関連トピック

# WatchGuard SSL デバイスのためにポリシーを構成する

WatchGuard Firebox と WatchGuard SSL デバイスを設置する場合、Firebox 配下のネットワークに SSL デバイスを配置することをお勧めします。次に Firebox 構成に HTTPS ポリシーを追加し、SSL デバイスへのインバウンド接続を許可する必要があります。ポリシーを追加する手順は、 WatchGuard SSL デバイスがパブリックまたはプライベートの IP アドレスを持っているかによって異なります。

WatchGuard SSL デバイスがプライベート IP アドレスを持つ場合

Firebox の HTTPS ポリシーでは、静的 NAT を使用するように構成します。このポリシーは、外部 IP アドレスからポート 443 を使用して WatchGuard SSL デバイスのプライベート IP アドレスへの接続をすべて許可する必要があります。

ポリシーを構成する方法については、例 1 を参照してください。

WatchGuard SSL デバイスにパブリック IP アドレスを与える場合

Firebox の HTTPS ポリシーで、外部 IP アドレスからポート 443 を使用して WatchGuard SSL デバイスのパブリック IP アドレスへの接続を許可するように構成します。

ポリシーを構成する方法については、例 2 を参照してください。

## 例 1 ― プライベート IP アドレスを使用する WatchGuard SSL デバイス

この例では、WatchGuard SSL デバイスが Firebox の任意ネットワークに接続されています。WatchGuard SSL デバイスはプライベート IP アドレスを持ちます。

WatchGuard Firebox 設定

- パブリック IP アドレス — 203.0.113.1/24
- 信頼済みネットワーク IP アドレス — 10.0.1.1/24
- 任意ネットワーク IP アドレス — 10.0.2.1/24

WatchGuard SSL 100 デバイスの設定

- ネットワーク インターフェイス モード ― 単一 インターフェイス モード
- アプリケーション ポータルのポート ― 443
- 管理者の HTTPS ポート ― 8443
- Eth0 IP アドレス — 10.0.2.60
- 既定のゲートウェイ — 10.0.2.1/24 (Firebox の任意ネットワーク IP アドレス)

SSL で保護された共有リソース (別のネットワークにある)：

HTTP (イントラネット) サーバー ― Firebox の信頼済みネットワークに配置し、10.0.1.80 を与える

### 受信接続を許可するために HTTPS ポリシーを追加する

Firebox で WatchGuard SSL デバイスへの接続の許可を構成するには、外部ネットワークから SSL デバイスの Eth0 アドレスへの接続を許可する HTTPS パケット フィルタ ポリシーを追加する必要があります。

1. SSL デバイスを保護する Firebox 上で、Policy Manager を開きます。
2. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
3. パケット フィルタ フォルダを展開し、HTTPS を選択します。

1. 追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. (オプション) ポリシーの名前を変更するには、名前 テキスト ボックスに、新しい名を入力します。
   たとえば、HTTPS-SSLVPN を入力します。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元 セクションで 追加 をクリックし、このポリシーにアドレスを追加します。
   アドレスの追加 ダイアログ ボックスが表示されます。
4. 使用可能なメンバー リストで Any-External を選択します。追加 をクリックします。
   「Any-External」 が、[選択されたメンバーとアドレス] リストに表示されます。
5. OK をクリックします。
   「Any-External」が、[送信元] のリストの [ポリシー プロパティ] ダイアログ ボックスに表示されます。
6. 送信先 リストで Any-External を選択します。削除 をクリックします。
7. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
8. SNAT の追加 をクリックします。
   印刷 ダイアログ ボックスが表示されます。
9. 追加 をクリックします。
   [SNATの追加] ダイアログ ボックスが表示されます。
10. SNAT 名 フィールドに、SNAT アクションの名前を入力します。
11. 静的 NAT オプションが選択されていることを確認します。
12. 追加 をクリックします。
    [静的 NAT の追加] ダイアログ ボックスが表示されます。
13. 外部 IP アドレス ドロップダウン リストから、静的 NAT に使用する IP アドレスを選択します。
    この例では、External を選択します。これにより、デバイスは外部 Firebox IP アドレス (203.0.113.1) を使用します。
14. 内部 IPアドレス テキスト ボックスに、SSL デバイスの Eth0 アドレスを入力します。
    この例では、IP アドレスは 10.0.2.60 です。

1. OK をクリックします。
   [SNAT メンバー] リストの [SNAT の追加] ダイアログ ボックスに IP アドレスが表示されます。
2. OK をクリックします。
   SNAT ダイアログ ボックスに SNAT エントリが表示されます。
3. OK をクリックします。
   静的 NAT エントリは、[選択されたメンバーとアドレス] リストにある [アドレスの追加] ダイアログ ボックスに表示されます。
4. OK をクリックします。
   静的 SNAT エントリが、[新しいポリシー プロパティ] リストに表示されます。

