Cisco IronPort S170 Web セキュリティ アプライアンス
目次
ようこそ
Cisco IronPort S シリーズ Web セキュリティ アプライアンス（WSA）をお選びいただき、ありがとうございます。Web セキュリティ アプライアンスは、Web トラフィックの保護と制御を行う組織を支援します。
このマニュアルでは、S170 アプライアンスを物理的に設置し、システム セットアップ ウィザードを使用して S170 の基本設定を行う方法を説明します。アプライアンスの設定方法については、『Web Security Appliance User Guide』の「Deployment」の章も参考になります。
はじめに
設置を開始する前に、必要な品目が揃っていることを確認してください。
S170 Web セキュリティ アプライアンスには、次の品目が含まれています。
•
アプライアンスをネットワークに接続するためのイーサネット ケーブル
•コンピュータをコンソール ポートに接続するための RJ45 - DB9 ケーブル
•10/100/ギガビット BaseT TCP/IP ローカル エリア ネットワーク（LAN）
•Web ブラウザ（または、SSH およびターミナル ソフトウェア）
•ネットワーキング ワークシートのネットワークおよび管理者の設定（ステップ 2 ）
ネットワーキング ワークシート
作業に取り掛かる前に、ネットワークおよび管理者の設定について次の情報を書き出してください。システム セットアップ ウィザードの実行時に、この情報の入力が必要になります。
Web プロキシ 
設置の計画
ネットワーク内にどのようにアプライアンスを設定するかを決めます。
S シリーズ アプライアンスは、クライアントとインターネット間のネットワークに追加のレイヤとして設置するのが通常です。クライアント トラフィックをアプライアンスに送信するためのレイヤ 4（L4）スイッチまたは WCCP ルータが必要かどうかは、アプライアンスをどのように展開するかによります。次の展開オプションがあります。
•トランスペアレント プロキシ：L4 スイッチを使用する Web プロキシ
•トランスペアレント プロキシ：WCCP ルータを使用する Web プロキシ
•L4 トラフィック モニタ：イーサネット タップ（シンプレックスまたはデュプレックス）
–シンプレックス モード：ポート T1 はすべての発信トラフィックを受信し、ポート T2 はすべての着信トラフィックを受信します。
–デュプレックス モード：ポート T1 は、すべての着信および発信トラフィックを受信します。
ラックへの設置
プラグ イン
IP アドレスの変更
S170 アプライアンスに接続するには、コンピュータの IP アドレスを一時的に変更する必要があります。設定が完了したら元に戻す必要があるため、まずは現在の IP 設定を書き留めておきます。
S シリーズ アプライアンスと同じサブネットの IP アドレス（192.168.42.xx）を使用するように、ラップトップのネットワーク接続を設定します。
システム ボックスに同梱されているイーサネット ケーブルを使用して、ラップトップを M1 管理ポートに接続します。S シリーズ アプライアンスでは、M1 管理ポートのみを使用します。
アプライアンスの接続
アプライアンスの背面パネルにある適切なポートに、イーサネット ケーブルを差し込みます。
•プロキシ ポートには、P1 と P2 というラベルが付いています。
– P1 のみがイネーブル： P1 のみがイネーブルの場合、着信トラフィックと発信トラフィックの両方に対応するネットワークに P1 を接続します。
– P1 および P2 がイネーブル： P1 と P2 の両方がイネーブルである場合、P1 を内部ネットワーク、P2 をインターネットにそれぞれ接続してください。
•トラフィック モニタ ポートには、T1 と T2 というラベルが付いています。
– シンプレックス タップ： ポート T1 および T2。1 本のケーブルでインターネットに宛てたすべてのパケットに対応し（T1）、もう 1 本のケーブルでインターネットから入ってくるすべてのパケットに対応（T2）。
– デュプレックス タップ： ポート T1。1 本のケーブルですべての着信およぶ発信トラフィックに対応。
電源投入
アプライアンスの前面パネルにあるオン/オフ スイッチを押して、電源を投入します。システムの電源を投入するたびに、システムが初期化するまで 5 分待機する必要があります。
マシンの電源が投入されると、グリーンのライトが点灯して、マシンが動作可能であることを示します。
アプライアンスへのログイン
Web ベース インターフェイスおよびコマンドライン インターフェイスのいずれかを使用して、S170 アプライアンスにログインできます。
システム セットアップ ウィザードの実行
システム セットアップ ウィザードを実行して、基本的な設定を行い、システム デフォルトをイネーブルにします。システム セットアップ ウィザードには、エンド ユーザ ライセンス契約書が表示されます。先に進むには、ライセンス契約書を読み、同意してください。必ず新しい管理者パスワードを書き留め、安全な場所に保管してください。
にあるネットワーキング ワークシートは、システム セットアップ ウィザードの実行に役立つ前提条件です。IronPort では、ネットワーキング ワークシートを使用して展開を計画し、初期設定に必要な情報を記録することを推奨しています。 ステップ 1 システム セットアップ ウィザードを実行します。
ステップ 4 「ネットワーキング ワークシート」からの情報を入力します。
ステップ 7 ユーザ名 admin と、システム セットアップ ウィザードで新たに設定したパスワードを使用して、アプライアンスにログインしなおします。
