SonicOS には、ファイアウォールをあらゆるイーサネット ネットワークに透過的に統合するための手法として、L2 (レイヤ 2) ブリッジ モードが備わっています。L2 ブリッジ モードは、ファイアウォールが 2 つのインターフェース間で共通のサブネットを共有し、すべての IP トラフィックに対してステートフルな精密パケット検査を実行できるという点で、見かけ上は SonicOS のトランスペアレント モードに似ていますが、機能上は、より多目的な用途に対応しています。
L2 ブリッジ モードの多目的性を示すもう 1 つの例が、このモードを使用して IPS スニッファ モードを設定できることです。IPS スニッファ モードは、Dell SonicWALL セキュリティ装置でサポートされ、ブリッジ ペアの 1 インターフェースを使用してスイッチ上のミラーリングされたポートからのネットワーク トラフィックを監視します。IPS スニッファ モードでは侵入検知が可能ですが、ファイアウォールがトラフィック フローにインラインで接続されていないため、悪意のあるトラフィックを遮断することはできません。IPS スニッファ モードの詳細については、IPS スニッファ モード を参照してください。
L2 ブリッジ モードは、既存のファイアウォールが存在し、既存のファイアウォールを変更する計画が当面はなく、一方で SonicWALL 精密パケット検査とセキュリティ サービスのセキュリティ機能 (侵入防御サービス、ゲートウェイ アンチウイルス、ゲートウェイ アンチスパイウェアなど) を追加する必要のあるネットワークにとって理想的なソリューションです。SonicWALL セキュリティ サービスを購読していない場合は、SonicWALL の「セキュリティ サービス > 概要」ページで無料トライアルに申し込むことができます。
L2 ブリッジ モードは高可用性を備えた配備でも使用できます。このシナリオについては、高可用性を備えたレイヤ 2 ブリッジ モード で説明します。
次の表は、レイヤ 2 ブリッジ モードの主要な機能とその利点をまとめたものです。
L2 ブリッジ モードの運用と設定について言及する際、次のような用語が使用されます。
|
•
|
L2 ブリッジ モード － Dell SonicWALL セキュリティ装置の設定手法の 1 つです。SonicWALL をインラインで既存のネットワークに追加でき、トランスペアレント モードを超える完全な透過性を実現します。レイヤ 2 ブリッジ モードは、ブリッジ ペアのセカンダリ ブリッジ インターフェースに対して選択されたネットワーク モード設定と言うこともできます。
|
|
•
|
トランスペアレント モード － Dell SonicWALL セキュリティ装置の設定方法の 1 つです。自動的に適用される ARP とルーティング ロジックを使用し、単一の IP サブネットを複数のインターフェースにスパニングすることにより、IP を設定し直すことなく、SonicWALL を既存のネットワークに追加できるようにします。
|
|
•
|
ネットワーク モード － 保護インターフェース (LAN) またはパブリック インターフェース (DMZ) を設定するとき、インターフェースのネットワーク モードとして、次のいずれかを選択できます。
|
|
•
|
静的 － インターフェースの IP アドレスを手動で入力します。
|
|
•
|
トランスペアレント モード － インターフェースの IP アドレスが、WAN プライマリ IP サブネット範囲内のアドレス オブジェクト (ホスト、範囲、またはグループ) を使って割り当てられ、WAN インターフェースから、割り当てられているインターフェースへとサブネットを効果的にスパニングすることができます。
|
|
•
|
レイヤ 2 ブリッジ モード － このモードで設定されたインターフェースは、同じブリッジ ペアのプライマリ ブリッジ インターフェースに対するセカンダリ ブリッジ インターフェースになります。このブリッジ ペアは、完全な L2 透過性を備えた 2 ポートの学習ブリッジのように振る舞い、それを通過するすべての IP トラフィックは完全なステートフル フェイルオーバーと精密パケット検査の対象となります。
|
|
•
|
