今回は Threat Management Gateway 2010 (以下、TMG)、及び  Forefront Unified Access Gateway (以下、UAG) の後継機能についてのご案内となります。

2015 年 11 月現在、TMG、及び、UAG はメインストリームサポートが終了し、延長サポート期間となっております。

今後、当該製品への機能追加や不具合改修などについては、セキュリティに関わる重要な問題を除き、行われる予定はございません。

その為、弊社では当該製品の リプレース を推奨しております。

なお、弊社の提供する主な後継機能としましては、Web Application Proxy 及び、Azure AD Application Proxy がございます。

下記にTMG/UAG で使用している機能と後継製品の機能の比較表を掲載いたします。

リプレース時のご参考としていただければ幸いでございます。

詳細については下記のホワイトペーパーをご参照下さい。

『Modernizing Microsoft Application Access with Web Application Proxy and Azure Active Directory Application Proxy』

上記のとおり、現在、多くのお客様にご利用いただいております、フォワードプロキシとしての機能は、後継の機能がございません。

フォワードプロキシ機能の廃止については、今後、回線の高速化やクラウド、及び、クライアントのモバイル化が推進され、様々な場所からサーバーにアクセスされることなどが背景にございます。

また、Azure 上のサーバー公開機能としまして、弊社では Azure AD Application Proxy を主軸に開発を行っております。

その為、TMG、及び、UAG についてはクラウド上で正常に動作するか詳細な検証を行っておりません。

今後の安定した運用の為にも、クラウド上でサーバー公開を行う際には Web Application Proxy や Azure AD Application Proxy をご検討いただけますと幸いです。

TMG/UAG についてはご愛用いただいているお客様も多く、ご不便をおかけいたしますが、何卒よろしくお願いいたします。

今回は Threat Management Gateway 2010 (以下、TMG) の各 Rollup に関する情報を Hotfix として公開している理由について案内いたします。

TMG の Rollup は、Hotfix として実施した修正内容を集積したものとなっているため、それ自体も Hotfix という位置づけになります。その為、Rollup についての公開内容が Hotfix に対して弊社が一般的に案内する内容となっており、以下の注意点の記載がございます。

＜TMG RollUp 公開情報の記載について＞

-------------------------------------------------

A supported hotfix is available from Microsoft. However, this hotfix is intended to correct only the problems that are described in this article. Apply this hotfix only to systems that are experiencing these specific problems.

サポートされている修正プログラムは、マイクロソフトから入手可能です。ただし、この修正プログラムは、この資料に記載されている問題のみを修正するものです。これらの問題が発生しているシステムにのみこの修正プログラムを適用します。

-------------------------------------------------

上述のとおり、問題が発生したシステムにのみ修正プログラムを適用するよう記載がございます。ただし、Rollup は過去に確認した不具合に対し、多岐に渡る修正が含まれており、最新版の Rollup では安定した動作が見込めるため、弊社では 最新版の Rollup の適用を推奨しております。

なお、TMG の最新の Rollup は SP2 RU5 となります。まだご適用されていないお客様は、是非、最新版の SP2 RU5 にて TMG をご利用いただけますと幸いです。

TMG RTM から SP2 RU5 へのアップグレードパスは以下になります。

＜TMG SP2 RU5 へのアップグレードパス＞

================================================

1. Forefront TMG 2010 SP1 の適用

   Microsoft Forefront Threat Management Gateway 2010 Service Pack 1

   https://www.microsoft.com/ja-jp/download/details.aspx?id=16734

2. Forefront TMG 2010 SP1 Software Update 1 の適用

   Microsoft Forefront Threat Management Gateway 2010 Service Pack 1 用のソフトウェア更新プログラム 1

