次の図は、エンタープライズ ネットワーク環境における E メール セキュリティ アプライアンスの一般的な設置方法を示します。

いくつかのシナリオでは、E メール セキュリティ アプライアンスはネットワークの「DMZ」内に配置されます。その場合は、E メール セキュリティ アプライアンスとグループウェア サーバの間にさらにファイアウォールを設置しています。

次のネットワーク シナリオを説明します。

• ファイアウォールの内側：リスナー 2 個の設定（図「ファイアウォールの内側のシナリオ：リスナー 2 個の設定」）

実際のインフラストラクチャと最も一致する設定を選択してください。その後、システム セットアップの準備に進んでください。

• 指定したローカル ドメイン宛ての着信メールは受け入れられます
• その他のドメインはすべて拒否されます。
• 外部システムは、ローカル ドメイン宛て電子メールを転送するために E メール セキュリティ アプライアンスに直接接続し、E メール セキュリティ アプライアンスは、SMTP ルートを介して、そのメールを適切なグループウェア サーバ（Exchange™、Groupwise™、Domino™ など）にリレーします（ローカル ドメインの電子メールのルーティング を参照）。

• 内部ユーザが送信した発信メールは、グループウェア サーバによって E メール セキュリティ アプライアンスにルーティングされます。
• E メール セキュリティ アプライアンスでは、プライベート リスナーのホスト アクセス テーブルの設定値に基づいて発信電子メールを受け入れます（詳細については、リスナーの使用を参照してください）。

これらの設定では、E メール セキュリティ アプライアンスにある使用可能なイーサネット インターフェイスのうち 1 つだけを必要とします。ただし、イーサネット インターフェイスを 2 つ設定すると、内部ネットワークを外部インターネット ネットワーク接続と分離できます。

使用可能なインターフェイスに対する複数 IP アドレスの割り当ての詳細については、Virtual Gateway™ テクノロジーを使用してすべてのホストされたドメインでの構成のメール ゲートウェイおよびネットワークと IP アドレスの割り当てを参照してください。

ハードウェア アプライアンスのポートの数とタイプはモデルによって異なります。

* 専用管理ポートのないアプライアンスでは、Data1 ポートを管理用に使用します。

ポートの詳細については、お使いのアプライアンス モデルの『Hardware Installation Guide』を参照してください。

「ファイアウォールの内側のシナリオ：リスナー 2 個の設定」、および「リスナー 1 個の設定」の図に示す設定に加えて、次も設定できます。

• 中央管理機能を使用する複数の E メール セキュリティ アプライアンス。クラスタを使用した中央集中型管理を参照してください。
• E メール セキュリティ アプライアンスの 2 つのイーサネット インターフェイスを NIC ペアリング機能によって「チーム化」することによるネットワーク インターフェイス カード レベルでの冗長性。高度なネットワーク構成を参照してください

SMTP サービスおよび DNS サービスでは、インターネットにアクセスできる必要があります。他のサービスも場合によってはファイアウォール ポートを開く必要があります。詳細は、ファイアウォール情報を参照してください。

着信と発信の電子メール トラフィックを個別のリスナーおよび個別の IP アドレスで分離できます。インターネット プロトコル バージョン 4（IPv4）およびバージョン 6（IPv6）アドレスを使用できます。ただし、アプライアンスのシステム セットアップ ウィザードでは、次の設定を持つ初期設定をサポートしています。

• 個別の物理インターフェイスに設定された 2 個の論理 IPv4 アドレスおよび 2 個の IPv6 アドレス上の 2 つの個別リスナー
  • 着信と発信のトラフィックの分離
  • IPv4 アドレスおよび IPv6 アドレスを各リスナーに割り当てることができます。
• 1 つの物理インターフェイスに設定された 1 つの論理 IPv4 アドレス上の 1 つのリスナー
  • 着信と発信の両トラフィックの組み合わせ
  • IPv4 アドレスおよび IPv6 アドレスの両方ともリスナーに割り当てることができます。

