第19章 アドレス オブジェクトの設定
ネットワーク ＞ アドレス オブジェクト
アドレス オブジェクトは、ＳｏｎｉｃＯＳ の４つのオブジェクト クラス （アドレス、ユーザ、サービス、スケジュール） の１つです。アドレス オブジェクトを使用することで、１度定義したエンティティをＳｏｎｉｃＯＳインターフェース全体の複数の参照インスタンスで再利用することができます。例えば、ＩＰアドレスが６７.１１５.１１８.８０の内部ウェブ サーバがあるとします。アクセス ロールやＮＡＴポリシーを作成する際にＩＰアドレスを繰り返し入力するのではなく、アドレス オブジェクトを使用して、例えば“マイ ウェブ サーバ”という１つのエンティティをＩＰアドレス６７.１１５.１１８.８０のホスト アドレス オブジェクトとして作成します。この“マイ ウェブ サーバ”アドレス オブジェクトは、アドレス オブジェクトを定義条件として使用する任意の設定画面で、ドロップダウン メニューから簡単に選択できます。
アドレス オブジェクトの種類
ネットワーク アドレスの表現にはさまざまな種類があるため、現在は以下の種類のアドレス オブジェクトが用意されています。
･ ホスト － ＩＰアドレスによって１つのホストを定義するホスト アドレス オブジェクト。ホスト アドレス オブジェクトのサブネット マスクは、単独のホストを識別できるように自動的に３２ビット （２５５.２５５.２５５.２５５） に設定されます。例えば、“マイ ウェブ サーバ”のＩＰアドレスが“６７.１１５.１１８.１１０”のとき、既定のネットマスクは“２５５.２５５.２５５.２５５”になります。
･ 範囲 － 連続するＩＰアドレスの範囲を定義する範囲アドレス オブジェクト。範囲アドレス オブジェクトにはサブネット マスクは関連付けられませんが、内部ロジックでは通常、指定範囲の各アドレスは３２ビットでマスクされたホスト オブジェクトとして扱われます。例えば、“マイ公開サーバ”の開始ＩＰアドレスが“６７.１１５.１１８.６６”、終了ＩＰアドレスが“６７.１１５.１１８.９０”であるとします。この場合、この範囲にある２５個のホスト アドレスはすべて、この範囲アドレス オブジェクトに含まれます。
･ ネットワーク － ネットワーク アドレス オブジェクトは、複数のホスト アドレスで構成されているという点では範囲オブジェクトと似ていますが、アドレスの上限と下限を指定するのではなく、有効なサブネット マスクによってアドレスの境界を定義します。ネットワーク アドレス オブジェクトは、ネットワークのアドレスとそれに対応するサブネット マスクによって定義する必要があります。例えば、ネットワーク値が“６７.１１５.１１８.６４”、サブネット マスクが“２５５.２５５.２５５.２２４”の“マイ公開ネットワーク”のアドレスは、６７.１１５.１１８.６４～６７.１１５.１１８.９５になります。一般的なルールとして、ネットワークの最初のアドレス （ネットワーク アドレス） およびネットワークの最後のアドレス （ブロードキャスト アドレス） は使用できません。
･ ＭＡＣアドレス － ＭＡＣアドレス オブジェクトを使用することで、ハードウェア アドレス、つまりＭＡＣ （メディア アクセス コントロール） アドレスによってホストを識別できます。ＭＡＣアドレスは、ハードウェアの製造元によって有線または無線のすべてのネットワーク機器に個別に割り当てられており、変更できないようになっています。ＭＡＣアドレスは、６バイト１６進数形式で表記される４８ビット値です。例えば、“マイ アクセス ポイント”のＭＡＣアドレスは“００：０６：０１：ＡＢ：０２：ＣＤ”などとなります。ＭＡＣアドレスは、セキュリティ装置のＡＲＰキャッシュを参照することでＩＰアドレスに解決されます。ＭＡＣアドレス オブジェクトは、ＳｏｎｉｃＯＳのさまざまな無線設定コンポーネントで使用されます。
･ ＦＱＤＮアドレス － ＦＱＤＮアドレスを使用することで、例えば“www.sonicwall.com”など、ホストの完全修飾ドメイン名 （ＦＱＤＮ） を使ってホストを指定することができます。ＦＱＤＮは、セキュリティ装置の設定で指定されているＤＮＳサーバを使用してＩＰアドレスに解決されます。ワイルドカード エントリもサポートされており、ワイルドカードを指定すると、承認済みＤＮＳサーバへの問い合わせに対する応答が収集されるようになります。
