第3章   Netlet の設定


この章では、ユーザーのリモートデスクトップとイントラネット上のアプリケーションを実行しているサーバーとの間で Netlet を使用してアプリケーションを安全に実行する方法を説明します。 次の項目について説明します。

• Netlet の概要

• Netlet ルールの定義

• Netlet 属性の設定

• Netlet プロキシの設定

• Netlet ルールのサンプル

• Netlet ロギングの有効化

• Netlet のカスタマイズ

Netlet の概要

---

Sun ONE Portal Server ユーザーが、一般的なアプリケーションや企業専用のアプリケーションをリモートデスクトップで安全に実行したいと望むことがあります。 プラットフォームに Sun ONE Portal Server Netlet を設定すると、このようなアプリケーションに安全にアクセスできるようになります。

Netlet を使用すると、インターネットなどのセキュリティの弱いネットワークで一般的な TCP/IP サービスを安全に実行できます。 (Telnet や SMTP などの) TCP/IP アプリケーション、HTTP アプリケーション、同じポートを使用するすべてのアプリケーションを実行できます。

Netlet を使用してアプリケーションを使用できるのは次の場合です。

• アプリケーションが TCP/IP を使用している場合

• 同じポートを使用する場合

  
  

  ---

  注	Netlet はポートをダイナミックに割り当てるアプリケーションでは使用できません。 ただしMicrosoft Exchange (Microsoft Exchange 2000 はサポートされません) と FTP は例外です。これらのアプリケーションでは Netlet はダイナミックポート機能をサポートします。

  ---

  
  

Netlet のコンポーネント

Netlet の動作に関与するさまざまなコンポーネントを図 3-1 に示します。

図 3-1    Netlet のコンポーネント

localhost の待機ポート

これは Netlet アプレットが待機するクライアントマシン上のポートです。 クライアントマシンはローカルホストです。

Netlet アプレット

Netlet アプレットは、リモートクライアントマシンと、Telnet、Graphon、Citrix などのイントラネットアプリケーションの間に暗号化された TCP/IP トンネルの設定を担当します。 アプレットはパケットを暗号化してゲートウェイに送信し、ゲートウェイからの応答パケットを解読してローカルアプリケーションに送信します。

Portal デスクトップ上にスタティックな Netlet リンクが存在する場合、Netlet アプレットはユーザーがポータルにログインしたときに自動的にダウンロードされます。 ダイナミックリンクしか存在しない場合、ユーザーがリンクをクリックするとアプレットがダウンロードされます。

スタティックおよびダイナミックなルールの詳細については、"ルールのタイプ"を参照してください。

Netlet ルール

Netlet ルールでは、クライアントマシンで実行する必要のあるアプリケーションが対応する宛先サーバーにマッピングされます。 つまり、Netlet が、Netlet ルールに定義されたポートに送信されたパケットに対してのみ動作します。 これによってセキュリティが向上します。

管理者は Netlet の機能に対して特定のルールを設定する必要があります。 これらのルールでは、使用されるアルゴリズムや、呼び出す URL、ダウンロードするアプレット、宛先ポート、宛先ホストなどの詳細が指定されます。 クライアントマシン上のユーザーが Netlet を通じて要求を行う場合、これらのルールにより接続の確立方法が速やかに決定されます。 詳細については、"Netlet ルールの定義" を参照してください。

Netlet プロバイダ

これは Netlet の UI コンポーネントです。 プロバイダを使用すると、 Sun ONE Portal Server デスクトップから必要なアプリケーションを設定できます。 プロバイダにリンクが作成され、ユーザーはこのリンクをクリックして必要なアプリケーションを実行します。 またデスクトップ Netlet プロバイダで、ダイナミックルールの宛先ホストを指定できます。 "Netlet ルールの定義" を参照してください。

EProxy

クライアントの要求はすべて EProxy を通じてルーティングされます。 EProxy は Netlet 要求のみを処理し、その他の要求は RProxy に渡します。 EProxy は Netlet 要求を解析し、Netlet プロキシ (Netlet プロキシが有効な場合) または宛先ホストに直接渡します。

Netlet プロキシ (オプション)

ゲートウェイは、リモートクライアントマシンとゲートウェイ間で安全なトンネルを保証します。 Netlet パケットはゲートウェイで解読され、宛先サーバーに送られます。 ただし、ゲートウェイはすべての Netlet ターゲットにアクセスする場合、非武装ゾーン (DMZ) とイントラネット間のファイヤウォールを経由する必要があります。 これにはファイヤウォールで多くのポートを開かなければなりません。

Netlet プロキシは、クライアントからの安全なトンネルをゲートウェイを経由してイントラネット内の Netlet プロキシまで拡張することで、ゲートウェイとイントラネット間のセキュリティを補強します。 プロキシを使用すると、Netlet パケットが Netlet プロキシにより解読され、送信先サーバーに送られます。 これによってファイヤウォール内で開くポート数を減らすことができます。

Netlet プロキシの使用は任意で、インストール時にこのプロキシをインストールしない選択も可能です。

宛先ポート

これは宛先アプリケーションのサーバーが待機する宛先のポートです。

Netlet を使用するシナリオ

次の一連のイベントが Netlet を使用して呼び出されます。

1. リモートユーザーが Sun ONE Portal Server デスクトップにログインします。

2. ユーザー、ロール、または組織にスタティック Netlet ルールが定義されている場合、リモートクライアントに自動的に Netlet アプレットがダウンロードされます。

   ユーザー、ロール、または組織にダイナミックルールが定義されている場合、Netlet プロバイダに必要なアプリケーションを手動で設定する必要があります。 Netlet アプレットは、ユーザーが Netlet プロバイダのアプリケーションリンクをクリックするとダウンロードされます。 スタティックおよびダイナミックルールの詳細については、"Netlet ルールの定義"を参照してください。

3. Netlet は Netlet ルールで定義されたクライアントポートで待機します。 「Netlet ルールの構文」の「クライアントポート」を参照してください。

4. Netlet はリモートクライアントとサーバーの間で、Netlet ルールで指定されたポートを使用するチャネルを確立します。

Netlet の操作

Netlet が異なる組織間のさまざまなユーザーの要求に合わせて機能するために、次の手順を行う必要があります。

1. ユーザー要件に基づいてスタティックルールとダイナミックルールのどちらを作成するかを決定します。 "ルールのタイプ" を参照してください。

2. iPlanet Directory Server Access Management Edition 管理コンソールで、「サービス管理」の Netlet テンプレートにグローバルオプションを定義します。

3. 管理コンソールの「ポリシー管理ビュー (Policy Management view)」で、Netlet を実行するアクセス権を割り当てます。

4. ルールの基準を組織、ロール、ユーザーから選択し、各レベルで必要に応じて修正します。 組織、ロール、ユーザーについての詳細は、Sun ONE Portal Server 管理者ガイドを参照してください。

Netlet ルールの定義

---

Netlet の設定は、iPlanet Directory Server Access Management Edition 管理コンソールで設定された Netlet ルールを通じて定義します。 Netlet ルールは組織、ロール、またはユーザーのいずれかに対して設定できます。 Netlet ルールをロールまたはユーザーに対して定義した場合、組織を選択した後に目的のロールまたはユーザーを選択します。

Netlet ルールの構文

Netlet ルールは次のフィールドから構成されます。

• ルール名

• 暗号化アルゴリズム

• URL

• アプレットのダウンロード

• 拡張セッション

• クライアントポート

• ターゲットホスト

• ターゲットポート

  
  

  ---

  注意	Netlet ルールはマルチバイトエントリをサポートしません。 Netlet ルールのどの編集フィールドにもマルチバイト文字を指定しないでください。 Netlet ルールには 64000 を超えるポート番号を指定できません。

  ---

  
  

表 3-1 に Netlet ルールのフィールドを示します。表 3-1 は 3 つの列から構成されます。 最初の列はフィールド名を、 2 番目の列はフィールドの説明、および Netlet ルールにおける機能を、 3 番目の列は、各フィールドに指定できる値をそれぞれ示しています。

