Office Communications Server 2007 R2 使用時のファイアウォールの設定
トピックの最終更新日: 2009-05-22
ファイアウォールの構成方法は、組織で使用している特定のファイアウォールにより、大きく変わります。ただし、Office Communications Server 2007 R2 に固有の、各ファイアウォールに共通の構成要件があります。各ファイアウォールを構成する際、製造元の指示、およびこのセクションでの説明に従ってください。このセクションでは、内部ファイアウォールと外部ファイアウォールに対して構成する必要のある設定情報について説明します。
音声ビデオ エッジ サーバーにおいてパブリック ルーティング可能な IP アドレスの要件に従うため、ロード バランサ機器を使用する場合、境界ネットワーク上の外部ファイアウォールを、この IP アドレスに対する NAT として動作させないでください。エッジ サーバーが単一の統合エッジ サーバーである場合、Office Communications Server 2007 R2 では、3 つすべてのエッジ サーバーに NAT を使用できます。
また、内部ファイアウォールを、音声ビデオ エッジ サービスの内部 IP アドレスに対する NAT として動作させないでください。音声ビデオ エッジ サービスの内部 IP アドレスは、内部ネットワークから音声ビデオ エッジ サービスの内部 IP アドレスに完全にルーティング可能である必要があります。
次の図に、境界ネットワーク上の各サーバーに対する既定のファイアウォール ポートを示します。境界ネットワークの内部ファイアウォールと外部ファイアウォールを構成する方法の詳細については、「外部ユーザー アクセス用のエッジ サーバーの展開」を参照してください。
図 1. 境界ネットワーク サーバー用の既定のファイアウォール ポート
.jpg "Dd572904.75f1add0-23ec-4add-8738-719f68adccfa(ja-jp,office.13).jpg")
ベスト プラクティス
境界ネットワークのセキュリティを強化するため、次のようにエッジ サーバーを展開することを推奨します。
- ルーターの外側に、Office Communications Server 用のサブネットを新規に作成します。
- Office Communications Server のサブネットに入ってきたトラフィックが他のサブネットにルーティングされないことを確認します。
- 初期ルーター上で、Office Communications Server 2007 R2 サブネットと他のサブネット (境界ネットワークに対する管理サービスを含む管理サブネットは例外とします) との間のルーティングを禁止するルールを構成します。
- 内部ルーター上で、境界ネットワーク上の Office Communications Server 2007 R2 サブネットからのブロードキャストおよびマルチキャストをすべて禁止します。
- 2 つのファイアウォール (内側のファイアウォールと外側のファイアウォール) の間にエッジ サーバーを展開し、ネットワーク エッジ間のルーティングが厳格に行われるようにします。
さらに、エッジ サーバーのパフォーマンスとセキュリティを向上させ、また、展開作業を円滑に行うことができるようにするため、次のガイドラインに従って展開プロセスを策定してください。
- エッジ サーバーは、内部ネットワーク上に Office Communications Server 2007 R2 を展開した後に展開します。ただし、Microsoft Office Live Communications Server 2005 Service Pack 1 から Microsoft Office Communications Server 2007 R2 に移行する場合は、この限りではありません。移行プロセスの詳細については、「Office Communications Server 2007 からの移行」を参照してください。
- エッジ サーバーは、ドメインではなくワークグループに展開します。これにより、インストールが容易になり、Active Directory ドメイン サービスを境界ネットワークの外側に置くことができます。境界ネットワーク上に Active Directory ドメイン サービスを配置すると、セキュリティ リスクが高くなります。
- エッジ サーバーを実働環境に展開する前に、ステージング環境または試験環境に展開します。テスト展開がニーズを満たし、実働環境に正常に組み込まれたことを確認してから、エッジ サーバーを境界ネットワークの内側に展開します。
- 外部から入ってくるトラフィックに対する認証ゲートウェイとして機能するディレクタを 1 つ以上展開します。
- エッジ サーバーは、必要な処理のみを実行する専用コンピュータ上に展開します。つまり、そのコンピュータ上で、不要なサービスを無効にし、不可欠なプログラムだけを実行します。不可欠なプログラムには、Microsoft SIP Processing Language (MSPL) で記述されたルーティング ロジックを備えたプログラムや、Office Communications Server API を使用するプログラムなどがあります。
- できる限り早期に、コンピュータの監視および監査を有効にします。
- 2 つのネットワーク アダプタがあり、内部ネットワークと外部ネットワークを物理的に分けられるコンピュータを使用します。