設定例 / AMFアプリケーションプロキシー機能によるデバイスの制御


AMFアプリケーションプロキシー機能の設定例
構成
各製品の情報
AMFマスターの設定手順
AMFメンバーの設定手順
ARルーターの設定手順
AT-VST-VRTの設定手順
AMF Securityの設定手順
AMFマスター設定
AMFメンバー設定
ARルーター設定


AMFアプリケーションプロキシー機能の設定例

AMFアプリケーションプロキシー機能の設定例です。
この例は、AW+のAMFアプリケーションプロキシーホワイトリスト機能とAMFアプリケーションプロキシーブラックリスト機能の基本設定です。
AMFアプリケーションプロキシーブラックリスト機能で連携するアプリケーションは、ARルーターのAT-AR3050S/AR4050SのUTM(Unified Threat Management)関連機能を使用し、アクションはパケット破棄を設定します。
Note
各機能を使用するには別途ライセンスが必要です。製品によって必要なライセンスが異なりますので、弊社ホームページなどでご確認ください。
Note
ARルーターのUTM関連機能のうち、AMF Securityと連携可能な機能は、付録「AT-AR3050S/AT-AR4050Sの設定」をご参照ください。
Note
ログなどの記録日時を正確に保ち、各種機能を適切に動作させるため、各製品のシステム時刻は正確に合わせて運用することをおすすめします。
なおAMF Securityは、AT-VST-VRTのシステム時刻を取得して使用します。AMF Securityのタイムゾーンの設定はAMF Securityで行いますが、NTPの同期先の設定はAT-VST-VRTで行います。

構成

本設定例では以下の構成を想定しています。

Note
本設定例では、AT-VST-VRTのAT-Vista Manager EX(プライグインを含む)は説明していません、設定については、AT-Vista Manager EXのリファレンスマニュアルをご参照ください。
Note
本構成のAMFマスターは、AT-VST-VRTのAMF Cloudではなく別の機器を使用していますが、AT-VST-VRTのAMF Cloudを使用することもできます。
Note
AT-VST-VRTの基本設定(IPアドレスやスタティック経路などの設定)の詳細は、「AT-VST-VRT リファレンスマニュアル」をご参照ください。
Note
AT-VST-VRTで行うAMF Securityの基本設定(アプリケーションの設定)の詳細は、「AT-VST-VRT リファレンスマニュアル」をご参照ください。

各製品の情報

■ AMFマスターの設定
表 1:設定データ
項目名 設定する情報
ユーザー名 manager
パスワード friend
ホスト名 AMF-Master
AMFネットワーク名 AMF001
IPアドレス 192.168.1.254
AMF SecurityのIPアドレス 192.168.1.10
AMF Securityとの事前共有鍵 password
■ AMFメンバーの設定
表 2:設定データ
項目名 設定する情報
ユーザー名 manager
パスワード friend
ホスト名 AMF-Member
AMFネットワーク名 AMF001
AMFアクション パケット破棄
■ AT-AR4050Sの情報
表 3:AT-AR4050Sの情報
項目名 情報
ユーザー名 manager
パスワード friend
ホスト名 awplus-UTM-Router
AMFネットワーク名 AMF001
ISP接続用ユーザー名 user@isp
ISP接続用パスワード isppasswd
PPPoEサービス名 指定なし
WAN側IPアドレス 動的割り当て(IPCP)
DNSサーバー 自動取得(IPCP)
UTM関連機能のログ出力先 192.168.1.10
syslogメッセージ送信時の送信元IPv4アドレス vlan1インターフェースのIPアドレス(192.168.1.1)
Note
ARルーターのUTM関連機能とAMF Securityの連携を行う場合は、ARルーターのホスト名を「awplus」から始まる名前にする必要があります。
■ AT-VST-VRTの情報
表 4:AT-VST-VRTの情報
項目名 情報
IPアドレス 192.168.1.100
スタティック経路(ゲートウェイ) 192.168.1.254
■ AMF Securityの情報
表 5:AMF Securityの情報
項目名 情報
IPv4アドレス 192.168.1.10
AMFマスターのIPアドレス 192.168.1.254
AMFマスターのユーザー名 manager
AMFマスターのパスワード friend
AMFマスターとの事前共有鍵 password
Note
本設定例では、AMF Securityに設定するAMFマスターのアカウント(ユーザー名 / パスワード)をデフォルトの「manager / friend」を使用していますが、AMFマスターおよびAMFメンバーにて権限レベル15のユーザーアカウントを作成し、コンソール接続に使用するユーザーアカウントと分けることをおすすめします。
■ AMF Securityに登録するデバイス(端末)の認証情報
表 6:AMF Securityに登録するデバイス(端末)の認証情報
端末1
項目名 情報
デバイス ID Device1
MACアドレス 00:00:00:00:00:01
ネットワーク(VLAN) VLAN100
端末2
項目名 情報
デバイス ID Device2
MACアドレス 00:00:00:00:00:02
ネットワーク(VLAN) VLAN101

