GateWay(以下、DSIGW)では、データセンターを跨いだ広域負荷分散されたプロキシ及びセキュリティ機能一式をパッケージとして提供します。Oneからのセキュアプロキシ環境を実現できます。オンデマンドによるサービス提供のため、リアルタイムにセキュアプロキシ環境の増減を可能とします。サービスの特長¶DSIGWは、以下の特長を持ったサービスです。用語定義¶DSIGWでは下記のように用語を定義しています。InterConnectとの接続機能のリソース群をパッケージとしたもの。セルグループ同じポリシーが適用されるセル群。設定情報は「セルグループ」単位で管理されます。セルBが同じセルグループに属し、同じセキュリティポリシーが適用されます。リソース配置¶DSIGWでは下記のようにリソース配置されます。お客さまが購入したDSIGWリソースを管理するための単位として「Tenant」を定義しています。1契約に対して複数Tenantを作成可能です。1つのTenantに、8個のセルグープを作成することが可能です。1つのセルグループに、31個のセルを作成することが可能です。サービスを利用するための前提条件¶DSIGWを利用するにあたり、お客さまにて下記をご用意頂く必要があります。作成頂く必要がございます。1つのセルにつき/26のアドレスを必要とします。InterConnectとの接続は、お客さまにて実施して頂きます。注釈/26の借用アドレスに関して下記は利用不可となります。サービスで利用できる機能は、以下の機能です。これら機能を一式として定型化された構成を提供します。InterConnect接続と、インターネットへの接続機能を提供します。お客さまがインターネット接続する際のプロキシ機能(HTTP/HTTPS)を提供します。お客さまのHTTP/HTTPS通信を最適なセルに振り分けるGSLB機能を提供します。お客さまが設定したプロキシホスト名の名前解決を行う権威DNSサーバ機能を提供します。お客さまのインターネット接続する際の各種セキュリティ機能を提供します。DSIGWの設定で利用できるオブジェクトを定義する機能を提供します。アラート通知機能を提供します。お客さまのセキュリティログを外部に転送する機能を提供します。お客さまのセルのバージョンを変更する機能を提供します。お客さまのセルのプランを変更する機能を提供します。お客さまのADサーバーと連携した認証機能を提供します。DSIGWセルとの接続を提供します。冗長化された設備で構築されたインターネット接続を提供します。InterConnect接続機能、インターネット接続機能をそれぞれ一つずつ提供します。とお客さまDSIGWセルとの接続を提供します。選択可能な情報の詳細は以下の通りです。お客さまがFIC-Consleにて作成した同一エリアのFIC-RouterのIDが自動表示されます。必要なFIC-RouterのIDを選択してください。Groupをgroup_1~8までのどれかを選択可能。サービスのFIC-Consoleにて作成することはできません。DSIGWポータルから作成する必要があります。クラウド/サーバーリソース(コネクション名:DSIGW_connection_任意の数字羅列)が生成されます。クラウド/サーバーリソース分の料金が請求されます。ECL2.0リソース(コネクション名:DSIGW_connection_任意の数字羅列)を、FIC-Consoleにて削除しないでください。削除した場合、DSIGWサービスの利用が出来なくなります。インターネット接続機能¶お客さまDSIGWセルからインターネットに接続するための機能を提供します。インターネットに接続するためのグローバルIPを提供します。お客さまがインターネット接続する際のプロキシ機能(HTTP/HTTPS)を提供します。One拠点からインターネットへのHTTP/HTTPS通信をプロキシする機能を提供します。DSIGWにてプロキシするのはHTTP/HTTPS通信のみとなるため、HTTP/HTTPS通信以外のインターネット接続に関しては別途インターネットGWが必要となります。注釈DSIGWではデフォルトゲートウェイの提供を行っていないため、DSIGW以外のインターネットGWにデフォルトゲートウェイを向ける必要があります。お客さまのHTTP/HTTPS通信を最適なセルに振り分けるGSLB機能を提供します。優先セル設定機能¶お客さまにて、HTTP/HTTPS通信を優先的に流したいセルを設定する機能を提供します。設定できる情報の詳細は以下の通りです。優先セル設定を行う名前を設定することが可能です。