分散ファイアウォールの追加

分散ファイアウォールは、仮想マシンですべての East-West トラフィックをモニターします。

このトピックの手順では、NSX 分散ファイアウォールまたは NSX 管理対象オブジェクトを含む特定のグループに適用されるファイアウォールポリシーを追加するワークフローについて説明します。

NSX-T Data Center 環境に Antrea コンテナが登録されている場合は、分散ファイアウォールポリシーを作成して、 Antrea コンテナクラスタに適用できます。詳細については、以下を参照してください。

注： NSX-T Data Center では、同じ分散ファイアウォールポリシーに、NSX 管理対象オブジェクトを使用して作成したルールと Antrea コンテナクラスタオブジェクトを使用して作成したルールを混在させることはできません。つまり、NSX 分散ファイアウォールに適用するファイアウォールルールと Antrea コンテナクラスタに適用するファイアウォールルールは、別々のポリシーに含める必要があります。

前提条件

NSX-T Data Center 3.2 より前で、DFW によって保護するには、仮想マシンの vNIC が NSX オーバーレイまたは VLAN セグメントに接続している必要があります。NSX-T Data Center 3.2 の分散ファイアウォールは、VDS 分散ポートグループ (DVPG) にネイティブに接続されたワークロードを保護します。詳細については、vSphere Distributed Switch の分散セキュリティを参照してください。

Identity Firewall ルールを作成する場合はまず、Active Directory のメンバーを持つグループを作成します。IDFW でサポートされているプロトコルを表示するには、 Identity Firewall でサポートされる構成を参照してください。ゲストイントロスペクションを使用して DFW ルールを作成する場合は、宛先グループに [適用先] フィールドが適用されていることを確認します。

注： Identity Firewall ルールを適用する場合、Active Directory を使用するすべての仮想マシンで Windows Time サービスを [有効] にする必要があります。これにより、Active Directory と仮想マシン間で日付と時刻が同期されるようになります。ユーザーの有効化や削除などの Active Directory グループメンバーシップの変更は、ログインしているユーザーにすぐに反映されません。ユーザーに変更を反映させるには、ログオフして再度ログインする必要があります。グループメンバーシップが変更されたときに、Active Directory 管理者がログアウトを強制的に実行することをおすすめします。これは、Active Directory の制限が原因で発生しています。

レイヤー 7 と ICMP の組み合わせ、または他のプロトコルを使用している場合は、レイヤー 7 ファイアウォールルールを最後に設定する必要があります。レイヤー 7 any/any ルールの後にあるルールは実行されません。

分散ファイアウォールポリシーとルールの作成に関するフェデレーション固有の詳細については、グローバルマネージャからの DFW ポリシーとルールの作成を参照してください。

手順

管理者権限で NSX Manager にログインします。
ナビゲーションパネルから [セキュリティ] > [分散ファイアウォール] の順に選択します。
正しい事前定義済みカテゴリであることを確認し、[ポリシーの追加] をクリックします。
カテゴリの詳細については、分散ファイアウォールを参照してください。
[名前] に、新しいポリシーセクションを入力します。
（オプション） [適用先] で、選択したグループにポリシー内のルールを適用します。デフォルトで、ポリシーの [適用先] フィールドは分散ファイアウォールに設定されており、ポリシールールはすべてのワークロードに適用されます。デフォルトを変更するときに、ポリシーとポリシー内のルールの [適用先] がグループに設定されている場合、ポリシーレベルの [適用先] は、ルールレベルの [適用先] よりも優先されます。

注： IP アドレス、MAC アドレス、または Active Directory グループのみで構成されるグループは、 [適用先] テキストボックスで使用できません。

[適用先] はポリシーあたりの適用範囲を定義します。また、ESXi および KVM ホストのリソースの最適化に主に使用されます。特定のゾーン、テナント、またはアプリケーションのターゲットとなるポリシーを定義するのに役立ち、その他のアプリケーション、テナント、およびゾーンに定義されている他のポリシーに干渉することもありません。

