関連トピック

# Firebox によって認証されたグループの WebBlocker ポリシーを構成する

ユーザーが属するグループによって、アクセスを許可する Web サイトのレベルを変えたいと考える組織は多いものです。このために、最初にユーザー認証を設定する必要があります。次に、各ユーザー グループに対して別の WebBlocker 設定をセットアップできます。高レベルでは、以下の手順に従います。

- ユーザー認証を構成します。
- 異なるアクセス レベルのユーザーをグループに追加します。
- 各ユーザー グループの HTTP プロキシ ポリシーを追加します。ポリシーには、そのグループの WebBlocker 構成の設定が含まれています。
- 既定の送信ポリシーを変更または削除します。
- ユーザーを WatchGuard 認証 ページへ自動的にリダイレクトするには、認証設定を構成します。

## シナリオ例

この構成の設定方法を説明するために、ポリシーマネージャーを使用して WebBlocker ポリシーを設定し、3 つの異なるレベルに Web アクセスを設定する学校の例を挙げます。

- 学生 (アクセス制限高)
- 先生 (アクセス制限低)
- IT (アクセス制限なし)

## 認証を構成する

WebBlocker 設定を構成する前に、ユーザー認証を設定する必要があります。Active Directory、ローカルの認証、Radius または LDAP などの認証方法のいずれかを使用できます。サポートされている認証方法の詳細については、次を参照してください：認証サーバーの種類。この例では、学校は Firebox 認証の使用を検討していることを前提とします。

## Firebox 認証にユーザーを追加する

1. 設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。

1. Firebox タブの ユーザー セクションで、追加 をクリックします。
   [Firebox ユーザーのセットアップ] ダイアログ ボックスが表示されます。

1. 新規ユーザーの 名前および 説明 (オプション) を入力します。
   認証するために使用する名前はユーザー名です。名前にスペースは使用できません。
2. 新しいパスフレーズを入力して確認します。

このパスフレーズを設定すると、文字がマスクされ、単純なテキストで表示されません。パスフレーズを紛失した場合、新しいパスフレーズを設定する必要があります。

1. セッション タイムアウト フィールドで、ユーザーが外部ネットワークにトラフィックを送信できる最長の時間を設定します。

このフィールドの最短時間設定は 1 秒、1 分、1 時間または 1 日です。最長の時間は 365 日です。

1. アイドル タイムアウト フィールドで、アイドル状態 (一切のトラフィックを外部ネットワークに送信しない) のときにユーザーが認証された状態でいられる時間の長さを設定します。

このフィールドの最短時間設定は 1 秒、1 分、1 時間または 1 日です。最長の時間は 365 日です。

1. Firebox ユーザーの設定 ダイアログ ボックスを閉じるには、OK をクリックします。
   ユーザー名が追加されたユーザーリストの Authentication サーバー ダイアログ ボックスが表示されます。

Firebox 認証データベースに各ユーザーを追加するには、これらの手順を繰り返します。この例では、すべての学生、先生および IT チームのメンバーを追加します。

## Firebox 認証グループを定義する

次に、使用するさまざまな WebBlocker ポリシーに対応するユーザー グループを定義する必要があります。Policy Manager から、許可したい Web サイト アクセスのレベルごとにグループを作成します。この例では、先生、学生 および IT の 3 つのグループを定義します。

1. 設定 > 認証 > 認証サーバー の順に選択します。
   認証サーバー ダイアログ ボックスが表示されます。

1. ユーザー グループ セクションで、追加 をクリックします。
   [Firebox グループの設定] ダイアログ ボックスが表示されます。

4. グループの名前を入力します。この例では、グループ名は先生です。
5. (任意) グループの説明を入力します。
6. すべての先生のユーザー名をこのグループに追加します。ユーザーをグループに追加するには、[使用可能] リスト内のユーザー名を選択します。をクリックし、名前をメンバーリストに移動します。
   または、[使用可能] リスト内のユーザー名をダブル クリックします。
7. すべての先生をグループに追加後、OK をクリックします。
   先生ユーザー グループが追加された 認証サーバー ダイアログ ボックスが表示されます。

同じ手順を繰り返して、全学生のユーザー名を含む 学生 という名前のグループと、IT チームのメンバー全員のユーザー名を含む IT という名前のグループを作成します。

