--- title: "ソケットLANファイアウォールポリシーの設定" slug: "configuring-the-socket-lan-firewall-policy" updated: 2026-09-07T23:34:51Z published: 2026-09-07T23:34:51Z canonical: "knowledge.catonetworks.com/configuring-the-socket-lan-firewall-policy" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # ソケットLANファイアウォールポリシーの設定 > [!NOTE] > 注： > > **サイトLANファイアウォールルールのアカウントレベルポリシーへの自動移行予定** > > 私たちは最近、[ソケット次世代LANファイアウォール](/v1/docs/what-is-the-socket-next-gen-lan-firewall)をリリースしました。これにより、アカウントレベルの設定とレイヤー7の施行が可能になります。 2025年7月1日に、既存のサイトレベルのLANファイアウォールルールをアカウントレベルのポリシーに移行します。 > > - 各サイトレベルのルールは、新しいポリシー内でネットワークルールとして自動的に構成され、ルーティングを特定し、トラフィックの許可またはブロックを行うファイアウォールルールも設定されます。 > - 各サイトのルールは、規則基底の中に個別のセクションとして追加されます。 > - 移行はシームレスで自動化されたプロセスであり、サービスの中断は予想されません。 > - 7月1日以前にポリシーの移行を希望される方は、[ea@catonetworks.com](mailto:ea@catonetworks.com)までご連絡ください。 ## 概要 ソケットのデフォルトの動作は、すべてのWANおよびインターネットトラフィックをPoPに転送してセキュリティ検査を行うことです。 これには、サイト内の隣接ネットワークセグメント間のLANトラフィック（例: VLAN）が含まれます。特定の状況では、デフォルトの動作を上書きし、サイトのソケット上で直接、Cato PoPにトラフィックを送信せずに2つのネットワークセグメントまたはホスト間の通信を許可またはブロックするようにソケットを設定できます。LANファイアウォールポリシーを使えば、ソケット上で直接LANトラフィックを許可またはブロックするルールを設定することができます。 オプションとして、各ルールのトラッキング（イベント）を有効にできます。 **注:** LANファイアウォールは、ローカルルーティングポリシーの強化です。 詳細については、以下の[LANファイアウォールを使用するための前提条件](/v1/docs/configuring-the-socket-lan-firewall-policy#prerequisites-for-using-the-lan-firewall)と[ローカルルーティングポリシーのLANファイアウォールへのアップグレード](/v1/docs/upgrading-the-local-routing-policy-to-the-lan-firewall)をご覧ください。 ## LANファイアウォールの理解 LANファイアウォールは、ニーズに応じてポリシーを作成することで、特定の種類のトラフィックをソケットレベルでブロックまたは許可できます。 以下の図は、LAN1からLAN2へのトラフィックを許可するLANファイアウォールルールを示しています。 | ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247905661725.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) | | --- | この図は、LAN1からLAN2へのトラフィックをブロックするLANファイアウォールルールを示しています。 | ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247937280413.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) | | --- | ### LANファイアウォールの使用 - サンプルルールベース 以下は、LANファイアウォールの設定ルールベースのサンプルです。 各ルールについては以下に説明します。 | ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247923234589.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) | | --- | ルール **1** - 'ゲストをブロック' - このルールは、'**ゲストWiFi**' ネットワークを使用しているホストがサイト内の他のホストまたは内部リソースにアクセスするのを防ぎ、同時にこれらのイベントをトラッキングします。 ホストは依然としてインターネットにアクセスできます。 ルール **2** - 'ファイル共有を許可' - このルールは、'**Corp-Users**' ネットワークに接続されたホストのみが、'**File-Servers**' ローカルネットワークに **HTTPS** または **SMB (TCP/445)** を介して接続できるように許可します。 各フローはイベントで追跡されます。 このローカル許可ポリシーを使用すると、ネットワーク間のSMBとHTTPSのトンネルオーバーヘッドが減少し、トラフィックは直接サイト上で管理され、トンネルを通過しません。 ルール **3** - 'CCTVサーバーを許可' - このルールは、'**IOT-Cameras**' ネットワークから'**IOT-File-Servers**'ネットワークへの **HTTPS** 経由のみでの接続を許可します。 各フローはイベントで追跡されます。 