SSL フォワードプロキシを使用して IPS または NGFW をインラインデバイスとして統合

最終公開日 : Sep 25, 2026
侵入防止システム（IPS）や次世代ファイアウォール（NGFW）などのセキュリティデバイスは、ネットワーク攻撃からサーバーを保護します。これらのデバイスはライブトラフィックを検査でき、通常はレイヤ 2 インラインモードで展開されます。SSL 転送プロキシアプライアンスは、インターネット上のリソースにアクセスする際に、ユーザーと企業ネットワークのセキュリティを確保します。
SSL転送プロキシ・アプライアンスを1つ以上のインラインデバイスと統合することで、脅威を防ぎ、高度なセキュリティ保護を実現できます。インラインデバイスには、IPS や NGFW などの任意のセキュリティデバイスを使用できます。
SSL 転送プロキシアプライアンスとインラインデバイス統合を使用することでメリットが得られるユースケースには、次のようなものがあります。
  • 暗号化されたトラフィックの検査: ほとんどの IPS および NGFW アプライアンスは暗号化されたトラフィックをバイパスするため、サーバーが攻撃に対して脆弱になる可能性があります。SSL 転送プロキシアプライアンスは、トラフィックを復号化してインラインデバイスに送信して検査できます。この統合により、お客様のネットワークセキュリティが強化されます。
  • TLS/SSL 処理からのインラインデバイスのオフロード： TLS/SSL 処理はコストがかかり、IPS または NGFW アプライアンスがトラフィックを復号化すると CPU 使用率が高くなる可能性があります。SSL 転送プロキシアプライアンスは、TLS/SSL 処理をインラインデバイスからオフロードするのに役立ちます。その結果、インラインデバイスは大量のトラフィックを検査できます。
  • インラインデバイスの負荷分散: 大量のトラフィックを管理するように複数のインラインデバイスを設定している場合、SSL Forward Proxy アプライアンスは負荷分散を行い、トラフィックをこれらのデバイスに均等に分散できます。
  • トラフィックのスマート選択： アプライアンスは、検査のためにすべてのトラフィックをインラインデバイスに送信する代わりに、トラフィックのスマートな選択を行います。たとえば、インラインデバイスへの検査用のテキストファイルの送信はスキップされます。
Related information

インラインデバイスとの SSL フォワードプロキシ統合

次の図は、SSL 転送プロキシがインラインセキュリティデバイスとどのように統合されるかを示しています。
ips概要
インラインデバイスを SSL 転送プロキシアプライアンスと統合すると、コンポーネントは次のように相互作用します。
  1. クライアントは SSL 転送プロキシアプライアンスに要求を送信します。
  2. アプライアンスは、ポリシー評価に基づいてコンテンツ検査のためにデータをインラインデバイスに送信します。HTTPSトラフィックの場合、アプライアンスはデータを復号化し、コンテンツ検査のためにプレーンテキストでインラインデバイスに送信します。
    注
    インラインデバイスが 2 台以上ある場合、アプライアンスはデバイスの負荷分散を行い、トラフィックを送信します。
  3. コンテンツスイッチングまたは HTTP/HTTPS 負荷分散仮想サーバーを追加します。
  4. インラインデバイスは、データの脅威を検査し、データをドロップ、リセット、またはアプライアンスに戻すかどうかを決定します。
  5. セキュリティ上の脅威がある場合、デバイスはデータを修正してアプライアンスに送信します。
  6. HTTPS トラフィックの場合、アプライアンスはデータを再暗号化し、要求をバックエンドサーバーに転送します。
  7. バックエンドサーバーは応答をアプライアンスに送信します。
  8. アプライアンスは再びデータを復号化し、検査のためにインラインデバイスに送信します。
  9. インラインデバイスはデータを検査します。セキュリティ上の脅威がある場合、デバイスはデータを修正してアプライアンスに送信します。
  10. アプライアンスはデータを再暗号化し、応答をクライアントに送信します。