1. OK をクリックします。
   新しいポリシーが Policy Manager に表示されます。
2. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。
3. 構成を Firebox に保存します。

### 共有されたリソースへのアクセスを有効にするため、ポリシーを追加する

共有リソースが WatchGuard SSL デバイスと同じ内部ネットワーク上にない場合は、Firebox 構成にポリシーを追加し、WatchGuard SSL デバイスからそれらリソースへの接続を許可する必要があります。追加するポリシーの種類は、リソースの種類に依存します。

この例では、Policy Manager を使用して、10.0.2.0 の任意ネットワークにある WatchGuard SSL デバイスから、10.0.1.0 の信頼済みネットワークにある HTTP サーバーの共有リソースへの接続を許可します。このリソースは HTTP サーバーなので、Firebox 構成に HTTP ポリシーを追加します。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、HTTP を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. (オプション) ポリシーの名前を変更するには、名前 テキスト ボックスに、新しい名を入力します。
   たとえば、HTTP-SSLVPN-Resource を入力します。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元セクションで、追加をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
4. その他の追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
5. 値 テキスト ボックスに、WatchGuard SSL デバイスの Eth0 IP アドレスを入力します。
   この例では、10.0.2.60 と入力します。

1. OK をクリックします。
   IP アドレスは、 [アドレスの追加] の[選択されたメンバーとアドレス] リストに表示されます。
2. OK をクリックします。
   [新しいポリシー プロパティ] ダイアログ ボックスの 送信先 リストに、ホスト IP アドレスが表示されます。
3. 送信先 リストで Any-External を選択します。削除 をクリックします。
4. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
5. その他の追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
6. 値 テキスト ボックスに、信頼済みネットワークの内部 HTTP サーバー リソースの IP アドレスを入力します。
   この例では、10.0.1.80 と入力します。

1. OK をクリックします。
   IP アドレスは、 [アドレスの追加] ダイアログ ボックスの[選択されたメンバーとアドレス] リストに表示されます。
2. OK をクリックします。
   新しいポリシー プロパティ ダイアログ ボックスの 送信先 リストに IP アドレスが表示されます。

1. OK をクリックします。
   新しいポリシーが Policy Manager に表示されます。
2. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。
3. 構成を Firebox に保存します。

これで、WatchGuard SSL デバイスが別の内部ネットワークのリソースと通信できるように Firebox が構成されました。別の共有リソースのアクセスを有効にするには、各共有されたリソースに許可されるファイアウォール ポリシーを作成する必要があります。

### SSL デバイス管理用のカスタム ポリシーを追加する

別の内部ネットワークのコンピュータで WatchGuard SSL デバイスを管理するには、ポート 8443 で接続を許可するカスタム ポリシーを追加する必要があります。たとえば、SSL デバイスを管理するために信頼済みネットワークでコンピュータを使用する場合、Policy Manager を使用して、カスタム ポリシーを追加できます。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. 新規 をクリックします。
   [新規ポリシー テンプレート] ダイアログ ボックスが表示されます。

1. 名前 のテキスト ボックスに、ポリシー テンプレートの名前を入力します。
   たとえば、SSLVPN-Management を入力します。
2. (任意) ポリシーの説明を入力します。
   たとえば、WatchGuard SSL 100 Web UI のアクセスを入力します。
3. ポリシーの 種類 には、パケット フィルタ を選択します。
4. 追加 をクリックします。
   ［プロトコルの追加］ ダイアログ ボックスが表示されます。

1. 種類 ドロップダウン リストから、単一ポート を選択します。
2. プロトコル ドロップダウン リストから、TCP を選択します。
3. サーバー ポート テキスト ボックスに、8443 を入力します。

1. OK をクリックします。
   TCP：8443 プロトコルが追加された [新規ポリシー テンプレート] ダイアログ ボックスが表示されます。

1. OK をクリックします。
   作成したポリシーテンプレートが選択された ポリシーの追加 ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   前に作成したテンプレートのために [新規ポリシーのプロパティ] ダイアログ ボックスが表示されます。

1. 送信先 リストで Any-External を選択します。削除 をクリックします。
2. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
3. 他を追加する を選択します。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
4. 値 テキスト ボックスに、WatchGuard SSL デバイスの Eth0 IP アドレスを入力します。
   この例では、10.0.2.60 と入力します。

