ICAPクライアント設定ファイル

Check Point Security Gateway ($FWDIR/conf/icap_client_blade_configuration.C) 上の ICAP Client 設定ファイルには、いくつかのセクションがあります。

各セクションには、該当するパラメータが記載されています。

いくつかのパラメータは、文字列の値しか受け付けません（二重引用符が必須であることに注意してください）。

一部のパラメータは整数値のみを受け付ける。

パラメータ

許可される値

説明

:enabled ()

  • "false"

  • "true"

ICAPクライアント閉じた セキュリティゲートウェイまたはクラスタのICAPクライアント機能は、ICAPサーバのレスポンス（RFC 3507参照）と対話し、そのコンテンツを変更し、一致するHTTP接続をブロックすることを可能にします。機能を制御します。

  • "false" - 機能を無効にする

  • "true" - 機能を有効にする

デフォルト: "false"

:filter_http_method ()

  • :method ("GET")

  • :method ("PUT")

  • :method ("POST")

  • :method ("CONNECT")

  • :method ("HEAD")

  • :method ("OPTIONS")

どの HTTP メソッドを処理するかを制御する。

このセクションが空の場合、HTTPリクエストに対するフィルターはありません。その結果、all HTTPリクエストではICAP機能が有効になりません。

デフォルト： "GET","PUT", および "POST"

:http_services ()

:port (NUMBER)

1〜65535の整数

HTTPパケットをどのポートで処理するかを制御します。

これは、SmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。にデフォルトで定義されているHTTPサービス（例えば、以下のようなもの）に加えて行われます。TCPポート80のHTTPとTCPポート443のHTTPS）。

HTTPパケットを転送するすべてのポートを明示的に追加する必要があります。ポートの範囲指定はサポートされていません。

ICAPフィルタリング（HTTPメソッド）は、このセクションで定義したすべてのポートで機能します。トラフィックがフィルターに一致する場合、そのポートでICAPのフル機能が有効になります。

デフォルト: 8080

ベストプラクティス- 適用可能なポートのみを追加してください。

:inspect_html_response ()

  • "false"

  • "true"

ICAP クライアントが HTTP レスポンスを content-type "text/html" で送信するかどうかを制御します。

  • "false" - ICAP Client は、content-type "text/html" の HTTP レスポンスを送信しません。

  • "true" - また、ICAP Client は、content-type "text/html" で HTTP 応答を送信します。

デフォルト: "false"

:user_check_interaction_name ()

プレーンテキスト文字列（文字列長は最大32文字まで）

UserCheck閉じた Security Gatewayやクラスタ、エンドポイントクライアントの機能で、データ損失やセキュリティ侵害の危険性がある場合に、ユーザに警告を与える機能。これにより、ユーザはセキュリティ事故の防止や、組織のセキュリティポリシーを知ることができます。ブロック閉じた トラフィックとファイルをブロックし、UserCheckメッセージを表示することができるUserCheckルールアクションです。ページの名前を制御します。

デフォルト値を変更した場合、SmartConsoleで値を設定する必要があります。

  1. Objects menu> Object Explorer > More object types > UserCheck > New Drop.

  2. Access Control 関連ポリシーを選択します。

  3. OKをクリックします。。

  4. ICAPクライアントの設定ファイルで設定した名前と同じものを入力する必要があります。

  5. UserCheck Blockページ用の新しいメッセージを追加します。

  6. OKをクリックします。。

  7. このSecurity Gatewayオブジェクトにアクセスコントロールポリシーをインストールします。

デフォルト: "Blocked Message - Access Control"

:trickling_mode ()

  • 0

  • 1

  • 2

  • 3

データトリッキングモードを制御します（「ICAPクライアントデータトリッキングパラメータの設定」参照）。

大きなファイルをアップロードまたはダウンロードする際にHTTP接続のタイムアウトを回避するために、データトリッキングを使用して、オリジナルのHTTPペイロードの一部を宛先に渡し、ICAPサーバ閉じた セキュリティゲートウェイまたはクラスタのICAPサーバ機能は、ICAPクライアントのリクエストに対応し、検査用のファイルを送信して、その結果を返すことができます。はこのHTTPペイロードをスキャンすることができます。

  • 0 -No data trickling.ICAPクライアントは、ICAPサーバから評決を得るまで常にHTTP接続を保持します（小ファイルの処理と同じ機能）。

