セキュアなWebアプライアンスの初期設定の設定
はじめに
このドキュメントでは、Secure Web Appliance(SWA)を初めて設定するために必要な手順について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- SWA管理。
- ネットワーキングの基本原則
Cisco では次の前提を満たす推奨しています。
- 物理または仮想SWAがインストールされている。
- SWAグラフィカルユーザインターフェイス(GUI)への管理アクセス
- SWAコマンドラインインターフェイス(CLI)への管理アクセス。
- SWAコンソールへの管理アクセス。
- 有効なSWAライセンスまたはSmart License Managementポータルへのアクセス（スマートライセンスを使用している場合）
使用するコンポーネント
このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
SWAのインストール
Cisco SWAは、組織のWebセキュリティと制御を強化するために設計されたフォワードプロキシソリューションです。SWAは仮想形式と物理形式の両方で使用でき、多様なニーズに対応する柔軟な導入オプションを提供します。仮想SWAは、Microsoft Hyper-V、VMware ESX、KVMなどの複数のハイパーバイザプラットフォームをサポートし、さまざまな仮想環境との互換性を確保します。物理アプライアンスを好む方のために、シスコではS100、S300、S600の3つのモデルを用意しています。各モデルは、さまざまなレベルのパフォーマンスおよびキャパシティ要件に対応するように設計されており、組織は特定のWebセキュリティニーズに適したソリューションを見つけることができます。
仮想マシンイメージをダウンロードするには、https://software.cisco.com/download/homeにアクセスします。
仮想Cisco SWAのインストールは、適切なハイパーバイザプラットフォームの選択から始まる簡単なプロセスです。まず、シスコのWebサイトから仮想SWAインストールファイルをダウンロードします。VMware ESXの場合は、OVAファイルを導入して、ネットワーク設定を構成し、CPU、メモリ、ストレージなどの十分なリソースを割り当てます。Microsoft Hyper-Vの場合は、ダウンロードしたVHDファイルをHyper-Vマネージャーにインポートし、それに応じて仮想マシンの設定を構成します。KVMの場合、virt-managerまたはvirshコマンドラインツールを使用して、ダウンロードしたイメージを使用する仮想マシンを定義および起動します。仮想マシンが起動して実行されたら、この記事の手順を使用して初期設定を行うことができます。
初期設定
SWAをインストールした後、初期導入のために次の手順を実行します。
注：初期設定では、コンソール、SSH、およびGUIを使用してSWAにアクセスできる必要があります。
| 接続方法 |
段階 |
設定手順 |
| コンソール |
IPアドレスの設定 |
ステップ 1：ユーザ名とパスワードを入力して、CLIにログインします。 
ヒント：デフォルトのユーザ名はadminで、デフォルトのパスワードはironportです。
ステップ 2ifconfigを実行します。 ステップ 3[Edit] を選択します。 ステップ 4管理インターフェイスに関連付けられている番号を入力します。 ステップ 5Yを選択して、デフォルトのIPv4アドレスを編集します。 ステップ 6IPアドレス ステップ 7サブネットマスクを入力します。
ステップ 8IPv6を設定する場合は、「Would you like to Configure IPv6?」という質問に対してYと入力します。それ以外の場合は、これをデフォルト(No)のままにして、Enterキーを押します。 ステップ 9ホスト名として完全修飾ドメイン名(FQDN)を入力します。 ステップ 10ファイル転送プロトコル(FTP)による管理インターフェイスへのアクセスを有効にするには、Yを選択するか、Enterキーを押します。 ステップ 11セキュアシェル(SSH)はデフォルトで有効に設定されています。SSHを有効にすることをお勧めします。Yを入力して続行します。 ステップ12.（オプション）デフォルトのSSHポートをTCP 22から任意のポート番号に変更できます。ただし、ポートの競合がない場合は、Enterキーを押してデフォルトポート(TCP/22)を使用します。 ステップ 13Hypertext Transfer Protocol（HTTP；ハイパーテキスト転送プロトコル）で管理インターフェイスにアクセスするには、Yと入力して、HTTPアクセスのポート番号を設定します。それ以外の場合は、Nを選択すると、Hypertext Transfer Protocol Secure（HTTPS；ハイパーテキスト転送プロトコル）のみが管理インターフェイスにアクセスできるようになります。 手順 14：Yと入力してEnterキーを押し、管理インターフェイスへのHTTPSアクセスを有効にします。 手順 15：ポートの競合がない限り、デフォルトのHTTPSポート番号を8443から任意のポート番号に変更できます。デフォルトのポート(TCP/8443)を使用するには、Enterキーを押します。 ステップ 16： アプリケーションプログラミングインターフェイス(API)はデフォルトでEnableに設定されています。APIを使用していない場合は、Nを入力してEnterキーを押すことでAPIを無効にできます。 ステップ 17：APIを有効にすると、デフォルトのAPIポート番号を6080から任意のポート番号に変更できます。ただし、ポートの競合が発生しない限り可能です。デフォルトのポート(TCP/6080)を使用するには、Enterキーを押します。