インラインデバイス統合の設定

SSL 転送プロキシアプライアンスをインラインデバイスで構成するには、次の 3 つの方法があります。

シナリオ 1：単一のインラインデバイスを使用する

セキュリティデバイス（IPS または NGFW）をインラインモードで統合するには、SSL 転送プロキシアプライアンスでグローバルモードでコンテンツ検査と MAC ベース転送（MBF）を有効にする必要があります。次に、コンテンツインスペクションプロファイル、TCP サービス、インラインデバイスのコンテンツインスペクションアクションを追加して、インスペクションに基づいてトラフィックをリセット、ブロック、またはドロップします。また、アプライアンスがインラインデバイスに送信するトラフィックのサブセットを決定するために使用するコンテンツ検査ポリシーを追加します。最後に、サーバ上でレイヤ2接続を有効にしてプロキシ仮想サーバを設定し、コンテンツ検査ポリシーをこのプロキシ仮想サーバにバインドします。
シングルインラインデバイス
次の手順を実行します：
  1. MAC ベース転送 (MPF) モードを有効にします。
  2. コンテンツ検査機能を有効にします。
  3. サービスのコンテンツ検査プロファイルを追加します。コンテンツ検査プロファイルには、SSL 転送プロキシアプライアンスをインラインデバイスと統合するインラインデバイス設定が含まれています。
  4. （任意）TCP モニタを追加します。
    注：
    トランスペアレントデバイスには IP アドレスがありません。したがって、ヘルスチェックを実行するには、モニターを明示的にバインドする必要があります。
  5. サービスを追加します。サービスはインラインデバイスを表します。
  6. (オプション) サービスを TCP モニターにバインドします。
  7. サービスのコンテンツ検査アクションを追加します。
  8. コンテンツ検査ポリシーを追加し、アクションを指定します。
  9. HTTP または HTTPS プロキシ (コンテンツスイッチング) 仮想サーバーを追加します。
  10. コンテンツ検査ポリシーを仮想サーバーにバインドします。

CLI を使用して設定する

コマンドプロンプトで次のコマンドを入力します。例はほとんどのコマンドの後に記載されています。
  1. MBF を有効にします。
enable ns mode mbf
  1. 本機能を有効にします。
enable ns feature contentInspection
  1. コンテンツ検査プロファイルを追加します。
add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
例：
add contentInspection profile ipsprof -type InlineInspection -ingressinterface “1/2” -egressInterface “1/3”
  1. サービスを追加します。インラインデバイスを含め、どのデバイスも所有していないダミー IP アドレスを指定します。 use source IP address (USIP) を「はい」に設定します。useproxyportをNOに設定します。デフォルトでは、ヘルスモニタリングはオンになっており、サービスをヘルスモニターにバインドし、モニターの TRANSPARENT オプションもオンに設定します。
add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor YES -usip YES –useproxyport NO
例：
add service ips_service 198.51.100.2 TCP * -healthMonitor YES -usip YES -useproxyport NO -contentInspectionProfileName ipsprof
  1. ヘルスモニターを追加します。デフォルトでは、ヘルスモニターはオンになっており、必要に応じて無効にすることもできます。コマンドプロンプトで入力します：
    add lb monitor <name> TCP -destIP <ip address> -destPort 80 -transparent <YES, NO>
例：
add lb monitor ips_tcp TCP -destIP 192.168.10.2 -destPort 80 -transparent YES
  1. サービスをヘルスモニターにバインドする
ヘルスモニターを設定したら、サービスをヘルスモニターにバインドする必要があります。コマンドプロンプトで入力します：
bind service <name> -monitorName <name>
例：
bind service ips_svc -monitorName ips_tcp
  1. コンテンツ検査アクションを追加します。
add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
例：
add contentInspection action ips_action -type INLINEINSPECTION -serverName ips_service
  1. コンテンツ検査ポリシーを追加します。
add contentInspection policy <name> -rule <expression> -action <string>
例：
add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action
  1. プロキシ仮想サーバーを追加します。
add cs vserver <name> PROXY <IPAddress> <port> -cltTimeout <secs> -Listenpolicy <expression> -authn401 ( ON | OFF ) -authnVsName <string> -l2Conn ON
注：
HTTP/SSL タイプの負荷分散仮想サーバーもサポートされています。
例：
add cs vserver transparentcs PROXY * * -cltTimeout 180 -Listenpolicy exp1 -authn401 on -authnVsName swg-auth-vs-trans-http -l2Conn ON
  1. ポリシーを仮想サーバーにバインドします。
bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
例：
bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

