MXのファイアウォール設定

FQDNサポート

 MX 13.4以上では、Destination（宛先）フィールドで完全修飾ドメイン名を設定できます。

 

FQDNベースのL3ファイアウォール ルールは、DNSトラフィックのスヌーピングに基づいて実装されます。クライアント デバイスがWebリソースへのアクセスを試みると、MXはDNS要求と応答を追跡して、クライアント デバイスに返されたWebリソースのIPを学習します。 

 

この設定の利用とテストについては、重要な考慮事項がいくつかあります。

1. MXは、適切なIPマッピングを学習するために、クライアントのDNS要求とサーバーの応答を追跡する必要があります。クライアントとDNSサーバー間の通信をVLAN内で行うことはできません（DNSトラフィックがスヌーピングされないため）。
2. 場合によっては、クライアント デバイスはすでに、アクセスを試みているWebリソースのIP情報を取得していることがあります。これは、クライアントが以前のDNS応答をキャッシュしていたか、デバイス上にローカルで静的に設定されたDNSエントリがあるためです。このような場合、MXが検査するためのDNS要求をクライアント デバイスが生成しなければ、MXはWebリソースへの通信を適切にブロックまたは許可できないことがあります。

設定例を以下に示します。

 

 

Geo-IPベースのファイアウォール適用

レイヤー7ファイアウォールを使用して、インバウンド トラフィックの送信元の国またはアウトバウンド トラフィックの宛先の国に基づいてトラフィックをブロックすることもできます。そのためには、新しいレイヤー7ファイアウォール ルールを作成して、「Application（アプリケーション）」ドロップダウンからCountries...（国...）を選択します。指定した一連の国との間のすべてのトラフィックをブロックするか、指定した一連の国以外との間のすべてのトラフィックをブロックできます。

ポート フォワーディング

このオプションを使用して、特定のポート上にあるMXのWAN IP宛てのトラフィックを、ローカル サブネットまたはVLAN内の任意のIPアドレスに転送できます。新しいポート フォワーディング ルールを作成するには、Add a port forwarding rule（ポート フォワーディング ルールを追加）をクリックします。以下を指定する必要があります。

• Description（説明）：ルールの説明。

• Uplink（アップリンク）：インターネット1、インターネット2、または両方のパブリックIPをリッスンします。
• Protocol（プロトコル）：TCPまたはUDP。
• Public port（パブリック ポート）：WANに着信するトラフィックの宛先ポート。
• LAN IP：トラフィックの転送先のローカルIPアドレス。
• Local port（ローカル ポート）：MXからLAN上の指定されたホストに送信される転送トラフィックの宛先ポート。ポートを変換せずに、トラフィックを転送するだけの場合は、これをPublic port（パブリック ポート）と同じにしてください。
• Allowed remote IPs（許可されたリモートIP）：このポート フォワーディング ルールを介して内部リソースへのアクセスが許可されるリモートIPアドレスまたは範囲。

 

1:1 NAT（1対1のNAT）

このオプションを使用して、MXのWAN側のIPアドレス（MX自体のWAN IPを除く）を、ネットワーク上のローカルIPアドレスにマッピングできます。新しいマッピングを作成するには、Add a 1:1 NAT mapping（1対1 NATマッピングを追加）をクリックします。以下を指定する必要があります。

• Name（名前）：ルールの、わかりやすい名前。
• Public IP（パブリックIP）：WANから内部リソースにアクセスするために使用されるIPアドレス。
• LAN IP：WAN上で使用可能にする内部リソースをホストしているサーバーまたはデバイスのIPアドレス。
• Uplink（アップリンク）：トラフィックが着信する物理的なWANインターフェース。
• Allowed inbound connections（許可されたインバウンド接続）：このマッピングがアクセスを提供するポートと、リソースへのアクセスを許可されるリモートIP。インバウンド接続を有効にするには、Allow more connections（他の接続を追加）をクリックして、以下の情報を入力します。
  • Protocol（プロトコル）：TCP、UDP、ICMP ping、またはany（すべて）から選択します。
  • Ports（ポート）：LAN上のホストに転送されるポートまたはポート範囲を入力します。複数のポートまたは範囲をコンマで区切って指定できます。
  • Remote IPs（リモートIP）：指定されたポートまたはポート範囲でのインバウンド接続が許可されるWAN IPの範囲を入力します。複数のWAN IP範囲をコンマで区切って指定できます。

Actions（アクション）により、設定したルールをリスト内で上下に移動できます。完全に削除するには、Xをクリックします。

1:Many NAT（1対多のNAT）

1対多のNATは、ポート アドレス変換（PAT）とも呼ばれ、1対1のNATより柔軟性があります。1つのパブリックIPに、さまざまなポートとLAN IPを対象とする複数の転送ルールを指定できます。1対多のNATリスナーIPを追加するには、Add 1:Many IP（1対多IPを追加）をクリックします。

• Public IP（パブリックIP）：WANから内部リソースにアクセスするために使用されるIPアドレス。
• Uplink（アップリンク）：トラフィックが着信する物理的なWANインターフェース。

1対多のNATエントリは、1つの転送ルールを関連付けて作成されます。さらにルールを追加するには、特定の1対多エントリの既存のルールの下にあるAdd a port forwarding rule（ポート フォワーディング ルールを追加）をクリックします。

• Description（説明）：ルールの説明。

• Protocol（プロトコル）：TCPまたはUDP。
• Public port（パブリック ポート）：WANに着信するトラフィックの宛先ポート。
• LAN IP：トラフィックの転送先のローカルIPアドレス。
• Local port（ローカル ポート）：MXからLAN上の指定されたホストに送信される転送トラフィックの宛先ポート。ポートを変換せずに、トラフィックを転送するだけの場合は、これをPublic port（パブリック ポート）と同じにしてください。
• Allowed remote IPs（許可されたリモートIP）：このポート フォワーディング ルールを介して内部リソースへのアクセスが許可されるリモートIPアドレスまたは範囲。

Bonjour Forwarding（Bonjourフォワーディング）

この機能を使用すると、VLAN間でBonjourを機能させることができます。新しい転送ルールを作成するには、Add a Bonjour forwarding rule（Bonjourフォワーディング ルールを追加）をクリックします。

• Description（説明）：ルールの名前を指定します。
• Service VLANs（サービスVLAN）：ネットワーク サービスが実行している1つ以上のVLANを選択します。クライアントVLANからのBonjour要求は、これらのVLANに転送されます。
• Client VLANs（クライアントVLAN）：クライアントBonjour要求を発信できる1つ以上のVLANを選択します。これらのVLAN上の要求は、サービスVLANに転送できます。転送できるサービスの一覧は、次のとおりです。
  • All services（すべてのサービス）
  • AirPlay
  • Printers（プリンタ）
  • AFP（Appleファイル共有）
  • Scanners（スキャナ）
  • iChat