ステップ 18：AsyncOS API（モニタリング）はSWAの新しいGUIです。新しいユーザインターフェイスレポートを使用する場合は、このオプションをY（デフォルト）に設定します。それ以外の場合は、Nを入力してステップ20に進みます。 ステップ 19： ポートの競合がない限り、デフォルトの新規GUI HTTPSポート番号を6443から任意のポート番号に変更できます。デフォルトのポート(TCP/6443)を使用するには、Enterキーを押します。 ステップ 20：SWA管理インターフェイスはシスコデモ証明書を使用します。Yを入力してデモ証明書を受け入れます。GUI証明書は初期設定後に変更できます。 ステップ 21：Enterキーを押して、ifconfigウィザードを終了します。
|
デフォルト ゲートウェイの設定 |
ステップ 22：setgatewayを実行します。 ステップ 23：管理インターフェイスがIPv4で設定されている場合はIPv4を選択し、それ以外の場合はIPv6を選択します。 ステップ 24：デフォルトゲートウェイのIPアドレスを入力します。 ステップ 25：commitを実行して、変更を保存します。 ステップ26:（オプション）保存する変更に関するメモを追加できます ステップ27:（オプション）変更を適用する前に、SWAで設定をバックアップできます。
|
|
| SSH |
従来のライセンスのインポート |
注：スマートライセンスを使用している場合は、ステップ36に進んでください。 ステップ 28： SSH経由でSWAに接続します。 ステップ 29：loadlicenseの実行 ステップ 30：Paste via CLIを選択します。 ステップ 31： テキストエディタでライセンスファイルを開き、その内容をすべてコピーします ステップ 32：ライセンスをSSHシェルに貼り付けます。 ステップ 33：Enterキーを押して、新しい行に移動します。 ステップ 34：Controlキーを押したまま、Dキーを押します。 ステップ 35：ライセンス契約書を読み、YESと入力して条件に同意します。
ステップ 58 に進みます。 |
| GUI |
DNSサーバの設定 |
ステップ 37： GUIにログインします（デフォルトは<SWA FQDN or IP Address>:8443）。 ステップ 38：Networkに移動し、DNSを選択します。 ステップ 39：[Edit Settings] をクリックします。 ステップ40:Primary DNS ServersセクションでUse these DNS Serversを選択します。 ステップ 41：プライオリティを0に設定し、DNSサーバのIPアドレスを入力します。
注：Add Rowを選択すると、複数のDNSサーバを追加できます。 ステップ 42：[Submit] をクリックします。 ステップ 43：変更を保存します。
|
スマートライセンスの設定 |
ステップ 44：GUIのSystem Administrationで、Smart Software Licensingを選択します。 ステップ 45： Enable Smart Software Licensingを選択します。 
注意：アプライアンスでスマートライセンス機能を有効にした後で、スマートライセンスからクラシックライセンスにロールバックすることはできません。 ステップ 46： OKをクリックして、スマートライセンスの設定を続行します。 ステップ 47：変更を保存します。 ステップ 48： SWAを登録するためのトークンを取得するには、Cisco Software Central(https://software.cisco.com/#)にログインします ステップ 49：Manage Licensesをクリックします。
ステップ 50：Smart Software Licensingで、Inventoryを選択します。 ステップ 51：Generalタブで、New Tokenを作成するか、利用可能なトークンを使用します。
ステップ 52：必要な情報を入力し、トークンの作成を行います。
ステップ 53：新しく追加したトークンの前にある青いアイコンをクリックして、その内容をコピーします。
ステップ 54： SWA GUIで、System Administrationに移動し、Smart Software Licensingを選択します。
注：すでにSmart Software Licensingページが表示されている場合は、ページを更新してください。 ステップ55:（オプション）SWAに管理インターフェイスからのインターネットアクセスがない場合は、インターネットへのアクセスが許可されているインターフェイスにテストインターフェイスを変更できます。
ヒント：複数のインターフェイスの設定とルーティングテーブルの詳細については、この記事の「ネットワーク設定」の項を参照してください。 ステップ 56：[Register] をクリックします。 ステップ 57：Tokenを貼り付け、Registerをクリックします。
注：登録を確認するには、数分待ってからSWAのスマートライセンスページを更新し、登録ステータスを確認してください。
|
|
システムセットアップウィザード |
ステップ 58： SWA GUIで、System Administrationに移動し、System Setup Wizardを選択します。 ステップ 59：本ライセンス契約の条項を読み、同意する。 ステップ 60：Begin Setupをクリックします。 ステップ 61：Appliance Mode of OperationセクションでStandardを選択します。 ステップ 62：Default System Hostnameを入力します。
注:ステップ9で作成された以前のホスト名はSWAではなく管理インターフェイスに関連していました。 ステップ 63：DNSサーバのIPアドレスを入力します。 ステップ64:ネットワークタイムプロトコル(NTP)サーバを設定できます。
ヒント:NTPサーバで認証が必要な場合は、キーパラメータを設定できます。 ステップ 65：SWAに適用するTime Zoneを選択し、Nextをクリックします。
ステップ66.（オプション）ネットワークでアップストリームプロキシを使用している場合は、Network Contextページで設定するか、デフォルトのままにして、Nextをクリックします。
