サイトのネットワーク範囲の設定

この記事では、アカウント内のサイトに対するネットワーク範囲の作成と設定方法を説明します。

サイトのネットワーク範囲の概要

サイトのネイティブ範囲は、サイトを作成するときに各LANインターフェース用に設定したIP範囲です。独自のIPアドレス範囲を持つ追加のLANネットワーク範囲を設定できます。

追加できるネットワークの種類は、サイトの接続タイプに依存します：

接続タイプ	ダイレクト範囲	ルーテッド範囲	VLAN
ソケット	✓	✓	✓
Azure vSocket	✓	✓
ESX vSocket	✓	✓	✓
AWS vSocket	✓	✓
Cato-initiated IPsec IKEv1 and IKEv2	✓
vSocket VSH (legacy)	✓
vSocket VGS (legacy)	✓

ネットワーク範囲のDHCP設定について詳しくは、次を参照してください: DHCP設定の設定。

ローカルネットワーク用のネットワーク範囲の作成

ネットワークセクションを使用して、サイトに設定された各LANインターフェース用のネットワーク範囲を定義します。 IPアドレスは/31または/32 CIDRブロックを使用できません。

ベストプラクティス: アカウント内のすべてのサイトは、ルートループを回避し、トラブルシューティングを最適化するために、ユニークなネットワーク範囲を使用します。ただし、アカウント内で2つ以上のサイトが重複するIPアドレス範囲を使用する場合、スタティックレンジ変換を有効にして設定する必要があります。さらに詳しくは、アカウントのシステム設定の設定を参照してください。

作成できるネットワークIP範囲の種類は次のとおりです：

ダイレクト - Catoソケットやファイアウォールに直接接続されているネットワークセグメント。ただし、IP範囲はサイトのネイティブ範囲とは異なります。
ルーテッド - ルーターを介してソケットに接続するネットワークセグメント。
VLAN - VLANがCatoに接続すると、接続はトランクポートに似ています。 VLANタグは、パケットがCato Cloudに入ると削除されます。パケットが再びLANに入ると、VLANタグが再適用されます。
- オプションで、ネイティブ範囲をLANインタフェースごとにVLAN IDでタグ付けできます (802.Q)。これは、サイト内でタグ付けされたネットワークのみを持つことがベストプラクティスと考えられています。サイトを作成するときにタグを追加するか、既存のサイトに追加することができます。
  注: ネイティブ範囲のVLANタグは、物理およびESX vSocketsのみでサポートされています。ソケットバージョン21.1.18975以降。

注：
ローカルIP フィールドは、IPsecサイトには関係ありません。

ネットワーク範囲のDHCP設定について詳しくは、次を参照してください: DHCP設定の設定。

インターネット専用IP範囲

ネットワーク範囲を設定して、インターネットにのみアクセスを提供し、WANとの通信ができないようにすることができます。インターネット専用範囲は、複数のサイトで同一のIP範囲で設定できます。これにより、ネットワーク管理が簡素化され、ゲストWiFiなどのゲストサービスのセキュリティが向上します。

インターネット専用ネットワーク範囲はCato Cloudが維持するグローバルルーティングテーブルには伝播されず、ソケットでローカルに管理されます。この範囲内のホストは、サイトのインターネットファイアウォール設定に基づいてインターネットアプリケーションにアクセスできます。

Catoは、ゲストWiFiネットワークのセキュリティのためのベストプラクティスとして、インターネット専用範囲をCatoキャプティブポータルと共に使用することを推奨します。

インターネット専用範囲には、IPsecサイトまたはバージョン23以上の物理ソケットを備えたソケットサイトが必要です。インターネット専用範囲は、以下をサポートしています：

DHCP設定
ローカルポートフォワーディング
DNS フォワーディング
LANファイアウォールの設定
バイパスルール

インターネット専用範囲には以下の既知の制限が適用されます：

インターネット専用範囲では、「経由」を使用できません。インターネット専用ネットワーク上のホストは、ローカルソケットに接続されたPoPからのみ出力されます。
インターネット専用範囲ではリモートポートフォワーディングはサポートされていません。
ネイティブ範囲をインターネット専用として設定することはできません。