  • 1 - 読み出し専用モード。ICAPクライアントは、ICAPサーバの応答を待つことなく、HTTPペイロード全体を元の宛先に送信します。ICAPサーバから応答があった場合、ログ設定に従ってログが生成されます。

  • 2 -Trickling from the Start mode.ICAPクライアントは、HTTPペイロード全体を元の宛先に送信しますが、元のHTTP接続速度より遅い速度で送信します。この動作は、ICAPクライアントがHTTPペイロードを元の宛先に送信する前に、ICAPサーバの評決が到着するようにするためです。

  • 3 -Trickling at the End モード。ICAPクライアントは、最後の（一定サイズの）HTTPペイロードを除いて、すべてのHTTPペイロードを元の宛先に送信します。ICAPサーバからの評決に基づき、ICAPクライアントはこの最後のHTTPペイロードを送信するかしないかを決定します。

デフォルト: 0

:log_level ()

  • 0

  • 1

  • 2

  • 3

ICAPクライアントのログレベルを制御します。

  • 0 - ログはありません。

  • 1 - エラーログ(Alertで届く)。

  • 2 - 情報ログ（元のHTTP接続の検証を含む）。

  • 3 - バーボーズログ（ICAPサーバ接続ごとのサービスアクションを含む）。

デフォルト: 0

:icap_servers ()

 

ICAPクライアントが動作するICAPサーバを定義します。

:icap_servers () - :name ()

プレーンテキスト文字列（文字列長は最大32文字まで）

ICAPサーバの名称を定義します。ロギングに使用します。

:icap_servers () - :ip ()

IPv4 アドレス（4 進法）（文字列長は最大 32 文字）。

ICAP サーバの IPv4 アドレスを定義します。

このパラメータは必須です。

注 - Check Pointクラスタ上のICAPサーバの場合、Cluster Virtual IPv4アドレスの入力が必要です。

:icap_servers () - :ip6 ()

IPv6アドレス（文字列長は最大40文字）。

ICAP サーバの IPv6 アドレスを定義します。

このパラメータはオプションで す。

注:

:icap_servers () - :port ()

1〜65535の整数

ICAP サーバのポートを定義します。

デフォルト: 1344

:icap_servers () - :service ()

最大32文字までの平文文字列

ICAPサービスの名称を定義します。

デフォルト: "echo"

:icap_servers () - :proto ()

"icap"

ICAPプロトコルを定義する。

注：この値は変更しないでください。

デフォルト: "icap"

:icap_servers () - :modification_mode ()

  • "reqmod"

  • "respmod"

  • "both"

ICAP修正モードを定義します。

  • "reqmod" - HTTPリクエストモディフィケーション（REQMOD）のみ。

  • "respmod" - HTTPレスポンスモディフィケーション(RESPMOD)のみ。

  • "both" - HTTPリクエストとHTTPレスポンスの両方の修正モードがあります。

デフォルト: "both"

:icap_servers () - :transp ()

"3rd_cpas"

サードパーティ接続の種類を定義します。

注：この値は変更しないでください。

デフォルト: "3rd_cpas"

:icap_servers () - :failmode ()

  • close

  • open

ICAPクライアントフェイルモードを定義します。

  • close - ICAPエラーの場合、元のHTTP接続は閉じられる。

  • open - ICAPエラーの場合、元のHTTP接続は開かれたままです。

  • ログは、log_level () の値に従って記録されます。

ボディを持つ HTTP リクエストまたはレスポンスでは，定義された値にかかわらず，最後のサー ビスフェイルモードアクションは常にclose として扱われる．

デフォルト: close

:icap_servers () - :timeout ()

1から(2^32)-1までの整数。

ICAPクライアントのタイムアウトを定義します（秒単位）。

この時間が経過すると、ICAPクライアントはICAPサーバにリセットを送信する。

デフォルト: 61

:icap_servers () - :max_conns ()

1から(2^32)-1までの整数。

設定された各ICAPサーバへのICAPオープン接続の最大数を定義します。

デフォルト: 250

:icap_servers () - :user_check_action ()

  • 0

  • 1

  • 2

UserCheckアクションを定義します。

デフォルト: 1

:icap_servers () - :x_headers ()

 

X-Headersを制御します。X-Client-IP,X-Server-IP, およびX-Authenticated-User を制御します。

:icap_servers () - :x_headers () - :x_client_ip ()

