ネットワーク接続をトラブルシューティングする

1. Windows のタスクバーまたはスタート メニューの検索テキスト ボックスを探します。
2. 検索テキスト ボックスに、cmd と入力して、Enter を押します。
   コマンド プロンプト ウィンドウが表示されます。
3. プロンプトで、ping [destination IP address or host name] と入力して、Enter を押します。

Ping 診断タスクを使用して、Firebox から IP アドレスまたはホスト名に ping パケットを送信することができます。

Firebox から ping を送信するには、Fireware Web UI から以下の手順を実行します：

1. システム ステータス > 診断 の順に選択します。
   診断 ページが表示され、診断ファイル タブが選択された状態になります。
2. ネットワーク タブを選択します。
   ネットワーク ページが表示されます。
3. タスク ドロップダウン リストから、Ping コマンドを選択します。
   アドレス テキスト ボックスが表示されます。
4. アドレス テキスト ボックスで、IP アドレスまたはホスト名を入力します。
5. タスクの実行 をクリックします。
   コマンドの出力が結果ペインに表示されます。
6. Ping コマンドを停止するには、タスクの停止 をクリックします。

Fireware Web UI の診断タスクの詳細については、次を参照してください： Firebox で診断タスクを実行する。

Firebox から ping を送信するには、Firebox System Manager から以下の手順を実行します：

1. ツール > 診断タスク の順に選択します。
   診断タスク ダイアログ ボックスが表示されます。既定で Ping IPv4 タブが選択されています。
2. アドレス テキスト ボックスに、IP アドレスまたはホスト名を入力します。
3. タスクの実行 をクリックします。
   コマンドの出力が結果ペインに表示されます。

Firebox System Manager の診断タスクの詳細については、次を参照してください： ログ メッセージに関する詳細を知るために診断タスクを実行する。

1. Windows のタスクバーまたはスタート メニューの検索テキスト ボックスを探します。
2. 検索テキスト ボックスに、cmd と入力して、Enter を押します。
   コマンド プロンプト ウィンドウが表示されます。
3. プロンプトで、nslookup [destination host name] [optional; DNS server IP address] と入力して、Enter を押します。

DNS ルックアップ 診断タスクを使用して、Firebox からホストへの DNS 名解決をテストします。

Firebox からの DNS ホスト名解決をテストするには、Fireware Web UI から以下の手順を実行します：

1. システム ステータス > 診断 の順に選択します。
   診断 ページが表示され、診断ファイル タブが選択された状態になります。
2. ネットワーク タブを選択します。
   ネットワーク ページが表示されます。
3. タスク ドロップダウン リストから、DNS ルックアップ を選択します。
   アドレス テキスト ボックスが表示されます。
4. ホスト名を アドレス テキスト ボックスに入力します。
5. タスクの実行 をクリックします。
   コマンドの出力が結果ペインに表示されます。
6. DNS ルックアップ コマンドを停止するには、タスクの停止 をクリックします。

Firebox からの DNS ホスト名解決をテストするには、Firebox System Manager から以下の手順を実行します：

1. ツール > 診断タスク の順に選択します。
2. タスク ドロップダウン リストから、DNS ルックアップ を選択します。
3. ホスト名を アドレス テキスト ボックスに入力します。
4. タスクの実行 をクリックします。
   コマンドの出力が結果ペインに表示されます。
   

既定では、Ping ポリシーなどのパケット フィルタ ポリシーで許可される接続のログ メッセージは Firebox では作成されません。ネットワーク接続の問題をトラブルシューティングする際は、ping などのポリシーで許可されるパケットのログ記録を有効化すると便利です。

ポリシーで許可される接続のログ メッセージが Firebox で作成されるように、以下の手順に従って、ポリシーのログ記録を編集してください。

ポリシーのログ記録を有効化するには、Fireware Web UI から以下の手順を実行します：

1. ファイアウォール > ファイアウォール ポリシー の順に選択します。
   ポリシーのページが表示されます。
2. 編集するポリシー名をクリックします。
   ファイアウォール ポリシー > 編集 ページが表示されます。
3. ログ記録 セクションで、ログ メッセージを送信する チェックボックスを選択します。
4. 保存 をクリックし、構成の変更を保存します。

ポリシーのログ記録を有効化するには、Policy Manager から以下の手順を実行します：

1. ポリシーを編集するには、ポリシーをダブルクリックします。
   ポリシー プロパティの編集 ダイアログ ボックスが表示されます。
2. プロパティ タブを選択します。
3. ログ記録 をクリックします。
4. ログ メッセージを送信する チェックボックスを選択します。
5. 構成を Firebox に保存します。

