（注）	このページの速度設定は、Cisco Expressway 物理アプライアンス上で実行されているシステムのみに適用されます。 これらは仮想マシン (VM) ベースのシステムには適用されません。 VM システムに表示される接続速度は無効であり、基盤となる物理 NIC の実際の速度に関係なく、常に 10000 Mb/s として表示されます。 これは、VM が物理 NIC から実際の速度を取得できないためです。

[イーサネット] ページ ([システム] > [ネットワーク インターフェース] > [イーサネット]) には、Expressway とそれが接続されているイーサネット ネットワーク間の接続速度が表示されます。 Expressway は自動ネゴシエーションのみをサポートしているため、 速度 は常に 自動になります。 Expressway と接続されたスイッチは、接続の速度とデュプレックス モードを自動的にネゴシエートします。

IP ページ (システム > ネットワーク インターフェース > IP) は、Expressway の IP プロトコルとネットワーク インターフェース設定を構成するために使用されます。

Expressway の IP インターフェイスを IPv6 のみ モードに設定すると、それらのインターフェイスは IPv6 のみを使用します。 他のシステムとの通信に IPv4 は使用されず、IPv4 と IPv6 (デュアル スタック) 間の相互運用も行われません。

DNS ページ (システム > DNS) は、Expressway 上の DNS サーバと DNS 設定を構成するために使用されます。

Expressway から IPv4 または IPv6 アドレス範囲への静的ルートを定義できます。 [システム（System）] > [ネットワーク インターフェイス（Network interfaces）] > [静的ルート（Static routes）]に移動します。

このページでは、静的ルートを表示、追加、削除できます。

高度なネットワーク オプションを使用し、Expressway を DMZ に展開する場合は、静的ルートが必要になることがあります。 他の複雑なネットワーク展開でも必要になる場合があります。

ファイアウォール ルールでは、IP テーブル ルールを構成して、Expressway へのアクセスを IP レベルで制御できます。 Expressway では、これらの規則はグループに分類されており、次の順序で適用されます。

• 動的システム ルール: これらのルールにより、確立されたすべての接続/セッションが維持されます。 また、特定のアドレスをブロックするために自動検出機能によって挿入されたルールも含まれます。 最後に、ループバック インターフェイスからのアクセスを許可するルールが含まれます。

• 構成不可能なアプリケーション ルール: これには、SNMP トラフィックや H.323 ゲートキーパーの検出を許可するなど、必要なアプリケーション固有のルールがすべて組み込まれています。

• ユーザが設定可能なルール: これには、Expressway にアクセスできるものを絞り込み、通常は制限する、手動で設定されたファイアウォール ルール (このセクションで説明) がすべて組み込まれています。 このグループには、Expressway LAN 1 インターフェイス (および Advanced Networking オプション キーがインストールされている場合は LAN 2 インターフェイス) 宛てのすべてのトラフィックを許可する最終ルールがあります。

また、前のルールによって明示的に許可または拒否されていないブロードキャスト トラフィックまたはマルチキャスト トラフィックをすべてドロップする、構成できない最終ルールもあります。

デフォルトでは、Expressway の特定の IP アドレス宛てのすべてのトラフィックのアクセスが許可されますが、Expressway が明示的にそのトラフィックをリッスンしていない場合、そのトラフィックはドロップされます。 システムを自分の仕様に合わせてロックダウンするには、追加のルールを積極的に構成する必要があります。

（注）	送信接続からの戻りトラフィックは常に受け入れられます。

ユーザ設定のルール

ユーザ設定のルールは通常、Expressway にアクセスできるものを制限するために使用されます。 次の操作を実行できます。

• トラフィックを許可または拒否する送信元 IP アドレス サブネットを指定します。

• 拒否されたトラフィックをドロップするか拒絶するかを選択します。

  特定のシナリオでは、特定の着信トラフィックをドロップまたは拒否するファイアウォール ルールがあっても、Expressway はトラフィックをプロキシします。 これは、ファイアウォール ルールが新しい受信トラフィックにのみ適用されるためです。 内部ネットワーク上のデバイスが送信接続を開始すると、外部ネットワーク上のデバイスは同じポートを使用して応答します。 IP テーブルには既存のメディアパス情報が含まれているため、ファイアウォール ルールよりも優先度が高いです。

