2.3.2　ファイアウォール透過

■ パケット・フィルタリングを設定するには

パケット・フィルタリングを設定するには，次の作業が必要です。

1. アプリケーションが使用するポート番号など通信の方式を調べる。

   ファイアウォールの通過条件として設定するポート番号やIPアドレスおよび通過方向を確認します。

   JP1/AJS3の場合，この項での説明と，「付録A 設定するポート番号一覧」の説明を参照して，通信方法を確認してください。

2. ファイアウォールに通過条件を設定する。

   すべての通過を禁止してから，特定の通信パケットだけがファイアウォールを通過できるよう通過条件を設定します。

   JP1/AJS3の場合，手順1で確認したJP1の通信がファイアウォールを通過できるように設定してください。

■ JP1/AJS3の場合の設定例

ここでは，JP1/AJS3 - ViewとJP1/AJS3 - Managerの間にファイアウォールがある環境を例に，パケット・フィルタリングの設定について説明します。

例：JP1/AJS3 - Viewをファイアウォール経由でJP1/AJS3 - Managerに接続する。

• JP1/AJS3 - Managerは，クラスタではない通常のシステムとする。

• JP1/AJS3 - ViewのマシンのIPアドレスは100.100.100.10とする。

• JP1/AJS3 - ManagerのマシンのIPアドレスは200.200.200.20とする。

• ポート番号は，JP1の標準のポート番号を使う。

  図2‒17　JP1/AJS3のパケット・フィルタリングの設定例

1. JP1の通信の方法を調べる。

   まず，パケット・フィルタリング設定に必要な情報である，JP1の通信の方法を調べます。「(3) JP1/AJS3の通信」の説明を参照すると，JP1/AJS3 - Viewが使用するポート番号について次のような表で説明されています。

   表2‒5　JP1/AJS3 - ViewとJP1/AJS3 - Managerの間の通信

   JP1/AJS3 - View	方向	JP1/AJS3 - Manager
   （ANY）	→	20244/tcp（jp1ajs2monitor）

   この表は，次のような通信の方法を意味しています。

   • JP1/AJS3 - Managerはポート番号20244を使用し，JP1/AJS3 - Viewからの接続を受け付ける。つまり，JP1/AJS3 - Viewは，JP1/AJS3 - Manager側のポート番号20244に接続する。

   • ポート番号20244は，jp1ajs2monitorというサービス名で定義されている。環境設定でポート番号を20244以外に変更することもできる。

   • JP1/AJS3 - View側のポート番号は，そのときに空いている任意のポート番号（ANY）がOSによって自動的に割り当てられる。

   • 接続する方向は，JP1/AJS3 - ViewからJP1/AJS3 - Managerの方向である。この方向は，ネットワークAからネットワークBの方向に接続するときだけファイアウォール通過を許可するなど，通過方向を制限したいときに使う。

   • プロトコルはTCPである。

   • TCPは双方向の通信であるため，行き（JP1/AJS3 - View→JP1/AJS3 - Manager）と帰り（JP1/AJS3 - View←JP1/AJS3 - Manager）の通信がある。行きと帰りの通信パケットでは，送信元（Source）と送信先（Destination）が入れ替わる。

   使用するIPアドレスは，JP1/Baseの通信設定に依存します。JP1/Baseの通信設定については，マニュアル「JP1/Base 運用ガイド」を参照してください。

2. パケット・フィルタリングを設定する。

   確認したJP1/AJS3 - ViewとJP1/AJS3 - Managerの通信の方法を基に，この通信だけがファイアウォールを通過できるように設定します。

   パケット・フィルタリングの通過条件は次の表のようになります。

   表2‒6　フィルタリング条件の例（JP1/AJS3 - ViewとJP1/AJS3 - Managerの場合）

   項番	SourceAddress	DestinationAddress	Protocol	SourcePort	DestinationPort	Control
   1	100.100.100.10	200.200.200.20	TCP	（ANY）	20244	accept
   2	200.200.200.20	100.100.100.10	TCP	20244	（ANY）	accept
   3	（ANY）	（ANY）	（ANY）	（ANY）	（ANY）	reject