アドレス オブジェクト グループ
ＳｏｎｉｃＯＳ には、アドレス オブジェクトをアドレス オブジェクト グループにグループ化する機能があります。アドレス オブジェクトのグループを定義することで、参照の効率を向上させることができます。グループは、ホスト アドレス オブジェクト、範囲アドレス オブジェクト、ネットワーク アドレス オブジェクトを任意に組み合わせて構成できます。ＭＡＣアドレス オブジェクトは別にグループ化する必要がありますが、ＩＰベースのアドレス オブジェクトのグループにＭＡＣアドレス オブジェクトを追加すること自体は安全です。ＩＰアドレス オブジェクトのグループに追加されたＭＡＣアドレス オブジェクトは、処理のコンテキストにおいてその参照が無意味なとき （ＮＡＴポリシーの場合など） には無視されます。たとえは、“マイ公開グループ”にはホスト アドレス オブジェクトである“マイ ウェブ サーバ”と、範囲アドレス オブジェクトである“マイ公開サーバ”を含められるので、ＩＰアドレス６７.１１５.１１８.６６～６７.１１５.１１８.９０、およびＩＰアドレス６７.１１５.１１８.１１０を効率的に表すことができます。
アドレス オブジェクトの作成と管理
「ネットワーク ＞ アドレス オブジェクト」ページでは、アドレス オブジェクトの作成と管理を行えます。
「表示形式」メニューを使って、以下の方法でアドレス オブジェクトを表示できます。
･ すべてのアドレス オブジェクト － 設定済みのすべてのアドレス オブジェクトを表示します。
･ ユーザ定義アドレス オブジェクト － ユーザ定義のプロパティを持つアドレス オブジェクトを表示します。
･ 既定のアドレス オブジェクト － ＳｏｎｉｃＷＡＬＬセキュリティ装置に既定で設定されているアドレス オブジェクトを表示します。
アドレス オブジェクトを並べ替えることで、ＳｏｎｉｃＷＡＬＬセキュリティ装置に設定されているアドレス オブジェクトを簡単に探すことができます。
補足 アドレス オブジェクトは、ＮＡＴポリシー、アクセス ルール、サービスを設定する前に定義する必要があります。
アドレス オブジェクトとアドレス グループ エントリのナビゲートと並べ替え
「アドレス オブジェクト」テーブルと「アドレス グループ」テーブルは、多数のアドレス オブジェクトやアドレス グループを表示できるように簡単にページ付けすることができます。テーブルの右上にあるナビゲーション コントロール バーを使用して、「アドレス オブジェクト」テーブルまたは「アドレス グループ」テーブルに表示された多数のエントリをナビケートできます。ナビゲーション コントロール バーには４つのボタンがあります。左端のボタンは、テーブルの最初のページを表示します。右端のボタンは、最後のページを表示します。内側の左矢印ボタンと右矢印で、それぞれ前または次のページに移動します。
「表示範囲」フィールドにポリシー番号 （「＃名前」カラムにおいてポリシー名の前に記載されている番号） を入力することにより、特定のエントリに移動できます。既定のテーブル設定では、ページあたり５０個のエントリが表示されます。この既定のテーブル エントリ数は、「システム ＞ 管理」ページで変更できます。
テーブルのエントリを並べ替えるには、列見出しを選択します。エントリは昇順または降順で並べ替えられます。列エントリの右側にある矢印が、並べ替え状況を示します。下向きの矢印は昇順を意味します。上向きの矢印は降順を示します。
既定のアドレス オブジェクトおよびアドレス グループ
「既定のアドレス オブジェクト」表示では、ＳｏｎｉｃＷＡＬＬセキュリティ装置の既定のアドレス オブジェクトおよびアドレス グループが表示されます。「既定のアドレス オブジェクト」エントリは、変更や削除ができません。そのため、既定エントリの編集アイコンと削除アイコンは淡色表示になります。
アドレス オブジェクトの追加
･ 「ホスト」を選択した場合、「ＩＰアドレス」フィールドと「サブネット マスク」フィールドにＩＰアドレスとサブネット マスクを入力します。
アドレス オブジェクトの編集と削除
