Endian UTMを初めて触ると、『ネットワークの設定』で??となると思うので、このネットワークモードの設定について簡単に書いてみます。
日本語版だとルーティング・ブリッジ・アップリンクなしの3種類のモードを最初に選ぶ事になります。
※英語版では Routed・Bridged・No uplink と表記されます。

　ルーティング（ルータモード）

これは Endian UTM の基本モードで、一般的なルータ（ファイアーウォール）と同じです。つまり、ネットワーク境界（WAN側とLAN側の境目）に設置し、各種フィルタ・IPマスカレード（NAPT）や、IPS（侵入検知）、各種プロキシ、コンテンツフィルターといった、いわゆる UTM (Unified Threat Management：統合脅威管理) としての機能が全て使えます。
※既存のネットワークに導入するには、すでにあるルータ（ファイアーウォール）と入替える事になります。

基本的な接続方法は、左図にあるようにWAN側とLAN側の2本足となりますが、公開サーバを設置するゾーン（DMZ）や、VPN接続されてきたモバイルクライアントや、WiFi 専用のゾーンといったエンタープライズ環境で必要なゾーンも追加で設定できます。

また、WAN側への接続は複数経路をサポートしています。主経路がダウンした場合には、自動的にバックアップ経路（回線）へ切り替わります。

 

　ブリッジ/アップリンクなし

この ブリッジとアップリンクなし モードは、Endian UTM の大きな特徴の一つです。

これら2つのモードは、透過モードとも呼ばれ、既存のネットワークを変更する事無く Endian UTM を設置することができ、柔軟に運用が可能ですが、透過モードというのがどのように動作しているかを理解していないと、思わぬトラブルを招く事があるので注意が必要です。

ブリッジモードでは、ファイアーウォール機能が限定的ですが使えます。

ファイアーウォールというよりL2レベルでのフィルタ機能と言った方が良いかと思いまが、このブリッジモードでは送信ファイアーウォールというフィルタを使う事ができます。デフォルトでは、送信ファイアーウォール設定はON、内容は以下の通りです。
※メールサーバへ接続するサブミッションポート（TCP/587）を追加しておくと良いかも？

ここで GREEN と RED という新しい用語が出てきましたが、GREEN は LAN側、RED は WAN側と直感的に理解出来ます。
しかしルータモードであれば GREEN と RED は明らかにわかりますが、ブリッジモードではどのように判定しているのでしょうか？

ネットワークの設定からスタートするネットワーク設定ウィザードで、ブリッジを選択して進めていくと、ステップ4にインターネットアクセスの設定という画面が出来てきます。ここで Outgoling Interface を、複数あるイーサポートのどれか（画面の例では LAN4：eth3 ）に割り当てます。ここで特定のポートを RED として指定することで、L2 においても流れるトラフィックの方向がわかるようになります。

このような設定を行うので、RED として設定した Endian UTM のイーサポートと、既存のルータ（ファイアーウォール）の LAN側のポートを物理的に結線することになります。
※この例では、Endian UTM のイーサポートの1～3までは単純なブリッジポートなので、全て LAN側に属します。

GREEN → RED（アウトバウンド）に対するフィルタは指定できますが、逆方向の RED → GREEN（インバウンド）のフィルタは設定出来ない事に注意してください。

また、L2 で動作しているのでポートフォワーディングとか NAPT といった L3 で動作するフィルタはもちろん書く事はできません。このフィルタは、LAN内のクライアントが『外部にある決められたサービスにしかアクセスできないようにする』という目的で利用するようです。
※個人的には、MACアドレスを指定したフィルタを書けるのは興味深かったです。

アップリンクなしには、上記のような特定ポートを RED として設定する項目はありません。また、純粋なブリッジなので、ファイアーウォールの機能も動作しません。ただし、上記のブリッジモードにしておいて送信ファイアーウォール設定を OFF にすれば実質アップリンクなしと同等になります。一本足にしてLAN側に接続し、単なるプロキシ（非透過モード）として利用するのであればこのモードで充分です。

クライアントPCにおいてプロキシを自動で設定したい場合には、Endian UTM を DNSサーバとして指定する事で WPAD の設定が自動的に行われます。デフォルトの設定では単なるキャッシュサーバですが、DNSプロキシというちょっと変わった機能もあるので、いろいろ検証してみたいと思っています。

投稿タグ