StorageGRID 内部ファイアウォールを設定する
変更を提案
PDF
StorageGRID ファイアウォールを設定して、StorageGRID ノードの特定のポートへのネットワーク アクセスを制御できます。
-
"対応ウェブブラウザ" を使用して Grid Manager にサインインしています。
-
"特定のアクセス権限"があります。
-
"ファイアウォール制御を管理する"および"ネットワーク構築ガイドライン"の情報を確認済みです。
-
管理ノードまたはゲートウェイノードが、明示的に設定されたエンドポイントでのみ受信トラフィックを受け入れるようにするには、ロードバランサーのエンドポイントを定義します。
クライアントネットワークの設定を変更する際、ロードバランサーのエンドポイントが設定されていない場合、既存のクライアント接続が失敗する可能性があります。
StorageGRID の各ノードには内部ファイアウォールが搭載されており、グリッド内のノード上のポートの一部を開閉することができます。ファイアウォール制御タブを使用すると、グリッドネットワーク、管理ネットワーク、およびクライアントネットワークでデフォルトで開いているポートを開閉できます。また、閉じられたグリッドポートにアクセスできる特権 IP アドレスのリストを作成することもできます。クライアントネットワークを使用している場合、ノードがクライアントネットワークからの受信トラフィックを信頼するかどうかを指定したり、クライアントネットワーク上の特定のポートへのアクセスを設定したりできます。
グリッド外のIPアドレスに対して開放するポート数を、必要最低限のものだけに制限することで、グリッドのセキュリティを強化できます。ファイアウォール制御の3つのタブそれぞれの設定を使用して、必要なポートのみが開いていることを確認します。
ファイアウォール制御の使用方法に関する詳細情報（例を含む）については、"ファイアウォール制御を管理する"を参照してください。
外部ファイアウォールとネットワーク セキュリティの詳細については、"外部ファイアウォールでアクセスを制御する"を参照してください。
アクセスファイアウォール制御
-
Configuration > Security > Firewall control を選択します。
このページにある 3 つのタブについては、"ファイアウォール制御を管理する"で説明します。
-
ファイアウォールの設定を行うには、いずれかのタブを選択してください。
これらのタブはどの順番で使用しても構いません。1つのタブで設定した内容は、他のタブでの操作を制限するものではありません。ただし、1つのタブで行った設定変更は、他のタブで設定されているポートの動作に影響を与える可能性があります。
特権アドレス一覧
「特権アドレス一覧」タブを使用すると、デフォルトで閉じられているポート、または「外部アクセス管理」タブの設定によって閉じられているポートへのアクセス権をホストに付与できます。
特権IPアドレスとサブネットは、デフォルトでは内部グリッドへのアクセス権を持ちません。また、ロードバランサーのエンドポイントや、「特権アドレス一覧」タブで開かれた追加ポートは、「外部アクセス管理」タブでブロックされていてもアクセス可能です。
|
|
「特権アドレス一覧」タブの設定は、「信頼されていないクライアントネットワーク」タブの設定を上書きすることはできません。 |
-
「特権アドレス一覧」タブで、閉じられたポートへのアクセスを許可するアドレスまたは IP サブネットを入力します。
-
必要に応じて、*別のIPアドレスまたはサブネットをCIDR表記で追加する*を選択して、追加の特権クライアントを追加します。
特権リストには、できるだけ少ないアドレスを追加するようにしてください。 -
必要に応じて、*特権IPアドレスによるStorageGRID内部ポートへのアクセスを許可する*を選択します。"StorageGRID内部ポート"を参照してください。
このオプションを選択すると、内部サービスに対する一部の保護機能が解除されます。可能であれば無効にしておいてください。 -
* 保存 * を選択します。
外部アクセスを管理する
「外部アクセス管理」タブでポートを閉じると、そのIPアドレスを特権アドレスリストに追加しない限り、グリッド以外のIPアドレスからそのポートにアクセスできなくなります。デフォルトで開いているポートのみ閉じることができ、閉じたポートのみ開くことができます。
|
|