1. OK をクリックします。
   ホスト IP アドレスは、[選択されたメンバーとアドレス] リストにある [アドレスの追加] ダイアログ ボックスに表示されます。
2. OK をクリックします。
   ホスト IP アドレスが、送信先 リストの 新しいポリシー プロパティ ダイアログ ボックスに表示されます。
3. OK をクリックします。
   新しいポリシーが Policy Manager に表示されます。
4. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。
5. 構成を Firebox に保存します。

Firebox の構成により、以下が可能になりました：

- ユーザーは、https://203.0.113.1 にある SSL アプリケーション ポータルにログインできます。
- 管理者は、信頼済みネットワークの任意のコンピュータから https://10.0.2.60:8443 にある WatchGuard SSL Web UI にログインできます。
- アプリケーション ポータルにあるすべての共有リソースへのアクセス。

## 例 2 ― パブリック IP アドレスが与えられた WatchGuard SSL デバイス

この例では、WatchGuard SSL デバイスが Firebox の任意ネットワークに接続されています。WatchGuard SSL デバイスはパブリック IP アドレスが持ちます。

WatchGuard Firebox の設定：

- パブリック IP アドレス — 203.0.113.1/24
- 信頼済みネットワークの IP アドレス — 10.50.1.1/24
- 任意ネットワークの IP アドレス — 10.50.2.1/24

WatchGuard SSL 100 デバイスの設定：

- ネットワーク インターフェイス モード ― 単一インターフェイス モード
- アプリケーション ポータルのポート ― 443
- 管理者の HTTPS ポート ― 8443
- Eth0 IP アドレス — 10.50.2.60/24
- 既定のゲートウェイ — 10.50.2.1/24 (Firebox の任意ネットワークの IP アドレス)

SSL で保護された共有リソース (別のネットワークにある)：

HTTP (イントラネット) サーバー ― Firebox の信頼済みネットワークに配置し、10.0.1.80 を与える

### 受信接続を許可するために HTTPS ポリシーを追加する

Firebox で WatchGuard SSL デバイスへの接続の許可を構成するには、外部ネットワークから SSL デバイスの Eth0 アドレスへの接続を許可する HTTPS パケット フィルタ ポリシーを追加する必要があります。

1. SSL デバイスを保護する Firebox 上で、Policy Manager を開きます。
2. をクリックします。
   または、編集 > ポリシーの追加の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
3. パケット フィルタ フォルダを展開し、HTTPS を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. (オプション) ポリシーの名前を変更するには、名前 ボックスに、新しい名前を入力します。
   たとえば、HTTPS-SSLVPN を入力します。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元 セクションで 追加 をクリックし、このポリシーにアドレスを追加します。
   アドレスの追加 ダイアログ ボックスが表示されます。
4. 使用可能なメンバー リストで Any-External を選択します。追加 をクリックします。
   「Any-External」 が、[選択されたメンバーとアドレス] リストに表示されます。
5. OK をクリックします。
   「Any-External」が、[送信元] のリストの [新しいポリシー プロパティ] ダイアログ ボックスに表示されます。
6. 送信先 リストで Any-External を選択します。削除 をクリックします。
7. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
8. その他の追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
9. 値 テキスト ボックスに、Firebox SSL デバイスの Eth0 アドレスを入力します。
   この例では、203.0.113.1 と入力します。

1. OK をクリックします。
   追加された IP アドレスは、[選択されたメンバーとアドレス] リストにある [アドレスの追加] ダイアログ ボックスに表示されます。
2. OK をクリックします。
   追加されたホスト IP アドレスが、[新しいポリシー プロパティ] ダイアログ ボックスに表示されます。

1. OK をクリックします。
   Policy Manager に HTTPS-SSLVPN ポリシーが表示されます。
2. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。

### 共有されたリソースへアクセスするためのポリシーを追加する

共有リソースが WatchGuard SSL デバイスと同じ内部ネットワーク上にない場合は、Firebox 構成にポリシーを追加し、WatchGuard SSL デバイスからそれらリソースへの接続を許可する必要があります。追加するポリシーの種類は、リソースの種類に依存します。この例では、WatchGuard SSL デバイスは 10.0.2.1 の任意ネットワークにあり、HTTP サーバーの共有リソースは 10.0.1.0 の信頼済みネットワークにあるので、Policy Manager を使用して HTTP ポリシーを追加します。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. パケット フィルタ フォルダを展開し、HTTP を選択します。追加 をクリックします。
   新しいポリシーのプロパティ ダイアログ ボックスが表示されます。

1. (オプション) ポリシーの名前を変更するには、名前 ボックスに、新しい名前を入力します。
   たとえば、HTTP-SSLVPN-Resource を入力します。
2. 送信元 リストで Any-Trusted を選択します。削除 をクリックします。
3. 送信元セクションで、追加をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
4. その他の追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
5. 値 テキスト ボックスに、WatchGuard SSL デバイスの Eth0 IP アドレスを入力します。
   この例では、203.0.113.1 と入力します。

