アプライアンスのさまざまなファイアウォール設定オプションと機能について説明します。Firewall(ファイアウォール)からアクセスできます。フォワーディング、1対1のNATマッピング、および1対多のNATマッピングを設定できます。ルールの記事を参照してください。モードでは、デフォルトでは、アプライアンスへのICMPトラフィック以外のすべてのインバウンド接続が拒否されます。ルールまたはNATポリシーを作成して、プロトコル、ポート、またはリモートIPアドレスに基づいて接続を明示的に許可する必要があります(下記参照)。アウトバウンド接続はデフォルトで許可されます。場合によっては、コンプライアンスとセキュリティの強化のために、デフォルトの拒否ルールを追加する必要もあります。レイヤー3とレイヤー7ルールの優先順位を決めるには、レイヤー3とレイヤー7のファイアウォール処理順序の記事を参照してください。ルールここで、VLAN間またはLANからインターネットで許可されるトラフィックを決める、アクセス制御リスト(ACL)の許可または拒否ステートメントを設定できます。これらのACLステートメントは、プロトコル、送信元IPアドレスとポート、および宛先IPアドレスとポートに基づいて設定できます。これらのルールは、VPNトラフィックには適用されません。ルールを設定するには、サイト間VPN設定を参照してください。rule(ルールを追加)をクリックします。Policy(ポリシー)フィールドは、ACLステートメントがステートメントで指定された条件に一致するトラフィックを許可するか、それともブロックするかを決定します。Protocol(プロトコル)フィールドでは、TCPトラフィック、UDPトラフィック、ICMPトラフィック、またはAny(すべて)を指定できます。Sources(ソース)およびDestinations(宛先)フィールドは、IPまたはCIDRサブネットをサポートします。複数のIPまたはサブネットをコンマで区切って入力することもできます。Port(宛先ポート)フィールドは、ポート番号またはポート範囲をサポートします。複数のポートをコンマで区切って入力することもできます。ポート範囲をコンマ区切りで入力することはできません。「Comments(コメント)」フィールドには、追加情報を入力できます。Actions(アクション)により、設定したルールをリスト内で上下に移動できます。ルールの横にあるXをクリックして、リストから削除することもできます。ルールを設定するときには、追加のオプションを使用できます。ルールセクションを参照してください。ルールに付加されます。カバレッジを防ぐのに役立ちます。13.4以上では、Destination(宛先)フィールドで完全修飾ドメイン名を設定できます。13.3以前にダウングレードした場合、FQDNを使用したすべてのファイアウォール設定が削除されます。ルールでFQDNをサポートしません。ルールは、DNSトラフィックのスヌーピングに基づいて実装されます。デバイスに返されたWebリソースのIPを学習します。この設定の利用とテストについては、重要な考慮事項がいくつかあります。MXは、適切なIPマッピングを学習するために、クライアントのDNS要求とサーバーの応答を追跡する必要があります。クライアントとDNSサーバー間の通信をVLAN内で行うことはできません(DNSトラフィックがスヌーピングされないため)。デバイスはすでに、アクセスを試みているWebリソースのIP情報を取得していることがあります。これは、クライアントが以前のDNS応答をキャッシュしていたか、デバイス上にローカルで静的に設定されたDNSエントリがあるためです。デバイスが生成しなければ、MXはWebリソースへの通信を適切にブロックまたは許可できないことがあります。設定例を以下に示します。正常な動作を確保するためには、DNSトラフィックがMXのレイヤー3ファイアウォールによって許可されなければなりません。DNSをブロックすると、MXはホスト名とIPアドレスのマッピングを学習できなくなるため、想定どおりにトラフィックをブロックまたは許可できません。ルールが正しく機能するには、ホスト名の可視性をネットワーク上で有効にする必要があります。ping要求にMXが応答できるようにします。フィールドでサポートされる値は、None(なし)、Any(すべて)、または特定のIP範囲(CIDR表記を使用)です。複数のIP範囲をコンマで区切って入力することもできます。範囲ではなく特定のIPアドレスを追加するには、X.X.X.X/32の形式を使用します。IPを介したローカル管理ページ(wired.meraki.com)へのアクセスを許可または無効にします。SNMP:この設定を使用して、WANからアプライアンスへのSNMPポーリングを許可します。ルールを作成することが可能です。これは、アプリケーションまたはWebサイトが複数のIPアドレスを使用するときや、IPアドレスまたはポート範囲が変更される可能性があるときに特に便利です。カテゴリ(例:「すべてのビデオおよび音楽サイト」)によって、または、あるカテゴリ内の特定のタイプのアプリケーション(例:「ビデオおよび音楽」カテゴリ内のiTunesのみ)によって、アプリケーションをブロックできます。