（オプション） 次のポリシーを構成するには、歯車アイコンをクリックします。


オプション	説明
TCP Strict	3 ウェイハンドシェイク（SYN、SYN ACK、ACK）で TCP 接続が開始し、通常、2 方向の交換（FIN、ACK）で接続が終了します。特定の状況では、分散ファイアウォール（DFW）に特定のフローの 3 ウェイハンドシェイクが検証されない場合があります（トラフィックが非対称であったり、フローの存在中に分散ファイアウォールが有効になっている場合など）。デフォルトでは、分散ファイアウォールは 3 ウェイハンドシェイクを検証する必要がないため、すでに確立されているセッションをピックアップします。TCP Strict をセクションごとに有効にして、中間セッションのピックアップをオフにし、3 ウェイハンドシェイクの要件を適用できます。特定の DFW ポリシーで TCP Strict モードを有効にし、デフォルトの ANY-ANY Block ルールを使用すると、3 ウェイハンドシェイクの接続要件を満たしていないパケットと、このセクションの TCP ベースのルールに一致するパケットはドロップします。Strict はステートフル TCP ルールにのみ適用され、分散ファイアウォールポリシーレベルで有効になります。TCP Strict は、TCP サービスが指定されていないデフォルトの ANY-ANY Allow と一致するパケットには適用されません。
ステートフル	ステートフルファイアウォールは、アクティブな接続の状態をモニターし、この情報を使用してファイアウォールの通過を許可するパケットを決定します。
ロック済み	複数のユーザーが同じセクションを編集できないように、ポリシーをロックできます。セクションをロックする場合は、コメントを含める必要があります。エンタープライズ管理者などの一部のロールにはフルアクセスの認証情報があるため、ロックアウトできません。ロールベースのアクセスコントロールを参照してください。

[公開] をクリックします。複数のポリシーを追加し、まとめて一度に公開できます。
新しいポリシーは画面に表示されます。
ポリシーセクションを選択して [ルールを追加] をクリックし、ルール名を入力します。
[送信元] 列で、編集アイコンをクリックし、ルールのソースを選択します。Active Directory のメンバーを持つグループは、IDFW ルールの [送信元] テキストボックスで使用できます。
詳細についてはグループの追加を参照してください。
IPv4、IPv6、マルチキャストアドレスがサポートされています。

注：IPv6 ファイアウォールでは、接続されたセグメントで IPv6 に対して IP 検出を有効にする必要があります。詳細については、IP アドレス検出セグメントプロファイルの理解を参照してください。
[宛先] 列で、編集アイコンをクリックし、ルールの宛先を選択します。定義しない場合、宛先はすべてに一致します。
詳細についてはグループの追加を参照してください。
IPv4、IPv6、マルチキャストアドレスがサポートされています。
[サービス] 列で編集アイコンをクリックし、サービスを選択します。サービスを定義しない場合は、[すべて] と一致します。詳細については、サービスの追加を参照してください。
イーサネットカテゴリにルールを追加する場合、[プロファイル] 列は使用できません。他のルールカテゴリの場合は、[プロファイル] 列で編集アイコンをクリックしてコンテキストプロファイルを選択するか、[新しいコンテキストプロファイルの追加] をクリックします。詳細については、コンテキストプロファイルを参照してください。

コンテキストプロファイルは、アプリケーション ID とドメイン名 (FQDN) の属性タイプを含むプロファイルの分散ファイアウォールルールでの使用をサポートしています。サービスが [任意] に設定されている分散ファイアウォールルールでは、アプリケーション ID またはドメイン名 (FQDN) の属性タイプを含む複数のコンテキストプロファイルを使用できます。

