関連トピック

# ドメイン名別のポリシーについて（FQDN）

Firebox ポリシー構成では完全修飾ドメイン名 (FQDN) を使用できます。構成に FQDN を使用する場合、Firebox がドメイン名を解決できるよう、Firebox で DNS も構成する必要があります。詳細については、次を参照してください：DNS 構成。

ドメイン名のサポートにより、以下を実行できます：

- ポリシーの 送信元 と 送信先 フィールド でドメイン名を使用する
- エイリアス のメンバーとしてドメイン名を使用する
- ブロックされたサイト と ブロックされたサイトの例外 でドメイン名を使用する
- クォータ例外 でドメイン名を使用する

Fireware v11.12.2 以降では、ブロックされたサイトの例外リストに、WatchGuard 製品および登録サービスが接続する必要があるサーバー用の規定 FQDN が含まれています。詳細については、次を参照してください：ブロックされたサイトについて。

特定のドメイン名 (host.example.com) またはワイルドカード ドメイン名 (*.example.com) を使用できます。たとえば、ワイルドカード ドメイン *.example.com には次が含まれます：

- a.example.com
- b.example.com
- a.b.example.com

次のワイルドカードの入力はサポートされていません：

- *.*.example.com
- example*.com
- *. example.*.com
- example.*.com

ドメイン名のサポートを使用して、さまざまなポリシー構成を行うことができます 例:

- 他のトラフィックはすべてブロックされていても、windowsupdate.microsoft.com などのソフトウェア更新サイトや、ウイルス対策署名の更新サイトへのトラフィックを許可します。
- 特定のドメインへのトラフィックをブロックまたは許可します。
- 特定のドメインへのトラフィックをブロックして、サブドメインには例外を作成します。
- すべての Web トラフィックには HTTP プロキシを使用し、*.akamai.com などのコンテンツ配信ネットワークの場合はプロキシをバイパスします。
- 異なるドメインに異なるプロキシ ポリシーを使用します。たとえば、example.com と example2.com に異なるプロキシ ポリシーを使用することができます。

## ドメイン名解決

構成でドメイン名を定義した場合、Firebox は指定されたドメインの正引き DNS 解決を実行し、IP マッピングを格納します。*.example.com などのワイルドカード ドメインについては、デバイスは example.com と www.example.com について正引き DNS 解決を実行します。

*.example.com により暗黙に示されるサブドメインを解決するために、デバイスはドメイン名構成と一致する DNS 応答を分析します。DNS トラフィックが Firebox を通過するときに、該当するクエリへの IP マッピング応答が Firebox に保存されます。A と CNAME レコードのみ使用されます。その他のレコードは無視されます。

## 制限

ドメイン名を使用する際はこれらの制限に留意してください：

- ドメイン名の解決に使用する認可 DNS サーバーとは、構成で最初に指定されている静的 DNS サーバーです。Firebox が外部インターフェイス上で DHCP または PPPoE を使用する場合は、最初に動的に取得する DNS サーバーです。
- IPv4 アドレスのみサポートされます。
- ポリシー、エイリアス メンバー、ブロックされたサイト、ブロックされたサイトの例外、クォータ例外を含めて、合計で 1024 までドメイン名を構成できます。
- 各ドメインに IP アドレスを 255 までマッピングできます。マッピングが最大数に達すると、古い IP アドレスがドロップされます。

## 構成に関する注意事項

ドメイン名を構成する際には、次の点に注意してください：

- 1 つのドメイン名が複数の IP アドレスに対応する可能性がある — 地理的な位置、タイム ゾーン、負荷バランシングの構成、その他の要素に基づいて、異なる DNS サーバーから異なる IP アドレス応答が返される可能性があります。
- 特定の IP アドレスを複数のドメイン名にマッピングすることができる — ドメインが IP アドレスに解決されるということは、その特定の IP アドレスに関するファイアウォール ポリシーが、このドメインにも存在することになります。別のドメインまたはサブドメインも同じ IP アドレスに解決される場合、そのドメインの発信･着信トラフィックもこのポリシーと照合されます。そのため、各ドメインまたはワイルドカード ドメインに異なるトラフィック アクションを構成する場合に、状況が複雑になる可能性があります。
- 同じサイトに複数のドメイン名 — Web サイトのメイン ページの多くは、別の Web サイトからデータを、第 2 レベルのドメインから画像や他の情報をプルします。トラフィックをすべてブロックした上で特定のドメインだけ許可する場合は、メイン ページに呼び出される他のドメインも許可する必要があります。システムは、サイト コンテンツ全体を提供するために、ワイルドカード ドメインには第 2 レベル ドメインからの IP アドレスをマッピングします。

