データ シートCisco Catalyst 6500 シリーズおよび Cisco 7600 シリーズ用ファイアウォール サービス モジュール
図 1 Cisco Catalyst 6500 シリーズおよび Cisco 7600 シリーズ用ファイアウォール サービス モジュール Cisco® Catalyst® 6500 シリーズ スイッチおよび Cisco 7600 シリーズ ルータ用ファイアウォール サービス モジュール（FWSM）は、アプリケーションおよびプロトコル用のインスペクション エンジンを搭載した、高性能な統合型ステートフル インスペクション ファイアウォールです。このモジュールは、5.5 Gbps のスループット、毎秒 100,000 の接続処理、および 100 万の同時接続を実現します。また、1 台のシャーシに最大 4 つの FWSM を搭載することにより、シャーシあたり最大 20 Gbps まで拡張できます。Cisco PIX®/ASA ファミリ セキュリティ アプライアンスの拡張機能である FWSM は、大企業やサービス プロバイダーに、高度なセキュリティ、パフォーマンス、および信頼性を提供します。 FWSM は Cisco PIX/ASA セキュリティ アプライアンスのテクノロジーに基づいており、セキュリティ ホールや、パフォーマンス低下の原因となるオーバーヘッドを防ぐ、強固な組み込みシステムです。Cisco FWSM は、すべてのネットワーク通信の状態を追跡し、不正なネットワーク アクセスを防ぎます。また、VoIP（Voice over IP）、マルチメディア、インスタント メッセージング、ピアツーピア アプリケーションに対する最先端の保護を含む、レイヤ 4 ～ 7 のネットワーク フローを調べるインテリジェントなアプリケーション対応インスペクション エンジンにより、強力なアプリケーション レイヤでのセキュリティを提供します。 柔軟な管理オプションCisco FWSM は、Cisco FWSM Software v2.3 以下用の統合型 Cisco PIX Device Manager（PDM）、または Cisco FWSM Software v3.1 以上用の Cisco Adaptive Security Device Manager（ASDM）によって管理され、1 つの FWSM のデバイスおよびポリシーの設定、モニタリング、およびトラブルシューティングを行うことができます。Cisco PDM は、Cisco Catalyst スイッチやその他のサービス モジュールのデバイス プロビジョニングを行うことができる CiscoWorks CVDM（CiscoView Device Manager）から起動できます。Cisco FWSM は、CiscoWorks VMS（VPN/Security Management Solution）、Cisco Security Manager、CS-MARS（Cisco Security Monitoring, Analysis, and Response System）など、中央集中型のスケーラブルなマルチデバイス ポリシーベース管理ツールを利用して管理することもできます。これらの中央集中型管理ツールでは、他のセキュリティ デバイスと共に FWSM をネットワーク全体で一貫して管理できるため、大規模なセキュリティ機能の導入を迅速に進めることができます。 セキュリティ サービスの統合Cisco FWSM は、IDSM-2（Intrusion Detection Services Module）、IPSec SPA（IPSec VPN Shared Port Adapter）、ADM（Traffic Anomaly Detection Module）、AGM（Anomaly Guard Module）、NAM-1 および NAM-2（Network Analysis Module）など、他のシスコ セキュリティ サービス モジュールと組み合わせることができます。これらのサービス モジュールを一緒に使うことで、完全な自己防衛型ネットワーク ソリューションを実現できます。サービス モジュールが単一のシャーシに統合されると、ネットワーク管理者にとって操作とサポートが容易になります。また、ロールベースのリモート アクセス コントロールによって IT マネージャのコラボレーションが容易になります。 このモジュール方式により、既存のスイッチングおよびルーティング インフラストラクチャを利用できるので、費用効果の高い導入を実現できます。またその一方で、業界で最高レベルのパフォーマンスと、マルチレイヤ LAN/WAN スイッチングおよびルーティング機能とともに安全な IP サービスを提供できます。 FWSM の利点統合モジュールによるセキュリティの強化と所有コストの削減Cisco FWSM は、社内ネットワークの境界部分を脅威から守るほか、Cisco Catalyst 6500 シリーズ スイッチや Cisco 7600 シリーズ ルータ内に搭載することで、トラフィック フローを検査し、社内ネットワーク内の不正ユーザが特定のサブネット、ワークグループ、または LAN にアクセスするのを防ぐこともできます。