暗黙の動作 - ルールベースに定義されていないその他のホストトラフィックは、'**File-Servers**'に戻る前に検査のためにCato PoPに送信されます。 例えば、**Corp-Users**から**File-Servers**への **TCP/21 (FTP)** のトラフィックは、サンプルルールベースと一致せず、デフォルトの動作（Cato PoPへの送信トラフィック）をトリガーします。 ### LANファイアウォールルールベースの運用 LANファイアウォールポリシーは、最初に設定されたルールから最終的に設定されたルールまで順に処理されます。 一度ルールが一致すると、アクションが適用されます。 **それ以外は、トラフィックがデフォルトでCato PoPに送信されます。**。 ルールベースの上位にあるルールは優先度が高く、ルールベースの下位にあるルールより先に接続に適用されます。 例えば、接続がルール#3に一致する場合、アクションが接続に適用され、ファイアウォールはその検査を停止します。 ファイアウォールは、接続に対してルール#4以降を適用し続けません。 LANファイアウォールの効率を高め、多数の接続に一致するルールに高い優先度を与えることができます。 ### LANファイアウォールのスループット 次の表は、各ソケットモデルのLANファイアウォールに対してサポートされるスループットを示しています。 **注:** 以下に示される値は、Socket v19.0の単一次元テストのラボ環境に基づいています。 | ソケットモデル | TCP 帯域幅 | UDP 帯域幅 | | --- | --- | --- | | X1500 | 最大1Gb/秒 | 最大2Gb/秒 | | X1600 | 最大8Gb/秒 | 最大8.5Gb/秒 | | X1700 | 最大10Gb/秒 | 最大12Gb/秒 | ## LANファイアウォールの使用条件 LANファイアウォールは、既存のローカルルーティングポリシーの強化です。 **機能はサイトごとに有効化されます。** サイト内のすべてのソケットがバージョン18.0以上のソケットを実行していることを確認してください。 ### ローカルルーティングルールのLANファイアウォールへのアップグレード - サイトにローカルルーティングルールが構成されていない場合、すぐにLANファイアウォールポリシーにアップグレードできます - サイトに構成されたローカルルーティングルールがある場合、ローカルルーティングルールをLANファイアウォールに移行してください。[ローカルルーティングポリシーのLANファイアウォールへのアップグレード](/v1/docs/upgrading-the-local-routing-policy-to-the-lan-firewall)を参照してください。 - LANファイアウォールにアップグレードした後、機能を有効にしてください（画面の右上にある**LANファイアウォール有効化**トグル）。 この機能が無効になっている場合、すべてのトラフィックがPoPに送信されます。 ## LANファイアウォールの設定 このセクションでは、LANファイアウォールのルール、および設定できるオブジェクト、ポート、サービスについて説明します。 ### LANファイアウォールルールの定義 新しいLANファイアウォールルールを作成し、LANトラフィックのルーティングを管理するための設定を構成します。 **下にルールを追加**オプションを使用して、ルールベースの正しい場所にルールを簡単に追加できます。 > [!NOTE] > 注： > > 新しい構成をソケットに適用するのに最大1分かかる場合があります。 **LANファイアウォールルールを定義するには：** 1. ナビゲーションメニューから、**ネットワーク > サイト**をクリックして、サイトを選択します。 2. ナビゲーションメニューから、**サイト設定 > LANファイアウォール**をクリックします。 3. **新規**をクリックします。 **ルールの追加**パネルが開きます。 4. **一般**セクション： 1. 新しいルールに**名前**を入力します。 2. デフォルトでは、ルールは**有効**です。 **有効**トグルを使用して、ルールを無効にできます。 3. **方向**の下で、トラフィックを一方向のみに許可するには**宛先**を選択するか、双方向のトラフィックを有効にするには**両方**を選択します。 4. **ルール順序**を選択します。 より具体的なルールには高い順序を、より具体的でないルールには低い順序を定義することをお勧めします。 **注**: ルール順序の設定については、「LANファイアウォールルールベースの運用」セクションを参照してください。 ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247912661405.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) 5. **送信元**と**宛先**セクションを展開し、このルールのトラフィック送信元と宛先エンティティを定義します。 6. サービス/ポートセクションを展開し、ルールが適用されるプロトコルを選択します。 1. **ポート/プロトコル**を選択した場合、プロトコル/ポート形式（例： TCP/80-88、UDP/53、ICMPなど）で関連するポートとプロトコルを自由に定義します。 2. **シンプルサービス**を選択した場合、推奨されるレイヤー4サービスを選択します。 事前定義されたサービスリストは、各サービスのRFC定義に基づいています。 7. NATセクション： | ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247953812381.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) | | --- | 1. **NATを有効にする** - オプションとして、送信インタフェース上でNATを有効にします。 これにより、すべての生成されたIPは1つのNAT IPに変換されます。 