S170 アプライアンスでは自己署名証明書が使用されるため、Web ブラウザから警告が表示される場合があります。証明書を受け入れるだけで、これらの警告は無視して構いません。
ネットワークの設定
ネットワークの設定によっては、次のポートを使用したアクセスを許可するように、ファイアウォールを設定することが必要になる場合があります。SMTP および DNS サービスは、インターネットにアクセスできる必要があります。他のシステム機能では、次のサービスが必要とされる場合があります。
Web セキュリティ アプライアンスは、次のポートをリッスンできる必要があります。
•管理アクセス：ポート 8443（HTTPS）および 8080（HTTP）
•FTP：ポート 21、データ ポート TCP 1024 以上
Web セキュリティ アプライアンスは、次のポートで発信接続できることが必要です。
•グローバル カタログ クエリー用の SSL を使用した LDAP：ポート 3269
設定の概要
管理
http://192.168.42.42:8080 と入力するか、システム セットアップ ウィザードを実行した後で管理インターフェイスに割り当てられる IP アドレスを介して、管理ポート（MGMT ポート）から Web セキュリティ アプライアンスを管理できます。工場出荷時設定にリセットした場合は（システム セットアップ ウィザードの再実行などにより）、MGMT ポートからのみ管理インターフェイスにアクセスできるので
（http://192.168.42.42:8080）、MGMT ポートに接続できることを確認してください。
データ
システム セットアップ ウィザードを実行した後は、ネットワーク上のクライアントから Web トラフィックを受信するように、アプライアンス上の少なくとも 1 つのポート、つまり M1 のみ、M1 と P1、M1 と P1 と P2、P1 のみ、または P1 と P2 が設定されます。
（注） Web プロキシを明示的な転送モードに設定した場合は、Web セキュリティ アプライアンスの Web プロキシである M1 または P1 に、データ用に設定された IP アドレスを使用して明示的に Web トラフィックを転送するよう、クライアント マシンのアプリケーションを設定する必要があります。トラフィック モニタ
システム セットアップ ウィザードを実行した後は、1 つまたは両方の L4 トラフィック モニタ ポート（T1 のみ、または T1 および T2）が、すべての TCP ポートのトラフィックをリッスンするように設定されます。L4 トラフィック モニタのデフォルト設定は、モニタのみです。セットアップ時、またはセットアップ後に、疑わしいトラフィックのモニタおよびブロックの両方を行うよう、L4 トラフィック モニタを設定できます。
コンピュータ アドレス
コンピュータの IP アドレスを、ステップ 6 で書き留めた元の設定に戻すことを忘れないでください。
（注） [System Administration] > [Configuration Summary] ページから、システム設定のサマリーを確認できます。 
これで終了です。
おめでとうございます。いつでも Web セキュリティ アプライアンスの使用を開始できます。Web セキュリティ アプライアンスをさらに活用するために、次の手順のいくつかを実行することも検討してください。
ユーザ ポリシー
Web インターフェイスを使用し、必要に応じて、どのユーザがどの Web リソースにアクセスできるかを定義するポリシーを作成します。
• ユーザの識別： [Web Security Manager] > [Identities] ページを使用して、インターネットにアクセスできるユーザのグループを定義します。
• アクセス ポリシーの定義： [Web Security Manager] > [Access Policies] ページを使用して、許可またはブロックするオブジェクトとアプリケーションの設定、モニタまたはブロックする URL カテゴリの設定、および Web 評価とアンチマルウェアの設定を行うことにより、インターネットへのユーザ アクセスを制御します。
また、その他いくつかのポリシー タイプを定義して、インターネットへのアクセスを制御することにより、組織の許容可能な使用ポリシーを実施できます。たとえば、HTTPS トランザクションを復号化するためのポリシーや、アップロード要求を制御するその他のポリシーを定義できます。
IronPort S シリーズ アプライアンスでのポリシーの設定については、『 IronPort AsyncOS for Web User Guide 』の「Working with Policies」の章を参照してください。
関連資料
シスコのテクニカル サポート
次の URL にアクセスして、シスコのテクニカル サポートを最大限に活用してください。
http://www.cisco.com/en/US/support/index.html
以下を含むさまざまな作業にこの Web サイトが役立ちます。
•セキュリティの脆弱性を報告する、またはシスコ製品のセキュリティ問題に対する支援を受ける
•Networking Professionals（NetPro）コミュニティで、技術関連のディスカッションに参加する
•TAC Case Collection ツールを使用して、ハードウェアや設定、パフォーマンスに関する一般的な問題をインタラクティブに特定および解決する
Japan テクニカル サポート Web サイトでは、Technical Support Web サイト（http://www.cisco.com/techsupport）の、利用頻度の高いドキュメントを日本語で提供しています。
フィードバック