このインテリジェントなネットワーク統合により、FWSM は、投資保護効果の強化と総所有コストの削減を実現し、電力とラック スペースのコストが高い場合には、設置面積の削減にも貢献します。スイッチ上の物理ポートは、ファイアウォール ポリシーと保護を適用して動作するように設定できるため、追加の設定やケーブル接続を行わなくても簡単に導入でき、ネットワーク インフラストラクチャ内にファイアウォール セキュリティを提供します。FWSM は、他の Cisco Catalyst 6500 シリーズおよび Cisco 7600 シリーズ セキュリティ サービス モジュールとともに導入でき、安全なマルチレイヤの階層防御式 IP サービス ソリューションを実現します。 将来を見据えた高性能、高い拡張性、および低遅延FWSM は、高性能かつ汎用的な CPU の柔軟性も持つ高速のネットワーク プロセッサを基盤としています。Cisco FWSM は、毎秒 100,000 の接続処理、5.5 Gbps のスループット、およびサービス モジュールあたり 100 万の同時接続を実現する、業界最高レベルのパフォーマンスを提供します。この高度なパフォーマンスにより、企業はシステムをオーバーホールしなくても、将来的な要件を満たすことができます。スタティック VLAN 設定または Catalyst 6500 IOS Policy-based Routing（PBR; ポリシーベース ルーティング）を使用して複数の FWSM をクラスタ化し、FWSM にトラフィックを転送させることができます。最大 4 つの FWSM を同じシャーシ内に搭載して、合計 20 Gbps のスループットを実現できます。1 つの FWSM は最大 1000 の仮想インターフェイス（コンテキストあたり 256）をサポートし、1 台のシャーシは最大 4000 の VLAN まで拡張できます。また、Catalyst 6500 シャーシで 2 つの Cisco Application Control Engine（ACE）を使用して 3 つの FWSM 間でロード バランスを行い、15 Gbps のファイアウォール スループット、毎秒 150,000 以上の接続、200 万の同時接続をサポートできます。 ファイアウォールによる完全な保護がスイッチ バックプレーン全体に適用され、遅延を最小限（小さいフレームの場合 30 マイクロ秒）に抑えます。これは、金融市場データや Voice over IP（VoIP）といった遅延の影響を受けやすいアプリケーションを保護するうえで重要です。 サービスの仮想化によるコスト削減と管理の複雑性の軽減Cisco FWSM が提供するサービスの仮想化により、サービス プロバイダーと大企業は、同じ物理インフラストラクチャ上に、複数の Demilitarized Zone（DMZ; 非武装地帯）といった、個々のお客様または機能分野に対応した個別のポリシーを実装できます。仮想化により、複数のデバイスを管理するためのコストと複雑性が軽減され、加入者が増加しても、セキュリティ コンテキストの追加や削除を簡単に行うことができます。Cisco FWSM Software v3.1 以上では、1 つの FWSM を最大 250 個の仮想ファイアウォール（セキュリティ コンテキスト）に分割できます。FWSM の仮想化では、トランスペアレント モード（レイヤ 2）とルーテッド モード（レイヤ 3）がサポートされます。FWSM の仮想化には、Network Address Translation（NAT; ネットワーク アドレス変換）、Access Control List（ACL; アクセス コントロール リスト）、インスペクション エンジン、Simple Network Management Protocol（SNMP; 簡易ネットワーク管理プロトコル）、Syslog、Dynamic Host Control Protocol（DHCP）などが含まれ、すべてのポリシー、モニタリング、およびロギングがサポートされます。 FWSM のリソース管理機能を使用すると、各セキュリティ コンテキストに割り当てられるリソース使用率をいつでも制限できるので、ハイ アベイラビリティを実現できます。これにより、特定のコンテキストがすべてのリソースを使用して、他のコンテキストがリソースにアクセスできないような状況を防ぐことができます。このようなリソースには、さまざまな接続、ローカル ホスト、NAT、ACL、帯域幅、インスペクション レート、Syslog レートなどがあります。ロールベースの管理により、複数の IT 管理者がネットワーク レイヤとアプリケーション レイヤのセキュリティ ポリシーを設定して管理できます。FWSM をインターネット エッジで使用する場合、VRF（Virtual Routing and Forwarding）インスタンスに仮想ファイアウォールをマッピングするよう設定して、キャンパス ネットワークでの完全なトラフィック分離とセキュリティを実現できます。デフォルトの FWSM ソフトウェアを使用する場合、最大 2 つのセキュリティ コンテキストと追加の特別な管理コンテキストが提供されます。さらに多くのセキュリティ コンテキストを使用する場合は、別途ライセンスを購入する必要があります。 