ブリッジ ペア － プライマリ ブリッジ インターフェースとセカンダリ ブリッジ インターフェースの組み合わせから成る論理的なインターフェースです。ここで言うプライマリとセカンダリは、本質的な動作上の優位性や主従関係を表すものではありません。 どちらのインターフェースも絶えずそれぞれのゾーン タイプに従って扱われ、設定されているアクセス ルールに従って IP トラフィックを通過させます。ブリッジ ペアを通過する非 IPv4 トラフィックは、セカンダリ ブリッジ インターフェースの「すべての非 IPv4 トラフィックをブロックする」の設定によって制御されます。サポートされるブリッジ ペアの数は、利用可能なインターフェースのペアに依存します。つまり、ブリッジ ペアの最大数は、プラットフォーム上の物理インターフェース数を 2 で割った値になります。ブリッジ ペアに属しているからといって、インターフェースの従来の動作が妨げられることはありません。例えば、X1 が、X3 をセカンダリ ブリッジ インターフェースとするブリッジ ペアのプライマリ ブリッジ インターフェースとして設定されている場合、X1 は、同時にプライマリ WAN としての従来の役割を果たし、自動的に追加される X1 の既定 NAT ポリシーを介して、インターネット宛てのトラフィックの NAT 変換を実行できます。
|
|
•
|
プライマリ ブリッジ インターフェース － セカンダリ ブリッジ インターフェースと対をなすインターフェースの呼称です。プライマリ ブリッジ インターフェースは、非保護ゾーン (WAN)、保護ゾーン (LAN)、パブリック ゾーン (DMZ) のいずれかに所属することができます。
|
|
•
|
セカンダリ ブリッジ インターフェース － ネットワーク モードがレイヤ 2 ブリッジ モードに設定されたインターフェースの呼称です。セカンダリ ブリッジ インターフェースは、保護ゾーン (LAN) またはパブリック ゾーン (DMZ) に所属することができます。
|
|
•
|
ブリッジ管理アドレス － プライマリ ブリッジ インターフェースのアドレスは、ブリッジ ペアの両方のインターフェースによって共有されます。プライマリ ブリッジ インターフェースがプライマリ WAN インターフェースとしても機能する場合、SonicWALL の発信通信 (NTP など) やライセンス マネージャの更新には、このアドレスが使用されます。また、混在モードの配備において、ブリッジ ペアのいずれかのセグメントに接続されたホストが、そのゲートウェイとしてブリッジ管理アドレスを使用する場合もあります。
|
|
•
|
ブリッジ パートナー － ブリッジ ペアのもう一方のメンバーを指す用語です。
|
|
•
|
非 IPv4 トラフィック - SonicOS は以下の IP プロトコル種別をサポートします。ICMP (1)、IGMP (2)、TCP (6)、UDP (17)、GRE (47)、ESP (50)、AH (51)、EIGRP (88)、OSPF (89)、PIM-SM (103)、L2TP (115)。Combat Radio Transport Protocol (126) などの特殊な IP タイプや IPX、(現時点では) IPv6 などの非 IPv4トラフィック タイプについては、SonicWALL でネイティブに処理することはできません。非 IPv4 トラフィックは、L2 ブリッジ モードの設定により通過させるか破棄することができます。
|
|
•
|
キャプティブ ブリッジ モード － L2 ブリッジ動作のこのオプション モードでは、L2 ブリッジに到着したトラフィックを非ブリッジ ペア インターフェースに転送することができません。既定では、L2 ブリッジのロジックにより、L2 ブリッジに到着したトラフィックは ARP およびルーティング テーブルによって決定される最適なパスに従って送信先に転送されます。場合によっては、こうした最適なパスで非ブリッジ ペア インタフェースへのルーティングや NAT 変換が必要になることがあります。キャプティブ ブリッジ モードを有効にすると、L2 ブリッジに到着するトラフィックは論理的に最適なパスを取ることなく L2 ブリッジを出て行きます。一般に、このモードの動作が必要になるのは、冗長なパスが存在する複雑なネットワークでパスの厳守が求められる場合に限られます。
|
|
•
|
ピュア L2 ブリッジ トポロジ － ネットワークにインライン セキュリティを提供することを目的とし、ファイアウォールを厳密な L2 ブリッジ モードで使用することをいいます。つまり、ブリッジ ペアの一方の側に着信したトラフィックは常にもう一方の側に宛てて送出されます。異なるインターフェースを介してルーティングまたは NAT 変換されることはありません。既に境界セキュリティ装置が存在する場合や、既存のネットワークの特定のパス (部門間または 2 つのスイッチ間のトランク リンクなど) に沿ったインライン セキュリティが求められる場合に用いられる代表的なトポロジです。ピュアL2 ブリッジ トポロジは機能的な制約を意味するものではなく、むしろ混成環境における一般的な配備を表すトポロジ上の概念と言えます。