  • "false"

  • "true"

X-Header を制御するX-Client-IP:

  • "false" - このX-Headerを処理しない。

  • "true" - 元のHTTPリクエストのXFFヘッダーが存在する場合はその値を、存在しない場合はソースIPアドレスを追加します。

デフォルト: "false"

:icap_servers () - :x_headers () - :x_server_ip ()

  • "false"

  • "true"

X-Header を制御するX-Server-IP:

  • "false" - このX-Headerを処理しない。

  • "true" - 宛先IPアドレス（プロキシのIPアドレスまたは解決するHTTPホスト名）を追加します。

デフォルト: "false"

:icap_servers () - :x_headers () - :x_authenticated_user ()

  • "false"

  • "true"

X-Header を制御するX-Authenticated-User:

  • "false" - このX-Headerを処理しない。

  • "true" - Identity Awareness Software Blade からユーザ名を追加します。

デフォルト: "false"

:icap_servers () - :x_headers () - :authentication_source ()

  • "WinNT"

  • "LDAP"

  • "Radius"

  • "Local"

ユーザ認証用URIのAuth-Schemeを定義する。

注 - URIはBase64エンコーディングではなく、プレーンテキストで指定されます。

デフォルト: "Local"

:icap_servers () - :x_headers () - :base64_username_encode ()

  • "false"

  • "true"

X-HeaderX-authenticated-user を Base64 でエンコードするかどうかを制御する。

  • "false" - エンコードしない。

  • "true" - Base64エンコーディングでエンコードする。

デフォルト: "true"

:rules_type ()

  • "none"

  • "include"

  • "exclude"

ネットワークフィルターのルール閉じた 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。を制御します。

  • "none" - ネットワークフィルターのルールを無効にします。ICAPクライアントは、ネットワークフィルターのルールの他のすべてのパラメータを無視します。SourceとDestinationの"any"と同じです。

  • "include" - ICAPクライアントは、IPレンジ（下記参照）内のすべてのIPアドレスをICAPサーバに送信する

  • "exclude" - ICAPクライアントは、IP範囲（下記参照）のIPアドレスをICAPサーバに送信しない

デフォルト: "none"

:network_filter_rules_ip4 ()

 

送信元と送信先のIPv4アドレスに対するネットワークフィルターのルールを制御します。

:network_filter_rules_ip4 () - :src_ip_ranges ()

 

送信元IPv4アドレスを定義する。

各ルールには、「:src_ip_ranges () 」パラメータを1つだけ含めることができます。

:src_ip_ranges ()" パラメーターは、":min_ip ()" と ":max_ip ()" パラメーターを複数個含むことができます。

:network_filter_rules_ip4 () - :src_ip_ranges () - :min_ip ()

  • any

  • IPv4アドレス（4進数形式

IPv4 ソースアドレスの範囲内で最小のソース IPv4 アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :min_ip (any)" を定義した場合は、":max_ip (any)" も定義する必要があります。

  • IPv4アドレス - ICAPクライアントは、この設定されたIPv4アドレスから始まるHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip4 () - :src_ip_ranges () - :max_ip ()

  • any

  • IPv4アドレス（4進数形式

IPv4 ソースアドレスの範囲内の最大ソース IPv4 アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :max_ip (any)" を定義した場合は、":min_ip (any)" も定義する必要があります。

  • IPv4アドレス - ICAPクライアントは、この設定されたIPv4アドレスで終了するHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip4 () - :dst_ip_ranges ()

 

デスティネーションIPv4アドレスを定義する。

各ルールには、「:dst_ip_ranges () 」パラメータを1つだけ含めることができます。

:dst_ip_ranges ()" パラメーターは、":min_ip ()" と ":max_ip ()" パラメーターを複数個含むことができます。

:network_filter_rules_ip4 () - :dst_ip_ranges () - :min_ip ()

  • any

  • IPv4アドレス（4進数形式

IPv4 の宛先アドレスの範囲内で、最小の宛先 IPv4 アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :min_ip (any)" を定義した場合は、":max_ip (any)" も定義する必要があります。

  • IPv4アドレス - ICAPクライアントは、この設定されたIPv4アドレスから始まるHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip4 () - :dst_ip_ranges () - :max_ip ()

  • any

  • IPv4アドレス（4進数形式

IPv4宛先アドレスの範囲内で最大の宛先IPv4アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPサーバに送信されるHTTPトラフィックを処理します。

