www.fortinet.com

FortiGate™バージョン 3.0 MR4

管理ガイド

FortiGate™ 管理ガイ ドバージ ョ ン 3.0 MR42006 年 6 月 21 日01-30002-0203-20060621

© Copyright 2006 Fortinet, Inc. All rights reserved. フ ォーテ ィ ネ ッ ト 社の書面による事前の許可な く 、 電子的、 自動的、 手動式、 光学式、 その他いかなる方法、 またいかなる目的においても、 文章、 事例、 図表など本書の全部または一部を複製、 転載、 頒布、 翻訳する こ と を禁じ ます。

商標Dynamic Threat Prevention System (DTPS)、 APSecure、 FortiASIC、FortiBIOS、 FortiBridge、 FortiClient、 FortiGate、 FortiGate Unified Threat Management System、 FortiGuard、 FortiGuard-Antispam、 FortiGuard-Antivirus、 FortiGuard-Intrusion、 FortiGuard-Web、 FortiLog、FortiAnalyzer、 FortiManager、 Fortinet、 FortiOS、 FortiPartner、FortiProtect、 FortiReporter、 FortiResponse、 FortiShield、 FortiVoIP、 および FortiWiFi は、 米国またはその他の国々、 あるいはその両方におけるFortinet, Inc. の商標です。 本書に記載された実際の社名および製品名は、各社の商標です。

目次

目次

はじめに................................................................................................................................ 17

FortiGate ユニットの概要............................................................................................................... 17

FortiGate-5000 シ リ ーズ シ ャーシ...................................................................................... 18

FortiGate-5000 シ リ ーズ モジュールについて ............................................................. 19

FortiGate-3,600A............................................................................................................................ 19

FortiGate-3600................................................................................................................................ 20

FortiGate-3000................................................................................................................................ 20

FortiGate-1000A............................................................................................................................. 20

FortiGate-1000AFA2..................................................................................................................... 21

FortiGate-1000................................................................................................................................ 21

FortiGate-800 .................................................................................................................................. 21

FortiGate-800F................................................................................................................................ 21

FortiGate-500A ............................................................................................................................... 22

FortiGate-500 .................................................................................................................................. 22

FortiGate-400A ............................................................................................................................... 22

FortiGate-400 .................................................................................................................................. 22

FortiGate-300A ............................................................................................................................... 22

FortiGate-300 .................................................................................................................................. 23

FortiGate-200A ............................................................................................................................... 23

FortiGate-200 .................................................................................................................................. 23

FortiGate-100A ............................................................................................................................... 23

FortiGate-100 .................................................................................................................................. 23

FortiGate-60/60M/ADSL ........................................................................................................... 24

FortiWiFi-60/60A/60AM.............................................................................................................. 24

FortiGate-50B.................................................................................................................................. 24

FortiGate-50A.................................................................................................................................. 24

フォーティネット製品ファミリ................................................................................................... 25

FortiGuard サブスク リ プシ ョ ン サービス ....................................................................... 25

FortiAnalyzer .................................................................................................................................... 25

FortiClient .......................................................................................................................................... 25

FortiManager ..................................................................................................................................... 26

FortiBridge ......................................................................................................................................... 26

FortiMail .............................................................................................................................................. 26

FortiReporter .................................................................................................................................... 26

このドキュメントについて............................................................................................................. 27

ド キュ メ ン ト の規則.................................................................................................................... 29

FortiGate のドキュメント ............................................................................................................. 29

フ ォーテ ィ ネ ッ ト ツールおよび ド キュ メ ン ト CD.................................................... 31

Fortinet Knowledge Center ....................................................................................................... 31

フ ォーテ ィ ネ ッ ト テクニカル ド キュ メ ン ト に関する コ メ ン ト ........................ 31

カスタマ サービスおよびテクニカル サポート.................................................................. 31

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 3

4

目次

Web ベース マネージャ............................................................................................... 33

ボタン バーの機能 ............................................................................................................................... 34

カス タ マ サポー ト への接続.................................................................................................... 34

オン ラ イ ンヘルプの使用.......................................................................................................... 35

ログアウ ト ........................................................................................................................................ 37

Web ベース マネージャ ページ.................................................................................................... 37

Web ベース マネージャ メ ニュー ........................................................................................ 38

リ ス ト .................................................................................................................................................. 39

アイ コ ン............................................................................................................................................. 39

システム - ステータス.................................................................................................. 41

[Status] ページ...................................................................................................................................... 41

システム ステータ スの表示.................................................................................................... 41

システム情報の変更............................................................................................................................ 49

システム時刻の設定.................................................................................................................... 49

FortiGate ユニ ッ ト のホス ト 名の変更 ................................................................................ 50

FortiGate ファームウェアの変更................................................................................................. 51

新しいフ ァームウ ェ ア バージ ョ ンへのア ッ プグレー ド ......................................... 51

以前のフ ァームウ ェ ア バージ ョ ンへの復帰 ................................................................. 52

動作履歴の表示...................................................................................................................................... 52

FortiGuard 定義の手動による更新 .............................................................................................. 53

統計情報の表示...................................................................................................................................... 54

セ ッ シ ョ ン リ ス ト の表示......................................................................................................... 54

コ ンテンツ アーカ イブ情報の表示..................................................................................... 55

攻撃ログの表示.............................................................................................................................. 57

トポロジ ビューア ............................................................................................................................... 58

ト ポロジ ビ ューアのウ ィ ン ド ウ.......................................................................................... 58

ト ポロジ図のカス タ マイズ ..................................................................................................... 60

........................................................................................................................................................................ 60

バーチャル ドメインの使用 ...................................................................................... 61

バーチャル ドメイン .......................................................................................................................... 61

VDOM の設定................................................................................................................................... 62

グローバル設定.............................................................................................................................. 63

VDOM の有効化...................................................................................................................................... 64

VDOM とグローバル設定の設定................................................................................................... 64

VDOM とグローバル設定の操作............................................................................................ 65

VDOM へのイ ン タ フ ェースの追加....................................................................................... 66

VDOM への管理者の割り当て ................................................................................................ 67

管理 VDOM の変更........................................................................................................................ 67

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

システム - ネットワーク............................................................................................. 69

インタフェース ..................................................................................................................................... 69

スイ ッ チのモー ド ........................................................................................................................ 71

イ ン タ フ ェース設定.................................................................................................................... 72

ADSL イン タ フ ェ ースの設定 ................................................................................................. 75

802.3ad アグ リ ゲー ト イ ン タ フ ェースの作成............................................................... 76

冗長イ ン タ フ ェースの作成..................................................................................................... 77

無線イ ン タ フ ェースの作成..................................................................................................... 79

イ ン タ フ ェース上での DHCP の設定................................................................................. 80

PPPoE または PPPoA のためのイ ン タ フ ェースの設定 ........................................... 81

イ ン タ フ ェースの Dynamic DNS サービスの設定....................................................... 83

仮想 IPSec イ ン タ フ ェースの設定...................................................................................... 83

イ ン タ フ ェースの追加の設定................................................................................................ 85

ゾーン......................................................................................................................................................... 88

ゾーンの設定 .................................................................................................................................. 89

ネットワーク オプション................................................................................................................ 89

DNS サーバ....................................................................................................................................... 91

停止ゲー ト ウ ェ イ検出............................................................................................................... 91

ルーティング テーブル ( トランスペアレント モード )................................................. 92

ト ラ ンスペアレン ト モー ドのルー ト 設定...................................................................... 92

モデム インタフェースの設定...................................................................................................... 93

モデムの設定 .................................................................................................................................. 93

冗長モー ド の設定 ........................................................................................................................ 95

ス タ ン ド アロン モー ド の設定 .............................................................................................. 96

モデム接続のためのフ ァ イアウォール ポ リ シーの追加........................................ 97

モデムの接続と接続解除.......................................................................................................... 97

モデム状態の確認 ........................................................................................................................ 98

VLAN の概要........................................................................................................................................... 98

FortiGate ユニ ッ ト と VLAN ..................................................................................................... 99

NAT/ ルート モードでの VLAN................................................................................................... 99

VLAN ID のルール....................................................................................................................... 100

VLAN IP ア ド レスのルール ................................................................................................... 100

VLAN サブイ ン タ フ ェースの追加 ..................................................................................... 101

トランスペアレント モードでの VLAN................................................................................. 102

VLAN ID のルール....................................................................................................................... 104

ト ラ ンスペアレン ト モー ドのバーチャル ド メ イン と VLAN ............................ 104

ARP に関する問題の ト ラ ブルシューテ ィ ング........................................................... 107

FortiGate の IPv6 サポート........................................................................................................... 108

システム - 無線.............................................................................................................. 109

FortiWiFi の無線 LAN インタフェース.................................................................................... 109

チャネル割り当て .............................................................................................................................. 110

システム無線の設定 (FortiWiFi-60) .......................................................................................... 112

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 5

6

目次

システム無線の設定 (FortiWiFi-60A および 60AM)........................................................ 113

無線 MAC フィルタ........................................................................................................................... 114

無線モニタ............................................................................................................................................. 115

システム - DHCP ........................................................................................................... 117

FortiGate DH CP サーバおよびリレー................................................................................... 117

DHCP サービスの設定..................................................................................................................... 118

DHCP リ レー エージ ェ ン ト と し てのイン タ フ ェ ースの設定............................. 119

DHCP サーバの設定.................................................................................................................. 120

アドレス リースの表示 .................................................................................................................. 121

特定ク ラ イアン ト に対する IP ア ド レスの予約......................................................... 121

システム - 設定.............................................................................................................. 123

HA............................................................................................................................................................... 124

HA オプシ ョ ン ............................................................................................................................. 124

ク ラス タ メ ンバ リ ス ト ......................................................................................................... 128

HA 統計の表示 ............................................................................................................................. 130

副系ユニ ッ ト のホス ト 名およびデバイス プ ラ イオ リ テ ィ の変更.................. 131

ク ラス タ ユニ ッ ト のク ラ ス タからの切断................................................................... 131

SNMP......................................................................................................................................................... 133

SNMP の設定................................................................................................................................. 133

SNMP コ ミ ュニテ ィ の設定................................................................................................... 134

フ ォーテ ィ ネ ッ ト MIB............................................................................................................. 136

FortiGate ト ラ ッ プ..................................................................................................................... 137

フ ォーテ ィ ネ ッ ト MIB フ ィ ール ド ................................................................................... 139

差し替えメッセージ......................................................................................................................... 143

差し替え メ ッ セージ リ ス ト ................................................................................................. 143

差し替え メ ッ セージの変更 .................................................................................................. 144

認証ログイ ン ページの変更................................................................................................. 146

FortiGuard Web フ ィ ルタ リ ング ブロ ッ ク無効化ページの変更........................ 147

SSL-VPN ログイン メ ッ セージの変更........................................................................... 147

認証免責ページの変更............................................................................................................ 147

動作モードおよび VDOM 管理アクセス................................................................................ 148

動作モー ドの変更...................................................................................................................... 148

管理アクセス................................................................................................................................ 149

システム管理者.............................................................................................................. 151

管理者 ...................................................................................................................................................... 151

管理者の RADIUS 認証の設定.............................................................................................. 152

管理者リ ス ト の表示................................................................................................................. 152

管理者アカウン ト の設定 ....................................................................................................... 154

アクセス プロファイル .................................................................................................................. 157

アクセス プロ フ ァ イル リ ス ト の表示............................................................................ 159

アクセス プロ フ ァ イルの設定............................................................................................ 160

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

FortiManager ........................................................................................................................................ 161

設定............................................................................................................................................................ 162

管理者の監視........................................................................................................................................ 163

システム - メンテナンス.......................................................................................... 165

バックアップおよび復元................................................................................................................ 165

FortiGuard Center ............................................................................................................................. 169

FortiGuard Distribution Network ............................................................................................ 169

FortiGuard サービス................................................................................................................... 169

FortiGate ユニ ッ ト の FDN および FortiGuard サービスの設定........................... 170

FDN 接続性の ト ラ ブルシューテ ィ ング.......................................................................... 175

アンチウイルスおよび攻撃の定義の更新..................................................................... 175

プ ッ シュ更新の有効化............................................................................................................. 177

ライセンス............................................................................................................................................. 180

システム - シャーシ(FortiGate-5000 シリーズ )..................................................................................... 181

SMC ( シェルフ マネージャ カード )...................................................................................... 181

ブレード (FortiGate-5000 シャーシ スロット )................................................................ 182

シャーシ モニタリングのイベント ログ メッセージ..................................................... 184

ルータ - スタティック ............................................................................................ 187

ルーティングの概念 ........................................................................................................................ 187

ルーテ ィ ング テーブルの成立ち ...................................................................................... 188

ルーテ ィ ングの決定方法 ...................................................................................................... 188

マルチパス ルーテ ィ ング と 良のルー ト の決定..................................................... 188

ルー ト プ ラ イオ リ テ ィ へのルー ト シーケンスの影響 ........................................ 189

等価コ ス ト マルチパス (ECMP) ルー ト .......................................................................... 190

スタティック ルート ...................................................................................................................... 190

ス タ テ ィ ッ ク ルー ト の操作 ................................................................................................ 190

デフ ォル ト ルー ト およびデフ ォル ト ゲー ト ウ ェ イ ............................................. 191

ルーテ ィ ング テーブルへのス タ テ ィ ッ ク ルー ト の追加 ................................... 194

ポリシー ルート.................................................................................................................................. 195

ルー ト ポ リ シーの追加 .......................................................................................................... 196

ルー ト ポ リ シーの移動........................................................................................................... 197

ルータ - ダイナミック............................................................................................... 199

RIP ............................................................................................................................................................... 199

RIP の動作....................................................................................................................................... 200

基本的な RIP 設定の表示と編集......................................................................................... 200

RIP 詳細設定オプシ ョ ンの選択 .......................................................................................... 202

イ ン タ フ ェース上の RIP 動作パラ メ ータの置き換え............................................. 203

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 7

8

目次

OSPF ......................................................................................................................................................... 204

OSPF 自律システム .................................................................................................................. 205

OSPF AS の定義.......................................................................................................................... 205

基本的な OSPF 設定の表示と編集.................................................................................... 206

OSPF 詳細設定オプシ ョ ンの選択..................................................................................... 208

OSPF エ リ アの定義 .................................................................................................................. 209

OSPF ネ ッ ト ワークの指定.................................................................................................... 211

OSPF イ ン タ フ ェースの動作パラ メ ータの選択 ....................................................... 212

BGP ............................................................................................................................................................ 213

BGP の動作.................................................................................................................................... 213

BGP 設定の表示と編集 ........................................................................................................... 214

マルチキャスト................................................................................................................................... 215

マルチキャス ト 設定の表示と編集 ................................................................................... 216

イ ン タ フ ェース上のマルチキャス ト 設定の置き換え ............................................ 217

ルータ - モニタ.............................................................................................................. 219

ルーティング情報の表示............................................................................................................... 219

FortiGate ルーティング テーブルの検索 ............................................................................. 221

ファイアウォール - ポリシー ................................................................................ 223

ファイアウォール ポリシーについて..................................................................................... 223

ポ リ シー照合の動作................................................................................................................. 224

ファイアウォール ポリシー リストの表示 ......................................................................... 224

フ ァ イアウォール ポ リ シーの追加.................................................................................. 225

ポ リ シー リ ス ト 内の別の位置へのポ リ シーの移動 ............................................... 226

ファイアウォール ポリシーの設定.......................................................................................... 226

フ ァ イアウォール ポ リ シーのオプシ ョ ン ................................................................... 230

フ ァ イアウォール ポ リ シーへの認証の追加 .............................................................. 234

フ ァ イアウォール ポ リ シーへの ト ラ フ ィ ッ ク シ ェーピングの追加 ........... 235

IPSec のフ ァ イアウォール ポ リ シー オプシ ョ ン .................................................... 238

SSL-VPN のフ ァ イアウォール ポ リ シー オプシ ョ ン ............................................ 239

ホス ト 上の FortiClient を確認するためのオプシ ョ ン............................................. 239

ファイアウォール ポリシーの例............................................................................................... 240

シナ リ オ 1: SOHO 規模の企業............................................................................................. 240

シナ リ オ 2: 大規模企業........................................................................................................... 243

ファイアウォール - アドレス ................................................................................ 247

ファイアウォール アドレスについて..................................................................................... 247

ファイアウォール アドレス リストの表示 ......................................................................... 248

アドレスの設定................................................................................................................................... 249

アドレス グループ リストの表示............................................................................................. 250

アドレス グループの設定 ............................................................................................................. 250

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

ファイアウォール - サービス ................................................................................ 253

定義済みサービス リストの表示............................................................................................... 253

カスタム サービス リストの表示.............................................................................................. 257

カスタム サービスの設定.............................................................................................................. 257

サービス グループ リストの表示.............................................................................................. 259

サービス グループの設定.............................................................................................................. 259

ファイアウォール - スケジュール....................................................................... 261

ワンタイム スケジュール リストの表示............................................................................... 261

ワンタイム スケジュールの設定............................................................................................... 262

反復スケジュール リストの表示............................................................................................... 262

反復スケジュールの設定................................................................................................................ 263

ファイアウォール - 仮想 IP ..................................................................................... 265

仮想 IP....................................................................................................................................................... 265

仮想 IP による FortiGate ユニ ッ ト を介し た接続のマ ッ ッ ピング方法........... 265

仮想 IP リストの表示........................................................................................................................ 269

仮想 IP の設定....................................................................................................................................... 269

単一の IP ア ド レスに対するス タ テ ィ ッ ク NAT 仮想 IP の追加 ........................ 270

IP ア ド レス範囲に対するス タ テ ィ ッ ク NAT 仮想 IP の追加............................... 272

単一 IP ア ド レスおよび単一ポー ト に対するス タ テ ィ ッ ク NAT ポー ト フ ォワーデ ィ ングの追加.................................................................................................................. 274

IP ア ド レス範囲およびポー ト 範囲に対するス タ テ ィ ッ ク NAT ポー ト フ ォワーデ ィ ングの追加.................................................................................................................. 276

IP ア ド レス範囲またはリ アル サーバに対する負荷分散仮想 IP の追加...... 277

負荷分散ポー ト フ ォワーデ ィ ング仮想 IP の追加................................................... 279

ダイナ ミ ッ ク仮想 IP の追加................................................................................................. 281

仮想 IP グループ.................................................................................................................................. 282

VIP グループ リストの表示........................................................................................................... 282

VIP グループの設定........................................................................................................................... 282

IP プール.................................................................................................................................................. 283

IP プールと ダイナ ミ ッ ク NAT............................................................................................. 284

固定ポー ト を用いたフ ァ イアウォール ポ リ シーの IP プール .......................... 284

IP プール リストの表示................................................................................................................... 284

IP プールの設定 ................................................................................................................................... 285

ファイアウォール - プロテクション プロファイル............................................................................... 287

プロテクション プロファイルとは.......................................................................................... 287

デフ ォル ト のプロテ クシ ョ ン プロ フ ァ イル............................................................... 288

プロテクション プロファイル リストの表示..................................................................... 288

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 9

10

目次

プロテクション プロファイルの設定..................................................................................... 289

アンチウイルス オプシ ョ ン................................................................................................. 290

Web フ ィ ルタ リ ング オプシ ョ ン ....................................................................................... 291

FortiGuard-Web フ ィ ルタ リ ング オプシ ョ ン .............................................................. 292

スパム フ ィ ルタ リ ング オプシ ョ ン ................................................................................ 294

IPS オプシ ョ ン ............................................................................................................................ 296

コ ンテンツ アーカ イブ オプシ ョ ン ................................................................................ 297

IM および P2P オプシ ョ ン..................................................................................................... 298

ロギング オプシ ョ ン................................................................................................................ 299

VoIP オプシ ョ ン.......................................................................................................................... 300

ポリシーへのプロテクション プロファイルの追加....................................................... 300

プロテクション プロファイル CLI 設定................................................................................ 301

VPN - IPSEC .................................................................................................................... 303

IPSec インタフェース モードの概要 ...................................................................................... 303

自動キー.................................................................................................................................................. 305

新しいフ ェーズ 1 設定の作成 ............................................................................................. 305

フ ェーズ 1 詳細設定の定義 .................................................................................................. 308

新しいフ ェーズ 2 設定の作成 ............................................................................................. 311

フ ェーズ 2 詳細設定の定義 .................................................................................................. 311

イ ン ターネ ッ ト ブ ラウジング設定.................................................................................. 314

手動キー.................................................................................................................................................. 315

新しい手動キー設定の作成 .................................................................................................. 315

コンセントレータ ............................................................................................................................ 317

コ ンセン ト レータ オプシ ョ ンの定義............................................................................. 318

モニタ ..................................................................................................................................................... 319

VPN - PPTP....................................................................................................................... 321

PPTP の範囲.......................................................................................................................................... 321

VPN - SSL.......................................................................................................................... 323

Config ...................................................................................................................................................... 323

Monitor ..................................................................................................................................................... 325

VPN - 証明書 ................................................................................................................... 327

ローカル証明書................................................................................................................................... 327

証明書要求の生成...................................................................................................................... 328

証明書要求のダウンロー ド と送信 ................................................................................... 330

署名済みサーバ証明書のインポー ト ............................................................................... 330

エ クスポー ト されたサーバ証明書および秘密鍵のイ ンポー ト ........................ 331

サーバ証明書および秘密鍵フ ァ イルの個別イ ンポー ト ....................................... 331

リモート証明書................................................................................................................................... 332

リ モー ト (OCSP サーバ ) 証明書のインポー ト ......................................................... 333

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

CA 証明書............................................................................................................................................... 333

CA 証明書のイ ンポー ト .......................................................................................................... 334

CRL............................................................................................................................................................. 335

証明書失効リ ス ト のイ ンポー ト ......................................................................................... 335

ユーザ ................................................................................................................................. 337

ユーザ認証の設定............................................................................................................................. 337

認証タ イムアウ ト の設定........................................................................................................ 338

ユーザ認証のプロ ト コル サポー ト の設定.................................................................... 338

ローカル ユーザ アカウント ....................................................................................................... 339

ユーザ アカウン ト の設定...................................................................................................... 340

RADIUS サーバ..................................................................................................................................... 340

RADIUS サーバの設定 .............................................................................................................. 341

LDAP サーバ ......................................................................................................................................... 341

LDAP サーバの設定................................................................................................................... 342

PKI 認証.................................................................................................................................................... 343

PKI ユーザの設定 ...................................................................................................................... 344

Windows AD サーバ.......................................................................................................................... 345

Windows AD サーバの設定...................................................................................................... 345

ユーザ グループ.................................................................................................................................. 346

ユーザ グループの種類........................................................................................................... 347

ユーザ グループのリ ス ト ...................................................................................................... 349

ユーザ グループの設定........................................................................................................... 349

ユーザ グループのための FortiGuard 置き換えオプシ ョ ンの設定................... 351

SSL VPN ユーザ グループのオプシ ョ ンの設定......................................................... 352

ピアおよびピア グループの設定............................................................................................... 354

アンチウイルス.............................................................................................................. 355

操作の順序............................................................................................................................................. 355

アンチウイルス要素 ......................................................................................................................... 355

FortiGuard アンチウイルス .................................................................................................... 356

アンチウイルスの設定と制御...................................................................................................... 357

ファイル パターン............................................................................................................................. 358

フ ァ イル パターン リ ス ト カ タ ログの表示................................................................. 358

新しいフ ァ イル パターン リ ス ト の作成....................................................................... 359

フ ァ イル パターン リ ス ト の表示...................................................................................... 359

フ ァ イル パターン リ ス ト の設定...................................................................................... 360

隔離............................................................................................................................................................ 361

隔離済みフ ァ イル リ ス ト の表示 ....................................................................................... 361

自動送信リ ス ト の表示............................................................................................................. 362

自動送信リ ス ト の設定............................................................................................................. 363

隔離オプシ ョ ンの設定............................................................................................................. 363

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 11

12

目次

[Config].................................................................................................................................................... 365

ウイルス リ ス ト の表示........................................................................................................... 365

グレーウ ェ ア リ ス ト の表示................................................................................................. 366

アンチウイルスの CLI 設定 .......................................................................................................... 368

system global optimize ............................................................................................................... 368

config antivirus heuristic ........................................................................................................... 368

config antivirus quarantine ....................................................................................................... 369

config antivirus service <service_name> ............................................................................ 369

不正侵入防御................................................................................................................... 371

不正侵入防御について.................................................................................................................... 371

IPS の設定と制御 ....................................................................................................................... 372

IPS を使用する状況 .................................................................................................................. 373

定義済みシグネチャ......................................................................................................................... 373

定義済みシグネチャ リ ス ト の表示.................................................................................. 373

定義済みシグネチャの設定 .................................................................................................. 375

システム パフ ォーマンス向上のための IPS 定義済みシグネチャの微調整 376

カスタム シグネチャ ....................................................................................................................... 377

カス タム シグネチャ リ ス ト の表示 ................................................................................ 377

カス タム シグネチャの作成................................................................................................. 378

プロトコル デコーダ ....................................................................................................................... 378

プロ ト コル デコーダ リ ス ト の表示 ................................................................................ 379

IPS プロ ト コル デコーダ リ ス ト のア ッ プグレー ド ............................................... 379

アノマリ.................................................................................................................................................. 379

ト ラ フ ィ ッ ク ア ノ マ リ リ ス ト の表示............................................................................ 380

IPS ト ラ フ ィ ッ ク ア ノ マ リの設定 ................................................................................... 381

IPS の CLI 設定..................................................................................................................................... 381

system autoupdate ips ............................................................................................................... 381

ips global fail-open....................................................................................................................... 382

ips global ip_protocol ................................................................................................................... 382

ips global socket-size................................................................................................................. 382

(config ips anomaly) config limit ............................................................................................. 382

Web フィルタ.................................................................................................................. 383

Web フィルタリングの順序......................................................................................................... 383

Web フィルタリングの動作......................................................................................................... 383

Web フィルタの制御........................................................................................................................ 384

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

コンテンツ ブロック........................................................................................................................ 386

Web コ ンテンツ ブロ ッ ク リ ス ト カ タ ログの表示.................................................. 387

新しい Web コ ンテンツ ブロ ッ ク リ ス ト の作成....................................................... 387

Web コ ンテンツ ブロ ッ ク リ ス ト の表示....................................................................... 388

Web コ ンテンツ ブロ ッ ク リ ス ト の設定....................................................................... 389

Web コ ンテンツ除外リ ス ト カ タ ログの表示............................................................... 389

新しい Web コ ンテンツ除外リ ス ト の作成.................................................................... 390

Web コ ンテンツ除外リ ス ト の表示.................................................................................... 390

Web コ ンテンツ除外リ ス ト の設定.................................................................................... 391

URL フィルタ........................................................................................................................................ 392

URL フ ィ ルタ リ ス ト カ タ ログの表示............................................................................ 392

新しい URL フ ィ ルタ リ ス ト の作成................................................................................. 393

URL フ ィ ルタ リ ス ト の表示................................................................................................. 393

URL フ ィ ルタ リ ス ト の設定................................................................................................. 394

URL フ ィ ルタ リ ス ト 内の URL の移動............................................................................ 396

FortiGuard-Web フィルタ.............................................................................................................. 396

FortiGuard-Web フ ィ ルタ リ ングの設定 .......................................................................... 397

上書き リ ス ト の表示.................................................................................................................. 397

上書きルールの設定.................................................................................................................. 398

ローカル カテゴ リの作成...................................................................................................... 400

ローカル評価リ ス ト の表示................................................................................................... 400

ローカル評価の設定.................................................................................................................. 401

カテゴ リ ブロ ッ クの CLI 設定............................................................................................. 402

FortiGuard-Web フ ィ ルタ レポー ト ................................................................................... 402

アンチスパム................................................................................................................... 405

アンチスパム........................................................................................................................................ 405

スパム フ ィ ルタ リ ングの順序 ............................................................................................ 405

アンチスパム フ ィ ルタの制御 ............................................................................................ 406

禁止単語.................................................................................................................................................. 408

アンチスパム禁止単語リ ス ト カ タ ログの表示.......................................................... 409

新しいアンチスパム禁止単語リ ス ト の作成 ................................................................ 409

アンチスパム禁止単語リ ス ト の表示............................................................................... 410

アンチスパム禁止単語リ ス ト の設定............................................................................... 411

ブラック / ホワイト リスト......................................................................................................... 411

アンチスパム IP ア ド レス リ ス ト カ タ ログの表示.................................................. 412

新しいアンチスパム IP ア ド レス リ ス ト の作成........................................................ 412

アンチスパム IP ア ド レス リ ス ト の表示....................................................................... 413

アンチスパム IP ア ド レス リ ス ト の設定....................................................................... 413

アンチスパム電子メ ール ア ド レス リ ス ト カ タ ログの表示.............................. 414

新しいアンチスパム電子メ ール ア ド レス リ ス ト の作成..................................... 415

アンチスパム電子メ ール ア ド レス リ ス ト の表示 ................................................... 415

アンチスパム電子メ ール ア ド レス リ ス ト の設定 ................................................... 416

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 13

14

目次

アンチスパムの詳細設定............................................................................................................... 417

config spamfilter mheader ........................................................................................................ 417

config spamfilter rbl..................................................................................................................... 417

Perl 正規表現の使用......................................................................................................................... 418

正規表現とワイルド カー ドの一致パターンの比較................................................. 418

単語境界.......................................................................................................................................... 419

大文字と小文字の区別............................................................................................................ 419

Perl 正規表現形式 ...................................................................................................................... 419

正規表現の例................................................................................................................................ 420

IM、P2P、および VoIP................................................................................................ 421

概要 ........................................................................................................................................................... 421

IM/P2P プロトコルの設定............................................................................................................. 423

IM/P2P オプシ ョ ンを有効または無効にする方法.................................................... 423

プロテ クシ ョ ン プロ フ ァ イル内で IM/P2P オプシ ョ ンを設定する方法 .... 423

IM/P2P デコーダのログ設定を設定する方法 ............................................................. 424

古いバージ ョ ンの IM/P2P アプ リ ケーシ ョ ンを設定する方法.......................... 424

サポー ト されていないプロ ト コルを設定する方法................................................. 424

統計 ........................................................................................................................................................... 425

概要の統計の表示...................................................................................................................... 425

プロ ト コルご との統計の表示 ............................................................................................. 426

ユーザ ...................................................................................................................................................... 427

[Current Users] リ ス ト の表示.............................................................................................. 427

ユーザ リ ス ト の表示................................................................................................................ 428

ユーザ リ ス ト への新しいユーザの追加........................................................................ 428

不明な IM ユーザのためのポ リ シーの設定 .................................................................. 429

ログおよびレポート.................................................................................................... 431

FortiGate ロギング ........................................................................................................................... 431

ログの重大度........................................................................................................................................ 432

ログの保存............................................................................................................................................. 433

FortiAnalyzer ユニ ッ ト へのロギング ............................................................................... 434

自動発見を使用し た FortiAnalyzer への接続 ............................................................... 435

FortiAnalyzer 設定のテス ト ................................................................................................... 435

メ モ リへのロギング................................................................................................................. 436

Syslog サーバへのロギング .................................................................................................. 437

WebTrends へのロギング........................................................................................................ 438

FortiGuard ログおよび分析サーバへのロギング ....................................................... 438

高可用性クラスタ ロギング......................................................................................................... 439

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

目次

ログの種類............................................................................................................................................. 439

ト ラ フ ィ ッ ク ログ..................................................................................................................... 440

イベン ト ログ............................................................................................................................... 440

アンチウイルス ログ................................................................................................................ 441

Web フ ィ ルタ ログ ..................................................................................................................... 442

攻撃ログ .......................................................................................................................................... 442

スパム フ ィ ルタ ログ............................................................................................................... 443

IM および P2P ログ .................................................................................................................... 443

VoIP ログ......................................................................................................................................... 443

ログ アクセス....................................................................................................................................... 444

メ モ リ に保存されたログ メ ッ セージへのアクセス ................................................ 444

ハー ド デ ィ スクに保存されたログ メ ッ セージへのア クセス........................... 444

FortiAnalyzer ユニ ッ ト に保存されたログへのアクセス......................................... 445

FortiGuard ログおよび分析サーバ上のログへのアクセス .................................... 446

ログ情報の表示 ........................................................................................................................... 446

列の設定 .......................................................................................................................................... 447

ログ メ ッ セージのフ ィ ルタ リ ング .................................................................................. 448

FortiGuard ログおよび分析サーバに保存されたログの削除............................... 449

コンテンツ アーカイブ................................................................................................................... 450

アラート メール.................................................................................................................................. 451

アラー ト メ ールの設定........................................................................................................... 452

レポート.................................................................................................................................................. 454

基本 ト ラ フ ィ ッ ク レポー ト ................................................................................................. 454

FortiAnalyzer レポー ト .............................................................................................................. 455

FortiAnalyzer レポー ト の設定............................................................................................... 456

FortiAnalyzer レポー ト の編集............................................................................................... 464

FortiAnalyzer レポー ト の印刷............................................................................................... 464

FortiGate ユニットからの FortiAnalyzer レポートの表示 .......................................... 464

部分的な FortiAnalyzer レポー ト の表示.......................................................................... 465

索引 ...................................................................................................................................... 467

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 15

16

目次

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに FortiGate ユニットの概要

F0

はじめにリ アルタ イム ネ ッ ト ワーク保護を可能にする フ ォーテ ィ ネ ッ ト 製品をお選びいただき、 あ りがと う ございます。

FortiGate ASIC ベースの複合脅威セキュ リ テ ィ システムは、 ネ ッ ト ワークのパフ ォーマンスを低下させる こ と な く 、 ネ ッ ト ワーク セキュ リ テ ィ の強化、 ネ ット ワークの誤用と悪用の軽減、 そ し て通信リ ソースのよ り効率的な活用を実現します。 FortiGate システムは、 アンチウイルス、 フ ァ イアウォール、 IPSec、SSLTLS、 IPS、 不正侵入検知、 および AntiSpyware サービスについて ICSA の認定を取得し ています。

FortiGate システムは管理の容易な専用のセキュ リ テ ィ 機器であ り、 次のよ う なフルスイー ト の機能を提供し ます。

• ウイルス保護、 不正侵入防御、 スパム フ ィ ルタ リ ング、 Web コ ンテンツ フ ィルタ リ ング、 IM、 P2P、 VoIP フ ィ ルタ リ ングなどの、 アプ リ ケーシ ョ ン レベルのサービス

• フ ァ イアウォール、 不正侵入検知、 IPSec および SSL VPN、 ト ラ フ ィ ッ ク シ ェーピングなどの、 ネ ッ ト ワーク レベルのサービス

• ユーザ認証、 ロギング、 FortiAnalyzer によるレポー ト 、 管理プロ フ ァ イル、セキュアな Web および CLI 管理アクセス、 SNMP などの、 管理サービス

FortiGate セキュ リ テ ィ システムは、 チ ッ プ設計、 ネ ッ ト ワーク、 セキュ リテ ィ 、 コ ンテンツ解析などにおけるブレーク スルーを活用し た、 フ ォーテ ィ ネ ット の DTPS (Dynamic Threat Prevention System) テク ノ ロジを使用し ています。 このユニーク な ASIC ベースのアーキテ クチャによ って コ ンテンツや動作がリ アルタ イムに解析されるため、 重要なアプ リ ケーシ ョ ンを、 ネ ッ ト ワークの保護にも効果的なネ ッ ト ワーク エ ッ ジにそのまま展開できます。

この章で説明する内容は次のとおり です。

• FortiGate ユニ ッ ト の概要

• フ ォーテ ィ ネ ッ ト 製品フ ァ ミ リ

• この ド キュ メ ン ト について

• FortiGate のド キュ メ ン ト

• カス タ マ サービスおよびテクニカル サポー ト

FortiGate ユニットの概要

すべての FortiGate 統合脅威管理システムが、 SOHO からエン タープ ラ イズ ク ラスまでのネ ッ ト ワーク ベースのアンチウイルス、 コ ンテンツ フ ィ ルタ リ ング、フ ァ イアウォール、 VPN、 およびネ ッ ト ワーク ベースの不正侵入検知 / 防御機能といった同様の機能を提供し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 17

18

FortiGate ユニットの概要 はじめに

FortiGate-5000 シリーズ シャーシ

FortiGate-5000 シ リーズ セキュ リ テ ィ システムは、 マネージ ド セキュ リ テ ィサービスプロバイダ (MSSP) や大規模企業が、 フ ァ イアウォール、 VPN、 アンチウイルス保護、 スパム フ ィ ルタ リ ング、 Web フ ィ ルタ リ ング、 不正侵入防御 (IPS) などのサブスク ラ イバ セキュ リ テ ィ サービスを実現でき るシャーシ ベースのシステムです。 FortiGate-5000 シ リーズでは多様なシステム構成を採用できるため、 成長を続ける高性能ネ ッ ト ワークの変化の激しいニーズに柔軟に対応できます。 FortiGate-5000 シ リ ーズ シ ャーシは、 ホ ッ ト スワ ッ プ可能な複数のFortiGate-5000 シ リーズ モジュールと電源をサポー ト し ます。 こ う し たモジュール型のアプローチによ り、 拡張性に優れた高性能および耐障害ソ リ ューシ ョ ンが実現し ます。

FortiGate-5140 シャーシ

FortiGate-5140 ATCA シャーシの 14 のスロ ッ ト に、 大 14 枚の FortiGate-5000シ リーズ モジュールを装着できます。 FortiGate-5140 は、 -48 VDC データ センター DC 電源に接続される 2 つの冗長ホ ッ ト スワ ッパブル DC 電源入力モジュールが搭載された 12U シャーシです。 また、 FortiGate-5140 のシャーシには、 3 つのホ ッ ト スワ ッ プ可能な冷却フ ァ ン ト レ イ も搭載されています。

FortiGate-5050 シャーシ

FortiGate-5050 ATCA シャーシの 5 つのスロ ッ ト に、 大 5 枚の FortiGate-5000シ リーズ モジュールを装着できます。 FortiGate-5050 は、 -48 VDC データ センター DC 電源に接続される 2 つの冗長 DC 電源接続が搭載された 5U シャーシです。 また、 FortiGate-5050 のシ ャーシには、 ホ ッ ト スワ ッ プ可能な冷却フ ァ ン トレ イ も搭載されています。

FortiGate-5020 シャーシ

FortiGate-5020 ATCA シャーシの 2 つのスロ ッ ト に、 1 または 2 枚の FortiGate-5000 シ リーズ モジュールを装着できます。 FortiGate-5020 は、 AC 電源に接続される 2 つの冗長 AC-DC 電源が搭載された 4U シャーシです。 また、FortiGate- 5020 のシャーシには、 内蔵冷却フ ァ ン ト レ イ も搭載されています。

FAN TRAY FAN TRAYFAN TRAY

13 11 9 7 5 3 1 2 4 6 8 10 12 14

5140

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC

PWR

STAIPM

CONSOLEUSB

12

34

56

78

ACC MANAGEMENT

SYSTEM

E1

ZRE

LED MODE

1514

1312

1110

98

76

54

32

10

E2

OKCLKINTEXTFLT

HOT SWAP

RESET

FLT

CONSOLE

ETHO

RS232

ZRE0

ZRE1

ZRE2

MANAGEMENT

SYSTEM

E1

ZRE

LED MODE

1514

1312

1110

98

76

54

32

10

E2

OKCLKINTEXTFLT

HOT SWAP

RESET

FLT

CONSOLE

ETHO

RS232

ZRE0

ZRE1

ZRE2

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

PWR

ACCSTA

IPMCONSOLE

USB3

41

25

67

8

CRITICAL

RESETMAJOR

MINORUSER1

USER2USER3

5140SAP SERIAL 1 SERIAL 2 ALARM

FILTER

1 2

0 1 2

10/100link/Act

ETH0Service

RESET

STATUS

Hot Swap

link/Act

ETH0 ETH1

10/100

5000SM

10/100link/Act

ETH0Service

RESET

STATUS

Hot Swap

link/Act

ETH0 ETH1

10/100

5000SM

PSU A

PSU B

PWR IPM

USB53 4 5 6CONSOLE

STATUS

1 62

ALTON/OFFRESET

PWR IPM

USB53 4 5 6CONSOLE

STATUS

1 62

ALTON/OFFRESET

1

2

2

3

4

5

SMC

1SMC

POWER

5050SAP

SERIAL1

SERIAL2AL

ARM

10/100link/Act ET

H0Se

rvice

RESE

T

STAT

US

Hot S

wap

link/ActETH0

ETH1

10/100

5000SM

10/100link/Act ET

H0Se

rvice

RESE

T

STAT

US

Hot S

wap

link/ActETH0

ETH1

10/100

5000SM

MAN

AGEM

ENT

SYST

EM E1

ZRE

LED

MOD

E1514

1312

1110

98

76

54

32

10E2

OKCL

KIN

TEX

TFL

T

HOT S

WAP

RESE

T

FLT

CONS

OLE

E T H O R S 2 3 2 Z R E 0 Z R E 1 Z R E 2

MAN

AGEM

ENT

SYST

EM E1

ZRE

LED

MOD

E1514

1312

1110

98

76

54

32

10E2

OKCL

KIN

TEX

TFL

T

HOT S

WAP

RESE

T

FLT

CONS

OLE

E T H O R S 2 3 2 Z R E 0 Z R E 1 Z R E 2

PWR STA IPM

CONSOLE USB 1 2 3 4 5 6 7 8

ACC

PWR STA IPM

CONSOLE USB 1 2 3 4 5 6 7 8

ACC

PWR STA IPM

CONSOLE USB 1 2 3 4 5 6 7 8

ACC

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに FortiGate ユニットの概要

FortiGate-5000 シリーズ モジュールについて

各 FortiGate-5000 シ リ ーズ モジュールは、 HA ク ラス タの一部と し ても機能できるス タ ン ド アロンのセキュ リ テ ィ システムです。 また、 すべての FortiGate-5000シ リーズ モジュールがホ ッ ト スワ ッ プ可能です。 FortiGate-5000 シ リーズ ユニ ッ ト はすべて、 複数のギガビ ッ ト イ ン タ フ ェース、 複数のバーチャル ド メ イン処理能力、 その他のハイエン ド FortiGate 機能を備えた大容量セキュ リ テ ィ システムです。

FortiGate-5005FA2 モジュール

FortiGate-5005FA2 モジュールは、 8 つのギガビ ッ ト イーサネ ッ ト イ ン タ フ ェースを装備する、 独立した高性能セキュ リ テ ィ システムです。 これらのイ ン タフ ェースの う ち 2 つには、 小型パケ ッ ト のパフ ォーマンスを高速化する フ ォーテ ィ ネ ッ ト テク ノ ロジが搭載されています。 FortiGate-5005FA2 モジュールはまた、 802.1Q VLAN や複数のバーチャル ド メ イ ンを含むハイエン ド機能もサポート し ています。

FortiGate-5001SX モジュール

FortiGate-5001SX モジュールは、 8 つのギガビ ッ ト イーサネ ッ ト イ ン タ フ ェースを装備する、 独立した高性能セキュ リ テ ィ システムです。 FortiGate- 5001SXモジュールは、 802.1Q VLAN や複数のバーチャル ド メ イ ンなどのハイエン ド機能をサポー ト し ます。

FortiGate-5001FA2 モジュール

FortiGate-5001FA2 モジュールは、 6 つのギガビ ッ ト イーサネ ッ ト イ ン タ フ ェースを装備する、 独立した高性能セキュ リ テ ィ システムです。 FortiGate-5001FA2モジュールは FortiGate-5001SX モジュールに似ていますが、 FortiGate-5001FA2イ ン タ フ ェースの う ち 2 つに小型パケ ッ ト のパフ ォーマンスを高速化するFortinet テ ク ノ ロジが搭載されている点が異な り ます。

FortiGate-5002FB2 モジュール

FortiGate-5002FB2 モジュールは、 合計 6 つのギガビ ッ ト イーサネ ッ ト イン タフ ェースを装備する、 独立した高性能 FortiGate セキュ リ テ ィ システムです。FortiGate- 5002FB2 イ ン タ フ ェースの う ち 2 つには、 小型パケ ッ ト のパフ ォーマンスを高速化する Fortinet テク ノ ロジが搭載されています。

FortiGate-3,600A

FortiGate-3600Aユニ ット は、 大 規 模 企 業 やサー ビ ス プ ロ バ イ ダに要求されるキャ リ アク ラ スのパフ ォーマンス と信頼性を提供し ます。このユニ ッ ト は、複数の CPU と FortiASIC チ ッ プを使用し て 4 Gbps のスループ ッ ト を実現し てお り、

も要求の厳し いアプ リ ケーシ ョ ンのニーズを満た し ます。 FortiGate-3600A ユニ ッ ト には、 単一障害点を 小限に抑え、 負荷分散機能をサポー ト する冗長電源が搭載されています。大容量、高信頼性、および容易な管理を特長とするFortiGate-3600A は、 マネージ ドサービスを提供するための理想的な選択肢です。

PWR

Hi-TempEsc Enter

USBMODEM

CONSOLE

78

56

34

12

910

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 19

20

FortiGate ユニットの概要 はじめに

FortiGate-3600

FortiGate-3600 ユニ ット は、 大規模企業やサービス プロバイダに要求されるキャ リ ア クラスのパフ ォーマンスと信頼性を提供し ます。 このユニ ッ ト は、複数の CPU と FortiASIC チ ッ プを使用し て 4 Gbps のスループ ッ ト を実現し ており、 も要求の厳しいアプ リ ケーシ ョ ンのニーズを満た し ます。 FortiGate-3600ユニ ッ ト には、 単一障害点を 小限に抑え、 負荷分散機能をサポー ト する冗長電源が搭載されています。 大容量、 高信頼性、 および容易な管理を特長とするFortiGate-3600 は、 マネージ ドサービスを提供するための理想的な選択肢です。

FortiGate-3000

FortiGate- 3000 ユニ ット は、 大規模企業やサービス プロバイダに要求されるキャ リア ク ラスのパフ ォーマンス と信頼性を提供し ます。 このユニ ッ ト は、 複数の CPU と FortiASIC チ ッ プを使用し て 3 Gbpsのスループ ッ ト を発揮し、 も要求の厳しいアプ リ ケーシ ョ ンのニーズを満た します。 FortiGate-3000 ユニ ッ ト には、 単一障害点を 小限に抑え、 サービスの中断な く 負荷分散機能や冗長フ ェールオーバーをサポー ト する冗長電源が搭載されています。 大容量、 高信頼性、 および容易な管理を特長とする FortiGate-3000は、 マネージ ドサービスを提供するための理想的な選択肢です。

FortiGate-1000A

FortiGate- 1000A セキュ リ テ ィ システムは、 も要求の厳しい大規模企業やサービス プロバイダ向けの高性能ソ リ ューシ ョ ンです。 FortiGate-1000Aは、 FortiGuard Distribution Network による FortiGuard セキュ リ テ ィ サブスク リ プシ ョ ン サービスで自動的に 新の情報を維持する こ と によ って、 新のウイルス、 ワーム、 ト ロ イ、 その他の脅威に対する保護を 24 時間体制で保証し ます。FortiGate-1000A は、 スパイウ ェ ア、 フ ィ ッ シング、 フ ァー ミ ング といった ID 窃盗方法を含む、 IM、 P2P、 VOIP などの新たに登場し たテク ノ ロジに迅速に適応する柔軟なアーキテ クチャ を備えています。

Esc Enter

POWER

Hi-Temp 4

1 2 3

5/HA INT EXT

1 2 3 4 5/HA INTERNAL EXTERNAL

POWER

Hi-Temp

1 2 3

INT EXT4/HAEsc Enter

1 2 3 4/HA INTERNAL EXTERNAL

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに FortiGate ユニットの概要

FortiGate-1000AFA2

FortiGate-1000AFA2セキュ リ テ ィ システムは、 も要求の厳しい大規模企業やサービス プロバイダ向けの高性能ソリ ューシ ョ ンです。FortiGate- 1000AFA2 は、 Fortinet の FortiAccel テ ク ノ ロジを使用し た追加の光フ ァ イバ ポー ト を 2 つ備え、 小型パケ ッ ト のパフ ォーマンスが向上し ています。FortiGate-1000AFA2 は、 信頼性、 操作性、 迅速な展開、 低い運用コ ス ト 、 および も重要な点と し て既知および未知のア ノ マ リ に対する高い検知率を実現するよ う にチューニング された堅牢なセキュ リ テ ィ プ ラ ッ ト フ ォームであ り、 ク リテ ィ カルなセキュ リ テ ィ 機能を提供し ます。

FortiGate-1000

FortiGate-1000 ユニ ッ ト は、よ り大規模な企業向けに設計されています。FortiGate-1000 は、 複数のCPU と FortiASIC チ ッ プを使用し て 2 Gbps のスループ ッ ト を発揮し、 も要求の厳しいアプ リ ケーシ ョ ンのニーズを満た し ます。 FortiGate-1000 ユニ ッ ト には、 単一障害点を 小限に抑え、 サービスの中断な く 負荷分散機能や冗長フ ェールオーバーをサポー ト する冗長電源が搭載されています。

FortiGate-800

FortiGate-800 は、 高い スループ ッ ト 、合計 8 つのネ ット ワーク接続 ( う ち 4 つはユーザ定義)、VLANのサポート 、 およびバーチャル ド メ イ ンを提供し ます。 また、 FortiGate ユニ ッ ト のク ラス タが設定されている場合、 FortiGate-800 はステー ト フル フ ェールオーバー HAを提供し ます。 FortiGate-800 は、 ト ッ プ レベルのネ ッ ト ワーク セキュ リ テ ィ パフ ォーマンスを要求する大規模企業にと って理想的な選択肢と な り ます。

FortiGate-800F

FortiGate- 800F はFortiGate- 800 と同じ機能を提供し、 なおかつ、Internal、 External、 DMZ、 および HA ポー ト は光フ ァ イバと な り ます。 FortiGate-800F はまた、 ステー ト フル フ ェールオーバー HA を提供し、 RIP および OSPF ルーテ ィ ング プロ ト コルもサポー ト し ます。 FortiGate-800F は、 大規模企業が求めている、 柔軟性、 信頼性、および容易な管理を提供し ます。

USB

A2A1

CONSOLE

Esc Enter INTERNAL EXTERNAL1 2 3 4 / HA

Esc EnterCONSOLEI N T E R N A L E X T E R N A L D M Z HA 1 2 3 4 USB

8

P W R

Esc EnterCONSOLEI N T E R N A L E X T E R N A L D M Z HA 1 2 3 4 USB

800F

P W R

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 21

22

FortiGate ユニットの概要 はじめに

FortiGate-500A

FortiGate-500A ユニ ッ ト は、大規模企業やサービス プロバイダに要求されるキャ リア ク ラスのパフ ォーマンスと信頼性のレベルを提供します。 FortiGate-500A は、 合計 10 のネ ッ ト ワーク接続 (4 ポー ト LAN スイ ッ チを含む ) や、 セ ッ シ ョ ン ロスのない自動フ ェールオーバーによる高可用性機能を特長と し、 ミ ッ シ ョ ン ク リ テ ィ カルなアプ リ ケーシ ョ ンに 適です。 優れた柔軟性、 高信頼性、 および容易な管理を特長とする FortiGate-500A は、 マネージドサービスを提供するための理想的な選択肢です。

FortiGate-500

FortiGate-500 ユニ ッ ト は、よ り大規模な企業向けに設計されています。 優れた柔軟性、 高信頼性、 および容易な管理を特長とするFortiGate-500 は、 マネージ ドサービスを提供するための理想的な選択肢です。FortiGate-500 は、 高可用性 (HA) をサポー ト し ています。

FortiGate-400A

FortiGate-400A ユニ ッ トは、 パフ ォーマンス、 可用性、 信頼性に対するエンタープ ラ イズ ク ラ スの要件を満たし ています。FortiGate-400A はまた、 高可用性 (HA) をサポー ト し、 セ ッ シ ョ ン ロスのない自動フ ェールオーバーも備えているため、 ミ ッ シ ョ ン ク リ テ ィ カルなアプ リ ケーシ ョ ンに 適です。

FortiGate-400

FortiGate-400 ユニ ッ ト は、よ り大規模な企業向けに設計されています。FortiGate-400 ユニ ッ ト は、

大 500 Mbps のスループ ッ ト を発揮し、 セ ッ シ ョ ン ロスのない自動フ ェールオーバーなどの高可用性 (HA) をサポー ト し ています。

FortiGate-300A

FortiGate-300A ユニ ッ トは、 パフ ォーマンス、 可用性、 信頼性に対するエンタープ ラ イズ ク ラ スの要件を満た し ています。FortiGate-300A はまた、 高可用性 (HA) をサポー ト し、 セ ッ シ ョ ン ロスのない自動フ ェールオーバーも備えているため、 ミ ッ シ ョ ン ク リ テ ィ カルなアプ リ ケーシ ョ ンに 適です。

Esc Enter

A

CONSOLE

5 6

USB LAN

1 2 3 4L1 L2 L3 L4

10/100 10/100/1000

Esc Enter

HADMZINTERNAL EXTERNAL 1 2 3 4 5 6 7 8

Esc Enter

A

CONSOLE 10/100 10/100/1000USB

1 2 3 4 5 6

4 / HA3CONSOLE 1 2Esc Enter

Esc EnterCONSOLE 10/100 10/100/1000USB

1 2 3 4 5 6

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに FortiGate ユニットの概要

FortiGate-300

FortiGate-300 ユニ ッ ト は、よ り大規模な企業向けに設計されています。FortiGate-300 ユニ ッ ト は、セ ッ シ ョ ン ロスのない自動フ ェールオーバーなどの高可用性 (HA) を備えています。 この機能によ り、FortiGate-300 は ミ ッ シ ョ ン ク リ テ ィ カルなアプ リ ケーシ ョ ンのための優れた選択肢になっ ています。

FortiGate-200A

FortiGate-200A ユニ ッ ト は、展開と管理が容易なソリ ューシ ョ ンであ り、 小規模オフ ィ ス、 ホームオフ ィス、 ブ ラ ンチオフ ィ ス アプリ ケーシ ョ ンに比類のない価値とパフ ォーマンスを提供し ます。

FortiGate-200

FortiGate-200 ユニ ッ ト は、小規模企業、 ホームオフ ィス、 ブ ラ ンチオフ ィ ス アプリ ケーシ ョ ン向けに設計されています。 FortiGate-200ユニ ッ ト は、 展開と管理の容易なソ リ ューシ ョ ンです。 FortiGate-200 はまた、高可用性 (HA) もサポー ト し ています。

FortiGate-100A

FortiGate-100A ユニ ッ ト は、 小規模オフ ィ ス、 ホームオフ ィ ス、 ブラ ンチオフ ィ ス アプ リ ケーシ ョ ン向けに設計された、 管理の容易なソ リ ューシ ョ ンです。

FortiGate-100A は、 802.1Q VLAN、 バーチャル ド メ イ ン、 RIP および OSPF ルーテ ィ ング プロ ト コルなどの高度な機能をサポー ト し ます。

FortiGate-100

FortiGate-100 ユニ ッ ト は、 SOHO、SMB、 およびブ ラ ンチオフ ィ ス アプ リ ケーシ ョ ン向けに設計されています。

FortiGate-100 は、 802.1Q VLAN、バーチャル ド メ イ ン、 高可用性 (HA)、 RIP および OSPF ルーテ ィ ング プロ ト コルなどの高度な機能をサポー ト し ます。

Esc Enter

Esc Enter

DMZ2DMZ1INTERNAL WAN1 WAN2CONSOLE USB

1 2 3 4

A

DMZCONSOLE INTERNAL EXTERNALINTERNALPOWER STATUS EXTERNAL DMZ

INTERNALDMZ 1 4321

LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100

WAN 1 WAN 2PWR STATUS

A

DMZ 2

INTERNAL EXTERNAL DMZ POWER

STATUS

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 23

24

FortiGate ユニットの概要 はじめに

FortiGate-60/60M/ADSL

FortiGate-60 ユニ ッ ト は、 在宅勤務者、 リ モー ト オフ ィ ス、 および小売店向けに設計されています。FortiGate-60 ユニ ッ ト には、 バッ クア ッ プまたはイ ン ターネ ッ ト へのス タ ン ド アロン接続と し て使用でき る外付けモデム ポー ト が装備されています。 これに対し て FortiGate-60M ユニ ッ ト には、 バッ ク ア ッ プまたはイ ン ターネ ッ ト へのス タ ン ド アロン接続と し ても使用でき る内蔵モデムが装備されています。 FortiGate-60ADSL には、 内蔵ADSL モデムが装備されています。

FortiWiFi-60/60A/60AM

FortiWiFi-60 モデルは、 無線接続のためのセキュアな無線 LAN ソ リ ューシ ョ ンを提供し ます。 FortiWiFi Antivirus Firewall 機能にモバイル性と柔軟性を兼ね備え、 将来の無線テ クノ ロジへのア ッ プグレー ド も可能です。 FortiWiFi- 60 は、 無線ネ ッ ト ワーク と有線ネ ッ ト ワークの間の接続ポイ ン ト と し て、 またはス タ ン ド アロンの無線ネ ッ ト ワークの中央ポイント と し て機能し ます。

FortiGate-50B

FortiGate-50B は、 在宅勤務者や、従業員 10 ～ 50 名の小規模な リモー ト オフ ィ ス向けに設計されています。 FortiGate-50B ユニ ッ トには、 イ ン ターネ ッ ト への冗長接続のための 2 つの WAN イ ン タフ ェースが装備されています。 FortiGate-50B ユニ ッ ト はまた、 内部ネ ッ ト ワーク接続のための 3 ポー ト スイ ッ チも備え、 他の FortiGate-50B ユニ ッ ト との HA構成をサポー ト し ます。

FortiGate-50A

FortiGate-50A ユニ ッ ト は、在宅勤務者や、従業員 10 名以下の小規模な リ モート オフ ィ ス向けに設計されています。FortiGate- 50 ユ ニ ッ ト には、 バ ッ クア ッ プ ま たは イ ン タ ーネ ッ ト へのスタ ン ド アロン接続と し て使用できる外付けモデム ポー ト が装備されています。

INTERNAL

DMZ4321

LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100

WAN1 WAN2PWR STATUS

INTERNAL

DMZ4321

LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100 LINK 100

WAN1 WAN2PWR WLAN

WAN1 WAN2

POWER STATUS

INTERNAL

321

LINK / ACT

10/100

INTERNAL EXTERNAL

LINK 100 LINK 100

PWR STATUS

A

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに フォーティネット製品ファミリ

フォーティネット製品ファミリ

フ ォーテ ィ ネ ッ ト は、 ソ フ ト ウ ェ アおよびハー ド ウ ェ ア アプ ラ イアンスで構成された製品フ ァ ミ リ を提供し、 FortiGate 統合脅威管理システムと統合する こ とで、 メ ール、 ロギング、 レポー ト 、 ネ ッ ト ワーク管理、 およびセキュ リ テ ィ を含む完全なネ ッ ト ワーク セキュ リ テ ィ ソ リ ューシ ョ ンが実現し ます。 フ ォーテ ィネ ッ ト 製品フ ァ ミ リの詳細については、 www.fortinet.com/products を参照し て くだ さい。

FortiGuard サブスクリプション サービス

FortiGuard サブスク リ プシ ョ ン サービスは、 フ ォーテ ィ ネ ッ ト セキュ リ テ ィ プロ フ ェ ッ シ ョ ナルのグローバル チームによ って作成、 更新、 管理されているセキュ リ テ ィ サービスです。 これによ り、 新の攻撃が企業リ ソースに害を与えた り エン ド ユーザのコ ンピ ューテ ィ ング デバイスに感染し た り する前に検出され、 確実にブロ ッ クする こ とができます。 これらのサービスは、 新のセキュ リテ ィ テク ノ ロジに基づいて作成され、 可能な限り 小限の運用コ ス ト で機能するよ う に設計されています。

FortiGuard サブスク リ プシ ョ ン サービスの内容は次のとお り です。

• FortiGuard アンチウイルス サービス

• FortiGuard 不正侵入防御サブスク リ プシ ョ ン サービス (IPS)

• FortiGuard Web フ ィ ルタ リ ング

• FortiGuard アンチスパム サービス

• FortiGuard ログおよび分析

• FortiGuard プレ ミ ア サービス

また、 FortiGuard Center から、 オン ラ イ ン ウイルス スキャナやウイルス エンサイ ク ロペデ ィ ア も参照できます。

FortiAnalyzer

FortiAnalyzer は、 攻撃や脆弱性に対するネ ッ ト ワークの 適な保護と セキュ リテ ィ を可能にするために必要な情報をネ ッ ト ワーク管理者に提供し ます。FortiAnalyzer には、 次のよ う な機能があ り ます。

• FortiGate デバイスや syslog デバイスおよび FortiClient から ログを収集

• 収集されたログ データ を使用し て数百種類のレポー ト を作成

• 脆弱性スキャ ン と レポー ト

• FortiGate ユニ ッ ト から検疫されたフ ァ イルを格納

FortiAnalyzer ユニ ッ ト はまた、 フ ァ イアウォールが使用されていないネ ッ ト ワークの各領域で リ アルタ イム ト ラ フ ィ ッ ク をキャ プチャするネ ッ ト ワーク アナライザと し て も設定できます。 さ らに、 FortiAnalyzer ハー ド デ ィ スクに保存されているレポー ト やログを含むフ ァ イルにユーザがア クセス し た り共有し た り できる NAS と し ても使用できます。

FortiClient

FortiClient Host Security ソ フ ト ウ ェ アは、 も一般的な Microsoft Windows オペレーテ ィ ング システムを実行し ているデス ク ト ッ プ と ラ ッ プ ト ッ プの両方のユーザにセキュアなコ ンピ ューテ ィ ング環境を提供し ます。 FortiClient は、 次のよ う な多 く の機能を提供し ます。

• リ モー ト ネ ッ ト ワークへの VPN 接続の作成

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 25

26

フォーティネット製品ファミリ はじめに

• ウイルスに対する リ アルタ イム保護の設定

• Windows レジス ト リの変更に対する保護

• ウイルス スキャ ン

FortiClient ではサイ レン ト インス ト ール機能もサポー ト されているため、 管理者は構成済みの設定を使用し て FortiClient を複数のユーザのコ ンピ ュータに効率的に配布できます。

FortiManager

FortiManager は、 分散した多数の FortiGate イ ンス ト ール環境全体にわたってセキュ リ テ ィ ポ リ シーを確立、 維持する必要のある大規模企業 ( マネージ ド セキュ リ テ ィ サービスプロバイダを含む ) のニーズを満た し ます。 FortiManager を使用する と、 複数の FortiGate デバイスを設定し、 その状態を監視する こ とができます。 また、 FortiGate デバイスのリ アルタ イムおよび履歴ログを表示する ことができます。 FortiManager は、 サー ドパーテ ィ システムとの容易な統合など、使いやすさ を特長と し ています。

FortiBridge

FortiBridge 製品は、 FortiGate ユニ ッ ト を ト ラ ンスペアレン ト モー ド で稼動させている企業組織に、 電源異常や FortiGate システムの障害が発生し た場合で も間断ないネ ッ ト ワーク ト ラ フ ィ ッ ク フ ローを持続するよ う に設計されています。FortiBridge ユニ ッ ト は FortiGate ユニ ッ ト を迂回し て、 ネ ッ ト ワークが引き続きト ラ フ ィ ッ ク を処理でき るよ う にし ます。 FortiBridge 製品は、 電源異常やFortiGate システムの障害が発生し た場合にカス タ マイズ可能なアク シ ョ ンをFortiBridge ユニ ッ ト が実行するなど、 使用と展開が容易に行えます。

FortiMail

FortiMail は、 送受信双方向の電子メ ール ト ラ フ ィ ッ クに対する強力かつ柔軟なヒ ューリ ステ ィ ッ ク スキャ ンおよびレポー ト 機能を提供し ます。 FortiMail ユニ ッ ト は、 悪意ある添付フ ァ イルやスパムを検出およびブロ ッ クするため、FortiGuard アンチスパム / アンチウイルスがサポー ト し ている ヒ ューリ ステ ィ ック スキャ ン、 グレー リ ステ ィ ング と Bayesian スキャ ンなどの信頼性に優れた高性能な機能を備えています。 受賞実績を誇る フ ォーテ ィ ネ ッ ト の FortiOS およびFortiASIC テ ク ノ ロジをベースに構築されている FortiMail アンチウイルス テ ク ノロジは、 フル コ ンテンツ検査機能が拡張され、 も先進の電子メ ール脅威を検知できるよ う になっ ています。

FortiReporter

FortiReporter Security Analyzer ソ フ ト ウ ェ アは理解の容易なレポー ト を生成し、任意の FortiGate ユニ ッ ト やサー ドパーテ ィ ベンダが提供する 30 種以上のネ ット ワークおよびセキュ リ テ ィ デバイスから ログを収集できます。 FortiReporterは、 ネ ッ ト ワークの悪用の特定、 帯域要件の管理、 Web の使用状況の監視などを実行し、 従業員がオフ ィ ス ネ ッ ト ワーク を適切に使用し ている こ と を保証し ます。 FortiReporter を使用すれば、 IT 管理者は攻撃を識別し てそれに対処し た り、あるいはセキュ リ テ ィ 脅威が発生する前にネ ッ ト ワーク をセキュ リ テ ィ 保護する方法を見つけた りする こ とが可能にな り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに このドキュメントについて

このドキュメントについて

この FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド では、FortiGate ｪ Web ベース マネージ ャのオプシ ョ ンに関する詳細情報と、 それらの使用方法について説明し ます。また、 このガイ ド には、 FortiGate CLI に関する情報もい く つか含まれています。

この管理ガイ ド では、 Web ベース マネージ ャの機能を、 Web ベース マネージャ メ ニューと同じ順序で説明し ます。 このド キュ メ ン ト の 初には、 FortiGate Webベース マネージャの一般的な説明と、 FortiGate バーチャル ド メ イ ンの説明の章が置かれています。 これらの章に続いて、 [System] メ ニュー、 [Router] メニュー、 [Firewall] メ ニュー、 および [VPN] メ ニュー内の各項目に個別の章が割り当てられています。 次に、 ユーザ、 アンチウイルス、 不正侵入防御、 Web フ ィルタ、 アンチスパム、 IM/P2P、 およびログと レポー ト が、 すべて単独の章で説明されています。 このド キュ メ ン ト の 後には、 詳細な索引が付いています。

このドキュ メ ン トの 新バージ ョ ンは、「Fortinet テクニカル ドキュ メ ン ト 」 Web サイ トの 「FortiGate」 ページから入手できます。このドキュ メ ン ト の情報は、FortiGateWeb ベース マネージャオンラ イン ヘルプにも別の形式で記載されています。

FortiOS v3.0 に関する情報は、 「Fortinet テクニカル ド キュ メ ン ト 」 Web サイ ト の「FortiGate」 ページ、 または Fortinet Knowledge Center から入手できます。

この管理ガイ ドは以下の章で構成されています。

• Web ベース マネージャ では、FortiGate Web ベース マネージャの機能について紹介し た後、 FortiGate ユニ ッ ト を登録する方法、 および Web ベース マネージャオン ラ イ ン ヘルプを使用する方法について説明し ます。

• システム - ステータ スでは、 FortiGate ユニ ッ ト のダ ッ シュボー ド である [ システム － ステータ ス ] ページについて説明し ます。 シ リ アル番号、 ア ッ プ タイム、 FortiGuard ラ イセンス情報、 システム リ ソースの使用方法、 警告メ ッセージ、 ネ ッ ト ワーク統計などの、 FortiGate ユニ ッ ト の現在のシステム状態を一目でわかるよ う に表示できます。 また、 ユニ ッ ト のフ ァームウ ェ ア、 ホス ト 名、 システム時刻の変更などの、 ユーザが実行でき る状態変更についても説明し ます。

• バーチャル ド メ イ ンの使用では、バーチャル ド メ インを使用し て FortiGate ユニ ッ ト を複数の仮想 FortiGate ユニ ッ ト と し て動作させ、 複数のネ ッ ト ワークに個別のフ ァ イアウォールおよびルーテ ィ ング サービスを提供する方法について説明し ます。

• システム - ネ ッ ト ワーク では、 FortiGate ユニ ッ ト で物理イン タ フ ェ ース、 仮想イン タ フ ェース、 および DNS を設定する方法について説明し ます。

• システム - 無線では、FortiWiFi-60 ユニ ッ ト で無線 LAN イ ン タ フ ェースを設定する方法について説明し ます。

• システム - DHCP では、FortiGate イ ン タ フ ェースを DHCP サーバまたは DHCPリ レー エージ ェ ン ト と し て設定する方法について説明し ます。

• システム - 設定では、 HA と仮想ク ラスタ リ ングの設定、 SNMP と差し替え メ ッセージの設定、および動作モードの変更を行う ための手順について説明し ます。

• システム管理者では、 管理者アカウン ト の追加と編集、 管理者のアクセス プロ フ ァ イルの定義、 FortiManager アクセスの設定、 言語、 タ イムアウ ト 、 Web管理ポー ト などの一般的な管理設定の定義などを行 う ための手順について説明し ます。

• システム - メ ンテナンスでは、 管理コ ンピ ュータ または FortiUSB デバイスを使用し てシステム設定をバッ ク ア ッ プおよび復元する方法、 FortiGuard サービス と FortiGuard Distribution Network (FDN) の更新を可能にする方法、 およびバーチャル ド メ イ ンの 大数を増やすためにラ イセンス キーを入力する方法について詳し く 説明し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 27

28

このドキュメントについて はじめに

• システム - シャーシ (FortiGate-5000 シ リーズ ) では、 FortiGate-5140 またはFortiGate-5050 のシャーシ内のすべてのハー ド ウ ェ ア コ ンポーネン ト に関して、 システム シャーシの Web ベース マネージャのページに表示される情報について説明し ます。

• ルータ - ス タ テ ィ ッ ク では、 ス タ テ ィ ッ ク ルー ト の定義、 およびルー ト ポ リシーの作成を行う方法について説明し ます。 パケ ッ ト は、 ス タ テ ィ ッ ク ルート によ って、 工場出荷時に設定されているデフ ォル ト ゲー ト ウ ェ イ以外の宛先へと転送されます。

• ルータ - ダイナ ミ ッ ク では、 大規模または複雑なネ ッ ト ワーク を介し て ト ラフ ィ ッ ク をルーテ ィ ングするためにダイナ ミ ッ ク プロ ト コルを設定する方法について説明し ます。

• ルータ - モニ タ では、 [Routing Monitor] リ ス ト を解釈する方法について説明します。 このリ ス ト には、 FortiGate ルーテ ィ ング テーブル内のエン ト リが表示されます。

• フ ァ イアウォール - ポ リ シーでは、 FortiGate イン タ フ ェ ース、 ゾーン、 および VLAN サブイ ン タ フ ェースの間の接続と ト ラ フ ィ ッ ク を制御するためにフ ァ イアウォール ポ リ シーを追加する方法について説明し ます。

• フ ァ イアウォール - ア ド レスでは、 フ ァ イアウォール ポ リ シーのア ド レスおよびア ド レス グループを設定する方法について説明し ます。

• フ ァ イアウォール - サービスでは、 使用可能なサービス と、 フ ァ イアウォール ポ リ シーのサービス グループを設定する方法について説明し ます。

• フ ァ イアウォール - スケジュールでは、フ ァ イアウォール ポリ シーのワン タ イム スケジュールと繰り返し スケジュールを設定する方法について説明し ます。

• フ ァ イアウォール - 仮想 IP では、仮想 IP ア ド レス と IP プールを設定および使用する方法について説明し ます。

• フ ァ イアウォール - プロテ クシ ョ ン プロ フ ァ イルでは、 フ ァ イアウォール ポリ シーの保護プロ フ ァ イルを設定する方法について説明し ます。

• VPN - IPSEC では、 Web ベース マネージャから使用可能な、 ト ンネル モー ドおよびルー ト ベース ( イ ン タ フ ェース モー ド ) の IPSec (Internet Protocol Security) VPN オプシ ョ ンについて説明し ます。

• VPN - PPTP では、 Web ベース マネージ ャ を使用し て、 PPTP ク ラ イアン ト のIP ア ド レスの範囲を指定する方法について説明し ます。

• VPN - SSL では、 基本的な SSL VPN 設定について説明し ます。

• VPN - 証明書では、 X.509 セキュ リ テ ィ 証明書を管理する方法について説明します。

• ユーザでは、 ユーザ認証を介し てネ ッ ト ワーク リ ソースへのア クセスを制御する方法について詳し く 説明し ます。

• アンチウイルスでは、 フ ァ イアウォール保護プロ フ ァ イルの作成時にアンチウイルス オプシ ョ ンを有効にする方法について説明し ます。

• 不正侵入防御では、 フ ァ イアウォール保護プロ フ ァ イルの作成時に IPS オプシ ョ ンを設定する方法について説明し ます。

• Web フ ィ ルタ では、フ ァ イアウォール保護プロ フ ァ イルの作成時に Web フ ィ ルタ オプシ ョ ンを設定する方法について説明し ます。

• アンチスパムでは、 フ ァ イアウォール保護プロ フ ァ イルの作成時にスパム フ ィ ルタ オプシ ョ ンを設定する方法について説明し ます。

• IM、 P2P、 および VoIP では、 フ ァ イアウォール保護プロ フ ァ イルの作成時にIM、 P2P、 および VoIP オプシ ョ ンを設定する方法について説明し ます。 IM、P2P、 および VoIP 統計を表示する と、 これらのプロ ト コルがネ ッ ト ワーク内でどのよ う に使用されているかを調べる こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに FortiGate のドキュメント

• ログおよびレポー ト では、 ロギングを有効にし た り、 ログ フ ァ イルを表示した り、 Web ベース マネージャから使用可能な基本的なレポー ト を表示し た りする方法について説明し ます。

ドキュメントの規則

このガイ ド では、 次のド キュ メ ン ト 規則を使用し ます。

• 例では、プ ラ イベー ト IP ア ド レスがプ ラ イベー ト IP ア ド レス とパブ リ ッ ク IPア ド レスの両方に使用されています。

• 重要な情報を提供するために、 次の注記と注意が使用されています。

表記規則

フ ォーテ ィ ネ ッ ト のド キュ メ ン ト では、 次の表記規則を使用し ます。

FortiGate のドキュメント

フ ォーテ ィ ネ ッ ト 製品ド キュ メ ン ト の 新版および以前のリ リースは、 「フ ォーテ ィ ネ ッ ト テクニカル ド キュ メ ン ト 」 Web サイ ト (http://docs.forticare.com) から入手できます。

次の FortiGate 製品ド キュ メ ン ト が入手可能です。

注記 : 役立つ追加情報をハイ ラ イ ト し ます。

! 注意 : データの損失や装置への損傷などの、 予期し ない結果または望ま し く ない結果を発生させる恐れのある コマン ド または手順について警告し ます。

規則 例

メニュー コマンド [VPN]、[IPSEC]、[Phase 1] の順に選択し、 [Create New] を選択し ます。

キーボード入力 [Gateway Name] フ ィ ールド に、 リ モー ト の VPN ピアまたはク ラ イアン ト の名前 ( た と えば、 「Central_Office_1」 ) を入力し ます。

コード例 config sys globalset ips-open enable

end

CLI コマンド構文 config firewall policyedit id_integerset http_retry_count <retry_integer>set natip <address_ipv4mask>

end

ドキュメント名 『FortiGate 管理ガイ ド』

ファイルの内容 <HTML><HEAD><TITLE> フ ァ イアウォール認証</TITLE></HEAD><BODY><H4> このサービスを利用するには、 認証を行わなければな り ません。 </H4>

プログラム出力 Welcome!

変数 <address_ipv4>

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 29

30

FortiGate のドキュメント はじめに

• 『FortiGate ク イ ッ クス ター ト ガイ ド 』

FortiGate ユニ ッ ト の接続およびインス ト ールに関する基本的な情報を提供します。

• 『FortiGate イ ンス ト ール ガイ ド』

FortiGate ユニ ッ ト を イ ンス ト ールする方法について説明し ます。 ハー ド ウ ェア リ フ ァ レンス、 デフ ォル ト の設定情報、 インス ト ール手順、 接続手順、 および基本的な設定手順が含まれています。 製品のモデル番号に対応し たガイド を選択し て く だ さい。

• 『FortiGate 管理ガイ ド』

FortiGate ユニ ッ ト を設定する方法に関する基本的な情報を提供し ます。FortiGate の保護プロ フ ァ イルやフ ァ イアウォール ポ リ シーを定義する方法、不正侵入防御、 アンチウイルス保護、 Web コ ンテンツ フ ィ ルタ リ ング、 およびスパム フ ィ ルタ リ ングを適用する方法、 VPN を設定する方法などが含まれます。

• 『FortiGate オン ラ イ ン ヘルプ』

HTML 形式の 『管理ガイ ド』 の状況依存および検索可能なバージ ョ ンを提供し ます。 オン ラ イ ン ヘルプには、 作業中に Web ベース マネージ ャから アクセスできます。

• 『FortiGate CLI リ フ ァ レンス』

FortiGate CLI を使用する方法について説明し てお り、 すべての FortiGate CLIコ マン ドへのリ フ ァ レンスが含まれています。

• 『FortiGate ログ メ ッ セージ リ フ ァ レンス』

『FortiGate ログ メ ッ セージ リ フ ァ レンス』 は、 Fortinet Knowledge Center からのみ使用可能であ り、 FortiGate ログ メ ッ セージの構造を説明し、 FortiGate ユニ ッ ト によ っ て生成されるログ メ ッ セージに関する情報を提供し ています。

• 『FortiGate 高可用性の概要』 および 『FortiGate 高可用性ユーザ ガイ ド 』

これらのド キュ メ ン ト には、 FortiGate 高可用性 (HA) 機能と FortiGate ク ラスタ リ ング プロ ト コルに関する詳細な情報が含まれています。

• 『FortiGate IPS ユーザ ガイ ド』

FortiGate 不正侵入防御システムを設定する方法、 およびい く つかの一般的な攻撃が FortiGate IPS によ ってどのよ う に処理されるかについて説明し ます。

• 『FortiGate IPSec VPN ユーザ ガイ ド 』

Web ベース マネージャ を使用し て IPSec VPN を設定するための手順を提供します。

• 『FortiGate SSL VPN ユーザ ガイ ド』

FortiGate IPSec VPN と FortiGate SSL VPN のテ ク ノ ロジを比較し、 Web ベース マネージャ を使用し て リ モー ト ユーザの Web のみモー ド と ト ンネル モードの SSL VPN アクセスを設定する方法について説明し ます。

• 『FortiGate PPTP VPN ユーザ ガイ ド 』

Web ベース マネージャ を使用し て PPTP VPN を設定する方法について説明します。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

はじめに カスタマ サービスおよびテクニカル サポート

• 『FortiGate 証明書管理ユーザ ガイ ド』

証明書要求の生成を含むデジ タル証明書の管理、 署名済み証明書のイ ンスト ール、 CA ルー ト 証明書と証明書失効リ ス ト のインポー ト 、 およびイ ンスト ールされた証明書と秘密キーのバッ クア ッ プ と復元を行 う ための手順が含まれています。

• 『FortiGate VLAN および VDOM ユーザ ガイ ド』

NAT/ ルー ト モー ド と ト ラ ンスペアレン ト モー ドの両方で VLAN およびVDOM を設定する方法について説明し ます。 詳細な例が含まれています。

フォーティネット ツールおよびドキュメント CD

お使いのフ ォーテ ィ ネ ッ ト 製品に付属する フ ォーテ ィ ネ ッ ト ツールおよび ドキュ メ ン ト CD から、 すべてのフ ォーテ ィ ネ ッ ト ド キュ メ ン ト にアクセスできます。 この CD に収録されている ド キュ メ ン ト は、 お使いの製品に対応した出荷時点の 新版です。 すべてのフ ォーテ ィ ネ ッ ト ド キュ メ ン ト の 新版については、 「フ ォーテ ィ ネ ッ ト テ クニカル ド キュ メ ン ト 」 Web サイ ト (http://docs.forticare.com) を参照し て く だ さい。

Fortinet Knowledge Center

追加のフ ォーテ ィ ネ ッ ト テクニカル ド キュ メ ン ト は、 Fortinet Knowledge Centerから入手できます。 Knowledge Center には、 ト ラ ブルシューテ ィ ングの記事やハウツー記事、 FAQ、 テ クニカル ノ ー ト 、 その他が含まれています。 Fortinet Knowledge Center (http://kc.forticare.com) にアクセス し て く だ さい。

フォーティネット テクニカル ドキュメントに関するコメント

この ド キュ メ ン ト やその他のフ ォーテ ィ ネ ッ ト テ クニカル ド キュ メ ン ト に誤りまたは脱落があ り ま したら、 techdoc@fortinet.com までお知らせ く だ さい。

カスタマ サービスおよびテクニカル サポート

フ ォーテ ィ ネ ッ ト テクニカル サポー ト は、 お使いのフ ォーテ ィ ネ ッ ト システムの迅速なインス ト ール、 容易な設定、 およびネ ッ ト ワーク内での確実な動作を支援するサービスを提供し ています。

フ ォーテ ィ ネ ッ ト が提供し ているテクニカル サポー ト サービスの詳細については、 フ ォーテ ィ ネ ッ ト テ クニカル サポー ト Web サイ ト (http://support.fortinet.com) を参照し て く ださい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 31

32

カスタマ サービスおよびテクニカル サポート はじめに

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web ベース マネージャ

F0

Web ベース マネージャこの項では、 FortiGate ユニ ッ ト の Web ベース マネージャの使いやすい管理イ ンタ フ ェースの機能について説明し ます。

Web ブ ラウザを実行し ている任意のコ ンピ ュータから HTTP 接続またはセキュアな HTTPS 接続を介し て、 FortiGate ユニ ッ ト を設定および管理できます。 Webベース マネージャは、 複数の言語をサポー ト し ています。 FortiGate ユニ ッ トは、 任意の FortiGate イ ン タ フ ェースから HTTP および HTTPS 接続を介し て管理できるよ う に設定できます。

図 1: FortiGate-5001SX Web ベース マネージャのダッシュボードの例

Web ベース マネージャ を使用する と、 ほとんどの FortiGate 設定を行った り、FortiGate ユニ ッ ト の状態を監視し た りする こ とができます。 Web ベース マネージャ で行われた設定変更は直ちに有効にな り、 フ ァ イアウォールを リ セ ッ ト し たりサービスを中断し た りする必要はあ り ません。 設定が完了し たら、 その設定をバッ クア ッ プできます。 保存された設定は、 いつで も復元できます。

この項には以下の ト ピ ッ クが含まれています。

• ボタ ン バーの機能

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 33

34

ボタン バーの機能 Web ベース マネージャ

• Web ベース マネージャ ページ

ボタン バーの機能

Web ベース マネージャの右上に表示されるボタ ン バーから、 い く つかの重要なFortiGate 機能にアクセスできます。

図 2: Web ベース マネージャのボタン バー

カスタマ サポートへの接続

[ カス タ マ サポー ト への接続 ] ボタ ンを押すと、 新しいブ ラウザ ウ ィ ン ド ウが開いて 「Fortinet Support」 Web ページが表示されます。 このページからは、 次の操作を行 う こ とができます。

• Fortinet Knowledge Center にア クセスする。

• カス タ マ サポー ト にログイ ンする (Support Login)。

• FortiGate ユニ ッ ト を登録する (Product Registration)。

• Fortinet Training and Certification について検索する。

• FortiGuard Center にア クセスする。

FortiGate ユニ ッ ト を登録するには、 「Product Registration」 にア クセス し てその指示に従います。

カス タ マ サポー ト への接続

オン ラ イ ンヘルプ

ログアウ ト

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web ベース マネージャ ボタン バーの機能

オンラインヘルプの使用

[ オン ラ イ ンヘルプ ] ボタ ンを押すと、 現在の Web ベース マネージ ャ ページに関するオン ラ イ ンヘルプが表示されます。 表示されるオン ラ イ ンヘルプ ページには、 現在の Web ベース マネージャ ページの操作に関する情報と手順が記載されています。 また、 ほとんどのヘルプ ページに、 関連する ト ピ ッ クへのハイパーリ ン ク も含まれています。 オン ラ イ ンヘルプ システムには、 追加情報の検索に使用でき る コ ン ト ロールもい く つか含まれています。

図 3: 「システム ステータスの表示」に関するオンラインヘルプ ページ

[ ナビゲーシ ョ ンの表示 ] ボタ ンを押し て、 オン ラ イ ンヘルプ ナビゲーシ ョ ン ウ ィ ン ド ウを表示し ます。

図 4: ナビゲーション ウィンドウを含むオンラインヘルプ ページ

[ ナビゲーションの表示 ]

オン ラ イ ンヘルプ ナビゲーシ ョ ン ウ ィ ン ド ウを開きます。 ナビゲーシ ョ ン ウ ィ ン ド ウから、 オン ラ イ ンヘルプの目次、 索引、 および検索を使用し て、 オン ラ イ ンヘルプ内のすべての情報にアクセスできます。オン ラ イ ンヘルプは、 FortiGate Web ベース マネージ ャおよび『FortiGate 管理ガイ ド 』 と同じ よ う に構成されています。

[ 前のページ ] オン ラ イ ンヘルプ内の前のページを表示し ます。

[ 次のページ ] オン ラ イ ンヘルプ内の次のページを表示し ます。

[ 電子メール ] Fortinet Technical Documentation (techdoc@fortinet.com) に電子メ ールを送信し ます。 この電子メ ール ア ド レスを使用し て、 オン ラ イ ンヘルプをはじめ任意のフ ォーテ ィ ネ ッ ト テ クニカル ド キュ メ ン ト 製品に関する コ メ ン ト または修正項目があるかど うかをお知らせいただ く こ とができます。

[ 印刷 ] 現在のオン ラ イ ンヘルプ ページを印刷し ます。

[ ブックマーク ] このオン ラ イ ンヘルプ ページのエン ト リ を、 ブ ラウザのブ ッ クマークまたはお気に入り リ ス ト に追加し ます。 このボタ ンを使用する と、 有用なオン ラ イ ンヘルプ ページの検索が容易にな り ます。 Windows XP とサービスパッ ク 2 がイ ンス ト ールされている管理 PC 上の Internet Explorer からオン ラ インヘルプを表示し ている場合、 [ ブ ッ ク マーク ] アイ コ ンを使用し てお気に入り リ ス ト にエン ト リ を追加する こ とはできません。

ナビゲーシ ョ ンの表示

電子メ ール前のページ

次のページ印刷

ブ ッ クマーク

目次 検索索引 目次の表示

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 35

36

ボタン バーの機能 Web ベース マネージャ

オンラインヘルプの検索について

オン ラ イ ンヘルプの検索を使用し て、 FortiGate オン ラ イ ンヘルプ システムのテキス ト 全体の中から 1 つの単語または複数の単語を検索できます。 検索については、 次の点に注意し て く ださい。

• 複数の単語を検索する と、入力したすべての単語を含むヘルプ ページが検索されます。 入力した単語のいずれかだけを含むヘルプ ページは検索されません。

• 検索で見つかったヘルプ ページは、 関連性の順番にラ ン ク付けされます。 ラン ク付けが高ければ高いほど、 そのヘルプ ページに検索対象の 1 つまたは複数の単語に関する有用な情報や詳細な情報が含まれている可能性が高 く な ります。 ヘルプ ページのタ イ ト ルに 1 つ以上の検索単語が含まれているヘルプ ページには、 も高いラ ン クが付けられます。

• 検索のワイル ド カー ド文字と し てアス タ リ スク (*) を使用し て、 任意の数の文字を置き換える こ とができます。 た と えば、 auth* を検索する と、 auth、authenticate、 authentication、 authenticates などを含むヘルプ ページが検索されます。

• 場合によ っては、 検索で完全一致しか見つから ないこ とがあ り ます。 た と えば、 windows を検索した場合は、 window とい う単語を含むページが検索されない可能性があ り ます。 ワイル ド カー ド * を使用すれば ( た と えば、window* を検索する )、 この事態を回避できます。

ヘルプ システム内を検索するには

1 任意のWebベース マネージャ ページから、オンラ インヘルプ ボタ ンを選択し ます。

2 [ ナビゲーシ ョ ンの表示 ] ボタ ンを押し て、 オン ラ イ ンヘルプ ナビゲーシ ョ ン ウ ィ ン ド ウを表示し ます。

3 [ 検索 ] ボタ ンを ク リ ッ ク し ます。

4 検索フ ィ ール ド に検索対象の 1 つ以上の単語を入力し、 Enter キーを押すか、 または [Go] を選択し ます。

検索ウ ィ ン ド ウに、 入力し た 1 つまたは複数の単語を含むすべてのオン ラ イ ンヘルプ ページの名前のリ ス ト が表示されます。 リ ス ト から名前を選択し て、 そのヘルプ ページを表示し ます。

キーボードを使用したオンラインヘルプ内の移動

表 1 のキーボー ド シ ョ ー ト カ ッ ト を使用し て、 オン ラ イ ンヘルプ内の情報を表示し た り、 検索し た り する こ とができます。

[ 目次 ] オン ラ イ ンヘルプの目次を表示し ます。 目次内を移動し て、 オン ラ イ ンヘルプ内の情報を検索できます。 オン ラ イ ンヘルプは、 FortiGate Webベース マネージ ャおよび 『FortiGate 管理ガイ ド 』 と同じ よ う に構成されています。

[ 索引 ] オン ラ イ ンヘルプの索引を表示し ます。 索引を使用し て、 オン ラ イ ンヘルプ内の情報を検索できます。

[ 検索 ] オン ラ イ ンヘルプの検索を表示し ます。 オン ラ イ ンヘルプ内の情報を検索する方法については、 36 ページの 「オン ラ インヘルプの検索について」 を参照し て く ださ い。

[ 目次の表示 ] 索引、 検索、 またはハイパーリ ン ク を使用し てオン ラ イ ンヘルプ内の情報を検索し た場合、 目次が表示されないか、 または目次と現在のヘルプ ページの同期がとれていない可能性があり ます。 [ 目次の表示 ] を選択する と、 目次を表示し て現在のヘルプ ページの場所を示すこ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web ベース マネージャ Web ベース マネージャ ページ

ログアウト

[ ログアウ ト ] ボタ ンを押すと、 Web ベース マネージャから直ちにログアウ ト されます。 ブ ラウザ ウ ィ ン ド ウを閉じ る前に必ずログアウ ト し て く だ さい。 ログアウ ト せずにブ ラウザを閉じた り Web ベース マネージャ を終了し た りする と、アイ ドル タ イムアウ ト ( デフ ォル ト は 5 分 ) が経過するまでログイ ン し たままにな り ます。

Web ベース マネージャ ページ

Web ベース マネージャのイ ン タ フ ェースは、 1 つのメ ニューと複数のページで構成され、 多 く のページに複数のタ ブが用意されています。 メ ニュー項目 ( た とえば [System]) を選択する と、 そのメ ニュー項目が展開され、 サブ メ ニューが表示されます。 サブ メ ニュー項目の 1 つを選択する と、 関連付けられたページが初のタ ブに表示されます。 別のタ ブを表示するには、 そのタ ブを選択し ます。

このマニュアルの手順に従って、 次のよ う に メ ニュー項目、 サブ メ ニュー項目、およびタ ブを指定する とページが表示されます。

1 [System]、[Network]、[Interface] の順に選択し ます。

表 1: オンラインヘルプ ナビゲーション キー

キー 機能

Alt+1 目次を表示し ます。

Alt+2 索引を表示し ます。

Alt+3 [Search] タ ブを表示し ます。

Alt+4 前のページに移動し ます。

Alt+5 次のページに移動し ます。

Alt+7 Fortinet Technical Documentation (techdoc@fortinet.com) に電子メ ールを送信し ます。 この電子メ ール ア ド レスを使用し て、 オン ラ インヘルプをはじめ任意のフ ォーテ ィ ネ ッ ト テ クニカル ド キュ メ ン ト 製品に関する コ メ ン ト または修正項目があるかど うかをお知らせいただ く こ とができます。

Alt+8 現在のオン ラ インヘルプ ページを印刷し ます。

Alt+9 このオン ラ インヘルプ ページのエン ト リ を、 ブ ラウザのブ ッ ク マークまたはお気に入り リ ス ト に追加し ます。 このボタ ンを使用する と、 有用なオン ラ インヘルプ ページの検索が容易にな り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 37

38

Web ベース マネージャ ページ Web ベース マネージャ

図 5: Web ベース マネージャの各部分 (FortiGate-50B の場合 )

Web ベース マネージャ メニュー

このメ ニューから、 FortiGate ユニ ッ ト のすべての主要な機能に対する設定オプシ ョ ンへアクセスできます。

タ ブ

メニュー

ページボタ ン バー

[System] ネ ッ ト ワーク イ ン タ フ ェース、 バーチャル ド メ イ ン、 DHCP サービス、高可用性 (HA)、 システム時刻、 システム オプシ ョ ンなどのシステム機能を設定し ます。

[Router] FortiGate のス タ テ ィ ッ ク ルーテ ィ ングやダイナ ミ ッ ク ルーテ ィ ングを設定し ます。

[Firewall] ネ ッ ト ワーク保護機能に適用される フ ァ イアウォール ポ リ シーや保護プロ フ ァ イルを設定し ます。 また、 仮想 IP ア ド レスや IP プールも設定し ます。

[VPN] IPSec、SSL、および PPTP 仮想プ ラ イベー ト ネ ッ ト ワーク を設定し ます。

[User] ユーザ認証が必要なフ ァ イアウォール ポ リ シーで使用するユーザ アカウン ト を設定し ます。 また、 RADIUS、 LDAP、 Windows AD などの外部の認証サーバも設定し ます。

[AntiVirus] アンチウイルス保護を設定し ます。

[Intrusion Protection]

FortiGate 不正侵入防御システム (IPS) を設定し ます。

[Web Filter] Web フ ィ ルタ リ ングを設定し ます。

[AntiSpam] 電子メ ールのスパム フ ィ ルタ リ ングを設定し ます。

[IM, P2P & VoIP] イ ン ターネ ッ ト メ ッ セージング、 ピアツーピア メ ッ セージング、 および VoIP (Voice over IP) ト ラ フ ィ ッ クの監視および制御を設定し ます。

[Log & Report] ロギング、 ア ラー ト メ ール、 および FortiGuard ログおよび分析を設定し ます。 ログ メ ッ セージやログ レポー ト を表示し ます。 FortiAnalyzerに接続し て、 ログ メ ッ セージやログ レポー ト を表示し ます。 FortiGuardログおよび分析によ って格納されたログ メ ッ セージを表示し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web ベース マネージャ Web ベース マネージャ ページ

リスト

Web ベース マネージャのページの多 く は、 リ ス ト 表示になっています。 ネ ッ トワーク イン タ フ ェ ース、 フ ァ イアウォール ポ リ シー、 管理者、 ユーザなどのリス ト があ り ます。

図 6: Web ベース マネージャのリストの例

リ ス ト には、 各項目に関するい く つかの情報が表示されます。 また、 右端の列にあるアイ コ ンを使用する と、 各項目を操作できます。 この例では、 削除ボタ ンをク リ ッ ク し て項目を削除し た り、 編集ボタ ンを ク リ ッ ク し て項目を変更し た りする こ とができます。

リ ス ト に別の項目を追加するには、 [Create New] ボタ ンを ク リ ッ ク し ます。 それによ って、 新しい項目を定義するためのダイアログ ボ ッ クスが表示されます。新しい項目を作成するためのダイアログ ボ ッ クスは、 既存の項目を編集するためのダイアログ ボ ッ ク ス とほぼ同じ です。

アイコン

Web ベース マネージャには、 ボ タ ンの他に、 システムと対話でき るアイ コ ンが用意されています。 各アイ コ ンの機能の理解に役立つツールヒ ン ト があ り ます。アイ コ ンの上にマウス ポイ ン タ を しばら く 置 く と、 ツールヒ ン ト が表示されます。 表 2 は、 Web ベース マネージャで使用できるアイ コ ンです。

編集削除

表 2: Web ベース マネージャのアイコン

アイコン 名称 説明

[Change Password]

管理者パスワー ド を変更し ます。 このアイ コ ンは、 アクセス プロ フ ァ イルで管理者に書き込み権限を許可できるよ う に設定されている場合に、 [Administrators] リ ス ト に表示されます。

[Clear] ログ フ ァ イルを ク リ ア し ます。

[Collapse] このセク シ ョ ンを折り たたんで、 い く つかのフ ィ ールド を非表示にし ます。 このアイ コ ンは、 一部のダイアログ ボ ッ ク スや一部のリ ス ト で使用されます。

[Column Settings]

表示する列を選択し ます。 このアイ コ ンは、 特に [Log Access] および [Firewall Policy] リ ス ト で使用されます。

[Delete] 項目を削除し ます。 このアイ コ ンがリ ス ト に表示されるのは、その項目が削除可能であり、 かつユーザがそのページに対する書き込み権限を持っ ている場合です。

[Description] このアイ コ ンのツールヒ ン ト には、 このテーブル エン ト リの [Description] フ ィ ールドが表示されます。

[Download or Backup]

ログ フ ァ イルをダウンロー ド するか、 または設定フ ァ イルをバッ ク ア ッ プ し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 39

40

Web ベース マネージャ ページ Web ベース マネージャ

[Download] 証明書署名要求をダウンロー ド し ます。

[Edit] 設定を編集します。このアイコンがリ ス ト に表示されるのは、ユーザがそのページに対する書き込み権限を持っている場合です。

[Expand] このセク シ ョ ンを展開し て、 よ り多 く のフ ィ ールドが表示されるよ う にし ます。 このアイ コ ンは、 一部のダイアログ ボ ックスや一部のリ ス ト で使用されます。

[Filter] このテーブル内の 1 つ以上の列にフ ィ ルタ を設定し ます。フ ィ ルタ を指定するためのダイアログが開かれます。 このアイ コ ンは、 フ ィ ルタが有効になっている列では緑色、 それ以外の場合は灰色にな り ます。

[Go] 検索を実行し ます。

[Insert Policy before]

現在のポ リ シーの前に適用する新し いポリ シーを作成し ます。

[Move to] リ ス ト 内の項目を移動し ます。

[Next page] リ ス ト の次のページを表示し ます。

[Previous page]

リ ス ト の前のページを表示し ます。

[Refresh] このページに関する情報を更新し ます。

[Restore] フ ァ イルから設定を復元し ます。

[View] 設定を表示し ます。 このアイ コ ンは、 ユーザがそのページに対する書き込み権限を持っていない場合に、 編集アイ コ ンの代わり にリ ス ト に表示されます。

表 2: Web ベース マネージャのアイコン

アイコン 名称 説明

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス [Status] ページ

F0

システム - ステータスこの項では、 FortiGate ユニ ッ ト のダ ッ シュボー ド である [System Status] ページについて説明し ます。 シ リ アル番号、 ア ッ プ タ イム、 FortiGuard ラ イセンス情報、システム リ ソースの使用方法、警告メ ッ セージ、ネ ッ ト ワーク統計など、FortiGateユニ ッ ト の現在のシステム ステータ スが一目でわかるよ う に表示できます。

この項には以下の ト ピ ッ クが含まれています。

• [Status] ページ

• システム情報の変更

• FortiGate フ ァームウ ェ アの変更

• 動作履歴の表示

• FortiGuard 定義の手動による更新

• 統計情報の表示

• ト ポロジ ビ ューア

[Status] ページ

FortiGate ユニ ッ ト の現在の動作状態のスナ ッ プシ ョ ッ ト を見るには、 [System Status] ページ ( 別称 システム ダ ッ シュボー ド ) を表示し ます。 FortiGate 管理者にア クセス プロ フ ァ イルでシステム設定への読み取り アクセスが許可されていれば、 システム状態情報を表示させる こ とができます。

FortiGate ユニ ッ ト が HA ク ラス タの一部と な っている場合、 [System Status] ページには、 ク ラ ス タの名前や、 ホス ト 名を含むク ラス タ メ ンバなどの HA クラス タの基本的なステータ ス情報も表示されます。 ク ラス タのよ り詳細なステータ ス情報を表示するには、 [System]、[Config]、[HA] の順に選択し ます。 詳細については、 124 ページの 「HA」 を参照し て く だ さい。 FortiGate モデル 50A および 50AM では、 HA は使用できません。

FortiGate 管理者にアクセス プロ フ ァ イルでシステム設定への書き込みアクセスが許可されていれば、 FortiGate ユニ ッ ト の情報を変更または更新できます。 アクセス プロ フ ァ イルについては、 157 ページの 「アクセス プロ フ ァ イル」 を参照し て く だ さい。

システム ステータスの表示

Web ベース マネージャにログイ ンする と、 [System Status] ページがデフ ォル トで表示されます。

[System]、[Status] の順に選択する と、 [System Status] ページをいつでも表示させる こ とができます。

注記 : [System Status] ページを表示するには、 ブ ラウザで Javascript がサポー ト されている必要があり ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 41

42

[Status] ページ システム - ステータス

このページを表示するには、 アクセス プロ フ ァ イルでシステム設定への読み取り アクセスが許可されていな く てはな り ません。 システム設定への書き込みアクセスも許可されている場合は、 システム情報を変更し た り、 FortiGuard (AV および FortiGuard) の IPS 定義を更新し た りする こ と もできます。 ア クセス プロ フ ァイルについては、 157 ページの 「アクセス プロ フ ァ イル」 を参照し て く だ さい。

[System Status] ページは自由にカス タ マイズ可能です。 表示する内容、 ページ上の表示位置、 およびその表示を 小化または 大化するかど うかを選択できます。 各表示には、 小化されていてもすぐに識別できるアイ コ ンが関連付けられています。

図 7: [System Status] ページ

現在 [System Status] ページ上にない表示を追加するには、 [Add Content] を選択し ます。 [System Status] ページ上に各表示は 1 つしか配置できないため、 すでに [System Status] ページ上にある表示はすべて灰色で表示されます。 また、[Back to default] を選択し て、 デフ ォル ト の [System Status] ページ設定に戻すこと もできます。

特定の表示で使用可能なオプシ ョ ンを表示するには、その表示のタ イ トル バーの上にマウスを置きます。 これらのオプシ ョ ンは、 各表示ごとに多少異なっています。

図 8: 最小化された表示

表示タイトル 表示する内容を示し ます。

拡大縮小アイコン 表示を 大化または 小化する場合に選択し ます。

更新アイコン 表示された情報を更新する場合に選択し ます。

閉じるアイコン 表示を閉じ る場合に選択し ます。 閉じ るかど うかの確認を求められます。

拡大縮小アイ コ ン

更新アイ コ ン

閉じ るアイ コ ン

表示タ イ ト ル

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス [Status] ページ

システム情報

図 9: FortiGate-5001 のシステム情報の例

[Serial Number] 現在の FortiGate ユニ ッ ト のシ リ アル番号。 このシ リ アル番号はFortiGate ユニ ッ ト に固有であり、 フ ァームウェ アをア ッ プグレー ドし ても変わり ません。

[Uptime] FortiGate ユニ ッ ト が 後に起動されてからの時間を、 日数、 時間数、 および分数で表し たもの。

[System Time] FortiGate ユニ ッ ト の内部ク ロ ッ クに基づ く 現在の日付と時刻。この時間を変更するか、 または FortiGate ユニ ッ ト が NTP サーバから時間を取得するよ う に設定するには、 [Change] を選択し ます。 49ページの 「システム時刻の設定」 を参照し て く だ さい。

[Host Name] 現在の FortiGate ユニ ッ ト のホス ト 名。FortiGate ユニ ッ ト が HA モー ド に設定されている場合、 このフ ィ ールドは表示されません。ホス ト 名を変更するには、 [Change] を選択し ます。50 ページの 「FortiGate ユニ ッ ト のホス ト 名の変更」 を参照し て く ださい。

[Cluster Name] この FortiGate ユニ ッ ト の HA ク ラス タの名前。 124 ページの 「HA」を参照し て く だ さい。このフ ィ ールド を表示するには、 FortiGate ユニ ッ ト が HA モー ド で動作し ている必要があり ます。

[Cluster Members] HA ク ラス タ内の FortiGate ユニ ッ ト 。 各メ ンバに関し て、 ホス ト 名、シ リ アル番号、 そのユニ ッ ト がク ラス タ内の上位 ( マス タ ) ユニ ット または下位 ( スレーブ ) ユニ ッ ト のどち らであるかといった情報が表示されます。 124 ページの 「HA」 を参照し て く だ さ い。このフ ィ ールド を表示するには、 FortiGate ユニ ッ ト が、 バーチャル ド メ イ ンが有効になっ ていない HA モー ド で動作し ている必要があり ます。

[Virtual Cluster 1][Virtual Cluster 2]

仮想ク ラス タ 1 および仮想ク ラス タ 2 内の各 FortiGate ユニ ッ ト の役割。 124 ページの 「HA」 を参照し て く だ さ い。これらのフ ィ ールド を表示するには、 FortiGate ユニ ッ ト が、 バーチャル ド メ イ ンが有効になっている HA モー ド で動作し ている必要があり ます。

[Firmware Version] 現在の FortiGate ユニ ッ ト にイ ンス ト ールされている フ ァームウェ アのバージ ョ ン。フ ァームウ ェ アを変更するには、 [Update] を選択し ます。51 ページの 「新し いフ ァームウェ ア バージ ョ ンへのア ッ プグレード 」 を参照し て く だ さい。

[FortiClient Version] 現在ロー ド されている FortiClient のバージ ョ ン。 管理コ ンピ ュータから この FortiGate ユニ ッ ト に新しい FortiClient ソ フ ト ウ ェ ア イメ ージをア ッ プロー ド するには、 [Update] を選択し ます。FortiGate にソ フ ト ウェ アをダウンロー ド するためのポータルが用意されており、 ホス ト がそこから FortiClient ソ フ ト ウェ アをダウンロー ド できるよ う な FortiGate モデルでのみ、 このフ ィ ールドが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 43

44

[Status] ページ システム - ステータス

ライセンス情報

[License Information] には、FortiGate サポー ト 契約と FortiGuard サブスク リ プシ ョンのステータ スが表示されます。 FortiGate ユニ ッ ト は、 FortiGuard ネ ッ ト ワークに接続する こ とによ り、 ラ イセンス情報のステータ ス イ ンジケータ を自動的に更新し ます。 FortiGuard サブスク リ プシ ョ ンのステータ スインジ ケータは、 正常時は緑色ですが、 FortiGate ユニ ッ ト が FortiGuard ネ ッ ト ワークに接続できない場合は灰色、 ラ イセンスの有効期限が切れている場合は黄色にな り ます。

いずれかの設定オプシ ョ ンを選択する と、 メ ンテナンス ページが表示されます。詳細については、 165 ページの 「システム - メ ンテナンス」 を参照し て く ださい。

図 10:ライセンス情報の例

[Operation Mode] 現在の FortiGate ユニ ッ ト の動作モー ド。 FortiGate は、 NAT モー ドまたは ト ラ ンスペアレン ト モー ド で動作させる こ とができます。NAT モー ド と ト ラ ンスペアレン ト モー ド と を切り替えるには、[Change] を選択し ます。 148 ページの 「動作モー ドの変更」 を参照し て く ださ い。バーチャル ド メ イ ンが有効になっている場合、 このフ ィ ールド には、 現在のバーチャル ド メ イ ンの動作モー ドが表示されます。 バーチャル ド メ イ ンは、 NAT モー ド または ト ラ ンスペアレン ト モー ドのどち らででも動作し ます。

[Virtual Domain] FortiGate ユニ ッ ト 上のバーチャル ド メ インのステータ ス。 バーチャル ド メ イ ンのステータ スを変更するには、 [Enable] または [Disable] を選択し ます。バーチャル ド メ イ ンのステータ スを変更する と、 セ ッ シ ョ ンが終了するため、 ログイ ン し直す必要があり ます。 詳細については、 61ページの 「バーチャル ド メ イ ンの使用」 を参照し て く だ さ い。

[Current Administrators]

現在 FortiGate ユニ ッ ト にログイン し ている管理者の数。 ログイン している各管理者に関するよ り詳細な情報を表示するには、 [Details] を選択し ます。 追加情報には、 ユーザ名、 接続の種類、 接続元の IPア ド レス、 およびログイ ン し た時刻が含まれます。

[Support Contract] サポー ト 契約番号と終了日。[Not Registered] が表示されている場合は、 [Register] を選択し てユニ ッ ト を登録し て く ださ い。[Renew] が表示されている場合は、 サポー ト 契約を更新する必要があり ます。 お近 く の販売代理店にご相談 く だ さい。

[FortiGuard Subscriptions]

[AntiVirus] FortiGuard Antivirus ラ イセンスのバージ ョ ン、 発行日、 およびサービス ステータ ス。 ラ イセンスの期限が切れている場合は、 [Renew] を選択し てラ イセンスを更新できます。

[AV Definitions] FortiGuard Antivirus 定義の現在イ ンス ト ールされているバージ ョ ン。 これらの定義を手動で更新するには、 [Update] を選択し ます。 詳細については、 53 ページの 「FortiGuard AV定義の手動による更新」 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス [Status] ページ

CLI コンソール

FortiOS には、 CLI から しかアクセスできないコ マン ドがあ り ます。 CLI を使用するには一般に、 サー ドパーテ ィ の提供するプログラムを使用し て telnet またはSSH で接続し ます。

[System Status] ページには、 フル機能の CLI コ ン ソールが含まれています。 コン ソールを使用するには、 その中を ク リ ッ ク し ます。 する と、 現在 GUI で使用し ているアカウン ト で CLI に自動的にログイ ン されます。 CLI コ ン ソールのデフ ォル ト ビ ューをサイズ変更し た り、 移動し た りする こ とはできません。 CLI コン ソールから テキス ト を カ ッ ト & ペース ト する こ とは可能です。

図 11: CLI コンソール

CLI コ ン ソール ウ ィ ン ド ウには、 カス タ マイズ アイ コ ン とデタ ッ チ コ ン ト ロールの 2 つのコ ン ト ロールがあ り ます。

デタ ッ チ コ ン ト ロールは、 CLI コ ン ソールを、 自由にサイズ変更し た り画面上の位置を変更し た り でき る独立し たウ ィ ン ド ウに移動し ます。 デタ ッ チ された CLIコ ン ソールには、 カス タ マイズと ア タ ッ チの 2 つのコ ン ト ロールがあ り ます。 カス タ マイズはすでに説明し た とおり です。 ア タ ッ チは、 デタ ッ チの逆で、 CLI コン ソールを [System Status] ページの元の場所に戻し ます。

カス タ マイズ アイ コ ンを使えば、 テキス ト と背景のフ ォ ン ト や色を変える こ とができ、 コ ン ソールの外観を変更できます。

[Intrusion Protection] FortiGuard 不正侵入防御ラ イセンスのバージ ョ ン、 発行日、およびサービス ステータ ス。 ラ イセンスの期限が切れている場合は、 [Renew] を選択し てラ イセンスを更新できます。

[IPS Definitions] 不正侵入防御システム (IPS) 攻撃定義の現在イ ンス ト ールされているバージ ョ ン。 これらの定義を手動で更新するには、[Update] を 選択 し ま す。 詳細につ い ては、 54 ペー ジの「FortiGuard IPS定義の手動による更新」を参照し て く ださ い。

[Web Filtering] FortiGuard Web フ ィ ルタ リ ング ラ イセンスの種類、 終了日、およびサービス ステータ ス。 ラ イセンスの期限が切れている場合は、 [Renew] を選択し てラ イセンスを更新できます。

[Antispam] FortiGuard Antispam ラ イセンスの種類、 終了日、 およびサービス ステータ ス。 ラ イセンスの期限が切れている場合は、 [Renew] を選択し てラ イセンスを更新できます。

[Log & Analysis] FortiGuard Log & Analysis ラ イセンスの種類、 終了日、 およびサービス ステータ ス。

[Virtual Domain] ユニ ッ ト でサポー ト されているバーチャル ド メ イ ンの数。FortiGate モデル 3000 以上の場合は、 [Purchase More] リ ンク を選択し て Fortinet サポー ト から ラ イセンス キーを購入する こ とによ り、 VDOM の 大数を増やすこ とができます。180 ページの 「ラ イセンス」 を参照し て く だ さい。

カス タ マイズアイ コ ン

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 45

46

[Status] ページ システム - ステータス

図 12: CLI コンソール ウィンドウのカスタマイズ

システム リソース

[System Status] ページに表示されていないシステム リ ソースはすべて、[History] アイ コ ンを選択する こ と でグラ フ と し て表示できます。

図 13: システム リソースの例

[Preview] 変更がCLIコンソール上でどのよ う に反映されるのかを表示します。

[Text] CLI コ ン ソール内のテキス ト の色を変更するには、 このコ ン トロールを選択し た後、 右にあるカ ラー マ ト リ ッ クスから色を選択し ます。

[Background] CLI コ ン ソール内の背景の色を変更するには、 このコ ン ト ロールを選択し た後、 右にあるカ ラー マ ト リ ッ クスから色を選択し ます。

[Use external command input box]

ウ ィ ン ド ウの外に置かれたコマン ド ボ ッ クスからの入力を許可する場合に選択し ます。

[Console buffer length] コ ン ソール バッ フ ァ で メ モ リ内に保持する行数を選択し ます。有効な数値は、 20 ～ 9999 です。

[Font] リ ス ト から フ ォ ン ト を選択し ます。

[Size] フ ォ ン ト のサイズを選択し ます。 デフ ォル ト のサイズは 10 です。

[Reset defaults] デフ ォルト の設定に戻し、変更をすべて破棄する場合に選択します。

[OK] 変更を保存し て、 CLI コ ン ソールに戻る場合に選択し ます。

[Cancel] 変更を破棄し て、 CLI コ ン ソールに戻る場合に選択し ます。

[History]

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス [Status] ページ

インタフェース ステータス

FortiGate ユニ ッ ト のフ ロン ト パネルの図には、 イーサネ ッ ト イ ン タ フ ェースのステータ スが表示されます。 ネ ッ ト ワーク イ ン タ フ ェースが緑色にな っている場合、 そのイ ン タ フ ェースは接続されています。 イン タ フ ェ ースの上にマウス ポイン タ を置 く と、 IP ア ド レス、 ネ ッ ト マスク、 およびイ ン タ フ ェースの現在のステータ スが表示されます。

[Reboot] または [ShutDown] を選択する と、 ウ ィ ン ド ウが開き、 システム イベント の理由を入力する こ とができます。 入力し た理由は、 デ ィ スク イベン ト ログに追加されます。 あらかじめ CLI で、 デ ィ スク ロギングを有効にし てお く 必要があ り ます。 イベン ト ロギングで管理イベン ト を有効にする必要があ り ます。イベン ト ロギングの詳細については、 440 ページの 「イベン ト ログ」 を参照して く だ さい。

図 14: FortiGate-800 のインタフェース ステータスの例 (FortiAnalyzer がない場合 )

[History] アイコン CPU、 メ モ リ、 セ ッ シ ョ ン、 およびネ ッ ト ワークの 新の 1 分間の使用率をグラ フ ィ カルに表示し ます。 このページにはまた、新の 20 時間のウイルスおよび不正侵入検知も表示されます。 詳細については、 52 ページの 「動作履歴の表示」 を参照し て く ださ い。

[CPU Usage] ダイヤル ゲージおよびパーセンテージ と し て表示された現在のCPU ステータ ス。Web ベース マネージ ャには、 コ ア プロセスの CPU 使用率のみが表示されます。 管理プロセス ( た と えば、 Web ベース マネージャへの HTTPS 接続 ) が使う CPU 使用率は除外されます。

[Memory Usage] ダイヤル ゲージおよびパーセンテージ表示された現在のメ モ リ ステータ ス。Web ベース マネージ ャには、 コ ア プロセスのみのメ モ リ使用率が表示されます。 管理プロセス ( た と えば、 Web ベース マネージャへの HTTPS 接続 ) のメ モ リ使用率は除外されます。

[FortiAnalyzer Disk Quota]

円グラ フ とパーセンテージで表示される、 FortiGate ユニ ッ ト が使用し ている FortiAnalyzer デ ィ スク ク ォータの現在のステータ ス。FortiAnalyzer ユニ ッ ト へのロギングを設定し ている場合にのみ表示されます。

[INT / EXT / DMZ / HA / 1 / 2 / 3 / 4]

FortiGate ユニ ッ ト 上のポー ト 。 これらのポー ト の名前と数は、ご使用のユニ ッ ト によ っ て異な り ます。ポー ト 名の下のアイ コ ンは、 色で各ポー ト のステータ スを示し ます。 緑色はポー ト が接続されている こ と を、 灰色は接続されていないこ と を示し ています。ポー ト の設定の詳細を表示するには、 そのポー ト のアイ コ ンの上にマウスを置きます。 イン タ フ ェースのフル ネーム、 IP ア ド レス と ネ ッ ト マスク、 リ ン クのステータ ス、 イン タ フ ェースの速度、 および送受信されたパケ ッ ト の数が表示されます。

[FortiAnalyzer] FortiGate ユニ ッ ト の図と FortiAnalyzer の図の間のリ ン ク上にあるアイ コ ンは、 その接続のステータ スを示し ます。 赤いアイ コ ンの上にある "X" は、 接続がないこ と を示し ています。 緑色のアイ コ ンの上にあるチ ェ ッ ク マークは、 この 2 つのユニ ッ ト の間で通信が行われている こ と を示し ています。FortiGate ユニ ッ ト で FortiAnalyzer のロギングを設定するには、FortiAnalyzer の図を選択し ます。 431 ページの 「ログおよびレポー ト 」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 47

48

[Status] ページ システム - ステータス

警告メッセージ コンソール

警告メ ッ セージは、 FortiGate ユニ ッ ト に対する変更を追跡するのに役立ちます。警告メ ッ セージ コ ン ソールには、 次の種類のメ ッ セージを表示できます。

図 15: 警告メッセージ コンソールの例

各メ ッ セージには、 書き込まれたと きの日付と時刻が表示されます。 すべてのメ ッ セージを表示でき るだけの領域がない場合は、 [Show All] を選択すれば、 リス ト 全体を新しいウ ィ ン ド ウに表示する こ とができます。

警告メ ッ セージを ク リ アするには、 [All] を選択し た後、 新しいウ ィ ン ド ウの一番上にある [Clear Alert Messages] を選択し ます。 それによ り、 現在のすべての警告メ ッ セージが FortiGate ユニ ッ ト から削除されます。

統計情報

[System Status] ページの [Statistics] セク シ ョ ンは、 ネ ッ ト ワーク ト ラ フ ィ ッ クや保護に関し て、 FortiGate ユニ ッ ト で何が起きているのかを一目で理解でき るよ う に設計されています。

ト ラ フ ィ ッ クの量や種類だけでな く 、 システムに対し て行われた攻撃の試みについて、 すばや く 知る こ とができます。 特に気になる領域を調べるには、 [Details] を選択し て、 新の動作の詳細な リ ス ト を表示させます。

[Reboot] FortiGate ユニ ッ ト をシ ャ ッ ト ダウンおよび再起動する場合に選択し ます。 ログに記録するため再起動の理由を入力するよ う求められます。

[Shutdown] FortiGate ユニ ッ ト をシ ャ ッ ト ダウンする場合に選択し ます。 確認を求められます。 ログに記録するためシャ ッ ト ダウンの理由を入力するよ う求められます。

[Reset] FortiGate ユニ ッ ト を工場出荷のデフ ォル ト 設定にリ セ ッ ト する場合に選択し ます。 確認を求められます。

System restart システムが再起動されま し た。 再起動は、 オペレータが操作し たため、 または電源がオフ / オン されたために生じ た可能性があ り ます。

Firmware upgraded by <admin_name>

指定の管理者が、 アク テ ィ ブまたは非アク テ ィ ブ パーテ ィ シ ョ ンのどち らかで、 フ ァームウ ェ アをより新しいバージ ョ ンにア ッ プグレー ド し ま し た。

Firmware downgraded by <admin_name>

指定の管理者が、 アク テ ィ ブまたは非アク テ ィ ブ パーテ ィ シ ョ ンのどち らかで、 フ ァームウ ェ アをより古いバージ ョ ンにダウングレー ド し ま し た。

FortiGate has reached connection limit for <n> seconds

アンチウイルス エンジンが、 表示されている時間、メ モ リ不足に陥り ま し た。 この状況下では、 モデルや設定にも よ り ますが、 コ ンテンツをブロ ッ クするか、 またはスキャ ンな し で通過させる こ と も選択できます。

Found a new FortiAnalyzerLost the connection to FortiAnalyzer

FortiGate ユニ ッ ト が、 FortiAnalyzer ユニ ッ ト を発見し たか、 または FortiAnalyzer ユニ ッ ト への接続を失ったこ と を示し ます。 434 ページの 「FortiAnalyzerユニ ッ ト へのロギング」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス システム情報の変更

[Statistics] セク シ ョ ンに表示される情報は、 FortiAnalyzer ユニ ッ ト に保存し たり、 ローカルに保存し た り、 あるいは外部ソースへのバッ ク ア ッ プが可能なログ フ ァ イルに保存されます。 このデータ を使用し て、 時間の経過に伴う ネ ッ ト ワーク動作や攻撃の傾向を調べ、 それに応じ て対処する こ とができます。

統計リ ス ト に関する詳細な手順については、 54 ページの 「統計情報の表示」 を参照し て く だ さい。

図 16: 統計の例

システム情報の変更

アクセス プロ フ ァ イルでシステム設定への書き込みアクセスが許可されているFortiGate 管理者は、 システム時刻、 ホス ト 名、 および VDOM の動作モー ド を変更できます。

システム時刻の設定

1 [System]、[Status] の順に選択し ます。

2 [System Information] セクシ ョ ンの [System Time] 行にある [Change] を選択し ます。

3 タ イム ゾーンを選択し た後、 日付と時刻を手動で設定するか、 または NTP サーバとの同期を設定し ます。

[Since] カウン ト がリ セ ッ ト された日付と時刻。カウン ト は、 FortiGate ユニ ッ ト の再起動時、 または [Reset] アイコ ンの選択時にリ セ ッ ト されます。

リセット アイコン アーカ イブや攻撃ログのカウン ト を 0 にリ セ ッ ト し ます。

[Sessions] FortiGate ユニ ッ ト が処理し ている通信セ ッ シ ョ ンの数。 詳細情報を表示するには、 [Details] を選択し ます。 54 ページの 「セ ッ シ ョン リ ス ト の表示」 を参照し て く だ さい。

[Content Archive] FortiGate ユニ ッ ト を通過し た HTTP、 電子メ ール、 FTP、 およびIM/P2P ト ラ フ ィ ッ クの概要。 [Details] ページには、 選択された種類の ト ラ フ ィ ッ クの 新 64 項目のリ ス ト が表示され、 アーカ イブされた ト ラ フ ィ ッ クが格納されている FortiAnalyzer ユニ ッ ト へのリ ン クが示されます。 FortiAnalyzer ユニ ッ ト へのロギングが設定されていない場合、 [Details] ページには、 [Log & Report]、[Log Config]、[Log Settings] ページへのリ ン クが表示されます。

[Attack Log] ユニ ッ ト が阻止し たウイルス、 攻撃、 スパム電子メ ール メ ッ セージ、 および URL の概要。 [Details] ページには 新 10 項目のリ ス トが表示され、 時間、 発信元、 宛先などの情報が示されます。

リ セ ッ ト

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 49

50

システム情報の変更 システム - ステータス

図 17: 時刻の設定

FortiGate ユニットのホスト名の変更

FortiGate のホス ト 名は、 [System Status] ページ と FortiGate CLI のプロンプ ト に表示されます。 また、 このホス ト 名は、 SNMP システム名と し ても使用されます。 SNMP については、 133 ページの 「SNMP」 を参照し て く ださい。

デフ ォル ト のホス ト 名は、 FortiGate ユニ ッ ト のシ リ アル番号です。 た と えば、FGT8002805030003 は、 FortiGate-800 ユニ ッ ト にな り ます。

アクセス プロ フ ァ イルでシステム設定への書き込みアクセスが許可されている管理者は、 FortiGate ユニ ッ ト のホス ト 名を変更できます。

FortiGate ユニットのホスト名を変更するには

1 [System]、[Status] の順に選択し ます。

2 [System Information] セクシ ョ ンの [Host Name] フ ィ ールド で、 [Change] を選択します。

3 [New Name] フ ィ ール ド に、 新しいホス ト 名を入力し ます。

[System Time] 現在の FortiGate システムの日付と時刻。

[Refresh] 現在の FortiGate システムの日付と時刻の表示を更新し ます。

[Time Zone] 現在の FortiGate システムのタ イム ゾーンを選択し ます。

[Automatically adjust clock for daylight saving changes]

タ イム ゾーンで夏時間と標準時間が切り替わる際に FortiGate のシステム ク ロ ッ ク を自動的に調整し たい場合に選択し ます。

[Set Time] FortiGate システムの日付と時刻を、 [Hour]、 [Minute]、 [Second]、[Year]、 [Month]、 および [Day] フ ィ ールド に入力し た値に設定する場合に選択し ます。

[Synchronize with NTP Server]

NTP サーバを使用し てシステムの日付と時刻を自動的に設定する場合に選択し ます。 サーバと同期間隔を指定する必要があ り ます。

[Server] NTP サーバの IP ア ド レスまたはド メ イ ン名を入力し ます。 使用できる NTP サーバを検索するには、 http://www.ntp.org を参照し て くだ さい。

[Sync Interval] FortiGate ユニ ッ ト が NTP サーバと時刻の同期を と る頻度を指定します。 た と えば、 1440 分に設定する と、 FortiGate ユニ ッ ト は 1 日に 1 回時刻の同期を と り ます。

注記 : FortiGate ユニ ッ ト が HA ク ラス タの一部である場合は、 そのユニ ッ ト を ク ラス タ内の他のユニ ッ ト から区別できるよ う に一意のホス ト 名を使用し な く てはな り ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス FortiGate ファームウェアの変更

4 [OK] を選択し ます。

新しいホス ト 名が [Host Name] フ ィ ール ド と CLI プロンプ ト に表示され、 SNMPシステム名に追加されます。

FortiGate ファームウェアの変更

アクセス プロ フ ァ イルで メ ンテナンス読み取り および書き込みアクセスが許可されている FortiGate 管理者は、 FortiGate フ ァームウ ェ アを変更できます。

フ ァームウ ェ ア変更では、 新しいバージ ョ ンにア ッ プグレー ド するか、 または以前のバージ ョ ンへの復帰を行います。 実行する フ ァームウ ェ ア変更に応じ て、 次のいずれかの手順に従います。

• 新しいフ ァームウ ェ ア バージ ョ ンへのア ッ プグレー ド

• 以前のフ ァームウ ェ ア バージ ョ ンへの復帰

新しいファームウェア バージョンへのアップグレード

FortiGate ユニ ッ ト を新しいフ ァームウ ェ ア バージ ョ ンにア ッ プグレー ド するには、 次の手順を使用し ます。

Web ベース マネージャを使用してファームウェアをアップグレードするには

1 フ ァームウ ェ ア イ メ ージ フ ァ イルを管理コ ンピ ュータにコ ピーし ます。

2 スーパー管理者、 またはシステム設定への読み取り および書き込み特権を持つ管理者アカウン ト と し て Web ベース マネージ ャにログイ ン し ます。

3 [System]、[Status] の順に選択し ます。

4 [System Information] セクシ ョ ンで、 [Firmware Version] 行にある [Update] を選択し ます。

5 フ ァームウ ェ ア イ メ ージ フ ァ イルのパス と フ ァ イル名を入力するか、 または [Browse] を選択し てフ ァ イルを指定し ます。

6 [OK] を選択し ます。

FortiGate ユニ ッ ト は、 フ ァームウ ェ ア イ メ ージ フ ァ イルをア ッ プロー ド し、 新しいフ ァームウ ェ ア バージ ョ ンにア ッ プグレー ド し たあと、 すべてのセ ッ シ ョンを閉じ て再起動を行い、 FortiGate ログイ ンを表示し ます。 この処理には数分かかり ます。

7 Web ベース マネージャにログイ ン し ます。

8 [System]、[Status] の順に選択し、 [Firmware Version] を確認し て、 フ ァームウ ェ ア ア ッ プグレー ド が正常にイ ンス ト ールされている こ と を確認し ます。

9 アンチウイルスおよび攻撃定義を更新し ます。 アンチウイルスおよび攻撃定義の更新については、 169 ページの 「FortiGuard Center」 を参照し て く だ さい。

注記 : フ ァームウ ェ アを インス ト ールする と、 現在のアンチウイルスおよび攻撃定義が、インス ト ールする フ ァームウェ ア リ リースに含まれている定義に置き換えられます。 新しいフ ァームウェ アを インス ト ールし た後、 175 ページの 「アンチウイルスおよび攻撃の定義を更新するには」 の手順を使用し て、 アンチウイルスおよび攻撃定義を忘れずに 新のものにし ておいて く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 51

52

動作履歴の表示 システム - ステータス

以前のファームウェア バージョンへの復帰

FortiGate ユニ ッ ト を以前のフ ァームウ ェ ア バージ ョ ンに戻すには、次の手順を使用し ます。 この手順ではまた、 FortiGate ユニ ッ ト は工場出荷のデフ ォル ト 設定に戻され、 IPS カス タム シグネチャ、 Web コ ンテンツ リ ス ト 、 電子メ ール フ ィ ルタ リ ング リ ス ト 、 および差し替え メ ッ セージへの変更も削除されます。 これらの情報を保持するには、 FortiGate ユニ ッ ト の設定をバッ ク ア ッ プ し ます。 詳細については、 165 ページの 「バッ ク ア ッ プおよび復元」 を参照し て く だ さい。

以前の FortiOS ・ バージ ョ ンに ( た と えば、 FortiOS v3.0 から FortiOS v2.8 に ) 戻すと、 バッ ク ア ッ プの設定フ ァ イルから以前の設定を復元できな く なる可能性があ り ます。

Web ベース マネージャを使用して以前のファームウェア バージョンに戻すには

1 フ ァームウ ェ ア イ メ ージ フ ァ イルを管理コ ンピ ュータにコ ピーし ます。

2 スーパー管理者、 またはシステム設定への読み取り および書き込み特権を持つ管理者アカウン ト と し て Web ベース マネージャにログイ ン し ます。

3 [System]、[Status] の順に選択し ます。

4 [System Information] セクシ ョ ンで、 [Firmware Version] 行にある [Update] を選択し ます。

5 フ ァームウ ェ ア イ メ ージ フ ァ イルのパス と フ ァ イル名を入力するか、 または [Browse] を選択し てフ ァ イルを指定し ます。

6 [OK] を選択し ます。

FortiGate ユニ ッ ト は、 フ ァームウ ェ ア イ メ ージ フ ァ イルをア ッ プロー ド し、 古いフ ァームウ ェ ア バージ ョ ンに戻し、 設定を リ セ ッ ト し たあ と、 再起動を行い、FortiGate ログイ ンを表示し ます。 この処理には数分かかり ます。

7 Web ベース マネージャにログイン し ます。

8 [System]、[Status] の順に選択し、 [Firmware Version] を確認し て、 フ ァームウ ェ アが正常にイ ンス ト ールされている こ と を確認し ます。

9 設定を復元し ます。

設定の復元については、 165 ページの 「バッ クア ッ プおよび復元」 を参照し て くだ さい。

10 アンチウイルスおよび攻撃定義を更新し ます。

アンチウイルスおよび攻撃定義については、 175 ページの 「アンチウイルスおよび攻撃の定義を更新するには」 を参照し て く ださい。

動作履歴の表示

[System Resource History] ページには、 システム リ ソースや保護の動作を表す 6つのグラ フが表示されます。

1 [System]、[Status] の順に選択し ます。

注記 : フ ァームウェ アを イ ンス ト ールする と、 現在のアンチウイルスおよび攻撃定義が、インス ト ールする フ ァームウ ェ ア リ リースに含まれている定義に置き換えられて し まいます。 新しいフ ァームウ ェ アを インス ト ールし た後、 175 ページの 「アンチウイルスおよび攻撃の定義を更新するには」 の手順を使用し て、 アンチウイルスおよび攻撃定義を確実に 新版にし て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス FortiGuard 定義の手動による更新

2 [System Resources] セク シ ョ ンの右上にある [History] を選択し ます。

図 18: システム リソース履歴の例

FortiGuard 定義の手動による更新

FortiGuard - AV および FortiGuard - の不正侵入防御の両定義は、 [System Status] ページの [License Information] セクシ ョ ンからいつで も更新できます。

FortiGuard AV 定義の手動による更新

1 新の AV 定義更新フ ァ イルを Fortinet からダウンロー ド し、 それを Web ベース マネージャへの接続に使用する コ ンピ ュータにコ ピーし ます。

2 Web ベース マネージャ を起動し、 [System]、[Status] の順に選択し ます。

3 [License Information] セク シ ョ ンの、 [FortiGuard Subscriptions] の [AV Definitions] フ ィ ールド で、 [Update] を選択し ます。

[Anti-Virus Definitions Update] ダイアログ ボ ッ クスが表示されます。

4 [Update File] フ ィ ール ド で、 AV 定義更新フ ァ イルのパス と フ ァ イル名を入力するか、 または [Browse] を選択し て AV 定義更新フ ァ イルを指定し ます。

5 [OK] を選択し て、 AV 定義更新フ ァ イルを FortiGate ユニ ッ ト にコ ピーし ます。

FortiGate ユニ ッ ト は AV 定義を更新し ます。 この処理には 1 分程度かかり ます。

[Time Interval] グラ フ を表示する時間間隔を選択し ます。

[CPU Usage History] 指定された時間間隔毎の CPU 使用率。

[Memory Usage History] 指定された時間間隔毎のメ モ リ使用率。

[Session History] 指定された時間間隔毎のセ ッ シ ョ ン数。

[Network Utilization History] 指定された時間間隔毎のネ ッ ト ワーク使用率。

[Virus History] 指定された時間間隔毎に検出されたウイルスの数。

[Intrusion History] 指定された時間間隔毎に検出された侵入の試みの数。

注記 : AV および不正侵入防御 ( 攻撃 ) 定義が自動的に更新されるよ う に FortiGate ユニ ット を設定する方法については、 169 ページの 「FortiGuard Center」 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 53

54

統計情報の表示 システム - ステータス

6 [System]、[Status] の順に選択し て、 FortiGuard の [AV Definitions] のバージ ョ ン情報が更新されている こ と を確認し ます。

FortiGuard IPS 定義の手動による更新

1 新の攻撃定義更新フ ァ イルを Fortinet からダウンロー ド し、それを Web ベース マネージャへの接続に使用する コ ンピ ュータにコ ピーし ます。

2 Web ベース マネージャ を起動し、 [System]、[Status] の順に選択し ます。

3 [License Information] セクシ ョ ンの、 [FortiGuard Subscriptions] の [IPS Definitions] フ ィ ールド で、 [Update] を選択し ます。

[Intrusion Prevention System Definitions Update] ダイアログ ボッ クスが表示されます。

4 [Update File] フ ィ ールド で、 攻撃定義更新フ ァ イルのパス と フ ァ イル名を入力するか、 または [Browse] を選択し て攻撃定義更新フ ァ イルを指定し ます。

5 [OK] を選択し て、 攻撃定義更新フ ァ イルを FortiGate ユニ ッ ト にコ ピーし ます。

FortiGate ユニ ッ ト は攻撃定義を更新し ます。 この処理には 1 分程度かかり ます。

6 [System]、[Status] の順に選択し て、 [IPS Definitions] のバージ ョ ン情報が更新されている こ と を確認し ます。

統計情報の表示

[System Status] の [Statistics] セク シ ョ ンでは、 セ ッ シ ョ ン、 コ ンテンツ アーカイブ、 およびネ ッ ト ワーク保護の動作に関する情報が提供されます。

セッション リストの表示

セ ッ シ ョ ン リ ス ト には、 FortiGate ユニ ッ ト 上の現在の通信セ ッ シ ョ ンに関する情報が表示されます。

セッション リストを表示するには

1 [System]、[Status] の順に選択し ます。

2 [Statistics] セクシ ョ ンで、 [Sessions] 行にある [Details] を選択し ます。

図 19: セッション リスト

[Virtual Domain] 特定のバーチャル ド メ イ ンによ って処理されているセ ッ シ ョ ンのリ スト を表示するには、 そのバーチャル ド メ イ ンを選択し ます。 すべてのバーチャル ド メ イ ンによ って処理されているセ ッ シ ョ ンを表示するには、 [All] を選択し ます。このオプシ ョ ンは、 複数のバーチャル ド メ イ ンが有効になっている場合にのみ使用できます。

[Refresh] セ ッ シ ョ ン リ ス ト を更新し ます。

前ページ セ ッ シ ョ ン リ ス ト の前のページを表示し ます。

次ページ セ ッ シ ョ ン リ ス ト の次のページを表示し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス 統計情報の表示

コンテンツ アーカイブ情報の表示

[System Status] ページの [Statistics] セクシ ョ ンから、 FortiGate ユニ ッ ト を通過する HTTP、 電子メ ール、 FTP、 および IM ト ラ フ ィ ッ クに関する統計を読み取るこ とができます。 各 ト ラ フ ィ ッ クの種類の横にある [Details] リ ン ク を選択するこ とによ り、 詳細情報を表示できます。

[Statistics] セク シ ョ ンのヘ ッ ダーにある [Reset] を選択する と、 コ ンテンツ アーカ イブおよび攻撃ログ情報を ク リ ア し、 カウン ト を 0 に リ セ ッ ト する こ とができます。

アーカイブされた HTTP コンテンツ情報の表示

1 [System]、[Status] の順に選択し ます。

2 [Content Archive] セク シ ョ ンで、 [HTTP] の [Details] を選択し ます。

[Line] セ ッ シ ョ ン リ ス ト の表示を開始するセ ッ シ ョ ンの行番号を入力し ます。た と えば、 5 つのセ ッ シ ョ ンがある場合に 「3」 を入力する と、 3 番、 4番、 および 5 番のセ ッ シ ョ ンのみが表示されます。"/" の次の数値は、 FortiGate ユニ ッ ト 上のアク テ ィ ブ セ ッ シ ョ ンの数です。

[Clear All Filters] 設定されている表示フ ィ ルタ をすべて リ セ ッ ト する場合に選択し ます。

[Filter Icon] [#] と [Expiry] を除 く すべての列の項目名の左側にあるアイ コン。 選択する と、 [Edit Filter] ダイアログが表示され、 列ご とに表示フ ィ ルタ を設定できるよ う にな り ます。

[Protocol] 接続のサービス プロ ト コル ( た と えば、 udp、 tcp、 icmp)。

[Source Address] 接続の発信元 IP ア ド レス。

[Source Port] 接続の発信元ポー ト 。

[Destination Address]

接続の宛先 IP ア ド レス。

[Destination Port] 接続の宛先ポー ト 。

[Policy ID] このセ ッ シ ョ ンを許可し ている フ ァ イアウォール ポ リ シの番号か、 またはセ ッ シ ョ ンに FortiGate イン タ フ ェースが 1 つしか関係し ていない場合 ( た と えば、 管理セ ッ シ ョ ン ) は空白。

[Expiry (sec)] 接続が期限切れになるまでの時間 ( 秒単位 )。

削除アイコン アク テ ィ ブな通信セ ッ シ ョ ンを停止し ます。 アクセス プロ フ ァ イルで、システム設定への読み取り および書き込みアクセスが許可されている必要があり ます。

[Date and Time] URL をアクセス し た時刻。

[From] URL をアクセス し た IP ア ド レス。

[URL] アクセス し た URL。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 55

56

統計情報の表示 システム - ステータス

アーカイブされた電子メール コンテンツ情報の表示

1 [System]、[Status] の順に選択し ます。

2 [Content Archive] セクシ ョ ンで、 [Email] の [Details] を選択し ます。

アーカイブされた FTP コンテンツ情報の表示

1 [System]、[Status] の順に選択し ます。

2 [Content Archive] セクシ ョ ンで、 [FTP] の [Details] を選択し ます。

アーカイブされた IM コンテンツ情報の表示

1 [System]、[Status] の順に選択し ます。

2 [Content Archive] セクシ ョ ンで、 [IM] の [Details] を選択し ます。

[Date and Time] 電子メ ールが FortiGate ユニ ッ ト を通過し た時刻。

[From] 送信者の電子メ ール ア ド レス。

[To] 受信者の電子メ ール ア ド レス。

[Subject] 電子メ ールの件名。

[Date and Time] アクセス時刻。

[Destination] アクセス された FTP サーバの IP ア ド レス。

[User] FTP サーバにログイン し たユーザ ID。

[Downloads] ダウンロー ド されたフ ァ イル名。

[Uploads] ア ッ プロー ド されたフ ァ イル名。

[Date / Time] アクセス時刻。

[Protocol] この IM セ ッ シ ョ ンで使用されているプロ ト コル。

[Kind] この ト ラ ンザク シ ョ ンの IM ト ラ フ ィ ッ クの種類。

[Local] この ト ラ ンザク シ ョ ンのローカル ア ド レス。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス 統計情報の表示

攻撃ログの表示

[System Status] ページの [Statistics] セクシ ョ ンから、 FortiGate ユニ ッ ト が阻止したネ ッ ト ワーク攻撃に関する統計を表示できます。 各攻撃の種類の横にある [Details] リ ン ク を選択する こ とによ り、 詳細情報を表示できます。

[Statistics] セクシ ョ ンのヘッダーにある [Reset] を選択する と、 コンテンツ アーカイブおよび攻撃ログ情報をク リアし、カウン ト を 0にリセッ ト するこ とができます。

捕捉したウイルスの表示

1 [System]、[Status] の順に選択し ます。

2 [Attack Log] セクシ ョ ンで、 [AV] の [Details] を選択し ます。

ブロックされた攻撃の表示

1 [System]、[Status] の順に選択し ます。

2 [Attack Log] セクシ ョ ンで、 [IPS] の [Details] を選択し ます。

検出されたスパム電子メールの表示

1 [System]、[Status] の順に選択し ます。

2 [Attack Log] セクシ ョ ンで、 [Spam] の [Details] を選択し ます。

ブロックされた URL の表示

1 [System]、[Status] の順に選択し ます。

2 [Attack Log] セクシ ョ ンで、 [Web] の [Details] を選択し ます。

[Remote] この ト ラ ンザク シ ョ ンのリ モー ト ア ド レス。

[Direction] このフ ァ イルが送信されたか、 または受信されたかを示し ます。

[Date and Time] ウイルスが検出された時刻。

[From] 送信者の電子メ ール ア ド レスまたは IP ア ド レス。

[To] 対象と された受信者の電子メ ール ア ド レスまたは IP ア ド レス。

[Service] サービスの種類 (POP、 HTTP など )。

[Virus] 検出されたウイルスの名前。

[Date and Time] 攻撃が検出された時刻。

[From] 攻撃の発信元。

[To] 攻撃の対象と されたホス ト 。

[Service] サービスの種類。

[Attack] 検出され、 防御された攻撃の種類。

[Date and Time] スパムが検出された時刻。

[From->To IP] 送信者および対象と された受信者の IP ア ド レス。

[From->To Email Accounts] 送信者および対象と された受信者の電子メ ール ア ド レス。

[Service] サービスの種類 (SMTP、 POP、 IMAP など )。

[SPAM Type] 検出されたスパムの種類。

[Date and Time] URL へのアクセスの試みが検出された時刻。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 57

58

トポロジ ビューア システム - ステータス

トポロジ ビューア

ト ポロジ ビ ューアを使用する と、 FortiGate ユニ ッ ト に接続されているネ ッ トワーク を、 図やド キュ メ ン ト に表すこ とができます。 この機能は、 FortiGate-50および FortiGate-60 を除 く すべての FortiGate ユニ ッ ト で使用できます。

トポロジ ビューアのウィンドウ

[Topology] ウ ィ ン ド ウは、 FortiGate の実装状況を示すネ ッ ト ワーク ト ポロジ図を描画でき る大きな " キャ ンバス " で構成されています。

図 20:トポロジ ビューア

メイン ビューポートとビューポート コントロール

メ イ ン ビ ューポー ト は、 描画領域全体の中の一部です。 ビ ューポー ト コ ン トロール内の濃い色の長方形に対応し ています。 ビ ューポー ト コ ン ト ロール内のメ イ ン ビ ューポー ト の長方形を ド ラ ッ グ し て、 メ イン ビ ューポー ト に描画領域のどの部分を表示するかを決定する こ とができます。 ビ ューポー ト コ ン ト ロール内の "+" と "-" のボタ ンは、 [Zoom in] および [Zoom out] 編集コ ン ト ロールと同じ機能を持っています。

[From] URL のアクセスを試みたホス ト 。

[URL Blocked] ブロ ッ ク された URL。

サブネ ッ ト オブジ ェ ク トテキス ト オブジ ェ ク ト表示 / 編集コ ン ト ロール

メ イ ン ビ ューポー ト ビ ューポー トコ ン ト ロール

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ステータス トポロジ ビューア

FortiGate ユニ ッ ト は、 ト ポロジ図の中の不変な部分です。 移動する こ とはできますが、 削除する こ とはできません。

表示 / 編集コントロール

[Topology] ページの左上にあるツールバーには、 ト ポロジ図を表示および編集するためのコ ン ト ロールが表示されます。

表 3: トポロジ ビューアの表示 / 編集コントロール

表示されている図を更新し ます。

ズームイ ン し ます。 メ イ ン ビ ューポー ト 内の描画領域のよ り狭い範囲を表示し て、 オブジ ェ ク ト を拡大表示する場合に選択し ます。

ズームアウ ト し ます。 メ イン ビ ューポー ト 内の描画領域のよ り広い範囲を表示し て、 オブジ ェ ク ト を縮小表示する場合に選択し ます。

編集し ます。 このボタ ンは、図の編集を開始する と きに選択し ます。 ツールバーが展開され、 以下に説明する編集コ ン ト ロールが表示されます。

図に加えられた変更をすべて保存し ます。 Web ベース マネージ ャ内の他のページに切り替える際には、 変更を保存する必要があり ます。

図にサブネ ッ ト オブジ ェ ク ト を追加し ます。 サブネ ッ ト オブジ ェク ト は、 選択し たフ ァ イアウォール ア ド レスに基づいて作成されます。 オブジ ェ ク ト には、 そのフ ァ イアウォール ア ド レスの名前が付けられ、 そのア ド レスにひも付けられたイ ン タ フ ェースに線で接続されます。このコ ン ト ロールを使用し て新しいフ ァ イアウォール ア ド レスを作成する こ と もできますが、 そのア ド レスを特定のイ ン タ フ ェースにひも付ける必要があり ます。 フ ァ イアウォール ア ド レスの詳細については、 247 ページの 「フ ァ イアウォール - ア ド レス」 を参照し て く だ さい。

テキス ト を挿入し ます。 このコ ン ト ロールを選択し た後、 テキス ト オブジ ェ ク ト を配置し たい場所を ク リ ッ ク し ます。 テキス ト を入力し、 テキス ト ボ ッ クスの外側を ク リ ッ ク し ます。

削除し ます。 削除するオブジ ェ ク ト を選択し た後、 このコ ン ト ロールを選択するか、 または Del キーを押し ます。

カス タ マイズし ます。 描画で使用されている線の色や太さ を変更する場合に選択し ます。 See 60 ページの「 ト ポロジ図のカス タ マイズ」.

