1

Transcription

1 BIG-IP APM ネットワークアクセス かんたんセットアップガイド(v 対 応 ) 初 級 編 & 中 級 編 V1.0 F5 Networks Japan

2 目 次 1. はじめに APM ネットワークアクセス 動 作 概 要 スタンドアローン スタンドアローンイメージ スタンドアローンのネットワークサンプル 初 期 設 定 管 理 ポートの IP アドレス 設 定 管 理 ポートへの GUI アクセス ライセンスの 取 得 ネットワーク 設 定 VLAN の 作 成 Self IP の 設 定 ルーティングの 設 定 デフォルトゲートウェイの 設 定 オフィス 内 サーバへのルーティング 設 定 初 級 編 ウィザードを 使 って 設 定 する 方 法 クライアントからのアクセス Windows の Web ブラウザからのアクセス Windows 用 Edge Client ソフトウェアからのアクセス Apple ipad からのアクセス Local User DB による 認 証 クライアント PC からのアクセス [ 参 考 ]アンチウィルスソフトウェアのチェックについて SSL サーバ 証 明 書 の 設 定 CSR の 作 成 サーバ 証 明 書 の 取 得 手 続 き 証 明 書 のインポート Client SSL Profile の 生 成 と VS への 割 当 て クライアント PC からのアクセス 中 級 編 APM オブジェクトを 一 つ 一 つ 設 定 していく 方 法 設 定 が 必 要 な APM オブジェクトたち 各 オブジェクトの 設 定 DNS / NTP 設 定 認 証 サーバ:Active Directory の 設 定 Lease Pool の 設 定 Network Access の 設 定 Webtop の 設 定 Connectivity Profile の 設 定 Access Profile と Access Policy の 設 定 APM 用 Virtual Server の 設 定 リダイレクト 用 Virtual Server の 設 定 クライアント PC からのアクセス SSL サーバ 証 明 書 の 設 定 クライアント 証 明 書 認 証 の 設 定 クライアント 証 明 書 の 発 行 クライアント PC へクライアント 証 明 書 をインポート BIG-IP の 設 定 認 証 局 の 証 明 書 のインポート クライアントからのアクセス セッション 変 数 について [VPE サンプル-1] クライアント 証 明 書 の OU で ACL を 割 当 てる ACL の 作 成 VPE の 設 定 クライアントからのアクセス Ⅹ

3 6.5. [VPE サンプル-2] Active Directory の Group で ACL を 割 当 てる ACL の 作 成 Active Directory ユーザ:test VPE の 設 定 クライアントからのアクセス AD Query がうまく 行 かない 場 合 :AAA 設 定 の 変 更 [VPE サンプル-3] アクセスできるクライアント 端 末 を 限 定 する クライアント 端 末 固 有 の 情 報 の 取 得 Active Directory の 設 定 クライアントからのアクセス [VPE サンプル-4] クライアント OS の 種 類 に 応 じてポリシーを 変 える [VPE サンプル-5] マクロを 使 う AD 認 証 の 誤 り 回 数 カウント クライアントからのアクセス 同 じ 設 定 をまとめる 冗 長 化 冗 長 化 イメージ 冗 長 化 のネットワークサンプル Active 機 (big208.f5jp.local)の 設 定 Standby 機 (big209.f5jp.local)の 設 定 デバイストラスト 設 定 (Active 機 :big208.f5jp.local 側 から 実 施 ) デバイスグループの 設 定 トラフィックグループの 設 定 ConfigSync Traffic-group-1 の 優 先 度 設 定 クライアント PC からのアクセス おわりに Ⅹ

4 1. はじめに 本 セットアップガイドにて BIG-IP Access Policy Manager( 以 下 APM)のネットワークアクセスの 設 定 方 法 について ご 案 内 します BIG-IP APM は SSL-VPN トンネルによるリモートアクセス(これをネットワークアクセスと 呼 びます)をはじめとして 高 度 な 認 証 機 能 ( 例 :クレデンシャルキャッシング 方 式 シングルサインオン,SAML シングルサインオン 等 )も 兼 ね 備 えて います 本 ガイドでは BIG-IP APM をご 購 入 いただいてすぐにネットワークアクセスを 始 められるように 必 要 となる 典 型 的 なセットアップ 手 法 を 豊 富 なスクリーンショットを 交 えて 解 説 します 1.1. APM ネットワークアクセス 動 作 概 要 APM のネットワークアクセスは 以 下 のような 流 れで 動 作 します 1 クライアントが Web ブラウザに URL: を 入 力 2 クライアント PC は vpn.xyz.com の IP アドレスを 解 決 するために DNS クエリを 送 信 3 DNS サーバから vpn.xyz.com の IP アドレスを 得 る 4 Web ブラウザは その IP アドレス(バーチャルサーバ) 宛 に HTTPS リクエストを 送 信 5 BIG-IP APM は ログインページを 表 示 6 クライアントは ユーザ 名 とパスワードを 入 力 7 BIG-IP APM は 認 証 サーバに 問 合 せを 行 い 認 証 が 正 しく 行 われたことのレスポンスを 得 る 8 BIG-IP APM は クライアント PC との 間 で SSL-VPN トンネルを 確 立 する このとき クライアント PC の PPP アダ プタには 事 前 に APM に 設 定 された IP アドレスプールの 中 から 一 つ IP アドレスが 払 い 出 される (この 後 クライアント PC は PPP アダプタを 使 って オフィスサーバ 群 へアクセスができるようになる ) 9 PPP アダプタから 出 た IP パケットは インターネット 上 のグローバル IP アドレスでカプセル 化 (=トンネル 化 )され BIG-IP APM に 到 着 APM はそのカプセル 化 を 解 き APM のルーティングテーブルに 従 って そのカプセル 化 が 解 かれた IP パケットを 送 り 出 す 4

5 2. スタンドアローン 2.1. スタンドアローンイメージ 上 図 1~9の IP アドレスが 必 要 になりますので あらかじめご 用 意 ください なお 1 管 理 IP は 工 場 出 荷 時 に /24 がプリセットされています 項 目 名 前 (サンプル) 値 - ホスト 名 Big208.f5jp.local 1 管 理 IP /24 2 External インタフェース external Internal インタフェース internal デフォルトゲートウェイ default-gw バーチャルサーバアドレス NetAccess-001_vs :443 6 PPP アダプタ 用 IP アドレスプール NetAccess-001_lp 認 証 サーバ (Active Directory) NetAccess-001_aaa_srvr DNS サーバ (Active Directory) NTP サーバ サーバが 存 在 するネットワーク /24 CLI パスワード (デフォルト) --- ID/Password : root/default GUI パスワード (デフォルト) --- ID/Password : admin/admin 5

6 2.2. スタンドアローンのネットワークサンプル まずは 冗 長 化 しない 状 態 を 想 定 して 1 台 のみ 設 定 していきます BIG-IP の APM リモートアクセス 用 Virtual Server は :443 とします Active Directory のドメインは corp.f5jp.local とします Active Directory には 以 下 3 つのユーザが 登 録 されています ユーザ 名 パスワード グループ test1001 test1001 CorpA-Group test1002 test1002 CorpB-Group test1003 test1003 CorpC-Group BIG-IP のデフォルトゲートウェイは インターネット 方 向 を 想 定 したルーター: に 設 定 します オフィス 内 サーバのデフォルトゲートウェイは 直 上 のルーター: に 設 定 されているものとします 動 作 確 認 は テスト 用 に 設 置 した PC( 図 中 の テスト 用 クライアント PC )から 行 うこととします 6

7 3. 初 期 設 定 3.1. 管 理 ポートの IP アドレス 設 定 BIG-IP へ 専 用 コンソールケーブル( 同 梱 )を 使 用 し Baud Rate 19,200 で 接 続 します 例 :BIG-IP2000S 例 :TeraTerm のシリアルポート 設 定 (1) デフォルトログインは 以 下 です ID: root Password: default (2) 管 理 ポートの IP アドレスを 設 定 するために コマンド:config を 入 力 し Enter します 7

8 (3) OK します (4) DHCP を 利 用 するかどうかを 聞 いてきますので 環 境 に 合 わせて 設 定 します 本 環 境 では DHCP は 利 用 しないので No を 選 択 します (5) 管 理 ポート IP を 設 定 します 8

9 (6) サブネットマスクを 設 定 します (7) デフォルトゲートウェイを 設 定 するかどうかを 聞 いてきますので 環 境 に 合 わせて 設 定 します 本 環 境 では 必 要 なので Yes を 選 択 します (8) デフォルトゲートウェイを 設 定 します 9

10 (9) 設 定 を 確 認 し 問 題 なければ Yes を 選 択 します 10

11 3.2. 管 理 ポートへの GUI アクセス ライセンスの 取 得 管 理 用 PC から 設 定 した BIG-IP の 管 理 IP アドレスへ HTTPS でアクセスします 管 理 用 PC はライセンスアクティベーションの 為 インターネットへ 接 続 できる 環 境 である 必 要 があります デフォルトの 証 明 書 は 正 式 に 取 得 した 証 明 書 ではないため 以 下 のような 画 面 が 現 れますが 続 行 する を 選 択 してください (1) ログイン 画 面 が 現 れますので 以 下 のデフォルトの ID と Password でログインしてください ID:admin Password:admin 11

