ファイアウォール機能 環境設定ガイド

5.8.3.2.1 認証許可通信

認証許可したクライアント端末とサーバ本体間で送受信されるIPパケットは、サーバ本体のインタフェースで受信し、許可されたアクセスを行うサーバに対しては、サーバが接続されたインタフェースからIPパケットが送信される特性があります。

統合環境設定では、この特性を利用し、認証クライアントが接続され、認証クライアントからのパケットを受信するインタフェース配下にアクセス制御ポリシーを作成し、このインタフェースを「入力インタフェース」とします。また、サーバ宛にIPパケットを送信するインタフェースを「出力インタフェース」とし、これを通信フローで設定します。

上図1の認証許可通信ポリシーは、以下のように、「入力インタフェース（IF-A）」配下に、許可するアクセス制御ポリシーの分だけフィルタリング・ルールを作成します。

認証ユーザ：SDFW ユーザ

項目		説明
認証方式	アカウント名	認証ユーザのアカウント名を設定します。
	認証方式	固定パスワードやS/Key、SecurID、証明書などの認証方式を設定します。
	パスワード情報	認証方式に応じたパスワード情報を設定します。
	有効期限	パスワード情報の有効期限を設定します。
	同時接続数	最大同時接続可能な通信コネクション数を設定します。
認証後の通信	通信モード	認証後の通信方式として、IPsec暗号、SDFW 暗号、カプセル通信などの情報を設定します。
	IPsec通信提案	Safegate clientと接続し、IPsec/IKE通信を行う場合、IPsec/IKE通信に関する環境設定情報を設定します。
	SDFW暗号アルゴリズム	通信モードで「SDFW暗号通信」を選択した場合、暗号アルゴリズムを設定します。
認証期間	認証期間	認証可能な期間を設定します。

IPsec通信提案

Safegate clientと接続し、IPsec/IKE通信を行う場合、IPsec/IKE通信に関する環境設定情報を、IPsec通信提案フォルダ配下に作成します。

項目	説明
提案名	IPsec通信提案リソースの識別名を設定します。
認証方式	IKE 認証方式（共有鍵、証明書など）を設定します。
IKE認証アルゴリズム	IKE認証アルゴリズム（MD5など）を設定します。
IKE暗号アルゴリズム	IKE暗号アルゴリズム（DES、3DES、AESなど）を設定します。
IPsec通信種別	IPsec通信種別（ESP_AUTH、ESPなど）を設定します。
IPsec認証アルゴリズム	IPsec認証アルゴリズム（MD5、SHA-1など）を設定します。
IPsec暗号アルゴリズム	IPsec暗号アルゴリズム（DES、3DES、AESなど）を設定します。
SA有効期間	IPsec、IKEのSA有効期間を設定します。

認証期間

認証期間フォルダ配下に作成します。

項目	説明
パターン名	SDFW 認証期間リソースの識別名を設定します。
期間	運用に合わせて設定します。

フィルタ条件：フィルタ条件1

項目 （フィルタエントリ）	説明
種類	フィルタエントリをANDで評価（フィルタリスト）
接続元IPアドレス	CL1
接続先IPアドレス	SVR
接続先ポート	SVR宛て接続先ポート
接続元ポート	CL1側接続元ポート（任意ポートの場合は省略）
人（接続元を利用している）	SDFW ユーザ （SDFW ユーザで設定したユーザ情報と関連付けます。）

アクセス制御動作：SDFW 認証許可

項目	説明
接続の方向	認証許可後の通信の方向性を、以下から設定します。 クライアントからサーバへの通信を許可します。 双方向の通信を許可します入力方向のパケットを制御の対象とします。
仮想IPアドレス変換	SDFW ユーザで設定した通信モードが「非暗号通信」の場合に有効で、接続先サーバに仮想IPアドレスが設定されている場合、その仮想IPアドレスへの変換を行います。
仮想IPアドレス

通信フロー

項目	説明
上位階層のアダプタ	入力インタフェースとなるIF-Aの情報が表示されます。
対象となるアダプタ	接続するサーバが接続されている出力インタフェースとなるIF-Bを選択します。

フィルタリング・ルール

ルール項番	項目	説明
1	作成位置	IF-A
	フィルタ条件	フィルタ条件1
	動作	アクセス制御動作：SDFW 認証許可
		SDFW ログ採取