Firebox のグローバル設定を定義する

Firebox のグローバル設定では、Firebox で使用可能な機能の多くのアクションを制御する設定を指定することができます。また、複数のデバイス管理者を有効にして、同時に Firebox にログインさせることが可能です。

以下の基本パラメータを設定できます。

ICMP エラー処理
TCP SYN パケットと接続状態検証
TCP 接続アイドルタイムアウト
TCP 最大セグメントサイズの調整
トラフィック管理と QoS
Web UI ポート
シリアルポートを経由する外部コンソールの接続
自動再起動
Firebox 障害レポート

Web UI ポートを変更する

既定では、Fireware Web UI はポート 8080 を使用します。

既定のポートを変更するには、以下の手順を実行します。

Web UI ポート テキストボックスで、別のポート番号を入力または選択します。
新しいポートを使用して Fireware Web UI に接続し、新しいポートとの接続をテストします。

自動再起動

Firebox が指定の日時に自動的に再起動するようにスケジュールすることができます。

デバイスの自動再起動をスケジュールするには、以下の手順を実行します：

再起動のスケジュール設定時間 チェックボックスをオンにします。
毎日同じ時間に再起動する場合は、横のドロップダウンリストから毎日を選択します。また、再起動する週の曜日を選択することができます。
横のテキストボックスに、再起動する日の時間と分 (24 時間表記) を入力または選択します。

デバイスのフィードバック

Firebox の新しい構成ファイルを作成する際、または Firebox を Fireware OS v11.7.3 以降にアップグレードする際に、既定では、Firebox から WatchGuard にフィードバックが送信されるように構成されています。デバイスフィードバックは WatchGuard が製品および機能を改善するのに役立ちます。これには、Firebox がどのように使用されているか、および Firebox でどのような問題が発生したかに関する情報が含まれていますが、ユーザーの会社や Firebox 経由で送信された企業データに関する情報は一切含まれていません。よって、Firebox データは匿名で処理されます。WatchGuard に送信されるデバイスフィードバックはすべて暗号化されています。

この機能は、Fireware OS v11.7.3 以降を実行している Firebox でのみ有効です。

WatchGuard は、デバイスのフィードバックデータからの情報を使用して、Fireware OS バージョンの地理的分布を把握します。WatchGuard が収集するデータには、Firebox で使用されている機能やサービス、妨害の原因となった脅威、およびデバイスの健全性とパフォーマンスに関する情報が含まれます。この情報により、WatchGuard はお客様とユーザーにより有益となるように、どの分野の製品を強化するかをより良く理解することができます。

デバイスのフィードバックが有効になっていると、6 日に一度フィードバックが WatchGuard に送信され、そのたびに Firebox が再起動します。デバイスのフィードバックは、圧縮ファイルで WatchGuard に送信されます。フィードバックデータは、Firebox 内のスペースを節約するために、WatchGuard に送信された後は Firebox から削除されます。

デバイスのフィードバックには、Firebox に関する以下の情報が含まれています：

デバイスの詳細
- Firebox のシリアル番号
- Fireware OS のバージョンおよびビルド番号
- Firebox モデル
- 最後に再起動されてからの Firebox の稼働時間
- WatchGuard に送信されたフィードバックデータの開始および終了タイムスタンプ
デバイスサイジングの詳細
- ポリシーの数
- 有効化されているインターフェイスの数
- BOVPN トンネルの数
- Mobile VPN トンネル数
- VLAN の数
- 構成ファイルのサイズ
パフォーマンスの詳細
- 同時セッションの最大数
- プロキシ接続の最大数
- パケットフィルタスループットの最大値
- 最大 VPN スループット
- 最大 CPU 使用量
- 最大メモリ使用量
- ピークプロキシ接続使用制限のピーク
機能の使用状況の詳細
- どの WatchGuard ユーザーインターフェイスから WatchGuard にフィードバックが送信されたか (Fireware Web UI、WatchGuard System Manager、または Command Line Interface)
- Firebox が Centralized Management されているか、Firebox の管理モードになっているかどうかについて
- Firebox で設定されているアクセスポイント（AP）の数
- Firebox で設定されている認証オプション
- Firebox が FireCluster のメンバーかどうか、モードがアクティブ/アクティブかアクティブ/パッシブかどうかについて
- VoIP セキュリティ機能が有効化されているかどうかについて
- Intrusion Prevention Service（IPS）が有効化されているかどうかについて
- Firebox で設定されているログ記録
- 構成において、登録サービスで有効化されているプロキシアクションの数
登録サービスの詳細