ド ラ ッ グし ます。 必要に応じ て、 このコ ン ト ロールを選択し た後、図内のオブジ ェ ク ト を ド ラ ッ グし て配置し ます。

スク ロールし ます。 このコ ン ト ロールを選択し た後、 描画の背景をド ラ ッ グし て、 描画領域内で メ イ ン ビ ューポー ト を移動し ます。この操作は、 ビ ューポー ト コ ン ト ロール内で メ イ ン ビ ューポー トの長方形を移動するのと同じ効果があり ます。

選択し ます。 このコ ン ト ロールを選択し た後、 マウス ポイ ン タ をド ラ ッ グし て、 選択範囲を決める長方形を作成し ます。 マウス ボタ ンを離すと、 この長方形内のオブジ ェ ク ト が選択されます。

終了し ます。 このボタ ンは、図の編集を終了する と きに選択し ます。 ツールバーが縮小し て、 [Refresh] および [Zoom] コ ン ト ロールだけが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 59

60

システム - ステータス

トポロジ図のカスタマイズ

[Topology Customization] ウ ィ ン ド ウを開 く には、 [Customize] ボタ ンを選択し ます。 必要に応じ て設定を変更し、 終了し たら [OK] を選択し ます。

図 21: [Topology Customization] ウィンドウ

[Preview] 選択し た外観オプシ ョ ンの実際の効果を示す、 シ ミ ュ レー ト された ト ポロジ図。

[Canvas Size] 描画サイズ ( ピ クセル数 )。

[Resize to Image] [Background] と し てイ メ ージを選択し た場合、 そのイ メ ージ内に収まるよ う に図のサイズを変更し ます。

[Background] 次のう ちのいずれかです。[Solid] - [Background Color] で選択された無地。[U.S. Map] - 米国地図。[World Map] - 世界地図。[Upload My Image] - [Image path] から イ メ ージをア ッ プロー ド します。

[Background Color] 図の背景色を選択し ます。

[Image path] [Background] と し て [Upload My Image] を選択し た場合は、 イ メ ージのパスを入力するか、 または [Browse] ボタ ンを使用し てパスを指定し ます。

[Exterior Color] 図の外側の境界領域の色を選択し ます。

[Line Color] サブネ ッ ト オブジ ェ ク ト と イ ン タ フ ェースの間の接続線の色を選択し ます。

[Line Width] 接続線の太さ を選択し ます。

[Reset to Default] すべての設定をデフ ォル ト 値にリ セ ッ ト し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

バーチャル ドメインの使用 バーチャル ドメイン

F0

バーチャル ドメインの使用この項では、 バーチャル ド メ イ ンを使用し て FortiGate ユニ ッ ト を複数の仮想ユニ ッ ト と し て動作させ、 複数のネ ッ ト ワークに個別のフ ァ イアウォールおよびルーテ ィ ング サービスを提供する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• バーチャル ド メ イ ン

• VDOM の有効化

• VDOM とグローバル設定の設定

バーチャル ドメイン

バーチャル ド メ イ ン (VDOM) を使用する と、 FortiGate ユニ ッ ト を複数の独立したユニ ッ ト と し て機能させる こ とができます。 これによ り、 FortiGate ユニ ッ ト 1台で、 組織内の複数の部門や個別の組織それぞれにサービスを提供し た り、 サービス プロバイダのマネージ ド セキュ リ テ ィ サービスの基盤に し た り するなど、優れた柔軟性を発揮し ます。

VDOM は個別のセキュ リ テ ィ ド メ イ ンであ り、 これによ って個別のゾーン、ユーザ認証、 フ ァ イアウォール ポ リ シー、 ルーテ ィ ング、 および VPN 設定が可能にな り ます。 また、 VDOM を使用する と、 一度に多数のルー ト またはフ ァ イアウォール ポリ シーを管理する必要がな く なるため、 複雑な設定の管理を簡略化する こ と も できます。 62 ページの 「VDOM の設定」 を参照し て く だ さい。

VDOM を設定し て使用するには、 バーチャル ド メ イ ン設定を有効にする必要があ り ます。 64 ページの 「VDOM の有効化」 を参照し て く だ さい。

VDOM を作成し て設定する場合は、 その VDOM にイ ン タ フ ェースまたは VLANサブ イ ン タ フ ェースを割り当てる必要があ り ます。 必要に応じ て、 その VDOMにのみログイ ンでき る管理者アカウン ト を割り当てる こ とができます。 VDOM が特定の組織にサービスを提供するよ う に作成されている場合、 その組織自身で設定を自主管理できるよ う にな り ます。 動作モー ド (NAT/ ルー ト または ト ラ ンスペアレン ト ) を、 VDOM ご とに個別に選択できます。

VDOM に入ったパケ ッ ト は、 その VDOM に閉じ込められます。 VDOM 内に、VDOM 内の VLAN サブ イ ン タ フ ェース間またはゾーン間を結ぶためのフ ァ イアウォール ポリ シーを作成できます。 パケ ッ ト がバーチャル ド メ イ ンの境界を内部で横断する こ とはあ り ません。 パケ ッ ト が VDOM 間を移動するには、 物理イン タ フ ェース上のフ ァ イアウォールを通過する必要があ り ます。 次に、 パケ ッ トは別のイ ン タ フ ェース上の別の VDOM に到着し ますが、 別のフ ァ イアウォールを通過し てからでないと そこに入る こ とはできません。 両方の VDOM と も同じFortiGate ユニ ッ ト 上に存在し ます。 1 つの例外は、 CLI コ マン ド を使用し てVDOM 間ルーテ ィ ングを設定する場合です。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 61

62

バーチャル ドメイン バーチャル ドメインの使用

FortiGate の残りの機能はグローバルです。 すべての VDOM に適用されます。 つま り、 不正侵入防御設定、 アンチウイルス設定、 Web フ ィ ルタ設定、 保護プロフ ァ イル設定などはすべて、 1 つ しか存在し ません。 また、 VDOM 共有フ ァームウ ェ アのバージ ョ ン、 アンチウイルスおよび攻撃データベースも同様です。 共有される設定の完全な リ ス ト については、 63 ページの 「グローバル設定」 を参照し て く だ さい。

FortiGate ユニ ッ ト はデフ ォル ト で、 NAT/ ルー ト モー ド と ト ラ ンスペアレン ト モー ド を任意に組み合わせた 大 10 個の VDOM をサポー ト し ます。 モデル番号が 3000 以上の FortiGate モデルでは、 ラ イセンス キーを購入し て VDOM の 大数を 25、 50、 100、 または 250 に増やすこ とができます。 詳細については、 180ページの 「ラ イセンス」 を参照し て く ださい。

バーチャル ド メ イン設定が有効になっ てお り、 デフ ォル ト のスーパー管理者とし てログイ ン し た場合は、 [System]、[Status] の順に選択し、 [License Information] セクシ ョ ンにある [Virtual Domain] を参照する こ とによ り、 FortiGateユニ ッ ト 上でサポー ト されているバーチャル ド メ イ ンの 大数を確認できます。

デフ ォル ト では、 各 FortiGate ユニ ッ ト に、 ルー ト とい う名前の VDOM が存在します。 この VDOM には、 FortiGate の物理イ ン タ フ ェース、 VLAN サブ イ ン タフ ェース、 ゾーン、 フ ァ イアウォール ポ リ シー、 ルーテ ィ ング設定、 およびVPN 設定のすべてが含まれています。

SNMP、 ロギング、 アラー ト メ ール、 FDN ベースの更新、 NTP ベースの時刻設定などの管理システムは、 管理 VDOM 内のア ド レス とルーテ ィ ングを使用し てネ ッ ト ワーク と通信し ます。 これらの管理システムは、 管理バーチャル ド メ イン と通信するネ ッ ト ワーク リ ソースにのみ接続できます。 管理 VDOM は、 デフ ォル ト でルー ト に設定されていますが、 変更する こ と もできます。 詳細については、 67 ページの 「管理 VDOM の変更」 を参照し て く だ さい。

VDOM を追加したら、 VLAN サブ イン タ フ ェ ース、 ゾーン、 フ ァ イアウォール ポリ シー、 ルーテ ィ ング設定、 および VPN 設定を追加するなど、 その VDOM の設定が行えます。 また、 ルー ト VDOM から他の VDOM に物理イン タ フ ェースを移動し た り、 ある VDOM から別の VDOM に VLAN サブ イ ン タ フ ェースを移動し たり する こ と も できます。 VLAN の詳細については、 98 ページの 「VLAN の概要」を参照し て く だ さい。

VDOM の詳細については、 『FortiGate VLAN および VDOM ガイ ド 』 を参照し て くだ さい。

VDOM の設定

以下の設定は、 1 つのバーチャル ド メ イ ンに限定され、 複数のバーチャル ド メイ ンで共用する こ とはあ り ません。 VDOM の標準管理者には、 これらの設定のみが表示されます。 また、 デフ ォル ト のスーパー管理者も これらの設定にアクセスできますが、 初に設定対象の VDOM を選択する必要があ り ます。

• システム設定

• ゾーン

• DHCP サービス

• 動作モー ド (NAT/ ルー ト または ト ラ ンスペアレン ト )

• 管理 IP ( ト ラ ンスペアレン ト モー ド )

• ルータ設定

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

バーチャル ドメインの使用 バーチャル ドメイン

• フ ァ イアウォール設定

• ポ リ シー

• ア ド レス

• サービス グループ と カス タム サービス

• スケジュール

• 仮想 IP

• IP プール

• VPN 設定

• IPSec

• PPTP

• SSL

• ユーザ設定

• ユーザ

• ユーザ グループ

• RADIUS および LDAP サーバ

• Microsoft Windows Active Directory サーバ

• P2P 統計 ( 表示 / リ セ ッ ト )

• ロギング設定、 ログ アクセス、 およびログ レポー ト

グローバル設定

次の設定は、 すべてのバーチャル ド メ イ ンに影響し ます。 バーチャル ド メ イ ンが有効になる と、 デフ ォル ト のスーパー管理者だけがグローバル設定にアクセスできます。

• システム設定

• 物理イ ン タ フ ェース と VLAN サブ イン タ フ ェ ース ( 各物理イ ン タ フ ェースまたは VLAN サブ イ ン タ フ ェースは、 1 つのVDOM にのみ属し ます。 各 VDOM は、 独自のイ ン タ フ ェースのみを使用または設定できます。 )

• DNS 設定

• ホス ト 名、 システム時刻、 フ ァームウ ェ ア バージ ョ ン ([System Status] ページ上 )

• アイ ドル タ イムアウ ト と認証タ イムアウ ト

• Web ベース マネージャの言語

• LCD パネルの PIN ( 該当する場合 )

• 停止ゲー ト ウ ェ イ検知

• HA 構成

• SNMP 設定

• 差し替え メ ッ セージ

• 管理者( 各管理者は、 1 つの VDOM にのみ属し ます。 各 VDOM は、 独自の管理者のみを設定できます。 )

• アクセス プロ フ ァ イル

• FortiManager 設定

• 設定のバッ クア ッ プ と復元

• FDN 更新設定

• バグ レポー ト

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 63

64

VDOM の有効化 バーチャル ドメインの使用

• フ ァ イアウォール

• 定義済みサービス

• 保護プロ フ ァ イル

• VPN 証明書

• アンチウイルス設定

• 不正侵入防御設定

• Web フ ィ ルタ設定

• アンチスパム設定

• IM 設定

• 統計情報

• ユーザ リ ス ト とユーザ ポ リ シー

VDOM の有効化

デフ ォル ト の管理者アカウン ト を使用し て、 FortiGate ユニ ッ ト 上で複数のVDOM での動作を有効にする こ とができます。

バーチャル ドメインを有効にするには

1 Web ベース マネージャに管理者と し てログイン し ます。

2 [System]、[Status] の順に選択し ます。

3 [System Information] で、 [Virtual Domain] の横にある [Enable] を選択し ます。

FortiGate ユニ ッ ト から ログオフ されます。 こ こ で、 管理者と し て再度ログイ ンできます。

バーチャル ド メ インが有効になる と、 Web ベース マネージャ と CLI が次のよ うに変更されます。

• グローバル設定と VDOM ご との設定が分離されます。

• [System] の下に、 新しい VDOM エン ト リが表示されます。

• グローバル オプシ ョ ンを表示または設定できるのは、 管理者アカウン ト だけです。

• 管理者アカウン ト は、 すべての VDOM 設定を設定できます。

• 管理者アカウン ト は、 ルー ト VDOM 内の任意のイ ン タ フ ェース、 または標準管理者アカウン ト が割り当てられている VDOM に属する任意のイ ン タ フ ェースを使用し て接続できます。

• 標準管理者アカウン ト は、 自らが割り当てられている VDOM のみを設定でき、またその VDOM に属する イン タ フ ェ ースを使用し てのみ FortiGate ユニ ッ トにアクセスできます。

バーチャル ド メ インが有効にな っている場合は、 画面の左下を参照する こ とによ って現在のバーチャル ド メ インを確認できます。 そこにある [Current VDOM:] の後にバーチャル ド メ インの名前が表示されます。

VDOM とグローバル設定の設定

バーチャル ド メ インが有効になる と、 デフ ォル ト のスーパー管理者アカウン トのみ、 次の操作を行 う こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

バーチャル ドメインの使用 VDOM とグローバル設定の設定

• グローバル設定の設定

• VDOM の作成または削除

• 複数の VDOM の設定

• VDOM へのイ ン タ フ ェースの割り当て

• VDOM への管理者の割り当て

VDOM は、 受信 ト ラ フ ィ ッ ク用と送信 ト ラ フ ィ ッ ク用の少な く と も 2 つの物理イン タ フ ェースまたは仮想サブ イン タ フ ェ ースが含まれてはじめて効果を発揮し ます。 VDOM にイ ン タ フ ェースまたはサブイ ン タ フ ェースを割り当てる こ とができるのは、 スーパー管理者のみです。 標準管理者アカウン ト は、 独自の VDOM 内の物理イ ン タ フ ェース上に VLAN サブ イ ン タ フ ェースを作成できます。

標準管理者を作成し、 その管理者を VDOM に割り当てない限り、 スーパー管理者だけが VDOM を設定できます。 VDOM に管理者を割り当てる こ とができ るのは、 スーパー管理者だけです。 自分のアクセス プロ フ ァ イルで Admin Users への読み取り および書き込みアクセスが許可されている管理者アカウン ト は、 独自の VDOM 内に追加の管理者を作成できます。

VDOM とグローバル設定の操作

管理者と し てログイ ン し た と きに、 バーチャル ド メ イ ンが有効になっ ている と、[System] の下の [VDOM] オプシ ョ ンで示されているよ う に、 自動的にグローバル設定に入り ます。

[System]、[VDOM] の順に選択し て、 バーチャル ド メ インを操作し ます。

図 22: [VDOM] リスト

[Create New] 新しい VDOM を追加する場合に選択し ます。 新し い VDOM 名を入力し、 [OK] を選択し ます。VDOM の名前を、 既存の VDOM、 VLAN、 またはゾーン と同じにする こ とはできません。 VDOM 名の長さは 大 11 文字で、 スペースは含まれません。

[Management] 管理 VDOM を、 選択されている VDOM に変更し ます。 管理VDOM は、 かっ こ内に示されます。 デフ ォル ト の管理 VDOM はルー ト です。 [Management] を選択し た と きに複数の VDOM が選択されている場合は、 表の 初に表示されている VDOM が管理 VDOM と し て割り当てられます。 詳細については、 67 ページの 「管理 VDOMの変更」 を参照し て く だ さ い。

[Delete] 選択されている VDOM を削除し ます。 ルー ト VDOM を削除する こ とはできません。

[Switch] その VDOM に入る場合に選択し ます。 現在入っている VDOM は、 VDOM の名前が表示されている、 画面の左下を参照する こ と によ って確認できます。 グローバル設定画面の場合は、 この場所に VDOM 名は表示されません。

[Name] VDOM の名前。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 65

66

VDOM とグローバル設定の設定 バーチャル ドメインの使用

VDOM へのインタフェースの追加

VDOM には、 少な く と も 2 つのイ ン タ フ ェースが含れている必要があ り ます。 これらのイ ン タ フ ェースは、 物理イン タ フ ェ ースでも、 VLAN サブ イ ン タ フ ェースなどの仮想イン タ フ ェ ースでもかまいません。 デフ ォル ト では、 すべての物理イン タ フ ェ ースがルー ト バーチャル ド メ イ ンに含まれています。

FortiOS v3.0 MR1 の時点では、 VDOM 間ルーテ ィ ングを使用する と、 物理イン タフ ェースを使用し な く ても VDOM 間で内部的に通信する こ とができます。 この機能は、 CLI でのみ設定できます。 VDOM 間イン タ フ ェ ースの設定については、『FortiGate CLI リ フ ァ レンス』 および 『FortiGate VLAN および VDOM ガイ ド』 を参照し て く ださい。

VLAN サブ イ ン タ フ ェースは一般に、 物理イ ン タ フ ェース とは別の VDOM に含める必要があ り ます。 それには、 スーパー管理者が 初に VDOM を作成し、 次にVLAN サブ イ ン タ フ ェースを作成し た後、 それを必要な VDOM に割り当てる必要があ り ます。

[System]、[Network]、[Interfaces] はグローバル設定にしか存在せず、 どのVDOM 内で も使用できません。 VLAN サブ イ ン タ フ ェースの作成については、101 ページの 「VLAN サブ イン タ フ ェ ースの追加」 を参照し て く だ さい。

VDOM へのインタフェースの割り当て

次の手順は、 既存のイ ン タ フ ェースを、 あるバーチャル ド メ イ ンから別のバーチャル ド メ イ ンに再割り当てする方法を説明し ています。 こ こ では、 VDOM が有効になってお り、 複数の VDOM が存在する こ と を前提にし ています。

VDOM が何らかの設定で使用されている ( た と えば、 その VDOM 内にイ ン タフ ェースが存在する ) 場合は、 その VDOM を削除できません。 イン タ フ ェ ースが次のいずれかの設定に含まれている場合は、 VDOM からそのイ ン タ フ ェースを削除できません。

• DHCP サーバ

• ゾーン

• ルーテ ィ ング

• フ ァ イアウォール ポ リ シー

• IP プール

• proxy arp (CLI を使用し てのみアクセス可能 )

先に進む前に、 これらの項目を削除するか、 またはこれらの項目を変更し てイ ンタ フ ェースを削除し て く ださい。

VDOM にインタフェースを割り当てるには

1 管理者と し てログイン し ます。

[Operation Mode] VDOM の動作モー ド ([NAT] または [Transparent])。

[Interfaces] この VDOM に関連付けられている イン タ フ ェース ( 仮想イ ン タフ ェースを含む )。

[Management Virtual Domain]

どの VDOM が管理ド メ インかを示し ます。 管理ド メ イン以外のド メ インはすべて、 "no" で示されます。

注記 : イ ン タ フ ェースまたはサブイ ン タ フ ェースは、 削除アイ コ ンが表示されていれば、再割り当てまたは削除が可能です。 それまで、 そのイン タ フ ェースはど こかの設定で使用されています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

バーチャル ドメインの使用 VDOM とグローバル設定の設定

2 [System]、[Network]、[Interface] の順に選択し ます。

3 再割り当てする イン タ フ ェースの [Edit] を選択し ます。

4 そのイ ン タ フ ェースの新しいバーチャル ド メ イ ンを選択し ます。

5 必要に応じ て他の設定を設定し、 [OK] を選択し ます。 他のイ ン タ フ ェース設定の詳細については、 72 ページの 「イ ン タ フ ェース設定」 を参照し て く だ さい。

イ ン タ フ ェースが VDOM に割り当てられます。 このイ ン タ フ ェースの既存のフ ァ イアウォール IP プールや仮想 IP ア ド レスは削除されます。 このイン タフ ェースを含むルー ト をすべて手動で削除し、 新しい VDOM 内にこのイン タフ ェースの新しいルー ト を作成する必要があ り ます。 そ う し ないと、 ネ ッ ト ワーク ト ラ フ ィ ッ クが正し く ルーテ ィ ング されません。

VDOM への管理者の割り当て

独自のリ ソースを管理し ている組織にサービスを提供する VDOM を作成し ている場合は、 その VDOM の管理者アカウン ト を作成する必要があ り ます。

VDOM 管理者は、 その VDOM 内の設定を変更できますが、 FortiGate ユニ ッ ト 上の他の VDOM に影響する変更を行う こ とはできません。

VDOM に割り当て られた標準管理者は、 その VDOM に属する イン タ フ ェース上の Web ベース マネージャ または CLI にのみログイ ンできます。 スーパー管理者は、 管理ア クセスを許可する FortiGate ユニ ッ ト 上の任意のイン タ フ ェ ースを使用し て Web ベース マネージャ または CLI に接続できます。 コ ン ソール イ ン タフ ェースに接続する こ とによ っ てログイ ンでき るのは、 スーパー管理者またはルー ト ド メ イ ンの標準管理者だけです。

VDOM に管理者を割り当てるには

1 スーパー管理者と し てログイ ン し ます。

バーチャル ド メ イ ンが有効になっている必要があ り ます。

2 [System]、[Admin]、[Administrators] の順に選択し ます。

3 必要に応じ て、 新しい管理者アカウン ト を作成または設定し ます。

管理者アカウン ト の設定の詳細については、 154 ページの 「管理者アカウン ト の設定」 を参照し て く だ さい。

4 この管理者アカウン ト を設定する場合は、 この管理者が管理する VDOM を [Virtual Domain] リ ス ト から選択し ます。

5 [Apply] を選択し ます。

管理 VDOM の変更

FortiGate ユニ ッ ト 上の管理 VDOM からは、 い く つかのデフ ォル ト の種類の ト ラ フ ィ ッ クが発信されます。 これらの ト ラ フ ィ ッ クの種類には、 次のものがあり ます。

• SNMP

• ロギング

• アラー ト メ ール

• FDN ベースの更新

• NTP ベースの時刻設定

管理 VDOM を変更する前に、 バーチャル ド メ イ ンが有効になっ ている こ と を確認し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 67

68

VDOM とグローバル設定の設定 バーチャル ドメインの使用

特定の時点で管理 VDOM になれる VDOM は 1 つだけです。 管理 VDOM を設定する と きに誤っ て複数の VDOM を選択し た場合は、 リ ス ト の先頭に も近いVDOM が管理 VDOM にな り ます。

管理 VDOM を変更するには

1 [System]、 [VDOM] の順に選択し ます。

2 新しい管理 VDOM になる VDOM を選択し ます。

3 [Management] を選択し て、 変更を適用し ます。

これで、 管理 ト ラ フ ィ ッ クは新しい管理 VDOM から発信されます。

注記 : RADIUS 認証を使用し ている管理者がいる場合は、 管理 VDOM を変更できません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

F0

システム - ネットワークこの項では、 FortiGate ユニ ッ ト をネ ッ ト ワークで動作するよ う に設定する方法について説明し ます。 基本的なネ ッ ト ワーク設定と し て、 FortiGate イ ン タフ ェース と DNS の設定があ り ます。 さ らに高度な設定と し て、 FortiGate ネ ッ トワーク構成への VLAN サブ イン タ フ ェ ースやゾーンの追加があ り ます。

この項には以下の ト ピ ッ クが含まれています。

• イ ン タ フ ェース

• ゾーン

• ネ ッ ト ワーク オプシ ョ ン

• ルーテ ィ ング テーブル ( ト ラ ンスペアレン ト モー ド )

• モデム イン タ フ ェ ースの設定

• VLAN の概要

• NAT/ ルー ト モー ド での VLAN

• ト ラ ンスペアレン ト モー ド での VLAN

• FortiGate の IPv6 サポー ト

インタフェース

NAT/ ルー ト モー ド では、 [System]、[Network]、[Interface] の順に選択し て、FortiGate イ ン タ フ ェースを設定し ます。 次の操作を行 う こ とができます。

• 物理イ ン タ フ ェースの設定変更

• VLAN サブイ ン タ フ ェースの追加および設定

• ADSL イン タ フ ェ ースの設定

• IEEE 802.3ad イ ン タ フ ェースへの複数の物理イン タ フ ェ ースのアグ リ ゲー ト (800 以上のモデルのみ )

• 物理イ ン タ フ ェースの冗長イ ン タ フ ェースへの結合

• 無線イ ン タ フ ェースの追加 (WiFi-60A および WiFi-60AM モデルのみ )

VLAN については、 99 ページの 「FortiGate ユニ ッ ト と VLAN」 を参照し て く だ さい。

注記 : 同じ フ ィ ールド内に IP ア ド レス と ネ ッ ト マスクの両方を入力できる場所では、 短い形式のネ ッ ト マスク を使用できます。 た と えば、 「192.168.1.100/255.255.255.0」 は「192.168.1.100/24」 と も入力できます。

注記 : 特に断りのない限り、 この項でイン タ フ ェース とい う用語は、 物理的な FortiGateイン タ フ ェースまたは FortiGate VLAN サブ イン タ フ ェースを指し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 69

70

インタフェース システム - ネットワーク

図 23: インタフェース リスト - 標準管理者ビュー

図 24: インタフェース リスト - バーチャル ドメインが有効になった管理者ビュー

[Create New] VLAN サブイ ン タ フ ェースを作成するには、[Create New] を選択し ます。また、 800 以上のモデルでは、 IEEE 802.3ad アグリゲー ト イ ン タフ ェースを作成する こ と もできます。

[Switch Mode] スイ ッ チ モー ド と イ ン タ フ ェース モー ド を切り替える場合に選択します。 スイ ッ チ モー ド では、 すべての内蔵ポー ト が 1 つのイ ン タフ ェースに含まれます。 イ ン タ フ ェース モー ド では、 各ポー ト に独自の設定可能なイ ン タ フ ェースが割り当てられます。モー ド を切り替える前に、 "Internal" イン タ フ ェースへのすべての参照を削除する必要があり ます。このオプシ ョ ンは、 Rev2.0 以上のモデル 100A および 200A でのみ表示されます。 詳細については、 71 ページの 「スイ ッ チのモー ド」 を参照し て く ださ い。

[show backplane interfaces]

2 つのバッ ク プレーン イ ン タ フ ェースを port9 および port10 と し て表示する場合に選択し ます。 表示し た後は、 これらのイ ン タ フ ェースを通常の物理イ ン タ フ ェース と し て扱う こ とができます。このオプシ ョ ンは、 5000 モデルでのみ使用できます。

[Description] アイコン

このアイ コ ンのツールヒ ン ト には、 このイ ン タ フ ェースの [Description] フ ィ ールドが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

スイッチのモード

100A および 200A FortiGate モデル上の Internal イ ン タ フ ェースは、4 ポー ト スイ ッチです。 通常、 この Internal イン タ フ ェ ースは、 4 つのすべてのポー ト で共有される 1 つのイ ン タ フ ェース と し て設定されます。スイ ッ チのモー ド によ って、スイ ッチ上の各イン タ フ ェースを独立イ ン タ フ ェース と し て個別に設定できます。

スイ ッ チのモー ド には、 スイ ッ チ モー ド と イン タ フ ェース モー ドの 2 つの状態があ り ます。 スイ ッ チ モー ドは、 スイ ッ チ全体に対し て 1 つのイン タ フ ェ ースだけが存在する、 デフ ォル ト のモー ド です。 イ ン タ フ ェ ース モー ド を使用する と、各 Internal イ ン タ フ ェースを別々に設定できます。 これによ り、 各 Internal イ ン タフ ェースに異なるサブネ ッ ト とネ ッ ト マスク を割り当てる こ とができます。

スイ ッ チ モー ド は、 Rev2.0 以上の 100A および 200A モデルでのみ使用できます。

[System]、[Network]、[Interface] 画面上の [Switch Mode] コ ン ト ロールを選択する と、 [Switch Mode Management] 画面が表示されます。

[Name] FortiGate ユニ ッ ト 上の物理イ ン タ フ ェースの名前。物理 イ ン タ フ ェ ー ス の名前 と 数は、 モ デル に よ っ て 異 な り ま す。[Internal]、 [External]、 [DMZ] などの一部の名前は、 そのイ ン タ フ ェースのデフ ォル ト の機能を示し ています。 その他は、 port1 などの、 一般的な名前です。50 および 60 の番号の FortiGate モデルは、 モデム インタ フ ェースを備えています。 93 ページの 「モデム インタ フ ェースの設定」 を参照して く ださい。oob/ha イ ン タ フ ェースは、 FortiGate モデル 4000 のアウ ト オブバン ド管理イ ン タ フ ェースです。 このイ ン タ フ ェースに接続する こ とによ り、FortiGate ユニ ッ ト を管理できます。 このイ ン タ フ ェースはまた、 HAハー ト ビー ト イ ン タ フ ェース と し ても使用できます。FortiGate 60ADSL ユニ ッ ト では、 ADSL イン タ フ ェースを設定できます。 75 ページの 「ADSL イ ン タ フ ェースの設定」 を参照し て く だ さい。800 以上の FortiGate モデルで、 複数のイ ン タ フ ェースをアグリゲー ト イ ン タ フ ェースに結合し た場合は、 各コ ンポーネン ト イ ン タ フ ェースではな く 、 アグリゲー ト イ ン タ フ ェースだけが表示されます。 これは、 冗長イ ン タ フ ェースの場合も同じ です。 76 ページの 「802.3ad アグリゲー ト イ ン タ フ ェースの作成」 または 77 ページの 「冗長イン タフ ェースの作成」 を参照し て く だ さい。VLAN サブイ ン タ フ ェースを追加し た場合、 これらのイ ン タ フ ェースは、 [Name] リ ス ト 内の追加先の物理イン タ フ ェースまたはアグ リゲート イ ン タ フ ェースの下にも表示されます。 98 ページの 「VLAN の概要」 を参照し て く だ さい。バーチャル ド メ イ ン設定が有効になっており、 スーパー管理者でない場合は、 独自のバーチャル ド メ イ ン内にあるイ ン タ フ ェースの情報だけを表示できます。FortiGate モデル 100A または 200A Rev2.0 以降で [Interface Mode] を有効にし ている場合は、 複数の Internal イン タ フ ェースが表示されます。

[IP/Netmask] イ ン タ フ ェースの現在の IP ア ド レス / ネ ッ ト マスク。

[Access] イ ン タ フ ェースの管理アクセスの設定。85 ページの 「イ ン タ フ ェースの追加の設定」 を参照し て く ださ い。

[Virtual Domain] このイ ン タ フ ェースが属するバーチャル ド メ イ ン。 この列は、 スーパー管理者に対し てのみ、 かつバーチャル ド メ イ ン設定が有効になっている場合にのみ表示されます。

[Status] イ ン タ フ ェースの管理状態。管理状態が緑色の矢印の場合、 このイ ン タ フ ェースは稼働し ており、ネ ッ ト ワーク ト ラ フ ィ ッ ク を受信する こ とができます。 管理状態が赤色の矢印の場合、 このイ ン タ フ ェースは管理上ダウン し ており、 ト ラフ ィ ッ ク を受け付ける こ とができません。 管理状態を変更するには、[Bring Down] または [Bring Up] を選択し ます。

削除、編集、および表示アイコン

エン ト リ を削除、 編集、 または表示し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 71

72

インタフェース システム - ネットワーク

図 25: [Switch Mode Management] 画面

インタフェース設定

[System]、[Network]、[Interface] の順に選択し ます。 新しいイ ン タ フ ェースを作成するには、 [Create New] を選択し ます。 既存のイ ン タ フ ェースを編集するには、 そのイ ン タ フ ェースの 編集アイ コ ンを選択し ます。

こ こ で仮想 IPSec イン タ フ ェ ースを作成する こ とはできませんが、 エン ド ポイ ント ア ド レスを指定し た り、 管理アクセスを有効にし た り、 説明を入力し た りする こ とができます。 詳細については、 83 ページの 「仮想 IPSec イ ン タ フ ェースの設定」 を参照し て く だ さい。

図 26:新しいインタフェースの設定

!注意 : [Switch Mode] と [Interface Mode] を切り替えるには、 " 内蔵 " イン タ フ ェースへのすべての参照を削除する必要があ り ます。 た と えば、 フ ァ イアウォール ポ リ シー、VDOM イン タ フ ェース割り当て、 VLAN、 ルーテ ィ ングなどの参照です。

[Switch Mode] スイ ッ チ モー ド を選択し ます。 1 つの Internal イン タ フ ェースだけが表示されます。 これがデフ ォル ト のモー ド です。

[Interface Mode] イ ン タ フ ェース モー ド を選択し ます。 スイ ッ チ上のすべてのInternal イン タ フ ェースが、 個別に設定可能なイン タ フ ェース とし て表示されます。

[OK] 変更を保存し て、 [Interface] 画面に戻る場合に選択し ます。

[Cancel] 変更を破棄し て、 [Interface] 画面に戻る場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

図 27:インタフェースの設定変更

[Name] イン タ フ ェースの名前を入力し ます。既存のイン タ フ ェースの名前を変更こ とはできません。

[Type] 800 以上のモデルでは、 VLAN、 802.3ad アグリゲー ト 、 および冗長インタ フ ェースを作成できます。モデル WiFi-60A および WiFi-60AM では、 無線イン タ フ ェース と VLANサブ イン タ フ ェースを作成できます。60ADSL モデルでは、 ADSL イン タ フ ェースを設定できます。その他のモデルでは VLAN イ ン タ フ ェースの作成だけがサポー ト され、[Type] フ ィ ールドは存在し ません。ADSL イン タ フ ェースを設定するには、 75 ページの 「ADSL イン タフ ェースの設定」 を参照し て く だ さい。VLAN サブイ ン タ フ ェースを作成するには、 99 ページの 「FortiGate ユニ ッ ト と VLAN」 を参照し て く だ さい。アグリゲー ト イ ン タ フ ェースを作成するには、 76 ページの 「802.3adアグリゲー ト イ ン タ フ ェースの作成」 を参照し て く だ さい。冗長イン タ フ ェースを作成するには、 77 ページの 「冗長イ ン タ フ ェースの作成」 を参照し て く だ さい。無線イン タ フ ェースを作成するには、 79 ページの 「無線イ ン タ フ ェースの作成」 を参照し て く だ さい。既存のイン タ フ ェースの種類を変更する こ とはできません。

[Interface] VLAN を作成する物理イ ン タ フ ェースの名前を選択し ます。 作成されると、 VLAN サブイ ン タ フ ェースは、 イン タ フ ェース リ ス ト 内の対応する物理イン タ フ ェースの下に表示されます。既存の VLAN サブイ ン タ フ ェースのイ ン タ フ ェースを変更する こ とはできません。このフ ィ ールドは、 [Type] が [VLAN] に設定されている場合にのみ表示されます。

[Physical Interface Members]

802.3ad アグリゲー ト または冗長イ ン タ フ ェースに含めるイ ン タ フ ェースを、 [Available Interfaces] リ ス ト から [Selected Interfaces] リ ス ト に移動し ます。このフ ィ ールドは、 [Type] が [802.3ad Aggregate] または [Redundant] イン タ フ ェースのどち らかに設定されている場合にのみ表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 73

74

インタフェース システム - ネットワーク

[VLAN ID] この VLAN サブイ ン タ フ ェースで受信されるパケ ッ ト の VLAN ID に一致する VLAN ID を入力し ます。 既存の VLAN サブ イン タ フ ェースのVLAN ID を変更する こ とはできません。VLAN ID は 1 ～ 4096 の任意の数値にする こ とができ、 また、 このVLAN サブイ ン タ フ ェースに接続された IEEE 802.1Q 準拠のルータ またはスイ ッ チによ って追加される VLAN ID に一致し ている必要があ り ます。 98 ページの 「VLAN の概要」 を参照し て く だ さい。このフ ィ ールドは、 [Type] が [VLAN] に設定されている場合にのみ表示されます。

[Virtual Domain] この VLAN サブイ ン タ フ ェースが属するバーチャル ド メ インを選択します。このオプシ ョ ンは、 バーチャル ド メ イ ン設定が有効になっている場合に、 スーパー管理者アカウン ト だけが使用できます。 61 ページの「バーチャル ド メ インの使用」 を参照し て く だ さい。

[Addressing mode]

イ ン タ フ ェースの静的 IP ア ド レスを設定するには、 [Manual] を選択します。また、 イ ン タ フ ェースに動的 IP ア ド レスの割り当てを設定する こ と もできます。 80 ページの 「イン タ フ ェース上での DHCP の設定」 または81 ページの 「PPPoE または PPPoA のためのイ ン タ フ ェースの設定」を参照し て く ださ い。

[IP/Netmask] [IP/Netmask] フ ィ ールド に、 IP ア ド レス / サブネ ッ ト マスク を入力します。 この IP ア ド レスは、 イ ン タ フ ェースの接続先のネ ッ ト ワーク と同じサブネ ッ ト 上に存在する必要があり ます。同じサブネ ッ ト 上で、 2 つのイン タ フ ェースに IP ア ド レスを設定するこ とはできません。このフ ィ ールドは、 [Manual] ア ド レ ッ シング モー ドが選択されている場合にのみ使用できます。

[DDNS] このイ ン タ フ ェースの Dynamic DNS サービスを設定するには、 [DDNS] をオンにし ます。 追加のフ ィ ールドが表示されます。 83 ページの 「イン タ フ ェースの Dynamic DNS サービスの設定」 を参照し て く だ さい。

[Ping Server] 停止ゲー ト ウェ イ検出を有効にするには、 このイ ン タ フ ェースに接続されているネ ッ ト ワーク上のネクス ト ホ ッ プ ルータの IP ア ド レスを入力し、 [Enable] をオンにし ます。 91 ページの 「停止ゲー ト ウェ イ検出」を参照し て く ださ い。

[Administrative Access]

このイン タ フ ェースで許可されている管理アクセスの種類を選択し ます。

[HTTPS] このイ ン タ フ ェースを介し た Web ベース マネージ ャへのセキュアなHTTPS 接続を許可し ます。

[PING] ping に応答するイ ン タ フ ェース。 この設定は、 イ ンス ト ールの確認やテス ト に使用し ます。

[HTTP] このイ ン タ フ ェースを介し た Web ベース マネージ ャへの HTTP 接続を許可し ます。 HTTP 接続はセキュ リ テ ィ 保護されていないため、 第三者によ って傍受される可能性があり ます。

[SSH] このイ ン タ フ ェースを介し た CLI への SSH 接続を許可し ます。

[SNMP] リ モー ト の SNMP マネージャがこのイン タ フ ェースに接続する こ とによ って SNMP 情報を要求できるよ う にし ます。 133 ページの 「SNMP の設定」 を参照し て く ださ い。

[TELNET] このイ ン タ フ ェースを介し た CLI への Telnet 接続を許可し ます。 Telnet接続はセキュ リ テ ィ 保護されていないため、 第三者によ って傍受される可能性があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

ADSL インタフェースの設定

ADSL イン タ フ ェ ースを指定するために必要な情報は、 ISP から使用するよ う指示されているア ド レ ッ シング モー ド によ っ て異な り ます。 IPOA または EOA を使用し た静的ア ド レ ッ シングには、 IP ア ド レス と ネ ッ ト マスクだけが必要です。動的ア ド レ ッ シングを使用し ている場合は、 80 ページの 「イン タ フ ェ ース上での DHCP の設定」 または 81 ページの 「PPPoE または PPPoA のためのイ ン タフ ェースの設定」 の説明に従っ て設定する必要があ り ます。

FortiGate ユニ ッ ト が ト ラ ンスペアレン ト モー ド の場合、 ADSL イ ン タ フ ェースを設定する こ とはできません。

[System]、[Network]、[Interface] の順に選択し ます。 [Create New] を選択するか、 または既存のイ ン タ フ ェースの編集アイ コ ンを選択し ます。 [Addressing mode] セク シ ョ ンで、 [IPoA] または [EoA] を選択し ます。

図 28: ADSL インタフェースのための設定

[MTU] MTU を変更するには、 [Override default MTU value (1500)] をオンにし、イン タ フ ェースのア ド レ ッ シング モー ド に基づいた MTU サイズを入力し ます。

• 静的モー ドの場合は、 68 ～ 1,500 バイ ト

• DHCP モー ドの場合は、 576 ～ 1,500 バイ ト

• PPPoE モー ドの場合は、 576 ～ 1,492 バイ ト

• ジャ ンボ フ レームの場合は、 大 16,110 バイ ト (FortiGate3000 以上のモデル )

このフ ィ ールドは、 物理イン タ フ ェースでのみ使用できます。 VLANは、 デフ ォル ト で、 親イン タ フ ェースの MTU サイズを継承し ます。MTU と ジ ャ ンボ フ レームの詳細については、 85 ページの 「イン タフ ェースの MTU パケ ッ ト サイズ」 を参照し て く だ さい。

[Log] このイン タ フ ェースで送受信されるすべての ト ラ フ ィ ッ クのログを記録するには、 [Log] をオンにし ます。 ログを記録するには、 ロギング場所の ト ラ フ ィ ッ ク ログも有効にし、 ロギング レベルを [Notification] 以下に設定する必要があり ます。 ロギングの場所と種類を設定するには、[Log&Report]、[Log Config] の順に選択し ます。 ロギングについては、431 ページの 「ログおよびレポー ト 」 を参照し て く だ さい

[Secondary IP Address]

青色の矢印を選択し てこのセク シ ョ ンを展開するか、 または非表示にし、 このイン タ フ ェースに IP ア ド レスを追加し ます。 86 ページの 「セカンダ リ IP ア ド レス」 を参照し て く だ さい。

[Description] 必要に応じ て、 大 63 文字までの説明を入力し ます。

注記 : ト ラ ンスペアレン ト モー ド では、 イ ン タ フ ェースの MTU を変更し た場合、 その新しい MTU に一致するよ う にすべてのイ ン タ フ ェースの MTU を変更する必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 75

76

インタフェース システム - ネットワーク

802.3ad アグリゲート インタフェースの作成

2 つ以上の物理イ ン タ フ ェースをアグ リゲー ト ( 結合 ) する こ とによ って、 帯域幅を増やすと同時に、 ある程度のリ ン クの冗長性を実現できます。 これには、 冗長イ ン タ フ ェースよ り帯域幅が広がる とい う利点があ り ますが、 障害ポイン ト が生まれる可能性も高 く な り ます。 これらのイ ン タ フ ェースは、 同じ ネクス ト ホ ップ ルーテ ィ ング宛先に接続する必要があ り ます。

800 以上のモデルの FortiGate フ ァームウ ェ アには、 リ ン ク アグ リゲーシ ョ ンのための IEEE 標準 802.3ad が実装されています。

イ ン タ フ ェースでアグ リゲーシ ョ ンを使用できるのは、 そのイ ン タ フ ェースが次の条件を満たし ている場合だけです。

• VLAN イ ン タ フ ェースではな く 、 物理イ ン タ フ ェースである。

• まだアグ リゲー ト または冗長イ ン タ フ ェースの一部になっていない。

• アグ リゲー ト イ ン タ フ ェース と同じ VDOM に含まれている。

• IP ア ド レスが定義されておらず、 DHCP や PPPoE も設定されていない。

• DHCP サーバまたはリ レーが設定されていない。

• VLAN サブ イ ン タ フ ェースが存在し ない。

• どのフ ァ イアウォール ポ リ シー、 VIP、 IP プール、 マルチキャス ト ポ リ シーでも参照されていない。

• HA ハー ト ビー ト イ ン タ フ ェースではない。

• FortiGate 5000 シ リーズ バッ ク プレーン イン タ フ ェ ースのいずれで もない。

イ ン タ フ ェースがアグ リゲー ト イ ン タ フ ェースに含まれている場合、 そのイ ンタ フ ェースは [System]、[Network]、[Interface] ページに表示されません。 個別に設定する こ とはできな く な り、 フ ァ イアウォール ポ リ シー、 VIP、 IP プール、またはルーテ ィ ングに含める こ と もできません。

[Address mode] ISP から指定されているア ド レ ッ シング モー ド を選択します。

[IPOA] IP over ATM。 ISP から提供されている IP ア ド レス と ネ ット マスク を入力し ます。

[EOA] Ethernet over ATM (Bridged モー ド と も呼ばれます )。 ISPから提供されている IP ア ド レス と ネ ッ ト マスク を入力します。

[DHCP] 80 ページの 「イ ン タ フ ェース上での DHCP の設定」を参照し て く だ さい。

[PPPoE] 81 ページの 「PPPoE または PPPoA のためのイン タフ ェースの設定」 を参照し て く だ さい。

[PPPoA] 81 ページの 「PPPoE または PPPoA のためのイン タフ ェースの設定」 を参照し て く だ さい。

[Gateway] デフ ォル ト のゲー ト ウ ェ イ を入力し ます。

[Connect to Server] イ ン タ フ ェースが自動的に接続を試みるよ う にするには、[Connect to Server] をオンにし ます。 イン タ フ ェースをオフ ラ イ ンで設定する場合は、 このオプシ ョ ンをオフにします。

[Virtual Circuit Identification] ISP から提供されている VPI と VCI の値を入力し ます。

[MUX Type] MUX の種類を [LLC Encap] または [VC Encap] から選択します。ISP から この情報が提供されている必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

図 29: 802.3ad アグリゲート インタフェースのための設定

802.3ad アグリゲート インタフェースを作成するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 [Create New] を選択し ます。

3 [Name] フ ィ ール ド に、 アグ リゲー ト イ ン タ フ ェースの名前を入力し ます。

このイ ン タ フ ェース名は、 他のどのイン タ フ ェ ース、 ゾーン、 VDOM と も同じ であっ てはな り ません。

4 [Type] リ ス ト から、 [802.3ad Aggregate] を選択し ます。

5 一度に 1 つずつ、 [Available Interfaces] リ ス ト から アグ リゲー ト イ ン タ フ ェースに含める各イ ン タ フ ェースを選択した後、 右矢印ボタ ンを選択し て [Selected Interfaces] リ ス ト に移動し ます。

6 このイ ン タ フ ェースを NAT/ ルー ト モー ド で動作させる場合は、 そのためのアド レ ッ シングを設定する必要があ り ます。 動的ア ド レ ッ シングについては、 次の項を参照し て く だ さい。

• 80 ページの 「イ ン タ フ ェース上での DHCP の設定」

• 81 ページの 「PPPoE または PPPoA のためのイン タ フ ェ ースの設定」

7 必要に応じ て、 他のイ ン タ フ ェース オプシ ョ ンを設定し ます。

8 [OK] を選択し ます。

冗長インタフェースの作成

2 つ以上の物理イン タ フ ェ ースを結合する こ と によ って、 リ ン クの冗長性を実現できます。 この機能を使用する と、 2 つ以上のスイ ッ チに接続し て、 1 つの物理イ ン タ フ ェースまたはそのイ ン タ フ ェース上の装置に障害が発生し た場合でも接続を保証する こ とができます。

冗長リ ン クは、 ト ラ フ ィ ッ クが ( 冗長リ ン ク内にイ ン タ フ ェースがい く つ含まれていても ) 常に 1 つのイ ン タ フ ェース しか通過し ないとい う点で リ ン ク アグ リゲーシ ョ ン とは異な り ますが、 冗長イン タ フ ェ ースによ っ て、 発生し得る障害ポイ ン ト の少ない、 よ り安定した構成が可能にな り ます。 フルメ ッ シュ HA 構成では、 この点が重要です。

800 以上のモデルの FortiGate フ ァームウ ェ アには、 冗長イ ン タ フ ェースが実装されています。

イ ン タ フ ェースを冗長イン タ フ ェ ースに含める こ とができるのは、 そのイ ン タフ ェースが次の条件を満た し ている場合だけです。

• VLAN イン タ フ ェ ースではな く 、 物理イ ン タ フ ェースである。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 77

78

インタフェース システム - ネットワーク

• まだアグ リゲー ト または冗長イ ン タ フ ェースの一部になっていない。

• 冗長イン タ フ ェ ース と同じ VDOM に含まれている。

• IP ア ド レスが定義されておらず、 DHCP や PPPoE も設定されていない。

• DHCP サーバまたはリ レーが設定されていない。

• VLAN サブ イ ン タ フ ェースが存在し ない。

• どのフ ァ イアウォール ポ リ シー、 VIP、 IP プール、 マルチキャス ト ポ リ シーでも参照されていない。

• HA によ っ て監視されていない。

イ ン タ フ ェースが冗長イ ン タ フ ェースに含まれている場合、 そのイン タ フ ェ ースは [System]、[Network]、[Interface] ページに表示されません。 個別に設定するこ とはできな く な り、 フ ァ イアウォール ポ リ シー、 VIP、 IP プール、 またはルーテ ィ ングに含める こ と もできません。

図 30: 冗長インタフェースのための設定

冗長インタフェースを作成するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 [Create New] を選択し ます。

3 [Name] フ ィ ールド に、 冗長イ ン タ フ ェースの名前を入力し ます。

このイン タ フ ェ ース名は、 他のどのイ ン タ フ ェース、 ゾーン、 VDOM と も同であってはな り ません。

4 [Type] リ ス ト から、 [Redundant Interface] を選択し ます。

5 一度に 1 つずつ、 [Available Interfaces] リ ス ト から冗長イ ン タ フ ェースに含める各物理イ ン タ フ ェースを選択し た後、 右矢印ボタ ンを選択し て [Selected Interfaces] リ ス ト に移動し ます。 追加し たイ ン タ フ ェースは、 [Selected Interfaces] リ ス ト に表示されている順序で使用されます。 た と えば、 リ ス ト 内の

初のイ ン タ フ ェースに障害が発生し た場合は、 2 番目のイ ン タ フ ェースが使用されます。

6 このイン タ フ ェ ースを NAT/ ルー ト モー ド で動作させる場合は、 そのためのアド レ ッ シングを設定する必要があ り ます。 動的ア ド レ ッ シングについては、 次の項を参照し て く だ さい。

• 80 ページの 「イン タ フ ェ ース上での DHCP の設定」

• 81 ページの 「PPPoE または PPPoA のためのイ ン タ フ ェースの設定」

7 必要に応じ て、 他のイ ン タ フ ェース オプシ ョ ンを設定し ます。

8 [OK] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

無線インタフェースの作成

FortiWiFi-60A および FortiWiFi-60AM モデルでは、 無線 WLAN イ ン タ フ ェースを作成できます。 (FortiWiFi-60 ユニ ッ ト で無線イ ン タ フ ェースを作成するには、112 ページの 「システム無線の設定 (FortiWiFi-60)」 を参照し て く だ さい。 )

1 [System]、[Network]、[Interface] の順に選択し ます。

2 [Create New] を選択し ます。

3 [Name] フ ィ ール ド に、 無線イ ン タ フ ェースの名前を入力し ます。

このイ ン タ フ ェース名は、 他のどのイン タ フ ェ ース、 ゾーン、 VDOM と も同であっ てはな り ません。

4 [Type] リ ス ト から、 [Wireless] を選択し ます。

5 [Wireless Settings] セクシ ョ ンで、 次の情報を入力し ます。

図 31: 無線インタフェースの設定

[SSID] FortiWiFi-60 ユニ ッ ト がブロー ド キャス ト する無線ネ ッ トワーク名を入力し ます。 無線ネ ッ ト ワーク を使用するユーザは、 自分のコ ンピ ュータ を、 このネ ッ ト ワーク名をブロー ド キャス ト するネ ッ ト ワークに接続するよ う に設定する必要があ り ます。

[SSID Broadcast] ユニ ッ ト で SSID をブロー ド キャ ス ト する場合に選択し ます。 ( アクセス ポイ ン ト モー ド のみ )

[Security Mode] WEP を使用するには、 [WEP64] または [WEP128] を選択します。 WPA ( アクセス ポイ ン ト モー ド でのみ使用可能 ) を使用するには、 [WPA Pre-shared Key] または [WPA_Radius] を選択し ます。 FortiWiFi-60 無線ネ ッ ト ワークのユーザは、各自のコ ンピ ュータ を、 同じ設定を使用し て設定する必要があ り ます。

[Key] 64 ビ ッ ト WEP キーの場合は、 10 桁の 16 進数 (0-9、 a-f) を入力し ます。 128 ビ ッ ト WEP キーの場合は、 26 桁の 16 進数 (0-9、 a-f) を入力し ます。 無線ネ ッ ト ワークのユーザは、各自のコ ンピ ュータに同じキーを設定する必要があ り ます。

[Pre-shared Key] [WPA Pre-shared Key] セキュ リ テ ィ モー ドの場合は、 事前共有キーを入力し ます。 無線ネ ッ ト ワークのユーザは、 各自のコ ンピ ュータに同じキーを設定する必要があ り ます。

[RADIUS Server Name] [WPA Radius] セキ ュ リ テ ィ モー ド の場合は、 リ ス ト か らRadius サーバ名を選択し ます。この Radius サーバは、[User]、[Radius] で設定 さ れている必要があ り ます。 詳細については、 340 ページの 「RADIUS サーバ」 を参照し て く だ さい。

[Data Encryption] WPA モー ドの場合に適用されます。 [TKIP] または [AES (WPA2)] のどち らかのデータ暗号化を選択し ます。

[RTS Threshold] RTS (Request to Send) し きい値は、 ユニ ッ ト が別の無線デバイスからの CTS (Clear to Send) 受信確認を待つ時間を設定し ます。

[Fragmentation Threshold] 2 つ以上のパケ ッ ト に分割されないデータ パケ ッ ト の 大サイズを設定し ます。 このし きい値を下げる と、 受信状態の悪い環境のパフ ォーマンスが向上する可能性があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 79

80

インタフェース システム - ネットワーク

6 必要に応じ て、 他のイ ン タ フ ェース オプシ ョ ンを設定し ます。

7 [OK] を選択し ます。

インタフェース上での DHCP の設定

DHCP を使用するよ う にイン タ フ ェースを設定し た場合、 FortiGate ユニ ッ ト はDHCP 要求を自動的にブロー ド キャス ト し ます。 このイ ン タ フ ェースには、 IP アド レス と オプシ ョ ンの DNS サーバ ア ド レス、 および DHCP サーバによ って提供されるデフ ォル ト ゲー ト ウ ェ イ ア ド レスが設定されます。

[System]、[Network]、[Interface] の順に選択し ます。 [Create New] を選択するか、 または既存のイン タ フ ェ ースの編集アイ コ ンを選択し ます。 [Addressing mode] セクシ ョ ンで、 [DHCP] を選択し ます。

図 32: インタフェースの DHCP 設定

図 33: ADSL インタフェースの DHCP 設定

[Status] FortiGate ユニ ッ ト が DHCP サーバに接続し、 ア ド レ ッ シング情報を取得する と きの DHCP の状態メ ッ セージを表示し ます。 ア ドレ ッ シング モー ドの状態メ ッ セージを更新するには、 [Status] を選択し ます。これは、 [Edit] を選択し た場合にのみ表示されます。[Status] には、 次のいずれかが表示されます。

• [initializing] - 動作し ていません。

• [connecting] - イ ン タ フ ェースは、 DHCP サーバに接続し よ うと し ています。

• [connected] - イン タ フ ェースは、 DHCP サーバから IP ア ド レス、 ネ ッ ト マスク、 その他の設定を取得し ま し た。

• [failed] - イン タ フ ェースは、DHCP サーバから IP ア ド レスやその他の情報を取得できませんで し た。

[Obtained IP/Netmask]

DHCP サーバから リース された IP ア ド レス と ネ ッ ト マスク。これは、 [Status] が [connected] の場合にのみ表示されます。

[Renew] このイ ン タ フ ェースの DHCP ラ イセンスを更新する場合に選択します。これは、 [Status] が [connected] の場合にのみ表示されます。

[Expiry Date] リース された IP ア ド レス と ネ ッ ト マスクが有効でな く なる時刻と日付。これは、 [Status] が [connected] の場合にのみ表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

PPPoE または PPPoA のためのインタフェースの設定

PPPoE または PPPoA を使用するよ う にイ ン タ フ ェースを設定し た場合、FortiGate ユニ ッ ト は PPPoE または PPPoA 要求を自動的にブロー ド キャス ト し ます。 FortiGate ユニ ッ ト をオフ ラ インで設定し、 FortiGate ユニ ッ ト で PPPoE また

は PPPoA 要求を送信し ないよ う にする場合は、 [Connect to Server] をオフにするこ とができます。

FortiGate ユニ ッ ト は、 Unnumbered IP、 初期検出タ イムアウ ト 、 PADT (PPPoE Active Discovery Terminate) など、 PPPoE RFC 機能 (RFC 2516) の多 く をサポー トし ています。

PPPoA は、 ADSL をサポー ト する FortiGate モデルでのみ使用できます。

[System]、[Network]、[Interface] の順に選択し ます。 [Create New] を選択するか、 または既存のイ ン タ フ ェースの編集アイ コ ンを選択し ます。 [Addressing mode] セク シ ョ ンで、 [PPPoE] または [PPPoA] を選択し ます。

図 34: インタフェースの PPPoE 設定

[Default Gateway]

DHCP サーバで定義されたゲー ト ウェ イの IP ア ド レス。こ れは、 [Status] が [connected] で あ り、 かつ [Retrieve defaultgateway from server] がオンになっている場合にのみ表示されます。

[Distance] DHCP サーバから取得されたデフ ォル ト ゲー ト ウ ェ イのデ ィ ス タンスを入力し ます。 デ ィ ス タ ンス (1 ～ 255 の整数 ) は、 同じ宛先へのルー ト が複数存在する場合の、 ルー ト の相対的な優先順位を指定し ます。 デ ィ ス タ ンスが小さいほど、 優先順位が高いルート である こ と を示し ます。 デフ ォル ト ゲー ト ウ ェ イのデフ ォルト の距離は 1 です。

[Retrieve default gateway from server]

DHCP サーバからデフ ォル ト ゲー ト ウ ェ イの IP ア ド レスを取得するには、 [Retrieve default gateway from server] をオンにし ます。このデフ ォル ト ゲー ト ウ ェ イは、 ス タ テ ィ ッ ク ルーテ ィ ング テーブルに追加されます。

[Override internal DNS]

[DNS] ページ上の DNS サーバ IP ア ド レスの代わりに、 DHCPサーバから取得された DNS ア ド レスを使用するには、 [Override internal DNS] をオンにし ます。100 以下の番号のモデルでは、 [System]、[Network]、[Options] ページにある [Obtain DNS server address automatically] もオンにする必要があ り ます。 91 ページの 「DNS サーバ」 を参照し て くだ さい。

[Connect to Server] イン タ フ ェースが自動的に DHCP サーバへの接続を試みるよ う にするには、 [Connect to Server] をオンに し ます。 イ ン タ フ ェ ースをオフ ラ インで設定する場合は、このオプシ ョ ンをオフにし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 81

82

インタフェース システム - ネットワーク

図 35: ADSL インタフェースの PPPoE または PPPoA 設定

[Status] FortiGate ユニ ッ ト が PPPoE または PPPoA サーバに接続し、 ア ドレ ッ シング情報を取得する と きの PPPoE または PPPoA の状態メ ッセージを表示し ます。 ア ド レ ッ シング モー ドの状態メ ッ セージを更新するには、 [Status] を選択し ます。これは、 [Edit] を選択し た場合にのみ表示されます。[Status] には、 次の 4 つのメ ッ セージのいずれかが表示されます。

[initializing] 動作し ていません。

[connecting] イ ン タ フ ェースは、 PPPoE または PPPoA サーバに接続し よ う と し ています。

[connected] イ ン タ フ ェースは、 PPPoE サーバから IP ア ド レス、 ネ ッ ト マスク、その他の設定を取得し ま し た。[Status] が [connected] の場合は、 PPPoE または PPPoA の接続情報が表示されます。

[failed] イ ン タ フ ェースは、 PPPoE または PPPoA サーバから IP ア ド レスやその他の情報を取得できませんで し た。

[Reconnect] PPPoE または PPPoA サーバに再接続する場合に選択し ます。これは、 [Status] が [connected] の場合にのみ表示されます。

[User Name] PPPoE または PPPoA アカウン ト のユーザ名。

[Password] PPPoE または PPPoA アカウン ト のパスワー ド。

[Unnumbered IP] イ ン タ フ ェースの IP ア ド レスを指定し ます。 ISP から IP ア ド レスのブロ ッ クが割り当てられている場合は、 そのう ちの 1 つを使用し ます。 それ以外の場合、 この IP ア ド レスは別のイン タ フ ェースの IP アド レス と同じ でも、 その他の任意の IP ア ド レスでもかまいません。

[Initial Disc Timeout]

初期検出タ イムアウ ト 。 PPPoE または PPPoA 検出の再試行を開始するまでに待つ時間。 無効にするには、 [Initial Disc Timeout] を 0 に設定し ます。

[Initial PADT timeout]

初期の PADT (PPPoE Active Discovery Terminate) タ イムアウ ト ( 秒単位 )。 この秒数の間アイ ドルになっている PPPoE または PPPoA セ ッシ ョ ンをシャ ッ ト ダウンするには、 このタ イムアウ ト を使用し ます。ISP で PADT がサポー ト されている必要があ り ます。 無効にするには、 [Initial PADT timeout] を 0 に設定し ます。

[Distance] PPPoE または PPPoA サーバから取得されたデフ ォル ト ゲー ト ウ ェ イのデ ィ ス タ ンスを入力し ます。 デ ィ ス タ ンス (1 ～ 255 の整数 ) は、同じ宛先へのルー ト が複数存在する場合の、 ルー ト の相対的な優先順位を指定し ます。 デ ィ ス タ ンスが小さいほど、 優先順位が高いルー トである こ と を示し ます。 デフ ォル ト ゲー ト ウェ イのデフ ォル ト のデ ィ ス タ ンスは 1 です。

[Retrieve default gateway from server]

PPPoE サーバからデフ ォル ト ゲー ト ウェ イの IP ア ド レスを取得するには、 [Retrieve default gateway from server] をオンにし ます。 このデフ ォル ト ゲー ト ウェ イは、 ス タ テ ィ ッ ク ルーテ ィ ング テーブルに追加されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

インタフェースの Dynamic DNS サービスの設定

FortiGate ユニ ッ ト に静的な ド メ イン名と動的なパブ リ ッ ク IP ア ド レスが設定されている場合は、 DDNS サービスを使用し て、 ド メ イ ンの IP ア ド レスの変更時にイン ターネ ッ ト DNS サーバを更新できます。

Dynamic DNS は、 NAT/ ルー ト モー ド でのみ使用できます。

[System]、[Network]、[Interface] の順に選択し ます。 [Create New] を選択するか、 または既存のイ ン タ フ ェースの編集アイ コ ンを選択し ます。 [Addressing mode] セク シ ョ ンのすぐ下にある [DDNS] をオンに し、 提供されている情報を使用し て DDNS サービスを設定し ます。

FortiGate ユニ ッ ト は、 DDNS サーバに接続できない場合は常に、 1 分間隔で 3 回の再試行を行った後、 3 分間隔での再試行に移行し ます。 これは、 DDNS サーバのフ ラ ッ デ ィ ングを防ぐためです。

図 36: DDNS サービスの設定

仮想 IPSec インタフェースの設定

仮想 IPSec イ ン タ フ ェースを作成するには、 VPN の作成時に [VPN]、[IPSec]、[Auto Key] または [VPN]、[IPSec]、[Manual Key] で [IPSec Interface Mode] を選択し ます。 また、 [Local Interface] リ ス ト から物理イン タ フ ェ ースまたは VLANイ ン タ フ ェースを選択する こ と もできます。 仮想 IPSec イン タ フ ェ ースは、[System]、[Network]、[Interface] ページに、 そのイ ン タ フ ェースのサブイ ン タフ ェース と し て表示されます。 詳細については、 次の項を参照し て く ださい。

• 303 ページの 「IPSec イン タ フ ェース モー ドの概要」

• 305 ページの 「自動キー」 または 315 ページの 「手動キー」

[System]、[Network]、[Interface] の順に選択し、 IPSec イ ン タ フ ェースの [Edit] を選択し て、 次の操作を行います。

• IPSec イン タ フ ェースのローカルおよびリ モー ト エン ド ポイン ト のIP ア ド レスを設定する こ とによ り、そのイン タ フ ェースを介し てダイナ ミ ッ ク ルーテ ィ ングを実行した り、 ping を使用し て ト ンネルをテス ト した り できるよ う にする。

[Override internal DNS]

[System DNS] ページ上の DNS サーバ IP ア ド レスを、 PPPoE またはPPPoA サーバから取得された DNS ア ド レスで置き換えるには、[Override internal DNS] をオンにし ます。

[Connect to Server]

[OK] または [Apply] を選択し た と きに、 イン タ フ ェースが自動的にPPPoE または PPPoA サーバへの接続を試みるよ う にするには、[Connect to Server] をオンにし ます。 イン タ フ ェースをオフ ラ インで設定する場合は、 このオプシ ョ ンをオフにし ます。

[Server] 使用する DDNS サーバを選択し ます。 これらのサービスのク ラ イアン ト ソ フト ウェ アは、 FortiGate フ ァームウ ェ アに組み込まれています。 FortiGate ユニ ッ ト は、 これらのサービスのいずれかにのみ接続できます。

[Domain] DDNS サービスの完全修飾ド メ イン名。

[Username] DDNS サーバに接続する と きに使用するユーザ名。

[Password] DDNS サーバに接続する と きに使用するパスワー ド。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 83

84

インタフェース システム - ネットワーク

• IPSec イ ン タ フ ェースを介した管理ア クセスを有効にする。

• イ ン タ フ ェース上のロギングを有効にする。

• イ ン タ フ ェースの説明を入力する。

図 37: 仮想 IPSec インタフェースの設定

[Name] IPSec イ ン タ フ ェースの名前。

[Virtual Domain] IPSec イ ン タ フ ェースの VDOM を選択し ます。

[IP][Remote IP]

ト ンネルでダイナ ミ ッ ク ルーテ ィ ングを使用する場合や、 ト ンネル イン タ フ ェースに ping を発行できるよ う にする場合は、 ト ンネルのローカルおよびリ モー ト エン ド ポイン ト の IP ア ド レスを入力し ます。 この 2 つのア ド レスは、 ネ ッ ト ワーク内の他のどの場所でも使用されていないア ド レスにする必要があり ます。

[Administrative Access]

このイ ン タ フ ェースで許可されている管理ア クセスの種類を選択し ます。

[HTTPS] このイ ン タ フ ェースを介し た Web ベース マネージャへのセキュアな HTTPS 接続を許可し ます。

[PING] ping に応答する イン タ フ ェース。 この設定は、 インス ト ールの確認やテス ト に使用し ます。

[HTTP] このイ ン タ フ ェースを介し た Web ベース マネージャへの HTTP 接続を許可し ます。 HTTP 接続はセキュ リ テ ィ 保護されていないため、 第三者によ って傍受される可能性があり ます。

[SSH] このイ ン タ フ ェースを介し た CLI への SSH 接続を許可し ます。

[SNMP] リ モー ト の SNMP マネージャがこのイ ン タ フ ェースに接続する こと によ って SNMP 情報を要求できるよ う にし ます。 133 ページの「SNMP の設定」 を参照し て く だ さ い。

[TELNET] このイ ン タ フ ェースを介し た CLI への Telnet 接続を許可し ます。Telnet 接続はセキュ リ テ ィ 保護されていないため、 第三者によ って傍受される可能性があり ます。

[Log] このイ ン タ フ ェースで送受信されるすべての ト ラ フ ィ ッ クのログを記録するには、 [Log] をオンにし ます。 ログを記録するには、 ロギング場所の ト ラ フ ィ ッ ク ログも有効にし、 ロギング レベルを [Notification] 以下に設定する必要があり ます。 ロギングの場所と種類を設定するには、 [Log&Report]、[Log Config] の順に選択し ます。 ロギングについては、 431 ページの 「ログおよびレポー ト 」を参照し て く だ さい

[Description] 必要に応じ て、 大 63 文字までの説明を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

インタフェースの追加の設定

基本的な設定が実行されたイ ン タ フ ェースに対し て、 い く つかの追加の設定を実行する こ とが可能です。 イ ン タ フ ェースの追加の設定には、 次の設定が含まれます。

• イ ン タ フ ェースへの管理アクセス

• イ ン タ フ ェースの MTU パケ ッ ト サイズ

• イ ン タ フ ェースの ト ラ フ ィ ッ ク ロギング

• セカンダ リ IP ア ド レス

インタフェースへの管理アクセス

NAT/ ルー ト モー ド で動作し ている VDOM の場合は、 その VDOM 内のイ ン タフ ェースへの管理アクセスを制御できます。

FortiGate ユニ ッ ト のリ モー ト 管理を許可する こ とができます。 ただ し、 イ ンターネ ッ ト からのリ モー ト 管理を許可する と、 FortiGate ユニ ッ ト のセキュ リテ ィ が危険に さ ら される可能性があ り ます。 設定にと って必須でない限り、 この危険性を避けるよ う に し て く だ さい。 イ ン ターネ ッ ト からのリ モー ト 管理を許可した FortiGate ユニ ッ ト のセキュ リ テ ィ を向上させるには、 次のよ う に し ます。

セキュアな管理ユーザ パスワー ド を使用し ます。

これらのパスワー ド を定期的に変更し ます。

HTTPS または SSH のみを使用し て、 このイ ン タ フ ェースへのセキュアな管理アクセスを有効に し ます。

システムのアイ ド ル タ イムアウ ト をデフ ォル ト 値の 5 分から変更し ないで く ださい (162 ページの 「設定」 を参照 )。

ト ラ ンスペアレン ト モー ド で管理アクセスを設定する方法の詳細については、148 ページの 「動作モー ド および VDOM 管理アクセス」 を参照し て く ださい。

インタフェースへの管理アクセスを制御するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 イ ン タ フ ェースを選択し、 [Edit] を選択し ます。

3 イ ン タ フ ェースの管理ア クセス方法を選択し ます。

4 [OK] を選択し て変更を保存し ます。

インタフェースの MTU パケット サイズ

ネ ッ ト ワーク パフ ォーマンスを向上させるために、 FortiGate ユニ ッ ト が転送するパケ ッ ト の 大転送単位 (MTU) を変更できます。 MTU は、 FortiGate ユニ ッ トとパケ ッ ト の宛先との間のすべてのネ ッ ト ワークの 小の MTU と同じ である ことが理想です。 FortiGate ユニ ッ ト が送信するパケ ッ ト がこの MTU よ り大きい場合は、 パケ ッ ト が分割 ( または細分化 ) され、 それによ って転送速度が低下し ます。 MTU を小さ く し てみて、 高のネ ッ ト ワーク パフ ォーマンスが得られるMTU サイズを見つけて く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 85

86

インタフェース システム - ネットワーク

3000 以上の番号の FortiGate モデルは、ジャ ンボ フ レームをサポー ト し ています。モデルによ っ て、 9,000 バイ ト の制限をサポー ト し ている場合と、 16,110 バイ ト をサポー ト し ている場合があ り ます。 ジャ ンボ フ レームは 大 9,000 または 16,110バイ ト であ り、標準のイーサネ ッ ト フ レームよ りはるかに大き く する こ とができます。 標準のイーサネ ッ ト フ レーム ( パケ ッ ト ) は、 ヘ ッ ダ情報を含めて 大1,500 バイ ト です。新しいイーサネ ッ ト 標準 ( ギガビ ッ ト イーサネ ッ ト など ) が実装されても、 1,500 バイ ト フ レームは下位互換性のために維持されています。

あるルー ト を介し てジャ ンボ フ レームを送信するには、 そのルー ト 上のすべてのイーサネ ッ ト デバイスがジャ ンボ フ レームをサポー ト し ている必要があ り ます。 そ う でないと、 ジャ ンボ フ レームが認識されず、 転送されません。

同じ イン タ フ ェ ース上に標準のイーサネ ッ ト フ レームと ジャ ンボ フ レームの トラ フ ィ ッ クが存在する場合は、 ルーテ ィ ングの仕組みだけでは、 フ レームサイズのみに基づいてそれぞれの ト ラ フ ィ ッ ク を異なるルー ト にルーテ ィ ングする こ とはできません。 ただし、 VLAN を使用する と、 ジ ャ ンボ フ レームの ト ラ フ ィ ッ クが、 ジャ ンボ フ レームをサポー ト するネ ッ ト ワーク デバイスを介し てルーテ ィング される こ と を保証できます。 VLAN は、 MTU サイズを親イ ン タ フ ェースから継承し ます。 VLAN を、 そのルー ト の両端だけでな く 、 そのルー ト に沿ったすべてのスイ ッ チおよびルータに設定する必要があ り ます。 VLAN 設定の詳細については、 『FortiGate VLAN および VDOM ガイ ド』 を参照し て く だ さい。

インタフェースから送信されるパケットの MTU サイズを変更するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 物理イン タ フ ェ ースを選択し、 [Edit] を選択し ます。

3 [Override default MTU value (1500)] をオンに し ます。

4 MTU サイズを設定し ます。

FortiGate ユニ ッ ト でサポー ト されているサイズよ り大きい MTU サイズを選択する と、 エ ラー メ ッ セージが表示されます。 この場合は、 値がサポー ト されるサイズになるまで MTU サイズを小さ く し てみて く だ さい。 サポー ト されている大値は、 16,110、 9,000、 および 1,500 です。

インタフェースのトラフィック ロギング

任意のイ ン タ フ ェースの ト ラ フ ィ ッ ク ロギングを有効にする こ とができます。詳細については、 440 ページの 「 ト ラ フ ィ ッ ク ログ」 を参照し て く だ さい。

セカンダリ IP アドレス

1 つのイ ン タ フ ェースに、 複数の IP ア ド レスを割り当てる こ とができます。 イン タ フ ェ ース上の IP ア ド レスご とに別のフ ァ イアウォール ポ リ シーを作成し、適用する こ とができます。 また、 セカ ンダ リ IP ア ド レスで ト ラ フ ィ ッ ク を転送し た り、 RIP または OSPF ルーテ ィ ングを使用し た りする こ と も できます。

イ ン タ フ ェースあた り、 大 32 のセカ ンダ リ IP ア ド レスを設定できます。 プ ライマ リ IP ア ド レス と セカ ンダ リ IP ア ド レスは、 同じ ping ジ ェ ネレータ を共有できます。

注記 : MTU を変更し た場合は、 変更されたイン タ フ ェース上の VLAN サブ イン タ フ ェースの MTU 値を更新するために、 FortiGate ユニ ッ ト を再起動する必要があ り ます。

注記 : ト ラ ンスペアレン ト モー ド では、 イ ン タ フ ェースの MTU を変更し た場合、 その新しい MTU に一致するよ う にすべてのイ ン タ フ ェースの MTU を変更する必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク インタフェース

セカンダ リ IP ア ド レスを割り当てる際には、 以下が適用されている必要があ ります。

• 先にイ ン タ フ ェースにプ ラ イマ リ IP ア ド レスを割り当てる必要があ り ます。

• イ ン タ フ ェースは、 手動ア ド レ ッ シング モー ド で設定する必要があ り ます。

• デフ ォル ト では、 同じサブネ ッ ト に含まれる複数の IP ア ド レスを使用する ことはできません。 イ ン タ フ ェース サブネ ッ ト の重複を許可するには、 次のCLI コ マン ド を使用し ます。

config system global(global)# set allow-interface-subnet-overlap enable(global)#end

セカンダ リ IP ア ド レスは、 VPN ト ンネルを終端できません。

CLI コ マン ドの config system interface を使用し て、 イ ン タ フ ェースにセカ ンダ リ IP ア ド レスを追加できます。 詳細については、 『FortiGate CLI リ フ ァ レン

ス』 の 「system interface」 の下にある 「config secondaryip」 を参照し て く だ さい。

図 38: セカンダリ IP アドレスの追加

[IP/Netmask] [IP/Netmask] フ ィ ールド に、 IP ア ド レス / サブネ ッ ト マスク を入力し ます。 この IP ア ド レスは、 イ ン タ フ ェースの接続先のネ ッ ト ワーク と同じサブネ ッ ト 上に存在する必要があ り ます。2 つのイ ン タ フ ェースに同じサブネ ッ ト 上の IP ア ド レスを設定する こ とはできません。このフ ィ ールドは、 [Manual] ア ド レ ッ シング モー ドが選択されている場合にのみ使用できます。

[Ping Server] 停止ゲー ト ウ ェ イ検出を有効にするには、 このイン タ フ ェースに接続されているネ ッ ト ワーク上のネクス ト ホ ッ プ ルータの IPア ド レスを入力し、 [Enable] をオンにし ます。 91 ページの 「停止ゲー ト ウ ェ イ検出」 を参照し て く だ さい。複数のア ド レスで同じ ping サーバを共有できます。 このフ ィ ールドはオプシ ョ ンです。

[Administrative Access]

セカンダ リ IP で許可されている管理ア クセスの種類を選択し ます。 プラ イマ リ ア ド レス とは異なる種類を選択できます。

[HTTPS] このセカンダ リ IP を介し た Web ベース マネージャへのセキュアな HTTPS 接続を許可し ます。

[PING] ping に応答するセカ ンダ リ IP。 この設定は、 インス ト ールの確認やテス ト に使用し ます。

[HTTP] このセカンダ リ IP を介し た Web ベース マネージャへの HTTP 接続を許可し ます。 HTTP 接続はセキュ リ テ ィ 保護されていないため、 第三者によ って傍受される可能性があ り ます。

[SSH] このセカンダ リ IP を介し た CLI への SSH 接続を許可し ます。

[SNMP] リ モー ト の SNMP マネージ ャがこのセカ ンダ リ IP に接続する ことによ って SNMP 情報を要求でき るよ う にし ます。 133 ページの「SNMP の設定」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 87

88

ゾーン システム - ネットワーク

ゾーン

ゾーンを使用し て、 関連する イ ン タ フ ェース と VLAN サブ イ ン タ フ ェースをグループ化する こ とができます。 イン タ フ ェ ース と VLAN サブイ ン タ フ ェースをゾーンにグループ化する と、 ポ リ シーの作成が簡略化されます。 イン タ フ ェ ースと VLAN サブイ ン タ フ ェースをゾーンにグループ化し た場合は、 このゾーン と外部の間の接続に関するポ リ シーは設定できますが、 ゾーン内のイ ン タ フ ェース間のポ リ シーは設定できません。

ゾーンの追加、 ゾーンの名前変更や編集、 ゾーン リ ス ト からのゾーンの削除を行う こ とができます。 ゾーンを追加する場合は、 ゾーンに追加する イ ン タ フ ェース と VLAN サブ イン タ フ ェ ースの名前を選択し ます。

ゾーンは、 バーチャル ド メ イ ンに追加されます。 FortiGate の設定に複数のバーチャル ド メ イ ンを追加し ている場合は、 ゾーンを追加または編集する前に、 正しいバーチャル ド メ イ ンを設定し ている こ と を確認し て く だ さい。

図 39: ゾーン リスト

[TELNET] このセカンダ リ IP を介し た CLI への Telnet 接続を許可し ます。Telnet 接続はセキュ リ テ ィ 保護されていないため、 第三者によ っ て傍受される可能性があ り ます。

[Add] 設定されたセカンダ リ IP ア ド レスを、 下に表示されているセカンダ リ IP テーブルに追加するには、 [Add] を選択し ます。このテーブル内のア ド レスは、 この画面の一番下にある [OK] または [Apply] を選択するまでイン タ フ ェースには追加されません。

[Secondary IP table] このイン タ フ ェースに追加されたすべてのセカンダ リ IP ア ド レスを示すテーブル。これらのア ド レスは、 この画面の一番下にある [OK] または [Apply] を選択するまでイ ン タ フ ェースに完全には追加されません。 それ以外の場合は、 上の制限のために、 一部のア ド レスがテーブルから削除される可能性があ り ます。

# セカンダ リ IP ア ド レスの番号。 1 つのイン タ フ ェースには、大 32 の追加の IP ア ド レスが存在できます。

[IP/Netmask] このセカンダ リ IP の IP ア ド レス と ネ ッ ト マスク。

[Ping Server] このア ド レスのための ping サーバの IP ア ド レス。 ping サーバは、 複数のア ド レスで共有できます。ping サーバはオプシ ョ ンです。

[Enable] ping サーバのオプシ ョ ンが選択されているかど うかを示し ます。

[Access] このア ド レスの管理アクセス方法。 プ ラ イマ リ IP ア ド レス とは異なる方法を選択できます。

削除アイコン このセカンダ リ IP のエン ト リ を削除する場合に選択し ます。

注記 : セカ ンダ リ IP を追加し たら、 セカ ンダ リ IP テーブルに戻り、 新しいア ド レスが表示されている こ と を確認する こ と をお勧めし ます。 表示されていない場合、 そのア ド レスはいずれかの制限のために追加されませんで し た。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク ネットワーク オプション

ゾーンの設定

ゾーンを設定するには、 [System]、[Network]、[Zone] の順に選択し ます[Create New] を選択するか、 またはゾーンの編集アイ コ ンを選択し てそのゾーンを変更し ます。

図 40: ゾーンのオプション

ネットワーク オプション

ネ ッ ト ワーク オプシ ョ ンには、 DNS サーバや停止ゲー ト ウ ェ イ検出の設定が含まれます。 これらのオプシ ョ ンは、 [Configuring Network Options] 画面で設定されます。

[Create New] 新し いゾーンを作成するには、 [Create New] を選択し ます。

[Name] 追加し たゾーンの名前。

[Block intra-zone traffic]

同じ ゾーン内のイ ン タ フ ェース間の ト ラ フ ィ ッ クがブロ ッ ク されている場合は [Yes]、 同じ ゾーン内のイン タ フ ェース間の ト ラ フ ィ ックがブロ ッ ク されていない場合は [No] を表示し ます。

[Interface Members] このゾーンに追加されたイ ン タ フ ェースの名前。 イ ン タ フ ェース名は、 FortiGate モデルによ って異な り ます。

編集 / 表示アイコン ゾーンを編集または表示し ます。

削除アイコン ゾーンを削除し ます。

[Name] ゾーンを識別する名前を入力し ます。

[Block intra-zone traffic]

同じ ゾーン内のイ ン タ フ ェースまたは VLAN サブイ ン タ フ ェース間の ト ラ フ ィ ッ ク をブロ ッ クするには、 [Block intra-zone traffic] をオンにし ます。

[Interface members]

このゾーンの一部にするイ ン タ フ ェースを選択し ます。 このリ ス トには、 設定済みの VLAN が含まれています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 89

90

ネットワーク オプション システム - ネットワーク

DNS サーバや停止ゲー ト ウ ェ イ検出の設定を行 う には、 [System]、[Network]、[Options] の順に選択し ます。

図 41: ネットワーク オプション - 200 以上の FortiGate モデル

図 42: ネットワーク オプション - 100 以下の番号のモデル

[Obtain DNS server address automatically]

このオプシ ョ ンは、 100 以下の FortiGate モデルにのみ適用されます。イン タ フ ェース上で DHCP が使用されている場合は、DNS サーバ IP ア ド レスも取得し ます。 NAT/ ルー ト モード でのみ使用できます。 また、 イン タ フ ェースの DHCP設定で [Override internal DNS] もオンにする必要があり ます。 80 ページの 「イ ン タ フ ェース上での DHCP の設定」を参照し て く だ さい。

[Use the following DNS server addresses]

このオプシ ョ ンは、 100 以下の FortiGate モデルにのみ適用されます。指定されたプラ イマ リおよびセカンダ リ DNS サーバ アド レスを使用し ます。

[Primary DNS Server] プラ イマ リ DNS サーバ IP ア ド レスを入力し ます。

[Secondary DNS Server] セカンダ リ DNS サーバ IP ア ド レスを入力し ます。

[Local Domain Name] DNS 参照の実行時に ド メ イ ン部分のないア ド レスに追加する ド メ イン名を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク ネットワーク オプション

DNS サーバ

アラー ト メ ールや URL ブロ ッ キングなど、 FortiGate 機能の一部は DNS を使用し ています。 FortiGate ユニ ッ ト の接続先の DNS サーバの IP ア ド レスを指定するこ とができます。 DNS サーバ IP ア ド レスは通常、 ISP によ って指定されます。

100 以下の番号の FortiGate モデルは、 DNS サーバ ア ド レスを自動的に取得するよ う に設定できます。 これらのア ド レスを自動的に取得するには、 少な く と も 1つの FortiGate ユニ ッ ト イン タ フ ェ ースが DHCP または PPPoE ア ド レ ッ シング モー ド を使用する必要があ り ます。 80 ページの 「イ ン タ フ ェース上での DHCPの設定」 または 81 ページの 「PPPoE または PPPoA のためのイ ン タ フ ェースの設定」 を参照し て く だ さい。

100 以下の FortiGate モデルは、 そのイ ン タ フ ェース上で DNS 転送を実行できます。 接続されたネ ッ ト ワーク上のホス ト は、 このイン タ フ ェ ースの IP ア ド レスを DNS サーバと し て使用し ます。 このイ ン タ フ ェースに送信された DNS 要求は、 ユーザによ っ て設定されたか、 または FortiGate ユニ ッ ト によ っ て自動的に取得された DNS サーバ ア ド レスに転送されます。

停止ゲートウェイ検出

停止ゲー ト ウ ェ イ検出は、 ping サーバに定期的に ping を発行し てネ ッ ト ワーク接続を確認し ます。 一般に、 この ping サーバは、 外部ネ ッ ト ワークまたはイ ンターネ ッ ト につながるネクス ト ホ ッ プ ルータ です。 ping の間隔 ([Detection Interval]) と、 接続の切断を示すと見な される ping の失敗回数 ([Fail-over Detection]) は、 [System]、[Network]、[Options] ページで設定されます。

イ ン タ フ ェースに対し て停止ゲー ト ウ ェ イ検出を適用するには、 そのイン タフ ェース上に ping サーバを設定する必要があ り ます。

インタフェースに ping サーバを追加するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 イ ン タ フ ェースを選択し、 [Edit] を選択し ます。

3 [Ping Server] を、 このイ ン タ フ ェースに接続されているネ ッ ト ワーク上のネク スト ホ ッ プ ルータの IP ア ド レスに設定し ます。

4 [Enable] チ ェ ッ ク ボ ッ クスをオンにし ます。

5 [OK] を選択し て変更を保存し ます。

[Enable DNS forwarding from] このオプシ ョ ンは、 NAT/ ルー ト モー ド で動作し ている100 以下の FortiGate モデルにのみ適用されます。受信し た DNS 要求を設定された DNS サーバに転送するイ ン タ フ ェースを選択し ます。

[Dead Gateway Detection] 停止ゲー ト ウェ イ検出は、 イ ン タ フ ェース設定に追加された ping サーバを使用し て接続を確認し ます。 イン タフ ェースへの ping サーバの追加については、 91 ページの「停止ゲー ト ウ ェ イ検出」 を参照し て く だ さい。

[Detection Interval] FortiGate ユニ ッ ト が対象に ping を発行する頻度を示す秒数を入力し ます。

[Fail-over Detection] FortiGate ユニ ッ ト がゲー ト ウ ェ イ を機能し ていないと見なすまでの ping テス ト の失敗の回数を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 91

92

ルーティング テーブル ( トランスペアレント モード ) システム - ネットワーク

ルーティング テーブル ( トランスペアレント モード )

ト ラ ンスペアレン ト モー ド では、 [System]、[Network]、[Routing Table] の順に選択し て、 FortiGate ユニ ッ ト から ローカル ルータへの静的ルー ト を追加し ます。

図 43: ルーティング テーブル

トランスペアレント モードのルート設定

ルー ト を追加するには、 [System]、[Network]、[Routing Table] の順に選択し、[Create New] を選択し ます。 また、 既存のルー ト の 編集アイ コ ンを選択し てそのルー ト を変更する こ と も できます。

図 44: トランスペアレント モードのルート オプション

[Create New] 新しいルー ト を追加し ます。

# ルー ト の番号。

[IP] このルー ト の宛先 IP ア ド レス。

[Mask] このルー ト のネ ッ ト マスク。

[Gateway] このルー ト が ト ラ フ ィ ッ ク を転送する先のネク ス ト ホ ッ プ ルータのIP ア ド レス。

[Distance] このルー ト の相対的な優先順位。 1 が も高い優先順位です。

削除アイコン ルー ト を削除し ます。

表示 / 編集アイコン

ルー ト を編集または表示し ます。

移動アイコン リ ス ト 内のルー ト の位置を変更し ます。

[Destination IP /Mask]

このルー ト の宛先 IP ア ド レス と ネ ッ ト マスク を入力し ます。デフ ォル ト のルー ト を作成するには、 宛先 IP と マスク を 「0.0.0.0」 に設定し ます。

[Gateway] このルー ト が ト ラ フ ィ ッ ク を転送する先のネク ス ト ホ ッ プ ルータの IP アド レスを入力し ます。 イン ターネ ッ ト 接続の場合は、 ネク ス ト ホ ッ プ ルーテ ィ ング ゲー ト ウェ イが ト ラ フ ィ ッ ク を イ ン ターネ ッ ト にルーテ ィングし ます。

[Distance] このルー ト の相対的な優先順位。 1 が も高い優先順位です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク モデム インタフェースの設定

モデム インタフェースの設定

モデムがサポー ト されている FortiGate モデルでは、 NAT/ ルー ト モー ド で、 モデムをバッ クア ッ プ イン タ フ ェ ースまたはス タ ン ド アロン イン タ フ ェ ースのどち ら と し て も使用できます。

• 冗長 ( バッ クア ッ プ ) モー ド では、イーサネ ッ ト イ ン タ フ ェースが使用できなく なる と、 モデム イ ン タ フ ェースが、 選択されたイーサネ ッ ト イ ン タ フ ェースから自動的に処理を引き継ぎます。

• ス タ ン ド アロン モー ド では、 モデム イ ン タ フ ェースが、 FortiGate ユニ ッ ト から イン ターネ ッ ト への接続にな り ます。

ISP に接続する場合 ( どち らの設定の場合も )、 FortiGate ユニ ッ ト のモデムは、モデムが ISP に接続されるまで 大 3 つのダイヤルア ッ プ アカウン ト を自動的にダイヤルできます。

FortiGate モデル 50AM および 60M は、 内蔵モデムを備えています。 これらのモデルの場合は、 Web ベース マネージ ャでモデムの動作を設定できます。 「モデムの設定」 を参照し て く だ さい。

モデル 50A および 60 は、 USB シ リ アル コ ンバータ を介し て外付けモデムに接続できます。 これらのモデルの場合は、 CLI を使用し てモデムの動作を設定する必要があ り ます。 『FortiGate CLI リ フ ァ レンス』 にある system modem コマン ド を参照し て く だ さい。

モデムの設定

FortiGate ユニ ッ ト がモデムを使用し て ISP のダイヤルア ッ プ アカウン ト に接続するよ う に、 モデム設定を設定し ます。 大 3 つのダイヤルア ッ プ アカウン トを設定した り、 ス タ ン ド アロンまたは冗長の動作を選択し た り、 モデムのダイヤルや接続解除の方法を設定した り する こ とができます。

モデムを設定した り使用し た り でき るのは、NAT/ ルー ト モー ドの場合だけです。

注記 : モデム イ ン タ フ ェースは、 リ モー ト コ ン ソール接続に使用されるポー ト であるAUX ポー ト とは異な り ます。 AUX ポー ト には、 関連付けられたイン タ フ ェースがあり ません。 AUX ポー ト は、 FortiGate モデル 1000A、 1000AFA2、 および 3000A でのみ使用できます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 にある config system aux コマ

ン ド を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 93

94

モデム インタフェースの設定 システム - ネットワーク

図 45: モデム設定 ( スタンドアロン )

図 46: モデム設定 ( 冗長 )

[Enable Modem] FortiGate のモデムを有効にする場合に選択し ます。

[Modem status] モデム状態には、 "not active"、 "connecting"、 "connected"、"disconnecting"、 "hung up" のいずれかが表示されます ( ス タ ン ドアロン モー ドのみ )。

[Dial Now]/[Hang Up] ( ス タ ン ド アロン モー ドのみ ) ダイヤルア ッ プ アカウン ト に手動で接続するには、 [Dial Now] を選択し ます。 モデムが接続されている場合は、 [Hang Up] を選択し て手動でモデムを接続解除できます。

[Mode] [Standalone] または [Redundant] モー ド を選択し ます。 ス タ ン ド アロン モー ド では、 モデムは独立し たイン タ フ ェースです。 冗長モー ド では、 モデムは、 選択されたイーサネ ッ ト イン タ フ ェースのためのバッ クア ッ プ機能です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク モデム インタフェースの設定

冗長モー ド でモデムを設定するには、 95 ページの 「冗長モー ドの設定」 を参照し て く だ さい。

ス タ ン ド アロン モー ド でモデムを設定するには、 96 ページの 「ス タ ン ド アロン モー ドの設定」 を参照し て く だ さい。

冗長モードの設定

冗長モー ド でのモデム イ ン タ フ ェースは、 選択されたイーサネ ッ ト イ ン タフ ェースをバッ ク ア ッ プ し ます。 そのイーサネ ッ ト イ ン タ フ ェースがネ ッ トワークから接続解除した場合、 モデムは、 設定済みのダイヤルア ッ プ アカウント に自動的にダイヤルし ます。 モデムがダイヤルア ッ プ アカウン ト に接続すると、 FortiGate ユニ ッ ト は、 通常は選択されたイーサネ ッ ト イ ン タ フ ェースに宛てられる IP パケ ッ ト をモデム イ ン タ フ ェースにルーテ ィ ングし ます。

イーサネ ッ ト イン タ フ ェ ースが再びネ ッ ト ワークに接続でき るよ う になる と、FortiGate ユニ ッ ト はモデム イン タ フ ェースを接続解除し て、 イーサネ ッ ト イ ンタ フ ェースに戻し ます。 オプシ ョ ンのタ イムアウ ト 設定が存在し、 この期間ネ ット ワークが動作し ていない場合はモデムが接続解除し ます。 この機能は、 ダイヤルア ッ プ接続料金の節約に役立ちます。

FortiGate ユニ ッ ト でのイーサネ ッ ト イ ン タ フ ェースから モデムへの切り替えを可能にするには、 モデム設定でイ ン タ フ ェースの名前を選択し、 そのイン タフ ェースのための ping サーバを設定する必要があ り ます。 また、 モデム イ ン タフ ェース と その他の FortiGate イ ン タ フ ェースの間の接続のためのフ ァ イアウォール ポリ シーも設定する必要があ り ます。

[Auto-dial] ( ス タ ン ド アロン モー ドのみ ) 接続が失われるか、 またはFortiGate ユニ ッ ト が再起動されたら自動的にモデムをダイヤルする場合に選択し ます。 [Dial on demand] がオンになっている場合は、 [Auto- dial] をオンにできません。

[Redundant for] ( 冗長モー ドのみ ) モデムがバッ クア ッ プ サービスを提供する対象のイーサネ ッ ト イ ン タ フ ェースを選択し ます。

[Dial on demand] パケ ッ ト がモデム イ ン タ フ ェースにルーテ ィ ングされたらモデムをダイヤルする場合に選択し ます。 ネ ッ ト ワークが動作し ていない場合、 モデムはアイ ドル タ イムアウ ト 期間の後に接続解除し ます。 ス タ ン ド アロン モー ド で、 [Auto-dial] がオンになっている場合は [Dial on demand] をオンにできません。

[Idle timeout] タ イムアウ ト 期間 ( 分単位 ) を入力し ます。 動作し ていない状態がこの期間続 く と、 モデムは接続解除し ます。

[HolddownTimer]

( 冗長モー ドのみ ) プ ラ イマ リ イ ン タ フ ェースが復旧し た後、 モデム イン タ フ ェースから プラ イマ リ イン タ フ ェースに切り替えるまでに FortiGate ユニ ッ ト が待つ時間 (1 ～ 60 秒 ) を入力し ます。デフ ォル ト 値は 1 秒です。 プラ イマ リ イン タ フ ェース と モデム イン タ フ ェースの間で FortiGate ユニ ッ ト の切り替えが繰り返し発生する場合は、 設定する値を大き く し ます。

[Redial Limit] 接続に障害が発生し た場合に、 FortiGate ユニ ッ ト のモデムが ISPへの再接続を試行する 大回数 (1 ～ 10)。 デフ ォル ト の再ダイヤル制限は 1 回です。 再ダイヤルの試行回数を制限し ないよ う にするには、 [None] を選択し ます。

[Dialup Account] 大 3 つのダイヤルア ッ プ アカウン ト を設定し ます。 FortiGate ユニ ッ ト は、 接続を確立でき るまで、 順番に各アカウン ト への接続を試みます。

[Phone Number] ダイヤルア ッ プ アカウン ト に接続するために必要な電話番号。 電話番号にはスペースを追加し ないで く だ さ い。 ダイヤルア ッ プ アカウン ト に接続するためにモデムに必要な一時停止、 国番号、 その他の機能に対する標準の特殊文字を間違いな く 含めるよ う にして く だ さ い。

[User Name] ISP に送信されるユーザ名 ( 大 63 文字 )。

[Password] ISP に送信されるパスワー ド。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 95

96

モデム インタフェースの設定 システム - ネットワーク

冗長モードを設定するには

1 [System]、[Network]、[Modem] の順に選択し ます。

2 [Redundant] モー ド を選択し ます。

3 次の情報を入力し ます。

4 [Apply] を選択し ます。

5 モデムがバッ クア ッ プする イーサネ ッ ト イ ン タ フ ェースのための ping サーバを設定し ます。

91 ページの「イン タ フ ェ ースに ping サーバを追加するには」 を参照し て く ださい。

6 モデム インタ フ ェースへの接続のためのフ ァ イアウォール ポリシーを設定します。

97 ページの 「モデム接続のためのフ ァ イアウォール ポ リ シーの追加」 を参照して く ださい。

スタンドアロン モードの設定

ス タ ン ド アロン モー ド では、 モデムは、 イ ン ターネ ッ ト への接続を提供するためにダイヤルア ッ プ アカウン ト に接続し ます。 FortiGate ユニ ッ ト が再起動し た場合や、 ルーテ ィ ング されていないパケ ッ ト が存在する場合にダイヤルするよ うにモデムを設定できます。 また、 手動でモデムを接続解除し た り、 再ダイヤルした りする こ と もできます。

ダイヤルア ッ プ アカウン ト への接続が切断し た場合、 FortiGate ユニ ッ ト はモデムを再ダイヤルし ます。 モデムは、 再ダイヤル制限で指定された回数に達するか、 またはダイヤルア ッ プ アカウン ト に接続するまで再ダイヤルし ます。

オプシ ョ ンのタ イムアウ ト 設定が存在し、 この期間ネ ッ ト ワークが動作し ていない場合はモデムが接続解除し ます。 この機能は、 ダイヤルア ッ プ接続料金の節約に役立ちます。

モデム イ ン タ フ ェース と その他の FortiGate イ ン タ フ ェースの間の接続のためのフ ァ イアウォール ポ リ シーを設定する必要があ り ます。

スタンドアロン モードで動作させるには

1 [System]、[Network]、[Modem] の順に選択し ます。

2 次の情報を入力し ます。

注記 : モデム イ ン タ フ ェース と、 モデムがバッ クア ッ プ し ているイ ン タ フ ェースの間の接続のためのポ リ シーは追加し ないで く だ さい。

[Mode] [Redundant]。

[Redundant for] リ ス ト から、 バッ クア ッ プする イン タ フ ェースを選択し ます。

[Holddown Timer] イン タ フ ェースが復旧し た後もモデムを使用し続ける秒数を入力します。

[Redial Limit] ISP が応答し ない場合の再試行の 大回数を入力し ます。

[Dialup Account 1][Dialup Account 2][Dialup Account 3]

大 3 つのダイヤルア ッ プ アカウン ト に対する ISP の電話番号、ユーザ名、 およびパスワー ド を入力し ます。

[Mode] [Standalone]。

[Auto-dial] FortiGate ユニ ッ ト が再起動し たら モデムがダイヤルするよ う にする場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク モデム インタフェースの設定

3 [Apply] を選択し ます。

4 モデム インタ フ ェースへの接続のためのフ ァ イアウォール ポリシーを設定します。

97 ページの 「モデム接続のためのフ ァ イアウォール ポ リ シーの追加」 を参照して く だ さい。

モデム接続のためのファイアウォール ポリシーの追加

モデム イン タ フ ェ ースには、 フ ァ イアウォール ア ド レス と フ ァ イアウォール ポリ シーが必要です。 モデム イン タ フ ェ ースに 1 つ以上のア ド レスを追加できます。 ア ド レスの追加については、 249 ページの 「IP ア ド レス、 IP 範囲、 またはFQDN を追加するには、 [Firewall]、[Address] の順に選択し、[Create New] を選択し ます。」 を参照し て く だ さい。 ア ド レスを追加する と、 ポ リ シー グ リ ッ ドにモデム イ ン タ フ ェースが表示されます。

フ ァ イアウォール ポ リ シーを設定する こ とによ り、 モデム イン タ フ ェ ース と、FortiGate ユニ ッ ト 上のその他のイン タ フ ェースの間のパケ ッ ト のフ ローを制御できます。 フ ァ イアウォール ポ リ シーの追加については、 225 ページの 「フ ァイアウォール ポ リ シーの追加」 を参照し て く だ さい。

モデムの接続と接続解除

モデムは、 ス タ ン ド アロン モー ド にある必要があ り ます。

ダイヤルアップ アカウントに接続するには

1 [System]、[Network]、[Modem] の順に選択し ます。

2 [Enable USB Modem] を選択し ます。

3 1 つ以上のダイヤルア ッ プ アカウン ト に正しい情報が設定されている こ と を確認し て く だ さい。

4 設定を変更し た場合は、 [Apply] を選択し ます。

5 [Dial Now] を選択し ます。

FortiGate ユニ ッ ト は、 モデムが ISP に接続するまで、 順番に各ダイヤルア ッ プ アカウン ト にダイヤルし始めます。

モデム接続を解除するには

ダイヤルア ッ プ アカウン ト からモデムの接続を解除するには、 次の手順を使用し ます。

1 [System]、[Network]、[Modem] の順に選択し ます。

2 ダイヤルア ッ プ アカウン ト から接続解除する場合は、 [Hang Up] を選択し ます。

[Dial on demand] ルーテ ィ ングされていないパケ ッ ト が存在し たら常にモデムが ISPに接続するよ う にし たい場合に選択し ます。

[Idle timeout] タ イムアウ ト 期間 ( 分単位 ) を入力し ます。 動作し ていない状態がこの期間続 く と、 モデムは接続解除し ます。

[Redial Limit] ISP が応答し ない場合の再試行の 大回数を入力し ます。

[Dialup Account 1][Dialup Account 2][Dialup Account 3]

大 3 つのダイヤルア ッ プ アカウン ト に対する ISP の電話番号、ユーザ名、 およびパスワー ド を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 97

98

VLAN の概要 システム - ネットワーク

モデム状態の確認

モデムの接続状態や、 現在どのダイヤルア ッ プ アカウン ト がア クテ ィ ブにな っているかを確認できます。 モデムが ISP に接続されている場合は、 IP ア ド レスと ネ ッ ト マス ク を表示できます。

モデム状態を確認するには、 [System]、[Network]、[Modem] の順に選択し ます。

モデム状態は次のいずれかです。

緑色のチ ェ ッ ク マークは、 ア ク テ ィ ブなダイヤルア ッ プ アカウン ト を示し ます。

モデム イ ン タ フ ェースに割り当てられた IP ア ド レス とネ ッ ト マスクは、 Webベース マネージャの [System]、 [Network]、 [Interface] ページに表示されます。

VLAN の概要

VLAN は、 実際に配置されている場所には関係な く 同じ LAN セグ メ ン ト 上に存在するかのよ う に通信する、 PC、 サーバ、 その他のネ ッ ト ワーク デバイスのグループです。 た と えば、 経理部門のワークステーシ ョ ンやサーバがオフ ィ ス全体または市全域にわたって分散し、 多数のネ ッ ト ワーク セグ メ ン ト に接続されていても、 同じ VLAN に属する こ とができます。

VLAN では、 デバイスが物理的にではな く 、 論理的に分離されます。 各 VLANは、 ブロー ド キャス ト ド メ イ ン と し て扱われます。 VLAN 1 内のデバイスは、VLAN 1 内の他のデバイス と接続できますが、 他の VLAN 内のデバイス とは接続できません。 VLAN 上のデバイス間の通信は、 物理的なネ ッ ト ワーク とは独立しています。

VLAN は、 VLAN 内のデバイスによ っ て送受信されるすべてのパケ ッ ト に 802.1Q VLAN タグを追加する こ とによ ってデバイスを分離し ます。 VLAN タグは、 VLAN識別子やその他の情報を含む、 4 バイ ト のフ レーム拡張です。

VLAN の詳細については、 『FortiGate VLAN および VDOM ガイ ド 』 を参照し て くだ さい。

[not active] モデムは、 ISP に接続されていません。

[connecting] モデムは、 ISP に接続し よ う と し ています。

[connected] モデムは、 ISP に接続されています。

[disconnecting] モデムは、 ISP から接続解除し ています。

[hung up] モデムは、 ISP から接続解除し ま し た。 ( ス タ ン ド アロン モー ドのみ )[Dial Now] を選択し ない限り、 モデムは再ダイヤルし ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク NAT/ ルート モードでの VLAN

図 47: 基本的な VLAN トポロジ

FortiGate ユニットと VLAN

標準的な VLAN 設定では、802.1Q 準拠の VLAN レ イヤ 2 スイ ッ チか、レ イヤ 3 ルータ またはフ ァ イアウォールがパケ ッ ト に VLAN タグを追加し ます。 同じ VLAN 内のデバイス間を通過するパケ ッ ト は、 レ イヤ 2 スイ ッ チで処理できます。 異なるVLAN 内のデバイス間を通過するパケ ッ ト は、 ルータ、 フ ァ イアウォール、 レ イヤ 3 スイ ッ チなどのレ イヤ 3 デバイスで処理する必要があ り ます。

VLAN を使用する と、 単一の FortiGate ユニ ッ ト がセキュ リ テ ィ サービスを提供した り、 複数のセキュ リ テ ィ ド メ イン間の接続を制御し た りする こ とができます。 各セキュ リ テ ィ ド メ イ ンからの ト ラ フ ィ ッ クには、 異なる VLAN ID が割り当て られます。 FortiGate ユニ ッ ト は、 VLAN ID を認識し、 セキュ リ テ ィ ポ リシーを適用する こ とによ って、 セキュ リ テ ィ ド メ イ ン間のネ ッ ト ワークおよびIPSec VPN ト ラ フ ィ ッ ク をセキュ リ テ ィ 保護する こ とができます。 FortiGate ユニ ッ ト はまた、 セキュ リ テ ィ ド メ イン間を通過する こ と を許可されたネ ッ トワークおよび VPN ト ラ フ ィ ッ クに認証、 保護プロ フ ァ イル、 その他のフ ァ イアウォール ポリ シー機能を適用する こ と もできます。

NAT/ ルート モードでの VLAN

FortiGate ユニ ッ ト は、 NAT/ ルー ト モー ド で動作する こ とによ り、 VLAN 間のパケ ッ ト のフ ローを制御するレ イヤ 3 デバイス と し て動作し ます。FortiGate ユニ ット はまた、 受信し た VLAN パケ ッ ト から VLAN タグを削除し、 タグな しパケ ッ トを イン ターネ ッ ト などの他のネ ッ ト ワークに転送し た り する こ と もできます。

NAT/ ルー ト モー ド では、 FortiGate ユニ ッ ト は、 IEEE 802.1Q 準拠のスイ ッ チ (またはルータ ) と FortiGate ユニ ッ ト の間の VLAN ト ラ ン ク を作成するためにVLAN をサポー ト し ています。 通常、 FortiGate ユニ ッ ト の Internal イ ン タ フ ェースは内部スイ ッ チ上の VLAN ト ラ ン クに接続し、 外部イン タ フ ェ ースは上位のイン ターネ ッ ト ルータにタグな し で接続し ます。 これによ り、 FortiGate ユニ ッ ト

VLAN Switch

Internet

VLAN 1 Network VLAN 2 Network

Untagged packets

Router

VLAN 1VLAN 2

VLAN 1 VLAN 2

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 99

100

NAT/ ルート モードでの VLAN システム - ネットワーク

は、 Internal イ ン タ フ ェースに接続する各 VLAN 上の ト ラ フ ィ ッ クに対し て異なるポ リ シーを適用できます。

この構成では、 VLAN ト ラ ン ク内のパケ ッ ト の VLAN ID に一致する VLAN ID が割り当て られた FortiGateInternal イ ン タ フ ェースに VLAN サブ イ ン タ フ ェースを追加し ます。 FortiGate ユニ ッ ト は、 VLAN ID を含むパケ ッ ト を、 VLAN ID が一致するサブ イ ン タ フ ェースに転送し ます。

また、 すべての FortiGate イ ン タ フ ェース上に VLAN サブイ ン タ フ ェースを定義する こ と もできます。 FortiGate ユニ ッ ト は、 VLAN サブ イ ン タ フ ェースから送信されるパケ ッ ト に VLAN タグを追加し た り、 受信パケ ッ ト から VLAN タグを削除し、 送信パケ ッ ト に別の VLAN タグを追加し た りする こ とができます。

VLAN ID のルール

NAT/ ルー ト モー ド では、 同じ物理イ ン タ フ ェースに追加された 2 つの VLAN サブ イ ン タ フ ェースに同じ VLAN ID を割り当てる こ とはできません。 ただ し、 同じ VLAN ID が割り当てられた 2 つ以上の VLAN サブ イ ン タ フ ェースを、 別の物理イ ン タ フ ェースに追加する こ とは可能です。 同じ VLAN ID が割り当てられた 2つの VLAN サブ イン タ フ ェ ース間に内部の接続またはリ ン クは存在し ません。 これらの関係は、 任意の 2 つの FortiGate ネ ッ ト ワーク イン タ フ ェースの関係と同じ です。

VLAN IP アドレスのルール

すべての FortiGate イ ン タ フ ェースの IP ア ド レスは重複できません。 つま り、 すべてのイ ン タ フ ェースの IP ア ド レスが別のサブネ ッ ト 上に存在する必要があ ります。 このルールは、 物理イ ン タ フ ェース と VLAN サブ イン タ フ ェ ースの両方に適用されます。

図 37 は、 NAT/ ルー ト モー ドの簡略化された VLAN 設定を示し ています。 この例の場合、 FortiGate の Internal イン タ フ ェ ースは 802.1Q ト ラ ン ク を使用し て VLANスイ ッ チに接続し てお り、 また 2 つの VLAN サブ イン タ フ ェ ース (VLAN 100 とVLAN 200) が設定されています。 外部イ ン タ フ ェースは、 イ ン ターネ ッ ト に接続し ます。 外部イ ン タ フ ェースには、 VLAN サブ イン タ フ ェ ースは設定されていません。

VLAN スイ ッ チは、 VLAN 100 および VLAN 200 からパケ ッ ト を受信する と、VLAN タグを適用し、 それらのパケ ッ ト をローカル ポー ト と、 ト ラ ン ク経由でFortiGate ユニ ッ ト に転送し ます。 FortiGate ユニ ッ ト には、 ト ラ フ ィ ッ クのVLAN 間、 および VLAN から外部ネ ッ ト ワークへのフ ローを許可するポ リ シーが設定されています。

注記 : IP の重複を防ぐために既存の設定を変更できない場合は、CLI コマン ドの config system global を入力し、allow-interface-subnet-overlap enable を設定し て

IP ア ド レスの重複を許可し ます。 このコマン ド を入力し た場合は、 複数の VLAN イン タフ ェースに、 別のイン タ フ ェースで使用されているサブネ ッ ト の一部である IP ア ド レスを割り当てる こ とができます。 このコマン ドは、 経験の豊富なユーザにのみお勧めし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク NAT/ ルート モードでの VLAN

図 48: NAT/ ルート モードの FortiGate ユニット

VLAN サブインタフェースの追加

各 VLAN サブ イン タ フ ェ ースの VLAN ID は、 IEEE 802.1Q 準拠のルータによ っ て追加される VLAN ID に一致し ている必要があ り ます。 VLAN ID は、 1 ～ 4096 の任意の数値にする こ とができます。 また、 各 VLAN サブ イ ン タ フ ェースには、 独自の IP ア ド レス と ネ ッ ト マス クが設定されている必要があ り ます。

VLAN タグ付きパケ ッ ト を受信する物理イン タ フ ェースに VLAN サブ イン タフ ェースを追加し ます。

NAT/ ルート モードで VLAN サブインタフェースを追加するには

1 [System]、[Network]、[Interface] の順に選択し ます。

2 [Create New] を選択し て、 VLAN サブ イ ン タ フ ェースを追加し ます。

3 VLAN サブイ ン タ フ ェースを識別する名前を入力し ます。

4 この VLAN サブ イ ン タ フ ェースに宛てられた VLAN パケ ッ ト を受信する物理イ ンタ フ ェースを選択し ます。

5 この VLAN サブ イ ン タ フ ェースで受信されるパケ ッ ト の VLAN ID に一致するVLAN ID を入力し ます。

6 スーパー管理者の場合は、 この VLAN サブ イ ン タ フ ェースを追加する先のバーチャル ド メ イ ンを選択し ます。 それ以外の場合は、 独自の VDOM 内にのみVLAN サブイ ン タ フ ェースを作成できます。

バーチャル ド メ イ ンについては、 61 ページの 「バーチャル ド メ イ ンの使用」 を参照し て く だ さい。

VLAN Switch

Internet

VLAN 100 Network10.1.1.0

VLAN 200 Network10.1.2.0

Untagged packets

VLAN 100 VLAN 200

Fa 0/9Fa 0/3

Fa 0/24

802.1Qtrunk

FortiGate unit

External 172.16.21.2

Internal 192.168.110.126

注記 : VLAN の名前が、 バーチャル ド メ イ ンまたはゾーン と同じ であっ てはな り ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 101

102

トランスペアレント モードでの VLAN システム - ネットワーク

7 他の任意の FortiGate イン タ フ ェ ース と同様に、 VLAN サブ イ ン タ フ ェースを設定し ます。

72 ページの 「イン タ フ ェ ース設定」 を参照し て く だ さい。

8 [OK] を選択し て変更を保存し ます。

FortiGate ユニ ッ ト によ って、 手順 4 で選択したイ ン タ フ ェースに新しい VLANサブ イン タ フ ェ ースが追加されます。

VLAN サブインタフェースのためのファイアウォール ポリシーを追加するには

VLAN サブ イ ン タ フ ェースを追加し たら、 VLAN サブ イ ン タ フ ェース間、 またはVLAN サブ イ ン タ フ ェースから物理イ ン タ フ ェースへの接続のためのフ ァ イアウォール ポ リ シーを追加できます。

1 [Firewall]、[Address] の順に選択し ます。

2 [Create New] を選択し て、 VLAN パケ ッ ト の発信元および宛先 IP ア ド レスに一致する フ ァ イアウォール ア ド レスを追加し ます。

247 ページの 「フ ァ イアウォール ア ド レスについて」 を参照し て く だ さい。

3 [Firewall]、[Policy] の順に選択し ます。

4 必要に応じ て、 フ ァ イアウォール ポ リ シーを作成または追加し ます。

トランスペアレント モードでの VLAN

ト ラ ンスペアレン ト モー ド では、 FortiGate ユニ ッ ト は、 IEEE 802.1 VLAN ト ラ ンク上の ト ラ フ ィ ッ クに認証、 保護プロ フ ァ イル、 その他のフ ァ イアウォール機能などのフ ァ イアウォール ポ リ シーおよびサービスを適用できます。 ト ラ ンスペアレン ト モー ド で動作し ている FortiGate ユニ ッ ト を、 ネ ッ ト ワークに変更を加える こ と な く ト ラ ン クに挿入できます。 標準的な設定では、 FortiGate の Internalイ ン タ フ ェースは、 内部の VLAN に接続された VLAN スイ ッ チまたはルータからの VLAN ト ラ ン ク上の VLAN パケ ッ ト を受け付けます。 FortiGate の外部イ ン タフ ェースは、 イ ン ターネ ッ ト に接続される可能性のある外部の VLAN スイ ッ チまたはルータに、 ト ラ ン ク を介し て タグ付きパケ ッ ト を転送し ます。 FortiGate ユニ ッ ト は、 ト ラ ン ク内の各 VLAN 上の ト ラ フ ィ ッ クに対し て異なるポ リ シーを適用するよ う に設定できます。

FortiGate の内部および外部イ ン タ フ ェース間を通過でき る VLAN ト ラ フ ィ ッ クの場合は、 Internal イ ン タ フ ェースに 1 つの VLAN サブ イ ン タ フ ェースを、 外部イ ン タ フ ェースに別の VLAN サブイ ン タ フ ェースを追加し ます。 これらの VLANサブ イン タ フ ェ ースの VLAN ID が同じ場合、 FortiGate ユニ ッ ト は、 この VLAN上の ト ラ フ ィ ッ クにフ ァ イアウォール ポ リ シーを適用し ます。 これらの VLANサブ イン タ フ ェ ースの VLAN ID が異なる場合、 または 3 つ以上の VLAN サブ インタ フ ェースを追加する場合は、 フ ァ イアウォール ポ リ シーを使用し て VLAN 間の接続を制御する こ と もできます。

ネ ッ ト ワーク でネ ッ ト ワーク ト ラ フ ィ ッ クのセグ メ ン ト 化に IEEE 802.1 VLAN タグが使用されている場合は、 ト ラ ンスペアレン ト モー ド で動作し ているFortiGate ユニ ッ ト を、 異なる VLAN 間を通過するネ ッ ト ワーク ト ラ フ ィ ッ クに対するセキュ リ テ ィ を提供するよ う に設定できます。 ト ラ ンスペアレン ト モード で VLAN ト ラ フ ィ ッ ク をサポー ト するには、 FortiGate ユニ ッ ト 設定にバーチャル ド メ イ ンを追加し ます。 バーチャル ド メ イ ンは、 2 つ以上の VLAN サブイ ン タ フ ェースまたはゾーンで構成されます。 バーチャル ド メ イン内では、ゾーンに 1 つ以上の VLAN サブ イ ン タ フ ェースを含める こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク トランスペアレント モードでの VLAN

FortiGate ユニ ッ ト がイ ン タ フ ェース上で VLAN タグ付きパケ ッ ト を受信する と、そのパケ ッ ト は、 VLAN ID が一致する VLAN サブ イ ン タ フ ェースに転送されます。 その VLAN サブ イン タ フ ェ ースは VLAN タグを削除し、 その宛先 MAC ア ドレスに基づいてパケ ッ ト に宛先イ ン タ フ ェースを割り当てます。 この発信元および宛先 VLAN サブ イ ン タ フ ェース ペアのためのフ ァ イアウォール ポ リ シーがパケ ッ ト に適用されます。 パケ ッ ト がフ ァ イアウォールによ って受け付けられた場合、 FortiGate ユニ ッ ト は、 そのパケ ッ ト を宛先 VLAN サブ イ ン タ フ ェースに転送し ます。 FortiGate ユニ ッ ト によ ってパケ ッ ト に宛先 VLAN ID が追加され、 そのパケ ッ ト が VLAN ト ラ ン クに送信されます。

図 49: 2 つのバーチャル ドメインを含む、トランスペアレント モードの FortiGateユニット

図 50 は、 ト ラ ンスペアレン ト モー ド で動作し、 3 つの VLAN サブ イ ン タ フ ェースが設定されている FortiGate ユニ ッ ト を示し ています。 この構成では、 このネ ッ ト ワークに FortiGate ユニ ッ ト を追加する こ とによ り、 各 VLAN にウイルス スキャ ン、 Web コ ンテンツ フ ィ ルタ リ ング、 その他のサービスを提供できます。

注記 : ト ラ ンスペアレン ト モー ド では、 VDOM あた り、 合計で 大 255 のイン タ フ ェースが許可されています。 これには VLAN が含まれます。 VDOM に他のイン タ フ ェースが設定されていない場合は、 その VDOM 内に 大 255 の VLAN を設定できます。

VLAN1

VLAN1

VLAN2VLAN2

VLAN3

VLAN3

root virtual domain

New virtual domain

Internal External

VLAN1

VLAN3VLAN2

VLAN Switch or router

VLAN Switchor router

VLAN trunk

VLAN1VLAN2VLAN3VLAN trunk

FortiGate unit

VLAN1

VLAN3VLAN2

Internet

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 103

104

トランスペアレント モードでの VLAN システム - ネットワーク

図 50: トランスペアレント モードの FortiGate ユニット

VLAN ID のルール

ト ラ ンスペアレン ト モー ド では、 同じ物理イン タ フ ェ ースに追加された 2 つのVLAN サブ イ ン タ フ ェースに同じ VLAN ID を割り当てる こ とはできません。 ただし、 同じ VLAN ID が割り当てられた 2 つ以上の VLAN サブイ ン タ フ ェースを、 別の物理イ ン タ フ ェースに追加する こ とは可能です。 同じ VLAN ID が割り当てられた 2 つの VLAN サブ イン タ フ ェ ース間に内部の接続またはリ ン クは存在し ません。 これらの関係は、 任意の 2 つの FortiGate ネ ッ ト ワーク イ ン タ フ ェースの関係と同じ です。

トランスペアレント モードのバーチャル ドメインと VLAN

VLAN サブ イ ン タ フ ェースはバーチャル ド メ インに追加され、 そのバーチャル ド メ インに関連付けられます。 FortiGate の設定には、 デフ ォル ト で、 ルー ト とい う名前の 1 つのバーチャル ド メ イ ンが含まれており、 このバーチャル ド メ インには必要なだけの数の VLAN サブ イン タ フ ェ ースを追加できます。

VLAN サブ イ ン タ フ ェースのグループをバーチャル ド メ イ ンに分離する場合は、さ らに多 く のバーチャル ド メ インを追加できます。 バーチャル ド メ イ ンの追加および設定については、 61 ページの 「バーチャル ド メ イ ンの使用」 を参照し てく だ さい。

Internet

Untagged packets

Router

VLAN 1VLAN 2VLAN 3

VLAN 1 Network

VLAN 1

VLAN Switch

VLAN Trunk

FortiGate unit in Transparent mode

VLAN Switch

VLAN 1VLAN 2VLAN 3

VLAN Trunk

VLAN 3 Network

VLAN 3

VLAN 2 Network

VLAN 2

注記 : ト ラ ンスペアレン ト モー ド では、 イ ン タ フ ェースあた り、 大 255 の VLAN が許可されています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク トランスペアレント モードでの VLAN

トランスペアレント モードで VLAN サブインタフェースを追加するには

各 VLAN サブ イン タ フ ェ ースの VLAN ID は、 IEEE 802.1Q 準拠のルータ またはスイ ッ チによ って追加される VLAN ID に一致し ている必要があ り ます。 VLAN IDは、 1 ～ 4096 の任意の数値にする こ とができます。 VLAN タグ付きパケ ッ ト を受信する物理イ ン タ フ ェースに VLAN サブ イン タ フ ェ ースを追加し ます。

1 [System]、[Network]、[Interface] の順に選択し ます。

2 [Create New] を選択し て、 VLAN サブ イ ン タ フ ェースを追加し ます。

3 VLAN サブイ ン タ フ ェースを識別する名前を入力し ます。

4 この VLAN サブ イ ン タ フ ェースに宛てられた VLAN パケ ッ ト を受信する物理イ ンタ フ ェースを選択し ます。

5 この VLAN サブ イ ン タ フ ェースで受信されるパケ ッ ト の VLAN ID に一致するVLAN ID を入力し ます。

6 この VLAN サブイン タ フ ェースを追加する先のバーチャル ド メ インを選択します。

バーチャル ド メ イ ンについては、 61 ページの 「バーチャル ド メ イ ンの使用」 を参照し て く だ さい。

7 他の任意のFortiGateイ ン タ フ ェース と同様に、管理アクセス と ログを設定し ます。

これらの設定の詳細については、 72 ページの 「イ ン タ フ ェース設定」 を参照して く だ さい。

8 [OK] を選択し て変更を保存し ます。

FortiGate ユニ ッ ト によ っ て、 選択したイ ン タ フ ェースに新しいサブ イ ン タフ ェースが追加されます。

9 [Bring Up] を選択し て、 VLAN サブ イン タ フ ェ ースを起動し ます。

VLAN サブインタフェースのためのファイアウォール ポリシーを追加するには

VLAN サブイ ン タ フ ェースを追加し たら、 VLAN サブイ ン タ フ ェース間、 またはVLAN サブイ ン タ フ ェースから物理イ ン タ フ ェースへの接続のためのフ ァ イアウォール ポリ シーを追加できます。

1 [Firewall]、[Address] の順に選択し ます。

2 [Create New] を選択し て、 VLAN パケ ッ ト の発信元および宛先 IP ア ド レスに一致する フ ァ イアウォール ア ド レスを追加し ます。

247 ページの 「フ ァ イアウォール ア ド レスについて」 を参照し て く だ さい。

3 [Firewall]、[Policy] の順に選択し ます。

4 必要に応じ て、 フ ァ イアウォール ポ リ シーを追加し ます。

注記 : VLAN の名前が、 バーチャル ド メ イ ンまたはゾーン と同じ であっ てはな り ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 105

106

トランスペアレント モードでの VLAN システム - ネットワーク

図 51: 2 つのバーチャル ドメインを含む、トランスペアレント モードの FortiGateユニット

図 52 は、 ト ラ ンスペアレン ト モー ド で動作し、 3 つの VLAN サブ イ ン タ フ ェースが設定されている FortiGate ユニ ッ ト を示し ています。 この構成では、 このネ ッ ト ワークに FortiGate ユニ ッ ト を追加する こ とによ り、 各 VLAN にウイルス スキャ ン、 Web コ ンテンツ フ ィ ルタ リ ング、 その他のサービスを提供できます。

図 52: トランスペアレント モードの FortiGate ユニット

VLAN1

VLAN1

VLAN2VLAN2

VLAN3

VLAN3

root virtual domain

New virtual domain

Internal External

VLAN1

VLAN3VLAN2

VLAN Switch or router

VLAN Switchor router

VLAN trunk

VLAN1VLAN2VLAN3VLAN trunk

FortiGate unit

VLAN1

VLAN3VLAN2

Internet

Internet

Untagged packets

Router

VLAN 1VLAN 2VLAN 3

VLAN 1 Network

VLAN 1

VLAN Switch

VLAN Trunk

FortiGate unit in Transparent mode

VLAN Switch

VLAN 1VLAN 2VLAN 3

VLAN Trunk

VLAN 3 Network

VLAN 3

VLAN 2 Network

VLAN 2

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - ネットワーク トランスペアレント モードでの VLAN

ARP に関する問題のトラブルシューティング

ARP (Address Resolution Protocol) ト ラ フ ィ ッ クは、 ネ ッ ト ワーク上の通信に と って不可欠であ り、 FortiGate イ ン タ フ ェース上ではデフ ォル ト で有効にな り ます。通常、 FortiGate ユニ ッ ト がク ラ イアン ト とサーバの間またはク ラ イアン ト とルータの間に配置されている場合は特に、 ARP パケ ッ ト が FortiGate ユニ ッ ト を通過するよ う に し ます。

重複した ARP パケット

ある イ ン タ フ ェースに到着した ARP パケ ッ ト が他のすべてのイ ン タ フ ェース (VLAN サブ イ ン タ フ ェースを含む ) に送信される ト ラ ンスペアレン ト モー ド では、 ARP ト ラ フ ィ ッ クによ っ て問題が発生する こ とがあ り ます。 一部のレ イヤ 2スイ ッ チは、 複数のスイ ッ チ イ ン タ フ ェースまたは複数の VLAN から同じ MACア ド レスを検出する と不安定にな り ます。 この不安定さは、 そのレ イヤ 2 スイ ッチに、 各 VLAN 用の個別の MAC ア ド レス テーブルが保持されていない場合に発生し ます。 不安定なスイ ッ チのリ セ ッ ト によ って、 ネ ッ ト ワーク ト ラ フ ィ ッ クが低速になる可能性があ り ます。

ARP 転送

この問題の 1 つの解決策に、 ARP 転送の有効化があ り ます。 ARP 転送は、 GUIまたは CLI で有効にする こ とができます。 GUI では、 [System]、[Config]、[Operation] の順に選択し、 [ARP Forwarding] を選択し ます。 CLI での操作の詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

ARP 転送が有効になる と、 FortiGate ユニ ッ ト で重複した ARP パケ ッ ト が許可されるため、 前の配信の問題が解決されます。 ただ し、 これによ り ネ ッ ト ワークが、 パケ ッ ト を偽装するハッ キングの試みにさ ら される可能性も発生し ます。

よ り安全な解決策については、 『FortiGate VLAN および VDOM ガイ ド』 を参照して く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 107

108

FortiGate の IPv6 サポート システム - ネットワーク

FortiGate の IPv6 サポート

FortiGate ユニ ッ ト 上の任意のイ ン タ フ ェースに IPv4 ア ド レス と IPv6 ア ド レスの両方を割り当てる こ とができます。 このイ ン タ フ ェースは、 IPv4 ア ド レス指定パケ ッ ト 用と、 IPv6 ア ド レス指定パケ ッ ト 用の 2 つのイ ン タ フ ェース と し て機能し ます。

FortiGate ユニ ッ ト は、 IPv4 ア ド レス指定ネ ッ ト ワーク上で、 IPv6 ア ド レス指定ト ラ フ ィ ッ クのス タ テ ィ ッ ク ルーテ ィ ング、 定期的なルータ ア ドバタ イズ、フ ァ イアウォール ポ リ シー、 および ト ンネ リ ングをサポー ト し ます。 これらの機能はすべて、 コ マン ド ラ イ ン イ ン タ フ ェース (CLI) を介し て設定する必要があ り ます。 次のコ マン ド については、 『FortiGate CLI リ フ ァ レンス』 を参照し て くだ さい。

表 4: IPv6 の CLI コマンド

機能 CLI コマンド

イ ン タ フ ェース設定( 定期的なルータ ア ドバタ イズを含む )

config system interface"ip6" で始まるキーワー ド を参照し て く だ さい。config ip6-prefix-list

ス タ テ ィ ッ ク ルーテ ィ ング config router static6

IPv6 ト ンネ リ ング config system ipv6_tunnel

フ ァ イアウォール config firewall address6config firewall addrgrp6config firewall policy6

実行 execute ping6

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 無線 FortiWiFi の無線 LAN インタフェース

F0

システム - 無線この項では、 FortiWiFi ユニ ッ ト で無線 LAN イ ン タ フ ェースを設定する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• FortiWiFi の無線 LAN イン タ フ ェ ース

• チャネル割り当て

• システム無線の設定 (FortiWiFi-60)

• システム無線の設定 (FortiWiFi-60A および 60AM)

• 無線 MAC フ ィ ルタ

• 無線モニ タ

FortiWiFi の無線 LAN インタフェース

FortiWiFi の無線イ ン タ フ ェースを設定する と、 以下が可能にな り ます。

• 無線ネ ッ ト ワーク カー ド を持つユーザが接続できるアクセス ポイ ン ト を提供する ( ア クセス ポイン ト モー ド )。

または

• FortiWiFiユニ ッ ト を別の無線ネ ッ ト ワークに接続する ( ク ラ イアン ト モー ド )。

アクセス ポイ ン ト モー ドは、 デフ ォル ト のモー ド です。 FortiWiFi-60A およびFortiWiFi-60AM ユニ ッ ト は、 複数の WLAN を提供できます。

FortiWiFi ユニ ッ ト は、 次の無線ネ ッ ト ワーク標準をサポー ト し ています。

• IEEE 802.11a (5 GHz 帯 )

• IEEE 802.11b (2.4 GHz 帯 )

• IEEE 802.11g (2.4 GHz 帯 )

• WEP (Wired Equivalent Privacy)

• 事前共有鍵またはRadiusサーバを使用したWPA (Wi-Fi Protected Access) (アクセス ポイン ト モー ドのみ )

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 109

110

チャネル割り当て システム - 無線

チャネル割り当て

次の表は、 無線 LAN のチャネル割り当てを示し ています。

表 5: IEEE 802.11a (5 GHz 帯 ) のチャネル番号

チャネル番号

周波数 (MHz)

規制地域

アメリカ ヨーロッパ 台湾シンガポール 日本

34 5170 － X － － X

36 5180 X X － X －

38 5190 － X － － X

40 5200 X X － X －

42 5210 － X － － X

44 5220 X X － X －

46 5230 － X － － X

48 5240 X X － X －

52 5260 X X X － －

56 5280 X X X － －

60 5300 X X X － －

64 5320 X X X － －

149 5745 － － － － －

153 5765 － － － － －

157 5785 － － － － －

161 5805 － － － － －

ア メ リ カ を除き、 すべてのチャネルが屋内使用に制限されています。 ア メ リ カの場合、米国ではチャネル 52 ～ 64 について屋内および屋外使用が許可されています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 無線 チャネル割り当て

表 6: IEEE 802.11b (2.4 GHz 帯 ) のチャネル番号

チャネル番号 周波数 (MHz)

規制地域

アメリカ EMEA イスラエル 日本

1 2412 X X － X

2 2417 X X － X

3 2422 X X － X

4 2427 X X X X

5 2432 X X X X

6 2437 X X X X

7 2442 X X X X

8 2447 X X X X

9 2452 X X X X

10 2457 X X X X

11 2462 X X － X

12 2467 － X － X

13 2472 － X － X

14 2484 － － － X

メ キシコは、 ア メ リ カ規制ド メ イ ンに含まれています。 チャネル 1 ～ 8 は、 屋内使用のみ可能です。 チャネル 9 ～ 11 は、 屋内および屋外で使用できます。 チャネル番号がメキシコの規制標準に準拠し ている こ と を確認する必要があり ます。

表 7: IEEE 802.11g (2.4 GHz 帯 ) のチャネル番号

チャネル番号

周波数 (MHz)

規制地域

アメリカ EMEA イスラエル 日本

CCK ODFM CCK ODFM CCK ODFM CCK ODFM

1 2412 X X X X － － X X

2 2417 X X X X － － X X

3 2422 X X X X － － X X

4 2427 X X X X － － X X

5 2432 X X X X X X X X

6 2437 X X X X X X X X

7 2442 X X X X X X X X

8 2447 X X X X X X X X

9 2452 X X X X － － X X

10 2457 X X X X － － X X

11 2462 X X X X － － X X

12 2467 － － X X － － X X

13 2472 － － X X － － X X

14 2484 － － － － － － X －

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 111

112

システム無線の設定 (FortiWiFi-60) システム - 無線

システム無線の設定 (FortiWiFi-60)

無線 LAN 設定を設定するには、 [System]、[Wireless]、[Settings] の順に選択します。

図 53: 無線パラメータの設定

[MAC Address] 無線イ ン タ フ ェースの MAC ア ド レス。

[Operation Mode] 現在の動作モー ド。 変更する場合は、 [Change] を選択し ます。アクセス ポイ ン ト モー ドは、 FortiWiFi-60 ユニ ッ ト を、 複数のク ラ イアン ト が接続できる無線アクセス ポイ ン ト と し て機能させます。 ク ラ イアン ト モー ドは、別の無線ネ ッ ト ワークにク ラ イアン ト と し て接続するよ う にユニ ッ ト を設定し ます。

[Geography] 国または地域を選択し ます。 これによ り、 使用可能なチャネルが決定されます。 [Americas]、 [EMEA]、 [Israel]、 または [Japan] を選択できます。その他の地域にいる場合は、 [World] を選択し ます。

[Channel] FortiWiFi-60 無線ネ ッ ト ワークのチャネルを選択し ます。無線ネ ッ ト ワークのユーザは、 自分のコ ンピ ュータ を このチャネルを使用するよ う に設定する必要があ り ます。 選択でき るチ ャ ネルは、 [Geography] の設定によ って異な り ます。 チャネルの情報については、 110 ページの 「チャネル割り当て」 を参照し て く だ さい。

[SSID] FortiWiFi-60 ユニ ッ ト がブロー ド キャ ス ト する無線ネ ッ ト ワーク名を入力し ます。 無線ネ ッ ト ワーク を使用するユーザは、 自分のコ ンピ ュータを、 このネ ッ ト ワーク名をブロー ド キャス ト するネ ッ ト ワークに接続するよ う に設定する必要があり ます。

[SSID Broadcast] FortiWiFi-60 ユニ ッ ト に SSID をブロー ド キャス ト させる場合は、[Enable]を選択し ます。 ( ア クセス ポイン ト モー ドのみ )

[Security mode] WEP を使用するには、 [WEP64] または [WEP128] を選択し ます。 WPA (アクセス ポイ ン ト モー ド でのみ使用可能 ) を使用するには、 [WPA Pre-shared Key] または [WPA_Radius] を選択し ます。 FortiWiFi-60 無線ネ ッ トワークのユーザは、 各自のコ ンピ ュータ を、 同じ設定を使用し て設定する必要があり ます。

[Key] 64 ビ ッ ト WEP キーの場合は、 10 桁の 16 進数 (0-9、 a-f) を入力し ます。128 ビ ッ ト WEP キーの場合は、26 桁の 16 進数 (0-9、a-f) を入力し ます。無線ネ ッ ト ワークのユーザは、 各自のコ ンピ ュータに同じキーを設定する必要があり ます。

[Pre-shared Key] [WPA Pre-shared Key] セキュ リ テ ィ モー ドの場合は、仮共有鍵を入力します。 無線ネ ッ ト ワークのユーザは、 各自のコ ンピ ュータに同じキーを設定する必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 無線 システム無線の設定 (FortiWiFi-60A および 60AM)

システム無線の設定 (FortiWiFi-60A および 60AM)

無線 LAN 設定を設定するには、 [System]、[Wireless]、[Settings] の順に選択します。

図 54: 無線パラメータ - FortiWiFi-60A および FortiWiFi-60AM

[Radius Server Name]

[WPA Radius] セキュ リ テ ィ モー ドの場合は、 リ ス ト から Radius サーバ名を選択し ます。 この Radius サーバは、 [User]、 [Radius] で設定されている必要があ り ます。 詳細については、 340 ページの 「RADIUS サーバ」を参照し て く だ さい。

[Advanced] [Wireless Parameters] の [Advanced] 設定のセクシ ョ ンを開 く か、 または閉じ ます。 パフ ォーマンスの問題に対応するために、 必要に応じて設定を変更し ます。 デフ ォル ト 値は、 ほとんどの状況に対し て適切に機能し ます。 以下、 [Advanced] 設定について説明し ます。 ( アクセス ポイ ン ト モー ドのみ )

[Tx Power] 送信機の出力レベルを設定し ます。デフ ォル ト 値は、 大出力の 31 dBmです。

[Beacon Interval] ビーコ ン パケ ッ ト 間の間隔を設定し ます。 ア ク セス ポイ ン ト は、 無線ネ ッ ト ワークの同期を と るために、ビーコ ンまたは TIM (Traffic IndicationMessages) を ブ ロ ー ド キ ャ ス ト し ま す。 受信状態の悪い環境では、[Beacon Interval] を小さ く する と ネ ッ ト ワーク パフ ォーマンスが向上する可能性があ り ます。 無線ノ ー ドがほとんど存在し ない場所では、 この値を増やすこ とができます。

[RTS Threshold] RTS (Request to Send) し きい値は、 ユニ ッ ト が別の無線デバイスからのCTS (Clear to Send) 受信確認を待つ時間を設定し ます。

[Fragmentation Threshold]

2 つ以上のパケ ッ ト に分割されないデータ パケ ッ ト の 大サイズを設定し ます。 このし きい値を下げる と、 受信状態の悪い環境のパフ ォーマンスが向上する可能性があ り ます。

[Operation Mode] 現在の動作モー ド。 ア クセス ポイ ン ト モー ドは、 FortiWiFi ユニ ッ ト を、 複数のク ラ イアント が接続できる無線アクセス ポイ ン ト と し て機能させます。 ク ラ イアン ト モー ドは、別の無線ネ ッ ト ワークにク ラ イアン ト と し て接続するよ う にユニ ッ ト を設定し ます。

[Band] 使用す る 無線周波数帯 を 選択 し ま す。 [802.11a]、 [802.11b]、 お よ び[802.11g] から選択できます。

[Geography] 国または地域を選択し ます。 これによ り、 使用可能なチャネルが決定されます。 [Americas]、 [EMEA]、 [Israel]、 または [Japan] を選択できます。その他の地域にいる場合は、 [World] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 113

114

無線 MAC フィルタ システム - 無線

無線 MAC フィルタ

ユーザの無線アクセスをそのユーザの MAC ア ド レスに基づいて許可または拒否するには、 [System]、[Wireless]、[MAC Filter] の順に選択し ます。

図 55: 無線 MAC フィルタ

[Channel] FortiWiFi-60 無線ネ ッ ト ワークのチャネルを選択し ます。無線ネ ッ ト ワークのユーザは、 自分のコ ンピ ュータ を このチャネルを使用するよ う に設定する必要があ り ます。 選択でき るチ ャ ネルは、 [Geography] の設定によ って異な り ます。 チャネルの情報については、 110 ページの 「チャネル割り当て」 を参照し て く だ さい。

[Tx Power] 送信機の出力レベルを設定し ます。デフ ォル ト 値は、 大出力の 31 dBmです。

[Beacon Interval] ビーコ ン パケ ッ ト 間の間隔を設定し ます。 ア ク セス ポイ ン ト は、 無線ネ ッ ト ワークの同期を と るために、ビーコ ンまたは TIM (Traffic IndicationMessages) を ブ ロ ー ド キ ャ ス ト し ま す。 受信状態の悪い環境では、[Beacon Interval] を小さ く する と ネ ッ ト ワーク パフ ォーマンスが向上する可能性があり ます。 無線ノ ー ドがほとんど存在し ない場所では、 この値を増やすこ とができます。

無線インタフェースのリスト

[Interface] WLAN イン タ フ ェースの名前。 イン タ フ ェースを編集する名前を選択します。

[MAC Address] 無線イ ン タ フ ェースの MAC ア ド レス。

[SSID] このユニ ッ ト がブロー ド キャス ト する無線ネ ッ ト ワーク名。 無線ネ ッ トワーク を使用するユーザは、 自分のコ ンピ ュータ を、 このネ ッ ト ワーク名を ブ ロー ド キャ ス ト するネ ッ ト ワー ク に接続する よ う に設定する必要があり ます。

[SSID Broadcast] 緑色のチ ェ ッ クマーク アイ コ ンは、このユニ ッ ト が固有のSSIDをブロード キャス ト する こ と を示し ています。 ( ア クセス ポイン ト モー ドのみ )

[Security Mode] [WEP64]、[WEP128]、[WPA Pre-shared Key]、[WPA_Radius]、または [None]。[WPA] は、 ア クセス ポイ ン ト モー ド でのみ使用できます。 無線ネ ッ トワークのユーザは、 自分のコ ンピ ュータに同じ設定を設定する必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 無線 無線モニタ

無線モニタ

無線 LAN に接続し ているユーザを確認するには、 [System]、[Wireless]、[Monitor] の順に選択し ます。 この機能は、 無線イン タ フ ェ ースを [WPA] セキュリ テ ィ モー ド で動作させている場合にのみ使用できます。

図 56: 無線モニタ (FortiWiFi-60)

図 57: 無線モニタ (FortiWiFi-60A および 60AM)

[MAC Filter Enable] MAC フ ィ ルタ を有効にし ます。

[Access for PCs not listed below]

リ ス ト にない MAC ア ド レスへのアクセスを許可するか、 または拒否するかを選択し ます。

[MAC Address] フ ィ ルタ処理する MAC ア ド レスを入力し ます。

[Allow] または [Deny]

この MAC ア ド レスを許可するか、 または拒否するかを選択し ます。

[Add] MAC ア ド レスを、 選択に従っ て [Allow List] または [Deny List] に追加し ます。

[Allow List] 無線ネ ッ ト ワークへのアクセスを許可されたMACア ド レスのリ ス ト 。

[Deny List] 無線ネ ッ ト ワークへのアクセスを拒否されたMACア ド レスのリ ス ト 。

矢印ボタン リ ス ト 間で MAC ア ド レスを移動し ます。

[Remove] ([Allow List] の下 )

選択された MAC ア ド レスを [Allow List] から削除し ます。

[Remove]([Deny List] の下 )

選択された MAC ア ド レスを [Deny List] から削除し ます。

[Statistics] 各 WLAN の無線のパ フ ォ ー マ ン ス に関す る 統計情報。FortiWiFi-60A および FortiWiFi-60AM でのみ使用できます。

[AP Name] WLAN イ ン タ フ ェースの SSID。

[Signal Strength (dBm)] ク ラ イアン ト からの信号の強度。

[Noise (dBm)] 受信された ノ イズ レベル。

[S/N (dB)] 信号強度と ノ イズ レベルから計算された信号対雑音比 ( デシベル値 )。

[Rx (KBytes)] このセ ッ シ ョ ンで受信されたデータ量 (KB 単位 )。

[Tx (KBytes)] このセ ッ シ ョ ンで送信されたデータ量 (KB 単位 )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 115

116

無線モニタ システム - 無線

[Clients] WLAN に接続されたク ラ イアン ト の数と、 各ク ラ イアン トに関する情報。

[MAC Address] 接続された無線ク ラ イアン ト の MAC ア ド レス。

[IP Address] 接続された無線ク ラ イアン ト に割り当てられたIPア ド レス。

[AP Name] ク ラ イアン ト が接続されている WLAN の名前。 FortiWiFi-60A および FortiWiFi-60AM でのみ使用できます。

[ID] [WPA RADIUS] セキュ リ テ ィ モー ド を使用し て接続されたユーザのユーザ ID。 ク ラ イアン ト が [WPA Pre-shared Key]または [WEP] セキュ リ テ ィ モー ド を使用し ている場合、このフ ィ ールドは空白です。FortiWiFi-60 でのみ使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - DHCP FortiGate DH CP サーバおよびリレー

F0

システム - DHCPこの項では、 DHCP を用いてク ラ イアン ト のネ ッ ト ワーク構成を自動で行 う方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• FortiGate DH CP サーバおよび リ レー

• DHCP サービスの設定

• ア ド レス リ ースの表示

FortiGate DH CP サーバおよびリレー

DHCP は、 指定された IP ア ド レスをホス ト が自動的に取得できるよ う にするプロ ト コルです。 必要に応じ て、 デフ ォル ト のゲー ト ウ ェ イおよび DNS サーバ設定を取得する こ と も可能です。 FortiGate イ ン タ フ ェースまたは VLAN サブ インタ フ ェースでは、 次の DHCP サービスを提供できます。

• 標準的なイーサネ ッ ト 接続のための標準 DHCP サーバ

• IPSec (VPN) 接続のための IPSec DHCP サーバ

• 標準的なイーサネ ッ ト または IPSec (VPN) 接続のための DHCP リ レー

同じ タ イプの接続 ( 標準または IPSec) にイ ン タ フ ェースでサーバと リ レーの両方を提供する こ とはできません。

任意の FortiGate イ ン タ フ ェースに 1 つ以上の DHCP サーバを設定できます。DHCP サーバは、 イン タ フ ェースに接続されたネ ッ ト ワーク上のホス ト に動的にIP ア ド レスを割り当てます。 DHCP を使用し て IP ア ド レスを取得するには、 ホス ト コ ンピ ュータ を設定する必要があ り ます。

イ ン タ フ ェースがルータ を介し て複数のネ ッ ト ワークに接続されている場合、 それぞれのネ ッ ト ワークに DHCP を追加できます。 各 DHCP の IP の範囲は、 ネ ット ワーク ア ド レスの範囲と一致する必要があ り ます。 ルータは、 DHCP リ レー用に設定し なければな り ません。

DHCP サーバを設定するには、 120 ページの 「DHCP サーバの設定」 を参照し てく だ さい。

FortiGate イ ン タ フ ェースは、 DHCP リ レーと し て設定できます。 イン タ フ ェ ースによ り、 DHCP のリ ク エス ト は DHCP ク ラ イアン ト から外部の DHCP サーバに転送され、 DHCP ク ラ イアン ト には応答が返されます。 DHCP ク ラ イアン ト への応答パケ ッ ト が FortiGate ユニ ッ ト に到達するよ う、 DHCP サーバは適切なルーテ ィ ングを行 う必要があ り ます。

DHCP リ レーの設定については、 119 ページの 「DHCP リ レー エージ ェ ン ト と してのイ ン タ フ ェースの設定」 を参照し て く だ さい。

注記 : イン タ フ ェース上の標準 DHCP サーバは、 そのイン タ フ ェースの IP ア ド レスがスタ テ ィ ッ クな場合に限り、 設定できます。 ス タ テ ィ ッ クまたはダイナ ミ ッ ク IP ア ド レスのいずれかが設定されたイン タ フ ェース上のIPSec DHCPサーバを設定する こ とは可能です。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 117

118

DHCP サービスの設定 システム - DHCP

DHCP サービスは、 コ マン ド ラ イン イン タ フ ェ ース (CLI) で設定する こ と も できます。 詳細は、 FortiGate CLI リ フ ァ レンスを参照し て く だ さい。

DHCP サービスの設定

DHCP サービスを設定するには、 [System]、[DHCP]、[Service] の順に選択し ます。 各 FortiGate イ ン タ フ ェースでは、 必要に応じ て DHCP リ レーを設定した り、DHCP サーバを追加し た りする こ とができます。

FortiGate モデル 50 および 60 では、 DHCP サーバはデフ ォル ト で次のよ う に内部イ ン タ フ ェースで設定されています。

このデフ ォル ト の DHCP サーバ設定は、 無効に し た り変更し た り する こ とができます。

これらの設定は、 内部イ ン タ フ ェースのデフ ォル ト IP ア ド レス 192.168.1.99 に適し ています。 このア ド レスを異なるネ ッ ト ワークに変更する場合、 DHCP サーバ設定を変更し て一致させる必要があ り ます。

図 58: DHCP サーバ リスト - FortiGate-200A の場合

IP 範囲 192.168.1.110 ~ 192.168.1.210

ネットマスク 255.255.255.0

デフォルト ゲートウェイ

192.168.1.99

リース期間 7 日

DNS サーバ 1 192.168.1.99

[Interface] FortiGate イン タ フ ェ ースのリ ス ト です。 一覧表示されたインタ フ ェースを展開する と、 リ レーとサーバが表示されます。

[Server Name/ Relay IP]

リ レーがアクセスする FortiGateDHCP サーバの名前またはDHCP サーバの IP ア ド レスです。

[Type] DHCP リ レーまたはサーバのタ イプです。 Regular ( 標準 ) または IPSec と な り ます。

[Enable] 緑のチ ェ ッ クマークのアイ コ ンは、 サーバまたはリ レーが有効である こ と を示し ます。

DHCP サーバの追加

編集

削除

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - DHCP DHCP サービスの設定

DHCP リレー エージェントとしてのインタフェースの設定

イ ン タ フ ェースの DHCP リ レー設定を表示し た り修正し た りするには、[System]、[DHCP]、[Service] の順に選択し、 編集アイ コ ンを選択し ます。

図 59: インタフェースの DHCP リレー設定の編集

[DHCP サーバの追加 ] アイコン

このイ ン タ フ ェースの DHCP サーバを設定および追加し ます。

編集 DHCP リ レーまたはサーバの設定を編集し ます。

削除 DHCP サーバを削除し ます。

[Interface Name] イ ン タ フ ェースの名前です。

[Enable] このイン タ フ ェースで DHCP リ レー エージ ェ ン ト を有効にします。

[Type] 必要な DHCP サービスのタ イプを選択し ます。

[Regular] このイン タ フ ェースに接続するネ ッ ト ワーク上のコ ンピ ュータの DHCP リ レー エージ ェ ン ト と なるよ う に、 イ ン タ フ ェースを設定し ます。

[IPSEC] このイン タ フ ェースに IPSec VPN 接続を行っ ている リ モー トVPN ク ラ イアン ト に対し てのみ DHCP リ レー エージ ェ ン ト となるよ う に、 イ ン タ フ ェースを設定し ます。

[DHCP Server IP] イ ン タ フ ェースに接続するネ ッ ト ワーク上のコ ンピ ュータからの DHCP リ クエス ト に応答する DHCP サーバの IP ア ド レスを入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 119

120

DHCP サービスの設定 システム - DHCP

DHCP サーバの設定

イ ン タ フ ェースの DHCP サーバを設定するには、 [System]、 [DHCP]、[Service] の順に選択し ます。 イ ン タ フ ェースの横にある [DHCP サーバの追加 ] ボタ ン、または既存の DHCP サーバの横にある [ 編集 ] ボタ ンを ク リ ッ ク し て、 設定を変更し ます。

図 60: DHCP サーバ オプション

[Name] DHCP サーバの名前を入力し ます。

[Enable] DHCP サーバを有効にし ます。

[Type] Regular ( 標準 ) または IPSEC DHCP サーバを選択し ます。ダイナ ミ ッ ク IP ア ド レスを持つイン タ フ ェ ース上の標準DHCP サーバは設定できません。

