アプリケーション層ゲートウェイ（ALG）とは何ですか？

アプリケーション層ゲートウェイ（ALG）は、アプリケーションレベルゲートウェイとも呼ばれ、FTP、SIP、PPTP、TFTP、IKE ESPなど、プロトコルのペイロード内に接続アドレスを埋め込んでいるプロトコルを検査し、NATやファイアウォールの境界を越えてこれらのプロトコルが正常に動作し続けるよう、一時的なファイアウォールのピンホールを動的に開くセキュリティコンポーネントです。

主なポイント

• ALGは、自身のペイロード内にアドレスを埋め込んでいるプロトコルを検査します。
• 静的なポート転送の代わりに、一時的なファイアウォールのピンホールを開きます。
• この製品が対応しているプロトコルは、FTP、SIP、PPTP、TFTP、およびIKE ESPです。
• VOS リリース 22.1.4 以降、IKE ESP ALG はデフォルトで無効になっています。
• Versa ConcertoとDirectorの両方でALGポリシーを設定します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ALG およびVersa · よくある質問

ALGはなぜ重要なのでしょうか？

通常のNATやステートフルファイアウォールは、パケットヘッダー（IP層およびTCP/UDP層のアドレスやポート）を書き換えるだけです。 しかし、一部のプロトコルはこの前提を覆します。FTPは、制御セッションのペイロードにアドレスとポートを記述することで2つ目のデータ接続をネゴシエートし、SIPも同様に音声や動画のストリームを確立します。ヘッダーのみを検査するファイアウォールやCGNATデバイスは、これらの埋め込まれた値を認識できないため、どの着信接続を許可すべきか判断できず、セッションが停止してしまいます。

ALGは、ファイアウォールに静的な穴を開けたり、NAT機能を完全に無効にしたりすることなく、そのギャップを埋めます。ALGはペイロードを読み込んで埋め込まれたアドレスを特定し、相手側の変換済みアドレスに合わせて書き換え、その1つの接続に限定された一時的なピンホールを開きます。これにより、ファイアウォールがそれ以外のすべての通信に対して閉じた状態を維持しつつ、FTP転送、SIP通話、VPNトンネルをNAT経由で正常に機能させることができます。

ALGとは何ですか？

ALGは、埋め込みアドレスの問題を次の2つの方法のいずれかで解決します。1つは、アプリケーションがファイアウォールがインバウンド通信を許可すべきアドレスとポートの組み合わせを指定する方法、もう1つは、ALGが制御トラフィックを監視し、一致するポートマッピングを動的に開放する方法です。VOSデバイスは、後者のアプローチを採用しています。

代表的な例として、アクティブモードのFTPを挙げましょう。FTPでは2つのセッションが使用されます。1つはポート21上の制御セッションで、ディレクトリの一覧表示やコマンドの発行を行い、もう1つはファイルを転送する別のデータセッションです。 NATの背後にいるクライアントは、制御ペイロード内に内部アドレスをサーバーに送信します。これは、サーバーがルーティングできないアドレスであり、ファイアウォールが接続を予期するよう設定されていないアドレスでもあります。ALGはポート21でリスニングし、データセッションを開始するパケットを監視して、埋め込まれたアドレスを外部NATアドレスに書き換え、接続を許可する一時的なファイアウォールルールを作成します。データセッションが終了すると、ピンホールは閉じられます。

ALGの種類

ALGはプロトコルごとに実装されています。これは、各プロトコルが接続情報を異なる方法で埋め込んでいるためです。FTP ALGは、NATを経由してもサーバーからのデータ接続がクライアントに届くよう、制御セッション内のアドレスを書き換えます。SIP ALGは、SIPシグナリング内のSDPフィールドを解析し、通話で使用されるメディア（RTP）ポートを開きます。PPTP ALGは、Point-to-Point Tunneling Protocol（PPTP）VPNがTCP制御チャネルと並行して確立するGREトンネルを追跡します。TFTP ALGは、ヘッダーのみを検査するファイアウォールからは認識されない、Trivial FTPの接続レス転送を処理します。IKE ESP ALGは、暗号化されたトンネルのためにIKEのUDPチャネルからESPへ切り替わるIPsecネゴシエーションを扱います。

ALG &Versa

Versa 搭載のVOSデバイスでは、FTP、PPTP、SIP、およびTFTP向けのALGがデフォルトで有効になっています。また、VOSリリース22.1.4（サービスリリース2025-09-23）まではIKE ESPも有効になっていましたが、それ以降はデフォルトで無効となっており、 vsm-configs 編集する /opt/versa/etc/vsboot.conf さらに、サービスを再起動して機能を復旧させる必要があります。

Concerto では、管理者は SD-WAN メインテンプレートのワークフローから ALG ポリシーを作成するか、または「Servers & Settings」>「Application Layer Gateway Policies」で個別に作成します。最新リリースについては「アプリケーション層ゲートウェイの設定」、リリース 12.1.1 から 12.2.2 については「アプリケーション層ゲートウェイ (ALG) の設定」を参照してください。 Director では、これに相当する設定は、組織の [その他] > [ALG] メニューにあります。「ALG の設定」を参照してください。いずれの場合も、この設定はデバイスのマスタープロファイルに関連付けられます。

よくある質問

ALGとNATの違いは何ですか？

NATは、パケットのヘッダーに含まれるIPアドレスとポートを変換します。ALGはさらに一歩進んで、独自のアドレスやポート情報を埋め込んでいるプロトコルのペイロードを検査し、NATだけでは作成できない、その埋め込まれたデータのための一時的なファイアウォールのピンホールを開きます。

ALGは、Versa のVOSデバイスにおいて、どのようなプロトコルをサポートしていますか？

FTP、SIP、PPTP、TFTP、およびIKE ESP。これらはそれぞれ個別のALGインスタンスとして実装されているため、管理者はデバイス全体のアプリケーション層検査を一括してオンまたはオフにするのではなく、各プロトコルごとに個別に有効化または無効化したり、ユーザー定義のサービスをプロトコルごとに重ねて適用したりすることができます。

なぜ現在、IKE ESP ALG はデフォルトで無効になっているのですか？

VOS リリース 22.1.4（2025年9月23日付のサービスリリース）以降、IKE ESP ALG は無効化された状態で提供され、UI を通じて再有効化することはできません。これを再有効化するには、 vsm-configs stanza in /opt/versa/etc/vsboot.conf 設定するには enable_ike_alg=true, その後、以下のオプションを指定してサービスを再起動し、 vsh restart CLI コマンド。

ALGは、ファイアウォールやNAT、あるいはその両方と連携して動作しますか？

その両方です。ALGは、ファイアウォールとキャリアグレードNAT（CGNAT）の動作を具体的に連携させて強化するものです。これは、デバイスがNAT境界とステートフルファイアウォールの両方の背後に同時に位置している場合でも、動的にネゴシエーションされる接続を必要とするプロトコルが正常に動作し続けることを可能にする仕組みです。

Versa デバイス上でALGポリシーはどのように設定するのですか？

Concertoでは、SD-WANメインテンプレートのワークフロー、または「Servers & Settings」内で構築され、権限と再利用可能なポリシーオブジェクトを通じて適用されます。Directorでは、「Others」＞「ALG」で組織ごとに設定され、デバイスのプロファイルに関連付けられます。

ALGに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ALGについてお読みになっているなら、次はこれらもぜひチェックしてみてください。