12 (2) Next ボタンを 押 します (3) ライセンスがないことを 表 示 しています Activate ボタンを 押 します 12

13 (4) 購 入 したライセンスのレジストレーションキーを 入 力 し Next ボタンを 押 します レジストレーションキーを 入 力 (5) Dossier をコピーし Step2 の Click here to access F5 Licensing Server をクリックします Dossier を コピー クリック 13

14 (6) ライセンス 取 得 するための Web サイト:activate.f5.com へ 飛 びますので Enter your dossier フィールドの 中 に 上 記 でコピーした Dossier を 貼 り 付 けます Next ボタンを 押 します コピーした Dossier を 貼 り 付 け 14

15 (7) チェックボックスをチェックして Next ボタンを 押 します チェックして Next (8) ライセンスキーが 表 示 されるので 全 てをコピー(またはファイルをダウンロード)します ライセンス 情 報 コピーまたは ファイルを ダウンロード 15

16 (9) Web サイトでコピーしたライセンスを Step3:License 欄 に 貼 り 付 けます Next ボタンを 押 します ライセンスを 貼 り 付 け (10) プロビジョニング 画 面 がでますので APM にチェックを 入 れいます 16

17 (11) SSL 証 明 書 の 確 認 がなされますが デフォルトのまま Next ボタンを 押 します (12) ホスト 名 タイムゾーン Root/Admin それぞれのパスワードを 設 定 します Next ボタンを 押 します ホスト 名 を FQDN で 指 定 タイムゾーンを 指 定 Root と Admin ユーザのパスワードを 指 定 17

18 設 定 したパスワードでログインを 試 みるよう ログアウト ログインするように 指 示 があります OK ボタンを 押 します (13) Username = Admin と 設 定 したパスワードで 再 度 ログインします (14) この 後 Standard Network Configuration の Next を 押 すことでウィザード 形 式 にて 冗 長 化 も 含 めた 設 定 が 可 能 ですが ここではスタンドアローン 構 成 にするため Advanced Network Configuration の Finished ボタンを 押 し ます Finish ボタンを 押 す 18

19 4. ネットワーク 設 定 VLAN や VLAN インタフェースへの IP 設 定 (Self-IP 設 定 ) およびルーティング 設 定 を 行 います 4.1. VLAN の 作 成 まず VLAN を 作 成 します Main メニュー Network VLAN で 表 示 された 画 面 の 右 上 にある Create ボタンを 押 します (1) External VLAN の 設 定 名 前 ( 任 意 )を 指 定 ポートを 選 択 (2) Internal VLAN の 設 定 名 前 ( 任 意 )を 指 定 ポートを 選 択 19

20 4.2. Self IP の 設 定 BIG-IP に 設 定 した VLAN それぞれに 対 して IP アドレスを 設 定 していきます BIG-IP 自 身 に 設 定 する IP アドレスを Self IP と 呼 びます Main メニュー Network Self IPs で 表 示 された 画 面 の 右 上 にある Create ボタンを 押 します (1) External VLAN の IP 設 定 名 前 ( 任 意 ) IP アドレス サブネットマスク VLAN を 設 定 このアドレス 上 でのサービス(SSH/GUI アクセス 等 )を 拒 否 (2) Internal VLAN の IP 設 定 名 前 ( 任 意 ) IP アドレス サブネットマスク VLAN を 設 定 このアドレス 上 でのサービス(SSH/GUI アクセス 等 )を 許 可 20

21 (3) 一 覧 では 以 下 のような 状 態 になります 21

22 4.3. ルーティングの 設 定 デフォルトゲートウェイの 設 定 Main メニュー Network Routes で 表 示 された 画 面 の 右 上 にある Add ボタンを 押 します 以 下 の 通 り 入 力 し Finished を 押 します 任 意 の 名 称 を 入 力 左 記 の 通 りに 入 力 ゲートウェイのアドレスを 入 力 オフィス 内 サーバへのルーティング 設 定 BIG-IP からオフィス 内 サーバ: /24 へ 到 達 するためのルーティングも 同 様 に 設 定 します 任 意 の 名 称 を 入 力 左 記 の 通 りに 入 力 ゲートウェイのアドレスを 入 力 22

23 5. 初 級 編 5.1. ウィザードを 使 って 設 定 する 方 法 ウィザード(Wizards)を 利 用 すると ネットワークアクセス 設 定 に 必 要 な 情 報 が 一 通 りそろっていれば 簡 単 に 10 分 程 度 で 設 定 することができます (1) Main メニュー Wizards Device Wizards で Network Access Setup を 選 択 します Network Access を 選 択 (2) 以 下 の 情 報 を 入 力 (または 選 択 ) します 任 意 の 名 称 を 入 力 クライアント PC で 表 示 される 認 証 画 面 の 言 語 を 選 択 ( 自 動 的 に Policy Name が 入 る ) クライアント PC のアンチウィルスソフトウェアのチェック 本 例 では テスト 用 クライアント PC にアンチウィルスソフトが インストールされていないので チェックを 外 します このチェックボックスを 有 効 にしておくことで クライアント PC 内 にインストールされているアンチウィルスソフトウェア のチェックが 行 われます 詳 しくは [ 参 考 ]アンチウィルスソフトウェアのチェックについて を 参 照 ください 23

24 (3) DNS と Time Server(NTP)の IP アドレスを 入 力 します DNS の IP アドレスを 入 力 し Add ボタンを 押 す NTP の IP アドレスを 入 力 し Add ボタンを 押 す (4) 利 用 する 認 証 サーバ(Active Directory)を 選 択 します Create New を 選 択 Active Directory を 選 択 Local User DB を 利 用 する 場 合 は ここでは 一 旦 No Autnetication を 選 択 Local User DB を 使 いたい 場 合 ウィザード 形 式 には Local User DB を 選 択 する 項 目 が 存 在 しない(V11.4.1)ので ウィザード 設 定 完 了 後 に 設 定 変 更 を 行 います よって ここでは 一 時 的 に No Authentication を 選 択 します 24

25 (5) Active Directory による 認 証 に 必 要 な 情 報 を 入 力 します (Local User DB を 利 用 する 場 合 No Authentication を 選 択 しますので このステップはありません ) ドメイン 名 "Direct"を 選 択 ドメインコントローラの IP アドレス (6) IP アドレスプールを 設 定 します クライアント PC の PPP アダプタに 割 当 てられる IP アドレスプールのレンジ(Start と End)を 入 力 Add ボタンを 押 す 25

26 (7) スプリット トンネルを 設 定 します PPP アダプタ 側 で 通 信 したいものを 指 定 する この 構 成 では /24 と /0/24 を 指 定 し それぞれを Add する <スプリット トンネルとは> SSL-VPN トンネルを 使 う 通 信 と 使 わない 通 信 を 分 けたいときにつかいます 例 えば 以 下 のような 要 件 があったとします 1 社 内 LAN のサーバは /24 と /24 に 設 置 されているので それらは SSL-VPN トンネルを 使 いたい 2 しかし 同 時 にインターネットも 使 いたい このような 要 件 を 実 現 するのがスプリット トンネルです Use split Tunnelling for Traffic を 選 択 し トンネルに 向 かわせたいネットワーク 帯 ( /24, /24)を 指 定 することで そのネットワークだけは SSL-VPN トンネルを 通 り それ 以 外 は クライアント IP( 上 図 の )を 使 ってインターネット( 上 図 の web サーバへの 通 信 )を 使 う ということが 可 能 になります 26

27 (8) クライアント PC に 割 り 当 てたい 情 報 を 設 定 します クライアント PC の PPP アダプタに SSL-VPN トンネル 確 立 後 に 割 当 てられる DNS サーバと DNS サフィックス ここに 指 定 した DNS サフィックス 宛 の 通 信 (f5jp.local)は この DNS サーバを 利 用 する という 設 定 です (9) バーチャルサーバを 設 定 します バーチャルサーバの IP アドレス HTTP(80)から HTTPS(443)へリダイレクトする VS も 同 時 に 設 定 このチェックボックスを 有 効 にすることで HTTP(80)で Virtual Server へアクセスしても 自 動 的 に HTTPS(443)へリ ダイレクトする Virtual Server が 生 成 されます 不 要 であれば チェックを 外 してください 27

28 (10) 設 定 のレビュー( 確 認 のみ)です 28

29 (11) 設 定 のサマリ(これも 確 認 のみ)です 以 上 でネットワークアクセス 設 定 は 完 了 です 29

30 5.2. クライアントからのアクセス Windows の Web ブラウザからのアクセス クライアント PC の Web ブラウザから 設 定 した Virtual Server へアクセスします Windows 7 + Internet Explorer を 使 った 場 合 の 例 です (1) 初 アクセス 時 には SSL-VPN クライアント 用 の ActiveX コンポーネントをインストールする 必 要 があります インストールするためには Windows の 管 理 者 権 限 が 必 要 です (2) 認 証 フォーム 画 面 が 現 れますので Active Directory に 登 録 されているユーザ 名 とパスワードを 入 力 します (3) 認 証 完 了 後 Windows のタスクトレイに 入 ります 30