[IP Range] この DHCP サーバが DHCP ク ラ イアン ト に割り当てる IP アド レスの範囲の始めと終わり を入力し ます。

[Network Mask] DHCP サーバが DHCP ク ラ イアン ト に割り当てるネ ッ ト マスク を入力し ます。

[Default Gateway] DHCP サーバが DHCP ク ラ イアン ト に割り当てるデフ ォル ト ゲー ト ウ ェ イの IP ア ド レスを入力し ます。

[Domain] DHCP サーバが DHCP ク ラ イアン ト に割り当てる ド メ イ ンを入力し ます。

[Lease Time] [Unlimited] を選択し て リ ース期間を無期限とするか、 または日、 時間、 および分で期間を入力し ます。 その期間を過ぎると、 DHCP ク ラ イアン ト は DHCP サーバに新しい設定を照会し なければな り ません。 リース期間は、 5 分から 100 日までの範囲を設定できます。

[Advanced] 詳細オプシ ョ ンを設定するのに選択し ます。 このテーブルの残りのオプシ ョ ンは、 詳細オプシ ョ ンです。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - DHCP アドレス リースの表示

アドレス リースの表示

DHCP サーバが割り当てた IP ア ド レスおよび対応する ク ラ イアン ト MAC ア ド レスを表示するには、 [System]、[DHCP]、 [Address Leases] の順に選択し ます。

図 61: アドレス リース リスト

特定クライアントに対する IP アドレスの予約

ク ラ イアン ト デバイスの MAC ア ド レス と標準イーサネ ッ ト または IPSec の接続タ イプで識別される特定のク ラ イアン ト に対し て IP ア ド レスを予約する こ とができます。 DHCP サーバは、 そのク ラ イアン ト に常に予約済みのア ド レスを割り当てます。 大 50 の予約ア ド レスを定義できます。

CLI の system dhcp reserved-address コ マン ド を使用し ます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

[DNS Server 1][DNS Server 2][DNS Server 3]

DHCP サーバが DHCP ク ラ イアン ト に割り当てる 大 3 台のDNS サーバの IP ア ド レスを入力し ます。

[WINS Server 1][WINS Server 2]

DHCP サーバが DHCP ク ラ イアン ト に割り当てる 1 つまたは2 つの WINS サーバの IP ア ド レスを追加し ます。

[Option 1][Option 2][Option 3]

DHCP サーバが送信可能なカス タム DHCP オプシ ョ ンを 3 つまで入力し ます。 コー ドは、 1 ～ 255 の範囲の DHCP オプシ ョ ン コー ド です。 オプシ ョ ンは偶数の 16 進文字で、 オプシ ョ ン コー ド によ っては不要です。 DHCP のオプシ ョ ンについては、 RFC 2132、 DHCP オプシ ョ ンおよび BOOTP ベンダ拡張を参照し て く だ さい。

[Exclude Ranges]

[Add] IP 除外範囲を追加し ます。DHCP サーバが DHCP ク ラ イアン ト に割り当てる こ とのできない 大 16 の IP ア ド レスの範囲を追加できます。 どの範囲も 65536 の IP ア ド レスを超える こ とはできません。

[Starting IP] 除外範囲の 初の IP ア ド レスを入力し ます。

[End IP] 除外範囲の 後の IP ア ド レスを入力し ます。

削除アイコン 除外範囲を削除し ます。

[Interface] リ ースを表示する イン タ フ ェースを選択し ます。

[Refresh] ア ド レス リースのリ ス ト を更新し ます。

[IP] 割り当てられた IP ア ド レスです。

[MAC] IP ア ド レスが割り当て られたデバイスの MAC ア ド レスです。

[Expire] DHCP リ ースの期限が切れる日時です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 121

122

アドレス リースの表示 システム - DHCP

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定

F0

システム - 設定この項では、 HA、 SNMP、 カス タム差し替え メ ッ セージ、 VDOM 動作など、 ネ ット ワークに関係し ないい く つかの機能を設定する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• HA

• SNMP

• 差し替え メ ッ セージ

• 動作モー ド および VDOM 管理アクセス

HA、 SNMP、 および差し替え メ ッ セージは、 FortiGate ユニ ッ ト のグローバル設定の一部です。 動作モー ドの変更は、 各 VDOM に適用されます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 123

124

HA システム - 設定

HA

FortiGate 高可用性 (HA) は、 信頼性の向上とパフ ォーマンスの増強とい う 2 つの重要なエン タープ ラ イズ ネ ッ ト ワーキング要件を満たすソ リ ューシ ョ ンを提供し ます。 この項では、 HA Web ベース マネージャ設定オプシ ョ ン、 HA ク ラ スタ メ ンバ リ ス ト 、 HA 統計、 およびク ラ ス タ メ ンバの切断について概説し ます。

FortiGate HA ク ラス タの設定および操作方法の詳細については、 『FortiGate HA 概要』、 『FortiGate HA ガイ ド 』、 および Fortinet Knowledge Center を参照し て く だ さい。

FortiGate モデル 50A、 50AM、 および 224B では、 HA は使用できません。 HA は、FortiGate-50B をはじめとする他のすべての FortiGate で使用できます。

この項には以下の ト ピ ッ クが含まれています。

• HA オプシ ョ ン

• ク ラス タ メ ンバ リ ス ト

• HA 統計の表示

• 副系ユニ ッ ト のホス ト 名およびデバイス プ ラ イオ リ テ ィ の変更

• ク ラス タ ユニ ッ ト のク ラ ス タからの切断

HA オプション

FortiGate ユニ ッ ト を ク ラス タに加えた り、 動作中のク ラス タ またはク ラス タ メンバの設定を変更し た りするには、 HA オプシ ョ ンで設定し ます。

FortiGate ユニ ッ ト を HA ク ラス タに加えるよ う HA オプシ ョ ンを設定するには、[System]、[Config ]、[HA] の順に選択し ます。

HA が有効に設定されている場合、 ク ラス タ メ ンバ リ ス ト を表示するには、[System]、[Config]、[HA] の順に選択し ます。 マス タの FortiGate ユニ ッ ト ( 別称プ ラ イマ リ ユニ ッ ト ) に対し て編集を選択し ます。 プ ラ イマ リ ユニ ッ ト の HA設定を編集する と、 すべての変更が他のク ラス タ ユニ ッ ト にも同期されます。

注記 : FortiOS v3.0 MR2 以前のバージ ョ ンでは、 この HA の項に HA の詳細が含まれていま し た。 FortiOS v3.0 MR3 以降、 HA の詳細については 『FortiGate HA 概要』 または『FortiGate HA ガイ ド』 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 HA

図 62: FortiGate-1000AFA2 ユニットの HA 設定

バーチャル ド メ イ ンを有効にし て FortiGate ユニ ッ ト の HA オプシ ョ ンを設定するには、 グローバル管理者と し てログイ ン し、 [System]、[Config]、[HA] の順に選択し ます。

注記 : FortiGate ク ラス タ でバーチャル ド メ イ ンを使用し ている場合、 HA 仮想ク ラス タが設定されます。 ほとんどの仮想ク ラス タの HA オプシ ョ ンは、 標準の HA オプシ ョ ン と同一です。 ただ し、 仮想ク ラス タ には VDOM パーテ ィ シ ョ ニング オプシ ョ ンが含まれます。標準 HA 設定オプシ ョ ン と仮想ク ラス タ HA 設定オプシ ョ ンのその他の違いについては、以下の説明、 および 『FortiGate HA 概要』 と 『FortiGate HA ガイ ド 』 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 125

126

HA システム - 設定

図 63: FortiGate-5001SX HA 仮想クラスタの設定

[Mode] ク ラス タに HA モー ド を選択するか、 またはク ラス タ内の FortiGate ユニ ッ ト をス タ ン ド アロン モー ド に戻し ます。 ク ラス タ を設定する場合、HA ク ラス タのすべてのメ ンバを同一の HA モー ド に設定する必要があり ます。 [Standalone] (HA を無効化）、 [Active-Passive]、 または [Active-Active] を選択できます。 バーチャル ド メ インが有効になっている場合、 [Active-Passive] または [Standalone] を選択できます。

[Device Priority] オプシ ョ ンで、 ク ラス タ ユニ ッ ト のデバイス プ ラ イオ リ テ ィ を設定します。 ク ラス タ ユニ ッ ト には、 それぞれ別々のデバイス プ ラ イオ リテ ィ を設定できます。 HA ネゴシエーシ ョ ン中、 デバイス プラ イオ リテ ィ の も高いユニ ッ ト が通常プラ イマ リ ユニ ッ ト と な り ます。仮想ク ラス タ設定では、 2 つのデバイス プラ イオ リ テ ィ を設定する ことができ、 各仮想ク ラス タに 1 つ、 それぞれ設定できます。 HA ネゴシエーシ ョ ン中、 仮想ク ラス タ内でデバイス プ ラ イオ リ テ ィ の も高いユニ ッ ト が、 その仮想ク ラス タのプラ イマ リ ユニ ッ ト と な り ます。デバイス プ ラ イオ リ テ ィ の変更は同期されません。 初にク ラス タ を設定する と きに、 デフ ォル ト のデバイス プ ラ イオ リ テ ィ を使用できます。 ク ラス タが動作し ている場合、 必要に応じ て他のク ラス タ ユニ ット のデバイス プ ラ イオ リ テ ィ を変更できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 HA

[Group Name] ク ラス タ を識別するための名前を追加し ます。 グループ名は 大 7 文字です。 ク ラス タ を形成するには、 まず全ク ラス タ ユニ ッ ト に対し てグループ名を同一にする必要があり ます。 グループ名は、 ク ラス タが作動し た後に変更できます。 グループ名の変更は、 すべてのク ラス タ ユニ ッ ト に対し て同期されます。デフ ォル ト のグループ名は FGT-HA です。 初にク ラス タ を設定すると きに、 デフ ォル ト のグループ名を使用できます。 ク ラス タが作動したら、 必要に応じ てグループ名を変更できます。 同一ネ ッ ト ワーク上の 2 つのク ラス タ に同一のグループ名を設定する こ とはできません。

[Password] ク ラス タ を識別するためのパスワー ド を追加し ます。 パスワー ドは大 15 文字です。 ク ラス タ を形成するには、 まず全ク ラス タ ユニ ッ ト に対し てパスワー ド を同一にする必要があり ます。デフ ォル ト ではパスワー ドは設定されていません。 初にク ラス タ を設定する と きに、 デフ ォル ト を使用できます。 ク ラス タが作動し たら、 必要に応じ てパスワー ド を追加できます。同一ネ ッ ト ワーク上の 2 つのクラス タ には、 それぞれ別々のパスワー ド を設定する必要があり ます。

[Enable Session pickup]

プ ラ イマ リ ユニ ッ ト に不具合が生じ た場合に、 新たにプラ イマ リ ユニ ッ ト と なったク ラス タ ユニ ッ ト にすべてのセ ッ シ ョ ンが引き継がれるよ う にするには、 セ ッ シ ョ ン ピ ッ クア ッ プを有効にし ます。セ ッ シ ョ ン ピ ッ クア ッ プはデフ ォル ト で無効に設定されています。 一旦セ ッ シ ョ ン ピ ッ クア ッ プのデフ ォル ト 設定を使用し、 ク ラス タが作動し た後にセ ッ シ ョ ン ピ ッ クア ッ プを有効にする こ と も可能です。

[Port Monitor] 監視されるイ ン タ フ ェースが適切に機能し、 ネ ッ ト ワークに接続されている こ と を監視するには、 FortiGate イン タ フ ェースの監視を有効または無効にし ます。監視対象のイ ン タ フ ェースに不具合が生じ るか、 またはネ ッ ト ワークから切断された場合、 イ ン タ フ ェースはク ラス タから切り離れ、 リ ンク フ ェールオーバーが発生し ます。 リ ン ク フ ェールオーバーが発生する と、 ク ラス タは、 そのイ ン タ フ ェースで処理されている ト ラ フ ィ ック を、 まだネ ッ ト ワークに接続し ている別のク ラス タ ユニ ッ ト の同じイ ン タ フ ェースへとルー ト 変更し ます。 この別のク ラス タ ユニ ッ ト が、新しいプ ラ イマ リ ユニ ッ ト と な り ます。ポー ト 監視はデフ ォル ト で無効に設定されています。 ク ラス タが作動するまでポー ト 監視を無効にし ておき、 接続されているイ ン タ フ ェースに対し てのみポー ト 監視を有効にし ます。

[Heartbeat Interface]

各イ ン タ フ ェースの HA ハー ト ビー ト 通信を有効または無効にし た り、ハー ド ビー ト イン タ フ ェースのプラ イオ リ テ ィ を設定し た り し ます。

も プ ラ イオ リ テ ィ の高いハー ド ビー ト イン タ フ ェースが、 すべてのハー ト ビー ト ト ラ フ ィ ッ ク を処理し ます。 複数のハー ト ビー ト イン タフ ェースのプ ラ イオ リ テ ィ が同一である場合、 イ ン タ フ ェース リ ス ト

上位のハー ト ビー ト イン タ フ ェースがすべてのハー ト ビー ト ト ラフ ィ ッ ク を処理し ます。デフ ォル ト のハー ト ビー ト イン タ フ ェース設定は FortiGate ご とに異なり ますが、 2 つのハー ト ビー ト イ ン タ フ ェースのプ ラ イオ リ テ ィ は通常 50 に設定されます。 デフ ォル ト のハー ト ビー ト イ ン タ フ ェースの 1つまたは両方が接続されている場合、 デフ ォル ト のハー ト ビー ト インタ フ ェース設定を使用できます。ハー ト ビー ト イン タ フ ェースのプラ イオ リ テ ィ の範囲は、 0 ～ 512 です。 新しいハー ト ビー ト イン タ フ ェースを選択し た場合、 デフ ォル トのプ ラ イオ リ テ ィ は 0 です。ハー ト ビー ト イン タ フ ェースは少な く と も 1 つ選択する必要があり ます。 ハー ト ビー ト 通信が中断される と、 ク ラス タは ト ラ フ ィ ッ クの処理を中止し ます。 ハー ト ビー ト イン タ フ ェースの設定については、『FortiGate HA ガイ ド 』 を参照し て く だ さい。

[VDOM partitioning]

仮想ク ラス タ を設定する場合、 仮想ク ラス タ 1 と なるバーチャル ド メイ ン と、 仮想ク ラス タ 2 と なるバーチャル ド メ インを選択できます。ルー ト バーチャル ド メ インは、 常に仮想ク ラス タ 1 である必要があります。 VDOM パーテ ィ シ ョ ニングの設定については、 『FortiGate HA ガイ ド』 を参照し て く だ さ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 127

128

HA システム - 設定

クラスタ メンバ リスト

動作中のク ラ ス タのステータ ス、 およびク ラス タ内の FortiGate ユニ ッ ト のステータ スを表示するには、 ク ラス タ メ ンバ リ ス ト を表示し ます。 ク ラ ス タ メ ンバ リ ス ト を表示するには、 動作中のク ラス タにログイ ン し て、 [System ]、[Config ]、[HA] の順に選択し ます。

図 64: FortiGate-5001SX クラスタ メンバ リストの例

バーチャル ド メ インが有効にな っている場合、 ク ラ ス タ メ ンバ リ ス ト を表示して、 動作中の仮想ク ラス タのステータ スを確認できます。 仮想ク ラ ス タ メ ンバ リ ス ト には、 各仮想ク ラス タに追加されたバーチャル ド メ イ ンを含む、 両方の仮想ク ラス タのステータ スが示されます。

動作中のク ラ ス タのバーチャル ク ラス タ メ ンバ リ ス ト を表示するには、 グローバル管理者と し てログイ ン し、 グローバル設定を選択し て、 [System ]、[Config ]、[HA] の順に選択し ます。

図 65: FortiGate-5001SX 仮想クラスタ メンバ リストの例

ク ラス タからの切断

編集

デバッグ ログのダウンロード

上下矢印

ク ラ ス タからの切断上下矢印

編集デバッ グ ログのダウンロー ド

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 HA

[View HA Statistics] 各ク ラス タ ユニ ッ ト のシ リ アル番号、 ステータ ス、 および監視情報を表示し ます。 130 ページの 「HA 統計の表示」 を参照し てく だ さい。

上下矢印 ク ラス タ メ ンバの表示順を変更し ます。 ク ラス タ またはク ラスタ内のユニ ッ ト の動作には影響あ り ません。 ク ラス タ ユニ ッ トがク ラス タ メ ンバ リ ス ト に表示される順番が変わるだけです。

[Cluster member] ク ラス タ ユニ ッ ト のフ ロン ト パネルの図です。 イ ン タ フ ェースのネ ッ ト ワーク ジャ ッ クが緑色で表示されている場合、 イン タフ ェースは接続されています。 ク ラス タ ユニ ッ ト のホス ト 名、シ リ アル番号、 ユニ ッ ト の動作時間 ( ア ッ プ タ イム )、 およびポー ト 監視が設定されている イン タ フ ェースを表示するには、 マウス ポイ ン タ を各図の上で静止させます。

[Hostname] FortiGate ユニ ッ ト のホス ト 名。 FortiGate ユニ ッ ト のデフ ォル トのホス ト 名は、 FortiGate ユニ ッ ト のシ リ アル番号です。

• プラ イマ リ ユニ ッ ト のホス ト 名を変更するには、 [System]、[Status] の順に選択し、 現在のホス ト 名の隣にある [Change] を選択し ます。

• ク ラス タ メ ンバ リ ス ト から副系ユニ ッ ト のホス ト 名を変更するには、 その副系ユニ ッ ト の編集アイ コ ンを選択し ます。

[Role] ク ラス タ内のク ラス タ ユニ ッ ト のステータ スまたはロール。

• プラ イマ リ (またはマス タ ) ユニ ッ ト のロールは [MASTER] (マス タ ) です。

• 副系 ( またはバッ ク ア ッ プ ) ク ラス タ ユニ ッ ト のロールは、すべて [SLAVE] ( スレーブ ) です。

[Priority] ク ラス タ ユニ ッ ト のデバイスのプ ラ イオ リ テ ィ 。 ク ラス タ ユニ ッ ト には、 それぞれ別々のデバイス プ ラ イオ リ テ ィ を設定できます。 HA ネゴシエーシ ョ ン中、 デバイス プ ラ イオ リ テ ィ のも高いユニ ッ ト がプ ラ イマ リ ユニ ッ ト と な り ます。デバイス プ ラ イオ リ テ ィ の範囲は、 0 ～ 255 です。

クラスタからの切断 選択し たク ラス タ ユニ ッ ト を ク ラス タから切断し ます。 131 ページの 「ク ラス タ ユニ ッ ト のク ラス タからの切断」 を参照し て くだ さい。

編集 ク ラス タ ユニ ッ ト の HA 設定を変更するには、編集を選択し ます。

• プラ イマ リ ユニ ッ ト では、編集を選択し てク ラス タ HA 設定を変更し ます。 プラ イマ リ ユニ ッ ト のデバイス プ ラ イオ リ テ ィを変更する こ と もできます。

• 仮想ク ラス タのプラ イマ リ ユニ ッ ト では、 編集を選択し て仮想ク ラス タ HA 設定を変更し ます。 このク ラス タ ユニ ッ ト の仮想ク ラス タ 1 および仮想ク ラス タ 2 のデバイス プラ イオ リテ ィ を変更する こ と もできます。

• 副系ユニ ッ ト では、 編集を選択し て副系ユニ ッ ト のホス ト 名とデバイス プラ イオ リ テ ィ を変更し ます。 131 ページの 「副系ユニ ッ ト のホス ト 名およびデバイス プラ イオ リ テ ィ の変更」 を参照し て く だ さ い。

• 仮想ク ラス タの副系ユニ ッ ト では、 編集を選択し て副系ユニ ッ ト のホス ト 名を変更し ます。 また、 選択し た仮想ク ラスタの副系ユニ ッ ト のデバイス プラ イオ リ テ ィ を変更できます。 131 ページの 「副系ユニ ッ ト のホス ト 名およびデバイス プ ラ イオ リ テ ィ の変更」 を参照し て く だ さ い。

デバッグ ログのダウンロード

暗号化されたデバッ グ ログを フ ァ イルにダウンロー ド し ます。 このデバ ッ グ ロ グ を フ ォ ー テ ィ ネ ッ ト テ ク ニ カ ル サポー ト(http://support.fortinet.com) に送信する こ とで、ク ラスタ または個々のク ラスタ ユニ ッ ト の問題の診断に役立てる こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 129

130

HA システム - 設定

HA 統計の表示

ク ラス タ メ ンバ リ ス ト から [View HA statistics] を選択し て、 各ク ラ ス タ ユニ ット のシ リ アル番号、 ステータ ス、 および監視情報を表示できます。 HA 統計を表示するには、 [System]、[Config]、[HA] の順に選択し、 [View HA statistics] を選択し ます。

図 66: HA 統計の例 ( アクティブ - パッシブ クラスタ )

[Refresh every] Web ベース マネージャが HA 統計の表示を更新する頻度を制御する場合に選択し ます。

[Back to HA monitor] HA 統計を閉じ て、 ク ラス タ メ ンバ リ ス ト に戻り ます。

[Unit] ク ラス タ ユニ ッ ト のホス ト 名と シ リ アル番号。

[Status] 各ク ラス タ ユニ ッ ト のステータ スを示し ます。 緑色のチ ェ ッ ク マークは、 ク ラス タ ユニ ッ ト が正常に動作し ている こ と を示し ます。 赤色の X は、 ク ラス タ ユニ ッ ト と プ ラ イマ リ ユニ ッ ト が通信不能である こ と を示し ます。

[Up Time] ク ラス タ ユニ ッ ト が前回起動し てからの、 日、 時、 分、 および秒による時間。

[Monitor] 各ク ラス タ ユニ ッ ト のシステム ステータ ス情報を表示し ます。

[CPU Usage] 各ク ラス タ ユニ ッ ト の現在の CPU ステータ ス。 Web ベース マネージャには、 コア プロセスの CPU 使用率のみが表示されます。 管理プロセス ( たと えば、 Web ベース マネージ ャへの HTTPS 接続 ) が使う CPU 使用率は除外されます。

[Memory Usage] 各ク ラス タ ユニ ッ ト の現在のメ モ リ ステータ ス。 Web ベース マネージャには、 コア プロセスのみのメ モ リ使用率が表示されます。管理プロセス ( たと えば、 Web ベース マネージャへの HTTPS 接続 ) のメ モ リ使用率は除外されます。

[Active Sessions] ク ラス タ ユニ ッ ト が処理し ている通信セ ッ シ ョ ンの数。

[Total Packets] 前回の起動以降にク ラス タ ユニ ッ ト が処理し たパケ ッ ト の数。

[Virus Detected] ク ラス タ ユニ ッ ト が検出し たウイルスの数。

[Network Utilization] すべてのク ラス タ ユニ ッ ト イ ン タ フ ェースで使用されているネ ット ワークの総帯域幅。

[Total Bytes] 前回の起動以降にク ラス タ ユニ ッ ト が処理し たバイ ト 数。

[Intrusion Detected] ク ラス タ ユニ ッ ト の侵入防御機能によ っ て検出された侵入または攻撃の数。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 HA

副系ユニットのホスト名およびデバイス プライオリティの変更

動作中のク ラ ス タ内の副系ユニ ッ ト のホス ト 名とデバイス プ ラ イオ リ テ ィ を変更するには、 [System]、[Config]、[HA] の順に選択し て、 ク ラ ス タ メ ンバ リ スト を表示し ます。 ク ラス タ メ ンバ リ ス ト のいずれかのスレーブ ( 下位 ) ユニ ット の編集を選択し ます。

バーチャル ド メ イ ンが有効な動作中のク ラ ス タ内の副系ユニ ッ ト のホス ト 名とデバイス プ ラ イオ リ テ ィ を変更するには、 グローバル管理者と し てログイ ン し、[System]、[Config]、[HA] の順に選択し て、 ク ラ ス タ メ ンバ リ ス ト を表示し ます。 ク ラス タ メ ンバ リ ス ト のいずれかのスレーブ ( 下位 ) ユニ ッ ト の編集を選択し ます。

この副系ユニ ッ ト のホス ト 名 ([Peer]) およびデバイス プ ラ イオ リ テ ィ ([Priority]) を変更できます。 これらの変更は、 副系ユニ ッ ト の設定にのみ影響し ます。

図 67: 副系ユニットのホスト名およびデバイス プライオリティの変更

クラスタ ユニットのクラスタからの切断

[System]、[Config]、[HA] の順に選択し、 [ ク ラス タから切断 ] アイ コ ンを選択する と、 ク ラス タの動作を中断させる こ と な く 、 動作中のク ラ ス タから ク ラ ス タ ユニ ッ ト を切断できます。 FortiGate ユニ ッ ト を、 た と えばス タ ン ド アロン フ ァイアウォールなど別の役割と し て使用する必要がある場合は、 ク ラス タ ユニ ット を切断できます。

図 68: クラスタ メンバの切断

[Peer] 副系ユニ ッ ト のホス ト 名を表示し、 オプシ ョ ンで変更し ます。

[Priority] 副系ユニ ッ ト のデバイス プ ラ イオ リ テ ィ を表示し、 オプシ ョ ンで変更し ます。デバイス プ ラ イオ リ テ ィ は、 ク ラス タ メ ンバ間で同期されません。 動作中のク ラス タにおいて、 デバイス プ ラ イオ リ テ ィ を変更し て、 ク ラス タ内の任意のユニ ッ ト のプ ラ イオ リ テ ィ を変更できます。 次回ク ラス タがネゴシエー ト する際に、 デバイス プ ライオ リ テ ィ の も高いク ラス タ ユニ ッ ト がプ ラ イマ リ ユニ ッ トと な り ます。デバイス プ ラ イオ リ テ ィ の範囲は、 0 ～ 255 です。 デフ ォル ト のデバイス プ ラ イオ リ テ ィ は 128 です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 131

132

HA システム - 設定

[Serial Number] ク ラス タから切断される ク ラス タ ユニ ッ ト のシ リ アル番号を表示し ます。

[Interface] 設定するイ ン タ フ ェースを選択し ます。 このイ ン タ フ ェースの IPア ド レス とネ ッ ト マスク も指定し ます。 FortiGate ユニ ッ ト が切断される と、 このイ ン タ フ ェースに対する管理アクセスのすべてのオプシ ョ ンが有効にな り ます。

[IP/Netmask] イ ン タ フ ェースの IP ア ド レス と ネ ッ ト マスク を指定し ます。 この IP ア ド レスを使用し てこのイン タ フ ェースに接続し、 切断された FortiGate ユニ ッ ト を設定できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 SNMP

SNMP

SNMP (Simple Network Management Protocol) によ り、 ネ ッ ト ワーク上のハー ドウ ェ アを監視できます。 ハー ド ウ ェ ア、 つま り FortiGate SNMP エージ ェ ン ト を設定し て、 SNMP マネージ ャにシステム情報を報告し た り、 ト ラ ッ プ ( アラームやイベン ト メ ッ セージ ) を送信し た り できます。 SNMP マネージャ とは、 エージ ェ ン ト からの受信 ト ラ ッ プを読み取った り情報を追跡でき るアプ リ ケーシ ョ ンが動作し ている コ ンピ ュータ です。 SNMP マネージャ を使用すれば、 どのFortiGate イ ン タ フ ェースまたは SNMP 管理アクセス用に設定された VLAN サブイ ン タ フ ェースからでも、 SNMP ト ラ ッ プおよびデータにア クセスできます。

FortiGate SNMP 実装は読み取り専用です。 SNMP v1 および v2c に準拠し たSNMP マネージャは、 FortiGate システム情報への読み取り専用アクセスが行える と と もに、 FortiGate ト ラ ッ プを受信できます。 FortiGate システム情報を監視し、 FortiGate の ト ラ ッ プを受信するには、 フ ォーテ ィ ネ ッ ト 独自 MIB と フ ォーテ ィ ネ ッ ト がサポー ト する標準 MIB を SNMP マネージャにコ ンパイルする必要があ り ます。

RFC サポー ト には、 大部分の RFC 2665 (Ethernet-like MIB) と、 大部分の RFC 1213 (MIB II) のサポー ト が含まれます ( 詳細については、 136 ページの「フ ォーテ ィ ネ ッ ト MIB」 を参照し て く だ さい。 )

SNMP の設定

SNMP エージ ェ ン ト を設定するには、 [System]、[Config]、[SNMP v1/v2c] の順に選択し ます。

図 69: SNMP の設定

注記 : SNMP マネージ ャの設定の 1 つと し て、 監視対象と なる FortiGate ユニ ッ ト 上のコミ ュニテ ィ のホス ト と し て自身を リ ス ト に加える作業があり ます。 これを行わないと、SNMP モニ タは FortiGate ユニ ッ ト からの ト ラ ッ プを一切受信せず、 クエ リ も行えません。

[SNMP Agent] FortiGateSNMP エージ ェ ン ト を有効にし ます。

[Description] FortiGate ユニ ッ ト についての説明情報を入力し ます。 文字数は 大35 文字です。

[Location] FortiGate ユニ ッ ト の物理的な場所を入力し ます。 システムの場所情報は 大 35 文字です。

[Contact] この FortiGate ユニ ッ ト の担当者の連絡先情報を入力し ます。 連絡先情報は 大 35 文字です。

[Apply] 説明、 場所、 および連絡先情報への変更を保存し ます。

[Create New] 新しい SNMP コ ミ ュニテ ィ を追加するには、 [Create New] を選択します。134 ページの 「SNMP コ ミ ュニテ ィ の設定」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 133

134

SNMP システム - 設定

SNMP コミュニティの設定

SNMP コ ミ ュ ニテ ィ とは、 ネ ッ ト ワーク管理を目的と し た機器のグループです。SNMP コ ミ ュニテ ィ を追加する と、 SNMP マネージャは FortiGate ユニ ッ ト に接続し、 システム情報を表示し た り、 SNMP ト ラ ッ プを受信し た り できます。 大で3 つの SNMP コ ミ ュニテ ィ を追加できます。 各コ ミ ュニテ ィ には、 それぞれ別々の SNMP ク エ リ および ト ラ ッ プを設定できます。 各コ ミ ュニテ ィ は、 FortiGate ユニ ッ ト の別々のイベン ト セ ッ ト を監視するよ う に設定できます。 また、 各コ ミ ュニテ ィ には、 大 8 つの SNMP マネージャの IP ア ド レスを追加できます。

図 70: SNMP コミュニティ オプション ( パート 1)

[Communities] FortiGate の設定に追加された SNMP コ ミ ュニテ ィ のリ ス ト 。 大で3 つのコ ミ ュニテ ィ を追加できます。

[Name] SNMP コ ミ ュニテ ィ の名前。

[Queries] 各 SNMP コ ミ ュニテ ィ の SNMP ク エ リのステータ ス。 ク エ リ ステータ スは有効または無効にできます。

[Traps] 各 SNMP コ ミ ュニテ ィ の SNMP ト ラ ッ プのステータ ス。 ト ラ ッ プ ステータ スは有効または無効にできます。

[Enable] SNMP コ ミ ュニテ ィ をア ク テ ィ ブにするには、[Enable] を選択し ます。

削除アイコン SNMP コ ミ ュニテ ィ を削除するには、削除アイ コ ンを ク リ ッ ク し ます。

編集 / 表示アイコン

SNMP コ ミ ュニテ ィ を表示または修正する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 SNMP

図 71: SNMP コミュニティ オプション ( パート 2)

[Community Name] SNMP コ ミ ュニテ ィ を識別する名前を入力し ます。

[Hosts] FortiGate ユニ ッ ト を監視するために、 IP ア ド レスを入力し、 このSNMP コ ミ ュニテ ィ の設定を使用でき る SNMP マネージャ を特定します。

[IP Address] FortiGate ユニ ッ ト を監視するためにこの SNMP コ ミ ュニテ ィ の設定を使用できる SNMP マネージ ャの IP ア ド レス。 IP ア ド レスを0.0.0.0 に設定する と、 任意の SNMP マネージ ャがこの SNMP コ ミ ュニテ ィ を使用できるよ う にな り ます。

[Interface] オプシ ョ ンで、 FortiGate ユニ ッ ト に接続するためにこの SNMP マネージャが使用するイ ン タ フ ェースの名前を選択し ます。 SNMP マネージャが FortiGate ユニ ッ ト と同一のサブネ ッ ト 上にない場合のみ、 イ ン タ フ ェースを選択する必要があり ます。 このよ う な状況は、 SNMP マネージ ャがイ ン ターネ ッ ト 上にある場合や、 ルータの背後にある場合に生じ る可能性があり ます。

[Delete] SNMP マネージ ャ を削除するには、 削除アイ コ ンを選択し ます。

[Add] ホス ト リ ス ト に空白行を追加し ます。 1 つのコ ミ ュニテ ィ に 大 8つの SNMP マネージ ャ を追加できます。

[Queries] FortiGate ユニ ッ ト から設定情報を受信するために、 このコ ミ ュニテ ィ の SNMP マネージ ャが SNMP v1 および SNMP v2c ク エ リ に使用するポー ト 番号 ( デフ ォル ト で 161) を入力し ます。 各 SNMP バージ ョ ンのク エ リ をアク テ ィ ブにするには、 [Enable] チ ェ ッ クボ ッ クスをオンにし ます。

[Traps] FortiGate ユニ ッ ト が、 このコ ミ ュニテ ィ の SNMP マネージャにSNMP v1 および SNMP v2c ト ラ ッ プを送信するのに使用する、 ローカルおよびリ モー ト ポー ト 番号を入力し ます ( それぞれデフ ォル トでポー ト 162)。 各 SNMP バージ ョ ンの ト ラ ッ プをア クテ ィ ブにするには、 [Enable] チ ェ ッ クボ ッ ク スをオンにし ます。

[SNMP Event] FortiGate ユニ ッ ト がこのコ ミ ュニテ ィ の SNMP マネージャに ト ラ ップを送信する必要がある SNMP イベン ト をそれぞれ有効にし ます。[Temperature too high] と [Voltage out of range] のイベン ト ト ラ ッ プは、 FortiGate 5001 でのみ使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 135

136

SNMP システム - 設定

SNMP アクセスについてインタフェースを設定するには

SNMP マネージ ャが FortiGate エージ ェ ン ト に接続でき るよ う にするには、 SNMP接続を認めるよ う FortiGate イン タ フ ェ ースを 1 つ以上設定する必要があ り ます。

1 [System]、[Network]、[Interface] の順に選択し ます。

2 SNMP マネージ ャが接続する イ ン タ フ ェースを選択し て、 編集を選択し ます。

3 [Administrative Access] で [SNMP] を選択し ます。

4 [OK] を選択し ます。

トランスペアレント モードで SNMP アクセスを設定するには

1 [System]、[Config]、[Operation]、[Mode] の順に選択します。

2 管理アクセスに使用する IP ア ド レス と ネ ッ ト マス ク を [Management IP/Netmask] フ ィ ールド に入力し ます。

3 [Apply] を選択し ます。

フォーティネット MIB

FortiGate SNMP エージ ェ ン ト は、 フ ォーテ ィ ネ ッ ト 独自 MIB と標準 RFC 1213 および RFC 2665 MIB をサポー ト し ます。 RFC のサポー ト には、 RFC 2665 (Ethernet-like MIB) の一部と、FortiGate ユニ ッ ト 設定に適用される RFC 1213 (MIB II) の一部のサポー ト が含まれます。

FortiGate MIB と 2 つの RFC MIB を表 8 に示し ます。 これらの MIB フ ァ イルは、フ ォーテ ィ ネ ッ ト テ クニカル サポー ト から入手可能です。 SNMP エージ ェ ン トと通信を行えるよ う にするには、 これらの MIB をすべて SNMP マネージャにコンパイルする必要があ り ます。

SNMP マネージ ャによ っては、 すぐに使用でき る コ ンパイル済みのデータベースに標準および非公開の MIB がすでに含まれている場合があ り ます。 フ ォーテ ィネ ッ ト 独自 MIB は、 このデータベースに追加する必要があ り ます。 フ ォーテ ィネ ッ ト SNMP エージ ェ ン ト が使用する標準 MIB が SNMP マネージ ャにコ ンパイル済みである場合は、 再度コ ンパイルする必要はあ り ません。

表 8: フォーティネット MIB

MIB ファイル名またはRFC

説明

fortinet.3.00.mib フ ォーテ ィ ネ ッ ト 独自 MIB には、 FortiGate の詳細なシステム設定情報と ト ラ ッ プ情報が含まれます。 SNMP マネージャは、FortiGate の設定を監視し た り、 FortiGate SNMP エージ ェ ン ト から ト ラ ッ プを受信し た りするのに、 この情報を必要と し ます。137 ページの 「FortiGate ト ラ ッ プ」 および 139 ページの「フ ォーテ ィ ネ ッ ト MIB フ ィ ールド」 を参照し て く だ さい。

RFC-1213 (MIB II) FortiGate SNMP エージ ェ ン ト は、 以下を例外と し て、 MIB II グループをサポー ト し ます。

• MIB II からの EGP グループはサポー ト されません (RFC 1213、項 3.11 および 6.10)。

• MIB IIグループ (IP/ICMP/TCP/UDPなど) に返されるプロ ト コル統計では、 FortiGate の ト ラ フ ィ ッ ク活動がすべて正確にキャ プチャ されるわけではあり ません。 よ り正確な情報は、フ ォーテ ィ ネ ッ ト MIB が報告する情報から取得できます。

RFC-2665(Ethernet-like MIB)

FortiGate SNMP エージ ェ ン ト は、 以下を例外と し て、 Ethernet-like MIB の情報をサポー ト し ます。

dot3Tests および dot3Errors グループはサポー ト されません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 SNMP

FortiGate トラップ

FortiGate エージ ェ ン ト は、 SNMP コ ミ ュニテ ィ に追加し た SNMP マネージャにト ラ ッ プを送信できます。 ト ラ ッ プを受信するには、 SNMP マネージャにフ ォーテ ィ ネ ッ ト 3.0 MIB をロー ド およびコ ンパイルする必要があ り ます。

すべての ト ラ ッ プに、 ト ラ ッ プ メ ッ セージに加えて FortiGate ユニ ッ ト のシ リ アル番号とホス ト 名が含まれます。

表 9: 一般的な FortiGate トラップ

トラップ メッセージ 説明

ColdStartWarmStartLinkUpLinkDown

RFC 1215 に記述されている標準的な ト ラ ッ プ。

表 10: FortiGate システム トラップ

トラップ メッセージ 説明

CPU 使用率が高い (fnTrapCpuHigh)

CPU 使用率が 90% を超えています。 このし きい値は、 CLIで config system global を実行し て設定できます。

メ モ リの残量が少ない (fnTrapMemLow)

メ モ リ使用率が 90% を超えています。 このし きい値は、 CLIで config system global を実行し て設定できます。

イ ン タ フ ェース IP の変更(fnTrapIfChange)

FortiGate イ ン タ フ ェースの IP ア ド レスの変更。 ト ラ ッ プ メ ッ セージには、 FortiGate ユニ ッ ト のイ ン タ フ ェース名、新しい IP ア ド レス、 およびシ リ アル番号が含まれます。この ト ラ ッ プを使用する と、 DHCP または PPPoE を使用し てダイナ ミ ッ ク IP ア ド レスが設定されたイン タ フ ェースの IP ア ド レスの変更を追跡できます。

温度が高過ぎる(fnTrapTempHigh)

ハー ド ウェ アのセンサが高温を検出し ています。これは、 FortiGate 5001 でのみ利用できます。

電圧が範囲外 (fnTrapVoltageOutOfRange)

ハードウェアのセンサが異常な電力レベルを検出しています。これは、 FortiGate 5001 でのみ利用できます。

(fnFMTrapIfChange) メ ッ セージはあり ません。 イ ン タ フ ェースによ って IP が変更されています。 監視を行う FortiManager にのみ送信されます。

(fnFMTrapConfChange) 接続された FortiManager ユニ ッ ト による変更を除 く 、FortiGate ユニ ッ ト に対し て行われた任意の設定変更。

表 11: FortiGate VPN トラップ

トラップ メッセージ 説明

VPN ト ンネルが起動 (fnTrapVpnTunUp)

IPSec VPN ト ンネルが起動し ま し た。

VPN ト ンネルが停止 (fnTrapVpnTunDown)

IPSec VPN ト ンネルが停止し ま し た。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 137

138

SNMP システム - 設定

表 12: FortiGate IPS トラップ

トラップ メッセージ 説明

IPS ア ノ マ リfnTrapIpsAnomaly

IPS ア ノ マ リが検出されま し た。

IPS シグネチャfnTrapIpsSignature)

IPS シグネチャが検出されま し た。

表 13: FortiGate アンチウイルス トラップ

トラップ メッセージ 説明

ウイルスを検出 (fnTrapAvEvent)

FortiGate ユニ ッ ト がウイルスを検出し、 HTTP またはFTP ダウンロー ド、 あるいは電子メ ール メ ッ セージから感染し たフ ァ イルを除去し ま し た。

サイズ超過のフ ァ イル /電子メ ールを検出(fnTrapAvOversize)

FortiGate ユニ ッ ト のアンチウイルス スキャナが、 サイズ超過のフ ァ イルを検出し ま し た。

フ ァ イル名のブロ ッ ク を検出(fnTrapAvPattern)

FortiGate ユニ ッ ト のアンチウイルス スキャナが、 パターンに一致し たフ ァ イルをブロ ッ ク し ています。

断片化し た電子メ ールを検出(fnTrapAvFragmented)

FortiGate ユニ ッ ト のアンチウイルス スキャナが、 断片化し たフ ァ イルまたは添付フ ァ イルを検出し ています。

表 14: FortiGate ロギング トラップ

トラップ メッセージ 説明

ログの空きな し(fnTrapLogFull)

ハー ド ド ラ イブ搭載の FortiGate ユニ ッ ト では、 ハー ド ド ラ イブの使用率が 90% を超えています。 ハー ド ド ラ イブを搭載し ない FortiGate ユニ ッ ト では、 メ モ リへのログの使用率が 90% を超えています。このし きい値は、 CLI で config system global を実行し て設定できます。

表 15: FortiGate HA トラップ

トラップ メッセージ 説明

HA の切り替え(fnTrapHaSwitch)

HA ク ラス タのプ ラ イマ リ ユニ ッ ト に障害が発生し、 新し いプラ イマ リ ユニ ッ ト に切り換わっています。

HA ハー ト ビー ト の障害(fnTrapHaHBFail)

HA 監視イ ン タ フ ェースがハー ト ビー ト を行っていません。

表 16: FortiBridge トラップ

トラップ メッセージ 説明

FortiBridge が障害を検出(fnTrapBridge)

FortiBridge ユニ ッ ト が、 FortiGate ユニ ッ ト の障害を検出し ています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 SNMP

フォーティネット MIB フィールド

フ ォーテ ィ ネ ッ ト MIB には、 FortiGate ユニ ッ ト の現在のステータ ス情報を報告する フ ィ ール ドが含まれています。 次の表は、 MIB フ ィ ール ドの名前とそれぞれのステータ ス情報の一覧です。 fortinet.3.00.mib フ ァ イルを SNMP マネージャにコンパイルし、 Fortinet MIB フ ィ ール ド を表示する こ と で、 すべてのフ ォーテ ィネ ッ ト MIB フ ィ ールド の情報の詳細を表示できます。

表 17: システム MIB フィールド

MIB フィールド 説明

fnSysModel FortiGate モデル番号。た と えば FortiGate-400 では 400 と な り ます。

fnSysSerial FortiGate ユニ ッ ト のシ リ アル番号。

fnSysVersion FortiGate ユニ ッ ト で現在実行中のフ ァームウェ アのバージ ョ ン。

fnSysVersionAv FortiGate ユニ ッ ト にインス ト ールされたアンチウイルス定義のバージ ョ ン。

fnSysVersionNids FortiGate ユニ ッ ト にインス ト ールされた攻撃定義のバージ ョ ン。

fnSysHaMode 現在の高可用性 (HA) モー ド ( ス タ ン ド アロン、 A-A、 A-P)。

fnSysOpMode FortiGate ユニ ッ ト の動作モー ド (NAT または ト ラ ンスペアレン ト )。

fnSysCpuUsage 現在の CPU 使用率 (%)。

fnSysMemUsage 現在のメ モ リ使用量 (MB)。

fnSysDiskCapacity ハー ド デ ィ スクの容量 (MB)。

fnSysDiskUsage 現在のハー ド デ ィ スクの使用量 (MB)。

fnSysSesCount 現在の IP セ ッ シ ョ ン数。

表 18: HA MIB フィールド

MIB フィールド 説明

fnHaSchedule A-A モー ドの負荷分散スケジュール。

fnHaStatsTable HA ク ラス タの個々の FortiGate ユニ ッ ト の統計。

fnHaStatsIndex ク ラスタ内のユニ ッ ト のインデッ クス番号。

fnHaStatsSerial FortiGate ユニ ッ ト のシ リ アル番号。

fnHaStatsCpuUsage 現在の FortiGate ユニ ッ ト の CPU 使用率 (%)。

fnHaStatsMemUsage 現在のユニ ッ ト のメ モ リ使用量 (MB)。

fnHaStatsNetUsage 現在 の ユ ニ ッ ト の ネ ッ ト ワ ー ク 使用 量(Kbps)。

fnHaStatsSesCount アク テ ィ ブなセ ッ シ ョ ンの数。

fnHaStatsPktCount 処理されたパケ ッ ト の数。

fnHaStatsByteCount FortiGate ユニ ッ ト が処理し たバイ ト 数。

fnHaStatsIdsCount 直近 20 時間に IPS が検出し た攻撃の数。

fnHaStatsAvCount 直近20時間にアンチウイルス システムが検出し たウイルスの数。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 139

140

SNMP システム - 設定

表 19: 管理者アカウント

MIB フィールド 説明

fnAdminNumber FortiGate ユニ ッ ト 上の管理者の人数。

fnAdminTable 管理者の表。

fnAdminIndex 管理者アカウン ト のイ ンデ ッ クス番号。

fnAdminName 管理者アカウン ト のユーザ名。

fnAdminAddr この管理者アカウン ト を使用する こ とのできる、 信頼できるホス ト またはサブネ ッ ト のア ドレス。

fnAdminMask fnAdminAddr のネ ッ ト マスク。

表 20: ローカル ユーザ

MIB フィールド 説明

fnUserNumber FortiGate ユニ ッ ト 上のローカル ユーザ アカウン ト 数。

fnUserTable ローカル ユーザの表。

fnUserIndex ローカル ユーザ アカウン ト のインデッ クス番号。

fnUserName ローカル ユーザ アカウン ト のユーザ名。

fnUserAuth ローカル ユーザの認証タ イプ。local - FortiGate ユニ ッ ト に保存されたパスワー ドradius-single - RADIUS サーバに保存されたパスワードradius-multiple - RADIUS サーバで認証できるすべてのユーザがログオン可能ldap - LDAP サーバに保存されたパスワー ド

fnUserState ローカル ユーザが有効か無効かを示し ます。

表 21: オプション

MIB フィールド 説明

fnOptIdleTimeout 分単位のアイ ドル期間で、 これを過ぎる と管理者は再認証を受ける必要があ り ます。

fnOptAuthTimeout 分単位のアイ ドル期間で、 これを過ぎる とユーザはフ ァ イアウォールで再認証を受ける必要があり ます。

fnOptLanguage Web ベース マネージャの言語。

fnOptLcdProtection LCD PIN が設定されているかど うかを示し ます。

表 22: [Logging]

MIB フィールド 説明

fnLogOption ロギングの基本設定。

表 23: カスタム メッセージ

MIB フィールド 説明

fnMessages FortiGate ユニ ッ ト 上のカス タム メ ッ セージの数。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 SNMP

表 24: バーチャル ドメイン

MIB フィールド 説明

fnVdNumber FortiGate ユニ ッ ト 上のバーチャル ド メ イ ン数。

fnVdTable バーチャル ド メ イ ンの表。

fnVdIndex FortiGate ユニ ッ ト 上の内部バーチャル ド メ イ ンのイ ンデッ クス番号。

fnVdName バーチャル ド メ インの名前。

表 25: アクティブ IP セッション

MIB フィールド 説明

fnIpSessIndex アク テ ィ ブな IP セ ッ シ ョ ンのインデッ クス番号。

fnIpSessProto セ ッ シ ョ ンの IP プロ ト コル (TCP、 UDP、 ICMP など )。

fnIpSessFromAddr アク テ ィ ブな IP セ ッ シ ョ ンの送信 IP ア ド レス。

fnIpSessFromPort アク テ ィ ブな IP セ ッ シ ョ ンの送信ポー ト 。

fnIpSessToPort アク テ ィ ブな IP セ ッ シ ョ ンの送信 IP ア ド レス。

fnIpSessToAddr アク テ ィ ブな IP セ ッ シ ョ ンの受信ポー ト です。

fnIpSessExp セ ッ シ ョ ンの秒単位の有効期限または TTL (time-to-live)。

表 26: ダイヤルアップ VPN

MIB フィールド 説明

fnVpnDialupIndex ダイヤルア ッ プ VPN ピアのインデッ ク ス。

fnVpnDialupGateway リ モー ト ゲー ト ウ ェ イ IP ア ド レス。

fnVpnDialupLifetime 秒単位の VPN ト ンネル存続期間。

fnVpnDialupTimeout 次のキー交換までの残り時間 ( 秒 )。

fnVpnDialupSrcBegin リ モー ト サブネ ッ ト ア ド レス。

fnVpnDialupSrcEnd リ モー ト サブネ ッ ト マスク。

fnVpnDialupDstAddr ローカル サブネ ッ ト ア ド レス。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 141

142

SNMP システム - 設定

表 27: VPN トンネル

MIB フィールド 説明

fnVpnTunEntIndex VPN ト ンネルの固有インデッ ク ス。

fnVpnTunEntPhase1Name フ ェーズ 1 設定の説明用の名前。

fnVpnTunEntPhase2Name フ ェーズ 2 設定の説明用の名前。

fnVpnTunEntRemGwyIp リ モー ト ゲー ト ウェ イの IP。

fnVpnTunEntRemGwyPort リ モー ト ゲー ト ウェ イのポー ト 。

fnVpnTunEntLocGwyIp ローカル ゲー ト ウェ イの IP。

fnVpnTunEntLocGwyPort ローカル ゲー ト ウェ イのポー ト 。

fnVpnTunEntSelectorSrcBeginIp 送信元セレ ク タのア ド レス範囲の始ま り。

fnVpnTunEntSelectorSrcEndIp 送信元セレ ク タのア ド レス範囲の終わり。

fnVpnTunEntSelectorSrcPort 送信元セレ ク タ ポー ト 。

fnVpnTunEntSelectorDstBeginIp 送信先セレ ク タのア ド レス範囲の始ま り。

fnVpnTunEntSelectorDstEndIp 送信先セレ ク タのア ド レス範囲の終わり。

fnVpnTunEntSelectorDstPort 送信先セレ ク タ ポー ト 。

fnVpnTunEntSelectorProto セレ ク タのプロ ト コル番号。

fnVpnTunEntSelectorLifeSecs 秒単位の ト ンネル存続期間。

fnVpnTunEntSelectorLifeBytes バイ ト 単位の ト ンネル存続期間。

fnVpnTunEntTimeout 秒単位の ト ンネルのタ イムアウ ト 。

fnVpnTunEntInOctets ト ンネルの受信バイ ト 数。

fnVpnTunEntOutOctets ト ンネルの送信バイ ト 数。

fnVpnTunEntStatus ト ンネルの現在のステータ スで、 起動または停止のいずれかです。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 差し替えメッセージ

差し替えメッセージ

差し替え メ ッ セージを変更し、 FortiGate ユニ ッ ト によ り電子 メ ール メ ッ セージ、 Web ページ、 および FTP セ ッ シ ョ ンに追加されるアラー ト メ ールや情報をカス タ マイズするには、 [System]、[Config ]、[Replacement Messages] の順に選択し ます。

FortiGate ユニ ッ ト は、 さ まざまなコ ンテンツ ス ト リ ームに差し替え メ ッ セージを追加し ます。 た と えば、 電子メ ール メ ッ セージにウイルスが発見された場合、電子メ ールからそのフ ァ イルが除去され、 差し替え メ ッ セージに置き換えられます。 Web フ ィ ルタ リ ングでブロ ッ ク されたページや、 スパム フ ィ ルタ リ ングでブロ ッ ク された電子メ ールも同様です。

差し替えメッセージ リスト

図 72: 差し替えメッセージ リスト

注記 : フ ォーテ ィ ネ ッ ト が用意し た免責の差し替え メ ッ セージは、 例に過ぎません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 143

144

差し替えメッセージ システム - 設定

差し替えメッセージの変更

図 73: サンプルの HTTP ウイルス差し替えメッセージ

差し替え メ ッ セージは、 テキス ト または HTML メ ッ セージが可能です。 HTMLメ ッ セージには HTML コー ド を追加できます。 差し替え メ ッ セージで使用する形式は、 [Allowed Formats] に表示されます。 差し替え メ ッ セージには、 各々 8192文字の制限があ り ます。

また、 差し替え メ ッ セージには、 差し替え メ ッ セージ タグを含める こ とができます。 ユーザが差し替え メ ッ セージを受信する と、 差し替え メ ッ セージ タグはそのメ ッ セージに関連し たコ ンテンツに置き換えられます。 表 28 は、 追加できる差し替え メ ッ セージ タグの一覧です。

[Name] 差し替え メ ッ セージの種類。 カテゴ リ を展開または縮小するには、 青色の三角形を選択し ます。 メ ッ セージを変更し て以下に追加できます。

• ウイルス感染フ ァ イルが添付された電子メ ール

• Web ページ (http)

• ftp セ ッ シ ョ ン

• 警告メ ール メ ッ セージ

• スパムと し てブロ ッ ク された smtp 電子メ ール

• Web フ ィ ルタのカテゴ リ ブロ ッ クでブロ ッ ク された Web ページ

• イ ンス タ ン ト メ ッ セージおよびピアツーピア セ ッ シ ョ ン

また、 以下の変更も行えます。

• ユーザ認証用のログイ ン ページおよびログイ ン拒否ページ

• ユーザおよび管理者認証用の免責メ ッ セージ ( 一部のモデル )

• 認証用のキープア ラ イブ ページ

• FortiGuard Web フ ィ ルタ リ ング ブロ ッ ク無効化ページ

• SSL-VPN のログイン ページ

[Description] 差し替え メ ッ セージの種類の説明。 Web ベース マネージ ャは、 それぞれの差し替え メ ッ セージが FortiGate ユニ ッ ト で使用される箇所を示し ます。

編集または表示アイコン

差し替え メ ッ セージを編集または表示する場合に選択し ます。

注記 : FortiOS は、 フ ァ イアウォールが有効になる前に、 ユーザが承認する認証免責ページを HTTP を使用し て送信し ます。 し たがって、 認証免責ページを表示させるには、 ユーザは、 まず HTTP ト ラ フ ィ ッ ク を開始する必要があ り ます。 免責事項が承認される と、ユーザはフ ァ イアウォール ポリ シーで許可された ト ラ フ ィ ッ ク をすべて送信できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 差し替えメッセージ

表 28: 差し替えメッセージ タグ

タグ 説明

%%AUTH_LOGOUT%% 現在のポ リ シーをただちに削除し、 セ ッ シ ョ ンを終了するURL。 auth-keepalive ページで使用されます。

%%AUTH_REDIR_URL%% auth-keepalive ページで、 このタグにリ ン ク し た新しいウ ィ ンド ウを開 く よ う ユーザに促すこ とができます。

%%CATEGORY%% Web サイ ト のコ ンテンツ カテゴ リの名前。

%%DEST_IP%% ウイルスが送信された要求宛先の IP ア ド レス。 電子メ ールの場合、 これはウイルスを含む電子メ ールを送信し た電子メ ール サーバの IP ア ド レスです。 HTTP の場合は、 これはウイルスを送信し た Web ページの IP ア ド レスです。

%%EMAIL_FROM%% フ ァ イルが除去された メ ッ セージの送信者の電子メ ール ア ドレス。

%%EMAIL_TO%% フ ァ イルが除去された メ ッ セージの所定の受信者の電子メ ール ア ド レス。

%%FAILED_MESSAGE%% auth-login-failed ページに表示されるログイ ン失敗メ ッ セージ。

%%FILE%% コ ンテンツ ス ト リームから除去されたフ ァ イルの名前。 これは、 ウイルスを含んだフ ァ イル、 またはアンチウイルスのフ ァ イル ブロ ッ クによ ってブロ ッ ク されたフ ァ イルの場合があり ます。 ウイルスおよびフ ァ イル ブロ ッ ク メ ッ セージには、 %%FILE%% が使用できます。

%%FORTIGUARD_WF%% FortiGuard - Web フ ィ ルタ リ ングのロゴ。

%%FORTINET%% フ ォーテ ィ ネ ッ ト のロゴ。

%%HTTP_ERR_CODE%% HTTP エラー コー ド。 たと えば "404"。

%%HTTP_ERR_DESC%% HTTP エラー コー ドの説明。

%%KEEPALIVEURL%% auth-keepalive-page は、 %%TIMEOUT%% の秒ご と にこの URL に自動的に接続し、 接続ポ リ シーを更新し ます。

%%NIDSEVENT%% IPS 攻撃メ ッ セージ。 電子メールの侵入メ ッ セージを警告するため、 %%NIDSEVENT%% が追加されます。

%%OVERRIDE%% FortiGuard Web フ ィ ルタ リ ング無効化フ ォームへのリ ン ク。 これは、 FortiGuard Web フ ィ ルタ リ ング無効化の作成が許可されたグループにユーザが属する場合にのみ表示されます。

%%OVRD_FORM%% FortiGuard Web フ ィ ルタ ブロ ッ ク無効化ページ。 このタグは、FortiGuard Web フ ィ ルタ リ ング無効化フ ォームになければな りません。 他の差し替え メ ッ セージに使用し ないで く だ さ い。

%%PROTOCOL%% ウイルスが検出されたプロ ト コル (http、 ftp、 pop3、 imap、 または smtp)。 電子メ ールのウイルス メ ッ セージを警告するため、 %%PROTOCOL%% が追加されます。

%%QUARFILENAME%% コ ンテンツ ス ト リームから除去され、 隔離場所に追加されたフ ァ イルの名前。 これは、 ウイルスを含んだフ ァ イル、 またはアンチウイルスのフ ァ イル ブロ ッ クによ ってブロ ッ ク されたフ ァ イルの場合があり ます。 ウイルスおよびフ ァ イル ブロ ッ ク メ ッ セージには、 %%QUARFILENAME%% が使用できます。 隔離は、 ローカル デ ィ スク を備えた FortiGate ユニ ッ ト でのみ利用できます。

%%QUESTION%% auth-challenge ページの認証チャ レンジの質問。auth-loginページでユーザ名とパスワー ドの入力が求められます。

%%SERVICE%% Web フ ィ ルタ リ ング サービス名。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 145

146

差し替えメッセージ システム - 設定

認証ログイン ページの変更

ユーザが認証に必要な VPN またはフ ァ イアウォール ポ リ シーを使用する際、 認証ログイ ン ページが表示されます。 このページは、 他の差し替え メ ッ セージの変更と同様の方法でカス タ マイズできますが、 い く つか固有の条件があ り ます。

• ログイン ページは、 ACTION="/" および METHOD="POST" のフ ォームを含むHTML ページである必要があ り ます。

• フ ォームには、 次の隠し制御が含まれている必要があ り ます。

• <INPUT TYPE="hidden" NAME="%%MAGICID%%" VALUE="%%MAGICVAL%%">

• <INPUT TYPE="hidden" NAME="%%STATEID%%" VALUE="%%STATEVAL%%">

• <INPUT TYPE="hidden" NAME="%%REDIRID%%" VALUE="%%PROTURI%%">

• フ ォームには、 目に見える次の制御が含まれている必要があ り ます。

• <INPUT TYPE="text" NAME="%%USERNAMEID%%" size=25>• <INPUT TYPE="text" NAME="%%USERNAMEID%%" size=25>

例

以下は、 上述の条件を満たすシンプルな認証ページの一例です。

<HTML><HEAD><TITLE> フ ァ イアウォール認証 </TITLE></HEAD><BODY><H4> このサービスを利用するには、 認証を行わなければな り ません。</H4>

<FORM ACTION="/" method="post"><INPUT NAME="%%MAGICID%%" VALUE="%%MAGICVAL%%" TYPE="hidden">

<TABLE ALIGN="center" BGCOLOR="#00cccc" BORDER="0"CELLPADDING="15" CELLSPACING="0" WIDTH="320"><TBODY>

<TR><TH> ユーザ名 :</TH><TD><INPUT NAME="%%USERNAMEID%%" SIZE="25" TYPE="text"> </TD></TR>

<TR><TH> パスワー ド :</TH><TD><INPUT NAME="%%PASSWORDID%%" SIZE="25" TYPE="password"> </TD></TR>

%%SOURCE_IP%% ブロ ッ ク されたフ ァ イルを受信する要求発信元の IP ア ド レス。 電子メ ールでは、 これは、 フ ァ イルが除去された メ ッセージをダウンロー ド し よ う と し たユーザのコ ンピ ュータのIP ア ド レスです。

%%TIMEOUT%% 認証キープアラ イブ接続間の設定秒数。 auth-keepalive ページで使用されます。

%%URL%% Web ページの URL。 これは、 Web フ ィ ルタのコ ンテンツ ブロ ッ クまたは URL ブロ ッ ク でブロ ッ ク された Web ページである可能性があ り ます。 %%URL%% は、 ブロ ッ ク されたフ ァ イルのダウンロー ド をユーザが試みる Web ページの URL とするために、 http ウイルスおよびフ ァ イル ブロ ッ ク メ ッ セージでも使用される場合があ り ます。

%%VIRUS%% アンチウイルス システムでフ ァ イル内に発見されたウイルスの名前。 %%VIRUS%% は、 ウイルス メ ッ セージ内で使用できます。

表 28: 差し替えメッセージ タグ ( 続き )

タグ 説明

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 差し替えメッセージ

<TR><TD COLSPAN="2" ALIGN="center" BGCOLOR="#00cccc"><INPUT NAME="%%STATEID%%" VALUE="%%STATEVAL%%" TYPE="hidden"><INPUT NAME="%%REDIRID%%" VALUE="%%PROTURI%%" TYPE="hidden"><INPUT VALUE="Continue" TYPE="submit"> </TD></TR>

</TBODY></TABLE></FORM></BODY></HTML>

FortiGuard Web フィルタリング ブロック無効化ページの変更

%%OVRD_FORM%% タグは、 FortiGuard Web フ ィ ルタ リ ングで Web ページへのアクセスがブロ ッ ク された場合に、 無効の処理を開始するために使用される フ ォームです。 差し替え メ ッ セージから このタグを削除し ないで く だ さい。

SSL-VPN ログイン メッセージの変更

SSL VPN ログイン メ ッ セージは、 ユーザが SSL-VPN Web ポータルへのログインに使用する Web ページを表示し ます。 このページは FortiGate の機能に リ ン クされています。 その動作を保証するために、 次のガイ ド ラ イ ンに従って構築する必要があ り ます。

• ログイ ン ページは、 ACTION="%%SSL_ACT%%" およびMETHOD="%%SSL_METHOD%%" が含まれる HTML ページでなければな り ません。

• フ ォームには、 ログイ ン フ ォームを提供する %%SSL_LOGIN%% が含まれている必要があ り ます。

• フ ォームには、 %%SSL_HIDDEN%% タグが含まれている必要があ り ます。

認証免責ページの変更

一部のモデルでサポー ト されている認証免責ページは、 FortiGate ユニ ッ ト でアクセスが許可される前にユーザが承認する必要のある利用方針について示し ています。 免責はフ ァ イアウォール ポ リ シーで有効にし ます。 230 ページの 「フ ァイアウォール ポ リ シーのオプシ ョ ン」 のユーザ認証免責を参照し て く だ さい。変更は、 HTML 形式のコー ド ではな く 、 免責本文のみと し て く ださい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 147

148

動作モードおよび VDOM 管理アクセス システム - 設定

動作モードおよび VDOM 管理アクセス

VDOM の動作モー ドは、 他の VDOM に関係な く 変更できます。 これによ り、FortiGate ユニ ッ ト 上の VDOM で、 NAT/ ルー ト と ト ラ ンスペアレン ト の動作モード を任意に組み合わせる こ とができます。

VDOM への管理ア クセスは、 FortiGate ユニ ッ ト への接続に使用可能なイ ン タフ ェースおよびプロ ト コルに基づいて制限できます。

動作モードの変更

VDOM の動作モー ド を設定し、 ネ ッ ト ワーク設定を十分に行う こ と で、 新しいモー ド で確実に Web ベース マネージャに接続できます。

NAT/ ルート モードからトランスペアレント モードに切り替えるには

1 [System]、[Config]、[Operation Mode] の順に選択するか、 またはバーチャル ドメ イ ンの [System Status] ページの [Operation Mode] の隣にある [Change] を選択し ます。

2 [Operation Mode] で、 [Transparent] を選択し ます。

3 次の情報を入力し、 [Apply] を選択し ます。

トランスペアレント モードから NAT/ ルート モードに切り替えるには

1 [System]、[Config]、[Operation Mode] の順に選択するか、 またはバーチャル ドメ イ ンの [System Status] ページの [Operation Mode] の隣にある [Change] を選択し ます。

2 [ 動作モー ド ] リ ス ト から、 [NAT] を選択し ます。

[Management IP/Netmask] 管理 IP ア ド レス と ネ ッ ト マスク を入力し ます。 これは、FortiGate ユニ ッ ト を管理するネ ッ ト ワークの有効なIP ア ド レスである必要があ り ます。

[Default Gateway] FortiGate ユニ ッ ト から他のネ ッ ト ワークに到達するのに必要な、 デフ ォル ト ゲー ト ウ ェ イ を入力し ます。

[Asymmetric Routing] 非対称ルーテ ィ ングを可能にする場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - 設定 動作モードおよび VDOM 管理アクセス

3 次の情報を入力し、 [Apply] を選択し ます。

管理アクセス

管理アクセスは、 VDOM の任意のイ ン タ フ ェースに設定できます。 85 ページの「NAT/ ルー ト モー ド で動作し ている VDOM の場合は、 その VDOM 内のイ ン タフ ェースへの管理アクセスを制御できます。」 を参照し て く ださい。 NAT/ ルート モー ド では、 管理アクセスにイ ン タ フ ェース IP ア ド レスが使用されます。 トラ ンスペアレン ト モー ド では、 管理アクセスが可能な VDOM のすべてのイ ン タフ ェースに適用される単一の管理 IP ア ド レスを設定し ます。 また、 FortiGate はこの IP ア ド レスを使用し て FDN に接続し、 ウイルスおよび攻撃の更新を行います (169 ページの 「FortiGuard Center」 参照 )。

システム管理者 (admin) はすべての VDOM にアクセスでき、 標準の管理者アカウン ト を作成できます。 標準の管理者アカウン ト では、 所属する VDOM にのみアクセスできます。 管理コ ンピ ュータは、 その VDOM のイ ン タ フ ェースに接続する必要があ り ます。 イ ン タ フ ェースがどの VDOM に属し ているのかは関係あ りません。 どち らの場合も、 管理コ ンピ ュータは、 管理アクセスが可能なイ ン タフ ェースに接続し なければならず、 その IP ア ド レスは同一のネ ッ ト ワーク上でなければな り ません。 イン タ フ ェ ースで HTTP、 HTTPS、 telnet、 または SSH のサービスが有効な場合、 管理ア クセスにそれらのセ ッ シ ョ ンを利用できます。HTTPS と SSH は安全性が高いこ とから、 それらの使用が望まれます。

FortiGate ユニ ッ ト ではリ モー ト 管理が行えます。 ただ し、 イ ン ターネ ッ ト からのリ モー ト 管理を許可する と、 FortiGate ユニ ッ ト のセキュ リ テ ィ が危険に さ らされる可能性があ り ます。 設定に と っ て必須でない限り、 この危険性を避けるよう にし て く だ さい。 イ ン ターネ ッ ト からのリ モー ト 管理を許可する FortiGate ユニ ッ ト のセキュ リ テ ィ を向強化する方法は次のとおり です。

• セキュアな管理ユーザ パスワー ド を使用し ます。

• これらのパスワー ド を定期的に変更し ます。

• HTTPS または SSH のみを使用し て、 このイ ン タ フ ェースへのセキュアな管理アクセスを実現する。

• 信頼でき るホス ト を使用し て、 リ モー ト アクセスの発信元を限定する。

• システム アイ ドル タ イムアウ ト をデフ ォル ト の 5分から変更し ない (162 ページの 「設定」 参照 )。

[Interface IP/Netmask] FortiGate ユニ ッ ト を管理するネ ッ ト ワークの有効な IP アド レスおよびネ ッ ト マスク を入力し ます。

[Device] [Interface IP/Netmask] の設定を適用する イン タ フ ェースを選択し ます。

[Default Gateway] FortiGate ユニ ッ ト から他のネ ッ ト ワークに到達するのに必要な、 デフ ォル ト ゲー ト ウェ イ を入力し ます。

[Gateway Device] デフ ォル ト ゲー ト ウェ イが接続されるイ ン タ フ ェースを選択し ます。

[Asymmetric Routing] 非対称ルーテ ィ ングを可能にする場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 149

150

動作モードおよび VDOM 管理アクセス システム - 設定

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 管理者

F0

システム管理者この項では、 FortiGate ユニ ッ ト の管理者アカウン ト の設定方法について説明します。 管理者は、 FortiGate ユニ ッ ト にアクセス し てその動作を設定し ます。 工場出荷時の設定では、 ユニ ッ ト には admin とい う管理者アカウン ト が 1 つ設定されています。 Web ベース マネージャ または CLI に接続後、 FortiGate ユニ ッ ト 設定の各部分に さ まざまなレベルでアクセスする管理者を追加設定できます。

この項には、 以下の ト ピ ッ クが含まれています。

• 管理者

• アクセス プロ フ ァ イル

• FortiManager

• 設定

• 管理者の監視

管理者

管理者アカウン ト には次の 2 つのレベルがあ り ます。

• 標準管理者 ― super_admin 以外の任意のアクセス プロ フ ァ イルに割り当てられている管理者

• システム管理者 ― 初に設定されているシステム管理者 "admin" や、super_admin プロ フ ァ イルに割り当てられている任意の管理者

標準管理者アカウン ト では、 そのアクセス プロ フ ァ イルで定められている設定オプシ ョ ンにアクセスできます。 バーチャル ド メ イ ンが有効になっている場合、標準管理者は 1 つの VDOM に割り当て られ、 グローバル設定オプシ ョ ンまたは他の VDOM の設定にはア クセスできません。 グローバル オプシ ョ ン と VDOM ごとのオプシ ョ ンについては、 62 ページの 「VDOM の設定」 および 63 ページの「グローバル設定」 を参照し て く だ さい。

super_admin アクセス プロ フ ァ イルに割り当てられている管理者は、 デフ ォル トの管理者 "admin" と同様に、 FortiGate ユニ ッ ト の設定に全面的にアクセスできます。 さ らに、 以下が行えます。

• VDOM 設定の有効化

• VDOM の作成

• VDOM の設定

• 標準管理者の VDOM への割り当て

• グローバル オプシ ョ ンの設定

初の "admin" 管理者の権限を制限し た り、 変更し た りする こ とはできません。"admin" アカウン ト は削除できませんが、 名前の変更、 信頼できるホス ト の定義、 およびパスワー ドの変更は行えます。 デフ ォル ト では "admin" にパスワー ドは設定されていません。

注記 : FortiGate のセ ッ シ ョ ンは、 必ず CLI または GUI でログアウ ト し て終了し て く ださい。 さ もないと、 セ ッ シ ョ ンは開いたまま と な り ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 151

152

管理者 システム管理者

管理者の認証は、 FortiGate ユニ ッ ト または RADIUS サーバに保存されたパスワー ド を使用し て行 う こ とができます。 オプシ ョ ンで、 デフ ォル ト の "admin" アカウン ト を除 く すべての管理者アカウン ト を RADIUS サーバに保存する こ とができます。 同一の RADIUS サーバ上の RADIUS に基づ く アカウン ト は、 同一のア クセス プロ フ ァ イルを共有し ます。

管理者の RADIUS 認証の設定

RADIUS サーバを使用し て VDOM 内の管理者を認証する場合、 管理者アカウン トを作成する前に、 認証を設定する必要があ り ます。 そのためには次のこ と を行 う必要があ り ます。

• RADIUS サーバにアクセスするよ う FortiGate ユニ ッ ト を設定する。

• RADIUS サーバを唯一のメ ンバと したユーザ グループを作成する。

次の手順は、 ネ ッ ト ワーク上に RADIUS サーバがあ り、 管理者の名前とパスワードがそこに設定されている こ と を前提と し ています。RADIUS サーバのセ ッ ト ア ップ方法についての情報は、 RADIUS サーバの ド キュ メ ン ト を参照し て く だ さい。

RADIUS サーバにアクセスするよう FortiGate ユニットを設定するには

1 [User]、[RADIUS] の順に選択し ます。

2 [Create New] を選択し ます。

3 次の情報を入力し ます。

4 [OK] を選択し ます。

管理者ユーザ グループを作成するには

1 [User]、[User Group] の順に選択し ます。

2 [Create New] を選択し ます。

3 [Group Name] フ ィ ール ド で、 管理者グループの名前を入力し ます。

4 [Available Users] リ ス ト で、 RADIUS サーバ名を選択し ます。

5 緑色の右矢印を選択し て、 名前を メ ンバ リ ス ト に移動させます。

6 プロテ クシ ョ ン プロ フ ァ イルを選択し ます。

7 [OK] を選択し ます。

管理者リストの表示

新たな管理者アカウン ト を作成し、 そのアクセス権のレベルを制御するには、 デフ ォル ト の "admin" アカウン ト 、 super_admin アクセス プロ フ ァ イルが割り当てられているアカウン ト 、 または読み取り および書き込みアクセス制御が許可されている管理者を使用し て く だ さい。 [System]、[Admin]、[Administrators] の順に選択し ます。

管理者アカウン ト のアクセス プロ フ ァ イルが super_admin でない場合、 管理者リス ト には、 現在のバーチャル ド メ イ ンの管理者以外、 表示されません。

[Name] RADIUS サーバの名前。 ユーザ グループを作成する際は、 この名前を使用し ます。

[Server Name/IP]

RADIUS サーバの ド メ イン名または IP ア ド レス。

[Server Secret] RADIUS のサーバ シーク レ ッ ト 。 RADIUS サーバ管理者がこの情報を提供できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 管理者

図 74: 管理者リスト

管理者パスワードを変更するには

1 [System]、[Admin]、[Administrators] の順に選択し ます。

2 パスワー ド を変更する管理者アカウン ト の [ パスワー ドの変更 ] アイ コ ンを選択し ます。

3 新しいパスワー ド を入力し、 確認のため再入力し ます。

4 [OK] を選択し ます。

[Create New] 管理者アカウン ト を追加し ます。

[Name] 管理者アカウン ト のログイン名。

[Trusted hosts] 管理者がログイン可能な信頼できるホス ト の IP ア ド レスおよびネ ット マスク。 詳細については、 156 ページの 「信頼できるホス ト の使用」 を参照し て く だ さい。

[Profile] 管理者のアクセス プロ フ ァ イル。

[Type] この管理者の認証のタ イプで、 次のいずれかです。Local ― ローカル パスワー ドRADIUS ― RADIUS サーバ上の特定のアカウン ト の認証RADIUS+ ワイルド カー ド ― RADIUS サーバ上のあらゆるアカウン トの認証

削除アイコン 管理者アカウン ト を削除し ます。初の "admin" 管理者アカウン ト は削除できません。

編集または表示アイコン

管理者アカウン ト の編集または表示を行います。

[ パスワードの変更] アイコン

管理者アカウン ト のパスワー ド を変更し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 153

154

管理者 システム管理者

管理者アカウントの設定

新たな管理者ア カ ウ ン ト を作成するには、 デ フ ォル ト の "admin" ア カ ウン ト 、super_admin ア クセス プロ フ ァ イルが割り当て られているアカウン ト 、 または読み取 り および書き込みア ク セス制御が許可 されている管理者を使用し て く だ さい。 [System]、[Admin]、[Administrators] の順に選択し、 [Create New] を選択します。

図 75: 管理者アカウントの設定 ― ローカル認証

図 76: 管理者アカウントの設定 ― RADIUS 認証

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 管理者

図 77: 管理者アカウントの設定 ― PKI 認証

管理者アカウントを設定するには

1 [System]、[Admin]、[Administrators] の順に選択し ます。

2 [Create New] を選択し て管理者アカウン ト を追加するか、 または [ 編集 ] アイ コンを選択し て既存の管理者アカウン ト を変更し ます。

[Administrator] 管理者アカウン ト のログイ ン名を入力し ます。

[RADIUS] RADIUS サーバを使用し て管理者を認証する場合に選択し ます。 まず、 管理者に対する RADIUS 認証を設定する必要があり ます。 152ページの 「管理者の RADIUS 認証の設定」 を参照し て く だ さ い。

[User Group] RADIUS 認証を使用する場合、 メ ンバと し て適切な RADIUS サーバが含まれる管理者ユーザ グループを選択し ます。

[Wildcard] これを選択する と、 RADIUS サーバ上のすべてのアカウン ト を管理者にする こ とができます。これは RADIUS が選択された場合のみ使用できます。

[PKI] これを選択する と、 管理者に対する証明書ベースの認証が有効になり ます。注記 :PKI オプシ ョ ンを常に有効にできるのは、 1 つの管理者アカウン トに限られます。

[User Group] PKI 証明書ベースの認証を使用し ている場合、ユーザ グループのメ ンバとして PKI ( ピア ) ユーザが含まれる管理者ユーザ グループを選択し ます。

[Password] 管理者アカウン ト のパスワー ド を入力し ます。 セキュ リ テ ィ 強化のため、 パスワー ドは 6 文字以上にする必要があり ます。RADIUS が有効な場合、 FortiGate ユニ ッ ト ではまず RADIUS 認証が試行され、 それに失敗する と、 パスワー ド認証が試行されます。ワイルド カー ドが選択されている場合、 これは使用できません。 PKI 認証が選択されている場合も使用できません。

[Confirm Password]

管理者アカウン ト のパスワー ド を再入力し て、 パスワー ドが正し く 入力されたこ と を確認し ます。ワイルド カー ドが選択されている場合、 これは使用できません。 PKI 認証が選択されている場合も使用できません。

[Trusted Host #1][Trusted Host #2][Trusted Host #3]

オプシ ョ ンで、 FortiGate ユニ ッ ト に管理者と し てログイ ンする際に使用する信頼できるホス ト の IP ア ド レスおよびネ ッ ト マスク を限定するこ とができます。 信頼できるホス ト は 3 つまで指定できます。 これらのア ド レスはすべてデフ ォル ト で 0.0.0.0/0 に設定されています。すべての管理者に信頼できるホス ト を設定する こ と で、 システムのセキュ リ テ ィ を強化できます。 詳細については、 156 ページの 「信頼できるホス ト の使用」 を参照し て く ださ い。

[Access Profile] 管理者のア クセス プロ フ ァ イルを選択し ます。 あらかじめ設定されている super_admin プロ フ ァ イルでは、 FortiGate ユニ ッ ト に全面的にア クセスできます。 [Create New] を選択し て、 新しいアクセス プロ フ ァ イルを作成する こ と もできます。 アクセス プロ フ ァ イルについては、 160ページの 「ア クセス プロ フ ァ イルの設定」 を参照し て く だ さ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 155

156

管理者 システム管理者

3 [Administrator] フ ィ ール ド で、 管理者アカウン ト のログイ ン名を入力し ます。

この管理者に RADIUS 認証を使用し ているがワイル ド カー ドのオプシ ョ ンは使用し ていない場合、 管理者名は RADIUS サーバ上のアカウン ト と一致する必要があり ます。

4 認証のタ イプを選択し ます。

この管理者に RADIUS 認証を使用し ている場合 :

• [RADIUS] を選択し ます。

• RADIUSサーバ上のすべてのアカウン ト を このFortiGateユニ ッ ト の管理者とする場合、 ワイルド カー ド を選択し ます。

• [User Group] リ ス ト から管理者ユーザ グループを選択し ます。

この管理者に PKI 証明書ベース認証を使用し ている場合 :

• [PKI] を選択し ます。

• [User Group] リ ス ト から管理者ユーザ グループを選択し ます。

5 管理者アカウン ト のパスワー ド を入力し、 確認のため再入力し ます。

この手順は、 RADIUS ワイルド カー ド または PKI 証明書ベース認証を使用し ている場合、 適用されません。

6 オプシ ョ ンで、 管理者が Web ベース マネージ ャにログイ ンでき る信頼でき るホス ト の IP ア ド レスおよびネ ッ ト マスク を入力し ます。

7 管理者のアクセス プロ フ ァ イルを選択し ます。

8 [OK] を選択し ます。

信頼できるホストの使用

信頼できるホス ト をすべての管理者に設定する と、 管理アクセスがさ らに制限される こ とになるため、 ネ ッ ト ワークのセキュ リ テ ィ が向上し ます。 管理者は、 パスワー ド を知る こ とに加え、 指定のサブネ ッ ト だけを介し て接続し なければな りません。 さ らに、 ネ ッ ト マスクが 255.255.255.255 の信頼できるホス ト IP ア ド レスを 1 つだけ設定すれば、 管理者を 1 つの IP ア ド レスに制限する こ と もできます。

すべての管理者に信頼できるホス ト を設定する と、 FortiGate ユニ ッ ト で他のホス ト からの管理アクセスの試行に対し て一切応答が行われな く な り ます。 これによ り、 高のセキュ リ テ ィ が実現し ます。 管理者を 1 つでも制限し ないでお くと、 管理アクセスが有効になっているあらゆる イ ン タ フ ェースで管理アクセスが試行され、 ユニ ッ ト が不正アクセスの危険に さ ら される恐れがあ り ます。

定義された信頼できるホス ト は、 telnet または SSH を介し てアクセス される際に、 Web ベース マネージャ と CLI の両方に適用されます。 コ ン ソール コネク タを介し た CLI アクセスには影響あ り ません。

信頼でき るホス ト のア ド レスは、 すべてデフ ォル ト で 0.0.0.0/0 に設定されています。 0.0.0.0/0 のア ド レスを 1 つでも 0 以外のア ド レスに設定する と、 他の0.0.0.0/0 は無視されます。 信頼でき るホス ト を 0.0.0.0/0 のまま変更し ないこ とが、 ワイルド カー ド のエン ト リ を使用する唯一の方法です。 ただ し、 これは安全でない設定です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 アクセス プロファイル

アクセス プロファイル

管理者アカウン ト はそれぞれ 1 つのア クセス プロ フ ァ イルに属し ます。 アクセス プロ フ ァ イルでは、 FortiGate の機能を、 読み取り または書き込み、 あるいはその両方のアクセスを有効にでき るア クセス制御カテゴ リ に分類し ます。 次の表は、 各カテゴ リ でアクセスできる Web ベース マネージャのページです。

読み取り ア クセスによ り、 管理者は Web ベース マネージ ャのページを表示できます。 そのページの設定を変更するには、 書き込みアクセスが必要にな り ます。

現在では、 フ ァ イアウォール設定のア クセス制御を拡張し、 フ ァ イアウォールの機能に対し てよ り きめ細かいア クセス制御が可能と なっています。 ポ リ シー、 アド レス、 サービス、 スケジュール、 プロ フ ァ イル、 その他 (VIP) の設定に対する管理アクセスを制御できます。

表 29: Web ベース マネージャのページへのアクセス プロファイル制御

アクセス制御 影響を受ける Web ベース マネージャのページ

管理者ユーザ System > AdminSystem > Admin > FortiManagerSystem > Admin > Settings

アンチウイルス設定 AntiVirus

ユーザ認証 User

フ ァ イアウォール設定 Firewall

FortiGuard 更新 System > Maintenance > FortiGuard Center

IPS 設定 Intrusion Protection

ログおよびレポー ト Log & Report

メ ンテナンス System > Maintenance

ネ ッ ト ワーク設定 System > Network > InterfaceSystem > Network > ZoneSystem > DHCP

ルータ設定 Router

スパムフ ィ ルタ設定 AntiSpam

システム設定 System > Status、 セ ッ シ ョ ン情報を含むSystem > ConfigSystem > HostnameSystem > Network > OptionsSystem > Admin > FortiManagerSystem > Admin > SettingsSystem > Status > System Time

VPN 設定 VPN

Web フ ィ ルタ設定 Web Filter

注記 : バーチャル ド メ イ ン設定が有効になっ ている場合 (162 ページの 「設定」 を参照 )、ア クセス プロ フ ァ イルが super_admin の管理者以外はグローバル設定にア クセスできません。 バーチャル ド メ インが有効になっている場合、 他の管理者は 1 つの VDOM に割り当てられ、 グローバル設定オプシ ョ ンまたは他の VDOM の設定にはア クセスできません。グローバル設定については、 62 ページの 「VDOM の設定」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 157

158

アクセス プロファイル システム管理者

アクセス プロ フ ァ イルは、 CLI コ マン ドへの管理者アクセスにも同様の効果があり ます。 次の表は、 各アクセス制御カテゴ リ で使用でき る コ マン ドのタ イプです。 "get" および "show" コ マン ドは、 読み取り アクセスで使用できます。"config" コ マン ド を使用するには、 書き込みア クセスが必要です。

表 30: CLI コマンドへのアクセス プロファイル制御

アクセス制御 使用可能な CLI コマンド

管理ユーザ (admingrp) system adminsystem accprofile

アンチウイルス設定 (avgrp) antivirus

ユーザ認証 (authgrp) user

ファイアウォール設定 (fwgrp) firewallい く つかのフ ァ イアウォールの許可を個別に設定するには、 set fwgrp custom、 config fwgrp-permission を使用し ます。 ポ リシー、 ア ド レス、 サービス、 スケジ ュール、 プロ フ ァ イル、 その他 (VIP) の設定については、選択が可能です。 詳細は、 『FortiGate CLI リフ ァ レンス』 を参照し て く ださ い。

FortiProtect 更新 (updategrp) system autoupdateexecute update-avexecute update-ipsexecute update-now

IPS 設定 (ipsgrp) ips

ログおよびレポート (loggrp) alertemaillogsystem fortianalyzerexecute log

メンテナンス (mntgrp) execute formatlogdiskexecute restoreexecute backupexecute batchexecute usb-disk

ネットワーク設定 (netgrp) system arp-tablesystem dhcpsystem interfacesystem zoneexecute dhcp lease-clearexecute dhcp lease-listexecute clear system arp tableexecute interface

ルータ設定 (routegrp) routerexecute routerexecute mrouter

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 アクセス プロファイル

FortiGate 管理者のアクセス プロ フ ァ イルを追加するには、 [System]、[Admin]、[Access Profile] の順に選択し ます。 管理者アカウン ト はそれぞれ 1 つのアクセス プロ フ ァ イルに属し ます。 アクセス プロ フ ァ イルは、 FortiGate の各設定へのアクセスを拒否する もの、 読み取りのみ許可する もの、 そし て読み取り と書き込みの両方を許可する ものを作成できます。

機能へのア クセスが読み取り専用の場合、 管理者は Web ベース マネージャのその機能のページにアクセスできますが、 設定を変更する こ とはできません。 リ スト には、 [Create] や [Apply] のボタ ン、 および編集、 削除、 その他の変更コ マンドのアイ コ ンはな く 、 表示アイ コ ン ( ) のみが表示されます。

アクセス プロファイル リストの表示

アクセス プロ フ ァ イルを作成または編集するには、 admin アカウン ト 、 または管理ユーザの読み取り および書き込みア クセスが許可されたアカウン ト を使用し ます。 [System]、[Admin]、[Access Profile] の順に選択し ます。

図 78: アクセス プロファイル リスト

スパムフィルタ設定 (spamgrp) spamfilter

システム設定 (sysgrp) accprofile、 admin、 arp-table、 autoupdate、fortianalyzer、 interface、 および zone を除 くsystemexecute dateexecute haexecute pingexecute ping-optionsexecute ping6execute timeexecute tracerouteexecute cfgexecute factoryresetexecute rebootexecute shutdownexecute deployexecute set-next-rebootexecute sshexecute telnetexecute disconnect-admin-sessionexecute usb

VPN 設定 (vpngrp) vpnexecute vpn

Web フィルタ設定 (webgrp) webfilter

表 30: CLI コマンドへのアクセス プロファイル制御

[Create New] 新しいアクセス プロ フ ァ イルを追加し ます。

[Profile Name] アクセス プロ フ ァ イルの名前。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 159

160

アクセス プロファイル システム管理者

アクセス プロファイルの設定

アクセス プロ フ ァ イルを編集するには、 admin アカウン ト 、 または管理ユーザの読み取 り お よ び書 き 込み ア ク セ ス が許可 さ れ た ア カ ウ ン ト を 使用 し ま す。[System]、[Admin]、[Access Profile] の順に選択し、 [Create New] を選択し ます。

図 79: アクセス プロファイル オプション

削除アイコン ア クセス プロ フ ァ イルを削除する場合に選択し ます。 管理者が割り当てられているアクセス プロ フ ァ イルは削除できません。

編集アイコン ア クセス プロ フ ァ イルを変更する場合に選択し ます。

[Profile Name] ア クセス プロ フ ァ イルの名前を入力し ます。

[Access Control] ア クセス プロ フ ァ イルによ ってア クセス制御されるアイテムを一覧表示し ます。

[None] すべてのア クセス制御カテゴ リへのア クセスを無効にするには、[None] を選択し ます。

[Read Only] すべてのア クセス制御カテゴ リ に読み取り ア クセスを選択するには、 [Read Only] を選択し ます。

[Read Write] すべてのア クセス制御カテゴ リ に読み取り および書き込みのア クセスを選択するには、 [Read Write] を選択し ます。

[Access Control] カテゴリ

必要に応じ て、 [Access Control] のカテゴ リ に読み取り または読み取り / 書き込み、 あるいはその両方を選択し ます。 ア クセス制御カテゴ リ については、 157 ページの 「ア クセス プロ フ ァ イル」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 FortiManager

FortiManager

FortiManager サーバを介し て FortiGate ユニ ッ ト を管理するよ う設定するには、[System]、[Admin]、[FortiManager] の順に選択し ます。 FortiGate ユニ ッ ト とFortiManager サーバとの間の通信は、 FortiGate ユニ ッ ト に事前に設定されているIPSec VPN 経由で行われます。

図 80: FortiManager の設定

FortiManager 設定

[Enable] FortiGate ユニ ッ ト と FortiManager サーバとの間のセキュアな IPSec VPN 通信を有効にし ます。 これを行わないと、 通信の安全は保証されません。

[ID] FortiManager サーバのシ リ アル番号を入力し ます。

[IP] FortiManager サーバの IP ア ド レスを入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 161

162

設定 システム管理者

設定

次のオプシ ョ ンを設定するには、 [System]、[Admin]、[Settings] の順に選択します。

• HTTP および HTTPS 管理ア クセス用のポー ト

• アイ ド ル タ イムアウ ト の設定

• Web ベース マネージャの言語

• LCD および制御ボタ ンの PIN 保護 (LCD 装備モデルのみ )

図 81: 管理者設定

[Web Administration Ports]

[HTTP] 管理 HTTP ア クセスで使用する TCP ポー ト を入力し ます。 デフ ォル ト は 80 です。

[HTTPS] 管理 HTTPS ア クセスで使用する TCP ポー ト を入力し ます。 デフ ォル ト は 443 です。

[Telnet Port] 管理ア クセスで使用する telnet ポー ト を入力し ます。 デフ ォル ト は 23 です。

[SSH Port] 管理ア クセスで使用する SSH ポー ト を入力し ます。 デフ ォル ト は 22 です。

[Enable v1 compatibility]

SSH v2 に加え、 v1 との互換性を有効にする場合に選択し ます。 ( オプシ ョ ン )

[Timeout Settings]

[Idle Timeout] 再ログイ ンが必要と なるまで管理接続をアイ ド ル状態にし ておける時間を分単位で入力し ます。 大値は 480 分 (8時間 ) です。セキュ リ テ ィ を強化するために、アイ ドル タイムアウ ト をデフ ォル ト の 5 分のままにし て く ださい。

[Language]

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム管理者 管理者の監視

管理者の監視

ログイ ン し ている管理者の人数を調べるには、 [System]、[Status] の順に選択し ます。 [System Information] に現在の管理者が表示されます。 FortiGate ユニ ット に現在ログイ ン し ている管理者に関する情報を表示するには、 [Details] を クリ ッ ク し ます。

図 82: [System Information] > [Current Administrators]

図 83: 監視ウィンドウに表示されたログインした管理者

[Web Administration] 使用する Web ベース マネージャの言語を選択し ます。英語、 日本語、 簡体字中国語、 繁体字中国語、 韓国語、またはフ ラ ンス語から選択し ます。注記 : 管理コ ンピ ュータのオペレーテ ィ ング システムで使用されている言語を選択する必要があり ます。

[LCD Panel] (LCD 装備モデルのみ )

[PIN Protection] [PIN Protection] チ ェ ッ クボ ッ クスをオンにし、 6 桁のPIN を入力し ます。制御ボタ ンおよび LCD を使用するためには、 PIN を入力する必要があり ます。

[Enable SCP] これを有効にする と、 SSH を介し てログイ ン し たユーザが SCP を使用し て設定フ ァ イルを コ ピーできるよ う にな り ます。

[Disconnect] 特定の管理者を切断する場合に選択し ます。 これは、 ア クセス プロフ ァ イルでシステム設定の書き込み許可が与えられている場合のみ、使用できます。

[Refresh] リ ス ト を更新する場合に選択し ます。

[Close] ウ ィ ン ド ウを閉じ る場合に選択し ます。

チェック ボックス 管理者をログオフ させる場合、 このチ ェ ッ ク ボ ッ ク スをオンにし てから [Disconnect] を選択し ます。 これは、 アクセス プロ フ ァ イルでシステム設定の書き込みア クセスが与えられている場合のみ、 使用できます。 注記 : デフ ォル ト の "admin" ユーザをログオフ させる こ とはできません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 163

164

管理者の監視 システム管理者

[User Name] 管理者アカウン ト の名前。

[Type] アクセスのタ イプで、 WEB または CLI。

[From] タ イプが WEB の場合、 [From] の値は管理者の IP ア ド レスです。タ イプが CLI の場合、 [From] の値は "ssh" または "telnet" で、 管理者の IP ア ド レスか "console" のいずれかです。

[Time] 管理者がログイン し た日時。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス バックアップおよび復元

F0

システム - メンテナンスこの項では、 システム設定をバッ クア ッ プおよび復元する方法、 また FortiGuard Distribution Network からの自動更新を設定する方法について説明し ます。

この項には、 以下の ト ピ ッ クが含まれています。

• バッ クア ッ プおよび復元

• FortiGuard Center

• ラ イセンス

バックアップおよび復元

システム設定のバッ クア ッ プや復元を行った り、 フ ァームウ ェ アを管理し た りするには、 [System]、[Maintenance]、[Backup & Restore] の順に選択し ます。

Web コ ンテンツ フ ァ イルやスパム フ ィ ルタ リ ング フ ァ イルなどのシステムの設定は、 管理コ ンピ ュータか、 USB デ ィ ス ク をサポー ト するモデルの USB デ ィ スクにバッ ク ア ッ プできます。 また、 以前ダウンロー ド し たバッ ク ア ッ プ フ ァ イルからシステム設定を復元する こ と も可能です。

バッ クア ッ プ フ ァ イルに VPN 証明書を含める場合は、 そのバッ ク ア ッ プ フ ァ イルの暗号化を有効にする必要があ り ます。

バーチャル ド メ イ ン設定が有効にな っている場合、 バッ クア ッ プ フ ァ イルの内容は、 そのフ ァ イルを作成した管理者アカウン ト によ って異な り ます。 スーパー管理者アカウン ト によるシステム設定のバッ クア ッ プには、 グローバル設定と各VDOM の設定が含まれます。 このフ ァ イルから設定を復元できるのは、 スーパー管理者のみです。 標準管理者アカウン ト でシステム設定をバッ ク ア ッ プする と、バッ クア ッ プ フ ァ イルには、 グローバル設定と標準管理者が属する VDOM の設定が含まれます。 このフ ァ イルから設定を復元できるのは、 標準管理者アカウント のみです。

FortiGate の一部のモデルでは、 ユーザがダウンロー ド できる FortiClient イ メ ージを保存する こ とによ り、 FortiClient がサポー ト されます。 バッ クア ッ プ と復元の [FortiClient] セクシ ョ ンは、 使用する FortiGate モデルで FortiClient がサポート される場合のみ使用できます。

注記 : FortiGate のモデル番号が 100 未満の場合、 [Maintenance] 画面の [Firmware] のセク

シ ョ ンは表示されません。この場合、フ ァームウ ェ アのバージ ョ ンは、[System]、[Status]の順に選択し、 [Update for Firmware Version] を選択する こ と によ り、 変更できます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 165

166

バックアップおよび復元 システム - メンテナンス

図 84: バックアップおよび復元のオプション

図 85: [Backup] および [Restore]

[Last Backup] 前回のローカル PC へのバッ ク ア ッ プの日時。USB へバッ ク ア ッ プ し た場合、 バッ ク ア ッ プの時間は保存されません。

[Backup] 現在の設定をバッ クア ッ プ し ます。

[Backup configuration to:]

設定フ ァ イルを保存するためのローカル PC または USBデ ィ スク を選択し ます。 USB デ ィ スクは、 デ ィ スクがFortiGate ユニ ッ ト に接続されている場合に限り、 選択できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス バックアップおよび復元

図 86: [Firmware]

図 87: [FortiClient]

[Filename] USB デ ィ スク を選択し た場合は、 バッ クア ッ プ フ ァ イルの名前を入力し ます。

[Encrypt configuration file]

バッ ク ア ッ プ フ ァ イルを暗号化する場合に選択し ます。[Password] フ ィ ールド にパスワー ド を入力し、 [Confirm] フ ィ ールド に再度入力し ます。 フ ァ イルを復元するには、 このパスワー ドが必要にな り ます。VPN 証明書をバッ クア ッ プするには、 バッ クア ッ プ フ ァ イルで暗号化が有効になっ ている必要があり ます。

[Backup] 設定をバッ ク ア ッ プ し ます。

[Restore] フ ァ イルから設定を復元し ます。

[Restore configuration from:]

設定フ ァ イルの場所と し て、 ローカル PC または USBデ ィ スク を選択し ます。 USB デ ィ スクは、 デ ィ スクがFortiGate ユニ ッ ト に接続されている場合に限り、 選択できます。

[Filename] USB デ ィ スクから設定を復元する場合は、 リ ス ト から設定フ ァ イルの名前を選択し ます。管理コ ンピ ュータ上のフ ァ イルから設定を復元する場合は、 設定フ ァ イルの名前を入力するか、 または [Browse] ボタ ンを使用し ます。

[Password] バッ ク ア ッ プ フ ァ イルが暗号化されている場合は、 パスワー ド を入力し ます。

[Restore] 選択し たフ ァ イルから設定を復元し ます。

[Partition] パーテ ィ シ ョ ンに含められるのは、 1 つのバージ ョ ンのフ ァームウ ェア と システム設定のみです。 モデル番号が 100 以上の FortiGate には、パーテ ィ シ ョ ンが 2 つあり ます。 一方のパーテ ィ シ ョ ンがアク テ ィブ、 も う一方がバッ ク ア ッ プ と な り ます。

[Active] 現在使用中のフ ァームウェ ア と設定が含まれているパーテ ィ シ ョ ンが、 緑色のチ ェ ッ ク マークで示されます。

[Last Upgrade] このパーテ ィ シ ョ ンの前回の更新日時。

[Firmware Version]

FortiGate フ ァームウェ アのバージ ョ ンおよびビルド番号。 バッ クア ッ プ パーテ ィ シ ョ ンでは、 次の操作が行えます。

• [Upload] を選択し て、 管理コ ンピ ュータ または USB デ ィ スクからフ ァームウ ェ アを置き換える。

• [Upload and Reboot] を選択し て、 フ ァームウ ェ アを置き換え、 これをアク テ ィ ブなパーテ ィ シ ョ ン とする。

[Boot alternate firmware]

バッ ク ア ッ プ フ ァームウェ アを使用し て、 FortiGate ユニ ッ ト を再起動し ます。これが使用できるのは、 モデル番号が 100 以上の FortiGate のみです。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 167

168

バックアップおよび復元 システム - メンテナンス

図 88: [Advanced]

[Software Image] この FortiGate ユニ ッ ト の現在の FortiClient イ メ ージです。 管理コンピ ュータから新しい FortiClient イ メ ージをア ッ プロー ド するには、 [Upload] を選択し ます。

[Antivirus Database]

この FortiGate ユニ ッ ト の FortiGuard アンチウイルス データ ベースの現在のバージ ョ ンです。 詳細については、 170 ページの「FortiGate ユニ ッ ト の FDN および FortiGuard サービスの設定」 を参照し て く だ さい。

[Antivirus Engine] このFortiGate ユニ ッ ト のFortiGuard アンチウイルス エンジンの現在のバージ ョ ンです。詳細については、170 ページの 「FortiGate ユニ ット の FDN および FortiGuard サービスの設定」 を参照し て く ださ い。

[Web Portal Port] フ ァ イアウォール ポリ シーの FortiClient チ ェ ッ ク オプシ ョ ンによ っ てユーザのアクセスが拒否された場合、 そのユーザがリ ダイ レク ト される Web ポータルのポー ト を選択し ます。 ポー ト 番号の変更後、 [Save] を選択し て変更を有効にし ます。デフ ォル ト のポー ト 番号は 8009 です。 番号が競合する場合のみ、ポー ト 番号を変更し て く だ さい。

[Advanced (USB Auto-Install)] このセク シ ョ ンは、USB デ ィ スクが FortiGate ユニ ッ ト に接続されている場合のみ利用できます。 必要に応じ てオプシ ョ ンを選択し、 FortiGate ユニ ッ ト を再起動し ます。設定と フ ァームウェ アの更新を両方と も選択し た場合は、 1 度の再起動で両方が適用されます。 FortiGate ユニ ッ ト では、 すでにロー ド済みのフ ァームウェ アまたは設定フ ァ イルは再ロー ド されません。

[On system restart, automatically update FortiGate configuration]

再起動時、 設定を自動的に更新し ます。 [Default configuration file name] が USB デ ィ スク上の設定フ ァ イル名と一致する こ と を確認し て く だ さい。

[On system restart, automatically update FortiGate firmware]

再起動時、 フ ァームウェ アを自動的に更新し ます。[Default image name] が USB デ ィ スク上のフ ァームウ ェア フ ァ イル名と一致する こ と を確認し て く ださ い。

[Import Bulk CLI Commands] 管理コ ンピ ュータ上のテキス ト フ ァ イルから FortiGateユニ ッ ト に URL フ ィ ルタ およびスパム フ ィ ルタの定義を イ ンポー ト し ます。 フ ァ イル名とパスを入力するか、[Browse] ボタ ンを使用し てフ ァ イルを選択し ます。テキス ト フ ァ イルは、 FortiGate 設定のバッ クア ッ プ フ ァ イルの適切なセク シ ョ ンを引用するか、 または適切な CLI コマン ド を入力し て作成できます。

[Download Debug Log] 暗号化されたデバッ グ ログを フ ァ イルにダウンロー ドし ます。 このデバッ グ ログを フ ォーテ ィ ネ ッ ト テ クニカル サポー ト に送信する こ と で、 FortiGate ユニ ッ ト の問題の診断に役立てる こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

FortiGuard Center

FortiGuard Center は、 FortiGuard Distribution Network (FDN) および FortiGuardサービス用に、 FortiGate ユニ ッ ト を設定し ます。 FDN は、 アンチウイルス と攻撃の定義の更新を提供し ます。 FortiGuard サービスは、 IP ア ド レス ブ ラ ッ ク リス ト 、 URL ブ ラ ッ ク リ ス ト 、 その他のスパム フ ィ ルタ リ ング ツールをオン ラ インで提供し ます。

FortiGuard Distribution Network

FortiGuard Distribution Network (FDN) は、 世界規模の FortiGuard Distribution Server (FDS) ネ ッ ト ワーク です。 FDN は、 アンチウイルス ( グレーウ ェ アを含む) と IPS 攻撃の定義の更新を提供し ます。 FDN に接続する際、 FortiGate ユニ ッ トは現在のタ イムゾーン設定に基づいて、 も近い FDS に接続し ます。

FortiGate ユニ ッ ト は、 次の更新機能をサポー ト し ます。

• FDN からユーザが実行する更新

• 1 時間、1 日、または 1 週間ご との、FDN からのアンチウイルスおよび攻撃の定義の定期更新

• FDN からのプ ッ シュ更新

• バージ ョ ン番号、 有効期限、 および更新日時を含む、 更新ステータ ス

• NAT デバイスを介し たプ ッ シュ更新

フ ォーテ ィ ネ ッ ト のサポー ト Web ページに FortiGate ユニ ッ ト を登録する必要があ り ます。 FortiGate ユニ ッ ト を登録するには、 「Product Registration」 にア クセス し てその指示に従います。

定期更新を受信するには、 FortiGate ユニ ッ ト はポー ト 443 で HTTPS を使用し てFDN に接続できる必要があ り ます。 定期更新の設定については、 176 ページの「定期更新を有効にするには」 を参照し て く だ さい。

また、 プ ッ シュ更新を受信するよ う に FortiGate ユニ ッ ト を設定する こ と も可能です。 これを正し く 行う ためには、 FDN が UDP ポー ト 9443 を使用し てパケ ッ トを FortiGate ユニ ッ ト に転送でき る必要があ り ます。 プ ッ シュ更新の設定については、 177 ページの 「プ ッ シュ更新を有効にするには」 を参照し て く ださい。

FortiGuard サービス

世界を網羅する FortiGuard サービスは、 FortiGuard サービス ポイ ン ト で提供されます。 FDN に接続する際、 FortiGate ユニ ッ ト は も近い FortiGuard サービス ポイ ン ト に接続し ます。 フ ォーテ ィ ネ ッ ト は必要に応じ て新しいサービス ポイント を追加し ます。

FortiGate ユニ ッ ト は、 デフ ォル ト で も近いサービス ポイ ン ト と通信を行います。 何らかの理由でそのサービス ポイ ン ト に接続できな く なった場合、FortiGate ユニ ッ ト は別のサービス ポイ ン ト と通信を行い、 情報が数秒以内に入手可能と な り ます。 FortiGate ユニ ッ ト は、 デフ ォル ト で UDP を介し てポー ト 53でサービス ポイン ト と通信を行います。 あるいは、 [System]、[Maintenance]、[FortiGuard Center] の順に選択し て、 サービス ポイ ン ト との通信で使用するUDP ポー ト をポー ト 8888 に切り替える こ と もできます。

デフ ォル ト の FortiGuard サービス ポイ ン ト のホス ト 名を変更する必要がある場合、 CLI コ マン ド system fortiguard でキーワー ド hostname を使用し ます。 Web ベース マネージャ を使用し て FortiGuard サービス ポイ ン ト 名を変更する こ とはできません。

FortiGuardサービスについては、FortiGuard CenterのWebページを参照して く ださい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 169

170

FortiGuard Center システム - メンテナンス

FortiGuard-Antispam サービス

フ ォーテ ィ ネ ッ ト のアンチスパム システムである FortiGuard-Antispam には、IP アド レス ブ ラ ッ ク リ ス ト 、URL ブ ラ ッ ク リ ス ト 、およびスパム フ ィ ルタ リ ング ツールが包含されています。 IP ア ド レス ブ ラ ッ ク リ ス ト には、 スパムの生成に使用されている既知の電子メ ール サーバの IP ア ド レスが含まれています。URL ブ ラ ッ クリ ス ト には、 スパム メールで発見された Web サイ ト の URL が含まれています。

FortiGuard-Antispam の処理は、 フ ォーテ ィ ネ ッ ト によ っ て完全に自動化され、設定されています。 常時監視と動的更新によ り、 FortiGuard-Antispam は常に新の状態に保たれています。 フ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イル内で FortiGuard-Antispam を有効または無効にし ます。 詳細については、 294 ページの 「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く だ さい。

FortiGate ユニ ッ ト にはすべて、 30 日間の FortiGuard-Antispam ト ラ イアル ラ イセンスが付属し ています。 FortiGuard-Antispam のラ イセンス管理はフ ォーテ ィネ ッ ト サービスによ って行われるため、 ラ イセンス番号を入力する必要はあ りません。 FortiGuard-Antispam を有効にする と、 FortiGate ユニ ッ ト は自動的にFortiGuard-Antispam サービス ポイン ト と通信を行います。 無償 ト ラ イアルの後、FortiGuard-Antispam のラ イセンスを更新するには、 フ ォーテ ィ ネ ッ ト テ クニカル サポー ト に連絡し て く だ さい。

[System]、[Maintenance]、[FortiGuard Center] の順に選択し て FortiGuard-Antispam をグローバルで有効にし た後、 それぞれのフ ァ イアウォール プロテ クシ ョ ン プロ フ ァ イルでスパム フ ィ ルタ リ ングの設定を行います。 294 ページの「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く だ さい。

FortiGuard-Web サービス

FortiGuard-Web は、 Fortinet が提供し ている、 管理された Web フ ィ ルタ リ ング ソリ ューシ ョ ンです。 FortiGuard-Web は、 数億の Web ページを、 ユーザが許可、ブロ ッ ク、 または監視できる広範囲なカテゴ リ に並べ替えています。 FortiGateユニ ッ ト は、 も近い FortiGuard-Web Service Point にア クセス し て、 要求された Web ページのカテゴ リ を決定し た後、 そのユーザまたはイ ン タ フ ェースに対し て設定されたフ ァ イアウォール ポ リ シーに従います。

FortiGate ユニ ッ ト にはすべて、30 日間の FortiGuard-Web フ ィ ルタ ト ラ イアル ライセンスが付属し ています。 FortiGuard のラ イセンス管理は、 フ ォーテ ィ ネ ッ トサーバが行います。 ラ イセンス番号を入力する必要はあ り ません。 FortiGuard カテゴ リ ブロ ッ ク を有効にする と、FortiGate ユニ ッ ト は自動的に FortiGuard サービス ポイン ト と通信を行います。 無償 ト ラ イアルの後、 FortiGuard のラ イセンスを更新するには、 フ ォーテ ィ ネ ッ ト テクニカル サポー ト に連絡し て く だ さい。

[System]、[Maintenance]、[FortiGuard Center] の順に選択し て FortiGuard-Webをグローバルで有効に し た後、 それぞれのフ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イルで FortiGuard Web フ ィ ルタ リ ングの設定を行います。 292 ページの「FortiGuard-Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く だ さい。

FortiGate ユニットの FDN および FortiGuard サービスの設定

Update Center ページにおける FDN 更新および FortiGuard サービスへのアクセスを設定するには、 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

Update Center には次の 3 つのセクシ ョ ンがあ り ます。

• サポー ト 契約および FortiGuard サブス ク リ プシ ョ ン サービス

• アンチウイルスおよび IPS のダウンロー ド

• Web フ ィ ルタ リ ングおよびアンチスパム オプシ ョ ン

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

サポート契約および FortiGuard サブスクリプション サービス

サポー ト 契約および FortiGuard サブスク リ プシ ョ ン サービスのセクシ ョ ンは、システム ステータ スのページに短縮形式で表示されます。 41 ページの 「システム ステータ スの表示」 を参照し て く だ さい。

図 89: サポート契約および FortiGuard サブスクリプション サービスのセクション

[Support Contract] FortiGate ユニ ッ ト のサポー ト 契約の有効性またはステータ ス。 表示されるステータ スは、 "Unreachable" ( 到達不能 )、 "Not Registered" ( 未登録 )、 または "Valid Contract" ( 有効な契約 ) のいずれかです。

"Valid Contract" と表示されている場合、 FortiOS のバージ ョ ン、契約の有効期限、 サポー ト レベルも表示されます。

[Register] FortiGate ユニ ッ ト のサポー ト 契約を登録する場合に選択し ます。これは、 サポー ト 契約が未登録の場合のみ表示されます。

FortiGuard サブスクリプション サービス

次のよ う な、 各 FortiGuard サブスク リ プシ ョ ン サービスの有効性と ステータ スの情報。

• アンチウイルス AV 定義

• 侵入防御 IPS 定義

• Web フ ィ ルタ リ ング

• アンチスパム

[Availability] この FortiGate ユニ ッ ト におけるサービスの有効性。 サービスのサブスク リ プシ ョ ンによ っ て異な り ます。 表示されるステータ スは、 "Unreachable" ( 到達不能 )、 "Not Registered" ( 未登録 )、 または "Valid Contract" ( 有効な契約 ) のいずれかです。

[Availability] が "Not Registered" の場合、 [Subscribe] のオプシ ョンが表示されます。

[Availability] が "Expired" の場合、 [Renew] のオプシ ョ ンが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 171

172

FortiGuard Center システム - メンテナンス

アンチウイルスおよび IPS のダウンロード

このセクシ ョ ンにアクセスするには、 [AntiVirus and IPS Downloads] の隣にある青色の矢印を選択し ます。

図 90: [AntiVirus and IPS Downloads] セクション

ステータ ス アイ コン

表示されたアイ コ ンは、 サブスク リ プシ ョ ン サービスのステータ スを表し ます。 アイ コ ンは、 有効性の記述に対応し ます。

• グレー―到達不能―FortiGate ユニ ッ ト はサービスに接続できません。

• 黄色―未登録―FortiGate ユニ ッ ト は接続できますが、 このサービスにサポー ト 登録されていません。

• 黄色―期限切れ―FortiGate ユニ ッ ト には期限切れと なったライセンスがあ り ます。

• 緑色―有効なラ イセンス―FortiGate ユニ ッ ト は FDN に接続でき、 サポー ト 契約に登録されています。

ステータ ス アイ コ ンが緑色の場合は、 有効期限が表示されます。

[Version] FortiGate ユニ ッ ト に現在イ ンス ト ールされている、 このサービスの定義フ ァ イルのバージ ョ ン番号。

(Last update date and method)

前回の更新日と、 このサービスの 新定義のダウンロー ド に使用された方法。

[Update] FortiGate ユニ ッ ト でこのサービスを手動で更新する場合に選択し ます。 これを実行する と、 ローカル コ ンピ ュータから更新フ ァ イルをダウンロー ド するよ う指示されます。 FDN から更新を直接ダウンロー ド するには、 [Update Now] のコ ン ト ロールを使用し ます。

(Date) FortiGate ユニ ッ ト のこのサービスの更新が 後に確認されたローカル システムの日付。

[AntiVirus and IPS Downloads]

このセクシ ョ ンの表示、 非表示を切り替えるには、 青い矢印を選択し ます。 172 ページの 「アンチウイルスおよび IPS のダウンロー ド」 を参照し て く ださ い。

[Web Filtering and AntiSpam Options]

このセクシ ョ ンの表示、 非表示を切り替えるには、 青い矢印を選択し ます。 173 ページの 「Web フ ィ ルタ リ ングおよびアンチスパム オプシ ョ ン」 を参照し て く だ さ い。

[Log & Analysis Options]

このセクシ ョ ンの表示、 非表示を切り替えるには、 青い矢印を選択し ます。 174 ページの 「ログおよび分析オプシ ョ ン」 を参照し て く ださ い。FortiGuard の FortiAnalyzer ユニ ッ ト に接続されていない場合、 このセクシ ョ ンは空白と な り ます。

[IPS Options] このセクシ ョ ンの表示、 非表示を切り替えるには、 青い矢印を選択し ます。IPS シグネチャの品質向上を目的に、 FNS に攻撃の詳細を送信する場合に選択し ます。フ ォーテ ィ ネ ッ ト は、この機能を有効にする こ と をお勧めし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

Web フィルタリングおよびアンチスパム オプション

このセクシ ョ ンにアクセスするには、 [Web Filtering and AntiSpam Options] の隣にある青色の矢印を選択し ます。

[Use override server address]

FDN に接続できない場合、 または自社の FortiGuard サーバを使用して、 社内で更新を提供する場合に、 オーバーラ イ ド サーバを設定するのに選択し ます。選択する際は、 FortiGuard サーバの IP ア ド レスまたはド メ イ ン名を入力し、 [Apply] を選択し ます。 FDN ステータ スに FDN への接続が表示されない場合は、 175 ページの 「FDN 接続性の ト ラブルシ ューテ ィ ング」 を参照し て く だ さい。

[Allow Push Update]

プ ッ シュ更新を行う場合に選択し ます。プ ッ シュ更新ステータ ス アイ コ ンによ り、 プ ッ シュ更新サービスのステータ スが示されます。

プッシュ更新ステータス アイコン

FortiGate ユニ ッ ト におけるプ ッ シ ュ更新の受信状況のステータ ス。

• グレー―到達不能―FortiGateユニ ッ ト はプ ッ シュ更新サービスに接続できません。

• 黄色―利用不可―現在のサポー ト ラ イセンスではプ ッ シュ更新サービスを利用できません。

• 緑色―利用可能―プ ッ シュ更新サービスを利用できます。 177 ページの 「プ ッ シュ更新を有効にするには」 を参照し て く だ さい。

アイ コ ンがグレーまたは黄色のいずれかの場合は、 175 ページの「FDN 接続性の ト ラブルシューテ ィ ング」 を参照し て く だ さい。

[Use override push]

プ ッ シュ更新サービスへの接続で使用する カス タム IP ア ド レスおよびポー ト を有効にする場合に選択し ます。[Allow Push Update] がオンの場合のみ、 利用できます。

[IP] FDNプ ッ シュ サーバに接続するための新しいIPア ド レスを入力し ます。[Allow Push Update] と [Use override push] がオンの場合のみ、 利用できます。

[port] FDN プ ッ シュ サーバに接続するための新しいポー ト を選択し ます。[Use override push] と IP ア ド レスが設定されている場合のみ、 利用できます。

[Scheduled Update]

このチ ェ ッ ク ボ ッ クスは、 定期更新を可能にする場合にオンにし ます。

[Every] 1 ～ 23 時間ご と に 1 回更新を試みます。 更新リ クエス ト の間隔を時間数で選択し ます。

[Daily] 1 日に 1 回更新を試みます。 更新をチ ェ ッ クする時間を指定できます。選択された時間内で タ イ ミ ングがラ ンダムで決定され、 更新が試行されます。

[Weekly] 1 週間に 1 回更新を試みます。 更新をチ ェ ッ クする曜日と時間を指定できます。 選択された時間内で タ イ ミ ングがラ ンダムで決定され、 更新が試行されます。

[Update Now] 手動で FDN 更新を開始するには、 [Update Now] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 173

174

FortiGuard Center システム - メンテナンス

図 91: [Web Filtering and AntiSpam Options] セクション

ログおよび分析オプション

このセクシ ョ ンでは、 FortiGuard ログおよび分析サーバの設定オプシ ョ ンが表示されます。

このセクシ ョ ンにアクセスするには、 [Log & Analysis Options] の隣にある青色の矢印を選択し ます。

[Enable Web Filter] FortiGuard Web フ ィ ルタ サービスを有効にする場合に選択し ます。

[Enable Cache] FortiGuard サービス情報のキャ ッ シュ を有効にする場合に選択し ます。これによ り、 FortiGuard サーバへの FortiGate ユニ ッ ト のリ ク エスト が減少し、 パフ ォーマンスが向上し ます。 キャ ッ シ ュでは、FortiGate のメ モ リの 6% が使用されます。 キャ ッ シュに空きがな くなる と、 IP ア ド レスまたは URL が、 使用されていない期間の も長いものから削除されます。[Enable Web Filter] がオンの場合のみ利用できます。

[TTL] 有効期間 (Time to Live)。 再びサーバと通信するまでに、 ブロ ッ クされた IP ア ド レスおよび URL をキャ ッ シュに保存し てお く 秒数。[Enable Web Filter] と [Enable Cache] が両方と もオンの場合のみ、利用できます。

[Enable Anti Spam] FortiGuard アンチスパム サービスを有効にする場合に選択し ます。

[Enable cache] FortiGuard サービス情報のキャ ッ シュを有効にする場合に選択します。これによ り、 FortiGuard サーバへの FortiGate ユニ ッ ト のリ ク エスト が減少し、 パフ ォーマンスが向上し ます。 キャ ッ シ ュでは、FortiGate のメ モ リの 6% が使用されます。 キャ ッ シュに空きがな くなる と、 IP ア ド レスまたは URL が、 使用されていない期間の も長いものから削除されます。[Enable Anti Spam] がオンの場合のみ利用できます。

[TTL] TTL (Time to Live)。 再びサーバと通信するまでに、 ブロ ッ ク されたIP ア ド レスおよび URL をキャ ッ シュに保存し てお く 秒数。

[Use Default Port (53)]

FortiGuard アンチスパム サーバとの通信でポー ト 53 を使用する場合に選択し ます。

[Use Alternate Port (8888)]

FortiGuard アンチスパム サーバとの通信でポー ト 8888 を使用する場合に選択し ます。

[Test Availability] FortiGuard アンチスパム サーバへの接続をテス ト する場合に選択し ます。 結果は、 ボタ ンの下と ステータ ス イ ンジケータ に表示されます。

[please click here] FortiGurad Web フ ィ ルタ サービスの URL カテゴ リのレーテ ィ ングを再評価する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

図 92: FDN ログおよび分析オプション

このセ ク シ ョ ンでは、 設定を行っ た り ログを消去し た り で き る、 438 ページの「FortiGuardログおよび分析サーバへのロギング」へのリ ン クが用意されています。

ログを消去する頻度を設定するには、 消去するまでログを保存する期間を月数で選択し ます。

FDN 接続性のトラブルシューティング

FortiGate ユニ ッ ト が FDN に接続できない場合、 設定を確認し ます。 た と えば、FortiGate ルーテ ィ ング テーブルにルー ト を追加し た り、 FortiGate ユニ ッ ト がイン ターネ ッ ト へ接続する際にポー ト 443 で HTTPS を使用できるよ う にネ ッ トワーク を設定した りする必要がある場合があ り ます。

更新を受信するために、 FortiGuard のオーバーラ イ ド サーバに接続し なければならない場合があ り ます。 176 ページの 「オーバーラ イ ド サーバを追加するには」を参照し て く だ さい。 これができない場合は、 設定をチ ェ ッ ク し、 FortiGate ユニ ッ ト から FortiGuard オーバーラ イ ド サーバに接続でき る こ と を確認し ます。

次のよ う な場合、 プ ッ シュ更新が使用できないこ とがあ り ます。

• FortiGate ユニ ッ ト を登録し ていない (FortiGate ユニ ッ ト を登録するには、製品登録のページにア クセス し て、 指示に従って く だ さい )。

• FortiGateユニ ッ ト と FDN との間に NAT デバイスが設置されている (178 ページの 「NAT デバイスを介し たプ ッ シュ更新の有効化」 参照 )。

• FortiGate ユニ ッ ト がプロキシ サーバを使用し てイ ン ターネ ッ ト に接続し ている (177 ページの「プロキシ サーバを介し た定期更新を有効にするには」参照 )。

アンチウイルスおよび攻撃の定義の更新

FortiGuard Distribution Network (FDN) に接続し てアンチウイルス ( グレーウ ェ アを含む ) の定義および攻撃の定義を更新するよ う FortiGate ユニ ッ ト を設定するには、 下記の手順を実行し ます。

FortiGate ユニットが FDN に接続できることを確認するには

1 [System]、[Status] の順に選択し、 [System Information] セク シ ョ ンの [Change on System Time line] をオンに し ます。

2 タ イム ゾーンが、 FortiGate ユニ ッ ト が設置されている地域に正し く 設定されている こ と を確認し ます。

3 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

4 [Refresh] を選択し ます。

FortiGate ユニ ッ ト が FDN への接続テス ト を実施し ます。 テス ト の結果は、 システム更新のページの 上部に表示されます。

アンチウイルスおよび攻撃の定義を更新するには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Update Now] を選択し て、 アンチウイルス と攻撃の定義を更新し ます。

FDN またはオーバーラ イ ド サーバへの接続に成功する と、 Web ベース マネージャに、 次のよ う な メ ッ セージが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 175

176

FortiGuard Center システム - メンテナンス

Your update request has been sent.Your database will be updated in a few minutes.Please check your update page for the status of the update.

数分後、 更新が利用可能になる と、 アンチウイルス と攻撃の定義の新たなバージ ョ ンの情報がシステム更新セン ターのページに表示されます。 また、 システム ステータ スのページにも、 アンチウイルス、 攻撃、 そし て IPS の定義の新しい日付とバージ ョ ン番号が表示されます。 メ ッ セージはイベン ト ログに記録され、更新の成否が示されます。

定期更新を有効にするには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Scheduled Update] チ ェ ッ ク ボ ッ クスをオンに し ます。

3 次のいずれか 1 つをオンにし て、 更新をダウンロー ド し ます。

4 [Apply] を選択し ます。

FortiGate ユニ ッ ト が、 新しい更新スケジュールに従っ て次回の定期更新を実行し ます。

FortiGate ユニ ッ ト が定期更新を実行するたびに、 そのイベン ト が FortiGate のイベン ト ログに記録されます。

オーバーライド サーバを追加するには

FDN に接続できない場合、 または自社の FortiGuard サーバを使用し て、 社内で更新が提供されている場合は、 次の手順を使用し て、 FortiGuard オーバーラ イ ド サーバの IP ア ド レスを追加できます。

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Use override server address] チ ェ ッ ク ボ ッ クスをオンにし ます。

3 FortiGuard サーバの完全な正規 ド メ イ ン名または IP ア ド レスを入力し ます。

4 [Apply] を選択し ます。

FortiGate ユニ ッ ト が、 オーバーラ イ ド サーバへの接続テス ト を実施し ます。

FortiGuard Distribution Network の有効性のアイ コ ンがグレーから変われば、FortiGate ユニ ッ ト はオーバーラ イ ド サーバに支障な く 接続し ています。

FortiGuard Distribution Network の有効性のアイ コ ンがグレーから変わらなければ、FortiGate ユニ ッ ト はオーバーラ イ ド サーバに接続できません。FortiGateFortiGuard オーバーラ イ ド サーバへの接続を阻むよ う な設定について、FortiGate の設定をおよびネ ッ ト ワークの設定をチ ェ ッ ク し て く だ さい。

注記 : アンチウイルスおよび攻撃の定義を更新する と、 FortiGate ユニ ッ ト が新し いシグネチャのデータベースを適用し ている間、 現在スキャ ン されている ト ラ フ ィ ッ クにご く 短時間、 中断が生じ る恐れがあ り ます。 この可能性を 低限に止めるには、 ト ラ フ ィ ッ クの少ない時間帯に更新を予定し て く だ さい。

[Every] 1 ～ 23 時間ご と に 1 回。 更新リ ク エス ト の間隔を時数と分数で選択し ます。

[Daily] 1 日に 1 回。 更新をチ ェ ッ クする時間を指定できます。

[Weekly] 1 週に 1 回。 更新をチ ェ ッ クする曜日と時間を指定できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

プロキシ サーバを介した定期更新を有効にするには

FortiGate ユニ ッ ト による イン ターネ ッ ト への接続がプロキシ サーバを経由し て行う必要がある場合、 config system autoupdate tunneling コ マン ド を用いて、 FortiGate ユニ ッ ト がプロキシ サーバを経由し て FDN に接続 ( または トンネル ) するよ う に設定できます。 詳細については、 FortiGate CLI リ フ ァ レンスを参照し て く だ さい。

プッシュ更新の有効化

FDN では、 危機的状況に可能な限り迅速に対応でき るよ う、 FortiGate ユニ ッ トに対し てプ ッ シュ更新を行う こ とができます。 プ ッ シュ更新を受信できるよ う にするには、 まず FortiGate ユニ ッ ト を登録する必要があ り ます。 FortiGate ユニ ット を登録するには、 製品登録のページを開き、 指示に従っ て く ださい。

プ ッ シュ更新を行えるよ う に FortiGate ユニ ッ ト を設定する と、 その FortiGate ユニ ッ ト から FDN に SETUP メ ッ セージが送信されます。 次回アンチウイルス定義または攻撃の定義が公開される と、 プ ッ シュ更新の設定が行われたすべてのFortiGate ユニ ッ ト に対し、 新たな更新が利用可能と なったこ とが FDN から通知されます。 FortiGate ユニ ッ ト は、 プ ッ シュ通知を受信し てから 60 秒以内に、FDN からの更新を リ ク エス ト し ます。

ネ ッ ト ワークの設定で可能ならば、 定期更新の設定に加え、 プ ッ シュ更新を設定し てお く こ と をお勧めます。 定期更新だけを受信するよ り も、 プ ッ シュ更新を使用し た方が、 FortiGate ユニ ッ ト が新しい更新を受信する タ イ ミ ングが早 く な ります。 ただ し、 FortiGate ユニ ッ ト が 新の更新を受信し ている こ とは、 定期更新によ って保証されます。

更新を取得する唯一の方法と し てプ ッ シュ更新を有効にする こ とは推奨されません。 FortiGate ユニ ッ ト でプ ッ シュ通知が受信されない場合があ り ます。 また、プ ッ シュ通知を受信した際、 FDN に接続し て更新をダウンロー ド し よ う とするFortiGate ユニ ッ ト の試みは 1 回に限られます。

プッシュ更新を有効にするには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Allow Push Update] を選択し ます。

3 [Apply] を選択し ます。

FortiGate の IP アドレスが変更された場合のプッシュ更新

プ ッ シュ更新を有効に し た際に FortiGate ユニ ッ ト から送信される SETUP メ ッセージには、 FDN が接続する FortiGate のイ ン タ フ ェースの IP ア ド レスが含まれます。 プ ッ シュ更新で使用される イ ン タ フ ェースは、 ス タ テ ィ ッ ク ルーテ ィ ング テーブルのデフ ォル ト ルー ト で設定されたイン タ フ ェ ースです。

イ ン タ フ ェースの IP ア ド レスを手動で変更し た場合、 または、 イ ン タ フ ェースのア ド レシング モー ド を DHCP または PPPoE に変更し、 DHCP または PPPoEサーバで IP ア ド レスが変更された場合、 FortiGate ユニ ッ ト は、 SETUP メ ッ セージを送信し ます。

FDN は、 プ ッ シュ更新メ ッ セージを受信でき るよ う、 FortiGate ユニ ッ ト のこのIP ア ド レスに接続できなければな り ません。 FortiGate ユニ ッ ト が NAT デバイス

注記 : FortiGate ユニ ッ ト がプロキシ サーバを使用し て FDN に接続する必要がある場合、

プ ッ シュ更新はサポー ト されません。 詳細については、 177 ページの 「プロキシ サーバを介し た定期更新を有効にするには」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 177

178

FortiGuard Center システム - メンテナンス

の背後にある場合は、 178 ページの 「NAT デバイスを介し たプ ッ シュ更新の有効化」 を参照し て く ださい。

また、 イ ン ターネ ッ ト への冗長経路がある場合、 一方のイ ン ターネ ッ ト 接続がダウンする と、 FortiGate ユニ ッ ト は SETUP メ ッ セージを送信し て、 も う一方のイン ターネ ッ ト 接続にフ ェールオーバし ます。

ト ラ ンスペアレン ト モー ド では、 管理 IP ア ド レスが変更された場合、 FortiGateユニ ッ ト は SETUP メ ッ セージを送信し て FDN にア ド レスの変更を通知し ます。

NAT デバイスを介したプッシュ更新の有効化

FDN が NAT デバイスを介し てのみ FortiGate ユニ ッ ト に接続可能である場合、NAT デバイスのポー ト フ ォワーデ ィ ングを設定し、 プ ッ シュ更新の設定にポート フ ォワーデ ィ ング情報を追加する必要があ り ます。 ポー ト フ ォワーデ ィ ングを使用する と、 FDN はポー ト 9443 または指定し たオーバーラ イ ド プ ッ シュ ポー ト のいずれかを使用し て、 FortiGate ユニ ッ ト に接続し ます。

図 93: ネットワーク例 :NAT デバイスを介したプッシュ更新

基本手順

内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト がプ ッ シュ更新を受信できるよ う に、内部ネ ッ ト ワークの FortiGate ユニ ッ ト および NAT デバイスを設定するには、 次の手順を実行し ます。

1 プ ッ シュ更新を受信でき るよ う に、 内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト を登録し、 使用を許可し ます。

注記 : NAT デバイスの外部 IP ア ド レスが動的な場合 ( た と えば PPPoE または DHCP を使

用し て設定し た場合 )、 NAT デバイスを介し てプ ッ シ ュ更新を受信する こ とはできません。

FDNServer

NAT Device

Push Updates

Internal Network

Internet

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - メンテナンス FortiGuard Center

2 内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト の FortiGuard Center を設定し ます。

• プ ッ シュ更新を可能にする。

• オーバーラ イ ド プ ッ シュ更新の IP を追加する。通常、 これは NAT デバイスの外部イ ン タ フ ェースの IP ア ド レスです。

• 必要に応じ て、 オーバーラ イ ド プ ッ シュ更新ポー ト を変更する。

3 NAT デバイスにポー ト フ ォワーデ ィ ング仮想 IP を追加し ます。

• オーバーラ イ ド プ ッ シュ更新 IP と一致するよ う に、仮想 IP の外部 IP ア ド レスを設定し ます。 通常、 これは NAT デバイスの外部イ ン タ フ ェースの IP ア ドレスです。

4 ポー ト フ ォワーデ ィ ング仮想 IP を含む FortiGate の NAT デバイスに、 フ ァ イアウォールのポ リ シーを追加し ます。

内部ネットワーク上の FortiGate ユニットの FortiGuard Center を設定するには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Allow Push Update] を選択し ます。

3 [Use override push IP] を選択し、 NAT デバイスの外部イ ン タ フ ェースの IP ア ドレスを入力し ます。

4 UDP ポー ト 9443 がブロ ッ ク されているか、 あるいはネ ッ ト ワークの他のサービスで使用されていない限り、 プ ッ シュ更新のポー ト は変更し ないで く ださい。

5 [Apply] を選択し ます。

FortiGate ユニ ッ ト は、 FDN にオーバーラ イ ド プ ッ シュ IP ア ド レスおよびポー トを送信し ます。 これで FDN は、 内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト へのプ ッ シュ更新に、 この IP ア ド レス とポー ト を使用し ます。 仮想 IP を NAT デバイスに追加し て、 プ ッ シュ更新パケ ッ ト が NAT デバイスによ っ て受信され、 内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト に転送されるよ う にするまで、 プ ッ シュ更新は実際には動作し ません。

FortiGate の NAT デバイスにポート フォワーディング仮想 IP を追加するには

ポー ト フ ォワーデ ィ ングを使用し て、 FDN から内部ネ ッ ト ワーク上の FortiGateユニ ッ ト にプ ッ シュ更新接続が転送されるよ う に、 NAT デバイスを設定し ます。

1 [Firewall]、[Virtual IP] の順に選択し て、 [Create New] を選択し ます。

2 プ ッ シュ更新の UDP ポー ト を使用し て、 NAT デバイスの外部イ ン タ フ ェースを内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト の IP ア ド レスにマ ッ プする、 ポー ト フ ォワーデ ィ ング仮想 IP を追加し ます。

注記 : 外部 IP ア ド レスまたは外部サービス ポー ト が変わった場合、 [Use override push configuration] にその変更を追加し、 [Apply] を選択し て、 FDN のプ ッ シュ情報を更新し てく だ さい。

[Name] 仮想 IP の名前を追加し ます。

[External Interface]

イン ターネ ッ ト に接続する NAT デバイスのイ ン タ フ ェース。

[Type] ス タ テ ィ ッ ク NAT。

[External IP Address/Range]

プ ッ シュ更新を内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト に送信するために、 FDN が接続する IP ア ド レス。 これは、 通常、 NAT デバイスの外部イン タ フ ェースの IP ア ド レスです。 この IP ア ド レスは、 内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト の、 FortiGuard Center のプ ッシュ更新オーバーラ イ ド IP と同一でなければな り ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 179

180

ライセンス システム - メンテナンス

3 [OK] を選択し ます。

FortiGate の NAT デバイスにファイアウォール ポリシーを追加するには

1 外部から内部への新たなフ ァ イアウォール ポ リ シーを追加し ます。

2 次の設定でポ リ シーを構成し ます。

3 [OK] を選択し ます。

内部ネットワーク上の FortiGate ユニットへのプッシュ更新が動作していることを確認するには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 [Refresh] を選択し ます。

[Push Update] のイ ンジケータが緑色に変わり ます。

ライセンス

FortiGate ユニ ッ ト がモデル 3000 以上であれば、 フ ォーテ ィ ネ ッ ト から ラ イセンス キーを購入し て、 VDOM の 大数を 25、 50、 100、 または 250 に増やすこ とができます。 FortiGate ユニ ッ ト では、 デフ ォル ト で 大 10 の VDOM がサポー ト されます。

ラ イセンス キーとは、 フ ォーテ ィ ネ ッ ト が提供する 32 文字の文字列です。フ ォーテ ィ ネ ッ ト がラ イセンス キーを生成する際に、 ユニ ッ ト のシ リ アル番号が必要と な り ます。

ラ イセンス キーを入力するには、 [System]、[Maintenance]、[License] の順に選択し ます。

図 94: 追加の VDOM のライセンス キー

[Mapped IP Address/Range]

内部ネ ッ ト ワーク上の FortiGate ユニ ッ ト の IP ア ド レス。

[Port Forwarding] ポー ト フ ォワーデ ィ ングを選択し ます。

[Protocol] UDP。

[External Service Port]

FDN が接続する外部サービス ポー ト 。 プ ッ シ ュ更新の外部サービス ポー ト は、 通常、 9443 です。 内部ネ ッ ト ワーク上の FortiGate ユニ ット の FortiGuard Center の設定でプ ッ シュ更新ポー ト を変更し た場合は、 外部サービス ポー ト を変更されたプ ッ シュ更新ポー ト に設定しなければな り ません。

[Map to Port] ポー ト へのマ ッ プは、 外部サービス ポー ト と同一でなければな り ません。

[Current License] バーチャル ド メ イ ンの現在の 大数。

[Input License Key] フ ォーテ ィ ネ ッ ト が提供する ラ イセンス キーを入力し、 [Apply] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - シャーシ (FortiGate-5000 シリーズ ) SMC ( シェルフ マネージャ カード )

システム - シャーシ(FortiGate-5000 シリーズ )

[System]、[Chassis] の順に選択する と、 FortiGate-5050 または FortiGate-5140のシ ャーシに装着された FortiGate-5000 シ リーズ モジュールをはじめ、 シャーシに装着されているハー ド ウ ェ ア コ ンポーネン ト の動作ステータ ス情報を リ アルタ イムで表示する こ とができます。

システム シ ャーシのページでは、 シ ャーシ内のすべてのハー ド ウ ェ ア コ ンポーネン ト に関する情報を表示できます。 FortiGate CLI から get chassis statusコ マン ド を使用する と、 同様のシャーシ情報を表示できます。 システム シャーシのページおよび get chassis status コ マン ド で表示される情報は、接続先のFortiGate-5000 モジュールではな く 、FortiGate-5000 シ リーズ シャーシ と、シャーシに装着されている FortiGate-5000 シ リーズ モジュールによ っ て決ま り ます。

システム シャーシのページでは、 シャーシ シ ェルフ マネージャから受信した情報が表示されます。 システム シャーシのページに情報が表示されるのは、シャーシ内でシ ェルフ マネージャが 1 つ以上動作し ており、 なおかつ接続先のFortiGate-5000 モジュールがシ ェルフ マネージ ャ と通信できる場合に限り ます。

この項には以下の ト ピ ッ クが含まれています。

• SMC ( シ ェルフ マネージャ カー ド )

• ブレー ド (FortiGate-5000 シャーシ スロ ッ ト )

• シャーシ モニ タ リ ングのイベン ト ログ メ ッ セージ

SMC ( シェルフ マネージャ カード )

FortiGate-5000 シ リ ーズ シ ャーシに装着されているシ ェルフ マネージャ カー ド (SMC) のステータ スを表示するには、 [System]、[Chassis]、[SMC] の順に選択し ます。 SMC リ ス ト は、 FortiGate-5140 シャーシ と FortiGate-5050 シャーシで共通です。 SMC リ ス ト には、 シャーシ内のシ ェルフ マネージ ャ カー ドの基本的なステータ ス情報が表示されます。

図 95: シェルフ マネージャ カード (SMC) リスト

[Refresh interval] SMC リ ス ト に表示される情報が Web ベース マネージャ で更新される頻度を設定し ます。

[Refresh] SMC リ ス ト の表示情報を手動で更新し ます。

[SMC #] シ ェルフ マネージャ カー ドのスロ ッ ト 番号で、 SMC 1 または SMC 2。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 181

182

ブレード (FortiGate-5000 シャーシ スロット ) システム - シャーシ (FortiGate-5000 シリーズ )

ブレード (FortiGate-5000 シャーシ スロット )

FortiGate-5000 シ リーズ モジュールが装着されている FortiGate-5000 シャーシのスロ ッ ト のリ ス ト を表示するには、 [System]、[Chassis]、[Blades] の順に選択します。 スロ ッ ト のリ ス ト には、 スロ ッ ト が未使用の状態か、 または FortiGate-5000モジュールが装着されている状態かが示されます。 スロ ッ ト にモジュールが装着されている場合、デ ィ スプレ イにはスロ ッ ト 内のモジュールの種類が示されます。スロ ッ ト には、FortiGate-5001SX モジュールなどのノ ー ド カー ド や、FortiSwitch-5003 モジュールなどのスイ ッ チ カー ド を装着できます。接続先の FortiGate-5000モジュールが装着されているスロ ッ ト は、 黄色で強調表示されます。

接続先の FortiGate-5000 シ リ ーズ モジュールが FortiGate-5050 シャーシに装着されている場合、 ブレー ド リ ス ト は 5 つの行が構成されます。 FortiGate-5140シャーシでは、 ブレー ド リ ス ト に 14 行にな り ます。

モジュールが装着されている各スロ ッ ト について、 ブレー ド リ ス ト には、 スロ ッ ト 内のモジュールの温度と電圧が許容範囲内にあるかど うかが示されます。温度と電圧に “Good” と表示されれば、 モジュールは許容範囲内で動作し ています。 温度または電圧に “Alarm” と表示された場合、 温度または電圧が許容範囲外であるため、 シ ェルフ マネージャが警告を記録し ます。

SNMP が有効に設定され、 “Temperature too high” ( 温度超過 ) “Voltage out of range” ( 電圧許容範囲外 ) の SNMP イベン ト が選択されている場合、 シ ェルフ マネージャが温度または電圧の警告を記録する と、 FortiGate-5000 モジュールのSNMP エージ ェ ン ト によ って SNMP ト ラ ッ プが送信されます。

図 96: FortiGate-5050 のブレード リストの例

[Status] 各シ ャーシ スロ ッ ト 内のシ ェルフ マネージ ャ カー ド の現在のステータ ス。 ステータ スは、 シ ェルフ マネージャ カー ドがスロ ッ ト に装着されていれば “Persent”、 装着されていなければ “Empty” にな り ます。

[Active/Standby] 各シャーシ スロ ッ ト 内のシ ェルフ マネージ ャ カー ドのモー ド。 シ ェルフ マネージャは、 アク テ ィ ブ モー ド またはス タ ンバイ モー ド での動作が可能です。 アク テ ィ ブ モー ド では、 シ ェルフ マネージ ャがシャーシを操作し ます。 ス タ ンバイ モー ド では、 アク テ ィ ブなシ ェルフ マネージャが動作し ていないこ と を検知し た場合、 シ ェルフ マネージャはアク テ ィ ブ モー ド に切り替わるのを待ちます。 ステータスが “Empty” の場合、 [Active/Standby] は空白と な り ます。

[Refresh interval] ブレー ド リ ス ト に表示される情報が Web ベース マネージャで更新される頻度を設定し ます。

[Refresh] ブレー ド リ ス ト の表示情報を手動で更新し ます。

[Slot #] シ ャーシのスロ ッ ト 番号。FortiGate-5050 シ ャーシにはスロ ッ ト 1 ～ 5、 FortiGate-5140 シャーシにはスロ ッ ト 1 ～ 14 が示されます。

[Blade Type] スロ ッ ト に ノ ー ド カー ド ( たと えば FortiGate-5001 SX モジュール ) またはスイ ッ チ カー ド ( た と えば FortiSwitch-5003 モジュール ) が装着されているかど うかが示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - シャーシ (FortiGate-5000 シリーズ ) ブレード (FortiGate-5000 シャーシ スロット )

[Temperature] 各スロ ッ ト 内のモジ ュールの温度センサーが検知し ている温度が許容範囲内かど うかを示し ます。 “Good” は、 監視されている温度がすべて許容範囲内である こ と を示し ます。 “Alarm” は、 監視されている温度が高すぎるか ( 通常は約 75 ℃ )、 または低すぎる (10 ℃以下 ) こと を示し ます。温度イ ンジケータ上にマウスを移動させる と、 モジ ュールの各センサーが読み取っている温度を表示できます。 その表示内容には、 温度センサーの名前と温度の測定値が含まれます。表示される温度は、 FortiGate または FortiSwitch モジュールによ っ て異な り ます。 例 :FortiGate-5005FA2 モジ ュールの場合 :

• Incoming Air-Flow ( 流入空気 ): 37 ℃

• CPU Board Temp (CPU ボー ド温度 ): 49 ℃

• CPU1 Temp (CPU1 温度 ): 65 ℃

• CPU2 Temp (CPU2 温度 ): 66 ℃

FortiGate-5001SX モジュールおよび FortiGate-5001FA2 モジ ュールの場合 :

• TEMP1: 37 ℃

• TEMP2: 30 ℃

FortiSwitch-5003 モジュールの場合 :

• Baseboard Temp ( ベースボー ド温度 ): 35 ℃

• Board (BRD) Top Temp ( ボー ド (BRD) 上部温度 ): 33 ℃

• BRD Bottom Temp (BRD 底部温度 ): 33 ℃

• BRD Center Temp (BRD 中心部温度 ): 38 ℃

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 183

184

シャーシ モニタリングのイベント ログ メッセージ システム - シャーシ (FortiGate-5000 シリーズ )

シャーシ モニタリングのイベント ログ メッセージ

FortiGate-5000 シ リーズ モジュールでは、 シャーシ モニ タ リ ングで通常の動作パラ メ ータ を逸脱し た温度、 電圧、 またはフ ァ ン速度が検知された場合に、表 31 に示し たログ メ ッ セージを送信する こ とができます。 表 31 のすべてのメ ッ セージに、 シャーシのログ タ イプ と深刻度 ( 警告または重大 ) が含まれます。 警告メ ッ セージは、 重大でないし きい値に達する と記録されます。 重大メ ッセージは、 重大な し きい値に達する と記録されます。

[Voltage] 各スロ ッ ト 内のモジュールの電圧センサーが検知し ている電圧が許容範囲内かど うかを示し ます。 “Good” は、 監視されている電圧がすべて許容範囲内である こ と を示し ます。 “Alarm” は、 監視されている電圧が高すぎるか、 または低すぎる こ と を示し ます。各スロ ッ ト の電圧のインジケータ上にマウスを移動させる と、 各センサーが読み取っている電圧を表示できます。 各センサーが読み取る情報と し て、 設計電圧 ( た と えば 3.3V) と実際に測定された電圧 (た と えば 3.288V) があ り ます。 電圧の許容範囲はセンサーによ っ て異な り ます。 表示される電圧は、 FortiGate-5000 シ リーズ モジュールによ っ て異な り ます。 例 :FortiGate-5005FA2 モジュールの場合 :

• CPU1 Voltage (CPU1 電圧 ): 1.1956V

• CPU1 Voltage (CPU1 電圧 ): 1.1858V

• +5.0V: 4.851V

• +3.3V: 3.321V

• +2.5V CPU1: 2.5376V

• +2.5V CPU2: 2.5498V

• +1.2V 1: 1.1956V

• +1.2V 2: 1.2054V

FortiGate-5001SX モジュールおよび FortiGate-5001FA2 モジュールの場合 :

• 5V: 5.0764V

• 3.3V: 3.4884V

• 2.5V: 2.534V

• 1.8V: 1.8236V

• 1.5V: 1.5326V

FortiSwitch-5003 モジ ュールの場合 :

• +1.5V: 1.521V

• +2V: 1.989V

• +2.5V: 2.4921V

• +3.3V: 3.3024V

• +3.3VSB: 3.3712V

• +5VSB5.096V

• +12V: 12.096V

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

システム - シャーシ (FortiGate-5000 シリーズ ) シャーシ モニタリングのイベント ログ メッセージ

表 31: シャーシ モニタリングの警告および重大イベント ログ メッセージ

ID メッセージ 意味

99503 Chassis fan anomaly:Fan <fan_integer>, <rpm_integer> RPM Chassis fan anomaly

シャーシのフ ァ ンが、 通常の動作範囲を逸脱した RPM 値で動作し ています。 <fan_integer> はフ ァ ン ト レ イの番号です。 FortiGate-5140 では、<fan_integer> は 0、 1、 または 2 と な り ます。FortiGate-5050 にはフ ァ ン ト レ イは 1 つしかあり ません。 <rpm_integer> は、 動作し ている フ ァンの RPM です。

99504 Chassis temperature anomaly:T <sensor_integer>, <temp_integer> Celsius

温度センサーが、 このセンサーの通常の動作範囲を逸脱し た温度を検知し ま し た。 通常の動作範囲は 10 ～ 75 ℃です。 <temp_integer> は温度センサーを識別し ます。 <temp_integer> は、 センサーが報告し ている温度です。

99505 Chassis voltage anomaly:V<design_voltage>, <monitored_voltage> V

シャーシ電圧センサーが、 センサーの動作範囲を逸脱し た電圧レベルを検知し ま し た。<design_voltage> は、 通常の動作時、 センサーの位置で回路に必要と される電圧です。 た と えば、<design_voltage> は 3.3 や 5 などの場合があり ます。 <monitored_voltage> は、 センサーで測定された実際の電圧です。

