ネットワークベースの条件による暗号化トラフィックの制御
ライセンス:任意
SSL ポリシーに追加する SSL ルールにより、暗号化トラフィックの処理やログ記録を詳細に制御できます。ネットワークベースの条件を使用して、ネットワークを通過する暗号化トラフィックを管理できます。以下の条件を使用できます。
-
送信元と宛先のセキュリティ ゾーン
-
送信元と宛先 IP アドレスまたは地理的位置
-
送信元と宛先のポート
ネットワークベースの複数の条件を組み合わせたり、他のタイプの条件と組み合わせたりして、SSL ルールを作成できます。これらの SSL ルールは単純にも複雑にも設定でき、複数の条件を使用してトラフィックを照合および検査できます。SSL ルールの詳細については、SSL ルールの開始を参照してください。
ネットワーク ゾーンによる暗号化トラフィックの制御
ライセンス:任意
SSL ルールでゾーン条件を設定すると、暗号化トラフィックの送信元および宛先のセキュリティ ゾーンに応じてそのトラフィックを制御できます。
セキュリティ ゾーンは、1 つ以上のインターフェイスのグループです。検出モードと呼ばれる、デバイスの初期セットアップ時に選択するオプションによって、ASA FirePOWER モジュールによるデバイスのインターフェイスの初期設定の方法、およびデバイスのインターフェイスがセキュリティ ゾーンに属するかどうかが決まります。
単純な例として、デバイスをインライン検出モードに登録する場合、ASA FirePOWER モジュールにより内部と外部の 2 つのゾーンが作成され、そのデバイスの最初のインターフェイスのペアがそれらのゾーンに割り当てられます。内部側のネットワークに接続されたホストは、保護されている資産を表します。
![]() ヒント |
内部(または外部)のすべてのインターフェイスを 1 つのゾーンにグループ化する必要はありません。導入ポリシーおよびセキュリティ ポリシーが意味をなすグループ化を選択します。ゾーン作成の詳細については、セキュリティ ゾーンの操作を参照してください。 |
この展開では、これらのホストにインターネットへの無制限アクセスを提供できますが、着信する暗号化トラフィックを復号化および検査してホストを保護しなければなりません。
SSL インスペクションでこれを実現するには、[Destination Zone] を [Internal] に設定したゾーン条件を SSL ルールに定義します。この単純な SSL ルールでは、内部ゾーンのいずれかのインターフェイスからデバイスを離れるトラフィックが照合されます。
より複雑なルールを作成する場合は、1 つのゾーン条件で [Source Zones] および [Destination Zones] それぞれに対し、最大 50 のゾーンを追加できます。
-
特定のゾーンのインターフェイスからデバイスを離れる暗号化トラフィックを照合するには、そのゾーンを [Destination Zones] に追加します。
パッシブに展開されたデバイスはトラフィックを送信しないので、パッシブ インターフェイスで構成されるゾーンを [Destination Zones] 条件で使用することはできません。
-
特定のゾーンのインターフェイスからデバイスに入る暗号化トラフィックを照合するには、そのゾーンを [Source Zones] に追加します。
送信元(Source)ゾーン条件と宛先(Destination)ゾーン条件の両方をルールに追加する場合、送信元ゾーンから発信されかつ宛先ゾーンを介して出力されるトラフィックにルールが適用されます。
ゾーン内のすべてのインターフェイスが同じタイプ(インライン、パッシブ、スイッチド、またはルーテッド)である必要があるため、SSL ルールのゾーン条件で使用されているすべてのゾーンが同じタイプでなければならないことに注意してください。つまり、異なるタイプのゾーンを送信元/宛先とする暗号化トラフィックを照合する単一ルールを定義することはできません。
ゾーンにインターフェイスが含まれていないなど、無効な設定が検出されると、警告アイコンが表示されます。アイコンの上にポインタを置くと詳細が表示されます。
ゾーン条件に基づいて暗号化トラフィックを制御するには、次の手順を実行します。
手順
ステップ 1 |
ゾーンに応じた暗号化トラフィック制御を設定する SSL ポリシーで、新しい SSL ルールを作成するか既存のルールを編集します。 詳細な手順については、SSL ルールの開始を参照してください。 |
ステップ 2 |
SSL ルール エディタで、[Zones] タブを選択します。 [Zones] タブが表示されます。 |
ステップ 3 |
[Available Zones] から追加するゾーンを見つけて選択します。 追加するゾーンを検索するには、[Available Zones] リストの上にある [Search by name] プロンプトをクリックし、ゾーン名を入力します。入力すると、リストが更新されて一致するゾーンが表示されます。 クリックすると、ゾーンを選択できます。複数のゾーンを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [Select All] を選択します。 |
