関連トピック

# HTTPS プロキシ コンテンツ インスペクションで証明書を使用する

多くの Web サイトは、ユーザーに情報を送信するために HTTP およびHTTPS プロトコルの両方を使用します。HTTP トラフィックを簡単に調べることができますが、 HTTPS トラフィックは暗号化されます。ネットワーク上のユーザーが要求した HTTPS トラフィックを調べるには、情報を複合化するために Firebox を設定し、それから各ネットワークのクライアントが使用した CA によって署名された証明書でそれを暗号化する必要があります。

HTTPS プロキシのためのコンテンツのインスペクションの詳細については、次を参照してください：HTTP プロキシ：コンテンツの検査。

## HTTPS プロキシの証明書

デバイスが HTTPS 接続をスキャンすると、 HTTPS プロキシは HTTPS の要求を遮断し、HTTPS サーバーの宛先へ独自の接続を開始します。デバイス上の HTTPS プロキシは、独自の再署名証明書を元のクライアントに提示し、クライアントの利益の HTTPS サーバー宛先と接続します。再署名証明書は、デフォルトプロキシ認証期間の証明書またはインポートされた CA証明書のいずれかになります。

### 既定のプロキシ認証機関の証明書

HTTPS プロキシのコンテンツのインスペクション機能で使用するために Firebox 上の既定の自己署名された プロキシ認証機関 CA証明書を使用することができます。デバイスは、プロキシ認証機関 自己署名された証明書でインスペクションされたコンテンツを再暗号化します。この既定の証明書を使用する場合、エンドユーザーが HTTPS で安全な Web サイトに接続するときにエンドユーザーは証明書のコピーを作成せずに Web ブラウザに警告を参照できます。これらの警告を回避するには、 Firebox からプロキシ認証機関 証明書をエクスポートし、クライアントのデバイスに証明書をインポートすることができます。

既定のプロキシ認証機関CA証明書 をデバイスからエクスポートする方法についての情報は、次を参照してください：Firebox から証明書をエクスポートする。

この証明書をクライアントのデバイスにインポートする方法についての情報は、次を参照してください：クライアント デバイスに証明書をインポートする。

クライアントは、Firebox の証明書ポータル (http://<Firebox IP アドレス>:4126/certportal ) からプロキシ認証機関証明書をダウンロードしてインストールすることができます。詳細については、次を参照してください：証明書ポータル。

### CA 証明書

貴社の組織が信頼された CA で PKI （公開キー基盤）を既に設定している場合、組織の内部の CA によって署名された証明書を Firebox にインポートすることができます。CA 証明書が自動的に信頼されていない場合、この機能が正しく動作するには、信頼の連鎖にある過去の証明書をそれぞれインポートする必要があります。

その他の証明書に署名するために、公開 CA プロバイダが許可を得て CA証明書を提供することはありません。結果として、公開の第三者の CA によって署名された証明書を使用するとすると、ユーザーは自身のブラウザで証明書の警告を受け取ります。内部 CA により署名された独自の証明書の使用を推奨します。

たとえば、貴社の組織が Microsoft Active Directory 証明書サービスを使用する場合、次のことができます：

- Firebox システム管理から証明書署名の要求 （CSR） を作成する。証明書機能として、プロキシ認証機関 (送信 SSL/TLS コンテンツ インスペクション用の CA 証明書の再署名) が選択されていることを確認します。この手順については、次を参照してください：FSM または Management Server を使用して証明書を作成する。
- Microsoft CA サーバーにより証明書を署名してもらいます。この手順については、次を参照してください：Microsoft CA で証明書に署名する。
- 再署名 CA証明書 を Firebox にインポートする この手順については、次を参照してください：デバイス証明書を管理する （Web UI） または デバイス証明書を管理する（WSM）。
- すべてのクライアントに手動でこの証明書を配布する、または Active Directory のポリシーを介して配布します。手順については、次を参照してください：クライアント デバイスに証明書をインポートする。

他の証明書を再署名できる CA証明書 を作成する必要があります。Firebox システム管理で CSR を作成し、著名な証明機関によって署名されている場合、この証明書を CA証明書 として使用することができません。リモート Web サイトが期限切れの証明書を使用している場合、またはその証明書がデバイスに認識されない CA （認証機関）によって署名されている場合、デバイスはコンテンツをFireware HTTPS プロキシ:認識されていない証明書 または単に 無効な証明書 として再署名します。

