＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）

CentreCOM AR550S 設定例集 2.9 #67

# IPフィルター

IPフィルターは、IP、TCP、UDP、ICMPなどのヘッダー情報をもとに、パケットの通過・拒否を制御する機能です。この例では、IPフィルターの基本的な設定方法を、PPPoEインターネット接続環境におけるL2TP LAN間接続の構成例をもとに解説します。

各拠点は、ISPから次の情報を提供されているものとします。

表 1：ISPから提供された情報
PPPユーザー名 | AAA | BBB
PPPパスワード | PasswordA | PasswordB
PPPoEサービス名 | 指定なし | 指定なし
IPアドレス | 4.4.4.1/32 | 12.34.56.78/32

ルーターA、Bは共にダイナミックENATを使用した通常の端末型設定(アドレス1個固定)です。
以下、ルーターA、Bの基本設定についてまとめます。

表 2
| ルーターA | ルーターB
WAN側物理インターフェース | eth0 | eth0
WAN側IPアドレス | 4.4.4.1/32(ppp0) | 12.34.56.78/32(ppp0)
LAN側IPアドレス | 192.168.10.1/24(vlan1) | 192.168.20.1/24（vlan1）

IPフィルターは、原則としてすべての通信を拒否する「デフォルト拒否」の設定とし、以下の通信だけを許可するよう設定します。

- ホストA：TelnetでUNIXサーバー（192.168.10.2）へアクセスしたい。
- ホストB：TelnetとFTPでUNIXサーバーへアクセスしたい。
- ホストC：FTPでUNIXサーバーへアクセスしたい。

ルーターAの設定

1. PPPoEおよびIPの設定を行います。

   `CREATE PPP=0 OVER=eth0-ANY ↓
   SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=OFF USER=user@ispA PASSWORD=isppasswdA LQR=OFF ECHO=ON ↓
   ENABLE IP ↓
   ADD IP INT=ppp0 IP=4.4.4.1 MASK=255.255.255.255 ↓
   ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓
   ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
   `
2. L2TPの設定を行います。

   `ENABLE L2TP ↓
   ENABLE L2TP SERVER=BOTH ↓
   SET L2TP PASSWORD=l2tpA ↓
   ADD L2TP CALL=remote IP=12.34.56.78 TYPE=VIRTUAL REMOTE=remote PRECEDENCE=in PASSWORD=l2tpB ↓
   CREATE PPP=1 OVER=TNL-remote IDLE=ON BAP=OFF LQR=ON ↓
   ADD IP INT=ppp1 IP=0.0.0.0 ↓
   ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓
   `
3. ファイアウォールの設定をします。

   `ENABLE FIREWALL ↓
   CREATE FIREWALL POLICY=net ↓
   ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓
   DISABLE FIREWALL POLICY=net IDENTPROXY ↓
   ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
   ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓
   ADD FIREWALL POLICY=net INT=ppp1 TYPE=PRIVATE ↓
   ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 GBLIP=4.4.4.1 ↓
   ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=UDP GBLPO=1701 GBLIP=4.4.4.1 PO=1701 IP=4.4.4.1 ↓
   `
4. ppp1インターフェースに適用するIPフィルター「1」の設定を行います。
   なお、IPフィルターの設定ではコマンドラインが長くなりがちなので、適宜省略形を用いてください。この例でも省略形を用いています。
   また、トラフィックフィルターとして動作させるために、TYPEパラメーターに TRAFFIC を指定します。
   - ホストAからUNIXサーバーのTelnetポートへ送られるパケットは通過させます。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.4 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=TELNET PROT=TCP SESS=ANY ↓
     `
   - ホストBからUNIXサーバーへのFTPデータパケットは通過させます（FTPでは、コントロール用とデータ用に2本のTCPセッションを張ります）。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTPDATA PROT=TCP SESS=ESTABLISHED ↓
     `
   - ホストBからUNIXサーバーへのFTPコントロールパケットは通過させます。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTP PROT=TCP SESS=ANY ↓
     `
   - ホストBからUNIXサーバーへのTelnetパケットは通過させます。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=TELNET PROT=TCP SESS=ANY ↓
     `
   - ホストCからUNIXサーバーへのFTPデータパケットは通過させます。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.6 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTPDATA PROT=TCP SESS=ESTABLISHED ↓
     `
   - ホストCからUNIXサーバーへのFTPコントロールパケットは通過させます。

     `ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.6 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTP PROT=TCP SESS=ANY ↓
     `

   > Note - IPフィルターのデフォルト動作は「すべて拒否（EXCLUDE）」です。すなわち、明示的に指定した条件にマッチしなかったパケットはすべて破棄されます。この例では、上で設定したホストA、B、CからUNIXサーバーのTELNET、FTPポートへの通信以外はすべて拒否されます。

5. IPフィルター「1」をppp1インターフェースに適用します。

   `SET IP INT=ppp1 FILT=1 ↓
   `

   > Note - 上記のIPフィルターはL2TPでカプセル化されたパケットをカプセル化を解除した後に適用する必要があるため、ppp1インターフェースに設定します。

6. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

   `CREATE CONFIG=router.cfg ↓
   SET CONFIG=router.cfg ↓
   `

ルーターBの設定

1. PPPoEおよびIPの設定を行います。

   `CREATE PPP=0 OVER=eth0-ANY ↓
   SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=OFF USER=user@ispB PASSWORD=isppasswdB LQR=OFF ECHO=ON ↓
   ENABLE IP ↓
   ADD IP INT=ppp0 IP=12.34.56.78 MASK=255.255.255.255 ↓
   ADD IP INT=vlan1 IP=192.168.20.1 MASK=255.255.255.0 ↓
   ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
   `
2. L2TPの設定を行います。

