Socket Next Gen LAN Firewallとは何か

Example Corpは、同じLANネットワーク設計を使用する200のグローバル支店を持っています。 これにはサーバー用のVLAN ID 10と、ビジネスに不可欠なOTデバイス用のVLAN ID 20が含まれます。 ネットワークチームは、これらのVLAN間のトラフィックをローカルでルーティングすることを決定し、ISPの障害があっても、OTデバイスとサーバーが通信を続けられるようにします。 さらに、VLAN間の特定のプロトコルのみを許可したいと考えています。

ネットワークチームは、サイトを200の関連サイトを含むグループオブジェクトとして構成し、トランスポートをLANとして構成し、トラフィックをローカルでルーティングするLANネットワークルールを作成します。 その後、LANネットワークルールの下にLANファイアウォールルールを作成し、VLAN 10とVLAN 20をソースおよび宛先として構成し、方向を両方として構成します。 サービス/ポートでは、許可したいプロトコルを構成し、アクションは許可として構成します。

この単一のLANファイアウォールルールは、すべてのサイトに対して個別のルールを構成する必要なしに、200のローカルネットワークそれぞれにポリシーを適用します。

LANファイアウォールの役割と他のCatoポリシーとの関係を理解するには、CatoがトラフィックをLAN、WAN、またはインターネットのいずれか一つとして識別することを理解することが重要です。 これらのトラフィックの種類の区別と特性を理解することは、最適なポリシー計画と異なるCatoファイアウォールポリシーの活用において非常に重要です。 詳細については、Getting Started with the Cato Firewallsをご覧ください。

同じサイト内のホスト間のトラフィックは、LANトラフィック（ソケットによってルーティングされ、PoPに送信されない）またはWANトラフィック（PoPに送信されてからサイトに戻される）として処理されることができます。これは構成に依存します。 Socketのデフォルトの動作は、すべてのトラフィックをPoPにルーティングして検査し、PoPがトラフィックをブロックまたは許可します。 ただし、LANファイアウォールポリシーに一致するトラフィックはローカルにルーティングされ、PoPには送信されません。

LAN内のホストからのトラフィックがSocketに到達すると、SocketはそのトラフィックがLANファイアウォールポリシーのルールに一致するか確認します。

LANトラフィックの定義に関する詳細については、下記のLANファイアウォールポリシーを参照してください。

以下は、ローカルネットワーク上のホストからのトラフィックをSocket LANファイアウォールがどのように処理するかを示す状態機械図です。

LANファイアウォールはレイヤー2から4、そしてレイヤー7（アプリケーション層）の検査をサポートしており、アプリケーション、サービス、およびアプリケーション内の特定のコンテンツに基づいてトラフィックを制御できます。 デフォルトでは、サイトはレイヤー2-4の機能をサポートし、どのサイトがレイヤー7機能も有効にされているかをポリシーで定義します。 このセクションでは、レイヤー2-4とレイヤー7のファイアウォールの違いを説明します。

レイヤー2-4ファイアウォールは、IPアドレス、ポート、およびTCPまたはUDPのようなトランスポート層プロトコルといった基本的な条件に基づいてトラフィックをフィルタリングします。 これらの条件に対して、Socketファイアウォールは最初のパケットに基づいてトラフィックを許可またはブロックすることができます。 基本的なトラフィック制御には効果的ですが、このアプローチはパケット内で送信される実際のデータを分析します。

レイヤー7（アプリケーション層）ファイアウォールは、特定のアプリケーション、ドメイン、またはプロトコルを識別するためにパケットのペイロードを検査します。 例えば、レイヤー7ファイアウォールはSMBv1とSMBv3のトラフィックを区別したり、トラフィックを生成している特定のアプリケーション（例：Office 365）を識別したりできます。 より詳細なポリシー執行とローカルネットワークトラフィックの改善された制御が可能になります。 ただし、レイヤー7の検査には、アプリケーションデータを決定するために追加のパケットを分析する必要があり、レイヤー4処理よりも多くのSocketリソースが必要です。 これは、企業LANファイアウォールポリシーを計画する際、およびレイヤー7機能を有効にするサイトを決定する際に考慮する必要があります。

