Firewall ブレード設定ガイド - Check Point R77/GAiA チェック ポイント ソフトウェア テクノロジーズ ( 株 )
アジェンダ 1 SmartConsole の導入 2 3 4 Check Point オブジェクトの設定 オブジェクトの設定 Firewall ルールの設定 2
変更履歴 Rev1 R76 ベースで作成 Rev1a ポリシー管理を追加 Firewall ルール作成時の Tips を追加 Rev2 R77 ベースで作成 いつくかの機能説明を追加 3
アジェンダ 1 SmartConsole の導入 2 3 4 Check Point オブジェクトの設定 オブジェクトの設定 Firewall ルールの設定 4
SmartConsole とは SmartConsole は Check Point 製品を設定 運用するための復数の Windows アプリケーションです 主なコンポーネントの紹介 SmartDashboard: セキュリティ ポリシーを設定します SmartView Tracker: ログの参照に利用します SmartLog: ログを高速で検索します SmartView Monitor: 管理対象機器の状態の確認ができます 一部機能は 別途ライセンスが必要です SmartUpdate: リモートからパッケージ ライセンスの管理ができます 一部機能は 別途ライセンスが必要です SmartEvent: 複数の Software Blade のログなどの情報から イベントを収集しグラフィカルに表示します 別途 ライセンスが必要です 5
SmartConsole のインストール (1) SmartConsole のインストーラーを入手します SecurePlatform もしくは GAiA を利用している場合は OS のポータルからダウンロードすることができます GAiA の場合 ログイン直後の Overview ページにリンクがあります サポートサイトから入手する SK92965 から入手出来ます ダウンロードにはサポート契約が必要です メディアからインストールする メディアに SmartConsole のインストーラーが含まれています SmartConsole のインストーラーを実行します インストールウィザードが開始されます 6
SmartConsole のインストール (2) SmartConsole を利用する際には MS Visual C++ MS.NET Framework が必要になります システムにインストールされていない場合は 下記ダイアログが出てきます OK をクリックして必要なコンポーネントをインストールします 7
SmartConsole のインストール (3) 引続き SmartConsole のインストールを行います ライセンスに同意し Next をクリックしてプロセスを進めます 8
SmartConsole のインストール (4) インストールが完了したら Finish をクリックして SmartDashboard を起動します.Net 4.0 をインストールした場合 再起動が必要になります 9
SmartDashboard の起動 (1) インストールウィザード終了後 SmartDashboard が起動します Windows のメニューからも SmartDashboard の起動が可能です 初期セットアップで設定したユーザ名とパスワード Security Management サーバの IP アドレス ( またはホスト名 ) を入力します 10
SmartDashboard の起動 (2) 初回のみ Fingerprint の確認ダイアログが出ます Fingerprint は Security Management サーバで cpconfig を実行すると確認できます Fingerprint はレジストリーに書き込まれます Approve を押して継続します トライアルライセンスの場合 トライアル期間のダイアログが表示されます 11
SmartDashboard の起動 (3) SmartDashboard が起動しました 各 Software Blade タブ オブジェクトツリー 12
アジェンダ 1 SmartConsole の導入 2 3 4 Check Point オブジェクトの設定 オブジェクトの設定 Firewall ルールの設定 13
Check Point オブジェクトとは オブジェクトとは ネットワーク情報やサービス情報などを事前に登録しておくための要素です 最初にオブジェクトを作成してからポリシーを作成します オブジェクトを作成しないと ポリシーは設定出来ません オブジェクトには様々な復数の定義があります 代表的なオブジェクトは 次の章で説明しています Check Point オブジェクトとは これらのオブジェクトの中で Check Point 製品がインストールされたものを指します ネットワーク オブジェクトの 1 つとして設定します すべての Software Blade は この Check Point オブジェクトを設定することから始まります 14
