この記事では、Socket次世代LANファイアウォールルールをローカルのソケットでサイトトラフィックをルーティングおよび制御する方法を説明します。 ソケット次世代LANファイアウォールの詳細については、「What is the Socket Next Gen LAN Firewall」をご覧ください。
LANネットワークルールを設定して、LANトランスポートでローカルにルーティングされるトラフィックを定義した後、トラフィックのセキュリティポリシーを実施するための関連LANファイアウォールルールを作成します。
ポリシーを設定するための高レベルのワークフロー例です：
レイヤー7の施行機能が必要なサイトを決定し、それをポリシーに設定します。
LANファイアウォールルールおよびサイトに対するレイヤー7データを持つイベントにレイヤー7の施行を有効化します。
サイトに対してSocketのCPUパフォーマンスとイベントを監視し、レイヤー7を有効にした影響を評価します。
LANネットワークルールを作成して、どのサイトトラフィックがWANではなくソケット経由でローカルにルーティングされるかを定義します。
（オプション）ポリシーをサブポリシーに分割し、特定のルールの管理を異なる管理者に委任します。
各LANネットワークルールに対してトラフィックのセキュリティポリシーを実施するLANファイアウォールルールを作成します。
サイトのトラフィックに対するレイヤー7インスペクション機能を有効にします。 有効化すると、 Socket はLANトランスポートを利用するように定義されたいずれのトラフィックでも、LANファイアウォールルールが設定されているかどうかにかかわらず、トラフィックのディープパケットインスペクションを実行します（「What is the Socket Next Gen LAN Firewall」をご覧ください）。 これにより、アプリケーション、アプリのリスク、カスタムアプリなどのフィールドを含むレイヤー7データがサイトトラフィックのイベントに表示されます。 これには、Socket のCPU使用率への影響も含まれます。
.png?sv=2026-02-06&spr=https&st=2026-08-10T04%3A41%3A27Z&se=2026-08-10T04%3A52%3A27Z&sr=c&sp=r&sig=BnBQ4Jqhj5uPPnrdJJrIUENT5Jzc6lHghbi0p98UXMU%3D)
新しいLANネットワークルールを作成し、トラフィックのトランスポートを定義するための設定を行います。 LANトランスポートで定義されたルールについては、トラフィックのアクセス制御を管理するためのLANファイアウォールルールを追加できます。 詳細については、下記の「LANファイアウォールルールの作成」を参照してください。
LANネットワークルールを作成するには：
ナビゲーションメニューから、「セキュリティ > LANファイアウォール」をクリックします。
LANファイアウォールページが既存の未公開のリビジョン、または最新の公開済みのリビジョンに開きます。
「新規」をクリックし、ドロップダウンメニューから「新しいLANネットワークルール」を選択します。 「新しいネットワークルール」パネルが開きます。
ルールの「名前」を入力します。
スライダーを使用して、ルールを有効または無効にします（緑色が有効、灰色が無効を示します）。
新規ルールの「位置」と「方向」を設定します。
デフォルトでは、ルールはソースから宛先まで一方向に適用されます。 ドロップダウンメニューで、ルールを「両方向」に設定します。
「サイト」セクションを展開し、ルールが適用される1つ以上のサイトまたはサイトグループを選択します。 デフォルト値は「すべて」です。
「ソース」セクションを展開し、このルールのトラフィックソースとして1つ以上のオブジェクトを選択します。
タイプ（例：ホスト、ネットワークインターフェース、IP、ユーザー、ユーザーグループ、すべて）を選択します。 デフォルト値は「すべて」です。
必要に応じて、そのタイプの特定のオブジェクトをドロップダウンリストから選択します。
「宛先」セクションを展開し、このルールの宛先オブジェクトを1つ以上選択します。
タイプ（例：ホスト、ネットワークインターフェース、IP、ユーザー、ユーザーグループ、すべて）を選択します。 デフォルト値は「すべて」です。
必要に応じて、そのタイプの特定のオブジェクトをドロップダウンリストから選択します。
「基準」セクションを展開し、デバイス条件をルールに追加します。 詳細については、「Adding Device Conditions to Firewall Rules」をご覧ください。 デフォルト値は「すべて」です。
注意: LANファイアウォールの基準は、Socketバージョン26以降でサポートされています。「サービス/ポート」セクションを展開し、次のオプションのいずれかを使用して、ルールが適用されるプロトコルを選択します：
シンプルサービス - リストから関連するレイヤー4サービスを選択します。
事前定義されたサービスリストは、各サービスのRFC定義に基づいています。
カスタムサービス - 「プロトコル/ポート」形式で関連するポートとプロトコルを入力します （例：TCP/80-88、UDP/53、ICMP）
