「アドレスグループ」とは何ですか？

アドレスグループとは、IPサブネット、範囲、ワイルドカードアドレス、FQDN、アドレスオブジェクト、または他のアドレスグループを1つの名前でまとめる、再利用可能なVersa ポリシーオブジェクトです。グループに含まれる個々のアドレスをすべて指定する代わりに、このグループを参照することで、1つのセキュリティ、SD-WAN、またはQoSポリシーで複数のアドレスに一度に一致させることができます。

主なポイント

• アドレスグループは複数のアドレスをまとめて、1つのポリシーですべてに一致させることができます。
• メンバーには、サブネット、範囲、ワイルドカード、FQDN、またはその他のグループを含めることができます。
• 静的グループにはメンバーが明示的にリストアップされていますが、動的グループはタグに基づいてメンバーを特定します。
• 1つの組織は、無制限の数のアドレスグループを定義できます。
• セキュリティ、SD-WAN、およびQoSポリシーはすべて、条件としてアドレスグループを受け入れます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ アドレスグループとVersa · よくある質問

アドレスグループはなぜ重要なのでしょうか？

セキュリティ、SD-WAN、およびQoSポリシーは、いずれも送信元アドレスと宛先アドレスに基づいてトラフィックを照合します。グループ化を行わない場合、関連するホストのセット（サーバーのサブネット、パートナーのIP範囲のリスト、クラウドワークロードの群など）に対して1つのアクセス決定を適用する管理者は、必要なすべてのルールに各アドレスを追加しなければならず、そのセットに変更があった際には、各ルールで編集作業を繰り返す必要があります。

アドレスグループは、そのリストを、ルールが一度参照する単一の名前付きオブジェクトに集約します。メンバーを追加または削除すると、そのグループを参照するすべてのポリシーが自動的に更新され、各ルールを個別に処理する必要はありません。動的アドレスグループは、設定時点で固定されていないアドレスに対してもこの利点を拡張します。つまり、ライブマイグレーション中のクラウドワークロードは、IPアドレスが変更されてもポリシーの適用範囲を維持できます。これは、グループが固定値ではなくタグによって照合されるためです。

アドレスグループとは何ですか？

アドレスグループとは、Webサイトのアドレス、アドレスオブジェクト、アドレスファイル、およびその他のアドレスグループを、単一の再利用可能な一致値としてまとめる、名前付きのコンテナです。ポリシーでは、1つのIPサブネット、範囲、ワイルドカードマスク、またはFQDNといった個々のアドレスオブジェクトを参照するのではなく、このグループを参照します。このグループには最大6種類のアドレスタイプを含めることができ、アドレスファイルをアップロードしない場合でも、タイプごとに数万件の値を保持できます。

アドレスグループは、Versa Directorの「オブジェクトとコネクタ」またはConcertoのテナントビューの「再利用可能なオブジェクト」で設定し、ステートフルファイアウォール、NGFW、アプリケーションQoS、ポリシーベースの転送、およびSD-WANトラフィックステアリングポリシーにおいて、送信元または宛先の一致条件として選択します。 また、ポリシールールを構築する際に、その場でグループを作成することも可能です。グループ自体に他のグループを含めることができるため、管理者は階層的なグループ構成を構築できます。例えば、複数のサイトレベルのグループで構成される地域グループなどが挙げられます。

アドレスグループの種類

Versa 2種類のアドレスグループを区別しています。静的アドレスグループでは、その構成要素（アドレスオブジェクト、アップロードされたアドレスファイル、IPサブネット、範囲、ワイルドカードマスク、IPv6サブネット、または他のアドレスグループ）を明示的に列挙します。1つのグループにつき、これら6種類までの組み合わせが可能です。これがデフォルトの設定であり、サーバーのサブネット、パートナーのIP範囲、支社のLANなど、安定したインフラストラクチャに使用されるタイプです。