「外部アクセス管理」タブの設定は、「信頼されていないクライアントネットワーク」タブの設定を上書きすることはできません。例えば、ノードが信頼されていない場合、「外部アクセス管理」タブでSSH/22ポートが開いている設定になっていても、クライアントネットワーク上ではSSH/22ポートはブロックされます。「信頼されていないクライアントネットワーク」タブの設定は、クライアントネットワーク上の閉じられたポート（443、8443、9443など）を上書きします。 |
-
*外部アクセスを管理*を選択します。このタブには、グリッド内のノードの外部ポート（デフォルトでグリッド以外のノードからアクセス可能なポート）をすべて一覧にした表が表示されます。
-
以下のオプションを使用して、開放または閉鎖するポートを設定します：
-
各ポートの横にあるトグルスイッチを使用して、選択したポートを開閉します。
-
表示されているすべてのポートを開く を選択すると、表に表示されているすべてのポートが開きます。
-
表示されているすべてのポートを閉じる を選択すると、表に表示されているすべてのポートが閉じられます。
Grid Manager のポート 443 または 8443 を閉じると、ご自身を含め、現在ブロックされたポートに接続しているすべてのユーザーは、IP アドレスが特権アドレスリストに追加されていない限り、Grid Manager へのアクセス権を失います。
表の右側にあるスクロールバーを使用して、利用可能なすべてのポートを確認してください。検索フィールドにポート番号を入力することで、任意の外部ポートの設定を検索できます。ポート番号の一部を入力することもできます。たとえば、「2」と入力すると、名前に「2」という文字列が含まれるすべてのポートが表示されます。 -
-
*保存*を選択します
信頼できないクライアントネットワーク
ノードのクライアントネットワークが信頼されていない場合、ノードはロードバランサーのエンドポイントとして構成されたポート、およびオプションでこのタブで選択した追加ポートでのみ受信トラフィックを受け入れます。このタブを使用して、拡張で追加される新しいノードのデフォルト設定を指定することもできます。
|
|
ロードバランサーのエンドポイントが設定されていない場合、既存のクライアント接続が失敗する可能性があります。 |
「信頼されていないクライアントネットワーク」タブで行った設定変更は、「外部アクセスの管理」タブの設定を上書きします。
-
「信頼できないクライアントネットワーク」を選択します。
-
「新規ノードのデフォルト設定」セクションで、拡張手順でグリッドに新しいノードが追加されたときのデフォルト設定を指定します。
-
信頼済み（デフォルト）：拡張でノードが追加されると、そのクライアントネットワークは信頼済みになります。
-
信頼されていない：拡張機能でノードが追加されると、そのクライアント ネットワークは信頼されません。
必要に応じて、このタブに戻って特定の新規ノードの設定を変更できます。
この設定は、StorageGRID システムの既存のノードには影響しません。 -
-
以下のオプションを使用して、明示的に設定されたロードバランサーエンドポイントまたは追加の選択されたポートでのみクライアント接続を許可するノードを選択してください。
-
「表示されているノードの信頼を解除する」を選択すると、テーブルに表示されているすべてのノードが信頼されていないクライアントネットワークのリストに追加されます。
-
「表示されているノードを信頼する」を選択すると、表に表示されているすべてのノードが「信頼されていないクライアントネットワーク」リストから削除されます。
-
各ノードの横にあるトグルスイッチを使用して、選択したノードのクライアントネットワークを「信頼済み」または「信頼されていない」に設定します。
例えば、*表示されているノードを信頼しない*を選択すると、すべてのノードが「信頼されていないクライアントネットワーク」リストに追加され、その後、個々のノードの横にあるトグルを使用して、そのノードを「信頼できるクライアントネットワーク」リストに追加することができます。
表の右側にあるスクロールバーを使用して、利用可能なすべてのノードが表示されていることを確認してください。検索フィールドにノード名を入力することで、任意のノードの設定を検索できます。名前の一部を入力することもできます。例えば、GW と入力すると、名前に「GW」という文字列が含まれるすべてのノードが表示されます。 -
-
* 保存 * を選択します。
新しいファイアウォール設定は即座に適用され、有効になります。ロードバランサーのエンドポイントが設定されていない場合、既存のクライアント接続が失敗する可能性があります。