[index] AT-AR1050V コマンドリファレンス 5.5.4

UTM / 概要

• 侵入防御（IPS）
  サービス妨害や不正アクセスと思われる異常な通信を通知/遮断
  
  
• URLフィルター（URLブラックリスト）
  ユーザーが定義したURLのブラックリスト、ホワイトリストにもとづいてWebアクセスを許可/禁止
  
  
• ファイアウォール
  ステートフルインスペクションによって通信フローを認識しながら、設定されたルールにもとづいてトラフィックを許可/破棄。
  
  
• NAT
  設定されたルールにもとづいてパケットのアドレスやポート番号を変換し、グローバルアドレスの共有や内部ホストの公開を実現
  

Note

△のブリッジングパケットは初期設定では適用対象外ですが、ソフトウェアブリッジに l3-filtering enableを設定している場合は、ブリッジされるL3トラフィックに対して該当機能が適用されるようになります。

• エンティティー（通信主体）：MAC/IP/IPv6アドレスの情報。送信元、宛先の指定に使う
  
  
• アプリケーション：プロトコルタイプ、TCP/UDPポートなどの情報。通信の種類（アプリケーション）を指定するために使う
  

クイックツアー

Note

本クイックツアーはUTM機能の概要紹介を目的としており、UTMの設定手順や運用方法を述べるものではありません。そのため、個々の手順や操作、コマンドについての詳細な説明は行っていません。

Note

本クイックツアーでは概要紹介のためUTM関連の全機能を設定していますが、実際の運用ではネットワーク環境にあわせて必要な機能のみ設定してください。

1. ルール設定の前準備
   
2. UTM各機能の設定と有効化
   

ルール設定の前準備

エンティティー（通信主体）の定義

Note

有効なゾーンには最低1つのネットワークが存在し、また、該当ネットワークには最低1つのサブネットアドレスを関連付けておく必要があります。

awplus(config)# zone public ↓

awplus(config-zone)# network internet ↓
awplus(config-network)# ip subnet 0.0.0.0/0 interface ppp0 ↓
awplus(config-network)# ipv6 subnet ::/0 interface ppp1 ↓

awplus(config-network)# host myself ↓
awplus(config-host)# ip address 10.1.1.1 ↓
awplus(config-host)# ipv6 address 2001:db8:1:1::1 ↓
awplus(config-host)# exit ↓

awplus(config-network)# host vpngw ↓
awplus(config-host)# ip address 10.2.2.2 ↓
awplus(config-host)# ipv6 address 2001:db8:2:2::2 ↓
awplus(config-host)# exit ↓
awplus(config-network)# exit ↓
awplus(config-zone)# exit ↓

awplus(config)# zone dmz ↓

awplus(config-zone)# network servernet ↓
awplus(config-network)# ip subnet 172.16.10.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:1000:10::/64 ↓

awplus(config-network)# host web ↓
awplus(config-host)# ip address 172.16.10.1 ↓
awplus(config-host)# ipv6 address 2001:db8:1000:10::1 ↓
awplus(config-host)# exit ↓

awplus(config-network)# host dns ↓
awplus(config-host)# ip address 172.16.10.2 ↓
awplus(config-host)# ipv6 address 2001:db8:1000:10::2 ↓
awplus(config-host)# exit ↓

awplus(config-network)# host mail ↓
awplus(config-host)# ip address 172.16.10.3 ↓
awplus(config-host)# ipv6 address 2001:db8:1000:10::3 ↓
awplus(config-host)# exit ↓
awplus(config-network)# exit ↓
awplus(config-zone)# exit ↓

awplus(config)# zone private ↓

awplus(config-zone)# network wired ↓
awplus(config-network)# ip subnet 192.168.10.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:10:10::/64 ↓

awplus(config-network)# host adminpc ↓
awplus(config-host)# ip address 192.168.10.254 ↓
awplus(config-host)# ipv6 address 2001:db8:10:10::fe ↓
awplus(config-host)# exit ↓