リスナー 1 つと 2 つの両方の設定に対する設定ワークシートが以下にあります（セットアップ情報の収集を参照）。大部分の設定シナリオは、次の 3 つの図のいずれかで表現されます。

インターネット ルート サーバまたは内部 DNS サーバを使用するように DNS を設定可能

SMTP ルートでは、適切なグループウェア サーバにメールを振り向け

適切なサービスと E メール セキュリティ アプライアンスの双方向の通信用にファイアウォール ポートをオープン

インターネット ルート サーバまたは内部 DNS サーバを使用するように DNS を設定可能

SMTP ルートでは、適切なグループウェア サーバにメールを振り向け

適切なサービスとアプライアンスの双方向の通信用にファイアウォール ポートをオープン

新しい仮想またはハードウェア アプライアンスをインストールする場合、完全なアクセス権を取得してアプライアンスを設定するために、デフォルトのパスフレーズを変更する必要があります。初めてアプライアンスにログインすると、Web インターフェイスによってデフォルトのパスフレーズを変更するように指示されます。デフォルトのパスフレーズを変更するまで、CLI で以下のコマンドへのアクセスが制限されます。

• Commit

• Interfaceconfig

• passphrase

• Loadconfig

• Systemsetup

• loadlicense（仮想アプライアンス向け）

• ライセンス キー

• Ping

• Telnet

• netstat

• ユーザ名：admin
• パスフレーズ：ironport

例：

login: admin
passphrase: ironport

（注）	セッションがタイムアウトした場合は、ユーザ名とパスフレーズの再入力が求められます。システム セットアップ ウィザードの実行中にセッションがタイムアウトした場合は、最初からやり直す必要があります。

新しい仮想またはハードウェア アプライアンスをインストールする場合、完全なアクセス権を取得してアプライアンスを設定するために、デフォルトのパスフレーズを変更する必要があります。初めてアプライアンスにログインすると、Web インターフェイスによってデフォルトのパスフレーズを変更するように指示されます。デフォルトのパスフレーズを変更するまで、CLI で以下のコマンドへのアクセスが制限されます。

• Commit

• Interfaceconfig

• passphrase

• Loadconfig

• Systemsetup

• loadlicense（仮想アプライアンス向け）

• ライセンス キー

• Ping

• Telnet

• netstat

• ユーザ名：admin
• パスフレーズ：ironport

例：

login: admin
passphrase: ironport

（注）	セッションがタイムアウトした場合は、ユーザ名とパスフレーズの再入力が求められます。システム セットアップ ウィザードの実行中にセッションがタイムアウトした場合は、最初からやり直す必要があります。

まず、AsyncOS の admin アカウントのパスフレーズを変更します。続行するには、現在のパスフレーズを入力する必要があります。新しいパスフレーズは 6 文字以上の長さにする必要があります。パスフレーズは、必ず安全な場所に保管してください。パスフレーズの変更は、システム セットアップ プロセスを終了した時点で有効になります。

表示されるソフトウェア ライセンス契約書を参照して受諾します。

次に、E メール セキュリティ アプライアンスの完全修飾ホスト名を定義します。この名前は、ネットワーク管理者が割り当てる必要があります。

次の手順では、Management（C370、C670、X1070、C380、C680、C390、および C690 アプライアンス）または Data 1（C170 および C190 アプライアンス）物理イーサネット インターフェイス上に論理 IP インターフェイスの割り当てと設定を行います。続いて、アプライアンス上で使用可能な他の任意の物理イーサネット インターフェイス上に論理 IP インターフェイスを設定するよう指示されます。

各イーサネット インターフェイスに複数の IP インターフェイスを割り当てることができます。IP インターフェイスは、IP アドレスおよびホスト名を物理イーサネット インターフェイスと関連付ける論理構成概念です。Data 1 と Data 2 の両方のイーサネット ポートを使用する場合は、両方の接続用に IP アドレスとホスト名が必要です。