   https://www.microsoft.com/ja-jp/download/details.aspx?id=11445

3. Forefront TMG 2010 SP2 の適用

   Microsoft Forefront Threat Management Gateway 2010 Service Pack 2

   https://www.microsoft.com/ja-jp/download/details.aspx?id=27603

4. Forefront TMG 2010 SP2 Rollup 5 の適用

   Rollup 5 for Forefront Threat Management Gateway 2010 Service Pack 2

   https://support.microsoft.com/ja-jp/kb/2954173

＜TMG の ソフトウェアアップデート 一覧＞

================================================

Microsoft Forefront Threat Management Gateway 2010 Service Pack 1

https://www.microsoft.com/ja-jp/download/details.aspx?id=16734

Microsoft Forefront Threat Management Gateway 2010 Service Pack 1 用のソフトウェア更新プログラム 1

https://www.microsoft.com/ja-jp/download/details.aspx?id=11445

Software Update 1 rollup 1 for Forefront Threat Management Gateway 2010 Service Pack 1

https://support.microsoft.com/ja-jp/kb/2433623

Software Update 1 Rollup 2 for Forefront Threat Management Gateway 2010 Service Pack 1

https://support.microsoft.com/ja-jp/kb/2475183

Software Update 1 Rollup 3 for Forefront Threat Management Gateway 2010 Service Pack 1

https://support.microsoft.com/ja-jp/kb/2498770

Software Update 1 Rollup 4 for Forefront Threat Management Gateway 2010 Service Pack 1

https://support.microsoft.com/ja-jp/kb/2517957

Microsoft Forefront Threat Management Gateway 2010 Service Pack 2

https://www.microsoft.com/ja-jp/download/details.aspx?id=27603

Rollup 1 for Forefront Threat Management Gateway 2010 Service Pack 2

https://support.microsoft.com/ja-jp/kb/2649961

Rollup 2 for Forefront Threat Management Gateway 2010 Service Pack 2

https://support.microsoft.com/ja-jp/kb/2689195

Rollup 3 for Forefront Threat Management Gateway 2010 Service Pack 2

https://support.microsoft.com/ja-jp/kb/2735208

Rollup 4 for Forefront Threat Management Gateway 2010 Service Pack 2

https://support.microsoft.com/ja-jp/kb/2870877

Rollup 5 for Forefront Threat Management Gateway 2010 Service Pack 2

https://support.microsoft.com/ja-jp/kb/2954173

今回は、TMG サーバー上においてメールが受信できなくなる問題についてのお知らせです。

TMG サーバー上において、SMTP Publishing のリスナーが不規則に停止するため、メールが受信できなくなる場合があります。この現象は、TMG サーバー上に Exchange Server を同居させている場合などに特に問題となります。本現象については、以下の技術情報にある通り、修正プログラムを適用することで対処することができます。

[Forefront TMG 2010 SP1 をインストールしているコンピューターでは、すべての受信メールを受信できない]

https://support2.microsoft.com/kb/2423093

上記の修正プログラムは TMG 2010 SP1 向けのものとなっています。 本現象は、Windows Essential Business Server に同梱されている ForeFront TMG Medium Business Edition (MBE) でも発生することが報告されていますが、現在のところ修正を実施する予定はありません。MBE で同様の問題が発生する場合には、System Center Operations Manager (SCOM) などの監視ツールにて、SMTP ポートの状態を定期的にチェックし、問題があれば　TMG のルールをリロードするなどの方法で回避してください。監視製品を利用していない環境では、定期的に TMG のルールをリロードするという方法も有効と考えられます。

今回は、現時点で最新の Forefront TMG 2010 SP2 Rollup 3 を適用する流れについて、ご説明します。
いくつかの更新を順番に適用する必要がありますので、適用の際にはご注意ください。

なお、TMG 2010 SP2 Rollup3 のインストーラーを実行する際には、管理者権限にて実行をお願いします。
コマンド プロンプトを管理者として実行し、そこからインストーラーを実行すると確実です。

Forefront TMG 2010 初期出荷版の状態を起点とし、順番をご説明します。

1. Forefront TMG 2010 SP1 の適用

Microsoft Forefront Threat Management Gateway (TMG) 2010 Service Pack 1
https://www.microsoft.com/ja-jp/download/details.aspx?id=16734

