初期導入
WAN・LAN、管理を許可する接続元、DDNS、VPNの初期値を設定し、初回起動後にWeb-GUIとSSHへ接続できることを確認します。
安定したLinuxを基盤とする日本向けUTM・ルーターアプライアンス
SyncA UTM
日本国内の運用を想定し、安定した通信と、公開範囲を必要最小限に抑える防御を両立したUTMアプライアンスです。ネットワーク、ファイアウォール、AI防御、VPN、DNS・DHCP、DDNS、証明書、バックアップ、Nginxリバースプロキシ、WAF、集中管理をWeb-GUIから確認・設定できます。
安定したLinuxベース
導入環境に合わせて8.10系または9.8系を選択できます。
Web-GUI管理
WAN・LAN、VPN、防御設定をブラウザから確認・変更できます。
日本向け防御
通信性能と、許可した接続元だけを通す防御を重視しています。
POSITIONING
日本での運用を前提に、通信と防御を一体で設計します
初期設定から日常運用まで、拠点ネットワーク、公開サービス、証明書、バックアップ、集中管理を一連の流れで扱えます。
日常運用
ネットワーク、ファイアウォール、名前解決、VPN、公開WebサービスをWeb-GUIからまとめて確認・変更できます。
公開防御
日本向けの接続制御、ホワイトリスト方式、攻撃元の遮断、WAFを組み合わせ、公開サービスへの接続経路を必要最小限に制限します。
保全
設定のバックアップ、証明書とシステムの更新、集中管理との連携を運用要件に合わせて構成できます。
FEATURES
主要機能
主な機能を分野別に紹介します。略称と専門用語は、後段の「用語の説明」で補足しています。導入規模、ネットワーク構成、移行元UTMの状態に合わせて、必要な機能と設定内容を決めます。
ネットワーク管理
回線方式、社内ネットワーク、複数のNICを束ねる構成など、拠点ルーターに必要な基本設定を管理できます。
- WANのDHCP、固定IP、PPPoEを利用できます。
- LANアドレス、DHCP範囲、配布するDNS、ゲートウェイを設定できます。
- 静的ルート、セカンダリIP、複数NICブリッジ、VLANタグ付きインターフェースを利用できます。
- 複数NICブリッジをLANとして使う場合は、DHCP・DNS、UPnP、firewalldの移行対象を事前に確認できます。
- PPPoE環境に合わせてMTU・MRUとTCP MSS clampを設定できます。
ファイアウォール・NAT
firewalldを基盤として、通信の許可範囲、公開サービス、接続元、NATを管理できます。
- LANからWANへの通信に使うNAT方式のmasqueradeを構成できます。
- ポート転送、VPN、Nginx公開に必要なポートをfirewalldのzoneへ反映できます。
- PPTP・IPsec passthroughに必要なGRE、ESP、AHの転送を補助します。
- UPnPとNAT-PMPは初期状態で無効です。必要な場合にのみ明示的に有効化できます。
- 日本向けのcountry ipsetとWANハードニングルールを使い、公開範囲を制御できます。
WireGuard・IPsec VPN
外出先からの接続と拠点間接続の両方に、WireGuardとstrongSwanを利用できます。
- WireGuardのサーバー、クライアント、割り当てアドレス範囲を管理できます。
- WireGuardのクライアント設定、QRコード、複数ピアの一括ZIPを生成できます。
- strongSwanによる拠点間IPsecの接続テンプレートと対向設定を管理できます。
- VPNトンネルの作成時に、必要なfirewalldの許可設定を追加できます。
- スプリットトンネルとフルトンネルの構成をご相談いただけます。
DNS・DHCP・DDNS
LAN内の名前解決、IPアドレスの配布、動的IP回線向けのDDNSを一つのWeb-GUIで管理できます。
- dnsmasqを使ったLAN内DNS、DHCPスコープ、DHCPオプションを管理できます。
- DHCPオプションのインポート内容を、適用前にプレビューできます。
- ddnsft.comのホスト名を管理できます。既存ホストの検出と4桁PINによる上書き承認にも対応します。
- WAN IPの確定後にDDNSを更新し、FQDNでの到達性を確認できます。
- dnsmasq設定を適用前に検査し、誤設定によるサービス停止のリスクを抑えます。
証明書・Nginxリバースプロキシ・WAF