表 3-1    Netlet ルールのフィールド 

パラメータ	説明	値
ルール名	この Netlet ルールの名前を指定します。 各ルールに一意の名前を指定する必要があります。 これは特定のルールへのアクセスを定義する場合に便利です。 詳細については、"Netlet ルールへのアクセスの定義" を参照してください。
暗号化アルゴリズム	暗号化アルゴリズムを定義するか、ユーザーが選択できるアルゴリズムのリストを指定します。	選択したアルゴリズムのリストは、Netlet プロバイダにドロップダウンリストとして表示されます。 ユーザーは必要なアルゴリズムを選択できます。 リストから1つのアルゴリズムを選択すると、そのアルゴリズムが固定され、ユーザーはアルゴリズムを選択することができません。 パフォーマンスを大きく改善する必要がある場合、およびユーザーが安全な環境で参照していることが確実な場合のみ、「Null」を選択します。 デフォルトを選択すると、 Netlet 管理コンソールで指定したデフォルトの暗号化アルゴリズムが使用されます。
URL	ユーザーが Netlet プロバイダのリンクをクリックしたときにブラウザで開かれる URL を指定します。 ブラウザにはアプリケーションのウィンドウが表示され、後でルールで指定したローカルポート番号で localhost に接続します。 相対 URL を指定する必要があります。	Netlet ルールで呼び出されるアプリケーションの URL 。 例: telnet://localhost:30000 null - アプリケーションが URL で起動しない、またはデスクトップで制御されない場合に設定する値。 通常は Web を使用しないアプリケーションに使われます。
アプレットのダウンロード	このルールでアプレットをダウンロードする必要があるかどうかを指定します。	無効化 - アプレットをダウンロードしません。 有効化 - ループバックポートを使用してアプレットを Sun ONE Portal Server マシンからダウンロードします。 アプレットの詳細を clientport:server:serverport の形式で指定します。 clientport はクライアントの宛先ポートを表します。 このポートはデフォルトのループバックポートとは別のポートでなければなりません。詳細は「デフォルトループバックポートの割当て」を参照してください。 各ルールに固有の client port を指定します。 server はアプレットのダウンロード元のサーバー名です。 serverport はアプレットのダウンロードに使用されるサーバー上のポートを表します。 true の場合、またアプレットの場所が指定されていない場合、アプレットは Sun ONE Portal Server サーバーからダウンロードされます。
拡張セッション	Netlet 接続がアクティブになっても Sun ONE Portal Server がタイムアウトにならないように指定します。	有効化 - Netlet 接続がアクティブになった場合に、Portal Server セッションを延長します。 無効化 - Netlet 接続がアクティブになった場合でも、Portal Server セッションを延長しません。
クライアントポート	Netlet が待機するクライアントのポート。	client port の値は一意でなければなりません。 特定のポート番号を複数のルールで指定できません。 複数のクライアントポートを指定するのは、複数の接続に複数のホストを指定している場合です。 構文については、"複数ホスト接続のスタティックルール"を参照してください。
ターゲットホスト	Netlet 接続の受信者	host - Netlet 接続を受信するホスト名。 これはスタティックルールで使用されます。 siroe などの簡単なホスト名か、siroe.mycompany.com などの完全修飾 DNS スタイルのホスト名を使用します。 複数のホストを指定できるのは次の場合です。 ホストが指定された接続を確立する場合。 指定された各ホストに対して対応するクライアントとターゲットポートを指定する必要があります。 構文については、"複数ホスト接続のスタティックルール"を参照してください。 指定されたホストのリストから、使用可能なホストへの接続を試みる場合。 構文については、"複数ホストを選択するスタティックルール"を参照してください。 TARGET - 構文で TARGET を指定するルールはダイナミックルールです。 TARGET は、デスクトップの Netlet プロバイダでユーザーが必要な宛先ホストを 1 つ以上指定できることを示します。 1 つのルールでスタティックホストと TARGET を組み合わせることはできません。
ターゲットポート	ターゲットホスト上のポート	ホストとターゲットの他に、宛先ポートを指定する必要があります。 複数の宛先ホストがある場合は、複数の宛先ポートを指定できます。 複数のポートは、port1+port2+port3-port4+port5 のように指定します。 ポート番号間のプラス (+) 記号は、単一のターゲットホストに対する代替ポートを意味します。 ポート番号間のマイナス (-) 記号は、異なるターゲットホストに対するポート番号の区切り文字です。 ここでは、Netlet が port1、port2、port3 を順番に使用して指定された最初の宛先ホストに接続しようとしています。 これに失敗した場合、Netlet は port4 と port5 をこの順序で使用して 2 番目のホストに接続しようとします。 複数のポートはスタティックルールについてのみ設定できます。

ルールのタイプ

ルールで宛先ホストがどのように指定されているかにより、Netlet ルールは 2 つのタイプに分かれます。

スタティックルール

スタティックルールはルールの一部として宛先ホストを指定します。 スタティックルールを作成する場合、ユーザーは必要な宛先ホストを指定することができません。 次の例では、sesta は宛先ホストです。 ルールの構文については、"Netlet ルールの構文"を参照してください。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
ftpstatic	RC4	Null	false	true	30021	sesta	21

複数のターゲットホストおよびポートはスタティックルールについてのみ設定できます。 例については、「複数ホスト接続のスタティックルール」を参照してください。

ダイナミックルール

ダイナミックルールでは、宛先ホストはルールの一部として指定されません。 ユーザーは Netlet プロバイダで必要な宛先ホストを指定できます。 次の例では、TARGETは宛先ホストの可変部分です。 ルールの構文については、"Netlet ルールの構文"を参照してください。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
ftpdynamic	RC4	Null	false	true	30021	TARGET	21

暗号化アルゴリズム

暗号化アルゴリズムに基づいて、Netlet ルールはさらに次のように分類されます。

• ユーザー設定可能なアルゴリズムルール - このルールでは、ユーザーが選択できるアルゴリズムのリストを指定できます。 これらのオプションのアルゴリズムは、Netlet プロバイダでドロップダウンリストとして表示されます。 ユーザーは必要なアルゴリズムをリストから選択できます。 次の例では、ユーザーは DES アルゴリズムと RC4 アルゴリズムから選択できます。

  
  

  
  
  

  ルール名	暗号化アルゴリズム	URL	ダウンロードされるアプレット	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
  Telnet	DES	Null	false	true	30000	TARGET	23
  	RC4

  
  

  ---

  注	Sun ONE Portal Server サーバーではさまざまなアルゴリズムが有効になっている場合がありますが、ユーザーは Netlet ルールの一部として設定されたリスト内からのみアルゴリズムを選択できます。

  ---

  
  

Netlet でサポートされるアルゴリズムのリスト、および対応するキーワードについては、「サポートされるアルゴリズム」を参照してください。

• 管理者設定アルゴリズムルール - このルールでは、アルゴリズムは Netlet ルールの一部として定義されます。 ユーザーは必要なアルゴリズムを選択できません。 次の例では、アルゴリズムは RC4 に設定されています。

  
  

  
  
  

  ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
  Telnet	RC4	Null	false	true	30000	TARGET	23

Netlet でサポートされるアルゴリズムのリスト、および対応するキーワードについては、「サポートされるアルゴリズム」を参照してください。

サポートされるアルゴリズム

表 3-2 では、最初の列に Netlet でサポートされるアルゴリズムを、2 番目の列にアルゴリズムの関連付けに使用されるキーワードを示しています。 対応するキーワードを使用して、Netlet ルールのアルゴリズムを指定します。

---

注	「Null」を選択するのは、パフォーマンスを大きく改善する必要がある場合、およびゲートウェイと Portal Server を安全な環境で実行していることが確実な場合のみです。

---

表 3-2    サポートされるアルゴリズムのリスト 

アルゴリズム名	キーワード
Rivest Cipher #4	RC4
データ暗号化基準	DES
Triple DES/DESede	TripleDES
AES/Rijndael	Rijndael
暗号化なし/暗号化なし	Null

下位互換性

旧バージョンの Sun ONE Portal Server は Netlet ルールの一部としてアルゴリズムをサポートしていません。 アルゴリズムを使用せずに既存のルールと下位互換を行うには、ルールでデフォルトのアルゴリズムが使用されます。 アルゴリズムを使用しない既存のルールは次のとおりです。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
Telnet		telnet://localhost:30000	false	true	30000	TARGET	23