AMFマスターの設定手順

Note
製品によっては、手順中で有効にする機能が初期状態で有効になっているものもあります。
  1. 初期状態で有効化されているスパニングツリープロトコル(RSTP)を無効化します。

  2. タイムゾーンを日本標準時に設定します。

  3. ホスト名を設定します。

  4. AMFネットワーク名を設定します

  5. AMFマスターに設定します。

  6. AMFアプリケーションプロキシー機能を有効にします。

  7. Webサーバー機能を有効にします。

  8. AMF SecurityとのGUI連携機能を有効にします。

  9. AMFアプリケーションプロキシーホワイトリスト機能で連携するAMF SecurityのIPアドレスと事前共有鍵を設定します。

  10. 以下のVLANを作成します。

  11. 以下のVLANにIPアドレスを設定します。

    ARルーターと接続するポート1.0.1にVLANを割り当て、AMFリンクに設定します。

    Note
    上記の設定を行うと以下が自動で設定されます。
     switchport trunk native vlan none
  12. AMFメンバーと接続するポート1.0.3にVLANを割り当て、AMFリンクに設定します。

  13. デフォルト経路を設定します

AMFマスターの設定は以上です。
現在の設定内容を起動時コンフィグとして保存する場合には以下を実行します。

AMFメンバーの設定手順

Note
製品によっては、手順中で有効にする機能が初期状態で有効になっているものもあります。
  1. 初期状態で有効化されているスパニングツリープロトコル(RSTP)を無効化します。

  2. タイムゾーンを日本標準時に設定します。

  3. ホスト名を設定します。

  4. AMFネットワーク名を設定します

  5. AMFアプリケーションプロキシー機能を有効にします。

  6. Webサーバー機能を有効にします。

  7. 以下のVLANを作成します。

  8. 以下のVLANにIPアドレスを設定します。

  9. デフォルト経路を設定します

  10. AMFマスターと接続するポート1.0.1にVLANを割り当て、AMFリンクに設定します。

  11. 端末が接続するポートでAMFアプリケーションプロキシーホワイトリスト機能の設定をします。

  12. 端末が認証後、他のポートへ移動して再度認証を行えるようにイングレスフィルタリングを無効にします。

    Note
    他のポートへ端末が移動する可能性がある場合は、端末の移動にかかわるすべてのポートで本設定を行う必要があります。イングレスフィルタリングが有効の場合、移動前のポートに端末の情報が残るため、移動先のポートで認証を受けられません。
  13. 端末が接続するポートでAMFアプリケーションプロキシーホワイトリスト機能を有効にします。

    Note
    対象のポートにおいて、認証失敗後の認証抑止期間(quietPeriod)のデフォルト設定は60秒のため、認証抑止期間を短くする場合には「auth timeout quiet-period」で設定を行ってください。
    Note
    AMF SecurityでVLANが割り当てられなかった端末は、ポートに設定されているVLAN(初期設定ではvlan1)を使用します。
  14. 端末が接続するポートでAMFアプリケーションプロキシーホワイトリスト機能のセッションタイムアウトを有効にします。
    セッションタイムアウトを有効にすると、認証してからAMF Securityの「AMF」/「AMF アプリケーションプロキシー 設定」画面で設定した時間の経過後、認証情報が削除されます。
    セッションタイムアウトの設定が0秒の場合は、時間経過で認証情報の削除は行われません。

    Note
    スケジュール認証を行う場合は、本設定を有効にしてください。
  15. 端末が接続するポートで認証の動作モードをMulti-Supplicantモードに変更します。

    動作モードを変更しない(Single-Hostモード)の場合、最初に認証したデバイスからの通信のみを許可します。
  16. 端末が接続するポートでダイナミックVLANを有効にします。

    ダイナミックVLANが無効の場合、AMF SecurityでVLANアサインの設定をしていても、インターフェースに設定されたVLANを通信に使用します。
  17. アプリケーションプロキシー機能で端末を遮断する際のアクションをパケット破棄に設定します。

