ステップ 1

[デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

ステップ 2

[ルーティング（Routing）] をクリックします。

ステップ 3

[ポリシーベースルーティング（Policy Based Routing）] をクリックします。

ステップ 4

ポリシーを設定するには、[追加（Add）] をクリックします。

ステップ 5

[ポリシーベースルートの追加（Add Policy Based Route）] ダイアログボックスで、ドロップダウンリストから [入力インターフェイス（Ingress Interface）] を選択します。

ステップ 6

ポリシーで一致基準と転送アクションを指定するには、[追加（Add）] をクリックします。

ステップ 7

[転送アクションの追加（Add Forwarding Actions）] ダイアログボックスで、次の操作を実行します。

1. [Match ACL] ドロップダウンから、拡張アクセス コントロール リスト オブジェクトを選択します。ACL オブジェクトを事前に定義するか（拡張 ACL オブジェクトの設定を参照）、Add ( ) アイコンをクリックしてオブジェクトを作成することができます。[新しい拡張アクセスリストオブジェクト（New Extended Access List Object）] ボックスに名前を入力し、[追加（Add）] をクリックして [拡張アクセスリストエントリの追加（Add Extended Access List Entry）] ダイアログボックスを開きます。ここで、PBR ポリシーのネットワーク、ポート、ユーザーアイデンティティ、SGT、またはアプリケーションの一致基準を定義できます。

   （注）	ACE に定義できるのは宛先アドレスまたはアプリケーション/ユーザーアイデンティティ/SGT のいずれかです。 着信インターフェイスに PBR を選択的に適用するには、ACE でブロック基準を定義します。トラフィックが ACE のブロックルールに一致すると、トラフィックはルーティングテーブルに基づいて出力インターフェイスに転送されます。

2. [送信先（Send To）] ドロップダウンリストから：

   • 構成されたインターフェイスを選択するには、[出力インターフェイス（Egress Interfaces）] を選択します。

   • IPv4/IPv6 ネクストホップアドレスを指定するには、[IPアドレス（IP Address）] を選択します。手順 7.e に進みます

3. [出力インターフェイス（Egress Interfaces）] を選択した場合は、[インターフェイスの順位付け（Interface Ordering）] ドロップダウンから、関連するオプションを選択します。

   • [インターフェイスの優先度（By Interface Priority）]：トラフィックはインターフェイスの優先度に基づいて転送されます。トラフィックは、優先度が最も低いインターフェイスに最初にルーティングされます。そのインターフェイスが使用できない場合、トラフィックは次に優先順位値が低いインターフェイスに転送されます。たとえば、Gig0/1、Gig0/2、および Gig0/3 にそれぞれ優先順位値 0、1、および 2 が設定されているとします。トラフィックは Gig0/1 に転送されます。Gig0/1 が使用できなくなった場合、トラフィックは Gig0/2 に転送されます。

     （注）	インターフェイスの優先度を構成するには、[ポリシーベースルーティング（Policy Based Routing）] ページで [インターフェイスの優先度の設定（Configure Interface Priority）] をクリックします。ダイアログボックスで、インターフェイスに対する優先度番号を指定し、[保存（Save）] をクリックします。インターフェイス設定でインターフェイスの優先度を設定することもできます。 すべてのインターフェイスで優先度値が同じである場合、トラフィックはインターフェイス間で分散されます。

   • [順序（By Order）]：トラフィックは、ここで指定されたインターフェイスの順序に基づいて転送されます。たとえば、Gig0/1、Gig0/2、Gig0/3 が、Gig0/2、Gig0/3、Gig0/1 の順に選択されたとします。トラフィックは、優先度の値に関係なく、最初に Gig0/2 に転送され、次に Gig0/3 に転送されます。

   • [最小ジッター（By Minimal Jitter）]：トラフィックは、ジッター値が最小のインターフェイスに転送されます。ジッター値を取得するには、PBR のインターフェイスでパスモニタリングを有効にする必要があります。

   • [最大平均オピニオン評点（By Maximum Mean Opinion Score）]：トラフィックは、平均オピニオン評点（MOS）が最大のインターフェイスに転送されます。MOS 値を取得するには、PBR のインターフェイスでパスモニタリングを有効にする必要があります。

