ファイアウォールポリシーの追加と展開

注:

SD-WANの導入では、ジュニパーのSD-WANデバイスはセキュリティと緊密に統合されているため、ゾーンを通過するトラフィックを許可するようにファイアウォールポリシーを設定する必要があります。デフォルトでは、あるサイトと別のサイト間のトラフィック、およびサイトからインターネットへのトラフィックは 許可されず 、ファイアウォールポリシーを使用して明示的に許可する必要があります。CSOはインテントベースのポリシーをサポートしているため、ファイアウォールポリシーを簡単に構成できます。

ファイアウォールポリシーを追加してからポリシーを展開するには:

ファイアウォールポリシーを追加します。
1. ファイアウォール>ファイアウォールポリシー>設定を選択します。
  
  ファイアウォールポリシーページが表示されます。
2. 追加(+)アイコンをクリックします。
  
  ファイアウォールポリシーの追加ページが表示されます。
3. 表1に示されているガイドラインに従って設定を完了します。
  
  注:
  アスタリスク(*)が付いているフィールドは必須です。
4. OKをクリックします。
  
  ファイアウォールポリシーページに戻ります。ファイアウォールポリシーが追加されると、確認メッセージが表示されます。
ポリシーに1つ以上のファイアウォールポリシーインテントを追加します。
1. Firewall-Policy-Nameリンクをクリックします。
  
  Firewall-Policy-Nameページが表示されます。
2. 追加(+)アイコンをクリックします。
  
  インテントを追加するためのフィールドがインラインで表示されます。
3. 表2に示されているガイドラインに従って設定を完了します。
4. 「保存」をクリックします。
  
  インテントが保存され、確認メッセージが表示されます。CSOは、インテントをゾーンベースとエンタープライズベースのインテントに分類します。詳細については、CSOカスタマーポータルユーザーガイドのファイアウォールポリシーの概要(CSOドキュメントページにあります)を参照してください。
5. (オプション)同じ手順でインテントを追加します。
インテントを追加した後、ポリシーを展開して、該当するサイト、部門、またはアプリケーションに変更を有効にする必要があります。各ファイアウォールポリシーインテントが追加されると、未展開フィールドが1つ増加し、インテントが導入を保留していることを示します。
ファイアウォールポリシーを展開します。
1. 展開ボタンをクリックします。
  
  展開ページが表示されます。
2. 「導入時間の選択」フィールドから、以下を選択します。
  - 今すぐ実行して、ポリシーの展開を直ちにトリガーします。
  - 後でスケジュールして、後で導入をスケジュールします。
    
    導入を後でスケジュールする場合は、導入を行う日付(MM/DD/YYYY形式)と時間(HH:MM:SS 24時間形式またはAM/PM形式)を入力します。CSO GUIにアクセスするクライアントのローカルタイムゾーンで時刻を指定します。
ファイアウォールポリシーページに戻り、ポリシーを展開するジョブがトリガーされます。導入のステータスは、ジョブページ(監視>ジョブ)で確認できます。ジョブが正常に完了すると、ファイアウォールポリシーが展開されたことを意味します。

表1:ファイアウォールポリシー設定を追加する
フィールド	ガイドライン
名前	ファイアウォールポリシーの一意の名前を入力します。名前 con には英数字、ハイフン、アンダースコアが含まれ、255 文字以内にしてください。
説明	ファイアウォールポリシーの説明を入力します。
すべてのサイト	トグルボタンをクリックして、ファイアウォールポリシーをすべてのサイトに適用できるようにします。デフォルトでは、ファイアウォールポリシーはすべてのサイトに適用されるわけではありません。
サイトの選択	ファイアウォールポリシーを特定のサイトにのみ適用するには、左側の列からサイトを選択し、 > アイコンをクリックします。選択したサイトが右側の列に表示されます。