アドレス オブジェクトを編集するには、「アドレス オブジェクト」テーブルの「設定」カラムにある編集アイコン 
を選択します。「アドレス オブジェクトの編集」ウィンドウが開き、「アドレス オブジェクトの追加」ウィンドウと同じ設定項目が表示されます。
アドレス オブジェクトを削除するには、「設定」カラムで、削除するアドレス オブジェクトに対応する削除アイコン 
を選択します。削除を確認するダイアログ ボックスが表示されます。「ＯＫ」を選択すると、アドレス オブジェクトが削除されます。アクティブなアドレス オブジェクトを複数削除するには、削除するアドレス オブジェクトを選択して「削除」ボタンを選択します。
グループ アドレス オブジェクトの作成
ＳｏｎｉｃＷＡＬＬセキュリティ装置に追加されたアドレス オブジェクトの数が増えてきたら、アドレスのグループを作成することで、アドレスやアクセス ポリシーの管理を容易にすることができます。グループに加えた変更は、グループ内の各オブジェクトに適用されます。アドレス オブジェクトのグループを追加するには、以下の手順を実行します。
ヒント グループからアドレスまたはサブネットを削除するには、右側のカラムでＩＰアドレスまたはサブネットを選択して、左向きの矢印を選択します。選択した項目が右側のカラムから左側のカラムに移動されます。
アドレス グループの編集と削除
グループを編集するには、編集アイコンを選択します。
グループを編集するには、「アドレス グループ」テーブルの「設定」カラムにある編集アイコン を選択します。「アドレス オブジェクト グループの編集」ウィンドウが表示されます。変更を加えた後、「ＯＫ」を選択します。
アドレス グループを個別に削除するには、「設定」カラムにある削除アイコン を選択します。削除を確認するダイアログ ボックスが表示されます。「ＯＫ」を選択すると、アドレス グループが削除されます。アクティブなアドレス グループを複数削除するには、削除するアドレス グループを選択して「削除」ボタンを選択します。
公開サーバ ウィザード
ＳｏｎｉｃＯＳ には、ＳｏｎｉｃＷＡＬＬセキュリティ装置を公開サーバ用に設定する作業を自動化する公開サーバ ウィザードが用意されています。このウィザードは、例えば、ネットワーク上の電子メール サーバおよびウェブ サーバをインターネット上のユーザがアクセスできるように公開する場合などに使用できます。
ウィザードを使用してＳｏｎｉｃＷＡＬＬセキュリティ装置を設定する手順の詳細については、第22部「ウィザード」を参照してください。
動的アドレスの使用
ＳｏｎｉｃＯＳ では初期のバージョンから常に、ユーザ インターフェースのほとんどの領域において、ＩＰアドレスを表すためにアドレス オブジェクト （ＡＯ） が使われてきました。アドレス オブジェクトは以下の種類に分類されます。
･ ホスト － 個々のＩＰアドレスと、それに関連付けられているサブネット マスクおよびゾーン。
･ ＭＡＣ （旧バージョン） － メディア アクセス コントロール （イーサネット ホストに割り当てられている固有のハードウェア アドレス）。ＭＡＣ ＡＯはＳｏｎｉｃＯＳ ２.５で初めて導入され、最初は以下の目的で使用されていました。
･ ＳｏｎｉｃＰｏｉｎｔを識別する
･ ホストにおいて、ゲスト サービスの認証をバイパスできるようにする
･ 無線スキャンで検出された無線アクセス ポイントのＢＳＳＩＤ （基本サービス セット識別子、ＷＬＡＮ ＭＡＣ） を許可する
･ 範囲 － 開始アドレスと終了アドレスによって指定される特定範囲内のすべてのＩＰアドレス。
･ グループ － さまざまな種類のアドレス オブジェクトをまとめて扱うためのアドレス オブジェクトの集まり。グループには、他のグループ、ホスト、ＭＡＣ、範囲、またはＦＱＤＮのアドレス オブジェクトを含めることができます。
ＳｏｎｉｃＯＳ ３.５ではＭＡＣ ＡＯの動作が再定義され、完全修飾ドメイン名 （ＦＱＤＮ） ＡＯが導入されました。
･ ＭＡＣ － ＳｏｎｉｃＯＳ ３.５以降では、ＳｏｎｉｃＷＡＬＬ上のＡＲＰキャッシュを参照することによって、ＭＡＣ ＡＯがＩＰアドレスに解決されます。
