クラウド接続のためのアップストリームファイアウォールルール

Last updated
Save as PDF

Cisco Merakiダッシュボードは、Cisco Merakiデバイスの一元管理、最適化、および監視を行います。Cisco Merakiデバイスをダッシュボードから管理するには、デバイスはセキュアなトンネルを経由してCisco Merakiクラウド（ダッシュボード）と通信できる必要があります。このトンネルは、管理トラフィックとレポートトラフィックを双方向で通過させるためにCisco Merakiデバイスとダッシュボードの間に作成されます。

ダッシュボードは公開されたインターネット上にあるため、トンネルは常にマネージドデバイスからのアウトバウンドで開始されます。接続が確立されると、デバイスはパケットを定期的に送信して応答を受信することによって、接続を維持します。マネージドデバイスとダッシュボードの間の経路にファイアウォールまたはゲートウェイが存在する場合、セキュアトンネルが機能するために、ファイアウォール経由のアウトバウンドトラフィックが特定のプロトコルおよびポート番号で許可される必要があります。

許可されるアドレスとポート

宛先IPアドレス、ポート、およびそれぞれの目的の完全なリストについては、Help（ヘルプ） > Firewall info（ファイアウォール情報）にあります。:

screenshot showing the help firewall info section

CSVバージョン

"Source_IP","Destination_IP","Ports","Protocol","Direction","Description","Devices_using_this_rule"
"Your network(s)","199.231.78.0/24, 108.161.147.0/24, 64.62.142.12/32, 209.206.48.0/20","7351","UDP","outbound","Meraki cloud communication","Access points, Cameras, MX Security Appliance, Phones, Switches"
"Your network(s)","199.231.78.0/24, 64.156.192.245/32, 108.161.147.0/24, 209.206.48.0/20","9350-9381","UDP","outbound","VPN registry","Access points, MX Security Appliance"
"Your network(s)","64.62.142.2/32, 108.161.147.0/24, 199.231.78.0/24, 209.206.48.0/20","80, 443, 7734, 7752","TCP","outbound","Backup configuration downloads, Backup Meraki cloud communication, Throughput tests live tool, Backup firmware downloads, Splash pages","Access points, Cameras, MX Security Appliance, Phones, Switches"
"Your network(s)","Any","123","UDP","outbound","NTP time synchronization","Access points, Cameras, MX Security Appliance, Switches"
"Your network(s)","8.8.8.8/32","53","UDP","outbound","Uplink connection monitor","MX Security Appliance"
"Your network(s)","8.8.8.8/32, 209.206.48.0/20","","ICMP","outbound","Uplink connection monitor","MX Security Appliance"

異なるオーガナイゼーションは異なるサーバーと通信する場合があるため、このリストはオーガナイゼーションによって異なる可能性があることに注意してください。

Cisco Merakiクラウド（ダッシュボード）アドレスへの変更

状況によっては、ダッシュボードとの通信に使用されるIPアドレスまたはポートが変更されることがあります。この種類の変更が必要な場合、管理者に事前通知されます。セキュアなトンネル接続も冗長であるため、セカンダリ接続を通じて動作を続行します。

「バックアップクラウド接続」を使用するデバイス

デバイスは主として、そのトンネルにUDPポート7351を使用してダッシュボードに接続されますが、ポート7351経由で接続できなければHTTP/HTTPSを使用します。デバイスがこのように動作するとき、デバイスのステータスページに、「Cisco Merakiクラウドへの接続がバックアップクラウド接続を使用中」であることを示すメッセージが表示されます。このことが確認された場合、ポート7351でファイアウォール経由のアウトバウンドトラフィックを許可するか、Cisco Merakiデバイスからのセキュリティアプライアンストラフィックが通過できるようにしてください。

セキュリティ上の制約によりバックアップクラウド接続の推奨されるファイアウォール設定を行うことができない場合、Cisco Merakiデバイスは通常通り動作を続行しますが、Cisco Merakiダッシュボードの一部の機能の応答が遅くなることに注意してください。これには少なくとも以下のものが含まれます。