   • [最短ラウンドトリップ時間（By Minimal Round Trip Time）]：トラフィックは、ラウンドトリップ時間（RTT）が最短のインターフェイスに転送されます。RTT 値を取得するには、PBR のインターフェイスでパスモニタリングを有効にする必要があります。

   • [最小パケット損失（By Minimal Packet Loss）]：トラフィックは、パケット損失が最小のインターフェイスに転送されます。パケット損失値を取得するには、PBR のインターフェイスでパスモニタリングを有効にする必要があります。

4. [使用可能なインターフェイス（Available Interfaces）] ボックスに、すべてのインターフェイスとその優先度の値が一覧表示されます。インターフェイスのリストから、Add ( ) ボタンをクリックして、選択した出力インターフェイスに追加します。手順 7.k に進みます

5. [IPアドレス（IP Address）] を選択した場合は、[IPv4アドレス（IPv4 Addresses）] または [IPv6アドレス（IPv6 Addresses）] フィールドに IP アドレスをカンマで区切って入力します。トラフィックは、指定された IP アドレスの順序で転送されます。

   （注）	複数のネクストホップ IP アドレスが指定されている場合、ルーティングできる有効なネクストホップ IP アドレスが見つかるまで、トラフィックは指定された IP アドレスの順序に従って転送されます。設定済みのネクストホップは、直接接続する必要があります。

6. [フラグメント化しない（Don't Fragment）] ドロップダウンリストから、[はい（Yes）]、[いいえ（No）]、または [なし（None）] を選択します。DF（フラグメント化しない（Don't Fragment））フラグが [はい（Yes）] に設定されている場合、中間ルータはパケットのフラグメント化を実行しません。

7. 現在のインターフェイスを転送のデフォルトとして指定するには、[デフォルトインターフェイス（Default Interface）] チェックボックスをオンにします。

8. [IPv4設定（IPv4 Settings）] および [IPv6設定（IPv6 Settings）] タブでは、再帰設定とデフォルト設定を指定できます。

   （注）	ルートマップの場合、IPv4 または IPv6 ネクストホップ設定のいずれかのみを指定できます。

   • [再帰（Recursive）]：ルートマップ設定は、指定されたネクストホップアドレスとデフォルトのネクストホップアドレスが直接接続されたサブネット上で見つかった場合にのみ適用されます。ただし、再帰オプションを使用できます。この場合、ネクストホップアドレスが直接接続されている必要はありません。ネクストホップアドレスで再帰ルックアップが実行され、一致するトラフィックは、ルータの現在のルーティングパスに従って、そのルートエントリで使用されているネクストホップに転送されます。

   • [デフォルト（Default）]：一致するトラフィックに対する通常のルートルックアップが失敗すると、ここで指定されたネクストホップ IP アドレスにトラフィックが転送されます。

9. ネクストホップアドレスをピアアドレスとして使用するには、[ピアアドレス（Peer Address）] チェックボックスをオンにします。

   （注）	デフォルトのネクストホップアドレスとピアアドレスの両方を使用してルートマップを設定することはできません。

10. IPv4 設定の場合、[可用性の検証（Verify Availability）] でルートマップの次の IPv4 ホップが使用できるかどうかを確認できます。Add ( ) ボタンをクリックし、ネクストホップ IP アドレスエントリを追加します。

    • [IP Address]：ネクスト ホップ IP アドレスを入力します。

    • [シーケンス（Sequence）]：エントリはシーケンス番号を使用して順に評価されます。重複するシーケンス番号が入力されていないことを確認してください。有効な範囲は 1 ～ 65535 です。

    • [トラック（Track）]：有効な ID を入力します。有効範囲は 1 ～ 255 です。

11. [保存（Save）] をクリックします。

ステップ 8

ポリシーを保存するには、[保存（Save）] および [展開（Deploy）] をクリックします。

ステップ 1

ブランチ Threat Defense のポリシーベースルーティングを設定し、入力インターフェイスを選択します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [ポリシーベースルーティング（Policy Based Routing）] を選択し、[ポリシーベースルーティング（Policy Based Routing）] ページで、[追加（Add）] をクリックします。

