関連トピック

# HTTP プロキシ：コンテンツの検査

HTTPS プロキシ アクションでは、コンテンツ インスペクションを有効化して、ドメイン名ルールを構成できます。コンテンツ インスペクションが有効な場合、Firebox は HTTP トラフィックを復号化し、コンテンツを検査し、そして新しい証明書でトラフィックをもう一度暗号化できます。HTTPS プロキシが、構成されたドメイン名ルールを インスペクション アクションと一致する要求、およびインスペクションのために選択する WebBlocker カテゴリのコンテンツに対してインスペクションを行います。

使用できるコンテンツ インスペクション設定は、HTTPS プロキシ アクションがアウトバウンドとインバウンドどちらの HTTPS 要求のためかによって異なります。

HTTP クライアント プロキシ アクション

HTTPS クライアント プロキシ アクションは、アウトバウンド HTTPS 要求のインスペクションの設定を指定します。HTTPS クライアント アクションで インスペクション アクションを選択する際、HTTP プロキシがコンテンツの検査に使用する HTTPS プロキシ アクションを選択します。

HTTPS サーバー プロキシ アクション

HTTPS サーバー プロキシ アクションは、内部 Web サーバーへのインバウンド HTTPS 要求のインスペクションの設定およびルーティングを指定します。HTTPS サーバー プロキシ アクションでドメイン名ルールに対して インスペクション アクションを選択する際、HTTPS プロキシがコンテンツの検査に使用する HTTP プロキシ アクションまたは HTTP コンテンツ アクションを選択します。

HTTP コンテンツ アクションを使ったコンテンツ インスペクションの構成方法の例については、次を参照してください：例：HTTPS プロキシ アクションと HTTP コンテンツ アクション。

## コンテンツ インスペクションを有効化する

コンテンツ インスペクションを有効化するには、次の手順を実行します：

1. HTTPS プロキシ アクションで、コンテンツ インスペクション を選択します。
   コンテンツ インスペクションの概要 セクションに、現在のコンテンツ インスペクション構成の設定が表示されます。
2. コンテンツ インスペクションの概要 セクションで、編集 をクリックします。
   コンテンツ インスペクション設定 ダイアログ ボックスが表示されます。

1. 次のセクションで説明されている通り、設定を構成します。
2. インスペクション アクションを持つドメイン名ルールを追加します。詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
3. 構成を Firebox に保存します。

## コンテンツ インスペクションの設定

コンテンツ インスペクション設定 ダイアログ ボックスでは、これらの設定を構成できます：

SSL 準拠のトラフィックのみを許可する

このオプションにより、HTTPS プロキシ ポリシーで SSL V3、TLS 1.0、TLS 1.1、TLS 1.2 プロトコルに準拠するトラフィックのみを許可することができます。

SSL 準拠のトラフィックは、安全とみなされ、HTTPS プロキシによって解釈できる SSL/TLS 標準に従った SSL プロトコル メッセージを参照します。このオプションは、コンテンツ インスペクションを有効にすると自動的に有効化されます。コンテンツ インスペクションが有効化されていない場合、ユーザーは非準拠の SSL プロトコル トラフィック（いくつかの VPN ソフトウェアによって使用される）を許可し、HTTPS プロキシがポート 443 トラフィックを Firebox に送信します。

コンテンツ インスペクションが有効であり、SSL に準拠したトラフィックが HTTPS プロキシ経由でセキュアなトンネルを確立したが、トンネルを通過したトラフィックが有効な HTTP プロトコルでない場合、インスペクションに使用される HTTPS プロキシ アクションは、Firefox がエラーに関するメッセージを送信して、トラフィックを中断するよう促します。

コンテンツ インスペクションを有効化する

コンテンツ インスペクションを有効化する を選択した場合、Firebox は HTTP トラフィックを復号化し、コンテンツを検査し、そして新しい証明書でトラフィックをもう一度暗号化できます。コンテンツ インスペクションを有効化した後、プロキシがインスペクションを行うドメイン名ルールと WebBlocker カテゴリを構成します。HTTPS プロキシは、各 インスペクション アクションに対して選択する　HTTP プロキシ アクションを使ってコンテンツを検査します。

この HTTPS プロキシ アクションがインスペクションを行うドメインと WebBlocker カテゴリを指定するには、次の手順を実行します：

- HTTPS プロキシ アクションの ドメイン名 リストに、インスペクション アクションを持つドメインをドメインを追加します。
  詳細については、次を参照してください：HTTPS プロキシ：ドメイン名ルール。
- HTTPS クライアント プロキシ アクションの WebBlocker 設定で、WebBlocker アクションを編集します。WebBlocker カテゴリ リストで、インスペクションを行う WebBlocker コンテンツ カテゴリを選択するか、または URL がカテゴリ化されていない場合にインスペクションを行う チェックボックスを選択します。
  詳細については、次を参照してください：HTTPS プロキシ：WebBlocker。

既定では、トラフィックを暗号化するために HTTPS プロキシで使用される プロキシ認証機関 の CA 証明書が、Firebox によって自動的に生成されます。この証明書を使用する場合は、これが信頼されていない自己署名証明書であるため、ユーザーのブラウザに警告が表示されます。警告が表示されないようにするには、名クライアントのデバイスに証明書をインポートします。

この目的のために、自分の証明書をアップロードすることもできます。独自の証明書をアップロードする場合は、独自の内部 CA を使用して証明書に署名してください。ユーザーがドメイン内に存在し、独自の内部 CA で署名した証明書が使用されている場合は、ユーザーには警告が表示されることなく正常に接続することができます。

クライアントは、http://<Firebox IP アドレス>:4126/certportal の Firebox の証明書ポータルからプロキシ認証機関証明書をダウンロードできます。詳細については、次を参照してください：証明書ポータル。

