスから成 る名 前 が含 まれる定 義 。 この定 義 は、PPP( ポイントツーポイント ) タイプ
のインタフェースに対 しては作 成 されません。
インタフェースで動 的 アドレス割 り当 て方 法 ( DHCPやリモート 割 り当 てなど) が使 用 されている場
合 、これらの定 義 は自 動 的 に更 新 されます。 ファイアウォールやNATルールなど、これらの定 義 を
参 照 するすべての設 定 も、変 更 されたアドレスで自 動 的 に更 新 されます。
「内 部 ( Internal) 」 というシンボル名 のインタフェースが1つあらかじめ定 義 されています。 これはマ
ネジメント インターフェースであり、通 常 は「内 部 」ゲート ウェイインタフェースとして使 用 されます。 名
前 を変 更 したい場 合 は、インスト ール直 後 に行 う必 要 があります。
6.1.1.2インタフェースタイプ
以 下 のリスト に、ゲート ウェイに追 加 できるインタフェースタイプと、それらをサポート するために必 要
なハードウェアのタイプを示 します。
3G/UMTS：これは、USBモデムスティックに基 づくインタフェースです。 スティックは差 し込 む必 要
があり、ASGはインタフェース作 成 前 にリブート する必 要 があります。
ASG V8 管 理 ガイド
141
6.1インタフェース
6インタフェースおよびルーティング
標 準 イーサネット (Ethernet Standard)：これは標 準 のイーサネット インターフェース
で、10、100、あるは1000Mbpsの帯 域 幅 を備 えています。
イーサネット VLAN(Ethernet VLAN)：VLAN( 仮 想 LAN) は単 一 のハードウェアインタフェース
上 に別 個 のレイヤ2ネット ワークセグメント を複 数 持 つ方 式 です。 各 セグメント は整 数 の「タグ」で
識 別 されます。 VLANインタフェースを追 加 するときは、さらなるインタフェース( エイリアス) の追 加 に
使 用 できる「ハードウェア」デバイスを作 成 します。 PPPoEおよびPPPoAデバイスはVLAN仮 想 ハー
ドウェア上 では実 行 できません。
ケーブルモデム(DHCP)(Cable Modem(DHCP))：これはDHCPを使 用 した標 準 イーサネッ
ト インタフェースです。
DSL(PPPoE)：PPP over Ethernet。 DSL PPPoEデバイスでは、ゲート ウェイをPPP-overEthernet互 換 のDSL回 線 に接 続 できます。 これらのデバイスには専 用 イーサネット 接 続 が必 要
です( 同 じハードウェア上 で他 のインタフェースと共 存 できません) 。 DSLモデムをインタフェースネッ
ト ワークセグメント に接 続 する必 要 があります。 これらのデバイスタイプのネット ワークパラメータは、
リモート ステーションで割 り当 てることができます( 一 般 的 にはご利 用 のISP) 。 さらに、ISPアカウン
ト のユーザ名 およびパスワードを入 力 する必 要 があります。
DSL(PPPoA/PPTP)：PPP over ATM。 DSL PPPoAデバイスでは、ゲート ウェイをPPP-overATM互 換 のDSL回 線 に接 続 できます。 これらのデバイスはPPTプロト コルを使 用 してIPパケット を
ト ンネリングします。 これらのデバイスには専 用 イーサネット 接 続 が必 要 です( 同 じハードウェア上 で
他 のインタフェースと共 存 できません) 。 DSLモデムをインタフェースネット ワークセグメント に接 続 す
る必 要 があります。 これらのデバイスタイプのネット ワークパラメータは、リモート ステーションで割 り
当 てることができます( 一 般 的 にはご利 用 のISP) 。 さらに、ISPアカウント のユーザ名 およびパス
ワードを入 力 する必 要 があります。 また、お使 いのモデムのIPアドレスも入 力 する必 要 がありま
す。 このアドレスは通 常 モデムに組 み込 まれているため変 更 できません。 モデムで通 信 するに
は、NIC IPアドレスとネット マスクを入 力 する必 要 があります。 モデムのIPアドレスは、これらのパラ
メータで定 義 されたネット ワーク内 であることが必 要 です。Ping アドレスはICMP ping要 求 に応 答
するPPTPリンクの反 対 側 のホスト であることが必 要 です。 ご利 用 のISPのDNSサーバを使 用 する
ことができます。 このアドレスでpingできなかった場 合 、接 続 がデッド( dead) であることが考 えら
れ、これは再 開 されます。
モデム(PPP)：このタイプのインタフェースでは、PPPモデムを介 してASGをインターネット に接 続 で
きます。 設 定 するためには、ASGにシリアルインタフェースと外 部 モデムが必 要 です。 また、ユーザ
名 とパスワードを含 むDSLアクセスデータも必 要 です。 これらのデータはISPから入 手 できます。
6.1.1.33G/UMTS
内 部 または外 部 ネット ワークにイーサネット 接 続 するためのネット ワークカードを設 定 するには、NIC
及 びIPアドレスとネット マスクを設 定 する必 要 があります。
142
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
標 準 イーサネット インタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。 【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【 Ethernet Standard( Ethernet Standard) 】 を
選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からUSBモデムを選 択 します。 USBスティッ
クを差 し込 んだ後 で、リブート する必 要 があります。
ネット ワーク(Network)： モバイルネット ワークタイプをGSM/W-CDMAまたはCDMAから
選 択 します。
IPv4デフォルト GW(IPv4 Default GW)( オプション) ：プロバイダのデフォルト ゲート ウ
ェイを使 用 する場 合 、このオプションを選 択 します。
PIN( オプション) ：PINが設 定 されている場 合 、SIMカードのPINを入 力 します。
APN自 動 選 択 (APN Autoselect)：( オプション) ：デフォルト で、使 用 するAPN( アクセ
スポイント 名 ) はUSBモデムスティックから取 得 されます。 チェックボックスのチェックを外 す場
合 、 【 APN】 フィールドにAPN情 報 を入 力 します。
ユーザ名 /パスワード (Username/Password)( オプション) ：必 要 な場 合 、モバイルネ
ット ワークのユーザ名 とパスワードを入 力 します。
ダイヤル文 字 列 (Dial String)( オプション) ：プロバイダが異 なるダイヤル文 字 列 を使 用
している場 合 、ここに入 力 します。 デフォルト は*99#です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
初 期 化 文 字 列 (Init String)： USBモデムスティックを初 期 化 するための文 字 列 を入
力 します。 USBモデムスティックに応 じて初 期 化 文 字 列 の調 整 が必 要 になる可 能 性 があ
ります。 この場 合 、初 期 化 文 字 列 は当 該 USBモデムスティックのマニュアルで確 認 できま
す。 必 要 なマニュアルがない場 合 、デフォルト 設 定 のATZを維 持 してください。
リセット 文 字 列 (Reset String)： USBモデムスティックのリセット 文 字 列 を入 力 します。
USBモデムスティックに応 じてリセット 文 字 列 の調 整 が必 要 になる可 能 性 があります。 この
ASG V8 管 理 ガイド
143
6.1インタフェース
6インタフェースおよびルーティング
場 合 、リセット 文 字 列 は当 該 USBモデムスティックのマニュアルで確 認 できます。 必 要 なマ
ニュアルがない場 合 、デフォルト 設 定 のATZを維 持 してください。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。デフォルト で、3G/UMTSインタフェースタイプには1500バイト のMTUが設 定 されていま
す。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.1.4イーサネット 標 準
内 部 または外 部 ネット ワークにイーサネット 接 続 するためのネット ワークカードを設 定 するには、NIC
及 びIPアドレスとネット マスクを設 定 する必 要 があります。
標 準 イーサネット インタフェースを設 定 するには、次 の手 順 に従 ってください。
144
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。 【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【 Ethernet Standard( Ethernet Standard) 】 を
選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
ヒント - インターネット などの外 部 接 続 には、SysIDがeth1のネット ワードカードを選 択 し
てください。 1枚 のネット ワークカードを、 標 準 イーサネット インタフェースおよびPPPoE
DSL( PPP over Ethernet) 接 続 またはPPPoA DSL( PPTP over Ethernet) 接 続 として
同 時 に使 用 することはできません。
IPv4アド レス(IPv4 Address)： インタフェースのIPアドレスを入 力 します。
ネット マスク(Netmask)： ネット マスク( IPv4) を選 択 するか、IPv6ネット マスクを入 力 しま
す。
IPv4/IPv6デフォルト GW(IPv4/IPv6 Default GW)( オプション) ：静 的 に定 義 さ
れたデフォルト ゲート ウェイを使 用 する場 合 、このオプションを選 択 します。
デフォルト GW IP(Default GW IP)( オプション) ：デフォルト ゲート ウェイのIPアドレスを
入 力 します。
注 - インタフェースを設 定 して、IPv4およびIPv6アドレスを同 時 に使 用 することができま
す。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ASG V8 管 理 ガイド
145
6.1インタフェース
6インタフェースおよびルーティング
ス) 。デフォルト で、 イーサネット標 準 インタフェースタイプには1500バイト のMTUが設 定 され
ています。
プロキシARP(Proxy ARP)： 機 能 を有 効 にするには、チェックボックスにチェックを入 れま
す。 デフォルト では、 【プロキシ ARP( Proxy ARP) 】 機 能 は無 効 ( オフ) になっています。
このオプションはブロードキャスト タイプのインタフェースで使 用 できます。 これを選 択 すると、
ゲート ウェイがそのインタフェース上 のト ラフィックをその「背 後 にある」ホスト に対 して「引 きつ
け」、受 け渡 します。 直 接 接 続 されたインタフェースルート があるすべてのホスト に対 してこ
の処 理 が行 われます。 これにより、ファイアウォールを実 行 したまま、「透 過 的 な」ネット ワー
クブリッジを構 築 することができます。 この機 能 の他 の利 用 方 法 としては、ISPのルータが「
公 式 」ネット ワークのみをイーサネット インタフェースに受 け入 れる場 合 があります( ホスト ルー
ト を使 用 しない) 。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
146
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
6.1.1.5イーサネット VLAN
ASGを仮 想 LANに接 続 するためには、タグ付 け可 能 なドライバが用 意 されたネット ワークカードが
必 要 になります。タグとは、イーサネット ヘッダの一 部 としてパケット に付 けられる4バイト のヘッダで
す。 タグには、パケット の送 信 先 となるVLAN の番 号 が格 納 されます。VLANの番 号 は12ビット 数
で、最 大 4095の仮 想 LANまで許 可 します。 WebAdminでは、この数 を「 VLANタグ」 と呼 びま
す。
注 - Astaroは、タグ付 け可 能 なネット ワークインタフェースカードのリスト を管 理 しています。 ハー
ドウェア互 換 性 リスト ( HCL) はAstaroナレッジベースからご利 用 いただけます。 「HCL」を検 索
用 語 として使 用 して、該 当 するページを探 してください。
イーサネット VLANインタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。
【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【 Ethernet VLAN( Ethernet VLAN) 】 を選 択 しま
す。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
VLANタグ(VLAN Tag)： このインタフェースに対 して使 用 するVLANタグを入 力 します。
IPv4アド レス(IPv4 Address)： インタフェースのIPアドレスを入 力 します。
ネット マスク(Netmask)： ネット マスク( IPv4) を選 択 するか、IPv6ネット マスクを入 力 しま
す。
IPv4/IPv6デフォルト GW(IPv4/IPv6 Default GW)( オプション) ：静 的 に定 義 さ
れたデフォルト ゲート ウェイを使 用 する場 合 、このオプションを選 択 します。
デフォルト GW IP(Default GW IP)( オプション) ：デフォルト ゲート ウェイのIPアドレスを
入 力 します。
注 - インタフェースを設 定 して、IPv4およびIPv6アドレスを同 時 に使 用 することができま
す。
ASG V8 管 理 ガイド
147
6.1インタフェース
6インタフェースおよびルーティング
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。 デフォルト で、 イーサネット VLANインタフェースタイプには1500バイト のMTUが設 定 さ
れています。
プロキシARP(Proxy ARP)： 機 能 を有 効 にするには、チェックボックスにチェックを入 れま
す。 デフォルト では、 【プロキシ ARP( Proxy ARP) 】 機 能 は無 効 ( オフ) になっています。
このオプションはブロードキャスト タイプのインタフェースで使 用 できます。 これを選 択 すると、
ゲート ウェイがそのインタフェース上 のト ラフィックをその「背 後 にある」ホスト に対 して「引 きつ
け」、受 け渡 します。 直 接 接 続 されたインタフェースルート があるすべてのホスト に対 してこ
の処 理 が行 われます。 これにより、ファイアウォールを実 行 したまま、「透 過 的 な」ネット ワー
クブリッジを構 築 することができます。 この機 能 の他 の利 用 方 法 としては、ISPのルータが「
公 式 」ネット ワークのみをイーサネット インタフェースに受 け入 れる場 合 があります( ホスト ルー
ト を使 用 しない) 。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
148
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.1.6ケーブルモデム( DHCP)
ケーブルモデム( DHCP) インタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。
【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【ケーブルモデム( DHCP) ( Cable
Modem( DHCP) ) 】 を選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
ヒント - インターネット などの外 部 接 続 には、SysIDがeth1のネット ワードカードを選 択 し
てください。 1枚 のネット ワークカードを、 ケーブルモデム( DHCP) およびPPP over
Ethernet( PPPoE-DSL) またはPPTP over Ethernet( PPPoA-DSL) 接 続 として同 時 に
使 用 することはできません。
IPv4デフォルト GW(IPv4 Default GW)( オプション) ：プロバイダのデフォルト ゲート ウ
ェイを使 用 する場 合 、このオプションを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
ホスト 名 (Hostname)： ISPがシステムのホスト 名 の受 信 を要 求 する場 合 、ここに入 力
します。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
ASG V8 管 理 ガイド
149
6.1インタフェース
6インタフェースおよびルーティング
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。デフォルト で、 ケーブルモデムインタフェースタイプには1500バイト のMTUが設 定 されて
います。
プロキシARP(Proxy ARP)： プロキシ ARP機 能 を有 効 にするには、このオプションを選 択
します。 これはデフォルト では無 効 になっています。
このオプションはブロードキャスト タイプのインタフェースで使 用 できます。( 現 在 はイーサネット
標 準 のみ) 。 これを有 効 にすると、ゲート ウェイがそのインタフェース上 のト ラフィックをその「
背 後 にある」ホスト に対 して「引 きつけ」、受 け渡 します。 直 接 接 続 されたインタフェース
ルート があるすべてのホスト に対 してこの処 理 が行 われます。 これにより、ファイアウォールを
実 行 したまま、「透 過 的 な」ネット ワークブリッジを構 築 することができます。 この機 能 の他
の利 用 方 法 としては、ISPのルータが「公 式 」ネット ワークのみをイーサネット インタフェースに
受 け入 れる場 合 があります( ホスト ルート を使 用 しない) 。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
150
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
6.1.1.7DSL( PPPoE)
設 定 には、ご利 用 のISPが提 供 したユーザ名 とパスワードを含 むDSL接 続 情 報 が必 要 になりま
す。 VDSL もこのインタフェースタイプでサポート されています。
注 - DSL接 続 を有 効 にすると、ASGはご利 用 のISPに1日 24時 間 接 続 されます。 したがって、
ご利 用 のISPの請 求 が接 続 時 間 ベースではなく定 額 制 または帯 域 幅 ベースの料 金 システムで
あることをご確 認 ください。
DSL( PPPoE) インタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。
【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【 DSL( PPPoE) 】 を選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
VDSL： このチェックボックスは、ご利 用 の接 続 がVDSL接 続 である場 合 のみ選 択 しま
す。MTUは1476に変 更 されます。
スタティックPPPoE IP(Static PPPoE IP)( オプション) ：ISPに割 り当 てられたスタティッ
クIPアドレスがある場 合 、チェックボックスにチェックを入 れ、表 示 されるテキスト ボックスにIPア
ドレスと該 当 するネット マスクを入 力 します。
l
IPv4アド レス(IPv4 Address)： インタフェースのIPアドレスを入 力 します。
l
ネット マスク(Netmask)： ドロップダウンリスト からネット マスクを選 択 するか、IPv6ネ
ット マスクを入 力 します( あるいはその両 方 ) 。
注 - インタフェースを設 定 して、IPv4およびIPv6アドレスを同 時 に使 用 することができま
す。
IPv4/IPv6デフォルト GW(IPv4/IPv6 Default GW)( オプション) ：プロバイダのデ
フォルト ゲート ウェイを使 用 する場 合 、このオプションを選 択 します。
ユーザ名 (Username)： ISPが提 供 したユーザ名 を入 力 します。
パスワード (Password)： ISPが提 供 したパスワードを入 力 します。
ASG V8 管 理 ガイド
151
6.1インタフェース
6インタフェースおよびルーティング
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
毎 日 の再 接 続 (Daily Reconnect)： 接 続 を終 了 および再 開 する時 間 を定 義 しま
す。 【無 し( Never) 】 を選 択 するか、具 体 的 な時 間 を指 定 することができます。
再 接 続 遅 延 (Reconnect Delay)： ここで、再 接 続 遅 延 を変 更 できます。 デフォルト
では、遅 延 は【 5秒 ( 5 Seconds) 】 に設 定 されています。 ご利 用 のISPがこれより長 い遅
延 を要 求 している場 合 は、 【 1分 ( One Minute) 】 や【 15分 ( Fifteen Minutes) 】 に設 定
できます。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。デフォルト では、1492バイト のMTUが【 DSL( PPPoE) 】 インタフェースタイプに設 定 され
ています。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
152
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.1.8DSL( PPPoA/PPTP)
PPPoA( PPP over ATM Protocolプロトコル) した接 続 を設 定 するには、ASG上 の未 使 用 のイー
サネット インタフェースと、イーサネット ポート 付 きの外 部 ADSLモデムが必 要 です。 インターネット へ
の接 続 は2つの個 別 の接 続 で行 ないます。ASGとADSLモデム間 では、PPTP over Ethernetプ
ロトコルを使 用 して接 続 を確 立 します。 ADSLモデムは、PPP over ATM Dialing プロトコルを使
用 してISPに接 続 します。
この設 定 には、ご利 用 のISPが提 供 したユーザ名 とパスワードを含 むDSL 接 続 情 報 が必 要 になり
ます。
注 - DSL接 続 を有 効 にすると、ASGはご利 用 のISPに1日 24時 間 接 続 されます。 したがって、
ご利 用 のISPの請 求 が接 続 時 間 ベースではなく定 額 制 または帯 域 幅 ベースの料 金 システムで
あることをご確 認 ください。
DSL( PPPoA/PPTP) インタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。 【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【 DSL( PPPoA/PPTP) 】 を選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
IPv4デフォルト GW(IPv4 Default GW)( オプション) ：プロバイダのデフォルト ゲート ウ
ェイを使 用 する場 合 、このオプションを選 択 します。
ユーザ名 (Username)： ISPが提 供 したユーザ名 を入 力 します。
パスワード (Password)：ISPが提 供 したパスワードを入 力 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
ASG V8 管 理 ガイド
153
6.1インタフェース
6インタフェースおよびルーティング
モデムIP(Modem IP)： お使 いのADSLモデムのIPアドレスをここに入 力 します。 このア
ドレスは通 常 、ISPから、あるいはモデムハードウェアとともに提 供 されるので、変 更 できませ
ん。 例 ：10.0.0.138( AonSpeed) 。
NICアド レス(NIC Address)： モデムに接 続 されているASG上 のネット ワークカードのIP
アドレスをここに入 力 します。 このアドレスはモデムと同 じサブネット 内 にある必 要 がありま
す。 例 ：10.0.0.140( AonSpeed) 。
NICネット マスク(NIC Netmask)： 使 用 するネット ワークマスクをここに入 力 します。
例 ：255.255.255.0( AonSpeed) 。
pingアド レス(Ping Address)( オプション) ：ICMP ping要 求 に応 答 するインターネット
上 のホスト のIPアドレスを入 力 します。ASGと外 部 ネット ワーク間 の接 続 をテスト するに
は、PPTPリンクの反 対 側 ホスト のIPアドレスを入 力 する必 要 があります。 ご利 用 のISP
のDNSサーバを使 用 することができます。ASGはこのホスト にping要 求 を送 信 します。応
答 がない場 合 は、接 続 不 良 です。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。デフォルト では、1492バイト のMTUが【 DSL( PPPoA) 】 インタフェースタイプに設 定 され
ています。
毎 日 の再 接 続 (Daily Reconnect)： 接 続 を終 了 および再 開 する時 間 を定 義 しま
す。 【無 し( Never) 】 を選 択 するか、具 体 的 な時 間 を指 定 することができます。
再 接 続 遅 延 (Reconnect Delay)： ここで、再 接 続 遅 延 を変 更 できます。 デフォルト
では、遅 延 は【 5秒 ( 5 Seconds) 】 に設 定 されています。 ご利 用 のISPがこれより長 い遅
延 を要 求 している場 合 は、 【 1分 ( One Minute) 】 や【 15分 ( Fifteen Minutes) 】 に設 定
できます。
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
154
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.1.9モデム( PPP)
設 定 するためには、ASGにシリアルインタフェースと外 部 PPPモデムが必 要 です。 また、ユーザ名 と
パスワードを含 むDSLアクセスデータも必 要 です。 これらのデータは、インターネット サービスプロバ
イダ( ISP) から入 手 できます。
モデム( PPP) インタフェースを設 定 するには、次 の手 順 に従 ってください。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 インタフェース(New Interface)】 をクリッ
クします。
【新 規 インタフェースの作 成 ( Create New Interface) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： インタフェースを説 明 する名 前 を入 力 します。
タイプ(Type)： ドロップダウンリスト から【モデム( PPP) ( Modem( PPP) ) 】 を選 択 します。
ハード ウェア(Hardware)： ドロップダウンリスト からインタフェースを選 択 します。
IPv4デフォルト GW(IPv4 Default GW)( オプション) ：プロバイダのデフォルト ゲート ウ
ェイを使 用 する場 合 、このオプションを選 択 します。
ユーザ名 (Username)： ISPが提 供 したユーザ名 を入 力 します。
ASG V8 管 理 ガイド
155
6.1インタフェース
6インタフェースおよびルーティング
パスワード (Password)： ISPが提 供 したパスワードを入 力 します。
ダイヤル文 字 列 (Dial String)： 電 話 番 号 を入 力 します。 例 ： 5551230
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
回 線 速 度 (Line Speed)：ASGとモデムの間 の接 続 に対 して、速 度 をbps単 位 で設 定
します。 一 般 的 な値 は57,600 bpsと115,200 bpsです。
フローコント ロール(Flow Control)： データフローをコント ロールする方 法 を選 択 します。
データがシリアル接 続 経 由 で転 送 される場 合 、システムで受 信 データを十 分 に速 く処 理
できない可 能 性 があります。 データの損 失 が発 生 しないようにするためには、データフロー
のコント ロール方 法 が必 要 になります。 シリアル接 続 では、次 の2つの方 法 を使 用 できま
す。
l
ハードウェア信 号
l
ソフトウェア信 号
PPP接 続 では、すべての8ビット がデータ転 送 回 線 に使 用 され、転 送 されるデータにはコマン
ドサインControl SとControl Qのバイト が含 まれるため、デフォルト 設 定 の【ハードウェ
ア( Hardware) 】 を維 持 し、シリアル接 続 ケーブルを使 用 することをお勧 めします。
初 期 化 文 字 列 (Init String)： モデムを初 期 化 するための文 字 列 を入 力 します。 モデ
ムに応 じて初 期 化 文 字 列 の調 整 が必 要 になる可 能 性 があります。 この場 合 、初 期 化 文
字 列 は該 当 モデムのマニュアルで確 認 できます。 必 要 なマニュアルがない場 合 、デフォル
ト 設 定 のATZを維 持 してください。
リセット 文 字 列 (Reset String)： モデムのリセット 文 字 列 を入 力 します。 モデムに応 じて
リセット 文 字 列 の調 整 が必 要 になる可 能 性 があります。 この場 合 、リセット 文 字 列 は該
当 モデムのマニュアルで確 認 できます。 必 要 なマニュアルがない場 合 、デフォルト 設 定
のATZを維 持 してください。
MTU： インタフェースの最 大 伝 送 単 位 をバイト 単 位 で入 力 します。 ト ラフィックマネジメント
を使 用 する場 合 は、インタフェースタイプに対 応 する値 をここに入 力 する必 要 があります。 イ
ンタフェースタイプに対 して妥 当 な値 がデフォルト で入 力 されています。 この設 定 の変 更
は、技 術 的 に熟 練 したユーザのみが行 ってください。 ここに不 正 な値 を入 力 すると、インタフ
ェースが使 用 不 可 能 になる場 合 があります。 1500バイト を超 えるMTUサイズは、通 信 事
業 者 とネット ワークカードでサポート されていることが必 要 です( 例 ：ギガビット インタフェー
ス) 。デフォルト では、1492バイト のMTUが【モデム( PPP) Modem( PPP) 】 インタフェースタイ
プに設 定 されています。
156
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
非 対 称 (Asymmetric)( オプション) ：接 続 のアップリンクとダウンリンクの帯 域 幅 が同 一
でない場 合 に、ダッシュボードにこれを反 映 させたいときは、このオプションを選 択 します。 選
択 すると、2つのテキスト ボックスが表 示 されます。ここに最 大 アップリンク帯 域 幅 をMbpsま
たはKbps単 位 で入 力 します。 ドロップダウンリスト から適 切 なユニット を選 択 します。
表 示 する最 大 (Displayed Max)( オプション) ：ダッシュボードに反 映 させたい場 合 は、こ
こに接 続 の最 大 ダウンリンク帯 域 幅 を入 力 できます。 帯 域 幅 はMbpsまたはKbps単 位 で
入 力 できます。 ドロップダウンリスト から適 切 なユニット を選 択 します。
4. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
5. インタフェースを有 効 にします。
インタフェースを有 効 にするには、ステータスアイコンをクリックします。
これでインタフェースが有 効 になります( ステータスアイコンは緑 色 ) 。まだインタフェースが【ダ
ウン( Down) 】 と表 示 されている場 合 もあります。 システムが構 成 を行 い、設 定 をロードす
るまで、しばらく時 間 がかかります。 【アップ( Up) 】 メッセージが表 示 されたら、インタフェース
は完 全 に動 作 可 能 です。
特 定 タイプのインタフェースのみ表 示 する場 合 は、ドロップダウンリスト から表 示 するインタフェースの
タイプを選 択 します。 インタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.2追 加 アドレス
1つのネット ワークカードで追 加 IPアドレス( 別 名 「エイリアス」 ) を設 定 できます。 この機 能 を使 用
すると、1つの物 理 ネット ワークカード上 で複 数 の論 理 ネット ワークを管 理 することができます。ま
た、これを使 用 して、NAT( ネット ワークアドレス変 換 ) を実 行 しているASGにさらなるアドレスを割 り
当 てることもできます。
標 準 イーサネット インタフェースで追 加 アドレスを設 定 するには、次 の手 順 に従 ってください。
1. 【追 加 アド レス(Additional Addresses)】 タブで、 【新 規 追 加 アド レス(New
Additional Address)】 をクリックします。
【新 規 追 加 アドレスの作 成 ( Create New Additional Address) 】 ダイアログボックスが開
きます。
2. 次 の設 定 を行 います。
名 前 (Name)： 新 しい追 加 アドレスを説 明 する名 前 を入 力 してください。
ASG V8 管 理 ガイド
157
6.1インタフェース
6インタフェースおよびルーティング
インタフェース(On Interface)： アドレスを割 り当 てるインタフェースをドロップダウンリスト
から選 択 します。
IPv4アド レス(IPv4 Address)： インタフェースのIPアドレスを入 力 します。
ネット マスク(Netmask)： ドロップダウンリスト からネット マスクを選 択 するか、IPv6ネット マ
スクを入 力 します( あるいはその両 方 ) 。
注 - インタフェースを設 定 して、IPv4およびIPv6アドレスを同 時 に使 用 することができま
す。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
システムが設 定 の有 効 性 を確 認 します。 チェックに成 功 すると、新 しいインタフェースがイン
タフェースリスト に表 示 されます。 インタフェースはまだ有 効 ではありません( ステータスアイコ
ンは赤 色 ) 。
4. 追 加 アド レスを有 効 にします。
追 加 アドレスを有 効 にするには、ステータスアイコンをクリックします。
これで追 加 アドレスが有 効 になります( ステータスアイコンは緑 ) 。 追 加 アドレスはまだ「ダウ
ン( Down) 」 と表 示 されている場 合 があります。 システムが構 成 を行 い、設 定 をロードする
まで、しばらく時 間 がかかります。 「アップ( Up) 」 というメッセージが表 示 されると、追 加 アドレ
スは完 全 に機 能 するようになっています。
追 加 アドレスを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.1.3リンクアグリゲーション
リンクアグリゲーションは、「ポート ト ランキング」または「NICボンディング」とも呼 ばれ、これによって複
数 のイーサネット ネット ワークポート を1つの仮 想 インタフェースに集 約 することができます。 集 約 さ
れたポート はシステム上 で1つのIPアドレスとして表 示 されます。リンクアグリゲーションは、どの単
体 NICよりもリンク速 度 を向 上 させたり、いずれかのポート またはスイッチで障 害 が発 生 した場 合 に
冗 長 性 を維 持 して基 本 フェイルオーバーおよびフォールト ト レランス機 能 を提 供 したりするために役
に立 ちます。 障 害 が発 生 したポート やスイッチにルーティングされているすべてのト ラフィックは自 動
的 にリルート され、残 りのポート またはスイッチのいずれかを使 用 するようになります。 このフェイル
オーバーは、接 続 を使 用 しているシステムに対 して完 全 に透 過 的 です。
注 - HA環 境 では、イーサネット 接 続 を別 のHAユニット 上 にすることもできます。
158
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
グループあたり最 大 4つのイーサネット インタフェースを使 用 して、リンクアグリゲーショングループを最
大 4つまで定 義 することができます。 1つのリンクアグリゲーショングループには、少 なくとも2つの空
きネット ワークインタフェースカードが必 要 です。そのうち1つは設 定 しないでください。
リンクアグリゲーショングループ( LAG) を作 成 するには、次 の手 順 に従 います。
1. 各 LAGに対 して、設 定 されたインタフェースを1つ選 択 します。
【インタフェースの変 換 ( Convert Interface) 】 ドロップダウンリスト から、リンクアグリゲーショ
ングループに変 換 するインタフェースを選 択 します。
2. 各 LAGに対 して、設 定 されていないインタフェースを1つ選 択 します。
リンクアグリゲーショングループに追 加 するそれぞれの未 設 定 インタフェースのチェックボックス
にチェックを入 れます。
3. LAGを有 効 にします。
【このグループを有 効 化 ( Enable this group) 】 ボタンをクリックして、グループを有 効 にしま
す。
リンクアグリゲーショングループを設 定 すると、 【インタフェース( Interfaces) 】 タブでインタフ
ェース定 義 を作 成 するときに、新 しいLAGインタフェース( lag0など) を選 択 できるようになり
ます。 ボンディングインタフェースの上 部 で、次 のいずれかを作 成 できます。
l
イーサネット 標 準
l
イーサネット VLAN
l
ケーブルモデム (DHCP)
l
エイリアスインタフェース
LAGを無 効 にするには、LAGを構 成 するインタフェースのチェックボックスのチェックを外 して、 【このグ
ループを更 新 ( Update this Group) 】 をクリックします。LAGインタフェースのステータスが、 【サ
ポート ( Support) 】 >>【詳 細 ( Advanced) 】 >>【インタフェーステーブル( Interfaces Table) 】
タブに表 示 されます。
6.1.4アップリンクバランシング
アップリンクバランシング機 能 を使 用 すると、複 数 のインターネット アップリンクを組 み合 わせて、バッ
クアップ用 アップリンクを使 用 可 能 にするか、複 数 のアップリンクに負 荷 を分 散 することができます。
組 み合 わせることができるアップリンクは最 大 8つです。
ASG V8 管 理 ガイド
159
6.1インタフェース
6インタフェースおよびルーティング
図 47 インタフェース( Interfaces) ：アップリンクバランシングの設 定
アップリンクバランシングを使 用 するには、次 の手 順 に従 ってください。
1. アップリンクバランシングを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【アップリンクバランシング( Uplink Balancing) 】 エリ
アが編 集 可 能 になります。
2. アクティブインタフェースを選 択 します。
フォルダアイコンをクリックしてインタフェースを1つ以 上 追 加 し、オブジェクト リスト からインタフ
ェースをドラッグします。 複 数 のインタフェースがあれば、これらのインタフェースのト ラフィックは
自 動 的 にバランシング( 分 散 ) されます。 いずれかのインタフェースを使 用 できない場 合 、ト
ラフィックは残 りのインタフェースによってテイクオーバーされます。
注 - アクティブインタフェースとスタンバイインタフェースの両 方 で、インタフェースの順 序 は
重 要 な意 味 を持 ちます。応 答 しないサーバがあると、このインタフェースの次 のインタフェー
スが選 択 されます。 インタフェースの順 序 は、該 当 ボックスで青 色 の矢 印 をクリックして変
更 します。
160
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
ボックスのヘッダで【スケジューラ( Scheduler) 】ボタンを使 用 すると、個 々 のバランシング動
作 およびアクティブインタフェースのインタフェースパーシスタンスを設 定 することができます。
加 重 (Weight)： 加 重 とは、あるインタフェースが処 理 するト ラフィック量 を他 のインタフェー
スに対 して相 対 的 に示 すもので、0～ 100の間 で設 定 できます。 加 重 ラウンドロビンアルゴ
リズムが使 用 され、値 が大 きいほど、該 当 インタフェースにルーティングされるト ラフィックが多
くなります。 相 対 的 な値 であるため、合 計 して100にする必 要 はありません。 たとえば、イン
タフェース1の値 を100に、インタフェース2の値 を50に、インタフェース3の値 を0に設 定 する
ことなどができます。 この場 合 、インタフェース2のト ラフィック量 はインタフェース1の半 分 とな
り、インタフェース3は他 のインタフェースが使 用 可 能 でない場 合 にのみ使 用 されます。 0の
値 は、より値 が大 きい他 のインタフェースが常 に使 用 されることを示 します( 他 のインタフェー
スが使 用 可 能 であれば) 。
パーシスタンス(Itf. Persistence:)： インタフェースパーシスタンスとは、クライアント から
の後 続 の接 続 が常 に同 じアップリンクインタフェース経 由 でルーティングされるようにする技
術 です。 パーシスタンスのデフォルト のタイムアウト 時 間 は1時 間 です。
3. スタンバイインタフェースの選 択 (Select standby interfaces)( オプション)
ここでは、すべてのアクティブインタフェースが使 用 不 能 になった場 合 にのみ使 用 されるフェイ
ルオーバーインタフェースをオプションで追 加 することができます。
注 - アクティブインタフェースとスタンバイインタフェースをあわせて最 大 32件 まで定 義 でき
ます。
4. モニタリングの有 効 化 (Enable monitoring)( オプション)
デフォルト では、インタフェース障 害 の可 能 性 を検 出 するために【自 動 モニタリン
グ( Automatic Monitoring) 】 が有 効 になっています。 つまり、すべてのアップリンクバランシ
ングインタフェースからインターネット 上 の任 意 のホスト に15秒 間 隔 でpingを実 行 することに
より、それらのインタフェースの状 態 ( 健 全 性 ) がモニタリングされます。 ホスト がpingに応 答
しなくなった場 合 、そのインタフェースは機 能 していない( デッド( dead) である) と見 なされる
ため、それ以 降 配 信 に使 用 されません。
サーバプールを用 いpingの対 象 とするホスト を、ユーザが自 分 で定 義 することができます。
1. 【自 動 モニタリング(Automatic Monitoring)】 チェックボックスからチェックを外 し
ます。
【モニタリングホスト ( Monitoring Hosts) 】 ボックスが編 集 可 能 になります。
ASG V8 管 理 ガイド
161
6.1インタフェース
6インタフェースおよびルーティング
2. pingの対 象 となるホスト を追 加 します。
任 意 のホスト を使 用 する代 わりにpingの対 象 としたいホスト を、1つ以 上 選 択 また
は追 加 します。
5. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
「アップリンクインタフェース( Uplink Interfaces) 」 という名 前 の新 しい仮 想 ネット ワークインタフェー
スが自 動 的 に作 成 され、Astaro Security Gatewayの他 の機 能 ( IPsecルールなど) で使 用 で
きるようになっています。 仮 想 ネット ワークインタフェース「アップリンクインタフェース( Uplink
Interfaces) 」 は、インタフェースリスト に追 加 されたすべてのアップリンクインタフェースから構 成 され
ています。
さらに、 「アップリンクプライマリアドレス( Uplink Primary Addresses) 」 という名 前 の新 しいネット
ワークグループが自 動 的 に作 成 され、Astaro Security Gatewayの他 の機 能 ( ファイアウォール
ルールなど) で使 用 できるようになっています。 これは、すべてのアップリンクインタフェースのプライマ
リアドレスを参 照 します。
DynDNSが使 用 されている場 合 や、リモート サーバがすべてのアップリンクインタフェースのIPアドレ
スを受 け付 けることができる場 合 は、インタフェースで障 害 が発 生 したときに、次 に使 用 可 能 なイ
ンタフェースを介 してオープンなVPNト ンネルを自 動 的 に再 確 立 することができます。 前 提 条 件 と
しては、IPsecルールが【ローカルインタフェース( Local Interface) 】 として【アップリンクインタフェー
ス( Uplink Interfaces) 】 を使 用 する必 要 があります。
6.1.5マルチパスルール
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【インタフェー
ス( Interfaces) 】 >>【マルチパスルール( Multipath Rules) 】 タブでは、アップリンクバランシング
用 のルールを設 定 できます。 このルールは【アップリンクバランシング( Uplink Balancing) 】 タブで
アクティブインタフェースに適 用 されます。 すべてのアクティブインタフェースに障 害 が発 生 し、パッシ
ブインタフェースがテイクオーバーすると、マルチパスルールはパッシブインタフェースに適 用 されます。
もちろんルールは、ト ラフィックのバランシング( 分 散 ) を行 うべき複 数 のインタフェース( アクティブまた
はパッシブ) がある場 合 にのみ適 用 されます。 一 般 にすべてのサービスは、マルチパスルールを作
成 する必 要 なくバランシングされます。 ただし、マルチパスルールを使 用 すると、特 定 のト ラフィック
のバランシングを追 加 で定 義 することができます。
162
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.1インタフェース
図 48 インタフェース( Interfaces) ：マルチパスルール
マルチパスルールを作 成 するには、次 の手 順 に従 います。
1. 【マルチパスルール(Multipath Rules)】 タブで、 【新 規 マルチパスルール(New
Multipath Rule)】 をクリックします。
【新 規 マルチパスルールの作 成 ( Create New Multipath Rule) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
名 前 (Name)： マルチパスルールを説 明 する名 前 を入 力 してください。
送 信 元 (Source)： 照 合 する送 信 元 IPアドレスまたはネット ワークを選 択 または追 加 しま
す。
サービス(Service)： 照 合 するネット ワークサービスを選 択 または追 加 します。
宛 先 (Destination)： ルーティングに使 用 すべき宛 先 IPアドレスまたはネット ワークを選
択 または追 加 します。
インタフェース パーシスタンス( Itf. Persistence:) ： インタフェースパーシスタンスとは、クライ
アント からの後 続 の接 続 が常 に同 じアップリンクインタフェース経 由 でルーティングされるよう
にする技 術 です。 パーシスタンスのデフォルト のタイムアウト 時 間 は1時 間 です。 何 を基 準
にパーシスタンスを定 めるかを定 義 することができます。
l
接 続 毎 (By Connection)： それぞれの接 続 は個 別 にバランシングされます。
l
送 信 元 毎 (By Source)(デフォルト )： バランシングは、送 信 元 IPアドレスに基 づ
いて行 われます。
l
宛 先 毎 (By Destination)： バランシングは、宛 先 IPアドレスに基 づいて行 われ
ます。
l
送 信 元 /宛 先 毎 (By Source/Destination)： バランシングは、送 信 元 /宛
先 IPアドレスの組 み合 わせに基 づいて行 われます。
ASG V8 管 理 ガイド
163
6.1インタフェース
l
6インタフェースおよびルーティング
インタフェース毎 (By Interface)： 【バインドインタフェース( Bind Interface) 】 ドロ
ップダウンリスト からインタフェースを選 択 します。 ルールに該 当 するすべてのト ラフィッ
クは、このインタフェース経 由 でルーティングされます。 インタフェースで障 害 が発 生
し、照 合 ルールが他 にない場 合 、接 続 はデフォルト の動 作 にフォールバックします。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいマルチパスルールが【マルチパスルール( Multipath Rules) 】 リスト に追 加 されます。
ルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
4. ルールを有 効 にします。
新 しいマルチパスルールはデフォルト で無 効 になっています。 ルールを有 効 にするには、ス
テータスアイコンをクリックします。
これでルールが有 効 になります( ステータスアイコンは緑 ) 。
6.1.6ハードウェア
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【インタフェー
ス( Interfaces) 】 >>【ハードウェア( Hardware) 】 タブには、設 定 されているすべてのインタフェー
スが、イーサネット オペレーションモード、MACアドレスなどの情 報 と共 に表 示 されます。各 インタフ
ェースに対 し、オート ネゴシエーションを有 効 または無 効 にすることができます。
オート ネゴシエーション(Autonegotiation)： 通 常 、2つのネット ワークデバイス間 のイーサネッ
ト オペレーションモード( 10BASE-T全 二 重 、10BASE-T半 二 重 など) が自 動 的 にネゴシエーショ
ンされ、これらのデバイスで共 有 される最 適 なオペレーションモードが選 択 されます。このとき、速 度
は高 速 ( 100 Mbps) の方 が低 速 ( 10 Mbps) より優 先 され、同 じ速 度 では全 二 重 の方 が半 二
重 より優 先 されます。
イーサネット オペレーションモードの手 動 での選 択 がドライバでサポート されていないネット ワークイ
ンタフェースカードや、対 応 する設 定 を決 定 できないネット ワークインタフェースカードのために、オー
ト ネゴシエーションはデフォルト で有 効 になっています。そのため、オート ネゴシエーション
はVMwareインスト ールなどに対 して有 効 にします。
オート ネゴシエーション設 定 を変 更 するには、各 インタフェースカードの【編 集 ( Edit) 】 ボタンをクリッ
クし、 【リンクモード ( Link Mode) 】 のドロップダウンリスト 経 由 で、表 示 される【 NICパラメータの編
集 ( Edit NIC Parameters) 】 ダイアログウィンドウで設 定 を変 更 します。 【保 存 ( Save) 】 をクリック
して変 更 を保 存 します。
164
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.2ブリッジング
警 告 - オート ネゴシエーションを無 効 にするときは注 意 してください。これにより、不 一 致 が生
じ、パフォーマンスが大 幅 に低 下 したり、接 続 が切 断 したりする可 能 性 もあります。 該 当 するネ
ット ワークインタフェースカードがWebAdminへのインタフェースである場 合 、WebAdminへのアク
セスが切 断 されてしまいます。
HAリンクモニタリング(HA Link Monitoring)： 冗 長 化 が有 効 である場 合 、設 定 されたすべ
てのインタフェースでリンクステータスがモニタリングされます。リンクに障 害 が発 生 した場 合 、テイク
オーバーが引 き起 こされます。 設 定 されたインタフェースが常 に接 続 されている訳 ではない場 合 (
管 理 インタフェースなど) 、このインタフェースのHAリンクモニタリングは無 効 にしてください。 無 効 にし
ないと、すべてのHAリンクのステータスが「未 リンク( UNLINKED) 」のままになります。 HAリンクモニ
タリングを無 効 にするには、各 インタフェースカードの【編 集 ( Edit) 】 ボタンをクリックして、表 示 され
る【 NICパラメータの編 集 ( Edit NIC Parameters) 】 ダイアログウィンドウで設 定 を変 更 します。 【
保 存 ( Save) 】 をクリックして変 更 を保 存 します。
仮 想 MACの設 定 (Set Virtual MAC)： デバイスのMACアドレスを変 更 できると便 利 な場 合
があります。 たとえば、ISPによっては、モデムに接 続 されているデバイスに変 更 があった場 合 にこの
モデムをリセット し、デバイスのMACアドレスをリセット する必 要 があります。 MACアドレスを前 のデ
バイスの値 に設 定 することで、モデムのリセット を回 避 することができます。
ただし、ASGはデバイスのオリジナルのMACアドレスを上 書 きするのではなく、仮 想 MACアドレスを
設 定 します。 これを行 うには、該 当 するインタフェースカードの【編 集 ( Edit) 】 ボタンをクリックしま
す。 表 示 される【 NICパラメータの編 集 ( Edit NIC Parameters) 】 ダイアログウィンドウで、 【仮
想 MACの設 定 ( Set Virtual MAC) 】 チェックボックスにチェックを入 れ、有 効 なMACアドレスを入 力
します。 【保 存 ( Save) 】 をクリックして変 更 を保 存 します。
オリジナルのMACアドレスに復 元 するには、該 当 するインタフェースカードの【編 集 ( Edit) 】 ボタンを
クリックします。 表 示 される【 NICパラメータの編 集 ( Edit NIC Parameters) 】 ダイアログウィンドウ
で、 【仮 想 MACの設 定 ( Set Virtual MAC) 】 チェックボックスのチェックを外 します。 【保
存 ( Save) 】 をクリックして変 更 を保 存 します。
6.2ブリッジング
ブリッジングとは、主 にイーサネット ネット ワークで使 用 されるパケット 転 送 技 術 です。 ルーティングと
違 い、ブリッジングでは特 定 のアドレスがネット ワーク内 のどこにあるのか推 定 するのではなく、 ブ
ロードキャスティングを使 用 して不 明 のデバイスを探 します。
ブリッジングにより、複 数 のイーサネット ネット ワークまたはセグメント が相 互 接 続 できるようになりま
す。 データパケット はブリッジングテーブルを介 して転 送 されます。ブリッジングテーブルは、ブリッジ
ASG V8 管 理 ガイド
165
6.2ブリッジング
6インタフェースおよびルーティング
ポート にMACアドレスを割 り当 てます。 作 成 されるブリッジは、ブリッジインタフェースを介 してト ラフィ
ックを透 過 的 に受 け渡 します。
注 - このようなト ラフィックは、適 切 なファイアウォールルールによって明 示 的 に許 可 する必 要 が
あります。
6.2.1ステータス
図 49 ブリッジ：ブリッジの設 定
ブリッジを設 定 するには、次 の手 順 に従 ってください。
1. 【ステータス(Status)】 タブでブリッジを有 効 にします。
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【ブリッ
ジ ( Bridging) 】 >>【ステータス( Status) 】 タブで、ステータスアイコンまたは【有
効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【ブリッジ設 定 ( Bridge Configuration) 】 エリアが
編 集 可 能 になります。
2. ブリッジングモード を選 択 します。
2種 類 のモードから選 択 可 能 です。
166
l
全 NICをブリッジ(Bridge all NICs)： このオプションを選 択 すると、使 用 可 能 な
すべてのイーサネット NIC( ネット ワークインタフェースカード) がブリッジに加 わります。
このモードでは【変 換 インタフェース( Convert Interface) 】 の指 定 が必 須 となりま
す。 変 換 されたインタフェースを除 くすべてのインタフェースが削 除 されます。
l
選 択 したNICをブリッジ(Bridge Selected NICs)： ブリッジを形 成 する個 々
のNICを選 択 できます。 このためには、使 用 されていないネット ワークインタフェース
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.2ブリッジング
カードを用 意 する必 要 があります。 使 用 されていないネット ワークインタフェースカード
を1つ以 上 選 択 してブリッジを形 成 します。 また、新 しいブリッジにコピーされる変 換 イ
ンタフェースを指 定 することもできます。
3. ブリッジに変 換 されるインタフェースを選 択 します。
設 定 済 みのインタフェースのみを選 択 できます。 ブリッジは、そのインタフェースのアドレス設
定 と、エイリアスアドレスおよびVLANの設 定 を継 承 します。
4. 【ブリッジの作 成 (Create Bridge)】 をクリックします。
ネット ワークインタフェースが組 み合 わされ、ブリッジがアクティブになります( ステータスアイコン
が緑 色 になります) 。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
ブリッジの設 定 が完 了 すると、 【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【
インタフェース( Interfaces) 】 タブに、変 換 されたインタフェースがSysID br0のブリッジデバイスとし
て表 示 されます。 ブリッジのメンバであるすべてのインタフェースが【ブリッジ設 定 ( Bridge
Configuration) 】 エリアに表 示 されます。ブリッジからインタフェースを除 外 するには、チェックボック
スからチェックを外 して、 【ブリッジの更 新 ( Update Bridge) 】 をクリックします。
図 50 ブリッジ：ブリッジングが有 効
ブリッジを削 除 するには、次 の手 順 に従 ってください。
1. 【ステータス(Status)】 タブで、 【無 効 (Disable)】 をクリックします。
ステータスアイコンがアンバー色 になります。
2. 【ブリッジの削 除 を確 認 (Confirm Removal of Bridge)】 をクリックします。
ステータスアイコンが赤 色 に変 わります。 ブリッジは正 常 に削 除 されました。
ASG V8 管 理 ガイド
167
6.3スタティックルーティング
6インタフェースおよびルーティング
図 51 ブリッジ：ブリッジを無 効 にする
6.2.2詳 細
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【ブリッジ ( Bridging) 】 >>【詳
細 ( Advanced) 】 タブでは、次 のブリッジオプションを設 定 できます。
ARPブロード キャスト を許 可 (Allow ARP broadcasts)： この機 能 を使 用 すると、グローバ
ルARPブロードキャスト をブリッジで転 送 するかどうかを設 定 することができます。 有 効 にすると、ブ
リッジはMAC宛 先 アドレスFF:FF:FF:FF:FF:FFへのブロードキャスト を許 可 します。 ただし、これ
は疑 わしい攻 撃 者 に悪 用 され、各 ネット ワークセグメント 内 に導 入 されているネット ワークカード
や、場 合 によってはセキュリティ製 品 自 体 について、さまざまな情 報 を収 集 するために利 用 されてし
まう危 険 性 があります。 そのため、デフォルト 設 定 はこのようなブロードキャスト がブリッジを通 過 で
きないようになっています。
時 間 経 過 タイムアウト (Ageing Timeout)： この時 間 ( 秒 ) が経 過 すると、無 効 なMACアドレ
スが削 除 されます。 デフォルト 時 間 は300秒 です。
IPv6パススルーを許 可 (Allow IPv6 Pass Through)： このオプションを有 効 にする
と、IPv6ト ラフィックが検 査 を受 けずにブリッジを通 過 できるようになります。
6.3スタティックルーティング
ネット ワークに接 続 されたすべてのコンピュータは、ルーティングテーブルを使 用 して、発 信 したデー
タパケット を宛 先 に届 くように送 信 するためのパスを決 定 します。 たとえば、ルーティングテーブルに
は、宛 先 アドレスがローカルネット ワーク上 にあるか、またはデータパケット をルータに転 送 するべき
かどうか、といった情 報 が含 まれています。 ルータを使 用 する場 合 は、テーブルには、どのルータを
どのネット ワークに使 用 するかという情 報 が含 まれます。
Astaro Security Gatewayのルーティングテーブルには、標 準 スタティックルート とポリシルート とい
う2種 類 のルート を追 加 できます。 スタティックルート では、ルーティングターゲット はパケット の宛 先
168
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.3スタティックルーティング
アドレスだけで決 定 されます。 ポリシルート では、送 信 元 インタフェース、送 信 元 アドレス、サービ
ス、あるいは宛 先 アドレスに基 づいてルーティングを決 定 できます。
注 ： -ゲート ウェイのインタフェースに接 続 されたネット ワークに対 して、追 加 ルート を設 定 する必
要 はありません。また、デフォルト ルート も設 定 する必 要 はありません。これらのルート はシステム
が自 動 的 に追 加 します。
6.3.1標 準 スタティックルート
システムに直 接 接 続 されたネット ワークについては、システムがルーティングエント リをルーティング
テーブルに自 動 的 に挿 入 します。 特 定 ネット ワーク経 由 でアクセスする追 加 ルータを使 用 する場
合 は、エント リを手 動 で入 力 する必 要 があります。 直 接 接 続 されていないネット ワークへのルート
で、コマンドまたは設 定 ファイルを使 ってルーティングテーブルに挿 入 されるものをスタティックルート と
呼 んでいます。
図 52 スタティックルーティング：スタティックルート テーブル
標 準 スタティックルート を追 加 するには、以 下 の手 順 に従 います。
1. 【新 規 スタティックルート (New Static Route)】 をクリックします。
【新 規 スタティックルートを作 成 ( Create New Static Route) 】 ダイアログボックスが開 きま
す。
2. 次 の設 定 を行 います。
ルート タイプ(Route Type)： 次 のルート タイプを使 用 できます。
l
インタフェースルート (Interface Route)： パケット は特 定 のインタフェースで送 出
されます。 これは2つの状 況 で役 立 ちます。 1番 目 は、ダイナミック( 動 的 ) インタフ
ェース上 のルーティング( PPP) の場 合 です。この理 由 は、この場 合 はゲート ウェイのIP
アドレスが不 明 だからです。 2番 目 は、直 接 接 続 されたネット ワークの外 側 にゲート
ウェイがあるデフォルト ルート を定 義 する場 合 です。
ASG V8 管 理 ガイド
169
6.3スタティックルーティング
6インタフェースおよびルーティング
l
ゲート ウェイルート (Gateway Route)： パケット は特 定 のホスト ( ゲート ウェイ) に
送 信 されます。
l
ブラックホールルート (Blackhole Route)： パケット は確 認 なしで廃 棄 されます。
これはOSPF または他 のダイナミックアダプティブ( 動 的 適 応 型 の) ルーティングプロト コ
ルでルーティングループやルート フラッピングなどを回 避 する場 合 に役 に立 ちます。
ネット ワーク(Network)：ゲート ウェイ がインターセプト するデータパケット の宛 先 ネット ワー
クを選 択 します。
インタフェース(Interface)： データパケット がゲート ウェイ を離 れるインタフェースを選 択 し
ます( ルート タイプとして【インタフェースルート ( Interface Route) 】 を選 択 した場 合 のみ利
用 できます) 。
ゲート ウェイ(Gateway)：ゲート ウェイ がデータパケット を転 送 するゲート ウェイ/ルータを選
択 します( ルート タイプとして【ゲートウェイルート ( Gateway Route) 】 を選 択 した場 合 のみ
利 用 できます) 。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルート が【標 準 スタティックルート ( Standard Static Route) 】 リスト に表 示 されま
す。
4. ルート を有 効 にします。
ルート を有 効 にするには、ステータスアイコンをクリックします。
ルート を編 集 または削 除 するには、対 応 するボタンをクリックします。
6.3.2ポリシルート
ルータがデータパケット を受 信 すると、通 常 はパケット の宛 先 アドレスに基 づいて転 送 先 を決 定
し、この宛 先 アドレスを使 用 してルーティングテーブルのエント リが検 索 されます。 ただし、他 の基
準 に基 づいてパケット を転 送 することが必 要 な場 合 もあります。 ポリシベースのルーティングでは、
お客 様 のポリシに従 ってデータパケット をフォワーディング( 転 送 ) またはルーティングできます。
170
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.3スタティックルーティング
図 53 スタティックルーティング：ポリシルート テーブル
ポリシルート を追 加 するには、以 下 の手 順 に従 います。
1. 【新 規 ポリシルート (New Policy Route)】 をクリックします。
【新 規 ポリシルートを作 成 ( Create New Policy Route) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
位 置 (Position)： 位 置 番 号 。これによってポリシルート の優 先 順 位 が定 義 されます。
番 号 が小 さいほど優 先 順 位 が高 くなります。 ルート は昇 順 に照 合 されます。 あるルート が
一 致 すると、それ以 降 、それより大 きい番 号 のルート は評 価 されません。
ルート タイプ(Route Type)： 次 のルート タイプを使 用 できます。
l
インタフェースルート (Interface Route)： パケット は特 定 のインタフェースで送 出
されます。 これは2つの状 況 で役 立 ちます。 1番 目 は、ダイナミック( 動 的 ) インタフ
ェース上 のルーティング( PPP) の場 合 です。この理 由 は、この場 合 はゲート ウェイのIP
アドレスが不 明 だからです。 2番 目 は、直 接 接 続 されたネット ワークの外 側 にゲート
ウェイがあるデフォルト ルート を定 義 する場 合 です。
l
ゲート ウェイルート (Gateway Route)： パケット は特 定 のホスト ( ゲート ウェイ) に
送 信 されます。
送 信 元 インタフェース(Source Interface)： ルーティングされるデータパケット が到 着 し
たインタフェース。 【すべて( Any) 】 を設 定 すると、すべてのインタフェースが該 当 することになり
ます。
送 信 元 ネット ワーク(Source Network)： ルーティングされるデータパケット の送 信 元 ネ
ット ワーク。 【すべて( Any) 】 を設 定 すると、すべてのネット ワークが該 当 することになります。
サービス(Service)： ルーティングされるデータパケット に一 致 するサービス定 義 。 ドロップ
ダウンリスト には、定 義 済 みのサービスとお客 様 が定 義 されたサービスがすべて含 まれます。
これらのサービスにより、どのようなト ラフィックを処 理 するかを精 密 に指 定 できます。 【すべ
て( Any) 】 を設 定 すると、プロト コル、送 信 元 、および宛 先 ポート のあらゆる組 み合 わせに
一 致 します。
ASG V8 管 理 ガイド
171
6.4ダイナミックルーティング( OSPF)
6インタフェースおよびルーティング
宛 先 ネット ワーク(Destination Network)： ルーティングされるデータパケット の宛 先 ネ
ット ワーク。 【すべて( Any) 】 を設 定 すると、すべてのネット ワークが該 当 することになります。
ターゲット インタフェース(Target Interface)： データパケット の送 信 先 インタフェース(
ルート タイプとして【インタフェースルート ( Interface Route) 】 を選 択 したときのみ使 用 可
能)。
ゲート ウェイ(Gateway)： ゲート ウェイがデータパケット を転 送 するゲート ウェイ/ルータを選
択 します( ルート タイプに【ゲートウェイルート ( Gateway Route) 】 を選 択 した場 合 のみ使 用
可能)。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルート が【ポリシルート ( Policy Routes) 】 リスト に表 示 されます。
4. ルート を有 効 にします。
ルート を有 効 にするには、ステータスアイコンをクリックします。
ルート を編 集 または削 除 するには、対 応 するボタンをクリックします。
6.4ダイナミックルーティング( OSPF)
OSPF( Open Shortest Path First) プロト コルは、リンクステート 型 の階 層 ルーティングプロト コル
であり、大 規 模 な自 律 システム(AS)ネット ワーク内 で主 に使 用 されます。Astaro Security
Gateway はOSPFバージョン2をサポート しています。 他 のルーティングプロト コルと比 べ、OSPFは
ルーティングメト リックとしてコスト を使 用 しています。 OSPF対 応 インタフェースのコスト は、特 定 のイ
ンタフェース経 由 でパケット を送 信 するときに必 要 なオーバーヘッドを示 します。 インタフェースのコ
スト は、そのインタフェースの帯 域 幅 に反 比 例 します。 そのため、帯 域 幅 が大 きいと、コスト が小 さ
くなります。 たとえば、10 Mbpsのイーサネット 回 線 より56 Kbpsのシリアル回 線 の方 がオーバー
ヘッドが増 え( コスト が高 くなり) 、遅 延 時 間 が長 くなります。
接 続 されたネット ワークのコスト の計 算 方 法 は、OSPF仕 様 には指 定 されておらず、ベンダーに任 さ
れています。 そのため、独 自 の計 算 式 を定 義 することができます。 ただし、コスト がすでに定 義 さ
れている他 のネット ワークとOSPFネット ワークが隣 接 している場 合 、同 じ計 算 ベースを適 用 するこ
とをお勧 めします。
デフォルト では、インタフェースのコスト は帯 域 幅 に基 づいて計 算 されます。 たとえば、Ciscoの場
合 、108 をインタフェースの帯 域 幅 ( bps) で割 ってコスト を計 算 しています。 この計 算 式 を使 用 す
ると、10 Mbpsのイーサネット 回 線 を経 由 する場 合 のコスト は108 /10000000 = 10となりま
172
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.4ダイナミックルーティング( OSPF)
す。一 方 、1.544 Mbpsの回 線 ( T1) では、108 /1544000 = 64となります( コスト の計 算 で
は、小 数 点 以 下 を切 り捨 てます) 。
6.4.1グローバル
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【ダイナミックルーティン
グ( OSPF) ( Dynamic Routing( OSPF) ) 】 >>【グローバル( Global) 】 タブでは、OSPFの基 本 設
定 を行 うことができます。 OSPF機 能 を有 効 にする前 に、OSPFエリアを1つ以 上 設 定 しておく必 要
があります( 【エリア( Area) 】 タブ) 。
警 告 - Astaro Security GatewayのOSPF機 能 を設 定 するためには、OSPFプロト コルを熟 知
している技 術 的 に熟 練 した経 験 豊 富 な管 理 者 が必 要 です。 ここでの設 定 オプションについて
の解 説 は、OSPFプロト コルについて完 全 に理 解 するために十 分 であるとは言 えません。 そのた
め、この機 能 は慎 重 に使 用 することをお勧 めします。設 定 を誤 ると、ネット ワークが動 作 不 可 能
になる場 合 があります。
図 54 OSPF：OSPFの有 効 化
OSPFを設 定 するには、次 の手 順 に従 ってください。
1. 【エリア(Area)】 タブで、OSPFエリアを1つ以 上 作 成 します。
2. 【グローバル(Global)】 タブで、OSPFを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、【ルータ( Router) 】エリアが編 集 可 能 になります。
3. ルータIDを入 力 します。
Astaro Security Gatewayデバイスを他 のOSPFルータから識 別 するための一 意 のルー
タIDを入 力 します。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
OSPFを無 効 にするには、ステータスアイコンまたは【無 効 ( Disable) 】 をクリックします。
ASG V8 管 理 ガイド
173
6.4ダイナミックルーティング( OSPF)
6インタフェースおよびルーティング
6.4.2エリア
OSPFネット ワークは、複 数 のエリアに分 割 されます。 エリアとは、ネット ワークの残 りの部 分 のため
に情 報 をひとまとめにできるルータの論 理 グループです。 エリアの識 別 名 は、10進 ドット 表 記
の32ビット IDであり、IPアドレスの表 記 法 と似 ています。
図 55 OSPF：設 定 されたエリアの概 要
OSPFエリアは全 部 で6種 類 あります。
l
バックボーン： IDが0( または0.0.0.0) のエリアはOSPFネット ワークバックボーンに予 約 され
ており、OSPFネット ワークの中 核 となります。他 のすべてのエリアがこのエリアに接 続 されま
す。
l
通 常 (Normal)： ノーマルエリア( または標 準 エリア) は、1( また
は0.0.0.1) ～ 4,294,967,295( または255.255.255.255) という一 意 のID範 囲 を持 ち
ます。 ノーマルエリアは、ABR( エリア境 界 ルータ) を介 して外 部 ルート を双 方 向 的 にフラッ
ディングして処 理 します。 外 部 ルート とは、他 のルーティングプロト コルからOSPF内 に配 布 さ
れたルート として定 義 されます。
l
スタブ(Stub)： 通 常 、スタブエリアは外 部 ネット ワークと直 接 接 続 されません。 外 部 ネット
ワークへのすべてのト ラフィックはABR( エリア境 界 ルータ) を介 してルーティングする必 要 があ
るため、スタブエリアに外 部 ルート をインジェクト する必 要 はありません。 そのため、スタブエリ
アは外 部 ネット ワークにト ラフィックを送 信 する外 部 ルート にとってデフォルト ルート の代 わりと
なります。
l
スタブサマリなし(Stub No-Summary)： スタブサマリなしエリア( Stub No-Summary)
または完 全 スタブエリア( totally stubby area) ) はスタブエリアと似 ていますが、このエリアは
いわゆるサマリルート を許 可 しません。つまり、タイプ3のサマリリンクステート アドバタイズメン
ト ( LSA) を拒 絶 し、エリアに入 ってこないようにします。
174
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.4ダイナミックルーティング( OSPF)
l
NSSA： NSSA( not-so-stubby area) は、スタブエリアとは違 い、外 部 接 続 をサポート で
きます。 NSSAはバーチャルリンクをサポート しない点 に注 意 が必 要 です。
l
NSSAサマリなし(NSSA No-Summary)：NSSAサマリなし( NSSA No-Summary)
はNSSAと似 ていますが、このエリアはいわゆるサマリルート を許 可 しません。つまり、タイプ3
のサマリリンクステート アドバタイズメント ( LSA) を拒 絶 し、エリアに入 ってこないようにします。
OSPFエリアを作 成 するには、次 の手 順 に従 います。
1. 【エリア(Area)】 タブで、 【新 規 OSPFエリア(New OSPF Area)】 をクリックします。
【新 規 OSPFエリアの作 成 ( Create New OSPF Area) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： エリアを説 明 する名 前 を入 力 してください。
エリアID(Area ID)： エリアのIDを10進 ドット 表 記 で入 力 します( たとえばノーマルエリア
は0.0.0.1、バックボーンエリアは0.0.0.0) 。
エリアタイプ(Area Type)： エリアタイプ( 説 明 は前 述 ) を選 択 し、該 当 するエリアに割 り当
てられるネット ワークの特 徴 を指 定 します。
認 証 タイプ(Auth-Type)： エリア内 のインタフェースを介 して送 受 信 されるすべてのOSPF
パケット に対 して使 用 する認 証 タイプを選 択 します。 次 の認 証 タイプを使 用 できます。
l
MD5： 選 択 すると、MD5認 証 が有 効 になります。 MD5( Message-Digest
algorithm 5) とは、128ビット のハッシュ値 を使 用 する一 般 的 な暗 号 ハッシュ関 数
です。
l
プレーンテキスト (Plain-Text)： 選 択 すると、プレーンテキスト 認 証 が有 効 になり
ます。 パスワードはネット ワーク上 を平 文 の形 で伝 送 されます。
l
オフ(Off)： 選 択 すると、認 証 が無 効 になります。
インタフェース経 由 で接 続 (Connect Via Interface)： OSPF対 応 インタフェースを選
択 します。 ここでOSPF対 応 インタフェースを指 定 するためには、事 前 に【インタフェー
ス( Interfaces) 】 タブでこのインタフェースを作 成 しておく必 要 があります。
バーチャルリンクを使 用 (Connect Virtual Links)： OSPF自 律 システム( AS) 内 のす
べてのエリアは、バックボーンエリア( エリア0) に物 理 的 に接 続 されている必 要 があります。
物 理 的 な接 続 が不 可 能 な場 合 には、バーチャルリンクを使 用 して、非 バックボーンエリアを
介 してバックボーンに接 続 できます。 【仮 想 リンクの接 続 ( Connect Virtual Links) 】 ボック
スに、バーチャルリンクのネイバーに関 連 付 けられたルータIDを10進 ドット 表 記 で入 力 しま
す( 10.0.0.8など) 。
ASG V8 管 理 ガイド
175
6.4ダイナミックルーティング( OSPF)
6インタフェースおよびルーティング
コスト (Cost)： このエリアでデータパケット を送 受 信 するコスト 。 有 効 な値 は1～ 65535の
範 囲 内 です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいエリア定 義 が【エリア( Area) 】 タブに表 示 されます。
OSPFエリアを編 集 または削 除 するには、対 応 するボタンをクリックします。
ライブログを開 く(Open Live Log)： OSPFライブログには、OSPFインタフェースでのすべてのアク
ティビティが記 録 されます。 ボタンをクリックして、新 しいウィンドウでライブログを開 きます。
6.4.3インタフェース
【ネットワークおよびルーティング( Interfaces & Routing) 】 >>【ダイナミックルーティン
グ( OSPF) ( Dynamic Routing( OSPF) ) 】 >>【インタフェース( Interfaces) 】 タブでは、OSPFエリ
ア内 で使 用 するインタフェースの定 義 を作 成 できます。 それぞれの定 義 には、OSPF対 応 インタフ
ェースに固 有 の複 数 のパラメータがあります。
OSPFインタフェース定 義 を作 成 するには、次 の手 順 に従 います。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 OSPFインタフェース(New OSPF
Interface)】 をクリックします。
【新 規 OSPFインタフェースの作 成 ( Create New OSPF Interface) 】 ダイアログボックスが開
きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このインタフェースを説 明 する名 前 を入 力 してください。
インタフェース(Interface)： このOSPFインタフェース定 義 と関 連 付 けるインタフェースを選
択 します。
認 証 タイプ(Auth-Type)： このインタフェースを介 して送 受 信 されるすべてのOSPFパケッ
ト に対 して使 用 する認 証 タイプを選 択 します。 次 の認 証 タイプを使 用 できます。
176
l
MD5： 選 択 すると、MD5認 証 が有 効 になります。 MD5( Message-Digest
algorithm 5) とは、128ビット のハッシュ値 を使 用 する一 般 的 な暗 号 ハッシュ関 数
です。
l
プレーンテキスト (Plain-Text)： 選 択 すると、プレーンテキスト 認 証 が有 効 になり
ます。 パスワードはネット ワーク上 を平 文 の形 で伝 送 されます。
l
オフ(Off)： 選 択 すると、認 証 が無 効 になります。
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.4ダイナミックルーティング( OSPF)
メッセージダイジェスト (Message Digest)： このOSPFインタフェースに対 してMD5認 証
が使 用 されることを示 すメッセージダイジェスト ( MD) を選 択 します。 ここでメッセージダイジェ
スト を選 択 するためには、事 前 に【メッセージダイジェスト ( Message Digests) 】 タブでその
メッセージダイジェスト を作 成 しておく必 要 があります。
コスト (Cost)： このインタフェースでデータパケット を送 信 するコスト 。 有 効 な値
は1～ 65535の範 囲 内 です。
詳 細 オプション(Advanced Options)( オプション) ： 【詳 細 オプション( Advanced
Options) 】 チェックボックスにチェックを入 れると、追 加 の設 定 オプションが表 示 されます。
l
Hello間 隔 (Hello Interval)：Astaro Security Gatewayがこのインタフェース
を介 してHelloパケット を送 信 する間 隔 ( 秒 ) を指 定 します。 デフォルト 値 は10秒 で
す。
l
再 送 間 隔 (Retransmit Interval)： LSA( リンクステート アドバタイズメント ) を
受 け取 ったという確 認 応 答 のACKがインタフェースに届 かなかったときに、インタフェー
スがLSAを再 送 する間 隔 ( 秒 ) を指 定 します。 デフォルト 値 は5秒 です。
l
Dead間 隔 (Dead Interval)：Astaro Security Gatewayがこのインタフェース
を介 してHelloパケット の受 信 を待 機 する期 間 ( 秒 ) を指 定 します。 デフォルト 値
は40秒 です。 原 則 的 に、Dead 間 隔 の値 はHello間 隔 の値 の4倍 の長 さにします。
l
優 先 順 位 (Priority)： ルータの優 先 順 位 を1～ 255の範 囲 の8ビット 値 で指 定 し
ます。この値 は、特 定 のネット ワークの指 名 ルータ( DR) を決 定 するために主 に使 用
されます。 デフォルト 値 は1です。
l
送 信 遅 延 (Transmit Delay)： インタフェースでLSU( link state update) パケッ
ト 送 信 に予 想 される期 間 ( 秒 ) を指 定 します。 範 囲 は1～ 65535秒 で、デフォルト
値 は1です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
OSPFインタフェース定 義 が【インタフェース( Interfaces) 】 タブに表 示 されます。
OSPFインタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
ライブログを開 く(Open Live Log)： OSPFライブログには、OSPFインタフェースでのすべてのアク
ティビティが記 録 されます。 ボタンをクリックして、新 しいウィンドウでライブログを開 きます。
ASG V8 管 理 ガイド
177
6.4ダイナミックルーティング( OSPF)
6インタフェースおよびルーティング
6.4.4メッセージダイジェスト
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【メッセージダイジェス
ト ( Message Digests) 】 タブでは、いわゆるメッセージダイジェスト 鍵 を生 成 することができます。メ
ッセージダイジェスト 鍵 は、OSPFでMD5認 証 を有 効 にするために必 要 です。 MD5認 証 では、パ
スワードを使 用 してメッセージダイジェスト を生 成 します。これはデータパケット とパスワードの128ビッ
ト のチェックサムです。 メッセージダイジェスト は、パスワードと関 連 付 けられた鍵 IDとともにデータパ
ケット で送 信 されます。
注 - 受 信 側 ルータは、同 じメッセージダイジェスト 鍵 で設 定 されていなければなりません。
メッセージダイジェスト 鍵 を作 成 するには、次 の手 順 に従 います。
1. 【メッセージダイジェスト (Message Digest)】 タブで 【新 規 メッセージダイジェスト
鍵 (New Message Digest Key)】 をクリックします。
【新 規 メッセージダイジェスト鍵 の作 成 ( Create New Message Digest Key) 】 ダイアログ
ボックスが開 きます。
2. 次 の設 定 を行 います。
ID： このメッセージダイジェスト 鍵 の鍵 IDを入 力 します。範 囲 は1～ 255です。
MD5鍵 (MD5-key)： 関 連 するパスワードを入 力 します。最 大 16文 字 の英 数 字 から成
る文 字 列 にする必 要 があります。
3. 【保 存 (Save)】 をクリックします。
新 しい鍵 が【メッセージダイジェスト ( Message Digests) 】 リスト に表 示 されます。
ダイジェスト 鍵 を編 集 または削 除 するには、対 応 するボタンをクリックします。
6.4.5デバッグ
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【ダイナミックルーティン
グ( OSPF) ( Dynamic Routing( OSPF) ) 】 >>【デバッグ( Debug) 】 タブでは、関 連 OSPFパラ
メータについての詳 細 情 報 が別 のブラウザウィンドウで表 示 されます。 次 の情 報 が含 まれていま
す。
l
OSPFネイバの表 示 (Show IP OSPF Neighbor)： OSPFネイバ情 報 をインタフェース
単 位 で表 示 するために使 用 します。
178
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.4ダイナミックルーティング( OSPF)
l
OSPFルート の表 示 (Show IP OSPF Routes)： ルーティングテーブルの現 在 の状 態
を表 示 するために使 用 します。
l
OSPFインタフェースの表 示 (Show IP OSPF Interface)： OSPF関 連 のインタフェー
ス情 報 を表 示 するために使 用 します。
l
OSPFデータベースの表 示 (Show IP OSPF Database)： 特 定 ルータのOSPFデータ
ベースに関 連 する情 報 を一 覧 表 示 するために使 用 します。
l
OSPF境 界 ルータの表 示 (Show IP OSPF Border-Routers)： ABR( エリア境 界
ルータ) とASBR( 自 律 システム境 界 ルータ) への内 部 OSPFルーティングテーブルのエント リ
を表 示 するために使 用 します。
6.4.6詳 細
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【ダイナミックルーティン
グ( OSPF) ( Dynamic Routing( OSPF) ) 】 >>【詳 細 ( Advanced) 】 タブには、OSPFに関 連 する
追 加 の設 定 オプションがあります。これらは、OSPF以 外 のドメインからOSPFドメインへのルーティン
グ情 報 の再 配 布 に関 連 するものです。
注 - ポリシルート を再 分 配 することはできません。
直 接 接 続 されたネット ワークを再 配 布 (Redistribute Connected)： 直 接 接 続 されているネ
ット ワークのルート を再 配 布 する場 合 は、これを選 択 します。デフォルト のメト リック( コスト ) 値 は10
です。
スタティックルート を再 配 布 (Redistribute Static)： スタティックルート およびIPsecルート を再
分 配 する場 合 は、これを選 択 します。デフォルト のメト リック( コスト ) 値 は10です。
注 - IPsecト ンネルを再 配 分 するためにはスト リクト ルーティングを無 効 化 する必 要 がありま
す( 「接 続 」) 。
デフォルト ルート を配 布 (Announce Default Route)： デフォルト ルート をOSPFドメインに再
配 布 する場 合 は、これを選 択 します。
注 - デフォルト ルート は、0.0.0.0/0へのルート の有 無 を問 わずOSPFドメインにアドバタイズさ
れます。
リンク検 出 (Link Detection)： インタフェースリンクが検 出 された場 合 にのみインタフェースの
ルート をアナウンスする場 合 は、これを選 択 します。
ASG V8 管 理 ガイド
179
6.5IPv6
6インタフェースおよびルーティング
6.5IPv6
バージョン8から、Astaro Security Gateway はIPv4の後 継 であるPv6をサポート しています。
管 理 ガイドの以 下 の機 能 は、IPv6を完 全 にまたは部 分 的 にサポート します。
l
WebAdminおよびユーザポータルへのアクセス
l
SSH
l
NTP
l
SNMP
l
インタフェースタイプ：イーサネット 標 準 、PPPoE、イーサネット VLAN、( ケーブルモデ
ム/Dhclient限 定 )
l
DNS
l
DHCPサーバ
l
IPS
l
ファイアウォール
l
ICMP
l
Webフィルタ
l
SMTP
l
IPsec( サイト 間 のみ)
l
Syslogサーバ
6.5.1グローバル
【 IPv6】 >>【グローバル( Global) 】 タブでは、Astaro Security GatewayのIPv6サポート を有 効
にすることができます。さらに、これを有 効 にすると、IPv6の情 報 ( ステータス情 報 など) がここに表
示 されます。
IPv6サポート はデフォルト では無 効 になっています。 IPv6を有 効 にするには、次 の手 順 に従 いま
す。
1. 【グローバル(Global)】 タブで、IPv6を有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
180
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.5IPv6
ステータスアイコンが緑 色 に変 わります。 以 前 にIPv6を有 効 化 または設 定 したことがない場
合 は、 【接 続 ( Connectivity) 】 エリアに【なし( None) 】 と表 示 されます。
IPv6を有 効 にすると、複 数 のネット ワークや、WebAdminでIPv6を明 示 的 に参 照 しているその
他 のオブジェクト 定 義 が表 示 されます。 これらは、IPv4オブジェクト と同 様 に使 用 することができま
す。
注 - IPv6を有 効 にすると、ネット ワークオブジェクト などのアイコンに、該 当 オブジェクト がIPv6オ
ブジェクト かIPv4オブジェクト か( あるいはその両 方 か) を示 すマークが追 加 で表 示 されます。
6.5.2プレフィックス通 知
【 IPv6】 >>【プレフィックス通 知 ( Prefix Advertisement) 】 タブでは、Astaro Security
Gatewayを設 定 して、クライアント にIPv6アドレスプレフィックスを割 り当 てて、クライアント が自 力
でIPv6アドレスを選 択 できるように設 定 することができます。 プレフィックス通 知 ( またはルータアド
バタイズメント ) とは、IPv6の機 能 の1つであり、ルータ( この場 合 管 理 ガイド) がIPv4におけ
るDHCPサーバと同 じように機 能 します。 ただし、ルータはクライアント にIPを直 接 割 り当 てません。
代 わりに、IPv6ネット ワーク内 のクライアント は、ルータとのプライマリ通 信 のためにいわゆるリンク
ローカルアドレスを自 らに割 り当 てます。 続 いて、ルータがクライアント にネット ワークセグメント のプ
レフィックスを伝 えます。 その後 、クライアント はプレフィックスと自 らのMACアドレスから成 るIPアドレ
スを生 成 します。
新 しいプレフィックスを作 成 するには、次 の手 順 に従 います。
1. 【プレフィックス通 知 (Prefix Advertisement)】 タブで、 【新 規 プレフィックス(New
Prefix)】 をクリックします。
【新 規 プレフィックスの作 成 ( Create New Prefix) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
インタフェース(Interface)： 64 ビット のネット マスクが設 定 されたIPv6アドレスを持 つイン
タフェースを選 択 します。
DNSサーバ1/2(DNS Server 1/2)( オプション) ：DNSサーバのIPv6アドレス。
ド メイン(Domain)( オプション) ：クライアント に送 信 されるドメイン名 を入 力 します(
例 ：intranet.example.com) 。
有 効 期 間 (Valid Lifetime)： プレフィックスが有 効 となる期 間 。 デフォルト は30日 間 で
す。
ASG V8 管 理 ガイド
181
6.5IPv6
6インタフェースおよびルーティング
推 奨 期 間 (Preferred Lifetime)： この期 間 を超 過 すると、推 奨 されるライフタイムがま
だ満 了 していない他 のプレフィックスがクライアント に選 択 されます。 デフォルト は7日 間 で
す。
Other configurationフラグ(Other config)( オプション) ：このオプションはデフォルト
で選 択 されています。 これにより、所 与 のプレフィックスに対 して所 与 のDNSサーバとドメイン
名 がDHCPv6経 由 で追 加 でアナウンスされます。 現 時 点 では、プレフィックスアドバタイズメ
ント からDNS情 報 をフェッチできるクライアント は少 ないため、この機 能 が役 に立 つます( RFC
5006/ RFC 6106) 。 このDHCPv6設 定 は非 表 示 であり、DHCP設 定 メニューでの表 示
や編 集 はできません。 このオプションは、IPv6をWindows Vista/7環 境 で使 用 するため
には必 須 です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいプレフィックス設 定 が【プレフィックス通 知 ( Prefix Advertisements) 】 リスト に表 示 さ
れます。
6.5.36to4
【 IPv6】 >>【 6to4】 タブでは、既 存 のIPv4ネット ワーク上 でIPv6アドレスを自 動 的 にト ンネリング
するようにAstaro Security Gatewayを設 定 することができます。 6to4を使 用 すると、各 IPv4ア
ドレスに、マッピング先 のIPv6ネット ワークから/48プレフィックスが付 加 されます。 生 成 されるIPv6
アドレスは、プレフィックス2002と16進 表 記 のIPv4アドレスから構 成 されます。
注 - 【 6to4】 を有 効 にするか【トンネルブローカ( Tunnel Broker) 】 を使 用 するかのいずれかを
選 択 できます。
特 定 のインタフェースのIPアドレスト ンネリングを有 効 にするには、次 の手 順 に従 います。
1. 【 6to4 】 タブで6to4を有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【 6to4】 エリアと【詳 細 ( Advanced) 】 エリアが編 集
可 能 になります。
2. インタフェースを選 択 します。
【インタフェース( Interfaces) 】 ドロップダウンリスト から、パブリックIPv6アドレスが設 定 されて
いるインタフェースを選 択 します。
182
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.5IPv6
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。 インタフェースステータスは【グローバル( Global) 】 タブに表 示 されま
す。
詳細
【サーバアドレス( Server Address) 】 を変 更 して、別 の6to4リレーサーバを使 用 することができま
す。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
6.5.4ト ンネルブローカ
【 IPv6】 >>【トンネルブローカ( Tunnel Broker) 】 タブでは、ト ンネルブローカの使 用 を有 効 にする
ことができます。 ト ンネルブローカは一 部 のISPが提 供 するサービスであり、これを利 用 するとIPv6
アドレスを使 用 してインターネット にアクセスできます。
注 - 【 6to4】 を有 効 にするか【トンネルブローカ( Tunnel Broker) 】 を使 用 するかのいずれかを
選 択 できます。
Astaro Security Gateway は、次 のト ンネルブローカをサポート します。
l
Teredo( 匿 名 のみ)
l
Freenet6( GoGo6) ( 匿 名 またはユーザアカウント 使 用 )
l
SixXS( ユーザアカウント が必 要 )
ト ンネルブローカを使 用 するには、次 の手 順 に従 います。
1. 【トンネルブローカ(Tunnel Broker)】 タブで、ト ンネルブローカの使 用 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【トンネルブローカ( Tunnel Broker) 】 エリアと【詳
細 ( Advanced) 】 エリアが編 集 可 能 になります。 Teredoの匿 名 認 証 を使 用 すると、ト ン
ネルブローカはすぐに有 効 になります。 接 続 ステータスは【グローバル( Global) 】 タブに表 示
されます。
ト ンネ ルブローカ
デフォルト のト ンネルブローカ設 定 を変 更 できます。
認 証 (Authentication)： ドロップダウンリスト から認 証 方 法 を選 択 します。
ASG V8 管 理 ガイド
183
6.6サービス品 質 ( QoS)
6インタフェースおよびルーティング
l
匿 名 (Anonymous)： この方 法 を使 用 すると、各 ブローカにユーザアカウント を指 定 する
必 要 はありません。 割 り当 てられるIPアドレスは一 時 的 なものです。
l
ユーザ(User)： 各 ブローカに登 録 して、ユーザアカウント を取 得 する必 要 があります。
ブローカ(Broker)： ドロップダウンリスト から他 のブローカを選 択 できます。
ユーザ名 (Username)( 【ユーザ( User) 】 のみで使 用 可 能 ) ：各 ブローカにユーザ名 を指 定 しま
す。
パスワード (Password)( 【ユーザ( User) 】 のみで使 用 可 能 ) ：ユーザ名 のパスワードを入 力 しま
す。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
詳細
ここでは、選 択 したト ンネルブローカに対 して他 のサーバアドレスを指 定 できます。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
6.6サービス品質( QoS)
一 般 的 に、 サービス品 質 ( QoS) とは、選 択 されたネット ワークト ラフィックにより良 いサービスを提 供
する制 御 メカニズムを示 し、特 に、保 証 された帯 域 幅 という点 で優 先 することを意 味 しま
す。Astaro Security Gatewayでは、優 先 ト ラフィックは、 【サービス品 質 ( QoS) ( Quality of
Service( QoS) ) 】 タブで設 定 します。この設 定 では、ネット ワークの2点 間 を通 過 する特 定 タイプ
の送 信 ネット ワークト ラフィックに対 し、保 証 された帯 域 幅 を確 保 できますが、一 方 で、受 信 ト ラフ
ィックのシェーピングはSFQ( 確 率 的 不 偏 キューイング( Stochastic Fairness Queuing) ) あるい
はRED( ランダム初 期 検 知 ( Random Early Detection) ) などのさまざまなテクニックによって内 部
的 に最 適 化 されます。
6.6.1ステータス
【サービス品 質 ( QoS) ( Quality of Service( QoS) ) 】 >>【ステータス( Status) 】 タブには、QoSを
設 定 できるインタフェースがリスト されます。 デフォルト では、QoSは各 インタフェースに対 して無 効 に
なっています。
184
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.6サービス品 質 ( QoS)
図 56 QoS:【ステータス( Status) 】ページ
各 インタフェースについて、 【編 集 ( Edit) 】 をクリックして、ISPが提 供 したアップリンクおよびダウンリン
ク帯 域 幅 ( Kbps) を設 定 します。 たとえば、アップリンクとダウンリンクの両 方 に5Mビット /
秒 ( Mbps) のインターネット 接 続 を設 定 するには、「5120」と入 力 します。
帯 域 幅 が変 動 する場 合 は、ISPが保 証 した最 低 の値 を入 力 します。 たとえば、アップリンクとダウ
ンリンクの両 方 に0.8Mビット /秒 ( Mbps) の変 動 のある5Mビット /秒 ( Mbps) のインターネット 接 続
を使 用 する場 合 は、4300Kビット /秒 ( Kbps) と入 力 します。 利 用 できる帯 域 幅 が一 時 的 に設
定 した最 低 保 証 値 より高 くなると、ゲート ウェイは新 しい帯 域 幅 を考 慮 して予 想 して、優 先 ト ラフ
ィックの帯 域 幅 のパーセンテージが同 様 に高 くなるようにしますが、これは残 念 ながら、その反 対 に
は作 用 しません。
アップリンクを制 限 (Limit Uplink): このオプションを選 択 すると、QoS機 能 は、設 定 されたダウ
ンリンクとアップリンクの帯 域 幅 を、このインタフェースを通 過 するト ラフィックを優 先 順 位 付 けするた
めの計 算 ベースとして使 用 します。 デフォルト では【アップリンクを制 限 ( Limit Uplink) 】 オプション
は選 択 されており、以 下 のインタフェースタイプに使 用 されます。
l
標 準 イーサネット インタフェース( ゲート ウェイとインターネット 間 にルータが配 備 され、ルータが
提 供 する帯 域 幅 がわかっているもの)
l
イーサネット VLAN インタフェース( ゲート ウェイとインターネット 間 にルータが配 備 され、ルータ
が提 供 する帯 域 幅 がわかっているもの)
l
DSL ( PPPoE)
l
DSL( PPPoA)
l
モデム( PPP)
ト ラフィックシェーピングの計 算 ベースがインタフェースの最 大 速 度 で決 定 されるインタフェースの【ア
ップリンクを制 限 ( Limit Uplink) 】 チェックボックスからチェックを外 します。 ただし、これは以 下 のイ
ンタフェースタイプにのみ適 用 されます。
l
標 準 イーサネット インタフェース( インターネット に直 接 接 続 )
l
イーサネット VLANインタフェース( インターネット に直 接 接 続 )
l
ケーブルモデム( DHCP)
ASG V8 管 理 ガイド
185
6.6サービス品 質 ( QoS)
6インタフェースおよびルーティング
特 定 のアップリンク制 限 が指 定 されていないインタフェースでは、QoS機 能 が全 ト ラフィックを均 等
にシェーピングします。 たとえば、ケーブルモデムインタフェース上 のVoIPト ラフィックに512Kビット /
秒 ( Kbps) を設 定 した場 合 に、利 用 できる帯 域 幅 が半 分 になったときは、256Kビット /秒 がこのト
ラフィックに使 用 されます( 比 例 シェーピングは、固 定 最 大 制 限 に依 存 するインタフェースと対 照 的
に、双 方 向 に機 能 することに注 意 してください) 。
ダウンロード イコライザ(Download Equalizer)： 有 効 にすると、 確 率 的 不 偏 キューイン
グ( SFQ) およびランダム初 期 検 知 ( RED) キューアルゴリズムがネット ワークの輻 輳 を回 避 します。
設 定 したダウンリンク速 度 に達 すると、スト リームを使 用 するほとんどのダウンリンクのパケット はドロ
ップします。
アップロード オプティマイザ(Upload Optimizer)： 有 効 にすると、送 信 TCP 接 続 の確
立 ( SYNフラグが設 定 されたTCPパケット ) 、TCP接 続 のACK( 確 認 応 答 ) パケット ( ACKフラグが設
定 され、パケット 長 が40～ 60バイト のTCPパケット ) 、およびDNS ルックアップ( UDP53上 のUDPパ
ケット ) が自 動 的 に優 先 されます。
6.6.2ト ラフィックセレクタ
ト ラフィックセレクタは、QoSが扱 う特 定 タイプのネット ワークト ラフィックを記 述 したQoS の定 義 と見
なすことができます。 これらの定 義 は、後 で帯 域 幅 プール定 義 の中 で使 用 されます。 帯 域 幅
プール定 義 では、帯 域 幅 全 体 の制 限 や特 定 量 の最 低 帯 域 幅 の保 証 など、QoSによるこのト ラ
フィックの取 り扱 い方 法 について定 義 できます。
186
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.6サービス品 質 ( QoS)
図 57 QoS:ト ラフィックセレクタ
ト ラフィックセレクタを作 成 するには、以 下 の手 順 に従 います。
1. 【トラフィックセレクタ(Traffic Selector)】 タブで、 【新 規 トラフィックセレクタ(New
Traffic Selector)】 をクリックします。
【新 規 トラフィックセレクタの作 成 ( Create New Traffic Selector) 】 ダイアログボックスが開
きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このト ラフィックセレクタを説 明 する名 前 を入 力 します。
セレクタタイプ(Selector Type)： 以 下 のタイプを定 義 できます。
l
ト ラフィックセレクタ(Traffic Selector)： ト ラフィックセレクタを使 用 すると、ト ラフィ
ックは1つのサービスまたはサービスグループに基 づいてシェーピングされます。
l
アプリケーションセレクタ(Application Selector)： アプリケーションセレクタを使
用 すると、ト ラフィックはアプリケーションに基 づいてシェーピングされます。 つまり、使
用 するポート やサービスを問 わず、どのト ラフィックがどのアプリケーションに属 している
かに基 づきます。
l
グループ(Group)： 複 数 のサービスおよびアプリケーションセレクタを1つのト ラフィッ
クセレクタルールにまとめることができます。 グループを定 義 するには、単 体 のセレクタ
をいくつか定 義 している必 要 があります。
送 信 元 (Source)： QoSを有 効 にする送 信 元 ネット ワークを選 択 します。
ASG V8 管 理 ガイド
187
6.6サービス品 質 ( QoS)
6インタフェースおよびルーティング
サービス(Service)： トラフィックセレクタのみ。 QoSを有 効 にするネット ワークサービスを選
択 します。 事 前 に定 義 したさまざまなサービスやサービスグループから選 択 できます。 たとえ
ば、固 定 帯 域 幅 をVoIP接 続 に予 約 する場 合 は、VoIP プロト コル( SIP およびH.323およ
び H.323) を選 択 します。
宛 先 (Destination)： QoSを有 効 にする宛 先 ネット ワークを選 択 します。
TOS/DSCP： トラフィックセレクタのみ。 IPヘッダのTOS/DSCPフィールドを使 用 して優 先 ト
ラフィックをマークするには、これを選 択 します。 たとえば、大 規 模 なVoIPのインスト ール
で、TOS/DSCP フラグはVoIPト ラフィックをマークするためによく使 用 されます。 VoIPプロト コ
ルに基 づいたVoIP接 続 に固 定 帯 域 幅 を予 約 しない場 合 は、VoIP環 境 内 で使 用 され
るTOSビット あるいはDSCPビット を選 択 します。
l
l
TOSビット (TOS-bits)： TOS( サービスタイプ) ビット を選 択 する場 合 は、以 下 の設
定 から選 択 できます。
l 通 常 のサービス( Normal service)
l
費 用 を最 小 化 ( Minimize monetary cost)
l
信 頼 性 を最 大 化 ( Maximize reliability)
l
スループット を最 大 化 ( Maximize throughput)
l
遅 延 を最 小 化 ( Minimize delay)
DSCPビット (DSCP-bits)： DSCPビット ( 差 別 化 サービスコードポイント ) を選 択 す
る場 合 は、単 一 の【 DSCP値 ( DSCP Value) 】 ( 0～ 63の整 数 ) を指 定 するか、また
は【 DSCPクラス( DSCP Class) 】 リスト から事 前 に定 義 した値 を選 択 できます(
例 ：BE default dscp (000000)) 。
コント ロール基 準 (Control By)： アプリケーションセレクタのみ。 アプリケーションタイプに
基 づいてト ラフィックをシェーピングするか、分 類 に基 づくダイナミックフィルタによってコント ロー
ルするかを選 択 します。
l
アプリケーション(Applications)： ト ラフィックは、アプリケーションに基 づいてシェー
ピングされます。 【コントロール対 象 のアプリケーション( Control These
Applications) 】 ボックスでアプリケーションを1つ以 上 選 択 します。
l
ダイナミックフィルタ(Dynamic Filter)： ト ラフィックは、分 類 に基 づいてシェーピン
グされます。 【コントロール対 象 の分 類 ( アプリケーション) 】 ボックスで分 類 を1つ以 上
選 択 します。
コント ロール対 象 のアプリケーション/分 類 (Control These
Applications/Categories)： アプリケーションセレクタのみ。 フォルダアイコンをクリックし
188
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.6サービス品 質 ( QoS)
て、アプリケーション/分 類 を選 択 します。 ダイアログウィンドウが開 きます。これについては、
次 のセクションで詳 しく説 明 します。
生 産 性 (Productivity)： ダイナミックフィルタのみ。 選 択 した生 産 性 スコアが反 映
されます。
リスク(Risk)： ダイナミックフィルタのみ。 選 択 したリスクスコアが反 映 されます。
注 - 一 部 のアプリケーションはシェーピングできません。 これは、Astaro Security
Gatewayの適 切 なオペレーションのために必 要 です。 このようなアプリケーションは、 【アプ
リケーション選 択 ( Select Application) 】 ダイアログウィンドウのアプリケーションテーブルで
チェックボックスがオフになっています。たとえば、WebAdmin、Teredo、SixXs( IPv6ト ラフ
ィック用 ) 、Portal( ユーザポータルのト ラフィック用 ) などが該 当 します。 ダイナミックフィルタ
を使 用 すると、これらのアプリケーションのシェーピングも自 動 的 に制 限 されます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいセレクタが【トラフィックセレクタ( Traffic Selectors) 】 リスト に表 示 されます。
多 くのト ラフィックセレクタを定 義 した場 合 は、1つのト ラフィックセレクタグループに複 数 のセレクタを
まとめることで、より便 利 に使 用 することが可 能 になります。
このト ラフィックセレクタまたはト ラフィックセレクタグループは、それぞれの帯 域 幅 プールで使 用 でき
ます。 これらのプールは【帯 域 幅 プール( Bandwidth Pools) 】 タブで定 義 できます。
【アプリケーションまたはカテゴリの選択( Select Application or
Category) 】ダイアログウィンド ウ
アプリケーションコント ロールルールを作 成 する際 は、 【コントロール対 象 のアプリケーション/カテゴリ
を1つ以 上 選 択 ( Select one or more Applications/Categories to control) 】 というダイアログ
ウィンドウからアプリケーションまたはアプリケーションカテゴリを選 択 する必 要 があります。
ダイアログウィンドウの下 部 に表 示 されるテーブルには、選 択 可 能 なアプリケーションまたは定 義 し
たカテゴリに属 するアプリケーションが表 示 されます。 デフォルト では、すべてのアプリケーションが表
示 されます。
ダイアログウィンドウの上 部 には、テーブルに表 示 されるアプリケーション数 を制 限 するための3つの
設 定 オプションがあります。
l
Category(カテゴリ)： アプリケーションはカテゴリ別 にグループ分 けされています。 このリス
ト には、利 用 可 能 なすべてのカテゴリが表 示 されます。 デフォルト では、すべてのカテゴリが
ASG V8 管 理 ガイド
189
6.6サービス品 質 ( QoS)
6インタフェースおよびルーティング
選 択 されています。つまり、下 部 に表 示 されるテーブルには、利 用 可 能 なすべてのアプリ
ケーションが表 示 されます。 表 示 されるアプリケーションを特 定 のカテゴリに絞 り込 むには、ク
リックしてカテゴリリスト を開 き、1つ以 上 のカテゴリを選 択 します。
l
生 産 性 (Productivity)： アプリケーションは、生 産 性 への影 響 ( つまり生 産 性 にこのア
プリケーションが与 える影 響 の度 合 い) によっても分 類 されています。 例 ：一 般 的 なビジネ
スソフト ウェアのSalesforceのスコアは5です。つまり、これを使 用 することで生 産 性 が向 上
します。 一 方 、オンラインゲームのFarmvilleのスコアは1で、これを使 用 すると生 産 性 が低
下 します。 ネット ワークサービスDNSのスコアは3で、生 産 性 への影 響 は中 立 的 です。
l
リスク(Risk)： アプリケーションは、使 用 時 のリスク( マルウェア、ウイルス感 染 、攻 撃 ) によっ
ても分 類 されています。 数 値 が高 いほど、リスクも高 くなります。
ヒント - それぞれのアプリケーションには情 報 アイコンがあり、クリックすると各 アプリケーションの説
明 が表 示 されます。 テーブルヘッダの検 索 ボックスを使 用 して、テーブル内 を検 索 することができ
ます。
次 に、 【新 規 トラフィックセレクタの作 成 ( Create New Traffic Selector) 】 ダイアログウィンドウで
選 択 したコント ロールのタイプに応 じて、以 下 を行 います。
l
ダイナミックフィルタでコント ロールする場 合 ： 【適 用 ( Apply) 】 をクリックして、選 択 したアプリ
ケーションをルールに適 用 します。
l
アプリケーションでコント ロールする場 合 ：テーブルで、アプリケーションの前 のチェックボックス
をクリックし、コント ロール対 象 のアプリケーションを選 択 します。 【適 用 ( Apply) 】 をクリックし
て、選 択 したアプリケーションをルールに適 用 します。
【適 用 ( Apply) 】 をクリックするとダイアログウィンドウが閉 じ、ト ラフィックセレクタルールの設 定 の編
集 を続 けることができます。
6.6.3帯 域 幅 プール
【サービス品 質 ( Quality of Service) 】 >>【帯 域 幅 プール( Bandwidth Pools) 】 タブで、帯 域
幅 を管 理 するための帯 域 幅 プールを定 義 して管 理 できます。
190
ASG V8 管 理 ガイド
6.6サービス品 質 ( QoS)
6インタフェースおよびルーティング
図 58 QoS:帯 域 幅 プール
帯 域 幅 プールを作 成 するには、以 下 の手 順 に従 います。
1. 【帯 域 幅 プール(Bandwidth Pools)】 タブで、インタフェースを選 択 します。
ドロップダウンリスト から、帯 域 幅 プールを作 成 するインタフェースを選 択 します。
2. 【新 規 帯 域 幅 プール(New Bandwidth Pool)】 をクリックします。
【新 規 帯 域 幅 プールの作 成 ( Create New Bandwidth Pool) 】 ダイアログボックスが開 きま
す。
3. 次 の設 定 を行 います。
名 前 (Name)： この帯 域 幅 プールを説 明 する名 前 を入 力 します。
位 置 (Position)： 位 置 番 号 。これによって帯 域 幅 プールの優 先 順 位 が定 義 されます。
番 号 が小 さいほど優 先 順 位 が高 くなります。 帯 域 幅 プールは昇 順 に照 合 されます。 ある
帯 域 幅 プールが一 致 すると、それ以 降 、それより大 きい番 号 の帯 域 幅 プールは評 価 され
ません。 より具 体 的 な帯 域 幅 プールをリスト の上 部 に配 置 して、曖 昧 な帯 域 幅 プールが
最 後 に照 合 されるようにします。 たとえば、一 般 的 なWebト ラフィック(HTTP) と特 定 ホスト
へのWebト ラフィックにト ラフィックセレクタを設 定 した場 合 は、帯 域 幅 プールリスト の最 上 部
に後 者 のト ラフィックセレクタを使 用 する帯 域 幅 プールを配 置 します( つまり、位 置 1をそれに
選 択 します) 。 この優 先 処 理 は、使 用 するト ラフィックセレクタが異 なるQoS対 応 インタフ
ェースに割 り当 てられている場 合 は適 用 できません。
4. 帯 域 幅 (Bandwidth)： この帯 域 幅 プール用 に予 約 するアップリンク帯 域 幅 をKビット 単
位 で入 力 します。 たとえば、特 定 タイプのト ラフィックに1Mビット /秒 ( Mbps) を予 約 する場
合 は、1024と入 力 します。
注 - 帯 域 幅 プールに割 り当 てられるのは、利 用 可 能 な全 帯 域 幅 の90 %までです。
ゲート ウェイは常 に帯 域 幅 の10 %をいわゆるシェーピングされていないト ラフィック用 に予
約 します。 上 記 の例 で言 えば、アップリンクのインターネット 接 続 が5Mビット /秒 ( Mbps)
で、VoIPト ラフィックにできるだけ多 くの帯 域 幅 を割 り当 てたい場 合 は、最 大 4608Kビッ
ト /秒 ( Kbps) を入 力 できます。
ASG V8 管 理 ガイド
191
6.7マルチキャスト ルーティング( PIM-SM)
6インタフェースおよびルーティング
帯 域 幅 の上 限 を指 定 (Specify Upper Bandwidth Limit)： 上 記 の【帯 域
幅 ( Bandwidth) 】 フィールドに入 力 した値 は、特 定 の種 類 のト ラフィック用 に予 約 される保
証 された帯 域 幅 を示 します。 しかし、帯 域 幅 プールは通 常 、可 能 であれば、そのト ラフィッ
ク用 により多 くの帯 域 幅 を割 り当 てます。 特 定 のト ラフィックが一 定 量 以 上 の帯 域 幅 を使
用 しないようにしたい場 合 は、このオプションを選 択 して、この帯 域 幅 プールによって使 用 さ
れる帯 域 幅 の割 り当 てを上 限 値 に制 限 します。
ト ラフィックセレクタ(Traffic Selector)： この帯 域 幅 プールに使 用 するト ラフィックセレク
タを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
5. 【保 存 (Save)】 をクリックします。
新 しい帯 域 幅 プールが【帯 域 幅 プール( Bandwidth Pools) 】 リスト に表 示 されます。
6.7マルチキャスト ルーティング( PIMSM)
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【マルチキャストルーティン
グ( PIM-SM) ( Multicast Routing( PIM-SM) ) 】 メニューを使 用 すると、ネット ワーク上 で使 用 す
るPIM-SM( Protocol Independent Multicast Sparse Mode) を設 定 することができます。
PIMとは、複 数 ネット ワーク内 でマルチキャスト パッケージを動 的 ( ダイナミック) にルーティングするた
めのプロト コルです。マルチキャスト とは、複 数 のクライアント が受 信 するパッケージをできるだけ小 さ
いト ラフィックを使 用 して効 率 的 に配 信 するための技 術 です。 通 常 、複 数 のクライアント 宛 てのパ
ケット は、コピーされて各 クライアント に個 別 に送 信 されるため、消 費 される帯 域 幅 はユーザ数 に応
じて増 大 します。 そのため、同 じパッケージを同 時 に要 求 する多 数 のクライアント を抱 えるサーバ(
コンテンツのスト リーミング用 サーバなど) の場 合 、大 量 の帯 域 幅 が必 要 となります。
これに対 しマルチキャスト は、ネット ワークの各 リンク経 由 でパケット を一 度 だけ送 信 することにより
帯 域 幅 を節 約 します。 これを実 現 するために、マルチキャスト では、サーバ( 送 信 者 ) からクライア
ント ( 受 信 者 ) への経 路 上 でいつコピーを作 成 するかを決 定 するために、適 切 に設 定 されたルー
タを使 用 します。 これらのルータは、PIM-SMを使 用 してアクティブなマルチキャスト 受 信 者 を追 跡
し、ルーティングの設 定 にこの情 報 を使 用 します。
PIM-SM通 信 の簡 単 な説 明 は次 のようになります。送 信 者 がマルチキャスト データの送 信 を開 始
します。 送 信 者 用 のマルチキャスト ルータがPIM-SM経 由 でRPルータに登 録 し、RPルータは送 信
者 のルータにJoinメッセージを送 信 します。 マルチキャスト パケット が送 信 者 からRPルータに流 れる
ようになります。 受 信 者 が、このマルチキャスト グループのIGMPブロードキャスト 経 由 でローカ
192
ASG V8 管 理 ガイド
6.7マルチキャスト ルーティング( PIM-SM)
6インタフェースおよびルーティング
ルPIM-SMルータに自 己 登 録 します。 このルータは受 信 先 用 のJoin要 求 をRPルータに向 けて送
信 し、RPルータはマルチキャスト ト ラフィックを受 信 者 に転 送 します。
マルチキャスト は、独 自 のIPアドレス範 囲 ( 224.0.0.0/4) を持 ちます。
6.7.1グローバル
【マルチキャストルーティング( PIM-SM) ( Multicast Routing( PIM-SM) ) 】 >>【グローバ
ル( Global) 】 タブでは、PIMを有 効 または無 効 にできます。 【ルーティングデーモンの設
定 ( Routing Daemon Settings) 】 エリアには、関 与 するインタフェースとルータのステータスが表
示 されます。
図 59 PIM-SM：設 定 例
PIMを有 効 にする前 に、 【インタフェース( Interfaces) 】 タブでPIMインタフェースとして機 能 するイン
タフェースを2つ以 上 定 義 して、 【 RPルータ( RP Routers) 】 タブでルータを1台 定 義 する必 要 があ
ります。
PIM-SMを有 効 にするには、次 の手 順 に従 います。
1. 【グローバル(Global)】 タブでPIM-SMを有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【ルーティングデーモンの設 定 ( Routing Daemon
Settings) 】 が編 集 可 能 になります。
ASG V8 管 理 ガイド
193
6.7マルチキャスト ルーティング( PIM-SM)
6インタフェースおよびルーティング
2. 次 の設 定 を行 います。
アクティブなPIM-SMインタフェース(Active PIM-SM Interfaces)： PIM-SMに使 用
するインタフェースを2つ以 上 選 択 します。 インタフェースの設 定 は【インタフェー
ス( Interfaces) 】 タブで行 います。
アクティブなPIM-SM RPルータ(Active PIM-SM RP Routers)： PIM-SMに使 用
するRPルータを1つ以 上 選 択 します。 RPルータの定 義 は【 RPルータ( RP Routers) 】 タブで
行 います。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。ネット ワークでPIM-SM通 信 が有 効 になりました。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。PIM-SMを無 効 にするには、ステータスアイコンまたは【無 効 ( Disable) 】 ボタ
ンをクリックします。
ライブ ログ
【ライブログを開 く( Open Live Log) 】 ボタンをクリックすると、新 しいウィンドウでPIMライブログが開
きます。
6.7.2インタフェース
【マルチキャストルーティング( PIM-SM) ( Multicast Routing( PIM-SM) ) 】 >>【インタフェー
ス( Interfaces) 】 タブでは、どのAstaro Security Gatewayインタフェース上 でマルチキャスト 通
信 を行 うかを定 義 することができます。
図 60 PIM-SM：インタフェースリスト
新 しいPIM-SMインタフェースを作 成 するには、次 の手 順 に従 います。
1. 【インタフェース(Interfaces)】 タブで、 【新 規 PIM-SMインタフェース(New PIM-SM
Interface)】 をクリックします。
194
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.7マルチキャスト ルーティング( PIM-SM)
【新 規 PIM-SMインタフェースの作 成 ( New PIM-SM Interface) 】 ダイアログウィンドウが開
きます。
2. 次 の設 定 を行 います。
名 前 (Name)： PIM-SMインタフェースを説 明 する名 前 を入 力 してください。
インタフェース(Interface)： PIMおよびIGMPネット ワークト ラフィックを許 可 するインタフ
ェースを選 択 します。
DR優 先 順 位 (DR priority)( オプション) ：インタフェースの指 定 ルータ( DR) の優 先 順
位 を定 義 する番 号 を入 力 します。 同 じネット ワークセグメント 内 に複 数 のPIM-SMルータが
存 在 する場 合 、優 先 順 位 が最 も高 いルータがIGMP要 求 を受 け付 けます。0～ 232までの
数 字 を使 用 できます。 優 先 順 位 を指 定 しないと、デフォルト で0が使 用 されます。
IGMP： サポート するIGMP( Internet Group Management Protocol) のバージョンを
選 択 します。 IGMPは、受 信 者 がマルチキャスト グループのメンバシップを確 立 するために
使 用 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいPIM-SMインタフェースがインタフェースリスト に追 加 されます。
PIM-SMインタフェースを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.7.3RPルータ
ネット ワーク上 でマルチキャスト を使 用 できるようにするためには、1つ以 上 のランデブーポイント
ルータ( RPルータ) を設 定 する必 要 があります。 RPルータは、マルチキャスト 受 信 者 と送 信 者 の両
方 から登 録 を受 け付 けます。RPルータとは、特 定 のマルチキャスト グループのRPルータとして選 ば
れた通 常 のPIM-SMルータでもあります。 どのルータがRPルータとなるかについて、すべてのPIMSMルータが合 意 する必 要 があります。
ASG V8 管 理 ガイド
195
6.7マルチキャスト ルーティング( PIM-SM)
6インタフェースおよびルーティング
図 61 PIM-SM：ランデブーポイント ルータのリスト
RPルータを作 成 するには、次 の手 順 に従 います。
1. 【 RPルータ(RP Routers)】 タブで 【新 規 ランデブーポイントルータ(New Rendezvous
Point Router)】 をクリックします。
【新 規 RPルータの作 成 ( Create a New RP Router) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： RPルータを説 明 する名 前 を入 力 してください。
ホスト (Host)： RPルータとして機 能 するホスト を作 成 ( または選 択 ) します。
優 先 順 位 (Priority)： RPルータの優 先 順 位 を定 義 する数 字 を入 力 します。 優 先 順 位
が一 番 低 いRPルータに、Joinメッセージが送 信 されます。0～ 255の数 字 を使 用 できます。
優 先 順 位 を指 定 しないと、デフォルト で0が使 用 されます。
マルチキャスト グループのプレフィックス(Multicast Group Prefixes)： RPルータが担
当 するマルチキャスト グループを入 力 します。 RPルータが複 数 のマルチキャスト グループを
担 当 する場 合 は、グループのプレフィックスを224.1.1.0/24のように定 義 できます。 マルチ
キャスト グループ( プレフィックス) は、マルチキャスト アドレスの範 囲 内 ( 224.0.0.0/4) にす
る必 要 があります。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいRPルータがルータのリスト に追 加 されます。
RPルータを編 集 または削 除 するには、対 応 するボタンをクリックします。
6.7.4ルート
受 信 者 と送 信 者 の間 に、継 続 的 な通 信 ルート をセット アップする必 要 があります。 受 信 者 、送