## 学生の HTTP プロキシ ポリシーを作成する

Firebox は、パケット フィルタ と プロキシ という 2 つのポリシー カテゴリを使用して、ネットワーク トラフィックをフィルタします。

パケット フィルタ ポリシー

パケット フィルタは、各パケットの IP および TCP/UDP ヘッダを検査します。パケット フィルタ設定によって、パケット ヘッダ情報が許可された場合、Firebox はパケットを許可します。正当でなかったパケットはドロップ (除去) されます。

プロキシ ポリシー

プロキシは、各パケットのヘッダ情報と内容の両方を検査します。プロキシ設定がパケット ヘッダ情報およびパケットの内容を許可する場合、Firebox はパケットを許可します。正当でなかったパケットはドロップ (除去) されます。

特定のユーザー グループが一連の Web サイト カテゴリにアクセスするのをブロックするには、Policy Manager でそれらのユーザーを対象に HTTP プロキシ ポリシーを作成し、そのポリシーの WebBlocker アクションを定義します。この HTTP プロキシはコンテンツを調べ、プロキシ ポリシーに構成した WebBlocker カテゴリに基づいて、Web サイトへのユーザー アクセスを許可または拒否します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. プロキシ フォルダを展開して HTTPS プロキシ を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. プロキシ ポリシーが適用するグループを説明するには、プロキシ ポリシー名を変更します。
   この例では、プロキシ ポリシーを HTTP-proxy-Students と言います。
2. ポリシー タブの 送信元 リストで、Any-Trusted を選択します。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログが表示されます。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 学生 グループを選択します。選択 をクリックして、OK をクリックします。
   ポリシーの [送信元] セクションに、[学生] のグループ (Firebox-DB) がある [新しいポリシーのプロパティ] ダイアログ ボックスが表示されます。

1. をクリックします。
   HTTP プロキシ アクションの構成 ダイアログ ボックスが表示されます。

1. 左側の カテゴリ リストから、WebBlocker を選択します。
   WebBlocker 構成が表示されます。
2. WebBlocker ドロップダウン リストの横にある、 をクリックします。
   新しい WebBlocker 構成 ダイアログ ボックスが表示されます。

1. 名前 テキスト ボックスに、WebBlocker 構成の名前を入力してください。
   この例では、この構成に 学生 と名前を付けます。
2. サーバ タブで、追加 をクリックして、WebBlocker server の IP アドレスを入力します。
3. ブロックできるコンテンツのカテゴリを表示するには、カテゴリ タブをクリックします。
4. 学生 グループのユーザー用に、ブロックする各コンテンツカテゴリのチェックボックスをオンにします。

## 教師の HTTP プロキシ ポリシーを作成する

Policy Manager から、同じステップを繰り返して、先生 グループに異なるポリシーを設定します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. プロキシ フォルダを展開して HTTPS プロキシ を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. 名前 テキスト ボックスに、このグループを説明するプロキシ ポリシーの記述的な名前を入力します。
   この例では、[HTTP-proxy-Teachers] を入力します。
2. ポリシー タブの 送信元 リストで、Any-Trusted を選択します。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   この例では、先生 のグループを追加します。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 先生 グループを選択します。選択 をクリックします。OK をクリックします。
   ポリシーの [送信元] セクションに、先生のグループ (Firebox-DB) を含む、新しいポリシー プロパティ ダイアログ ボックスが表示されます。

1. をクリックします。
   HTTP プロキシ アクションの構成 ダイアログ ボックスが表示されます。
2. 左側の カテゴリ リストから、WebBlocker を選択します。
   WebBlocker 構成が表示されます。
3. WebBlocker ドロップダウン リストの横にある、 をクリックします。
   新しい WebBlocker 構成 ダイアログ ボックスが表示されます。
4. 名前 テキスト ボックスに、WebBlocker 構成の名前を入力してください。
   この例では、先生の名前を付けます。
5. サーバー タブで 追加 をクリックして、WebBlocker Server の IP アドレスを入力します。
6. ブロックできるコンテンツのカテゴリを表示するには、カテゴリ タブをクリックします。

