参照情報 › アプライアンス カタログ リファレンス ガイド › システム カタログ › ゲートウェイ › サブネット出力ゲートウェイ アプライアンス

サブネット出力ゲートウェイ アプライアンス

最新バージョン： 3.0.2-1

機能の概要

NET は、アプリケーションの外にあるネットワークに発信アクセスできるようにする出力ゲートウェイです。 NET は、その in 端子でアプリケーションからのトラフィックを受け付け、その外部インターフェースを介して外部ネットワーク（インターネットなど）に転送します。

NET には送信トラフィック（接続とデータグラム）のみを許可するファイアウォールがあります。すでに確立された接続用でないか、データグラム リクエストに関連しない受信トラフィックを除外します。 NET は、そのゲートウェイを通じてアクセスできる IP アドレスのセットをさらに制限するように設定できます。

NET はデフォルト ネットワーク ゲートウェイ、およびその端子に接続されたアプライアンス用の DNS サーバとして動作します。

重要： ゲートウェイ出力端子のみを NET の in 端子に接続する必要があります。

NET は、そのホスト名が実行時に判定されるアプリケーション外部のサービスにアクセスするために使用されます（たとえば、MX DNS、または Web をトラバースする必要のある検索エンジン ボットから得られたメール サーバ アドレス）。

リソース

端子

外部インターフェースは有効です。 これは送信トラフィックに使用されます。 ネットワーク設定はプロパティによって設定されます。

デフォルト インターフェースは有効です。 これはメンテナンスに使用されます（受信 SSH 接続）。

プロパティ

エラー メッセージ

アプライアンスが開始に失敗すると、以下のメッセージが、アプライアンスのログ ファイルまたはグリッド コントローラのシステム ログのいずれかに表示される場合があります。

• iptables が起動できませんでした
• 指定されたサービスが起動できませんでした
• ルールの設定に失敗しました（終了コード <code>）。バックアップ ルール セットを使用
• バックアップ ルール セットを設定できませんでした（終了コード <code>）

典型的な使用状況

以下の図は、NET を使用してメール転送時にインターネットにアクセスするシンプルなメール サーバ アプリケーション用の NET の典型的な使用状況を示しています。

各部の概要

• in - in クラスの入力ゲートウェイ アプライアンス
• mailman - smtp クラスの SMTP サーバ アプライアンス
• out - net クラスの出力ゲートウェイ アプライアンス

in は、受信方向接続を mailman サーバに渡します。 Mailman は、メール リクエストに対応し、ネットワーク ゲートウェイを介して送信メールを送信します。 メールはメッセージごとに 2 段階で送信されます。最初にターゲット メール サーバの DNS リクエストを送信し、次にそのサーバにメッセージを送信します。 ネット ゲートウェイは、mailman サーバから指定された DNS サーバに DNS リクエストを転送し、ターゲット メール サーバへの接続を行います。

上記の例に示す smtp アプライアンスは、CA AppLogic でリリースされません。

以下のセクションでは、典型的なユーザ ケースとともにネットの設定について説明します。

標準ドメインへの無制限のアクセス

このモードでは、通常のネットワーク ゲートウェイ（たとえば、ISP を使用してインターネットに LAN を接続するなど）によく似た方法で NET が設定されます。

例：

注： 多くの企業は、自社のプライベート DNS サーバを介してのみ解決できる内部ドメイン（たとえば .local、.localdomain など）を持っています。 そのようなドメインを使用するには、dns1 と dns2 のプロパティを、それらのプライベート DNS サーバを指すように設定します。 以下の可能なホスト制限機能も参照してください。

ルート DNS サーバを使用した標準ドメインへの無制限のアクセス

このモードでは、NET は特定の DNS サーバを必要とせず、一連のあらかじめ設定されたインターネット ルート サーバを使用します。

例：

重要： このモードでは、NET はルート DNS サーバにアクセスします（そのアクセスを行わないと、NET はすべての DNS クエリに失敗します）。 ゲートウェイ プロパティが指定される必要があります。

プライベート ドメインへの制限付きアクセス

このモードでは、NET は指定されたネットワークのみへのアクセスに制限され、特定のホストやサブネットワークを許可または拒否します。

例：

重要： このモードでは、DNS サーバを許可されたホストのセットに含める必要があります。

概要メモ

一般に、端子内の NET に接続される唯一の出力端子タイプはゲートウェイ出力です。 これらの出力は、それらのアプライアンス用のデフォルト ゲートウェイとして機能し、複数ホストへの接続を許可する点で標準出力と異なります（標準出力では単一ホスト アクセスとなります）。 視覚的には、標準出力が赤い矢印で表示されるのに対し、ゲートウェイ出力は端子形状の中の青い正方形で表示されます。

注：

• 出力端子タイプの詳細については、「ADL 言語リファレンス ガイド」を参照してください。
• NET ゲートウェイへの標準出力の接続は、DNS 解決のみを行います。 これは、NET ゲートウェイ（本質的に DNS 解決サービス）の有効な使い方です。
• allowed_hosts リストおよび denied_hosts リストの両方で、直接またはサブネットの一部としてホストが存在する場合、NET はそのホストへのアクセスを拒否します。 NET はまず拒否されたホストをすべて拒否し、次に、許可されたホスト内のホストのみを許可します（標準のセキュリティ プラクティス）。
• 使用するアプリケーションがネットワーク全体へのアクセスを必要とせず、特定のホスト（たとえば ftp.CA.com）へのアクセスを必要とする場合、OUT ゲートウェイ アプライアンスを使用することをお勧めします。
• NET は、アプリケーションに受信リクエストを提供するためには使用されません。 受信リクエストは、IN ゲートウェイ アプライアンスを使用して処理できます。

アプライアンス内で使用されるオープン ソース/サードパーティ ソフトウェア

NET は、ベース クラス LUX5 で使用されるサードパーティのオープン ソース パッケージに加えて、以下のサードパーティのオープン ソース パッケージを使用します。

MySQL レプリケーション用の安全な IPv6 VPN トンネルの提供

以下の図は、ユーザが MySQL レプリケーション用の安全な IPv6 VPN トンネルを提供する方法の一例を示しています。

ここでは、前の例から同じ 2 つの適用例を使用しますが、IPv6 ネットワーク上で実行される点が異なります。

vpn1 と vpn2 は、外部インターフェース上のルーティング可能な IP アドレスで設定されます。 vpn1 は vpn2 へのトンネルを確立するように設定され、vpn2 は vpn1 へのトンネルを確立するように設定されます。

グリッド A からの db1 は、レプリケーションのために vpn1 へトラフィックを送信します。そこでトラフィックは暗号化されて vpn2 に転送された後、復号化されてグリッド B 上の db2 のリング ターミナルへ送信されます。 グリッド B 上の db2 からグリッド A 上の db1 へのレプリケーションも、同じ仕組みで動作します。

vpn1：

vpn2：