## 外部の HTTPS サーバーからコンテンツ インスペクションを実行する

この機能を有効にする前に、ネットワークのすべてのクライアントに HTTPS トラフィックを署名するために使用する証明書を配布することをお勧めします。配布方法としては、操作手順を付けてメール添付したり、ネットワーク管理ツールを使って証明書を自動的にインストールしたりできます。また、 HTTPS プロキシを大規模なネットワーク上のトラフィックに適用する前に、それが正しく動作することを確認するために少数のユーザーで HTTPS プロキシをテストすることを推奨します。

クライアントに証明書をインポートする方法の詳細について、次を参照してください：クライアント デバイスに証明書をインポートする。

SSL VPN トラフィックのような HTTPS ポートを使用する他のトラフィックを持つ場合、慎重にコンテンツのインスペクション機能を評価することを推奨します。他のトラフィック ソースが正しく機能することを確認するために、許可 アクションでドメイン名ルールを追加して、それらの IP アドレスのインスペクションをバイパスすることをお勧めします。
詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。

プロキシ ポリシーを追加して、外部 HTTPS サーバーからコンテンツを調べるには、Policy Manager で以下の手順を実行します。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加のダイアログ ボックスが表示されます。
2. HTTPS プロキシ を選択します。ポリシーの追加 をクリックします。
   ポリシー タブが選択された状態で、新規ポリシー プロパティ ダイアログ ボックスが表示されます。
3. プロキシ アクション ドロップダウン リストの横で をクリックします。
   コンテンツのインスペクション カテゴリが選択された状態で、HTTPS プロキシ アクション構成 ダイアログ ボックスが表示されます。
4. コンテンツ インスペクションの概要 セクションで、編集 をクリックします。
5. コンテンツ インスペクションを有効化する チェックボックスを選択します。
6. OCSP 証明書の検証のためにオプションを選択します。
7. OK をクリックして、コンテンツ インスペクションの設定 ダイアログ ボックスを閉じます。
8. インスペクション アクションでドメイン名ルールを構成して、インスペクションで使用する HTTP プロキシ アクションを選択します。
   詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
9. OK をクリックして、 HTTPS プロキシ アクションの構成 ダイアログ ボックスを閉じます。
   事前に定義された複製、またはDVCPにより作成されたオブジェクト ダイアログ ボックスが表示されます。
10. 名前 テキスト ボックスに、プロキシアクションの名前を入力します。
    たとえば、HTTPS-Client-Inspect と入力します。
11. OK をクリックします。
12. OK をクリックして、新しいポリシー プロパティ ダイアログボックスを閉じます。
13. ポリシーの追加 ダイアログ ボックスで、完了 をクリックします。

プロキシ ポリシーを追加して、外部 HTTPS サーバーからコンテンツを調べるには、Fireware Web UI で以下の手順を実行します。

1. ファイアウォール > ファイアウォール ポリシー の順に選択します。
   ファイアウォール ポリシー ページが表示されます。
2. ポリシーの追加 をクリックします。
   ファイアウォールポリシーページ追加するページが表示されます。
3. プロキシ ポリシーの種類を選択します。
4. プロキシ ドロップダウン リストから、HTTPS プロキシ と HTTPS-Client.Standard プロキシ アクションを選択します。
5. ポリシーの追加 をクリックします。
   追加ページは HTTPS プロキシのために表示されます。
6. プロキシ アクション タブを選択します。
7. プロキシ アクション ドロップダウン リストから、現在のプロキシ アクションをクローンする を選択します。
8. 名前テキスト ボックスに、このプロキシ アションの名前を入力します。
   たとえば、HTTPS-Client-Inspect と入力します。
9. コンテンツ インスペクションの概要セクションで、編集 をクリックします。
10. コンテンツ インスペクションを有効化する チェックボックスを選択します。
11. OCSP 証明書の検証のためにオプションを選択します。
12. OK をクリックします。
13. インスペクション アクションでドメイン名ルールを構成して、インスペクションで使用する HTTP プロキシ アクションを選択します。
    詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
14. 保存 をクリックします。

コンテンツ インスペクションを有効化して、HTTPS プロキシ アクションで インスペクション アクションを選択する際に、インスペクションで使用する HTTP プロキシ アクションを選択します。ドメイン名ルールで インスペクション アクションを選択して、HTTPS プロキシ アクションで許可された WebBlocker カテゴリのインスペクションを有効化することができます。