公開Webサービスの暗号化、内部サーバーへの転送、Webアプリケーション防御をまとめて構成できます。
- Let's Encrypt証明書を発行し、更新後はrenewal hookでNginxをreloadできます。
- ACME webroot、proxy header、vhostの生成方法を標準化しています。
- ModSecurityとOWASP CRSを用いたWAFを構成できます。
- 公開サービスへの影響を抑えるため、Nginxを停止せずに更新しやすいwebroot方式を優先します。
fail2ban・公開サービス監視
SSH、Nginx、Web-GUI、公開中のvhostを監視し、攻撃と判定した接続元の遮断状況をWeb-GUIから確認・操作できます。
- 公開ポートを検出し、適切なfilterが定義されているjailだけを同期できます。
- 遮断中のIPアドレスと理由を確認し、遮断解除やignoreipの移行をWeb-GUIから操作できます。
- firewalldのreload後も、fail2banを再同期する運用に対応します。
- 公開サービスごとに防御ルールを段階的に適用できます。
Jevを利用したAI防御
有効化すると、公開ポートへの不審なアクセス候補をJevで判定し、条件に応じて専用のIPセットへ登録して遮断します。
- 認証失敗、探索的なHTTP要求、繰り返し記録のある接続元だけを判定対象にします。
- Jevには匿名の候補ID、イベント種別の件数、対象ポートだけを送信し、IPアドレスや元のログは送信しません。
- API通信に失敗した場合や応答を検証できない場合は、自動遮断しません。
バックアップ・集中管理
設定の復元に備えたバックアップと、複数台を運用する際の状態把握を重視しています。
- Web-GUIからアプライアンス設定のバックアップを作成できます。
- 既定の保持基準は10世代または合計2GiBです。
- 集中管理システムへ状態レポートとバックアップをアップロードできます。
- 新規端末の自動登録、端末別の認証情報、集中管理用タイマーを利用できます。
- 8.10系と9.8系の差異に対応する集中管理エージェントを利用できます。
Sophos SG UTMインポート
Sophos SG UTMなどの既存UTMから移行するため、XML設定を解析し、取り込む前に差分を確認できます。
- インターフェース、静的ルート、DNAT、masqueradeの変換候補を確認できます。
- DHCP範囲、DHCPオプション、IPsec、Nginx vhostの移行候補を確認できます。
- DDNS候補と証明書情報を確認し、移行可否の判断に利用できます。
- WebAdmin証明書やローカルユーザーX509証明書など、自動復元できない項目を分けて確認できます。
- 大容量のXMLファイルもアップロードし、移行内容をプレビューできます。
初期導入・ISO・VPS展開
オフラインインストールISOとVPS向けセットアップを使い、初回起動時に必要な基盤を構成できます。
- AlmaLinux 9系を基盤にしたオフラインインストールISOを利用できます。
- WAN、LAN、管理を許可する接続元、DDNS、VPNの初期値を導入時に設定できます。
- 初回起動後にSSHと管理GUIへ接続できること、LANからインターネットへ接続できることを確認できます。
- DDNS、証明書、SMTP、集中管理への登録状況を導入時に確認できます。
更新・運用支援
導入後の設定変更、システム更新、復旧確認に必要な運用情報をWeb-GUIで確認できます。
- 管理GUIで更新の有無を確認し、対象ブランチの更新を適用できます。
- firewalldプロファイル、GeoIP、バックアップ、DDNS、証明書更新のタイマーを確認できます。
- Web-GUIとSSHへの接続、公開サービス、VPN、DNS・DHCPの稼働状況を確認できます。
- 設定変更前に影響範囲を確認し、段階的に適用できます。
UPDATE HISTORY
更新履歴
SyncA UTM本体リポジトリの9.8系と8.10系の変更を、日時順に掲載しています。同じ変更は1件にまとめ、適用対象の系統を併記します。
WAN回線品質診断とAI防御を追加しました
Web-GUIからIPv4既定経路の下り・上り・遅延・損失を手動測定して履歴を確認できるようにしました。あわせて、公開ポートへの不審なアクセス候補をJevで判定し、条件に応じてIPセットに登録するAI防御を追加しました。
管理GUIの階層メニューを追加しました
