「ゾーン」とは何ですか？

ゾーン（セキュリティゾーン）とは、Versa の構成要素であり、同じセキュリティ要件を共有するネットワークインターフェースやネットワークを、単一の命名済みオブジェクトとしてグループ化するものです。ゾーンは、SD-WAN、アクセス制御、およびTLS復号ポリシールールにおいて、送信元および宛先の照合基準として機能します。また、オプションでゾーン保護プロファイルを設定することができ、これにより、着信トラフィックを検査して、フラッド、スキャン、および悪意のあるパケットをフィルタリングすることができます。

主なポイント

• ゾーンとは、セキュリティ要件を共有するインターフェースやネットワークをグループ化したものです。
• ゾーンは、SD-WAN、アクセス制御、およびTLS復号ルールにおけるトラフィックと照合されます。
• 1つのテナントは、そのポリシーに対して最大1024のゾーンを設定できます。
• オプションのゾーン保護プロファイルにより、フラッドやスキャンから防御します。
• ゾーン間の通信はデフォルトで拒否され、ゾーン内の通信は許可されます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ゾーンとVersa · よくある質問

ゾーンはなぜ重要なのでしょうか？

ゾーンがなければ、すべてのポリシールールで個々のインターフェースを逐一列挙する必要があり、新しいサイトやWi-Fiホットスポットが追加されるたびに、ルール全体を書き換えることになってしまいます。セキュリティ態勢が共通するインターフェースをゾーンにグループ化することで、ポリシーは変更されることなく維持されます。つまり、あるフロアのアクセスポイントや一連のWANリンクが増減しても、そのゾーン名を参照するルールを1つたりとも変更する必要はありません。

ゾーンは、Versaの次世代ファイアウォールがデフォルトで判断の基準とする境界でもあります。 明示的な設定なしにNGFWルールが有効になっている場合、異なる2つのゾーン間のトラフィックは拒否され、同じゾーン内のトラフィックは許可されます。これは「暗黙的な拒否」という姿勢であり、管理者はゾーン間の経路を無防備なままにしておくのではなく、意識的に開放する必要があります。このデフォルト設定とゾーンごとの保護プロファイルを組み合わせることで、インターフェースのペアごとに1つのルールを設定するのではなく、管理可能な数のルールで、信頼できる内部セグメントと信頼できないセグメントを分離する設計が可能になります。

ゾーンとは何ですか？

ゾーンとは、同一のセキュリティ要件を共有する1つ以上のインターフェース、ネットワーク、ルーティングインスタンス、または組織を、名前を付けてグループ化したものです。ゾーンはテナントごとに設定され、1つのテナントにつき最大1024個まで定義できます。テナント間は互いに分離されているため、異なる2つのテナントが同じゾーン名を重複することなく再利用できます。各ゾーンは、オプションで、単一のゾーン保護プロファイルと、アラームをエクスポートするためのロギングプロファイルを参照することができます。

ゾーンはネットワークとは異なります。ネットワークとは、類似したルーティングインスタンス上の類似したインターフェースをグループ化し、一括して管理できるようにするVOSオブジェクトですが、ゾーンはネットワークやインターフェースの上に構築されたセキュリティポリシーのグループ化であり、ルーティングの概念ではありません。ゾーンは、Directorの [Configuration] > [Networking] > [Zones] で設定します。ゾーンおよびゾーン保護プロファイルの設定ガイドでは、各フィールドごとの設定手順について解説しています。

ゾーンの種類

すべてのVOSデバイスには、システムによって自動的に生成されたいくつかのゾーン（host、ptvi、remote-client、versa-fileexport、およびversa-speedtest）がプリセットされています。これらは、管理者が定義したセグメントではなく、内部のシステム機能を支えるものであるため、決して直接編集してはなりません。

