Setup · 3 steps 
イメージ写真 既存の回線を一箇所だけ切って、その間に挟む。
結線して、見て、絞る。
IP設計もネットワーク構成も変えません。inside と outside の間に挟み、observe → monitor → enforce と段階的に締めていきます。ただし結線と管理設定は必要です。「設定不要」ではありません。
step 0 · wiring
既存回線に、挟む。
既存の上流スイッチ／ルータとLANの間へ、直列に入れます。データポートはIPを持たないため、アドレス設計には現れません。管理NICだけを管理VLANへつなぎます。結線の瞬間は通信が切れるので、メンテナンス窓を見込んでください。外せば元の構成に戻ります。
LAN / セグメント
エージェント専有 or 共用
Tate 盾
data: IPなし · mgmt: 別NIC
HWバイパスNIC option
上流 SW / ルータ
インターネットへ
observe → monitor → enforce
段階的に、締める。
いきなり遮断を有効にすると、知らなかった正当な業務通信まで止まります。見る、当てて確かめる、止める。この順で進みます。段階は一方通行ではありません。セグメントを足すときは observe に戻します。
01 observe
見る
結線したら、まず observe。プロトコル・トップtalker・観測ドメインを GUI で確認し、いま何が流れているかを把握します。遮断はまだしません。
02 monitor
当てて、見る
ポリシーを当てるが遮断しない段階。「enforce なら遮断される通信」を would-block としてレビューし、許可リストを詰めます。
03 enforce
絞る
実遮断へ。既定は allow-base（ブラックリスト型）。AIガードレールの lockdown は deny-base（ホワイトリスト型）という別プロファイルです。
標準構成では、箱が止まると通信も止まります。この区間の単一障害点になる、ということです。通信の継続を優先する区間には、障害時に物理直結へ切り替わる HWバイパスNIC（fail-open）をオプションで選べます。
related column