2. Forefront TMG 2010 SP1 Software Update 1 の適用

Microsoft Forefront Threat Management Gateway (TMG) 2010 Service Pack 1 用のソフトウェア更新プログラム 1
https://www.microsoft.com/ja-jp/download/details.aspx?id=11445

3. Forefront TMG 2010 SP2 の適用
(SP2 適用の前提条件が SP1 SU1 環境のため、初期出荷版の環境に直接 SP2 は適用できません)

Microsoft Forefront Threat Management Gateway (TMG) 2010 Service Pack 2
https://www.microsoft.com/ja-jp/download/details.aspx?id=27603

4. Forefront TMG 2010 SP2 Rollup 3 の適用

Rollup 3 for Forefront Threat Management Gateway (TMG) 2010 Service Pack 2
https://support.microsoft.com/kb/2735208/en-us

今回は TMG Client についての情報を少しまとめておきたいと思います。

TMG Client がインストールされたコンピューターからの要求は、Forefront TMG コンピューター上のファイアウォール サービスに送信され、アクセスを許可するかどうかが決定されます。
その後、要求は Forefront TMG 上で、アプリケーション フィルターや他のアドインによってフィルター処理されます。

TMG Client は、高度で複雑な処理が実装されているため、どのようなプロトコルをサポートしているのか迷う場合もあります。
TMG Client がサポートしているプロトコルは、すべての Winsock アプリケーションです。
Winsock とは、広く使用されている Berkeley Socket API の Windows 実装で、TCP/IP ベースのソケット アプリケーションの作成に使用されるネットワーク API です。
Winsock は、アプリケーション間のインターフェースとトランスポート プロトコルを提供し、着信方向および発信方向のデータの双方向接続として機能します。

サポートされたプロトコルをイメージするために、以下の参考例をご紹介しておきます。
※※ なお、この参考例は概念を説明するためのサンプルであり、TMG Client の動作を 100% 保障するものではないことをあらかじめご了承ください ※※

- アプリケーション層
Winsock アプリケーション (FTP/HTTP/SMTP/POP/SSL etc..)
- トランスポート層
TCP, UDP
- ネットワーク層
IP

参考例にあるような Winsock アプリケーションは TMG Client の動作によって Forefront TMG へと要求が送信されます。
TCP/IP 群の中でも、ネットワーク層における IPsec などは TMG Client では処理することができないため、Forefront TMG へ要求を送信するためには別の方法を検討いただく必要があります。
少し複雑な面もありますが、上記の概念を持って、実装計画、動作検証を進めていただければ、少しの助けになるかと思います。

(参考情報)
- ダウンロード サイト
Forefront Threat Management Gateway (TMG) Client
https://www.microsoft.com/en-us/download/details.aspx?id=10504

- 詳細技術情報
Firewall Client Basics: Introduction to the ISA Server Firewall Client and Forefront TMG Client
https://technet.microsoft.com/en-us/library/ee291341.aspx

ISA Server や Forefront TMG をフォワード プロキシとして構成する際に、その他のプロキシ サーバーとの "多段構成" となる場合があります。
下位プロキシとして ISA / TMG を構成する場合にはいくつか注意点がありますので、ご紹介します。

■ 上位プロキシの設定方法について
TMG 管理コンソールより [ネットワーキング] - [Web チェーン] を開きます。
Web チェーン ルールを作成することで、ある条件にマッチする通信を上位プロキシへ転送する、ことが出来ます。

[要求の動作] 画面では [指定された上位サーバーに要求をリダイレクトする] を選択してください。

■ 注意点 1 : 上位サーバーのポーリング
ウィザードに従って Web チェーン ルールを作成すると、既定の設定ではオプション [上位サーバーを自動的にポールし、構成情報を取得する] が有効です。

本オプションは上位プロキシが ISA / TMG の場合にのみ、有効です。
もし ISA / TMG 以外のプロキシ製品を上位プロキシとして利用する際には、本オプションを無効にして下さい。