解釈された内容

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
Telnet	デフォルトアルゴリズム	telnet://localhost:30000	false	true	30000	TARGET	23

これは管理者設定ルールでデフォルトとして選択する「暗号化アルゴリズム (Encryption Algorithm)」フィールドと同じです。 詳細については、"デフォルト暗号化アルゴリズムの指定" を参照してください。

アプリケーションのデフォルトポート

表 3-3 にさまざまなアプリケーションおよびサービスに使用される予約ポートを示します。 最初の例にはアプリケーション名を、2 番目の列には個々の予約ポートを示します。

表 3-3    特定のアプリケーションのデフォルトの待機ポート 

定義済みのNetletルール	予約ポート
Telnet	30000
GO-Joe	10491
Citrix	1494
pcANYWHERE	4631, 5632
CarbonCopy	1138
LapLink	51547
RapidRemote	45414
ReachOut	43188
RemotelyPossible	799
loopback*	8000
FTP	30021

*ループバックはシステムで内部的に使用されます。

---

注	Netlet ルールには 64000 を超えるポート番号を指定できません。

---

Netlet ルールの例

このセクションでは、Netlet ルールの例をいくつか示し、Netlet 構文の機能について説明します。

• 基本的なスタティックルール

• 複数ホスト接続のスタティックルール

• URL を呼び出すダイナミックルール

• アプレットをダウンロードするダイナミックルール

基本的なスタティックルール

このルールはクライアントからマシン sesta の Telnet 接続をサポートします。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
myrule	RC4	Null	false	true	1111	sesta	23

ここで

• myrule はルール名です。

• RC4 は使用されるアルゴリズムを表します。

• null は、このアプリケーションが URL で呼び出されない、またはデスクトップから実行できないことを示します。

• false は、クライアントがアプレットをダウンロードし、このアプリケーションを実行しないことを示します。

• Netlet 接続がアクティブになっても Sun ONE Portal Server がタイムアウトにならないことを示します。

• 1111 は、Netlet がターゲットホストからの接続要求を待機するクライアント側のポートです。

• sesta は Telnet 接続の受信側ホストの名前です。

• 23 は接続のターゲットホストのポート番号、この場合は、既知の Telnet ポートです。

説明
デスクトップ Netlet プロバイダはリンクを表示しませんが、Netlet は指定されたポート (1111) で自動的に起動して待機します。 クライアントソフトウェア、この場合はポート 1111 で localhost に接続した Telnet セッションを開始するようにユーザーに指示してください。

例えば、Telnet セッションを開始するには、クライアントは端末の UNIX コマンド行で次のコマンドを入力する必要があります。

% telnet localhost 1111

複数ホスト接続のスタティックルール

このルールはクライアントから 2 台のマシン sesta と siroe の Telnet 接続をサポートします。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
myrule	RC4	Null	false	true	1111	sesta	23
					1234	siroe	23

ここで

• 23 は接続用のターゲットホスト上のポート番号です。Telnet の予約ポート番号です。

• 1111は Netlet が最初のターゲットホスト sesta から接続要求を待機するクライアントのポートです。

• 1234 は Netlet が 2 番目のターゲットホスト siroe からの接続要求を待機するクライアントのポートです。

このルールの最初の 6 フィールドは、「基本的なスタティックルール」と同じです。 2 番目のターゲットホストを説明するフィールドが 3 つ追加されている点が異なります。

ルールにターゲットを追加すると、新しいターゲットホストごとに 3 つのフィールド、client port、 target host、target port を追加しなければなりません。

---

注	各ターゲットホストへの接続を、3 フィールドのセットを使って記述することができます。 2048 未満の待機ポート番号は、UNIX ベースのリモートクライアントでは使用できません。UNIX は下位数値のポートに制約され、root でリスナーを開始する必要があるためです。

---

説明
このルールは前述のルールと同様に機能します。 Netlet プロバイダはリンクを表示しませんが、Netlet は指定されたポート (1234) で自動的に起動して待機します。 ユーザーはクライアントソフトウェア、この場合は、ポート 1111 で localhost に接続する Telnet セッションか、ポート 1234 でローカルホストを起動してホスト example2 に接続する必要があります。

複数ホストを選択するスタティックルール

このルールは複数の代替ホストを指定する場合に使用します。 ルールの最初のホストへの接続に失敗した場合、Netlet は 2 番目に指定されたホストへの接続を試み、これが繰り返されます。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
gojoe	RC4	/gojoe.html	8000:gojoeserver:8080	true	10491	siroe+sesta	35+26+491-35+491

ここで

• 10491 は、Netlet がターゲットホストからの接続要求を待機するクライアント側のポートです。

• Netlet はポート 35、ポート 26、ポート 491の順序で使用可能なポートを使って siroe との接続を確立しようと試みます。

• siroe との接続が確立できない場合、Netlet はポート 35 とポート 491 の順序で sesta との接続を試みます。
  • ホスト間のプラス (+) 記号は代替ホストを表します。

  • ポート番号間のプラス (+) 記号は、単一のターゲットホストに対する代替ポートを表します。

  • ポート番号間のマイナス (-) 記号は、異なるターゲットホストのポート番号を区切る区切り文字です。

URL を呼び出すダイナミックルール

このルールを使用すると目的の宛先ホストを設定できるため、Netlet を使用してさまざまなホストへの Telnet 接続を確立できます。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
myrule	RC4	telnet://localhost:30000	false	true	30000	TARGET	23

ここで

• myrule はルール名です。

• RC4 は使用されるアルゴリズムを表します。

• telnet://localhost:30000 はルールで呼び出される URL です。

• false はアプレットがダウンロードされないことを示します。

• Netlet 接続がアクティブになっても Sun ONE Portal Server がタイムアウトにならないことを示します。

• 30000 は、Netlet がこのルールの接続要求を待機するクライアント上のポートです。

• TARGET はユーザーが Netlet プロバイダを使用して宛先サーバーを設定する必要がないことを示します。

• 23 は Netlet で開かれるターゲットホストのポート、この場合は、既知の Telnet ポートです。

説明
このルールが追加されると、ユーザーは Netlet を目的どおりに稼動させるようにいくつかの手順を実行する必要があります。 ユーザーはクライアント側で次の操作を実行できます。

1. Sun ONE Portal Server デスクトップの Netlet プロバイダセクションで、「編集」をクリックします。

   新規 Netlet ルールが、「新規ターゲットの追加 (Add New Target)」セクションの「ルール名 」に表示されます。

2. ルール名を選択し、ターゲットホスト名を入力します。

3. 変更内容を保存します。

   デスクトップに戻ります。デスクトップの Netlet プロバイダセクションに新しいリンクが表示されます。

4. 新規リンクをクリックします。

   新しいブラウザが起動し、Netlet ルールで指定した URL が表示されます。

   
   

   ---

   注	同じルールに複数のターゲットホストを追加する場合は、この手順を繰り返します。

   ---

   
   

アプレットをダウンロードするダイナミックルール

このルールではダイナミックに割り当てられたホストとクライアント間の Go-Joe 接続を定義します。 ルールにより、アプレットのあるサーバーからクライアントに GO-Joe アプレットがダウンロードされます。

ルール名	暗号化アルゴリズム	URL	アプレットのダウンロード	拡張セッション	クライアントポート	ターゲットホスト	ターゲットポート
gojoe	RC4	/gojoe.html	8000:gojoeserve:8080	true	3399	TARGET	58

ここで

• gojoe はルール名です。

• RC4 は使用されるアルゴリズムを表します。

• /gojoe.html はアプレットを含む HTML ページのパスです。iPS インストールディレクトリ InstallDir/SUNWps/public_html (デフォルトインストール) が基準になります。

• 8000:server:8080 はクライアントでアプレットを受け取る宛先ポートがポート 8000 であることを示します。gojoeserve はアプレットを送るサーバー名、8080 はアプレットのダウンロード元のサーバー上のポートです。

• Netlet 接続がアクティブになっても Sun ONE Portal Server がタイムアウトにならないことを示します。

• 3399 は、Netlet がこのタイプの接続要求を待機するクライアント上のポートです。

• TARGETはユーザーが Netlet プロバイダを使用して宛先サーバーを設定する必要がないことを示します。

• 58 は Netlet で開かれる宛先サーバーのポート、この場合は、GoJoe のポートです。 ポート 58 はターゲットホストが自分のトラフィックを待機するポートです。 Netlet は新しいアプレットの情報をこのポートに渡します。

