ユーザーズガイド CREATIVE HS-930I

[. . . ] コンプライアンス アプリケーション サーバーで DHCP 用の新し い接続要求ポリシーを作成する。 コンプライアンス アプリケーション サーバーで DHCP サーバー 用の RADIUS クライアントを追加する。 5. DHCP サーバーの DHCP Enforcer の設定 6. DHCP Enforcer のソフトウェアを DHCP サーバーにインストール する。 ヒント: DHCP Enforcer のソフトウェアをインストール後、DHCP Service が各 DHCP サーバーで起動していることを確認する必要 があります。 7. DHCP Enforcer Configuration Tool (設定ツール) を使用して、DHCP Enforcer が DHCP サーバーと連動するように設定する。 DHCP サーバーの設定 8. DHCP Enforcer と連動するように DHCP サーバーを設定する。 6 DHCP 施行ガイド タスク 説明 チェック欄 Sophos Compliance Manager の設定 9. [. . . ] 「完了」をクリックします。 ヒント: 作成したポリシーをダブルクリックすると、ウィンドウに指定し た「ポリシー条件」が表示されます。 5. 3 DHCP サーバー用の RADIUS クライアントを追加する (Windows Server 2003) Sophos コンプライアンス アプリケーション サーバー で、インターネット認 証サービス (IAS) にご使用の DHCP サーバーを追加してください。DHCP サー バーから Sophos NAC Advanced に施行の要求を送信できるようにするため、 DHCP サーバーを RADIUS クライアントとして構成する必要があります。 1. ソフォス コンプライアンス アプリケーション サーバーの「スタート」メ ニューから、「 管理ツール > インターネット認証サービス 」をクリック します。 インターネット認証サービスが開きます。 2. 「RADIUS クライアント」を右クリックし、「新しい RADIUS クライアン ト」をクリックします。 14 DHCP 施行ガイド 3. 「フレンドリ名」フィールドに「DHCP」と入力し、「クライアントのア ドレス」フィールドにご使用の DHCP サーバーの IP アドレス、または DNS 名を入力します。「次へ」をクリックして続行します。 ヒント: RADIUS クライアントの名前を DHCP にして DHCP が適切に動作 するようにします。この名前は、前の項で作成した接続要求ポリシー名に 一致します。 4. 「共有シークレット」フィールドに「DHCP」と入力し、ご使用の DHCP サーバーの共有シークレットを指定し、確認入力します。DHCP 共有シー クレットは、DHCP サーバーを設定する際に Sophos NAC Advanced と連動 させるために使用します。 ヒント: デフォルトで、「クライアント ベンダ」が「RADIUS Standard」 に選択されているのでそのままにします。 5. 「要求はメッセージ認証属性を含んでいる必要がある」チェックボックス が選択されていないことを確認します。 6. 「完了」をクリックします。 5. 4 DHCP サーバー用の RADIUS クライアントを追加する (Windows Server 2008) Sophos コンプライアンス アプリケーション サーバー で、ネットワーク ポリ シー サーバーにお使いの DHCP サーバーを追加してください。DHCP サー バーから Sophos NAC Advanced に施行の要求を送信できるようにするため、 DHCP サーバーを RADIUS クライアントとして構成する必要があります。 1. ソフォス コンプライアンス アプリケーション サーバーの「スタート」メ ニューから、「 管理ツール > ネットワーク ポリシー サーバー 」をクリッ クします。 ネットワーク ポリシー サーバーが開きます。 2. 「RADIUS クライアントとサーバー」で、「RADIUS クライアント」を右 クリックし、「新規 RADIUS クライアント」をクリックします。 3. 「フレンドリ名」フィールドに「DHCP」と入力し、「アドレス (IP また は DNS)」フィールドにご使用の DHCP サーバーの IP アドレス、または DNS 名を入力します。 ヒント: RADIUS クライアントの名前を DHCP にして DHCP が適切に動作 するようにします。この名前は、前の項で作成した接続要求ポリシー名に 一致します。 15 Sophos NAC Advanced 4. 「共有シークレット」フィールドに「DHCP」と入力し、ご使用の DHCP サーバーの共有シークレットを指定し、確認入力します。DHCP 共有シー クレットは、DHCP サーバーを設定する際に Sophos NAC Advanced と連動 させるために使用します。 ヒント: デフォルトで、「ベンダ名」が「RADIUS Standard」に選択されて いるのでそのままにします。 5. 