Check Point オブジェクトの設定 Check Point オブジェクトはインストールされている製品によって 設定は異なります この章では Security Gateway と Security Management がインストールされてオブジェクトを前提に説明しています Security Gateway と Security Management も構成 ( 例えば 分散構成や冗長化構成 ) によって設定が異なります 左側のペインのネットワーク オブジェクトから Check Point 以下にあるオブジェクトをダブルクリックし 設定を行います 右クリックから Edit を選択でも同様の動作になります ダブルクリック 15
Check Point Gateway オブジェクト オブジェクト名とIPアドレスを変更する際は注意が必要です Security Gatewayの Software Bladeを選択します Security Managementの Software Bladeを選択します 機能を有効にする Software Blade を選択します ( それぞれにライセンスが必要です ) 左側のペインは 構成や Software Blade の選択によって異なります 16
Topology の設定 (1) Gateway オブジェクトで最初に設定しなくてはならいのが Topology です Topology を正しく設定しないと Gateway は正しくパケットを処理できません Topology には Gateway の各インターフェイスに接続されているネットワークを設定します ネットワークの先にルータがあり さらにネットワークがある場合も定義が必要です OS のネットワーク設定が正しく行われていれば ある程度は自動的に設定されます 必ず 正しく設定されているか確認する必要があります 17
Topology の設定 (2) Gateway オブジェクトの左側のペインから Topology を選択します デフォルトで取得されたインターフェイス情報が表示されています Get から Interface with Topology を選択します OS の設定から自動的に Topology を取得します 現在設定されている情報は上書きされる旨のダイアログが表示されます 18
Topology の設定 (3) OS から情報が取得できた場合 取得できた内容が表示されます Accept を押してダイアログを閉じます それぞれのインターフェイスを設定していきます インターフェイスが表示されているところをダブルクリックし設定ダイアログを表示させます ダブルクリック 19
Topology の設定 (4) General タブにて インターフェイス名 IP アドレス ネットマスクが正しいか確認します インターフェイス名は OS と同じ必要がありますので 変更しないでください 20
Topology の設定 (5) 以下は External 側のインターフェイスの場合です Topology タブの Topology が External に設定されているか確認します External に設定したインターフェイス間でのルーティングしません External のインターフェイスから入ってきて 別の External のインターフェイスから出て行く通信はできません 21
Topology の設定 (6) 以下は Internal 側のインターフェイスの場合です Topology タブの Topology が Internal に設定されているか確認します IP Addresses behind this interface には このインターフェイスに接続されているネットワークを指定する必要があります Not Defined: 設定しない (Anti-Spoofing は OFF になります )( 推奨しません ) Network defined by the interface IP and Net Mask: このインターフェイスに設定されているサブネットワーク Specific: ネットワークオブジェクトやグループオブジェクトを指定します 22
Topology の設定 (7) インターフェイスの背後にルータなどが存在し 復数のネットワークが存在する場合は以下のように設定します 実際のネットワークに合わせて ネットワークオブジェクトを作成します グループオブジェクトを使って 復数のネットワークオブジェクトをまとめます Topology に Specific を選択し 作成したグループオブジェクトを指定します ネットワークオブジェクトやグループオブジェクトの作成方法は 次の章を参照してください 23
Topology の設定 (8) Internal External 共に Anti-Spoofing を実行するように設定します Anti-Spoofing とは IP アドレスを偽装して接続を行おうとしている通信を遮断する機能です Anti-Spoofing を OFF にすることは 推奨しません Topology が正しく設定されていないと Anti-Spoofing 機能により通信できないネットワークが出来てしまいます 通信できない場合は Anti-Spoofing によるものか ログを確認します Topology は Security Gateway のインターフェイス情報やネットワーク構成が変わった場合 必ず設定し直す必要があります 24
