Netscreen-25でのDMZ構成を設定しているのですが、
Netscreenのマニュアルをみてもよく分からず困っております。
ScreenOSは5.0.0r6.0です。
現在の構成は下記のようになっております。
(割振られてるIP : 210.111.222.0/28) IP16個です。
至インターネット
|
--------------------
| メディアコンバータ |
-------------------- 210.111.222.10(UntrustのMIPで設定)
| ↓
| 210.111.222.1 192.168.10.10
-------------------- 192.168.10.1 --------------------
| netscreen-25 |----- Swith ------| Webサーバ | DMZ領域
-------------------- --------------------
| 192.168.1.1
|
------ | ------
| PC |-- Switch --| PC | 社内LAN領域
------.20 .21------
UntrustのMIPの設定は、
Mapped IP 210.111.222.10
HostIP 192.168.10.10
VRouter trust-vr
としており、PoliciesにはHTTPをPermitする事で、
インターネット側からはWebサーバを参照することができます。
で、やりたい事は、
・社内LAN領域からWebサーバにローカルIP(192.168.10.10)でアクセスしたい
・逆にWebサーバから社内LAN領域にアクセスしたい
のですが、Policiesを設定しても何ともなりません。
何か設定すればできるのか、DMZというのはそういう事はできないのか
それすらも理解しておりません。
何かアドバイス、参考になるURL等ご存知の方
お返事頂けますと幸いです。宜しくお願いいたします。
No.1ベストアンサー
- 回答日時:
(1)社内LAN領域からWebサーバにローカルIP(192.168.10.10)でアクセスしたい
(2)逆にWebサーバから社内LAN領域にアクセスしたい
両方共、実現可能です。
Policiesの設定が上手く行って無いようです。
(1)は
Trust=>DMZでHTTPを許可するポリシーを1個
作れば良いです。
作業は
1)ADDRESSに
Webサーバ 192.168.10.10/32
TRUSTセグメント 192.168.1.0/24
の2つを定義して
2)ポリシーを作成する
NATモードではなくROUTEモードと思います
(2)については許可するプロトコルをまず
決定する必要があります。
ANY ANYでポリシーは空けてはだめです。
何かアドバイス、参考になるURL等ご存知の方
お返事頂けますと幸いです。宜しくお願いいたします。
=>購入した会社のサポートに電話して見ては
どうでしょうか?
この回答への補足
ご教示いただきありがとうございます。
いろいろ試したのですが、結果的に進展しておりません…。
>(1)社内LAN領域からWebサーバにローカルIP(192.168.10.10)でアクセスしたい
ご教示頂いた通りポリシーを作成してみたのですが、やはりアクセスできないようです。
>NATモードではなくROUTEモードと思います
モードとはポリシーの設定画面で決めれるものなのでしょうか?
それともInterfacesの画面の「Interface Mode」の事でしょうか?
>(2)逆にWebサーバから社内LAN領域にアクセスしたい
やはりこちらもダメみたいです。any anyで設定してもダメでした…
そもそもDMZ領域のWebサーバから外部にアクセスできていない事に気づきました。
DMZのWebサーバ(192.168.10.10)から、netscreen(192.168.10.1)へはPING通るのですが、
インターネット上へのサーバへはアクセスできておりません。
なお、DMZ->Untrustはany any Permitで設定しております。
DMZを使うにあたり、ルーティング等の設定も必要なのでしょうか?
何度もお手数をお掛けいたします。
解決しました!
DMZゾーンのVirtual Routerの設定がおかしかったようです。
なぜかUntrust-vrになっていました。
一旦DMZの情報削除して、VRを設定し、gonta-pqさんのとおりPolicyを
設定すればちゃんと動作しました。
ありがとうございました。
念のため下記に対応を記述しておきます。
---------------------------------
1.一旦DMZのInterface情報を削除
「IP Address」「Manage IP」を0.0.0.0に変更
2.Virtual Routerを変更
Network -> Zones よりゾーンネーム「DMZ」をEdit。
「Virtual Router Name」を「trust-vr」に変更。
3.DMZのInterfaceを設定し、Policiesを設定
---------------------------------
No.2
- 回答日時:
>NATモードではなくROUTEモードと思います
>Interfacesの画面の「Interface Mode」の事でしょうか?