8. アクションセクション内で： **注:** トラフィックがいずれのルールとも一致しない場合、デフォルトアクションは**PoPへ送信**です。 1. **ローカルで許可** - このアクションは、ソケットLANネットワーク間のローカルトラフィックの一致を許可します。 2. **ローカルでブロック** - このアクションは、ソケットLANネットワーク間の一致するトラフィックをローカルでブロックします。 9. アクションセクション内での **トラック**： 1. オプションとして、**イベント** チェックボックスを有効にします。 一致した場合、このルールに対してイベントが生成されます。 10. **適用**をクリックし、次に **保存**をクリックします。 ### NATとLANファイアウォールルール サイト内のLANネットワーク間でNATを使用する必要があるシナリオがあり、これは2つ以上の直接接続されたネットワーク間、またはルートネットワーク間（静的ルートまたはBGPルート）で発生する可能性があります。 1. NATは**送信先**方向にのみ構成可能です。 2. ルールの構成を保存した後、Cato管理アプリケーションは自動的にそのルールのための**アウトバウンドネットワーク**と**アウトバウンドIP**を計算します。 ### LANファイアウォールの送信元および宛先オブジェクト 次の送信元および宛先オブジェクトを定義することができます。 - **グローバルレンジ** - サイトのLANインターフェースのネイティブレンジ。 - **ホスト** - サイト内で定義されたホストおよびサーバー。 - **インターフェースサブネット** - VLAN、ルートまたは直接範囲、または二次AWS vSocketネイティブ範囲。 - **ネットワークインタフェース** - サイトのLANインタフェースのために定義されたサブネットおよびネットワーク範囲。 - **すべて** - サイト内のいずれの送信元または宛先も。 ### LANファイアウォールサービスとポート 以下は、利用可能なサービスの事前定義されたリストです。 | **サービス** | **ポート** | **プロトコル** | | --- | --- | --- | | リモートデスクトッププロトコル | 3389 | TCP | | MYSQL | 3306 | TCP | | HTTPプロトコル | 80 | TCP | | HTTPS | 443 | TCP | | SSH | 22 | TCP | | SMTP | 25 | TCP | | DNS TCP | 53 | TCP | | DNS UDP | 53 | UDP | ## モニタリング and イベント LAN ファイアウォールで定義済みのルールごとにイベントトラッキングを有効化することができます。 > [!NOTE] > 注： > > LAN ファイアウォールのトラフィックは、アプリケーションとネットワークアナリティクスのダッシュボードには表示されません。 イベントは**サイト監視 > イベント**に表示されます。 - **イベントタイプ** - セキュリティ - **サブタイプ** - LAN ファイアウォール **LAN ファイアウォールのイベントをフィルタに入れます。** 1. **ホーム** > **イベント**に進みます。 2. **フィルタ**をクリックし、関連するフィールド、演算子、および値を選択します。 1. **フィールド** - 複数のフィールドがフィルタとして選択可能です。 例えば、フィルターとして「ソース サイト」または「サブタイプ」(LAN ファイアウォール) を選択することにします。 2. **オペレーター** - 特定の値を含む (例: **該当**, **含む**) または含まない (例: **非該当**, **含まれない**) ことを選択します。「送信元サイト」をオペレーター「**含む**」で選択すると、複数の送信元サイトを値として指定できます。 3. **値** - フィールドに対する値です。 3. **フィルタの追加** をクリックします。 ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247954003485.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) 以下の例では、LAN ファイアウォールイベントの詳細を確認できます。 - **アクション** - ブロックまたはモニタ。 （トラフィックはLAN ファイアウォールによりローカルでブロックまたは許可されました） - **設定済みのホスト名** - 送信元 IPのホストの追加情報：該当する場合。 - **サブタイプ** - LAN ファイアウォール。 LAN ファイアウォールによって生成されたすべてのイベントは、このサブタイプを持ちます。 - **ルール** - このイベントを生成した定義済みのルール名です。 ![image.png](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/24247923694493.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A11%3A10Z&se=2026-11-10T18%3A11%3A10Z&sr=c&sp=r&sig=j52%2BAheCbtpNyTZL8GNR7wDIGktumVsyWd6oPkp8hGI%3D) WAN やインターネット ファイアウォールと異なり、イベントはCato PoPではなく、直接LANファイアウォールソケット上で生成されます。 これらのイベントはサイトトンネルを介して送信され、Cato 管理アプリケーションに保存されます。 トンネルを経由するすべてのフロートラフィックがLAN ファイアウォールのイベントよりも優先されます。LAN ファイアウォールのイベントはデフォルトでQoS優先度が255で、追加のオーバーヘッドを生成する可能性があります。 Catoは、高優先度のLAN ファイアウォールルールのみをトラッキングすることを推奨しています。これにより、トンネルのオーバーヘッドを回避することができます。