･ ＦＱＤＮ － 完全修飾ドメイン名 （例えば“www.reallybadwebsite.com”など） は、ＳｏｎｉｃＷＡＬＬの設定で指定されているＤＮＳサーバを使用して （１つまたは複数の） ＩＰアドレスに解決されます。ワイルドカード エントリもサポートされており、ワイルドカードを指定すると、承認済みＤＮＳサーバへの問い合わせに対する応答が収集されるようになります。
アドレス オブジェクトの作成は単にＩＰアドレスを入力するよりも手間がかかりますが、アドレス オブジェクトはＳｏｎｉｃＯＳ の管理機構を補完する目的で実装されており、それによって以下の特徴が実現されています。
･ ゾーンの関連付け － ホスト、ＭＡＣ、およびＦＱＤＮのアドレス オブジェクトを定義する際は、明示的にゾーンを指定する必要があります。インターフェースのほとんどの領域 （アクセス ルールなど） では、指定されたゾーンは参照のためにしか使われません。指定されたゾーンが機能上の目的で使用されるのは、「アドレス オブジェクト」ドロップダウン リストの項目をコンテキストに合わせて正確に表示するために利用される場合と、ユーザおよびグループに割り当てる“ＶＰＮアクセス”を定義する場合です。アドレス オブジェクトを使用してＶＰＮアクセスを定義する際には、アクセス ルール自動作成プロセスによってアドレス オブジェクトのゾーンが参照され、そのルールを割り当てるべきＶＰＮ［ゾーン］の共通部分が適切に決定されます。例えば、ＬＡＮゾーンに属する“１９２.１６８.１６８.２００ホスト”というホスト アドレス オブジェクトが“Ｔｒｕｓｔｅｄ Ｕｓｅｒｓ”ユーザ グループの“ＶＰＮアクセス”に追加された場合、自動的に作成されるアクセス ルールはＶＰＮ ＬＡＮゾーンに割り当てられます。
･ 管理と処理 － 多用途の種別に属するアドレス オブジェクト群はＳｏｎｉｃＯＳ インターフェース全域で容易に使用できるため、（アクセス ルールなどからの） ハンドルの定義と管理を簡便に行うことができます。また、アドレス オブジェクト グループのメンバーは単純な操作によって簡単に追加または削除できるので、それを参照するルールやポリシーを直接操作する必要なしに、ルールやポリシーの内容を効率的に変更することができます。
･ 再利用性 － オブジェクトを定義する必要があるのは一度だけで、定義したオブジェクトは必要に応じて何度でも容易に参照できます。
動的アドレス オブジェクトの主要な機能
動的アドレス オブジェクト （ＤＡＯ） とは、ＭＡＣ ＡＯおよびＦＱＤＮ ＡＯの使用を可能にする基底フレームワークのことを表す用語です。「ファイアウォール ＞ アクセス ルール」は、アドレス オブジェクトを静的な構造から動的な構造に変換することによって、ネットワークの変化に自動的に対応できます。
補足 当初の段階では、ＳｏｎｉｃＯＳ ４.０、５.０および５.１で動的アドレス オブジェクトがサポートされるのはアクセル ルール内のみです。ＳｏｎｉｃＯＳ の将来のバージョンでは、ＮＡＴやＶＰＮなどのその他のサブシステムにもＤＡＯのサポートが導入される可能性があります。
ネットワーク上の承認済みサーバの使用の強制
ネットワーク上の承認済みサーバ （許可されたサーバ） の使用を強制することは必須ではありませんが、そのような設定を行うことをお勧めします。この設定は不正なネットワーク活動の抑止に有効であるだけでなく、ＦＱＤＮワイルドカードの解決プロセスの信頼性を確保するためにも役立ちます。一般に、既知のプロトコルによる通信のエンドポイントは可能な限り明確に定義することが望ましいと言えます。そのためには、例えば、以下のような方法を使用することが考えられます。
･ 承認済みサーバ （ＳＭＴＰサーバ、ＤＮＳサーバなど） のアドレス オブジェクト グループを作成します。
･ 該当するゾーンのアクセス ルールを作成して、内部ネットワーク上の承認済みＳＭＴＰサーバにのみＳＭＴＰ通信の発信を許可し、それ以外のすべてのＳＭＴＰ発信トラフィックを遮断することにより、意図的または意図しないスパムの送信を防止します。
･ 該当するゾーンのアクセス ルールを作成して、内部ネットワーク上の承認済みＤＮＳサーバに対して、すべての宛先ホストとのＤＮＳプロトコル （ＴＣＰ／ＵＤＰ ５３） による通信を許可します。内部ネットワーク上にＤＮＳサーバを設置している場合は、必ずこのルールを定義したうえで、アクセスを制限する次のＤＮＳルールを設定する必要があります。.