その通りです。
ADRESSでDMZとTRUSTEDでWEBサーバーや内部の端末のアドレスを設定したほうがいいです。
set address dmz "WWWサーバ" 192.168.10.10 255.255.255.255 "WWWサーバ"
set address trust "運用管理端末" 192.168.1.20 255.255.255.255 "運用管理端末"
そのあとservice の Customg画面 New Groupで追加します。
set group service "HTTP & HTTPS & DNS" comment "HTTP & HTTPS & DNS"
set group service "HTTP & HTTPS & DNS" add "HTTP"
set group service "HTTP & HTTPS & DNS" add "HTTPS"
set group service "HTTP & HTTPS & DNS" add "DNS"
set group service "HTTP & HTTPS & DNS" add "NTP"
set group service "FTP & TELNET" comment "FTP & TELNET"
set group service "FTP & TELNET" add "FTP"
set group service "FTP & TELNET" add "NTP"
set group service "FTP & TELNET" add "TELNET"
それからpolicyの登録です。
外部からWEBサーバーへこれはMIPで指定です。
set policy id 1 name "ANY to WWWserver" incoming "Outside Any" "MIP(210.111.222.10)" "HTTP & HTTPS & DNS" Permit log
WEBサーバーから外部へこれはDMZのWEBサーバーアドレスでの指定です。MIPにしないで
set policy id 2 name "WWWserver to outside" fromdmz "WWWサーバ" "Outside Any" "HTTP & HTTPS & DNS" Permit log
内部のPCからWEBサーバーへ
set policy id 3 name "DMZ WWW" todmz "Inside Any" "WWWサーバ" "HTTP & HTTPS & DNS" Permit log
内部WEBサーバー管理端末からWEBサーバーへ
set policy id 4 name "端末 to DMZ" todmz "運用管理端末" "WWWサーバ" "FTP & TELNET" Permit log
WEBサーバーから内部へ ANY ANYの登録ですがこれは危険ですから通過サービスをきちんと決定したほうがいいです。
set policy id 5 name "DMZ to Inside" fromdmz "WWWサーバ" "Inside Any" "ANY" Permit log
最後にすべての方向のDenyを必ず記述してください。
これをしないとなんの為のファイやウォールかわからなくなります。
set policy id 25 name "DROP ALL" incoming "Outside Any" "Inside Any" "ANY" Deny log
set policy id 26 name "DROP" outgoing "Inside Any" "Outside Any" "ANY" Deny log
set policy id 27 name "DROP ALL FROM INSIDE" todmz "Inside Any" "DMZ Any" "ANY" Deny log
set policy id 28 name "DROP ALL FROM OUTSIDE" todmz "Outside Any" "DMZ Any" "ANY" Deny log
set policy id 29 name "DROP ALL TO INSIDE" fromdmz "DMZ Any" "Inside Any" "ANY" Deny log
set policy id 30 name "DROP ALL TO OUTSIDE" fromdmz "DMZ Any" "Outside Any" "ANY" Deny log
policyの id番号には注意してください。
Denyの設定番号は、通過のidより必ず大きい番号になるようにしてください。
そうしないと、Denyが優先されてしまいます。
サンプルなので、簡単ですがこんな感じでしょうか。
configの記述で書きましたが、WEB設定画面での項目は
類推してください。
inside → outside
outside → inside
dmz → outside
outside → dmz
dmz → inside
inside → dmz
この6つの方向のサービスの通過policyをマトリックスにして検討することが重要です。
がんばってくださいね。
ご教示ありがとうございます!
ほんの今さっき解決しました。DMZのInterface自体の設定が間違っておりました。
Policyについては今から設定しますので参考にさせて頂きます。
ありがとうございました。
お探しのQ&Aが見つからない時は、教えて!gooで質問しましょう!
似たような質問が見つかりました
- サーバー 別サーバに構築したApache+Tomcatの連携について 2 2023/03/06 23:23
- 固定IP Win11 アダプター設定変更にイーサネットが表示されない 1 2022/12/03 18:31
- サーバー メールサーバーについて詳しい方、メールサーバーの管理業務経験のある方、教えてください。 3 2022/11/12 18:24
- Wi-Fi・無線LAN NECルーターAtermのブリッジモード設定方法を教えてください iphoneで設定したいです。 ネ 4 2022/11/06 02:54
- サーバー 「自分のPCをWebサーバーにする事」とはについて 2 2023/03/20 17:47
- その他(OS) Windows11のファイル共有 1 2022/12/08 10:42
- VPN DNS「8.8.8.8」とは何なのでしょうか? 固定 IP アドレスで光回線の代わりに使えますか? 4 2022/10/17 16:30
- ASP・SaaS イントラネットを構築したい 2 2022/04/24 11:08
- 固定IP MACアドレスはLAN内で相手を特定するアドレスですか? PCから監視カメラを閲覧するときに、セグメ 3 2022/07/23 09:04
- Windows 10 インストールしたてのVirtualBoxの仮想マシンにDHCPで割り振られるIPアドレスにつきまして 1 2023/05/03 14:46
関連するカテゴリからQ&Aを探す
おすすめ情報
デイリーランキングこのカテゴリの人気デイリーQ&Aランキング
-
エクセルで最後の文字だけ置き...
-
SQL Left Join で重複を排除す...
-
sqlで、600行あるテーブルを100...
-
URL と行番号の指定
-
複数JOINしているとCOUNTが正し...
-
VIEWの元のテーブルのindexって...
-
エクセルの関数について教えて...
-
複数テーブルのGROUP BY の使い...
-
selectした大量データをinsert...
-
SQLサーバから、項目の属性(型...
-
副問合せの書き方について
-
inner joinをすると数がおかし...
-
insertを高速化させたい
-
MySQL5.1.14で空白を入れるとエ...
-
#1136 - Column count doesn't ...
-
SELECT句の指定フィールドに固...
-
フィールド名を変数で指定するには
-
Unionした最後にGROUP BYを追加...
-
MySQLのint型で001と表示する方...
-
テーブル名を省略して「h.id」...
マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング
-
エクセルで最後の文字だけ置き...
-
SQL Left Join で重複を排除す...
-
VIEWの元のテーブルのindexって...
-
SQLサーバから、項目の属性(型...
-
select文のwhere句に配列を入れ...
-
副問合せの書き方について
-
マイクラPC版のコマンドで効率...
-
Unionした最後にGROUP BYを追加...
-
selectした大量データをinsert...
-
SQLにて特定の文字を除いた検索...
-
[SQLServer] テーブル名からカ...
-
1テーブル&複数レコードの更新...
-
inner joinをすると数がおかし...
-
クエリ表示と、ADOで抽出したレ...
-
ある条件の最大値+1を初番する...
-
sqlで、600行あるテーブルを100...
-
複数テーブルのGROUP BY の使い...
-
insertを高速化させたい
-
PL/SQLの変数について
-
キー毎の、ある列のmaxのレコー...
おすすめ情報