31 Windows 用 Edge Client ソフトウェアからのアクセス Windows クライアント 用 ソフトウェア:Edge Client を 利 用 する 手 順 を 以 下 に 示 します このソフトウェアは BIG-IP APM からクライアント PC (Windows または Mac) へダウンロードして 利 用 するソフトウ ェアです このソフトウェアは プロトコルレベルで 行 っていることは Web ブラウザと 同 様 ですが Web ブラウザでは 実 現 できな い いくつかの 便 利 な 機 能 を 実 装 しています 例 えば Windows へのログイン 時 に 利 用 する ID と Password を 使 うように Edge Client に 設 定 すると BIG-IP APM へのログイン 時 には ID/Password の 入 力 を 求 められることなく 自 動 的 に APM へ 接 続 することが 可 能 です サンプルとして 以 下 にその 設 定 方 法 を 示 します (1) Main メニュー Access Policy Secure Connectivity で 以 下 の 画 面 が 表 示 されます 該 当 する Connectivity Profile をクリックし Edit Profile ボタンを 押 します クリック 31

32 (2) Win/Mac Edge Client をクリックすると 以 下 の 画 面 が 現 れます Reuse Windows Logon Credentials にチェックを 入 れます (3) Edge Client を 使 う 際 に デフォルトの 宛 先 を 指 定 しておきます Server List をクリックすると 以 下 の 画 面 が 現 れます 本 例 では apm.f5jp.local をデフォルトの 宛 先 として 設 定 しています ("Alias":Edge Client に 表 示 される 宛 先 の 名 称 ) 32

33 (4) Customize Package 横 の をクリックすると Windows 用 か Mac 用 かの 選 択 が 現 れます ここでは Windows を 選 択 します (5) 本 例 では この 設 定 はデフォルトのままです 33

34 (6) BIG-IP Edge Client をクリックします こちらの 設 定 もデフォルトのままですが Auto launch after Windows Logon に 注 目 してください この 設 定 によ って Windows にログインすると Edge Client が 自 動 的 に 起 動 し APM への 接 続 を 試 みます Download をクリックして Windows 用 Edge Client コンポーネントをダウンロードします (7) 少 し 待 つと ダウンロードが 可 能 な 状 態 になります 34

35 (8) ダウンロードしたコンポーネントをクライアント PC にコピーし インストールを 行 います クライアント PC の 再 起 動 を 要 求 されますので Yes を 選 択 して 再 起 動 してください (9) 再 起 動 後 Windows7 にログインします 35

36 (10) Windows ログオン 時 の ID とパスワードを 使 って 自 動 的 に APM への 接 続 が 行 われます 以 下 の 状 態 は 接 続 完 了 後 です (11) 赤 い F5 マークをダブルクリックすると 以 下 のような 画 面 が 現 れます 接 続 されていることが 分 かります 36

37 Apple ipad からのアクセス BIG-IP APM へのネットワークアクセスは Apple ipad や Google Android からの 接 続 も 可 能 です サンプルとして Apple ipad からの 接 続 方 法 を 以 下 に 示 します (1) App Store から F5 BIG-IP Edge Client をダウンロード&インストールします (2) Edge Cient がインストールされた 状 態 です 37

38 (3) 画 面 下 の 設 定 アイコンをクリックすると 以 下 の 画 面 が 現 れます 表 示 された 画 面 の 接 続 先 の 追 加 をクリックします (4) 以 下 の 設 定 画 面 が 現 れます 必 要 項 目 を 設 定 します 入 力 が 終 わったら 右 上 保 存 ボタンを 押 します 任 意 の 名 称 を 入 力 APM の VS(ホスト 名 or IP アドレス)を 入 力 ユーザ 名 の 入 力 38

39 (5) 画 面 下 の 接 続 アイコンをクリックします (6) 接 続 ボタンを 押 します 39

40 (7) パスワードを 入 力 し OK をクリックします (8) ネットワークアクセスの 接 続 が 成 功 した 状 態 です 以 降 サファリブラウザなどから 社 内 サーバへのアクセスが 可 能 となります Google Android の 場 合 もほぼ 同 様 の 手 順 でご 利 用 頂 けます Android 用 Edge Client は Google Play からダウンロードしてください 40

41 5.3. Local User DB による 認 証 Active Directory のような 認 証 サーバがない 場 合 APM が 持 つ Local User DB を 利 用 する 方 法 があります しかし ウィザード 設 定 では Local User DB が 選 択 できません(V11.4.1) 以 下 に Local User DB を 利 用 する 方 法 を 記 載 します (1) 既 述 のウィザード 設 定 手 順 の 中 で Select Authentication ページで No Authentication を 選 び 最 後 まで 進 み ます (2) Local User DB を 設 定 します Main メニュー Access Policy Local User DB Manage Instances で 以 下 の 画 面 が 現 れます まずは Instance(User DB の 名 前 のようなもの)を 設 定 します Create New Instance ボタンを 押 します 41

42 (3) Name 欄 に 名 称 を 入 力 し OK ボタンを 押 します 任 意 の 名 称 を 入 力 (4) 以 下 の 状 態 になります 42

43 (5) Main メニュー Access Policy Local User DB Manage Users で 以 下 の 画 面 が 現 れます Create New User ボタンを 押 します (6) Username,Password を 入 力 します * の 部 分 が 必 須 項 目 です Instance も 必 須 項 目 ですが 一 つしか 設 定 していない 場 合 は デフォルトでその Instance が 選 択 されています 43

44 (7) 3 つのユーザを 設 定 した 状 態 です (8) Main メニュー Access Policy Access Profiles で 表 示 された NetAccess-001 の 行 にある Edit をクリックします 44

45 (9) 新 しいウィンドウが 開 き 以 下 のような 証 明 書 に 関 わる 警 告 画 面 が 表 示 されますが このサイトの 閲 覧 を 続 行 す る を 選 択 してください (10) Logon Page の 後 ろにある + ボタンをクリックします (11) Authentication タブで LocalDB Auth を 選 択 し Add Item ボタンを 押 します (12) 既 に 作 成 した Instance を 選 択 し Save ボタンを 押 します 45

46 (13) 以 下 の 状 態 になります この 段 階 では 設 定 した 内 容 が 適 用 されていません Apply Access Policy をクリックすることで 設 定 が 適 用 されます (14) Apply Access Policy の 表 示 が 消 えます Local User DB 認 証 の 設 定 はこれで 完 了 です クライアント PC からのアクセス クライアント PC から Local User DB に 登 録 したユーザでアクセスできることを 確 認 します 46

47 5.4. [ 参 考 ]アンチウィルスソフトウェアのチェックについて BIG-IP APM では クライアント PC 上 にインストールされているアンチウィルスソフトウェアをチェックすることもでき ます そのアンチウィルスソフトウェアの 一 覧 は 以 下 の 画 面 から 確 認 できます (1) 左 上 の f5 の 赤 いマークをクリックすると 以 下 の 画 面 が 現 れますので OPSWAT application integration support charts をクリックします 47

48 (2) 以 下 のような アンチウィルスソフトウェアの 一 覧 が 表 示 されます ウィザード 設 定 で アンチウィルスソフトウェアをチェックする 設 定 を 入 れる( 以 下 の"[ 参 考 ]ウィザード 画 面 の~"を 参 照 ください)と この 一 覧 上 のソフトウェアがクライアント PC にインストールされているかどうかのチェックが 行 わ れます [ 参 考 ]ウィザード 画 面 の Client Side Check:Enable Antivirus Check in Access Policy 48

49 5.5. SSL サーバ 証 明 書 の 設 定 BIG-IP が 持 つデフォルトのサーバ 証 明 書 は 正 式 な 認 証 局 で 取 得 したものではないため クライアント PC の Web ブラウザで Virtual Server へアクセスすると 以 下 のような 警 告 が 出 ます 以 降 正 式 な 認 証 局 ( 例 :Verisign,CyberTrust 等 )にて 署 名 されたサーバ 証 明 書 をインポートして 利 用 するまでの 手 順 を 示 します CSR の 作 成 認 証 局 (CA)に 対 して サーバ 証 明 書 の 発 行 を 依 頼 するための CSR(Certificate Signing Request)を 作 成 します Main メニュー System File Management SSL Certificate List タブで 表 示 された 画 面 右 上 の Create を 押 すと 以 下 の 画 面 が 表 示 されます (1) CSR 作 成 画 面 名 前 ( 任 意 )を 指 定 Certificate Authority を 選 択 以 下 の 項 目 へ 値 を 入 力 Common Name(Web サーバの FQDN) Organization Locality State Or Province Country その 他 の 値 は 申 請 する 認 証 局 へ 必 須 かどうかを 確 認 ください 申 請 する RSA 鍵 長 49

50 (2) CSR を ローカル PC へダウンロード 保 存 します CSR を 保 存 してから Finished を 押 します a)csr をダウンロード b)csr をダウンロード 保 存 してから 押 す (3) CSR に 紐 づいた Key だけが 保 存 された 状 態 ( 証 明 書 が 存 在 しない 状 態 )になります サーバ 証 明 書 の 取 得 手 続 き ダウンロードした CSR を 商 用 の 認 証 局 (Verisign, CyberTrust 等 )に 送 り その CSR に 署 名 してもらうことで 正 式 な サーバ 証 明 書 になります ( 本 ガイドにおいては OpenSSL を 使 って 独 自 に 認 証 局 を 作 り 署 名 を 行 いました ) 50

51 証 明 書 のインポート (1) 認 証 局 から 発 行 された SSL サーバ 証 明 書 をインポートします Main メニュー System File Management SSL Certificate List から 該 当 するもの( 本 例 では NetAcces-001_cert)を 選 択 すると 以 下 の 画 面 になります 認 証 局 から 発 行 されたサーバ 証 明 書 ファイルを Certiticate Source で 指 定 し Import を 押 します Import を 押 す 認 証 局 から 発 行 されたサーバ 証 明 書 を 指 定 (2) サーバ 証 明 書 がインポートされた 状 態 です 51