AMFメンバーの設定は以上です。
現在の設定内容を起動時コンフィグとして保存する場合には以下を実行します。

ARルーターの設定手順

Note
製品によっては、手順中で有効にする機能が初期状態で有効になっているものもあります。
  1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル(RSTP)を無効化します。

  2. タイムゾーンを日本標準時に設定します。

  3. ホスト名を設定します。
    ARルーターのUTM関連機能とAMF Securityの連携を行う場合は、ARルーターのホスト名を「awplus」から始まる名前にする必要があります。

  4. AMFネットワーク名を設定します

  5. AMFアプリケーションプロキシー機能を有効にします。

  6. Webサーバー機能を有効にします。

  7. WANポートeth1上にPPPoEインターフェースppp0を作成します。

  8. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。

  9. LAN側インターフェースにIPアドレスを設定します。

  10. ファイアウォール、IPレピュテーション、マルウェアプロテクションのログを記録し、そのログメッセージをAMF Security(192.168.1.10)に送信する設定を行います。
    これにはlogコマンドを使います。

  11. AMFマスターと接続するLANポート1.0.1にVLANを割り当て、AMFリンクに設定します。

    Note
    上記の設定を行うと以下が自動で設定されます。
     switchport trunk native vlan none
  12. IPレピュテーション(IPアドレスブラックリスト)機能の設定を行います。
    IPレピュテーション機能とAMF Securityの連携を行うためには、連携可能なカテゴリーに対するアクションを「deny」に設定する必要があります。デフォルトの「alert」では連携しませんのでご注意ください。

  13. マルウェアプロテクション(ストリーム型アンチウイルス)機能の設定を行います。

  14. ファイアウォールやNATのルール作成時に使うエンティティー(通信主体)を定義します。
    内部ネットワークを表すゾーン「private」を作成します。

    外部ネットワークを表すゾーン「public」を作成します。

  15. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。

  16. LAN側ネットワークに接続されているすべてのコンピューターがダイナミックENAT機能を使用できるよう設定します。

  17. DNSリレー機能を有効にします。

  18. IPの経路情報をスタティックに設定します。

ARルーターの設定は以上です。
現在の設定内容を起動時コンフィグとして保存する場合には以下を実行します。

AT-VST-VRTの設定手順

AT-VST-VRTの基本設定(IPアドレスやスタティック経路などの設定)の詳細は、「AT-VST-VRT リファレンスマニュアル」をご参照ください。

AMF Securityの設定手順

AMF Securityの基本設定は以下をご参照ください。
  1. 「AMF」/「AMF アプリケーションプロキシー 設定」画面を開き、AMFマスターを登録します。

  2. AMF マスターの「追加」ボタンをクリックして、「AMF」/「AMF マスター 編集」ダイアログを表示します。

  3. AMFマスターのIPアドレス、ユーザー名、パスワード、事前共有鍵(PSK)を入力します。

    ここでは、次の情報を入力します。
    表 7:設定データ
    項目名 設定する情報
    IPv4 アドレス 192.168.1.254
    ユーザー名 manager
    パスワード friend
    事前共有鍵(PSK) password
  4. 「登録」→「OK」ボタンをクリックします。
    登録したAMFマスターは「AMF」/「AMF アプリケーションプロキシー 設定」画面に表示され、しばらくすると接続状態の表示が「Good」になります(ブラウザーの画面の更新を行ってください)。


    Note
    AMF SecurityとAMFマスター間のIP通信ができていない場合や、AMFマスター、AMFメンバーの設定が不足していると、接続状態の表示が「Error」になります。この場合は通信経路、AMFマスター、AMFメンバーの設定を再度ご確認ください。
  5. 端末の接続先のネットワークを登録します。
    ネットワークは、「ポリシー設定」/「ネットワーク一覧」画面で登録することができます。「ポリシー設定」/「ネットワーク一覧」画面に移動します。

  6. 「ポリシー設定」/「ネットワーク一覧」画面の右上の「ネットワーク追加」ボタンをクリックして、「ポリシー設定」/「ネットワーク追加」画面に移動します。

  7. 登録するネットワークの情報を入力します。

    ここでは、次の情報を入力します。
    表 8:設定データ
    項目名 設定する情報
    ネットワーク ID VLAN100
    VLAN ID 100
    備考 なし(空欄)
  8. 「登録」ボタンをクリックします。
    ネットワークが登録されると、追加した情報が「ポリシー設定」/「ネットワーク一覧」画面に表示されます。