表2:ファイアウォールポリシーのインテント設定を追加する
フィールド	ガイドライン
[名前]	ポリシーインテントの名前を入力するか、CSOによって生成された名前を使用します。名前は英数字で始まる必要があり、英数字、ハイフン、アンダースコアを含めることができ、63文字以内にしてください。
[説明]	ポリシーインテントの説明を入力します。
[スケジュールの選択]	ポリシースケジュールでは、ポリシーがアクティブになるタイミングを定義できるため、暗黙の一致基準となります。テキストボックス内をクリックして既存のスケジュールを選択するか、スケジュールを追加をクリックして新しいスケジュールを追加します。スケジュールの追加の詳細については、CSOカスタマーポータルユーザーガイドのスケジュールの作成を参照してください(CSOドキュメントページにあります)。
ロギング	トグルボタンをクリックして、ログを有効にします。デフォルトでは、ロギングは無効になっています。ログに記録されたファイアウォールイベントは、ファイアウォールイベントページ(ファイアウォール>監視>セキュリティイベント)で確認できます。詳細については、『CSOカスタマーポータルユーザーガイド』の「ファイアウォールイベントページについて」を参照してください。
ソース	以下の送信元エンドポイントを1つ以上選択します。 IPアドレスまたはIPアドレスグループユーザーサイトサイトグループ部署ゾーンソースを選択しない場合、使用されるデフォルトのソースはすべてのサイトです。
アクション	追加アイコン(+)をクリックし、指定した送信元エンドポイントと宛先エンドポイント間のトラフィックに対して実行するアクションを選択します。許可—送信元と宛先間のトラフィックを許可します。拒否—セッションのすべてのパケットをサイレントにドロップし、TCPリセットやICMP到達不能などのアクティブな制御メッセージを送信しません。拒否—パケットをドロップし、TCPリセット(TCPプロトコルの場合)またはICMPリセット(UDP、ICMP、またはその他のIPプロトコルの場合)メッセージを送信します。このオプションは、信頼できるリソースを扱う場合に便利で、アプリケーションがタイムアウトを待つ必要がなく、アクティブなメッセージを受信します。
宛先	以下の宛先エンドポイントを1つ以上選択します。 IPアドレスまたはIPアドレスグループサイトサイトグループ部署サービスアプリケーションシグネチャまたはアプリケーションシグネチャグループゾーン宛先を選択しない場合、デフォルトの宛先はインターネットになります。注: アドレスエンドポイント Any は、IPアドレスではなく、インターネット上の任意のアドレスを指します。そのため、サイト間トラフィックを有効にしたい場合は、トラフィックを許可するインテントを明示的に追加する必要があります。たとえば、サイトAからサイトBへのトラフィックを双方向(AからB、BからA)で許可する場合は、サイトAからサイトBへのトラフィックを許可し、サイトBからサイトAへのトラフィックを許可するインテントの2つのインテントを追加する必要があります。
高度なセキュリティ	注: このフィールドは、アクションに許可を選択した場合、または送信元と宛先としてゾーンを選択した場合にのみ有効になります。アクションを許可に設定すると、次のようになります。 UTMプロファイルを指定するには、リスト( UTMプロファイル[UTM]の下)からプロファイルを選択します。スパムやマルウェアなど複数の脅威タイプから保護し、未承認のWebサイトやコンテンツへのアクセスを制御するために、UTMプロファイルを指定します。新しい UTM プロファイルを追加するには、[エンドポイント] ウィンドウで [+ ] をクリックし、[ UTMUTM プロファイル] を選択します。 UTMプロファイルの追加を参照してください。 IPSプロファイルを指定するには、リスト( IPSプロファイル[IPS]の下)からプロファイルを選択します。 IPSプロファイルを指定して、侵入を監視および防止します。送信元と宛先の一部としてゾーンを設定する場合、リスト( SSLプロファイル[SSLP]の下)からプロファイルを選択して、SSLプロキシプロファイルを指定できます。 SSLプロキシプロファイルを追加すると、プライバシー、認証、機密性、データ完全性を組み合わせて、クライアントとサーバー間の安全なデータ転送を確保します。エンドポイントペインで + をクリックし、 SSLプロキシプロファイルを選択して、新しいSSLプロキシプロファイルを追加することもできます。 SSLフォワードプロキシプロファイルの追加を参照してください。

CSO次世代ファイアウォール(NFGW)導入ワークフローを参照してください。