awplus(config-network)# host dbserver ↓
awplus(config-host)# ip address 192.168.10.2 ↓
awplus(config-host)# exit ↓
awplus(config-network)# exit ↓

awplus(config-zone)# network wireless ↓
awplus(config-network)# ip subnet 192.168.20.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:20:100::/64 ↓
awplus(config-network)# exit ↓

awplus(config-zone)# network branch ↓
awplus(config-network)# ip subnet 192.168.100.0/24 ↓
awplus(config-network)# ipv6 subnet 2001:db8:10:100::/64 ↓
awplus(config-network)# exit ↓

awplus(config-zone)# network vpn ↓
awplus(config-network)# ip subnet 192.168.254.0/24 ↓
awplus(config-network)# exit ↓
awplus(config-zone)# exit ↓
awplus(config)# 

アプリケーションの定義

awplus(config)# application mydb ↓
awplus(config-application)# protocol tcp ↓
awplus(config-application)# sport 1024 to 65535 ↓
awplus(config-application)# dport 8704 ↓
awplus(config-application)# exit ↓

awplus(config)# application isakmp ↓
awplus(config-application)# protocol udp ↓
awplus(config-application)# sport 500 ↓
awplus(config-application)# dport 500 ↓

awplus(config)# application esp ↓
awplus(config-application)# protocol 50 ↓
awplus(config-application)# exit ↓

UTM各機能の設定と有効化

侵入防御（IPS）

awplus(config)# ips ↓

awplus(config-ips)# do show ips categories ↓
Category (* = invalid)       Action
---------------------------------------
  checksum                   alert
  ftp-bounce                 alert
  gre-decoder-events         alert
  http-events                alert
  icmp-decoder-events        alert
  ip-decoder-events          alert
  ppp-decoder-events         alert
  smtp-events                alert
  stream-events              alert
  udp-decoder-events         alert

awplus(config-ips)# category checksum action deny ↓
awplus(config-ips)# category ftp-bounce action deny ↓
awplus(config-ips)# category http-events action disable ↓

awplus(config-ips)# protect ↓
awplus(config-ips)# exit ↓
awplus(config)# 

URLフィルター（URLブラックリスト）

1. ブラックリスト、ホワイトリストのリストファイルを作成し、ローカルファイルシステムに保存します。
   blacklist.txt
   

   baddomain.example.com
   example.jp/badcontents/*
   example.com/files/xxxx/*
   

   
   whitelist.txt
   

   */useful/*
   *.rel
   

   
   
2. URLフィルターモード（url-filterコマンド）のblacklistコマンド、whitelistコマンドでリストファイルを指定し、protectコマンドでURLフィルター機能を有効化します。
   

   awplus(config)# url-filter ↓
   awplus(config-url-filter)# whitelist flash:/whitelist.txt ↓
   awplus(config-url-filter)# blacklist flash:/blacklist.txt ↓
   awplus(config-url-filter)# protect ↓
   

ファイアウォール

awplus(config)# firewall ↓
awplus(config-firewall)# rule permit any from private to public ↓
awplus(config-firewall)# rule permit mydb from private to private.wired.dbserver ↓
awplus(config-firewall)# rule permit ssh from private.wired.adminpc to dmz.servernet ↓
awplus(config-firewall)# rule permit http from public to dmz.servernet.web log ↓
awplus(config-firewall)# rule permit isakmp from public.internet.vpngw to public.internet.myself ↓
awplus(config-firewall)# rule permit esp from public.internet.vpngw to public.internet.myself ↓

awplus(config-firewall)# protect ↓
awplus(config-firewall)# exit ↓
awplus(config)# 

NAT

awplus(config)# nat ↓
awplus(config-nat)# rule masq any from private to public ↓
awplus(config-nat)# rule portfwd http from public with dst dmz.servernet.web log ↓

awplus(config-nat)# enable ↓
awplus(config-nat)# exit ↓
awplus(config)# 

(C) 2019 - 2024 アライドテレシスホールディングス株式会社

PN: 613-002735 Rev.AD