ネットワーク > ウェブ プロキシ

ユーザと Dell SonicWALL 装置の間などの内部ネットワークにあるプロキシ サーバを介してユーザがウェブにアクセスすると、Dell SonicWALL 装置からはユーザではなくプロキシ サーバから HTTP/HTTPS 接続が行われているように見えます。

ログ記録、ポリシーの適用などを目的にユーザを識別するためには、プロキシ サーバの背後にいるユーザからの接続の初めの送信元 IP アドレスを装置側で認識する必要があります。これは、(オプションで) プロキシ サーバから HTTP ヘッダーの「X-Forwarded-For」フィールドで提供されます。

「X-Forwarded-For」HTTP ヘッダー フィールドの使用

「X-Forwarded-For」HTTP ヘッダー フィールドは、Squid プロキシ サーバによって初めて導入されましたが、現在では事実上の標準になっており、IETF による標準化も進められています。これは、プロキシ サーバからウェブ サーバへ送信される HTTP 要求に挿入され、ウェブ要求を出したクライアントの発信元 IP アドレスを示します。

接続がプロキシ サーバの連鎖を経由する場合、「X-Forwarded-For」でカンマ区切りの IP アドレス リストを示し、その先頭アドレスでダウンストリームの先端のアドレス (ユーザ) を示すことができます。

「X-Forwarded-For」フィールドが存在する場合、SonicOS はそこからユーザの IP アドレスを読み取ることができ、HTTP 要求の実際の送信元 IP アドレス (この場合はプロキシ サーバ) ではなく、こちらのアドレスを使用することによってユーザを識別することができます。

セキュリティ上の理由から、プロキシ サーバは管理者が手動で指定する必要があります。

ハッカーが、「X-Forwarded-For」を任意に設定した HTTP 要求を作成し、実際以上の権限を持った別のユーザを装うことに悪用する可能性があります。そのため、装置側では、「X-Forwarded-For」ヘッダー フィールドが存在しても、渡された IP アドレスが有効なユーザであると無条件に信頼することはできません。したがって、既知のプロキシ サーバから到着した HTTP 要求でない限り、「X-Forwarded-For」は無視されます。この目的を実現するために、SonicOS 管理インターフェースではプロキシ サーバのリストを設定できます。

プロキシ サーバの連鎖を目的としてプロキシ サーバから「X-Forwarded-For」で IP アドレスのリストを渡すことができるので、ハッカーが挿入したなりすまし IP アドレスがプロキシ サーバからの「X-Forwarded-For」フィールドで渡されるようなことがあると同じ脆弱性が存在することになります。SonicOS ではこのような状況をコントロールしないので、プロキシ サーバがこれを防ぐように適切に設定されていることを前提とする必要があります。

ウェブ プロキシ サーバは HTTP 要求をインターセプトし、要求されたウェブ ページのコピーを保管しているかどうかを判別します。保管していない場合、プロキシはインターネット上のサーバへの要求を完了し、要求された情報をユーザに返すとともに将来の要求に備えてローカルに保存します。ネットワーク上の各コンピュータがウェブ要求をサーバに送る設定をする必要があるため、ネットワーク上のウェブ プロキシ サーバのセットアップは手間がかかる場合があります。

プロキシ サーバがネットワーク上にある場合は、各コンピュータのウェブ ブラウザがプロキシ サーバに接続する設定をする代わりに、「ネットワーク > ウェブ プロキシ」ページの設定を使用して、サーバをWAN に移動しウェブ プロキシ転送を有効にすることができます。ファイアウォールによってすべてのウェブ プロキシ要求が自動的にプロキシ サーバに転送され、ネットワーク上のすべてのコンピュータを設定する必要はありません。

次の図に、「ネットワーク > ウェブ プロキシ」ページを示します。