Topology の設定 (9) インターフェイスの接続先が DMZ の場合 以下のように設定します Topology は Internal を選択します DMZ のネットワーク構成に合わせて IP Addresses behind this interface を設定します Interface leads to DMZ にチェックを入れます DMZ の設定は 一部の Software Blade で有効になります 25
Gateway オブジェクトのその他設定 Topology の設定が完了すれば Check Point オブジェクトに対する最低限の設定は完了です それぞれの Software Blade を有効にする場合は General Properties で該当の Software Blade にチェックを入れます 左側のペインに該当する Blade の設定が増えます ( 一部の Blade で増えないものもあります ) ので 詳細なオプションを設定します 各 Software Blade タブの設定画面で ルールを作成します Software Blade を有効にする場合は 1 つずつ有効にし動作確認しながら設定することをお勧めします 26
Security Management の設定 Security Management の場合は Log の設定を確認しておくのをお勧めします 指定サイズで新しいログファイルを作成 指定した時間で新しいログファイルを作成 ディスクスペースが少なくなったら古いログを削除する 27
アジェンダ 1 SmartConsole の導入 2 3 4 Check Point オブジェクトの設定 オブジェクトの設定 Firewall ルールの設定 28
オブジェクトとは Firewall ルールの Source/Destination や NAT の設定には事前にオブジェクトを作成し それらをルールに定義します 先にオブジェクトを作成しなければ ルールは作成できません 代表的なオブジェクト ネットワークオブジェクト ネットワーク情報を登録するオブジェクト群 サービスオブジェクト サービス情報 ( ポート番号など ) を登録するオブジェクト群 サーバ及び OPSEC オブジェクト 特定のサーバや OPSEC 連携するサーバなどを登録するオブジェクト群 ユーザ及び管理者オブジェクト ユーザの登録 管理をするオブジェクト群 管理者の登録 管理をするオブジェクト群 29
ネットワークオブジェクト Firewall ルールを構成する上で一番良く使われるオブジェクトです 代表的なネットワークオブジェクト ネットワークオブジェクトを選択 Check Point 製品がインストールされているホストなどを定義します Nodes の Host:IP アドレスを 1 つ持つホスト ( メールサーバや Web サーバなど ) を定義します Networks の Network: ネットワーク (192.168.1.0/24 などの ブロードキャストドメイン ) を定義します Groups の Simple Group: 復数のオブジェクトを 1 つにまとめたい場合に定義します Address Range: ブロードキャストドメインではなく IP アドレスの 範囲 (192.168.1.50 から 192.168.1.100 までなど ) で定義します 30
ネットワークオブジェクトの作成方法 サブネットワークアドレスを登録する場合に作成します Networks を右クリックし Networks を選択します ダイアログが表示されますので オブジェクト名 ネットワークアドレス ネットマスクを入力します OK を押してダイアログを閉じます 31
ホストオブジェクトの作成方法 1 つの IP アドレスを持つホストを登録するときに作成します Nodes を右クリックし Node -> Host を選択します ダイアログが表示されますので オブジェクト名 IP アドレスを入力し OK を押します 復数の IP アドレスを持つホストも登録することも可能です 左側のペインから Topology を選択し インターフェイスと IP アドレスを登録します 復数の IP アドレスを持つ場合で ルーティングしないホストの場合にホストオブジェクトを利用します ルーティングするホストの場合は Nodes の Gateway オブジェクトで設定します 32
アドレスレンジオブジェクトの作成方法 特定の IP アドレスの範囲を登録する場合に作成します Address Ranges を右クリックし Address Ranges -> Address Range を選択します ダイアログが表示されますので オブジェクト名 開始のネットワークアドレス 終了のネットワークアドレスを入力します OK を押してダイアログを閉じます 33
グループオブジェクトの作成方法 (1) 復数のオブジェクトをまとめて 1 つのオブジェクトにする場合に作成します Groups を右クリックし Groups -> Simple Group を選択します ダイアログが表示されますので オブジェクト名を入力しグルーピングしたいオブジェクトを Add していきます 34
グループオブジェクトの作成方法 (2) 復数のオブジェクトを追加する場合は Control キーを押しながらクリックすることで同時に追加することができます 検索ダイアログからオブジェクトを検索することができます View ボタンを押すことにより オブジェクトのプロパティを確認できます 右下の New ボタンを押すと このダイアログから新しいオブジェクトを作成し追加することができます Suggest to add objects to this group のチェックボックスにチェックを入れると 検索条件のダイアログが表示され たくさんのオブジェクトから効率よくオブジェクトを追加することができます 35
