WindowsUpdateだけを許可するために必要な前提知識・課題

スポンサーリンク
スポンサーリンク

WindowsUpdateだけを許可する

この記事では、Paloaltoファイアウォールを使って、WindowsUpdateだけを許可する方法について記載する。

しかし設定方法だけを説明されても、おそらくなぜこんな設定が必要なのか全く理解できないはずだ。

実は、WindowsUpdateだけを許可するなんて、とてもシンプルは話なのだが、実は非常に難しい。

大量にある課題をクリアしていく為に、あらゆる対策を施す必要があるのだ。

この記事では最初に、どんな課題があるのかを解説していく。

なお、この記事では、Paloaltoファイアウォールのアプリケーション機能、そしてURLカテゴリ機能について知っていることも重要だ。

どちらもライセンス不要で、標準機能で使えることがポイントだ。

詳細は別の記事に記載しているので、事前に確認しておくことが望ましい。

アプリケーションについては、最新リストを取得できるよう初期設定は済ませておこう。

スポンサーリンク

WindowsUpdateだけを100%許可するのは難易度スーパー高

WindowsUpdateだけを許可したい、それはかなりシンプルなニーズの一つだ。

しかし言葉で言うほど容易いものではない。

具体的には、大量にある更新先の全てを漏れなく許可し続けることが難しいのだ。

設定方法を解説する前に、今やろうとしていることがなぜ難しいのかを解説する。

何故なら、難しい理由・ポイントを押さえておくことで、解決へ大きく前進できるからだ。

スポンサーリンク

WindowsUpdateを許可し続けることが難しい理由

microsoft公式情報ではWildcard(ワイルドカードを多用している)

まず公式サイトを確認してほしい。

大量にURLがワイルドカード付きで並んでいるのがわかる。

ワイルドカードを含む宛先については、前述のURLカテゴリ機能を使えば解決は可能だ。

しかし、この接続先URL一覧は、今後も変わり続けるものだ。

普遍的なURLではない。

つまり普遍的ではないものに対する予防策をセットで仕込む必要性があることをここでは示唆しておく。

microsoft公式情報ではそもそも足りない

シンプルに、microsoft社公式の宛先だけ許可すればいいと思いがちだ。

結論から書く。

実は全く足りていない。

何が足りていないか、それはakamaiなどの、CDNが含まれていないからだ。

CDNへWindowsUpdateの更新がかかった場合は、microsoft.comといったURLではなく、”akamai”系の宛先に通信しようとする。

もうわかっただろう。

microsoft公式情報には、CDNを考慮して許可するといった視点が一切ない。

よって、MS公式情報では、全く足りていないのだ。

CDNへ更新取得しようとする割合

では、CDNへ更新しようとする割合は、どうだろうか。

これは、可変的なもので、一定の統計的な数字があるわけではない。

接続元の国や、ネットワークの状況、WindowsUpdateサーバ(MS社のデータセンター)の混雑具合によっても、CDNがどれだけ使われるか、常に変動するものだ。

