ファイアウォールポリシーは廃止され、LIFサービスポリシーに置き換えられました。以前は、オンボードファイアウォールはファイアウォールポリシーを使用して管理していました。今後はLIFサービスポリシーを使用します。
ファイアウォールポリシーはすべて空であり、基盤となるファイアウォールでいずれのポートも開きません。代わりに、LIFのサービスポリシーを使用してすべてのポートを開く必要があります。
9.10.1以降にアップグレードしたあとに、ファイアウォールポリシーからLIFサービスポリシーに移行するための操作は必要ありません。以前のリリースのONTAPで使用されていたファイアウォールポリシーと整合性のあるLIFサービスポリシーが自動的に構築されます。カスタムファイアウォールポリシーを作成および管理するスクリプトやその他のツールを使用している場合は、代わりにカスタムサービスポリシーを作成するようにスクリプトのアップグレードが必要になることがあります。

詳細については、LIFとサービスポリシー（ONTAP 9.7以降）を参照してください。

ファイアウォールポリシーは、SSH、HTTP、HTTPS、Telnet、NTP、NDMP、NDMPS、RSH、DNS、SNMPなどの管理サービスプロトコルへのアクセスを制御するのに使用できます。NFSやSMBなどのデータプロトコル用にファイアウォールポリシーを設定することはできません。

ファイアウォールサービスとポリシーの管理には、次のような操作があります。

ファイアウォールサービスを有効または無効にする
現在のファイアウォールサービスの設定を表示する
ポリシー名とネットワークサービスを指定して新しいファイアウォールポリシーを作成する
ファイアウォールポリシーを論理インターフェイスに適用する
既存のファイアウォールポリシーとまったく同一の新しいポリシーを作成する

この機能は、同じSVM内でよく似たポリシーを作成するときや、別のSVMにポリシーをコピーするときに使用できます。
ファイアウォールポリシーについての情報を表示する
ファイアウォールポリシーで使用するIPアドレスおよびネットマスクを変更する
LIFで使用していないファイアウォールポリシーを削除する

ファイアウォールポリシーとLIF

LIFのファイアウォールポリシーは、各LIFを介したクラスタへのアクセスを制限するために使用します。デフォルトのファイアウォールポリシーが、各タイプのLIFを介したシステムへのアクセスにどのように影響し、LIFのセキュリティを調節するためにファイアウォールポリシーをどのようにカスタマイズできるかを理解する必要があります。

network interface createコマンドまたはnetwork interface modifyコマンドを使用してLIFを設定するときに、-firewall-policyパラメーターに指定した値によって、LIFへのアクセスが許可されるサービスプロトコルとIPアドレスが決まります。

ほとんどの場合、デフォルトのファイアウォールポリシーの値をそのまま使用できますが、特定のIPアドレスや管理サービスプロトコルへのアクセスを制限しなければならない場合もあります。設定可能な管理サービスプロトコルは、SSH、HTTP、HTTPS、Telnet、NTP、NDMP、NDMPS、RSH、DNS、およびSNMPです。

すべてのクラスタLIFのファイアウォールポリシーはデフォルトで""に設定され、変更することはできません。

次の表に、LIFの作成時にサービスポリシーに基づいてLIFに割り当てられるデフォルトのファイアウォールポリシーを示します。

ファイアウォールポリシー	デフォルトのサービスプロトコル	デフォルトのアクセス	割り当て対象のLIF
mgmt	dns、http、https、ndmp、ndmps、ntp、snmp、ssh	任意のアドレス（0.0.0.0/0）	クラスタ管理LIF、SVM管理LIF、ノード管理LIF
mgmt-nfs	dns、http、https、ndmp、ndmps、ntp、portmap、snmp、ssh	任意のアドレス（0.0.0.0/0）	SVM管理アクセスもサポートするデータLIF
intercluster	https、ndmp、ndmps	任意のアドレス（0.0.0.0/0）	すべてのクラスタ間LIF
data	dns、ndmp、ndmps、portmap	任意のアドレス（0.0.0.0/0）	すべてのデータLIF

ファイアウォールポリシー

デフォルトのサービスプロトコル

デフォルトのアクセス

割り当て対象のLIF

mgmt

dns、http、https、ndmp、ndmps、ntp、snmp、ssh

任意のアドレス（0.0.0.0/0）

クラスタ管理LIF、SVM管理LIF、ノード管理LIF

mgmt-nfs

dns、http、https、ndmp、ndmps、ntp、portmap、snmp、ssh

任意のアドレス（0.0.0.0/0）

SVM管理アクセスもサポートするデータLIF

intercluster

https、ndmp、ndmps

任意のアドレス（0.0.0.0/0）

すべてのクラスタ間LIF

data

dns、ndmp、ndmps、portmap

任意のアドレス（0.0.0.0/0）

すべてのデータLIF

portmapサービスの設定

portmapサービスは、RPCサービスをRPCサービスが受信接続するポートにマップします。

portmapサービスはONTAP 9.7からは自動で管理されるようになりました。

ONTAP 9.7以降ではportmapファイアウォールサービスは廃止され、代わりに、NFSサービスをサポートするすべてのLIFに対してportmapポートが自動的に開かれます。