HTTP/HTTPS通信を優先的に流したいセルIDを選択することが可能です。優先すべき送信元IPアドレスを設定することが可能です。優先セル設定を行わない場合は、ラウンドロビンにてセルを選択することになります。セルの優先度制御は、セルが提供するDNSサーバへの送信元IPアドレスによって決まります。プロキシホスト名の名前解決のために社内DNSを利用する場合、端末によってセルの優先度を変更するためには、端末が参照する社内DNSを上図のように複数準備し、セルのDNSサーバへ問い合わせを行う社内DNSのIPアドレスを分ける必要があります。お客さまが設定したプロキシホスト名の名前解決を行う権威DNSサーバ機能を提供します。権威DNS機能¶お客さまが設定したプロキシホスト名の名前解決を行います。設定できる情報の詳細は以下の通りです。DSIGWのセルグループで利用するDNSのドメイン名を設定することが可能です。GSLBで用いるプロキシホスト名を設定することが可能です。GSLBで用いるプロキシホスト名(Aレコード)のTTLを10-86400秒の範囲で設定することが可能です。(デフォルト10秒)上記構成図におけるDNSの動作は下記の通りです。選定したプロキシサーバ(プロキシホストのFQDN)のIPアドレスをAレコードとして応答お客さま内部DNSサーバは、お客さま端末へ、セルの権威DNSサーバから応答のあったプロキシサーバのAレコードを応答お客さま端末は、お客さま内部DNSサーバから応答のあったAレコードを、プロキシサーバ(プロキシホストのFQDN)のIPアドレスとしてHTTP/HTTPS通信を開始。上図の例の場合、プロキシサーバのFQDNはproxy.dsigw.example.comとなります。このFQDNをお客さま端末に設定する必要があります。プロキシホスト名のAレコードのデフォルトTTLは10秒となります。プロキシサーバのポート番号は8080となります。お客さま社内DNSサーバ、お客さま端末のDNSキャッシュの保持の方法により、必ずしも10秒で切り替わる訳ではありません。お客さま社内DNSサーバ・お客さま端末の仕様に準じます。各セルのDNSサーバのIPアドレスは、お客様がセルに割り当てたIPアドレスブロック(/26)の先頭アドレスに38を加えたアドレスとなります。IPアドレスおよびアプリケーションによりセッションを識別し、セッション個々に許可/拒否を設定可能。脆弱性を利用した攻撃を検知、防御します。通信フレームのシグネチャから独自のルールで重要度を判定し、重要度毎にアクションを設定可能。通信をスキャンし、シグネチャと一致する場合はActionに定義された処理を行うことでウイルスを発見、感染を防御可能。通信をスキャンし、シグネチャと一致する場合はActionに定義された処理を行うことでスパイウェアを発見し、感染を防御可能。特定のWebサイト・特定カテゴリのWebサイトへの通信を制御可能。ファイル種別を識別し、種別ごとに通信を制御可能。通信スキャンのためHTTPS通信を一時的に復号します。デフォルト設定では、Microsoft365通信のSSL/TLS復号を実施いたしません。(設定を変更することでMicrosoft365通信に対してSSL/TLS復号することも可能です)特定のサイトに対してSSL/TLS復号対象外に設定することも可能です。FireWall機能¶FireWall機能では、送信元IPアドレス、送信先IPアドレス、アプリケーション、サービスに基づき通信の許可もしくは遮断を行い、トラフィックログに記録します。設定できる情報の詳細は以下の通りです。お客様用ポリシールールが設定されていないため、全てのインターネット向けお客様通信が遮断されます。allowのポリシーを追加してください。One拠点→インターネット向けの通信に適用されます。One拠点向けの通信は全て拒否します。reset-bothまたはalertを独自ルールで振り分けます。resetを送信し、セッションをリセットします。ログを残して通信を許可します。そのまま通信を通過します。事前に定義された下記のプロファイルを適用します。プロファイルのデフォルト設定は「IPS中」です。IPS/IDSの無効化も可能です。アンチウイルス機能¶HTTP通信でシグネチャと一致する通信が発生した場合はActionに定義された処理を行います。一般定義されたシグネチャの他に、サンドボックス機能により作成されたシグネチャを基にした処理ができます。プロファイルは、「ブロック(推奨)」「ログのみ」「無効」から選択することができます。製品定義に従って処理を行います。resetを送信し、セッションをリセットします。