■ 注意点 2 : TMG 上の名前解決
TMG が上位プロキシへ要求を転送する前には、クライアントが接続したい Web サーバーの名前解決が、TMG 上で行われます。
環境によっては TMG で外部の名前解決が出来ない場合 (= 名前解決は上位プロキシに任せている場合) や、TMG にて名前解決された後の IP アドレスによるアクセスが上位プロキシにとって不都合な場合、などがあります。

そういった環境では、TMG 上の名前解決動作を無効とし、クライアントからの通信をそのまま上位プロキシへ転送させる必要があります。
この設定変更は TMG 管理コンソールからは実行することができず、代わりにスクリプトを実行する必要があります。

How to configure ISA Server 2004, ISA Server 2006 Windows Essential Business Server 2008 to skip name resolution in a Web proxy chaining configuration
https://support.microsoft.com/kb/891244/en-us

KB891244 の "MORE INFORMATION" に書かれた手順に沿ってスクリプトを実行することで、名前解決を無効にすることが出来ます。
もし名前解決を有効に戻したい場合には、スクリプト中の

webProxy.SkipNameResolutionForAccessAndRoutingRules = True

を

webProxy.SkipNameResolutionForAccessAndRoutingRules = False

に変更して実行します。 

(参考情報)
About Web proxy chaining
https://technet.microsoft.com/en-us/library/cc995172.aspx

前回の投稿では TMG のログを管理コンソールから確認する方法を、ご紹介しました。

TMG 管理コンソールからログを確認する
https://blogs.technet.com/b/isablogjp/archive/2012/09/24/3522135.aspx

今回は管理コンソールを利用せず、直接ログを確認する方法をご紹介します。
アクセス統計などの情報を確認する場合にはレポート機能がお勧めですが、特定ユーザーの通信、特定 IP への通信など、細かい分析が必要な場合にはログが便利なこともあります。
(ISA Server 2004, 2006 のログ解析も基本的な考え方は同じです。)

■ ログの記録内容を把握する
TMG のファイアウォール ログ、Web プロキシ ログは、既定の設定ですべてのログ フィールドを記録しません。
管理者さまの運用ポリシー、ログの参照目的に応じて、確認したいフィールドが有効かどうかをまずご確認ください。

ログ フィールドに関する情報は、こちらをご参照ください。

Web proxy log fields
https://technet.microsoft.com/en-us/library/cc441708.aspx

Firewall log fields
https://technet.microsoft.com/en-us/library/cc441692.aspx

■ ログの保存先を把握する
TMG のログをデータベース、ファイル、どちらに保存しているかによって確認の方法が異なります。

■ ログを解析する
ログのフィールドに関する情報を手掛かりに、実際のログを確認します。
ファイルへログを保存する環境であれば、メモ帳などでログを開くことで詳細を確認できますが、既定の SQL Server Express DB をご利用の場合にはファイルへエクスポートして確認する方法が簡単です。
手順の詳細は下記のブログ記事をご参照ください。

How to View TMG Logs when using SQL Server Express for Logging
https://blogs.technet.com/b/isablog/archive/2010/03/31/how-to-view-tmg-logs-when-using-sql-server-express-for-logging.aspx

なお、ISA Server 2004 / 2006 は使用するデータベースが TMG とは異なるため、ファイル出力時には下記のツールをご利用ください。

MSDEToText Tool for Internet Security and Acceleration (ISA) Server 2004
https://www.microsoft.com/en-us/download/details.aspx?id=9360

MSDEToText Tool for Internet Security and Acceleration (ISA) Server 2006
https://www.microsoft.com/en-us/download/details.aspx?id=13375

また、ログ内のエラー コードの意味を調べる場合には、下記の技術情報もご参照ください。

Result code log values
https://technet.microsoft.com/en-us/library/cc441734.aspx

■ 注意事項
ログにはユーザー名を記録するフィールドがあります。
ただし、このフィールドはユーザー認証を必要とするルールが存在する場合にのみ、ユーザー名が記録されます。
"すべてのユーザー" を許可するアクセス ルールの場合にはユーザー名情報が収集されないことに、予めご注意ください。

