＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）

CentreCOM AR300/AR700 シリーズ 設定例集 2.3 #119

専用線によるIPv4/IPv6デュアルスタック型インターネット接続（IPv4ファイアウォール/IPv6フィルター）

専用線を使ってISPとIPv4/IPv6のデュアルスタックでネイティブ接続します。この例では、基本設定に（IPv4の）ファイアウォールとIPv6トラフィックフィルターの設定を追加して、IPv4/IPv6双方のトラフィックを制御しセキュリティーを強化する方法を示します。

一般的なIPv6接続サービスでは、ネイティブ型、トンネル型などの接続形態にかかわらず、48ビット長（/48）のプレフィックスを割り当てられます。これは、64ビット長（/64）のサブネット65536個に相当する事実上無限のアドレス空間です。そのため、IPv6ではNATを使うことなく個々のホストがグローバルアドレスでインターネットにアクセスできます。

ここでは、次のような構成のネットワークを例に解説します。


表 1：ルーターの基本設定
TDMグループ名 ISP
回線速度 128Kbps
WAN側物理インターフェース bri0
使用できるIPv4アドレス 4.4.4.0/28（4.4.4.0〜4.4.4.15）
使用できるIPv6プレフィックス 3ffe:1:1::/48
WAN側（ppp0）IPv4アドレス Unnumbered
WAN側（ppp0）IPv6アドレス リンクローカルアドレスのみ
LAN側（eth0）IPv4アドレス 4.4.4.1/28
LAN側（eth0）IPv6アドレス 3ffe:1:1:1::1/64


IPv4のトラフィックに対しては、ファイアウォールの基本ルールを適用してセキュリティーを確保します。

また、IPv6のトラフィックに対しては、IPv6フィルターを使って次のようなフィルタリングを行います。




ルーターの設定

  1. BRIインターフェース「0」の全スロット（1〜2）を常時起動のTDM（専用線）モードに設定します。


  2. bri0のスロット1〜2（128Kbps）に対し、TDMグループ「ISP」を作成します。


  3. PPPインターフェース「0」をTDMグループ「ISP」上に作成します。LQRはオフにします。


  4. ここからはIPv4の設定です。最初にIPモジュールを有効にします。


  5. LAN側（eth0）インターフェースに、ISPから提供されたアドレスブロックの先頭アドレスを設定します。


  6. WAN側（ppp0）インターフェースをUnnumbered（0.0.0.0）に設定します。


  7. デフォルトルートを設定します。


  8. ファイアウォール機能を有効にします。


  9. ファイアウォールの動作を規定するファイアウォールポリシー「net」を作成します。


  10. ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。


    Note - デフォルト設定では、ICMPはファイアウォールを通過できません。

  11. ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。


  12. ファイアウォールポリシーの適用対象となるインターフェースを指定します。


  13. ここからはIPv6の設定です。最初にIPv6モジュールを有効にします。


  14. LAN側（eth0）インターフェースにIPv6アドレス3ffe:1:1:1::1/64を設定します。「PUBLISH=YES」は、LAN上にプレフィックスなどを通知するよう指示するものです。IPv6対応クライアントホストは、ルーターから通知を受けることにより、自身のアドレスとデフォルトゲートウェイを自動設定できます。


  15. ルーター通知（RA）を有効にします。これにより、「PUBLISH=YES」と指定されたインターフェースでプレフィックスなどの通知を行うようになります。


  16. WAN側（ppp0）インターフェースはグローバルアドレスを割り当てる必要が特にないので、CREATE IPV6 INTERFACEコマンドでリンクローカルアドレスだけを設定します（IPv4におけるUnnumbered PPPインターフェースとほぼ同じ扱い）。


  17. デフォルトルートをWAN側（ppp0）インターフェースに向けて設定します。


  18. 外部からのIPv6トラフィックを制限するため、IPv6フィルターの設定を行います。最初に、WAN側（ppp0）インターフェースに適用するIPv6フィルター「1」を作成します。


  19. LAN側（eth0）インターフェースに適用するIPv6フィルター「2」を作成します。


  20. IPv6フィルター「1」をWAN側（ppp0）インターフェースに適用します。


  21. IPv6フィルター「2」をLAN側（eth0）インターフェースに適用します。


  22. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。



メモ

■ IPv6インターフェースの情報はSHOW IPV6 INTERFACEコマンドで確認できます。


■ IPv6フィルターには、条件を指定するさまざまなパラメーターがあります。くわしくはコマンドリファレンスをご覧ください。

■ Ethernetインターフェース（PPPoEを除く）にIPv6フィルターを適用するときは、最低限ICMPv6のNS（Neighbor Solicitation）、NA（Neighbor Advertisement）、RS（Router Solicitation）メッセージを通過させるよう設定してください。これらはIPv6の通信に必須のメッセージなので、遮断すると正常に通信できなくなります。次に、これらのパケットを通過させるための設定例を示します。