ステップ67:（オプション）管理インターフェイスのトラフィックをデータインターフェイス（P1およびP2インターフェイス）のトラフィックから分離する必要がある場合は、「管理のみにM1ポートを使用する」を選択します。 ステップ68:（オプション）ネットワークインターフェイスIPアドレスは、「IPv4アドレス/ネットマスク」セクションまたは「IPv6アドレス/ネットマスク」セクションで追加または変更できます。 ステップ69:（オプション）ネットワークインターフェイスのホスト名を追加または変更し、Nextをクリックできます。
注:P1ポートは、システムセットアップウィザードを使用して有効化および設定できます。P2インターフェイスを有効にするには、システムセットアップウィザードの完了後に行う必要があります。
ステップ70:（オプション）レイヤ4トラフィックモニタ(L4TM)を設定する場合は、デュプレックス設定を設定するか、またはデフォルトのままにして、Nextをクリックします。
手順71:（オプション）IPv4 Routes for Managementページで、デフォルトゲートウェイを変更できます ステップ72:（オプション）スタティックルートを作成するには、ルートを追加できます。
注：ステップ67で「Use M1 port for management only」を選択した場合は、管理インターフェイス(M1)とデータインターフェイス（P1とP2）に2つの別個のルーティングテーブルが存在することになります。
ステップ73:（オプション）Web Cache Communication Protocol(WCCP)を使用して透過型プロキシ導入を設定する場合は、WCCP設定を行うか、デフォルトのレイヤ4スイッチのままにするか、デバイスを指定せずにNextをクリックします。
ステップ 74：管理者アカウントの新しいパスワードを設定します。 ステップ 75：システムアラートを受信する電子メールアドレスを入力します。 ステップ76.（オプション）シンプルメール転送プロトコル(SMTP)リレーホスト情報を指定します(SMTP)。内部リレーホストが定義されていない場合、SMTPはMXレコードのDNSルックアップを使用します。 ステップ77:（オプション）Cisco SensorBaseネットワークへの参加を無効にする場合は、Network Participationチェックボックスの選択を解除します。それ以外の場合は、をデフォルトのままにして、Nextをクリックします。
注:Cisco SensorBaseネットワークに参加することは、シスコがデータを収集し、その情報をSensorBase脅威管理データベースと共有することを意味します。
ステップ78:（オプション）グローバルポリシー、L4TM、およびCisco Data Security Filteringのデフォルトアクションを変更できます。または、デフォルトのままにして、Nextをクリックすることもできます。
ステップ 79：設定を確認します。変更が必要な場合は、Previousボタンをクリックして前のページに戻るか、Install This Configurationをクリックします。 |
ネットワーク設定
ネットワークインターフェイスを設定するには、CLIまたはGUIを使用できます。
| コマンド/パス |
アクション |
|
| CLIからのネットワークインターフェイスカードの設定 |
CLI > ifconfig |
新規：インターフェイスがifconfig出力に表示されないが、仮想マシンまたは物理アプライアンスに存在する場合、このコマンドを使用してリストにインターフェイスを表示できます。 Edit：このアクションは、IPアドレス、サブネットマスク、インターフェイスホスト名、またはその他の関連パラメータを編集することです。 Details：インターフェイスの詳細（MACアドレス、メディアタイプ、デュプレックスモードなど）を表示します。 Delete：インターフェイスをifconfigリストから削除します。すでに割り当てられている場合は、IPアドレスも削除します。 |
| GUIからのネットワークインターフェイスカードの設定 |
GUI > Network > Interfaces |
インターフェイスのIPアドレスとホスト名を編集できます。 ポート番号を有効、無効、または変更するには、 FTP、SSH、HTTPアクセス、HTTPSアクセスなどのアプライアンス管理サービス。 |
ルーティング テーブル
ルートは、ネットワークトラフィックの送信先を決定するために不可欠です。SWAは次のタイプのトラフィックを処理します。
- データトラフィック：インターネットを閲覧しているエンドユーザからWebプロキシによって処理されたトラフィックが含まれます。
- 管理トラフィック：Webインターフェイス経由でアプライアンスを管理することによって生成されるトラフィックだけでなく、SWAのアップグレード、コンポーネントの更新、DNS、認証、その他の関連タスクなどの管理サービス用のトラフィックも含まれます。
デフォルトでは、どちらのタイプのトラフィックでも、設定されたすべてのネットワークインターフェイスに対して定義されたルートが使用されます。ただし、ルーティングを分離するオプションがあるため、管理トラフィックは専用の管理ルーティングテーブルを使用し、データトラフィックは別個のデータルーティングテーブルを使用します。
| 管理トラフィック |
データ トラフィック |
| WebUI |
HTTPプロキシ |
注:[管理のみにM1ポートを使用する]オプションを選択すると、データルーティングテーブルと呼ばれる追加のルーティングテーブルがSWAに追加されます。このルーティングテーブルには、設定可能なデフォルトゲートウェイが1つだけあります。追加のルーティングパスは手動で設定する必要があります。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
30-Jul-2026
|
再認定 |
1.0 |
30-Oct-2024
|
初版 |
フィードバック