GUI を使用して設定する

  1. ［System］>［Settings］ に移動します。「 モードと機能」で、「 モードの構成」をクリックします。
  2. 「 モードの設定 」ページで、「 MAC ベースの転送 」オプションを選択します。
  3. ［System］>［Settings］ に移動します。「 モードと機能」で、「 拡張機能の設定」をクリックします。
  4. 「 拡張機能の設定 」ページで、「 コンテンツ検査 」オプションを選択します。
  5. > > に移動します。［追加］ をクリックします。
  6. > > に移動します。
    1. 「 詳細設定」で、「 プロフィール」をクリックします。 CI プロファイル名リストで 、以前に作成したコンテンツ検査プロファイルを選択します。
    2. ** で、 を に、 を に設定します。「**基本設定」**で、「ヘルスモニタリング 」を「いいえ」に設定します。
    3. ヘルスモニタリングは、このサービスを TCP モニターにバインドする場合にのみ有効にします。モニターをサービスにバインドする場合は、モニターの TRANSPARENT オプションを ON に設定します。
  7. > ** に移動します。名前、IP アドレス、およびポートを指定します。**で を選択します。「+」記号をクリックします。
  8. 「 ポリシーの選択 」で「 コンテンツ検査」を選択します。［続行］ をクリックします。
  9. ［追加］ をクリックします。名前を指定してください。 で をクリックします。
  10. 名前を指定してください。「 タイプ」で、「 インライン検査」を選択します。「 サーバー名」で、以前に作成したTCPサービスを選択します。
  11. **［作成］**をクリックします。ルールを指定して をクリックします。
  12. ［Bind］ をクリックします。
  13. ［完了］ をクリックします。

シナリオ 2: 専用インターフェイスを備えた複数のインラインデバイスの負荷分散

2 つ以上のインラインデバイスを使用している場合は、専用のインターフェイスで異なるコンテンツインスペクションサービスを使用して、デバイスを負荷分散できます。この場合、SSL 転送プロキシアプライアンスは、専用インターフェイスを介して各デバイスに送信されるトラフィックのサブセットを負荷分散します。サブセットは、設定されたポリシーに基づいて決定されます。たとえば、TXT ファイルやイメージファイルは、検査のためにインラインデバイスに送信されない場合があります。
複数のインラインデバイス
基本設定はシナリオ 1 と同じです。ただし、インラインデバイスごとにコンテンツ検査プロファイルを作成し、各プロファイルで入力インターフェイスと出力インターフェイスを指定する必要があります。各インラインデバイスにサービスを追加します。負荷分散仮想サーバーを追加し、コンテンツ検査アクションで指定します。次の追加手順を実行してください。
  1. 各サービスのコンテンツ検査プロファイルを追加します。
  2. デバイスごとにサービスを追加します。
  3. 負荷分散仮想サーバーを追加します。
  4. コンテンツ検査アクションで負荷分散仮想サーバーを指定します。

CLI を使用して設定する

コマンドプロンプトで次のコマンドを入力します。各コマンドの後に例が示されています。
  1. MBF を有効にします。
enable ns mode mbf
  1. 本機能を有効にします。
enable ns feature contentInspection
  1. サービス 1 のプロファイル 1 を追加します。
add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
例：
add contentInspection profile ipsprof1 -type InlineInspection -ingressInterface "1/2" -egressInterface "1/3"
  1. サービス 2 のプロファイル 2 を追加します。
add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
例：
add contentInspection profile ipsprof2 -type InlineInspection -ingressInterface "1/4" -egressInterface "1/5"
  1. サービス 1 を追加します。インラインデバイスを含め、どのデバイスも所有していないダミー IP アドレスを指定します。 use source IP address (USIP) を「はい」に設定します。useproxyportをNOに設定します。Transparent オプションを ON に設定して TCP モニターでヘルスモニタリングを有効にします。
add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO
例：
add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
  1. サービス 2 を追加します。インラインデバイスを含め、どのデバイスも所有していないダミー IP アドレスを指定します。 use source IP address (USIP) を「はい」に設定します。useproxyportをNOに設定します。トランスペアレントオプションをオンに設定してヘルスモニタリングをオンにします。
add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO
例：
add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2
  1. 負荷分散仮想サーバーを追加します。
add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
例：
add lb vserver lb_inline_vserver TCP 192.0.2.100 *
  1. サービスを負荷分散仮想サーバーにバインドします。
bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>
例：
bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2
  1. コンテンツ検査アクションで負荷分散仮想サーバーを指定します。
add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
例：
add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
  1. コンテンツ検査ポリシーを追加します。ポリシーでコンテンツ検査アクションを指定します。
add contentInspection policy <name> -rule <expression> -action <string>
例：
add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action
  1. プロキシ仮想サーバーを追加します。
add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
例：
add cs vserver transparentcs PROXY * * -l2Conn ON
  1. コンテンツ検査ポリシーを仮想サーバーにバインドします。
bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
例：
bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

