UTM / アプリケーションコントロール（DPI）

アプリケーションコントロール（DPI = ディープパケットインスペクション）は、本製品を通過するパケットのデータ部分を検査し、通信内容（レイヤー7）にもとづいてどのアプリケーションのトラフィックであるかを判別する機能です。

Note - アプリケーションコントロール（DPI）機能はAT-AR2050Vでは使用できません。

Note - アプリケーションコントロール（DPI）機能を使用するにはサブスクリプションライセンスが必要です。

最近は多くのアプリケーションが通信チャンネルとしてHTTPを使うようになっているため、L3/L4ヘッダーだけではこれらのアプリケーションがすべて「HTTP」としか判定できず、個々のアプリケーションを見分けることができませんが、アプリケーションコントロール（DPI）機能を使えば、随時更新されるアプリケーションシグネチャデータベースによって、各種アプリケーションに特有の通信パターンを検出し、個々のアプリケーションを判別することができるようになります。

Note - HTTPSのように暗号化されたパケットは検査・判別できません。

アプリケーションコントロール（DPI）機能自体はアプリケーションの判別を行うだけですが、その情報は動的な「アプリケーション定義」として、ファイアウォールルールとトラフィックシェーピングルールの設定時に利用できます。

Note - NAT機能でもルール設定時にアプリケーションの指定を行いますが、NATルールではアプリケーションコントロール（DPI）によって判別されたアプリケーションは指定できません。ruleコマンド（NATモード）でNAT対象トラフィックを指定するときは、あらかじめ定義されている事前定義済みアプリケーションか、applicationコマンドで定義するカスタムアプリケーション、あるいは、すべてを意味する「any」キーワードを指定してください。

アプリケーション定義については「UTM」/「アプリケーション定義」をご覧ください。

ファイアウォールについては「UTM」/「ファイアウォール」を、トラフィックシェーピングについては「トラフィック制御」/「トラフィックシェーピング」をご覧ください。

また、データベースの更新をつかさどるアップデートマネージャーについては「UTM」/「アップデートマネージャー」をご覧ください。

アプリケーションコントロール（DPI）機能の具体的な使用例については、「設定例集」をご覧ください。

基本設定

アプリケーションコントロール（DPI)の設定は、DPIモード（dpiコマンド）で行います。
provider proceraコマンドでシグネチャデータベースの提供元を指定した後、enableコマンドで有効化します。

以下、アプリケーションコントロール（DPI）機能の基本的な設定手順を示します。

アプリケーションコントロール（DPI）機能の設定を行うため、DPIモードに移行します。これにはdpiコマンドを使います。
awplus(config)# dpi ↓
アプリケーションシグネチャデータベースの提供元を指定します。これにはprovider proceraコマンドを使います。
awplus(config-dpi)# provider procera ↓
Note - アプリケーションコントロール（DPI）機能とファイアウォール機能を併用する場合は、アプリケーションシグネチャデータベースを更新するため、本製品からインターネットへのDNS通信とHTTPS通信を許可する必要があります。

3．アプリケーションコントロール（DPI）機能を有効化します。これにはenableコマンドを使います。
awplus(config-dpi)# enable ↓

設定は以上です。

■ アプリケーションコントロール（DPI）機能によって判別できるアプリケーションは、show applicationコマンドのdetail dpiオプションで確認できます。

awplus# show application detail dpi ↓

■ アプリケーションシグネチャデータベースの更新チェック間隔は、update-intervalコマンドで変更可能です。初期値は1時間です。

awplus(config)# dpi ↓ awplus(config-dpi)# update-interval days 1 ↓

■ アプリケーションシグネチャデータベースは通常自動更新されますが、update nowコマンドで手動更新することも可能です。

awplus# update dpi_procera_app_db now ↓

■ アプリケーションシグネチャデータベースの更新ステータスはshow resourceコマンドで確認できます。

awplus# show resource dpi_procera_app_db ↓ -------------------------------------------------------------------------------- Resource Name Status Version Interval Last Download Next Download Check -------------------------------------------------------------------------------- dpi_procera_app_db unknown - 10 None minutes N/A

■ アプリケーションコントロール（DPI）機能の有効・無効とアプリケーションシグネチャデータベースの提供元、バージョン、更新チェック間隔は、show dpiコマンドで確認できます。

awplus# show dpi ↓ Status: unlicensed Provider: procera Resource version: not set Resource update interval: 1 hour

■ アプリケーションコントロール（DPI）機能によって判別されたアプリケーションの統計情報は、show dpi statisticsコマンドで確認できます。

awplus# show dpi statistics ↓ Application Packets Bytes ------------------------------------------------- http 30 2020 icmp 348 29232 telnet 45 2553

判別されたアプリケーション定義の使用

アプリケーションコントロール（DPI）機能によって判別されたアプリケーションの情報は、動的な「アプリケーション定義」として、ファイアウォールルールとトラフィックシェーピングルールの設定時に利用できます。

Note - NAT機能でもルール設定時にアプリケーションの指定を行いますが、NATルールではアプリケーションコントロール（DPI）によって判別されたアプリケーションは指定できません。ruleコマンド（NATモード）でNAT対象トラフィックを指定するときは、あらかじめ定義されている事前定義済みアプリケーションか、applicationコマンドで定義するカスタムアプリケーション、あるいは、すべてを意味する「any」キーワードを指定してください。

