ネットワーク設定とポリシーの設定

必要に応じて新しいゾーンを編集または作成し、インターフェイスをそのゾーンに割り当てます。各インターフェイスは、ポリシーを設定するゾーンに属している必要があります。

次の例では、新しい dmz_zone を作成し、それに dmz インターフェイスを割り当てる方法を示します。

すでに内部インターフェイス用に構成されている DHCP サーバーがあります。

デバイス セットアップ ウィザードでは、信頼ルールを使用して、inside_zone と outside_zone 間の通信フローを有効にできます。信頼ルールでは侵入ポリシーを適用しません。侵入を使用するには、ルールに対して許可アクションを指定します。ポリシーには、外部インターフェイスに向かうときのすべてのインターフェイスのインターフェイス PAT も含まれます。

ただし、異なるゾーンにインターフェイスがある場合は、それらのゾーンとの間の通信を許可するアクセス制御ルールが必要です。

さらに、追加のサービスを提供するために他のポリシーを設定し、組織が必要とする結果を取得するために NAT およびアクセスルールを調整することができます。ツールバーでポリシータイプをクリックすることで、次のポリシーを設定できます。

• [SSL復号（SSL Decryption）]：侵入、マルウェアなどについて暗号化された接続（HTTPS など）を検査する場合は、接続を復号化する必要があります。どの接続を復号する必要があるかを判断するには SSL 復号ポリシーを使用します。システムは、検査後に接続を再暗号化します。

• [アイデンティティ（Identity）]：個々のユーザーにネットワーク アクティビティを関連付ける、またはユーザーまたはユーザー グループのメンバーシップに基づいてネットワーク アクセスを制御する場合は、特定のソース IP アドレスに関連付けられているユーザーを判定するためにアイデンティティ ポリシーを使用します。

• [Security Intelligence]：（IPS ライセンスが必要）ブラックリスト登録済みの IP アドレスまたは URL の接続をただちにドロップするには、セキュリティ インテリジェンス ポリシーを使用します。既知の不正なサイトをブラックリストに登録すれば、アクセス コントロール ポリシーでそれらを考慮する必要がなくなります。Cisco では、セキュリティ インテリジェンスのブラックリストが動的に更新されるように、既知の不正なアドレスや URL の定期更新フィードを提供しています。フィードを使用すると、ブラックリストの項目を追加または削除するためにポリシーを編集する必要がありません。

• [NAT]（ネットワークアドレス変換）：内部 IP アドレスを外部のルーティング可能なアドレスに変換するために NAT ポリシーを使用します。

• [アクセス制御（Access Control）]：ネットワーク上で許可する接続の決定にアクセス コントロール ポリシーを使用します。セキュリティ ゾーン、IP アドレス、プロトコル、ポート、アプリケーション、URL、ユーザーまたはユーザー グループによってフィルタ処理できます。また、アクセス制御ルールを使用して侵入やファイル（マルウェア）ポリシーを適用します。このポリシーを使用して URL フィルタリングを実装します。

• [侵入（Intrusion）]：侵入ポリシーを使用して、既知の脅威を検査します。アクセス制御ルールを使用して侵入ポリシーを適用しますが、侵入ポリシーを編集して特定の侵入ルールを選択的に有効または無効にできます。

次の例は、アクセス制御ポリシーで inside_zone と dmz_zone の間の通信を許可する方法を示しています。この例では、[接続の最後で（At End of Connection）] が選択されている場合、[ロギング（Logging）] を除いて他のいずれのタブでもオプションは設定されません。

侵入ポリシーを使用している場合は、ルールと VDB のデータベースを定期的な更新を設定します。セキュリティ情報フィードを使用する場合は、それらの更新スケジュールを設定します。一致基準としてセキュリティポリシーで地理位置情報を使用する場合は、そのデータベースの更新スケジュールを設定します。

変更は、それらを展開するまでデバイスで有効になりません。