関連トピック

# SMTP プロキシ：TLS 暗号化

クライアント電子メール サーバー (送信者) から SMTP サーバー (受信者) に送信される電子メールを処理するために TLS 暗号化を使用するように SMTP プロキシを構成することができます。SMTP over TLS は SMTP サービスのセキュリティ拡張機能で、SMTP サーバーとクライアントが TLS (トランスポート層セキュリティ) を使用してインターネット上で認証済みの専用通信を提供できるようにします。SMTP では、通常、STARTTLS キーワードが使用されます。SMTP プロキシの TLS 暗号化設定には構成可能な 2 つの部分、つまり暗号化を使用する時点 (送信者または受信者のチャンネル) とトラフィックを暗号化する方法 (SSL または TLS プロトコルおよび証明書の種類) があります。これらの設定を使用して、受信トラフィック (送信者の電子メール)、SMTP サーバー (受信者) からのトラフィック、またはその両方に対して暗号化の設定を指定することができます。

SMTP プロキシで TLS アクションを使用するには、SMTP プロキシ アクションで TLS のコンテンツ インスペクションを有効にする必要があります。詳細については、次を参照してください：TLS 暗号化設定を構成する。

## TLS 暗号化について

SSLv3、SSLv2、および TLSv1 は 暗号化された SMTP 接続で使用されているプロトコルです。SSLv2 は SSLv3 と TLSv1同様にセキュアです。TLS 暗号化を有効にすると、既定で、SMTP プロキシは TLSv1 プロトコルとネゴシエートする接続のみを許可します。しかし、SSLv3 と SSLv2 プロトコルを要求する SMTP クライアントまたはサーバーとの相互接続に対して、SMTP プロキシがこれらのプロトコルを使用することを有効にできます。

## TLS 暗号化の証明書について

SMTP TLS 機能はプロキシ サーバー証明書を使用します。プロキシ サーバー証明書は、任意のインバウンド トラフィック インスペクション (HTTPS または SMTP) に対して使用されます。

詳細については、次を参照してください：証明書について。

## OCSP オプションについて

OCSP (オンライン証明書ステータス プロトコル) を使用して証明書を検証するかどうかを選択することもできます。このオプションを有効にすると、Firebox が OCSP を自動的に使用して証明書の失効をチェックします。この機能を有効にすると、Firebox は証明書内の情報を使用して、証明書ステータスのレコードを保持する OCSP サーバーに接続します。OCSP サーバーが証明書の失効に応答すると、デバイスで証明書が無効になります。この処理のために Firebox が OCSP サーバーからの応答を要求するため、数秒の遅延が発生する可能性があります。頻繁にアクセスするホストにおけるパフォーマンスを改善するために、Firebox はキャッシュに 300 および 3000 の OCSP 応答を保持します。キャッシュに保存される応答数は、Firebox モデルにより異なります。

OCSP を使用して証明書を検証する場合、検証不能な証明書を有効であるとみなすかどうかを指定することもできます。無効にされた証明書を無効と指定した場合、および OCSP レスポンダーが失効ステータス要求に応答を送信しない場合は、Firebox は元の証明書を無効または失効とみなします。ネットワーク接続に関する問題またはルーティングのエラーが発生した場合、このオプションによって、証明書は無効な証明書とみなされます。

## Perfect Forward Secrecy について

Perfect Forward Secrecy (PFS) 暗号設定は、Firebox が TLS ハンドシェイク プロセスでネゴシエーションを行う TLS 暗号の種類を制御します。クライアントとサーバー TLS 暗号化の PFS は個別に制御できます。Fireware は、PFS に対して Elliptic Curve Ephemeral Diffie-Hellman (ECDHE) 暗号のみをサポートします。

Firebox が PFS 対応暗号を使用するかどうかを制御するには、これらのオプションの 1 つを選択します：

- なし — Firebox は PFS 対応暗号を公開または選択しません。
- 許可 — Firebox は PFS 対応と PFS 非対応暗号の両方を公開して選択します。
- 必須 — Firebox は PFS 対応暗号のみを公開および選択します。

選択する PFS 暗号設定は、暗号化ルールで指定した通り、STARTTLS を使用するすべてのチャネルに適用されます。

Perfect Forward Secrecy 暗号にはかなりのリソースが必要であり、Firebox T10、T30、T50、XTM 25、XTM 26、および XTM 33 デバイスのシステム パフォーマンスに影響を与える可能性があります。Fireware v11.12.1 では、これらのモデルに PFS 暗号を有効化できません。

クライアント/サーバー TLS セッションの暗号名が、Firebox によって生成された SMTP 要求ログ メッセージに表示されます。ログ メッセージの詳細は、次を参照してください：ログ メッセージの種類。

## 暗号化のルールについて

SMTP プロキシ アクションで TLS 暗号化を有効にした後に、送信者と受信者のドメインおよび各ドメインに必要な暗号化の詳細を指定するルールを追加します。暗号化のルール リストにルールを追加するとき、リスト中の最初のルールから最後のルールの順でルールが評価されます。もっとも柔軟性が高い順番でルールを配置してください。例えば、複数の SMTP サーバー ドメインがある場合、プライマリ SMTP サーバーをリストの最初に配置し、すべてのバックアップ SMTP サーバーのルールをその後に配置します。