デフォルト値は「すべて」です。
（任意）「NAT」セクションを展開して、送信インターフェースでNATを有効にします。 これにより、すべてのオリジナルのIPが1つのNAT IPに変換されます。
ルールに一致するトラフィックの「トランスポート」を選択します。 オプションは次のとおりです：
LAN - トラフィックはソケットによってローカルにルーティングされ、PoPには送信されません
WAN - トラフィックはPoPでの検査のためにWAN経由で送信されます
「保存」をクリックします。
変更は未公開のリビジョンに保存され、公開または破棄されるまで編集可能な状態で残ります。
新しい LAN ファイアウォールルールを作成し、トラフィックアクセス制御を管理するように設定します。 LANファイアウォールルールは、その親のLANネットワークルールの範囲内のオブジェクトとしか設定できません。
レイヤー7機能が有効になっているサイトのルールには、「アプリケーション」や「ドメイン」のようなアプリケーションレイヤーオブジェクトの条件を含めることができます。 レイヤー7機能がないサイトのルールにこれらのオブジェクトを含めると、ルールは正常に機能しません。
注意: 同じサイト内でLANファイアウォールルールに一致しないトラフィックは、WANトラフィックと見なされます。たとえそれがPoPに行って戻ってきたものでも。
注：
「ユーザー」および「ユーザーグループ」オブジェクトを「ソース」および「宛先」フィールドで使用する方法、またはルールでデバイス基準を使用する方法については、feature-releases@catonetworks.comまでお問い合わせください。
LANファイアルールを作成するには:
ナビゲーションメニューから、「セキュリティ > LANファイアウォール」をクリックします。
LANファイアウォールページが既存の未公開のリビジョン、または最新の公開済みのリビジョンに開きます。
「新規」をクリックし、ドロップダウンメニューから「新しいLANファイアウォールルール」を選択します。 「新しいファイアウォールルール」パネルが開きます。
ルールの「名前」を入力します。
スライダーを使用してルールを有効化する（緑色は有効、灰色は無効）。
ルールの「位置」を設定し、「ルール」ドロップダウンから関連するリファレンスルールを選択します：
「Before Rule」と「After Rule」オプションについては、関連するLANネットワークルールの下で「ルール」ドロップダウンからLANファイアウォールルールを選択します。
「First in Rule」および「Last in Rule」オプションについては、「ルール」ドロップダウンからこのルールの親LANネットワークルールを選択します。
ルールの「方向」を設定します。
デフォルトでは、ルールはソースから宛先まで一方向に適用されます。 ドロップダウンメニューで、ルールを「両方向」に設定します。
「ソース」セクションを展開し、このルールのトラフィックソースとして1つ以上のオブジェクトを選択します。
タイプ（例：ホスト、ネットワークインタフェース、IP、ユーザー、ユーザーグループ、Any）を選択します。 デフォルト値は「すべて」です。
必要に応じて、ドロップダウンリストからそのタイプの特定のオブジェクトを選択します。
「宛先」セクションを展開し、このルールの宛先オブジェクトを1つ以上選択します。
タイプ（例：ホスト、ネットワークインタフェース、IP、ユーザー、ユーザーグループ、Any）を選択します。 デフォルト値は「すべて」です。
必要に応じて、ドロップダウンリストからそのタイプの特定のオブジェクトを選択します。
「App/Category」セクションを展開し、そのルールのアプリケーションを1つ以上選択します。
一つのルール内に複数のアプリ/カテゴリ オブジェクトがある場合、オブジェクト間にはOR関係があります。 デフォルト値は「すべて」です。
注: レイヤー 7 機能が有効になっているサイトのルールに対してのみ、アプリ/カテゴリ オブジェクトを設定します。 そうでないと、ルールは正しく機能しません。
「サービス/ポート」セクションを展開し、以下のオプションのいずれかを使用して、ルールが適用されるプロトコルを選択します：
シンプルサービス - リストから関連するレイヤー 4 サービスを選択してください
定義済みサービスリストは、それぞれのサービスの RFC 定義に基づいています。
サービス - リストから関連するレイヤー 7 サービスを選択してください
カスタムサービス - 「プロトコル/ポート」形式で関連するポートとプロトコルを入力します（例: TCP/80-88、UDP/53、ICMP）
デフォルト値は「すべて」です。
このルールのアクションを選択してください。 オプションは許可とブロックです。
(オプション) トラッキングオプションを設定して、イベント を生成し、通知を送信 します。 最初の通知が送信された後、頻度のカウントが始まります。
通知に関する詳しい情報は、アラート セクション内のサブスクリプショングループ、メーリングリスト、およびアラート統合の関連資料を参照してください。
保存をクリック。
変更は未公開リビジョンに保存され、公開または破棄されるまで編集可能として利用可能です。