信 者 、RPルータが同 じネット ワークセグメント 内 にない場 合 、これらの間 の通 信 を可 能 にするルー
ト を作 成 する必 要 があります。
196
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.7マルチキャスト ルーティング( PIM-SM)
図 62 PIM-SM：ルート リスト
PIM-SMルート を作 成 するには、次 の手 順 に従 います。
1. 【ルート (Routes)】 タブで、 【新 規 PIM-SMルート (New PIM-SM route)】 をクリック
します。
【新 規 PIM-SMルートの作 成 ( Create a New PIM-SM Route) 】 ダイアログウィンドウが開
きます。
2. 次 の設 定 を行 います。
ルート タイプ(Route Type)： 次 のルート タイプを使 用 できます。
l
インタフェースルート (Interface Route)： パケット は特 定 のインタフェースで送 出
されます。 これは2つの状 況 で役 立 ちます。 1番 目 は、ダイナミック( 動 的 ) インタフ
ェース上 のルーティング( PPP) の場 合 です。この理 由 は、この場 合 はゲート ウェイのIP
アドレスが不 明 だからです。 2番 目 は、直 接 接 続 されたネット ワークの外 側 にゲート
ウェイがあるデフォルト ルート を定 義 する場 合 です。
l
ゲート ウェイルート (Gateway Route)： パケット は特 定 のホスト ( ゲート ウェイ) に
送 信 されます。
ネット ワーク(Network)： PIMト ラフィックをルーティングする宛 先 アドレス範 囲 を選 択 しま
す。
ゲート ウェイ(Gateway)： ゲート ウェイがデータパケット を転 送 するゲート ウェイ/ルータを選
択 します( ルート タイプに【ゲートウェイルート ( Gateway Route) 】 を選 択 した場 合 のみ使 用
可能)。
インタフェース(Interface)： ゲート ウェイがデータパケット を転 送 するインタフェースを選 択
します( ルート タイプに【インタフェースルート ( Interface Route) 】 を選 択 した場 合 のみ使 用
可能)。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいPIM-SMルート がルート のリスト に追 加 されます。
PIM-SMルート を編 集 または削 除 するには、対 応 するボタンをクリックします。
ASG V8 管 理 ガイド
197
6.8アップリンクモニタリング
6インタフェースおよびルーティング
6.7.5詳 細
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【マルチキャストルーティン
グ( PIM-SM) ( Multicast Routing( PIM-SM) ) 】 >>【詳 細 ( Advanced) 】 タブでは、PIMの詳
細 設 定 を構 成 することができます。
最 短 パスツリー設 定 ( S h or te s t P a th Tr e e S e tti n gs )
一 部 のネット ワークでは、送 信 者 、RP、受 信 者 の間 のPIM通 信 ルート は可 能 な限 り最 短 のネッ
ト ワークパスとはなりません。 【最 短 パスツリーへの切 り替 えを有 効 化 ( Enable Switch to
Shortest Path Tree) 】 オプションを使 用 すると、特 定 のト ラフィックしきい値 に達 したときに送 信 者
と受 信 者 の間 の既 存 の通 信 を最 短 パスに切 り替 えて、モデレータのRPを省 くことができます。
自 動 フ ァイア ウォール設 定 ( Au to F i r e w a l l S e tti n gs )
このオプションを有 効 にすると、指 定 されたマルチキャスト グループにマルチキャスト ト ラフィックを転
送 するために必 要 となるすべてのファイアウォールルールがシステムによって自 動 的 に作 成 されま
す。
デバッグ設 定 ( D e bu g S e tti n gs )
PIM-SMルーティングデーモンログで追 加 のデバッグ情 報 を表 示 するには、 【デバッグモードを有 効
化 ( Enable Debug Mode) 】 オプションを選 択 します。
6.8アップリンクモニタリング
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【アップリンクモニタリン
グ( Uplink Monitoring) 】 メニューでは、アップリンク接 続 をモニタリング( 監 視 ) し、接 続 ステータス
が変 化 したときに自 動 的 に適 用 するアクションを定 義 することができます。
6.8.1グローバル
【アップリンクモニタリング( Uplink Monitoring) 】 >>【グローバル( Global) 】 タブで、アップリンクの
モニタリングを有 効 または無 効 にできます。
アップリンクモニタリングを有 効 にするには、 【有 効 ( Enable) 】 ボタンまたはステータスアイコンをクリッ
クします。
ステータスアイコンが緑 色 に変 わります。 【アップリンクステータス( Uplink Status) 】 セクションに、ア
ップリンク接 続 が確 立 している場 合 は【オンライン( ONLINE) 】 、アップリンク接 続 がダウンしている
198
ASG V8 管 理 ガイド
6インタフェースおよびルーティング
6.8アップリンクモニタリング
場 合 は【オフライン( OFFLINE) 】 と表 示 されます。 設 定 をキャンセルするには、 【有 効 化 を中
止 ( Abort Enable) 】 またはアンバー色 のステータスアイコンをクリックします。
6.8.2アクション
【インタフェースおよびルーティング( Interfaces & Routing) 】 >>【アップリンクモニタリン
グ( Uplink Monitoring) 】 >>【アクション( Action) 】 タブで、アップリンクの接 続 ステータスが変 更
になった場 合 に自 動 的 に適 用 するアクションを定 義 できます。 たとえば、アップリンク接 続 がダウン
した場 合 は追 加 アドレスを無 効 にすることができます。
新 しいアクションを作 成 するには、以 下 の手 順 に従 います。
1. 【アクション(Actions)】 タブで、 【新 規 アクション(New Action)】 をクリックします。
【アップリンクオフライン時 の新 規 アクションの作 成 ( Create New Action If Uplink Goes
Offline) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： アクションを説 明 する名 前 を入 力 します。
タイプ(Type)： アクションを定 義 する接 続 タイプを選 択 します。
l
IPsecト ンネル(IPsec Tunnel)： IPsecト ンネルに対 するアクションを定 義 する
場 合 は、ドロップダウンリスト からこのオプションを選 択 します。
l
追 加 アド レス(Additional Address)： 追 加 アドレスに対 するアクションを定 義 す
る場 合 は、ドロップダウンリスト からこのオプションを選 択 します。
IPsecト ンネル(IPsec Tunnel)：( 【 IPsec トンネル( IPsec Tunnel) 】 タイプにのみ利 用
可 ) IPsecト ンネルを定 義 している場 合 は、ここでそれらのいずれかを選 択 できます。 IPsec
ト ンネルに関 する詳 細 は、 「リモートアクセス」 >>「 IPsec 」 の章 を参 照 してください。
追 加 。 アドレス( Address) ：( 【追 加 アドレス( Additional Address) 】 タイプのみ利 用 可 )
追 加 アドレスを定 義 している場 合 は、ここでそれらのいずれかを選 択 できます。 追 加 アドレ
スに関 する詳 細 は、 「インタフェースおよびルーティング」 >>「インタフェース」 >>「追 加 アドレ
ス」 の章 を参 照 してください。
アクション(Action)： ここで 【有 効 ( Enable) 】 または【無 効 ( Disable) 】 のいずれかを選
択 できます。つまり、アップリンクが中 断 した場 合 は、上 記 で選 択 したIPsecト ンネルや追 加
アドレスが有 効 または無 効 になるように設 定 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
アクションは保 存 され、アップリンクの接 続 が中 断 すると適 用 されます。
アクションを編 集 または削 除 するには、対 応 するボタンをクリックします。
ASG V8 管 理 ガイド
199
6.8アップリンクモニタリング
6インタフェースおよびルーティング
6.8.3詳 細
【アップリンクモニタリング( Uplink Monitoring) 】 >>【詳 細 ( Advanced) 】 タブで、アップリンク接
続 の自 動 モニタリングを無 効 にし、モニタリング( 監 視 ) に使 用 する1つ以 上 のホスト を定 義 できま
す。 これらのホスト に対 しては一 定 期 間 pingが行 われ、それらのどれにも到 達 できない場 合 は、
アップリンク接 続 はダウンしていると判 断 されます。 その後 、 【アクション( Action) 】 タブで定 義 した
アクションが実 行 されます。
モニタリングにお客 様 のホスト を使 用 するには、以 下 の手 順 に従 います。
1. 【自 動 モニタリング(Automatic Monitoring)】 チェックボックスのチェックを外 します。
【モニタリングホスト ( Monitoring Hosts) 】 オブジェクト ボックスが編 集 可 能 になります。
2. 【モニタリングホスト (Monitoring Hosts)】 ボックスに1つ以 上 のホスト を追 加 します。
オブジェクト リスト からホスト を選 択 するか、あるいは新 しいホスト を作 成 します。
3. 設 定 を保 存 するには【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。 これで、定 義 したホスト がモニタリングに使 用 されます。
200
ASG V8 管 理 ガイド
7ネット ワークサービス
この章 では、ご利 用 のネット ワーク用 にAstaro Security Gatewayの複 数 のネット ワークサービス
を設 定 する方 法 を説 明 します。
この章 には次 のト ピックが含 まれます。
l
DNS
l
DHCP
l
NTP
7.1DNS
【ネットワークサービス( Network Services) 】 >>【 DNS】 メニューにあるタブには、さまざまな設 定
オプションがあり、すべてドメインネームシステム( DNS) に関 連 しています。DNSとは、主 にドメイン
名 ( コンピュータのホスト 名 ) をIPアドレスに変 換 するために使 用 されるシステムです。
7.1.1グローバル
【ネットワークサービス( Network Services) 】 >>【 DNS】 >>【グローバル( Global) 】 タブでは、
ゲート ウェイを再 帰 的 なDNSリゾルバとして使 用 することを許 可 するネット ワークを指 定 できます。
ここでは通 常 、内 部 ネット ワークを選 択 します。
注 - 内 部 DNSサーバをActive Directoryの一 部 などとしてすでに起 動 している場 合 、このボッ
クスは空 のまま残 します。
リゾ ルバキャ ッシ ュ をクリア( F l u s h Re s ol v e r C a c h e )
DNSプロキシでは、レコードに対 してキャッシュを使 用 します。 各 レコードには有 効 期 限 ( TTL、生
存 時 間 ) があり、この時 間 にレコードは削 除 されます。通 常 は1日 に設 定 されています。 ただし、
キャッシュは手 動 で空 にすることもできます( TTLが失 効 する前 にDNSレコードの最 新 の変 更 を今
すぐ有 効 にしたい場 合 など) 。 キャッシュを空 にするには、 【今 すぐリゾルバキャッシュをクリア( Flush
Resolver Cache Now) 】 をクリックします。
7ネット ワークサービス
7.1DNS
7.1.2フォワーダ
【ネットワークサービス( Network Services) 】 >>【 DNS】 >>【フォワーダ( Forwarders) 】 タブで
は、いわゆるDNSフォワーダを指 定 できます。 DNSフォワーダとは、ネット ワーク上 にあるDNS( ドメ
インネームシステム) サーバであり、外 部 DNS名 に関 するDNSクエリを当 該 ネット ワーク外 のDNS
サーバに転 送 ( フォワーディング) するために使 用 します。 可 能 な限 り、設 定 にDNSフォワーダを追
加 してください。DNSフォワーダは、お客 様 のサイト の「近 く」にあり、( 可 能 であれば) 同 じインター
ネット プロバイダが提 供 しているホスト にする必 要 があります。 これは「親 」キャッシュとして使 用 され
ます。 これにより、DNS要 求 の速 度 が飛 躍 的 に向 上 します。転 送 を行 うネームサーバを指 定 し
ないと、ゾーン情 報 についてのクエリ( 問 い合 わせ) は最 初 にルート DNSサーバに対 して行 われるた
め、要 求 が完 了 するまで時 間 がかかります。
DNSフォワーダを選 択 するには、次 の手 順 に従 ってください。
1. DNSフォワーダを選 択 します。
DNSフォワーダを選 択 または追 加 します。
ISPが割 り当 てたフォワーダを使 用 (Use Forwarders Assigned By ISP)(
オプション) ：DNSクエリをISPのDNSサーバに転 送 する場 合 は、 【 ISPが割 り当 てたフ
ォワーダを使 用 ( Use Forwarders Assigned By ISP) 】 チェックボックスにチェックを
入 れます。 このチェックボックスにチェックを入 れると、ISPによって自 動 的 に割 り当 てら
れたすべてのフォワーダがボックスの下 に一 覧 表 示 されます。
2. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
7.1.3リクエスト ルーティング
内 部 DNSサーバが稼 働 しており、DNSフォワーダに解 決 させたくないドメインがある場 合 、そのドメ
インへのクエリをフォワーダではなく内 部 サーバに処 理 させることができます。 【ネットワークサービ
ス( Network Services) 】 >>【 DNS】 >>【リクエストルーティング( Request Routing) 】 タブで、
独 自 のDNSサーバへのルート を定 義 することができます。
DNSリクエスト ルート を作 成 するには、次 の手 順 に従 います。
1. 【リクエストルーティング(Request Routing)】 タブで 【新 規 DNS リクエストルート (New
DNS Request Route)】 をクリックします。
【新 規 DNSリクエストルートの作 成 ( Create New DNS Request Route) 】 ダイアログボック
スが開 きます。
202
ASG V8 管 理 ガイド
7ネット ワークサービス
7.1DNS
2. 次 の設 定 を行 います。
ド メイン(Domain)： 代 替 DNSサーバを使 用 したいドメインを入 力 します。
ターゲット サーバ(Target Servers)： 上 記 ステップで入 力 したドメインを解 決 するために
使 用 するDNSサーバを1つ以 上 選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルート が【 DNSリクエストルート ( DNS Request Route) 】 リスト に表 示 され、ただちに
有 効 になります。
DNSリクエスト ルート を編 集 または削 除 するには、対 応 するボタンをクリックします。
7.1.4スタティックエント リ
独 自 のDNSサーバをセット アップせず、ネット ワーク内 のいくつかのホスト に対 してスタティックDNSマ
ッピングが必 要 な場 合 は、ここでこれらのマッピングを入 力 することができます。 これは限 られた数
のエント リにしか対 応 できないため、フルオペレーションを行 っているDNSサーバの代 わりに使 用 す
ることは決 してしないでください。
スタティックマッピングを作 成 するには、次 の手 順 に従 います。
1. 【スタティックエントリ(Static Entries)】 タブで、 【新 規 スタティックDNS マッピング(New
Static DNS Mapping)】 をクリックします。
【新 規 スタティックDNSマッピングの作 成 ( Create New Static DNS Mapping) 】 ダイアログ
ボックスが開 きます。
2. 次 の設 定 を行 います。
ホスト 名 (Hostname)： スタティックDNSマッピングを定 義 したいホスト の完 全 修 飾 ドメイ
ン名 ( FQDN) を入 力 します。
IPv4アド レス(IPv4 Address)： ホスト のIPv4アドレスを入 力 します。
IPv6アド レス(IPv6 Address)： ホスト のIPv6アドレスを入 力 します。
リバースDNS(Reverse DNS)： ホスト のIPアドレスと名 前 のマッピングを有 効 化 するに
は、チェックボックスにチェックを入 れます。 同 じIPアドレスに複 数 の名 前 をマッピングすること
が可 能 ですが、1つのIPアドレスには1つの名 前 にしかマッピングできません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいマッピングが【スタティックエントリ( Static Entries) 】 リスト に表 示 されます。
スタティックエント リを編 集 または削 除 するには、対 応 するボタンをクリックします。
ASG V8 管 理 ガイド
203
7ネット ワークサービス
7.1DNS
7.1.5DynDNS
ダイナミックDNS( 略 してDynDNS) は、可 変 IPアドレスを持 つコンピュータに静 的 インターネット ドメ
イン名 を割 り当 てることを可 能 にするドメインネームサービスです。DynDNS Webサイト
でDynDNSサービスにサインアップし、DNSエイリアスを取 得 すると、アップリンクIPアドレスの変 化 に
応 じてこのエイリアスが自 動 的 に更 新 されます。 このサービスに登 録 すると、設 定 に必 要 なホスト
名 、ユーザ名 、パスワードが提 供 されます。
図 63 DNS：DynDNSの設 定
DynDNSを設 定 するには、次 の手 順 に従 ってください。
1. 【 DynDNS 】 タブで、 【新 規 DynDNS(New DynDNS)】 をクリックします。
【新 規 DynDNSの作 成 ( Create New DynDNS) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
ホスト 名 (Hostname)： DynDNSサービスプロバイダから受 け取 ったドメインを入 力 しま
す( example.dyndns.orgなど) 。 ここでは、特 定 の構 文 を遵 守 してホスト 名 を入 力 する
必 要 はありません。 ここで入 力 が必 要 な内 容 は、各 DynDNSサービスプロバイダの要 件 に
204
ASG V8 管 理 ガイド
7ネット ワークサービス
7.1DNS
応 じて異 なります。 DynDNSホスト 名 をゲート ウェイのメインホスト 名 として使 用 することもで
きますが、必 須 ではありません。
割 り当 て(Assign)： DynDNS名 を関 連 付 けるIPを定 義 します。 ローカルインタフェースが
パブリックIPアドレスを持 つ場 合 は、このローカルインタフェースのIPを選 択 すると便 利 です。
通 常 は、DSLアップリンクに対 してこのオプションを使 用 します。 【デフォルトルートの最 初 の
パブリックIP( First Public IP on the Default Route) 】 を選 択 する場 合 、インタフェースの
指 定 は不 要 です。 代 わりに、ASGがパブリックDynDNSサーバにWWW要 求 を送 信 し、パ
ブリックDynDNSサーバは現 在 使 用 中 のパブリックIPを返 します。 これは、プライベート ネッ
ト ワーク内 部 にあるASGがパブリックIPアドレスを持 っておらず、マスカレーディングルータ経
由 でインターネット に接 続 している場 合 に有 用 です。
インタフェース(Interface)： DynDNSサービスを使 用 するインタフェースを選 択 します。
最 も可 能 性 が高 いのは、インターネット に接 続 された外 部 インタフェースです。
タイプ(Type)： 次 のDynDNSタイプを使 用 できます。
l
DynDNS： このオプションは、DynDNSの標 準 DNSサービスを使 用 している場 合 に
選 択 します。
l
DynDNS-カスタム(DynDNS-custom)： このオプションは、DynDNSのカスタ
ムDNSサービスを使 用 している場 合 に選 択 します。 カスタムDNSは、主 にユーザ自
身 が所 有 または登 録 しているドメインを使 用 するために設 計 されています。
エイリアス(Aliases)( オプション) ：このダイアログボックスは、前 述 のメインホスト 名 と同 じIP
アドレスをポイント する追 加 ホスト 名 を入 力 するために使 用 しま
す( mail.example.com、example.comなど) 。
MX( オプション) ：MX( mail exchanger) は、ホスト 名 で指 定 されたサーバ以 外 にメールを
送 信 するために使 用 します( 【 DynDNSタイプ( DynDNS Type) 】 で 【 DynDNS】 を選 択 し
た場 合 のみ使 用 可 能 ) 。 MXレコードは、特 定 ドメインへのメールの送 信 先 となるホスト (
サーバ) を指 定 するという目 的 のために使 用 します。 たとえば、MXとし
てmail.example.comを指 定 すると、[email protected]宛 てのメールはホスト であ
るmail.example.comに配 信 されます。
バックアップ-MX(Backup-MX)( オプション) ： 【ホスト名 ( Hostname) 】 テキスト ボックスで
指 定 したホスト 名 がメインMXとなる場 合 のみ、このチェックボックスにチェックを入 れます。 す
ると、 【 MX】 テキスト ボックスのホスト 名 はバックアップMXとしてのみアドバタイズされます。
ワイルド カード (Wildcard)( オプション) ：このオプションは、登 録 したドメインと同 じIPアドレ
スをサブドメインのポイント 先 とする場 合 に選 択 します( 【 DynDNSタイプ( DynDNS
Type) 】 で 【 DynDNS】 を選 択 した場 合 のみ使 用 可 能 ) 。 このオプションを使 用 すると、ドメ
ASG V8 管 理 ガイド
205
7.2DHCP
7ネット ワークサービス
インにワイルドカードとしてアスタリスク( *) が追 加 されます( *.example.dyndns.orgな
ど) 。これにより、www.example.dyndns.orgなどがexample.dyndns.orgと同 じアドレス
をポイント するようになります。
ユーザ名 (Username)： DynDNSサービスプロバイダから受 け取 ったユーザ名 を入 力 しま
す。
パスワード (Password)： DynDNSサービスプロバイダから受 け取 ったパスワードを入 力 し
ます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいDynDNSがDynDNSリスト に表 示 されます。 サービスは無 効 になっています( ステー
タスアイコンは赤 ) 。
4. DynDNSを有 効 にします。
DynDNSサービスを有 効 にするには、ステータスアイコンをクリックします。
サービスが有 効 になります( ステータスアイコンは緑 ) 。
DynDNSを編 集 または削 除 するには、対 応 するボタンをクリックします。
複 数 のDynDNSオブジェクト を同 時 に使 用 することができます。 2つのホスト 名 のすべての設 定 が
同 じであれば、別 オブジェクト を2つ作 成 するのではなく、 【エイリアス( Aliases) 】 オプションを使 用
することを推 奨 します。
7.2DHCP
DHCP( Dynamic Host Configuration Protocol) は、定 義 されたIPアドレスプールからクライアン
ト コンピュータにアドレスを自 動 的 に割 り当 てます。 大 規 模 ネット ワークにおけるネット ワーク設 定
を簡 素 化 し、アドレスの衝 突 を防 止 するために設 計 されています。 DHCPはクライアント に、IPアド
レス、デフォルト のゲート ウェイ情 報 、DNS設 定 情 報 を割 り当 てます。
クライアント コンピュータの設 定 を簡 素 化 し、モバイルコンピュータが複 数 のネット ワークを問 題 なく
行 き来 できるようにすることに加 え、DHCPはIPアドレスに関 連 する問 題 の原 因 特 定 とト ラブルシ
ューティングもサポート します。これは、DHCPサーバ自 体 の設 定 に問 題 があることが多 いためで
す。 また、アドレスを必 要 に応 じて割 り当 てて、不 要 な場 合 は再 利 用 することができるため、すべ
てのコンピュータが同 時 にアクティブになっていない場 合 などに、アドレススペースの使 用 をより効 率
化 することができます。
206
ASG V8 管 理 ガイド
7ネット ワークサービス
7.2DHCP
7.2.1サーバ
【ネットワークサービス( Network Services) 】 >>【 DHCP】 >>【サーバ( Server) 】 タブで
は、DHCPサーバを設 定 することができます。Astaro Security Gateway は、接 続 されたネット
ワークに対 してDHCPサービスを提 供 します。 DHPCサーバを使 用 して、クライアント に基 本 ネット
ワークパラメータを割 り当 てることができます。 それぞれ独 自 の構 成 が設 定 されている複 数 のインタ
フェース上 でDHCPサービスを実 行 できます。
DHCPサーバを設 定 するには、次 の手 順 に従 ってください。
1. 【サーバ(Servers)】 タブで、 【新 規 DHCPサーバ(New DHCP Server)】 をクリックし
ます。
【新 規 DHCPサーバを作 成 ( Create New DHCP Server) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
インタフェース(Interface)： IPアドレスをクライアント に割 り当 てるインタフェース。 すでに
設 定 されているインタフェースのみを選 択 できます。
レンジの先 頭 /末 尾 (Range Start/End)： そのインタフェースのアドレスプールとして使
用 するIPレンジ。 デフォルト で、ネット ワークカードに設 定 されたアドレスエリアがテキスト ボッ
クスに表 示 されます。 範 囲 は、インタフェースに接 続 されたネット ワーク内 である必 要 があり
ます。
DNSサーバ1/2(DNS Server 1/2)： DNSサーバのIPアドレス。
デフォルト ゲート ウェイ(Default Gateway)： デフォルト ゲート ウェイのIPアドレス。
注 - ワイヤレスアクセスポイント とREDアプライアンスの両 方 で、デフォルト ゲート ウェイが接
続 先 インタフェースと同 じサブネット 内 にある必 要 があります。
ド メイン(Domain)( オプション) ：クライアント に送 信 されるドメイン名 を入 力 します(
例 ：intranet.example.com) 。
リース時 間 (Lease Time)： DHCPサーバによって割 り当 てられた各 IPアドレスは、特 定 の
時 間 が経 過 すると期 限 切 れになります。 ここでは、その時 間 を秒 数 で定 義 できます。 デフ
ォルト は86400秒 ( 1日 ) です。 最 低 値 は600秒 ( 10分 ) で、最 大 値 は2592000秒 ( 1
か月 ) です。
スタティックマッピングのあるクライアント のみ(Clients with Static Mappings
Only)( オプション) ： 【スタティックMAC/IPマッピング( Static MAC/IP Mappings) 】 タブに
ASG V8 管 理 ガイド
207
7ネット ワークサービス
7.2DHCP
エント リがあるクライアント のみにDHCPサーバがIPアドレスを割 り当 てるようにするには、この
オプションを選 択 します。
WINSノード タイプ(WINS Node Type)：WINS( Windows Internet Naming
Service) とは、マイクロソフト がWindowsに実 装 したNBNS( NetBIOS Name Server) で
あり、NetBIOSコンピュータ名 用 のネームサーバおよびサービスです。 WINSサーバは、コン
ピュータ名 をIPアドレスと一 致 させるデータベースとして機 能 するため、NetBIOSを使 用 して
いるコンピュータがTCP/IPネット ワークのメリット を利 用 できるようになります。 次 のWINS
ノードタイプを使 用 できます。
l
設 定 しない(Do not set)： WINSノードタイプは設 定 するのではなくクライアント に
選 択 されます。
l
Bノード (WINSなし)(B-node(no WINS))： Bノードシステムはブロードキャス
ト のみを使 用 します。
l
Pノード (WINSのみ)(P-node(WINS only))： Pノードシステム
はWINS( Windows name server) へのポイント ツーポイント の名 前 問 い合 わせの
みを使 用 します。
l
Mノード (ブロード キャスト 後 WINS)(M-node(Broadcast, then WINS))：
Mノードシステムは、まずブロードキャスト してから、ネームサーバに問 い合 わせを行 な
います。
l
Hノード (WINS後 ブロード キャスト )(H-node(WINS, then Broadcast))：
Hノードシステムは、まずネームサーバに問 い合 わせてから、ブロードキャスト します。
WINSサーバ(WINS Server)： 選 択 したWINSノードタイプに応 じて、このテキスト ボッ
クスが表 示 されます。 WINSサーバのIPアドレスを入 力 します。
HTTPプロキシ自 動 設 定 の有 効 化 (Enable HTTP Proxy Auto
Configuration)： ブラウザの自 動 プロキシ設 定 用 にPACファイルを提 供 するには、この
オプションを選 択 します。 詳 しくは、 「 Web セキュリティ」 >>「 Web フィルタリング」 >>「詳
細 」 の章 で、「 プロキシの自 動 設 定 」セクションを参 照 してください。
注 - Microsoft Windowsでは現 在 、IPv6でHTTPプロキシの自 動 設 定 をサポート して
いません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
208
ASG V8 管 理 ガイド
7ネット ワークサービス
7.2DHCP
3. 【保 存 (Save)】 をクリックします。
新 しいDHCPサーバ定 義 がDHCPサーバのリスト に表 示 され、ただちにアクティブになっていま
す。
DHCPサーバ定 義 を編 集 または削 除 するには、対 応 するボタンをクリックします。
7.2.2リレー
【ネットワークサービス( Network Services) 】 >>【 DHCP】 >>【リレー( Relay) 】 タブでは、DHCP
リレーを設 定 することができます。 DHCPサービスは別 のDHCPサーバによって提 供 され、ASGはリ
レーとして機 能 します。DHCPリレーを使 用 すると、ネット ワークセグメント をまたいでDHCP要 求 お
よび応 答 を転 送 することができます。 DHCPサーバと、DHCPト ラフィックが転 送 されるインタフェース
のリスト を指 定 する必 要 があります。
図 64 DHCP：DHCPリレーの設 定
DHCPリレーを設 定 するには、次 の手 順 に従 ってください。
1. 【リレー(Relay)】 タブで、 【 DHCPリレー(DHCP Relay)】 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【 DHCPリレーの設 定 ( DHCP Relay
Configuration) 】 エリアが編 集 可 能 になります。
2. DHCPサーバを選 択 します。
3. インタフェースを選 択 します。
これらのインタフェースに到 着 したDHCP要 求 は、選 択 されているDHCPサーバに転 送 されま
す。
ASG V8 管 理 ガイド
209
7.2DHCP
7ネット ワークサービス
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
7.2.3スタティックMAC/IPマッピング
【ネットワークサービス( Network Services) 】 >>【 DHCP】 >>【スタティックMAC/IPマッピン
グ( Static MAC/IP Mappings) 】 タブでは、一 部 または全 部 のクライアント に対 するIPアドレスマッ
ピングにスタティック( 静 的 ) MACアドレスを割 り当 てることができます。 この目 的 のためには、設 定
されたDHCPサーバと、クライアント のネット ワークカードのMACアドレスが必 要 です。 MACアドレス
は通 常 、2桁 の16進 数 をコロンで区 切 って6組 まとめた形 式 で指 定 しま
す( 00:04:76:16:EA:62など) 。
注 - DHCPプールから通 常 通 りに割 り当 てられたアドレスとスタティックにマッピングされたアドレス
の間 でIPアドレスの重 複 が発 生 することを防 止 するために、スタティックにマッピングする場 合
はDHCPプールの範 囲 外 のアドレスを指 定 してください。 たとえば、DHCPプール
が192.168.0.100～ 192.168.0.210である場 合 にスタティックマッピングとし
て192.168.0.200を指 定 すると、2つのシステムが同 じIPアドレスを持 つことになります。
スタティックMAC/IPアドレスマッピングを作 成 するには、次 の手 順 に従 います。
1. 【スタティックマッピング(Static Mappings)】 タブで、 【新 規 DHCPマッピング(New
DHCP Mapping)】 をクリックします。
【新 規 マッピング作 成 ( Create New Mapping) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
DHCPサーバ(DHCP Server)： スタティックMAC/IPマッピングに使 用 するDHCPサー
バ。
MACアド レス(MAC Address)： クライアント のネット ワークインタフェースカードのMACアド
レス。
IPアド レス(IP Address)： クライアント のIPアドレス。 IPアドレスは、ネット ワークインタフ
ェースカードのアドレス範 囲 内 でなければなりません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいマッピングが【スタティックマッピング( Static Mappings) 】 リスト に表 示 されます。
スタティックMAC/IPマッピングを編 集 または削 除 するには、対 応 するボタンをクリックします。
210
ASG V8 管 理 ガイド
7ネット ワークサービス
7.2DHCP
7.2.4IPv4リーステーブル
DHCPを使 用 すると、クライアント はIPアドレスを持 つのではなく、DHCPサーバからIPアドレスを借 り
る( リースする) ことになります。これにより、アドレスを一 定 期 間 にわたって使 用 する許 可 をクライア
ント に与 えます。
図 65 DHCP：IPv4リーステーブル
【ネットワークサービス( Network Services) 】 >>【 DHCP】 >>【 IPv4リーステーブル( IPv4 Lease
Table) 】 タブにある【リーステーブル( Lease Table) 】には、DHCPサーバが現 在 発 行 しているリー
スが、開 始 日 付 やリースの有 効 期 限 日 などの情 報 とともに表 示 されます。
スタテ ィックマッピ ングの追 加 ( Add S ta ti c Ma ppi n g)
テーブルの【スタティックマッピングの追 加 ( Add Static Mapping) 】 列 にある【新 規 マッピン
グ( New Mapping) 】 ボタンを使 用 することにより、既 存 のリースを新 しいスタティックMAC/IPマッピ
ングのテンプレート として使 用 することができます。 以 下 の手 順 に従 ってください。
1. 【新 規 マッピング(New Mapping)】 ボタンをクリックします。
【マッピングの追 加 ( Add Mapping) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
MACアド レス(MAC Address)( オプション) ：MACアドレスは、スタティックマッピングを異
なるホスト に割 り当 てたい場 合 のみ変 更 してください。
IPv4アド レス(IPv4 Address)： DHCPプール範 囲 外 のアドレスにIPアドレスを変 更 しま
す。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
DNSマッピングの作 成 (Create DNS Mapping)( オプション) ：ホスト へのスタティッ
クDNSマッピングを自 動 的 に作 成 する場 合 、このチェックボックスにチェックを入 れます( 「ネッ
トワークサービス」 >>「 DNS」 >>「スタティックエントリ」 を参 照 ) 。 【ホスト名 ( Hostname) 】
を指 定 すると、このマッピングで使 用 されます。
ASG V8 管 理 ガイド
211
7ネット ワークサービス
7.2DHCP
ネット ワークホスト オブジェクト の作 成 (Create Network Host Object)( オプション) ：
ホスト オブジェクト を自 動 的 に作 成 する場 合 、このチェックボックスにチェックを入 れます( 「定
義 およびユーザ」 >>「ネットワーク定 義 」 を参 照 ) 。 【ホスト名 ( Hostname) 】 を指 定 する
と、これがオブジェクト 名 になります。
ホスト 名 (Hostname)( オプション) ：利 便 性 のため、ホスト の名 前 を指 定 しておくことをお
勧 めします。 指 定 しないと、オブジェクト はリスト に"[不 明 ( unknown) ]"と表 示 されます。
3. 【保 存 (Save)】 をクリックします。
設 定 が保 存 されます。
注 - リースをスタティックマッピングに変 換 する場 合 、DHCPプールの範 囲 外 のIPアドレスに変 更
する必 要 があります。 ただし、IPアドレスを変 更 しても、クライアント の使 用 するアドレスはすぐには
変 更 されず、 次 にリース更 新 を試 行 するまで変 更 されません。
7.2.5IPv6リーステーブル
DHCPを使 用 すると、クライアント はIPアドレスを持 つのではなく、DHCPサーバからIPアドレスを借 り
る( リースする) ことになります。これにより、アドレスを一 定 期 間 にわたって使 用 する許 可 をクライア
ント に与 えます。
図 66 DHCP：IPv6リーステーブル
【ネットワークサービス( Network Services) 】 >>【 DHCP】 >>【 IPv6リーステーブル( IPv6 Lease
Table) 】 タブにある【リーステーブル( Lease Table) 】には、DHCPサーバが現 在 発 行 しているリー
スが、開 始 日 付 やリースの有 効 期 限 日 などの情 報 とともに表 示 されます。
注 - プレフィックスアドバタイズメント 経 由 で付 与 されたリースはテーブルに表 示 されません。
スタテ ィックマッピ ングの追 加 ( Add S ta ti c Ma ppi n g)
テーブルの【スタティックマッピングの追 加 ( Add Static Mapping) 】 列 にある【新 規 マッピン
グ( New Mapping) 】 ボタンを使 用 することにより、既 存 のリースを新 しいスタティックMAC/IPマッピ
ングのテンプレート として使 用 することができます。 以 下 の手 順 に従 ってください。
212
ASG V8 管 理 ガイド
7ネット ワークサービス
7.3NTP
1. 【新 規 マッピング(New Mapping)】 ボタンをクリックします。
【マッピングの追 加 ( Add Mapping) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
DUIDアド レス(DUID Address)( オプション) ：DUIDアドレスは、スタティックマッピングを
異 なるホスト に割 り当 てたい場 合 のみ変 更 してください。
IPv6アド レス(IPv6 Address)： DHCPプール範 囲 外 のアドレスにIPアドレスを変 更 しま
す。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
DNSマッピングの作 成 (Create DNS Mapping)( オプション) ：ホスト へのスタティッ
クDNSマッピングを自 動 的 に作 成 する場 合 、このチェックボックスにチェックを入 れます( 「ネッ
トワークサービス」 >>「 DNS」 >>「スタティックエントリ」 を参 照 ) 。 【ホスト名 ( Hostname) 】
を指 定 すると、このマッピングで使 用 されます。
ホスト 用 ネット ワーク定 義 の作 成 (Create Network Definition For Host)( オプシ
ョン) ：ホスト オブジェクト 用 のネット ワーク定 義 を自 動 的 に作 成 する場 合 、このチェックボック
スにチェックを入 れます( 「定 義 およびユーザ」 >>「ネットワーク定 義 」 を参 照 ) 。 【ホスト
名 ( Hostname) 】 を指 定 すると、これがオブジェクト 名 になります。
ホスト 名 (Hostname)( オプション) ：利 便 性 のため、ホスト の名 前 を指 定 しておくことをお
勧 めします。 指 定 しないと、オブジェクト はリスト に"[不 明 ( unknown) ]"と表 示 されます。
3. 【保 存 (Save)】 をクリックします。
設 定 が保 存 されます。
注 - リースをスタティックマッピングに変 換 する場 合 、DHCPプールの範 囲 外 のIPアドレスに変 更
する必 要 があります。 ただし、IPアドレスを変 更 しても、クライアント の使 用 するアドレスはすぐには
変 更 されず、 次 にリース更 新 を試 行 するまで変 更 されません。
7.3NTP
【ネットワークサービス( Network Services) 】 >>【 NTP】 メニューを使 用 すると、接 続 されたネット
ワーク用 のNTPサーバを設 定 することができます。NTP( Network Time Protocol) とは、IPネット
ワーク経 由 でコンピュータシステムのクロックの同 期 をとるために使 用 するプロト コルです。Astaro
Security Gatewayの時 刻 の同 期 ( 【マネジメント ( Management) 】 >>【システム設
定 ( System Settings) 】 >>【日 付 と時 刻 ( Time and Date) 】 タブで設 定 ) だけではなく、特 定
のネット ワークがこのサービスを使 用 できるように明 示 的 に許 可 することもできます。
特 定 のネット ワークに対 してNTPによる時 刻 同 期 を有 効 にするには、次 の手 順 に従 ってください。
ASG V8 管 理 ガイド
213
7.3NTP
7ネット ワークサービス
1. NTPサーバを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
2. 【許 可 ネットワーク(Allowed Networks)】 を選 択 します。
NTPサーバへのアクセスを許 可 するネット ワークを選 択 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
214
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
この章 では、Astaro Security Gatewayの基 本 的 なネット ワークセキュリティ機 能 の設 定 方 法 に
ついて説 明 します。WebAdminの【ネットワークセキュリティ統 計 ( Network Security
Statistics) 】 ページには、送 信 元 ホスト と宛 先 ホスト の両 方 に対 する侵 入 防 御 イベント およびド
ロップされたデータパケット の概 要 が表 示 されます。 各 セクションには、 【詳 細 ( Detail) 】 リンクが含
まれています。リンクをクリックするとWebAdminのそれぞれのレポーティングセクションが表 示 され、
そこでさらなる統 計 情 報 を参 照 できます。
この章 には次 のト ピックが含 まれます。
l
ファイアウォール
l
ネット ワークアドレス変 換 ( NAT)
l
侵入防御
l
サーバロードバランシング
l
ボイスオーバーIP( VoIP)
l
詳細設定
8.1ファイアウォール
【ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 メニューを使 用
すると、ゲート ウェイのファイアウォールルールを定 義 し、管 理 することができます。 一 般 的 に、ファイ
アウォールはゲート ウェイの中 核 部 分 で、ネット ワーク環 境 においてセキュリティポリシで禁 止 されて
いる通 信 を妨 げます。デフォルト のセキュリティポリシではAstaro Security Gateway ゲート ウェイ
の他 のソフト ウェアコンポーネント が機 能 するために必 要 な、自 動 的 に生 成 されたルールセット を
除 くすべてのネット ワークト ラフィックをブロックしてログします。 ただし、自 動 的 に生 成 されたルールセ
ット は【ファイアウォール( Firewall) 】 >>【ルール( Rules) 】 タブには表 示 されません。 このポリシで
は、どのデータト ラフィックにゲート ウェイの通 過 を許 可 するかを明 確 に定 義 する必 要 があります。
8.1.1ルール
【ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 >>【ルー
ル( Rules) 】 では、ファイアウォールルールセット を管 理 できます。 新 規 に定 義 したすべてのファイア
ウォールルールは、ルールテーブルに追 加 されると、デフォルト で無 効 になります。 有 効 化 されたフ
ァイアウォールルールは、最 初 のルールが一 致 するまで、所 定 の順 序 で適 用 されます。 処 理 順
8ネット ワークセキュリティ
8.1ファイアウォール
序 は位 置 番 号 によって決 まるため、位 置 番 号 によってルールの順 序 を変 更 すると、処 理 順 序 も
変 わります。
警 告 - ファイアウォールルールが一 致 すると、他 のすべてのルールは無 視 されます。 そのため、
ルールの順 番 は非 常 に重 要 です。 【すべて( 送 信 元 ) ( Any (Source)) 】 – 【すべて( サービ
ス) ( Any (Service)) 】 – 【すべて( 宛 先 ) ( Any (Destination)) 】 – 【許 可 ( アクショ
ン) ( Allow (Action)) 】 のようなルールは、ルールテーブルの上 部 には配 置 しないでください。こ
のようなルールをルールテーブルの上 部 に配 置 すると、各 パケット がゲート ウェイを双 方 向 に通 過
できるようになり、以 降 の他 のルールはすべて無 視 されます。
図 67 ファイアウォール( Firewall) ：ルールテーブル
ファイアウォールルールを作 成 するには、次 の手 順 に従 います。
1. 【ルール(Rules)】 タブで、 【新 規 ルール(New Rule)】 をクリックします。
【新 規 ルール作 成 ( Create New Rule) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
グループ(Group)： 【グループ( Group) 】 オプションを使 用 すると、ファイアウォールルールを
論 理 的 にグループ化 し、ファイアウォールルールセット を見 やすくできます。 グループ化 は表
示 用 のみで、ルールの一 致 には関 係 ありません。
位 置 (Position)： 位 置 番 号 。これによってルールの優 先 順 位 が定 義 されます。 番 号 が
小 さいほど優 先 順 位 が高 くなります。 ルールは昇 順 に照 合 されます。 あるルールが一 致
すると、それ以 降 、それより大 きい番 号 のルールは評 価 されません。
送 信 元 (Source)： 送 信 元 ネット ワークの定 義 。パケット の送 信 元 のホスト またはネット
ワークを説 明 します。
216
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.1ファイアウォール
サービス(Service)： プロト コルを説 明 するサービス定 義 。TCP 、またはUDPの場 合 は、
パケット の送 信 元 および宛 先 ポート になります。
宛 先 (Destination)： 宛 先 ネット ワークの定 義 。パケット のターゲット ホスト またはネット
ワークを説 明 します。
アクション(Action)： アクションは、ルールに一 致 したト ラフィックに対 する処 理 を説 明 しま
す。 次 のアクションを選 択 できます。
l
許 可 (Allow)： 接 続 を許 可 し、ト ラフィックを送 ります。
l
否 認 (Deny)： このアクションが指 定 されたルールと一 致 したパケット は、警 告 なし
でドロップされます。
l
リジェクト (Reject)： このアクションが指 定 されたルールと一 致 した接 続 要 求 はアク
ティブに拒 否 されます。 送 信 者 にはICMP メッセージで通 知 されます。
期 間 (Time Period)： デフォルト では、期 間 定 義 は選 択 されていません。つまり、ルール
は常 に有 効 です。 期 間 定 義 を選 択 すると、期 間 定 義 で指 定 された期 間 だけルールが有
効 になります。 詳 細 は、「期 間 定 義 」を参 照 してください。
ト ラフィックのログ(Log Traffic)： このオプションを選 択 すると、ログが有 効 になり、ルール
に一 致 したパケット がファイアウォールログにログされます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルールが【ルール( Rules) 】 リスト に表 示 されます。
4. ルールを有 効 にします。
ルールを有 効 にするには、ステータスアイコンをクリックします。
ルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
ライブログを開 く(Open Live Log)： フィルタされたパケット のリアルタイムログを含 むポップアップ
ウィンドウを開 きます。表 示 は定 期 的 に更 新 されて、最 新 のネット ワークアクティビティが示 されま
す。 適 用 されたアクションによって、背 景 色 が次 のように変 化 します。
l
赤 色 ：パッケージはドロップされました。
l
黄 色 ：パッケージは拒 否 されました。
l
緑 色 ：パッケージは許 可 されました。
l
灰 色 ：アクションを決 定 できませんでした。
ライブログには、パケット が拒 否 される原 因 となったファイアウォールルールに関 する情 報 も含 まれま
す。こうした情 報 はルールのデバッグに不 可 欠 です。
ASG V8 管 理 ガイド
217
8ネット ワークセキュリティ
8.1ファイアウォール
検 索 機 能 を使 用 して、特 定 エント リについてファイアウォールログをフィルタできます。 検 索 機 能 で
は、表 現 の前 にダッシュ( -) を付 けることで、その表 現 を無 効 にできます。たとえば、-WebAdminと
指 定 すると、この表 現 を含 むすべての行 を連 続 して非 表 示 にできます。
図 68 ファイアウォール( Firewall) ：ライブログ
【自 動 スクロール(Autoscroll) 】 チェックボックスにチェックを入 れると、ウィンドウのスクロールバーが
自 動 的 にスクロールダウンして、常 に最 新 の結 果 が表 示 されます。
以 下 に、ファイアウォールの設 定 に関 する基 本 的 なヒント をいくつか示 します。
l
ド ロップされたブロード キャスト ： デフォルト では、すべてのブロードキャスト はドロップされ、ログ
もされません( 詳 細 は「詳 細 」を参 照 ) 。 この機 能 はNetBIOS( たとえば、Microsoft
Windowsオペレーティングシステム) を使 用 する多 数 のコンピュータから成 るネット ワークで
役 立 ちます。この理 由 は、ファイアウォールのログファイルは、ブロードキャスト によってすぐにい
っぱいになるからです。 ブロードキャスト のドロップルールを手 動 で定 義 するには、接 続 され
たすべてのネット ワークのブロードキャスト アドレスの定 義 をグループ化
し、255.255.255.255/255.255.255.255の"global_broadcast"定 義 を追 加 し、次 に
ファイアウォール設 定 上 部 でこれらのアドレスに対 するすべてのト ラフィックをドロップするルー
ルを追 加 します。 ブロードキャスト を多 用 するネット ワークでは、これによってシステムのパフ
ォーマンスも向 上 します。
l
IDENTト ラフィックのリジェクト ：IDENT リバースプロキシを使 用 しない場 合 は、内 部 ネット
ワークのポート 113( IDENT) へのト ラフィックをアクティブに拒 否 できます。 これによ
り、FTP、IRC、およびSMTPなどのIDENTを使 用 するサービスの長 いタイムアウト を防 止 で
きます。
注 - マスカレーディングを使 用 している場 合 は、マスカレードされているネット ワークに対 す
るIDENT要 求 が、マスカレードするインタフェースに届 きます。
218
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
l
8.1ファイアウォール
NATはネット ワークパケット のアドレスを変 更 するため、ファイアウォールの機 能 に影 響 を与 え
ます。
l DNATはファイアウォールの前 に適 用 します。 これは、ファイアウォールが、すでに変 換
されたパケット を「見 る」ことを意 味 します。 DNAT関 連 のサービスにルールを追 加 す
る際 は、これを考 慮 することが必 要 です。
l
SNATおよびマスカレーディングはファイアウォールの後 に適 用 されます。 これは、ファ
イアウォールは、オリジナルの送 信 元 アドレスを持 つ変 換 されていないパケット をまだ「
見 る」ことを意 味 します。
テーブルヘッダのコント ロールパネルを使 用 して、特 定 の基 準 でファイアウォールルールをフィルタし
て、読 みやすいようにルールを再 構 成 できます。 グループを定 義 している場 合 は、ドロップダウンメ
ニューからグループを選 択 し、このグループに属 するすべてのルールを見 ることができます。 検 索 フ
ィールドを使 用 して、キーワードあるいは単 に文 字 列 を探 して、それに関 連 するルールを表 示 でき
ます。 検 索 は、ルールの送 信 元 、宛 先 、サービス、グループ名 、およびコメント で構 成 されます。
8.1.2送 受 信 国 別 ブロック
【ネットワークセキュリティ( Network Security) 】 >> 【送 受 信 国 別 ブロック( Country
Blocking) 】 タブで、特 定 国 からの、または特 定 国 へのト ラフィックをブロックできます。 1つの国 あ
るいは大 陸 全 体 をブロックできます。このブロックは、ホスト のIPアドレスのGeoIP 情 報 に基 づいて
います。
注 - 送 受 信 国 別 ブロックは現 在 、IPv6ではサポート されていません。
送 受 信 国 別 ブロックを有 効 にするには、以 下 の手 順 に従 います。
1. 送 受 信 国 別 ブロックを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり【国 ( Countries) 】 セクションが編 集 可 能 になりま
す。
2. ブロックする場 所 を選 択 します。
受 信 または送 信 ト ラフィックを完 全 にブロックする場 所 ( 国 、地 域 ) を1つ以 上 選 択 します。
国 の前 にあるチェックボックスで国 を選 択 するか、あるいは大 陸 セクションのヘッダのチェック
ボックスを選 択 して大 陸 全 体 を選 択 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。 これで、選 択 した場 所 との間 の受 信 および送 信 ト ラフィックがブロッ
クされます。
ASG V8 管 理 ガイド
219
8.1ファイアウォール
8ネット ワークセキュリティ
ヒント – ヘッダバー右 上 のウィンドウアイコンをクリックして、大 陸 セクションを縮 小 できます。 再
度 ウィンドウアイコンをクリックすると、大 陸 セクションが拡 大 します。
8.1.3ICMP
【ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 >>【 ICMP】 タ
ブで、 インターネット制 御 メッセージプロトコル( ICMP) の設 定 を構 成 できます。 ICMPを使 用 して、
ホスト 間 で接 続 関 連 のステータス情 報 をやり取 りします。 ICMPはネット ワーク接 続 のテスト やネッ
ト ワークの問 題 のト ラブルシューティングに重 要 です。
このタブで任 意 のICMPト ラフィックを許 可 すると、ファイアウォールのICMP設 定 が上 書 きされます。
特 定 のホスト やネット ワークだけにICMPを許 可 する場 合 は、 【ファイアウォール( Firewall) 】 >>【
ルール( Rule) 】 タブを使 用 します。
グローバルI C MP 設 定 ( G l oba l I C MP S e tti n gs )
以 下 のグローバルICMPオプションを利 用 できます。
l
ゲート ウェイでICMPを許 可 する(Allow ICMP on Gateway)： このオプションで、ど
の種 類 のICMPパケット にもゲート ウェイが対 応 できるようにします。
l
ゲート ウェイを通 してICMPを許 可 する(Allow ICMP through Gateway)： このオ
プションを使 用 すると、すべてのICMPパケット をゲート ウェイを通 して転 送 可 能 になります。
l
ICMPリダイレクト をログする(Log ICMP Redirects)： ICMPリダイレクト は、パケット の
宛 先 へのより良 いルート を探 すために、1台 のルータから別 のルータに送 信 されます。 ルー
タはルーティングテーブルを変 更 して、より適 切 と想 定 されるルート を経 由 して同 じ宛 先 にパ
ケット を送 ります。 このオプションを選 択 すると、すべてのICMPリダイレクト がファイアウォール
ログに書 き込 まれます。
pi n g設 定 ( P i n g S e tti n gs )
pingプログラムは、IPネット ワークを横 断 して特 定 ホスト に到 達 できるかどうかをテスト するためのコ
ンピュータネット ワークツールです。 pingは、ICMPエコー要 求 パケット をターゲット ホスト に送 信
し、ICMPエコー応 答 による返 信 をリスンすることで機 能 します。 pingは、間 隔 のタイミングと応 答
率 を使 用 して、ホスト 間 の往 復 時 間 とパケット 紛 失 率 を評 価 します。
以 下 のpingオプションを利 用 できます。
l
220
ゲート ウェイのping可 視 化 (Gateway Is Ping Visible)： ゲート ウェイはICMPエコー
要 求 パケット に応 答 します。 この機 能 はデフォルト で有 効 になっています。
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.1ファイアウォール
l
ゲート ウェイからping(Ping From Gateway)： ゲート ウェイでpingコマンドを使 用 でき
ます。 この機 能 はデフォルト で有 効 になっています。
l
ゲート ウェイでpingを転 送 (Gateway Forwards Pings)： ゲート ウェイがICMPエコー
要 求 とエコー応 答 パケット を転 送 します。
tr a c e r ou te設 定 ( Tr a c e r ou te S e tti n gs )
traceroute( ト レースルート ) プログラムは、IPネット ワーク上 でパケット が使 用 するルート の決 定 に
使 用 されるコンピュータネット ワークツールです。 tracerouteは、パケット の伝 送 に関 与 したルータ
のIPアドレスを一 覧 表 示 します。 一 定 の時 間 内 にパケット のルート を判 断 できない場 合 は、IPア
ドレスの代 わりにアスタリスク(*)で報 告 します。 一 定 の回 数 だけ失 敗 すると、確 認 作 業 は終 了 し
ます。 確 認 の中 断 には多 くの理 由 が考 えられますが、ほとんどの場 合 は、ネット ワークパスのファイ
アウォールがtracerouteパケット をブロックすることが原 因 となります。
以 下 のtracerouteオプションを利 用 できます。
l
ゲート ウェイのtraceroute可 視 化 (Gateway Is Traceroute Visible)： ゲート ウェ
イはtracerouteパケット に応 答 します。
l
ゲート ウェイでtracerouteを転 送 (Gateway Forwards Traceroute)： ゲート ウェ
イでtracerouteパケット を転 送 します。
注 - さらに、UNIX tracerouteアプリケーション用 のUDP ポート も開 きます。
8.1.4詳 細
【ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 >>【詳
細 ( Advanced) 】 タブには、ファイアウォールおよびNATルールの詳 細 設 定 が含 まれています。
コネク シ ョン ト ラッキングヘルパ( C on n e c ti on Tr a c k i n g H e l pe r s )
コネクショント ラッキングヘルパを使 用 することにより、複 数 のネット ワーク接 続 を使 用 するプロト コル
でファイアウォールあるいはNATルールを使 用 できます。ファイアウォールが取 り扱 うすべての接 続
は、conntrackカーネルモジュール( コネクショントラッキングプロセスとも呼 ばれます) で追 跡 しま
す。 たとえば、FTP およびIRC などのプロト コルにはいくつかのポート を開 くことが必 要 で、それらの
正 常 な機 能 をサポート する特 別 なコネクショント ラッキングヘルパが必 要 になります。 これらのヘル
パは特 別 なカーネルモジュールで、追 加 の接 続 をそれらを最 初 の接 続 に関 連 付 けることによって(
通 常 はデータスト リームから関 連 するアドレスを読 み取 ることで) 特 定 します。
たとえば、FTPの接 続 が正 常 に機 能 するには、FTP conntrackヘルパを選 択 する必 要 がありま
す。 これはFTPプロト コルの特 異 性 によるもので、それによってFTPコント ロールコネクションと呼 ばれ
ASG V8 管 理 ガイド
221
8.1ファイアウォール
8ネット ワークセキュリティ
る単 一 の接 続 を確 立 します。 この接 続 でコマンドが発 行 されると、他 のポート が開 いてその特 定
コマンドに関 連 するデータの残 りを実 行 します( 例 ：ダウンロードあるいはアップロード) 。 問 題 は、そ
れらは動 的 にネゴシエート されたため、ゲート ウェイがこれらの特 別 なポート を知 らない、ということで
す。 したがって、ゲート ウェイは、これらの特 定 のポート でサーバをクライアント に接 続 させなければ
ならないか( アクティブなFTP接 続 ) 、またはインターネット 上 でクライアント をFTPサーバに接 続 させ
なければならないか( パッシブなFTP接 続 ) を知 ることができません。
これがFTP conntrackヘルパが役 に立 つ理 由 です。 この特 別 なヘルパは特 別 なコネクショント ラ
ッキングモジュールに追 加 され、特 別 な情 報 の制 御 接 続 ( 通 常 はポート 21) をスキャンします。 ヘ
ルパが正 しい情 報 に出 会 うと、その情 報 をコント ロールコネクションの関 連 情 報 として想 定 される
接 続 のリスト に追 加 します。 これにより、ゲート ウェイで最 初 のFTP接 続 と関 連 する全 接 続 の両
方 を追 跡 することが可 能 になります。
コネクショント ラッキングヘルパは以 下 のプロト コルで使 用 できます。
l
FTP
l
IRC(DCC用 )
l
PPTP
l
TFTP
注 - ファイアウォールでPPTP VPNサービスを提 供 したい場 合 は、PPTPヘルパモジュールをロード
する必 要 があります。 ロードしないと、PPTPセッションは確 立 できません。 この理 由 は、PPTP
は、別 個 のIPプロト コルのGeneric Routing Encapsulation( GRE) 通 信 に切 り換 える前
に、TCPポート 1723接 続 を確 立 するからです。 PPTPヘルパモジュールをロードしないと、すべて
のGREパケット はゲート ウェイにブロックされます。 PPTPヘルパモジュールを使 用 しない場 合 は、
代 わりにファイアウォールルールを手 動 で追 加 し、受 信 および送 信 ト ラフィックでGREパケット を許
可 します。
プロト コル処 理 ( P r otoc ol H a n dl i n g)
TCPウインド ウスケーリングを有 効 にする(Enable TCP Window Scaling)：TCP の受 信 ウ
インドウ( RWin) サイズは、接 続 時 にバッファできる受 信 データ量 ( バイト 単 位 ) です。 送 信 側 ホス
ト は、受 信 側 ホスト からの受 信 確 認 とウィンドウの更 新 を待 つ間 、その量 のデータのみを送 信 で
きます。 高 帯 域 幅 ネット ワークをさらに効 率 的 に使 用 するために、大 きなTCPウインドウサイズを
使 用 できます。 ただし、TCPウインドウサイズのフィールドはデータの流 れを制 御 し、2バイト あるい
は65535バイト のウインドウサイズに制 限 されています。 サイズフィールドは拡 張 できないため、ス
ケーリングファクタを使 用 します。 TCPウインドウのスケーリングはTCP/IPスタックのカーネルオプショ
ンで、最 大 ウインドウサイズを65535バイト から1ギガバイト に拡 大 するために使 用 できます。 ルー
222
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.1ファイアウォール
タ、負 荷 バランサ、ゲート ウェイなどの多 くのネット ワークデバイスはウインドウのスケーリングをまだ完
全 にはサポート していないため、スケーリングはデフォルト では無 効 になっています。
厳 密 なTCPセッション処 理 を使 用 する(Use Strict TCP Session Handling)： デフォルト
では、システムはネット ワーク機 能 のリセット によりコネクショント ラッキングテーブルで現 在 扱 われて
いない既 存 のTCP接 続 を「ピックアップ」できます。 これはSSH およびTelnetなどの対 話 型 セッシ
ョンが、ネット ワークインタフェースが一 時 的 に利 用 できない場 合 に停 止 しないことを意 味 します。
このオプションを有 効 にすると、そのようなセッションを再 度 確 立 するには新 しい3WAYハンドシェー
クが常 に必 要 になります。 一 般 的 にはこのオプションはオフのままにしておくことをお勧 めしていま
す。
パケット 長 の有 効 性 を確 認 (Validate Packet Length)：有 効 にすると、ファイアウォール
は、ICMP、TCP、またはUDPプロト コルの使 用 時 に、データパケット が最 小 長 を満 たしているかチェ
ックします。 データパケット が最 小 値 より小 さい場 合 、それらはブロックされ、その記 録 がファイアウ
ォール ログに書 き込 まれます。
なりすまし保 護 (Spoof Protection)： デフォルト では、なりすまし保 護 は無 効 になっています。
以 下 の設 定 から選 択 できます。
l
通 常 (Normal)： ゲート ウェイは、インタフェース自 体 と同 じ送 信 元 IPアドレスを持 つパケッ
ト 、またはそのインタフェースに別 に割 り当 てられたネット ワークの送 信 元 IPを持 つインタフェー
スに到 着 するパケット を、ドロップしてログします。
l
厳 密 (Strict)： ゲート ウェイは、宛 先 IPにインタフェースが指 定 され、割 り当 てられた以 外
のインタフェースに到 着 する( つまり、宛 先 として指 定 されていないインタフェースに到 着 する)
すべてのパケット を、ドロップしてログします。 たとえば、内 部 ネット ワークのみからパケット を受
け付 けると想 定 される内 部 インタフェースのIPアドレスに外 部 ネット ワークから送 信 されたパ
ケット はドロップされます。
ログオプシ ョ ン( L oggi n g Opti on s )
FTPデータコネクションをログ(Log FTP Data Connections)：ASG は、ファイルおよびディレ
クト リリスティングのFTPデータコネクションをログします。 ログレコードには「FTP data( FTPデータ) 」
という文 字 列 によってマークが付 けられます。
ユニークなDNS要 求 をログする(Log Unique DNS Requests)：ASG は、DNSサーバへの
すべての要 求 およびそれらの結 果 をログします。 ログレコードには「DNS request( FTP要 求 ) 」と
いう文 字 列 によってマークが付 けられます。
ド ロップされたブロード キャスト をログする(Log Dropped Broadcasts)： デフォルト で、ファイア
ウォール はすべてのブロードキャスト をドロップし、ログも行 いません。 ただし、ブロードキャスト をファ
イアウォール ログに記 録 する必 要 がある場 合 は、このオプションを選 択 します( 監 査 など) 。
ASG V8 管 理 ガイド
223
8ネット ワークセキュリティ
8.2NAT
8.2NAT
【ネットワークセキュリティ( Network Security) 】 >>【 NAT 】 メニューを使 用 すると、ゲート ウェイ
のNATルールを定 義 し、管 理 することができます。 ネットワークアドレス変 換 ( NAT) とは、ルータや
ゲート ウェイを通 過 するIPパケット の送 信 元 アドレスまたは宛 先 アドレス( あるいは両 方 ) を書 き換
えるプロセスです。 NATを使 用 するほとんどのシステムは、プライベート ネット ワーク上 の複 数 のホ
スト が1つのパブリックIPアドレスを使 用 してインターネット にアクセスできるようにするためにNATを使
用 しています。 あるクライアント がIPパケット をルータに送 信 すると、NATは送 信 アドレスを別 のパブ
リックIPアドレスに変 換 してからインターネット にパケット を転 送 します。 応 答 パケット を受 信 する
と、NATはパブリックアドレスを元 のアドレスに変 換 し、クライアント にパケット を転 送 します。 システ
ムリソースに応 じて、NATは自 己 裁 量 で大 規 模 内 部 ネット ワークに対 応 できます。
8.2.1マスカレード
マスカレードとは、 送 信 元 ネットワークアドレス変 換 ( SNAT) の特 殊 ケースであり、ネット ワークイン
タフェース( 通 常 は、インターネット に接 続 された外 部 インタフェース) 上 の1つの公 式 IPアドレスの背
後 に内 部 ネット ワーク( 通 常 はプライベート アドレススペースを持 つLAN) をマスカレードすることがで
きます。 SNATの場 合 、複 数 の送 信 元 アドレスを複 数 の宛 先 アドレスにマッピングすることができ
るため、より汎 用 的 です。
図 69 NAT：マスカレードルールのリスト
注 - 送 信 元 アドレスは、指 定 されたインタフェース経 由 でパケット がゲート ウェイシステムから配
信 された場 合 にのみ変 換 されます。 新 しい送 信 元 アドレスは常 に、当 該 インタフェースの最
新 IPアドレスとなります( つまり、このアドレスは動 的 です) 。
マスカレードルールを作 成 するには、次 の手 順 に従 います。
1. 【マスカレード (Masquerading)】 タブで、 【新 規 マスカレード ルール(New
Masquerading Rule)】 をクリックします。
224
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.2NAT
【新 規 マスカレードルールの作 成 ( Create New Masquerading Rule) 】 ダイアログボックス
が開 きます。
2. 次 の設 定 を行 います。
ネット ワーク(Network)： マスカレードする( 内 部 ) ネット ワークを選 択 します。
インタフェース(Interface)： インターネット に接 続 する( 外 部 ) インタフェースを選 択 しま
す。
アド レスを使 用 (Use Address)： 選 択 したインタフェースに複 数 のIPアドレスが割 り当 てら
れている場 合 ( 「インタフェースおよびルーティング( Interfaces & Routing) 」 >>「追 加 アド
レス」 参 照 ) 、マスカレードに使 用 するIPアドレスをここで定 義 できます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいマスカレードルールがマスカレード ルールのリスト に表 示 されます。
4. マスカレード ルールを有 効 にします。
マスカレードルールを有 効 にするには、ステータスアイコンをクリックします。
ルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
注 - クライアント が外 部 サーバにアクセスできるようにするには、ファイアウォールで内 部 ネット ワー
クからインターネット へのト ラフィックを許 可 する必 要 があります。
8.2.2DNAT/SNAT
DNAT( Destination Network Address Translation) とSNAT( Source Network Address
Translation) は、いずれもNATの特 殊 ケースです。 SNATでは、接 続 を開 始 したコンピュータ
のIPアドレスが書 き換 えられます。一 方 、DNATでは、データパケット の宛 先 アドレスが書 き換 えら
れます。 DNATは、内 部 ネット ワークでプライベート IPアドレスを使 用 しており、管 理 者 が一 部 の
サービスを外 部 からも使 用 可 能 にしたい場 合 に特 に便 利 です。
ASG V8 管 理 ガイド
225
8ネット ワークセキュリティ
8.2NAT
図 70 NAT：DNAT/SNATルールのリスト
これは、例 を使 って説 明 するとわかりやすいでしょう。 内 部 ネット ワークでアドレススペー
ス192.168.0.0/255.255.255.0を使 用 しており、WebサーバがIPアドレス192.168.0.20で機
能 しているとします。この場 合 、インターネット ベースのクライアント でポート 80を使 用 可 能 にする必
要 があります。192.168.アドレススペースはプライベート であるため、インターネット ベースのクライア
ント はWebサーバにパケット を直 接 送 信 できません。 ただし、ASGの外 部 ( 公 開 ) アドレスと通 信
することはできます。 この場 合 、DNATは、システムアドレスのポート 80向 けのパケット を捕 捉 し、
内 部 Webサーバに転 送 できます。
注 - PPTP VPNアクセスはDNATに対 応 していません。
動 的 であるマスカレーディングとは異 なり、SNATでは静 的 アドレス変 換 を使 用 します。つまり、そ
れぞれの内 部 アドレスは、独 自 の外 部 から参 照 可 能 なIPアドレスに変 換 されます。
注 - デフォルト で、ポート 443( HTTPS) はユーザポータルに使 用 されます。 ポート 443を内 部
サーバに転 送 する予 定 がある場 合 、 【マネジメント ( Management) 】 >>【ユーザポータ
ル( User Portal) 】 >>【詳 細 ( Advanced) 】 タブでユーザポータルのTCPポート を他 の値 ( 1443
など) に変 更 する必 要 があります。
DNATはファイアウォールの前 に行 われるため、適 切 なファイアウォールルールを定 義 しておく必 要
があります。 詳 しくは、 「ネットワークセキュリティ」 >>「ファイアウォール」 >>「ルール」 を参 照 してく
ださい。
DNAT/SNATルールを定 義 するには、次 の手 順 に従 います。
1. 【 DNAT/SNAT】 タブで、 【新 規 NATルール(New NAT Rule)】 をクリックします。
【新 規 NAT ルールの作 成 ( Create New NAT Rule) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)：NATルールを説 明 する名 前 を入 力 してください。
226
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.2NAT
グループ(Group)： グループは、複 数 のNATルールを論 理 的 に組 み合 わせて読 みやすく
するために便 利 です。 グループは任 意 の文 字 列 にできます。
位 置 (Position)： 位 置 番 号 。これによってルールの優 先 順 位 が定 義 されます。 番 号 が
小 さいほど優 先 順 位 が高 くなります。 ルールは昇 順 に照 合 されます。 あるルールが一 致
すると、それ以 降 、それより大 きい番 号 のルールは評 価 されません。
ト ラフィック送 信 元 (Traffic Source)： パケット のオリジナルの送 信 元 アドレス( 1つのホス
ト にすることも、ネット ワーク全 体 にすることもできます) 。
ト ラフィックサービス(Traffic Service)： パケット のオリジナルのサービスタイプ( 送 信 元
ポート と宛 先 ポート 、およびプロト コルタイプから構 成 されています) 。
注 - ト ラフィックサービスは、対 応 するアドレスも変 換 される場 合 のみ変 換 できます。 さら
に、2つのサービスが同 じプロト コルが使 用 する場 合 のみ、サービスを別 のサービスに変 換
できます。
ト ラフィック宛 先 (Traffic Destination)： パケット のオリジナルの宛 先 アドレス( 1つのホ
スト にすることも、ネット ワーク全 体 にすることもできます) 。
NATモード (NAT Mode)： ネット ワークアドレス変 換 モードを選 択 します。 選 択 に応 じ
て、さまざまなオプションが表 示 されます。 次 のモードを使 用 できます。
l
NATなし(No NAT)： このオプションは例 外 ルールの一 種 と考 えることができます。
たとえば、定 義 したネット ワークにNATルールがある場 合 、このネット ワーク内 の特 定
のホスト に対 して【 NAT なし( No NAT) 】 ルールを作 成 することができます。 これによ
り、これらのホスト はNATの対 象 外 となります。
l
DNAT(宛 先 )(DNAT(Destination))：DNATを選 択 する場 合 、宛 先 ホスト /
ネット ワークと宛 先 サービス( パケット の新 しい宛 先 アドレスとサービス) を選 択 します。
l
SNAT(送 信 元 )(SNAT(Source))：SNATを選 択 する場 合 、送 信 元 ホスト /ネ
ット ワークと送 信 元 サービス( パケット の新 しい送 信 元 アドレスとサービス) を選 択 しま
す。
l
フルNAT(Full NAT)： フルNATを選 択 する場 合 、宛 先 ホスト /ネット ワークと宛 先
サービス、そして送 信 元 ホスト /ネット ワークと送 信 元 サービスを選 択 します。
初 期 パケット のログ(Log Initial Packets)( オプション) ：このオプションは、通 信 の初
期 化 パケット をファイアウォールログに書 き込 む場 合 に選 択 します。 これにより、NATルール
を使 用 する場 合 はいつでも、ファイアウォールログに「NATを使 用 する接 続 ( Connection
ASG V8 管 理 ガイド
227
8.3侵 入 防 御
8ネット ワークセキュリティ
using NAT) 」というメッセージが記 述 されます。 このオプションは、ステート フルプロト コルで
もステート レスプロト コルでも機 能 します。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ：このオプショ
ンは、ゲート ウェイルールを自 動 生 成 する場 合 に選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルールが【 DNAT/SNAT 】 リスト に表 示 されます。
4. NATルールを有 効 にします。
NATルールを有 効 にするには、ステータスアイコンをクリックします。
ルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
8.3侵入防御
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion Prevention) 】 メニ
ューで、ゲート ウェイのIPSルールを定 義 し、管 理 することができます。 侵 入 防 御 システム( IPS)
は、シグニチャに基 づくIPSルールセット を利 用 して攻 撃 を認 識 します。 システムは、ト ラフィックを
完 全 に分 析 し、ネット ワークに到 達 する前 に攻 撃 を自 動 的 にブロックします。既 存 のルールセット
と攻 撃 パターンは、パターン更 新 によって最 新 状 態 に更 新 されます。新 しいIPS攻 撃 パターンのシ
グニチャは、IPSルールとしてルールセット に自 動 的 にインポート されます。
8.3.1グローバル
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion
Prevention) 】 >>【グローバル( Global) 】 タブでは、Astaro Security Gatewayの侵 入 防 止 シ
ステム( IPS) を有 効 化 することができます。
228
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.3侵 入 防 御
図 71 IPS：侵 入 防 御 を有 効 にする
IPSを有 効 にするには、次 の手 順 に従 ってください。
1. 侵 入 防 御 システムを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【グローバルIPS設 定 ( Global IPS Settings) 】 エリ
アが編 集 可 能 になります。
2. 次 の設 定 を行 います。
ローカルネット ワーク(Local Networks)： 侵 入 防 御 システムで防 御 するネット ワークを
選 択 します。 ローカルネット ワークを選 択 しないと、侵 入 防 御 は自 動 的 に無 効 になり、ト ラ
フィックはモニタリングされません。
ポリシ(Policy)： ブロッキングルールがIPS攻 撃 シグネチャを検 出 したときに侵 入 防 御 シス
テムが使 用 するセキュリティポリシを選 択 します。
l
サイレント ド ロップ(Drop Silently)： データパケット は、他 のアクションなしでドロッ
プされます。
l
接 続 中 止 (Terminate Connection)： 中 止 データパケット ( TCPの場 合
はRST、UDP接 続 の場 合 はICMP Port Unreachable) が両 方 の通 信 パート ナー
に送 信 され、接 続 が終 了 します。
ASG V8 管 理 ガイド
229
8.3侵 入 防 御
8ネット ワークセキュリティ
注 - デフォルト では【サイレントドロップ( Drop Silently) 】 が選 択 されています。 通 常 はこ
の設 定 を変 更 する必 要 はありません。これは特 に、疑 わしい侵 入 者 に中 止 データパケッ
ト が悪 用 され、ゲート ウェイについての情 報 が引 き出 されてしまう可 能 性 があるためです。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ライブ ログ
侵 入 防 御 ライブログは、選 択 したIPSルールのモニタリングに使 用 できます。 ボタンをクリックして、
新 しいウィンドウでライブログを開 きます。
8.3.2攻 撃 パターン
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion
Prevention) 】 >>【攻 撃 パターン( Attack Patterns) 】 タブには、共 通 の攻 撃 パターンに従 ってグ
ループ分 けされたIPSルールが表 示 されます。 攻 撃 パターンは次 のようにまとめられています。
l
オペレーティングシステム固 有 の攻 撃 (Operating System Specific Attacks)： オ
ペレーティングシステム関 連 の脆 弱 性 を悪 用 しようとする攻 撃 。
l
サーバに対 する攻 撃 (Attacks Against Servers)： Webサーバ、メールサーバなどあ
らゆる種 類 のサーバを対 象 とする攻 撃 。
l
クライアント ソフト ウェアに対 する攻 撃 (Attacks Against Client Software)： Web
ブラウザ、マルチメディアプレーヤなどのクライアント ソフト ウェアを対 象 とする攻 撃 。
l
プロト コル異 常 (Protocol Anomaly)： ネット ワークの異 常 を探 す攻 撃 パターン。
l
マルウェア(Malware)： 所 有 者 のインフォームドコンセント なく、コンピュータシステムへの
侵 入 や破 壊 を行 うように設 計 されたソフト ウェア( ト ロイの木 馬 、DoS通 信 ツールなど) 。
パフォーマンス向 上 のために、会 社 のローカルネット ワークに導 入 されているサービスまたはソフト ウ
ェアに該 当 しないチェックボックスはチェックを外 してください。 たとえば、ローカルネット ワーク内
でWebサーバを運 用 していない場 合 は、 【 HTTPサーバ( HTTP Servers) 】 用 の選 択 を取 り消 す
ことができます。
各 グループに対 して、次 の設 定 を使 用 できます。
アクション(Action)： デフォルト で、グループ内 の各 ルールにはアクションが関 連 付 けられていま
す。 次 のアクションを選 択 できます。
230
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.3侵 入 防 御
l
破 棄 (Drop)： デフォルト 設 定 。 攻 撃 の疑 いがある試 行 が見 つかると、その原 因 である
データパケット はドロップされます。
l
警 告 (Alert)： 【破 棄 ( Drop) 】 設 定 と違 い、重 大 なデータパケット はゲート ウェイを通 過 で
きますが、IPSログにアラート メッセージが記 述 されます。
図 72 IPS：攻 撃 パターン
注 - 個 々 のIPSルールの設 定 を変 更 するには、 【侵 入 防 御 ( Intrusion Prevention) 】 >>【
詳 細 ( Advanced) 】 タブの【変 更 されたルール( Modified Rules) 】 ボックスを使 用 しま
す。Astaro Security GatewayV8で使 用 されているIPSルールの詳 細 なリスト は、Astaro
のWebサイト で参 照 できます。
追 加 の警 告 ルールを有 効 にする(Add Extra Warnings)： このオプションを選 択 すると、各 グ
ループにルールが追 加 され、IPS検 出 率 が向 上 します。 これらのルールは、明 示 的 な攻 撃 パター
ンよりも一 般 的 で曖 昧 なので、アラート の数 が増 える可 能 性 があります。 このため、これらのルー
ルのデフォルト アクションは【警 告 ( Alert) 】 であり、設 定 はできません。
通 知 (Notify)： このオプションを選 択 すると、このグループと一 致 するIPSイベント が発 生 するた
びに管 理 者 に通 知 が送 信 されます。 このオプションが有 効 になるのは、 【マネジメン
ト ( Management) 】 >>【通 知 ( Notifications) 】 >>【通 知 ( Notifications) 】 タブで侵 入 防 止
システムの通 知 機 能 を有 効 にした場 合 のみです。 さらに、送 信 される通 知 のタイプ( つまり、Eメー
ASG V8 管 理 ガイド
231
8.3侵 入 防 御
8ネット ワークセキュリティ
ルまたはSNMPト ラップ) は、ここでの設 定 によって決 まります。 また、通 知 設 定 の変 更 が有 効 にな
るまでは最 大 5分 かかる場 合 があります。
8.3.3DoS/フラッド防 御
【 DoS/フラッド防 御 ( Anti-DoS/Flooding) 】 タブでは、DoS( サービス拒 否 ) 攻 撃 とDDoS( 分 散
型 サービス拒 否 ) 攻 撃 から防 御 するためのオプションを設 定 できます。
一 般 にDoS攻 撃 とDDoS攻 撃 は、正 当 な要 求 がコンピュータリソースを使 用 できないようにしま
す。 シンプルな例 では、攻 撃 者 はサーバに無 意 味 なパケット を送 信 して過 負 荷 をかけ、パフォー
マンスに負 担 をかけます。 このような攻 撃 には大 規 模 な帯 域 幅 が必 要 となるため、いわゆるSYN
フラッド攻 撃 を使 用 する攻 撃 者 が増 え続 けています。この攻 撃 は、帯 域 幅 の過 負 荷 ではなく、シ
ステムリソースのブロックを目 的 としています。 この目 的 のために、攻 撃 者 は多 くの場 合 、偽 造 され
た送 信 元 アドレスを使 用 してサービスのTCPポート にSYNパケット を送 信 します。これに対 し、サー
バはTCP/SYN-ACKを送 り返 して、これに応 答 する送 信 元 アドレスからのTCP/ACKパケット を待 ち
続 けるため、接 続 がhalf-open状 態 になります。 ところが、送 信 元 アドレスは偽 造 されているた
め、応 答 は返 ってきません。 これらのhalf-open状 態 の接 続 により、サーバが対 応 できる接 続 数
が飽 和 状 態 になり、正 当 な要 求 に対 応 できなくなります。
このような攻 撃 は、特 定 時 間 内 にネット ワークに対 して送 信 されるSYN( TCP) 、UDP、ICMPパケ
ット の数 を制 限 することで回 避 できます。
TC P S Y Nフラ ッド 防 御
SYN( TCP) フラッド防 御 を有 効 にするには、次 の手 順 に従 います。
1. 【 DoS/フラッド 防 御 (Anti-DoS/Flooding)】 タブで、 【 TCP SYNフラッド 防 御 の使
用 (Use TCP SYN Flood Protection)】 チェックボックスにチェックを入 れます。
2. 次 の設 定 を行 います。
モード (Mode)： 次 のモードを使 用 できます。
232
l
送 信 元 アド レスと宛 先 アド レスの両 方 (Both Source and Destination
Addresses)： 送 信 元 IPアドレスと宛 先 IPアドレスの両 方 と一 致 するSYNパケット
をドロップする場 合 、このオプションを選 択 します。 まず、送 信 元 IPアドレスと一 致 す
るSYNパケット がフィルタされます。 次 に、要 求 がまだ多 すぎる場 合 には、宛 先 IPア
ドレスに従 って追 加 でフィルタされます。 このモードはデフォルト で設 定 されています。
l
宛 先 アド レスのみ(Destination Address Only)： 宛 先 IPアドレスのみに従 っ
てSYNパケット をドロップする場 合 、このオプションを選 択 します。
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
l
8.3侵 入 防 御
送 信 元 アド レスのみ(Source Address Only)： 送 信 元 IPアドレスのみに従 っ
てSYNパケット をドロップする場 合 、このオプションを選 択 します。
ログ(Logging)： このオプションを使 用 すると、ログレベルを選 択 できます。 以 下 のレベル
を設 定 できます。
l
オフ(Off)： ログを完 全 にオフにする場 合 は、このログレベルを選 択 します。
l
制 限 (Limited)： ログを1秒 あたり5パケット に制 限 する場 合 、このログレベルを選
択 します。 デフォルト ではこのレベルが設 定 されています。
l
すべて(Everything)： すべてのSYN( TCP) 接 続 試 行 を詳 細 にログする場 合 、こ
のログレベルを選 択 します。 SYN( TCP) フラッド攻 撃 により、ログが膨 大 になる可 能
性 があります。
送 信 元 パケット レート (Source Packet Rate)： ここに、送 信 元 IPアドレスに対 して許
可 される1秒 あたりのパケット レート を指 定 できます。
宛 先 パケット レート (Destination Packet Rate)： ここに、宛 先 IPアドレスに対 して許
可 される1秒 あたりのパケット レート を指 定 できます。
注 - ここで合 理 的 な値 を入 力 することは重 要 です。レート を高 く設 定 し過 ぎると、Web
サーバがそのように大 量 なSYN( TCP) パケット に対 処 しきれず、障 害 が発 生 する可 能 性
などがあります。 一 方 、レート を低 く設 定 し過 ぎると、ゲート ウェイが通 常 のSYN( TCP)
要 求 をブロックして、予 期 しない挙 動 をする可 能 性 があります。 各 システムの合 理 的 な
設 定 は、ハードウェアに大 きく依 存 します。 従 って、システムに適 した値 にデフォルト 値 を
置 き換 えてください。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
U D P フラッド 防 御
UDPフラッド防 御 機 能 は、UDPパケット フラッドを検 出 し、ブロックします。
UDPフラッド防 御 の設 定 は、TCP SYNフラッド防 御 の設 定 と同 じです。
I C MP フラッド 防 御
ICMPフラッド防 御 機 能 は、ICMPパケット フラッドを検 出 し、ブロックします。
ICMPフラッド防 御 の設 定 は、TCP SYNフラッド防 御 の設 定 と同 じです。
ASG V8 管 理 ガイド
233
8.3侵 入 防 御
8ネット ワークセキュリティ
8.3.4ポート スキャン防 御
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion
Prevention) 】 >>【ポートスキャン防 御 ( Anti-Portscan) 】 タブでは、一 般 的 なポート スキャン検
出 オプションを設 定 することができます。
図 73 IPS：ポート スキャン防 御 の設 定
ポート スキャンとは、セキュアなシステムで使 用 可 能 なサービスを探 るためにハッカーが用 いる手 段
です。攻 撃 者 は、システムに侵 入 したり、DoS攻 撃 を開 始 するために、ネット ワークサービスに関 す
る情 報 を必 要 としています。 このような情 報 を入 手 すると、攻 撃 者 はこれらのサービスにあるセキ
ュリティ上 の欠 陥 を悪 用 しようとします。 インターネット プロト コルTCPおよびUDPを使 用 しているネ
ット ワークサービスは、特 別 なポート からアクセス可 能 であり、このポート 割 り当 ては一 般 によく知 ら
れています。たとえば、SMTPサービスはTCPポート 25に割 り当 てられています。 サービスで使 用 さ
れるポート は、オープンであると見 なされます。これは、このようなポート への接 続 を確 立 することが
できるためです。一 方 、使 用 されていないポート はクローズと見 なされ、これらのポート への接 続 を
試 みると失 敗 します。 攻 撃 者 は、ポート スキャナという特 別 なソフト ウェアツールを利 用 してオープ
ンポート を探 します。 このプログラムは、攻 撃 対 象 のコンピュータ上 にある複 数 のポート に対 して接
続 を試 みます。 接 続 が成 功 したポート はオープンであるとツールに表 示 されます。こうして攻 撃 者
は、攻 撃 対 象 のコンピュータにおいてどのネット ワークサービスが使 用 可 能 であるかを示 す必 要 な
情 報 を入 手 します。
インターネット プロト コルTCPとUDPでは、使 用 可 能 なポート が全 部 で65535個 あるため、ポート
は非 常 に短 い間 隔 でスキャンされます。 サービスへ接 続 しようとする試 行 が異 常 に大 量 に発 生 し
ていることをゲート ウェイが検 出 した場 合 ( 特 に、これらの試 行 が同 じ送 信 元 アドレスから送 信 され
ている場 合 ) 、ゲート ウェイがポート スキャンを受 けている可 能 性 が高 くなります。 攻 撃 者 の疑 い
のある人 がネット ワーク上 のホスト またはサービスのスキャンを行 うと、ポート スキャン検 出 機 能 がこ
れを認 識 します。 オプションで、同 じ送 信 元 アドレスから繰 り返 されるポート スキャンを自 動 的 にブ
ロックすることができます。
234
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.3侵 入 防 御
技 術 的 に言 うと、ポート スキャンが検 出 されるのは、1つの送 信 元 IPアドレスの検 出 スコアが300ミ
リ秒 の時 間 枠 内 で21点 を超 えたときです。 検 出 スコアは次 のように計 算 されます。
l
1024未 満 のTCP宛 先 ポート に対 するスキャン = 3点
l
1024以 上 のTCP宛 先 ポート に対 するスキャン = 1点
ポート スキャン検 出 を有 効 するには、次 の手 順 に従 ってください。
1. 【ポートスキャン防 御 (Anti-Portscan)】 タブで、 【ポートスキャン検 出 (Portscan
Detection)】 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【グローバル設 定 ( Global Settings) 】 エリアが編 集 可 能
になります。
2. 次 の設 定 を行 います。
アクション(Action)： 次 のアクションを使 用 できます。
l
イベント のログのみ(Log Event Only)： ポート スキャンに対 する対 策 は行 われま
せん。 イベント のログが記 録 されるだけです。
l
ト ラフィックのド ロップ(Drop Traffic)： さらなるポート スキャンパケット は、ユーザに
通 知 することなくドロップされます。 ポート スキャナは、これらのポート がフィルタされたこ
とを報 告 します。
l
ト ラフィックの拒 否 (Reject Traffic)： さらなるポート スキャンパケット はドロップさ
れ、ICMP「destination unreachable/port unreachable( 宛 先 到 達 不 可 /ポー
ト 到 達 不 可 ) 」応 答 が送 信 者 に送 られます。 ポート スキャナは、これらのポート がク
ローズされたことを報 告 します。
ログを制 限 (Limit Logging)： ログメッセージの数 を抑 えたい場 合 に、このオプションを
有 効 にします。 ポート スキャン検 出 機 能 は、ポート スキャンが実 行 されているときに大 量 の
ログを生 成 します。 たとえば、ポート スキャンに使 用 されていると見 なされるそれぞれのSYN
パケット に対 して、ファイアウォールログにエント リが1つ生 成 されます。 このオプションを選 択
すると、ログが1秒 あたり5行 までに制 限 されます。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
8.3.5除 外
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion
Prevention) 】 >>【除 外 ( Exceptions) 】 タブでは、侵 入 防 止 から除 外 する送 信 元 ネット ワーク
と宛 先 ネット ワークを定 義 することができます。
ASG V8 管 理 ガイド
235
8.3侵 入 防 御
8ネット ワークセキュリティ
図 74 IPS：除 外 リスト
除 外 ルールを作 成 するには、次 の手 順 に従 います。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。 【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この除 外 を説 明 する名 前 を入 力 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。
l
侵 入 防 御 (Intrusion Prevention)： このオプションを選 択 すると、Astaro
Security GatewayのIPSが無 効 になります。
l
アンチポート スキャン(Anti-Portscan)： このオプションを選 択 すると、ネット ワーク
ホスト でオープンポート を探 すことを目 的 とする攻 撃 からの防 御 が無 効 になります。
l
TCP DoS/フラッド 防 御 (Anti-DoS/Flooding TCP)： 選 択 すると、TCPSYN
フラッド攻 撃 からの防 御 が無 効 になります。
l
UDP DoS/フラッド 防 御 (Anti-DoS/Flooding UDP)： 選 択 すると、UDPフラ
ッド攻 撃 からの防 御 が無 効 になります。
l
ICMP DoS/フラッド 防 御 (Anti-DoS/Flooding ICMP)： 選 択 すると、ICMP
フラッド攻 撃 からの防 御 が無 効 になります。
全 リクエスト に適 用 (For All Requests)： セキュリティチェックをスキップする条 件 を少 な
くとも1つ選 択 します。 条 件 の前 にあるドロップダウンリスト で 【 And 】 または【 Or 】 を選 択 し
て、複 数 の条 件 を論 理 的 に組 み合 わせることができます。 次 の条 件 を設 定 できます。
l
236
送 信 元 ホスト /ネット ワークで除 外 (Coming from These Source
Networks)： 選 択 して、この除 外 ルールのセキュリティチェックから除 外 する送 信
元 ホスト /ネット ワークを追 加 します。 条 件 を選 択 すると【ホスト /ネットワー
ク( Hosts/Networks) 】 ダイアログボックスが開 くので、各 ホスト またはネット ワークを
入 力 します。
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.3侵 入 防 御
l
除 外 するサービス(Using These Services)： 選 択 して、この除 外 ルールのセ
キュリティチェックから除 外 するサービスを追 加 します。 条 件 を選 択 すると【サービ
ス( Services) 】 ダイアログボックスが開 くので、各 サービスを追 加 します。
l
除 外 する宛 先 (Going to These Destinations)： 選 択 して、この除 外 ルー
ルのセキュリティチェックから除 外 するホスト /ネット ワークを追 加 します。 条 件 を選 択
すると【宛 先 ( Destinations) 】 ダイアログボックスが開 くので、各 ホスト またはネット
ワークを入 力 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。新 しい除 外 が【除 外 ( Exceptions)】 リスト に表 示 されま
す。
例 外 を編 集 または削 除 するには、対 応 するボタンをクリックします。
注 - ゲート ウェイの宛 先 アドレスを持 つパケット に対 する侵 入 防 御 を除 外 したい場 合 、 【宛
先 ( Destinations) 】 で 【すべて( Any) 】 を選 択 すると成 功 しません。 ゲート ウェイの内 部 アドレ
スに対 する侵 入 防 御 を除 外 したい場 合 には、代 わりに、 【内 部 ( アドレ
ス) ( Internal( Address) ) 】 など、ゲート ウェイのIPアドレスが含 まれるゲート ウェイのインタフェー
ス定 義 を選 択 する必 要 があります。
8.3.6詳 細
【ネットワークセキュリティ( Network Security) 】 >>【侵 入 防 御 ( Intrusion
Prevention) 】 >>【詳 細 ( Advanced) 】 タブでは、各 IPSルールを手 動 で変 更 し、攻 撃 パターン
グループから取 得 されるデフォルト ポリシを上 書 きできます。 熟 練 ユーザのみが設 定 してください。
変 更 したルールを作 成 するには、次 の手 順 に従 います。
1. 【変 更 されたルール(Modified Rules)】 ボックスで、「+」アイコンをクリックします。
【ルールの変 更 ( Modify Rule) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
ルールID(Rule ID)： 変 更 したいルールのIDを入 力 します。 ルールIDを検 索 するに
は、AstaroのWebサイト でIPSルールのリスト にアクセスします( HTML形 式 とXML形 式 の
両 方 が用 意 されています) 。 さらに、IPSログまたはIPSレポート でも決 定 できます。
このルールを無 効 化 (Disable this Rule)： このオプションを選 択 すると、該 当 IDの
ルールが無 効 になります。
選 択 しない場 合 、次 の2つのオプションを使 用 できます。
ASG V8 管 理 ガイド
237
8.3侵 入 防 御
8ネット ワークセキュリティ
l
通 知 の無 効 化 (Disable Notifications)： このオプションを選 択 すると、当 該
ルールが適 用 された場 合 に通 知 がもたらされません。
l
アクション(Action)： 各 ルールが関 連 付 けられるアクション。 次 のアクションを選 択
できます。
l 破 棄 (Drop)： 攻 撃 の疑 いがある試 行 が見 つかると、その原 因 であるデータ
パケット はドロップされます。
l
警 告 (Alert)： 【破 棄 ( Drop) 】 設 定 と違 い、重 大 なデータパケット はゲート
ウェイを通 過 できますが、IPSログにアラート メッセージが記 述 されます。
3. 【保 存 (Save)】 をクリックします。
【変 更 されたルール( Modified Rules) 】 ボックスにルールが表 示 されます。 変 更 を確 定 す
るためには、ページの一 番 下 にある【適 用 ( Apply) 】 をクリックする必 要 もあります。
注 -【変 更 されたルール( Modified Rules) 】 ボックスにルールIDを追 加 し、アクションを【警
告 ( Alert) 】 に設 定 した場 合 、この変 更 が有 効 になるのは、ルールが属 するグループが【攻 撃 パ
ターン( Attack Patterns) 】 タブで有 効 になっている場 合 のみです。 該 当 する攻 撃 パターング
ループが無 効 になっている場 合 、各 IPSルールへの変 更 は効 果 がありません。
パフォーマン スチューニン グ
さらに、侵 入 防 御 システムのパフォーマンスを向 上 し、誤 検 出 による警 告 を最 低 限 に抑 えるため
に、IPSルールの範 囲 を内 部 サーバの一 部 に制 限 することができます。 たとえば、 【攻 撃 パター
ン( Attack Patterns) 】 タブで 【 HTTPサーバ( HTTP Servers) 】 グループを有 効 にし、特 定
のHTTPサーバをここで選 択 したとします。 この場 合 、侵 入 防 御 システムがHTTPサーバへの攻 撃
を認 識 しても、関 連 付 けられたアクション( 【ドロップ( Drop) 】 または【アラート ( Alert) 】 ) は、影 響
を受 けるサーバのIPアドレスとここで選 択 されたHTTPサーバのIPアドレスが一 致 する場 合 に限 り、
適 用 されます。
次 のサーバタイプに対 して、IPSルールの範 囲 を制 限 できます。
l
HTTP：HTTPサーバに含 まれるすべての攻 撃 パターングループ
l
DNS： 攻 撃 パターングループDNS
l
SMTP： 攻 撃 パターングループExchangeおよびSendmail
l
SQL： データベースサーバに含 まれるすべての攻 撃 パターングループ
238
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.4サーバロードバランシング
8.4サーバロードバランシング
サーバロードバランシング機 能 により、受 信 接 続 ( 例 ：SMTP 、またはHTTP ト ラフィック) をゲート ウ
ェイの背 後 の複 数 サーバに分 散 できます。 負 荷 分 散 は、送 信 元 IPアドレスに基 づいて、1時 間
持 続 して行 われます。 同 じ送 信 元 IP IPアドレスからの2つの要 求 の間 隔 がこの間 隔 を超 えると、
負 荷 分 散 は再 決 定 されます。 ト ラフィックの分 散 は単 純 なラウンドロビンアルゴリズムに基 づいて
います。
サーバプールのすべてのサーバはICMP ping、TCP 接 続 の確 立 、またはHTTP/S要 求 により監
視 されます。 障 害 が発 生 すると、影 響 を受 けたサーバは負 荷 分 散 に使 用 されなくなり、問 題 と
考 えられる送 信 元 IPの持 続 性 は却 下 されます。
注 - HTTP/S要 求 のリターンコードは1xx Informational、2xx Success、3xx
Redirection、または4xx Client Errorのいずれかであることが必 要 です。 その他 のすべの
リターンコードは障 害 の発 生 を意 味 します。
8.4.1負 荷 分 散 ルール
【ネットワークセキュリティ( Network Security) 】 >>【サーバロードバランシング( Server Load
Balancing) 】 >>【負 荷 分 散 ルール( Balancing Rules) 】 タブで、Astaro Security Gateway
ソフト ウェアの負 荷 分 散 ルールを作 成 できます。 ルールの作 成 後 、サーバ間 での重 み分 散 を追
加 で定 義 し、インタフェースパーシスタンスを設 定 することができます。
図 75 サーバロードバランシング：負 荷 分 散 ルールリスト
負 荷 分 散 のルールを作 成 するには、以 下 の手 順 に従 います。
1. 【負 荷 分 散 ルール(Balancing Rules)】 タブで、 【新 規 負 荷 分 散 ルール(New Load
Balancing Rule)】 をクリックします。
【新 規 負 荷 分 散 ルールの作 成 ( Create New Load Balancing Rule) 】 ダイアログボックス
が開 きます。
ASG V8 管 理 ガイド
239
8.4サーバロードバランシング
8ネット ワークセキュリティ
2. 次 の設 定 を行 います。
サービス(Service)： 負 荷 分 散 するネット ワークサービスを選 択 します。
仮 想 サーバ(Virtual Server)： 受 信 ト ラフィックの元 のターゲット ホスト 。 このアドレスは
通 常 、ゲート ウェイの外 部 アドレスと同 じになります。
実 際 のサーバ(Real Servers)： 交 替 でサービスのト ラフィックを受 け付 けるホスト 。
チェックタイプ(Check Type)： サービスモニタリング用 に【 TCP】 ( TCP接 続 の確
立 ) 、 【 UDP】 ( UDP接 続 の確 立 ) 、 【 Ping 】 ( ICMP Ping) 、 【 HTTPホスト ( HTTP
Host) 】 ( HTTP要 求 ) 、または【 HTTPSホスト ( HTTPS Hosts) 】 ( HTTPS要 求 ) のいずれ
かを選 択 します。 【 UDP】 を使 用 する場 合 、ping要 求 が最 初 に送 信 され、成 功 した場 合
は、続 いてペイロード0のUDPパケット が送 信 されます。 pingが成 功 しなかった場 合
や、ICMPポート に到 達 できない場 合 、このサーバはダウンしているとみなされます。HTTPお
よびHTTPS要 求 の場 合 は、 【 URLのチェック( Check URL) 】 を入 力 します。ホスト 名 は指
定 してもしなくても構 いません( 例 ：index.htmlあるい
はwww.example.com/index.html) 。
チェック間 隔 (Check Interval)： チェック間 隔 を秒 単 位 で入 力 します。 デフォルト は15
秒 です。つまり、 15秒 ごとに、実 際 の全 サーバの健 全 性 状 態 がチェックされます。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ：このチェックボ
ックスは、ゲート ウェイルールを自 動 生 成 する場 合 に選 択 します。 これらのルールにより、ト
ラフィックをホスト から実 際 のサーバに送 ることができます。
仮 想 サーバアド レスのシャット ダウン(Shutdown Virtual Server Address)( オプシ
ョン) ：このチェックボックスは、追 加 のアドレスを負 荷 分 散 用 の仮 想 サーバとして使 用 する
場 合 ( 「追 加 アドレス」の章 を参 照 ) にのみ使 用 できます。 すべてのリアルサーバが利 用 不
可 になった場 合 、追 加 アドレスインタフェースは自 動 的 にシャット ダウンされます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルールは【負 荷 分 散 ( Balancing Rules) 】 リスト に表 示 されます。 これはデフォルト
で無 効 になっています( ステータスアイコンは赤 ) 。
4. 負 荷 分 散 ルールを有 効 にします。
ルールを有 効 にするには、ステータスアイコンをクリックします。
ステータスアイコンが緑 色 に変 わります。
負 荷 分 散 ルールを編 集 または削 除 するには、該 当 するボタンをクリックします。
240
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.4サーバロードバランシング
例 ：それぞれ192.168.66.10および192.168.66.20というIPアドレスの2台 のHTTPサーバ
がDMZにあるとします。 ゲート ウェイの外 部 インタフェースで受 信 したHTTPト ラフィックを両 方 の
サーバに均 等 に分 散 したいと仮 定 します。 負 荷 分 散 ルールをセット アップするには、各 サーバのホ
スト 定 義 を選 択 あるいは作 成 します。 それらをhttp_server_1およびhttp_server_2とします。
次 に、 【新 規 負 荷 分 散 ルールの作 成 ( Create New Load Balancing Rule) 】 ダイアログボックス
で、 【サービス( Service) 】 として【 HTTP】 を選 択 します。 さらに、 【仮 想 サーバ( Virtual Server) 】
としてゲート ウェイの外 部 アドレスを選 択 します。 最 後 に、 【実 際 のサーバ( Real Servers) 】 ボック
スにホスト 定 義 を入 力 します。
重 み分 散 およびインタフェースパーシスタンス
負 荷 分 散 サーバ間 で重 みを分 散 し、それらの間 にインタフェースパーシスタンス設 定 するには、以
下 の手 順 に従 ってください。
1. 負 荷 分 散 ルールの【編 集 (Edit)】 ボタンをクリックします。
【負 荷 分 散 ルールの編 集 ( Edit Load Balancing Rule) 】 ダイアログボックスが開 きます。
2. 【リアルサーバ(Real Servers)】 ボックスのヘッダで【スケジューラ(Scheduler)】ボタン
をクリックします。
【スケジューラの編 集 ( Edit Scheduler) 】 ダイアログボックスが開 きます。
3. 次 の設 定 を行 います。
加 重 (Weight)： 加 重 とは、あるサーバが処 理 するト ラフィック量 を他 のサーバに対 して相
対 的 に示 すもので、0～ 100の間 で設 定 できます。 加 重 ラウンドロビンアルゴリズムが使
用 され、値 が大 きいほど、該 当 サーバにルーティングされるト ラフィックが多 くなります。 相 対
的 な値 であるため、合 計 して100にする必 要 はありません。 たとえば、サーバ1の値 を100
に、サーバ2の値 を50に、サーバ3の値 を0に設 定 することなどができます。 この場 合 、サー
バ2のト ラフィック量 はサーバ1の半 分 となり、サーバ3は他 のサーバが使 用 可 能 でない場
合 にのみ使 用 されます。 0の値 は、より値 が大 きい他 のサーバが常 に使 用 されることを示 し
ます( 他 のインタフェースが使 用 可 能 であれば) 。
パーシステンス(Itf. Persistence:)： インタフェースパーシスタンスとは、クライアント から
の後 続 の接 続 が常 に同 じアップリンクインタフェース経 由 でルーティングされるようにする技
術 です。 パーシスタンスのデフォルト のタイムアウト 時 間 は1時 間 です。 この負 荷 分 散 ルー
ルのインタフェースパーシスタンスを無 効 化 することもできます。
4. 【保 存 (Save)】 をクリックします。
【スケジューラの編 集 ( Edit Scheduler) 】 ダイアログボックスが終 了 し、設 定 が保 存 されま
す。
ASG V8 管 理 ガイド
241
8.5VoIP
8ネット ワークセキュリティ
5. 【保 存 (Save)】 をクリックします。
【負 荷 分 散 ルールの編 集 ( Edit Load Balancing Rule) 】 ダイアログボックスが閉 じます。
8.5VoIP
VoIP( Voice over Internet Protocol) は、インターネット または他 のIPベースのネット ワークを通 し
た音 声 会 話 のルーティングです。Astaro Security Gateway は、IPネット ワーク上 で音 声 信 号
を伝 送 するために最 もよく使 用 される次 のプロト コルのサポート を提 供 しています。
l
SIP
l
H.323
8.5.1SIP
Session Initiation Protocol( SIP) は2つ以 上 の通 信 パート ナー間 のセッションの設 定 、変 更 、
および終 了 のための信 号 を送 るプロト コルです。 SIPは主 に音 声 または音 声 通 話 の確 立 と終 了
処 理 に使 用 します。 SIPはTCP をポート 5060で使 用 して、コール設 定 時 にエンドポイント 間 で使
用 する動 的 ポート 範 囲 をネゴシエート します。 動 的 範 囲 内 のすべてのポート を開 くとセキュリティ
に重 大 な問 題 が生 じるため、ゲート ウェイでSIPト ラフィックをインテリジェント に処 理 することができ
ます。これは、特 別 なコネクショント ラッキングヘルパによって実 現 します。このヘルパは制 御 チャネ
ルをモニタリングし、どの動 的 ポート が現 在 使 用 されているかを判 断 して、制 御 チャネルがビジーで
あるときはこれらのポート のみをト ラフィックが通 過 するようにします。 これを行 うために、SIPプロト コ
ルを介 した通 信 を可 能 にする適 切 なファイアウォールルールを作 成 するために、SIPサーバとクライ
アント ネット ワーク定 義 の両 方 を指 定 する必 要 があります。
242
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.5VoIP
図 76 VoIP SIP：VoIP SIPの有 効 化
SIPプロト コルのサポート を有 効 にするには、以 下 の手 順 に従 います。
1. 【 SIP】 タブで、SIPプロト コルのサポート を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり【グローバルSIP設 定 ( Global SIP Settings) 】 エリ
アが編 集 可 能 になります。
2. 次 の設 定 を行 います。
SIPサーバネット ワーク(SIP Server Networks)： ここで、SIPクライアント の接 続 先 と
して許 可 されるSIPサーバ( ISPが提 供 ) を選 択 します。セキュリティ上 の理 由 から、 【すべ
て( Any) 】 は選 択 しないでください。
SIPクライアント ネット ワーク(SIP Client Networks)： SIP通 信 の開 始 や応 答 を許
可 されるSIPクライアント のホスト /ネット ワークを選 択 します。 SIPクライアント とはLAN内 のエ
ンドポイント であり、他 のSIPクライアント とのリアルタイムな双 方 向 通 信 に関 与 します。
厳 格 モード の有 効 化 (Enable Strict Mode)( オプション) ：セキュリティを強 化 するに
は、このオプションを選 択 します。 ただし、ISPとの接 続 で問 題 が発 生 する場 合 は、厳 格
モードを無 効 にしてください。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
ASG V8 管 理 ガイド
243
8ネット ワークセキュリティ
8.5VoIP
8.5.2H.323
H.323とは、ITU-T( 国 際 電 気 通 信 連 合 ) が公 開 した国 際 マルチメディア通 信 プロト コル標 準 で
あり、あらゆるパケット 交 換 網 上 で音 声 ・映 像 通 信 セッションを提 供 するプロト コルを規 定 していま
す。 H.323は、VoIP( ボイスオーバーIP) やIPベースのテレビ会 議 で一 般 的 に使 用 されます。
H.323では、ポート 1720でTCPを使 用 して、エンドポイント 間 で使 用 する動 的 ポート 範 囲 をコー
ルのセット アップ時 にネゴシエート します。 動 的 範 囲 内 ですべてのポート を開 くと、セキュリティ上 で
重 大 な問 題 が発 生 するため、ゲート ウェイはインテリジェント ベースでH.323関 連 のト ラフィックを
許 可 することができます。これは、特 別 なコネクショント ラッキングヘルパによって実 現 します。このヘ
ルパは制 御 チャネルをモニタリングし、どの動 的 ポート が現 在 使 用 されているかを判 断 して、制 御
チャネルがビジーであるときはこれらのポート のみをト ラフィックが通 過 するようにします。 この目 的 を
達 成 するためには、H.323プロト コルでの通 信 を可 能 にする適 切 なファイアウォールルールを作 成
するために、H.323ゲート キーパとクライアント ネット ワーク定 義 の両 方 を指 定 する必 要 がありま
す。
図 77 VoIP H.323：VoIP H.323の有 効 化
H.323プロト コルのサポート を有 効 にするには、以 下 の手 順 に従 います。
1. 【 H.323 】 タブで、H.323プロト コルのサポート を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【グローバルH.323設 定 ( Global H.323
Settings) 】 エリアが編 集 可 能 になります。
244
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.6詳 細
2. 次 の設 定 を行 います。
H.323ゲート キーパ(H.323 Gatekeeper)： H.323ゲート キーパを選 択 します。
H.323ゲート キーパは、ゾーン内 のすべてのH.323クライアント ( マイクロソフト
のNetMeetingなどのエンドポイント ) をコント ロールします。 より具 体 的 には、ゲート キーパ
はLAN上 のゾーン内 のすべてのH.323コールに対 するモニタとして機 能 します。 ゲート キー
パの最 重 要 タスクは、シンボルエイリアスアドレスとIPアドレスとの変 換 です。
H.323クライアント (H.323 Client)： ここで、H.323接 続 を開 始 する元 のホスト /ネット
ワークと宛 先 のホスト /ネット ワークを選 択 できます。 H.323クライアント とはLAN内 のエンド
ポイント であり、他 のH.323クライアント とのリアルタイムな双 方 向 通 信 に関 与 します。
厳 格 モード の有 効 化 (Enable Strict Mode)( オプション) ：セキュリティを強 化 するに
は、このオプションを選 択 します。 ただし、ISPとの接 続 で問 題 が発 生 する場 合 は、厳 格
モードを無 効 にしてください。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
8.6詳細
【ネットワークセキュリティ( Network Security) 】 >>【詳 細 ( Advanced) 】 メニューのタブを使 用
すると、ジェネリックプロキシ、SOCKSプロキシ、IDENTリバースプロキシなど追 加 のネット ワークセ
キュリティ機 能 を設 定 することができます。
8.6.1汎 用 プロキシ
ジェネリックプロキシ( 別 名 「ポート フォワーダ」) は、DNATとマスカレーディングの両 機 能 を組 み合
わせており、特 定 のサービスへのすべての受 信 ト ラフィックを任 意 のサーバに転 送 ( フォワーディン
グ) します。 標 準 DNATとの違 いは、ジェネリックプロキシでは送 信 接 続 についても要 求 の送 信
元 IPアドレスをインタフェースのIPアドレスに書 き換 える点 です。 さらに、宛 先 ( ターゲット ) ポート 番
号 も変 更 することができます。
ASG V8 管 理 ガイド
245
8.6詳 細
8ネット ワークセキュリティ
図 78 ジェネリックプロキシ：ルールリスト
ジェネリックプロキシルールを追 加 するには、次 の手 順 に従 います。
1. 【ジェネリックプロキシ (Generic Proxy)】 タブで、 【新 規 ジェネリックプロキシルー
ル(New Generic Proxy Rule)】 をクリックします。
【新 規 ジェネリックプロキシルールの作 成 ( Create New Generic Proxy Rule) 】 ダイアログ
ボックスが開 きます。
2. 次 の設 定 を行 います。
インタフェース(Interface)： 受 信 接 続 のインタフェースを選 択 します。
サービス(Service)： プロキシを使 用 するト ラフィックのサービス定 義 を選 択 します。
ホスト (Host)： ト ラフィックの転 送 先 とするターゲット ホスト を選 択 します。
サービス(Service)： プロキシを使 用 するト ラフィックのターゲット サービスを選 択 します。
許 可 ネット ワーク(Allowed Networks)： ポート 転 送 を適 用 するネット ワークを選 択 し
ます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルールが【ジェネリックプロキシ ( Generic Proxy) 】 ルールリスト に表 示 されます。
4. ジェネリックプロキシルールを有 効 にします。
ルールを有 効 にするには、ステータスアイコンをクリックします。
これでルールが有 効 になります( ステータスアイコンは緑 ) 。
ルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
8.6.2SOCKSプロキシ
SOCKS とは、クライアント サーバ型 アプリケーションがネット ワークファイアウォールのサービスを透 過
的 に使 用 できるようにするインターネット プロト コルです。 ファイアウォール内 にある多 くのクライアント
アプリケーションが、インターネット 上 のホスト と通 信 するために使 用 します。例 としては、IRC/インス
タント メッセージングクライアント 、FTPクライアント や、Windows SSH/Telnetクライアント です。 フ
246
ASG V8 管 理 ガイド
8ネット ワークセキュリティ
8.6詳 細
ァイアウォールの内 側 にあるこれらのクライアント は、外 側 にあるサーバにアクセスしたい場 合 、その
代 わりにSOCKSプロキシサーバに接 続 します。 このプロキシサーバは、クライアント が外 部 サーバに
アクセスする適 格 性 をコント ロールし、要 求 をサーバに受 け渡 します。クライアント アプリケーション
は、SOCKS 4またはSOCKS 5というプロト コルバージョンを明 示 的 にサポート している必 要 がありま
す。
SOCKSのデフォルト ポート は1080です。 ほぼすべてのクライアント にこのデフォルト ポート 設 定 が導
入 されているため、通 常 は設 定 不 要 です。SOCKSとNATの違 いは、SOCKSが「バインド」要 求 (
クライアント の代 わりにポート でリスンする機 能 。わずかなクライアント だけがこれをサポート していま
す) もサポート しており、SOCKS 5ではユーザ認 証 が可 能 である点 です。
SOCKSプロキシを有 効 にする場 合 、プロキシへのアクセス権 がある1つ以 上 のネット ワークを定 義
しなければなりません。 ユーザ認 証 が必 要 である場 合 、SOCKSプロキシの使 用 を許 可 するユー
ザまたはグループも選 択 する必 要 があります。
注 - ユーザ認 証 を使 用 しない場 合 、SOCKSプロキシはSOCKS 4プロト コルとSOCKS 5プロト コ
ルの両 方 で使 用 できます。 ユーザ認 証 を選 択 した場 合 、SOCKS 5のみが機 能 します。プロキ
シにSOCKS 5モードでホスト 名 を解 決 させる場 合 、DNSプロキシも有 効 にする必 要 がありま
す。有 効 にしないと、DNS解 決 は失 敗 します。
SOCKSプロキシを設 定 するには、次 の手 順 に従 ってください。
1. 【 SOCKS プロキシ (SOCKS Proxy)】 タブで、SOCKSプロキシを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【 SOCKSプロキシオプション( SOCKS Proxy Options) 】 エ
リアが編 集 可 能 になります。
2. 次 の設 定 を行 います。
許 可 ネット ワーク(Allowed Networks)： SOCKSプロキシの使 用 を許 可 するネット ワー
クを選 択 します。
ユーザ認 証 を有 効 にする(Enable User Authentication)： このオプションを選 択 す
ると、ユーザはSOCKSプロキシへのログイン時 にユーザ名 とパスワードを入 力 しなければなら
なくなります。 ユーザ認 証 をサポート しているのがSOCKS 5のみであるため、SOCKS 4は
自 動 的 に無 効 になります。
許 可 されたユーザ(Allowed Users)： SOCKSプロキシの使 用 を許 可 するユーザまたは
グループを選 択 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ASG V8 管 理 ガイド
247
8.6詳 細
8ネット ワークセキュリティ
8.6.3IDENTリバースプロキシ
IDENTプロト コルは、リモート サーバがアクセス元 クライアント の身 元 を簡 単 に確 認 するために使 用
します。 IDENTプロト コルは暗 号 化 されず、スプーフィングが簡 単 ですが、多 くのサービスではいま
だにこのプロト コルを使 用 しており、場 合 によっては必 須 です。
IDENTリレーを設 定 するには、次 の手 順 に従 ってください。
1. 【 IDENTリバースプロキシ (IDENT Reverse Proxy)】 タブで、IDENTリレーを有 効 に
します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【グローバル設 定 ( Global Settings) 】 エリアが編 集 可 能
になります。
2. 次 の設 定 を行 います。
内 部 ホスト への転 送 (Forward to Internal Hosts)( オプション) ：IDENTクエリは
ゲート ウェイの接 続 追 跡 でカバーされないため、マスカレーディングが使 用 されている場 合
は「スタック」します。 ゲート ウェイの内 側 にあるマスカレーディングされたホスト にIDENTクエリ
を受 け渡 すためには、 【内 部 ホストへの転 送 ( Forward to Internal Hosts) 】 オプションを
選 択 します。 実 際 のIP接 続 は転 送 されません。 代 わりに、ゲート ウェイが内 部 クライアント
にIDENT応 答 を要 求 し、その文 字 列 を要 求 元 サーバに転 送 します。 この方 法 は、主
要 IRCクライアント とFTPクライアント に組 み込 まれた大 部 分 の「ミニIDENT」サーバで機 能 し
ます。
デフォルト 応 答 (Default Response)： IDENTリレーを有 効 にすると、ゲート ウェイ
はIDENT要 求 への応 答 をサポート します。 システムは、接 続 を開 始 したローカルサービス
を問 わず常 に、 【デフォルト応 答 ( Default Response) 】 ボックスに入 力 した文 字 列 で応 答
します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
248
ASG V8 管 理 ガイド
9Webセキュリティ
この章 では、当 製 品 の基 本 的 はWebセキュリティ機 能 を設 定 する方 法 を説 明 します。 Astaro
Security Gateway.