サービスオブジェクト TCP/UDP におけるポート番号などを定義するオブジェクトです デフォルトで数百はありますので 独自プロトコル以外は作成する機会は少ないでしょう ポート番号だけではなく ソースポートの設定 セッションタイムアウトやセッション同期に関する設定なども行います 代表的なサービスオブジェクト TCP:TCP で使われるポート番号を定義します UDP:UDP で使われるポート番号を定義します RCP:RCP で使われるプログラム番号を定義します ICMP:ICMP で使われるタイプやコードを定義します DCE-RPC:DCE-RPC で使われる UUID を定義します Other:IP プロトコル番号を定義します Group: いくつかのサービスオブジェクトをグループ化します 36
TCP サービスオブジェクト TCP を利用する通信の定義をします 例 :http は下記のようにポート 80 番を使う通信として登録されています Advanced をクリックするとダイアログが表示され 更に詳しい設定が可能になります 37
サービスオブジェクトの検索 膨大なサービスオブジェクトの中から 目的のサービスを簡単に検索できます 画面右下の ^ マークをクリックし 検索ウィンドウを表示します Objects List が表示されていない場合は View メニューの Objects List にチェックが入っているか確認して下さい 検索キーワードを入力すると マッチした結果が表示されます 38
検索時の Tips 検索はサービスオブジェクトだけではなく ネットワークオブジェクトなども検索できます プルダウンメニューから対象のオブジェクトを選択してください 検索のキーワードは何でも OK 例えば IP アドレスやポート番号などでも検索できます 検索結果からルールの作成 検索結果に表示されているオブジェクトをドラッグアンドドロップで Firewall ルールに定義することが出来ます 39
その他のオブジェクト サーバ及び OPSEC オブジェクト RADIUS サーバや LDAP サーバ CA サーバなどを登録します OPSEC 連携するサーバを登録します ユーザ及び管理者オブジェクト ユーザオブジェクトは主に認証のために利用されます Check Point が管理するユーザを登録します LDAP によって提供される DN から グループを登録します Active Directory によって提供されるユーザ コンピュータ情報を登録します 復数の管理者を登録します 登録する管理者は それぞれに対して細かく権限を付与 ( 例えば ReadOnly の権限 ) できます インストール時に作成した管理者は削除出来ません Unix で言うところの root Windows で言うところの administrator に相当します 40
便利な機能 それぞれのオブジェクトには コメント 色を付けることができます 検索などに使えますので あらかじめルールを決めておくといいでしょう 残念ながら コメントに日本語を入力することはサポートしていません どこで使われているか検索することが出来ます オブジェクトを右クリックし Where Used を選択します ダイアログが表示され 選択したオブジェクトがどこで使われているか表示されます Firewall のルール 4 番 Source カラムに使われている 41
アジェンダ 1 SmartConsole の導入 2 3 4 Check Point オブジェクトの設定 オブジェクトの設定 Firewall ルールの設定 42
Firewall ルールの考え方 Firewall ルールは最初のルールから順番に通信がマッチするか調べます ステートフル インスペクションですから 戻りの通信のルールを書く必要はありません 通信の内容と Firewall ルールがマッチした場合 以後の Firewall ルールは無視されます マッチする Firewall ルールが無い場合の通信は Drop されます Firewall ルールの書き方は 基本的に Source Destination Service Action Log だけです Source Destination の項目には 事前にオブジェクトを作成し それらを指定します Service には事前に定義されたものが数百はありますので サービス名やポート番号等で検索してください ( 一覧表はありません ) マシンパフォーマンスに余裕があればすべてのログを取得すべきですが 本番環境では重要と判断したもののみ取得すべきです 43
Firewall ルールの作成 (1) Firewall タブ 左側のペインから Policy をクリックします Firewall ルールを作成します ( 左から )Add Rule below Current: 選択している行の下に新しいルールを作成します Add Rule above Current: 選択している行の上に新しいルールを作成します Add Rule at the Bottom: ルールの一番最後に新しいルールを追加します Add Rule at the Top: ルールの一番最初に新しいルールを追加します 44