|
|
•
|
混在モード トポロジ － SonicWALL を介した受信/送信のポイントがブリッジ ペア以外にも存在する配備をいいます。つまり、ブリッジ ペアの一方の側に着信したトラフィックは、異なるインターフェースを介してルーティングまたは NAT 変換されることもあります。例えば、次のような環境が既に整っているとき、同時に SonicWALL を使用することで、1 つまたは複数のブリッジ ペアにセキュリティを提供できます。
|
トランスペアレント モードでは、ARP (Address Resolution Protocol: ネットワーク インターフェース カードの一意のハードウェア アドレスと IP アドレスとを関連付けるメカニズム) がプロキシされます。左側のワークステーションまたはサーバが、過去にルータ (192.168.0.1) の MAC アドレスを 00:99:10:10:10:10 に解決したことがある場合、これらのホストが SonicWALL を介して通信を行うためには、このキャッシュされた ARP エントリがクリアされている必要があります。これは、SonicWALL が、トランスペアレント モード動作のインターフェースに接続されているホストに代わって、ゲートウェイの IP (192.168.0.1) をプロキシ (つまり、代理で応答する) するためです。したがって、左側のワークステーションが 192.168.0.1 の解決を試みるために ARP 要求を送信すると、SonicWALL が自分の X0 の MAC アドレス (00:06:B1:10:10:10) を返すことによって応答します。
上図のネットワークは単純なものですが、VLAN を使ってトラフィックをセグメント化する大規模なネットワークでは決して珍しくありません。スイッチとルータ間のリンクが VLAN トランクであるようなネットワークの場合、リンクのいずれかの側のサブインターフェースへの VLAN を、トランスペアレント モードの SonicWALL で終端させることはできますが、一意のアドレス割り当てが必要となります。 つまり、非トランスペアレント モードの動作となるため、少なくとも一方の側のアドレスを再割り当てする必要があります。これは、トランスペアレント モードのアドレス空間の送信元として使用できるのはプライマリ WAN インターフェースだけであるためです。
大規模なネットワークでは、単一の有線上、複数の有線上、別個の VLAN 上、またはそれらを組み合わせた回線上で、複数のサブネットが使用されることも少なくありません。トランスペアレント モードは、静的 ARP エントリとルート エントリを使って複数のサブネットをサポートできます (Technote
http://www.sonicwall.com/us/support/2134_3468.html を参照) が、そのプロセスは簡単ではありません。
L2 ブリッジ モードでは、こうしたトランスペアレント モード配備の一般的な問題を解決できます。この点については、次のセクションで説明します。
この動作により、L2 ブリッジ モードで動作する SonicWALL は、物理的な挿入に伴う一時的な中断を除けば、ほとんどのネットワーク通信を中断させることなく、既存のネットワークに導入できます。
なお、L2 ブリッジ モードの SonicWALL を挿入した場合は、ストリームベースの TCP プロトコル通信 (クライアントとサーバ間の FTP セッションなど) を再度確立する必要があります。これは、ステートフル パケット検査が提供するセキュリティを維持することを目的とした設計によるものです。ステートフル パケット検査エンジンは、自分より前に存在していた TCP 接続に関する情報を持ちません。そのため、これらの確立済みのパケットはログ イベント (存在しない接続または終了済みの接続で TCP パケットが受信されたために、その TCP パケットは破棄されたなど) を伴って破棄されます。
図 8. L2 ブリッジの IP パケット フロー
次に、上のフロー図のイベント シーケンスについて説明します。
|
•
|
一般に、L2 ブリッジに到達したパケットの送信先はブリッジ パートナー インターフェース (つまり、ブリッジのもう一方の側) になります。この場合、変換は一切実行されません。