99506 Blade fan anomaly:Fan <fan_integer>, <rpm_integer> RPM

ブレー ドのフ ァ ンが、 通常の動作範囲を逸脱した RPM 値で動作し ています。 <fan_integer> は、フ ァ ンを識別し ます。 <rpm_integer> は、 動作している フ ァ ンの RPM です。

99507 Blade temperature anomaly:Blade <temp_integer>, <temp_integer> Celsius

FortiGate-5000 または FortiSwitch-5000 シ リーズ モジュール上の温度センサーが、 このセンサーの通常の動作範囲を逸脱し た温度を検知し ま した。 通常の動作範囲は 10 ～ 75 ℃です。<temp_integer> は、 モジュールの温度センサーを識別し ます。 <temp_integer> は、 センサーが報告し ている温度です。

99508 Blade voltage anomaly:Blade <design_voltage>, <monitored_voltage> V

FortiGate-5000 または FortiSwitch-5000 シ リーズ モジュール上の電圧センサーが、 センサーの動作範囲を逸脱し た電圧レベルを検知し ま し た。<design_voltage> は、 通常の動作時、 センサーの位置で回路に必要と される電圧です。 た と えば、<design_voltage> は 3.3 や 5 などの場合があり ます。 <monitored_voltage> は、 センサーで測定された実際の電圧です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 185

186

シャーシ モニタリングのイベント ログ メッセージ システム - シャーシ (FortiGate-5000 シリーズ )

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック ルーティングの概念

F0

ルータ - スタティック この項では、 一般的なルーテ ィ ングの概念、 ス タ テ ィ ッ ク ルー ト の定義方法、およびルー ト ポ リ シーについて説明し ます。 ルー ト は、 ネ ッ ト ワーク上の特定の宛先にパケ ッ ト を転送するのに必要な情報を FortiGate ユニ ッ ト に提供し ます。パケ ッ ト は、 ス タ テ ィ ッ ク ルー ト によ って、 工場出荷時に設定されているデフ ォル ト ゲー ト ウ ェ イ以外の宛先へと転送されます。

工場出荷時に設定済みのス タ テ ィ ッ ク デフ ォル ト ルー ト は、 デフ ォル ト ゲー トウ ェ イ を設定するための出発点と な り ます。 工場出荷時に設定済みのス タ テ ィ ック デフ ォル ト ルー ト を変更し て異なるデフ ォル ト ゲー ト ウ ェ イ を FortiGate ユニ ッ ト に設定するか、 または工場出荷時に設定済みのルー ト を削除し て、 デフ ォル ト ゲー ト ウ ェ イ を示すス タ テ ィ ッ ク デフ ォル ト ルー ト を FortiGate ユニ ッ トに設定する必要があ り ます。 191 ページの 「デフ ォル ト ルー ト およびデフ ォルト ゲー ト ウ ェ イ」 を参照し て く だ さい。

ス タ テ ィ ッ ク ルー ト は手動で定義し ます。 FortiGate ユニ ッ ト から送出される トラ フ ィ ッ クはス タ テ ィ ッ ク ルー ト が制御し ますが、 パケ ッ ト を送出する イ ン タフ ェース とパケ ッ ト の転送先のデバイスはユーザが指定できます。

オプシ ョ ンでルー ト ポ リ シーを定義する こ とができます。 ルー ト ポ リ シーは、着信パケ ッ ト のプロパテ ィ を分析するための基準を追加指定する ものです。 ルート ポリ シーを使用する と、 パケ ッ ト ヘ ッ ダ内の IP 送信元 / 宛先ア ド レスをはじめ、 パケ ッ ト を受信する イ ン タ フ ェース、 パケ ッ ト 送信に使用されるプロ ト コル ( サービス ) やポー ト などの条件に基づいてパケ ッ ト をルーテ ィ ングするよ う に、FortiGate ユニ ッ ト を設定できます。

この項には以下の ト ピ ッ クが含まれています。

• ルーテ ィ ングの概念

• ス タ テ ィ ッ ク ルー ト

• ポ リ シー ルー ト

ルーティングの概念

ルーテ ィ ングは複雑なテーマです。 FortiGate ユニ ッ ト はネ ッ ト ワーク上のセキュ リ テ ィ デバイス と し て機能し、 パケ ッ ト はその FortiGate ユニ ッ ト を経由しなければな り ません。 そのため、 FortiGate ユニ ッ ト を適切に設定するには、数々の基本的なルーテ ィ ングの概念を理解する必要があ り ます。

管理するネ ッ ト ワークの規模の大小を問わず、 この項は FortiGate ユニ ッ ト がどのよ う にルーテ ィ ング機能を実行するのかを理解するのに役立ちます。

この項には以下の ト ピ ッ クが含まれています。

• ルーテ ィ ング テーブルの成立ち

• ルーテ ィ ングの決定方法

• マルチパス ルーテ ィ ング と 良のルー ト の決定ルー ト プ ラ イオ リ テ ィ へのルー ト シーケンスの影響

• ルー ト プ ラ イオ リ テ ィ へのルー ト シーケンスの影響

• 等価コ ス ト マルチパス (ECMP) ルー ト

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 187

188

ルーティングの概念 ルータ - スタティック

ルーティング テーブルの成立ち

工場出荷時では、 FortiGate のルーテ ィ ング テーブルにはス タ テ ィ ッ ク デフ ォルト ルー ト が 1 つ設定されています。 別のス タ テ ィ ッ ク ルー ト を定義する こ とによ り、 ルーテ ィ ング テーブルにルーテ ィ ング情報を追加できます。 テーブルには、 同じ宛先への異なるルー ト をい く つか含める こ とができます。 その場合、ルータ またはルータに関連する FortiGate イン タ フ ェ ースに指定されているネクス ト ホ ッ プ ルータの IP ア ド レスは、 それぞれ別々になる こ とがあ り ます。

FortiGate ユニ ッ ト は、 ルーテ ィ ング テーブルの情報を評価する こ と で、 パケ ット に 「 良」 のルー ト を選択し ます。 宛先への 良のルー ト は通常、 FortiGateユニ ッ ト と それに も近いネクス ト ホ ッ プ ルータ との間の 短距離と関係し ます。 何らかの理由で 良のルー ト が利用できない場合は、 その次に 良なルー トが選択される場合があ り ます。 良のルー ト は、 FortiGate のルーテ ィ ング テーブルの一部である FortiGate のフ ォワーデ ィ ング テーブルに設定されます。 パケ ッ ト は、 フ ォワーデ ィ ング テーブルの情報に基づいて転送されます。

ルーティングの決定方法

パケ ッ ト が FortiGate ユニ ッ ト のイ ン タ フ ェースの 1 つに到達する と、 FortiGateユニ ッ ト は、 パケ ッ ト ヘ ッ ダの送信元 IP ア ド レスを使用し て逆引き を行う こ とによ り、 パケ ッ ト が正当なイ ン タ フ ェースで受信されたかど うかを判断し ます。パケ ッ ト を受信し たイ ン タ フ ェースを介し て送信元 IP ア ド レスのコ ンピ ュータと通信できない場合、 ハッ キングの試みである こ とが考えられるので、 FortiGateユニ ッ ト はパケ ッ ト を破棄し ます。

宛先ア ド レスがローカル ア ド レス と一致し た場合 ( なおかつローカル設定で配信が許可されている場合 )、 FortiGate ユニ ッ ト はローカル ネ ッ ト ワークにパケ ット を配信し ます。 パケ ッ ト の宛先が別のネ ッ ト ワーク である場合、 FortiGate ユニ ッ ト は、 ルー ト ポ リ シーまたは FortiGate フ ォワーデ ィ ング テーブルに保存された情報、 あるいはその両方に従って、 ネクス ト ホ ッ プ ルータにパケ ッ ト を転送し ます。 195 ページの 「ポ リ シー ルー ト 」 を参照し て く だ さい。

マルチパス ルーティングと最良のルートの決定

マルチパス ルーテ ィ ングは、 同じ宛先へのエン ト リがルーテ ィ ング テーブルに複数存在する場合に発生し ます。 マルチパス ルーテ ィ ングが発生する と、FortiGate ユニ ッ ト は着信パケ ッ ト に複数の宛先を使用でき る こ とにな り、 どのネクス ト ホ ッ プが 良か判断を迫られます。

同じ宛先への複数のルー ト とい う問題を手動で解決するには、 一方のルー ト のデ ィ ス タ ンスを短 く するか、 または両方のルー ト にプ ラ イオ リ テ ィ を設定する とい う 2 つの方法があ り ます。 FortiGate ユニ ッ ト にプ ラ イマ リ ( 優先 ) ルー ト を選択させるには、 可能なルー ト のいずれかに関連し たデ ィ ス タ ンスを手動で短 く します。 デ ィ ス タ ンスは 1 ～ 255 の値を設定できます。

両方のルー ト のプ ラ イオ リ テ ィ を手動で変更する とい う方法もあ り ます。FortiGate ユニ ッ ト の 2 つのルー ト で、 ネクス ト ホ ッ プのデ ィ ス タ ンスが同じ である と、 パケ ッ ト がたどるルー ト が明確でない場合があ り ます。 それらのルー トのそれぞれにプ ラ イオ リ テ ィ を設定すれば、 デ ィ ス タ ンスが同一の場合に使用されるネクス ト ホ ッ プが明確にな り ます。 ルー ト のプ ラ イオ リ テ ィ は、 CLI でのみ設定できます。 プ ラ イオ リ テ ィ の値が小さい方が優先されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック ルーティングの概念

ルーテ ィ ング テーブルのエン ト リは、 すべてデ ィ ス タ ンス と関連付けられます。同一の宛先をポイン ト するエン ト リがルーテ ィ ング テーブルに複数含まれている場合 ( エン ト リのゲー ト ウ ェ イまたはイン タ フ ェ ースの関係は異なる可能性があ り ます )、 FortiGate ユニ ッ ト はそれらのエン ト リのデ ィ ス タ ンスを比較し て距離が 短のエン ト リ を選択し、 FortiGate フ ォワーデ ィ ング テーブルにルー ト とし て設定し ます。 その結果、 FortiGate フ ォワーデ ィ ング テーブルには、 可能な限りすべての宛先への距離が 短のルー ト のみが含まれる こ とにな り ます。 ス タテ ィ ッ ク ルー ト に関連し たデ ィ ス タ ンスの変更方法については、 194 ページの「ルーテ ィ ング テーブルへのス タ テ ィ ッ ク ルー ト の追加」 を参照し て く だ さい。

ルート プライオリティへのルート シーケンスの影響

FortiGate ユニ ッ ト がデ ィ ス タ ンスに基づいて フ ォワーデ ィ ング テーブルのス タテ ィ ッ ク ルー ト を選択し た後、 それらのルー ト のシーケンス番号によ ってルーテ ィ ングのプ ラ イオ リ テ ィ が決定されます。 フ ォワーデ ィ ング テーブル内に同じ宛先のルー ト が 2 つ存在する場合、 シーケンス番号の も小さいルー ト が 良の選択にな り ます。

FortiOS v3.0 では、 CLI で設定されたルー ト にプ ラ イオ リ テ ィ フ ィ ールドが追加されています。 プ ラ イオ リ テ ィ フ ィ ール ドは、 デ ィ ス タ ンスが等しい 2 つのルー ト を解決するため、 ルー ト シーケンスを無効に し ます。 プ ラ イオ リ テ ィ フ ィ ールドの値が も小さいルー ト が、 良のルー ト と見な されます。 プ ラ イオリ テ ィ が同じか、 または使用されていない場合は、 ルーテ ィ ング テーブル内でシーケンス番号の も小さいルー ト が 良のルー ト と な り ます。 良のルー ト はプ ラ イマ リ ルー ト でもあ り ます。 プ ラ イオ リ テ ィ フ ィ ール ド を設定する コ マンドは、 config route static コ マン ド 下の set priority <integer> です。 詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

Web ベース マネージャ で [Static Route] リ ス ト にス タ テ ィ ッ ク ルー ト を追加する場合、 FortiGate ユニ ッ ト は、 使用されていない次のシーケンス番号を自動的に新エン ト リ に割り当てます。 た と えば図 97 では、 同一の宛先 (1.1.1.0/24) への2 つのス タ テ ィ ッ ク ルー ト が作成され、 エン ト リ番号と シーケンス番号が Webベース マネージャ を介し てどのよ う に割り当てられるのかを示し ています。 2つのルー ト は同一のゲー ト ウ ェ イ を指定し ていますが、 あるケースでは、 パケ ット は " ポー ト 1" とい う名前のイ ン タ フ ェースを介し て FortiGate ユニ ッ ト から発信され、 また別のケースでは、 " ポー ト 2" とい う名前のイ ン タ フ ェースを介し て発信されます。

図 97: Web ベース マネージャを介して作成されたスタティック ルート

まずエン ト リ番号 2 が作成され、 次にエン ト リ番号 3 が作成されています。 そのため、 ルーテ ィ ング テーブルにおける これらのシーケンス番号は、 それぞれ 2と 3 にな り ます。 FortiGate ユニ ッ ト が宛先を同じ く する これら 2 つのルー ト を評価する場合、 2 つと もデ ィ ス タ ンスが小さいため、 両方と も フ ォワーデ ィ ング テーブルに追加されます。 フ ォワーデ ィ ング テーブルにルー ト が追加される と、CLI の set priority コマン ド でプ ラ イオ リ テ ィ が設定されていない限り、 そのシーケンス番号によ っ てルー ト のプ ラ イオ リ テ ィ が決定し ます。 エン ト リ番号2 のシーケンス番号が も小さいため、 これが優先ルー ト と な り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 189

190

スタティック ルート ルータ - スタティック

Web ベース マネージャでス タ テ ィ ッ ク ルー ト がすべて設定される と、ス タ テ ィ ック ルータ リ ス ト のエン ト リの順番は、 通常、 ルーテ ィ ング テーブルにおけるスタ テ ィ ッ ク ルー ト の順番と同一にな り ます。 ただ し、 CLI でルー ト を追加する ときにス タ テ ィ ッ ク ルー ト のシーケンス番号を指定でき るため、ルー ト のシーケンス番号は ス タ テ ィ ッ ク ルータ リ ス ト のエン ト リの番号と常に一致する とは限りません。 シーケンス番号は、 CLI でのみ、 ス タ テ ィ ッ ク ルー ト に指定できます。

ま とめる と、 ルーテ ィ ング テーブル内のあるルー ト のシーケンス番号が同じ宛先の他のルー ト よ り も小さい場合、 FortiGate ユニ ッ ト は他のルー ト を選択する前に、 シーケンス番号が小さいそのルー ト を選択し ます。 ス タ テ ィ ッ ク ルー トを設定する際、 使用するシーケンス番号またはプ ラ イオ リ テ ィ フ ィ ール ドの設定を CLI で指定でき るため、 シーケンス番号およびプ ラ イオ リ テ ィ フ ィ ールドの設定に従っ て、 同じ宛先の複数のルー ト にプ ラ イオ リ テ ィ を設定する こ とができます。 ス タ テ ィ ッ ク ルー ト を優先ルー ト とするには、 CLI コ マン ド config router static を使用し てルー ト を作成し、 そのルー ト に小さいシーケンス番号またはプ ラ イオ リ テ ィ を指定する必要があ り ます。

等価コスト マルチパス (ECMP) ルート

宛先が同じルー ト が複数ある場合、 どのルー ト を設定し て使用するか不明確な場合があ り ます。 これは前述のよ う に、 距離と プ ラ イオ リ テ ィ に基づきます。 両方のルー ト の距離も プ ラ イオ リ テ ィ も同一であるならば、 それらのルー ト は等価コス ト マルチパス (ECMP) ルー ト と な り ます。 ECMP ルー ト でロー ド バラ ンスが設定されている場合、 同じ ア ド レスに対し てセ ッ シ ョ ンご とに別々のルー ト が使用され、 ト ラ フ ィ ッ クが負荷分散される こ とにな り ます。

スタティック ルート

ス タ テ ィ ッ ク ルー ト は、 FortiGate ユニ ッ ト が傍受するパケ ッ ト の宛先 IP ア ド レス とネ ッ ト マスク を定義し、 それらのパケ ッ ト の ( ゲー ト ウ ェ イ ) IP ア ド レスを指定する こ とによ っ て設定し ます。 ゲー ト ウ ェ イ ア ド レスは、 ト ラ フ ィ ッ クがルーテ ィ ングされるネクス ト ホ ッ プ ルータ を指定し ます。

スタティック ルートの操作

ス タ テ ィ ッ ク ルータ リ ス ト には、 パケ ッ ト をルーテ ィ ングするために FortiGateユニ ッ ト がパケ ッ ト のヘ ッ ダ と比較し た情報が表示されます。 当初、 このリ ス トには工場出荷時に設定済みのス タ テ ィ ッ ク デフ ォル ト ルー ト が含まれています。191 ページの 「デフ ォル ト ルー ト およびデフ ォル ト ゲー ト ウ ェ イ」 を参照し てく だ さい。 新しいエン ト リは手動で追加できます。

注記 : ス タ テ ィ ッ ク ルー ト のシーケンス番号は、 CLI で config router static と入

力し た後、 get と入力する こ と で、 ルーテ ィ ング テーブルに表示できます。 ルー ト の

シーケンス番号は、 CLI でス タ テ ィ ッ ク ルー ト を定義する際に入力するedit <ID_integer> の値と等し く な り ます。 詳細については、 『FortiGate CLI リ フ ァ レ

ンス』 の config router static を参照し て く だ さい。

注記 : IPv6 ト ラ フ ィ ッ クのス タ テ ィ ッ ク ルー ト の追加、 編集、 削除には、 CLI コマン ドconfig router static6 を使用できます。 詳細については、 『FortiGate CLI リ フ ァ レン

ス』 の章 「ルータ」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック スタティック ルート

ス タ テ ィ ッ ク ルータ リ ス ト にス タ テ ィ ッ ク ルー ト を追加する と、 FortiGate ユニ ッ ト はその情報を評価し、 FortiGate のルーテ ィ ング テーブルにすでに存在する他のルー ト と比較し て、 それが異なるルー ト かど うか判定し ます。 宛先が同じルー ト がルーテ ィ ング テーブルになければ、 FortiGate ユニ ッ ト はそのルー ト をルーテ ィ ング テーブルに追加し ます。

ス タ テ ィ ッ ク ルー ト のリ ス ト を表示するには、 [Router]、[Static]、[Static Route] の順に選択し ます。 既存のス タ テ ィ ッ ク ルー ト のエン ト リ を編集するには、 [Router]、[Static]、[Static Route] の順に選択し、 編集するエン ト リの隣にある編集アイ コ ンを選択し ます。

図 98 は、 "External" および "Internal" とい う名前のイ ン タ フ ェースを持つFortiGate ユニ ッ ト のス タ テ ィ ッ ク ルー ト リ ス ト です。 FortiGate ユニ ッ ト 上の実際のイ ン タ フ ェースの名前はこれとは異なる場合があ り ます。

図 98: スタティック ルート リスト

デフォルト ルートおよびデフォルト ゲートウェイ

工場出荷時の設定では、 ス タ テ ィ ッ ク ルータ リ ス ト のエン ト リ番号 1 は、 すべての宛先を意味する宛先ア ド レス 0.0.0.0/0.0.0.0 に関連付けられています。 このルー ト は、 「ス タ テ ィ ッ ク デフ ォル ト ルー ト 」 と呼ばれます。 ルーテ ィ ングテーブルに他のルー ト が存在せず、FortiGate ユニ ッ ト の先へとパケ ッ ト を転送する必要がある場合、 工場出荷時に設定済みのス タ テ ィ ッ ク デフ ォル ト ルー ト によ り、FortiGate ユニ ッ ト はパケ ッ ト をデフ ォル ト ゲー ト ウ ェ イに転送し ます。

これを防ぐには、 工場出荷時に設定済みのス タ テ ィ ッ ク デフ ォル ト ルー ト を編集し て異なるデフ ォル ト ゲー ト ウ ェ イ を FortiGate ユニ ッ ト に指定するか、 または工場出荷時に設定済みのルー ト を削除し、 デフ ォル ト ゲー ト ウ ェ イ をポイント するス タ テ ィ ッ ク デフ ォル ト ルー ト を自身で FortiGate ユニ ッ ト に指定する必要があ り ます。

[Create New] ス タ テ ィ ッ ク ルータ リ ス ト にス タ テ ィ ッ ク ルー ト を追加し ます。 194ページの 「ルーテ ィ ング テーブルへのス タ テ ィ ッ ク ルー ト の追加」 を参照し て く だ さい。

[IP] FortiGate ユニ ッ ト が傍受するパケ ッ ト の宛先 IP ア ド レス。

[Mask] IP ア ド レスに関連し たネ ッ ト ワーク マスク。

[Gateway] 傍受されたパケ ッ ト が転送されるネク ス ト ホ ッ プ ルータのIPア ド レス。

[Device] 傍受されたパケ ッ ト が送受信される FortiGate イ ン タ フ ェースの名前。

[Distance] 各ルー ト に関連し たデ ィ ス タ ンス。 値は、 ネク ス ト ホ ッ プ ルータへの距離を表し ます。

削除アイコンと編集アイコン

リ ス ト のエン ト リ を削除または編集し ます。

削除編集

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 191

192

スタティック ルート ルータ - スタティック

た と えば、 FortiGate ユニ ッ ト がルータに接続し ている図 99 を考えてみま し ょう。 ルータ を超えた任意のネ ッ ト ワーク を目的地とするすべての送信パケ ッ ト が適切な宛先へと確実にルーテ ィ ング されるよ う にするには、 工場出荷時のデフ ォル ト 設定を編集し て、 このルータ を FortiGate ユニ ッ ト のデフ ォル ト ゲー ト ウ ェイに設定する必要があ り ます。

図 99: ルータをデフォルト ゲートウェイとして設定

内部ネ ッ ト ワークからネ ッ ト ワーク 192.168.20.0/24 上の宛先へと送信パケ ッ トをルーテ ィ ングするには、 デフ ォル ト ルー ト を編集し て以下の設定を含めます。

• [Destination IP/Mask]: 0.0.0.0/0.0.0.0

• [Gateway]: 192.168.10.1

• [Device]: ネ ッ ト ワーク 192.168.10.0/24 に接続する イ ン タ フ ェースの名前 ( たとえば external)

• [Distance]: 10

[Gateway] 設定には、 FortiGate 外部イン タ フ ェ ースへのネクス ト ホ ッ プ ルータ イ ン タ フ ェースの IP ア ド レスを指定し ます。 ルータの背後のイ ン タ フ ェース (192.168.10.1) は、 FortiGate_1 のデフ ォル ト ゲー ト ウ ェ イです。

Internal network192.168.20.0/24

FortiGate_1

external

Internet

Router

192.168.10.1

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック スタティック ルート

場合によ っ ては、 FortiGate ユニ ッ ト の背後にルータが存在する こ とがあ り ます。パケ ッ ト の宛先 IP ア ド レスがローカル ネ ッ ト ワークではな く 、 それらのルータの背後のネ ッ ト ワークである場合、 FortiGate のルーテ ィ ング テーブルには、 そのネ ッ ト ワークへのス タ テ ィ ッ ク ルー ト が含まれている必要があ り ます。 たとえば図 100 では、 FortiGate ユニ ッ ト が Network_1 と Network_2 にパケ ッ ト を転送するためには、 それぞれイ ン タ フ ェース 192.168.10.1 と 192.168.11.1 へのス タテ ィ ッ ク ルー ト を このユニ ッ ト に設定する必要があ り ます。

図 100: 宛先が内部ルータの背後のネットワークである場合

Network_1 から Network_2 にパケ ッ ト をルーテ ィ ングするには、 FortiGate 内部イン タ フ ェースをデフ ォル ト ゲー ト ウ ェ イ と し て使用するよ う に Router_1 を設定する必要があ り ます。 FortiGate ユニ ッ ト には、 新しいス タ テ ィ ッ ク ルー ト を以下の設定で作成し ます。

[Destination IP/Mask]: 192.168.30.0/24

[Gateway]: 192.168.11.1

[Device]: dmz

[Distance]: 10

Network_2 から Network_1 にパケ ッ ト をルーテ ィ ングするには、 FortiGate dmz イン タ フ ェースをデフ ォル ト ゲー ト ウ ェ イ と し て使用するよ う に Router_2 を設定する必要があ り ます。 FortiGate ユニ ッ ト には、 新しいス タ テ ィ ッ ク ルー ト を以下の設定で作成し ます。

[Destination IP/Mask]: 192.168.20.0/24

[Gateway]: 192.168.10.1

[Device]: internal

[Distance]: 10

FortiGate_1

Internet

internal dmz

Network_1192.168.20.0/24

Router_1 192.168.10.1

Network_2192.168.30.0/24

Router_2192.168.11.1

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 193

194

スタティック ルート ルータ - スタティック

デフォルト ルートのゲートウェイの変更

デフ ォル ト ゲー ト ウ ェ イは、 デフ ォル ト ルー ト に一致するパケ ッ ト の転送先を決定し ます。

デフォルト ルートのゲートウェイを変更するには

1 [Router]、[Static]、[Static Route] の順に選択し ます。

2 1 列目の [ 編集 ] アイ コ ンを選択し ます。

3 [Gateway] フ ィ ールド に、 送信 ト ラ フ ィ ッ ク を方向づける こ とのできるネク ス トホ ッ プ ルータの IP ア ド レスを入力し ます。

4 FortiGate ユニ ッ ト が、 [Device] フ ィ ール ド で現在選択されている イ ン タ フ ェースとは別のイ ン タ フ ェースを介し てネクス ト ホ ッ プ ルータに到達する場合、[Device] フ ィ ール ドから イ ン タ フ ェースの名前を選択し ます。

5 [Distance] フ ィ ールド では、 オプシ ョ ンでデ ィ ス タ ンスの値を調整し ます。

6 [OK] を選択し ます。

ルーティング テーブルへのスタティック ルートの追加

ルー ト は、 特定の宛先にパケ ッ ト を転送するのに必要な情報を FortiGate ユニ ット に提供し ます。 パケ ッ ト は、 ス タ テ ィ ッ ク ルー ト によ って、 デフ ォル ト ゲート ウ ェ イ以外の宛先へと転送されます。

ス タ テ ィ ッ ク ルー ト は手動で定義し ます。 FortiGate ユニ ッ ト から送出される トラ フ ィ ッ クはス タ テ ィ ッ ク ルー ト が制御し ますが、 パケ ッ ト を送出する イ ン タフ ェース とパケ ッ ト の転送先のデバイスはユーザが指定できます。

ス タ テ ィ ッ ク ルー ト を追加するには、 [Router]、[Static]、[Static Routes] の順に選択し て、 [Create New] を選択し ます。

Web ベース マネージャでス タ テ ィ ッ ク ルー ト を追加する場合、 FortiGate ユニ ット は、 使用されていない次のシーケンス番号を自動的にルー ト に割り当てて、 そのエン ト リ を ス タ テ ィ ッ ク ルータ リ ス ト に追加し ます。

図 101 は、 "internal" とい う 名前のイ ン タ フ ェースを持つ FortiGate ユニ ッ ト の [Edit Static Route] ダイアログ ボ ッ クスです。 FortiGate ユニ ッ ト 上の実際のイ ンタ フ ェースの名前はこれとは異なる場合があ り ます。

図 101: [Edit Static Route]

[Destination IP/Mask]

FortiGate ユニ ッ ト が傍受する必要のあるパケ ッ ト の宛先 IP ア ド レスおよびネ ッ ト ワーク マスク を入力し ます。 0.0.0.0/0.0.0.0 の値は、デフ ォル ト ルー ト に予約されています。

[Gateway] 傍受し たパケ ッ ト を FortiGate ユニ ッ ト が転送するネク ス ト ホ ッ プ ルータの IP ア ド レスを入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック ポリシー ルート

ポリシー ルート

パケ ッ ト が FortiGate ユニ ッ ト のイン タ フ ェ ースに到達する と、 FortiGate ユニ ット は、 パケ ッ ト ヘ ッ ダの送信元 IP ア ド レスを使用し て逆引き を行う こ とにより、 パケ ッ ト が正当なイン タ フ ェ ースで受信されたかど う かを判断し ます。 パケ ッ ト を受信したイ ン タ フ ェースを介し て送信元 IP ア ド レスのコ ンピ ュータ と通信できない場合、 FortiGate ユニ ッ ト はパケ ッ ト を破棄し ます。

宛先ア ド レスがローカル ア ド レス と一致し た場合 ( なおかつローカル設定で配信が許可されている場合 )、 FortiGate ユニ ッ ト はローカル ネ ッ ト ワークにパケ ッ ト を配信し ます。 パケ ッ ト の宛先が別のネ ッ ト ワーク である場合、 FortiGateユニ ッ ト は、 ルー ト ポ リ シーまたは FortiGate フ ォワーデ ィ ング テーブルに保存された情報、 あるいはその両方に従って、 ネクス ト ホ ッ プ ルータにパケ ッ トを転送し ます (187 ページの 「ルーテ ィ ングの概念」 を参照 )。

ルーテ ィ ング ポ リ シーが存在する場合、 パケ ッ ト が FortiGate ユニ ッ ト に到達する と、 FortiGate ユニ ッ ト は [Policy Route] リ ス ト の先頭から開始し て、 パケ ッ トとポ リ シーの照合を試みます。 一致する こ とが判明し、 パケ ッ ト をルーテ ィ ングするのに十分な情報がポ リ シーに含まれていれば ( ネク ス ト ホ ッ プ ルータにパケ ッ ト を転送するための FortiGate イ ン タ フ ェース と と もに、 ネクス ト ホ ッ プ ルータの IP ア ド レスが指定されている必要があ り ます )、 FortiGate ユニ ッ ト はそのポ リ シーの情報を使用し てパケ ッ ト をルーテ ィ ング し ます。 パケ ッ ト に一致するルー ト ポ リ シーがない場合、 FortiGate ユニ ッ ト はルーテ ィ ング テーブルを使用し てパケ ッ ト をルーテ ィ ング し ます。

ルー ト ポ リ シーのリ ス ト を表示するには、 [Router]、[Static]、[Policy Route] の順に選択し ます。 既存のルー ト ポ リ シーを編集するには、 [Router]、[Static]、[Policy Route] の順に選択し、 編集するポ リ シーの隣にある編集アイ コ ンを選択し ます。

図 102 は、 "external" および "internal" とい う名前のイ ン タ フ ェースを持つFortiGate ユニ ッ ト のポ リ シー ルー ト リ ス ト です。 FortiGate ユニ ッ ト 上の実際のイン タ フ ェースの名前はこれとは異なる場合があ り ます。

[Device] 傍受されたパケ ッ ト をネクス ト ホ ッ プ ルータへとルーテ ィ ングでき るFortiGate イ ン タ フ ェースの名前を選択し ます。

[Distance] ルー ト のデ ィ ス タ ンスを入力し ます。 距離の値は任意で、 ネクス ト ホ ップ ルータへの距離を反映させる必要があり ます。 値が小さ いほど、 優先されるルー ト である こ と を示し ます。 値は 1 ～ 255 の整数を設定できます。

注記 : 大部分のポリ シー設定はオプシ ョ ンであるため、 一致するポ リ シーの情報だけでは、 FortiGate ユニ ッ ト がパケ ッ ト を転送するには不十分である場合があ り ます。FortiGate ユニ ッ ト は、 パケ ッ ト ヘ ッ ダ内の情報をルーテ ィ ング テーブルのルー ト と一致させるために、 ルーテ ィ ング テーブルを参照する こ とがあ り ます。た と えば、 ポ リ シーの情報では送信イ ン タ フ ェース以外わからない場合、 FortiGate ユニ ッ ト はルーテ ィ ング テーブルにおけるネクス ト ホ ッ プ ルータの IP ア ド レスを検索し ます。 こ う し た状況が発生する可能性があるのは、 FortiGate イン タ フ ェースが動的 ( イ ン タフ ェースは DHCP または PPPoE を介し て IP ア ド レスを入手 ) で、 IP ア ド レスの変更が動的であるために、 ネクス ト ホ ッ プ ルータの IP ア ド レスを変更し た く ない場合や変更できない場合です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 195

196

ポリシー ルート ルータ - スタティック

図 102: ポリシー ルート リスト

ルート ポリシーの追加

ルー ト ポ リ シー オプシ ョ ンは、 ポ リ シー ルーテ ィ ングを発生させる着信パケ ット の属性を定義し ます。 パケ ッ ト の属性がすべての指定条件と一致し た場合と、FortiGate ユニ ッ ト は指定ゲー ト ウ ェ イへの指定イ ン タ フ ェースを介し てパケ ット をルーテ ィ ング し ます。

ルー ト ポ リ シーを追加するには、 [Router]、[Static]、[Policy Route] の順に選択し て、 [Create New] を選択し ます。

図 103 は、 "external" および "internal" とい う名前のイ ン タ フ ェースを持つFortiGate ユニ ッ ト の [New Routing Policy] ダイアログ ボ ッ クスです。 FortiGate ユニ ッ ト 上の実際のイン タ フ ェ ースの名前はこれとは異なる場合があ り ます。

図 103: [New Routing Policy]

[Create New]

ルー ト ポリ シーを追加し ます。 196 ページの 「ルー ト ポリ シーの追加」 を参照し て く だ さい。

# 設定されたルー ト ポリ シーの ID 番号。 これらの番号は、 テーブル内でポリ シーが移動されていない限り、 連番と な り ます。

[Incoming] ルー ト ポリ シーの対象と なるパケ ッ ト を受信するイ ン タ フ ェース。

[Outgoing] ポリ シーによ っ てルーテ ィ ングされるパケ ッ ト をルーテ ィ ングする イン タフ ェース。

[Source] ポリ シー ルーテ ィ ングを実行する IP 送信元ア ド レスおよびネ ッ ト ワーク マスク。

[Destination] ポリ シー ルーテ ィ ングを実行する IP 宛先ア ド レスおよびネ ッ ト ワーク マスク。

削除アイコン ポリ シー ルー ト を削除する場合に選択し ます。

編集アイコン ポリ シー ルー ト を編集する場合に選択し ます。

移動アイコン ポリ シー ルー ト テーブル内でポ リ シーを上下に移動する場合に選択し ます。 このアイ コ ンを選択する と [Move Policy Route] 画面が表示され、[Policy Route] テーブル内の新しい場所を指定できます。 「ルー ト ポ リ シーの移動」 を参照し て く だ さい。

編集削除

移動

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - スタティック ポリシー ルート

ルート ポリシーの移動

ルーテ ィ ング ポ リ シーを作成する と、 ルーテ ィ ング テーブルの 下部に追加されます。 あるポ リ シーを優先的に使用する場合、 そのポ リ シーをルーテ ィ ング ポ リ シー テーブルの別の場所に移すこ とができます。

た と えば 172.20.0.0/255.255.0.0 と 172.20.120.0/255.255.255.0 のよ う に 2 つのルート が合致する と、 どち らか一方のルー ト を選択し なければな り ません。 これらのルー ト がいずれもポ リ シー テーブルにある場合、 どち ら も 172.20.120.112 へのルー ト に合致し ますが、 後者の方がよ り適し ています。 その場合、 ポ リ シー テーブル内で 適なルー ト を他方のルー ト よ り も前に配置する必要があ り ます。

CLI を使用する と、 ルー ト にプ ラ イオ リ テ ィ を指定できます。 ルーテ ィ ング テーブルで 2 つの一致がある場合、 どのルー ト を使用するかはプ ラ イオ リ テ ィ で決定されます。 この機能は、 CLI でのみ可能です。

図 104: [Move Policy Route]

[Protocol] パケ ッ ト のプロ ト コル フ ィ ールドの値に基づいてポ リ シー ルーテ ィ ングを実行するには、 一致するプロ ト コル番号を入力し ます。範囲は 0 ～ 255 です。 0 の値で機能は無効にな り ます。

[Incoming Interface] ポ リ シーの対象と なる着信パケ ッ ト が経由する イン タ フ ェースの名前を選択し ます。

[Source Address / Mask]

パケ ッ ト の IP 送信元ア ド レスに基づいてポ リ シー ルーテ ィ ングを実行するには、 一致する送信元ア ド レス と ネ ッ ト ワーク マスク を入力し ます。 0.0.0.0/0.0.0.0 の値で機能は無効にな り ます。

[Destination Address / Mask]

パケ ッ ト の IP 宛先ア ド レスに基づいてポ リ シー ルーテ ィ ングを実行するには、 一致する宛先ア ド レス と ネ ッ ト ワーク マスク を入力し ます。 0.0.0.0/0.0.0.0 の値で機能は無効にな り ます。

[Destination Ports] パケ ッ ト を受信するポー ト に基づいてポ リ シー ルーテ ィ ングを実行するには、 [From] および [To] のフ ィ ールド と同じポー ト 番号を入力し ます。 ポ リ シー ルーテ ィ ングを さ まざまなポー ト に適用する場合、 [From] フ ィ ールド に 初のポー ト 番号を、 そ し て [To] フ ィ ールド に 後のポー ト 番号を入力し ます。 0 の値で機能は無効にな り ます。

[Outgoing Interface] ポ リ シーの影響を受けるパケ ッ ト がルーテ ィ ングされる イン タフ ェースの名前を選択し ます。

[Gateway Address] 指定されたイン タ フ ェースを通じ て FortiGate ユニ ッ ト がアクセスできるネク ス ト ホ ッ プ ルータの IP ア ド レスを入力し ます。0.0.0.0 の値は無効です。

[Before / After] 選択し たポ リ シー ルー ト を表示のルー ト の前に配置するには、[Bofore] を選択し ます。 表示のルー ト の後に配置するには [After] を選択し ます。

[Policy route ID] ポ リ シー ルー ト テーブル内のルー ト のポリ シー ルー ト ID を入力し、 選択し たルー ト を前後に移動し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 197

198

ポリシー ルート ルータ - スタティック

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック RIP

F0

ルータ - ダイナミックこの項では、 大規模または複雑なネ ッ ト ワーク を介し て ト ラ フ ィ ッ ク をルーテ ィングするために動的プロ ト コルを設定する方法について説明し ます。 ダイナ ミ ック ルーテ ィ ング プロ ト コルを使用する と、 FortiGate ユニ ッ ト は、 ルー ト に関する情報の隣接ルータ との共有や、 隣接ルータによ っ てア ド バタ イズされたルー トおよびネ ッ ト ワークの学習を自動的に行う こ とができます。 FortiGate ユニ ッ トは、 次のダイナ ミ ッ ク ルーテ ィ ング プロ ト コルをサポー ト し ています。

• RIP (Routing Information Protocol)

• OSPF (Open Shortest Path First)

• BGP (Border Gateway Protocol)

FortiGate ユニ ッ ト は、 ユーザが指定し たルールに基づいてルー ト を選択し、ルーテ ィ ング テーブルを動的に更新し ます。 一連のルールが指定される と、FortiGate ユニ ッ ト は、 パケ ッ ト を宛先に送信するための 適なルー ト またはパスを決定できます。 また、 隣接ルータへのルー ト のア ドバタ イズを抑制するためのルールを定義し た り、 ア ドバタ イズされる前の FortiGate ルーテ ィ ング情報を変更し た りする こ と もできます。

この項には以下の ト ピ ッ クが含まれています。

• RIP

• OSPF

• BGP

• マルチキャ ス ト

RIP

RIP は、 小規模で、 比較的均質なネ ッ ト ワーク向けの、 距離ベク ト ル ルーテ ィング プロ ト コルです。 FortiGate での RIP の実装は、 RIP バージ ョ ン 1 (RFC 1058を参照 ) および RIP バージ ョ ン 2 (RFC 2453 を参照 ) をサポー ト し ています。

注記 : 基本的な RIP、 OSPF、 および BGP ルーテ ィ ング オプシ ョ ンは、 Web ベース マネージ ャ で設定できます。 追加オプシ ョ ンの多 く は、 CLI コ マン ド を使用し てのみ設定できます。 RIP、 OSPF、 および BGP 設定を設定するための CLI コマン ドの詳細な説明と使用方法の例については、 『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

注記 : FortiGate ユニ ッ ト は、 ルー ト バーチャル ド メ イ ン内で PIM (Protocol Independent Multicast) バージ ョ ン 2 ルータ と し て動作できます。 FortiGate ユニ ッ ト は、 PIM スパース モー ド およびデンス モー ド をサポー ト し てお り、 FortiGate イン タ フ ェースが接続されているネ ッ ト ワーク セグ メ ン ト 上のマルチキャス ト サーバまたはレシーバにサービスを提供できます。 PIM は、 静的ルー ト 、 RIP、 OSPF、 または BGP を使用し て、 マルチキャスト パケ ッ ト を宛先に転送できます。

注記 : 基本的なルーテ ィ ング オプシ ョ ンは、 Web ベース マネージ ャで設定できます。 追加オプシ ョ ンの多 く は、 CLI コマン ド を使用し てのみ設定できます。 RIP 設定を設定するための CLI コマン ドの詳細な説明と使用方法の例については、 『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 199

200

RIP ルータ - ダイナミック

RIP の動作

RIP が有効になっている場合、 FortiGate ユニ ッ ト は、 RIP が有効な各イ ン タフ ェースからの RIP 更新への要求をブロー ド キャス ト し ます。 隣接ルータは、 それぞれのルーテ ィ ング テーブルの情報で応答し ます。 FortiGate ユニ ッ ト は、 隣接ルータからのルー ト がまだ独自のルーテ ィ ング テーブルに記録されていない場合にのみ、 それらのルー ト をルーテ ィ ング テーブルに追加し ます。 ルー ト がすでにルーテ ィ ング テーブル内に存在する場合、 FortiGate ユニ ッ ト は、 ア ドバタ イズされたルー ト と記録されているルー ト を比較し、 短のルー ト をルーテ ィング テーブル用に選択し ます。

RIP は、 適なルー ト を選択するためのメ ト リ ッ ク と し てホ ッ プ カウン ト を使用し ます。 1 のホ ッ プ カウン ト は、 FortiGate ユニ ッ ト に直接接続されているネ ット ワーク を表し ます。 これに対し て、 16 のホ ッ プ カウン ト は、 FortiGate ユニ ット が到達できないネ ッ ト ワーク を表し ます。 通常は、 パケ ッ ト が宛先に到達するまでに経由する各ネ ッ ト ワークが 1 ホ ッ プ と し てカウン ト されます。 FortiGateユニ ッ ト が同じ宛先への 2 つのルー ト を比較し た と き、 ホ ッ プ カウン ト の も小さいルー ト がルーテ ィ ング テーブルに追加されます。

同様に、 イ ン タ フ ェース上で RIP が有効になっ ている場合、 FortiGate ユニ ッ トは隣接ルータに定期的に RIP 応答を送信し ます。 これらの更新では、 FortiGateルーテ ィ ング テーブル内のルー ト に関する情報が、 これらのルー ト をア ドバタイズするためにユーザが指定し たルールに従っ て提供されます。 ユーザは、FortiGate ユニ ッ ト が更新を送信する頻度や、 更新せずにルー ト を FortiGate ルーテ ィ ング テーブル内に保持できる期間、 また定期的に更新されないルー ト については、 FortiGate ユニ ッ ト が FortiGate ルーテ ィ ング テーブルからルー ト を削除するまでにそのルー ト を到達不可と し てア ドバタ イズする期間を指定できます。

基本的な RIP 設定の表示と編集

RIP 設定を設定する場合は、 RIP を実行し ているネ ッ ト ワーク を指定する と共に、RIP が有効なネ ッ ト ワークに接続されている FortiGate イ ン タ フ ェース上の RIP動作を調整するために必要なすべての追加の設定を指定する必要があ り ます。

RIP ネ ッ ト ワークに接続された FortiGate ユニ ッ ト の基本的な設定を設定するには、 [Router]、[Dynamic]、[RIP] の順に選択し ます。 RIP が有効なイン タ フ ェ ースの動作パラ メ ータ を編集するには、 [Router]、[Dynamic]、[RIP] の順に選択し、RIP が有効なイ ン タ フ ェースに対応し た行にある編集アイ コ ンを選択し ます。

図 105 は、 "dmz" および "external" とい う名前のイ ン タ フ ェースを持つFortiGate ユニ ッ ト の基本的な RIP 設定です。 FortiGate ユニ ッ ト 上の実際のインタ フ ェースの名前はこれとは異なる場合があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック RIP

図 105: 基本的な RIP 設定

[RIP Version] FortiGate ユニ ッ ト で必要な RIP 互換性のレベルを選択し ます。 RIP が有効なネ ッ ト ワークに接続されたすべての FortiGate イ ン タ フ ェース上でグローバルな RIP 設定を有効にする こ とができます。• RIP バージ ョ ン 1 パケ ッ ト を送受信するには、 [1] を選択し ます。

• RIP バージ ョ ン 2 パケ ッ ト を送受信するには、 [2] を選択し ます。

必要に応じ て、 特定の FortiGate イ ン タ フ ェースのグローバル設定を置き換える こ とができます (203 ページの 「イ ン タ フ ェース上の RIP 動作パラメ ータの置き換え」 を参照 )。

[Advanced Options]

RIP 詳細設定オプシ ョ ンを選択し ます。 202 ページの 「RIP 詳細設定オプシ ョ ンの選択」 を参照し て く だ さい。

[Networks] RIP を実行し ている (FortiGate ユニ ッ ト に接続された ) 主要なネ ッ ト ワークの IP ア ド レス と ネ ッ ト ワーク マスク。 [Networks] リ ス ト にネ ッ ト ワーク を追加する と、 そのネ ッ ト ワークに含まれている FortiGate イ ン タフ ェースが RIP 更新でア ドバタ イズされます。 RIP ネ ッ ト ワーク ア ド レス空間に一致する IP ア ド レスを持つすべての FortiGate イ ン タ フ ェース上で RIP を有効にする こ とができます。

[IP/Netmask] RIP が有効なネ ッ ト ワーク を定義する IP ア ド レス とネ ッ ト マスク を入力し ます。

[Add] [Networks] リ ス ト にネ ッ ト ワーク情報を追加する場合に選択し ます。

[Interfaces] FortiGate イ ン タ フ ェース上の RIP 動作を調整するために必要な任意の追加の設定。

[Create New] イン タ フ ェースの RIP 動作パラ メータ を設定する場合に選択し ます。 これらのパラ メータによ っ て、 そのイン タ フ ェースのグローバルな RIP 設定が置き換えられます。 203 ページの 「イン タ フ ェース上の RIP 動作パラ メータの置き換え」 を参照し て く だ さい。

[Interface] RIP 動作パラ メ ータ を設定する イン タ フ ェースを選択し ます。

[Send Version] 各イン タ フ ェースを介し て更新を送信するために使用する RIP のバージ ョ ンを [1]、 [2]、 または [Both] から選択し ます。

[Receive Version] 各イン タ フ ェース上で更新を待機するために使用するRIP のバージ ョ ンを [1]、 [2]、 または [Both] から選択し ます。

[Authentication] このイン タ フ ェース上で使用する認証の種類を [None]、 [Text]、 または [MD5] から選択し ます。

編集

削除

削除

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 201

202

RIP ルータ - ダイナミック

RIP 詳細設定オプションの選択

RIP 詳細設定オプシ ョ ンを使用する と、 RIP タ イマの設定を指定した り、 FortiGateユニ ッ ト が RIP 更新以外の何らかの手段によ って学習するルー ト を再配布するためのメ ト リ ッ ク を定義し た り する こ とができます。 た と えば、 FortiGate ユニ ッ トが OSPF または BGP ネ ッ ト ワークに接続されている場合、 または FortiGate ルーテ ィ ング テーブルに静的ルー ト を手動で追加する場合は、 これらのルー ト を RIPが有効なイ ン タ フ ェース上でア ドバタ イズするよ う にFortiGateユニ ッ ト を設定できます。

RIP 詳細設定オプシ ョ ンを選択するには、 [Router]、[Dynamic]、[RIP] の順に選択し、 [Advanced Options] を展開し ます。 オプシ ョ ンを選択し たら、 [Apply] を選択し ます

図 106: 高度なオプション (RIP)

[Passive] このイ ン タ フ ェース上で RIP ブロー ド キャス ト をブロ ッ クする場合に選択し ます。

削除アイコンと編集アイコン

RIP ネ ッ ト ワーク エン ト リ または RIP イ ン タ フ ェース定義を削除または編集し ます。

注記 : 追加の詳細設定オプシ ョ ンは、 CLI を使用し て設定できます。 た と えば、 受信し た更新または送信する更新を、 ルー ト マ ッ プ、 アクセス リ ス ト 、 またはプレ フ ィ ッ ク ス リス ト を使用し てフ ィ ルタ処理できます。 FortiGate ユニ ッ ト ではまた、 指定し たオフセ ット をルー ト のメ ト リ ッ クに追加するオフセ ッ ト リ ス ト もサポー ト されています。 詳細については、 『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

[Default Metric] FortiGate ユニ ッ ト が、 Fortinet ルーテ ィ ング テーブルに追加されたルー ト に割り当てるデフ ォル ト のホ ッ プ カウン ト を入力します。 範囲は 1 ～ 16 です。特に指定されていない限り、 この値は [Redistribute] にも適用されます。

[Enable Default-information-originate]

FortiGate ユニ ッ ト の RIP が有効なネ ッ ト ワークへのデフ ォル ト ルー ト を生成し、 無条件にア ドバタ イズする場合にオンにし ます。 生成されるルー ト は、 ダイナ ミ ッ ク ルーテ ィ ング プロ ト コルを介し て学習されたルー ト 、 ルーテ ィ ング テーブル内のルート 、 またはその両方に基づいている可能性があり ます。

[RIP Timers] デフ ォル ト の RIP タ イマ設定を置き換えます。 デフ ォル ト 設定は、 ほとんどの構成で有効です。 これらの設定を変更する場合は、 新しい設定がローカル ルータやアクセス サーバと互換性がある こ と を慎重に確認し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック RIP

インタフェース上の RIP 動作パラメータの置き換え

RIP イ ン タ フ ェース オプシ ョ ンを使用する と、 RIP が有効なネ ッ ト ワークに接続されたすべての Fortinet イ ン タ フ ェースに適用されるグローバルな RIP 設定を置き換える こ とができます。 た と えば、 RIP が有効なネ ッ ト ワークのサブネ ッ ト に接続されたイ ン タ フ ェース上の RIP ア ドバタ イズを抑制する場合は、 そのイ ン タフ ェースの受動的な動作を有効にする こ とができます。 受動的なイ ン タ フ ェースは RIP 更新を待機し ますが、 RIP 要求には応答し ません。

イ ン タ フ ェース上で RIP バージ ョ ン 2 が有効になっ ている場合は、 FortiGate ユニ ッ ト が隣接ルータからの更新を受け付ける前にそのルータ を確実に認証できるよ う にパスワー ド 認証を選択する こ と もできます。 FortiGate ユニ ッ ト と隣接ルータの両方に同じパスワー ド が設定されている必要があ り ます。 認証によ って、 更新パケ ッ ト の正当性が保証されますが、 パケ ッ ト 内のルーテ ィ ング情報の機密性は保証されません。

RIP が有効なイ ン タ フ ェースの特定の RIP 動作パラ メ ータ を設定するには、[Router]、[Dynamic]、[RIP] の順に選択し、 [Create New] を選択し ます。

[Update] FortiGate ユニ ッ ト が RIP 更新を送信する間に待つ時間 ( 秒単位 ) を入力し ます。

[Timeout] ルー ト に関する更新が受信されな く ても、 そのルー ト が到達可能と見な される 長時間 ( 秒単位 ) を入力し ます。 これは、 ルー ト に関する更新が受信されな く ても、 FortiGate ユニ ッ ト がその到達可能なルー ト をルーテ ィ ング テーブル内に保持する

長時間です。 [Timeout] の期間が切れる前にFortiGate ユニ ッ ト がそのルー ト に関する更新を受信する と、 タ イマは再起動されます。[Timeout] の期間は、 [Update] の期間の少な く と も3 倍の長さ にする必要があり ます。

[Garbage] FortiGate ユニ ッ ト がルーテ ィ ング テーブルか らルー ト を削除する までにそのルー ト を到達不可 とし てア ドバタ イズする時間 (秒単位) を入力し ます。この値によ っ て、 到達不可のルー ト がルーテ ィ ングテーブル内に保持される期間が決定されます。

[Redistribute] RIP を介し て学習されなかったルー ト に関する RIP 更新を有効または無効にし ます。 FortiGate ユニ ッ ト は、 RIP を使用し て、 直接接続されたネ ッ ト ワーク、 静的ルー ト 、 OSPF、 または BGPから学習されたルー ト を再配布できます。

[Connected] 直接接続されたネ ッ ト ワークから学習されたルート を再配布する場合にオンにし ます。 これらのルー ト のホ ッ プ カウン ト を指定する場合は、[Metric] を選択し、 [Metric] フ ィ ールド にホ ッ プ カウン ト を入力し ます。 範囲は 1 ～ 16 です。

[Static] 静的ルー ト から学習されたルー ト を再配布する場合にオンにし ます。 これらのルー ト のホ ッ プ カウン ト を指定する場合は、 [Metric] を選択し、[Metric] フ ィ ールド にホ ッ プ カウン ト を入力し ます。 範囲は 1 ～ 16 です。

[OSPF] OSPF を介し て学習されたルー ト を再配布する場合にオンにし ます。 これらのルー ト のホ ッ プ カウント を指定する場合は、 [Metric] を選択し、 [Metric] フ ィ ールド にホ ッ プ カウン ト を入力し ます。 範囲は 1 ～ 16 です。

[BGP] BGP を介し て学習されたルー ト を再配布する場合にオンにし ます。 これらのルー ト のホ ッ プ カウント を指定する場合は、 [Metric] を選択し、 [Metric] フ ィ ールド にホ ッ プ カウン ト を入力し ます。 範囲は 1 ～ 16 です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 203

204

OSPF ルータ - ダイナミック

図 107 は、 "internal" とい う 名前のイ ン タ フ ェースを持つ FortiGate ユニ ッ ト の [New/Edit RIP Interface] ダイアログ ボ ッ クスです。 FortiGate ユニ ッ ト 上の実際のイ ン タ フ ェースの名前はこれとは異なる場合があ り ます。

図 107: [New/Edit RIP Interface]

OSPF

OSPF (Open Shortest Path First) は、 同じ自律システム (AS) 内のルータ間でルーテ ィ ング情報を共有するために、 大規模な異種ネ ッ ト ワーク で も よ く 使用されている リ ン ク状態ルーテ ィ ング プロ ト コルです。 FortiGate ユニ ッ ト は、 OSPFバージ ョ ン 2 (RFC 2328 を参照 ) をサポー ト し ています。

注記 : スプ リ ッ ト ホラ イズン設定やキー チ ェーン設定などの追加オプシ ョ ンは、 CLI を使用し てイン タ フ ェースご とに設定できます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

[Interface] これらの設定を適用する FortiGate イ ン タ フ ェースの名前を選択します。 このイン タ フ ェースは、 RIP が有効なネ ッ ト ワークに接続されている必要があり ます。 このイン タ フ ェースは、 仮想 IPSec または GRE イ ン タ フ ェースである可能性があり ます。

[Send Version]、[Receive Version]

イン タ フ ェースを介し て更新を送受信するためのデフ ォル ト の RIP互換性設定を置き換える場合に、 RIP バージ ョ ンを [1]、 [2]、 または [Both] から選択し ます。

[Authentication] 指定し たイン タ フ ェースでの RIP 交換の認証方法を選択し ます。• 認証を無効にするには、 [None] を選択し ます。

• イン タ フ ェースが、 RIP バージ ョ ン 2 を実行し ているネ ッ ト ワークに接続されている場合は、 必要に応じ て [Text] を選択し、[Password] フ ィ ールド にパスワー ド ( 大 35 文字 ) を入力し ます。 FortiGate ユニ ッ ト と RIP 更新ルータの両方に同じパスワードが設定されている必要があり ます。 このパスワー ドは、 ネ ット ワーク上を ク リ ア テキス ト で送信されます。

• MD5 を使用し て交換を認証するには、 [MD5] を選択し ます。

[Passive Interface] 指定し たイン タ フ ェースを介し た FortiGateルーテ ィ ング情報のア ドバタ イズを抑制する場合にオンにし ます。 イン タ フ ェースが RIP 要求に応答するよ う にするには、 [Passive Interface] をオフにし ます。

注記 : 基本的な OSPF ルーテ ィ ング オプシ ョ ンは、 Web ベース マネージ ャで設定できます。 追加オプシ ョ ンの多 く は、 CLI コマン ド を使用し てのみ設定できます。 OSPF 設定を設定するための CLI コマン ドの詳細な説明と使用方法の例については、 『FortiGate CLI リフ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック OSPF

OSPF 自律システム

OSPF AS は一般に、 エ リ ア境界ルータによ っ て リ ン ク された論理的なエ リ アに分割されます。 1 つのエ リ アは、 隣接ネ ッ ト ワークのグループで構成されます。エ リ ア境界ルータは、 1 つ以上のエ リ アを OSPF ネ ッ ト ワーク バッ クボーン ( エリ ア ID 0) に リ ン ク し ます。 OSPF AS の特性を指定するには、 205 ページの「OSPF AS の定義」 を参照し て く ださい。

FortiGate ユニ ッ ト が OSPF エ リ アへのイン タ フ ェースを備えている場合、 そのユニ ッ ト は OSPF 通信に参加できます。 FortiGate ユニ ッ ト は、 OSPF Hello プロト コルを使用し て、 エ リ ア内の隣接機器を取得し ます。 隣接機器とは、 FortiGateユニ ッ ト と同じ エ リ アへのイ ン タ フ ェースを備えた任意のルータ です。 初期の接続が終了し た後、 FortiGate ユニ ッ ト は OSPF 隣接機器との間で定期的に Hello パケ ッ ト を交換し て、 それらの隣接機器に到達でき る こ と を確認し ます。

OSPF が有効なルータは、 リ ン ク状態ア ドバタ イズ メ ン ト を生成し、 隣接機器の状態が変化するか、 または新しい隣接機器がオン ラ イ ンになる と常にそのリ ン ク状態ア ドバタ イズ メ ン ト を隣接機器に送信し ます。 OSPF ネ ッ ト ワークが安定な状態にある限り、 OSPF 隣接機器間のリ ン ク状態ア ドバタ イズ メ ン ト は発生し ません。 リ ン ク状態ア ドバタ イズ メ ン ト (LSA) は、 エ リ ア内の OSPF が有効なすべてのルータのイ ン タ フ ェースを識別し、 OSPF が有効なルータが宛先への 短パスを選択でき るよ う にするための情報を提供し ます。 OSPF が有効なルータ間のすべての LSA 交換が認証されます。

FortiGate ユニ ッ ト は、 OSPF が有効なルータから受信し たア ドバタ イズ メ ン ト に基づいて リ ン ク状態情報のデータベースを保守し ます。 宛先への 適なルー ト (

短パス ) を計算するために、 FortiGate ユニ ッ ト は、 累積された リ ン ク状態情報に SPF (Shortest Path First) アルゴ リズムを適用し ます。 OSPF は、 適なルート を選択するための基本的な メ ト リ ッ ク と し て相対的な コ ス ト を使用し ます。 コス ト によ り、 FortiGate イ ン タ フ ェースの送信方向に対し てペナルテ ィ が課せられます。 ルー ト のコ ス ト は、 宛先へのパスに沿った送信イン タ フ ェ ースに関連付けられたコ ス ト をすべて加算する こ とによ っ て計算されます。 も低い合計コ スト が 適なルー ト を示し ます。

FortiGate ユニ ッ ト は、 OSPF パケ ッ ト が宛先への 短パスを使用し てルーテ ィ ング される こ と を保証するために、 SPF 計算の結果に基づいてルーテ ィ ング テーブルを動的に更新し ます。 ネ ッ ト ワーク ト ポロジに応じ て、 FortiGate ルーテ ィング テーブル内のエン ト リ には次のものが含まれます。

• ローカルの OSPF エ リ ア内にあるネ ッ ト ワークのア ド レス ( パケ ッ ト の直接の送信先 )

• OSPF エ リ ア境界ルータへのルー ト ( 別のエ リ ア宛てのパケ ッ ト の送信先 )

• ネ ッ ト ワークに OSPF エ リ ア と OSPF 以外の ド メ インが含まれている場合は、OSPF ネ ッ ト ワーク バッ クボーンに存在し、 パケ ッ ト を OSPF AS の外部の宛先に転送するよ う に設定された AS 境界ルータへのルー ト

FortiGate ユニ ッ ト が OSPF を介し て学習できるルー ト の数は、 ネ ッ ト ワーク トポロジによ って異な り ます。 OSPF ネ ッ ト ワークが正し く 設定されている場合、1 つの FortiGate ユニ ッ ト は数万のルー ト をサポー ト できます。

OSPF AS の定義

OSPF AS の定義には、 次の操作が含まれます。

• 1 つ以上の OSPF エ リ アの特性の定義

• 定義し た OSPF エ リ ア と、その OSPF AS に含めるローカル ネ ッ ト ワークの間の関連付けの作成

• 必要に応じ て、 OSPF が有効なイ ン タ フ ェースの設定の調整

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 205

206

OSPF ルータ - ダイナミック

Web ベース マネージャ を使用し てこれらのタ スク を実行する方法の詳細については、 下に示されている手順に従って く だ さい。

OSPF AS を定義するには

1 [Router]、[Dynamic]、[OSPF] の順に選択し ます。

2 [Areas] の [Create New] を選択し ます。

3 1 つ以上の OSPF エ リ アの特性を定義し ます。 209 ページの 「OSPF エ リ アの定義」 を参照し て く ださい。

4 [Networks] の [Create New] を選択し ます。

5 定義し た OSPF エ リ ア と、 その OSPF AS に含めるローカル ネ ッ ト ワークの間の関連付けを作成し ます。 211 ページの 「OSPF ネ ッ ト ワークの指定」 を参照し てく だ さい。

6 OSPF が有効なイ ン タ フ ェースのデフ ォル ト 設定を調整する必要がある場合は、[Interfaces] の [Create New] を選択し ます。

7 イ ン タ フ ェースの OSPF 動作パラ メ ータ を選択し ます。 212 ページの 「OSPF イン タ フ ェ ースの動作パラ メ ータの選択」 を参照し て く だ さい。

8 OSPF が有効な他のイ ン タ フ ェースに対し て、 必要に応じ て手順 6. と 7. を繰り返し ます。

9 必要に応じ て、 OSPF AS の OSPF 詳細設定オプシ ョ ンを選択し ます。 208 ページの 「OSPF 詳細設定オプシ ョ ンの選択」 を参照し て く だ さい。

10 [Apply] を選択し ます。

基本的な OSPF 設定の表示と編集

OSPF 設定を設定する場合は、 OSPF を有効にする AS を定義する と共に、 そのAS に参加する FortiGate イ ン タ フ ェースを指定する必要があ り ます。 AS の定義の一部と し て、 AS エ リ アを指定し、 それらのエ リ アに含めるネ ッ ト ワーク を指定し ます。 また、 FortiGate イ ン タ フ ェース上の OSPF 動作に関連付けられた設定を調整する こ と も できます。

OSPF 設定を表示および編集するには、 [Router]、[Dynamic]、[OSPF] の順に選択し ます。

図 108 は、 "port1" とい う名前のイ ン タ フ ェースを持つ FortiGate ユニ ッ ト の基本的な OSPF 設定です。 FortiGate ユニ ッ ト 上の実際のイン タ フ ェ ースの名前はこれとは異なる場合があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック OSPF

図 108: 基本的な OSPF 設定

[Router ID] FortiGate ユニ ッ ト を他の OSPF ルータ と区別するための一意のルータ ID を入力し ます。 慣例によ り、 ルータ ID は、 OSPF AS 内のいずれかのFortiGate イン タ フ ェースに割り当てられた数値的に も大きい IP ア ド レスです。 OSPF の実行中は、 ルータ ID を変更し ないで く だ さい。

[Advanced Options]

OSPF の詳細設定を選択し ます。 208 ページの 「OSPF 詳細設定オプシ ョ ンの選択」 を参照し て く だ さい。

[Areas] OSPF AS を構成し ているエ リ アに関する情報。OSPF パケ ッ ト のヘ ッ ダには、AS 内にあるパケ ッ ト の発信元の識別に役立つエ リ ア ID が含まれています。

[Create New] OSPF エ リ アを定義し、 [Areas] リ ス ト に新しいエ リ アを追加する場合に選択し ます。 209 ページの 「OSPF エ リ アの定義」 を参照し て く だ さい。

[Area] ド ッ ト 区切り 10 進数で表記された、 AS 内にあるエ リ アの一意の 32 ビ ッ ト 識別子。 エ リ ア ID 0.0.0.0 は AS のバッ クボーンを参照し てお り、 変更や削除はできません。

[Type] AS 内のエ リ アの種類には、 次のものがあり ます。

• エ リ アが通常の OSPF エ リ アである場合は、"Regular" が表示されます。

• エ リ アが NSSA である場合は、"NSSA" が表示されます。

• エ リ アがス タ ブである場合は、 "stub" が表示されます。

詳細については、 209 ページの 「OSPF エ リ アの定義」 を参照し て く だ さい。

[Authentication] 各エ リ アにリ ン ク されているすべての FortiGate イン タフ ェースを介し て送受信された OSPF パケ ッ ト を認証するための方法。

• 認証が無効になっている場合は、"None" が表示されます。

• テキス ト ベースのパスワー ド認証が有効になっている場合は、 "Text" が表示されます。

• MD5 認証が有効になっ ている場合は、"MD5" が表示されます。

[Interfaces] に表示されているよ う に、 エ リ ア内の一部のイン タ フ ェースに対し て別の認証設定が適用される可能性があり ます。 た と えば、 あるエ リ アで単純なパスワー ド を認証に使用し ている場合は、 そのエ リ ア内の 1 つ以上のネ ット ワークに対し て別のパスワー ド を設定できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 207

208

OSPF ルータ - ダイナミック

OSPF 詳細設定オプションの選択

OSPF 詳細設定オプシ ョ ンを使用する と、 FortiGate ユニ ッ ト が OSPF リ ン ク状態ア ドバタ イズ メ ン ト 以外の何らかの手段によ っ て学習するルー ト を再配布するためのメ ト リ ッ ク を指定できます。 た と えば、 FortiGate ユニ ッ ト が RIP またはBGP ネ ッ ト ワークに接続されている場合、 または FortiGate ルーテ ィ ング テーブルに静的ルー ト を手動で追加する場合は、 これらのルー ト を OSPF が有効なイ ンタ フ ェース上でア ド バタ イズするよ う に FortiGate ユニ ッ ト を設定できます。

RIP 詳細設定オプシ ョ ンを選択するには、 [Router]、[Dynamic]、[RIP] の順に選択し、 [Advanced Options] を展開し ます。 オプシ ョ ンを選択し たら、 [Apply] を選択し ます

[Networks] OSPF AS 内のネ ッ ト ワーク と、 それぞれのエ リ ア ID。 [Networks] リ ス ト にネ ッ ト ワーク を追加する と、 そのネ ッ ト ワークに含まれているすべてのFortiGate イ ン タ フ ェースが OSPF リ ン ク状態ア ドバタ イズ メ ン ト でア ドバタ イズされます。 OSPF ネ ッ ト ワーク ア ド レス空間に一致する IP ア ド レスを持つすべての FortiGate イ ン タ フ ェース上で OSPF を有効にする こ とができます。

[Create New] AS にネ ッ ト ワーク を追加し、 そのエ リ ア ID を指定し、 定義を [Networks] リ ス ト に追加する場合に選択し ます。 211ページの 「OSPF ネ ッ ト ワークの指定」 を参照し て く だ さい。

[Network] OSPF を実行し ている AS 内のネ ッ ト ワークの IP ア ド レスと ネ ッ ト ワーク マスク。 FortiGate ユニ ッ ト は、 そのネ ット ワークに接続された物理または VLAN イ ン タ フ ェースを備えている可能性があ り ます。

[Area] OSPF ネ ッ ト ワーク ア ド レス空間に割り当てられたエ リ アID。

[Interfaces] FortiGate イ ン タ フ ェース上の OSPF 動作を調整するために必要な任意の追加の設定。

[Create New] FortiGate イ ン タ フ ェースの追加または別の OSPF 動作パラメ ータ を追加し、 設定を [Interfaces] リ ス ト に追加する場合に選択し ます。 212 ページの 「OSPF イ ン タ フ ェースの動作パラ メ ータの選択」 を参照し て く だ さい。

[Name] OSPF イ ン タ フ ェース定義の名前。

[Interface] 同じ エ リ ア内の他のすべてのイン タ フ ェースに割り当てられたデフ ォル ト 値とは異なる OSPF 設定を持つ FortiGate物理または VLAN イ ン タ フ ェースの名前。

[IP] 追加または別の設定を持つ OSPF が有効なイン タ フ ェースの IP ア ド レス。

[Authentication] OSPF が有効な特定のイ ン タ フ ェース上で送受信されたLSA 交換を認証するための方法。 これらの設定によ って、そのエ リ アの [Authentication] 設定が置き換えられます。

削除アイコンと編集アイコン

OSPF エ リ ア エン ト リ、 ネ ッ ト ワーク エン ト リ、 またはイン タ フ ェース定義を削除または編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック OSPF

図 109: 高度なオプション (OSPF)

OSPF エリアの定義

エ リ アによ って、 OSPF AS の一部が論理的に定義されます。 各エ リ アは、 10 進数ド ッ ト 表記で表現された 32 ビ ッ ト のエ リ ア ID によ って識別されます。 エ リ アID 0.0.0.0 は、 OSPF ネ ッ ト ワーク バッ クボーンのために予約されています。 ASの残りのエ リ アを、 次の 3 つの方法のいずれかで分類できます。

• 通常

• ス タ ブ

[Default Information]

OSPF AS へのデフ ォル ト ( 外部 ) ルー ト を生成し、 ア ドバタ イズし ます。生成されるルー ト は、 ダイナ ミ ッ ク ルーテ ィ ング プロ ト コルを介し て学習されたルー ト 、 ルーテ ィ ング テーブル内のルー ト 、 またはその両方に基づいている可能性があり ます。

[None] デフ ォル ト ルー ト の生成を無効にし ます。

[Regular] OSPF AS へのデフ ォル ト ルー ト を生成し、 そのルー ト がFortiGate ルーテ ィ ング テーブルに格納される場合のみ、 そのルー ト を隣接する自律システムにア ドバタ イズし ます。

[Always] OSPF AS へのデフ ォル ト ルー ト を生成し、 そのルー ト がFortiGate ルーテ ィ ング テーブルに格納されない場合であっても、 そのルー ト を隣接する自律システムに無条件にア ドバタ イズし ます。

[Redistribute] OSPF を介し て学習されなかったルー ト に関する OSPF リ ン ク状態ア ドバタ イズ メ ン ト を有効または無効にし ます。 FortiGate ユニ ッ ト は、 OSPFを使用し て、 直接接続されたネ ッ ト ワーク、 静的ルー ト 、 RIP、 またはBGP から学習されたルー ト を再配布できます。

[Connected] 直接接続されたネ ッ ト ワークから学習されたルー ト を再配布する場合にオンにし ます。これらのルー ト のコス ト を指定する場合は、 [Metric] フ ィ ールド にコス ト を入力し ます。 範囲は 1 ～ 16,777,214 です。

[Static] 静的ルー ト から学習されたルー ト を再配布する場合にオンにし ます。これらのルー ト のコス ト を指定する場合は、 [Metric] フ ィ ールド にコス ト を入力し ます。 範囲は 1 ～ 16,777,214 です。

[RIP] RIP を介し て学習されたルー ト を再配布する場合にオンにします。これらのルー ト のコス ト を指定する場合は、 [Metric] フ ィ ールド にコス ト を入力し ます。 範囲は 1 ～ 16,777,214 です。

[BGP] BGP を介し て学習されたルー ト を再配布する場合にオンにし ます。これらのルー ト のコス ト を指定する場合は、 [Metric] フ ィ ールド にコス ト を入力し ます。 範囲は 1 ～ 16,777,214 です。

注記 : CLI を使用する と、 更に多 く の OSPF 詳細設定が可能です。 詳細については、『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 209

210

OSPF ルータ - ダイナミック

• NSSA

通常エ リ アには、 そのエ リ アへの OSPF が有効なイ ン タ フ ェースを、 それぞれが少な く と も 1 つは備えた複数のルータが含まれます。

OSPF バッ クボーンに到達するには、 ス タ ブ エ リ ア内のルータはパケ ッ ト をエ リア境界ルータに送信する必要があ り ます。 OSPF 以外のド メ イ ンにつながるルート は、 ス タ ブ エ リ ア内のルータにはア ドバタ イズされません。 エ リ ア境界ルータは、 OSPF AS に、 ス タ ブ エ リ アへの単一のデフ ォル ト ルー ト ( 宛先は 0.0.0.0) をア ド バタ イズし ます。 これによ り、 特定のルー ト に該当し ない OSPF パケ ッ トは全てデフ ォル ト ルー ト に従 う こ とが保証されます。 ス タ ブ エ リ アに接続されたルータはすべて、 そのス タ ブ エ リ アの一部と見な されます。

NSSA (Not-So-Stubby Area) では、 そのエ リ アから出て OSPF 以外の ド メ イ ンにつながるルー ト が OSPF AS に通知されます。 ただ し、 そのエ リ ア自体は、 AS の他の部分によ って引き続きス タ ブ エ リ アのよ う に扱われます。

通常エ リ ア と ス タ ブ エ リ ア (NSSA を含む ) は、 エ リ ア境界ルータ を介し てOSPF バッ クボーンに接続されます。

OSPF エ リ アを定義するには、 [Router]、[Dynamic]、[OSPF] の順に選択し、[Areas] の [Create New] を選択し ます。 OSPF エ リ アの属性を編集するには、[Router]、[Dynamic]、[OSPF] の順に選択し、 そのエ リ アに対応し た行にある編集アイ コ ンを選択し ます。

図 110: [New/Edit OSPF Area]

注記 : 必要に応じ て、 OSPF バッ クボーンへの物理的な接続が失われたエ リ アへの仮想リン ク を定義できます。 仮想リ ン クは、 エ リ ア境界ルータ と し て機能する 2 つの FortiGateユニ ッ ト 間にのみ設定できます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 のOSPF "config area" サブ コマン ドの下にある "config virtual-link" を参照し て く ださ い。

[Area] エ リ アの 32 ビ ッ ト 識別子を入力し ます。 この値は、 10 進数ド ッ ト 表記で表現された IP ア ド レス と同じ形式にする必要があり ます。 OSPF エリ アを作成し た後、 エ リ ア IP の値を変更する こ とはできません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック OSPF

OSPF ネットワークの指定

OSPF エ リ アによ って、 い く つかの隣接ネ ッ ト ワークがグループ化されます。ネ ッ ト ワーク ア ド レス空間にエ リ ア ID を割り当てる と、 そのエ リ アの属性がネ ッ ト ワークに関連付けられます。

ネ ッ ト ワークに OSPF エ リ ア ID を割り当てるには、 [Router]、[Dynamic]、[OSPF] の順に選択し、 [Networks] の [Create New] を選択し ます。 ネ ッ ト ワークに割り当て られた OSPF エ リ ア ID を変更するには、 [Router]、[Dynamic]、[OSPF] の順に選択し、 そのネ ッ ト ワークに対応し た行にある編集アイ コ ンを選択し ます。

図 111: [New/Edit OSPF Network]

[Type] そのエ リ アに割り当てられるネ ッ ト ワークの特性を分類するためのエリ アの種類を選択し ます。

• エ リ アに、 そのエ リ アへの OSPF が有効なイ ン タ フ ェースをそれぞれが少な く と も 1 つは備えた複数のルータ を含める場合は、[Regular] を選択し ます。

• 外部の OSPF 以外のド メ イ ンへのルー ト を OSPF AS に通知するが、そのエ リ アは AS の他の部分によ ってス タ ブ エ リ アのよ う に扱われるよ う にする場合は、 [NSSA] を選択し ます。

• エ リ ア内のルータがバッ クボーンに到達するにはパケ ッ ト をエ リ ア境界ルータに送信する必要があり、 OSPF 以外のド メ インへのルート がエ リ ア内のルータにア ドバタ イズされないよ う にする場合は、[STUB] を選択し ます。

[Authentication] エ リ ア内のすべてのイ ン タ フ ェースを介し て送受信された OSPF パケ ッ ト を認証するための方法を選択し ます。

• 認証を無効にするには、 [None] を選択し ます。

• プレーン テキス ト のパスワー ド を使用し て LSA 交換を認証するためにテキス ト ベースのパスワー ド認証を有効にするには、 [Text] を選択し ます。 このパスワー ドは、 ネ ッ ト ワーク上を ク リ ア テキス ト で送信されます。

• MD5 ハッ シュ を使用し た MD5 認証を有効にするには、 [MD5] を選択し ます。

必要に応じ て、 そのエ リ ア内の 1 つ以上のイ ン タ フ ェースに対し てこの設定を置き換える こ とができます (212 ページの 「OSPF イ ン タフ ェースの動作パラ メ ータの選択」 を参照 )。

注記 : エ リ アにネ ッ ト ワーク を割り当てるには、 211 ページの 「OSPF ネ ッ ト ワークの指定」 を参照し て く だ さい。

[IP/Netmask] OSPF エ リ アに割り当てるローカル ネ ッ ト ワークの IP ア ド レス と ネ ッ トワーク マスク を入力し ます。

[Area] ネ ッ ト ワークのエ リ ア ID を選択し ます。 このエ リ アの属性は、 指定し たネ ッ ト ワークの特性および ト ポロジに一致し ている必要があ り ます。 エリ ア ID を選択する前に、 エ リ アを定義する必要があり ます。 209 ページの 「OSPF エ リ アの定義」 を参照し て く だ さ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 211

212

OSPF ルータ - ダイナミック

OSPF インタフェースの動作パラメータの選択

OSPF イ ン タ フ ェース定義には、 FortiGate の OSPF が有効なイ ン タ フ ェースの特定の動作パラ メ ータが含まれています。 この定義には、 イ ン タ フ ェースの名前 (た と えば、 external または VLAN_1)、 イン タ フ ェースに割り当て られた IP ア ド レス、 イン タ フ ェ ースを介し て LSA 交換を認証するための方法、 および OSPF のHello パケ ッ ト や停止間隔パケ ッ ト を送受信するためのタ イマ設定が含まれます。

OSPF が有効なネ ッ ト ワーク エ リ アに一致する IP ア ド レスを持つすべてのFortiGate イ ン タ フ ェース上で OSPF を有効にする こ とができます。 た と えば、0.0.0.0 のエ リ アを定義する と、 OSPF ネ ッ ト ワークは 10.0.0.0/16 と し て定義されます。 次に、 vlan1 を 10.0.1.1/24 と し て、 vlan2 を 10.0.2.1/24 と し て、 vlan3 を10.0.3.1/24 と し て定義し ます。 この 3 つの VLAN がすべて、 エ リ ア 0.0.0.0 でOSPF を実行し ます。 すべてのイン タ フ ェースを有効にするには、 特定の IP アド レスに一致するエ リ アを持つ OSPF ネ ッ ト ワーク 0.0.0.0/0 を作成し ます。

イ ン タ フ ェースに複数の IP ア ド レスが割り当てられている場合は、 同じFortiGate イ ン タ フ ェースに対し て異なる OSPF パラ メ ータ を設定できます。 たと えば、 異なるサブネ ッ ト を介し て、 2 つの隣接機器に同じ FortiGate イ ン タフ ェースを接続できます。 ある隣接機器の設定との互換性のために、 Hello および停止間隔パラ メ ータの 1 つのセ ッ ト を含む OSPF イン タ フ ェ ース定義を設定する と同時に、 2 つ目の隣接機器の設定との互換性を保証するために、 同じ イ ン タフ ェースの 2 つ目の OSPF イ ン タ フ ェース定義を設定できます。

FortiGate イ ン タ フ ェースの OSPF 動作パラ メ ータ を選択するには、 [Router]、[Dynamic]、[OSPF] の順に選択し、 [Interfaces] の [Create New] を選択し ます。OSPF が有効なイ ン タ フ ェースの動作パラ メ ータ を編集するには、 [Router]、[Dynamic]、[OSPF] の順に選択し、 OSPF が有効なイ ン タ フ ェースに対応し た行にある編集アイ コ ンを選択し ます。

図 112 は、 "port1" とい う名前のイ ン タ フ ェースを持つ FortiGate ユニ ッ ト の [New/Edit OSPF Interface] ダイアログ ボ ッ ク スです。 FortiGate ユニ ッ ト 上の実際のイン タ フ ェ ースの名前はこれとは異なる場合があ り ます。

図 112: [New/Edit OSPF Interface]

[Name] OSPF イン タ フ ェース定義を識別する名前を入力し ます。 た と えば、 そのイ ン タ フ ェースのリ ン ク先の OSPF エ リ アを示す名前にする こ とができます。

[Interface] この OSPF イン タ フ ェース定義に関連付ける FortiGate イ ン タ フ ェースの名前 ( た と えば、 port1、 external、 VLAN_1) を選択し ます。 FortiGateユニ ッ ト は、 OSPF が有効なネ ッ ト ワークに接続された物理、 VLAN、 仮想 IPSec、 または GRE イ ン タ フ ェースを備えている可能性があり ます。

追加

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック BGP

BGP

BGP (Border Gateway Protocol) は、 異なる ISP ネ ッ ト ワーク間でルーテ ィ ング情報を交換するために ISP によ っ て一般に使用される イ ン ターネ ッ ト ルーテ ィ ング プロ ト コルです。 たと えば、 BGP を使用する と、 ISP ネ ッ ト ワーク と、 RIP やOSPF を使用し て自律システム (AS) 内でパケ ッ ト をルーテ ィ ングし ている AS の間でネ ッ ト ワーク パスを共有できます。 FortiGate での BGP の実装は BGP-4 をサポー ト し てお り、 RFC 1771 に準拠し ています。

BGP の動作

BGP が有効にな っている場合、 FortiGate ユニ ッ ト は、 FortiGate ルーテ ィ ング テーブルのどの部分が変更されても常に、 ルーテ ィ ング テーブルの更新を隣接する自律システムに送信し ます。 各 AS (FortiGate ユニ ッ ト がメ ンバになっ ているローカル AS を含む ) は、 AS 番号に関連付けられます。 この AS 番号は、 特定の宛先ネ ッ ト ワーク を参照し ます。

[IP] OSPF が有効なイ ン タ フ ェースに割り当てられている IP ア ド レスを入力し ます。 このイン タ フ ェースは、 IP ア ド レスが OSPF ネ ッ ト ワーク ア ドレス空間に一致するため、 OSPF が有効なイ ン タ フ ェースにな り ます。た と えば、 172.20.120.0/24 の OSPF ネ ッ ト ワーク を定義し ており、 port1に IP ア ド レス 172.20.120.140 が割り当てられている場合は、「172.20.120.140」 を入力し ます。

[Authentication] 指定し たイン タ フ ェースでの LSA 交換のための認証方法を選択し ます。• 認証を無効にするには、 [None] を選択し ます。

• プレーン テキス ト のパスワー ド を使用し て LSA 交換を認証するには、[Text] を選択し ます。 このパスワー ドは 大 35 文字であり、 ネ ッ トワーク上を ク リ ア テキス ト で送信されます。

• 1 つ以上のキーを使用し て MD5 ハッ シュ を生成するには、[MD5] を選択し ます。

この設定によって、そのエ リ アの [Authentication] 設定が置き換えられます。

[Password] プレーン テキス ト のパスワー ド を入力し ます。 大 15 文字の英数字の値を入力し ます。 この FortiGate イ ン タ フ ェースにリ ン ク状態ア ドバタイズ メ ン ト を送信する OSPF 隣接機器にも、 同じパスワー ドが設定されている必要があ り ます。 このフ ィ ールドは、 プレーン テキス ト 認証を選択し た場合にのみ使用できます。

[MD5 Keys] [ID] フ ィ ールド に ( 初の ) パスワー ドのキー識別子 ( 範囲は 1 ～ 255) を入力し た後、 [Key] フ ィ ールド にそれに関連付けられたパスワー ド を入力し ます。 このパスワー ドは、 大 16 文字の英数字文字列です。 この FortiGate イ ン タ フ ェースにリ ン ク状態ア ドバタ イズ メ ン ト を送信する OSPF 隣接機器にも、 同じ MD5 キーが設定されている必要があ り ます。 OSPF 隣接機器が MD5 ハッ シュの生成に複数のパスワー ド を使用している場合は、 [Add] アイ コ ンを選択し て リ ス ト に MD5 キーを追加し ます。 このフ ィ ールドは、 MD5 認証を選択し た場合にのみ使用できます。

[Hello Interval] 必要に応じ て、 すべての OSPF 隣接機器上の [Hello Interval] 設定と互換性があるよ う に [Hello Interval] を設定し ます。この設定によ っ て、 FortiGate ユニ ッ ト がイン タ フ ェースを介し て Helloパケ ッ ト を送信する間に待つ期間 ( 秒単位 ) が定義されます。

[Dead Interval] 必要に応じ て、 すべての OSPF 隣接機器上の [Dead Interval] 設定と互換性があるよ う に [Dead Interval] を設定し ます。この設定によ っ て、 FortiGate ユニ ッ ト がイン タ フ ェースを介し て OSPF隣接機器から Hello パケ ッ ト を受信するまでに待つ期間 ( 秒単位 ) が定義されます。 指定された時間内に FortiGate ユニ ッ ト が Hello パケ ッ ト を受信し ない場合、 FortiGate ユニ ッ ト は、 この隣接機器をアクセス不可と して宣言し ます。慣例によ り、[Dead Interval] の値は一般に [Hello Interval] の値の 4 倍です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 213

214

BGP ルータ - ダイナミック

BGP 更新によ っ て、 適なパスが宛先ネ ッ ト ワー ク にア ド バ タ イズ さ れます。FortiGate ユニ ッ ト が BGP 更新を受信する と、 FortiGate ユニ ッ ト は、 可能性のあるルー ト の MED (Multi-Exit Discriminator) 属性を検証し て宛先ネ ッ ト ワークへの 適なパスを決定した後、 そのパスを FortiGate ルーテ ィ ング テーブルに記録し ます。

BGP には、 グレースフル リ ス ター ト の機能があ り ます。 この機能によ り、 ルータのコ ン ト ロール プレーンに障害が発生し て も転送を継続できるため、 ソ フ トウ ェ アの問題の影響が軽減されます。 また、 ネ ッ ト ワークの安定化によ っ て、ルーテ ィ ング フ ラ ッ プ も削減されます。

BGP 設定の表示と編集

BGP 設定を設定する場合は、 FortiGate ユニ ッ ト を メ ンバと し て含む AS を指定する と共に、 FortiGate ユニ ッ ト を他の BGP ルータ と区別するためのルータ ID を入力し ます。 また、 FortiGate ユニ ッ ト の BGP 隣接機器を識別し、 それらの BGP隣接機器に FortiGate ユニ ッ ト のどのローカル ネ ッ ト ワーク をア ドバタ イズするかを指定する こ と も必要です。

BGP 設定を表示および編集するには、 [Router]、[Dynamic]、[BGP] の順に選択し ます。 Web ベース マネージャによ っ て、 基本的な BGP オプシ ョ ンを設定するための簡略化されたユーザ イ ン タ フ ェースが提供されます。 CLI を使用する と、 多

く の BGP 詳細設定オプシ ョ ンを設定できます。 詳細については、 『FortiGate CLI リ フ ァレンス』 の章 「ルータ」 を参照し て く ださい。

図 113: 基本的な BGP オプション

注記 : グレースフル リ ス ター ト やその他の詳細設定は、 Web ベース マネージ ャでは設定できず、 CLI コマン ド を使用し てのみ設定できます。 BGP 設定を設定するための CLI コマン ドの詳細な説明と使用方法の例については、 『FortiGate CLI リ フ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

[Local AS] FortiGateユニ ッ ト がメ ンバになっているローカルASの番号を入力し ます。

[Router ID] FortiGate ユニ ッ ト を他の BGP ルータ と区別するための一意のルータ IDを入力し ます。 ルータ ID は、 ド ッ ト 区切り 10 進数の形式で記述されたIP ア ド レスです。BGP の実行中にルータ ID を変更する と、 BGP ピアへのすべての接続が一時的に停止し、 接続が再確立されるまで復旧し ません。

[Neighbors] 隣接する自律システム内にある BGP ピアの IP ア ド レス と AS 番号。

[IP] BGP が有効なネ ッ ト ワークへの隣接機器イ ン タ フ ェースのIP ア ド レスを入力し ます。

[Remote AS]

この隣接機器が属し ている AS の番号を入力し ます。

[Add/Edit] [Neighbors] リ ス ト に隣接機器情報を追加するか、 またはリス ト 内のエン ト リ を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック マルチキャスト

マルチキャスト

FortiGate ユニ ッ ト は、 ルー ト バーチャル ド メ イン内で PIM (Protocol Independent Multicast) バージ ョ ン 2 ルータ と し て動作できます。 FortiGate ユニ ット は、 PIM スパース モー ド (RFC 2362) および PIM デンス モー ド (RFC 3973) をサポー ト し てお り、 FortiGate イ ン タ フ ェースが接続されているネ ッ ト ワーク セグ メ ン ト 上のマルチキャ ス ト サーバまたはレシーバにサービスを提供できます。

マルチキャ ス ト サーバ アプ リ ケーシ ョ ンは、 マルチキャス ト ア ド レス ( ク ラ スD) を使用し て、 パケ ッ ト の 1 つのコ ピーを レシーバのグループに送信し ます。ネ ッ ト ワーク全体にわたる PIM ルータによ って、 パケ ッ ト がエン ド ポイ ン ト 宛先に到達するまで、 ネ ッ ト ワーク を介し てそのパケ ッ ト の 1 つのコ ピーのみが転送される こ とが保証されます。 エン ド ポイ ン ト 宛先では、 そのマルチキャス ト ア ド レスに宛てられた ト ラ フ ィ ッ ク を要求するマルチキャ ス ト ク ラ イアン ト アプ リ ケーシ ョ ンに情報を配信するために必要な場合にのみ、 このパケ ッ ト の複数のコ ピーが作成されます。

PIM ド メ イ ンは、 い く つかの隣接ネ ッ ト ワークで構成された論理的なエ リ アです。 このド メ イ ンには、 少な く と も 1 つのブー ト ス ト ラ ッ プ ルータ (BSR) が含まれます。 スパース モー ドが有効になっている場合は、 い く つかのラ ンデブー ポイン ト (RP) および指定ルータ (DR) も含まれます。 FortiGate ユニ ッ ト 上で PIMが有効にな っている場合、 FortiGate ユニ ッ ト は、 これらの任意の機能を設定に従っ ていつでも実行できます。 スパース モー ド動作に必要な場合は、 静的 RPを定義できます。

[Neighbor] BGP ピアの IP ア ド レス。

[Remote AS] この BGP ピアに関連付けられ自律システムの番号。

[Networks] BGP ピアにア ドバタ イズするネ ッ ト ワークの IP ア ド レス と ネ ッ ト ワーク マスク。 FortiGate ユニ ッ ト は、 それらのネ ッ ト ワークに接続された物理または VLAN イ ン タ フ ェースを備えている可能性があり ます。

[IP/Netmask] ア ドバタ イズされるネ ッ ト ワークの IP ア ド レス と ネ ッ ト マスク を入力し ます。

[Add] [Networks] リ ス ト にネ ッ ト ワーク情報を追加する場合に選択し ます。

[Network] BGP ピアにア ドバタ イズされる主要なネ ッ ト ワークの IP アド レス と ネ ッ ト ワーク マスク。

削除アイコン BGP 隣接機器エン ト リ または BGP ネ ッ ト ワーク定義を削除する場合に選択し ます。

注記 : PIM 通信をサポー ト するには、 送信 / 受信アプ リ ケーシ ョ ン と、 その間を接続し ているすべての PIM ルータ で PIM バージ ョ ン 2 が有効になっている必要があ り ます。 PIMは、 静的ルー ト 、 RIP、 OSPF、 または BGP を使用し て、 マルチキャス ト パケ ッ ト を宛先に転送できます。 発信元から宛先へのパケ ッ ト 配信を有効にするには、 すべての PIMルータ イ ン タ フ ェース上で、 スパース モー ド またはデンス モー ドのどち らかが有効になっ ている必要があり ます。 スパース モー ドのルータは、 デンス モー ドのルータ にマルチキャ ス ト メ ッ セージを送信できません。 さ らに、 FortiGate ユニ ッ ト が発信元と PIMルータの間、 または 2 つの PIM ルータの間に配置されているか、 レシーバに直接接続されている場合は、 カプセル化された ( マルチキャス ト ) パケ ッ ト またはカプセル化解除されたデータ (IP ト ラ フ ィ ッ ク ) が発信元と宛先の間を通過でき るよ う に、 フ ァ イアウォール ポ リ シーを手動で作成する必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 215

216

マルチキャスト ルータ - ダイナミック

マルチキャスト設定の表示と編集

マルチキャス ト (PIM) ルーテ ィ ングが有効になっている場合は、 任意の FortiGateイ ン タ フ ェース上でスパース モー ド またはデンス モー ド動作を設定できます。

PIM 設定を表示および編集するには、 [Router]、[Dynamic]、[Multicast] の順に選択し ます。 Web ベース マネージャによ って、 基本的な PIM オプシ ョ ンを設定するための簡略化されたユーザ イン タ フ ェ ースが提供されます。 PIM 詳細設定オプシ ョ ンは、 CLI を使用し て設定できます。 詳細については、 『FortiGate CLI リフ ァ レンス』 の章 「ルータ」 を参照し て く だ さい。

図 114: 基本的なマルチキャスト オプション

注記 : 基本的なオプシ ョ ンは、 Web ベース マネージ ャで設定できます。 追加オプシ ョ ンの多 く は、 CLI コマン ド を使用し てのみ設定できます。 PIM 設定を設定するための CLI コマン ドの詳細な説明と使用方法の例については、 『FortiGate CLI リ フ ァ レンス』 の章「ルータ」 にある 「マルチキャス ト 」 を参照し て く だ さ い。

[Enable Multicast Routing]

PIM バージ ョ ン 2 のルーテ ィ ングを有効にする場合にオンにし ます。 カプセル化されたパケ ッ ト やカプセル化解除されたデータが発信元と宛先の間を通過できるよ う にするには、 PIM が有効なイン タ フ ェース上でフ ァ イアウォール ポ リ シーを作成する必要があり ます。

[ スタティック RP の追加 ] ボタン

スパース モー ド動作に必要な場合は、 マルチキャス ト グループのためのパケ ッ ト 配布ツ リーのルー ト と し て使用できる ラ ンデブー ポイ ン ト (RP) の IP ア ド レスを入力し ます。マルチキャ ス ト グループからの結合メ ッ セージや、 発信元からのデータが RP に送信されます。指定された IPのマルチキャ ス ト グループのRPがすでにブー ト スト ラ ッ プ ルータ (BSR) に通知されている場合は、BSR に通知されている RP が使用され、指定し た静的 RP ア ド レスは無視されます。

[Apply] 指定し た静的 RP ア ド レスを保存する場合に選択し ます。

[Create New] イ ン タ フ ェースの新しいマルチキャス ト エン ト リ を作成する場合に選択し ます。これによ り、 特定の FortiGate イン タ フ ェース上の PIM 動作を微調整し た り、 特定のイ ン タ フ ェース上でグローバルな PIM 設定を置き換えた りする こ とができます。 217 ページの 「イン タ フ ェース上のマルチキャス ト 設定の置き換え」 を参照し て く だ さい。

[Interface] 特定の PIM 設定を持つ FortiGate イン タ フ ェースの名前。

[Mode] そのイ ン タ フ ェース上の PIM 動作のモー ド ([Sparse] または [Dense])。

ス タ テ ィ ッ ク

編集削除

RP の追加

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - ダイナミック マルチキャスト

インタフェース上のマルチキャスト設定の置き換え

マルチキャ ス ト (PIM) イ ン タ フ ェース オプシ ョ ンを使用する と、 PIM ド メ イ ンに接続された FortiGate イ ン タ フ ェースの動作パラ メ ータ を設定できます。 たと えば、 PIM が有効なネ ッ ト ワーク セグ メ ン ト に接続されたイ ン タ フ ェース上でデンス モー ド を有効にする こ とができます。 スパース モー ドが有効になっている場合は、 イン タ フ ェース上のラ ンデブー ポイ ン ト (RP) または指定ルータ (DR) 候補のア ドバタ イズに使用されるプ ラ イオ リ テ ィ 番号を調整できます。

図 115: マルチキャスト インタフェースの設定

[Status] イン タ フ ェース上のスパース モー ド RP 候補の状態。イン タ フ ェース上の RP 候補を有効または無効にするには、 そのイン タ フ ェースに対応し た行にある編集アイ コ ンを選択し ます。

[Priority] そのイン タ フ ェース上の RP 候補に割り当てられたプ ラ イオ リテ ィ 番号。 RP 候補が有効になっ ている場合にのみ使用できます。

[DR Priority] イン タ フ ェース上の指定ルータ (DR) 候補に割り当てられたプ ライオ リ テ ィ 番号。 スパース モー ドが有効になっ ている場合にのみ使用できます。

削除アイコンと編集アイコン

イン タ フ ェース上の PIM 設定を削除または編集する場合に選択します。

[Interface] これらの設定を適用するルー ト VDOM FortiGate イン タ フ ェースの名前を選択し ます。 このイン タ フ ェースは、PIM バージ ョ ン 2 が有効なネッ ト ワーク セグ メ ン ト に接続されている必要があり ます。

[PIM Mode] 動作のモー ド を [Sparse Mode] または [Dense Mode] から選択し ます。 同じ ネ ッ ト ワーク セグ メ ン ト に接続されたすべての PIMルータが同じ動作モー ド を実行し ている必要があ り ます。[Sparse Mode] を選択し た場合は、 残りのオプシ ョ ンを以下の説明に従っ て調整し ます。

[DR Priority] FortiGate イ ン タ フ ェース上の DR 候補をア ドバタ イズするためのプ ラ イオ リ テ ィ 番号を入力し ます。範囲は 1 ～ 4,294,967,295 です。この値は、 同じ ネ ッ ト ワーク セグ メ ン ト 上の他のすべての PIMルータの DR イ ン タ フ ェース と比較され、 DR プ ラ イオ リ テ ィ の

も高いルータが DR と し て選択されます。

[RP Candidate] イン タ フ ェース上の RP 候補を有効または無効にする場合に選択し ます。

[RP Candidate Priority] FortiGate イ ン タ フ ェース上の RP 候補をア ドバタ イズするためのプ ラ イオ リ テ ィ 番号を入力し ます。 範囲は 1 ～ 255 です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 217

218

マルチキャスト ルータ - ダイナミック

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - モニタ ルーティング情報の表示

F0

ルータ - モニタこの項では、 [Routing Monitor] リ ス ト の読み取り方について説明し ます。 このリス ト には、 FortiGate ルーテ ィ ング テーブル内のエン ト リが表示されます。

この項には以下の ト ピ ッ クが含まれています。

• ルーテ ィ ング情報の表示

• FortiGate ルーテ ィ ング テーブルの検索

ルーティング情報の表示

デフ ォル ト では、 すべてのルー ト が [Routing Monitor] リ ス ト に表示されます。 デフ ォル ト のス タ テ ィ ッ ク ルー ト は、 " 任意の / すべての " パケ ッ ト の宛先 IP アド レスに一致する、 0.0.0.0/0 と し て定義されます。

ルーテ ィ ング テーブル内のルー ト を表示するには、 [Router]、[Monitor] の順に選択し ます。

図 116 は、 "port1"、 "port4" および "lan" とい う 名前のイ ン タ フ ェースを持つFortiGate ユニ ッ ト の [Routing Monitor] リ ス ト です。 FortiGate ユニ ッ ト 上の実際のイン タ フ ェースの名前はこれとは異なる場合があ り ます。

図 116: [Routing Monitor] リスト

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 219

220

ルーティング情報の表示 ルータ - モニタ

[Type] 以下のいずれかのルー ト タ イプを選択する と、 ルーテ ィ ング テーブルが検索され、 選択し た タ イプのルー ト のみが表示されます。

• [All] は、 ルーテ ィ ング テーブル内に記録されているすべてのルー ト を表示し ます。

• [Connected] は、FortiGate イ ン タ フ ェースへの直接接続に関連付けられたすべてのルー ト を表示し ます。

• [Static] は、 ルーテ ィ ング テーブルに手動で追加されたス タ テ ィ ッ ク ルー ト を表示し ます。

• [RIP] は、 RIP を介し て学習されたすべてのルー ト を表示し ます。

• [OSPF] は、 OSPF を介し て学習されたすべてのルー ト を表示し ます。

• [BGP] は、 BGP を介し て学習されたすべてのルー ト を表示し ます。

• [HA] は、 高可用性 (HA) ク ラス タのプ ラ イマ リ ユニ ッ ト と下位ユニ ッ トの間で同期化された RIP、 OSPF、 および BGP ルー ト を表示し ます。 HAルー ト は、下位ユニ ッ ト 上に保持され、仮想ク ラス タ内の下位のバーチャル ド メ イ ン と し て設定されたバーチ ャル ド メ イ ンからルー タ モニ タ を表示し ている場合にのみ表示されます。 HA ルーテ ィ ングの同期の詳細については、 『FortiGate 高可用性ユーザ ガイ ド』 を参照し て く だ さい。

[Network] ルーテ ィ ング テーブルを検索し、 指定し たネ ッ ト ワークに一致するルー トを表示するための IP ア ド レス と ネ ッ ト マスク ( た と えば、172.16.14.0/24) を入力し ます。

[Gateway] ルーテ ィ ング テーブルを検索し、 指定し たゲー ト ウ ェ イに一致するルー トを表示するための IP ア ド レス と ネ ッ ト マスク ( た と えば、192.168.12.1/32) を入力し ます。

[Apply Filter]

指定し た検索条件に基づいてルーテ ィ ング テーブル内のエン ト リ を検索し、一致し たルー ト をすべて表示する場合に選択し ます。

[Type] FortiGate のルー ト に割り当てられた タ イプの値 ([Static]、 [Connected]、[RIP]、 [OSPF]、 または [BGP])。

[Subtype] 該当する場合は、 OSPF ルー ト に割り当てられたサブ タ イプの分類。

• 空の文字列は、 エ リ ア内のルー ト である こ と を示し ています。 宛先は、FortiGate ユニ ッ ト が接続されているエ リ ア内にあり ます。

• [OSPF inter area] は、宛先は OSPF AS 内にあるが、FortiGate ユニ ット がそのエ リ アに接続されていないこ と を示し ています。

• [External 1] は、 宛先が OSPF AS の外部にある こ と を示し ています。再配布されたルー ト のメ ト リ ッ クは、 外部のコス ト と OSPF のコス ト を加算する こ と によ って計算されます。

• [External 2] は、 宛先が OSPF AS の外部にある こ と を示し ています。この場合、 再配布されたルー ト のメ ト リ ッ クは外部のコス ト のみと等価であり、 OSPF のコ ス ト と し て表現されます。

• [OSPF NSSA 1] は [External 1] と同じ意味を持っていますが、ルー ト は NSSA を介し て受信されています。

• [OSPF NSSA 2] は [External 2] と同じ意味を持っていますが、ルー ト は NSSA を介し て受信されています。

[Network] FortiGate ユニ ッ ト が到達できる宛先ネ ッ ト ワークの IP ア ド レス と ネ ッ トワーク マスク。

[Distance] このルー ト に関連付けられたデ ィ ス タ ンス。 0 の値は、 同じ宛先への他のルー ト よ り このルー ト が優先される こ と を示し ています。ス タ テ ィ ッ ク ルー ト に割り当てられたデ ィ ス タ ンスを変更するには、 194ページの 「ルーテ ィ ング テーブルへのス タ テ ィ ッ ク ルー ト の追加」 を参照し て く だ さい。 ダイナ ミ ッ ク ルー ト については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ルータ - モニタ FortiGate ルーティング テーブルの検索

FortiGate ルーティング テーブルの検索

フ ィ ルタ を適用する こ と で、 ルーテ ィ ング テーブルを検索し て特定のルー ト のみを表示できます。 た と えば、 ス タ テ ィ ッ ク ルー ト 、 接続されたルー ト 、RIP/OSPF/BGP を介し て学習されたルー ト 、 指定し たネ ッ ト ワーク またはゲート ウ ェ イに関連付けられたルー ト などを表示できます。

ルー ト タ イプによ ってルーテ ィ ング テーブルを検索し、 その表示を さ らにネ ット ワーク またはゲー ト ウ ェ イに従って制限する場合、 そのエン ト リが表示されるよ う にするには、 検索条件と し て指定するすべての値が、 同じルーテ ィ ング テーブル エン ト リ内の対応する値に一致し ている必要があ り ます ( 指定するすべての検索パラ メ ータに暗黙の AND 条件が適用されます )。

た と えば、 FortiGate ユニ ッ ト がネ ッ ト ワーク 172.16.14.0/24 に接続されている ときに、 ネ ッ ト ワーク 172.16.14.0/24 に直接接続されたすべてのルー ト を表示する場合は、 [Type] リ ス ト から [Connected] を選択し、 [Network] フ ィ ール ド に「172.16.14.0/24」 を入力し た後 [Apply Filter] を選択し て、 関連付けられた (1つまたは複数の ) ルーテ ィ ング テーブル エン ト リ を表示する必要があ り ます。[Type] フ ィ ール ド に "Connected" とい う単語が含まれ、 かつ [Gateway] フ ィ ールド に指定し た値が含まれたすべてのエン ト リが表示されます。

FortiGate ルーティング テーブルを検索するには

1 [Router]、[Monitor]、[Routing Monitor] の順に選択し ます。

2 [Type] リ ス ト から、 表示するルー ト のタ イプを選択し ます。 た と えば、 接続されたすべてのルー ト を表示するには [Connected] を、 RIP を介し て学習されたすべてのルー ト を表示するには [RIP] を選択し ます。

3 特定のネ ッ ト ワークへのルー ト を表示する場合は、 [Network] フ ィ ール ド にそのネ ッ ト ワークの IP ア ド レス とネ ッ ト マスク を入力し ます。

4 特定のゲー ト ウ ェ イへのルー ト を表示する場合は、 [Gateway] フ ィ ールド にそのゲー ト ウ ェ イの IP ア ド レスを入力し ます。

5 [Apply Filter] を選択し ます。

[Metric] ルー ト タ イプに関連付けられた メ ト リ ッ ク。 ルー ト のメ ト リ ッ クは、FortiGate ユニ ッ ト がそのルー ト をルーテ ィ ング テーブルに動的に追加すると きの方法に影響し ます。

• RIP を介し て学習されたルー ト には、 ホ ッ プ カウン ト が使用されます。

• OSPF を介し て学習されたルー ト には、 相対的なコス ト が使用されます。

• BGP を介し て学習されたルー ト には、 このメ ト リ ッ クの MED (Multi-Exit Discriminator) が使用されます。 ただ し、 宛先ネ ッ ト ワークへの 適なパスを決定するための属性は MED 以外にもい く つかあり ます。

[Gateway] 宛先ネ ッ ト ワークへのゲー ト ウェ イの IP ア ド レス。

[Interface] パケ ッ ト が宛先ネ ッ ト ワークのゲー ト ウェ イに転送される と きに使用されるイ ン タ フ ェース。

[Up Time] RIP、 OSPF、 または BGP を介し て学習されたルー ト が到達可能になるまでに要し た合計の累積時間。

注記 : 検索条件と し て指定するすべての値が、 同じルーテ ィ ング テーブル エン ト リ内の対応する値に一致し ている必要があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 221

222

FortiGate ルーティング テーブルの検索 ルータ - モニタ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーについて

F0

ファイアウォール - ポリシーフ ァ イアウォール ポ リ シーは、 FortiGate ユニ ッ ト を通過するすべての ト ラフ ィ ッ ク を制御し ます。 フ ァ イアウォール ポ リ シーを追加する こ と で、FortiGate イ ン タ フ ェース、 ゾーン、 および VLAN サブ イン タ フ ェ ース間の接続と ト ラ フ ィ ッ ク を制御できます。

この項には以下の ト ピ ッ クが含まれています。

• フ ァ イアウォール ポ リ シーについて

• フ ァ イアウォール ポ リ シー リ ス ト の表示

• フ ァ イアウォール ポ リ シーの設定

• フ ァ イアウォール ポ リ シーの例

ファイアウォール ポリシーについて

フ ァ イアウォール ポ リ シーは、 FortiGate ユニ ッ ト が接続要求をど う処理するのかを判断するために用いる手順です。 フ ァ イアウォールは、 接続要求をパケ ッ トの形式で受信する と、 そのパケ ッ ト を解析し て発信元ア ド レス、 宛先ア ド レス、およびサービス ( ポー ト 番号による ) を抽出し ます。

パケ ッ ト が FortiGate ユニ ッ ト を介し て接続されるには、 そのパケ ッ ト の発信元ア ド レス、 宛先ア ド レス、 およびサービスがフ ァ イアウォール ポ リ シーに一致し ている必要があ り ます。 ポ リ シーによ って、 パケ ッ ト に対する フ ァ イアウォール アクシ ョ ンが指示されます。 アク シ ョ ンの種類には、 接続を許可する、 接続を拒否する、 接続を許可する前に認証を必要とする、 パケ ッ ト を IPSec VPN パケ ッ ト と し て処理する、 などがあ り ます。

各ポ リ シーを設定する こ とによ り、 接続をルーテ ィ ング し た り、 ネ ッ ト ワーク ア ド レス変換 (NAT) を適用し て発信元と宛先の IP ア ド レスやポー ト を変換し たり する こ とができます。 フ ァ イアウォールでの発信元ア ド レスの変換時にダイナミ ッ ク NAT を使用するには、 IP プールを追加し ます。 ポ リ シーを使用し て、FortiGate ユニ ッ ト を介し たポー ト ア ド レス変換 (PAT) を設定し ます。

フ ァ イアウォール ポ リ シーで制御される ト ラ フ ィ ッ クに対し て異なる保護設定を適用するには、 フ ァ イアウォール ポ リ シーにプロテク シ ョ ン プロ フ ァ イルを追加し ます。 プロテ クシ ョ ン プロ フ ァ イルの詳細については、 287 ページの「フ ァ イアウォール - プロテ クシ ョ ン プロ フ ァ イル」 を参照し て く だ さい。

フ ァ イアウォール ポ リ シーの ト ラ フ ィ ッ ク ロギングを有効にする と、 このポ リシーを使用するすべての接続が FortiGate ユニ ッ ト でログに記録されます。

フ ァ イアウォールでのポ リ シー照合は、 ポ リ シー リ ス ト の一番上から検索を開始し、 初の一致が見つかるまで リ ス ト 内を下に移動する こ とによ って行われます。 ポ リ シーは、 ポ リ シー リ ス ト 内に、 よ り具体的なポ リ シーから よ り一般的なポ リ シーへの順序で配置し ます。 た と えば、 デフ ォル ト ポ リ シーはすべての接続試行に一致するため、 非常に一般的なポ リ シーです。 そのポ リ シーに対する例外は、 ポ リ シー リ ス ト 内のデフ ォル ト ポ リ シーの上に追加されます。 デフ ォル ト ポ リ シーの下にあるポ リ シーが照合される こ とはあ り ません。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 223

224

ファイアウォール ポリシー リストの表示 ファイアウォール - ポリシー

フ ァ イアウォール ポ リ シーを作成または編集する場合は、 ポ リ シー オプシ ョ ンを設定できます。 選択されたアク シ ョ ンの種類に応じ て、 異なる一連のオプシ ョンが提供されます。

ポリシー照合の動作

FortiGate ユニ ッ ト がイ ン タ フ ェース上で接続試行を受信する と、 その接続試行に一致するポ リ シーを検索するためのポ リ シー リ ス ト が選択されます。FortiGate ユニ ッ ト は、 接続試行の発信元および宛先ア ド レスに基づいてポ リシー リ ス ト を選択し ます。

FortiGate ユニ ッ ト は次に、 選択し たポ リ シー リ ス ト の一番上から開始し て、 その接続試行の発信元および宛先ア ド レス、 サービス ポー ト 、 および接続試行が受信された時刻と日付に一致する 初のポ リ シーが見つかるまで リ ス ト を下に検索し ます。 一致し た 初のポ リ シーが、 その接続試行に適用されます。 一致するポ リ シーが存在し ない場合、 その接続は削除されます。 一般的なルールと し て、フ ァ イアウォール ポ リ シーは常に、 も具体的なポ リ シーから も一般的なポリ シーへの順序に配置し ます。

一般的なポ リ シーは、 複数の発信元および宛先ア ド レス、 またはア ド レス範囲からの接続を受け付ける こ とのできるポ リ シーです。 一般的なポ リ シーはまた、 複数のサービス ポー ト からの接続を受け付けた り、 スケジュールを設定し た りする こ と もできます。 つま り、 広範囲の時刻と日付にわたってポ リ シーを照合できます。 一般的なポ リ シーに対する例外であるポ リ シーを追加する場合は、 これらの特定の例外ポ リ シーを、 ポ リ シー リ ス ト 内の一般的なポ リ シーの上に追加する必要があ り ます。

た と えば、 内部ネ ッ ト ワーク上のすべてのユーザの、 イ ン ターネ ッ ト 上のすべてのサービスへのアクセスを許可する一般的なポ リ シーを設定できます。 イン ターネ ッ ト 上の FTP サーバへのア クセスをブロ ッ クする場合は、 FTP 接続を拒否するポ リ シーを、 一般的なポ リ シーの上に追加する必要があ り ます。 この拒否ポ リシーによ って FTP 接続がブロ ッ ク されますが、 その他のすべての種類のサービスへの接続試行は FTP ポ リ シーに一致せず、 一般的なポ リ シーに一致し ます。そのため、 フ ァ イアウォールは引き続き、 FTP 接続以外の、 内部ネ ッ ト ワークから イ ン ターネ ッ ト へのすべての接続を受け付けます。

ポ リ シー照合に関し ては、 次の点にも注意し て く だ さい。

• 認証を必要とするポ リ シーは、 ポ リ シー リ ス ト 内の、 認証を必要と し ない一致するポ リ シーの上に追加する必要があ り ます。 そ う し ないと、 認証を必要と し ないポ リ シーが 初に選択されます。

• IPSec VPN ト ンネル モー ド ポ リ シーは、 ポ リ シー リ ス ト 内の、 一致する許可または拒否ポ リ シーの上に追加する必要があ り ます。

• SSL VPN ポ リ シーは、 ポ リ シー リ ス ト 内の、 一致する許可または拒否ポ リシーの上に追加する必要があ り ます。

ファイアウォール ポリシー リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 フ ァ イアウォール ポ リ シーはバーチャル ド メ イ ンご とに別々に設定されます。 ポ リ シーにアクセスするには、 メ イン メ ニューからバーチャル ド メ イ ンを選択し ます。

ポ リ シー リ ス ト 内のポ リ シーに対し て追加、 削除、 編集、 および並べ替えを行う こ とができます。

ポ リ シー リ ス ト を表示するには、 [Firewall]、[Policy] の順に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシー リストの表示

図 117: サンプルのポリシー リスト

ポ リ シー リ ス ト には、 デフ ォル ト で次の情報が表示されます。

ファイアウォール ポリシーの追加

フ ァ イアウォール ポ リ シー リ ス ト にフ ァ イアウォール ポ リ シーを追加するには、 次の手順を使用し ます。

1 [Firewall]、[Policy] の順に選択し ます。

[Create New] フ ァ イアウォール ポ リ シーを追加する場合に選択し ます。225 ページの 「フ ァ イアウォール ポ リ シーの追加」 を参照して く だ さ い。 フ ァ イアウォール ポ リ シーまたはフ ァ イアウォール ポ リ シー セ クシ ョ ンのどち ら を追加するかを選択するには、 [Create New] の横にある下矢印を選択し ます。フ ァ イアウォール ポ リ シー セ クシ ョ ンは、 フ ァ イアウォール ポ リ シーをグループ化するための方法です。

[Column Settings] テーブルの表示を カス タ マイズする場合に選択し ます。 表示する列を選択し、 テーブル内の列の表示順序を指定する こ とができます。

フィルタ アイコン 列フ ィ ルタ を編集する場合に選択し ます。 列フ ィ ルタ を使用する と、 指定し た条件に従ってポ リ シー リ ス ト を フ ィ ルタ処理し た り、 並べ替えた りする こ とができます。

ID ポ リ シー識別子。 ポ リ シーには、 ポ リ シー リ ス ト に追加された順序で番号が付けられます。

[Source] このポ リ シーを適用する発信元ア ド レスまたはア ド レス グループ。 247 ページの 「フ ァ イアウォール - ア ド レス」 を参照し て く だ さ い。 また、 ポ リ シー リ ス ト からア ド レス情報を編集する こ と もできます。 ア ド レスを ク リ ッ クする と、[Edit Address] ダイアログ ボ ッ クスが開きます。

[Destination] このポ リ シーを適用する宛先ア ド レスまたはア ド レス グループ。 247 ページの 「フ ァ イアウォール - ア ド レス」 を参照し て く だ さ い。 また、 ポ リ シー リ ス ト からア ド レス情報を編集する こ と もできます。 ア ド レスを ク リ ッ クする と、[Edit Address] ダイアログ ボ ッ クスが開きます。

[Schedule] このポ リ シーがア ク テ ィ ブになる時期を制御するためのスケジュール。 261 ページの 「フ ァ イアウォール - スケジュール」 を参照し て く だ さ い。

[Service] このポ リ シーを適用するサービス。 253 ページの 「フ ァ イアウォール - サービス」 を参照し て く ださ い。

[Profile] このポリ シーに関連付けられたプロテクシ ョ ン プロフ ァ イル。

[Action] このポ リ シーが接続試行に一致し た と きに実行する応答。

削除アイコン リ ス ト から このポ リ シーを削除する場合に選択し ます。

編集アイコン このポ リ シーを編集のために開 く 場合に選択し ます。

[Insert Policy Before] アイコン

対応するポ リ シーの上に新し いポ リ シーを追加する場合に選択し ます ([New Policy] 画面が表示されます )。

移動アイコン 対応するポ リ シーを、 リ ス ト 内の別のポ リ シーの前または後に移動する場合に選択し ます。 226 ページの 「ポリ シー リ スト 内の別の位置へのポ リ シーの移動」 を参照し て く だ さ い。

削除 編集

移動[Insert Policy Before]フ ィ ルタ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 225

226

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

2 [Create New] を選択するか、 またはリ ス ト 内のポ リ シーの横にある [Insert Policy Before] アイ コ ンを選択し て、 そのポ リ シーの上に新しいポ リ シーを追加し ます。

3 発信元および宛先イン タ フ ェ ースを選択し ます。

4 発信元および宛先ア ド レスを選択し ます。

5 ポ リ シーを設定し ます。

ポ リ シーの設定については、 226 ページの 「フ ァ イアウォール ポ リ シーの設定」を参照し て く だ さい。

6 [OK] を選択し ます。

7 予期し た結果が得られるよ う に、 ポ リ シー リ ス ト 内にポ リ シーを配置し ます。

ポ リ シー リ ス ト 内でのポ リ シーの配置については、 224 ページの 「ポ リ シー照合の動作」 および 「ポ リ シー リ ス ト 内の別の位置へのポ リ シーの移動」 を参照して く ださい。

ポリシー リスト内の別の位置へのポリシーの移動

リ ス ト 内でポ リ シーを移動し て、 そのポ リ シーの評価方法に影響を与える こ とができます。 同じ イ ン タ フ ェース ペアに対し て複数のポ リ シーが定義されている場合は、 リ ス ト 内で先頭にあるポ リ シーが 初に評価されます。

フ ァ イアウォール暗号化ポ リ シーを予期し た とお り に有効にするには、 それらの順序が重要にな り ます。 フ ァ イアウォール暗号化ポ リ シーは、 通常のフ ァ イアウォール ポ リ シーの前に評価する必要があ り ます。

リ ス ト 内でポ リ シーを移動し ても、 そのポ リ シーの ID 番号は変更されません。

図 118: ポリシーの移動

1 [Firewall]、[Policy] の順に選択し ます。

2 移動するポ リ シーの横の同じ行内にある [Move To] アイ コ ンを選択し ます。

3 ポ リ シーの位置を指定し ます。

4 [OK] を選択し ます。

ファイアウォール ポリシーの設定

フ ァ イアウォール ポ リ シーを使用し て、 通信セ ッ シ ョ ンに適用する フ ァ イアウォール ポ リ シーの選択方法、 および FortiGate ユニ ッ ト でのその通信セ ッ シ ョン内のパケ ッ ト の処理方法を定義し ます。

フ ァ イアウォール ポ リ シーを追加または編集するには、 [Firewall]、[Policy] の順に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

通信セ ッ シ ョ ンを受け付けるための ACCEPT ポ リ シーを追加できます。 ACCEPTポ リ シーを使用する と、 ポ リ シーで受け付けられる通信セ ッ シ ョ ンに対し て、 ウイルス スキャ ンや認証などの FortiGate の機能を適用できます。 ACCEPT ポ リシーでは、 発信元または宛先のどち らかが IPSec 仮想イ ン タ フ ェースである場合、 イ ン タ フ ェース モー ドの IPSec VPN ト ラ フ ィ ッ ク を有効にする こ とができます。 詳細については、 303 ページの 「IPSec イ ン タ フ ェース モー ドの概要」 を参照し て く だ さい。

通信セ ッ シ ョ ンを拒否するための DENY ポ リ シーを追加できます。

また、IPSec ト ンネル モー ドの VPN ト ラ フ ィ ッ ク を有効にするための IPSec 暗号化ポ リ シーや、 SSL VPN ト ラ フ ィ ッ ク を有効にするための SSL VPN 暗号化ポ リシーを追加する こ と もできます。 フ ァ イアウォール暗号化ポ リ シーは、 IPSec または SSL VPN セ ッ シ ョ ン中に許可される IP ト ラ フ ィ ッ クの種類を決定し ます。フ ァ イアウォール暗号化ポ リ シーによ って許可された場合、指定し た種類の IP パケ ッ ト がローカル プ ラ イベー ト ネ ッ ト ワークへの FortiGate イ ン タ フ ェースに到着し た場合は常に、 ト ンネルを自動的に開始できます。詳細については、238 ページの「IPSec のフ ァ イアウォール ポ リ シー オプシ ョ ン」または 239 ページの「SSL-VPN のフ ァ イアウォール ポ リ シー オプシ ョ ン」 を参照し て く ださい。

図 119: ポリシー オプション - NAT/ ルート モードの ACCEPT ポリシー

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 227

228

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

図 120: ポリシー オプション - トランスペアレント モードの ACCEPT ポリシー

図 121: ポリシー オプション - DENY ポリシー

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

図 122: ポリシー オプション - FortiClient の確認

発信元および宛先の [Interface/Zone] は、 フ ァ イアウォール ポ リ シーと通信セ ッシ ョ ンの発信元および宛先を照合し ます。 [Address Name] は、 通信セ ッ シ ョ ンの発信元および宛先ア ド レスを照合し ます。

[Schedule] は、 フ ァ イアウォール ポ リ シーが有効になる時期を定義し ます。

[Service] は、 フ ァ イアウォール ポ リ シーと、 通信セ ッ シ ョ ンで使用されているサービスを照合し ます。

[Action] は、 FortiGate ユニ ッ ト での ト ラ フ ィ ッ クの処理方法を定義し ます。 ト ラフ ィ ッ ク を許可または拒否するアクシ ョ ンを指定するか、 またはフ ァ イアウォール暗号化ポ リ シーを設定し ます。

残りのフ ァ イアウォール ポ リ シー オプシ ョ ン ([NAT]、 [Protection Profile]、 [Log Allowed Traffic]、 [Log Violation Traffic]、 [Authentication]、 および [Traffic Shaping]) は、 追加機能を設定する場合に使用できます。 [Log Violation Traffic] は、 ト ラフ ィ ッ ク を拒否するためのポ リ シーに適用できます。 CLI コ マン ド を使用し て、Differentiated Services を設定できます ( 『FortiGate CLI リ フ ァ レンス』 の 「フ ァイアウォール」 の章を参照 )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 229

230

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

ファイアウォール ポリシーのオプション

フ ァ イアウォール ポ リ シーを追加するには、 [Firewall]、[Policy] の順に選択し、[Create New] を選択し ます。 次のフ ァ イアウォール ポ リ シー オプシ ョ ンを設定できます。

[Source] このポ リ シーに従う IP パケ ッ ト の発信元の特性を指定し ます。

[Interface/Zone] IP パケ ッ ト が受信される FortiGate イ ン タ フ ェースまたはゾーンの名前を選択し ます。 イ ン タ フ ェース と ゾーンは、 [System]、 [Network] ページで設定されます。 インタ フ ェースについては、 69 ページの 「イン タ フ ェース」を参照し て く だ さ い。 ゾーンについては、 88 ページの「ゾーン」 を参照し て く だ さい。[Action] が [IPSEC] に設定されている場合、 このイン タフ ェースは、 ローカル プ ラ イベー ト ネ ッ ト ワークに関連付けられます。[Action] が [SSL-VPN] に設定されている場合、 このインタ フ ェースは、 リ モー ト の SSL VPN ク ラ イアン ト からの接続に関連付けられます。

[Address Name] 発信元のイ ン タ フ ェースまたはゾーンに関連付ける、 以前に定義し た IP ア ド レスの名前を選択するか、 または [Create New] を選択し て新しい IP ア ド レスを定義し ます。 パケ ッ ト がこのポ リ シーに従う ためには、 関連付けられた IP ア ド レスがそのヘ ッ ダに含まれている必要があり ます。 ア ド レスは、 前も って作成し てお く こ とができます。 249 ページの 「ア ド レスの設定」 を参照し て くだ さ い。[Action] が [IPSEC] に設定されている場合、 このア ド レスは、 FortiGate ユニ ッ ト の背後に配置されているホスト 、 サーバ、 またはネ ッ ト ワークのプ ラ イベー ト IP アド レスです。[Action] が [SSL-VPN] に設定されており、 これが Webのみモー ドのク ラ イアン ト のためのポ リ シーである場合は、 [all] を選択し ます。[Action] が [SSL-VPN] に設定されており、 これが ト ンネル モー ドのク ラ イアン ト のためのポ リ シーである場合は、 その ト ンネル モー ドのク ラ イアン ト のために予約し たア ド レスの名前を選択し ます。

[Destination] このポ リ シーに従う IP パケ ッ ト の宛先の特性を指定し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

[Interface/Zone] IP パケ ッ ト の転送先の FortiGate イ ン タ フ ェースまたはゾーンの名前を選択し ます。 イ ン タ フ ェース と ゾーンは、 [System]、 [Network] ページで設定されます。 イ ンタ フ ェースについては、 69 ページの 「イ ン タ フ ェース」を参照し て く だ さい。 ゾーンについては、 88 ページの「ゾーン」 を参照し て く だ さい。[Action] が [IPSEC] に設定されている場合、 このイ ン タフ ェースは、VPN ト ンネルへの入口に関連付けられます。[Action] が [SSL-VPN] に設定されている場合、 このインタ フ ェースは、 ローカル プ ラ イベー ト ネ ッ ト ワークに関連付けられます。

[Address Name] 宛先のイ ン タ フ ェースまたはゾーンに関連付ける、 以前に定義し た IP ア ド レスの名前を選択するか、 または [Create New] を選択し て新し い IP ア ド レスを定義し ます。 パケ ッ ト がこのポリ シーに従う ためには、 関連付けられた IP ア ド レスがそのヘ ッ ダに含まれている必要があり ます。 ア ド レスは、 前も っ て作成し てお く こ とができます。 249 ページの 「ア ド レスの設定」 を参照し て くだ さい。[Action] が [IPSEC] に設定されている場合、 このア ド レスは、 VPN ト ンネルのリ モー ト エン ド ポイン ト にある、パケ ッ ト の配信先になる可能性のあるプ ラ イベー ト IPア ド レスです。[Action] が [SSL-VPN] に設定されている場合は、FortiGate ユニ ッ ト の背後に配置されている、 リ モー ト ク ラ イアン ト がアクセスする必要のあるホス ト 、 サーバ、 またはネ ッ ト ワークに対応する IP ア ド レスの名前を選択し ます。

[Schedule] ポ リ シーと通信セ ッ シ ョ ン との照合が可能になる時期を制御するための、 ワン タ イム スケジュールまたは反復スケジュールを選択し ます。スケジュールは、 [Firewall]、 [Schedule] の順に選択する こ と によ り、前も って作成し てお く こ とができます。 261 ページの 「フ ァ イアウォール - スケジュール」 を参照し て く だ さい。また、 ポ リ シーの設定中に [Create New] を選択し て、 反復スケジュールまたはワン タ イム スケジュールを作成する こ と も できます。 反復スケジュールまたはワン タ イム スケジュールに必要な情報を追加し、[OK] を選択し ます。 新しいスケジュールが [Schedule] リ ス ト に追加されます。

[Service] このポ リ シーと照合するパケ ッ ト のサービスまたはプロ ト コルに一致するサービスまたはサービス グループの名前を選択し ます。 広範囲の定義済みサービスから選択し ます。 カス タム サービスは、 [Firewall]、[Service]、 [Custom] の順に選択する こ とによ り、 前も っ て作成し ておく こ とができます。 サービス グループは、 [Firewall]、 [Service]、[Group] の順に選択する こ とによ り、 前も っ て作成し てお く こ とができます。 257 ページの 「カス タム サービスの設定」 および 259 ページの 「サービス グループの設定」 を参照し て く だ さい。また、 ポ リ シーの設定中に [Create New] を選択し て、 カス タム サービスまたはサービス グループを作成する こ と も できます。 カス タム サービスまたはサービス グループに必要な情報を追加し、 [OK] を選択し ます。 新しいカス タム サービスまたはサービス グループが [Service] リ ス ト に追加されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 231

232

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

[Action] パケ ッ ト がポリ シーの条件に一致し た と きのフ ァ イアウォールの対応を選択し ます。

[ACCEPT] このポリ シーに一致し た ト ラ フ ィ ッ ク を受け付けます。NAT、 プロテ クシ ョ ン プロ フ ァ イル、 ト ラ フ ィ ッ クのログ記録、 ト ラ フ ィ ッ クの ト ラ フ ィ ッ ク シ ェーピング、 認証オプシ ョ ンに関する各種設定と、 このポリ シーへのコメ ン ト の追加を行う こ とができます。

[DENY] このポリ シーに一致し た ト ラ フ ィ ッ ク を拒否し ます。 これを選択し た場合に設定可能なポリ シー オプシ ョ ンは、ト ラ フ ィ ッ クのログ記録 ( このポ リ シーで拒否された接続のログ記録 ) と、 このポ リ シーへのコ メ ン ト の追加だけです。

[IPSEC] IPSec のフ ァ イアウォール暗号化ポ リ シーを設定し ます。これによ り、 FortiGate ユニ ッ ト で IPSec VPN パケッ ト が処理されるよ う にな り ます。 238 ページの 「IPSec のフ ァイアウォール ポリ シー オプシ ョ ン」 を参照し て く ださい。

[SSL-VPN] SSL-VPN のフ ァ イアウォール暗号化ポ リ シーを設定し ます。 これによ り、 FortiGate ユニ ッ ト で SSL VPN ト ラフ ィ ッ クが受け付けられるよ う にな り ます。 このオプシ ョ ンは、 SSL VPN ユーザ グループを追加し ないと使用できません。 239 ページの 「SSL-VPN のフ ァ イアウォール ポ リ シー オプシ ョ ン」 を参照し て く だ さ い。

[NAT] このポリ シーに対するネ ッ ト ワーク ア ド レス変換を有効にし ます。NAT は、 このポ リ シーで受け付けられるパケ ッ ト の、 発信元ア ド レスとポー ト 番号を変換し ます。 [NAT] が選択されている場合は、[Dynamic IP Pool] と [Fixed Port] を設定できます。 NAT は、 ト ラ ンスペアレン ト モー ド では使用できません。

[Dynamic IP Pool] 発信元ア ド レスを、 IP プールから ラ ンダムに選択されたア ド レスに変換する場合に選択し ます。 IPプールは、 単一の IP ア ド レスまたは IP ア ド レスの範囲と な り ます。 IP プールのア ド レスがあらかじめ宛先イ ン タ フ ェースに追加されている場合は、 IP プールのリ ス ト が表示されます。FortiGate ユニ ッ ト で、 発信元ア ド レスを この IPプールで定義されたいずれかのア ド レスに変換するには、 宛先イ ン タ フ ェースに追加された IPプールの名前を選択し ます。宛先イ ン タ フ ェース、 VLAN サブイ ン タ フ ェース、または宛先ゾーン内のイ ン タ フ ェースまたはVLAN サブイン タ フ ェースのいずれかが、 DHCPまたは PPPoE を使用し て設定されている場合は、[Dynamic IP Pool] を選択できません。ゾーンを使用し ている場合は、 IP プールを使用できません。 IP プールは、 イ ン タ フ ェースにのみ関連付ける こ とができます。IP プールの追加については、 283 ページの 「IPプール」 を参照し て く だ さい。

[Fixed Port] NAT で発信元ポー ト を変換し ないよ う にするには、 [Fixed Port] を選択し ます。一部のアプ リ ケーシ ョ ンでは、 発信元ポー ト が変更されて し ま う と正し く 機能し ません。 ほとんどの場合、 [Fixed Port] を選択する と きは [Dynamic IP Pool] も選択し ます。 [Dynamic IP Pool] を選択し ていない場合には、 [Fixed Port] を選択し たポリ シーは、 一度に 1 つの接続しか許可し ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

[Protection Profile]

フ ァ イアウォール ポ リ シーにアンチウイルス、 Web フ ィ ルタ リ ング、Web カテゴ リ フ ィ ルタ リ ング、 スパム フ ィ ルタ リ ング、 IPS、 コ ンテンツ アーカ イブ、 およびロギングを適用する方法を設定するためのプロテ クシ ョ ン プロ フ ァ イルを選択し ます。 プロテ ク シ ョ ン プロ フ ァイルは前も って作成する こ と も、 プロ フ ァ イルの設定中に作成する こと も できます。 この時点で作成されたプロ フ ァ イルは、 プロテ クシ ョン プロ フ ァ イル リ ス ト に表示されます。 プロテ ク シ ョ ン プロ フ ァ イルの追加および設定については、 287 ページの 「フ ァ イアウォール - プロテ クシ ョ ン プロ フ ァ イル」 を参照し て く だ さい。詳細設定の中の [Authentication] を選択する と、 認証用に選択するユーザ グループはすでにプロテ ク シ ョ ン プロ フ ァ イルと結び付けられているため、 プロテ クシ ョ ン プロ フ ァ イル オプシ ョ ンは無効にな り ます。 フ ァ イアウォール ポ リ シーへの認証の追加の詳細については、234 ページの 「フ ァ イアウォール ポ リ シーへの認証の追加」 を参照して く だ さい。

[Log Allowed Traffic]

ACCEPT、 IPSEC、 または SSL-VPN ポリ シーの場合、 このポリ シーで接続が処理された際に常に メ ッ セージを ト ラ フ ィ ッ ク ログに記録するには、 [Log Allowed Traffic] を選択し ます。 ロギング場所 (syslog、WebTrends、 使用可能な場合はローカル デ ィ スク、 メ モ リ、 またはFortiAnalyzer) の ト ラ フ ィ ッ ク ログを有効にし、 ロギング レベルを [Notification] 以下に設定し ます。 ロギングについては、 431 ページの「ログおよびレポー ト 」 を参照し て く だ さい。

[Log Violation Traffic]

DENY ポ リ シーの場合、 このポ リ シーで接続が処理された際に常にメ ッ セージを ト ラ フ ィ ッ ク ログに記録するには、 [Log Violation Traffic] を選択し ます。 ロギング場所 (syslog、 WebTrends、 使用可能な場合はローカル デ ィ スク、 メ モ リ、 または FortiAnalyzer) の ト ラフ ィ ッ ク ログを有効にし、 ロギング レベルを [Notification] 以下に設定し ます。 ロギングについては、 431 ページの 「ログおよびレポー ト 」を参照し て く だ さい。

[Authentication] [Authentication] を選択する前に、 ユーザ グループにユーザと フ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イルを追加し ておきます。 ユーザ グループの追加および設定については、 346 ページの 「ユーザ グループ」 を参照し て く だ さい。 [Authentication] は、 [Action] が [ACCEPT] または [SSL-VPN] に設定されている場合に使用できます。 フ ァ イアウォール ポ リ シーへの認証の追加の詳細については、 234 ページの「フ ァ イアウォール ポ リ シーへの認証の追加」 を参照し て く ださ い。

[Check FortiClient is Installed and Running]

FortiGate モデル 1000A、 3600A、 および 5005FA2 の場合は、 FortiClient Host Security ソ フ ト ウ ェ アを インス ト ールし ておらず動作させていないホス ト のア クセスを フ ァ イアウォール ポ リ シーで拒否できます。239 ページの 「ホス ト 上の FortiClient を確認するためのオプシ ョ ン」を参照し て く だ さい。

[Traffic Shaping] [Traffic Shaping] は、 このポ リ シーで使用可能な帯域幅を制御し、 このポ リ シーで処理される ト ラ フ ィ ッ クのプラ イオ リ テ ィ を設定し ます。注記 :

• すべてのフ ァ イアウォール ポ リ シーで ト ラ フ ィ ッ ク シ ェーピングを有効にするよ う にし て く ださ い。 ポ リ シーに ト ラ フ ィ ッ ク シ ェーピング ルールを何も適用し ない場合、 そのポ リ シーは、 デフ ォル ト で高いプ ラ イオ リ テ ィ に設定されます。

• フ ァ イアウォール ポ リ シーを、 3 つのプ ラ イオ リ テ ィ キュー ( 低、中、 高 ) のすべてに分散させて く だ さい。

• すべてのフ ァ イアウォール ポ リ シーの [Guaranteed Bandwidth] の合計が、 イ ン タ フ ェースの総帯域幅を大幅に下回るよ う にし て くださ い。

ト ラ フ ィ ッ ク シ ェーピングを設定する方法については、 235 ページの「フ ァ イアウォール ポ リ シーへの ト ラ フ ィ ッ ク シ ェーピングの追加」を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 233

234

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

ファイアウォール ポリシーへの認証の追加

[Authentication] を選択する前に、 ユーザ グループにユーザと フ ァ イアウォール プロテ クシ ョ ン プロ フ ァ イルを追加し ておきます。 ユーザ グループの追加および設定については、 346 ページの 「ユーザ グループ」 を参照し て く だ さい。 認証は、 [Action] が [ACCEPT] に設定されている場合に使用できます。

[Authentication] を選択し、 フ ァ イアウォールで接続を受け付ける前に、 ユーザにユーザ名とパスワー ドの入力を義務付ける、 1 つ以上のユーザ グループを選択します。

図 123: 認証のためのユーザ グループの選択

任意のサービスに対し て [Authentication] を選択し ます。 ユーザはフ ァ イアウォールに対し て、 HTTP、 Telnet、 または FTP で認証する こ とができます。ユーザを認証でき るよ う にするには、 認証のために設定された HTTP、 Telnet、または FTP のポ リ シーを追加し ます。 ユーザが、 このポ リ シーを使用し てフ ァイアウォールを介し た接続を し よ う とする と、 フ ァ イアウォールのユーザ名とパスワー ド を入力するよ う求められます。

フ ァ イアウォールの認証方法には、 ローカルに定義されたユーザ グループ以外に、 LDAP および RADIUS ユーザも含まれます。 [User]、[User Group] で定義された Active Directory グループを選択するには、 ド ロ ッ プダウン リ ス ト から [Active Directory] を選択し ます。 Active Directory グループ と その他のグループでの認証を同じポ リ シー内で組み合わせる こ とはできません。

他のサービス ( た と えば、 POP3 または IMAP) を使用し てユーザを認証するには、 HTTP、 Telnet、 および FTP に加えて、 認証を必要とするサービスを含むサービス グループを作成し ます。 それによ って、 他のサービスを使用する前に、HTTP、 Telnet、 または FTP を使用するポ リ シーでユーザを認証できます。

[User Authentication Disclaimer]

[Authentication Disclaimer] ページ ( 差し替え メ ッ セージ ) を表示し ます。 ユーザが宛先に接続するには、 この表示された、 ユーザ認証免責条項を受け入れる必要があり ます。 この免責条項表示は、 認証またはプロテ ク シ ョ ン プロ フ ァ イルと共に使用できます。 このオプシ ョ ンは、 一部のモデルで使用できます。 SSL-VPN ポ リ シーには使用できません。

[Redirect URL] こ こに URL を入力し てお く と、 認証の後またはユーザ認証免責条項を受け入れた後、 ユーザがその URL にリ ダイ レ ク ト されます。 このオプシ ョ ンは、 一部のモデルで使用できます。 SSL-VPN ポ リ シーには使用できません。

[Comments] 説明、 またはポリ シーに関するその他の情報を追加し ます。 コ メ ン トは、 スペースを含め、 大 63 文字まで入力できます。

注記 : Active Directory サーバで FortiGate ユニ ッ ト を認証でき るよ う にするには、 Active Directory ド メ イン コ ン ト ローラに FSAE (Fortinet Server Authentication Extensions) がイ ンス ト ールされている必要があ り ます。 FSAE は、 Fortinet テ クニカル サポー ト から入手できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

ほとんどの場合は、 ユーザが認証な し でも、 フ ァ イアウォールを介し て DNS が使用でき るよ う にし ておいて く だ さい。 DNS を使用できない場合、 ユーザはドメ イン名を使用し て Web、 FTP、 または Telnet サーバに接続できな く なって し まいます。

ファイアウォール ポリシーへのトラフィック シェーピングの追加

ト ラ フ ィ ッ ク シ ェ ーピングは、 利用可能な帯域幅を制御し、 処理対象の ト ラフ ィ ッ クのプ ラ イオ リ テ ィ をポ リ シーに基づいて設定し ます。 ト ラ フ ィ ッ ク シ ェーピングを行 う こ と で、 大量のデータが FortiGate デバイスを通過し ていると きに、 どのポ リ シーに も高いプ ラ イオ リ テ ィ を与えるかを制御できるよ う にな り ます。 た と えば、 企業の Web サーバのためのポ リ シーには、 大部分の従業員のコ ンピ ュータのためのポ リ シーよ り も高いプ ラ イオ リ テ ィ を与える こ とができます。 きわめて高速なイ ン ターネ ッ ト アクセスが必要な従業員に、 通常よ り広い帯域幅を設定し た特殊な送信ポ リ シーを許可する こ と もできます。

ト ラ フ ィ ッ ク シ ェ ーピングは、 ACCEPT、 IPSEC、 および SSL-VPN ポ リ シーに使用できます。 また、 サポー ト されているすべてのサービス (H.323、 TCP、UDP、 ICMP、 および ESP を含む ) にも使用できます。

保証帯域幅と 大帯域幅をキューイ ング と組み合わせる と、 ト ラ フ ィ ッ クに対する 小帯域幅と 大帯域幅が保証されます。

ト ラ フ ィ ッ ク シ ェ ーピングを使用し ても、 利用可能な帯域幅の総量を増やすことはできませんが、 帯域を大量に消費する ト ラ フ ィ ッ クや帯域幅の影響を受けやすい ト ラ フ ィ ッ クの品質を向上させる こ とができます。

保証帯域幅と最大帯域幅

フ ァ イアウォール ポ リ シーの [Guaranteed Bandwidth] フ ィ ールド に値を入力すると、 選択し たネ ッ ト ワーク ト ラ フ ィ ッ クに使用可能な帯域幅の量 ( キロバイ ト /秒単位 ) が保証されます。 た と えば、 電子商取引 ト ラ フ ィ ッ クに対し てよ り高い保証帯域幅を与える こ とができます。

フ ァ イアウォール ポ リ シーの [Maximum Bandwidth] フ ィ ールド に値を入力すると、 選択し たネ ッ ト ワーク ト ラ フ ィ ッ クに使用可能な帯域幅の量 ( キロバイ ト /秒単位 ) が制限されます。 た と えば、 IM ト ラ フ ィ ッ ク使用の帯域幅を制限し て、一部の帯域幅をよ り重要な電子商取引 ト ラ フ ィ ッ クのために取っ てお く こ とができます。

ポ リ シーで制御される ト ラ フ ィ ッ クに使用可能な帯域幅は、 制御セ ッ シ ョ ン とデータ セ ッ シ ョ ンの両方に使用され、 また双方向の ト ラ フ ィ ッ クに使用されます。 た と えば、 内部から外部への FTP ポ リ シーに保証帯域幅が適用されていると きに、 内部ネ ッ ト ワーク上のユーザが FTP を使用し て フ ァ イルを put およびget し ている場合は、 このポ リ シーで制御される ト ラ フ ィ ッ クが使える帯域幅を、 put および get の両セ ッ シ ョ ンが共有し ます。

あるポ リ シーで使える保証帯域幅および 大帯域幅は、 そのポ リ シーで制御されるすべての ト ラ フ ィ ッ ク で使える総帯域幅です。 複数のユーザが同じポ リ シーを使用し て複数の通信セ ッ シ ョ ンを開始し た場合は、 これらの通信セ ッ シ ョ ンのすべてが、 そのポ リ シーで使える帯域幅を共有する必要があ り ます。

注記 : 認証を必要とするポ リ シーは、 ポ リ シー リ ス ト 内の、 条件に合っ て し ま う認証を必要と し ないポ リ シーの上に追加する必要があり ます。 そ う し ないと、 認証を必要と し ないポ リ シーが 初に選択されて し まいます。

注記 : ト ラ フ ィ ッ ク シ ェーピングの詳細については、 『FortiGate ト ラ フ ィ ッ ク シ ェーピングテ クニカル ノ ー ト 』 も参考にし て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 235

236

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

ただ し、 同じサービスを使用する複数のイ ンス タ ンスが異なるポ リ シーで制御されている場合は、 これらの複数のイ ンス タ ンス間で使える帯域幅は共有されません。 たと えば、 あるネ ッ ト ワーク ア ド レスに対し て、 FTP で使える帯域幅を制限するための 1 つの FTP ポ リ シーを作成する と同時に、 別のネ ッ ト ワーク ア ドレスに対し て、 別の帯域幅が使えるよ う な別の FTP ポ リ シーを作成する こ とができます。

トラフィック プライオリティ

異なる種類の ト ラ フ ィ ッ ク間の相対的なプ ラ イオ リ テ ィ を管理するには、 ト ラフ ィ ッ ク プ ラ イオ リ テ ィ を設定し ます。 遅延に影響されやすい重要な ト ラフ ィ ッ クには、 高いプ ラ イオ リ テ ィ を割り当てる必要があ り ます。 遅延の影響が少ない重要度の低い ト ラ フ ィ ッ クには、 低いプ ラ イオ リ テ ィ を割り当てる必要があ り ます。

FortiGate Antivirus Firewall は、 プラ イオ リ テ ィ の高いコネクシ ョ ンに帯域幅を割り当てる必要がない場合にのみ、 プ ラ イオ リ テ ィ の低い接続に帯域幅を提供し ます。

た と えば、 音声 ト ラ フ ィ ッ ク と電子商取引 ト ラ フ ィ ッ クに帯域幅を保証するためのポ リ シーを追加できます。 次に、 音声 ト ラ フ ィ ッ ク を制御するポ リ シーには高いプ ラ イオ リ テ ィ を、 電子商取引 ト ラ フ ィ ッ ク を制御するポ リ シーには中程度のプ ラ イオ リ テ ィ を割り当てる こ とができます。 帯域幅の使用が集中する時間帯に、 音声 ト ラ フ ィ ッ ク と電子商取引 ト ラ フ ィ ッ クの両方で帯域幅が競合し た場合は、 プ ラ イオ リ テ ィ の高い音声 ト ラ フ ィ ッ クが電子商取引 ト ラ フ ィ ッ クの前に送り出されます。

トラフィック シェーピングの考慮事項

ト ラ フ ィ ッ ク シ ェーピングは、 その定義上、 ト ラ フ ィ ッ クのピーク / バース トの " 正規化 " を試みよ う とする ものであ り、 特定のフ ローを他のフ ローよ り優先するよ う に設定できます。 ただ し、 バッ フ ァ処理できるデータの量やその期間には物理的な制限があ り ます。 これらのし きい値を超えて し ま う と、 フ レームやパケ ッ ト が削除され、 セ ッ シ ョ ンに影響を与える こ とにな り ます。 ト ラ フ ィ ッ ク シ ェーピングの設定が正し く ない場合は、 パケ ッ ト の過剰な破棄が起きて し まい、 これらのエ ラーからの回復を試みよ う とする上位レ イヤで余計なオーバーヘ ッ ド が発生する こ とがあるため、 実際には特定のネ ッ ト ワーク フ ローの品質を大幅に低下させて し ま う 可能性があ り ます。

基本的な ト ラ フ ィ ッ ク シ ェ ーピングの例と し て、 破棄されてもかまわない他のト ラ フ ィ ッ クの損失を前提に、 特定の ト ラ フ ィ ッ ク フ ローを優先する場合があり ます。 つま り、 ト ラ フ ィ ッ ク X に対するパフ ォーマンスや安定性を増加または保証するために、 ト ラ フ ィ ッ ク Y に対する特定のパフ ォーマンスや安定性を犠牲にする こ と を受け入れる こ とにな り ます。

た と えば、 特定のフ ローに帯域幅の制限を適用する場合は、 これらのセ ッ シ ョ ンが制限される可能性があ り、 それによ っ て悪影響を受ける こ とがある とい う点を容認し なければな り ません。

フ ァ イアウォール ポ リ シーに適用される ト ラ フ ィ ッ ク シ ェーピングは、 どち らの方向に流れる ト ラ フ ィ ッ クに対し ても適用されます。 そのため、 あるセ ッ シ ョンが [Internal -> External] ポ リ シーによ って内部のホス ト から外部のホス ト に向けて設定されていたと し て も、 次にデータ ス ト リームが外部から内部に入っ て来る と、 そのセ ッ シ ョ ンに対し て も ト ラ フ ィ ッ ク シ ェ ーピングが適用されます。た と えば、 FTP の "get" や、 電子メ ールを取得するために外部のサーバに接続された SMTP サーバなどがあ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