設定の更新
ライブツール
ファームウェアのアップグレード

その他の機能とは異なり、Meraki認証は常にUDP 7351経由で送信され、バックアップ接続では機能しません

注：バックアップクラウド接続の推奨されるファイアウォール設定を行わなくてもCisco Merakiデバイスは動作できますが、デバイスが正しく機能するためには、Merakiクラウド通信のためのファイアウォール設定がやはり必要です。

「アップリンク接続監視」を使用するデバイス

Cisco Meraki MX セキュリティアプライアンスには、インターネット接続のための複数の冗長WANリンクを使用するための機能が含まれています。

これらの機能は、様々な公開インターネットアドレスへの複数のプロトコルを使用する接続テストに依存しています。

接続テストが正しく機能するようにするために、「すべての」インターネットアドレスに対してこれらの一般的なプロトコル（HTTP、HTTPS、DNS、およびICMP）を許可するようにネットワーク管理者に依頼します。

MX接続テスト

MXはアップリンクステータスを判別するためのテストを実行します。

DNSテスト

以下のホストについてインターネットインターフェースで設定されているDNSサーバー（プライマリまたはセカンダリ）にクエリを実行します。
- meraki.com
- google.com
- yahoo.com

インターネットテスト

1秒おきに8.8.8.8にPingを実行します。
ラウンドロビン手法を使用して、HTTP GETをhttp ://google.com、http://yahoo.com、またはhttp://meraki.comに送信します。何らかの種類のHTTPレスポンスがあれば成功です。

ARPテスト

デフォルトゲートウェイおよびその固有IPを求めるARPリクエスト（競合を検出するため）。

アクティブ化されると、接続モニタリングがアップリンクで実行されます。つまり、キャリアが検出されてIPアドレスが割り当てられます（静的または動的）。

最初のテストDNSクエリが送信され、DNSレスポンスが受信されると、DNSはそのアップリンクで300秒間正常であるというマークが付けられます。この期間中、MXはDNSテストの実行を150秒ごとに継続します。DNSクエリテストに成功するたび、DNSはあと300秒正常であるというマークが付けられます。

いずれかの時点でテストDNSクエリがタイムアウトすると、MXはテスト間隔を30秒に短縮します。DNSテストが最後に成功してから300秒を超えて失敗し続けた場合、そのアップリンクのDNSに障害が発生したというマークが付けられます。そうではなく、テストに成功すると、DNSはあと300秒正常であるというマークが再び付けられます。正常だというマークが付けられると、テストは150秒ごとに実行されます。

MXはラウンドロビン方式のインターネットテストの実行を開始します。テストに成功すると、そのアップリンクのインターネットは300秒間正常であるというマークが付けられます。この期間中、MXはインターネットテストの実行を150秒ごとに継続します。インターネットテストに成功するたび、インターネットはあと300秒正常であるというマークが付けられます。インターネットテストグループ内のいずれかのテストに失敗すると、MXはテスト間隔を20秒に短縮します。テストが最後に成功してから300秒を超えて失敗し続けた場合、そのアップリンクのインターネットに障害が発生したというマークが付けられます。そうではなく、テストに成功すると、インターネットはあと300秒正常であるというマークが再び付けられます。正常だというマークが付けられると、テストは150秒ごとに実行されます。

両方のテストに300秒を超えて失敗した場合、アップリンクはフェールオーバーされます。したがって、ソフト故障（リンクは稼働したままだがアップストリームアクセスが提供されない）が発生した場合、フェールオーバーが実行されるまでに約5分かかります。

MXコンテンツフィルタリングカテゴリのためのアップストリームファイアウォールルール

MXのアップストリームに別のファイアウォールが配置された場合、カテゴリ化情報トラフィックが正常にMXに渡されて、MXが適切なカテゴリ分類を使用できるようにするために、以下のFQDN宛先が許可される必要があります。これらのドメインの解決後のIPアドレスは地域により異なるため、アップストリームファイアウォールでFQDNルールの代わりにIPベースのルールを使用している場合は、正しい最新のIPを許可するように留意してください。

アップストリームファイアウォールでホワイトリストに加えるドメイン名

meraki.brightcloud.com（CNAMEがservice.brightcloud.comに解決される）
service2.brightcloud.com