Firewall ルールの作成 (2) Add rule at the Top をクリックしてルールを 1 行作ります 空のルールが 1 行出来た状態になります No.: ルール番号 ( 自動で付加されます ) Name: ルール名 ( ログで利用します ) Source: 通信元 Destination: 通信先 VPN:VPN で使用 (VPN のルール以外は Any Traffic にしておく ) Service: 対象となるサービス Action: 通信がマッチした場合の動作 Track: ロギングの設定 45
Firewall ルールの作成 (3) 設定例として 内部ネットワークから外部への HTTP/HTTPS を許可するルールを作成します 内部ネットワークを定義するネットワークオブジェクトを作成します 復数のネットワークセグメントがあるのであれば 必要なだけネットワークオブジェクトを作成します 大量のネットワークオブジェクトが必要な場合は グループオブジェクトを使ってオブジェクトをまとめると 効率よく管理できます HTTP/HTTPS はデフォルトで定義されているサービスオブジェクトを利用します 通信がルールとマッチした場合は ログを取る設定とします Firewall ルールを作成します 次のようなルールが作成されることになります 46
Firewall ルールの作成 (4) Source/Destination/Service へのオブジェクト追加方法 各カラムにオブジェクトを設定する場合 以下の方法があります カラムを右クリックして Network Object/Add Objects を選択する カラムの上にカーソルを持っていくと + のマークが出てくるのでクリックしダイアログから選択する ( 検索もできます ) 左側のペインに表示されているオブジェクトをドラッグアンドドロップ 検索ウィンドウで表示されているオブジェクトをドラッグアンドドロップ 異なるルール間でも オブジェクトのドラッグアンドドロップが出来ます カラム内に復数のオブジェクトを定義した場合 OR 条件になります 上記の場合 Service は http または https とのマッチングになります 47
Firewall ルールの作成 (5) Action カラムの設定 Source/Destination/Service がマッチした場合の動作を定義します Accept: 通信を許可します Drop: 通信を遮断します Reject: 通信を切断します Drop と Reject の違い どちらも 送信先となる対象のネットワークとは通信できません Drop は通信を遮断しますので 送信元では相手からの応答が無いように見えます Reject は通信に対して RST パケットを送信しますので 送信元では相手から切断されたように見えます Track カラムの設定 Track カラムにはログをどうするかを設定します None/Log 以外の詳細設定はグローバルプロパティにあります 48
Firewall ルールの作成 (6) その他のカラム Hits: ルールにマッチした通信が何回あったかをレポートしています ルール No の右クリックで 表示方法を変更できます カーソルを上に合わせると情報がポップアップします Install On: ポリシーを実施する場所を設定します 復数のセキュリティ ゲートウェイがあり 異なるルールを適用したい場合などに利用します Time: ルールを有効にする時間帯を設定します Comment: コメントを記入します 日本語の入力はサポートされていません 49
ルールの作成に便利な機能 (1) Negate オブジェクトに定義しているネットワーク以外という意味になります 例えば 192.168.1.0/24 というネットワークオブジェクトを Negate すると 192.168.1.0/24 以外のネットワークとのマッチングになります ルールに定義しているオブジェクトを右クリックして Nagate Cell を選択します オブジェクトに赤い が付きます Nagete Cell を選択した状態 50
ルールの作成に便利な機能 (3) Section Title の挿入 復数のルールを 1 つのセクションとしてまとめることが出来ます 例えば 最初のセクションは外部からのルール 次のセクションは内部からのルールといった具合に整理でき 折りたたむこともできます ルール No. を右クリックして Add Section Title から Above/Below を選択して設定します Section Title の例 Rule2 と Rule3 は Section Title によって折りたたまれています 51
ルールの作成に便利な機能 (3) ルールの移動 ルールの順番を変えたい場合は ルール No をクリック ( ドラッグ ) したまま目的の場所でドロップすることにより 簡単に移動することが出来ます 通信量 (Hit Count) が多いルールは なるべく上の (No. が少ない ) ほうにある方がパフォーマンス面で有利です Rule3 を Rule1 と Rule2 の間にドラッグして移動している状態 52
