ステップ 1

[Administration > Integrations > Firewall Management Center] の順に選択します。

ステップ 2

[Cloud-Delivered FMC] を選択し、[Actions]、[Management]、または [Settings] ペインのリンクをクリックし、新しいタブで クラウド提供型 Firewall Management Center を開きます。

ステップ 1

[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択し、ファイアウォールの [編集（Edit）]（） をクリックします。 >

ステップ 2

[インターフェイス（Interfaces）] をクリックします。

ステップ 3

40 Gb 以上のインターフェイスからブレークアウトポートを作成するには、インターフェイスの [ブレーク（Break）] アイコンをクリックします。

ステップ 4

内部に使用するインターフェイスの [編集（Edit）]（） をクリックします。

1. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の内部セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、inside_zone という名前のゾーンを追加します。ゾーンまたはグループに基づいてセキュリティポリシーを適用します。たとえば、内部ゾーンから外部ゾーンへのトラフィックは有効にするが外部ゾーンから内部ゾーンへのトラフィックは有効にしないアクセス コントロール ポリシーを設定します。

   内部インターフェイスが事前に設定されている場合、これらのフィールドの残りの部分はオプションです。

2. 48 文字までの [名前（Name）] を入力します。

   たとえば、インターフェイスに inside という名前を付けます。

3. [有効（Enabled）] チェックボックスをオンにします。

4. [モード（Mode）] は [なし（None）] に設定したままにします。

5. [IPv4] タブ、[IPv6] タブ、または両方のタブをクリックします。

   • [IPv4]：ドロップダウンリストから [スタティックIPを使用する（Use Static IP）] を選択し、IP アドレスとサブネットマスクをスラッシュ表記で入力します。

     たとえば、192.168.1.1/24 などと入力します。

     

   • [IPv6]：ステートレス自動設定の場合は [自動設定（Autoconfiguration）] チェックボックスをオンにします。

     

6. [OK] をクリックします。

ステップ 5

外部に使用するインターフェイスの [編集（Edit）]（） をクリックします。

1. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の外部セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、「outside_zone」という名前のゾーンを追加します。

   他の基本設定は変更しないでください。変更すると、Firewall Management Center の管理接続が中断されます。

2. [OK] をクリックします。

ステップ 6

たとえば、Web サーバーをホストするように DMZ インターフェイスを設定します。

1. 使用するインターフェイスの [編集（Edit）]（） をクリックします。

2. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の DMZ セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、dmz_zone という名前のゾーンを追加します。

3. 48 文字までの [名前（Name）] を入力します。

   たとえば、インターフェイスに dmz という名前を付けます。

4. [有効（Enabled）] チェックボックスをオンにします。

5. [モード（Mode）] は [なし（None）] に設定したままにします。

6. 必要に応じて、[IPv4] タブと [IPv6] タブのいずれかまたは両方をクリックし、IP アドレスを設定します。

7. [OK] をクリックします。

ステップ 7

[保存（Save）] をクリックします。

ステップ 1

[デバイス（Devices）]、[デバイス管理（Device Management）] の順に選択し、デバイスの [編集（Edit）]（） をクリックします。 >

ステップ 2

[DHCP] > [DHCPサーバー（DHCP Server）] を選択します。

ステップ 3

[サーバー（Server）] エリアで、[追加（Add）] をクリックし、以下のオプションを設定します。

• [インターフェイス（Interface）]：ドロップダウンリストからインターフェイス名を選択します。

• [アドレスプール（Address Pool）]：IP アドレスの範囲を設定します。IP アドレスは、選択したインターフェイスと同じサブネット上に存在する必要があり、インターフェイス自身の IP アドレスを含めることはできません。

