例：コンテキストアウェアファイアウォールルールの作成

レイヤー 7 サービスオブジェクトを定義することで、コンテキストアウェアまたはアプリケーションベースのファイアウォールルールを設定できます。レイヤー 7 コンテキストアウェアファイアウォールルールは、パケットの内容をインテリジェントに検査します。

この例では、APP_HTTP サービスオブジェクトを使用するレイヤー 7 ファイアウォールルールの作成方法について説明します。このファイアウォールルールでは、仮想マシンから任意の宛先への HTTP 要求を許可します。ファイアウォールルールを作成したら、このファイアウォールルールを渡す送信元の仮想マシンで HTTP セッションを開始し、送信元の仮想マシンの特定の vNIC でフロー監視をオンにします。このファイアウォールルールは、HTTP アプリケーションコンテキストを検出し、送信元の仮想マシンにルールを適用します。

前提条件

次の NSX ロールを持つアカウントを使用して、 vSphere Web Client にログインする必要があります。

セキュリティ管理者
NSX 管理者
セキュリティエンジニア
エンタープライズ管理者

注： NSX Data Center for vSphere 6.4 以降がインストールされていることを確認します。

手順

vSphere Web Client で、[ネットワークとセキュリティ (Networking & Security)] > [セキュリティ (Security)] > [ファイアウォール (Firewall)] の順に移動します。
（オプション） ファイアウォールルールセクションを追加して、コンテキストアウェアファイアウォールルールをグループ化します。
[ルールの追加 (Add Rule)] をクリックします。
コンテキストアウェアファイアウォールルールを作成します。
1. このルールを識別できるように、ルール名を入力します。たとえば、L7_Rule_HTTP_Service と入力します。
2. [送信元] 列をクリックして、[編集 (Edit)]（）アイコンをクリックします。
  [送信元の指定] ページが開きます。
3. [オブジェクトタイプ (Object Type)] ドロップダウンメニューから、[仮想マシン (Virtual Machine)] を選択します。
4. [使用可能なオブジェクト (Available Objects)] リストから仮想マシンを選択します。このオブジェクトを [選択したオブジェクト (Selected Objects)] リストに移動し、[保存 (Save)] をクリックします。
5. [宛先] 列で、デフォルト値（「任意」）を使用します。
6. [サービス] 列で、[編集 (Edit)]（）アイコンをクリックします。
  [サービスの指定] ページが開きます。
7. [オブジェクトタイプ (Object Type)] ドロップダウンメニューから、[サービス (Services)] を選択します。
8. [使用可能なオブジェクト (Available Objects)] リストから [App_HTTP] サービスを選択します。このサービスを [選択したオブジェクト (Selected Objects)] リストに移動し、[保存 (Save)] をクリックします。
9. ファイアウォールルールが有効で、ルールアクションが [許可 (Allow)] に設定されていることを確認します。
10. [発行 (Publish)] をクリックして、ファイアウォールルールの設定を発行します。
次の図に、作成したファイアウォールルールを示します。

図 1. コンテキストアウェアファイアウォールルールの定義
送信元の仮想マシンのコンソールにログインして wget Linux コマンドを実行し、HTTP 経由で Web からファイルをダウンロードします。
送信元の仮想マシンの vNIC でライブフローの監視をオンにし、送信元の仮想マシンのトラフィックフローを監視します。
1. [ツール (Tools)] > [フローモニタリング (Flow Monitoring)] の順に移動します。
2. 送信元の仮想マシンの特定の vNIC を選択します。たとえば、l2vpn-client-vm-Network adapter 1 を選択します。
3. [開始 (Start)] をクリックして、フロー監視データを表示します。
次の図のフロー監視データは、ファイアウォールルールがアプリケーション (HTTP) コンテキストを検出したことを表しています。ルール 1005 が送信元の仮想マシン (10.161.117.238) に適用され、トラフィックの宛先の IP アドレス 151.101.129.67 と 151.101.53.67 になっています。

図 2. 送信元の仮想マシンのトラフィックフロー
[ファイアウォール] ページに戻り、ルールアクションを [ブロック (Block)] に変更します。
送信元の仮想マシンのコンソールに移動して、再度 wget コマンドを実行します。
送信元の仮想マシンで HTTP 要求がブロックされていることを確認します。仮想マシンコンソールに、次のようなエラーが表示されます。
```
HTTP request sent, awaiting response ... Read error (Connection reset by peer) in headers
Retrying.
```
次の図は、アプリケーション (HTTP) コンテキストのフローが検出され、送信元の仮想マシン (10.161.117.238) の vNIC でブロックされたことを示しています。

図 3. 送信元の仮想マシンのトラフィックフロー

次のタスク

コンテキストアウェアファイアウォールルールを使用する場合の他のシナリオについては、コンテキストアウェアファイアウォールのシナリオを参照してください。