ルールの作成に便利な機能 (4) Disable 必要がないルールを削除すること無く 残したまま無効にすることが出来ます 一時的に無効したい場合などに利用します ルール No. を右クリックして Disable Rule(s) を選択することで ルールが無効になります Control + クリックで復数のルールを一度に無効にすることも出来ます Rule2 を Disable にした状態 ( ルールがグレイアウトしている ) 53
ポリシーのインストール (1) Install Policy ボタンでポリシーをインストールします Install Policy を選択すると ルールなどをコンパイルし Security Gateway にプッシュします ポリシーをインストールしない限り Security Gateway の動作は変更されません ダイアログが表示されますので ポリシーをインストールする Security Gateway を選択し OK を押します 54
ポリシーのインストール (2) OK を押すと ルールなどがコンパイルできるか検証します エラーが出た場合は エラーメッセージを確認して 対応してください 正常にポリシーがインストールされると OK が表示されます エラーが出た場合は エラーメッセージを確認して 対応してください Verify でエラーがなくてもインストール時にエラーが出る場合があります ポリシーのインストールはバックグラウンドに回しておけます 右下の Policy Installation Status をクリックすると確認できます 55
ポリシーの管理 作成された Firewall ルールなどはポリシーと呼ばれ それらは 1 つのポリシーパッケージとして定義されています デフォルトでは Standard というパッケージ名で保存されています File メニューの Save で 現在編集中のポリシーを ( 上書き ) 保存出来ます File メニューの New から 新しいポリシーパッケージを作成できます File メニューの Save as で 現在編集中のポリシーを別の名前で保存することが出来ます ポリシーのインストール時に ポリシーパッケージは自動的に保存されます 56
ポリシーパッケージの注意点 すべてのポリシーパッケージにおいて オブジェクトは共通です ポリシーパッケージにはオブジェクトの情報は含まれていません オブジェクトを修正すれば すべてのポリシーパッケージに影響します 例えばポリシーパッケージ A と ポリシーパッケージ B があった場合 ポリシーパッケージ A でネットワークオブジェクトの変更を行い Save したとします この後 ポリシーパッケージ B を Open しても 変更したネットワークオブジェクトの情報は変更後のままです ポリシーをインストールしない限り Security Gateway における処理は変更されません ポリシーパッケージは編集中での Save や 新規の Open ができます オブジェクトの情報を含め ポリシーを管理したい場合は次のリビジョンコントロール機能をご利用ください 57
ポリシーのリビジョン管理 (1) ポリシーのリビジョンコントロール機能を使うことにより ポリシーのリビジョン管理を行うことが出来ます リビジョンコントロールには すべての情報が含まれています ( 例えば IPS のシグニチャ情報など リビジョンコントロールを使うことにより リビジョンを作成した時点にロールバックすることが出来ます リビジョンコントロールを利用するためには File メニューの Database Revision Control を選択します Database Revision Control のダイアログが表示されます 58
ポリシーのリビジョン管理 (2) Create をクリックし 新たなリビジョンを作成します 最初にポリシーを Save する旨のダイアログがでます リビジョンに名前と 必要であればコメントを付けて OK を押します 過去のリビジョンにロールバックしたい場合は ロールバックしたいリビジョンを選択し Action から Restore Version を選択します 59
ポリシーのリビジョン管理 (3) ポリシーのインストール時に 自動的に新しいリビジョンを作成することが出来ます ポリシーのインストールダイアログの Revision Control の Create database version にチェックを入れます リビジョンに名前と 必要であればコメントを付けます ポリシーをインストールする前に ポリシーが保存され 新しいリビジョンが作成されます 60
暗黙のルール ユーザが作成する Firewall ルール以外に モジュール間などの通信を許可する暗黙のルール (Implied Rule) が定義されています 確認するためには メニューの View から Implied Rule を選択します 設定はグローバルプロパティから設定できます 61
その他ルール Security Gateway を保護する Firewall ルール Security Gateway はインターネットの境界に置かれることが多く 常に脅威にさらされています Security Gateway を保護するための Firewall ルールを最初に書くことをおすすめします Security Gateway への一部通信は Implied Rule で許可されています (Global Properties の Firewall で設定出来ます ) クリーンナップ ルール すべての Firewall ルールの 一番最後に書くルールです 設定した Firewall ルールが間違っていて Drop されているかもしれないので かならずログを取っておきます 62