• [DHCPサーバーを有効にする（Enable DHCP Server）]：選択したインターフェイスの DHCP サーバーを有効にします。

ステップ 4

[OK] をクリックします。

ステップ 5

[保存（Save）] をクリックします。

ステップ 1

[デバイス（Devices）] > [NAT] の順に選択し、[新しいポリシー（New Policy）] をクリックします。

ステップ 2

ポリシーに名前を付け、ポリシーを使用するデバイスを選択し、[保存（Save）] をクリックします。

ポリシーが Firewall Management Center に追加されます。引き続き、ポリシーにルールを追加する必要があります。

ステップ 3

[ルールの追加（Add Rule）] をクリックします。

ステップ 4

基本ルールのオプションを設定します。

• [NATルール（NAT Rule）]：[自動NATルール（Auto NAT Rule）] を選択します。

• [タイプ（Type）]：[ダイナミック（Dynamic）] を選択します。

ステップ 5

[インターフェイスオブジェクト（Interface objects）] ページで、[使用可能なインターフェイスオブジェクト（Available Interface Objects）] 領域から [宛先インターフェイスオブジェクト（Destination Interface Objects）] 領域に外部ゾーンを追加します。

ステップ 6

[変換（Translation）] ページで、次のオプションを設定します。

• [元の送信元（Original Source）]：[追加（Add）] () をクリックして、すべての IPv4 トラフィック（0.0.0.0/0）のネットワークオブジェクトを追加します。

  

  （注）	自動 NAT ルールはオブジェクト定義の一部として NAT を追加するため、システム定義の any-ipv4 オブジェクトを使用することはできません。また、システム定義のオブジェクトを編集することはできません。

• [変換済みの送信元（Translated Source）]：[宛先インターフェイスIP（Destination Interface IP）] を選択します。

ステップ 7

[保存（Save）] をクリックしてルールを追加します。

ステップ 8

NAT ページで [保存（Save）] をクリックして変更を保存します。

ステップ 1

[ポリシー（Policies）] > [アクセス制御（Access Control）] 見出し > [アクセス制御（Access Control）] を選択し、デバイスに割り当てられているアクセス コントロール ポリシーの [編集（Edit）]（）をクリックします。

ステップ 2

[ルールを追加（Add Rule）] をクリックし、次のパラメータを設定します。

1. このルールに名前を付けます（たとえば、inside-to-outside）。

2. [ゾーン（Zones）] から内部ゾーンを選択します。

3. [送信元ゾーンの追加（Add Source Zone）] をクリックします。

4. [ゾーン（Zones）] から外部ゾーンを選択します。

5. [宛先ゾーンを追加（Add Destination Zone）] をクリックします。

他の設定はそのままにしておきます。

ステップ 3

（任意） パケットフロー図でポリシータイプをクリックして、関連付けられたポリシーをカスタマイズします。

[プレフィルタ（Prefilter）]、[復号（Decryption）]、[セキュリティ インテリジェンス（Security Intelligence）]、および [アイデンティティ（Identity）] ポリシーは、アクセス制御ルールの前に適用されます。これらのポリシーをカスタマイズする必要はありませんが、ネットワークのニーズを把握した後、信頼できるトラフィックに fastpath を適用（処理をバイパス）したりトラフィックをブロックしてその後の処理が不要になるようにすることで、ネットワークのパフォーマンスを向上させることができます。

• [プレフィルタルール（Prefilter Rules）]：デフォルトのプレフィルタポリシーは、他のルールが適用される（分析する）すべてのトラフィックを通過させます。デフォルトポリシーに加えることができる唯一の変更は、トンネルトラフィックを「ブロックする」ことです。それ以外では、新しいプレフィルタポリシーを作成して、分析（通過）、fastpath 処理（以降のチェックをバイパス）、またはブロックできるアクセス コントロール ポリシーに関連付けることができます。

  プレフィルタを使用すると、ブロックまたは fastpath 処理のいずれかによって、トラフィックがさらに進む前に処理することで、パフォーマンスを向上させることができます。新しいポリシーでは、「トンネル」ルールと「プレフィルタ」ルールを追加できます。トンネルルールを使用すると、プレーンテキスト（非暗号化）のパススルートンネルを fastpath 処理、ブロック、または再ゾーン化できます。プレフィルタルールを使用すると、IP アドレス、ポート、およびプロトコルで識別される非トンネルトラフィックを fastpath 処理またはブロックできます。

  たとえば、ネットワーク上のすべての FTP トラフィックをブロックし、管理者からの SSH トラフィックを高速パスする場合は、新しいプレフィルタ ポリシーを追加できます。