各サービスの詳細には、サービスが有効化されているかどうか、Firebox で有効化されている各サービスのイベントの数、各サービスに対して Firebox でトリガされたイベントのリスト（イベントの送信元 IP アドレス、プロトコル、および脅威レベルを含む）が含まれています。

Intrusion Prevention System (IPS)
Gateway AntiVirus (GAV)
WebBlocker
spamBlocker
データ損失防止（DLP）
APT Blocker
既定の脅威防止

アクセスポイントの詳細
- ゲートウェイワイヤレスコントローラが有効化されているかどうかについて
- Firebox で設定されている AP デバイスの数
- Firebox で設定されている SSID の数
- ワイヤレスホットスポットが有効化されているかどうかについて
完全修飾ドメイン名（FQDN）の詳細
- FQDN が使用されているかどうか
- 構成されている FQDN の数
- 特定のドメイン名を使用している FQDN の数
- ワイルドカードを使用している FQDN の数
- パケットフィルタポリシーで構成されている FQDN の数
- ブロックされたサイトの例外リストに含まれている FQDN の数
- クォータ例外に含まれている FQDN の数
- ポリシーフィルタで FQDN を含むパケットフィルタポリシーの数
- 使用されている認可 DNS サーバーの数
クォータの詳細
- Firebox にクォータが構成されているかどうか
- 構成されているクォータルールの数
- 構成されているクォータアクションの数
- 構成されているクォータ例外の数
エンドポイントマネージャーの詳細
- エンドポイントマネージャーが構成されているかどうか
- エンドポイントマネージャーに接続されているモバイルデバイスの合計数
- エンドポイントマネージャーに接続されている Android デバイスの数
- エンドポイントマネージャーに接続されている iOS デバイスの数
- VPN 経由で接続されているモバイルデバイスの数
ネットワーク可視性の詳細
- アクティブスキャンが有効になっているインターフェイスの数
- アクティブスキャンに構成されているスケジュールの間隔
- ネットワークで検知されたデバイスの数
- エンドポイントアクティブスキャンにより見つかったデバイスの数
- エンドポイントマネージャーにより見つかったデバイスの数
- エンドポイント Exchange Monitor により見つかったデバイスの数
- エンドポイント HTTP 検出により見つかったデバイスの数
- iked プロセスにより見つかったデバイスの数
- SSL VPN プロセスにより見つかったデバイスの数
RADIUS SSO の詳細
- RADIUS SSO のクォータの統計が構成されているかどうか
モバイルセキュリティの詳細
- モバイルセキュリティが有効化されているかどうか
- モバイルセキュリティデバイスグループを含むポリシーの数
- モバイルセキュリティが有効化されているポリシーによって拒否された接続の数
ボットネット検出の詳細
- ボットネット検出が有効化されているかどうか
- テスト済みのトラフィック発信元アドレスの数
- ボットネットから発信されたもので、ドロップされたトラフィック発信元アドレスの数
- テスト済みのトラフィック宛先アドレスの数
- ボットネットに送信されたもので、ドロップされたトラフィック宛先アドレスの数

デバイスのフィードバック機能を使用するかしないかは完全にユーザーの自由です。この機能はいつでも無効にすることができます。

デバイスのフィードバックを無効化するには、以下の手順を実行します：

デバイスのフィードバックを WatchGuard に送信する チェックボックスをオフにします。

障害レポート

Firebox では、Firebox で発生した障害の情報が収集、格納され、障害の診断レポートが生成されます。障害に関する次のカテゴリーの情報が収集されます：

アクションの失敗
プログラムのクラッシュ
カーネルの例外
ハードウェア上の問題

障害レポート機能を有効化すると、障害に関する情報は 1 日 1 回 WatchGuard に送信されます。WatchGuard は、この情報を Fireware OS とハードウェアの向上に活用します。障害レポートのリストを手動で確認し、WatchGuard にレポートを送信し、そして Firebox から障害レポートを削除することもできます。