ステップ 4 |
[Add to Source] または [Add to Destination] をクリックして、選択したゾーンを適切なリストに追加します。 選択したゾーンをドラッグ アンド ドロップすることもできます。 |
ステップ 5 |
ルールを保存するか、編集を続けます。 変更を反映させるには、その SSL ポリシーに関連付けたアクセス コントロール ポリシーを適用する必要があります(設定変更の導入を参照してください)。 |
ネットワークまたは地理的位置による暗号化トラフィックの制御
ライセンス:任意
SSL ルールでネットワーク条件を設定すると、暗号化トラフィックの送信元および宛先の IP アドレスに応じてそのトラフィックを制御および復号化できます。次のいずれかの操作を実行できます。
-
制御する暗号化トラフィックの送信元および宛先の IP アドレスを明示的に指定する。
-
IP アドレスを地理的位置に関連付ける位置情報機能を使用して、その送信元または宛先の国または大陸に基づいて暗号化トラフィックを制御する。
ネットワークベースの SSL ルールの条件を作成する場合、IP アドレスと地理的位置を手動で指定できます。または、名前を 1 つ以上の IP アドレス、アドレス ブロック、国、大陸などに関連付ける再利用可能なネットワーク オブジェクトおよび地理位置情報オブジェクトを使用してネットワーク条件を設定できます。
![]() ヒント |
ネットワーク オブジェクトや位置情報オブジェクトを作成しておくと、それを使用して SSL ルールを作成したり、モジュール インターフェイスのさまざまな場所で IP アドレスを表すオブジェクトとして使用したりできます。これらのオブジェクトはオブジェクト マネージャを使用して作成できます。また、SSL ルールの設定時にネットワーク オブジェクトをオンザフライで作成することもできます。詳細については、再使用可能オブジェクトの管理を参照してください。 |
地理的位置別にトラフィックを制御するルールを作成する場合は、確実に最新の地理位置情報データを使用してトラフィックをフィルタ処理するために、 ASA FirePOWER モジュールで地理位置情報データベース(GeoDB)を定期的に更新することを強くお勧めします。地理情報データベースについてを参照してください。
次の図は、内部ネットワークから発信され、ケイマン諸島(Cayman Islands)または海外にある持ち株会社のサーバ(182.16.0.3)のリソースにアクセスしようとする暗号化接続をブロックする SSL ルールのネットワーク条件を示しています。
この例では、持ち株会社のサーバの IP アドレスを手動で指定し、ケイマン諸島の IP アドレスを表す ASA FirePOWER モジュール提供の地理位置情報オブジェクト Cayman Island を使用しています。
1 つのネットワーク条件で [Source Networks] および [Destination Networks] それぞれに最大 50 の項目を追加でき、ネットワークベースの設定と位置情報ベースの設定を組み合わせることができます。
-
特定の IP アドレスまたは地理的位置からの暗号化トラフィックを照合するには、[Source Networks] を設定します。
-
特定の IP アドレスまたは地理的位置への暗号化トラフィックを照合するには、[Destination Networks] を設定します。
送信元(Source)ネットワーク条件と宛先(Destination)ネットワーク条件の両方をルールに追加する場合、送信元 IP アドレスから発信されかつ宛先 IP アドレスに送信される暗号化トラフィックにルールが適用されます。
無効なネットワーク条件設定が検出されると、警告アイコンが表示されます。アイコンの上にポインタを置くと詳細が表示されます。
ネットワークまたは地理的位置の条件に応じてトラフィックを制御するには、次の手順を実行します。
アクセス:管理者/アクセス管理者/ネットワーク管理者
手順
ステップ 1 |
ネットワークに応じた暗号化トラフィック制御を設定する SSL ポリシーで、新しい SSL ルールを作成するか既存のルールを編集します。 詳細な手順については、SSL ルールの概要と作成を参照してください。 |
ステップ 2 |
SSL ルール エディタで、[Networks] タブを選択します。 [Networks] タブが表示されます。 |
ステップ 3 |
[Available Networks] から、次のように追加するネットワークを見つけて選択します。
オブジェクトを選択するには、そのオブジェクトをクリックします。複数のオブジェクトを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [Select All] を選択します。 |
ステップ 4 |
[Add to Source] または [Add to Destination] をクリックして、選択したオブジェクトを適切なリストに追加します。 選択したオブジェクトをドラッグ アンド ドロップでリストに追加することもできます。 |
ステップ 5 |