Netlet ルールの作成

Netlet ルールは、iPlanet Directory Server Access Management Edition 管理コンソールの「サービス管理」でグローバルレベルで作成できます。 これらのルールは、新しい組織を作成すると、その組織に継承されます。

また、新しいルールの作成または既存のルールの修正は、組織、ロール、ユーザーレベルで行えます。

---

注	この章では、Netlet の様々な機能を組織レベルで設定する手順を説明します。

---

Netlet ルールを作成する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. ルールを作成する組織を選択します。

4. 左の区画の「SRAP 設定 (SRAP Configuration)」の「Netlet」の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

5. 「Netlet ルール」フィールドで「追加」をクリックします。

   「Netlet ルールの追加 」ページが表示されます。 ルールのすべてのフィールドに同じ値が入力されていますが、必要に応じて変更できます。

6. 「ルール名 」フィールドに固有の名前を入力します。

7. 必要な暗号化アルゴリズムを指定します。 デフォルトの暗号化アルゴリズムを使用する場合は、「デフォルト」を選択します。 「その他」を選択し、使用できるアルゴリズムのリストから選択します。

   デフォルトのアルゴリズムの詳細については、「デフォルトアルゴリズム手順」を参照してください。

   
   

   ---

   注	「Null」を選択するのは、パフォーマンスを大きく改善する必要がある場合、およびユーザーが安全な環境で参照していることが確実な場合のみです。

   ---

   
   

8. 「URL」フィールドに呼び出すアプリケーションの URL を入力します。

9. アプレットをダウンロードする必要がある場合は、「アプレットのダウンロード」チェックボックスを選択します。 関連する編集ボックスに、アプレットの詳細を client port:server host:server port の形式で入力します。

   
   

   ---

   注	各ルールに一意の client port を指定します。

   ---

   
   

   アプレットの詳細を指定する必要があるのは、アプレットを Portal Server ホスト以外のホストからダウンロードする必要がある場合のみです。 チェックボックスを選択していない場合、編集ボックスは無効になっています。

10. 「拡張セッション」チェックボックスを選択し、このルールに対応する Netlet セッションが実行中は Portal Server セッション時間が延長されるようにします。

11. 「クライアントポート」フィールドに Netlet が待機するクライアントポートを入力します。

12. 「ターゲットホスト」フィールドに、Netlet 接続を受信するホストを入力します。

13. 「ターゲットポート」フィールドに、ターゲットホストのポートを入力します。

14. 「リストに追加」をクリックして、「ポート-ホスト-ポートのリスト」フィールドに最後の 3 つのエントリを反映させます。

15. 「保存」をクリックします。

    ルールが保存され、「Netlet」ページに戻ります。 「Netlet ルール」リストに、新しいルールが表示されます。

既存の Netlet ルールの修正

管理コンソールの「サービス管理」で、Netlet ルールをグローバルレベルで修正できます。 これらのルールは、新しい組織を作成すると、その組織に継承されます。

また、既存のルールの修正は、組織、ロール、ユーザーレベルで行えます。

Netlet ルールを修正する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. ルールを修正する組織を選択します。

4. 左の区画の「SRAP 設定 (SRAP Configuration)」の「Netlet」の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

5. 「Netlet ルール」フィールドで、修正するルールの横の「編集」をクリックします。

   「Netlet ルールの編集」ページが表示されます。

6. 必要な変更を行い、「保存」をクリックします。

   修正されたルールが保存され、「Netlet」ページに戻ります。

Netlet ルールの削除

管理コンソールの「サービス管理」で、Netlet ルールをグローバルレベルで削除できます。

Netlet ルールを削除する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. ルールを削除する組織を選択します。

4. 左の区画の「SRAP 設定 (SRAP Configuration)」の「Netlet」の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

5. 「Netlet ルール」リストから削除するルールの横のチェックボックスを選択します。

6. 「削除」をクリックします。

   選択したルールが「Netlet ルール」リストから削除されます。

Netlet 属性の設定

---

Netlet ルール以外の場合、サイトの要件に基づいて Netlet の次の属性を設定する必要があります。 これらの属性は組織レベルまたはユーザーレベルで設定できます。

---

注	この章では、すべての属性の組織レベルでの設定について説明します。

---

新規ユーザーを作成すると、「ユーザーの作成 (Create User)」手順で「Netlet」チェックボックスを選択する必要があります。 これによって、新規ユーザーが Netlet アプリケーションを使用できるようになります。

Netlet サービスで次の設定を実行できます。

• 競合の解決レベルの設定

• デフォルト暗号化アルゴリズムの指定

• アルゴリズムのキーサイズの指定

• デフォルトループバックポートの割当て

• 接続の再認証の有効化

• 接続の警告ポップアップの無効化

• ポート警告ダイアログの表示チェックボックスの有効化

• 持続時間の設定

• Portal ログアウト時の Netlet の終了オプションの設定

• Netlet ルールへのアクセスの定義

• Netlet ルールへのアクセスの拒否

• ホストへのアクセス許可

• ホストへのアクセスの拒否

サービス管理レベルの Netlet 属性

このサービス管理レベルの属性は、テンプレートとして機能します。 組織またはユーザーが新規に作成されると、デフォルトでこれらの値を継承します。 属性の値はサービス管理レベルで変更できます。 新しい組織が追加された場合にのみ、新しい値が反映されます。 サービス管理レベルでの属性値の変更は、既存の組織またはユーザーに影響しません。

組織レベルの Netlet 属性

属性を組織レベルで設定する場合、この属性はその組織下のすべてのユーザーが使用できるようになります。

ユーザーレベルの Netlet 属性

属性をユーザーレベルで設定する場合、属性値はそのユーザーに対してのみ有効です。

組織レベルで設定できるすべての属性は、ユーザーレベルでも設定できます。 ユーザーレベルで設定された値は、組織レベルで設定された値よりも優先されます。 組織、ロール、ユーザーレベルの属性についての詳細は、 iPlanet Directory Server Access Management Edition 管理者ガイド を参照してください。

また、一部の特別な属性はユーザーレベルで設定できます。 管理コンソールでこれらの値を指定していない場合、最初に Netlet を通じて接続が設定されたときに、この情報の指定が要求されます。 ユーザーがこの情報を要求されるのは、次の場合です。

• ユーザーが Java プラグイン (Version 1.3.1_01または1.3.1_02) を使用するInternet Explorer 4.x、5.x、または 6.x を使用し、Java プラグインコンソールパネルの「プロキシ」タブで「ブラウザ設定を使用」オプションを有効にし、　Internet Explorer の「ローカルエリアネットワーク (LAN) の設定」ダイアログの「自動構成スクリプトを使用する」フィールドで PAC または INS ファイルを指定している場合。

• ユーザーが Java プラグイン (Version 1.3.1_01または1.3.1_02) を使用する Netscape 6.2 を使用し、Java プラグインコントロールパネルの「プロキシ」タブで「ブラウザ設定を使用」オプションを有効にしている場合。 ユーザーが指定したプロキシ設定は考慮されません。

いずれの場合も、Netlet はブラウザ設定を判断できない場合があります。このためユーザーに情報を指定するように要求されます。

ブラウザのプロキシタイプ

この属性は値 DIRECT または MANUAL をとります。 ドロップダウンリストから DIRECT を選択すると、Netlet は直接ゲートウェイホストに接続します。

ブラウザのプロキシホスト

Netlet の接続で経由する必要のあるプロキシホストを指定します。

ブラウザのプロキシポート

Netlet の接続で経由する必要のあるプロキシホストのポートを指定します。

ブラウザのプロキシ上書きリスト (カンマ区切り)

プロキシを通じた Netlet 接続を必要としないホストを指定します。 このリストには複数のホスト名をコンマ区切りで指定できます。

Netlet パスワード

管理コンソールで再認証を有効にしている場合、Netlet を通じてアプリケーションに接続するたびに「Netlet 認証」ダイアログが表示されます。 ユーザーは Netlet パスワードを指定する必要があります。 管理コンソールで再認証が有効になっていない場合、ユーザーはパスワードの変更を選択することができません。