障害レポートのリストの管理方法の詳細については、次を参照してください：障害レポートを管理する。

この機能は、Fireware OS v11.9.3 以降を実行している Firebox でのみ有効です。

Firebox で障害レポート機能を有効化するには、以下の手順を実行します：

障害レポートを毎日 WatchGuard に送信する チェックボックスを選択します。

デバイス管理者の接続

デバイス管理者の認証情報がある複数のユーザーに同時に Firebox にログインすることを許可して、Firebox を監視および管理することができます。このオプションを有効化する場合、デバイス管理者の認証を使用して Firebox にログインするユーザーは、設定を変更する前に、デバイスの構成ファイルのロック解除する必要があります。

複数のデバイス管理者を同時に Firebox にログインできるようにするには、以下の手順を実行します：

複数のデバイス管理者が同時に Firebox にログインすることを許可する チェックボックスを選択します。

構成ファイルをロックおよびロック解除する

（Fireware Web UI のみ）

複数のデバイス管理者が同時に Fireware Web UI から Firebox に接続できるようにする場合は、デバイス管理者ユーザーは Firebox デバイスの構成ファイルの構成設定に変更を加える前に、構成ファイルをロック解除する必要があります。構成ファイルに変更を加えるためにデバイス管理者が構成ファイルをロック解除した場合、そのデバイス管理者が同じ構成ファイルを再度ロックするか、またはログアウトするまで、デバイス管理者権限を持つその他のユーザーに対してその構成ファイルはロック状態になります。

複数のデバイス管理者が Firebox に同時にログインできるようにする方法については、Firebox のグローバル設定を定義するを参照してください。

構成ファイルをロック解除するには、Fireware Web UI で以下の手順を実行します。

ページ上部で、 the Lock icon をクリックします。

構成ファイルをロックするには、Fireware Web UI で以下の手順を実行します。

ページ上部で、 the Unlocked icon をクリックします。

ICMP エラー処理のグローバル設定を定義する

接続のエラーは、インターネットコントロールメッセージプロトコル (ICMP) によって制御されます。次の場合に使用できます。

クライアントホストにエラー状況を通知する場合
ネットワークをプローブしてネットワークの一般的特徴を検出する

Firebox では、選択されたパラメータの 1 つに一致するイベントが発生するたびに、ICMP エラーメッセージが送信されます。トラブルシューティングを行う場合には、これらのメッセージを使用すると非常に役立ちますが、ネットワークに関する情報が公開されるため、セキュリティが低下する可能性があります。これらの ICMP メッセージを拒否すると、ネットワークプローブが防御されている場合、セキュリティが向上しますが、接続が不完全であるためにタイムアウト遅延が発生し、アプリケーションに問題が起こる可能性があります。

ICMP エラー処理の共通設定は以下の通りです。

フラグメンテーション要求 (PMTU)

ICMP のフラグメンテーション要求メッセージを許可するには、このチェックボックスをオンにします。Firebox では、MTU パスを検出するためにこれらのメッセージを使用します。

時間超過

ICMP の時間超過メッセージを許可するには、このチェックボックスをオンにします。ルーターでは、通常、ルートループが発生した場合にこれらのメッセージを送信します。

ネットワーク到達不能

ICMP のネットワーク到達不能のメッセージを許可するには、このチェックボックスをオンにします。ルーターでは、通常、ネットワークリンクが無効である場合にこれらのメッセージを送信します。

ホスト到達不能

ICMP のホスト到達不能のメッセージを許可するには、このチェックボックスをオンにします。ネットワークでは、通常、ホストまたはサービスが使用できないときにこれらのメッセージを送信します。

ポート到達不能

ICMP のポート到達不能のメッセージを許可するには、このチェックボックスをオンにします。ホストまたはファイアウォールでは、通常、ネットワークサービスが利用できないか、または許可されていないときに、これらのメッセージを送信します。

プロトコル到達不能

ICMP のプロトコル到達不能のメッセージを許可するには、このチェックボックスをオンにします。

TCP 設定を構成する

TCP SYN パケットと接続状態検証を有効化する

RST、ACK、または FIN フラグが含まれていない接続を介して送信された最初のパケットが SYN パケットであることを Firebox が検証できるようにする場合は、このオプションを選択します。

