HTTPS プロキシ：ドメイン名ルール

HTTPS プロキシアクションでは、HTTPS SSL ネゴシエーションのサーバードメインが指定したパターンに一致するときに取るアクションを指定するドメイン名ルールを追加できます。サーバードメイン名ルールは、TLS の SNI（サーバー名表示）拡張子、またはCN（一般名）としてのサーバー証明書に含むことができます。

また、HTTPS 要求がドメイン名ルールに一致しない場合に取るアクションも指定する必要があります。ドメイン名ルールを構成して、サイトに対して HTTPS 要求を許可、インスペクション、拒否、停止、またはブロックすることができます。HTTPS サーバープロキシアクションではまた、インバウンド HTTPS 要求を特定の IP アドレスとポートにルーティングするドメイン名ルールを構成することもできます。

ドメイン名ルールのパターン

サーバーへの HTTPS 要求の名前に対してドメイン名ルールで指定したパターンを一致させるには、サーバーの SNI（サーバー名表示）、証明書の一般名、または IP アドレスを使用できます。

SNI は、最も正確なオプションです。証明書の CN は、多くの場合、同じサイトからの複数のサービス間で共有されます。例えば、YouTube や Google マップなど、多くの Google サービスでは同じ証明書の CN が共有されています。証明書の CN に基づいて YouTube への HTTP 要求をブロックしている場合は、Google マップや同じ CN を持つ他のサービスへの要求もブロックされます。SNI が利用できない場合は、証明書の CN が使用されます。

ドメイン名ルールを作成する場合は、トラフィックログメッセージの HTTPS エントリで、SNI/CN 情報が正しいことを確認してください。

ドメイン名ルールアクション

各ドメイン名ルールに対して、プロキシは SNI、CN、または IP アドレスが指定したパターンに一致する HTTPS 要求が取るアクションを選択します。ドメイン名ルールが一致しない場合に取るアクションも構成する必要があります。各ルールに対して、次のアクションの 1 つを選択できます：

許可 — HTTPS 要求を許可する
インスペクション — コンテンツのインスペクションを行う指定した HTTP プロキシアクションまたはコンテンツアクションを使用します。インスペクションアクションを選択する前に、プロキシアクションでコンテンツインスペクションを有効化する必要があります。コンテンツインスペクション設定の情報については、次を参照してください：HTTP プロキシ：コンテンツの検査コンテンツアクションの情報については、次を参照してください：コンテンツアクションについて。
拒否 — 特定の要求を拒否しますが、可能な場合は接続を維持します。クライアントに応答を送信します。
切断 — 要求を拒否し、接続を切断し、さらに応答をクライアントを送信します。
ブロック — 要求を拒否し、接続を切断し、サイトをブロックし、さらに応答をクライアントに送信します。このサイトの IP アドレスから来るすべてのトラフィックは、ブロックされたサイト構成で指定されている期間内は拒否されます。ブロックされたサイトの詳細については、次を参照してください：ブロックされたサイトについて。

ドメイン名ルールで許可または インスペクション アクションを選択するときの HTTPS サーバープロキシアクションについては、ルーティングアクションと、ポリシーの送信先リストで指定されたものと異なるデスティネーションに要求を送信するポートを構成できます。Firebox が、HTTPS ヘッダーのパターンに基づいて、同じパブリック IP アドレスへの受信 HTTPS 要求を、異なる内部 IP アドレスまたはポートにルーティングできるようになります。

コンテンツアクションを持つ インスペクション アクションを選択した場合、コンテンツアクションでルールを構成して、復号化された HTTP 要求のコンテンツに基づいて要求をサーバーにルーティングできます。また、TLS/SSL オフロードも有効化できます。詳細については、次を参照してください：HTTP コンテンツアクションを構成する。

ドメイン名ルールの例

ドメイン名ルールのパターンは、最上位ドメインに一致できます。ドメイン名ルールでは、パスではなくドメインのみを指定します。

example.com ドメインからのトラフィックを拒否する場合は、パターン *.example.com のドメイン名ルールを追加し、一致した場合 のアクションを拒否に設定します。

example.com ドメインへの接続をブロックする場合は、パターン *.example.com のドメイン名ルールを追加し、一致した場合 のアクションを ブロック に設定します。この場合、example.com に関連付けられているサーバー IP アドレスは、ブロックされたサイト構成で設定されている既定の期間ブロックされます。ブロックされたサイトの詳細については、次を参照してください：ブロックされたサイトについて。

example.com ドメインの任意のサイトに対してコンテンツインスペクションなしで接続を許可する場合は、パターン *.example.com のドメイン名ルールを追加し、一致した場合 のアクションを許可に設定します。ドメイン名ルールでドメインを指定する際、ドメイン名の後に文字を含まないでください。例えば、 *.example.com/ は有効なドメイン名ではありません。

example.com ドメインのすべてのサイトのコンテンツインスペクションを実行する場合は、パターン *.example.com のドメイン名ルールを追加し、アクションを インスペクション に設定します。インスペクションアクションを選択する際、インスペクションに使用する HTTP プロキシまたは HTTP コンテンツアクションを選択する必要があります。