---

注	デフォルトでは、Netlet の認証パスワードは srap-netlet です。

---

このフィールドでユーザーの認証パスワードを変更できます。 またユーザーは Netlet チャネルの「編集」ボタンを使って、このパスワードを変更することもできます。

再認証を有効にしていない場合、ユーザーのデスクトップに、Netlet が接続を確立しようとしているポートを伝えるポート警告ダイアログが表示されます。 「Netlet 認証」ダイアログは表示されません。

---

注	ポート警告ダイアログは、Netlet 管理コンソールでこのオプションを無効にしているとは表示されない場合があります。

---

ユーザーレベルの Netlet 属性を設定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「ユーザー」を選択します。

6. 左の区画の目的のユーザーの横にある矢印をクリックします。

   右の区画に username ページが表示されます。

7. 「Netlet」セクションにスクロールし、「編集」をクリックします。

   「Netlet 属性 (Netlet attributes)」ページが表示されます。

8. 必要に応じて属性の値を変更します。

   各設定の手順を参照してください。

9. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

競合の解決レベルの設定

すべての Netlet 属性に対して優先レベルを設定できます。 ユーザーが組織やロールの割当てなどからの複数の属性テンプレートを継承し、2 つのテンプレートの属性間でテンプレートの競合が生じる場合、最も優先順位の高いテンプレートが返されます。 最高から最低までの7段階の競合の解決レベルを設定できます。

競合解決についての詳細は、iPlanet Directory Server Access Management Edition 管理者ガイドを参照してください。

競合の解決レベルを設定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. ナビゲーション区画の「表示 」メニューで「サービス」を選択します。

6. 「SRAP 設定 (SRAP Configuration)」の「Netlet」の横の矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「解像度レベルが競合しています」フィールドにスクロールし、ドロップダウンリストから必要なレベルを選択します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

デフォルト暗号化アルゴリズムの指定

Netlet ルールにはデフォルトアルゴリズムを指定する必要があります。 これはルールの一部としてアルゴリズムが指定されていない既存のルールを使用する場合に有効です。 このフィールドには必ず指定する必要があります。 "下位互換性" を参照してください。

デフォルトアルゴリズム手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administratorとしてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「デフォルトの暗号化アルゴリズム」フィールドにスクロールし、ドロップダウンリストから必要なアルゴリズムを選択します。 サポートされるアルゴリズムのリストについては、「サポートされるアルゴリズム」を参照してください。

   
   

   ---

   注	「Null」を選択するのは、パフォーマンスを大きく改善する必要がある場合、およびユーザーが安全な環境で参照していることが確実な場合のみです。

   ---

   
   

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

アルゴリズムのキーサイズの指定

「キーサイズ指定」フィールドに、各アルゴリズムに関連付けるキーサイズを指定します。 キーサイズが大きくなるとセキュリティは向上しますが、パフォーマンスは低下します。 次の表に、さまざまなアルゴリズムに推奨されるキーサイズを示します。 表は 2 つの列で構成されています。 最初の列はアルゴリズム名を、2 番目の列は推奨されるキーサイズを示します。

アルゴリズム	推奨されるキーサイズ
TripleDES	192
Rjindael	128 または 192 または 256
RC4	128
DES	64

アルゴリズムにキーサイズを指定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「キーサイズ指定」フィールドにスクロールします。

8. 必要なアルゴリズム名とキーサイズを keyname|keysize の形式で入力し、「追加」をクリックします。

   「キーサイズ指定」リストボックスでキー名/キーサイズの値が更新されます。

9. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

デフォルトループバックポートの割当て

この属性は、アプレットが Netletを通じてダウンロードされるときにクライアントで使用されるポートを指定します。 Netlet ルールで上書きされている場合を除き、デフォルトの 8000 が使用されます。

デフォルトループバックポートを割り当てる手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administratorとしてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「デフォルトのループバックポート」フィールドにスクロールし、必要なポート番号を入力します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

接続の再認証の有効化

Netlet 接続を確立する必要があるたびに、 Netlet パスワードの入力をユーザーに要求する場合は、このオプションを有効にします。 このオプションを有効にすると、ユーザーのデスクトップに接続の警告ポップアップが表示されません。 詳細については、「接続の警告ポップアップの無効化」 を参照してください。

このオプションを有効にすると、ユーザーは Netlet チャネルの編集オプションを使用して再認証パスワードを変更できるようになります。 デフォルトでは、最初のパスワードは srap-netlet です。

接続の再認証を有効にする手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」 ページが右の区画に表示されます。

7. 「接続の再認証」フィールドにスクロールし、オプションを選択します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

接続の警告ポップアップの無効化

この属性はユーザーのデスクトップに、他のユーザーが待機ポートを通じて Netlet に接続しようとしていることを警告するメッセージを表示します。 このメッセージが表示されるのは、ユーザーが Netlet でアプリケーションを実行する場合、また侵入者が待機ポートを通じてデスクトップへにアクセスしようとしている場合です。

ユーザーのデスクトップにポップアップを表示させない場合、この属性の選択を解除します。

接続の警告ポップアップを有効にする手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「接続の警告ポップアップ」チェックボックスを選択し、警告ポップアップを有効にします。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

ポート警告ダイアログの表示チェックボックスの有効化

Netlet がローカルマシン上の自由に使用できるポートを通じて宛先ホストに接続しようとする場合に、ユーザーのデスクトップに警告ポップアップが表示されます。 ユーザーのデスクトップにこの警告ポップアップが表示されるのは、管理コンソールで「接続の警告ポップアップ」オプションが有効になっている場合のみです。

管理コンソールの「ポート警告ダイアログにチェックボックスを表示」チェックボックスを有効にすると、ユーザーがこの警告ポップアップを非表示にするのを許可できます。

ユーザーがポート警告ダイアログを非表示にするのを許可する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「ポート警告ダイアログにチェックボックスを表示」チェックボックスにスクロールし、オプションを選択します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

持続時間の設定

操作が行われない場合でも Netlet 接続を持続する時間を分で設定できます。

この属性に値を指定しない場合、DSAME 設定の「セッション」セクションで指定した「最大アイドル時間 (分)」値を経過すると、アイドル中の Netlet 接続が他のすべての Portal Server のアイドル接続とともにタイムアウトになります。

持続時間を設定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「稼動時間 (分)」フィールドにスクロールし、必要な時間を入力します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

Portalログアウト時の Netlet の終了オプションの設定

このオプションは、ユーザーが Sun ONE Portal Server をログアウトしたときにすべての接続を終了させたい場合に選択します。 これによってセキュリティが向上します。 デフォルトでは、このチェックボックスは有効になっています。

このオプションを無効にすると、ユーザーが Sun ONE Portal Server デスクトップからログアウトした後も、有効な Netlet 接続が持続します。

---

注	このオプションを無効にしても、Portal Server のログアウト後にユーザーは Netlet 接続を新規に確立できません。 既存の接続のみが持続します。

---

Portal ログアウト時の Netlet 終了オプションを設定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administratorとしてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「ポータルの ログアウト時に Netlet を終了」フィールドにスクロールし、必要に応じてオプションを選択または選択解除します。

8. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

Netlet ルールへのアクセスの定義

特定の組織、ロール、ユーザーに対して特定の Netletルールへのアクセスを定義できます。

Netlet ルールへのアクセスを定義する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「Netlet ルールにアクセス」フィールドにスクロールします。

8. 「Netlet ルールにアクセス」フィールドで、選択した組織に対して使用できるようにするルールの名前を入力します。

   このフィールドにアスタリスク (*) を指定すると、選択した組織に対し、定義されたすべての Netlet ルールが使用可能になることを示します。

9. 「追加」をクリックします。

   指定されたルールが「Netlet ルールにアクセス」リストに追加されます。

10. 使用可能にする各 Netlet ルールについて、手順7、8、9 を繰り返します。

11. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

Netlet ルールへのアクセスの拒否

特定の組織、ロール、ユーザーに対して特定の Netlet ルールへのアクセスを拒否できます。

Netlet ルールへのアクセスを拒否する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「Netlet ルールの拒否」フィールドにスクロールします。