52 Client SSL Profile の 生 成 と VS への 割 当 て (1) Client SSL Profile の 生 成 Main メニュー Local Traffic Profile SSL Client で 表 示 された 画 面 右 上 の Create ボタ ンを 押 すと 以 下 の 画 面 が 表 示 されます 以 下 のように 設 定 します 名 前 ( 任 意 )を 指 定 右 のチェックボックスをチェック 左 のプルダウンメニューから 証 明 書 とキーを 選 択 52

53 (2) Virtual Server への Client SSL Profile の 割 当 て Main メニュー Local Traffic Virtual Servers を 選 択 し APM 用 に 設 定 した Virtual Server をクリッ クすると 以 下 の 画 面 が 表 示 されます 作 成 した Client SSL Profile を 選 択 53

54 クライアント PC からのアクセス 正 式 なサーバ 証 明 書 を 利 用 することで クライアント PC から Virutal Server へのアクセス 時 に 警 告 が 出 なくなります 初 級 編 は 以 上 で 終 了 です ここまでで ご 要 件 を 満 たす 設 定 になっていれば 冗 長 化 へ 進 んでください 54

55 6. 中 級 編 6.1. APM オブジェクトを 一 つ 一 つ 設 定 していく 方 法 ウィザードを 利 用 せず 一 つ 一 つオブジェクトを 設 定 していき ウィザード 設 定 と 同 等 の 状 態 にする 方 法 を 示 します 設 定 が 必 要 な APM オブジェクトたち APM のバーチャルサーバにアクセスしてから ネットワークアクセス(SSL-VPN トンネル)を 確 立 するまでには 下 図 に 示 すような 様 々なオブジェクトを 経 由 します このことで BIG-IP APM に 設 定 したポリシーが 適 用 された ネットワークアクセスセッションが 生 成 されます 設 定 が 必 要 な 各 オブジェクトの 概 要 を 以 下 に 記 載 します (1) DNS/NTP 設 定 BIG-IP 自 身 が 問 合 せを 行 うサーバ 設 定 です (2) AAA Server 設 定 Active Directory 認 証 に 必 要 な 設 定 を 行 います (3) ACL 設 定 パケットフィルタリング 設 定 です このセクションでは 設 定 しませんが 後 の VPE サンプル で 設 定 します (4) WebTop 設 定 BIG-IP APM へのアクセス 後 に 稼 働 する Web アプリケーションです (5) Network Access 設 定 SSL-VPN トンネルを 行 うための 設 定 です (6) Lease Pool 設 定 クライアント PPP アダプタに 割 当 てられるアドレス 群 です (7) Access Policy 上 記 のオブジェクトをフローチャート 形 式 で 紐 づける 設 定 です (8) Access Profile Access Policy の 親 的 位 置 づけです 利 用 する 言 語 をここで 設 定 します (9) Connectivity Profile コネクション 上 の 圧 縮 設 定 やクライアント 用 ソフトウェアの 設 定 を 行 います 以 降 上 記 の 各 オブジェクトを 設 定 していきます 尚 既 述 の ネットワーク 設 定 は 完 了 しているものとして 進 めます 55

56 各 オブジェクトの 設 定 DNS / NTP 設 定 (1) DNS を 設 定 します Main メニュー System Configuration Device タブから DNS を 選 択 します DNS の IP アドレスを 入 力 し Add ボタンを 押 す (2) NTP を 設 定 します Device タブから NTP を 選 択 します NTP の IP アドレスを 入 力 し Add ボタンを 押 す 56

57 認 証 サーバ:Active Directory の 設 定 Main メニュー Access Policy AAA Servers へ 移 動 し AAA Server by Type タブから Active Directory を 選 択 します 任 意 の 名 称 を 入 力 ドメイン 名 を 入 力 Server Connection は"Direct"を 選 択 し Active Directory の IP アドレスを 入 力 57

58 Lease Pool の 設 定 クライアントに 割 当 てる IP アドレス 群 :リースプールを 設 定 します Main メニュー Access Policy Network Access へ 移 動 します Lease Pool List タブから IPV4 Lease Pools を 選 択 します 任 意 の 名 称 を 入 力 IP Address Range を 選 択 し 割 当 てる IP アドレス 範 囲 の 最 初 のアドレス(Start IP Address)と 最 後 のアドレス(End IP Address)を 入 力 し Add ボタンを 押 す 58

59 Network Access の 設 定 (1) Main メニュー Access Policy Network Access へ 移 動 します Network Access List タブを 選 択 し 左 に 表 示 された Create ボタンを 押 すと 以 下 の 画 面 が 出 ます 以 下 のように 値 を 入 力 し Finished ボタンを 押 します 任 意 の 名 称 を 入 力 (Name の 値 が 自 動 的 に 入 力 される) (2) その 後 以 下 のような 画 面 (タブメニューが 追 加 された 画 面 )に 遷 移 します 59

60 (3) Network Settings タブでの 設 定 ここで 既 に 設 定 した Lease Pool を 選 択 します スプリット トンネルの 設 定 もここで 行 います 設 定 した Lease Pool を 選 択 Use split tunneling for traffic を 選 択 トンネルに 通 したいネットワーク 帯 を 設 定 し Add ボタンを 押 す (4) クライアントに 割 当 てる DNS や hosts の 設 定 クライアントに 割 当 てる DNS クライアントに 割 当 てる DNS ドメインサフィックス 60

61 Webtop の 設 定 Main メニュー Access Policy Webtops を 選 択 します 右 上 に 表 示 された Create ボタンを 押 すと 以 下 の 画 面 が 現 れます 以 下 の 2 ヶ 所 を 設 定 し Finished ボタンを 押 します 任 意 の 名 称 を 入 力 Network Access を 選 択 61

62 Connectivity Profile の 設 定 Main メニュー Access Policy Secure Connectivity で 以 下 の 画 面 が 現 れます 右 上 に 表 示 される Add ボタンを 押 すと 以 下 の 画 面 が 現 れます 以 下 2 ヶ 所 を 設 定 し OK ボタンを 押 します 任 意 の 名 称 を 入 力 ベースとなる Profile を 選 択 62

63 Access Profile と Access Policy の 設 定 (1) Main メニュー Access Policy Access Profile Access Profile List を 選 択 右 上 に 表 示 された Create ボタンを 押 すと 以 下 の 画 面 が 現 れます 以 下 2 ヶ 所 を 設 定 し Finished ボタンを 押 します 任 意 の 名 称 を 入 力 言 語 を 選 択 63

64 (2) その 後 以 下 の 画 面 に 遷 移 します ここで Access Policy を 設 定 するために Edit をクリックします (3) 以 下 のような 証 明 書 に 関 わる 警 告 画 面 が 表 示 されますが このサイトの 閲 覧 を 続 行 する を 選 択 してください (4) 以 下 の 画 面 :Visual Policy Editor (VPE) が 表 示 されます "Start"と"Deny"の 線 上 にある + をクリックします 64

65 (5) その 後 以 下 の 画 面 が 現 れます Logon タブで Logon Page を 選 択 し Add Item ボタンを 押 します (6) その 後 以 下 の 画 面 が 現 れます ここでは 特 に 変 更 は 行 わず save ボタンを 押 します (7) 以 下 のような 状 態 になります Logon Page の 後 ろにある + をクリックします 65

66 (8) その 後 以 下 の 画 面 が 現 れます Authentication タブで AD Auth を 選 択 し Add Item ボタンを 押 します (9) その 後 以 下 の 画 面 が 現 れます Server の 項 目 で 既 に 設 定 した AAA サーバ:Active Directory を 選 択 し Save ボタンを 押 します (10) 以 下 のような 状 態 になります AD Auth の 後 ろにある Successful 側 の + をクリックします 66

67 (11) その 後 以 下 の 画 面 が 現 れます Assignment タブで Advanced Resource Assign を 選 択 し Add Item ボタンを 押 します (12) その 後 以 下 の 画 面 が 現 れます Add new entry ボタンを 押 して Expression を 1 つ 追 加 します その 下 の Add/Delete をクリックします (13) その 後 以 下 の 画 面 が 現 れます Network Access タブで 既 に 設 定 した Network Access リソースのチェックボタンにチェックを 入 れます (14) Webtop タブで 既 に 設 定 した Netowrk Access 用 Webtop のチェックボタンにチェックを 入 れます Update ボタンを 押 します 67

68 (15) その 後 以 下 のような 状 態 になります Save ボタンを 押 します (16) 以 下 のような 状 態 になります 最 後 に Advance Resource Assign の 後 ろにある Deny を Allow に 変 更 する 必 要 があるので その Deny を クリックします (17) 以 下 のような 画 面 が 現 れます Allow を 選 択 し Save ボタンを 押 します (18) VPE の 設 定 は 以 上 ですが まだ 設 定 した 値 は 適 用 されていません 左 上 に 表 示 されている Apply Access Policy をクリックすることで 設 定 が 適 用 されます 68

69 APM 用 Virtual Server の 設 定 Main メニュー Local Traffic Virtual Servers を 選 択 します 右 上 の Create ボタンを 押 すと 以 下 の 画 面 が 現 れます 以 下 のように 設 定 します 任 意 の 名 称 を 入 力 Type で Host を 選 択 VS の IP アドレスを 入 力 し サービスポート(443)を 選 択 HTTP Profile を 選 択 clientssl を 選 択 設 定 した Access Profile と Connectivity Profile を 選 択 69