･ 該当するゾーンのアクセス ルールを作成して、ファイアウォールで保護されたホストからのＤＮＳ （ＴＣＰ／ＵＤＰ ５３） 通信を承認済みＤＮＳサーバに対してのみ許可し、それ以外のすべてのＤＮＳアクセスを遮断することにより、未承認のＤＮＳサーバとの通信の発生を防止します。
ＭＡＣおよびＦＱＤＮ動的アドレス オブジェクトの使用
ＭＡＣおよびＦＱＤＮの動的アドレス オブジェクトを使用すると、アクセス ルールを非常に柔軟な形で構築できるようになります。ＭＡＣアドレス オブジェクトおよびＦＱＤＮアドレス オブジェクトの設定は、静的アドレス オブジェクトの場合と同じ方法で「ネットワーク ＞ アドレス オブジェクト」ページから行います。動的アドレス オブジェクトの作成後に、その表示項目にマウスを合わせると、そのオブジェクトの状況が表示されます。また、動的アドレス オブジェクトの追加や削除を行うと、その操作がイベントとしてログに記録されます。
動的アドレス オブジェクトは、さまざまな用途に使用できます。以下に示す例は、可能な活用方法のごく一部にすぎません。ＳｏｎｉｃＯＳ の将来のバージョンでは、動的アドレス オブジェクトの汎用性がさらに拡張される可能性があります。
ＦＱＤＮ ＤＡＯの使用による、ドメインに対するすべてのプロトコルのアクセス遮断
非標準ポートを使った処理や、未知のプロトコルの使用、暗号化やトンネル化 （またはその両方） によるトラフィックの意図的な不明瞭化などを行っているという理由から、特定の送信先ＩＰアドレスへのすべてのプロトコルのアクセスを遮断することが望ましい場合があります。具体的な例としては、ホーム ネットワークのトンネルを通すことによってトラフィックを不明瞭化するという目的で、ＤＳＬモデムまたはケーブル モデムに接続されたホーム ネットワーク上にＨＴＴＰＳプロキシ サーバを設定した場合 （あるいはその他の方法で、５３、８０、４４３などの“信頼できる”ポート、および５７３４、２３２２１、６３４６６などの非標準ポートのポート転送／トンネル化を行っている場合） などが考えられるでしょう。このようなネットワークではポートが予測不能であるだけでなく、多くの場合、ＩＰアドレスも動的に設定されるため同様に予測不能となり、状況はさらに複雑化します。
これらのシナリオでは、通常、ユーザがホーム ネットワークを特定することを可能にするために動的ＤＮＳ （ＤＤＮＳ） が利用されるので、ＦＱＤＮ ＡＯを積極的に活用することによって、ＤＤＮＳレジストラに登録されているすべてのホストに対するアクセスを遮断することができます。
補足 ここでは例としてＤＤＮＳターゲットの場合を示しています。非ＤＤＮＳターゲット ドメインも同様に使用できます。
想定条件
･ ＳｏｎｉｃＷＡＬＬファイアウォールは、１０.５０.１６５.３および１０.５０.１２８.５３のＤＮＳサーバを使用するように設定されているとします。
･ ＳｏｎｉｃＷＡＬＬは、ファイアウォールで保護されているすべてのユーザに対してＤＨＣＰリースを提供しているものとします。ネットワーク上のすべてのホストは上記の設定済みＤＮＳサーバを使用して解決を行います。
･ 必須ではありませんが、「ネットワーク上の承認済みサーバの使用の強制」で説明した方法により、アクセス ルールを使って未承認ＤＮＳサーバへのＤＮＳ通信を遮断することもできます。
･ ＤＳＬホーム ネットワークのユーザがＤＤＮＳプロバイダのＤｙｎＤＮＳに登録しているドメイン名は、moosifer.dyndns.orgであるとします。このセッションでＩＳＰがこのＤＳＬ接続に割り当てたアドレスは、７１.３５.２４９.１５３であるとします。
･ 同じＩＰアドレスに対して別のホスト名を登録することは容易なので、後からホスト名が追加されることを想定してＦＱＤＮ ＡＯを使用しています。必要に応じて、別のＤＤＮＳプロバイダに対応するエントリを追加することもできます。
ステップ１ － ＦＱＤＮアドレス オブジェクトの作成
･ 「ネットワーク ＞ アドレス オブジェクト」ページで「追加」を選択し、次のアドレス オブジェクトを作成します。