この変更を行うと、ポリシーで許可される接続のログ メッセージが Firebox で作成されるようになります。Traffic Monitor でログ メッセージをフィルタリングすることで、特定のポリシーで許可される接続または特定の IP アドレスからの接続で作成されたログ メッセージを表示することができます。

ログ メッセージを表示してフィルタリングするには、Fireware Web UI から以下の手順を実行します：

1. ダッシュボード > Traffic Monitor の順に選択します。
2. ページ上部のフィルタ テキスト ボックスに用語を入力して、その用語が含まれるログ メッセージのみを検索します。たとえば、ネットワークのコンピュータの IP アドレス、ユーザー名、またはログ記録を有効化するポリシー名などを入力します。
3. フィルタを削除するには、 をクリックします。

Traffic Monitor ダッシュボードの詳細については、次を参照してください： Traffic Monitor。

フィルタ ログ メッセージを表示するには、Firebox System Manager から以下の手順を実行します：

1. Traffic Monitor タブを選択します。
2. ページ上部のフィルタ テキスト ボックスに用語を入力して、その用語が含まれるログ メッセージのみを検索します。たとえば、ネットワークのコンピュータの IP アドレス、ユーザー名、またはログ記録を有効化するポリシー名などを入力します。
3. フィルタを削除するには、 をクリックします。

Firebox System Manager の Traffic Monitor の詳細については、次を参照してください： デバイス ログ メッセージ (Traffic Monitor)。

ログ メッセージの読み取り方の詳細については、次を参照してください： ログ メッセージを読み取る。

1. Windows のタスクバーまたはスタート メニューの検索テキスト ボックスを探します。
2. 検索テキスト ボックスに、cmd と入力して、Enter を押します。
   コマンド プロンプト ウィンドウが表示されます。
3. 割り当てられた IP アドレス、サブネット マスク、既定のゲートウェイを表示するには、プロンプトで ipconfig と入力して、Enter 押します。
4. DNS サーバーの IP アドレスなどの詳細情報を表示するには、ipconfig/all と入力して、Enter を押します。

クライアント コンピュータの ipconfig コマンド出力で、ローカル コンピュータに割り当てられている IPv4 アドレスおよび既定のゲートウェイ IP アドレスをチェックします。クライアント コンピュータには IPv4 アドレスが設定されている必要があります。ほとんどの場合、既定のゲートウェイは、ローカルネット ワークが接続する先の内部 Firebox インターフェイスの IP アドレスになっている必要があります。

クライアント コンピュータが DHCP を使用して IP アドレスを取得している場合で、ipconfig 出力で IP アドレスが割り当てられていないと示された場合は、ローカル ネットワークの接続先の Firebox インターフェイス構成をチェックしてください。DHCP サーバーが有効化されていることを確認し、Firebox インターフェイスに構成されている DHCP アドレス プールに、接続するすべてのクライアントにアドレスを割り当てるのに十分な IP アドレスが含まれていることを確認します。

クライアント コンピュータが DHCP を使用して IP アドレスを取得している場合で、クライアントに割り当てられている IP アドレスとゲートウェイが、このネットワークの接続先の Firebox インターフェイスで構成されている DHCP サーバーの設定と一致しない場合は、ネットワークに不正な DHCP サーバーがあり、予想外の IP アドレスが割り当てられている可能性があります。

ローカル ネットワークが接続する先の Firebox インターフェイス構成を確認してください。ネットワークで正しいインターフェイスの IP アドレスとサブネット マスクが設定されていることを確認します。インターフェイスの IP アドレスとサブネット マスクの詳細については、次を参照してください： IP アドレスについて。

クライアント コンピュータと Firebox の内部インターフェイスとの間にスイッチまたはルータがある場合は、スイッチかルータの構成に問題がある可能性があります。スイッチまたはルータが問題になっているかどうかをテストするには、クライアント コンピュータを Firebox の内部インターフェイスに直接接続して、再度 Firebox に ping してください。

ネットワーク接続の問題は、ケーブルの損傷や切断、またはコンピュータ、Firebox、接続されているスイッチかルータ上のネットワーク インターフェイスの障害によって引き起こされる場合があります。この種の問題を検出するには、各ケーブルの両端にあるネットワーク インターフェイスのリンクとアクティビティのライトをチェックして、別のネットワーク ケーブルを試してください。または、同じネットワーク セグメント上の別のコンピュータから Firebox への接続をテストしてください。