70 リダイレクト 用 Virtual Server の 設 定 HTTP(80)でアクセスしても APM 用 Virtual Server(HTTPS(443))へリダイレクトされるように リダイレクト 用 の Virtual Server を 新 規 に 設 定 します 任 意 の 名 称 を 入 力 Type で Host を 選 択 VS の IP アドレスを 入 力 し サービスポート(80)を 選 択 HTTP Profile を 選 択 デフォルトで 用 意 されている irule: _sys_https_redirect を 選 択 以 上 で ウィザードで 設 定 した 内 容 と 同 等 の 状 態 になります 70

71 クライアント PC からのアクセス クライアント PC から 設 定 した Virtual Server へのアクセスが 完 了 することを 確 認 します SSL サーバ 証 明 書 の 設 定 初 級 編 での 設 定 と 同 様 です 既 述 の SSL サーバ 証 明 書 の 設 定 を 参 照 してください 71

72 6.2. クライアント 証 明 書 認 証 の 設 定 クライアント 証 明 書 による 認 証 を 行 う 設 定 方 法 を 記 載 します クライアント 証 明 書 の 発 行 クライアント 証 明 書 認 証 の 設 定 を 行 うためには 以 下 2 つの 証 明 書 が 必 要 です 1 認 証 局 の 証 明 書 BIG-IP 側 で 利 用 します 2 クライアント 証 明 書 クライアント PC 側 で 利 用 します クライアント 証 明 書 の 発 行 には 大 きくは 以 下 2 つの 方 法 があります a) 商 用 の 認 証 局 (Verisign CyberTrust 等 )から 発 行 してもらう b) 独 自 の 認 証 局 ( 例 :OpenSSL の 利 用 )を 建 てて 発 行 する 本 ガイドでは b)の 方 法 :OpenSSL を 使 って 独 自 の 認 証 局 を 建 てて クライアント 証 明 書 を 発 行 しました クライアント 証 明 書 を 発 行 する 際 PKCS#12 形 式 で 発 行 することで キーと 証 明 書 を 一 つのファイルとしてクライア ントに 提 供 することが 可 能 です 本 例 では PKCS#12 形 式 で apmclient001.p12 というファイル 名 のクライアント 証 明 書 を 発 行 しました クライアント PC へクライアント 証 明 書 をインポート クライアント 証 明 書 (PKCS#12)を クライアント PC へインストールする 手 順 について 参 考 までに 記 載 します 本 ガイドのクライアント PC は Windows7+Internet Explorer 10 を 利 用 しています (1) クライアント 証 明 書 : apmclient001.p12 を Windows へコピーします (2) その 証 明 書 をダブルクリックすることで Internet Explorer へのインポートが 開 始 されます 72

73 (3) そのまま 次 へ を 押 します (4) 秘 密 キーがパスワードで 保 護 されているので パスワードを 入 力 します (OpenSSL で 発 行 する 際 に 指 定 したパスワードです ) (5) そのまま 次 へ を 押 します 73

74 (6) 完 了 を 押 します (7) OK を 押 します (8) 証 明 書 がインストールされた 状 態 を 確 認 するには IE10 の ツール インターネットオプション 証 明 書 ボタンを 押 します (9) 個 人 タブで クライアント 証 明 書 がインストールされていることを 確 認 できます 74

75 (10) クライアント 証 明 書 をダブルクリックすると 証 明 書 の 詳 細 が 確 認 できます BIG-IP の 設 定 クライアント 証 明 書 認 証 に 必 要 な BIG-IP の 設 定 を 示 します 認 証 局 の 証 明 書 のインポート (1) あらかじめ 認 証 局 の 証 明 書 を BIG-IP の 設 定 用 GUI へアクセスする PC にコピーしておきます (2) その 認 証 局 の 証 明 書 を 以 下 の 手 順 で BIG-IP へインポートします Certificate を 選 択 任 意 の 名 称 を 入 力 独 自 の 認 証 局 の 証 明 書 を 指 定 75

76 (3) 以 下 の 状 態 になります 76

77 (4) SSL サーバ 証 明 書 の 設 定 で 生 成 した Client SSL Profile を 編 集 します Main メニュー Local Traffic Profile SSL Client で 該 当 する Profile をクリックすると 以 下 の 画 面 が 現 れます 以 下 の 通 り 設 定 します 右 のチェックボックスにチェックを 入 れて Require を 選 択 右 のチェックボックスにチェックを 入 れて インポートした 証 明 書 を 選 択 以 上 で クライアント 証 明 書 認 証 の 設 定 は 完 了 です クライアントからのアクセス (1) クライアント PC から APM VS へアクセスします (2) クライアント 証 明 書 の 選 択 画 面 が 出 たら 該 当 する 証 明 書 をクリックします (3) APM へのアクセスが 完 了 することを 確 認 します 77

78 6.3. セッション 変 数 について BIG-IP APM には セッション 変 数 (Session Variables)という 便 利 な 機 能 が 実 装 されています このセッション 変 数 を 利 用 することで 例 えば クライアント 端 末 が 持 つ 情 報 と Active Directory で 管 理 している 情 報 を 突 き 合 わせて 情 報 が 一 致 すれば 次 のアクションを 実 施 する というようなポリシーを 生 成 することが 可 能 です 例 えば 先 のセクションで 設 定 したクライアント 証 明 書 認 証 において そのクライアント 証 明 書 内 の 値 がセッション 変 数 に 取 り 込 まれますので その 情 報 を 利 用 することも 可 能 です セッション 変 数 の 確 認 方 法 を 以 下 に 示 します (1) クライアントが APM に 接 続 された 状 態 にします (2) Main メニュー Access Policy Reports を 選 ぶと 以 下 の 画 面 が 現 れます Run Report ボタンを 押 します (3) アクセスした Logon ユーザ( 本 例 では test1001)の 行 に 表 示 されている View Session Variables をクリックしま す 78

79 (4) 表 示 された 画 面 の Variable Name の 中 で ssl を 捜 し ボタンをクリックして 展 開 すると クライアント 証 明 書 の 詳 細 が 表 示 されます 上 図 の 赤 点 線 囲 みの 部 分 を 例 にとりますと session.ssl.cert.subject がセッション 変 数 であり CN=apmclient001a.f5jp.local,OU=FSE001,O=F5JKK,ST=Tokyo,C=JP がその 値 です クライアント 証 明 書 情 報 を APM のセッション 変 数 に 取 り 込 む というのはほんの 一 例 であり その 他 にもクライアント が 持 つ 固 有 の 情 報 ( 例 :Windows であれば NIC の MAC アドレス マザーボードの ID 等 )を 取 り 込 むことが 可 能 です このセッション 変 数 を 利 用 することで ユーザ 単 位 にアクセス 制 御 を 行 うことが 可 能 です 以 降 このセッション 変 数 を 利 用 したポリシーの 設 定 例 をいくつか 紹 介 します 79

80 6.4. [VPE サンプル-1] クライアント 証 明 書 の OU で ACL を 割 当 てる クライアント 証 明 書 の OU 単 位 (= 組 織 単 位 ) に アクセスできるサーバを 制 限 したい=Access Control List を 適 用 したい という 要 件 があると 仮 定 します 本 例 では クライアント 証 明 書 の Sbject に "OU=FSE001"が 含 まれている 場 合 に ある ACL を 割 当 てる という 設 定 を 行 います ACL の 作 成 サンプルとして 実 サーバ: への SSH(Port:22)アクセスを 止 める ACL を 作 成 します (1) Main メニュー Access Policy ACLs で 表 示 された 画 面 の 右 上 の Create ボタンを 押 すと 以 下 の 画 面 が 表 示 されます 以 下 のように 設 定 します 任 意 の 名 称 を 入 力 80

81 (2) 以 下 の 状 態 になります Access Control Entries の 横 の Add ボタンを 押 します (3) 送 信 元 は 特 定 せず(=Any) 宛 先 が の SSH(Port 22)を 止 める 設 定 を 行 います 本 例 では L4 を 選 択 送 信 元 は Any を 指 定 宛 先 は :22 を 指 定 プロトコルは TCP を 選 択 アクションとして Reject を 選 択 81

82 (4) この 状 態 になります VPE の 設 定 (1) ここまでの 設 定 では VPE は 以 下 の 状 態 になっています AD Auth の 後 ろにある + をクリックします (2) General Purpose タブで Empty を 選 択 し Add Item ボタンを 押 します 82

83 (3) Branch Rules タブを 選 択 します Add Branch Rule ボタンを 押 して Expression を 1 つ 追 加 し Change を クリックします (4) Advanced タブを 選 択 し 以 下 のように TCL 形 式 で 入 力 します expr { [mcget {session.ssl.cert.subject}] contains "OU=FSE001" } mcget コマンド:このコマンドによって BIG-IP APM のセッション 変 数 (Session Variable)に 取 り 込 まれた 値 を 取 り 出 します この 構 文 によって セッション 変 数 :"session.ssl.cert.subject"の 値 に "OU=FSE001"が 含 まれているかどうかを 確 認 します 確 認 結 果 が OK であれば 次 のボックスへ 進 みます (5) Name を 分 かりやすいものに 変 更 し Save ボタンを 押 します 83