サブポリシーと RBAC を使用した LAN ファイアウォールポリシー
LAN ファイアウォールポリシーは、特定の管理者に一連のルールの管理を委譲することができるように、サブポリシーをサポートしています。このため、ポリシーの残りの部分の中央集中的な管理とセキュリティの境界が維持されます。 特定のルール用にサブポリシーを作成し、それらのサブポリシーに対してどの管理者が表示または編集アクセスを持つかを定義します。
LAN ファイアウォールポリシーは、メインポリシーと任意の数のサブポリシーで構成されています。 サブポリシーに含まれていないルールは、管理者権限が定義されるときにメインポリシーに属します。
サブポリシーの作成
サブポリシーとその権限を、ルールの施行が開始される前に設定してから、スコープルールを有効にします。注: サブポリシーを有効にする前に、ルールと権限を定義してください。
サブポリシーを作成するには：
LANファイアウォールポリシーで新規 > サブポリシーをクリックします。
名前、位置、および条件（スコープルール）をサブポリシーに定義します。
保存をクリックしてください。サブポリシーのルールと権限が設定されるまで、スコープルールを無効のままにします。
サブポリシーの管理者権限を定義
デフォルトでは、管理者はすべてのページで、すべてのサブポリシーを表示および編集する権限を持っています。 特定のサブポリシーに管理者を制限するには、すべてのLANファイアウォールサブポリシーの権限を削除し、個々のサブポリシーについて権限を戻します。
サブポリシーに管理者の権限を定義するには：
ナビゲーションメニューから、管理 > 管理者を選択します。
管理者を選択し、エンティティのアクセス権限エリアに移動します。
テーブルで、すべてのLANファイアウォールポリシーの行を見つけて表示および編集権限を削除します。
ドロップダウンから、LANファイアウォールサブポリシーを選択します。
2番目のドロップダウンで、ターゲットサブポリシーを選択します。 サブポリシーがテーブルに追加されます。
テーブルで、管理者に編集または閲覧のみの権限をサブポリシーに与えます。
このプロセスをすべての管理者に対して繰り返します。
管理者の権限が定義された後、割り当てられた管理者はサブポリシーのルールを設定できます。
サブポリシーのルール設定
メインポリシーと同様に、サブポリシーのLANネットワークルールとLANファイアウォールルールを追加します (LANネットワークルールの作成 及び LANファイアウォールルールの作成を参照してください)。 ここで、サブポリシーに特定のルールの動作について学びます。
サブポリシーの有効化
ルールと権限が定義された後、サブポリシーを有効にします。
サブポリシーを有効にするには：
LANファイアウォールポリシーで、サブポリシーを選択します。
一般セクションを展開し、トグルを使って有効化します。
変更履歴を公開します。
注：
LAN ファイアウォール トラフィックはアプリとネットワークアナリティクス ダッシュボードで表示されません。
イベントはサイト監視 > イベントに表示されます。
イベントタイプ - セキュリティ
サブタイプ - LAN ファイアウォール
LAN ファイアウォール イベントをフィルタリングします：
ホーム > イベント に移動します。
フィルタをクリックし、関連するフィールド、演算子、および値を選択します。
フィールド - フィルターとして複数のフィールドを選択できます。 例えば、フィルターとして「ソース サイト」または「サブタイプ」(LAN ファイアウォール) を選択することにします
オペレーター - 特定の値を含むまたは含まない選択肢 (該当, 非該当) または複数の値 (含む, 含まれない) をもとに、「ソース サイト」とオペレーター「含む」で複数のソース サイトを値として選択できます。
値 - フィールドの値です。
フィルタの追加をクリックします。
以下の例では、LAN ファイアウォール イベントの詳細を見ることができます。
アクション - ブロックまたはモニタ。 (トラフィックは LAN ファイアウォールによってローカルでブロックまたは許可されました)
設定済みホスト名 - 利用可能な場合、ソース IP の追加ホスト情報。
サブタイプ - LAN ファイアウォール。 LAN ファイアウォールによって生成されるすべてのイベントはこのサブタイプを持ちます。
ネットワークルール - イベントを生成したLAN ファイアウォール ルールの親ネットワークルールです。
ルール名 - イベントを生成した LAN ファイアウォールルールの名前です。
WAN またはインターネットファイアウォールとは異なり、Cato PoP によってイベントが生成されるのではなく、LAN ファイアウォールイベントは Socket 自体で生成されます。 これらのイベントは サイトトンネルを通して Cato 管理アプリケーションに送信され、保存されます
トンネル上のすべてのフロートラフィックはLAN ファイアウォールイベントより優先され、これらはデフォルトで QoS の優先度が 255 であり、追加のオーバーヘッドを生成する場合があります
Cato はトンネル上の追加のオーバーヘッドを避けるため、高い優先度のLAN ファイアウォールルールのトラッキングのみを推奨します。