(参考情報)
Log fields and values
https://technet.microsoft.com/en-us/library/cc441743.aspx

Forefront TMG 2010 および ISA Server 2004, 2006 は既定で下記 2 種類のアクセス ログを記録します。

- ファイアウォール ログ
- Web プロキシ ログ

これらのログを確認する方法はいくつかありますが、今回は管理コンソールからログを確認する方法をご紹介します。
TMG と ISA とで管理コンソール内の位置は少し異なりますが、ログ ビューアーの基本動作は同じです。

■ TMG
[ログ & レポート] - [ログ] タブ

■ ISA
[監視] - [ログ] タブ

[タスク] タブ内の [クエリの開始] をクリックすると、画面中央にログが表示され、次々にスクロールされます。
ログ ビューアーには表示するログ内容のフィルターを設定することができ、既定のフィルタ設定は TMG を通過するすべての通信について、リアルタイムにログを表示します。

ある通信内容が TMG 上で許可 / 拒否されていることを確認したい場合には、クライアント IP アドレス、宛先 IP アドレス、宛先ポートなどで当該の通信を探します。
テキストの色は緑ならば許可、赤ならば拒否で表示されることも、確認ポイントの一つです。

また、ログ ビューアーを利用することで、保存済みの過去ログをクエリすることも可能です。
[タスク] タブ内の [フィルターの編集] をクリックし、[ログ時刻] の条件を "ライブ" から "過去 30 日間" などに変更し、クエリを開始します。

ただし、ログの保存先としてデータベースではなくファイルをご利用の場合には、過去ログのクエリは実行できません。ご注意ください。

(参考情報)
Forefront TMG ログのクエリ
https://technet.microsoft.com/ja-jp/library/cc441466.aspx

Forefront TMG ログを構成する
https://technet.microsoft.com/ja-jp/library/bb794937.aspx

Forefront TMG 2010 や ISA Server 2004, 2006 をご利用のお客様から、ファイアウォールの機能を一時的に無効化したい、というご質問をいただくことがあります。
例えば、通信の失敗や遅延などの問題が発生した時に、TMG の影響かどうかを切り分けるための手段として、無効化を試したいという背景を良く聞きます。

なお、ファイアウォールを無効化するために下記のサービスを停止すると、逆に通信が拒否されますのでご注意ください。

Forefront TMG 2010 の場合
Microsoft Forefront TMG ファイアウォール サービス

ISA Server 2004, 2006 の場合
Microsoft Firewall サービス

具体的には、TMG や ISA が "ロックダウン モード" へ移行します。
ロックダウン モード中はシステム ポリシーで特に許可されない限り、着信方向の通信がすべて拒否されます。

(参考情報)
ロックダウンを回避するようにログを構成する
https://technet.microsoft.com/ja-jp/library/cc441592.aspx

正しいファイアウォール無効化 (= TMG の機能停止) の方法は、管理者権限にてコマンドプロンプトを開き、下記のコマンドを実行します。

> net stop fweng

本コマンドを実行すると、依存関係の設定された下記サービスも同時に停止します。

Forefront TMG 2010 の場合
Microsoft Forefront TMG ジョブ スケジューラ
Microsoft Forefront TMG Managed Control
Microsoft Forefront TMG ファイアウォール
Microsoft Forefront TMG コントロール

ISA Server 2004, 2006 の場合
Microsoft ISA Server Job Scheduler
Microsoft Firewall
Microsoft ISA Server Control

動作の確認が終わり、ファイアウォール機能を再開する場合には、下記のコマンドを実行します。

> net start fweng

その後、依存関係の設定されたサービスを個別に開始させて下さい。

(参考情報)
ISA Server 2006 Firewall Core
https://download.microsoft.com/download/e/7/6/e76fdda3-5c2c-4fbb-9c6f-3bcd0ed4b8ef/Firewall_Corewp.doc