    :max_ip (any)" を定義した場合は、":min_ip (any)" も定義する必要があります。

  • IPv4アドレス-ICAPクライアントは、この設定されたIPv4アドレスで終了するHTTPサーバに送信されたHTTPトラフィックを処理します。

:network_filter_rules_ip6 ()

 

送信元と送信先のIPv6アドレスに対するネットワークフィルターのルールを制御します。

:network_filter_rules_ip6 () - :src_ip_ranges ()

 

送信元 IPv6 アドレスを定義します。

各ルールには、「:src_ip_ranges () 」パラメータを1つだけ含めることができます。

:src_ip_ranges ()" パラメーターは、":min_ip ()" と ":max_ip ()" パラメーターを複数個含むことができます。

:network_filter_rules_ip6 () - :src_ip_ranges () - :min_ip ()

  • any

  • IPv6アドレス

IPv6ソースアドレスの範囲内で最小のソースIPv6アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :min_ip (any)" を定義した場合は、":max_ip (any)" も定義する必要があります。

  • IPv6アドレス - ICAPクライアントは、この設定されたIPv6アドレスから始まるHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip6 () - :src_ip_ranges () - :max_ip ()

  • any

  • IPv6アドレス

IPv6ソースアドレスの範囲内の最大ソースIPv6アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :max_ip (any)" を定義した場合は、":min_ip (any)" も定義する必要があります。

  • IPv6アドレス - ICAPクライアントは、IPv6アドレスの末尾がこのIPv6アドレスであるHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip6 () - :dst_ip_ranges ()

 

デスティネーションIPv6アドレスを定義する。

各ルールには、「:dst_ip_ranges () 」パラメータを1つだけ含めることができます。

:dst_ip_ranges ()" パラメーターは、":min_ip ()" と ":max_ip ()" パラメーターを複数個含むことができます。

:network_filter_rules_ip6 () - :dst_ip_ranges () - :min_ip ()

  • any

  • IPv6アドレス

IPv6 の宛先アドレスの範囲内で最小の宛先 IPv6 アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :min_ip (any)" を定義した場合は、":max_ip (any)" も定義する必要があります。

  • IPv6アドレス - ICAPクライアントは、この設定されたIPv6アドレスから始まるHTTPクライアントからのHTTPトラフィックを処理します。

:network_filter_rules_ip6 () - :dst_ip_ranges () - :max_ip ()

  • any

  • IPv6アドレス

IPv6 の宛先アドレスの範囲内で最大の宛先 IPv6 アドレスを定義します。

  • any - ICAPクライアントは、すべてのHTTPクライアントからのHTTPトラフィックを処理します。

    :max_ip (any)" を定義した場合は、":min_ip (any)" も定義する必要があります。

  • IPv6アドレス - ICAPクライアントは、IPv6アドレスの末尾がこのIPv6アドレスであるHTTPクライアントからのHTTPトラフィックを処理します。

":network_filter_rules_ip4 ()" と ":network_filter_rules_ip6 ()" パラメーターについての注釈。

  • 各「:network_filter_rules_ipX () 」ルールには、「:src_ip_ranges () 」パラメータを1つだけ含めることができます。

    ルール内の":src_ip_ranges ()"パラメータは、":min_ip ()"および":max_ip ()"パラメータを複数含むことができます。

  • 各「:network_filter_rules_ipX () 」ルールには、「:dst_ip_ranges () 」パラメータを1つだけ含めることができます。

    ルール内の":dst_ip_ranges ()"パラメータは、":min_ip ()"および":max_ip ()"パラメータを複数含むことができます。

  • ICAPクライアントは、これらの論理演算を並列に実行する。

    • [:network_filter_rules_ip4 ()] OR [:network_filter_rules_ip6 ()]

    • [:src_ip_ranges ()] AND [:dst_ip_ranges ()]

    • :src_ip_ranges ()]パラメータでは、[:min_ip ()]または[:max_ip ()]を選択します。

    • :dst_ip_ranges ()]パラメータでは、[:min_ip ()]または[:max_ip ()]を選択します。

    これらの論理演算の結果が TRUE および:rules_type ("include") であれば、ICAP Client は動作します。

    これらの論理演算の結果が TRUE および:rules_type ("exclude") である場合、ICAP Client は動作しません。