トランスペアレント（レイヤ 2）ファイアウォールによる容易な導入トランスペアレント ファイアウォール機能を使用すると、FWSM はレイヤ 2 ブリッジング ファイアウォールとして機能するように設定されるので、ネットワーク トポロジへの変更が最小限で済みます。また、設定および配置に要する時間が短縮されます。管理インターフェイス以外に IP アドレスはないので、トランスペアレント ファイアウォールではサブネットの作成や設定更新の必要はありません。トランスペアレント ファイアウォール機能により、ホストを保護するデータセンターでの展開が大幅に簡素化されます。トランスペアレント ファイアウォールは、レイヤ 3 を変更せずに既存のネットワークにも適合し、ルータからのレイヤ 3 トラフィックを透過的に通過させるため、Hot Standby Router Protocol（HSRP; ホット スタンバイ ルータ プロトコル）、Virtual Router Redundancy Protocol（VRRP; 仮想ルータ冗長プロトコル）、Gateway Load Balancing Protocol（GLBP）、マルチキャストなどの IP サービス、および Internetwork Packet Exchange（IPX）、Multiprotocol Label Switching（MPLS; マルチプロトコル ラベル スイッチング）、Bridge Protocol Data Unit（BPDU; ブリッジ プロトコル データ ユニット）などの非 IP トラフィックと相互運用が可能です。トランスペアレント ファイアウォールは、複数の仮想ファイアウォールでもサポートされます。Cisco FWSM Software v3.1 では、トランスペアレント ファイアウォールとルーテッド ファイアウォールの両方を同じ FWSM に実装することもできるため、より柔軟なネットワーク展開が可能です。Cisco FWSM Software v3.2 では、NAT や PAT などすべてのレイヤ 3 ファイアウォール機能がトランスペアレント ファイアウォールでサポートされます。 ハイ アベイラビリティネットワークの耐障害性を実現するために、Cisco FWSM は、同じ Cisco Catalyst 6500 または Cisco 7600 シャーシ内のモジュール間（シャーシ内）、および異なるシャーシのモジュール間（シャーシ間）での高速のフェールオーバーをサポートしており、ユーザは必要に応じて柔軟にファイアウォールを配置できます。Cisco FWSM Software v3.1 では、アクティブ/スタンバイ ステートフル フェールオーバーに加えて、マルチ コンテキスト モードでのアクティブ/アクティブ ステートフル フェールオーバーもサポートされます。 堅牢なステートフル インスペクションとアプリケーション レイヤ セキュリティCisco FWSM は、ASA（アダプティブ セキュリティ アルゴリズム）とも呼ばれる Cisco PIX セキュリティ アプライアンス テクノロジーを基盤としています。FWSM は、機能豊富なステートフル インスペクション ファイアウォール サービスを提供し、すべてのネットワーク通信状態の追跡、セキュリティ ポリシーの適用、および DoS 攻撃（サービス拒絶攻撃）や不正なネットワーク アクセスの防止を行います。また、送信元と宛先のアドレス、ランダム化された TCP シーケンス番号、ポート番号、およびその他の TCP フラグに基づいて、セッション フローの接続テーブル エントリを作成し、これらの接続にセキュリティ ポリシーを適用します。 FWSM は、ネットワークベースのファイアウォール サービスを基盤としているため、レイヤ 4 ～ 7 のネットワーク フローを調べるインテリジェントなアプリケーション対応インスペクション エンジンを通じて、強力なアプリケーション レイヤ セキュリティも提供します。アプリケーション レイヤへの攻撃からネットワークを保護するために、これらのインスペクション エンジンにはさまざまなアプリケーションとプロトコルの情報が組み込まれています。また、標準規格への適合のチェック、プロトコル異常の検出、アプリケーションとプロトコルの状態の追跡、双方向 NAT サービス、双方向 ACL、Port Address Translation（PAT; ポート アドレス変換）や、アプリケーション/プロトコル コマンド フィルタリング、コンテンツ検証、URL 隠蔽化、URL フィルタリングなどの攻撃を検出および緩和する方法など、さまざまなセキュリティ実施テクノロジーを使用します。これらのインスペクション エンジンにより、企業はインスタント メッセージング、ピアツーピアでのファイル共有、およびトンネリング アプリケーションを制御できます。また、FWSM は、さまざまな VoIP やその他のマルチメディア標準に最先端の保護を提供します。 Cisco FWSM プラットフォームのパフォーマンスとキャパシティ表 1 に、Cisco FWSM のパフォーマンスとキャパシティの詳細を示します。 表 1 Cisco FWSM プラットフォームのパフォーマンスとキャパシティ