84 (6) 同 様 の 方 法 で 2 つ 目 の 分 岐 (OU=FSE002 の 場 合 )も 追 加 してみた 状 態 です VPE の 見 た 目 上 FSE001 を 一 番 上 にしたい 場 合 以 下 の ボタンを 押 します (7) 以 下 のように 上 下 が 入 れ 替 わります Save ボタンを 押 します (8) この 例 では 以 下 のように Fallback に Asdvanced Resouce Assign がつながっています このままだと OU=FSE001 でも OU=FSE002 でもないものに 対 して リソースがアサインされる 状 態 になって いますので これを 変 更 します Fallback の 後 ろにある >> のマークをクリックします (9) 以 下 のような 画 面 に 変 わります Advanced Resource Assign を 繋 ぎたい 分 岐 (この 例 では FSE001)の ^ になっている 部 分 をクリックします 84

85 (10) 以 下 のように Advanced Resource Assign が 移 動 します 次 に"OU_FSE001"の 分 岐 に ACL を 割 当 てるため その 分 岐 の + をクリックします (11) Assignment タブの ACL Assign を 選 択 し Add Item ボタンを 押 します (12) Add/Delete をクリックします (13) 既 に 作 成 した ACL(TEST1001-ACL)のチェックボックスにチェックを 入 れ Save ボタンを 押 します 85

86 (14) 以 下 の 状 態 になります Apply Access Policy を 押 して 設 定 を 適 用 します クライアントからのアクセス (1) OU=FSE001 のクライアント 証 明 書 を 持 つクライアント PC から APM の VS へアクセスします (2) アクセス 完 了 後 の SSH(Port 22)へのアクセスだけが Reject されることを 確 認 します 86

87 6.5. [VPE サンプル-2] Active Directory の Group で ACL を 割 当 てる Active Directory のユーザが 属 する Group 毎 に アクセスできるサーバを 制 限 したい=Access Control List を 適 用 したい という 要 件 があると 仮 定 します 本 例 では "CorpA-Group"に 属 するユーザ:"test1001"に 対 して ACL を 適 用 し "CorpB-Group"に 属 するユーザ: "test1002"には ACL を 適 用 しない という 設 定 を 行 います ACL の 作 成 "[VPE サンプル-1]"で 作 成 した ACL:Test1001-ACL を 利 用 しますので 設 定 例 は 省 略 します Active Directory ユーザ:test1001 (1) 全 般 (2) 所 属 するグループ test1001 は CorpA-Group に 属 しています この CorpA-Group に 対 して ACL を 割 当 てる 設 定 を 行 います 87

88 VPE の 設 定 (1) ここまでの 設 定 では VPE は 以 下 のようになっています 一 旦 Empty 以 降 をすべて 削 除 します ボックスの 右 上 の をクリックします (2) 以 下 のような 画 面 が 現 れます そのまま Delete を 押 します (3) 同 様 の 手 順 で ACL Assign も Advanced Resource Assign も 削 除 し 以 下 の 状 態 にします AD Auth の Successful 分 岐 上 の + をクリックします (4) Autentication タブの AD Query を 選 択 し Add Item ボタンを 押 します 88

89 (5) Server として 既 に 設 定 した Active Directory 設 定 (NetAccess-001_aaa_srvr)を 選 択 します SerchFilter には 以 下 を 入 力 します samaccountname=%{session.logon.last.username} SearchFilter に 入 力 した samaccountname は Active Directory で 定 義 されている ユーザ 名 の 変 数 です この 変 数 に APM にログインしたときのユーザ 名 ( 例 :test1001)を 代 入 して AD Query を 実 施 する という 定 義 です APM にログインしたときのユーザ 名 は セッション 変 数 : session.logon.last.username の 値 として 格 納 されていま すので =%{session.logon.last.username} で 代 入 を 行 います (6) Branch タブで Change をクリックします (7) Simple タブ 上 で デフォルトで 設 定 されている User's Primary Group ID is 100 を ボタンを 押 して 削 除 し ます 89

90 (8) Add Expression ボタンをクリックすると 以 下 の 画 面 が 現 れます ここでは 単 純 に AD Query が 成 功 したら 次 の BOX に 移 動 する 定 義 にしています 以 下 の 状 態 にして Add Expression ボタンを 押 します (9) 以 下 の 状 態 になります Finished ボタンを 押 します (10) Name に 区 別 しやすい 名 称 (ここでは Query_Passed としました)を 入 力 し Save ボタンを 押 します 90

91 (11) 以 下 の 状 態 になります AD Query の Query_Passed 分 岐 上 にある + をクリックします (12) Assignment タブの AD Group Resource Assign を 選 択 し Add Item ボタンを 押 します (13) Groups の 下 にある 行 の edit をクリックします (14) Groups タブで New Group に Active Directory のグループ 名 を 入 力 し Add ボタンを 押 します 91

92 (15) 以 下 の 状 態 になります (16) Static ACL タブで 既 に 設 定 した ACL のチェックボックスにチェックを 入 れます (17) Network Access タブで 既 に 設 定 した Network Access のチェックボックスにチェックを 入 れます (18) Webtop タブで 既 に 設 定 した Webtop のチェックボックスにチェックを 入 れます 92

93 (19) 以 下 の 状 態 になります CorpB-Group 設 定 を 追 加 するために Add new entry ボタンを 押 します (20) 同 様 の 手 順 で CorpB-Group の 設 定 を 行 います この 例 では CorpB-Group には ACL を 割 り 当 てない 設 定 にしています (21) 以 下 の 状 態 になります Apply Access Policy を 押 して 設 定 を 適 用 します クライアントからのアクセス (1) クライアント PC から CorpA-Group に 属 するユーザ:"test1001"で APM の VS へアクセスします (2) アクセス 完 了 後 の SSH(Port 22)へのアクセスだけが Reject されることを 確 認 します (3) クライアント PC から CorpB-Group に 属 するユーザ:"test1002"で APM の VS へアクセスします (4) CorpB-Group には ACL が 割 り 当 てられていないので すべてのアクセスが 通 過 する (なにも Reject されない) こ とを 確 認 します 93

94 AD Query がうまく 行 かない 場 合 :AAA 設 定 の 変 更 Active Directory 設 定 またはそのユーザ 設 定 によっては Administrator 権 限 が 必 要 となる 場 合 があります その 場 合 には 以 下 の 部 分 を 追 加 してみてください Main メニュー Access Policy AAA Servers Active Directory 設 定 済 みの AAA サーバをクリ ックすることで 以 下 の 画 面 が 現 れます 以 下 の 赤 囲 み 部 分 を 追 加 してみてください 94

95 6.6. [VPE サンプル-3] アクセスできるクライアント 端 末 を 限 定 する Active Directory のユーザが 利 用 する 端 末 を 限 定 したい という 要 件 があると 仮 定 します 本 例 では "test1001"が 使 うことができる 端 末 は その 端 末 のマザーボードシリアル 番 号 が Active Directory に 登 録 されているものだけにする という 設 定 を 行 います クライアント 端 末 固 有 の 情 報 の 取 得 クライアント 端 末 のマザーボードシリアル 番 号 情 報 が 入 手 できない 場 合 APM で 調 べる 事 も 可 能 です 以 下 クライアント PC のマザーボードのシリアル 番 号 を 取 得 するためのステップです (1) ここまでの 設 定 では 以 下 の 状 態 になっています Logon Page の 前 の + をクリックします (2) Endpoint Security (Client-Side) タブで Machine Info を 選 択 し Add Item ボタンを 押 します (3) そのまま Save ボタンを 押 します 95

96 (4) 以 下 の 状 態 になります 一 旦 Apply Access Policy をクリックして 設 定 を 適 用 します (5) クライアント PC から APM Virtual Server へアクセスします (6) Main メニュー Access Policy Reports を 選 ぶと 以 下 の 画 面 が 現 れます Run Report ボタンを 押 します (7) アクセスした Logon ユーザ ( 本 例 では test1001) の 行 に 表 示 されている View Session Variables をクリックし ます 96

97 (8) Variable Name の Machine_info の をクリックして 展 開 します その 中 に Motherboard ディレクトリがあるので をクリックして 展 開 します Variable ID が session.machine_info.last.motherboard.sn の 値 がマザーボードのシリアル 番 号 です マザーボードシリアル 番 号 がチェックできたら(またはコピーできたら) 一 旦 ネットワークアクセスを 切 断 します 97

98 Active Directory の 設 定 (1) Active Directory 上 の"test1001" 設 定 を 開 きます 本 例 では 説 明 フィールドを 使 うことにします ここに クライアント PC のマザーボードシリアル 番 号 を 入 力 します (2) 今 一 度 クライアント PC から APM の Virtual Server へアクセスします (3) もう 一 度 Main メニュー Access Policy Reports で test1001 の Session Variable を 確 認 します ad last attr を 展 開 します Varialble ID: session.ad.last.attr.description の 部 分 が Active Directory の 説 明 フィールドにあたります 98

99 (4) クライアント PC のマザーボードシリアル 番 号 と Active Directory に 登 録 したそのシリアル 番 号 を 比 較 して 同 じで あれば 次 のボックスへ 進 む という 設 定 を 行 います AD Query をクリックします (5) Branch タブで Query_passed の 下 にある Change をクリックします (6) Advanced タブで 以 下 を 入 力 します expr { [mcget {session.ad.last.attr.description}] contains [mcget {session.machine_info.last.motherboard.sn}] } セッション 変 数 : session.ad.last.attr.description の 値 (=Active Directory の 説 明 フィールド 値 )を mcget で 取 得 しています また session.machine_info.last.motherboard.sn の 値 (=クライアント PC のマザーボードシリアル 番 号 )も mcget で 取 得 しています この 例 では session.ad.last.attr.description の 値 が session.machine_info.last.motherboard.sn の 値 を 含 ん でいるかどうかをチェックし 含 んでいる( 同 じである) 場 合 には 次 のボックスに 進 む という 設 定 にしています 99