ファイアウォールポリシーの作成とLIFへの割り当て

LIFを作成するときに、デフォルトのファイアウォールポリシーが割り当てられます。多くの場合、ファイアウォールのデフォルト設定をそのまま使用でき、変更する必要はありません。ただし、LIFにアクセスできるネットワークサービスやIPアドレスを変更したい場合は、カスタムファイアウォールポリシーを作成してLIFに割り当てます。

タスク概要

data、intercluster、cluster、またはmgmtというpolicy名のファイアウォールポリシーを作成することはできません。

これらの値は、システム定義のファイアウォールポリシー用に予約されています。
クラスタLIFのファイアウォールポリシーを設定したり変更したりすることはできません。

クラスタLIFのファイアウォールポリシーは、どのサービスタイプでも0.0.0.0/0に設定されます。
ポリシーからサービスを削除する必要がある場合は、既存のファイアウォールポリシーを削除してから、新しいポリシーを作成する必要があります。
クラスタでIPv6が有効になっている場合は、IPv6アドレスを指定してファイアウォールポリシーを作成できます。

IPv6を有効にすると、data、intercluster、およびmgmtファイアウォールポリシーの許可されるアドレスのリストに「::/0」というIPv6のワイルドカードが含まれます。
ONTAP System Managerを使用してクラスタ全体のデータ保護機能を設定するときは、必ず、許可されるアドレスのリストにクラスタ間LIFのIPアドレスを含め、クラスタ間LIFと会社所有のファイアウォールの両方でHTTPSサービスを許可してください。

デフォルトでは、interclusterファイアウォールポリシーはすべてのIPアドレスからのアクセスを許可し（0.0.0.0/0、IPv6の場合は::/0）、HTTPS、NDMP、およびNDMPSサービスを有効にするように設定されています。このデフォルトポリシーを変更する場合や、クラスタ間LIFの独自のファイアウォールポリシーを作成する場合は、許可されるアドレスのリストに各クラスタ間LIFのIPアドレスを追加して、HTTPSサービスを有効にする必要があります。
HTTPSおよびSSHのファイアウォールサービスはサポートされていません。

手順

特定のSVMのLIFで使用可能なファイアウォールポリシーを作成します。

system services firewall policy create -vserver vserver_name -policy policy_name -service network_service -allow-list ip_address/mask

ファイアウォールポリシーに追加するネットワークサービスごとに上記のコマンドを繰り返して、各サービスで許可されるIPアドレスを指定できます。
system services firewall policy showコマンドを使用して、ポリシーが正しく追加されたことを確認します。
ファイアウォールポリシーをLIFに適用します。

network interface modify -vserver vserver_name -lif lif_name -firewall-policy policy_name
network interface show -fields firewall-policyコマンドを使用して、ポリシーがLIFに正しく追加されたことを確認します。

ファイアウォールポリシーを作成してLIFに適用する例

次のコマンドは、10.10サブネットのIPアドレスからのHTTPおよびHTTPSプロトコルによるアクセスを許可するdata_httpというファイアウォールポリシーを作成し、SVM vs1のdata1というLIFに適用してから、クラスタのすべてのファイアウォールポリシーを表示します。

system services firewall policy create -vserver vs1 -policy data_http -service http - allow-list 10.10.0.0/16

system services firewall policy show

Vserver Policy       Service    Allowed
------- ------------ ---------- -------------------
cluster-1
        data
                     dns        0.0.0.0/0
                     ndmp       0.0.0.0/0
                     ndmps      0.0.0.0/0
cluster-1
        intercluster
                     https      0.0.0.0/0
                     ndmp       0.0.0.0/0
                     ndmps      0.0.0.0/0
cluster-1
        mgmt
                     dns        0.0.0.0/0
                     http       0.0.0.0/0
                     https      0.0.0.0/0
                     ndmp       0.0.0.0/0
                     ndmps      0.0.0.0/0
                     ntp        0.0.0.0/0
                     snmp       0.0.0.0/0
                     ssh        0.0.0.0/0
vs1
        data_http
                     http       10.10.0.0/16
                     https      10.10.0.0/16

network interface modify -vserver vs1 -lif data1 -firewall-policy data_http

network interface show -fields firewall-policy

vserver  lif                  firewall-policy
-------  -------------------- ---------------
Cluster  node1_clus_1
Cluster  node1_clus_2
Cluster  node2_clus_1
Cluster  node2_clus_2
cluster-1 cluster_mgmt         mgmt
cluster-1 node1_mgmt1          mgmt
cluster-1 node2_mgmt1          mgmt
vs1      data1                data_http
vs3      data2                data

ONTAP 9 マニュアル ( CA08871-402 )

LIFのファイアウォール ポリシーの設定

ファイアウォール ポリシーとLIF

portmapサービスの設定

ファイアウォール ポリシーの作成とLIFへの割り当て

LIFのファイアウォールポリシーの設定

ファイアウォールポリシーとLIF

ファイアウォールポリシーの作成とLIFへの割り当て