コンテンツインスペクションを有効化して、ドメイン名ルールを検査アクションで構成するか、または検査アクションを WebBlocker カテゴリで使用してコンテンツインスペクションを有効化する必要があります。

コンテンツインスペクションがある/ない場合の HTTPS サーバープロキシにおけるドメイン名ルールの構成方法例については、次を参照してください：

ドメイン名ルールを追加する

インスペクションアクションを持つドメイン名ルールを構成する前に、プロキシアクションでコンテンツインスペクションを有効化する必要があります。詳細については、次を参照してください：HTTP プロキシ：コンテンツの検査。

ドメイン名ルールを追加するには、Fireware Web UI で次の手順を実行します：

HTTPS プロキシアクション構成で、コンテンツインスペクション を選択します。
コンテンツインスペクションの概要とドメイン名設定が表示されます。

ドメイン名 リストの下にある追加をクリックします。
新規ドメイン名ルールダイアログボックスが表示されます。

ルール名 テキストボックスに、このルールを識別する名前を入力します。
タイプの一致 ドロップダウンリストから、HTTP 要求と一致する次のいずれかのオプションを選択します：
- 完全一致 — ドメイン名を正確に指定します。
- パターンマッチ — ドメイン名に一致するパターンを指定します。
- IPv4 アドレス - IP アドレスを指定します。
- 正規表現 — 正規表現としてパターンを指定します。
値テキストボックスに、このルールで一致させるテキストを入力します。ルール設定として パターンマッチ が選択されている場合は、ワイルドカート文字としてアスタリスク (*)、ピリオド (.)、または疑問符 (?) を使用することができます。
アクション ドロップダウンリストから、このルールに対してプロキシが採るアクションを選択します。

インスペクション アクションを選択する場合、インスペクションに使用するプロキシまたはコンテンツアクションを選択します。HTTPS プロキシは、選択したアクションを使って、復号化された HTTPS 要求のインスペクションを行います。

HTTP クライアントプロキシアクションでは、プロキシアクション ドロップダウンリストから、インスペクションに使用する HTTP プロキシアクションを選択します。
HTTP サーバープロキシアクションでは、プロキシアクションまたはコンテンツアクション ドロップダウンリストから、インスペクションとルーティングに使用する HTTP プロキシアクションまたはコンテンツアクションを選択します。コンテンツアクションの詳細については、次を参照してください：コンテンツアクションについて。

トラフィックログでこのイベントのためにメッセージを作成するには、ログチェックボックスをオンにします。
該当イベントについてアラームを作成するには、アラーム チェックボックスをオンにします。アラームは、プロキシルールがネットワークトラフィックに適用される場合にユーザーに通知します。
該当する場合は、次のセクションで説明されている通り ルーティングアクション および ポート を構成します。
OK をクリックします。
ドメイン名リストにドメイン名が追加されます。

ドメイン名ルールを追加するには、Policy Manager で次の手順を実行します：

HTTPS プロキシアクション構成で、コンテンツインスペクション を選択します。
コンテンツインスペクションの概要とドメイン名設定が表示されます。

ドメイン名 セクションの下にある追加をクリックします。
新規ドメイン名ルールダイアログボックスが表示されます。

ルール名 テキストボックスに、このルールを識別する名前を入力します。
ルール設定 セクションで、HTTPS 要求と一致する次のいずれかのオプションを選択します：
- 完全一致 — ドメイン名を正確に指定します。
- パターンマッチ — ドメイン名に一致するパターンを指定します。
- IPv4 アドレス - IP アドレスを指定します。
- 正規表現 — 正規表現としてパターンを指定します。
隣接するテキストボックスに、このルールで一致させるテキストを入力します。ルール設定として パターンマッチ が選択されている場合は、ワイルドカート文字としてアスタリスク (*)、ピリオド (.)、または疑問符 (?) を使用することができます。
アクション ドロップダウンリストから、このルールに対してプロキシが採るアクションを選択します。

インスペクション アクションを選択する場合、インスペクションに使用するプロキシまたはコンテンツアクションを選択します。HTTPS プロキシは、選択したアクションを使って、復号化された HTTPS 要求のインスペクションを行います。