LANインターフェースのIPアドレス範囲を作成するには：

ナビゲーションメニューから、ネットワーク > サイト をクリックし、サイトを選択します。
ナビゲーションメニューから、サイト設定 > ネットワーク をクリックします。
LANインタフェースを展開します。
LANインタフェースから、新規をクリックしてIP範囲の新規ネットワークセグメントを追加します。
新しいインターフェースIP範囲 パネルが開きます。
IP範囲のための名前を入力します。
種類ドロップダウンメニューから、IP範囲の種類を選択します: ダイレクト、ルーテッド、またはVLAN。
注: VLAN範囲は物理ソケットとESX vSocketsのみでサポートされています。
範囲タイプに基づいてサブネット およびIP設定を入力します：
- ダイレクトおよびVLAN範囲の場合、ローカルIPを入力します。これはCato LANポートのIPアドレスです。
- ルーテッド範囲の場合、ゲートウェイを入力します。これは隣接するルーターのネクストホップIPアドレスです。
VLANの場合、この範囲のVLANIDを入力します。
（オプション） この範囲のDHCP設定を行い、DHCP範囲 ドロップダウンメニューから次のオプションのいずれかを選択します。
- 無効 - この範囲ではDHCPが無効です
- アカウントデフォルト - この範囲はアカウントのデフォルトDHCP設定を使用します
- DHCP範囲 - DHCPサーバーがこのセグメントに割り当てるIPアドレスの範囲を入力します
（オプション）追加設定を設定します：
- 範囲をインターネット専用として設定するには、ルーティングタイプの下でインターネット専用を選択します。
- VLANでmDNSを有効にするには、マルチキャストの下でmDNSゲートウェイを選択します。詳しくは、サブネット間でのmDNSの有効化を参照してください。
適用をクリックします。 新しいインターフェースIP範囲 パネルが閉じます。
保存をクリックします。 IPアドレス範囲が作成されます。

ネットワーク範囲の編集

インターフェースIP範囲の編集パネルを使用して、ネットワーク範囲の設定を編集します。

ネットワーク範囲を編集するには：

ナビゲーションメニューから、ネットワーク > サイト をクリックし、サイトを選択します。
ナビゲーションメニューから、サイト設定 > ネットワーク をクリックします。
LANインタフェースを展開します。
IP範囲の編集 パネルが開きます。
ネットワーク範囲の設定を編集します。
IP範囲のための名前を入力します。
種類ドロップダウンメニューから、IP範囲の種類を選択します: ダイレクト、ルーテッド、またはVLAN。

ネットワーク範囲の削除

ネットワーク範囲を削除する前に、それがCato管理アプリケーションの他の箇所(ネットワークやファイアウォールルールなど)で使用されていないことを確認してください。さらに、その範囲にホストが設定されていないことを確認してください（ネットワーク > サイト設定 > ホスト）。

ネットワーク範囲を削除するには：

ナビゲーションメニューから、ネットワーク > サイト をクリックし、サイトを選択します。
ナビゲーションメニューから、サイト設定 > ネットワーク をクリックします。
LANインタフェースを展開します。
ネットワーク範囲から、削除アイコンをクリックします。
ネットワーク範囲がLANインタフェースから削除されます。
保存をクリックします。ネットワーク範囲が削除されます。

セキュリティポリシーのためのセグメントの定義

場合によっては、より大きなネットワーク範囲の一部であるIPアドレスのセグメントに特別なセキュリティポリシーを定義する必要がある場合があります。例えば、10.0.0.0/24の中で、10.0.0.0/27ブロックは異なるセキュリティ要件を持っています。

そのようなケースをサポートするために、既存の同じサイト内の範囲のサブセットとしてサイト内にネットワーク範囲を定義できます。その後、ファイアウォールルールなどのセキュリティポリシーにそのネットワークサブレンジのアイテムを使用します。

注：
ルールまたは管理者グループが同じサイト内の2つの範囲に含まれるIPを参照している場合、より正確な定義（例: 10.0.0.0/27）が常に優先されます。