ソケットLANファイアウォールポリシーの設定

注：
サイトLANファイアウォールルールのアカウントレベルポリシーへの自動移行予定
私たちは最近、ソケット次世代LANファイアウォールをリリースしました。これにより、アカウントレベルの設定とレイヤー7の施行が可能になります。 2025年7月1日に、既存のサイトレベルのLANファイアウォールルールをアカウントレベルのポリシーに移行します。
各サイトレベルのルールは、新しいポリシー内でネットワークルールとして自動的に構成され、ルーティングを特定し、トラフィックの許可またはブロックを行うファイアウォールルールも設定されます。
各サイトのルールは、規則基底の中に個別のセクションとして追加されます。
移行はシームレスで自動化されたプロセスであり、サービスの中断は予想されません。
7月1日以前にポリシーの移行を希望される方は、ea@catonetworks.comまでご連絡ください。

概要

ソケットのデフォルトの動作は、すべてのWANおよびインターネットトラフィックをPoPに転送してセキュリティ検査を行うことです。これには、サイト内の隣接ネットワークセグメント間のLANトラフィック（例: VLAN）が含まれます。特定の状況では、デフォルトの動作を上書きし、サイトのソケット上で直接、Cato PoPにトラフィックを送信せずに2つのネットワークセグメントまたはホスト間の通信を許可またはブロックするようにソケットを設定できます。LANファイアウォールポリシーを使えば、ソケット上で直接LANトラフィックを許可またはブロックするルールを設定することができます。オプションとして、各ルールのトラッキング（イベント）を有効にできます。

注: LANファイアウォールは、ローカルルーティングポリシーの強化です。詳細については、以下のLANファイアウォールを使用するための前提条件とローカルルーティングポリシーのLANファイアウォールへのアップグレードをご覧ください。

LANファイアウォールの理解

LANファイアウォールは、ニーズに応じてポリシーを作成することで、特定の種類のトラフィックをソケットレベルでブロックまたは許可できます。

以下の図は、LAN1からLAN2へのトラフィックを許可するLANファイアウォールルールを示しています。

この図は、LAN1からLAN2へのトラフィックをブロックするLANファイアウォールルールを示しています。

LANファイアウォールの使用 - サンプルルールベース

以下は、LANファイアウォールの設定ルールベースのサンプルです。各ルールについては以下に説明します。

ルール 1 - 'ゲストをブロック' - このルールは、'ゲストWiFi' ネットワークを使用しているホストがサイト内の他のホストまたは内部リソースにアクセスするのを防ぎ、同時にこれらのイベントをトラッキングします。ホストは依然としてインターネットにアクセスできます。

ルール 2 - 'ファイル共有を許可' - このルールは、'Corp-Users' ネットワークに接続されたホストのみが、'File-Servers' ローカルネットワークに HTTPS または SMB (TCP/445) を介して接続できるように許可します。各フローはイベントで追跡されます。このローカル許可ポリシーを使用すると、ネットワーク間のSMBとHTTPSのトンネルオーバーヘッドが減少し、トラフィックは直接サイト上で管理され、トンネルを通過しません。

ルール 3 - 'CCTVサーバーを許可' - このルールは、'IOT-Cameras' ネットワークから'IOT-File-Servers'ネットワークへの HTTPS 経由のみでの接続を許可します。各フローはイベントで追跡されます。

暗黙の動作 - ルールベースに定義されていないその他のホストトラフィックは、'File-Servers'に戻る前に検査のためにCato PoPに送信されます。例えば、Corp-UsersからFile-Serversへの TCP/21 (FTP) のトラフィックは、サンプルルールベースと一致せず、デフォルトの動作（Cato PoPへの送信トラフィック）をトリガーします。

LANファイアウォールルールベースの運用

LANファイアウォールポリシーは、最初に設定されたルールから最終的に設定されたルールまで順に処理されます。一度ルールが一致すると、アクションが適用されます。 それ以外は、トラフィックがデフォルトでCato PoPに送信されます。。