HTTP クライアントプロキシアクションでは、プロキシアクション ドロップダウンリストから、インスペクションに使用する HTTP プロキシアクションを選択します。
HTTP サーバープロキシアクションでは、プロキシアクションまたはコンテンツアクション ドロップダウンリストから、インスペクションとルーティングに使用する HTTP プロキシアクションまたはコンテンツアクションを選択します。コンテンツアクションの詳細については、次を参照してください：コンテンツアクションについて。

トラフィックログでこのイベントのためにメッセージを作成するには、ログチェックボックスをオンにします。
該当イベントについてアラームを作成するには、アラーム チェックボックスをオンにします。アラームは、プロキシルールがネットワークトラフィックに適用される場合にユーザーに通知します。
該当する場合は、次のセクションで説明されている通り ルーティングアクション および ポート を構成します。
OK をクリックします。
ドメイン名リストにドメイン名が追加されます。

構成されたドメイン名ルールに一致しないドメインに対して取るアクションを指定するには、次の手順を実行します：

上記ルールが合致しない場合に起こすべきアクション 設定で、アクション ドロップダウンリストから、アクションを選択します。

Policy Manager の HTTPS サーバープロキシアクションに対する前記のルールが設定に一致しなかった場合に実行するアクション

インスペクション アクションを選択する場合、インスペクションに使用するプロキシまたはコンテンツアクションを選択します。HTTPS プロキシは、選択したアクションを使って、復号化された HTTPS 要求のインスペクションを行います。

HTTP クライアントプロキシアクションでは、プロキシアクション ドロップダウンリストから、インスペクションに使用する HTTP プロキシアクションを選択します。
HTTP サーバープロキシアクションでは、プロキシアクションまたはコンテンツアクション ドロップダウンリストから、インスペクションとルーティングに使用する HTTP プロキシアクションまたはコンテンツアクションを選択します。コンテンツアクションの詳細については、次を参照してください：コンテンツアクションについて。

トラフィックログでこのイベントのためにメッセージを作成するには、ログチェックボックスをオンにします。
該当イベントについてアラームを作成するには、アラーム チェックボックスをオンにします。アラームは、プロキシルールがネットワークトラフィックに適用される場合にユーザーに通知します。
該当する場合は、次のセクションで説明されている通り ルーティングアクション および ポート を構成します。

ルーティングアクションおよびコンテンツアクション

HTTPS サーバープロキシアクションでは、ルーティングアクションまたはコンテンツアクションを使い、要求のドメインまたは IP アドレスに基づいて、インバウンド HTTPS 要求を特定のサーバーまたはポートにリダイレクトできます。

ルーティングアクションを使ってインバウンド HTTPS 要求をリダイレクトするには、次の手順を実行します：

HTTPS サーバープロキシアクションで、ドメイン名ルールを追加、または編集します。
ドメイン名ルールで、許可または インスペクション アクションを選択します。
ルーティングアクションおよびポート設定が表示されます。

宛先 IP アドレスを指定するには、ルーティングアクション 設定で、使用を選択します。隣接するテキストボックスで、内部サーバーの IP アドレスを指定します。
送信先ポートを指定するには、ポート 設定で使用を選択します。隣接するテキストボックスで、ポート番号を指定します。

コンテンツインスペクションが有効化されている場合、コンテンツアクションを使ってヘッダーリダイレクトを実装できます。コンテンツアクションを使って、各内部サーバーにルーティングアクションを構成し、さらにルールアクションの一部として TLS/SSL オフロード を有効にできます。詳細については、次を参照してください：TLS/SSL オフロードに HTTP コンテンツアクションを使用する。

ドメイン名および WebBlocker

HTTPS クライアントプロキシアクションに対しては、WebBlocker 構成を選択して、その WebBlocker カテゴリに基づいて、Web サイトコンテンツを許可、拒否、またはインスペクションできます。

HTTPS プロキシアクションで指定する WebBlocker 構成は、HTTPS 要求がドメイン名、さらにあｈルールに一致しない場合に取るアクションが許可である場合にのみ使用されます。

ドメイン名ルールのアクションが インスペクション の場合、HTTP プロキシアクションで構成された WebBlocker アクションが使用されます。

WebBlocker に関する詳細については、次を参照してください：HTTPS プロキシ：WebBlocker。

ドメイン名ルールの順序

複数のルールが 1 つのドメインに一致する場合、ドメイン名ルールはリストされたルール順に処理されます。優先順序を変更するには、ルールを選択して、上に移動 または 下に移動 ボタンを使用します。