8. 「Netlet ルールの拒否」フィールドで、選択した組織に対してアクセスを拒否するルールの名前を入力します。

   このフィールドにアスタリスク (*) を指定すると、選択した組織に対し、定義されたすべての Netlet ルールへのアクセスが拒否されることを示します。

9. 「追加」をクリックします。

   指定されたルールが「Netletl ルールの拒否」リストに追加されます。

10. アクセスを拒否する各 Netlet ルールについて、手順7、8、9 を繰り返します。

11. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

ホストへのアクセス許可

特定の組織、ロール、ユーザーに対して特定のホストへのアクセスを定義できます。 この定義により、特定のホストへのアクセスを制限できます。 例えば、ユーザーが telnet 接続する 5 つのホストを「許可」リストに設定できます。

ホストへのアクセスを許可する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「許可されたホスト」フィールドにスクロールします。

8. 「許可されたホスト」フィールドに、アクセスを許可するホストの名前を入力します。

   このフィールドにアスタリスク (*) を指定すると、指定されたドメインのすべてのホストがアクセス可能になります。 例えば、*.sesta.com と指定した場合、ユーザーは sesta.com ドメイン内のすべての Netlet ターゲットを実行できます。 また xxx.xxx.xxx.* のように、ワイルドカードを含む IP アドレスを指定できます。

9. 「追加」をクリックします。

   「許可されたホスト」リストに指定したホストが追加されます。

10. 使用可能にする各ホストについて、手順 7 と 8 を繰り返します。

11. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

ホストへのアクセスの拒否

組織内の特定のホストへのアクセスを拒否できます。 「拒否されたホスト」リストにアクセスを拒否するホストを指定します。

---

注	sesta などの特定のホストにスタティックルールを設定し、「拒否されたホスト」リストに sesta を指定している場合、ホスト sestaへのアクセスは拒否されます。

---

ホストへのアクセスを拒否する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「ユーザー管理」を選択します。

3. 「表示 」ドロップダウンリストから「組織」を選択します。

4. 目的の組織名をクリックします。 管理コンソールの左上に選択した組織名が「位置」に反映されます。

5. 選択した組織の「表示 」ドロップダウンリストから「サービス」を選択します。

6. 左の区画の Netlet の横にある矢印をクリックします。

   「Netlet」ページが右の区画に表示されます。

7. 「拒否されたホスト」フィールドにスクロールします。

8. 「拒否されたホスト」フィールドに、アクセスを拒否するホストの名前を入力します。

   このフィールドにアスタリスク (*) を指定すると、ユーザーは選択した組織内のすべてのホストへのアクセスが拒否されます。 例えば、組織 sesta のすべてのホストへのアクセスを拒否するには、「拒否されたホスト」フィールドに *.sesta.comと入力します。

   特定のホストへのアクセスを拒否するには、完全修飾名を指定します。 例えば、ホスト abc へのアクセスを拒否する場合は、 abc.sesta.com と入力します。

9. 「追加」をクリックします。

   指定されたドメインが「拒否されたホスト」リストに追加されます。

10. 使用可能にする各ドメインについて、手順 7 と 8 を繰り返します。

11. Netlet の上または下で「保存」をクリックし、変更内容を記録します。

Netlet プロキシの設定

---

Netlet プロキシは、次のような点で便利です。

• セキュリティのレイヤーを補強します。

• 配備サイズの大きな環境で、ゲートウェイから内部ファイヤウォールに必要以上の IP アドレスおよびポートを使用しないようにします。

• ゲートウェイと Sun ONE Portal Server サーバー間で開かれるポートの数を 1 に制限します。このポート番号はインストール時に設定できます。

• 図 3-2 の「Netlet プロキシの設定の使用」に示すように、クライアントとゲートウェイ間の安全なチャネルを Portal Server まで延長します。 Netlet プロキシはデータの暗号化によってセキュリティを改善しますが、システムリソースの使用を増やす場合があります。

Netlet プロキシのインストール手順については、Sun ONE Portal Server, Secure Remote Access 6.0 インストールガイド を参照してください。

次の方式が使用できます。

• Portal Server ノードまたは独立したノードで Netlet プロキシのインストールを選択します。

• 複数の Netlet プロキシをインストールし、それらを管理コンソールで単一のゲートウェイに対して設定します。 これはロードバランスに役立ちます。詳細については「Netlet プロキシを設定する手順」を参照してください。

• 単一のマシンで Netlet プロキシの複数のインスタンスを設定します。

• ゲートウェイの複数のインスタンスに対して、Netlet プロキシの単一のインストールを設定します。

  
  

  ---

  注	ゲートウェイの複数のインスタンスに対して単一の Netlet プロキシを使用している場合、ゲートウェイプロファイルごとに異なる Netlet プロキシポートを指定するようにしてください。

  ---

  
  

図 3-2 に、Netlet プロキシをインストールした場合とインストールしない場合のゲートウェイと Portal Server の実装のサンプルを 3 つ示します。 クライアント、 2 つのファイヤウォール、 2 つのファイヤウォール間にあるゲートウェイ、Portal Server、および Netlet ターゲットサーバーから構成されます。

最初の例では、Netlet プロキシをインストールしていないゲートウェイと Portal Server を示しています。 ここではデータの暗号化がクライアントからゲートウェイの間にのみ拡張されています。 Netlet 接続の要求があるたびに、2 番目のファイヤウォールでポートが開かれます。

2 番目の例では、Netlet プロキシを Portal Server にインストールした場合のゲートウェイと Portal Server を示しています。 この場合、データの暗号化はクライアントから Portal Server までのすべての区間に拡張されています。 すべての Netlet が Netlet プロキシを通じてルーティングされているため、Netlet 要求に対して 2 番目のファイヤウォールで開く必要があるのは 1 ポートのみです。

3 番目の例では、Netlet プロキシを Portal Server にインストールした場合のゲートウェイと Portal Server を示しています。 独立したノードに Netlet プロキシをインストールすると、Portal Server ノードの負荷が減少します。 ここでも、2 番目のファイヤウォールで開く必要があるのは 2 ポートのみです。 1 つのポートは Portal Server への要求を処理し、もう一つのポートは Netlet の要求を Netlet プロキシサーバーにルーティングします。

図 3-2    Netlet プロキシの実装

Netlet プロキシを設定する手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「サービス管理」を選択します。

3. 左のフレームに表示される「SRAP 設定 (SRAP Configuration)」の「ゲートウェイ」の横の右矢印アイコンをクリックします。

   「ゲートウェイ」ページが右の区画に表示されます。

4. 必要なプロファイルをクリックします。

   「ゲートウェイ」 > 「ゲートウェイプロファイルを編集」ページが右の区画に表示されます。

5. 「Netlet プロキシの有効化」チェックボックスにスクロールし、選択して Netlet プロキシを有効にします。

6. 「Netlet プロキシホスト」編集フィールドに、必要な Netlet プロキシのホストとポートを host name:port の形式で入力します。 「追加」をクリックします。

   
   

   ---

   ヒント	必要なポートが使用可能で未使用かどうかを判断するには、コマンド行から次のコマンドを入力します。 netstat -a | grep port_number | wc -l port_number は目的のポートです。

   ---

   
   

7. ページの上または下で「保存」をクリックし、変更内容を保存します。

8. 変更を有効にするために、次のコマンドを入力してゲートウェイを再起動します。

   InstallDir/SUNWps/bin/gateway -n gateway profile name start

Netlet プロキシの再起動

プロキシが何らかの理由で強制終了した場合に再起動するように、Netlet プロキシを設定することができます。 Netlet プロキシを監視し、Netlet プロキシが停止したときに再起動するように watchdog プロセスをスケジューリングできます。

Netlet プロキシは手動で再起動することもできます。

Netlet プロキシを再起動する手順

端末ウィンドウで、root で接続し次の操作を行います。

• 次のコマンドを使用して watchdog プロセスを起動します。

  InstallDir/SUNWps/bin/netletd watchdog on

  crontab にエントリが作成され、watchdog プロセスがアクティブになります。 watchdog は Netlet プロキシポートを監視し、ポートが停止した場合にプロキシを再起動します。

  
  

