ステップ 1

[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択し、ファイアウォールの [編集（Edit）]（） をクリックします。 >

ステップ 2

[インターフェイス（Interfaces）] をクリックします。

ステップ 3

40 Gb 以上のインターフェイスからブレークアウトポートを作成するには、インターフェイスの [ブレーク（Break）] アイコンをクリックします。

ステップ 4

内部に使用するインターフェイスの [編集（Edit）]（） をクリックします。

1. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の内部セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、inside_zone という名前のゾーンを追加します。ゾーンまたはグループに基づいてセキュリティポリシーを適用します。たとえば、内部ゾーンから外部ゾーンへのトラフィックは有効にするが外部ゾーンから内部ゾーンへのトラフィックは有効にしないアクセス コントロール ポリシーを設定します。

2. 48 文字までの [名前（Name）] を入力します。

   たとえば、インターフェイスに inside という名前を付けます。

3. [有効（Enabled）] チェックボックスをオンにします。

4. [モード（Mode）] は [なし（None）] に設定したままにします。

5. [IPv4] タブ、[IPv6] タブ、または両方のタブをクリックします。

   • [IPv4]：ドロップダウンリストから [スタティックIPを使用する（Use Static IP）] を選択し、IP アドレスとサブネットマスクをスラッシュ表記で入力します。

     たとえば、192.168.1.1/24 などと入力します。

     

   • [IPv6]：ステートレス自動設定の場合は [自動設定（Autoconfiguration）] チェックボックスをオンにします。

     

6. [OK] をクリックします。

ステップ 5

外部に使用するインターフェイスの [編集（Edit）]（） をクリックします。

1. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の外部セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、「outside_zone」という名前のゾーンを追加します。

   外部インターフェイスが事前に設定されている場合、これらのフィールドの残りの部分はオプションです。

2. 48 文字までの [名前（Name）] を入力します。

   たとえば、インターフェイスに「outside」という名前を付けます。

3. [有効（Enabled）] チェックボックスをオンにします。

4. [モード（Mode）] は [なし（None）] に設定したままにします。

5. [IPv4] タブ、[IPv6] タブ、または両方のタブをクリックします。

   • [IPv4]：[DHCPの使用（Use DHCP）] を選択し、次のオプションのパラメータを設定します。

     • [DHCP を使用してデフォルト ルートを取得（Obtain default route using DHCP）]：DHCP サーバーからデフォルト ルートを取得します。

     • [DHCPルートメトリック（DHCP route metric）]：アドミニストレーティブ ディスタンスを学習したルートに割り当てます（1 ～ 255）。学習したルートのデフォルトのアドミニストレーティブ ディスタンスは 1 です。

     

   • [IPv6]：ステートレス自動設定の場合は [自動設定（Autoconfiguration）] チェックボックスをオンにします。

     

6. [OK] をクリックします。

ステップ 6

たとえば、Web サーバーをホストするように DMZ インターフェイスを設定します。

1. 使用するインターフェイスの [編集（Edit）]（） をクリックします。

2. [セキュリティゾーン（Security Zone）] ドロップダウンリストから既存の DMZ セキュリティゾーンを選択するか、[新規（New）] をクリックして新しいセキュリティゾーンを追加します。

   たとえば、dmz_zone という名前のゾーンを追加します。

3. 48 文字までの [名前（Name）] を入力します。

   たとえば、インターフェイスに dmz という名前を付けます。

4. [有効（Enabled）] チェックボックスをオンにします。

5. [モード（Mode）] は [なし（None）] に設定したままにします。

6. 必要に応じて、[IPv4] タブと [IPv6] タブのいずれかまたは両方をクリックし、IP アドレスを設定します。

7. [OK] をクリックします。

ステップ 7

[保存（Save）] をクリックします。

ステップ 1

[デバイス（Devices）]、[デバイス管理（Device Management）] の順に選択し、デバイスの [編集（Edit）]（） をクリックします。 >

ステップ 2

[DHCP] > [DHCPサーバー（DHCP Server）] を選択します。

ステップ 3

[サーバー（Server）] エリアで、[追加（Add）] をクリックし、以下のオプションを設定します。

• [インターフェイス（Interface）]：ドロップダウンリストからインターフェイス名を選択します。

• [アドレスプール（Address Pool）]：IP アドレスの範囲を設定します。IP アドレスは、選択したインターフェイスと同じサブネット上に存在する必要があり、インターフェイス自身の IP アドレスを含めることはできません。