この章 には次 のト ピックが含 まれます。
l
Webフィルタリング
l
Webフィルタプロファイル
l
アプリケーションコント ロール
l
FTPプロキシ
Webadminの【ウェブセキュリティ統 計 ( Web Security Statistics) 】 ページには、時 間 、ト ラフィ
ック、ならびに上 位 ユーザのサーフィンに基 づいた最 もサーフィンの多 いドメインの概 要 が表 示 され
ます。さらに、ブロックされた上 位 Webサイト カテゴリが表 示 されます。 各 セクションには、 【詳
細 ( Detail) 】 リンクが含 まれています。リンクをクリックするとWebAdminのそれぞれのレポーティン
グセクションが表 示 され、そこでさらなる統 計 情 報 を参 照 できます。
注 - 収 集 されるWebサーフィンデータはセッションベースです。 近 似 値 を得 るために、上 位 ドメ
インおよびユーザのすべてのデータが以 下 のように収 集 されます。各 Web要 求 は、ト ラフィック量
および要 求 間 隔 を考 慮 に入 れてログされます。 5分 間 アクティビティがなく、ユーザあるいはドメイ
ンに対 する要 求 が記 録 されないと、そのセッションは終 了 したものとみなされます。 5分 間 アクティ
ビティがない場 合 でもユーザがまだWebページを表 示 している可 能 性 を考 えて、 【経 過 時
間 ( Time Spent) 】 の値 には常 に1分 余 計 に追 加 されます。 レポーティングデータは15分 ごとに
更 新 されます。
クライアント が無 効 なURLを要 求 した場 合 、Webフィルタはその要 求 をログしますが、その要 求 に
応 えることはできません。これらのリンクは【ウェブセキュリティ統 計 ( Web Security Statistics) 】
ページでエラーとして計 上 されます。 これらはレポーティングやWebフィルタのエラーではなく、ほと
んどの場 合 、ページ作 成 者 がWebコンテンツに無 効 または不 正 なリンクを配 置 したために発 生
します。
9.1Webフィルタリング
9Webセキュリティ
9.1Webフィルタリング
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 メニューのタブを
使 用 すると、Astaro Security Gatewayソフト ウェアをHTTP/Sキャッシングプロキシとして設 定 す
ることができます。Astaro Security GatewayのHTTP/Sプロキシは、シンプルなキャッシングに加
え、HTTP/Sの使 用 が許 可 されているネット ワークに対 して豊 富 なWebフィルタ技 術 を提 供 してい
ます。 これには、シグニチャデータベースとスパイウェアフィルタリング技 術 が定 期 的 に更 新 される2
つの異 なるウイルススキャンエンジンを使 用 したウイルスおよびスパイウェア感 染 の防 御 機 能 もあ
り、受 信 ト ラフィックと送 信 ト ラフィックの両 方 を保 護 します。 さらに、Astaro Security Gateway
では、高 度 なWebサイト 分 類 を採 用 しており、世 界 最 大 のリアルタイムURLデータベースを使 用
してさまざまなWebページへのアクセスをコント ロールできます。
9.1.1グローバル
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【グローバ
ル( Global) 】 タブでは、Webフィルタのグローバル設 定 を実 行 できます。
図 79 Webフィルタ( Web Filter) ：グローバル設 定
Webフィルタを設 定 するには、次 の手 順 に従 ってください。
250
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
1. 【グローバル(Global)】 タブで、Webフィルタを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、 【グローバルHTTP設 定 ( Global HTTP Settings) 】 エリア
が編 集 可 能 になります。
2. 許 可 するネット ワークを選 択 します。
Webフィルタの使 用 を許 可 するネット ワークを選 択 します。 デフォルト で、Webフィルタはク
ライアント 要 求 をTCPポート 8080でリスンし、 【許 可 ネットワーク( Allowed Networks) 】 ボ
ックスにリスト されたネット ワーク内 のすべてのクライアント に対 して接 続 を許 可 します。
3. HTTPS(SSL)ト ラフィックのスキャン(Scan HTTPS(SSL)Traffic)：
HTTPト ラフィックに加 えHTTPSト ラフィックもスキャンする場 合 は、このチェックボックスにチェッ
クを入 れます。
4. オペレーションのモード を選 択 します。
ユーザ認 証 が必 要 なオペレーションモードを選 択 する場 合 には、Webフィルタの使 用 を許
可 するユーザとグループを選 択 する必 要 があります。 次 のオペレーションモードを使 用 でき
ます。
l
標 準 (Standard)： 標 準 モードでは、Webフィルタはデフォルト でクライアント 要 求
をポート 8080でリスンし、 【許 可 ネットワーク( Allowed Network) 】 ボックスにリスト
されたネット ワーク内 のすべてのクライアント に対 して接 続 を許 可 します。このモードで
使 用 する場 合 、クライアント はブラウザの設 定 でWebフィルタにHTTPプロキシを指
定 していることが必 要 です。
認 証 モード を選 択 します。
l
なし(None)： 認 証 をしない場 合 に選 択 します。
l
Active Directory SSO： 【定 義 およびユーザ( Definitions &
Users) 】 >>【認 証 サーバ( Authentication Servers) 】 >>【サー
バ( Servers) 】 タブでActive Directoryシングルサインオン( SSO) を設 定 した
場 合 、これを選 択 します。 これにより、NTLMユーザ認 証 が認 証 クライアント
で使 用 されます。 動 作 が保 証 されるのはInternet Explorerのみです。この
モードで使 用 する場 合 、クライアント はブラウザの設 定 でWebフィルタにHTTP
プロキシを指 定 していることが必 要 です。 【ユーザ/グルー
プ( Users/Groups) 】 テキスト ボックスで、Webフィルタの使 用 を許 可 する
ユーザやグループを選 択 または追 加 できます。
l
エージェント (Agent)： Astaro Authentication Agent( AAA) を使 用 する
場 合 に選 択 します。 Webフィルタを使 用 するためには、エージェント と認 証 を
開 始 する必 要 があります。 【ユーザ/グループ( Users/Groups) 】 テキスト ボッ
ASG V8 管 理 ガイド
251
9.1Webフィルタリング
9Webセキュリティ
クスで、Webフィルタの使 用 を許 可 するユーザやグループを選 択 または追 加
できます。
l
Apple OpenDirectory SSO： 【定 義 およびユーザ( Definitions &
Users) 】 >>【認 証 サーバ( Authentication Servers) 】 >>【サー
バ( Servers) 】 タブでLDAPを設 定 しており、Apple OpenDirectoryを使 用
している場 合 、これを選 択 します。 さらに、Webフィルタが正 しく機 能 するよう
にするためには、 【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリン
グ( Web Filtering) 】 >>【詳 細 ( Advanced) 】 タブで、MAC OS Xシングル
サインオンKerberos鍵 ファイルをアップロードする必 要 があります。 Webフィル
タをこのモードで使 用 する場 合 、クライアント はブラウザ設 定 でWebフィルタを
指 定 しておく必 要 があります。 【ユーザ/グループ( Users/Groups) 】 テキスト
ボックスで、Webフィルタの使 用 を許 可 するユーザやグループを選 択 または追
加 できます。 SafariブラウザはSSOをサポート していません。
l
基 本 ユーザ認 証 (Basic User Authentication)： このモードでは、各 ク
ライアント はWebフィルタを使 用 する前 にこのWebフィルタに対 して自 己 認 証
する必 要 があります。 サポート される認 証 方 式 について詳 しくは、 「定 義 およ
びユーザ」 >>「認 証 」 を参 照 してください。このモードで使 用 する場 合 、クライ
アント はブラウザの設 定 でWebフィルタにHTTPプロキシを指 定 していることが
必 要 です。 【ユーザ/グループ( Users/Groups) 】 テキスト ボックスで、Webフ
ィルタの使 用 を許 可 するユーザやグループを選 択 または追 加 できます。
l
eDirectory SSO： 【定 義 およびユーザ( Definitions & Users) 】 >>【認
証 サーバ( Authentication Servers) 】 >>【サーバ( Servers) 】 タブ
でeDirectoryを設 定 した場 合 、これを選 択 します。このモードで使 用 する場
合 、クライアント はブラウザの設 定 でWebフィルタにHTTPプロキシを指 定 して
いることが必 要 です。 【ユーザ/グループ( Users/Groups) 】 テキスト ボックス
で、Webフィルタの使 用 を許 可 するユーザやグループを選 択 または追 加 でき
ます。
注 - eDirectoryおよびActive Directoryのシングルサインオン( SSO) モー
ドの場 合 、Webフィルタはアクセス先 のIPアドレスと資 格 情 報 を最 大 15分
間 キャッシュします。Apple OpenDirectory SSOの場 合 、キャッシュできる
のはグループ情 報 のみです。これは、認 証 サーバへの負 荷 を軽 減 するため
に行 われます。 逆 に言 うと、ユーザ、グループ、またはアクセスしているユーザ
のログインステータスの変 更 がWebフィルタによって反 映 されるまで、最 大 15
分 かかります。
252
ASG V8 管 理 ガイド
9Webセキュリティ
l
9.1Webフィルタリング
透 過 (Transparent)： 透 過 モードでは、ポート 80( SSLを使 用 している場 合 は
ポート 443) でクライアント ブラウザアプリケーションが行 うすべての接 続 はインターセプ
ト され、クライアント 側 の設 定 なしでWebフィルタにリダイレクト されます。 クライアント
がWebフィルタサーバを意 識 することは全 くありません。 このモードの利 点 は、追 加
の管 理 やクライアント 側 での設 定 が不 要 であることで、短 所 は、処 理 できるの
がHTTP( ポート 80) 要 求 のみであることです。 そのため、 透 過 モードを選 択 すると、
クライアント のプロキシ設 定 は無 効 になります。
フル透 過 モード (Full Transparent Mode)( オプション) ：クライアント の
送 信 元 IPをゲート ウェイのIPに置 き換 えず、そのまま維 持 する場 合 は、 【完 全
透 過 モード ( Full Transparent Mode) 】 チェックボックスにチェックを入 れま
す。 これは、クライアント がパブリックIPアドレスを使 用 しており、Webフィルタに
よって隠 すべきではない場 合 に便 利 です。 このオプションはブリッジモードのみ
で意 味 があるため、ブリッジモードでしか利 用 できません。
注 - 透 過 モードでは、WebフィルタはHTTP要 求 からNTLM認 証 ヘッダを削 除 しま
す。 さらに、WebフィルタはこのモードではFTP要 求 を処 理 できません。 クライアン
ト がこのようなサービスにアクセスする必 要 がある場 合 は、ファイアウォールでポー
ト ( 21) を開 く必 要 があります。 一 部 のWebサーバは、ポート 80以 外 のポート 経
由 でスト リーミング動 画 や音 声 などのデータを送 信 します。 これらの要 求 は、Web
フィルタが透 過 モードで機 能 しているときは検 知 されません。 このようなト ラフィック
にも対 応 したい場 合 には、他 のモードを使 用 するか、これらを許 可 する明 確 なファ
イアウォールルールを入 力 する必 要 があります。
認 証 モード を選 択 します。
l
なし(None)： 認 証 をしない場 合 に選 択 します。
l
エージェント (Agent)： Astaro Authentication Agent( AAA) を使 用 する
場 合 に選 択 します。 Webフィルタを使 用 するためには、エージェント と認 証 を
開 始 する必 要 があります。 【ユーザ/グループ( Users/Groups) 】 テキスト ボッ
クスで、Webフィルタの使 用 を許 可 するユーザやグループを選 択 または追 加
できます。
l
ブラウザ： 選 択 すると、Webフィルタへの自 己 認 証 のためのログインダイアログ
がユーザのブラウザに表 示 されます。
5. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ASG V8 管 理 ガイド
253
9.1Webフィルタリング
9Webセキュリティ
重 要 - SSLスキャニングを透 過 モードと組 み合 わせて有 効 にすると、一 部 のSSL接 続 ( SSL
VPNト ンネルなど) が失 敗 します。 SSL VPN接 続 を有 効 にするには、対 応 するターゲット ホスト
を【透 過 モードスキップリスト ( Transparent Mode Skiplist) 】 に追 加 します( 「 Web セキュリテ
ィ」 >>「 Web フィルタリング」 >>「詳 細 」 を参 照 ) 。
9.1.2アンチウイルス/マルウェア
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【アンチウイ
ルス/マルウェア( AntiVirus/Malware) 】 タブでは、ウイルス、ワーム、その他 のマルウェアといった
有 害 で危 険 なコンテンツを伝 送 するWebト ラフィックからネット ワークを保 護 することを目 的 とする
オプションを設 定 することができます。
図 80 Webフィルタ( Web Filter) ：アンチウイルス/マルウェア設 定 の構 成
254
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
アンチウイルススキ ャン( An ti Vi r u s S c a n n i n g)
送 信 および受 信 Webト ラフィックをスキャンするためには、 【アンチウイルススキャンを使 用 ( Use
AntiVirus Scanning) 】 オプションを選 択 します。Astaro Security Gateway は、最 高 のセキュ
リティを実 現 するさまざまなアンチウイルスエンジンを備 えています。
l
シングルスキャン(Single Scan)： デフォルト の設 定 で、最 高 のパフォーマンスを提 供 し
ます。
l
デュアルスキャン(Dual Scan)： すべてのWebト ラフィックに対 し、異 なるウイルススキャナ
を使 用 してスキャンを2回 行 うことにより、認 識 率 を最 大 限 に高 めます。
最 大 スキャンサイズ(Max Scanning Size)： アンチウイルスエンジンでスキャンする最 大 ファイ
ルサイズを指 定 します。 このサイズを超 えるファイルはスキャン対 象 外 となります。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ファイ ル拡 張 子 フィ ルタ( F i l e Ex te n s i on F i l te r )
この機 能 では、ファイルの拡 張 子 ( 実 行 可 能 バイナリなど) に基 づいて、 【ブロックするファイル拡 張
子 ( Blocked File Extensions) 】 ボックスにファイル拡 張 子 がリスト されている特 定 のタイプのファイ
ルをWebト ラフィックからフィルタします。 ファイル拡 張 子 を追 加 したり、ブロック対 象 から外 すファイ
ル拡 張 子 を削 除 したりすることができます。 ファイル拡 張 子 を追 加 するには、 【ブロックするファイル
拡 張 子 ( Blocked File Extensions) 】 ボックスの「+」アイコンをクリックし、ブロックしたいファイル拡
張 子 ( exeなど) を入 力 します。区 切 り文 字 のドット は不 要 です。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
注 - 暗 号 化 されたzipアーカイブは、悪 意 あるコンテンツについてスキャンすることはできず、ウイ
ルススキャナを通 過 します。暗 号 化 されたzipファイルに含 まれるマルウェアからネット ワークを保
護 するために、zipファイル拡 張 子 をすべてブロックすることを検 討 してください。
MI MEタイプ フィ ルタ( MI ME Ty pe F i l te r )
ブロックするMIMEタイプを追 加 するには、 【ブロックするMIMEタイプ( Blocked MIME Types) 】 ボッ
クスの「+」アイコンをクリックし、MIMEタイプを入 力 します( image/gifなど) 。 ここではワイルドカー
ド( *) を使 用 できます( audio/*など) 。
アクテ ィブコン テン ツ削 除 ( Ac ti v e C on te n t Re m ov a l )
【アクティブコンテンツ削 除 ( Active Content Removal) 】 エリアでは、Webページに埋 め込 まれた
オブジェクト ( 例 ：マルチメディアファイル) など特 定 のWebコンテンツが自 動 的 に削 除 されるように
設 定 することができます。 次 の設 定 が可 能 です。
ASG V8 管 理 ガイド
255
9.1Webフィルタリング
9Webセキュリティ
l
埋 め込 みオブジェクト の削 除 (Remove Embedded Objects)： 選 択 すると、この機
能 はすべての<OBJECT>タグをHTMLページから削 除 し、ActiveX、Flash、Javaなどの動
的 コンテンツを受 信 HTTPト ラフィックから除 去 します。
l
JavaScriptの無 効 化 (Disable JavaScript)： 選 択 すると、この機 能 はHTMLペー
ジ内 のすべての<SCRIPT>タグを無 効 にするため、HTMLページに埋 め込 まれた機 能 やイン
クルードされた機 能 が無 効 になります。
9.1.3URLフィルタリング
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【 URLフィル
タリング( URL Filtering) 】 タブでは、特 定 の種 類 のWebサイト に対 するアクセスをコント ロールす
るデフォルト 設 定 を構 成 できます。
注 - 常 に、ホワイト リスト に対 する照 会 が先 に行 われます。 つまり、各 Webサイト リクエスト をホ
ワイト リスト と比 較 して、一 致 が見 つからなかった場 合 、ブラックリスト と比 較 します。 ブラックリスト
との一 致 が見 つかると、Webサイト はブロックされます。
256
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
図 81 Webフィルタ( Web Filter) ：URLフィルタリングの設 定
次 の設 定 が可 能 です。
l
選 択 の許 可 (Allow)/ブロック(Block)：選 択 したWebサイト カテゴリを許 可 するかブロッ
クするかを決 定 します。 次 のオプションを使 用 できます。
l 次 の条 件 に一 致 しないコンテンツを許 可 (Allow Content that Does not
Match the Criteria Below)： このオプションを選 択 すると、選 択 したWebサイ
ト カテゴリはブロックされますが、選 択 していない他 のすべてのカテゴリは許 可 されま
ASG V8 管 理 ガイド
257
9.1Webフィルタリング
9Webセキュリティ
す。
l
次 の条 件 に一 致 しないコンテンツをブロック(Block Content that Does not
Match the Criteria Below)： このオプションを選 択 すると、選 択 したカテゴリを
除 くすべてのWebサイト カテゴリがブロックされます。
デフォルト オプションは【許 可 ( Allow) 】 です。 【ブロック( Block) 】 に切 り替 えると、これに従 っ
て下 のオプションの意 味 は「逆 に」なり、表 示 されるテキスト で 「ブロック( Block) 」 が「許
可 ( Allow) 」に( あるいはその逆 に) 置 き換 えられます。
注 - 分 類 データベースにアクセスするためには、アップスト リームのファイアウォールでTCP
ポート 6000またはTCPポート 80を開 放 する必 要 があります。 親 プロキシを設 定 している
場 合 、データベースへのすべての要 求 は親 プロキシ経 由 で送 信 されます。
l
スパイウェアの伝 染 及 び通 信 をブロック(Block Spyware Infection and
Communication)： スパイウェアとは、ユーザに認 識 させることなくシステムを精 査 して、
ユーザの行 動 を広 告 主 に報 告 する悪 意 のあるソフト ウェアです。 このオプションを選 択 する
と、サーバからクライアント へのト ラフィックでスパイウェアを検 出 し、ブロックします。 これによ
り、ネット ワーク内 のコンピュータが新 しいスパイウェアに感 染 するのを防 ぐことができます。 さ
らに、この機 能 を有 効 にすると、すでにインスト ールされているスパイウェアアプリケーションに
ついても検 出 し、ト ラフィックをブロックできます。 この結 果 、スパイウェアが収 集 したユーザ情
報 がインターネット に送 信 されなくなります。 このオプションは、ページの最 初 のオプションを【
許 可 ( Allow) 】 に設 定 した場 合 に限 り使 用 できます。
注 - スパイウェアカテゴリは、使 用 可 能 な18グループのいずれにも割 り当 てることができま
せん。したがって、 【スパイウェアの伝 染 及 び通 信 をブロック( Block Spyware Infection
and Communication) 】 チェックボックスにチェックを入 れることによってのみ、スパイウェア
提 供 者 から防 御 することができます。
l
258
しきい値 より評 判 が低 いURLをブロック(Block URLs with a Reputation Below
a Threshold of)： Webサイト は「信 頼 される( Trusted) 」 、 「中 立 ( Neutral) 」 、 「疑
わしい( Suspicious) 」 または「悪 意 のある」に分 類 できますが、「悪 意 のある」はリスト され
ていません( これは、「悪 意 のある」がリスト に含 まれていると、該 当 するすべてのサイト に対
してしきい値 オプションをまったく使 用 しないことが許 可 されてしまうためです) 。 未 分 類
のWebサイト を「未 確 認 ( Unverified) 」 と呼 びます。 ネット ワークからアクセスできるWeb
サイト がどのような評 判 を持 つべきかを決 定 することができます。 選 択 したしきい値 を下 回
るWebサイト はブロックされます。 このオプションは、ページの最 初 のオプションを【許
可 ( Allow) 】 に設 定 した場 合 に限 り使 用 できます。 Webサイト の評 判 について詳 しく
は、http://www.trustedsource.orgを参 照 してください。
ASG V8 管 理 ガイド
9Webセキュリティ
l
9.1Webフィルタリング
これらのWebサイト カテゴリをブロック(Block these Website Categories)： ブロック
するWebサイト カテゴリを選 択 します。 ページの最 初 のオプションを【ブロック( Block) 】 に設
定 した場 合 、このオプションは【これらのWeb サイトカテゴリを許 可 ( Allow these Website
Categories) 】 に変 わります。 ここで選 択 するWebサイト カテゴリとその下 位 のサブカテゴリ
のマッピングは、 【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web
Filtering) 】 >>【 URLフィルタリングカテゴリ( URL Filtering Categories) 】 タブで変 更 でき
ます。
注 - Webサイト が正 しく分 類 されていないと思 われる場 合 は、次 のURLレポート フォーム
を使 用 して新 しいカテゴリをご提 案 いただけます。
l
未 分 類 Webサイト へのアクセスをブロック(URL Filtering Categories)： このオプショ
ンを選 択 すると、未 知 のコンテンツを持 つWebサイト をブラウザで開 けなくなります。 この機
能 は、好 ましくないと思 われるWebサイト が相 応 の分 類 をされていない場 合 のフォールバッ
クセキュリティメカニズムと考 えることができます。
この機 能 のメリット の1つに、いわゆるフィッシング攻 撃 からユーザを保 護 できることがあげら
れます。 一 般 にフィッシングEメールには、偽 造 Webサイト への疑 わしいリンクが記 載 されて
います。この目 的 は、ユーザをだまして個 人 情 報 や機 密 情 報 を提 供 させることです。 まだ
有 害 と分 類 されていない場 合 、これらのリンクは「未 分 類 ( Uncategorized) 」 または「疑 わ
しい( Suspicious) 」 カテゴリとなります。 このオプションを選 択 すると、これらのカテゴリはブロ
ックされます。 これにより、フィッシングメッセージが送 信 されても、ユーザは偽 造 URLを開 くこ
とができません。
ページの最 初 のオプションを【ブロック( Block) 】 に設 定 した場 合 、このオプションは【未 分
類 Web サイトへのアクセスを許 可 ( Allow Access to Uncategorized Websites) 】 に変
わります。
l
ブロックする追 加 URL/サイト (Additional URLs/Sites to Block)： 特 定 のURLま
たはWebサイト をカテゴリを問 わずブロックしたい場 合 には、ここに入 力 します。 これにより、こ
こにリスト されたWebサイト を、たとえ許 可 されるカテゴリに属 していてもブロックすることができ
るという効 果 があります。 ここでは正 規 表 現 が許 可 されま
す( ^https?://.*wikipedia.orgなど) 。 1つのURLだけをブロックする場 合 は、URL全
体 を入 力 します( http://www.wikipedia.orgなど) 。wikipedia.orgのような表 現 を
使 用 すると、対 象 のURLだけではなく、検 索 結 果 や類 似 URLの一 部 にも一 致 してしまうた
め、意 図 しないブロックにつながる可 能 性 があります。
ページの最 初 のオプションを【ブロック( Block) 】 に設 定 した場 合 、このオプションは【許 可 す
る追 加 URL/サイト ( Additional URLs/Sites to Allow) 】 に変 わります。
l
常 に許 可 するURL/サイト (Always Allow these URLs/Sites)： 特 定 のURLまた
はWebサイト を、カテゴリやブロックリスト のエント リを問 わず明 示 的 に許 可 したい場 合 には、
ここに入 力 します。 ここでは正 規 表 現 が許 可 されます( ^https?://.*wikipedia.orgな
ASG V8 管 理 ガイド
259
9.1Webフィルタリング
9Webセキュリティ
ど) 。 1つのURLだけを許 可 する場 合 は、URL全 体 を入 力 しま
す( http://www.wikipedia.orgなど) 。wikipedia.orgのような表 現 を使 用 すると、
対 象 のURLだけではなく、検 索 結 果 や類 似 URLの一 部 にも一 致 してしまうため、意 図 しな
いブロックにつながる可 能 性 があります。
ページの最 初 のオプションを【ブロック( Block) 】 に設 定 した場 合 、このオプションは【これら
のURL/サイトを常 にブロック( Always Block these URLs/Sites) 】 に変 わります。
l
ブロックのバイパスが許 可 されるユーザ/グループ(Users/Groups Allowed to
Bypass Blocking)： 特 定 のユーザまたはグループに対 し、デフォルト でブロックされる
ページへのアクセスを許 可 する場 合 には、これらのユーザ/グループをこのドラッグアンドドロッ
プボックスに追 加 します。 これにより、ブロックされるページに【 URLをブロック解 除 ( Unblock
URL) 】 ボタンが表 示 されるようになります。 このボタンをクリックすると新 しいページが開 き、
ユーザは資 格 情 報 およびブロックページへのアクセスを希 望 する理 由 を入 力 できます。 こ
のユーザが、直 接 またはグループ経 由 でバイパスブロックボックスに含 まれていれば、ブロック
ページにアクセスできるようになります。 バイパスはログに記 録 され、レポート の一 部 となりま
す( 【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【ブロック状 況 ( Blocked Usage) 】 を参 照 ) 。
l
SafeSearch： Google、Bing、Yahooの各 検 索 エンジンに対 してSafeSearchの使 用
を強 制 することができます。 SafeSearchフィルタは、子 供 にふさわしくないコンテンツ( 犯 罪
や不 正 ) を検 索 結 果 から削 除 します。 有 効 にすると、Webフィルタ経 由 でWebサーフィン
をするユーザはフィルタをオフにできません。
9.1.4URLフィルタリングカテゴリ
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【 URLフィル
タリングカテゴリ( URL Filtering Categories) 】 タブでは、Webサイト カテゴリからカテゴリグループへ
のマッピングをカスタマイズできます。これは【 URLフィルタリング( URL Filtering) 】 タブで選 択 できま
す。Astaro Security Gateway は、60種 類 のWebサイト カテゴリを識 別 し、アクセスをブロックす
ることができます。 高 度 なURL分 類 方 法 により、疑 わしいWebサイト の識 別 における精 度 と完 全
性 が保 証 されます。 データベースに含 まれていないWebページをユーザが要 求 すると、URL
がWebクローラに送 信 され、自 動 的 に分 類 されます。
注 - Webサイト が正 しく分 類 されていないと思 われる場 合 は、次 のURLレポート フォームを使
用 して新 しいカテゴリをご提 案 いただけます。
Webサイト カテゴリをカテゴリグループに割 り当 てるには、次 の手 順 に従 ってください。
1. 編 集 するカテゴリグループで 【編 集 (Edit)】 をクリックします。
【フィルタカテゴリの編 集 ( Edit Filter Category) 】 ダイアログボックスが開 きます。
260
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
2. サブカテゴリを選 択 します。
グループに追 加 ( またはグループから削 除 ) するサブカテゴリのチェックボックスにチェックを入 れ
ます( またはチェックを外 します) 。
3. 【保 存 (Save)】 をクリックします。
指 定 した設 定 でグループが更 新 されます。
あるいは、新 しいフィルタカテゴリを作 成 することもできます。 次 の手 順 で実 行 します。
1. ページ上 部 にある【新 規 フィルタカテゴリ(New Filter Category)】 ボタンをクリックしま
す。
【フィルタカテゴリの作 成 ( Create Filter Category) 】 ダイアログボックスが開 きます。
2. 名 前 を入 力 します。
新 しいフィルタカテゴリを説 明 する名 前 を入 力 してください。
3. サブカテゴリを選 択 します。
グループに追 加 するサブカテゴリのチェックボックスを選 択 します。
4. 【保 存 (Save)】 をクリックします。
指 定 した設 定 でグループが更 新 されます。
カテゴリを編 集 または削 除 するには、対 応 するボタンをクリックします。
9.1.5除 外
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【除
外 ( Exceptions) 】 タブでは、クライアント ネット ワーク、ユーザ/グループ、ドメインのホワイト リスト を
定 義 できます。 これらのリスト に含 まれるすべてのエント リを、特 定 のWebセキュリティサービスの
対 象 外 にすることができます。
ASG V8 管 理 ガイド
261
9.1Webフィルタリング
9Webセキュリティ
図 82 Webフィルタ( Web Filter) ：除 外 リスト
除 外 ルールを作 成 するには、次 の手 順 に従 います。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。 【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この除 外 を説 明 する名 前 を入 力 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。
262
l
認 証 (Authentication)： Webフィルタを認 証 モードで実 行 している場 合 、送 信
元 ホスト /ネット ワークまたはターゲット ドメインの認 証 をスキップできます。
l
キャッシング(Caching)： 選 択 すると、特 定 のドメインまたは送 信 元 ホスト /ネット
ワークのキャッシングが無 効 になります。
l
アンチウイルス(AntiVirus)： 選 択 すると、ウイルスやト ロイの木 馬 などの好 ましくな
いコンテンツがメッセージに含 まれていないかチェックするウイルススキャンが無 効 にな
ります。
l
拡 張 子 ブロック(Extension Blocking)： 選 択 すると、ファイル拡 張 子 フィルタが
無 効 になります。このフィルタは、拡 張 子 に基 づいて特 定 タイプのファイルが含 まれる
コンテンツをブロックするために使 用 します。
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
l
MIMEタイプブロック(MIME Type Blocking)： 選 択 すると、MIME タイプフィル
タが無 効 になります。このフィルタは、特 定 のMIMEタイプのコンテンツをブロックするた
めに使 用 します。
l
URLフィルタ(URL Filter)： 選 択 すると、URL フィルタが無 効 になります。このフィ
ルタは、特 定 の種 類 のWebサイト へのアクセスをコント ロールします。
l
コンテンツ削 除 (Content Removal)： 選 択 すると、( マルチメディアファイルなど
の) 埋 め込 みオブジェクト やJavaScriptといったWebページ内 の特 殊 コンテンツの削
除 がバイパスされます。
l
SSLスキャン(SSL Scanning)： 選 択 すると、要 求 内 のWebページに対 す
るSSLスキャンがスキップされます。 これは、オンラインバンキングのWebサイト
や、SSLインターセプションがうまく機 能 しないWebサイト などで有 用 です。技 術 的 な
理 由 から、このオプションは透 過 Webフィルタモードでは機 能 しません。 透 過 モード
では、代 わりに「 透 過 スキップリスト ( Transparent Skiplist) 」を使 用 してください( 「
詳 細 」 を参 照 ) 。標 準 モードでは、クライアント が何 を送 信 するのかに応 じて、宛 先
ホスト またはIPアドレスのみに基 づいて除 外 ルールを作 成 できます。 URL全 体 では
なくカテゴリに基 づく除 外 では、ホスト 名 のみが分 類 されます。
l
証 明 書 信 頼 性 チェック(Certificate Trust Check)： 選 択 すると、HTTPS サー
バ証 明 書 の信 頼 性 チェックがスキップされます。 Webフィルタが認 証 ありの透 過 モー
ドで機 能 している場 合 、ユーザ/グループの照 合 に基 づく証 明 書 の信 頼 性 チェックを
スキップすることは技 術 的 に不 可 能 です( 【ユーザ/グループからの全 リクエストに適
用 ( For All Requests Coming From These Users/Groups) 】 ) 。
l
証 明 書 日 付 チェック(Certificate Date Check)： 選 択 すると、HTTPS証 明 書
の日 付 が有 効 であるかどうかのチェックがスキップされます。
労 働 協 議 会 のスタッフや会 員 など、アクティビティをロギングすべきではない人 がいる場 合 に
は、次 の2つのオプションが便 利 です。
l
アクセスしたページ(Accessed Pages)： 選 択 すると、アクセスしたページのログが
記 録 されなくなります。 これらのページ要 求 は、レポート からも除 外 されます。
l
ブロックされたページ(Blocked Pages)： 選 択 すると、ブロックされたページのログ
が記 録 されなくなります。 これらのページ要 求 は、レポート からも除 外 されます。
全 リクエスト に適 用 (For All Requests)： セキュリティチェックをスキップする条 件 を少 な
くとも1つ選 択 します。 条 件 の前 にあるドロップダウンリスト で 【 And 】 または【 Or 】 を選 択 し
て、複 数 の条 件 を論 理 的 に組 み合 わせることができます。 次 の条 件 を設 定 できます。
l
送 信 元 ホスト /ネット ワークで除 外 (Coming from These Source
Networks)： 選 択 して、この除 外 ルールのセキュリティチェックから除 外 する送 信
ASG V8 管 理 ガイド
263
9.1Webフィルタリング
9Webセキュリティ
元 ホスト /ネット ワークを追 加 します。 条 件 を選 択 すると【ホスト /ネットワー
ク( Hosts/Networks) 】 ダイアログボックスが開 くので、各 ホスト またはネット ワークを
入 力 します。
l
これらのURLと照 合 (Matching These URLs)： 選 択 して、この除 外 ルールの
セキュリティチェックから除 外 するターゲット ドメインを追 加 します。 条 件 を選 択 する
と【ターゲットドメイン( Target Domains) 】 ダイアログボックスが開 くので、各 ドメインを
追 加 します。 例 ：^https?://[^.]*\.domain.comは、ドメインのすべてのサブドメ
インへのHTTP( S) 接 続 と一 致 します。
注 - SSLスキャニングを有 効 にして透 過 モードを使 用 している場 合 、ターゲット ドメ
インをIPアドレスで入 力 する必 要 があります。 IPアドレスを入 力 しないと、除 外 は
技 術 的 な理 由 で失 敗 します。
l
除 外 するユーザ/グループ(Coming from These Users/Groups)： 選 択 し
て、この除 外 ルールのセキュリティチェックから除 外 するユーザまたはユーザグループを
追 加 します。 条 件 を選 択 すると【ユーザ/グループ( Users/Groups) 】 ダイアログボッ
クスが開 くので、各 ユーザまたはグループを入 力 します。 また、標 準 モードでは認 証
が存 在 しないため、特 定 のユーザ/グループの照 合 は機 能 しません。
l
除 外 するWebサイト カテゴリ(Going to These Categories of Websites)：
選 択 すると、特 定 のカテゴリに対 するセキュリティチェックがスキップされます。 条 件 を
選 択 するとリスト が開 くので、カテゴリを選 択 します。
3. 【保 存 (Save)】 をクリックします。
新 しい除 外 が【除 外 ( Exceptions)】 リスト に表 示 されます。
例 外 を編 集 または削 除 するには、対 応 するボタンをクリックします。
9.1.6詳 細
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【詳
細 ( Advanced) 】 タブには、キャッシングやポート の設 定 など、Webフィルタの各 種 設 定 オプション
が用 意 されています。
スト リーミング設 定 ( S tr e a m i n g S e tti n gs )
スト リーミングコンテンツに対 するコンテンツスキャンをバイパス(Bypass Content Scanning
for Streaming Content)： このオプションを選 択 すると、一 般 的 な音 声 ・動 画 スト リーミング
コンテンツがコンテンツスキャンの対 象 外 となります。 このオプションを無 効 にすると、大 部 分 のメデ
264
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
ィアスト リームは事 実 上 無 効 になります。これは、このようなスト リームを合 理 的 な時 間 内 でスキャ
ンすることができないためです。 そのため、このオプションは選 択 することを推 奨 します。
透 過 モード スキップ リスト ( Tr a n s pa r e n t Mode S k i pl i s t)
このオプションは、Webフィルタを透 過 モードで実 行 している場 合 のみ有 用 です。 【透 過 モード時
にスキップするホスト /ネット ( Skip Transparent Mode Hosts/Nets) 】 ボックスにリスト されている
ホスト とネット ワークは、HTTPト ラフィックの透 過 的 インターセプションの対 象 とはなりません。 ボック
スは、送 信 元 ホスト /ネット ワーク用 に1つ、宛 先 ホスト /ネット ワーク用 に1つあります。 これらのホ
スト とネット ワークに対 して、HTTPト ラフィックを( プロキシなしで) 許 可 するには、 【リスト内 のホスト /
ネットワークのHTTPトラフィックを許 可 ( Allow HTTP Traffic for Listed Hosts/Nets) 】 チェック
ボックスにチェックを入 れます。 このチェックボックスにチェックを入 れない場 合 は、ここでリスト されてい
るホスト とネット ワークに特 定 のファイアウォールルールを定 義 する必 要 があります。
プロキ シ の自 動 設 定 ( P r ox y Au to C on f i gu r a ti on )
プロキシの自 動 設 定 とは、ブラウザにフェッチされるプロキシ自 動 設 定 ファイル( PACファイル) を一
元 的 に提 供 するための機 能 です。 ブラウザはこれを受 けて、PACファイルに記 述 された詳 細 に従 っ
てプロキシ設 定 を構 成 します。
PACファイルの名 前 はwpad.dat、MIMEタイプはapplication/x-ns-proxy-autoconfigであ
り、ASGから提 供 されるものです。このファイルには、次 のように、テキスト ボックスに入 力 した情 報
が含 まれています。
function FindProxyForURL(url, host)
{ return "PROXY proxy.example.com:8080; DIRECT"; }
上 の関 数 は、すべてのページ要 求 をポート 8080上 のproxy.example.comというサーバのプロキ
シにリダイレクト するようブラウザに指 示 しています。 プロキシに到 達 できなければ、インターネット へ
の直 接 接 続 が確 立 されます。
ネット ワークでPACファイルを提 供 するには、次 の方 法 があります。
l
ブラウザ設 定 経 由 で提 供 する： 【プロキシ自 動 設 定 の有 効 化 ( Enable Proxy Auto
Configuration) 】 オプションを選 択 すると、ASG Web フィルタ経 由 でPACファイルを使 用
できるようになります。このとき、次 のようなURLを使 用 します。http://IP-ofASG:8080/wpad.dat このファイルを使 用 するには、プロキシを使 用 するブラウザの自 動 プ
ロキシ構 成 設 定 にこのURLを入 力 します。
l
DHCP経 由 で提 供 する：DHCPサーバがクライアント のIPアドレスと併 せてPACファイルのURL
を受 け渡 すようにすることもできます。 これには、DHCPサーバの設 定 で 【 HTTPプロキシ自
動 設 定 の有 効 化 ( Enable HTTP Proxy Auto Configuration) 】 オプションを選 択 しま
す( 「ネットワークサービス」 >>「 DHCP」 の章 を参 照 してください) 。 これにより、ブラウザ
ASG V8 管 理 ガイド
265
9.1Webフィルタリング
9Webセキュリティ
がPACファイルを自 動 的 にフェッチし、それに従 って設 定 を構 成 します。
注 - DHCP経 由 での提 供 は、マイクロソフト のInternet Exploreのみで機 能 します。 そ
の他 すべてのブラウザでは、PACファイルを手 動 で提 供 する必 要 があります。
その他 の設 定
Webフィルタポート (Web Filtering Port)： ここで、Webフィルタがクライアント の要 求 に対 し
て使 用 するポート 番 号 を定 義 できます。 デフォルト は8080です。
注 - これが適 用 されるのは、プロキシを透 過 モードで操 作 していない場 合 のみです。
アクセスしたページのログ(Log Accessed Pages)： 選 択 すると、要 求 のユーザ名 とクライアン
ト IPとともに、アクセスしたURLのログが記 録 されます。
ブロックされたページのログ(Log Blocked Pages)： 選 択 すると、要 求 のユーザ名 とクライアン
ト IPとともに、ブロックされたURLのログが記 録 されます。
注 - ログオプションは、除 外 ( 「除 外 」 の項 を参 照 ) またはプロファイルのフィルタアクション( 「 Web
セキュリティ」 >>「 Web フィルタプロファイル」 >>「フィルタアクション」 を参 照 ) を利 用 して個 別 に
設 定 することもできます。
スキャン不 可 能 なファイルと暗 号 化 されたファイルをブロック(Block Unscannable and
Encrypted Files)： スキャンできないファイルをブロックするには、このオプションを選 択 します。
スキャンできない理 由 はいくつかありますが、ファイルが暗 号 化 されているか、破 損 している可 能 性
があります。
MIMEブロッキングでHTTP本 文 を検 査 (MIME Blocking Inspects HTTP Body)：
HTTPヘッダのみならず、HTTPボディも、ブロックされた MIME タイプに対 してチェックされます。 この
機 能 をオンにすると、パフォーマンスが低 下 する可 能 性 があります。
許 可 されるターゲット サービス(Allowed Target Services)： 【許 可 されるターゲットサービ
ス( Allowed Target Services) 】 ボックスでは、Webフィルタのアクセスが許 可 されるターゲット
サービスを選 択 できます。 デフォルト 設 定 は、HTTP( ポート 80) 、HTTPS( ポート 443) 、FTP(
ポート 21) 、LDAP( ポート 389) 、LDAP-SSL( ポート 636) 、Web フィルタ( ポート 8080) 、Astaro
Spam Release( ポート 3840～ 4840) 、およびAstaro WebAdmin( ポート 4444) などのターゲッ
ト サービス( ポート ) で構 成 されています。これらは、通 常 は安 全 に接 続 でき、ブラウザで一 般 に使
用 されています。
266
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
デフォルト 文 字 セット (Default Charset)： このオプションは、 【ダウンロードマネージ
ャ( Download Manager) 】 ウィンドウでプロキシがファイル名 をどのように表 示 するかに影 響 を与
えます。 外 国 語 の文 字 セット でエンコードされているURL( およびURLで参 照 されるファイル名 )
は、サーバが別 の文 字 セット を送 信 する場 合 を除 き、ここで指 定 されている文 字 セット からUTF8に変 換 されます。 ダブルバイト 文 字 セット を使 用 する国 または地 域 では、このオプションを当 該
国 または地 域 の「ネイティブ」文 字 セット に設 定 する必 要 があります。
ド メインの検 索 (Search Domain)： ここで、最 初 のDNSルックアップで結 果 が返 されなかっ
た( "NXDOMAIN") 場 合 に検 索 される追 加 のドメインを追 加 することができます。 最 初 のDNSル
ックアップの次 に、2番 目 のDNS要 求 が開 始 され、ここで指 定 したドメインをオリジナルのホスト 名
に追 加 します。 例 ：ユーザが「http://wiki, meaning to address
wiki.intranet.example.com」と入 力 します。 ただし、URLは、 【ドメイン検 索 ( Search
Domain) 】 フィールドに「intranet.example.com」と入 力 していなければ解 決 できません。
認 証 タイムアウト (Authentication Timeout)： このオプションを使 用 すると、透 過 的 なユー
ザ認 証 機 能 を使 用 しているときにユーザ認 証 の試 行 を行 う間 隔 を秒 単 位 で設 定 できます。
認 証 レルム(Authentication Realm)： 認 証 レルムとは、プロキシが基 本 ユーザ認 証 モード
で機 能 しているときに、ブラウザが認 証 要 求 とともに表 示 する送 信 元 の名 前 です。 認 証 レルム
は、RFC 2617に基 づいて保 護 スペースを定 義 します。 ここでは任 意 の文 字 列 を指 定 できます。
H TTP /S 親 プロ キシ ルーティ ング( H TTP /S P a r e n t P r ox y
Rou ti n g)
親 プロキシは、多 くの場 合 、政 府 承 認 のプロキシサーバを通 してインターネット アクセスをルーティ
ングする必 要 のある国 で必 要 とされます。 1つ以 上 の親 プロキシの使 用 がセキュリティポリシで求
められている場 合 、ここで親 プロキシを追 加 または選 択 できます。
ボックスが空 の場 合 、まず、親 プロキシの定 義 を作 成 してください。 以 下 の手 順 に従 ってください。
1. ボックスヘッダの「+」アイコンをクリックします。
【親 プロキシの追 加 ( Add Parent Proxy) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この親 プロキシを説 明 する名 前 を入 力 してください。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
これらのホスト にプロキシを使 用 (Use Proxy for These Hosts)： 親 プロキシを使 用
するホスト をこのボックスに追 加 します( 例 ：*.wikipedia.org) 。 ここではパターンマッチを
使 用 できます。 ただし、正 規 表 現 は使 用 できません。 ボックスを空 にすると、 【保
存 ( Save) 】 をクリックするとアスタリスク( *) が自 動 的 に追 加 され、すべてのホスト に該 当 し
ASG V8 管 理 ガイド
267
9.1Webフィルタリング
9Webセキュリティ
ます。 従 って、このようなプロキシ定 義 は、一 致 するプロキシが存 在 しない場 合 のフォール
バックプロキシとみなされます。
親 プロキシ(Parent Proxy)： 親 プロキシのネット ワーク定 義 を選 択 または追 加 します。
ポート (Port)： 親 プロキシ接 続 のデフォルト ポート は8080です。 親 プロキシで別 のポート
を使 用 する場 合 、ここで変 更 できます。
プロキシは認 証 が必 要 (Proxy Requires Authentication)： 親 プロキシが認 証 を
必 要 とする場 合 は、チェックボックスにチェックを入 れ、表 示 されるテキスト ボックスにユーザ名
とパスワードを入 力 します。
3. 【保 存 (Save)】 をクリックします。
新 しい親 プロキシが【親 プロキシ ( Parent Proxies) 】 ボックスに表 示 されます。
これで、このプロキシをフィルタアクションで使 用 することも、グローバルに使 用 することもできます。
親 プロキシ定 義 を編 集 または削 除 するには、 【 Web フィルタプロファイル( Web Filtering
Profiles) 】 >>【親 プロキシ ( Parent Proxies) 】 ページに進 みます。
各 プロキシの前 にあるチェックボックスにチェックを入 れて、親 プロキシの使 用 を有 効 化 します。 複
数 のプロキシを選 択 した場 合 、青 い矢 印 を使 用 してプロキシを並 べ替 えることができます。 選 択
した親 プロキシは、最 初 のプロキシが一 致 するまで、所 定 の順 序 で適 用 されます。 処 理 順 序 は
位 置 番 号 によって決 まるため、位 置 番 号 によってプロキシの順 序 を変 更 すると、処 理 順 序 も変 わ
ります。
親 プロキシの使 用 は、プロファイルベースにすることもできます( 詳 しくは、 「 Web フィルタプロファイ
ル」 >>「フィルタアクション」 の章 を参 照 してください) 。
親 プロキシおよびWebサイト の分 類 (Parent Proxies and Website Categorization)
親 プロキシ経 由 でデータベース更 新 の取 得 や分 類 ルックアップを行 いたい場 合 は、この親 プロキ
シに対 して以 下 のホスト を指 定 する必 要 があります。
l
list.smartfilter.com( ローカル分 類 データベースの場 合 )
l
cffs*.astaro.com( TCP分 類 の場 合 )
1つの親 プロキシがすべてのホスト に一 致 するように設 定 する場 合 ( *) 、これらのホスト を指 定 する
必 要 はありません。 特 定 のホスト に対 して異 なる親 プロキシを定 義 し、最 後 の親 プロキシがすべ
てのホスト に一 致 するように( *) 設 定 することもできます。 この場 合 、このト ラフィックのみが最 後 の
親 プロキシ経 由 でルーティングされ、他 のすべての親 プロキシは一 致 しません。
268
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
H TTP キャッシ ン グ( H TTP C a c h i n g)
キャッシングを有 効 化 (Enable Caching)： このオプションが有 効 になっている場 合 、Webフィ
ルタはオンディスクオブジェクト キャッシュを保 持 して、アクセス頻 度 が高 いWebページへの要 求 を
高 速 化 します。
SSLコンテンツのキャッシュ(Cache SSL Content)： このオプションを有 効 にすると、SSL暗 号
化 されたデータは、非 暗 号 化 形 式 でもディスクに保 存 されます。
Cookieを含 むコンテンツをキャッシュ(Cache Content that Contains Cookies)：
Cookieは、一 般 に認 証 目 的 で使 用 されます。 このオプションを有 効 にすると、Cookieが含 まれ
るHTTP応 答 もキャッシュされます。 複 数 のユーザが同 じページを要 求 している場 合 、あるユーザ
のCookieが含 まれるキャッシュページが他 のユーザに提 供 される可 能 性 があるため、この設 定 は
重 大 です。
重 要 - SSLまたはCookieコンテンツ( あるいはその両 方 ) をキャッシュすると、SuperAdmin権
限 を持 つすべてのユーザがコンテンツを閲 覧 できるため、セキュリティ上 の重 要 な問 題 です。
キャッシュのクリア(Clear Cache)： 【キャッシュのクリア( Clear Cache) 】 をクリックすると、キャッシ
ュされたすべてのページを削 除 できます。
MAC OS Xシ ングルサイン オン( MAC OS X S i n gl e S i gn - On )
認 証 方 式 としてApple OpenDirectory SSOを使 用 している場 合 、認 証 が適 切 に機 能 するため
には、MAC OS XシングルサインオンKerberos鍵 ファイルをアップロードする必 要 があります。 この
鍵 ファイルを生 成 し、 【鍵 ファイルのアップロード ( Upload Keyfile) 】 をクリックしてアップロードしま
す。 鍵 ファイルの生 成 方 法 について詳 しくは、Kerberosのマニュアルを参 照 してください。
9.1.7HTTPS CA
【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【 HTTPS
CA( HTTPS CAs) 】 タブでは、HTTPS接 続 の署 名 および検 証 CA( 認 証 局 ) を管 理 できます。
署 名 C A( S i gn i n g C A)
このエリアでは、署 名 CA証 明 書 のアップロード、署 名 CA証 明 書 の再 生 成 、または既 存 の署
名 CA証 明 書 のダウンロードが可 能 です。 デフォルト で署 名 CA証 明 書 は、セット アップ中 に提 供 さ
れた情 報 に基 づいて作 成 されます。 つまり、セット アップ後 に何 らかの変 更 が行 われた場 合 を除
き、 【マネジメント ( Management) 】 >>【システム設 定 ( System Settings) 】 >>【組
織 ( Organizational) 】 タブの情 報 と一 致 しています。
新 しい署 名 CA証 明 書 をアップロードするには、次 の手 順 に従 ってください。
ASG V8 管 理 ガイド
269
9.1Webフィルタリング
9Webセキュリティ
1. 【アップロード (Upload)】 ボタンをクリックします。
【 PKCS#12証 明 書 ファイルのアップロード ( Upload PKCS#12 Certificate File) 】 ダイアロ
グボックスが開 きます。
2. アップロード する証 明 書 までブラウズします。
【ファイル( File) 】 ボックスの横 にあるフォルダアイコンをクリックし、 【ファイルのアップロー
ド ( Upload File) 】 ダイアログボックスが開 いたら【参 照 ( Browse) 】 をクリックしてアップロード
する証 明 書 を選 択 し、 【保 存 ( Save) 】 をクリックします。
パスワードで保 護 されているPKCS#12形 式 の証 明 書 のみをアップロードできます。
3. パスワード を入 力 します。
該 当 フィールドにパスワードをもう一 度 入 力 し、 【保 存 ( Save) 】 をクリックします。
新 しい署 名 CA証 明 書 がインスト ールされます。
署 名 CA証 明 書 を再 生 成 するには、次 の手 順 に従 ってください。
1. 【再 生 成 (Regenerate)】 ボタンをクリックします。
【新 規 署 名 CAの作 成 ( Create New Signing CA) 】 ダイアログボックスが開 きます。
2. 情 報 を変 更 します。
必 要 に応 じて所 定 の情 報 を変 更 し、 【保 存 ( Save) 】 をクリックします。
新 しい署 名 CA証 明 書 が生 成 されます。 これに基 づき、【署 名 CA( Signing CA) 】 エリア内
の署 名 CA情 報 が変 化 します。
署 名 CA証 明 書 をダウンロードするには、次 の手 順 に従 ってください。
1. 【ダウンロード (Download)】 ボタンをクリックします。
【証 明 書 ファイルのダウンロード ( Download Certificate File) 】 ダイアログボックスが開 きま
す。
2. ダウンロード するファイル形 式 を選 択 します。
2種 類 の形 式 から選 択 できます。
l
PKCS#12： この形 式 は暗 号 化 されるため、エクスポート パスワードを入 力 してくだ
さい。
l
PEM： 暗 号 化 されない形 式 です。
3. 【保 存 (Save)】 をクリックします。
ファイルが保 存 されます。
カスタムCAで署 名 された証 明 書 を内 部 Webサーバに対 して使 用 する場 合 、信 頼 される認 証 局
としてこのCA証 明 書 をWebAdminにアップロードすることをお勧 めします。 これを行 わない
と、Webフィルタが、信 頼 できないサーバ証 明 書 が検 知 されたというエラーメッセージをユーザに表
270
ASG V8 管 理 ガイド
9Webセキュリティ
9.1Webフィルタリング
示 します。
クライアント PCへのプロキシCA証 明 書 の提 供 を円 滑 化 するために、ユーザは自 分
でhttp://passthrough.fw-notify.net/cacert.pemから証 明 書 をダウンロードし、ブラウザにイ
ンスト ールすることができます。 Webサイト 要 求 はプロキシで直 接 受 信 され、処 理 されます。 その
ため、まず【 Web セキュリティ( Web Security) 】 >>【グローバル( Global) 】 タブでWebフィルタを
有 効 にする必 要 があります。
注 - プロキシのオペレーションモードが透 過 モード ではない場 合 、ユーザのブラウザでプロキシを
有 効 にする必 要 があります。 有 効 にしないと、証 明 書 ダウンロード用 のリンクがアクセス不 可 に
なります。
あるいは、ユーザポータルが有 効 であれば、ユーザはプロキシCA証 明 書 をユーザポータル
の【 HTTPSプロキシ ( HTTPS Proxy) 】 タブからダウンロードできます。
HTTPSでの問 題 を回 避 する
HTTPSの使 用 中 、Windows UpdateやWindows DefenderなどのWindowsシステムプログ
ラムは接 続 を確 立 できません。これは、これらのプログラムがシステムユーザ権 限 で実 行 されるた
めです。 このユーザはデフォルト で、プロキシCAを信 頼 しないことになっています。 そのため、システ
ムユーザ用 にHTTPSプロキシCA証 明 書 をインポート する必 要 があります。 以 下 の手 順 に従 ってく
ださい。
1. Windowsで、Microsoft管 理 コンソール(mmc)を開 きます。
2. 【ファイル】 メニューをクリックし、 【スナップインの追 加 と削 除 】 をクリックします。
【スナップインの追 加 と削 除 】 ダイアログウィンドウが開 きます。
3. ウィンド ウの一 番 下 にある【追 加 】 をクリックします。
【スタンドアロン スナップインの追 加 】 ダイアログウィンドウが開 きます。
4. リスト から【証 明 書 】 を選 択 し、 【追 加 】 をクリックします。
ウィザードが表 示 されます。
5. 【コンピュータ アカウント】 を選 択 し、 【次 へ】 をクリックします。
6. 【ローカル コンピュータ】 が選 択 されていることを確 認 し、 【完 了 】 >【閉 じる】 をクリックしま
す。
最 初 のダイアログウィンドウに【証 明 書 ( ローカル コンピュータ) 】 が追 加 されています。
7. 【 OK】 をクリックします。
ダイアログウィンドウが閉 じて、コンソールルート に【証 明 書 ( ローカル コンピュータ) 】 が追 加 さ
れています。
ASG V8 管 理 ガイド
271
9.1Webフィルタリング
9Webセキュリティ
8. 左 側 の【コンソール ルート】 ウィンド ウで 【証 明 書 】 >>【信 頼 されたルート証 明 機 関 】 を開
き、 【証 明 書 】 を右 クリックして、コンテキスト メニューの【すべてのタスク】 >>【インポート】 を
選 択 します。
インポート ダイアログウィザードが開 きます。
9. 【次 へ(Next)】 をクリックします。
次 のウィザードステップが表 示 されます。
10. 以 前 にダウンロード したHTTPSプロキシCA証 明 書 までブラウズし、 【開 く】 >【次 へ】 をクリ
ックします。
次 のウィザードステップが表 示 されます。
11. 【証 明 書 をすべて次 のストアに配 置 する】 が選 択 されていることを確 認 し、 【次 へ】 >【閉 じ
る】 をクリックします。
インポート の成 功 がウィザードから報 告 されます。
12. ウィザード のメッセージを確 認 します。
信 頼 される証 明 書 の中 に、プロキシCA証 明 書 が表 示 されるようになりました。
13. 変 更 を保 存 します。
【ファイル】 メニューをクリックし、 【保 存 】 をクリックして、コンソールルート での変 更 を保 存 しま
す。
インポート 後 、CAはシステム全 体 で受 け入 れられるようになり、HTTPプロキシに起 因 する接 続 問
題 は発 生 しなくなります。
検 証 C A( Ve r i f i c a ti on C As )
このエリアでは検 証 CAを管 理 できます。 検 証 CAとは、最 初 に信 頼 する認 証 局 です。 つまり、こ
れらのCAによって署 名 された有 効 な証 明 書 を提 示 するWebサイト は、HTTPプロキシによって信
頼 できると見 なされます。
ローカル検 証 CA(Local Verification CAs)： 下 のCAリスト に追 加 して検 証 CAをアップロード
できます。 次 の手 順 で実 行 します。
1. 【ローカルCAのアップロード (Upload Local CA)】 フィールド の横 のフォルダアイコンをクリ
ックします。
【ファイルのアップロード ( Upload File) 】 ダイアログボックスが開 きます。
2. アップロード する証 明 書 を選 択 します。
【参 照 ( Browse) 】 をクリックして、アップロードするCA証 明 書 を選 択 します。
272
ASG V8 管 理 ガイド
9Webセキュリティ
9.2Webフィルタプロファイル
3. 証 明 書 をアップロード します。
【アップロード開 始 ( Start Upload) 】 をクリックして、選 択 したCA証 明 書 をアップロードしま
す。
証 明 書 はインスト ールされ、 【ローカル検 証 CA( Local Verification CAs) 】 エリアに表 示 さ
れます。
グローバル検 証 CA(Global Verification CAs)： ここに表 示 される検 証 CAのリスト
は、Mozilla Firefoxにあらかじめインスト ールされた検 証 CAと同 じです。 ただし、リスト に含 まれる
いずれか( あるいは全 部 ) の検 証 CAを「信 頼 できない」場 合 は、これらを無 効 にすることができま
す。 CAの証 明 書 を無 効 にするには、ステータスアイコンをクリックします。 ステータスアイコンが赤 色
になり、HTTPSプロキシはこのCAに署 名 されたWebサイト を受 け入 れなくなります。
ヒント - CAのフィンガープリント を表 示 するには、青 色 の情 報 アイコンをクリックしてください。
CAが不 明 または無 効 である場 合 、HTTPSプロキシはクライアント に対 して「ブロックされたコンテン
ツ」のエラーページを表 示 します。ただし、このようなページに対 して除 外 を作 成 することができま
す。これには、Webフィルタのエラーページで 【除 外 の作 成 ( Create Exception) 】 リンクを使 用 す
るか、 【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【除
外 ( Exceptions) 】 タブを使 用 します。
注 - Webフィルタのエラーページで 【除 外 の作 成 ( Create Exception) 】 リンクをクリックすると、
ログインダイアログウィンドウが表 示 されます。 admin権 限 のあるユーザのみが除 外 を作 成 でき
ます。
9.2Webフィルタプロファイル
Astaro Security Gateway には、どのネット ワークに対 して何 のWebコンテンツを利 用 可 能 にす
るかをコント ロールするために設 計 、最 適 化 されたWebフィルタが用 意 されています。 これにより、
好 ましくないと考 えるコンテンツを利 用 者 が閲 覧 することを予 防 できます。 Webフィルタを設 定 し、
選 択 したネット ワークに対 してグローバルに適 用 することができます。 あるいは、ネット ワークのセグ
メント 別 に各 種 セキュリティポリシを適 用 するために個 々 のWebフィルタプロファイルを作 成 すること
ができます。 これにより、ユーザ認 証 方 式 が異 なる場 合 でも、組 織 内 の各 部 門 に適 した別 々 の
コンテンツフィルタリングポリシを定 義 することができます。
ASG V8 管 理 ガイド
273
9.2Webフィルタプロファイル
9Webセキュリティ
クロスリファレンス - Webフィルタプロファイルの設 定 方 法 に関 する詳 しい説 明 は、Astaroナレッ
ジベースを確 認 してください( 「 ASGバージョン7」 >>「 Web セキュリティ」 の順 にアクセスします) 。
この章 では、フィルタアクションの追 加 方 法 と、Webフィルタプロファイルフレームワークでフィルタアク
ションを使 用 する方 法 について説 明 します。 Astaro Security Gateway.【 Web フィルタプロファイ
ル( Web Filtering Profiles) 】 タブの設 定 は、後 方 から前 方 に向 かって進 めることをお勧 めしま
す。つまり、フィルタアクションの指 定 から開 始 します。これらは、フィルタ割 り当 てで特 定 のユーザま
たはユーザグループに割 り当 てます。次 に、実 際 のWebフィルタプロファイルの設 定 に続 きます。
9.2.1概 要
注 - Webフィルタプロファイルを設 定 するためには、Webフィルタを有 効 にする必 要 があります。
このフローチャート は、フィルタアクション、フィルタ割 り当 て、Webフィルタプロファイルの間 でどのよう
なやり取 りがあるのかを示 します。 HTTPリクエスト を受 け取 ると、Webフィルタはまず、どのWebフ
ィルタプロファイルを適 用 すべきか判 断 します。 これは、リクエスト の送 信 元 IPアドレスに完 全 に依
存 します。 リクエスト の送 信 元 IPと一 致 する最 初 のプロファイルが使 用 されます。 他 のすべて
のWebフィルタプロファイルは無 視 されます。
内 部 では、すべてのプロファイルが1つのファイルに保 存 され、デフォルト プロファイルはリスト の一 番
下 に配 置 されます。 他 のHTTPプロファイルが設 定 されていない初 期 段 階 には、デフォルト プロファ
イルが唯 一 のエント リとなります。 個 々 のWebフィルタプロファイルを追 加 して、 【位 置 ( Position) 】
ドロップダウンリスト でプロファイルをソート するようになると、デフォルト プロファイルはリスト の一 番 下
に留 まり、常 に一 番 最 後 に適 用 されるようになります。
ただし、デフォルト プロファイルは、 【 Web セキュリティ( Web Security) 】 >>【 Web フィルタプロファイ
ル( Web Filtering Profiles) 】 タブで明 示 的 に設 定 するプロファイルではありません。 【 Web セキュ
リティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 タブでHTTPプロキシをグロー
バルに設 定 すると自 動 的 に作 成 されます。 【許 可 ネットワーク( Allowed Networks) 】 は、Webフ
ィルタプロファイルの送 信 元 ネットワークに対 応 する【 Web セキュリティ( Web
Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【グローバル( Global) 】 タブで設 定 し
ます【ユーザ/グループ( Users/Groups) 】 ボックスの設 定 ( オペレーションモード 【基 本 ユーザ認
証 ( Basic User Authentication) 】 を選 択 すると【 Web セキュリティ( Web
Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【グローバル( Global) 】 タブに表 示 さ
れる) は、デフォルト のフィルタ割 り当 てとなります。また、 【 Web セキュリティ( Web
Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【 URLフィルタリング( URL
274
ASG V8 管 理 ガイド
9Webセキュリティ
9.2Webフィルタプロファイル
Filtering) 】 タブの設 定 は、フィルタアクションに対 応 します。 最 後 に、デフォルト プロファイルでも一
致 しなかった場 合 、HTTP要 求 はブロックされます。
続 いて、このWebフィルタプロファイルにどのフィルタ割 り当 てが関 連 付 けられているのかをチェックし
ます。 フィルタ割 り当 てが一 致 しない場 合 、フォールバックアクションが要 求 に適 用 されます。 フ
ォールバックアクションとは、御 社 のセキュリティポリシを反 映 させるための特 別 なフィルタアクション
です。 厳 格 なセキュリティポリシを遵 守 する必 要 がある場 合 、例 外 なくすべてのWebト ラフィックを
ブロックするフィルタアクションを作 成 することができます。
同 じネット ワークセグメント 内 の複 数 のユーザに対 して、異 なるレベルの防 御 を提 供 するには、異
なるフィルタ割 り当 てを関 連 付 けて1つのWebフィルタプロファイルを設 定 するだけです。 特 定 の
ユーザに何 が許 可 されるのかは、選 択 したフィルタ割 り当 ての順 番 に応 じて決 まります。 このた
め、送 信 元 ネット ワークがまったく同 じである2つのプロファイルを設 定 しても、2つ目 のプロファイルは
まったく使 用 されないため、意 味 がありません。
9.2.2プロキシプロファイル
プロキシプロファイルを使 用 すると、複 数 のコンテンツフィルタリングポリシを作 成 し、ネット ワーク内
のさまざまなアドレスに別 々 のポリシを適 用 することができます。 これにより、組 織 内 のさまざまな
部 門 に対 して別 々 のポリシを定 義 できます。 さらに、各 プロキシプロファイルには独 自 のユーザ認
証 方 式 を設 定 できます。
図 83 Webフィルタプロファイル：プロファイルのリスト
プロキシプロファイルを作 成 するには、次 の手 順 に従 います。
1. 【新 規 プロキシプロファイル(New Proxy Profile)】 をクリックします。
【プロキシプロファイルの作 成 ( Create Proxy Profile) 】 ダイアログボックスが開 きます。
ASG V8 管 理 ガイド
275
9.2Webフィルタプロファイル
9Webセキュリティ
2. 次 の設 定 を行 います。
名 前 (Name)： このプロファイルを説 明 する名 前 を入 力 してください。
位 置 (Position)： プロキシプロファイルの優 先 順 位 を定 義 する位 置 番 号 。 番 号 が小 さ
いほど優 先 順 位 が高 くなります。 プロキシプロファイルは昇 順 に照 合 されます。 あるプロキ
シプロファイルが一 致 すると、それ以 降 、それより大 きい番 号 のプロキシプロファイルは評 価 さ
れません。 より詳 細 なプロファイルをリスト の上 部 に配 置 することで、最 も限 定 的 でないプロ
ファイルが最 後 に照 合 されるようになります。
送 信 元 ネット ワーク(Source Networks)： このプロキシプロファイルを使 用 するネット
ワークを選 択 します( これは必 須 フィールドです) 。
警 告 - ここでは、他 のプロキシプロファイルで使 用 されている送 信 元 ネット ワークを選 択 し
ないでください。そのような送 信 元 ネット ワークを選 択 すると、コンテンツフィルタのアクション
とユーザ/グループのマッピングに不 整 合 が生 じ、特 定 のネット ワークセグメント に属 する
ユーザが、本 来 アクセスすべきではないWebサイト を閲 覧 できるようになる可 能 性 があり
ます。
フィルタ割 り当 て(Filter Assignments)： フィルタ割 り当 てを選 択 します。 フィルタ割 り
当 てとは1セット のWebセキュリティ構 成 設 定 であり、これを使 用 すると、さまざまなユーザ/
グループにさまざまなレベルの保 護 をさまざまなタイミングで割 り当 てることができます( 詳 しく
は、 「 Web セキュリティ」 >>「 Web フィルタプロファイル」 >>「フィルタ割 り当 て」 を参 照 してく
ださい) 。 複 数 のフィルタ割 り当 てを選 択 することができます。 さらに、どのフィルタ割 り当 て
を最 初 に適 用 するのかを指 定 することができます。 これは、同 じユーザまたはユーザグルー
プに対 して、さまざまなフィルタ割 り当 てをさまざまなタイミングで適 用 したい場 合 に便 利 で
す。 一 般 に、より詳 細 な割 り当 てをリスト の上 部 に配 置 することで、最 も限 定 的 でない割
り当 てが最 後 に照 合 されるようになります。 これには、2つ以 上 のフィルタを選 択 すると表 示
される青 い矢 印 を使 用 します。
注 - Webフィルタが【基 本 ユーザ認 証 ( Basic User Authentication) 】 、 【 Active
Directory SSO】 、または【 eDirectory SSO】 モードで実 行 されている場 合 は、 【デフォル
トフィルタ割 り当 て( Default Filter Assignment) 】 を選 択 することもできます。この割 当
では、 【 Web フィルタリング( Web Filtering) 】 >>【グローバル( Global) 】 タブで設 定 した
ユーザ/グループに【デフォルトフィルタアクション( Default Filter Action) 】 が割 り当 てられ
ています。 オペレーションモードを【標 準 ( Standard) 】 または【透 過 ( Transparent) 】 に
設 定 した場 合 でも、ユーザやグループが選 択 されたフィルタ割 り当 てを使 用 することができ
276
ASG V8 管 理 ガイド
9Webセキュリティ
9.2Webフィルタプロファイル
ますが、この場 合 、このプロキシプロファイルの使 用 時 に、当 該 のユーザやグループは無
視 され、フィルタ割 り当 てに指 定 された期 間 定 義 のみが考 慮 されます。
フォールバックアクション(Fallback Action)： フォールバックアクションとは、会 社 のセキュ
リティポリシを反 映 するための特 別 なフィルタアクションであり、選 択 されたフィルタ割 り当 て
がいずれも一 致 しない場 合 に、要 求 に適 用 されます。 たとえば、厳 格 なセキュリティポリシ
を遵 守 する必 要 がある場 合 、例 外 なくすべてのWebト ラフィックをブロックする特 別 なフィル
タアクションをフォールバックとして作 成 することができます。 また、ここで選 択 できる【デフォル
トフィルタアクション( Default Filter Action) 】 は、 【 Web セキュリティ( Web
Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【 URLフィルタリング( URL
Filtering) 】 タブでの設 定 に対 応 しています。
オペレーションモード (Operation Mode)： 各 プロキシプロファイルに対 し、複 数 のユーザ
認 証 方 式 から選 択 することができます。 異 なるプロキシプロファイルに異 なる認 証 方 式 を
持 たせることができますが、1つのプロキシプロファイルには1つの認 証 方 式 しか使 用 できませ
ん。 【 Web フィルタリング( Web Filtering) 】 >>【グローバル( Global) 】 タブで設 定 したオペ
レーションモード以 外 のオペレーションモードを選 択 することもできます。 ただし、その認 証 が
期 待 どおりに機 能 するのは、ここで選 択 した認 証 モードがすべてのフィルタ割 り当 てで使 用
されるすべてのユーザおよびグループオブジェクト の認 証 モードと一 致 している場 合 に限 られ
ます。 次 のオペレーションモードを使 用 できます。
l
標 準 (Standard)： 標 準 モードでは、Webフィルタはデフォルト でクライアント 要 求
をポート 8080でリスンし、 【許 可 ネットワーク( Allowed Networks) 】 ボックスにリスト
されたネット ワーク内 のすべてのクライアント に対 して接 続 を許 可 します。このモードで
使 用 する場 合 、クライアント はブラウザの設 定 でWebフィルタにHTTPプロキシを指
定 していることが必 要 です。
l
Active Directory SSO： 【定 義 およびユーザ( Definitions & Users) 】 >>【認
証 サーバ( Authentication Servers) 】 >>【サーバ( Servers) 】 タブでActive
Directoryシングルサインオン( SSO) を設 定 した場 合 、これを選 択 します。 これによ
り、NTLMユーザ認 証 が認 証 クライアント で使 用 されます。 動 作 が保 証 されるの
はInternet Explorerのみです。このモードで使 用 する場 合 、クライアント はブラウザ
の設 定 でWebフィルタにHTTPプロキシを指 定 していることが必 要 です。
l
Apple OpenDirectory SSO： 【ユーザおよび定 義 ( Definitions &
Users) 】 >>【認 証 サーバ( Authentication Servers) 】 >>【サーバ( Servers) 】
タブでLDAPを設 定 しており、Apple OpenDirectoryを使 用 している場 合 、これを
選 択 します。 さらに、プロキシが正 しく機 能 するようにするためには、 【 Web セキュリテ
ィ( Web Security) 】 >>【 Web フィルタリング( Web Filtering) 】 >>【詳
ASG V8 管 理 ガイド
277
9.2Webフィルタプロファイル
9Webセキュリティ
細 ( Advanced) 】 タブで、MAC OS XシングルサインオンKerberos鍵 ファイルをアップ
ロードする必 要 があります。 Webフィルタをこのモードで使 用 する場 合 、クライアント
はブラウザ設 定 でWebフィルタを指 定 しておく必 要 があります。 Safariブラウザ
はSSOをサポート していません。
l
基 本 ユーザ認 証 (Basic User Authentication)： このモードでは、各 クライア
ント はプロキシを使 用 する前 にこのプロキシに対 して自 己 認 証 する必 要 があります。
サポート される認 証 方 式 について詳 しくは、 「定 義 およびユーザ」 >>「認 証 」 を参 照
してください。このモードで使 用 する場 合 、クライアント はブラウザの設 定 でWebフィル
タにHTTPプロキシを指 定 していることが必 要 です。
l
eDirectory SSO： 【定 義 およびユーザ( Definitions & Users) 】 >>【認 証 サー
バ( Authentication Servers) 】 >>【サーバ( Servers) 】 タブでeDirectoryを設 定
した場 合 、これを選 択 します。このモードで使 用 する場 合 、クライアント はブラウザの
設 定 でWebフィルタにHTTPプロキシを指 定 していることが必 要 です。
l
透 過 (Transparent)： 透 過 モードでは、ポート 80( SSLを使 用 している場 合 は
ポート 443) でクライアント ブラウザアプリケーションが行 うすべての接 続 はインターセプ
ト され、クライアント 側 の設 定 なしでプロキシにリダイレクト されます。 クライアント がプロ
キシサーバを意 識 することは全 くありません。 このモードの利 点 は、追 加 の管 理 やク
ライアント 側 での設 定 が不 要 であることで、短 所 は、処 理 できるのがHTTP( ポー
ト 80) 要 求 のみであることです。 そのため、 透 過 モードを選 択 すると、クライアント の
プロキシ設 定 は無 効 になります。
フル透 過 モード (Full Transparent Mode)( オプション) ：クライアント の
送 信 元 IPをゲート ウェイのIPに置 き換 えず、そのまま維 持 する場 合 は、 【完 全
透 過 モード ( Full Transparent Mode) 】 チェックボックスにチェックを入 れま
す。 これは、クライアント がパブリックIPアドレスを使 用 しており、プロキシによっ
て隠 すべきではない場 合 に便 利 です。
注 - 透 過 モードでは、プロキシはHTTP要 求 からNTLM認 証 ヘッダを削 除 します。
さらに、プロキシはこのモードではFTP要 求 を処 理 できません。 クライアント がこのよ
うなサービスにアクセスする必 要 がある場 合 は、ファイアウォールでポート ( 21) を開
く必 要 があります。 一 部 のWebサーバは、ポート 80以 外 のポート 経 由 でスト リー
ミング動 画 や音 声 などのデータを送 信 します。 これらの要 求 は、プロキシが透 過
モードで機 能 しているときは検 知 されません。 このようなト ラフィックにも対 応 したい
場 合 には、他 のモードを使 用 するか、これらを許 可 する明 確 なファイアウォール
ルールを入 力 する必 要 があります。
278
ASG V8 管 理 ガイド
9Webセキュリティ
l
9.2Webフィルタプロファイル
認 証 付 き透 過 (Transparent with Authentication)： このモードは、プロキ
シを透 過 的 に機 能 させながら、ユーザに認 証 を強 制 する場 合 に使 用 します。 ユー
ザがあるWebサイト を初 めて開 くと、認 証 ユーザポータルのようなWebページが表 示
され、ユーザはユーザ名 とパスワードを入 力 する必 要 があります。 このモードでは、ク
ライアント 側 のブラウザ設 定 なしで、ユーザ名 に基 づく追 跡 、報 告 、およびサーフィン
が可 能 になります。 さらに、そのダイアログウィンドウに追 加 で免 責 条 項 を表 示 するこ
とができます。この場 合 、ユーザが先 に進 むためには、免 責 条 項 に同 意 する必 要 が
あります。 免 責 条 項 について詳 しくは、 「マネジメント」 >>「カスタマイズ」 >>「 Web
フィルタ」 の章 を参 照 してください。
HTTPS(SSL)ト ラフィックのスキャン(Scan HTTPS(SSL)Traffic)： HTTPト ラフィック
に加 えHTTPSト ラフィックもスキャンする場 合 は、このチェックボックスにチェックを入 れます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいプロファイルが【プロキシプロファイル( Proxy Profiles) 】 リスト に表 示 されます。
プロキシプロファイルを編 集 または削 除 するには、対 応 するボタンをクリックします。
9.2.3フィルタ割 り当 て
【 Web フィルタプロファイル( Web Filtering Profiles) 】 >>【フィルタ割 り当 て( Filter
Assignment) 】 タブでは、特 定 のユーザおよびユーザグループにフィルタアクションを割 り当 てること
ができます。 フィルタアクションでは、ブロックすべきWebサイト やWebサイト カテゴリを定 義 すること
によって「何 を」に焦 点 をあてますが、フィルタ割 り当 てでは、これらのアクションを特 定 のタイミングで
ユーザとユーザグループに割 り当 てることによって「誰 」と「いつ」に焦 点 をあてます。
図 84 Webフィルタプロファイル：フィルタ割 り当 てのリスト
ASG V8 管 理 ガイド
279
9.2Webフィルタプロファイル
9Webセキュリティ
注 -【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリング( Web Filtering ) 】 >>【ア
ンチウイルス/マルウェア( AntiVirus/Malware) 】 タブで行 った各 種 設 定 ( アンチウイルススキャ
ン、ファイル拡 張 子 フィルタ、MIMEタイプフィルタ、コンテンツ削 除 ) と【 URLフィルタリング( URL
Filtering) 】 タブで行 った各 種 設 定 ( カテゴリ、ブロックするURL) は、下 の【フィルタアクショ
ン( Filter Action) 】 ドロップダウンリスト で選 択 できる【デフォルトフィルタアクション( Default
Filter Action) 】 として保 存 されます。
フィルタ割 り当 てを作 成 するには、次 の手 順 に従 います。
1. 【新 規 フィルタ割 り当 て(New Filter Assignment)】 をクリックします。
【新 規 フィルタ割 り当 ての作 成 ( Create New Filter Assignment) 】 ダイアログボックスが
開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この割 り当 てを説 明 する名 前 を入 力 してください。
ユーザ/グループ(Users/Groups)： 特 定 のフィルタアクションを使 用 すべきユーザとグ
ループを選 択 します。 新 しいフィルタ割 り当 ては、ここで選 択 したユーザおよびグループと同
じ認 証 モードを使 用 するWebフィルタプロファイルのみに追 加 する必 要 があります。
期 間 (Time Period)： タイムイベント とは、ファイアウォールルールやフィルタプロファイルを
特 定 の時 間 範 囲 に制 限 するために使 用 できる単 一 の( または繰 り返 される) 時 間 帯 ( タイ
ムスロット ) です。 詳 細 は、 【定 義 およびユーザ( Definitions & Users) 】 >>【期 間 定
義 ( Time Period Definitions) 】 を参 照 してください。
フィルタアクション(Filter Action)： 上 で定 義 したユーザとユーザグループに割 り当 てるフ
ィルタアクションを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい割 り当 てが【フィルタ割 り当 て( Filter Assignments) 】 リスト に表 示 されます。
フィルタ割 り当 てを編 集 または削 除 するには、対 応 するボタンをクリックします。
Webフィルタプロファイルの作 成 時 に、各 フィルタ割 り当 てを選 択 できます。
9.2.4フィルタアクション
【 Web フィルタプロファイル( Web Filtering Profiles) 】 >>【フィルタアクション( Filter Actions) 】 タ
ブでは、一 連 のWebセキュリティ構 成 設 定 を作 成 および編 集 できます。この設 定 を使 用 して、さ
まざまなタイプやレベルの保 護 をカスタマイズすることが可 能 です。 フィルタアクションは、さまざまな
280
ASG V8 管 理 ガイド
9Webセキュリティ
9.2Webフィルタプロファイル
ユーザやユーザグループに割 り当 てることができ、Webアクセスをコント ロールするための柔 軟 な手
法 となります。
図 85 Webフィルタプロファイル：フィルタアクションのリスト
フィルタアクションを作 成 するには、次 の手 順 に従 います。
1. 【新 規 フィルタアクション(New Filter Action)】 をクリックします。
【新 規 フィルタアクションの作 成 ( Create New Filter Action) 】 ダイアログボックスが開 きま
す。
2. 次 の設 定 を行 います。
名 前 (Name)： このアクションを説 明 する名 前 を入 力 してください。
モード (Mode)： 選 択 したWebサイト をブロックするか許 可 するかを選 択 します。 次 のオプ
ションを使 用 できます。
l
デフォルト で許 可 (Allow By Default)： このオプションを選 択 すると、選 択 し
たWebサイト はブロックされますが、他 のすべてのWebサイト は許 可 されます。
l
デフォルト でブロック(Block By Default)： このオプションを選 択 すると、選 択 し
たWebサイト を除 くすべてのWebサイト がブロックされます。
ASG V8 管 理 ガイド
281
9.2Webフィルタプロファイル
9Webセキュリティ
しきい値 (Threshold)： Webサイト は「信 頼 される( Trusted) 」 、 「中 立 ( Neutral) 」 、 「
疑 わしい( Suspicious) 」 のいずれかに分 類 できます。 未 分 類 のWebサイト を「未 確
認 ( Unverified) 」 と呼 びます。 ネット ワークからアクセスできるWebサイト がどのような評 判
を持 つべきかを決 定 することができます。 選 択 したしきい値 を下 回 るWebサイト はブロックさ
れます。
スパイウェア通 信 をブロック(Block Spyware Communication)：このオプションを選
択 すると、サーバからクライアント へのト ラフィックでスパイウェアを検 出 し、ブロックします。 こ
れにより、ネット ワーク内 のコンピュータが新 しいスパイウェアに感 染 するのを防 ぐことができま
す。 さらに、この機 能 を有 効 にすると、すでにインスト ールされているスパイウェアアプリケーシ
ョンについても検 出 し、ト ラフィックをブロックできます。 この結 果 、スパイウェアが収 集 した
ユーザ情 報 がインターネット に送 信 されなくなります。 このオプションは、モードを【デフォルト
でブロック( Block By Default) 】 に変 更 すると使 用 できません。
これらのWebサイト カテゴリをブロック(Block these Website Categories)：ブロック
するWebサイト カテゴリを選 択 します。 前 述 の【モード ( Mode) 】 を【デフォルトでブロッ
ク( Block By Default) 】 に設 定 した場 合 、このオプションは【これらのWeb サイトカテゴリを
許 可 ( Allow these Website Categories) 】 に変 わります。
未 分 類 サイト をブロック(Block Uncategorized Sites)： このオプションを選 択 する
と、未 知 のコンテンツを持 つWebサイト をブラウザで開 けなくなります。 この機 能 は、好 ましく
ないと思 われるWebサイト が相 応 の分 類 をされていない場 合 のフォールバックセキュリティメ
カニズムと考 えることができます。 前 述 の【モード ( Mode) 】 を【デフォルトでブロック( Block
By Default) 】 に設 定 した場 合 、このオプションは【未 分 類 のサイトを許 可 ( Allow
Uncategorized Sites) 】 に変 わります。
これらのURL/サイト をブロック(Block these URLs/Sites)： ブロックするサイト のURL
を入 力 します。
常 に許 可 するURL/サイト (Always Allow these URLs/Sites)： 常 に許 可 するサ
イト のURLを入 力 します。