C370、C670、X1070、C380、C680、C390、および C690 アプライアンスの場合：シスコでは、パブリック リスナーを介して着信電子メールを受信するためにインターネットに直接接続するように物理イーサネット ポートの 1 つを使用し、プライベート リスナーを介して発信電子メールをリレーするために内部ネットワークに直接接続するようにもう 1 つの物理イーサネット ポートを使用することを推奨しています。

C170 および C190 アプライアンスの場合：デフォルトでは、着信電子メールの受信と発信電子メールのリレーの両方のために、リスナー 1 つの物理イーサネット ポート 1 つのみが systemsetup コマンドによって設定されます。

（注）	アウトバウンド メールをリレーするようにインターフェイスを設定すると、そのインターフェイスを使用するパブリック リスナーが設定されている場合を除き、そのインターフェイスの SSH がシステムによってオンにされます。

次の情報が必要です。

• 後でその IP インターフェイスを参照するために作成した名前（ニックネーム）。たとえば、イーサネット ポートの 1 つをプライベート ネットワーク用に使用し、もう 1 つをパブリック ネットワーク用にしている場合は、それぞれ PrivateNet および PublicNet などの名前を付けます。

  （注）	インターフェイス用に定義する名前では、大文字と小文字が区別されます。AsyncOS では、2 つの同じインターフェイス名を作成することはできません。たとえば、Privatenet および PrivateNet という名前は、異なる（一意の）2 つの名前であると見なされます。

• ネットワーク管理者によって割り当てられた IP アドレス。これは、IPv4 アドレスまたは IPv6 アドレスにできます。1 つの IP インターフェイスに両方のタイプの IP アドレスを割り当てることができます。

• インターフェイスのネットマスクネットマスクは、CIDR 形式である必要があります。たとえば、255.255.255.0 サブネットでは /24 を使用します。

  （注）	同じサブネットに含まれる IP アドレスを、別々の物理イーサネット インターフェイスには設定できません。ネットワークおよび IP アドレスのコンフィギュレーションの詳細については、ネットワークと IP アドレスの割り当てを参照してください。 C170 および C190 アプライアンスの場合、Data 2 インターフェイスを最初に設定します。

systemsetup コマンドの次の部分では、ネットワークのデフォルト ルータ（ゲートウェイ）の IP アドレスを入力します。

systemsetup コマンドの次の部分では、アプライアンス（Management イーサネット インターフェイス）の Web インターフェイスを有効にします。Secure HTTP（https）を介して Web インターフェイスを実行することもできます。HTTPS を使用する場合は、独自の証明書をアップロードするまで、デモ証明書が使用されます。

次に、Domain Name Service（DNS）を設定します。Cisco AsyncOS には、インターネットのルート サーバに直接問い合わせできる、高性能な内部 DNS リゾルバ/キャッシュが組み込まれていますが、独自の DNS サーバを使用することもできます。独自のサーバを使用する場合は、各 DNS サーバの IP アドレスおよびホスト名を指定する必要があります。必要な数の DNS サーバを入力できます（各サーバのプライオリティは 0 になります）。デフォルトでは、独自の DNS サーバのアドレスを入力するよう、systemsetup から示されます。

特定の IP インターフェイスに対して設定される、着信電子メール処理サービスを「リスナー」によって管理します。リスナーは、内部システムまたはインターネットのいずれかから E メール セキュリティ アプライアンスに着信する電子メールだけに適用されます。Cisco AsyncOS は、メッセージを受け入れて受信者のホストにリレーするために、リスナーを使用してメッセージが満たす必要のある基準を指定します。リスナーは、上記で指定した IP アドレス用に実行されている電子メール リスナーであると見なすことができます（「SMTP デーモン」と見なすことさえ可能）。

C370、C670、X1070、C380、C680、C390、および C690 アプライアンスの場合：デフォルトでは、systemsetup コマンドによって 2 個のリスナー（プライベート 1 つ、パブリック 1 つ）が設定されます。（使用可能なリスナー タイプの詳細については、電子メールを受信するためのゲートウェイの設定を参照してください）。

