[index] AT-AR2050V/AT-AR3050S/AT-AR4050S コマンドリファレンス 5.4.9

設定例集#54: UTM・AT-SESC連携（OpenFlowによる端末の通信制御）（AMF併用。AT-AR4050SがAMFマスター）

1. 端末
   マルウェアなどに感染した端末が不正な通信を開始
   
   
2. 本製品: UTM機能、Syslog送信機能
   UTM 機能で不正な通信を検出・遮断し、被疑端末（送信元）の情報（ログ）を Syslogメッセージとして AT-SESC に送信
   
   
3. AT-SESC: トラップ監視機能
   本製品から受信した Syslogメッセージを解析して被疑端末のアドレスを抽出し、OpenFlow機能対応スイッチのポートを制御することにより該当端末の遮断を指示
   
   
4. OpenFlow機能対応スイッチ: OpenFlow機能
   AT-SESCからの指示を受け、自装置のOpenFlowポートで端末からの通信を遮断
   

• IPレピュテーション
  連携可能な カテゴリー は次のとおり。
  
  • マルウェア系カテゴリー（CnC, Mobile_CnC, Bot）
    
  • スパイウェア系カテゴリー（SpywareCnC, Mobile_Spyware_CnC, Drop）
    
  
  
• マルウェアプロテクション
  
  
• アンチウイルス
  
  
• ファイアウォール（攻撃検出：IDS）
  連携可能な 攻撃種別 は次のとおり。
  
  • Syn Flood
    
  • ICMP Flood
    
  • UDP Flood
    
  • TCP Stealth Scan
    

Note

• AT-SESC と連携可能なルーターは AT-AR4050S と AT-AR3050S です。AT-AR2050V は AT-SESC と連携できません。
  
  
• アンチウイルス機能は AT-AR4050S でのみサポートです。AT-AR2050V、AT-AR3050S では使用できません。
  
  
• IPレピュテーション、マルウェアプロテクション、アンチウイルス、AMFマスター、OpenFlow機能を使用するには、各製品・機能に応じたアニュアルライセンスが必要です。
  
  
• バージョン 1.3.1 以前のAT-SESC と UTM機能との連携を行うには、UTM連携に対応したトラップ監視ルールファイルを AT-SESC にアップロードする必要があります。トラップ監視ルールファイルは、弊社「Secure Enterprise SDNテクノロジー パートナープログラム」を通じて提供されます。パートナープログラムの詳細は、弊社ホームページより「Secure Enterprise SDNテクノロジー パートナープログラム」をご覧ください。
  バージョン 1.4.0 以降のAT-SESC には、トラップ監視ルールファイルが初めからインストールされています。
  

構成

Note

• 本製品のUTM機能とAT-SESCの連携を行う場合は、本製品のホスト名を「awplus」から始まる名前にする必要があります。
  
  
• IPレピュテーション機能とAT-SESCの連携を行うためには、連携可能なカテゴリーに対するアクションを「deny」に設定する必要があります。デフォルトの「alert」では連携しませんのでご注意ください。
  

設定開始前に

自動設定の確認と削除

• ネットワークケーブルを接続せずに起動する。
  起動時に自動設定が実行されるための条件の一つに、特定インターフェースのリンクアップがあります。
  ネットワークケーブルを接続しない状態で起動することにより、自動設定の適用を回避できます。
  
  
• 自動設定を手動で削除してから設定を行う。
  前記の方法を採用できず自動設定が適用されてしまった場合は、「自動的な設定内容の削除」にしたがって、これらを手動で削除してから設定を開始してください。
  

システム時刻の設定

• 手動で設定する方法 - 「運用・管理」/「システム」
  
• NTPで自動設定する方法 - 「運用・管理」/「NTP」
  

ルーターの設定

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。
   

   no spanning-tree rstp enable
   

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface eth1
    encapsulation ppp 0
   

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   
   ・IPCPによるDNSサーバーアドレスの取得要求（ppp ipcp dns）
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   
   PPPの詳細は「PPP」/「一般設定」をご覧ください。
   

   interface ppp0
    ppp ipcp dns request
    keepalive
    ip address negotiated
    ppp username user@isp
    ppp password isppasswd
    ip tcp adjust-mss pmtu
   