これらに加えて、管理者はポリシー上の必要に応じて、任意のグループ分けのためのユーザー定義ゾーンを作成します。例えば、LANインターフェース用のゾーン、インターネットに接続されたWANインターフェース用のゾーン、あるいは建物の各フロアごとのゾーンなどです。 一般的なパターンとして、これらのゾーンに「信頼済み／信頼不可」という役割を階層的に適用します。具体的には、信頼不可ゾーン（インターネットに接続されている）と信頼済みゾーン（内部）の間にゾーン保護プロファイルを配置し、送信元を信頼不可ゾーン、宛先を信頼済みゾーンとするファイアウォールルールを追加します。この区分は、通常のゾーンとプロファイルに基づいて構築された設計上の慣例であり、独立したゾーンタイプというわけではありません。

ゾーンとVersa

ゾーンは、3つのポリシー領域にわたる一致条件です。SD-WANポリシールールでは、（アドレス、サイト、レイヤー4/7の条件に加えて）送信元ゾーンおよび宛先ゾーンに基づいて一致判定を行うことができます。NGFWのアクセス制御ルールでは、ゾーン間およびゾーン内の一致判定を用いて、暗黙的に拒否されるトラフィックを決定します。また、TLS復号ポリシーでも、ゾーンを基準として設定することができます。

[ネットワーク] > [ゾーン保護プロファイル] で設定されるゾーン保護プロファイルは、新しいフローの最初のパケットにのみ適用され、以下の 4 つの領域を対象とします。 フラッド（TCP、UDP、ICMP などのプロトコルごとの pps しきい値。アラーム、アクティブ、最大レートという各段階あり）、スキャン（ホストスイープ、TCP および UDP による偵察の検出）、パケットベースの攻撃防御（IP スプーフィングやフラグメント処理などの破棄オプション）、および ICMP 専用のチェックです。 1つのゾーンには一度に1つのプロファイルのみを適用できます。「ゾーンおよびゾーン保護プロファイルの設定（NGFW）」ガイドでは、各タブの操作手順を詳しく解説しています。一致したイベントは、Versa Analyticsの「ログ」＞「脅威検出」＞「DoS脅威ログ」に表示されます。

よくある質問

Versa において、「ゾーン」と「ネットワーク」の違いは何ですか？

ネットワークとは、管理上の目的で、類似したインターフェースを類似したルーティングインスタンスごとにグループ化したものです。各インターフェースは、必ず1つのネットワークにのみ属します。ゾーンとは、セキュリティポリシーのグループ化（インターフェース、ネットワーク、ルーティングインスタンス、または組織）であり、ポリシールールにおける一致条件として使用されます。

テナントごとに何つのゾーンを設定できますか？

テナントあたり最大1024のゾーンを設定できます。テナントは共有のVOSデバイス上で互いに分離されているため、ゾーン名はシステム全体ではなく、各テナント内でのみ一意であれば十分です。

デフォルトでは、ゾーン間のトラフィックはどのように扱われるのでしょうか？

NGFWを明示的なルールなしで有効にした場合、ゾーン間のトラフィックは暗黙の拒否ルールによってブロックされますが、ゾーン内のトラフィック（同じゾーン内）は許可されます。ゾーン内のトラフィックをブロックするには、送信元と宛先の両方がそのゾーンに一致する明示的なルールが必要です。

ゾーン保護プロファイルとは何ですか？

ゾーンに紐付けられたオプションのプロファイルで、新しいフローごとに最初のパケットを検査し、トラフィックフラッド、ポートスキャン、ホストスイープ、および不正な形式やなりすましされたパケットを検知し、トラフィックがネットワークに到達する前に、設定可能な閾値とドロップアクションを適用します。

システムによって生成されたゾーンは編集できますか？

いいえ。「host」、「ptvi」、「remote-client」、「versa-fileexport」、「versa-speedtest」などのゾーンは、内部システム機能をサポートするものであり、編集対象として選択すべきではありません。管理者が定義するゾーンは、ポリシーで使用するために別途作成されます。

ゾーンとネットワークのセグメンテーションに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ゾーンについて読んでいるなら、次はこれらもぜひチェックしてみてください。