また、 ト ラ フ ィ ッ ク シ ェ ーピングは、 通常の ト ラ フ ィ ッ ク レー ト の標準的な IPト ラ フ ィ ッ クに対し てのみ効果がある こ とにも注意し て く だ さい。 ト ラ フ ィ ッ クが FortiGate ユニ ッ ト の容量を超えて し ま っているよ う な、 極端な高 ト ラ フ ィ ックの下では、 ト ラ フ ィ ッ ク シ ェ ーピングは効果があ り ません。 パケ ッ ト は、 トラ フ ィ ッ ク シ ェーピングに従 う前に、 FortiGate ユニ ッ ト に受信される必要があり ます。 FortiGate ユニ ッ ト が、 受信し たすべての ト ラ フ ィ ッ ク を処理できない場合は、 パケ ッ ト の破棄、 遅延、 待ち時間などが発生する可能性があ り ます。

ト ラ フ ィ ッ ク シ ェ ーピングが 高の状態で機能する こ と を保証するために、イーサネ ッ ト イン タ フ ェ ースの統計情報にエ ラー、 衝突、 バッ フ ァ オーバーランなどがないこ と を確認し て く だ さい。 これらが存在する場合は、 FortiGate やスイ ッ チの設定の調整が必要になっている可能性があ り ます。

ト ラ フ ィ ッ ク シ ェ ーピングを効率的に機能させるために、 次のルールを守るよう にし て く だ さい。

• すべてのフ ァ イアウォール ポ リ シーで ト ラ フ ィ ッ ク シ ェ ーピングを有効にして く だ さい。ポ リ シーに ト ラ フ ィ ッ ク シ ェーピングルールを適用し ない場合、そのポ リ シーは、 デフ ォル ト で高いプ ラ イオ リ テ ィ に設定されて し まいます。

• フ ァ イアウォール ポ リ シーを、 3 つのプ ラ イオ リ テ ィ キュー ( 低、 中、 高 ) のすべてに分散させて く だ さい。

すべてのフ ァ イアウォール ポ リ シーのすべての [Guaranteed Bandwidth] の合計が、 イ ン タ フ ェースの帯域幅容量を大幅に下回るよ う に し て く ださい。 FortiGateの ト ラ フ ィ ッ ク シ ェーピングの設定

フ ァ イアウォール ポ リ シーを設定する と きに、 ト ラ フ ィ ッ ク シ ェーピングの設定を有効にし て指定し ます。

トラフィック シェーピングを設定するには

1 [Firewall]、[Policy] の順に選択し ます。

2 新しいポ リ シーを作成する と き、 またはポ リ シーを編集する と きに、 [Traffic Shaping] オプシ ョ ンを選択し ます。

3 次の 3 つのオプシ ョ ンを設定し ます。

[Guaranteed Bandwidth]

ト ラ フ ィ ッ ク シ ェーピングを使用し て、 そのポ リ シーに対する フ ァ イアウォールで使用可能な帯域幅の量を保証し ます。 プ ラ イオ リ テ ィ の高いサービスに使用可能な十分な帯域幅が確保されるよ う に、 帯域幅 ( キロバイ ト 単位 ) を保証し ます。 すべてのフ ァ イアウォール ポ リシーの [Guaranteed Bandwidth] の総計が、 イ ン タ フ ェースの帯域幅容量を大幅に下回るよ う にし て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 237

238

ファイアウォール ポリシーの設定 ファイアウォール - ポリシー

IPSec のファイアウォール ポリシー オプション

[Action] が [IPSEC] に設定されている場合は、 次のオプシ ョ ンが使用できます。

図 124: IPSec 暗号化ポリシー

詳細については、 『FortiGate IPSec VPN ユーザ ガイ ド 』 の 「フ ァ イアウォール暗号化ポ リ シーの定義」 の章を参照し て く だ さい。

[Maximum Bandwidth]

ト ラ フ ィ ッ ク シ ェーピングを使用し て、 そのポ リ シーに対する フ ァ イアウォールで使用可能な帯域幅の量を制限し ます。 重要性の低いサービスが、 よ り重要なサービスに必要な帯域幅を使って し まわないよ うにするために、 帯域幅を制限し ます。

[Traffic Priority] [High]、 [Medium]、 または [Low] を選択し ます。 [Traffic Priority] を選択し て、 FortiGate ユニ ッ ト で、 異なる種類の ト ラ フ ィ ッ ク間の相対的なプ ラ イオ リ テ ィ を管理するよ う にし ます。 た と えば、 電子商取引 ト ラフ ィ ッ クのサポー ト に必要なセキュアな Web サーバに接続するためのポ リ シーには、 高い ト ラ フ ィ ッ ク プ ラ イオ リ テ ィ を割り当てる必要があり ます。 重要性の低いサービスには、 低いプ ラ イオ リ テ ィ を割り当てる必要があり ます。 フ ァ イアウォールは、 プ ラ イオ リ テ ィ の高い接続に帯域幅を割り当てる必要がない場合にのみ、 プ ラ イオ リ テ ィ の低い接続に帯域幅を提供し ます。すべてのフ ァ イアウォール ポ リ シーで ト ラ フ ィ ッ ク シ ェーピングを有効にするよ う にし て く だ さ い。 ポ リ シーに ト ラ フ ィ ッ ク シ ェーピングルールを適用し ない場合、 そのポ リ シーは、 デフ ォル ト で高いプ ライオ リ テ ィ に設定されて し まいます。フ ァ イアウォール ポ リ シーを、 3 つのプ ラ イオ リ テ ィ キューのすべてに分散させて く だ さ い。

注記 : 保証帯域幅と 大帯域幅の両方を 0 ( ゼロ ) に設定し た場合、 そのポ リシーではどの ト ラ フ ィ ッ ク も許可されません。

[VPN Tunnel] フ ェーズ 1 の設定で定義された VPN ト ンネルの名前を選択し ます。指定された ト ンネルは、 このフ ァ イアウォール暗号化ポリ シーに従います。

[Allow Inbound] リ モー ト プ ラ イベー ト ネ ッ ト ワーク上のダイヤルア ッ プ ク ラ イアン ト またはコ ンピ ュータからの ト ラ フ ィ ッ ク で、 ト ンネルを開始できるよ う にする場合に選択し ます。

[Allow outbound] ローカル プ ラ イベー ト ネ ッ ト ワーク上のコ ンピ ュータからの ト ラフ ィ ッ ク で ト ンネルを開始できるよ う にする場合に選択し ます。

[Inbound NAT] 暗号化解除された受信パケ ッ ト の発信元 IP ア ド レスを、 ローカル プラ イベー ト ネ ッ ト ワークの FortiGate イン タ フ ェースの IP ア ド レスに変換する場合に選択し ます。

[Outbound NAT] 送信のク リ ア テキス ト パケ ッ ト の発信元ア ド レスを、指定し た IP アド レスに変換するために、 CLI の natip 値と組み合わせて選択し ます。 CLI で natip 値を指定し ていない限り、 [Outbound NAT] を選択し ないで く だ さい。 natip 値が指定されている場合、 送信 IP パケ ット の発信元ア ド レスは、それらのパケ ッ ト が ト ンネルを経由し て送信される前に置き換えられます。詳細については、『FortiGate CLI リ フ ァレンス』 の 「フ ァ イアウォール」 の章を参照し て く だ さい。

注記 : ルー ト ベース ( イン タ フ ェース モー ド ) の IPSec ト ンネルは、 ト ンネル モー ドのIPSec ト ンネルとは別の方法で設定されます。 ト ンネル モー ドの "IPSEC" フ ァ イアウォール暗号化ポ リ シーを定義する こ と で、 VPN 接続を許可し、 ト ンネルを経由し た IPト ラ フ ィ ッ ク を制御するのではな く 、 ルー ト ベースの VPN ト ンネルを IPSec 仮想イン タフ ェースにバイン ド し た後、 その IPSec 仮想イン タ フ ェースを通常の (ACCEPT またはDENY) フ ァ イアウォール ポリ シーの発信元または宛先イ ン タ フ ェース と し て指定し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの設定

SSL-VPN のファイアウォール ポリシー オプション

[Action] が [SSL-VPN] に設定されている場合は、 次のオプシ ョ ンが使用できます。

図 125: SSL VPN 暗号化ポリシー

SSL VPN ユーザのためのフ ァ イアウォール暗号化ポ リ シーを作成する方法については、 『FortiGate SSL VPN ユーザ ガイ ド 』 の 「SSL VPN の管理タ ス ク」 の章を参照し て く だ さい。

ホスト上の FortiClient を確認するためのオプション

FortiGate モデル 1000A、 3600A、 および 5005FA2 の場合は、 FortiClient Host Security ソ フ ト ウ ェ アを イ ンス ト ールし ておらず動作させていないホス ト のアクセスを フ ァ イアウォール ポ リ シーで拒否できます。 この機能では、 FortiClient ソフ ト ウ ェ ア バージ ョ ン 3.0 MR2 以降を検出できます。

注記 : [SSL-VPN] オプシ ョ ンは、 1 つ以上の SSL VPN ユーザ グループを作成し た後、[Action] リ ス ト から使用できます。 ユーザ アカウン ト および SSL VPN ユーザ グループを作成するには、 352 ページの 「SSL VPN ユーザ グループのオプシ ョ ンの設定」 を参照して く だ さい。

[SSL Client Certificate Restrictive]

( 共有されている ) グループ証明書の所有者が生成し た ト ラ フ ィ ッ ク を許可し ます。 グループ証明書の所有者は SSL VPN ユーザ グループのメ ンバである必要があ り、 そのユーザ グループの名前が [Allowed] フ ィ ールド に存在する必要があ り ます。

[Cipher Strength] 次のいずれかのオプシ ョ ンを選択し て、 使用する SSL 暗号化のレベルを決定し ます。 リ モー ト ク ラ イアン ト 上の Web ブ ラウザが、 選択するレベルに一致し ている必要があ り ます。

• 任意の暗号スイー ト を使用するには、 [Any] を選択し ます。

• 164 ビ ッ ト 以上の暗号スイー ト を使用するには、 [High >= 164] を選択し ます。

• 128 ビ ッ ト 以上の暗号スイー ト を使用するには、 [Medium >= 128] を選択し ます。

[User Authentication Method]

次のいずれかのオプシ ョ ンを選択し ます。

• このフ ァ イアウォール ポ リ シーに結び付けられるユーザ グループがローカル ユーザ グループである場合は、 [Local] を選択し ます。

• リ モー ト ク ラ イアン ト が外部の RADIUS サーバで認証される場合は、 [Radius] を選択し ます。

• リ モー ト ク ラ イアン ト が外部の LDAP サーバで認証される場合は、[LDAP] を選択し ます。

• 上のすべての認証方法を有効にするには、 [Any] を選択し ます。[Local] が 初に試行され、 次に [Radius]、 [LDAP] の順に試行されます。

[Available Groups] SSL VPN アクセスが必要なユーザ グループの名前を選択し てから、 右矢印を押し て く だ さい。 選択し たユーザ グループのすべてのメ ンバのアクセス要件が同じ でない限り、 複数のユーザ グループを選択し てはいけません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 239

240

ファイアウォール ポリシーの例 ファイアウォール - ポリシー

図 126: FortiClient Host Security の確認オプション

ファイアウォール ポリシーの例

FortiGate ユニ ッ ト は、 自宅での使用から、 SOHO、 さ らには大規模企業や ISP までのさ まざまなネ ッ ト ワーク要件を完全に満たすこ とができます。 次の 2 つのシナ リ オでは、 SOHO および大規模企業環境における フ ァ イアウォール ポリ シーの実際的な応用を示し ます。

これらの 2 つの例の詳細については、 FortiOS v3.0 MR2 のマニュアルにある 『ライブ ラ リ ネ ッ ト ワークの例』 および 『SOHO および SMB のネ ッ ト ワーク保護』のサンプル ガイ ド を参照し て く だ さい。

• シナ リ オ 1: SOHO 規模の企業

• シナ リ オ 2: 大規模企業

シナリオ 1: SOHO 規模の企業

企業 A は、 開発を行い、 カス タ マ サポー ト を提供し ている小規模なソ フ ト ウ ェア会社です。 15 台のコ ンピ ュータから成る内部ネ ッ ト ワークに加えて、 フルタイムまたはパー ト タ イムで自宅で作業を行う複数の従業員も抱えています。

[Check FortiClient is Installed and Running]

発信元ホス ト が FortiClient Host Security ソ フ ト ウェ アを動作させている こ と を確認する場合に選択し ます。 必要に応じ て、 以下の理由でアクセス拒否を有効にし ます。

• [FortiClient is Not Installed] (FortiClient がインス ト ールされていない )

• [FortiClient is Not Licensed] (FortiClient がラ イセンス されていない )

• [AV/IPS Database Out-of-Date] (AV/IPS データ ベースが期限切れになっている )

• [AV Disabled] (AV が無効になっている )

• [Firewall Disabled] ( フ ァ イアウォールが無効になっている )

• [Web Filter Disabled] (Web フ ィ ルタが無効になっ ている)

[Redirect Restricted Users to FortiGate Download Portal]

拒否されたユーザを、 拒否の理由を表示する内部の Webポータルに リ ダイ レ ク ト する場合に選択し ます。 この機能をサポー ト し ているユニ ッ ト の場合、 ユーザはFortiClient Host Security ソ フ ト ウ ェ アをダウンロー ド できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの例

現在のネ ッ ト ワーク ト ポロジでは、 15 台の内部コ ンピ ュータのすべてがルータの背後に配置されているため、 IP メ ール サーバや Web サーバにアクセスするには外部ソースに移動する必要があ り ます。自宅作業従業員はすべて、セキュ リ テ ィ保護されていない、 オープンな コネク シ ョ ンを介し てルータにアクセス し ます。

図 127: FortiGate をインストールする前の SOHO ネットワークの例

企業 A には、 自宅作業者のためのセキュアな接続が必要です。 他の多 く の企業と同様に、 この企業も、 ビジネスの遂行を電子メ ールやイン ターネ ッ ト アクセスに大き く 依存し ています。 この企業は、 ネ ッ ト ワーク攻撃を検出および阻止し、 ウイルスをブロ ッ ク し、 スパムを減らすための総合的なセキュ リ テ ィ ソリ ューシ ョ ンを望んでいます。 また、 異なる部門に対し て異なる保護設定を適用したいと考えています。 さ らに、 Web サーバおよび電子メ ール サーバをそのセキュ リ テ ィ ソ リ ューシ ョ ンに統合する こ と も希望し ています。

初の要件に対処し て、 自宅作業者と内部ネ ッ ト ワークの間のセキュアな通信を保証するするために、企業 A は、自宅作業者ご とに個別のポ リ シーを設定し ます。

1 [Firewall]、[Policy] の順に選択し ます。

2 [Create New] を選択し、 Home_User_1 のための次の設定を入力または選択し ます。

[Interface/Zone] Source:internal Destination: wan1

[Address Name] Source: CompanyA_Network

Destination: Home_User_1

[Schedule] Always

[Service] ANY

[Action] IPSEC

[VPN Tunnel] Home1

[Allow Inbound] オン

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 241

242

ファイアウォール ポリシーの例 ファイアウォール - ポリシー

3 [OK] を選択し ます。

4 [Create New] を選択し、 Home_User_2 のための次の設定を入力または選択し ます。

5 [OK] を選択し ます。

図 128: FortiGate-100 を使用した SOHO ネットワーク トポロジ

[Allow outbound] オン

[Inbound NAT] オン

[Outbound NAT] オフ

[Protection Profile] [standard_profile] を有効にし て選択する

[Interface/Zone] Source:internal Destination: wan1

[Address Name] Source: CompanyA_network

Destination:All

[Schedule] Always

[Service] ANY

[Action] IPSEC

[VPN Tunnel] Home2_Tunnel

[Allow Inbound] オン

[Allow outbound] オン

[Inbound NAT] オン

[Outbound NAT] オフ

[Protection Profile] [standard_profile] を有効にし て選択する

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの例

提案されたネ ッ ト ワークは、 ForitGate 100A ユニ ッ ト に基づいています。 15 台の内部コ ンピ ュータは、 FortiGate ユニ ッ ト の背後に配置されています。 これらのコ ンピ ュータは現在、 DMZ 内にある電子メ ール サーバおよび Web サーバ ( 同様に、 FortiGate ユニ ッ ト の背後に配置されている ) にアクセス し ます。 すべての自宅作業従業員が、 VPN ト ンネルを経由し て、 FortiGate ユニ ッ ト を介し てオフ ィ ス ネ ッ ト ワークにアクセスするよ う にな り ま し た。

シナリオ 2: 大規模企業

大都市に位置する図書館システムは、 人口の大多数にサービスを提供し ている都市中心部の本館を主体とする と と もに、 10 数の分館が市内全域に分散し ています。 各分館はイ ン ターネ ッ ト に接続されていますが、 専用の接続によ っ て互いにリ ン ク されている と こ ろは 1 つもあ り ません。

本館の現在のネ ッ ト ワーク ト ポロジは、 3 つのユーザ グループで構成されています。 本館職員や公共端末は、 フ ァ イアウォールの背後に位置する DMZ 内のサーバにア クセス し ます。 カ タ ログ アクセス端末は、 フ ァ イアウォールを経由する こ と な く 、 直接カ タ ログ サーバにアクセス し ます。

すべての分館の ト ポロジに、 本館にあるサーバに、 セキュ リ テ ィ 保護されていないイン ターネ ッ ト 接続を介し てアクセスする 3 ユーザが存在し ます。

図 129: 図書館システムの現在のネットワーク トポロジ

図書館は、 利用者と職員に対し て異なるアクセス レベルを設定でき る必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 243

244

ファイアウォール ポリシーの例 ファイアウォール - ポリシー

本館職員のための 初のフ ァ イアウォール ポ リ シーでは、 イ ン ターネ ッ ト への常時フル アクセスを許可し ます。 2 番目のポ リ シーでは、 職員の DMZ への直接アクセスを許可し ます。 分館職員にこれと同じ アクセスを許可するために、 ポ リシーの 2 番目のペアが必要です。

職員のすべてのフ ァ イアウォール ポ リ シーで、 職員のア クセス専用に設定されたプロテ ク シ ョ ン プロ フ ァ イルを使用し ます。 有効にな っている機能には、 ウイルス スキャ ン、 スパム フ ィ ルタ リ ング、 IPS、 およびすべての P2P ト ラフ ィ ッ クのブロ ッ キングが含まれます。 また、 ア ドバタ イズ、 マルウ ェ ア、 およびスパイウ ェ ア サイ ト をブロ ッ クするために、 FortiGuard Web フ ィ ルタ リ ングも使用されます。

Web サーバやカ タ ログ サーバの設定方法によ っては、 サーバに関する情報を更新するために、 一部のユーザにこれらのサーバへの特殊なアクセスが必要になる可能性があ り ます。 この特殊なアクセスは、 IP ア ド レスまたはユーザに基づいて許可されます。

提案された ト ポロジの場合、 本館職員と カ タ ログ アクセス端末は、 Fortigate HAク ラス タ を経由し て、 DMZ 内のサーバにアクセス し ます。 公共のアクセス端末は、 初に ForitWiFi ユニ ッ ト を経由し て ( こ こ で、 追加のポ リ シーを適用できます ) HA ク ラス タにア クセス し、 後にサーバに到達し ます。

分館では、 3 ユーザがすべて、 VPN ト ンネルを経由し て、 ForitWiFi ユニ ッ ト を介し て本館にルーテ ィ ング されます。

図 130: 提案された図書館システムのネットワーク トポロジ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - ポリシー ファイアウォール ポリシーの例

ポ リ シーは、 [Firewall]、[Policy] で設定されます。 プロテク シ ョ ン プロ フ ァ イルは、 [Firewall]、[Protection Profile] で設定されます。

本館の " 職員から イ ン ターネ ッ ト への " ポ リ シー :

本館の " 職員から DMZ への " ポ リ シー :

分館の " 職員から イ ン ターネ ッ ト への " ポ リ シー :

分館の " 職員から DMZ への " ポ リ シー :

これらの例の詳細については、 次の資料を参照し て く だ さい。

• 『SOHO および SMB の設定サンプル ガイ ド』

• 『FortiGate の大規模企業の設定例』

これらの資料は、 http://docs.forticare.com の FortiGate のセクシ ョ ンにあ り ます。

発信元インタフェース Internal

発信元アドレス All

宛先インタフェース External

宛先アドレス All

[Schedule] Always

[Action] Accept

発信元インタフェース Internal

発信元アドレス All

宛先インタフェース DMZ

宛先アドレス サーバ

[Schedule] Always

[Action] Accept

発信元インタフェース 分館

発信元アドレス 分館職員

宛先インタフェース External

宛先アドレス All

[Schedule] Always

[Action] Accept

発信元インタフェース 分館

発信元アドレス 分館職員

宛先インタフェース DMZ

宛先アドレス サーバ

[Schedule] Always

[Action] Accept

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 245

246

ファイアウォール ポリシーの例 ファイアウォール - ポリシー

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - アドレス ファイアウォール アドレスについて

F0

ファイアウォール - アドレス必要に応じ て、 フ ァ イアウォール ア ド レスを追加、 編集、 および削除し ます。フ ァ イアウォール ア ド レスは、 フ ァ イアウォール ポ リ シーの発信元および宛先ア ド レス フ ィ ールド に追加されます。 フ ァ イアウォール ア ド レスは、 FortiGateユニ ッ ト が受信し たパケ ッ ト の発信元または宛先 IP ア ド レスを照合するためにフ ァ イアウォール ポ リ シーに追加されます。

この項には以下の ト ピ ッ クが含まれています。

• フ ァ イアウォール ア ド レスについて

• フ ァ イアウォール ア ド レス リ ス ト の表示

• ア ド レスの設定

• ア ド レス グループ リ ス ト の表示

• ア ド レス グループの設定

ファイアウォール アドレスについて

フ ァ イアウォール ア ド レスには、 次のものがあ り ます。

• 単一のコ ンピ ュータの IP ア ド レス ( た と えば、 192.45.46.45)

• サブネ ッ ト ワークの IP ア ド レス ( たと えば、ク ラ ス C のサブネ ッ ト の場合は、192.168.1.0)

• 可能性のあるすべての IP ア ド レスを表す場合は、 0.0.0.0

ネ ッ ト マス クは、 追加されるア ド レスの種類に対応し ます。 た と えば、 次のよ うに し ます。

• 単一のコ ンピ ュータの IP ア ド レスに対するネ ッ ト マスクは、255.255.255.255 にし て く だ さい。

• ク ラ ス A のサブネ ッ ト に対するネ ッ ト マスクは、 255.0.0.0 に し て く だ さい。

• ク ラ ス B のサブネ ッ ト に対するネ ッ ト マス クは、 255.255.0.0 にし て く だ さい。

• ク ラ スCのサブネ ッ ト に対するネ ッ ト マスクは、255.255.255.0に し て く ださい。

• すべてのア ド レスに対するネ ッ ト マス クは、 0.0.0.0 に し て く だ さい。

[IP Range] のア ド レスは、 次のものを表し ます。

• サブネ ッ ト 内の IP ア ド レスの範囲 ( た と えば、 192.168.20.1 ～ 192.168.20.10)

ポ リ シーの作成を簡略化するには、 関連するア ド レスをア ド レス グループに構成し ます。

フ ァ イアウォール ア ド レスは、 名前、 IP ア ド レス、 およびネ ッ ト マスク を使用するか、 または名前と IP ア ド レス範囲を使用し て設定できます。 また、 完全修飾ド メ イ ン名 (FQDN) にする こ と も できます。

注記 : IP ア ド レス : 0.0.0.0 と ネ ッ ト マスク : 255.255.255.255 は、 有効なフ ァ イアウォール ア ド レスではあり ません。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 247

248

ファイアウォール アドレス リストの表示 ファイアウォール - アドレス

IP ア ド レス と ネ ッ ト マス クは、 次の形式を使用し て入力し ます。

• x.x.x.x/x.x.x.x ( た と えば、 192.168.1.0/255.255.255.0)

• x.x.x.x/x ( た と えば、 192.168.1.0/24)

IP ア ド レス範囲は、 次の形式を使用し て入力し ます。

• x.x.x.x-x.x.x.x、 た と えば 192.168.110.100-192.168.110.120

• x.x.x.[x-x]、 たと えば 192.168.110.[100-120]

• x.x.x.* ( た と えば、 サブネ ッ ト 上のすべてのア ド レスを表すには、192.168.110.*)

[IP/Mask] のア ド レスは、 次のものを表すこ とができます。

• サブネ ッ ト のア ド レス ( た と えば、 ク ラス C のサブネ ッ ト の場合は、IP ア ド レス : 192.168.20.0 と ネ ッ ト マス ク : 255.255.255.0)

• 単一の IP ア ド レス ( た と えば、 IP ア ド レス : 192.168.20.1 と ネ ッ ト マス ク : 255.255.255.255)

• 可能性のあるすべてのIPア ド レス (IPア ド レス: 0.0.0.0と ネ ッ ト マスク: 0.0.0.0で表される )

FQDN は、 次の形式を使用し て入力し ます。

• <host_name>.<second_level_domain_name>.<top_level_domain_name>

• <host_name>.<top_level_domain_name>

FQDN の例を次に示し ます。

• www.fortinet.com

• example.com

ファイアウォール アドレス リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 ア ド レスはバーチャル ド メ イ ンご とに別々に設定されます。 ア ド レスにアクセスするには、 メ イ ン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

リ ス ト にア ド レスを追加し た り、 既存のア ド レスを編集し た り し ます。 FortiGateユニ ッ ト には、 ネ ッ ト ワーク上のすべての IP ア ド レスを表す、 デフ ォル ト の "All" ア ド レスが標準で設定されています。 リ ス ト 内のア ド レスは、 [IP/Mask]、[IP Range]、 および [FQDN] の種類ご とに並べられています。

ア ド レス リ ス ト を表示するには、 [Firewall]、[Address] の順に選択し ます。

図 131: サンプルのアドレス リスト

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - アドレス アドレスの設定

ア ド レス リ ス ト には、 次のアイ コ ン と機能が用意されています。

アドレスの設定

ア ド レスはまた、 フ ァ イアウォール ポ リ シーの設定中に、 フ ァ イアウォール ポリ シー ウ ィ ン ド ウから作成または編集する こ と も できます。

負荷分散と HA を実現するために、 1 つの FQDN を複数のマシンにマ ッ プできます。 1 つの FQDN フ ァ イアウォール ポリ シーを作成し、 その FQDN で解決されるすべてのア ド レスのレ コー ド が、 FortiGate ユニ ッ ト で自動的に解決および保持されるよ う にする こ とができます。

IP ア ド レス、 IP 範囲、 または FQDN を追加するには、 [Firewall]、[Address] の順に選択し、 [Create New] を選択し ます。

図 132: 新しいアドレスまたは IP 範囲のオプション

[Create New] フ ァ イアウォール ア ド レスを追加する場合に選択し ます。

[Name] フ ァ イアウォール ア ド レスの名前。

[Address/FQDN] IP ア ド レス と マスク、 IP ア ド レス範囲、 または完全修飾ド メ イン名。

削除アイコン リ ス ト から このア ド レスを削除する場合に選択し ます。 削除アイ コ ンは、 このア ド レスがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ使用できます。

編集アイコン [Name]、 [Type]、 および [Subnet/IP Range] の情報を編集する場合に選択し ます。

!注意 : フ ァ イアウォール ポリ シーでの完全修飾ド メ イ ン名の使用は、 便利である一方で、ある程度のセキュ リ テ ィ 上のリ スクが存在し ます。 この機能を使用する場合は、 十分に注意し て く だ さい。

[Address Name] フ ァ イアウォール ア ド レスを識別する名前を入力し ます。 フ ァ イアウォール ポ リ シー内での混乱を避けるために、 ア ド レス、 ア ド レス グループ、 および仮想 IP には一意の名前を付ける必要があり ます。

[Type] ア ド レスの種類を [Subnet/IP Range] または [FQDN] から選択し ます。

[Subnet/IP Range]

フ ァ イアウォールの IP ア ド レス、 フ ォワー ド スラ ッ シュ、 およびサブネ ッ ト マスク を入力するか、 または IP ア ド レス範囲をハイ フ ンで区切って入力し ます。

[Interface] この IP ア ド レスを関連付けるイ ン タ フ ェースまたはゾーンを選択し ます。 ポ リ シーの作成時に IP ア ド レスを イ ン タ フ ェース / ゾーンに関連付ける場合は、 [Any] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 249

250

アドレス グループ リストの表示 ファイアウォール - アドレス

アドレス グループ リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 ア ド レス グループはバーチャル ド メ イ ンご とに別々に設定されます。 ア ド レス グループにアクセスするには、 メ イン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

ポ リ シーの設定を容易にするには、 関連するア ド レスをア ド レス グループに構成し ます。 たと えば、 3 つのア ド レスを追加し、 それら を同じ ア ド レス グループに設定し た後、 それら 3 つのア ド レスすべてに対する設定を、 1 つのポ リ シーで設定する こ とができます。

ア ド レス グループ リ ス ト を表示するには、 [Firewall]、[Address]、[Group] の順に選択し ます。

図 133: サンプルのアドレス グループ リスト

ア ド レス グループ リ ス ト には、 次のアイ コ ン と機能が用意されています。

アドレス グループの設定

ア ド レス グループは、 フ ァ イアウォールの設定中に、 [Address] ド ロ ッ プダウン リ ス ト から [Create New] を選択する こ とによ っ て作成できます。

ア ド レスをア ド レス グループに構成するには、 [Firewall]、[Address]、[Group] の順に選択し ます。

注記 : ア ド レス グループがポ リ シーに含まれている場合は、 まずそのポ リ シーから削除されないない限り、 そのア ド レス グループを削除できません。

[Create New] ア ド レス グループを追加する場合に選択し ます。

[Group Name] ア ド レス グループの名前。

[Members] ア ド レス グループ内のア ド レス。

削除アイコン リ ス ト から このグループを削除する場合に選択し ます。 削除アイ コ ンは、 このア ド レス グループがフ ァ イアウォール ポリ シーで使用されていない場合にのみ使用できます。

編集アイコン [Group Name] や [Members] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - アドレス アドレス グループの設定

図 134: アドレス グループのオプション

[Group Name] ア ド レス グループを識別する名前を入力し ます。 フ ァ イアウォール ポ リ シー内での混乱を避けるために、 ア ド レス、 ア ド レス グループ、および仮想 IP には一意の名前を付ける必要があり ます。

[Available Addresses]

設定済みのフ ァ イアウォール ア ド レス とデフ ォル ト のフ ァ イアウォール ア ド レスのリ ス ト 。 リ ス ト 間でア ド レスを移動するには、 矢印を使用し ます。

[Members] グループ内のア ド レスのリ ス ト 。 リ ス ト 間でア ド レスを移動するには、矢印を使用し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 251

252

アドレス グループの設定 ファイアウォール - アドレス

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - サービス 定義済みサービス リストの表示

F0

ファイアウォール - サービスフ ァ イアウォールで許可または拒否する通信の種類を決定するには、 サービスを使用し ます。 任意の定義済みサービスをポ リ シーに追加でき るほか、 バーチャル ド メ イ ンご とにカス タム サービスを作成し てサービス グループに追加する こ ともできます。

この項には以下の ト ピ ッ クが含まれています。

• 定義済みサービス リ ス ト の表示

• カス タム サービス リ ス ト の表示

• カス タム サービスの設定

• サービス グループ リ ス ト の表示

• サービス グループの設定

定義済みサービス リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっ ている場合、 定義済みサービスはグローバルに使用できます。

定義済みサービス リ ス ト を表示するには、 メ イ ン メ ニューで [Global Configuration] を選択し、 [Firewall]、[Service] の順に選択し ます。

図 135: 定義済みサービス リスト

定義済みサービス リ ス ト には、 次のアイ コ ン と機能が用意されています。

[Name] 定義済みサービスの名前。

[Detail] 各定義済みサービスのプロ ト コル。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 253

254

定義済みサービス リストの表示 ファイアウォール - サービス

表 32 は、 FortiGate の定義済みフ ァ イアウォール サービスを示し ています。 これらのサービスを任意のポ リ シーに追加し て く ださい。

表 32: FortiGate 定義済みサービス

サービス名 説明 プロトコル ポート

AH Authentication Header ( 認証ヘ ッ ダ )。AH によ って、 発信元ホス ト の認証やデータの整合性が実現されますが、 秘密性は実現されません。 このプロ ト コルは、 アグレ ッ シブモー ド に設定されたIPSec リ モー ト ゲー トウェ イが認証のために使用し ます。

51

ANY 任意のポー ト 上の接続を照合し ます。 任意の定義済みサービスを使用する接続がフ ァ イアウォールの通過を許可されます。

すべて すべて

AOL AOL インス タ ン ト メ ッ センジャー プロ トコル。

TCP 5190-5194

BGP Border Gateway Protocol ルーテ ィ ング プロ ト コル。 BGP は、 内部 / 外部ルーテ ィング プロ ト コルです。

TCP 179

DHCP DHCP (Dynamic Host Configuration Protocol) は、 ネ ッ ト ワーク ア ド レスを割り当てる と共に、 設定パラ メ ータ を DHCPサーバからホス ト に配信し ます。

UDP 67

DNS ド メ イ ン名を IP ア ド レスに変換するための Domain Name Service ( ド メ イ ン ネーム サービス )。

TCP 53

UDP 53

ESP Encapsulating Security Payload。 このサービスは、 暗号化されたデータ を通信するために、 手動キーおよび AutoIKE VPN トンネルによ って使用されます。 AutoIKEキー VPN ト ンネルは、 IKE を使用し て トンネルを確立し た後、 ESP を使用し ます。

50

FINGER ユーザに関する情報を提供するネ ッ トワーク サービス。

TCP 79

FTP フ ァ イルを転送するための FTP サービス。 TCP 21

FTP_GET フ ァ イルをア ッ プロー ド するための FTPサービス。

TCP 21

FTP_PUT フ ァ イルをダウンロー ド するための FTPサービス。

TCP 21

GOPHER Gopher 通信サービス。 Gopher は、 インターネ ッ ト サーバの内容を、 階層的に構造化されたフ ァ イルのリ ス ト と し て構成し、 表示し ます。

TCP 70

GRE Generic Routing Encapsulation。 GRE パケ ット 内のプロ ト コルのパケ ッ ト を カプセル化する こ と によ って、 任意のネ ッ ト ワーク プロ ト コルを他の任意のネ ッ ト ワーク プロ ト コルを介し て転送でき るよ う にするプロ ト コル。

47

H323 H.323 マルチ メ デ ィ ア プロ ト コル。 H.323は、 ネ ッ ト ワークにわたるオーデ ィ オ ビジュアル会議データの転送方法を規定しているITU (International Telecommunication Union) によ っ て承認された標準です。 詳細については、 『FortiGate H.323 サポー ト テ クニカル ノ ー ト 』 を参照し て く だ さい。

TCP 1720, 1503

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - サービス 定義済みサービス リストの表示

HTTP HTTP は、 Web ページのデータ を転送するために、 WWW (Word Wide Web) によ って使用されるプロ ト コルです。

TCP 80

HTTPS Web サーバとのセキュアな通信のための、SSL (Secure Socket Layer) サービスを備えた HTTP。

TCP 443

ICMP_ANY Internet Control Message Protocol は、 ホスト とゲー ト ウェ イ ( イン ターネ ッ ト ) の間のメ ッ セージ制御およびエラー報告プロト コルです。

ICMP

IKE IKE は、 IPSEC の ISAKMP で使用する認証されたキー作成材料を取得するためのプロ ト コルです。

UDP 500

IMAP Internet Message Access Protocol は、 電子メ ール メ ッ セージを取得するために使用されるプロ ト コルです。

TCP 143

INFO_ADDRESS ICMP の情報要求メ ッ セージ。 ICMP 17

INFO_REQUEST ICMP のア ド レス マスク要求メ ッ セージ。 ICMP 15

IRC Internet Relay Chat を使用する と、 ユーザはラ イブ デ ィ スカ ッ シ ョ ンに参加するためにイ ン ターネ ッ ト に接続できます。

TCP 6660-6669

Internet-Locator-Service

Internet Locator Service には、 LDAP、User Locator Service、 および LDAP over TLS/SSL が含まれます。

TCP 389

L2TP L2TP は、 リ モー ト ア クセスのためのPPP ベースの ト ンネル プロ ト コルです。

TCP 1701

LDAP Lightweight Directory Access Protocol は、情報デ ィ レ ク ト リ にアクセスするために使用される一連のプロ ト コルです。

TCP 389

NFS Network File System ( ネ ッ ト ワーク フ ァ イル システム ) を使用する と、 ネ ッ ト ワーク ユーザは、 異なる種類のコ ンピ ュータ上に格納された共有フ ァ イルにアクセスできます。

TCP 111, 2049

NNTP Network News Transport Protocol は、USENETメ ッ セージを投稿、 配布、 および取得するために使用されるプロ ト コルです。

TCP 119

NTP コ ンピ ュータの時刻を タ イム サーバと同期するためのネ ッ ト ワーク タ イム プロ トコル。

TCP 123

NetMeeting NetMeeting を使用する と、 ユーザは、 イン ターネ ッ ト を転送媒体と し て使用し て遠隔会議する こ とができます。

TCP 1720

OSPF OSPF (Open Shortest Path First) ルーテ ィング プロ ト コル。 OSPF は、 一般的な リン ク状態ルーテ ィ ング プロ ト コルです。

89

PC-Anywhere PC-Anywhere は、 リ モー ト 制御およびフ ァ イル転送プロ ト コルです。

UDP 5632

PING 他のデバイスへの接続をテス ト するための、 ICMP のエ コー要求 / 応答。

ICMP 8

POP3 Post Office Protocol は、 POP3 サーバから電子メ ールをダウンロー ド するための電子メ ール プロ ト コルです。

TCP 110

表 32: FortiGate 定義済みサービス ( 続き )

サービス名 説明 プロトコル ポート

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 255

256

定義済みサービス リストの表示 ファイアウォール - サービス

PPTP Point-to-Point Tunneling Protocol は、 企業が独自の企業ネ ッ ト ワーク をパブ リ ッ ク イ ン ターネ ッ ト 上のプ ラ イベー ト ト ンネルを通し て拡張でき るよ う にするプロ トコルです。

TCP 1723

QUAKE 普及し ている Quake マルチプレーヤー コンピュータ ゲームで使用される接続のためのサービス。

UDP。 26000, 27000, 27910, 27960

RAUDIO ス ト リー ミ ング リ アル オーデ ィ オ マルチメ デ ィ ア ト ラ フ ィ ッ クのためのサービス。

UDP 7070

RIP Routing Information Protocol は、 一般的な距離ベク ト ル ルーテ ィ ング プロ ト コルです。

UDP 520

RLOGIN サーバにリ モー ト でログイ ンするためのRlogin サービス。

TCP 513

SAMBA Samba を使用する と、Microsoft Windows クラ イアン ト は、 TCP/IP が有効なホス ト のフ ァ イルと印刷サービスを利用できます。

TCP 139

SIP Session Initiation Protocol は、 ネ ッ ト ワークにわたるオーデ ィ オ ビジュアル会議データの転送方法を規定し ています。 詳細については、 『FortiGate SIP サポー ト テクニカル ノ ー ト 』 を参照し て く だ さい。

UDP 5060

SIP-MSNmessenger

Session Initiation Protocol は、 イン タ ラ クテ ィ ブな ( 一般には ) マルチ メ デ ィ ア セ ッ シ ョ ンを開始するために、 Microsoft Messenger によ って使用されます。

TCP 1863

SMTP Simple Mail Transfer Protocol は、 イン ターネ ッ ト 上の電子メ ール サーバ間で メ ールを送信するために使用されます。

TCP 25

SNMP Simple Network Management Protocol は、複雑なネ ッ ト ワーク を管理するための一連のプロ ト コルです。

TCP 161-162

UDP 161-162

SSH Secure Shell は、 リ モー ト 管理を行う ための、 コ ンピュータへのセキュアな接続のためのサービスです。

TCP 22

UDP 22

SYSLOG リ モー ト ロギングのためのSyslogサービス。 UDP 514

TALK 2 ユーザ以上の間の会話をサポー ト するプロ ト コル。

UDP 517-518

TCP すべての TCP ポー ト 。 TCP 0-65535

TELNET コ マ ン ド を実行するために リ モー ト コ ンピ ュータに接続するためのTelnetサービス。

TCP 23

TFTP Trivial File Transfer Protocol は単純な フ ァイル転送プロ ト コルであり、 FTP に似ていますが、 セキュ リ テ ィ 機能はあり ません。

UDP 69

TIMESTAMP ICMP のタ イムス タ ンプ要求メ ッ セージ。 ICMP 13

UDP すべての UDP ポー ト 。 UDP 0-65535

UUCP 単純なフ ァ イル コ ピー プロ ト コルである、 UNIX to UNIX Copy ユーテ ィ リ テ ィ 。

UDP 540

VDOLIVE VDO Live ス ト リー ミ ング マルチ メ デ ィ ア ト ラ フ ィ ッ クのためのサービス。

TCP 7000-7010

WAIS Wide Area Information Server は、 イ ン ターネ ッ ト 検索プロ ト コルです。

TCP 210

表 32: FortiGate 定義済みサービス ( 続き )

サービス名 説明 プロトコル ポート

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - サービス カスタム サービス リストの表示

カスタム サービス リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっ ている場合、 カス タム サービスはバーチャル ド メ インご とに別々に設定されます。 カス タム サービスにア クセスするには、 メ イ ン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

定義済みサービス リ ス ト にないサービスに対するポ リ シーを作成するには、 カス タム サービスを追加し ます。

カス タム サービス リ ス ト を表示するには、 [Firewall]、[Service]、[Custom] の順に選択し ます。

図 136: カスタム サービス リスト

カス タム サービス リ ス ト には、 次のアイ コ ン と機能が用意されています。

カスタム サービスの設定

カス タム サービスは、 フ ァ イアウォール ポ リ シーの設定中に、 [Service] ド ロ ップダウン リ ス ト から [Create New] を選択する こ とによ っ て作成できます。

TCP または UDP カスタム サービスを追加するには

1 [Firewall]、[Service]、[Custom] の順に選択し ます。

2 [Protocol Type] を [TCP/UDP] に設定し ます。

3 次のオプシ ョ ンを設定し ます。

WINFRAME Windows NT を実行し ている コ ンピ ュータ間の WinFrame 通信のためのサービス。

TCP 1494

X-WINDOWS X-Window サーバと X-Window ク ラ イアント の間のリ モー ト 通信のためのサービス。

TCP 6000-6063

表 32: FortiGate 定義済みサービス ( 続き )

サービス名 説明 プロトコル ポート

[Create New] カス タム サービスを追加するには、 プロ ト コルを選択し てから、[Create New] を選択し ます。

[Service Name] カス タム サービスの名前。

[Detail] 各カス タム サービスのプロ ト コルとポー ト 番号。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。 削除アイ コ ンは、 このサービスがフ ァ イアウォール ポリ シーで使用されていない場合にのみ使用できます。

編集アイコン [Name]、 [Protocol Type]、 [Type]、 [Protocol Number]、 [Code]、 [Source Port]、 および [Destination Port] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 257

258

カスタム サービスの設定 ファイアウォール - サービス

図 137: 新しいカスタム サービス - TCP/UDP

ICMP カスタム サービスを追加するには

1 [Firewall]、[Service]、[Custom] の順に選択し ます。

2 [Protocol Type] を [ICMP] に設定し ます。

3 次のオプシ ョ ンを設定し ます。

図 138: 新しいカスタム サービス - ICMP

IP カスタム サービスを追加するには

1 [Firewall]、[Service]、[Custom] の順に選択し ます。

2 [Protocol Type] を [IP] に設定し ます。

[Name] カス タム サービスの名前を入力し ます。

[Protocol Type] このカス タム サービスのプロ ト コルの種類と し て [TCP/UDP] を選択し ます。

[Protocol] 追加し ているポー ト 範囲のプロ ト コルと し て [TCP] または [UDP] を選択し ます。

[Source Port] [Low] と [High] のポー ト 番号を入力する こ と によ り、 このサービスの [Source Port] の番号範囲を指定し ます。 このサービスでポー ト 番号を1 つしか使用し ない場合は、 その番号を [Low] と [High] の両方のフ ィ ールド に入力し ます。 デフ ォル ト 値では、 任意の発信元ポー ト を使用できます。

[Destination Port] [Low] と [High] のポー ト 番号を入力する こ と によ り、 このサービスの [Destination Port] の番号範囲を指定し ます。 このサービスでポー ト 番号を 1 つしか使用し ない場合は、 その番号を [Low] と [High] の両方のフ ィ ールド に入力し ます。

[Add] 作成し ている カ ス タ ム サービ スに複数のポー ト 範囲が必要な場合は、[Add] を選択して、さ らに発信元と宛先の範囲を入力できるよ う にします。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

[Name] ICMP カス タム サービスの名前を入力し ます。

[Protocol Type] 追加し ているサービスのプロ ト コルの種類と し て [ICMP] を選択し ます。

[Type] このサービスの ICMP タ イプ番号を入力し ます。

[Code] 必要に応じ て、 このサービスの ICMP コー ド番号を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - サービス サービス グループ リストの表示

3 次のオプシ ョ ンを設定し ます。

図 139: 新しいカスタム サービス - IP

サービス グループ リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっ ている場合、 サービス グループはバーチャル ド メ インご とに別々に作成されます。 サービス グループにア クセスするには、 メ イ ン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

ポ リ シーの追加を容易にするには、 サービスのグループを作成し てから 1 つのポリ シーを追加し て、 そのグループ内のすべてのサービスに対するアクセスを許可またはブロ ッ ク し ます。 サービス グループには、 定義済みサービス と カス タム サービスを任意の組み合わせで含める こ とができます。 サービス グループを別のサービス グループに追加する こ とはできません。

サービス グループ リ ス ト を表示するには、 [Firewall]、[Service]、[Group] の順に選択し ます。

図 140: サービス グループ リストの例

サービス グループ リ ス ト には、 次のアイ コ ン と機能が用意されています。

サービス グループの設定

サービス グループは、 フ ァ イアウォール ポ リ シーの設定中に、 ド ロ ッ プダウン リ ス ト から [Create New] を選択する こ とによ っ て作成できます。

[Name] IP カス タム サービスの名前を入力し ます。

[Protocol Type] 追加し ているサービスのプロ ト コルの種類と し て [IP] を選択し ます。

[Protocol Number] このサービスの IP プロ ト コル番号。

[Create New] サービス グループを追加する場合に選択し ます。

[Group Name] サービス グループを識別する名前。

[Members] このサービス グループに追加されたサービス。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。 削除アイ コ ンは、 このサービス グループがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ使用できます。

編集アイコン [Group Name] や [Members] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 259

260

サービス グループの設定 ファイアウォール - サービス

サービスをサービス グループに構成するには、 [Firewall]、[Service]、[Group] の順に選択し ます。

図 141: サービス グループのオプション

[Group Name] サービス グループを識別する名前を入力し ます。

[Available Services]

設定されたサービス と定義済みサービスのリ ス ト 。 リ ス ト 間でサービスを移動するには、 矢印を使用し ます。

[Members] グループ内のサービスのリ ス ト 。 リ ス ト 間でサービスを移動するには、矢印を使用し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - スケジュール ワンタイム スケジュール リストの表示

F0

ファイアウォール - スケジュールこの項では、 スケジュールを使用し て、 ポ リ シーがアク テ ィ ブまたは非アク テ ィブになる時期を制御する方法について説明し ます。 ワン タ イム スケジュールまたは反復スケジュールを作成できます。 ワン タ イム スケジュールは、 スケジュールで指定された期間、 1 回だけ有効にな り ます。 反復スケジュールは、 毎週繰り返されます。 反復スケジュールは、 1 日の指定された時刻、 または指定された曜日にのみ有効にな り ます。

この項には以下の ト ピ ッ クが含まれています。

• ワン タ イム スケジュール リ ス ト の表示

• ワン タ イム スケジュールの設定

• 反復スケジュール リ ス ト の表示

• 反復スケジュールの設定

ワンタイム スケジュール リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっ ている場合、 ワン タ イム スケジュールはバーチャル ド メ イ ンご とに別々に設定されます。 ワン タ イム スケジュールにア クセスするには、 メ イ ン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

指定された期間だけポ リ シーがアク テ ィ ブまたは非アク テ ィ ブになるワン タ イム スケジュールを作成し ます。 た と えば、 フ ァ イアウォールに、 イン ターネ ッ ト 上のすべてのサービスへのアクセスを常に許可するデフ ォル ト ポ リ シーが設定されている と し ます。 休日期間中のイ ン ターネ ッ ト へのアクセスをブロ ッ クするためのワン タ イム スケジュールを追加し ます。

ワン タ イム スケジュール リ ス ト を表示するには、 [Firewall]、[Schedule]、[One-time] の順に選択し ます。

図 142: ワンタイム スケジュール リスト

ワン タ イム スケジュール リ ス ト には、 次のアイ コ ン と機能が用意されています。

[Create New] ワン タ イム スケジュールを追加する場合に選択し ます。

[Name] ワン タ イム スケジュールの名前。

[Start] このスケジュールの開始日付および時刻。

[Stop] このスケジュールの停止日付および時刻。

削除アイコン リ ス ト から このスケジュールを削除する場合に選択し ます。 削除アイコ ンは、 このスケジュールがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ表示されます。

編集アイコン このスケジュールを編集する場合に選択し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 261

262

ワンタイム スケジュールの設定 ファイアウォール - スケジュール

ワンタイム スケジュールの設定

ワン タ イム スケジュールは、 フ ァ イアウォール ポ リ シーの設定中に、 [Schedule] ド ロ ッ プダウン リ ス ト から [Create New] を選択する こ とによ って作成できます。

ワン タ イム スケジュールを追加するには、 [Firewall]、[Schedule]、[One-time] の順に選択し ます。

図 143: 新しいワンタイム スケジュール

スケジュールがまる 1 日アク テ ィ ブになるよ う にするには、 開始時刻と停止時刻を 「00」 に設定し ます。 ワン タ イム スケジュールは、 24 時間時計を使用し ます。

反復スケジュール リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 反復スケジュールはバーチャル ド メ イ ンご とに別々に作成されます。 反復スケジュールにアクセスするには、 メ イン メ ニュー内のリ ス ト からバーチャル ド メ イ ンを選択し ます。

1 日の指定された時刻、 または指定された曜日にポ リ シーがアク テ ィ ブまたは非アク テ ィ ブになる反復スケジュールを作成し ます。 たと えば、 反復スケジュールを作成する こ とによ って就業時間中のゲームを防止し ます。

反復スケジュール リ ス ト を表示するには、 [Firewall]、[Schedule]、[Recurring] の順に選択し ます。

図 144: 反復スケジュール リスト

[Name] ワン タ イム スケジュールを識別する名前を入力し ます。

[Start] このスケジュールの開始日付および時刻を入力し ます。

[Stop] このスケジュールの停止日付および時刻を入力し ます。

注記 : 停止時刻が開始時刻の前になっている反復スケジュールは、 その開始時刻に開始し、 翌日のその停止時刻に終了し ます。 このテ ク ニ ッ ク を使用し て、 ある日から翌日まで実行される反復スケジュールを作成し ます。 開始時刻と停止時刻を同じ時刻に設定する ことによ り、 24 時間実行される反復スケジュールを作成し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - スケジュール 反復スケジュールの設定

反復スケジュール リ ス ト には、 次のアイ コ ン と機能が用意されています。

反復スケジュールの設定

反復スケジュールは、 フ ァ イアウォール ポ リ シーの設定中に、 [Schedule] ドロ ッ プダウン リ ス ト から [Create New] を選択する こ とによ って作成できます。

反復スケジュールを追加するには、 [Firewall]、[Schedule]、[Recurring] の順に選択し ます。

図 145: 新しい反復スケジュール

反復スケジュールは、 24 時間時計を使用し ます。

[Create New] 反復スケジュールを追加する場合に選択し ます。

[Name] この反復スケジュールの名前。

[Day] このスケジュールがアク テ ィ ブになる曜日の頭文字。

[Start] この反復スケジュールの開始時刻。

[Stop] この反復スケジュールの停止時刻。

削除アイコン リ ス ト から このスケジュールを削除する場合に選択し ます。 削除アイコ ンは、 このスケジュールがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ表示されます。

編集アイコン このスケジュールを編集する場合に選択し ます。

[Name] 反復スケジュールを識別する名前を入力し ます。

[Select] このスケジュールがア ク テ ィ ブになる曜日をオンにし ます。

[Start] この反復スケジ ュールの開始時刻を選択し ます。

[Stop] この反復スケジ ュールの停止時刻を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 263

264

反復スケジュールの設定 ファイアウォール - スケジュール

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP

F0

ファイアウォール - 仮想 IPこの項では、 FortiGate の仮想 IP と IP プールについて、 およびそれら を フ ァ イアウォール ポリ シーに設定し て使用する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• 仮想 IP

• 仮想 IP リ ス ト の表示

• 仮想 IP の設定

• 仮想 IP グループ

• VIP グループ リ ス ト の表示

• VIP グループの設定

• IP プール

• IP プール リ ス ト の表示

• IP プールの設定

仮想 IP

仮想 IP を使用する と、 ネ ッ ト ワーク ア ド レス変換 (NAT) フ ィ アウォール ポ リシーを用いる FortiGate ユニ ッ ト を介し た接続が可能にな り ます。 仮想 IP はプロキシ ARP を使用するので、 FortiGate ユニ ッ ト は別のネ ッ ト ワーク上のサーバに対する ARP 要求に応答する こ とができます。 プロキシ ARP は RFC 1027 で定義されています。

た と えば、 仮想 IP を外部の FortiGate ユニ ッ ト のイ ン タ フ ェースに追加する こ とで、 DMZ または内部ネ ッ ト ワーク上のサーバに接続し ているユーザの接続要求にその外部イ ン タ フ ェースが応答できるよ う する こ とが可能です。

仮想 IP による FortiGate ユニットを介した接続のマッッピング方法

ス タ テ ィ ッ ク NAT 仮想 IP の一つの使用例と し て、 FortiGate ユニ ッ ト が保護するプ ラ イベー ト ネ ッ ト ワーク上の Web サーバへのパブ リ ッ ク ア クセスを容易にする こ とができます。 図 146 のよ う に、 この例の基本的な要素だけを考えてみると、 プ ラ イベー ト ネ ッ ト ワーク上の Web サーバ、 イン ターネ ッ ト 上の閲覧コ ンピ ュータ、 および 2 つのネ ッ ト ワークに接続する FortiGate ユニ ッ ト とい う 3 つの要素しかあ り ません。

ク ラ イアン ト コ ンピ ュータは、 サーバへの接続を試みます。 ク ラ イアン ト コ ンピ ュータがデータ パケ ッ ト を送信し、 FortiGate ユニ ッ ト がそれを受信し ます。パケ ッ ト 内のア ド レスは再マ ッ プ されて、 プ ラ イベー ト ネ ッ ト ワーク上のサーバに転送されます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 265

266

仮想 IP ファイアウォール - 仮想 IP

図 146: 簡単なスタティック NAT 仮想 IP の例

ク ラ イアン ト コ ンピ ュータから送信されたパケ ッ ト には、 192.168.37.55 とい う送信元 IP と 192.168.37.4 とい う宛先 IP が含まれています。 FortiGate ユニ ッ ト は、これらのパケ ッ ト を外部のイ ン タ フ ェースで受信し ます。 仮想 IP 設定によ って192.168.37.4 から 10.10.10.42 へのマ ッ ピングが指示されて、 パケ ッ ト のア ド レスが変更されます。 送信元ア ド レスは 10.10.10.2 に、 宛先は 10.10.10.42 にそれぞれ変更されます。 FortiGate ユニ ッ ト は、 内部に保持する フ ァ イアウォール セ ッシ ョ ン テーブルにこの変換を記録し ます。 その後、 パケ ッ ト は送信されてサーバ コ ンピ ュータに到着し ます。

図 147: クライアントからサーバへの NAT 変換におけるパケット アドレス再マッピングの例

ク ラ イアン ト コ ンピ ュータのア ド レスは、 サーバが受信するパケ ッ ト には含まれないこ とに注意し て く ださい。 FortiGate ユニ ッ ト でネ ッ ト ワーク ア ド レスが変換される と、 ク ラ イアン ト コ ンピ ュータのネ ッ ト ワークへの参照はな く な ります。 サーバは、 別のネ ッ ト ワークが存在する こ と を認識し ません。 サーバにと っては、 通信はすべて直接 FortiGate ユニ ッ ト から送信されます。

サーバがク ラ イアン ト コ ンピ ュータに応答する際は、 この手順が同様に逆方向へと実行されます。 サーバは、 送信元 IP ア ド レスが 10.10.10.42、 宛先ア ド レスが10.10.10.2 の応答パケ ッ ト を送信し ます。 FortiGate ユニ ッ ト は、 これらのパケ ッ トを内部イ ン タ フ ェースで受信し ます。 ただ し今回は、 宛先ア ド レスの変換先を決定するのに、 フ ァ イアウォール セ ッ シ ョ ン テーブルのエン ト リが使用されます。

この例では、 送信元ア ド レスは 192.168.37.4 に、 宛先ア ド レスは 192.168.37.55 にそれぞれ変更されます。 その後、 パケ ッ ト は送信されてク ラ イアン ト コ ンピ ュータに到着し ます。

サーバ コ ンピ ュータのア ド レスは、 ク ラ イアン ト が受信するパケ ッ ト には含まれません。 FortiGate ユニ ッ ト でネ ッ ト ワーク ア ド レスが変換される と、 サーバ コ ンピ ュータのネ ッ ト ワークへの参照はな く な り ます。 ク ラ イアン ト は、 サーバのプ ラ イベー ト ネ ッ ト ワークが存在する こ と を認識し ません。 ク ラ イアン ト にと っては、 FortiGate ユニ ッ ト が Web サーバと な り ます。

図 148: サーバからクライアントへの NAT 変換におけるパケット アドレス再マッピングの例

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP

仮想 IP ア ド レス と し て、 FortiGate ユニ ッ ト イ ン タ フ ェースにバイ ン ド された単一の IP ア ド レスまたは IP ア ド レス範囲を設定できます。 仮想 IP を使用し てFortiGate ユニ ッ ト イ ン タ フ ェースに IP ア ド レスまたは IP ア ド レス範囲をバイン ド する と、 バイン ド された IP ア ド レスまたは IP ア ド レス範囲の ARP 要求に対し てそのイ ン タ フ ェースが応答し ます。

フ ァ イアウォール ポ リ シーを構築する際に NAT のチ ェ ッ ク ボ ッ ク スがオフに設定されている場合、 そのポ リ シーでは宛先ネ ッ ト ワーク ア ド レス変換 (DNAT) が行われます。 DNAT は、 特定の宛先 IP ア ド レスに向けられた外部ネ ッ ト ワークからのパケ ッ ト を受信し、 そのパケ ッ ト の宛先ア ド レスを別の隠れたネ ッ ト ワーク上のマ ッ プ先 IP ア ド レスに変換し た後、 パケ ッ ト を FortiGate ユニ ッ ト を介して隠れた宛先ネ ッ ト ワークに転送し ます。 前の例と異な り、 送信元ア ド レスは変換されません。 隠れた宛先ネ ッ ト ワーク上に転送されれば、 パケ ッ ト は 終的な宛先に到達できます。

仮想 IP はまた、 隠れたネ ッ ト ワーク上の送信元 IP ア ド レス、 または送信元ア ドレスからのリ ターン パケ ッ ト のア ド レスも、 初のパケ ッ ト の宛先と同じ ア ドレス と なるよ う に変換し ます。

仮想 IP の範囲はほぼすべてのサイズを設定でき、 異なるサブネ ッ ト へのア ド レスに変換できます。 仮想 IP の範囲には、 次のよ う な制限があ り ます。

• マ ッ プ先 IP に 0.0.0.0 または 255.255.255.255 を含める こ とはできません。

• 仮想 IP のタ イプがス タ テ ィ ッ ク NAT で、IP ア ド レスのある範囲にマ ッ プ されている場合、 外部 IP を 0.0.0.0 に設定する こ とはできません。 0.0.0.0 の外部 IP ア ド レスをサポー ト するのは、 ロー ド バラ ンス仮想 IP と、 単一のIP ア ド レスにマ ッ プ されたス タ テ ィ ッ ク NAT 仮想 IP のみです。

• ポー ト マ ッ ピングでは、 外部ポー ト 番号の範囲が内部ポー ト 番号の範囲にマ ッ プ されます。 これら 2 つの範囲のポー ト 数は等し く なければな り ません。 したがって、 範囲が 65535 を超えるよ う に外部ポー ト を設定し てはな り ません。 た と えば、 20 ポー ト の内部ポー ト の範囲を外部ポー ト 65530から マ ッ プする と、 その範囲の 後のポー ト が 65550 と なるため、 無効とな り ます。

• ポー ト フ ォワーデ ィ ングの際、外部 IP の範囲には一切イ ン タ フ ェースの IPア ド レスを含める こ とはできません。

• マ ッ プ先の IP 範囲には、イ ン タ フ ェースの IP ア ド レスを一切含めてはな りません。

• 仮想 IP の名前を、 ア ド レス名またはア ド レス グループ名と同じ名前にする こ とはできません。

• エン ト リ または範囲の重複はできません。

IP ア ド レスまたは IP ア ド レス範囲を イ ン タ フ ェースにバイ ン ド する こ とに加え、仮想 IP には、 受信する イン タ フ ェースから同一のネ ッ ト ワークに接続するイ ンタ フ ェースへと、 IP ア ド レスまたは IP ア ド レス範囲を実際の IP ア ド レスまたはIP ア ド レス範囲と し てマ ッ プするために必要な情報もすべて含まれます。

さ まざまな種類の仮想 IP を作成する こ とが可能で、 それぞれ異なる DNAT に使用できます。

注記 : ト ラ ンスペアレン ト モー ド では、 仮想 IP は使用できないか、 または不要です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 267

268

仮想 IP ファイアウォール - 仮想 IP

仮想 IP で設定されたマ ッ ピングを実装するには、 NAT フ ァ イアウォール ポ リシーに仮想 IP を追加する必要があ り ます。 外部ネ ッ ト ワーク上のア ド レスを内部ネ ッ ト ワークにマ ッ プする フ ァ イアウォール ポ リ シーを追加するには、 外部から内部へのフ ァ イアウォール ポ リ シーを追加し、 そのポ リ シーの宛先ア ド レス フ ィ ール ド に仮想 IP を追加し ます。

た と えば、 Web サーバをホステ ィ ングする コ ンピ ュータが内部ネ ッ ト ワーク上にある場合、 そのプ ラ イベー ト IP ア ド レスは 10.10.10.42 などである こ とがあ り ます。 イン ターネ ッ ト から Web サーバへのパケ ッ ト を取得するには、 イン ターネ ッ ト 上の Web サーバに外部ア ド レスがなければな り ません。 イ ン ターネ ッ ト上の Web サーバの外部 IP ア ド レスを内部ネ ッ ト ワーク上の Web サーバの実際のア ド レスにマ ッ プする フ ァ イアウォールに、 仮想 IP を追加し ます。 イ ン ターネ ッ ト から Web サーバに接続できるよ う にするには、 外部から内部へのフ ァ イアウォール ポ リ シーを追加し、 宛先ア ド レスを仮想 IP に設定し ます。

スタティック NAT ス タ テ ィ ッ ク NAT 仮想 IP は、 送信元ネ ッ ト ワーク上の外部 IP ア ド レスまたは IP ア ド レス範囲を、 宛先ネ ッ ト ワーク上のマ ッ プ先 IP ア ドレスまたは IP ア ド レス範囲にマ ッ プ し ます。ス タ テ ィ ッ ク NAT 仮想 IP では、 1 対 1 でマ ッ ピングされます。 単一の外部 IP ア ド レスは、 単一のマ ッ プ先 IP ア ド レスにマ ッ プ されます。外部 IP ア ド レスの範囲は、 対応するマ ッ プ先 IP ア ド レス範囲にマ ップ されます。 送信元ア ド レス範囲内のある所定の IP ア ド レスは、 常に宛先ア ド レス範囲内の同一の IP ア ド レスにマ ッ プ されます。

スタティック NATポート フォワーディング

ス タ テ ィ ッ ク NAT ポー ト フ ォワーデ ィ ングは、 あるネ ッ ト ワーク上の単一 IP ア ド レスまたはア ド レス範囲、 および単一のポー ト 番号またはポー ト 範囲を、 別のネ ッ ト ワーク上の異なる単一 IP ア ド レスまたはア ド レス範囲、 および異なる単一ポー ト 番号またはポー ト 範囲にマ ッ プ し ます。ス タ テ ィ ッ ク NAT ポー ト フ ォワーデ ィ ングは、 単にポー ト フ ォワーデ ィ ングと も呼ばれます。 ス タ テ ィ ッ ク NAT ポー ト フ ォワーデ ィ ング仮想 IP では、 1 対 1 でマ ッ ピングされます。 外部 IP ア ド レスの範囲は対応するマ ッ プ先 IP ア ド レス範囲にマ ッ プ され、 外部ポー ト 番号の範囲は対応するマ ッ プ先ポー ト 番号の範囲にマ ッ プ されます。ポー ト フ ォワーデ ィ ング仮想 IP は、 FortiGate ユニ ッ ト のポー ト ア ドレス変換 (PAT) の設定に使用できます。

負荷分散 ダイナ ミ ッ ク ポー ト フ ォワーデ ィ ングと も呼ばれます。 負荷分散仮想 IP は、 あるネ ッ ト ワーク上の単一の IP ア ド レスを別のネ ッ ト ワーク上の IP ア ド レス範囲にマ ッ プ し ます。負荷分散では、 IP ア ド レス範囲から宛先 IP ア ド レスを指定し て、 より均等に ト ラ フ ィ ッ ク を分散させるよ う、 1 対多のマ ッ ピングと負荷分散アルゴ リズムが使用されます。

負荷分散ポート フォワーディング

ポー ト フ ォワーデ ィ ングによる負荷分散では、 あるネ ッ ト ワーク上の単一の IP ア ド レス とポー ト 番号が、 別のネ ッ ト ワーク上の IP ア ド レスの範囲とポー ト 番号の範囲にマ ッ プ されます。負荷分散ポー ト フ ォワーデ ィ ングでは、 IP ア ド レス範囲から宛先 IPア ド レスを指定し て、 よ り均等に ト ラ フ ィ ッ ク を分散させるよ う、 1対多の負荷分散アルゴ リズムが使用される と と もに、 宛先ポー ト 番号の範囲から宛先ポー ト が割り当てられます。

ダイナミック仮想IP

仮想 IP の外部 IP ア ド レスを 0.0.0.0 に設定する と、 すべての外部 IP アド レスをマ ッ プ先 IP ア ド レスまたはマ ッ プ先 IP ア ド レス範囲に変換するダイナ ミ ッ ク仮想 IP が作成されます。

サーバ負荷分散 サーバ負荷分散は、 あるネ ッ ト ワーク上の単一の IP を別のネ ッ トワーク上にある 大 8 つのリ アル サーバ IP にマ ッ プ し ます。この機能を使用するには、 リ アル ア ド レスを少な く と も 1 つ追加する必要があり ます。

サーバ負荷分散ポート フォワーディング

ポー ト フ ォワーデ ィ ングによるサーバ負荷分散では、 あるネ ッ ト ワーク上の単一 IP ア ド レス とポー ト 番号が、 別のネ ッ ト ワーク上にある特定のサーバ ア ド レス とポー ト にそれぞれ 大8つまでマ ッ プ されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP リストの表示

仮想 IP リストの表示

仮想 IP リ ス ト を表示するには、 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

図 149: 仮想 IP リスト

仮想 IP リ ス ト には、 次のアイ コ ン と機能が用意されています。

仮想 IP の設定

仮想 IP を追加するには、 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し、[Create new] を選択し ます。 仮想 IP を編集するには、 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し、 編集する仮想 IP の編集アイ コ ンを選択し ます。

[Create New] 仮想 IP を追加する場合に選択し ます。

[Name] 仮想 IP の名前。

[IP] 外部 IP ア ド レスまたは IP ア ド レス範囲。

[Service Port] 外部ポー ト 番号またはポー ト 番号の範囲。 サービス ポー ト は、 ポー ト フ ォワーデ ィ ング仮想 IP に含まれます。

[Map to IP/IP Range]

宛先ネ ッ ト ワーク上のマ ッ プ先 IP ア ド レスまたはア ド レス範囲。

[Map to Port] マ ッ プ先のポー ト 番号またはポー ト 番号の範囲。 マ ッ プ先ポー ト は、ポー ト フ ォワーデ ィ ング仮想 IP に含まれます。

削除アイコン リ ス ト から仮想 IP を削除し ます。 削除アイ コ ンは、 仮想 IP がフ ァ イアウォール ポリ シーで使用されていない場合にのみ表示されます。

編集アイコン 仮想 IP を編集し て、 仮想 IP 名などの仮想 IP オプシ ョ ンを変更し ます。

[Name] 仮想 IP を識別するための名前を入力または変更し ます。 混乱を避けるため、 フ ァ イアウォール ポ リ シー、 ア ド レス、 ア ド レス グループ、 および仮想 IP を同一の名前にする こ とはできません。

[External Interface] リ ス ト から仮想 IP 外部イ ン タ フ ェースを選択し ます。 外部イ ン タフ ェースは送信元ネ ッ ト ワークに接続され、 宛先ネ ッ ト ワークに転送されるパケ ッ ト を受信し ます。 FortiGate イン タ フ ェース、 VLANサブイン タ フ ェース、 または VPN イ ン タ フ ェースのいずれも選択できます。

[Type] [Static NAT]、 [Load Balance]、 または [Server Load Balance] を選択します。 VIP のタ イプの詳細については、 265 ページの 「仮想 IP による FortiGate ユニ ッ ト を介し た接続のマ ッ ッ ピング方法」 を参照し てく だ さい。

[External IP Address/Range]

宛先ネ ッ ト ワーク上のア ド レスにマ ッ プする外部 IP ア ド レスを入力し ます。すべての IP ア ド レスの接続を許可するダイナ ミ ッ ク仮想 IP を設定するには、 外部 IP ア ド レスを 0.0.0.0 に設定し ます。 ス タ テ ィ ッ ク NATダイナ ミ ッ ク仮想 IP に追加でき るマ ッ プ先 IP ア ド レスは 1 つのみです。 負荷分散ダイナ ミ ッ ク仮想 IP には、 単一のマ ッ プ先ア ド レスまたはマ ッ プ先ア ド レス範囲を指定できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 269

270

仮想 IP の設定 ファイアウォール - 仮想 IP

単一の IP アドレスに対するスタティック NAT 仮想 IP の追加

イ ン ターネ ッ ト 上の IP ア ド レス 192.168.37.4 は、 プ ラ イベー ト ネ ッ ト ワーク上の 10.10.10.42 にマ ッ プ されます。 イ ン ターネ ッ ト から 192.168.37.4 と通信し よ うとする と、 FortiGate ユニ ッ ト によ って 10.10.10.42 に変換され、 送信されます。イ ン ターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベート ネ ッ ト ワーク を背後に持つ FortiGate ユニ ッ ト ではな く 、 192.168.37.4 の単一のコ ンピ ュータに見えます。

[Mapped IP Address/Range]

外部 IP ア ド レスのマ ッ プ先と なる宛先ネ ッ ト ワーク上のリ アル IP アド レスを入力し ます。また、 ア ド レスの範囲を入力し て、 宛先ネ ッ ト ワーク上の複数の IPア ド レスにパケ ッ ト を転送する こ と も できます。ス タ テ ィ ッ ク NAT 仮想 IP では、マ ッ プ先 IP ア ド レス範囲を追加すると、 FortiGate ユニ ッ ト が外部 IP ア ド レス範囲を計算し、 その IP ア ドレス範囲が [External IP Address/Range] フ ィ ールド に追加されます。

[Port forwarding] ポー ト フ ォワーデ ィ ング仮想 IP を追加する場合に選択し ます。

[Protocol] 転送されるパケ ッ ト で使用するプロ ト コル (TCP または UDP) を選択し ます。

[External Service Port]

ポー ト フ ォワーデ ィ ングを設定する外部サービス ポー ト 番号を入力し ます。

[Map to Port] 外部ポー ト 番号のマ ッ プ先と なる宛先ネ ッ ト ワーク上のポー ト 番号を入力し ます。また、 ポー ト 番号の範囲を入力し て、 宛先ネ ッ ト ワーク上の複数のポー ト にパケ ッ ト を転送する こ と も できます。ス タ テ ィ ッ ク NAT 仮想 IP では、 ポー ト の範囲にマ ッ プを追加すると、 FortiGate ユニ ッ ト が外部ポー ト 番号の範囲を計算し、 そのポート 番号の範囲が [External Service Port] フ ィ ールド に追加されます。

[Real Servers] VIP のタ イプ と し てサーバ負荷分散を選択する場合は、 リ アルのサーバ IP ア ド レスを入力し ます。 IP ア ド レスが少な く と も 1 つは必要で、 大 8 つのア ド レスを入力できます。サーバ IP ア ド レスを入力するには、 [Real Servers] の下にある [Add] を選択し て、 以下の情報を入力し ます。[IP]: サーバの IP ア ド レスを入力し ます。[Port]: ポー ト フ ォワーデ ィ ングを有効にする場合は、 外部ポー ト 番号がマ ッ プ される宛先ネ ッ ト ワーク上のポー ト 番号を入力し ます。[Dead interval]: 削除されるまでに接続をアイ ドルの状態にし ておける時間間隔です。 10 ～ 255 秒の範囲を使用できます。[Wake interval]: 中断するまでに接続がサーバの検知を試みる時間間隔です。 10 ～ 255 秒の範囲を使用できます。[Weight]: 特定サーバの重み付けの値を定めます。 重み付けの値が大きいほど、 サーバが処理する接続のパーセンテージは大き く な り ます。 1 ～ 255 の範囲を使用できます。[Health Check]: セ ッ シ ョ ンの転送に先立ってサーバのステータ スをチ ェ ッ クするには、 このオプシ ョ ンを選択し ます。[Ping Detection]:ping を使用し てサーバのステータ スをテス ト するには、 このオプシ ョ ンを有効にし ます。 ヘルス チ ェ ッ クは、 ping 検知の前に有効にする必要があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

図 150: 単一の IP アドレスに対するスタティック NAT 仮想 IP の例

単一の IP アドレスに対するスタティック NAT 仮想 IP を追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

3 次の手順を使用し て、 イン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の Webサーバに接続できるよ う にするための仮想 IP を追加し ます。 この例では、FortiGate ユニ ッ ト の外部イン タ フ ェースはイ ン ターネ ッ ト に接続され、 dmzl イン タ フ ェースは DMZ ネ ッ ト ワークに接続されます。

図 151: 仮想 IP オプション : 単一の IP アドレスに対するスタティック NAT 仮想 IP

4 [OK] を選択し ます。

[Name] simple_static_NAT

[External Interface] external

[Type] Static NAT

[External IP Address/Range]

Web サーバのイン ターネ ッ ト IP ア ド レス。外部 IP ア ド レスは、 Web サーバの ISP から取得し たス タ テ ィ ッ ク IPア ド レスである必要があ り ます。 このア ド レスは、 別のホス ト が使用し ない固有の IP ア ド レスでなければならず、 仮想 IP が使用する外部イン タ フ ェースの IP ア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部 IP ア ド レスは選択されたイン タ フ ェースへとルーテ ィ ングされる必要があ り ます。 仮想 IP ア ド レス と外部 IPア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想IP を追加する と、 外部イ ン タ フ ェースは外部 IP ア ド レスの ARP 要求に応答し ます。

[Map to IP/IP Range]

内部ネ ッ ト ワーク上のサーバの IP ア ド レス。 IP ア ド レスは 1 つだけなので、 2 番目のフ ィ ールドは空白のまま と し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 271

272

仮想 IP の設定 ファイアウォール - 仮想 IP

単一の IP アドレスに対するスタティック NAT 仮想 IP をファイアウォール ポリシーに追加するには

外部から dmz1 への、 仮想 IP を使用する フ ァ イアウォール ポ リ シーを追加するこ と で、 イ ン ターネ ッ ト 上のユーザが Web サーバの IP ア ド レスへの接続を試みた際に、 パケ ッ ト が外部イン タ フ ェ ースから dmzl イ ン タ フ ェースへと FortiGateユニ ッ ト を通過するよ う にし ます。 仮想 IP は、 これらのパケ ッ ト の宛先ア ド レスを、 外部 IP から Web サーバの DMZ ネ ッ ト ワーク IP ア ド レスに変換し ます。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

IP アドレス範囲に対するスタティック NAT 仮想 IP の追加

イ ン ターネ ッ ト 上の IP ア ド レス範囲 192.168.37.4 ～ 192.168.37.6 は、 プ ラ イベート ネ ッ ト ワーク上の 10.10.10.42 ～ 10.10.123.44 にマ ッ プ されます。192.168.37.4 と通信する イ ン ターネ ッ ト 上のコ ンピ ュータからのパケ ッ ト は、 FortiGate ユニ ッ トによ っ て 10.10.10.42 に変換され、 送信されます。 同様に、 宛先が 192.168.37.5 のパケ ッ ト は 10.10.10.43 に、 また宛先が 192.168.37.6 のパケ ッ ト は 10.10.10.44 にそれぞれ変換され、 送信されます。 イ ン ターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベー ト ネ ッ ト ワーク を背後に持つ FortiGate ユニ ット ではな く 、 個別の IP ア ド レスを持つ 3 台のコ ンピ ュータに見えます。

図 152: IP アドレス範囲に対するスタティック NAT 仮想 IP の例

IP アドレス範囲に対するスタティック NAT 仮想 IP を追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] simple_static_nat

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

2 [Create New] を選択し ます。

3 次の手順を使用し て、 イン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の 3 つの Web サーバに接続でき るよ う にするための仮想 IP を追加し ます。 この例では、 FortiGate ユニ ッ ト の外部イ ン タ フ ェースはイ ン ターネ ッ ト に接続され、dmzl イ ン タ フ ェースは DMZ ネ ッ ト ワークに接続されます。

図 153: 仮想 IP オプション : IP アドレス範囲に対するスタティック NAT 仮想 IP

4 [OK] を選択し ます。

IP アドレス範囲に対するスタティック NAT 仮想 IP をファイアウォール ポリシーに追加するには

外部から dmz1 への、 仮想 IP を使用する フ ァ イアウォール ポ リ シーを追加するこ と で、 イン ターネ ッ ト 上のユーザがサーバ IP ア ド レスへの接続を試みた際に、パケ ッ ト が外部イン タ フ ェースから dmzl イ ン タ フ ェースへと FortiGate ユニ ッ トを通過するよ う にし ます。 仮想 IP は、 これらのパケ ッ ト の宛先ア ド レスを、 外部 IP からサーバの DMZ ネ ッ ト ワーク IP ア ド レスに変換し ます。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

[Name] static_NAT_range

[External Interface] external

[Type] Static NAT

[External IP Address/Range] Web サーバのイ ン ターネ ッ ト IP ア ド レス範囲。外部 IP ア ド レスは、 Web サーバの ISP から取得し たス タテ ィ ッ ク IP ア ド レスである必要があ り ます。 これらのア ドレスは、 別のホス ト が使用し ない固有の IP ア ド レスでなければならず、 仮想 IP が使用する外部イン タ フ ェースの IPア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部 IP ア ド レスは選択されたイン タ フ ェースへとルーテ ィ ングされる必要があり ます。 仮想 IP ア ド レス と外部 IPア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想 IP を追加する と、 外部イン タ フ ェースは外部 IPア ド レスの ARP 要求に応答し ます。

[Map to IP/IP Range] 内部ネ ッ ト ワーク上のサーバの IP ア ド レス範囲。 範囲の初のア ド レスを 初のフ ィ ールド に、 後のア ド レスを 2番目のフ ィ ールド にそれぞれ入力し て、 範囲を定義し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] static_NAT_range

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 273

274

仮想 IP の設定 ファイアウォール - 仮想 IP

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

単一 IP アドレスおよび単一ポートに対するスタティック NAT ポート フォワーディングの追加

イ ン ターネ ッ ト 上の IP ア ド レス 192.168.37.4、 ポー ト 80 は、 プ ラ イベー ト ネ ット ワーク上の 10.10.10.42、 ポー ト 8000 にマ ッ プ されます。 イ ン ターネ ッ ト から192.168.37.4、 ポー ト 80 と通信し よ う とする と、 FortiGate ユニ ッ ト によ って10.10.10.42、 ポー ト 8000 に変換され、 送信されます。 イン ターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベー ト ネ ッ ト ワーク を背後に持つ FortiGate ユニ ッ ト ではな く 、 192.168.37.4、 ポー ト 80 の単一のコ ンピ ュータに見えます。

図 154: 単一 IP アドレスおよび単一ポートに対するスタティック NAT 仮想 IP ポート フォワーディングの例

単一 IP アドレスおよび単一ポート対するスタティック NAT 仮想 IP ポート フォワーディングを追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

3 次の手順を使用し て、 イ ン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の Webサーバに接続でき るよ う にするための仮想 IP を追加し ます。 この例では、FortiGate ユニ ッ ト の外部イン タ フ ェ ースはイ ン ターネ ッ ト に接続され、 dmzl イン タ フ ェ ースは DMZ ネ ッ ト ワークに接続されます。

[Name] Port_fwd_NAT_VIP

[External Interface] external

[Type] Static NAT

[External IP Address/Range] Web サーバのイ ン ターネ ッ ト IP ア ド レス。外部 IP ア ド レスは、 Web サーバの ISP から取得し たス タテ ィ ッ ク IP ア ド レスである必要があり ます。 このア ド レスは、 別のホス ト が使用し ない固有の IP ア ド レスでなければならず、 仮想 IP が使用する外部イ ン タ フ ェースの IP ア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部 IP ア ド レスは選択されたイ ン タ フ ェースへとルーテ ィ ングされる必要があり ます。 仮想 IP ア ド レス と外部 IP ア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想 IP を追加する と、 外部イ ン タ フ ェースは外部 IP ア ド レスの ARP 要求に応答し ます。

[Map to IP/IP Range] 内部ネ ッ ト ワーク上のサーバの IP ア ド レス。 IP ア ド レスは1 つだけなので、2 番目のフ ィ ールドは空白のまま と し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

図 155: 仮想 IP オプション : 単一 IP アドレスおよび単一ポートに対するスタティックNAT ポート フォワーディング仮想 IP

4 [OK] を選択し ます。

単一 IP アドレスおよび単一ポートに対するスタティック NAT 仮想 IP ポート フォワーディングをファイアウォール ポリシーに追加するには

外部から dmz1 への、 仮想 IP を使用する フ ァ イアウォール ポ リ シーを追加するこ と で、 イン ターネ ッ ト 上のユーザが Web サーバ IP ア ド レスへの接続を試みた際に、 パケ ッ ト が外部イン タ フ ェ ースから dmzl イ ン タ フ ェースへと FortiGate ユニ ッ ト を通過するよ う にし ます。 仮想 IP は、 これらのパケ ッ ト の宛先ア ド レスとポー ト を、 外部 IP から Web サーバの dmz ネ ッ ト ワーク IP ア ド レスに変換します。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

[Port Forwarding] 選択

[Protocol] TCP

[External Service Port] イ ン ターネ ッ ト からの ト ラ フ ィ ッ クが使用するポー ト 。 Webサーバに対するポー ト は通常、 ポー ト 80 です。

[Map Port] サーバが ト ラ フ ィ ッ ク を待つポー ト 。 ポー ト は 1 つだけなので、 2 番目のフ ィ ールドは空白のまま と し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] Port_fwd_NAT_VIP

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 275

276

仮想 IP の設定 ファイアウォール - 仮想 IP

IP アドレス範囲およびポート範囲に対するスタティック NAT ポート フォワーディングの追加

イ ン ターネ ッ ト 上のア ド レス 192.168.37.4 ～ 192.168.37.7 のポー ト 80 ～ 83 は、プ ラ イベー ト ネ ッ ト ワーク上のア ド レス 10.10.10.42 ～ 10.10.10.44 のポー ト 8000 ～ 8003 にマ ッ プ されます。 イ ン ターネ ッ ト から 192.168.37.5、 ポー ト 82 と通信し よ う とする と、 FortiGate ユニ ッ ト によ って 10.10.10.43、 ポー ト 8002 に変換され、 送信されます。 イ ン ターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベー ト ネ ッ ト ワーク を背後に持つ FortiGate ユニ ッ ト ではな く 、192.168.37.5 の単一のコ ンピ ュータに見えます。

図 156: IP アドレス範囲およびポート範囲に対するスタティック NAT 仮想 IP ポート フォワーディングの例

IP アドレス範囲およびポート範囲に対するスタティック NAT 仮想 IP ポート フォワーディングを追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

3 次の手順を使用し て、 イ ン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の Webサーバに接続でき るよ う にするための仮想 IP を追加し ます。 この例では、FortiGate ユニ ッ ト の外部イン タ フ ェ ースはイ ン ターネ ッ ト に接続され、 dmzl イン タ フ ェ ースは DMZ ネ ッ ト ワークに接続されます。

[Name] Port_fwd_NAT_VIP_port_range

[External Interface] external

[Type] Static NAT

[External IP Address/Range] 外部 IP ア ド レスは、 ISP から取得し たス タ テ ィ ッ ク IP ア ドレスである必要があり ます。 このア ド レスは、 別のホス トが使用し ない固有のア ド レスでなければならず、 仮想 IP が使用する外部イ ン タ フ ェースの IP ア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部 IP ア ド レスは選択されたイ ン タ フ ェースへとルーテ ィ ングされる必要があり ます。 仮想 IP ア ド レス と外部 IP ア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想 IP を追加すると、 外部イ ン タ フ ェースは外部 IP ア ド レスの ARP 要求に応答し ます。

[Map to IP/IP Range] 内部ネ ッ ト ワーク上のサーバの IP ア ド レス。 範囲の 初のア ド レスを 初のフ ィ ールド に、 後のア ド レスを 2 番目のフ ィ ールド にそれぞれ入力し て、 範囲を定義し ます。

[Port Forwarding] 選択

[Protocol] TCP

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

4 [OK] を選択し ます。

IP アドレス範囲およびポート範囲に対するスタティック NAT 仮想 IP ポート フォワーディングをファイアウォール ポリシーに追加するには

仮想 IP を使用する dmzl フ ァ イアウォール ポ リ シーに外部フ ァ イアウォール ポリ シーを追加する こ と で、 イ ン ターネ ッ ト 上のユーザが Web サーバ IP ア ド レスへの接続を試みた際に、 パケ ッ ト が外部イ ン タ フ ェースから dmzl イ ン タ フ ェースへと FortiGate ユニ ッ ト を通過するよ う に し ます。 仮想 IP は、 これらのパケ ット の宛先ア ド レス とポー ト を、 外部 IP から Web サーバの dmz ネ ッ ト ワーク IPア ド レスに変換し ます。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

IP アドレス範囲またはリアル サーバに対する負荷分散仮想 IP の追加

イ ン ターネ ッ ト 上の IP ア ド レス 192.168.37.4 は、 プ ラ イベー ト ネ ッ ト ワーク上の 10.10.123.42 ～ 10.10.123.44 にマ ッ プ されます。 IP ア ド レスのマ ッ ピングは、FortiGate ユニ ッ ト の負荷分散アルゴ リズムによ って決定されます。 イ ン ターネ ッ ト から 192.168.37.4 と通信し よ う とする と、 FortiGate ユニ ッ ト によ って10.10.10.42、 10.10.10.43、 または 10.10.10.44 に変換され、 送信されます。 インターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベー ト ネ ッ ト ワーク を背後に持つ FortiGate ユニ ッ ト ではな く 、 192.168.37.4 の単一のコンピ ュータに見えます。

[External Service Port] イ ン ターネ ッ ト からの ト ラ フ ィ ッ クが使用するポー ト 。 Webサーバに対するポー ト は通常、 ポー ト 80 です。

[Map Port] サーバが ト ラ フ ィ ッ ク を待つポー ト 。 範囲の 初のポー トを 初のフ ィ ールド に、 後のポー ト を 2 番目のフ ィ ールド にそれぞれ入力し て、 範囲を定義し ます。 ポー ト が 1 つだけならば、 2 番目のフ ィ ールドは空白のまま と し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] Port_fwd_NAT_VIP_port_range

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 277

278

仮想 IP の設定 ファイアウォール - 仮想 IP

図 157: IP アドレス範囲に対する負荷分散仮想 IP

IP アドレス範囲に対する負荷分散仮想 IP を追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

3 次の手順を使用し て、 イ ン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の Webサーバに接続でき るよ う にするための仮想 IP を追加し ます。 この例では、FortiGate ユニ ッ ト の外部イン タ フ ェ ースはイ ン ターネ ッ ト に接続され、 dmzl イン タ フ ェ ースは DMZ ネ ッ ト ワークに接続されます。

図 158: 仮想 IP オプション : 負荷分散仮想 IP

[Name] Load_Bal_VIP

[External Interface] external

[Type] Load Balance または Server Load Balance

[External IP address/Range] Web サーバのイン ターネ ッ ト IP ア ド レス。外部 IP ア ド レスは、 Web サーバの ISP から取得し たス タテ ィ ッ ク IP ア ド レスである必要があり ます。 このア ド レスは、 別のホス ト が使用し ない固有の IP ア ド レスでなければならず、 仮想 IP が使用する外部イ ン タ フ ェースの IP ア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部 IP ア ド レスは選択されたイ ン タ フ ェースへとルーテ ィ ングされる必要があ り ます。 仮想 IP ア ド レス と外部 IP ア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想 IP を追加する と、 外部イ ン タ フ ェースは外部 IP ア ド レスの ARP 要求に応答し ます。

[Map to IP/IP Range] ([Load Balance] タイプ )

内部ネ ッ ト ワーク上のサーバの IP ア ド レス。 範囲の 初のア ド レスを 初のフ ィ ールド に、 後のア ド レスを 2 番目のフ ィ ールド にそれぞれ入力し て、 範囲を定義し ます。

[Real Servers] ([Server Load Balance] タイプ )

VIP のタ イプ と し てサーバ負荷分散を選択する場合は、 リ アルのサーバ IP ア ド レスを入力し ます。 リ アル サーバの設定の詳細については、 269 ページの 「仮想 IP の設定」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

4 [OK] を選択し ます。

IP アドレス範囲に対する負荷分散仮想 IP をファイアウォール ポリシーに追加するには

仮想 IP を使用する dmzl フ ァ イアウォール ポ リ シーに外部フ ァ イアウォール ポリ シーを追加する こ と で、 イ ン ターネ ッ ト 上のユーザが Web サーバの IP ア ド レスへの接続を試みた際に、 パケ ッ ト が外部イン タ フ ェ ースから dmzl イ ン タフ ェースへと FortiGate ユニ ッ ト を通過するよ う に し ます。 仮想 IP は、 これらのパケ ッ ト の宛先ア ド レスを、 外部 IP から Web サーバの DMZ ネ ッ ト ワーク IP アド レスに変換し ます。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

負荷分散ポート フォワーディング仮想 IP の追加

イ ン ターネ ッ ト 上の 192.168.37.4 への接続は、 プ ラ イベー ト ネ ッ ト ワーク上の10.10.10.42 ～ 10.10.10.44 にマ ッ プ されます。 IP ア ド レスのマ ッ ピングは、FortiGate ユニ ッ ト の負荷分散アルゴ リズムによ って決定されます。 192.168.37.4のポー ト 80 ～ 83 は、 8000 ～ 8003 に順にマ ッ プ されます。 イ ン ターネ ッ ト 上のコ ンピ ュータがこの変換を認識する こ とはな く 、 プ ラ イベー ト ネ ッ ト ワーク を背後に持つ FortiGate ユニ ッ ト ではな く 、 192.168.37.4 の単一のコ ンピ ュータに見えます。

図 159: IP アドレス範囲およびポート範囲に対する負荷分散仮想 IP ポート フォワーディングの例

IP アドレス範囲に対する負荷分散仮想 IP を追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] Load_Bal_VIP

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 279

280

仮想 IP の設定 ファイアウォール - 仮想 IP

3 次の手順を使用し て、 イ ン ターネ ッ ト 上のユーザが DMZ ネ ッ ト ワーク上の Webサーバに接続でき るよ う にするための仮想 IP を追加し ます。 この例では、FortiGate ユニ ッ ト の外部イン タ フ ェ ースはイ ン ターネ ッ ト に接続され、 dmzl イン タ フ ェ ースは DMZ ネ ッ ト ワークに接続されます。

4 [OK] を選択し ます。

IP アドレス範囲に対する負荷分散仮想 IP をファイアウォール ポリシーに追加するには

仮想 IP を使用する dmzl フ ァ イアウォール ポ リ シーに外部フ ァ イアウォール ポリ シーを追加する こ と で、 イ ン ターネ ッ ト 上のユーザが Web サーバの IP ア ド レスへの接続を試みた際に、 パケ ッ ト が外部イ ン タ フ ェースから dmzl イ ン タフ ェースへと FortiGate ユニ ッ ト を通過するよ う にし ます。 仮想 IP は、 これらのパケ ッ ト の宛先ア ド レスを、 外部 IP から Web サーバの DMZ ネ ッ ト ワーク IP アド レスに変換し ます。

1 [Firewall]、[Policy] の順に選択し て、 [Create New] を選択し ます。

[Name] Load_Bal_VIP_port_forward

[External Interface] external

[Type] Load Balance

[External IP Address/Range] Web サーバのイ ン ターネ ッ ト IP ア ド レス。外部 IP ア ド レスは、 Web サーバの ISP から取得し たス タテ ィ ッ ク IP ア ド レスである必要があり ます。 このア ド レスは、 別のホス ト が使用し ない固有の IP ア ド レスでなければならず、 仮想 IP が使用する外部イ ン タ フ ェースの IP ア ド レス と同一のア ド レスにする こ とはできません。 しかし、 外部IP ア ド レスは選択されたイン タ フ ェースへとルーテ ィ ングされる必要があり ます。 仮想 IP ア ド レス と外部 IP ア ド レスは、 別々のサブネ ッ ト 上に設定する こ とができます。 仮想IP を追加する と、 外部イン タ フ ェースは外部 IP ア ド レスのARP 要求に応答し ます。

[Map to IP/IP Range] 内部ネ ッ ト ワーク上のサーバの IP ア ド レス。 範囲の 初のア ド レスを 初のフ ィ ールド に、 後のア ド レスを 2 番目のフ ィ ールド にそれぞれ入力し て、 範囲を定義し ます。

[Real Servers] VIP のタ イプ と し てサーバ負荷分散を選択する場合は、 リ アルのサーバ IP ア ド レスを入力し ます。 リ アル サーバの設定の詳細については、 269 ページの 「仮想 IP の設定」 を参照し て く ださ い。

[Port Forwarding] 選択

[Protocol] TCP

[External Service Port] イ ン ターネ ッ ト からの ト ラ フ ィ ッ クが使用するポー ト 。 Webサーバに対するポー ト は通常、 ポー ト 80 です。

[Map Port] サーバが ト ラ フ ィ ッ ク を待つポー ト 。 範囲の 初のポー ト を初のフ ィ ールド に、 後のポー ト を 2 番目のフ ィ ールド に

それぞれ入力し て、 範囲を定義し ます。 ポー ト が 1 つだけならば、 2 番目のフ ィ ールドは空白のまま と し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP 仮想 IP の設定

2 フ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

3 [NAT] を選択し ます。

4 [OK] を選択し ます。

ダイナミック仮想 IP の追加

ダイナ ミ ッ ク仮想 IP の追加は、 仮想 IP の追加と同様です。 異なる点と し て、 外部 IP ア ド レスを 0.0.0.0 に設定し、 すべての IP ア ド レスに適合するよ う にする必要があ り ます。

ダイナミック仮想 IP を追加するには

1 [Firewall]、[Virtual IP]、[Virtual IP] の順に選択し ます。

2 [Create New] を選択し ます。

3 ダイナ ミ ッ ク仮想 IP の名前を入力し ます。

4 リ ス ト から仮想 IP 外部イン タ フ ェースを選択し ます。

外部イ ン タ フ ェースは送信元ネ ッ ト ワークに接続され、 宛先ネ ッ ト ワークに転送されるパケ ッ ト を受信し ます。

いずれかのフ ァ イアウォール イ ン タ フ ェースまたは VLAN サブイ ン タ フ ェースを選択し ます。

5 外部 IP ア ド レスを 0.0.0.0 に設定し ます。

外部 IP ア ド レス 0.0.0.0 は、 すべての IP ア ド レスに適合し ます。

6 ダイナ ミ ッ ク ポー ト フ ォワーデ ィ ングを設定する外部サービス ポー ト 番号を入力し ます。

外部のサービス ポー ト 番号は、 転送されるパケ ッ ト の宛先ポー ト に一致し ている必要があ り ます。 た と えば、 仮想 IP がイ ン ターネ ッ ト から PPTP サーバへのPPTP パススルー ア クセスを提供し ている場合は、 外部のサービス ポー ト 番号を 1723 (PPTP ポー ト ) にする必要があ り ます。

7 外部 IP ア ド レスをマ ッ プするマ ッ プ先 IP ア ド レスを入力し ます。 た と えば、 内部ネ ッ ト ワーク上の PPTP サーバの IP ア ド レスです。

8 転送の際にパケ ッ ト に追加されるマ ッ プ先ポー ト 番号を入力し ます。

ポー ト が変換されない場合は、 外部サービスポー ト と同じ番号を入力し ます。

9 [OK] を選択し ます。

[Source Interface/Zone] external

[Source Address Name] All ( またはよ り具体的なア ド レス )

[Destination Interface/Zone] dmz1

[Destination Address Name] Load_Bal_VIP_port_forward

[Schedule] always

[Service] HTTP

[Action] ACCEPT

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 281

282

仮想 IP グループ ファイアウォール - 仮想 IP

仮想 IP グループ

仮想 IP グループを作成する こ と で、 フ ァ イアウォール ポ リ シー ト ラ フ ィ ッ ク制御を容易にする こ とができます。 た と えば、 DMZ イ ン タ フ ェースにおいて、 仮想 IP マ ッ ピングを用いる電子メ ール サーバが 2 つある場合、 これら 2 つの VIPを 1 つの VIP グループにま とめる と と もに、 外部から DMZ へのポ リ シーを 2 つではな く 1 つ作成し て、 ト ラ フ ィ ッ ク を制御できます。

VIP グループ リストの表示

仮想 IP グループ リ ス ト を表示するには、 [Firewall]、[Virtual IP]、[VIP Group] の順に選択し ます。

図 160: VIP グループ リスト

VIP グループ リ ス ト には、 次のアイ コ ン と機能が用意されています。

VIP グループの設定

VIP グループを追加するには、 [Firewall]、[Virtual IP]、[VIP Group] の順に選択し、 [Create new] を選択し ます。 VIP グループを編集するには、 [Firewall]、[Virtual IP]、[VIP Group] の順に選択し、 編集する VIP グループの編集アイ コ ンを選択し ます。

[Create New] 新し い VIP グループを追加する場合に選択し ます。 282 ページの 「VIPグループの設定」 を参照し て く だ さい。

[Group Name] 仮想 IP グループの名前。

[Members] グループのメ ンバを表示し ます。

[Interface] VIP グループが属するイ ン タ フ ェースを表示し ます。

削除アイコン リ ス ト から VIP グループを削除し ます。 削除アイ コ ンは、 フ ァ イアウォール ポ リ シーで VIP グループが使用されていない場合にのみ表示されます。

編集アイコン グループ名やメ ンバなど、 VIP グループ情報を編集し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP IP プール

図 161: VIP グループの編集

次の設定を行い、 [OK] を選択し ます。

IP プール

宛先イ ン タ フ ェースの IP ア ド レスに制限するのではな く 、 IP プールから ラ ンダムに選択されたア ド レスに送信元ア ド レスを変換する NAT ポ リ シーを追加するには、 IP プールを使用し ます。

IP プールは、 IP プールが追加されたイ ン タ フ ェースで ARP 要求に応答するア ドレスまたは IP ア ド レス範囲をすべて定義し ます。

送信パケ ッ ト の送信元ア ド レスを IP プールから ラ ンダムに選択されたア ド レスに変換するには、 フ ァ イアウォール ポ リ シーで [Enable Dynamic IP Pool] を選択し ます。 ポ リ シーの宛先イ ン タ フ ェースが IP プールのイ ン タ フ ェース と同一である場合、 IP プール リ ス ト が表示されます。

内部イ ン タ フ ェースに IP プールを追加する と、 その内部イ ン タ フ ェースのポ リシーに動的 IP プールを宛先と し て選択できます。

[Group Name] グループ名を入力または編集し ます。

[Interface] VIP グループを作成するイ ン タ フ ェースを選択し ます。 グループの編集中は、 [Interface] ボ ッ クスはグレーになって選択不可能と な り ます。

[Available VIPs] および [Members]

メ ンバを追加または削除し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 283

284

IP プール リストの表示 ファイアウォール - 仮想 IP

すべてのイ ン タ フ ェースに複数の IP プールを追加し、 フ ァ イアウォール ポ リシーを設定する際に、 使用する IP プールを選択し ます。

単一の IP ア ド レスは通常どお り入力し ます。 た と えば、 192.168.110.100 は有効な IP プール ア ド レスです。 IP ア ド レス範囲が必要な場合は、 以下のいずれかの形式を使用し ます。

• x.x.x.x-x.x.x.x、 た と えば 192.168.110.100-192.168.110.120

• x.x.x.[x-x]、 たと えば 192.168.110.[100-120]

IP プールとダイナミック NAT

ダイナ ミ ッ ク NAT に対し ては IP プールを使用し ます。 た と えば、 ある組織が一定の範囲のイン ターネ ッ ト ア ド レスを購入し たものの、 FortiGate ユニ ッ ト の外部イ ン タ フ ェースのイ ン ターネ ッ ト 接続は 1 つのみとい う場合があ り ます。

こ う し た場合、 組織のイ ン ターネ ッ ト IP ア ド レスの 1 つを FortiGate ユニ ッ ト の外部イン タ フ ェ ースに割り当てます。 FortiGate ユニ ッ ト が NAT/ ルー ト モー ドで動作し ている場合、 ネ ッ ト ワークから イ ン ターネ ッ ト への接続は、 すべてこのIP ア ド レスから行われているよ う に見えます。

すべてのイ ン ターネ ッ ト IP ア ド レスから接続を開始するには、 外部イ ン タフ ェースの IP プールにこのア ド レス範囲を追加し ます。 次いで、 外部イン タフ ェースのすべてのポ リ シーに、 宛先と し てダイナ ミ ッ ク IP プールを選択し ます。 各接続に対し、 フ ァ イアウォールは IP プールから動的に IP ア ド レスを選択し、 接続の送信元ア ド レス と し ます。 このため、 イ ン ターネ ッ ト への接続は、 IPプールのすべての IP ア ド レスから開始されているよ う に見えます。

固定ポートを用いたファイアウォール ポリシーの IP プール

接続で使用されるパケ ッ ト の送信元ポー ト が NAT ポ リ シーで変換される場合、正し く 動作し ないネ ッ ト ワーク設定があ り ます。 NAT では、 特定のサービスの接続を追跡するため、 送信元ポー ト が変換されます。 送信元ポー ト の変換を防ぐには、 NAT ポ リ シーの固定ポー ト を選択し ます。 ただ し、 固定ポー ト を選択する とい う こ とは、 このサービスにおいて 1 つの接続しかフ ァ イアウォールを介してサポー ト できないこ と を意味し ます。 複数の接続をサポー ト できるよ う にするには、 宛先イン タ フ ェ ースに IP プールを追加し た後、 ポ リ シー内でダイナ ミ ック IP プールを選択し ます。 フ ァ イアウォールは IP ア ド レスを IP プールから ランダムに選択し て、 各接続に割り当てます。 この場合、 フ ァ イアウォールでサポー ト 可能な接続の数は、 IP プール内の IP ア ド レスの数によ っ て制限されます。

IP プール リストの表示

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 IP プールはバーチャル ド メ イ ンご とに別々に作成されます。 IP プールにアクセスするには、 メ イ ン メ ニューのリ ス ト からバーチャル ド メ イ ンを選択し ます。 IP プールは ト ラ ンスペアレン ト モー ド では使用できません。

IP プール リ ス ト を表示するには、 [Firewall]、[Virtual IP]、[IP Pool] の順に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - 仮想 IP IP プールの設定

図 162: IP プール リスト

IP プール リ ス ト には、 次のアイ コ ン と機能が用意されています。

IP プールの設定

IP プールを追加するには、 [Firewall]、[Virtual IP]、[IP Pool] の順に選択し ます。

図 163: 新しいダイナミック IP プール

[Create New] IP プールを追加する場合に選択し ます。

[Name] IP プールの名前。

[Start IP] 開始 IP はア ド レス範囲の始ま り を定義し ます。

[End IP] 終了 IP はア ド レス範囲の終わり を定義し ます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。 削除アイ コ ンは、 IP プールがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ表示されます。

編集アイコン 名前、 イン タ フ ェース、 IP、 範囲 / サブネ ッ ト の情報を編集する場合に選択し ます。

[Name] IP プールの名前を編集または変更し ます。

[Interface] IP プールを追加するイ ン タ フ ェースを選択し ます。

[IP Range/Subnet]

IP プールの IP ア ド レス範囲を入力し ます。 IP 範囲は、 ア ド レス範囲の初と 後を定義し ます。 範囲の 初は範囲の 後よ り も小さ く なけ

ればな り ません。 IP 範囲は、 IP プールが追加されるイ ン タ フ ェースのIP ア ド レス と同一のサブネ ッ ト 上である必要はあり ません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 285

286

IP プールの設定 ファイアウォール - 仮想 IP

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルとは

F0

ファイアウォール - プロテクション プロファイル

この項では、 NAT/ ルー ト モー ド および ト ラ ンスペアレン ト モー ドのポ リ シーにプロテク シ ョ ン プロ フ ァ イルを追加する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• プロテ クシ ョ ン プロ フ ァ イルとは

• プロテ クシ ョ ン プロ フ ァ イル リ ス ト の表示

• デフ ォル ト のプロテ クシ ョ ン プロ フ ァ イル

• プロテ クシ ョ ン プロ フ ァ イルの設定

• ポ リ シーへのプロテ クシ ョ ン プロ フ ァ イルの追加

• プロテ クシ ョ ン プロ フ ァ イル CLI 設定

プロテクション プロファイルとは

プロテ クシ ョ ン プロ フ ァ イルとは、 特定の目的に合わせて調整可能な設定のグループです。 プロテ クシ ョ ン プロ フ ァ イルは、 フ ァ イアウォール ポ リ シーによ っ て制御される ト ラ フ ィ ッ クにそれぞれ個別の保護設定を適用し ます。 これによ り、 各ポ リ シーが処理する ト ラ フ ィ ッ クのタ イプに応じ て設定を調整できます。 次の操作を行 う場合にプロテ クシ ョ ン プロ フ ァ イルを使用し ます。

• HTTP、 FTP、 IMAP、 POP3、 SMTP、 および IM ポ リ シーのアンチウイルス保護の設定。

• HTTP ポ リ シーおよび HTTPS ポ リ シーの Web フ ィ ルタ リ ングの設定。

• HTTPポ リ シーおよびHTTPSポ リ シーのWeb カテゴ リ フ ィ ルタ リ ングの設定。

• IMAP、 POP3、 および SMTP ポ リ シーのスパム フ ィ ルタ リ ングの設定。

• すべてのサービスの IPS の有効化。

• HTTP、 FTP、 IMAP、 POP3、 SMTP、 および IM ポ リ シーのコ ンテンツ アーカイブの設定。

• AIM、 ICQ、 MSN、 Yahoo、 および SIMPLE のイ ンス タ ン ト メ ッ セージングの IMフ ィ ルタ リ ング と アクセス制御の設定。

• Bit Torrent、 eDonkey、 Gnutella、 Kazaa、 Skype、 および WinNY のピアツーピア ク ラ イ ンアン ト の P2P アクセスおよび帯域幅制御の設定。

• ログを作成するプロテク シ ョ ン プロ フ ァ イルのアクシ ョ ンの設定。

• VoIP プロ ト コル (SIP および SCCP) の帯域制限の設定。

プロテ クシ ョ ン プロ フ ァ イルを使用すれば、 さ まざまな フ ァ イアウォール ポ リシーの保護のタ イプおよびレベルを カス タ マイズできます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 287

288

プロテクション プロファイル リストの表示 ファイアウォール - プロテクション プロファイル

た と えば、 内部ア ド レス と外部ア ド レス との間の ト ラ フ ィ ッ クには厳重な保護が必要かも しれませんが、 信頼できる内部ア ド レス同士の ト ラ フ ィ ッ クにはさほど厳格な保護は必要ない場合があ り ます。 別々の ト ラ フ ィ ッ ク サービスに対し て、同一または異なるプロテク シ ョ ン プロ フ ァ イルを使用するよ う ポ リ シーを設定し て く だ さい。

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 プロテクシ ョ ン プロ フ ァ イルはグローバルに設定され、 すべてのバーチャル ド メ インで利用できます。 プロテ ク シ ョ ン プロ フ ァ イルにア クセスするには、 [Global

Configuration]、[Firewall]、[Protection Profile] の順に選択し て く だ さい。

デフォルトのプロテクション プロファイル

FortiGate ユニ ッ ト には、 あらかじめ次の 4 つのプロテ クシ ョ ン プロ フ ァ イルが設定されています。

プロテクション プロファイル リストの表示

プロテ クシ ョ ン プロ フ ァ イル リ ス ト を表示するには、 [Firewall]、[Protection

Profile] の順に選択し ます。

図 164: デフォルトのプロテクション プロファイル

プロテクシ ョ ン プロフ ァ イル リス ト には、次のアイコンと機能が用意されています。

Strict HTTP、 FTP、 IMAP、 POP3、 および SMTP ト ラ フ ィ ッ クに 大の保護を適用し ます。 この [strict] プロテ ク シ ョ ン プロ フ ァ イルは、 通常の状況では不便なこ とがあり ますが、 大の保護が求められる場合に利用できます。

スキャン HTTP、 FTP、 IMAP、 POP3、 および SMTP ト ラ フ ィ ッ クにウイルス スキャ ンを適用し ます。 また、 すべてのコ ンテンツ サービスに対し て隔離が選択されます。 ハー ド ド ラ イブ内蔵の FortiGate モデルでは、 アンチウイルス スキャ ンによ っ てフ ァ イルにウイルスが発見される と、 そのフ ァ イルは FortiGate のハー ド デ ィ スクに隔離されます。 システム管理者は、 必要に応じ て隔離されたフ ァ イルを回復できます。

Web HTTP ト ラ フ ィ ッ クにウイルス スキャ ン と Web コ ンテンツ ブロ ッ ク を適用し ます。 このプロテ クシ ョ ン プロ フ ァ イルは、 HTTP ト ラ フ ィ ック を制御する フ ァ イアウォール ポ リ シーに追加し て く だ さい。

Unfiltered スキャ ン、 ブロ ッ ク、 または IPS を一切適用し ません。 コ ンテンツ ト ラフ ィ ッ ク を保護する必要がない場合は、 この [unfiltered] コ ンテンツ プロ フ ァ イルを使用し ます。 このプロテ ク シ ョ ン プロ フ ァ イルは、 コ ンテンツを保護する必要のない、信頼性または安全性の高いネ ッ ト ワーク間の接続に対する フ ァ イアウォール ポ リ シーに追加し て く だ さい。

[Create New] プロテ クシ ョ ン プロ フ ァ イルを追加する場合に選択し ます。

[Name] プロテ クシ ョ ン プロ フ ァ イルの名前。

削除 リ ス ト から プロテ クシ ョ ン プロ フ ァ イルを削除する場合に選択し ます。 削除アイ コ ンは、 プロ フ ァ イルがフ ァ イアウォール ポ リ シーで使用されていない場合にのみ使用できます。

編集 プロテ クシ ョ ン プロ フ ァ イルを変更する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

プロテクション プロファイルの設定

必要な設定がデフ ォル ト のプロテ クシ ョ ン プロ フ ァ イルで用意されていない場合は、 カス タムプロテク シ ョ ン プロ フ ァ イルを作成し ます。

プロテ クシ ョ ン プロ フ ァ イルを追加するには、 [Firewall]、[Protection Profile] の順に選択し て、 [Create New] を選択し ます。

図 165: 新規のプロテクション プロファイル

注記 : フ ァ イアウォール ポリ シーで選択されているか、 またはユーザ グループに含まれている場合、 プロテ クシ ョ ン プロ フ ァ イルは削除できません ( 削除アイ コ ンは表示されません )。

[Profile Name] プロテ クシ ョ ン プロ フ ァ イルの名前を入力し ます。

[Comments] 必要に応じ て、 プロ フ ァ イルの説明を入力し ます。

[AntiVirus] 290ページの「アンチウイルス オプシ ョ ン」を参照して く だ さい。

[Web Filtering] 291 ページの 「Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て くだ さい。

[FortiGuard-Web Filtering] 292 ページの 「FortiGuard-Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く だ さい。

[Spam Filtering] 294 ページの 「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照して く だ さい。

[IPS] 296 ページの 「IPS オプシ ョ ン」 を参照し て く だ さい。

[Content Archive] 297 ページの 「コ ンテンツ アーカ イブ オプシ ョ ン」 を参照して く だ さい。

[IM & P2P] 298 ページの「IM および P2P オプシ ョ ン」を参照し て く だ さい。

[Logging] 299 ページの 「ロギング オプシ ョ ン」 を参照し て く だ さい。

[VoIP] 300 ページの 「VoIP オプシ ョ ン」 を参照し て く だ さい。

注記 : ウイルス スキャ ン と フ ァ イル ブロ ッ クの両方が有効になっている場合、 FortiGateユニ ッ ト は、 有効なフ ァ イル パターン と比較し てから、 ウイルスのスキャ ンを実行し ます。 フ ァ イル ブロ ッ ク機能でブロ ッ ク されたフ ァ イルのウイルス スキャ ンは実行されません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 289

290

プロテクション プロファイルの設定 ファイアウォール - プロテクション プロファイル

アンチウイルス オプション

図 166: プロテクション プロファイルのアンチウイルス オプション

アンチウイルスについて、 プロテ クシ ョ ン プロ フ ァ イルを介し て次のオプシ ョンを使用できます。

注記 : NNTP オプシ ョ ンは選択できません。 将来サポー ト される予定です。

[Virus Scan] 各プロ ト コル (HTTP、 FTP、 IMAP、 POP3、 SMTP、 IM) に対し て、 ウイルス スキャ ンを有効または無効にし ます。 [AntiVirus]、[Config]、[Grayware] の順に選択し て有効に設定されている場合、 ウイルス スキャ ンにグレーウェ アが含まれます。 CLI で有効に設定されている場合、 ウイルス スキャ ンにヒ ューリ ステ ィ ッ ク も含まれます。 ウイルス スキャ ンを有効にする と、 ス ト リー ミ ング モー ド も自動的に有効になる こ と に注意し て く ださ い。

[File Pattern] 各プロ ト コルに対し て、 フ ァ イル パターンの処理を有効または無効にし ます。 フ ァ イルは、 名前、 拡張子、 その他のパターンに応じ て、ブロ ッ ク し た り許可し た りする こ とができます。 フ ァ イル パターンの処理によ って、 有害なコ ンテンツが含まれる可能性のある フ ァ イルが柔軟にブロ ッ ク されます。[File Pattern] ドロップダウン リスト : プロテ ク シ ョ ン プロ フ ァ イルで使用する フ ァ イル パターン リ ス ト を選択し ます。 デフ ォル ト のフ ァ イル パターン リ ス ト はビル ト イ ン パターン と呼ばれます。

[Quarantine] (ログ ディスクが必要 )

各プロ ト コルに対し て、 隔離を有効または無効にし ます。 疑わし いフ ァ イルを隔離し て表示するか、 または分析のためにフ ォーテ ィ ネ ット にフ ァ イルを提出し ます。 FortiGate にハー ド ド ラ イブまたは設定済みの FortiAnalyzer ユニ ッ ト がない場合、 プロテ クシ ョ ン プロ フ ァ イルに隔離のオプシ ョ ンは表示されません。

[Pass fragmented emails]

メ ール プロ ト コル (IMAP、 POP3、 SMTP) に対し て、 断片化された電子メ ールの通過を有効または無効にし ます。 断片化された電子メ ールにウイルスのスキャ ンは行えません。

[Comfort Clients] HTTP ト ラ フ ィ ッ クおよび FTP ト ラ フ ィ ッ クのク ラ イアン ト コ ンフ ォーテ ィ ングを有効または無効にし ます。 ク ラ イアン ト コ ンフ ォーテ ィ ングを有効にする と、 HTTP および FTP によるダウンロード でバッ フ ァ リ ングされている フ ァ イルの状態が視覚的に表示されます。 ユーザは、 Web ページの表示やフ ァ イルのダウンロー ドが処理されている と こ ろ を確認する こ とができます。 これが無効になっている場合、 ユーザは FortiGate ユニ ッ ト がダウンロー ド をバッ フ ァ リ ングし ている 中である こ とがわからないため、 ダウンロー ドが失敗し たものと見な し て転送をキャ ンセルし て し ま う可能性があり ます。

[Interval] ダウンロー ドの開始後、 ク ラ イアン ト コ ン フ ォーテ ィ ングが始まるまでの秒数。 これは、 それ以降のイ ン ターバル間の時間の長さ でもあり ます。

[Amount] 各イ ン ターバルで送信されるバイ ト 数。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

アンチウイルス設定オプシ ョ ンの詳細については、 355 ページの 「アンチウイルス」 を参照し て く だ さい。

Web フィルタリング オプション

図 167: プロテクション プロファイル Web フィルタリング オプション

Web フ ィ ルタ リ ングについて、 プロテ クシ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

[Oversized File/Email]

設定された各プロ ト コルのし きい値を超える フ ァ イルおよび電子メ ール メ ッ セージのブロ ッ ク またはパスを選択し ます。

[Threshold] フ ァ イルがメ ガバイ ト 単位のし きい値を超えた場合、フ ァ イルは、 [Oversized File/Email] ド ロ ッ プダウン リス ト で設定された とおり、 パスまたはブロ ッ ク されます。 メ モ リ内のスキャ ンの 大し きい値は、FortiGate ユニ ッ ト の RAM の 10% です。注記 : 電子メ ール スキャ ンでは、 サイズ超過のし きい値は、 電子メ ール ク ラ イアン ト でエン コー ド された後の、 添付フ ァ イルを含む 終的なサイズです。電子メ ール ク ラ イアン ト では、 さ まざまな タ イプのエン コー ドが使用される こ とがあり、 エン コー ドのタ イプによ っては元の添付フ ァ イルよ り も大きいフ ァ イル サイズにな り ます。 も一般的なエン コード である base64 では、 3 バイ ト のバイナ リ データが4 バイ ト の base64 データに変換されます。 そのため、添付データが設定されたサイズ超過のし きい値を数メ ガバイ ト 下回っていた と し ても、 フ ァ イルはサイズ超過と し てブロ ッ ク された り、 ロギングされた りする場合があり ます。

[Add signature to outgoing emails]

送信する電子メ ールに付加するシグネチャ を作成し、 有効にし ます (SMTP のみ )。

[Web Content Block] コ ンテンツ ブロ ッ ク リ ス ト のコ ンテンツ ブロ ッ ク パターンに基づいて、 HTTP ト ラ フ ィ ッ クの Web ページ ブロ ッ ク を有効または無効にし ます。[Web content block] ドロップダウン リスト : プロテ ク シ ョ ン プロ フ ァ イルで使用する コ ンテンツ ブロ ッ ク リ ス ト を選択します。[Threshold] : Web ページに現れる コ ンテンツ ブロ ッ ク パターンの総合スコアがし きい値を超える と、 そのページはブロ ック されます。 詳細については、 388 ページの 「Web コ ンテンツ ブロ ッ ク リ ス ト の表示」 を参照し て く だ さい。

[Web Content Exempt] コ ンテンツ除外リ ス ト のコ ンテンツ除外パターンに基づいて、Web コ ンテンツ ブロ ッ クの解除を有効または無効にし ます。[Web content exempt] ドロップダウン リスト : プロテ ク シ ョン プロ フ ァ イルで使用する コ ンテンツ除外リ ス ト を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 291

292

プロテクション プロファイルの設定 ファイアウォール - プロテクション プロファイル

Web フ ィ ルタ設定オプシ ョ ンの詳細については、 383 ページの 「Web フ ィ ルタ」を参照し て く だ さい。

FortiGuard-Web フィルタリング オプション

図 168: プロテクション プロファイル FortiGuard-Web フィルタリング オプション

Web カテゴ リ フ ィ ルタ リ ングについて、 プロテ ク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

[Web URL Filter] URL リ ス ト に基づいて、 HTTP および HTTPS ト ラ フ ィ ッ クのWeb ページ フ ィ ルタ リ ングを有効または無効にし ます。[Web URL filter] ドロップダウン リスト : プロテクシ ョ ン プロフ ァ イルで使用する Web URL フ ィルタ リス ト を選択します。

[ActiveX Filter] ActiveX コ ン ト ロールのブロ ッ ク を有効にし ます。

[Cookie Filter] ク ッキーのブロ ッ ク を有効にし ます。

[Java Applet Filter] Java アプレ ッ ト のブロ ッ ク を有効にし ます。

[Web resume download block]

すでに一部がダウンロー ド されている フ ァ イルの、 ダウンロー ド部分のブロ ッ ク を有効にし ます。 このオプシ ョ ンを有効にする と、 断片化し たフ ァ イルに潜むウイルス フ ァ イルの意図せぬダウンロー ド を防止する こ とができます。 ただし、PDF などの一部の種類のフ ァ イルでは、 ダウンロー ド を高速化するために断片化される こ と に注意し て く ださ い。 それらの種類のフ ァ イルでは、 このオプシ ョ ンを有効にする と、 ダウンロー ドが中断される場合があり ます。

[Block Invalid URLs] FortiGate ユニ ッ ト は、 CN の検証を行っ て有効なホス ト 名である こ と を確認し てから、 Web フ ィ ルタ リ ングを適用する ことができます。 このオプシ ョ ンを有効にする と、 CN が有効なホス ト 名でない場合、 ト ラ フ ィ ッ クはブロ ッ ク されます。

[Enable FortiGuard-Web Filtering]

FortiGuard-Web カテゴ リ ブロ ッ ク を有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

カテゴ リ ブロ ッ ク設定オプシ ョ ンの詳細については、 396 ページの 「FortiGuard-Web フ ィ ルタ」 を参照し て く だ さい。

[Enable FortiGuard-Web Filtering Overrides]

カ テゴ リ の解除を有効に し ます。 これを選択する と、 グループのリ ス ト が表示されます。利用できるグループがない場合、このオプシ ョ ンはグレーになって選択不可能と なり ます。 解除の詳細については、 397 ページの 「上書き リス ト の表示」 および 398 ページの 「上書きルールの設定」を参照 し て く だ さ い。 グループの詳細については、 346ページの 「ユーザ グループ」 を参照し て く だ さ い。

[Provide details for blocked HTTP 4xx and 5xx errors] (HTTP のみ )

400 および 500 シ リーズの HTTP エラーの差し替え メ ッセージを表示し ます。 エラーの通過が許可されている場合、 悪意のあるサイ ト または好ま し く ないサイ ト は、 これらの一般的なエラー ページを使用し て、 Web カテゴ リのブロ ッ ク を逃れる こ とができます。

[Rate images by URL (blocked images will be replaced with blanks)] (HTTP のみ )

FortiGuard によ って評価された画像をブロ ッ ク し ます。ブロ ッ ク された画像は、 送信元の Web ページでは空白に置き換えられます。評価対象の画像の種類は、 GIF、 JPEG、 PNG、 BMP、 および TIFF です。

[Allow websites when a rating error occurs]

Web フ ィ ルタ リ ング サービスから評価エ ラーが返されたWeb ページを使用でき るよ う にし ます。

[Strict Blocking] FortiGate ユニ ッ ト による Strict Blocking の使用方法に関する情報。

[Rate URLs by domain and IP address]

このオプシ ョ ンを有効にする と、 要求されたサイ ト のURL と IP ア ド レスの両方が送信されて確認されるため、FortiGuard システムを迂回し よ う とする試みに対するセキュ リ テ ィ が向上し ます。ただし、 IP の評価は URL の評価ほど迅速には行われないため、 何らかの誤った評価が生じ る場合があり ます。このオプシ ョ ンはデフ ォル ト で無効に設定されています。

[Category] FortiGuard-Web コ ンテンツ フ ィ ルタ リ ング サービスには、 Web ト ラ フ ィ ッ ク を フ ィ ルタ リ ングするためのカテゴ リが多数用意されています。 各カテゴ リ に対し て、 実行するア クシ ョ ンを Web ページで設定し ます。 [Allow]、[Block]、 [Monitor]、 [Allow Override] から選択し ます。

[Classification] 分類では、 Web サイ ト のク ラス全体がブロ ッ ク されます。たと えば Google など、 コ ンテンツをキャ ッ シュ し て提供する Web サイ ト をブロ ッ クできます。 画像、 オーデ ィ オ、またはビデオの検索が行える Web サイ ト も ブロ ッ クできます。 また、 分類された Web サイ ト は、 いずれかのカテゴ リ で評価されるか、または一切評価されません。[Allow]、[Block]、 [Monitor]、 [Allow Override] から選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 293

294

プロテクション プロファイルの設定 ファイアウォール - プロテクション プロファイル

スパム フィルタリング オプション

図 169: プロテクション プロファイルのスパム フィルタリング オプション

注記 : NNTP オプシ ョ ンは選択できません。 将来サポー ト される予定です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

スパム フ ィ ルタ リ ングについて、 プロテク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

[FortiGuard-Antispam] [IP address check]

FortiGuard-Antispam フ ィ ルタ リ ングの IP ア ド レス ブ ラ ッ ク リ ス ト を有効または無効にし ます。FortiGuard-Antispam は、 SMTP メ ール サーバの送信元ア ド レスを抽出し、 FortiGuard-Antispam サーバにその IP ア ド レスを送信し て、 既知のスパム発信者と一致するかど うかを調べます。 該当する IPア ド レスが発見された場合、 FortiGuard-Antispamはセ ッ シ ョ ンを終了し ます。 FortiGuard-Antispamで一致する ものが見つからなかった場合、 メ ール サーバは電子メ ールを受信者に送信し ます。こ のサー ビ スの詳細につい ては、 170 ペー ジの「FortiGuard-Antispam サービス」 を参照して く ださい。

[URL check] FortiGuard-Antispam スパム フ ィ ルタ リ ングの URLブ ラ ッ ク リ ス ト を 有 効 ま た は 無 効 に し ま す。FortiGuard-Antispam は、 電子メ ール メ ッ セージの本文をチ ェ ッ ク し て、 URL リ ン ク をすべて抽出ます。 これらの URL のリ ン クは、FortiGuard-Antispamサーバに送信されて、 リ ス ト に該当する ものがあるかど う かチ ェ ッ ク さ れます。 多 く の場合、 スパムメ ッ セージには広告への URL リ ン クが含まれています ( スパム広告と も呼ばれます )。 URL の一致が発見された場合、FortiGuard-Antispam はセ ッ シ ョ ンを終了し ます。FortiGuard-Antispam で一致する ものが見つか ら なか っ た場合、 メ ール サーバは電子メ ールを受信者に送信し ます。このサービスの詳細については、 170 ページの「FortiGuard-Antispam サービス」 を参照し て く だ さい。

[E-mail checksum check]

FortiGuard-Antispam 電子メ ール メ ッ セージ チ ェ ックサム ブラ ッ ク リ ス ト を有効または無効にし ます。 有効にし た場合、 このフ ィ ルタは電子メ ール メ ッ セージのチ ェ ッ クサムを計算し て FortiGuardサーバに送信し、 ブ ラ ッ ク リ ス ト に含まれるかどうか判定し ます。 FortiGate ユニ ッ ト は、 サーバの応答に従って電子メ ール メ ッ セージをパスまたはマーク / ブロ ッ ク し ます。

[Spam submission]

有効にし た場合、 スパムと し てマーク されたすべての電子メ ール メ ッ セージの本文にリ ン クが加えられます。 電子メ ール メ ッ セージがスパムでない場合、 メ ッ セージ内のリ ン ク を ク リ ッ ク し て、 誤検知である こ と を FortiGuard に通知し ます。

[IP address BWL check] ブラ ッ ク / ホワイ ト リ ス ト のチ ェ ッ ク。 受信 IP ア ド レス と設定済みのスパム フ ィ ルタの IP ア ド レス リ ス ト との照合を有効または無効にし ます。 (SMTP のみ )[IP address BWL check] ドロップダウン リスト : プロテ クシ ョン プロ フ ァ イルで使用する IP ア ド レス ブラ ッ ク リ ス ト / ホワイ ト リ ス ト を選択し ます。

[HELO DNS lookup] ド メ イン ネーム サーバの送信元ド メ イン名の (SMTP HELO コマン ドからの ) 検索を有効または無効にし ます。

[E-mail address BWL check]

設定されているスパム フ ィ ルタ電子メ ール ア ド レス リ ス ト に対する受信電子メ ール ア ド レスのチ ェ ッ ク を有効または無効にし ます。[E-mail address BWL check] ドロップダウン リスト : プロテ クシ ョ ン プロ フ ァ イルで使用する電子メ ール ア ド レス ブ ラ ッ クリ ス ト / ホワイ ト リ ス ト を選択し ます。

[Return e-mail DNS check]

返信先または送信元のア ド レスで指定された ド メ インに A または MX レ コー ドが含まれているかど うかのチ ェ ッ ク を有効または無効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 295

296

プロテクション プロファイルの設定 ファイアウォール - プロテクション プロファイル

スパム フ ィ ルタ設定オプシ ョ ンの詳細については、 405 ページの 「アンチスパム」 を参照し て く ださい。 FortiGuard Anti-spam サービスを設定するには、 170ページの 「FortiGate ユニ ッ ト の FDN および FortiGuard サービスの設定」 を参照し て く だ さい。

IPS オプション

図 170: プロテクション プロファイル IPS オプション

IPS について、 プロテク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

IPS 設定オプシ ョ ンの詳細については、 371 ページの 「不正侵入防御」 を参照して く ださい。

[Banned word check] 設定されているスパム フ ィ ルタ禁止単語リ ス ト に対する発信元電子メ ールのチ ェ ッ ク を有効または無効にし ます。[Banned word check] ドロップダウン リスト : プロテ ク シ ョ ン プロ フ ァ イルで使用する禁句リ ス ト を選択し ます。[Threshold] : 電子 メ ール メ ッ セージに現れる禁句パタ ーンの総合スコアがし きい値を超える と、そのメ ッ セージは [Spam Action]の設定に従っ て処理さ れます。 詳細については、 410 ページの「アンチスパム禁止単語リ ス ト の表示」 を参照し て く だ さい。

[Spam Action] スパム フ ィ ルタが行う処置。 [tagged] を設定する と、 スパムとし て識別された電子メ ールの件名またはヘ ッ ダにカス タム タグを付ける こ とができます。 SMTP では、 ウイルス スキャ ンまたはス ト リー ミ ング モー ド ( 別称スプ ラ イス ) を有効にし た場合、スパム電子メ ールは破棄のみ可能と な り ます。 ( ウイルス スキャ ンを有効にする と、 ス ト リー ミ ング モー ド も自動的に有効になる こ とに注意し て く だ さい。 )[Discard] は、 ただちに接続を中断し ます。 ス ト リー ミ ング モー ド またはスキャ ンが有効に設定されていない場合、 SMTP スパムにタグを付けるか、 またはSMTP スパムを破棄するかを選択できます。電子メ ールには、 特別な語句を件名に追加するか、 または電子メ ールのヘ ッ ダに MIME のヘ ッ ダ と値を挿入する こ と で、 タグを付ける こ とができます。 任意のスパム アク シ ョ ンを イベン ト ログに記録する こ と を選択できます。

[Append to] スパムと し て識別された電子メ ールの件名または MIME ヘ ッ ダにタグを追加し ます。

[Append with] スパムと し て識別された電子メ ールに付加する語句 ( タグ ) を入力し ます。 大の長さは 63 文字です。

注記 : 一般的な電子メ ール ク ラ イアン ト には、 MIME ヘ ッ ダに基づ く メ ッ セージのフ ィ ルタ リ ングが行えないものがあ り ます。 スパムにタグ付けする方法を決める前に、 電子メ ール ク ラ イアン ト の機能を確認し て く だ さい。

[IPS Signature] プロ フ ァ イルの IPS シグネチャ重大度を 1 つまたは複数選択し ます。選択肢は、 [Critical] ( 重大 )、 [High] ( 高 )、 [Medium] ( 中 )、 [Low] ( 低)、 [Information] ( 情報 ) です。 重大度が選択されていないシグネチャは ト リ ガ されません。

[IPS Anomaly] プロ フ ァ イルの IPS ア ノ マ リ重大度を 1 つまたは複数選択し ます。 選択肢は、 [Critical] ( 重大 )、 [High] ( 高 )、 [Medium] ( 中 )、 [Low] ( 低 )、[Information] ( 情報 ) です。 重大度が選択されていないア ノ マ リは トリ ガ されません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

コンテンツ アーカイブ オプション

すべてのコ ンテンツ アーカ イビング オプシ ョ ンにア クセスでき るよ う にするには、 FortiAnalyzer ユニ ッ ト を設定する と と もに、 FortiAnalyzer へのロギングを有効にする必要があ り ます。 詳細については、 434 ページの 「FortiAnalyzer ユニ ット へのロギング」 を参照し て く だ さい。

図 171: プロテクション プロファイル コンテンツ アーカイブ オプション

コ ンテンツ アーカ イブについて、 プロテク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

注記 : NNTP およびフ ァ イル アーカ イビングのオプシ ョ ンは選択できません。 将来サポート される予定です。

[Display content meta-information on the system dashboard]

FortiGate ステータ ス ページの [Statistics] セクシ ョ ンにおける各種 ト ラ フ ィ ッ クのメ タ情報の表示を有効にし ます。HTTP ト ラ フ ィ ッ ク、 HTTPS ト ラ フ ィ ッ ク、 FTP ト ラフ ィ ッ ク、 および電子メ ール メ ッ セージ ト ラ フ ィ ッ ク (IMAP、 POP3、 および SMTP の組み合わせ ) の統計を表示し ます。

[Archive to FortiAnalyzer] 次の 3 つのオプシ ョ ンから 1 つ選択し ます。[None] : アーカ イブ し ません。[Summary] : プロ ト コルご と にコ ンテンツのメ タ情報をFortiAnalyzer ユニ ッ ト にアーカ イブ し ます。 コ ンテンツ メタ情報には、 日時、 送信元および宛先の情報、 要求と応答のサイズ、 およびスキャ ン結果を含める こ とができます。コ ンテンツ アーカ イブは、 [Log&Report]、 [Log Config]、[LogSetting] の順に選択し て表示されるページで、FortiAnalyzer が有効に設定されている場合にのみ使用できます。[Full] : HTTP および FTP のダウンロー ド フ ァ イルのコピー、 または IMAP、 POP3、 および STMP のすべての電子メ ール メ ッ セージのコ ピーをアーカ イブ し ます。

[Archive SPAMed emails to FortiAnalyzer]

通常の電子メ ール メ ッ セージ と と もにスパム電子メ ール メ ッ セージを保存できるよ う にし ます。 デフ ォル ト では、スパム電子メ ール メ ッ セージはアーカ イブ されません。

[Display content meta-information on the system dashboard] (AIM、ICQ、MSN、Yahoo!)

FortiGate ステータ ス ページの [Statistics] セクシ ョ ンにおける各種 ト ラ フ ィ ッ クのメ タ情報の表示を有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 297

298

プロテクション プロファイルの設定 ファイアウォール - プロテクション プロファイル

IM および P2P オプション

図 172: プロテクション プロファイル IM および P2P オプション

IM および P2P について、 プロテ ク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

IM ユーザのログイ ン中に IM プロテ ク シ ョ ン プロ フ ァ イルを変更した場合、 次回のログイ ン時まで有効にな り ません。 たと えば、 現在ログイン し ているユーザの接続を切断する場合に、 [Enabling Block Login] は使用できません。

IM 設定オプシ ョ ンの詳細については、 421 ページの 「IM、 P2P、 および VoIP」 を参照し て く ださい。

[Archive IM to FortiAnalyzer] (AIM、ICQ、MSN、Yahoo!)