SafeSearch： Google、Bing、Yahooの各 検 索 エンジンに対 してSafeSearchの使 用
を強 制 することができます。 SafeSearchフィルタは、子 供 にふさわしくないコンテンツ( 犯 罪
や不 正 ) を検 索 結 果 から削 除 します。 有 効 にすると、Webフィルタ経 由 でWebサーフィン
をするユーザはフィルタをオフにできません。
ブロックするファイル拡 張 子 (Blocked File Extensions)：ファイル拡 張 子 を指 定 する
と、拡 張 子 に基 づいて特 定 タイプのファイルをブロックすることができます( 実 行 可 能 バイナリ
など) 。 ファイル拡 張 子 を追 加 するには、 【ブロックするファイル拡 張 子 ( Blocked File
282
ASG V8 管 理 ガイド
9Webセキュリティ
9.2Webフィルタプロファイル
Extensions) 】 ボックスの「+」アイコンをクリックし、ブロックしたい拡 張 子 ( exeなど) を入 力
します。区 切 り文 字 のドット は不 要 です。
ブロックするMIMEタイプ(Blocked MIME Types)：ブロックするMIMEタイプを追 加 する
には、 【ブロックするMIMEタイプ( Blocked MIME Types) 】 ボックスの「+」アイコンをクリック
し、MIMEタイプを入 力 します( image/gifなど) 。
コンテンツ削 除 (Content Removal)：これを選 択 すると、 【 JavaScriptを削
除 ( Remove JavaScript) 】 オプションと【埋 め込 みを削 除 ( Remove Embedded) 】 オプ
ションが表 示 されます。 これらのオプションを使 用 して、<SCRIPT>タグと<OBJECT>タグ
をHTMLページから削 除 するか否 かを設 定 できます。【JavaScriptを削 除 ( Remove
JavaScript) 】オプションを使 用 すると、HTMLページに埋 め込 まれた( またはHTMLページ
からインクルードされた) JavaScriptが無 効 になり、【埋 め込 みを削 除 ( Remove
Embedded) 】を使 用 すると、受 信 側 HTTP/Sト ラフィックからActiveX、Flash、Javaアプ
レット などの動 的 コンテンツが除 外 されます。
アンチウイルススキャンを使 用 (Use AntiVirus Scanning)： このオプションを選 択 す
ると、受 信 側 Webト ラフィックに悪 質 なコンテンツが含 まれていないかスキャンが行 われま
す。Astaro Security Gateway は、最 高 のセキュリティを実 現 するさまざまなアンチウイル
スエンジンを備 えています。
最 大 スキャンサイズ(Max Scanning Size)： アンチウイルスエンジンでスキャンする最
大 ファイルサイズを指 定 します。 このサイズを超 えるファイルはスキャン対 象 外 となります。
労 働 協 議 会 のスタッフや会 員 など、アクティビティをロギングすべきではない人 がいる場 合 に
は、次 の2つのオプションが便 利 です。
l
アクセスしたページのログ(Log Accessed Pages)： チェックを外 すと、アクセスし
たページがロギングやレポーティングから除 外 されます。
l
ブロックされたページのログ(Log Blocked Pages)： チェックを外 すと、ブロックされ
たページがロギングやレポーティングから除 外 されます。
親 プロキシ(Parent Proxies)： 1つ以 上 の親 プロキシを使 用 することを決 定 できます。
ボックスが空 の場 合 、まず、 【親 プロキシ ( Parent Proxies) 】 タブに親 プロキシの定 義 を作
成 してください。 親 プロキシ定 義 の前 にあるチェックボックスにチェックを入 れると、使 用 が有
効 化 されます。 複 数 のプロキシがある場 合 、青 い矢 印 をクリックして並 べ替 えることができ
ます。 選 択 した親 プロキシは、最 初 のプロキシが一 致 するまで、所 定 の順 序 で適 用 されま
す。 処 理 順 序 は位 置 番 号 によって決 まるため、位 置 番 号 によってプロキシの順 序 を変 更
すると、処 理 順 序 も変 わります。
ASG V8 管 理 ガイド
283
9.2Webフィルタプロファイル
9Webセキュリティ
3. 【保 存 (Save)】 をクリックします。
新 しいフィルタアクションが【フィルタアクション( Filter Actions) 】 リスト に表 示 されます。
フィルタアクションを編 集 または削 除 するには、対 応 するボタンをクリックします。
フィルタ割 り当 てまたはWebフィルタプロファイルの作 成 時 に、各 フィルタアクションを選 択 できます。
注 -ここでは、 【デフォルトのコンテンツフィルタブロックアクション( Default Content Filter Block
Action) 】 も参 照 できます。デフォルト では、 【 Web フィルタリング( Web Filtering) 】 メニューの他
のすべてのフィルタアクションや設 定 と一 致 しないHTTP/Sリクエスト がすべてブロックされます。
9.2.5親 プロキシ
親 プロキシは、多 くの場 合 、政 府 承 認 のプロキシサーバを通 してインターネット アクセスをルーティ
ングする必 要 のある国 で必 要 とされます。 【 Web セキュリティ( Web Security) 】 >>【 Web フィル
タプロファイル( Web Filtering Profiles) 】 >>【親 プロキシ ( Parent Proxies) 】 ページでは、親 プ
ロキシの使 用 を、プロファイルに基 づくかグローバルに設 定 できます。 親 プロキシをプロファイルで使
用 するためには、常 に、このページで( あるいは【 Web フィルタリング( Web Filtering) 】 >>【詳
細 ( Advanced) 】 ページで) 最 初 に設 定 する必 要 があります。
注 - 技 術 的 な理 由 から、親 プロキシを有 効 化 した場 合 は、SSLスキャニングを有 効 化 した状
態 での透 過 モードでのHTTPS要 求 はできません。
親 プロキシを設 定 するには、次 の手 順 に従 います。
1. 【新 規 親 プロキシ (New Parent Proxy)】 をクリックします。
【新 規 親 プロキシ作 成 ( Create New Parent Proxy) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この親 プロキシを説 明 する名 前 を入 力 してください。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
これらのホスト にプロキシを使 用 (Use Proxy for These Hosts)： 親 プロキシを使 用
するホスト をこのボックスに追 加 します( 例 ：*.wikipedia.org) 。 ここではパターンマッチを
使 用 できます。 ただし、正 規 表 現 は使 用 できません。 ボックスを空 にすると、 【保
存 ( Save) 】 をクリックするとアスタリスク( *) が自 動 的 に追 加 され、すべてのホスト に該 当 し
ます。 従 って、このようなプロキシ定 義 は、一 致 するプロキシが存 在 しない場 合 のフォール
バックプロキシとみなされます。
親 プロキシ(Parent Proxy)： 親 プロキシのネット ワーク定 義 を選 択 または追 加 します。
284
ASG V8 管 理 ガイド
9Webセキュリティ
9.3アプリケーションコント ロール
ポート (Port)： 親 プロキシ接 続 のデフォルト ポート は8080です。 親 プロキシで別 のポート
を使 用 する場 合 、ここで変 更 できます。
プロキシは認 証 が必 要 (Proxy Requires Authentication)： 親 プロキシが認 証 を
必 要 とする場 合 は、チェックボックスにチェックを入 れ、表 示 されるテキスト ボックスにユーザ名
とパスワードを入 力 します。
3. 【保 存 (Save)】 をクリックします。
新 しい親 プロキシが【親 プロキシ ( Parent Proxies) 】 リスト に表 示 されます。
これで、このプロキシをフィルタアクションで使 用 することも、グローバルに使 用 することもできます。
親 プロキシを編 集 または削 除 するには、対 応 するボタンをクリックします。
9.3アプリケーションコント ロール
ASGのアプリケーションコント ロール機 能 を使 用 すると、ト ラフィックの種 類 に基 づいてネット ワークト
ラフィックをシェーピングおよびブロックすることができます。ASGのWebフィルタ機 能 ( 「Webフィル
タ」の章 を参 照 ) と違 い、アプリケーションコント ロール分 類 エンジンはネット ワークト ラフィックを、プロ
ト コルやURLではなく、よりきめ細 かい基 準 で識 別 することができます。 これは、Webト ラフィックに
関 して特 に便 利 です。Webサイト へのト ラフィックでは、通 常 、HTTP プロト コルをポート 80で、あ
るいはHTTPS プロト コルをポート 443で使 用 します。 特 定 のWebサイト ( facebook.comなど) へ
のト ラフィックをブロックしたい場 合 、Webサイト のURL( Webフィルタ) に基 づいてブロックすることが
できます。 あるいは、ネット ワークト ラフィック分 類 を利 用 して、あらゆるURLから独 立 し
てfacebookト ラフィックをブロックすることができます。
ASGの分 類 エンジンは、ネット ワークト ラフィックの分 類 にレイヤ7パケット 検 査 を使 用 します。
アプリケーションコント ロールは2つの方 法 で使 用 できます。 最 初 のステップでは、 【ネットワークの
可 視 性 ( Network Visibility) 】 ページでアプリケーションコント ロールを一 般 的 に有 効 化 する必
要 があります。これにより、アプリケーションがある程 度 「可 視 化 」されます。 これをこのまま( また
は、特 定 の時 間 だけ) 残 し、ユーザに使 用 されているアプリケーション( フローモニタ、ロギング、レ
ポーティングなど) を確 認 することができます。 2 番 目 のステップでは、特 定 のアプリケーションをブ
ロックし、他 のアプリケーションは許 可 することができます。 これには、 【アプリケーションコントロール
ルール( Application Control Rules) 】 ページで作 成 するルールを使 用 します。 さらに、ト ラフィッ
クシェーピングを使 用 して、定 義 したアプリケーションのト ラフィックに特 権 を与 えることができます。こ
の設 定 は、Astaroのサービス品 質 機 能 で行 います。
ASG V8 管 理 ガイド
285
9.3アプリケーションコント ロール
9Webセキュリティ
9.3.1ネット ワークの可 視 性
【 Web セキュリティ( Web Security) 】 >>【アプリケーションコントロール( Application
Control) 】 >>【ネットワークの可 視 性 ( Network Visibility) 】 ページでは、アプリケーションコント
ロールを有 効 化 または無 効 化 できます。
アプリケーションコント ロールを有 効 化 すると、すべてのネット ワークト ラフィックが、その分 類 に応 じて
分 類 またはロギングされます。 現 在 のネット ワークト ラフィックは、フローモニタに、タイプに関 する詳
細 な情 報 と共 に表 示 されます( 「フローモニタ」の章 を参 照 ) 。 たとえば、HTTPト ラフィックに関 する
情 報 は、おおもとのアプリケーション( 「twitter」、「facebook」など) までドリルダウンされます。 ロギ
ングとレポーティングでは、ネット ワークト ラフィックとその分 類 に関 する幅 広 い情 報 と、これらのアプリ
ケーションを使 用 するクライアント とサーバの情 報 が表 示 されます。 ロギングとレポーティングについ
て詳 しくは、「 ロギングおよびレポーティング」の章 で、「 ログファイルの閲 覧 」セクションを参 照 する
か( ロギング) 、「 ネットワーク使 用 状 況 」 >>「帯 域 幅 使 用 率 」セクションおよび「Web セキュリテ
ィ」 >>「アプリケーションコントロール」 セクションを参 照 してください( レポーティング) 。
9.3.2アプリケーションコント ロールルール
【 Web セキュリティ( Web Security) 】 >>【アプリケーションコントロール( Application
Control) 】 >>【アプリケーションコントロールルール( Application Control Rules) 】 ページでは、
ネット ワークに対 してト ラフィックをブロックするか、または明 示 的 に許 可 するアプリケーションを定 義
するネット ワークト ラフィック分 類 に基 づいて、ルールを作 成 することができます。
デフォルト では、アプリケーションコント ロールを有 効 にするとすべてのネット ワークト ラフィックが許 可
されます。
アプリケーションコント ロールルールの作 成 は、このページでもフローモニタでも可 能 です。 フローモ
ニタの方 が使 いやすいですが、ルールを作 成 できるのは、ネット ワークで現 在 モニタリングされてい
るト ラフィックに対 してのみです。
アプリケーションコント ロールルールを作 成 するには、以 下 の手 順 に従 います。
1. 【アプリケーションコントロールルール(Application Control Rules)】 タブで、 【新 規
ルール(New Rule)】 をクリックします。
【新 規 ルール作 成 ( Create New Rule) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)( オプション) ：ルールの名 前 を入 力 します。 フィールドを空 のままにすると、
システムがルールの名 前 を生 成 します。
286
ASG V8 管 理 ガイド
9Webセキュリティ
9.3アプリケーションコント ロール
グループ(Group)： 【グループ( Group) 】 オプションを使 用 すると、アプリケーションコント
ロールルールを論 理 的 にグループ化 し、ルールセット を見 やすくできます。 グループ化 は表
示 用 のみで、ルールの一 致 には関 係 ありません。
位 置 (Position)： 位 置 番 号 。これによってルールの優 先 順 位 が定 義 されます。 番 号 が
小 さいほど優 先 順 位 が高 くなります。 ルールは昇 順 に照 合 されます。 あるルールが一 致
すると、それ以 降 、それより大 きい番 号 のルールは評 価 されません。
アクション(Action)： ト ラフィックをブロックするか許 可 するかを選 択 します。
コント ロール基 準 (Control By)： アプリケーションタイプに基 づいてト ラフィックをコント ロー
ルするか、分 類 に基 づくダイナミックフィルタによってコント ロールするかを選 択 します。
l
アプリケーション(Applications)： ト ラフィックは、アプリケーションに基 づいてコント
ロールされます。 【コントロール対 象 のアプリケーション( Control These
Applications) 】 ボックスでアプリケーションを1つ以 上 選 択 します。
l
ダイナミックフィルタ(Dynamic Filter)： ト ラフィックは、分 類 に基 づいてコント ロー
ルされます。 【コントロール対 象 の分 類 ( アプリケーション) 】 ボックスで分 類 を1つ以 上
選 択 します。
コント ロール対 象 のアプリケーション/分 類 (Control These
Applications/Categories)： フォルダアイコンをクリックして、アプリケーション/分 類 を
選 択 します。 ダイアログウィンドウが開 きます。これについては、次 のセクションで詳 しく説 明
します。
生 産 性 (Productivity)： ダイナミックフィルタのみ。 選 択 した生 産 性 スコアが反 映
されます。
リスク(Risk)： ダイナミックフィルタのみ。 選 択 したリスクスコアが反 映 されます。
注 - 一 部 のアプリケーションはブロックすることができません。 これは、Astaro Security
Gatewayの適 切 なオペレーションのために必 要 です。 このようなアプリケーションは、 【アプ
リケーション選 択 ( Select Application) 】 ダイアログウィンドウのアプリケーションテーブルで
チェックボックスがオフになっています。たとえば、WebAdmin、Teredo、SixXs( IPv6ト ラフ
ィック用 ) 、Portal( ユーザポータルのト ラフィック用 ) などが該 当 します。 ダイナミックフィルタ
を使 用 すると、これらのアプリケーションのブロックも自 動 的 に制 限 されます。
対 象 (For)： このルールによってネット ワークト ラフィックをコント ロールするネット ワークまたは
ホスト を選 択 するか、このボックスに追 加 します。 これは、送 信 元 および宛 先 ホスト /ネット
ワークの両 方 に適 用 されます。
ASG V8 管 理 ガイド
287
9.3アプリケーションコント ロール
9Webセキュリティ
ログ(Log)： このオプションはデフォルト でオンになっており、ルールと一 致 するト ラフィックのロ
ギングが有 効 になります。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいルールが【ルール( Rules) 】 リスト に表 示 されます。
4. ルールを有 効 にします。
ルールを有 効 にするには、ステータスアイコンをクリックします。
【アプリケーションまたはカテゴリの選択( Select Application or
Category) 】ダイアログウィンド ウ
アプリケーションコント ロールルールを作 成 する際 は、 【コントロール対 象 のアプリケーション/カテゴリ
を1つ以 上 選 択 ( Select one or more Applications/Categories to control) 】 というダイアログ
ウィンドウからアプリケーションまたはアプリケーションカテゴリを選 択 する必 要 があります。
ダイアログウィンドウの下 部 に表 示 されるテーブルには、選 択 可 能 なアプリケーションまたは定 義 し
たカテゴリに属 するアプリケーションが表 示 されます。 デフォルト では、すべてのアプリケーションが表
示 されます。
ダイアログウィンドウの上 部 には、テーブルに表 示 されるアプリケーション数 を制 限 するための3つの
設 定 オプションがあります。
l
Category(カテゴリ)： アプリケーションはカテゴリ別 にグループ分 けされています。 このリス
ト には、利 用 可 能 なすべてのカテゴリが表 示 されます。 デフォルト では、すべてのカテゴリが
選 択 されています。つまり、下 部 に表 示 されるテーブルには、利 用 可 能 なすべてのアプリ
ケーションが表 示 されます。 表 示 されるアプリケーションを特 定 のカテゴリに絞 り込 むには、ク
リックしてカテゴリリスト を開 き、1つ以 上 のカテゴリを選 択 します。
l
生 産 性 (Productivity)： アプリケーションは、生 産 性 への影 響 ( つまり生 産 性 にこのア
プリケーションが与 える影 響 の度 合 い) によっても分 類 されています。 例 ：一 般 的 なビジネ
スソフト ウェアのSalesforceのスコアは5です。つまり、これを使 用 することで生 産 性 が向 上
します。 一 方 、オンラインゲームのFarmvilleのスコアは1で、これを使 用 すると生 産 性 が低
下 します。 ネット ワークサービスDNSのスコアは3で、生 産 性 への影 響 は中 立 的 です。
l
リスク(Risk)： アプリケーションは、使 用 時 のリスク( マルウェア、ウイルス感 染 、攻 撃 ) によっ
ても分 類 されています。 数 値 が高 いほど、リスクも高 くなります。
288
ASG V8 管 理 ガイド
9Webセキュリティ
9.3アプリケーションコント ロール
ヒント - それぞれのアプリケーションには情 報 アイコンがあり、クリックすると各 アプリケーションの説
明 が表 示 されます。 テーブルヘッダの検 索 ボックスを使 用 して、テーブル内 を検 索 することができ
ます。
次 に、 【新 規 ルール作 成 ( Create New Rule) 】 ダイアログウィンドウで選 択 したコント ロールのタイ
プに応 じて、以 下 を行 います。
l
ダイナミックフィルタでコント ロールする場 合 ： 【適 用 ( Apply) 】 をクリックして、選 択 したアプリ
ケーションをルールに適 用 します。
l
アプリケーションでコント ロールする場 合 ：テーブルで、アプリケーションの前 のチェックボックス
をクリックし、コント ロール対 象 のアプリケーションを選 択 します。 【適 用 ( Apply) 】 をクリックし
て、選 択 したアプリケーションをルールに適 用 します。
【適 用 ( Apply) 】 をクリックするとダイアログウィンドウが閉 じ、アプリケーションルールの設 定 の編 集
を続 けることができます。
9.3.3詳 細
【 Web セキュリティ( Web Security) 】 >>【アプリケーションコントロール( Application
Control) 】 >>【詳 細 ( Advanced) 】 ページでは、アプリケーションコント ロールの詳 細 オプションを
設 定 できます。
As ta r o AppAc c u r a c y プログラ ム
Astaro AppAccuracyプログラムに参 加 すると、ネット ワークの可 視 性 とアプリケーションコント ロー
ルの認 識 と分 類 の向 上 に貢 献 することができます。 このシステムは、匿 名 アプリケーション指 紋 と
いう形 でデータを収 集 し、Astaroのリサーチチームへ送 信 します。 ここでは、指 紋 を使 用 して、未
分 類 のアプリケーションを識 別 し、ネット ワーク可 視 性 およびアプリケーションコント ロールライブラリ
を改 良 および拡 張 します。
アプリケーシ ョンコ ント ロールのスキップ リスト
このボックスにリスト されているホスト とネット ワークは、アプリケーションコント ロールの監 視 対 象 とは
ならないため、アプリケーションコント ロールで管 理 することも、サービス品 質 のアプリケーションセレ
クタで管 理 することもできません。 これは、送 信 元 および宛 先 ホスト /ネット ワークの両 方 に適 用 さ
れます。
ASG V8 管 理 ガイド
289
9.4FTP
9Webセキュリティ
9.4FTP
【 Web セキュリティ( Web Security) 】 >>【 FTP】 タブでは、FTPプロキシを設 定 できま
す。FTP( File Transfer Protocol) は、インターネット 上 でのファイルのやり取 りに幅 広 く使 用 され
ているプロト コルです。Astaro Security Gateway は、ネット ワークを通 過 するすべてのFTPト ラフ
ィックの仲 介 役 となるプロキシサービスを提 供 します。FTPプロキシには、FTPト ラフィックのウイルス
スキャンや、FTPプロト コル経 由 で転 送 される特 定 のファイルタイプのブロックといった便 利 な機 能 が
用 意 されています。
FTPプロキシは透 過 的 に機 能 できます。つまり、ネット ワーク内 のすべてのFTPクライアント は、最 終
宛 先 ではなくプロキシへの接 続 を確 立 します。 続 いて、クライアント から見 えない状 態 でプロキシ
が要 求 に代 わって新 しいネット ワーク接 続 を開 始 します。 このモードのメリット は、その他 の管 理 や
クライアント 側 の設 定 が必 要 ないということです。
9.4.1グローバル
【 Web セキュリティ( Web Security) 】 >>【 FTP】 >>【グローバル( Global) 】 タブでは、FTPプロキ
シの基 本 設 定 を構 成 できます。
図 86 FTPプロキシ( FTP Proxy) ：FTPプロキシを有 効 にする
FTPプロキシを設 定 するには、次 の手 順 に従 ってください。
1. 【グローバル(Global)】 タブで、FTPプロキシを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
290
ASG V8 管 理 ガイド
9Webセキュリティ
9.4FTP
ステータスアイコンがアンバー色 になり、 【 FTP設 定 ( FTP Settings) 】 エリアが編 集 可 能 にな
ります。
2. 許 可 するネット ワークを選 択 します。
FTPプロキシの使 用 を許 可 するネット ワークを選 択 します。
3. オペレーションモード を選 択 します。
FTPプロキシのオペレーションモードを選 択 します。 次 のモードを使 用 できます。
l
透 過 (Transparent)： プロキシは、クライアント の要 求 をターゲット サーバに転 送
し、コンテンツをスキャンします。 クライアント 側 での設 定 は不 要 です。
l
非 透 過 (Non-Transparent)： このモードを使 用 する場 合 、FTPクライアント を設
定 する必 要 があります。 ゲート ウェイのIPアドレスとポート 2121を使 用 します。
l
両 方 (Both)： このモードを使 用 すると、一 部 のクライアント には透 過 モードを、他 の
クライアント には非 透 過 モードを使 用 することができます。 非 透 過 モードで機 能 させ
るFTPクライアント を、ゲート ウェイのIPアドレスとポート 2121でプロキシを使 用 するよう
に設 定 します。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
注 - FTPプロキシは、Active Directory認 証 を使 用 するFTPサーバとは通 信 できません。FTP
クライアント がこのようなFTPサーバに接 続 できるようにするには、このサーバをFTPプロキシのスキ
ップリスト に追 加 します。スキップリスト の設 定 は、 【 Web セキュリティ( Web
Security) 】 >>【 FTP】 >>【詳 細 ( Advanced) 】 タブで行 います。
9.4.2アンチウイルス
【 Web セキュリティ( Web Security) 】 >>【 FTP】 >>【アンチウイルス( AntiVirus) 】 タブには、ウイ
ルス、ワーム、その他 のマルウェアなどの有 害 で危 険 なコンテンツを伝 送 するFTPト ラフィックに対 し
て講 じることができるあらゆる対 策 が含 まれています。
ASG V8 管 理 ガイド
291
9.4FTP
9Webセキュリティ
図 87 FTPプロキシ( FTP Proxy) ：アンチウイルス設 定 の構 成
アンチウイルススキャンを使 用 (Use AntiVirus Scanning)： このオプションを選 択 する
と、FTPト ラフィック全 体 がスキャンされます。Astaro Security Gateway は、最 高 のセキュリティ
を実 現 するさまざまなアンチウイルスエンジンを備 えています。
l
シングルスキャン(Single Scan)： デフォルト の設 定 で、最 高 のパフォーマンスを提 供 し
ます。
l
デュアルスキャン(Dual Scan)： すべてのFTPト ラフィックに対 し、異 なるウイルススキャナを
使 用 してスキャンを2回 行 うことにより、検 知 率 を最 大 限 に高 めます。
最 大 スキャンサイズ(Max Scanning Size)： アンチウイルスエンジンでスキャンする最 大 ファイ
ルサイズを指 定 します。 このサイズを超 えるファイルはスキャン対 象 外 となります。設 定 を保 存 する
には【適 用 ( Apply) 】 をクリックします。
注 - 暗 号 化 されたzipアーカイブは、悪 意 あるコンテンツについてスキャンすることはできず、ウイ
ルススキャナを通 過 します。暗 号 化 されたzipファイルに含 まれるマルウェアからネット ワークを保
護 するために、zipファイル拡 張 子 をすべてブロックすることを検 討 してください。
ファイ ル拡 張 子 フィ ルタ( F i l e Ex te n s i on F i l te r )
この機 能 では、ファイルの拡 張 子 ( 実 行 可 能 バイナリなど) に基 づいて、 【ブロックするファイル拡 張
子 ( Blocked File Extensions) 】 ボックスにファイル拡 張 子 がリスト されているタイプのファイルを伝
送 するFTP転 送 をWebト ラフィックからフィルタします。 ファイル拡 張 子 を追 加 したり、ブロック対 象
から外 すファイル拡 張 子 を削 除 したりすることができます。 ファイル拡 張 子 を追 加 するには、 【ブロッ
292
ASG V8 管 理 ガイド
9Webセキュリティ
9.4FTP
クするファイル拡 張 子 ( Blocked File Extensions) 】 ボックスの「+」アイコンをクリックし、ブロックし
たいファイル拡 張 子 ( exeなど) を入 力 します。区 切 り文 字 のドット は不 要 です。設 定 を保 存 する
には【適 用 ( Apply) 】 をクリックします。
9.4.3除 外
【 FTP】 >>【除 外 ( Exceptions) 】 タブでは、FTPプロキシの提 供 する選 択 可 能 なセキュリティオプ
ションから除 外 するホワイト リスト のホスト /ネット ワークを定 義 することができます。
図 88 FTPプロキシ( FTP Proxy) ：除 外 リスト
除 外 ルールを作 成 するには、次 の手 順 に従 います。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。
【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この除 外 を説 明 する名 前 を入 力 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。
l
アンチウイルスチェック(AntiVirus Checking)： 選 択 すると、ウイルスやト ロイの
木 馬 などの好 ましくないコンテンツがト ラフィックに含 まれていないかチェックするウイル
ススキャンが無 効 になります。
l
拡 張 子 ブロック(Extension Blocking)： 選 択 すると、ファイル拡 張 子 フィルタが
無 効 になります。このフィルタは、ファイル拡 張 子 に基 づいてファイル転 送 をブロックす
るために使 用 します。
l
許 可 サーバ(Allowed Servers)： 選 択 すると、 【詳 細 ( Advanced) 】 タブで設
定 できる、許 可 サーバのチェックが無 効 になります。
ASG V8 管 理 ガイド
293
9.4FTP
9Webセキュリティ
スキップするクライアント ホスト /ネット ワーク(For These Client Hosts/Networks)：
このオプションを選 択 すると、 【クライアントホスト /ネットワーク( Client Hosts/Networks) 】
ボックスが開 きます。 この除 外 ルールのセキュリティチェックから除 外 するクライアント ホスト /
ネット ワークを選 択 します。
サーバホスト /ネット ワークで除 外 (For These Server Hosts/Networks)： このオプ
ションを選 択 すると、 【サーバホスト /ネットワーク( Server Hosts/Networks) 】 ボックスが
開 きます。 この除 外 ルールのセキュリティチェックから除 外 するサーバを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい除 外 が【除 外 ( Exceptions)】 リスト に表 示 されます。
例 外 を編 集 または削 除 するには、対 応 するボタンをクリックします。
9.4.4詳 細
【 FTP】 >>【詳 細 ( Advanced) 】 タブでは、FTPプロキシの透 過 モードをスキップできるホスト とネッ
ト ワークを指 定 できます。
注 - FTPプロキシは、Active Directory認 証 を使 用 するFTPサーバとは通 信 できません。 FTP
クライアント がこのようなFTPサーバに接 続 できるようにするには、このサーバをFTPプロキシのスキ
ップリスト に追 加 します。
294
ASG V8 管 理 ガイド
9Webセキュリティ
9.4FTP
図 89 FTPプロキシ( FTP Proxy) ：詳 細 設 定
F TP プロキシ スキ ップリスト ( F TP P r ox y S k i pl i s t)
ここにリスト されたホスト とネット ワークは、FTPト ラフィックの透 過 的 なインターセプションから除 外 さ
れます。 これらのホスト とネット ワークに対 してFTPト ラフィックを許 可 するには、 【 FTPトラフィックを許
可 ( Allow FTP Traffic) 】 チェックボックスにチェックを入 れます。 このチェックボックスにチェックを入 れ
ない場 合 は、ここでリスト されているホスト とネット ワークに特 定 のファイアウォールルールを定 義 する
必 要 があります。
F TP サーバ( F TP S e r v e r s )
ネット ワークからのアクセスを許 可 するFTPサーバを選 択 または追 加 します。一 部 のクライアント が
このリスト をバイパスするように、 【除 外 ( Exceptions) 】 タブで除 外 ルールを作 成 できます。
ASG V8 管 理 ガイド
295
10メールセキュリティ
この章 では、Astaro Security Gatewayの基 本 的 なEメールセキュリティ機 能 の設 定 方 法 につ
いて説 明 します。WebAdminの【メールセキュリティ統 計 ( Mail Security Statistics) 】 ページに
は、Eメール送 信 者 、Eメール受 信 者 、スパマ( 国 別 ) 、認 識 されたマルウェア、同 時 接 続 の概 要
が、今 日 の上 位 10件 まで表 示 されます。 各 セクションには、 【詳 細 ( Detail) 】 リンクが含 まれてい
ます。リンクをクリックするとWebAdminのそれぞれのレポーティングセクションが表 示 され、そこでさ
らなる統 計 情 報 を参 照 できます。
この章 には次 のト ピックが含 まれます。
l
SMTP
l
SMTPプロファイル
l
POP3
l
暗号化
l
隔 離 レポート
l
メールマネージャ
10.1SMTP
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 メニューでSMTPプロキシを設 定 できます。
SMTPは簡 易 メール転 送 プロトコル( Simple Mail Transfer Protocol) の略 で、Eメールをメール
サーバに転 送 するために使 用 されるプロト コルです。Astaro Security Gateway はSMTPのため
のアプリケーションレベルのゲート ウェイを装 備 しており、これを使 用 して内 部 メールサーバをリモート
の攻 撃 から守 り、さらに強 力 なウイルススキャンおよびEメールフィルタサービスを提 供 できます。
注 - SMTPプロキシを正 しく使 用 するには、有 効 なネームサーバ( DNS) を設 定 する必 要 があり
ます。
10.1.1グローバル
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【グローバル( Global) 】 タブで、SMTP設
定 に対 して【シンプルモード ( Simple Mode) 】 を使 用 するか【プロファイルモード ( Profile Mode) 】
を使 用 するかを決 定 できます。
10.1SMTP
10メールセキュリティ
図 90 SMTPプロキシ( SMTP Proxy) ：SMTPプロキシの有 効 化
1. SMTPを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 に変 わり【設 定 モード ( Configuration Mode) 】 エリアが編 集 可
能 になります。
2. 設 定 モード を選 択 します。
シンプルモード (Simple Mode)： すべてのドメインが同 じ設 定 を共 有 している場 合 はこ
のモードを使 用 します。 ただし、ドメイン名 、Eメールアドレス、およびホスト に基 づいて除 外
ルールを定 義 することもできます。 これは【プロファイルモード ( Profile Mode) 】 と異 なり機 能
的 な制 限 はありません。
プロファイルモード (Profile Mode)： このモードでは、個 々 のドメインあるいはドメイング
ループのアンチスパムやアンチウイルスなどのグローバル設 定 を、 【 SMTPプロファイル( SMTP
Profiles) 】 メニューでそれらのプロファイルを作 成 することで、上 書 きまたは拡 張 できま
す。 【 SMTP】 メニューで行 った設 定 は、依 然 として指 定 のドメインに適 用 され、プロファイルの
デフォルト となります。 【プロファイルモード ( Profile Mode) 】 には、当 製 品 のプロファイルモー
ドや動 作 の推 奨 設 定 について、いくつかの注 意 事 項 があります。 ASG.
3. 【適 用 (Apply)】 をクリックします。
選 択 したモードが有 効 になります。
10.1.2ルーティング
【ルーティング( Routing) 】 タブで、SMTP プロキシのドメインとルーティングターゲット を設 定 し、受
信 者 の確 認 方 法 を定 義 できます。
298
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
図 91 SMTPプロキシ( SMTP Proxy) ：ドメインとルーティングターゲット の設 定
SMTPプロキシのルーティングを設 定 するには、以 下 の手 順 に従 います。
1. 内 部 ド メインを入 力 します。
Eメールのドメインを入 力 するには、 【ドメイン( Domains) 】 ボックスの「+」アイコンをクリックし
ます。
表 示 されたテキスト ボックスに、example.comの形 式 でドメインを入 力 し、 【適 用 ( Apply) 】
をクリックします。 すべてのドメインがリスト されるまでこのステップを繰 り返 します。
プロファイルモード ( In Profile Mode) ：グローバル設 定 を使 用 するドメインのみを入 力 しま
す。 他 のすべてのドメインは、それぞれのプロファイルにリスト します。
2. 内 部 サーバを指 定 します。
【ルート毎 ( Route By) 】 ドロップダウンリスト で、上 記 でリスト したドメイン宛 てのEメールの転
送 先 ホスト を選 択 します。 一 般 的 なターゲット ホスト としては、ローカルネット ワーク上
のMicrosoft Exchange Serverが挙 げられます。 さまざまなサーバタイプから選 択 できま
す。
l
スタティックホスト リスト (Static Host List)： 【ホストリスト ( Host List) 】 ボックス
で、ターゲット ルート のホスト 定 義 を選 択 します。 基 本 的 なフェイルオーバー用 に複
ASG V8 管 理 ガイド
299
10.1SMTP
10メールセキュリティ
数 のホスト 定 義 を選 択 できます。 最 初 のホスト への配 信 に失 敗 すると、メールは次
のホスト にルーティングされます。 ただし、ホスト のスタティック( 静 的 ) な順 序 は、現
在 のバージョンのAstaro Security Gateway では決 定 できず、やや偶 発 的 に決
定 されます。 基 本 的 な負 荷 分 散 機 能 をさらに効 率 よく達 成 できるようにホスト グ
ループへの配 信 をランダム化 するには、 【 DNSホスト名 ( DNS Hostname) 】 ルート タ
イプを使 用 し、複 数 のAレコードを持 つホスト 名 を指 定 します( Aレコード またはアドレ
スレコード は、ホスト 名 をIPアドレスにマップします) 。
l
DNSホスト 名 (DNS Hostname)： ターゲット ルート の完 全 修 飾 ドメイン
名 ( FQDN) を指 定 します( 例 ：exchange.example.com) 。 複 数 のAレコードを持
つDNS名 を選 択 すると、各 サーバへのメールはランダムに配 信 されます。 さらに、１
台 のサーバに障 害 が発 生 すると、そのサーバ宛 てのすべてのメールは残 りのサーバに
自 動 的 にルーティングされます。
l
MXレコード (MX Records)： MXレコードを使 用 して、お使 いのドメインにメールを
ルーティングすることもできます。 このルート タイプを選 択 すると、Astaro Security
Gatewayのメール転 送 エージェント は、受 信 者 のドメイン名 ( Eメールアドレスの"@"
文 字 に続 く部 分 ) のMXレコードを要 求 するDNSクエリを行 います。 ゲート ウェイが上
記 で指 定 したドメインのプライマリMXではないことを確 認 する必 要 があります。なぜな
ら、自 らにはメールを配 信 しないからです。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
受 信 者 の確 認
受 信 者 を確 認 (Verify recipients)： ここでEメール受 信 者 を確 認 するかどうかと確 認 方 法 を
指 定 できます。
l
コールアウト 使 用 (With Callout)： 受 信 者 確 認 の要 求 がサーバに送 信 されます。
l
Active Directory： 受 信 者 確 認 の要 求 がActive Directoryサーバに送 信 されます。
Active Directoryを使 用 するには、 【定 義 およびユーザ( Definitions & Users) 】 >>【認
証 サーバ( Authentication Servers) 】 &【サーバ( Servers) 】 で指 定 されたActive
Directoryサーバを備 えていることが必 要 です。 ベースDNを【代 替 ベースDN( Alternate
Base DN) 】 フィールドに入 力 します。
注 - Active Directory受 信 者 検 証 を使 用 すると、サーバが応 答 しない場 合 にメッセー
ジがバウンスされる場 合 があります。
300
ASG V8 管 理 ガイド
10メールセキュリティ
l
10.1SMTP
オフ(Off)： 受 信 者 確 認 は完 全 にオフにできますが、推 奨 されません。なぜなら、オフにす
ると、スパムト ラフィックが増 大 して、辞 書 攻 撃 の危 険 性 が高 まるからです。 この結 果 、隔
離 場 所 が迷 惑 メールで溢 れてしまうことになります。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
10.1.3アンチウイルス
【アンチウイルス( AntiVirus) 】 タブには、ウイルス、ワーム、その他 のマルウェアなどの有 害 で危 険
なコンテンツを含 むEメールに対 するさまざまな対 策 が含 まれています。
図 92 SMTPプロキシ( SMTP Proxy) ：アンチウイルス設 定 の構 成
S MTP ト ラン ザク シ ョン 時 にスキ ャン( S c a n D u r i n g S MTP
Tr a n s a c ti on )
【 SMTPトランザクション時 にマルウェアをリジェクト ( Reject Malware During SMTP
Transaction) 】 チェックボックスにチェックを入 れることで、SMTP ト ランザクション中 にスキャンを行
い、マルウェアが含 まれている場 合 は拒 否 ( リジェクト ) することができます。
プロファイルモード ( In Profile Mode) ： この設 定 はプロファイルごとには変 更 できません。 1人 以
上 の受 信 者 がいるメッセージで、受 信 者 の1人 のプロファイルで 【アンチウイルススキャ
ン( AntiVirus Scanning) 】 がオフになっている場 合 は、この機 能 はスキップされます。 したがって、
以 下 の通 常 のアンチウイルス設 定 を【ブラックホール( Blackhole) 】 あるいは【隔
離 ( Quarantine) 】 のいずれかの設 定 にしておくことをお勧 めします。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ASG V8 管 理 ガイド
301
10.1SMTP
10メールセキュリティ
アンチウイルススキ ャン( An ti Vi r u s S c a n n i n g)
このオプションでは、ウイルス、ト ロイの木 馬 、疑 わしいファイルタイプなどの不 要 なコンテンツがない
かどうか、Eメールをスキャンします。 悪 意 のあるコンテンツを含 むメッセージはブロックされて、Eメー
ルの隔 離 場 所 に保 存 されます。 ユーザは、Astaroユーザポータルまたはデイリーの隔 離 レポート
で、隔 離 されたメッセージを確 認 してリリースできます。 ただし、悪 意 のあるコンテンツを含 むメッ
セージは、メールマネージャで管 理 者 のみが隔 離 からリリースできます。
アンチウイルス(AntiVirus)： 悪 意 あるコンテンツを含 むメッセージの処 理 方 法 を設 定 できま
す。 次 の作 業 を実 行 できます。
l
オフ(Off)： アンチウイルススキャンを実 行 しません。
l
ブラックホール(Blackhole): メッセージは受 信 後 、ただちに削 除 されます。
l
隔 離 (Quarantine)： メッセージはブロックされ、Eメールの隔 離 場 所 に保 存 されます。
隔 離 されたメッセージは、ユーザポータルまたはデイリーの隔 離 レポート で確 認 できます。
悪 意 のあるコンテンツを含 むメッセージを隔 離 場 所 からリリースできるのは、管 理 者 だけで
す。
Astaro Security Gateway は、最 高 のセキュリティを実 現 するさまざまなアンチウイルスエンジン
を備 えています。
l
シングルスキャン(Single Scan)： デフォルト の設 定 で、最 高 のパフォーマンスを提 供 し
ます。
l
デュアルスキャン(Dual Scan)： 異 なるウイルススキャナを使 用 してすべてのEメールを2
回 スキャンすることで最 大 の認 識 率 を提 供 します。
スキャン不 可 コンテンツと暗 号 化 コンテンツを隔 離 (Quarantine Unscannable and
Encrypted Content)： このオプションを選 択 して、コンテンツをスキャンできたEメールを隔 離 し
ます。 スキャンできないコンテンツは、暗 号 化 されたもの、破 損 したアーカイブ、またはサイズが大 き
すぎるコンテンツの他 、スキャナの不 具 合 などの技 術 的 な問 題 による場 合 があります。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
302
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
図 93 SMTPプロキシ( SMTP Proxy) ：ファイル拡 張 子 フィルタ( File Extension Filter)
MI MEタイプ フィ ルタ( MI ME Ty pe F i l te r )
MIMEタイプのフィルタはMIMEタイプのEメールコンテンツを読 みます。 さまざまなMIMEタイプをどう
取 り扱 うかを定 義 できます。
l
音 声 コンテンツを隔 離 (Quarantine Audio Content)： このチェックボックスにチェック
を入 れると、mp3あるいはwavファイルなどの音 声 コンテンツが隔 離 されます。
l
動 画 コンテンツを隔 離 (Quarantine Video Content)： このチェックボックスにチェック
を入 れると、mpgあるいはmovファイルなどの動 画 コンテンツが隔 離 されます。
l
実 行 可 能 ファイルコンテンツを隔 離 (Quarantine Executable Content)： このチェ
ックボックスにチェックを入 れると、exeファイルなどの実 行 可 能 ファイルコンテンツが隔 離 され
ます。
隔 離 する他 のタイプ(Additional Types To Quarantine)： 上 記 以 外 のMIME タイプを隔
離 するには、 【隔 離 する他 のタイプ( Additional Types To Quarantine) 】 ボックスの「+」アイコン
をクリックし、MIMEタイプ( 例 ：image/gif) を入 力 します。 スラッシュ右 側 にワイルドカード( *) を
使 用 できます( 例 ：application/*) 。
ホワイト リスト のコンテンツタイプ(Whitelisted Content-Types)： このボックスを使 用 して一
般 的 に信 頼 できるMIMEタイプを許 可 します。 MIMEタイプを追 加 するには【ホワイトリストのコンテ
ASG V8 管 理 ガイド
303
10.1SMTP
10メールセキュリティ
ンツタイプ( Whitelisted Content-Types) 】 ボックスの「+」アイコンをクリックし、MIMEタイプを入
力 します。
MIMEタイプ
MIMEタイプのクラス
audio/*
音 声 ファイル
video/*
動 画 ファイル
application/x-dosexec
application/x-msdownload
application/exe
application/x-exe
application/dos-exe
アプリケーション
vms/exe
application/x-winexe
application/msdos-windows
application/x-msdos-program
表 2：MIMEタイプフィルタで認 識 されるMIMEタイプ
表 3：設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ファイ ル拡 張 子 フィ ルタ( F i l e Ex te n s i on F i l te r )
この機 能 は、ファイル拡 張 子 に基 づいて特 定 タイプのファイル( 実 行 可 能 ファイルなど) を含 むE
メールを( 警 告 付 きで) フィルタリングし、隔 離 します。 ファイル拡 張 子 を追 加 するには、 【ブロックす
るファイル拡 張 子 ( Blocked File Extensions) 】 ボックスの「+」アイコンをクリックし、スキャンするフ
ァイル拡 張 子 ( 例 ：exe、 jar( 区 切 り文 字 のドット なし) ) を入 力 します。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
注 - 暗 号 化 されたzipアーカイブは、悪 意 あるコンテンツについてスキャンすることはできず、ウイ
ルススキャナを通 過 します。暗 号 化 されたzipファイルに含 まれるマルウェアからネット ワークを保
護 するために、zipファイル拡 張 子 をすべてブロックすることを検 討 してください。
アンチウイルスチェックフ ッタ
各 送 信 メールで、悪 意 あるコンテンツについてEメールをスキャン済 みであることをユーザに知 らせ
る特 別 なフッタを追 加 してカスタマイズできます。 ただし、アンチウイルスチェックフッタは、Eメールが
304
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
返 信 の場 合 ( In-Reply-Toヘッダを持 つもの) またはEメールのコンテンツタイプを判 定 できない場
合 は、Eメールに追 加 されません。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
注 -Eメールクライアント ( 例 ：Microsoft OutlookまたはMozilla Thunderbird) が署 名 済 みま
たは暗 号 化 済 みのメッセージにフッタを追 加 すると、署 名 が破 壊 されて無 効 になります。 デジタ
ル署 名 をクライアント 側 で作 成 する場 合 は、アンチウイルスチェックフッタオプションを無 効 にしてく
ださい。 ただし、Eメール通 信 のプライバシや認 証 を保 ちながら一 般 的 なアンチウイルスチェックフ
ッタを使 用 したい場 合 は、Astaro Security Gatewayの組 み込 みEメール暗 号 化 機 能 を使 用
してください。ゲート ウェイ上 でのEメール暗 号 化 では、デジタル署 名 を作 成 する前 にフッタがメッ
セージに付 加 されるため、署 名 が損 なわれることはありません。
図 94 SMTPプロキシ( SMTP Proxy) ：アンチウイルスチェックフッタ
10.1.4アンチスパム
Astaro Security Gateway を設 定 して、未 承 諾 のスパムメールを検 出 したり、既 知 の( または疑
わしい) スパム発 信 者 からのスパム送 信 を特 定 することができます。 【アンチスパム( AntiSpam) 】
タブにある設 定 オプションを使 用 して、SMTPのセキュリティ機 能 を設 定 し、未 承 諾 の宣 伝 用 E
メールなどからネット ワークを保 護 します。
ASG V8 管 理 ガイド
305
10.1SMTP
10メールセキュリティ
図 95 SMTPプロキシ( SMTP Proxy) ：アンチスパム設 定 の構 成
注 –SMTPプロキシのアンチスパムエンジンによってスキャンされるメッセージの最 大 サイズ
は128KBです。 このサイズを超 えるメッセージにはスパムのスキャンが行 われません。
S MTP ト ラン ザク シ ョン 中 のスパム検 出 ( S pa m D e te c ti on D u r i n g
S MTP Tr a n s a c ti on )
SMTPト ランザクション中 にスパムを拒 否 することができます。 【 SMTP時 にリジェクト ( Reject at
SMTP Time) 】 オプションに、次 のいずれかの設 定 を選 択 します。
l
オフ(Off)： スパム検 出 は無 効 となり、スパムが原 因 でEメールが拒 否 されることは一 切 あ
りません。
l
確 認 されたスパム(Confirmed Spam)： 確 認 されたスパムのみ拒 否 されます。
l
スパム(Spam)： システムがスパムとみなす全 てのEメールが拒 否 されます。 ニュースレター
などのEメールを、スパムの疑 いがあるとみなして却 下 する場 合 もあるため、誤 検 出 率 が高
くなる可 能 性 があります。
306
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
プロファイルモード ( In Profile Mode) ： この設 定 はプロファイルごとには変 更 できません。 メッセー
ジが複 数 の受 信 者 宛 てであり、いずれかの受 信 者 のプロファイルでスパムのスキャンが完 全 にオフ
になっている場 合 、この機 能 は省 略 されます。 つまり、通 常 のスパムスキャン設 定 を【スパ
ム( Spam) 】 または【確 認 されたスパム( Confirmed Spam) 】 のいずれかにしておくことをお勧 めし
ます。
RB L ( リアルタイ ムブラ ックホ ールリスト )
リアルタイムブラックホールリスト ( RBL) とは、スパム行 為 に関 連 しているIPアドレスのリスト をイン
ターネット サイト が公 開 する方 式 です。
推 奨 されたRBLを使 用 (Use Recommended RBLs)： このオプションを選 択 すると、メール
転 送 エージェント は外 部 のデータベースに対 して既 知 のスパム送 信 者 ( いわゆるリアルタイムブラッ
クホールリスト ) を問 い合 わせます。 あるサイト が、それらのリスト の1つ以 上 に含 まれていれば、こ
のサイト からの送 信 メッセージを容 易 に拒 否 することができます。 このようなサービスの一 部 はイン
ターネット で利 用 できます。 この機 能 を使 用 することにより、スパムを大 幅 に減 らすことができま
す。
デフォルト で、以 下 のRBLに対 して問 い合 わせます。
l
Commtouch IP Reputation( ctipd.org)
l
cbl.abuseat.org
注 -Astaro Security Gateway が問 い合 わせるRBLリスト は、予 告 なしに変 更 される場 合 が
あります。 Astaroは、これらのデータベースの内 容 を保 証 しません。
Astaro Security Gatewayのアンチスパム機 能 を強 化 するために、さらなるRBLサイト を追 加 し
て、アンチスパム機 能 を強 化 できます。 追 加 するには、 【追 加 のRBLゾーン( Extra RBL
Zones) 】 ボックスでプラスアイコンをクリックします。 表 示 されたテキスト ボックスにRBLゾーンを入 力
します。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
スパム フィルタ( S pa m F i l te r )
Astaro Security Gateway には、スパムの特 徴 がある受 信 Eメールをヒューリスティックに( 発 見
的 方 法 で) チェックする機 能 があります。 この機 能 は、SMTPエンベロープ情 報 と、発 見 的 テスト お
よび特 性 に関 する内 部 データベースを使 用 します。 このスパムフィルタオプションでは、メッセージ
の内 容 とSMTPエンベロープ情 報 に基 づいてメッセージにスコアを付 けます。 スコアが高 いほど、ス
パムの可 能 性 が高 いことを意 味 します。
ASG V8 管 理 ガイド
307
10.1SMTP
10メールセキュリティ
次 の2つのオプションを使 用 して、ある一 定 のスパムスコアが付 いたメッセージへの対 応 方 法 を指
定 することができます。 これにより、スパムの可 能 性 があるEメールに、ゲート ウェイが特 別 に対 応
できるようになります。
l
スパム対 策 (Spam Action)： ここでは、スパムの可 能 性 があるとして分 類 されたメッセー
ジに対 する対 策 を定 義 できます。 ここでは、誤 検 出 、つまり、ニュースレターなどが間 違 っ
てスパムに分 類 され、ブラックホール化 によってEメールが紛 失 する場 合 があることに注 意 し
てください。
l
確 認 されたスパムへの対 策 (Confirmed Spam Action)： ここでは、スパムと確 認 され
たメッセージに対 する対 策 を定 義 できます。
これら2種 類 のスパムに対 する処 理 を、さまざまな対 策 から選 択 できます。
l
オフ(Off)： メッセージはスパムとしてマークされたり、フィルタされません。
l
警 告 (Warn)： メッセージはフィルタされません。 その代 わりに、スパムフラグがメッセージヘ
ッダに追 加 され、スパムマーカがメッセージの件 名 に追 加 されます。
l
隔 離 (Quarantine)： メッセージはブロックされ、Eメールの隔 離 場 所 に保 存 されます。
隔 離 されたメッセージは、ユーザポータルまたはデイリーの隔 離 レポート で確 認 できます。
l
ブラックホール(Blackhole): メッセージは受 信 後 、ただちに削 除 されます。
スパムマーカ(Spam Marker)： このオプションで、スパムマーカを指 定 できます。スパムマーカと
は、スパムメッセージをすばやく簡 単 に識 別 できるように、メッセージの件 名 行 に追 加 される文 字
列 です。 デフォルト では、スパムメッセージを示 すために*SPAM*という文 字 列 が使 用 されます。
送 信 者 ブラックリスト ( S e n de r B l a c k l i s t)
受 信 SMTPセッションのエンベロープ送 信 者 は、このブラックリスト 内 のアドレスと照 合 されます。 エ
ンベロープ送 信 者 がブラックリスト に含 まれている場 合 、メッセージはブラックホール化 されます。
ブラックリスト に新 しいアドレスパターンを追 加 するには、 【ブラックリストアドレスパター
ン( Blacklisted Address Pattern) 】 ボックスでプラスアイコンをクリックし、アドレス( の一 部 ) を入
力 してから、 【適 用 ( Apply) 】 をクリックします。 ワイルドカードとしてアスタリスク(*)を使 用 できま
す( 例 ：*@abbeybnknational.com) 。
308
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
図 96 SMTPプロキシ( SMTP Proxy) ：送 信 者 ブラックリスト を拡 張 する
表 現 フ ィルタ( Ex pr e s s i on F i l te r )
表 現 フィルタは、SMTPプロキシを通 過 するメッセージに特 定 の表 現 が含 まれていないか、コンテン
ツをスキャンし、 疑 いのあるEメールをブロックします。 表 現 はPerl互 換 の正 規 表 現 で指 定 できま
す。 たとえば、「online dating」などの簡 単 な文 字 列 は、大 文 字 と小 文 字 を区 別 しないで解 釈
されます。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
図 97 SMTPプロキシ( SMTP Proxy) ：表 現 フィルタに表 現 を追 加 する
高 度 な アンチウイルス機 能
このエリアには、Astaro Security Gatewayのアンチスパム機 能 を強 化 するために、次 のような他
のさまざまな高 度 なオプションを使 用 できます。
無 効 なHELO/RDNS不 足 のリジェクト (Reject Invalid HELO/Missing RDNS)： 無 効
なHELO エント リを送 信 するホスト やRDNSエント リが不 足 しているホスト を拒 否 するには、このオ
プションを選 択 します。 このチェックからホスト を除 外 するには、 【除 外 ( Exceptions) 】 タブを使 用
してください。
グレーリスト 化 を使 用 (Use Greylisting)： グレーリスト 化 とは、基 本 的 に、特 定 の期 間 にわた
ってEメールを一 時 的 に拒 否 することです。 一 般 に、グレーリスト 化 を使 用 しているメールサーバ
は、すべての受 信 メールから「トリプレット」 と呼 ばれる3種 類 の情 報 を記 録 します。
l
送 信 者 のアドレス
l
メッセージ送 信 元 のホスト のIPアドレス
l
受 信 者 のアドレス
l
メッセージ件 名
ASG V8 管 理 ガイド
309
10.1SMTP
10メールセキュリティ
このト リプレット は、SMTPプロキシの内 部 データベースと照 合 してチェックされます。新 しいト リプレッ
ト が見 つかった場 合 には、それを記 述 する特 別 なタイムスタンプとともにデータベースに記 録 が作 成
されます。 このト リプレット により、当 該 Eメールが5分 間 にわたって拒 否 されます。 5分 経 つとプロキ
シがト リプレット を認 識 します。当 該 メッセージが再 送 信 されると、このメッセージは許 可 されます。
ト リプレット は、1週 間 以 内 に更 新 されなければ、1週 間 後 に失 効 します。
グレーリスト 化 では、ほとんどのスパムメッセージ送 信 者 が「fire-and-forget」方 式 を使 用 してい
る点 を利 用 しています。これは「メールを送 りつけて、うまくいかなければ忘 れる」という方 式 です。
つまり、RFC準 拠 のメールサーバと違 い、スパムメール送 信 者 は、一 時 的 な失 敗 が発 生 したE
メールを再 送 信 しません。 この機 能 では、次 のことが前 提 となっています。つまり、一 時 的 な失 敗
はEメール配 信 に関 するRFC仕 様 に起 因 するため、正 当 なサーバは後 でEメールを再 送 信 しま
す。その時 点 で宛 先 にEメールが受 け入 れられます。
BATVを使 用 (Use BATV)： BATV とは、Eメールアドレスの正 当 な使 用 と不 正 な使 用 を区 別
することを目 指 すIETFの草 稿 です。 BATVは、簡 単 な共 有 鍵 を追 加 してアドレス、時 変 情 報 、
および任 意 のランダムデータのハッシュを符 号 化 することにより、送 信 メールのエンベロープ送 信 者
に署 名 を施 して、Eメールが本 当 に送 信 者 からのものであると証 明 する方 法 を提 供 します。 これ
は主 に、送 信 者 自 身 が送 信 したものではないバウンスメールを拒 否 するために使 用 されます。
BATVを使 用 することにより、受 信 するバウンスが本 当 に自 分 が送 信 したEメールに由 来 しており、
スパム送 信 者 が偽 造 したアドレスからのEメールではないことを確 認 できるようになります。 戻 って
きたバウンスメールのEメールアドレスがBATVに従 って署 名 されていない場 合 、SMTPプロキシはこ
のメッセージを受 け付 けません。 BATVによる署 名 は7日 後 に失 効 します。 Eメールのエンベロー
プMAIL FROMアドレスのハッシュを符 号 化 するために使 用 する鍵 ( 別 名 「 BATVシークレット」 ) を
変 更 するには、 【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【詳 細 ( Advanced) 】 タブ
に進 みます。
注 - メール転 送 エージェント によっては、BATVによってエンベロープ送 信 者 アドレスが変 更 され
たメッセージを拒 否 する場 合 があります。 この場 合 、影 響 を受 ける送 信 者 、受 信 者 、ドメイン
に対 して除 外 ルールを作 成 する必 要 があります。
SPFチェックを実 施 (Perform SPF check)： SPF( 送 信 者 ポリシフレームワーク： Sender
Policy Framework) とは、ドメインの所 有 者 が送 信 Eメールサーバに関 する情 報 を公 開 するため
のフレームワークです。 ドメインは公 開 レコードを使 用 して、さまざまなサービス( Web、Eメールな
ど) をこれらのサービスを実 行 するマシンに送 信 します。 すべてのドメインは、そのドメインへのメール
をどのマシンが受 信 するのかを知 らせるMXレコードをEメール関 連 のサービス用 に公 開 していま
す。 SPFでは、ドメインからある種 の「リバースMXレコード」を公 開 することにより、そのドメインから
のメールを送 信 しているマシンを広 く一 般 に伝 えます。 特 定 のドメインからメッセージを受 信 する
と、受 信 者 はそれらのレコードを確 認 して、正 当 な送 信 者 からのメールであることを確 認 します。
310
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
クロスリファレンス- 詳 細 は、送 信 者 ポリシフレームワーク( Sender Policy Framework) Web
サイト でご確 認 ください。
図 98 SMTPプロキシ( SMTP Proxy) ：高 度 なアンチウイルス機 能
追 加 のアンチスパム機 能 として、SMTPプロキシは、任 意 のアドレスへのメールを受 信 したときに、
バックエンドのメールサーバに対 して受 信 者 アドレスを暗 黙 でチェックしてからそのメールを受 け付 け
ます。 無 効 な受 信 者 アドレスへのEメールは許 可 されません。 この機 能 が動 作 するためには、使
用 しているバックエンドメールサーバが、SMTPステージで不 明 受 信 者 へのメールを拒 否 できなけ
ればなりません。 原 則 的 に、バックエンドサーバがメッセージを拒 否 すれば、SMTPプロキシもこのメ
ッセージを拒 否 します。
ただし、受 信 者 の確 認 は信 頼 される( 許 可 される) ホスト やリレーホスト に対 しては行 われません。
この理 由 は、ユーザエージェント によっては、SMTPト ランザクションで受 信 者 が拒 否 されると問 題
が発 生 する場 合 があるためです。 一 般 的 なシナリオ( バックエンドメールサーバがSMTPト ランザク
ションで不 明 な受 信 者 を拒 否 する) では、Astaro Security Gateway バウンスが生 成 されるの
は次 の場 合 に限 られます。
l
信 頼 される送 信 元 やリレー元 が、配 信 不 能 な受 信 者 にメッセージを送 信 した場 合 。
l
バックエンドメールサーバが停 止 しており、Astaro Security Gateway 受 信 者 を確 認 でき
なかった場 合 。
ただし、Astaro Security Gateway は、バックエンドメールサーバからの配 信 不 能 レポー
ト ( NDR) やバウンスの送 信 を防 止 することはできません。 さらに、Astaro Security Gateway
は、メールサーバからのスパムの可 能 性 のあるコールアウト 応 答 は24時 間 キャッシュし、可 能 性
のないものは2日 間 キャッシュします。
10.1.5除 外
【 SMTP】 >>【除 外 ( Exceptions) 】 タブで、アンチスパム、アンチウイルス、またはその他 のセキュ
リティチェックから除 外 するホワイト リスト のホスト 、ネット ワーク、送 信 者 、および受 信 者 を定 義 で
ASG V8 管 理 ガイド
311
10.1SMTP
10メールセキュリティ
きます。
注 - Eメールは多 数 の受 信 者 に送 信 される場 合 がありますが、Astaro Security Gateway
はSMTPプロト コルのインラインスキャニングを実 装 しているため、Eメール受 信 者 のうち1人 でも 【
受 信 者 ( Recipeints) 】 ボックスにリスト されていると、Eメールのスキャンはすべての受 信 者 に対
してスキップされます。
図 99 SMTPプロキシ( SMTP Proxy) ：除 外 リスト
除 外 ルールを作 成 するには、次 の手 順 に従 います。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。
【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この除 外 を説 明 する名 前 を入 力 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。 詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチウイルス」 および「アンチスパム」
を参 照 してください。
スキップする送 信 元 ホスト /ネット ワーク(For These Source Hosts/Networks)： こ
の除 外 ルールで定 義 されたセキュリティチェックをスキップする送 信 元 ホスト /ネット ワーク( メ
ッセージが発 信 されたホスト またはネット ワーク) を選 択 します。
注 - ローカルメッセージはデフォルト でスキャンされないので、ローカルホスト には除 外 を作
成 する必 要 はありません。
このオプションを選 択 すると、 【ホスト /ネットワーク( Hosts/Networks) 】 ダイアログボックスが
開 きます。 「+」記 号 またはフォルダ記 号 をクリックして、ホスト あるいはネット ワークを追 加 で
きます。
312
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
送 信 者 アド レスで除 外 (These Sender Addresses)： 定 義 したセキュリティチェックを
スキップする送 信 者 のEメールアドレスを選 択 します。
このオプションを選 択 すると、 【送 信 者 ( Senders) 】 ダイアログボックスが開 きます。 完 全 で
有 効 なEメールアドレスを入 力 するか( 例 ：[email protected]) 、またはアスタリスクをワイ
ルドカードとして使 用 して特 定 ドメインのすべてのEメールアドレスを指 定 できます(
例 ：*@example.com) 。
注 - 送 信 者 アドレスは容 易 に偽 造 できるため、 【送 信 者 ( Senders) 】 オプションを使 用
する際 は注 意 が必 要 です。
スキップする受 信 者 アド レス(These Recipient Addresses)： 定 義 されたセキュリティ
チェックをスキップする受 信 者 のEメールアドレスを選 択 します。
このオプションを選 択 すると、 【受 信 者 ( Recipients) 】 ダイアログボックスが開 きます。 完 全
で有 効 なEメールアドレスを入 力 するか( 例 ：[email protected]) 、またはアスタリスクをワ
イルドカードとして使 用 して特 定 ドメインのすべてのEメールアドレスを指 定 できます(
例 ：*@example.com) 。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。新 しい除 外 が【除 外 ( Exceptions)】 リスト に表 示 されま
す。
例 外 を編 集 または削 除 するには、対 応 するボタンをクリックします。
10.1.6リレー
SMTPプロキシはメールリレーとして使 用 できます。 メールリレーは、特 定 のユーザ、ユーザグルー
プ、あるいはホスト がそれを介 してローカル以 外 のドメインにEメールをリレー( 送 信 ) できるように設
定 されたSMTP サーバです。
アップ スト リームホ スト リスト ( U ps tr e a m H os t L i s t)
アップスト リームのホスト は、Eメールをお客 様 のISP あるいは外 部 MXに転 送 するホスト です。 スタ
ティックなアップスト リームのホスト からEメールを受 信 する場 合 は、ここにホスト を入 力 する必 要 が
あります。 ホスト を入 力 しないと、スパム保 護 が正 常 に機 能 しなくなります。
ASG V8 管 理 ガイド
313
10.1SMTP
10メールセキュリティ
図 100 SMTPプロキシ( SMTP Proxy) ：リレーの設 定
アップスト リームホスト を追 加 するには、「+」アイコンまたはフォルダアイコンをクリックして、 【ネット
ワーク( Networks) 】 オブジェクト リスト からドラッグ＆ ドロップします。 アップスト リームホスト のみを
許 可 する場 合 は、 【アップストリーム/リレーホストのみ許 可 ( Allow Upstream/Relay Hosts
Only) 】 チェックボックスにチェックを入 れます。 これにより、SMTPアクセスは、定 義 されたアップスト
リームホスト ( および下 記 の認 証 されたリレー) に制 限 されます。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
認 証 さ れたリレー( Au th e n ti c a te d Re l a y )
SMTPクライアント は、リレー特 権 の取 得 を認 証 できます。 【認 証 されたリレーの許 可 ( Allow
Authenticated Relaying) 】 チェックボックスにチェックを入 れて、この機 能 を使 用 できるようにする
ユーザおよびユーザグループを指 定 します。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックしま
す。
314
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
ホスト ベースのリレー( H os t- ba s e d Re l a y )
メールリレーも、ホスト ベースに対 応 できます。 お使 いのローカルメールサーバあるいはメールクライ
アント がSMTPプロキシをメールリレーとして使 用 する必 要 がある場 合 は、リレーを介 してメールを
送 信 できるようにするネット ワークやホスト を【許 可 するホスト /ネットワーク( Allowed
Hosts/Networks) 】 ボックスに追 加 する必 要 があります。 リスト されたネット ワークやホスト は、ど
のアドレスにもメッセージを送 信 できます。
警 告 -【許 可 するホスト /ネットワーク( Allowed Hosts/Networks) 】 ボックスでは、絶 対 に【す
べて( Any) 】 を選 択 しないでください。これを選 択 すると、オープンリレーになり、インターネット 上
の誰 もがSMTPプロキシ経 由 でメッセージを送 信 できるようになります。 スパマはこれをすぐに見
つけ、大 量 のEメールト ラフィックを送 信 します。 最 悪 の場 合 は、お客 様 がサードパーティのスパ
マブラックリスト に載 ることになってしまいます。 ほとんどの設 定 では、お客 様 のネット ワークのメー
ルサーバだけを、メールのリレーを許 可 される唯 一 のホスト とすべきです。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ホスト / ネット ワークのブ ラックリスト ( H os t/Ne tw or k B l a c k l i s t)
ここで、SMTPプロキシでブロックするホスト およびネット ワークを定 義 できます。設 定 を保 存 するに
は【適 用 ( Apply) 】 をクリックします。
図 101 SMTPプロキシ( SMTP Proxy) ：ホスト /ネット ワークのブラックリスト の有 効 化
リレーメ ッセ ージ のコンテ ンツをスキャン( C on te n t S c a n F or Re l a y e d
Me s s a ge s )
このオプションを有 効 にすると、認 証 されたリレーあるいはホスト ベースのリレーで送 信 されるメッ
セージについて、悪 意 あるコンテンツの有 無 がスキャンされます。 送 信 メールが大 量 にある場 合 、
このオプションをオフにすると、パフォーマンスが向 上 します。設 定 を保 存 するには【適 用 ( Apply) 】
をクリックします。
送 信 メッセージには、グローバルなアンチウイルスおよびアンチスパム設 定 も適 用 されます。 ただ
し、これらの設 定 を問 わず、感 染 メッセージやスパムメッセージはブラックホール化 ではなく常 に隔
離 されます。これにより、意 図 しないメールの紛 失 が回 避 されます。
ASG V8 管 理 ガイド
315
10.1SMTP
10メールセキュリティ
図 102 SMTPプロキシ( SMTP Proxy) ：リレーメッセージのコンテンツスキャンの有 効 化
10.1.7詳 細
【 SMTP】 >>【詳 細 ( Advanced) 】 タブでは、スマート ホスト の設 定 や透 過 モードスキップリスト な
どのSMTPプロキシの追 加 セキュリティオプションを設 定 できます。
親 プロ キシ ( P a r e n t P r ox y )
親 プロキシは、多 くの場 合 、政 府 承 認 のプロキシサーバを通 してインターネット アクセスをルーティ
ングする必 要 のある国 で必 要 とされます。 親 プロキシの使 用 がセキュリティポリシで求 められてい
る場 合 、ここでホスト 定 義 とポート を選 択 して親 プロキシを設 定 できます。
親 プロキシを使 用 (Use a Parent Proxy)： このチェックボックスにチェックを入 れて、親 プロキ
シの使 用 を有 効 にします。 プロキシのホスト 名 とポート を入 力 します。
このプロキシは認 証 が必 要 (This Proxy Requires Authentication)： 親 プロキシが認
証 を必 要 とする場 合 は、ここでユーザ名 とパスワードを入 力 します。
透 過 モード ( Tr a n s pa r e n t Mode )
SMTPの透 過 モードを有 効 化 するには、チェックボックスにチェックを入 れ、 【適 用 ( Apply) 】 をクリッ
クします。
【透 過 モード時 にスキップするホスト /ネット ( Skip Transparent Mode Hosts/Nets) 】 ボックスに
リスト されているホスト とネット ワークは、SMTPト ラフィックの透 過 的 インターセプションの対 象 とはな
りません。 ただし、これらのホスト およびネット ワークでSMTPト ラフィックを許 可 するには、 【リスト内
のホスト /ネットワークのSMTPトラフィックを許 可 ( Allow SMTP Traffic For Listed
Hosts/Nets) 】 チェックボックスにチェックを入 れます。 このチェックボックスにチェックを入 れない場 合
は、ここでリスト されているホスト とネット ワークに特 定 のファイアウォールルールを定 義 する必 要 があ
ります。
TL S 設 定 ( TL S S e tti n gs )
TLS証 明 書 (TLS Certificate)： ドロップダウンリスト から証 明 書 を選 択 します。この証 明 書
は、TLS暗 号 化 についてそれをサポート しているすべてのリモート ホスト とネゴシエート するために使
用 されます。
316
ASG V8 管 理 ガイド
10メールセキュリティ
10.1SMTP
TLSネゴシエーションホスト /ネット が必 要 (Require TLS Negotiation Host/Nets)： ここ
に、Eメール通 信 のTLS暗 号 化 が常 に必 要 なホスト またはネット を追 加 します。 これにより、ASG
は、これらのホスト /ネット で何 らかの理 由 でTLS暗 号 化 を使 用 できない場 合 に、Eメールを抑 制
します。つまり、TLSが使 用 可 能 になるまで、メッセージはメールキューに保 留 されます。 一 定 の
期 間 にわたってTLSを使 用 できない場 合 は、送 信 の試 行 が停 止 され、Eメールを送 信 できなかっ
たという通 知 がユーザに送 信 されます。
TLSネゴシエーション送 信 者 ド メインが必 要 (Require TLS Negotiation Sender
Domains)： 特 定 のドメインに対 して受 信 EメールのTLS暗 号 化 を強 制 するには、ここにドメイン
を入 力 します。 これらのドメインからTLSなしで送 信 されたEメールは、即 時 に拒 否 されます。
TLSネゴシエーションホスト /ネット をスキップ(Skip TLS Negotiation Host/Nets)： 特 定
のホスト やネット ワークでTLS暗 号 化 に関 する問 題 が発 生 した場 合 は、それをボックスに入 力 し、
適 切 なTLS証 明 書 をドロップダウンメニューから選 択 します。 それによって、ASGは、このホスト また
はネット ワークに対 するTLSネゴシエーションをスキップします。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
送 信 ド メ イン 認 証 技 術 ( D KI M) ( D om a i n Ke y s I de n ti f i e d Ma i l
( D KI M) )
DKIM は発 信 メッセージに暗 号 によって署 名 する方 法 です。 DKIM署 名 を使 用 するには、RSA
鍵 と対 応 する鍵 セレクタを各 フィールドに入 力 し、Eメールに署 名 するドメインを【 DKIMドメイ
ン( DKIM Domains) 】 ボックスに追 加 します。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックしま
す。
機 密 フ ッタ( C on f i de n ti a l i ty F oote r )
各 送 信 メールについて、Eメールに極 秘 あるいは部 外 秘 の情 報 が含 まれていることなどをユーザに
知 らせる機 密 フッタを追 加 してカスタマイズできます。 ただし、機 密 フッタは、Eメールが返 信 の場
合 ( 例 ： In-Reply-Toヘッダを持 つもの) またはEメールのコンテンツタイプを判 定 できない場 合
は、Eメールに追 加 されません。
注 -Eメールクライアント ( 例 ：Microsoft OutlookまたはMozilla Thunderbird) が署 名 済 みま
たは暗 号 化 済 みのメッセージにフッタを追 加 すると、署 名 が破 壊 されて無 効 になります。 デジタ
ル署 名 をクライアント 側 で作 成 する場 合 は、アンチウイルスチェックフッタオプションを無 効 にしてく
ださい。 ただし、Eメール通 信 のプライバシや認 証 を保 ちながら一 般 的 なアンチウイルスチェックフ
ッタを使 用 したい場 合 は、Astaro Security Gatewayの組 み込 みEメール暗 号 化 機 能 を使 用
してください。ゲート ウェイ上 でのEメール暗 号 化 では、デジタル署 名 を作 成 する前 にフッタがメッ
セージに付 加 されるため、署 名 が損 なわれることはありません。
ASG V8 管 理 ガイド
317
10.1SMTP
10メールセキュリティ
詳細設 定
ここで、SMTPホスト 名 やポスト マスタアドレスなどを設 定 できます。
SMTPホスト 名 (SMTP Hostname)： SMTPホスト 名 を設 定 すると、プロキシは、HELO およ
びSMTPバナーメッセージで指 定 された名 前 を使 用 します。 デフォルト では、通 常 システムのホス
ト 名 が選 択 されています。
ポスト マスタアド レス(Postmaster Address)： 送 信 されたメッセージの転 送 先 となるASGのポ
スト マスタのEメールアドレスをpostmaster@[192.168.16.8]の形 で指 定 します。この場 合 、IP
リテラルアドレスが、ASGのIPアドレスの1つになります。 そのようなメッセージを受 け入 れること
がRFC 要 件 となっています。
BATVシークレット (BATV Secret)： ここで、SMTPプロキシが使 用 する、自 動 的 に生 成 され
たBATV シークレット を変 更 できます。 BATVシークレット はEメールのエンベロープのMailFromア
ドレスへの署 名 に使 用 される共 有 鍵 で、無 効 なバウンスアドレスの検 出 を可 能 にします。 複 数
のMXをドメインに使 用 している場 合 は、BATVシークレット をすべてのシステムで同 じものに変 更 で
きます。
最 大 メッセージサイズ(Max Message Size)： プロキシが受 け付 ける最 大 メッセージサイズ。
この設 定 は送 受 信 両 方 のEメールに適 用 されます。 バックエンドサーバにメッセージサイズの制 限
がある場 合 は、ここではその制 限 値 以 下 に設 定 する必 要 があります。
最 大 接 続 数 (Max Connections)： プロキシが許 可 する最 大 同 時 接 続 数 。 デフォルト は20
です。
最 大 接 続 /ホスト (Max Connections/Host)： プロキシが許 可 する接 続 あたりの最 大 ホス
ト 数 。 デフォルト は10です。
最 大 メール/接 続 (Max Mails/Connection)： プロキシが許 可 する接 続 あたりの最 大 メー
ル数 。 デフォルト は1000です。
最 大 受 信 者 /メール(Max Rcpt/Mail)： プロキシが許 可 するメールあたりの最 大 受 信 者 数 。
デフォルト は500です。
フッタモード (Footers Mode)： ここでメールへのフッタの追 加 方 法 を定 義 できます。 【 MIME
パート ( MIME Part) 】 を指 定 すると、追 加 のMIMEパート としてフッタを追 加 します。 既 存 のパート
エンコーディングは変 更 されないので、国 語 の文 字 が保 持 されます。 別 の方 式 である【インライ
ン( Inline) 】 では、フッタがメール本 体 から区 切 り記 号 --で分 離 されます。 このモードでは、フッタ
でUnicode( UTF-8) 変 換 を使 用 するかどうかを選 択 できます。 Unicode変 換 を行 うと、フッタで
国 語 の文 字 を保 持 するようにメッセージがアップグレードされます。
318
ASG V8 管 理 ガイド
10メールセキュリティ
10.2SMTPプロファイル
スマート ホスト の設 定 ( S m a r th os t S e tti n gs )
スマート ホスト はメールリレーサーバの一 種 で、SMTPサーバが受 信 者 のサーバに直 接 メールを
ルーティングするのではなく、アップスト リームのメールサーバにルーティングできるようにします。 多 く
の場 合 このスマート ホスト は、送 信 者 がスマート ホスト を通 してメールを送 信 する権 限 を持 つことを
確 認 するために、送 信 者 の認 証 を必 要 とします。
スマート ホスト を使 用 する(Use A Smarthost)： メールの送 信 にスマート ホスト を使 用 する場
合 は、このチェックボックスにチェックを入 れます。 このオプションを選 択 すると、プロキシ自 体 がメー
ルを配 信 することはなくなり、すべてをスマート ホスト に送 信 するようになります。
l
スマート ホスト (Smarthost)： スマート ホスト オブジェクト を選 択 または追 加 します。
l
スマート ホスト ポート (Smarthost Port)： スマート ホスト 接 続 のデフォルト ポート は25で
す。 必 要 に応 じて、ポート を変 更 できます。
l
このスマート ホスト は認 証 が必 要 (This Smarthost Requires Authentication)：
スマート ホスト が認 証 を必 要 とする場 合 は、チェックボックスにチェックを入 れます。 【プレー
ン( Plain) 】 と【ログイン( Login) 】 認 証 タイプの両 方 がサポート されています。 それぞれのフ
ィールドにユーザ名 とパスワードを入 力 します。
10.2SMTPプロファイル
Astaro Security GatewayのSMTPプロキシで、別 のSMTPプロファイルを作 成 し、それを異 なる
ドメインに関 連 付 けることができます。 このようにして、 【メールセキュリティ( Mail
Security) 】 >>【 SMTP】 で設 定 されたデフォルト のプロファイル以 外 のプロファイルを使 用 する特
定 のドメインを指 定 できます。 機 能 の順 序 はタブによって構 造 化 され、SMTPト ランザクション時 に
各 ステップが互 いにどのように処 理 されるかを決 定 します。
ASG V8 管 理 ガイド
319
10.2SMTPプロファイル
10メールセキュリティ
図 103 SMTPプロファイル：SMTPプロファイルの設 定
SMTPプロファイルを作 成 するには、以 下 の手 順 に従 います。
1. SMTPプロファイルモード を有 効 にします。
【メールセキュリティ( Mail Security) 】 >>【 SMTP】 >>【グローバル( Global) 】 タブで、 【プ
ロファイルモード ( Profile Mode) 】 を選 択 して【適 用 ( Apply) 】 をクリックします。
【メールセキュリティ( Mail Security) 】 >>【 SMTPプロファイル( SMTP Profiles) 】 メニュー
のSMTPプロファイル作 成 が有 効 になります。
2. 【 SMTPプロファイル(SMTP Profiles)】 タブで、 【新 規 プロファイルの作 成 (Create
New Profile)】 をクリックします。
ダイアログボックスが開 きます。
3. プロファイルを説 明 する名 前 を入 力 し、 【 OK】 をクリックします。
プロファイルの設 定 ページが開 きます。
320
ASG V8 管 理 ガイド
10メールセキュリティ
10.2SMTPプロファイル
4. 1つ以 上 のド メインを追 加 します。
1つ以 上 のドメインを【ドメイン( Domains) 】 ボックスに追 加 します。
このプロファイルの設 定 が、それらのドメインに適 用 されます。
5. 次 の設 定 を行 います。
使 用 する機 能 にのみ設 定 します。 以 下 の各 機 能 に対 して、ここで定 義 する個 々 の設 定
を使 用 するか、または【メールセキュリティ( Mail Security) 】 >>【 SMTP】 で定 義 するグロー
バル設 定 を使 用 するかを決 定 できます。 デフォルト では、個 々 の設 定 オプションが選 択 さ
れています。 各 機 能 の個 々 の設 定 について以 下 に説 明 します。
注 - ここで設 定 されたドメイン名 が送 信 者 アドレスに含 まれる暗 号 化 されたEメールは、
当 製 品 のEメール暗 号 化 /復 号 化 エンジンを使 用 しても復 号 化 できません。 Astaro
Security Gateway. したがって、外 部 Eメールドメインのプロファイルは含 めないようにして
ください。
ここで定 義 できるすべての設 定 は、 【メールセキュリティ( Mail Security) 】 >>【 SMTP】 でも
グローバルに設 定 できます。 したがって、ここでは、設 定 の一 覧 とグローバル設 定 との相 違
点 のみを、対 応 するグローバル設 定 へのクロスリファレンスとともに示 します。設 定 の詳 細
は、グローバル設 定 でご覧 ください。
以 下 の設 定 を行 うことができます。
l
ルーティング(Routing)： 【ルーティング( Routing) 】 タブで、SMTPプロキシのドメイ
ンとルーティングターゲット を設 定 し、受 信 者 の確 認 方 法 を定 義 します。
l スタティックホスト リスト ( Static Host List)
l
DNSホスト 名 ( DNS Hostname)
l
MXレコード( MX Records)
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「ルーティング」 を参 照 してください。
l
受 信 者 の確 認
受 信 者 を確 認 (Verify recipients)： ここでEメール受 信 者 を確 認 するかどうか
と確 認 方 法 を指 定 できます。
l
コールアウト 使 用 (With Callout)： 受 信 者 確 認 の要 求 がサーバに送 信
されます。
l
Active Directory： 受 信 者 確 認 の要 求 がActive Directoryサーバに送
信 されます。 Active Directoryを使 用 するには、 【定 義 およびユー
ASG V8 管 理 ガイド
321
10.2SMTPプロファイル
10メールセキュリティ
ザ( Definitions & Users) 】 >>【認 証 サーバ( Authentication
Servers) 】 &【サーバ( Servers) 】 で指 定 されたActive Directoryサーバを
備 えていることが必 要 です。 ベースDNを【代 替 ベースDN( Alternate Base
DN) 】 フィールドに入 力 します。
注 - Active Directory受 信 者 検 証 を使 用 すると、サーバが応 答 しない場
合 にメッセージがバウンスされる場 合 があります。
l
オフ(Off)： 受 信 者 確 認 は完 全 にオフにできますが、推 奨 されません。なぜ
なら、オフにすると、スパムト ラフィックが増 大 して、辞 書 攻 撃 の危 険 性 が高 ま
るからです。 この結 果 、隔 離 場 所 が迷 惑 メールで溢 れてしまうことになりま
す。
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「ルーティング」 を参 照 してください。
l
Astaro RBLおよびダイヤルアップによるブロック(Astaro RBLs and Dial-up
Blocking)： ここでスパムにリンクしたIPアドレスをブロックできます。
l 推 奨 されたRBLを使 用 RBL
l
ダイヤルアップ/レジデンシャルホスト のブロック( Block Dial-up/Residential
Hosts)
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチスパム」 を参 照 してください。
l
追 加 のRBL(Extra RBLs)： さらなるRBLサイト を追 加 して、当 製 品 のアンチスパ
ム機 能 を強 化 できます。 Astaro Security Gateway. 詳 細 は、 「メールセキュリテ
ィ」 >>「 SMTP」 >>「アンチスパム」 を参 照 してください。 3番 目 のオプションとして、こ
こで個 別 の設 定 にグローバル設 定 を追 加 できます。
l
BATV/RDNS/HELO/SPF/グレーリスト
化 (BATV/RDNS/HELO/SPF/Greylisting)： このタブでは、当 製 品 のアン
チスパム機 能 を強 化 するために、次 のような他 のさまざまな高 度 なオプションを使 用
できます。 Astaro Security Gateway.