|
|
•
|
混在モードのトポロジで多く見られるように、L2 ブリッジ管理アドレスがゲートウェイである場合、NAT が必要に応じて適用されます。詳細については、「L2 ブリッジ パスの決定」セクションを参照してください。
|
|
12
|
パケットの宛先が VPN/WAN/接続インターフェースではなかった場合、保存されていた VLAN タグが復元され、(再び元の VLAN タグを持った) パケットがブリッジ パートナー インターフェースへと送出されます。
|
既定では、サポートされないトラフィックが、L2 ブリッジ インターフェースからブリッジ パートナー インターフェースへと渡されます。これにより、LLC パケット (Spanning Tree など) や他の EtherType (MPLS ラベル スイッチ パケット (EtherType 0x8847)、Appletalk (EtherType 0x809b)、Banyan Vines (EtherType 0xbad)) など、IPv4 以外のトラフィックを通過させることができます。これらの非 IPv4 パケットはブリッジを通過するだけで、パケット ハンドラによって検査されることも、制御されることもありません。これらのトラフィック タイプが不要である場合は、「セカンダリ ブリッジ インターフェース」設定ページの「すべての非 IPv4 トラフィックをブロックする」オプションを有効にすることで、ブリッジの動作を変更できます。
|
1
|
送信先に対して、既定以外の最も限定的なルートが存在する場合は、そのルートが選択されます。例えば、次のようなケースが該当します。
|
L2 ブリッジ ペア インターフェースに到着したトラフィックのアドレス変換 (NAT) については、次のように処理されます。
|
a
|
パスが別の接続 (ローカル) インターフェースである場合、変換が実行される可能性は低くなります。つまり、事実上、最終的な措置として、「すべて->元の NAT ポリシー」に従ってルーティングされます。
|
|
b
|
パスが WAN を経由することが確定している場合、既定の「自動的に追加された[インターフェース]発信 NAT ポリシー - X1 WAN」が適用され、インターネットへの配信のためにパケットの送信元が変換されます。これは、内部セキュリティ の図にあるような混在モード トポロジの場合によく見られます。
|
ブリッジ ペア インターフェースのゾーンの割り当ては、実際のネットワークのトラフィック フロー要件に従って行う必要があります。トランスペアレント モードでは、送信元インターフェースをプライマリ WAN とし、トランスペアレント インターフェースを保護またはパブリックとすることで "高保護から低保護へと保護レベルが推移していくシステム" をある意味強制的に実現しています。これに対し、L2 ブリッジ モードでは保護の運用レベルをより細かく制御できます。例えば、L2 ブリッジ モードでは、プライマリ ブリッジ インターフェースとセカンダリ ブリッジ インターフェースを同じゾーンに割り当てることも、異なるゾーンに割り当てることもできます (LAN+LAN、LAN+DMZ、WAN+CustomLAN など)。この点は、トラフィックに適用される既定のアクセス ルールだけでなく、ブリッジを通過するトラフィックに対する精密パケット検査セキュリティ サービスの適用方法にも影響します。ブリッジ ペアで使用するインターフェースを選択して構成する際、考慮すべき重要な要素として、セキュリティ サービス、アクセス ルール、および WAN 接続があります。
|
1
|
|
2
|
トラフィックの方向:IPS に関連したトラフィックの方向は、主にトラフィック フローの送信元および送信先ゾーンによって決まります。通常、SonicWALL がパケットを受信すると、そのパケットの送信元ゾーンが即座に判明し、その送信先ゾーンも、ルート (または VPN) 調査を実行することによってすぐに判別されます。
|
パケットの方向性は、その送信元と送信先に基づき、着信と送信 (インバウンド/アウトバウンドと混同しないようにしてください) のいずれかに分類されます。この決定には、次の基準が用いられます。
この分類に加えて、あるゾーンから別のゾーンへと、より高い信頼性を持って転送されるパケットは、本質的に高レベルのセキュリティ (LAN｜無線｜暗号化<-->LAN｜無線｜暗号化) が確保されていることを表す、特別な信頼という種別に分類されます。信頼として分類されたトラフィックには、すべてのシグネチャが適用されます (着信、送信、および両方向)。