GUI を使用した設定

  1. ［System］>［Settings］ に移動します。「 モードと機能」で、「 モードの構成」をクリックします。
  2. 「 モードの設定 」ページで、「 MAC ベースの転送 」オプションを選択します。
  3. ［System］>［Settings］ に移動します。「 モードと機能」で、「 拡張機能の設定」をクリックします。
  4. 「 拡張機能の設定 」ページで、「 コンテンツ検査 」オプションを選択します。
  5. > > に移動します。［追加］ をクリックします。
  6. 入力インターフェイスと出力インターフェイスを指定します。
  7. 2 つのプロファイルを作成します。2 番目のプロファイルには、異なる入力インターフェイスと出力インターフェイスを指定します。
  8. > > に移動します。
    1. 「 詳細設定」で、「 プロフィール」をクリックします。 CI プロファイル名リストで 、以前に作成したコンテンツ検査プロファイルを選択します。
    2. ** で、 を に、 を に設定します。「**基本設定」**で、「ヘルスモニタリング 」を「いいえ」に設定します。
    3. ヘルスモニタリングは、このサービスを TCP モニターにバインドする場合にのみ有効にします。モニターをサービスにバインドする場合は、モニターの TRANSPARENT オプションを ON に設定します。
    2 つのサービスを作成します。インラインデバイスを含め、どのデバイスにも所有されていないダミー IP アドレスを指定します。
  9. > > **に移動します。TCP 負荷分散仮想サーバーを作成し、OKをクリックします。
  10. 負荷分散仮想サーバーサービスバインディングセクションをクリックします 。「 サービス・バインディング」で、「 サービスを選択」の矢印をクリックします。前に作成した 2 つのサービスを選択し、 をクリックします。［Bind］ をクリックします。
  11. > ** に移動します。名前、IP アドレス、およびポートを指定します。**で を選択します。「+」記号をクリックします。
  12. 「 ポリシーの選択 」で「 コンテンツ検査」を選択します。［続行］ をクリックします。
  13. ［追加］ をクリックします。名前を指定してください。 で をクリックします。
  14. 名前を指定してください。「 タイプ」で、「 インライン検査」を選択します。 で、先ほど作成した負荷分散仮想サーバーを選択します。
  15. **［作成］**をクリックします。ルールを指定して をクリックします。
  16. ［Bind］ をクリックします。
  17. ［完了］ をクリックします。

シナリオ 3: 共有インターフェイスを持つ複数のインラインデバイスの負荷分散

2 つ以上のインラインデバイスを使用している場合は、共有インターフェイスで異なるコンテンツインスペクションサービスを使用して、デバイスを負荷分散できます。この場合、SSL 転送プロキシアプライアンスは、共有インターフェイスを介して各デバイスに送信されるトラフィックのサブセットを負荷分散します。サブセットは、設定されたポリシーに基づいて決定されます。たとえば、TXT ファイルやイメージファイルは、検査のためにインラインデバイスに送信されない場合があります。
共有インターフェイスを備えた複数のインラインデバイス
基本構成はシナリオ 2 と同じです。このシナリオでは、インターフェイスを異なる VLAN にバインドして、各インラインデバイスのトラフィックを分離します。コンテンツ検査プロファイルで VLAN を指定します。次の追加手順を実行してください。
  1. 共有インターフェイスを異なる VLAN にバインドします。
  2. コンテンツ検査プロファイルで入力 VLAN と出力 VLAN を指定します。

