[index] AT-AR1050V コマンドリファレンス 5.5.4

UTM / エンティティー定義

• エンティティー（通信主体）
  ゾーン（任意のネットワーク範囲）、ネットワーク（サブネットの集合）、ホスト（単一アドレスの集合）などMAC/IP/IPv6アドレスの集合として表現可能な情報。
  「ゾーン.ネットワーク.ホスト」の階層構造を持つ。
  ファイアウォール、NATの各機能において、送信元、宛先の指定に使う。
  
  
• アプリケーション
  SMTP、SSH、HTTP、IMAPSのように、IPプロトコルタイプ、TCP/UDPポート、ICMPタイプ/コードの組み合わせで表現可能な情報。
  ファイアウォール、NATの各機能において、通信の種類（アプリケーション）を指定するために使う。
  

エンティティー定義のサンプル

• ゾーン public
  
  • ネットワーク internet
    
    • ppp0インターフェース側の全IPv4サブネット
      
    • ppp1インターフェース側の全IPv6サブネット
      
      
    • ホスト myself
      
      • IPv4アドレス：10.1.1.1
        
      
      
    • ホスト vpngw
      
      • IPv4アドレス：10.2.2.2
        
  
  
• ゾーン private
  
  • ネットワーク lan
    
    • IPv4サブネット：192.168.10.0/24
      
    • IPv6サブネット：2001:db8:10:10::/64
      
      
    • ホスト adminpc
      
      • IPv4アドレス：192.168.10.254
        
      • IPv6アドレス：2001:db8:10:10::fe
        
      
      
    • ホスト ap
      
      • IPv4アドレス：192.168.10.2
        
    
    
  • ネットワーク remotelan
    
    • IPv4サブネット192.168.20.0/24
      

from private to public

from private.lan to private.remotelan

from private.lan.adminpc to private.lan.ap

エンティティー定義の作成

Note

有効なゾーンには最低1つのネットワークが存在し、また、該当ネットワークには最低1つのサブネットアドレスを関連付けておく必要があります。

Note

エンティティー定義名（ゾーン、ネットワーク、ホスト定義名）は大文字小文字を区別します。

awplus(config)# zone public ↓

awplus(config-zone)# network internet ↓
awplus(config-network)# ip subnet 0.0.0.0/0 interface ppp0 ↓
awplus(config-network)# ipv6 subnet ::/0 interface ppp1 ↓

awplus(config-network)# host myself ↓
awplus(config-host)# ip address 10.1.1.1 ↓
awplus(config-host)# exit ↓

awplus(config-network)# host vpngw ↓
awplus(config-host)# ip address 10.2.2.2 ↓
awplus(config-host)# exit ↓
awplus(config-network)# exit ↓
awplus(config-zone)# exit ↓

awplus(config)# zone private ↓

awplus(config-zone)# network lan ↓
awplus(config-network)# ip subnet 192.168.10.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:10:10::/64 ↓

awplus(config-network)# host adminpc ↓
awplus(config-host)# ip address 192.168.10.254 ↓
awplus(config-host)# ipv6 address 2001:db8:10:10::fe ↓
awplus(config-host)# exit ↓

awplus(config-network)# host ap ↓
awplus(config-host)# ip address 192.168.10.2 ↓
awplus(config-host)# exit ↓
awplus(config-network)# exit ↓

awplus(config-zone)# network remotelan ↓
awplus(config-network)# ip subnet 192.168.20.0/24 ↓
awplus(config-network)# exit ↓
awplus(config-zone)# exit ↓
awplus(config)# 

ゾーン

Note

ゾーン定義名は大文字小文字を区別します。

awplus(config)# zone private ↓
awplus(config-zone)# 

awplus(config)# no zone private ↓

ネットワーク

Note

ネットワーク定義名は大文字小文字を区別します。

awplus(config)# zone private ↓
awplus(config-zone)# network lan ↓
awplus(config-network)# ip subnet 192.168.10.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:10:10::/64 ↓

awplus(config)# zone private ↓
awplus(config-zone)# no network lan ↓

GeoIPによるエンティティー定義

Note

本機能はhttps://www.ipdeny.comが提供する国別IPアドレスデータベースを使用します。なお、本データは正確性、信頼性が保証されるものではありません。

基本設定

awplus(config)# zone private ↓
awplus(config-zone)# network japan ↓
awplus(config-network)# ip subnet dynamic geoip JP ↓
awplus(config-network)# ipv6 subnet dynamic geoip JP ↓

awplus(config)# zone pacific ↓
awplus(config-zone)# network fiji ↓
awplus(config-network)# ip subnet dynamic geoip FJ ↓
awplus(config-zone)# network samoa ↓
awplus(config-network)# ip subnet dynamic geoip AS ↓
awplus(config-network)# ip subnet dynamic geoip WS ↓

Note

一つのゾーンやネットワークに紐づけるサブネットが増えるに従い、メモリー消費やパフォーマンスに対する影響が大きくなりますのでご注意ください。

Note

本機能で指定可能なエンティティーは、https://www.ipdeny.comに記載のゾーン名で指定可能な国や地域のみとなります。特定の位置情報を指定することはできません。

awplus# show entity ↓
Zone:        private
 Network:    japan
  Subnet:    xx.xx.xx.xx/x
  Subnet:    xx:xx:xx:xx::/xx

awplus(config)# geoip update-interval weeks 1 ↓

awplus# show resource ↓

ホスト

Note

ホスト定義名は大文字小文字を区別します。

awplus(config)# zone private ↓
awplus(config-zone)# network lan ↓
awplus(config-network)# ip subnet 192.168.10.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:10:10::/64 ↓
awplus(config-network)# host adminpc ↓
awplus(config-host)# ip address 192.168.10.254 ↓
awplus(config-host)# ipv6 address 2001:db8:10:10::fe ↓

awplus(config)# zone private ↓
awplus(config-zone)# network lan ↓
awplus(config-network)# no host adminpc ↓