l 無 効 なHELO/RDNSなしのリジェクト ( Reject Invalid HELO/Missing
RDNS)
l
グレーリスト 化 を使 用 ( Use Greylisting)
l
BATVを使 用 ( Use BATV)
l
SPFチェックを実 施 ( Perform SPF Check)
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチスパム」 を参 照 してください。
322
ASG V8 管 理 ガイド
10メールセキュリティ
l
10.2SMTPプロファイル
アンチウイルススキャン(AntiVirus Scanning)： 悪 意 あるコンテンツを含 むメッ
セージの処 理 方 法 を設 定 できます。 次 の作 業 を実 行 できます。
l オフ( Off)
l
隔 離 ( Quarantine)
l
ブラックホール( Blackhole)
以 下 のアンチウイルススキャンオプションから選 択 できます。
l
シングルスキャン( Single Scan) ：最 高 のパフォーマンスを提 供 します。
l
デュアルスキャン( Dual Scan) ：最 大 のセキュリティを提 供 します。
スキャン不 可 コンテンツと暗 号 化 コンテンツを隔 離 (Quarantine
Unscannable and Encrypted Content)： このオプションを選 択 して、コンテ
ンツをスキャンできなかったEメールを隔 離 します。 コンテンツをスキャンできなかった
理 由 としては、コンテンツが暗 号 化 されているか、または破 損 していることが考 えられ
ます。
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチウイルス」 を参 照 してください。
l
アンチスパムスキャン(AntiSpam Scanning)： ここで迷 惑 な宣 伝 メールの取 り
扱 いを決 めます。 スパムおよびスパムと確 認 されたEメールに対 して以 下 の対 策 を
選 択 できます。
l オフ( Off)
l
警 告 ( Warn)
l
隔 離 ( Quarantine)
l
ブラックホール( Blackhole)
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチスパム」 を参 照 してください。
l
送 信 者 ブラックリスト (Sender Blacklist)： 受 信 SMTPセッションのエンベロープ
送 信 者 が、このブラックリスト のアドレスと照 合 されます。 エンベロープ送 信 者 がブラッ
クリスト に含 まれている場 合 、メッセージはブラックホール化 されます。 詳 細 は、 「メー
ルセキュリティ」 >>「 SMTP」 >>「アンチスパム」 を参 照 してください。 3番 目 のオプシ
ョンとして、ここで個 別 の設 定 にグローバル設 定 を追 加 できます。
l
MIME音 声 /動 画 /実 行 可 能 ファイルのブロック(MIME
Audio/Video/Executables Blocking)：MIME タイプフィルタは、Eメールコ
ンテンツのMIMEタイプを読 みます。 どのタイプのコンテンツを隔 離 するかを選 択 でき
ます。
ASG V8 管 理 ガイド
323
10.2SMTPプロファイル
l
音 声 コンテンツ
l
動 画 コンテンツ
l
実 行 可 能 ファイルコンテンツ
10メールセキュリティ
詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチウイルス」 を参 照 してください。
l
MIMEタイプのブラックリスト (MIME Type Blacklist)： ここで、その他 のMIMEタ
イプを隔 離 場 所 ( 検 疫 ) に追 加 できます。 詳 細 は、 「メールセキュリテ
ィ」 >>「 SMTP」 >>「アンチウイルス」 を参 照 してください。 3番 目 のオプションとして、
ここで個 別 の設 定 にグローバル設 定 を追 加 できます。
l
MIMEタイプのホワイト リスト (MIME Type Whitelist)： ここで隔 離 しな
いMIMEタイプを追 加 できます。 詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「ア
ンチウイルス」 を参 照 してください。 3番 目 のオプションとして、ここで個 別 の設 定 にグ
ローバル設 定 を追 加 できます。
l
ブロックするファイル拡 張 子 (Blocked File Extensions)： ファイル拡 張 子 フィル
タを使 用 して、ファイル拡 張 子 に基 づいて、特 定 のファイルタイプ( 例 ：実 行 可 能 ファ
イル) を含 むEメールを( 警 告 付 きで) 隔 離 できます。 詳 細 は、 「メールセキュリテ
ィ」 >>「 SMTP」 >>「アンチウイルス」 を参 照 してください。 3番 目 のオプションとして、
ここで個 別 の設 定 にグローバル設 定 を追 加 できます。
l
ブロックする表 現 (Blocked Expressions)： 表 現 フィルタは、SMTPプロキシを
通 過 するメッセージのコンテンツについて、特 定 の表 現 をスキャンします。 疑 いのあ
るEメールをブロックします。 詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチス
パム」 を参 照 してください。 3番 目 のオプションとして、ここで個 別 の設 定 にグローバル
設 定 を追 加 できます。
l
機 密 フッタ(Confidentiality Footer)：各 送 信 メールについて、Eメールに極 秘
あるいは部 外 秘 の情 報 が含 まれていることなどをユーザに知 らせる機 密 フッタを追
加 してカスタマイズできます。 ただし、機 密 フッタは、Eメールが返 信 の場 合 ( 例 ： InReply-Toヘッダを持 つもの) またはEメールのコンテンツタイプを判 定 できない場 合
は、Eメールに追 加 されません。 送 信 者 ドメインに応 じて、フッタが追 加 されます。 フ
ッタを使 用 するには、チェックボックスにチェックを入 れ、フッタのテキスト を入 力 して【適
用 ( Apply) 】 をクリックします。
6. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。新 しいプロファイルが【 SMTPプロファイル( SMTP Profiles) 】 リスト に
表 示 されます。
324
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
注 -トピックに【グローバル設 定 の使 用 ( Use Global Settings) 】 を選 択 して【適 用 ( Apply) 】
をクリックすると、機 能 のアイコンがグローバル設 定 のアイコンに変 わります。 これにより、どの機 能
に対 してグローバル設 定 または個 々 の設 定 が適 用 されているかが簡 単 にわかります。
プロファイルの無 効 化 、名 前 変 更 、または削 除 を行 う場 合 は、プロファイルドロップダウンリスト 下 に
ある上 段 の該 当 するボタンをクリックします。
10.3POP3
【メールセキュリティ( Mail Security) 】 >>【 POP3】 メニューでは、受 信 EメールのPOP3プロキシを
設 定 できます。 POP3( Post Office Protocol 3) はアプリケーション層 インターネット 標 準 プロト コ
ルで、リモート メールサーバからのEメールの取 り出 しを可 能 にします。 POP3プロキシは透 過 的 に
機 能 します。つまり、ポート 110で内 部 ネット ワークから受 信 するすべてのPOP3要 求 は、クライアン
ト には認 識 されずにプロキシを通 してインターセプト ( 傍 受 ) され、リダイレクト されます。 このモードの
メリット は、その他 の管 理 やクライアント 側 の設 定 が必 要 ないということです。
注 - 場 合 によっては、Eメールクライアント の設 定 でサーバタイムアウト 設 定 を長 くすることが必 要
です。 通 常 のデフォルト である約 1分 以 内 の設 定 では、特 に大 きなEメールをフェッチするときに
は短 すぎます。
POP3プロト コルには、どのEメールがすでに取 り出 されたかをサーバ側 で追 跡 する機 能 はありませ
ん。 一 般 的 には、メールクライアント がEメールを取 り出 した後 、サーバ上 でそれを削 除 します。 た
だし、クライアント がメールを削 除 しないように設 定 されている場 合 、サーバ側 の削 除 は行 われず、
どのメールがすでにフェッチされたかをクライアント が追 跡 します。
10.3.1グローバル
【 Web セキュリティ( Web Security) 】 >>【 POP3】 >>【グローバル( Global) 】 タブでは、POP3プロ
キシの基 本 設 定 を構 成 できます。
ASG V8 管 理 ガイド
325
10.3POP3
10メールセキュリティ
図 104 POP3プロキシ( POP3 Proxy) ：POP3プロキシを有 効 にする
POP3プロキシを設 定 するには、以 下 の手 順 に従 います。
1. POP3プロキシを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり【 POP3設 定 ( POP3 Settings) 】 エリアが編 集 可
能 になります。
2. 許 可 するネット ワークを選 択 します。
プロキシPOP3ト ラフィックに許 可 するネット ワークを選 択 します。 デフォルト では、これは内
部 ネット ワークです。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
ライブ ログ
POP3ライブログ( POP3 Live Log)は、POP3プロキシのアクティビティをログし、すべての受 信 Eメー
ルを表 示 します。 ボタンをクリックして、新 しいウィンドウでライブログを開 きます。
10.3.2アンチウイルス
【アンチウイルス( AntiVirus) 】 タブには、ウイルス、ワーム、その他 のマルウェアなどの有 害 で危 険
なコンテンツを含 むEメールに対 するさまざまな対 策 が含 まれています。
326
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
図 105 POP3プロキシ( POP3 Proxy) ：アンチウイルス設 定 の構 成
アンチウイルススキ ャン( An ti Vi r u s S c a n n i n g)
このオプションでは、ウイルス、ト ロイの木 馬 、疑 わしいファイルタイプなどの不 要 なコンテンツがない
かどうか、Eメールをスキャンします。 悪 意 のあるコンテンツを含 むメッセージはブロックされて、Eメー
ルの隔 離 場 所 に保 存 されます。 ユーザは、Astaroユーザポータルまたはデイリーの隔 離 レポート
で、隔 離 されたメッセージを確 認 してリリースできます。 ただし、悪 意 のあるコンテンツを含 むメッ
セージは、メールマネージャで管 理 者 のみが隔 離 からリリースできます。
Astaro Security Gateway は、最 高 のセキュリティを実 現 するさまざまなアンチウイルスエンジン
を備 えています。
l
シングルスキャン(Single Scan)： デフォルト の設 定 で、最 高 のパフォーマンスを提 供 し
ます。
l
デュアルスキャン(Dual Scan)： 異 なるウイルススキャナを使 用 してすべてのEメールを2
回 スキャンすることで最 大 の認 識 率 を提 供 します。
スキャン不 可 コンテンツと暗 号 化 コンテンツを隔 離 (Quarantine Unscannable and
Encrypted Content)： このオプションを選 択 して、コンテンツをスキャンできなかったEメールを
隔 離 します。 スキャンできないコンテンツは、暗 号 化 されたもの、破 損 したアーカイブ、またはサイズ
が大 きすぎるコンテンツの他 、スキャナの不 具 合 などの技 術 的 な問 題 による場 合 があります。
最 大 スキャンサイズ(Max Scanning Size)： アンチウイルスエンジンでスキャンする最 大 ファイ
ルサイズを指 定 します。 このサイズを超 えるファイルはスキャン対 象 外 となります。
ASG V8 管 理 ガイド
327
10.3POP3
10メールセキュリティ
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
ファイ ル拡 張 子 フィ ルタ( F i l e Ex te n s i on F i l te r )
この機 能 は、ファイル拡 張 子 に基 づいて特 定 タイプのファイル( 実 行 可 能 ファイルなど) を含 むE
メールを( 警 告 付 きで) フィルタリングし、隔 離 します。 ファイル拡 張 子 を追 加 するには、 【ブロックす
るファイル拡 張 子 ( Blocked File Extensions) 】 ボックスの「+」アイコンをクリックし、スキャンするフ
ァイル拡 張 子 ( 例 ：exe、 jar( 区 切 り文 字 のドット なし) ) を入 力 します。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
注 - 暗 号 化 されたzipアーカイブは、悪 意 あるコンテンツについてスキャンすることはできず、ウイ
ルススキャナを通 過 します。暗 号 化 されたzipファイルに含 まれるマルウェアからネット ワークを保
護 するために、zipファイル拡 張 子 をすべてブロックすることを検 討 してください。
10.3.3アンチスパム
Astaro Security Gateway を設 定 して、未 承 諾 のスパムメールを検 出 したり、既 知 の( または疑
わしい) スパム発 信 者 からのスパム送 信 を特 定 することができます。 【アンチスパム( AntiSpam) 】
タブにある設 定 オプションを使 用 して、POP3 セキュリティ機 能 を設 定 し、迷 惑 な宣 伝 メールをネッ
ト ワークが受 信 しないように防 止 することができます。
注 -POP3プロキシのアンチスパムエンジンによってスキャンされるメッセージの最 大 サイズ
は128KBです。 このサイズを超 えるメッセージにはスパムのスキャンが行 われません。
スパム フィルタ( S pa m F i l te r )
Astaro Security Gateway には、スパムの特 徴 がある受 信 Eメールをヒューリスティックに( 発 見
的 方 法 で) チェックする機 能 があります。 スパムフィルタはSMTP エンベロープ情 報 およびヒューリス
ティックテスト と特 徴 の内 部 データベースを使 用 します。 このスパムフィルタオプションでは、メッセー
ジの内 容 とSMTPエンベロープ情 報 に基 づいてメッセージにスコアを付 けます。 スコアが高 いほど、
スパムの可 能 性 が高 いことを意 味 します。
328
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
図 106 POP3プロキシ( POP3 Proxy) ：アンチスパム設 定 の構 成
次 の2つのオプションを使 用 して、ある一 定 のスパムスコアが付 いたメッセージへの対 応 方 法 を指
定 することができます。 これにより、スパムの可 能 性 があるEメールに、ゲート ウェイが特 別 に対 応
できるようになります。
l
スパム対 策 (Spam Action)： ここでは、スパムの可 能 性 があるとして分 類 されたメッセー
ジに対 する対 策 を定 義 できます。 ここでは、誤 検 出 、つまり、ニュースレターなどが間 違 っ
てスパムに分 類 され、ブラックホール化 によってEメールが紛 失 する場 合 があることに注 意 し
てください。
l
確 認 されたスパムへの対 策 (Confirmed Spam Action)： ここでは、スパムと確 認 され
たメッセージに対 する対 策 を定 義 できます。
これら2種 類 のスパムに対 する処 理 を、さまざまな対 策 から選 択 できます。
ASG V8 管 理 ガイド
329
10.3POP3
10メールセキュリティ
l
オフ(Off)： メッセージはスパムとしてマークされたり、フィルタされません。
l
警 告 (Warn)： メッセージはフィルタされません。 その代 わりに、スパムフラグがメッセージヘ
ッダに追 加 され、スパムマーカがメッセージの件 名 に追 加 されます。
l
隔 離 (Quarantine)： メッセージはブロックされ、Eメールの隔 離 場 所 に保 存 されます。
隔 離 されたメッセージは、ユーザポータルまたはデイリーの隔 離 レポート で確 認 できます。
スパムマーカ(Spam Marker)： このオプションで、スパムマーカを指 定 できます。スパムマーカと
は、スパムメッセージをすばやく簡 単 に識 別 できるように、メッセージの件 名 行 に追 加 される文 字
列 です。 デフォルト では、スパムメッセージを示 すために*SPAM*という文 字 列 が使 用 されます。
表 現 フィルタ(Expression Filter)： 表 現 フィルタは、特 定 の表 現 を探 してメッセージの件 名 や
本 文 をスキャンします。 ここにリスト された表 現 を含 むEメールはブロックされます。 ただし、 【メール
セキュリティ( Mail Security) 】 >>【 POP3】 >>【詳 細 ( Advanced) 】 タブでプリフェッチオプション
が有 効 になっている場 合 は、Eメールは隔 離 場 所 に送 られます。 表 現 はPerl互 換 の正 規 表 現 で
指 定 できます。 たとえば、「online dating」などの簡 単 な文 字 列 は、大 文 字 と小 文 字 を区 別 し
ないで解 釈 されます。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
送 信 者 ブラックリスト ( S e n de r B l a c k l i s t)
受 信 するPOP3セッションのエンベロープの送 信 者 が、このブラックリスト のアドレスと照 合 されます。
エンベロープの送 信 者 がブラックリスト にある場 合 、メッセージは隔 離 され、件 名 行 にOtherとマー
クされます。
ブラックリスト に新 しいアドレスパターンを追 加 するには、 【ブラックリストアドレスパター
ン( Blacklisted Address Pattern) 】 ボックスでプラスアイコンをクリックし、アドレス( の一 部 ) を入
力 してから、 【適 用 ( Apply) 】 をクリックします。 ワイルドカードとしてアスタリスク(*)を使 用 できま
す( 例 ：*@abbeybnknational.com) 。
10.3.4除 外
【 POP3】 >>【除 外 ( Exceptions) 】 タブで、さまざまなセキュリティ機 能 から除 外 するクライアント
ホスト /ネット ワークや送 信 者 アドレスを定 義 できます。
330
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
図 107 POP3プロキシ( POP3 Proxy) ：除 外 リスト
除 外 ルールを作 成 するには、次 の手 順 に従 います。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。
【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この除 外 を説 明 する名 前 を入 力 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。 詳 細 は、 「メールセキュリティ」 >>「 SMTP」 >>「アンチウイルス」 および「アンチスパム」
を参 照 してください。
スキップするクライアント ホスト /ネット ワーク(For These Client Hosts/Networks)：
セキュリティチェックをスキップする送 信 元 ホスト /ネット ワーク( メッセージを発 信 したホスト ま
たはネット ワーク) を選 択 します。
注 - ローカルメッセージはデフォルト でスキャンされないので、ローカルホスト には除 外 を作
成 する必 要 はありません。
このオプションを選 択 すると、 【ホスト /ネットワーク( Hosts/Networks) 】 ダイアログボックスが
開 きます。 「+」記 号 またはフォルダ記 号 をクリックして、ホスト あるいはネット ワークを追 加 で
きます。
送 信 者 アド レスで除 外 (These Sender Addresses)： 定 義 したセキュリティチェックを
スキップする送 信 者 のEメールアドレスを選 択 します。
このオプションを選 択 すると、 【送 信 者 ( Senders) 】 ダイアログボックスが開 きます。 完 全 で
有 効 なEメールアドレスを入 力 するか( 例 ：[email protected]) 、またはアスタリスクをワイ
ルドカードとして使 用 して特 定 ドメインのすべてのEメールアドレスを指 定 できます(
例 ：*@example.com) 。
ASG V8 管 理 ガイド
331
10.3POP3
10メールセキュリティ
注 - 送 信 者 アドレスは容 易 に偽 造 できるため、 【送 信 者 ( Senders) 】 オプションを使 用
する際 は注 意 が必 要 です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい除 外 が【除 外 ( Exceptions)】 リスト に表 示 されます。
例 外 を編 集 または削 除 するには、対 応 するボタンをクリックします。
10.3.5詳 細
【 POP3】 >>【詳 細 ( Advanced) 】 タブで、POP3 プロキシの基 本 的 な設 定 を構 成 できます。 さら
に、このタブには、POP3プロキシのプリフェッチオプションが含 まれています。プリフェッチオプションによ
り、POP3サーバからメッセージをプリフェッチしてデータベースに保 存 できます。
332
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
図 108 POP3プロキシ( POP3 Proxy) ：詳 細 設 定
透 過 モード スキップ リスト ( Tr a n s pa r e n t Mode S k i pl i s t)
このオプションは、POP3プロキシを透 過 モードで実 行 している場 合 のみ有 用 です。 【透 過 モード時
にスキップするホスト /ネット ( Skip Transparent Mode Hosts/Nets) 】 ボックスにリスト されている
ホスト とネット ワークは、POP3ト ラフィックの透 過 的 インターセプションの対 象 とはなりません。 ただ
し、これらのホスト およびネット ワークでPOP3ト ラフィックを許 可 するには、 【リスト内 のホスト /ネット
ワークのPOP3トラフィックを許 可 ( Allow POP3 Traffic For Listed Hosts/Nets) 】 チェックボック
スにチェックを入 れます。 このチェックボックスにチェックを入 れない場 合 は、ここでリスト されているホ
スト とネット ワークに特 定 のファイアウォールルールを定 義 する必 要 があります。
P OP 3 サーバとプ リフェッチ設 定 ( P OP 3 S e r v e r s An d P r e f e tc h
S e tti n gs )
プロキシが認 識 するために、ここに1つ以 上 のPOP3サーバを入 力 します。 さらに、プリフェッチをオン
にできます。
ASG V8 管 理 ガイド
333
10.3POP3
10メールセキュリティ
POP3サーバ(POP3 Servers)： お客 様 のネット ワークまたはエンドユーザが使 用 するPOP3
サーバを指 定 します。
POP3サーバを指 定 しない場 合 にプロキシがメールを確 認 すると、プロキシは同 じ接 続 でそのメー
ルの代 わりに、Eメールを隔 離 したことを受 信 者 に通 知 するメッセージをただちに送 ります。 隔 離 さ
れたメールは【メールマネージャ( Mail Manager) 】 で表 示 できますが、サーバやアカウント に関 連
付 けられていないため、後 の接 続 でリリースする( 取 り出 して再 配 信 する) ことはできません。 一 般
的 には、隔 離 されたEメールのリリースは、プリフェッチされたメッセージのみで有 効 です。
以 下 の2つのシナリオがあります。
l
POP3サーバを指 定 してプリフェッチを無 効 にした場 合 、プロキシは、隔 離 されたEメールがど
のサーバ/アカウント に属 するかを追 跡 します。 したがって、隔 離 されたEメールは、クライアン
ト がメールボックスを次 回 ポーリングしたときにリリースできます。 これが機 能 するには、プロキ
シは、どのIPアドレスがどのサーバに属 するかを( お客 様 がメールクライアント で入 力 し
たFQDNによって) 確 実 に特 定 する必 要 があります。
l
POP3サーバを指 定 してプリフェッチを有 効 にした場 合 、POP3プロキシは新 しいメッセージが
ないかどうかPOP3サーバを定 期 的 に確 認 します。 新 しいメッセージが届 いている場 合 、そ
れはPOP3プロキシにコピーされ、スキャンされて、ASGのデータベースに保 存 されます。 メッ
セージはPOP3サーバに留 まります。 クライアント は新 しいメッセージをフェッチする( 取 り出
す) とき、POP3プロキシと通 信 して、このデータベースからメッセージを取 り出 します。
プリフェッチをサポート しているPOP3プロキシには、以 下 のようなさまざまなメリット があります。
l
クライアント とプロキシ( またはその逆 ) のタイムアウト の問 題 はありません。
l
Eメールを事 前 にスキャンするため、メッセージははるかに迅 速 に配 信 されます。
l
ブロックされたメッセージはユーザポータルからリリースでき、次 のフェッチに含 まれます。
メッセージが悪 意 のコンテンツを含 んでいたためにブロックされた場 合 、またはスパムと特 定 されたた
めにブロックされた場 合 は、クライアント には配 信 されません。 それらのメッセージは隔 離 されます。
隔 離 されたメッセージはユーザポータルの【メールマネージャ( Mail Manager) 】 セクションに保 存 さ
れ、そこで削 除 またはリリースされます。
プリフェッチモード を使 用 (Use Prefetch Mode)： プリフェッチモードを有 効 にするには、このチェ
ックボックスを選 択 して、1つ以 上 のPOP3サーバを【 POP3サーバ( POP3 Server) 】 ボックスに追 加
します。
プリフェッチ間 隔 (Prefetch Interval)： POP3プロキシがPOP3サーバに接 触 してメッ
セージをプリフェッチする時 間 間 隔 を選 択 します。
334
ASG V8 管 理 ガイド
10メールセキュリティ
10.3POP3
注 - メールクライアント が POP3 サーバへの接 続 を許 可 される間 隔 は、サーバごとに異 な
ります。 したがって、プリフェッチ間 隔 は、POP3サーバで許 可 されている間 隔 より短 く設 定
しないようにしてください。この理 由 は、POP3サーバへのアクセスがブロックされると、POP3
メッセージのダウンロードは失 敗 に終 わるからです。
また、複 数 のメールクライアント が同 じPOP3アカウント をクエリする場 合 があることにも注 意
してください。 POP3サーバからメッセージがフェッチされると、次 回 サーバにアクセスできるよ
うになるまでタイマーが再 始 動 します。 このためにPOP3プロキシがPOP3サーバに4回 連
続 してアクセスできないと( デフォルト では15分 ごとにアクセスを試 行 します) 、アカウント の
パスワードがプロキシのメールデータベースから削 除 され、メールクライアント がPOP3サー
バにパスワードを再 度 送 ってログインしない限 り、メールはフェッチされなくなります。
隔 離 メールをサーバから削 除 (Delete Quarantined Mails From Server)： この
オプションを選 択 すると、隔 離 されたメッセージはPOP3サーバから即 座 に削 除 されます。 こ
れは、ユーザがASG経 由 ではなく、たとえば、POP3サーバのWebポータル経 由 でPOP3
サーバに接 続 した場 合 に、スパムやウイルスメッセージの受 け取 りを防 ぐのに役 立 ちます。
メッセージを取 り出 した後 にサーバからメッセージを削 除 するようにEメールクライアント が設 定 され
ている場 合 、この情 報 はデータベースにも保 存 されます。 プロキシは、次 回 このPOP3アカウント の
メッセージをプリフェッチするときに、サーバーからそれらのメッセージを削 除 します。 これは、クライア
ント がAstaro Security Gatewayからメッセージをフェッチせず、 かつ、削 除 コマンドが設 定 されて
いない限 り、メッセージはPOP3サーバから削 除 されないことを意 味 します。 したがって、それらはま
だ、たとえばEメールプロバイダーのWebポータルで読 むことができます。
以 下 の場 合 、隔 離 されたメッセージはPOP3サーバから削 除 されます。
l
メッセージをメールマネージャで手 動 で削 除 した場 合 。
l
ユーザがユーザポータルでメッセージを手 動 で削 除 した場 合 。
l
メッセージが( 隔 離 レポート またはユーザポータルのいずれかを介 して) リリースされ、配 信 時
にメッセージを削 除 するようにユーザのEメールクライアント が設 定 されている場 合 。
l
通 知 メッセージが削 除 された場 合 。
l
保 存 期 間 が過 ぎた場 合 ( 「メールマネージャ」 の章 の「設 定 」 のセクションを参 照 してくださ
い) 。
ただし、プリフェッチモードでは、隔 離 されたスパムメッセージは、クライアント コマンドではPOP3サー
バから直 接 削 除 できません。
ASG V8 管 理 ガイド
335
10.4暗 号 化
10メールセキュリティ
注 - プリフェッチ機 能 が正 常 に機 能 するためには、Eメールクライアント は少 なくとも1回 はPOP3
サーバに接 続 する必 要 があります。 これは、このユーザのためにPOP3メッセージをフェッチするに
は、Astaro Security Gateway は、POP3サーバ名 、ユーザ名 、およびユーザのパスワードを
データベースに保 存 する必 要 があるからです。 ただし、これは、Astaroユーザポータル(詳 細 は「
ユーザポータル」を参 照 )でPOP3アカウント 資 格 情 報 を設 定 しても、アーカイブできません。 プリ
フェッチされたメッセージをこのユーザのポータルと毎 日 の隔 離 レポート に表 示 するには、ユーザ
ポータルでPOP3アカウント 資 格 情 報 が必 要 です。
SSL は現 在 サポート されていません。したがって、SSLアクセスのみ提 供 しているメールプロバイダー
のメール( googlemailなど) は、プロキシでフィルタできません。
fetchmailユーザへの注 記 ：セキュリティ上 の理 由 から、メールサーバからのEメールのダウンロード
にTOPメソッドはサポート されていません。したがって、TOPによって受 信 したメッセージはスキャンでき
ません。 ただし、fetchallオプション( コマンドラインの -a) を指 定 するとスキャンできます。 詳 細
は、fetchmailのマニュアルの「RETRまたはTOP」を参 照 してください。
優 先 文 字 コード ( P r e f e r r e d C h a r s e t)
このセクションでは、メールヘッダは、何 らかの方 法 でASGによって変 更 された( 例 ：BATV) メールヘ
ッダで今 後 使 用 するUTF-8以 外 の文 字 コードを選 択 できます。 この機 能 は、UTF-8を理 解 しな
いメールクライアント をユーザが使 用 している場 合 に便 利 です。 一 般 に、メールヘッダのデフォルト
の文 字 セット はすべての地 域 で問 題 なく機 能 します。 したがって、この設 定 を変 更 するのは、これ
が絶 対 に必 要 であると確 信 している場 合 のみにしてください。 不 明 な場 合 は、デフォルト のUTF8を維 持 してください。
10.4暗号化
Eメールが個 人 的 な目 的 やビジネス目 的 で使 用 する主 な電 子 通 信 手 段 となって以 来 、プライバ
シーや認 証 に関 する懸 念 が高 まっています。 Eメールは平 文 形 式 で伝 送 されますが、これを一 般
的 に言 うと、ハガキと同 じようにすべての人 が読 めるということです。 さらに、身 元 を偽 るのが容 易
であるため、送 信 者 が本 当 に本 人 であるかどうかを受 信 者 が見 分 けられることは重 要 です。
通 常 、これらの問 題 はEメールの暗 号 化 とデジタル署 名 で解 決 できます。これにより、Eメールメッ
セージは電 子 的 に署 名 され、暗 号 によって符 号 化 されます。 この結 果 、Eメールを開 いてコンテン
ツを閲 覧 できるのはメッセージ受 信 者 のみとなり( プライバシー) 、送 信 者 の身 元 が確 認 されるよう
になります( 認 証 ) 。 つまり、このプロセスでは「ハガキの電 子 版 」を送 付 するという考 えが否 定 さ
れ、書 留 郵 便 や配 達 証 明 郵 便 に近 いプロセスとなります。
336
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
最 先 端 の暗 号 技 術 では、対 称 と非 対 称 という2種 類 のメール暗 号 化 方 式 があります。 いずれも
標 準 的 な方 式 となっており、さまざまなアプリケーションで利 用 されています。 対 称 鍵 暗 号 とは、
送 信 者 と受 信 者 が同 じ鍵 を共 有 する暗 号 化 方 式 です。
一 方 、非 対 称 鍵 暗 号 ( あるいは公 開 鍵 暗 号 ) とは、各 ユーザが2つの暗 号 鍵 ( データを暗 号 化
する公 開 鍵 と復 号 化 のための秘 密 鍵 ( プライベート 鍵 ) ) を持 つ暗 号 方 式 です。 公 開 鍵 は自 由
に公 開 されますが、秘 密 鍵 はユーザが厳 重 に保 管 します。
対 称 暗 号 方 式 の欠 点 として、送 信 者 と受 信 者 が安 全 に通 信 するためには、両 者 があらかじめ
鍵 を決 め、これを互 いだけの秘 密 として維 持 する必 要 があります。 両 者 が離 れた場 所 にいる場
合 、送 信 中 に秘 密 鍵 が開 示 されないようにしなければなりません。 そのため、対 称 暗 号 方 式 で
は、鍵 の受 け渡 しに関 する問 題 が常 に存 在 します。つまり、「他 者 に傍 受 されることなく受 信 者 に
鍵 を伝 えるにはどうすればいいか」という問 題 です。 公 開 鍵 暗 号 方 式 は、この問 題 に対 処 するた
めに開 発 されました。 公 開 鍵 暗 号 方 式 では、ユーザは安 全 ではないチャネル上 でも安 全 に通
信 することができ、あらかじめ共 有 鍵 を決 める必 要 はありません。
Eメール暗 号 化 の必 要 性 から、多 種 多 様 な公 開 鍵 暗 号 化 標 準 が生 まれました。最 も有 名 なの
はS/MIMEとOpenPGPであり、Astaro Security Gatewayはその両 方 に対 応 しています。
S/MIME( Secure Multipurpose Internet Mail Extensions) とは非 対 称 暗 号 方 式 の標 準
であり、Eメール署 名 をMIMEにカプセル化 します。 通 常 、S/MIMEは公 開 鍵 基 盤 ( PKI) 内 で使
用 され、デジタル証 明 の階 層 構 造 に基 づいており、信 頼 できるインスタンスとして認 証 局 ( CA) を
必 要 とします。 CAは、電 子 鍵 のペアを身 元 情 報 とバインドして電 子 証 明 書 を発 行 します。電 子
証 明 書 は、パスポート など従 来 からある身 分 証 明 書 の電 子 版 と考 えることができます。 技 術 的
に言 うと、CAは特 定 のX.500識 別 名 ( DN) またはEメールアドレスなどの別 名 に公 開 鍵 をバインド
して証 明 書 を発 行 します。
デジタル証 明 書 により、任 意 の鍵 を使 用 する権 利 を主 張 する人 にその権 利 があるかどうかを確
認 することができます。 これは、ある人 がCAを信 頼 しており、公 開 鍵 がこのCAによって署 名 されて
いることを確 認 できるのであれば、この人 はこの公 開 鍵 が本 当 に所 有 者 と主 張 する人 のものであ
ると安 心 できる、という考 え方 です。
一 方 、OpenPGP( Pretty Good Privacy) は、一 般 にWOT( web of trust) で採 用 されている
非 対 称 暗 号 方 式 を使 用 します。 つまり、公 開 鍵 は他 のユーザによってデジタル署 名 され、署 名
するユーザは署 名 という行 為 によって、公 開 鍵 とその人 の関 連 性 を保 証 します。
注 - S/MIMEとOpenPGPは類 似 のサービスを提 供 しますが、形 式 は大 きく異 なります。 そのた
め、一 方 のプロト コルのユーザは、他 方 のプロト コルのユーザと通 信 できません。 さらに、認 証 証
明 書 を共 有 することもできません。
ASG V8 管 理 ガイド
337
10.4暗 号 化
10メールセキュリティ
Eメール暗 号 化 は、ユーザに対 して完 全 に透 過 的 です。つまり、クライアント 側 で追 加 の暗 号 化 ソ
フト ウェアを用 意 する必 要 はありません。 一 般 に暗 号 化 では、送 信 先 の証 明 書 または公 開 鍵 が
手 元 にある必 要 があります。 受 信 メッセージと送 信 メッセージに対 し、Eメール暗 号 化 機 能 は次
のように機 能 します。
l
デフォルト で、内 部 ユーザが送 信 したメッセージはスキャンされ、自 動 的 に署 名 され、受 信
者 の証 明 書 ( S/MIME) または公 開 鍵 ( OpenPGP) で暗 号 化 されます( 受 信 者
のS/MIME証 明 書 またはOpenPGP公 開 鍵 がASG上 にある場 合 ) 。
l
ASGがS/MIME証 明 書 またはOpenPGP公 開 鍵 を認 識 している外 部 ユーザから送 られて
きた暗 号 化 済 み受 信 メッセージは、自 動 的 に復 号 化 され、悪 質 なコンテンツが含 まれな
いかスキャンされます。 メッセージの復 号 化 のためには、内 部 ユーザのS/MIME鍵 また
はOpenPGP秘 密 鍵 がASGに存 在 している必 要 があります。
l
ASGが認 識 できない外 部 ユーザから送 られてきたか、セキュリティシステムが認 識 できない
内 部 ユーザ向 けの暗 号 化 済 み受 信 メッセージは、配 達 されるものの復 号 化 はできませ
ん。従 って、ウイルスやスパムのスキャンは行 われません。 個 人 用 ファイアウォールなどでそ
のEメールにマルウェアが含 まれていないことを確 認 するのは、受 信 者 ( 内 部 ユーザ) の責
任 となります。
l
クライアント 側 ですでに暗 号 化 されている送 信 メッセージは、受 信 者 のS/MIME証 明 書 ま
たはOpenPGP公 開 鍵 が不 明 な場 合 、受 信 者 に直 接 送 信 されます。 一 方 、受 信 者
のS/MIME証 明 書 またはOpenPGP公 開 鍵 がわかる場 合 、メッセージは2回 暗 号 化 されま
す。 あらかじめ暗 号 化 されたメッセージに悪 質 なコンテンツが含 まれないかスキャンすること
はできません。
l
復 号 化 が可 能 なのは受 信 メールのみです。ここで「受 信 」と見 なされるためには、送 信 者
のEメールアドレスのドメイン名 がSMTPプロファイルの一 部 ではないことが条 件 です。 たとえ
ば、[email protected]から送 信 されたメッセージを復 号 化 するためには、example.com
というドメインがルーティング設 定 またはSMTPプロファイルのいずれにも設 定 されていないこと
が求 められます。
l
署 名 /暗 号 化 結 果 の概 要 は、各 Eメールの件 名 行 に記 述 されます。 たとえば、あるEメー
ルが正 しく署 名 され、S/MIMEで暗 号 化 されると、「S/MIME：署 名 済 み、暗 号 化 済
み( Signed and encrypted) 」というテキスト が件 名 の行 に付 加 されます。
注 -Eメールクライアント ( 例 ：Microsoft OutlookまたはMozilla Thunderbird) が署 名 済 みま
たは暗 号 化 済 みのメッセージにフッタを追 加 すると、署 名 が破 壊 されて無 効 になります。 デジタ
ル署 名 をクライアント 側 で作 成 する場 合 は、アンチウイルスチェックフッタオプションを無 効 にしてく
ださい。 ただし、Eメール通 信 のプライバシや認 証 を保 ちながら一 般 的 なアンチウイルスチェックフ
ッタを使 用 したい場 合 は、Astaro Security Gatewayの組 み込 みEメール暗 号 化 機 能 を使 用
338
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
してください。ゲート ウェイ上 でのEメール暗 号 化 では、デジタル署 名 を作 成 する前 にフッタがメッ
セージに付 加 されるため、署 名 が損 なわれることはありません。
10.4.1グローバル
【メールセキュリティ( Mail Security) 】 >>【暗 号 化 ( Encryption) 】 >>【グローバル( Global) 】 タ
ブでは、Eメール暗 号 化 機 能 の基 本 設 定 を定 義 することができます。
クロスリファレンス - Eメール暗 号 化 の使 用 方 法 に関 する総 合 的 な説 明 は、Astaroナレッジ
ベースにある『Eメール暗 号 化 ガイド( E-Mail Encryption Guide) 』をご確 認 ください( 「 ASG
バージョン7」 >>「 Astaroマニュアルおよびガイド」 の順 にアクセスします) 。
注 - 暗 号 化 はSMTPのみで機 能 し、POP3では機 能 しません。
Eメール暗 号 化 を使 用 するためには、CA証 明 書 とCA鍵 から成 る認 証 局 ( CA) を作 成 しておく必
要 があります。 CA証 明 書 はダウンロードしてローカルに保 存 することができます。 さらに、図 で示 す
ように、他 のユニット に外 部 CA( S/MIME認 証 局 ) としてインスト ールし、2つのAstaro Security
Gatewayユニット 間 で透 過 的 なEメール暗 号 化 を実 現 することもできます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
図 109 メール暗 号 化 ( E-mail Encryption) ：2つのAstaro Security Gateway ユニット の使
用
ASG V8 管 理 ガイド
339
10.4暗 号 化
10メールセキュリティ
図 110 メール暗 号 化 ( E-mail Encryption) ：Eメール暗 号 化 の有 効 化
Eメール暗 号 化 を設 定 するには、次 の手 順 に従 ってください。
1. 【グローバル(Global)】 タブで、Eメール暗 号 化 を有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【 Eメール暗 号 化 認 証 局 ( CA) ( E-mail
Encryption Certificate Authority( CA) ) 】 エリアが編 集 可 能 になります。
2. 認 証 局 (CA)を作 成 します。
【 Eメール暗 号 化 認 証 局 ( CA) ( E-mail Encryption Certificate Authority( CA) ) 】 エリ
アのフォームに記 入 します。 デフォルト で、このフォームには【マネジメン
ト ( Management) 】 >>【システム設 定 ( System Settings) 】 >>【組
織 ( Organizational) 】 タブの値 が入 力 されています。
3. 【保 存 (Save)】 をクリックします。
ステータスアイコンが緑 色 になり、次 の証 明 書 と鍵 が作 成 されます。
l
S/MIME CA証 明 書
l
OpenPGP ポスト マスタ鍵
これが完 了 するまで数 分 かかる可 能 性 があります。 S/MIME CA証 明 書 またはOpenPGP
ポスト マスタ鍵 のフィンガープリント が表 示 されない場 合 、WebAdminの右 上 隅 にある【リ
ロード ( Reload) 】 ボタンをクリックしてください。 証 明 書 と鍵 は、ダウンロードしてローカルに保
存 できます。
【 Eメール暗 号 化 ( E-mail Encryption) 】 メニューのすべての設 定 を工 場 出 荷 時 のデフォルト 設
定 にリセット するには、 【 Eメール暗 号 化 システムを今 すぐリセット ( Reset E-mail Encryption
System Now) 】 ボタンを使 用 します。
340
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
10.4.2オプション
【暗 号 化 ( Encryption) 】 >>【オプション( Options) 】 タブでは、Astaro Security Gatewayの
公 開 鍵 暗 号 フレームワーク内 で使 用 されるデフォルト ポリシを定 義 できます。
図 111 メール暗 号 化 ( E-mail Encryption) ：オプション
デフォルト ポリシ(Default Policy)： Eメールの暗 号 化 に関 するデフォルト ポリシを指 定 します。
これらの設 定 は、カスタマイズされた設 定 で上 書 きできます。
次 の作 業 を実 行 できます。
l
送 信 Eメールへの署 名
l
送 信 Eメールの暗 号 化
l
受 信 Eメールの検 証
l
受 信 Eメールの復 号 化
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
注 - 暗 号 化 が機 能 するためには、送 信 者 が【内 部 ユーザ( Internal Users) 】リスト に含 まれ
ている必 要 があります。 S/MIME証 明 書 またはOpenPGP公 開 鍵 がゲート ウェイに存 在 する受
信 者 に向 けた送 信 Eメールは、デフォルト で暗 号 化 されます。 これらの受 信 者 に対 する暗 号 化
ASG V8 管 理 ガイド
341
10.4暗 号 化
10メールセキュリティ
を無 効 にするには、当 該 受 信 者 のS/MIME証 明 書 またはOpenPGP公 開 鍵 を削 除 してくださ
い。 証 明 書 または公 開 鍵 がASGに不 明 の場 合 、Eメールは暗 号 化 されずに送 信 されます。
S /MI ME証 明 書 の自 動 抽 出 ( Au tom a ti c Ex tr a c ti on of S /MI ME
C e r ti f i c a te s )
このオプションを選 択 すると、S/MIME証 明 書 は受 信 Eメールから自 動 的 に抽 出 されます。このと
き、そのEメールに添 付 された証 明 書 が、信 頼 される認 証 局 に署 名 されていることが条 件 となりま
す。信 頼 される認 証 局 とは、 【メールセキュリティ( Mail Security) 】 >>【暗 号
化 ( Encryption) 】 >>【 S/MIME認 証 局 ( S/MIME Authorities) 】 タブに表 示 される、ユニット に
あるCAです。 さらに、証 明 書 の自 動 抽 出 が機 能 するためには、Astaro Security Gatewayの
時 間 と日 付 が、証 明 書 の有 効 期 間 内 である必 要 があります。 証 明 書 の抽 出 が成 功 すると、
証 明 書 は【メールセキュリティ( Mail Security) 】 >>【暗 号 化 ( Encryption) 】 >>【 S/MIME証
明 書 ( S/MIME Certificates) 】 タブに追 加 されます。 これが完 了 するまで5～ 10分 かかる可 能
性 があります。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
Ope n P G P 鍵 サーバ( Ope n P G P Ke y s e r v e r )
OpenPGP鍵 サーバは公 開 PGP鍵 をホスト します。 ここで、OpenPGP鍵 サーバを追 加 することが
できます。 暗 号 化 された受 信 Eメールや暗 号 化 する送 信 Eメールで、該 当 する公 開 鍵 がASGに
不 明 の場 合 、ASGは所 与 のサーバから公 開 鍵 を取 得 しようとします。
10.4.3内 部 ユーザ
メッセージの署 名 と復 号 化 を行 うためには、S/MIME鍵 またはOpenPGP秘 密 鍵 がASGに存 在 し
ている必 要 があります。 【暗 号 化 ( Encryption) 】 >>【内 部 ユーザ( Internal Users) 】 タブで
は、Eメール暗 号 化 を有 効 にするユーザに対 して、個 別 のS/MIME鍵 /証 明 書 またはOpenPGP
鍵 ペア( あるいはその両 方 ) を作 成 できます。
図 112 メール暗 号 化 ( E-mail Encryption) ：内 部 ユーザのリスト
内 部 Eメールユーザを作 成 するには、次 の手 順 に従 います。
342
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
1. 【内 部 ユーザ(Internal Users)】 タブで 【新 規 Eメール暗 号 化 ユーザ(New Email
Encryption User)】 をクリックします。
【新 規 ユーザの作 成 ( Create New User) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
Eメールアド レス(E-mail Address)： ユーザのEメールアドレスを入 力 します。
フルネーム(Full Name)： ユーザの名 前 を入 力 します。
署 名 (Signing)： 次 の署 名 オプションを使 用 できます。
l
デフォルト ポリシの使 用 ( Use Default Policy) ： 【オプション( Options) 】 タブのポリ
シが使 用 されます。
l
オン( On) ：Eメールは、ユーザの証 明 書 を使 用 して署 名 されます。
l
オフ( Off) ：Eメールは署 名 されません。
暗 号 化 (Encryption)： 次 の暗 号 化 オプションを使 用 できます。
l
デフォルト ポリシの使 用 ( Use Default Policy) ： 【オプション( Options) 】 タブのポリ
シが使 用 されます。
l
オン( On) ：Eメールは、受 信 者 の公 開 鍵 を使 用 して暗 号 化 されます。
l
オフ( Off) ：Eメールは暗 号 化 されません。
検 証 (Verifying)： 次 の検 証 オプションを使 用 できます。
l
デフォルト ポリシの使 用 ( Use Default Policy) ： 【オプション( Options) 】 タブのポリ
シが使 用 されます。
l
オン( On) ：Eメールは、送 信 者 の公 開 鍵 を使 用 して検 証 されます。
l
オフ( Off) ：Eメールは検 証 されません。
復 号 化 (Decryption)： 次 の複 合 化 オプションを使 用 できます。
l
デフォルト ポリシの使 用 ( Use Default Policy) ： 【オプション( Options) 】 タブのポリ
シが使 用 されます。
l
オン( On) ：Eメールは、ユーザの証 明 書 を使 用 して復 号 化 されます。
l
オフ( Off) ：Eメールは復 号 化 されません。
S/MIME： S/MIME証 明 書 と鍵 をシステムに自 動 生 成 させるか、証 明 書 をPKCS#12形
式 でアップロードするかを選 択 します。 証 明 書 をアップロードする場 合 、PKCS#12ファイルの
保 護 に使 用 されたパスフレーズを知 っている必 要 があります。PKCS#12ファイルに
ASG V8 管 理 ガイド
343
10.4暗 号 化
10メールセキュリティ
は、S/MIME鍵 と証 明 書 の両 方 が含 まれていなければなりません。 このPKCS#12ファイルに
含 まれているすべてのCA証 明 書 は無 視 されます。
OpenPGP： 秘 密 鍵 と公 開 鍵 から成 るOpenPGP鍵 ペアをシステムに自 動 生 成 させる
か、鍵 ペアをASCII形 式 でアップロードするかを選 択 します。 秘 密 鍵 と公 開 鍵 の両 方 が1
つのファイルに格 納 されており、ファイルにパスフレーズが含 まれていないことが必 要 です。
注 - あるユーザに対 してS/MIMEとOpenPGPの両 方 が設 定 されている場 合 、このユー
ザから送 信 されるEメールの署 名 と暗 号 化 はS/MIMEを使 用 して行 われます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいユーザが【内 部 ユーザ( Internal Users) 】 リスト に表 示 されます。
ステータスアイコンを使 用 して、いずれかの鍵 ( または両 方 ) の使 用 をオフにします。鍵 を削 除 する
必 要 はありません。
注 - セキュリティ上 の理 由 から、ダウンロード用 に提 供 されたそれぞれのファイルにはS/MIME証
明 書 とOpenPGP公 開 鍵 のいずれかのみが含 まれています。 S/MIME鍵 とOpenPGP秘 密 鍵 は
システムからダウンロードできません。Internet Explorer( IE) 6を使 用 したファイルのダウンロード
で問 題 が起 こらないようにするには、ゲート ウェイのURL ( https://192.168.2.100など) を信
頼 されるサイト に追 加 します。これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 し
ます。 さらに、Internet Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルの
ダウンロード時 に自 動 的 にダイアログを表 示 】 を選 択 します。
10.4.4S/MIME認 証 局
【暗 号 化 ( Encryption) 】 >>【 S/MIME認 証 局 ( S/MIME Authorities) 】 タブで、信 頼 する外
部 認 証 局 ( CA) の証 明 書 ( つまり公 開 鍵 ) をインポート します。 これにより、このCAが証 明 書 に署
名 したすべての受 信 Eメールについても信 頼 することになります。 【メールセキュリティ( Mail
Security) 】 >>【暗 号 化 ( Encryption) 】 >>【オプション( Options) 】 タブで 【 S/MIME証 明 書 の
自 動 抽 出 ( Automatic Extraction of S/MIME Certificates) 】 オプションを選 択 した場 合 、ここ
にリスト されたCAによって署 名 された証 明 書 が自 動 的 に抽 出 され、 【メールセキュリティ( Mail
Security) 】 >>【暗 号 化 ( Encryption) 】 >>【 S/MIME証 明 書 ( S/MIME Certificates) 】 タブ
に配 置 されます。
344
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
図 113 メール暗 号 化 ( E-mail Encryption) ：S/MIME認 証 局 のリスト
外 部 S/MIME認 証 局 をインポート するには、次 の手 順 に従 います。
1. 【 S/MIME認 証 局 (S/MIME Authorities)】 タブで 【新 規 外 部 認 証 局 (CA)(New
External Authority(CA))】 をクリックします。
【外 部 認 証 局 の追 加 ( Add External Authority) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
形 式 (Format)： CAの形 式 を選 択 します。 次 の形 式 を選 択 できます。
l
der( バイナリ)
l
pem( ASCII)
注 - Microsoft Windowsオペレーティングシステムでは、der形 式 とpem形 式 の両 方 に
対 してファイル拡 張 子 cerを使 用 します。 そのため、アップロードする証 明 書 をバイナリ形
ASG V8 管 理 ガイド
345
10.4暗 号 化
10メールセキュリティ
式 にするかASCII形 式 にするかを、あらかじめ決 定 しておく必 要 があります。 次 に、これに
従 ってドロップダウンリスト で形 式 を選 択 します。
証 明 書 (Certificate)： フォルダアイコンをクリックして、 【ファイルのアップロード ( Upload
File) 】 ダイアログボックスを開 きます。 ファイルを選 択 して【保 存 ( Save) 】 をクリックします。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
CAが【 S/MIME認 証 局 ( S/MIME Authorities) 】 リスト に表 示 されます。
Astaro Security Gateway の出 荷 時 には、商 用 CAの各 種 公 開 鍵 があらかじめインスト ールさ
れています。これにより、これらのCAに基 づいてPKIを管 理 しているコミュニケーションパート ナーとお
客 様 の間 で、Eメールの暗 号 化 が促 進 されます。 次 のリンクは、有 名 なルート 証 明 書 のURLで
す。
l
Trustcenter
l
S-TRUST
l
Thawte
l
VeriSign
l
GeoTrust
さらに、他 のAstaro Security Gatewayユニット のCAをインスト ールすると、2つのAstaro
Security Gatewayユニット 間 でEメールを透 過 的 に暗 号 化 することができます。
10.4.5S/MIME証 明 書
【暗 号 化 ( Encryption) 】 >>【 S/MIME証 明 書 ( S/MIME Certificates) 】 タブでは、外
部 S/MIME証 明 書 をインポート することができます。 証 明 書 がここにリスト されている受 信 者 へ
のEメールは自 動 的 に暗 号 化 されます。 特 定 の受 信 者 に対 する暗 号 化 を無 効 にするには、リス
ト から証 明 書 を削 除 してください。
注 - S/MIME証 明 書 を手 動 でアップロードすると、証 明 書 に記 載 された人 を識 別 できるCA証
明 書 がなくても、証 明 書 に関 連 付 けられたEメールアドレスからのメッセージが常 に信 頼 されるよ
うになります。 つまり、S/MIME証 明 書 を手 動 アップロードするということは、送 信 元 に「信 頼 でき
る」というラベルを貼 り付 けるということになります。
346
ASG V8 管 理 ガイド
10メールセキュリティ
10.4暗 号 化
図 114 メール暗 号 化 ( E-mail Encryption) ：S/MIME証 明 書 のリスト
外 部 S/MIME証 明 書 をインポート するには、次 の手 順 に従 います。
1. 【 S/MIME証 明 書 (S/MIME Certificates)】 タブで 【新 規 外 部 S/MIME証 明
書 (New External S/MIME Certificate)】 をクリックします。
【 S/MIME証 明 書 の追 加 ( Add S/MIME Certificate) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
形 式 (Format)： 証 明 書 の形 式 を選 択 します。 次 の形 式 を選 択 できます。
l
pem( ASCII)
l
der( バイナリ)
注 - Microsoft Windowsオペレーティングシステムでは、der形 式 とpem形 式 の両 方 に
対 してファイル拡 張 子 cerを使 用 します。 そのため、アップロードする証 明 書 をバイナリ形
式 にするかASCII形 式 にするかを、あらかじめ決 定 しておく必 要 があります。 次 に、これに
従 ってドロップダウンリスト で形 式 を選 択 します。
証 明 書 (Certificate)： フォルダアイコンをクリックして、 【ファイルのアップロード ( Upload
File) 】 ダイアログボックスを開 きます。 ファイルを選 択 して【保 存 ( Save) 】 をクリックします。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいS/MIME証 明 書 が【 S/MIME証 明 書 ( S/MIME Certificates) 】 リスト に表 示 されま
す。
10.4.6OpenPGP公 開 鍵
【暗 号 化 ( Encryption) 】 >>【 OpenPGP公 開 鍵 ( OpenPGP Public Keys) 】 タブで
は、OpenPGP公 開 鍵 をインスト ールすることができます。.asc形 式 のファイルを提 供 する必 要 が
あります。 キーリング全 体 のアップロードがサポート されています。
注 - パスフレーズで保 護 されているキーリングはアップロードしないでください。
ASG V8 管 理 ガイド
347
10.4暗 号 化
10メールセキュリティ
このキーリングに含 まれるすべての公 開 鍵 がインポート され、メッセージの暗 号 化 に使 用 できるよう
になります。 公 開 鍵 がここにリスト されている受 信 者 へのEメールは自 動 的 に暗 号 化 されます。
特 定 の受 信 者 に対 する暗 号 化 を無 効 にするには、リスト から公 開 鍵 を削 除 してください。
注 - 鍵 ごとに1つのEメールアドレスだけがサポート されます。 1つの鍵 に複 数 のアドレスが関 連
付 けられている場 合 、「最 初 の」アドレスのみが使 用 されます( この順 序 は、OpenPGPでのアド
レスのソート 方 法 に応 じています) 。 インポート したい鍵 に複 数 のアドレスが関 連 付 けられている
場 合 、その鍵 をにインポート する前 に、OpenPGPまたはその他 のツールで不 要 なアドレスを削
除 する必 要 があります。 Astaro Security Gateway.
図 115 メール暗 号 化 ( E-mail Encryption) ：OpenPGP公 開 鍵 のリスト
OpenPGP公 開 鍵 をインポート するには、次 の手 順 に従 います。
1. 【 OpenPGP公 開 鍵 (OpenPGP Public Keys)】 タブで、 【キーリングファイルのイン
ポート (Import Keyring File)】 をクリックします。
【 OpenPGPキーリングファイルのインポート ( Import OpenPGP Keyring File) 】 ダイアログ
ボックスが開 きます。
2. OpenPGP鍵 をアップロード します。
フォルダアイコンをクリックして、 【ファイルのアップロード ( Upload file) 】 ダイアログボックスを開
きます。 ファイルを選 択 して【保 存 ( Save) 】 をクリックします。
鍵 または鍵 のリスト ( ファイルに複 数 の鍵 が含 まれている場 合 ) が表 示 されます。
3. 鍵 を1つ以 上 選 択 し、 【選 択 した鍵 をインポート (Import Selected Keys)】 をクリック
します。
鍵 が【 OpenPGP公 開 鍵 ( OpenPGP Public Keys) 】 リスト に表 示 されます。
注 - 鍵 にはEメールアドレスが1つ関 連 付 けられていなければならず、 関 連 付 けられていない場
合 、インスト ールは失 敗 します。
348
ASG V8 管 理 ガイド
10メールセキュリティ
10.5隔 離 レポート
10.5隔離レポート
Astaro Security Gateway は、さまざまな理 由 からブロックされて隔 離 場 所 にリダイレクト されたす
べてのメッセージSMTP およびPOP3) を含 むEメールの隔 離 場 所 を用 意 しています。 ここには、配
信 待 ちのメッセージ、悪 意 あるソフト ウェアに感 染 したメッセージ、疑 わしい添 付 物 を含 むメッセー
ジ、スパムと特 定 されたもの、または単 に不 要 な表 現 を含 むメッセージが含 まれます。
図 116 当 製 品 の隔 離 レポート Astaro Security Gateway
メッセージが間 違 って隔 離 されて保 留 されるリスク( いわゆる誤 検 出 ) を最 小 限 に抑 えるため
に、Astaro Security Gateway は、隔 離 されたメッセージについて報 告 する隔 離 レポート をユー
ザに毎 日 送 信 します。 ユーザに複 数 のメールアドレスが設 定 されている場 合 は、それぞれのEメー
ルアドレスに個 々 の隔 離 レポート が送 信 されます。ユーザポータルで追 加 のPOP3アカウント が設
定 されており、Astaro Security GatewayのPOP3プロキシがプリフェッチモード( POP3サーバから
メッセージをプリフェッチし、ローカルデータベースに保 存 することが可 能 ) である場 合 にも、これは適
用 されます。 隔 離 レポート では、ユーザはスパムエント リをクリックしてメッセージを隔 離 場 所 からリ
リースしたり、今 後 のために送 信 者 をホワイト リスト に追 加 できます。
隔 離 レポート の詳 細 について、以 下 に少 し説 明 します。
l
隔 離 レポート は、EメールアドレスがSMTPプロファイルに含 まれているドメインの一 部 である
ユーザに対 してのみ送 信 されます。 隔 離 レポート には、 【 SMTP】 >>【ルーティン
グ( Routing) 】 タブの【ドメイン( Domains) 】 ボックスで指 定 したものや、SMTPプロファイル
の【ドメイン( Domains) 】 ボックスで指 定 したものが含 まれます。
ASG V8 管 理 ガイド
349
10.5隔 離 レポート
10メールセキュリティ
l
POP3プリフェッチオプションが無 効 の場 合 、このアカウント に送 信 された隔 離 されたメッセー
ジは隔 離 レポート には表 示 されません。 代 わりに、各 ユーザの受 信 ト レイに、一 般 的
なAstaro POP3のブロックされたメッセージが表 示 されます。 したがって、隔 離 レポート また
はユーザポータルを使 用 してメッセージをリリースすることはできません。 このようなEメール
は、管 理 者 がzip形 式 でメールマネージャからダウンロードすることでのみ配 信 できます。
l
隔 離 場 所 からリリースできるのは、スパムメールだけです。 他 の理 由 で隔 離 されたメッセー
ジ( ウイルスや疑 わしい添 付 ファイルを含 むメッセージなど) は、当 製 品 のメールマネージャ
で管 理 者 によってのみ隔 離 場 所 からリリースできます。 Astaro Security Gateway. さら
に、ユーザは、現 在 隔 離 されているすべてのメッセージをAstaroユーザポータルで確 認 する
ことができます。
l
スパムメールに複 数 の受 信 者 がいる場 合 は、メーリングリスト の場 合 と同 様 に、受 信 者 の
誰 かがそのEメールをリリースすると、メーリングリスト のEメールアドレスがシステムで設 定 さ
れている場 合 は、そのEメールはその受 信 者 のみにリリースされます。 そうでない場 合 は、そ
のEメールはすべての受 信 者 に同 時 に配 信 されます。 詳 細 は、 【メールセキュリティ( Mail
Security) 】 >>【隔 離 レポート ( Quarantine Report) 】 >>【除 外 ( Exceptions) 】 タブ
の【内 部 メーリングリストの定 義 ( Define internal mailing lists) 】 オプションを参 照 してく
ださい。<
l
管 理 者 は、Astaro Security Gatewayでユーザが設 定 されていないSMTP Eメールアドレ
スに送 信 されたEメールを、隔 離 レポート またはメールマネージャからリリースできます( ホワイ
ト リスト への追 加 はしない) 。 ただし、このユーザが設 定 されていないため、ユーザポータル
へのアクセスはできません。
l
メーリングリスト に送 信 されたスパムメールはホワイト リスト にリスト できません。
l
Eメールクライアント でEメールのヘッダを正 しくエンコードしていないと、デイリーの隔 離 レポー
ト のEメールが正 しく表 示 されない場 合 があります。
10.5.1グローバル
【隔 離 レポート ( Quarantine Report) 】 >>【グローバル( Global) 】 タブで、デイリーの隔 離 レポー
ト の送 信 時 刻 を定 義 して、隔 離 レポート に表 示 されるメッセージテキスト を記 述 できます。
350
ASG V8 管 理 ガイド
10.5隔 離 レポート
10メールセキュリティ
図 117 隔 離 レポート ：隔 離 レポート の有 効 化
隔 離 レポート の設 定 を編 集 するには、隔 離 レポート を有 効 にします。ステータスアイコンまたは【有
効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 に変 わります。
レポート 送 信 時 刻 ( Ti m e to S e n d Re por t)
ここでデイリーの隔 離 レポート の送 信 時 刻 を定 義 できます。 ドロップダウンリスト で時 刻 を選 択
し、 【適 用 ( Apply) 】 をクリックします。
追 加 のレポート を送 信 することもできます。 これを行 うには、 【追 加 のレポートを送 信 ( Send
Additional Report) 】 チェックボックスにチェックを入 れ、時 刻 を設 定 して、 【適 用 ( Apply) 】 をクリッ
クします。
カスタ マイズ 可 能 な メ ッセ ージ テ キスト ( C u s tom i za bl e Me s s a ge
Te x t)
ここで、隔 離 レポート の序 文 となるテキスト をカスタマイズできます。 必 要 に応 じてメッセージテキス
ト を変 更 して、 【適 用 ( Apply) 】 をクリックします。
注 – カスタマイズ可 能 なメッセージテキスト ボックスではHTMLタグは使 用 できません。
注 – 家 庭 用 ライセンスを使 用 している場 合 は、カスタマイズできません。
ASG V8 管 理 ガイド
351
10.5隔 離 レポート
10メールセキュリティ
10.5.2除 外
【隔 離 レポート ( Quarantine Report) 】 >>【除 外 ( Exception) 】 タブで、デイリーの隔 離 レポー
ト の受 信 から除 外 するEメールアドレスのスキップリスト を定 義 できます。
図 118 隔 離 レポート ：除 外
隔 離 レ ポート をスキ ップ( S k i ppi n g Qu a r a n ti n e Re por ts )
ここで隔 離 通 知 を送 信 しない内 部 Eメールアドレスを設 定 できます。 ここにEメールアドレスがリス
ト されているユーザは、デイリーの隔 離 レポート を受 信 しません。 完 全 なEメールアドレスを入 力 す
るか、または*@example.comのようにアスタリスク( *) をワイルドカードどして使 用 できます。
注 - スキップリスト はSMTP隔 離 レポート にのみ適 用 されます。 それぞれのユーザに指 定 され
たPOP3アカウント がある場 合 は、POP3隔 離 レポート はそれにもかかわらず送 信 されます。
内 部 メ ーリン グリスト の定 義 ( D e f i n e I n te r n a l Ma i l i n g L i s ts )
メーリングリスト のEメールアドレスが【メーリングリストアドレスパターン( Mailing List Address
Patterns) 】 ボックスで設 定 されている場 合 に( 例 ：[email protected]) 、このメーリング
リスト に送 信 されたスパムメッセージが検 知 されてEメールの隔 離 場 所 にリダイレクト されたときは、こ
のメーリングリスト に含 まれるすべての受 信 者 の隔 離 レポート がこのスパムメッセージへのリンクを
含 みます。 したがって、各 受 信 者 は、受 信 者 が隔 離 レポート の【リリース( Release) 】 リンクをクリッ
352
ASG V8 管 理 ガイド
10メールセキュリティ
10.5隔 離 レポート
クすると表 示 されるユーザプロンプト に自 身 のEメールアドレスを入 力 することで、このスパムメッセー
ジを個 々 にリリースできます。
注 - メーリングリスト は隔 離 レポート またはユーザポータルでホワイト リスト 化 できません。
代 わりに、特 定 メーリングリスト のEメールアドレスを、追 加 Eメールアドレスとしてローカルユーザのプ
ロファイルに入 力 することで、このユーザを一 種 のメールマネージャに設 定 できます。 すると、この
ユーザの隔 離 レポート のみがメーリングリスト に送 信 されたスパムメッセージへのリンクを含 むように
なります。 【リリース( Release) 】 リンクをクリックすると、そのメーリングリスト のすべての受 信 者 に一
度 にスパムメッセージが送 信 されます。
注 - メーリングリスト のEメールアドレスがユーザのプロファイルの追 加 Eメールアドレスとして設 定
されている場 合 は、そのメーリングリスト に送 信 されたスパムメッセージへのリンクは、そのメーリン
グリスト の受 信 者 には表 示 されません。
ただし、メーリングリスト のEメールアドレスがユーザのプロファイルおよび【メーリングリストアドレスパ
ターン( Mailing List Address Patterns) 】 ボックスの両 方 で追 加 Eメールアドレスとして設 定 され
ている場 合 は、そのユーザの隔 離 レポート の【リリース( Release) 】 リンクからユーザプロンプト が開
きます。 そこでスパムメッセージの転 送 先 のそれぞれのEメールアドレスを手 動 で入 力 して、スパム
メールの受 信 者 を決 定 できます。
最 後 に、メーリングリスト のEメールアドレスがユーザプロファイルとメーリングリスト アドレスパターンの
どちらでも追 加 Eメールアドレスとして設 定 されていない場 合 は、メーリングリスト に送 信 されたスパ
ムメッセージは通 常 のEメールのように扱 われます。つまり、受 信 者 の誰 かがスパムメールをリリース
すると、それはメーリングリスト のすべての受 信 者 に送 信 されます。
要 約 すると、メーリングリスト のEメールアドレスをメーリングリスト アドレスパターンとして設 定 すると、
隔 離 レポート にスパムメッセージへのリンクを持 つ各 ユーザは、スパムメッセージのリリース先 のE
メールアドレスを入 力 するように要 求 されることになります。
10.5.3詳 細
【隔 離 レポート ( Quarantine Report) 】 >>【詳 細 ( Advanced) 】 タブで、デイリーの隔 離 レポー
ト に含 まれる【リリース( Release) 】 リンクに代 替 ホスト 名 とポート 番 号 を設 定 できます。 また、スパ
ムメールのリリースオプションを変 更 することもできます。
ASG V8 管 理 ガイド
353
10.5隔 離 レポート
10メールセキュリティ
図 119 隔 離 レポート ：詳 細 オプション
隔 離 レ ポート 詳 細 オプシ ョ ン( Adv a n c e d Qu a r a n ti n e Re por t
Opti on s )
ホスト 名 (Hostname)： デフォルト では、 【マネジメント ( Management) 】 >>【システム設
定 ( System Settings) 】 >>【ホスト名 ( Hostname) 】 タブのゲート ウェイのホスト 名 です。 ゲート
ウェイが送 信 する隔 離 レポート には、ハイパーリンクなどが含 まれており、ユーザはこれをクリックし
てEメール隔 離 場 所 からメッセージをリリースできます。 デフォルト では、これらのリンクはここで指 定
したホスト 名 をポイント しています。 ユーザがインターネット 上 でEメールをリリースできるようにしたい
場 合 は、パブリックに解 決 できる代 替 ホスト 名 をここに入 力 する必 要 があります。
ポート (Port)： デフォルト では、ポート 3840が設 定 されています。 ポート は、1024～ 65535の範
囲 内 でどの値 にでも変 更 できます。
許 可 ネット ワーク(Allowed Networks)： Eメールリリースサービスへの接 続 を許 可 するネット
ワークも指 定 できます。 デフォルト では、内 部 ネット ワークのみが選 択 されています。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
リリースオプ シ ョン( Re l e a s e Opti on s )
ここで、ユーザがリリース可 能 な隔 離 メッセージのタイプを選 択 できます。 以 下 のオプションから選
択 できます。
354
ASG V8 管 理 ガイド
10メールセキュリティ
l
マルウェア( Malware)
l
スパム( Spam)
l
表 現 ( Expression)
l
ファイル拡 張 子 ( File Extension)
l
スキャン不 可 ( Unscannable)
l
MIME
l
その他 ( Other)
10.6メールマネージャ
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
10.6メールマネージャ
メールマネージャとは、ユニット に現 在 保 存 されているすべてのEメールメッセージを管 理 および整
理 するための管 理 ツールです。 配 信 待 ちのメッセージや、悪 意 あるソフト ウェアに感 染 している隔
離 メッセージ、疑 わしい添 付 ファイルが添 付 されている隔 離 メッセージ、スパムとして識 別 された隔
離 メッセージ、または好 ましくない表 現 が含 まれている隔 離 メッセージなどが表 示 されます。 メッ
セージをダウンロード、リリース、削 除 する前 に、メールマネージャを使 用 してすべてのメッセージを
レビューすることができます。 メールマネージャはUTF-8に完 全 に対 応 しています。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
ASG V8 管 理 ガイド
355
10.6メールマネージャ
10メールセキュリティ
10.6.1メールマネージャウィンドウ
図 120 メールマネージャ - Astaro Security Gateway
【メールマネージャ( Mail Manager) 】ウィンドウを開 くには、 【メールセキュリティ( Mail
Security) 】 >>【メールマネージャ( Mail Manager) 】 >>【グローバル( Global) 】 タブの【新 しいウ
ィンドウでメールマネージャを開 く( Open Mail Manager in New Window) 】 ボタンをクリックしま
す。 メールマネージャは、次 の5つのタブに分 割 されています。
l
SMTP隔 離 (SMTP Quarantine)： 現 在 隔 離 されているすべてのメッセージを表 示 し
ます。
l
SMTPスプール(SMTP Spool)： 現 在 /var/spoolにあるすべてのメッセージを表 示 しま
す。 これらのメッセージは、配 信 待 ちであるか、エラーが発 生 したためにスプールに含 まれて
いる可 能 性 があります。
l
SMTPログ(SMTP Log)： SMTP経 由 で処 理 されたすべてのメッセージの配 信 ログを表
示 します。
l
POP3隔 離 (POP3 Quarantine)： POP3経 由 でフェッチされた現 在 隔 離 されているす
べてのメッセージを表 示 します。
356
ASG V8 管 理 ガイド
10メールセキュリティ
l
10.6メールマネージャ
閉 じる(Close)： これをクリックすると、【メールマネージャ( Mail Manager) 】ウィンドウが閉
じます。
10.6.1.1SMTP/POP3隔 離
SMTPおよびPOP3隔 離 内 のメッセージは、それぞれの隔 離 理 由 別 に表 示 することができます。
l
マルウェア( Malware)
l
スパム( Spam)
l
表 現 ( Expression)
l
ファイル拡 張 子 ( File Extension)
l
MIMEタイプ( SMTPのみ)
l
スキャン不 可 ( Unscannable)
l
その他 ( Other)
チェックボックスを使 用 して、隔 離 理 由 を選 択 /選 択 解 除 します。 ある理 由 のチェックボックスをダ
ブルクリックすると、この理 由 だけが選 択 されます。
ヒント - メッセージを表 示 するには、メッセージをダブルクリックします。
プロファイル/ド メイン(Profile/Domain)( SMTP) 、アカウント (Accounts)( POP3) あるプロ
ファイル/ドメインまたはアカウント のメッセージのみを表 示 するには、プロファイル/ドメインまたはアカウ
ント を選 択 します。
送 信 者 /受 信 者 /件 名 サブ文 字 列 (Sender/Rcpt/Subject Substring)： ここでは、隔
離 されたメッセージ内 で検 索 する送 信 者 、受 信 者 、または件 名 を入 力 します。
受 信 日 付 (Received Date)： 特 定 の期 間 内 に処 理 されたメッセージのみを表 示 するには、
日 付 を入 力 するか、カレンダアイコンで日 付 を選 択 します。
ソート 基 準 (Sort By)： メッセージは、日 付 、件 名 、送 信 者 アドレス、メッセージサイズを基 準 に
並 べ替 えることができます。
表 示 数 (And Show)： 表 示 するエント リ数 として、1ページあたり20エント リ、50エント リ、100
エント リ、250エント リ、500エント リ、1000エント リ、またはすべてのメッセージを選 択 することがで
きます。 すべてのメッセージの表 示 には時 間 がかかる場 合 があります。
各 メッセージの前 にあるチェックボックスを使 用 するか、メッセージをクリックして、選 択 したメッセージ
にアクションを適 用 します。 次 の作 業 を実 行 できます。
ASG V8 管 理 ガイド
357
10.6メールマネージャ
10メールセキュリティ
l
ダウンロード (Download)： 選 択 されたメッセージをダウンロードします。
l
削 除 (Delete)： 選 択 されたメッセージを削 除 します。これを取 り消 すことはできません。
l
リリース(Release)： 選 択 されたメッセージを隔 離 からリリースします。
l
リリースし、誤 検 出 として報 告 (Release and Report as False Positive)： 選 択 し
たメッセージを隔 離 からリリースし、スパムスキャンエンジンに誤 検 出 として報 告 します。
隔 離 に保 留 されているメッセージをすべてリリースできるのは管 理 者 だけです。Astaroユーザポー
タルでメッセージを確 認 したユーザは、明 示 的 に許 可 されているメッセージのみをリリースすることが
できます。 この権 限 付 与 設 定 は、 【メールセキュリティ( Mail Security) 】 >>【隔 離 レポー
ト ( Quarantine Report) 】 >>【詳 細 ( Advanced) 】 タブで確 認 できます。
グローバルクリーンアップアクションの選 択 (Select Global Cleanup Action)： ここには、メッ
セージに対 してグローバルに適 用 されるさまざまな削 除 オプションがあります。つまり、選 択 されてい
ないメッセージや表 示 されていないメッセージにもオプションが適 用 されます。
警 告 - メッセージの削 除 を取 り消 すことはできません。
10.6.1.2SMTPスプール
ここには、配 信 待 ちメッセージまたはエラーが発 生 したメッセージが表 示 されます。 配 信 ログは、メ
ッセージヘッダの一 部 でもあります。 次 のチェックボックスを使 用 して、表 示 するメッセージのタイプ
を1つだけ選 択 してください。
l
待 機 中 (Waiting)： 配 信 待 ちのメッセージ。
l
エラー(Error)： エラーが発 生 したメッセージ。 あるメッセージでエラーが複 数 回 発 生 した
場 合 は、Astaroパート ナーまたはAstaroサポート チームに報 告 してください。
ヒント - メッセージを表 示 するには、メッセージをダブルクリックします。
プロファイル/ド メイン(Profile/Domain)： プロファイル/ドメインを選 択 すると、そのプロファイル/
ドメインのメッセージのみが表 示 されます。
送 信 者 /受 信 者 /件 名 サブ文 字 列 (Sender/Rcpt/Subject Substring)： ここでは、ス
プールメッセージ内 で検 索 する送 信 者 、受 信 者 、または件 名 を入 力 します。
受 信 日 付 (Received Date)： 特 定 の期 間 内 に処 理 されたメッセージのみを表 示 するには、
日 付 を入 力 するか、カレンダアイコンで日 付 を選 択 します。
ソート 基 準 (Sort By)： メッセージは、日 付 、送 信 者 アドレス、件 名 、メッセージサイズを基 準 に
並 べ替 えることができます。
358
ASG V8 管 理 ガイド
10メールセキュリティ
10.6メールマネージャ
表 示 数 (And Show)： 表 示 するエント リ数 として、1ページあたり20エント リ、50エント リ、100
エント リ、250エント リ、500エント リ、1000エント リ、またはすべてのメッセージを選 択 することがで
きます。 すべてのメッセージの表 示 には時 間 がかかる場 合 があります。
各 メッセージの前 にあるチェックボックスを使 用 するか、メッセージをクリックして、選 択 したメッセージ
にアクションを適 用 します。 次 の作 業 を実 行 できます。
l
ダウンロード (Download)： 選 択 されたメッセージをダウンロードします。
l
再 試 行 (Retry)： 選 択 されたメッセージの配 信 を即 時 に再 試 行 します。
l
削 除 (Delete)： 選 択 されたメッセージを削 除 します。これを取 り消 すことはできません。
l
バウンス(Bounce)： 選 択 されたメッセージをバウンスします。送 信 者 には、メッセージの
配 信 がキャンセルされたことを伝 えるメッセージが送 信 されます。
グローバルクリーンアップアクションの選 択 (Select Global Cleanup Action)： ここには、メッ
セージに対 してグローバルに適 用 される再 試 行 オプションとさまざまな削 除 オプションがあります。つ
まり、選 択 されていないメッセージや表 示 されていないメッセージにもオプションが適 用 されます。
警 告 - メッセージの削 除 を取 り消 すことはできません。
10.6.1.3SMTPログ
【 SMTPログ( SMTP Log) 】 には、SMTP経 由 で処 理 されたすべてのメッセージのログメッセージが
表 示 されます。
結 果 フィルタ(Result Filter)： 表 示 されるメッセージのタイプを選 択 するには、該 当 するチェック
ボックスにチェックを入 れます。
l
配 信 済 み(Delivered)： 配 信 が成 功 したメッセージ。
l
リジェクト (Rejected)：ASGに拒 否 されたメッセージ。
l
隔 離 済 み(Quarantined)： 隔 離 されたメッセージ。
l
ブラックホール化 (Blackholed)： 通 知 なしで削 除 されたメッセージ。
l
キャンセル済 み(Canceled)：SMTPスプールに手 動 でバウンスされたメッセージ。
l
バウンス済 み(Bounced)： ルーティング設 定 が正 しくないなどの理 由 により、配 信 できな
いメッセージ。
l
削 除 済 み(Deleted)： 手 動 で削 除 されたメッセージ。
l
不 明 (Unknown)： ステータスが不 明 なメッセージ。
ASG V8 管 理 ガイド
359
10.6メールマネージャ
10メールセキュリティ
【結 果 フィルタ( Result Filter) 】 アイテムの選 択 /選 択 解 除 を切 り替 えるには、チェックボックスを使
用 します。 アイテムをダブルクリックすると、そのアイテムだけが選 択 されます。
理 由 フィルタ(Reason Filter)： メッセージログの表 示 をさらにフィルタするには、チェックボックス
を使 用 します。
ヒント - メッセージログを表 示 するには、メッセージログをダブルクリックします。 IPアドレスを解 決
するには、メッセージのサーバアイコンをクリックします。 アスタリスク( *) は、リバースDNSルックアッ
プが成 功 したことを示 します。
プロファイル/ド メイン(Profile/Domain)： プロファイル/ドメインを選 択 すると、そのプロファイル/
ドメインのメッセージのみが表 示 されます。
IP/ネット /アド レス/件 名 サブ文 字 列 ( IP/Net/Address/Subj. Substring) ： ここで
は、SMTPログメッセージ内 で検 索 するIPアドレス、ネット ワークアドレス、または件 名 を入 力 しま
す。
受 信 日 付 (Received Date)： 特 定 の期 間 内 に処 理 されたメッセージのみを表 示 するには、
日 付 を入 力 するか、カレンダアイコンで日 付 を選 択 します。
ソート 基 準 (Sort By)： メッセージは、イベント 時 間 、送 信 者 アドレス、メッセージサイズを基 準
にソート できます。
表 示 数 (And Show)： 表 示 するエント リ数 として、1ページあたり20エント リ、50エント リ、100
エント リ、250エント リ、500エント リ、1000エント リ、またはすべてのメッセージを選 択 することがで
きます。 すべてのメッセージの表 示 には時 間 がかかる場 合 があります。
10.6.2グローバル
【メールマネージャ( Mail Manager) 】 >>【グローバル( Global) 】 タブの上 部 では、 【新 しいウィン
ドウでメールマネージャを開 く( Open Mail Manager in New Window) 】 ボタンをクリックしてメー
ルマネージャを開 くことができます。
360
ASG V8 管 理 ガイド
10メールセキュリティ
10.6メールマネージャ
図 121 メールマネージャ：概 要
下 部 にある【統 計 概 要 ( Statistics Overview) 】 エリアには、ユニット に現 在 保 存 されているすべ
てのメッセージの概 要 が表 示 されます。 データはSMTPプロト コル経 由 かPOP3プロト コル経 由 かに
よって分 類 されています。 両 方 のタイプに対 して、次 の情 報 が表 示 されます。
l
配 信 待 ち(スプール中 )(Waiting for Delivery(Spooled))( SMTPのみ) ：スキャン
中 なのでまだ配 信 できないなどの理 由 により、現 在 スプールにあるメール。
l
クリーン合 計 (Clean total)( POP3のみ) ：ユニット がプリフェッチし、クライアント /ユーザが
まだ回 収 していないメール。
l
隔 離 マルウェア(Quarantined Malware)： ウイルスやその他 の危 険 なコンテンツなど
のマルウェアを含 むメッセージの総 数 。
l
隔 離 スパム(Quarantined Spam)： スパムと特 定 されたメッセージの総 数 。
l
隔 離 表 現 (Quarantined Expression)： 許 可 されない表 現 が含 まれるために隔 離
に移 されたメッセージの総 数 。
l
隔 離 ファイル拡 張 子 (Quarantined File Extension)： 疑 わしい添 付 ファイルが含 ま
れるために隔 離 されたメッセージの総 数 ( ファイル拡 張 子 で識 別 ) 。
l
隔 離 スキャン不 可 (Quarantined Unscannable)： スキャンできないため隔 離 された
メッセージの総 数 。
ASG V8 管 理 ガイド
361
10.6メールマネージャ
10メールセキュリティ
l
隔 離 MIMEタイプ(Quarantined MIME Type)( SMTPのみ) ：SMTP設 定 に従 ってフ
ィルタすべきMIMEタイプが含 まれるため隔 離 されたメッセージの総 数 。
l
総 隔 離 数 (Quarantined Total)： 隔 離 されたメッセージの総 数 。
注 - 【配 信 待 ち( Waiting for Delivery) 】 の数 は、SMTPメッセージの場 合 はリアルタイムのス
ナップショット を表 します。 ただしPOP3メッセージの場 合 は、表 示 される数 は、前 回 プリフェッチが
有 効 にされたときからの累 積 数 です。
下 に、過 去 24時 間 以 内 のSMTP隔 離 および拒 否 ( リジェクト ) の簡 単 な統 計 が表 示 されます。
l
マルウェア隔 離 /リジェクト (Malware Quarantined/Rejected)： 有 害 なコンテンツ
が含 まれるため隔 離 /拒 否 されたメッセージの数 。
l
スパム隔 離 /リジェクト (Spam Quarantined/Rejected)： スパム認 定 されたため隔
離 /拒 否 されたメッセージの数 。
l
ブラックリスト リジェクト (Blacklist Rejects)： 送 信 者 がブラックリスト に含 まれているため
拒 否 されたメッセージの数 。
l
アド レス検 査 リジェクト (Address Verification Rejects)： 送 信 者 アドレスを検 証 で
きなかったため拒 否 されたメッセージの数 。
l
SPFリジェクト (SPF Rejects)： 送 信 ホスト が許 可 されないため拒 否 されたメッセージの
数。
l
RBLリジェクト (RBL Rejects)： 送 信 者 がリアルタイムブラックホールリスト に含 まれている
ため拒 否 されたメッセージの数 。
l
BATVリジェクト (BATV Rejects)：BATVタグを検 証 できなかったために拒 否 されたメッ
セージの数 。
l
RDNS/HELOリジェクト (RDNS/HELO Rejects)：HELOが無 効 であるかRDNSエン
ト リが不 足 しているために拒 否 されたメッセージの数 。
拒 否 があるかどうかは【メールセキュリティ( Mail Security) 】 >>【 SMTP】 での設 定 に依 存 しま
す。
10.6.3設 定
【メールマネージャ( Mail Manager) 】 >>【設 定 ( Configuration) 】 タブでは、データベースログを
どれくらいの期 間 保 存 するのか、そして隔 離 メッセージを何 日 後 に隔 離 場 所 から削 除 するのかを
設 定 することができます。 有 効 期 限 設 定 の日 数 を超 えたログとメッセージは自 動 的 に削 除 されま
す。
362
ASG V8 管 理 ガイド
10メールセキュリティ
10.6メールマネージャ
図 122 メールマネージャ：設 定
デフォルト 設 定 は次 のとおりです。
l
データベースログは3日 経 過 後 に削 除 されます。 許 可 される最 大 日 数 は30日 です。
l
隔 離 メッセージは14日 経 過 後 に削 除 されます。 許 可 される最 大 日 数 は999日 です。
データベースログと隔 離 の両 方 に対 して許 可 される最 低 日 数 は1日 です。
データ ベースログのフラッシ ュ( F l u s h D a ta ba s e L og)
このオプションは、データベースログに大 量 のデータが蓄 積 された場 合 にログを即 時 消 去 するときに
便 利 です。 これを使 用 すれば、通 常 のクリーンアップアクションが実 行 されるまで待 つ必 要 はあり
ません。
ASG V8 管 理 ガイド
363
11ワイヤレスセキュリティ
【ワイヤレスセキュリティ( Wireless Security) 】 メニューを使 用 して、Astaro Security Gateway
のワイヤレスアクセスポイント 、対 応 するワイヤレスネット ワーク、ワイヤレスアクセスを利 用 するクラ
イアント を設 定 および管 理 することができます。 アクセスポイント はASG上 で自 動 的 に設 定 される
ため、個 別 に設 定 する必 要 はありません。アクセスポイント の設 定 およびステータス情 報 を交 換 す
るために使 用 される、ASGとアクセスポイント の間 の通 信 は、AESを使 用 して暗 号 化 されます。
重 要 - アクセスポイント が激 しく点 滅 している場 合 は、電 源 を切 断 しないでください。 激 しい点
滅 は、ファームウェアフラッシュが現 在 行 われていることを意 味 します。 ファームウェアフラッシュは、
ワイヤレスセキュリティ更 新 に伴 うASGシステム更 新 の後 などに実 行 されます。
この章 には次 のト ピックが含 まれます。
l
グローバル設 定
l
ワイヤレスネット ワーク
l
アクセスポイント
l
ワイヤレスクライアント
「ワイヤレスセキュリティの概 要 」ページは、接 続 されたアクセスポイント 、そのステータス、接 続 され
たクライアント 、およびワイヤレスネット ワークに関 する基 本 情 報 を示 します。
ライブ ログ
【ワイヤレスセキュリティのライブログを開 く( Open Wireless Security Live Log) 】 ボタンをクリック
すると、アクセスポイント および接 続 を試 行 するクライアント に関 する詳 細 な接 続 およびデバッグ情
報 が表 示 されます。
11.1グローバル設定
【ワイヤレスセキュリティ( Wireless Security) 】 >>【グローバル設 定 ( Global Settings) 】 ページ
では、ワイヤレスセキュリティの有 効 化 、ワイヤレスセキュリティ用 のネット ワークインタフェースの設
定 、およびWPA/WPA2エンタープライズ認 証 の設 定 が可 能 です。
11.1グローバル設 定
11ワイヤレスセキュリティ
11.1.1グローバル設 定
【ワイヤレスセキュリティ( Wireless Security) 】 >>【グローバル設 定 ( Global Settings) 】 >>【
グローバル設 定 ( Global Settings) 】 タブで、ワイヤレスセキュリティを有 効 または無 効 にできま
す。
図 123 ワイヤレスセキュリティ( Wireless Security) ：グローバル設 定
ワイヤレスセキュリティを有 効 にするには、次 の手 順 に従 います。
1. 【グローバル設 定 (Global Settings)】 タブで、ワイヤレスセキュリティを有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【アクセスコントロール( Access Control) 】 エリアが
編 集 可 能 になります。
ワイヤレスセキュリティを初 めて有 効 化 する際 は、 【初 期 セットアップ( Initial Setup) 】 セク
ションが表 示 されます。 ここには、作 成 される設 定 が表 示 されています。WPA2個 人 暗 号
366
ASG V8 管 理 ガイド
11ワイヤレスセキュリティ
11.1グローバル設 定
化 をDHCP用 ワイヤレスクライアント で使 用 する個 別 のワイヤレス「ゲスト 」ネット ワー
ク。ASGおよびWeb サーフィンサービスでDNSを使 用 することが許 可 されます。 事 前 共 有
鍵 は自 動 生 成 され、このセクションのみに表 示 されます。 初 期 設 定 はテンプレート として機
能 します。 いつでも 【ワイヤレスセキュリティ( Wireless Security) 】 >>【ワイヤレスネット
ワーク( Wireless Networks) 】 ページで設 定 を編 集 することができます。
自 動 設 定 のスキップ(Skip Automatic Configuration)： また、このオプションを選
択 して、初 期 セット アップをスキップすることもできます。 この場 合 、ワイヤレス設 定 を手 動
で設 定 する必 要 があります。
2. アクセスポイント 用 のネット ワークインタフェースを選 択 します。
アクセスポイント をプラグインする設 定 済 みインタフェースを選 択 するには、 【許 可 されるインタ
フェース( Allowed Interfaces) 】 セクションのフォルダアイコンをクリックします。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。 ステータスアイコンが緑 色 になり、ワイヤレスセキュリティが有 効 にな
ります。
設 定 されたネット ワークインタフェースにアクセスポイント をプラグインして、続 行 することができ
ます。 自 動 設 定 のスキップを選 択 した場 合 は、 【ワイヤレスネットワーク( Wireless
Networks) 】 ページで設 定 を続 けます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
アクセスポイント をプラグインするとすぐに、アクセスポイント はシステムに自 動 的 に接 続 します。 新
たに接 続 された未 設 定 のアクセスポイント は、 【アクセスポイント ( Access Points) 】 ページに【保
留 中 のアクセスポイント ( Pending Access Points) 】 としてリスト されます。
11.1.2詳 細
【ワイヤレスセキュリティ( Wireless Security) 】 >>【グローバル設 定 ( Global Settings) 】 >>【
詳 細 ( Advanced) 】 タブでは、WPA/WPA2エンタープライズ認 証 を使 用 するようにアクセスポイン
ト を設 定 したり、VLANの使 用 を有 効 化 することができます。
エンタープライズ認 証
このためには、RADIUSサーバのいくつかの情 報 を入 力 する必 要 があります。 APは認 証 のため
にRADIUSサーバと通 信 せず、ASGとだけ通 信 します。ASGとAPの間 のRADIUS 通 信 にはポー
ト 414が使 用 されます。
WPA/WPA2エンタープライズ認 証 を使 用 にするには、次 の設 定 を行 います。
ASG V8 管 理 ガイド
367
11.1グローバル設 定
11ワイヤレスセキュリティ
RADIUSサーバ(RADIUS Server)： クライアント が自 己 認 証 を行 うサーバを選 択 または作
成 します( Active Directoryサーバなど) 。
RADIUSポート (RADIUS Port)( オプション) ：デフォルト では、RADIUSポート 1812が選 択 さ
れています。 必 要 であれば、 ポート を変 更 できます。
RADIUSシークレット (RADIUS Secret)： アクセスポイント がRADIUSサーバと通 信 するため
に必 要 なRADIUSパスフレーズを入 力 します。
シークレット の繰 り返 し(Repeat Secret)： セキュリティ上 の理 由 で、ここでRADIUSパスフレー
ズをもう一 度 入 力 します。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
VLAN設 定 ( VLAN Settings)
このセクションでは、ワイヤレスネット ワークとアクセスポイント ( AP) に対 してVLANの使 用 を有 効 化
することができます。 VLANはデフォルト では無 効 になっています。
VLANセット アップは、アクセスポイント を同 じネット ワーク内 に配 置 したまま、異 なるスイッチやASG
ネット ワークインタフェースに接 続 したい場 合 に便 利 です。
ネット ワーク内 のアクセスポイント に対 してVLANの使 用 を導 入 するには、以 下 の手 順 に従 いま
す。
1. VLANを有 効 化 し、VLAN IDを設 定 します。
2. 標 準 LANを使 用 して、APをASGに1分 以 上 接 続 します。 これは、APが設 定 を取 得 するた
めに必 要 です。 最 初 からVLAN経 由 で接 続 すると、APはVLAN内 にあることを認 識 しない
ため、設 定 を取 得 するためにASGに接 続 することができません。
3. 設 定 を受 信 した後 で、APを希 望 するVLAN( スイッチなど) に接 続 します。
VLANを使 用 したいアクセスポイント すべてについて、ステップ2と3を繰 り返 す必 要 があります。
注 VLANタギングが設 定 されている場 合 、APは設 定 されたVLANに対 してDHCPを60秒 間 試 行
します。 この時 間 内 にIPアドレスを受 信 できなかった場 合 、APはフォールバックとして標 準 のLAN
にDHCPを試 みます。
VLANタギング(VLAN Tagging)： VLANを有 効 化 するには、ドロップダウンリスト から【有
効 ( Enabled 】 を選 択 します。
368
ASG V8 管 理 ガイド
11ワイヤレスセキュリティ
11.2ワイヤレスネット ワーク
AP VLAN ID： アクセスポイント で使 用 するVLANのIDを入 力 します。 VLANタグ0および1は使
用 しないでください。一 般 に、これらのタグはネット ワークハードウェア( スイッチなど) 上 で特 別 な意
味 を持 ちます。原 則 的 に、4095は予 約 されています。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。 接 続 されたアクセスポイント は、それぞれ
設 定 または設 定 の更 新 を受 信 します。 その後 、 【 AP LANへのブリッジ ( Bridge to AP LAN) 】 に
よってワイヤレスネット ワークに接 続 されたAPおよびワイヤレスクライアント は、通 信 のためにAP
VLAN IDを使 用 します。 ただし、各 ワイヤレスネット ワークに対 して【ワイヤレスネットワー
ク( Wireless Networks) 】 ページの【 VLANへのブリッジ ( Bridge to VLAN) 】 オプションを設 定 す
ることにより、単 一 の( あるいはすべての) ワイヤレスネット ワークでこのVLAN以 外 のVLAN IDを使
用 することができます。
VLANタギングが設 定 されており、APがVLAN経 由 でASGにコンタクト できない場 合 、APは自 動 的
にリブート し、設 定 の受 信 後 に再 試 行 します。
注 -VLANを無 効 化 した場 合 、 【 VLANへのブリッジ ( Bridge to VLAN) 】 オプションを使 用 する
すべてのワイヤレスネット ワークは【 AP LANへのブリッジ ( Bridge to AP LAN」】 にリセット されま
す。
11.2ワイヤレスネット ワーク
【ワイヤレスセキュリティ( Wireless Security) 】 >>【ワイヤレスネットワーク( Wireless
Networks) 】 ページでは、ワイヤレスネット ワークを定 義 できます( SSIDおよび暗 号 化 方 式 な
ど) 。 さらに、ワイヤレスネット ワークに個 別 のIPアドレス範 囲 が必 要 か、アクセスポイント のLANに
対 するブリッジングが必 要 かを定 義 することができます。
図 124 ワイヤレスセキュリティ( Wireless Security) ：ワイヤレスネット ワーク
新 しいワイヤレスネット ワークを作 成 するには、次 の手 順 に従 います。
1. 【ワイヤレスネットワーク(Wireless Networks)】 ページで 【ワイヤレスネットワークの追
加 (Add Wireless Network)】 をクリックします。
【ワイヤレスネットワークの追 加 ( Add Wireless Network) 】 ダイアログボックスが開 きます。
ASG V8 管 理 ガイド
369
11.2ワイヤレスネット ワーク
11ワイヤレスセキュリティ
2. 次 の設 定 を行 います。
ネット ワーク名 前 (Network Name)： ネット ワークを説 明 する名 前 を入 力 します。
ネット ワークSSID(Network SSID)： ワイヤレスネット ワークの識 別 のためにクライアント
に表 示 される、ネット ワークのサービスセット 識 別 子 ( SSID) を入 力 します。 SSID
は、1～ 32文 字 のASCII印 字 可 能 文 字 1で構 成 します。 コンマは使 用 できず、先 頭 また
は末 尾 をスペースにすることはできません。
暗 号 化 モード (Encryption Mode)： ドロップダウンリスト から暗 号 化 モードを選 択 しま
す。 デフォルト はWPA2 Personalです。 セキュリティ上 の理 由 から、ワイヤレスネット ワーク
を使 用 しているクライアント の中 に、WEP以 外 の方 法 をサポート しないクライアント がいなけ
れば、WEPを使 用 しないことを推 奨 します。 エンタープライズ認 証 方 式 を使 用 する場 合 、 【
グローバル設 定 ( Global Settings) 】 >>【詳 細 ( Advanced) 】 タブでRADIUSサーバも設
定 する必 要 があります。
パスフレーズ/PSK(Passphrase/PSK)：WPA/WPA2 Personal暗 号 化 モードのみで
使 用 できます。 許 可 されないアクセスからワイヤレスネット ワークを保 護 するパスフレーズを
入 力 し、次 のフィールドに再 入 力 してください。 パスフレーズには、8～ 63文 字 のASCII印
字 可 能 文 字 を使 用 します。
アルゴリズム(Algorithm)： WPA/WPA2のみで使 用 できます。 暗 号 化 アルゴリズム
をAESまたはTKIP & AESから選 択 します。
128ビット のWEPキー(128-bit WEP Key)：WEP暗 号 化 モードのみで使 用 できま
す。 ここで、26文 字 ちょうどの16進 文 字 から成 るWEPキーを入 力 します。
クライアント ト ラフィック(Client Traffic)： ワイヤレスネット ワークをローカルネット ワークに
統 合 する方 法 を選 択 します。
l
分 離 ゾーン(Separate Zone)( デフォルト ) ：ワイヤレスネット ワークは、独 自 のIP
アドレス範 囲 を持 つ独 立 したネット ワークとして処 理 されます。
注 - 既 存 の分 離 ゾーンネット ワークを【 AP LANへのブリッジ ( Bridge to AP
LAN) 】 または【 VLANへのブリッジ ( Bridge to VLAN) 】 に切 り替 えると、ASG上 の
設 定 済 みWLANインタフェースは未 割 り当 てになります。 ただし、編 集 して再 有 効
1 http://en.wikipedia.org/wiki/ASCII#ASCII_printable_characters
370
ASG V8 管 理 ガイド
11ワイヤレスセキュリティ
11.2ワイヤレスネット ワーク
化 することにより、新 しいハードウェアインタフェースをインタフェースオブジェクト に割 り
当 てることができます。
l
AP LANへのブリッジ(Bridge to AP LAN)： ワイヤレスネット ワークをアクセスポ
イント のネット ワークにブリッジングすることができます。つまり、ワイヤレスクライアント は
同 じIPアドレス範 囲 を共 有 します。
注 - VLANが有 効 な場 合 、ワイヤレスクライアント はアクセスポイント のVLANネット
ワークにブリッジングされます。
l
VLANへのブリッジ(Bridge to VLAN)： VLANが有 効 な場 合 、このワイヤレスネ
ット ワークのト ラフィックを任 意 のVLANにブリッジングさせることができます。 これは、ワ
イヤレスクライアント から独 立 した共 通 ネット ワーク内 にアクセスポイント を含 めたい場
合 に便 利 です。
VLAN IDへのブリッジ(Bridge to VLAN ID)： ワイヤレスクライアント が含 まれ
るネット ワークのVLAN IDを入 力 します。
クライアント VLAN ID(Client VLAN ID)： VLAN IDの定 義 方 法 を選 択 しま
す。
l
スタティック(Static)： 【グローバル設 定 ( Global Settings) 】 >>【詳
細 ( Advanced) 】 ページに定 義 されたVLAN IDを使 用 します。
l
RADIUSおよびスタティック(RADIUS & Static)：RADIUSサーバが提 供
するVLAN IDを使 用 します。ユーザがいずれかのワイヤレスネット ワークに接
続 し、RADIUSサーバで認 証 を行 うと、RADIUSサーバはこのユーザに対 して
使 用 すべきVLAN IDをアクセスポイント に知 らせます。 したがって、複 数 のワイ
ヤレスネット ワークを使 用 する際 に、どのユーザがどの内 部 ネット ワークにアク
セスできるのかをユーザごとに定 義 することができます。 ユーザにVLAN ID属
性 が割 り当 てられていない場 合 、 【グローバル設 定 ( Global
Settings) 】 >>【詳 細 ( Advanced) 】 ページで定 義 されたVLAN IDが使 用
されます。
クライアント 隔 離 (Client Isolation)： ネット ワーク内 のクライアント は通 常 、互 いに通
信 できます。 ゲスト ネット ワーク内 などでこれを禁 止 したい場 合 、ドロップダウンリスト で 【有
効 ( Enabled) 】 を選 択 します。
SSID非 表 示 (Hide SSID)： SSIDを非 表 示 にしたい場 合 があります。 これには、ドロッ
プダウンリスト から【はい( Yes) 】 を選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
ASG V8 管 理 ガイド
371
11.3アクセスポイント
11ワイヤレスセキュリティ
3. 【保 存 (Save)】 をクリックします。
設 定 が保 存 され、ワイヤレスネット ワークが【ワイヤレスネットワーク( Wireless
Networks) 】 リスト に表 示 されるようになります。
各 ワイヤレスネット ワークに対 して分 離 ゾーンを使 用 すると、対 応 するハードウェアオブジェク
ト ( wlan0など) はバックグラウンドで作 成 されます。 これにより、ネット ワークインタフェースを作 成
し、ワイヤレスネット ワークのIPアドレス範 囲 を定 義 することができます。 次 に、このネット ワークイン
タフェースをASGの各 種 設 定 で使 用 することができます。 具 体 的 には、ワイヤレスネット ワークに
対 し、DHCPサーバ、ファイアウォールルール、マスカレードルールなどを作 成 することができます。
11.3アクセスポイント
【ワイヤレスセキュリティ( Wireless Security) 】 >> 【アクセスポイント ( Access Points) 】 ページ
は、システムで認 識 されているアクセスポイント ( AP) の概 要 を示 します。Astaro Security
Gatewayは、アクティブ、無 効 、保 留 中 のAPを識 別 します。 本 物 のAPのみがネット ワークに接 続
するようにするために、まず、APを承 認 する必 要 があります。
ヒント - このページの3つのセクションは、セクションヘッダの右 にあるシンボルをクリックして折 り畳
んだり、再 び展 開 することができます。
図 125 ワイヤレスセキュリティ：アクセスポイント
372
ASG V8 管 理 ガイド
11ワイヤレスセキュリティ
11.3アクセスポイント
簡 単 に管 理 できるように、各 APの場 所 を入 力 することができます。 また、ここでは、チャネルを変
更 することもできます。 チャネルを【自 動 ( Auto) 】 のままにすると、APは一 番 使 用 されていないチャ
ネルで自 動 的 に送 信 されます。 APに変 更 を加 えるには、 【編 集 ( Edit) 】 ボタンをクリックします。
APをネット ワークから物 理 的 に削 除 する場 合 、ここで 【削 除 ( Delete) 】 ボタンをクリックして削 除 し
ます。 APがネット ワークに接 続 されている限 り、削 除 後 も 【保 留 中 ( Pending) 】 状 態 で自 動 的 に
再 表 示 されます。
注 - 設 定 の変 更 後 、すべてのインタフェースが再 設 定 されるまで約 15秒 必 要 です。
アクテ ィブな アクセ スポイ ント ( Ac ti v e Ac c e s s P oi n ts )
ここには、接 続 されており設 定 済 みで実 行 中 のAPがリスト されます。
無 効 な アクセ スポイ ント ( I n a c ti v e Ac c e s s P oi n ts )
ここには、過 去 に設 定 されていたが現 在 はASGに接 続 されていないAPがリスト されます。 APがこの
状 態 で5分 間 経 過 した場 合 、APのネット ワーク接 続 とシステムの設 定 を確 認 してください。 ワイヤ
レスセキュリティサービスを再 起 動 すると、「 最 後 の表 示 ( Last seen) 」タイムスタンプが消 去 され
ます。
保 留 中 のアク セスポ イント ( P e n di n g Ac c e s s P oi n ts )
ここには、システムに接 続 されているが未 承 認 のAPがリスト されます。 アクセスポイント を承 認 する
には、各 アクセスポイント で 【同 意 ( Accept) 】 ボタンをクリックしてください。 承 認 済 みのアクセスポ
イント は、現 在 アクティブであるか否 かに応 じて、上 のいずれかのセクションに即 時 に表 示 されま
す。
注 - 保 留 中 のAPに対 して【同 意 ( Accept) 】 をクリックすると、ネット ワーク内 のすべてのSPがリ
ブート されます。
11.3.1アクセスポイント およびSSIDグルーピング
【ワイヤレスセキュリティ( Wireless Security) 】 >> 【アクセスポイント ( Access Points) 】 >> 【
アクセスポイントおよびSSIDグルーピング( Access Point and SSID Grouping) 】 ページでは、
複 数 の方 法 でアクセスポイント ( AP) を管 理 することができます。1番 目 の方 法 では、ワイヤレスネ
ット ワークをアクセスポイント に割 り当 てて、各 アクセスポイント で専 用 ワイヤレスネット ワークのみを
ブロードキャスト します。 これは、オフィスにのみブロードキャスト すべき会 社 のワイヤレスネット ワーク
や、建 物 内 の公 共 部 分 のみでブロードキャスト すべきゲスト ワイヤレスネット ワークなどで便 利 で
す。
ASG V8 管 理 ガイド
373
11.3アクセスポイント
11ワイヤレスセキュリティ
2番 目 の方 法 では、アクセスポイント をグループ化 します。 これらのグループにはワイヤレスネット
ワークのみを割 り当 てることができます。
図 126 ワイヤレスセキュリティ：アクセスポイント およびSSIDグルーピング
このページには、ワイヤレスネット ワーク、アクセスポイント 、およびアクセスポイント グループ( 存 在 す
る場 合 ) とその相 互 関 係 の組 み合 わせが表 示 されます。
各 APまたはAPグループの横 には、編 集 およびゴミ箱 のアイコンがあります。 編 集 アイコンを使 用 す
ると、AP またはグループの属 性 を変 更 できます。 ゴミ箱 アイコンをクリックすると、グループまたはア
クセスポイント が削 除 されます。
ワイヤレスネット ワークの設 定 を編 集 するには、ワイヤレスネット ワーク名 をクリックしますｓ．
APへのネット ワーク割 り当 て
APまたはAPグループにワイヤレスネット ワークを割 り当 てるには、それぞれのチェックボックスをオンに
します。 AP( またはグループ内 のすべてのAP) は、割 り当 てられたすべてのワイヤレスネット ワークを
ブロードキャスト します。
また、【編 集 ( Edit) 】ダイアログウィンドウでは、APの場 所 やチャネルを変 更 することもできます。
グループの作 成 と使 用
APグループを作 成 するには、APの編 集 アイコンをクリックします。 【グループ( Group) 】 ドロップダウン
リスト で 【新 規 グループ( New Group) 】 を選 択 し、 【名 前 ( Name) 】 フィールドに名 前 を入 力 しま
す。 【保 存 ( Save) 】 をクリックします。 APのリスト に新 しいグループが表 示 され、APはグループの一
部 となったためリスト に表 示 されなくなります。
ヒント - APまたはグループの名 前 をクリックしても、【編 集 ( Edit) 】ダイアログウィンドウにアクセス
することができます。
APの編 集 アイコンをクリックし、 【グループ( Goup) 】 ドロップダウンリスト でグループを選 択 すること
で、グループにAPを追 加 することができます。
374
ASG V8 管 理 ガイド
11ワイヤレスセキュリティ
11.4ワイヤレスクライアント
グループからAPを削 除 するには、当 該 グループの編 集 アイコンをクリックし、グループから削 除 した
いAPの前 にあるゴミ箱 アイコンをクリックします。
また、【編 集 ( Edit) 】ダイアログウィンドウでグループの名 前 を変 更 することもできます。
11.4ワイヤレスクライアント
【ワイヤレスセキュリティ( Wireless Security) 】 >>【ワイヤレスクライアント ( Wireless Clients) 】
ページは、現 在 アクセスポイント に接 続 されている( または過 去 に接 続 されていた) クライアント の概
要 を示 します。
図 127 ワイヤレスセキュリティ( Wireless Security) ：クライアント
すべてのクライアント が名 前 を送 信 する訳 ではないため、ここで名 前 を割 り当 てて、概 要 で既 知 の
クライアント を識 別 しやすくできます。 クライアント がDHCP要 求 中 にNetBIOS名 を送 信 する場
合 、この名 前 がテーブルに表 示 されます。 送 信 しない場 合 、クライアント はリスト に[unknown](
不 明 ) と表 示 されます。 これらの不 明 クライアント の名 前 は、名 前 の前 にある鍵 アイコンをクリックし
て変 更 することができます。 次 に、名 前 を入 力 して【保 存 ( Save) 】 をクリックします。 変 更 が有 効
になるまで数 秒 かかります。 WebAdminの右 上 隅 にある【リロード( Reload) 】ボタンから、クライア
ント の名 前 を参 照 できます。
また、テーブルで最 初 の列 にあるゴミ箱 アイコンをクリックして、クライアント をテーブルから削 除 する
こともできます。
ワイヤレスセキュリティサービスを再 起 動 すると、「 最 後 の表 示 ( Last seen) 」タイムスタンプが消
去 されます。
注 - クライアント に割 り当 てられた IP アドレスは、ASGが該 当 ワイヤレスネット ワークのDHCP
サーバとして機 能 する場 合 にのみ表 示 可 能 です。 さらに、スタティックDHCPマッピングのために、
現 時 点 ではIPアドレス0.0.0.0が表 示 されます。
ASG V8 管 理 ガイド
375
12Webアプリケーションセキュ
リティ
この章 では、Webサーバを攻 撃 や悪 意 ある行 為 から保 護 するAstaro Security Gateway
のWebアプリケーションファイアウォールを設 定 する方 法 を説 明 します。
この章 には次 のト ピックが含 まれます。
l
Webアプリケーションファイアウォール
l
証明書管理
12.1Webアプリケーションファイアウォー
ル
Astaro Security GatewayでWebアプリケーションファイアウォール( WAF、あるいはリバースプロ
キシ) を使 用 すると、Webサーバをクロスサイト スクリプティング( XSS) 、SQLインジェクション、ディレ
クト リト ラバーサルなどの攻 撃 や悪 意 ある行 為 、あるいはその他 の潜 在 的 な攻 撃 から防 御 するこ
とができます。DNATルールを使 用 して実 際 のマシンに変 換 される外 部 アドレス( 仮 想 サーバ) を
定 義 することができます。 ここで、様 々 なパターンと検 出 方 法 を使 用 して、サーバを保 護 すること
ができます。 簡 単 に言 うと、ASGのこのエリアでは、Webサーバから送 受 信 される要 求 に、利 用
条 件 を適 用 することができます。 また、複 数 のターゲット に対 する負 荷 分 散 が可 能 です。
12.1.1グローバル
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【グローバル( Global) 】
タブでは、Webアプリケーションファイアウォール( WAF) を有 効 または無 効 にできます。
注 - WAFを有 効 にする前 に、 【仮 想 Web サーバ( Virtual Web Servers) 】 タブで仮 想 Web
サーバを1つ以 上 作 成 する必 要 があります。
WAFを有 効 にするには、次 の手 順 に従 います。
1. リアルWebサーバまたは仮 想 Webサーバを1つ以 上 作 成 します。
詳 しくは、 「リアルWeb サーバ」 と「仮 想 Web サーバ」 のセクションを参 照 してください。
12.1Webアプリケーションファイアウォール
12Webアプリケーションセキュリティ
2. Webアプリケーションファイアウォールを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 になり、Webアプリケーションファイアウォールが有 効 になります。
ライブ ログ
WAFライブログは、WAFイベント に関 するデバッグ情 報 を提 供 します。 【ライブログを開 く( Open
Live Log) 】 ボタンをクリックすると、新 しいウィンドウでライブログが開 きます。
12.1.2仮 想 Webサーバ
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【仮 想 Web サー
バ( Virtual Web Servers) 】 タブでは、仮 想 Webサーバを作 成 できます。 これらのWebサーバ
は、ASGの一 部 として、インターネット とWebサーバの間 のファイアウォールを構 築 します。 そのた
め、このような介 入 をリバースプロキシとも呼 びます。ASGは、Webサーバへの要 求 をピックアップ
し、リアルWebサーバを様 々 な攻 撃 から保 護 します。 それぞれの仮 想 サーバはリアルWebサーバ
にマッピングされており、どのような保 護 レベルを適 用 するかを決 定 します。 また、複 数 のリア
ルWebサーバを1つの仮 想 Webサーバ定 義 で使 用 することもできます。 これにより、リアルWeb
サーバの負 荷 分 散 を実 行 できます。
仮 想 サーバを追 加 するには、次 の手 順 に従 います。
1. 【仮 想 Webサーバ(Virtual Web Servers)】 ボタンをクリックします。
【新 規 仮 想 Web サーバを作 成 ( Create Virtual Web Server) 】 ダイアログボックスが開 き
ます。
2. 次 の設 定 を行 います。
名 前 (Name)： 仮 想 Webサーバを説 明 する名 前 を入 力 します。
タイプ(Type)： クライアント と仮 想 Webサーバの間 の通 信 を暗 号 化 するか( HTTPS) しな
いか( HTTP) を決 定 します。
ド メイン(Domains)( HTTPのみ) ：Webサーバが責 任 を持 つドメインをFQDNとして入 力
します( 例 ：shop.example.com) 。
証 明 書 (Certificate)( HTTPSのみ) ：ドロップダウンリスト からWebサーバの証 明 書 を選
択 します。 証 明 書 は事 前 に作 成 しておく必 要 があります。
ド メイン(Domain)：このフィールドには、証 明 書 の作 成 されるホスト 名 が表 示 され
ます。
378
ASG V8 管 理 ガイド
12Webアプリケーションセキュリティ
12.1Webアプリケーションファイアウォール
ド メイン(Domains)( SAN証 明 書 のみ) ：WAFは、SAN( Subject Alternative
Name) 証 明 書 をサポート します。 証 明 書 でカバーされるすべてのホスト 名 がこのボ
ックスにリスト されます。 続 いて、ホスト 名 の前 にあるチェックボックスにチェックを入 れ
て、複 数 のホスト 名 を選 択 することができます。
インタフェース(Interface)： ドロップダウンリスト から、Webサーバへの到 達 が可 能 なイン
タフェースを選 択 します。
ポート (Port)： 仮 想 Webサーバに外 部 から到 達 可 能 なポート 番 号 を入 力 します。 デフ
ォルト はポート 80( HTTP) とポート 443( HTTPS) です。
リアルWebサーバ(Real Web Servers)： ファイアウォールプロファイルを適 用 するWeb
サーバの前 にあるチェックボックスにチェックを入 れます。 ミラーリングWebサーバがある場
合 、複 数 のWebサーバを選 択 することもできます。 続 いて、ト ラフィックは選 択 したWeb
サーバに負 荷 分 散 されます。
ファイアウォールプロファイル(Firewall Profile)： ドロップダウンリスト からファイアウォール
プロファイルを選 択 します。 このプロファイルは、選 択 したWebサーバを保 護 するために適 用
されます。 また、ファイアウォールプロファイルを一 切 使 用 しない場 合 は【なし( None) 】 を選
択 できます。
HTML書 き換 えを有 効 化 (Enable HTML Rewriting)( オプション) このオプションを選
択 すると、返 されたWebページのリンクをASGが書 き換 えるため、リンクが有 効 に保 たれま
す。 例 ：リアルWebサーバのインスタンスの1つが、yourcompany.localというホスト 名 で
あるが、ASGでの仮 想 サーバのホスト 名 がyourcompany.comである。 したがって、<a
href="http://yourcompany.local/">のような絶 対 リンクは、クライアント への配 信 前
にリンクを<a href="http://yourcompany.com/">に書 き換 えなければ破 損 してしまい
ます。 ただし、Webサーバでyourcompany.comが設 定 されているか、Webページの内 部
リンクが常 に相 対 リンクとして表 現 されている場 合 には、このオプションを有 効 にする必 要 は
ありません。 MicrosoftのOutlook Web AccessやSharepoint Portal Serverでは、この
オプションを使 用 することを推 奨 します。
注 - 一 部 のリンクが正 しく書 き換 えられず、無 効 となる場 合 もあります。 リンクを一 貫 して
フォーマット するよう、Webサイト の作 者 に依 頼 してください。
URL書 き換 えとは別 に、HTML書 き換 え機 能 でも、正 しくフォーマット されていないHTMLを
次 のように修 正 することができます。
o DOMツリーで、<title>タグを、ノードhtml > titleから正 しいhtml > head >
titleに移 動 する
ASG V8 管 理 ガイド
379
12.1Webアプリケーションファイアウォール
12Webアプリケーションセキュリティ
o HTML属 性 値 を囲 む引 用 符 を修 正 する( 例 ：name="value""がname="value"に
なる)
クロスリファレンス - 詳 しくは、libxmlドキュメント を参 照 してくださ
い( http://xmlsoft.org/html/libxml-HTMLparser.html) 。
パスホスト ヘッダ(Pass Host Header)( オプション) ：このオプションを選 択 すると、クライ
アント に要 求 されたホスト ヘッダが保 持 され、Web要 求 とともにWebサーバへ転 送 されま
す。 環 境 内 で、ホスト ヘッダの受 け渡 しが必 要 かどうかは、Webサーバの設 定 に応 じて決
まります。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
サーバが【仮 想 Web サーバ( Virtual Web Servers) 】 リスト に追 加 されます。
仮 想 サーバに複 数 のWebサーバが設 定 されている場 合 、 【仮 想 Web サーバ( Virtual Web
Servers) 】 リスト には、各 Webサーバのステータスアイコンが表 示 されます。 Webサーバのステー
タスアイコンは、サーバが有 効 でない場 合 は赤 くなります。 Webサーバがダウンしているか利 用 で
きない場 合 は黄 色 、すべて正 常 に機 能 している場 合 は緑 色 です。
12.1.3リアルWebサーバ
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【リアルWeb サー
バ( Real Web Servers) 】 タブで、WAFによって保 護 するWebサーバを追 加 できます。 Webサー
バは、自 動 的 にまたは手 動 で追 加 します。
Webサーバを自 動 的 に追 加 するには、次 の手 順 に従 います。
1. 【 Webサーバの検 出 (Discover Web Servers)】 ボタンをクリックします。
情 報 ダイアログウィンドウが開 きます。
2. 【 OK】 をクリックします。
情 報 ダイアログウィンドウが閉 じて、検 出 プロセスがバックグラウンドで起 動 します。
3. WebAdmin上 部 の【リロード (Reload)】ボタンを押 して、結 果 を参 照 します。
検 出 プロセスには数 分 ほどかかる場 合 があります。 Webサーバは、ASGと同 じネット ワーク
内 にある場 合 のみ、検 出 可 能 です。
Webサーバが検 出 されたら、 【仮 想 Web サーバ( Virtual Web Servers) 】 タブでこれらの
サーバにファイアウォールプロファイルを割 り当 てることができます。 一 部 のWebサーバだけ
380
ASG V8 管 理 ガイド
12Webアプリケーションセキュリティ
12.1Webアプリケーションファイアウォール
検 出 された場 合 や、Webサーバが全 く検 出 されなかった場 合 には、以 下 の手 動 による方
法 に従 ってください。
Webサーバを手 動 で追 加 するには、次 の手 順 に従 います。
1. 【新 規 のリアルWebサーバ(New Real Web Servers)】 ボタンをクリックします。
【新 規 リアルWeb サーバを作 成 ( Create Real Web Server) 】 ダイアログボックスが開 きま
す。
2. 次 の設 定 を行 います。
名 前 (Name)： Webサーバを説 明 する名 前 を入 力 します。
ホスト (Host)： ホスト を追 加 または選 択 します。ホスト は、タイプが「 ホスト ( Host) 」また
は「DNSホスト ( DNS Host) 」です。 ここでは、DNSホスト 名 の使 用 を強 く推 奨 します。こ
れは、IPアドレスでリスト されたホスト は空 のホスト ヘッダを送 信 するため、一 部 のブラウザで
問 題 が発 生 するためです。
タイプ(Type)：ASGとWebサーバの間 の通 信 を暗 号 化 するか( HTTPS) しない
か( HTTP) を決 定 します。
ポート (Port)：ASGとWebサーバの間 の通 信 に使 用 するポート 番 号 を入 力 します。 デフ
ォルト はポート 80( HTTP) とポート 443( HTTPS) です。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
サーバが【リアルWeb サーバ( Real Web Servers) 】 リスト に追 加 されます。
これで 【仮 想 Web サーバ( Virtual Web Servers) 】 タブで存 在 するWebサーバをファイアウォール
プロファイルに割 り当 てることが可 能 になりました。
12.1.4ファイアウォールプロファイル
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【ファイアウォールプロフ
ァイル( Firewall Profiles) 】 タブでは、Webサーバの保 護 モードとレベルを定 義 するWAFプロファイ
ルを作 成 できます。
WAFプロファイルを作 成 するには、以 下 の手 順 に従 います。
1. 【新 規 ファイアウォールプロファイル(New Firewall Profile)】 ボタンをクリックします。
【ファイアウォールプロファイルの作 成 ( Create Firewall Profile) 】 ダイアログボックスが開 きま
す。
ASG V8 管 理 ガイド
381
12.1Webアプリケーションファイアウォール
12Webアプリケーションセキュリティ
2. 次 の設 定 を行 います。
名 前 (Name)： プロファイルの名 前 を入 力 します。
モード (Mode)： ドロップダウンリスト からモードを選 択 します。
l
モニタ(Monitor)： HTTP要 求 をモニタリングし、ログに記 録 します。
l
リジェクト (Reject)： HTTP要 求 は拒 否 されます。
l
破 棄 (Drop)： HTTP要 求 は破 棄 されます。
選 択 したモードは、HTTP要 求 が下 で選 択 したいずれかの条 件 と合 致 している場 合 に適
用 されます。
SQLインジェクションフィルタ(SQL Injection Filter)： WebサーバをSQLインジェクショ
ンから保 護 します。 このために、HTMLフォームやその他 の入 力 フィールドが、パーサによっ
て、SQLコマンドを使 用 してチェックされます。
クロスサイト スクリプティング(XSS)フィルタ(Cross Site Scripting (XSS) Filter)：
Webサーバをクロスサイト スクリプティングから保 護 します。 このために、HTMLフォームやそ
の他 の入 力 フィールドが、パーサによって、HTMLおよびCSSコマンドを使 用 してチェックされ
ます。
Cookie署 名 を有 効 化 (Enable Cookie Signing)： WebサーバをCookieの悪 用 か
ら保 護 します。WebサーバがCookieをセット すると、最 初 のCookieに対 して2つ目
のCookieが追 加 されます。このCookieには、最 初 のCookieの名 前 、値 、シークレット から
構 成 されたハッシュが含 まれており、シークレット はWAFによってのみ認 識 されます。 したがっ
て、要 求 によって正 しいCookieペアが提 供 されない場 合 は、ある種 の悪 用 が行 われた可
能 性 があり、Cookieは破 棄 されます。
URL強 化 を有 効 化 (Enable URL Hardening)： URL書 き換 えから保 護 します。 こ
のために、クライアント がWebサイト を要 求 すると、このWebサイト のすべてのURLに対 して
署 名 が行 われます。 この署 名 手 順 は、Cookie署 名 と似 ています。 さらに、次 にどのリンク
を有 効 に要 求 できるのかについて、Webサーバからの応 答 が解 析 されます。 強 化 され
たURLをブックマークし、後 でアクセスすることができます。 エント リURLを定 義 する方 法 を、
以 下 のいずれかから選 択 します。
l
エント リURLを手 動 で指 定 (Entry URLs specified manually)： Webサイト
のエント リURLとして機 能 するURLを入 力 します。これにより、署 名 が不 要 になりま
す。 これらのURLは、次 の例 の構 文 に準 拠 している必 要 がありま
す：
http://shop.example.com/products/
、https://shop.example.com/products/、または/products/
382
ASG V8 管 理 ガイド
12Webアプリケーションセキュリティ
12.1Webアプリケーションファイアウォール
l
アップロード したGoogleサイト マップファイルからのエント リURL(Entry URLs
from uploaded Google sitemap file)： ここで、Webサイト の構 造 に関 す
る情 報 が含 まれるサイト マップファイルをアップロードします。 サイト マップファイル
は、XML形 式 でもプレーンテキスト 形 式 でもアップロードできます。後 者 のファイル
はURLのリスト のみが含 まれます。 プロファイルを保 存 すると、サイト マップファイル
はWAFによって構 文 解 析 されます。
l
Googleサイト マップURLからのエント リURL(Entry URLs from Google
sitemap URL)：ASGに、Webサイト の構 造 に関 する情 報 が含 まれるサイト マップ
ファイルを、定 義 されたURLからダウンロードさせることができます。 このファイルにアップ
デート がないか定 期 的 にチェックすることができます。 プロファイルを保 存 すると、サイ
ト マップファイルはダウンロードされ、WAFによって構 文 解 析 されます。
URL： サイト マップへのパスを絶 対 URLとして入 力 します。
更 新 (Update)： ドロップダウンリスト から更 新 感 覚 を選 択 します。 【手
動 ( Manual) 】 を選 択 すると、サイト マップはこのプロファイルの更 新 を保 存 した場 合
にのみ更 新 されます。
フォーム強 化 を有 効 化 (Enable Form Hardening)： URL書 き換 えから保 護 します。
フォーム強 化 は、Webフォームのオリジナル構 造 を保 持 し、署 名 します。 そのため、フォー
ムの送 信 時 にフォームの構 造 が変 更 されると、サーバは要 求 を拒 否 します。
アンチウイルススキャンを使 用 (Use AntiVirus Scanning)： このオプションを選 択 し
て、Webサーバをウイルスから防 御 します。
AVエンジン(AV Engines)：Astaro Security Gateway は、最 高 のセキュリティ
を実 現 するさまざまなアンチウイルスエンジンを備 えています。
l
シングルスキャン(Single Scan)： デフォルト の設 定 で、最 高 のパフォーマンス
を提 供 します。
l
デュアルスキャン(Dual Scan)： 異 なるウイルススキャナを使 用 してすべてのE
メールを2回 スキャンすることで最 大 の認 識 率 を提 供 します。
スキャン(Scan)： ドロップダウンリスト から、アップロードまたはダウンロードのいずれか
をスキャンするか、その両 方 をスキャンするかを選 択 します。
評 判 の悪 いクライアント をブロック(Block Clients with Bad Reputation)：GeoIP
およびRBL情 報 に基 づいて、評 判 の悪 いクライアント を分 類 に従 ってブロックすることができ
ます。 Astaroでは次 の分 類 プロバイダを利 用 します。
RBLソース：
ASG V8 管 理 ガイド
383
12.1Webアプリケーションファイアウォール
l
Commtouch IP Reputation( ctipd.org)
l
dnsbl.proxybl.org
l
http.dnsbl.sorbs.net
12Webアプリケーションセキュリティ
GeoIPソースはMaxmindです。 WAFは、次 のいずれかのMaxmindカテゴリに属 す
るクライアント をブロックします。
l
A1：クライアント によって、IPアドレスや本 来 の所 在 地 を隠 すために使 用 される匿
名 プロキシまたはVPNサービス。
l
A2：衛 星 プロバイダとは、衛 星 を利 用 して世 界 中 の( 多 くの場 合 、高 リスクな国
の) ユーザにインターネット アクセスを提 供 しているISPです。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. オプションで、次 の詳 細 設 定 を行 います。
WAFルールをスキップ(Skip WAF Rules)： このボックスに、誤 検 出 などが理 由 で現 在
のプロファイルでスキップしたいWAFルール番 号 を追 加 します。 これらのWAFルール番 号
は、 【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web アプリケーションファイ
アウォール( Web Application Firewall) 】 >>【詳 細 ( Detail) 】 ページで、 【上 位 ルー
ル( Top Rules) 】 フィルタを使 用 して取 得 できます。
評 判 の悪 いクライアント のリモート ルックアップをスキップ(Skip Remote Lookups for
Clients with Bad Reputation)： 評 判 ルックアップにはリモート 分 類 プロバイダへの
要 求 の送 信 が含 まれるため、評 判 に基 づくブロック機 能 を使 用 すると、システムのパフォー
マンスが低 下 する可 能 性 があります。 このチェックボックスは、GeoIPに基 づく分 類 を使 用 す
る場 合 にのみ、チェックを入 れてください。この場 合 、キャッシュされた情 報 を使 用 するため、
パフォーマンスは大 幅 に向 上 します。
4. 【保 存 (Save)】 をクリックします。
新 しいWAFプロファイルが【ファイアウォールプロファイル( Firewall Profiles)】 リスト に追 加 さ
れます。
URL強 化 とフォーム強 化 に関 する追 加 情 報
URL強 化 とフォーム強 化 の両 方 を有 効 化 することを推 奨 します。これら2つの機 能 は相 補 的 なの
で、いずれか一 方 だけ有 効 化 した場 合 に起 こり得 る問 題 を解 決 することができます。
l
フォーム強 化 だけ有 効 化 した場 合 ：Webページ
に、http://example.com/?view=article&id=1のように、クエリが追 加 されたハイパー
リンクが含 まれる場 合 ( 特 定 のCMSなど) 、このようなページ要 求 はフォーム強 化 によってブ
ロックされます。これは、必 要 な署 名 が存 在 しないためです。
384
ASG V8 管 理 ガイド
12Webアプリケーションセキュリティ
l
12.1Webアプリケーションファイアウォール
URL強 化 だけ有 効 化 した場 合 ：WebブラウザがフォームデータをWebフォームのformタグ
のアクションURLに追 加 する場 合 ( GET要 求 など) 、フォームデータはWebサーバに送 信 さ
れる要 求 URLの一 部 となり、URL署 名 が無 効 になります。
両 方 の機 能 を有 効 化 することで問 題 が解 決 するのは、フォーム強 化 とURL強 化 のいずれかが要
求 を有 効 だとみなすと、サーバが要 求 を受 け付 けるためです。
Outlook Web Access
Outlook Web Access( OWA) 用 のWAFの構 成 はややリスクを伴 います。これは、OWAがパブリ