ルールベースの上位にあるルールは優先度が高く、ルールベースの下位にあるルールより先に接続に適用されます。例えば、接続がルール#3に一致する場合、アクションが接続に適用され、ファイアウォールはその検査を停止します。ファイアウォールは、接続に対してルール#4以降を適用し続けません。 LANファイアウォールの効率を高め、多数の接続に一致するルールに高い優先度を与えることができます。

LANファイアウォールのスループット

次の表は、各ソケットモデルのLANファイアウォールに対してサポートされるスループットを示しています。

注: 以下に示される値は、Socket v19.0の単一次元テストのラボ環境に基づいています。

ソケットモデル	TCP 帯域幅	UDP 帯域幅
X1500	最大1Gb/秒	最大2Gb/秒
X1600	最大8Gb/秒	最大8.5Gb/秒
X1700	最大10Gb/秒	最大12Gb/秒

LANファイアウォールの使用条件

LANファイアウォールは、既存のローカルルーティングポリシーの強化です。 機能はサイトごとに有効化されます。

サイト内のすべてのソケットがバージョン18.0以上のソケットを実行していることを確認してください。

ローカルルーティングルールのLANファイアウォールへのアップグレード

サイトにローカルルーティングルールが構成されていない場合、すぐにLANファイアウォールポリシーにアップグレードできます
サイトに構成されたローカルルーティングルールがある場合、ローカルルーティングルールをLANファイアウォールに移行してください。ローカルルーティングポリシーのLANファイアウォールへのアップグレードを参照してください。
LANファイアウォールにアップグレードした後、機能を有効にしてください（画面の右上にあるLANファイアウォール有効化トグル）。
この機能が無効になっている場合、すべてのトラフィックがPoPに送信されます。

LANファイアウォールの設定

このセクションでは、LANファイアウォールのルール、および設定できるオブジェクト、ポート、サービスについて説明します。

LANファイアウォールルールの定義

新しいLANファイアウォールルールを作成し、LANトラフィックのルーティングを管理するための設定を構成します。 下にルールを追加オプションを使用して、ルールベースの正しい場所にルールを簡単に追加できます。

注：
新しい構成をソケットに適用するのに最大1分かかる場合があります。

LANファイアウォールルールを定義するには：

ナビゲーションメニューから、ネットワーク > サイトをクリックして、サイトを選択します。
ナビゲーションメニューから、サイト設定 > LANファイアウォールをクリックします。
新規をクリックします。 ルールの追加パネルが開きます。
一般セクション：
1. 新しいルールに名前を入力します。
2. デフォルトでは、ルールは有効です。有効トグルを使用して、ルールを無効にできます。
3. 方向の下で、トラフィックを一方向のみに許可するには宛先を選択するか、双方向のトラフィックを有効にするには両方を選択します。
4. ルール順序を選択します。より具体的なルールには高い順序を、より具体的でないルールには低い順序を定義することをお勧めします。
  注: ルール順序の設定については、「LANファイアウォールルールベースの運用」セクションを参照してください。
送信元と宛先セクションを展開し、このルールのトラフィック送信元と宛先エンティティを定義します。
サービス/ポートセクションを展開し、ルールが適用されるプロトコルを選択します。
1. ポート/プロトコルを選択した場合、プロトコル/ポート形式（例： TCP/80-88、UDP/53、ICMPなど）で関連するポートとプロトコルを自由に定義します。
2. シンプルサービスを選択した場合、推奨されるレイヤー4サービスを選択します。
  事前定義されたサービスリストは、各サービスのRFC定義に基づいています。
NATセクション：
1. NATを有効にする - オプションとして、送信インタフェース上でNATを有効にします。これにより、すべての生成されたIPは1つのNAT IPに変換されます。
アクションセクション内で：
1. ローカルで許可 - このアクションは、ソケットLANネットワーク間のローカルトラフィックの一致を許可します。
2. ローカルでブロック - このアクションは、ソケットLANネットワーク間の一致するトラフィックをローカルでブロックします。
注: トラフィックがいずれのルールとも一致しない場合、デフォルトアクションはPoPへ送信です。
アクションセクション内での トラック：
1. オプションとして、イベント チェックボックスを有効にします。一致した場合、このルールに対してイベントが生成されます。
適用をクリックし、次に保存をクリックします。

