メインコンテンツまでスキップ

FAQ

L1 サポート向け FPT Cloud Native Firewall に関するよくある質問と回答。

1. ファイアウォール管理​

#質問回答
1.1作成後にファイアウォールが Failed と表示されます。どうすればよいですか?2 つのケースがあります。レコードを作成できなかった場合（一時的な API エラー）、トーストに "System is busy. Please try again later." が表示され、ファイアウォールは現れません — 再試行してください。レコードは作成されたがインフラのプロビジョニングが失敗した場合、ファイアウォールは status Failed になります: Actions（⋮）メニューを開き、Retry（Creating に戻る）または Delete を選びます。Retry と Delete は確認ポップアップなしで即座に実行されます。
1.2ファイアウォール作成時に VPC を選べないのはなぜですか?VPC は次の場合に無効化されます: 既にファイアウォールがある（"Already has firewall: [name]"）、そのファイアウォールが Failed（"Firewall creation failed: [name]. Retry or delete that firewall first."）、または作成中（"Creating firewall: [name]. Please wait."）。routed subnet が 1 つ以上ある VPC のみ表示されます。既存のファイアウォールとネットワークを共有する VPC を選ぶと "This network already has a firewall" が表示されます。
1.3Integrated と Protected の違いは何ですか?Integrated（青）: VPC を 1 つ以上 integrate したが、まだ subnet を associate していないため、トラフィックは実際には保護されていません。Protected（緑）: 1 つ以上の subnet を正常に associate 済み。すべての subnet を dissociate すると Integrated に戻ります。（他の 2 状態は Creating と Failed。）
1.4subnet を associate した後に接続が切れました。なぜですか?これは意図的な動作で、事前に知っておくべきです。associate 時にポップアップが "All traffic will be denied by default until rules are configured." と警告します。ファイアウォールは deny-by-default です: どのルールにも一致しないトラフィックはブロックされます。そのため、Network Access Rule を設定して Apply Policy するまで subnet は接続できません。CIDR が一致する firewall rule は自動的に適用されます。CIDR が重複する 2 つの subnet は associate できません。
1.5subnet の dissociate とファイアウォールの削除で注意すべきことは?Dissociate subnet は dissociate（小文字）の入力が必要で、その後 subnet は保護されなくなり、トラフィックは default network routing に戻ります。Delete Firewall は status が Failed のときのみ利用でき、確認ポップアップなしで即座に削除します。VPC/subnet の同期中は "Syncing VPCs & subnets" バッジが表示され（15 秒ごとに更新）、処理中の subnet は In Progress と表示され一時的にロックされます。

2. Network Access Rules​

#質問回答
2.1ルールを追加/編集/削除しても反映されません。なぜですか?ルールの変更はすぐには反映されません。Add/Edit/Delete はルールを pending 状態（Not Applied (Added) / (Edited) / (Deleted)）に移し、draft として保存するだけです。ファイアウォールは Apply Policy をクリックした後にのみルールを適用します（保留中の変更数が表示されます）。
2.2複数のルールが一致する場合、どれが適用されますか?各ルールには一意の Priority があります。ファイアウォールは最も小さい Priority から評価し、最初に一致したルール（first match wins）で停止してそのアクションを適用します。deny-by-default のため、どのルールにも一致しないトラフィックはブロックされます。Priority は 1000〜9999 で一意である必要があります。
2.3新しいルールを追加できないのはなぜですか?Add Rule ボタンは、ファイアウォールがない（"No firewall available"）、または 100 ルールの上限に達した（"Cannot add rule. Maximum rule limit (100) reached."）場合にロックされます。
2.4ルール編集時に Direction を変更できないのはなぜですか?Edit ポップアップでは Direction がロックされています。トラフィックの方向を変えるとルール構造全体（Source/Destination/NAT）が変わるためです。Direction を変更するには、ルールを削除して希望の Direction で新規作成してください。
2.5Apply Policy はトラフィックを中断しますか。また Apply 後にルールが消えるのはなぜですか?はい、トラフィックに影響する可能性があります — 確認ポップアップに "Network traffic may be affected immediately." と表示され、apply 中は Apply/Add/Edit/Delete がロックされます。あるルールの apply が失敗すると、そのルールは適用されず表示されなくなります — 再作成が必要です。失敗時は Apply Failed アイコンが [Priority]. [Rule name] - [Change type] failed の形式で一覧表示します。
2.6削除したルールは復元できますか?ルール削除は soft delete です: ルールは Not Applied (Deleted) に移り、Apply Policy 後に初めて実際に削除されます。Apply 前なら Restore できます。削除には delete（小文字）の入力が必要です。
2.7ルールが Applied なのにトラフィックをブロックしないのはなぜですか?ルールは、associate された subnet の CIDR に対応するファイアウォールインターフェースで評価されます。subnet が dissociate されていると、ルールは存在しても動作しません。関連する subnet がまだファイアウォールに associate されているか確認してください。