  ---

  注	watchdog を有効にする前に、Netlet プロキシが稼動していることを確認する必要があります。 Netlet プロキシを停止するには、まず watchdog プロセスの停止を確認します。

  ---

  
  

• 次のコマンドを使用して Netlet プロキシを手動で起動します。

  InstallDir/SUNWps/bin/netletd -n profilename start

  ここで profilename は必要なゲートウェイインスタンスのプロファイル名です。

Netlet プロキシの複数インスタンスの設定

nlpmultiinstance スクリプトを使用し、Netlet プロキシの新規インスタンスを作成します。 新しいインスタンスは、次のような場合に作成できます。

• Portal Server ノード上での新規インスタンスの作成

• Portal Server 以外のノード上での新規インスタンスの作成

Portal Server ノード上での新規インスタンスの作成

1. root でログインし、次のディレクトリに移動します。

   InstallDir/SUNWps/bin

2. 次の複数インスタンスのスクリプトを実行します。

   ./nlpmultiinstance

表 3-4 にスクリプト内で照会される質問を一覧にしています。 最初の列は質問、2 番目の列はデフォルト値、3 番目の列は説明をそれぞれ表しています。

表 3-4    Portal Serverノード上で新規 Netlet プロキシインスタンスを作成するためのチェックリスト  

パラメータ	デフォルト値	説明
New Netlet proxy instance uses Portal Server instance running on this node 新規 Netlet プロキシインスタンスはこのノード上で実行するPortal Serverインスタンスを使用する	y	スクリプトはPortal Serverの既存のインスタンスを検出し、このように質問します。 同じノード上のPortal Serverインスタンスで Netlet プロキシを実行する場合は、yを指定します。 Portal Serverの別のインスタンスを使用する場合は、nを選択します。 この場合、「Portal Server 以外のノード上での新規インスタンスの作成」のチェックリストが適用されます。
Portal Server instance is the default one created during installation Portal Serverインスタンスは、インストール時に作成されたデフォルトインスタンスである	y	新しい Netlet プロキシインスタンスが動作するときのPortal Serverのインスタンスを指定します。 yを選択した場合、インストール時に作成されたデフォルトのPortal Serverインスタンスが新しい Netlet プロキシで使用されます。 nを選択すると、使用するPortal Serverインスタンスの名前を指定するように要求されます。
New Portal Server instance created 新規Portal Serverインスタンスが作成されている	y	この質問が表示されるのは、デフォルトのPortal Serverインスタンスを使用しない場合のみです。 新規 Netlet プロキシインスタンスで使用するPortal Serverインスタンスをすでに作成しているかどうかを指定します。 nを選択した場合、まずインスタンスを作成するように要求され、スクリプトは中断されます。
Name of the new Portal Server instance 新規Portal Serverインスタンスの名前	Portal Serverインスタンス名	この質問が表示されるのは、デフォルトのPortal Serverインスタンスを使用しない場合のみです。 新規 Netlet プロキシインスタンスで使用するPortal Serverインスタンスの名前を指定します。
Port on which the new Portal Server instance listens 新規 Portal Server インスタンスが待機するポート	81	この質問が表示されるのは、デフォルトの Portal Server インスタンスを使用しない場合のみです。 新規 Portal Server インスタンスが待機するポートを指定します。
Deployment URI 配置 URI	/portal	この質問が表示されるのは、デフォルトの Portal Server インスタンスを使用しない場合のみです。 新規 Portal Server インスタンスの配置 URI を指定します。
Name of the new Netlet proxy instance 新規 Netlet プロキシインスタンスの名前		作成する新規 Netlet プロキシインスタンスの名前を指定します。
Port on which the new Netlet proxy instance listens 新規 Netlet プロキシインスタンスが待機するポート	10558	新規 Netlet プロキシインスタンスが待機する必要のあるポートを指定します。 他の Netlet プロキシインスタンスにこのポートが指定されていないことを確認します。
Created a corresponding gateway profile for the new Netlet proxy instance 新規 Netlet プロキシインスタンスに対応するゲートウェイプロファイルを作成している	y	新規 Netlet プロキシインスタンスにゲートウェイプロファイルをすでに作成しているかどうかの質問が表示されます。 新規ゲートウェイプロファイルの作成についての詳細は、「ゲートウェイプロファイルの作成手順」を参照してください。

要求するゲートウェイプロファイル名で Netlet プロキシの新規インスタンスを起動します。

InstallDir/SUNWps/bin/netletd -n profilename start

ここで profilename は必要なゲートウェイインスタンスのプロファイル名です。

Portal Server 以外のノード上での新規インスタンスの作成

1. root でログインし、次のディレクトリに移動します。

   InstallDir/SUNWps/bin

2. 次の複数インスタンスのスクリプトを実行します。

   ./nlpmultiinstance

表 3-5 にスクリプト内で照会される質問を一覧にしています。 最初の列は質問、2 番目の列はデフォルト値、3 番目の列は説明をそれぞれ表しています。

表 3-5    Portal Server ノード以外で新規 Netlet プロキシインスタンスを作成するためのチェックリスト 

パラメータ	デフォルト値	説明
New Netlet proxy instance uses Portal Server instance running on this node 新規 Netlet プロキシインスタンスはこのノード上で実行する Portal Server インスタンスを使用する	n	スクリプトがこのノードで Portal Server のインスタンスを検出しない場合、この質問は表示されません。 スクリプトは Portal Server の既存のインスタンスを検出し、このように質問します。 同じノード上の Portal Server インスタンスで Netlet プロキシを実行する場合は、y を指定します。 Portal Server の別のインスタンスを使用する場合は、n を選択します。
Host name of the Directory Server Directory Server のホスト名	hostname	Directory Server がインストールされているマシンです。 Portal Server 用に Directory Server がインストールされているマシンを指定します。
Sub-domain name for hostname hostname のサブドメイン名	subdomain	Directory Server が所属するサブドメインです。 Portal Sever に Directory Server がインストールされているマシンのサブドメインを指定します。
Domain name for hostname hostname のドメイン名	domain	Directory Server マシンが所属するドメインです。 Portal Sever に Directory Server がインストールされているマシンのドメインを指定します。
Port used to access the Directory Server Directory Server にアクセスするために使用するポート	389	Directory Server にアクセスする際に Portal Sever が使用するポートです。 Portal Server のインストール時に指定される Directory Server ポートを指定します。
Root suffix of the directory tree ディレクトリツリーのルート接尾辞	o=isp	デフォルトの最上位の組織です。 新規組織を作成する場合、この組織の下に作成されます。
Organization name 組織名	subdomain.domain	作成されるデフォルト組織の名前です。
Hostname of Portal Server Portal Server のホスト名	Portal Server hostname	Portal Server のホスト名です。
sub-domain for Portal Server hostname Portal Server hostname のサブドメイン		Portal Server が所属するサブドメインです。
domain name for Portal Server hostname Portal Server hostname のドメイン名		Portal Server マシンが所属するドメインです。
Port used to access Portal Server Portal Server へのアクセスに使用するポート	80	Portal Server へのアクセスに使用するポートです。
Protocol used to access Portal Server Portal Server へのアクセスに使用するプロトコル	http	Portal Server へのアクセスに使用するプロトコルを指定します。
DSAME server deployment URI DSAME サーバー配置 URI	/amserver	DSAME 配置 URI です。 この値を変更しないでください。
Portal Server deployment URI Portal Server 配置 URI	/portal	新規 Portal Server インスタンスの配置 URI を指定します。
Name of the new Netlet proxy instance 新規 Netlet プロキシインスタンスの名前		作成する新規 Netlet プロキシインスタンスの名前を指定します。
Port on which the new Netlet proxy instance listens 新規 Netlet プロキシインスタンスが待機するポート	10662	新規 Netlet プロキシインスタンスが待機する必要のあるポートを指定します。 他の Netlet プロキシインスタンスにこのポートが指定されていないことを確認します。
Created a gateway profile for the new Netlet proxy instance 新規 Netlet プロキシインスタンスにゲートウェイプロファイルを作成している	y	新規 Netlet プロキシインスタンスにプロファイルをすでに作成しているかどうかの質問が表示されます。 新規ゲートウェイプロファイルの作成についての詳細は、「ゲートウェイプロファイルの作成手順」を参照してください。