1. OK をクリックします。
   [アドレスの追加] ダイアログ ボックスの [選択されたメンバーとアドレス] リストに、ホスト IP アドレスが表示されます。
2. OK をクリックします。
   [新しいポリシー プロパティ] ダイアログ ボックスの [送信元] リストに、ホスト IP アドレスが表示されます。
3. 送信先 リストで Any-External を選択します。削除 をクリックします。
4. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
5. その他の追加 をクリックします。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。

1. 値 テキスト ボックスに、信頼済みネットワークにある内部 HTTP サーバー リソースの IP アドレスを入力します。
   この例では、10.0.1.80 と入力します。
2. OK をクリックします。
   [アドレスの追加] ダイアログ ボックスの [選択されたメンバーとアドレス] リストに、ホスト IP アドレスが表示されます。
3. OK をクリックします。
   [新しいポリシー プロパティ] ダイアログ ボックスの 送信先 リストに、ホスト IP アドレスが表示されます。

1. OK をクリックします。
   新しいポリシーが Policy Manager に表示されます。
2. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。
3. 構成を Firebox に保存します。

これで、WatchGuard SSL デバイスが別の内部ネットワークのリソースと通信できるように Firebox が構成されました。別のネットワークで他の共用するリソースが存在する場合、各共用するリソースへのアクセスを可能にするには、ファイアウォール ポリシーを作成する必要があります。

### SSL デバイス管理用のカスタム ポリシーを追加する

別の内部ネットワークのコンピュータから WatchGuard SSL デバイスを管理するには、ポート 8443 で接続を許可するようにカスタム ポリシーを設定する必要があります。たとえば、SSL デバイスを管理するために信頼済みネットワークでコンピュータを使用する場合、Policy Manager を使用して、カスタム ポリシーを追加できます。

1. をクリックします。
   または、編集 > ポリシーの追加 の順に選択します。
   ポリシーの追加 ダイアログ ボックスが開きます。
2. 新規 をクリックします。
   [新規ポリシー テンプレート] ダイアログ ボックスが表示されます。

1. 名前 のテキスト ボックスに、ポリシー テンプレートの名前を入力します。
   たとえば、SSLVPN-Management を入力します。
2. (任意) 説明 フィールドにポリシーの識別に役立つ説明を入力します。
3. 種類 セクションから、パケット フィルタ をポリシーの種類として選択します。
4. 追加 をクリックします。
   ［プロトコルの追加］ ダイアログ ボックスが表示されます。
5. 種類 ドロップダウン リストから、単一ポート を選択します。
6. プロトコル ドロップダウン リストから、TCP を選択します。
7. サーバー ポート テキスト ボックスで、8443 を入力または選択します。

1. OK をクリックします。
   [プロトコル] リストに新しいプロトコルがある [新しいポリシー テンプレート] ダイアログ ボックスが表示されます。

1. OK をクリックします。
   新しいポリシー テンプレートが選択されている状態で ポリシーの追加 ダイアログ ボックスが表示されます。
2. 追加 をクリックします。
   作成されたテンプレートの [新しいポリシーのプロパティ] ダイアログ ボックスが表示されます。
3. 送信先 リストで Any-External を選択します。削除 をクリックします。
4. 送信元 セクションで、追加 をクリックします。
   アドレスの追加 ダイアログ ボックスが表示されます。
5. 他を追加する を選択します。
   メンバーの追加 ダイアログ ボックスが表示されます。既定では、種類 は ホスト IP に設定されています。
6. 値 テキスト ボックスに、WatchGuard SSL デバイスの Eth0 IP アドレスを入力します。
   この例では、203.0.113.1 と入力します。

1. OK をクリックします。
   [アドレスの追加] ダイアログ ボックスの [選択されたメンバーとアドレス] リストに、ホスト IP アドレスが表示されます。
2. OK をクリックします。
   [新しいポリシー プロパティ] ダイアログ ボックスの 送信先 リストに、ホスト IP アドレスが表示されます。

1. OK をクリックします。
   新しいポリシーが Policy Manager に表示されます。
2. ポリシーの追加 ダイアログ ボックスの 完了 をクリックします。
3. 構成を Firebox に保存します。

Firebox の構成により、以下が可能になりました：

- ユーザーは、https://203.0.113.1 にある WatchGuard SSL アプリケーション ポータルにログインできます。
- 管理者は、信頼済みネットワークの任意のコンピュータから https://203.0.113.1:8443 にある WatchGuard SSL Web UI にログインできます。
- アプリケーション ポータルにあるすべての共有リソースへのアクセス。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索