Note - アプリケーションコントロール（DPI）機能では、各アプリケーション固有の通信パターンを検出するために一定量のパケットを受信してそのデータ部分を検査する必要があります。判別が完了していないトラフィック（判別中のトラフィック）は、特殊なアプリケーション名「undecided」で表されます。

アプリケーション定義の詳細については、「UTM」/「アプリケーション定義」をご覧ください。

■ ファイアウォールルールは、ファイアウォールモードのruleコマンドで作成します。

アプリケーションコントロール（DPI）機能では、各アプリケーション固有の通信パターンを検出するために一定量のパケットを受信してそのデータ部分を検査する必要がありますが、ファイアウォールはその仕様として初期設定ですべてのパケットを破棄するため、ファイアウォールとアプリケーションコントロール（DPI）を併用する場合は注意が必要です。

DPIによって判別された特定のアプリケーションのみ許可し、その他は拒否する場合（デフォルト拒否）
ファイアウォールを「デフォルト拒否」の設定とし、アプリケーションコントロール（DPI）によって判別されたアプリケーションだけを許可したい場合は、該当アプリケーションだけでなく、未判別のトラフィック（undecided）も許可する必要があります。

たとえば、外部ゾーン「public」から内部ゾーン「private」への通信について、DPIによってアプリケーション「X」と判別されたトラフィックだけを許可し、その他はすべて拒否したい場合、次のようにアプリケーション「X」と、未判別のトラフィックを示す「undecided」の両方を許可するよう設定してください（ルール「10」と「20」。順序は逆でもかまいません）。

awplus(config)# firewall ↓ awplus(config-firewall)# rule 10 permit X from public to private ↓ awplus(config-firewall)# rule 20 permit undecided from public to private ↓ awplus(config-firewall)# rule 30 permit dns from public.internet.myself to public ↓ awplus(config-firewall)# rule 40 permit https from public.internet.myself to public ↓ awplus(config-firewall)# rule 50 permit undecided from public.internet.myself to public ↓ awplus(config-firewall)# protect ↓

Note - ここでの「X」は説明のための架空のアプリケーション名です（本マニュアル執筆時点）。実際に使用するときは適切なアプリケーション名に置き換えてください。

ここで「undecided」を許可しないと（ルール「20」を設定しないと）、ファイアウォールの基本動作によって外部ゾーンから内部ゾーンへのトラフィックがすべて破棄されてしまうため、アプリケーションコントロール（DPI）エンジンに検査すべきパケットが届かず、結果的にアプリケーション「X」が判別されることもなくなってしまうためご注意ください。

Note - ルール「30」と「40」は、アプリケーションシグネチャデータベースを更新するため、本製品からインターネットへのDNS通信とHTTPS通信を許可するものですが、DPI機能の有効時には事前定義済みアプリケーション「dns」よりもDPIアプリケーション「dns」が優先されるため、ルール「30」を機能させるために本製品からインターネットへの通信についても、未判別のトラフィック（undecided）を許可する必要があります（ルール「50」）。

DPIによって判別された特定のアプリケーションのみ拒否し、その他は許可する場合（デフォルト許可）
ファイアウォールを「デフォルト許可」の設定にする場合は、すべてを許可する「permit any」ルールを設定するため、未判別のトラフィックを表す「undecided」を別途許可する必要はありません（明示的に設定してもかまいません）。

次の例では、アプリケーションコントロール（DPI）によってファイル共有ソフト「Share」と「Winny」であると判別された内部ゾーン「private」から外部ゾーン「public」への通信を禁止しています。同じ向きの未判別トラフィックはルール「30」の「permit any from private to public」によって許可されるため、「permit undecided」ルールは不要です。

awplus(config)# firewall ↓ awplus(config-firewall)# rule 10 deny sharep2p from private to public ↓ awplus(config-firewall)# rule 20 deny winny from private to public ↓ awplus(config-firewall)# rule 30 permit any from private to public ↓ awplus(config-firewall)# rule 40 permit any from private to private ↓ awplus(config-firewall)# rule 50 permit dns from public.internet.myself to public ↓ awplus(config-firewall)# rule 60 permit https from public.internet.myself to public ↓ awplus(config-firewall)# rule 70 permit undecided from public.internet.myself to public ↓ awplus(config-firewall)# protect ↓

Note - ルール「50」と「60」は、アプリケーションシグネチャデータベースを更新するため、本製品からインターネットへのDNS通信とHTTPS通信を許可するものですが、DPI機能の有効時には事前定義済みアプリケーション「dns」よりもDPIアプリケーション「dns」が優先されるため、ルール「50」を機能させるために本製品からインターネットへの通信についても、未判別のトラフィック（undecided）を許可する必要があります（ルール「70」）。

ファイアウォールの詳細については、「UTM」/「ファイアウォール」をご覧ください。

■ トラフィックシェーピングルールは、トラフィックシェーピングモードのruleコマンドで作成します。

トラフィックシェーピングとアプリケーションコントロール（DPI）を併用する場合は、ファイアウォールでデフォルト拒否の設定をするときのように「permit undecided」ルールを作成する必要はありません。未判別のトラフィックはデフォルトキューで処理され、判別後は該当アプリケーションに対応するルールにしたがって処理されます。

トラフィックシェーピングの詳細については、「トラフィック制御」/「トラフィックシェーピング」をご覧ください。

PN: 613-002107 Rev.F