Firewall ルール作成時の Tips Firewall ルールはなるべく少ないほうがよい Firewall ルールが多いと パフォーマンスに影響があります まとめられるルールは まとめたほうが良い 例えば 以下の様なルールの場合 次のようにまとめるほうが 効率的です 63
アドレス変換機能 (NAT) IP アドレスを変換する機能です Static NAT:1 対 1 で IP アドレスを変換する機能 Hide NAT:n 対 1 で IP アドレスを変換する機能 Manual NAT: ユーザが独自に設定する機能 Static NAT/Hide NAT はオブジェクト内に設定があります ネットワークオブジェクトやホストオブジェクトで設定します NAT ルールは SmartDashboard から確認できます Manual NAT はここで設定します 64
Hide NAT の設定方法 Hide NAT(n 対 1) の設定は以下のように行います NAT する Network オブジェクトを作成します NAT のタブを選択します Add Automatic Address Translation rules にチェックを入れます Translation method が Hide になっているのを確認します Hide behind Gateway を選択すると Security Gateway の IP アドレスに変換され 特定の IP アドレスを使いたい場合は Hide behind IP address を選択し IP アドレスを入力します グループオブジェクトでも Hide NAT を定義することはできます 65
Hide NAT の動作確認 Hide NAT の設定が終わったら ポリシーをインストールします 設定したネットワークから外部への通信を許可するルールが必要です Hide NAT されるネットワークから インターネット側の外部に接続できるか確認します gaia-gw> ping www.google.com PING www.google.com (74.125.235.114) 56(84) bytes of data. 64 bytes from nrt19s02-in-f18.1e100.net (74.125.235.114): icmp_seq=1 ttl=127 time=41.1 ms 64 bytes from nrt19s02-in-f18.1e100.net (74.125.235.114): icmp_seq=2 ttl=127 time=7.99 ms SmartView Tracker を起動し Hide NAT されてたログが残っているか確認します 66
Static NAT の設定方法 Static NAT(1 対 1) の設定は以下のように行います NAT する Host オブジェクトを作成します 左側のペインから NAT を選択します Add Automatic Address Translation rules にチェックを入れます Translation method が Static にします Translate to IP Address に変換後の IP アドレスを設定します 67
Static NAT のルール 設定したホストへの接続を許可するルールを作成します 例えば 外部から内部サーバへの通信を許可するルールは Source に Any Destination に作成した Host オブジェクト Service は任意のサービス Action は Log にします ホストオブジェクトは グローバル IP で作成しプライベート IP に Static NAT するように設定します ポリシーをインストールします SmartView Tracker を起動して ログを確認します 68
Manual NAT の設定 通常の NAT ルールは自動的に作成されますが 手動で作成することも可能です 自動で作成されたルールと同じことが 手動でも出来ます 自動で作成したくない場合などは 手動で作成します 特定のサービスのみの NAT やポートの変換なども出来ます 例えば Hide NAT を自動で設定しているが あるセグメントへの通信は NAT させたくない場合などで利用します 以下の様なルール (1 行目 ) を作成することにより可能です ルールの書き方は Firewall ルールの考え方と全く同じです 69
Automatic ARP デフォルトでは Automatic ARP が有効です Static NAT などで 実際にインターフェイスに割り当てられていない IP アドレスに対する ARP 応答は自動的に行われます Automatic ARP はグローバルプロパティで設定できます 左側のペインから NAT を選んで設定してください Automatic ARP を利用しない場合 OS の設定で Proxy ARP 設定を行ってください 独自の MAC アドレス等で ARP 応答を行いたい場合 $FWDIR/conf/local.arp に IP アドレスと MAC アドレスを記述することにより ARP 応答することが可能です 70
Thank you