次の 3 つのオプシ ョ ンから 1 つ選択し ます。[None] : アーカ イブ し ません。[Summary] : AIM、 ICQ、 MSN、 および Yahoo の IM プロ トコルのサマ リ情報をロギングし ます。 サマ リ情報には、 日時、 送信元および宛先の情報、 要求と応答のサイズ、 およびスキャ ン結果を含める こ とができます。[Full] : プロ ト コルご とに IM プロ ト コルの完全なチャ ッ ト情報を FortiAnalyzer ユニ ッ ト にアーカ イブ し ます。 コ ンテンツ アーカ イブは、 [Log&Report]、 [Log Config]、[LogSetting] の順に選択し て表示されるページで、FortiAnalyzer が有効に設定されている場合にのみ使用できます。注記 : コ ンテンツ アーカ イ ビングを機能させるには、 プロテ ク シ ョ ン プロ フ ァ イルの [IM & P2P] セクシ ョ ンで IM オプシ ョ ンを有効にする必要があり ます。

[Block Login] イ ンス タ ン ト メ ッ セージのユーザが AIM、 ICQ、 MSM、Yahoo、 および SIMPLE のサービスにログインできないよう にし ます。

[Block File Transfers] AIM、 ICQ、 MSN、 および Yahoo のプロ ト コルのフ ァ イル転送のブロ ッ ク を有効にし ます。

[Block Audio] AIM、 ICQ、 MSN、 および Yahoo のプロ ト コルのオーデ ィオのブロ ッ ク を有効にし ます。

[Inspect Non-standard Port] IM ト ラ フ ィ ッ クの非標準ポー ト の検査を有効にし ます。

[Action] BitTorrent、 eDonkey、 Gnutella、 Kazaa、 および WinNY プロト コルの P2P 転送のパス、 ブロ ッ ク、 または帯域制限を行います。 Skype 転送は、 パス と ブロ ッ クはできますが、帯域制限は行えません。

[Limit (KBytes/s)] 帯域制限が設定されている場合、 BitTorrent、 eDonkey、Gnutella、 Kazaa、 および WinNY プロ ト コルの帯域幅の制限を指定し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイルの設定

ロギング オプション

図 173: プロテクション プロファイル ロギング オプション

ロギングについて、 プロテ クシ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

[Antivirus] [Viruses] スキャンされたウイルスのロギングを有効にします。

[Blocked Files] ブロッ ク されたフ ァイルのロギングを有効にします。

[Oversized Files/Emails] サイズ超過のフ ァ イルおよび電子メ ール メ ッセージのロギングを有効にし ます。

[Web Filtering] [Content Block] コ ンテンツ ブロ ッ クのロギングを有効にし ます。

[URL Block] ブロ ッ クおよび除外された URL のロギングを有効にし ます。

[ActiveX Filter] ブロッ ク されたActiveXのロギングを有効にします。

[Cookie Filter] ブロッ ク されたク ッキーのロギングを有効にします。

[Java Applet Filter] ブロ ッ ク された Java アプレ ッ ト のロギングを有効にし ます。

[FortiGuard Web Filtering]

[Log rating errors] (HTTP のみ )

評価エラーのロギングを有効にし ます。

[Spam Filtering] [Log Spam] 検知されたスパムのロギングを有効にし ます。

[IPS] [Log Intrusions] シグネチャおよびア ノ マ リの侵入のロギングを有効にし ます。

[IM and P2P] [Log IM Activity] IM アク テ ィ ビテ ィ のロギングを有効にし ます。

[Log P2P Activity] P2P アク テ ィ ビテ ィ のロギングを有効にし ます。

[VoIP] [Log VoIP Activity] VoIP アクテ ィ ビテ ィ のロギングを有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 299

300

ポリシーへのプロテクション プロファイルの追加 ファイアウォール - プロテクション プロファイル

ロギングの詳細については、 431 ページの 「ログおよびレポー ト 」 を参照し て くだ さい。

VoIP オプション

FortiGate ユニ ッ ト は、 SIP プロ ト コル (SIMPLE を含む ) および SCCP プロ ト コルの帯域制限をサポー ト し ます。

図 174: プロテクション プロファイル VoIP オプション

VoIP について、 プロテ ク シ ョ ン プロ フ ァ イルを介し て次のオプシ ョ ンを使用できます。

ポリシーへのプロテクション プロファイルの追加

アク シ ョ ンを allow または IPSec に設定し、 またサービスを ANY、 HTTP、 FTP、IMAP、 POP3、 SMTP、 またはこれらのサービスを含むサービス グループに設定して、 フ ァ イアウォール ポ リ シーのプロテク シ ョ ン プロ フ ァ イルを有効に し ます。

FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 プロテクシ ョ ン プロ フ ァ イルを各バーチャル ド メ インのポ リ シーに追加する必要があ ります。 ポ リ シーにアクセスするには、 メ イ ン メ ニューからバーチャル ド メ イ ンを選択し ます。

1 [Firewall]、[Policy] の順に選択し ます。

2 プロテ クシ ョ ン プロ フ ァ イルを追加するポ リ シー リ ス ト を選択し ます。

た と えば、 内部ネ ッ ト ワークのユーザが Web からダウンロー ド したフ ァ イルのネ ッ ト ワーク保護を有効にするには、 内部から外部へのポ リ シー リ ス ト を選択し ます。

3 [Create New] を選択し てポ リ シーを追加するか、 または変更するポ リ シーの編集を選択し ます。

4 プロテ クシ ョ ン プロ フ ァ イルを選択し ます。

5 リ ス ト から プロテク シ ョ ン プロ フ ァ イルを選択し ます。

6 必要に応じ て、 残りのポ リ シー設定を行います。

7 [OK] を選択し ます。

8 ネ ッ ト ワーク保護を有効にするすべてのポ リ シーに対し て、 この手順を繰り返します。

[Limit RIGISTER Request] SIP REGISTER 要求の帯域制限を設定し ます ( 毎秒 )。

[Limit INVITE Request] SIP INVITE 要求の帯域制限を設定し ます ( 毎秒 )。

[Limit Call Setup] コール ク ラ イアン ト と コール マネージ ャ間の SCCP コールのセ ッ ト ア ッ プに帯域制限を設定し ます (1 分あた りのコール数 )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ファイアウォール - プロテクション プロファイル プロテクション プロファイル CLI 設定

プロテクション プロファイル CLI 設定

プロテ クシ ョ ン プロ フ ァ イルを追加、 編集、 または削除するには、 CLI コ マン ドconfig firewall profile を使用し ます。フ ァ イアウォール ポ リ シーで制御される ト ラ フ ィ ッ クに対し て異なる保護設定を適用するには、 プロテク シ ョ ン プロ フ ァ イルを使用し ます。

注記 : CLI コマン ド を使用する方法の完全な説明や例については、 『FortiGate CLI リ フ ァレンス』 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 301

302

プロテクション プロファイル CLI 設定 ファイアウォール - プロテクション プロファイル

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC IPSec インタフェース モードの概要

F0

VPN - IPSEC この項では、 Web ベース マネージャから使用可能な、 ポ リ シー ベース ( ト ンネルモー ド ) およびルー ト ベース ( イ ン タ フ ェース モー ド ) の IPSec (Internet Protocol Security) VPN オプシ ョ ンについて説明し ます。 FortiGate ユニ ッ ト は、ESP (Encapsulated Security Payload) プロ ト コルを実装し ています。 暗号化されたパケ ッ ト は、 あらゆる IP ネ ッ ト ワークで転送可能な通常のパケ ッ ト のよ う に見えます。 IKE ( イン ターネ ッ ト 鍵交換 ) は、 事前共有キーまたは X.509 デジ タル証明書に基づいて自動的に実行されます。 オプシ ョ ンで手動キーを指定できます。イ ン タ フ ェース モー ド は、 NAT/ ルー ト モー ド でのみサポー ト されます。 これは、 VPN ト ンネルのローカル エン ド に仮想イン タ フ ェ ースを作成し ます。

この項には以下の ト ピ ッ クが含まれています。

• IPSec イ ン タ フ ェース モー ドの概要

• 自動キー

• 手動キー

• コ ンセン ト レータ

• モニ タ

IPSec インタフェース モードの概要

ルー ト ベース ( イ ン タ フ ェース モー ド ) IPSec ト ンネルを定義する と、 仮想IPSec イ ン タ フ ェースが自動的に作成されます。 IKE キーの自動作成を選択するか、 または手動でキーを指定するかに関係な く 、 仮想 IPSec イ ン タ フ ェースは、IPSec フ ェーズ 1 パラ メ ータ を定義する際に選択し たローカル FortiGate の物理イ ン タ フ ェース、 アグ リゲー ト イ ン タ フ ェース、 または VLAN イ ン タ フ ェースのサブ イ ン タ フ ェース と し て作成されます。

IPSec 仮想イ ン タ フ ェースは、 VPN ピアまたはク ラ イアン ト と フ ェーズ 1 接続を確立でき る場合に起動し ます。 しかし、 フ ェーズ 2 定義に結合されるまでは、 トンネルを介し て ト ラ フ ィ ッ ク を送信するのに仮想 IPSec イン タ フ ェ ースを使用する こ とはできません。

仮想 IPSec イ ン タ フ ェースの結合は、 [System]、[Network]、[Interface] の順に選択し て表示されるページに示されます。 物理イ ン タ フ ェースに結合された ト ンネルの名前はすべて、 [Name] 列の関連する物理イン タ フ ェース名の下に表示されます。 [Interface] ページの詳細については、 69 ページの 「イ ン タ フ ェース」 を参照し て く だ さい。

IPSec 仮想イ ン タ フ ェースを ト ンネルに結合し た後、 ス タ テ ィ ッ ク ルー ト とポ リシー ルー ト 双方の特定のメ ト リ ッ ク を用いて、 ト ラ フ ィ ッ ク をそのイン タフ ェースにルーテ ィ ングする こ とができます。 また、 送信元または宛先イ ン タフ ェース と し て仮想 IPSec イ ン タ フ ェースを備えたフ ァ イアウォール ポ リ シーを作成できます。

注記 : 仮想 IPSec イン タ フ ェースはゾーンに結合できます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 303

304

IPSec インタフェース モードの概要 VPN - IPSEC

以下のいずれかの方法で、 ト ンネル モー ド コ ンセン ト レータに相当する ものを作成できます。

• 集結させる IPSec イン タ フ ェ ースの各ペア間のフ ァ イアウォール ポ リ シーを定義する。 ダイヤルア ッ プでは、 同一のイン タ フ ェ ースを送信元と宛先の両方に兼用できます。 これは、 サイ ト 間接続の数が多いと面倒な場合があ り ます。

• すべての IPSec イ ン タ フ ェースを 1 つのゾーンにま とめた後、単一のゾーン間ポ リ シーを定義する。

• すべての IPSec イ ン タ フ ェースを 1 つのゾーンにま とめ、 ゾーン内の ト ラフ ィ ッ ク を有効にする。 この場合、 複数の IPSec イ ン タ フ ェースがなければな り ません。

詳細と例については、『FortiGate IPSec VPN ユーザ ガイ ド』 を参照し て く だ さい。

ローカル FortiGate ユニ ッ ト の背後から発信された IP ト ラ フ ィ ッ クが、 IPSec トンネルのローカル エン ド と し て機能する ( つま り IPSec イ ン タ フ ェース モー ドがイ ン タ フ ェースで有効 ) FortiGate の送信イン タ フ ェ ースに到達する と、 その トラ フ ィ ッ クは ト ンネルでカプセル化され、 IPSec 仮想イ ン タ フ ェースの結合先の物理イン タ フ ェ ースを介し て転送されます。 カプセル化された リ モー ト VPN ピアまたはク ラ イアン ト から ト ラ フ ィ ッ クがローカル FortiGate の物理イン タフ ェースに到達する と、 FortiGate ユニ ッ ト は、 ト ラ フ ィ ッ クのセレ ク タ を通じて、 IPSec 仮想イ ン タ フ ェースが物理イン タ フ ェースに関連するかど うかを判断し ます。 ト ラ フ ィ ッ クは、 定義済みのセレ ク タに合致し た場合、 カプセルが解除され、 IPSec 仮想イン タ フ ェースに転送されます。

送信方向では、 FortiGate ユニ ッ ト はルー ト 検索を行っ て、 ネクス ト ホ ッ プ ルータに到達するよ う ト ラ フ ィ ッ ク を転送する イ ン タ フ ェースを見つけ出し ます。FortiGate ユニ ッ ト が特定の VPN ト ンネルに結合されている仮想イン タ フ ェースを介し たルー ト を発見し た場合、 ト ラ フ ィ ッ クは暗号化されて VPN ト ンネルを通じ て送信されます。 受信方向では、 FortiGate ユニ ッ ト は、 ESP データグラムの宛先 IP ア ド レス と SPI ( セキュ リ テ ィ パラ メ ータ イ ンデ ッ ク ス ) を用いてフ ェーズ 2 SA ( セキュ リ テ ィ アソ シエーシ ョ ン ) と合致する VPN ト ンネルを特定し ます。 合致する SA が見つかる と、 データグラムは復号化され、 関連する IPト ラ フ ィ ッ クは IPSec 仮想イ ン タ フ ェースを介し て リ ダイ レ ク ト されます。

特定のパスに関連し たフ ァ イアウォール ポ リ シーは、 送信元ア ド レス と宛先アド レスの間を通過するすべての IP ト ラ フ ィ ッ クの制御に関与し ます。 必要に応じ て、 ルー ト ベース VPN ト ンネルとの ト ラ フ ィ ッ クのフ ローを制御する複数のフ ァ イアウォール ポ リ シーを設定できます。 ルー ト ベースの IPSec ト ンネルを通じ た双方向の ト ラ フ ィ ッ ク をサポー ト するには、 送信方向の ト ラ フ ィ ッ ク と受信方向の ト ラ フ ィ ッ ク を制御する 2 つのフ ァ イアウォール ポ リ シーが必要です。

ルー ト ベース VPN によ って、 VPN ト ンネルの冗長化が容易にな り ます。 同一のIP ト ラ フ ィ ッ クに異なるルー ト メ ト リ ッ ク を使用し て、 ルー ト を設定できます。また、 VPN ト ンネルを介し たルーテ ィ ング情報の動的な交換 (RIP、 OSPF、 または BGP) も設定できます。 メ イ ンの VPN 接続に不具合が生じ た り、 ダイナ ミ ック ルーテ ィ ングでルー ト のプ ラ イオ リ テ ィ が変更された り し た場合は、 代替ルー ト が選択されて、 冗長接続経由で ト ラ フ ィ ッ クが転送されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 自動キー

自動キー

IPSec フ ェーズ 1 およびフ ェーズ 2 交換の際に固有の IKE ( イ ン ターネ ッ ト 鍵交換 ) キーを自動的に生成するよ う に、 2 つの VPN ピア ( または FortiGate ダイヤルア ッ プ サーバと VPN ク ラ イアン ト ) を設定する こ とができます。

フ ェーズ 1 およびフ ェーズ 2 で自動的に固有のキーが生成されるよ う にFortiGate ユニ ッ ト を設定するには、 [VPN]、[IPSEC]、[Auto Key (IKE)] の順に選択し ます。

フ ェーズ 2 パラ メ ータ を定義する際、 ト ンネルのセキュアな接続のセ ッ ト ア ッ プと リ モー ト ピアの認証を行う ために、 任意のフ ェーズ 1 パラ メ ータ セ ッ ト を選択できます。

自動キーの設定は、 ト ンネル モー ド と イ ン タ フ ェース モー ドの両方の VPN に適用されます。

図 175: 自動キー リスト

新しいフェーズ 1 設定の作成

フ ェーズ 1 では、 2 つの VPN ピア ( または FortiGate ダイヤルア ッ プ サーバとVPN ク ラ イアン ト ) が相互の認証を行い、 キーを交換し て、 セキュアな通信チャンネルを確立し ます。 基本的な フ ェーズ 1 設定は、 IPSec フ ェーズ 1 パラ メ ータを リ モー ト ゲー ト ウ ェ イに対応付けて、 以下について定義し ます。

• さ まざまな フ ェーズ 1 パラ メ ータが、暗号化された認証情報によ って複数のラウン ド で交換されるのか ( メ イ ン モー ド ) 、 または暗号化されていない認証情報によ っ て単一のメ ッ セージで交換されるのか ( アグレ ッ シブ モー ド )。

注記 : それぞれのフ ェーズ 1 設定に関連する フ ェーズ 2 設定は 1 つに限られます。

[Create Phase 1] 新しいフ ェーズ 1 ト ンネル設定を作成し ます。 305 ページの 「新しいフ ェーズ 1 設定の作成」 を参照し て く だ さい。

[Create Phase 2] 新しいフ ェーズ 2 ト ンネル設定を作成し ます。 311 ページの 「新しいフ ェーズ 2 設定の作成」 を参照し て く だ さい。

[Phase 1] 既存のフ ェーズ 1 ト ンネル設定の名前。

[Phase 2] 既存のフ ェーズ 2 設定の名前。

[Interface Binding] IPSec ト ンネルが結合されるローカルの物理イ ン タ フ ェース、 アグ リゲー ト イ ン タ フ ェース、 または VLAN イ ン タ フ ェースの名前。

削除アイコンと編集アイコン

フ ェーズ 1 設定を削除または編集し ます。

編集

削除

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 305

306

自動キー VPN - IPSEC

• 2 つの VPN ピア ( または VPN サーバと そのク ラ イアン ト ) の身元を認証するのに、 事前共有キーまたはデジ タル証明が使用されるか。

• 接続が試みられた際、 リ モー ト VPN ピアまたはク ラ イアン ト を識別するのに、特別な識別子、 証明書識別名、 またはグループ名が使用されるか。

基本的な IPSec フ ェーズ 1 パラ メ ータ を定義するには、 [VPN]、[IPSEC]、[Auto Key (IKE)] の順に選択し、 [Create Phase 1] を選択し ます。

図 176: [New Phase 1]

[Name] フ ェーズ 1 の定義を表す名前を入力し ます。 名前の長さは、 イン タフ ェース モー ド VPN では 大 15 文字、 ポ リ シー ベース VPN では

大 35 文字です。ト ンネル モー ド VPN では、 名前にリ モー ト 接続の起点を反映させる必要があり ます。 ルー ト ベースの ト ンネルでは、 FortiGate ユニ ッ ト も自動的に作成し た仮想 IPSec イン タ フ ェースの名前を使用し ます。

[Remote Gateway] リ モー ト 接続の性質を以下のよ う に選択し ます。

• リ モー ト ピアの IP ア ド レスがス タ テ ィ ッ ク IP ア ド レスである場合は、 [Static IP Address] を選択し ます。

• 1 つ以上の FortiClient またはダイナ ミ ッ ク IP ア ド レスを持つFortiGate ダイヤルア ッ プ ク ラ イアン ト が FortiGate ユニ ッ ト に接続する場合は、 [Dialup User] を選択し ます。

• ド メ イン名を持ち、 ダイナ ミ ッ ク DNS サービスに登録し ているリ モー ト ピアが FortiGate ユニ ッ ト に接続する場合は、[Dynamic DNS] を選択し ます。

[IP Address] [Static IP Address] を選択し た場合に、 リ モー ト ピアの IP ア ド レスを入力し ます。

[Dynamic DNS] [Dynamic DNS] を選択し た場合に、 リ モー ト ピアのド メ イン名を入力し ます。

[Local Interface] このオプシ ョ ンは、 NAT/ ルー ト モー ド でのみ使用できます。 リモー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト が FortiGate ユニ ット に接続する物理イン タ フ ェース、 アグリゲー ト イ ン タ フ ェース、または VLAN イ ン タ フ ェースの名前を選択し ます。 FortiGate ユニ ッ ト は、 IPSec イン タ フ ェースが設定されない限り、 [System]、[Network]、[Interface] の順に選択し て表示されるページの設定から イ ン タ フ ェースの IP ア ド レスを取得し ます (69 ページの 「イ ンタ フ ェース」 参照 )。 IPSec イ ン タ フ ェースが設定されている場合は、 [Advanced] 設定の [Local Gateway IP] フ ィ ールド に別の IP ア ドレスを指定できます (309 ページの 「[Local Gateway IP]」 参照 )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 自動キー

[Mode] [Main] または [Aggressive] を選択し ます。

• [Main] モー ド では、 フ ェーズ 1 パラ メ ータは暗号化された認証情報と と もに複数のラウン ド で交換されます。

• [Aggressive] モー ド では、 フ ェーズ 1 パラ メ ータは暗号化されていない認証情報と と もに単一のメ ッ セージで交換されます。

リ モー ト VPN ピアまたはク ラ イアン ト の IP ア ド レスがダイナ ミ ック IP ア ド レスである と き、 またはリ モー ト VPN ピアまたはク ラ イアン ト が識別子 ( ローカル ID) を使用し て認証される と きに、 インタ フ ェース IP ア ド レスに複数のダイヤルア ッ プ フ ェーズ 1 設定がある場合は、 [Aggressive] モー ド を選択する必要があり ます。 [Peer Options] 設定に特定のモー ドが必要になる場合があり ます。 下記の[Peer Options] を参照し て く だ さ い。

[Authentication Method]

[Preshared Key] または [SA Signature] を選択し ます。

[Pre-shared Key] [Authentication Method] で [Preshared Key] を選択し た場合、 PSK (Pre-Shared Key: 事前共有キー ) を入力し ます。 FortiGate ユニ ッ トは、 フ ェーズ 1 のネゴシエーシ ョ ン中にこの PSK を用いて、 リモー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト に対し て自分自身を認証し ます。 こ こに設定する値は、 リ モー ト ピアまたはク ラ イアン ト に設定されている値と同一である必要があ り ます。 この鍵は少な く と も 6 つの印字可能な文字を含んでいる必要があ り、 ネ ッ トワーク管理者以外に知られてはな り ません。 また、 現在既知の攻撃から 大限に保護できるよ う、 鍵はラ ンダムに選択し た 低 16 字の英数文字で設定し て く だ さい。

[Certificate Name] [Authentication Method] で [RSA Signature] を選択し た場合、 サーバ証明書の名前を選択し ます。 FortiGate ユニ ッ ト は、 フ ェーズ 1 のネゴシエーシ ョ ン中にそのサーバ証明書を用いて、 リ モー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト に対し て自分自身を認証し ます。 必要なサーバ証明書の取得と ロー ド については、 『FortiGate 証明書管理ユーザ ガイ ド』 を参照し て く だ さい。

[Peer Options] VPN ピアまたはク ラ イアン ト の認証において、 [Remote Gateway] および [Authentication Method] の設定に応じ て以下の 1 つまたは複数のオプシ ョ ンを使用できます。

[Accept any peer ID]

任意のリ モー ト VPN ピアまたはク ラ イアン ト のローカル ID を受け入れます。 FortiGate ユニ ッ ト では識別子 ( ローカル ID) の確認は行われません。 [Mode] は [Aggressive] または [Main] に設定できます。

[Accept this peer ID]

特定の識別子に基づいて リ モー ト ピアを認証し ます。 このフ ィ ールド に識別子を入力し ます。 リ モー ト ピアにも同一の識別子を設定する必要があ り ます。 このオプシ ョ ンは、 リ モー ト ピアにダイナ ミ ッ ク IP ア ド レスが設定されている場合に限り使用できます。リ モー ト ピアが FortiGate ユニ ッ ト である場合、 フ ェーズ 1 設定の [Local ID] フ ィ ールド に識別子を指定する必要があり ます。FortiClient ダイヤルア ッ プ ク ラ イアン ト に対し ては、 そのコネクシ ョ ンの [Advanced Settings] にある [Policy] セク シ ョ ンで [Config] を選択し、 [Local ID] フ ィ ールド に識別子を指定し ます。

[Accept peer ID in dialup group]

同一の VPN ト ンネルを通じ てそれぞれ固有の識別子および固有のPSK ( または固有の PSK のみ ) を使用する複数の FortiGate またはFortiClient ダイヤルア ッ プ ク ラ イアン ト を認証し ます。認証を行う ためのダイヤルア ッ プ ユーザ グループを作成する必要があ り ます。 346 ページの 「ユーザ グループ」 を参照し て く だ さい。 [Accept peer ID in dialup group] オプシ ョ ンの隣に表示される リス ト からグループを選択し ます。FortiGate ダイヤルア ッ プ ク ラ イアン ト の設定については、『FortiGate IPSec VPN ユーザ ガイ ド 』 を参照し て く だ さい。FortiClient ダイヤルア ッ プ ク ラ イアン ト の設定については、『FortiClient ダイヤルア ッ プ ク ラ イアン ト の認証に関するテ クニカル ノ ー ト 』 を参照し て く だ さい。ダイヤルア ッ プ ク ラ イアン ト が固有の識別子および固有の PSK を使用する場合、 [Mode] を [Aggressive] に設定する必要があり ます。ダイヤルア ッ プ ク ラ イアン ト が固有の PSK のみを使用し、 このイン タ フ ェース IP ア ド レスに対するダイヤルア ッ プ フ ェーズ 1 設定が 1 つしかない場合は、 [Mode] を [Main] に設定できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 307

308

自動キー VPN - IPSEC

フェーズ 1 詳細設定の定義

詳細な [P1 Proposal] パラ メ ータ では、 IKE 交換のキーを生成するためにFortiGate ユニ ッ ト が使用する暗号化および認証アルゴ リズムを選択し ます。 付加的な フ ェーズ 1 詳細設定を選択する こ と で、 フ ェーズ 1 ネゴシエーシ ョ ンの円滑な運用を保証できます。

IPSec フ ェーズ 1 詳細パラ メ ータ を変更するには、 [VPN]、[IPSEC]、[Auto Key (IKE)] の順に選択し、 [Create Phase 1] を選択し た後、 [Advanced] を選択し ます。

図 177: フェーズ 1 詳細設定

[Accept this peer certificate only]

セキュ リ テ ィ 証明書を使用し て、 リ モー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト を認証し ます。 このオプシ ョ ンの隣に表示される リ ス ト から証明書を選択し ます。証明書は、 [User]、[PKI] の順に選択し て表示されるページでFortiGate 設定にピア証明書を追加し てからでないと、 選択できません。 詳細については、 PKI 証明書を参照し て く だ さい。リ モー ト VPN ピアまたはク ラ イアン ト にダイナ ミ ッ ク IP ア ド レスが設定されている場合は、 [Mode] を [Aggressive] に設定し ます。このオプシ ョ ンは、 [Authentication Method] が [RSA Signature] に設定されている場合に使用できます。

[Accept this peer certificate group only]

証明書グループを使用し て、 ダイナ ミ ッ ク IP ア ド レスを持ち、 なおかつ固有の証明書を使用するダイヤルア ッ プ ク ラ イアン ト を認証し ます。リ ス ト から ピア グループの名前を選択し ます。 グループは、 CLI コマン ド config user peergrp を実行し てグループを作成し てから でないと、 選択できません。 詳細については、 『FortiGate CLI リフ ァ レンス』 の章 「ユーザ」 を参照し て く だ さい。 ピア グループのメ ンバは、 [User]、[PKI] の順に選択し て表示されるページか、または CLI コマン ド config user peer で追加された証明書である必要があり ます。リ モー ト VPN ピアまたはク ラ イアン ト にダイナ ミ ッ ク IP ア ド レスが設定されている場合は、 [Mode] を [Aggressive] に設定し ます。このオプシ ョ ンは、 [Authentication Method] が [RSA Signature] に、また [Remote Gateway] が [Dialup User] に設定されている場合に使用できます。

[Advanced] フ ェーズ 1 詳細パラ メ ータ を定義し ます。 308 ページの 「フ ェーズ1 詳細設定の定義」 を参照し て く だ さい。

追加

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 自動キー

[Enable IPSec Interface Mode]

VPN ト ンネルのローカル エン ド に仮想イ ン タ フ ェースを作成し ます。これは、 ト ラ ンスペアレン ト モー ド では使用できません。

[Local Gateway IP] [Enable IPSec Interface Mode] を選択し た場合、 VPN ト ンネルのローカル エン ドの IP ア ド レスを指定する必要があり ます。 次のいずれかを選択し ます。

• [Main Interface IP] ― FortiGate ユニ ッ ト は、 [System]、[Network]、[Interface] の順に選択し て表示される設定から インタ フ ェースの IP ア ド レスを取得し ます (69 ページの 「イ ン タフ ェース」 参照 )。

• [Specify] ― IP ア ド レスを指定し ます。 IP ア ド レスは、 フ ェーズ 1の [Local Interface] フ ィ ールド で選択された物理イ ン タ フ ェース、アグ リゲー ト イ ン タ フ ェース、 または VLAN イ ン タ フ ェースに割り当てられます (306 ページの 「[Local Interface]」 参照 )。

ト ラ ンスペアレン ト モー ド VDOM でイ ン タ フ ェース モー ドは設定できません。

[P1 Proposal] ネゴシエーシ ョ ンを保護するためのキーの生成に使用する暗号化および認証アルゴ リズムを選択し ます。必要に応じ て、 暗号化および認証アルゴ リズムを追加または削除します。 組み合わせを 低で 1 つ、 高で 3 つ選択し ます。 定義されたプロポーザルを少な く と も 1 つは使用するよ う にリ モー ト ピアまたはク ラ イアン ト を設定する必要があり ます。

以下のいずれかの対称キー アルゴ リズムを選択できます。

• DES (Digital Encryption Standard) ― 56 ビ ッ ト キーを使用する 64ビ ッ ト ブロ ッ ク アルゴ リズム。

• 3DES ― プレーン テキス ト が 3 つのキーで 3 回暗号化される ト リプル DES。

• AES128 ― 128 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

• AES192 ― 192 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

• AES256 ― 256 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

次のメ ッ セージ ダイジ ェ ス ト のいずれかを選択し て、 フ ェーズ 1 ネゴシエーシ ョ ン中のメ ッ セージの信憑性を確認する こ とができます。

• MD5 (Message Digest 5) ― RSA Data Security が開発し たハッ シュ アルゴ リズム。

• SHA1 (Secure Hash Algorithm 1) ― 160 ビ ッ ト のメ ッ セージ ダイジ ェ ス ト を生成するアルゴ リズム。

3 つ目の組み合わせを指定するには、 2 つ目の組み合わせのフ ィ ールドの隣にある追加ボタ ンを ク リ ッ ク し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 309

310

自動キー VPN - IPSEC

[DH Group] DH グループ 1、 2、 および 5 から、 Diffie-Hellman グループを 1 つ以上選択し ます。アグレ ッ シブ モー ド を使用する場合、 DH グループをネゴシエー トする こ とはできません。

• 両方の VPN ピア ( または VPN サーバと そのク ラ イアン ト ) がス タテ ィ ッ ク IP ア ド レスを持ち、 アグレ ッ シブ モー ド を使用する場合は、 単一の DH グループを選択し ます。 FortiGate ユニ ッ ト の設定は、 リ モー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト の設定と同一である必要があり ます。

• VPN ピアまたはク ラ イアン ト がダイナ ミ ッ ク IP ア ド レスを持ち、アグレ ッ シブ モー ド を使用する場合、 FortiGate ユニ ッ ト では大 3 つの DH グループを、 また リ モー ト ピアまたはダイヤルア ップ ク ラ イアン ト では 1 つの DH グループを選択し ます。リ モー ト ピアまたはク ラ イアン ト の設定は、 FortiGate ユニ ッ ト の選択のいずれか 1 つ と同一である必要があり ます。

• VPN ピアまたはク ラ イアン ト がメ イン モー ド を使用し ている場合、 複数の DH グループを選択できます。 少な く と も 1 つのリモー ト ピアまたはク ラ イアン ト の設定は、 FortiGate ユニ ッ ト の選択と同一である必要があり ます。

[Keylife] IKE 暗号化キーが期限切れになるまでの時間 ( 秒 ) を入力し ます。キーが期限切れになる と、 サービスを中断させる こ と な く 、 新し いキーが生成されます。 [Keylife] は 120 ～ 172800 秒に設定できます。

[Local ID] FortiGate ユニ ッ ト が VPN ク ラ イアン ト と し て動作し、 認証にピアID を使用し ている場合は、 フ ェーズ 1 交換中に FortiGate ユニ ッ トが VPN サーバに提供する識別子を入力し ます。FortiGate ユニ ッ ト が VPN ク ラ イアン ト と し て動作し、 認証にセキュ リ テ ィ 証明書を使用し ている場合は、 FortiGate ユニ ッ ト が認証に使用するローカル サーバ証明書の識別名 (DN) を選択し ます。FortiGate ユニ ッ ト がダイヤルア ッ プ ク ラ イアン ト で、 他のダイヤルア ッ プ ク ラ イアン ト と ト ンネルを共有し ない場合 ( つま り、 ト ンネルがこの FortiGate のダイヤルア ッ プ ク ラ イアン ト 専用と なる場合)、 [Mode] を [Aggressive] に設定し ます。

[XAuth] このオプシ ョ ンは、 ダイヤルア ッ プ ク ラ イアン ト の認証をサポー トするために用意されています。FortiGate ユニ ッ ト がダイヤルア ッ プ ク ラ イアン ト で、 [XAuth] の設定と し て [Enable as Client] を選択する場合は、 FortiGate ユニ ッ ト がリ モー ト の XAuth サーバに対し て自己認証するために必要なユーザ名とパスワー ド を入力し ます。[Remote Gateway] が [Dialup User] に設定され、 ダイヤルア ッ プ ク ライアン ト がダイヤルア ッ プ グループのメ ンバと し て認証を行う場合、 FortiGate ユニ ッ ト は XAuth サーバと し て動作できます。 [Enable as Server] を選択するには、 FortiGate ユニ ッ ト の背後のネ ッ ト ワークへのア クセスが必要なダイヤルア ッ プ ク ラ イアン ト を識別するために、 まずユーザ グループを作成し なければな り ません。 See 349ページの 「ユーザ グループの設定」 .また、 認証リ クエス ト を外部の RADIUS または LDAP 認証サーバに転送されるよ う に、 FortiGate ユニ ッ ト を設定する必要があ り ます。これらの ト ピ ッ クの詳細については、 341 ページの 「RADIUS サーバの設定」 または 342 ページの 「LDAP サーバの設定」 を参照し て くだ さい。FortiGate ユニ ッ ト 、XAuth ク ラ イアン ト 、および外部認証サーバの間で使用する暗号化の種類を決定するには、 [Server Type] の設定を選択し、続いて [User Group] リ ス ト からユーザ グループを選択し ます。

[Nat-traversal] ローカル FortiGate ユニ ッ ト と VPN ピアまたはク ラ イアン ト との間に NAT デバイスが存在する場合は、 このオプシ ョ ンを有効にし ます。 信頼性の高い接続を確立するには、 ローカル FortiGate ユニ ッ トと VPN ピアまたはク ラ イアン ト の NAT ト ラバーサル設定が同一である必要があり ます ( 両方を選択または解除 )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 自動キー

新しいフェーズ 2 設定の作成

IPSec フ ェーズ 1 ネゴシエーシ ョ ンが無事に完了する と、 フ ェーズ 2 が始ま り ます。 フ ェーズ 2 パラ メ ータは、 残りのセ ッ シ ョ ンでデータ を暗号化および転送するために FortiGate ユニ ッ ト が使用でき るアルゴ リズムを定義し ます。 フ ェーズ2 の間、 セキュ リ テ ィ サービスの実装に必要な特定の IPSec セキュ リ テ ィ アソシエーシ ョ ンが選択され、 ト ンネルが確立されます。

基本的なフ ェーズ 2 設定は、 VPN ト ンネルのリ モー ト エン ド ポイ ン ト を指定する フ ェーズ 1 設定に IPSec フ ェーズ 2 パラ メ ータ を対応付けます。 ほとんどの場合、 設定する必要があるのは基本的な フ ェーズ 2 設定のみです。

フ ェーズ 2 を設定するには、 [VPN]、[IPSEC]、[Auto Key (IKE)] の順に選択し、[Create Phase 2] を選択し ます。

図 178: [New Phase 2]

フェーズ 2 詳細設定の定義

フ ェーズ 2 では、 FortiGate ユニ ッ ト と VPN ピアまたはク ラ イアン ト が再びキーを交換し合い、 セキュアな通信チャ ンネルを確立し ます。 [P2 Proposal] パラ メ ータ では、 セキュ リ テ ィ アソ シエーシ ョ ン (SA) の実装詳細を保護するために、キーの生成に必要な暗号化および認証アルゴ リズムを選択し ます。 キーは、Diffie-Hellman のアルゴ リズムを使用し て、 自動的に生成されます。

フ ェーズ 2 では、 ト ンネルの動作を拡張する詳細設定が多数使用できます。IPSec フ ェーズ 2 詳細パラ メ ータ を変更するには、 [VPN]、[IPSEC]、[Auto Key (IKE)] の順に選択し、 [Create Phase 2] を選択し た後、 [Advanced] を選択し ます。

[Keepalive Frequency]

NAT ト ラバーサルを有効にし た場合は、 キープアラ イブ間隔の設定を入力し ます。 値は、 0 ～ 900 秒の間隔を設定できます。

[Dead Peer Detection]

このオプシ ョ ンを有効にする と、 アイ ドル状態の接続において VPNト ンネルが回復する と と もに、 必要に応じ て、 切断された IKE ピアが除去されます。 このオプシ ョ ンを使用する こ と で、 ト ンネルが作動または停止し た際に通知を受けた り、 またはオプシ ョ ンを有効にする こ と で、 ト ラ フ ィ ッ クが ト ンネル内で生成されないと きに ト ンネル接続を開いたままにし てお く こ とができます ( た と えば、 定期的に変化する IP ア ド レスからダイヤルア ッ プ ク ラ イアン ト またはダイナ ミ ッ ク DNS ピアが接続し、 IP ア ド レスが変化する間、 ト ラフ ィ ッ クが一時的に中断されるよ う な状況において )。[Dead Peer Detection] オプシ ョ ンが選択されている場合、 CLI コマンド config vpn ipsec phase1 ( ト ンネル モー ド ) または configvpn ipsec phase1-interface ( イン タ フ ェース モー ド ) を使用し て、 リ ト ラ イの回数と間隔をオプシ ョ ンで指定できます。詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

[Name] フ ェーズ 2 の設定を識別する名前を入力し ます。

[Phase 1] フ ェーズ 1 ト ンネル設定を選択し ます。 305 ページの 「新し いフ ェーズ1 設定の作成」 を参照し て く だ さい。 フ ェーズ 1 設定では、 リ モー トVPN ピアまたはク ラ イアン ト がこの ト ンネルでどのよ う に認証されるのか、 また リ モー ト ピアまたはク ラ イアン ト への接続がどのよ う に保護されるのかが設定されます。

[Advanced] フ ェーズ 2 詳細パラ メ ータ を定義し ます。 311 ページの 「フ ェーズ 2 詳細設定の定義」 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 311

312

自動キー VPN - IPSEC

図 179: フェーズ 2 詳細設定

[P2 Proposal] データ を暗号化コー ド に変えるために使用する暗号化および認証アルゴリズムを選択し ます。必要に応じ て、 暗号化および認証アルゴ リズムを追加または削除し ます。 組み合わせを 低で 1 つ、 高で 3 つ選択し ます。 定義されたプロポーザルを少な く と も 1 つは使用するよ う にリ モー ト ピアを設定する必要があり ます。

以下のいずれかの対称キー アルゴ リズムを選択できます。

• NULL ― 暗号化アルゴ リズムは使用し ません。

• DES (Digital Encryption Standard) ― 56 ビ ッ ト キーを使用する 64 ビ ット ブロ ッ ク アルゴ リズム。

• 3DES ― プレーン テキス ト が3 つのキーで 3回暗号化される ト リ プルDES。

• AES128 ― 128 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

• AES192 ― 192 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

• AES256 ― 256 ビ ッ ト キーを使用する 128 ビ ッ ト ブロ ッ ク アルゴリズム。

次のメ ッ セージ ダイジ ェ ス ト のいずれかを選択し て、 暗号化されたセ ッ シ ョ ン中のメ ッ セージの信憑性を確認する こ とができます。

• NULL ― メ ッ セージ ダイジ ェ ス ト は使用し ません。

• MD5 (Message Digest 5) ― RSA Data Security が開発し たハッ シュ アルゴ リズム。

• SHA1 (Secure Hash Algorithm 1) ― 160 ビ ッ ト のメ ッ セージ ダイジ ェス ト を生成するアルゴ リズム。

組み合わせを 1 つだけ指定するには、2 つ目の組み合わせの [Encryption] および [Authentication] オプシ ョ ンを [NULL] に設定し ます。 3 つ目の組み合わせを指定するには、 2 つ目の組み合わせのフ ィ ールドの隣にある追加ボタ ンを ク リ ッ ク し ます。

[Enable replay detection]

オプシ ョ ンで、 リ プレ イの検知を有効または無効にし ます。 リ プレ イ攻撃は、 許可されていない相手が一連の IPSec パケ ッ ト を傍受し、 ト ンネルに向けてそれを再送信する こ と で発生し ます。

[Enable perfect forward secrecy (PFS)]

PFS を有効または無効にし ます。 PFS (Perfect Forward Secrecy) は、キーの期限が切れるたびに新しい Diffie-Hellman 交換を強制的に実行する こ と によ り、 セキュ リ テ ィ を強化し ます。

[DH Group] Diffie-Hellman グループを 1 つ選択し ます (1、 2、 または 5)。 同一のグループを使用するよ う にリ モー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト を設定する必要があり ます。

追加

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 自動キー

[Keylife] フ ェーズ 2 キーの期限を定める方法を、 [Seconds] ( 秒 )、 [KBytes] ( キロバイ ト )、 または [Both] ( その両方 ) から選択し ます。 [Both] を選択し た場合、 指定の時間が経過するか、 または指定のバイ ト 数の処理が完了する と、 キーは期限切れと な り ます。 範囲は 120 ～ 172800 秒、 または5120 ～ 2147483648 KB です。

[Autokey Keep Alive]

データが処理されていない間も ト ンネルを有効にし てお く 場合は、 このオプシ ョ ンを有効にし ます。

[DHCP-IPSec] FortiGate ユニ ッ ト がダイヤルア ッ プ サーバと し て動作し、 FortiClient のダイヤルア ッ プ ク ラ イアン ト への VIP ア ド レスの割り当てに FortiGate DHCP リ レーが使用される場合は、 [Enable] を選択し ます。 DHCP リレーのパラ メ ータは、 別途設定する必要があり ます。 詳細については、117 ページの 「システム - DHCP」 を参照し て く だ さい。FortiGate ユニ ッ ト がダイヤルア ッ プ サーバと し て動作し、 ダイヤルア ッ プ サーバの背後のネ ッ ト ワーク と一致する FortiClient ダイヤルア ップ ク ラ イアン ト VIP ア ド レスを手動で割り当てた場合は、 [Enable] を選択し て、 FortiGate ユニ ッ ト がダイヤルア ッ プ ク ラ イアン ト のプロキシと し て動作するよ う にし ます。これは、 ダイヤルア ッ プ フ ェーズ 1 設定に関連し た ト ンネル モー ドのフ ェーズ 2 設定にのみ使用できます。

注記 : FortiGate ユニ ッ ト を介し て VPN ユーザがイン ターネ ッ ト を閲覧できるよ う にするこ とが可能です。 314 ページの 「イ ン ターネ ッ ト ブラウジング設定」 を参照し て く だ さい。

[Quick Mode Selector]

オプシ ョ ンで、 IKE ネゴシエーシ ョ ンのセレ ク タ と し て使用する送信元および宛先 IP ア ド レスを指定し ます。 FortiGate ユニ ッ ト がダイヤルア ッ プ サーバである場合、 VPN を構成する 1 つ以上のプ ラ イベー ト ネ ッ ト ワーク間の IP ア ド レスが不明瞭なこ とによ って生じ る問題を防止する必要がある場合を除き、 デフ ォル ト 値の 0.0.0.0/0 を変更し ないでく ださ い。 単一のホス ト IP ア ド レス、 IP ア ド レス範囲、 またはネ ッ トワーク ア ド レスを指定できます。 オプシ ョ ンで、 送信元と宛先のポート 番号またはプロ ト コル番号、 あるいはその両方を指定できます。既存のフ ェーズ 2 設定を編集する場合、 フ ァ イアウォールのア ド レスをセレ ク タ と し て使用するよ う に ト ンネルが設定されている と、 [Source address] と [Destination address] のフ ィ ールドは使用できません。 このオプシ ョ ンは CLI でのみ使用できます。 『FortiGate CLI リ フ ァ レンス』で、 vpn ipsec phase2 コマン ドのキーワー ド、 dst-addr-type、dst-name、 src-addr-type、 および src-name を参照し て く だ さい。

[Source address] FortiGate ユニ ッ ト がダイヤルア ッ プ サーバである場合、 ローカル送信者またはローカル VPN ピアの背後のネ ッ ト ワークに対応する送信元 IP ア ド レスを入力し ます ( た と えば、 サブネ ッ ト には172.16.5.0/24 または172.16.5.0/255.255.255.0、 サーバまたはホス ト には 172.16.5.1/32 または172.16.5.1/255.255.255.255、 あるいはア ドレス範囲には 192.168.10.[80-100] または192.168.10.80-192.168.10.100 など )。0.0.0.0/0の値は、ローカル VPN ピアの背後のすべての IP ア ド レスを意味し ます。FortiGate ユニ ッ ト がダイヤルア ッ プ ク ラ イアン トである場合、 送信元ア ド レスは、 FortiGate ダイヤルア ッ プ ク ラ イアン ト の背後のプ ラ イベー ト ネ ッ トワーク を参照する必要があり ます。

[Source port] 指定されたサービス ( プロ ト コル番号 ) に関係するト ラ フ ィ ッ ク を伝送するためにローカル VPN ピアが使用するポー ト 番号を入力し ます。 範囲は 0 ～ 65535 です。 すべてのポー ト を指定するには、 0 を入力し ます。

[Destination address]

受信者またはリ モー ト VPN ピアの背後のネ ッ トワークに対応する宛先 IP ア ド レスを入力し ます ( たと えば、 サブネ ッ ト には 192.168.20.0/24、 サーバまたはホス ト には 172.16.5.1/32、 あるいはアド レス範囲には 192.168.10.[80-100] など )。0.0.0.0/0の値は、リ モー ト VPN ピアの背後のすべての IP ア ド レスを意味し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 313

314

自動キー VPN - IPSEC

インターネット ブラウジング設定

FortiGate ユニ ッ ト を介し て VPN ユーザがイン ターネ ッ ト を閲覧できるよ う にする こ とが可能です。 これはフ ァ イアウォールのポ リ シーで行います。 必要なポ リ シーは、 ポ リシー ベース VPN とルー ト ベース VPN で異な り ます。 フ ァ イアウォール ポ リ シーの詳細については、 226 ページの 「フ ァ イアウォール ポ リ シーの設定」 を参照し てく だ さい。

ポリシー ベース VPN インターネット ブラウジング設定

追加のフ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

ルート ベース VPN インターネット ブラウジング設定

追加のフ ァ イアウォール ポ リ シーを次のよ う に設定し ます。

[Destination port] 指定されたサービス ( プロ ト コル番号 ) に関係するト ラ フ ィ ッ ク を伝送するためにリ モー ト VPN ピアが使用するポー ト 番号を入力し ます。 範囲は 0 ～ 65535 です。 すべてのポー ト を指定するには、 0 を入力し ます。

[Protocol] サービスの IP プロ ト コル番号を入力し ます。 範囲は 1 ～ 255 です。 すべてのサービスを指定するには、 0 を入力し ます。

[Source Interface/Zone] FortiGate ユニ ッ ト のパブ リ ッ ク イン タ フ ェースを選択し ます。

[Source Address Name] [All] を選択し ます。

[Destination Interface/Zone] FortiGate ユニ ッ ト のパブ リ ッ ク イン タ フ ェースを選択し ます。

[Destination Address Name] リ モー ト ネ ッ ト ワーク ア ド レスの名前を選択し ます。

[Action] [IPSEC] を選択し ます。

[VPN Tunnel] FortiGate ユニ ッ ト の背後にあるプラ イベー ト ネ ッ トワークへのア クセスを提供する ト ンネルを選択し ます。

[Inbound NAT] 有効にし ます。

必要に応じ て、 他の設定を行います。

[Source Interface/Zone] IPSec イン タ フ ェースを選択し ます。

[Source Address Name] [All] を選択し ます。

[Destination Interface/Zone] FortiGate ユニ ッ ト のパブ リ ッ ク イン タ フ ェースを選択し ます。

[Destination Address Name] [All] を選択し ます。

[Action] [ACCEPT] を選択し ます。

[NAT] 有効にし ます。

必要に応じ て、 他の設定を行います。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC 手動キー

手動キー

必要に応じ て、 IPSec VPN ト ンネルを確立するための暗号化キーを手動で定義できます。 手動キーは、 次のよ う な状況で定義し ます。

• 暗号化キーまたは認証キー、 あるいはその両方の予備知識が求められる場合 ( つま り、 VPN ピアの 1 つに特定の IPSec 暗号化キーまたは認証キー、 あるいはその両方が必要な場合 )。

• 暗号化と認証を無効にする必要がある場合。

どち らの場合も、 IPSec のフ ェーズ 1 およびフ ェーズ 2 のパラ メ ータは指定せず、 [VPN]、[IPSEC]、[Manual Key] の順に選択し て表示されるページで手動キーを定義し ます。

図 180: 手動キー リスト

新しい手動キー設定の作成

VPN デバイスの 1 つが特定の特定の認証キーまたは暗号化キー、 あるいはその両方を使用し て ト ンネルを確立する場合、 両方の VPN デバイスを同一の認証キーまたは暗号化キー、 あるいはその両方を使用するよ う に設定する必要があ ります。 また、 両方の VPN デバイスを相補的な SPI ( セキュ リ テ ィ パラ メ ータ インデ ッ クス ) で設定する こ とが重要です。

各 SPI は、 SA ( セキュ リ テ ィ アソシエーシ ョ ン ) を識別し ます。 値は、 ESPデータグラムを SA に リ ン クするために、 そのデータグラムに配置されます。ESP データグラムを受信する と、 受信者は SPI を参照し て、 データグラムに適用する SA を決定し ます。 SPI は、 SA ご とに手動で指定する必要があ り ます。 SAは一方向のみの通信に適用されるため、 VPN デバイス間の双方向通信に対応するには、 設定ご とに 2 つの SPI を指定し なければな り ません ( ローカル SPI と リモー ト SPI)。

注記 : キーの機密を保持するためには、 ネ ッ ト ワーク管理者が信頼できる人物でなければな り ません。 また、 リ モー ト VPN ピアにセキュアな方法で変更を伝えるのが困難な場合があり ます。 以上の理由から、 手動キーを定義する こ とは安全または現実的でないこ とがあり ます。

[Create New] 新し い手動キー設定を作成し ます。 315 ページの 「新し い手動キー設定の作成」 を参照し て く だ さ い。

[Tunnel Name] 既存の手動キー設定の名前。

[Remote Gateway] リ モー ト ピアまたはダイヤルア ッ プ ク ラ イアン ト の IP ア ド レス。

[Encryption Algorithm]

手動キー設定で指定された暗号化アルゴ リズムの名前。

[Authentication Algorithm]

手動キー設定で指定された認証アルゴ リズムの名前。

削除アイコンと編集アイコン

手動キー設定を削除または編集し ます。

編集

削除

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 315

316

手動キー VPN - IPSEC

ト ンネルを作成するための手動キーを指定するには、 [VPN]、[IPSEC]、[Manual Key] の順に選択し、 [Create New] を選択し ます。

図 181: [New Manual Key]

!注意 : 特定の設定におけるセキュ リ テ ィ ポ リ シー、 SA、 セレ ク タ、 および SA データベースについて熟知し ていない場合は、 適格の支援を受ける こ と な く 下記の手順を実施しないで く だ さ い。

[Name] VPN ト ンネルの名前を入力し ます。 名前の長さは、 イン タ フ ェース モー ド VPN では 大 15 文字、 ポリ シー ベース VPN では 大 35 文字です。

[Local SPI] ローカル FortiGate ユニ ッ ト の送信 ト ラ フ ィ ッ ク を処理する SA を表す、 16 進数の値 ( 大 8 文字、 0 ～ 9、 a ～ f) を入力し ます。 有効範囲は、 0x100 ～ 0xffffffff です。 この値は、 リ モー ト ピアの手動キー設定における [Remote SPI] の値と一致する必要があ り ます。

[Remote SPI] ローカル FortiGate ユニ ッ ト の受信 ト ラ フ ィ ッ ク を処理する SA を表す、 16 進数の値 ( 大 8 文字、 0 ～ 9、 a ～ f) を入力し ます。 有効範囲は、 0x100 ～ 0xffffffff です。 この値は、 リ モー ト ピアの手動キー設定における [Local SPI] の値と一致する必要があり ます。

[Remote Gateway] リ モー ト ピアへのパブ リ ッ ク イ ン タ フ ェースの IP ア ド レスを入力し ます。 このア ド レスは、 ESP データ グラムの受信者を識別し ます。

[Local Interface] このオプシ ョ ンは、 NAT/ ルー ト モー ド でのみ使用できます。 IPSecト ンネルが結合される物理イン タ フ ェース、 アグリゲー ト イン タフ ェース、 または VLAN イン タ フ ェースの名前を選択し ます。FortiGate ユニ ッ ト は、 [System]、[Network]、[Interface] の順に選択し て表示されるページの設定から IP ア ド レスを取得し ます (69ページの 「イン タ フ ェース」 参照 )。

[Encryption Algorithm]

以下のいずれかの対称キー暗号化アルゴ リズムを選択し ます。

• DES (Digital Encryption Standard) ― 56 ビ ッ ト キーを使用する 64ビ ッ ト ブロ ッ ク アルゴ リズム。

• 3DES ― プレーン テキス ト が 3 つのキーで 3 回暗号化される ト リプル DES。

• AES128 ― 128ビ ッ ト キーを使用する128ビ ッ ト ブロ ッ ク アルゴリズム。

• AES192 ― 192ビ ッ ト キーを使用する128ビ ッ ト ブロ ッ ク アルゴリズム。

• AES256 ― 256ビ ッ ト キーを使用する128ビ ッ ト ブロ ッ ク アルゴリズム。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC コンセントレータ

コンセントレータ

ハブアン ド スポークの構成では、 多数のリ モー ト ピアへのポ リ シー ベース VPN接続は、 中央にある単一の FortiGate ユニ ッ ト から放射状に広がり ます。 リ モート ピア同士のサイ ト 間接続は存在し ないものの、 FortiGate ユニ ッ ト の 「ハブ」を介し て、 任意の 2 つのリ モー ト ピア間に VPN ト ンネルを確立できます。

ハブアン ド スポーク ネ ッ ト ワークでは、 VPN ト ンネルはすべてハブが終点と なり ます。 ハブに接続するピアは 「スポーク」 と呼ばれます。 ハブは、 ネ ッ ト ワークのコ ンセン ト レータ と し て機能し、 スポーク間のすべての VPN 接続を管理します。 VPN ト ラ フ ィ ッ クは、 ハブを介し て 1 つの ト ンネルから別の ト ンネルへと進みます。

コ ンセン ト レータは、 ハブアン ド スポーク設定にスポークが含まれるよ う に定義し ます。

コ ンセン ト レータ を定義するには、 [VPN]、[IPSEC]、[Concentrator] の順に選択し ます。

[Encryption Key] 以下に従って入力し ます。

• DES を選択し た場合は、 16 字の 16 進数 (0 ～ 9、 a ～ f) を入力します。

• 3DES を選択し た場合は、16 字のセグ メ ン ト 3 つに分けた 48 字の16 進数 (0 ～ 9、 a ～ f) を入力し ます。

• AES128 を選択し た場合は、16 字のセグ メ ン ト 2 つに分けた 32 字の 16 進数 (0 ～ 9、 a ～ f) を入力し ます。

• AES192 を選択し た場合は、16 字のセグ メ ン ト 3 つに分けた 48 字の 16 進数 (0 ～ 9、 a ～ f) を入力し ます。

• AES256 を選択し た場合は、16 字のセグ メ ン ト 4 つに分けた 64 字の 16 進数 (0 ～ 9、 a ～ f) を入力し ます。

[Authentication Algorithm]

以下のいずれかのメ ッ セージ ダイジ ェ ス ト を選択し ます。

• MD5 (Message Digest 5) ― 128 ビ ッ ト のメ ッ セージ ダイジ ェ ス トを生成するアルゴ リズム。

• SHA1 (Secure Hash Algorithm 1) ― 160 ビ ッ ト のメ ッ セージ ダイジ ェ ス ト を生成するアルゴ リズム。

[Authentication Key] 以下に従って入力し ます。

• MD5 を選択し た場合は、16字のセグ メ ン ト 2 つに分けた 32字の16進数 (0 ～ 9、 a ～ f) を入力し ます。

• SHA1 を選択し た場合は、16 字のセグ メ ン ト と 24 字のセグ メ ン トに分けた 40 字の 16 進数 (0 ～ 9、 a ～ f) を入力し ます。

[IPSec Interface Mode]

VPN ト ンネルのローカル エン ド に仮想イン タ フ ェースを作成し ます。このオプシ ョ ンは、 NAT/ ルー ト モー ド でのみ使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 317

318

コンセントレータ VPN - IPSEC

図 182: コンセントレータ リスト

コンセントレータ オプションの定義

コ ンセン ト レータの設定では、 IPSec ハブアン ド スポーク設定に含めるスポークを指定し ます。

IPSec ハブアン ド スポーク設定のスポーク を指定するには、 [VPN]、[IPSEC]、[Concentrator] の順に選択し、 [Create New] を選択し ます。

図 183: [New VPN Concentrator]

[Create New] IPSec ハブアン ド スポーク設定の新し いコ ンセン ト レータ を定義します。 318 ページの 「コ ンセン ト レータ オプシ ョ ンの定義」 を参照し て く だ さい。

[Concentrator Name] 既存の IPSec VPN コ ンセン ト レータの名前。

[Members] コ ンセン ト レータ に関連する ト ンネル。

削除アイコンと編集アイコン

コ ンセン ト レータ を削除または編集し ます。

編集

削除

[Concentrator Name]

コ ンセン ト レータの名前を入力し ます。

[Available Tunnels] 定義済みの IPSec VPN ト ンネルのリ ス ト 。 リ ス ト から ト ンネルを選択し てから、 右向きの矢印を ク リ ッ ク し ます。 スポークに関連するト ンネルがすべてコ ンセン ト レータに含まれるまで、 この手順を繰り返し ます。

[Members] コ ンセン ト レータのメ ンバである ト ンネルのリ ス ト 。 コ ンセン トレータから ト ンネルを削除するには、 ト ンネルを選択し て、 左向きの矢印を ク リ ッ ク し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - IPSEC モニタ

モニタ

モニ タ を使用する と、 IPSec VPN ト ンネルの活動を表示し た り、 それらの ト ンネルを開始または停止した りする こ とができます。 デ ィ スプレ イには、 ト ンネル モー ドやルー ト ベース ( イン タ フ ェ ース モー ド ) ト ンネルなどのすべてのアクテ ィ ブな ト ンネルについて、 ア ド レスのリ ス ト 、 プロキシ ID、 およびタ イムアウ ト 情報が表示されます。

アク テ ィ ブな ト ンネルを表示するには、 [VPN]、[IPSEC]、[Monitor] の順に選択し ます。

図 184: モニタ リスト

[Dialup] リ ス ト では、 ダイヤルア ッ プ ク ラ イアン ト に対し て確立された ト ンネルのステータ ス情報が表示されます。 リ ス ト には、 ダイヤルア ッ プ ク ラ イアン トの IP ア ド レス と、 アク テ ィ ブなすべての ト ンネルの名前が表示されます。 リ スト に表示される ト ンネルの数は、 ダイヤルア ッ プ ク ラ イアン ト が接続し た り切断し た り するたびに変わる可能性があ り ます。

[ 次ページ ] および [前ページ ] アイコン

ダイヤルア ッ プ ト ンネル ステータ ス リ ス ト の前のページまたは次のページを表示し ます。

[Name] 設定された ト ンネルの名前。

[Remote Gateway] リ モー ト ホス ト デバイスのパブ リ ッ ク IP ア ド レスおよび UDPポー ト 。 または、 リ モー ト ホス ト の前に NAT デバイスがある場合は、 NAT デバイスのパブ リ ッ ク IP ア ド レスおよび UDP ポー ト 。

[Username] ダイヤルア ッ プ ク ラ イアン ト のピア ID、 証明書の名前、 またはXAuth ユーザ名 ( 認証を行う ために、 ピア ID、 証明書の名前、 または XAuth ユーザ名がダイヤルア ッ プ ク ラ イアン ト に割り当てられた場合 )。

[Timeout] 次のフ ェーズ 2 キー交換までの時間。 時間は、 前回のキー交換からの経過時間をキーラ イ フから差し引いて計算されます。 フ ェーズ 2キーが期限切れになる と、 サービスを中断させる こ と な く 、 新しいキーが生成されます。

[Proxy ID Source] FortiGate ユニ ッ ト の背後にあるホス ト 、 サーバ、 またはプ ラ イベー ト ネ ッ ト ワークの IP ア ド レス。 フ ァ イアウォール暗号化ポ リシーの送信元ア ド レスが IP ア ド レスの範囲と なっ ている場合は、ネ ッ ト ワーク範囲が表示される こ とがあり ます。

前ページ

次ページ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 319

320

モニタ VPN - IPSEC

ス タ テ ィ ッ ク IP およびダイナ ミ ッ ク DNS のリ ス ト では、 ス タ テ ィ ッ ク ア ド レスまたは ド メ イン名を持った リ モー ト ピアへの VPN ト ンネルに関する情報が表示されます。 このリ ス ト を使用し て、 各 ト ンネル設定のステータ スおよび IP ア ドレスの情報を表示できます。 リ ス ト から個々の ト ンネルを始動し た り、 停止し たり する こ と も可能です。

[Proxy ID Destination]

FortiClient ダイヤルア ッ プ ク ラ イアン ト が ト ンネルを確立する と、次のよ う にな り ます。

• VIP ア ド レスが使用されない場合、 [Proxy ID Destination] フ ィ ールド には、 リ モー ト ホス ト のネ ッ ト ワーク イ ン タ フ ェース カー ド (NIC) のパブ リ ッ ク IP ア ド レスが表示されます。

• VIP ア ド レスが設定された場合 ( 手動または FortiGate の DHCP リレーを通じ て )、 [Proxy ID Destination] フ ィ ールド には、FortiClient ダイヤルア ッ プ ク ラ イアン ト に属する VIP ア ド レス、または VIP ア ド レスが指定されたサブネ ッ ト ア ド レスのいずれかが表示されます。

FortiGate のダイヤルア ッ プ ク ラ イアン ト が ト ンネルを確立する と、[Proxy ID Destination] フ ィ ールド には、 リ モー ト プ ラ イベー ト ネ ット ワークの IP ア ド レスが表示されます。

[ トンネル始動 ] または [ トンネル停止] アイコン

上向きの緑の矢印は、 現在 ト ンネルが ト ラ フ ィ ッ ク を処理し ているこ と を意味し ます。 これを選択する と、 ト ンネルが停止し ます。下向きの赤い矢印は、 ト ンネルが ト ラ フ ィ ッ ク を処理し ていないこと を意味し ます。 これを選択する と、 ト ンネルが作動し ます。

[ 次ページ ] および [ 前ページ ] アイコン

VPN ト ンネル ステータ ス リ ス ト の前のページまたは次のページを表示し ます。

[Name] 設定された ト ンネルの名前。

[Remote Gateway]

リ モー ト ゲー ト ウェ イの IP ア ド レスまたは UDP ポー ト 。 ダイナ ミ ック DNS ト ンネルでは、 IP ア ド レスはダイナ ミ ッ クに更新されます。

[Timeout] 次のフ ェーズ 2 キー交換までの時間。 時間は、 前回のキー交換からの経過時間をキーラ イ フから差し引いて計算されます。 フ ェーズ 2 キーが期限切れになる と、 サービスを中断させる こ と な く 、 新しいキーが生成されます。

[Proxy ID Source] FortiGate ユニ ッ ト の背後にあるホス ト 、 サーバ、 またはプラ イベー ト ネ ッ ト ワークの IP ア ド レス。 フ ァ イアウォール暗号化ポ リ シーの送信元ア ド レスが IP ア ド レスの範囲と なっ ている場合は、 ネ ッ ト ワーク範囲が表示される こ とがあり ます。

[Proxy ID Destination]

リ モー ト FortiGate ユニ ッ ト の背後にあるホス ト 、 サーバ、 またはプラ イベー ト ネ ッ ト ワークの IP ア ド レス。

[ トンネル始動 ] または [ トンネル停止 ] アイコン

上向きの緑の矢印は、 現在 ト ンネルが ト ラ フ ィ ッ ク を処理し ている こと を意味し ます。 これを選択する と、 ト ンネルが停止し ます。下向きの赤い矢印は、 ト ンネルが ト ラ フ ィ ッ ク を処理し ていないこ とを意味し ます。 これを選択する と、 ト ンネルが作動し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - PPTP PPTP の範囲

F0

VPN - PPTPFortiGate ユニ ッ ト は、 2 つの VPN ピア間の PPP ト ラ フ ィ ッ ク を ト ンネ リ ングする PPTP をサポー ト し ます。Windows または Linux の PPTP ク ラ イアン ト は、PPTPサーバと し て設定された FortiGate ユニ ッ ト と PPTP ト ンネルを確立する こ とができます。 または、 FortiGate ユニ ッ ト の背後のネ ッ ト ワーク上にある PPTP サーバにPPTPパケ ッ ト を転送するよ う にFortiGateユニ ッ ト を設定する こ と も可能です。

PPTP VPN は、 NAT/ ルー ト モー ド でのみ使用できます。 PPTP および L2TP のセ ッ シ ョ ン数は現在、 大で 254 です。 開始 IP と終了 IP は、 た と えば x.x.x.1. ～ x.x.x.254. のよ う に、 同じ 24 ビ ッ ト のサブネ ッ ト 内である必要があ り ます。

この項では、 Web ベース マネージャ を使用し て、 PPTP ク ラ イアン ト の IP ア ドレスの範囲を指定する方法について説明し ます。 その他関連する PPTP VPNセ ッ ト ア ッ プ タ スク を実行する方法については、 『FortiGate PPTP VPN ユーザ ガイ ド』 を参照し て く だ さい。

この項には以下の ト ピ ッ クが含まれています。

• PPTP の範囲

PPTP の範囲

PPTP ア ド レスの範囲は、 [PPTP Range] ページで指定できます。 PPTP ア ド レス範囲は、リ モー ト PPTP ク ラ イアン ト 用に予約されたア ド レスの範囲です。リ モート PPTP ク ラ イアン ト が接続する と、 FortiGate ユニ ッ ト は、 予約された IP ア ドレス範囲から IP ア ド レスを ク ラ イアン ト PPTP イ ン タ フ ェースに割り当てます。PPTP ク ラ イアン ト は接続中、 割り当て られた IP ア ド レスを送信元ア ド レス と して使用し ます。

PPTP を有効に し て、PPTP ア ド レス範囲を指定するには、 [VPN]、[PPTP]、[PPTPRange] の順に選択し て、 必要なオプシ ョ ンを選択し、 [Apply] を選択し ます。

図 185: [Edit PPTP Range]

[Enable PPTP] オプシ ョ ンを選択し ます。 オプシ ョ ンを選択する前に、 ユーザ グループを追加する必要があ り ます。 346 ページの 「ユーザ グループ」 を参照し て く だ さい。

[Starting IP] 予約する IP ア ド レス範囲の開始ア ド レスを入力し ます。

[Ending IP] 予約する IP ア ド レス範囲の終了ア ド レスを入力し ます。

[User Group] 定義し た PPTP ユーザ グループの名前を選択し ます。

[Disable PPTP] PPTP のサポー ト を無効にするには、 このオプシ ョ ンを選択し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 321

322

PPTP の範囲 VPN - PPTP

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - SSL Config

F0

VPN - SSLこの項では、 Web ベース マネージャ で [VPN]、[SSL] の順に選択し て表示されるページの機能について説明し ます。 SSL VPN は、 NAT/ ルー ト モー ド で動作する FortiGate ユニ ッ ト でのみサポー ト されます。

この項には以下の ト ピ ッ クが含まれています。

• Config

• Monitor

Config

[Config] ページには、 タ イムアウ ト 値や SSL 暗号化の選択などの、 基本的な SSL VPN の設定が含まれます。 必要に応じ て、 リ モー ト ク ラ イアン ト の認証にデジタル証明書を使用でき るよ う にする こ と も可能です。

現在の SSL 設定を表示するには、 [VPN]、[SSL]、[Config] の順に選択し ます。

注記 : Web のみのモー ド または ト ンネル モー ド に関する動作の詳細な設定方法については、 『FortiGate SSL VPN ユーザ ガイ ド 』 を参照し て く だ さい。

注記 : FortiGate の CLI コマン ド を使えば、 必要に応じ て、 SSL バージ ョ ン 2 の暗号化を有効にする こ とができます ( 旧式のブ ラウザとの互換性のため )。 詳細については、『FortiGate CLI リ フ ァ レンス』 の章 「VPN」 の 「SSL Settings」 を参照し て く ださ い。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 323

324

Config VPN - SSL

図 186: [SSL-VPN Settings]

[Enable SSL VPN] SSL VPNのコネクシ ョ ンを有効にする場合に選択し ます。

[Login Port] リ モー ト ク ラ イアン ト の Web ブ ラウザが FortiGate ユニ ッ ト に接続するのに使われる、 通常とは異なるポート 番号をオプシ ョ ンで入力し ます。 デフ ォル ト のポート 番号は 10443 です。

[Tunnel IP Range] ト ンネル モー ドの SSL VPN ク ラ イアン ト 用に予約された IP ア ド レスの範囲を指定し ます。 予約された IP ア ドレス範囲を決める、 開始ア ド レス と終了ア ド レスを入力し ます。

[Server Certificate] 認証に使う署名済みサーバ証明書を選択し ます。 デフ ォル ト の設定 (Self-Signed) のままにし てお く と、FortiGate ユニ ッ ト は、 工場でインス ト ールされたフ ォーテ ィ ネ ッ ト の ( 自己署名済み ) 証明書を、 接続の際に リ モー ト ク ラ イアン ト に提示し ます。

[Require Client Certificate] リ モー ト ク ラ イアン ト の認証にグループ証明書を使用できるよ う にするには、 このオプシ ョ ンを選択し ます。設定以後、 リ モー ト ク ラ イアン ト が接続を開始する と、FortiGate ユニ ッ ト はク ラ イアン ト に対し、 認証プロセスの一部と し てク ラ イアン ト 側の証明書を要求し ます。

[Encryption Key Algorithm] リ モー ト ク ラ イアン ト の Web ブ ラウザと FortiGate ユニ ッ ト との間にセキュアな SSL コネクシ ョ ンを確立するためのアルゴ リズムを選択し ます。

[Default - RC4(128 bits) and higher]

リ モー ト ク ラ イアン ト の Web ブ ラウザが 128 ビ ッ ト 以上の暗号スイー ト に対応できる場合は、 このオプシ ョンを選択し ます。

[High - AES(128/256 bits) and 3DES]

リ モー ト ク ラ イアン ト の Web ブ ラウザが高度な SSL 暗号化に対応できる場合は、 このオプシ ョ ンを選択し て、128 ビ ッ ト を超えるビ ッ ト 数でデータ を暗号化する暗号スイー ト を有効にし ます。

[Low - RC4(64 bits), DES and higher]

リ モー ト ク ラ イアン ト の Web ブ ラウザでサポー ト される SSL 暗号化のレベルが分からない場合は、 このオプシ ョ ンを選択し て、 64 ビ ッ ト 以上の暗号スイー ト を有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - SSL Monitor

Monitor

アク テ ィ ブなすべての SSL VPN セ ッ シ ョ ンのリ ス ト を表示できます。 リ ス ト には、 リ モー ト ユーザのユーザ名、 リ モー ト ク ラ イアン ト の IP ア ド レス、 コネクシ ョ ンが張られた時間が表示されます。 また、 提供されているサービス も明示されます。

アク テ ィ ブな SSL VPN セ ッ シ ョ ンのリ ス ト を表示するには、 [VPN]、[SSL]、[Monitor] の順に選択し ます。

図 187: モニタ リスト

[Idle Timeout] システムがユーザを強制的に再ログイ ン させる前に、コネクシ ョ ンがアイ ドル状態のままでいられる時間 ( 秒単位 ) を入力し ます。 範囲は 10 ～ 28800 秒です。 この設定は、 SSL VPN セ ッ シ ョ ンに適用されます。 Web アプ リ ケーシ ョ ンのセ ッ シ ョ ンまたは ト ンネルが up し ている場合、 イ ン タ フ ェースはタ イムアウ ト し ません。

[Portal Message] Web ポータル ホームページの 上部にカス タ マイズした説明文を表示する場合は、 メ ッ セージを入力し ます。

[Advanced (DNS and WINS Servers)]

[DNS Server #1][DNS Server #2]

ク ラ イアン ト が使用でき る DNS サーバを 2 つまで入力し ます。

[WINS Server #1][WINS Server #2]

ク ラ イアン ト が使用でき る WINS サーバを 2 つまで入力し ます。

[No.] コネク シ ョ ンの識別番号。

[User] 接続し たすべてのリ モー ト ユーザのユーザ名。

[Source IP] FortiGate ユニ ッ ト に接続し たホス ト デバイスの IP ア ド レス。

[Begin Time] 各コネク シ ョ ンの開始時間。

[Description] 提供されているサービスに関する情報。 ト ンネルモー ドのユーザが接続し ている場合、 [Description] フ ィ ールド には、 FortiGate ユニ ッ ト がそのリ モー ト ク ラ イアン ト に対し て割り当てたIP ア ド レスが表示されます。

削除アイコン ト ンネルを削除し ます。

削除

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 325

326

Monitor VPN - SSL

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - 証明書 ローカル証明書

F0

VPN - 証明書この項では、 FortiGate Web ベース マネージャ を用いて X.509 セキュ リ テ ィ 証明書を管理する方法について説明し ます。 証明書要求の生成、 署名済み証明書のインス ト ール、 CA ルー ト 証明書と証明書失効リ ス ト のイ ンポー ト 、 およびイ ンスト ールされた証明書と秘密鍵のバッ ク ア ッ プ と復元を行う 場合は、 この項を参照し て く だ さい。 さ らに詳しい情報については、 『FortiGate 証明書管理ユーザ ガイ ド』 を参照し て く だ さい。

この項には以下の ト ピ ッ クが含まれています。

• ローカル証明書

• リ モー ト 証明書

• CA 証明書

• CRL

ローカル証明書

ローカル証明書リ ス ト には、 証明書要求と インス ト ールされたサーバ証明書が表示されます。 CA に要求を送信する と、 CA は情報を検証し、 シ リ アル番号、 有効期限、 および CA の公開鍵が含まれたデジ タル証明書に連絡先情報を登録し ます。 その後、 CA は署名を施し て、 FortiGate ユニ ッ ト にインス ト ールでき るよう、 その署名済み証明書を送り返し てきます。

証明書要求を表示し た り、 署名済みサーバ証明書を イ ンポー ト し た りするには、[VPN]、[Certificates]、[Local Certiicates] の順に選択し ます。 証明書の詳細を表示するには、 その証明書に対応する列の [ 証明書の詳細表示 ] アイ コ ンを選択し ます。

リ ス ト の 初のエン ト リは、 FortiGate ユニ ッ ト の自己署名済み証明書です。 これを削除する こ とはできません。

図 188: ローカル証明書リスト

[Generate] ローカル証明書要求を生成し ます。 328 ページの 「証明書要求の生成」を参照し て く だ さい。

[Import] 署名済みローカル証明書を インポー ト し ます。 330 ページの 「署名済みサーバ証明書のインポー ト 」 を参照し て く だ さい。

[Name] 既存のローカル証明書および証明書が生成されていない要求の名前。

[Subject] 署名済みローカル証明書の識別名 (DN)。

[Status] ローカル証明書のステータ ス。 "PENDING" は、 ダウンロー ド し て署名する必要のある証明書要求を示し ます。

証明書の詳細表示

ダウンロー ド

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 327

328

ローカル証明書 VPN - 証明書

図 189: 証明書の詳細情報

デジ タル証明書の取得およびイ ンス ト ールに関する詳細と手順については、『FortiGate 証明書管理ユーザ ガイ ド 』 を参照し て く だ さい。

証明書要求の生成

FortiGate ユニ ッ ト は、 FortiGate ユニ ッ ト を識別するために入力された情報に基づいて、 証明書要求を生成し ます。 生成された要求は、 PENDING ・ のステータ スでローカル証明書リ ス ト に表示されます。 証明書要求の生成後、 FortiGate ユニ ット への管理アクセスが可能なコ ンピ ュータに、 その要求をダウンロー ド し、 さ らに CA に転送する こ とができます。

証明書要求を作成するには、 [VPN]、[Certificates]、[Local Certificates] の順に選択し て、 [Generate] を選択し ます。 証明書要求をダウンロー ド し て CA に送信するには、 330 ページの 「証明書要求のダウンロー ド と送信」 を参照し て く ださい。

[証明書の詳細表示]アイコン

証明書の名前、 発行者、 識別名、 および証明書の有効期間といった証明書の詳細を表示し ます。 図 189 を参照し て く だ さい。

削除アイコン 選択された証明書要求またはイ ンス ト ールされたサーバ証明書をFortiGate の設定から削除し ます。 このアイ コ ンは、 証明書が削除可能である場合のみ使用できます。

ダウンロードアイコン

証明書要求のコ ピーをローカル コ ンピ ュータ に保存し ます。 FortiGateユニ ッ ト の署名済みサーバ証明書を取得するには、 CA に要求を送信し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - 証明書 ローカル証明書

図 190: 証明書署名要求の生成

[Certification Name] 証明書名を入力し ます。 これは通常、 FortiGate ユニ ッ トの名前です。 必要であれば、 後に署名済み証明書をPKCS12 フ ァ イルと し てエク スポー ト できるよ う、 名前にスペースを含めないでおいて く ださ い。

[Subject Information] FortiGate ユニ ッ ト を識別するために必要な情報を入力します。

[Host IP] FortiGate ユニ ッ ト の IP ア ド レスがス タ テ ィ ッ クである場合は、 [Host IP] を選択し て、 FortiGate ユニ ッ ト のパブリ ッ ク IP ア ド レスを入力し ます。 FortiGate ユニ ッ ト にパブ リ ッ ク IP ア ド レスがない場合は、 代わり に電子メ ール ア ド レス ( またはド メ イン名 ) を使用し ます。

[Domain Name] FortiGate ユニ ッ ト がス タ テ ィ ッ ク IP ア ド レスを持ち、ダイナ ミ ッ ク DNS サービスに登録されている場合、 可能であれば FortiGate ユニ ッ ト を識別するために ド メ イン名を使用し ます。 [Domain Name] を選択する場合は、FortiGate ユニ ッ ト の完全修飾ド メ イ ン名 (FQDN) を入力し ます。 プロ ト コル仕様 (http://) やポー ト 番号またはパス名は一切含めないで く ださ い。 ド メ イ ン名が使用できず、 FortiGate ユニ ッ ト がダイナ ミ ッ ク DNS サービスに登録されている場合は、 FortiGate ユニ ッ ト のパブ リ ッ クIP ア ド レスが変わるたびに、 "unable to verify certificate" ( 証明書を確認できません ) と い う よ う な メ ッ セージがユーザのブ ラウザに表示される場合があり ます。

[E-Mail] [E-Mail] を選択する場合は、 FortiGate ユニ ッ ト 所有者の電子メ ール ア ド レスを入力し ます。

[Optional Information] [Optional Information] のフ ィ ールドはすべてオプシ ョ ンです。

[Organization Unit] 部署名を入力し ます。

[Organization] 会社または組織の正式名称 ( 商号 ) を入力し ます。

[Locality (City)] FortiGate ユニ ッ ト が設置されている市または町の名前を入力し ます。

[State/Province] FortiGate ユニ ッ ト が設置されている都道府県または州の名前を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 329

330

ローカル証明書 VPN - 証明書

証明書要求のダウンロードと送信

CA に証明書要求を送信する前に、 必要な項目を入力し、 証明書要求を生成する必要があ り ます。 詳細については、 328 ページの 「証明書要求の生成」 を参照して く ださい。

証明書要求をダウンロードして送信するには

1 [VPN]、[Certificate]、[Local Certificates] の順に選択し ます。

2 [Local Certificates] リ ス ト で、 生成された証明書要求に対応する列の [ ダウンロー ド ] アイ コ ンを選択し ます。

3 [File Download] ダイアログ ボ ッ クスで [Save to Disk] を選択し ます。

4 フ ァ イルに名前を付け、 ローカル フ ァ イル システムに保存し ます。

5 次のよ う に し て要求を CA に送信し ます。

• 管理コ ンピ ュータの Web ブ ラウザで CA の Web サイ ト を閲覧し ます。

• CA の指示に従っ て、 base-64 でエン コー ド された PKCS#12 の証明書要求をア ッ プロー ド し ます。

• CA の指示に従っ てルー ト 証明書と証明書失効リ ス ト (CRL) をダウンロー ド した後、 そのルー ト 証明書と CRL を各リ モー ト ク ラ イアン ト にインス ト ールします ( ブ ラウザの ド キュ メ ン ト を参照し て く だ さい )。

6 CA から署名済み証明書を受け取ったら、 その証明書を FortiGate ユニ ッ ト にイ ンス ト ールし ます。 330 ページの 「署名済みサーバ証明書のインポー ト 」 を参照して く ださい。

署名済みサーバ証明書のインポート

FortiGate ユニ ッ ト にイ ンス ト ールする署名済みサーバ証明書は、 CA から提供されます。 CA から署名済みサーバ証明書を受け取ったら、 FortiGate ユニ ッ ト への管理アクセスが可能なコ ンピ ュータにその証明書を保存し ます。

署名済みサーバ証明書を インス ト ールするには、 [VPN]、[Certificates]、[Local Certificates] の順に選択し て、 [Import] を選択し ます。 署名済み証明書は、 ページの上部にある [Upload Local Certificate] ダイアログ ボ ッ ク スを使ってインスト ールし ます。 証明書フ ァ イルは、 PEM または DER のいずれのフ ォーマ ッ ト も可能です。 その他のダイアログ ボ ッ ク スは、 以前にエ クスポー ト された証明書および秘密鍵を イ ンポー ト するためのものです。

[Country] FortiGate ユニ ッ ト が設置されている国を選択し ます。

[e-mail] 連絡先の電子メ ール ア ド レスを入力し ます。

[Key Type] RSA のみサポー ト されます。

[Key Size] “1024 Bit”、 “1536 Bit”、 または “2048 Bit” を選択し ます。 キーのサイズを大き く するほど生成に時間がかかりますが、 セキュ リ テ ィ は向上し ます。

[Enrollment Method]

[File Based] 証明書要求を生成するには、 [File Based] を選択し ます。

[Online SCEP] SCEP ベースの署名済み証明書をネ ッ ト ワーク上で自動的に取得するには、 [Online SCEP] を選択し ます。[CA Server URL] :CA 証明書を取り出す SCEP サーバのURL を入力し ます。[Challenge Password] :CA サーバのチャ レンジ パスワード を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - 証明書 ローカル証明書

図 191: ローカル証明書のアップロード

エクスポートされたサーバ証明書および秘密鍵のインポート

イ ンポー ト するサーバ証明書および秘密鍵は、 CLI コ マン ド execute vpn certificate key export を使 う こ と で、一つの PKCS12 フ ァ イルと し てすでにエ クスポー ト されているはずです。 フ ァ イルにはパスワー ドが付けられているので、 フ ァ イルを イ ンポー ト するにはそのパスワー ド を知っている必要があ り ます。 作業を開始する前には、 FortiGate ユニ ッ ト への管理ア クセスが可能なコ ンピ ュータに、 フ ァ イルのコ ピーを保存し ておきます。 詳細については、『FortiGate 証明書管理ユーザ ガイ ド』 を参照し て く だ さい。

PKCS12 フ ァ イルを インポー ト するには、 [VPN]、[Certificates]、[Local Certificates] の順に選択し て、 [Import] を選択し ます。

図 192: PKCS12 証明書のアップロード

サーバ証明書および秘密鍵ファイルの個別インポート

サーバ証明書要求と秘密鍵を FortiGate ユニ ッ ト で生成し ていない場合は、[Upload Certificate] ダイアログ ボ ッ ク スを使用し て、 サーバ証明書とそれに対応する秘密鍵のフ ァ イルを イ ンポー ト し ます。 イ ンポー ト する 2 つのフ ァ イルは、管理コ ンピ ュータ で利用でき る必要があ り ます。

[Certificate File] 署名済みサーバ証明書の完全なパス と フ ァ イル名を入力し ます。

[Browse] あるいはこのアイ コ ンを押し て、 証明書が保存されている管理コンピ ュータ上の場所を表示し、 証明書を選択し て、 [OK] を選択し ます。

[Certificate with key file]

以前にエク スポー ト された PKCS12 フ ァ イルの完全なパス と フ ァイル名を入力し ます。

[Browse] あるいはこのアイ コ ンを押し て、 PKCS12 フ ァ イルが保存されている管理コ ンピ ュータ上の場所を表示し、 フ ァ イルを選択し て、[OK] を選択し ます。

[Password] PKCS12 フ ァ イルをア ッ プロー ド するのに必要なパスワー ド を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 331

332

リモート証明書 VPN - 証明書

図 193: 証明書のアップロード

リモート証明書

動的な証明書の失効確認には、OCSP (Online Certificate Status Protocol) サーバが使用されます。 リ モー ト 証明書は、 秘密鍵のない公開証明書です。 OCSP は CLI でのみ設定できます。 詳細については、 『FortiGate CLI ガイ ド』 を参照し て く ださい。

図 194: リモート証明書リスト

イ ンス ト ールされた リ モー ト (OCSP サーバ ) 証明書は、 [Remote Certificates] リス ト に表示されます。

イ ンス ト ールされた リ モー ト (OCSP サーバ ) 証明書を表示し た り、 インポー トし た りするには、 [VPN]、[Certificates]、[Remote] の順に選択し ます。 証明書の詳細を表示するには、 その証明書に対応する列の [ 証明書の詳細表示 ] アイ コ ンを選択し ます。

[Certificate File] 以前にエクスポー ト された証明書フ ァ イルの完全なパス と フ ァ イル名を入力し ます。

[Key file] 以前にエクスポー ト された鍵フ ァ イルの完全なパス と フ ァ イル名を入力し ます。

[Browse] 以前にエクスポー ト された証明書フ ァ イルや鍵フ ァ イルの場所を表示し、 フ ァ イルを選択し て、 [OK] を選択し ます。

[Password] フ ァ イルをア ッ プロー ド し て開 く のにパスワー ドが必要な場合は、 パスワー ド を入力し ます。

注記 : 証明書フ ァ イルで、 40 ビ ッ ト の RC2-CBC 暗号化を使用し てはいけません。

注記 : OCSP サーバは vdom ご とに 1 つだけ設定できます。

[Import] OCSP サーバの公開証明書を イ ンポー ト し ます。 334 ページの 「CA証明書のインポー ト 」 を参照し て く だ さい。

[Name] 既存のリ モー ト (OCSP サーバ ) 証明書の名前。 FortiGate ユニ ッ トは、 イ ンポー ト の際、 リ モー ト (OCSP サーバ ) 証明書に一意の名前 (REMOTE_Cert_1、 REMOTE_Cert_2、 REMOTE_Cert_3 など ) を指定し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - 証明書 CA 証明書

リモート (OCSP サーバ ) 証明書のインポート

リ モー ト (OCSP サーバ ) 証明書を イ ンポー ト するには、 [VPN]、[Certificates]、[Remote] の順に選択し て、 [Import] を選択し ます。

図 195: リモート証明書のアップロード

システムは、 リ モー ト (OCSP サーバ ) 証明書のそれぞれに一意の名前を割り当てます。 名前には、 順に番号が付されます (REMOTE_Cert_1、 REMOTE_Cert_2、REMOTE_Cert_3 など )。

CA 証明書

リ モー ト ク ラ イアン ト にインス ト ールするための署名済みの個人 ( 管理 ) 証明書またはグループ証明書を申請する際は、 対応する発行 CA からルー ト 証明書とCRL を取得する必要があ り ます。

個人またはグループの署名済み証明書を受け取ったら、 ブ ラウザの指示に従っ てその署名済み証明書を リ モー ト ク ラ イアン ト にインス ト ールし ます。 対応する発行 CA からのルー ト 証明書と CRL も、 FortiGate ユニ ッ ト にイ ンス ト ールし ておきます。

イ ン ス ト ール さ れた CA 証明書は、 [CA Certificates] リ ス ト に表示 さ れま す。Fortinet_CA 証明書は削除できません。 イ ンス ト ールされた CA ルー ト 証明書を表示し た り、 インポー ト し た り するには、 [VPN]、[Certificates]、[CA Certificates]の順に選択し ます。 ルー ト 証明書の詳細を表示するには、 その証明書に対応する列の [ 証明書の詳細表示 ] アイ コ ンを選択し ます。

[Subject] リ モー ト (OCSP サーバ ) 証明書に関する情報。

削除アイコン FortiGate の設定から リ モー ト (OCSP サーバ ) 証明書を削除し ます。

[証明書の詳細表示] アイコン

証明書の詳細を表示し ます。

ダウンロードアイコン

リ モー ト (OCSP サーバ ) 証明書のコ ピーをローカル コ ンピ ュータに保存し ます。

[Local PC] ローカル管理者の PC を使用し て、 公開証明書をア ッ プロー ド します。 証明書が保存されている管理コ ンピ ュータ上の場所を入力するか、 または表示し て、 証明書を選択し、 [OK] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 333

334

CA 証明書 VPN - 証明書

図 196: CA 証明書リスト

デジ タル証明書の取得およびイ ンス ト ールに関する詳細と手順については、『FortiGate 証明書管理ユーザ ガイ ド 』 を参照し て く だ さい。

CA 証明書のインポート

CA のルー ト 証明書をダウンロー ド し たら、 FortiGate ユニ ッ ト への管理アクセスが可能な PC にその証明書を保存し ます。

CA ルー ト 証明書を イ ンポー ト するには、 [VPN]、[Certificates]、[CA Certificates] の順に選択し て、 [Import] を選択し ます。

図 197: CA 証明書のインポート

[OK] を選択し、 SCEP サーバを通じ て証明書を イ ンポー ト する こ と を選択すると、 システムはただちに証明書の取り込み処理を開始し ます。

システムによ り、 CA 証明書のそれぞれに一意の名前が指定されます。 名前には、順に番号が付されます (CA_Cert_1、 CA_Cert_2、 CA_Cert_3 など )。

[Import] CA ルー ト 証明書を インポー ト し ます。 334 ページの 「CA 証明書のイ ンポー ト 」 を参照し て く だ さ い。

[Name] 既存の CA ルー ト 証明書の名前。 FortiGate ユニ ッ ト は、 イ ンポー トの際、 CA 証明書に一意の名前 (CA_Cert_1、 CA_Cert_2、CA_Cert_3 など ) を指定し ます。

[Subject] 発行 CA に関する情報。

削除アイコン FortiGate の設定から CA ルー ト 証明書を削除し ます。

[ 証明書の詳細表示 ] アイコン

証明書の詳細を表示し ます。

ダウンロードアイコン

CA ルー ト 証明書のコ ピーをローカル コ ンピ ュータに保存し ます。

証明書の詳細表示

ダウンロー ド

[SCEP] ユーザ認証を行う際の CA 証明書へのア クセスに SCEP サーバを使用する場合に選択し ます。 CA 証明書を取り出す SCEP サーバの URL を入力し ます。 オプシ ョ ンで、 たと えばフ ァ イル名など、 CA の識別情報を入力し ます。 [OK] を選択し ます。

[Local PC] 公開証明書のア ッ プロー ド にローカル管理者の PC を使用する場合に選択し ます。 証明書が保存されている管理コ ンピ ュータ上の場所を入力するか、 または表示し て、 証明書を選択し、 [OK] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

VPN - 証明書 CRL

CRL

証明書失効リ ス ト (CRL) とは、 CA が発行し た証明書と、 その証明書のステータスを リ ス ト に したものです。 インス ト ールされた CRL は CRL リ ス ト に表示されます。 FortiGate ユニ ッ ト は、 CRL を使用し て、 CA と リ モー ト ク ラ イアン ト の証明書が有効である こ と を確認し ます。

イ ンス ト ールされた CRL を表示するには、 [VPN]、[Certificates]、[CRL] の順に選択し ます。

図 198: 証明書失効リスト

図 199: CRL 証明書の詳細

証明書失効リストのインポート

証明書を取り消されたク ラ イアン ト がFortiGateユニ ッ ト と接続できないよ う にするため、 FortiGate は、 CA Web サイ ト からの証明書失効リ ス ト を定期的に更新してお く 必要があ り ます。CAのWebサイ ト からCRLをダウンロー ド したら、FortiGateユニ ッ ト への管理アクセスが可能な コ ンピ ュータにその CRL を保存し ます。

証明書失効リ ス ト を イ ンポー ト するには、 [VPN]、[Certificates]、[CRL] の順に選択し て、 [Import] を選択し ます。

[Import] CRL を イ ンポー ト し ます。 335 ページの 「証明書失効リ ス ト のイ ンポー ト 」 を参照し て く だ さい。

[Name] 既存の証明書失効リ ス ト の名前。 FortiGate ユニ ッ ト は、 イ ンポート の際、 証明書失効リ ス ト に一意の名前 (CRL_1、 CRL_2、 CRL_3など ) を指定し ます。

[Subject] 証明書失効リ ス ト に関する情報。

削除アイコン 選択された CRL を FortiGate の設定から削除し ます。

[ 証明書の詳細表示 ] アイコン

発行者名や CRL 更新日といった CRL の詳細を表示し ます。 図 199の例を参照し て く だ さい。

ダウンロードアイコン

CRL のコ ピーをローカル コ ンピュータ に保存し ます。

証明書の詳細表示

ダウンロー ド

注記 : CRL の取り込み先と し て、 LDAP サーバ、 HTTP サーバ、 または SCEP サーバ、 あるいはそれらの組み合わせが設定されている場合、 FortiGate ユニ ッ ト に CRL のコ ピーがなかった り、 現在のコ ピーが期限切れになっていた りする と、 新版がサーバから自動的に読み出されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 335

336

CRL VPN - 証明書

図 200: CRL のインポート

システムによ り、 各 CRL に一意の名前が指定されます。 名前には、 順に番号が付されます (CRL_1、 CRL_2、 CRL_3 など )。

[HTTP] CRL を取り込むのに HTTP サーバを使用する際に選択し ます。HTTP サーバの URL を入力し ます。

[LDAP] CRL を取り込むのに LDAP サーバを使用する際に選択し ます。 ドロ ッ プダウン リ ス ト から LDAP サーバを選択し ます。

[SCEP] CRL を取り込むのに SCEP サーバを使用する際に選択し ます。 ドロ ッ プダウン リ ス ト から ローカル証明書を選択し ます。 CRL を取り込むこ とのできる SCEP サーバの URL を入力し ます。

[Local PC] 公開証明書のア ッ プロー ド にローカル管理者の PC を使用する場合に選択し ます。 証明書が保存されている管理コ ンピ ュータ上の場所を入力するか、 または表示し て、 証明書を選択し、 [OK] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ユーザ認証の設定

F0

ユーザこの項では、 ユーザ アカウン ト 、 ユーザ グループ、 および外部の認証サーバを設定する方法について説明し ます。 これらは、 ネ ッ ト ワーク リ ソースへのアクセスを制御するために使用できる、 ユーザ認証のコ ンポーネン ト です。

この項には以下の ト ピ ッ クが含まれています。

• ユーザ認証の設定

• ローカル ユーザ アカウン ト

• RADIUS サーバ

• LDAP サーバ

• PKI 認証

• Windows AD サーバ

• ユーザ グループ

• ピアおよびピア グループの設定

ユーザ認証の設定

FortiGate の認証は、 ユーザ グループご とにアクセスを制御し ますが、 ユーザ グループを作成し て も認証の設定手順を開始し たこ とにはな り ません。 ユーザ認証は、 次の順序で設定する必要があ り ます。

1 RADIUS または LDAP サーバを使用し た外部の認証が必要な場合は、 これらのサーバへのアクセスを設定し ます。 340 ページの 「RADIUS サーバ」 および 341ページの 「LDAP サーバ」 を参照し て く だ さい。

2 [User]、[Local] で、 ローカル ユーザ アカウン ト を設定し ます。 各ユーザについて、 パスワー ド を FortiGate ユニ ッ ト 、 RADIUS サーバ、 または LDAP サーバのいずれで確認するかを選択できます。 339 ページの 「ローカル ユーザ アカウント 」 を参照し て く だ さい。

3 認証に Microsoft Windows Active Directory サーバを使用し ている場合は、 そのサーバへのアクセスを設定し ます。 345 ページの 「Windows AD サーバの設定」を参照し て く だ さい。 Active Directory サーバによ って認証されたユーザには、FortiGate ユニ ッ ト 上のローカル ユーザ アカウン ト は必要あ り ません。 Windowsネ ッ ト ワーク上に FSAE (Fortinet Server Authentication Extensions) を イ ンス ト ールする必要があ り ます。

4 管理アクセス (HTTPS GUI)、 IPSec、 SSL-VPN、 および Web ベースの認証のために証明書ベースの認証を使用するには、 [User]、[PKI] を使用し て設定し ます。344 ページの 「PKI ユーザの設定」 を参照し て く だ さい。

5 [User]、[User Group] でユーザ グループを作成し、 メ ンバを追加し ます。 ユーザ グループには、 フ ァ イアウォール、 Active Directory、 および SSL VPN の 3 種類があ り ます。 349 ページの 「ユーザ グループの設定」 を参照し て く だ さい。

PKI 認証には、 フ ァ イアウォール ユーザ グループ と SSL VPN ユーザ グループのみが使用可能です。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 337

338

ユーザ認証の設定 ユーザ

認証タイムアウトの設定

認証タ イムアウ ト は、 ユーザの再度の認証が必要になるまでに、 認証されたフ ァイアウォール接続がアイ ド ル状態を維持でき る期間を制御し ます。

認証タイムアウトを設定するには

1 [User]、[Authentication]、[Authentication] の順に選択し ます。

2 [Authentication Timeout] に数値 ( 分単位 ) を入力し ます。

デフ ォル ト の認証タ イムアウ ト は 30 分です。

図 201: ユーザ認証の設定

ユーザ認証のプロトコル サポートの設定

ユーザ認証は、 次のプロ ト コルに対し て実行できます。

• HTTP (HTTPS に リ ダイ レ ク ト するよ う にも設定可能 )

• HTTPS

• FTP

• Telnet

フ ァ イアウォール ポ リ シーでユーザ認証が有効にな っている場合、 認証チャ レンジは通常、 この 4 つのいずれのプロ ト コルに対し て も発行されます ( 接続プロト コルによる )。 [Protocol Support] リ ス ト で選択を行 う こ とによ っ て、 ユーザは、 どのプロ ト コルが認証チャ レンジをサポー ト するかを制御し ます。 ユーザは、 初に、 サポー ト されているプロ ト コルで接続する必要があ り ます。 それによ って、 その後は他のプロ ト コルでも接続できるよ う にな り ます。

認証のプロトコル サポートを設定するには

[User]、[Authentication]、[Authentication] の順に選択し、 [Protocol Support] で必要な認証プロ ト コルを選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ローカル ユーザ アカウント

図 202: ユーザ認証の設定 - プロトコル サポート

ローカル ユーザ アカウント

ローカル ユーザ アカウン ト を追加し、 認証を設定するには、 [User]、[Local] の順に選択し ます。

図 203: ローカル ユーザのリスト

[Create New] 新しいローカル ユーザ アカウン ト を追加し ます。

[User Name] ローカル ユーザ名。

[Type] このユーザに対し て使用する認証の種類。

削除アイコン このユーザを削除し ます。注記 : 削除アイ コ ンは、 このユーザがユーザ グループに属し ている場合は使用できません。

編集アイコン このユーザ アカウン ト を編集し ます。

注記 : ユーザ名を削除する と、 そのユーザ用に設定された認証が削除されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 339

340

RADIUS サーバ ユーザ

ユーザ アカウントの設定

[User]、[Local] の順に選択し、 [Create New] か、 または既存のユーザ アカウント の編集アイ コ ンを選択し ます。

図 204: ローカル ユーザのオプション

RADIUS サーバ

RADIUS のサポー ト が設定されてお り、 RADIUS サーバを使用し てユーザを認証する必要がある場合、 FortiGate ユニ ッ ト は認証のためにそのユーザの資格情報を RADIUS サーバに送信し ます。 RADIUS サーバがそのユーザを認証でき る場合、そのユーザは FortiGate ユニ ッ ト で正常に認証されます。 RADIUS サーバがそのユーザを認証できない場合、 その接続は FortiGate ユニ ッ ト によ って拒否されます。

RADIUS サーバを設定するには、 [User]、[RADIUS] の順に選択し ます。

[User Name] ユーザ名を入力または編集し ます。

[Disable] このユーザが認証されないよ う にするには、 [Disable] を選択し ます。

[Password] FortiGate ユニ ッ ト に格納されているパスワー ド を使用し てこのユーザを認証するには、 [Password] を選択し ます。パスワー ド を入力または編集し ます。 パスワー ドは、 6 文字以上の長さ にする必要があり ます。

[LDAP] LDAP サーバに格納されているパスワー ド を使用し てこのユーザを認証するには、 [LDAP] を選択し ます。 ド ロ ッ プダウン リ ス ト から LDAPサーバを選択し ます。注記 :FortiGate の LDAP 設定に追加されている LDAP サーバのみを選択できます。 341 ページの 「LDAP サーバ」 を参照し て く だ さい。

[RADIUS] RADIUS サーバに格納されているパスワー ド を使用し てこのユーザを認証するには、 [RADIUS] を選択し ます。 ド ロ ッ プダウン リ ス ト から、RADIUS サーバを選択し ます。注記 :FortiGate の RADIUS 設定に追加されている RADIUS サーバのみを選択できます。 340 ページの 「RADIUS サーバ」 を参照し て く だ さい。

注記 : RADIUS ト ラ フ ィ ッ クのデフ ォル ト ポー ト は 1812 です。 RADIUS サーバがポー ト1645 を使用し ている場合は、 CLI を使用し てデフ ォル ト の RADIUS ポー ト を変更し ます。詳細については、 『FortiGate CLI リ フ ァ レンス』 にある config system global コマン

ド を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ LDAP サーバ

図 205: RADIUS サーバのリスト

RADIUS サーバの設定

[User]、[RADIUS] の順に選択し、 [Create New] か、 または既存の RADIUS サーバの編集アイ コ ンを選択し ます。

図 206: RADIUS の設定

LDAP サーバ

LDAP のサポー ト が設定されており、 LDAP サーバを使用し てユーザを認証する必要がある場合、 FortiGate ユニ ッ ト は認証のために LDAP サーバに接続し ます。FortiGate ユニ ッ ト で認証されるために、 ユーザはユーザ名とパスワー ド を入力し ます。 FortiGate ユニ ッ ト は、 このユーザ名とパスワー ド を LDAP サーバに送信し ます。 LDAP サーバがそのユーザを認証でき る場合、 そのユーザは FortiGateユニ ッ ト で正常に認証されます。 LDAP サーバがそのユーザを認証できない場合、 その接続は FortiGate ユニ ッ ト によ っ て拒否されます。

FortiGate ユニ ッ ト は、 ユーザ名とパスワー ド を検索および検証するための、RFC2251 で規定された LDAP プロ ト コル機能をサポー ト し ています。 FortiGateの LDAP は、 LDAP v3 に準拠し たすべての LDAP サーバをサポー ト し ています。さ らに、 FortiGate の LDAP は、 LDAP over SSL/TLS もサポー ト し ています。SSL/TLS 認証を設定するには、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

FortiGate の LDAP サポー ト は、 一部の LDAP サーバで使用可能な、 パスワー ド有効期限の通知などの独自の機能には対応し ていません。 FortiGate の LDAP サポー ト では、 認証が失敗し た理由に関する情報はユーザに提供されません。

[Create New] 新しい RADIUS サーバを追加し ます。

[Name] FortiGate ユニ ッ ト 上の RADIUS サーバの名前。

[Server Name/IP] RADIUS サーバのド メ イン名または IP ア ド レス。

削除アイコン この RADIUS サーバの設定を削除し ます。注記 : ユーザ グループに追加されている RADIUS サーバを削除する ことはできません。

編集アイコン この RADIUS サーバの設定を編集し ます。

[Name] RADIUS サーバの識別に使用される名前を入力または編集し ます。

[Server Name/IP] RADIUS サーバのド メ イン名または IP ア ド レスを入力または編集し ます。

[Server Secret] RADIUS サーバ シーク レ ッ ト を入力または編集し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 341

342

LDAP サーバ ユーザ

LDAP サーバを設定するには、 [User]、[LDAP] の順に選択し ます。

図 207: LDAP サーバのリスト

LDAP サーバの設定

[User]、[LDAP] の順に選択し、 [Create New] か、 または既存の LDAP サーバの編集アイ コ ンを選択し ます。

図 208: LDAP サーバの設定

[Create New] 新し い LDAP サーバを追加し ます。

[Name] FortiGate ユニ ッ ト 上の LDAP サーバを識別する名前。

[Server Name/IP] LDAP サーバのド メ イン名または IP ア ド レス。

[Port] LDAP サーバとの通信に使用されるポー ト 。

[Common Name identifier]

LDAP サーバの共通名識別子。 ほとんどの LDAP サーバの共通名識別子は cn です。 ただ し、 一部のサーバは、 uid などの他の共通名識別子を使用し ています。

[Distinguished Name]

LDAP サーバ上のエン ト リの検索に使用される識別名。 この識別名には、 共通名識別子よ り上にある LDAP データベース オブジ ェ ク ト クラスの階層が反映されています。

削除アイコン この LDAP サーバの設定を削除し ます。

編集アイコン この LDAP サーバの設定を編集し ます。

[Name] LDAP サーバの識別に使用される名前を入力または編集し ます。

[Server Name/IP] LDAP サーバのド メ イ ン名または IP ア ド レスを入力または編集し ます。

[Server Port] LDAP サーバとの通信に使用されるポー ト を入力または編集し ます。デフ ォル ト では、 LDAP はポー ト 389 を使用し ます。

[Common Name identifier]

LDAP サーバの共通名識別子を入力または編集し ます。 大 20 文字まで入力できます。ほとんどの LDAP サーバの共通名識別子は cn です。 ただ し、 一部のサーバは、 uid などの他の共通名識別子を使用し ています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ PKI 認証

図 209: LDAP サーバの識別名クエリ ツリー

PKI 認証

PKI (Public Key Infrastructure) 認証は、 " ピア "、 " ピア " グループ、 ユーザ グループなどのリ ス ト を取得し て、 認証の " 成功 " または " 拒否 " の通知を返す証明書認証ラ イブ ラ リ を利用し ます。 認証の成功のためにユーザに必要なのは有効な証明書だけであ り、 ユーザ名やパスワー ドは必要あ り ません。

証明書認証の詳細については、 『FortiGate 証明書管理ユーザ ガイ ド』 を参照し て くだ さい。 CLI を通し てのみ使用可能な詳細な PKI 設定については、 『FortiGate CLI

リ フ ァ レンス』 を参照し て く だ さい。

PKI ユーザを設定するには、 [User]、[PKI] の順に選択し ます。

図 210: [User]、[PKI] のユーザ リスト

[Distinguished Name]

LDAP サーバ上のエン ト リの検索に使用される識別名を入力または編集し ます。正しい X.500 または LDAP 形式を使用し て、 このサーバの基本識別名を入力し ます。 FortiGate ユニ ッ ト は、 この識別名を、 変更せずにそのままサーバに渡し ます。た と えば、 次の基本識別名を使用できます。ou=marketing,dc=fortinet,dc=comこ こで、 ou は組織単位であ り、 dc はド メ イ ン コ ンポーネン ト です。また、識別名に同じ フ ィ ールドの複数のイ ンス タ ンスを指定する こ と もできます。た と えば、複数の組織単位を指定するには次のよ う にし ます。ou=accounts,ou=marketing,dc=fortinet,dc=com

クエリ アイコン 基本識別名に対する LDAP サーバの識別名クエ リ ツ リーを表示し ます。[LDAP Distinguished Name Query] リ ス ト には、 この LDAP サーバの IPア ド レス と、 この LDAP サーバの共通名識別子に関連付けられたすべての識別名が表示されます。 このツ リーは、 識別名フ ィ ールドへの適切な入力を決定するために役立ちます。 関連付けられた識別名を表示するには、 共通名識別子を展開し ます。 リ ス ト から識別名を選択し ます。 選択し た識別名は、 [Distinguished Name] フ ィ ールド に表示されます。 [OK] を選択する と、 選択し た識別名が LDAP サーバの設定の [Distinguished Name] フ ィ ールド に保存されます。 選択し た識別名に対する LDAP サーバ ユーザ グループ内のユーザを表示するには、 [LDAP Distinguished Name Query] ツ リー内の識別名を展開し ます。

[Create New] 新しい PKI ユーザを追加し ます。

[User Name] この PKI ユーザの名前。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 343

344

PKI 認証 ユーザ

PKI ユーザの設定

[User]、[PKI] の順に選択し、 [Create New] か、 または既存の PKI ユーザの編集アイ コ ンを選択し ます。

図 211: PKI ユーザの設定

[Subject] 認証し ているユーザの証明書の件名フ ィ ールド に表示されるテキス ト 文字列。

[Issuer] このユーザの認証に使用される CA 証明書。

削除アイコン この PKI ユーザを削除し ます。

編集アイコン この PKI ユーザを編集し ます。

注記 : PKI ユーザ リ ス ト 内の次のフ ィ ールドは、 PKI ユーザ ダイアログ内の示されているフ ィ ールド に対応し ています。[User Name]: [Name][Subject]: [Subject][CA]: [Issuer] (CA 証明書 )

[Name] PKI ユーザの名前を入力し ます。 このフ ィ ールドは必須です。PKI ユーザはまた、 config user peer or config を使用して、 CLI で定義する こ と も できます。 詳細については、『FortiGate CLI リ フ ァ レンス』 を参照し て く ださ い。

[Subject] 認証し ているユーザの証明書の件名フ ィ ールド に表示されるテキス ト 文字列を入力し ます。 このフ ィ ールドはオプシ ョ ンです。

[CA] このユーザの認証に使用する必要のある CA 証明書を入力し ます。 このフ ィ ールドはオプシ ョ ンです。

注記 : [Subject] と [CA] はオプシ ョ ンのフ ィ ールド ですが、 そのどち らかは設定する必要があ り ます。 PKI ユーザ ダイアログ内の次のフ ィ ールドは、 PKI ユーザ リ ス ト 内の示されている フ ィ ールド に対応し ています。[Name]: [User Name][Subject]: [Subject][Issuer]: [CA] (CA 証明書 )

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ Windows AD サーバ

Windows AD サーバ

認証に Windows Active Directory (AD) サーバを使用し ているネ ッ ト ワーク上では、FortiGate ユニ ッ ト は、 ユーザにユーザ名とパスワー ドの入力を求める こ と な く 、そのユーザを透過的に認証できます。 ネ ッ ト ワーク上に FSAE (Fortinet Server Authentication Extensions) を イ ンス ト ールし、 Windows AD サーバから情報を取得するよ う に FortiGate ユニ ッ ト を設定する必要があ り ます。 FSAE の詳細については、 『FSAE テ クニカル ノ ー ト 』 を参照し て く だ さい。

Windows AD サーバを設定するには、 [User]、[Windows AD] の順に選択し ます。

図 212: Windows AD サーバのリスト

Windows AD サーバの設定

[User]、[Windows AD] の順に選択し、 [Create New] か、 または既存の Windows AD サーバの編集アイ コ ンを選択し ます。

図 213: Windows AD サーバの設定

[Create New] 新しい Windows AD サーバを追加し ます。

[FortiClient AD] FSAE がインス ト ールされている Windows AD サーバの名前。このサーバ名を展開し て、 Windows AD ド メ イ ン グループの情報を表示できます。

[IP Address] Windows AD サーバのログオン情報を FortiGate ユニ ッ ト に送信する 大 5 つのコ レ ク タ エージ ェ ン ト の IP ア ド レス と TCP ポー ト 。

削除アイコン この Windows AD サーバを削除し ます。

編集アイコン この Windows AD サーバを編集し ます。

更新アイコン Windows AD サーバから現在のド メ イ ンおよびグループ情報を取得し ます。

[Name] Windows AD サーバの名前を入力または編集し ます。 この名前は、 ユーザ グループの作成時に Windows AD サーバのリ ス ト に表示されます。

大 5 つのコ レ ク タ エージ ェ ン ト に関する次の情報を入力し ます。

[FSAE Collector IP]

このコ レ ク タ エージ ェ ン ト がインス ト ールされている Windows ADサーバの IP ア ド レスを入力または編集し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 345

346

ユーザ グループ ユーザ

ユーザ グループ

ユーザ グループは、 ユーザ ID のリ ス ト です。 この ID には次のものがあ り ます。

• FortiGate ユニ ッ ト に格納されているローカル ユーザ アカウン ト ( ユーザ名とパスワー ド )

• パスワー ドがRADIUSまたはLDAPサーバに格納されているローカル ユーザ アカウン ト

• RADIUS または LDAP サーバ ( このサーバ上のすべての ID を認証可能 )

• Microsoft Active Directory サーバ上で定義されているユーザ グループ

ほとんどの場合、 FortiGate ユニ ッ ト は、 ユーザ名とパスワー ド を要求する こ とによ っ てユーザを認証し ます。 FortiGate ユニ ッ ト は、 ローカル ユーザ アカウント を 初に確認し ます。 一致が検出されない場合、 FortiGate ユニ ッ ト は、 そのユーザ グループに属する RADIUS または LDAP サーバを確認し ます。 一致するユーザ名とパスワー ドが検出された場合は、 認証が成功し ます。

Active Directory ユーザ グループの場合は、 ユーザがネ ッ ト ワークにログオン した と きに、 Active Directory サーバがそのユーザを認証し ます。 FortiGate ユニ ット は、 FSAE コ レ ク タ エージ ェ ン ト から、 そのユーザの名前と IP ア ド レスを受信し ます。 FSAE の詳細については、 『FSAE テ クニカル ノ ー ト 』 を参照し て く ださい。

[Port] Windows AD に使用される TCP ポー ト を入力または編集し ます。 このポー ト は、 FSAE コ レ ク タ エージ ェ ン ト の設定で指定された FortiGateのリ スニング ポー ト と同じ である必要があ り ます。

[Password] コ レ ク タ エージ ェ ン ト のパスワー ド を入力または編集し ます。 これが必要なのは、 認証されたア クセスを必要とするよ う に FSAE コ レ ク タ エージ ェ ン ト を設定し た場合だけです。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ユーザ グループ

ユーザ グループを、 次の項目への認証されたアクセスを提供するよ う に設定できます。

• 認証が必要なフ ァ イアウォール ポ リ シー

234ページの「フ ァ イアウォール ポリ シーへの認証の追加」を参照して く ださい。

• FortiGate ユニ ッ ト 上の SSL VPN

239 ページの 「SSL-VPN のフ ァ イアウォール ポ リ シー オプシ ョ ン」 を参照し て く だ さい。

• ダイヤルア ッ プ ユーザのための IPSec VPN フ ェーズ 1 設定

305 ページの 「新しいフ ェ ーズ 1 設定の作成」 を参照し て く だ さい。

• IPSec VPN フ ェーズ 1 設定のための XAuth

308 ページの 「フ ェーズ 1 詳細設定の定義」 の 「XAuth」 を参照し て く ださい。

• FortiGate の PPTP 設定

321 ページの 「PPTP の範囲」 を参照し て く だ さい。

• FortiGate の L2TP 設定

これは、 config vpn l2tp CLI コ マン ド でのみ設定可能です。 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

• RADIUS 認証を使用し た管理者ログイ ン

152 ページの 「管理者の RADIUS 認証の設定」 を参照し て く だ さい。

• FortiGuard Web フ ィ ルタ リ ングの置き換えグループ

396 ページの 「FortiGuard-Web フ ィ ルタ」 を参照し て く だ さい。

認証が必要な各リ ソースについて、 どのユーザ グループがアクセスを許可されるかを指定し ます。 認証のニーズに適し たユーザ グループの数と メ ンバシ ッ プを決定する必要があ り ます。

ユーザ グループの種類

ユーザ グループには、 次の 3 種類があ り ます。

• 「フ ァ イアウォール」

• 「Active Directory」

• 「SSL VPN」

ファイアウォール

フ ァ イアウォール ユーザ グループは、 フ ァ イアウォールの種類の認証を必要とし、そのユーザ グループを許可されたグループの 1 つと し て リ ス ト し ている フ ァイ アウォール ポ リ シーへのア ク セスを提供し ます。 ユーザが、 このポ リ シーによ っ て保護されている リ ソースにアクセス し よ う とする と、FortiGate ユニ ッ ト はグループ メ ンバのユーザ名とパスワー ド を要求し ます。詳細については、234 ページの 「フ ァ イアウォール ポ リ シーへの認証の追加」 を参照し て く だ さい。

フ ァ イアウォール ユーザ グループはまた、 ダイヤルア ッ プ ユーザのためのIPSec VPN へのアクセスも提供できます。 この場合、 IPSec VPN フ ェ ーズ 1 設定では [Accept peer ID in dialup group peer] オプシ ョ ンが使用されます。 ユーザのVPN ク ラ イアン ト は、 ユーザ名がピア ID に、 パスワー ドが仮共有キーに設定されます。 このユーザが IPSec VPN に正常に接続できるのは、 ユーザ名が許可さ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 347

348

ユーザ グループ ユーザ

れたユーザ グループのメ ンバであ り、 パスワー ドが FortiGate ユニ ッ ト に格納されているパスワー ド に一致し た場合のみです。 いずれかのメ ンバが RADIUS または LDAP サーバを使用し て認証されている と、 そのユーザ グループはダイヤルア ッ プ グループになれません。 詳細については、 305 ページの 「新しいフ ェーズ1 設定の作成」 を参照し て く だ さい。

フ ァ イアウォール ユーザ グループを使用する と、 FortiGuard Web フ ィ ルタ リ ングの置き換え特権を提供できます。 351 ページの 「ユーザ グループのためのFortiGuard 置き換えオプシ ョ ンの設定」 を参照し て く だ さい。 置き換え機能を含む FortiGuard Web フ ィ ルタの詳細については、 396 ページの 「FortiGuard-Webフ ィ ルタ」 を参照し て く ださい。

Active Directory

Microsoft Windows ネ ッ ト ワーク上では、FortiGate ユニ ッ ト は、Windows ネ ッ ト ワーク上で認証されているActive Directoryサーバ ユーザ グループのメ ンバへのアクセスを許可できます。ネ ッ ト ワーク ド メ イン コ ン ト ローラ上に FSAE (Fortinet ServerAuthentication Extensions) がインス ト ールされている必要があ り ます。

Active Directory ユーザ グループは、 Active Directory の種類の認証を必要と し、そのユーザ グループを許可されたグループの 1 つと し て リ ス ト し ている フ ァ イアウォール ポ リ シーへのアクセスを提供し ます。 このユーザ グループのメ ンバは、 設定されている Windows AD サーバから FortiGate ユニ ッ ト が受信し た リ スト から選択される Active Directory グループです。 345 ページの 「Windows ADサーバ」 を参照し て く だ さい。

SSL VPN

SSL VPN ユーザ グループは、 SSL VPN の種類の認証を必要と し、 そのユーザ グループを許可されたグループの 1 つと し て リ ス ト し ている フ ァ イアウォール ポリ シーへのアクセスを提供し ます。 ローカル ユーザ アカウン ト 、 LDAP サーバ、および RADIUS サーバは、 SSL VPN ユーザ グループのメ ンバになる こ とができます。 ユーザが SSL VPN Web ポータルにアクセスする と、 FortiGate ユニ ッ ト はそのユーザのユーザ名とパスワー ド を要求し ます。 このユーザ グループの設定には、 SSL VPN 機能に対するオプシ ョ ンが含まれます。 352 ページの 「SSL VPNユーザ グループのオプシ ョ ンの設定」 を参照し て く だ さい。

SSL VPN ユーザ グループはまた、 ダイヤルア ッ プ ユーザのための IPSec VPN へのアクセスも提供できます。 この場合、 IPSec VPN フ ェーズ 1 設定では [Accept peer ID in dialup group peer] オプシ ョ ンが使用されます。 ユーザの VPN ク ラ イアン ト は、 ユーザ名がピア ID に、 パスワー ドが仮共有キーに設定されます。 このユーザが IPSec VPN に正常に接続できるのは、 ユーザ名が許可されたユーザ グループのメ ンバであ り、 パスワー ドが FortiGate ユニ ッ ト に格納されているパスワー ド に一致し た場合のみです。

詳細については、 305 ページの 「新しいフ ェーズ 1 設定の作成」 を参照し て く ださい。

注記 : Active Directory ユーザ グループに、 FortiGuard Web フ ィ ルタの置き換え特権やSSL VPN へのアクセス権を与える こ とはできません。

注記 : いずれかのメ ンバが RADIUS または LDAP サーバを使用し て認証されている と、 そのユーザ グループは IPSec ダイヤルア ッ プ グループになれません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ユーザ グループ

ユーザ グループのリスト

ユーザ グループを設定するには、 [User]、[User Group] の順に選択し ます。

図 214: ユーザ グループのリスト

ユーザ グループの設定

[User]、[Group] の順に選択し、 [Create New] か、 または既存のユーザ グループの編集アイ コ ンを選択し ます。

図 215: ユーザ グループの設定

[Create New] 新しいユーザ グループを追加し ます。

[Group Name] このユーザ グループの名前。 ユーザ グループ名は、 [Firewall]、[Active Directory]、 および [SSL VPN] のユーザ グループの種類ご とにリ ス ト されます。

[Members] このユーザ グループ内のユーザ、 RADIUS サーバ、 または LDAP サーバ。

[Protection Profile] このユーザ グループに関連付けられたプロテクシ ョ ン プロ フ ァ イル。

削除アイコン このユーザ グループを削除し ます。注記 : フ ァ イアウォール ポ リ シー、 ダイヤルア ッ プ ユーザ フ ェーズ1 設定、 PPTP または L2TP 設定に含まれているユーザ グループを削除する こ とはできません。

編集アイコン このグループのメ ンバシ ッ プやオプシ ョ ンを編集し ます。

[Name] このユーザ グループの名前を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 349

350

ユーザ グループ ユーザ

[Type] ユーザ グループの種類を選択し ます。 347 ページの 「ユーザ グループの種類」 を参照し て く だ さい。

[Firewall] このグループは、 フ ァ イアウォール認証が必要な任意のフ ァ イアウォール ポ リ シーで選択し ます。 234 ページの 「フ ァ イアウォール ポ リ シーへの認証の追加」 を参照し て く ださ い。

[Active Directory] このグループは、 Active Directory 認証が必要な任意のフ ァ イアウォール ポ リ シーで選択し ます。 234 ページの 「フ ァ イアウォール ポ リ シーへの認証の追加」 を参照し て くださ い。

[SSL VPN] このグループは、 [Action] が [SSL VPN] に設定された任意のフ ァ イアウォール ポ リシーで選択し ます。 239 ページの 「SSL-VPN のフ ァ イアウォール ポリ シー オプシ ョ ン」 を参照し て く ださ い。

[Protection Profile] [Type] が [Firewall] または [Active Directory] の場合にのみ使用できます。ド ロ ッ プダウン リ ス ト から、 このユーザ グループのプロテ クシ ョ ン プロ フ ァ イルを選択し ます。 新しいプロテ ク シ ョ ン プロフ ァ イルを作成するには、 [Create New] を選択し ます。

[Available Users] このユーザ グループに追加できるユーザ、 RADIUS サーバ、LDAP サーバ、 または PKI ユーザのリ ス ト 。

[Members] このユーザ グループに属するユーザ、 RADIUS サーバ、 LDAPサーバ、 または PKI ユーザのリ ス ト 。

右矢印ボタン [Members] リ ス ト にユーザまたはサーバを追加し ます。[Available Users] リ ス ト 内のユーザ名またはサーバ名を選択し た後、 右矢印ボタ ンを選択し て [Members] リ ス ト に移動し ます。

左矢印ボタン [Members] リ ス ト からユーザまたはサーバを削除し ます。[Members] リ ス ト 内のユーザ名またはサーバ名を選択し た後、 左矢印ボタ ンを選択し て [Available Users] リ ス ト に移動し ます。

[FortiGuard Web Filtering Override]

[Type] が [Firewall] の場合にのみ使用できます。このグループのWeb フ ィ ルタ リ ングの置き換え機能を設定し ます。351 ページの 「ユーザ グループのための FortiGuard 置き換えオプシ ョ ンの設定」 を参照し て く だ さい。

[SSL-VPN User Group Options]

[Type] が [SSL-VPN] の場合にのみ使用できます。Web のみのモー ド または ト ンネル モー ド に関する動作の詳細な設定方法については、 『FortiGate SSL VPN ユーザ ガイ ド 』 を参照し て く だ さい。

注記 : LDAP サーバまたはローカル ユーザを、 管理者認証用に設定されたグループに追加し よ う とする と、 "Entry not found" とい う エ ラーが発生し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ユーザ グループ

ユーザ グループのための FortiGuard 置き換えオプションの設定

[User]、[Group] の順に選択し、 フ ァ イアウォール ユーザ グループの編集アイ コンを選択し ます。 [FortiGuard Web Filtering Override] セク シ ョ ンを展開し ます。

図 216: FortiGuard Web フィルタリングの置き換えの設定

[Allowed to perform FortiGuard Web Filtering overrides]

このグループのメ ンバが [FortiGuard Web Filtering Block] ページで置き換えを要求できるよ う にする場合に選択し ます。 この接続を管理する フ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イルで、FortiGuard の置き換えが有効になっている必要があり ます。プロテ ク シ ョ ン プロ フ ァ イルは、 置き換えグループ と し て 1 つのユーザ グループを指定し ます。 [FortiGuard Web Filter Block Override] ページで、 置き換えグループのメ ンバが、 ブロ ッ ク されたサイ ト にアクセスする こ と を認証できます。詳細については、 396 ページの 「FortiGuard-Web フ ィ ルタ」 を参照し て く だ さい。

[Override Scope] 置き換えを、 その置き換えを要求し たユーザにのみ適用する こ とも、 他のユーザを含める こ と も できます。 ド ロ ッ プダウン リ ス トから、 含める範囲を選択し ます。

[User] そのユーザのみ

[User Group] そのユーザが属するユーザ グループ

[IP] そのユーザの IP ア ド レスに存在する任意のユーザ

[Profile] そのユーザ グループの指定されたプロテ クシ ョン プロ フ ァ イルを持つ任意のユーザ

[Ask] 置き換え範囲を選択する、 認証し ているユーザ

[Override Type] ドロップダウン リストから、 アクセスを許可する対象を選択します。

[Directory] URL 内の も低いレベルのデ ィ レ ク ト リのみ

[Domain] Web サイ ト ド メ イン全体

[Categories] FortiGuard のカテゴ リ

[Ask] 置き換えの種類を選択する、 認証し ているユーザ

[Off-site URLs] ドロップダウン リストから、 ユーザが、 ブロックされたサイト以外のサイトへのリンクをたどることができるかどうかを選択します。

[Allow] ユーザは、 他のサイ ト へのリ ン ク をたどる こ とができます。

[Deny] ユーザは、 [Override Type] で定義された宛先のみへのリ ン ク をたどる こ とができます。

[Ask] 認証し ているユーザが、 オフサイ ト リ ン クの使用を許可するかど うかを選択し ます。

[Override Time] 置き換えの有効期間を設定する場合に選択し ます。

[Constant] 置き換えの有効期間を日数、 時間数、 分数で設定する場合に選択し ます。

[Ask] 認証し ているユーザが置き換えの有効期間を決定でき るよ う にする場合に選択し ます。 設定されている有効期間が 大にな り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 351

352

ユーザ グループ ユーザ

SSL VPN ユーザ グループのオプションの設定

[User]、[Group] の順に選択し、 SSL VPN ユーザ グループの編集アイ コ ンを選択し ます。 [SSL-VPN User Group Options] セク シ ョ ンを展開し ます。

Web のみのモー ド または ト ンネル モー ド に関する動作の詳細な設定方法については、 『FortiGate SSL VPN ユーザ ガイ ド 』 を参照し て く だ さい。

図 217: SSL VPN ユーザ グループのオプション

[Enable SSL-VPN Tunnel Service]

このグループ内のユーザが、 SSL VPN ト ンネルを使用し てFortiGate ユニ ッ ト の背後に位置するネ ッ ト ワークに接続できるよ う にする場合にオンにし ます。 ト ラ ンスペアレン ト モー ド では使用できません。

[Allow Split Tunneling] このグループのスプ リ ッ ト ト ンネ リ ングを許可する場合にオンにし ます。 スプ リ ッ ト ト ンネ リ ングによ っ て、 プ ラ イベー ト ネ ッ ト ワークの ト ラ フ ィ ッ クのみが SSL VPN ゲート ウ ェ イに送信される こ とが保証されます。 イン ターネ ット ト ラ フ ィ ッ クは、 通常の暗号化されていないルー ト を経由し て送信されます。

[Restrict tunnel IP range for this group]

[VPN]、[SSL]、[Config] で定義された [Tunnel IP range] を置き換える場合は、 このグループの開始と終了の IP ア ド レス範囲を入力し ます。

[Enable Web Application] Web ポータルが Web アプ リ ケーシ ョ ンへのア クセスを提供できるよ う にする場合にオンにし ます。 これは、 ト ラ ンスペアレン ト モー ド では使用できません。

[HTTP/HTTPS Proxy]FTP[Telnet (applet)]

[Samba][VNC][RDP]

Web アプ リ ケーシ ョ ンを有効にし た場合は、 このグループ内のユーザがアクセスを許可される各アプ リ ケーシ ョ ンをオンにし ます。

[Check FortiClient AV Installed and Running]

FortiClient Host Security AV ソ フ ト ウェ アを実行し ている クラ イアン ト のみの接続を許可する場合にオンにし ます。 このソ フ ト ウ ェ アについては、 「Fortinet テ クニカル ド キュ メン ト 」 Web サイ ト を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ユーザ ユーザ グループ

[Check FortiClient FW Installed and Running]

FortiClient Host Security FW ソ フ ト ウェ アを実行し ている クラ イアン ト のみの接続を許可する場合にオンにし ます。 このソ フ ト ウ ェ アについては、 「Fortinet テ クニカル ド キュ メン ト 」 Web サイ ト を参照し て く だ さい。

[Check for Third Party AV Software]

サポー ト されているアンチウイルス ソ フ ト ウ ェ アがインスト ールされている ク ラ イアン ト のみの接続を許可する場合にオンにし ます。 このソ フ ト ウ ェ アがインス ト ールされ、有効になっ て ( 実行されて ) いる必要があ り ます。Windows XP SP2 でサポー ト されている製品については、「AV/ フ ァ イアウォールがサポー ト されている製品の検出」を参照し て く だ さい。 その他のすべてのシステムでは、Norton (Symantec) AntiVirus または McAfee VirusScan ソ フ トウ ェ アがサポー ト されています。注記 : このオプシ ョ ンは、 [Check FortiClient Installed and Running] を選択し た場合は使用できません。

[Check for Third Party Firewall Software]

サポー ト されている フ ァ イアウォール ソ フ ト ウ ェ アがインス ト ールされている ク ラ イアン ト のみの接続を許可する場合にオンにし ます。 このソ フ ト ウ ェ アがインス ト ールされ、 有効になっ て ( 実行されて ) いる必要があ り ます。Windows XP SP2 でサポー ト されている製品については、「AV/ フ ァ イアウォールがサポー ト されている製品の検出」を参照し て く だ さい。 その他のすべてのシステムでは、Norton (Symantec) AntiVirus または McAfee VirusScan ソ フ トウ ェ アがサポー ト されています。注記 : このオプシ ョ ンは、 [Check FortiClient Installed and Running] を選択し た場合は使用できません。

[Enable Cache Clean] ユーザのログイン と ログアウ ト の間にク ラ イアン ト コ ンピ ュータ上で作成されたすべてのイン ターネ ッ ト 一時フ ァイルを削除する場合にオンにし ます。 この処理は、 ダウンロー ド された IE 用の ActiveX コ ン ト ロールおよび Firefox 用のプラグインを使用し て実行されます。 Windows 2000/Windows XP で動作する Internet Explorer および Firefox上で機能し ます。注記 : ク ラ イアン ト のブ ラウザがキャ ッ シュ ク リーナを インス ト ールし て実行できない場合は、 ユーザに SSL VPNポータルへのアクセスが許可されません。

[Redirect URL] SSL VPN Web ポータルのページが表示された と きに、 このURL で 2 つ目のブ ラウザ ウ ィ ン ド ウを開 く 場合に使用し ます。 この URL に対する Web サーバが、 FortiGate ユニ ッ トの背後に位置するプラ イベー ト ネ ッ ト ワーク上に存在し ている必要があ り ます。注記 :SSL VPN Web ポータルのログイン ページを変更するこ とができます。 詳細については、 147 ページの 「SSL-VPN ログイ ン メ ッ セージの変更」 を参照し て く だ さ い。

[Customize portal message for this group]

このグループのためのカス タム Web ポータル ホーム ページ キャ プシ ョ ンを入力または編集し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 353

354

ピアおよびピア グループの設定 ユーザ

ピアおよびピア グループの設定

一部の VPN 設定での認証や、 PKI 証明書認証に使用されるピアおよびピア グループを定義できます。 この操作を行 う には、 CLI の config user peer および config user peergrp コ マン ド を使用し ます。 詳細については、『FortiGate CLI リ フ ァ レンス』 の 「ユーザ」 の章を参照し て く だ さい。

表 33: AV/ ファイアウォールがサポートされている製品の検出

製品 AV ファイアウォール

Norton Internet Security 2006 Y Y

Trend Micro PC-cillin Y Y

McAfee Y Y

Sophos Anti-Virus Y N

Panda Platinum 2006 Internet Security Y Y

F-Secure Y Y

Secure Resolutions Y Y

Cat Computer Services Y Y

AhnLab Y Y

Kaspersky Y Y

ZoneAlarm Y Y

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス 操作の順序

F0

アンチウイルスこの項では、 フ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イルに関連し たアンチウイルス オプシ ョ ンを設定する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• 操作の順序

• アンチウイルス要素

• アンチウイルスの設定と制御

• フ ァ イル パターン

• 隔離

• [Config]

• アンチウイルスの CLI 設定

操作の順序

アンチウイルス処理には、 個別のタ ス ク を実行する さ まざまなモジュールやエンジンが含まれます。 FortiGate ユニ ッ ト は、 Web ベース マネージ ャ メ ニューに表示される次の要素の順序で、 アンチウイルス処理を実行し ます。

• フ ァ イル パターン

• ウイルス スキャ ン

• グレーウ ェ ア

• ヒ ューリ ステ ィ ッ ク

ある フ ァ イルがアンチウイルス スキャ ンのいずれかの要素に合格できなかった場合、 それ以上のスキャ ンは実行されません。 た と えば、 フ ァ イル "fakefile.EXE" がブロ ッ ク対象パターン と し て認識された場合、 FortiGate ユニ ット はエン ド ユーザに差し替え メ ッ セージを送信し、 そのフ ァ イルは削除または隔離されます。 そのフ ァ イルはすでに脅威である こ とが判明し、 対処されているため、 ウイルス スキャ ン、 グレーウ ェ ア、 ヒ ューリ ステ ィ ッ ク などのスキャ ンは実行されません。 この時点で、 このフ ァ イルに対し てそれ以上のシステム リソースの消費は不要と な り ます。

アンチウイルス要素

受信フ ァ イルを効率的にスキャ ンできるよ う 、 アンチウイルス要素は順番に実行されます。 初の 3 つの要素には特定の機能があ り ます。 これに対し て、 4 つ目のヒ ュー リ ステ ィ ッ クは新しい未知のウイルス脅威に対処するためのものです。これらの 4 つの要素が連携する こ と で、 ネ ッ ト ワークに対する比類ないアンチウイルス保護が実現し ます。 システムが実現可能な 大限の保護を確実に提供できるよ う、 すべてのウイルス定義およびシグネチャが FortiGuard アンチウイルス サービスを介し て定期的にア ッ プデー ト されます。 以下、 各要素を適用順に説明し、 続いて FortiGuard アンチウイルスについて説明し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 355

356

アンチウイルス要素 アンチウイルス

ファイル パターン

フ ァ イルが受け付けられる と、 FortiGate ユニ ッ ト はフ ァ イル パターン認識フ ィルタ を適用し ます。 FortiGate は、 設定されている フ ァ イル パターン設定に対してそのフ ァ イルをチ ェ ッ ク し ます。 フ ァ イルがブロ ッ ク対象パターン ( た と えば、 ".EXE") である場合、 そのフ ァ イルは阻止され、 差し替え メ ッ セージがエンド ユーザに送信されます。 他のレベルの保護は適用されません。 そのフ ァ イルがブロ ッ ク対象パターンでない場合は、 次のレベルの保護が適用されます。

ウイルス スキャン

フ ァ イルがフ ァ イル パターンに合格する と、 そのフ ァ イルにはウイルス スキャンが適用されます。 これらのウイルス定義は、 FortiNet Distribution Network を介し て 新の状態に維持されます。 このリ ス ト は定期的に更新されるため、 フ ァームウ ェ ア ア ッ プグレー ド を待つ必要はあ り ません。 ウイルス定義の更新の詳細については、 FortiGuard アンチウイルスを参照し て く だ さい。

グレーウェア

フ ァ イル パターン とウイルス スキャ ンに合格する と、 その受信フ ァ イルは、 グレーウ ェ アでないかど うか確認されます。 グレーウ ェ ア設定は、 必要に応じ て有効または無効に設定する こ とができ、 アンチウイルス定義と同じ方法で 新の状態に維持されます。 グレーウ ェ アの設定の詳細については、 グレーウ ェ ア リ スト の表示を参照し て く だ さい。

ヒューリスティック

受信フ ァ イルが 初の 3 つのアンチウイルス要素に合格する と、 そのフ ァ イルにはヒ ュー リ ステ ィ ッ ク要素が適用されます。 FortiGate のヒ ューリ ステ ィ ッ ク アンチウイルス エンジンはそのフ ァ イルにテス ト を実行し て、 ウイルスのよ う な動作または既知のウイルス指標を検出し ます。 この方法によ り、 ヒ ューリ ステ ィ ッ ク スキャ ンで新しいウイルスが検出される可能性があ り ますが、 何らかの誤検知の結果が生成される可能性もあ り ます。

FortiGuard アンチウイルス

FortiGuard アンチウイルス サービスは優れた リ ソースであ り、 FortiGuard Distribution Network (FDN) を介し たウイルスおよび IPS ( 攻撃 ) のエンジン と定義、 さ らにはローカル スパム DNSBL の自動更新が含まれています。 また、FortiGuard Center から も、 FortiGuard アンチウイルス ウイルスおよび攻撃エンサイ ク ロペデ ィ アや、 FortiGuard Bulletin が提供されます。 詳細情報およびFortiGuard Center へのリ ン クについては、 Fortinet Knowledge Center にアクセスし て く だ さい。

FortiGate ユニ ッ ト と FortiGuard Center の間の接続は、 [System]、[Maintenance]、[FortiGuard Center] で設定されます。 詳細については、 170 ページの 「FortiGateユニ ッ ト の FDN および FortiGuard サービスの設定」 を参照し て く だ さい。

注記 : ヒ ューリ ステ ィ ッ クは、 CLI を使用し てのみ設定できます。 『FortiGate CLI ガイ ド 』を参照し て く だ さい。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 アンチウイルス機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イン メニューで [Global Configuration] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス アンチウイルスの設定と制御

アンチウイルスの設定と制御

アンチウイルス設定は、 システム全体での使用のために設定されますが、 特定の設定はプロ フ ァ イル単位に実装できます。 表 34 は、 プロテ クシ ョ ン プロ フ ァ イルと アンチウイルス メ ニューのアンチウイルス オプシ ョ ンを比較し ています。

表 34: [Antivirus] と [Protection Profile] のアンチウイルス設定

[Protection Profile] のアンチウイルス オプション

[Antivirus] の設定

[Virus Scan] [AntiVirus]、 [Config]、 [Virus List]

各プロ ト コル (HTTP、 FTP、 IMAP、 POP3、SMTP、 IM) に対し て、 ウイルス スキャ ンを有効または無効にし ます。

現在のウイルスの読み取り専用のリ ス トを表示し ます。

[File Pattern] [AntiVirus]、 [File Pattern]

プロ ト コルご とのフ ァ イル パターン処理を有効または無効にし ます。

フ ァ イルをブロ ッ ク または許可するよ うにフ ァ イル パターンを設定し ます。 パターンを個別に有効または無効にする こと も できます。

[Quarantine] [AntiVirus]、 [Quarantine]

プロ ト コルご との隔離を有効または無効にします。 隔離は、 ローカル デ ィ スク を備えたユニ ッ ト 、 または設定された FortiAnalyzer ユニ ッ ト でのみ使用できます。

隔離されたフ ァ イルのリ ス ト の表示および並べ替え、 解析のために Fortinet に自動的にア ッ プロー ド する フ ァ イル パターンの設定、 アンチウイルスでの隔離オプシ ョ ンの設定を行います。

[Pass fragmented email messages]

断片化された電子メ ール メ ッ セージの通過を有効または無効にし ます。 断片化された電子メ ール メ ッ セージに対し ては、 ウイルス スキャ ンを実行できません。

[Comfort Clients]

HTTP および FTP ト ラ フ ィ ッ ク を有効または無効にし ます。 ク ラ イアン ト 快適化を ト リ ガする間隔とバイ ト 数を設定し ます。

[Oversized file/email]

プロ ト コルご との過剰に長いフ ァ イルおよび電子メ ール メ ッ セージをブロ ッ ク または通過させるよ う に FortiGate ユニ ッ ト を設定し ます。 アンチウイルスでのプロ ト コルご とのフ ァ イルおよび電子メ ール メ ッ セージのサイズのし きい値を設定し ます。

[AntiVirus]、 [Config]、 [Grayware]

カテゴ リ ご とのグレーウ ェ アのブロ ッキングを有効または無効にし ます。

送信電子メ ール メ ッ セージにシグネチャ を追加し ます。

送信電子メ ール メ ッ セージに追加するシグネチャ を作成し、 有効にし ます (SMTP のみ )。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 357

358

ファイル パターン アンチウイルス

ファイル パターン

脅威である可能性のあるすべてのフ ァ イルをブロ ッ ク し、 アク テ ィ ブな コ ンピ ュータ ウイルス攻撃を阻止するためのフ ァ イル パターンを設定し ます。 フ ァイルは、 名前、 拡張子、 またはその他の任意のパターンでブロ ッ ク できます。フ ァ イル パターン ブロ ッ キングによ って、 有害である可能性のある コ ンテンツをブロ ッ クするための柔軟性が提供されます。

標準的な運用と し て、 [Protection Profile] で [File Pattern] を無効に し ておき、 特定の脅威が発生し た場合にその脅威をブロ ッ クするために一時的に有効にする こと を選択できます。

FortiGate ユニ ッ ト は、 設定されたフ ァ イル パターンに一致する フ ァ イルをブロ ッ ク し、 代わり に差し替え メ ッ セージを表示し ます。 FortiGate ユニ ッ ト はまた、 各動作が設定されていれば、 ウイルス ログへのメ ッ セージの書き込みや、アラー ト メ ール メ ッ セージの送信も行います。

[File Pattern] と [Virus Scan] の両方が有効になっている場合、 FortiGate ユニ ッ トは有効になっ ている フ ァ イル パターンに一致する フ ァ イルをブロ ッ ク し ますが、これらのフ ァ イルに対し てウイルス スキャ ンを実行し ません。

ファイル パターン リスト カタログの表示

複数のフ ァ イル パターン リ ス ト を追加し、 プロテ クシ ョ ン プロ フ ァ イルご とに適な フ ァ イル パターン リ ス ト を選択できます。 フ ァ イル パターン リ ス ト カ

タ ログを表示するには、 [AntiVirus]、[File Pattern] の順に選択し ます。 個別のフ ァ イル パターン リ ス ト を表示するには、 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 218: ファイル パターン リスト カタログの例

注記 : フ ァ イル パターンのエン ト リは大文字と小文字が区別されません。 たと えば、フ ァ イル パターン リ ス ト に *.exe を追加する と、 .EXE で終わる フ ァ イルもすべてブ

ロ ッ ク されます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 アンチウイルス機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イン メニューで [Global Configuration] を選択し ます。

注記 : デフ ォル ト のフ ァ イル パターン リ ス ト カ タ ログは、組み込みパターン と呼ばれます。

[Create New] カ タ ログに新しいフ ァ イル パターン リ ス ト を追加するには、[Create New] を選択し ます。

[Name] 使用可能なフ ァ イル パターン リ ス ト 。

[# Entries] 各フ ァ イル パターン リ ス ト 内のフ ァ イル パターンの数。

[Profiles] 各フ ァ イル パターン リ ス ト が適用されたプロテ ク シ ョ ン プロ フ ァイル。

[Comment] 各フ ァ イル パターン リ ス ト のオプシ ョ ンの説明。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス ファイル パターン

フ ァ イル パターン リ ス ト は、 プロテ ク シ ョ ン プロ フ ァ イルで選択し ます。 詳細については、 290 ページの 「アンチウイルス オプシ ョ ン」 を参照し て く だ さい。

新しいファイル パターン リストの作成

フ ァ イル パターン リ ス ト カ タ ログにフ ァ イル パターン リ ス ト を追加するには、[AntiVirus]、[File Pattern] の順に選択し、 [Create New] を選択し ます。

図 219: [New File Pattern List] ダイアログ ボックス

ファイル パターン リストの表示

フ ァ イル パターン リ ス ト を表示するには、 [AntiVirus]、[File Pattern] の順に選択し、 表示する フ ァ イル パターン リ ス ト の編集アイ コ ンを選択し ます。

図 220: ファイル パターン リストの例

フ ァ イル パターン リ ス ト には、 次のアイ コ ン と機能が用意されています。

削除アイコン カ タ ログから このフ ァ イル パターン リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 このフ ァ イル パターン リ ス ト がどのプロテ ク シ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン フ ァ イル パターン リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メ ン ト を編集する場合に選択し ます。

[Name] 新しい リ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

[Name] フ ァ イル パターン リ ス ト の名前。 この名前を変更するには、 名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メン ト フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[OK]

[Create New] フ ァ イル パターン リ ス ト に新しいパターンを追加するには、[Create New] を選択し ます。

[Pattern] フ ァ イル パターンの現在のリ ス ト 。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 359

360

ファイル パターン アンチウイルス

フ ァ イルは、 一番上から下に向かって、 有効になっている フ ァ イル パターン と比較されます。 フ ァ イルが、 指定されているどのパターンにも一致し なかった場合、 そのフ ァ イルはアンチウイルス スキャ ン ( 有効にな っている場合 ) に渡されます。 実際上、 フ ァ イルは、 明示的にブロ ッ ク されない限り許可されます。

許可アクシ ョ ンを使用する と、 この動作を逆にし て、 明示的に許可されない限りすべてのフ ァ イルをブロ ッ クするよ う にできます。 単純に、 許可するすべてのフ ァ イル パターンを、 許可属性を使用し て入力し ます。 リ ス ト の 後に、 すべてを包含するワイル ド カー ド (*.*) を、 ブロ ッ ク ア クシ ョ ンを使用し て追加し ます。 許可される フ ァ イルは引き続きアンチウイルス スキャ ン ( 有効になっている場合 ) に渡される一方、 許可されたどのパターンにも一致し ないフ ァ イルは、

後にあるワイルド カー ド によ っ てブロ ッ ク されます。

フ ァ イル パターン リ ス ト は、 フ ァ イル パターンの次のデフ ォル ト リ ス ト を使用し てあらかじめ構成されています。

• 実行可能フ ァ イル (*.bat、 *.com、 および *.exe)

• 圧縮されたフ ァ イルまたはアーカ イブ フ ァ イル (*.gz、 *.rar、 *.tar、 *.tgz、 および *.zip)

• ダイナ ミ ッ ク リ ン ク ラ イブ ラ リ (*.dll)

• HTML アプ リ ケーシ ョ ン (*.hta)

• Microsoft Office フ ァ イル (*.doc、 *.ppt、 *.xl?)

• Microsoft Works フ ァ イル (*.wps)

• Visual Basic フ ァ イル (*.vb?)