しかし、CDNが一切使われないということも、ない。

通常時でも、全体の1~3割程度はMS社のサーバではなく、CDNと通信しているのだ。

WindowsUpdateは途中で通信が遮断されると、受信側で不整合を起こし、Update自体が失敗する

WindowsUpdateが途中で失敗しても、他の通信できる宛先へ更新がかかれば解決すると思いがちだ。

実際、思い通りに機能することもある。

しかし多くの場合ではそうならない。

何故なら、途中で更新が失敗する=中途半端にWindowsUpdateを取得できてしまっているからだ。

この中途半端な状態が、受信側のPC・サーバに異常を引き起こすのだ。

多くの場合、PC・サーバを再起動するか、WindowsUpdateのサービスだけを再起動するか、そういった処置が必要になることがおおい。

名前解決できない宛先へ更新を取得しにいく

仮に、akamai系のURLを追加で許可したとしよう。

実はそれでも足りていない。

WindowsUpdateの通信先にはなぜか、名前解決ができないグローバルIPアドレスへ更新を取りに行く。

正体はCDNなのだが、CDNでは全てのグローバルIPアドレスにDNS設定が施されるわけではないようだ。

しかもこの宛先IPは、当然ではあるが一定ではない。

むしろ変わり続ける。

だから、そこだけ追加で許可するような作業は一時的な効用はあっても持続的な効用はないのだ。


Paloaltoのアプリケーション(MS-UPDATE)識別でも不十分

Paloalto社のアプリケーションで、「MS-UPDATE」というのがある。

一見、これを許可すると万事解決する気がする。

実は全くそうではない。

Paloalto社も公式で、合わせて「Web-browsing」アプリも許可する必要性があると公開している。

このWeb-browsingとは、要はHTTP通信のことだ。

ここで勘の鋭い人は気付いただろう。

Web-browsingを許可してしまったら、WindowsUpdateとは無関係のWebサイトにも通信できてしまう。

これでは何の意味もない。

しかし、MS-UPDATEアプリについては、WindowsUpdateを遮断するには有効だ。

MS-UPDATEも100%ではないが、前述の通り、一部の通信でも遮断できれば、WindowsUpdateは失敗する。

中途半端にWindowsUpdateを取得できても更新は成功しないからだ。

遮断したいのであれば、MS-UPDATEだけを遮断するポリシーを一行かけばそれで事足りるのだ。

さいごに

ここまでで、WindowsUpdateだけを許可するのが何故困難なのか、ある程度理解頂けただろうか。

次回、この困難な壁を突破しにかかる。

\  無料相談 受け付けます  /
最後までお読みいただきありがとうございます。
是非、ご意見・ご感想や個別のお困りごと等々、ご相談ください。

最新コンソールケーブル事情

最近、通称キシメンケーブルと呼ばれる、平たいコンソールケーブルを愛用する往年のエンジニアが驚く製品が登場した。

それが、USBコンソールケーブルである。

名前の通り、最初からUSBタイプのコネクタなので、わざわざキシメンケーブルとUSB変換アダプタ2つを用意する必要がない。

もう、2つ繋げて長すぎて邪魔なコンソールケーブルとはおさらばできるのだ。

最近では、USBポートが標準で備わっているコンソールケーブルがあるのでおススメだ。

USBコンソールケーブル, CableCreation 1.8m [FTDI-FT232RL チップセット内蔵] USB-RJ45シリアルケーブル Cisco、NETGEAR、TP-Link、Linksys、Ubiquiti、Huaweiルータ/スイッチ用 Mac、Windows及びLinuxに対応 ブラック
ブランド保証 CableCreationはよりよい品質のケーブルを作るため、科学的な設計を注目しています。 CableCreationはただのブランドではなく、自分の製造工場も持っているクリエーティブ・チームです。 CableCreationは24ヶ月間の設備保証付き&生涯技術サポートを提供します。 仕様 サイド1:金...

といっても、従来のキシメンケーブルは、ネットワーク機器を購入すると、段ボール箱に同梱して送られてくるのが常である。

そういった場合には、従来通りUSB変換ケーブルがあればいいので、その方が安価であるため、それで十分であろう。

コンソールケーブル RJ-45 DB-9 シリアルケーブル Cisco 互換ケーブル (RJ45-DB9)
コンソールケーブル RJ-45 DB-9 シリアルケーブル Cisco 互換ケーブル (RJ45-DB9)

Sabrent USB 2.0を シリアル(9ピン)DB-9 RS-232 変換ケーブル [Windows 10 / 8.1 / 8/7 / VISTA/XP、Mac OS X10.6以降] 長さ76cm (CB-DB9P)
Sabrent CB-DB9P USB - シリアルコンバーターは、PDAやデジタルカメラからデータを転送するのに最適なソリューションです。 USB - DB9は、利用可能なUSBポートと多くのデバイスで使用されているより従来のRS-232シリアルポート間の接続を提供します。 このアダプターは、USBポート経由で携帯電...


Paloalto PAシリーズを極める最短ルート

自宅で学習している場合は、ヤフオク!などで中古のPaloaltoファイアウォールを自己学習用に購入しておくことをオススメする。

何故ならセキュリティにおいて、概念としては理解できても、ではそれをどうすれば実装できるのかも同時に習得しておかねれば現場で活躍することはできないだろう。

しかし重要インフラに位置する機会がおおいPaloaltoファイアウォールを安易に操作するのは困難だ。

自宅環境に1台テスト用があればそれらの問題を解決できるだろう。

予算に余裕がある場合はPA220を持っておくことをおススメする。

PA200とPA220では、機能こそ同じだがハードウェア性能が全く異なるのだ。

PA200はとにかく遅いと感じるだろう。この待ち時間が学習意欲をそいでしまうならばPA220だ。

しかしPA200でもできることは同じなので、それで十分ならば安価な方がよいだろう。

PAシリーズを安価にGETする

 

PA-200は2018年10月31日に販売終了(EOL)になったため正規では購入できない。

しかし中古市場には安価に存在しており、入手可能だ。

ヤフオク!などで、PA-200を検索

ネットワークアドミニストレータ必携 オススメ最新コンソールケーブル

コメント

スポンサーリンク