100 (7) Name を 区 別 しやすいものに 変 更 し Save ボタンを 押 します (8) 以 下 の 状 態 になります Apply Access Policy をクリックして 設 定 を 適 用 します クライアントからのアクセス (1) マザーボードシリアル 番 号 : /BC6YVM1/CN D00F2/ を 持 つクライアント PC から "test1001"で APM の VS へアクセスし アクセスができることを 確 認 します (2) Active Directory のユーザ:"test1001"の 説 明 フィールドに 記 載 されたマザーボードシリアル 番 号 : /BC6YVM1/CN D00F2/ を 例 えば /AC6YVM1/CN D00F2/ に 変 更 してみます 100

101 (3) もう 一 度 マザーボードシリアル 番 号 : /BC6YVM1/CN D00F2/ を 持 つクライアント PC から "test1001" で APM の VS へアクセスすると シリアル 番 号 が 異 なるので 接 続 ができなくなります 101

102 6.7. [VPE サンプル-4] クライアント OS の 種 類 に 応 じてポリシーを 変 える クライアント OS 毎 にポリシーを 変 更 したい という 要 件 があると 仮 定 します 本 例 では Windows クライアントには [VPE サンプル-3]で 設 定 したポリシーを 適 用 し ios(apple iphone/ipad)に はそれとは 異 なるポリシーを 適 用 する という 設 定 を 行 います (1) ここまでの 設 定 では 以 下 の 状 態 になっています Machine Info 前 の + をクリックします (2) Endpoint Security (Server-Side) タブで Client OS を 選 択 し Add Item ボタンを 押 します (3) そのまま Save ボタンを 押 します 102

103 (4) 以 下 の 状 態 になります (5) ios 設 定 には Logon Page, AD Auth, Advanced Resource Assign のみ 追 加 してみました 最 後 に Apply Access Policy をクリックして 設 定 を 適 用 します この 設 定 によって クライアント OS 毎 に 異 なるポリシーを 適 用 することができます 103

104 6.8. [VPE サンプル-5] マクロを 使 う VPE には マクロ 機 能 があります 繰 り 返 し 利 用 されるポリシーをマクロ 化 して 再 利 用 する またはデフォルトで 用 意 されている 便 利 なマクロを 利 用 することもできます ここでは 以 下 2 つの 要 件 に 対 して デフォルトで 用 意 されているマクロを 利 用 する 例 を 示 します 1 Active Directory 認 証 の 誤 り 回 数 をカウントしたい さらに 指 定 回 数 を 超 えたらロックし ロック 解 除 するまで 使 えないようにしたい 2 Android と ios は 同 じ 設 定 なので 一 つの 設 定 にまとめたい AD 認 証 の 誤 り 回 数 カウント (1) まず ユーザエントリの 存 在 しない 空 の Local User DB の Instance を 作 ります Main メニュー Access Policy Local User DB Manage Instances で 左 上 の Create New Instance をクリックします 任 意 の 名 称 を 入 力 104

105 (2) VPE 設 定 に 戻 ります ここまでの 設 定 では 以 下 の 状 態 になっています Logon Page と AD Auth の 2 つをボックスの 右 上 をクリックして 削 除 します (3) 以 下 の 状 態 になります Add New Macro ボタンを 押 します (4) Select macro template: から AD auth and LocalDB lockout を 選 択 します 105

106 (5) 以 下 の 画 面 が 現 れますので Save ボタンを 押 します (6) 以 下 の + をクリックすると マクロが 展 開 されます (7) * 部 分 は 現 在 設 定 が 不 十 分 であることを 表 しています 以 降 * の 部 分 を 設 定 していきます 106

107 (8) LocalDB - Read をクリックすると 以 下 の 画 面 が 現 れます 設 定 した DB インスタンス:AD_lockout_counts を 選 択 し Save ボタンを 押 します (9) AD Auth をクリックすると 以 下 の 画 面 が 現 れます 設 定 済 みの Active Directory 設 定 を 選 択 し Save ボタンを 押 します 107

108 (10) LocalDB - Write (Reset) をクリックすると 以 下 の 画 面 が 現 れます 設 定 した DB インスタンス:AD_lockout_counts を 選 択 し Save ボタンを 押 します (11) LocalDB - Write (Incr) をクリックすると 以 下 の 画 面 が 現 れます 設 定 した DB インスタンス:AD_lockout_counts を 選 択 し Save ボタンを 押 します 108

109 (12) 本 サンプルでは AD Query の 前 に マクロを 入 れることにします AD Query の 前 の + をクリックします (13) Macrocalls タブで 設 定 した Ad auth and LocalDB locout を 選 択 し Add Item ボタンを 押 します 109

110 (14) 以 下 の 状 態 になります Apply Access Policy をクリックして 設 定 を 適 用 します クライアントからのアクセス (1) まずは クライアント PC から 正 しい ID とパスワード(test1001/test1001)でアクセスしてみます Main メニュー Access Policy Local User DB Manage Users を 確 認 します すると ユーザ:test1001 がエントリされていることが 分 かります 110

111 (2) 今 度 は 誤 ったパスワードで 3 回 程 度 アクセスしてみます 以 下 のように アクセスが 拒 否 されたメッセージが 表 示 されます (3) Main メニュー Access Policy Local User DB Manage Users を 確 認 します すると ユーザ:test1001 がロックアウトされていることが 分 かります (4) ロックされたユーザのロック 解 除 V11.4.1(HF1 含 む)では GUI からのロック 解 除 ができず コマンドラインで 実 施 する 必 要 があります ( 詳 細 は 以 下 SOL を 参 照 ください) 1 SSH で BIG-IP へログイン(デフォルト ID/Pass:root/default) 2 以 下 のコマンドを 実 行 ( 赤 文 字 部 分 のみ 変 更 してご 利 用 ください ) [root@big208:active:standalone] config # ldbutil --update --uname=test instance=/common/ad_lockout_counts --locked_out=0 --lockout_start=0 --login_failures=0 111

112 同 じ 設 定 をまとめる ご 要 件 として ios と Android は 同 じ 設 定 を 行 う と 仮 定 します ios と Android それぞれに 同 じ 設 定 を 追 加 しても 全 く 問 題 はないのですが 見 た 目 上 少 し 煩 雑 になります そこで ここではサンプルとして 共 通 のマクロを 生 成 して それを 再 利 用 する という 設 定 を 行 ってみます (1) ここでは 一 旦 ios の 分 岐 上 にあるボックス 全 てを 削 除 します その 後 Add New Macro ボタンをクリックします (2) ここでは サンプルとして AD auth and resources を 選 択 してみました Save ボタンを 押 します (3) 追 加 したマクロ: AD Aurh and resources の * マークの 付 いたボックス: AD Auth と Resource Assign をそ れぞれ 設 定 します その 後 ios と Android の 分 岐 の + をクリックして そのマクロを 追 加 します 112

113 Android は Ending が Deny になっているので Allow に 変 更 します 最 後 に Apply Access Policy をクリックして 設 定 を 適 用 します 以 上 で 設 定 は 完 了 です 113

114 7. 冗 長 化 7.1. 冗 長 化 イメージ スタンドアローン 構 成 に 加 え 冗 長 化 用 サブネットが 必 要 になります また 2 台 で 共 有 し どちらかが Active に 動 作 す る 共 用 IP アドレスを 設 定 し サーバのデフォルト GW として 指 定 します 項 目 名 前 値 名 前 値 1 号 機 2 号 機 - ホスト 名 big208.f5jp.local big209.f5jp.local 1 管 理 IP / /24 2 External インタフェース external external /24 3 Internal インタフェース internal internal /24 4 デフォルトゲートウェイ default-gw 設 定 同 期 によりコピー 5 バーチャルサーバアドレス NetAccess-001_vs :443 設 定 同 期 によりコピー 6 7 PPP アダプタ 用 IP プール NetAccess-001_lp 設 定 同 期 によりコピー 認 証 サーバ(Active Directory) NetAccess-001_aaa_srvr 設 定 同 期 によりコピー 8 DNS サーバ(Active Directory) 設 定 同 期 によりコピー 9 NTP サーバ 設 定 同 期 によりコピー 10 サーバが 存 在 するネットワーク /0/24 設 定 同 期 によりコピー 11 HA インタフェース HA /24 HA /24 12 共 用 External External-flo-ip 設 定 同 期 によりコピー 13 共 用 Internal Internal-flo-ip 設 定 同 期 によりコピー 114

115 7.2. 冗 長 化 のネットワークサンプル もう 一 台 BIG-IP を 追 加 して L3 構 成 の 冗 長 化 設 定 を 行 います BIG-IP 間 の HA (High Availability) VLAN は 冗 長 化 の 制 御 パケットをやり 取 りする 専 用 の VLAN です External や Internal VLAN を 利 用 することも 可 能 ですが HA 専 用 の VLAN を 追 加 することを 推 奨 しています よって 本 構 成 においては HA VLAN を 追 加 しています 115