ックIPからの要 求 を、内 部 LAN IPからのOWA Webサイト への要 求 とは別 の方 法 で処 理 するため
です。 OWAのURLにはリダイレクト が追 加 されます。外 部 アクセスのためには外 部 FQDNが使 用 さ
れますが、内 部 要 求 には内 部 サーバのIPアドレスが使 用 されます。
解 決 策 は、OWAサーバのWAFプロファイルで、OWAディレクト リをエントリURLとして設 定 すること
です( 例 ：http://webserver/exchange/) 。 さらに、パス/exchange/*のURL強 化 をスキップ
する例 外 を作 成 し、Cookie署 名 を仮 想 サーバに対 して完 全 に無 効 化 する必 要 があります。
12.1.5除 外
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【除
外 ( Exceptions) 】 タブでは、特 定 のチェックから除 外 されるWeb要 求 やソースネット ワークを定 義
できます。
1. 【除 外 (Exception)】 タブで、 【新 規 除 外 リスト (New Exception List)】 をクリックしま
す。
【除 外 リストを作 成 ( Create Exception List) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
名 前 (Name)： 除 外 を説 明 する名 前 を入 力 します。
スキップするチェック(Skip These Checks)： スキップするセキュリティチェックを選 択 しま
す。
この仮 想 サーバ上 (On This Virtual Server)： ドロップダウンリスト から、選 択 されたチ
ェックから除 外 する仮 想 Webサーバを選 択 します。
全 リクエスト に適 用 (For All Requests)： ドロップダウンリスト から要 求 定 義 を選 択 しま
す。 ANDまたはORを使 用 して、2つの要 求 の定 義 を論 理 的 に組 み合 わせることができま
す。
ASG V8 管 理 ガイド
385
12.2認 証 管 理
12Webアプリケーションセキュリティ
ネット ワーク(Networks)： クライアント 要 求 の発 信 元 であり、選 択 されたチェックか
ら除 外 するソースネット ワークを追 加 または選 択 します。
パス(Paths)： 選 択 されたチェックから除 外 するパスを、/products/images/* の
ような形 式 で追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい除 外 が【除 外 ( Exceptions)】 リスト に追 加 されます。
12.1.6詳 細
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【詳 細 ( Advanced) 】
タブでは、cookieの署 名 とURL強 化 に使 用 する鍵 を定 義 できます。
C ook i e 署 名 鍵 ( C ook i e S i gn i n g Ke y )
ここでは、Cookie署 名 用 の署 名 鍵 として使 用 できるカスタムのシークレット を入 力 できます。
U RL 強 化 署 名 鍵 ( U RL H a r de n i n g S i gn i n g Ke y )
ここでは、URL強 化 用 の署 名 鍵 として使 用 されるカスタムのシークレット を入 力 できます。
フォーム強 化 設 定 ( F or m H a r de n i n g S e tti n gs )
ここでは、フォーム強 化 ト ークンの暗 号 鍵 として使 用 されるカスタムのシークレット を入 力 できます。
シークレット は8文 字 以 上 にする必 要 があります。
12.2認証管理
【サイト間 VPN( Site-to-site VPN) 】 >>【証 明 書 管 理 ( Certificate Management) 】 メニュー
と【 Web アプリケーションセキュリティ( Web Application Security) 】 >>【証 明 書 管
理 ( Certificate Management) 】 メニューには、同 じ設 定 オプションが含 まれています。これらの
設 定 オプションを使 用 すると、Astaro Security Gatewayのすべての認 証 関 連 オプションを管 理
することができます。 たとえば、X.509証 明 書 の作 成 またはインポート や、CRL( 証 明 書 失 効 リス
ト ) のアップロードなどを行 うことができます。
12.2.1証 明 書
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「証 明 書 」 を参 照 してください。
386
ASG V8 管 理 ガイド
12Webアプリケーションセキュリティ
12.2認 証 管 理
12.2.2認 証 局
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「認 証 局 」 を参 照 してください。
12.2.3失 効 リスト
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「失 効 リスト」 を参 照 してください。
12.2.4詳 細
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「詳 細 」 を参 照 してください。
ASG V8 管 理 ガイド
387
13REDマネジメント
この章 では、Astaro REDの設 定 方 法 について説 明 します。 REDはリモートイーサネットデバイ
ス( Remote Ethernet Device)の略 で、リモート オフィス( 遠 隔 地 の支 店 ) などを、あたかもローカ
ルネット ワークの一 部 であるかのようにメインオフィス( 本 社 ) に接 続 する手 段 です。
セット アップは、メインオフィスのAstaro Security Gatewayとリモート オフィスのリモート イーサネット
デバイス( RED) で構 成 されます。REDアプライアンス自 体 は設 定 する必 要 がないため、2拠 点 間
の接 続 は非 常 に簡 単 に確 立 できます。 REDアプライアンスは、ASGに接 続 するとただちに、ASG
上 の他 のイーサネット デバイスと同 じように動 作 します。 支 店 のすべてのト ラフィックはASGを介 して
安 全 にルーティングされるため、支 店 はローカルネット ワークと同 じように安 全 になります。
この章 には次 のト ピックが含 まれます。
l
概要
l
グローバル設 定
l
デバイス設 定
l
導 入 ヘルパ
図 128 RED：セット アップの略 図
RED環 境 のセット アップは、以 下 の手 順 で行 います。
1. REDサポート をアクティブにします。
2. ASG上 でREDアプライアンスを設 定 します。
3. REDアプライアンスをリモート サイト 上 のインターネット に接 続 します。
13.1概 要
13REDマネジメント
注 – REDアプライアンスが設 定 されていないと、REDの概 要 ページには、REDアーキテクチャの
一 般 的 な情 報 が表 示 されます。 REDアプライアンスを設 定 すると、そのページにはREDのステー
タスに関 する情 報 が表 示 されます。
図 129 RED：概 要 ページのサイト のステータス
RED ライブロ グを 開 く ( Ope n RED L i v e L og)
ライブログを使 用 してAstaro Security GatewayとREDアプライアンス間 の接 続 を監 視 できま
す。 【 REDライブログを開 く( Open RED Live Log) 】 ボタンをクリックして、新 しいウィンドウでライブロ
グを開 きます。
13.1概要
【概 要 ( Overview) 】 ページは、REDの概 要 、その機 能 、および一 般 的 なREDのセット アップにつ
いて基 本 情 報 を示 します。
13.2グローバル設定
【グローバル設 定 ( Global Settings) 】 タブでは、REDのサポート を有 効 または無 効 にすることがで
きます。REDのサポート を有 効 にすると、ASGがREDハブとして機 能 します。 REDサポート
は、REDアプライアンスをASGに接 続 する前 に有 効 にしておく必 要 があります。
REDサポート を有 効 にするには、次 の手 順 に従 います。
390
ASG V8 管 理 ガイド
13REDマネジメント
13.3デバイス設 定
1. 【グローバル設 定 (Global Settings)】 タブで、REDサポート を有 効 化 します。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【 REDハブ設 定 ( RED Hub Configuration) 】 エリ
アが編 集 可 能 になります。
2. 組 織 の詳 細 を入 力 します。
デフォルト で、 【マネジメント ( Management) 】 >>【システム設 定 ( System
Settings) 】 >>【組 織 ( Organizational) 】 タブの設 定 が使 用 されます。
3. 【 REDを有 効 にする(Activate RED)】 をクリックします。
ステータスアイコンが緑 色 になり、REDサポート が有 効 になります。 これでASGがAstaro
のRPS( RED Provisioning Service) に登 録 され、REDハブとして機 能 するようになりま
す。
【 RED】 >>【デバイス設 定 ( Device Configuration) 】 ページで1つ以 上 のREDアプライア
ンスを追 加 して、続 行 することができます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステータスアイ
コンをクリックします。
13.3デバイス設定
【デバイス設 定 ( Device Configuration) 】 ページでは、RED( Remote Ethernet Device) アプ
ライアンスを手 動 で設 定 できます( エキスパート モード) 。 より便 利 な方 法 をお求 めの場 合 は、次
のWebAdminページにある導 入 ヘルパを使 用 してください。
ここで設 定 した各 アプライアンスは、ASGとの接 続 を確 立 できるようになります。
注 - REDアプライアンスの接 続 を可 能 にするためには、まず【グローバル設 定 ( Global
Settings) 】 ページでREDサポート を有 効 にする必 要 があります。
REDアプライアンスを追 加 するには、次 の手 順 に従 います。
1. 【デバイス設 定 (Device Configuration)】 タブで、 【 REDアプライアンスの追 加 (Add
RED Appliance)】 をクリックします。
【 REDアプライアンスの追 加 ( Add RED Appliance) 】 ダイアログボックスが開 きます。
ASG V8 管 理 ガイド
391
13.3デバイス設 定
13REDマネジメント
2. 次 の設 定 を行 います。
ブランチ名 (Branch Name)： REDアプライアンスブランチの名 前 を入 力 します( 例 ：「ミュ
ンヘンオフィス」) 。
RED ID： 設 定 しているREDアプライアンスのIDを入 力 します。 このIDは、REDアプライア
ンスの背 面 とパッケージに記 載 されています。
ロック解 除 コード (Unlock Code)( オプション) ：REDアプライアンスの初 回 導 入 時 にロック
解 除 コードが生 成 されます。これはセキュリティ機 能 であり、REDアプライアンスを簡 単 に切
断 してどこにでもインスト ールできなくなります。 設 定 中 のREDアプライアンスを以 前 に導 入
したことがある場 合 は、ロック解 除 コードを指 定 する必 要 があります。 ( ロック解 除 コードを
紛 失 した場 合 、REDアプライアンスをロック解 除 するためには、Astaroサポート に連 絡 してく
ださい。)
ASG ホスト 名 (Hostname)：ASGがアクセスできるパブリックIPアドレスまたはホスト 名 を
入 力 する必 要 があります。
アップリンクモード (Uplink Mode)： REDアプライアンスがIPアドレスをどのように取 得 する
のかを、DHCP経 由 またはスタティックIPアドレスの直 接 割 り当 てによって定 義 することができ
ます。
l
DHCPクライアント (DHCP Client)： REDはDHCP サーバからIPアドレスを取 得 し
ます。
l
スタティックアド レス(Static Address)： IPv4アドレス、関 連 するネット マスク、デフ
ォルト ゲート ウェイ、DNSサーバを入 力 します。
オペレーションモード (Operation Mode)： リモート ネット ワークをどのようにローカルネット
ワークに統 合 するのかを定 義 できます。
392
l
標 準 /統 合 (Standard/Unified)：ASGがリモート ネット ワークのネット ワークト ラ
フィックを完 全 にコント ロールします。 さらに、DHCPサーバおよびデフォルト ゲート ウェ
イとして機 能 します。 すべてのリモート ネット ワークはASG経 由 でルーティングされま
す。
l
標 準 /分 割 (Standard/Split)：ASGがリモート ネット ワークのネット ワークト ラフィ
ックを完 全 にコント ロールします。 さらに、DHCPサーバおよびデフォルト ゲート ウェイと
して機 能 します。 統 合 モードと違 い、特 定 のト ラフィックのみがASG経 由 でルーティン
グされます。 下 の【分 割 ネットワーク( Split Networks) 】 ボックスにローカルネット
ワークを定 義 します。このネット ワークには、リモート クライアント からアクセス可 能 で
す。
ASG V8 管 理 ガイド
13REDマネジメント
l
13.3デバイス設 定
透 過 /分 割 (Transparent/Split)：ASGは、リモート ネット ワークのネット ワークト
ラフィックをコント ロールせず、DHCPとしてもデフォルト ゲート ウェイとしても機 能 しませ
ん。 代 わりに、リモート ネット ワークのDHCPサーバからIPアドレスを取 得 して、ネット
ワークの一 部 とします。 ただし、リモート クライアント からローカルネット ワークへのアクセ
スは有 効 化 することができます。 そのために、リモート ネット ワークによるアクセスを許
可 する分 割 ネットワークを定 義 する必 要 があります。 さらに、1つ以 上 の分 割 ドメイ
ンをアクセス可 能 として定 義 することができます。 ローカルドメインがパブリックに解 決
可 能 ではない場 合 、リモート クライアント からクエリ( 問 い合 わせ) 可 能 な 分 割 DNS
サーバを定 義 する必 要 があります。
すべてのオペレーションモードの例 は、 【導 入 ヘッダ( Deployment Helper) 】 タブで参 照 で
きます。
注 - 次 の設 定 は必 ず手 動 で行 ってください。1) 必 要 なファイアウォールルールの作 成 ( 【
ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 >>【
ルール( Rules) 】 ) 。 2) 必 要 なマスカレーディングルールの作 成 ( 【ネットワークセキュリテ
ィ( Network Security) 】 >>【 NAT 】 >>【マスカレーディング( Masquerading) 】 ) 。
3. 【保 存 (Save)】 をクリックします。
REDアプライアンスの作 成 が行 われ、ASGはAstaro RED Provisioning Service( RPS)
に登 録 されます。
重 要 - REDアプライアンスをRPSに登 録 した直 後 に、 【グローバル( Global) 】 タブに指 定
したアドレスへEメールが送 信 されます( REDの有 効 化 中 ) 。このメールに記 載 されたロック
解 除 コード は必 ず保 管 しておいてください。 このロック解 除 コードは、他 のASGでREDアプ
ライアンスを使 用 するときに必 要 になります。 ロック解 除 コードが手 元 にない場 合 、REDア
プライアンスをロック解 除 するためには、Astaroサポート に連 絡 する必 要 があります。
必 要 なファイアウォールルール( および、必 要 な場 合 はマスカレーディングルール) を設 定 したら、リ
モート サイト のREDアプライアンスをインターネット に接 続 することができます。 ブート ( 起 動 ) 直 後
に、Astaro RED Provisioning Service( RPS) から設 定 が取 得 されます。 その後 、ASGとRED
アプライアンス間 の接 続 が確 立 されます。 設 定 されたすべてのREDアプライアンスのステータス
は、WebAdminのRED概 要 ページで確 認 できます。
REDアプライアンスの削 除
REDアプライアンスを削 除 するには、アプライアンス名 の横 にある【削 除 ( Delete) 】 ボタンをクリック
します。
REDオブジェクト に依 存 関 係 があるという警 告 が表 示 されます。 REDアプライアンスを削 除 して
ASG V8 管 理 ガイド
393
13.4導 入 ヘルパ
13REDマネジメント
も、関 連 するインタフェースと依 存 関 係 は削 除 されません。 これは、REDアプライアンス間 でインタ
フェースを移 動 できるようにするための意 図 的 な設 計 です。
REDアプライアンスの設 定 を完 全 に削 除 するには、潜 在 的 なインタフェースとその他 の定 義 を手
動 で削 除 してください。
13.4導入ヘルパ
【 REDマネジメント ( RED Management) 】 >>【導 入 ヘルパ( Deployment Helper) 】 タブに
は、RED環 境 のセット アップと統 合 のためのウィザードがあります。 このウィザードは、 【デバイス設
定 ( Device Configuration) 】 タブでの通 常 の設 定 の簡 易 版 となります。 必 須 フィールドと、必
要 に応 じて「 オプション( optional) 」マークの付 いたフィールドに入 力 して、 【 REDの導 入 ( Deploy
RED) 】 をクリックするだけです。
注 - 利 便 性 のため、「 標 準 /統 合 ( Standard/Unified) 」および「 標 準 /分
割 ( Standard/Split) 」モードでは、 【デバイス設 定 ( Device Configuration) 】 タブと違 い、導
入 ヘルパが以 下 のオブジェクト を自 動 的 に作 成 します。指 定 したIPアドレスのローカルインタフ
ェース、利 用 可 能 なIPアドレス範 囲 の半 分 をカバーするリモート ネット ワーク用 DHCPサーバ、 ローカルDNSリゾルバへのアクセス。 「 透 過 /分 割 ( Transparent/Split) 」モードでは、導 入 ヘ
ルパはDHCPクライアント ( ケーブルモデム( DHCP) ) インタフェースのみ作 成 します。
導 入 ヘルパは、各 オプションについて概 要 を提 供 し、REDテクノロジーで提 供 される3つのオペレー
ションモードそれぞれについてスケッチを提 供 します。
以 下 は、REDの3つのオペレーションモードの説 明 と使 用 例 です。
標 準 /統 合 ( Standard/Unified)
ASGがリモート ネット ワーク全 体 を管 理 します。DHCPサーバおよびデフォルト ゲート ウェイとして機
能 します。
技 術 的 には、REDアプライアンスのローカルインタフェースと、ローカルのASGへのアップリンクインタフ
ェースは、このモードでブリッジされます。
例 ：支 店 が1つあり、セキュリティ上 の理 由 から、そのすべてのト ラフィックを本 店 のASG経 由 で
ルーティングしたい。 これにより、リモート サイト は、LAN経 由 で接 続 されているようにローカルネット
ワークの一 部 となります。
394
ASG V8 管 理 ガイド
13REDマネジメント
13.4導 入 ヘルパ
標 準 /分 割 ( Standard/Split)
「 標 準 /統 合 ( Standard/Unified) 」モードと同 様 に、ASG がリモート ネット ワーク全 体 を管 理 し
ます。DHCPサーバおよびデフォルト ゲート ウェイとして機 能 します。 ただし、 【分 割 ネットワー
ク( Split Networks) 】 ボックスにリスト されたネット ワーク宛 てのト ラフィックのみが、ローカルASGにリ
ダイレクト される点 が異 なります。
技 術 的 には、REDアプライアンスのローカルインタフェースと、ローカルのASGへのアップリンクインタフ
ェースは、このモードでブリッジされます。 定 義 された分 割 ネット ワークから発 生 していないすべての
ト ラフィックは、インターネット に直 接 ルーティングされます。
例 ：支 店 が1つあり、セキュリティ上 の理 由 から、ローカルイント ラネット へのアクセスを必 要 としてい
るか、リモート ネット ワークのト ラフィックをASG経 由 でルーティングしたい( 例 えば、 ト ラフィックに対
するウイルスチェックのため、あるいはHTTPプロキシを使 用 するため) 。
透 過 /分 割 ( Transparent/Split)
リモート ネット ワークは独 立 したままで、ASGはIPアドレスをリモート DHCP サーバから取 得 してこの
ネット ワークの一 部 となります。 リモート ネット ワークの特 定 のト ラフィックのみ、特 定 のネット ワーク
またはローカルドメインへのアクセスが許 可 されます。ASGはリモート ネット ワークをコント ロールでき
ないため、 分 割 DNSサーバを定 義 しない限 り、パブリックに解 決 可 能 ではないローカルドメインをリ
モート ルータで解 決 することはできません。 これは、リモート クライアント からクエリ( 問 い合 わせ) 可
能 なローカルDNSサーバです。
技 術 的 には、REDアプライアンスのローカルインタフェースと、ローカルのASGへのアップリンクインタフ
ェース、並 びにリモート ルータへのリンクは、このモードでブリッジされます。ASGはリモート ネット ワー
クの唯 一 のクライアント であるため、分 割 ネット ワークへのト ラフィックを他 のモードと同 様 にルーティ
ングすることはできません。 そのため、REDアプライアンスはすべてのト ラフィックをインターセプト しま
す。 【分 割 ネットワーク( Split Networks) 】 ボックスにリスト されたネット ワーク宛 てのト ラフィック
や、 【分 割 ドメイン( Split Domains) 】 ボックスにリスト されたドメイン宛 てのト ラフィックは、ASGイン
タフェースにリダイレクト されます。 これは、各 データパケット 内 でデフォルト ゲート ウェイのMACアドレ
スをASGのMACアドレスに置 き換 えることで実 現 します。
例 ：イント ラネット や、ローカルネット ワーク内 の特 定 のサーバへのアクセスが必 要 なパート ナーまた
はサービスプロバイダがいる。 REDアプライアンスを使 用 することで、このパート ナーのネット ワークは
自 社 のネット ワークからの独 立 が完 全 に保 たれますが、特 定 の目 的 のために、自 社 のネット ワー
クの決 められた部 分 にLAN経 由 で接 続 しているかのようにアクセスすることはできます。
ASG V8 管 理 ガイド
395
13.4導 入 ヘルパ
13REDマネジメント
注 - 導 入 ヘルパを使 用 すると、REDアプライアンスのアップリンクモードはいずれのオペレーション
モードでもDHCPクライアント となります。 代 わりにスタティックIPアドレスを割 り当 てる必 要 がある
場 合 は、 【デバイス設 定 ( Device Configuration) 】 タブでREDアプライアンスを設 定 する必 要
があります。
396
ASG V8 管 理 ガイド
14ログ管 理
14.1概 要
14ログ管理
Astaroログ管 理 は、ネット ワークの内 外 にあるさまざまなデバイスからのログファイルを単 一 の管 理
インタフェースで処 理 する汎 用 ユーティリティです。 どこからでも迅 速 にログを確 認 でき、使 いやす
い検 索 機 能 を利 用 してすべてのログファイルから一 度 に検 索 することが可 能 です。
さらに、事 前 定 義 されたルールセット により、何 か重 要 なイベント が発 生 するとすぐに通 知 が送 られ
ます。 必 要 に応 じてこれらのルールを変 更 したり、新 しいルールを作 成 することができます。
ログ管 理 には、ログファイルに関 する多 様 なレポーティング機 能 があり、情 報 がシンプルかつクリアに
保 たれます。
ログ管 理 アルゴリズムはログファイルからの学 習 により、通 常 のログと異 常 なログを見 分 けることが
可 能 になります。
ログ管 理 はクラウドベースのアプリケーションです。 設 定 されたすべてのデバイスが、暗 号 化 形 式 で
レポート をアプリケーションに送 ります( 証 明 書 認 証 付 きのTLS) 。 ログ管 理 用 アカウント はサブスク
リプションIDで識 別 され、Joinコードによって保 護 されます。 ログ管 理 インスタンスへのレポート が必
要 なすべてのデバイスは、これらのクレデンシャルを使 用 して設 定 する必 要 があります。Astaro
Security Gatewayとログ管 理 インスタンスの間 の通 信 は、ポート 5000～ 5200で行 われま
す。ASGが実 際 に使 用 するポート は、ログ管 理 を有 効 にすると生 成 されます。
この章 には次 のト ピックが含 まれます。
l
概要
l
ログ管 理 インタフェース
l
ログ転 送
l
デバイス設 定
14.1概要
【ログ管 理 ( Log Management) 】 >>【概 要 ( Overview) 】 ページでは、ASGのログ管 理 を有 効
にできます。 ログ管 理 が無 効 になっている場 合 ( デフォルト ) 、【概 要 ( Overview) 】ページにはログ
管 理 、セット アップスケッチ、および詳 細 情 報 の場 所 などに関 する基 本 情 報 が表 示 されます。
ASGのログ管 理 を有 効 にするには、以 下 の手 順 に従 います。
1. 【概 要 (Overview)】 タブで、ログ管 理 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ASG V8 管 理 ガイド
397
14.2ログ管 理 インタフェース
14ログ管 理
ステータスアイコンがアンバー色 になり、いくつかの設 定 フィールドが表 示 されます。
ログ管 理 を初 めて有 効 にしたときは、最 初 のオプションが有 効 化 されています。
2. 状 況 に応 じて適 切 なオプションを選 択 します。
l 初 回 有 効 化 ( First activation) ：過 去 にASGを有 効 化 したことがない場 合 、最 初
のオプションを選 択 します。
必 須 フィールドに入 力 します。
l
再 有 効 化 ( Re-activation) ：ログ管 理 を再 び有 効 化 する場 合 や、ASGのレポート
先 を既 存 のログ管 理 インスタンスにする場 合 には、2番 目 のオプションを選 択 しま
す。
ASGを過 去 に有 効 化 していた場 合 、 【アカウント ID( Account ID) 】 および【 Join
コード ( Join Code) 】 には既 にログイン用 資 格 情 報 が記 入 されています。 既 存 のロ
グ管 理 インスタンスへレポーティングさせる場 合 は、このインスタンス用 のアカウント ID
とJoinコードをここに入 力 します。
3. 利 用 条 件 への同 意 を示 します。
利 用 条 件 には必 ず同 意 する必 要 があります。 説 明 のリンクをクリックし、読 んでください。
4. 【有 効 化 (Enable)】 をクリックします。
数 秒 後 にステータスアイコンが緑 色 になり、ログ管 理 が有 効 になります。 サブスクリプショ
ンIDおよびJoinと、Web上 の管 理 インタフェースにログインするための【ログイン( Login) 】 ボ
タンが表 示 されます。
ログ管 理 が有 効 である場 合 、ASGはポート 443でプロビジョニングサービスを利 用 します。 その
後 、 【概 要 ( Overview) 】 ページで指 定 したホスト とポート を使 用 してクラウドサービスにログファイ
ルを送 信 する必 要 があります。 したがって、ASGとインターネット の間 に別 のファイアウォールが存
在 する場 合 、プロビジョニングサービスおよびクラウドサービスとの通 信 を有 効 にするために、このファ
イアウォール上 にパケット フィルタルールを作 成 する必 要 があります。
ログ管 理 を再 び無 効 にするには、ステータスバーまたは【無 効 ( Disable) 】 ボタンをクリックします。
無 効 化 しても、再 び必 要 になった場 合 のためにログ管 理 用 資 格 情 報 は保 持 されます。 ログ管 理
を再 有 効 化 すると、この資 格 情 報 が表 示 されます。
14.2ログ管理インタフェース
Astaroのログ管 理 はクラウドベースのアプリケーションなので、Webブラウザ経 由 でアクセスする必
要 があります。 【概 要 ( Overview) 】 タブのログインボタンをクリックするか、URLを手 動 で入 力 する
ことができます( 【デバイス設 定 ( Device Configuration) 】 タブに表 示 されます) 。
398
ASG V8 管 理 ガイド
14ログ管 理
14.2ログ管 理 インタフェース
Astaroログ管 理 をWebAdminなどから起 動 すると、ダッシュボードが表 示 されます。 ここには、最
新 のログファイルが表 示 されています。
ログ管 理 インタフェースは以 下 のメニューを使 用 して管 理 します。メニューについては次 のセクション
で詳 しく説 明 します。
l
ダッシュボード( Dashboard) ：最 新 のログアクティビティ、ログ検 索 、および関 係 ブラウザ
l
グラフ( Charts) ：ログ量 がグラフ形 式 で表 示 されます。
l
イベント ( Events) ：重 要 度 に従 って色 分 けされたログイベント
l
デバイス( Devices) ：デバイス別 のログ。デバイスを管 理 します。
l
設 定 ( Settings) ：ルール、アカウント 設 定 、adminアカウント 、Windows Agent( 未 公
開)
l
レポート ( Reports) ：さまざまな時 間 範 囲 に対 するレポート を作 成 します。
l
ヘルプ( Help) ：『はじめに( Getting Started Guide) 』を表 示 します。
l
ログアウト ( Logout) ：Astaroログ管 理 からサインアウト します。
l
検 索 ( Search) ：すべてのログファイルを対 象 に検 索 を開 始 します。
14.2.1ダッシュボード
ダッシュボードは、ログイベント をテキスト で表 示 するイベントタイムラインと、 ログ量 の増 減 を経 時 的
に示 す下 部 のエリアから構 成 されています。
イベント タイムライン
イベント タイムラインは、最 新 のログイベント をグラフィカルに表 示 します。 主 に2つのタイムラインがあ
ります。上 部 のグレーのタイムラインは日 単 位 を示 し、下 部 の白 いタイムラインはログイベント を、1
日 に占 める時 間 で示 します。 いずれのタイムラインとも、左 や右 に動 かして、過 去 や未 来 に移 動
することができます。
日 単 位 のタイムラインには、ログイベント が小 さい青 いスト ライプとして表 示 されます。 スト ライプが
多 かったり、幅 広 い場 合 は、ログイベント が多 いことを示 します。
時 間 タイムラインの1つのログイベント には、複 数 のログファイルが含 まれる場 合 があります。 これ
は、複 数 の類 似 ログファイルが短 時 間 で発 生 した場 合 などです。 ログイベント をクリックすると、イ
ベント 詳 細 のウィンドウが開 きます。 このイベント 詳 細 ウィンドウについては、「イベント 」のセクション
を参 照 してください。
ログイベント は色 分 けされており、重 要 なイベント を簡 単 に見 分 けることができます。
ASG V8 管 理 ガイド
399
14.2ログ管 理 インタフェース
l
赤 ：重 大 度 が高 いイベント
l
黄 色 ：重 大 度 が中 程 度 のイベント
l
緑 色 ：重 大 度 が低 いイベント
14ログ管 理
注 - イベント タイムラインは、最 重 要 イベント の概 要 を知 るためのものです。 短 時 間 に多 くのイ
ベント が発 生 した場 合 に、すべてのイベント を確 認 するためには、【イベント ( Events) 】ページを
閲 覧 する必 要 があります。
さらに、ログ管 理 エンジンは、頻 度 の少 ないイベント ( レア( Rare) ) と増 加 したイベント ( 増
加 ( Incr.) ) を識 別 します。 これはすべてのデバイスを対 象 に、通 常 のログ動 作 からの差 異 を示
す補 足 情 報 です。 エンジンの背 後 にあるアルゴリズムでは、すべてのログから情 報 を収 集 するた
め、このような情 報 は時 間 の経 過 とともに信 頼 性 が向 上 します。
ログ量
ログ量 タイムラインは、ログファイルの量 の増 減 をグラフで表 示 します。 このグラフは、ログの異 常 な
増 加 を一 目 で検 出 するために使 用 します。 白 い点 を1つクリックすると、【グラフ( Charts) 】セクシ
ョンにリダイレクト します。
ログの検 索 ( Log Search)
【ダッシュボード( Dashboard) 】メニューには検 索 機 能 もあります。 【ダッシュボー
ド ( Dashboard) 】 >【ログ検 索 ( Log Search) 】 メニューをクリックして開 きます。
【ログ検 索 ( Log Search) 】ページを開 くと、過 去 24時 間 のログファイルが表 示 されます。 上 部 に
は検 索 バーがあり、検 索 対 象 とする時 間 範 囲 と1つ以 上 のキーワードを指 定 できます。 【検
索 ( Search) 】 ボタンをクリックして検 索 を開 始 します。
【エクスポート ( Export) 】 ボタンをクリックして、検 索 結 果 をエクスポート することもできます。 選 択
できるエクスポート 形 式 はJSONまたはXMLです。
結 果 テーブルには、検 索 結 果 が時 間 順 に表 示 され、ログファイルの発 生 源 となったデバイスとプロ
グラム、ログレベル、ログメッセージなどの情 報 を確 認 できます。
左 側 のサイドバーにあるドロワを使 用 して、デバイス、ログレベル、プログラムを基 準 に検 索 結 果 を
さらにドリルダウンできます。 これを行 うには、ドロワのヘッダをクリックし、ドロワエント リが複 数 あれば
いずれかを選 択 します。 ドロワのヘッダには、それぞれ2つのアイコンがあります。
l
+/-： クリックすると、そのドロワが開 閉 します。 ドロワは、ドロワのヘッダの任 意 の場 所 をクリ
ックしても開 閉 可 能 です。
400
ASG V8 管 理 ガイド
14ログ管 理
l
14.2ログ管 理 インタフェース
ギア： ギアをクリックすると、ドロワエント リ選 択 の逆 の結 果 を表 示 するか( 【逆 を選
択 ( Select Inverse) 】 ) 、すべてのエント リを選 択 ( 【すべてを選 択 ( Select All) 】 ) すること
ができます。
ヒント - サイドバーは、サイドバーとテーブルの境 界 の中 央 にある小 さい矢 印 アイコンを使 用 して
閉 じることができます。 サイドバーを閉 じると、矢 印 アイコンはテーブルの左 境 界 の中 央 に表 示 さ
れ、クリックするとサイドバーがもう一 度 開 きます。
関 係 ブラウザ( Relation Browser)
【ダッシュボード( Dashboard) 】メニューには関 係 ブラウザもあります。 【ダッシュボー
ド ( Dashboard) 】 >【関 係 ブラウザ( Relation Browser) 】 メニューをクリックして開 きます。
関 係 ブラウザは、最 重 要 イベント の間 のナビゲート 関 係 をグラフィカルに表 示 します。 ト ップのデバ
イスから順 に表 示 されます。 つまり、過 去 24時 間 で最 も多 くのイベント を報 告 したデバイスです。
いずれかのデバイスをクリックすると、調 査 を開 始 できます。 関 係 ブラウザには、上 位 10イベント が
デバイスの優 先 順 位 に従 って表 示 されます。 イベント をクリックすると、このイベント に関 する詳 細
情 報 ( IPアドレスまたはユーザ名 、変 数 など) が表 示 されます。 ユーザ名 、IPアドレス、または変
数 をクリックすると、これに関 連 付 けられた他 のログイベント が表 示 されます。 これにより、イベント
間 の関 係 やシステム間 で行 われた動 作 を特 定 することができます。
14.2.2グラフ
Astaroログ管 理 の【グラフ( Charts) 】 ページは、特 定 の時 間 枠 内 のログ量 をグラフィカルに表 示 し
ます。 このページは、ドロワのあるサイドバーと、グラフを表 示 するメインエリアに分 かれています。
日 付 (Date)： グラフのヘッダには、このグラフの対 象 時 間 枠 が表 示 されます( "2011 July 19"
など) 。 年 をクリックすると、その年 全 体 のグラフが表 示 され、月 をクリックすると、その月 全 体 のグラ
フが表 示 されます。
前 へ(Previous)/次 へ(Next)： 日 付 の左 右 にあるボタンを使 用 して、定 義 した時 間 範 囲 で
過 去 や未 来 に移 動 することができます。
例 1：現 在 の時 間 範 囲 が"2011 July 19"であるときに【前 へ( Previous) 】 をクリックすると、日 付
が"2011 July 18"に遡 ります。
例 2：現 在 の時 間 範 囲 が"2011 July 19 2:00"であるときに【前 へ( Previous) 】 をクリックする
と、日 付 が"2011 July 19 1:00"に遡 ります。
ログメッセージの閲 覧 (View Log Messages)： このボタンをクリックすると、現 在 の時 間 範 囲
に対 するすべてのログメッセージが表 示 されます。
ASG V8 管 理 ガイド
401
14.2ログ管 理 インタフェース
14ログ管 理
14.2.3イベント
ログ管 理 の【イベント ( Events) 】 ページは、タイムラインまたはリスト でログイベント を表 示 します。 さ
らに、タイムラインをフィルタするためのサイドバーもあります( 詳 しくは後 述 ) 。
タイムライン
タイムラインは、ダッシュボードのタイムラインと同 様 に機 能 します。ただし、月 単 位 のタイムラインが
追 加 されています。
リスト
リスト には、過 去 24時 間 から順 にすべてのログイベント が表 示 されます。 重 大 度 、所 有 者 、ス
テータス、説 明 などの情 報 が表 示 されます。 下 にあるバーを使 用 して、すべてのログイベント を参
照 したり、新 しいログイベント がもたらされた場 合 にビューを更 新 することができます。
サイド バー
サイドバーにはドロワがあり、タイムラインまたはリスト に表 示 された結 果 をフィルタするために使 用 で
きます。 これを行 うには、ドロワのヘッダをクリックし、ドロワエント リが複 数 あればいずれかを選 択 し
ます。 ドロワのヘッダには、それぞれ2つのアイコンがあります。
l
+/-： クリックすると、そのドロワが開 閉 します。 ドロワは、ドロワのヘッダの任 意 の場 所 をクリ
ックしても開 閉 可 能 です。
l
ギア(Gear)： ギアをクリックすると、ドロワエント リ選 択 の逆 の結 果 を表 示 するか( 【逆 を選
択 ( Select Inverse) 】 ) 、すべてのエント リを選 択 ( 【すべてを選 択 ( Select All) 】 ) すること
ができます。
ヒント - サイドバーは、サイドバーとテーブルの境 界 の中 央 にある小 さい矢 印 アイコンを使 用 して
閉 じることができます。 サイドバーを閉 じると、矢 印 アイコンはテーブルの左 境 界 の中 央 に表 示 さ
れ、クリックするとサイドバーがもう一 度 開 きます。
1つのドロワに1つ以 上 のエント リが含 まれる場 合 があり、適 用 されるログイベント の数 が数 字 で示
されます。 例 ： 重 大 度 のドロワには「Low 712」というエント リが含 まれており、重 大 度 がLowのイ
ベント が712件 あることを示 します。 エント リをクリックすると、これら712件 のログイベント だけが表
示 されるようになります。
デバイス(Devices)： ログ管 理 にログファイルを送 信 するすべてのデバイスが表 示 されます。
402
ASG V8 管 理 ガイド
14ログ管 理
14.2ログ管 理 インタフェース
重 大 度 (Severity)： ログイベント の重 大 度 ( 低 ( Low) 、 中 ( Medium) 、または高 ( High) ) が
表 示 されます。
ステータス(Status)： ワークフローに関 連 します。 ログファイルのステータスは、 新 規 ( New) 、 受
入 済 ( Accepted) 、または終 了 ( Closed) のいずれかです。
所 有 者 (Owner)： ワークフローに関 連 します。 「 なし( None) 」には、ユーザが受 け入 れたか終
了 させたすべてのログイベント が含 まれます。
ルール(Rule)： ログイベント によって有 効 化 されたルールを表 示 します。
イベント の詳 細
ログイベント をクリックすると、別 ウィンドウが開 き、ログイベント のID、説 明 、作 成 日 、重 大 度 レベ
ル、ステータス、含 まれるログ数 などの詳 細 情 報 が表 示 されます。 10分 間 で同 じタイプのログが
複 数 件 作 成 された場 合 は、1つのログイベント に複 数 のログが含 まれる場 合 があります。
イベント 詳 細 のウィンドウの下 部 にある【ログ( Logs) 】 タブには、このイベント に属 するすべてのログ
ファイルが表 示 されます。
ワークフロー(Workflow)： ログイベント はデフォルト でワークフローの一 部 です。 ただし、ログ管
理 でワークフロー機 能 を使 用 するのはオプションです。 この機 能 を使 用 してイベント ログをト ラッキ
ングし、( 重 要 な) ログイベント を見 落 としていないことを確 認 できます。 ログイベント のステータス
は、任 意 のユーザが受 け入 れるか終 了 させるまで「 新 規 ( New) 」のままとなります。
ログイベント を受 け入 れるか終 了 させるには、ウィンドウの上 部 にある【ワークフローの更
新 ( Update Workflow) 】 フィールドを使 用 します。 オプションで、フィールドにコメント を入 力 する
ことができます。 【ワークフロー( Workflow) 】 タブには、ログイベント の現 在 のワークフローステータス
が表 示 されます。
14.2.4デバイス
ログ管 理 の【デバイス( Devices) 】 ページは、ログ管 理 に対 して現 在 ログファイルを送 信 しているデ
バイスまたは過 去 にログファイルを送 信 したデバイスを表 示 します。
テーブルには、デバイスに関 する以 下 の情 報 が表 示 されます。
l
エイリアス(Alias)： デフォルト ではデバイスのホスト 名 です。 ただし、ログ管 理 インタフェース
全 体 でデバイスを簡 単 に識 別 できるように、エイリアスを変 更 することができます。
l
ホスト 名 (Hostname)： デバイスのホスト 名 。
l
初 回 検 出 (First Seen)： あるデバイスがロギングデータを初 めて送 信 したのがいつかを
表 示 します。
ASG V8 管 理 ガイド
403
14.2ログ管 理 インタフェース
14ログ管 理
l
最 終 検 出 (Last Seen)： あるデバイスがロギングデータを最 後 に送 信 したのがいつかを
表 示 します。
l
タイムオフセット (Time Offset)： ここでは、複 数 のタイムゾーンに対 応 するために、タイム
オフセット を調 整 できます。
l
有 効 (Enabled)： ログファイルの送 信 がデバイスで有 効 化 されているかどうかを示 します。
デバイスを無 効 にしたい場 合 、このデバイスの行 を右 クリックし、コンテキスト メニューから【デ
バイスの無 効 化 ( Disable Device) 】 を選 択 します。 デフォルト で、無 効 化 されたデバイス
はテーブルに表 示 されなくなります。 これらも表 示 するには、テーブルの上 にある【無 効 を表
示 ( Show Disabled) 】 ボタンをクリックします。
14.2.5設 定
ログ管 理 の【設 定 ( Settings) 】 メニューには、 ルール( Rules) 、 アカウント設 定 ( Account
Settings) 、Adminアカウント ( Admin Accounts) という各 設 定 があります。
ルール( Rules)
Astaroログ管 理 には、各 種 ロギングデバイス用 に事 前 定 義 されたルールセット が用 意 されていま
す。 ルールにより、特 定 のタイプのログイベント が発 生 したときにどのようなアクションをとるべきかを
定 義 します。 【設 定 ( Settings) 】 >【ルール( Rules) 】 ページで、必 要 に応 じて事 前 定 義 された
ルールに変 更 を加 えたり、追 加 のルールを作 成 することができます。
【ルール( Rules) 】 テーブルには、ルールの説 明 、ルールに属 するイベント の重 大 度 レベルの分
類 、アラート 発 生 の有 無 、ルールが有 効 か無 効 かといった情 報 が表 示 されます。
【ルール( Rules) 】 ページの一 番 上 には、次 の機 能 があります。
l
新 規 (New)： このボタンをクリックして、新 しいルールを作 成 します。
l
削 除 (Delete)： このボタンをクリックして、ルールを削 除 します。 ルールは削 除 せずに無
効 にすることもできます。
l
有 効 化 (Enable)： このボタンをクリックして、ルールを再 有 効 化 します。
l
無 効 化 (Disable)： このボタンをクリックして、ルールを無 効 にします。つまり、ルールはアク
ティブでなくなります。
ヒント -Ctrlキーを押 したままルールをクリックして、複 数 のルールを選 択 することができます。
l
404
エクスポート (Export)： このボタンをクリックして、現 在 のビューをXMLにエクスポート しま
す。
ASG V8 管 理 ガイド
14ログ管 理
14.2ログ管 理 インタフェース
l
インポート (Import)： このボタンをクリックして、新 しいルールのセット をインポート できま
す。これにより、ルールを手 動 で作 成 する必 要 がなくなります。
l
検 索 (Search)： 検 索 ボックスを使 用 して、1つ以 上 のキーワードでルールを検 索 しま
す。 【検 索 ( Search) 】 ボタンをクリックしてト ピックを選 び、検 索 エリアを制 限 することができ
ます。
ルールの作成または変更
既 存 のルールを変 更 したり、新 規 ルールを作 成 できます。 ルールの変 更 は、ルールの新 規 作 成
と非 常 に似 ているため、ここではルールの新 規 作 成 についてのみ説 明 します。
新 しいルールを作 成 するには、次 の手 順 に従 います。
1. 【ルール(Rules)】 ページの一 番 上 で、 【新 規 (New)】 をクリックします。
【新 規 ルール( New Rule) 】 ダイアログウィンドウが開 きます。
2. 【詳 細 (Details)】 タブで、次 の設 定 を行 います。
名 前 (Name)： ルールを説 明 する名 前 を入 力 します。
説 明 (Description)： ルールの説 明 を入 力 します。
有 効 (Enabled)： ルールはデフォルト で有 効 化 されています。 チェックボックスのチェックを
外 すと、ルールが無 効 になります。
イベント の重 大 度 (Event Severity)： このルールのログイベント をどのように分 類 すべき
かを定 義 します。
3. 【条 件 (Conditions)】 タブで、次 の設 定 を行 います。
ルールを起 動 する条 件 を定 義 する必 要 があります。 条 件 を作 成 するには、ドロップダウンフ
ィールドを使 用 します。 【追 加 ( Add) 】 ボタンをクリックして他 の条 件 を追 加 し、 【削
除 ( Delete) 】 ボタンをクリックして条 件 を削 除 します。
演 算 子 (Operator)： ANDまたはOR演 算 子 を使 用 して、複 数 のルールを論 理 的 に組
み合 わせることができます。
4. 【アラート (Alerts)】 タブで、通 知 を受 け取 るかどうか決 定 します。
デフォルト では、アラート はオフになっています。 ルールが起 動 したときに通 知 を受 け取 りたい
場 合 は、チェックボックスにチェックを入 れます。
5. 【送 信 (Submit)】 をクリックしてルールを保 存 します。
ルールが保 存 され、 【ルール( Rules) 】 テーブルに表 示 されます。
既 存 のルールを変 更 するには、 【ルール( Rules) 】 テーブルでルールをダブルクリックします。
ASG V8 管 理 ガイド
405
14.2ログ管 理 インタフェース
14ログ管 理
アカウント 設 定 ( Account Settings)
【設 定 ( Settings) 】 >【アカウント設 定 ( Account Settings) 】 をクリックすると、 【アカウント設
定 ( Account Settings) 】 ダイアログウィンドウが開 きます。 このダイアログウィンドウを使 用 して、ロ
グイン名 、Eメールアドレス、パスワードを変 更 することができます。 さらに、アニメーションを無 効 ま
たは有 効 にしたり、マネージャレポート を受 け取 るか否 か( 受 け取 るならそのタイミング) を選 択 する
ことができます。
Adminアカウント ( Admin Accounts)
【設 定 ( Settings) 】 >【 Adminアカウント ( Admin Accounts) 】 ページでは、管 理 権 限 あり( また
はなし) で新 規 ユーザを作 成 し、管 理 することができます。 管 理 権 限 なしのユーザは、他 のユー
ザのアカウント を作 成 したり管 理 することはできません。
新 しいユーザを作 成 するには、次 の手 順 に従 います。
1. 【アカウント (Accounts)】 ページの一 番 上 で、 【新 規 (New)】 ボタンをクリックします。
【新 規 アカウント ( New Account) 】 ダイアログウィンドウが開 きます。
2. 次 の設 定 を行 います。
ログイン名 (Login Name)： ユーザがログ管 理 インタフェースへのログインに使 用 する名
前 を入 力 します。
Eメールアド レス(Email)： ユーザのEメールアドレスを入 力 します。このアドレスに、レポー
ト および通 知 のEメールが送 信 されます。
パスワード (Password)： ユーザのパスワードを入 力 し、確 認 のためにもう一 度 入 力 しま
す。 6文 字 以 上 にする必 要 があります。
Admin： ユーザにAdmin権 限 を付 与 する場 合 は、このチェックボックスにチェックを入 れま
す。
3. 【送 信 (Submit)】 をクリックして新 しいアカウント を保 存 します。
新 しいアカウント が保 存 され、 【アカウント ( Accounts) 】 テーブルに表 示 されます。
ユーザを削 除 するには、 【アカウント ( Accounts) 】 ページの上 部 にある【削 除 ( Delete) 】 ボタンを
クリックします。
14.2.6レポート
ログ管 理 は、サブスクライブしている各 ユーザの最 新 のアクティビティに関 する概 要 レポート を毎 週
送 信 します( この設 定 は、各 ユーザが【アカウント設 定 ( Account Settings) 】 ウィンドウで変 更 で
406
ASG V8 管 理 ガイド
14ログ管 理
14.3ログ転 送
きます) 。 ウィークリーレポート とは別 に、ログ管 理 の【レポート ( Reports) 】 ページで個 別 にレポー
ト を生 成 することができます。 このようなマネージャレポート は、過 去 の週 に対 して事 前 定 義 され
たレポート を選 択 するか、下 のフィールドで特 定 の日 付 を選 択 して簡 単 に生 成 することができま
す。 選 択 した日 付 は、1週 間 というレポート 期 間 の終 了 日 となります。
注 - レポート の参 照 にはAdobeビューアが必 要 です。
14.3ログ転送
ログ管 理 は、ネット ワーク内 またはASGの背 後 にあるデバイスでも使 用 できます。 【ログ管 理 ( Log
Management) 】 >>【ログ転 送 ( Log Forwarding) 】 ページでは、他 のデバイスからのログファイ
ルも受 け入 れるようにASGを設 定 することができます。 これにより、ASGは暗 号 化 されていな
いsyslogメッセージを受 信 してからこれを暗 号 化 し、お使 いのログ管 理 インスタンスに送 信 するよ
うになります。
ログ転 送 を有 効 にするには、次 の手 順 に従 います。
1. 【ログ転 送 (Log Forwarding)】 タブで、ログ転 送 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、2つの設 定 フィールドが表 示 されます。
2. 次 の設 定 を行 います。
許 可 ネット ワーク(Allowed Networks)： 対 象 のデバイスが存 在 しており、ASGへのロ
グ送 信 を可 能 にする必 要 があるネット ワークを選 択 または追 加 します。
ログ転 送 用 ASGポート (ASG Port for Log Forwarding)： 暗 号 化 されたログファイ
ルをログ管 理 インスタンスに送 信 するために使 用 するポート 。 デフォルト のポート は10101で
す。 必 要 に応 じてポート 番 号 を変 更 できますが、一 部 のポート は他 のサービス用 に予 約 さ
れています。
3. 【適 用 (Apply)】 をクリックします。
ステータスアイコンが緑 色 になり、ログ転 送 が有 効 になります。
14.4デバイス設定
【ログ管 理 ( Log Management) 】 >>【デバイス設 定 ( Device Configuration) 】 ページは、ログ
管 理 で使 用 する複 数 のデバイスの設 定 方 法 に関 する情 報 を提 供 します。
ASG V8 管 理 ガイド
407
14.4デバイス設 定
14ログ管 理
また、ログ管 理 についての『はじめに( Getting Started
Guide) 』( http://www.astaro.com/lm) もあります。
408
ASG V8 管 理 ガイド
15サイト 間VPN
この章 では当 製 品 のサイト 間 VPN設 定 の構 成 方 法 について説 明 します。 Astaro Security
Gateway.Astaro Security Gatewayのサイト 間 VPNは、 バーチャルプライベートネットワー
ク( Virtual Private Networks) ( VPN) によって実 現 します。VPNはインターネット などの公 共 のネ
ット ワーク上 でリモート ネット ワークが極 秘 に相 互 通 信 するためのセキュアでコスト 効 果 の高 い方
法 です。 VPNでは暗 号 化 ト ンネリングプロト コルのIPsecを使 用 して、VPN上 を伝 送 されるデータ
の機 密 性 とプライバシを保 ちます。
クロスリファレンス - サイト 間 VPN接 続 の設 定 方 法 の詳 細 は、Astaroナレッジベース を参 照 し
てください( 「ASG バージョン7」 >>「 Astaroマニュアルおよびガイド」 の順 にアクセスします) 。
この章 には次 のト ピックが含 まれます。
l
IPsec
l
SSL
l
証明書管理
WebAdminの【サイト間 VPN( Site-to-site VPN) 】 概 要 ページには、設 定 されたすべてのIPsec
およびSSL接 続 とその現 在 のステータスが表 示 されます。 各 接 続 の状 態 は、そのステータスアイコ
ンの色 で示 されます。 ステータスアイコンは2種 類 あります。 接 続 名 の隣 りの大 きなアイコンは、接
続 の全 体 的 な状 態 を表 します。 それぞれの色 は以 下 の状 態 を意 味 します。
l
緑 色 – すべてのSA( セキュリティアソシエーション) が確 立 されました。 接 続 は完 全 に機 能
しています。
l
黄 色 – SAの一 部 が確 立 されていません。 接 続 は部 分 的 に機 能 しています。
l
赤 色 - SAがまったく確 立 されていません。 接 続 が機 能 していません。
ト ンネル情 報 の隣 りの小 さなアイコンは、ト ンネルの状 態 を表 します。 それぞれの色 は以 下 の状
態 を意 味 します。
l
緑 色 – すべてのSAが確 立 されました。 ト ンネルは完 全 に機 能 しています。
l
黄 色 – IPsec SAが確 立 されましたが、ISAKMP SA( インターネットセキュリティアソシエー
ションと鍵 管 理 プロトコル) が機 能 していません。 ト ンネルは完 全 に機 能 しています。
l
赤 色 - SAがまったく確 立 されていません。 接 続 が機 能 していません。
15サイト 間 VPN
15.1IPsec
15.1IPsec
IPsec( IP Security) とは、すべてのIPパケット を暗 号 化 または認 証 すること( あるいはその両 方 )
によってIP( インターネットプロトコル) 通 信 のセキュリティを維 持 するための標 準 です。
IPsec標 準 は、次 の2つのサービスモードと2つのプロト コルを定 義 しています。
l
ト ランスポート モード
l
ト ンネルモード
l
AH( 認 証 ヘッダ) 認 証 プロト コル
l
ESP( カプセル化 セキュリティペイロード) 暗 号 化 ( および認 証 ) プロト コル
IPsecには、SA( セキュリティアソシエーション) と鍵 配 布 を手 動 および自 動 で管 理 するための方
法 も用 意 されています。 これらの特 徴 は、DOI( 解 釈 ドメイン) で一 元 管 理 されています。
IPsecモード
IPsecは、ト ランスポート モードまたはト ンネルモードで機 能 します。 原 則 的 に、ホスト 間 接 続 では
どちらのモードも使 用 できます。 ただし、いずれかのエンドポイント がセキュリティゲート ウェイである
場 合 、ト ンネルモードを使 用 する必 要 があります。 このASGでのIPsec VPN接 続 では、常 にト ン
ネルモードが使 用 されます。
ト ランスポート モードでは、元 のIPパケット は他 のパケット にカプセル化 されません。 元 のIPヘッダは
維 持 され、パケット の残 りの部 分 は平 文 のまま( AH) またはカプセル化 されて( ESP) 送 信 されま
す。 パケット 全 体 をAHで認 証 することも、ESPでペイロードをカプセル化 して認 証 することもできま
す。 いずれの場 合 も、元 のヘッダは平 文 としてWAN経 由 で送 信 されます。
ト ンネルモードでは、パケット ヘッダとペイロードの全 体 が新 しいIPパケット にカプセル化 されます。 IP
ヘッダがIPパケット に追 加 され、宛 先 アドレスは受 信 側 ト ンネルエンドポイント に設 定 されます。 カ
プセル化 パケット のIPアドレスは変 更 なしで維 持 されます。 続 いて、元 のパケット がAHで認 証 され
るか、ESPでカプセル化 されて認 証 されます。
IPsecプロト コル
IPsecでは、IP レベルで安 全 に通 信 するために2つのプロト コルを使 用 します。
410
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
l
AH(認 証 ヘッダ)：パケット 送 信 者 を認 証 し、パケット データの完 全 性 を保 証 するためのプ
ロト コル。
l
ESP(カプセル化 セキュリティペイロード )：パケット 全 体 を暗 号 化 し、そのコンテンツを認 証
するためのプロト コル。
AH( 認 証 ヘッダ) プロト コルは、パケット データの信 頼 性 と完 全 性 をチェックします。 さらに、送 信 者
と受 信 者 のIPアドレスが送 信 中 に変 更 されていないことをチェックします。 パケット は、 ハッシュベー
スのメッセージ認 証 コード ( HMAC) と鍵 を使 用 して作 成 されたチェックサムを使 用 して認 証 されま
す。 次 のいずれかのハッシュアルゴリズムが使 用 されます。
l
MD5(メッセージダイジェスト 、バージョン5)：このアルゴリズムでは、任 意 のサイズのメッ
セージから128ビット のチェックサムが生 成 されます。 このチェックサムはメッセージの指 紋 の
ようなもので、メッセージが変 更 されるとチェックサムも変 わります。 このハッシュ値 は、デジタ
ル署 名 またはメッセージダイジェスト とも呼 ばれます。
l
SHA-1(セキュアハッシュ)：このアルゴリズムではMD5と類 似 したハッシュが生 成 されます
が、SHA-1ハッシュは長 さが160ビット です。 SHA-1は鍵 がMD5より長 いため、MD5より
強 力 なセキュリティが実 現 します。
MD5と比 較 すると、SHA-1ハッシュは計 算 が難 しく、生 成 に必 要 なCPU時 間 はより長 くなります。
もちろん、計 算 速 度 は、プロセッサの処 理 速 度 とAstaro Security Gatewayで使 用 されるIPsec
VPN接 続 の数 に依 存 します。
ESP( カプセル化 セキュリティペイロード) プロト コルには、暗 号 化 以 外 に、送 信 者 を認 証 し、パケッ
ト コンテンツを検 証 する機 能 もあります。 ト ンネルモードでESPを使 用 すると、 IPパケット 全 体 ( ヘ
ッダとペイロード) が暗 号 化 されます。 ここで、暗 号 化 されていないIPヘッダとESPヘッダがカプセル
化 するパケット に追 加 されます。新 しいIPヘッダには、受 信 側 ゲート ウェイと送 信 側 ゲート ウェイのア
ドレスが含 まれています。 これらのIPアドレスは、VPNト ンネルのアドレスです。
暗 号 化 付 きのESPでは、通 常 次 のアルゴリズムが使 用 されます。
l
3DES( ト リプルデータ暗 号 化 標 準 )
l
AES( 高 度 暗 号 化 標 準 )
これらのうち、AESが最 も安 全 です。 AESで使 用 可 能 な鍵 の有 効 長 は128ビット 、192ビッ
ト 、256ビット です。Astaro Security Gateway は、多 数 の暗 号 化 アルゴリズムをサポート してい
ます。 認 証 にはMD5またはSHA-1アルゴリズムを使 用 できます。
ASG V8 管 理 ガイド
411
15.1IPsec
15サイト 間 VPN
NAT-T( NATト ラバーサル)
NAT ト ラバーサルとは、NATデバイスを使 用 するTCP/IPネット ワーク内 のホスト 間 で接 続 を確 立
するための技 術 です。 この接 続 は、ESPパケット のUDPカプセル化 を使 用 して、NATデバイス経
由 でIPsecト ンネルを確 立 することによって実 現 します。 UDPカプセル化 は、IPsecピア間 でNAT
が検 出 された場 合 のみに使 用 されます。検 出 されなかった場 合 は、通 常 のESPパケット が使 用 さ
れます。
NATト ラバーサルにより、ゲート ウェイまたはロードウォリアをNATルータの背 後 に配 置 しなが
ら、IPsecト ンネルを確 立 できるようになります。 この機 能 を使 用 する場 合 、両 方 のIPsecピア
でNATト ラバーサルがサポート されている必 要 があります。ネゴシエーションは自 動 的 に行 われま
す。 NATデバイスでIPseパススルーがオフになっていることを確 認 してください。オンになっている
と、NATト ラバーサルの使 用 に支 障 が出 る可 能 性 があります。
ロードウォリアでNATト ラバーサルを使 用 したい場 合 、WebAdmin内 の対 応 ユーザオブジェクト に
スタティックリモート アクセスIPアドレス( RAS アドレス) が設 定 されている必 要 がありま
す( WebAdminのユーザ定 義 ページで 【スタティックリモートアクセスIPを使 用 ( Use Static
Remote Access IP) 】 も参 照 してください) 。
データ未 送 信 時 に確 立 されたト ンネルが期 限 切 れになることを防 ぐために、NATト ラバーサル
のkeep-alive信 号 がデフォルト で60秒 間 隔 で送 信 されます。 keep-aliveメッセージは、NAT
ルータがセッションに関 連 するステート 情 報 を維 持 しており、ト ンネルが開 いたままであることを確
認 するために送 信 されます。
TOS
「サービスタイプ」ビット ( TOSビット ) は、IPヘッダにあるいくつかの4ビット フラグです。 これらのビット
は、どのタイプのサービス品 質 が必 要 であるかを転 送 アプリケーションがネット ワークに伝 えることを
許 可 するため、 サービススタイプビット と呼 ばれています。
Astaro Security GatewayへのIPsec導 入 では、TOSの値 は常 にコピーされます。
15.1.1接 続
【サイト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【コネクション( Connections) 】 タブで
は、IPsec接 続 を作 成 および編 集 することができます。
412
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
図 130 サイト 間 VPN IPsec：接 続 リスト
IPsecコネクションを作 成 するには、次 の手 順 に従 います。
1. 【コネクション(Connections)】 タブで、 【新 規 IPsecコネクション(New IPsec
Connection)】 をクリックします。
【 IPsec コネクションの追 加 ( Add IPsec Connection) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このコネクションを説 明 する名 前 を入 力 してください。
リモート ゲート ウェイ(Remote Gateway)： リモート ゲート ウェイ定 義 を選 択 します。 リ
モート ゲート ウェイは、 【サイト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【リモートゲート
ウェイ( Remote Gateways) 】 タブで設 定 します。
ローカルインタフェース(Local Interface)： IPsecト ンネルのローカルエンドポイント として
使 用 されるインタフェースの名 前 を選 択 します。
ポリシ(Policy)： このIPsecコネクションのIPsecポリシを選 択 します。 IPsecポリシは、 【サ
イト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【ポリシ ( Policies) 】 タブで定 義 できま
す。
ローカルネット ワーク(Local Networks)： VPNト ンネル経 由 でアクセス可 能 にするローカ
ルネット ワークを選 択 します。
自 動 ファイアウォールルール(Auto Firewall Rules)： このオプションを選 択 する
と、VPN接 続 用 のト ラフィックを許 可 するファイアウォールルールを自 動 的 に追 加 することが
できます。 ルールは、VPN接 続 の確 立 が成 功 するとすぐに追 加 され、VPN接 続 が切 断 さ
れると削 除 されます。 より厳 格 なIPsec接 続 を使 用 する場 合 は、 【自 動 ファイアウォール
ルール( Auto Firewall Rules) 】 を使 用 しないで、代 わりにファイアウォールルールセット 内
のIPsecオブジェクト を使 用 します。
スト リクト ルーティング(Strict Routing)： スト リクト ルーティングを選 択 すると、VPNルー
ティングは( 宛 先 IPアドレスのみではなく) 送 信 元 IPアドレスと宛 先 IPアドレスに従 って実 行 さ
れます。 この場 合 、VPNト ンネル定 義 と完 全 に一 致 するパケット のみがVPNト ンネルにルー
ティングされます。 この結 果 、SNATを使 用 して本 来 ト ンネル定 義 の一 部 ではないネット
ASG V8 管 理 ガイド
413
15サイト 間 VPN
15.1IPsec
ワークまたはホスト をVPNト ンネルに追 加 することはできません。 一 方 、スト リクト ルーティン
グを使 用 しない場 合 、異 なる送 信 元 アドレスから同 じネット ワークに対 して非 暗 号 化 /暗
号 化 の混 在 するセット アップを行 うことはできません。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しい接 続 がIPsecの【接 続 ( Connections) 】 リスト に表 示 されます。
接 続 を編 集 または削 除 するには、対 応 するボタンをクリックします。
ライブログを開 く(Open Live Log)： IPsec VPNライブログには、確 立 されたIPsec接 続 に関 す
るモニタリング情 報 が表 示 されます。 ボタンをクリックして、新 しいウィンドウでライブログを開 きます。
15.1.2リモート ゲート ウェイ
【サイト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【リモートゲートウェイ( Remote
Gateways) 】 タブでは、サイト 間 VPNト ンネル用 にリモート ゲート ウェイを定 義 できます。 これらのリ
モート ネット ワーク定 義 は、 【 IPsec 】 >>【接 続 ( Connections) 】 タブでIPsec接 続 を作 成 すると
使 用 可 能 になります。
図 131 サイト 間 VPN IPsec：リモート ゲート ウェイリスト
リモート ゲート ウェイを追 加 するには、次 の手 順 に従 ってください。
1. 【リモートゲートウェイ(Remote Gateways)】 タブで、 【新 規 リモートゲートウェイ(New
Remote Gateway)】 をクリックします。
【リモートゲートウェイの追 加 ( Add Remote Gateway) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このリモート ゲート ウェイを説 明 する名 前 を入 力 してください。
ゲート ウェイタイプ(Gateway Type)： ゲート ウェイのタイプを選 択 します。 次 のタイプを
使 用 できます。
414
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
l
接 続 の初 期 化 (Initiate Connection)： リモート エンドポイント にスタティック(
静 的 ) IPアドレスがあり、リモート ゲート ウェイへの接 続 をゲート ウェイによって開 始 でき
る場 合 に選 択 します。 選 択 する場 合 、 【ゲートウェイ( Gateway) 】 ボックスにリモート
ゲート ウェイを指 定 します。 このオプションは、リモート ゲート ウェイがDynDNSによって
解 決 される場 合 にも選 択 できます。
l
応 答 のみ(Respond Only)： リモート エンドポイント のIPアドレスが不 明 である
か、DynDNSで解 決 できない場 合 に選 択 します。 ゲート ウェイはリモート ゲート ウェイ
への接 続 を開 始 できず、応 答 のみを必 要 とする接 続 を受 信 するまで待 機 します。
認 証 タイプ(Authentication Type)： このリモート ゲート ウェイ定 義 の認 証 タイプを選
択 します。 次 のタイプを使 用 できます。
l
事 前 共 有 鍵 (Preshared key)： 事 前 共 有 鍵 ( PSK) による認 証 では、秘 密 のパ
スワードを鍵 として使 用 します。 これらのパスワードは、接 続 を確 立 する前 にエンドポ
イント に配 布 する必 要 があります。 新 しいVPNト ンネルが確 立 されると、両 端 で、相
手 側 が秘 密 のパスワードを知 っていることのチェックが行 われます。 PSKのセキュリテ
ィは、使 用 するパスワードの品 質 に依 存 します。一 般 的 な言 葉 や成 句 では、辞 書
攻 撃 に対 して脆 弱 です。 常 時 のIPsec接 続 や長 期 的 なIPsec接 続 では、パスワー
ドの代 わりに証 明 書 またはRSA鍵 を使 用 する必 要 があります。
l
RSA鍵 (RSA Key)：RSA鍵 を使 用 する認 証 は、より高 度 です。 この方 式 では、
公 開 鍵 と秘 密 鍵 から成 る鍵 ペアが接 続 の両 端 で生 成 されます。 秘 密 鍵 は、鍵 交
換 時 の暗 号 化 と認 証 で必 要 です。 この認 証 方 式 を使 用 するIPsecVPN接 続 の
両 エンドポイント は、独 自 の鍵 ペアを必 要 とします。 リモート ユニット の公 開 RSA
鍵 ( 【サイト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【ローカルRSA鍵 ( Local
RSA Key) 】 ) をローカルユニット の【公 開 鍵 ( Public Key) 】 ボックスにコピーし、逆 方
向 のコピーも行 います。 さらに、それぞれのRSA鍵 に対 応 するVPN IDタイプとVPN識
別 子 を入 力 します。
l
ローカルX.509証 明 書 (Local X.509 Certificate)： 同 様 に、X.509証 明 書
による認 証 方 式 も公 開 鍵 と秘 密 鍵 を使 用 します。 X.509証 明 書 には、公 開 鍵
と、鍵 の所 有 者 を特 定 する情 報 が含 まれています。 このような証 明 書 は、信 頼 さ
れる認 証 局 ( CA) によって署 名 され、発 行 されたものです。 鍵 交 換 中 に証 明 書 が
交 換 され、ローカル保 存 されたCA証 明 書 を使 用 して認 証 されます。 リモート ゲート
ウェイのX.509証 明 書 がユニット にローカル保 存 されている場 合 、この認 証 タイプを
使 用 してください。
l
リモート X.509証 明 書 (Remote X.509 Certificate)： リモート ゲート ウェイ
のX.509証 明 書 がユニット にローカル保 存 されていない場 合 、この認 証 タイプを使
用 してください。 リモート ユニット で使 用 されている証 明 書 のVPN IDタイプとVPN識
ASG V8 管 理 ガイド
415
15サイト 間 VPN
15.1IPsec
別 子 を選 択 する必 要 があります。この証 明 書 は、 【サイト間 VPN( Site-to-site
VPN) 】 >>【 IPsec 】 >>【詳 細 ( Advanced) 】 タブの【ローカルX.509証 明
書 ( Local X.509 Certificate) 】 エリアで選 択 されたものです。
VPN IDタイプ(VPN ID Type)： 認 証 タイプによっては、VPN IDタイプとVPN識 別 子 を
選 択 する必 要 があります。 ここで入 力 するVPN識 別 子 は、リモート サイト で設 定 した値 と
一 致 している必 要 があります。 サイト 間 VPNト ンネルの確 立 に2台 のASGアプライアンスを
使 用 しているとします。 ローカルユニット での認 証 タイプとして【 RSA鍵 ( RSA Key) 】 を選 択
する場 合 、VPN IDタイプとVPN識 別 子 がリモート ユニット の【サイト間 VPN( Site-to-site
VPN) 】 >>【 IPsec 】 >>【ローカルRSA鍵 ( Local RSA Key) 】 タブでの設 定 と一 致 している
必 要 があります。 次 のVPN IDタイプを選 択 できます。
l
IPアド レス
l
ホスト 名 (Hostname)
l
Eメールアド レス(E-mail Address)
l
識 別 名 (Distinguished Name)： リモート X.509証 明 書 認 証 のみで使 用 。
l
すべて(Any)： 【応 答 のみ( Respond Only) 】 ゲート ウェイタイプのデフォルト 。
リモート ネット ワーク(Remote Networks)： リモート ゲート ウェイ経 由 でアクセス可 能 に
するリモート ネット ワークを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 必 要 に応 じて、詳 細 設 定 を行 います。
以 下 の詳 細 設 定 は、影 響 を理 解 している場 合 にのみ行 ってください。
パスMTU検 出 をサポート (Support Path MTU Discovery)：PMTU( パス最 大 伝 送
単 位 ) とは、送 信 されるデータパケット のサイズです。 IPデータパケット は、送 信 元 から宛 先
までのパスのどこでもフラグメンテーション( 断 片 化 ) を必 要 としない最 大 サイズにすることが
望 まれます。 パス上 の一 部 ルータにとって断 片 化 しないで転 送 するには大 き過 ぎるデータ
パケット がある場 合 、そのルータはそれらを破 棄 して、ICMP宛 先 不 達 メッセージを「要 断 片
化 、DF設 定 」を意 味 するコードとともに返 します。 送 信 元 ホスト は、そのようなメッセージを
受 信 すると、そのパスに対 して想 定 されるPMTUを減 らします。
このオプションを有 効 にすると、サーバ側 でPMTUが有 効 になっている場 合 にASGがPMTU
を有 効 化 します。
輻 輳 シグナリングをサポート (Support Congestion Signaling)(ECN)：ECN( 明
示 的 な輻 輳 通 知 ) とはインターネット プロト コルの拡 張 であり、ネット ワーク輻 輳 のエンドツー
416
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
エンドな通 知 をパケット のドロップなしで許 可 します。 リモート エンドポイント および下 位 のネ
ット ワークと関 与 するルータがこれをサポート している必 要 があります。
XAUTHクライアント モード の有 効 化 (Enable XAUTH Client Mode)： XAUTHと
は、IPsec IKEの拡 張 であり、VPNゲート ウェイでユーザ名 とパスワードを使 用 してユーザを
認 証 します。 このリモート ゲート ウェイでの認 証 にXAUTHを使 用 するためには、このオプショ
ンを選 択 して、リモート ゲート ウェイの要 求 に従 ってユーザ名 とパスワード( 2回 ) を入 力 しま
す。
4. 【保 存 (Save)】 をクリックします。
ゲート ウェイ定 義 が【リモートゲートウェイ( Remote Gateways) 】 リスト に表 示 されます。
リモート ゲート ウェイ定 義 を編 集 または削 除 するには、対 応 するボタンをクリックします。
15.1.3ポリシ
【 IPsec 】 >>【ポリシ ( Policies) 】 タブでは、IPsecコネクション用 のパラメータをカスタマイズし、ポリ
シに統 合 することができます。 IPsecポリシは、IPsec接 続 のIKE( インターネット 鍵 交 換 ) とIPsec
プロポーザルパラメータを定 義 します。 それぞれのIPsec接 続 にはIPsecポリシが必 要 です。
ASG V8 管 理 ガイド
417
15サイト 間 VPN
15.1IPsec
図 132 サイト 間 VPN IPsec：ポリシリスト
IPsecポリシを作 成 するには、以 下 の手 順 に従 います。
1. 【ポリシ (Policy)】 タブで、 【新 規 IPsecポリシ (New IPsec Policy)】 をクリックします。
【 IPsec ポリシの追 加 ( Add IPsec Policy) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このポリシを説 明 する名 前 を入 力 します。
IKE暗 号 化 アルゴリズム(IKE Encryption Algorithm)： 暗 号 化 アルゴリズムで
は、IKEメッセージの暗 号 化 に使 用 するアルゴリズムを指 定 します。 以 下 のアルゴリズムが
サポート されています。
418
l
DES( 56ビット )
l
3DES( 168ビット )
l
AES 128( 128ビット )
l
AES 192( 192ビット )
ASG V8 管 理 ガイド
15サイト 間 VPN
l
AES 256( 256ビット )
l
Blowfish( 128ビット )
l
Twofish( 128ビット )
l
Serpent( 128ビット )
15.1IPsec
IKE認 証 アルゴリズム(IKE Authentication Algorithm)： 認 証 アルゴリズムで
は、IKEメッセージの完 全 性 チェックに使 用 するアルゴリズムを指 定 します。 以 下 のアルゴリ
ズムがサポート されています。
l
MD5( 128ビット )
l
SHA1( 160ビット )
l
SHA2 256( 256ビット )
l
SHA2 384( 384ビット )
l
SHA2 512( 512ビット )
IKE SAライフタイム(IKE SA Lifetime)： この値 には、IKE SA( セキュリティアソシエー
ション) が有 効 な期 間 ( つまり次 の鍵 更 新 を行 うタイミング) を秒 単 位 で指 定 します。 有 効
な値 は60秒 ～ 28800秒 ( 8時 間 ) です。 デフォルト 値 は7800秒 です。
IKE DHグループ(IKE DH Group)： 接 続 をネゴシエート する際 は、通 信 するパーティ
はデータの暗 号 化 に使 用 する実 際 の鍵 についても取 り決 めます。 IKEはセッション鍵 を生
成 するために、ランダムデータを利 用 するDiffie-Hellman( DH) アルゴリズムを使 用 しま
す。 ランダムデータの生 成 はプールビット に基 づいて行 われます。 基 本 的 にはIKEグループ
がプールビット 数 を知 らせます。 プールビット 数 が多 いほど、ランダムな数 字 が大 きくなりま
す。 数 字 が大 きいほど、Diffie-Hellmanアルゴリズムの解 読 は難 しくなります。 結 果 とし
て、プールビット 数 が多 ければ安 全 ですが、CPUの使 用 量 も増 えます。 現 在 は以 下
のDiffie-Hellmanグループがサポート されています。
l
グループ1：MODP 768
l
グループ2：MODP 1024
l
グループ5：MODP 1536
l
グループ14：MODP 2048
l
グループ15：MODP 3072
l
グループ16：MODP 4096
ASG V8 管 理 ガイド
419
15.1IPsec
15サイト 間 VPN
注 - グループ1( MODP 768) は弱 く、相 互 運 用 性 の理 由 からのみサポート されていま
す。
IPsec暗 号 化 アルゴリズム(IPsec Encryption Algorithm)： IKEの場 合 と同 じ暗
号 化 アルゴリズム。
IPsec認 証 アルゴリズム(IPsec Authentication Algorithm)： IKEの場 合 と同 じ
認 証 アルゴリズム。 さらに、以 下 のアルゴリズムもあります。
SHA2 256( 96ビット )
SHA2 384( 96ビット )
SHA2 512( 96ビット )
これらは、RFC 4868に準 拠 しないト ンネルエンドポイント ( V8以 前 のASGバージョンなど)
への対 応 のために用 意 されています。そのため、96ビット より長 い切 り捨 てられたチェックサ
ムをサポート しません。
IPsec SAライフタイム(IPsec SA Lifetime)： この値 には、IPsec SAが有 効 な期
間 ( つまり次 の鍵 更 新 を行 うタイミング) を秒 単 位 で指 定 します。 有 効 な値 は60
秒 ～ 86400秒 ( 1日 ) です。 デフォルト 値 は7800秒 です。
IPsec PFSグループ(IPsec PFS Group)：Perfect Forward Secrecy( PFS) という
概 念 では、セッション鍵 を使 用 できなくなった場 合 に、この特 定 セッションのデータにのみア
クセスを許 可 します。 PFSが存 在 するには、IPsec SAの保 護 に使 用 される鍵 は、IKE SA
の鍵 を取 得 するために使 用 されるランダム鍵 作 成 用 のマテリアルから派 生 したものではない
ことが必 要 です。 その場 合 、PFSは2回 目 のDiffie-Hellman鍵 交 換 を開 始 し、IPsec接
続 に対 して選 択 されたDHグループが新 たにランダム生 成 された鍵 を取 得 することを提 案 し
ます。 サポート されているDiffie-HellmanグループはIKEの場 合 と同 じです。
PFSを有 効 にすると安 全 性 が高 まりますが、交 換 にさらに時 間 がかかるようになります。 低
速 なハードウェアではPFSは使 用 しないことをお勧 めします。
注 - PFSはすべてのベンダーとの完 全 な相 互 運 用 性 はありません。 ネゴシエーション時
に問 題 が発 生 したら、PFSを無 効 にしてください。
厳 格 なポリシ(Strict Policy)： IPsecゲート ウェイが暗 号 化 アルゴリズムおよびその強 度
について提 案 を行 うと、IPsecポリシがそれに対 応 していない場 合 でも、受 信 側 ゲート ウェイ
がこの提 案 を受 け入 れる場 合 があります。 このオプションを選 択 すると、指 定 したパラメータ
を厳 密 にそのとおり使 用 することについてリモート エンドポイント が合 意 しないときは、IPsec
420
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
接 続 は確 立 されません。 もし、ASG のIPsecポリシがAES-256暗 号 化 を必 要 とする際
に、SSH Sentinelを使 用 するロードウォリアがAES-128を使 用 して接 続 しようとすると、厳
格 なポリシオプションが有 効 である場 合 は、接 続 は拒 否 されます。
注 - 圧 縮 の設 定 は【厳 格 なポリシ ( Strict Policy) 】 を介 しては施 行 されません。
圧 縮 (Compression)： このオプションでは、IPペイロード圧 縮 プロトコル( IPComp) によっ
てIPパケット を暗 号 化 の前 に圧 縮 するかどうかを指 定 します。 IPCompはIPパケット を圧 縮
してそのサイズを縮 小 し、通 信 ホスト またはゲート ウェイのペア間 の全 体 的 な通 信 パフォー
マンスを向 上 させます。 デフォルト では圧 縮 はオフになっています。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいポリシが【ポリシ ( Policies) 】 リスト に表 示 されます。
ポリシを編 集 または削 除 するには、対 応 するボタンをクリックします。
15.1.4ローカルRSA鍵
RSA認 証 では、VPNエンドポイント の認 証 にRSA鍵 が使 用 されます。 エンドポイント の公 開 鍵 は、
接 続 が確 立 される前 に手 動 で交 換 します。 この認 証 タイプを使 用 する場 合 、VPN識 別 子 を定
義 して、ローカルRSA鍵 を作 成 する必 要 があります。 ゲート ウェイの公 開 RSA鍵 を、Astaro
Security Gatewayに対 してIPsec RSA認 証 を使 用 するリモート IPsecデバイスで使 用 できるよう
にする必 要 があります。
ASG V8 管 理 ガイド
421
15サイト 間 VPN
15.1IPsec
図 133 サイト 間 VPN IPsec：ローカルRSA鍵 の設 定
現 在 のローカル公 開 RS A 鍵 ( C u r r e n t L oc a l P u bl i c RS A Ke y )
現 在 インスト ールされているローカルRSA鍵 ペアの公 開 部 分 が表 示 されます。 ボックスをクリック
し、Ctrl-AとCtrl-Cを押 してクリップボードにコピーしてください。
ローカルRS A鍵 VP Nオプ シ ョン( L oc a l RS A Ke y VP N Opti on s )
お客 様 のニーズに最 適 なVPN IDタイプを選 択 します。 デフォルト では、ゲート ウェイのホスト 名
がVPN識 別 子 として取 得 されます。 スタティック( 静 的 ) IPアドレスをローカルVPNエンドポイント とす
る場 合 は、 【 IPアドレス( IP Address) 】 を選 択 します。 あるいは、モバイルIPsecロードウォリア
のVPN IDとしてEメールアドレスを使 用 することもできます。
l
ホスト 名 (Hostname)： デフォルト 設 定 はゲート ウェイのホスト 名 です。 ただし、ここで他
のホスト 名 を入 力 することもできます。
l
Eメールアド レス(E-mail Address)： デフォルト ではゲート ウェイのadminアカウント のE
メールアドレスです。 ただし、ここで他 のEメールアドレスを入 力 することもできます。
l
IPアド レス(IP Address)： ゲート ウェイの外 部 インタフェースのIPアドレス。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。 設 定 を変 更 しても、RSA鍵 に変 化 はあり
ません。
422
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
ローカルRS A鍵 の再 生 成 ( Re - ge n e r a te L oc a l RS A Ke y )
新 しいRSA鍵 を生 成 するには、希 望 する鍵 サイズを選 択 し、 【適 用 ( Apply) 】 をクリックします。 こ
れにより、鍵 生 成 プロセスが開 始 します。選 択 した鍵 の長 さと使 用 しているハードウェアに応 じて、
処 理 には数 分 から最 大 2時 間 かかる場 合 があります。 鍵 サイズ( 鍵 の長 さ) は、1つの暗 号 で使
用 可 能 な鍵 の数 の尺 度 です。 長 さは通 常 、ビット で指 定 します。 次 の鍵 サイズがサポート され
ています。
l
1024 ビット
l
2048 ビット
l
4096 ビット
RSA鍵 を生 成 すると、適 切 な公 開 鍵 が【現 在 のローカル公 開 RSA鍵 ( Current Local Public
RSA Key) 】 ボックスに表 示 されます。 新 しいRSA鍵 を生 成 すると、古 い鍵 が上 書 きされます。
15.1.5詳 細
【サイト間 VPN( Site-to-site VPN) 】 >>【 IPsec 】 >>【詳 細 ( Advanced) 】 タブで、IPsecVPNの
詳 細 オプションを設 定 できます。 希 望 の認 証 タイプに応 じて、ローカル証 明 書 ( X.509認 証 の場
合 ) やローカルRSA鍵 ( RSA認 証 の場 合 ) などを定 義 可 能 です。 この設 定 は熟 練 ユーザのみが
行 ってください。
ASG V8 管 理 ガイド
423
15サイト 間 VPN
15.1IPsec
図 134 サイト 間 VPN IPsec：詳 細 設 定
ローカルX.5 0 9 証 明 書
X.509認 証 では、証 明 書 を使 用 してVPNエンドポイント の公 開 鍵 を検 証 します この認 証 タイプを
使 用 する場 合 は、 【ローカルX.509証 明 書 ( Local X.509 Certificate) 】 エリアのドロップダウンリ
スト からローカル証 明 書 を選 択 する必 要 があります。 選 択 した鍵 /証 明 書 は、X.509認 証 が選
択 された場 合 のリモート ピアへのゲート ウェイの認 証 に使 用 されます。
適 切 な秘 密 鍵 がある証 明 書 のみ選 択 できます。他 の証 明 書 はこのドロップダウンリスト では利 用
できません。
選 択 できる証 明 書 がない場 合 、新 しい証 明 書 を作 成 するか、またはアップロード機 能 を使 用 し
てインポート して、 【証 明 書 管 理 ( Certificate Management) 】 メニューで追 加 する必 要 がありま
す。
424
ASG V8 管 理 ガイド
15サイト 間 VPN
15.1IPsec
証 明 書 を選 択 したら、秘 密 鍵 を保 護 するパスフレーズを入 力 します。 パスフレーズは保 存 プロセ
スで確 認 され、パスフレーズが暗 号 化 鍵 と一 致 しない場 合 はエラーメッセージが表 示 されます。
アクティブな鍵 /証 明 書 を選 択 すると、それは【ローカルX.509証 明 書 ( Local X.509
Certificate) 】 エリアに表 示 されます。
デッド ピア検 出 ( D P D )
デッド ピア検 出 を使 用 (Use Dead Peer Detection)： デッドピア検 出 オプションを使 用 し
て、リモート VPNゲート ウェイあるいはクライアント に接 続 できない場 合 は接 続 を自 動 的 に終 了 しま
す。 スタティックエンドポイント との接 続 では、ト ンネルは自 動 的 に再 ネゴシエート されます。 ダイナ
ミックエンドポイント との接 続 では、リモート 側 でト ンネルの再 ネゴシエート を行 うことが必 要 です。
通 常 はこのオプションを常 に有 効 にしておくほうが安 全 です。 IPsecピアはリモート 側 がデッドピア
検 出 をサポート するかどうかを自 動 的 に判 断 し、必 要 に応 じて通 常 モードにフォールバックします。
NAT- T( NAT ト ラバーサル)
NATト ラバーサルを使 用 (Use NAT Traversal)： このオプションを選 択 すると、IPsecト ラフィッ
クは、 ネットワークアドレス変 換 ( NAT) を使 用 するアップスト リームシステムを通 過 できるようになり
ます。 さらに、NATト ラバーサルのキープアライブ( keepalive) 間 隔 を定 義 できます。設 定 を保 存
するには【適 用 ( Apply) 】 をクリックします。
C RL の取 り扱 い
証 明 書 のプロバイダが、まだ有 効 な証 明 書 に与 えられる承 認 を取 り消 す場 合 があるかもしれませ
ん。たとえば、証 明 書 の受 取 人 が不 正 なデータ( 名 前 など) を使 ってそれを不 正 に取 得 したことが
判 明 した場 合 や、証 明 書 に埋 め込 まれた公 開 鍵 の一 部 である秘 密 鍵 を攻 撃 者 が入 手 した場
合 は、証 明 書 が失 効 します。 そのような場 合 に備 えて、いわゆる証 明 書 取 り消 しリスト ( CRL) が
使 用 されます。 CRLには通 常 、依 然 として有 効 期 間 は残 っているものの無 効 とされた証 明 書 の
シリアル番 号 が含 まれています。
これらの有 効 期 限 が切 れると、証 明 書 は無 効 になり、ブロックリスト から削 除 されます。
自 動 フェッチ(Automatic Fetching)： この機 能 は、HTTP、Anonymous( 匿 名 ) FTP、また
はLDAPバージョン3を介 しパート ナー証 明 書 で定 義 されたURLを通 してCRLを要 求 します。 有 効
期 限 が切 れたら、要 求 によってCRLをダウンロードし、保 存 して更 新 できます。 この機 能 を、ポー
ト 80または443を経 由 せずに使 用 する場 合 は、適 切 なファイアウォールルールを設 定 して、CRL
配 布 サーバにアクセスできるようにしてください。
厳 格 なポリシ(Strict Policy)： このオプションを有 効 にすると、対 応 するCRLのないパート ナー
証 明 書 は拒 否 されます。
ASG V8 管 理 ガイド
425
15サイト 間 VPN
15.2SSL
事 前 共 有 鍵 プ ロービング
応 答 のみモードを使 用 したIPsec接 続 では、それぞれのIPsec接 続 に対 して別 々 の事 前 共 有
鍵 ( PSK) を使 用 することを選 択 できます。
事 前 共 有 鍵 のプロービングを有 効 にする(Enable probing of preshared keys)： このチ
ェックボックスにチェックを入 れて、このオプションを有 効 にします。 この設 定 は、L2TP-overIPsec、リモート アクセスIPsec、VPN IPsecの各 接 続 に影 響 を与 えます。
15.1.6デバッグ
【デバッグ( Debug) 】 タブでIKE デバッグオプションを設 定 できます。 どのタイプのIKEメッセージに
ついてデバッグ出 力 を作 成 するかはチェックボックスで選 択 します。
注 – 【デバッグ( Debug) 】 タブは、 【サイト間 VPN IPsec( Site-to-site VPN IPsec) 】 、 【リモート
アクセスIPsec( Remote Access IPsec) 】 、および【 Cisco VPN Client】 メニューで同 じものが
使 用 されています。
以 下 のフラグをログできます。
l
コント ロール(Control)： IKE ステート のコント ロールメッセージを表 示 します。
l
発 信 (Emitting)： 送 信 IKEメッセージのコンテンツを表 示 します。
l
構 文 解 析 (Parsing)： 受 信 IKEメッセージのコンテンツを表 示 します。
l
Raw： メッセージをrawバイト で表 示 します。
l
暗 号 化 (Crypt)： 暗 号 化 および復 号 化 のオペレーションを表 示 します。
15.2SSL
サイト 間 VPNト ンネルはSSL接 続 を介 して確 立 できます。 SSL VPN接 続 には明 確 な役 割 があり
ます。 ト ンネルエンドポイント はクライアント またはサーバとして機 能 します。 常 にクライアント が接 続
を開 始 し、サーバがクライアント の要 求 に応 答 します。 これは、通 常 は両 方 のエンドポイント が接
続 を開 始 できるIPsecとは対 照 的 です。
注 - 接 続 の確 立 に問 題 がある場 合 は、Webフィルタが透 過 モードで動 作 してSSLスキャンが
有 効 になっているかどうかを確 認 してください。 HTTPプロキシが透 過 モードで動 作 してSSLスキ
426
ASG V8 管 理 ガイド
15サイト 間 VPN
15.2SSL
ャンが有 効 になっている場 合 は、VPN接 続 のターゲット ホスト が【透 過 モードスキップリス
ト ( Transparent Mode Skiplist) 】 ( 【 Web セキュリティ( Web Security) 】 >>【 Web フィルタリ
ング( Web Filtering) 】 >>【詳 細 ( Advanced) 】 の下 ) に追 加 されていることを確 認 してくださ
い。
15.2.1接 続
SSLVPNサイト 間 ト ンネルを作 成 するには、最 初 にサーバ設 定 を作 成 することが必 要 です。 クライ
アント の設 定 は、常 に2番 目 のステップで行 います。
図 135 サイト 間 SSL VPN：サーバ接 続 の設 定
サーバ設 定 を作 成 するには、以 下 の手 順 に従 います。
1. 【コネクション(Connections)】 タブで、 【新 規 SSLコネクション(New SSL
Connection)】 をクリックします。
【 SSL接 続 の追 加 ( Add SSL Connection) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
接 続 タイプ(Connection Type)： ドロップダウンリスト から【サーバ( Server) 】 を選 択 し
ます。
接 続 名 (Connection Name)： 接 続 を説 明 する名 前 を入 力 します。
ASG V8 管 理 ガイド
427
15.2SSL
15サイト 間 VPN
スタティック仮 想 IPアド レスを使 用 ( オプション) ：このオプションは、IPアドレスプールがクライ
アント のネット ワーク環 境 と互 換 でない場 合 のみ選 択 します。デフォルト では、クライアント に
は仮 想 IPプール( Vertual IP Pool)(【設 定 ( Settings) 】 タブで設 定 ) からIPアドレスが割 り
当 てられます。 まれに、そのようなIPアドレスがクライアント ホスト ですでに使 用 されている場
合 があります。 そのような場 合 は、 【スタティックピアIP( Static Peer IP) 】 フィールドに適 切
なIPアドレスを入 力 します。このIPアドレスは、ト ンネルセット アップ時 にクライアント に割 り当
てられます。
ローカルネット ワーク(Local Networks)： リモート からのアクセスを許 可 する1つ以 上 の
ローカルネット ワークを追 加 します。
リモート ネット ワーク(Remote Networks)： ローカルネット ワークへの接 続 を許 可 する1
つ以 上 のリモート ネット ワークを追 加 します。
注 -【ローカルネットワーク( Local Networks) 】 と【リモートネットワーク( Remote
Networks) 】 の設 定 は、後 でクライアント の設 定 をやり直 さずに変 更 できます。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ：有 効 にする
と、ASGは、アクセスするすべてのSSL VPNクライアント に対 し、選 択 されたローカルネット
ワークへのアクセスを自 動 的 に許 可 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいSSLサーバ接 続 が【接 続 ( Connections) 】 リスト に表 示 されます。
4. 設 定 ファイルをダウンロード します。
新 しく作 成 したSSLサーバ接 続 の行 にある【ダウンロード ( Download) 】 ボタンを使 用 して、
この接 続 のクライアント 設 定 ファイルをダウンロードします。
設 定 ファイルの暗 号 化 (Encrypt Configuration File)( オプション) ：セキュリティのた
めに設 定 ファイルを暗 号 化 することをお勧 めします。 パスワードを2回 入 力 します。
【ピア設 定 のダウンロード ( Download Peer Config) 】 クリックしてファイルを保 存 します。
このファイルは、クライアント 側 の管 理 者 がト ンネルのクライアント エンドポイント をセット アップ
する際 に必 要 になります。
次 のステップはクライアント の設 定 で、これはサーバ側 ではなくクライアント 側 で行 います。 ダウン
ロードしたクライアント 設 定 ファイルが手 元 にあることを確 認 してください。
428
ASG V8 管 理 ガイド
15サイト 間 VPN
15.2SSL
図 136 サイト 間 SSL VPN：クライアント 接 続 の設 定
クライアント 設 定 を作 成 するには、以 下 の手 順 に従 います。
1. 【コネクション(Connections)】 タブで、 【新 規 SSLコネクション(New SSL
Connection)】 をクリックします。
【 SSL接 続 の追 加 ( Add SSL Connection) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
接 続 タイプ(Connection Type)： ドロップダウンリスト から【クライアント ( Client) 】 を選 択
します。
接 続 名 (Connection Name)： 接 続 を説 明 する名 前 を入 力 します。
設 定 ファイル(Configuration File)： フォルダアイコンをクリックし、クライアント 設 定 ファイ
ルを探 して【保 存 ( Save) 】 をクリックします。
パスワード (Password)( オプション) ：ファイルが暗 号 化 されている場 合 は、パスワードを
入 力 します。
HTTPプロキシサーバを使 用 (Use HTTP Proxy Server)( オプション) ：クライアント が
プロキシの背 後 にある場 合 は、このチェックボックスにチェックを入 れ、プロキシの設 定 を入 力
します。
ASG V8 管 理 ガイド
429
15サイト 間 VPN
15.2SSL
プロキシ認 証 を使 用 (Use Proxy Authentication)( オプション) ：プロキシに
対 するクライアント の認 証 が必 要 な場 合 は、このチェックボックスにチェックを入 れ、
ユーザ名 とパスワードを入 力 します。
ピアホスト 名 を無 効 にする(Override Peer Hostname)( オプション) ：サーバシステム
の通 常 のホスト 名 ( またはDynDNSホスト 名 ) をクライアント ホスト で解 決 できない場 合 は、
このチェックボックスにチェックを入 れ、ホスト 名 をここに入 力 します。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ：有 効 にする
と、ASGは、ト ンネル化 ローカルネット ワークとト ンネル化 リモート ネット ワーク上 のホスト 間 の
ト ラフィックを自 動 的 に許 可 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいSSL VPNクライアント 接 続 が【接 続 ( Connections) 】 リスト に表 示 されます。
クライアント 接 続 を編 集 または削 除 するには、対 応 するボタンをクリックします。
【サイト間 VPN( Site-to-site VPN) 】 メニューをクリックすると、概 要 ページにSSL VPN接 続 のス
テータスが表 示 されます。 接 続 が確 立 すると、ステータスアイコンが緑 色 に変 わります。 その後 、ト
ンネル両 側 の相 互 接 続 されたサブネット に関 する情 報 も利 用 できるようになります。
15.2.2設 定
【 SSL】 >> 【設 定 ( Settings) 】 タブで、SSL VPNサーバ接 続 の基 本 設 定 を設 定 できます。
注 – このタブは【サイト間 VPN( Site-to-site VPN) 】 >> 【 SSL】 および【リモートアクセ
ス( Remote Access) 】 >> 【 SSL】 で同 じです。 ここで加 えた変 更 は、常 に両 方 のSSL設 定 に
影 響 を与 えます。
430
ASG V8 管 理 ガイド
15サイト 間 VPN
15.2SSL
図 137 サイト 間 SSL VPN：設 定
【 サーバ設 定 ( S e r v e r S e tti n gs ) 】
SSLVPN接 続 について以 下 の設 定 を行 うことができます。
l
インタフェースアド レス(Interface Address)： デフォルト は【すべて( Any) 】 です。 Web
アプリケーションファイアウォールを使 用 する場 合 、サービスがSSL接 続 をリスンするためのイ
ンタフェースアドレスを指 定 する必 要 があります。 サイト 間 /リモート アクセスSSL接 続 ハンド
ラとWebアプリケーションファイアウォールが受 信 SSL接 続 を識 別 できるようにするために、こ
の設 定 が必 要 です。
l
プロト コル(Protocol)： 使 用 するプロト コルを選 択 します。TCPまたはUDPを選 択 できま
す。
l
ポート (Port)： ポート を変 更 できます。 デフォルト のポート は443です。 ポー
ト 10443、ACCゲート ウェイマネージャポート 4422、またはWebAdminインタフェースが使 用
しているポート は使 用 できません。
l
ホスト 名 を上 書 き(Override Hostname)： 【ホスト名 を上 書 き( Override
Hostname) 】 ボックスの値 は、クライアント VPN接 続 のターゲット ホスト 名 として使 用 され、
デフォルト ではゲート ウェイのホスト 名 になります。 システムの通 常 のホスト 名 ( また
はDynDNSホスト 名 ) にこの名 前 でインターネット から到 達 できない場 合 のみ、デフォルト を
変 更 します。
ASG V8 管 理 ガイド
431
15.2SSL
15サイト 間 VPN
仮 想 I P プール( Vi r tu a l I P P ool )
プールネット ワーク(Pool Network)： これは、特 定 のIP範 囲 からSSLクライアント にIPアドレスを
配 布 するために使 用 される仮 想 IPアドレスプールです。 デフォルト では、 【 VPNプール( SSL) ( VPN
Pool (SSL)) 】 が選 択 されています。 別 のアドレスプールを選 択 する場 合 は、ネット マスクを29ビッ
ト 以 下 にする必 要 があります。この理 由 は、OpenVPNはネット マスクが/30、/31、または/32のア
ドレスプールを扱 えないからです。
C Nを コピー( D u pl i c a te C N)
ユーザが異 なるIPアドレスから同 時 に接 続 できるようにする場 合 は、 【ユーザー毎 の複 数 同 時 接
続 を許 可 ( Allow Multiple Concurrent Connections Per User) 】 を選 択 します。 無 効 にする
と、ユーザあたり1つの同 時 SSL VPN接 続 のみが可 能 になります。
15.2.3詳 細
【 SSL】 >> 【詳 細 ( Advanced) 】 タブで、暗 号 化 設 定 、圧 縮 設 定 、デバッグ設 定 など、各 種 の
高 度 なサーバオプションを設 定 できます。
注 – このタブは【サイト間 VPN( Site-to-site VPN) 】 >> 【 SSL】 および【リモートアクセ
ス( Remote Access) 】 >> 【 SSL】 で同 じです。 ここで加 えた変 更 は、常 に両 方 のSSL 設 定
に影 響 を与 えます。
432
ASG V8 管 理 ガイド
15サイト 間 VPN
15.2SSL
図 138 サイト 間 SSL VPN：詳 細 設 定
【 暗 号 設 定 ( C r y ptogr a ph i c S e tti n gs ) 】
これらの設 定 で、すべてのSSLVPN リモート アクセスクライアント の暗 号 化 パラメータを制 御 しま
す。
l
l
暗 号 化 アルゴリズム(Encryption Algorithm)： 暗 号 化 アルゴリズムは、VPNト ンネル
を通 して送 信 されるデータの暗 号 化 に使 用 するアルゴリズムを指 定 します。 以 下 のアルゴ
リズムがサポート されています。これらはすべて暗 号 ブロック連 鎖 ( Cipher Block
Chaining) ( CBC) モードで動 作 します。
l DES-EDE3-CBC
l
AES-128-CBC( 128ビット )
l
AES-192-CBC( 192ビット )
l
AES-256-CBC( 256ビット )
l
BF-CBC( Blowfish( 128ビット ) )
認 証 アルゴリズム(Authentication Algorithm)： 認 証 アルゴリズムは、VPNト ンネル
を通 して送 信 されるデータの完 全 性 チェックに使 用 するアルゴリズムを指 定 します。 以 下 の
アルゴリズムがサポート されています。
l MD5( 128ビット )
l
SHA -1( 160ビット )
ASG V8 管 理 ガイド
433
15.3証 明 書 管 理
15サイト 間 VPN
l
鍵 サイズ(Key Size)： 鍵 サイズ( 鍵 の長 さ) とは、Diffie-Hellman鍵 交 換 の長 さです。
鍵 が長 ければ長 いほど、対 称 鍵 はセキュアになります。 長 さはビット 単 位 で指 定 します。
1024ビット または2048ビット の鍵 サイズを選 択 できます。
l
サーバ証 明 書 (Server Certificate)： SSL VPNサーバがクライアント に対 して自 らの身
元 を証 明 するために使 用 するローカルSSL証 明 書 を選 択 します。
l
鍵 の有 効 期 限 ： 鍵 の有 効 期 限 を入 力 します。 デフォルト は28,800秒 です。
圧 縮 設 定 ( C om pr e s s i on S e tti n gs )
SSL VPNト ラフィックを圧 縮 (Compress SSL VPN Traffic)： 有 効 にすると、SSL VPNト ン
ネルを通 して送 信 されるすべてのデータは、暗 号 化 の前 に圧 縮 されます。
デバッグ設 定 ( D e bu g S e tti n gs )
デバッグモード を有 効 化 (Enable Debug Mode)： デバッグモードを有 効 にすると、デバッグに
役 立 つ多 くの情 報 がSSL VPNログファイルに含 まれます。
15.3証明書管理
【サイト間 VPN( Site-to-site VPN) 】 >>【証 明 書 管 理 ( Certificate Management) 】 メニュー
は、Astaro Security Gatewayの認 証 関 連 のあらゆる操 作 を一 元 管 理 する場 所 です。たとえ
ば、X.509証 明 書 の作 成 またはインポート や、CRL( 証 明 書 失 効 リスト ) のアップロードなどを行 う
ことができます。
15.3.1証 明 書
【サイト間 VPN( Site-to-site VPN) 】 >> 【証 明 書 管 理 ( Certificate Management) 】 >> 【
証 明 書 ( Certificates) 】 タブで、X.509標 準 形 式 で公 開 鍵 証 明 書 を作 成 またはインポート でき
ます。こうした証 明 書 はデジタル署 名 された説 明 書 で、通 常 は認 証 局 ( CA) が公 開 鍵 およ
びX.500表 記 法 による特 定 の識 別 名 ( DN) とともに発 行 します。
このタブで作 成 するすべての証 明 書 は認 証 局 ( CA) によって自 己 署 名 されます。このCA
は、WebAdminインタフェースへの初 回 ログイン時 に提 供 した情 報 を使 用 して自 動 的 に作 成 され
たものです。
434
ASG V8 管 理 ガイド
15サイト 間 VPN
15.3証 明 書 管 理
図 139 証 明 書 管 理 ：証 明 書 のリスト
証 明 書 を生 成 するには、以 下 の手 順 に従 います。
1. 【証 明 書 (Certificates)】 タブで、 【新 規 証 明 書 (New Certificate)】 をクリックしま
す。
【証 明 書 の追 加 ( Add Certificate) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この証 明 書 を説 明 する名 前 を入 力 します。
方 式 (Method)： 証 明 書 を作 成 するには、 【生 成 ( Generate) 】 を選 択 します( 証 明 書
のアップロードに関 する詳 細 は、以 下 を参 照 してください) 。
次 の情 報 を指 定 します。
l
l
VPN IDタイプ(VPN ID Type)： 証 明 書 には一 意 の識 別 子 を定 義 する必 要 が
あります。 以 下 のタイプの識 別 子 を使 用 できます。
l Eメールアドレス( Email Address)
l
ホスト 名 ( Hostname)
l
IP アドレス( IPアドレス)
l
識 別 名 ( Distinguished Name)
VPN ID： 選 択 したVPNID タイプに応 じて、このテキスト ボックスに適 切 な値 を入 力
します。 たとえば、 【 VPN IDタイプ( VPN ID Type) 】 リスト から【 IPアドレス( IP
Address) 】 を選 択 した場 合 、このテキスト ボックスにIPアドレスを入 力 します。 【 VPN
ASG V8 管 理 ガイド
435
15.3証 明 書 管 理
15サイト 間 VPN
IDタイプ( VPN ID Type) 】 リスト から【識 別 名 ( Distinguished Name) 】 を選 択 し
た場 合 は、このテキスト ボックスは非 表 示 になります。
ドロップダウンリスト および【国 ( Country) 】 から【 Eメール( Email) 】 までのテキスト ボッ
クスを使 用 して、証 明 書 の所 持 者 を特 定 する情 報 を入 力 します。 この情 報 は【識
別 名 ( Distinguished Name) 】 を作 成 するために使 用 されます。つまり、その公 開
鍵 を証 明 書 が識 別 する団 体 の名 前 になります。 この名 前 はX.500標 準 の多 数 の
個 人 情 報 を含 み、インターネット 上 で一 意 であると想 定 されます。 証 明 書 がロード
ウォリア接 続 用 である場 合 は、 【一 般 名 ( Common Name) 】 ボックスにユーザ名 を
入 力 します。 証 明 書 がホスト 用 である場 合 は、ホスト 名 を入 力 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
証 明 書 が【証 明 書 ( Certificates) 】 リスト に表 示 されます。
証 明 書 を削 除 するには、それぞれの証 明 書 の【削 除 ( Delete) 】 ボタンをクリックします。
または、証 明 書 をアップロードするには、以 下 の手 順 に従 います。
1. 【証 明 書 (Certificates)】 タブで、 【新 規 証 明 書 (New Certificate)】 をクリックしま
す。
【証 明 書 の追 加 ( Add Certificate) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： この証 明 書 を説 明 する名 前 を入 力 します。
方 式 (Method)： 【アップロード ( Upload) 】 を選 択 します。
ファイルタイプ(File Type)： 証 明 書 のファイルタイプを選 択 します。 以 下 のいずれかのタ
イプの証 明 書 をアップロードできます。
l
PKCS#12 コンテナ(PKCS#12 Container)： PKCSは、RSAラボラト リにより
考 案 され公 開 された公 開 鍵 暗 号 標 準 ( Public Key Cryptography
Standards) ( PKCS) のグループです。PKCS#12ファイル形 式 は一 般 的 に、秘 密 鍵
を公 開 鍵 証 明 書 とともにコンテナのパスフレーズで保 護 して保 存 するために使 用 され
ます。 この形 式 のファイルをアップロードするには、このコンテナパスフレーズを知 ってい
ることが必 要 です( 確 認 のためにパスフレーズを2回 入 力 します) 。
l
PEMエンコード (PEM encoded)： パスワード不 要 のBase64エンコードのプライバ
シ強 化 メール( PEM) ファイル形 式 。
ファイル(File)： 【ファイル( File) 】 ボックスの隣 りのフォルダアイコンをクリックし、アップロードす
る証 明 書 を選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
436
ASG V8 管 理 ガイド
15サイト 間 VPN
15.3証 明 書 管 理
3. 【保 存 (Save)】 をクリックします。
証 明 書 が【証 明 書 ( Certificates) 】 リスト に表 示 されます。
証 明 書 を削 除 するには、それぞれの証 明 書 の【削 除 ( Delete) 】 ボタンをクリックします。
証 明 書 はPKCS#12またはPEM形 式 でダウンロードできます。PEMファイルは証 明 書 だけを含 みま
す。一 方 PKCS#12ファイルは、秘 密 鍵 と署 名 に使 用 されたCA証 明 書 を含 んでいます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
15.3.2認 証 局
【サイト間 VPN( Site-to-site VPN) 】 >> 【証 明 書 管 理 ( Certificate Management) 】 >> 【
認 証 局 ( Certificate Authority) 】 タブで、ユニット に新 しい認 証 局 を追 加 できます。一 般 的 に、
認 証 局 ( CA) は、他 のパーティが使 用 するデジタル証 明 書 を発 行 する機 関 です。 CAは、証 明
書 に含 まれる公 開 鍵 が、その証 明 書 に記 載 された人 、組 織 、ホスト 、あるいは他 のエンティティに
属 することを、CA自 身 の証 明 書 の秘 密 鍵 を使 って証 明 書 の署 名 要 求 に署 名 することで証 明 し
ます。このため、そのようなCAは署 名 CAと呼 ばれます。
ASGでは、署 名 CAは、ASGへの最 初 のログイン時 に提 供 した情 報 を使 って自 動 的 に作 成 されま
す。このように、 【証 明 書 ( Certificates) 】 タブで作 成 するすべての証 明 書 は、自 己 署 名 の証 明
書 です。つまり、発 行 者 と対 象 は同 じになります。 代 わりに、サードパーティベンダの署 名 CAをイン
ポート することもできます。 さらに、IPsec 接 続 を要 求 するホスト やユーザの真 正 性 を確 認 する際
に、秘 密 鍵 が不 明 な別 のCA証 明 書 を使 用 することもできます。これらのCA証 明 書 は確 認 CAと
呼 ばれ、このタブで追 加 できます。
重 要 - お使 いのシステムに複 数 の確 認 CAを持 つことができますが、署 名 CAは1つだけしか持 つ
ことができません。 新 しい署 名 CAをアップロードすると、以 前 インスト ールされた署 名 CAは自 動
的 に確 認 CAになります。
ASG V8 管 理 ガイド
437
15.3証 明 書 管 理
15サイト 間 VPN
図 140 証 明 書 管 理 ：認 証 局 リスト
CAをインポート するには、以 下 の手 順 に従 います。
1. 【認 証 局 (Certificate Authority)】 タブで、 【 CAをインポート (Import CA)】 をクリッ
クします。
【 CAをインポート ( Import CA) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このCAを説 明 する名 前 を入 力 します。
タイプ(Type)： インポート するCAのタイプを選 択 します。 確 認 CAと署 名 CAのいずれかを
選 択 できます。 確 認 CAはPEM形 式 で、署 名 CAはPKCS#12形 式 で利 用 できます。
CA証 明 書 (CA Certificate)： 【 CA証 明 書 ( CA Certificate) 】 ボックスの隣 りのフォルダ
アイコンをクリックして、インポート する証 明 書 を選 択 します。 新 しい署 名 CAをアップロードす
る場 合 は、PKCS#12コンテナに使 用 されていたパスワードを入 力 する必 要 があります。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいCA証 明 書 が【認 証 局 ( Certificate Authority) 】 リスト に表 示 されます。
CAを削 除 するには、それぞれのCAの【削 除 ( Delete) 】 ボタンをクリックします。
署 名 CAはPKCS#12形 式 でダウンロードできます。 次 にパスワードの入 力 を促 すプロンプト が表 示
されます。このパスワードを使 用 してPKCS#12コンテナのセキュリティが保 護 されます。 また、確
認 CAはPEM形 式 でダウンロードできます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
438
ASG V8 管 理 ガイド
15サイト 間 VPN
15.3証 明 書 管 理
15.3.3失 効 リスト
CRLは、失 効 したために使 用 できない証 明 書 ( 正 確 にはシリアル番 号 ) のリスト です。 【サイト
間 VPN( Site-to-site VPN) 】 >> 【証 明 書 管 理 ( Certificate Management) 】 >> 【失 効 リス
ト ( CRL) ( Revocation Lists (CRLs)) 】 タブで、PKIで使 用 しているCRLをアップロードできます。
図 141 証 明 書 管 理 ：失 効 リスト ( CRL) の一 覧
CRLをアップロードするには、以 下 の手 順 に従 います。
1. 【失 効 リスト (CRL)(Revocation Lists (CRLs))】 タブで、 【 CRLをアップロー
ド (Upload CRL)】 をクリックします。
【 CRLをアップロード ( Upload CRL) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このCRLを説 明 する名 前 を入 力 します。
CRLファイル(CRL File)： 【 CRLファイル( CRL File) 】 ボックスの隣 りのフォルダアイコンをクリ
ックし、アップロードするCRLを選 択 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいCRLが失 効 リスト の一 覧 に表 示 されます。
CRLを削 除 するには、それぞれのCRLの【削 除 ( Delete) 】 ボタンをクリックします。
15.3.4詳 細
【サイト間 VPN( Site-to-site VPN) 】 >> 【証 明 書 管 理 ( Certificate Management) 】 >> 【
詳 細 ( Advanced) 】 タブで、ユニット の初 期 セット アップ時 に作 成 されたVPN署 名 CAを再 生 成 で
きます。 VPN署 名 CAは、リモート アクセスやサイト 間 VPN接 続 に使 用 されるデジタル証 明 書 に署
名 する認 証 局 です。
ASG V8 管 理 ガイド
439
15.3証 明 書 管 理
15サイト 間 VPN
署 名 C Aの再 生 成 ( Re - ge n e r a te S i gn i n g C A)
現 在 の署 名 CAを使 用 してすべてのユーザ証 明 書 を更 新 できます。 この機 能 は【認 証
局 ( Certificate Authority) 】 タブで別 のVPN署 名 CAをインスト ールしたときに使 用 します。
図 142 証 明 書 管 理 ：詳 細 設 定
440
ASG V8 管 理 ガイド
16リモート アクセス
この章 では、当 製 品 のリモート アクセス設 定 の構 成 方 法 について説 明 します。 Astaro Security
Gateway.Astaro Security Gatewayを使 用 したリモート アクセスは、Virtual Private
Network( VPN) によって実 現 します。VPNは、テレコミューティング従 業 員 などのリモート ユーザに
企 業 ネット ワークへのアクセスを提 供 するためのセキュアでコスト 効 果 の高 い方 法 です。 VPN
はIPsec およびPPTP などの暗 号 化 ト ンネリングプロト コルを使 用 して、VPNで伝 送 されるデータの
機 密 性 とプライバシを保 護 します。
クロスリファレンス - リモート アクセスVPN接 続 の設 定 方 法 の詳 細 は、Astaroナレッジベース を
参 照 してください( 「 ASG 「バージョン7」 >>「 Astaroマニュアルおよびガイド」 の順 にアクセスしま
す) 。
ASGは、それぞれのリモート アクセス接 続 タイプに必 要 なインスト ールおよび設 定 ファイルを自 動 的
に生 成 します。 これらのファイルはユーザポータルから直 接 ダウンロードできます。 ただし、ユーザに
は、使 用 可 能 な接 続 タイプに対 応 するファイルのみが提 供 されます。たとえば、SSLリモート アクセ
スを使 用 できるユーザには、SSLインスト ールファイルのみが提 供 されます。
図 143 ユーザポータル：リモート アクセスインスト ールファイル
【リモートアクセスステータス( Remote Access Status) 】 ページには、全 オンラインユーザの概 要
が含 まれます。
この章 には次 のト ピックが含 まれます。
16.1SSL
l
SSL
l
PPTP
l
L2TP over IPsec
l
IPsec
l
Cisco VPN Client
l
詳細
l
証明書管理
16リモート アクセス
16.1SSL
Astaro Security Gatewayのリモート アクセスSSL機 能 は、フル機 能 のSSLVPNソリューションで
ある OpenVPNによって実 現 します。 これにより、お客 様 の会 社 とリモート 従 業 員 の間 でポイント
ツーポイント の暗 号 化 ト ンネルを作 成 することが可 能 になります。この機 能 では、インターネット リ
ソースへのアクセスを許 可 するために、SSL証 明 書 およびユーザ名 /パスワードの組 み合 わせを必
要 とします。 さらに、許 可 された各 ユーザは、セキュアなユーザポータルから、カスタマイズされ
たSSL VPNクライアント ソフト ウェアバンドルをダウンロードできます。 このバンドルには、無 料 のSSL
VPNクライアント 、SSL証 明 書 、および簡 単 なワンクリックでインスト ールできる設 定 が含 まれてい
ます。 このSSL VPNクライアント は、ネイティブOutlook、ネイティブWindowsファイル共 有 などの
ほとんどのビジネスアプリケーションをサポート しています。
クロスリファレンス - SSL VPNクライアント の使 用 方 法 に関 する詳 細 はAstaroナレッジベース を
参 照 してください( 「 ASG 「バージョン7」 >>「 Astaroマニュアルおよびガイド」 の順 にアクセスしま
す) 。
16.1.1グローバル
【リモートアクセス( Remote Access) 】 >>【 SSL】 >>【グローバル( Global) 】 タブで、VPNアクセス
の基 本 的 な設 定 を構 成 できます。 デフォルト で、Astaro Security GatewayのSSLVPNソリュー
ションは、スプリット ト ンネリングを採 用 しています。これは、リモート VPNユーザにVPN上 のリソース
へのアクセスを許 可 すると同 時 に、インターネット などのパブリックネット ワークへのアクセスを許 可 す
るプロセスです。 ただし、以 下 の【ローカルネットワーク( Local Networks) 】 フィールドで 【すべ
て( Any】 を選 択 すると、スプリット ト ンネリングをバイパスできます。 その結 果 、すべてのト ラフィック
がVPN SSLト ンネル経 由 でルーティングされます。 この場 合 、ユーザにパブリックネット ワークへのア
クセスを許 可 するかどうかは、ファイアウォールの設 定 によって決 まります。
442
ASG V8 管 理 ガイド
16リモート アクセス
16.1SSL
図 144 リモート アクセスSSL：SSLリモート アクセスの有 効 化
グローバルSSL VPNオプションを設 定 するには、以 下 の手 順 に従 います。
1. 【グローバル(Global)】 タブで、SSLリモート アクセスを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり、 【リモートアクセス設 定 ( Remote Access
Settings) 】 エリアが編 集 可 能 になります。
2. 次 の設 定 を行 います。
ユーザとグループ(Users and Groups)： SSL VPNリモート アクセスを使 用 できるように
するユーザとユーザグループを選 択 します。 ユーザまたはユーザグループを指 定 しない
と、SSLリモート アクセスを有 効 にできません。
注 -ユーザポータルのSSL VPNクライアント ソフト ウェアバンドルは、 【ユーザとグルー
プ( Users and Groups) 】 ボックスで選 択 され、 なおかつASGにユーザ定 義 があるユーザ
のみが使 用 できます( 「定 義 およびユーザおよびグループ」 >>「ユーザ」 を参 照 ) 。 ただ
し、これらのユーザも、ユーザポータルへはアクセスできます。
ローカルネット ワーク(Local Networks)： SSLクライアント に到 達 可 能 にするローカルネ
ット ワークを選 択 します。
ASG V8 管 理 ガイド
443
16リモート アクセス
16.1SSL
自 動 ファイアウォールルール(Auto Firewall Rules)： 必 要 なファイアウォールルールを
自 動 的 に作 成 するには、このオプションを選 択 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ライブ ログを 開 く ( Ope n L i v e L og) ：
【 VPNライブログを開 く( Open VPN Live Log) 】 は、リモート アクセスアクティビティをログします。 ボ
タンをクリックして、新 しいウィンドウでライブログを開 きます。
16.1.2設 定
【 SSL】 >> 【設 定 ( Settings) 】 タブで、SSL VPNサーバ接 続 の基 本 設 定 を設 定 できます。
注 – このタブは【サイト間 VPN( Site-to-site VPN) 】 >> 【 SSL】 および【リモートアクセ
ス( Remote Access) 】 >> 【 SSL】 で同 じです。 ここで加 えた変 更 は、常 に両 方 のSSL設 定 に
影 響 を与 えます。
図 145 リモート アクセスSSL：設 定
444
ASG V8 管 理 ガイド
16リモート アクセス
16.1SSL
【 サーバ設 定 ( S e r v e r S e tti n gs ) 】
SSLVPN接 続 について以 下 の設 定 を行 うことができます。
l
インタフェースアド レス(Interface Address)： デフォルト は【すべて( Any) 】 です。 Web
アプリケーションファイアウォールを使 用 する場 合 、サービスがSSL接 続 をリスンするためのイ
ンタフェースアドレスを指 定 する必 要 があります。 サイト 間 /リモート アクセスSSL接 続 ハンド
ラとWebアプリケーションファイアウォールが受 信 SSL接 続 を識 別 できるようにするために、こ
の設 定 が必 要 です。
l
プロト コル(Protocol)： 使 用 するプロト コルを選 択 します。TCPまたはUDPを選 択 できま
す。
l
ポート (Port)： ポート を変 更 できます。 デフォルト のポート は443です。 ポー
ト 10443、ACCゲート ウェイマネージャポート 4422、またはWebAdminインタフェースが使 用
しているポート は使 用 できません。
l
ホスト 名 を上 書 き(Override Hostname)： 【ホスト名 を上 書 き( Override
Hostname) 】 ボックスの値 は、クライアント VPN接 続 のターゲット ホスト 名 として使 用 され、
デフォルト ではゲート ウェイのホスト 名 になります。 システムの通 常 のホスト 名 ( また
はDynDNSホスト 名 ) にこの名 前 でインターネット から到 達 できない場 合 のみ、デフォルト を
変 更 します。
仮 想 I P プール( Vi r tu a l I P P ool )
プールネット ワーク(Pool Network)： これは、特 定 のIP範 囲 からSSLクライアント にIPアドレスを
配 布 するために使 用 される仮 想 IPアドレスプールです。 デフォルト では、 【 VPNプール( SSL) ( VPN
Pool (SSL)) 】 が選 択 されています。 別 のアドレスプールを選 択 する場 合 は、ネット マスクを29ビッ
ト 以 下 にする必 要 があります。この理 由 は、OpenVPNはネット マスクが/30、/31、または/32のア
ドレスプールを扱 えないからです。
C Nを コピー( D u pl i c a te C N)
ユーザが異 なるIPアドレスから同 時 に接 続 できるようにする場 合 は、 【ユーザー毎 の複 数 同 時 接
続 を許 可 ( Allow Multiple Concurrent Connections Per User) 】 を選 択 します。 無 効 にする
と、ユーザあたり1つの同 時 SSL VPN接 続 のみが可 能 になります。
16.1.3詳 細
【 SSL】 >> 【詳 細 ( Advanced) 】 タブで、暗 号 化 設 定 、圧 縮 設 定 、デバッグ設 定 など、各 種 の
高 度 なサーバオプションを設 定 できます。
ASG V8 管 理 ガイド
445
16リモート アクセス
16.1SSL
注 – このタブは【サイト間 VPN( Site-to-site VPN) 】 >> 【 SSL】 および【リモートアクセ
ス( Remote Access) 】 >> 【 SSL】 で同 じです。 ここで加 えた変 更 は、常 に両 方 のSSL 設 定
に影 響 を与 えます。
図 146 リモート アクセスSSL：詳 細 設 定
【 暗 号 設 定 ( C r y ptogr a ph i c S e tti n gs ) 】
これらの設 定 で、すべてのSSLVPN リモート アクセスクライアント の暗 号 化 パラメータを制 御 しま
す。
l
446
暗 号 化 アルゴリズム(Encryption Algorithm)： 暗 号 化 アルゴリズムは、VPNト ンネル
を通 して送 信 されるデータの暗 号 化 に使 用 するアルゴリズムを指 定 します。 以 下 のアルゴ
リズムがサポート されています。これらはすべて暗 号 ブロック連 鎖 ( Cipher Block
Chaining) ( CBC) モードで動 作 します。
l DES-EDE3-CBC
l
AES-128-CBC( 128ビット )
l
AES-192-CBC( 192ビット )
l
AES-256-CBC( 256ビット )
l
BF-CBC( Blowfish( 128ビット ) )
ASG V8 管 理 ガイド
16リモート アクセス
l
16.2PPTP
認 証 アルゴリズム(Authentication Algorithm)： 認 証 アルゴリズムは、VPNト ンネル
を通 して送 信 されるデータの完 全 性 チェックに使 用 するアルゴリズムを指 定 します。 以 下 の
アルゴリズムがサポート されています。
l MD5( 128ビット )
l
SHA -1( 160ビット )
l
鍵 サイズ(Key Size)： 鍵 サイズ( 鍵 の長 さ) とは、Diffie-Hellman鍵 交 換 の長 さです。
鍵 が長 ければ長 いほど、対 称 鍵 はセキュアになります。 長 さはビット 単 位 で指 定 します。
1024ビット または2048ビット の鍵 サイズを選 択 できます。
l
サーバ証 明 書 (Server Certificate)： SSL VPNサーバがクライアント に対 して自 らの身
元 を証 明 するために使 用 するローカルSSL証 明 書 を選 択 します。
l
鍵 の有 効 期 限 ： 鍵 の有 効 期 限 を入 力 します。 デフォルト は28,800秒 です。
圧 縮 設 定 ( C om pr e s s i on S e tti n gs )
SSL VPNト ラフィックを圧 縮 (Compress SSL VPN Traffic)： 有 効 にすると、SSL VPNト ン
ネルを通 して送 信 されるすべてのデータは、暗 号 化 の前 に圧 縮 されます。
デバッグ設 定 ( D e bu g S e tti n gs )
デバッグモード を有 効 化 (Enable Debug Mode)： デバッグモードを有 効 にすると、デバッグに
役 立 つ多 くの情 報 がSSL VPNログファイルに含 まれます。
16.2PPTP
PPTP( Point-to-Point Tunneling Protocol) により、単 一 のインターネット ベースのホスト は、暗
号 化 ト ンネルを通 して内 部 ネット ワークサービスにアクセスすることが可 能 になります。 PPTPの設
定 は容 易 で、Microsoft Windowsシステムでは特 別 なクライアント ソフト ウェアは必 要 ありませ
ん。
PPTPはWindows 95 以 降 のMicrosoft Windowsバージョンに含 まれています。 PPTP
をAstaro Security Gatewayで使 用 するには、クライアント コンピュータがMSCHAPv2認 証 プロト
コルをサポート することが必 要 です。 Windows 95および98のユーザがこのプロト コルをサポート
するには、システムに更 新 パッケージを適 用 する必 要 があります。
ASG V8 管 理 ガイド
447
16リモート アクセス
16.2PPTP
16.2.1グローバル
図 147 PPTPリモート アクセス：PPTPリモート アクセスの有 効 化
グローバルPPTP オプションを設 定 するには、以 下 の手 順 に従 います。
1. 【グローバル(Global)】 タブで、PPTPリモート アクセスを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり【メイン設 定 ( Main Settings) 】 エリアが編 集 可 能
になります。
2. 次 の設 定 を行 います。
次 を使 用 して認 証 (Authentication via)： 認 証 メカニズムを選 択 します。 PPTPリ
モート アクセスは、ローカルおよびRADIUS 認 証 のみをサポート しています。
l
ローカル(Local)： 【ローカル( Local) 】 を選 択 した場 合 は、PPTPリモート アクセスを
使 用 できるユーザやユーザグループを指 定 します。 バックエンドのユーザグループをフ
ィールドにドラッグすることはできません。 ユーザアカウント を指 定 するまでは、PPTPリ
モート アクセスはアクティブにできません。
注 - SSL VPN同 様 、ユーザポータルの【リモートアクセス( Remote Access) 】 メニ
ューにアクセスできるのは、 【ユーザとグループ( Users and Groups) 】 ボックスで選
448
ASG V8 管 理 ガイド
16リモート アクセス
16.2PPTP
択 されたユーザと、ユーザ定 義 がASGに定 義 されているユーザのみです。 許 可 さ
れたユーザがユーザポータルへのログインに成 功 すると、インスト ールに関 する説 明
が表 示 されます。これはAstaroナレッジベースで提 供 されています( 【 ASGバージョ
ン7( ASG Version 7) 】 >>【リモートアクセス( Remote Access) 】 >>【 PPTP】 の
順 に進 みます) 。
l
RADIUS： 【 RADIUS】 は、RADIUSサーバを事 前 に設 定 している場 合 にのみ選 択
できます。 この認 証 方 法 では、ユーザは外 部 RADIUSサーバに対 して認 証 されま
す。このサーバは【定 義 およびユーザ( Definitions & Users) 】 >>【認 証 サー
バ( Authentication】 >>【サーバ( Servers) 】 タブで設 定 できます。 【ユーザとグ
ループ( Users and Groups) 】 ダイアログボックスがグレーアウト 表 示 されます。 この
設 定 はまだ変 更 できますが、影 響 はありません。 RADIUSサーバはMSCHAPv2 チ
ャレンジ/応 答 認 証 をサポート する必 要 があります。 サーバはクライアント のIP アドレ
スやDNS/WINS サーバアドレスなどのパラメータを戻 すことができます。 PPTPモジ
ュールは、NAS-IDとして「pptp」をRADIUSサーバに送 信 します。 RADIUS認 証 を
選 択 した場 合 は、ローカルユーザはPPTPでは認 証 できなくなることに注 意 してくださ
い。 さらに、クライアント はMSCHAPv2認 証 もサポート する必 要 があることにも注 意
してください。
IPアド レスの割 り当 て方 法 (Assign IP Addresses By)： IPアドレスは、事 前 に定 義
したIPアドレスプールから割 り当 てることも、DHCPサーバを使 用 して自 動 的 に配 布 すること
もできます。
l
IPアド レスプール(IP Address Pool)： PPTPによってリモート アクセスするクライア
ント に特 定 のIP範 囲 からIPアドレスを割 り当 てる場 合 は、このオプションを選 択 しま
す。 デフォルト では、プライベート IPスペース10.242.1.0/24のアドレスが割 り当 てら
れます。 このネット ワーク定 義 はVPNプール( PPTP) と呼 ばれ、すべてのネット ワーク
固 有 の設 定 オプションで使 用 できます。 異 なるネット ワークを使 用 する場 合
は、VPNプール( PPTP) の定 義 を【定 義 およびユーザ( Definitions & Users 】 >>【
ネットワーク定 義 ( Network Definitions) 】 ページで変 更 します。 または、 【プール
ネットワーク( Pool Network) 】 テキスト ボックスの隣 りの「＋ 」アイコンをクリックして、
別 のIPアドレスプールを作 成 することもできます。
l
DHCPサーバ(DHCP Server)： 【 DHCPサーバ( DHCP Server) 】 を選 択 する場
合 、DHCPサーバが接 続 に使 用 するネット ワークインタフェースも指 定 する必 要 があ
ります。DHCPサーバはインタフェースに直 接 接 続 する必 要 はありません。ルータを介
してもアクセスできます。 ローカルDHCPサーバはサポート されません。ここで選 択 し
たDHCPサーバは、物 理 的 に異 なるシステム上 で稼 働 している必 要 があります。
ASG V8 管 理 ガイド
449
16リモート アクセス
16.2PPTP
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ライブ ログ
PPTPデーモンライブログは、すべてのPPTPリモート アクセスアクティビティをログします。 ボタンをクリッ
クして、新 しいウィンドウでライブログを開 きます。
16.2.2iOSデバイス
図 148 PPTPリモート アクセス：iOSデバイス設 定
ユーザポータルでiOSデバイスユーザに対 しPPTPの自 動 設 定 を提 供 することができます。
ただし、 【グルーバル( Global) 】 タブの【ユーザとグループ( Users and Groups) 】 ボックスに追 加 さ
れたユーザのみが、ユーザポータルサイト で設 定 ファイルを表 示 できます。iOSデバイスのステータス
はデフォルト で有 効 になっています。
接 続 名 (Connection Name)：PPTP接 続 を説 明 する名 前 を入 力 し、iOSデバイスのユーザ
がどの接 続 を確 立 しようとしているのか識 別 できるようにします。 デフォルト の名 前 は、お客 様 の
会 社 名 の後 に次 のプロト コルが続 いたものになります：PPTP.