• スク リーン セーバー フ ァ イル (*.scr)

• プログラム情報フ ァ イル (*.pif)

フ ァ イル パターンは、 プロテク シ ョ ン プロ フ ァ イルで有効にし ます。 詳細については、 290 ページの 「アンチウイルス オプシ ョ ン」 を参照し て く だ さい。

ファイル パターン リストの設定

フ ァ イル パターンの長さは 大 80 文字です。 リ ス ト 内のフ ァ イル パターンの大数は 5000 です。

フ ァ イル パターン リ ス ト の表示中に新しいフ ァ イル パターンを追加するには、[Create New] を選択し ます。 既存のフ ァ イル パターンを編集するには、 そのパターンに関連付けられた編集アイ コ ンを選択し ます。

図 221: 新しいファイル パターン

[Action] これらのフ ァ イル パターンに一致する フ ァ イルのブロ ッ ク または許可を設定できます。

[Enable] フ ァ イル パターンを無効にするには、 このチ ェ ッ ク ボ ッ クスをオフにし ます。

削除アイコン リ ス ト から このフ ァ イル パターンを削除する場合に選択し ます。

編集アイコン フ ァ イル パターンやア クシ ョ ンを編集する場合に選択し ます。

移動アイコン このフ ァ イル パターンを リ ス ト 内の任意の位置に移動する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス 隔離

隔離

ローカル デ ィ ス ク を備えた FortiGate ユニ ッ ト は、 ブロ ッ ク されたフ ァ イルや感染し たフ ァ イルを隔離できます。 それらのフ ァ イル名やフ ァ イルに関する状態情報は、 隔離済みフ ァ イル リ ス ト に表示されます。 特定のフ ァ イルを送信し た り、自動送信リ ス ト に特定のフ ァ イル パターンを追加し てそれらのフ ァ イルが解析のために Fortinet に自動的にア ッ プロー ド されるよ う に し た り し ます。

ローカル デ ィ ス ク を備えていない FortiGate ユニ ッ ト は、 ブロ ッ ク されたフ ァ イルや感染し たフ ァ イルを FortiAnalyzer ユニ ッ ト に送信し て隔離できます。FortiAnalyzer 上に格納されたフ ァ イルは、 表示のために取得できます。FortiAnalyzer ユニ ッ ト を設定するには、 [Log & Report]、[Log Config]、[Log Setting] の順に選択し ます。

隔離済みファイル リストの表示

隔離済みフ ァ イル リ ス ト には、 ウイルス感染またはフ ァ イル ブロ ッ キングのために隔離された各フ ァ イルに関する情報が表示されます。 フ ァ イル名、 日付、サービス、 状態、 重複カウン ト (DC)、 または TTL (Time to Live) でフ ァ イルを並べ替えます。 リ ス ト を フ ィ ルタ処理し て、 隔離されたフ ァ イルの う ち、 特定の状態を含むフ ァ イルまたは特定のサービスのフ ァ イルのみを表示し ます。

隔離済みフ ァ イル リ ス ト を表示するには、[AntiVirus]、[Quarantine]、[QuarantinedFiles] の順に選択し ます。

図 222: 隔離済みファイル リスト

隔離済みフ ァ イル リ ス ト には次の機能があ り、 また隔離された各フ ァ イルに関する次の情報が表示されます。

[Pattern] フ ァ イル パターンを入力し ます。 フ ァ イル パターンは、 正確なフ ァイル名にする こ と も、 ワイルド カー ド を含める こ と もできます。

[Action] ド ロ ッ プダウン リ ス ト から、 [Block] または [Allow] のアク シ ョ ンを選択し ます。

[Enable] このパターンを有効にする場合に選択し ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 アンチウイルス機能はグローバルに設定されます。 これらの機能にア クセスするには、 メ イ ン メニューで [Global Configuration] を選択し ます。

[Apply] 隔離済みフ ァ イル リ ス ト に並べ替えやフ ィ ルタ処理の選択を適用する場合に選択し ます。

[Sort by] リ ス ト を並べ替えます。 状態、 サービス、 フ ァ イル名、 日付、 TTL、または重複カウン ト から選択し ます。 並べ替えを完了するには、[Apply] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 361

362

隔離 アンチウイルス

自動送信リストの表示

疑わしいフ ァ イルを解析のために Fortinet に自動的にア ッ プロー ド するよ う にFortiGate ユニ ッ ト を設定し ます。 ワイル ド カー ド文字 (* または ?) を使用し て、自動送信リ ス ト にフ ァ イル パターンを追加し ます。 これらのフ ァ イル パターンは、 フ ァ イル ブロ ッ キングの設定には関係な く 自動送信リ ス ト に適用されます。

状態 ([Blocked] または [Heuristics]) に基づいてフ ァ イルを Fortinet にア ッ プロード するか、 または個別のフ ァ イルを隔離済みフ ァ イル リ ス ト から直接送信し ます。 FortiGate ユニ ッ ト は、 暗号化された電子メ ールを使用し て、 ポー ト 25 経由で SMTP サーバにフ ァ イルを自動送信し ます。

このオプシ ョ ンは、 ローカル デ ィ スク を備えた FortiGate ユニ ッ ト でのみ使用できます。

[Filter] リ ス ト を フ ィ ルタ処理し ます。 状態 ([Infected]、 [Blocked]、[Heuristics]) またはサービス (IMAP、 POP3、 SMTP、 FTP、 HTTP) から選択し ます。 フ ィ ルタ処理を完了するには、 [Apply] を選択し ます。ヒ ューリ ステ ィ ッ ク モー ドは、 CLI を使用し てのみ設定できます。368 ページの 「アンチウイルスの CLI 設定」 を参照し て く ださ い。

[File Name] 隔離されたフ ァ イルの処理されたフ ァ イル名。 フ ァ イルが隔離されると、 フ ァ イル名からすべてのスペースが削除され、 そのフ ァ イルに対し て 32 ビ ッ ト チ ェ ッ クサムが実行されます。 このチ ェ ッ クサムは差し替え メ ッ セージに表示されますが、 隔離されたフ ァ イルには表示されません。 このフ ァ イルは、 FortiGate のハー ド デ ィ スク上に、 次の名前付け規則で格納されます。<32bit_CRC>.<processed_filename>た と えば、 Over Size.exe とい う名前のフ ァ イルは、3fc155d2.oversize.exe と し て格納されます。

[Date] このフ ァ イルが隔離された日付と時刻 ( 形式は、 dd/mm/yyyy hh:mm)。重複カウン ト が増えた場合、 この値は 初のフ ァ イルが隔離された時刻を示し ます。

[Service] このフ ァ イルが隔離された と きのサービス (HTTP、 FTP、 IMAP、POP3、 SMTP、 IM)。

[Status] このフ ァ イルが隔離された理由 ([Infected]、 [Heuristics]、 または [Blocked])。

[Status Description]

状態に関連し た特定の情報。 た と えば、 "File is infected with "W32/Klez.h"" または "File was stopped by file block pattern."。

[DC] 重複カウン ト 。 同じ フ ァ イルが重複し て隔離された回数を示すカウント 。 この数が急速に増えている と きは、 ウイルスの発生を示し ている可能性があり ます。

[TTL] hh:mm の形式の TTL (Time to Live)。 この TTL が経過する と、 FortiGateユニ ッ ト は、 このフ ァ イルの [TTL] の見出しの下に [EXP] とい う ラベルを付けます。 重複フ ァ イルが発生し た場合、 見つかった各重複によ って TTL が更新されます。TTL 情報は、 このフ ァ イルが FortiAnalyzer ユニ ッ ト 上で隔離された場合は使用できません。

[Upload Status] [Y] は、 このフ ァ イルが解析のために Fortinet にア ッ プロー ド されたこ と を示し ます。 [N] は、 このフ ァ イルがア ッ プロー ド されていないこ と を示し ます。

削除アイコン リ ス ト から このフ ァ イルを削除する場合に選択し ます。

ダウンロード アイコン

対応する フ ァ イルを元の形式でダウンロー ド する場合に選択し ます。

サブミット アイコン

疑わし いフ ァ イルを解析のために Fortinet にア ッ プロー ド する場合に選択し ます。

注記 : フ ァ イルの重複 ( チ ェ ッ クサムに基づ く ) は格納されず、 カウン ト されるだけです。 TTL 値と重複カウン ト は、 フ ァ イルの重複が見つかるたびに更新されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス 隔離

自動送信リ ス ト を表示するには、 [AntiVirus]、[Quarantine]、[AutoSubmit] の順に選択し ます。

図 223: 自動送信リストの例

自動送信リ ス ト には、 次のアイ コ ン と機能が用意されています。

自動送信リストの設定

自動送信リ ス ト にフ ァ イル パターンを追加するには、 [AntiVirus]、[Quarantine]、[AutoSubmit] の順に選択し ます。

図 224: [New File Pattern] ダイアログ ボックス

隔離オプションの設定

隔離の設定オプシ ョ ン ( ブロ ッ ク されたフ ァ イルまたは感染し たフ ァ イルを隔離するかど うかや、 サービスの種類を含む ) を設定するには、 [AntiVirus]、[Quarantine]、[Config] の順に選択し ます。 TTL やフ ァ イル サイズ値を設定し、自動送信の設定を有効にし ます。

[Create New] 自動送信リス ト に新しいフ ァ イル パターンを追加する場合に選択します。

[File Pattern] 自動的にア ッ プロー ド される フ ァ イル パターンの現在のリ ス ト 。 ? または * のワイルド カー ド文字を使用し てパターンを作成し ます。 リ スト 内のすべてのフ ァ イル パターンを有効にするには、 このチ ェ ッ ク ボ ッ クスをオンにし ます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [File Pattern] や [Enable] の情報を編集する場合に選択し ます。

[File Pattern] Fortinet に自動的にア ッ プロー ド する フ ァ イル パターンまたはフ ァ イル名を入力し ます。

[Enable] このフ ァ イル パターンを有効にする場合に選択し ます。

注記 : 設定されたフ ァ イル パターンの自動ア ッ プロー ド を有効にするには、 [AntiVirus]、[Quarantine]、[Config] の順に選択し、 [Enable AutoSubmit] を選択し て、 [Use File Pattern] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 363

364

隔離 アンチウイルス

図 225: 隔離の設定 ( ローカル ディスクを備えた FortiGate)

図 226: 隔離の設定 ( ローカル ディスクを備えた FortiGate からの FortiAnalyzer)

図 227: 隔離の設定 (ローカル ディスクを備えていないFortiGateからのFortiAnalyzer)

注記 : NNTP オプシ ョ ンは選択できません。 将来サポー ト される予定です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス [Config]

隔離の設定には次のオプシ ョ ンがあ り ます。

[Config]

[Config] では、 FortiGate ユニ ッ ト によ っ てブロ ッ ク される現在のウイルスのリ スト を表示し ます。 また、 フ ァ イルや電子メ ールのサイズ制限、 グレーウ ェ ア ブロ ッ キングなどの設定も行います。

ウイルス リストの表示

ウ イ ルス リ ス ト には、 FortiGate ユニ ッ ト に イ ン ス ト ール さ れて い る現在のFortiGuard ウイルス定義 (AV 定義と も呼ばれる ) のアルフ ァベ ッ ト 順のリ ス ト が表示されます。FortiGate ユニ ッ ト は、これらのウイルス定義を使用し て、FortiGateユニ ッ ト を通過する コ ンテンツに含まれているウイルス、 ワーム、 ト ロ イ、 その他の脅威を検出および削除し ます。 リ ス ト 全体を表示するか、 または数字やアルフ ァ ベ ッ ト の範囲を選択する こ とによ って リ ス ト の一部を表示し ます。

ウイルス リ ス ト を表示するには、 [AntiVirus]、[Config] の順に選択し ます。

[Options] [Quarantine Infected Files] : アンチウイルス スキャ ンによ って識別された感染し たフ ァ イルを隔離する と きのプロ ト コルを選択し ます。[Quarantine Suspicious Files] : ヒ ューリ ステ ィ ッ クによ って識別された疑わしいフ ァ イルを隔離する と きのプロ ト コルを選択し ます。[Quarantine Blocked Files] : アンチウイルス フ ァ イル ブロ ッキングによ って識別されたブロ ッ ク されたフ ァ イルを隔離する と きのプロ ト コルを選択し ます。 [Quarantine Blocked Files] オプシ ョ ンは、 HTTP、FTP、 IM には使用できません。 ダウンロー ド する前にフ ァ イル名がブロ ッ ク され、 隔離できないためです。

[Age Limit] フ ァ イルを隔離内に保持する時間の制限 ( 時間単位 )。 保存期間は、 隔離済みフ ァ イル リ ス ト の [TTL] 列の値を公式化するために使用されます。 この制限に達する と、 [TTL] 列には [EXP] が表示され、 フ ァ イルが削除されます ( ただ し、 隔離済みフ ァ イル リ ス ト 内のレ コー ドは保持されます )。 0 ( ゼロ ) の保存期間を入力する と、 [Low Disk Space] のアク シ ョ ンによ っては、 フ ァ イルがデ ィ スク上に無期限に格納されます。

[Max Filesize to Quarantine]

隔離される フ ァ イルの 大サイズ (MB)。 設定する 大フ ァ イル サイズが大きすぎる と、 パフ ォーマンスに影響する可能性があり ます。

[Low Disk Space]

ローカル デ ィ スクがいっぱいになった と きに実行するア ク シ ョ ンを、も古いフ ァ イルへの上書き、 または 新フ ァ イルの破棄から選択し ます。

[FortiAnalyzer] ブロ ッ ク されたフ ァ イルや隔離されたフ ァ イルの FortiAnalyzer ユニ ット 上での格納を有効にする場合にオンにし ます。 FortiAnalyzer ユニ ッ トの設定の詳細については、 431 ページの 「ログおよびレポー ト 」 を参照し て く だ さい。

[Enable AutoSubmit]

[Enable AutoSubmit] : 自動送信機能を有効にし ます。 次のオプシ ョ ンのどち らかまたは両方をオンにし ます。[Use File Pattern] : 自動送信リ ス ト 内のフ ァ イル パターンに一致するフ ァ イルの自動ア ッ プロー ド を有効にし ます。[Use File Status] : 隔離されたフ ァ イルの自動ア ッ プロー ド を、 それぞれの状態に基づいて有効にし ます。 [Heuristics] または [Block Pattern] のどち らかを選択し ます。ヒ ューリ ステ ィ ッ クは、 CLI を使用し てのみ設定できます。 368 ページの 「アンチウイルスの CLI 設定」 を参照し て く だ さい。

[Apply] この設定を保存する場合に選択し ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 アンチウイルス機能はグローバルに設定されます。 これらの機能にア クセスするには、 メ イ ン メニューで [Global Configuration] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 365

366

[Config] アンチウイルス

FortiGuard ウイルス定義のリ ス ト は、 FortiGate ユニ ッ ト が新しいバージ ョ ンのFortiGuard AV 定義を受信するたびに更新されます。

FortiGuard Center Virus Encyclopedia には、 FortiGate ユニ ッ ト が FortiGuard ウイルス定義内の情報を使用し て検出および削除でき る、 ウイルス、 ワーム、 ト ロイ、 その他の脅威の詳細な説明が含まれています。

図 228: ウイルス リスト ( 一部 )

通常、 FortiGuard AV 定義は、 FortiGuard Distribution Network (FDN) から自動的に更新されます。 FDN からの AV 定義の自動更新を設定するには、 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

また、 システム ダ ッ シュボー ド ([System]、[Status] の順に選択 ) から AV 定義を手動で更新する こ と もできます。

グレーウェア リストの表示

グレーウ ェ ア プログラムは、 たいていはユーザの同意や認識な しにコ ンピ ュータ上にイ ンス ト ールされる、 迷惑な商用ソ フ ト ウ ェ ア プログラムです。 グレーウ ェ ア プログラムは一般に迷惑なものと見られていますが、 これらのプログラムがシステム パフ ォーマンスの問題を引き起こ し た り、 悪意のある結末のために使用された り する場合があ り ます。

FortiGate ユニ ッ ト は、 有効になっ ている各カテゴ リ に、 既知のグレーウ ェ ア実行可能プログラムがないかど うかスキャ ン し ます。 このカテゴ リのリ ス ト と内容は、 FortiGate ユニ ッ ト がウイルス更新パッ ケージを受信した場合は常に追加または更新されます。 いつで も新しいカテゴ リが追加される可能性があ り、 それらのカテゴ リはウイルス更新と共に読み込まれます。 デフ ォル ト では、 すべての新しいカテゴ リが無効になっ ています。 グレーウ ェ アは、 ウイルス スキャ ンが有効にな っている と きにプロテ ク シ ョ ン プロ フ ァ イルで有効に し ます。

グレーウ ェ ア カテゴ リ には、 既知の実行可能フ ァ イルが入力されています。FortiGate ユニ ッ ト がウイルスおよび攻撃定義の更新を受信するたびに、 グレーウ ェ アのカテゴ リ と内容が更新されます。

グレーウ ェ ア リ ス ト を表示するには、 [AntiVirus]、[Config]、[Grayware] の順に選択し ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 アンチウイルス機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イン メニューで [Global Configuration] を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス [Config]

図 229: サンプルのグレーウェア オプション

グレーウ ェ ア カテゴ リ を有効にする と、 そのカテゴ リ内に リ ス ト されているすべてのフ ァ イルがブロ ッ ク されます。 これらのカテゴ リは、 FortiGate ユニ ッ トが更新を受信した と きに変更または拡張される可能性があ り ます。 次のグレーウ ェ ア カテゴ リの有効化を選択できます。

[Adware] ア ド ウ ェ ア プログラムをブロ ッ ク し ます。 ア ド ウ ェ アは通常、 フリーウ ェ ア プログラムに埋め込まれ、 そのプログラムが開かれるか、 または使用された場合は常に広告をポ ッ プア ッ プ させます。

[BHO] BHO ( ブ ラウザ ヘルパ オブジ ェ ク ト ) をブロ ッ ク し ます。 BHO は、たいていはソ フ ト ウ ェ ア パッ ケージの一部と し てイ ンス ト ールされる DLL フ ァ イルであるため、 そのソ フ ト ウェ アは Internet Explorer 4.x 以降の動作を制御できます。 すべての BHO に悪意があるわけではあり ませんが、 サーフ ィ ンの癖を追跡し た り、 その他の情報を収集し た りする可能性が存在し ます。

[Dial] ダイヤラ プログラムをブロ ッ ク し ます。 ダイヤラ を使用する と、 他人が PC モデムを使用し てプレ ミ アム番号に電話し た り、 長距離電話をかけた り できます。

[Download] ダウンロー ド プログラムをブロ ッ ク し ます。 ダウンロー ド コ ンポーネン ト は通常、 Windows の起動時に実行され、 他のソ フ ト ウ ェア ( 特に、 広告やダイヤルのソ フ ト ウェ ア ) を イ ンス ト ールまたはダウンロー ド するよ う に設計されています。

[Game] ゲームをブロ ッ ク し ます。 これらのゲームは通常、 ネ ッ ト ワーク ユーザからはブロ ッ クする こ とが望まれる、 ジ ョ ーク ゲームや迷惑なゲームです。

[HackerTool] ハッ カー ツールをブロ ッ ク し ます。

[Hijacker] ブ ラウザ ハイジャ ッ ク プログラムをブロ ッ ク し ます。 ブ ラウザのハイジャ ッ クは、 " スパイウ ェ ア " タ イプのプログラムが、 お気に入り またはブ ッ ク マーク、 開始ページ、 メ ニュー オプシ ョ ンなどのWeb ブ ラウザ設定を変更し た場合に発生し ます。

[Joke] ジ ョ ーク プログラムをブロ ッ ク し ます。 ジ ョ ーク プログラムには、システムに影響を与えるよ う に見える カス タム カーソルおよびプログラムも含まれます。

[Keylog] キーロガー プログラムをブロ ッ ク し ます。 キーロガー プログラムは、 パスワー ド、 チャ ッ ト 、 インス タ ン ト メ ッ セージを含む、 キーボー ド上で行われたすべてのキース ト ローク を記録できます。

[Misc] 種々雑多のグレーウ ェ ア カテゴ リ に含まれているすべてのプログラムをブロ ッ ク し ます。

[NMT] ネ ッ ト ワーク管理ツールをブロ ッ ク し ます。 ネ ッ ト ワーク管理ツールを インス ト ールし、 悪意を持っ て使用する と、 設定を変更し たり、 ネ ッ ト ワーク セキュ リ テ ィ を妨害し た りする こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 367

368

アンチウイルスの CLI 設定 アンチウイルス

アンチウイルスの CLI 設定

こ こ では、 Web ベース マネージャで使用可能な機能を拡張するための CLI コ マン ド について説明し ます。 これらの完全な説明や、 CLI コ マン ド を使用し て追加機能を有効にする方法の例については、 『FortiGate CLI リ フ ァ レンス』 を参照して く ださい。

system global optimize

optimize 機能は、 アンチウイルス スキャ ンまたは単純なスループ ッ ト ト ラフ ィ ッ クのどち らかに対する FortiGate ユニ ッ ト の効率的な動作を保証するよ うに CPU 設定を設定し ます。 optimize がアンチウイルスに設定されている と、FortiGate ユニ ッ ト は対称型マルチプロセ ッ シングを使用し てアンチウイルス タスク を複数の CPU に分散する こ とによ って、 スキャ ンを高速化し ます。

この機能は、 1000 以上の番号のモデルで使用できます。

詳細については、 Fortinet Knowledge Center の記事 「Antivirus failopen and optimization」 を参照し て く だ さい。

config antivirus heuristic

FortiGate のヒ ュー リ ステ ィ ッ ク アンチウイルス エンジンはフ ァ イルにテス ト を実行し て、 ウイルスのよ う な動作または既知のウイルス指標を検出し ます。ヒ ューリ ステ ィ ッ ク スキャ ンは、 フ ァ イル ブロ ッキングやウイルス スキャ ンで一致が見つからなかった後で、 後に実行されます。 この方法によ り、 ヒ ューリステ ィ ッ ク スキャ ンで新しいウイルスが検出される可能性があ り ますが、 何らかの誤検知の結果が生成される可能性もあ り ます。

ヒ ューリ ステ ィ ッ ク エンジンはデフ ォル ト で有効になってお り、 疑わしいフ ァイルを受信者に渡し、 コ ピーを隔離に送信し ます。 ヒ ューリ ステ ィ ッ ク スキャンは、 CLI で設定された後、 ウイルス スキャ ンが有効にな っている と きにプロテクシ ョ ン プロ フ ァ イルで有効にし ます。

ヒ ューリ ステ ィ ッ ク スキャ ンのモー ド を変更するには、 heuristic コ マン ド を使用し ます。

[P2P] ピアツーピア通信プログラムをブロ ッ ク し ます。 P2P は、 正規のプロ ト コルではあり ますが、 音楽、 ムービー、 その他のフ ァ イルを、たいていは違法に交換するために使用される フ ァ イル共有プログラムと同義です。

[Plugin] ブ ラウザ プ ラグイ ンをブロ ッ ク し ます。 ブ ラウザ プ ラグイ ンは、一般には、 ブ ラウザ ウ ィ ン ド ウから イ ンス ト ールされ、 直接実行される害のないイン ターネ ッ ト ブ ラウジング ツールです。 一部のツールバーやプ ラグインは、 ブ ラウジング設定の制御または記録、あるいは送信を試みる こ とができます。

[RAT] リ モー ト 管理ツールをブロ ッ ク し ます。 リ モー ト 管理ツールを使用する と、 外部のユーザがネ ッ ト ワーク上のコ ンピ ュータ を リ モー トで変更および監視できます。

[Spy] スパイウ ェ ア プログラムをブロ ッ ク し ます。 ア ド ウ ェ ア と同様に、スパイウ ェ アも多 く の場合はフ リーウ ェ アに含まれています。 スパイウ ェ アは、 Web ブ ラウジングの癖などのユーザの動作を、 それらが記録および解析される可能性のある広告主の Web サイ ト に報告できる追跡および解析プログラムです。

[Toolbar] カス タム ツールバーをブロ ッ ク し ます。 害のないツールバーも存在し ますが、 スパイウ ェ ア開発者はこれらのツールバーを使用し てWeb 上での癖を監視し た り、 これらの情報を開発者に送り返し た りする こ とができます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチウイルス アンチウイルスの CLI 設定

config antivirus quarantine

quarantine コ マン ド で も、 ヒ ューリ ステ ィ ッ ク関連の設定を行 う こ とができます。

この機能は、 200 以上の番号のモデルで使用できます。

config antivirus service <service_name>

このコ マン ドは、 HTTP、 FTP、 IM、 POP3、 IMAP、 または SMTP ト ラ フ ィ ッ ク内の大きなフ ァ イルに対する FortiGate ユニ ッ ト でのアンチウイルス スキャ ンの処理方法や、 FortiGate ユニ ッ ト がサービスのためにスキャ ンするポー ト を設定するために使用し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 369

370

アンチウイルスの CLI 設定 アンチウイルス

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 不正侵入防御について

F0

不正侵入防御FortiGuard 不正侵入防御システム (IPS) は、 シグネチャ と ア ノ マ リ による不正侵入検知、 および短い待ち時間と優れた信頼性を誇る防御機能を兼ね備えています。 IPS では、 フ ァ イアウォール プロテ クシ ョ ン プロ フ ァ イルの作成時に有効に された IPS オプシ ョ ンを設定できます。

この項では、 FortiGate IPS を設定する方法について説明し ます。 IPS の詳細については、 『FortiGate 不正侵入防御システム (IPS) ガイ ド 』 を参照し て く だ さい。

この項には以下の ト ピ ッ クが含まれています。

• 不正侵入防御について

• 定義済みシグネチャ

• カス タム シグネチャ

• プロ ト コル デコーダ

• ア ノ マ リ

• IPS の CLI 設定

不正侵入防御について

FortiGate ユニ ッ ト は、 疑わしい ト ラ フ ィ ッ ク をログに記録し た り、 アラー ト メ ールをシステム管理者に送信し た り、 疑わしいパケ ッ ト またはセ ッ シ ョ ンをログ記録、 許可、 破棄、 リ セ ッ ト 、 またはク リ ア した り する こ とができます。 一部の IPS ア ノ マ リ し きい値を、 保護されたネ ッ ト ワーク上の正常な ト ラ フ ィ ッ ク で

適に機能するよ う に調整し ます。 さ まざまなネ ッ ト ワーク環境に合わせてFortiGate IPS を カス タ マイズするために、 カス タム シグネチャ を作成し ます。

FortiGate IPS は、 ネ ッ ト ワーク ト ラ フ ィ ッ ク を、 攻撃シグネチャ内のパターンと照合し ます。 攻撃シグネチャは、 ネ ッ ト ワーク を既知の攻撃から確実に保護します。 Fortinet の FortiGuard イ ン フ ラス ト ラ クチャによ って、 新しい脅威の迅速な識別と新しい攻撃シグネチャの開発が保証されます。

FortiGuard サービスは貴重な顧客リ ソースであ り、FortiGuard Distribution Network (FDN) を介し たウイルスおよび IPS ( 攻撃 ) のエンジン と定義の自動更新が含まれています。 また、 FortiGuard Center から も、 FortiGuard ウイルスおよび攻撃エンサイ ク ロペデ ィ アや、 FortiGuard Bulletin が提供されます。 詳細情報およびFortiGuard Center へのリ ン クについては、 Fortinet Knowledge Center にア クセスし て く だ さい。

FortiGate ユニ ッ ト と FortiGuard の間の接続は、 [System]、[Maintenance]、[FortiGuard Center] で設定されます。 詳細については、 170 ページの 「FortiGateユニ ッ ト の FDN および FortiGuard サービスの設定」 を参照し て く だ さい。

FortiGate ユニ ッ ト を、 新のシグネチャ を含む更新された攻撃定義フ ァ イルがないかど うかを自動的にチ ェ ッ ク し てダウンロー ド するか、 または更新された攻撃定義フ ァ イルを手動でダウンロー ド するよ う に設定し ます。 あるいは、 更新された攻撃定義フ ァ イルが FortiGuard Distribution Network から入手可能にな ったらすぐに、 それらのフ ァ イルのプ ッ シュ更新を可能にするよ う に FortiGate ユニ ット を設定し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 371

372

不正侵入防御について 不正侵入防御

FortiGate ユニ ッ ト は、 更新された攻撃定義フ ァ イルを インス ト ールする と き、 既存の任意のシグネチャのデフ ォル ト 設定が変更されていないかど うかをチ ェ ッ クし ます。デフ ォル ト 設定が変更されている場合は、 それらの変更が保持されます。

定義済み攻撃シグネチャの広範な リ ス ト に加えて使用する、 FortiGate ユニ ッ トのカス タム攻撃シグネチャ を作成し ます。

IPS が攻撃を検出または阻止し た場合は常に、 攻撃メ ッ セージが生成されます。そのメ ッ セージを攻撃ログに追加し、 管理者にアラー ト メ ールを送信するよ うに FortiGate ユニ ッ ト を設定し ます。 FortiGate ユニ ッ ト がアラー ト メ ールを送信する頻度を設定し ます。 システムに脆弱性がない攻撃 ( たと えば、 Web サーバが実行されていない場合の Web 攻撃 ) に対するシグネチャ を無効にする こ とによ って、 ログ メ ッ セージや警告の数を減ら し ます。

パケ ッ ト ロギングを使用する と、 管理者はパケ ッ ト を解析し て、 フ ォ レンジ ックや誤検知がないかど うかを検出できます。

FortiGate のロギングと アラー ト メ ールの詳細については、 431 ページの 「ログおよびレポー ト 」 を参照し て く ださい。

IPS の設定と制御

Web ベース マネージャ または CLI のどち らかを使用し て IPS を設定し た後、 個別のフ ァ イアウォール プロテク シ ョ ン プロ フ ァ イル内のすべてのシグネチャまたはすべてのア ノ マ リ を有効または無効に し ます。

表 35 は、 IPS の各設定と、 それら を設定し た り設定にア クセス し た りする場所を説明し ています。

プロテ クシ ョ ン プロ フ ァ イルの IPS オプシ ョ ンにアクセスするには、 [Firewall]、[Protection Profile] の順に選択し、 [Edit] または [Create New] を選択し て、 [IPS] を選択し ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 IPS はグローバルに設定されます。 IPS にア クセスするには、 メ イ ン メ ニューで [Global Configuration] を選択し ます。

表 35: [Protection Profile] の IPS 設定と IPS の設定

[Protection Profile] の IPS オプション IPS の設定

[IPS Signature] [Intrusion Protection]、 [Signature]

重大度レベルご と に IPS シグネチャ を有効または無効にし ます。

定義済みシグネチャのリ ス ト を表示および設定し ます。ネ ッ ト ワーク要件に基づいてカス タム シグネチャ を作成し ます。プロ ト コル デコーダを設定し ます。

[IPS Anomaly] [Intrusion Protection]、 [Anomaly]

重大度レベルご と に IPS ア ノ マ リ を有効または無効にし ます。

定義済みア ノ マ リのリ ス ト を表示および設定し ます。

[Log Intrusions] [Intrusion Protection]、 [Anomaly]、 [ 個別のアノ マ リ ]

すべてのシグネチャおよびア ノ マ リ侵入のロギングを有効にし ます。

各シグネチャのロギングを有効にし ます。各シグネチャ またはア ノ マ リのパケ ッ ト ロギングを有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 定義済みシグネチャ

IPS を使用する状況

IPS は、 大規模なネ ッ ト ワーク、 または高度な機密情報を保護し ているネ ッ トワークに も適し ています。 IPS を効率的に使用するには、 攻撃の性質や脅威のレベルを特定するために攻撃ログを監視および解析する こ とが必要です。 管理者は、 パフ ォーマンス と不正侵入防御の間のバラ ンスを保証するために、 し きい値レベルを調整する こ とができます。 ネ ッ ト ワーク管理者がいない小規模企業やホーム オフ ィ スは、 攻撃ログ メ ッ セージで溢れる可能性があ り、 し きい値やその他の IPS 設定を設定するために必要なネ ッ ト ワークのバッ クグラウン ド もあ りません。 さ らに、 アンチウイルス ( グレーウ ェ アを含む )、 スパム フ ィ ルタ、Web フ ィ ルタ などの、 FortiGate ユニ ッ ト が備えているその他の保護機能によ って、 優れた保護がすべてのネ ッ ト ワークに提供されます。

定義済みシグネチャ

デフ ォル ト では、 一部のシグネチャだけが有効にな っています。 ただ し、 ロギングは、 すべてのシグネチャに対し て有効にな っています。 デフ ォル ト 設定をチ ェ ッ ク し て、 ネ ッ ト ワーク ト ラ フ ィ ッ クの要件が満たされている こ と を確認し て く だ さい。

不必要なシグネチャ を無効にする と、 システム パフ ォーマンスが向上し た り、IPS によ っ て生成されるログ メ ッ セージやアラー ト メ ール メ ッ セージの数が減少し た り する可能性があ り ます。 た と えば、 IPS は多数の Web サーバ攻撃を検出し ます。 FortiGate ユニ ッ ト の背後に配置されている Web サーバへのアクセスが提供されていない場合は、 すべての Web サーバ攻撃シグネチャ を無効に し ます。

定義済みシグネチャ リストの表示

個別の定義済みシグネチャの設定は、 定義済みシグネチャ リ ス ト で有効または無効に した り、 設定した り し ます。 このリ ス ト は、 シグネチャの重大度レベルごとに表示できます。

定義済みシグネチャ リ ス ト を表示するには、 [Intrusion Protection]、[Signature]、[Predefined] の順に選択し ます。

注記 : IPS シグネチャ設定をデフ ォル ト のままで実行する と、 FortiGate ユニ ッ ト の全体的なパフ ォーマンスが低下する可能性があり ます。 定義済みシグネチャやロギングの設定を微調整する こ と によ って、 大の保護だけでな く 、 大のパフ ォーマンスを保証する こ とができます。 376 ページの 「システム パフ ォーマンス向上のための IPS 定義済みシグネチャの微調整」 を参照し て く だ さい。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、IPS はグローバルに設定されます。 IPS にアクセスするには、 メ イ ン メ ニューで [Global Configuration]を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 373

374

定義済みシグネチャ 不正侵入防御

図 230: 定義済みシグネチャ リスト

表 36 は、 定義済みシグネチャ、 カス タム シグネチャ、 およびア ノ マ リ に対し て実行される可能性のある各アク シ ョ ンを説明し ています。

[Column Settings]

テーブルに表示するシグネチャ情報を カス タ マイズする場合に選択します。 また、 列の順序を再調整する こ と もできます。デフ ォル ト では、 シグネチャ ID、 グループ名、 およびリ ビジ ョ ン番号は表示されません。

[Name] このシグネチャの名前。

[Enable] このシグネチャの状態。 緑色の円は、 このシグネチャが有効になっ ている こ と を示し ます。 灰色の円は、 このシグネチャが有効になっ ていないこ と を示し ます。

[Logging] このシグネチャのロギング状態。 デフ ォル ト では、 すべてのシグネチャのロギングが有効になっています。 ロギングが有効になっ ている場合は、 このシグネチャによ って生成されるログ メ ッ セージの状態フ ィ ールド にアク シ ョ ンが表示されます。

[Action] このシグネチャに対し て設定されているアク シ ョ ン。 アク シ ョ ンは、[Pass]、 [Drop]、 [Reset]、 [Reset Client]、 [Reset Server]、 [Drop Session]、 [Clear Session]、 または [Pass Session] に設定できます。 ロギングが有効になっている場合は、 このシグネチャによ っ て生成されるログ メ ッ セージの状態フ ィ ールド にア クシ ョ ンが表示されます。 アクシ ョ ンの説明については、 表 36 を参照し て く だ さい。

[Severity] このシグネチャに対し て設定されている重大度レベル。 重大度レベルは、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に設定できます。

[Protocols] このシグネチャが適用されるプロ ト コル。

[OS] このシグネチャが適用されるオペレーテ ィ ング システム。

[Applications] このシグネチャが適用されるアプ リ ケーシ ョ ン。

[ID] このシグネチャの一意の ID。

[Group] このシグネチャが属するシグネチャ グループの名前。

[Revision] このシグネチャのリ ビジ ョ ン番号。

設定アイコン このシグネチャの設定を設定し ます。

リセットアイコン

リ セ ッ ト アイ コ ンは、 シグネチャのデフ ォル ト 設定が変更されている場合にのみ表示されます。 シグネチャのリ セ ッ ト アイ コ ンを選択すると、 デフ ォル ト 設定に復元されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 定義済みシグネチャ

定義済みシグネチャの設定

各シグネチャに対し て、 FortiGate IPS が攻撃を検出し た と きに実行するアクシ ョンを設定し ます。 FortiGate IPS は、 それらのパケ ッ ト またはセ ッ シ ョ ンを許可、破棄、 リ セ ッ ト 、 またはク リ アする こ とができます。 パケ ッ ト ロギングを有効または無効に し ます。 このシグネチャに適用する重大度レベルを選択し ます。

表 36: 各定義済みシグネチャに対して選択するアクション

アクション 説明

[Pass] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 それ以上のアク シ ョ ンを実行せずにそのパケ ッ ト のフ ァ イアウォール通過を許可し ます。ロギングが無効で、 アク シ ョ ンが [Pass] に設定されている場合、 このシグネチャは実質的に無効にな り ます。

[Drop] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト を削除し ます。 フ ァ イアウォール セ ッ シ ョ ンは影響されません。TCP 接続ベースの攻撃には [Drop] 以外のア クシ ョ ンを使用する こ とをお勧めし ます。

[Reset] パケ ッ ト がシグネチャ を ト リ ガする と、FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト を削除し ます。 FortiGate ユニ ッ ト は、 ク ラ イアント とサーバの両方に リ セ ッ ト を送信し、 このフ ァ イアウォール セ ッシ ョ ンを フ ァ イアウォール セ ッ シ ョ ン テーブルから削除し ます。このアク シ ョ ンは、 TCP 接続に対し てのみ使用されます。 TCP 以外の接続ベースの攻撃に対し て設定されている場合、 このアク シ ョ ンは [Clear Session] と し て動作し ます。 TCP 接続が完全に確立される前に [Reset] ア クシ ョ ンが ト リ ガ される と、 このア クシ ョ ンは [Clear Session] と し て機能し ます。

[Reset Client] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト を削除し ます。 FortiGate ユニ ッ ト は、 ク ラ イアン ト にリ セ ッ ト を送信し、 このフ ァ イアウォール セ ッ シ ョ ンをフ ァ イアウォール セ ッ シ ョ ン テーブルから削除し ます。このアク シ ョ ンは、 TCP 接続に対し てのみ使用されます。 TCP 以外の接続ベースの攻撃に対し て設定されている場合、 このアク シ ョ ンは [Clear Session] と し て動作し ます。 TCP 接続が完全に確立される前に [Reset Client] アク シ ョ ンが ト リ ガ される と、 このアク シ ョ ンは [Clear Session] と し て機能し ます。

[Reset Server] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト を削除し ます。 FortiGate ユニ ッ ト は、 サーバにリ セ ッ ト を送信し、 このフ ァ イアウォール セ ッ シ ョ ンを フ ァ イアウォール セ ッ シ ョ ン テーブルから削除し ます。このアク シ ョ ンは、 TCP 接続に対し てのみ使用されます。 TCP 以外の接続ベースの攻撃に対し て設定されている場合、 このアク シ ョ ンは [Clear Session] と し て動作し ます。 TCP 接続が完全に確立される前に [Reset Server] アク シ ョ ンが ト リ ガ される と、このアク シ ョ ンは [Clear Session] と し て機能し ます。

[Drop Session] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト を削除し ます。 このパケ ッ ト のフ ァ イアウォール セ ッ シ ョ ンの残り については、 すべての後続パケ ッ ト が破棄されます。

[Pass Session] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト のフ ァ イアウォール通過を許可し ます。 このパケ ッ ト のセ ッ シ ョ ンの残り については、 すべての後続パケ ッ ト がIPS をバイパス し ます。

[Clear Session] パケ ッ ト がシグネチャ を ト リ ガする と、 FortiGate ユニ ッ ト は警告を生成し、 そのパケ ッ ト が属するセ ッ シ ョ ンがセ ッ シ ョ ン テーブルから直ちに削除されます。 リ セ ッ ト は送信されません。TCP の場合は、すべての後続パケッ ト が破棄される可能性があり ます。UDP の場合は、 すべての後続パケ ッ ト が、 フ ァ イアウォールでの新しいセ ッ シ ョ ンの作成を ト リ ガする可能性があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 375

376

定義済みシグネチャ 不正侵入防御

図 231: 定義済み IPS シグネチャの設定

システム パフォーマンス向上のための IPS 定義済みシグネチャの微調整

デフ ォル ト では、 FortiGate ユニ ッ ト のほと んどの定義済みシグネチ ャが有効になっ てお り、 そのすべてがログに記録されます。 デフ ォル ト 設定のままに し ておく と、 FortiGate はシステムに、 使用可能な 適な保護を提供し ます。 シグネチャやログの設定を微調整する こ とによ っ て、 使用可能な 適な保護を引き続き実現し ながら、貴重な FortiGate のリ ソースを解放する こ と も可能にな り ます。微調整では、 使用し ていない機能を無効にする こ とができます。 使用し ていないシグネチャやログを無効にする こ とによ って、 FortiGate ユニ ッ ト がタ ス ク をよ り高速に実行でき るよ う になるため、 全体的なシステム パフ ォーマンスが向上し ます。

すべてのシステムで、 常に IPS スイー ト のすべてのシグネチャ をスキャ ンする必要があるわけではあ り ません。

その例を次に示し ます。 内部のデータベースにしかアクセスせず、 イ ン ターネ ット や電子メ ールにはアクセス し ないコ ンピ ュータ を制御し ている FortiGate ユニ ッ ト がある場合は、 その FortiGate ユニ ッ ト で、 電子メ ール、 IM、 P2P などの特定の種類のシグネチャ をスキャ ン し て も意味はあ り ません。

FortiGate ユニ ッ ト にこれらのシグネチャ を検索し ないよ う に指示する こ とによ って、 高いレベルのセキュ リ テ ィ を維持し ながら、 全体的なパフ ォーマンスを向上させる こ とができます。

また、 ロギング機能で提供される情報をどのよ う に使用し ているかを正確に確認する こ と も必要です。 これらの情報を確認し ていないこ とがわかった場合は、 ロギング機能を無効にするのが 善の方法です。 ロギングは、 すぐに使用可能なインテ リ ジ ェ ンスを実現するために使用するのが 善です。

シグネチャを無効にするには

1 [Intrusion Protection]、[Signature]、[Predefined] の順に選択し ます。

2 無効にするシグネチャの [Enable] ボ ッ クスをオフに し ます。

シグネチャのロギングを無効にするには

1 [Intrusion Protection]、[Signature]、[Predefined] の順に選択し ます。

2 変更するシグネチャの右側にある [Configure] アイ コ ンを選択し ます。

3 [Logging] チ ェ ッ ク ボ ッ クスをオフに し ます。

4 [OK] を選択し ます。

[Action] リ ス ト から アク シ ョ ンを選択し ます。 アク シ ョ ンは、 [Pass]、 [Drop]、[Reset]、 [Reset Client]、 [Reset Server]、 [Drop Session]、 [Clear Session]、 または [Pass Session] に設定できます。 アク シ ョ ンの説明については、 表 36 を参照し て く だ さ い。

[Packet Log] パケ ッ ト ロギングを有効にし ます。

[Severity] ド ロ ッ プダウン リ ス ト から重大度レベルを選択し ます。 重大度レベルは、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に設定できます。 重大度レベルは、 個別のシグネチャに対し て設定されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 カスタム シグネチャ

カスタム シグネチャ

カス タム シグネチャは、 さ まざまなネ ッ ト ワーク環境に合わせて FortiGate IPSを カス タ マイズするための優れた機能と柔軟性を提供し ます。 FortiGate の定義済みシグネチャは、 一般的な攻撃を カバーし ています。 例外的なアプ リ ケーシ ョンや特殊なアプ リ ケーシ ョ ン、 または一般的でないプ ラ ッ ト フ ォームを使用し ている場合は、 アプ リ ケーシ ョ ンやプ ラ ッ ト フ ォームのベンダから リ リース されているセキュ リ テ ィ 警告に基づいてカス タム シグネチャ を追加し ます。

また、 P2P プロ ト コルのブロ ッ クに役立つよ う にカス タム シグネチャ を作成する こ と もできます。

カス タム シグネチャの詳細については、、『FortiGate 不正侵入防御システム (IPS) ガイ ド』 を参照し て く だ さい。

カスタム シグネチャ リストの表示

カス タム シグネチャ リ ス ト を表示するには、 [Intrusion Protection]、[Signature]、[Custom] の順に選択し ます。

図 232: カスタム シグネチャ リスト

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 IPS はグローバルに設定されます。 IPS にアクセスするには、 メ イ ン メ ニューで [Global Configuration] を選択し ます。

[View custom signatures with severity]

フ ィ ルタ条件に一致するカス タム シグネチャのみを表示するには、フ ィ ルタ を選択し てから、 [Go] を選択し ます。 並べ替えの条件と し ては、 [All]、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に対する [<=]、 [=]、 [>=] を使用できます。

[Create New] 新し いカス タム シグネチャ を作成する場合に選択し ます。

[ 全カスタム シグネチャのクリア ] アイコン

すべてのカス タム シグネチャ を削除し ます。

[ 推奨設定へのリセット ] アイコン

すべてのカス タム シグネチャ を推奨される設定にリ セ ッ ト し ます。

[Name] カス タム シグネチャの名前。

[Enable] 各カス タム シグネチャの状態。 ボ ッ クス内のチ ェ ッ ク マークは、 このシグネチャが有効になっている こ と を示し ます。

[Logging] 各カス タム シグネチャのロギング状態。 ボ ッ クス内のチ ェ ッ ク マークは、 このカス タム シグネチャのロギングが有効になっている こ と を示し ます。

[Action] 各カス タム シグネチャに対し て設定されているア クシ ョ ン。 ア クシ ョンは、 [Pass]、 [Drop]、 [Reset]、 [Reset Client]、 [Reset Server]、 [Drop Session]、 [Clear Session]、 または [Pass Session] に設定できます。 ロギングが有効になっている場合は、 このシグネチャによ って生成されるログ メ ッ セージの状態フ ィ ールド にア クシ ョ ンが表示されます。 アクシ ョ ンの説明については、 表 36 を参照し て く だ さい。

全カス タム シグネチャのク リ ア推奨設定へのリ セ ッ ト

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 377

378

プロトコル デコーダ 不正侵入防御

カスタム シグネチャの作成

特定の ト ラ フ ィ ッ ク をブロ ッ ク または許可するには、 カス タム シグネチャ を使用し ます。 たと えば、 ポル ノ を含む ト ラ フ ィ ッ ク をブロ ッ クするには、 次のよ うなカス タム シグネチャ を追加し ます。

F-SBID (--protocol tcp; --flow established; --content "nude cheerleader"; --no_case)

このシグネチャ を追加する場合は、 アク シ ョ ンを [Drop Session] に設定し ます。

カス タム シグネチャの構文の詳細については、『FortiGate 不正侵入防御システム (IPS) ガイ ド 』 を参照し て く だ さい。

カス タム シグネチャ を作成するには、 [Intrusion Protection]、[Signature]、[Custom] の順に選択し ます。

図 233: カスタム シグネチャの編集

プロトコル デコーダ

FortiGate IPS は、 ア ノ マ リ検知を使用し て、 既知の攻撃を利用し よ う と し ているネ ッ ト ワーク ト ラ フ ィ ッ ク を識別し ます。

[Severity] 各カス タム シグネチャに対し て設定されている重大度レベル。 重大度レベルは、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に設定できます。 重大度レベルは、 個別のシグネチャに対し て設定されます。

削除アイコン このカス タム シグネチャ を削除する場合に選択し ます。

編集アイコン [Name]、 [Signature]、 [Action]、 [Packet Log]、 および [Severity] の情報を編集する場合に選択し ます。

注記 : カス タム シグネチャは高度な機能です。 このド キュ メ ン ト では、 ユーザが不正侵入検知シグネチャの作成をすでに経験し ている こ と を前提にし ています。

[Name] カス タム シグネチャの名前を入力し ます。

[Signature] カス タム シグネチャ を入力し ます。 カス タム シグネチャの構文の詳細については、 『FortiGate 不正侵入防御システム (IPS) ガイ ド 』 の 「カス タム シグネチャの構文」 を参照し て く だ さい。

[Action] リ ス ト から アク シ ョ ンを選択し ます。 アク シ ョ ンは、 [Pass]、 [Drop]、[Reset]、 [Reset Client]、 [Reset Server]、 [Drop Session]、 [Pass Session]、 または [Clear Session] に設定できます。 ア クシ ョ ンの説明については、 表 36 を参照し て く だ さ い。

[Packet Log] パケ ッ ト ロギングを有効にし ます。

[Severity] ド ロ ッ プダウン リ ス ト から重大度レベルを選択し ます。 重大度レベルは、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に設定できます。 重大度レベルは、 個別のシグネチャに対し て設定されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 アノマリ

プロトコル デコーダ リストの表示

デコーダ リ ス ト を表示するには、 [Intrusion Protection]、[Signature]、[Protocol Decoder] の順に選択し ます。

図 234: プロトコル デコーダ リストの一部

IPS プロトコル デコーダ リストのアップグレード

IPS プロ ト コル デコーダは、 FortiGuard Distribution Network (FDN) から入手可能な IPS ア ッ プグレー ド パッ ケージに含まれています。 フ ァームウ ェ ア ア ッ プグレー ド を待つ必要はあ り ません。 IPS ア ッ プグレー ド パッ ケージによ って、 IPSデコーダ リ ス ト が、 既存の IM/P2P の 新バージ ョ ンや新規アプ リ ケーシ ョ ンなどの新しい脅威を含む 新の状態に維持されます。

アノマリ

FortiGate IPS は、 ア ノ マ リ検知を使用し て、 既知の ト ラ フ ィ ッ ク パターンや事前に設定された ト ラ フ ィ ッ ク パターンには適合し ないネ ッ ト ワーク ト ラ フ ィ ック を識別し ます。

FortiGate IPS は、 TCP、 UDP、 および ICMP プロ ト コルに対する、 次の 4 つの統計的なア ノ マ リ タ イプを識別し ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、IPS はグローバルに設定されます。 IPS にアクセスするには、 メ イ ン メ ニューで [Global Configuration]を選択し ます。

[Name] プロ ト コル デコーダの名前。

[Ports] このデコーダが監視する (1 つまたは複数の ) ポー ト 番号。

設定アイコン このシグネチャの属性を変更する場合にク リ ッ ク し ます。 デフ ォル トでは、 一部のデコーダはシステムで使用されているため、 その設定を変更する こ とはできません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 379

380

アノマリ 不正侵入防御

各 ト ラ フ ィ ッ ク ア ノ マ リのロギングを有効または無効にし、 ア ノ マ リの検出に対応し て実行する IPS アク シ ョ ンを設定し ます。 多 く の場合、 攻撃を表し ている可能性のある ト ラ フ ィ ッ ク パターンを検出するためにア ノ マ リが使用する し きい値は設定可能です。

発信元および宛先ネ ッ ト ワーク ア ド レスに基づ く セ ッ シ ョ ン制御を設定するには、 CLI を使用し ます。

ト ラ フ ィ ッ ク ア ノ マ リ検知リ ス ト は、 FortiGate フ ァームウ ェ ア イ メ ージがア ップグレー ド された場合にのみ更新できます。

トラフィック アノマリ リストの表示

ア ノ マ リ リ ス ト を表示するには、 [Intrusion Protection]、[Anomaly] の順に選択し ます。

図 235: トラフィック アノマリ リストの一部

フラッディング 1 つの宛先を対象にし た 1 秒間のセ ッ シ ョ ン数が指定された し きい値を超えている場合、 その宛先はフ ラ ッ デ ィ ングを受けています。

スキャン 1 つの発信元からの 1 秒間のセ ッ シ ョ ン数が指定された し きい値を超えている場合、 その発信元はスキャ ンを実行し ています。

発信元セッション制限

1 つの発信元からの同時実行セ ッ シ ョ ン数が指定された し きい値を超えている場合は、 発信元セ ッ シ ョ ン制限に達し ています。

宛先セッション制限

1 つの宛先への同時実行セ ッ シ ョ ン数が指定された し きい値を超えている場合は、 宛先セ ッ シ ョ ン制限に達し ています。

注記 : デフ ォル ト のア ノ マ リ し きい値を変更する前に、 正常なネ ッ ト ワーク ト ラ フ ィ ック と予測されるネ ッ ト ワーク ト ラ フ ィ ッ ク を把握する こ とが重要です。 し きい値を低 く設定しすぎる と誤検知が発生する可能性があ り、 し きい値を高 く 設定しすぎる と一部の攻撃を見逃す可能性があ り ます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、IPS はグローバルに設定されます。 IPS にア クセスするには、 メ イ ン メ ニューで [Global Configuration]を選択し ます。

[View traffic anomalies with severity]

フ ィ ルタ条件に一致するア ノ マ リのみを表示するには、 フ ィ ルタ を選択し てから、 [Go] を選択し ます。 並べ替えの条件と し ては、 [All]、[Information]、 [Low]、 [Medium]、 [High]、 または [Critical] に対する [<=]、 [=]、 [>=] を使用できます。

[Name] ト ラ フ ィ ッ ク ア ノ マ リの名前。

[Enable] この ト ラ フ ィ ッ ク ア ノ マ リの状態。 ボ ッ クス内のチ ェ ッ ク マークは、このア ノ マ リ シグネチャが有効になっ ている こ と を示し ます。

[Logging] 各 ト ラ フ ィ ッ ク ア ノ マ リのロギング状態。 ボ ッ ク ス内のチ ェ ッ ク マークは、 このア ノ マ リのロギングが有効になっている こ と を示し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

不正侵入防御 IPS の CLI 設定

IPS トラフィック アノマリの設定

各 IPS ト ラ フ ィ ッ ク ア ノ マ リは、 推奨される設定を使用し て事前に設定されています。 この推奨される設定を使用するか、 または推奨される設定をネ ッ ト ワークのニーズを満たすよ う に変更し ます。

IPS ト ラ フ ィ ッ ク ア ノ マ リ を設定するには、 [Intrusion Protection]、[Anomaly] の順に選択し ます。

図 236: IPS トラフィック アノマリの編集 : icmp_dst_session

IPS の CLI 設定

こ こ では、 Web ベース マネージャで使用可能な機能を拡張するための CLI コ マン ドについて説明し ます。 これらの完全な説明や、 CLI コ マン ド を使用し て追加機能を有効にする方法の例については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

system autoupdate ips

IPS が更新される と き、 ユーザによ って変更された設定は保持されます。 推奨されるIPS シグネチャ設定が変更されておらず、 更新された設定が異なっている場合、 シグネチャ設定は accept-recommended-settings に従って設定されます。

[Action] 各 ト ラ フ ィ ッ ク ア ノ マ リ に対し て設定されているア クシ ョ ン。 ア クシ ョ ンは、 [Pass]、 [Drop]、 [Reset]、 [Reset Client]、 [Reset Server]、[Drop Session]、 [Clear Session]、 または [Pass Session] に設定できます。 ロギングが有効になっている場合は、 このア ノ マ リ によ って生成されるログ メ ッ セージの状態フ ィ ールド にア クシ ョ ンが表示されます。 ア クシ ョ ンの説明については、 表 36 を参照し て く だ さい。

[Severity] 各 ト ラ フ ィ ッ ク ア ノ マ リ に対し て設定されている重大度レベル。重大度レベルは、 [Information]、 [Low]、 [Medium]、 [High]、 または [Critical]に設定できます。 重大度レベルは、 個別のア ノ マ リ に対し て設定されます。

編集アイコン [Action]、 [Severity]、 および [Threshold] の情報を編集する場合に選択し ます。

リセット アイコン リ セ ッ ト アイ コ ンは、 ア ノ マ リが変更されている場合にのみ表示されます。 変更された設定を推奨される値に復元するには、 リ セ ッ ト アイ コ ンを使用し ます。

[Action] ド ロ ッ プダウン リ ス ト から、 [Pass]、 [Drop]、 [Reset]、 [Reset Client]、 [ResetServer]、 [Drop Session]、 [Pass Session]、 [Clear Session] のいずれかのアク シ ョンを選択し ます。 ア クシ ョ ンの説明については、 表 36 を参照し て く だ さい。

[Severity] ド ロ ッ プダウン リ ス ト から、 [Information]、 [Low]、 [Medium]、 [High]、[Critical] のいずれかの重大度レベルを選択し ます。

[Threshold] し きい値の設定を含む IPS ア ノ マ リの場合は、 指定されたし きい値を超えるト ラ フ ィ ッ クによ ってこのア ノ マ リが ト リ ガ されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 381

382

IPS の CLI 設定 不正侵入防御

ips global fail-open

何らかの原因で IPS が機能し な く なった場合は、 デフ ォル ト で fail open が実行されます。 つま り、 重要なネ ッ ト ワーク ト ラ フ ィ ッ クがブロ ッ ク される こ とはなく 、 問題を解決し ている間も フ ァ イアウォールは動作を継続し ます。

ips global ip_protocol

IPS の処理を フ ァ イアウォール ポ リ シーで許可されたサービスだけに制限する ことによ って、 システム リ ソースを節約し ます。

ips global socket-size

IPS バッ フ ァのサイズを設定し ます。

(config ips anomaly) config limit

config ips anomaly <name_str> コマン ド を使用して、config limit サブコマン ドにアクセスします。 このコマン ドは、 発信元および宛先ネッ ト ワーク ア ドレスに基づ く セッシ ョ ン制御に使用します。 このコマン ドは、tcp_src_session、 tcp_dst_session、 icmp_src_session、icmp_dst_session、 udp_src_session、 udp_dst_session に使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ Web フィルタリングの順序

F0

Web フィルタWeb フ ィ ルタ リ ングの 3 つの主な機能である Web フ ィ ルタ コ ンテンツ ブロ ック、 URL フ ィ ルタ、 および FortiGuard Web フ ィ ルタは、 相互に連携し てイ ンターネ ッ ト ユーザに対する 大限の制御と保護を可能にし ます。

この項には、 以下の ト ピ ッ クが含まれています。

• Web フ ィ ルタ リ ングの順序

• Web フ ィ ルタ リ ングの動作

• Web フ ィ ルタの制御

• コ ンテンツ ブロ ッ ク

• URL フ ィ ルタ

• FortiGuard-Web フ ィ ルタ

Web フィルタリングの順序

Web フ ィ ルタは、 次の順序で適用されます。

1 URL 除外 (Web 除外リ ス ト )

2 URL ブロ ッ ク (Web URL ブロ ッ ク )

3 URL ブロ ッ ク (Web パターン ブロ ッ ク )

4 FortiGuard Web フ ィ ルタ リ ング ( カテゴ リ ブロ ッ ク と もいいます )

5 コ ンテンツ ブロ ッ ク (Web コ ンテンツ ブロ ッ ク )

6 スク リ プ ト フ ィ ルタ (Web スク リ プ ト フ ィ ルタ )

7 アンチウイルス スキャ ン

URL フ ィ ルタ リ ス ト は、 上位から下位に向かっ て順番に処理されます。 (FortiOS v2.80 の場合、 URL フ ィ ルタは順不同のリ ス ト と し て処理されます。 ) 除外に一致する と、 AV スキャ ンを含むそれ以降のチ ェ ッ クは行われません。 許可に一致する と、 その URL フ ィ ルタ リ ス ト のチ ェ ッ クは止められ、 他の Web フ ィ ルタがチ ェ ッ ク されます。

他の FortiGuard Web フ ィ ルタ リ ング カテゴ リの前に、 ローカル評価がチ ェ ッ クされます。

FortiGate ユニ ッ ト はこの順序でルールを適用し ていき、 ルールに従っていない場合は、 それ以降のフ ィ ルタの設定に関係な く 、 サイ ト は自動的にブロ ッ ク されます。

Web フィルタリングの動作

以下では、 各フ ィ ルタが相互に連携する し く みと、 それらのフ ィ ルタの活用方法について説明し ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 383

384

Web フィルタの制御 Web フィルタ

初のセク シ ョ ンである URL 除外と ブロ ッ ク フ ィ ルタ を使用する と、 特定のアド レスに対し て行な う アク シ ョ ンを決定できます。 たと えば、 www.google.com をスキャ ン対象から除外する場合は、 そのア ド レスを URL 除外リ ス ト に追加し ます。 それによ り、 この Web サイ ト に対し て、 Web フ ィ ルタ リ ングやウイルス スキャ ンは実行されな く な り ます。

あるパターンをブロ ッ ク し たいが、 特定のユーザがそのパターン内に含まれるURL にア クセスでき るよ う にし たい場合は、 FortiGuard Web フ ィ ルタ内の 「上書き」 機能を使用すればよいで し ょ う。 この機能を使用する と、 ブロ ッ ク されたURL にア クセスでき るよ う にするユーザと、 そのアクセスが許可される期間を指定できます。 た と えば、 User1 が www.fakeLAND.com に 1 時間だけア クセスできるよ う に し たい場合があ り ます。 このセクシ ョ ンを使用すれば、 このよ う な除外を設定できます。 上書き リ ス ト に含まれているユーザはすべてオン ラ イ ン認証フ ォームに入力し ないと、 FortiGuard ユニ ッ ト がブロ ッ ク した URL へのア クセスは許可されません。

FortiGuard Web フ ィ ルタ ではまた、 URL のグループをブロ ッ クするためのローカル カテゴ リ も作成できます。 このカテゴ リ を作成し た後は、 ローカル評価を使用し て、 作成し たローカル カテゴ リ に特定のサイ ト を追加できます。 さ らに、[Firewall]、[Protection Profile] を使用し て、 ローカル カテゴ リ で実行するアクシ ョ ンを FortiGuard ユニ ッ ト に指示し ます。 これらのローカル評価によ って、FortiGuard の評価が上書き されます。

後に、 FortiGuard ユニ ッ ト は、 ActiveX、 Cookie、 および Java アプレ ッ ト に対し てス ク リ プ ト フ ィ ルタ リ ングを適用し ます。 これらは、 [Firewall]、[Protection Profile]、[Web filtering] で設定できます。

これらのすべての設定を完了し たら、 [Firewall]、[Protection Profile]、[Web filtering] や [Firewall]、[Protection Profile]、[FortiGuard Web Filtering] で これらの設定をすべて有効に し てお く 必要があ り ます。 こ こ で各設定を有効にする こ とによ り、 FortiGate ユニ ッ ト に、 設定したばかりのフ ィ ルタの使用を開始するよう指示し たこ とにな り ます。

こ こ では、 Web フ ィ ルタ リ ングのオプシ ョ ンを設定する方法について説明し ます。 この項で設定し た Web フ ィ ルタ リ ング機能を有効にするには、 アク テ ィ ブなプロテ ク シ ョ ン プロ フ ァ イルで、 対応する設定を有効にする必要があ り ます。

Web フィルタの制御

一般的なルールと し て、 [Web Filter] を選択し て Web フ ィ ルタ リ ング設定を行った後、 プロテ クシ ョ ン プロ フ ァ イルで使用でき るよ う に、 そのフ ィ ルタ を有効に し ます。 有効に し たフ ィ ルタ を実際にアク テ ィ ブにするには、 [Firewall]、[Protection Profile] の順に選択し ます。

FortiGuard-Web フ ィ ルタは、 292 ページの 「FortiGuard-Web フ ィ ルタ リ ング オプシ ョ ン」 で詳細に説明されています。 評価の訂正や、 新しいページに対する評価の提案は、 「FortiGuard Center」 Web ページから提出する こ とができます。 詳細情報および FortiGuard Center へのリ ン クについては、 Fortinet Knowledge Centerにアクセス し て く ださい。

注記 : フ ィ ルタ を有効にし た とい う こ とは、 Web フ ィ ルタ リ ング機能を有効にし た と きに、 そのフ ィ ルタが使用される こ と を意味し ます。 そのフ ィ ルタが直ちにアク テ ィ ブになるわけではあ り ません。 有効にし たすべてのフ ィ ルタ を実際にアク テ ィ ブにするには、[Firewall]、[Protection Profile] の順に選択する必要があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ Web フィルタの制御

次の表は、 [Protection Profile] の Web フ ィ ルタ リ ング オプシ ョ ン と [Web Filter] メ ニューを比較し ています。

表 37: [Web Filter] と [Protection Profile] の Web コンテンツ ブロック設定

[Protection Profile] の Web フィルタリング オプション

[Web Filter] の設定

[Web Content Block] [Web Filter]、 [Content Block]

HTTP ト ラ フ ィ ッ クに対する コ ンテンツ ブロ ッ ク リ ス ト 内の禁止単語およびパターンに基づいた Web ページのブロ ッキングを有効または無効にし ます。

特定の単語またはパターンが含まれたWeb ページをブロ ッ クするための単語およびパターンを追加し ます。

表 38: [Web Filter] と [Protection Profile] の Web URL フィルタリング設定

[Protection Profile] の Web フィルタリング オプション

[Web Filter] の設定

[Web URL Filter] [Web Filter]、 [URL Filter]

URL フ ィ ルタ リ ス ト に基づいた HTTP ト ラフ ィ ッ クに対する Web ページ フ ィ ルタ リ ングを有効または無効にし ます。

特定の発信元からの Web ページを除外またはブロ ッ クするするための URL および URL パターンを追加し ます。

表 39: [Web Filter] と [Protection Profile] の Web スクリプト フィルタリングおよびダウンロード設定

[Protection Profile] の Web フィルタリング オプション

[Web Filter] の設定

[ActiveX Filter]、 [Cookie Filter]、 [Java Applet Filter]

n/a

HTTP ト ラ フ ィ ッ クに対する Web ページからのスク リ プ ト のブロ ッ キングを有効または無効にし ます。

[Web resume Download Block] n/a

すでに部分的にダウンロー ド されたフ ァ イルの残りのダウンロー ド をブロ ッ クする場合に有効にし ます。 このオプシ ョ ンを有効にすると、 ウイルス フ ァ イルの意図し ないダウンロー ドは防止されますが、 ダウンロー ドの中断を引き起す場合があ り ます。

表 40: [Web Filter] と [Protection Profile] の Web カテゴリ フィルタリング設定

[Protection Profile] の Web フィルタリング オプション

[Web Filter] の設定

[Enable FortiGuard Web Filtering] (HTTP のみ ) [FortiGuard Web Filter]、 [Configuration]

[Enable FortiGuard Web Filtering Overrides] (HTTP のみ )

[FortiGuard Web Filtering]、 [Overrides]

[Provide details for blocked HTTP 4xx and 5xx errors] (HTTP のみ )

[Rate images by URL (Blocked images will be replaced with blanks)] (HTTP のみ )

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 385

386

コンテンツ ブロック Web フィルタ

プロテクション プロファイルの Web フィルタ オプションにアクセスするには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 [Edit] または [Create New] を選択し ます。

3 [Web Filtering] または [Web Category Filtering] を選択し ます。

コンテンツ ブロック

特定の単語またはパターンをブロ ッ クする こ とによ っ て、 Web コ ンテンツを制御し ます。 プロテ ク シ ョ ン プロ フ ァ イルで有効にな っている場合、 FortiGate ユニ ッ ト は、 要求された Web ページ内の単語またはパターンを検索し ます。 一致が見つかる と、 その単語に割り当てられた値が合計されていきます。 その合計値がユーザ定義のし きい値を超える と、 その Web ページはブロ ッ ク されます。

禁止単語パターンを リ ス ト に追加するには、 Perl 正規表現またはワイルド カー ドを使用し ます。

[Allow web sites rating error occurs] (HTTP のみ )

[Strict Blocking] (HTTP のみ )

[Category]/[Action]

FortiGuard-Web フ ィ ルタ リ ング サービスは、Web ト ラ フ ィ ッ クのフ ィ ルタ処理に使用する多 く のカテゴ リ を提供し ます。 各カテゴ リに対し て、 実行するアク シ ョ ンを Web ページで設定し ます。 [Allow]、 [Block]、 [Log]、 [Allow Override] から選択し ます。

[Local Categories] を設定すれば、 ローカルな要件に う ま く 適合させる こ とができます。

[FortiGuard Web Filtering]、 [Local Categories] | [Local Ratings]

[Classification]/[Action]

選択される と、 ユーザはコ ンテンツ キャ ッシュ を提供し た り、 またイ メ ージ、 オーデ ィオ、 ビデオ フ ァ イルの検索を提供する Webサイ ト にアクセスできるよ う にな り ます。[Allow]、 [Block]、 [Log]、 [Allow Override] から選択し ます。

表 40: [Web Filter] と [Protection Profile] の Web カテゴリ フィルタリング設定 ( 続き )

[Protection Profile] の Web フィルタリング オプション

[Web Filter] の設定

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 Web フ ィ ルタ リ ング機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イン メ ニューで [Global Configuration] を選択し ます。

注記 : Web フ ィ ルタのコ ンテンツ ブロ ッ クでは、 Perl 正規表現パターンの大文字と小文字は区別されます。 単語または語句の大文字と小文字が区別されないよ う にするには、 正規表現の /i を使用し ます。 た と えば、

/bad language/i を指定する と、大文字 / 小文字には関係な く 、bad language のすべ

ての組み合わせがブロ ッ ク されます。 ワイルド カー ド パターンでは大文字と小文字が区別されません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ コンテンツ ブロック

Web コンテンツ ブロック リスト カタログの表示

複数の Web コ ンテンツ ブロ ッ ク リ ス ト を追加し、 プロテ クシ ョ ン プロ フ ァ イルご とに 適な Web コ ンテンツ ブロ ッ ク リ ス ト を選択できます。 Web コ ンテンツ ブロ ッ ク リ ス ト カ タ ログを表示するには、 [Web Filter]、[Content Block] の順に選択し ます。 個別の Web コ ンテンツ ブロ ッ ク リ ス ト を表示するには、 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 237: Web コンテンツ ブロック リスト カタログの例

Web コ ンテンツ ブロ ッ ク リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

Web コ ンテンツ除外リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。 詳細については、 291 ページの 「Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て くだ さい。

新しい Web コンテンツ ブロック リストの作成

Web コンテンツ ブロック リスト カタログに Web コンテンツ ブロック リストを追加するには

1 [Web Filter]、 [Content Block] の順に選択し ます。

2 [Create New] を選択し ます。

図 238: [New Web Content Block list] ダイアログ ボックス

[Add] このカ タ ログに新しい リ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能な Web コ ンテンツ ブロ ッ ク リ ス ト 。

[# Entries] 各 Web コ ンテンツ ブロ ッ ク リ ス ト 内のコ ンテンツ パターンの数。

[Profiles] 各 Web コ ンテンツ ブロ ッ ク リ ス ト が適用されたプロテ クシ ョ ン プロ フ ァ イル。

[Comment] 各 Web コ ンテンツ ブロ ッ ク リ ス ト についての任意のコ メ ン ト 。

削除アイコン カ タ ログから この Web コ ンテンツ除外リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 この Web コ ンテンツ除外リ ス ト がどのプロテ ク シ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン Web コ ンテンツ除外リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メ ン ト を編集する場合に選択し ます。

[Name] 新しい リ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 387

388

コンテンツ ブロック Web フィルタ

Web コンテンツ ブロック リストの表示

Web コ ンテンツ ブロ ッ クが有効になっ ている場合、 要求されたすべての Webページはコ ンテンツ ブロ ッ ク リ ス ト に対するチ ェ ッ クが行われます。 ページに現れる各パターンのスコ ア値が加算されていき、 その合計がプロテ クシ ョ ン プロ フ ァ イルで設定されている し きい値を超える と、 そのページはブロ ッ ク されます。 一つのパターンについては、 そのパターンがページに複数回現れた場合でも、 ス コ アは 1 回だけカウン ト されます。

Web コンテンツ ブロック リストを表示するには

1 [Web Filter]、 [Content Block] の順に選択し ます。

2 表示する Web コ ンテンツ除外リ ス ト の編集アイ コ ンを選択し ます。

図 239: Web コンテンツ ブロック リストの例

Web コ ンテンツ ブロ ッ ク リ ス ト には、 次のアイ コ ン と機能が用意されています。

注記 : コ ンテンツ ブロ ッ クの設定をア ク テ ィ ブにするには、 フ ァ イアウォールの [Protection Profile] で [Web Filtering]、 [Web Content Block] を有効に し ます。

[Name] Web コ ンテンツ ブロ ッ ク リ ス ト の名前。 この名前を変更するには、名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メ ント フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] Web コンテンツ ブロ ッ ク リス ト にパターンを追加する場合に選択します。

[Total] Web コ ンテンツ ブロ ッ ク リ ス ト 内のパターンの数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全エントリ削除アイコン

このテーブルを ク リ アする場合に選択し ます。

[Banned Word] 存在するパターンのリ ス ト 。 リ ス ト 内のすべてのパターンを有効にするには、 チ ェ ッ ク ボ ッ クスをオンにし ます。

[Pattern Type] パターンのリ ス ト 内のそれぞれのエン ト リ で使用されるパターンの種類。 [Wildcard] または [Regular Expression] から選択し ます。 418 ページの 「Perl 正規表現の使用」 を参照し て く だ さい。

[Language] このパターンが属する文字セ ッ ト で、 [Simplified Chinese]、 [Traditional Chinese]、 [French]、 [Japanese]、 [Korean]、 [Thai]、 [Western] のいずれかにな り ます。

[Score] このパターンに適用される重み付けのスコア値。 あるページに現れるすべての一致パターンのスコア値が加算され、 その合計がプロテ クシ ョ ン プロ フ ァ イルで設定されている し きい値を超える と、 そのページはブロ ッ ク されます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [Banned Word]、 [Pattern Type]、 [Language]、 および [Enable] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ コンテンツ ブロック

Web コンテンツ ブロック リストの設定

Web コ ンテンツのパターンは、 1 つの単語にする こ と も、 大 80 文字のテキス ト文字列にする こ と もできます。 リ ス ト 内の禁止単語の 大数は 5000 と な り ます。

コンテンツ除外パターンを追加または編集するには

1 [Web Filter]、 [Content Block] の順に選択し ます。

2 [Create New] を選択し ます。または

3 表示する Web コ ンテンツ除外リ ス ト の編集アイ コ ンを選択し ます。

図 240: 新規コンテンツ ブロック パターン

Web コンテンツ除外リスト カタログの表示

複数の Web コ ンテンツ除外リ ス ト を追加し、 そのう ち 適な Web コ ンテンツ除外リ ス ト をプロテ クシ ョ ン プロ フ ァ イルご とに選択できます。

Web コンテンツ除外リスト カタログを表示するには

• [Web Filter]、[Content Block]、[Web Content Exempt] の順に選択し ます。

個別の Web コンテンツ除外リストを表示するには

• 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 241: Web コンテンツ除外リスト カタログの例

[Banned Word] コ ンテンツ ブロ ッ ク パターンを入力し ます。 1 つの単語の場合、FortiGate はその単語が含まれていないかど うか、 すべての Webページをチ ェ ッ ク し ます。 語句の場合、 FortiGate はその語句の中の任意の単語が含まれていないかど うか、 すべての Web ページをチ ェ ッ ク し ます。 引用符で囲まれた語句の場合、 FortiGateユニ ッ ト はその語句全体が含まれていないかど うか、 すべてのWeb ページをチ ェ ッ ク し ます。

[Pattern Type] ド ロ ッ プダウン リ ス ト から、 [Wildcard] または [Regular Expression] のどち らかのパターンの種類を選択し ます。

[Language] ド ロ ッ プダウン リ ス ト から言語を選択し ます。

[Score] このパターンのスコア値を入力し ます。

[Enable] このパターンを有効にする場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 389

390

コンテンツ ブロック Web フィルタ

Web コ ンテンツ除外リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

Web コ ンテンツ除外リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。 詳細については、 291 ページの 「Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く ださい。

新しい Web コンテンツ除外リストの作成

Web コンテンツ除外リスト カタログに Web コンテンツ除外リストを追加するには

1 [Web Filter]、 [Content Block]、 [Web Content Exempt] の順に選択し ます。

2 [Create New] を選択し ます。

図 242: [New Web Content Exempt list] ダイアログ ボックス

Web コンテンツ除外リストの表示

Web コ ンテンツの除外によ って、 Web コ ンテンツ ブロ ッ ク機能の上書きが可能になり ます。 Web コ ンテンツ除外リ ス ト で定義されている任意のパターンが Web ページに存在する場合、 通常は Web コ ンテンツ ブロ ッ ク機能がブロ ッ クするよ う な場合であっ ても、 そのページはブロ ッ ク されません。

Web コンテンツ除外リストを表示するには

1 [Web Filter]、 [Content Block]、 [Web Content Exempt] の順に選択し ます。

2 表示する Web コ ンテンツ除外リ ス ト の編集アイ コ ンを選択し ます。

[Add] このカ タ ログに新しい リ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能な Web コ ンテンツ除外リ ス ト 。

[# Entries] 各 Web コ ンテンツ除外リ ス ト 内のコ ンテンツ パターンの数。

[Profiles] 各 Web コ ンテンツ除外リ ス ト が適用されたプロテ ク シ ョ ン プロフ ァ イル。

[Comment] 各 Web コ ンテンツ除外リ ス ト のオプシ ョ ンの説明。

削除アイコン カ タ ログから この Web コ ンテンツ除外リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 この Web コ ンテンツ除外リ ス ト がどのプロテ ク シ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン Web コ ンテンツ除外リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メ ン ト を編集する場合に選択し ます。

[Name] 新しい リ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ コンテンツ ブロック

図 243: Web コンテンツ除外リストの例

Web コ ンテンツ除外リ ス ト には、 次のアイ コ ン と機能が用意されています。

Web コンテンツ除外リストの設定

Web コ ンテンツのパターンは、 1 つの単語にする こ と も、 大 80 文字のテキス ト文字列にする こ と もできます。 リ ス ト 内の禁止単語の 大数は 5000 と な り ます。

コンテンツ除外パターンを追加または編集するには

1 [Web Filter]、 [Content Exempt] の順に選択し ます。

2 [Create New] を選択し ます。または

3 表示する Web コ ンテンツ除外パターンの編集アイ コ ンを選択し ます。

注記 : コ ンテンツ除外の設定をアク テ ィ ブにするには、 フ ァ イアウォールの [Protection Profile] で [Web Filtering]、 [Web Content Exempt] を有効にし ます。

[Name] Web コ ンテンツ除外リ ス ト の名前。 この名前を変更するには、 名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メ ント フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] Web コ ンテンツ除外リ ス ト にパターンを追加する場合に選択し ます。

[Total] Web コ ンテンツ除外リ ス ト 内のパターンの数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全エントリ削除アイコン

このテーブルを ク リ アする場合に選択し ます。

[Pattern] 存在するパターンのリ ス ト 。 リ ス ト 内のすべてのパターンを有効にするには、 このチ ェ ッ ク ボ ッ クスをオンにし ます。

[Pattern Type] パターン リ ス ト 内のそれぞれのエン ト リ で使用されるパターンの種類。 [Wildcard] または [Regular Expression] から選択し ます。 418 ページの 「Perl 正規表現の使用」 を参照し て く ださ い。

[Language] このパターンが属する文字セ ッ ト で、 [Simplified Chinese]、 [Traditional Chinese]、 [French]、 [Japanese]、 [Korean]、 [Thai]、 [Western] のいずれかにな り ます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [Pattern]、 [Pattern Type]、 [Language]、 および [Enable] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 391

392

URL フィルタ Web フィルタ

図 244: 新規コンテンツ除外パターン

URL フィルタ

特定の URL へのアクセスを許可またはブロ ッ クするには、 それらの URL を URLフ ィ ルタ リ ス ト に追加し ます。 URL を許可またはブロ ッ クするには、 テキス トや正規表現 ( またはワイルド カー ド文字 ) を使用し てパターンを追加し ます。FortiGate ユニ ッ ト は、 指定された任意の URL またはパターンに一致する Webページを許可またはブロ ッ ク し、 代わり に差し替え メ ッ セージを表示し ます。

URL フィルタ リスト カタログの表示

複数の URL フ ィ ルタ リ ス ト を追加し、 その中から 適な URL フ ィ ルタ リ ス トをプロテ ク シ ョ ン プロ フ ァ イルご とに選択できます。

URL フィルタ リスト カタログを表示するには

• [Web Filter]、[URL Filter] の順に選択し ます。

個別の URL フィルタ リストを表示するには

1 [Web Filter]、[URL Filter] の順に選択し ます。

2 表示する リ ス ト の編集アイ コ ンを選択し ます。

[Pattern] コ ンテンツ除外パターンを入力し ます。 1 つの単語の場合、FortiGate はその単語が含まれていないかど うか、 すべての Webページをチ ェ ッ ク し ます。 語句の場合、 FortiGate はその語句の中の任意の単語が含まれていないかど うか、 すべての Web ページをチ ェ ッ ク し ます。 引用符で囲まれた語句の場合、 FortiGateユニ ッ ト はその語句全体が含まれていないかど うか、 すべてのWeb ページをチ ェ ッ ク し ます。

[Pattern Type] ド ロ ッ プダウン リ ス ト から、 [Wildcard] または [Regular Expression] のパターンの種類を選択し ます。

[Language] ド ロ ッ プダウン リ ス ト から言語を選択し ます。

[Enable] このパターンを有効にする場合に選択し ます。

注記 : URL フ ィ ルタの設定をアク テ ィ ブにするには、 フ ァ イアウォールの [Protection Profile] で [Web filtering]、 [Web URL Filter] を有効にし ます。

注記 : URL ブロ ッキングでは、 ユーザが Web ブ ラウザを使用し てア クセスでき る他のサービスへのアクセスはブロ ッ ク されません。 た と えば、 URL ブロ ッ キングでは、ftp://ftp.example.com へのア クセスはブロ ッ ク されません。 FTP 接続を拒否するに

は、 代わりにフ ァ イアウォール ポリ シーを使用し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ URL フィルタ

図 245: URL フィルタ リスト カタログの例

URL フ ィ ルタ リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

URL フ ィ ルタ リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。 詳細については、 291 ページの 「Web フ ィ ルタ リ ング オプシ ョ ン」 を参照し て く だ さい。

新しい URL フィルタ リストの作成

URL フィルタ リスト カタログに URL フィルタ リストを追加するには

1 [Web Filter]、[URL Filter] の順に選択し ます。

2 [Create New] を選択し ます。

図 246: [New URL Filter list] ダイアログ ボックス

URL フィルタ リストの表示

ブロ ッ ク または除外する特定の URL を追加し ます。 URL フ ィ ルタ リ ス ト に次の項目を追加し ます。

• 完全な URL

• IP ア ド レス

• すべてのサブ ド メ イ ンを許可またはブロ ッ クするための部分的な URL

URL フィルタ リストを表示するには

1 [Web Filter]、[URL Filter] の順に選択し ます。

[Add] このカ タ ログに新し いリ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能な URL フ ィ ルタ リ ス ト 。

[# Entries] 各 URL フ ィ ルタ リ ス ト 内の URL パターンの数。

[Profiles] 各 URL フ ィ ルタ リ ス ト が適用されたプロテ ク シ ョ ン プロ フ ァ イル。

[Comment] 各 URL フ ィ ルタ リ ス ト のオプシ ョ ンのコ メ ン ト 。

削除アイコン カ タ ログから この URL フ ィ ルタ リ ス ト を削除する場合に選択し ます。削除アイ コ ンは、 この URL フ ィ ルタ リ ス ト がどのプロテ ク シ ョ ン プロフ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン URL フ ィ ルタ リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メ ン ト を編集する場合に選択し ます。

[Name] 新しい リ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 393

394

URL フィルタ Web フィルタ

2 表示する URL フ ィ ルタ リ ス ト の編集アイ コ ンを選択し ます。

図 247: URL フィルタ リスト

URL フ ィ ルタ リ ス ト には、 次のアイ コ ン と機能が用意されています。

URL フィルタ リストの設定

URL フ ィ ルタ リ ス ト 内のエン ト リの 大数は 5000 です。

URL フィルタ リストに URL を追加するには

1 [Web Filter]、[URL Filter] の順に選択し ます。

2 [Create New] を選択し ます。

3 URL または IP ア ド レスを入力し ます。

4 表現の種類を選択し ます。

[Name] URL フ ィ ルタ リ ス ト の名前。 この名前を変更するには、 名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メン ト フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] URL ブロ ッ ク リ ス ト に URL を追加する場合に選択し ます。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

[ 全 URL フィルタのクリア ] アイコン

このテーブルを ク リ アする場合に選択し ます。

[URL] 存在するブロ ッ ク / 除外 URL のリ ス ト 。 リ ス ト 内のすべての URLを有効にするには、 このチ ェ ッ ク ボ ッ ク スをオンにし ます。

[Type] URL の種類であ り、 [Simple] または [Regex] ( 正規表現 )。

[Action] URL が一致し た と きに実行するアク シ ョ ンであ り、 [Allow]、 [Block]、または [Exempt]。許可に一致する と、 その URL フ ィ ルタ リ ス ト のチ ェ ッ クは終了し、他の Web フ ィ ルタがチ ェ ッ ク されます。除外に一致する と、 AV スキャ ンを含むそれ以降のチ ェ ッ クは実行されません。ブロ ッ クに一致する と、 その URL はブロ ッ ク され、 それ以降のチ ェ ッ クは実行されません。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [URL]、 [Type]、 [Action]、 および [Enable] の情報を編集する場合に選択し ます。

[Move] アイコン [Move URL Filter] ダイアログ ボ ッ クスを開 く 場合に選択し ます。

注記 : ト ッ プレベルのド メ イ ン サフ ィ ッ クス ( た と えば、 前にピ リ オ ドが付かない "com") を入力する と、 このサフ ィ ッ ク スを含むすべての URL へのアクセスがブロ ッ ク されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ URL フィルタ

5 実行するア クシ ョ ンを選択し ます。

6 [Enable] チ ェ ッ ク ボ ッ クスをオンにし ます。

7 [OK] を選択し ます。

図 248: [New URL Filter] ダイアログ ボックス

Web サイ ト 上のすべてのページへのア クセスを制御するには、 ト ッ プレベルのURL または IP ア ド レスを入力し ます。 たと えば、 www.example.com または192.168.144.155 とすれば、この Web サイ ト にあるすべてのページへのアクセスが制御されます。

Web サイ ト 上の特定のページへのアクセスを制御するには、 ト ッ プレベルのURL の後にそのパス と フ ァ イル名を入力し ます。 た と えば、www.example.com/news.htmlまたは192.168.144.155/news.htmlとすれば、 この Web サイ ト 上のニュース ページが制御されます。

example.comで終わるURLを含むすべてのページへのアクセスを制御するには、フ ィ ルタ リ ス ト に example.com を追加し ます。 た と えば、 example.com を追加する と、 www.example.com、 mail.example.com、www.finance.example.com などへのアクセスが制御されます。

テキス ト と正規表現 ( またはワイル ド カー ド文字 ) を使用し て作成されたパターンに一致するすべての URL へのアクセスを制御し ます。 た と えば、 example.*は、 example.com、 example.org、 example.net などに一致し ます。

FortiGate の Web パターン ブロ ッ キングでは、 標準的な正規表現がサポー ト されています。

[URL] URL を入力し ます。 http:// を含めないで く だ さい。

[Type] ド ロ ッ プダウン リ ス ト から、 [Simple] または [Regex] ( 正規表現 ) の種類を選択し ます。

[Action] ド ロ ッ プダウン リ ス ト から、 [Allow]、 [Block]、 または [Exempt] のアク シ ョ ンを選択し ます。許可に一致する と、 その URL フ ィ ルタ リ ス ト が終了し、 他のWeb フ ィ ルタがチ ェ ッ ク されます。除外に一致する と、 AV スキャ ンを含むそれ以降のチ ェ ッ クはすべて実行されません。ブロ ッ クに一致する と、 その URL はブロ ッ ク され、 それ以降のチ ェ ッ クは実行されません。

[Enable] この URL を有効にする場合にオンにし ます。

注記 : アク シ ョ ンが [Exempt] に設定された URL に対し ては、 ウイルス スキャ ンが実行されません。 ネ ッ ト ワーク上のユーザが、 信頼でき る Web サイ ト から FortiGate ユニ ッ ト を介し てフ ァ イルをダウンロー ド する場合は、 この Web サイ ト の URL を [Exempt] のア クシ ョ ンで URL フ ィ ルタ リ ス ト に追加し てお く こ と で、 この URL からダウンロー ド されたフ ァ イルに対し て FortiGate ユニ ッ ト がウイルス スキャ ンを実行し ないよ う にし ます。

注記 : Web URL フ ィ ルタの設定をアク テ ィ ブにするには、フ ァ イアウォールの [Protection Profile] で [Web filtering]、 [Web URL Filter] を有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 395

396

FortiGuard-Web フィルタ Web フィルタ

URL フィルタ リスト内の URL の移動

URL フ ィ ルタ リ ス ト を使いやす く するために、 エン ト リ を リ ス ト 内の別の位置に移動できます。

URL フィルタ リスト内の URL を移動するには

1 [Web Filter]、[URL Filter] の順に選択し ます。

2 URL リ ス ト の 編集アイ コ ンを選択し ます。

3 URL を ド ラ ッ グ アン ド ド ロ ッ プするか、 または移動する URL の右にある [Move] アイ コ ンを選択し ます。

4 その URL の場所を指定し ます。

5 [OK] を選択し ます。

図 249: [Move URL Filter] ダイアログ ボックス

FortiGuard-Web フィルタ

FortiGuard-Web は、 Fortinet が提供するマネージ ド Web フ ィ ルタ リ ング ソ リ ューシ ョ ンです。 FortiGuard-Web は、 数億もの Web ページを、 ユーザが許可、 ブロ ッ ク、 または監視でき るよ う、 さ まざまなカテゴ リ に分類し ています。FortiGate ユニ ッ ト は、 も近い FortiGuard-Web Service Point にアクセス し て、要求された Web ページのカテゴ リ を決定し た後、 そのユーザまたはイン タフ ェースに対し て設定されたフ ァ イアウォール ポ リ シーに従います。

FortiGuard-Web には、 数億ページに達する Web サイ ト の 6,000 万を超える個別の評価が含まれています。 各ページは、 ユーザが許可、 ブロ ッ ク、 または監視できるよう、 56 のカテゴ リに分類され、 評価されます。 イン ターネッ ト の進化と共に、 これらのカテゴ リは追加または更新される可能性があ り ます。 設定を簡単にするために、 ユーザは、 カテゴ リ内の全グループの許可、 ブロ ッ ク、 または監視も選択できます。 ブロ ッ ク されたページは、 そのページがイン ターネッ ト 使用ポリシーによってアクセス不可能となっているこ と を示すメ ッセージに差し替えられます。

FortiGuard-Web の評価は、 テキス ト 解析、 Web 構造の活用、 人間の評価者を含む、 独自の手法の組み合わせによ って実行されます。 ある Web ページが正し く分類されていないと思われた場合は、 FortiGuard-Web Service Point にご連絡 く ださい。 また、 必要に応じ て、 新しいサイ ト の評価も直ちに行われます。

プロテ クシ ョ ン プロ フ ァ イルで FortiGuard カテゴ リ ブロ ッ キングを設定するには、 292 ページの 「FortiGuard-Web フ ィ ルタ リ ング オプシ ョ ン」 の手順を使用します。 FortiGuard Web サービスを設定するには、 170 ページの 「FortiGate ユニ ット の FDN および FortiGuard サービスの設定」 を参照し て く だ さい。

[Move to] この URL を配置する リ ス ト 内の場所を選択し ます。

(URL) 新しい URL を配置する リ ス ト 内の場所の前または後にある URLを入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ FortiGuard-Web フィルタ

FortiGuard-Web フィルタリングの設定

FortiGuard-Web サービスを設定するには

• [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

詳細については、 170 ページの 「FortiGate ユニ ッ ト の FDN および FortiGuardサービスの設定」 を参照し て く だ さい。

上書きリストの表示

あるポ リ シーによ ってブロ ッ ク されている Web サイ ト へのアクセスがユーザに必要になる こ とがあ り ます。 この場合、 管理者はこのユーザに、 ある一定の期間だけこのブロ ッ ク機能を上書き させる こ とができます。

ブロ ッ ク されたサイ ト にユーザがアクセス し よ う と し た と き、 上書きが有効になっ ている と、 そのユーザを認証フ ォームに導 く リ ン クがブロ ッ ク ページに表示されます。 ユーザが正しいユーザ名とパスワー ド を入力し ないと、 その Webサイ ト はブロ ッ ク されたままにな り ます。 認証はユーザ グループに基づき、ローカル、 RADIUS、 および LDAP ユーザに対し て行われます。 認証や、 ユーザ グループの設定の詳細については、 346 ページの 「ユーザ グループ」 を参照して く だ さい。

上書きリストを表示するには

• [Web Filter]、[FortiGuard-Web Filter]、[Override] の順に選択し ます。

図 250: 上書きリスト

上書き リ ス ト には、 次のアイ コ ン と機能が用意されています。

[Create New] このリ ス ト に新しい上書きルールを追加する場合に選択し ます。

このリ ス ト 内の上書きルールの総数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全クリア アイコン このテーブルを ク リ アする場合に選択し ます。

[URL/Category] この上書きが適用される URL またはカテゴ リ。

[Scope] この上書きを使用する可能性のあるユーザまたはユーザ グループ。

[Off-site URLs] この上書きによ っ て、 ユーザが、 上書き されている カテゴ リ または URL にある リ ン クから とベルサイ ト にアクセスできるかど うかを示し ます。 緑色のチ ェ ッ ク マークは、 リ ン ク先のアクセスが許可されている こ と を示し ます。 灰色の×印は、 リ ン ク先のアクセスが拒否されている こ と を示し ます。

[Initiator] この上書きルールの作成者。

[Expiry Date] この上書きルールの有効期限日。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [Type]、 [URL]、 [Scope]、 [User]、 [Off-site URLs]、 および [Override Duration] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 397

398

FortiGuard-Web フィルタ Web フィルタ

上書きルールの設定

上書きルールを設定する と、 ブロ ッ ク された Web サイ ト へのアクセスを、 デ ィレ ク ト リ、 ド メ イ ン名、 またはカテゴ リ に基づいて許可できます。

ディレクトリまたはドメインの上書きルールを作成するには

1 [Web Filter]、[FortiGuard-Web Filter]、[Override] の順に選択し ます。

2 [Create New] を選択し ます。

3 [Type] を選択し ます。

4 [Scope] を選択し ます。

5 [Scope] に対応する情報を選択し ます。

6 [Off-site URLs] の [Allow] または [Block] を選択し ます。

7 上書きの有効期間を設定し ます。

8 [OK] を選択し ます。

図 251: [New Override Rule] - [Directory] または [Domain]

カ テ ゴ リ の上書 き を 作成す る には、 [Web Filter]、[FortiGuard-Web Filter]、[Override] の順に選択し ます。

[Type] [Directory] または [Domain] を選択し ます。

[URL] Web サイ ト の URL またはド メ イ ン名を入力し ます。

[Scope] [User]、 [User Group]、 [IP]、 [Profile] のいずれかを選択し ます。選択し たオプシ ョ ンに応じ て、 [Scope] の下に異なるオプシ ョ ンが表示されます。

[User] [Scope] で選択し たユーザの名前を入力し ます。

[User Group] ド ロ ッ プダウン リ ス ト からユーザ グループを選択し ます。 ユーザ グループは、 FortiGuard-Web の設定前に設定されている必要があり ます。 詳細については、 346 ページの 「ユーザ グループ」を参照し て く だ さい。

[IP] 上書きを利用する コ ンピ ュータの IP ア ド レスを入力し ます。

[Profile] ド ロ ッ プダウン リ ス ト から プロテ クシ ョ ン プロ フ ァ イルを選択し ます。

[Off-site URLs] [Allow] または [Block] を選択し ます。 これによ り、 ユーザは、 上書き される Web サイ ト におかれた リ ン クの先にア クセスでき るよ う にな り ます。

[Override Duration] 有効期間を日数、 時間数、 分数で入力し ます。 上書き リ ス ト では、 上書きの終了日が計算されて表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ FortiGuard-Web フィルタ

図 252: [New Override Rule] - [Categories]

[Type] [Categories] を選択し ます。

[Categories] この上書きが適用される カテゴ リ を選択し ます。 カテゴ リ グループまたはサブ カテゴ リ を選択できます。 また、 ローカル カテゴ リ も表示されます。

[Classifications] この上書きが適用される分類を選択し ます。 選択される と、 ユーザはコ ンテンツ キャ ッ シュ を提供し た り、 イ メ ージ、 オーデ ィオ、 ビデオ フ ァ イルの検索機能を提供する Web サイ ト にア クセスできるよ う にな り ます。

[Scope] [User]、 [User Group]、 [IP]、 [Profile] のいずれかを選択し ます。選択し たオプシ ョ ンに応じ て、 [Scope] の下に異なるオプシ ョ ンが表示されます。

[User] [Scope] で選択し たユーザの名前を入力し ます。

[User Group] ド ロ ッ プダウン リ ス ト からユーザ グループを選択し ます。

[IP] 上書きを利用する コ ンピ ュータの IP ア ド レスを入力し ます。

[Profile] ド ロ ッ プダウン リ ス ト から プロテ ク シ ョ ン プロ フ ァ イルを選択し ます。

[Off-site URLs] [Allow] または [Block] を選択し ます。 これによ り、 ユーザは、 上書き Web サイ ト におかれた リ ン クの先のサイ ト にアクセスできるよ う にな り ます。

[Override Duration] 有効期間を日数、 時間数、 分数で入力し ます。 上書き リ ス ト では、 上書きの終了日が計算されて表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 399

400

FortiGuard-Web フィルタ Web フィルタ

ローカル カテゴリの作成

ユーザがプロ フ ァ イル単位に URL のグループをブロ ッ クでき るよ う にするために、 ユーザ定義のカテゴ リ を作成できます。 こ こ で定義されたカテゴ リは、 プロテ ク シ ョ ン プロ フ ァ イルの設定時にグローバル URL カテゴ リ リ ス ト に表示されます。 ユーザは URL を、 これらのローカル カテゴ リ に基づいて評価できます。

図 253: ローカル カテゴリ リスト

ローカル評価リストの表示

ローカル評価リストを表示するには

• [Web Filter]、[FortiGuard-Web Filter]、[Local Ratings] の順に選択し ます。

図 254: ローカル評価リスト

ローカル評価リ ス ト には、 次のアイ コ ン と機能が用意されています。

[Add] カテゴ リの名前を入力し、 [Add] を選択し ます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

[Create New] リ ス ト に評価を追加する場合に選択し ます。

[Search] このリ ス ト を フ ィ ルタ処理するための検索条件を入力し ます。

[1 - 3 of 3] このリ ス ト 内のローカル評価の総数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全クリア アイコン このテーブルを ク リ アする場合に選択し ます。

[URL] 評価された URL。 このリ ス ト を URL で並べ替えるには、 緑色の矢印を選択し ます。

[Category] この URL が入れられているカテゴ リ または分類。 この URL が複数のカテゴ リ または分類で評価されている場合は、 後続のド ッ トが表示されます。 [Category Filter] ダイアログ ボ ッ ク スを開 く には、 灰色のじ ょ う ごアイ コ ンを選択し ます。 リ ス ト がフ ィ ルタ処理される と、 じ ょ う ごアイ コ ンが緑色に変更されます。

削除アイコン リ ス ト から このエン ト リ を削除する場合に選択し ます。

編集アイコン [URL]、 [Category Rating]、 および [Classification Rating] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ FortiGuard-Web フィルタ

図 255: [Category Filter] ダイアログ ボックス

ローカル評価の設定

ユーザは、 ユーザ定義のカテゴ リ を作成した後、 そのカテゴ リ に属すべき URLを指定できます。 これによ り、 ユーザはプロ フ ァ イル単位に、 Web サイ ト のグループをま とめてブロ ッ クできるよ う にな り ます。 これらの評価は、 関連付けられたカテゴ リ と共にグローバル URL リ ス ト に含まれており、 URL ブロ ッ ク リ スト の処理と同じ方法で比較されます。

これらのローカル評価は FortiGuard サーバの評価よ り優先され、レポー ト 内では "Local Category" と表示されます。

ローカル評価を作成するには

• [Web Filter]、[FortiGuard-Web Filter]、[Local Ratings] の順に選択し ます。

[Clear Filter] すべてのフ ィ ルタ を削除する場合に選択し ます。

[Category Name] このカテゴ リ を展開するには、 青色の矢印を選択し ます。

[Enable Filter] このカテゴ リ または個別のサブ カテゴ リのフ ィ ルタ を有効にする場合にオンにし ます。

[Classification Name] フ ィ ルタ処理できる分類。

[Enable Filter] この分類フ ィ ルタ を有効にする場合にオンにし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 401

402

FortiGuard-Web フィルタ Web フィルタ

図 256: 新しいローカル評価

カテゴリ ブロックの CLI 設定

FortiGuard-Web Service Point のデフ ォル ト のホス ト 名 (URL) を変更するには、webfilter fortiguard コ マン ドの hostname キーワー ド を使用し ます。FortiGuard-Web Service Point の名前を Web ベース マネージャ を使用し て変更する こ とはできません。 FortiGuard-Web の設定はすべて、 CLI を使用し て設定し ます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 の webfilter fortiguard キーワー ドの説明を参照し て く だ さい。

FortiGuard-Web フィルタ レポート

任意のプロテ クシ ョ ン プロ フ ァ イルに対し て、 FortiGuard-Web フ ィ ルタ リ ングについてのテキス ト や円グラ フ形式のレポー ト を生成し ます。 FortiGate ユニ ット は、 各カテゴ リの許可、 ブロ ッ ク、 および監視された Web ページの統計を保持し ています。 数時間または数日間といった範囲のレポー ト を表示するか、 あるいはすべての動作についての完全なレポー ト を表示し ます。

Web フィルタ レポートを作成するには

• [Web Filter]、[FortiGuard-Web Filter]、[Reports] の順に選択し ます。

[URL] 評価する URL を入力し ます。

[Category Name] このカテゴ リ を展開するには、 青色の矢印を選択し ます。

[Enable Filter] このカテゴ リ または個別のサブカテゴ リのフ ィ ルタ を有効にする場合にオンにし ます。

[Classification Name] フ ィ ルタ処理できる分類。

[Enable Filter] この分類フ ィ ルタ を有効にする場合にオンにし ます。

注記 : FortiGuard Web フ ィ ルタ レポー ト は、 ハー ド デ ィ スク を備えた FortiGate ユニ ッ トでのみ使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

Web フィルタ FortiGuard-Web フィルタ

図 257: FortiGuard Web フィルタリング レポートの例

次の表は、 レポー ト を生成するためのオプシ ョ ンを説明し ています。

生成されたレポー ト には、 円グラ フ と次の情報が含まれます。

[Profile] レポー ト を生成するプロテ ク シ ョ ン プロ フ ァ イルを選択し ます。

[Report Type] レポー ト の期間を選択し ます。 [Hour]、 [Day]、 または [All] の履歴統計から選択し ます。

[Report Range] レポー ト の時間の範囲 (24 時間時計 ) または日の範囲 (6 日前から今日まで ) を選択し ます。 た と えば、 [Hour] レポー ト の種類で範囲が 13 ～ 16 の場合は、 今日の午後 1 時から午後 4 時までのカテゴ リ ブロ ッ ク レポー ト にな り ます。 [Day] レポー ト の種類で範囲が 0 ～ 3 の場合は、3 日前から今日までのカテゴ リ ブロ ッ ク レポー ト にな り ます。

[Get Report] レポー ト を生成する場合に選択し ます。

[Category] この統計が生成されたカテゴ リ。

[Allowed] 選択された期間にアクセス された、 許可された Web ア ド レスの数。

[Blocked] 選択された期間にアクセス された、 ブロ ッ ク された Web ア ド レスの数。

[Monitored] 選択された期間にアクセス された、 監視された Web ア ド レスの数。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 403

404

FortiGuard-Web フィルタ Web フィルタ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム アンチスパム

F0

アンチスパムこの項では、 フ ァ イアウォール プロテ ク シ ョ ン プロ フ ァ イルに関連し たスパム フ ィ ルタ リ ング オプシ ョ ンを設定する方法について説明し ます。

この項には以下の ト ピ ッ クが含まれています。

• アンチスパム

• 禁止単語

• ブ ラ ッ ク / ホワイ ト リ ス ト

• アンチスパムの詳細設定

• Perl 正規表現の使用

アンチスパム

アンチスパムを設定する と、 スパム電子メ ール メ ッ セージを検出し、 既知のスパム サーバや疑わしいスパム サーバからのスパム転送を識別する こ と によ って、 迷惑な商用電子メ ールを管理する こ とができます。

FortiGuard-Antispam は、 スパムを管理するための機能の 1 つです。 FortiGuardは、 IP ア ド レス ブ ラ ッ ク リ ス ト 、 URL ブ ラ ッ ク リ ス ト 、 スパム フ ィ ルタ リ ング ツールなどで構成されたフ ォーテ ィ ネ ッ ト のアンチスパム システムです。FortiGuard Center では、 スパム電子メ ール メ ッ セージの提出先と なるだけでなく 、 誤検知の報告も受け付けています。 詳細情報および FortiGuard Center へのリ ン クについては、 Fortinet Knowledge Center にアクセス し て く だ さい。

スパム フィルタリングの順序

受信メ ールが FortiGate Antispam フ ィ ルタ を通過する順序は、 メ ールの転送に使用されるプロ ト コルによ って決定されます。

SMTP の場合

1 ラス ト ホ ッ プ IP に対する IP ア ド レス BWL チ ェ ッ ク

2 ラス ト ホ ッ プ IP に対する RBL/ORDBL チ ェ ッ ク、 ラス ト ホ ッ プ IP に対するFortiGuard-Antispam IP チ ェ ッ ク、 HELO DNS 参照

3 MIME ヘ ッ ダ チ ェ ッ ク、 電子メ ール ア ド レス BWL チ ェ ッ ク

4 電子メ ールの件名に対する禁止単語チ ェ ッ ク

5 IP ア ド レス BWL チ ェ ッ ク ("Received" ヘ ッ ダから取得された IP に対し て )

6 電子メ ールの本文に対する禁止単語チ ェ ッ ク

7 戻り電子メ ール DNS チ ェ ッ ク、 FortiGuard AntiSpam チ ェ ッ ク、 ヘ ッ ダから取得されたパブ リ ッ ク IP に対する RBL/ORDBL チ ェ ッ ク

POP3 と IMAP の場合

1 MIME ヘ ッ ダ チ ェ ッ ク、 電子メ ール ア ド レス BWL チ ェ ッ ク

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 405

406

アンチスパム アンチスパム

2 電子メ ールの件名に対する禁止単語チ ェ ッ ク

3 IP BWL チ ェ ッ ク

4 電子メ ールの本文に対する禁止単語チ ェ ッ ク

5 戻り電子メ ール DNS チ ェ ッ ク、 FortiGuard AntiSpam チ ェ ッ ク、 RBL/ORDBLチ ェ ッ ク

SMTP、POP3、および IMAP の場合

サーバへのク エ リ と応答が必要な フ ィ ルタ (FortiGuard Antispam サービス とDNSBL/ORDBL) は、 同時に実行されます。 遅延を回避するために、 ク エ リは、他のフ ィ ルタが実行されている間に送信されます。 スパム アク シ ョ ンを ト リ ガする 初の応答は、 その応答が受信される とすぐに有効にな り ます。

一致や問題が発見されない場合、 各スパム フ ィ ルタは電子メ ールを次のフ ィ ルタに渡し ます。 フ ィ ルタ内のアクシ ョ ンが [Mark as Spam] である場合、 FortiGateユニ ッ ト は、 プロテ クシ ョ ン プロ フ ァ イル内の設定に従ってその電子メ ールにタグを付けるか、 または破棄し ます (SMTP のみ )。 フ ィ ルタ内のアクシ ョ ンが [Mark as Clear] である場合、 その電子メ ールは残りのすべてのフ ィ ルタから除外されます。 フ ィ ルタ内のアクシ ョ ンが [Mark as Reject] である場合、 その電子メ ール セ ッ シ ョ ンは破棄されます。 拒否された SMTP 電子メ ール メ ッ セージは、 設定可能な差し替え メ ッ セージに置き換え られます。

アンチスパム フィルタの制御

スパム フ ィ ルタは、 システム全体での使用のために設定されますが、 プロ フ ァイル単位に有効にな り ます。

表 41 は、 アンチスパムの各設定と、 それら を設定し た り設定にア クセス し た りする場所を説明し ています。

表 41: [AntiSpam] と [Protection Profile] のスパム フィルタリング設定

[Protection Profile] のスパム フィルタリング オプション

[AntiSpam] の設定

[FortiGuard-Antispam] の [IP address check] [System]、 [Maintenance]、 [FortiGuard Centre]

FortiGuard-Antispam と呼ばれる フ ォーテ ィネ ッ ト のアンチスパム サービスを有効または無効にし ます。 FortiGuard-Antispam は、スパム IP ア ド レス と URL ブ ラ ッ ク リ ス ト を提供する、 フ ォーテ ィ ネ ッ ト 独自の DNSBLサーバです。 フ ォーテ ィ ネ ッ ト は、 新しいスパム発信元が発見されるたびに、FortiGuard-Antispam の IP と URL を 新の状態に維持し ます。

FortiGuard-Antispam を有効にし た り、FortiGuard-Antispam サーバの状態をチ ェ ッ ク し た り、 ラ イセンスの種類や終了日を表示し た り、 キャ ッ シュ を設定した り し ます。 詳細については、 170 ページの 「FortiGate ユニ ッ ト の FDN およびFortiGuard サービスの設定」 を参照し て くだ さい。

[IP address BWL check] [AntiSpam]、 [Black/White List]、 [IP Address]

ブ ラ ッ ク / ホワイ ト リ ス ト のチ ェ ッ ク。 設定されているスパム フ ィ ルタ IP ア ド レス リ ス ト に対する受信 IP ア ド レスのチ ェ ッ クを有効または無効にし ます。 (SMTP のみ )

IP ア ド レスを リ ス ト に追加し た り編集した り し ます。 IP ア ド レスご と に、 実行するアク シ ョ ンをスパム、 ク リ ア、 または拒否と し て設定できます。 IP ア ド レスは、リ ス ト 内の任意の位置に置 く こ とができます。 フ ィ ルタは、 各 IP ア ド レスを順番にチ ェ ッ ク し ます。 (SMTP のみ )

[DNSBL & ORDBL check] コマン ド ラ インのみ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム アンチスパム

設定されている DNSBL (DNS Blackhole List) および ORDBL (Open Relay Database List) サーバに対する電子メ ール ト ラ フ ィ ッ クのチ ェ ッ ク を有効または無効にし ます。

DNSBL および ORDBL サーバを リ ス ト に追加し た り、 リ ス ト から削除し た り し ます。 各サーバからの、 スパムと し て識別された電子メ ールに対し て実行するアクシ ョ ンを、 スパムまたは拒否と し て設定できます (SMTP のみ )。DNSBL や ORDBL の設定は、 コマン ド ライン イン タ フ ェースでのみ変更できます。詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

[HELO DNS lookup] n/a

ド メ イ ン ネーム サーバに登録されている IPア ド レスに対する発信元ド メ イ ン名のチ ェ ッ ク を有効または無効にし ます。 発信元ド メ イ ン名がこの IP ア ド レスに一致し ない場合、 その電子メ ールはスパムと し てマーク され、 プロテ ク シ ョ ン プロ フ ァ イルで選択されているアク シ ョ ンが実行されます。

[E-mail address BWL check] [AntiSpam]、 [Black/White List]、 [E-mail Address]

設定されているスパム フ ィ ルタ電子メ ール ア ド レス リ ス ト に対する受信電子メ ール アド レスのチ ェ ッ ク を有効または無効にし ます。

ワイルド カー ドや正規表現を使用し たオプシ ョ ンを指定し て、 電子メ ール ア ド レスを リ ス ト に追加し た り編集し た り し ます。 電子メ ール ア ド レスご とに、 アクシ ョ ンをスパムまたはク リ ア と し て設定できます。 電子メ ール ア ド レスは、 リ スト 内の任意の位置に置 く こ とができます。フ ィ ルタは、 各電子メ ール ア ド レスを順番にチ ェ ッ ク し ます。

[Return e-mail DNS check] n/a

ド メ イ ン ネーム サーバに登録されている IPア ド レスに対する受信電子メ ール戻り ア ドレス ド メ イ ンのチ ェ ッ ク を有効または無効にし ます。 戻り ア ド レス ド メ イ ン名がこのIP ア ド レスに一致し ない場合、 その電子メ ールはスパムと し てマーク され、 プロテク シ ョ ン プロ フ ァ イルで選択されているアク シ ョ ンが実行されます。

[MIME headers check] コマン ド ラ インのみ

設定されているスパム フ ィ ルタ MIME ヘ ッダ リ ス ト に対する発信元の MIME ヘ ッ ダのチ ェ ッ ク を有効または無効にし ます。

ワイルド カー ドや正規表現を使用し たオプシ ョ ンを指定し て、 MIME ヘ ッ ダを リ スト に追加し た り編集し た り し ます。 MIMEヘ ッ ダご とに、 アク シ ョ ンをスパムまたはク リ ア と し て設定できます。DNSBL や ORDBL の設定は、 コマン ド ライン イン タ フ ェースでのみ変更できます。詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

[Banned word check] [AntiSpam]、 [Banned Word]

設定されているスパム フ ィ ルタ禁止単語リス ト に対する発信元電子メ ールのチ ェ ッ クを有効または無効にし ます。

ワイルド カー ドや正規表現を使用し たオプシ ョ ンを指定し て、 禁止単語を リ ス トに追加し た り編集し た り し ます。 言語と、電子メ ールの本文、 件名、 またはこの両方を検索するかど うかを設定できます。単語ご とに、 実行するアク シ ョ ンをスパムまたはク リ ア と し て設定できます。

[Spam Action] n/a

表 41: [AntiSpam] と [Protection Profile] のスパム フィルタリング設定 ( 続き )

[Protection Profile] のスパム フィルタリング オプション

[AntiSpam] の設定

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 407

408

禁止単語 アンチスパム

プロテ クシ ョ ン プロ フ ァ イルのアンチスパム オプシ ョ ンにア クセスするには、[Firewall]、 [Protection Profile] の順に選択し て編集するか、 または [Create New]、[Spam Filtering] を選択し ます。

禁止単語

特定の単語またはパターンを含む電子メ ール メ ッ セージをブロ ッ クする こ とによ って、 スパムを制御し ます。 プロテク シ ョ ン プロ フ ァ イルで有効になっている場合、 FortiGate ユニ ッ ト は、 電子メ ール メ ッ セージ内の単語またはパターンを検索し ます。 一致が見つかる と、 その単語に割り当てられた値が合計されていきます。 ユーザ定義のし きい値を超える と、 そのメ ッ セージはスパムと し てマーク されます。 一致が見つからない場合、 その電子メ ール メ ッ セージは次のフ ィルタに渡されます。

禁止単語パターンを リ ス ト に追加するには、 Perl 正規表現またはワイルド カー ドを使用し ます。

スパムと し て識別された電子メ ールに対して実行するアク シ ョ ン。 POP3 および IMAPメ ッ セージにはタグが付けられます。 SMTPメ ッ セージに対し て、 [Tagged] または [Discard] を選択し ます。 タグ付き電子メ ールの件名または MIME ヘ ッ ダに、 カス タムの単語または語句を追加できます。 任意のスパム アク シ ョ ンを イベン ト ログに記録する こ と を選択できます。

[Append to] : スパムと し て識別された電子メ ールの件名または MIME ヘ ッ ダにタ グを追加する場合に選択し ます。

[Append with] : スパムと し て識別された電子メ ールに追加する単語または語句 ( タ グ ) を入力し ます。 大の長さは 63 文字です。

[Add event into the system log]

イベン ト ログへのスパム ア クシ ョ ンのロギングを有効または無効にし ます。

表 41: [AntiSpam] と [Protection Profile] のスパム フィルタリング設定 ( 続き )

[Protection Profile] のスパム フィルタリング オプション

[AntiSpam] の設定

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 スパム フ ィルタ リ ング機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イ ン メ ニューで [Global Configuration] を選択し ます。

注記 : アンチスパム禁止単語では、 Perl 正規表現パターンは大文字と小文字が区別されます。 単語または語句の大文字と小文字が区別されないよ う にするには、 正規表現の /i を

使用し ます。 た と えば、/bad language/i を指定する と、大文字 / 小文字には関係な く 、bad language のすべ

ての事例がブロ ッ ク されます。 ワイルド カー ド パターンでは大文字と小文字が区別されません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム 禁止単語

アンチスパム禁止単語リスト カタログの表示

複数のアンチスパム禁止単語リ ス ト を追加し、 プロテ クシ ョ ン プロ フ ァ イルごとに 適なアンチスパム禁止単語リ ス ト を選択できます。 アンチスパム禁止単語リ ス ト カ タ ログを表示するには、 [AntiSpam]、[Banned Word] の順に選択し ます。 個別のアンチスパム禁止単語リ ス ト を表示するには、 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 258: アンチスパム禁止単語リスト カタログの例

アンチスパム禁止単語リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

アンチスパム禁止単語リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。詳細については、 294 ページの 「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照して く だ さい。

新しいアンチスパム禁止単語リストの作成

アンチスパム禁止単語リ ス ト カ タ ログにアンチスパム禁止単語リ ス ト を追加するには、 [AntiSpam]、[Banned Word] の順に選択し、 [Create New] を選択し ます。

図 259: [New AntiSpam Banned Word list] ダイアログ ボックス

[Add] このカ タ ログに新し いリ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能なアンチスパム禁止単語リ ス ト 。

[# Entries] 各アンチスパム禁止単語リ ス ト 内のエン ト リの数。

[Profiles] 各アンチスパム禁止単語リ ス ト が適用されたプロテ クシ ョ ン プロフ ァ イル。

[Comment] 各アンチスパム禁止単語リ ス ト のオプシ ョ ンの説明。

削除アイコン カ タ ログから このアンチスパム禁止単語リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 このアンチスパム禁止単語リ ス ト がどのプロテ クシ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン アンチスパム禁止単語リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メ ン トを編集する場合に選択し ます。

[Name] 新しいリ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 409

410

禁止単語 アンチスパム

アンチスパム禁止単語リストの表示

各電子メ ール メ ッ セージは、 アンチスパム禁止単語リ ス ト に対し てチ ェ ッ ク されます。 1 つ以上の禁止単語を追加する と、 件名、 本文、 またはその両方にこれらの単語を含む電子メ ール メ ッ セージが並べ替えられます。 メ ッ セージに現れる各禁止単語のス コ ア値が加算され、 その合計がプロテク シ ョ ン プロ フ ァ イルで設定されている し きい値を超える と、 そのメ ッ セージはプロテク シ ョ ン プロ フ ァ イルの [Spam Action] の設定に従っ て処理されます。 あるパターンが メ ッ セージに複数回現れた場合でも、 そのパターンのス コ アは 1 回だけ適用されます。

禁止単語リ ス ト を表示するには、 [AntiSpam]、[Banned Word] の順に選択し、 表示する禁止単語リ ス ト の編集アイ コ ンを選択し ます。

図 260: 禁止単語リストの例

禁止単語リ ス ト には、 次のアイ コ ン と機能が用意されています。

[Name] 禁止単語リ ス ト の名前。 この名前を変更するには、 名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メ ント フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] 禁止単語リ ス ト に単語または語句を追加する場合に選択し ます。

[Total] リ ス ト 内の項目の数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全エントリ削除アイコン

このテーブルを ク リ アする場合に選択し ます。

[Pattern] 禁止単語のリ ス ト 。 リ ス ト 内のすべての禁止単語を有効にするには、このチ ェ ッ ク ボ ッ クスをオンにし ます。

[Pattern Type] 禁止単語リ ス ト の入力で使用されるパターンの種類。 [Wildcard] または [Regular Expression] から選択し ます。 詳細については、 418 ページの「Perl 正規表現の使用」 を参照し て く ださ い。

[Language] この禁止単語が属する文字セ ッ ト であり、 [Simplified Chinese]、[Traditional Chinese]、 [French]、 [Japanese]、 [Korean]、 [Thai]、[Western] のいずれかです。

[Where] FortiGate ユニ ッ ト が禁止単語を検索する場所であり、 [Subject]、[Body]、 [All] のいずれかです。

[Score] この禁止単語に適用される重み付けの数値。 電子メ ール メ ッ セージに現れるすべての一致単語のスコ ア値が加算され、 その合計がプロテ クシ ョ ン プロ フ ァ イルに設定されている spamwordthreshold 値を超える と、 そのページは、 プロテ ク シ ョ ン プロ フ ァ イルでそのメ ール トラ フ ィ ッ クの種類に対するスパム ア クシ ョ ン コマン ド ( た と えば、smtp3-spamaction) がpassまたはtagに設定されているかど うかに従って処理されます。 ある禁止単語が Web ページに複数回現れた場合でも、 その単語のスコ アは 1 回だけカウン ト されます。

削除アイコン リ ス ト から この単語を削除する場合に選択し ます。

編集アイコン [Pattern]、 [Pattern Type]、 [Language]、 [Where]、 [Action]、 および [Enable] の情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム ブラック / ホワイト リスト

アンチスパム禁止単語リストの設定

単語は、 スパムまたはク リ ア と し てマークできます。 禁止単語は、 1 つの単語にする こ と も、 大 127 文字の語句にする こ と もできます。

1 つの単語の場合、 FortiGate ユニ ッ ト は、 その単語を含むすべての電子メ ールをブロ ッ ク し ます。 語句の場合、 FortiGate ユニ ッ ト は、 それと完全に一致する語句を含むすべての電子メ ールをブロ ッ ク し ます。 語句に含まれている任意の単語をブロ ッ クするには、 Perl 正規表現を使用し ます。

禁止単語を追加または編集するには、 [AntiSpam]、[Banned Word] の順に選択します。

図 261: [Add Banned Word] ダイアログ ボックス

ブラック / ホワイト リスト

プロテ クシ ョ ン プロ フ ァ イルで有効になっ ている場合、 FortiGate ユニ ッ ト は、受信電子メ ールのフ ィ ルタ処理に IP ア ド レス リ ス ト と電子メ ール ア ド レス リス ト の両方を使用し ます。

IP ア ド レス リ ス ト のチ ェ ッ ク を実行する場合、 FortiGate ユニ ッ ト は、 メ ッ セージの送信者の IP ア ド レスを IP ア ド レス リ ス ト に対し て順番に比較し ます。 一致が見つかった場合は、 その IP ア ド レスに関連付けられたアクシ ョ ンが実行されます。 一致が見つからない場合、 そのメ ッ セージは次の有効なスパム フ ィ ルタに渡されます。

電子メ ール リ ス ト チ ェ ッ ク を実行する場合、 FortiGate ユニ ッ ト は、 メ ッ セージの送信者の電子メ ール ア ド レスを電子メ ール ア ド レス リ ス ト に対し て順番に比較し ます。 一致が見つかった場合は、 その電子メ ール ア ド レスに関連付けられたア クシ ョ ンが実行されます。 一致が見つからない場合、 そのメ ッ セージは次の有効なアンチスパム フ ィ ルタに渡されます。

[Pattern] 禁止単語リ ス ト に含める単語または語句を入力し ます。

[Pattern Type] 禁止単語のパターンの種類を選択し ます。 [Wildcard] または [Regular Expression] から選択し ます。 418 ページの 「Perl 正規表現の使用」 を参照し て く だ さい。

[Language] 禁止単語の文字セ ッ ト を選択し ます。 [Chinese Simplified]、 [Chinese Traditional]、 [French]、 [Japanese]、 [Korean]、 [Thai]、 または [Western] から選択し ます。

[Where] 禁止単語を検索する場所を選択し ます。 [Subject]、 [Body]、 または [All] から選択し ます。

[Enable] 禁止単語のスキャ ンを有効にする場合にオンにし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 411

412

ブラック / ホワイト リスト アンチスパム

アンチスパム IP アドレス リスト カタログの表示

複数のアンチスパム IP ア ド レス リ ス ト を追加し、 プロテ クシ ョ ン プロ フ ァ イルご とに 適なアンチスパム IP ア ド レス リ ス ト を選択できます。 アンチスパム IPア ド レス リ ス ト カ タ ログを表示するには、 [AntiSpam]、[Black/White List]、[IP Address] の順に選択し ます。 個別のアンチスパム IP ア ド レス リ ス ト を表示するには、 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 262: アンチスパム IP アドレス リスト カタログの例

アンチスパム IP ア ド レス リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

アンチスパム禁止単語リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。詳細については、 294 ページの 「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照して く ださい。

新しいアンチスパム IP アドレス リストの作成

アンチスパム IP ア ド レス リ ス ト カ タ ログにアンチスパム IP ア ド レス リ ス ト を追加するには、 [AntiSpam]、[Black/White List] の順に選択し、 [Create New] を選択し ます。

図 263: [New AntiSpam IP Address list] ダイアログ ボックス

[Add] このカ タ ログに新しい リ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能なアンチスパム IP ア ド レス リ ス ト 。

[# Entries] 各アンチスパム IP ア ド レス リ ス ト 内のエン ト リの数。

[Profiles] 各アンチスパム IP ア ド レス リ ス ト が適用されたプロテ クシ ョ ン プロ フ ァ イル。

[Comment] 各アンチスパム IP ア ド レス リ ス ト のオプシ ョ ンの説明。

削除アイコン カ タ ログから このアンチスパム IP ア ド レス リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 このアンチスパム IP ア ド レス リス ト がどのプロテ クシ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン アンチスパム IP ア ド レス リ ス ト 、 リ ス ト 名、 またはリ ス ト のコ メン ト を編集する場合に選択し ます。

[Name] 新し いリ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム ブラック / ホワイト リスト

アンチスパム IP アドレス リストの表示

特定の IP ア ド レスからの電子メ ールを フ ィ ルタ処理するよ う に FortiGate ユニ ット を設定し ます。 FortiGate ユニ ッ ト は、 送信者の IP ア ド レスを リ ス ト に対し て順番に比較し ます。 各 IP ア ド レスを ク リ ア、 スパム、 または拒否と し てマークし ます。 単一の IP ア ド レスを フ ィ ルタ処理するか、 またはア ド レス と マスク を設定し てネ ッ ト ワーク レベルでのア ド レスの範囲を フ ィ ルタ処理し ます。

アンチスパム IP ア ド レス リ ス ト を表示するには、 [AntiSpam]、[Black/White List]、[IP Address] の順に選択し、 表示するアンチスパム IP ア ド レス リ ス ト の編集アイ コ ンを選択し ます。

図 264: IP アドレス リストの例

アンチスパム IP ア ド レス リ ス ト には、 次のアイ コ ン と機能が用意されています。

アンチスパム IP アドレス リストの設定

IP ア ド レス リ ス ト に IP ア ド レスを追加するには、 [AntiSpam]、[Black/White List]、[IP Address] の順に選択し、 [Create New] を選択し ます。 IP ア ド レス、 または IP ア ド レス と マス クのペアを次の形式で入力し ます。

• x.x.x.x ( た と えば、 62.128.69.100)

[Name] アンチスパム IP ア ド レス リ ス ト の名前。 この名前を変更するには、名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メン ト フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] アンチスパム IP ア ド レス リ ス ト に IP ア ド レスを追加する場合に選択し ます。

[Total] リ ス ト 内の項目の数。

前ページ アイコン 前のページを表示する場合に選択し ます。

次ページ アイコン 次のページを表示する場合に選択し ます。

全エントリ削除アイコン

このテーブルを ク リ アする場合に選択し ます。

[IP Address/Mask] IP ア ド レスの現在のリ ス ト 。

[Action] 設定されている IP ア ド レスからの電子メ ールに対し て実行するア クシ ョ ン。 ア クシ ョ ンには、 設定されているスパム ア クシ ョ ンを適用するための [Mark as Spam]、 このフ ィ ルタ と残りのスパム フ ィ ルタをバイパスするための [Mark as Clear]、 またはこのセ ッ シ ョ ンを破棄するための [Mark as Reject] (SMTP のみ ) があり ます。 ある IP ア ドレスが拒否に設定されているが、 メ ールが POP3 または IMAP を介し てその IP ア ド レスから配信されている場合、 その電子メ ール メ ッセージはスパムと し てマーク されます。

削除アイコン リ ス ト から このア ド レスを削除する場合に選択し ます。

編集アイコン [IP Address/Mask]、 [Insert]、 [Action]、 および [Enable] のア ド レス情報を編集する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 413

414

ブラック / ホワイト リスト アンチスパム

• x.x.x.x/x.x.x.x ( た と えば、 62.128.69.100/255.255.255.0)

• x.x.x.x/x ( た と えば、 62.128.69.100/24)

図 265: [Add IP Address] ダイアログ ボックス

アンチスパム電子メール アドレス リスト カタログの表示

複数のアンチスパム電子メ ール ア ド レス リ ス ト を追加し、 プロテ クシ ョ ン プロ フ ァイルご とに 適なアンチスパム電子メ ール ア ド レス リ ス ト を選択できます。 アンチスパム電子 メ ール ア ド レ ス リ ス ト カ タ ロ グ を 表示す る には、 [AntiSpam]、[Black/White List]、[E-mail Address] の順に選択し ます。個別のアンチスパム電子メ ール ア ド レス リ ス ト を表示するには、 表示する リ ス ト の編集アイ コ ンを選択し ます。

図 266: アンチスパム電子メール アドレス リスト カタログの例

アンチスパム電子メ ール ア ド レス リ ス ト カ タ ログには、 次のアイ コ ン と機能が用意されています。

[IP Address/Mask] IP ア ド レスか、 または IP ア ド レス / マスクのペアを入力し ます。

[Insert] ア ド レスを配置する リ ス ト 内の位置を選択し ます。

[Action] ア クシ ョ ンを選択し ます。 ア クシ ョ ンには、 プロテ クシ ョ ン プロフ ァ イルで設定されているスパム ア クシ ョ ンを適用するための [Mark as Spam]、 このフ ィ ルタ と残りのスパム フ ィ ルタ をバイパスするための [Mark as Clear]、 またはこのセ ッ シ ョ ンを破棄するための [Mark as Reject] (SMTP のみ ) があり ます。

[Enable] このア ド レスを有効にし ます。

[Add] このカ タ ログに新し いリ ス ト を追加するには、 名前を入力し、 [Add] を選択し ます。

[Name] 使用可能なアンチスパム電子メ ール ア ド レス リ ス ト 。

[# Entries] 各アンチスパム電子メ ール ア ド レス リ ス ト 内のエン ト リの数。

[Profiles] 各アンチスパム電子メ ール ア ド レス リ ス ト が適用されたプロテ クシ ョ ン プロ フ ァ イル。

[Comment] 各アンチスパム電子メ ール ア ド レス リ ス ト のオプシ ョ ンの説明。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム ブラック / ホワイト リスト

アンチスパム禁止単語リ ス ト は、 プロテ クシ ョ ン プロ フ ァ イルで選択し ます。詳細については、 294 ページの 「スパム フ ィ ルタ リ ング オプシ ョ ン」 を参照して く だ さい。

新しいアンチスパム電子メール アドレス リストの作成

アンチスパム電子 メ ール ア ド レ ス リ ス ト カ タ ログにア ンチスパム電子 メ ールア ド レ ス リ ス ト を 追加す る には、 [AntiSpam]、[Black/White List]、[E-mailAddress] の順に選択し、 [Create New] を選択し ます。

図 267: [New AntiSpam E-mail Address list] ダイアログ ボックス

アンチスパム電子メール アドレス リストの表示

FortiGate ユニ ッ ト は、 特定の送信者からの電子 メ ール、 またはある ド メ イ ン (example.net など ) からのすべての電子メ ールを フ ィ ルタ処理できます。 各電子メ ール ア ド レスを ク リ アまたはスパムと し てマーク し ます。

ア ン チ スパム電子 メ ール ア ド レ ス リ ス ト を 表示す る には、 [AntiSpam]、[Black/White List]、[E-mail Address] の順に選択し、 表示するアンチスパム電子メ ール ア ド レス リ ス ト の編集アイ コ ンを選択し ます。

図 268: 電子メール アドレス リストの例

アンチスパム電子メ ール ア ド レス リ ス ト には、 次のアイ コ ン と機能が用意されています。

削除アイコン カ タ ログから このアンチスパム電子メ ール ア ド レス リ ス ト を削除する場合に選択し ます。 削除アイ コ ンは、 このアンチスパム電子メ ール ア ド レス リ ス ト がどのプロテ ク シ ョ ン プロ フ ァ イルでも選択されていない場合にのみ使用できます。

編集アイコン アンチスパム電子メ ール ア ド レス リ ス ト 、 リ ス ト 名、 またはリ ス トのコ メ ン ト を編集する場合に選択し ます。

[Name] 新しいリ ス ト の名前を入力し ます。

[Comment] 必要に応じ て、 このリ ス ト を説明する コ メ ン ト を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 415

416

ブラック / ホワイト リスト アンチスパム

アンチスパム電子メール アドレス リストの設定

リ ス ト に電子メ ール ア ド レスまたは ド メ イ ンを追加するには、 [AntiSpam]、[Black/White List]、[E-mail Address] の順に選択し ます。

図 269: [Add E-mail Address] ダイアログ ボックス

1 電子メ ール ア ド レスまたはパターンを入力し ます。

2 リ ス ト 入力のためのパターンの種類を選択し ます。

[Name] アンチスパム電子メ ール ア ド レス リ ス ト の名前。 この名前を変更するには、 名前フ ィ ールドのテキス ト を編集し、 [OK] を選択し ます。

[Comment] オプシ ョ ンのコ メ ン ト 。 コ メ ン ト を追加または編集するには、 コ メン ト フ ィ ールド にテキス ト を入力し、 [OK] を選択し ます。

[Create New] 電子メ ール ア ド レス リ ス ト に電子メ ール ア ド レスを追加し ます。

[Total] リ ス ト 内の項目の数。

前ページ アイコン 前のページを表示し ます。

次ページ アイコン 次のページを表示し ます。

全エントリ削除アイコン

このテーブルを ク リ ア し ます。

[Email address] 電子メ ール ア ド レスの現在のリ ス ト 。

[Pattern Type] 電子メ ール ア ド レスの入力で使用されるパターンの種類。[Wildcard] または [Regular Expression] から選択し ます。 詳細については、 418ページの 「Perl 正規表現の使用」 を参照し て く だ さ い。

[Action] 設定されているア ド レスからの電子メ ールに対し て実行するア クシ ョ ン。 ア クシ ョ ンには、 プロテ クシ ョ ン プロ フ ァ イルで設定されているスパム アク シ ョ ンを適用するための [Mark as Spam]、 またはこの電子メ ール メ ッ セージにこのフ ィ ルタ と残りのスパム フ ィ ルタ をバイパス させる [Mark as Clear] があり ます。

削除アイコン リ ス ト から この電子メ ール ア ド レスを削除する場合に選択し ます。

編集アイコン [E-Mail Address]、 [Pattern Type]、 [Insert]、 [Action]、 および [Enable] の情報を編集する場合に選択し ます。

[E-Mail Address] 電子メ ール ア ド レスを入力し ます。

[Pattern Type] [Wildcard] または [Regular Expression] のパターンの種類を選択し ます。 詳細については、 418 ページの 「Perl 正規表現の使用」 を参照し て く だ さい。

[Insert] この電子メ ール ア ド レスを挿入する リ ス ト 内の場所を選択し ます。

[Action] ア クシ ョ ン を選択し ます。

• プロテ クシ ョ ン プロ フ ァ イルで設定されているスパム ア クシ ョンを適用するには、 [Mark as Spam] を選択し ます。

• 電子メ ール メ ッ セージがこのフ ィ ルタ と残りのスパム フ ィ ルタをバイパスでき るよ う にするには、[Mark as Clear] を選択し ます。

[Enable] この電子メ ール ア ド レスを有効にし ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム アンチスパムの詳細設定

3 必要に応じ て、 新しい電子メ ール ア ド レスを正しい位置に配置するための、 リス ト 内の別の電子メ ール ア ド レスの前または後を選択し ます。

4 設定されているア ド レスまたは ド メ インからの電子メ ールに対し て実行するアクシ ョ ンを選択し ます。

5 [Enable] をオンにし ます。

6 [OK] を選択し ます。

アンチスパムの詳細設定

アンチスパムの詳細設定は、 Web ベース マネージ ャには表示されず、 コ マン ド ラ イン イン タ フ ェ ース (CLI) コ マン ド でのみ設定できます。 CLI コ マン ド を使用する方法の完全な説明や例については、 『FortiGate CLI リ フ ァ レンス』 を参照して く だ さい。

config spamfilter mheader

このコ マン ドは、 MIME ヘ ッ ダに基づいた電子メ ール フ ィ ルタ リ ングを設定するために使用し ます。 MIME ヘ ッ ダのフ ィ ルタ リ ングは、 各プロテ クシ ョ ン プロフ ァ イル内で有効に し ます。

FortiGate ユニ ッ ト は、 受信電子メ ールの MIME ヘ ッ ダのキーと値のペアを リ スト のペアに対し て順番に比較し ます。 一致が見つかった場合は、 対応するアクシ ョ ンが実行されます。 一致が見つからない場合、 その電子メ ールは次のスパム フ ィ ルタに渡されます。

MIME (Multipurpose Internet Mail Extensions) ヘ ッ ダは、 コ ンテンツの種類やコ ンテンツ エン コーデ ィ ングを説明するために電子メ ールに追加されます。 電子メ ール本文内のテキス ト の種類や、 その電子メ ールを生成し たプログラムなどが含まれます。 MIME ヘ ッ ダのい く つかの例を次に示し ます。

• X-mailer: outgluck

• X-Distribution: bulk

• Content_Type: text/html

• Content_Type: image/jpg

MIME ヘ ッ ダの 初の部分はヘ ッ ダ キー、 または単にヘ ッ ダ と呼ばれます。 2 番目の部分は値と呼ばれます。 スパム発信者はたいてい、 ヘ ッ ダの値にコ メ ン ト を挿入するか、 または空白のままに し ます。 これらの不正な形式のヘ ッ ダによ って、 一部のスパム フ ィ ルタやウイルス フ ィ ルタがだま される場合があ り ます。

MIME ヘ ッ ダ リ ス ト は、 特定の一括メ ール プログラムからの電子メ ールや、 スパム メ ッ セージによ く 見られる特定の種類のコ ンテンツを含む電子メ ールをマークするために使用し ます。 設定されているヘ ッ ダご とに、 電子メ ールをスパムまたはク リ ア と し てマーク し ます。

config spamfilter rbl

このコ マン ドは、DNSBL (DNS-based Blackhole List) (RBL (Realtime Blackhole List) と も呼ばれる ) および ORDBL (Open Relay Database List) サーバを使用し た電子メ ール フ ィ ルタ リ ングを設定するために使用し ます。 DNSBL や ORDBL のフ ィルタ リ ングは、 各プロテ クシ ョ ン プロ フ ァ イル内で有効に し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 417

418

Perl 正規表現の使用 アンチスパム

FortiGate ユニ ッ ト は、 送信者の IP ア ド レスまたはド メ イ ン名を、 設定されている任意のデータベース リ ス ト に対し て順番に比較し ます。 一致が見つかった場合は、 対応するアク シ ョ ンが実行されます。 一致が見つから ない場合、 その電子メ ールは次のスパム フ ィ ルタに渡されます。

一部のスパム発信者は、 セキュ リ テ ィ 保護されていない第三者の SMTP サーバを使用し て、 迷惑な一括電子メ ールを送信し ます。 DNSBL や ORDBL の使用は、ネ ッ ト ワークに進入し たスパムにタグを付けた り、 拒否し た り するための効率的な方法です。 これらのリ ス ト は、 受信電子メ ールの ド メ イ ンを、 スパムを送信するかスパムを通過させる こ とが知られている IP ア ド レスのリ ス ト と照合する ドメ イ ン ネーム サーバと し て機能し ます。

継続的に更新された DNSBL や ORDBL への信頼性の高いアクセスを提供している、利用可能な無料または有料のサーバがいくつか存在します。 現在使用されているサービスを調べて、 サーバに接続するための正しいドメイン名を確認してください。

Perl 正規表現の使用

電子メ ール ア ド レス リ ス ト 、 MIME ヘ ッ ダ リ ス ト 、 および禁止単語リ ス ト のエン ト リ には、 ワイル ド カー ド または Perl 正規表現を含める こ とができます。

Perl 正規表現の使用の詳細については、 http://perldoc.perl.org/perlretut.html を参照し て く だ さい。

正規表現とワイルドカードの一致パターンの比較

ワイル ド カー ド文字は、 他の 1 つ以上の文字を表す特殊文字です。 も よ く 使用されるワイル ド カー ド文字に、 一般に文字列内の 0 個以上の文字を表すアス タ リスク (*) と、 一般に任意の 1 文字を表す疑問符 (?) があ り ます。

Perl 正規表現では、 '.' の文字は任意の 1 文字を示し ます。 ワイルド カー ドの一致パターンにある '?' の文字と同様です。 そのため、 次のよ う にな り ます。

• fortinet.com は、 fortinet.com だけでな く 、 fortinetacom、 fortinetbcom、fortinetccom などにも一致し ます。

'.' や '*' などの特殊文字に一致させるには、 エスケープ文字の '\' を使用し ます。

• fortinet.comに一致させるには、正規表現をfortinet\.comにする必要があ り ます。

Perl 正規表現では、 '*' は、 任意の文字が 0 回以上一致するのではな く 、 その直前の文字が 0 回以上一致する こ と を示し ます。 例 :

• forti*.com は fortiiii.com に一致し ますが、 fortinet.com には一致し ません。

任意の文字を 0 回以上一致させるには、 '.*' を使用し ます。 こ こ で、 '.' は任意の文字を示し、 '*' は 0 回以上一致する こ と を示し ます。 し たがっ て、 たと えば、 ワイルド カー ドの一致パターン forti*.com は、 fort.*\.com にする必要があ り ます。

注記 : FortiGate ユニ ッ ト は、 サーバのド メ イ ン名を使用し て DNSBL または ORDBL サーバに接続するため、 この名前を DNS サーバで検索できる必要があり ます。 DNS の設定については、 89 ページの 「ネ ッ ト ワーク オプシ ョ ン」 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

アンチスパム Perl 正規表現の使用

単語境界

Perl 正規表現では、 パターンに暗黙の単語境界は含まれていません。 た と えば、正規表現の "test" は単語 "test" に一致するだけでな く 、 "atest"、 "mytest"、"testimony"、 "atestb" などの、 "test" を含む任意の単語に一致し ます。 "\b" の表記は、 単語境界を指定し ます。 単語 "test" に正確に一致させるには、 式を\btest\b にする必要があ り ます。

大文字と小文字の区別

Web フ ィ ルタやアンチスパム フ ィ ルタ では、 正規表現のパターンマ ッ チングは大文字と小文字が区別されます。 単語または語句の大文字と小文字が区別されないよ う にするには、 正規表現の /i を使用し ます。 た と えば、 /bad language/i を指定する と、大文字 / 小文字には関係な く 、"bad language" のすべての事例がブロ ッ ク されます。

Perl 正規表現形式

表 42 は、 い く つかの Perl 正規表現形式の例を挙げて説明し ています。

表 42: Perl 正規表現形式

式 一致する文字列

abc "abc" ( 文字シーケンスは正確に一致するが、 文字列内のどの位置にあっても よい )

^abc 文字列の先頭にある "abc"

abc$ 文字列の 後尾にある "abc"

a|b "a" または "b" のどち らか

^abc|abc$ 文字列の先頭または 後尾にある文字列 "abc"

ab{2,4}c "a" の後に 2 ～ 4 個の "b"、 その後に 1 個の "c"

ab{2,}c "a" の後に少な く と も 2 個の "b"、 その後に 1 個の "c"

ab*c "a" の後に任意個数 (0 個以上 ) の "b"、 その後に 1 個の "c"

ab+c "a" の後に 1 個以上の "b"、 その後に 1 個の "c"

ab?c "a" の後にオプシ ョ ンの "b"、 その後に 1 個の "c" ( つま り、 "abc" または "ac" のどち らか )

a.c "a" の後に任意の 1 文字 ( 改行以外 )、 その後に 1 個の "c"

a\.c 正確に "a.c"

[abc] "a"、 "b"、 "c" のう ちの任意の 1 つ

[Aa]bc "Abc" または "abc" のどち らか

[abc]+ 複数個の "a"、複数個の "b"、複数個の "c" から成る任意の ( 空以外の ) 文字列 ("a"、 "abba"、 "acbabcacaa" など )

[^abc]+ "a"、"b"、"c" をまった く 含まない任意の (空以外の) 文字列 ("defg" など)

\\d\d 任意の 2 桁 10 進数 (42 など )、 \d{2} と同じ

/i パターンの大文字と小文字が区別されないよ う にし ます。 たと えば、/bad language/i を指定する と、大文字 / 小文字には関係な く 、bad language のすべての事例がブロ ッ ク されます。

\w+ 1 つの " 単語 ": 英数字と アンダーラ イン ( アンダースコア ) から成る空以外のシーケンス (foo、 12bar8、 foo_1 など )

100\s*mk オプシ ョ ンで任意数の空白 ( スペース、 タ ブ、 改行 ) によ って分けられた文字列 "100" と "mk"

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 419

420

Perl 正規表現の使用 アンチスパム

正規表現の例

語句に含まれている任意の単語をブロックするには

/block|any|word/

故意にスペルを間違えた単語をブロックするには

スパム発信者はたいてい、 スパム ブロ ッ キング ソ フ ト ウ ェ アをだますために、単語の文字の間に他の文字を挿入し ます。

/^.*v.*i.*a.*g.*r.*o.*$/i

/cr[eéë][\+\-\*=<>\.\,;!\?%&@\^°\$£€\{\}()\[\]\|\\_01]dit/i

一般的なスパム語句をブロックするには

次の語句は、 スパム メ ッ セージ内に見られる一般的な語句のい く つかの例です。

/try it for free/i

/student loans/i

/you're already approved/i

/special[\+\-\*=<>\.\,;!\?%&~#@\^°\$£€\{\}()\[\]\|\\_1]offer/i

abc\b 後に単語境界が存在する場合の "abc" ( た と えば、 "abc!" には含まれるが、 "abcd" には含まれない )

perl\B 後に単語境界が存在し ない場合の "perl" ( た と えば、 "perlert" には含まれるが、 "perl stuff" には含まれない )

\x 正規表現パーサーに、 直前にバッ クスラ ッ シ ュ文字がな く 、 かつ文字クラスにも含まれていない空白を無視するよ う に指示し ます。 正規表現をい く つかの部分に分割し て ( 若干 ) 読みやす く するために使用し ます。

/x 他のテキス ト 内に正規表現を追加するために使用されます。 パターン内の 初の文字がフ ォワー ド スラ ッ シ ュ '/' である場合、 その '/' は区切り記号と し て処理されます。 このパターンには、 2 つ目の '/' が含まれている必要があり ます。 '/' の間にあるパターンは正規表現と見な され、 2つ目の '/' の後の任意の文字は正規表現のオプシ ョ ン ('i'、 'x'、 その他 ) のリ ス ト と し て解析されます。 2 つ目の '/' がないと、 エ ラーが発生します。 正規表現では、 前や後に置かれているスペースは正規表現の一部と し て処理されます。

表 42: Perl 正規表現形式 ( 続き )

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

IM、P2P、および VoIP 概要

F0

IM、P2P、および VoIP[IM, P2P & VoIP] メ ニューでは、 IM ユーザの管理ツールと、 ネ ッ ト ワークの IM、P2P、 および VIOP の使用状況に関する統計を調べる こ とができます。 この項にある設定を有効にするには、 ア ク テ ィ ブなプロテク シ ョ ン プロ フ ァ イルで、 IM、P2P、 および VoIP プロ ト コルを有効にする必要があ り ます。

この項には以下の ト ピ ッ クが含まれています。

• 概要

• IM/P2P プロ ト コルの設定

• 統計

• ユーザ

概要

FortiOS v3.0 MR4 フ ァームウ ェ アでは、 IM/P2P アプ リ ケーシ ョ ンや VoIP プロ トコルの使用状況を制御および監視する こ とができます。

FortiOS は、 SIP (Session Initiation Protocol) と SCCP (Skinny Client Control Protocol) の 2 つの VoIP プロ ト コルをサポー ト し ています。

フ ォーテ ィ ネ ッ ト では、 IM/P2P アプ リ ケーシ ョ ンはビジネス活動の一部にな りつつある ものの、 悪用される と生産性やネ ッ ト ワーク パフ ォーマンスを大幅に低下させる場合もある こ と を認識し ています。

FortiGate システムでは、 アプ リ ケーシ ョ ンの使用を許可またはブロ ッ クするためのユーザ リ ス ト を設定する こ とによ り、 許可するアプ リ ケーシ ョ ン と、 そのアプ リ ケーシ ョ ンが使用でき る帯域幅を決定する こ とができます。

総合的な保護ポリシーと見やすい統計レポートを組み合わせることによって、 どのアプリケーションが、どういう目的で使用されているかを表示できるようになるため、IM/P2Pアプリケーションの制御と生産性の 大化を容易に実現できます。

FortiOS 3.0 システムには、 サポー ト されている IM/P2P プロ ト コルの完全な リ スト が付属し てお り、 Fortinet Distribution Network からダウンロー ド 可能なア ッ プグレー ド によ って 新の状態に維持できます。 常に 新のプロ ト コルを維持するために、 フ ァームウ ェ ア ア ッ プグレー ド を待つ必要はあ り ません。 FortiOS 3.0ではまた、 不明なプロ ト コルを、 ア ッ プグレー ドが入手可能になる前であって も処理でき る方法が提供されます。

422 ページの表 43 は、 FortiOS 3.0 で現在認識されている IM/P2P アプ リ ケーシ ョンを示し ています。 この表には、 デコーダ、 そのデコーダに関連し たアプ リ ケーシ ョ ン、 FortiGate イン タ フ ェース内のそのデコーダの場所が含まれています。

注記 : 422 ページの表 43 で太字になっているアプ リ ケーシ ョ ンは、 複数の P2P ネ ッ トワークに接続できます。 IM および P2P のデコーダ と シグネチャ を有効にする と、 IPS のパフ ォーマンス向上に役立ちます。 た と えば、 IPS を使用し たいが、 IM または P2P アプリ ケーシ ョ ンをブロ ッ ク し た く ない場合は、 IM/P2P のデコーダ と シグネチャ を有効のままにし てお く 必要があり ます。 他のシグネチャは通常、 無効にする とパフ ォーマンスが向上し ますが、 IM/P2P の場合は逆にな り ます。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 421

422

概要 IM、P2P、および VoIP

表 43: FortiOS 3.0 の IPS で認識されている IM/P2P アプリケーション

IPS アプリケーション

インスタント メッセージング

AIM ([Firewall]、 [Protection Profile]、 [IM/P2P])ICQ ([Firewall]、 [Protection Profile]、 [IM/P2P])

AIM、 AIM TritonICQ

MSN ([Firewall]、 [Protection Profile]、 [IM/P2P]) MSN Messenger

qq ([Intrusion Protection]、 [Signature]、 [Protocol Decoder]、 [im_decoder])

QQ

Yahoo! ([Firewall]、 [Protection Profile]、 [IM/P2P]) Yahoo Messenger

msn_web_messenger ([Intrusion Protection]、 [Signature]、[Protocol Decoder]、 [im_decoder])

MSN web Messenger

google_talk ([Intrusion Protection]、 [Signature]、 [Protocol Decoder]、 [im_decoder])

Google Instant Messenger

rediff ([Intrusion Protection]、 [Signature]、 [Protocol Decoder]、 [im_decoder]) Rediff Instant Messenger

P2P

BitTorrent ([Firewall]、 [Protection Profile]、 [IM/P2P])

BitCometBitspiritAzureusShareaza

eDonkey ([Firewall]、 [Protection Profile]、 [IM/P2P])

eMuleOvernetEdonkey2KShareazaBearShareMLdonkeyiMesh

Gnutella ([Firewall]、 [Protection Profile]、 [IM/P2P])

BearShareShareazaLimeWireXoloxSwapperiMeshMLdonkeyGnucleusMorpheusOpenextMutellaQtellaQcquisitionAcquisitionNapSharegtk-gnutella

KaZaA ([Firewall]、 [Protection Profile]、 [IM/P2P]) KaZaA

Skype ([Firewall]、 [Protection Profile]、 [IM/P2P]) Skype

WinNY ([Firewall]、 [Protection Profile]、 [IM/P2P]) WinNY

ares ([Intrusion Protection]、 [Signature]、 [Protocol Decoder]、 [p2p_decoder]) Ares Galaxy

direct_connect ([Intrusion Protection]、 [Signature]、[Protocol Decoder]、 [p2p_decoder]) DC++

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

IM、P2P、および VoIP IM/P2P プロトコルの設定

IM/P2P プロトコルの設定

IM/P2P に関連し て必要なポ リ シーは、 組織によ っ て異な り ます。 FortiGate ユニ ッ ト では、 ニーズに も適し た方法でユニ ッ ト を設定できます。

IM/P2P オプションを有効または無効にする方法

この項では、 IM/P2P オプシ ョ ンを有効または無効にするための 4 つの主な場所を示し ます。 こ こには、 定義済みシグネチャ、 カス タム シグネチャ、 および不明なユーザのポ リ シーを有効にする方法が含まれています。

不正侵入防御で定義済みの IM/P2P シグネチャを有効にするには

1 [Intrusion Protection]、[Signature]、[Predefined] の順に選択し ます。

2 [IM] または [P2P] の横にある青色の矢印を選択し ます。

3 [Enable] ボ ッ クスをオンに し て、 シグネチャ を有効に し ます。

4 [Logging] ボ ッ クスをオンにし て、 シグネチャのロギングを有効に し ます。

5 編集するシグネチャに対応する行で、 編集アイ コ ンを選択し ます。

6 アク シ ョ ン と重大度を設定し ます。

7 [OK] を選択し ます。

不明なプロトコルに対するカスタム IM/P2P シグネチャを作成するには

1 [Intrusion Protection]、[Signature]、[Custom]、[Create New] の順に選択し ます。

2 シグネチャの名前を入力し ます。

3 シグネチャ を入力し ます。

4 重大度と、 実行するアク シ ョ ンを選択し ます。

5 [OK] を選択し ます。

不明な IM ユーザのためのポリシーを設定するには

1 [IM/P2P]、[User]、[Config] の順に選択し ます。

2 4 つの各 IM アプ リ ケーシ ョ ンについて [Allow] または [Block] を選択し ます。

3 [Apply] を選択し ます。

プロテクション プロファイル内で IM/P2P オプションを設定する方法

プロテ クシ ョ ン プロ フ ァ イル内には、 IM/P2P アプ リ ケーシ ョ ンを処理するための 4 つの主な領域があ り ます。 これらの 4 つの領域は、 アンチウイルス、 ロギング、 コ ンテンツ アーカ イブ、 および FortiGuard Web フ ィ ルタ リ ングです。 この項では、 これらの各設定にアクセスするための場所について説明し ます。

プロテ クシ ョ ン プロ フ ァ イルの詳細については、 このガイ ドの 「フ ァ イアウォール プロ フ ァ イル」 の章を参照し て く だ さい。

IM/P2P アプリケーションのためのプロテクション プロファイル設定を設定するには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 編集するプロ フ ァ イルに対応する行で、 編集アイ コ ンを選択し ます。

または、 [Create New] を選択し ます。

3 アンチウイルス設定を制御するには、 [AntiVirus] の青色の矢印を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 423

424

IM/P2P プロトコルの設定 IM、P2P、および VoIP

4 ログ設定を制御するには、 [Logging] の青色の矢印を選択し ます。

5 コ ンテンツ アーカ イブ設定を制御するには、 [Content Archive] の青色の矢印を選択し ます。

6 FortiGuard Web フ ィ ルタ リ ングを制御するには、 [FortiGuard Web Filtering] の青色の矢印を選択し ます。

7 [OK] を選択し ます。

IM/P2P デコーダのログ設定を設定する方法

この項では、 IM アプ リ ケーシ ョ ン と P2P アプ リ ケーシ ョ ンの両方の既知のプロト コル デコーダを有効にする方法、 およびアプ リ ケーシ ョ ンのロギング機能を有効にする方法について説明し ます。

IM/P2P アプリケーションの既知のデコーダを有効にしてログに記録するには

1 [Intrusion Protection]、[Signature]、[Protocol Decoder] の順に選択し ます。

2 IM または P2P エン コーダの青色の矢印を選択し ます。

3 このプロ ト コルを有効にするには、 [Enable] をオンにし ます。

4 このプロ ト コルをログに記録するには、 [Logging] をオンに し ます。

5 編集するプロ ト コル デコーダに対応する行で、 編集アイ コ ンを選択し ます。

6 アク シ ョ ン と重大度を設定し ます。

7 [OK] を選択し ます。

古いバージョンの IM/P2P アプリケーションを設定する方法

古いバージ ョ ンの IM プロ ト コルの中には、 メ ッ セージの種類が認識されないためにフ ァ イル ブロ ッ キングをバイパスできる ものがあ り ます。

サポー ト されている IM プロ ト コルは次のとお り です。

• MSN 6.0 以上

• ICQ 4.0 以上

• AIM 5.0 以上

• Yahoo 6.0 以上

上に示されているバージ ョ ンよ り古いプロ ト コルをブロ ッ クする場合は、 次のCLI コ マン ド を使用し ます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く ださい。

config imp2p old-version

サポートされていないプロトコルを設定する方法

サポー ト されていないプロ ト コルを見つけた場合は、 IPS パッ ケージが 新版である こ と を確認し て く だ さい。 IPS パッ ケージが 新版であって も、 そのプロ トコルがサポー ト されていない場合は、 カス タム シグネチャ を使用できます。

カスタム シグネチャを作成するには

1 [Intrusion Protection]、[Signature]、[Custom]、[Create New] の順に選択し ます。

2 シグネチャの名前を入力し ます。

3 シグネチャ を入力し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

IM、P2P、および VoIP 統計

4 ド ロ ッ プダウン ボ ッ ク スを使用し て、 シグネチャのアク シ ョ ン と重大度を選択し ます。

5 [Apply] を選択し ます。

統計

IM、 P2P、 および VoIP 統計を表示する と、 これらのプロ ト コルがネ ッ ト ワーク内でどのよ う に使用されているかを調べる こ とができます。 概要の統計は、 サポー ト されているすべての IM、 P2P、 および VoIP プロ ト コルについて提供されます。 詳細な個別の統計は、 IM プロ ト コルご とに提供されます。

概要の統計の表示

[Summary] タ ブには、 すべての IM、 P2P、 および VoIP プロ ト コルの統計の要約が表示されます。

IM/P2P 統計を表示するには、[IM/P2P]、[Statistics]、[Summary] の順に選択し ます。

図 270: IM、P2P、および VoIP 統計の要約

[Summary] タ ブには、 次のアイ コ ン と機能が用意されています。

注記 : 新しい IM/P2P アプ リ ケーシ ョ ンや既存のアプ リ ケーシ ョ ンの新しいバージ ョ ンを検出するには、 Fortinet Distribution Network (FDN) から入手可能な IPS パッ ケージを更新するだけで済みます。 フ ァームウェ ア ア ッ プグレー ドは必要あ り ません。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 IM、 P2P、および VoIP 機能はグローバルに設定されます。 これらの機能にアクセスするには、 メ イン メ ニューで [Global Configuration] を選択し ます。

[Automatic Refresh Interval]

統計を自動的に更新する間隔を選択し ます。 [none] から 30 秒までの間隔を設定し ます。

[Refresh] このページを 新の統計で更新する場合にク リ ッ ク し ます。

[Reset Stats] 統計をゼロに リ セ ッ ト する場合にク リ ッ ク し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 425

426

統計 IM、P2P、および VoIP

プロトコルごとの統計の表示

プロ ト コル タ ブには、 個別の IM プロ ト コルの詳細な統計が表示されます。

プロ ト コルの統計を表示するには、 [IM/P2P]、[Statistics]、[Protocol] の順に選択し ます。

プロテ クシ ョ ン プロ フ ァ イルで [Archive full IM chat info to FortiAnalyzer] を有効にする こ とによ っ て、 IM チャ ッ ト の情報や、 IM チャ ッ ト に対し て設定されている制限をログに記録する こ とができます。

図 271: プロトコルごとの IM 統計

[Users] IM プロ ト コルご と に、 次のユーザ情報が表示されます。

• [Current Users]

• ( ユーザ ) [Since Last Reset]

• ( ユーザ ) [Blocked]

[Chat] IM プロ ト コルご と に、 次のチャ ッ ト 情報が表示されます。

• [Total Chat Sessions]

• [Total Messages]

[File Transfers] IM プロ ト コルご と に、 次のフ ァ イル転送情報が表示されます。( フ ァ イル転送 ) [Since Last Reset] および ( フ ァ イル転送 ) [Blocked]

[Voice Chat] IM プロ ト コルご と に、 次の音声チャ ッ ト 情報が表示されます。

• ( 音声チャ ッ ト ) [Since Last Reset]

• ( 音声チャ ッ ト ) [Blocked]

[P2P Usage] P2P プロ ト コルご と に、 次の使用状況の情報が表示されます。

• [Total Bytes transferred]

• [Average Bandwidth]

[VoIP Usage] SIP および SCCP プロ ト コルについて、 次の情報が表示されます。

• [Active Sessions (phones connected)]

• [Total calls (since last reset)]

• [Calls Failed/Dropped]

• [Calls Succeeded]

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

IM、P2P、および VoIP ユーザ

[IM/P2P Protocol] タ ブには、 次のアイ コ ン と機能が用意されています。

ユーザ

IM ユーザがフ ァ イアウォールを介し て接続し た後は、 FortiGate ユニ ッ ト によ って、 現在接続されているユーザが [Current Users] リ ス ト に表示されます。 このリ ス ト を解析し て、 どのユーザを許可またはブロ ッ クするかを決定できます。 不明なユーザを処理するためのポ リ シーを設定できます。

[Current Users] リストの表示

[Current Users] リ ス ト には、 現在接続されている イ ンス タ ン ト メ ッ セージング ユーザに関する情報が表示されます。 このリ ス ト は、 プロ ト コルご とにフ ィ ルタ処理できます。

現在のユーザを表示するには、 [IM/P2P]、[Users]、[Current User] の順に選択します。

図 272: [Current Users] リスト

[Current Users] リ ス ト には次の機能があ り ます。

[Automatic Refresh Interval]

統計を自動的に更新する間隔を選択し ます。 [none] から 30 秒までの間隔を設定し ます。

[Protocol] 統計を表示するプロ ト コルを [AIM]、 [ICQ]、 [MSN]、 または [Yahoo] から選択し ます。

[Users] 選択し たプロ ト コルについて、[Current Users]、( ユーザ ) [Since LastReset]、 および ( ユーザ ) [Blocked] のユーザ情報が表示されます。

[Chat] 選択し たプロ ト コルについて、 [Total Chat Sessions]、 [Server-based Chat]、 [Group Chat]、 および [Direct/Private Chat] のチャ ッ ト情報が表示されます。

[Messages] 選択し たプロ ト コルについて、 [Total Messages]、 ( メ ッ セージ ) [Sent]、 および ( メ ッ セージ ) [Received] のメ ッ セージ情報が表示されます。

[File Transfers] 選択し たプロ ト コルについて、 ( フ ァ イル転送 ) [Since Last Reset]、( フ ァ イル転送 ) [Sent]、 ( フ ァ イル転送 ) [Received]、 および ( フ ァイル転送 ) [Blocked] のフ ァ イル転送情報が表示されます。

[Voice Chat] 選択し たプロ ト コルについて、 ( 音声チャ ッ ト ) [Since Last Reset] と ( 音声チャ ッ ト ) [Blocked] の音声チャ ッ ト 情報が表示されます。

注記 : FortiGate ユニ ッ ト 上でバーチャル ド メ イ ンが有効になっている場合、 IM 機能はグローバルに設定されます。 これらの機能にア クセスするには、 メ イ ン メ ニューで [Global Configuration] を選択し ます。

[Protocol] 現在のユーザを表示するプロ ト コルを [AIM]、 [ICQ]、 [MSN]、 または [Yahoo] から選択する こ と によ って、 リ ス ト を フ ィ ルタ処理し ます。 また、 現在のユーザをすべて表示する こ と も できます。