116 7.3. Active 機 (big208.f5jp.local)の 設 定 (1) HA VLAN の 設 定 Main メニュー Network VLANs で 表 示 された 画 面 の 右 上 にある Create ボタンを 押 し HA 用 VLAN を 設 定 します 名 前 ( 任 意 )を 指 定 ポートを 選 択 (2) HA VLAN の IP 設 定 Main メニュー Network Self IPs で 表 示 された 画 面 の 右 上 にある Create ボタンを 押 し HA 用 VLAN の IP を 設 定 します 名 前 ( 任 意 ) IP アドレス サブネットマスク VLAN を 設 定 このアドレス 上 でのサービス(SSH/GUI アクセス 等 )を 許 可 116

117 (3) 一 覧 は 以 下 のような 状 態 になります (4) 次 に Main メニュー Device Management Devices で 自 分 自 身 :big208.f5jp.local(self)を 選 択 しま す 117

118 (5) Device Connectivity プルダウンメニューから ConfigSync を 選 択 し HA VLAN に 指 定 した IP アドレスを 選 択 し Update を 押 します HA VLAN に 設 定 した IP アドレスを 選 択 (6) Device Connectivity プルダウンメニューから Failover を 選 択 し Add ボタンを 押 します 118

119 (7) HA VLAN に 設 定 した IP アドレスを 選 択 します HA VLAN に 設 定 した IP アドレスを 選 択 (8) Device Connectivity プルダウンメニューから Mirroring を 選 択 し HA VLAN に 指 定 した IP アドレスをプライマ リに 指 定 します 任 意 ですが ここでは Secondary として Internal VLAN に 指 定 した IP アドレスを 選 択 していま す 選 択 後 Update を 押 します Primary には HA VLAN に 設 定 した IP アドレスを 選 択 Secondry は 任 意 (ここでは Internal VLAN を 選 択 ) 119

120 7.4. Standby 機 (big209.f5jp.local)の 設 定 (1) Active 機 での VLAN,Self IP,Devices の 設 定 と 同 様 の 設 定 を Standby 機 に 対 しても 行 います (2) Standby 機 に 設 定 された VLAN は 以 下 のようになります (3) Standby 機 に 設 定 された Self IP アドレスは 以 下 のようになります 120

121 (4) 次 に Main メニュー Device Management Devices で 自 分 自 身 :big209.f5jp.local(self)を 選 択 し Active 機 同 様 に Device Connectivity の 設 定 を 行 います 以 下 は ConfigSync 設 定 HA VLAN の IP アドレスを 選 択 (5) Failover 設 定 HA VLAN の IP アドレスを 選 択 121

122 (6) Mirroring 設 定 Primary には HA VLAN に 設 定 した IP アドレスを 選 択 Secondry は 任 意 (ここでは Internal VLAN を 選 択 ) 122

123 7.5. デバイストラスト 設 定 (Active 機 :big208.f5jp.local 側 から 実 施 ) デバイストラスト 設 定 にて 冗 長 化 する 機 器 間 で 信 頼 関 係 を 結 びます 以 降 は Active 機 :big208.f5jp.local からのみ 設 定 します (1) Main メニュー Device Management Device Trust Peer List を 選 択 し Add ボタンを 押 します (2) Standby 機 :big209.f5jp.local の IP アドレスと 管 理 者 ID(Admin)とパスワードを 指 定 します Retrieve Device Information ボタンを 押 します Standby 機 の IP アドレスを 指 定 し 管 理 者 ユーザ 名 (Admin)およびそのパスワードを 指 定 します 123

124 (3) Standby 機 big209.f5jp.local の 証 明 書 情 報 が 表 示 されます Finished ボタンを 押 して 終 了 します (4) 承 認 されたデバイスとして 登 録 された 状 態 です 124

125 (5) Device Management Devices で 見 ると (self)に 加 え Standby 機 :big209.f5jp.local も 表 示 されます (ここは 確 認 のみです ) 125

126 7.6. デバイスグループの 設 定 デバイスグループは デバイストラストで 信 頼 関 係 を 結 んだ 機 器 の 間 で どの 機 器 間 で 冗 長 化 を 行 うかの 指 定 です デバイストラストは BIG-IP 3 台 以 上 で 構 成 することも 可 能 で 例 えば (1)と(2)で 冗 長 化 を 行 い (2)と(3)はコンフィ グ 同 期 のみ 行 う という 組 合 せが 可 能 となっています この 組 み 合 わせをデバイスグループで 指 定 します 2 台 で 冗 長 化 を 行 う 場 合 はデバイスグループの 組 み 方 をあまり 意 識 する 必 要 はありませんが 設 定 は 必 要 です (1) Main メニュー Device Management Device Groups から デバイスグループを 作 成 します 名 前 ( 任 意 )を 設 定 Sync-Failover を 選 択 冗 長 化 を 行 うデバイス( 自 分 自 身 を 含 む)を 選 択 ネットワークフェイルオーバを 行 うので チェック (2) デバイスグループが 作 られた 状 態 です 126

127 7.7. トラフィックグループの 設 定 トラフィックグループは デバイスグループ 内 で 移 動 するオブジェクトの 集 合 です 主 に Virtual Server と 共 用 IP(Floating IP)がトラフィックグループのオブジェクトです Main メニュー Device Management Traffic Groups を 確 認 します (1) デフォルトで Traffic-group-1 という 名 前 のトラフィックグループが 存 在 しています 以 降 この Traffic-group-1 に 対 して Floating IP および Virtual Server を 割 当 てていきます デフォルトのトラフィックグループ 127

128 (2) Internal VLAN 側 の 共 用 IP(Floating IP)を 追 加 設 定 します Floating IP は Active 機 ダウン 時 に Standby 機 が 引 き 継 ぐ 自 身 に 設 定 された IP アドレス(Self IP)を 指 します 実 サーバは この IP アドレスをデフォルトゲートウェイに 指 定 することで Active/Standby の 切 り 替 わり 発 生 時 にも 即 座 に 通 信 を 再 開 できます Main メニュー Network Self IPs から 設 定 します ここで Traffic-group-1 を 選 択 することで そのトラフィックグループに 属 させます 名 前 ( 任 意 )を 設 定 フローティング IP アドレスを 設 定 サブネットマスクを 指 定 VLAN を 選 択 この IP アドレス 上 のサービス(SSH/GUI 等 )を 許 可 traffic-group-1 を 選 択 (3) External VLAN 側 の 共 用 IP(Floating IP)も 追 加 設 定 します 名 前 ( 任 意 )を 設 定 フローティング IP アドレスを 設 定 サブネットマスクを 指 定 VLAN を 選 択 この IP アドレス 上 のサービス(SSH/GUI 等 )を 停 止 traffic-group-1 を 選 択 128

129 (4) Main メニュー Local Traffic Virtual Servers Virtual Address List を 選 択 します この Properties の Traffic Group で traffic-group-1 が 選 択 されていることを 確 認 します traffic-group-1 が 選 択 されていることを 確 認 (5) Main メニュー Device Management Traffic Groups の Traffic-group-1 をクリック Failover Objects タブをクリックして 中 身 を 確 認 すると フェイルオーバーオブジェクトは 以 下 のようになっています 129

130 7.8. ConfigSync Active 機 :big208.f5jp.local にのみに 行 った 設 定 を Standby 機 :big209.f5jp.local に 同 期 するために ConfigSync を 行 します (1) Main メニュー Device Management Overview を 選 択 します Active 機 (Big208.f5jp.local)を 選 択 し Sync ボタンを 押 すことで コンフィグ 同 期 が 行 われます クリック (2) しばらく 待 つと コンフィグ 同 期 が 完 了 し 各 ステータスがグリーンになります 130

131 7.9. Traffic-group-1 の 優 先 度 設 定 デフォルトでは 管 理 IP アドレス 設 定 の 大 きい 値 を 持 つものが Traffic-group-1 の Active 機 になります したがって 本 構 成 では Standby にしたい 機 器 :big209.f5jp.local がこの Traffic-group-1 の Active となっています 以 降 Active 機 にしたい 機 器 :big208.f5jp.local が Traffic-group-1 の Active になるように 設 定 します (1) big209.f5jp.local へ 移 動 し Main メニュー Device Management Traffic Groups から Traffic-group-1 を 選 択 し Force to Standy ボタンを 押 します 131

132 (2) その 結 果 big209.f5jp.local が Standby になります (3) big208.f5jp.local は Active になります 以 上 で 冗 長 化 設 定 は 終 わりです 132

133 7.10. クライアント PC からのアクセス クライアント PC から 設 定 した Virtual Server へのネットワークアクセスが 完 了 することを 確 認 します 133

134 8. おわりに 基 本 的 な APM セットアップに 関 しては 以 上 で 終 了 となります BIG-IP シリーズ 製 品 ラインナップにおいては ソフトウェアモジュールライセンスを 追 加 することで サーバ 負 荷 分 散 はもちろんのこと 広 域 負 荷 分 散 やネットワークファイアウォール 機 能 Web アプリケーションファイアウォール 機 能 な ど アプリケーションアクセスを 最 適 化 する 為 の 多 彩 な 機 能 が 使 用 できるようになります 詳 細 は 各 種 WEB サイトにてご 確 認 いただくか 購 入 元 にお 問 い 合 わせください <F5 ネットワークス WEB サイトの 紹 介 > F5 ネットワークスジャパン 総 合 サイト F5 Tech Depot:エンジニア 向 け 製 品 関 連 情 報 サイト AskF5:ナレッジベース 総 合 サイト( 英 語 ) DevCentral:F5 ユーザコミュニティサイト( 英 語 :アカウント 登 録 が 必 要 です) 以 上 134