3. IDS/IPS Rules​

#質問回答
3.1ファイアウォールで IDS/IPS を有効化するには?3 つの状態に沿った必須の順序があります: (1) subnet 未 associate — "IDS/IPS cannot be enabled"、まず subnet を associate する必要があります; (2) associate 済みだが IDS/IPS off — "IDS/IPS is disabled"、Enable IDS/IPS をクリック（確認あり）; (3) 有効 — rule file 一覧が読み込まれます（デフォルト fpt-managed.rules）。無効化は Disable IDS/IPS。subnet の associate/dissociate が進行中の場合は "Another operation is in progress. Please try again later." が表示されます。
3.2IDS/IPS rule file はどの形式である必要がありますか?Suricata 形式（"Suricata-format rules. Max 10000 rules or 5MB"）、.rules 拡張子のみ、UTF-8 エンコーディング、1 ファイルあたり最大 10,000 rules または 5MB。フロー: Import Rule をクリック → ドラッグ&ドロップまたはファイル選択 → システムが parse・validate → 成功すると "[X] rules validated successfully. Ready to upload." が表示され Import が有効になります。
3.3rule file のインポートが失敗するのはなぜですか?システムは順番に validate し、具体的なエラーを報告します。例: "File is empty."、"Invalid file extension. Only .rules files are supported."、"File exceeds 5MB limit."、"Invalid file encoding. Only UTF-8 encoding is supported."、"Max 10,000 rules per file."、および "Line [N]: Duplicate SID detected..." や "Line [N]: SID already exists in another rule file." などの SID エラー。最も多い原因は SID の重複（ファイル内およびインポート済みファイル間で一意である必要があります）。

4. Logs と Dashboard​

#質問回答
4.1Dashboard には何が表示され、なぜ Top Traffic が空に見えるのですか?Dashboard には 8 つのウィジェットがあります: Top Traffic Sources、Top Traffic Destinations、Total Packets、Top Hit Rules、Network Throughput、Active Connections、CPU Usage、Memory Usage。Top Traffic Sources と Top Traffic Destinations は デフォルトで Deny フィルター（ブロックされたトラフィック）です。空に見える場合、単にブロックされたトラフィックがないだけかもしれません — ドロップダウンを Allow に切り替えてください。Time Range（Last 5 min〜Last 7 days）とファイアウォールでフィルターします。
4.2logs はどう読みますか?Logs は log stream（各ログは 1 行のテキスト）で、フィールドごとの列を持つテーブルではありません。2 つのタブ: Network Access（ファイアウォールを通るトラフィック）と IDS/IPS Events（Suricata 形式の攻撃検出）。どちらも最新 100 件（新しい順）を読み込み、スクロールで追加を lazy-load します。Search（一致箇所をハイライト）、Time Range（デフォルト Last 5 minutes）、Firewall フィルター、Sync（新しいログを先頭に追加。新しいログがなければ "No new logs"）があります。
4.3IDS/IPS Events タブが空なのはなぜですか?IDS/IPS Events タブは、ファイアウォールで IDS/IPS が有効な場合のみデータを持ちます。無効ならイベントはありません — まず IDS/IPS を有効化してください。有効なイベントがない場合は "No IDS/IPS events found" が表示されます。