デスクトップの左メニューとハンバーガーメニューを機能別に分類し、カテゴリごとに画面リンクを開閉できるようにしました。現在表示している画面のカテゴリは初期状態で展開されます。
初回DNS・DHCP設定をGUI管理へ統合しました
初回起動で入力したLANアドレス、DHCP範囲、上流DNSを、初期設定専用ファイルではなくGUIと同じ設定・生成処理で管理するようにしました。
バックアップ復元の一括反映とNIC差異対応を追加しました
バックアップ復元後にホスト名、LAN側IP、VPN、DDNS/集中管理タイマーを一括反映できるようにし、既存設定の退避・置換とNIC名の違いを考慮した復元に対応しました。
PPPoEからDHCPへのWAN切替GUIを修正しました
PPPoE接続中にDHCPまたは固定IPへ切り替える際、親WAN NICのEthernetプロファイルを準備し、firewalld/NAT同期とロールバックを行うようにしました。
WAN DHCPとDNS設定追従を修正しました
WANをDHCPで使う際に古い経路やDNS設定が残らないようにし、LAN DHCPがWAN NICへ誤配布しない保護を追加しました。
GeoIPのIPSet取り込み検証を強化しました
既存IPSetを国別GeoIP管理へ取り込む際、国コードとIPSet名の対応を検証し、誤ったIPSetを取り込みにくくしました。
9系VPS初期設定の既存ネットワーク保持を追加しました
AlmaLinux 9系VPS向けに、既存のWAN/LAN IP設定を保持したままSyncA UTMの基盤をセットアップする経路を追加しました。
GitHub更新で証明書Runtimeを自己修復しました
GitHub更新後にcertbotのhook更新、timer有効化、時刻同期を補完し、期限が近い証明書の更新を一度実行する処理を追加しました。
証明書自動更新の再発防止を追加しました
利用可能なcertbot timerの有効化、ACME HTTP-01中だけの80/tcp一時開放、更新成功後のNginx reload hookを追加しました。
L2TPクライアント通過設定のエラーを修正しました
L2TP/IPsecクライアント通過設定で使うfirewalldのpolicyとservice名を見直し、旧serviceを削除する処理を追加しました。
LAN側VPNクライアント通過設定を追加しました
LAN側端末がPPTPまたはL2TP/IPsecのVPNクライアントを使うための通過設定を、Web-GUIから有効化・無効化できるようにしました。
IPsec自動復旧設定をGUIで編集可能にしました
IPsecの自動復旧設定をWeb-GUIから編集できるようにし、接続断時の復旧動作を調整しやすくしました。
WireGuardクライアントのLAN疎通NATを追加しました
WireGuardクライアントからLAN側へ通信するためのNAT設定を追加し、リモートアクセス時の疎通性を改善しました。
Bridge編集時のセカンダリIP削除を修正しました
Bridge接続を編集した際にセカンダリIPが意図せず削除される問題を修正しました。
WireGuardのモバイル向けMTU既定値を調整しました
モバイル端末向けのWireGuard MTU既定値を調整し、回線差による通信詰まりを抑えやすくしました。
WireGuard LAN通信のMSS調整を自動化しました
WireGuard経由のLAN通信でTCP MSS調整を自動化し、ファイル共有などの通信が安定しやすくなるようにしました。
IPsec経路のTCP MSS調整を自動化しました
IPsec経路のTCP MSS調整を自動化し、拠点間VPNで通信断や遅延が起きにくくなるようにしました。
VPN経路とLANリンク断の再発防止を強化しました
VPN経路とLANリンク断に関する再発防止を強化し、接続状態を維持しやすくしました。
VPN経路のfirewalld転送許可を永続化しました
VPN経路に必要なfirewalld転送許可を永続化し、再起動や再読込後も疎通が維持されるようにしました。
集中管理エージェントに更新状態レポートを追加しました
集中管理エージェントに更新状態レポートを追加し、端末ごとの適用状況を把握しやすくしました。
firewalld再読込時の管理アクセス保護を追加しました
firewalld再読込時にも管理GUIとSSHへの到達性を保護する処理を追加しました。
Nginxリバースプロキシ詳細オプションを追加しました
Nginxリバースプロキシの詳細オプションを追加し、公開Webサービスの制御範囲を広げました。