• [DHCPサーバーを有効にする（Enable DHCP Server）]：選択したインターフェイスの DHCP サーバーを有効にします。

ステップ 4

[OK] をクリックします。

ステップ 5

[保存（Save）] をクリックします。

ステップ 1

[デバイス（Devices）]、[デバイス管理（Device Management）] の順に選択し、デバイスの [編集（Edit）]（） をクリックします。 >

ステップ 2

[ルーティング（Routing）] > [静的ルート（Static Routes）]を選択します。

DHCP サーバーからデフォルトルートを受信した場合は、このテーブルに表示されます。

ステップ 3

[ルートを追加（Add route）] をクリックして、次のオプションを設定します。

• [タイプ（Type）]：追加するスタティックルートのタイプに応じて、[IPv4] または [IPv6] オプションボタンをクリックします。

• [インターフェイス（Interface）]：出力インターフェイスを選択します。通常は外部インターフェイスです。

• [使用可能なネットワーク（Available Network）]：IPv4 デフォルトルートの場合は [any-ipv4] を選択し、IPv6 デフォルトルートの場合は [any-ipv6] を選択し、[追加（Add）] をクリックして [選択したネットワーク（Selected Network）] リストに移動させます。

• [ゲートウェイ（Gateway）] または [IPv6ゲートウェイ（IPv6 Gateway）]：このルートのネクストホップであるゲートウェイルータを入力または選択します。IP アドレスまたはネットワーク/ホストオブジェクトを指定できます。

ステップ 4

[OK] をクリックします。

ステップ 5

[保存（Save）] をクリックします。

ステップ 1

[デバイス（Devices）] > [NAT] の順に選択し、[新しいポリシー（New Policy）] をクリックします。

ステップ 2

ポリシーに名前を付け、ポリシーを使用するデバイスを選択し、[保存（Save）] をクリックします。

ポリシーが Management Center に追加されます。引き続き、ポリシーにルールを追加する必要があります。

ステップ 3

[ルールの追加（Add Rule）] をクリックします。

ステップ 4

基本ルールのオプションを設定します。

• [NATルール（NAT Rule）]：[自動NATルール（Auto NAT Rule）] を選択します。

• [タイプ（Type）]：[ダイナミック（Dynamic）] を選択します。

ステップ 5

[インターフェイスオブジェクト（Interface objects）] ページで、[使用可能なインターフェイスオブジェクト（Available Interface Objects）] 領域から [宛先インターフェイスオブジェクト（Destination Interface Objects）] 領域に外部ゾーンを追加します。

ステップ 6

[変換（Translation）] ページで、次のオプションを設定します。

• [元の送信元（Original Source）]：[追加（Add）] () をクリックして、すべての IPv4 トラフィック（0.0.0.0/0）のネットワークオブジェクトを追加します。

  

  （注）	自動 NAT ルールはオブジェクト定義の一部として NAT を追加するため、システム定義の any-ipv4 オブジェクトを使用することはできません。また、システム定義のオブジェクトを編集することはできません。

• [変換済みの送信元（Translated Source）]：[宛先インターフェイスIP（Destination Interface IP）] を選択します。

ステップ 7

[保存（Save）] をクリックしてルールを追加します。

ステップ 8

NAT ページで [保存（Save）] をクリックして変更を保存します。

ステップ 1

[ポリシー（Policy）] > [アクセスポリシー（Access Policy）] > [アクセスポリシー（Access Policy）] の順に選択し、デバイスに割り当てられているアクセス コントロール ポリシーの [編集（Edit）]（） をクリックします。

ステップ 2

[ルールを追加（Add Rule）] をクリックし、次のパラメータを設定します。

1. このルールに名前を付けます（たとえば、inside-to-outside）。

2. [ゾーン（Zones）] から内部ゾーンを選択します。

3. [送信元ゾーンの追加（Add Source Zone）] をクリックします。

4. [ゾーン（Zones）] から外部ゾーンを選択します。

5. [宛先ゾーンを追加（Add Destination Zone）] をクリックします。

他の設定はそのままにしておきます。

ステップ 3

（任意） パケットフロー図でポリシータイプをクリックして、関連付けられたポリシーをカスタマイズします。

[プレフィルタ（Prefilter）]、[復号（Decryption）]、[セキュリティ インテリジェンス（Security Intelligence）]、および [アイデンティティ（Identity）] ポリシーは、アクセス制御ルールの前に適用されます。これらのポリシーをカスタマイズする必要はありませんが、ネットワークのニーズを把握した後、信頼できるトラフィックに fastpath を適用（処理をバイパス）したりトラフィックをブロックしてその後の処理が不要になるようにすることで、ネットワークのパフォーマンスを向上させることができます。