ルールを示しており、カテゴリ全体をブロックするルールと、カテゴリ内の特定のアプリケーションをブロックするルールの両方が含まれています。HTTPホスト名、宛先ポート、リモートIP範囲、および宛先IPとポートの組み合わせに基づいてトラフィックをブロックすることも可能です。トラフィックの宛先の国に基づいてトラフィックをブロックすることもできます。ルールを作成して、「Application(アプリケーション)」ドロップダウンからCountries...(国...)を選択します。指定した一連の国との間のすべてのトラフィックをブロックするか、指定した一連の国以外との間のすべてのトラフィックをブロックできます。Editionでのみ使用可能です。Geo-IPファイアウォールを設定してトラフィックをブロックしている場合、ブロックされている国に存在する特定のIP範囲をホワイトリスト化/除外することはできません。ルールは、内部でルーティングされるトラフィックにも適用されます。ルールによってブロックされている国にある場合、MXはそれらのサブネットから送信されたトラフィックをドロップします。NATマッピングを設定できます。サブネットまたはVLAN内の任意のIPアドレスに転送できます。ルールを追加)をクリックします。以下を指定する必要があります。Description(説明):ルールの説明。Uplink(アップリンク):インターネット1、インターネット2、または両方のパブリックIPをリッスンします。Protocol(プロトコル):TCPまたはUDP。ポート):WANに着信するトラフィックの宛先ポート。IP:トラフィックの転送先のローカルIPアドレス。ポート):MXからLAN上の指定されたホストに送信される転送トラフィックの宛先ポート。ポート)と同じにしてください。ルールを介して内部リソースへのアクセスが許可されるリモートIPアドレスまたは範囲。ルールを作成することもできます。ポート)フィールドで設定する範囲と同じ長さでなければなりません。ポートに転送されます。628-630に転送する場合、ポート223は628に変換され、ポート224は629に変換され、ポート225は630に変換されます。IPを除く)を、ネットワーク上のローカルIPアドレスにマッピングできます。NATマッピングを追加)をクリックします。以下を指定する必要があります。Name(名前):ルールの、わかりやすい名前。IP(パブリックIP):WANから内部リソースにアクセスするために使用されるIPアドレス。IP:WAN上で使用可能にする内部リソースをホストしているサーバーまたはデバイスのIPアドレス。Uplink(アップリンク):トラフィックが着信する物理的なWANインターフェース。connections(許可されたインバウンド接続):このマッピングがアクセスを提供するポートと、リソースへのアクセスを許可されるリモートIP。connections(他の接続を追加)をクリックして、以下の情報を入力します。ping、またはany(すべて)から選択します。Ports(ポート):LAN上のホストに転送されるポートまたはポート範囲を入力します。複数のポートまたは範囲をコンマで区切って指定できます。IPの範囲を入力します。IP範囲をコンマで区切って指定できます。Actions(アクション)により、設定したルールをリスト内で上下に移動できます。完全に削除するには、Xをクリックします。トラフィックが自動的に許可されるわけではありません。デフォルトでは、すべてのインバウンド接続が拒否されます。connections(許可されたインバウンド接続)を設定する必要があります。アドレス変換(PAT)とも呼ばれ、1対1のNATより柔軟性があります。IPを対象とする複数の転送ルールを指定できます。IP(1対多IPを追加)をクリックします。IP(パブリックIP):WANから内部リソースにアクセスするために使用されるIPアドレス。Uplink(アップリンク):トラフィックが着信する物理的なWANインターフェース。1対多のNATエントリは、1つの転送ルールを関連付けて作成されます。ルールを追加)をクリックします。Description(説明):ルールの説明。Protocol(プロトコル):TCPまたはUDP。ポート):WANに着信するトラフィックの宛先ポート。IP:トラフィックの転送先のローカルIPアドレス。ポート):MXからLAN上の指定されたホストに送信される転送トラフィックの宛先ポート。ポート)と同じにしてください。ルールを介して内部リソースへのアクセスが許可されるリモートIPアドレスまたは範囲。Forwarding(Bonjourフォワーディング)この機能を使用すると、VLAN間でBonjourを機能させることができます。ルールを追加)をクリックします。Description(説明):ルールの名前を指定します。サービスが実行している1つ以上のVLANを選択します。クライアントVLANからのBonjour要求は、これらのVLANに転送されます。VLANs(クライアントVLAN):クライアントBonjour要求を発信できる1つ以上のVLANを選択します。これらのVLAN上の要求は、サービスVLANに転送できます。転送できるサービスの一覧は、次のとおりです。