  9. 手順6~手順8と同じ手順で、もう1つのネットワークを登録します。
    ここでは、次の情報を入力します。
    表 9:設定データ
    項目名 設定する情報
    ネットワーク ID VLAN101
    VLAN ID 101
    備考 なし(空欄)

  10. デバイス ID(デバイス)を登録します。
    デバイスは、「デバイス」/「デバイス追加」画面で登録することができます。「デバイス」/「デバイス一覧」画面に移動します。

  11. 「デバイス」/「デバイス一覧」画面の右上の「デバイス追加」ボタンをクリックして、「デバイス」/「デバイス追加」画面に移動します。
    この画面では、新規デバイスのデバイスID、インターフェース、ポリシーを登録します。

  12. 登録するデバイスの情報を入力します。

    ここでは、次の情報を入力します。
    表 10:設定データ
    項目名 設定する情報
    デバイス ID Device1
    タグ なし(空欄)
    備考 なし(空欄)
  13. デバイスが持つインターフェースのMACアドレスを登録します。
    「インターフェース」欄の「追加」ボタンをクリックして、「デバイス」/「インターフェース編集」ダイアログを表示します。

  14. 「Device1」の端末のMACアドレスを登録します。

    ここでは、次の情報を入力します。
    表 11:設定データ
    項目名 設定する情報
    MAC アドレス 00:00:00:00:00:01
    名称 なし(空欄)
    備考 なし(空欄)
  15. 「登録」ボタンをクリックします。
    「デバイス」/「デバイス追加」画面の「インターフェース」一覧に、設定したインターフェースのMACアドレスが表示されます。

  16. ポリシーの「追加」ボタンをクリックして、「デバイス」/「ポリシー編集」ダイアログを表示します。

  17. 登録するポリシーの情報を入力します。

    ここでは、次の情報を入力します。
    表 12:設定データ
    項目名 設定する情報
    優先度 10
    ネットワーク VLAN100
    ロケーション なし(空欄)
    スケジュール なし(空欄)
  18. 「登録」ボタンをクリックします。
    「デバイス」/「デバイス追加」画面の「ポリシー」一覧に、設定したセキュリティーポリシーが表示されます。

  19. 「登録」ボタンをクリックします。
    デバイスが登録されると、新規に追加した情報が「デバイス」/「デバイス一覧」画面に表示されます。

  20. 手順11~手順19と同じ手順で、「Device2」の「デバイス ID」も登録します。
    表 13:設定データ
    項目名 設定する情報
    デバイス ID Device2
    タグ なし(空欄)
    備考 なし(空欄)
    インターフェース
     MAC アドレス 00:00:00:00:00:02
     名称 なし(空欄)
     備考 なし(空欄)
    ポリシー
     優先度 10
     ネットワーク VLAN101
     ロケーション なし(空欄)
     スケジュール なし(空欄)
  21. ARルーターのUTM関連機能で検知されて送られてきた脅威情報のログに基づいて自動的な対応動作を行うよう、トラップ監視設定を行います。
    「システム設定」/「トラップ監視設定」画面に移動します。
    この画面では、「ルール」を設定します。

  22. 「ルール」を入力します。

    ここでは、次の情報を入力します。
  23. 「登録」→「OK」ボタンをクリックします。

AMF Securityの設定は以上です。
AMFメンバーに接続した端末に対して、AMF Securityは登録された認証情報をもとに認証を行うようになります。
認証の結果は「デバイス」/「接続中 デバイス一覧」画面で確認できます。

ARルーターのUTM関連機能で端末が検知されると、その被疑端末の情報はAMF Security上に登録され、「ポリシー設定」/「アクション一覧」画面に表示されます。同時に、AMF SecurityはAMFマスターに被疑端末の情報を通知します。

