[index] CentreCOM AR300/AR700 シリーズ コマンドリファレンス 2.3

ファイアウォール/アプリケーションゲートウェイ

対象機種:AR720、AR740


  - SMTPプロキシー
   - 基本設定
  - HTTPプロキシー
   - 基本設定


本製品のファイアウォールには、ステートフルインスペクションによる動的なパケットフィルタリングに加え、アプリケーションゲートウェイの機能があります。

アプリケーションゲートウェイは、本製品がサーバー・クライアント(または別のサーバー)間の通信を仲介し、アプリケーション層で通信の制御を行う機能です(ステートフルインスペクションはおもにネットワーク層/トランスポート層での制御)。現時点では、アプリケーションプロトコルとして、電子メール配信用のSMTP(Simple Mail Transfer Protocol)とWWW用のHTTP(Hyper Text Transfer Protocol)に対応しています。

ここでは、アプリケーションゲートウェイの基本的な使用方法について解説します。

Note - 本機能はオプションであるため、ご使用にはフィーチャー(追加機能)ライセンスのご購入が必要です。

Note - アプリケーションゲートウェイはAR300シリーズでは使用できません。

 

SMTPプロキシー

SMTPプロキシーは、メール(SMTP)サーバー間の通信を本製品が仲介することで、ファイアウォール内部のメールサーバーを利用したメールの不正中継や、spamメールなどを防止する機能です。

Note - SMTPプロキシーを使用するにはフィーチャーライセンスAT-FL-04が必要です。

Note - SMTPプロキシーは、外部からの不正行為(spamメール、不正中継)を防止するための機能です。内部から外部への通信に対しては機能しませんのでご注意ください。

SMTPプロキシーは、次のように動作します。

まず、自ドメインのメールサーバー(MX)として本製品自身をDNSに登録しておきます。また、実際のメールサーバーはファイアウォールの内側に設置しておきます。

  1. 前記のDNS設定により、自ドメインにメールを配送しようとする外部のメールサーバーは、本製品に対してSMTPのセッションを張ろうとする。


  2. SMTPセッションを受け付けた本製品は、内部メールサーバーとの間にもSMTPセッションを張る。


  3. 本製品は、ポリシーに反しない限りにおいて、内外メールサーバー間の通信を単純に中継する。外部のサーバーからは、本製品が相手のメールサーバーであるように見える。一方、内部のサーバーからも、本製品が相手のメールサーバーであるように見える。


  4. 外部メールサーバーから不正なSMTP要求があった場合は、SMTPのエラーを返して外部サーバーとのコネクションを切断する。また、内部サーバーとのコネクションは通常の手順で正常終了する。

    たとえば、外部サーバーが内部サーバーを使って関係のないドメイン宛てのメールを送ろうとした場合(RCPT TO: で内部サーバー管轄のドメイン宛てでないアドレスを指定した場合)は、本製品が内部サーバーにコマンドを中継せずにセッションを切断する。


    また、外部サーバーがspamリストに記載されているドメインやアドレスからのメールを送信しようとした場合(MAIL FROM: でspamリスト記載のアドレスやドメインを指定した場合)は、本製品が内部サーバーにコマンドを中継せずにセッションを切断する。



 

基本設定

SMTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。


■ 最初に、SMTPプロキシーの基本機能であるメールリレー防止のみを使用する設定を紹介します。

  1. 内部メールサーバーが管轄するドメイン名を設定します。SMTPプロキシーは、指定したドメイン宛てでないメールは拒否します。


  2. SMTPプロキシーを有効にします。INTには内部、GBLINTには外部のインターフェースを指定します。また、IPには内部メールサーバーのアドレスを、DIRECTIONにはプロキシーを有効にする方向を指定しますが、SMTPプロキシーではINしか指定できませんのでご注意ください。


    Note - SMTPプロキシーは、外部からの不正行為(spamメール、不正中継)を防止するための機能です。内部から外部への通信に対しては機能しません。DIRECTIONパラメーターには必ずINを指定してください。DIRECTIONパラメーターにIN以外を指定しても意図した動作になりませんのでご注意ください。