手動で指定する送信元または宛先 IP アドレスまたはアドレス ブロックを追加します。 [送信元ネットワーク(Source Networks)] リストまたは [宛先ネットワーク(Destination Networks)] リストの下にある [IP アドレスの入力(Enter an IP address)] プロンプトをクリックし、1 つの IP アドレスまたはアドレス ブロックを入力して [追加(Add)] をクリックします。 |
ステップ 6 |
ルールを保存するか、編集を続けます。 変更を反映させるには、その SSL ポリシーに関連付けたアクセス コントロール ポリシーを適用する必要があります(設定変更の導入を参照してください)。 |
ポートによる暗号化トラフィックの制御
ライセンス:任意
SSL ルールでポート条件を設定すると、暗号化トラフィックの送信元および宛先の TCP ポートに応じてそのトラフィックを制御できます。ポートベースの SSL ルールの条件を作成するときは、手動で TCP ポートを指定できます。または、名前を 1 つ以上のポートに関連付ける再利用可能なポート オジェクトを使用してポート条件を設定できます。
![]() ヒント |
ポート オブジェクトを作成しておくと、それを使用して SSL ルールを作成したり、モジュール インターフェイスのさまざまな場所でポートを表すオブジェクトとして使用したりできます。ポート オブジェクトは、オブジェクト マネージャを使用して作成できます。また、SSL ルールの設定時に作成することもできます。詳細については、ポート オブジェクトの操作を参照してください。 |
1 つのネットワーク条件で [Selected Source Ports] および [Selected Destination Ports] リストそれぞれに対し、最大 50 の項目を追加できます。
-
特定の TCP ポートからの暗号化トラフィックを照合するには、[Selected Source Ports] を設定します。
-
特定の TCP ポートへの暗号化トラフィックを照合するには、[Selected Destination Ports] を設定します。
-
[Selected Source Ports] および [Selected Destination Ports] の両方を設定すると、特定の送信元(Source)TCP ポートから発信されかつ特定の宛先(Destination)TCP ポートに送信される暗号化トラフィックが照合されます。
[Selected Source Ports] および [Selected Destination Ports] リストで設定できるのは TCP ポートだけです。非 TCP ポートを含むポート オブジェクトは、[使用可能ポート(Available Ports)] リストではグレイで表示されます。
ポート条件を作成する際、警告アイコンは無効な設定を示します。たとえば、既存のポート オブジェクトをオブジェクト マネージャで編集すると、それらのオブジェクト グループを使用するルールが無効になります。アイコンの上にポインタを置くと詳細が表示されます。
ポート条件に基づいてトラフィックを制御するには、次の手順を実行します。
手順
ステップ 1 |
TCP ポートに応じた暗号化トラフィック制御を設定する SSL ポリシーで、新しい SSL ルールを作成するか既存のルールを編集します。 詳細な手順については、SSL ルールの概要と作成を参照してください。 |
ステップ 2 |
SSL ルール エディタで、[Ports] タブを選択します。 [Ports] タブが表示されます。 |
ステップ 3 |
[Available Ports] で、追加する TCP ポートを選択します。
TCP ベースのポート オブジェクトを 1 つ選択するには、それをクリックします。複数の TCP ベースのポート オブジェクトを選択するには、Shift キーおよび Ctrl キーを使用します。または、右クリックして [Select All] を選択します。非 TCP ベースのポートを含んでいるオブジェクトは、ポート条件に追加できません。 |
ステップ 4 |
[Add to Source] または [Add to Destination] をクリックして、選択したオブジェクトを適切なリストに追加します。 選択したオブジェクトをドラッグ アンド ドロップでリストに追加することもできます。 |
ステップ 5 |
送信元または宛先のポートを手動で指定するには、[Selected Source Ports] または [Selected Destination Ports] リストの下にある [Port] にポート番号を入力します。0 ~ 65535 の値を持つ 1 つのポートを指定できます。 |
ステップ 6 |
[Add] をクリックします。 ASA FirePOWER モジュールでは、無効な設定となるルール条件にはポートが追加されません。 |
ステップ 7 |
ルールを保存するか、編集を続けます。 変更を反映させるには、その SSL ポリシーに関連付けたアクセス コントロール ポリシーを適用する必要があります(設定変更の導入を参照してください)。 |