|
3
|
シグネチャの方向:これは、主に IPS に関連したものです。各シグネチャには、SonicWALL のシグネチャ開発チームにより方向が割り当てられます。これは、擬陽性を最小限に抑えるための最適化措置として行われます。シグネチャには、次の方向があります。
|
|
•
|
着信 － 着信および信頼に適用されます。シグネチャの大半は着信です。これには、アプリケーションの脆弱性を狙ったあらゆる形態の攻撃のほか、列挙やフットプリンティングといった、あらゆる試みが含まれます。シグネチャの約 85%は着信です。
|
|
•
|
送信 － 送信および信頼に適用されます。送信に分類されるシグネチャの例としては、IM や P2P のログイン試行のほか、悪性の応答 (例: 攻撃の応答) などがあります。シグネチャの約 10%は送信です。
|
|
•
|
両方向 － すべてに適用されます。例えば、両方向のシグネチャには、IM ファイル転送、各種 NetBIOS 攻撃 (例: Sasser の通信)、各種 DoS 攻撃 (例: ポート 0 宛ての UDP/TCPトラフィック) があります。シグネチャの約 5%は両方向です。
|
|
4
|
ゾーンの適用:シグネチャがトリガーされるためには、必要なセキュリティ サービスが、経路上のゾーンの少なくとも 1 つで有効になっている必要があります。例えば、インターネット (X1、WAN) 上のホストが Microsoft ターミナル サーバ (X3、セカンダリ ブリッジ インターフェース、LAN) にアクセスしている場合、IPS が WAN、LAN、またはその両方で有効になっていれば、着信のシグネチャである "IPS 検出警告:MISC MS ターミナル サーバ要求、SID:436、優先順位:低" がトリガーされます。
|
既定では、ゾーン対ゾーンのアクセス ルールが使用されます。必要に応じて変更することもできますが、既定のアクセス ルールをお勧めします。既定のアクセス ルールを次に示します。
図 9. 既定のアクセス ルール
ライセンス、セキュリティ サービスに使用するシグネチャのダウンロード、NTP (時刻の同期)、CFS (コンテンツ フィルタ サービス) などのスタック通信には、インターネット (WAN) 接続が必要です。現時点では、これらの通信は、プライマリ WANインターフェース経由でしか行うことができません。これらのタイプの通信が必要な場合、プライマリ WANにインターネットへのパスが必要です。プライマリ WAN がブリッジ ペアに属しているかどうかは、これらのスタック通信を提供する機能に影響しません。
次の図は、一般的な配備を表すサンプル トポロジです。インライン レイヤ 2 ブリッジ モードでは、Dell SonicWALL セキュリティ装置が追加されて、既にファイアウォールが備わっているネットワークでセキュリティ サービスを提供します。境界セキュリティでは、Dell SonicWALL セキュリティ装置がピュア L2 ブリッジ モードで既存のネットワークに追加されており、ファイアウォールはネットワークの境界付近に配置されています。内部セキュリティでは、Dell SonicWALL セキュリティ装置が混在モードで完全統合されており、L2 ブリッジ、WLAN サービス、および NAT 変換による WAN アクセスを同時に提供します。高可用性を備えたレイヤ 2 ブリッジ モードは、ファイアウォール HA ペアが L2 ブリッジと共に高可用性を提供する混在モード シナリオを表しています。SSL VPN を備えたレイヤ 2 ブリッジ モードは、SonicWALL Aventail SSL VPN または SonicWALL SSL VPN シリーズ装置が L2 ブリッジ モードと組み合わせて配備されているシナリオを表しています。
|
•
|
|
•
|
|
1
|
SonicOS 管理インターフェースの「ネットワーク > インターフェース」ページに移動します。
|
|
2
|
|
3
|
|
4
|
WLAN のブリッジ先となるインターフェースを「ブリッジ先」ドロップダウン メニューから選択します。この例では、X0 (既定の LAN ゾーン) を選択します。
|
この例は、Hewlett Packard ProCurve スイッチング環境にインストールされた Dell SonicWALL セキュリティ装置を表しています。SonicWALL は HP の ProCurve Alliance のメンバーです。
http://www.procurve.com/alliance/members/sonicwall.htm.