4. VLANを作成します。
   これには、vlan databaseコマンドとvlanコマンドを使います。
   VLANの詳細は「L2スイッチング」/「バーチャルLAN」をご覧ください。
   

   vlan database
    vlan 10 state enable
   

5. AMFノード名（ホスト名）を設定します。これにはhostnameコマンドを使います。
   
   ※ 本製品のUTM機能とAT-SESCの連携を行う場合は、本製品のホスト名を「awplus」から始まる名前にする必要があります。
   

   hostname awplus-AR4050S
   

6. AMFの各種設定を行います。
   
   ・AMFネットワーク名の設定（atmf network-name）
   ・AMFマスター機能の有効化（atmf master）
   
   AMFの詳細は、「アライドテレシスマネージメントフレームワーク（AMF）」の「概要」、「導入」、「運用」、「応用」各解説編やコマンド編をご覧ください。
   

   atmf network-name AMF001
   atmf master
   

7. AMF対応スイッチと接続するLANポートにAMFリンクの設定をします（switchport atmf-link）。
   

   int port1.0.1
    switchport mode trunk
    switchport atmf-link
    switchport trunk allowed vlan add 10
   

8. LAN側インターフェースvlan10にIPアドレスを設定します。これにはip addressコマンドを使います。
   IPインターフェースの詳細は「IP」/「IPインターフェース」をご覧ください。
   

   int vlan10
    ip address 192.168.10.254/24
   

9. IPレピュテーション（IPアドレスブラックリスト）機能の設定を行います。
   これには、ip-reputation、provider、category action、protectの各コマンドを使います。
   IPレピュテーション（IPアドレスブラックリスト）の詳細は「UTM」/「IPレピュテーション」をご覧ください。
   
   ※ IPレピュテーション機能とAT-SESCの連携を行うためには、連携可能なカテゴリーに対するアクションを「deny」に設定する必要があります。デフォルトの「alert」では連携しませんのでご注意ください。
   

   ip-reputation
    provider proofpoint
    category CnC action deny
    category Mobile_CnC action deny
    category Bot action deny
    category SpywareCnC action deny
    category Mobile_Spyware_CnC action deny
    category Drop action deny
    protect
   

10. アンチウイルス（プロキシー型アンチウイルス）機能の設定を行います。
    これには、antivirus、provider kaspersky、protectの各コマンドを使います。
    アンチウイルス（プロキシー型アンチウイルス）の詳細は「UTM」/「アンチウイルス（プロキシー型アンチウイルス）」をご覧ください。
    

    antivirus
     provider kaspersky
     protect
    

11. マルウェアプロテクション（ストリーム型アンチウイルス）機能の設定を行います。
    これには、malware-protection、provider kaspersky、protectの各コマンドを使います。
    マルウェアプロテクション（ストリーム型アンチウイルス）の詳細は「UTM」/「マルウェアプロテクション（ストリーム型アンチウイルス）」をご覧ください。
    

    malware-protection
     provider kaspersky
     protect
    

12. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
    エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
    
    内部ネットワークを表すゾーン「private」を作成します。
    これには、zone、network、ip subnetの各コマンドを使います。
    

    zone private
     network lan
      ip subnet 192.168.0.0/16
    

13. 外部ネットワークを表すゾーン「public」を作成します。
    前記コマンドに加え、ここではhost、ip addressの各コマンドも使います。
    

    zone public
     network wan
      ip subnet 0.0.0.0/0 interface ppp0
      host ppp0
       ip address dynamic interface ppp0
    

14. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    
    ・rule 10 - 内部ネットワーク間の通信を許可します
    ・rule 20 - 内部ネットワークから外部への通信を許可します
    ・rule 30 - UTM各機能のデータベース更新やDNSリレー用に、本製品のWAN側インターフェースから外部へのDNS通信を許可します
    ・rule 40 - UTM各機能のデータベース更新用に、本製品のWAN側インターフェースから外部へのHTTPS通信を許可します
    