   `ENABLE L2TP ↓
   ENABLE L2TP SERVER=BOTH ↓
   SET L2TP PASSWORD=l2tpB ↓
   ADD L2TP CALL=remote IP=4.4.4.1 TYPE=VIRTUAL REMOTE=remote PRECEDENCE=out PASSWORD=l2tpA ↓
   CREATE PPP=1 OVER=TNL-remote IDLE=ON BAP=OFF LQR=ON ↓
   ADD IP INT=ppp1 IP=0.0.0.0 ↓
   ADD IP ROUTE=192.168.10.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓
   `
3. ファイアウォールの設定を行います。

   `ENABLE FIREWALL ↓
   CREATE FIREWALL POLICY=net ↓
   ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓
   DISABLE FIREWALL POLICY=net IDENTPROXY ↓
   ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓
   ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
   ADD FIREWALL POLICY=net INT=ppp1 TYPE=PRIVATE ↓
   ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 GBLIP=12.34.56.78 ↓
   ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=UDP GBLPO=1701 GBLIP=12.34.56.78 PO=1701 IP=12.34.56.78 ↓
   `
4. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

   `CREATE CONFIG=router.cfg ↓
   SET CONFIG=router.cfg ↓
   `

メモ

■ IPフィルターはパラメーターが多いため、コマンドラインが長くなりがちです。コマンドラインの入力文字数制限によりコマンドを入力できない場合は、省略形を使ったり、コマンドを複数行に分けるなどして対処してください。
また、コマンドパラメーターの詳細についてはコマンドリファレンスをご覧ください。
■ IPフィルターの設定状況を確認するには次のコマンドを使います。

`SHOW IP FILTER ↓`

■ どのIPインターフェースにどのIPフィルターが適用されているかを確認するには、次のコマンドを使います。

`SHOW IP INTERFACE ↓`

■ IPインターフェースからIPフィルターを削除するには、SET IP INTERFACEコマンドのFILTERパラメーターにNONEを指定します。IPインターフェースppp1からIPフィルターの適用を取り消すには、次のようにします。

`SET IP INT=ppp1 FILTER=NONE ↓`

■ 現在の設定内容を表示するには、次のコマンドを使います。

`SHOW CONFIG DYNAMIC ↓`

まとめ

ルーターAのコンフィグ [テキスト版]

`CREATE PPP=0 OVER=eth0-ANY ↓ SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=OFF USER=user@ispA PASSWORD=isppasswdA LQR=OFF ECHO=ON ↓ ENABLE IP ↓ ADD IP INT=ppp0 IP=4.4.4.1 MASK=255.255.255.255 ↓ ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓ ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ SET L2TP PASSWORD=l2tpA ↓ ADD L2TP CALL=remote IP=12.34.56.78 TYPE=VIRTUAL REMOTE=remote PRECEDENCE=in PASSWORD=l2tpB ↓ CREATE PPP=1 OVER=TNL-remote IDLE=ON BAP=OFF LQR=ON ↓ ADD IP INT=ppp1 IP=0.0.0.0 ↓ ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 GBLIP=4.4.4.1 ↓ ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=UDP GBLPO=1701 GBLIP=4.4.4.1 PO=1701 IP=4.4.4.1 ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.4 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=TELNET PROT=TCP SESS=ANY ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTPDATA PROT=TCP SESS=ESTABLISHED ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTP PROT=TCP SESS=ANY ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.5 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=TELNET PROT=TCP SESS=ANY ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.6 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTPDATA PROT=TCP SESS=ESTABLISHED ↓ ADD IP FILT=1 TYPE=TRAFFIC SO=192.168.20.6 SM=255.255.255.255 DEST=192.168.10.2 DM=255.255.255.255 AC=INCLUDE DPORT=FTP PROT=TCP SESS=ANY ↓ SET IP INT=ppp1 FILT=1 ↓`

ルーターBのコンフィグ [テキスト版]

`CREATE PPP=0 OVER=eth0-ANY ↓ SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=OFF USER=user@ispB PASSWORD=isppasswdB LQR=OFF ECHO=ON ↓ ENABLE IP ↓ ADD IP INT=ppp0 IP=12.34.56.78 MASK=255.255.255.255 ↓ ADD IP INT=vlan1 IP=192.168.20.1 MASK=255.255.255.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓ ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ SET L2TP PASSWORD=l2tpB ↓ ADD L2TP CALL=remote IP=4.4.4.1 TYPE=VIRTUAL REMOTE=remote PRECEDENCE=out PASSWORD=l2tpA ↓ CREATE PPP=1 OVER=TNL-remote IDLE=ON BAP=OFF LQR=ON ↓ ADD IP INT=ppp1 IP=0.0.0.0 ↓ ADD IP ROUTE=192.168.10.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net INT=ppp1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 GBLIP=12.34.56.78 ↓ ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=UDP GBLPO=1701 GBLIP=12.34.56.78 PO=1701 IP=12.34.56.78 ↓`

CentreCOM AR550S 設定例集 2.9 #67

(C) 2005-2012 アライドテレシスホールディングス株式会社

PN: J613-M0710-04 Rev.M

＜前頁 次頁＞ ＜＜ ＞＞ ↑ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）