## DNS 構成

Firebox は、DNS サーバーを使用して IP アドレスの各ドメイン名を解決します。FQDN を使用するには、Firebox のネットワーク設定で DNS サーバーを構成するか、または外部インターフェイスを DHCP または PPPoE に設定して DNS 構成を取得する必要があります。クライアントと Firebox で同じ DNS サーバーを使用することをお勧めします。クライアントの IP とドメインのマッピングが Firebox のマッピングと異なる場合、トラフィックは正しいポリシーに一致せず、そのため別のポリシーによって許可されたり、いずれのポリシーとも一致しないのでドロップされる可能性があります。

クライアントが内部の行き先に到達するのに内部 DNS サーバーを使用する場合は、ローカル サーバーに関するこのトラフィックを Firebox で分析する機会が得られない可能性があります。内部 DNS サーバーを使用する場合は、DNS サーバーをクライアントと異なる内部ネットワークに設置して、Firebox が DNS サーバーからの応答を認識し分析できるようにすることをお勧めします。

v11.12.2 より前の Fireware バージョンでは、構成されていない FQDN および DNS が含まれている場合、Policy Manager では Firebox に構成を保存できません。v11.12.2 以降の Fireware では、DNS が構成されていない場合 Policy Manager から警告メッセージが発信されますが、Firebox に構成を保存することは許可されます。

ドメイン名の構成と管理は、次のセクションに説明されているように、現在のネットワーク トポロジや DNS サーバーの位置によって影響を受けます：

### ローカル ネットワークの内部 DNS

クライアントと Firebox が同じネットワーク ゾーンにある内部 DNS サーバーを使用する場合：

- クライアントと Firebox の両方で、ローカル DNS サーバーをプライマリ名前サーバーとして使用するよう構成します。
- ワイルドカード ドメイン エントリを追加するときは、ドメイン/IP マッピングが確実に更新されるように、クライアントと DNS サーバーのローカル DNS キャッシュをフラッシュする必要があります。これにより、Firebox は DNS 応答の分析とマッピングをやり直します。
- DNS サーバーのローカル DNS キャッシュをフラッシュするには、DNS サーバーのマニュアルを参照してください。
- Windows クライアントの DNS キャッシュを表示してフラッシュするには、コマンド行から次のコマンドを入力します：
- ipconfig /displaydns
- ipconfig /flushdns
- Firebox の起動時に、ドメイン マッピングは保存されません。ドメイン/IP マッピングが確実に更新されるように、クライアントと DNS サーバーのローカル DNS キャッシュをフラッシュする必要があります。
- 別の方法として、Firebox を再起動した後に復元可能なフラッシュ ファイルにドメイン マッピングを保存しておくことができます。ドメイン マッピングをフラッシュ ファイルに保存するには、CLI メイン モードから、次のように入力します： diagnose fqdn "/fqdnd/save_wildcard_domain_labels"

### 異なるネットワーク上の内部 DNS

クライアントが異なるネットワーク ゾーンにある内部ローカル DNS サーバーを使用する場合 (たとえば、Firebox と別のネットワークなど)：

- クライアントと Firebox の両方で、ローカル DNS サーバーをプライマリ名前サーバーとして使用するよう構成します。
- 構成にワイルドカード ドメインを追加する際や Firebox を再起動する際に、クライアントまたは DNS サーバーのローカル DNS キャッシュをフラッシュする必要はありません。

### 外部 DNS

クライアントと Firebox が外部 DNS サーバーを使用する場合：

- クライアントと Firebox の両方で、外部 DNS サーバーをプライマリ名前サーバーとして使用するよう構成します。Firebox の外部インターフェイスで DHCP または PPPoE を使用して DNS 構成を取得する場合は、使用するのはこの DNS サーバーです。
- 構成にワイルドカード ドメインを追加する際や Firebox を再起動する際に、クライアントまたは DNS サーバーのローカル DNS キャッシュをフラッシュする必要はありません。

## ログとレポート

ログ メッセージとレポートでは、他の IP アドレスやホストと同様に、ドメイン名解決とアクションを表示できます。

ワイルドカード ドメインを使用すると、ログ メッセージに *.example.com のようにワイルドカードとして表示されます。アクションをトリガした固有のサブドメイン アドレスは表示されません。

#### 関連情報

ファイアウォール ポリシー ページについて

構成にポリシーを追加する

Policy Manager について

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索