Firebox インターフェイスのインジケータについては、Firebox モデルの ハードウェア ガイド を参照してください。

問題がネットワーク上のすべてまたは多数のユーザーに影響を与えている場合は、Firebox の内部 IP アドレスとネットワークの他のデバイスとの間で IP アドレスが競合している可能性があります。これをテストするには、Firebox インターフェイスからケーブルを外し、クライアント コンピュータから Firebox の内部インターフェイスに ping します。ネットワークが Firebox インターフェイスに接続されていないときに ping に応答がある場合は、ネットワークの他のホストで、Firebox インターフェイス IP アドレスと競合している IP アドレスが使用されています。

ローカル ネットワークで RFC 1918 プライベート サブネットのいずれかが使用されていない場合は、既定の動的 NAT ルールにより、プライベートネット ワークからインターネットへのトラフィックがマスカレードされません。これが問題になっているかどうかを確認するには、PING リクエストのログ メッセージをチェックしてください。src_ip_nat 属性が表示され、リストされた IP アドレスが Firebox の外部 IP アドレスと一致していることを確認してください。

Firebox がドロップインまたはブリッジ モードで構成されている場合は、src_ip_nat 属性がアウトバウンド トラフィックのログ メッセージに表示されません。

動的 NAT および既定の動的 NAT ルールの詳細については、次を参照してください： 動的 NAT について。

これが原因である場合は、拒否された PING リクエストのログ メッセージを探します。ログ メッセージにはどのポリシーでトラフィックが拒否されたかが示されています。既定では、Firebox 構成に送信 ping トラフィックを許可する Ping ポリシーが含まれています。

これが問題となっているかどうかを確認するには、コンピュータを Firebox に直接接続して、内部ネットワークをバイパスします。クライアント コンピュータにおいて Firebox に接続する正しいサブネット上に IP アドレスがあり、既定のゲートウェイがローカル ネットワークの接続先の Firebox インターフェイスの IP アドレスに設定されていることを確認してください。

クライアント コンピュータの Windows コマンドラインを使用して、DNS 解決をテストします。DNS サーバーの IP アドレスが指定されていない場合は、nslookup コマンドは既定の DNS サーバーを使用します。

まず、既定の DNS サーバーで DNS をテストします：

nslookup www.watchguard.com

次に、IP アドレスをパブリック DNS サーバーに追加します：

nslookup www.watchguard.com 8.8.8.8

既定の DNS サーバーでは DNS 解決が正常に機能しないが、パブリック DNS サーバーで正常に機能する場合は、クライアント コンピュータと Firebox で使用されている DNS サーバーをチェックしてください。

• クライアント コンピュータ上で使用されている既定の DNS サーバーをチェックするには、Windows コマンドラインで ipconfig/all コマンドを使用します。通常、クライアントの DNS サーバーは、Firebox で使用される DNS サーバーと同じでなければなりません。
• Fireware Web UI で Firebox の現在の DNS サーバーの IP アドレスをチェックするには、ダッシュボード > インターフェイス > 詳細 の順に選択します。Firebox System Manager で DNS サーバーをチェックするには、フロント パネル タブで、Firebox の インターフェイス ステータスを展開します。

トラフィックが DNS サーバーにルーティングされるかどうか、および DNS サーバーが応答するかどうかを確認するには、クライアント コンピュータから、および Firebox から DNS サーバーの IP アドレスに ping を試みます。

ネットワークのクライアント コンピュータから DNS サーバーに正常に ping できる場合は、Firebox 構成に送信 DNS 要求を許可するポリシーが含まれていないと DNS 解決が失敗します。

これに関してさらなるトラブルシューティングを行うには、上述のように、Firebox から DNS 解決をテストし、Firebox からの DNS 解決が正常に機能するかどうかを確認することができます。Firebox からは DNS 解決が正常に機能するけれども、内部ネットワークのクライアントからは正常に機能しない場合は、送信 DNS 要求を許可するポリシーが Firebox に存在していない可能性があります。これが原因であるかどうかを確認するには、DNS をテストする間、または外部ホスト名の解決を試みる間に、Traffic Monitor でログ メッセージを調べてください。53 の送信先ポートで拒否された接続のログ メッセージを探してください。

既定の 送信 ポリシーを無効化または削除すると、これらの接続を許可する別のポリシーを追加しない限り、Firebox ではアウトバウンド DNS 要求が許可されません。送信ポリシーを削除する場合は、他のポリシーでネットワークのホストが許可されていること、または少なくともキーサーバーで DNS、NTP、および他の必要な機能の送信を接続できることを確認してください。

送信ポリシーの詳細については、次を参照してください： 送信ポリシーについて。