定期DDNSチェックのfirewalld再読込を抑制しました
定期DDNSチェック時のfirewalld再読込を抑制し、運用中の通信影響を減らしました。
IKEv1 PSKのDDNS接続を安定化しました
IKEv1 PSK構成でDDNSを使う接続を安定化し、動的IP環境での拠点間VPNを扱いやすくしました。
DHCPリース解放機能を追加しました
DHCPリースをWeb-GUIから解放できる機能を追加し、端末入れ替え時の運用をしやすくしました。
Nginx vhost作成の二重送信を冪等化しました
Nginx vhost作成時に二重送信が起きても重複や不整合が出にくい処理にしました。
TERMS
用語の説明
導入判断に必要な用語を、ITに詳しくない方にも分かる表現で説明します。
UTM
ルーター、ファイアウォール、VPNなどの防御機能をまとめた装置です。
Web-GUI
ブラウザ上で設定を確認・変更する操作画面です。
VPN
離れた拠点や外出先から、暗号化した通信でネットワークへ接続する仕組みです。
ホワイトリスト方式
あらかじめ許可した通信だけを通す制御方式です。
DNS / DHCP
機器名をIPアドレスへ変換し、IPアドレスを自動配布する仕組みです。
UTM
Unified Threat Managementの略で、日本語では統合脅威管理と呼びます。ルーター、ファイアウォール、VPN、不正アクセス対策などの機能をまとめて管理します。
Web-GUI
ブラウザで開く操作画面です。画面上のボタンや入力欄を使って設定を確認・変更できます。
Linux / 8.10系 / 9.8系
Linuxはサーバーやネットワーク機器で広く使われているOSです。SyncA UTMでは、導入環境に合わせて8.10系または9.8系を選択できます。
WAN / LAN
WANはインターネット側の回線です。LANは社内や拠点内のネットワークです。SyncA UTMでは両方の通信を整理して管理できます。
IP / FQDN
IPアドレスはネットワーク上の機器を識別する番号です。FQDNはexample.example.comのようにホスト名からトップレベルドメインまでを省略せずに記したドメイン名です。
DNS / DHCP / DDNS
DNSはホスト名をIPアドレスに変換します。DHCPは機器へIPアドレスを自動配布します。DDNSはIPアドレスが変わっても同じホスト名で接続できるようにします。
VPN / WireGuard / IPsec
VPNは離れた場所のネットワーク間を暗号化して接続する仕組みです。WireGuardは軽量で高速なVPN方式です。IPsecは拠点間接続で広く使われています。
firewalld / ホワイトリスト方式
firewalldはLinuxの通信許可を管理する仕組みです。ホワイトリスト方式では、あらかじめ許可した通信だけを通し、公開範囲を限定します。
NAT / masquerade
NATは、LAN内の複数機器がインターネットへ接続できるように送信元IPアドレスを変換します。masqueradeはLinuxで広く使われているNAT方式です。
PPPoE / VLAN / NIC
PPPoEは一部のインターネット回線で使う接続方式です。VLANは1本の配線を論理的に分けて使う仕組みです。NICはネットワークケーブルをつなぐ機器や部品です。
MTU / MRU / MSS clamp
MTUとMRUは、一度に送受信できるデータの大きさです。MSS clampは、PPPoE回線などでTCP通信に使うデータサイズを調整します。
SSL / TLS / Let's Encrypt
SSL/TLSはWeb通信を暗号化する仕組みです。Let's Encryptは無料の証明書を発行するサービスです。証明書は通信相手の正当性を確認し、暗号化通信に使用します。
Nginx / リバースプロキシ
NginxはWebサーバーソフトです。リバースプロキシは、外部から受けた通信をLAN内または別サーバーのWebサービスへ中継します。
WAF / ModSecurity / OWASP CRS
WAFはWebアプリケーションを守る防御機能です。ModSecurityはWAFを実現するソフトです。OWASP CRSはよくある攻撃を検知するためのルール集です。
fail2ban / ban / unban / ignoreip
fail2banは不審なログイン試行などを検出し、接続元を遮断します。banは遮断、unbanは解除、ignoreipは遮断対象から除外する接続元の設定です。