FQDNによる指定

Note

FQDN指定のホスト定義は、ファイアウォール、NAT、OpenVPNで使用できます。

前提条件

• DNSリレー機能を併用し、配下の端末と本製品自身の両方がDNSリレーを利用して名前解決を行うよう設定すること。
  

Note

これらの条件を満たしていない状態でFQDNホスト定義を使用することはサポート対象外です。

1. DNSリレー機能を有効にします。これには、ip dns forwardingコマンドを使います。
   

   awplus(config)# ip dns forwarding ↓
   

   
   
2. DNSキャッシュを有効にします。これには、ip dns forwarding cacheコマンドを使います。
   

   awplus(config)# ip dns forwarding cache size 1000 ↓
   

   
   
3. 本製品自身が名前を解決するときにも、自身のDNSリレー機能を使用するよう設定します。これには、ip domain-lookupコマンドのvia-relayオプションを使います。
   

   awplus(config)# ip domain-lookup via-relay ↓
   

• DNSサーバーアドレスを手動設定する場合は、ip name-serverコマンドで設定します。
  PPPやDHCPでDNSサーバーアドレスを動的に取得している場合は手動設定の必要はありません。
  
  
• 配下の端末がDNSサーバーとして本製品（DNSリレー機能）を使用するよう設定します。
  端末のIP設定をDHCPで行っている場合は、DHCPサーバーがDNSサーバーアドレスとして本製品のIPアドレスを通知するよう設定してください。
  本製品のDHCPサーバー機能では、通知するDNSサーバーアドレスはdns-serverコマンドで設定します。
  

FQDNホスト定義

awplus(config)# zone public ↓
awplus(config-zone)# network eth1 ↓
awplus(config-network)# ip subnet 0.0.0.0/0 ↓
awplus(config-network)# ipv6 subnet 2000::/3 ↓
awplus(config-network)# host appsite ↓
awplus(config-host)# ip address dynamic fqdn app.example.com ↓
awplus(config-host)# ipv6 address dynamic fqdn app.example.com ↓

Note

ここでは ip subnet、ipv6 subnetの両方のコマンドを使用していますが、実際にはルールで使用したいIPバージョン（IPv4、IPv6）に対応するものだけでかまいません。

1. 端末は app.example.com に対するIPv4/IPv6アドレスを知るため、本製品（DNSリレー機能）に問い合わせます。
   
   
2. 本製品はDNSキャッシュに app.example.com のIPv4/IPv6アドレスが登録されていないことを確認した上で、リレー先DNSサーバーに app.example.com のIPv4/IPv6アドレスを問い合わせます。
   
   
3. 本製品は、DNSサーバーから取得した app.example.com のIPv4/IPv6アドレスをDNSキャッシュに登録するとともに、FQDNホスト定義のアドレスリストに該当IPv4/IPv6アドレスを追加します。
   
   
4. 本製品のUTM機能でFQDNホスト定義が使われている場合、同UTM機能は該当ホスト定義のアドレスリストにもとづいて動作します。
   

Note

配下の端末が本製品のDNSリレー機能を使わず、他のDNSサーバーに直接問い合わせを行った場合はアドレスリストが作成されないため、FQDNホスト定義を使ったルールは無効（存在しない）状態になります。

設定の確認

awplus# show entity ↓
Zone:        private
 Network:    private.lan
  Subnet:    192.168.10.0/24
  Subnet:    2001:db8:10:10::/64
  Host:      private.lan.adminpc
   Address:  192.168.10.254
   Address:  2001:db8:10:10::fe
  Host:      private.lan.ap
   Address:  192.168.10.2
 Network:    private.remotelan
  Subnet:    192.168.20.0/24

Zone:        public
 Network:    public.internet
  Subnet:    0.0.0.0/0 via ppp0
  Subnet:    ::/0 via ppp1
  Host:      public.internet.vpngw
   Address:  10.2.2.2
  Host:      public.internet.myself
   Address:  10.1.1.1

awplus# show entity private.lan ↓
Network:     private.lan
 Subnet:     192.168.10.0/24
 Subnet:     2001:db8:10:10::/64
 Host:       private.lan.adminpc
  Address:   192.168.10.254
  Address:   2001:db8:10:10::fe
 Host:       private.lan.ap
  Address:   192.168.10.2

awplus# show entity private.lan.adminpc ↓
Host:       private.lan.adminpc
 Address:   192.168.10.254
 Address:   2001:db8:10:10::fe

エンティティー定義の使用

Note

アプリケーション定義名は大文字小文字を区別しませんが、エンティティー定義名（ゾーン、ネットワーク、ホスト定義名）は大文字小文字を区別しますので、ルールで指定するときはエンティティー定義名の大文字小文字を間違えないようにご注意ください。

awplus(config)# firewall ↓
awplus(config-firewall)# rule permit any from private to public ↓
awplus(config-firewall)# rule permit http from public to dmz.servernet.web log ↓
awplus(config-firewall)# rule permit isakmp from public.internet.vpngw to public.internet.myself ↓
awplus(config-firewall)# rule permit esp from public.internet.vpngw to public.internet.myself ↓

awplus(config)# nat ↓
awplus(config-nat)# rule masq any from private to public ↓

awplus(config)# interface tunnel0 ↓
awplus(config-if)# tunnel mode openvpn tun ↓
awplus(config-if)# tunnel openvpn route ovpn_routes ↓
awplus(config-if)# ip address 192.168.254.1/24 ↓

(C) 2019 - 2025 アライドテレシスホールディングス株式会社

PN: 613-002735 Rev.AF