動的アドレスグループは、固定値ではなくタグに基づいてメンバーを照合するもので、変更されるアドレス（CMSコネクタを通じてタグ付けされたクラウドワークロードや、アップロードされたIPサブネットからタグへのマッピングファイルを通じてマッピングされたホストなど）向けに設計されています。照合条件では、タグをAND/ORロジックで組み合わせるため、タグ付けされたリソースの追加や削除に応じてメンバーシップが更新されます。Concertoのテナントビューワークフローでは、この選択を「静的IPアドレス」と「アドレスフィード」の比較として提示しており、後者は外部フィードからメンバーシップを取得します。

アドレスグループとVersa

アドレスグループは、Versa が提供する再利用可能なオブジェクトの一つであり、設定を一度作成すれば、適用されるすべての場所で参照できるようになります。これには、アドレスオブジェクト、サービス、スケジュール、ロギングプロファイルなどが含まれます。Directorはグループへのすべての参照を追跡するため、管理者は編集や削除を行う前に、どのテンプレートやデバイスがそのグループを使用しているかを確認できます。Concertoの「再利用可能なオブジェクト」ビューでは、これらのオブジェクトに対して「監査ログの表示」および「サブテナントへのコピー」というアクションが追加されています。

アドレスグループは通常、共通の（データストア）テンプレートに紐付けられるため、一度定義されたグループは、それを必要とするテナント内のすべてのサービステンプレートから参照できます。これにより、ブロック対象のパートナーサブネットのリストといった共有ポリシーを、テナント全体のファイアウォールおよびSD-WAN設定全体で一貫して維持できます。また、Directorの[Monitor]タブの[Networking] > [Address Groups]では、アドレスグループのメンバーシップが直接表示されます。フィールドリファレンスの詳細については、「アドレスオブジェクトの設定」を参照してください。

よくある質問

「アドレスオブジェクト」と「アドレスグループ」の違いは何ですか？

アドレスオブジェクトは、1つの一致値（1つのIPサブネット、範囲、ワイルドカードマスク、またはFQDN）です。アドレスグループは、複数のアドレスオブジェクト、アドレスファイル、または他のアドレスグループを1つの名前付きオブジェクトにまとめ、ポリシーがグループを1回参照するだけでそれらすべてに一致させることができるようにします。

静的アドレスグループと動的アドレスグループの違いは何ですか？

静的アドレスグループでは、メンバー（サブネット、範囲、FQDN、アドレスオブジェクト）が明示的に指定されます。一方、動的アドレスグループはタグに基づいてメンバーを特定します。これは主に、IPアドレスが変更されるクラウドワークロード向けに設計されており、タグ付けされたリソースの追加や削除に応じてメンバーシップが自動的に更新されるため、グループの設定を編集する必要がありません。

アドレスグループには、他のアドレスグループを含めることはできますか？

はい。静的アドレスグループでは、アドレスオブジェクト、サブネット、範囲、FQDNに加え、他のアドレスグループをネストさせることができます。これにより、管理者は階層的なグループ構成を構築できます。例えば、複数のサイトレベルのグループを1つの地域グループにまとめ、単一のポリシールールからそのグループを直接参照できるようにすることができます。

アドレスグループに対して、どのポリシーを割り当てることができますか？

アドレスグループは、ステートフルファイアウォールやNGFWのセキュリティポリシー、アプリケーションQoS、ポリシーベースの転送、およびSD-WANのトラフィックステアリングポリシーにおいて、有効な送信元または宛先の照合条件となります。つまり、単一のIPアドレス値ではなく、送信元または宛先アドレスに基づいてトラフィックを照合する必要があるポリシールールが適用されるあらゆる場面で利用可能です。

組織が作成できるアドレスグループの数に制限はありますか？

いいえ――Versa Directorでは、組織ごとのアドレスグループ数に制限を設けていません。制限はグループ内で適用されます。具体的には、アドレス種別は最大6種類まで、また、1つの種別につき最大32,767件まで登録可能です。これを超える場合は、アドレスファイルのアップロードが必要となります。

アドレスグループの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

アドレスグループについてお読みになっているなら、次はこれらもぜひチェックしてみてください。