C170 および C190 アプライアンスの場合：デフォルトでは、インターネットからのメールの受信と内部ネットワークからの電子メールのリレーの両方に対応するパブリック リスナー 1 つが systemsetup コマンドによって設定されます。C170 および C190 アプライアンスのリスナーの例を参照してください。

リスナーを定義するときは、次の属性を指定します。

• 後でそのリスナーを参照するために作成した名前（ニックネーム）。たとえば、インターネットに配信される、内部システムからの電子メールを受け入れるリスナーには、OutboundMail などの名前を付けます。
• 電子メールの受信に使用する、systemsetup コマンドで先に作成したいずれかの IP インターフェイス。
• 電子メールのルーティング先にするマシンの名前（パブリック リスナーのみ）。（これは、最初の smtproutes エントリです。ローカル ドメインの電子メールのルーティング を参照してください）。
• パブリック リスナーで SenderBase Reputation Score（SBRS; SenderBase レピュテーション スコア）に基づくフィルタリングをイネーブルにするかどうか。イネーブルにする場合は、[コンサーバティブ（Conservative）]、[適度（Moderate）]、または [アグレッシブ（Aggressive）] から設定値を選択することも指示されます。
• ホストごとのレート制限：1 時間あたりにリモート ホストから受信する受信者の最大数（パブリック リスナーのみ）。
• 受け入れる電子メールの宛先にされている受信者ドメインまたは特定のアドレス（パブリック リスナーの場合）、あるいはアプライアンスを介した電子メールのリレーを許可するシステム（プライベート リスナーの場合）。これらは、リスナーの受信者アクセス テーブルおよびホスト アクセス テーブルの最初のエントリです。詳細については、送信者グループの構文およびメッセージを受け入れるドメインおよびユーザの追加を参照してください。

アプライアンスには、Anti-Spam ソフトウェアの 30 日間有効な評価キーが付属しています。systemsetup コマンドのこの部分では、ライセンス契約書を受諾し、アプライアンスでグローバルに Anti-Spam をイネーブルにすることができます。

次に、着信メール ポリシーに対する Anti-Spam スキャンをイネーブルにします。

（注）	ライセンス契約書を受諾しない場合、Anti-Spam はアプライアンスでイネーブルになりません。

アプライアンスで使用可能なすべての Anti-Spam 設定オプションについては、スパムおよびグレイメールの管理を参照してください。

複数のアンチスパム スキャン エンジンをイネーブルにした場合は、デフォルト着信メール ポリシーに対してイネーブルにするエンジンを選択するように示されます。

スパム対策サービスをイネーブルにした場合は、着信メール ポリシーをイネーブルにして、スパム メッセージおよび陽性と疑わしいスパム メッセージをローカル スパム隔離に送信できます。スパム隔離をイネーブルにすると、アプライアンスでエンドユーザ隔離もイネーブルになります。エンドユーザのアクセス権を設定していないうちは、管理者だけがエンドユーザ隔離を利用できます。

ローカルのスパム隔離の設定を参照してください。

アプライアンスには、ウイルス スキャン エンジンの 30 日間評価キーが付属しています。systemsetup コマンドのこの部分では、1 つまたは複数のライセンス契約書を受諾し、アプライアンスでウイルス対策スキャンをイネーブルにできます。アプライアンスでイネーブルにするウイルス対策スキャン エンジンごとにライセンス契約書を受諾する必要があります。

契約書を受諾すると、選択したアンチウイルス スキャン エンジンが着信メール ポリシーでイネーブルにされます。E メール セキュリティ アプライアンスでは、着信メールをスキャンしてウイルスを検出しますが、感染した添付ファイルの修復は行いません。アプライアンスでは、感染したメッセージをドロップします。

アプライアンスで使用可能なウイルス対策設定オプションについては、アンチウイルスを参照してください。

続くこの手順では、SenderBase への参加とアウトブレイク フィルタの両方をイネーブルにするよう指示されます。アプライアンスには、アウトブレイク フィルタの 30 日間評価キーが付属しています。