   この表は，パケットを確認する条件と条件に一致した場合の制御を示しています。

   Controlの列は，ファイアウォールがパケットの通過を許可（accept）するか，拒否（reject）するかの指定です。

   この表のフィルタリング条件に合わせて，ファイアウォールのパケット・フィルタリングを設定してください。

なお，具体的な設定方法はファイアウォールによって異なります。使用しているファイアウォールのマニュアルを参照してください。

■ NATを設定するには

NATを設定するには，次の作業が必要です。

1. 使用するIPアドレスを確認する。

   まず，アプリケーションが使用するIPアドレスを確認します。IPアドレスを一つしか使っていないマシンの場合は単純ですが，複数のネットワークアダプターがある（つまり複数のIPアドレスがある）場合や，クラスタシステムで論理IPアドレスを使う場合などは，アプリケーションによってどのIPアドレスを使用するかが異なります。

   JP1/AJS3の場合，通常のシステムの場合と，クラスタシステムで論理ホストを設定している場合とで，使用するIPアドレスが異なります。詳細については，マニュアル「JP1/Base 運用ガイド」を参照してください。

2. アドレスの変換ルールを検討し設定する。

   アプリケーションが使用するIPアドレスが確認できたら，変換後のIPアドレスを決めます。

   アドレスの変更ルールが決まったら，NATに設定します。

■ JP1/AJS3の場合の設定例

ここでは，JP1/AJS3 - ViewとJP1/AJS3 - Managerの間にファイアウォールがある環境を例に，JP1の場合の，NATの設定について説明します。

例：JP1/AJS3 - Viewからアドレス変換したJP1/AJS3 - Managerに接続する。

• JP1/AJS3 - Managerは，クラスタではない通常のシステムとする。

• JP1/AJS3 - ViewのマシンのIPアドレスは100.100.100.10とする。

• JP1/AJS3 - ManagerのマシンのIPアドレスは150.150.150.15とする。

  このJP1/AJS3 - ManagerのIPアドレスを200.200.200.20に変換する。

  JP1/AJS3 - Viewからは変換後の200.200.200.20に接続する。

図2‒18　JP1/AJS3のNATの設定例

1. 使用するIPアドレスを確認する。

   NATの設定に必要な情報である，JP1が使用するIPアドレスを調べます。今回の例では，通常のシステムのためホスト名（hostnameの結果）に対応するIPアドレスを使って通信します。

2. アドレス変換ルールを検討し設定する。

   JP1/AJS3 - ManagerのマシンのIPアドレスをNATによって150.150.150.15から200.200.200.20へアドレス変換するよう変換ルールを決めます。

   表2‒7　アドレス変換ルール例（150.150.150.15を200.200.200.20に変換する場合）

   項番	SourceAddress	DestinationAddress	SourceAddress（Transrated）	DestinationAddress（Transrated）
   1	（ANY）	200.200.200.20	（ANY）	150.150.150.15
   2	150.150.150.15	（ANY）	200.200.200.20	（ANY）

   この表は，元のパケットと，アドレス変換したパケット（Transrated）との対応を示しています。

   このアドレス変換ルールをファイアウォールのNAT設定に定義します。

   なお，具体的な設定方法はファイアウォールやルーターによって異なるため，使用している製品のマニュアルを参照してください。

JP1/AJS3 - Viewがアクセスするのは，実際のJP1/AJS3 - Managerのマシンのアドレス（150.150.150.15）ではなく，アドレス変換したあとのアドレス（200.200.200.20）となります。

このため，JP1/AJS3 - Viewからは，あたかもアドレス（200.200.200.20）のホストJP1/AJS3 - Managerにアクセスしているように見えます。

■ JP1/AJS3のポート番号

JP1/AJS3では次のポート番号を使用します。このほかに，前提製品であるJP1/Baseのポート番号も使用します。

JP1/AJS3のポート番号については，「付録A.1 ポート番号一覧」を参照してください。

■ 主なシステム構成と通信

次に主なシステム構成で使用するポート番号と通信の方向を説明します。

なお，ここでの説明とあわせて，次のマニュアルの記述を参照してください。

参照個所

• マニュアル「JP1/Base 運用ガイド」のファイアウォールの通過方向の説明

• 「付録A.2 ファイアウォールの通過方向」

注意事項

ファイアウォールのホストでJP1を使用する場合，自ホスト内の通信については，JP1が使うすべてのポートを通過できるよう設定してください。これは，自ホスト内の処理でもJP1のプロセス同士の通信にポートを使用するためです。