• SSH、HTTP/HTTPS などのよく知られたサービスを構成するか、トランスポート プロトコルとポート範囲に基づいてカスタマイズされたルールを指定します。

• LAN 1 および LAN 2 インターフェイスに異なるルールを設定します ( Advanced Networking オプション キーがインストールされている場合)。ただし、マルチキャスト アドレスなどの特定の宛先アドレスを設定することはできないことに注意してください。

• ルールが適用される優先順位を指定します。

現在アクティブなファイアウォール ルール ページ (システム > 保護 > ファイアウォール ルール > 現在アクティブなルール) には、現在システムに適用されているユーザ設定のファイアウォール ルールが表示されます。 このリストには表示されていない組み込みルールのセットもあります。

ルールを変更する場合は、 ファイアウォール ルールの構成 ページに移動し、新しいルール セットを設定してアクティブ化する必要があります。

自動保護サービスを使用すると、悪意のあるトラフィックを検出してブロックし、辞書ベースのログイン セキュリティ侵害の試みから Expressway を保護することができます。

これは、システム ログ ファイルを解析して、SIP、SSH、web/HTTPS アクセスなどの特定のサービスカテゴリへのアクセスの繰り返し失敗を検出することによって機能します。 指定された時間枠内の障害数が設定されたしきい値に達すると、送信元ホスト アドレス (侵入者) と宛先ポートが指定された期間ブロックされます。 一時的に誤って構成された可能性のある本物のホストがロックアウトされないように、その期間が過ぎるとホスト アドレスは自動的にブロック解除されます。

1 つ以上のカテゴリから除外されるアドレスの範囲を設定できます ( 除外の設定 を参照)。

自動保護は、 ファイアウォール ルールと組み合わせて使用する必要があります。自動保護では特定の脅威を動的に検出して一時的にブロックし、ファイアウォール ルールでは既知のホスト アドレスの範囲を永続的にブロックします。

保護カテゴリについて

Expressway で利用可能な保護カテゴリのセットは、実行中のソフトウェア バージョンに応じて事前に構成されています。 各カテゴリを有効化、無効化、または構成することはできますが、新しいカテゴリを追加することはできません。

特定のログ ファイル メッセージを各カテゴリに関連付けるルールも事前に設定されており、変更することはできません。 [システム（System）] > [保護（Protection）] > [自動検出（Automated detection）] > [設定（Configuration）]に移動し、カテゴリの名前をクリックすると、特定のカテゴリでアクセス失敗/侵入として扱われるログエントリの例を表示できます。 例は、ページの下部にある ステータス セクションの上に表示されます。

[レート制限の概要（Rate limits overview）] ページ ([システム（System）] > [保護（Protection）] > [レート制限（Rate limits）] > [設定（Configuration）]) では、Expressway がクラッシュ、高い CPU 使用率、メモリ使用率の上昇などの問題が発生することなく実行できるレートにトラフィックのカテゴリを制限します。

X14.2 リリース以降、SIP および EDGE トラフィック カテゴリの新規接続に対してデフォルトのレート制限が設定されています。 管理 カテゴリも監視機能に含まれており、設定されたレベルを超える接続イベントの可視性とログ記録が可能になります。

• デフォルトでは、カテゴリ固有のバースト制限により、1 秒あたり 100 件の接続が許可されます。 影響を受けるポートは、個々のカテゴリ編集ページにリストされます。

  • SIP のデフォルトの制限ポートは 5060、5061、および 5062 です。これらのポートは、SIP 設定で変更できます。

  • EDGE のデフォルトの制限ポートは 8443 と 9443 で、固定されています。

• 1 秒あたりの接続数とバースト制限を有効/無効にしたり、変更したりできます。

  • 1 秒あたりの接続数の範囲の値は 1 ～ 250 で、デフォルト値は 100 です。

  • バースト制限の範囲値は 15 ～ 30 で、デフォルト値は 20 です。

  • モードは次のいずれかです:

    • 強制 - しきい値を超えるパケットをログに記録してドロップします。

    • モニター - しきい値を超えるパケットをログに記録してドロップします。

    • 無効 - このカテゴリの機能を無効にします。

• 棒グラフには、時間の経過にわたって確立された接続の数とドロップされた接続の数、またはモニタモードのフラッド値が表示されます。

• カテゴリ別にフィルタリングされたログ リンクは、 関連タスク セクションに記載されています。

重要	TCP プロトコルの場合のみ、 "NEW" 状態が新しい接続とみなされます。 関連する確立された接続はすべて同じ接続として扱われるため、既存の接続からパケットがドロップされることはありません。 UDP プロトコルの場合、関連する確立されたすべての接続が"新しい"接続として扱われます。

レート制限ルールの設定

レート制限ルールを構成するには:

1. システム > 保護 > レート制限 > 構成に移動します

2. 設定したいカテゴリの名前をクリックします。

   そのカテゴリの設定ページに移動します。

3. 必要に応じてカテゴリを設定します。

   1. ステータス – レート制限モードが有効か無効か。

   2. 接続数（1 秒あたり） – 1 秒あたりの接続数を変更します。

   3. バースト制限 – 一致する接続/パケットの最大初期数。この数は、上記で指定した制限に達しないたびに、この数まで 1 つずつ補充されます。

4. [保存（Save）] をクリックします。

システム管理 ページ (システム > 管理) は、次の設定を構成するために使用されます。

• Cisco Expressway システムの名前。

• 管理者がシステムにアクセスする方法。 シリアル ケーブルを使用してユニットに直接接続された PC から Expressway を管理することもできますが、IP 経由でシステムにリモート アクセスする必要がある場合もあります。 これは、HTTPS 経由の Web インターフェイスを使用するか、SSH 経由のコマンド ライン インターフェイスを使用して実行できます。

• FindMe を使用するか、Cisco TelePresence Management Suite Provisioning Extension の他のプロビジョニング サービスを使用するか。

• オプションで、管理サービス (Web ユーザ インターフェイス、REST API、CLI) の管理トラフィックを、LAN3 上の Expressway の専用管理インターフェイス (DMI) を使用するように誘導します。

デフォルトでは、HTTPS および SSH 経由のアクセスが有効になっています。 セキュリティを最適化するには、HTTPS と SSH を無効にし、シリアル ポートを使用してシステムを管理します。 シリアル ポートにアクセスするとパスワードをリセットできるため、Expressway は物理的に安全な環境にインストールすることをお勧めします。

SNMP ページ (システム > SNMP) は、Expressway の SNMP 設定を構成するために使用されます。

Cisco TelePresence Management Suite (Cisco TMS) や HP OpenView などのツールは、SNMP ネットワーク管理システム (NMS) として機能する場合があります。 これらを使用すると、Expressway を含むネットワーク デバイスを監視して、管理上の注意が必要となる可能性のある状態を検出できます。 Expressway は、 RFC 1213 で定義されている最も基本的な MIB-II ツリー (.1.3.6.1.2.1) をサポートしています。

Expressway で公開される情報には次のものが含まれます。

• システム稼働時間

• システム名

• Location

• コールする

• インターフェース

• ディスク容量、メモリ、その他のマシン固有の統計

SNMP はデフォルトでは無効になっています。 したがって、Expressway を SNMP NMS (Cisco TMS を含む) で監視できるようにするには、代替の SNMP モードを選択する必要があります。 設定可能なオプションは次のとおりです。

Expressway は SNMP トラップまたは SNMP セットをサポートしていないため、SNMP 経由で管理することはできません。

（注）	関係する情報は潜在的に機密性が高いため、SNMP はデフォルトで無効になっています。 パブリック インターネット上の Expressway や、内部システム情報を公開したくないその他の環境では、SNMP を有効にしないでください。