[Protocol] 使用されているプロ ト コル。

[User Name] このユーザが IM プロ ト コルに登録する と きに選択し た名前。 複数の IM プロ ト コルに対し て同じユーザ名を使用できます。 ユーザ名 / プロ ト コルの各ペアがリ ス ト 内で別々に表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 427

428

ユーザ IM、P2P、および VoIP

ユーザ リストの表示

ユーザ リ ス ト には、 イ ンス タ ン ト メ ッ セージング サービスへのア クセスを許可されているユーザ ( ホワイ ト リ ス ト )、 またはこれらのサービスから ブロ ッ ク されているユーザ ( ブ ラ ッ ク リ ス ト ) に関する情報が表示されます。

ユーザは、 [Create New] を使用し て、 または一時的なユーザのリ ス ト から追加できます。

ユーザ リ ス ト を表示するには、[IM/P2P]、[Users]、[User List] の順に選択し ます。

図 273: ユーザ リスト

ユーザ リ ス ト には、 次のアイ コ ン と機能が用意されています。

ユーザ リストへの新しいユーザの追加

ユーザをユーザ リ ス ト に追加し て、 イ ンス タ ン ト メ ッ セージング サービスへのアクセスを許可するか、またはこれらのサービスから ブロ ッ クするよ う に し ます。

[IM/P2P]、[Users]、[User List] の順に選択し、 [Create New] を選択し ます。

図 274: [Edit User] ダイアログ ボックス

[Source IP] このユーザが IM セ ッ シ ョ ンを開始し たア ド レス。

[Last Login] 現在のユーザがこのプロ ト コルを使用し た 後の時刻。

[Block] このユーザ名を永続的なブ ラ ッ ク リ ス ト に追加する場合に選択し ます。 ユーザ名 / プロ ト コルの各ペアが、 管理者によ って明示的にブロ ッ ク される必要があり ます。

[Create New] このリ ス ト に新しいユーザを追加する場合に選択し ます。

[Protocol] プロ ト コルを [AIM]、 [ICQ]、 [MSN]、 [Yahoo]、 または [All] から選択する こ とによ って、 リ ス ト を フ ィ ルタ処理し ます。

[Policy] ポリ シーを [Allow]、 [Deny]、 または [All] から選択する こ とによ って、 リ ス ト を フ ィ ルタ処理し ます。

[Protocol] このユーザに関連付けられているプロ ト コル。

[Username] このユーザが IM プロ ト コルに登録する と きに選択し た名前。 複数の IM プロ ト コルに対し て同じユーザ名を使用できます。 ユーザ名 / プロ ト コルの各ペアがリ ス ト 内で別々に表示されます。

[Policy] ユーザがこのプロ ト コルを使用し よ う と し た と きに適用されるポリ シーであり、 [Block] または [Deny] のどち らかです。

編集アイコン [Protocol]、[Username]、および [Policy] のユーザ情報を変更し ます。

削除アイコン ユーザをユーザ リ ス ト から完全に削除し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

IM、P2P、および VoIP ユーザ

不明な IM ユーザのためのポリシーの設定

ユーザ ポ リ シーによ っ て、 不明なユーザに対し て実行されるアクシ ョ ンが決定されます。 不明なユーザに対し て、 IM プロ ト コルの一部またはすべての使用を許可し てホワイ ト リ ス ト に追加するか、 または IM プロ ト コルの一部またはすべての使用をブロ ッ ク し てブ ラ ッ ク リ ス ト に追加するか、 のどち らかを実行できます。 後でホワイ ト リ ス ト と ブ ラ ッ ク リ ス ト を表示し、 ユーザをユーザ リ ス トに追加できます。

IM ポ リ シーを設定するには、 [IM/P2P]、[User]、[Config] の順に選択し ます。

図 275: IM ユーザ ポリシー

IM ユーザ ポ リ シーの次の設定を設定するか、 または表示し ます。

[Protocol] ド ロ ッ プダウン リ ス ト から、 [AIM]、 [ICQ]、 [MSN]、 または [Yahoo!] のプロ ト コルを選択し ます。

[Username] このユーザの名前を入力し ます。

[Policy] ド ロ ッ プダウン リ ス ト から、 [Allow] または [Block] のポ リ シーを選択し ます。

[Automatically Allow] 不明なユーザに使用を許可するプロ ト コルを選択し ます。 不明なユーザは、 一時的なホワイ ト リ ス ト に追加されます。

[Automatically Block] 不明なユーザからのアクセスを拒否するプロ ト コルを選択し ます。 不明なユーザは、 一時的なブ ラ ッ ク リ ス ト に追加されます。

[List of Temporary Users]

一時的なホワイ ト リ ス ト またはブ ラ ッ ク リ ス ト に追加された新しいユーザ。 ユーザ情報には、 そのユーザに適用された [Protocol]、 [Username]、 および [Policy] が含まれます。注記 : FortiGate ユニ ッ ト が再起動される と、 このリ ス ト はク リア されます。

[Protocol] 一時的なユーザのリ ス ト を フ ィ ルタ処理するために使用するプロト コルを選択し ます。

[Username] このユーザが IM プロ ト コルに登録する と きに選択し た名前。 複数の IM プロ ト コルに対し て同じユーザ名を使用できます。 ユーザ名 / プロ ト コルの各ペアがリ ス ト 内で別々に表示されます。

[Policy] ユーザがこのプロ ト コルを使用し よ う と し た と きに適用されるポリ シーであ り、 [Block] または [Deny] のどち らかです。

[Permanently Allow] このユーザを永続的なホワイ ト リ ス ト に追加する場合に選択します。 ユーザはオン ラ イン状態にと どま り、 [IM/P2P]、 [Users]、[User List] のリ ス ト に表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 429

430

ユーザ IM、P2P、および VoIP

[Permanently Block] このユーザを永続的なブ ラ ッ ク リ ス ト に追加する場合に選択します。 ユーザは、 [IM/P2P]、 [Users]、 [User List] のリ ス ト に表示されます。

[Apply] グローバル ユーザ ポ リ シーを適用する場合にク リ ッ ク し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート FortiGate ロギング

F0

ログおよびレポートこの項では、 ログを有効に した り、 ログ フ ァ イルを表示し た り、 Web ベース マネージャから使用可能なレポー ト を表示する方法について説明し ます。 FortiGateは、 ト ラ フ ィ ッ ク、 システム、 およびネ ッ ト ワーク保護機能に関する幅広いロギング機能を装備し ています。 詳細なログ情報と レポー ト によ ってネ ッ ト ワークの履歴および現状分析が行えるため、 セキュ リ テ ィ の問題を特定し、 ネ ッ ト ワークの悪用や濫用を軽減する こ とが可能にな り ます。

この項には以下の ト ピ ッ クが含まれています。

• FortiGate ロギング

• ログの重大度

• ログの保存

• 高可用性ク ラ ス タ ロギング

• ログの種類

• ログ アクセス

• アラー ト メ ール

• コ ンテンツ アーカ イブ

• レポー ト

• FortiGate ユニ ッ ト からの FortiAnalyzer レポー ト の表示

FortiGate ロギング

FortiGate ユニ ッ ト では、 次のよ う な多数のネ ッ ト ワーク活動や ト ラ フ ィ ッ ク を記録できます。

• ネ ッ ト ワーク ト ラ フ ィ ッ ク全体

• システムの再起動、 HA、 VPN アク テ ィ ビテ ィ などのシステム関連イベン ト

• アンチウイルス と ブロ ッ ク

• Web フ ィ ルタ リ ング、 URL、 および HTTP コ ンテンツ ブロ ッ ク

• シグネチャおよびア ノ マ リ攻撃と防止

• スパム フ ィ ルタ リ ング

• イ ンス タ ン ト メ ッ セージおよびピアツーピア ト ラ フ ィ ッ ク

FortiGate ユニ ッ ト がこれらのイベン ト を ログ記録するレベルと ログを保存する場所は、 カス タ マイズできます。 FortiGate ユニ ッ ト がこれらのイベン ト をログ記録するレベル、 つま り ログの重大度は、 ロギング場所を設定する と こ ろで定義されます。 選択でき る重大度には 6 つのレベルがあ り ます。 詳細については、432 ページの 「ログの重大度」 を参照し て く だ さい。

注記 : VDOM は、 ロギングおよびレポー ト 機能に影響を及ぼし ます。 FortiOS 3.0MR4 のロギングを設定する前に、 VDOM 設定で FortiGate のロギングおよびレポー ト 機能を設定し、有効にできる こ と を確認し て く だ さい。 た と えば、 管理 VDOM がある場合、 FortiAnalyzerユニ ッ ト または Syslog サーバへのロギングの設定しか行えず、 ログは表示できません。FortiOS 3.0MR4 の VDOM の詳細については、 61 ページの 「バーチャル ド メ インの使用」を参照し て く だ さい。

ortiGate バージ ョ ン 3.0 MR4 管理ガイ ド1-30004-0203-20070102 431

432

ログの重大度 ログおよびレポート

FortiGate ユニ ッ ト は、 FortiAnalyzer ユニ ッ ト にログ メ ッ セージを送信でき るので、 ログの保存および検索能力が向上し ます。 FortiAnalyzer ユニ ッ ト は、 ログ収集、 分析ツール、 およぼデータ保存を統合し たネ ッ ト ワーク アプ ラ イアンスです。 詳細なログ レポー ト によ っ てネ ッ ト ワークおよび電子メ ールの履歴および現状分析が行えるため、 セキュ リ テ ィ の問題を特定し、 ネ ッ ト ワークの誤用を軽減する こ とが可能にな り ます。 FortiGate ユニ ッ ト は、 隔離フ ァ イルに加えてすべての種類のログ メ ッ セージを保存先と なる FortiAnalyzer ユニ ッ ト に送信できます。 FortiAnalyzer ユニ ッ ト は、 アーカ イブを目的と し て、 FTP サーバにログ フ ァ イルをア ッ プロー ド できます。 ログ メ ッ セージを FortiAnalyzer ユニ ッ ト に送信するよ う FortiGate ユニ ッ ト を設定する方法については、 434 ページの「FortiAnalyzer ユニ ッ ト へのロギング」 を参照し て く だ さい。

FortiGate ユニ ッ ト は、保存と アーカ イブを目的に、Syslog サーバまたは WebTrendsサーバにログ メ ッ セージを送信できます。 ハー ド デ ィ スクが利用でき る場合は、これにログ メ ッ セージを送信するよ う に FortiGate ユニ ッ ト を設定できます。

また、 サブス ク リ プシ ョ ン ベースの FortiGuard ログおよび分析サービスに登録すれば、 FortiGuard ログおよび分析サーバにログを作成するよ う に FortiGate ユニ ッ ト を設定する こ と も可能です。 FortiGuard ログおよび分析サーバは、FortiAnalyzer ユニ ッ ト や Syslog サーバなどの他のロギング デバイス と同様に、FortiGate ログの保存を可能に し ます。 このサービスを利用でき るのは、FortiGate-100 以下のユニ ッ ト に限られます。 サブスク リ プシ ョ ン ベースのFortiGuard ログおよび分析サービスは、 近日提供される予定です。 詳細については、 テ クニカル サポー ト にお問い合わせ く ださい。

FortiGate ユニ ッ ト では、 バージ ョ ン 3.0 以降のフ ァームウ ェ アを搭載するFortiAnalyzer ユニ ッ ト のメ モ リ、 ハー ド デ ィ スク ( 使用できる場合 )、 およびFortiGuard ログおよび分析サーバ上に記録されているログ メ ッ セージを表示できます。 カス タ マイズ可能な フ ィ ルタによ り、 ログ フ ァ イル内の特定の情報を容易に探し出すこ とができます。

ログ メ ッ セージ と フ ォーマ ッ ト の詳細については、 『FortiGate ログ メ ッ セージ リ フ ァ レンス』 を参照し て く だ さい。

ログの重大度

ロギングの場所を設定する際に、 FortiGate ユニ ッ ト がどのよ う な重大度でログを記録するかを定義する こ とができます。 FortiGate ユニ ッ ト は、 選択されたロギング重大度以上のすべてのメ ッ セージをログ記録し ます。 た と えば、 [Error] が選択されている場合、 ユニ ッ ト はレベルが [Error]、 [Critical]、 [Alert]、 および [Emergency] のメ ッ セージを記録し ます。

注記 : FortiGate のハー ド デ ィ スクにログを保存する方法については、 『FortiGate CLI リフ ァ レンス』 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログの保存

ログの保存

使用するログ保存の種類は、 保存するログ メ ッ セージの種類と頻度によ って決ま り ます。 た と えば、 メ モ リ に保存でき るログ メ ッ セージの数は限られ、 古いログ メ ッ セージから順に書き替えられます。 ロギングの目的によ っては、 たとえば FortiAnalyzer ユニ ッ ト など、 1 か所または複数の場所にログ メ ッ セージを保存するのがよ り適し ている場合があ り ます。 ト ラ フ ィ ッ クおよびコ ンテンツのログを記録する場合、 FortiGate のシステム メ モ リはこれら特定のログ フ ァ イルを記録できないため、 FortiAnalyzer ユニ ッ ト または Syslog サーバへのロギングを設定する必要があ り ます。

[Log&Report]、[Log Config]、[Log Setting] の順に選択し て表示される画面では、 FortiGate ユニ ッ ト がログを保存する場所を設定できます。

サブスク リ プシ ョ ン ベースの FortiGuard ログおよび分析サービスに登録する と、FortiGuard サーバへのロギングを有効にできます。 FortiGuard ログおよび分析サービスは、 FortiAnalyzer ユニ ッ ト や Syslog サーバなどのロギング デバイスがない場合にログを保存するための別のオプシ ョ ン と なる ものです。 これらのサービスは、 FortiGate-100 以下のユニ ッ ト でのみ使用可能です。

ト ラ フ ィ ッ ク と フル コ ンテンツ アーカ イビングを除き、 FortiGate のほとんどの機能のロギングを有効にできます。 サマ リ コ ンテンツ アーカ イ ビングはサポート されますが、 レポー ト はサポー ト されません。

FortiGate ユニ ッ ト は、 TCP ポー ト 514 を使用し て、 FortiGuard ログおよび分析サーバにログを送信し ます。 この接続は SSL で保護されます。 そのため、 ログは暗号化され、 ログ情報を安全に転送できます。

FortiGuard ログおよび分析サーバの保存領域は、 購入されたサブス ク リ プシ ョ ン ベースの FortiGuard ログおよび分析サービスの種類に応じ て異な り ます。 詳細については、 カス タ マ サポー ト にお問い合わせ く ださい。

表 44: ログの重大度

レベル 説明 生成元

0 - Emergency( 緊急 )

システムが不安定になっています。 緊急の重大度を生成できるのは、イベン ト ログ、 特に管理イベン トのログです。

1 - Alert( 警告 )

早急な対策が求められます。 警告の重大度を生成できるのは、攻撃ログのみです。

2 - Critical( 重大 )

機能性に影響があり ます。 イベン ト 、 アンチウイルス、 およびスパム フ ィ ルタのログ。

3 - Error( エ ラー )

エラー状態が存在し、 機能性に影響が及んでいる可能性があり ます。

イベン ト およびスパム フ ィ ルタのログ。

4 - Warning( 注意 )

機能性に影響が及んでいる可能性があり ます。

イベン ト およびアンチウイルスのログ。

5 - Notification( 通知 )

通常のイベン ト に関する情報です。 ト ラ フ ィ ッ クおよび Web フ ィ ルタのログ。

6 - Information( 情報 )

システムの動作に関する一般情報です。

コ ンテンツ アーカ イブ、 イベン ト 、およびスパム フ ィ ルタのログ。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 433

434

ログの保存 ログおよびレポート

FortiAnalyzer ユニットへのロギング

FortiAnalyzer ユニ ッ ト は、 ログ収集、 分析ツール、 およびデータ保存を統合し たネ ッ ト ワーク アプ ラ イアンスです。 詳細なログ レポー ト によ ってネ ッ ト ワークおよび電子メ ールの履歴および現状分析が行えるため、 セキュ リ テ ィ の問題を特定し、 ネ ッ ト ワークの悪用や誤用を軽減する こ とが可能にな り ます。

図 276: FortiAnalyzer ユニットへの接続の設定

FortiAnalyzer ユニットにログを送信するよう FortiGate ユニットを設定するには

1 [Log&Report]、[Log Config]、[Log Setting] の順に選択し ます。

2 FortiAnalyzer を選択し ます。

3 青色の矢印を選択し て、 FortiAnalyzer のオプシ ョ ンを展開し ます。

4 FortiAnalyzer ユニ ッ ト に送信するログ メ ッ セージのレベルを設定し ます。

5 FortiAnalyzer ユニ ッ ト のサーバ IP ア ド レスを入力し ます。

6 [Apply] を選択し ます。

FortiGate ユニ ッ ト のログ設定を行ったら、 FortiGate ユニ ッ ト から ログを受信するよ う に FortiAnalyzer ユニ ッ ト を設定する必要があ り ます。 FortiAnalyzer の管理者に連絡し て、 設定を完了させて く だ さい。

注記 : 使用する FortiGate ユニ ッ ト にハー ド デ ィ スクが装備されている場合は、 CLI を使用し て、 FortiGate のハー ド デ ィ スクへのロギングを有効にし て く だ さい。 ハー ド デ ィ スクへのロギングを有効にする前に、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。ハー ド デ ィ スクに保存されたログは、 [Log & Report]、[Log Access]、[Disk] の順に選択し て表示されるページで表示できます。

注記 : VDOM が有効な場合は、 現在属し ている VDOM にアクセス し てロギング場所を有効にできる こ と を確認し て く だ さい。 VDOM の設定によ っては、 ある特定の FortiGate の機能にしかアクセスできない場合があ り ます。 また、 VDOM の設定は、 FortiGuard ログおよび分析サービス と ロギングにも影響を及ぼし ます。 詳細については、 61 ページの「バーチャル ド メ イ ンの使用」 を参照し て く だ さ い。

注記 : FortiGate ユニ ッ ト は、 大で 3 つの FortiAnalyzer ユニ ッ ト のログを作成できます。FortiGate ユニ ッ ト は 3 つすべての FortiAnalyzer ユニ ッ ト にログを送信し、 ログはそのそれぞれに保存されます。 これによ り、 FortiAnalyzer ユニ ッ ト に障害が生じ た場合でも、 リアルタ イムでバッ ク ア ッ プが保護されます。 この機能は、 CLI でのみ可能です。 詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログの保存

自動発見を使用した FortiAnalyzer への接続

自動発見機能を使用する こ と で、 FortiAnalyzer ユニ ッ ト に接続できます。 自動発見は、 FortiAnalyzer ユニ ッ ト への接続を確立する方法の 1 つです。 自動発見を選択する と、 FortiGate ユニ ッ ト は HELLO パケ ッ ト を使用し て、 同じサブネ ッ ト 内のネ ッ ト ワークで利用でき る FortiAnalyzer ユニ ッ ト を探し出し ます。 FortiGateユニ ッ ト は、 FortiAnalyzer ユニ ッ ト を発見する と、 自動的に FortiAnalyzer ユニ ット へのロギングを有効にし て、 FortiAnalyzer ユニ ッ ト へのログ データの送信を開始し ます ( ト ラ フ ィ ッ クなどに対し てロギングが設定されている場合 )。

自動発見を有効にするには

1 [Log&Report]、[Log Config]、[Log Setting] の順に選択し ます。

2 FortiAnalyzer の青色の矢印を選択し て、 オプシ ョ ンを展開し ます。

3 [Automatic Discovery] を選択し ます。

4 [Discover] を選択し ます。

FortiGate ユニ ッ ト は、 利用できる FortiAnalyzer ユニ ッ ト からの応答を同じサブネ ッ ト 内で検索し ます。

5 [Connect To] リ ス ト から FortiAnalyzer ユニ ッ ト を選択し ます。

6 [Apply] を選択し ます。

FortiAnalyzer 設定のテスト

FortiAnalyzer の設定が完了したら、 FortiGate ユニ ッ ト と FortiAnalyzer ユニ ッ ト間の接続をテス ト し て、 接続が正し く 動作する こ と を確認できます。 これにより、 FortiGate ユニ ッ ト と FortiAnalyzer ユニ ッ ト 間のログ、 レポー ト 、 コ ンテンツ アーカ イブ、 および隔離フ ァ イルの送受信に指定された設定を含めて、FortiGate ユニ ッ ト と FortiAnalyzer ユニ ッ ト の接続を確かめられます。

接続をテストするには

1 [Log&Report]、[Log Config]、[Log Setting] の順に選択し ます。

2 FortiAnalyzer の青色の矢印を選択し て、 オプシ ョ ンを展開し ます。

3 青色の矢印を選択し て、 FortiAnalyzer のオプシ ョ ンを展開し ます。

4 [Test Connectivity] を選択し ます。

注記 : 自動発見機能が適切に動作するよ う にするには、 FortiAnalyzer ユニ ッ ト でこの機能を有効にする必要があり ます。 自動発見機能は、 デフ ォル ト で無効に設定されています。この機能を使用するには、 FortiAnalyzer ユニ ッ ト に FortiAnalyzer 3.0 フ ァームウェ アが搭載されている必要があり ます。

注記 : FortiGate ユニ ッ ト が ト ラ ンスペアレン ト モー ドの場合、 自動発見機能が設定されたイン タ フ ェースでは ト ラ フ ィ ッ クは伝送されません。 自動発見機能を使用しつつ ト ラフ ィ ッ クの伝送も行えるよ う にイ ン タ フ ェースを設定するには、 Fortinet Knowledge Center の記事 『Fortinet Discovery Protocol in Transparent mode ( ト ラ ンスペアレン ト モード での Fortinet Discovery Protocol)』 を参照し て く だ さい。

注記 : ユニ ッ ト 間の接続をテス ト する前に、 FortiGate ユニ ッ ト が FortiAnalyzer ユニ ッ トの IP ア ド レスを学習し ている こ と を確認し て く だ さ い。 FortiGate ユニ ッ ト がFortiAnalyzer ユニ ッ ト の IP ア ド レスを学習する前に [Test Connectivity] を選択する と、誤ってテス ト レポー ト が失敗と なる場合があ り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 435

436

ログの保存 ログおよびレポート

図 277: FortiAnalyzer との接続テスト

FortiGate ユニ ッ ト と FortiAnalyzer ユニ ッ ト 間の接続ステータ スは、 次の CLI コマン ド を使用し てテス ト する こ と も可能です。

get system fortianalyzer-connectivity status

このコ マン ド を実行する と、 デ ィ スクのステータ ス、 および使用量がパーセンテージで表示されます。 詳細については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

メモリへのロギング

FortiGate のシステム メ モ リ には、 ログ メ ッ セージに対する限定的な容量が用意されています。 この場合、 新のログ エン ト リが表示されます。 ト ラ フ ィ ッ クおよびコ ンテンツ ログはサイズが大き く 、 エン ト リ も頻繁であるため、FortiGate ユニ ッ ト は、 これらのログを メ モ リ には保存し ません。 メ モ リ に空きがな く なる と、 FortiGate ユニ ッ ト は も古い メ ッ セージから上書き し ていきます。 FortiGate ユニ ッ ト が再起動する と、 ログ エン ト リはすべて消去されます。

FortiAnalyzer(Hostname)

FortiAnalyzer ユニ ッ ト の名前。 FortiAnalyzer ユニ ッ ト のデフ ォル ト の名前は、 た と えば FortiAnalyzer-400 のよ う に、 その製品名と な り ます。

FortiGate(Device ID)

FortiGate ユニ ッ ト のシ リ アル番号。

Registration Status

FortiGate ユニ ッ ト の登録ステータ ス。

Connection Status

FortiGate と FortiAnalyzer の両ユニ ッ ト 間の接続ステータ ス。 チ ェ ッ クマークは接続が存在する こ と を、 X は接続が存在し ないこ と を、 それぞれ表し ます。

Disk Space Allocated Space

ログ用に指定された領域の量。

Used Space 使用済みの領域の量。

Total Free Space

未使用の領域の量。

Privileges ログおよびレポー ト を送信し た り表示し た りするためのデバイスの許可を表示し ます。

• Tx は、FortiGate ユニ ッ ト が FortiAnalyzer ユニ ッ ト にログ パケ ッ ト を送信するよ う設定されている こ と を示し ます。

• Rx は、 FortiAnalyzer ユニ ッ ト に保存されたレポー ト およびログをFortiGate ユニ ッ ト で表示できる こ と を示し ます。

チ ェ ッ ク マークは、 ログ情報およびレポー ト を送信または表示する許可が FortiGate ユニ ッ ト に与えられている こ と を示し ます。 X は、 ログ情報を送信または表示する こ とが FortiGate ユニ ッ ト に許可されていないこ とを示し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログの保存

メモリにログを保存するよう FortiGate ユニットを設定するには

1 [Log&Report]、[Log Config]、[Log Setting] の順に選択し ます。

2 [Memory] を選択し ます。

3 青色の矢印を選択し て、 [Memory] のオプシ ョ ンを展開し ます。

4 重大度を選択し ます。

FortiGate ユニ ッ ト は、 選択されたロギング重大度以上のすべてのメ ッ セージをログ記録し ます。 ロギング レベルの詳細については、 433 ページの表 44 「ログの重大度」 を参照し て く だ さい。

Syslog サーバへのロギング

Syslog とは、Syslog サーバと し て動作する リ モー ト コ ンピ ュータ です。Syslog は、ネ ッ ト ワーク デバイスが提供するログ情報の収集に使用される業界標準です。

図 278: Syslog サーバへのロギング

Syslog サーバにログを送信するよう FortiGate ユニットを設定するには

1 [Log&Report]、[Log Config]、[Log Setting] の順に選択し ます。

2 [Syslog] を選択し ます。

3 青色の矢印を選択し て、 Syslog のオプシ ョ ンを展開し ます。

4 以下の Syslog オプシ ョ ンを設定し、 [Apply] を選択し ます。

注記 : 使用する FortiGate ユニ ッ ト にハー ド デ ィ スクが装備されている場合は、 CLI を使用し て、 FortiGate のハー ド デ ィ スクへのロギングを有効にし て く だ さい。 FortiGate ハード デ ィ スクへのロギングを有効にする前に、 『FortiGate CLI リ フ ァ レンス』 を参照し て くだ さい。

[Name/IP] Syslog サーバのド メ イ ン名または IP ア ド レス。

[Port] Syslog サーバとの通信で使用するポー ト 番号。 通常はポー ト 514 です。

[Level] FortiGate ユニ ッ ト は、 選択されたロギング重大度以上のすべてのメ ッ セージをログ記録し ます。 ロギング レベルの詳細については、433 ページの表 44 「ログの重大度」 を参照し て く だ さい。

[Facility] [Facility] は、 ログ メ ッ セージの送信元を Syslog サーバに示し ます。FortiGate は、 デフ ォル ト で local7 と し て [Facility] にレポー ト し ます。 [Facility] を変更し て、 別の FortiGate ユニ ッ ト からのログ メ ッセージを識別する こ とができます。

[Enable CSV Format] CSV形式を有効にする と、FortiGateユニ ッ ト はCSV (Comma SeparatedValue) 形式で ログ を生成 し ます。 CSV 形式を有効に し ない場合、FortiGate ユニ ッ ト はプレーン テキス ト フ ァ イルを生成し ます。

注記 : Syslog サーバが複数設定されている場合は、 [Log Settings] ページに Syslog サーバと それらの設定が表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 437

438

ログの保存 ログおよびレポート

WebTrends へのロギング

WebTrends とは、 NetIQ WebTrends フ ァ イアウォール レポーテ ィ ング サーバと して動作する リ モー ト コ ンピ ュータ です。 FortiGate のログ フ ォーマ ッ ト は、WebTrends Enhanced Log Format (WELF) に準拠し てお り、 NetIQ WebTrends Security Reporting Center and Firewall Suite 4.1 と互換性があ り ます。

ログ メ ッ セージを WebTrends に送信するよ う FortiGate ユニ ッ ト を設定するには、 コ マン ド ラ イン イン タ フ ェースを使用し ます。 CLI にログイ ン し た後、 次のコ マン ド を入力し ます。

config log webtrends settingset server <address_ipv4>set status {disable | enable}

end

例

次の例は、 WebTrends サーバへのロギングを有効に し、 そのサーバの IP ア ド レスを設定する方法です。

config log webtrends settingset status enableset server 220.210.200.190

end

WebTrends に送信されるログの種類のオプシ ョ ン設定の詳細については、『FortiGate CLI リ フ ァ レンス』 の章 「ログ」 を参照し て く だ さい。

FortiGuard ログおよび分析サーバへのロギング

FortiGuard ログおよび分析サービスのサブスク ラ イブを登録すれば、 FortiGuard ログおよび分析サーバへのロギングを有効にできます。

FortiGuard ログおよび分析サーバへのロギングを有効にするには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 青色の矢印を選択し て、 [Log & Analysis] のオプシ ョ ンを展開し ます。

3 文中の [To configure FortiGuard Log & Analysis options, please click here.] (FortiGuard Log & Analysis のオプシ ョ ンを設定するには、 こ こ を ク リ ッ ク し て くだ さい。 ) とい う リ ン ク を選択し ます。

[Log&Report]、[Log Config]、[Log Setting] の順に選択し て表示される画面に リダイ レ ク ト されます。

4 青色の矢印を選択し て、 [FortiGuard Log & Analysis] のオプシ ョ ンを展開し ます。

5 [Log Setting] ページの [FortiGuard Log & Analysis] チェックボックスをオンにします。

キーワードと変数 説明 デフォルト

server <address_ipv4> ログを保存する WebTrends サーバの IP アド レスを入力し ます。

デフ ォル トな し。

status{disable | enable}

WebTrends サーバへのロギングを有効にするには、 enable と入力し ます。

disable

注記 : FortiGuard ログおよび分析サーバへのロギングを行う には、 FortiGate ユニ ッ ト に有効なラ イセンスが必要と な り ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート 高可用性クラスタ ロギング

6 [When Log disk is full] ド ロ ッ プダウン リ ス ト から、 [overwrite] または [stop logging] のいずれかをオンにし ます。

7 [Minimum severity level] ドロップダウン リストから も低い重大度を選択します。

8 [Apply] を選択し ます。

ロ ギ ン グ を 有効に し た ら、 [FortiGuard Center] ペー ジ の [Antivirus and IPSDownloads options] にある [Update Now] を選択し て、 接続を確認する こ と をお勧めし ます。 [Update Now] の選択が機能し ない場合は、 FortiGate ユニ ッ ト を再起動する こ と も できます。

[System]、[Maintenance]、[FortiGuard Center] の順に選択する と、 FortiGuardログおよび分析サーバへの接続を表示できます。 [System Resource] カテゴ リ では、 FortiGuard ログおよび分析サーバの使用済み領域のパーセンテージが円グラフで示されます。 また、 [Log Settings] ページの [FortiGuard Log & Analysis options] を展開する と、 使用済みの領域と未使用の領域の量を表示できます。

高可用性クラスタ ロギング

高可用性 (HA) ク ラ ス タ でのロギングを設定する場合は、 FortiAnalyzer ユニ ッ トまたは Syslog サーバにログを送信するよ う プ ラ イマ リ ユニ ッ ト を設定し ます。この設定は、 下位ユニ ッ ト に適用されます。 下位ユニ ッ ト はプ ラ イマ リ ユニ ット にログ メ ッ セージを送信し、 プ ラ イマ リ ユニ ッ ト は FortiAnalyzer ユニ ッ ト または Syslog サーバにすべてのログを送信し ます。

FortiAnalyzer ユニ ッ ト と HA ク ラス タ間に IPSec VPN ト ンネルによるセキュアな接続を設定し た場合、 その接続は、 FortiAnalyzer ユニ ッ ト と HA ク ラス タのプ ライマ リ ユニ ッ ト 間の接続と な り ます。

詳細については、 『FortiGate 高可用性ユーザ ガイ ド 』 を参照し て く だ さい。

ログの種類

FortiGate ユニ ッ ト には、 ネ ッ ト ワーク を監視するための幅広いロギング オプシ ョ ンがあ り ます。 この項では、 ログの各種類と、 ログを有効にする方法について説明し ます。

注記 : VDOM が有効な場合は、 現在属し ている VDOM にア クセス し て HA ク ラス タ ロギングが行える こ と を確認し て く だ さい。 VDOM の設定によ っては、 ある特定の FortiGateの機能にしかア クセスできない場合があり ます。

注記 : ログを記録する前に、 ログ フ ァ イルを保存するデバイスを設定し て く だ さい。 詳細については、 433 ページの 「ログの保存」 を参照し て く だ さ い。

注記 : VDOM が有効な場合は、 現在属し ている VDOM にア クセス し て FortiGate 機能のロギングを有効にできる こ と を確認し て く だ さい。 VDOM によ っては、 ある特定のFortiGate の機能にしかアクセスできません。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 439

440

ログの種類 ログおよびレポート

トラフィック ログ

ト ラ フ ィ ッ ク ログは、 FortiGate イ ン タ フ ェースへの ト ラ フ ィ ッ ク、 およびイ ンタ フ ェースを通過するすべての ト ラ フ ィ ッ ク を記録し ます。 フ ァ イアウォール ポ リ シーによ って制御される ト ラ フ ィ ッ クのロギング、 および任意の送信元ア ドレス と宛先ア ド レス間の ト ラ フ ィ ッ クのロギングを設定できます。 次のフ ィ ルタを適用できます。

トラフィック ロギングの有効化

ト ラ フ ィ ッ ク ロギングでは、 イン タ フ ェ ースまたは VLAN サブ イ ン タ フ ェースで送受信されるすべての ト ラ フ ィ ッ クが記録されます。 ト ラ フ ィ ッ ク ログを記録するには、 ロギングの重大度を [Notification] 以下に設定する必要があ り ます。

インタフェースまたは VLAN サブインタフェースのトラフィック ロギングを有効にするには

1 [System]、 [Network]、 [Interface] の順に選択し ます。

2 イ ン タ フ ェースの編集アイ コ ンを選択し ます。

3 [Log] を選択し ます。

4 [OK] を選択し ます。

ファイアウォール ポリシー トラフィック ロギングの有効化

フ ァ イアウォール ポ リ シー ト ラ フ ィ ッ ク ロギングは、 プロテ クシ ョ ン プロフ ァ イルに基づいて、 フ ァ イアウォール ポ リ シーで許可された ト ラ フ ィ ッ ク と拒否された ト ラ フ ィ ッ クの両方を記録し ます。

ファイアウォール ポリシー トラフィック ロギングを有効にするには

1 [Firewall]、 [Policy] の順に選択し ます。

2 青色の矢印を選択し て、 ポ リ シーのポ リ シー リ ス ト を展開し ます。

3 編集アイ コ ンを ク リ ッ ク し ます。

必要に応じて、 [Create] を選択して新しいファイアウォール ポリシーを作成します。

4 [Log Allowed Traffic] を選択し ます。

5 [OK] を選択し ます。

イベント ログ

イベン ト ログは、 管理イベン ト およびアク テ ィ ビテ ィ イベン ト を記録し ます。た と えば、 設定が変更された り、 VPN および高可用性 (HA) イベン ト が発生し たり し た場合です。

許可トラフィック FortiGate ユニ ッ ト は、 フ ァ イアウォール ポ リ シーの設定に従って許可されたすべての ト ラ フ ィ ッ ク を記録し ます。

違反トラフィック FortiGate ユニ ッ ト は、 フ ァ イアウォール ポ リ シーの設定に違反するすべての ト ラ フ ィ ッ ク を記録し ます。

注記 : ロギング場所を設定し て ト ラ フ ィ ッ ク ログのメ ッ セージを記録する場合は、 ロギングの重大度を [Notification] に設定する必要があり ます。 ト ラ フ ィ ッ ク ログのメ ッ セージは一般に、 重大度が [Notification] よ り高 く なる こ とはあ り ません。 VDOM が有効な場合は、 現在属し ている VDOM にアクセス し て ト ラ フ ィ ッ ク ログを有効にできる こ と を確認し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログの種類

イベント ログを有効にするには

1 [Log&Report]、[Log Config]、[Event Log] の順に選択し ます。

2 次のログから選択し ます。

3 [Apply] を選択し ます。

アンチウイルス ログ

アンチウイルス ログは、 Web、 FTP、 および電子メ ール ト ラ フ ィ ッ クにおけるウイルス イ ンシデン ト を記録し ます。 た と えば、 FortiGate ユニ ッ ト が感染フ ァイルを検知し た り、 ある種類のフ ァ イルをブロ ッ ク し た り、 あるいはサイズの大きいフ ァ イルやログ記録された電子メ ールをブロ ッ ク し た り する と、 アンチウイルスのログが記録されます。 次のフ ィ ルタ を適用できます。

アンチウイルス ログを有効にするには

1 [Firewall]、 [Protection Profile] の順に選択し ます。

[System Activity event]

FortiGate ユニ ッ ト は、 ping サーバの障害やゲー ト ウェ イのステータ スなど、 システム関連のすべてのイベン ト を記録し ます。

[IPSec negotiation event]

FortiGate ユニ ッ ト は、 進捗レポー ト やエラー レポー ト など、 すべての IPSec ネゴシエーシ ョ ン イベン ト を記録し ます。

[DHCP service event]

FortiGate ユニ ッ ト は、 要求および応答ログなど、 すべての DHCPイベン ト を記録し ます。

[L2TP/PPTP/PPPoE service event]

FortiGate ユニ ッ ト は、 マネージャやソケ ッ ト 作成プロセスなど、プロ ト コル関連のすべてのイベン ト を記録し ます。

[Admin event] FortiGate ユニ ッ ト は、 ユーザ ログイ ン、 リ セ ッ ト 、 設定更新など、 すべての管理イベン ト を記録し ます。

[HA activity event] FortiGate ユニ ッ ト は、 リ ン ク、 メ ンバ、 ステータ ス情報など、 すべての高可用性イベン ト を記録し ます。

[Firewall authentication event]

FortiGate ユニ ッ ト は、 ユーザ認証など、 フ ァ イアウォール関連のすべてのイベン ト を記録し ます。

[Pattern update event]

FortiGate ユニ ッ ト は、 アンチウイルスや IPS パターンの更新、 更新の失敗など、 すべてのパターン更新イベン ト を記録し ます。

[SSL VPN user authentication event]

FortiGate ユニ ッ ト は、 ログイ ン、 ログアウ ト 、 活動停止による タイムアウ ト など、 SSL VPN 接続のすべてのユーザ認証イベン ト を記録し ます。

[SSL VPN administrator event]

FortiGate ユニ ッ ト は、 SSL 設定や CA 証明書のロー ド および削除など、SSL VPN に関連し たすべての管理者イベン ト を記録し ます。

[SSL VPN session event]

FortiGate ユニ ッ ト は、 アプ リ ケーシ ョ ンの起動と ブロ ッ ク、 タ イムアウ ト 、 確認など、 すべてのセ ッ シ ョ ン活動を記録し ます。

[Viruses] FortiGate ユニ ッ ト は、 ウイルスの感染をすべて記録し ます。

[Blocked Files] FortiGate ユニ ッ ト は、 ブロ ッ ク されたフ ァ イルのすべてのイ ンスタ ンスを記録し ます。

[Oversized Files/Emails]

FortiGate ユニ ッ ト は、 定義された し きい値を超える フ ァ イルおよび電子メール メ ッ セージのすべてのインス タ ンスを記録し ます。

[AV Monitor] FortiGate ユニ ッ ト は、 ウイルス、 ブロ ッ ク されたフ ァ イル、 およびサイズ超過のフ ァ イルおよび電子メ ールのすべてのインス タ ンスを記録し ます。 これは、 HTTP、 FTP、 IMAP、 POP3、 SMTP、 および IM の ト ラ フ ィ ッ クに適用されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 441

442

ログの種類 ログおよびレポート

2 アンチウイルスのイベン ト のロギングを有効にするには、 プロテク シ ョ ン プロフ ァ イルの隣にある編集アイ コ ンを選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 ログを作成するアンチウイルスのイベン ト を選択し ます。

5 [OK] を選択し ます。

Web フィルタ ログ

Web フ ィ ルタ ログは、 Web コ ンテンツのブロ ッ ク処理など、 HTTPFortiGuard ログ レーテ ィ ング エ ラーを記録し ます。

Web フィルタ ログを有効にするには

1 [Firewall]、 [Protection Profile] の順に選択し ます。

2 プロテ クシ ョ ン プロ フ ァ イルの編集を選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 ログを作成する Web フ ィ ルタ リ ング イベン ト を選択し ます。

5 FortiGuard のフ ィ ルタ リ ングを記録するには、 [FortiGuard Web Filtering Log rating errors (HTTP only)] を選択し ます。

6 [OK] を選択し ます。

攻撃ログ

攻撃ログは、 FortiGate ユニ ッ ト で検知および防御された攻撃を記録し ます。FortiGate ユニ ッ ト は、 次のログを作成し ます。

攻撃ログを有効にするには

1 [Firewall]、 [Protection Profile] の順に選択し ます。

2 プロテ クシ ョ ン プロ フ ァ イルの編集を選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 [Log Intrusions] を選択し ます。

5 [OK] を選択し ます。

攻撃シグネチャ FortiGate ユニ ッ ト は、 攻撃シグネチャに基づいて検知および防御されたすべての攻撃と、 FortiGate ユニ ッ ト によ って講じ られた処置を記録し ます。

攻撃アノマリ FortiGate ユニ ッ ト は、 未知または不審な ト ラ フ ィ ッ ク パターンに基づいて検知および防御されたすべての攻撃と、 FortiGate ユニ ット によ って講じ られた処置を記録し ます。

注記 : 攻撃を記録するために攻撃シグネチャ と攻撃ア ノ マ リの設定が有効になっている こと を確認し て く だ さい。 FortiGate ユニ ッ ト に含まれるシグネチャのロギング オプシ ョ ンは、 デフ ォル ト で設定されています。 また、 すべてのカス タム シグネチャ も ロギング オプシ ョ ンが有効になっ ている こ と を確認し て く だ さい。 詳細については、 371 ページの「不正侵入防御」 を参照し て く ださ い。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログの種類

スパム フィルタ ログ

スパム フ ィ ルタ ログは、 SMTP、 IMAP、 POP3 ト ラ フ ィ ッ ク内の電子メ ールのア ド レス パターンおよびコ ンテンツのブロ ッ ク を記録し ます。

スパム ログを有効にするには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 プロテ クシ ョ ン プロ フ ァ イルの編集を選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 [Log Spam] を選択し ます。

5 [OK] を選択し ます。

IM および P2P ログ

イ ンス タ ン ト メ ッ セージ (IM) およびピアツーピア (P2P) ログは、 インス タ ン ト メ ッ セージのテキス ト およびオーデ ィ オ通信、 ユーザが試みたフ ァ イル転送、 送信が試みられた時刻、 使用された IM アプ リ ケーシ ョ ンの種類、 および送信内容を記録し ます。

IM および P2P ログを有効にするには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 プロテ クシ ョ ン プロ フ ァ イルの編集アイ コ ンを選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 [Log IM Activity] を選択し ます。

5 [Log P2P Activity] を選択し ます。

6 [OK] を選択し ます。

VoIP ログ

現在では、 VoIP (Voice over Internet Protocol) 通話のログを記録できます。 また、SIP (Session Initiated Protocol)、 SCCP (Skinny Client Control Protocol)、 またはSkinny プロ ト コルの VoIP 帯域制限も設定できます。 SIP と SCCP は、 2 種類のVoIP プロ ト コルです。 帯域制限は、 一般に SCCP と SIP で異な り ます。 SIP では、 帯域制限は FortiGate ユニ ッ ト を通過する SIP ト ラ フ ィ ッ クについて適用されます。 SCCP では、 コール マネージャは通常、 ク ラ イアン ト から見てFortiGate ユニ ッ ト の反対側に存在するため、 コール セ ッ ト ア ッ プ レー ト はFortiGate ユニ ッ ト と ク ラ イアン ト 間のものと な り ます。

VoIP ログを有効にするには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 プロテ クシ ョ ン プロ フ ァ イルの編集アイ コ ンを選択し ます。

3 青色の矢印を選択し て、 [Logging] のオプシ ョ ンを展開し ます。

4 [Log VoIP Activity] を選択し ます。

5 [OK] を選択し ます。

VoIP の動作を設定するには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 プロテ クシ ョ ン プロ フ ァ イルの編集アイ コ ンを選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 443

444

ログ アクセス ログおよびレポート

3 青色の矢印を選択し て、 [VoIP] のオプシ ョ ンを展開し ます。

4 [SIP] と [SCCP] のチ ェ ッ クボ ッ クスをオンにし ます。

5 [Limit REGISTER request (requests/sec) (SIP only)] フ ィ ール ド に 1 秒あた りの要求数を入力し ます。

6 [Limit INVITE request (requests/sec) (SIP only)] フ ィ ール ド に 1 秒あた りの要求数を入力し ます。

7 [Limit Call Setup (calls/min) (SCCP only)] フ ィ ールド に 1 分あた りの 大通話数を入力し ます。

8 [OK] を選択し ます。

ログ アクセス

FortiGate ユニ ッ ト では、 メ モ リやハー ド デ ィ スクに保存されたログ、 あるいはFortiAnalyzer 3.0 が動作する FortiAnalyzer ユニ ッ ト に保存されたログを表示できます。 また、 FortiGate ユニ ッ ト では、 FortiGuard ログおよび分析サーバに保存されたログの表示も可能です。

ログには [Log Access] メ ニューからア クセス し ます。 [Log Access] メ ニューには、 メ モ リ、 ハー ド デ ィ スク、 FortiAnalyzer ユニ ッ ト 、 FortiGuard ログおよび分析サーバの各タ ブがあ り ます。 各タ ブには、 表示するログの種類の選択を含めて、 検索やフ ィ ルタ リ ング オプシ ョ ンなどのログ メ ッ セージを表示するオプシ ョ ンがあ り ます。

メモリに保存されたログ メッセージへのアクセス

FortiGate のシステム メ モ リ に保存されたログには、 [Log Access] ページからアクセスできます。 ト ラ フ ィ ッ ク ログは、 記録するには大きな領域が必要になるため、 メ モ リ には保存されません。

FortiGate のメモリ バッファ内のログ メッセージを表示するには

1 [Log&Report]、[Log Access] の順に選択し ます。

2 [Memory] タ ブを選択し ます。

3 [Log Type] リ ス ト から ログの種類を選択し ます。

ハード ディスクに保存されたログ メッセージへのアクセス

FortiGate ユニ ッ ト にハー ド デ ィ スクが搭載されている場合、 それに保存されたログにアクセスできます。 このログには、 FortiAnalyzer ユニ ッ ト に保存されたログにアクセスするのと同様の方法でアクセスできます。 ハー ド デ ィ スクに保存されたログは、 表示、 ナビゲー ト 、 およびダウンロー ド できます。

注記 : FortiGate ユニットが FortiAnalyzer ユニット上のログを表示できるようにするには、FortiAnalyzer ユニットがバージョン 3.0 以上のファームウェアで動作している必要があります。

注記 : VDOM が有効になっ ている場合、 現在属し ている VDOM において、 システム メ モリ、 ハー ド デ ィ スク、 FortiAnalyzer ユニ ッ ト 、 または FortiGuard ログおよび分析サーバに保存された FortiGate のログへのア クセスが可能である こ と を確認し て く ださ い。 VDOMによ っ ては、 ある特定の FortiGate の機能にしかア クセスできない場合があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログ アクセス

ハード ディスク上のログ ファイルにアクセスするには

1 [Log & Report]、[Log Access] の順に選択し ます。

2 [Disk] タ ブを選択し ます。

3 [Log Type] リ ス ト から ログの種類を選択し ます。

図 279: FortiGate のハード ディスクに保存されたログ ファイルの表示

FortiAnalyzer ユニットに保存されたログへのアクセス

FortiAnalyzer ユニ ッ ト に保存されたログは、 表示およびナビゲー ト する こ とができます。 ログ フ ァ イルを FortiAnalyzer ユニ ッ ト に送信するよ う FortiGate ユニ ット を設定する方法については、 434 ページの 「FortiAnalyzer ユニ ッ ト へのロギング」 を参照し て く だ さい。

FortiAnalyzer ユニット上のログ ファイルにアクセスするには

1 [Log&Report]、[Log Access] の順に選択し ます。

2 [FortiAnalyzer] タ ブを選択し ます。

3 [Log Type] リ ス ト から ログの種類を選択し ます。

[Log Type] 表示するログの種類を選択します。 トラフィック ログなど、 記録される情報の量が多いためにメモリに保存できないログ ファイルがあります。

[File name] FortiGate のハー ド デ ィ スクに保存された、 その種類のログ フ ァ イルの名前。ログ フ ァ イルのサイズが上限に達する と、 FortiAnalyzer ユニ ッ ト は増分番号を付けてそのフ ァ イルを保存し、 同じ フ ァ イル名の新しいログ フ ァ イルの使用を開始し ます。 た と えば、 現行の攻撃ログが alog.logである と し ます。 以後、 保存されるログは alog.n で表されます。 n は順次作成されるログの番号です。

[Size] バイ ト 単位のログ フ ァ イルのサイズ。

[Last accesstime]

ログ メ ッ セージのパケ ッ ト が FortiGate ユニ ッ ト によ って 後に送信された曜日、 月、 日、 時間、 および年。

クリア ログ アイコン

現在のログ フ ァ イルを消去する場合に選択し ます。 ク リ ア ログ アイコ ンを選択し ても、 削除されるのはそのログ フ ァ イルの現在のログ メ ッ セージに限られます。 ログ フ ァ イルは削除されません。

ダウンロード アイコン

ログ ファイルまたは順次作成されたログ ファイルをダウンロードする場合に選択します。 通常形式リンクのダウンロード ファイル、 または CSV 形式リンクのダウンロード ファイルのいずれかを選択します。 [Disk] タブ ページに戻るには、 リターン リンクを選択します。 ログ ファイルのダウンロードに含まれるのは、 現在のログ メッセージのみです。

表示アイコン Web ベース マネージャ を通じ てログ フ ァ イルを表示し ます。

削除アイコン 順次作成されたログを削除する場合に選択し ます。 順次作成されたログ フ ァ イルは、 削除し て し ま う と読み出せな く なるため、 削除する前にダウンロー ド し てお く こ と をお勧めし ます。

ク リ アログ アイ コ ン

ダウンロー ドア イ コ ン

表示ア イ コ ン

削除ア イ コ ン

注記 : FortiGate ユニ ッ ト のログを表示するには、 FortiAnalyzer ユニ ッ ト がバージ ョ ン 3.0以上のフ ァームウェ アで動作し ている必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 445

446

ログ アクセス ログおよびレポート

図 280: FortiAnalyzer ユニットに保存されたログ ファイルの表示

FortiGuard ログおよび分析サーバ上のログへのアクセス

FortiGuard ログおよび分析サーバのログには、 [Log Access] ページからアクセスできます。 [Log Access] ページには [FortiGuard] タ ブがあ り、 FortiGuard ログおよび分析サーバ上のすべてのログを表示できます。

FortiGuard ログおよび分析サーバ上のログにアクセスするには

1 [Log&Report]、[Log Access] の順に選択し ます。

2 [FortiGuard] タ ブを選択し ます。

3 [Log Type] リ ス ト から ログの種類を選択し ます。

ログ情報の表示

ログ ビ ューアは、 ログ メ ッ セージの情報を表示し ます。 表示される列には、 ログ フ ァ イル内の内容が反映されます。 [Log Access] ページの 上部には、 ログ メ ッ セージ内を移動し た り、 特定の情報を探し出し た り するのに役立つナビゲーシ ョ ン機能が装備されています。

[Log Type] 表示するログの種類を選択し ます。 ト ラ フ ィ ッ ク ログなど、 記録される情報の量が多いために メ モ リに保存できないログ フ ァ イルがあり ます。

前ページ ログ メ ッ セージの前のページを表示する場合に選択し ます。

次ページ ログ メ ッ セージの次のページを表示する場合に選択し ます。

[View per page] ページに表示するログ メ ッ セージ数を 30、 50、 100 から選択し ます。

[Line] 表示するログ メ ッ セージの番号を入力し ます。 た と えば 5 を入力する と、 5 番目のログ メ ッ セージ と それ以降のすべてのログ メ ッ セージが表示されます。

[Column Settings] 列を追加または削除する場合に選択し ます。 詳細については、 447ページの 「列の設定」 を参照し て く だ さい。

[Raw] フ ォーマ ッ ト されていない形式で現在のログ メ ッ セージを表示する場合に選択し ます。 FortiGate ユニ ッ ト はデフ ォル ト で、 フ ォーマ ット された形式でログ メ ッ セージを表示し ます。

[Clear All Filters] すべてのフ ィ ルタ設定を解除する場合に選択し ます。

前ページ

次ページ

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログ アクセス

図 281: ログ メッセージの表示

列の設定

列設定アイ コ ンを使用する と、 ログ メ ッ セージの表示を カス タ マイズおよびフ ィ ルタ リ ングできます。 列設定は、 フ ォーマ ッ ト された ( 未加工でない ) ログ メ ッ セージを表示する場合に適用されます。

前ページ アイコン ログ フ ァ イルの前のページを表示する場合に選択し ます。

次ページ アイコン ログ フ ァ イルの次のページを表示する場合に選択し ます。

[View per page] 各ページに表示されるログ メ ッ セージの数を選択し ます。

[Line] 表示する 初の行の行番号を入力し ます。 スラ ッ シ ュ ( 「/」 ) の後の数は、 ログ内の総行数です。

列設定アイコン 表示するログ情報列を追加または削除する場合に選択し ます。

[Raw] または [Formatted]

フ ォーマ ッ ト されていないログ メ ッ セージの表示に切り換えるには、[Raw] を選択し ます。 列に整理されたログ メ ッ セージの表示に切り換えるには、 [Formatted] を選択し ます。

[Clear All Filters] ログ フ ァ イルに適用されたフ ィ ルタ リ ングのオプシ ョ ンを解除する場合に選択し ます。

次ページ アイ コ ン

前ページ列設定アイ コ ン

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 447

448

ログ アクセス ログおよびレポート

図 282: ログ メッセージを表示するための列の設定

列をカスタマイズするには

1 [Log&Report]、[Log Access] の順に選択し ます。

2 [Memory]、 [FortiAnalyzer]、 または [FortiGuard] から、 ログを表示する タ ブを選択し ます。

3 [Log Type] リ ス ト から ログの種類を選択し ます。

4 FortiAnalyzer ユニ ッ ト でログ フ ァ イルを表示する場合は、 表示アイ コ ンを選択し ます。

5 列設定アイ コ ンを選択し ます。

6 列の名前を選択し、 次のいずれかを選択し て、 ログ情報の表示を変更し ます。

7 [OK] を選択し ます。

ログ メッセージのフィルタリング

ログの内容を フ ィ ルタ リ ングする こ と で、 サイズの大きいログ フ ァ イルまたは多数のログ メ ッ セージ内から特定の情報を探し出すこ とができます。 フ ィ ルタリ ングは、 ログ内の情報の各列に対し て詳細検索を実行し ます。

-> 選択し たフ ィ ールド を [Available fields] ( 使用可能なフ ィ ールド ) リ ス トから [Show these fields in this order] ( フ ィ ールド を この順番で表示 ) リス ト に移動させるには、 右向きの矢印を選択し ます。

<- 選択し たフ ィ ールド を [Show these fields in this order] リ ス ト から [Available fields] リ ス ト に移動させるには、 左向きの矢印を選択し ます。

[Move up] 選択し たフ ィ ールド を、 [Show these fields] リ ス ト 内で 1 つ上に移動させます。

[Move down] 選択し たフ ィ ールド を、 [Show these fields] リ ス ト 内で 1 つ下に移動させます。

uir

注記 : [Detailed Information] 列には未加工のログ エン ト リがすべて表示されますが、 他の列で入手不可能な情報がログに含まれている場合以外は必要あ り ません。 [VDOM] 列には、 ログが記録された VDOM が表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート ログ アクセス

図 283: ログ フィルタ

適用し たフ ィ ルタ設定は、 Web ベース マネージャにログイ ン し ている間、 有効と な り ます。 Web ベース マネージャから ログアウ ト する と、 ログ フ ィ ルタはリセ ッ ト されます。

ログ メッセージをフィルタリングするには

1 [Log&Report]、[Log Access] の順に選択し ます。

2 [Memory]、 [FortiAnalyzer]、 または [FortiGuard] から、 ログを表示する タ ブを選択し ます。

3 [Log Type] ド ロ ッ プダウン リ ス ト から ログの種類を選択し ます。

4 FortiAnalyzer ユニ ッ ト でログ フ ァ イルを表示する場合は、 表示アイ コ ンを選択し ます。

5 表示する行の番号を [Line] フ ィ ール ド に入力し ます。

入力し た行番号が、 それ以降のすべての行と と もに表示されます。

6 フ ォーマ ッ ト されていない形式ですべてのフ ァ イルを表示する場合は、 [Raw] を選択し ます。

ログ メ ッ セージは、 フ ォーマ ッ ト された タ イプであれば、 列設定アイ コ ンを使用し てフ ィ ルタ リ ングする こ とができます。 列設定アイ コ ンを使用する と、 ログのメ ッ セージだけを表示し た り、 た と えば日付、 時間、 送信元ポー ト 、 宛先ポート 、 ID など、 ログのい く つかの部分を表示し た り する こ とができます。 詳細については、 447 ページの 「列の設定」 を参照し て く だ さい。

FortiGuard ログおよび分析サーバに保存されたログの削除

FortiGuard ログおよび分析サーバに保存されたログは、削除および消去できます。削除または消去でき るのは、 1 ～ 24 か月前までのログです。 FortiGuard ログおよび分析サーバに保存 さ れ た ロ グ を 削除 ま た は消去す る こ の オ プ シ ョ ン は、FortiGuardログおよび分析サーバへのロギングが有効でなければ使用できません。

FortiGuard ログおよび分析サーバに保存されたログを削除するには

1 [System]、[Maintenance]、[FortiGuard Center] の順に選択し ます。

2 青色の矢印を選択し て、 [FortiGuard Log & Analysis] のオプシ ョ ンを展開し ます。

3 典 o purge logs older than [#] month(s) now, please click here ・ ([#] か月よ り古いログを消去するには、 こ こ を ク リ ッ ク し て く だ さい ) とい う センテンス内のド ロ ッ プダウン リ ス ト から、 数を選択し ます。

4 典 o purge logs older than [#] month(s) now, please click here ・ とい う センテンス内のリ ン ク を選択し ます。

次のよ う な メ ッ セージが表示されます。

Warning: This will erase log files from FortiGuard. Are you sure you want to continue?

列フ ィ ルタ 使用中のフ ィ ルタ

注記 : フ ィ ルタは、 フ ォーマ ッ ト されたビ ューでログの内容を表示する場合に限り使用できます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 449

450

コンテンツ アーカイブ ログおよびレポート

5 [OK] を選択し ます。

コンテンツ アーカイブ

[Content Archive] メ ニューによ り、 FortiAnalyzer ユニ ッ ト に保存されているアーカ イブ されたログを FortiGate Web ベース マネージャから表示する こ とが可能にな り ます。 [Content Archive] メ ニューには、 [HTTP]、 [FTP]、 [Email]、 [IM] という 4 つのタ ブがあ り、 アーカ イブ された各種類のログをそれぞれ表示できます。

コ ンテンツ アーカ イブを表示するには、 まず FortiGate ユニ ッ ト のこの機能を有効にする必要があ り ます。 コ ンテンツ アーカ イ ビングは、 プロテ クシ ョ ン プロフ ァ イルから有効にし ます。 プロテ ク シ ョ ン プロ フ ァ イルで コ ンテンツ アーカイ ビングを有効にする方法については、 287 ページの 「フ ァ イアウォール - プロテ ク シ ョ ン プロ フ ァ イル」 を参照し て く だ さい。

FortiGate ユニットでコンテンツ アーカイビングを有効にするには

1 [Firewall]、[Protection Profile] の順に選択し ます

2 プロテ クシ ョ ン プロ フ ァ イルの横にある編集アイ コ ンを選択し ます。

3 青色の三角形を選択し て、 [Content Archive] のオプシ ョ ンを展開し ます。

4 システム ダ ッ シュボー ドの [Display content meta-information] に必要なチ ェ ッ ク ボ ッ ク スをオンに し ます。

5 [Archive to FortiAnalyzer/FortiGuard] に、各ド ロ ッ プダウン リ ス ト から [None] ( なし )、 [Summary] ( 概要 )、 または [Full] ( 完全 ) を選択し ます。

6 必要に応じ て、 [Archive SPAMed email to FortiAnalyzer] のチ ェ ッ クボ ッ クスをオンに し ます。

7 [OK] を選択し ます。

FortiGuard ログおよび分析サーバにロギングを行 う場合、 [Archive toFortiAnalyzer/FortiGuard] のド ロ ッ プダウン リ ス ト では [None] または [Summary] しか選択できません。

注記 : ログ フ ァ イルは、 削除する前にすべてダウンロー ド し てお く こ と をお勧めし ます。

注記 : FortiGuard ログおよび分析サーバは、 サーバに保存されたログのコ ンテンツ概要のみを提供し ます。 現在属し ている VDOM において、 FortiGate ユニ ッ ト 上のコ ンテンツ アーカ イブ ログや、 FortiGuard ログおよび分析サーバのコ ンテンツ概要ログの表示にア クセスできる こ と を確認し て く だ さい。 VDOM の設定によ っては、 ある特定の FortiGate の機能にしかアクセスできません。

注記 : NNTP オプシ ョ ンは、 将来のリ リースでサポー ト される予定です。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート アラート メール

コンテンツ アーカイブを表示するには

1 [Log&Report]、[Content Archive] の順に選択し ます。

2 表示するアーカ イブ ログの種類のタ ブを選択し ます。

FortiGuard ログおよび分析サーバのコンテンツ概要ログを表示するには

1 [Log&Report]、[Content Archive] の順に選択し ます。

2 [Select Log Device] ド ロ ッ プダウン リ ス ト から FortiGuard を選択し ます。

3 表示する コ ンテンツ概要ログの種類のタ ブを選択し ます。

未加工形式でログを表示する必要がある場合は、 列設定アイ コ ンの隣にある [Raw] を選択し て く だ さい。 列設定アイ コ ンの詳細については、 447 ページの「列の設定」 を参照し て く だ さい。 FortiGuard ログおよび分析サーバにロギングを行 う場合は、 ログのコ ンテンツ概要のみ表示されます。 ログのコ ンテンツ概要はアーカ イブ されないため、 リ ン クは含まれません。

アラート メール

アラー ト メ ールの機能を通じ て、 FortiGate ユニ ッ ト はログ メ ッ セージのログを監視し、 記録された特定の活動またはイベン ト を電子メ ールで通知する こ とができます。 た と えば、 管理者のログイ ンおよびログアウ ト に関する通知が必要な場合、 管理者がログイ ンおよびログアウ ト するたびにアラー ト メ ールを送信するよ う に設定できます。

この機能では、 記録された重大度に基づ く ア ラー ト メ ールの送信も行われます。

注記 : VDOM が有効な場合は、 現在属し ている VDOM にア クセス し てアラー ト メ ールを設定できる こ と を確認し て く だ さい。 VDOM によ っては、 ある特定の FortiGate の機能にしかア クセスできない場合があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 451

452

アラート メール ログおよびレポート

図 284: アラート メール オプション

アラート メールの設定

アラー ト メ ールを設定する場合、DNS サーバを少な く と も 1 つ設定する必要があり ます。 FortiGate ユニ ッ ト は、 SMTP サーバ名を使用し て メ ール サーバに接続します。 またユニ ッ ト は、 DNS サーバ上で この名前を検索する必要があ り ます。

アラート メールを設定するには

1 [Log&Report]、[Log Config]、[Alert E-mail] の順に選択し ます。

2 以下のオプシ ョ ンを設定し、 [Apply] を選択し ます。

3 上記の手順で設定し た電子メ ール アカウン ト へのテス ト メ ッ セージを受信するには、 [Test Connectivity] を選択し ます。

4 下記のいずれか、 またはすべてに基づいて電子メ ール メ ッ セージを送信する必要がある場合は、 [Send alert email for the following] をオンに し ます。

[SMTP Server] SMTP 電子メ ール サーバの名前と ア ド レス。

[Email from] SMTP ユーザ名。

[Email To] アラー ト メ ール メ ッ セージの受信者を 3 名まで入力し ます。

[Authentication Enable]

SMTP 認証を有効にするには、[Authentication] の [Enable] チ ェ ッ ク ボ ッ クスをオンにし ます。

[SMTP user] SMTP サーバにログオン し て、 ア ラー ト メ ール メ ッ セージを送信するためのユーザ名を入力し ます。 この操作は、 SMTP 認証を有効にし た場合のみ行う必要があり ます。

[Password] SMTP サーバにログオン し て、 ア ラー ト メ ールを送信するためのパスワー ド を入力し ます。 この操作は、 SMTP 認証を選択にし た場合のみ行う必要があり ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート アラート メール

5 ログの重大度に基づいてアラー ト メ ールを送信する場合は、[Send an alert based on severity] をオンに し ます。

これによ り、 特定のログ レベルがログ内に現れるたびに、 FortiGate ユニ ッ ト でアラー ト メ ールが送信されるよ う にできます。

6 [Minimum severity level] リ ス ト では、 低の重大度を選択し て く だ さい。

7 [Apply] を選択し ます。

[Interval Time] アラー ト メ ールが受信者に送信されるまでの時間を分単位で入力し ます。

[Intrusion detected] 侵入検知に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[Virus detected] ウイルス検知に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[Web access blocked] アクセス された Web サイ ト のブロ ッ クに基づ く ア ラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[HA status changes] HA ステータ スの変化に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[Violation traffic detected]

FortiGate ユニ ッ ト が検知し た違反 ト ラ フ ィ ッ クに基づ く ア ラート メ ール メ ッ セージが必要な場合にオンにし ます。

[Firewall authentication device]

フ ァ イアウォール認証に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[SSL VPN login failure] 失敗に終わったすべての SSL VPN ログイ ンに基づ く ア ラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[Administrator login/logout]

管理者のログイ ンおよびログアウ ト に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[IPSec tunnel errors] IPSec ト ンネル設定のエラーの有無に基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[L2TP/PPTP/PPPoE errors]

L2TP、 PPTP、 または PPPoE で生じ たエ ラーに基づ く ア ラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[Configuration changes]

FortiGate の設定変更に基づいたア ラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

[FDS license expiry time] ( 日数 )

FDS ラ イセンスの有効期限を通知する日数を入力し ます。

[Disk usage] ( パーセント )

アラー ト メ ールが送信されるデ ィ スク使用率の値を入力し ます

[FortiGuard log disk quota]

FortiGuard Log & Analysis のログのデ ィ スク割り当てに基づいたアラー ト メ ール メ ッ セージが必要な場合にオンにし ます。

注記 : 低の重大度は、 デフ ォル ト で [Alert] です。 一定の期間内に複数のメ ッ セージを収集し た場合、 FortiGate ユニ ッ ト はメ ッ セージを結合し、 1 通のア ラー ト メ ールを送信し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 453

454

レポート ログおよびレポート

レポート

FortiAnalyzer のレポーテ ィ ング機能は、 FortiGate ユニ ッ ト との統合が強化されています。 [Log&Report] メ ニューから、 シンプルな FortiAnalyzer レポー ト の設定、レポー ト の表示、およびレポー ト の印刷を行 う こ とができます。また、FortiAnalyzerユニ ッ ト に保存されたコ ンテンツ アーカ イブ ログを表示する こ と も できます。

[Log&Report] メ ニューからは、 基本 ト ラ フ ィ ッ ク レポー ト を設定できます。 基本 ト ラ フ ィ ッ ク レポー ト は、 FortiGate のメ モ リ に保存されたログ情報を使用して、 基本的な ト ラ フ ィ ッ クの情報を図示し ます。

基本トラフィック レポート

FortiGate ユニ ッ ト は、 収集されたログ情報を用いてそれを図示し、 多数のサービスのネ ッ ト ワーク使用状況を表示し ます。 チャー ト には、 サービス ト ラフ ィ ッ クに使用されるバイ ト 数が示されます。

ログは、[Log&Report]、[Report Access]、[Memory] の順に選択し て表示できます。

図 285: サービスごとの帯域幅を示すグラフの表示

注記 : VDOM が有効な場合は、 現在属し ている VDOM にアクセス し てレポー ト の設定、表示、 編集、 印刷のいずれかまたはすべてが行える こ と を確認し て く だ さい。 VDOM によ っ ては、 ある特定の FortiGate の機能にしかア クセスできない場合があり ます。

注記 : グラ フの作成に使用されるデータは、 メ モ リ に保存されます。 FortiGate ユニ ッ トがリ セ ッ ト または再起動される と、 データは消去されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート レポート

レポー ト はリ アルタ イムでは更新されません。 [Memory] タ ブを選択する と、 レポー ト を更新できます。

グラフ表示の設定

FortiGate の基本 ト ラ フ ィ ッ ク レポー ト には、 監視可能な幅広いサービスが含まれています。 た と えば、 直近の 3 日間の電子メ ール サービスのみを表示する ことができます。

グラフの情報を変更するには

1 [Log&Report]、[Report Access]、[Memory] の順に選択し ます。

2 [Time Priod] リ ス ト からグラ フに含める期間を選択し ます。

3 グラ フに含めないサービスは選択を解除し ます。 サービスは、 デフ ォル ト ですべて選択されます。

4 [Apply] を選択し ます。

グラ フは、 上記の手順で指定し た内容で更新され、 表示されます。 [Top Protocols Ordered by Total Volume] ( 総量順の上位プロ ト コル ) のグラ フは変わりません。

FortiAnalyzer レポート

簡潔な FortiAnalyzer レポー ト は、 Web ベース マネージャ または CLI で FortiGateのログから設定できます。 CLI イン タ フ ェ ースを用いてレポー ト を設定する方法については、 『FortiGate CLI リ フ ァ レンス』 を参照し て く だ さい。

[Time Period] グラ フ分析のために表示する時間範囲を選択し ます。 1 日、 3 日、 1 週間、 または 1 か月から選択できます。 デフ ォル ト は 1 日です。 ブ ラウザの表示を更新し た り、 別のメ ニューに移動し た りする と、 設定はデフ ォル ト に戻り ます。

サービス サービスは、 デフ ォル ト ですべて選択されています。 ブ ラウザの表示を更新し た り、 別のメ ニューに移動し た りする と、 すべてのサービスはデフ ォル ト の設定に戻り ます。 グラ フ分析に含めないサービスは、選択を解除し て く だ さい。

• Browsing ( 閲覧 )

• DNS

• Email ( 電子メ ール )

• FTP

• Gaming ( ゲーム )

• Instant Messaging (イ ンス タ ン ト メ ッセージング )

• Newsgroups (ニュースグループ )

• P2P

• Streaming ( ス ト リー ミ ング )

• TFTP

• VoIP

• Generic TCP ( 標準 TCP)

• Generic UDP ( 標準 UDP)

• Generic ICMP ( 標準 ICMP)

• Generic IP ( 標準 IP)

注記 : よ り具体的で詳細なレポー ト が必要な場合は、 FortiAnalyzer Web ベース マネージ ャまたは CLI から レポー ト を設定し て く だ さい。 簡潔な FortiAnalyzer レポー ト が必要な場合は、 456 ページの 「FortiAnalyzer レポー ト の設定」 を参照し て く ださ い。FortiAnalyzer ユニ ッ ト は 140 種以上のさ まざまなレポー ト を生成する こ とができます。FortiGate ユニ ッ ト よ り も多 く のオプシ ョ ンが用意されています。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 455

456

レポート ログおよびレポート

レポー ト プロ フ ァ イルを さ らに追加および設定する方法については、『FortiAnalyzer 管理ガイ ド 』 を参照し て く ださい。

FortiAnalyzer レポートの設定

FortiAnalyzer レポー ト は、 [Report Config] メ ニューから設定できます。 また、[Report Config] メ ニューには、 複数の FortiAnalyzer レポー ト の設定を可能にするCLI コ マン ド、 multi-report も含まれています。 multi-report コ マン ドは、 デフ ォル ト で無効に設定されています。

[Report Config] メ ニューでは、 デフ ォル ト でデフ ォル ト の FortiAnalyzer レポー ト以外使用できません。 デフ ォル ト の FortiAnalyzer レポー ト は、 FortiAnalyzer ユニ ッ ト で自動的に設定され、 各々の FortiGate ユニ ッ ト に特化し たものと な り ます。 また、 レポー ト には、 た と えば Default_100281021024 のよ う に、 デフ ォル トの名前が与え られます。 デフ ォル ト のレポー ト 名は、 FortiGate のデバイス識別番号から引用されます。

レポー ト は、 定期レポー ト とデフ ォル ト の FortiAnalyzer レポー ト のどち ら でも編集できます。 定期レポー ト またはデフ ォル ト の FortiAnalyzer レポー ト の編集については、 464 ページの 「FortiAnalyzer レポー ト の編集」 を参照し て く だ さい。

FortiAnalyzer レポートのプロファイルを設定するには

1 CLI にログイ ン し ます。

2 次のコ マン ド を入力し ます。

config log fortianalyzer settingsset multi-report enable

end

3 Web ベース マネージャにログイン し ます。

4 [Log&Report]、[Report Config] の順に選択し ます。

5 レポー ト の名前を入力し ます。

6 レポー ト のタ イ ト ルを入力し ます。

7 必要に応じ て、 レポー ト に含まれる事項の説明を入力し ます。

8 設定が必要なオプシ ョ ンの隣にある青色の矢印を選択し ます。:

注記 : FortiGate ユニ ッ ト が FortiAnalyzer ユニ ッ ト に接続されていない場合、 あるいはFortiAnalyzer ユニ ッ ト で 3.0 以上のフ ァームウ ェ アが実行されていない場合、 FortiAnalyzerレポー ト は表示されません。

[Properties] ヘ ッ ダーと フ ッ ターを カス タ マイズし た り、 会社名を含めた りする場合に選択し ます。 詳細については、 457 ページの 「レポー ト プロパテ ィ の設定」 を参照し て く だ さい。

[Report Scope] レポー ト に含める結果の種類を選択し ます。 詳細については、459 ページの 「レポー ト の種類の設定」 を参照し て く だ さい。

[Report Types] 含めるレポー ト の種類を選択し ます。 詳細については、 459 ページの 「レポー ト の種類の設定」 を参照し て く だ さい。

[Report Format] 変数を用いてホス ト 名またはラ ン クのレポー ト を決定する場合に選択し ます。 詳細については、 459 ページの 「レポー ト の形式の設定」 を参照し て く だ さい。

[Output] レポー ト のフ ァ イル形式を選択し ます。 詳細については、 460ページの 「レポー ト の出力の設定」 を参照し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート レポート

9 [OK] を選択し ます。

レポート プロパティの設定

レポー ト の会社名、 ヘ ッ ダー コ メ ン ト またはフ ッ ターを入力し ます。 これらはオプシ ョ ンです。

図 286: レポートのプロパティのオプション

レポートの範囲の設定

レポー ト の期間またはログ フ ィ ルタ、 あるいはその両方を選択し ます。 た と えば 2005 年 7 月 31 日から 2005 年 9 月 9 日までのログ フ ァ イルをレポー ト に含める場合、 異なる期間を選択できます。

図 287: レポートの設定期間

[Schedule] FortiAnalyzer ユニ ッ ト で、 た と えば週ご と または月ご とにレポート を発行する場合に設定し ます。 詳細については、 461 ページの「レポー ト スケジュールの設定」 を参照し て く だ さい。

[Summary Layout] カス タ マイズされた要約カテゴ リのレ イアウ ト を設定し ます。 詳細については、 462 ページの 「サマ リ レ イアウ ト の設定」 を参照し て く だ さい。

[Time Period] レポー ト の期間を選択し ます。 直近の n 時間、 n 日、 または n 週を選択する と、 フ ィ ールドが表示されます。 このフ ィ ールド には、 た と えば直近の n 時間、 n 日、 または n 週に 8 と入力するなど、 数値を入力し ます。

[From Date] レポー ト の開始日を設定する場合に選択し ます。 た と えば、 レポー ト は 2005 年 5 月 5 日の 13:00 に開始するよ う にする こ とが可能です。 時間は 24 時間形式です。

[To Date] レポー ト の終了日を設定する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 457

458

レポート ログおよびレポート

図 288: レポート設定データ ログ フィルタ

[Filter logs] レポー ト のログにフ ィ ルタ を適用し ないよ う にするには、 [None] を選択し ます。ログ レポー ト にフ ィ ルタ を適用するには、[Custom] を選択します。

[Include logs that match]

一致する フ ィ ルタの条件を選択し ます。すべてのフ ィ ルタ設定に一致するログをレポー ト に含めるには、[all] を選択し ます。 ログ内の情報がすべての条件に一致し なければ、 FortiAnalyzer ユニ ッ ト はレポー ト にログを含めません。フ ィ ルタ設定のいずれかに一致するログをレポー ト に含めるには、 [any] を選択し ます。 た と え 1 つのフ ィ ルタ設定でも、 フ ィルタ コ ンテンツのいずれかがログ フ ァ イルの情報に一致する と、FortiAnalyzer ユニ ッ ト はそのログを レポー ト に含めます。

[Priority] プ ラ イオ リ テ ィ レベルのフ ィ ルタ オプシ ョ ンを有効にするには、このチ ェ ッ ク ボ ッ クスをオンにし ます。ログ内を調べるプ ラ イオ リ テ ィ レベルを設定し、 情報がそのプラ イオ リ テ ィ レベルを下回らなければならないのか、 上回らなければならないのか、 あるいはそのプ ラ イオ リ テ ィ レベルと等し く なければならないのかを設定し ます。

[Source(s)] 条件を照合する送信元 IP ア ド レスを入力し ます。 複数の送信元を区切るには、 カ ンマを使用し ます。レポー ト から送信元 IP ア ド レスを除外するには、 [Not] をオンにし ます。 た と えば、 特定の送信元 IP ア ド レスの情報をログ レポー ト に含めないよ う にし ます。

[Destination(s)] 条件を照合する宛先 IP ア ド レスを入力し ます。 複数の送信元を区切るには、 カ ンマを使用し ます。レポー ト から宛先 IP ア ド レスを除外するには、 [Not] をオンにします。 た と えば、 特定の宛先 IP ア ド レスの情報をログ レポー トに含めないよ う にし ます。IP のレンジにはフ ィ ルタ を適用でき、 これには社内のグループについて報告するサブネ ッ ト が含まれます。 例 :

• 172.20.110.0-255 は、 172.20.110.0/255.255.255.0 または172.20.110.0/24 のサブネ ッ ト のあらゆる IP ア ド レスにフ ィ ルタ を適用し ます。

• 172.20.110.0-140.255 ﾊは、 172.20.110.0 から 172.20.140.255 のすべての IP ア ド レスにフ ィ ルタ を適用し ます。

• 172.16.0.0-20.255.255 は、172.16.0.0 から 172.20.255.255 のすべての IP ア ド レスにフ ィ ルタ を適用し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート レポート

レポートの種類の設定

レポー ト に含める情報の種類を選択し ます。

• も一般的なレポー ト の種類を含めるには、 [Basic] を選択し ます。

• すべてのレポー ト の種類を含めるには、 [All] を選択し ます。 レポー ト の種類のデータが含まれていない場合、 そのレポー ト は、 “No matching log data for this report” ( このレポー ト に一致するログ データはあ り ません ) とい う メ ッセージ と と もに表示されます。

• 含めるレポー ト を選択するには、 [Custom] を選択し ます。 レポー ト のカテゴリ を展開し て、 個々のレポー ト を選択するには、 青色の矢印を選択し ます。

レポートの形式の設定

サービス名、 ホス ト 名を決定し た り、 変数を使用し てレポー ト の ト ッ プ アイテムを ラ ン ク付けし た り する場合に選択し ます。

図 289: レポート設定の形式

[Interface(s)] レポー ト に含める イン タ フ ェースを入力し ます。 複数のイン タフ ェース名は、 カンマで区切り ます。レポー ト から イン タ フ ェース情報を除外するには、 [Not] をオンにし ます。 た と えば、 特定のイン タ フ ェースの情報をログ レポー ト に含めないよ う にし ます。

[Users] レポー ト に含めるユーザ名を入力し ます。 複数のユーザ名は、 カンマで区切り ます。

[Groups] レポー ト に含めるグループ名を入力し ます。 複数のグループ名は、 カンマで区切り ます。

[Virtual Domain(s)] レポー ト に含めるバーチャル ド メ イン (VDOM) を入力し ます。複数の VDOM は、 カンマで区切り ます。レポー ト から VDOM を除外するには、 [Not] をオンにし ます。 たと えば、 特定の VDOM の情報をログ レポー ト に含めないよ う にし ます。

[Policy IDs] レポー ト に含める フ ァ イアウォール ポリ シー ID 番号を入力し ます。 レポー ト では、 FortiGate のフ ァ イアウォール ポ リ シーの トラ フ ィ ッ ク情報がログに含まれる こ とにな り ます。 複数のポ リシー ID は、 カ ンマで区切り ます。

[Service(s)] レポー ト に含める特定のサービスを入力し ます。 複数のサービスは、 カンマで区切り ます。レポー ト からサービスを除外するには、 [Not] をオンにし ます。た と えば、 特定のサービスの情報をログ レポー ト に含めないよう にし ます。

[Messages] 電子 メ ール レポー ト から レポー ト に含める、 特定の電子 メ ールメ ッ セージを入力し ます。 複数のメ ッ セージは、 カ ンマで区切ります。

[Day of the Week] レポー ト に含めるため、 ログ フ ァ イルから情報が引き出される曜日を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 459

460

レポート ログおよびレポート

レポートの出力の設定

レポー ト の宛先と形式を選択し ます。 テキス ト 形式など、 い く つかの異なる形式から選択できます。 また、 フ ァ イルの出力と電子メ ールの出力に別の形式を選択する こ と も可能です。

電子メ ールでレポー ト を送信するよ う FortiAnalyzer ユニ ッ ト を設定する場合は、FortiAnalyzer ユニ ッ ト のメ ール サーバを設定する必要があ り ます。 詳細については、 『FortiAnalyzer 管理ガイ ド 』 を参照するか、 または FortiAnalyzer の管理者に問い合わせて く ださい。

[Display category summary reports]

カテゴ リ概要レポー ト を表示する場合に選択し ます。

[Include reports with no matching data]

一致するデータがないレポー ト を含める場合に選択し ます。

[Resolve Service Names]

ポー ト 番号ではな く 、 ネ ッ ト ワーク サービス名を表示するのにオンにし ます。 たと えば、 ポー ト 80 ではな く HTTP と し ます。

[Resolve Host Names]

IP ア ド レスではな く 、 分かりやすい名前でホス ト 名を表示する場合にオンにし ます。 たと えば、 Sally_Accounting のよ う にし ます。 IP ア ドレスのホス ト 名の設定に関する詳細については、 FortiAnalyzer 管理ガイ ド を参照し て く ださ い。

[Obfuscate User (Group) Names]

分かり に く いユーザ グループ名を含める場合に選択し ます。

[Advanced] レポー ト の ト ッ プにラ ン ク付けされたアイテム、 要約情報、 目次を含める場合に選択し ます。

[In 'Ranked Reports' show top]

レポー ト の種類によ っては、 ト ッ プにラ ン ク付けされたアイテムをレポー ト に設定できます。 これらのレポー ト は名前に “Top” と示され、 常に上位のエン ト リのみが表示されます。 た と えば、 すべてのメ ール ク ラ イアン ト ではな く 、 組織内で もア クテ ィ ブな メ ール ク ラ イアン ト のレポー ト を作成します。名前に ” Top “ が含まれないレポー ト には、 常にすべての情報が表示されます。 上部フ ィ ールドの値を変更し ても、これらのレポー ト に影響はあり ません。

[Include Summary Information]

必要に応じ てレポー ト の内容のロールア ッ プを含める場合に選択し ます。

[Include Table of Contents]

レポー ト に目次を含める場合に選択し ます。

注記 : HTML レポー ト を電子メ ールでユーザに送信する場合、 ユーザの電子メ ール ク ラ イアン ト で HTML がサポー ト されないと、 メ ッ セージの本文に各レポー ト の HTML コー ドが表示されます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート レポート

図 290: レポート設定の出力

レポート スケジュールの設定

FortiAnalyzer ユニ ッ ト でレポー ト を生成するスケジュールを設定し ます。 た と えばメ ールの ト ラ フ ィ ッ クについて週ご とにレポー ト を生成するなど、 定期的なスケジュールを選択し ます。

[File output] 生成され、 FortiAnalyzer のハー ド デ ィ スクに保存されるレポー トのフ ァ イル形式を選択し ます。

[Email output] FortiAnalyzer ユニ ッ ト が電子メ ールの添付フ ァ イルと し て送信する生成されたレポー ト のフ ァ イル形式を選択し ます。

[Email Subject] 電子メールの件名を カス タ マイズする場合に入力し ます。

[Email attachment name]

電子メールで送信される添付フ ァ イルの名前を入力し ます。

[Email body] 電子メール メ ッ セージの本文を入力し ます。

[Email from] 送信者の電子メ ール ア ド レスを入力し ます。

[Email server] ド ロ ッ プダウン リ ス ト から電子メ ール サーバを選択し ます。

[Email to] 受信者の電子メ ール ア ド レスを入力し ます。

[Email list] レポー ト 受信者の電子メ ール ア ド レスを入力し ます。 複数の受信者を追加するには [Add] を選択し ます。 リ ス ト から受信者を削除する場合は、 [Delete] を選択し ます。

[Upload Report to FTP Server]

完成し たレポー ト のフ ァ イルを FTP サーバにア ッ プロー ド する場合に選択し ます。

[Server Type] レポー ト をア ッ プロー ド するサーバの種類を選択し ます。 レポート は、 FTP サーバ、 SFTP サーバ、 または SCP サーバにア ッ プロー ド するよ う に選択できます。

[IP Address] FTP サーバの IP ア ド レスを入力し ます。

[Username] FTP サーバにログオンするユーザ名を入力し ます。

[Password] FTP サーバにログオンするためのパスワー ド を入力し ます。

[Upload report(s) in gzipped format]

FTP サーバにア ッ プロー ド する前に、 gzip フ ァ イルと し てレポート フ ァ イルを圧縮する場合に選択し ます。

[Delete file(s) after uploading]

FortiAnalyzer ユニ ッ ト が FTP サーバへのア ッ プロー ド を完了し た後、 FortiAnalyzer のハー ド デ ィ スクから レポー ト フ ァ イルを削除する場合に選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 461

462

レポート ログおよびレポート

図 291: レポート設定のスケジュール

サマリ レイアウトの設定

指定されたカテゴ リから カス タ マイズされたチャー ト のレ イアウ ト を設定するには、 [Customize List] を選択し ます。

[Schedule] FortiAnalyzer レポー ト を生成するスケジュールを設定する場合に選択し ます。

[Not Scheduled]

レポー ト を毎日生成し ない場合に選択し ます。 この設定は、 必要に応じ てレポー ト を発行する と きに使用し て く だ さい。

[Daily] 毎日、 同じ時刻にレポー ト が生成されるよ う に選択し ます。

[These Days]

特定の曜日にレポー ト を生成する場合に選択し ます。

[These Dates]

1 か月のう ち、 特定の日にレポー ト を生成する場合に選択し ます。 たと えば、 毎月、 1 日と 15 日にレポー ト が生成されるよう にするには、 1,15 と入力し ます。

[Time] FortiAnalyzer でレポー ト を生成する時間を選択し ます。

[Time] FortiAnalyzer でレポー ト を生成する時間を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート レポート

図 292: レポート サマリのレイアウト

[CustomizeChart]

列の数やレ イアウ ト に加えるチャー ト を選択し た り、 チャー ト を編集または削除し た り し ます。

[Columns] ド ロ ッ プダウン リ ス ト から数値を選択し、 チャー トに含める列の数を指定し ます。 列は 1 つから 4 つまで選択できます。

[Available Charts to Add]

サマ リ レ イアウ ト に、 種類の異なるチャー ト を追加する場合に選択し ます。 チャー ト は必要に応じ て個別に編集または削除できます。 選択できるチャー トは 25 種類あ り ます。

編集アイ コ ン

個々のチャー ト を編集する場合に選択し ます。 チャー ト のス タ イルまたは TopN の値を編集できます。 [OK] を選択し て変更を保存し ます。

[Chart Name]

チャー ト の名前。

[Chart Style] チャー ト のス タ イルを選択します。 折れ線グラ フ、 円グラフ、 および棒グラ フの中から選択できます。 初期設定は棒グラ フです。

[TopN] 特定アイテムの上位の数の値を入力し ます。

[X] アイ コ ン

レ イアウ ト からチャー ト を削除し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 463

464

FortiGate ユニットからの FortiAnalyzer レポートの表示 ログおよびレポート

FortiAnalyzer レポートの編集

FortiAnalyzer の定期レポー ト を設定および生成し たら、 [Report Config] メ ニューからそのレポー ト を編集する こ とができます。 [FortiAnalyzer] タ ブによ り、 レポー ト を編集し た り、 FortiAnalyzer の他の定期レポー ト に関する情報を表示し たり する こ とが可能です。 定期レポー ト の表示および編集は、 [FortiAnalyzer] タ ブから行えます。 また、 FortiGate ユニ ッ ト 用に FortiAnalyzer ユニ ッ ト が自動的に生成するデフ ォル ト の FortiAnalyzer レポー ト も編集できます。

CLI で multi-report コ マン ド を有効にする と、 次の定期レポー ト が生成される際に、 FortiAnalyzer のページには、 FortiAnalyzer ユニ ッ ト が現在生成し ているレポー ト があるかど うか、 またレポー ト エンジンがアク テ ィ ブかそ う でないかが表示されます。

定期またはデフォルトの FortiAnalyzer レポートを編集するには

1 [Log&Report]、[Report Config]、[FortiAnalyzer] の順に選択し ます。

2 デフ ォル ト の FortiAnalyzer レポー ト を編集中でなければ、 レポー ト の隣にある編集アイ コ ンを選択し ます。

3 定期レポー ト に必要な設定を編集し ます。

4 [OK] を選択し ます。

FortiAnalyzer レポートの印刷

FortiAnalyzer ユニ ッ ト でレポー ト が生成されたら、 ハー ド コ ピーによる参考資料と し て、 あるいはプレゼンテーシ ョ ンのために、 レポー ト を印刷し てお く こ とができます。 レポー ト は、 [Report Access] メ ニューの Web ベース マネージャから印刷する こ とが可能です。

FortiAnalyzer レポートを印刷するには

1 [Log&Report]、[Report Access]、[FortiAnalyzer] の順に選択し ます。

2 [Historical Reports] を選択し ます。

3 FortiAnalyzer レポー ト のリ ス ト で、 印刷するレポー ト を選択し ます。

4 [Print] を選択し ます。

FortiGate ユニットからの FortiAnalyzer レポートの表示

FortiAnalyzer ユニ ッ ト は、 FortiGate ユニ ッ ト 向けに多数の詳細レポー ト を生成した り、 それらのレポー ト を定期的またはオンデマン ド で発行し た りする こ とができます。 FortiOS 3.0MR2 以上で FortiGate ユニ ッ ト を使用し ている場合は、[Report Access] ページで、 その FortiGate ユニ ッ ト 向けに FortiAnalyzer ユニ ッ トから生成されたあらゆるレポー ト を表示できます。

注記 : 印刷する前に、 FortiAnalyzer のページに表示されるレポー ト のレポー ト タ イ ト ルを確認し て く だ さい。

注記 : FortiAnalyzer のページに表示される FortiAnalyzer レポー ト は、 表示し たいレポー トと異なる場合があ り ます。 表示するレポー ト を見つけるには、 常に [Historical Reports] を選択し て く だ さい。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

ログおよびレポート FortiGate ユニットからの FortiAnalyzer レポートの表示

FortiAnalyzer レポートを表示するには

1 [Log&Report]、[Report Access]、[FortiAnalyzer] の順に選択し ます。

2 [Historical Reports] を選択し ます。

3 レポー ト を表示するには、 レポー ト 名を選択し ます。

部分的な FortiAnalyzer レポートの表示

Web ベース マネージャ では、 FortiAnalyzer レポー ト のさ まざまな部分を表示できます。 次の手順によ り、 レポー ト の 「Mail Activity」 セク シ ョ ンを表示できます。

レポートの [Mail Filter Activity] を表示するには

1 [Log&Report]、[Report Access]、[FortiAnalyzer] の順に選択し ます。

2 [Historical Reports] を選択し ます。

3 青色の矢印を選択し て、 レポー ト を展開し ます。

4 MailFilter Activity.html を選択し ます。

レポー ト の他のセクシ ョ ンを表示するには、上記の手順を実行し ます。た と えば、MailFilter Activity.html を選択する代わり に、 Content Activity.html を選択し ます。

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102 465

466

FortiGate ユニットからの FortiAnalyzer レポートの表示 ログおよびレポート

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

索引数字802.3ad アグリゲー ト イン タ フ ェース

作成 76

A[ACCEPT] ア クシ ョ ン

フ ァ イアウォール ポ リ シー 232[Action]

スパム フ ィ ルタ IP ア ド レス 413スパム フ ィ ルタ禁止単語 410フ ァ イアウォール ポ リ シー 225プロテ ク シ ョ ン プロ フ ァ イル P2P オプシ ョ ン 298

[Active Sessions]HA 統計 130

[ActiveX Filter]プロテ ク シ ョ ン プロ フ ァ イル 292

[Address Name]フ ァ イアウォール ア ド レス 249フ ァ イアウォール ポ リ シー オプシ ョ ン 230

[Add signature to outgoing emails]プロテ ク シ ョ ン プロ フ ァ イル 291

[Administrative Access]イ ン タ フ ェース設定 74, 84, 87

ADSL 75[Adware]

グレーウェ ア カテゴ リ 367[Age Limit]

隔離 365AH、 定義済みサービス 254[Allow Inbound]

IPSec ポ リ シー 238フ ァ イアウォール ポ リ シー 238

[Allow outbound]フ ァ イアウォール ポ リ シー 238

[Allowed]Web カテゴ リ レポー ト 403

[Allow websites when a rating error occurs]プロテ ク シ ョ ン プロ フ ァ イル 293

[Amount]、 ク ラ イアン ト コ ン フ ォーテ ィ ングプロテ ク シ ョ ン プロ フ ァ イル 290

ANYサービス 254

AOLサービス 254

[Append with]プロテ ク シ ョ ン プロ フ ァ イル 296

[Append to]プロテ ク シ ョ ン プロ フ ァ イル 296

ARP 265プロキシ ARP 265

ASOSPF 205

ATM 76[Authentication]

フ ァ イアウォール ポ リ シー 233[Authentication Algorithm]、 手動キー

IPSec イン タ フ ェース モー ド 315, 317[Authentication Key]、 手動キー

IPSec イン タ フ ェース モー ド 317[Authentication Method]

IPSec イン タ フ ェース モー ド 307[Autokey Keep Alive]

IPSec イン タ フ ェース モー ド 313av_failopen

アンチウイルス 368

B[Back to HA monitor]

HA 統計 130[Banned word check]

プロテ ク シ ョ ン プロ フ ァ イル 296[Beacon Interval]

無線の設定 113, 114BGP

AS 213MED 214RFC 1771 213グレースフル リ ス ター ト 214サービス 254ネ ッ ト ワークの安定化 214フ ラ ッ プ 214

[BHO]グレーウ ェ ア カテゴ リ 367

[Block Audio] (IM)プロテ ク シ ョ ン プロ フ ァ イル 298

[Blocked]Web カテゴ リ レポー ト 403

[Block File Transfers] (IM)プロテ ク シ ョ ン プロ フ ァ イル 298

[Block Login] (IM)プロテ ク シ ョ ン プロ フ ァ イル 298

BOOTP 121

C[Category]

Web カテゴ リ レポー ト 403プロテ ク シ ョ ン プロ フ ァ イル 293

[Certificate Name]IPSec イン タ フ ェース モー ド 307

[Channel]、 無線の設定FortiWiFi-60 112FortiWiFi-60A 114

[Clear Session]定義済みシグネチャのアク シ ョ ン 375

CLI 設定Web カテゴ リ ブロ ッ ク 402アンチウイルス 368

[Cluster member]ク ラス タ メ ンバ リ ス ト 129

[Code] 258[Comfort Clients]

プロテ ク シ ョ ン プロ フ ァ イル 290config antivirus heuristic

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 467

468

索引

CLI コマン ド 368config limit、 IPS のための CLI コマン ド 382[Connect to Server] 76[Cookie Filter]

プロテ ク シ ョ ン プロ フ ァ イル 292[CPU Usage]

HA 統計 130[Create New]

IPSec イン タ フ ェース モー ド 315IPSec ト ンネル モー ド 318フ ァ イアウォール ポ リ シー 225

D[Date]

隔離フ ァ イル リ ス ト 362[DC]

隔離フ ァ イル リ ス ト 362[Dead Peer Detection]

IPSec イン タ フ ェース モー ド 311[DENY] アク シ ョ ン

フ ァ イアウォール ポ リ シー 232[Destination]

フ ァ イアウォール ポ リ シー 225, 230[Destination Port] 258[Destination Port]、 カス タム サービス 258[Device Priority]

HA 126副系ユニ ッ ト 131

DHCPおよび IP プール 232サービス 254

[DHCP-IPSec]IPSec イン タ フ ェース モー ド 313

[DH Group]IPSec イン タ フ ェース モー ド 312フ ェーズ 1 IPSec イン タ フ ェース モー ド 310

[Dial]グレーウェ ア カテゴ リ 367

[Display content meta-information on dashboard]プロテ ク シ ョ ン プロ フ ァ イル オプシ ョ ン 297

DNAT仮想 IP 267

DNSサービス 254

[Download]隔離フ ァ イル リ ス ト 362グレーウェ ア カテゴ リ 367

[Drop]定義済みシグネチャのアク シ ョ ン 375

[Drop Session]定義済みシグネチャのアク シ ョ ン 375

[Dynamic IP Pool] NAT オプシ ョ ンフ ァ イアウォール ポ リ シー 232

[Dynamic DNS]IPSec イン タ フ ェース モー ド 306

EECMP 190[Enable FortiGuard-Web Filtering] (HTTP のみ )

プロテ ク シ ョ ン プロ フ ァ イル 292

[Enable FortiGuard-Web Filtering Overrides]プロテ ク シ ョ ン プロ フ ァ イル 293

[Enable perfect forward secrecy (PFS)]IPSec イン タ フ ェース モー ド 312

[Enable replay detection]IPSec イン タ フ ェース モー ド 312

[Enable Session pickup]HA 127

[Encryption Key]、 手動キーIPSec イン タ フ ェース モー ド 317

[Encryption Algorithm]IPSec イン タ フ ェース モー ド 315

[Encryption Algorithm]、 手動キーIPSec イン タ フ ェース モー ド 316

[End IP]IP プール 285

[EOA] 75, 76ESP

サービス 254Ethernet over ATM 76Exclude Ranges

DHCP サーバの追加 121[External Interface]

仮想 IP 269[External IP Address]

仮想 IP 269[External Service Port]

仮想 IP 270

Ffail open 382FDN

FortiGuard Distribution Network 169HTTPS 175Update Center 170オーバーラ イ ド サーバ 173ト ラ フ ィ ッ クの中断 176ト ラブルシューテ ィ ング 175プ ッ シュ更新 173, 177プロキシ サーバ 177ポー ト 443 175ポー ト 53 174ポー ト 8888 174ポー ト フ ォワーデ ィ ング接続 178

FDN、 攻撃の更新 149FDS

FortiGuard Distribution Server 169[File Name]

隔離フ ァ イル リ ス ト 362[File Pattern]

隔離の自動送信リ ス ト 363[Filter]

隔離フ ァ イル リ ス ト 362FINGER

サービス 254[Fixed Port]

IP プール 284フ ァ イアウォール ポ リ シーのNATオプシ ョ ン 232

FortiAnalyzer 25, 434

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

[Report Scope] 456ログの表示 445

FortiBridge 25FortiClient 25FortiGate SNMP イベン ト 135FortiGate 100A Rev2.0 71FortiGate 200A Rev2.0 71FortiGate-5000

シャーシ モニ タ リ ング 181FortiGate-5020

シャーシ 18FortiGate-5050

シャーシ 18FortiGate-5140

シャーシ 18FortiGate4000 71FortiGate-5001FA2

概要 19FortiGate-5001SX

概要 19FortiGate-5002FB2

概要 19FortiGate MIB 136FortiGate ド キュ メ ン ト

コ メ ン ト 31FortiGate ト ラ ッ プ 137FortiGate ユニ ッ ト

登録 34, 169FortiGuard 25

CLI 設定 402[Report Range] 403[Report Type] 403許可されたレポー ト 403サービス ポイ ン ト 169設定 170設定オプシ ョ ン 397ブロ ッ ク されたレポー ト 403ホス ト 名の変更 402ラ イセンス 170レポー ト 402レポー ト カテゴ リ 403レポー ト プロ フ ァ イル 403

FortiGuard Antispam[E-mail checksum check] 295[IP address check] 295[Spam submission] 295[URL check] 295サービス ポイ ン ト 170

FortiGuard Distribution Network (FDN) 175FortiGuard Distribution Network 169FortiGuard Distribution Server 169FortiGuard ログおよび分析サーバ 433

ロギング先 438ログの削除 449ログへのアクセス と表示 446

FortiGuard ログおよび分析サーバ上のログの削除 449FortiGuard ログおよび分析サーバ上のログの表示 446FortiGuard ログおよび分析サーバ上のログへのア クセス 446

FortiGuard ログおよび分析サーバへのロギング 438FortiMail 25FortiManager 25Fortinet Knowledge Center 31FortiReporter 25[Fragmentation Threshold]

無線の設定 113FTP

サービス 254FTP_GET

サービス 254FTP_PUT

サービス 254

G[Game]

グレーウ ェ ア カテゴ リ 367[Geography]

無線の設定 112, 113GOPHER

サービス 254GRE 204

サービス 254[Group Name]

HA 127[Guaranteed Bandwidth]

フ ァ イアウォール ポリ シー 237Guaranteed Bandwidth]

ト ラ フ ィ ッ ク シ ェーピング 237

HH323

サービス 254HA 124, 129

[Cluster member] 129[Device Priority] 126[Enable Session pickup] 127[Group Name] 127HA 統計の表示 130[Heartbeat Interface] 127[Mode] 126[Password] 127[Port Monitor] 127[VDOM partitioning] 127アウ ト オブバン ド管理 71ク ラス タ メ ンバ リ ス ト 128ク ラス タ ユニ ッ ト の接続 131ク ラス タ ユニ ッ ト の切断 131ク ラス タ ユニ ッ ト ホス ト 名の変更 129セ ッ シ ョ ン ピ ッ ク ア ッ プ 127設定 124副系ユニ ッ ト デバイス プ ラ イオ リ テ ィ 131副系ユニ ッ ト ホス ト 名 131ホス ト 名 129ルータ モニ タ 220ルー ト 220

HA 統計[Active Sessions] 130[Back to HA monitor] 130[CPU Usage] 130

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 469

470

索引

[Intrusion Detected] 130[Memory Usage] 130[Monitor] 130[Network Utilization] 130[Refresh every] 130[Status] 130[Total Bytes] 130[Total Packets] 130[Unit] 130[Up Time] 130[Virus Detected] 130

[HELO DNS lookup]プロテ ク シ ョ ン プロ フ ァ イル 295

[Hijacker]グレーウェ ア カテゴ リ 367

[Hostname]ク ラス タ メ ンバ リ ス ト 129

HTTP大きなフ ァ イルのウイルス スキャ ン 369サービス 255

HTTPS 33, 149サービス 255

IICMP_ANY

サービス 255ICMP カス タム サービス 258

[Code] 258[Protocol Type] 258[Type] 258

IDフ ァ イアウォール ポ リ シー 225

IEEE 802.11a、 チャネル 110IEEE 802.11g、 チャネル 111IKE

サービス 255IMAP

サービス 255IM サマ リ情報のアーカ イブ

プロテ ク シ ョ ン プロ フ ァ イル 298[Inbound NAT]

フ ァ イアウォール ポ リ シー 238INFO_ADDRESS

サービス 255INFO_REQUEST

サービス 255[Insert Policy Before]

フ ァ イアウォール ポ リ シー 225[Inspect Non-standard Port] (IM)

プロテ ク シ ョ ン プロ フ ァ イル 298[Interface]

IP プール 285[Interface Mode] 72[Interface/Zone]

フ ァ イアウォール ポ リ シー 230Internet-Locator-Service

サービス 255[Interval]、 ク ラ イアン ト コ ン フ ォーテ ィ ング

プロテ ク シ ョ ン プロ フ ァ イル 290

[Intrusion Detected]HA 統計 130

[IP]仮想 IP 269

[IP Range/Subnet]IP プール 285

[IP Address]BWL チ ェ ッ ク、プロテ ク シ ョ ン プロ フ ァ イル 295アク シ ョ ン、 アンチスパム 413自動キー フ ェーズ 1 イ ン タ フ ェース モー ド 306リ ス ト 、 スパム フ ィ ルタ 413

[IPOA] 75[IP Range/Subnet]

フ ァ イアウォール ア ド レス 249IPS

ア ノ マ リ、 プロテ ク シ ョ ン プロ フ ァ イル 296ア ノ マ リ リ ス ト 379, 380オプシ ョ ン、 プロテ ク シ ョ ン プロ フ ァ イル 296カス タム シグネチャ 377シグネチャ 373シグネチャ、 プロテ ク シ ョ ン プロ フ ァ イル 296定義済みシグネチャのアク シ ョ ン 375定義済みシグネチャ リ ス ト 373ト ラ フ ィ ッ ク ア ノ マ リ リ ス ト 380

IPSec 204IPSec VPN

自動キー 305モニ タ 319ユーザ グループの認証 347リ モー ト ゲー ト ウェ イ 347

[IPSEC] アク シ ョ ンフ ァ イアウォール ポリ シー 232

IPSec ポ リ シー[Allow Inbound] 238[Inbound NAT] 238[Outbound NAT] 238

IPv6 108, 190IP ア ド レス

アンチスパム ブ ラ ッ ク / ホワイ ト リ ス ト カ タ ログ 412

スパム フ ィ ルタ 411IP カス タム サービス 259

[Protocol Number] 259[Protocol Type] 259

IP プール 232options 285[Create New] 285DHCP 232[End IP] 285[Fixed Port] 284[Interface] 285[IP Range/Subnet] 285[Name] 285PPPoE 232[Start IP] 285設定 285追加 285プロキシ ARP 265リ ス ト 284

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

IRCサービス 255

ISP 75

J[Java Applet Filter]

プロテ ク シ ョ ン プロ フ ァ イル 292[Joke]

グレーウェ ア カテゴ リ 367

K[Keepalive Frequency]

IPSec イン タ フ ェース モー ド 311[Key]

無線の設定 112[Keylife]

IPSec イン タ フ ェース モー ド 310, 313[Keylog]

グレーウェ ア カテゴ リ 367

LL2TP 347

サービス 255[Language]

Web コ ンテンツ ブロ ッ ク 391スパム フ ィ ルタ禁止単語 410, 411

LDAPサービス 255

[Limit] (P2P)プロテ ク シ ョ ン プロ フ ァ イル 298

[Local Gateway IP]IPSec イン タ フ ェース モー ド 309

[Local ID]IPSec イン タ フ ェース モー ド 310

[Local Interface]IPSec フ ェーズ 1 イン タ フ ェース モー ド 306

[Local SPI]、 手動キーIPSec イン タ フ ェース モー ド 316

logト ラ フ ィ ッ ク、 フ ァ イアウォール ポ リ シー 233メ ッ セージ 446

[Logging]定義済みシグネチャ 374

[Low Disk Space]隔離 365

MMAC ア ド レス

無線の設定 112, 113MAC フ ィ ルタ

無線 114[Map to IP]

仮想 IP 269[Map to Port]

仮想 IP 269, 270[Max Filesize to Quarantine]

隔離 365[Maximum Bandwidth] 238

ト ラ フ ィ ッ ク シ ェーピング 238フ ァ イアウォール ポ リ シー 238

MD5OSPF 認証 211, 213

MED (Multi-Exit Discriminator) 214[Members]

IPSec ト ンネル モー ド 318[Memory Usage]

HA 統計 130mheader 417MIB 136, 139

FortiGate 136RFC 1213 136RFC 2665 136

Miscグレーウ ェ ア カテゴ リ 367

[Mode]HA 126IPSec イン タ フ ェース モー ド 307

[Monitor]HA 統計 130

[MTU] 75MTU サイズ 85

N[Name]

IPSec フ ェーズ 1 イン タ フ ェース モー ド 306IPSec フ ェーズ 2 イン タ フ ェース モー ド 311IP プール 285手動キー イ ン タ フ ェース モー ド 316

NATIPSec ポ リ シー 238受信 238送信 238プ ッ シュ更新 178

[Nat-traversal]IPSec イン タ フ ェース モー ド 310

NAT デバイス仮想 IP 177ポー ト フ ォワーデ ィ ング 177

NetMeetingサービス 255

[Network Utilization]HA 統計 130

NFSサービス 255

[NMT]グレーウ ェ ア カテゴ リ 367

NNTPサービス 255

NSSA (Not-So-Stubby Area) 210NTP

サービス 255

O[Operation Mode]

無線の設定 112, 113optimize

アンチウイルス 368OSPF

AS 208[Dead Interval] 213GRE 212[Hello Interval] 213

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 471

472

索引

IPSec 212LSA 213NSSA 210VLAN 212イ ン タ フ ェース定義 212エ リ ア ID 211仮想 LAN 212仮想リ ン ク 210サービス 255詳細設定オプシ ョ ン 208ス タ ブ 210設定 206通常エ リ ア 210停止パケ ッ ト 213認証 211, 213ネ ッ ト ワーク 208ネ ッ ト ワーク ア ド レス空間 213複数のイ ン タ フ ェース パラ メ ータ セ ッ ト 212リ ン ク状態 205隣接機器 205ルー ト を再配布するためのメ ト リ ッ ク 208

OSPF AS 205定義 205

[Outbound NAT]IPSec ポ リ シー 238フ ァ イアウォール ポ リ シー 238

[Oversized File/Email]プロテ ク シ ョ ン プロ フ ァ イル 291

P[P1 Proposal]

フ ェーズ 1 IPSec イン タ フ ェース モー ド 309[P2P]

グレーウェ ア カテゴ リ 368P2P

ログ 443[P2 Proposal]

フ ェーズ 2 IPSec イン タ フ ェース モー ド 312[Pass]

定義済みシグネチャのアク シ ョ ン 375[Pass fragmented emails]

プロテ ク シ ョ ン プロ フ ァ イル 290[Pass Session]

定義済みシグネチャのアク シ ョ ン 375[Password]

HA 127PAT

仮想 IP 268[Pattern]

スパム フ ィ ルタ禁止単語 410, 411[Pattern Type]

Web コ ンテンツ ブロ ッ ク 388, 391スパム フ ィ ルタ禁止単語 410, 411スパム フ ィ ルタ電子メ ール ア ド レス 416

PC-Anywhereサービス 255

PDF 文書 460[Peer Options]

IPSec イン タ フ ェース モー ド 307

Perl 正規表現スパム フ ィ ルタ 418

[Phase 1]IPSec フ ェーズ 2 イン タ フ ェース モー ド 311

PIMBSR 215DR 215RFC 2362 215RFC 3973 215RP 215スパース モー ド 215デンス モー ド 215

PIM (Protocol Independent Multicast) 215PING

サービス 255PKI 343[Plugin]

グレーウ ェ ア カテゴ リ 368POP3

サービス 255[Port Monitor]

HA 127PPPoE

RFC 2516 81および IP プール 232

PPTP 347サービス 256

[Pre-shared Key]IPSec イン タ フ ェース モー ド 307無線の設定 112

[Priority]ク ラス タ メ ンバ 129

[Profile]カテゴ リ ブロ ッ ク レポー ト 403

[Protection Profile]フ ァ イアウォール ポリ シー 233

[Protocol]仮想 IP 270

[Protocol Type] 259[Provide details for blocked HTTP errors]

プロテ ク シ ョ ン プロ フ ァ イル 293[Proxy ID Destination]

IPSec イン タ フ ェース モー ド 320[Proxy ID Source]

IPSec イン タ フ ェース モー ド 319, 320

QQUAKE

サービス 256[Quarantine]

自動送信リ ス ト 362プロテ ク シ ョ ン プロ フ ァ イル 290

[Quick Mode Selector]IPSec イン タ フ ェース モー ド 313

R[Radius Server Name]

無線の設定 113[RAT]

グレーウ ェ ア カテゴ リ 368

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

[Rate images by URL]プロテ ク シ ョ ン プロ フ ァ イル 293

[Rate URLs by domain and IP address]プロテ ク シ ョ ン プロ フ ァ イル 293

RAUDIOサービス 256

[Refresh every]HA 統計 130

[Remote Gateway]IPSec 手動キー設定 316IPSec フ ェーズ 1 設定 306VPN IPSec モニ タ フ ィ ールド 319, 320

[Remote SPI]、 手動キーIPSec イン タ フ ェース モー ド 316

[Reset]定義済みシグネチャのアク シ ョ ン 375

[Reset Client]定義済みシグネチャのアク シ ョ ン 375

[Reset Server]定義済みシグネチャのアク シ ョ ン 375

[Resolve Host Names]レポー ト 460

[Resolve Service Names]レポー ト 460

[Return e-mail DNS check]プロテ ク シ ョ ン プロ フ ァ イル 295

RFC 215RFC 1058 199RFC 1213 136RFC 1215 137RFC 1771 213RFC 2362 215RFC 2453 199RFC 2132 121RFC 2516 81RFC 2665 136RFC 1213 133RFC 2665 133RFC 3973 215RIP

RFC 1058 199RFC 2453 199サービス 256認証 204バージ ョ ン 1 199バージ ョ ン 2 199ホ ッ プ カウン ト 200

RLOGINサービス 256

[Role]ク ラス タ メ ンバ 129

RTF 文書 460[RTS Threshold]

無線の設定 113

SSAMBA

サービス 256[Schedule]

フ ァ イアウォール ポリ シー 225, 231[Security mode]

無線の設定 112[Select]

反復スケジュール 263[Service]

隔離フ ァ イル リ ス ト 362フ ァ イアウォール ポリ シー 225, 231

[Service Port]仮想 IP 269

SIPサービス 256

SIP-MSNmessengerサービス 256

SMCシャーシ モニ タ リ ング 181

SMTPサービス 256

SNMPRFC 1213 136MIB 136RFC 1215 137RFC 2665 136サービス 256ト ラ ッ プ 137連絡先情報 133

[SNMP Agent] 133SNMP、 MIB 136, 139SNMP、 イベン ト 135SNMP、 ク エ リ 135SNMP コ ミ ュニテ ィ 134SNMP コ ミ ュニテ ィ 、 設定 134SNMP、 ト ラ ッ プ 135, 137SNMP マネージ ャ 133, 134[Sort by]

隔離フ ァ イル リ ス ト 361[Source]

フ ァ イアウォール ポリ シー 225, 230[Source Port] 258[Spam Action]

プロテ ク シ ョ ン プロ フ ァ イル 296SPF (Shortest Path First) 205[Spy]

グレーウ ェ ア カテゴ リ 368SSH 149

サービス 256[SSID]

無線の設定 112[SSID Broadcast]

無線の設定 112SSL

サービス定義 255SSL VPN ログイ ン メ ッ セージ 147SSL VPN

[Tunnel IP Range] 324暗号スイー ト の設定 324ク ラ イアン ト 証明書の確認 324サーバ証明書の指定 324セ ッ シ ョ ンの監視 325

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 473

474

索引

セ ッ シ ョ ンの終了 325設定 323タ イムアウ ト 値の指定 325

[Start]反復スケジュール 263ワン タ イム スケジ ュール 262

[Start IP]IP プール 285

[Status]HA 統計 130イ ン タ フ ェース 71隔離フ ァ イル リ ス ト 362

statuslog webtrends setting 438

[Status Description]隔離フ ァ イル リ ス ト 362

[Stop]反復スケジュール 263ワン タ イム スケジ ュール 262

Strictデフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288

[Strict Blocking] (HTTP のみ )プロテ ク シ ョ ン プロ フ ァ イル 293

SYSLOGサービス 256

system global av_failopenアンチウイルス 368

system global optimizeアンチウイルス 368

TTALK

サービス 256TCP

サービス 256TCP カス タム サービス 258

[Destination Port] 258[Protocol Type] 258[Source Port] 258追加 257

TELNETサービス 256

TFTPサービス 256

[Threshold][Banned word check]、 プロテ ク シ ョ ン プロ フ ァ イ

ル 296[Oversized File/Email]、 プ ロテ ク シ ョ ン プロ フ ァ

イル 291[Web content block]、 プロテ ク シ ョ ン プロ フ ァ イ

ル 291[Timeout]

IPSec イン タ フ ェース モー ド 319, 320TIMESTAMP

サービス 256[Toolbar]

グレーウェ ア カテゴ リ 368[Total Bytes]

HA 統計 130

[Total Packets]HA 統計 130

[Traffic Priority] 238ト ラ フ ィ ッ ク シ ェーピング 238フ ァ イアウォール ポリ シー 238

[Traffic Shaping]フ ァ イアウォール ポリ シー 233

[TTL]隔離フ ァ イル リ ス ト 362

[Tunnel Name]IPSec イン タ フ ェース モー ド 315

[Tx Power]無線の設定 113, 114

TXT 文書 460[Type] 258

仮想 IP 269

UUDP カス タム サービス 258

[Destination Port] 258[Protocol Type] 258[Source Port] 258追加 257

UDP サービス 256Unfiltered

デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288[Unit]

HA 統計 130Update Center 170[Upload Status]

隔離フ ァ イル リ ス ト 362[Up Time]

HA 統計 130URL フ ィ ルタ

カ タ ログ 392URL ブロ ッ ク

Web フ ィ ルタ 392Web フ ィ ルタ ブロ ッ ク リ ス ト へのURLの追加 394

[Username]IPSec イン タ フ ェース モー ド 319

UUCPサービス 256

VVDOLIVE

サービス 256VDOM

NAT/ ルー ト 61管理 VDOM 65設定 62ト ラ ンスペアレン ト 61複数の VDOM 64ラ イセンス キー 180

[VDOM partitioning]HA 127

VDOM 間 66[Virtual Circuit Identification] (VCI) 76[Virus Scan]

プロテ ク シ ョ ン プロ フ ァ イル 290[Virus Detected]

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

HA 統計 130VLAN

OSPF 212概要 98ジャ ンボ フ レーム 86

VoIP ログ 443VPN 321, 327

IPSec イン タ フ ェース モー ド 303VPN IPSEC イ ン タ フ ェース 303

WWAIS

サービス 256Web

デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288Web URL ブロ ッ ク

Web URL ブロ ッ ク リ ス ト の設定 394プロテ ク シ ョ ン プロ フ ァ イル 292リ ス ト 393リ ス ト 、 Web フ ィ ルタ 393

[Web Content Exempt]プロテ ク シ ョ ン プロ フ ァ イル 291

[Web resume download block]プロテ ク シ ョ ン プロ フ ァ イル 292

Web カテゴ リ ブロ ッ クCLI 設定 402[Report Range] 403[Report Type] 403許可されたレポー ト 403設定オプシ ョ ン 397ブロ ッ ク されたレポー ト 403ホス ト 名の変更 402レポー ト 402レポー ト カテゴ リ 403レポー ト プロ フ ァ イル 403

Web コ ンテンツ ブロ ッ ク[Language] 391[Pattern Type] 388, 391Web フ ィ ルタ 389禁止単語 388, 391言語 388プロテ ク シ ョ ン プロ フ ァ イル 291

Web コ ンテンツ ブロ ッ ク リ ス トWeb フ ィ ルタ 388

Web サイ ト 、 コ ンテンツ カテゴ リ 145Web フ ィ ルタ 383

URL カテゴ リ 174URL ブロ ッ ク 392Web URL ブロ ッ ク リ ス ト 393Web URL ブロ ッ ク リ ス ト の設定 394Web URL ブロ ッ ク リ ス ト への URL の追加 394Web コ ンテンツ ブロ ッ ク リ ス ト 388Web コ ンテンツ ブロ ッ ク リ ス ト の設定 389コ ンテンツ ブロ ッ ク 386

Web フ ィ ルタ リ ング オプシ ョ ンプロテ ク シ ョ ン プロ フ ァ イル 291

Web フ ィ ルタ リ ング サービス 145Web フ ィ ルタ ログ 442Web ベース マネージ ャ

言語 163WEP 112[Where]

スパム フ ィ ルタ禁止単語 410, 411WINFRAME

サービス 257WLAN

イ ン タ フ ェース 109イ ン タ フ ェース、 WiFi-60A での作成 79イ ン タ フ ェース、 WiFi-60 での作成 112

WPA 112

X[XAuth]

IPSec イン タ フ ェース モー ド 310X-WINDOWS

サービス 257

あアウ ト オブバン ド 71アク シ ョ ンの種類

スパム フ ィ ルタ電子メ ール ア ド レス 416アグリゲー ト イ ン タ フ ェース

作成 76ア ッ プグレー ド

フ ァームウ ェ ア 51ア ッ プロー ド後に削除する

レポー ト 461宛先 IP

システム状態 55宛先セ ッ シ ョ ン制限

ア ノ マ リ タ イプ 380宛先ネ ッ ト ワーク ア ド レス変換

仮想 IP 267ア ド レス

フ ァ イアウォール ア ド レス グループ 250リ ス ト 248

ア ド レス グループ 250[Create New] 250追加 250リ ス ト 250

ア ノ マ リ宛先セ ッ シ ョ ン制限 380スキャ ン 380ト ラ フ ィ ッ ク 379発信元セ ッ シ ョ ン制限 380フ ラ ッデ ィ ング 380リ ス ト 379, 380

アラー ト メ ールオプシ ョ ン 451有効化 451

アンチウイルス 355[Adware] グレーウェ ア 367av_failopen 368[BHO] グレーウェ ア 367CLI 設定 368configure antivirus heuristic 368[Dial] グレーウ ェ ア 367[Download] グレーウェ ア 367[Game] グレーウ ェ ア 367

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 475

476

索引

[Hijacker] グレーウェ ア 367[Joke] グレーウェ ア 367[Keylog] グレーウェ ア 367Misc グレーウ ェ ア 367[NMT] グレーウェ ア 367optimize 368[P2P] グレーウ ェ ア 368[Plugin] グレーウ ェ ア 368[RAT] グレーウェ ア 368[Spy] グレーウ ェ ア 368system global av_failopen 368system global optimize 368[Toolbar] グレーウ ェ ア 368ウイルス リ ス ト 365ウイルス リ ス ト の表示 365大きなフ ァ イルのスキャ ン 369隔離 361隔離フ ァ イル リ ス ト 361グレーウェ ア 175, 366ヒ ューリ ステ ィ ッ ク 368フ ァ イル ブロ ッ ク 358フ ァ イル ブロ ッ ク リ ス ト 359ログ 441

アンチウイルス オプシ ョ ンプロテ ク シ ョ ン プロ フ ァ イル 290

アンチウイルスおよび攻撃の定期更新 177アンチウイルスの更新 176

プロキシ サーバ経由 177アンチスパム

ポー ト 53 174ポー ト 8888 174

い移動

フ ァ イアウォール ポ リ シー 225印刷

オン ラ イ ンヘルプ アイ コ ン 35イ ンス タ ン ト メ ッ セージ ログ 443イ ン ターネ ッ ト ブ ラウジング

IPSec VPN 設定 314イ ン タ フ ェース

[Administrative Access] 74, 84, 87[MTU] 75WLAN 109管理状態 71プロキシ ARP 265

うウイルス感染フ ァ イル 144ウイルス保護、 「アンチウイルス」 も参照 355ウイルス名 146ウイルス リ ス ト 365

表示、 更新 365

えエ リ ア境界ルータ 210

お温度

FortiGate-5000 モジュール 183シャーシ モニ タ リ ング 183

オン ラ イ ンヘルプキーボー ド シ ョ ー ト カ ッ ト 36検索 36

か概要 454

フ ォーテ ィ ネ ッ ト ド キュ メ ン ト 29隔離

[Age Limit] 365[Enable AutoSubmit] 365[Low Disk Space] 365[Max Filesize to Quarantine] 365アンチウイルス 361オプシ ョ ン 365自動送信フ ァ イル パタ ーンのア ッ プ ロー ド の有

効化 363自動送信リ ス ト の設定 363自動送信リ ス ト のフ ァ イル パターン 363設定 363ヒ ューリ ステ ィ ッ ク 369

隔離フ ァ イル リ ス ト[TTL] 362[Apply] 361[Date] 362[DC] 362[Download] 362[File Name] 362[Filter] 362[Service] 362[Sort by] 361[Status] 362[Status Description] 362[Upload Status] 362アンチウイルス 361重複 362

カス タ マ サービス 31カス タム サービス

TCP または UDP カス タム サービスの追加 257追加 257リ ス ト 257

カス タム シグネチャIPS 377

仮想 IP 265[Create New] 269, 282DNAT 267[External Interface] 269[External IP Address] 269[External Service Port] 270[IP] 269[Map to IP] 269[Map to Port] 269, 270PAT 268[Protocol] 270[Service Port] 269[Type] 269宛先ネ ッ ト ワーク ア ド レス変換 267設定 269ポー ト ア ド レス変換 268リ ス ト 269

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

カ タ ログIP ア ド レス ブ ラ ッ ク / ホワイ ト リ ス ト 412URL フ ィ ルタ 392禁止単語 409コ ンテンツ除外 389コ ンテンツ ブロ ッ ク 387電子メ ール ア ド レス ブ ラ ッ ク / ホワイ ト リ ス ト

414フ ァ イル パターン 358

カテゴ リ ブロ ッ ク設定オプシ ョ ン 397レポー ト 402

管理 VDOM 65管理アクセス

ログイ ンの監視 163デ ィ ス タ ンス 188管理者アカウン ト

信頼できるホス ト 156ネ ッ ト マスク 155, 156

管理者、 監視 163

きキーボー ド シ ョ ー ト カ ッ ト

オン ラ イ ンヘルプ 36期限

システム状態 55期限切れ 172禁止単語

Web コ ンテンツ ブロ ッ ク 388, 391カ タ ログ 409スパム フ ィ ルタ 禁止単語リ ス ト への単語の追加

411禁止単語 ( スパム フ ィ ルタ )

[Action] 410[Language] 410, 411[Pattern] 410, 411[Pattern Type] 410, 411[Where] 410, 411リ ス ト 410

くク ラス タ メ ンバ 128

[Priority] 129[Role] 129

ク ラス タ ユニ ッ トク ラス タからの切断 131ク ラス タの接続 131

グループユーザ 346

グレーウェ ア 175[Adware] 367[BHO] 367[Dial] 367[Download] 367[Game] 367[Hijacker] 367[Joke] 367[Keylog] 367Misc 367[NMT] 367

[P2P] 368[Plugin] 368[RAT] 368[Spy] 368[Toolbar] 368アンチウイルス 366

グレースフル リ ス ター ト 214

け警告メ ール メ ッ セージ 144警告メ ッ セージ コ ン ソール

メ ッ セージのク リ ア 48言語

Web コ ンテンツ ブロ ッ ク 388Web ベース マネージ ャ 163

検索オン ラ イ ンヘルプ 36オン ラ イ ンヘルプ アイ コ ン 36オン ラ イ ンヘルプのワイルド カー ド 36

検索ログ 448

こ高可用性、 HA を参照 124攻撃の更新

スケジューリ ング 176プロキシ サーバ経由 177

工場出荷時デフ ォル ト 設定へのリ セ ッ ト 49更新

プ ッ シュ 177コ メ ン ト

ド キュ メ ン ト 、 送信 31フ ァ イアウォール ポリ シー 234

コ ンセン ト レータ、 IPSec ト ンネル モー ド 317[Name] 318オプシ ョ ン 318リ ス ト 317

コ ンセン ト レータ、 ルー ト ベース VPN 304コ ンテンツ アーカ イブ オプシ ョ ン

プロテ ク シ ョ ン プロ フ ァ イル 297コ ンテンツ除外

カ タ ログ 389コ ンテンツ ス ト リーム、 差し替え メ ッ セージ 143コ ンテンツ ブロ ッ ク

Web フ ィ ルタ 386カ タ ログ 387

コ ンテンツ メ タ情報のアーカ イブプロテ ク シ ョ ン プロ フ ァ イル 297

さサーバ

log webtrends setting 438サービス

TCP 256AH 254ANY 254AOL 254BGP 254DHCP 254DNS 254ESP 254FINGER 254

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 477

478

索引

FTP 254FTP_GET 254FTP_PUT 254GOPHER 254GRE 254H323 254HTTPS 255ICMP_ANY 255IKE 255IMAP 255INFO_ADDRESS 255INFO_REQUEST 255Internet-Locator-Service 255IRC 255L2TP 255LDAP 255NetMeeting 255NFS 255NNTP 255NTP 255OSPF 255PC-Anywhere 255PING 255POP3 255PPTP 256QUAKE 256RAUDIO 256RIP 256RLOGIN 256SAMBA 256SIP 256SIP-MSNmessenger 256SMTP 256SNMP 256SSH 256SYSLOG 256TALK 256TELNET 256TFTP 256TIMESTAMP 256UDP 256UUCP 256VDOLIVE 256WAIS 256WINFRAME 257X-WINDOWS 257カス タム サービス リ ス ト 257グループ 259グループへのサービスの構成 260サービス名 254定義済み 253

サービス グループ 259[Create New] 259追加 259, 260リ ス ト 259

サービスのグループ化 259サービス ポイ ン ト

FortiGuard 169再起動 49, 169

索引オン ラ イ ンヘルプ アイ コ ン 36

サブスク リ プシ ョ ン期限切れ 172未登録 172有効なラ イセンス 172

サブネ ッ トフ ァ イアウォール ア ド レス 249

しシ ェルフ マネージャ

シャーシ モニ タ リ ング 181シ ェルフ モニ タ リ ング

シ ェルフ マネージャ 181シグネチャ

IPS 373カス タム IPS シグネチャ 377

システムシャーシ モニ タ リ ング 181

システム アイ ドル タ イムアウ ト 149システム設定 123指定ルータ (DR) 215自動キー リ ス ト

IPSec VPN 305自動送信

隔離 365自動送信リ ス ト

ア ッ プロー ドの有効化 363隔離フ ァ イル 362設定 363

シャーシ モニ タ リ ング 181FortiGate-5000 モジュール 182SMC 181温度 183電圧 184ブレー ド 182

シャ ッ ト ダウン 49手動キー IPSec VPN

イ ン タ フ ェース モー ド設定 316手動キーのオプシ ョ ン

IPSec イン タ フ ェース モー ド 315手動キー リ ス ト

IPSec イン タ フ ェース モー ド 315使用傾向 454照合

ポリ シー 224自律システム (AS) 213信頼できるホス ト

管理者アカウン ト 156管理者オプシ ョ ン 155セキュ リ テ ィ 問題 156

す図

ト ポロジ ビ ューア 58スイ ッ チ モー ド 71スキャ ン

ア ノ マ リ タ イプ 380デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288

スケジューリ ング 176

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

スケジュールFortiAnalyzer レポー ト 461アンチウイルスおよび攻撃定義の自動更新 176反復スケジュール リ ス ト 262ワン タ イム スケジ ュール リ ス ト 261

ス タ テ ィ ッ ク IPモニ タ 319

ス タ テ ィ ッ ク ルー ト概念 187概要 187デ ィ ス タ ンス 188作成 190選択 188追加 194テーブル シーケンス 189テーブルの構築 188テーブル プ ラ イオ リ テ ィ 189デフ ォル ト ゲー ト ウェ イ 191デフ ォル ト ルー ト 191編集 190ポリ シー 195ポリ シーの追加 196ポリ シー リ ス ト 195

ス タ ブOSPF エ リ ア 210

ス タ ン ド アロン モー ドモデム 93, 96

スパムログのフ ィ ルタ リ ング 443

スパムと し てブロ ッ ク された電子メ ール 144スパム フ ィ ルタ 405

FortiGuard Antispam サービス ポイ ン ト 170IP ア ド レス 411IP ア ド レス リ ス ト 413Perl 正規表現 418禁止単語リ ス ト 410スパム フ ィ ルタ 禁止単語リ ス ト への単語の追加

411電子メ ール ア ド レス リ ス ト 415電子メ ール ア ド レス リ ス ト への電子メ ール ア ド

レスまたはド メ イ ンの追加 416スパム フ ィ ルタ リ ング オプシ ョ ン

プロテ ク シ ョ ン プロ フ ァ イル 294

せ製品登録 34, 169製品、 フ ァ ミ リ 25セ ッ シ ョ ン ピ ッ クア ッ プ

HA 127

た帯域幅

大 238保証 237

ダイナ ミ ッ ク DNSVPN IPSec モニ タ 319ネ ッ ト ワーク イ ン タ フ ェース 83モニ タ 319

ダイナ ミ ッ ク ルーテ ィ ング 199OSPF 204

PIM 215ダイヤルア ッ プ VPN

モニ タ 319ダ ッ シュボー ド 41

ち重複

隔離フ ァ イル リ ス ト 362

つ次のページ

オン ラ イ ンヘルプ アイ コ ン 35

て定期更新

プロキシ サーバ経由 177定義済みサービス 253定義済みシグネチャ

[Action] 374[Clear Session] ア クシ ョ ン 375[Drop Session] ア クシ ョ ン 375[Drop] アク シ ョ ン 375[Logging] 374[Pass Session] アク シ ョ ン 375[Pass] アク シ ョ ン 375[Reset Client] アク シ ョ ン 375[Reset Server] ア クシ ョ ン 375[Reset] ア クシ ョ ン 375[Revision] 374アク シ ョ ン 375リ ス ト 373

デ ィ スク領域隔離 365

テ クニカル サポー ト 31デフ ォル ト ゲー ト ウェ イ 191電圧

FortiGate-5000 モジュール 184シャーシ モニ タ リ ング 184

電子メ ールオン ラ イ ンヘルプ アイ コ ン 35

電子メ ール ア ド レスBWL チ ェ ッ ク、プロテ ク シ ョ ン プロ フ ァ イル 295[Pattern Type] 416アク シ ョ ンの種類 416電子メ ール ア ド レス リ ス ト への追加 416ブ ラ ッ ク / ホワイ ト リ ス ト カ タ ログ 414リ ス ト 、 スパム フ ィ ルタ 415

転送オプシ ョ ン 436

と等価コ ス ト マルチパス (ECMP) ルー ト 190同期間隔 50統計

HA 統計の表示 130動作モー ド 148登録

FortiGate ユニ ッ ト 34, 169ト ラ ンスペアレン ト モー ド

VLAN 103ド キュ メ ン ト

コ メ ン ト 31フ ォーテ ィ ネ ッ ト 29

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 479

480

索引

ト ポロジ ビ ューア 58ト ラ ッ プ

SNMP 137ト ラ フ ィ ッ ク ア ノ マ リ 379

リ ス ト 380ト ラ フ ィ ッ ク シ ェーピング

Guaranteed Bandwidth] 237[Maximum Bandwidth] 238[Traffic Priority] 238フ ァ イアウォール ポ リ シー 235

ト ラ フ ィ ッ クのログ記録フ ァ イアウォール ポ リ シー 233

なナビゲーシ ョ ンの表示

オン ラ イ ンヘルプ アイ コ ン 35

に認証

RIP 204フ ァ イアウォール ポ リ シー 234

ねネ ッ ト マスク

管理者アカウン ト 155, 156ネ ッ ト ワーク

ト ポロジ ビ ューア 58

はバーチャル ド メ イ ン (VDOM) 459バーチャル ド メ イ ン設定 64ハー ド デ ィ スク上のログ メ ッ セージの表示 444ハー ト ビー ト 、 HA

イ ン タ フ ェース 127パターン

フ ァ イル ブロ ッ ク 359フ ァ イル ブロ ッ ク パターンのデフ ォル ト リ ス ト

360バッ ク ア ッ プ ( 冗長 ) モー ド

モデム 93バッ ク ア ッ プ モー ド

モデム 95発信元 IP

システム状態 55発信元セ ッ シ ョ ン制限

ア ノ マ リ タ イプ 380発信元ポー ト

システム状態 55, 89範囲

Web カテゴ リ レポー ト 403反復スケジュール

[Create New] 263[Select] 263[Start] 263[Stop] 263設定 263追加 263リ ス ト 262

ひヒ ューリ ステ ィ ッ ク

アンチウイルス 368

隔離 369

ふフ ァームウ ェ ア

新しいバージ ョ ンへのア ッ プグレー ド 51フ ァ イアウォール 223, 247, 253, 261, 265, 287

ア ド レス リ ス ト 248概要 223, 247, 253, 261, 265, 287カス タム サービス リ ス ト 257仮想 IP リ ス ト 269設定 223, 247, 253, 261, 265, 287定義済みサービス 253反復スケジュール 262ポリ シー照合 224ポリ シー リ ス ト 224ワン タ イム スケジュール 261

フ ァ イアウォール IP プール オプシ ョ ン 285フ ァ イアウォール IP プール リ ス ト 284フ ァ イアウォール ア ド レス

[Address Name] 249[Create New] 249[IP Range/Subnet] 249ア ド レス グループ 250サブネ ッ ト 249追加 249名前 249リ ス ト 248

フ ァ イアウォール ア ド レス グループ[Available Addresses] 251[Group Name] 251[Members] 251追加 250

フ ァ イアウォール サービスTCP 256AH 254ANY 254AOL 254BGP 254DHCP 254DNS 254ESP 254FINGER 254FTP 254FTP_GET 254FTP_PUT 254GOPHER 254GRE 254H323 254HTTP 255HTTPS 255ICMP_ANY 255IKE 255IMAP 255INFO_ADRESS 255INFO_REQUEST 255Internet-Locator-Service 255IRC 255L2TP 255LDAP 255

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

NetMeeting 255NFS 255NNTP 255NTP 255OSPF 255PC-Anywhere 255PING 255POP3 255PPTP 256QUAKE 256RAUDIO 256RIP 256RLOGIN 256SAMBA 256SIP 256SIP-MSNmessenger 256SMTP 256SNMP 256SSH 256SYSLOG 256TALK 256TELNET 256TFTP 256TIMESTAMP 256UDP 256UUCP 256VDOLIVE 256WAIS 256WINFRAME 257X-WINDOWS 257

フ ァ イアウォール プロテ クシ ョ ン プロ フ ァ イルオプシ ョ ン 289デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288リ ス ト 288

フ ァ イアウォール ポ リ シー[ACCEPT] ア クシ ョ ン 232[Action] 225[Address Name] 230[Allow Inbound] 238[Allow outbound] 238[Authentication] 233[Create New] 225[DENY] アク シ ョ ン 232[Destination] 225, 230[Dynamic IP Pool] NAT オプシ ョ ン 232[Fixed Port] NAT オプシ ョ ン 232[Guaranteed Bandwidth] 237ID 225[Inbound NAT] 238[Insert Policy Before] 225[Interface/Zone] 230[IPSEC] アク シ ョ ン 232[Maximum Bandwidth] 238[Outbound NAT] 238[Protection Profile] 233[Schedule] 225, 231[Service] 225, 231[Source] 225, 230[Traffic Priority] 238

[Traffic Shaping] 233移動 225, 226コ メ ン ト 234削除 226設定 226追加 226ト ラ フ ィ ッ ク シ ェーピング 235ト ラ フ ィ ッ クのログ記録 233認証 234プロテ ク シ ョ ン プロ フ ァ イルの追加 300ポリ シー リ ス ト 内の位置の変更 226モデム 97

フ ァ イル パターンカ タ ログ 358

フ ァ イル ブロ ッ クアンチウイルス 358パターン 359パターンのデフ ォル ト リ ス ト 360プロテ ク シ ョ ン プロ フ ァ イル 290リ ス ト 、 アンチウイルス 359

ブー ト ス ト ラ ッ プ ルータ (BSR) 215フ ェーズ 1

IPSec イン タ フ ェース モー ド 305フ ェーズ 2

IPSec イン タ フ ェース モー ド 311フ ェーズ 1 詳細オプシ ョ ン

IPSec イン タ フ ェース モー ド 308フ ェーズ 2 詳細オプシ ョ ン

IPSec イン タ フ ェース モー ド 311フ ォーテ ィ ネ ッ ト MIB 139フ ォーテ ィ ネ ッ ト カス タ マ サービス 31フ ォーマ ッ ト されたログ 447フ ォーテ ィ ネ ッ ト 製品フ ァ ミ リ 25フ ォーテ ィ ネ ッ ト ド キュ メ ン ト 29不正侵入防御システム、 「IPS」 を参照ブ ッ ク マーク

オン ラ イ ンヘルプ アイ コ ン 35プ ッ シュ更新 173, 177

IP ア ド レスの変更 177NAT デバイス 178NAT デバイスを通じ た 178イ ン タ フ ェース 177外部 IP ア ド レスの変更 177管理 IP ア ド レスの変更 178設定 177プロキシ サーバ経由 177

フ ラ ッデ ィ ングア ノ マ リ タ イプ 380

ブレー ドシャーシ モニ タ リ ング 182

プロキシ ARP 265FortiGate イ ン タ フ ェース 265IP プール 265仮想 IP 265

プロキシ サーバ 177プ ッ シュ更新 177

プロテ ク シ ョ ン プロ フ ァ イル[IP address BWL check] 295[Action] (P2P) 298

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 481

482

索引

ActiveX 292[Add signature to outgoing emails] 291[Allow websites when a rating error occurs] 293[Amount]、 ク ラ イアン ト コ ン フ ォーテ ィ ング 290[Append with] 296[Append to] 296[Banned word check] 296[Block Audio] (IM) 298[Block File Transfers] (IM) 298[Block Login] (IM) 298[Category] 293[Comfort Clients] 290[Cookie Filter] 292[Display content meta-information on dashboard] 297[E-mail address BWL check] 295[Enable FortiGuard-Web Filtering] (HTTP のみ ) 292[Enable FortiGuard-Web Filtering Overrides] 293[FortiGuard-Antispam]、 [IP address check] 295[FortiGuard-Antispam]、 [URL check] 295FortiGuard 電子メ ール チ ェ ッ クサム チ ェ ッ ク 295[HELO DNS lookup] 295IM サマ リ情報のアーカ イブ 298[Inspect Non-standard Port] (IM) 298[Interval]、 ク ラ イアン ト コ ン フ ォーテ ィ ング 290[IPS Anomaly] 296[IPS Signature] 296IPS オプシ ョ ン 296[Java Applet Filter] 292[Limit] (P2P) 298[Oversized File/Email] 291[Pass fragmented emails] 290[Provide details for blocked HTTP errors] 293[Quarantine] 290[Rate images by URL] 293[Rate URLs by domain and IP address] 293[Return e-mail DNS check] 295scan ( デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル

) 288[Spam Action] 296[Spam submission] 295[Strict Blocking] (HTTP のみ ) 293strict (デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル

) 288[Threshold]、 [Banned word check] 296[Threshold]、 [Oversized File/Email] 291[Threshold]、 [Web content block] 291unfiltered ( デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ

イル ) 288[Virus Scan] 290Web URL ブロ ッ ク 292[Web Content Exempt] 291[Web resume download block] 292Web コ ンテンツ ブロ ッ ク 291web ( デフ ォル ト のプロテ クシ ョ ン プロ フ ァ イル

) 288Web フ ィ ルタ リ ング オプシ ョ ン 291アンチウイルス オプシ ョ ン 290オプシ ョ ン 289コ ンテンツ アーカ イブ オプシ ョ ン 297

コ ンテンツ メ タ情報のアーカ イブ 297スパム フ ィ ルタ リ ング オプシ ョ ン 294デフ ォル ト のプロテ ク シ ョ ン プロ フ ァ イル 288フ ァ イアウォール ポリ シーへの追加 300フ ァ イル ブロ ッ ク 290リ ス ト 288ロギング、 [ActiveX Filter] 299ロギング、 [Blocked Files] 299ロギング、 [Content Block] 299ロギング、 [Cookie Filter] 299ロギング、 IM ア ク テ ィ ビテ ィ 299ロギング、 [Java Applet Filter] 299ロギング、 [Log rating errors] 299ロギング、 [Oversized Files/Emails] 299ロギング、 P2P ア ク テ ィ ビテ ィ 299ロギング、 [URL Block] 299ロギング、 [Viruses] 299ロギング、 侵入 299ロギング、 スパム 299

プロ ト コルサービス 254システム状態 55種類、 カス タム サービス 258番号、 カス タム サービス 259

へヘルプ

オン ラ イ ンヘルプの検索 36キーボー ド シ ョ ー ト カ ッ ト を使用し た移動 36

ほポー ト 53 174ポー ト 8888 174ポー ト 9443 178ポー ト ア ド レス変換

仮想 IP 268ホス ト 名

ク ラス タの変更 129ポリ シー

[ACCEPT] アク シ ョ ン 232[Action] 225[Address Name] 230[Allow Inbound] 238[Allow outbound] 238[Authentication] 233[Create New] 225[DENY] アク シ ョ ン 232[Destination] 225[Dynamic IP Pool] NAT オプシ ョ ン 232[Fixed Port] NAT オプシ ョ ン 232[Guaranteed Bandwidth] 237ID 225[Inbound NAT] 238[Insert Policy Before] 225[Interface/Zone] 230[IPSEC] アク シ ョ ン 232[Maximum Bandwidth] 238[Outbound NAT] 238[Protection Profile] 233[Schedule] 225, 231

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

索引

FortiGate01-30004

[Service] 225, 231[Source] 225[Traffic Priority] 238[Traffic Shaping] 233移動 225, 226コ メ ン ト 234削除 226照合 224設定 226追加 226ト ラ フ ィ ッ ク シ ェーピング 235ト ラ フ ィ ッ クのログ記録 233認証 234ポリ シー リ ス ト 内の位置の変更 226リ ス ト 224

ポリ シーに基づ く ルーテ ィ ング 195

ま前のページ

オン ラ イ ンヘルプ アイ コ ン 35

み未加工のログ 447未登録 172

む無線

[Advanced] 設定 113[Beacon Interval] 113, 114[Channel]、 FortiWiFi-60 112[Fragmentation Threshold] 113[Geography] 112, 113[Key] 112MAC ア ド レス 112, 113MAC フ ィ ルタ 114[Operation Mode] 112, 113[Pre-shared Key] 112[Radius Server Name] 113[RTS Threshold] 113[Security mode] 112[SSID] 112[SSID Broadcast] 112[Tx Power] 113, 114WiFi-60A または WiFi-60AM の設定 113WiFi-60 の設定 112設定 109, 113チャネル、 FortiWiFi-60A 114

無線、 [Geography] 112無線、 [SSID] 112無線、 セキュ リ テ ィ 112

めメ ッ セージ、 ログ 446

も目次

オン ラ イ ンヘルプ アイ コ ン 36目次の表示

オン ラ イ ンヘルプ アイ コ ン 36モデム

冗長 ( バッ クア ッ プ ) モー ド 93ス タ ン ド アロン モー ド 93, 96

設定 93バッ ク ア ッ プ モー ド 95フ ァ イアウォール ポリ シーの追加 97

モニ タルーテ ィ ング 219IPSec VPN 319管理者ログイ ン 163

ゆ有効なラ イセンス 172ユーザ グループ

設定 346ユーザ認証

PKI 343

よ読み取り および書き込みアクセス レベル

管理者アカウン ト 50, 153, 166読み取り専用アクセス レベル

管理者アカウン ト 50, 153, 155

らラ イセンス

FortiGuard 170ラ イセンス キー 180ラ ンデブー ポイ ン ト (RP) 215

りリ モー ト 管理 85, 149リ モー ト ピア

手動キー イ ン タ フ ェース モー ド 315

るルータ モニ タ

HA 220ルーテ ィ ング

ス タ テ ィ ッ ク 190設定 92モニ タ 219ECMP 190

ルーテ ィ ング テーブル 219ルー ト

HA 220

れ列の設定 447レポー ト 454

FortiGuard 402FTP へのア ッ プロー ド 461gzip 461[Resolve Host Names] 460[Resolve Service Names] 460Web カテゴ リ ブロ ッ ク 402ア ッ プロー ド後に削除する 461出力 460種類 459種類、 カテゴ リ ブロ ッ ク 403スケジュール、 FortiAnalyzer 461範囲、 FortiAnalyzer 456

レポー ト の出力 460連絡先情報

SNMP 133

バージ ョ ン 3.0 MR4 管理ガイ ド-0203-20070102 483

484

索引

ろローカル証明書

オプシ ョ ン 328リ ス ト 327

ロギング[ActiveX Filter] 299[Blocked Files] 299[Cookie Filter] 299IM ア ク テ ィ ビテ ィ 299[Java Applet Filter] 299[Log rating errors] 299[Oversized Files/Emails] 299P2P ア ク テ ィ ビテ ィ 299URL ブロ ッ ク 299ウイルス 299コ ンテンツ ブロ ッ ク 299侵入 299スパム 299

ログ 443FortiAnalyzer 434P2P ログ 443Web フ ィ ルタ ログ 442アンチウイルス ログ 441イ ンス タ ン ト メ ッ セージ ログ 443検索 448

攻撃ア ノ マ リ 442攻撃シグネチャ 442種類 439スパム フ ィ ルタ ログ 443表示 444フ ィ ルタ 448フ ォーマ ッ ト 447未加工 447列の設定 447

ログのフ ィ ルタ リ ング 448ログへのアクセス 444ログ メ ッ セージの読み出し 446ログ メ ッ セージへのアクセス

ハー ド デ ィ スク 444

わワイルド カー ド

オン ラ イ ンヘルプの検索 36ワン タ イム スケジュール

[Create New] 261[Start] 262[Stop] 262設定 262追加 262リ ス ト 261

FortiGate バージ ョ ン 3.0 MR4 管理ガイ ド01-30004-0203-20070102

www.fortinet.com