ユーザの介入を必要とするシステム エラーが発生した場合、Cisco AsyncOS は電子メールでアラート メッセージをユーザに送信します。システム アラートを受信する電子メール アドレスを 1 つ以上追加してください。複数のアドレスを指定する場合は、カンマで区切ります。入力した電子メール アドレスでは、当初、ディレクトリ獲得攻撃対策アラート以外のすべてのタイプおよびすべてのレベルのアラートを受信します。CLI で alertconfig コマンドを使用するか、GUI で [システム管理（System Administration）] > [アラート（Alerts）] ページを使用することにより、後でアラート設定を詳細化できます。詳細については、『Cisco Email Security Appliance Guide』で、「Distributing Administrative Tasks」の章の「Alerts」の項を参照してください。

AutoSupport 機能では、ご使用のアプライアンスに関する問題をシスコ カスタマー サポート チームが認識しておくことで、業界トップ水準のサポートを提供できます。サポート アラートと週ごとのステータス更新をシスコに送信するには、[はい（Yes）] と回答します（詳細については、『Cisco Email Security Appliance Guide』で、「Distributing Administrative Tasks」の章の「AutoSupport」の項を参照してください）。

デフォルトの定期レポートの送信先にするアドレスを入力します。この値はブランクにすることができ、その場合、レポートは、電子メールで送信される代わりに、アプライアンス上にアーカイブされます。

Cisco AsyncOS では、ネットワーク タイム プロトコル（NTP）を使用して、ネットワーク上またはインターネット上の他のサーバと時刻を同期するか、システム クロックを手動で設定することができます。アプライアンス上の時間帯を設定して、メッセージ ヘッダーおよびログ ファイルのタイムスタンプを正確にする必要もあります。Cisco Systems タイム サーバを使用してアプライアンス上の時刻を同期することもできます。

[大陸（Continent）]、[国（Country）]、および [タイムゾーン（Timezone）] を選択し、NTP を使用するかどうかと、使用する NTP サーバの名前を選択します。

最後に、手順全体で行った設定変更を確定するかどうかの確認が、システム セットアップ ウィザードから示されます。変更を確定する場合は、[はい（Yes）] と回答します。

システム セットアップ ウィザードを正常に完了すると、次のメッセージが表示されて、コマンド プロンプトが出されます。

Congratulations! System setup is complete. For advanced configuration, please refer to the User Guide.

mail3.example.com> 

これで、アプライアンスが電子メールを送信できる状態になりました。

Cisco AsyncOS の設定をテストする際は、mailconfig コマンドを使用して、systemsetup コマンドで作成したばかりのシステム設定データを含むテスト電子メールをただちに送信できます。

mail3.example.com> mailconfig

Please enter the email address to which you want to send

the configuration file. Separate multiple addresses with commas.

[]> user@example.com

The configuration file has been sent to user@example.com.

mail3.example.com> 

利用可能なメールボックスに設定を送信して、システムでネットワーク上に電子メールを送信できることを確認します。

E メール セキュリティ アプライアンスでは、ライセンス キーを使用して機能をイネーブルにします。systemsetup コマンドでリスナーを最初に作成した場合、Anti-Spam をイネーブルにした場合、Sophos または McAfee Anti-Virus をイネーブルにした場合、あるいはアウトブレイク フィルタをイネーブルにした場合は、アラートが生成されて、手順 2：システムで指定したアドレスに送信されます。

キーの残り時間を定期的に通知するアラートです。次に例を示します。

Your "Receiving" key will expire in under 30 day(s). 
Please contact IronPort Customer Support.

Your "Sophos" key will expire in under 30 day(s). 
Please contact IronPort Customer Support.

Your "Outbreak Filters" key will expire in under 30 day(s).  
Please contact IronPort Customer Support.

30 日間の評価期間を超えて機能を有効にする場合は、シスコのセールス担当者にお問い合わせください。キーの残り時間は、[システム管理（System Administration）] > [ライセンスキー（Feature Keys）] ページからか、featurekey コマンドを発行することによって確認できます（詳細については、ライセンス キーを参照してください）。