複数の コンプライアンス アプリケーション サーバー を指定するには、ス テップ 3～8 を繰り返します。 10. 複数の コンプライアンス アプリケーション サーバー を指定した場合は、 適切な「Access for Multiple Servers」(複数のサーバーへのアクセス) オプ ションボタンを選択します。 「Sequential」(順次) アクセスは、指定された順序に従って、すべての コ ンプライアンス アプリケーション サーバー へのアクセスを試みます。 「Balanced」(均等) アクセスは、負荷分散を使用して、すべてのサーバー への均等なアクセスを試みます。 ヒント: 順次アクセスする際のサーバーの優先順位は、「Move Up」(上 へ)、「Move Down」(下へ) ボタンを使用して指定してください。 11. 「OK」をクリックします。 6. 2. 2 フィールドおよびその説明 フィールド 「Enforcer」タブ Enable Policy Compliance 説明 選択すると、予約済みのオプションコードで認識されるものを除 くすべての DHCP 要求パケットに対して、ポリシーコンプライア ンスとレポート機能が有効になります。 DHCP 要求パケットに対してポリシーコンプライアンスを試行す る回数。 次のポリシーコンプライアンスをチェックをするまでの DHCP サーバーの待機時間 (秒)。 Attempts Timeout 19 Sophos NAC Advanced フィールド Default User Class 説明 コンプライアンスを評価しているときに、エラーが発生した場合 など、ポリシーで定義されているユーザークラスを取得できない 場合に使用するユーザークラス。 選択すると、レポート機能が有効になり、予約済みオプション コードが認識されます。 DHCP 要求パケットに対してレポートを試行する回数。 次のレポートイベントを開始するまでの DHCP サーバーの待機時 間 (秒)。 複数のコンプライアンス アプリケーション サーバーへのアクセ ス方法を指定。「Sequential」(順次) アクセスは、指定された順序 に従って、すべてのコンプライアンスアプリケーションサーバー へのアクセスを試みます。「Balanced」(均等) アクセスは、負荷 分散を使用して、すべてのコンプライアンス アプリケーション サーバーへの均等なアクセスを試みます。 ヒント: 連続してアクセスする際のコンプライアンス アプリケー ション サーバーの優先順位は、「Move Up」(上へ)、「Move Down」(下へ) ボタンを使用して指定してください。 Enable Reserved Option Reporting Attempts Timeout Access for Multiple Servers 「DHCP Enforcer RADIUS Enforcer Server Settings」ウィンドウ ヒント: このウィンドウのフィールドは、コンプライアンス アプリケーション サーバー に関連します。 Enable コンプライアンス アプリケーション サーバーが有効であるかど うかの表示。有効にすると、ポリシーコンプライアンスやレポー ト処理にコンプライアンス アプリケーション サーバーが使用さ れます。 コンプライアンス アプリケーション サーバーの IP アドレス。 コンプライアンス アプリケーション サーバーの認証ポート。 コンプライアンス アプリケーション サーバーのアカウンティン グ ポート。 DHCP サーバーの共有シークレット。DHCP サーバー設定で使用 した共有シークレットと同じです。詳細は、DHCP サーバー用の RADIUS クライアントを追加する (Windows Server 2003) (p. 14) ま たはDHCP サーバー用の RADIUS クライアントを追加する (Windows Server 2008) (p. 15) をご覧ください。 DHCP サーバーの共有シークレットの確認入力欄。DHCP サー バー設定で使用した共有シークレットと同じです。詳細は、DHCP サーバー用の RADIUS クライアントを追加する (Windows Server IP Address Authentication Port Accounting Port Shared Secret Confirm Shared Secret 20 DHCP 施行ガイド フィールド 説明 2003) (p. 14) またはDHCP サーバー用の RADIUS クライアントを 追加する (Windows Server 2008) (p. 15) をご覧ください。 「Resolve IP」ウィンドウ Hostname ホスト名。IP アドレスが不明な場合はコンプライアンス アプリ ケーション サーバーの IP アドレス。 21 Sophos NAC Advanced 7 Microsoft DHCP サーバーの設定 Microsoft DHCP サーバーを構成するには、Sophos NAC Advanced で事前定義 済みのユーザークラスと一致する DHCP ユーザークラスを作成する必要があ ります。NULL ユーザークラスは、ポリシーに準拠、または一部準拠してい るエンドポイント用のユーザークラスです。