CLI を使用した設定

コマンドプロンプトで次のコマンドを入力します。各コマンドの後に例が示されています。
  1. MBF を有効にします。
enable ns mode mbf
  1. 本機能を有効にします。
enable ns feature contentInspection
  1. 共有インターフェイスを異なる VLAN にバインドします。
    bind vlan <id> -ifnum <interface> -tagged
例：
bind vlan 100 –ifnum 1/2 tagged
bind vlan 200 –ifnum 1/3 tagged
bind vlan 300 –ifnum 1/2 tagged
bind vlan 400 –ifnum 1/3 tagged
  1. サービス 1 のプロファイル 1 を追加します。プロファイルの入力 VLAN と出力 VLAN を指定します。
add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
例：
add contentInspection profile ipsprof1 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 100 -ingressVlan 300
  1. サービス 2 のプロファイル 2 を追加します。プロファイルの入力 VLAN と出力 VLAN を指定します。
add contentInspection profile <name> -type InlineInspection -egressInterface <interface_name> -ingressInterface <interface_name>[-egressVlan <positive_integer>] [-ingressVlan <positive_integer>]
例：
add contentInspection profile ipsprof2 -type InlineInspection -egressInterface “1/3” -ingressinterface “1/2” –egressVlan 200 -ingressVlan 400
  1. サービス 1 を追加します。
add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO
例：
add service ips_service1 192.168.10.2 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof1
  1. サービス 2 を追加します。
add service <service_name> <IP> TCP * - contentinspectionProfileName <Name> -healthMonitor NO -usip YES –useproxyport NO
例：
add service ips_service2 192.168.10.3 TCP * -healthMonitor NO -usip YES -useproxyport NO -contentInspectionProfileName ipsprof2
  1. 負荷分散仮想サーバーを追加します。
add lb vserver <LB_VSERVER_NAME> TCP <IP> <port>
例：
add lb vserver lb_inline_vserver TCP 192.0.2.100 *
  1. サービスを負荷分散仮想サーバーにバインドします。
bind lb vserver <LB_VSERVER_NAME> <service_name> bind lb vserver <LB_VSERVER_NAME> <service_name>
例：
bind lb vserver lb_inline_vserver ips_service1 bind lb vserver lb_inline_vserver ips_service2
  1. コンテンツ検査アクションで負荷分散仮想サーバーを指定します。
add contentInspection action <name> -type INLINEINSPECTION -serverName <string>
例：
add contentInspection action ips_action -type INLINEINSPECTION -serverName lb_inline_vserver
  1. コンテンツ検査ポリシーを追加します。ポリシーでコンテンツ検査アクションを指定します。
add contentInspection policy <name> -rule <expression> -action <string>
例：
add contentInspection policy ips_pol -rule "HTTP.REQ.METHOD.NE(\"CONNECT\")" -action ips_action
  1. プロキシ仮想サーバーを追加します。
add cs vserver <name> PROXY <IPAddress> <port> -l2Conn ON
例：
add cs vserver transparentcs PROXY * * -l2Conn ON
  1. コンテンツ検査ポリシーを仮想サーバーにバインドします。
bind cs vserver <name> -policyName <string> -priority <positive_integer> -gotoPriorityExpression <expression> -type REQUEST
例：
bind cs vserver explicitcs -policyName ips_pol -priority 1 -gotoPriorityExpression END -type REQUEST

GUI を使用した設定

  1. ［System］>［Settings］ に移動します。「 モードと機能」で、「 モードの構成」をクリックします。
  2. 「 モードの設定 」ページで、「 MAC ベースの転送 」オプションを選択します。
  3. ［System］>［Settings］ に移動します。「 モードと機能」で、「 拡張機能の設定」をクリックします。
  4. 「 拡張機能の設定 」ページで、「 コンテンツ検査 」オプションを選択します。
  5. > > > **に移動します。4 つの VLAN を追加し、インターフェイスにタグを付けます。
  6. > > に移動します。［追加］ をクリックします。
  7. 入力側と出力側の VLAN を指定します。
  8. 別のプロファイルを作成します。2 番目のプロファイルには、異なる入力 VLAN と出力 VLAN を指定します。
  9. > > に移動します。
    1. 「 詳細設定」で、「 プロフィール」をクリックします。 CI プロファイル名リストで 、以前に作成したコンテンツ検査プロファイルを選択します。
    2. ** で、 を に、 を に設定します。「**基本設定」**で、「ヘルスモニタリング 」を「いいえ」に設定します。
    3. ヘルスモニタリングは、このサービスを TCP モニターにバインドする場合にのみ有効にします。モニターをサービスにバインドする場合は、モニターの TRANSPARENT オプションを ON に設定します。
    2 つのサービスを作成します。インラインデバイスを含め、どのデバイスにも所有されていないダミー IP アドレスを指定します。サービス 1 でプロファイル 1 を指定し、サービス 2 でプロファイル 2 を指定します。
  10. > > **に移動します。TCP 負荷分散仮想サーバーを作成し、OKをクリックします。
  11. 負荷分散仮想サーバーサービスバインディングセクションをクリックします 。「 サービス・バインディング」で、「 サービスを選択」の矢印をクリックします。前に作成した 2 つのサービスを選択し、 をクリックします。［Bind］ をクリックします。
  12. > ** に移動します。名前、IP アドレス、およびポートを指定します。**で を選択します。「+」記号をクリックします。
  13. 「 ポリシーの選択 」で「 コンテンツ検査」を選択します。［続行］ をクリックします。
  14. ［追加］ をクリックします。名前を指定してください。 で をクリックします。
  15. 名前を指定してください。「 タイプ」で、「 インライン検査」を選択します。 で、先ほど作成した負荷分散仮想サーバーを選択します。
  16. **［作成］**をクリックします。ルールを指定して をクリックします。
  17. ［Bind］ をクリックします。
  18. ［完了］ をクリックします。