注 - 【接 続 名 ( Connection Name) 】 はすべてのiOSデバイス設 定 ( PPTP、L2TP over
IPsec、Cisco VPN Client) で一 意 である必 要 があります。
ホスト 名 を上 書 き(Override Hostname)： システムのホスト 名 をクライアント がパブリックに解
決 できない場 合 は、ここにサーバのホスト 名 を入 力 して、これによって【システムのDNSホスト
名 ( System DNS Hostname) 】 の前 の【 DynDNSホスト名 ( DynDNS Hostname) 】 の内 部 プ
リファレンスを上 書 きします。
iOSデバイスの自 動 設 定 を無 効 にするには、ステータスアイコンまたはタブのヘッダの【無
効 ( Disable) 】 をクリックします。
ステータスアイコンが赤 色 に変 わります。
450
ASG V8 管 理 ガイド
16リモート アクセス
16.3L2TP over IPsec
16.2.3詳 細
【リモートアクセス( Remote Access) 】 >>【 PPTP】 >>【詳 細 ( Advanced) 】 タブで、暗 号 化 の
強 度 とPPTP リモート アクセスに関 するデバッグ出 力 量 を設 定 できます。 PPTPの詳 細 オプション
は、PPTPリモート アクセスのステータスが【グローバル( Global) 】 タブで有 効 になっていないと設 定
できません。
図 149 PPTPリモート アクセス：詳 細 設 定
暗 号 化 の強 度 ( En c r y pti on S tr e n gth )
強 い( 128ビット ) または弱 い( 40ビット ) ト ンネル暗 号 化 を選 択 できます( MPPE). 128ビット 暗 号
化 をサポート しないエンドポイント がない限 り、弱 い暗 号 化 は使 用 しないでください。
デバッグモード ( D e bu g Mode )
デバッグモード を有 効 化 (Enable Debug Mode)： このオプションで、PPTPログで生 成 される
デバッグ出 力 の量 を制 御 します。 接 続 で問 題 が発 生 し、クライアント パラメータのネゴシエーション
に関 する詳 細 な情 報 が必 要 である場 合 などに、このオプションを選 択 します。
16.3L2TP over IPsec
L2TP( Layer Two( 2) Tunneling Protocolの略 称 ) とは、既 存 のネット ワーク( 通 常 はインター
ネット ) を介 して2つのピア間 でネット ワークト ラフィックをト ンネリングするためのデータリンクレイ
ヤ( OSIモデルのレイヤ2) プロト コルであり、VPNとも呼 びます。 L2TPプロト コルには機 密 性 が欠 け
るため、多 くの場 合 は機 密 性 、認 証 、完 全 性 を提 供 するIPsecと組 み合 わせて使 用 します。 こ
れら2つのプロト コルの組 み合 わせを別 名 「L2TP over IPsec」と呼 びます。 L2TP over IPsecを
ASG V8 管 理 ガイド
451
16リモート アクセス
16.3L2TP over IPsec
使 用 すると、PPTPと同 じ機 能 を提 供 しながら、暗 号 化 されたIPsecト ンネル経 由 のネット ワークア
クセスを個 々 のホスト に提 供 することができます。
16.3.1グローバル
【 L2TP over IPsec 】 >>【グローバル( Global) 】 タブでは、L2TPover IPsec経 由 のリモート アクセ
スをセット アップするための基 本 オプションを設 定 できます。
図 150 リモート アクセスL2TP：L2TPリモート アクセスを有 効 にする
L2TP over IPsecを使 用 するには、次 の手 順 に従 ってください。
1. 【グローバル(Global)】 タブで、L2TP over IPsecを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【サーバ設 定 およびIPアドレス割 り当 て( Server
Settings and IP Address Assignment) 】 エリアが編 集 可 能 になります。
2. 次 の設 定 を行 います。
インタフェース(Interface)： L2TP VPNアクセスに使 用 するネット ワークインタフェースを選
択 します。
認 証 モード (Authentication Mode)： 次 の認 証 モードを選 択 できます。
452
ASG V8 管 理 ガイド
16リモート アクセス
l
16.3L2TP over IPsec
事 前 共 有 鍵 (Preshared Key)： 事 前 共 有 鍵 として使 用 されるパスワードを入
力 します。 事 前 共 有 鍵 方 式 では、通 信 を行 う前 に、通 信 当 事 者 間 で共 有 シーク
レット を交 換 します。 通 信 のためには、シークレット を知 っていることを両 者 が証 明 し
ます。 共 有 シークレット とは、L2TP用 の暗 号 化 アルゴリズムを使 用 してト ラフィックを
暗 号 化 するために使 用 される安 全 なフレーズまたはパスワードです。 セキュリティを
高 めるために、共 有 シークレット を強 化 する適 切 な手 法 をとる必 要 があります。 共
有 シークレット のセキュリティは、パスワードの品 質 と、それをどれだけ安 全 に伝 送 す
るかにかかっています。 一 般 的 な言 葉 から成 るパスワードは、辞 書 攻 撃 に対 して非
常 に脆 弱 です。 そのため、共 有 シークレット は非 常 に長 くし、さまざまな文 字 、大 文
字 、数 字 を組 み合 わせる必 要 があります。 そのため、事 前 共 有 シークレット を使 用
する認 証 方 式 は、可 能 な限 り証 明 書 方 式 に切 り替 える必 要 があります。
注 - iOSデバイスでは、PSK認 証 のみがサポート されているため、iOSデバイスへの
アクセスを有 効 にするためには、 事 前 共 有 鍵 を選 択 する必 要 があります。
l
X.509 CAチェック(X.509 CA Check)： X.509証 明 書 により、参 加 者 の多 い
大 規 模 なVPNセット アップでの公 開 認 証 鍵 の交 換 が容 易 になります。 いわゆるCA
がVPNエンドポイント の公 開 鍵 を収 集 してチェックし、各 メンバに対 して証 明 書 を発
行 します。 証 明 書 には、ピアのアイデンティティと公 開 鍵 が含 まれています。 証 明 書
はデジタル署 名 されているため、検 出 されずに他 人 が偽 造 証 明 書 を発 行 することは
できません。
鍵 交 換 中 に証 明 書 が交 換 され、ローカル保 存 されたCA公 開 鍵 を使 用 して検 証 さ
れます。 続 いて、公 開 鍵 とプライベート 鍵 を使 用 してVPNエンドポイント の実 際 の認
証 が行 われます。 この認 証 モードを使 用 するためには、X.509証 明 書 を選 択 しま
す。
X.509認 証 が機 能 するためには、 【リモートアクセス( Remote Access) 】 >>【認 証
管 理 ( Certificate Management) 】 >>【認 証 局 ( Certificate Authority) 】 タブで
有 効 なCAを設 定 する必 要 があります。
IPアド レスの割 り当 て方 法 (Assign IP Addresses By)： IPアドレスは、事 前 に定 義
したIPアドレスプールから割 り当 てることも、DHCPサーバを使 用 して自 動 的 に配 布 すること
もできます。
l
プールネット ワーク(Pool Network)： デフォルト では、IPアドレスの割 当 方 法 とし
て【 IPアドレスプール( IP Address Pool) 】 が選 択 されており、 【プールネットワー
ク( Pool Network) 】 には事 前 定 義 済 みの【 VPNプール( L2TP) ( VPN
Pool( L2TP) ) 】 ネット ワーク定 義 が選 択 されています。VPNプール( L2TP) とは、プラ
イベート インターネット 用 のIPアドレススペース10.x.x.xからクラスCサブネット を使 用
してランダムに生 成 されたネット ワークです。 これは、ユーザが接 続 元 として専 用 のア
ASG V8 管 理 ガイド
453
16.3L2TP over IPsec
16リモート アクセス
ドレスプールを持 つことを保 証 するものであり、通 常 は一 切 変 更 する必 要 がありませ
ん。 別 のネット ワークを使 用 したい場 合 は、 【 VPNプール( L2TP) ( VPN
Pool( L2TP) ) 】 の定 義 を変 更 するか、ここでIPアドレスプールとして他 のネット ワーク
を割 り当 てます。
注 - L2TP VPNプールに対 してプライベート IPアドレスを使 用 しており、インターネッ
ト へのアクセスにIPsecホスト を許 可 したい場 合 、適 切 なマスカレーディングまた
はNATルールをIPアドレスプールに用 意 する必 要 があります。
l
DHCPサーバ(DHCP Server)： 【 DHCPサーバ( DHCP Server) 】 を選 択 する場
合 、DHCPサーバが接 続 に使 用 するネット ワークインタフェースも指 定 する必 要 があ
ります。DHCPサーバはインタフェースに直 接 接 続 する必 要 はありません。ルータを介
してもアクセスできます。 ローカルDHCPサーバはサポート されません。ここで選 択 し
たDHCPサーバは、物 理 的 に異 なるシステム上 で稼 働 している必 要 があります。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
設 定 をキャンセルするには、 【有 効 化 を中 止 ( Abort Enable) 】 またはアンバー色 のステー
タスアイコンをクリックします。
アクセ スコン ト ロール( Ac c e s s C on tr ol )
認 証 経 路 (Authentication Via)： L2TPリモート アクセスは、ローカルおよびRADIUS 認 証
のみをサポート しています。
l
ローカル(Local)： 【ローカル( Local) 】 を選 択 する場 合 、L2TPリモート アクセスを使 用 でき
るようにするユーザとユーザグループを指 定 してください。 バックエンドのユーザグループをフ
ィールドにドラッグすることはできません。 ローカルユーザの場 合 、通 常 の方 法 でユーザを追
加 し、これらのユーザに対 してL2TPを有 効 にします。 ユーザまたはグループを選 択 しない場
合 、L2TPリモート アクセスはオフになります。
注 -SSLVPN同 様 、ユーザポータルの【リモートアクセス( Remote Access) 】 メニューにア
クセスできるのは、 【ユーザとグループ( Users and Groups) 】 ボックスで選 択 されたユー
ザと、ユーザ定 義 がASGに定 義 されているユーザのみです。 認 証 モードに応 じて、ユーザ
ポータルへのログインに成 功 した認 証 ユーザには、IPsec事 前 共 有 鍵 ( 認 証 モード 「事 前
共 有 鍵 ( Preshared key) 」 ) またはPKCS#12ファイル( 認 証 モード 「 X.509 CAチェッ
ク( X.509 CA check) 」 ) ならびにインスト ール手 順 へのリンクがAstaroナレッジベースで
454
ASG V8 管 理 ガイド
16リモート アクセス
16.3L2TP over IPsec
提 供 されます( 【 ASGバージョン7( ASGVersion 7) 】 >>【リモートアクセス( Remote
Access) 】 >>【 L2TP over IPsec 】 の順 に選 択 ) 。
l
RADIUS： 【 RADIUS】 を選 択 すると、認 証 要 求 はRADIUSサーバに転 送 されます。
L2TPモジュールは、NAS-IDとして「l2tp」をRADIUSサーバに送 信 します。
クライアント とサーバ間 で、認 証 アルゴリズムのネゴシエーションが自 動 的 に行 われます。 ローカル
ユーザに対 し、Astaro Security Gatewayは次 の認 証 プロト コルをサポート しています。
l
MSCHAPv2
l
PAP
デフォルト で、Windowsクライアント はMSCHAPv2をネゴシエーションします。
RADIUSユーザに対 し、Astaro Security Gatewayは次 の認 証 プロト コルをサポート しています。
l
MSCHAPv2
l
MSCHAP
l
CHAP
l
PAP
16.3.2iOSデバイス
ユーザポータルでiOSデバイスユーザに対 し自 動 L2TP over IPsec設 定 を提 供 することができま
す。
図 151 リモート アクセスL2TP：iOSデバイス設 定
ただし、 【グルーバル( Global) 】 タブの【ユーザとグループ( Users and Groups) 】 ボックスに追 加 さ
れたユーザのみが、ユーザポータルサイト で設 定 ファイルを表 示 できます。iOSデバイスのステータス
はデフォルト で有 効 になっています。
ASG V8 管 理 ガイド
455
16リモート アクセス
16.4IPsec
接 続 名 (Connection Name)：L2TP over IPsec接 続 を説 明 する名 前 を入 力 し、iOSデバイ
スのユーザがどの接 続 を確 立 しようとしているのか識 別 できるようにします。 デフォルト の名 前 は、
お客 様 の会 社 名 の後 に次 のプロト コルが続 いたものになります：L2TP over IPsec.
注 - 【接 続 名 ( Connection Name) 】 はすべてのiOSデバイス設 定 ( PPTP、L2TP over
IPsec、Cisco VPN Client) で一 意 である必 要 があります。
ホスト 名 を上 書 き(Override Hostname)： システムのホスト 名 をクライアント がパブリックに解
決 できない場 合 は、ここにサーバのホスト 名 を入 力 して、これによって【システムのDNSホスト
名 ( System DNS Hostname) 】 の前 の【 DynDNSホスト名 ( DynDNS Hostname) 】 の内 部 プ
リファレンスを上 書 きします。
iOSデバイスの自 動 設 定 を無 効 にするには、ステータスアイコンまたはタブのヘッダの【無
効 ( Disable) 】 をクリックします。
ステータスアイコンが赤 色 に変 わります。
16.3.3詳 細
図 152 リモート アクセスL2TP：詳 細 設 定
デバッグモード ( D e bu g Mode )
デバッグモード を有 効 化 (Enable Debug Mode)： このオプションは、L2TP over IPsecのログ
でどれくらいのデバッグ出 力 を生 成 するのかをコント ロールします。 接 続 で問 題 が発 生 し、クライア
ント パラメータのネゴシエーションに関 する詳 細 な情 報 が必 要 である場 合 などに、このオプションを
選 択 します。
16.4IPsec
IPsec( IP Security) とは、すべてのIPパケット を暗 号 化 または認 証 すること( あるいはその両 方 )
によってIP( インターネットプロトコル) 通 信 のセキュリティを維 持 するための標 準 です。
IPsec標 準 は、次 の2つのサービスモードと2つのプロト コルを定 義 しています。
456
ASG V8 管 理 ガイド
16リモート アクセス
l
ト ランスポート モード
l
ト ンネルモード
l
AH( 認 証 ヘッダ) 認 証 プロト コル
l
ESP( カプセル化 セキュリティペイロード) 暗 号 化 ( および認 証 ) プロト コル
16.4IPsec
IPsecには、SA( セキュリティアソシエーション) と鍵 配 布 を手 動 および自 動 で管 理 するための方
法 も用 意 されています。 これらの特 徴 は、DOI( 解 釈 ドメイン) で一 元 管 理 されています。
IPsecモード
IPsecは、ト ランスポート モードまたはト ンネルモードで機 能 します。 原 則 的 に、ホスト 間 接 続 では
どちらのモードも使 用 できます。 ただし、いずれかのエンドポイント がセキュリティゲート ウェイである
場 合 、ト ンネルモードを使 用 する必 要 があります。 このASGでのIPsec VPN接 続 では、常 にト ン
ネルモードが使 用 されます。
ト ランスポート モードでは、元 のIPパケット は他 のパケット にカプセル化 されません。 元 のIPヘッダは
維 持 され、パケット の残 りの部 分 は平 文 のまま( AH) またはカプセル化 されて( ESP) 送 信 されま
す。 パケット 全 体 をAHで認 証 することも、ESPでペイロードをカプセル化 して認 証 することもできま
す。 いずれの場 合 も、元 のヘッダは平 文 としてWAN経 由 で送 信 されます。
ト ンネルモードでは、パケット ヘッダとペイロードの全 体 が新 しいIPパケット にカプセル化 されます。 IP
ヘッダがIPパケット に追 加 され、宛 先 アドレスは受 信 側 ト ンネルエンドポイント に設 定 されます。 カ
プセル化 パケット のIPアドレスは変 更 なしで維 持 されます。 続 いて、元 のパケット がAHで認 証 され
るか、ESPでカプセル化 されて認 証 されます。
IPsecプロト コル
IPsecでは、IP レベルで安 全 に通 信 するために2つのプロト コルを使 用 します。
l
AH(認 証 ヘッダ)：パケット 送 信 者 を認 証 し、パケット データの完 全 性 を保 証 するためのプ
ロト コル。
l
ESP(カプセル化 セキュリティペイロード )：パケット 全 体 を暗 号 化 し、そのコンテンツを認 証
するためのプロト コル。
AH( 認 証 ヘッダ) プロト コルは、パケット データの信 頼 性 と完 全 性 をチェックします。 さらに、送 信 者
と受 信 者 のIPアドレスが送 信 中 に変 更 されていないことをチェックします。 パケット は、 ハッシュベー
ASG V8 管 理 ガイド
457
16.4IPsec
16リモート アクセス
スのメッセージ認 証 コード ( HMAC) と鍵 を使 用 して作 成 されたチェックサムを使 用 して認 証 されま
す。 次 のいずれかのハッシュアルゴリズムが使 用 されます。
l
MD5(メッセージダイジェスト 、バージョン5)：このアルゴリズムでは、任 意 のサイズのメッ
セージから128ビット のチェックサムが生 成 されます。 このチェックサムはメッセージの指 紋 の
ようなもので、メッセージが変 更 されるとチェックサムも変 わります。 このハッシュ値 は、デジタ
ル署 名 またはメッセージダイジェスト とも呼 ばれます。
l
SHA-1(セキュアハッシュ)：このアルゴリズムではMD5と類 似 したハッシュが生 成 されます
が、SHA-1ハッシュは長 さが160ビット です。 SHA-1は鍵 がMD5より長 いため、MD5より
強 力 なセキュリティが実 現 します。
MD5と比 較 すると、SHA-1ハッシュは計 算 が難 しく、生 成 に必 要 なCPU時 間 はより長 くなります。
もちろん、計 算 速 度 は、プロセッサの処 理 速 度 とAstaro Security Gatewayで使 用 されるIPsec
VPN接 続 の数 に依 存 します。
ESP( カプセル化 セキュリティペイロード) プロト コルには、暗 号 化 以 外 に、送 信 者 を認 証 し、パケッ
ト コンテンツを検 証 する機 能 もあります。 ト ンネルモードでESPを使 用 すると、 IPパケット 全 体 ( ヘ
ッダとペイロード) が暗 号 化 されます。 ここで、暗 号 化 されていないIPヘッダとESPヘッダがカプセル
化 するパケット に追 加 されます。新 しいIPヘッダには、受 信 側 ゲート ウェイと送 信 側 ゲート ウェイのア
ドレスが含 まれています。 これらのIPアドレスは、VPNト ンネルのアドレスです。
暗 号 化 付 きのESPでは、通 常 次 のアルゴリズムが使 用 されます。
l
3DES( ト リプルデータ暗 号 化 標 準 )
l
AES( 高 度 暗 号 化 標 準 )
これらのうち、AESが最 も安 全 です。 AESで使 用 可 能 な鍵 の有 効 長 は128ビット 、192ビッ
ト 、256ビット です。Astaro Security Gateway は、多 数 の暗 号 化 アルゴリズムをサポート してい
ます。 認 証 にはMD5またはSHA-1アルゴリズムを使 用 できます。
NAT-T( NATト ラバーサル)
NAT ト ラバーサルとは、NATデバイスを使 用 するTCP/IPネット ワーク内 のホスト 間 で接 続 を確 立
するための技 術 です。 この接 続 は、ESPパケット のUDPカプセル化 を使 用 して、NATデバイス経
由 でIPsecト ンネルを確 立 することによって実 現 します。 UDPカプセル化 は、IPsecピア間 でNAT
が検 出 された場 合 のみに使 用 されます。検 出 されなかった場 合 は、通 常 のESPパケット が使 用 さ
れます。
NATト ラバーサルにより、ゲート ウェイまたはロードウォリアをNATルータの背 後 に配 置 しなが
ら、IPsecト ンネルを確 立 できるようになります。 この機 能 を使 用 する場 合 、両 方 のIPsecピア
458
ASG V8 管 理 ガイド
16リモート アクセス
16.4IPsec
でNATト ラバーサルがサポート されている必 要 があります。ネゴシエーションは自 動 的 に行 われま
す。 NATデバイスでIPseパススルーがオフになっていることを確 認 してください。オンになっている
と、NATト ラバーサルの使 用 に支 障 が出 る可 能 性 があります。
ロードウォリアでNATト ラバーサルを使 用 したい場 合 、WebAdmin内 の対 応 ユーザオブジェクト に
スタティックリモート アクセスIPアドレス( RAS アドレス) が設 定 されている必 要 がありま
す( WebAdminのユーザ定 義 ページで 【スタティックリモートアクセスIPを使 用 ( Use Static
Remote Access IP) 】 も参 照 してください) 。
データ未 送 信 時 に確 立 されたト ンネルが期 限 切 れになることを防 ぐために、NATト ラバーサル
のkeep-alive信 号 がデフォルト で60秒 間 隔 で送 信 されます。 keep-aliveメッセージは、NAT
ルータがセッションに関 連 するステート 情 報 を維 持 しており、ト ンネルが開 いたままであることを確
認 するために送 信 されます。
TOS
「サービスタイプ」ビット ( TOSビット ) は、IPヘッダにあるいくつかの4ビット フラグです。 これらのビット
は、どのタイプのサービス品 質 が必 要 であるかを転 送 アプリケーションがネット ワークに伝 えることを
許 可 するため、 サービススタイプビット と呼 ばれています。
Astaro Security GatewayへのIPsec導 入 では、TOSの値 は常 にコピーされます。
16.4.1接 続
【 IPsec 】 >>【コネクション( Connections) 】 タブでは、IPsec接 続 を作 成 し、編 集 することができ
ます。
図 153 リモート アクセスIPsec：接 続 リスト
IPsecコネクションを作 成 するには、次 の手 順 に従 います。
1. 【コネクション(Connections)】 タブで 【新 規 IPsecリモートアクセスルール(New IPsec
Remote Access Rule)】 をクリックします。
ASG V8 管 理 ガイド
459
16リモート アクセス
16.4IPsec
【 IPsec リモートアクセスルールの追 加 ( Add IPsec Remote Access Rule) 】 ダイアログボッ
クスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このコネクションを説 明 する名 前 を入 力 してください。
インタフェース(Interface)： IPsecト ンネルのローカルエンドポイント として使 用 されるイン
タフェースの名 前 を選 択 します。
ローカルネット ワーク(Local Networks)： VPNト ンネル経 由 でアクセス可 能 にするローカ
ルネット ワークを選 択 します。
仮 想 IPプール(Virtual IP Pool)： クライアント にスタティックIPアドレスが定 義 されてい
ない場 合 、クライアント はこのIPアドレスプールに割 り当 てられたIPアドレスを取 得 します。 デ
フォルト プールはVPNプール( IPsec) であり、プライベート IPスペース10.242.4.0/24から成
ります。 ただし、他 のIPアドレスプールを選 択 または作 成 することもできます。
ポリシ(Policy)： このIPsecコネクションのIPsecポリシを選 択 します。 IPsecポリシは、 【リ
モートアクセス( Remote Access) 】 >>【 IPsec 】 >>【ポリシ ( Policies) 】 タブで定 義 できま
す。
認 証 タイプ(Authentication Type)： このリモート ゲート ウェイ定 義 の認 証 タイプを選
択 します。 次 のタイプを使 用 できます。
460
l
事 前 共 有 鍵 (Preshared key)： 事 前 共 有 鍵 ( PSK) による認 証 では、秘 密 のパ
スワードを鍵 として使 用 します。 これらのパスワードは、接 続 を確 立 する前 にエンドポ
イント に配 布 する必 要 があります。 新 しいVPNト ンネルが確 立 されると、両 端 で、相
手 側 が秘 密 のパスワードを知 っていることのチェックが行 われます。 PSKのセキュリテ
ィは、使 用 するパスワードの品 質 に依 存 します。一 般 的 な言 葉 や成 句 では、辞 書
攻 撃 に対 して脆 弱 です。 常 時 の、または長 期 的 なIPsec接 続 では、パスワードの
代 わりに証 明 書 を使 用 する必 要 があります。
l
X.509証 明 書 (X.509 Certificate)： X.509証 明 書 による認 証 方 式 では、
公 開 鍵 と秘 密 鍵 を使 用 します。 X.509証 明 書 には、公 開 鍵 と、鍵 の所 有 者 を特
定 する情 報 が含 まれています。 このような証 明 書 は、信 頼 される認 証 局 ( CA) によ
って署 名 され、発 行 されたものです。 選 択 後 、このIPsec接 続 の使 用 を許 可 する
ユーザを指 定 します。 バックエンドユーザグループを【許 可 されるユーザ( Allowed
Users) 】 フィールドにドラッグすることはできません。 【自 動 ファイアウォールルー
ル( Automatic Firewall Rules) 】 チェックボックスにチェックを入 れた場 合 を除 き、適
切 なファイアウォールルールを【ネットワークセキュリティ( Network Security) 】 メニ
ューに手 動 で指 定 する必 要 があります。
ASG V8 管 理 ガイド
16リモート アクセス
16.4IPsec
注 - ユーザポータルにアクセスできるのは、 【許 可 されるユーザ( Allowed
Users) 】 ボックスで選 択 されており、ASGにユーザ定 義 が存 在 するユーザのみで
す。 ユーザポータルへのログインに成 功 した認 証 されたユーザには、AIC( Astaro
IPsec Client) 、設 定 ファイル、PKCS#12ファイル、インスト ール手 順 へのリンク
がAstaroナレッジベースで提 供 されます( 【 ASG Version 7】 >>【リモートアクセ
ス( Remote Access) 】 >>【 IPsec 】 の順 に選 択 ) 。
l
CA DN照 合 (CA DN Match)： この認 証 タイプでは、CA証 明 書 のDN( 識 別
名 ) の照 合 を使 用 して、VPNエンドポイント の鍵 を検 証 します。 選 択 した場 合 、 認
証 局 を1つ選 択 し、リモート アクセスクライアント のDNと一 致 するDNマスクを選 択 しま
す。 ここで、 【ピアサブネット範 囲 ( Peer Subnet Range) 】 を選 択 または追 加 しま
す。 クライアント は、いずれかの証 明 書 がDNマスクと一 致 しなければ接 続 が許 可 さ
れません。
XAUTHの有 効 化 (Enable XAUTH)( オプション) 設 定 されたバックエンドに対 するユー
ザ認 証 が必 要 である場 合 は、拡 張 認 証 を有 効 にする必 要 があります。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ：このオプション
は、認 証 タイプX.509証 明 書 のみで使 用 可 能 です。
IPsec接 続 の確 立 に成 功 すると、各 データト ラフィックにファイアウォールルールが自 動 的 に
追 加 されます。 接 続 が終 了 すると、パケット フィルタルールは削 除 されます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいリモート アクセスルールが【接 続 ( Connections) 】 リスト に表 示 されます。
リモート アクセスルールを編 集 または削 除 するには、対 応 するボタンをクリックします。
16.4.2ポリシ
【リモートアクセス( Remote Access) 】 >>【 IPsec 】 >>【ポリシ ( Policies) 】 タブでは、IPsecコネク
ション用 のパラメータをカスタマイズし、ポリシに統 合 することができます。 IPsecポリシは、IPsec接
続 のIKE( インターネット 鍵 交 換 ) とIPsecプロポーザルパラメータを定 義 します。 それぞれのIPsec
接 続 にはIPsecポリシが必 要 です。
ASG V8 管 理 ガイド
461
16リモート アクセス
16.4IPsec
図 154 リモート アクセスIPsec：ポリシリスト
IPsecポリシを作 成 するには、以 下 の手 順 に従 います。
1. 【ポリシ (Policy)】 タブで、 【新 規 IPsecポリシ (New IPsec Policy)】 をクリックします。
【 IPsec ポリシの追 加 ( Add IPsec Policy) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)： このポリシを説 明 する名 前 を入 力 します。
IKE暗 号 化 アルゴリズム(IKE Encryption Algorithm)： 暗 号 化 アルゴリズムで
は、IKEメッセージの暗 号 化 に使 用 するアルゴリズムを指 定 します。 以 下 のアルゴリズムが
サポート されています。
462
l
DES( 56ビット )
l
3DES( 168ビット )
l
AES 128( 128ビット )
l
AES 192( 192ビット )
l
AES 256( 256ビット )
ASG V8 管 理 ガイド
16リモート アクセス
l
Blowfish( 128ビット )
l
Twofish( 128ビット )
l
Serpent( 128ビット )
16.4IPsec
IKE認 証 アルゴリズム(IKE Authentication Algorithm)： 認 証 アルゴリズムで
は、IKEメッセージの完 全 性 チェックに使 用 するアルゴリズムを指 定 します。 以 下 のアルゴリ
ズムがサポート されています。
l
MD5( 128ビット )
l
SHA1( 160ビット )
l
SHA2 256( 256ビット )
l
SHA2 384( 384ビット )
l
SHA2 512( 512ビット )
IKE SAライフタイム(IKE SA Lifetime)： この値 には、IKE SA( セキュリティアソシエー
ション) が有 効 な期 間 ( つまり次 の鍵 更 新 を行 うタイミング) を秒 単 位 で指 定 します。 有 効
な値 は60秒 ～ 28800秒 ( 8時 間 ) です。 デフォルト 値 は7800秒 です。
IKE DHグループ(IKE DH Group)： 接 続 をネゴシエート する際 は、通 信 するパーティ
はデータの暗 号 化 に使 用 する実 際 の鍵 についても取 り決 めます。 IKEはセッション鍵 を生
成 するために、ランダムデータを利 用 するDiffie-Hellman( DH) アルゴリズムを使 用 しま
す。 ランダムデータの生 成 はプールビット に基 づいて行 われます。 基 本 的 にはIKEグループ
がプールビット 数 を知 らせます。 プールビット 数 が多 いほど、ランダムな数 字 が大 きくなりま
す。 数 字 が大 きいほど、Diffie-Hellmanアルゴリズムの解 読 は難 しくなります。 結 果 とし
て、プールビット 数 が多 ければ安 全 ですが、CPUの使 用 量 も増 えます。 現 在 は以 下
のDiffie-Hellmanグループがサポート されています。
l
グループ1：MODP 768
l
グループ2：MODP 1024
l
グループ5：MODP 1536
l
グループ14：MODP 2048
l
グループ15：MODP 3072
l
グループ16：MODP 4096
ASG V8 管 理 ガイド
463
16.4IPsec
16リモート アクセス
注 - グループ1( MODP 768) は弱 く、相 互 運 用 性 の理 由 からのみサポート されていま
す。
IPsec暗 号 化 アルゴリズム(IPsec Encryption Algorithm)： IKEの場 合 と同 じ暗
号 化 アルゴリズム。
IPsec認 証 アルゴリズム(IPsec Authentication Algorithm)： IKEの場 合 と同 じ
認 証 アルゴリズム。 さらに、以 下 のアルゴリズムもあります。
SHA2 256( 96ビット )
SHA2 384( 96ビット )
SHA2 512( 96ビット )
これらは、RFC 4868に準 拠 しないト ンネルエンドポイント ( V8以 前 のASGバージョンなど)
への対 応 のために用 意 されています。そのため、96ビット より長 い切 り捨 てられたチェックサ
ムをサポート しません。
IPsec SAライフタイム(IPsec SA Lifetime)： この値 には、IPsec SAが有 効 な期
間 ( つまり次 の鍵 更 新 を行 うタイミング) を秒 単 位 で指 定 します。 有 効 な値 は60
秒 ～ 86400秒 ( 1日 ) です。 デフォルト 値 は7800秒 です。
IPsec PFSグループ(IPsec PFS Group)：Perfect Forward Secrecy( PFS) という
概 念 では、セッション鍵 を使 用 できなくなった場 合 に、この特 定 セッションのデータにのみア
クセスを許 可 します。 PFSが存 在 するには、IPsec SAの保 護 に使 用 される鍵 は、IKE SA
の鍵 を取 得 するために使 用 されるランダム鍵 作 成 用 のマテリアルから派 生 したものではない
ことが必 要 です。 その場 合 、PFSは2回 目 のDiffie-Hellman鍵 交 換 を開 始 し、IPsec接
続 に対 して選 択 されたDHグループが新 たにランダム生 成 された鍵 を取 得 することを提 案 し
ます。 サポート されているDiffie-HellmanグループはIKEの場 合 と同 じです。
PFSを有 効 にすると安 全 性 が高 まりますが、交 換 にさらに時 間 がかかるようになります。 低
速 なハードウェアではPFSは使 用 しないことをお勧 めします。
注 - PFSはすべてのベンダーとの完 全 な相 互 運 用 性 はありません。 ネゴシエーション時
に問 題 が発 生 したら、PFSを無 効 にしてください。
厳 格 なポリシ(Strict Policy)： IPsecゲート ウェイが暗 号 化 アルゴリズムおよびその強 度
について提 案 を行 うと、IPsecポリシがそれに対 応 していない場 合 でも、受 信 側 ゲート ウェイ
がこの提 案 を受 け入 れる場 合 があります。 このオプションを選 択 すると、指 定 したパラメータ
を厳 密 にそのとおり使 用 することについてリモート エンドポイント が合 意 しないときは、IPsec
464
ASG V8 管 理 ガイド
16リモート アクセス
16.4IPsec
接 続 は確 立 されません。 もし、ASG のIPsecポリシがAES-256暗 号 化 を必 要 とする際
に、SSH Sentinelを使 用 するロードウォリアがAES-128を使 用 して接 続 しようとすると、厳
格 なポリシオプションが有 効 である場 合 は、接 続 は拒 否 されます。
注 - 圧 縮 の設 定 は【厳 格 なポリシ ( Strict Policy) 】 を介 しては施 行 されません。
圧 縮 (Compression)： このオプションでは、IPペイロード圧 縮 プロトコル( IPComp) によっ
てIPパケット を暗 号 化 の前 に圧 縮 するかどうかを指 定 します。 IPCompはIPパケット を圧 縮
してそのサイズを縮 小 し、通 信 ホスト またはゲート ウェイのペア間 の全 体 的 な通 信 パフォー
マンスを向 上 させます。 デフォルト では圧 縮 はオフになっています。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいポリシが【ポリシ ( Policies) 】 リスト に表 示 されます。
ポリシを編 集 または削 除 するには、対 応 するボタンをクリックします。
16.4.3詳 細
【リモートアクセス( Remote Access) 】 >>【 IPsec 】 >>【詳 細 ( Advanced) 】 タブで、IPsecVPN
の詳 細 オプションを設 定 できます。 希 望 の認 証 タイプに応 じて、ローカル証 明 書 ( X.509認 証 の
場 合 ) やローカルRSA鍵 ( RSA認 証 の場 合 ) などを定 義 可 能 です。 この設 定 は熟 練 ユーザのみ
が行 ってください。
ASG V8 管 理 ガイド
465
16リモート アクセス
16.4IPsec
図 155 リモート アクセスIPsec：詳 細 設 定
ローカルX.5 0 9 証 明 書
X.509認 証 では、証 明 書 を使 用 してVPNエンドポイント の公 開 鍵 を検 証 します この認 証 タイプを
使 用 する場 合 は、 【ローカルX.509証 明 書 ( Local X.509 Certificate) 】 エリアのドロップダウンリ
スト からローカル証 明 書 を選 択 する必 要 があります。 選 択 した鍵 /証 明 書 は、X.509認 証 が選
択 された場 合 のリモート ピアへのゲート ウェイの認 証 に使 用 されます。
適 切 な秘 密 鍵 がある証 明 書 のみ選 択 できます。他 の証 明 書 はこのドロップダウンリスト では利 用
できません。
選 択 できる証 明 書 がない場 合 、新 しい証 明 書 を作 成 するか、またはアップロード機 能 を使 用 し
てインポート して、 【証 明 書 管 理 ( Certificate Management) 】 メニューで追 加 する必 要 がありま
す。
466
ASG V8 管 理 ガイド
16リモート アクセス
16.4IPsec
証 明 書 を選 択 したら、秘 密 鍵 を保 護 するパスフレーズを入 力 します。 パスフレーズは保 存 プロセ
スで確 認 され、パスフレーズが暗 号 化 鍵 と一 致 しない場 合 はエラーメッセージが表 示 されます。
アクティブな鍵 /証 明 書 を選 択 すると、それは【ローカルX.509証 明 書 ( Local X.509
Certificate) 】 エリアに表 示 されます。
デッド ピア検 出 ( D P D )
デッド ピア検 出 を使 用 (Use Dead Peer Detection)： デッドピア検 出 オプションを使 用 し
て、リモート VPNゲート ウェイあるいはクライアント に接 続 できない場 合 は接 続 を自 動 的 に終 了 しま
す。 スタティックエンドポイント との接 続 では、ト ンネルは自 動 的 に再 ネゴシエート されます。 ダイナ
ミックエンドポイント との接 続 では、リモート 側 でト ンネルの再 ネゴシエート を行 うことが必 要 です。
通 常 はこのオプションを常 に有 効 にしておくほうが安 全 です。 IPsecピアはリモート 側 がデッドピア
検 出 をサポート するかどうかを自 動 的 に判 断 し、必 要 に応 じて通 常 モードにフォールバックします。
NAT- T( NAT ト ラバーサル)
NATト ラバーサルを使 用 (Use NAT Traversal)： このオプションを選 択 すると、IPsecト ラフィッ
クは、 ネットワークアドレス変 換 ( NAT) を使 用 するアップスト リームシステムを通 過 できるようになり
ます。 さらに、NATト ラバーサルのキープアライブ( keepalive) 間 隔 を定 義 できます。設 定 を保 存
するには【適 用 ( Apply) 】 をクリックします。
C RL の取 り扱 い
証 明 書 のプロバイダが、まだ有 効 な証 明 書 に与 えられる承 認 を取 り消 す場 合 があるかもしれませ
ん。たとえば、証 明 書 の受 取 人 が不 正 なデータ( 名 前 など) を使 ってそれを不 正 に取 得 したことが
判 明 した場 合 や、証 明 書 に埋 め込 まれた公 開 鍵 の一 部 である秘 密 鍵 を攻 撃 者 が入 手 した場
合 は、証 明 書 が失 効 します。 そのような場 合 に備 えて、いわゆる証 明 書 取 り消 しリスト ( CRL) が
使 用 されます。 CRLには通 常 、依 然 として有 効 期 間 は残 っているものの無 効 とされた証 明 書 の
シリアル番 号 が含 まれています。
これらの有 効 期 限 が切 れると、証 明 書 は無 効 になり、ブロックリスト から削 除 されます。
自 動 フェッチ(Automatic Fetching)： この機 能 は、HTTP、Anonymous( 匿 名 ) FTP、また
はLDAPバージョン3を介 しパート ナー証 明 書 で定 義 されたURLを通 してCRLを要 求 します。 有 効
期 限 が切 れたら、要 求 によってCRLをダウンロードし、保 存 して更 新 できます。 この機 能 を、ポー
ト 80または443を経 由 せずに使 用 する場 合 は、適 切 なファイアウォールルールを設 定 して、CRL
配 布 サーバにアクセスできるようにしてください。
厳 格 なポリシ(Strict Policy)： このオプションを有 効 にすると、対 応 するCRLのないパート ナー
証 明 書 は拒 否 されます。
ASG V8 管 理 ガイド
467
16.5Cisco VPN Client
16リモート アクセス
事 前 共 有 鍵 プ ロービング
応 答 のみモードを使 用 したIPsec接 続 では、それぞれのIPsec接 続 に対 して別 々 の事 前 共 有
鍵 ( PSK) を使 用 することを選 択 できます。
事 前 共 有 鍵 のプロービングを有 効 にする(Enable probing of preshared keys)： このチ
ェックボックスにチェックを入 れて、このオプションを有 効 にします。 この設 定 は、L2TP-overIPsec、リモート アクセスIPsec、VPN IPsecの各 接 続 に影 響 を与 えます。
16.4.4デバッグ
【デバッグ( Debug) 】 タブでIKE デバッグオプションを設 定 できます。 どのタイプのIKEメッセージに
ついてデバッグ出 力 を作 成 するかはチェックボックスで選 択 します。
注 – 【デバッグ( Debug) 】 タブは、 【サイト間 VPN IPsec( Site-to-site VPN IPsec) 】 、 【リモート
アクセスIPsec( Remote Access IPsec) 】 、および【 Cisco VPN Client】 メニューで同 じものが
使 用 されています。
以 下 のフラグをログできます。
l
コント ロール(Control)： IKE ステート のコント ロールメッセージを表 示 します。
l
発 信 (Emitting)： 送 信 IKEメッセージのコンテンツを表 示 します。
l
構 文 解 析 (Parsing)： 受 信 IKEメッセージのコンテンツを表 示 します。
l
Raw： メッセージをrawバイト で表 示 します。
l
暗 号 化 (Crypt)： 暗 号 化 および復 号 化 のオペレーションを表 示 します。
16.5Cisco VPN Client
Astaro Security Gateway は、Cisco VPNクライアント 経 由 のIPsecリモート アクセスをサポート
します。 Cisco VPNクライアント は、Cisco Systemsの提 供 する実 行 可 能 プログラムです。これを
使 用 すると、コンピュータのセキュリティを維 持 しながらVPN( バーチャルプライベートネットワーク) に
リモート 接 続 することができます。
468
ASG V8 管 理 ガイド
16リモート アクセス
16.5Cisco VPN Client
16.5.1グローバル
【リモートアクセス( Remote Access) 】 >>【 Cisco VPNクライアント ( Cisco VPN Client) 】 >>【グ
ローバル( Global) 】 タブでは、Cisco VPN クライアント 経 由 のリモート アクセスをセット アップするた
めの基 本 オプションを設 定 することができます。
図 156 Cisco VPNクライアント ：Cisco VPNクライアント 経 由 のリモート アクセスの有 効 化
Astaro Security Gatewayを設 定 してCisco VPNクライアント 接 続 を許 可 するには、次 の手 順
に従 ってください。
1. 【グローバル(Global)】 タブで、Cisco VPNクライアント を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 になり、 【サーバ設 定 ( Server Settings) 】 エリアが編 集 可
能 になります。
2. 次 の設 定 を行 います。
インタフェース(Interface)： Cisco VPNクライアント 接 続 に使 用 するインタフェースを選 択
します。
ASG V8 管 理 ガイド
469
16.5Cisco VPN Client
16リモート アクセス
サーバ証 明 書 (Server Certificate)： サーバがクライアント に対 して自 らの身 元 を証 明
するために使 用 する証 明 書 を選 択 します。
プールネット ワーク(Pool Network)： 接 続 クライアント に仮 想 ネット ワークアドレスを割 り
当 てるために、仮 想 ネット ワークアドレスを選 択 するためのネット ワークプールを選 択 します。
デフォルト で 【 VPNプール( Cisco) ( VPN Pool( Cisco) ) 】 が選 択 されています。
ユーザとグループ(Users and Groups)： Cisco VPNクライアント 経 由 でASGに接 続 す
ることが許 可 されるユーザまたはグループ( あるいはその両 方 ) を選 択 します。 ただし、バック
エンドメンバシップグループをボックスにドラッグすることはできません。この理 由 は、IPsec設
定 時 にユーザ証 明 書 が必 要 であるにも関 わらず、証 明 書 はユーザが最 初 にログインに成
功 したときに初 めて生 成 されるためです。
ローカルネット ワーク(Local Networks)： VPNト ンネル経 由 でアクセス可 能 にするローカ
ルネット ワークを選 択 します。
自 動 ファイアウォールルール(Automatic Firewall Rules)( オプション) ： IPsec接 続
の確 立 に成 功 すると、各 データト ラフィックにファイアウォールルールが自 動 的 に追 加 されま
す。 接 続 が終 了 すると、パケット フィルタルールは削 除 されます。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
ライブ ログ
IPsec IKEデーモンログの接 続 ログを追 跡 するには、ライブログを使 用 します。 ライブログには、接
続 の確 立 、維 持 、終 了 に関 する情 報 が表 示 されます。
16.5.2iOSデバイス
ユーザポータルでiOSデバイスユーザに対 しCisco IPsecの自 動 設 定 を提 供 することができます。
470
ASG V8 管 理 ガイド
16リモート アクセス
16.5Cisco VPN Client
図 157 Cisco VPNクライアント ：iOSデバイス設 定
ただし、 【グルーバル( Global) 】 タブの【ユーザとグループ( Users and Groups) 】 ボックスに追 加 さ
れたユーザのみが、ユーザポータルサイト で設 定 ファイルを表 示 できます。iOSデバイスのステータス
はデフォルト で有 効 になっています。
接 続 名 (Connection Name)：Cisco IPsec接 続 を説 明 する名 前 を入 力 し、iOSデバイスの
ユーザがどの接 続 を確 立 しようとしているのか識 別 できるようにします。 デフォルト の名 前 は、お客
様 の会 社 名 の後 に次 のプロト コルが続 いたものになります：CiscoIPsec.