SSH / ISO / XML
SSHはサーバーへ安全に接続して作業する仕組みです。ISOはOSやソフトを入れるためのインストール用イメージです。XMLは設定情報を機械が読みやすい形で保存するファイル形式です。
NetworkManager / インターフェース
NetworkManagerはLinuxのネットワーク設定を管理する仕組みです。インターフェースはネットワークとの接続点で、有線LANポートや仮想インターフェースなどを指します。
ipset / source / country ipset
ipsetは複数のIPアドレスを一つの集合として扱う仕組みです。sourceは通信元を意味します。country ipsetは国別のIPアドレス一覧で、日本向けの接続制御に利用できます。
DNAT / vhost / proxy header
DNATは外部から受けた通信の転送先を変更します。vhostは1台のWebサーバーで複数のサイトを分けて運用する設定です。proxy headerは中継前の接続元情報などを転送先へ伝えるヘッダーです。
ACME / webroot / renewal hook / reload
ACMEは証明書を自動発行する仕組みです。webrootは証明書の確認用ファイルを配置する場所です。renewal hookは証明書の更新後に実行する処理です。reloadはサービスを停止せずに設定を読み直す操作です。
jail / filter / PIN / GiB
jailはfail2banで監視対象をまとめる単位です。filterは不審なログを検出する条件です。PINは本人確認用の短い番号です。1GiBは1,073,741,824バイトです。
UPnP / NAT-PMP
UPnPとNAT-PMPは、機器やアプリが自動的にポート開放を要求する仕組みです。SyncA UTMでは初期状態で無効とし、必要な場合だけ有効化できます。
GeoIP / country ipset
GeoIPはIPアドレスを国や地域の情報と照合する仕組みです。country ipsetと組み合わせることで、日本向けの公開範囲を制御できます。
集中管理 / 状態レポート
集中管理は複数のSyncA UTMの登録状態、稼働状況、バックアップをまとめて扱うための仕組みです。端末ごとの状態を管理画面で確認できます。
QR PNG / ZIP
QR PNGは、WireGuardなどの設定をQRコード画像として保存したPNGファイルです。ZIPは複数の設定ファイルやQR画像を一つにまとめた圧縮ファイルです。
SCREENSHOTS
Web-GUIスクリーンショット
掲載画像は検証環境の画面です。IPアドレスやMACアドレスなど、公開不要な運用値はぼかしています。
WAN方式と接続状態を一つの画面で確認できます。
許可するゾーン、サービス、接続元を画面で確認できます。
スマートフォンでも主要な設定を確認できます。
IMPLEMENTATION
導入の考え方
SyncA UTMは、初期導入後のネットワークや公開サービスの変更も想定しています。導入前に国内の回線方式、既存UTMの設定、公開サービス、VPNの要件を確認し、構成と移行手順を決定します。
- 1要件整理
回線、拠点数、公開サービス、既存UTM、必要な保守範囲を確認します。 - 2移行計画
WAN/LAN、VPN、NAT、証明書、WAF、バックアップ方針を整理します。 - 3導入・検証
ISOまたは既存環境への適用後、Web-GUIとSSHへの接続、VPN、DNS・DHCP、公開サービスを確認します。 - 4運用
システム更新、バックアップ、証明書更新、fail2ban、集中管理の状態を継続して確認します。
PRICE
構成と保守範囲に応じてお見積もりします
必要な作業量は、拠点数、VPN構成、既存UTMからの移行、公開サービスの防御、集中管理、保守範囲によって変わります。構成と要件を確認したうえで個別にお見積もりします。
CONTACT
導入相談
導入相談はこのフォームからお送りください。拠点数、回線方式、公開サービス、VPN、既存UTMの有無をご記入いただくと、担当者が内容を確認して返信します。送信後は、入力したメールアドレスへ控えを自動送信します。
- 単拠点ルーターの導入、複数拠点VPNやリモートアクセスの設計、Sophos SG UTMなどからの移行、公開Webサービス、証明書、WAF、fail2banについてご相談いただけます。