■ spamメール防止機能を使う場合は、最初にspamリストファイルを用意してください。これは、spam送信元のドメイン名かメールアドレスを1行に1個記述したテキストファイルです。拡張子は.spaとしてください。次に例を示します。

list.spa

このspamリストは、ドメインgomi.mail.xxx、spammers.xxxからのメールすべてと、メールアドレスfoo@honyarara.xxxからのメールを受け取らないための設定になります。具体的には、外部メールサーバーがMAIL FROM: で上記のドメインを含むアドレス、または、上記のメールアドレスを指定してきた場合、SMTPプロキシーはSMTPのエラーコードを返してセッションを切断します。

spamリストを用意したら、次のコマンドで同ファイルが使われるように設定します。


1つのファイアウォールポリシーに設定できるspamリストは最大5個です。


なお、spamリストの内容を変更するときは、DELETE FIREWALL POLICY SPAMSOURCESコマンドでリストファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、SMTPプロキシーの動作には反映されません。

あるいは、spamリストを編集したあとでルーターを再起動してもかまいません(ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください)。


■ SMTPプロキシーのイベント通知例

不正メールリレー

spamメール



 

HTTPプロキシー

HTTPプロキシーは、Webサーバー・クライアント(Webブラウザー)間のHTTP通信を仲介することにより、特定URLへのアクセスを禁止したり(URLフィルタリング)、サーバーからのCookie要求を拒否する(Cookieフィルタリング)機能です。

Note - HTTPプロキシーを使用するにはフィーチャーライセンスAT-FL-05が必要です。

Note - HTTPプロキシーによって監視できるのはHTTPプロトコルによるやりとりだけです。HTTPSやFTPなどには対応していません。

Note - HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しませんのでご注意ください。

 

基本設定

HTTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。

以下、基本的な設定手順を示します。ファイアウォールの基本設定まではすんでいるものと仮定します。

  1. 最初にDNSサーバーアドレスを設定します。HTTPプロキシーを使用するためには、DNSサーバーアドレスの設定が必須です。


  2. HTTPプロキシーを有効にします。INTERFACEにはPRIVATE側インターフェースを、GBLINTERFACEにはPUBLIC側インターフェースを指定します。DIRECTIONにはプロキシーを有効にする方向を指定しますが、HTTPプロキシーではOUTしか指定できませんのでご注意ください。


    Note - HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しません。DIRECTIONパラメーターには必ずOUTを指定してください。DIRECTIONパラメーターにOUT以外を指定しても意図した動作になりませんのでご注意ください。

    Note - HTTPプロキシーを利用するクライアント(Webブラウザー)には、HTTPプロキシーとして本製品のPRIVATE側インターフェースを指定してください。ポート番号は80番です。

  3. フィルターファイルを作成します。フィルターファイルは、拒否・許可するURLやURL内のキーワード、ドメイン名などを記述したテキストファイル(拡張子は.txt)です。EDITコマンドで作成するか、他のコンピューター上で作成したものをダウンロードしてください。

    次にフィルターファイル urllist.txt の例を示します。「#」で始まる行はコメントです。


    フィルターファイルは、keywordsセクションとurlsセクションの2つのセクションで構成されています。どちらか一方のセクションだけでもかまいません。キーワードやURLは、ドメイン、ディレクトリー、ファイルともに、大文字小文字を区別しません。


  4. フィルターファイルを用意したら、ADD FIREWALL POLICY HTTPFILTERコマンドでファイル名を指定します。


    Note - 1つのファイアウォールポリシーに設定できるフィルターファイルは最大5個です。

    Note - フィルターファイルの内容を変更するときは、DELETE FIREWALL POLICY HTTPFILTERコマンドでファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、HTTPプロキシーの動作には反映されません。

    Note - HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しません。DIRECTIONパラメーターには必ずOUTを指定してください。DIRECTIONパラメーターにOUT以外を指定しても意図した動作になりませんのでご注意ください。

■ フィルターファイルの適用をとりやめるには、DELETE FIREWALL POLICY HTTPFILTERコマンドを使います。


■ フィルターファイルを変更するときは、DELETE FIREWALL POLICY HTTPFILTERコマンドでファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、HTTPプロキシーの動作には反映されません。


あるいは、フィルターを編集したあとでルーターを再起動してもかまいません(ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください)。

■ すべてのCookie要求を拒否するには、DISABLE FIREWALL POLICY HTTPCOOKIESコマンドを使います。デフォルトでは、フィルターファイルで「nocookies」を指定したサーバー以外からのCookie要求はすべてプロキシーを通過します。


■ HTTPプロキシーのイベント通知例

キーワードによるフィルタリング

URLによるフィルタリング







Copyright (C) 1997-2003 アライドテレシス株式会社

PN: J613-M0274-00 Rev.J