UTM / ファイアウォール

本製品には、IPトラフィックフローの開始・終了を認識し、これに応じて動的なパケットフィルタリングを行うステートフルインスペクション型のファイアウォールが搭載されています。

ファイアウォールを有効化すると、デフォルトでは本製品のルーティング用インターフェースを通過するすべてのトラフィックが遮断されるようになります。このデフォルト動作をベースとして、必要なトラフィックを通過させるためのルールを登録していくのがファイアウォールの基本的な設定方法となります。

ファイアウォール機能の具体的な使用例については、「設定例集」をご覧ください。

基本設定

ファイアウォールの設定は、ファイアウォールモード（firewallコマンド）で行います。
ルールの設定はruleコマンドで、機能の有効化はprotectコマンドで行います。

以下、ファイアウォール機能の基本的な設定手順を示します。

ファイアウォール機能の設定を行うため、ファイアウォールモードに移行します。これにはfirewallコマンドを使います。
awplus(config)# firewall ↓

ファイアウォール有効時はデフォルトですべてのトラフィックが拒否されるため、許可するトラフィックをpermitルールで明示的に指定する必要があります。ルールの作成は、ruleコマンドで行います。
アクションには次の4つがあります。

permit（許可）
deny（破棄。送信元にエラーを返さない）
reject（破棄。送信元にエラーを返す）
log（パケットごとにログを記録）

次のルールでは、内部を表すゾーン「private」から外部を表すゾーン「public」に宛てた通信をすべて許可するよう設定しています。ステートフルインスペクションにより、ファイアウォール経由の通信が開始されたときにはその状態が記憶されるため、戻りのパケットを許可するためのルールは不要です。

awplus(config-firewall)# rule permit any from private to public ↓

この例において、

「any」はアプリケーション（ただし、ここではすべてのトラフィックを意味するキーワード「any」を指定している）
「from private」は送信元エンティティー（ゾーン、ネットワーク、ホスト）
「to public」は宛先エンティティー（ゾーン、ネットワーク、ホスト）

を表します。

「アプリケーション」と「エンティティー」の詳細は、「UTM」/「アプリケーション定義」、「UTM」/「エンティティー定義」をご覧ください。

同様にして必要なルールを作成していきます。以下にいくつかの例を示します。

内部ゾーン「private」内の各ネットワークから、同ゾーン内のネットワーク「wired」にあるホスト「dbserver」へのアクセスを許可。
awplus(config-firewall)# rule permit mydb from private to private.wired.dbserver ↓
ファイアウォールの適用対象はルーティングトラフィックであるため、ゾーン「private」に属するサブネットが1つだけのときはこのルールは不要ですが、ゾーン内に複数のサブネットが存在するときは同一ゾーン内であっても、サブネットをまたぐ通信に対しては明示的な許可ルールが必要な点にご注意ください。

なお、ゾーン「private」内の通信を完全に自由にするには、次のようなルールを設定します。
ネットワーク構成にもよりますが、通常は本製品のプライベート側インターフェースへのアクセス（Telnet/SSHなど）にもこのルールが必要です。
awplus(config-firewall)# rule permit any from private to private ↓
内部ゾーン「private」ネットワーク「wired」上のホスト「adminpc」から、ゾーン「dmz」上のネットワーク「servernet」へのSSH通信を許可。
awplus(config-firewall)# rule permit ssh from private.wired.adminpc to dmz.servernet ↓
外部ゾーン「public」から、ゾーン「dmz」上のネットワーク「servernet」にあるホスト「web」へのHTTP通信を許可。ここでは、logオプションにより通信開始のログも記録しています。
awplus(config-firewall)# rule permit http from public to dmz.servernet.web log ↓

外部ゾーン「public」ネットワーク「internet」上のホスト「vpngw」から「myself」へのIPsec通信（ISAKMPとESP）を許可。ここでは、ホスト「public.internet.myself」がルーターのWAN側IPアドレスを、「public.internet.vpngw」が対向IPsecルーターのIPアドレスを定義していると仮定しています。

awplus(config-firewall)# rule permit isakmp from public.internet.vpngw to public.internet.myself ↓ awplus(config-firewall)# rule permit esp from public.internet.vpngw to public.internet.myself ↓

ファイアウォール機能を有効化します。これにはprotectコマンドを使います。
awplus(config-firewall)# protect ↓

設定は以上です。

設定と状態の確認

■ ファイアウォール機能の有効・無効と現在のセッション数はshow firewallコマンドで確認できます。

awplus# show firewall ↓ Firewall protection is enabled Active connections: 21

■ ファイアウォールを介して行われている通信セッションの一覧を表示するにはshow firewall connectionsコマンドを使います。

awplus# show firewall connections ↓ tcp ESTABLISHED src=192.168.1.2 dst=172.16.1.2 sport=58616 dport=23 packets=16 bytes=867 src=172.16.1.2 dst=172.16.1.1 sport=23 dport=58616 packets=11 bytes=636 [ASSURED] icmpv6 src=2001:db8::2 dst=2001:db8::1 type=128 code=0 id=1416 packets=34 bytes=3536 src=2001:db8::1 dst=2001:db8::2 type=129 code=0 id=1416 packets=34 bytes=3536 tcp TIME_WAIT src=2001:db8:1::2 dst=2001:db8:2::2 sport=42532 dport=80 packets=7 bytes=597 src=2001:db8:2::2 dst=2001:db8:1::2 sport=80 dport=42532 packets=5 bytes=651 [ASSURED] tcp TIME_WAIT src=2001:db8:1::2 dst=2001:db8:2::2 sport=48740 dport=80 packets=5 bytes=564 src=2001:db8:2::2 dst=2001:db8:1::2 sport=80 dport=48740 packets=5 bytes=594 [ASSURED]

■ ファイアウォールを介して行われている通信セッションをクリアするにはclear firewall connectionsコマンドを使います。

awplus# clear firewall connections ↓

Note - 本コマンドを実行すると、ファイアウォール経由のTCP通信が切断されるため注意してください。UDPやICMPの通信は継続されます。

■ ファイアウォールルールの情報はshow firewall ruleコマンドで確認できます。

awplus# show firewall rule ↓ [* = Rule is not valid - see "show firewall rule config-check"] ID Action App From To Hits -------------------------------------------------------------------------------- 10 permit openvpn public private 0 20 deny samba-tcp private public 0 30 deny samba-udp private public 0 40 permit ssh branch private 0

■ ファイアウォールルールが有効かどうかをチェックするには、show firewall rule config-checkコマンドを使います。

ファイアウォールルールの作成時にはエンティティーとアプリケーションの両定義を使用しますが、これらの定義が不完全な場合（指定したアプリケーションやエンティティーが未定義である、アプリケーション定義でIPプロトコルが未指定、など）、該当ルールは有効にならず無視されてしまいます。

このような事態を避けるには、ルール作成後にshow firewall rule config-checkコマンドを実行してルールが有効かどうかをチェックしてください。

awplus# show firewall rule config-check ↓ Rule 10: Application does not have a protocol configured

同コマンドでは、無効なルールがある場合、それが理由とともに示されます。

この例では、次の理由によりルール「10」が無効であることが示されています。

ルール内で指定したアプリケーションの定義において、IPプロトコルが指定されていない。

また、次の例では、すべてのルールが有効であることが示されています。

awplus# show firewall rule config-check ↓ All rules are valid

PN: 613-002107 Rev.A