このシナリオに合わせて SonicWALL を設定するには、「ネットワーク > インターフェース」ページに移動し、X0 LAN インターフェースの設定アイコンを選択します。「X0 設定」ページで、「ネットワーク モード」を「レイヤ 2 ブリッジ モード」に設定し、「ブリッジ先:」インターフェースを「X1」に設定します。また、インターフェースが HTTP および SNMP 用に設定されていて、PCM+/NIMで DMZ から管理できるようになっていることも確認します。「OK」を選択すると、変更内容が保存されて有効になります。
境界セキュリティは、セキュリティ サービスの提供を目的に、SonicWALL を境界部分に追加したネットワーク シナリオです (SonicWALL とルータ間には既存のファイアウォールがあってもなくてもかまいません)。通常、このシナリオでは、SonicWALL の下にあるものすべて (プライマリ ブリッジ インターフェース セグメント) は、SonicWALL の左側にあるものすべて (セカンダリ ブリッジ インターフェース セグメント) と比べて信頼レベルが低いと考えることができます。そのため、X1 (プライマリ WAN) をプライマリ ブリッジ インターフェースとして使用するのが適切です。
セカンダリ ブリッジ インターフェース (LAN) に接続されたホストからのアウトバウンド トラフィックは、SonicWALL を介して (L3 スイッチ上の VLAN インターフェースとルータを順に通過して) ゲートウェイへと出ていくことが許可されます。一方、プライマリ ブリッジ インターフェース (WAN) からのインバウンド トラフィックは既定では通過できません。
セカンダリ ブリッジ インターフェース (LAN) セグメントにメール サーバやウェブ サーバなどのパブリック サーバが存在する場合、WAN から LAN へのトラフィックを許可するアクセス ルールを追加することによって、特定の IP アドレスおよびサービスについては、これらのサーバへのインバウンド トラフィックを許可することができます。
SonicWALL が境界セキュリティ機器およびセキュア ワイヤレス プラットフォームとして動作するネットワーク シナリオです。同時に、ワークステーションまたはサーバのアドレスを再割り当てすることなく、ワークステーション セグメントとサーバ セグメント間の L2 ブリッジ セキュリティが実現されています。
SonicWALL は、ブリッジおよびルーティング/NAT を同時に行うことができますが、この配備例は、それを象徴する典型的な部門間混在モード トポロジと言えます。プライマリ ブリッジ インターフェース (サーバ) セグメントとセカンダリ ブリッジ インターフェース (ワークステーション) セグメントとの間を行き来するトラフィックは、L2 ブリッジを通過することになります。
ブリッジ ペアの両方のインターフェースが保護 (LAN) ゾーンに割り当てられているため、次の原則が成り立ちます。
|
•
|
ワークステーションからサーバへのトラフィックは、送信元が保護ゾーンで送信先が公開ゾーンであるため、セキュリティ サービスの方向性は送信として分類されます。着信または (理想的には) 信頼の分類に比べると、調査の水準が低くなるという点で、これは次善の選択肢と言えます。
|
|
•
|
レイヤ 2 ブリッジ モードでインターフェースを設定する詳細な手順については、レイヤ 2 ブリッジ モードの設定 を参照してください。
図 10. 内部セキュリティ:高可用性とレイヤ 2 ブリッジ モードの両方が望まれるネットワークの例
このシナリオを設定する際には、ファイアウォールとスイッチの両方について注意すべき事柄がいくつかあります。