図2‒19　システム構成例

• HOST-M1に，HOST-VのJP1/AJS3 - Viewで接続する。

• HOST-M1とHOST-M2は，相互にジョブを実行する。

• HOST-M1のエージェントとして，HOST-Aを設定する。

• HOST-M1の認証サーバを，HOST-AUTHに設定する。

表2‒8　JP1/AJS3 - ViewとJP1/AJS3 - Managerの通信

JP1/AJS3 - View	方向	JP1/AJS3 - Manager
（ANY）	→	20244/tcp（jp1ajs2monitor）

（システム構成例：HOST-VとHOST-M1に対応）

表2‒9　JP1/AJS3 - ManagerとJP1/AJS3 - Managerの通信

JP1/AJS3 - Manager	方向	JP1/AJS3 - Manager
（ANY）	→	20241/tcp（jp1ajs2qman） 20242/tcp（jp1ajs2qagt） 20243/tcp（jp1ajs2qnfy） 20244/tcp（jp1ajs2monitor） 20245/tcp（jp1ajs2report） 20246/tcp（jp1ajs2eamgr） 20247/tcp（jp1ajs2eaagt） 20300/tcp（jp1ajs2qlagt） 20301/tcp（jp1ajs2qlftp） 23139/tcp（jp1ajs2chkagt） 23160/tcp（jp1ajs2gw）
20241/tcp（jp1ajs2qman） 20242/tcp（jp1ajs2qagt） 20243/tcp（jp1ajs2qnfy） 20244/tcp（jp1ajs2monitor） 20245/tcp（jp1ajs2report） 20246/tcp（jp1ajs2eamgr） 20247/tcp（jp1ajs2eaagt） 20300/tcp（jp1ajs2qlagt） 20301/tcp（jp1ajs2qlftp） 23139/tcp（jp1ajs2chkagt） 23160/tcp（jp1ajs2gw）	←	（ANY）

（システム構成例：HOST-M1とHOST-M2に対応）

JP1/AJS3 - ManagerとJP1/AJS3 - Managerの間の通信です。

表2‒10　JP1/AJS3 - ManagerとJP1/AJS3 - Agentの通信

JP1/AJS3 - Manager	方向	JP1/AJS3 - Agent
（ANY）	→	20242/tcp（jp1ajs2qagt） 20247/tcp（jp1ajs2eaagt） 20300/tcp（jp1ajs2qlagt） 23139/tcp（jp1ajs2chkagt）
20241/tcp（jp1ajs2qman） 20243/tcp（jp1ajs2qnfy） 20246/tcp（jp1ajs2eamgr） 20301/tcp（jp1ajs2qlftp）	←	（ANY）

（システム構成例：HOST-M1とHOST-Aに対応）

表2‒11　JP1/AJS3 - ManagerとJP1/Base（認証サーバ）の通信

JP1/AJS3 - Manager	方向	JP1/Base
（ANY）	→	20240/tcp（jp1bsuser）

（システム構成例：HOST-M1とHOST-AUTHに対応）

Outlookを使用しないでメールシステム連携を行う場合の，JP1/AJS3とメールサーバ間の通信を次の表に示します。

表2‒12　JP1/AJS3とメールサーバの通信

JP1/AJS3	方向	メールサーバ
（ANY）	→	25/tcp（smtp）
（ANY）	→	110/tcp（pop3）
（ANY）	→	587/tcp（Submission Port）

また，その他の構成として他プログラムを使う場合に行われる通信を次の表に示します。

表2‒13　JP1/AJS3 - Managerと他プログラム

JP1/AJS3 - Manager	方向	他プログラム
（ANY）	→	20241/tcp（jp1ajs2qman）
20241/tcp（jp1ajs2qman） 20245/tcp（jp1ajs2report）	←	（ANY）

他プログラムとは，JP1/NQSEXEC，およびJP1/OJE for VOS3のことです。

JP1/AJS3 Console機能を使う場合に行われる通信を次の二つの表に示します。

表2‒14　JP1/AJS3 Console ViewとJP1/AJS3 Console Managerの通信

JP1/AJS3 Console View	方向	JP1/AJS3 Console Manager
（ANY）	→	22275/tcp（jp1ajs2cm）

表2‒15　JP1/AJS3 Console ManagerとJP1/AJS3 Console Agentの通信

JP1/AJS3 Console Manager	方向	JP1/AJS3 Console Agent
（ANY）	→	22276/tcp（jp1ajs2ca）