NATとLANファイアウォールルール

サイト内のLANネットワーク間でNATを使用する必要があるシナリオがあり、これは2つ以上の直接接続されたネットワーク間、またはルートネットワーク間（静的ルートまたはBGPルート）で発生する可能性があります。

NATは送信先方向にのみ構成可能です。
ルールの構成を保存した後、Cato管理アプリケーションは自動的にそのルールのためのアウトバウンドネットワークとアウトバウンドIPを計算します。

LANファイアウォールの送信元および宛先オブジェクト

次の送信元および宛先オブジェクトを定義することができます。

グローバルレンジ - サイトのLANインターフェースのネイティブレンジ。
ホスト - サイト内で定義されたホストおよびサーバー。
インターフェースサブネット - VLAN、ルートまたは直接範囲、または二次AWS vSocketネイティブ範囲。
ネットワークインタフェース - サイトのLANインタフェースのために定義されたサブネットおよびネットワーク範囲。
すべて - サイト内のいずれの送信元または宛先も。

LANファイアウォールサービスとポート

以下は、利用可能なサービスの事前定義されたリストです。

サービス	ポート	プロトコル
リモートデスクトッププロトコル	3389	TCP
MYSQL	3306	TCP
HTTPプロトコル	80	TCP
HTTPS	443	TCP
SSH	22	TCP
SMTP	25	TCP
DNS TCP	53	TCP
DNS UDP	53	UDP

モニタリング and イベント

LAN ファイアウォールで定義済みのルールごとにイベントトラッキングを有効化することができます。

注：
LAN ファイアウォールのトラフィックは、アプリケーションとネットワークアナリティクスのダッシュボードには表示されません。

イベントはサイト監視 > イベントに表示されます。

イベントタイプ - セキュリティ
サブタイプ - LAN ファイアウォール

LAN ファイアウォールのイベントをフィルタに入れます。

ホーム > イベントに進みます。
フィルタをクリックし、関連するフィールド、演算子、および値を選択します。
1. フィールド - 複数のフィールドがフィルタとして選択可能です。例えば、フィルターとして「ソースサイト」または「サブタイプ」(LAN ファイアウォール) を選択することにします。
2. オペレーター - 特定の値を含む (例: 該当, 含む) または含まない (例: 非該当, 含まれない) ことを選択します。「送信元サイト」をオペレーター「含む」で選択すると、複数の送信元サイトを値として指定できます。
3. 値 - フィールドに対する値です。
フィルタの追加 をクリックします。

以下の例では、LAN ファイアウォールイベントの詳細を確認できます。

アクション - ブロックまたはモニタ。（トラフィックはLAN ファイアウォールによりローカルでブロックまたは許可されました）
設定済みのホスト名 - 送信元 IPのホストの追加情報：該当する場合。
サブタイプ - LAN ファイアウォール。 LAN ファイアウォールによって生成されたすべてのイベントは、このサブタイプを持ちます。
ルール - このイベントを生成した定義済みのルール名です。

WAN やインターネットファイアウォールと異なり、イベントはCato PoPではなく、直接LANファイアウォールソケット上で生成されます。これらのイベントはサイトトンネルを介して送信され、Cato 管理アプリケーションに保存されます。

トンネルを経由するすべてのフロートラフィックがLAN ファイアウォールのイベントよりも優先されます。LAN ファイアウォールのイベントはデフォルトでQoS優先度が255で、追加のオーバーヘッドを生成する可能性があります。

Catoは、高優先度のLAN ファイアウォールルールのみをトラッキングすることを推奨しています。これにより、トンネルのオーバーヘッドを回避することができます。