IDS ルールを作成する場合、コンテキストプロファイルはサポートされていません。
[適用] をクリックして、ルールにコンテキストプロファイルを適用します。
[適用先] で、選択したグループにルールを適用します。ゲストイントロスペクションを使用して DFW ルールを作成する場合は、宛先グループに [適用先] フィールドが適用されていることを確認します。デフォルトで、[適用先] の列は分散ファイアウォールに設定されており、ルールはすべてのワークロードに適用されます。デフォルトを変更するときに、ポリシーとポリシー内のルールの [適用先] が [グループ] に設定されている場合、ポリシーレベルの [適用先] は、ルールレベルの [適用先] よりも優先されます。

注： IP アドレス、MAC アドレス、または Active Directory グループのみで構成されるグループは、 [適用先] テキストボックスで使用できません。

[アクション] 列で、アクションを選択します。

オプション	説明
許可	指定されたソース、ターゲット、およびプロトコルを持つすべての L3 または L2 トラフィックが現在のファイアウォールコンテキストを通過することを許可します。ルールに一致し、承認されたパケットは、ファイアウォールが存在しないかのようにシステム内を移動します。
ドロップ	指定されたソース、ターゲット、およびプロトコルを持つパケットをドロップします。パケットのドロップは情報が表示されず、送信元のシステムまたは宛先のシステムへの通知なしで実行されます。パケットをドロップすると、再試行のしきい値に到達するまで、接続が再試行されます。
却下	指定されたソース、ターゲット、およびプロトコルを持つパケットを却下します。パケットの却下は、送信者に対して宛先に到達できないというメッセージを送信するので、パケットを拒否する方法としてはより適切です。プロトコルが TCP の場合、TCP RST メッセージが送信されます。UDP、ICMP およびその他の IP 接続では、管理上禁止されたコードが含まれる ICMP メッセージが送信されます。[却下] を使用するメリットの 1 つは、一度接続を試行するのみで、接続を確立できないことが、送信側のアプリケーションに通知されることです。
アプリケーションにジャンプ	注：このアクションは、環境カテゴリでのみ使用できます。アプリケーションカテゴリルールを適用するために、環境カテゴリルールに一致するトラフィックを続行できるようにします。このアクションは、環境カテゴリルールと一致したトラフィックを終了し、アプリケーションカテゴリルールを適用する場合に使用します。たとえば、環境カテゴリルールで特定の送信元に許可アクションが設定され、アプリケーションカテゴリルールで同じ送信元にドロップアクションが設定されているとします。この場合、環境カテゴリに一致するパケットは許可されてファイアウォールを通過し、それ以降のルールは適用されなくなります。[アプリケーションにジャンプ] アクションを選択した場合、環境カテゴリルールと一致したパケットはアプリケーションカテゴリルールと照合され、結果としてドロップされます。

状態の切り替えボタンをクリックし、ルールを有効または無効にします。

歯車アイコンをクリックし、次のルールのオプションを構成します。

オプション	説明
ログの記録	ログの記録はデフォルトで無効になっています。ログは ESXi および KVM ホストの /var/log/dfwpktlogs.log ファイルに保存されます。
方向	このフィールドは、ゲートウェイのアップリンクインターフェイスまたはサービスインターフェイスから見たトラフィックの方向を示します。受信はアップリンクインターフェイスまたはサービスインターフェイスから入ってくるトラフィックのみ、送信はアップリンクインターフェイスまたはサービスインターフェイスから出ていくトラフィックのみ、受信/送信は両方のトラフィックがチェックされることを意味します。
IP プロトコル	IPv4、IPv6、または IPv4 と IPv6 の両方に基づくルールを適用します。
ログラベル	ログを有効にすると、ログラベルがファイアウォールログに記録されます。長いラベルを入力することもできますが、サポートされるのは、生成されたログの最初の 31 文字のみです。

[公開] をクリックします。複数のルールを追加し、まとめて一度に公開できます。
データパスの認識状態とトランスポートノードの詳細がポリシーテーブルの右側に表示されます。