･ 最初に作成された時点では、このエントリの解決先はｄｙｎｄｎｓ.ｏｒｇのアドレス （６３.２０８.１９６.１１０など） のみです。
ステップ２ － ファイアウォール アクセス ルールの作成
･ 「ファイアウォール ＞ アクセス ルール」ページで「追加」を選択し、「送信元ゾーン」を「ＬＡＮ」に、「送信先ゾーン」を「ＷＡＮ」にそれぞれ設定して、次のアクセス ルールを追加します。
補足 送信元として“ＬＡＮ Ｓｕｂｎｅｔｓ”を指定する代わりに、必要に応じて、より限定的な送信元を指定することによって、特定のホストからの送信のみを対象としてターゲットへのアクセスを禁止することもできます。
･ ファイアウォールで保護されているホストが承認済みＤＮＳサーバを使用してｍｏｏｓｉｆｅｒ.ｄｙｎｄｎｓ.ｏｒｇの解決を試行した場合、その問い合わせに対する応答として返された （１つまたは複数の） ＩＰアドレスがＦＱＤＮ ＡＯに動的に追加されます。
･ このＦＱＤＮに含まれるターゲット ホストへのアクセスはプロトコルに関係なく遮断され、アクセスが試行された場合は、そのイベントがログに記録されます。
ＦＱＤＮベースのアクセス ルールに適した内部ＤＮＳサーバの使用
ＤＨＣＰで動的に構成されるネットワーク環境は、内部ホストの登録を動的に行うために、内部ＤＮＳサーバと組み合わせて運用されるのが一般的であり、広く使われているマイクロソフトのＤＨＣＰサービスとＤＮＳサービスもその一例です。このようなネットワークでは、ネットワーク上のホストを設定することによって、適切に設定されたＤＮＳサーバ上のＤＮＳレコードの動的更新を容易に実現することができます （詳細については、マイクロソフトのサポート技術情報「Ｗｉｎｄｏｗｓ Ｓｅｒｖｅｒ ２００３でＤＮＳ動的更新を構成する方法」 〈http://support.microsoft.com/kb/816592/ja〉 などを参照してください）。
次の図は、典型的なＤＮＳ動的更新プロセスのパケットの詳細情報を示したものです。この例では、動的に設定されたホスト （１０.５０.１６５.２４９） が、（ＤＨＣＰで提供された） ＤＮＳサーバ （１０.５０.１６５.３） に対して、完全なホスト名 （bohuymuth.moosifer.com） を登録していることがわかります。
このような環境では、ＦＱＤＮ ＡＯを利用して、ホスト名によるアクセス制御を行うことが有益な場合があります。この方法が最も有効に適用できるのは、ネットワーク内のホスト名が既知の場合 （ホスト名のリストが保持されている場合や、一貫した名前付け規則が使用されている場合など） です。
ＭＡＣアドレスによる動的ホストのネットワーク アクセスの制御
ほとんどのネットワークでは静的なアドレス設定よりもＤＨＣＰが利用されることの方がはるかに多いため、特に、動的なＤＮＳ更新が行われていない場合や、ホスト名が常に確定しているとは言えない環境では、動的に設定されるホストのＩＰアドレスを予測するのが困難な場合があります。このような状況では、ＭＡＣアドレス オブジェクトを使用することにより、ほぼ不変のＭＡＣ （ハードウェア） アドレスに基づいてホストのアクセスを制御することができます。
その他のほとんどのアクセス制御方法と同様、ＭＡＣアドレスによるアクセス制御も、アクセスを原則的に許可して特定のホストまたはホストのグループを送信先／送信元とするアクセスのみを禁止する方法と、アクセスを原則的に禁止して特定のホストまたはホストのグループに対してのみアクセスを許可する方法のどちらでも利用できます。ここでは、例として後者の場合を示します。
ＤＨＣＰに対応した複数の無線クライアントがあり、これらのクライアントでは独自のオペレーティング システムが実行されているため、ユーザ レベルの認証は一切利用できないと仮定しましょう。そして、これらのクライアントに対して、ＬＡＮ上のアプリケーション固有サーバ （例えば、１０.５０.１６５.２） へのアクセスのみを許可する必要があるとします。ＷＬＡＮセグメントではセキュリティのためにＷＰＡ-ＰＳＫが使用されていますが、これらのクライアントからのアクセスを許可する対象は１０.５０.１６５.２のサーバのみであり、ＬＡＮ上のそれ以外のリソースへのアクセスはすべて禁止しなければなりません。また、その他のすべての無線クライアントに対しては、１０.５０.１６５.２へのアクセスのみを禁止し、それ以外の場所へのアクセスはすべて許可する必要があります。