暗号化のルールを追加するときに、特定の送信者と受信者のドメインのルールを作成できます。または、グローバル ルールを作成するために、送信者または受信者のドメインに対してワイルドカード文字 (*) を使用することができます。送信者または受信者のチャンネル、あるいはその両方に暗号化のルールを指定できます。それにより、SMTP サーバーに電子メールを送信する特定のドメインに別の暗号化のルールを設定することができます。各暗号化ルールは 200 以下の長さにする必要があります。

送信者の暗号化

- 必須 — 送信者の SMTP サーバーは Firebox と暗号化をネゴシエートする必要があります。
- なし — Firebox は送信者の SMTP サーバーと暗号化をネゴシエートしません。
- 任意 — 送信者の SMTP サーバーは、受信者の SMTP サーバーと暗号化をネゴシエートできます。TLS 暗号化は、受信者の SMTP サーバーの暗号化能力と設定に依存します。

受信者の暗号化

- 必須 — Firebox は受信者の SMTP サーバーと暗号化をネゴシエートする必要がありまます。
- なし — Firebox は受信者の SMTP サーバーと暗号化をネゴシエートしません。
- 優先 — Firebox は受信者の SMTP サーバーと暗号化のネゴシエーションを試みます。
- 許可 — Firebox は送信者の SMTP サーバーの動作を使用して、受信者の SMTP サーバーと暗号化をネゴシエートします。

2 つ以上のドメインにルールを追加しない場合は、送信者の暗号化 を 任意 に、受信者の暗号化 を 優先 に設定し、ドメイン情報に対してワイルドカード文字 (*) を使用します。これらの暗号化設定によって、ほとんどの電子メールが安全に SMTP サーバーに送信されます。

ユーザーが公共インターネット接続でネットワークに接続する場合、WatchGuard は 送信者の暗号化 に 必須 を選択することをお勧めします。SMTP サーバーが暗号化をサポートしていない場合、暗号化されていない電子メールでも受信が許可されるため、任意 を選択することをお勧めします。

保護された企業イントラネットからユーザーが SMTP サーバーに電子メールを送信する場合、送信者の暗号化 を オプショナル、受信者の暗号化 を なし に設定するともっとも柔軟性が高くなります。

送信者のドメインからのトラフィック暗号化を常に要求するルールを追加する場合、電子メール メッセージの受信者、送信者、および本文の情報に TLS プロトコルを使用するように指定することもできます。

## TLS 暗号化設定を構成する

新規構成ファイルを作成する際には、TLS 暗号化を構成する前に、SMTP プロキシ アクションでTSL のコンテンツ インスペクションを有効化する必要があります。構成ファイル TLS のコンテンツ インスペクションがすでに有効化されている場合、TLS 暗号化の構成設定を完了できます。

TLS 暗号化を有効にして SMTP プロキシ アクションのルールを構成するには、以下の手順を実行します：

1. SMTP プロキシ アクションで、ESMTP > TLS 暗号化 の順に選択します。

1. TLS で SMTP のコンテンツ インスペクションを有効にする チェック ボックスを選択します。
2. TLS のコンテンツ インスペクションに SSLv3 プロトコルの使用を許可するには、SSLv3 を許可する チェックボックスを選択します。ヒントSSLv3 を有効化して、レガシーのメール サーバーをサポートできます。
3. (任意) OCSP を使用して証明書を検証する チェック ボックスを選択します。
4. 検証できない証明書を処理する方法を指定するには、証明書を検証できない場合、証明書を無効とみなす チェック ボックスを選択します。
5. 暗号化のルールを追加するには、ルール セクションで、追加 をクリックします。
   新しい暗号化のルールが 暗号化のルール リストに表示されます。
6. 宛先ドメイン テキスト ボックスに、SMTP サーバーのドメイン名を入力し、Enter キーを押します。
7. クライアントのトラフィックの受信元であるドメインを指定するには、送信元ドメイン 列の既定設定*をダブルクリックし、テキスト ボックスに新しい設定を入力して、キーボードの Enter キーを押します。
   任意のドメインからのトラフィックを許可するには、既定設定の * を保持します。
8. 宛先の暗号化 オプションを変更するには、既定設定の 優先 をクリックし、ドロップダウン リストからオプションを選択します。
   - 必須
   - なし
   - 優先
   - 許可
9. 送信元の暗号化 オプションを変更するには、既定設定の オプションで暗号化 をクリックし、ドロップダウン リストからオプションを選択します。
   - 必須
   - なし
   - 任意
10. ルールの適用順を変更するには、暗号化のルール リストでルールを選択し、上へ または 下へ をクリックします。
11. リストでルールを無効にするには、そのルールの 有効 チェック ボックスの選択を解除します。
12. リストからルールを削除するには、削除 をクリックします。
13. 暗号化された送信者トラフィックに使用される TLS プロトコルを要求するには、送信者の暗号化が要求される場合、送信者、受信者、および本文情報に TLS を使用する チェック ボックスを選択します。
    このオプションは、常に暗号化 の 送信元の暗号化 の設定でルールを構成する場合にのみ使用できます。
    プロキシ アクションのルールの詳細については、次を参照してください：ルールを追加、削除、または変更する。
14. このプロキシ アクションの他のカテゴリの設定を変更する場合は、そのカテゴリのトピックを参照してください。
15. 構成を保存します。

定義済みのアクションを変更した場合は、 変更を保存するときに新しいアクションに設定の複製（コピー）するようにプロンプトが表示されます。

事前に定義されたユーザー アクションについては、以下を参照してください: プロキシ アクションについて.

#### 関連情報

SMTP プロキシについて

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索