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。
    

    firewall
     rule 10 permit any from private to private
     rule 20 permit any from private to public
     rule 30 permit dns from public.wan.ppp0 to public.wan
     rule 40 permit https from public.wan.ppp0 to public.wan
     protect
    

15. LAN側ネットワークに接続されているすべてのコンピューターがダイナミックENAT機能を使用できるよう設定します。
    これには、nat、rule、enableの各コマンドを使います。
    NATの詳細は「UTM」/「NAT」をご覧ください。
    

    nat
     rule 10 masq any from private to public
     enable
    

16. UTM各機能のログをSyslogメッセージとしてAT-SESCに送信するため、hostログ（syslog送信先）を定義します。
    これには、log、log(filter)の各コマンドを使います。
    
    なお、連携するUTM機能によってログの属性（ファシリティー、レベル）が異なります。
    ログフィルター（log(filter)コマンド）では、それぞれ下記の条件を満たすログを送信するよう設定してください。
    
    ・IPレピュテーション、マルウェアプロテクション、アンチウイルス - local5ファシリティー、informationalレベル
    ・ファイアウォール（IDS） - kernファシリティー、informationalレベル、文字列「Firewall」を含む
    

    log host 192.168.1.10
    log host 192.168.1.10 level informational facility local5
    log host 192.168.1.10 level informational facility kern msgtext Firewall
    

17. DNSリレー機能を有効にします。これには、ip dns forwardingコマンドを使います。
    DNSリレー機能の詳細は「IP付加機能」/「DNSリレー」をご覧ください。
    

    ip dns forwarding
    

18. IPの経路情報をスタティックに設定します。これにはip routeコマンドを使います。
    
    ・LAN側（192.168.0.0/16）へはAMFメンバーのL3スイッチ（192.168.10.1）経由
    ・その他（0.0.0.0/0）は ppp0 経由（デフォルト経路）
    
    IP経路設定の詳細は「IP」/「経路制御」をご覧ください。
    

    ip route 0.0.0.0/0 ppp0
    ip route 192.168.0.0/16 192.168.10.1
    

19. 以上で設定は完了です。
    

    end
    

設定の保存

awplus# copy running-config startup-config ↓
Building configuration...
[OK]

awplus# write memory ↓
Building configuration...
[OK]

ルーターのコンフィグ

!
no spanning-tree rstp enable
!
interface eth1
 encapsulation ppp 0
!
interface ppp0
 ppp ipcp dns request
 keepalive
 ip address negotiated
 ppp username user@isp
 ppp password isppasswd
 ip tcp adjust-mss pmtu
!
vlan database
 vlan 10 state enable
!
hostname awplus-AR4050S
!
atmf network-name AMF001
atmf master
!
int port1.0.1
 switchport mode trunk
 switchport atmf-link
 switchport trunk allowed vlan add 10
!
int vlan10
 ip address 192.168.10.254/24
!
ip-reputation
 provider proofpoint
 category CnC action deny
 category Mobile_CnC action deny
 category Bot action deny
 category SpywareCnC action deny
 category Mobile_Spyware_CnC action deny
 category Drop action deny
 protect
!
antivirus
 provider kaspersky
 protect
!
malware-protection
 provider kaspersky
 protect
!
zone private
 network lan
  ip subnet 192.168.0.0/16
!
zone public
 network wan
  ip subnet 0.0.0.0/0 interface ppp0
  host ppp0
   ip address dynamic interface ppp0
!
firewall
 rule 10 permit any from private to private
 rule 20 permit any from private to public
 rule 30 permit dns from public.wan.ppp0 to public.wan
 rule 40 permit https from public.wan.ppp0 to public.wan
 protect
!
nat
 rule 10 masq any from private to public
 enable
!
log host 192.168.1.10
log host 192.168.1.10 level informational facility local5
log host 192.168.1.10 level informational facility kern msgtext Firewall
!
ip dns forwarding
!
ip route 0.0.0.0/0 ppp0
ip route 192.168.0.0/16 192.168.10.1
!
end