FWSM 全体の機能の概要表 2 に、Cisco FWSM 全体の機能の概要を示します。 表 2 FWSM 全体の機能の概要
注：Cisco FWSM Software バージョン 3.2、3.1、2.3、および 2.2 にはそれぞれ、Cisco PIX Security Appliance Software バージョン 7.0、6.3、および 6.2 のさまざまな機能が組み込まれています。 FWSM の展開例Cisco FWSM は、エンタープライズ キャンパス、データセンター、またはサービス プロバイダーに適したトポロジでの展開が可能です。FWSM は最高の価格性能比を実現するファイアウォール製品で、投資が最大限に活用されます。 今日の企業が必要とするのは境界セキュリティだけではありません。ビジネス パートナーとの接続や、組織内の複数のグループにサービスを提供できるようなキャンパス セキュリティ ドメインも必要です。Cisco FWSM を使用すると、１ つの組織内に、異なるポリシーを持つ複数のセキュリティ ドメインを確立できるので、柔軟かつ費用効果の高いパフォーマンスベースのソリューションが実現されます。Cisco FWSM を使用することにより、ユーザは異なる VLAN に適切なポリシーを設定できます。またデータセンターも、最小限のコストでギガビット級のパフォーマンスを実現しながら、不正なトラフィックをフィルタして Demilitarized Zone（DMZ; 非武装地帯）やエクストラネット サーバ ファームでデータを保護できるようなステートフル ファイアウォール セキュリティ ソリューションを必要としています。図 2 に、Cisco FWSM を使用した企業のキャンパスとデータセンターのセキュアな LAN 構成を示します。 
図 2 企業のキャンパスとデータセンターのセキュアな LAN 構成 企業やサービス プロバイダーの WAN エッジでは、FWSM を Cisco IPSec VPN SPA と組み合わせて VRF で定義される VPN トンネル単位のファイアウォール ポリシーを実施できます。 
図 3 WAN エッジのセキュアな WAN 構成 発注情報表 3 Cisco FWSM のハードウェアおよびソフトウェアの製品番号
注：Cisco Firewall Services Module Software 1.1 は販売を終了しています。FWSM Software 2.3、3.1 または 3.2 にアップグレードまたは購入することを推奨します。 ライセンス仮想ファイアウォール（セキュリティ コンテキスト）ライセンスの発注時には、表 4 に記載されている製品番号が必要となります。これらのいずれかのライセンスを購入するには、FWSM Software 2.2(1) 以上を使用する必要があります。FWSM Software 1.1 からバージョン 2.2、2.3、3.1 および 3.2 へのアップグレードには、ハードウェアの変更は必要ありません。 表 4 コンテキスト ライセンスの製品番号
表 5 GTP/GPRS モバイル ワイヤレス インスペクションのライセンス
表 6 システム要件
1 FWSM は Supervisor Engine 1 または 1A をサポートしません。FWSM は、MSFC2（Multilayer Switch Feature Card 2）が搭載された Supervisor Engine 2、Supervisor Engine 32、または Supervisor Engine 720 をサポートします。 2 MSFC と FWSM 間で複数の Switched VLAN Interface（SVI）をサポートします。SVI は MSFC でルーティングされる VLAN インターフェイスです。 3 フェールオーバーを使用する場合にトランスペアレント ファイアウォール モードがサポートされます。フェールオーバーでは FWSM への BPDU フォワーディングが必要です。BPDU フォワーディングをサポートしない他のリリースではフェールオーバーなしのトランスペアレント モードがサポートされます。 4 スーパーバイザ エンジンで Catalyst OS を使用する場合、MSFC では上記のサポート対象の Cisco IOS リリースのいずれも使用できます。スーパーバイザ エンジンのソフトウェアによってサポート対象の FWSM の機能が決まります。 リンク障害を迅速に検出するための autostate 機能は、Cisco Catalyst OS Release 8.4(1) 以上および Cisco IOS 12.2(18)SXF(5) 以上でサポートされます。 ハードウェア仕様
適合規格安全性
テレコミュニケーション
EMI
共通基準
NEBS
ETSI
関連情報詳細については、以下のサイトをご覧ください。
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
 |
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Guest
Cisco Catalyst 6500 シリーズおよび Cisco 7600 シリーズ用ファイアウォール サービス モジュール