5. VPN Client-to-Site​

#質問回答
5.1VPN Gateway と VPN User とは何で、IPsec と OpenVPN のどちらを選ぶべきですか?VPN Gateway はファイアウォールに接続された client-to-site VPN で、リモートユーザーが VPC 内のリソースに安全にアクセスできるようにします。各 gateway には VPN Type（IPsec または OpenVPN）、Accessible Subnets、Client IP Pool、Public Endpoint、DNS Servers があります。VPN User は gateway 配下のアクセスアカウントです。IPsec は UDP 500/4500 で Username + Password と共有の CA Certificate .crt を使用し、OpenVPN は UDP 1194 でユーザーごとの .ovpn プロファイルを使用します。上限: ファイアウォールあたり 20 gateway、gateway あたり 100 user。
5.2VPN Gateway を作成するには何が必要ですか?ファイアウォールに associate された subnet が 1 つ以上あり、gateway が 20 未満である必要があります。フォーム: VPN Type（IPsec デフォルトまたは OpenVPN）; Gateway Name（50 文字以内、英数字/-/_、ファイアウォール内で一意）; Accessible Subnets（associate 済み subnet を 1 つ以上）; DNS Servers（有効な IPv4 を 1 つ以上、最大 2）。Public Endpoint と Client IP Pool は自動割り当てです。作成後、gateway は Creating、数分後に Running になります。
5.3作成後に VPN Type を変更できないのはなぜですか?VPN Type（IPsec/OpenVPN）は 作成後に固定されます。Reconfigure（Edit）では Accessible Subnets と DNS Servers のみ変更できます。種類を間違えた場合は、gateway を削除して作り直してください。
5.4ユーザーはどう VPN に接続しますか?IPsec: 管理者が Username + Password（パスワードは作成/リセット時に 1 回のみ表示）を提供し、CA Certificate .crt（Details タブ）を配布して OS の Trusted Root ストアにインストールさせます。ユーザーは UDP 500/4500 で Public Endpoint に接続します。OpenVPN: 管理者が各ユーザーの .ovpn ファイル（Users タブの Download .ovpn）をダウンロードし、ユーザーが OpenVPN クライアントにインポートします。ユーザーの変更は UI に即時反映されますが、バックエンドへの適用には数分かかります。
5.5認証情報が 1 回しか表示されません。失くしたらどうしますか?IPsec password は 1 回だけ表示され（"Save it now. It is shown only once."）、その後 ******** でマスクされます。失くした場合は Reset Password で新しいパスワードを生成します（ユーザーは VPN クライアントを更新する必要があります）。OpenVPN profile: Regenerate で cert と .ovpn を再発行します。古い cert は失効し、ユーザーは新しいプロファイルを再インポートする必要があります。
5.6VPN Gateway または User の削除で注意すべきことは?Delete Gateway は "All active sessions will be disconnected and all users will lose access." と警告し、delete（小文字）の入力が必要です。元に戻せません。Delete User は "This user will be deleted and their active sessions will be disconnected." と警告します。接続中のセッションはバックエンドが変更を適用した後（数分）に切断されます。

6. アクセス権限​

#質問回答
6.1Admin ロールと Member ロールの違いは何ですか?NGFW Admin はすべての操作を実行できます。NGFW Member は閲覧のみ（firewall、network access rule、IDS/IPS rule file、logs、dashboard）で、rule file の Download と Sync/フィルターは利用できます。操作ボタンは Member には非表示です — Create Firewall、Integrate VPC、Associate/Dissociate、Add/Edit/Delete/Clone/Restore rule、Apply Policy、Enable/Disable IDS/IPS、Import/Delete rule file。これらのボタンが見えない場合、おそらく Member です。

7. 一般的なエラー​

#症状主な原因対処方法
7.1"System is busy. Please try again later."一時的なバックエンドエラー（読み込み、保存、apply）数分後に再試行する
7.2"No records found"一致するデータがない検索・フィルター条件を確認する
7.3"Firewall is being updated. Please wait."ファイアウォールが更新中今は閲覧のみ。完了するまで待つ
7.4"You don't have permissions to access"サービスへのアクセス権限がない組織管理者に連絡する。注: ページを開けても操作ボタンが見えない場合は Member ロールであり、アクセスエラーではありません