注 - 【接 続 名 ( Connection Name) 】 はすべてのiOSデバイス設 定 ( PPTP、L2TP over
IPsec、Cisco VPN Client) で一 意 である必 要 があります。
ホスト 名 を上 書 き(Override Hostname)： システムのホスト 名 をクライアント がパブリックに解
決 できない場 合 は、ここにサーバのホスト 名 を入 力 して、これによって【システムのDNSホスト
名 ( System DNS Hostname) 】 の前 の【 DynDNSホスト名 ( DynDNS Hostname) 】 の内 部 プ
リファレンスを上 書 きします。
iOSデバイスの自 動 設 定 を無 効 にするには、ステータスアイコンまたはタブのヘッダの【無
効 ( Disable) 】 をクリックします。
ステータスアイコンが赤 色 に変 わります。
VPN接 続 のオンデマンド 確 立 (Establish VPN Connection On Demand)： ロケーショ
ンがホスト 名 またはいずれかのドメインと一 致 したときに接 続 を自 動 的 に開 始 するには、このオプシ
ョンを選 択 します。
接 続 するiOSデバイスに対 し、 【グローバル( Global) 】 タブに指 定 したサーバ証 明 書 が提 示 されま
す。 iOSデバイスは、この証 明 書 のVPN IDがサーバのホスト 名 と一 致 しているかチェックし、異 なる
場 合 には接 続 を拒 否 します。 サーバ証 明 書 でVPN IDタイプに【識 別 名 ( Distinguished
ASG V8 管 理 ガイド
471
16.6詳 細
16リモート アクセス
Name) 】 を使 用 している場 合 、代 わりに【一 般 名 ( Common Name) 】 フィールドが使 用 されま
す。 サーバ証 明 書 がこれらの制 約 を満 たしていることを確 認 する必 要 があります。
16.5.3デバッグ
【デバッグ( Debug) 】 タブでIKE デバッグオプションを設 定 できます。 どのタイプのIKEメッセージに
ついてデバッグ出 力 を作 成 するかはチェックボックスで選 択 します。
注 – 【デバッグ( Debug) 】 タブは、 【サイト間 VPN IPsec( Site-to-site VPN IPsec) 】 、 【リモート
アクセスIPsec( Remote Access IPsec) 】 、および【 Cisco VPN Client】 メニューで同 じものが
使 用 されています。
以 下 のフラグをログできます。
l
コント ロール(Control)： IKE ステート のコント ロールメッセージを表 示 します。
l
発 信 (Emitting)： 送 信 IKEメッセージのコンテンツを表 示 します。
l
構 文 解 析 (Parsing)： 受 信 IKEメッセージのコンテンツを表 示 します。
l
Raw： メッセージをrawバイト で表 示 します。
l
暗 号 化 (Crypt)： 暗 号 化 および復 号 化 のオペレーションを表 示 します。
16.6詳細
【リモートアクセス( Remote Access) 】 >>【詳 細 ( Advanced) 】 ページでは、リモート アクセスクラ
イアント の詳 細 設 定 を行 うことができます。 ここで入 力 するDNSサーバとWINSサーバのIPアドレス
は、ファイアウォールへの接 続 の確 立 時 にリモート アクセスクライアント を使 用 するために提 供 され、
これによってドメインの完 全 な名 前 解 決 を実 現 します。
472
ASG V8 管 理 ガイド
16リモート アクセス
16.7認 証 管 理
図 158 リモート アクセス( Remote Access) ：詳 細 設 定
DNSサーバ(DNS Server)： 組 織 のDNSサーバを最 大 2台 指 定 します。
WINSサーバ(WINS Server)： 組 織 のWINSサーバを最 大 2台 指 定 します。
WINS( Windows インターネットネーミングサービス) とは、マイクロソフト がWindows OSに実 装 し
たNBNS( NetBIOSネームサーバ) です。 DNSがドメイン名 を対 象 にしているように、WINS
はNetBIOS名 を対 象 にしてホスト 名 とIPアドレスを一 元 的 にマッピングします。
ド メイン名 (Domain Name)： 組 織 のFQDN( 完 全 修 飾 ドメイン名 ) を入 力 します。完 全 修 飾
ドメイン名 (FQDN)とは、DNSツリー階 層 でのノードの絶 対 位 置 を指 定 する明 瞭 なドメイン名 で
す( intranet.example.comなど) 。
注 -PPTPおよびL2TP over IPsecの場 合 、ドメイン名 は自 動 的 に配 信 できず、クライアント 側
で設 定 する必 要 があります。
16.7認証管理
【サイト間 VPN( Site-to-site VPN) 】 >>【証 明 書 管 理 ( Certificate Management) 】 メニュー
と【リモートアクセス( Remote Access) 】 >>【証 明 書 管 理 ( Certificate Management) 】 メニ
ューには、同 じ設 定 オプションが含 まれています。これらの設 定 オプションを使 用 すると、Astaro
Security Gatewayのすべての認 証 関 連 オプションを管 理 することができます。 たとえば、X.509
証 明 書 の作 成 またはインポート や、CRL( 証 明 書 失 効 リスト ) のアップロードなどを行 うことができま
す。
16.7.1証 明 書
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「証 明 書 」 を参 照 してください。
ASG V8 管 理 ガイド
473
16.7認 証 管 理
16リモート アクセス
16.7.2認 証 局
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「認 証 局 」 を参 照 してください。
16.7.3失 効 リスト
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「失 効 リスト」 を参 照 してください。
16.7.4詳 細
「サイト間 VPN」 >>「証 明 書 管 理 」 >>「詳 細 」 を参 照 してください。
474
ASG V8 管 理 ガイド
17ログおよびレポーティング
16.7認 証 管 理
17ログおよびレポーティング
この章 では、Astaro Security Gatewayのログおよびレポーティング機 能 について説 明 します。
Astaro Security Gateway は、各 種 システムおよびネット ワーク保 護 イベント を継 続 的 に記 録
することにより、豊 富 なログ機 能 を提 供 します。詳 細 な監 査 証 跡 により、過 去 と現 在 のさまざまな
ネット ワークアクティビティに関 する分 析 が実 現 し、潜 在 的 なセキュリティ上 の脅 威 を特 定 したり、
発 生 している問 題 のト ラブルシューティングを行 うことができます。
Astaro Security Gatewayのレポーティング機 能 は、現 在 のログデータを収 集 し、それをグラフ形
式 で表 示 することで、管 理 対 象 デバイスのリアルタイム情 報 を提 供 します。
WebAdminの【ログパーティションステータス( Log Partition Status) 】 ページは、ディスクの残 容
量 、フィルアップレート ( 使 用 量 増 加 速 度 ) についての情 報 や、過 去 4週 間 のログパーティションの
使 用 状 況 を示 すヒスト グラムなど、Astaro Security Gatewayユニット のログパーティションのス
テータスを示 します。 フィルアップレート は、測 定 地 点 と開 始 地 点 の差 分 を経 過 時 間 で割 って計
算 するため、当 初 は値 がやや不 正 確 になりますが、システムの稼 働 時 間 が長 くなればなるほど精
度 が増 します。
この章 には次 のト ピックが含 まれます。
l
ログファイルの閲 覧
l
ハードウェア
l
ネット ワーク使 用 状 況
l
ネット ワークセキュリティ
l
Webセキュリティ
l
メールセキュリティ
l
リモート アクセス
l
Webアプリケーションファイアウォール
l
エグゼクティブレポート
l
ログ設 定
l
レポーティング設 定
ASG V8 管 理 ガイド
475
16.7認 証 管 理
17ログおよびレポーティング
Flashベースのレポーティング
バージョン8から、Astaro Security Gateway レポート のデータグラフは、デフォルト で、Adobe®
Flash®アニメーションとして表 示 されます。 これらのFlashグラフにより、これまで使 用 されてきた静
止 画 像 より、グラフの構 成 情 報 にきめ細 かくアクセスすることが可 能 となっています。ただし、V7の
レポート 形 式 のほうが望 ましい場 合 は、プリファレンスを変 更 して静 止 画 像 に戻 すことができま
す( 「マネジメント」 >>「 WebAdmin設 定 」 >>「ユーザ設 定 」 を参 照 ) 。
折 れ線 グラフ
Flash折 れ線 グラフと簡 単 にインタラクティブ操 作 できます。マウスのカーソルをグラフ上 に置 くと、大
きなドット ( 点 ) が表 示 され、グラフのその部 分 の詳 細 な情 報 が表 示 されます。 このドット は、グラフ
の線 に沿 って移 動 します。 マウスのカーソルを移 動 すると、ドット もそれに従 って移 動 します。 グラフ
に何 本 かの線 がある場 合 、ドット はマウスカーソルの移 動 に従 って線 の間 を移 動 します。 さらに、
ドット の色 は、それが表 示 している情 報 がどの線 に関 連 するかによって変 わるため、線 が互 いに近
接 している場 合 に役 立 ちます。
図 159 レポーティング：Flashベースの折 れ線 グラフの例
円 グラフ
Flash折 れ線 グラフと同 様 に、円 グラフとも対 話 可 能 ：マウスのカーソルを円 グラフの一 部 に置 きま
す。 すると、その部 分 は円 グラフの他 の部 分 から即 座 に切 り離 され、その部 分 の詳 細 な情 報 が
ツールヒント に表 示 されます。
476
ASG V8 管 理 ガイド
17.1ログファイルの閲 覧
17ログおよびレポーティング
図 160 レポーティング：Flashベースの円 グラフの例
17.1ログファイルの閲覧
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログファイルの閲 覧 ( View Log
Files) 】 メニューで、各 種 ログファイルを表 示 および検 索 できます。
17.1.1今 日 のログファイル
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログファイルの閲 覧 ( View Log
Files) 】 >>【今 日 のログファイル( Today's Log Files) 】 タブで、現 在 のすべてのログに容 易 にアク
セスできます。
図 161 ログ：今 日 のログファイル
このタブでは、すべてのログファイルに適 用 できるさまざまな作 業 を実 行 できます。 次 の作 業 を実
行 できます。
l
ライブログを開 く(Open Live Log):ポップアップウインドウが開 き、リアルタイムでログファイ
ルを表 示 できます。 新 しいアクティビティが発 生 すると、リアルタイムでログファイルに新 しい
行 が追 加 されます。 【自 動 スクロール( Autoscroll) 】 を選 択 すると、ポップアップウインドウが
自 動 的 スクロールダウンして、常 に最 新 のログが表 示 されます。 さらに、ポップアップウインド
ウにはフィルタテキスト ボックスも含 まれており、これによって新 しいログの表 示 ををフィルタに
一 致 するレコードだけに制 限 できます。
l
表 示 (View)： ポップアップウィンドウが開 き、ログファイルが現 在 の状 態 で表 示 されます。
l
クリア(Clear)：ログファイルのコンテンツを削 除 します。
ASG V8 管 理 ガイド
477
17.1ログファイルの閲 覧
17ログおよびレポーティング
テーブル下 部 のドロップダウンリスト を使 用 して、選 択 したログファイルをzipファイル形 式 でダウン
ロードしたり、それらのコンテンツを同 時 に削 除 したりできます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。 【ライブログ( Live Log) 】ポップアップでは、行 の追 加 が停 止
する場 合 があります。 このような問 題 が発 生 した場 合 は、【ライブログ( Live Log) 】ウインドウ内
でF5( 再 表 示 ) を押 してください。
17.1.2アーカイブログファイル
【ログ( Logging) 】 &【レポーティング( Reporting) 】 >>【ログファイルの閲 覧 ( View Log
Files) 】 >>【アーカイブログファイル( Archived Log Files) 】 タブで、ログファイルアーカイブを管 理
することができます。 すべてのログファイルはデイリーベースでアーカイブされます。 アーカイブしたログ
ファイルにアクセスするには、ログが書 き込 まれているAstaro Security Gatewayのサブシステムと
年 月 を選 択 します。
図 162 ログ：アーカイブログファイル
選 択 に一 致 したすべての利 用 できるログファイルが年 代 順 に表 示 されます。アーカイブしたログファ
イルは、閲 覧 したり、zipファイル形 式 でダウンロードできます。
478
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.2ハードウェア
テーブル下 部 のドロップダウンリスト を使 用 して、選 択 したログファイルをzipファイル形 式 でダウン
ロードしたり同 時 に削 除 したりすることができます。
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
17.1.3ログファイルの検 索
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログファイルの閲 覧 ( View Log
Files)】 >> 【ログファイルの検 索 ( Search Log Files)】 タブで、さまざまな期 間 のローカルログファ
イルを検 索 できます。 最 初 に、検 索 するログファイルを選 択 し、次 に検 索 する語 句 を入 力 して、
検 索 期 間 を選 択 します。 【期 間 の選 択 ( Select Time Frame) 】 リスト から【カスタム期
間 ( Custom Time Frame) 】 を選 択 した場 合 は、開 始 日 と終 了 日 を指 定 できます。 【検 索 開
始 ( Start Search) 】 ボタンをクリックすると、ポップアップウインドウにクエリ結 果 が表 示 されます。 ブ
ラウザによっては、WebAdmin用 にポップアップウインドウを許 可 する必 要 があります。
図 163 ログ：ログファイルの検 索
17.2ハードウェア
【ログおよびレポーティング( Logging & Reporting) 】 >>【ハードウェア( Hardware) 】 メニューに
は、さまざまな期 間 におけるハードウェアコンポーネント の使 用 状 況 に関 する概 要 的 な統 計 が表
ASG V8 管 理 ガイド
479
17.2ハードウェア
17ログおよびレポーティング
示 されます。
17.2.1デイリー
【ハードウェア( Hardware) 】 >>【デイリー( Daily) 】 タブは、次 のハードウェアコンポーネント に関 す
る過 去 24時 間 の統 計 概 観 を示 します。
l
CPU の使 用 状 況
l
メモリ/スワップの使 用 状 況
l
パーティションの使 用 状 況
CPUの使 用 状 況 (CPU Usage)： ヒスト グラムに、現 在 のプロセッサ使 用 状 況 ( %) が表 示 さ
れます。
図 164 レポーティング( Reporting) ：CPU使 用 状 況 のヒスト グラム
メモリ/スワップの使 用 状 況 (Memory/Swap Usage)： メモリとスワップの使 用 状 況 ( %) 。 ス
ワップの使 用 状 況 は、システム構 成 によって大 きく異 なります。 侵 入 防 御 やプロキシサーバなどの
サービスをアクティブにすると、メモリの使 用 率 が高 くなります。 システムのメモリが不 足 すると、スワ
ップスペースが使 用 されるようになり、システム全 体 のパフォーマンスが低 下 します。 スワップスペー
スの使 用 はできるだけ低 く抑 える必 要 があります。 このためには、システムで利 用 できるメモリの
合 計 容 量 を増 やします。
480
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.2ハードウェア
図 165 レポーティング( Reporting) ：メモリ/スワップ使 用 状 況 のヒスト グラム
パーティション使 用 状 況 (Partition Usage)： 選 択 されたパーティションの使 用 状 況 ( %) 。 す
べてのチャート には3つのグラフが表 示 され、それぞれが1つのハードディスクドライブパーティションを
示 します。
図 166 レポーティング( Reporting) ：パーティション使 用 状 況 のヒスト グラム
l
ルート (Root)： ルート パーティションとは、Astaro Security Gatewayのルート ディレクト リ
があるパーティションです。 このパーティションには、更 新 パッケージとバックアップも保 存 され
ます。
l
ログ(Log)： ログパーティションとは、ログファイルとレポーティングデータが保 存 されるパーティ
ションです。 このパーティションの容 量 が不 足 している場 合 、 【ログおよびレポーティン
グ( Logging & Reporting) 】 >>【ログ設 定 ( Log Settings) 】 >>【ローカルログ( Local
Logging) 】 で設 定 を調 整 してください。
l
スト レージ(Storage)： スト レージパーティションとは、プロキシサービスがデータを保 存 す
るパーティションであり、Webフィルタ用 の画 像 、SMTPプロキシ用 のメッセージ、隔 離 メー
ルなどがここに保 存 されます。 さらに、データベース、一 時 データ、設 定 ファイルも保 存 され
ます。
ASG V8 管 理 ガイド
481
17.3ネット ワーク使 用 状 況
17ログおよびレポーティング
17.2.2ウィークリー
【ハードウェア( Hardware) 】 >>【ウィークリー( Weekly) 】 タブは、選 択 されたハードウェアコンポー
ネント に関 する最 近 7日 間 の概 要 的 な統 計 を示 します。 ヒスト グラムについては、 「デイリー」 のセ
クションを参 照 してください。
17.2.3マンスリー
【ハードウェア( Hardware) 】 >>【マンスリー( Monthly) 】 タブは、選 択 されたハードウェアコンポー
ネント に関 する最 近 4週 間 の概 要 的 な統 計 を示 します。 ヒスト グラムについては、 「デイリー」 のセ
クションを参 照 してください。
17.2.4イヤリー
【ハードウェア( Hardware) 】 >>【イヤリー( Yearly) 】 タブは、選 択 されたハードウェアコンポーネン
ト に関 する最 近 12か月 の概 要 的 な統 計 を示 します。 ヒスト グラムについては、 「デイリー」 のセク
ションを参 照 してください。
17.3ネット ワーク使用状況
【ログおよびレポーティング( Logging & Reporting) 】 >>【ネットワーク使 用 状 況 ( Network
Usage) 】 メニューのタブには、さまざまな期 間 内 にAstaro Security Gatewayの各 インタフェース
を通 過 したト ラフィックに関 する統 計 概 観 が表 示 されます。 各 チャート のデータは、次 の単 位 を使
用 して示 されます。
l
u( マイクロ、10e-6 )
l
m( ミリ、10e-3 )
l
k( キロ、10e3 )
l
M( メガ、10e6 )
l
G( ギガ、10e9 )
10e-18 ～ 10e8 の範 囲 内 でスケールを変 更 可 能 です。
482
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.3ネット ワーク使 用 状 況
17.3.1デイリー
【ネットワーク使 用 状 況 ( Network Usage) 】 >>【デイリー( Daily) 】 タブには、設 定 されている各
インタフェースを通 過 するト ラフィックに関 する最 近 24時 間 の統 計 概 観 が表 示 されます。
図 167 レポーティング：イーサネット インタフェース使 用 状 況 のヒスト グラム
各 ヒスト グラムには、次 の2つのグラフが表 示 されます。
l
受 信 (Inbound)： 該 当 インタフェースでの平 均 受 信 ト ラフィック( bps単 位 ) 。
l
送 信 (Outbound)： 該 当 インタフェースでの平 均 送 信 ト ラフィック( bps単 位 ) 。
【同 時 接 続 ( Concurrent Connections) 】 チャート は、同 時 接 続 の合 計 を示 します。
17.3.2ウィークリー
【ネットワーク使 用 状 況 ( Network Usage) 】 >>【ウィークリー( Weekly) 】 タブには、設 定 されて
いる各 インタフェースを通 過 するト ラフィックに関 する最 近 7日 間 の統 計 概 観 が表 示 されます。 ヒ
ASG V8 管 理 ガイド
483
17.3ネット ワーク使 用 状 況
17ログおよびレポーティング
スト グラムについては、 「デイリー」 のセクションを参 照 してください。
17.3.3マンスリー
【ネットワーク使 用 状 況 ( Network Usage) 】 >>【マンスリー( Daily) 】 タブには、設 定 されている
各 インタフェースを通 過 するト ラフィックに関 する最 近 4週 間 の統 計 概 観 が表 示 されます。 ヒスト グ
ラムについては、 「デイリー」 のセクションを参 照 してください。
17.3.4イヤリー
【ネットワーク使 用 状 況 ( Network Usage) 】 >>【イヤリー( Yearly) 】 タブには、設 定 されている
各 インタフェースを通 過 するト ラフィックに関 する最 近 12か月 の統 計 概 観 が表 示 されます。 ヒスト
グラムについては、 「デイリー」 のセクションを参 照 してください。
17.3.5帯 域 幅 使 用 状 況
【ネットワーク使 用 状 況 ( Network Usage) 】 >>【帯 域 幅 使 用 状 況 ( Bandwidth Usage) 】 タ
ブには、デバイスから転 送 されたネット ワークト ラフィック、デバイスに転 送 されたネット ワークト ラフィッ
ク、デバイスを経 由 して転 送 されたネット ワークト ラフィックについての包 括 的 なデータが表 示 されま
す。
484
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.3ネット ワーク使 用 状 況
図 168 レポーティング：上 位 サービス順 にソート された帯 域 幅 使 用 状 況 データ
結 果 の表 の【クライアント別 ( By Client) 】 /【サーバ別 ( By Server) 】 ビューでIPまたはホスト 名 を
クリックすると、これは自 動 的 に【クライアント別 の上 位 サービス( Top Services By Client) 】 ビュー
のフィルタとして使 用 されます。 後 でこれを【サーバ別 の上 位 サービス( Top Services by
Server) 】 ビューに切 り替 えることや、IP/ネット ワークやネット ワーク範
囲 ( 192.168.1.0/24、10/8など) を手 動 で指 定 して【更 新 ( Update) 】 ボタンをクリックし、これら
の設 定 を確 定 することができます。
【サービス別 ( By Service) 】 ビューでは、プロト コルとサービスをコンマで区 切 って入 力 することがで
きます( TCP,SMTP、UDP,6000など) 。 プロト コルを指 定 しないと、TCPが使 用 されます( HTTPも
有 効 です) 。 ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボタンを使 用 し
て前 後 のページに移 動 できます。
上 位 アプリケーション/上 位 アプリケーショングループ(Top Applications/Top Application
Groups)： アプリケーションコント ロールがオフの場 合 、ネット ワークト ラフィックは「未 分 類 」と表 示
されます。 アプリケーションコント ロールが有 効 な場 合 、ネット ワークト ラフィックはタイプで表 示 され
ます( 例 ：「WebAdmin」、「NTP」、「facebook」) 。 アプリケーションコント ロールに関 する詳 細
は、 「 Web セキュリティ」 >>「アプリケーションコントロール」 の章 を参 照 してください。
ASG V8 管 理 ガイド
485
17.4ネット ワークセキュリティ
17ログおよびレポーティング
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
ト ラフィックのラベルINとOUTは、視 点 に応 じて変 わります。 プロキシモードで実 行 している場 合 、
クライアント は( 透 過 モードであっても) ASGでポート 8080に接 続 するため、このクライアント から送
信 されたデータ( 要 求 ) は内 部 インタフェースにおいて受 信 ト ラフィックとなり、クライアント 宛 てに送
信 されたデータ( 応 答 ) は送 信 ト ラフィックとなります。
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。 たとえば、
すべてのホスト を受 信 ト ラフィック別 にソート する場 合 、表 の見 出 しで 【 IN】 をクリックします。 これ
により、受 信 ト ラフィックが最 も多 く発 生 しているホスト が先 頭 に表 示 されます。 ト ラフィックのデー
タ量 はキビバイト ( KiB) およびメビバイト ( MiB) 単 位 で表 示 されます。いずれも、コンピュータの記
憶 容 量 を示 す2の累 乗 単 位 です( 例 ：1キビバイト = 210 バイト = 1024バイト ) 。
17.4ネット ワークセキュリティ
【ログおよびレポーティング( Logging & Reporting) 】 >>【ネットワークセキュリティ( Network
Security) 】 メニューのタブには、Astaro Security Gatewayによって検 出 された関 連 ネット ワーク
セキュリティイベント についての概 要 的 な統 計 が表 示 されます。
17.4.1デイリー
【ネットワークセキュリティ( Network Security) 】 >>【デイリー( Daily) 】 タブは、次 のイベント に関
する過 去 24時 間 の統 計 概 観 を示 します。
l
ファイアウォール違 反
l
侵 入 防 御 イベント
ファイアウォール違 反 (Firewall Violations)： ドロップまたは拒 否 されたすべてのデータパケッ
ト は、ファイアウォール違 反 としてカウント されます。 ファイアウォール違 反 の回 数 は、5分 間 の枠 内
で計 算 されます。
486
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.4ネット ワークセキュリティ
図 169 レポーティング：ファイアウォール違 反 のヒスト グラム( デイリー)
侵 入 防 御 イベント (Intrusion Prevention Events)： すべてのチャート に、次 の2つのグラ
フが表 示 されます。
l
アラート イベント (Alert Events)： 侵 入 アラート を引 き起 こしたデータパケット の数 。
l
ド ロップイベント (Drop Events)： 侵 入 防 御 システムによってドロップされたデータパケット
の数 。
図 170 レポーティング：侵 入 防 御 イベント のヒスト グラム( マンスリー)
17.4.2ウィークリー
【ネットワークセキュリティ( Network Security) 】 >>【ウィークリー( Weekly) 】 タブには、最 近 7日
間 以 内 に発 生 したファイアウォール違 反 および侵 入 防 御 イベント に関 する概 要 的 な統 計 が表 示
されます。 ヒスト グラムについては、 「デイリー」 のセクションを参 照 してください。
17.4.3マンスリー
【ネットワークセキュリティ( Network Security) 】 >>【マンスリー( Monthly) 】 タブには、最 近 4週
間 以 内 に発 生 したファイアウォール違 反 および侵 入 防 御 イベント に関 する概 要 的 な統 計 が表 示
ASG V8 管 理 ガイド
487
17.4ネット ワークセキュリティ
17ログおよびレポーティング
されます。 ヒスト グラムについては、 「デイリー」 のセクションを参 照 してください。
17.4.4イヤリー
【ネットワークセキュリティ( Network Security) 】 >>【イヤリー( Yearly) 】 タブには、最 近 12か月
以 内 に発 生 したファイアウォール違 反 および侵 入 防 御 イベント に関 する概 要 的 な統 計 が表 示 さ
れます。 ヒスト グラムについては、 「デイリー」 のセクションを参 照 してください。
17.4.5ファイアウォール
【ネットワークセキュリティ( Network Security) 】 >>【ファイアウォール( Firewall) 】 タブには、ファイ
アウォールアクティビティに関 する包 括 的 なデータが、送 信 元 IP、送 信 元 ホスト 、受 信 パケット 数 、
サービス数 に従 って分 類 されて表 示 されます。
結 果 の表 でIPまたはホスト 名 をクリックすると、 【上 位 サービス( Top Services) 】 ビューのフィルタと
して自 動 的 に使 用 されます。 IP/ネット ワークやネット ワーク範 囲 ( 192.168.1.0/24、10/8など)
を手 動 で指 定 して、 【更 新 ( Update) 】 ボタンを押 し、これらの設 定 を使 用 することができます。
【サービス別 ( By Service) 】 ビューでは、プロト コルとサービスをコンマで区 切 って入 力 することがで
きます( TCP,SMTP、UDP,6000など) 。
ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボタンを使 用 して前 後 の
ページに移 動 できます。
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。 たとえば、
サービス数 で表 を並 べ替 える場 合 は、表 見 出 しの【サービス( Services) 】 をクリックします。 これ
により、最 も多 くのサービスを要 求 した送 信 元 IPがリスト の一 番 先 頭 に表 示 されます。
17.4.6IPS
【ネットワークセキュリティ( Network Security) 】 >>【 IPS】 タブには、ネット ワークでの侵 入 防 御 ア
クティビティに関 する包 括 的 なデータが表 示 されます。
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
488
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.5Webセキュリティ
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。 たとえば、
パケット 数 で表 を並 べ替 える場 合 は、表 見 出 しの【パケット ( Packet) 】 をクリックします。 すると、
最 も多 くのパケット を要 求 した送 信 元 IPが一 番 先 頭 に表 示 されます。
17.5Webセキュリティ
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web Security) 】 メ
ニューのタブには、最 もアクティブなWebユーザと最 もよく表 示 されているWebサイト に関 する概 要
的 な統 計 が表 示 されます。
17.5.1Web使 用 状 況 レポート
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【 Web 使 用 状 況 レポート ( Web Usage Report) 】 ページは、ネット ワークト ラフィ
ックやユーザのWeb使 用 状 況 を確 認 するための強 力 なツールです。 一 見 するとこのページは非
常 に難 解 ですが、使 用 してみて結 果 を調 べることから始 めてみましょう。
ページ構 成
ヘッダバー
まず、次 の要 素 から構 成 されているヘッダバーがあります。
l
ホーム(Home)： このアイコンを使 用 して、クリックやフィルタをすべてクリアして最 初 の状 態
に戻 すことができます。
l
前 へ(Forward)/次 へ(Backward)： これらのアイコンを使 用 して、変 更 や設 定 の履
歴 を前 へ( または後 ろへ) 移 動 することができます。 一 般 的 なWebブラウザと同 様 に機 能
します。
l
利 用 可 能 なレポート (Available Reports)： このドロップダウンリスト には、保 存 されたレ
ポート ( もしあれば) を含 む、利 用 可 能 なすべてのレポート タイプが含 まれます。 これはデフ
ォルト で 【サイト ( Sites) 】 に設 定 されています。 【 Web 使 用 状 況 レポート ( Web Usage
Report) 】 ページの結 果 テーブルは、このレポート タイプ設 定 に直 接 依 存 しています。
ASG V8 管 理 ガイド
489
17.5Webセキュリティ
17ログおよびレポーティング
注 - フィルタを使 用 してレポート を次 々 にクリックすると、 【利 用 可 能 なレポー
ト ( Available Reports) 】 設 定 が自 動 的 に変 化 するのを確 認 できます。 これは常 に、最
新 のレポート 基 準 が反 映 されます。
標 準 (Standard)： レポート タイプは5種 類 あります。詳 細 は以 下 を参 照 してください。
保 存 されたWebレポート (Saved Web Reports)： ここでは、過 去 に作 成 した、保 存 さ
れたWebレポート を選 択 できます。
l
削 除 (Delete)： 保 存 されたWebレポート を削 除 するには、このアイコンをクリックします。
標 準 レポート は削 除 できません。
l
保 存 (Save)： 現 在 のビューを保 存 して、後 日 このビューに簡 単 にアクセスできるようにす
るには、このアイコンをクリックします。 これは【利 用 可 能 なレポート ( Available Reports) 】
ドロップダウンリスト に保 存 されます。 【レポートの送 信 ( Send Reports) 】 チェックボックスに
チェックを入 れると、このレポート を送 信 すべきEメール受 信 者 を1人 以 上 入 力 することがで
きます。 また、保 存 されたレポート を定 期 的 に受 信 することもできます。詳 しくは「スケジュー
ルされたレポート」 を参 照 してください。
フィルタバー
次 に、次 の要 素 から構 成 されているフィルタバーがあります。
l
プラス(+)： このアイコンをクリックして、追 加 のフィルタを作 成 します。詳 細 は以 下 を参 照 し
てください。
l
件 数 (Amount)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を減 らすこと
ができます。 結 果 を、上 位 10件 、50件 、100件 の結 果 に制 限 することができます。
l
時 間 (Time)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を、特 定 の時
間 枠 内 の結 果 に絞 り込 むか広 げることができます。 【カスタム( Custom) 】 タイムフレームを
選 択 すると、独 自 の時 間 枠 を指 定 できます。
l
部 門 (Departments)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を、
指 定 した部 門 に絞 り込 むことができます。 部 門 は【部 門 ( Departments) 】 ページで作 成
できます。
結果テーブル( Results Table)
最 後 に、結 果 テーブルがあります。 ここに表 示 される結 果 は、第 一 に、選 択 したレポート タイプに
依 存 し( 【利 用 可 能 なレポート ( Available Reports) 】 リスト に常 に反 映 ) 、第 二 に、定 義 したフィ
ルタに依 存 します。
490
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.5Webセキュリティ
注 - 匿 名 化 を有 効 にすると、ユーザは名 前 や IP アドレスで表 示 される代 わりに、数 値 で列 挙
されます。
レポート タイプに応 じて、テーブルには異 なる情 報 が表 示 されます。
ユーザ
カテゴ
サイ
リ(Category)： ト (Sites)
ド メイ
URL
ン(Domains)：
#
ト ラフィッ
ク( Traffic)
%
期 間 ( Duration)
ページ( Pages)
要
求 ( Requests)
カテゴ
リ( Categories) *
アクショ
ン( Action) *
理 由 ( Reason) *
情 報 ( Info) *
* = これらのセルをクリックして、情 報 をさらにドリルダウンできます。
#： 発 声 したト ラフィックに関 する順 位 。
ト ラフィック(Traffic)： 発 声 したト ラフィックのサイズ
%： ト ラフィック全 体 に対 する割 合 。
期 間 (Duration)： ユーザがWebサイト に滞 在 した時 間
ページ(Pages)： 要 求 されたページ数
要 求 (Requests)： カテゴリ、サイト 、ドメイン、またはURL別 の要 求 数
カテゴリ(Categories)： あるURLが属 するすべてのカテゴリが表 示 されます。 カテゴリが複 数 存
在 する場 合 、カテゴリをクリックすると小 さいダイアログフィールドが開 き、いずれかのカテゴリを選 択
できます。このカテゴリに基 づいてフィルタが作 成 されます。
ASG V8 管 理 ガイド
491
17.5Webセキュリティ
17ログおよびレポーティング
アクション(Action)： Webサイト がクライアント に配 信 されたか( 配 信 済 み( passed) ) 、アプリ
ケーションコント ロールルールによってブロックされたかを表 示 します。
理 由 (Reason)： Webサイト 要 求 がブロックされた理 由 を表 示 します。 例 ：ユーザがmsiファイル
のダウンロードを試 行 し、ファイル転 送 を禁 止 するアプリケーションコント ロールルールがあった場
合 、セルに理 由 が「msi」と表 示 されます。
情 報 (Info)： 利 用 可 能 な場 合 、このセルにはWebサイト 要 求 がブロックされた理 由 を示 す追
加 情 報 が表 示 されます( 例 ：ファイルダウンロードが拡 張 子 に基 づいてブロックされた場 合 、セルに
は「拡 張 子 ( extension) 」と表 示 されます) 。
フィルタの定 義
フィルタは、結 果 テーブルに表 示 される情 報 をドリルダウンするために使 用 されます。 2通 りの定 義
方 法 があります。まず、フィルタバーの「+」アイコンをクリックするか、テーブルをクリックします。
「+」アイコンを使 用 する場 合 ：フィルタバーで緑 の「+」アイコンをクリックすると、フィールドが2つある
小 さいフィルタバーが表 示 されます。 1番 目 のフィールドのドロップダウンリスト を使 用 すると、レポー
ト タイプを選 択 できます( 「 カテゴリ( Category) 」など) 。 2番 目 のフィールドを使 用 すると、選 択 し
たレポート タイプの値 を選 択 するか入 力 することができます( 例 ：「 カテゴリ( Category) 」を選 んだ
場 合 、「 成 人 向 けトピック( Adult Topics) 」など) 。 【保 存 ( Save) 】 をクリックしてフィルタを保 存
し、結 果 テーブルに適 用 します。
テーブルを使 用 する場 合 ：テーブルをクリックし、クリックしたアイテムに複 数 のレポート タイプがある
場 合 は、 【レポート方 向 ( Reporting Direction) 】 が開 きます。 表 示 されたいずれかのオプション
をフィルタ用 に選 択 する必 要 があります。 【レポート方 向 ( Reporting Direction) 】 ウィンドウを閉
じると、関 連 フィルタが作 成 され、フィルタバーに表 示 されます。 結 果 テーブルに、新 たにフィルタさ
れた結 果 が表 示 されます。
例 ： 【 Web 使 用 状 況 レポート ( Web Usage Report) 】 のデフォルト レポート は【サイト ( Sites) 】 で
す。 結 果 テーブルで、任 意 の行 をクリックします( 例 ：「amazon.com」) 。 【レポート方
向 ( Reporting Direction) 】 ウィンドウが開 き、3つのオプションが提 示 されます。サイト のドメイン
に関 する情 報 、サイト を訪 問 したユーザに関 する情 報 、サイト が属 するカテゴリに関 する情 報 のい
ずれかを参 照 することができます。 複 数 のユーザが「amazon.com」を訪 問 したことがわかりまし
た。さらに詳 細 を確 認 するために、 【ユーザ( Users) 】 ボックスをクリックします。 ウィンドウが閉 じま
す。 ヘッダバーではレポート タイプが【ユーザ( Users) 】 に変 わり、フィルタバーでは【ユー
ザ( Users) 】 の結 果 テーブルが選 択 したサイト ( 「amazon.com」) によってフィルタされたことを確
認 できます。 したがって、テーブルにはこのサイト を訪 問 したすべてのユーザと、これらのセッションに
関 する追 加 情 報 が表 示 されます。
492
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.5Webセキュリティ
注 - 一 部 のテーブルセルには独 自 のフィルタがあるため( 上 の「 結 果 テーブル」セクションでアス
タリスク( *) の付 いたアイテム) 、クリックしたテーブル行 によって結 果 が異 なる場 合 があります。
17.5.2検 索 エンジンレポート
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【検 索 エンジンレポート ( Search Engine Report) 】 ページには、ユーザが使 用
している検 索 エンジンやユーザが行 った検 索 に関 する情 報 が表 示 されます。 一 見 するとこのペー
ジは非 常 に難 解 ですが、使 用 してみて結 果 を調 べることから始 めてみましょう。
ページ構 成
ヘッダバー
まず、次 の要 素 から構 成 されているヘッダバーがあります。
l
ホーム(Home)： このアイコンを使 用 して、クリックやフィルタをすべてクリアして最 初 の状 態
に戻 すことができます。
l
前 へ(Forward)/次 へ(Backward)： これらのアイコンを使 用 して、変 更 や設 定 の履
歴 を前 へ( または後 ろへ) 移 動 することができます。 一 般 的 なWebブラウザと同 様 に機 能
します。
l
利 用 可 能 なレポート (Available Reports)： このドロップダウンリスト には、保 存 されたレ
ポート ( もしあれば) を含 む、利 用 可 能 なすべてのレポート タイプが含 まれます。 これはデフ
ォルト で 【検 索 ( Searches) 】 に設 定 されています。 【検 索 エンジンレポート ( Search
Engine Report) 】 ページの結 果 テーブルは、このレポート タイプ設 定 に直 接 依 存 していま
す。
注 - フィルタを使 用 してレポート を次 々 にクリックすると、 【利 用 可 能 なレポー
ト ( Available Reports) 】 設 定 が自 動 的 に変 化 するのを確 認 できます。 これは常 に、最
新 のレポート 基 準 が反 映 されます。
標 準 (Standard)： レポート タイプは3種 類 あります。詳 細 は以 下 を参 照 してください。
保 存 された検 索 エンジンレポート (Saved Search Engine Reports)： ここでは、過
去 に作 成 した、保 存 された検 索 エンジンレポート を選 択 できます。
l
削 除 (Delete)： 保 存 された検 索 エンジンレポート を削 除 するには、このアイコンをクリック
します。 標 準 レポート は削 除 できません。
ASG V8 管 理 ガイド
493
17.5Webセキュリティ
l
17ログおよびレポーティング
保 存 (Save)： 現 在 のビューを保 存 して、後 日 このビューに簡 単 にアクセスできるようにす
るには、このアイコンをクリックします。 これは【利 用 可 能 なレポート ( Available Reports) 】
ドロップダウンリスト に保 存 されます。 【レポートの送 信 ( Send Reports) 】 チェックボックスに
チェックを入 れると、このレポート を送 信 すべきEメール受 信 者 を1人 以 上 入 力 することがで
きます。 また、保 存 されたレポート を定 期 的 に受 信 することもできます。詳 しくは「スケジュー
ルされたレポート」 を参 照 してください。
フィルタバー
次 に、次 の要 素 から構 成 されているフィルタバーがあります。
l
プラス(+)： このアイコンをクリックして、追 加 のフィルタを作 成 します。詳 細 は以 下 を参 照 し
てください。
l
件 数 (Amount)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を減 らすこと
ができます。 結 果 を、上 位 10件 、50件 、100件 の結 果 に制 限 することができます。
l
時 間 (Time)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を、特 定 の時
間 枠 内 の結 果 に絞 り込 むか広 げることができます。 【カスタム( Custom) 】 タイムフレームを
選 択 すると、独 自 の時 間 枠 を指 定 できます。
l
部 門 (Departments)： ドロップダウンリスト を使 用 して、テーブルに表 示 される結 果 を、
指 定 した部 門 に絞 り込 むことができます。 部 門 は【部 門 ( Departments) 】 ページで作 成
できます。
結果テーブル( Results Table)
最 後 に、結 果 テーブルがあります。 ここに表 示 される結 果 は、第 一 に、選 択 したレポート タイプに
依 存 し( 【利 用 可 能 なレポート ( Available Reports) 】 リスト に常 に反 映 ) 、第 二 に、定 義 したフィ
ルタに依 存 します。 次 のレポート タイプを使 用 できます。
l
検 索 (Searches)： ユーザが使 用 した検 索 文 字 列 を表 示 します。
l
検 索 エンジン(Search Engines)： ユーザが使 用 した検 索 エンジンを表 示 します。
l
ユーザの検 索 (Users Searches)： 検 索 を行 ったユーザを表 示 します。
注 - 匿 名 化 を有 効 にすると、ユーザは名 前 や IP アドレスで表 示 される代 わりに、数 値 で列 挙
されます。
それぞれのレポート タイプに対 して、テーブルには以 下 の情 報 が表 示 されます。
#： 頻 度 に関 する順 位 。
要 求 (Requests)： 検 索 文 字 列 、検 索 エンジン、ユーザ別 の要 求 回 数 。
%： 検 索 全 体 に対 する割 合 。
494
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.5Webセキュリティ
フィルタの定 義
フィルタは、結 果 テーブルに表 示 される情 報 をドリルダウンするために使 用 されます。 2通 りの定 義
方 法 があります。まず、フィルタバーの「+」アイコンをクリックするか、テーブルをクリックします。
「+」アイコンを使 用 する場 合 ：フィルタバーで緑 の「+」アイコンをクリックすると、フィールドが2つある
小 さいフィルタバーが表 示 されます。 1番 目 のフィールドのドロップダウンリスト を使 用 すると、レポー
ト タイプを選 択 できます( 「 検 索 エンジン( Search Engine) 」など) 。 2番 目 のフィールドを使 用 す
ると、選 択 したレポート タイプの値 を選 択 するか入 力 することができます( 例 ：「 検 索 エンジ
ン( Search Engine) 」を選 んだ場 合 、「Google( google.com) 」など) 。 【保 存 ( Save) 】 をクリッ
クしてフィルタを保 存 し、結 果 テーブルに適 用 します。
テーブルを使 用 する場 合 ：テーブルをクリックし、クリックしたアイテムに複 数 のレポート タイプがある
場 合 は、 【レポート方 向 ( Reporting Direction) 】 が開 きます。 表 示 されたいずれかのオプション
をフィルタ用 に選 択 する必 要 があります。 【レポート方 向 ( Reporting Direction) 】 ウィンドウを閉
じると、関 連 フィルタが作 成 され、フィルタバーに表 示 されます。 結 果 テーブルに、新 たにフィルタさ
れた結 果 が表 示 されます。
例 ： 【検 索 エンジンレポート ( Search Engine Report) 】 のデフォルト レポート は【検
索 ( Searches) 】 です。 結 果 テーブルで、任 意 の行 をクリックします( 例 ：「天 気 」) 。 【レポート方
向 ( Reporting Direction) 】 ウィンドウが開 き、2つのオプションが提 示 されます。検 索 に対 して使
用 された検 索 エンジンに関 する情 報 を表 示 するか( 【検 索 エンジン( Search Engines) 】 ) 、この
文 字 列 を検 索 したユーザに関 する情 報 を表 示 します( 【ユーザ検 索 ( Users Searches) 】 ) 。 複
数 のユーザが「天 気 」について検 索 したことがわかりました。さらに詳 細 を確 認 するために、 【ユーザ
検 索 ( Users Searches) 】 ボックスをクリックします。 ウィンドウが閉 じます。 ヘッダバーでレポート タ
イプが【ユーザ検 索 ( Users Searches) 】 に変 わり、フィルタバーで 【ユーザ検 索 ( Users
Searches) 】 の結 果 テーブルが選 択 した検 索 文 字 列 ( 「天 気 」) によってフィルタされたことを確 認
できます。 したがって、テーブルには「天 気 」について検 索 したすべてのユーザと、これらの検 索 に関
する追 加 情 報 が表 示 されます。
注 - 一 部 のテーブルセルには独 自 のフィルタがあるため( 上 の「 結 果 テーブル」セクションでアス
タリスク( *) の付 いたアイテム) 、クリックしたテーブル行 によって結 果 が異 なる場 合 があります。
17.5.3部 門
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【部 門 ( Departments) 】 ページでは、ユーザまたはホスト およびネット ワークを仮
ASG V8 管 理 ガイド
495
17.5Webセキュリティ
17ログおよびレポーティング
想 部 門 にグループ化 することができます。 次 に、これらの部 門 を使 用 してWeb使 用 状 況 レポート
や検 索 エンジンレポート をフィルタすることができます。
部 門 を作 成 するには、次 の手 順 に従 います。
1. 【部 門 (Departments)】 タブで、 【部 門 の追 加 (Add Department)】 をクリックしま
す。
【新 規 部 門 の追 加 ( Add New Department) 】 ダイアログボックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)：部 門 を説 明 する名 前 を入 力 してください。
3. ユーザまたはホスト /ネット ワークを追 加 します。
部 門 の定 義 には、ユーザとホスト /ネット ワークのいずれかしか含 めることができず、両 方 を
同 時 に含 めることはできません。
l
ユーザ(Users)： この部 門 に加 えるユーザを1人 以 上 ボックスに追 加 します。
l
ホスト /ネット ワーク(Hosts/Networks)： この部 門 に加 えるホスト またはネット
ワークを1つ以 上 ボックスに追 加 します。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
4. 【保 存 (Save)】 をクリックします。
新 しい部 門 が【部 門 ( Departments) 】 リスト に表 示 されます。
部 門 を編 集 、削 除 、または複 製 するには、対 応 するボタンをクリックします。
部 門 の使 用 について詳 しくは、「Web 使 用 状 況 レポート 」と「 検 索 エンジンレポート 」のセクション
を参 照 してください。
17.5.4スケジュールされたレポート
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【スケジュールされたレポート ( Scheduled Reports) 】 ページでは、定 期 的 にE
メールで送 信 したい保 存 済 みレポート を定 義 することができます。 スケジュールされたレポート を
作 成 するためには、あらかじめ保 存 済 みのレポート が少 なくとも1つ必 要 です( レポート の保 存 につ
いては、 「 Web 使 用 状 況 レポート」 または「検 索 エンジンレポート 」のセクションを参 照 ) 。
スケジュールされたレポート を作 成 するには、次 の手 順 に従 います。
1. 【スケジュールされたレポート (Scheduled Reports)】 タブで、 【スケジュールされたレポー
トの追 加 (Add Scheduled Report)】 をクリックします。
496
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.5Webセキュリティ
【新 しいスケジュールされたレポートの追 加 ( Add New Scheduled Report) 】 ダイアログボ
ックスが開 きます。
2. 次 の設 定 を行 います。
名 前 (Name)：スケジュールされたレポート を説 明 する名 前 を入 力 してください。
間 隔 (Interval)： ドロップダウンリスト から、レポート を送 信 する間 隔 を選 択 します。
レポート (Reports)： 保 存 されたすべてのレポート がここに表 示 されます。 選 択 した間 隔
で送 信 する各 レポート の前 にあるチェックボックスにチェックを入 れてください。
受 信 者 (Recipients)： 選 択 したレポート を受 信 する受 信 者 をボックスに追 加 します。 イ
ンポート ボタンを使 用 して受 信 者 のリスト を追 加 することができます。
コメント (Comment)( オプション) ：説 明 などの情 報 を追 加 します。
3. 【保 存 (Save)】 をクリックします。
新 しいスケジュールされたレポート が【スケジュールされたレポート ( Scheduled Reports) 】
リスト に表 示 されます。
部 門 を編 集 、削 除 、または複 製 するには、対 応 するボタンをクリックします。 スケジュールされたレ
ポート 自 体 を削 除 せずにレポート の送 信 を無 効 化 するには、レポート のステータスアイコンを使 用
します。
17.5.5アプリケーションコント ロール
【ログおよびレポーティング( Logging& Reporting) 】 >>【 Web セキュリティ( Web
Security) 】 >>【アプリケーションコントロール( Application Control) 】 ページには、様 々 な期 間
における最 もアクティブな送 信 元 、最 も訪 問 が頻 繁 な宛 先 、最 も人 気 の高 いアプリケーションに
ついての総 合 的 な統 計 が表 示 されます。 変 更 した場 合 は、必 ず【更 新 ( Update) 】 ボタンをクリ
ックして確 定 してください。 ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボ
タンを使 用 して前 後 のページに移 動 できます。
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。 たとえば、
送 受 信 パケット 数 ですべての送 信 元 を並 べ替 える場 合 は、表 見 出 しの【パケット ( Packets) 】
をクリックします。 これにより、最 も多 くのパケット を送 受 信 した送 信 元 がリスト の一 番 上 に表 示 さ
れます。
ASG V8 管 理 ガイド
497
17.5Webセキュリティ
17ログおよびレポーティング
最 もアクティブな送 信 元 はすぐには表 に表 示 されず、セッションタイムアウト の発 生 後 に表 示 されま
す。 たとえば、特 定 クライアント ( ユーザ名 またはIPアドレス) が5分 間 Webサーフィンを停 止 したと
します。 この場 合 、ASGはこのサーフィンセッションを「デッド( dead) 」と判 断 し、最 もアクティブな
送 信 元 リスト に表 示 する前 にデータベースに送 ります。
さらに、 【アプリケーション別 ( By Application) 】あるいは【送 信 元 別 ( By Source) 】 を使 用 したレ
ポート も選 択 できます。 続 いて、フィルタフィールドが表 示 されます。ここに、求 めるアプリケーション
や送 信 元 を入 力 し、 【更 新 ( Update) 】 をクリックして設 定 を確 認 する必 要 があります。 表 には、
指 定 したアプリケーションまたは送 信 元 でフィルタされた結 果 が表 示 されます( もしあれば) 。
パーセント 記 号 ( %) をワイルドカードとして使 用 できます。 キーワード末 尾 にパーセント 記 号 を付 け
た場 合 は、完 全 一 致 または部 分 一 致 を検 索 するようにAstaro Security Gatewayに指 示 する
ことになります。 フィルタフィールドでは大 文 字 と小 文 字 が区 別 されます。 例 ： 【アプリケーショ
ン( Application) 】 フィールドに「Google%」と入 力 すると、表 には「Google Safe
Browsing」、「Google Analytics」、「Google」などが表 示 されますが、「google」は表 示 されま
せん。
17.5.6非 匿 名 化
【 Web セキュリティ( Web Security) 】 >>【非 匿 名 化 ( Deanonymization) 】 タブは、匿 名 化 が
有 効 になっている場 合 のみアクセス可 能 です( 「ログおよびレポーティング」 >>「レポーティング設
定 」 >>「匿 名 化 」 を参 照 ) 。
図 171 レポーティング：シングルユーザの非 匿 名 化
ここでは、Webセキュリティレポート に関 する特 定 ユーザの匿 名 化 をやめることができます。 次 の
手 順 で実 行 します。
498
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.6メールセキュリティ
1. 両 方 のパスワード を入 力 します。
匿 名 化 を有 効 にするために指 定 した1番 目 と2番 目 のパスワードを入 力 します。
2. 非 匿 名 化 にするユーザを追 加 します。
【ユーザの非 匿 名 化 ( Deanonymize Users) 】 ボックスに、非 匿 名 にするユーザのユーザ
名 を追 加 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
17.6メールセキュリティ
【ログおよびレポーティング( Logging & Reporting) 】 >>【メールセキュリティ( Mail Security) 】
メニューのタブには、メールフロー、メール使 用 状 況 、およびメールセキュリティについての概 要 的 な
統 計 が表 示 されます。
17.6.1使 用 状 況 グラフ
【メールセキュリティ( Mail Security) 】 >>【使 用 状 況 グラフ( Usage Graphs) 】 タブには、さまざ
まな時 間 枠 内 にASGを通 過 したメールフローの概 要 的 な統 計 が表 示 されます。
l
デイリー
l
ウィークリー
l
マンスリー
l
イヤリー
ASG V8 管 理 ガイド
499
17.6メールセキュリティ
17ログおよびレポーティング
図 172 レポーティング：メールフローのヒスト グラム
17.6.2メール使 用 状 況
【メールセキュリティ( Mail Security) 】 >>【メール使 用 状 況 ( Mail Usage) 】 タブには、さまざまな
時 間 枠 内 で最 もアクティブに使 用 されたEメールアドレスやアドレスドメインに関 する包 括 的 な統
計 が表 示 されます。 変 更 した場 合 は、必 ず【更 新 ( Update) 】 ボタンをクリックして確 定 してくださ
い。 ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボタンを使 用 して前 後 の
ページに移 動 できます。
図 173 レポーティング：最 もアクティブなEメールアドレスのランキング
17.6.3ブロックされたメール
【メールセキュリティ( Mail Security) 】 >>【ブロックされたメール( Blocked Mail) 】 タブには、アンチ
ウイルスおよびアンチスパムによってブロックされたすべてのEメール要 求 に関 する包 括 的 な統 計 が
表 示 されます。 変 更 した場 合 は、必 ず【更 新 ( Update) 】 ボタンをクリックして確 定 してください。
ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボタンを使 用 して前 後 のペー
ジに移 動 できます。
500
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.6メールセキュリティ
17.6.4非 匿 名 化
【メールセキュリティ( Mail Security) 】 >>【非 匿 名 化 ( Deanonymization) 】 タブは、匿 名 化 が
有 効 になっている場 合 のみアクセス可 能 です( 「ログおよびレポーティング( Logging &
Reporting) 」 >>「レポーティング設 定 」 >>「匿 名 化 」 を参 照 ) 。
図 174 レポーティング：Eメールアドレスとドメインの非 匿 名 化
ここでは、メールセキュリティレポート で特 定 のEメールアドレスやドメインの匿 名 化 を中 止 すること
ができます。 次 の手 順 で実 行 します。
1. 両 方 のパスワード を入 力 します。
匿 名 化 を有 効 にするために指 定 した1番 目 と2番 目 のパスワードを入 力 します。
2. 次 の設 定 を行 います。
アド レスの非 匿 名 化 (Deanonymize Addresses)： 非 匿 名 化 するEメールアドレスを
追 加 します。
ド メインの非 匿 名 化 (Deanonymize Domains)： 非 匿 名 化 するドメインを追 加 しま
す。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
指 定 したEメールアドレスとドメインはレポート に表 示 されるようになります。
ASG V8 管 理 ガイド
501
17.7リモート アクセス
17ログおよびレポーティング
17.7リモート アクセス
【ログおよびレポーティング( Logging & Reporting) 】 >>【リモートアクセス( Remote Access) 】
メニューのタブは、リモート アクセスアクティビティおよびセッション情 報 に関 する全 体 的 な統 計 を提
供 します。
17.7.1アクティビティ
【リモートアクセス( Remote Access) 】 >>【アクティビティ( Activity) 】 タブは、さまざまな期 間 につ
いてASG IPsec、SSL VPN、PPTP、およびL2TPのリモート アクセスに関 する統 計 概 要 を提 供 しま
す。
l
デイリー
l
ウィークリー
l
マンスリー
l
イヤリー
期 間 を選 択 (Select Timeframe)： ドロップダウンリスト を使 用 して、レポート 期 間 を選 択 しま
す。 ページは自 動 的 にリロード( 再 読 み込 み) されます。
17.7.2セッション
【リモートアクセス( Remote Access) 】 >>【セッション( Session) 】 タブは、さまざまな時 間 範 囲 に
ついて、完 了 したセッション、失 敗 したログイン、および現 在 のユーザに関 する包 括 的 な統 計 を提
供 します。
502
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.7リモート アクセス
図 175 レポーティング：最 後 の30日 間 の完 了 したセッション接 続
表 のデータはフィルタできます。 表 のヘッダセルをクリックすると、最 もすばやくフィルタできます。 も
う1つの方 法 は、2番 目 のドロップダウンリスト からフィルタを選 択 し、フィルタ引 数 を入 力 して【更
新 ( Update) 】 ボタンをクリックする方 法 です。
最 初 のドロップダウンリスト で選 択 したセッションに応 じて、以 下 のフィルタを使 用 できます。
l
サービス毎 (By Service)： 現 在 のユーザ( Current Users) 、 完 了 したセッショ
ン( Completed Sessions) 、 失 敗 したログイン( Failed Logins)
l
ユーザ毎 (By User)： 現 在 のユーザ( Current Users) 、 完 了 したセッショ
ン( Completed Sessions)
l
送 信 元 IPアド レス毎 (By Source IP Address)： 現 在 のユーザ( Current Users) 、
完 了 したセッション( Completed Sessions)
l
仮 想 IPアド レス毎 (By Virtual IP Address)： 現 在 のユーザ( Current Users) 、 完
了 したセッション( Completed Sessions) 、 失 敗 したログイン( Failed Logins)
ページあたり20件 を超 える結 果 がある場 合 は、次 ページ/前 ページボタンを使 用 して前 後 のペー
ジに移 動 できます。
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。 たとえば、
サービス別 に表 を並 び替 える場 合 は、表 見 出 しの【サービス( Service) 】 をクリックします。 これ
で、表 はサービス別 にアルファベット 順 に並 び替 えられます。
ASG V8 管 理 ガイド
503
17.8Webアプリケーションファイアウォール
17ログおよびレポーティング
17.8Webアプリケーションファイアウォー
ル
【ログおよびレポーティング( Logging & Reporting) 】 >>【 Web アプリケーションファイアウォー
ル( Web Application Firewall) 】 メニューのタブは、Webサーバの要 求 、警 告 、アラート に関 す
る全 体 的 な統 計 を提 供 します。
17.8.1使 用 状 況 グラフ
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【使 用 状 況 グラ
フ( Usage Graphs) 】 タブは、さまざまな時 間 枠 内 にASGで発 生 したWebサーバの要 求 、警
告 、アラート に関 する全 体 的 な統 計 を提 供 します。
l
デイリー
l
ウィークリー
l
マンスリー
l
イヤリー
図 176 レポーティング：Webアプリケーションファイアウォールのマイスリーアクティビティのヒスト グラ
ム
17.8.2詳 細
【 Web アプリケーションファイアウォール( Web Application Firewall) 】 >>【詳 細 ( Details) 】 タブ
には、さまざまな時 間 枠 内 で最 もアクティブだったクライアント 、仮 想 ホスト 、バックエンド、応 答 コー
ド、および様 々 な攻 撃 に関 する包 括 的 な統 計 が表 示 されます。 変 更 した場 合 は、必 ず【更
504
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.9エグゼクティブレポート
新 ( Update) 】 ボタンをクリックして確 定 してください。 ページあたり20件 を超 える結 果 がある場 合
は、次 ページ/前 ページボタンを使 用 して前 後 のページに移 動 できます。
タブ右 上 隅 の対 応 するアイコンをクリックすると、データをPDFあるいはExcel形 式 でダウンロードで
きます。 レポート は、現 在 選 択 されているビュー( 表 示 ) から生 成 されます。 さらに、円 グラフのアイ
コンがある場 合 はそれをクリックすると、表 の上 に円 グラフが表 示 されます。
ヒント - 表 の列 見 出 しをクリックすると、すべてのデータを並 べ替 えることができます。
17.9エグゼクティブレポート
【ログ( Logging) 】 &【レポーティング( Reporting) 】 >>【エグゼクティブレポート ( Executive
Report) 】 メニューでは、各 サービスのネット ワーク使 用 状 況 を表 示 するために重 要 なレポーティン
グデータをグラフィカルな形 式 にまとめることができます。
17.9.1レポート を見 る( View Report)
【ログおよびレポーティング( Logging & Reporting) 】 >>【エグゼクティブレポート ( Executive
Report) 】 >>【レポートを見 る( View Report) 】 タブでは、 【レポーティング( Reporting) 】 メニュー
のタブとページにある個 々 のレポート に基 づいて、完 全 なエグゼクティブレポート を作 成 することが
できます。エグゼクティブレポート を表 示 するウィンドウを開 くには、 【レポートを作 成 ( Generate
Report Now) 】 ボタンをクリックします。
17.9.2アーカイブエグゼクティブレポート ( Archived
Executive Reports)
【エグゼクティブレポート ( Executive Report) 】 >>【アーカイブエグゼクティブレポート ( Archived
Executive Reports) 】 タブには、アーカイブされたすべてのエグゼクティブレポート の概 要 が表 示 さ
れます。 【設 定 ( Configuration) 】 タブでアーカイブが選 択 されているエグゼクティブレポート のみが
アーカイブされます。
17.9.3設 定
【エグゼクティブレポート ( Executive Report) 】 >>【設 定 ( Configuration) 】 タブでは、エグゼク
ティブレポート の設 定 を行 うことができます。
ASG V8 管 理 ガイド
505
17.10ログ設 定
17ログおよびレポーティング
エグゼクティブレポート の期 間 を選 択 します。 レポート は、デイリー、ウィークリー、マンスリーベース
で作 成 することができます。 【ウィークリー( Weekly) 】 を選 択 した場 合 、エグゼクティブレポート が
データの収 集 を開 始 する曜 日 も選 択 できます。
さらに、エグゼクティブレポート の受 信 者 のメールアドレスを入 力 します。 異 なる期 間 に対 して異 な
るメールアドレスを設 定 することができます。
図 177 レポーティング( Reporting) ：デイリーエグゼクティブレポート の設 定
17.10ログ設定
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログ設 定 ( Log Settings) 】 メニュー
で、ローカルおよびリモート ログの基 本 的 な設 定 を構 成 できます。
17.10.1ローカルログ
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログ設 定 ( Log Settings) 】 >>【ロー
カルログ( Local Logging) 】 タブで、ローカルログの設 定 を行 うことができます。 デフォルト ではロー
カルログは有 効 になっています。
506
ASG V8 管 理 ガイド
17.10ログ設 定
17ログおよびレポーティング
図 178 ログ：ローカルログの有 効 化
ただし、ローカルログが無 効 になっている場 合 は、以 下 の手 順 で有 効 にできます。
1. 【ローカルログ(Local Logging)】 タブでローカルログを有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンが緑 色 に変 わり、このタブ内 のエリアが編 集 可 能 になります。
2. ログファイルを削 除 する時 間 枠 を選 択 します。
ドロップダウンリスト から、ログファイルに自 動 的 に適 用 するアクションを選 択 します。 デフォル
ト では、 【ログファイルを削 除 しない( Never delete log files) 】 が選 択 されています。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
し きい 値 ( Th r e s h ol ds )
ここでローカルログのしきい値 を定 義 できます。しきい値 は、この値 に達 した場 合 に実 行 される特
定 のアクションに結 び付 けられます。 次 の作 業 を実 行 できます。
ASG V8 管 理 ガイド
507
17.10ログ設 定
17ログおよびレポーティング
l
なし(Nothing)： 何 も起 こりません。
l
通 知 を送 信 (Send Notification)：しきい値 に達 したことを管 理 者 に伝 える通 知 を送
信 します。
l
一 番 古 いログファイルを削 除 (Delete Oldest Logfiles)：残 りの量 が設 定 したしきい
値 より下 になるまで、あるいはログファイルのアーカイブが空 になるまで、一 番 古 いログファイ
ルが削 除 されます。 さらに、そのアクションの通 知 が管 理 者 に送 信 されます。
l
システムをシャット ダウン(Shutdown System)：システムがシャット ダウンします。そのア
クションの通 知 が管 理 者 に送 信 されます。
システムをシャット ダウンする場 合 は、管 理 者 はローカルログの設 定 を変 更 し、ログファイル
の削 除 を設 定 するか、あるいはログファイルを手 動 で移 動 /削 除 する必 要 があります。 シス
テムシャット ダウンの理 由 が持 続 する場 合 は、次 回 のログ消 去 プロセスの実 行 時 ( 毎 日 午
前 12:00つまり真 夜 中 に実 施 ) にシステムは再 び自 らをシャット ダウンします。
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
17.10.2リモート Syslogサーバ
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログ設 定 ( Log Settings) 】 >>【リ
モート Syslog サーバ( Remote Syslog Server) 】 タブで、リモート ログの設 定 を行 うことができま
す。 この機 能 により、ゲート ウェイ から他 のホスト にログメッセージを転 送 できます。 これは、ホスト
を使 用 していくつかのゲート ウェイからログ情 報 を収 集 するネット ワークで特 に役 立 ちます。選 択 し
たホスト では、Syslogプロト コル互 換 のログデーモンを実 行 する必 要 があります。
508
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.10ログ設 定
図 179 ログ：リモート Syslogサーバの設 定
リモート syslogサーバを設 定 するには、以 下 の手 順 に従 います。
1. 【リモート Syslogサーバ(Remote Syslog Server)】 タブでリモート syslogを有 効 にし
ます。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり、 【リモート Syslog 設 定 ( Remote Syslog
Settings) 】 エリアが編 集 可 能 になります。
2. 【 Syslogサーバ(Syslog Servers)】 ボックスの「+」アイコンをクリックしてサーバを作 成
します。
【 Syslog サーバの追 加 ( Add Syslog Server) 】 ダイアログボックスが開 きます。
ASG V8 管 理 ガイド
509
17.10ログ設 定
17ログおよびレポーティング
3. 次 の設 定 を行 います。
名 前 (Name)： リモート syslogサーバを説 明 する名 前 を入 力 します。
サーバ(Server)：ゲート ウェイからログデータを受 信 する必 要 があるホスト を追 加 または選
択 します。
警 告 -ゲート ウェイ自 体 のインターフェースをリモート syslogホスト として使 用 しないでくだ
さい。これを行 うと、ログループになります。
ポート (Port)： 接 続 に使 用 するポート を追 加 または選 択 します。
4. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
リモート S y s l ogバッファ( Re m ote S y s l og B u f f e r )
このエリアで、リモート syslogのバッファサイズを変 更 できます。 バッファサイズはバッファに保 持 され
るログの行 数 です。 デフォルト は1000です。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックしま
す。
リモート S y s l ogログの選 択 ( Re m ote S y s l og L og S e l e c ti on )
このエリアはリモート syslogが有 効 なときのみ編 集 できます。 syslogサーバに送 信 するログのチェ
ックボックスにチェックを入 れてください。 【すべてを選 択 ( Select All) 】 オプションを選 択 すると、一 度
にすべてのログを選 択 することができます。設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
17.10.3リモート ログファイルアーカイブ
【ログおよびレポーティング( Logging & Reporting) 】 >>【ログ設 定 ( Log Settings) 】 >>【リ
モートログファイルアーカイブ( Remote Logfile Archives) 】 タブで、ログファイルのリモート アーカイブ
を設 定 することができます。 リモート ログファイルのアーカイブを有 効 にすると、これまでのログファイル
は1つのファイルに集 約 ・圧 縮 され、リモート ログファイルのスト レージに転 送 されます。 ドロップダウン
リスト で転 送 方 法 を選 択 できます。
510
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.10ログ設 定
図 180 ログ：リモート ログファイルアーカイブの設 定
リモート ログファイルのアーカイブを設 定 するには、以 下 の手 順 に従 います。
1. リモートログファイルアーカイブ(Remote Log File Archives)機 能 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ステータスアイコンがアンバー色 に変 わり、 【リモートログファイルアーカイブ( Remote Logfile
Archive) 】 エリアが編 集 可 能 になります。
2. ログファイルのアーカイブ方 式 を選 択 します。
ドロップダウンリスト で、希 望 のアーカイブ方 式 を選 択 します。 選 択 した方 式 に応 じて、各
アーカイブ方 式 に関 連 する設 定 オプションが下 に表 示 されます。 以 下 のアーカイブ方 式 か
ら選 択 できます。
l
FTPサーバ(FTP Server)：FTP( ファイル転 送 プロトコル) 方 式 では、以 下 のパラ
メータを設 定 する必 要 があります。
l ホスト (Host)：FTPサーバのホスト の定 義 。
l
サービス(Service)： サーバがリスンするTCPポート 。
l
ユーザ名 (Username)：FTPサーバアカウント のユーザ名 。
l
パスワード (Password)：FTPサーバアカウント のパスワード。
l
パス(Path)：ログファイルが保 存 されているリモート ( 相 対 ) パス。
ASG V8 管 理 ガイド
511
17.10ログ設 定
l
17ログおよびレポーティング
SMB(CIFS)シェア(SMB(CIFS)Share)：SMB方 式 では、以 下 のパラメータの
設 定 が必 要 です。
l ホスト (Host)：SMBサーバのホスト の定 義 。
l
ユーザ名 (Username)：SMBアカウント のユーザ名 。
l
パスワード (Password)：SMBアカウント のパスワード。
セキュリティに関 する注 記 - パスワードは設 定 ファイルにプレーンテキスト で
保 存 されます。 したがって、このログに固 有 のユーザ/パスワードの組 み合 わ
せを作 成 することをお勧 めします。
l
l
l
共 有 (Share)：SMB共 有 名 。 ログファイルの転 送 先 のパスまたはネット ワー
ク共 有 情 報 を入 力 します( 例 ：/logs/logfile_archive) 。
l
ワークグループ/ド メイン(Workgroup/Domain) ログファイルのアーカイブ
を入 れるワークグループまたはドメインを入 力 します。
セキュアコピー(SSHサーバ)(Secure Copy(SSH Server))：SCP方 式 を使
用 するには、公 開 SSH DSA鍵 を、お使 いのSCPサーバの承 認 済 み鍵 に追 加 する
必 要 があります。Linuxシステムでは、SSH DSA鍵 をカット &ペースト して、設 定 され
たユーザアカウント の~/.ssh/authorized_keysファイルに追 加 できます。インスー
ト ール時 にAstaro Security Gateway によって新 しいSSHDSA 鍵 が作 成 されま
す。セキュリティ上 の理 由 から、このSSH DSA鍵 はバックアップには含 まれません。 し
たがって、新 規 またはバックアップのインスト ール後 に、新 しいSSH DSA鍵 をリモート
サーバに保 存 して、ログファイルのアーカイブをSCPサーバに安 全 にコピーできるように
する必 要 があります。
SCP方 式 には以 下 の設 定 が必 要 です。
l
ホスト (Host)：SCPサーバのホスト の定 義 。
l
ユーザ名 (Username)：SCPサーバアカウント のユーザ名 。
l
パス(Path)：ログファイルの保 存 先 の( 完 全 な) リモート パス。
l
公 開 DSA鍵 (Public DSA Key)：リモート スト レージホスト 上 で、提 供 さ
れた公 開 DSA鍵 を承 認 済 み鍵 のリスト に追 加 します。
Eメールで送 信 (Send by E-mail)：ログファイルのアーカイブをEメールで送 信 する
ために、有 効 なEメールアドレスを入 力 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
512
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.11レポーティング設 定
転 送 が失 敗 すると、アーカイブはゲート ウェイに残 ります。 それぞれのログ削 除 プロセス時 に、ゲート
ウェイ は残 りすべてのアーカイブを配 信 しようと試 みます。
17.11レポーティング設定
【ログおよびレポーティング( Logging & Reporting) 】 >>【レポーティング設 定 ( Reporting
Settings) 】 メニューで、レポーティングの特 定 機 能 の有 効 化 /無 効 化 やデータ保 持 時 間 /量 の
設 定 といったレポーティング機 能 の設 定 を行 うことができます。 さらに、プライバシ保 護 を強 化 する
ためにデータを匿 名 にすることができます。
17.11.1設 定
【設 定 ( Settings) 】 タブで、レポート アクションおよびレポート データが自 動 的 に削 除 されるまでの
システムでの保 持 期 間 を定 義 できます。 以 下 のレポート ト ピックを設 定 できます。
l
アカウンティング
l
アプリケーションコント ロール
l
認証
l
メールセキュリティ
l
ファイアウォール
l
IPS
l
リモート アクセス
l
Webアプリケーションファイアウォール
l
Webセキュリティ
左 側 のチェックボックスを使 用 して、特 定 ト ピックに関 するレポート を有 効 /無 効 にします。 デフォル
ト では、すべてのレポート ト ピックが有 効 になっています。
右 側 のドロップダウンリスト を使 用 して、レポート データの保 持 期 間 を設 定 します。
注 - 不 要 なレポート を無 効 にすることで、マシンの基 本 的 な負 荷 を減 らし、パフォーマンスのボ
ト ルネックを削 減 できます。 レポート の保 持 期 間 はできるだけ短 く設 定 してください。保 存 データ
の量 が多 いと基 本 的 な負 荷 が高 くなり、動 的 なレポート ページの応 答 性 を低 下 させます。
このタブの設 定 は、ログファイルアーカイブへは影 響 しません。
ASG V8 管 理 ガイド
513
17.11レポーティング設 定
17ログおよびレポーティング
W e bセキュ リティ レポート 詳 細 レベル
このセクションでは、Webセキュリティレポート の詳 細 レベルを定 義 することができます。 詳 細 レベ
ルを高 くすると、メモリの使 用 量 とシステム負 荷 が目 に見 えて増 加 するため、必 要 でない限 りは、
詳 細 レベルを低 くしてください。
以 下 の詳 細 レベルを設 定 できます。
l
ド メインのみ(Domain only)： レポート には、URLのト ップレベルドメインとセカンドレベル
ドメイン( 例 ：example.com) が表 示 されます。 サードレベルドメインは、強 制 すると表 示 さ
れます( 例 ：example.co.uk) 。
l
フルド メイン(Full domain)： レポート には、フルドメインが表 示 されます(
例 ：www.example.com、shop.example.com) 。
l
URLの1レベル(1 level of URL)： レポート には、URLの最 初 の( 仮 想 ) ディレクト リが
追 加 で表 示 されます( 例 ：www.example.com/en/) 。
l
URLの2レベル(2 levels of URL)： レポート には、URLの最 初 から2つの( 仮 想 ) ディレ
クト リが追 加 で表 示 されます( 例 ：www.example.com/en/products/) 。
l
URLの3レベル(3 levels of URL)： レポート には、URLの最 初 から3つの( 仮 想 ) ディレ
クト リが追 加 で表 示 されます( 例 ：www.example.com/en/products/new/) 。
エグゼ クエィ ブレポート の設 定 ( Ex e c u ti v e Re por t S e tti n gs )
このエリアで、保 持 するエグゼクティブレポート の数 をそれぞれ定 義 できます。
l
デイリーレポート ：最 大 60
l
ウィークリーレポート ：最 大 52
l
マンスリー：最 大 12
設 定 を保 存 するには【適 用 ( Apply) 】 をクリックします。
エグゼクティブレポート とそのオプションに関 する詳 細 は、 「ログおよびレポーティング」 >>「エグゼク
ティブレポート」 を参 照 してください。
P D F 用 紙 設 定 ( P D F P a pe r S e tti n gs )
PDFエグゼクティブレポート のデフォルト の用 紙 サイズはA4です。 ドロップダウンリスト を使 用 して、 【
レター( Letter) 】 または【リーガル( Legal) 】 を選 択 できます。設 定 を保 存 するには【適
用 ( Apply) 】 をクリックします。
514
ASG V8 管 理 ガイド
17ログおよびレポーティング
17.11レポーティング設 定
17.11.2除 外
【レポーティング設 定 ( Reporting Settings) 】 >>【除 外 ( Exceptions) 】 タブで、特 定 のドメイン
やアドレスをレポート から除 外 できます。これはエグゼクティブレポート およびそれぞれの【レポーティ
ング( Reporting) 】 セクションに影 響 を及 ぼします。 以 下 のレポート に対 して除 外 ルールを定 義
できます。
l
Webセキュリティ( Web Security) ：ドメイン
l
メールセキュリティ( Mail Security) ：ドメインおよびアドレス
l
ネット ワークセキュリティ( Network Security) ：IPアドレス
それぞれのボックスで除 外 項 目 を定 義 して【適 用 ( Apply) 】 をクリックします。 インポート 機 能 によ
って複 数 の項 目 を一 度 に定 義 できます。
17.11.3匿 名 化
【レポーティング設 定 ( Reporting Settings) 】 >>【匿 名 化 ( Anonymizing) 】 タブでは、「4つの
目 の原 則 」( four-eyes principle) に基 づいてデータを匿 名 にできます。 これは、2人 の人 間 が
その手 順 を承 認 した場 合 のみ非 匿 名 化 できることを意 味 します。 匿 名 にすると、ユーザデータの
ログやレポート を表 示 する際 にそのデータの機 密 性 が保 たれるため、アクション( Webサーフィンな
ど) から特 定 の人 間 にト レースバックする( さかのぼる) ことができなくなります。
図 181 レポーティング：ユーザデータの匿 名 化 の有 効 化
匿 名 にするには、以 下 の手 順 に従 います。
1. 【匿 名 化 (Anonymizing)】 タブで匿 名 化 を有 効 にします。
ステータスアイコンまたは【有 効 ( Enable) 】 ボタンをクリックします。
ASG V8 管 理 ガイド
515
17.11レポーティング設 定
17ログおよびレポーティング
ステータスアイコンがアンバー色 に変 わり【匿 名 化 設 定 ( Anonymizing Setting) 】 エリアが
編 集 可 能 になります。
2. 2つのセキュリティパスワード を入 力 します。
「4つの目 の原 則 」は、異 なる2人 の人 間 が互 いが秘 匿 しているパスワードを入 力 したとき
のみ有 効 です。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
匿 名 化 を再 度 グローバルに無 効 にするには、その両 方 のパスワードが必 要 になります。
1. 【匿 名 化 (Anonymizing)】 タブで 【無 効 (Disable)】 あるいはステータスアイコンをクリッ
クします。
ステータスアイコンがアンバー色 に変 わり【匿 名 化 設 定 ( Anonymizing Setting) 】 エリアが
編 集 可 能 になります。
2. 両 方 のパスワード を入 力 します。
匿 名 化 を有 効 にするために指 定 した1番 目 と2番 目 のパスワードを入 力 します。
3. 【適 用 (Apply)】 をクリックします。
設 定 が保 存 されます。
必 要 に応 じて、匿 名 化 を1人 のユーザに対 して無 効 にできます。詳 細 は「ログおよびレポーティン
グ」 >>「 Web セキュリティ」 および「ログおよびレポーティング」 >>「メールセキュリティ」 を参 照 してく
ださい。
516
ASG V8 管 理 ガイド
18サポート
この章 では、当 製 品 で使 用 できるサポート ツールについて説 明 します。 Astaro Security
Gateway.
【サポート ( Support) 】 メニューのページには、さまざまなWebリンク、お問 い合 わせ情 報 、役 立 つ
ネット ワークツールの出 力 など、お客 様 サポート 関 連 の多 数 の機 能 が含 まれています。これらを
活 用 されることで、ゲート ウェイのコマンドラインインタフェースを使 用 しないで、重 要 なネット ワークプ
ロパティを判 断 することができます。
この章 には次 のト ピックが含 まれます。
l
マニュアル
l
印刷可能設定
l
サポート のお問 い合 わせ先
l
【ツール( Tools) 】
l
詳細
さらに、 【サポート ( Support) 】 メニューのメインページには、以 下 の情 報 へのWebリンクが含 まれ
ています。
l
ナレッジベース(Knowledgebase)( KB) ：Astaroの公 式 ナレッジベースには、当 製 品 の
設 定 に関 するさまざまな情 報 が掲 載 されています。 Astaro Security Gateway.
l
既 知 の問 題 のリスト (Known Issues List)( KIL) ：解 決 できない既 知 の問 題 や対 応
策 のある既 知 の問 題 のリスト です。
l
ハード ウェア互 換 性 リスト (Hardware Compatibility List)( HCL) ：Astaro
Security Gatewayソフト ウェアに対 応 するハードウェアのリスト です。
l
Up2Date情 報 (Up2Date Information)： AstaroのUp2Dateブログには、製 品 の
改 善 やファームウェアの更 新 についての情 報 が掲 載 されています。
18.1マニュアル
【サポート ( Support) 】 >>【マニュアル( Manual) 】 ページでは、現 在 の管 理 ガイドをPDF形 式 で
ダウンロードすることができます。ガイドの言 語 を選 択 し、 【ダウンロード ( Download) 】 をクリックしま
す。 PDF文 書 を開 くためには、Adobe ReaderやXpdfといった特 別 なリーダーが必 要 です。
18.2印 刷 可 能 設 定
18サポート
図 182 サポート ( Support) ：ダウンロード - 管 理 ガイド / Astaro Security Gateway
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
18.2印刷可能設定
【サポート ( Support) 】 >>【印 刷 可 能 設 定 ( Printable Configuration) 】 ページでは、現 在
のWebAdmin設 定 について詳 細 なレポート を作 成 できます。
注 - 印 刷 可 能 設 定 は新 しいウィンドウで開 きます。 ブラウザによっては、WebAdmin用 にポッ
プアップウインドウを許 可 する必 要 があります。
印 刷 可 能 設 定 の構 造 は、WebAdminメニューの構 造 と同 じであるため、対 応 するWebAdmin
の設 定 オプションを簡 単 に見 つけることができます。
印 刷 可 能 設 定 ブラウザページは、概 要 ページ( 索 引 ) と複 数 のサブページから成 ります。 サブ
ページへのリンクはブルーでハイライト されています。 サブページには、関 連 ト ピックの詳 細 情 報 が
表 示 されます。 サブページの下 部 にある【索 引 に戻 る( Back to the index) 】 リンクをクリックし
て、いつでもサブページから索 引 に戻 ることができます。
印 刷 可 能 設 定 には他 に2つの表 示 オプションがあります。
l
WebAdmin形 式
l
Confd形 式
これらの表 示 オプションへのリンクは、索 引 ページの下 部 にあります。
518
ASG V8 管 理 ガイド
18サポート
18.3サポート のお問 い合 わせ先
18.3サポート のお問い合わせ先
Astaroは、セキュリティソリューションのために総 合 的 なお客 様 サポート サービスを提 供 していま
す。お客 様 のサポート /メンテナンスレベルに応 じて、さまざまなレベルのアクセスサービスを提 供
し、認 定 パート ナーにより様 々 なレベルのサポート が用 意 されています。
Astaro Security Gatewayに関 連 するすべてのサポート ケースは、Astaroパート ナーポータル経
由 で処 理 されます。 サポート ケースを開 くには、 【サポートケースを開 く( Open Support Case) 】
をクリックしてWebフォームをご使 用 ください。
18.4ツール
【サポート ( Support) 】 >>【ツール( Tools) 】 メニューのタブには、有 用 なネット ワークツールの出
力 が表 示 されます。これらを使 用 すると、ゲート ウェイのコマンドラインインタフェースを使 用 しない
で、重 要 なネット ワークプロパティを判 断 することができます。 ここでは、以 下 のツールの出 力 を見
ることができます。
l
Ping
l
Traceroute
l
DNSルックアップ
18.4.1Pingチェック
pingプログラムは、IPネット ワークを横 断 して特 定 ホスト に到 達 できるかどうかをテスト するためのコ
ンピュータネット ワークツールです。pingはICMPエコー要 求 パケット をターゲット ホスト に送 信
し、ICMPエコー応 答 による返 信 をリスンすることで機 能 します。pingは、間 隔 のタイミングと応 答
率 を使 用 して、ホスト 間 の往 復 時 間 とパケット 紛 失 率 を評 価 します。
ASG V8 管 理 ガイド
519
18.4ツール
18サポート
図 183 サポート ( Support) ：pingを使 用 したホスト の可 用 性 チェック
pingチェックを行 うには、以 下 の手 順 に従 います。
1. pingホスト を選 択 します。
pingするホスト を選 択 します。 【 Ping ホスト ( Ping Host) 】 ボックスで、ホスト 定 義 のあるホ
スト を選 択 できます。 または、 【カスタムホスト名 /IPアドレス( Custom hostname/IP
address) 】 を選 択 してカスタムホスト 名 またはIPアドレスを下 のテキスト ボックスに入 力 する
こともできます。
2. 【開 始 (Start)】 をクリックします。
pingチェックの出 力 が【 Ping チェック結 果 ( Ping Check Result) 】 エリアに表 示 されます。
18.4.2Traceroute
traceroute( ト レースルート ) プログラムは、IPネット ワーク上 でパケット が使 用 するルート の決 定 に
使 用 されるコンピュータネット ワークツールです。 tracerouteは、パケット の伝 送 に関 与 したルータ
のIPアドレスを一 覧 表 示 します。 一 定 の時 間 内 にパケット のルート を判 断 できない場 合 は、IPア
ドレスの代 わりにアスタリスク(*)で報 告 します。 一 定 の回 数 だけ失 敗 すると、確 認 作 業 は終 了 し
520
ASG V8 管 理 ガイド
18サポート
18.4ツール
ます。 確 認 の中 断 には多 くの理 由 が考 えられますが、ほとんどの場 合 は、ネット ワークパスのファイ
アウォールがtracerouteパケット をブロックすることが原 因 となります。
図 184 サポート ( Support) ：tracerouteを使 用 したルート の確 認
ルート を追 跡 するには、以 下 の手 順 に従 います。
1. ホスト 名 /IPアド レスを指 定 します。
ルート を判 断 したいホスト のホスト 名 またはIPアドレスを入 力 します。
2. ホップアド レスを数 値 で出 力 します( オプション) 。
パスで見 つかった各 ゲート ウェイについて、ネームサーバでIPアドレスからDNSホスト 名 への
名 前 解 決 を行 わない場 合 は、このオプションを選 択 します。
3. 【開 始 (Start)】 をクリックします。
tracerouteの出 力 が【トレースルートの結 果 ( Traceroute Result)】 エリアに表 示 されま
す。
ASG V8 管 理 ガイド
521
18.5詳 細
18サポート
18.4.3DNSルックアップ
digプログラム( Domain Information Groperの略 ) は、DNS ネームサーバに問 い合 わせを行 う
ネット ワークツールです。 digプログラムはDNSルックアップを実 行 し、クエリしたネームサーバから返
された応 答 を表 示 します。
図 185 サポート ( Support) ：digを使 用 したDNSエント リのルックアップ
DNSルックアップを行 うには、以 下 の手 順 に従 います。
1. ホスト 名 /IPアド レスを指 定 します。
DNS情 報 を判 定 したいホスト のホスト 名 またはIPアドレスを入 力 します。
2. 【詳 細 な出 力 を有 効 にする(Enable Verbose Output)】 を選 択 します( オプション) 。
このオプションを選 択 すると、より詳 細 な情 報 が出 力 されます。
3. 【開 始 (Start)】 をクリックします。
digの出 力 が【 DNSルックアップの結 果 ( DNS Lookup Result) 】 エリアに表 示 されます。
18.5詳細
【サポート ( Support) 】 >>【詳 細 ( Advanced) 】 メニューには、ゲート ウェイに関 するより詳 細 な
情 報 ( プロセスの状 態 など) が表 示 されます。
522
ASG V8 管 理 ガイド
18サポート
18.5詳 細
18.5.1プロセスリスト
psプログラムは、ヘッダ行 に続 き、コント ロール端 末 を持 つプロセスに関 する情 報 を表 示 します。 こ
の情 報 は、コント ロール端 末 毎 にソート され、次 にプロセスID毎 にソート されます。
18.5.2ローカルネット ワークコネクション
プログラムnetstat( 「ネットワーク統 計 」 の略 語 ) とは、コンピュータに現 在 存 在 するアクティブなイン
ターネット 接 続 ( 受 信 と送 信 の両 方 ) のリスト を表 示 するネット ワークツールです。
18.5.3ルーティングテーブル
ipプログラムは、TCP/IPネット ワークのコント ロールとト ラフィックコント ロールのためのネット ワークツー
ルです。 パラメータroute show table allで起 動 されるこのプログラムは、ゲート ウェイのすべて
のルーティングテーブルの内 容 を表 示 します。
18.5.4インタフェーステーブル
このテーブルには、Astaro Security Gatewayのすべての設 定 済 みインタフェース( ネット ワークイ
ンタフェースカードと仮 想 インタフェースの両 方 ) が表 示 されます。addrパラメータで起 動 したipプロ
グラムが、インタフェースとそのプロパティを表 示 します。
18.5.5コンフィグダンプ
デバッグやリカバリのために、Astaro Security Gatewayのインスト ールに関 してできるだけ多 くの
情 報 を収 集 しておくと便 利 です。 【サポート ( Support) 】 >>【詳 細 ( Advanced) 】 >>【コンフィグ
ダンプ( Config Dump) 】 タブでダウンロードできるサポート パッケージは、これに対 応 します。zipフ
ァイルには次 のアイテムが含 まれています。
l
ゲート ウェイの設 定 の全 ダンプ( storage.abf) 。 これは真 のバックアップファイルではないた
め、パスワードなどが含 まれておらず、デバッグ目 的 のみで使 用 できます。
l
システム内 に存 在 するハードウェアに関 する情 報 ( hwinfo) 。
l
システムにインスト ールされたソフト ウェアパッケージに関 する情 報 ( swinfo) 。
ASG V8 管 理 ガイド
523
18.5詳 細
18サポート
注 -Internet Explorer( IE) 6を使 用 したファイルのダウンロードで問 題 が起 こらないようにする
には、ゲート ウェイのURL ( https://192.168.2.100など) を信 頼 されるサイト に追 加 します。
これはIEの【インターネットオプション】 >> 【セキュリティ】 で設 定 します。 さらに、Internet
Explorer 7を使 用 する場 合 は、 【信 頼 済 みサイトゾーン】 で 【ファイルのダウンロード時 に自 動 的
にダイアログを表 示 】 を選 択 します。
18.5.6REFの解 決
デバッグのために、システム内 部 で使 用 されている設 定 リファレンスを解 決 することができます。 ロ
グ内 でリファレンスを見 つけた場 合 、リファレンス文 字 列 をここに貼 り付 けてください( 例 ：REF_
DefaultSuperAdmin) 。 タブに、設 定 用 Configurationデーモンのデータ構 造 の該 当 箇 所 が
表 示 されます。
524
ASG V8 管 理 ガイド
19ログオフ
WebAdminからログアウト するには、 【ログオフ( Log Off) 】 メニューエント リをクリックします。適 切 に
ログアウト しなかった場 合 や、Webブラウザを誤 って閉 じてしまった場 合 には、約 30秒 間 再 ログイン
できない可 能 性 があります。
注 - セッション中 に別 のWebサイト にアクセスした場 合 にも、ログアウト したことになります。 この
場 合 、ログインしなおす必 要 があります。
用語集
3
3DES
Triple Data Encryption Standard( ト リプルデータ暗 号 化 標 準 )
A
ACPI
Advanced Configuration and Power Interface( アドバンスドコンフィギュレーショ
ンアンドパワーインタフェース)
AD
Active Directory
ADSL
Asymmetric Digital Subscriber Line( 非 対 称 デジタル加 入 者 線 )
AES
Advanced Encryption Standard( 高 度 暗 号 化 標 準 )
AFC
Astaro Flow Classifier
AH
Authentication Header( 認 証 ヘッダ)
AMG
Astaro Mail Gateway
APIC
Advanced Programmable Interrupt Controller( アドバンスドプログラマブルインタ
ラプト コント ローラ)
用語集
ARP
Address Resolution Protocol( アドレス解 決 プロト コル)
AS
Autonomous System( 自 律 システム)
ASCII
American Standard Code for Information Interchange( 情 報 交 換 用 米 国 標
準 コード)
ASG
Astaro Security Gateway
ASG:WebAdmin-ネット ワークサービス-DHCP
Dynamic Host Configuration Protocol( ダイナミックホスト 設 定 プロト コル)
ASG:WebAdmin-ネット ワークサービス-DNS
Domain Name Service( ドメインネームサービス)
ASG:WebAdmin-ネット ワークサービス-NTP
Network Time Protocol( ネット ワークタイムプロト コル)
ASG:WebAdmin-マネジメント -SNMP
Simple Network Message Protocol( シンプルネット ワークメッセージプロト コル)
ASG:WebAdmin-メールセキュリティ-POP3
Post Office Protocol version 3( ポスト オフィスプロト コルバージョン3)
ASG:WebAdmin-メールセキュリティ-SMTP
Simple Mail Transfer Protocol( 簡 易 メール転 送 プロト コル)
Astaro Security Gateway
メールとWebセキュリティを含 む、統 合 脅 威 管 理 のためのソフト ウェア。
AUA
Astaro User Authentication
528
ASG V8 管 理 ガイド
用語集
AWG
Astaro Web Gateway
B
BATV
Bounce Address Tag Validation( バウンスアドレスタグ検 証 )
C
CA
Certificate Authority( 認 証 局 )
CBC
Cipher Block Chaining( 暗 号 ブロック連 鎖 )
CHAP
Challenge-Handshake Authentication Protocol( チャレンジハンドシェイク認 証 プ
ロト コル)
CMS
Content Management System( コンテンツ管 理 システム)
CRL
Certificate Revocation List( 証 明 書 失 効 リスト )
CSS
Cascading Style Sheets( カスケーディングスタイルシート )
D
DC
Domain Controller( ドメインコント ローラ)
DCC
Direct Client Connection( 直 接 クライアント 接 続 )
ASG V8 管 理 ガイド
529
用語集
DDoS
Distributed Denial of Service( 分 散 型 サービス拒 否 )
DER
Distinguished Encoding Rules( 識 別 符 号 化 規 則 )
DKIM
Domain Keys Identified Mail( ドメインキー識 別 メール)
DMZ
Demilitarized Zone
DN
Distinguished Name( 識 別 名 )
DNAT
Destination Network Address Translation( 宛 先 ネット ワークアドレス変 換 )
DOI
Domain of Interpretation( 解 釈 ドメイン)
DoS
Denial of Service( サービス拒 否 )
DSA
Digital Signature Algorithm( デジタル署 名 アルゴリズム)
DSCP
Differentiated Services Code Point( 差 別 化 サービスコードポイント )
DSL
Digital Subscriber Line( デジタル加 入 者 線 )
DUID
DHCP Unique Identifier( DHCP固 有 識 別 子 )
530
ASG V8 管 理 ガイド
用語集
E
ESP
Encapsulating Security Payload( カプセル化 セキュリティペイロード)
F
FAT
File Allocation Table( ファイルアロケーションテーブル)
FQHN
Fully Qualified HostName( 完 全 修 飾 ホスト 名 )
FTP
File Transfer Protocol( ファイル転 送 プロト コル)
G
GeoIP
衛 星 画 像 を使 用 して世 界 中 のデバイスの位 置 を特 定 する技 術 。
GRE
Generic Routing Encapsulation( ジェネリックルーティングカプセル化 )
H
H.323
パケット 交 換 網 上 での音 声 ・映 像 通 信 セッションを提 供 するプロト コル。
HA
High Availability( 高 可 用 性 )
HCL
Hardware Compatibility List( ハードウェア互 換 性 リスト )
ASG V8 管 理 ガイド
531
用語集
HELO
SMTP( Simple Mail Transfer Protocol：簡 易 メール転 送 プロト コル) のコマンドであ
り、クライアント はサーバからの初 期 グリーティングに応 答 します。
HMAC
Hash-based Message Authentication Code( ハッシュベースのメッセージ認 証
コード)
HTML
Hypertext Transfer Markup Language( ハイパーテキスト 転 送 マークアップ言 語 )
HTTP
Hypertext Transfer Protocol( ハイパーテキスト 転 送 プロト コル)
HTTP over SSL
よりセキュアなHTTP通 信 を実 現 するプロト コル。
HTTP/S
Hypertext Transfer Protocol Secure( ハイパーテキスト 転 送 プロト コルセキュア)
HTTPS
Hypertext Transfer Protocol Secure( ハイパーテキスト 転 送 プロト コルセキュア)
I
IANA
Internet Assigned Numbers Authority( インターネット 番 号 割 当 当 局 )
ICMP
Internet Control Message Protocol( インターネット 制 御 メッセージプロト コル)
ID
Identity( アイデンティティ)
IDE
Intelligent Drive Electronics( インテリジェント ドライブエレクト ロニクス)
532
ASG V8 管 理 ガイド
用語集
IDENT
特 定 のTCP接 続 のユーザを特 定 するための標 準 プロト コル。
IE
Internet Explorer
IE7
Internet Explorerバージョン7
IKE
Internet Key Exchange( インターネット 鍵 交 換 )
IM
Instant Messaging( インスタント メッセージ)
IP
Internet Protocol( インターネット プロト コル)
IPS
Intrusion Prevention System( 侵 入 防 止 システム)
IPsec
Internet Protocol Security( インターネット プロト コルセキュリティ)
IPアド レス
インターネット プロト コル標 準 を使 用 するコンピュータネット ワーク上 の各 デバイスが互 い
を特 定 し、通 信 するために使 用 する一 意 の番 号 。
IRC
Internet Relay Chat( インターネット リレーチャット )
ISP
Internet Service Provider( インターネット サービスプロバイダ)
ASG V8 管 理 ガイド
533
用語集
L
L2TP
Layer Two (2) Tunneling Protocol( レイヤ2ト ンネリングプロト コル)
LAG
Link Aggregation Group( リンクアグリゲーショングループ)
LAN
Local Area Network( ローカルエリアネット ワーク)
LDAP
Lightweight Directory Access Protocol( ライト ウェイト ディレクト リアクセスプロト コ
ル)
LSA
Link-state advertisement( リンクステート アドバタイズメント )
M
MAC
Media Access Control( メディアアクセスコント ロール)
MACアド レス
ほとんどの形 態 のネット ワークハードウェアに割 り当 てられる一 意 のコード。
MD5
Message-Digest algorithm 5( メッセージダイジェスト アルゴリズム5)
MIB
Management Information Base( 管 理 情 報 ベース)
MIME
Multipurpose Internet Mail Extensions( 多 目 的 インターネット メール拡 張 )
MPPE
Microsoft Point-to-Point Encryption( マイクロソフト ポイント ツーポイント 暗 号 化 )
534
ASG V8 管 理 ガイド
用語集
MSCHAP
Microsoft Challenge Handshake Authentication Protocol( マイクロソフト チャレ
ンジハンドシェイク認 証 プロト コル)
MSCHAPv2
Microsoft Challenge Handshake Authentication Protocol Version 2( マイクロ
ソフト チャレンジハンドシェイク認 証 プロト コルバージョン2)
MSSP
マネージドセキュリティサービスプロバイダ
MTU
Maximum Tansmission Unit( 最 大 伝 送 単 位 )
MXレコード
インターネット でEメールをどのようにルーティングするのかを指 定 する、ドメインネームシ
ステム( DNS) 内 のリソースレコードの種 類 。
N
NAS
Networked Attached Storage( ネット ワークアタッチドスト レージ)
NAT
Network Address Translation( ネット ワークアドレス変 換 )
NAT-T
NAT Traversal( NATト ラバーサル)
NIC
Network Interface Card( ネット ワークインタフェースカード)
Not-so-stubbyエリア
OSPFプロト コルの中 で、自 律 システム( AS) 外 部 ルート をインポート し、それらをバック
ボーンに送 信 することはできるが、バックボーンやその他 のエリアからAS外 部 ルート を
受 信 することはできないタイプのスタブエリア。
ASG V8 管 理 ガイド
535
用語集
NSSA
Not-so-stubby area( Not-so-stubbyエリア)
NTLM
NT LAN Manager( Microsoft Windows)
O
OpenPGP
強 力 な公 開 鍵 と対 称 暗 号 を組 み合 わせて、電 子 通 信 とデータスト レージのためのセ
キュリティサービスを提 供 するプロト コル。
OSI
Open Source Initiative( オープンソースイニシアチブ)
OSPF
Open Shortest Path First( オープンショーテスト パスファースト )
OU
Organisational Unit( 組 織 単 位 )
P
PAC
Proxy Auto Configuration( プロキシの自 動 設 定 )
PAP
Password Authentication Protocol( パスワード認 証 プロト コル)
PCI
Peripheral Component Interconnect( ペリフェラルコンポーネント インターコネクト )
PEM
Privacy Enhanced Mail( プライバシ拡 張 メール)
PGP
Pretty Good Privacy( プリティグッドプライバシ)
536
ASG V8 管 理 ガイド
用語集
PKCS
Public Key Cryptography Standards( 公 開 鍵 暗 号 標 準 )
PKI
Public Key Infrastructure( 公 開 鍵 暗 号 基 盤 )
PMTU
Path Maximum Transmission Unit( パス最 大 伝 送 単 位 )
Post Office Protocol version 3(ポスト オフィスプロト コルバージョン3)
パケット 交 換 網 上 でEメールを配 信 するためのプロト コル。
PPP
Point-to-Point Protocol( ポイント ツーポイント プロト コル)
PPPoA
PPP over ATM Protocol( PPPオーバーATMPプロト コル)
PPTP
Point to Point Tunneling Protocol( ポイント ツーポイント ト ンネリングプロト コル)
PSK
事 前 共 有 鍵 ( Preshared Key)
Q
QoS
Quality of Service( サービス品 質 )
R
RADIUS
Remote Authentication Dial In User Service( リモート 認 証 ダイヤルインユーザ
サービス)
ASG V8 管 理 ガイド
537
用語集
RAID
Redundant Array of Independent Disks( 独 立 ディスク冗 長 アレイ)
RAM
Random Access Memory( ランダムアクセスメモリ)
RAS
Remote Access Server( リモート アクセスサーバ)
RBL
Realtime Blackhole List( リアルタイムブラックホールリスト )
RDN
Relative Distinguished Name( 相 対 識 別 名 )
RDNS
Reverse Domain Name Service( リバースドメインネームサービス)
RED
Random Early Detection( ランダム初 期 検 知 )
Redundant Array of Independent Disks(独 立 ディスク冗 長 アレイ)
複 数 のハードドライブを使 用 してドライバ間 でデータを共 有 または複 製 するデータ保 管
スキーム。
RFC
Request for Comment( リクエスト フォーコメント )
RPS
RED Provisioning Service
RSA
Rivest, Shamir, & Adleman( リベスト 、シャミア、エーデルマン：公 開 鍵 暗 号 化 技
術)
538
ASG V8 管 理 ガイド
用語集
S
S/MIME
Secure/Multipurpose Internet Mail Extensions( セキュア多 目 的 インターネット
メール拡 張 )
SA
Security Associations( セキュリティアソシエーション)
SCP
Secure Copy( セキュアコピー：セキュア通 信 用 のSSHコンピュータアプリケーションス
イート からの)
SCSI
Small Computer System Interface( スモールコンピュータシステムインタフェース)
Session Initiation Protocol(セッション開 始 プロト コル)
2つ以 上 の通 信 パート ナー間 でセッションを確 立 、変 更 、終 了 するためのシグナリング
プロト コル。 このテキスト 指 向 のプロト コルはHTTPをベースとしており、IPネット ワーク経
由 でTCPまたはUDPを通 して信 号 データを送 信 できる。 そのため、VoIP( Voiceover-IP) ビデオ電 話 やリアルタイムなマスチメディアサービスなどの基 盤 となる。
SFQ
Stochastic Fairness Queuing( 確 率 的 不 偏 キューイング)
SIP
Session Initiation Protocol( セッション開 始 プロト コル)
SMB
Server Message Block( サーバメッセージブロック)
SMP
Symmetric Multiprocessing( 対 称 型 マルチプロセッシング)
SNAT
Source Network Address Translation( 送 信 元 ネット ワークアドレス変 換 )
ASG V8 管 理 ガイド
539
用語集
SOCKetS
クライアント サーバアプリケーションがネット ワークファイアウォールのサービスを透 過 的 に
使 用 できるようにするインターネット プロト コル。 現 在 、SOCKS( 別 名 ：ファイアウォール
ト ラバースプロト コル) はバージョン5であり、正 しく機 能 するためにはクライアント 側 のプ
ログラムに導 入 する必 要 がある。
SOCKS
SOCKetS
SPF
Sender Policy Framework( 送 信 者 ポリシフレームワーク)
SPI
Security Parameter Index( セキュリティパラメータインデックス)
SSH
Secure Shell( セキュアシェル)
SSID
Service Set Identifier( サービスセット 識 別 子 )
SSL
Secure Sockets Layer( セキュアソケット レイヤ)
SSO
Single sign-on( シングルサインオン)
SYN
Synchronous( 同 期 )
T
TACACS
Terminal Access Controller Access Control System( ターミナルアクセスコント
ローラアクセスコント ロールシステム)
540
ASG V8 管 理 ガイド
用語集
TCP
Transmission Control Protocol( 伝 送 制 御 プロト コル)
TFTP
Trivial File Transfer Protocol( 簡 易 ファイル転 送 プロト コル)
TKIP
Temporal Key Integrity Protocol( 一 時 鍵 完 全 性 プロト コル)
TLS
Transport Layer Security( ト ランスポート レイヤセキュリティ)
TOS
Type of Service( サービスタイプ)
TTL
Time-to-live( 生 存 時 間 )
U
UDP
User Datagram Protocol( ユーザデータグラムプロト コル)
Up2Date
Astaroサーバから関 連 する更 新 パッケージをダウンロードするためのサービス。
UPS
Uninterruptible Power Supply( 無 停 電 電 源 装 置 )
URL
Uniform Resource Locator( ユニフォームリソースロケータ)
USB
Universal Serial Bus( ユニバーサルシリアルバス)
ASG V8 管 理 ガイド
541
用語集
UTC
Coordinated Universal Time( 協 定 世 界 時 )
V
VDSL
Very High Speed Digital Subscriber Line( 超 高 速 デジタル加 入 者 線 )
VLAN
Virtual LAN( バーチャルLAN)
VoIP
Voice over IP( ボイスオーバーIP)
VPN
Virtual Private Network( バーチャルプライベート ネット ワーク)
W
WAF
Web Application Firewall( Webアプリケーションファイアウォール)
WAN
Wide Area Network( ワイドエリアネット ワーク)
WebAdmin
ACC、ASG、AWG、およびAMGといったAstaro製 品 のためのWebベースGUI。
WEP
Wired Equivalent Privacy( 有 線 同 等 機 密 )
Windowsインターネット ネーミングサービス
マイクロソフト がWindowsに実 装 したNBNS( NetBIOS Name Server：NetBIOS
ネームサーバ) 。NetBIOSコンピュータ名 のためのネームサーバおよびサービスである。
WINS
Windows Internet Naming Service( Windowsインターネット ネーミングサービス)
542
ASG V8 管 理 ガイド
用語集
WPA
Wi-Fi Protected Access( Wi-Fi保 護 アクセス)
X
X.509
ITU-T(国 際 電 気 通 信 連 合 、電 気 通 信 標 準 化 部 門 ) が公 開 したデジタル証 明 書
の仕 様 。 個 人 またはコンピュータシステムの識 別 に必 要 な情 報 や属 性 を規 定 する。
XSS
Cross-site scripting( クロスサイト スクリプティング)
ア
アド バンスド コンフィグレーションアンド パワーインタフェース
ACPIとは電 力 管 理 標 準 の1つであり、コンピュータ内 の各 デバイスに分 散 させる電 力
量 をオペレーティングシステムで制 御 できるようにするものです。
アド バンスド プログラマブルインタラプト コント ローラ
マルチプロセッサコンピュータシステムでの割 り込 みを処 理 するアーキテクチャ。
アド レス解 決 プロト コル
ホスト のIPアドレスしかわからない場 合 に、そのイーサネット MACアドレスを確 定 するた
めに使 用 される。
イ
インターネット サービスプロバイダ
インターネット や関 連 サービスへのアクセスを利 用 者 に販 売 する企 業 または組 織 。
インターネット プロト コル
パケット 交 換 網 上 でのデータ通 信 に使 用 されるデータ指 向 プロト コル。
インターネット リレーチャット
インターネット 上 でのインスタント 通 信 を可 能 にするオープンプロト コル。
ASG V8 管 理 ガイド
543
用語集
インターネット 制 御 メッセージプロト コル
ネット ワークのステータスやその他 のコント ロール情 報 についての情 報 を送 受 信 するた
めに使 用 される特 別 なIPプロト コル。
オ
オープンショーテスト パスファースト
ネット ワークルーティングのための、リンクステート 型 の階 層 的 なIGP( interior
gateway protocol) 。
カ
カプセル化 セキュリティペイロード
データの機 密 性 ( 暗 号 ) 、アンチリプレイ、認 証 を提 供 するIPSecプロト コル。
ク
クラスタ
リンクされたコンピュータのグループ。緊 密 に連 携 して多 くの局 面 で1台 のコンピュータと
して機 能 する。
サ
サブネット マスク
ネット ワークのサブネット マスク( 別 名 ：ネット マスク) とネット ワークアドレスによって、ロー
カルネット ワークの一 部 となるアドレスとならないアドレスが定 義 される。 個 々 のコンピ
ュータは、この定 義 に基 づいてネット ワークに割 り当 てられる。
ジ
ジェネリックルーティングカプセル化
任 意 のネット ワーク層 パケット 内 で任 意 のネット ワーク層 パケット をカプセル化 するため
に規 定 されたト ンネリングプロト コル。
シ
シングルサインオン
ユーザが一 度 だけ認 証 を行 い、1つのパスワードを使 用 して複 数 のアプリケーションや
システムにアクセスできるようにする認 証 方 式 。
544
ASG V8 管 理 ガイド
用語集
セ
セキュアシェル
異 なるパケット 交 換 網 にまたがるローカルコンピュータとリモート コンピュータの間 でセキ
ュアなチャネルを確 立 するためのプロト コル。
セキュアソケット レイヤ
インターネット 上 でセキュアな通 信 を提 供 する暗 号 プロト コル。TLS( ト ランスポート レイ
ヤセキュリティ) の前 身 である。
セキュア多 目 的 インターネット メール拡 張
MIMEにカプセル化 されたEメールに対 する公 開 鍵 暗 号 化 や署 名 のための標 準 。
セキュリティパラメータインデックス
IPト ラフィックのト ンネリングにIPSecを使 用 するときにヘッダに追 加 される識 別 タグ。
ソ
ソフト ウェアが次 のハード ウェアコンポーネント をチェックします。
Central Processing Unit( 中 央 処 理 装 置 )
ダ
ダイナミックホスト 設 定 プロト コル
ネット ワーク上 のデバイスがIPアドレスを取 得 するために使 用 するプロト コル。
デ
デジタル加 入 者 線
地 域 電 話 網 のケーブル上 でのデジタルデータ伝 送 を提 供 する技 術 群 。
デジタル署 名 アルゴリズム
米 国 連 邦 政 府 が推 奨 しているデジタル署 名 についての標 準 ( FIPS) 。
デバイスツリー
メインメニューの下 にあり、ACCに登 録 されたすべてのAstaroゲート ウェイ装 置 にアクセ
ス権 を付 与 する。
ASG V8 管 理 ガイド
545
用語集
ド
ド メインネームサービス
インターネット を介 して接 続 されたコンピュータの基 底 のIPアドレスを、人 にとってわかり
やすい名 前 やエイリアスに変 換 する。
ト
ト ランスポート レイヤセキュリティ
インターネット 上 でセキュアな通 信 を提 供 する暗 号 プロト コル。SSL( セキュアソケット レ
イヤ) の後 継 プロト コルである。
ネ
ネット ワークアド レス変 換
IPアドレスを再 利 用 するためのシステム。
ネット ワークタイムプロト コル
パケット 交 換 網 上 でコンピュータシステムのクロックを同 期 するためのプロト コル。
バ
バーチャルプライベート ネット ワーク
公 衆 通 信 インフラを利 用 するプライベート データネット ワーク。PPTPやIPSecなどのト ン
ネリングプロト コルを使 用 してプライバシを維 持 する。
ハ
ハイパーテキスト 転 送 プロト コル
インターネット 上 で情 報 を転 送 するためのプロト コル。
バウンスアド レスタグ検 証
Eメールメッセージに指 定 された返 信 アドレスが有 効 であるかどうかを判 定 するために
規 定 された手 法 の名 前 。 偽 造 された返 信 アドレスへのバウンスメッセージを拒 否 する
ように設 計 されている。
546
ASG V8 管 理 ガイド
用語集
フ
ファイル転 送 プロト コル
パケット 交 換 網 上 でのファイル交 換 用 プロト コル。
プ
プライバシ拡 張 メール
公 開 鍵 暗 号 を使 用 してEメールのセキュリティを保 護 するための、初 期 のIETF提 案 。
ブ
ブロード キャスト
ネット ワーク内 の他 のすべてのコンピュータに向 けてメッセージを一 括 送 信 するためにコ
ンピュータで使 用 されるアドレス。 たとえば、IPアドレスが192.168.2.0でネット ワーク
マスクが255.255.255.0のネット ワークは、ブロードキャスト アドレス
が192.168.2.255となる。
プロキシ
クライアント が他 のネット ワークサービスに対 して間 接 的 にネット ワーク接 続 できるように
するコンピュータネット ワークサービスを提 供 するコンピュータ。
プロト コル
2つのコンピュータエンドポイント 間 での接 続 、通 信 、データ転 送 を制 御 または実 現 す
るための、明 確 で標 準 化 されたルールセット 。
ボ
ボイスオーバーIP
インターネット 上 またはその他 のIPベースのネット ワーク上 での音 声 会 話 ルーティング。
ポ
ポート
データを直 接 交 換 するためにプログラムで使 用 できる仮 想 データ接 続 。 具 体 的 に
は、ポート とは追 加 の識 別 子 である( TCPとUDPの場 合 、0～ 65535の番 号 ) 。これ
により、コンピュータはある2台 のコンピュータ間 に存 在 する複 数 の同 時 接 続 を見 分 け
ることができる。
ASG V8 管 理 ガイド
547
用語集
ポート スキャン
ネット ワークホスト の空 きポート を探 す行 為 。
マ
マスカレーディング
LAN全 体 で1つのパブリックIPアドレスを使 用 してインターネット の他 の部 分 と通 信 でき
るようにするNATベースの技 術 。
マネージド セキュリティサービスプロバイダ
企 業 に対 してセキュリティサービスを提 供 する。
メ
メッセージダイジェスト アルゴリズム5
128ビット のハッシュ値 による暗 号 ハッシュ関 数 。
ユ
ユーザデータグラムプロト コル
ネット ワーク上 のコンピュータのアプリケーションで短 いメッセージ( 別 名 ：データグラム)
をやりとりするためのプロト コル。
ユニフォームリソースロケータ
インターネット 上 のリソースの位 置 を指 定 する文 字 列 。
リ
リアルタイムブラックホールリスト
スパム行 為 に関 与 しているIPアドレスのリスト をインターネット サイト が公 開 できる手
段 。 ほとんどのメール転 送 エージェント ( メールサーバ) ソフト ウェアは、1つ以 上 のブラッ
クホールリスト に記 載 されたサイト から送 信 されたメッセージを拒 否 したりフラグを付 加 し
たりするように設 定 できる。
リモート 認 証 ダイヤルインユーザサービス
ルータなどのネット ワークデバイスが中 央 データベースに対 してユーザを認 証 できるよう
に設 計 されたプロト コル。
548
ASG V8 管 理 ガイド
用語集
リンクステート アド バタイズメント
IP用 のOSPFルーティングプロト コルの基 本 的 な通 信 手 段 。
ル
ルータ
最 も効 率 の良 いパスで宛 先 までパケット を転 送 するために指 定 されるネット ワークデバ
イス。
宛
宛 先 ネット ワークアド レス変 換
データパケット の宛 先 アドレスを書 き換 える特 殊 なNAT。
暗
暗 号 ブロック連 鎖
暗 号 処 理 モードの1つであり、平 文 ( プレーンテキスト ) の各 ブロックを直 前 の暗 号 文
ブロックと「排 他 的 論 理 和 ( XOR) 」してから暗 号 化 する。 これにより、暗 号 文 の各 ブロ
ックはその時 点 までのすべての平 文 ブロックに依 存 するようになる。
管
管 理 情 報 ベース
通 信 ネット ワーク内 のデバイスを管 理 するために使 用 されるデータベースの種 類 。 ネッ
ト ワーク内 のエンティティ( ルータやスイッチなど) を管 理 するために使 用 される( 仮 想 )
データベース内 のオブジェクト の集 合 から構 成 される。
簡
簡 易 メール転 送 プロト コル
パケット 交 換 網 上 でEメールを送 受 信 するために使 用 されるプロト コル。
関
関 連 ト ピック
複 数 のAstaroゲート ウェイ装 置 を1つのインタフェースで監 視 ・管 理 するためのソフト ウ
ェア。
ASG V8 管 理 ガイド
549
用語集
共
共 有 シークレット
セキュア通 信 の2つのエンティティ間 で共 有 されているパスワードまたはパスフレーズ。
高
高可用性
信 頼 できるレベルの運 用 継 続 性 を確 実 に保 証 するためのシステム設 計 プロト コル。
自
自 律 システム
1つのエンティティによって管 理 されるIPネット ワークとルータの集 合 体 であり、インターネ
ット に対 して共 通 のルーティングポリシを持 つ。
識
識別符号化規則
X.509証 明 書 などデジタル署 名 または署 名 が検 証 されるデータオブジェクト を符 号 化
するための方 式 。
生
生存時間
IP( インターネット プロト コル) ヘッダ内 の8ビット のフィールドであり、パケット をネット ワーク
経 由 で伝 送 できる制 限 時 間 を指 定 する。この時 間 が経 過 すると、そのパケット は廃
棄 される。
送
送 信 元 ネット ワークアド レス変 換
特 殊 なNAT。 SNATでは、接 続 を開 始 したコンピュータのIPアドレスが書 き換 えられ
る。
送 信 者 ポリシフレームワーク
SMTP( Simple Mail Transfer Protocol：簡 易 メール転 送 プロト コル) の拡 張 。 SPF
を使 用 すると、スパムによく見 られるSMTP MAIL FROM( リターンパス) の偽 造 アドレス
をソフト ウェアで特 定 し、拒 否 することができる。
550
ASG V8 管 理 ガイド
用語集
多
多 目 的 インターネット メール拡 張
Eメールのフォーマット を拡 張 し、US-ASCII以 外 の文 字 セット のテキスト 、テキスト 以
外 の添 付 物 、マルチパート メッセージ本 体 、ASCII以 外 の文 字 セット でのヘッダ情 報
をサポート するためのインターネット 標 準 。
対
対 称 型 マルチプロセッシング
複 数 CPUを使 用 すること。
伝
伝 送 制 御 プロト コル
インターネット プロト コルスイート のプロト コル。これにより、ネット ワーク内 のコンピュータ
上 のアプリケーションが相 互 接 続 できる。 このプロト コルによって、データが送 信 者 から
受 信 者 へ確 実 かつ順 序 通 りに送 信 される。
認
認 証 ヘッダ
アンチリプレイを提 供 し、伝 送 中 にパケット の内 容 が改 ざんされていないことを検 証 す
るIPSecプロト コル。
認証局
他 のパーティによって使 用 されるデジタル証 明 書 を発 行 する団 体 または組 織 。
無
無停電電源装置
接 続 された機 器 に対 する継 続 的 な配 電 を維 持 するためのデバイス。通 常 電 源 を使
用 できないときには別 の電 源 から電 力 を供 給 する。
ASG V8 管 理 ガイド
551
図のリスト
図 1 IE7 セキュリティ設 定 信 頼 済 みサイト ゾーン
15
図 2 WebAdmin：初 期 ログインページ
22
図 3 WebAdmin：通 常 のログインページ
23
図 4 WebAdmin：ダッシュボード
26
図 5 WebAdmin：概 要
29
図 6 WebAdmin：リスト の例
32
図 7 WebAdmin：ダイアログボックスの例
33
図 8 WebAdmin：オブジェクト リスト ネット ワークからのオブジェクト のドラッグ
35
図 9 WebAdmin：ASGソフト ウェアのサンプルダッシュボード V8
37
図 10 システム設 定 ：日 付 および時 間 を設 定
47
図 11 WebAdmin設 定 ：アクセスコント ロールの設 定
51
図 12 WebAdmin設 定 ：ユーザ設 定 の内 容
55
図 13 MyAstaroポータル
58
図 14 ライセンス( Licensing) ：サブスクリプション警 告 メッセージ
63
図 15 ライセンス( Licensing) ：概 要 ( オンデマンドライセンス) ( Overview( OnDemand
Licensing) )
64
図 16 ライセンス( Licensing) ：ライセンスのインスト ール
65
図 17 Up2Date：【概 要 ( Overview) 】ページ
67
図 18 Up2Date：進 捗 ウィンドウ
68
図 19 Up2Date：Up2Dateパッケージの暗 黙 的 インスト ール
69
図 20 ユーザポータル：「ようこそ」のページ
76
図 21 ユーザポータル：ユーザポータルへのアクセスの設 定
78
図 22 カスタマイズ：ブロックされるページの例 とカスタマイズ可 能 な部 分
82
図 23 カスタマイズ：HTTPダウンロードページ、ステップ1/3
85
図 24 カスタマイズ：HTTPダウンロードページ、ステップ2/3
85
図 25 カスタマイズ：HTTPダウンロードページ、ステップ3/3
86
図 26 カスタマイズ：POP3プロキシのブロックメッセージ
86
図 27 SNMP：SNMPクエリの設 定
88
図 28 集 中 管 理 ：Astaro Command Centerのダッシュボード
92
図 29 集 中 管 理 ：ACC V2サーバの使 用
93
図 30 冗 長 化 ( HA) ：【ステータス( Status) 】ページ
96
図 31 冗 長 化 ：シングルHAまたはクラスタデバイスのリソース使 用 状 況
98
図 32 冗 長 化 ：クラスタの設 定
100
図 のリスト
図 33 定 義 ( Definitions) ：ネット ワーク定 義 のリスト
106
図 34 定 義 ( Definitions) ：サービス定 義 リスト
109
図 35 定 義 ( Definitions) ：タイムイベント 定 義 リスト
112
図 36 ユーザ( Users) ：ユーザリスト
114
図 37 グループ：グループのリスト
116
図 38 グループ( Groups) ：eDirectoryブラウザ - Astaro Security Gateway
119
図 39 認 証 ( Authentication) ：eDirectoryの設 定
123
図 40 認 証 ( Authentication) ：Active Directoryユーザ認 証 の設 定
125
図 41 認 証 ( Authentication) ：Microsoft Management Console
127
図 42 認 証 ( Authentication) ：LDAPの設 定
128
図 43 認 証 ( Authentication) ：RADIUSの設 定
131
図 44 認 証 ( Authentication) ：TACACS+ユーザ認 証 の設 定
133
図 45 認 証 ( Authentication) ：シングルサインオンの設 定
135
図 46 インタフェース( Interfaces) ：インタフェースの設 定
141
図 47 インタフェース( Interfaces) ：アップリンクバランシングの設 定
160
図 48 インタフェース( Interfaces) ：マルチパスルール
163
図 49 ブリッジ：ブリッジの設 定
166
図 50 ブリッジ：ブリッジングが有 効
167
図 51 ブリッジ：ブリッジを無 効 にする
168
図 52 スタティックルーティング：スタティックルート テーブル
169
図 53 スタティックルーティング：ポリシルート テーブル
171
図 54 OSPF：OSPFの有 効 化
173
図 55 OSPF：設 定 されたエリアの概 要
174
図 56 QoS:【ステータス( Status) 】ページ
185
図 57 QoS:ト ラフィックセレクタ
187
図 58 QoS:帯 域 幅 プール
191
図 59 PIM-SM：設 定 例
193
図 60 PIM-SM：インタフェースリスト
194
図 61 PIM-SM：ランデブーポイント ルータのリスト
196
図 62 PIM-SM：ルート リスト
197
図 63 DNS：DynDNSの設 定
204
図 64 DHCP：DHCPリレーの設 定
209
図 65 DHCP：IPv4リーステーブル
211
図 66 DHCP：IPv6リーステーブル
212
図 67 ファイアウォール( Firewall) ：ルールテーブル
216
図 68 ファイアウォール( Firewall) ：ライブログ
218
554
ASG V8 管 理 ガイド
図 のリスト
図 69 NAT：マスカレードルールのリスト
224
図 70 NAT：DNAT/SNATルールのリスト
226
図 71 IPS：侵 入 防 御 を有 効 にする
229
図 72 IPS：攻 撃 パターン
231
図 73 IPS：ポート スキャン防 御 の設 定
234
図 74 IPS：除 外 リスト
236
図 75 サーバロードバランシング：負 荷 分 散 ルールリスト
239
図 76 VoIP SIP：VoIP SIPの有 効 化
243
図 77 VoIP H.323：VoIP H.323の有 効 化
244
図 78 ジェネリックプロキシ：ルールリスト
246
図 79 Webフィルタ( Web Filter) ：グローバル設 定
250
図 80 Webフィルタ( Web Filter) ：アンチウイルス/マルウェア設 定 の構 成
254
図 81 Webフィルタ( Web Filter) ：URLフィルタリングの設 定
257
図 82 Webフィルタ( Web Filter) ：除 外 リスト
262
図 83 Webフィルタプロファイル：プロファイルのリスト
275
図 84 Webフィルタプロファイル：フィルタ割 り当 てのリスト
279
図 85 Webフィルタプロファイル：フィルタアクションのリスト
281
図 86 FTPプロキシ( FTP Proxy) ：FTPプロキシを有 効 にする
290
図 87 FTPプロキシ( FTP Proxy) ：アンチウイルス設 定 の構 成
292
図 88 FTPプロキシ( FTP Proxy) ：除 外 リスト
293
図 89 FTPプロキシ( FTP Proxy) ：詳 細 設 定
295
図 90 SMTPプロキシ( SMTP Proxy) ：SMTPプロキシの有 効 化
298
図 91 SMTPプロキシ( SMTP Proxy) ：ドメインとルーティングターゲット の設 定
299
図 92 SMTPプロキシ( SMTP Proxy) ：アンチウイルス設 定 の構 成
301
図 93 SMTPプロキシ( SMTP Proxy) ：ファイル拡 張 子 フィルタ( File Extension Filter)
303
図 94 SMTPプロキシ( SMTP Proxy) ：アンチウイルスチェックフッタ
305
図 95 SMTPプロキシ( SMTP Proxy) ：アンチスパム設 定 の構 成
306
図 96 SMTPプロキシ( SMTP Proxy) ：送 信 者 ブラックリスト を拡 張 する
309
図 97 SMTPプロキシ( SMTP Proxy) ：表 現 フィルタに表 現 を追 加 する
309
図 98 SMTPプロキシ( SMTP Proxy) ：高 度 なアンチウイルス機 能
311
図 99 SMTPプロキシ( SMTP Proxy) ：除 外 リスト
312
図 100 SMTPプロキシ( SMTP Proxy) ：リレーの設 定
314
図 101 SMTPプロキシ( SMTP Proxy) ：ホスト /ネット ワークのブラックリスト の有 効 化
315
図 102 SMTPプロキシ( SMTP Proxy) ：リレーメッセージのコンテンツスキャンの有 効 化
316
図 103 SMTPプロファイル：SMTPプロファイルの設 定
320
図 104 POP3プロキシ( POP3 Proxy) ：POP3プロキシを有 効 にする
326
ASG V8 管 理 ガイド
555
図 のリスト
図 105 POP3プロキシ( POP3 Proxy) ：アンチウイルス設 定 の構 成
327
図 106 POP3プロキシ( POP3 Proxy) ：アンチスパム設 定 の構 成
329
図 107 POP3プロキシ( POP3 Proxy) ：除 外 リスト
331
図 108 POP3プロキシ( POP3 Proxy) ：詳 細 設 定
333
図 109 メール暗 号 化 ( E-mail Encryption) ：2つのAstaro Security Gateway ユニット 339
の使 用
図 110 メール暗 号 化 ( E-mail Encryption) ：Eメール暗 号 化 の有 効 化
340
図 111 メール暗 号 化 ( E-mail Encryption) ：オプション
341
図 112 メール暗 号 化 ( E-mail Encryption) ：内 部 ユーザのリスト
342
図 113 メール暗 号 化 ( E-mail Encryption) ：S/MIME認 証 局 のリスト
345
図 114 メール暗 号 化 ( E-mail Encryption) ：S/MIME証 明 書 のリスト
347
図 115 メール暗 号 化 ( E-mail Encryption) ：OpenPGP公 開 鍵 のリスト
348
図 116 当 製 品 の隔 離 レポート Astaro Security Gateway
349
図 117 隔 離 レポート ：隔 離 レポート の有 効 化
351
図 118 隔 離 レポート ：除 外
352
図 119 隔 離 レポート ：詳 細 オプション
354
図 120 メールマネージャ - Astaro Security Gateway
356
図 121 メールマネージャ：概 要
361
図 122 メールマネージャ：設 定
363
図 123 ワイヤレスセキュリティ( Wireless Security) ：グローバル設 定
366
図 124 ワイヤレスセキュリティ( Wireless Security) ：ワイヤレスネット ワーク
369
図 125 ワイヤレスセキュリティ：アクセスポイント
372
図 126 ワイヤレスセキュリティ：アクセスポイント およびSSIDグルーピング
374
図 127 ワイヤレスセキュリティ( Wireless Security) ：クライアント
375
図 128 RED：セット アップの略 図
389
図 129 RED：概 要 ページのサイト のステータス
390
図 130 サイト 間 VPN IPsec：接 続 リスト
413
図 131 サイト 間 VPN IPsec：リモート ゲート ウェイリスト
414
図 132 サイト 間 VPN IPsec：ポリシリスト
418
図 133 サイト 間 VPN IPsec：ローカルRSA鍵 の設 定
422
図 134 サイト 間 VPN IPsec：詳 細 設 定
424
図 135 サイト 間 SSL VPN：サーバ接 続 の設 定
427
図 136 サイト 間 SSL VPN：クライアント 接 続 の設 定
429
図 137 サイト 間 SSL VPN：設 定
431
図 138 サイト 間 SSL VPN：詳 細 設 定
433
図 139 証 明 書 管 理 ：証 明 書 のリスト
435
556
ASG V8 管 理 ガイド
図 のリスト
図 140 証 明 書 管 理 ：認 証 局 リスト
438
図 141 証 明 書 管 理 ：失 効 リスト ( CRL) の一 覧
439
図 142 証 明 書 管 理 ：詳 細 設 定
440
図 143 ユーザポータル：リモート アクセスインスト ールファイル
441
図 144 リモート アクセスSSL：SSLリモート アクセスの有 効 化
443
図 145 リモート アクセスSSL：設 定
444
図 146 リモート アクセスSSL：詳 細 設 定
446
図 147 PPTPリモート アクセス：PPTPリモート アクセスの有 効 化
448
図 148 PPTPリモート アクセス：iOSデバイス設 定
450
図 149 PPTPリモート アクセス：詳 細 設 定
451
図 150 リモート アクセスL2TP：L2TPリモート アクセスを有 効 にする
452
図 151 リモート アクセスL2TP：iOSデバイス設 定
455
図 152 リモート アクセスL2TP：詳 細 設 定
456
図 153 リモート アクセスIPsec：接 続 リスト
459
図 154 リモート アクセスIPsec：ポリシリスト
462
図 155 リモート アクセスIPsec：詳 細 設 定
466
図 156 Cisco VPNクライアント ：Cisco VPNクライアント 経 由 のリモート アクセスの有 効 化
469
図 157 Cisco VPNクライアント ：iOSデバイス設 定
471
図 158 リモート アクセス( Remote Access) ：詳 細 設 定
473
図 159 レポーティング：Flashベースの折 れ線 グラフの例
476
図 160 レポーティング：Flashベースの円 グラフの例
477
図 161 ログ：今 日 のログファイル
477
図 162 ログ：アーカイブログファイル
478
図 163 ログ：ログファイルの検 索
479
図 164 レポーティング( Reporting) ：CPU使 用 状 況 のヒスト グラム
480
図 165 レポーティング( Reporting) ：メモリ/スワップ使 用 状 況 のヒスト グラム
481
図 166 レポーティング( Reporting) ：パーティション使 用 状 況 のヒスト グラム
481
図 167 レポーティング：イーサネット インタフェース使 用 状 況 のヒスト グラム
483
図 168 レポーティング：上 位 サービス順 にソート された帯 域 幅 使 用 状 況 データ
485
図 169 レポーティング：ファイアウォール違 反 のヒスト グラム( デイリー)
487
図 170 レポーティング：侵 入 防 御 イベント のヒスト グラム( マンスリー)
487
図 171 レポーティング：シングルユーザの非 匿 名 化
498
図 172 レポーティング：メールフローのヒスト グラム
500
図 173 レポーティング：最 もアクティブなEメールアドレスのランキング
500
図 174 レポーティング：Eメールアドレスとドメインの非 匿 名 化
501
図 175 レポーティング：最 後 の30日 間 の完 了 したセッション接 続
503
ASG V8 管 理 ガイド
557
図 のリスト
図 176 レポーティング：Webアプリケーションファイアウォールのマイスリーアクティビティのヒス 504
ト グラム
図 177 レポーティング( Reporting) ：デイリーエグゼクティブレポート の設 定
506
図 178 ログ：ローカルログの有 効 化
507
図 179 ログ：リモート Syslogサーバの設 定
509
図 180 ログ：リモート ログファイルアーカイブの設 定
511
図 181 レポーティング：ユーザデータの匿 名 化 の有 効 化
515
図 182 サポート ( Support) ：ダウンロード - 管 理 ガイド / Astaro Security Gateway
518
図 183 サポート ( Support) ：pingを使 用 したホスト の可 用 性 チェック
520
図 184 サポート ( Support) ：tracerouteを使 用 したルート の確 認
521
図 185 サポート ( Support) ：digを使 用 したDNSエント リのルックアップ
522
558
ASG V8 管 理 ガイド