3. [ポリシーベースルートの追加（Add Policy Based Route）] ダイアログボックスで、[入力インターフェイス（Ingress Interface）] ドロップダウンリストからインターフェイス（[内部1（Inside 1）]と [内部2（Inside 2）] など）を選択します。

ステップ 2

一致基準を指定します。

1. [追加（Add）] をクリックします。

2. 一致基準を定義するには、Add ( ) ボタンをクリックします。

3. [新しい拡張アクセスリストオブジェクト（New Extended Access List Object）] で、ACL の名前（たとえば、DIA-FTD-Branch）を入力し、[追加（Add）] をクリックします。

4. [拡張アクセスリストエントリの追加（Add Extended Access List Entry）] ダイアログボックスで、[アプリケーション（Application）] タブから必要な Web ベースのアプリケーションを選択します。

   

   Threat Defense では、ACL のアプリケーショングループがネットワーク サービス グループとして設定され、各アプリケーションがネットワーク サービス オブジェクトとして設定されます。

   

5. [保存（Save）] をクリックします。

6. [ACLの照合（Match ACL）] ドロップダウンリストから [DIA-FTD-Branch] を選択します。

ステップ 3

出力インターフェイスを指定します。

1. [宛先（Send To）] および [インターフェイスの順序付け（Interface Ordering）] ドロップダウンリストから、[出力インターフェイス（Egress Interfaces）] と [優先順位による（By Priority）] をそれぞれ選択します。

2. [使用可能なインターフェイス（Available Interfaces）] で、それぞれのインターフェイス名の ボタンをクリックして、[WAN1] と [WAN2] を追加します。

   

3. [保存（Save）] をクリックします。

ステップ 4

インターフェイスの優先順位を設定します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、ブランチ Threat Defense を編集します。

2. インターフェイスの優先順位を設定します。インターフェイスに対して [編集（Edit）] をクリックし、優先順位の値を入力します。

   

3. [OK] をクリックし、[保存（Save）] をクリックして保存します。

ステップ 5

ロードバランシング用の ECMP ゾーンを作成します。

1. [ルーティング（Routing）] ページで、[ECMP] をクリックします。

2. インターフェイスを ECMP ゾーンに関連付けるには、[追加（Add）] をクリックします。

3. [WAN1] と [WAN 2] を選択し、ECMP ゾーン（ECMP-WAN）を作成します。同様に、[VTI01] と [VTI02] を追加し、ECMP ゾーン（ECMP-VTI）を作成します。

   

ステップ 6

ロードバランシング用のゾーンインターフェイスのスタティックルートを設定します。

1. [ルーティング（Routing）] ページで、[スタティックルート（Static Route）] をクリックします。

2. [追加（Add）] をクリックし、WAN1、WAN2、VTI01、および VTI02 のスタティックルートを指定します。必ず、同じ ECMP ゾーンに属するインターフェイスには同じメトリック値を指定してください（手順 5）。

   

   （注）	ゾーンインターフェイスの宛先アドレスとメトリックは同じであるが、ゲートウェイアドレスが異なることを確認してください。

ステップ 7

インターネットへの安全なトラフィックフローが確保されるように、ブランチ Threat Defense の WAN オブジェクトで信頼できる DNS を設定します。

1. [デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、ブランチ Threat Defense で DNS ポリシーを作成します。

2. 信頼できる DNS を指定するには、[編集（Edit）] をクリックしてポリシーを編集し、[DNS] をクリックします。

3. WAN オブジェクトが使用する DNS 解決用の DNS サーバーを指定するには、[DNS 設定（DNS Settings）] タブで、DNS サーバーグループの詳細情報を指定し、インターフェイス オブジェクトから WAN を選択します。

4. [信頼できるDNSサーバー（Trusted DNS Servers）] タブを使用して、DNS 解決のために信頼できる特定の DNS サーバーを指定します。