要求するゲートウェイプロファイル名で Netlet プロキシの新規インスタンスを起動します。

InstallDir/SUNWps/bin/netletd -n profilename start

ここで profilename は必要なゲートウェイインスタンスのプロファイル名です。

Netlet プロキシの watchdog を設定する手順

watchdog が Netlet プロキシの状態を監視する間隔を設定することができます。 この間隔はデフォルトでは 60 秒に設定されています。 これを変更する場合は、 crontab で次の行を編集します。

0-59 * * * * InstallDir/bin/checkgw /var/opt/SUNWps/.gw 5 > /dev/null 2>&1

Netlet ルールのサンプル

---

表 3-6 にいくつかの共通なアプリケーションの Netlet ルールのサンプルを示します。

この表は 7 つの列から構成され、 Netlet ルールのルール名、URL、ダウンロードアプレット、クライアントポート、ターゲットホスト、ターゲットポートの各フィールドに対応します。 最後の列にはルールの説明が表示されます。

---

注	表 3-6 では Netlet ルールの暗号化と拡張セッションのフィールドは示しません。 提示されるサンプルについて、これらの 2 つのフィールドは「RC4」と「true」と想定してください。

---

---

注意	Microsoft Exchange 2000 はサポートされません。

---

表 3-6    Netletルールのサンプル 

ルール	URL	アプレットのダウンロード	クライアントポート	ターゲットホスト	ターゲットポート	説明
IMAP	Null	false	10143	imapserver	143	クライアント側の Netlet client port はサーバー側の target port と同じである必要はありません。 標準の IMAP と SMTPポート以外を使用する場合、標準ポートと異なるポートにクライアントが設定されていることを確認してください。 Solaris クライアントユーザーは、root で実行している場合を除き 1024 より低いポート番号に接続すると問題が発する場合があります。
SMTP	Null	false	10025	smtpserver	25
Lotus Web クライアント	Null	false	80	lotus-server	80	このルールでは、Netlet がポート80 でクライアントを待機し、ポート 80 でサーバー lotus-server に接続します。Lotus Web クライアント側で、待機するポートがサーバーポートに一致している必要があります。
Lotus Notes 非 Web クライアント	Null	false	1352	lotus-domino	1352	このルールを使用すると、Lotus Notes クライアントは Netlet を通じて Lotus Domino サーバーに接続できます。 クライアントがサーバーに接続する場合、サーバー名に localhost が指定されていないことを確認してください。 サーバー名はサーバーのシステム名と同じになる必要があり、 Lotus Domino サーバーの実際のサーバー名を指定する必要があります。クライアントは、Netlet を使用する場合、その名前を 127.0.0.1 に解決する必要があります。 これは 2 とおりの方法で実行できます。 クライアントホストテーブルで 127.0.0.1 を示すようにサーバー名を設定します。 127.0.0.1 を示すサーバー名の DNS エントリをエクスポートします。 サーバー名は、設定時に Domino サーバーを設定するのに使用したサーバーと同じ名前になる必要があります。
Microsoft Outlook と Exchange Server Windows NT と Windows 2000 については、この設定が使用できません。Windows NT と 2000 についてはリライタ通じた Outlook Web アクセスを使用します。	Null	false	135	exchange	135	このルールでは Netlet がクライアントのポート 135 で待機し、ポート 135 のサーバー exchange に接続します。Outlook クライアントはこのポートを使用して、Exchange サーバーへの最初の接続試行を行い、その後サーバーとの通信に使用するポートを判断します。 クライアントマシン上で次の操作を行います。 ユーザーは Outlook クライアントに設定されている Exchange サーバーのホスト名を localhost に変更する必要があります。 このオプションの場所は、Outlook のバージョンにより異なります。 ユーザーはホストファイルを使用して Exchange のホスト名(単一の完全修飾名)を IP アドレス127.0.0.1 にマップする必要があります。 Windows 95 または 98 ではファイルの場所は \Windows\Hosts です。Windows NT4 ではファイル場所は \WinNT\System32\drivers\etc\Hosts です。 エントリは次のようになります。 127.0.0.1 exchange exchange.company.com Exchange サーバーは自分の名前を Outlook クライアントに戻します。 このマップにより、Outlook クライアントが Netlet クライアントを使用して元のサーバーに接続できるようになります。
FTP	Null	false	30021	your_ftp_ server.your_domain	21	単一の FTP サーバーへの FTP サービスに、制御下にあるエンドユーザーアカウントを提供できます。 これによってエンドユーザーシステムから単一の場所への安全なリモート FTP 転送が保証されます。 ユーザー名を使用しない場合、FTP の URL は匿名の FTP 接続として解釈されます。 Netlet FTP ルールのクライアントポートとしてポート 30021 を定義する必要があります。 Netlet 接続を使用してダイナミック FTP を使用できません。
Netscape 4.7 Mail Client	Null	false	10143 10025	TARGET TARGET	10143 10025	Netscape クライアントで、ユーザーは次のコマンドを指定する必要があります。 IMAP または受信メールについては、localhost:30143 SMTP または発信メールについては、localhost:30025
Graphon	third_party/xsession_ start.html	true	10491	TARGET	491	Netlet を通じて Graphon にアクセスするのに使用されるルールです。xsession_start.html は Graphon にバンドルされています。
Citrix	third_party/citrix_start.html	true	1494	TARGET	1494	Netlet を通じて Citrix にアクセスするのに使用されるルールです。citrix_start.html は Citrix にバンドルされています。
Remote Control	third_party/pca_start.html	true	5631 5632	TARGET TARGET	5631 5632	Netlet を通じて Remote Control にアクセスするのに使用されるルールです。pca_start.html は Remote Control にバンドルされています。

Netlet ロギングの有効化

---

ゲートウェイ管理コンソールで、Netlet 関連アクティビティのロギングを有効にできます。 このログファイルは、DSAME 設定属性の「ロギング (Logging)」セクションに含まれる「ログの場所 (Log Location)」属性で指定されたディレクトリに作成されます。 ログファイル名には次の命名ルールがあります。

srapNetlet_gateway hostname_gateway profile name

Netlet ログは次の情報を取り込みます。

• 開始時間

• ソースアドレス

• ソースポート

• サーバーアドレス

• サーバーポート

• 停止時間

• 状態(起動または停止)

Netlet ロギングを有効にする手順

1. iPlanet Directory Server Access Management Edition の管理コンソールに administrator としてログインします。

2. 「サービス管理」を選択します。

3. 「SRAP 設定 (SRAP Configuration)」の「ゲートウェイ」の横の矢印をクリックします。

   「ゲートウェイ」ページが表示されます。

4. 編集する属性が含まれるゲートウェイプロファイルの隣の「編集」をクリックします。

   「ゲートウェイ」 > 「ゲートウェイプロファイルを編集」ページが表示されます。

5. 「Netlet ロギングの有効化」チェックボックスを選択して、Netlet ロギングを有効にします。

6. ページの上または下で「保存」をクリックし、変更内容を記録します。

Netlet のカスタマイズ

---

メッセージウィンドウ、Netlet プロバイダ、Netlet 管理コンソールに表示されるテキストをカスタマイズできます。

Netlet 属性ページのテキストの編集

管理コンソールの「Netlet 属性 (Netlet attributes)」ページに表示されるテキストを編集できます。 次のファイルで必要な変更を行います。

InstallDir/SUNWam/locale/srapNetlet.properties

Netlet プロバイダのメッセージテキストの編集

Netlet プロバイダに表示されるメッセージを、エンドユーザーのデスクトップで編集できます。 次のファイルで必要な変更を行います。

InstallDir/SUNWam/locale/srapNetletProvider.properties

エラーメッセージファイルの編集

ブラウザのプロキシ設定で Netlet に問題が発生したときに表示されるメッセージについては、srapNetletApplet.properties ファイルを編集します。 次のファイルで必要な変更を行います。

InstallDir/SUNWam/locale/srapNetletApplet.properties

Netlet メッセージファイルの編集

Netlet の読み込み時に表示されるメッセージについては、srapNetletServlet.properties ファイルを編集します。 次のファイルで必要な変更を行います。

InstallDir/SUNWam/locale/srapNetletServlet.properties