ゲートウェイの公開範囲
ゲートウェイの公開範囲は、リクエストがアプリのマッピングへ到達する前に、地域または CIDR で入口を制限します。既知の地域、企業ネットワークの出口、VPN のネットワーク範囲にゲートウェイを限定する用途に適しています。ホストのファイアウォールではなく、ログイン認証の代わりにもなりません。
他のルールとの違い
| 仕組み | 決定する内容 |
|---|---|
| ゲートウェイの公開範囲 | リクエストがゲートウェイの入口へ到達できるか |
| IP 許可リスト | 特定の送信元が、手動またはセッションに関連付けられた IP アクセス許可を取得できるか |
| マッピングのアクセスポリシー | Host を公開するか、ログインを必須にするか |
| ホストのファイアウォール | 元のポートをネットワーク層で公開するか。一部のデプロイ方式だけが対応します |
設定方法
システム設定 → ゲートウェイ → 公開範囲 でグローバルルールを設定します。
- 「公開範囲を制限」を有効にします。
- 省、市、必要に応じて通信事業者を指定して地域を追加します。
- 固定 VPN、オフィスネットワークの出口、その他の信頼できるネットワーク範囲をカスタム CIDR で追加します。
- 保存してゲートウェイへ同期します。
選択した地域は、保存時に最終的な CIDR へ解決されます。カスタム CIDR は 1 行に 1 件入力し、IPv4 と IPv6 の両方を使用できます。形式に誤りがあると保存できません。地域を China Telecom、China Unicom、China Mobile で絞り込むには、CIDR データベース 0.1.3 以降が必要です。対応していない場合でも、通常の地域選択とカスタム CIDR は引き続き利用できます。
最初に、自分の VPN やオフィスネットワークの出口など、確実に利用できる CIDR を 1 件追加してから制限を有効にしてください。地域データベース、モバイルネットワーク、プロキシの出口には誤差があります。地域だけで制限すると、旅行中、ローミング中、企業ネットワークからのアクセスが誤ってブロックされやすくなります。
有効だがルールが空の場合
システムでは、「有効だが地域も CIDR もない」グローバル設定を保存でき、その場合は画面に警告が表示されます。この状態でグローバルルールを継承するサブドメインへアクセスできるのは、ゲートウェイで既存の除外対象となっている送信元だけです。制限を無効にした状態とは異なります。サービス用 Host では、個別にカスタム範囲へ変更するか、公開範囲の制限を無効にすることもできます。
この状態では認証 Host へアクセスできなくなる可能性が高いため、ローカルの管理用入口、予備ネットワーク、または明確な Host 上書きポリシーがある場合にだけ使用してください。
検証と復旧
- 許可する外部ネットワークから認証 Host へアクセスし、ログインページが開くことを確認します。
- 許可しないネットワークからは、アップストリームアプリへ到達せず、リクエストが拒否されることを確認します。
- LAN 内の管理用入口を復旧経路として確保してください。唯一のインターネット側管理経路から自分自身を締め出さないようにします。
- 問題が発生した場合は、まず公開範囲の制限を無効にするか CIDR を追加し、その後で IP ジオロケーションサービスと実クライアント IP ヘッダーを確認します。
Host ごとにグローバルルールを上書き
グローバルの公開範囲を有効にすると、サービス用 Host の詳細設定に公開範囲の項目が表示されます。各サービス用 Host では、次のいずれかを選択できます。
| 選択肢 | 動作 |
|---|---|
| グローバル公開範囲を継承 | システム設定 → ゲートウェイ → 公開範囲 の地域および CIDR ルールを使用します |
| カスタム | 現在の Host に設定した地域または CIDR だけを使用し、グローバルルールを完全に置き換えます |
| 無効 | 現在の Host にゲートウェイの公開範囲制限を適用しません。他の Host はそれぞれの設定に従います |
カスタムルールには、地域または CIDR が 1 件以上必要です。ここでの「無効」は、現在の Host に対する公開範囲の検査だけを省略します。マッピング、ログイン認証、その他のゲートウェイ保護が無効になるわけではありません。認証 Host は必ずグローバルルールを継承するため、ここで個別に制限を緩和することはできません。
Host ごとの上書きは、Host ルーティングを使うサブドメインマッピングにのみ適用されます。直接接続モードの元のポート、プロトコルマッピング、fn-knock を迂回できるアップストリームポートは制限されません。
ローカルの送信元に対する認証の除外と、ゲートウェイの公開範囲は別の仕組みです。前段のプロキシがプライベートアドレスを誤って伝達すると、想定と異なる結果になる可能性があります。最初にリクエストログのクライアント IP を確認してください。
よくある問題
保存後、インターネット側の入口をすべて開けない
ローカルまたは予備の管理用入口からアクセスし、グローバルの公開範囲を無効にするか、現在のインターネット接続における送信元 CIDR を追加します。その後、空のルールを誤って保存していないか、地域の解決に成功しているか、前段のプロキシが誤った IP を伝達していないかを確認します。
サービス用 Host にはアクセスできるが、認証 Host にはアクセスできない
サービス用 Host が「カスタム」または「無効」に設定されている可能性があります。一方、認証 Host は常にグローバルルールを継承します。ログイン元をグローバルの公開範囲へ追加してください。サービス用 Host の制限だけを緩和しても解決しません。
地域の選択を保存できない
CIDR サービスへの接続と地域の解決結果を確認します。通信事業者による絞り込みを利用できない場合は、セルフホストした CIDR サービスを更新するか、通常の省／市とカスタム CIDR を使用してください。