UTMのネットワーク設定について

UTM（Unified Threat Management）は、ファイアウォール、侵入防御（IPS/IDS）、ウイルス対策、VPN、Webフィルタリングなど複数のセキュリティ機能を統合したネットワーク防御の中核装置です。

この1台で「通信制御」「マルウェア対策」「外部侵入防御」などを一元管理できるため、中小企業から大規模組織まで幅広く導入されています。

本稿では、UTM導入時に押さえるべきネットワーク構成・ポリシー設計・運用管理のベストプラクティスを詳しく解説します。

ネットワーク構成の基本設計

UTMはネットワークの境界（ゲートウェイ）に設置され、社内LANとインターネットの間で通信を制御します。

インターネット
    │
  [WAN]───UTM───[LAN]
                   │
              社内ネットワーク

補足： DMZは「社内ネットワークを守る中間層」。外部公開サーバをDMZに置くことで、内部LANの侵入リスクを最小化できます。

UTMは単なるゲートウェイではなく、「どの通信をどの経路へ通すか」を判断するルーティング設定と、「内部・外部で異なるアドレス体系をつなぐNAT設定」が必須です。

特定ネットワークへの経路を手動で指定します。

例：本社から支社（192.168.20.0/24）へのVPN通信

宛先ネットワーク：192.168.20.0/24
ゲートウェイ：VPNトンネルインターフェース

VPNがルートベース型の場合、ルート設定を明示。
ポリシーベースVPNの場合は暗号化ポリシーがルーティングを兼ねます。

内部のプライベートIPを外部通信で使えるグローバルIPに変換する仕組みです。

種類	用途	内容
SNAT（送信元NAT）/PAT	内部→外部通信	社内LAN→インターネット時の変換。多くは1つのグローバルIPを共有（Port変換含む）
DNAT（宛先NAT）	外部→内部通信	外部からの通信を内部サーバ（DMZなど）へ転送
Hairpin NAT	内部から外部FQDN経由で内部サーバへアクセスする際に利用（NATループバック）

注意： DNAT設定だけでは通信は通りません。対応するファイアウォールポリシー（WAN→DMZ/LAN）の許可設定が必須です。

UTMの中心機能は「通信をどの条件で通すか」を決めるセキュリティポリシーです。

優先度	送信元	宛先	サービス	アクション
1	LAN	WAN	HTTPS (443)	Allow
2	WAN	DMZ	HTTP (80)	Allow
3	Any	Any	Any	Deny（デフォルト）

ポイント
LAN→WAN方向も“全許可”ではなく、業務上必要な通信（例：HTTP/HTTPS/NTP/SMTPなど）に限定するのが原則です。

UTMはファイアウォールに加えて多層防御を実現します。

種類	用途
サイト間VPN	本社⇔支社などの拠点接続
リモートアクセスVPN	テレワーク・外部社員の安全な接続

UTMは導入後の運用管理がセキュリティ品質を左右します。

メーカー	管理画面URL例	特徴
Fortinet FortiGate	https://192.168.1.99/	高性能・FortiViewによるトラフィック可視化が強力
Sophos XGS	https://172.16.16.16:4444/	GUI操作が直感的、アプリ識別制御が得意
WatchGuard Firebox	https://10.0.1.1:8080/	ポリシーベース構成が明確で中小企業に人気
Palo Alto Networks NGFW	https://192.168.1.1/	アプリ識別と脅威インテリジェンスが先進的