時間 ページ (システム > 時間) は、Expressway の NTP サーバを設定し、ローカル タイム ゾーンを指定するために使用されます。

NTP サーバは、Expressway が時刻の正確性を確保するために同期するリモート サーバです。 NTP サーバは Expressway に UTC 時刻を提供します。

システムを正しく動作させるには正確な時間が必要です。

ログインページの設定ページ ([システム（System）] > [ログイン（Login）] ページ) を使用して、ログインページに表示されるメッセージと画像を指定します。 ようこそメッセージのタイトル と テキスト は、管理者が CLI または Web インターフェイスを使用してログインするときに表示されます。

ウェブインターフェイスのログインページのようこそメッセージの上に表示される画像をアップロードできます。

• サポートされている画像ファイル形式は JPG、GIF、PNG です。

• 200x200 ピクセルより大きい画像は縮小されます。

オプションで、ログインするユーザーが続行する前に、ウェルカムメッセージの確認が必要であることを指定できます。 この場合、システムは承諾ボタンを表示し、ユーザーはそれをクリックして続行します。

Expressway が FindMe アカウント データを提供するために TMS Provisioning Extension サービス を使用している場合、ユーザは Expressway ではなく Cisco TMS を介して FindMe アカウントにログインします。

（注）	この機能は CLI を使用して設定できません。

DMI を有効にするには、次の 2 つの側面があります。

1. DMI 機能を有効にすると、管理トラフィック用の LAN3 ポートがオンになります。 ただし、これは排他的ではなく、LAN1 (および設定されている場合は LAN2) も使用できます。Expressway は、LAN3 ポートだけでなく、LAN1/LAN2 でも管理トラフィックをリッスンし続けます。

2. LAN3 を管理トラフィックの唯一のインターフェースにしたい場合は、Expressway で個々の管理サービスを DMI 専用に設定する必要があります。

   （注）	LAN3 サブネットの外部に管理サーバがある場合、現在、トラフィックが LAN3 に送信されるよう、静的 IP ルートも構成する必要があります。

Expressway 管理トラフィックは、サーバベースまたはクライアントベースに分類できます。

Expressway がサーバとなる管理トラフィック:

• HTTP(S) - ウェブ UI 管理および REST API 用

• ssh - CLI 用 (MRA トンネル用ではありません)

• SNMP

Expressway がクライアントとなる管理トラフィック。例:

• HTTP(S) Cisco TMS などの外部マネージャへのフィードバック イベント用

• NTP

• ディレクトリ（LDAP、Active Directory）

• リモート syslog

• システムメトリック（collectd）

まだ行っていない場合は、 [システム] > [管理] に移動して、 [プロビジョニング サービス] を [オン]に設定します。 次に、[システム（System）] > [TMS Provisioning Extension サービス（TMS Provisioning Extension services）] ページを使用して、Expressway が Cisco TMSPE サービスに接続する方法と、必要なサービスを設定できます。 （サービス自体を設定するには、TMS を使用することをお勧めします。 Expressway 経由で行われた Cisco TMSPE サービス構成設定の変更は、TMS には適用されません。

FindMe は特別なケースです。 プロビジョニング サービスを有効にすると、次の構成警告アラームが表示される場合があります。 FindMe のみを使用し、他のプロビジョニング サービスは使用しない場合は、次のアラームを無視できます。

• 電話帳リクエストが正しく機能するには、デフォルト サブゾーンとその他の関連サブゾーンで認証ポリシーを有効にする必要があります。エンドポイントが登録されていない場合は、デフォルト ゾーンでも認証を有効にする必要があります。

• プロビジョニングが正しく機能するには、デフォルト ゾーンと、プロビジョニング要求を受信するその他の関連ゾーンで認証ポリシーを有効にする必要があります。

プロビジョニング サービスの構成可能なオプションを次の表に示します。

TMS Provisioning Extension サービス ページで 完全同期を実行 をクリックすると、いつでも Expressway と Cisco TMS の間でデータの即時再同期を実行できます。 これにより、データが削除され更新される間、Expressway で数秒間サービスが利用できなくなります。 Cisco TMS の最新のアップデートを Expressway に適用するだけの場合は、代わりに [アップデートを確認] をクリックします。