Umbrella: Destination Lists に指定できる項目について

[tkitahar]

• 1. はじめに
• 2. 指定できる項目
• 3. ドメインの指定方法
• 4. URL の指定方法
• 5. IPv4 および CIDR の指定方法

※ 2019 年 10 月 18 日現在の情報をもとに作成しています

1. はじめに

ポリシーの構成要素の 1 つである Destination Lists は、組織が「許可またはブロックしたいドメイン」を直接指定できるようにするために用意されました。この Destination Lists は、その後の機能拡張でドメイン以外の項目も指定できるようになっております。

本記事では Destination Lists に指定できる項目について解説します。

2. 指定できる項目

Allow List (許可リスト) と Block List (ブロック リスト) で指定できる項目は以下の表のとおり異なっております。

	Allow List	Block List
ドメイン (例: cisco.com)	〇	〇
URL (例: wwwin.cisco.com/c/cec/support.html)	×	〇
IPv4 (例: 146.112.62.40)	〇	×
CIDR (例: 146.112.62.0/24)	〇	×

URL は現在 Block List にのみ登録可能です。そのため、ポリシーの Allow-Only Mode を使って特定のエントリーのみ許可 (いわゆるホワイトリスト方式) する場合などにおいては、許可対象として URL を登録できません。

また、IPv4、CIDR は Allow List にのみ登録可能で、Roaming Client の機能である IP Layer Enforcement によってブロックされる IP アドレスを許可させることが可能です。IP Layer Enforcement 以外の目的では使えませんのでご注意ください。

3. ドメインの指定方法

ドメインの指定には、ドメインを構成するラベル (cisco や com などの個々の文字列のこと) とその間のドット記号 (.) だけを含むようにします。

例えば、cisco.com を登録したい場合は、余計な文字は付けず、そのまま cisco.com と入力します。以下に余計な記号を付与した場合の例を紹介します。

(例) 正式なドメイン (FQDN) の表記に倣って、cisco.com. と入力

(例) サブドメインを含めるためにアスタリスク (*) を付ける

 

※ cisco.com を登録すれば www.cisco.com のようなサブドメインも自動的に対象となります

なお、指定するドメインに URL 特有の付加情報「プロトコル名」「ユーザーとパスワード」「ポート番号」「最後のスラッシュ (/)」を付けても、登録時には自動的にすべて省かれます。

(例) http://user:password@cisco.com:80/ と入力

 

また、api.opendns.com などのような Umbrella が運用上使用しているドメインを登録しようとすると、以下のようなエラーが表示されます。

4. URL の指定方法

URL によるブロックは、ドメインによるブロックとは違い、Intelligent Proxy を使うことが前提となるため、必ず Umbrella Insight 以上のサブスクリプションが必要となります。

現在、Umbrella Dashboard で URL によるブロックが使用可能かについては、任意のブロック リストを開き、「Destinations on this list will be BLOCKED」の入力欄に「URL」という文字が表示されているかで確認できます。

(利用できる場合)

(利用できない場合)

さて、URL の指定についてですが、ドメインの指定と同じく、「Destinations on this list will be BLOCKED」の入力欄を使います。

基本的には、入力された内容が「ドメイン ＋ スラッシュ (/) ＋ 任意の文字または文字列」の場合は URL、それ以外はドメインとして識別されます。

(例) umbrella.com/a と入力

なお、「任意の文字または文字列」には、一般的な URL と同じように、スラッシュ (/)、クエスチョン マーク (?)、アンパサンド (&)、イコール (=) を含めて登録できます。

(例) umbrella.com/a/b?c=d&e=f と入力

URL の詳細な指定方法については、以下の公開文書を参照してください。

Enable the Blocking of URLs

https://docs.umbrella.com/deployment-umbrella/docs/custom-url-destination-list-how-to

URL を指定する際の注意点としては、日本語を含む ASCII 以外の文字は入力できないことが挙げられます。

※ URL ではなくドメインであれば、日本語ドメインなど ASCII 以外の文字も使用できます

また、基本的に安全とみなされている大手のサイト (例: cisco.com) の URL は、Intelligent Proxy へのパフォーマンスの影響が考えられるため、以下の画像のように登録できません。

以下のサポート記事には、本記事で紹介したものも含めた URL 登録時のエラーの詳細についての記載があります。

Understanding Destination list error messages for custom block URLs

https://support.umbrella.com/hc/en-us/articles/115006964927-Understanding-Custom-URL-Error-Messages

5. IPv4 および CIDR の指定方法

前述のとおり、Allow List への IPv4 および CIDR の指定は IP Layer Enforcement 専用となります。IPv4 で指定する場合は、そのままアドレス (例: 146.112.62.40) を入力し、CIDR で指定する場合は、アドレスの後にスラッシュ (/) と範囲を示す数字を付け加えます (例: 146.112.62.0/24)。なお、/32 を付けて登録した場合は IPv4 として登録されます。