■ AMFマスター
AMF-Master#show application-proxy threat-protection all
Quarantine Vlan           : Not set
Global IP-Filter          : Disabled
IP-Filter Limit Exceeded  : 0
Redirect-URL              : Not set
Client IP        Interface       MAC Address     VLAN      Action
-----------------------------------------------------------------
192.168.101.100  -               -               -           none
AMF-Master#
本設定例ではAMFマスターがL3スイッチとして動作しているため、AMFマスター自身のARPテーブルから被疑端末のIPアドレスとMACアドレスの紐付けが行われ、パケット破棄のアクションが適用されます(AMFメンバーはFDBから被疑端末のMACアドレスを探索しアクションを適用)。
■ AMFマスター
AMF-Master#show application-proxy threat-protection all
Quarantine Vlan           : Not set
Global IP-Filter          : Disabled
IP-Filter Limit Exceeded  : 0
Redirect-URL              : Not set
Client IP        Interface       MAC Address     VLAN      Action
-----------------------------------------------------------------
192.168.101.100  -               0000.0000.0002  -           none
AMF-Master#
■ AMFメンバー
AMF-Member#show application-proxy threat-protection all
Quarantine Vlan           : Not set
Global IP-Filter          : Disabled
IP-Filter Limit Exceeded  : 0
Redirect-URL              : Not set
Client IP        Interface       MAC Address     VLAN      Action
-----------------------------------------------------------------
192.168.101.100  * (port1.0.3)   0000.0000.0002  101         drop
AMF-Member#
「ポリシー設定」/「アクション一覧」画面

「デバイス」/「接続中 デバイス一覧」画面

「解除」→「OK」ボタンをクリックするとアクションを解除できます。



AMFマスター設定

!
hostname AMF-Master
!
service http
!
clock timezone JST plus 9:00
!
atmf network-name AMF001
atmf master
atmf topology-gui enable
!
service atmf-application-proxy
application-proxy whitelist server 192.168.1.10 key password
!
no spanning-tree rstp enable
!
vlan database
vlan 10,100-101 state enable
!
interface port1.0.1
switchport
switchport mode trunk
switchport trunk allowed vlan add 1
switchport trunk native vlan none
switchport atmf-link
!
interface port1.0.3
switchport
switchport mode trunk
switchport trunk allowed vlan add 10,100-101
switchport atmf-link
!
interface vlan1
ip address 192.168.1.254/24
!
interface vlan10
ip address 192.168.10.254/24
!
interface vlan100
ip address 192.168.100.254/24
!
interface vlan101
ip address 192.168.101.254/24
!
ip route 0.0.0.0/0 192.168.1.1
!
end

AMFメンバー設定

!
hostname AMF-Member
!
service http
!
clock timezone JST plus 9:00
!
atmf network-name AMF001
!
service atmf-application-proxy
!
no spanning-tree rstp enable
!
vlan database
vlan 10,100-101 state enable
!
interface port1.0.1
switchport
switchport mode trunk
switchport trunk allowed vlan add 10,100-101
switchport atmf-link
!
interface port1.0.2-1.0.3
switchport
switchport mode access ingress-filter disable
application-proxy whitelist enable
auth session-timeout
auth host-mode multi-supplicant
auth dynamic-vlan-creation type multi
application-proxy threat-protection drop
!
interface vlan10
ip address 192.168.10.10/24
!
ip route 0.0.0.0/0 192.168.10.254
!
end

ARルーター設定

!
hostname awplus-UTM-Router
!
log host 192.168.1.10
log host 192.168.1.10 level informational facility local5
!
service http
!
clock timezone JST plus 9:00
!
atmf network-name AMF001
!
zone private
network lan
ip subnet 192.168.1.0/24
ip subnet 192.168.10.0/24
ip subnet 192.168.100.0/24
ip subnet 192.168.101.0/24
!
zone public
network wan
ip subnet 0.0.0.0/0 interface ppp0
host ppp0
ip address dynamic interface ppp0
!
firewall
rule 10 permit any from private.lan to private.lan
rule 20 permit any from private.lan to public
rule 30 permit dns from public.wan.ppp0 to public.wan
rule 40 permit https from public.wan.ppp0 to public.wan
protect
!
nat
rule 10 masq any from private to public
enable
!
malware-protection
provider kaspersky
protect
!
ip-reputation
category Bot action deny
category CnC action deny
category Drop action deny
category Mobile_CnC action deny
category Mobile_Spyware_CnC action deny
category SpywareCnC action deny
provider proofpoint
protect
!
service atmf-application-proxy
!
no spanning-tree rstp enable
!
interface port1.0.1
switchport
switchport mode trunk
switchport trunk allowed vlan add 1
switchport trunk native vlan none
switchport atmf-link
!
interface eth1
encapsulation ppp 0
!
interface vlan1
ip address 192.168.1.1/24
!
interface ppp0
ppp ipcp dns request
keepalive
ip address negotiated
ppp username user@isp
ppp password isppasswd
ip tcp adjust-mss pmtu
!
ip route 0.0.0.0/0 ppp0
ip route 192.168.100.0/24 192.168.1.254
ip route 192.168.101.0/24 192.168.1.254
!
ip dns forwarding
!
end