■ IPv6フィルターはパラメーターが多いため、コマンドラインが長くなりがちです。コマンドラインの入力文字数制限によりコマンドを入力できない場合は、省略形を使ったり、コマンドを複数行に分けるなどして対処してください。

■ IPv6フィルターの設定状況を確認するには次のコマンドを使います。


■ どのIPv6インターフェースにどのソフトウェアIPフィルターが適用されているかを確認するには、次のコマンドを使います。


■ IPv6インターフェースからIPv6フィルターを削除するには、SET IPV6 INTERFACEコマンドのFILTERパラメーターにNONEを指定します。ppp0インターフェースからIPv6フィルターの適用を取り消すには、次のようにします。


■ ファイアウォールで遮断されたパケットのログをとるには、次のコマンドを実行します。


記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=FIRE」により、ファイアウォールが出力したログメッセージだけを表示させています。


■ 現在の設定内容を表示するには、次のコマンドを使います。

まとめ

ルーターのコンフィグ [テキスト版]
SET BRI=0 MODE=TDM ACTIVATION=ALWAYS TDMSLOTS=1-2 ↓
CREATE TDM GROUP=ISP INT=bri0 SLOTS=1-2 ↓
CREATE PPP=0 OVER=TDM-ISP LQR=OFF ↓
ENABLE IP ↓
ADD IP INT=eth0 IP=4.4.4.1 MASK=255.255.255.240 ↓
ADD IP INT=ppp0 IP=0.0.0.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
ENABLE FIREWALL ↓
CREATE FIREWALL POLICY=net ↓
ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACHABLE ↓
DISABLE FIREWALL POLICY=net IDENTPROXY ↓
ADD FIREWALL POLICY=net INT=eth0 TYPE=PRIVATE ↓
ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
ENABLE IPV6 ↓
ADD IPV6 INT=eth0 IP=3ffe:1:1:1::1/64 PUBLISH=YES ↓
ENABLE IPV6 ADVERTISE ↓
CREATE IPV6 INT=ppp0 ↓
ADD IPV6 ROUTE=::/0 INT=ppp0 NEXT=:: ↓
ADD IPV6 FILTER=1 SOURCE=:: ACTION=INCLUDE ↓
SET IPV6 FILTER=1 ENTRY=1 DEST=3ffe:1:1::/48 PROTO=TCP SESS=ESTABLISHED ↓
ADD IPV6 FILTER=1 SOURCE=:: ACTION=INCLUDE ↓
SET IPV6 FILTER=1 ENTRY=2 DEST=3ffe:1:1::/48 PROTO=UDP SPORT=53 ↓
ADD IPV6 FILTER=1 SOURCE=:: ACTION=INCLUDE ↓
SET IPV6 FILTER=1 ENTRY=3 DEST=:: PROTO=ICMP ICMPTYPE=ANY ICMPCODE=ANY ↓
ADD IPV6 FILTER=2 SOURCE=3ffe:1:1::/48 ACTION=INCLUDE ↓
SET IPV6 FILTER=2 ENTRY=1 DEST=:: PROTO=TCP SESS=ANY ↓
ADD IPV6 FILTER=2 SOURCE=3ffe:1:1::/48 ACTION=INCLUDE ↓
SET IPV6 FILTER=2 ENTRY=2 DEST=:: PROTO=UDP DPORT=53 ↓
ADD IPV6 FILTER=2 SOURCE=:: ACTION=INCLUDE ↓
SET IPV6 FILTER=2 ENTRY=3 DEST=:: PROTO=ICMP ICMPTYPE=ANY ICMPCODE=ANY ↓
SET IPV6 INT=ppp0 FILTER=1 ↓
SET IPV6 INT=eth0 FILTER=2 ↓




CentreCOM AR300/AR700 シリーズ 設定例集 2.3 #119

Copyright (C) 1997-2003 アライドテレシス株式会社

PN: J613-M0507-00 Rev.G

＜前頁 次頁＞ ＜＜ ＞＞ ↑ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）