1. 先生グループのユーザーに対してブロックする内容のカテゴリの各のチェック ボックスをクリックします。

## IT グループの HTTP パケット フィルタ ポリシーを作成する

IT チームの場合、インターネットへの無制限アクセスが必要です。これらのユーザーに対しては、HTTP パケットのコンテンツを検査する必要はないので、HTTP プロキシ ポリシーの代わりに HTTP パケット フィルタ ポリシーを作成します。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、HTTP を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. プロキシ ポリシーが適用するグループを説明するには、プロキシ ポリシー名を変更します。
   この例では、プロキシ ポリシーは HTTP-IT と言います。
2. ポリシー タブの 送信元 セクションで、Any-Trusted を選択します。削除 をクリックします。
3. このポリシーにユーザー グループを追加するには、 送信元 セクションで、追加 をクリックします。
   この例では、IT グループを追加します。
4. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. IT グループを選択します。選択 をクリックします。OK をクリックします。
   ポリシーの [送信元] セクションに、IT (Firebox-DB) のグループを含む、新しいポリシー プロパティ ダイアログ ボックスが表示されます。

1. OK をクリックします。

IT グループのメンバーは WebBlocker 制限の影響を受けません。

## 送信ポリシーを変更または削除する

HTTP プロキシ構成に WebBlocker profile を追加した後、既定の発信ポリシーを調べて、ネットワーク クライアントはユーザー認証がなければ Web サイトを訪問できないように設定されていることを確認します。そのためには、送信ポリシーを削除して、他の必要な送信ネットワーク ポリシーを追加するか、または WebBlocker 認証ユーザー グループを追加するように送信ポリシーを編集できます。これら 2 つのオプションを以下に説明します。

### オプション 1：送信ポリシーを削除して、その他の送信ネットワーク ポリシーを追加する

アウトバウンド ネットワーク アクセスに対するコントロールを増加させる場合、このオプションをお勧めします。組織のニーズを満たすために、どのポートとプロトコルが必要であるかを理解しておく必要があります。

最初に、送信ポリシーを削除するために以下の手順に従います。

1. 送信 ポリシーを選択します。
2. 編集 > ポリシーの削除 の順に選択します。
3. はい をクリックして確定します。

アウトバウンド DNS クエリを許可するために DNS パケット フィルタ ポリシーを追加します。その手順は以下の通りです。

1. 編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、DNS を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。
3. ポリシーの 送信元 セクションに、すべての内部ネットワークを追加します。
4. ポリシーを保存するには、OK をクリックします。

最後に、その他のカスタム ポリシーを追加します。

その他の送信トラフィックのカスタム ポリシーを追加します。追加するその他のカスタムポリシーの例は以下を含みます。

- UDP
- SMTP (メールサーバーがある場合)

カスタム ポリシーを追加する方法の詳細については、次を参照してください：カスタム ポリシーについて。

### オプション 2：ユーザー認証グループを送信ポリシーに追加する

業務に必要な送信ポートとプロトコルがわからない場合、または既定の構成を使用しているときと同じレベルのアウトバウンド制御で満足である場合、認証グループを追加できるように送信ポリシーを変更できます。

1. 送信 ポリシーをダブルクリックします。
   ポリシー プロパティの編集 ダイアログ ボックスが表示されます。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元 リストで Any-Optional を選択します。削除 をクリックします。
4. 送信元セクションで、追加をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
5. ユーザーの追加をクリックします。ドロップダウン リストから ファイアウォール と グループ を選択します。
   認証されたユーザーまたはグループの追加 ダイアログ ボックスが表示されます。

1. 作成したユーザー認証グループを 3 つすべてクリックします。選択 をクリックします。
2. OK をクリックします。
   送信ポリシーの ポリシーのプロパティの編集 ダイアログ ボックスが表示されます。ポリシーの 送信元 セクションに選択したグループが表示されます。

## ログイン ポータルに自動リダイレクトされるユーザー

ポリシーマネージャーより、インターネットにアクセスをしようとするとき、認証ログイン ポータルにまだ認証されていないユーザーを自動的に送信するようにグローバル認証設定を構成できます。

1. 設定 > 認証 > 認証設定 の順に選択します。
   認証設定 ダイアログ ボックスが開きます。
2. 認証するためにユーザーを認証ページに自動リダイレクトする チェックボックスをオンにします。

これにより、WebBlocker は、認証ユーザーのさまざまなグループの異なるポリシーを使用するように構成され、認証されていないユーザーを認証ページへ自動的にリダイレクトします。

#### 関連情報

プロキシ定義で WebBlocker アクションを使用する

HTTP プロキシについて

グローバル Firewall 認証値の設定

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索