[index]
CentreCOM AR300/AR700 シリーズ コマンドリファレンス 2.3
ファイアウォール/アプリケーションゲートウェイ
対象機種:AR720、AR740
- SMTPプロキシー
- 基本設定
- HTTPプロキシー
- 基本設定
本製品のファイアウォールには、ステートフルインスペクションによる動的なパケットフィルタリングに加え、アプリケーションゲートウェイの機能があります。
アプリケーションゲートウェイは、本製品がサーバー・クライアント(または別のサーバー)間の通信を仲介し、アプリケーション層で通信の制御を行う機能です(ステートフルインスペクションはおもにネットワーク層/トランスポート層での制御)。現時点では、アプリケーションプロトコルとして、電子メール配信用のSMTP(Simple Mail Transfer Protocol)とWWW用のHTTP(Hyper Text Transfer Protocol)に対応しています。
ここでは、アプリケーションゲートウェイの基本的な使用方法について解説します。
Note
- 本機能はオプションであるため、ご使用にはフィーチャー(追加機能)ライセンスのご購入が必要です。
Note
- アプリケーションゲートウェイはAR300シリーズでは使用できません。
SMTPプロキシーは、メール(SMTP)サーバー間の通信を本製品が仲介することで、ファイアウォール内部のメールサーバーを利用したメールの不正中継や、spamメールなどを防止する機能です。
Note
- SMTPプロキシーを使用するにはフィーチャーライセンスAT-FL-04が必要です。
Note
- SMTPプロキシーは、外部からの不正行為(spamメール、不正中継)を防止するための機能です。内部から外部への通信に対しては機能しませんのでご注意ください。
SMTPプロキシーは、次のように動作します。
まず、自ドメインのメールサーバー(MX)として本製品自身をDNSに登録しておきます。また、実際のメールサーバーはファイアウォールの内側に設置しておきます。
- 前記のDNS設定により、自ドメインにメールを配送しようとする外部のメールサーバーは、本製品に対してSMTPのセッションを張ろうとする。

- SMTPセッションを受け付けた本製品は、内部メールサーバーとの間にもSMTPセッションを張る。

- 本製品は、ポリシーに反しない限りにおいて、内外メールサーバー間の通信を単純に中継する。外部のサーバーからは、本製品が相手のメールサーバーであるように見える。一方、内部のサーバーからも、本製品が相手のメールサーバーであるように見える。

- 外部メールサーバーから不正なSMTP要求があった場合は、SMTPのエラーを返して外部サーバーとのコネクションを切断する。また、内部サーバーとのコネクションは通常の手順で正常終了する。
たとえば、外部サーバーが内部サーバーを使って関係のないドメイン宛てのメールを送ろうとした場合(RCPT TO: で内部サーバー管轄のドメイン宛てでないアドレスを指定した場合)は、本製品が内部サーバーにコマンドを中継せずにセッションを切断する。

また、外部サーバーがspamリストに記載されているドメインやアドレスからのメールを送信しようとした場合(MAIL FROM: でspamリスト記載のアドレスやドメインを指定した場合)は、本製品が内部サーバーにコマンドを中継せずにセッションを切断する。

SMTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。
■ 最初に、SMTPプロキシーの基本機能であるメールリレー防止のみを使用する設定を紹介します。
- 内部メールサーバーが管轄するドメイン名を設定します。SMTPプロキシーは、指定したドメイン宛てでないメールは拒否します。
SET FIREWALL POLICY=net SMTPDOMAIN=birds.xx.jp ↓
- SMTPプロキシーを有効にします。INTには内部、GBLINTには外部のインターフェースを指定します。また、IPには内部メールサーバーのアドレスを、DIRECTIONにはプロキシーを有効にする方向を指定しますが、SMTPプロキシーではINしか指定できませんのでご注意ください。
ADD FIREWALL POLICY=net PROXY=SMTP INT=eth0 GBLINT=ppp0 IP=192.168.10.100 DIRECTION=IN ↓
Note
- SMTPプロキシーは、外部からの不正行為(spamメール、不正中継)を防止するための機能です。内部から外部への通信に対しては機能しません。DIRECTIONパラメーターには必ずINを指定してください。DIRECTIONパラメーターにIN以外を指定しても意図した動作になりませんのでご注意ください。
■ spamメール防止機能を使う場合は、最初にspamリストファイルを用意してください。これは、spam送信元のドメイン名かメールアドレスを1行に1個記述したテキストファイルです。拡張子は.spaとしてください。次に例を示します。
list.spa
gomi.mail.xxx
spammers.xxx
foo@honyarara.xxx
|
このspamリストは、ドメインgomi.mail.xxx、spammers.xxxからのメールすべてと、メールアドレスfoo@honyarara.xxxからのメールを受け取らないための設定になります。具体的には、外部メールサーバーがMAIL FROM: で上記のドメインを含むアドレス、または、上記のメールアドレスを指定してきた場合、SMTPプロキシーはSMTPのエラーコードを返してセッションを切断します。
spamリストを用意したら、次のコマンドで同ファイルが使われるように設定します。
ADD FIREWALL POLICY=net SPAMSOURCES=list.spa ↓
1つのファイアウォールポリシーに設定できるspamリストは最大5個です。
なお、spamリストの内容を変更するときは、DELETE FIREWALL POLICY SPAMSOURCESコマンドでリストファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、SMTPプロキシーの動作には反映されません。
あるいは、spamリストを編集したあとでルーターを再起動してもかまいません(ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください)。
■ SMTPプロキシーのイベント通知例
不正メールリレー
Manager >
Warning (277257): 22-Oct-2001 17:58:01
SMTP third party relay attack from 11.22.33.1 is underway.
|
spamメール
Manager >
Warning (277257): 22-Oct-2001 19:32:52
SMTP spam attack from 1.1.1.1 is underway.
|
HTTPプロキシーは、Webサーバー・クライアント(Webブラウザー)間のHTTP通信を仲介することにより、特定URLへのアクセスを禁止したり(URLフィルタリング)、サーバーからのCookie要求を拒否する(Cookieフィルタリング)機能です。
Note
- HTTPプロキシーを使用するにはフィーチャーライセンスAT-FL-05が必要です。
Note
- HTTPプロキシーによって監視できるのはHTTPプロトコルによるやりとりだけです。HTTPSやFTPなどには対応していません。
Note
- HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しませんのでご注意ください。
HTTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。
以下、基本的な設定手順を示します。ファイアウォールの基本設定まではすんでいるものと仮定します。
- 最初にDNSサーバーアドレスを設定します。HTTPプロキシーを使用するためには、DNSサーバーアドレスの設定が必須です。
ADD IP DNS PRIMARY=1.1.1.5 SECONDARY=1.1.1.6 ↓
- HTTPプロキシーを有効にします。INTERFACEにはPRIVATE側インターフェースを、GBLINTERFACEにはPUBLIC側インターフェースを指定します。DIRECTIONにはプロキシーを有効にする方向を指定しますが、HTTPプロキシーではOUTしか指定できませんのでご注意ください。
ADD FIREWALL POLICY=net PROXY=HTTP INT=eth0 GBLINT=ppp0 DIRECTION=OUT ↓
Note
- HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しません。DIRECTIONパラメーターには必ずOUTを指定してください。DIRECTIONパラメーターにOUT以外を指定しても意図した動作になりませんのでご注意ください。
Note
- HTTPプロキシーを利用するクライアント(Webブラウザー)には、HTTPプロキシーとして本製品のPRIVATE側インターフェースを指定してください。ポート番号は80番です。
- フィルターファイルを作成します。フィルターファイルは、拒否・許可するURLやURL内のキーワード、ドメイン名などを記述したテキストファイル(拡張子は.txt)です。EDITコマンドで作成するか、他のコンピューター上で作成したものをダウンロードしてください。
次にフィルターファイル urllist.txt の例を示します。「#」で始まる行はコメントです。
### keywordsセクション: 以下のキーワードを含むURLにはアクセス禁止
keywords:
money drug
*crack.html *.mp3
### URLsセクション: 以下のサーバー、ディレクトリーにはアクセス禁止
urls:
# サーバーのフルドメイン名
www.evil.xxx
www.pandora.xxx
# サーバー+ディレクトリー。指定ディレクトリー以下にはアクセス禁止
www.howto.xxx/crackyis
www.nandemo.xx.xx/users/a12345/eroero
# 拒否サイト(の一部)を例外的に許可したいときは allow オプションを使う。
www.drugstore.xxx: allow
www.pandora.xxx/flux/chaos/anguish/sorrow/hope: allow
# Cookieだけを拒否
www.hiscompany.xxx: nocookies
www.moneymanagement.xxx: allow nocookies
|
フィルターファイルは、keywordsセクションとurlsセクションの2つのセクションで構成されています。どちらか一方のセクションだけでもかまいません。キーワードやURLは、ドメイン、ディレクトリー、ファイルともに、大文字小文字を区別しません。