まだ有効化されていない状態でコンテンツ インスペクションが有効化されると、Firebox の信頼済み CA 証明書の自動更新が有効化されます。

コンテンツ インスペクションで証明書を使用する方法の詳細については、次を参照してください：HTTPS プロキシ コンテンツ インスペクションで証明書を使用する。

Firebox から証明書をエクスポートする方法の詳細については、次を参照してください：Firebox から証明書をエクスポートする。

クライアント デバイスの証明書をインポートする方法の詳細については、次を参照してください：クライアント デバイスに証明書をインポートする。

元の Web サイトまたは Web サーバーに自己署名証明書または無効な証明書がある場合、または証明書が Firebox で認識されない CA (サードパーティ CA など) により署名されている場合は、クライアントの Web ブラウザに証明書警告が表示されます。Fireware HTTPS プロキシ：認識されない証明書 または 無効な証明書 によって発行されたように見える、正しく再署名できない証明書：

サードパーティ プログラムによっては、必要な証明書のプライベート コピーを維持して、オペレーティング システムに格納されている証明書を使用しません。または、TCP port 443 経由で別の種類のデータを送信します。このプログラムには以下は含まれています。

- 通信ソフトウェア（Google Voice など）
- リモート デスクトップおよびプレゼンテーション ソフトウェア（LiveMeeting、および WebEx など）
- 財務ソフトウェアおよびビジネス ソフトウェア（ADP、iVantage、FedEx、UPS など）

これらのプログラムで、信頼済み CA 証明書をインポートする方法がない場合に、コンテンツ インスペクションを有効にすると、正常に動作しない可能性があります。証明書の詳しい使用方法またはテクニカル サポートについては、ソフトウェア ベンダーに連絡するか、またはこのソフトウェアが入ったコンピュータの IP アドレスに対して 許可 アクションを持つドメイン ルールを追加します。

SSLv3 を許可

TLSv1　および SSLv3 は HTTPS 接続で使用されているプロトコルです。SSLv3 は TLSv1 ほどセキュアではありません。既定では、HTTPS プロキシは TLSv1 プロトコルをネゴシエートする接続しか許可しません。ユーザーが SSLv3 のみをサポートするクライアントまたはサーバーに接続する場合、それらの Web サイトへの接続に SSLv3 のみを使用する HTTP プロキシを構成することができます。

SSLv3 を有効にするには、SSLv3 を許可する チェック ボックスを選択します。このオプションはデフォルト設定では無効になっています。

OCSP を使用して証明書を検証する

このオプションは、HTTPS クライアント プロキシ アクションに適用されます。HTTPS サーバー プロキシ アクションは、証明書を検証しません。

Firebox が OCSP (Online Certificate Status Protocol) を使った証明書失効を自動的にチェックするようにするには、このチェックボックスを選択します。この機能を有効にすると、Firebox は証明書内の情報を使用して、証明書ステータスのレコードを保持する OCSP サーバーに接続します。OCSP サーバーが証明書の取り消しに応答すると、Firebox で証明書が無効になります。

このオプションを選択すると、Firebox は OCSP サーバーからの応答を要求するため、数秒の遅延が発生する可能性があります。頻繁に使用する Web サイトにおけるパフォーマンスを改善するために、Firebox はキャッシュに 300 と 3000 の OCSP 応答を保持します。キャッシュに保存される応答数は、Firebox モデルにより異なります。

このオプションにより、緩い OCSP ポリシーが実装されます。何らかの理由で OCSP サーバーが接続できずに応答を送信しない場合も、Firebox が証明書を無効にしたり、証明書チェーンを中断したりすることはありません。

証明書を検証できない場合、証明書は無効とみなされます

このオプションを選択した場合は、Firebox が 厳格 な OCSP ポリシーを強制します。OCSP レスポンダーが失効ステータス要求に応答を送信しない場合、Firebox は元の証明書を無効または失効とみなします。ネットワーク接続に関する問題またはルーティングのエラーが発生した場合、このオプションによって、証明書は無効な証明書とみなされます。

Perfect Forward Secrecy 暗号

HTTPS プロキシは、TLS 接続に対して PFS 対応暗号をサポートします。Fireware は、PFS に対して Elliptic Curve Ephemeral Diffie-Hellman (ECDHE) 暗号のみをサポートします。

Firebox が PFS 対応暗号を使用するかどうかを制御するには、これらのオプションの 1 つを選択します：

- なし — Firebox は PFS 対応暗号を公開または選択しません。
- 許可 — Firebox は PFS 対応と PFS 非対応暗号の両方を公開して選択します。
- 必須 — Firebox は PFS 対応暗号のみを公開および選択します。

選択した設定は、クライアントとサーバー側の TLS 接続の両方に適用されます。このオプションが 許可 に設定されているばあい、サーバーでも PFS 暗号を使用していない限り、クライアントは PFS 暗号を使用しません。

Perfect Forward Secrecy 暗号にはかなりのリソースが必要であり、Firebox T10、T30、T50、XTM 25、XTM 26、および XTM 33 デバイスのシステム パフォーマンスに影響を与える可能性があります。

クライアント/サーバー TLS セッションに使用される暗号名が、Firebox によって生成された HTTPS コンテンツ インスペクション トラフィック ログメッセージに表示されます。ログ メッセージの詳細は、次を参照してください：ログ メッセージの種類。

Google Apps 許可されたドメイン

HTTPS プロキシ（コンテンツ インスペクションが有効な状態で）を使用して、個人用 Google サービスへのユーザー アクセスをブロックできます。詳細については、次を参照してください：Google Apps を許可されたドメインに制限する。

#### 関連情報

プロキシ ポリシーと ALG について

HTTPS プロキシについて

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索