「ファイアウォール > アクセス ルール」ページで、WAN から LAN へのトラフィックの共通部分の設定アイコンを選択します。既定のルール (WAN から LAN への非開始トラフィックが暗黙に遮断される) の横にある設定アイコンを選択します。「ルールの編集」ウィンドウで、「動作」設定として「許可」を選択し、「OK」を選択します。
このシナリオでは、WAN インターフェースを次の目的に使用します。
SonicOS 管理インターフェースの「ネットワーク > インターフェース」ページで、WAN インターフェースの設定アイコンを選択してから、インターネットにアクセスできるアドレスをそこに割り当てることで、装置がシグネチャの更新を取得し、NTP と通信できるようにします。
ゲートウェイと内部/外部 DNS アドレスの設定は SSL VPN 装置の設定と一致します。
|
•
|
IP アドレス:これは SSL VPN 装置の内部インターフェースのアドレスと一致しなければなりません。
|
|
•
|
「管理」設定として、「HTTPS」および「Ping」チェック ボックスを選択します。「OK」を選択すると、変更内容が保存されて有効になります。
LAN インターフェースの設定を行うには、「ネットワーク > インターフェース」ページに移動し、「LAN」インターフェースの設定アイコンを選択します。
「ネットワーク モード」設定として、「レイヤ 2 ブリッジ モード」を選択します。「ブリッジ先」設定として、「X1」を選択します。
ファイアウォールでサポートされている、VLAN タグ付きのトラフィックを通過させる必要もある場合は、「VLAN フィルタリング」タブを選択し、通過させる必要のある VLAN をすべて追加します。
「OK」を選択すると、変更内容が保存されて有効になります。ネットワーク セキュリティ装置の管理インターフェースから自動的に切断されることもあります。ここで装置の X0 インターフェースから管理用のラップトップまたはデスクトップを切断し、ネットワークに物理的に接続する前に装置の電源を切ることができます。
SSL VPN 装置がサードパーティのファイアウォールの背後にあって 2 ポート モードの場合、それはデュアルホームです。
SSL VPN 装置がサードパーティのファイアウォールの DMZ 内にあって 1 ポート モードの場合、それはシングルホームです。
この段階で、ネットワーク内の管理ステーションからネットワーク セキュリティ装置の管理インターフェースに WAN IP アドレスを使ってアクセスできるようになっているはずです。
Dell SonicWALL セキュリティ装置のすべてのセキュリティ サービスが有効になっていることを確認します。サービスのライセンス取得 およびゾーンごとのセキュリティ サービスの有効化 を参照してください。
機器を SonicWALL Aventail SSL VPN 装置と共に配備する前に、SonicWALL コンテンツ フィルタ サービスを無効にする必要があります。「ネットワーク > ゾーン」ページで、LAN (X0) ゾーンの横にある「設定」を選択し、「コンテンツ フィルタ サービスを強制する」チェック ボックスをオフにし、「OK」を選択します。
Dell SonicWALL セキュリティ装置での管理者パスワードをまだ変更していなければ、「システム > 管理」ページで変更することができます。
外部クライアントからのネットワークへのアクセスをテストするには、SSL VPN 装置に接続し、ログインします。接続したら、内部ネットワーク リソースへのアクセスを試みます。何か問題があれば、設定を確認し、レイヤ 2 ブリッジ モード配備における一般的な項目の設定 を参照してください。