- 「keyword:」で始まるセクションには、アクセスを禁止したいキーワードを列挙します。キーワードは1行に1個ずつ書くか、スペースで区切って並べてください。例では、URL内(ドメイン、ディレクトリー、ファイルなど)に「money」「drug」という文字列が(部分的にでも)含まれる場合、該当URLへのアクセスを拒否します。
よって、次のURLへはアクセスできません。
- http://www.makemoney.xxx/
- http://www.underground.xx.xx/enjoy_drug.html
また、キーワードの先頭に「*」(アスタリスク)を付けると後方一致になります。例では、クライアントの指定するURLが「crack.html」「.mp3」で終わる場合、アクセスを拒否します。
Note
- アスタリスクはキーワードの先頭に指定したときだけ特殊な意味(後方一致)を持ちます。「adult*」や「find*software」のような指定をした場合は、単なる文字(アスタリスク自身)として扱われます。
Note
- keywordsセクションはurlsセクションでマッチするものがなかった場合に(最後に)評価されます。
- 「urls:」で始まるセクションには、アクセスを禁止したいURL(サーバーのフルドメイン名やディレクトリー)を列挙します。URLは必ず一行に一個ずつ記述してください。例では「www.evil.xxx」「www.pandora.xxx」というドメイン名を持つサーバーへのアクセスを禁止しています。
また、ドメイン名のあとにディレクトリーを指定することもできます。指定したディレクトリー以下のファイルにはアクセスできません。
例では以下のURLにはアクセスできません。
- http://www.howto.xxx/crackyis/
- http://www.howto.xxx/crackyis/firststep.html
- http://www.nandemo.xx.xx/users/a12345/eroero/xxxxxxx.jpg
Note
- ディレクトリーは完全一致で指定する必要があります。例では「http://www.howto.xxx/crackyis5/readme.htm」へのアクセスは許可されます。
Note
- urlsセクションはkeywordsセクションよりも前に評価されます。また、複数のエントリーに一致する場合、より具体的なエントリーが採用されます。
keywords、urlsのどちらかのセクションで禁止したサイトに例外を設けたい場合は、URLの後ろにオプションを指定することができます。オプションには「allow」と「nocookies」の2種類があります。URLとオプションの間はコロン+スペース(: )で区切ります。両方のオプションを指定したい場合はオプションとオプションをスペースで区切ります。
- 「allow」オプションは、指定したURLへのアクセスを例外的に許可する指定です。例では、禁止キーワードの「drug」を含む「www.drugstore.xxx」を例外的に許可しています。また、禁止ドメインである「www.pandora.xxx」についても、「/flux/chaos/anguish/sorrow/hope」ディレクトリー以下に限ってアクセスを許可しています。allowオプションはもっとも効力が強く、マッチしたURLは必ずアクセスが許可されます。
- 「nocookies」オプションは、指定したサーバーからのcookie設定要求だけを拒否する指定です。同サーバーへのアクセスは(urls、keywordsセクションで拒否されていない限り)許可します。例では「www.hiscompany.xxx」からのcookie設定要求を拒否します。「allow」と「nocookies」は併用することも可能です。例では、禁止キーワードの「money」を含む「www.moneymanagement.xxx」へのアクセスを例外的に許可した上で、同サーバーからのcookieを拒否しています。
- フィルターファイルを用意したら、ADD FIREWALL POLICY HTTPFILTERコマンドでファイル名を指定します。
ADD FIREWALL POLICY=net HTTPFILTER=urllist.txt DIRECTION=OUT ↓
Note
- 1つのファイアウォールポリシーに設定できるフィルターファイルは最大5個です。
Note
- フィルターファイルの内容を変更するときは、DELETE FIREWALL POLICY HTTPFILTERコマンドでファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、HTTPプロキシーの動作には反映されません。
Note
- HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を代行する機能です。外部から内部へのHTTP通信に対しては機能しません。DIRECTIONパラメーターには必ずOUTを指定してください。DIRECTIONパラメーターにOUT以外を指定しても意図した動作になりませんのでご注意ください。
■ フィルターファイルの適用をとりやめるには、DELETE FIREWALL POLICY HTTPFILTERコマンドを使います。
DELETE FIREWALL POLICY=net HTTPFILTER=urllist.txt DIRECTION=OUT ↓
■ フィルターファイルを変更するときは、DELETE FIREWALL POLICY HTTPFILTERコマンドでファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、HTTPプロキシーの動作には反映されません。
DELETE FIREWALL POLICY=net HTTPFILTER=urllist.txt DIRECTION=OUT ↓
EDIT urllist.txt ↓
ADD FIREWALL POLICY=net HTTPFILTER=urllist.txt DIRECTION=OUT ↓
あるいは、フィルターを編集したあとでルーターを再起動してもかまいません(ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください)。
■ すべてのCookie要求を拒否するには、DISABLE FIREWALL POLICY HTTPCOOKIESコマンドを使います。デフォルトでは、フィルターファイルで「nocookies」を指定したサーバー以外からのCookie要求はすべてプロキシーを通過します。
DISABLE FIREWALL POLICY=net HTTPCOOKIES ↓
■ HTTPプロキシーのイベント通知例
キーワードによるフィルタリング
Warning (2077257): 03-Sep-2003 01:10:26 Url deny on keyword
HTTP://WWW.EXAMPLE.COM/PRIVATE/QUICKMONEY.HTML from 192.168.10.130.
|
URLによるフィルタリング
Warning (2077257): 03-Sep-2003 01:19:25 Blocked URL
HTTP://WWW.EVIL.XXX/ requested by 192.168.10.130.
|
Copyright (C) 1997-2003 アライドテレシス株式会社
PN: J613-M0274-00 Rev.J