これらのステートのエンドポイ ントにはネットワークアクセスが許可されます。 NACDeny ユーザークラスは、ポリシーに準拠していない、または Compliance Agent がインストールされていないエンドポイント用のユーザークラスです。 ポリシーに準拠していないエンドポイントは検疫され、ネットワークアクセ スが制限されます。ネットワークアクセスは Windows の DHCP スコープ オ プションで指定した内容に従って決定されます。詳細はスコープオプション を編集してユーザークラスを指定する (p. 23) をご覧ください。 ネットワーク上に DHCP で IP アドレスを自動的に取得するプリンタや Windows 以外の OS がある場合は、Compliance Manager の設定で、このよう なエンドポイントを対象から除外する必要があります。詳細はDHCP の適用 除外 (p. 8) をご覧ください。このようなエンドポイントには DHCP Exemption (除外) を作成してください。作成しない場合は、DHCP Enforcement (施行) を有効にした際に、エンドポイントのネットワークアクセスが拒否されま す。適用の対象から除外すると、エンドポイントにネットワークアクセスが 許可されます。詳細は、DHCP 条件による除外を作成する (p. 8) およびIP スコープによる除外を作成する (p. 9) をご覧ください。 ヒント: ここでの説明では、NULL ユーザークラスを想定しています。Microsoft では、NULL ユーザークラスを DHCP サーバー上のデフォルトのユーザーク ラスとしています。NULL ユーザークラスは、ネットワークアクセスを許可 するよう、あらかじめ Sophos NAC Advanced で指定されています。 7. 1 Microsoft DHCP ユーザークラスを定義する Microsoft DHCP サーバーを構成するには、Sophos NAC Advanced で事前定義 済みのユーザークラスと一致する DHCP ユーザークラスを作成する必要があ ります。NULL ユーザークラスは、ポリシーに準拠、または一部準拠してい るエンドポイント用のユーザークラスで、あらかじめ Sophos NAC Advanced で定義されています。これらのステートのエンドポイントにはネットワーク アクセスが許可されます。NACDeny ユーザークラスは、ポリシーに準拠し ていないエンドポイント、Compliance Agent がインストールされていないエ ンドポイント、あるいは Dissolvable Agent を稼動していないエンドポイント 用のユーザークラスで、あらかじめ Sophos NAC Advanced で定義されていま す。ポリシーに準拠していないエンドポイントは検疫され、ネットワークア クセスが制限されます。 22 DHCP 施行ガイド ヒント: NULL ユーザークラスは、Microsoft DHCP サーバーであらかじめ定 義されているため、NULL のユーザークラスを定義する必要はありません。 1. [. . . ] Compliance Manager にログオンします。 2. 「 Manage > Groups 」(管理 - グループ) をクリックします。そして、ペー ジの左下にある「Create Groups」(グループの作成) をクリックします。 34 DHCP 施行ガイド 3. グループの名称と説明を入力します。 重要: ■ Sophos NAC Advanced を RADIUS プロキシとして使用している (別の RADIUS サーバーとの間にこのソフトウェアをプロキシモードで設定し ている) 場合、ユーザーが適切なポリシーを取得できるようにするに は、グループ名が、RADIUS サーバーから返される値と一致するように してください。グループ名が、RADIUS サーバーから返される値と一致 しない、または RADIUS サーバーからグループ名が返されない場合は、 ユーザーにデフォルトポリシー (指定済みの場合) が適用されます。 Active Directory を使用している場合、グループ名は、ユーザーストアに あるセキュリティグループ名と一致するようにしてください。グルー プ名が、ユーザーストアにあるセキュリティグループ名と一致しない 場合は、ユーザーにデフォルトポリシー (指定済みの場合) が適用され ます。 ■ 4. 「Policy」(ポリシー) リストボックスをクリックして、グループに関連付 けるポリシーを選択します。 重要: ポリシーが未選択で、デフォルトポリシーが適用されていない場 合、エンドポイントのコンプライアンスは評価されません。この場合、エ ンドポイントには、以下のアクセステンプレートが適用されます。常にデ フォルトポリシーを適用することをお勧めします。 ■ DHCP Enforcer: エンドポイントには、「 Configure System > Enforcer Settings 」(システムの設定 - エンフォーサの設定) エリアにある Default アクセスステートに関連した、DHCP Enforcer Access Template が適用さ れます。 5. [. . . ]