参考

L3スイッチ（AMFメンバー）の設定

!
no spanning-tree rstp enable
!
vlan database
 vlan 10,100-104 state enable
!
hostname L3_Switch
!
atmf network-name AMF001
!
interface port1.0.1
 switchport atmf-link
 switchport mode trunk
 switchport trunk allowed vlan add 10
!
interface port1.0.13
 switchport atmf-link
 switchport mode trunk
 switchport trunk allowed vlan add 1,100-104
!
interface vlan1
 ip address 192.168.1.254/24
!
interface vlan10
 ip address 192.168.10.1/24
!
interface vlan100
 ip address 192.168.100.254/24
!
interface vlan101
 ip address 192.168.101.254/24
!
interface vlan102
 ip address 192.168.102.254/24
!
interface vlan103
 ip address 192.168.103.254/24
!
interface vlan104
 ip address 192.168.104.254/24
!
ip dhcp pool pool100
 network 192.168.100.0 255.255.255.0
 range 192.168.100.100 192.168.100.115
 dns-server 192.168.10.254
 default-router 192.168.100.254
!
ip dhcp pool pool101
 network 192.168.101.0 255.255.255.0
 range 192.168.101.100 192.168.101.115
 dns-server 192.168.10.254
 default-router 192.168.101.254
!
ip dhcp pool pool102
 network 192.168.102.0 255.255.255.0
 range 192.168.102.100 192.168.102.115
 dns-server 192.168.10.254
 default-router 192.168.102.254
!
ip dhcp pool pool103
 network 192.168.103.0 255.255.255.0
 range 192.168.103.100 192.168.103.115
 dns-server 192.168.10.254
 default-router 192.168.103.254
!
ip dhcp pool pool104
 network 192.168.104.0 255.255.255.0
 range 192.168.104.100 192.168.104.115
 dns-server 192.168.10.254
 default-router 192.168.104.254
!
service dhcp-server
!
ip route 0.0.0.0/0 192.168.10.254
!
end

OpenFlow機能対応スイッチの設定

Note

OpenFlow機能とVCS機能は併用できないため、VCS対応機種をOpenFlowスイッチとして設定する場合は、事前にスタック接続を解除し、VCS機能を無効化して設定を保存した上で、スイッチを再起動してから設定を進めてください。

awplus# configure terminal ↓
awplus(config)# no stack 1 enable ↓
Warning: this will disable the stacking hardware on member-1.
Are you sure you want to continue? (y/n):  y ↓
10:18:51 awplus VCS[824]: Deactivating Stacking Ports on stack member 1
awplus(config)# end ↓
awplus# 
awplus# write memory ↓
Building configuration...
[OK]
awplus# reboot ↓
reboot system? (y/n): y ↓

!
no stack 1 enable
!
no spanning-tree rstp enable
no ipv6 mld snooping 
!
hostname OpenFlow_Switch
!
atmf network-name AMF001
!
vlan database
 vlan 100-104,4090 state enable
!
openflow controller tcp 192.168.1.10 6653
openflow native vlan 4090
!
interface port1.0.5
 openflow
 switchport atmf-link
 switchport mode trunk ingress-filter disable
 switchport trunk allowed vlan add 1
!
interface port1.0.6-1.0.26
 openflow
!
interface vlan1
 ip address 192.168.1.1/24
!
interface vlan100-104
 no ipv6 mld snooping
!
interface vlan4090
 no ip igmp snooping tcn query solicit
 no ipv6 mld snooping
!
end

AT-SESCの設定

• ネットワーク
  

  

  監視対象ネットワーク

  192.168.0.0/16

  
  
• ルール
  

  

  ホストアドレス	未設定
  OpenFlowアクション	遮断
  トラップ監視対象	すべて有効

  
  
• デバイス認証設定
  VLAN ID "100～104" いずれかのネットワークにアサイン
  

端末復旧方法

1. AT-SESCの「接続中デバイス一覧」画面から復旧。
   

   

   
   
2. 「アクション一覧」画面から該当のアクションを削除。
   

   

(C) 2015 - 2019 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.AA