IP セキュリティー構成ファイルには、多くの強力な機能、オプション指定、および制御指定があるので、これらのファイルのセットアップは複雑な作業になることがあります。 しかし、ビジネスのセキュリティー要件を明確に識別した後は、IP セキュリティー・ポリシーの実装は、単に要件をポリシー・エージェント構成ファイルに変換するだけのものとなります。
保護モデルの選択は、主にネットワーク・トポロジーによって決まります。IP セキュリティー・ポリシーの構成時、単一のモデルのみに従うことはもちろん十分に可能ですが、z/OS® IP セキュリティー機能では、モデルを同時に幾つでもインストールすることができます。通常は、第 1 のセットの規則により内部ネットワーク・トラフィックを規制し、第 2 のセットにより、接続されているネットワークからのトラフィックを保護し、さらに、第 3 のセットにより、インターネット経由でルーティングされるトラフィックのセキュリティーを確保します。以下のシナリオでは、お客様があるセキュア・サーバーを構成しようとしているものとします。このセキュア・サーバーはマルチホーム・ホストで、内部ネットワーク、外部ネットワーク、およびインターネットをトラバースする広域ネットワークに接続されています。以下のサブトピックに示す構成ガイドラインは、3 つのビジネス・モデルに基づいています。
- トラステッド内部ネットワーク (許可、拒否)
トラステッド内部ネットワーク・モデルでは、サーバーは、プライベートとして制御されるネットワーク内部にあるホストから発信されるトラフィックを保護します。内部ネットワーク上の IP パケットは、一般に、社外から生成されたトラフィックに課せられるほど厳密な制限は受けません。通常、このモデルは、企業内部のユーザーが、Web、FTP、および Telnet などの内部ネットワーク・リソースおよびサービスにアクセスする必要があるという点を考慮して、寛容度の高いものになります。
- パートナー企業 (許可、拒否、強い IPSec 保護)
パートナー企業モデルは、相互に接続された 2 つのネットワークから成り、サーバーは、内部ネットワーク外のホストから発信されたトラフィックを保護します。通常は、2 つの異なるネットワークが物理的に z/OS サーバーに接続されています。トラフィックは内部ホストのみに限定されないので、一般に、セキュリティーはトラステッド内部ネットワーク・モデルの場合より多少厳重になります。各パートナー企業は、他のパートナー企業のマシンを物理的に制御することはできません。提供されるサービスはビジネス要件によって決まりますが、一般的には、Web サーバー、FTP、および Telnet へのアクセスなど、内部ネットワークの場合に与えられるものと同じサービスの多くが含まれます。パートナー企業間では多数のサービスが許可される可能性がありますが、互いに他のネットワークを制御することはほとんどまたはまったくできないため、トラステッド内部ネットワーク・モデルに比べて、より厳重なデータの機密性と認証が必要とされます。2 つのネットワーク間を流れるデータを認証し、かつオプションで暗号化するために、IPSec が頻繁に指定されます。
- 事業所 (許可、拒否、強いトンネル・モード IPSec 保護)
事業所モデルは、IP 接続をインターネットに依存する 2 つのネットワークから成っています。このサーバーは、内部ネットワーク外のホストから発信されるトラフィックを保護しようとします。このトラフィックは、ある時点でインターネットを経由してルーティングされます。インターネットをトラバースするデータを制御する手段は何もありません。このため、セキュリティーに対する必要度はこのモデルの場合が最も高くなります。サービスはビジネスの要件に基づいて提供されますが、一般に、内部で使用できるサービスのサブセットのみが提供されます。インターネットをトラバースし、重要な情報を運ぶすべてのトラフィックを、何らかの形の認証と暗号化を使用して保護する必要があります。
図 1 は、3 つのセキュリティー・モデルのすべてを含むサンプル・ネットワークを示しています。
以下のサブトピックでは、IP セキュリティー・ポリシーを構成するためのステップで説明したステップを使用して、これらのモデルを構成する方法について説明します。ポリシーの例では、デフォルト拒否ポリシーを適用することを前提としています。つまり、明示的に許可されていないトラフィックはすべてブロックされます。