• [プレフィルタルール（Prefilter Rules）]：デフォルトのプレフィルタポリシーは、他のルールが適用される（分析する）すべてのトラフィックを通過させます。デフォルトポリシーに加えることができる唯一の変更は、トンネルトラフィックを「ブロックする」ことです。それ以外では、新しいプレフィルタポリシーを作成して、分析（通過）、fastpath 処理（以降のチェックをバイパス）、またはブロックできるアクセス コントロール ポリシーに関連付けることができます。

  プレフィルタを使用すると、ブロックまたは fastpath 処理のいずれかによって、トラフィックがさらに進む前に処理することで、パフォーマンスを向上させることができます。新しいポリシーでは、「トンネル」ルールと「プレフィルタ」ルールを追加できます。トンネルルールを使用すると、プレーンテキスト（非暗号化）のパススルートンネルを fastpath 処理、ブロック、または再ゾーン化できます。プレフィルタルールを使用すると、IP アドレス、ポート、およびプロトコルで識別される非トンネルトラフィックを fastpath 処理またはブロックできます。

  たとえば、ネットワーク上のすべての FTP トラフィックをブロックし、管理者からの SSH トラフィックを高速パスする場合は、新しいプレフィルタ ポリシーを追加できます。

• [復号（Decryption）]：デフォルトでは、復号は適用されません。復号は、ネットワークトラフィックをディープインスペクションに公開する方法です。ほとんどの場合、トラフィックを復号する必要はなく、法的に許可されている場合にのみ復号できます。ネットワークを最大限に保護するために、重要なサーバーへのトラフィックや、信頼できないネットワークセグメントからのトラフィックには、復号ポリシーを使用することをお勧めします。

• [セキュリティ インテリジェンス（Security Intelligence）]：（IPS ライセンスが必要）セキュリティ インテリジェンスはデフォルトで有効になっています。セキュリティ インテリジェンスは、悪意のあるアクティビティに対するもう 1 つの早期防御で、さらなる処理のために接続をアクセス コントロール ポリシーに渡す前に適用されます。セキュリティ インテリジェンスは、レピュテーション インテリジェンスを使用して、シスコの脅威インテリジェンス組織である Talos が提供する IP アドレス、URL、およびドメイン名との接続を迅速にブロックします。必要に応じて、IP アドレス、URL、ドメインを追加または削除できます。

  （注）	IPS ライセンスがない場合、このポリシーは、アクセス コントロール ポリシーで有効と表示されていても展開されません。

• [アイデンティティ（Identity）]：アイデンティティはデフォルトでは適用されません。アクセス コントロール ポリシーによるトラフィックの処理を許可する前に、ユーザーに認証を要求できます。

ステップ 4

（任意） アクセス制御ルールの後に適用される侵入ポリシーを追加します。

1. [侵入ポリシー（Intrusion Policy）] ドロップダウンリストをクリックします。

   

2. リストからシステム提供のポリシーを 1 つ選択します。

ステップ 5

（任意） アクセス制御ルールの後に適用されるファイルポリシーを追加します。

1. [ファイルポリシー（File Policy）] ドロップダウンリストをクリックし、既存のポリシーを選択するか、[ファイルポリシーリストを開く（Open File Policy List）] を選択してポリシーを追加します。

   

   新しいポリシーの場合は、[ポリシー（Policies）] > [マルウェア&ファイル（Malware & File）] ページが別のタブで開きます。

2. ポリシーの作成の詳細については、Cisco Secure Firewall Device Manager Configuration Guideを参照してください。

3. [ルールの追加（Add Rule）] ページに戻り、ドロップダウンリストから新しく作成したポリシーを選択します。

ステップ 6

[Apply] をクリックします。

ステップ 7

[保存（Save）] をクリックします。

ステップ 1

右上の [展開（Deploy）] をクリックします。

ステップ 2

迅速な展開の場合は、特定のデバイスのチェックボックスをオンにして [展開（Deploy）] をクリックします。

または、[すべて展開（Deploy All）] をクリックしてすべてのデバイスに展開します。

それ以外の場合は、追加の展開オプションを設定するために、[高度な展開（Advanced Deploy）] をクリックします。

ステップ 3

展開が成功したことを確認します。展開のステータスを表示するには、メニューバーの [展開（Deploy）] ボタンの右側にあるアイコンをクリックします。