• [復号（Decryption）]：デフォルトでは、復号は適用されません。復号は、ネットワークトラフィックをディープインスペクションに公開する方法です。ほとんどの場合、トラフィックを復号する必要はなく、法的に許可されている場合にのみ復号できます。ネットワークを最大限に保護するために、重要なサーバーへのトラフィックや、信頼できないネットワークセグメントからのトラフィックには、復号ポリシーを使用することをお勧めします。

• [セキュリティ インテリジェンス（Security Intelligence）]：（IPS ライセンスが必要）セキュリティ インテリジェンスはデフォルトで有効になっています。セキュリティ インテリジェンスは、悪意のあるアクティビティに対するもう 1 つの早期防御で、さらなる処理のために接続をアクセス コントロール ポリシーに渡す前に適用されます。セキュリティ インテリジェンスは、レピュテーション インテリジェンスを使用して、シスコの脅威インテリジェンス組織である Talos が提供する IP アドレス、URL、およびドメイン名との接続を迅速にブロックします。必要に応じて、IP アドレス、URL、ドメインを追加または削除できます。

  （注）	IPS ライセンスがない場合、このポリシーは、アクセス コントロール ポリシーで有効と表示されていても展開されません。

• [アイデンティティ（Identity）]：アイデンティティはデフォルトでは適用されません。アクセス コントロール ポリシーによるトラフィックの処理を許可する前に、ユーザーに認証を要求できます。

ステップ 4

（任意） アクセス制御ルールの後に適用される侵入ポリシーを追加します。

1. [侵入ポリシー（Intrusion Policy）] ドロップダウンリストをクリックします。

   

2. リストからシステム提供のポリシーを 1 つ選択します。

ステップ 5

（任意） アクセス制御ルールの後に適用されるファイルポリシーを追加します。

1. [ファイルポリシー（File Policy）] ドロップダウンリストをクリックし、既存のポリシーを選択するか、[ファイルポリシーリストを開く（Open File Policy List）] を選択してポリシーを追加します。

   

   新しいポリシーの場合は、[[ポリシー（Policies）] > [アクセス制御（Access Control）] 見出し > [マルウェアとファイル（Malware & File）] ] ページが別のタブで開きます。

2. ポリシーの作成の詳細については、Cisco Secure Firewall Device Manager Configuration Guideを参照してください。

3. [ルールの追加（Add Rule）] ページに戻り、ドロップダウンリストから新しく作成したポリシーを選択します。

ステップ 6

[Apply] をクリックします。

ステップ 7

[保存（Save）] をクリックします。

ステップ 1

[[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]] を選択して、Firewall Threat Defense ポリシーを作成するか編集します。

ステップ 2

[SSHアクセス（SSH Access）] を選択します。

ステップ 3

SSH 接続を許可する外部インターフェイスと IP アドレスを指定します。

1. [追加（Add）] をクリックして新しいルールを追加するか、[編集（Edit）] をクリックして既存のルールを編集します。

2. ルールのプロパティを設定します。

   • [IP Address]：SSH 接続を許可するホストまたはネットワークを特定するネットワークオブジェクトまたはグループ。オブジェクトをドロップダウンメニューから選択するか、または [+] をクリックして新しいネットワークオブジェクトを追加します。

   • [使用可能なゾーン/インターフェイス（Available Zones/Interfaces）]：[選択したゾーン/インターフェイス（Selected Zones/Interfaces）] リストの下のフィールドに外部ゾーンを追加するか「外部」インターフェイス名を入力し、[追加（Add）] をクリックします。

   

3. [OK] をクリックします。

ステップ 4

[Save（保存）] をクリックします。

ステップ 1

右上の [展開（Deploy）] をクリックします。

ステップ 2

迅速な展開の場合は、特定のデバイスのチェックボックスをオンにして [展開（Deploy）] をクリックします。

または、[すべて展開（Deploy All）] をクリックしてすべてのデバイスに展開します。

それ以外の場合は、追加の展開オプションを設定するために、[高度な展開（Advanced Deploy）] をクリックします。

ステップ 3

展開が成功したことを確認します。展開のステータスを表示するには、メニューバーの [展開（Deploy）] ボタンの右側にあるアイコンをクリックします。