HTTPS プロキシにおける WebBlocker の構成の詳細については、次を参照してください： HTTPS プロキシ：WebBlocker。

## 非公開 HTTPS サーバーを保護する

より優れたエンドユーザー体験を提供するために、HTTPS プロキシでは、ネットワーク上のプライベート HTTPS サーバーに対する受信要求の証明書確認は行われません。クライアントのブラウザで、コンテンツのインスペクションが行われた後にプロキシ サーバーの証明書が表示されます。

セキュリティを強化するために、 HTTPS サーバー証明書を署名するのに使用される CA証明書 をインポートし、そしてそれに対応する非公開キーを使用して HTTPS サーバー証明書をインポートすることを推奨します。HTTPS サーバ証明書に署名するために使用されているCA証明書が自動的に自らを信頼しない場合には、これを正しく機能させるために各信頼される証明書を順番にインポートする必要があります。すべての証明書をインポートした後、 HTTPS プロキシを設定します。

プライベート HTTPS サーバーへの要求を検査するポリシーを追加するには、Policy Manager で以下の手順を実行します。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. HTTPS プロキシ を選択します。ポリシーの追加 をクリックします。
   ポリシー タブが選択された状態で、新規ポリシー プロパティ ダイアログ ボックスが表示されます。
3. プロキシ アクション ドロップダウン リストから、HTTPS-Server.Standard を選択します。
4. プロキシ アクション ドロップダウン リストの横で をクリックします。
   コンテンツのインスペクション カテゴリが選択された状態で、HTTPS プロキシ アクション構成 ダイアログ ボックスが表示されます。
5. コンテンツ インスペクションの概要 セクションで、編集 をクリックします。
6. コンテンツ インスペクションを有効化する チェックボックスを選択します。
7. OK をクリックして、コンテンツ インスペクションの設定 ダイアログ ボックスを閉じます。
8. インスペクション アクションでドメイン名ルールを構成して、インスペクションで使用する HTTP プロキシ アクションを選択します。
   詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
9. OK をクリックして、 HTTPS プロキシ アクションの構成 ダイアログ ボックスを閉じます。
   事前に定義された複製、またはDVCPにより作成されたオブジェクト ダイアログ ボックスが表示されます。
10. 名前 テキスト ボックスに、プロキシアクションの名前を入力します。
    たとえば、HTTPS-Server-Inspect と入力します。
11. OK をクリックします。
12. OK をクリックして、新しいポリシー プロパティ ダイアログボックスを閉じます。
13. ポリシーの追加 ダイアログ ボックスで、完了 をクリックします。

プライベート HTTPS サーバーへの要求を検査するポリシーを追加するには、Fireware Web UI で以下の手順を実行します。

1. ファイアウォール > ファイアウォール ポリシー の順に選択します。
   ファイアウォール ポリシー ページが表示されます。
2. ポリシーの追加 をクリックします。
   ファイアウォールポリシーページ追加するページが表示されます。
3. プロキシ ポリシーの種類を選択します。
4. プロキシ ドロップダウン リストから、HTTPS プロキシ と HTTPS-Server.Standard プロキシ アクションを選択します。
5. ポリシーの追加 をクリックします。
   追加ページは HTTPS プロキシのために表示されます。
6. プロキシ アクション タブを選択します。
7. プロキシ アクション ドロップダウン リストから、現在のプロキシ アクションをクローンする を選択します。
8. 名前テキスト ボックスに、このプロキシ アションの名前を入力します。
   たとえば、HTTPS-Server-Inspect と入力します。
9. コンテンツ インスペクションの概要セクションで、編集 をクリックします。
10. コンテンツ インスペクションを有効化する チェックボックスを選択します。
11. OK をクリックします。
12. インスペクション アクションでドメイン名ルールを構成して、インスペクションで使用する HTTP プロキシ アクションを選択します。
    詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
13. 保存 をクリックします。

## HTTPS コンテンツのインスペクションでの問題のトラブルシューティング

HTTPS コンテンツのインスペクションに使用される証明書に問題がある場合、デバイスはトラフィックログメッセージを作成します。詳細については、ログ メッセージを参照することをお勧めします。

リモート Web サーバーへの接続が頻繁に中断される場合、 HTTPS コンテンツを再暗号化するために使用する CA 証明書 を信頼するのに必要なすべての証明書、同様に元の Web サーバーからの証明書を信用するのに必要な証明書をインポートしていることを確認します。正常に接続するためにデバイス上と各クライアントデバイス上にすべての証明書をインポートする必要があります。

#### 関連情報

証明書について

HTTPS プロキシについて

デバイス証明書を管理する（WSM）

デバイス証明書を管理する （Web UI）

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索