サイトをLayer 7 機能で有効にすると、ソケットはLANトランスポートを使用するように定義済みのトラフィック（下記のLANファイアウォールポリシーを参照）に対して、LANファイアウォールルールが設定されているか否かに関らず、トラフィックに対するパケットを詳細に検査します。 これにより、アプリケーション、アプリのリスク、およびカスタムアプリなどのフィールドを含む、サイトトラフィックのイベントにレイヤー7データが表示されます。

LANネットワークルールは、ネットワークホストやセグメント間でトラフィックをルーティングするために使用されるトランスポート（LANまたはWAN）を制御します。 これは特定のサイトではなく、アカウント全体に対して構成されたグローバルポリシーです。 したがって、各ルールをアカウント内の複数のサイトに適用するように構成できます。 例えば、同じVLANの構成を使用して複数のサイトを設定した場合、ルールに定義された各サイトのVLANに適用される単一のルールを作成できます。

LANネットワークルールは、レイヤー4のルーティング決定を行い、レイヤー7の機能は使用しません。 例えば、サイト、VLAN、または特定のプロトコルに対する条件でネットワークルールを定義できますが、アプリケーションに基づいて条件を設定することはできません。

LANネットワークルールは、その直下に複数のLANファイアウォールルールの親となることができます。 したがって、LANネットワークルールに一致するトラフィックであっても、LANファイアウォールルールに一致しない場合はブロックされます。 したがって、トラフィックがLANネットワークルールに一致しても、LANファイアウォールルールに一致しない場合はブロックされます。

LANファイアウォールルールは、特定の種類のトラフィックを許可またはブロックし、これらのイベントを追跡してモニタリングおよびコンプライアンス目的で記録します。 各LANファイアウォールルールは、特定の親LANネットワークルールに直接リンクされており、親ルールのソースと宛先のスコープに限定されています。 LANファイアウォールルールはデフォルトでレイヤー4までのセグメンテーションをサポートし、MACアドレスに基づくセグメンテーションを含みます。 さらに、レイヤー7機能が構成されたサイトについては、LANファイアウォールルールにはアプリケーション、ドメイン、その他のレイヤー7条件に基づくインテリジェントなトラフィックフィルタリングを含めることができます。

各LANネットワークルールの下に構成されたデフォルトのLANファイアウォールANY-ANYブロックルールがあります。 したがって、トラフィックがLANネットワークルールに一致するが、LANファイアウォールルールに一致しない場合、そのトラフィックはブロックされます。 この暗黙の動作は、明示的に許可されたトラフィックのみがローカルネットワークを通過できるようにすることで、オンプレミスのセグメンテーションに対して真のゼロトラストアプローチを強制します。

ヒット数は、使用されていないポリシーのルールを識別し、それを削除して必要なトラフィックスコープに合わせた設定を最適化するのに役立ちます。 ルールのヒット数は、ルールによって生成されるイベント数に基づいています。 ルールがイベントを生成しない場合、ヒット数はゼロになります。

ヒット数には二つの数字が含まれます：

これらの値は毎日24時間ごとに更新され、過去14日間のトラフィックに基づいています。

ステータスバーの色に基づいて、最も多くヒットされたルールと最小のヒットカウントをすぐに識別できます。 この色は、他のルールに対してどれくらい頻繁にルールがヒットされるかを示します：

ヒットカウンターのリセットと更新

ヒット数の値は自動的に毎日24時間ごとに更新され、過去14日間のトラフィックに基づいています。 各ルールの終端にある三つのドットから、最新の可視性のためにヒット数をリセットまたは更新できます。 これにより、ルールの効力を正確に測定し、ルールの活動を即座に検証できます。

• 特定のルールのヒットカウンターをリセットすると、ヒット数が0に戻ります。

• ヒットカウンターを更新すると、すべてのポリシールールのヒット数が要求に応じて更新されます。