このオプションを無効にすると、最初のパケットが RST、ACK、または FIN フラグを含む接続を介して送信された場合でも、接続が許可されます。

一部の接続（例：VPN トンネル経由の接続）に安定性の問題が発生した場合は、このオプションを無効にすることができます。

TCP 接続アイドルタイムアウト

TCP 接続がタイムアウトになるまでにアイドル状態でいられる時間の長さ。秒、分、時、または日の単位で値を指定します。Web UI の既定設定は 1 時間で、Policy Manager の既定設定は 3600 秒です。

個々のポリシーに対してカスタムアイドルタイムアウトを設定することもできます。詳細については、次を参照してください：カスタムのアイドルタイムアウトを設定する。

このグローバルアイドルタイムアウトを設定し、同時にカスタムアイドルタイムアウトをポリシーに設定すると、そのポリシーのみに対してグローバルアイドルタイムアウトよりもカスタムアイドルタイムアウトが優先されます。

TCP 最大セグメントサイズ制御

TCP セグメントは、TCP/IP レイヤーの 3 つ以上のオーバーヘッド (たとえば、PPPoE、ESP、または AH) を備える必要がある接続に対し、特定のサイズにすることができます。このサイズが正しく構成されていないと、ユーザーは一部の Web サイトにアクセスすることができなくなります。

グローバル TCP 最大セグメントサイズ調整オプションは、以下のとおりです。

Auto Adjustment — Firebox がすべての最大セグメントサイズ（MSS）ネゴシエーションを調べ、MSS 値を適切な値に変更することを可能にします。
No Adjustment — Firebox は MSS 値を変更しません。
Limit to — サイズ調整の制限値を入力または選択します。

TCP MTU プローブ

Firebox で TCP MTU プローブを有効化すると、PMTU 検出が正常に行われたかどうかを確認することができます。このオプションが有効になっていると、Firebox が BOVPN トンネル経由で送信されるトラフィックで ICMP 到達不能パケットを受信した場合でも、ネットワークのクライアントはこの Firebox に構成されているゼロルートの BOVPN トンネル経由でインターネットにアクセスすることができます（ICMP ブラックホールが検出された場合）。

TCP MTU プローブのオプションは、次のとおりです。

無効 — 既定設定。
ICMP ネットワークの問題が検出されたときにのみ有効化 — このオプションを選択すると、ICMP エラーメッセージがドロップし、PMTU 検出処理が完了できない際に、TCP MTU プローブが自動的に有効化されます（ICMP ブラックホールが検出された場合）。問題が解決した後も、TCP MTU プローブはそのまま有効となります。
常に有効

TCP MTU Probing は、Fireware v11.9.5 以降でサポートされています。

トラフィック管理と QoS を有効化または無効化する

パフォーマンステストまたはネットワークデバッグを実行する場合は、トラフィック管理および QoS の機能を無効にすることができます。

機能を有効にするには、以下の手順に従います。

トラフィック管理とQoS の機能をすべて有効にする チェックボックスをオンにします。

機能を無効にするには、以下の手順に従います。

トラフィック管理と QoS の機能をすべて有効にする チェックボックスをオフにします。

トラフィックフローを管理する

既定では、ポリシーで使用されている静的 NAT アクションを変更しても、Firebox がアクティブ接続を閉じることはありません。この既定設定を上書きして、変更した SNAT アクションを使用するポリシー経由でアクティブ接続を閉じるように Firebox を設定することができます。

既定のトラフィックフロー設定を上書きして、この機能を有効化するには、トラフィックフロー セクションで以下の手順を実行します：

SNAT アクションが変更された際に、SNAT アクションを使用するアクティブ接続をクリアする チェックボックスを選択します。

ログオン時の免責事項を構成する

ログオン時の免責事項の機能を有効化すると、ユーザーが Firebox にログインして管理する前に、提示されている利用規約への同意をユーザーに強制することができます。

このセクションには、Policy Manager でログオン時の免責事項の機能を有効化する方法が説明されています。Fireware Web UI から、この機能を有効化する方法については、次を参照してください：ログオン時の免責事項を構成する。

ログオン時の免責事項の設定を構成する際には、ログオン時の免責事項 ページのタイトルとメッセージテキストを指定することができます。ログオン時の免責事項にカスタムロゴを選択することもできます。選択する画像ファイルは JPG、GIF あるいは PNG ファイルのいずれかで、200 × 65 ピクセル以下でなければなりません。