ステップ 8

[保存（Save）]、[展開（Deploy）] の順にクリックします。

ステップ 1

インターフェイス ISP01、ISP02、および ISP03 でのパスモニタリングの設定：

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense を編集します。

2. [インターフェイス（Interfaces）] タブで、インターフェイス（この例では「ISP01」）を編集します。

3. [パスモニタリング（Path Monitoring）] タブをクリックし、[パスモニタリングの有効化（Enable Path Monitoring）] チェックボックスをオンにしてから、モニタリングタイプを指定します（パスモニタリングの設定を参照）。

4. [OK] をクリックし、[保存（Save）] をクリックして保存します。

5. 同じ手順を繰り返し、ISP02 と ISP03 のパスモニタリングの設定を指定します。

ステップ 2

組織の Threat Defense に含まれるブランチのポリシーベースルーティングを設定し、入力インターフェイスを選択します。

1. [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、Threat Defense デバイスを編集します。

2. [ルーティング（Routing）] > [ポリシーベースルーティング（Policy Based Routing）] を選択し、[ポリシーベースルーティング（Policy Based Routing）] ページで、[追加（Add）] をクリックします。

3. [ポリシーベースルートの追加（Add Policy Based Route）] ダイアログボックスで、[入力インターフェイス（Ingress Interface）] ドロップダウンリストから [内部 1（Inside 1）] を選択します。

ステップ 3

一致基準を指定します。

1. [追加（Add）] をクリックします。

2. 一致基準を定義するには、Add ( ) ボタンをクリックします。

3. [新しい拡張アクセスリストオブジェクト（New Extended Access List Object）] で、ACL の名前（たとえば、PBR-WebEx）を入力し、[追加（Add）] をクリックします。

4. [拡張アクセスリストエントリの追加（Add Extended Access List Entry）] ダイアログボックスで、[アプリケーション（Application）] タブから必要な Web ベースのアプリケーション（WebEx Meetings など）を選択します。

   メモ	Threat Defense では、ACL のアプリケーショングループがネットワーク サービス グループとして設定され、各アプリケーションがネットワーク サービス オブジェクトとして設定されます。

5. [保存（Save）] をクリックします。

6. [ACLの照合（Match ACL）] ドロップダウンリストから [PBR-WebEx] を選択します。

ステップ 4

出力インターフェイスを指定します。

1. [宛先（Send to）] ドロップダウンリストから [出力インターフェイス（Egress Interfaces）] を選択します。

2. [インターフェイスの順序付け（Interface Ordering）] ドロップダウンリストから [最小ジッターによる（By Minimal Jitter）] を選択します。

3. [使用可能なインターフェイス（Available Interfaces）] で、それぞれのインターフェイス名の [右矢印（Right Arrow）]（） ボタンをクリックして、[ISP01]、[ISP02]、および [ISP03] を追加します。

4. [保存（Save）] をクリックします。

ステップ 5

手順 2 と手順 3 を繰り返して、同じインターフェイス（Inside1）に、Office365 およびネットワークベースアクセス制御トラフィックをルーティングする PBR を作成します。

1. 一致基準オブジェクト（PBR-Office365 など）を作成し、[アプリケーション（Application）] タブから Office365 アプリケーションを選択します。

2. [インターフェイスの順序付け（Interface Ordering）] ドロップダウンリストから、[最短ラウンドトリップ時間による（By Minimal Round Trip Time）] を選択します。

3. 出力インターフェイス「ISP01」、「ISP02」、および「ISP03」を指定し、[保存] をクリックします。

4. ここで、一致基準オブジェクト（PBR-networks など）を作成し、[ネットワーク（Network）] タブで送信元および宛先インターフェイスを指定します。

5. [インターフェイスの順序付け（Interface Ordering）] ドロップダウンリストから [最小ラウンドトリップ時間による（By Minimal Packet Loss）] を選択します。

6. 出力インターフェイス「ISP01」、「ISP02」、および「ISP03」を指定し、[保存] をクリックします。

ステップ 6

[保存（Save）]、[展開（Deploy）] の順にクリックします。

ステップ 7

パスモニタリングメトリックを表示するには、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、その他（） から [ヘルスモニター（Health Monitor）] をクリックします。デバイスのインターフェイスのメトリックに関する詳細情報を表示するには、パスメトリックダッシュボードを追加する必要があります。詳細については、パス監視ダッシュボードの追加を参照してください。