セキュリティポリシーの設定

このセクションでは、Roleの識別、セキュリティーゾーンとネットワークセグメントの設定について説明します。各セグメンテーション手法の組み合わせにより、柔軟なセグメンテーションが可能になります。

他の設定を行う前に、まずRoleを特定する必要があります。次の役割は、アクセスポイント、スイッチ、およびSD-WANゲートウェイで使用されます。

セキュリティゾーンの構成

次のセクションでは、ゾーン間のトラフィックの流れを許可するトラフィックのタイプと方向を定義するセキュリティゾーンを設定する方法を示します。

Step 1 左上のConfigurationタブを選択します。

Step 2 Overlay & Security列でFirewall Zonesを選択します。

Step 3 入力ボックスでAdd Zoneをクリックし、LANと入力します。

Step 4 入力ボックスでAdd Zoneをクリックし、WANと入力します。

Step 5 入力ボックスでAdd Zoneをクリックし、IOTと入力します。

Step 6 Saveをクリックします。

ネットワークセグメントの構成

ネットワークセグメントは完全に分離されており、既定では同じセグメント間のルーティングのみが許可されます。ネットワークセグメントは、GuestおよびQuarantineトラフィックをセグメント化するために使用されます。

Step 1 左上のConfigurationタブを選択します。

Step 2 Networking列でRouting Segmentation (VRF)を選択します。

Step 3 + Add Segmentをクリックし、Guestと入力します。

Step 4 + Add Segmentをクリックし、Quarantineと入力します。

セグメントポリシーの構成

オーバーレイブレイクアウトポリシーは、ゲストおよび検疫デバイスが優先度の高いBIOを使用するのを制限するために使用されます。

Step 1 Routing Segmentation（VRF）を開きます。

Step 2 Overlay & Breakout Polices 列に移動します。

Step 3 任意のセグメントに対してAddをクリックします。

Step 4 セグメントquarantineおよび、セグメントguestをincludeボタンになるようクリックします。

ファイアウォールゾーンポリシーの構成

このガイドの次のセクションでは、ファイアウォールゾーンポリシー規則の構成方法を示します。このプロセスは、各セグメントのファイアウォールゾーンポリシーの構成に使用されます。

デフォルトセグメントの構成

次の手順に従って、次の表が構成されます。

Step 1 [Firewall Zone Policy]列で、+Addをクリックします。

Step 2 Defaultから　To WANのボックスをクリックします。

Step 3 Add Ruleをクリックします。

Step 4 追加されるMatch Everythingルールを削除します。

Step 5 Action列に移動し、DenyをAllowに変更します。

Step 6 Okをクリックします

Step 7 手順1 ～ 6を繰り返して、次の表を使用して残りの許可ポリシーをすべて構成します。

Step 8 LANから to IOTボックスを選択します

Step 9 Add Ruleをクリックします。

Step 10 Match Criteria列を選択します。

Step 11 User Roleボックスをチェックし、 SRC:Destボックスをチェックします。

Step 12 Source roleにEMPLOYEE、DestinationにTHERMOSTATと入力します。

Step 13 “OK”をクリックします。

Step 14 IOT to LANボックスのルールセットを逆にして繰り返します。

Step 15 Saveをクリックします。

Step 16 （オプション）コメントを入力し、 Saveをクリックします。

17.右上のXを打ちます。

アドレスグループの構成

Step 1 Templates & Polices列のConfigurationをクリックし、 Address Groupsをクリックします。

Step 2 Address Groupsページで、Add Groupeをクリックします。

Step 3 次のように入力します。

• Name :RFC1918
• IP Space: 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16

Step 4 Addをクリックします。

Step 5 Address Groupsページで、Add Groupeをクリックします。

Step 6 次のように入力します。

• Name:DHCP_DNS
• IP Space: 10.2.120.99、10.2.120.98

Step 7 Addをクリックします。

Step 8 Address Groupsページで、Add Groupeをクリックします。

Step 9 次のように入力します。

• Name: Clearpass
• IP Space: 10.2.120.94、10.2.120.95

Step 10 Addをクリックします。

検疫セグメントのファイアウォールポリシーの構成

検疫セグメントは、WAN経由でWANおよびHoneyPotサービスにアクセスできる必要があります。次のセクションでは、セグメント間のセキュリティポリシーを構成する方法を示します。

Step 1 Firewall Zone Policy列で、+Addをクリックします。

Step 2 DefaultからTo WANのボックスをクリックします。

Step 3 Add Ruleをクリックします。

Step 4 追加されるMatch Everythingルールを削除します。

Step 5 Action列に移動し、DenyをAllowに変更します。

Step 6 Okをクリックします。

ゲストセグメントのファイアウォールポリシーの構成

ゲストセグメントは、内部DNS、DHCP、およびClearPassサーバと通信する必要があります。ここでは、ゲストネットワークがこれらのサービスにアクセスできるようにセグメント間セキュリティポリシーを設定する方法を示します。

Step 1 Firewall Zone Policy列で、+Addをクリックします。

Step 2 DefaultからTo WANのボックスをクリックします。

Step 3 Add Ruleをクリックします。

Step 4 追加されるMatch Everythingルールを削除します。

Step 5 Action列に移動し、DenyをAllowに変更します。

Step 6 Okをクリックします。

セグメント間ルーティングとDNATの構成

前のセクションでは、セグメント間のセキュリティポリシーを構成しました。ただし、ファイアウォールポリシーだけではセグメント間の通信は許可されず、セグメント内のセキュリティを強化するためだけに使用されます。

完全なセグメント間通信を許可するには、Inter-segment Routing and DNATを設定する必要があります。

各セグメントは、各セグメントを行き来する適切なサブネットで構成されます。 セグメント間ルーティングを設定するには、次の手順を実行します。

Step 1 Routing Segmentation (VRF)ページに移動します。 Default Segment行とInter-Segment Routing & DNAT列で、 +Addをクリックします。

Step 2 右上のAdd Ruleボタンをクリックします。

Step 3 Match条件を10.14.52.0/24のように入力します。

Step 4 Send to Segmentを: Guestに設定します

Step 5 コメントに次のように入力します。 BOIBR-GUEST

Step 6 次の表に示す項目について、各入力のスワップ手順2 ～ 5を繰り返します。

Step 7 Saveをクリックします。

Step 8 Inter-Segment Routing & DNAT列のQuarantineセグメント行でAddをクリックします。

Step 9 右上のAdd Ruleボタンをクリックします。次の表を使用して、ルールを構成します。

Step 10 次の表を使用して、guestセグメントに対して手順8から9を繰り返します。

---