ステップ１ － ＭＡＣアドレス オブジェクトの作成
･ 「ネットワーク ＞ アドレス オブジェクト」ページで「追加」を選択し、次のアドレス オブジェクトを作成します （マルチホームのオプションは必要に応じて選択します）。
･ アドレス オブジェクトの作成完了時点において、対象のホストがＳｏｎｉｃＷＡＬＬのＡＲＰキャッシュに含まれている場合は、直ちにその解決が行われます。ＡＲＰキャッシュ内にホストの情報が存在しない場合は、ホストが有効化されてＡＲＰによって検出されるまでの間、「アドレス オブジェクト」テーブルにはそれらのアドレスが「未解決」状態として表示されます。
ステップ２ － ファイアウォール アクセス ルールの作成
･ アクセス ルールを作成するには、「ファイアウォール ＞ アクセス ルール」ページに移動して「すべてのルールを表示」ラジオ ボタンを選択し、ページの下部が表示されるまでスクロールして「追加」ボタンを選択します。
･ 次の４つのアクセス ルールを作成します。
補足 この例では、ハンドヘルド機器によって使用される特定のアプリケーションを表すために「ＭｅｄｉａＭｏｏｓｅサービス」というサービスを使用しています。固有サービスの宣言はオプションであり、必要に応じて行ってください。
ドメイン全体へのアクセスの帯域幅管理
ストリーミング メディアは、ネットワークの帯域幅を最も大量に消費するサービスの１つです。ストリーミング メディアを配信しているサイトでは、ほとんどの場合、多数のサーバからなるサーバ ファームが利用されているため、これらのサイトへのアクセスを制御したり、サイトへの接続に割り当てられる帯域幅を管理したりすることは容易ではありません。さらに、これらのサイトではメディアが再エンコードされてからＨＴＴＰで送信される場合が多いので、種別による分類や分離を行うことはいっそう難しくなっています。これらのサイトを構成しているサーバのリストを手動で管理するのは困難な仕事ですが、ワイルドカードＦＱＤＮアドレス オブジェクトを使用すると、その作業を簡単化することができます。
ステップ１ － ＦＱＤＮアドレス オブジェクトの作成
･ 「ネットワーク ＞ アドレス オブジェクト」ページで「追加」を選択し、次のアドレス オブジェクトを作成します。
アドレス オブジェクトが最初に作成された時点では、youtube.comは２０８.６５.１５３.２４０、２０８.６５.１５３.２４１、２０８.６５.１５３.２４２のＩＰアドレスに解決されますが、内部ホストがyoutube.comドメイン内のすべての要素に対応する各ホストの解決を開始した後は、v87.youtube.comサーバ （２０８.６５.１５４.８４） のエントリなど、内部ホストからの問い合わせによって取得されたホスト エントリが追加されていきます。
ステップ２ － ファイアウォール アクセス ルールの作成
･ 「ファイアウォール ＞ アクセス ルール」ページで「追加」を選択し、「送信元ゾーン」を「ＬＡＮ」に、「送信先ゾーン」を「ＷＡＮ」にそれぞれ設定して、次のアクセス ルールを追加します。
補足 「帯域幅」タブが表示されない場合は、ＷＡＮインターフェース上の帯域幅を宣言することによって帯域幅管理を有効化します。帯域幅管理の詳細については、「Ｃｏｎｆｉｇｕｒｉｎｇ ＱｏＳ ａｎｄ ＢＷＭ」 〈http://www.sonicwall.com/support/pdfs/configuring_qos_and_bwm.pdf〉 を参照してください。
･ 「アクセス ルール」テーブル内に、帯域幅管理が有効であることを示す帯域幅管理アイコンと統計情報が表示されるようになります。*.youtube.comのすべてのホストに対するアクセスは、どのプロトコルを使用している場合でも、累積的に、すべてのユーザ セッションで利用可能な合計帯域幅の２％までに制限されます。