[index] CentreCOM AR550S コマンドリファレンス 2.9

ファイアウォール/アプリケーションゲートウェイ

  - SMTPプロキシー
   - 基本設定
  - HTTPプロキシー
   - 基本設定
   - URLフィルターファイル
    - チェックの方法
    - 書式
     - keywordsセクション
     - urlsセクション

本製品のファイアウォールには、ステートフルインスペクションによる動的なパケットフィルタリングに加え、アプリケーションゲートウェイの機能があります。

アプリケーションゲートウェイは、本製品がサーバー・クライアント（または別のサーバー）間の通信を仲介し、アプリケーション層で通信の制御を行う機能です（ステートフルインスペクションはおもにネットワーク層/トランスポート層での制御）。現時点では、アプリケーションプロトコルとして、電子メール配信用のSMTP（Simple Mail Transfer Protocol）とWWW用のHTTP（Hyper Text Transfer Protocol）に対応しています。

ここでは、アプリケーションゲートウェイの基本的な使用方法について解説します。

Note - 本機能はオプションであるため、ご使用にはフィーチャー（追加機能）ライセンスのご購入が必要です。

 

SMTPプロキシー

SMTPプロキシーは、メール（SMTP）エージェント間の通信を本製品が仲介することで、メールの不正中継や、spamメールなどを防止する機能です。
Note - SMTPプロキシーを使用するにはフィーチャーライセンスAT-FL-04またはAT-FL-04-Bが必要です。

SMTPプロキシーは、外側から内側に向けたSMTP通信（外部から自ドメインへのメール配送）と、内側から外側に向けたSMTP通信（内部から他ドメインへのメール配送）の両方に対して機能させることができます。

Note - 1つのファイアウォールポリシーにおいては、外向き、内向きのどちらか一方のみ使用可能です。

SMTPプロキシーを外向きに設定した場合、本製品は内側（LAN側）インターフェースでSMTPサーバーのように振る舞います。この場合、内側（自ドメイン）からのSMTP要求を受け付け、自らDNSを検索して適切な外部SMTPサーバーにメールを転送します。このとき、SMTPの通信内容を検査することにより、内部から外部への不正行為(spamメール、不正中継など)を防止することができます。

SMTPプロキシーを内向きに設定した場合、本製品は外側（WAN側）インターフェースでSMTPサーバーのように振る舞います。この場合、外部（他ドメイン）からのSMTP要求を受け付け、IPパラメーターで指定された内部の（本当の）SMTPサーバーにメールを転送します。このとき、SMTPの通信内容を検査することにより、外部から内部への不正行為(spamメール、不正中継など)を防止することができます。

 

基本設定

SMTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。

Note - 1つのファイアウォールポリシーにおいては、外向き、内向きのどちらか一方のみ使用可能です。

■ 内向きSMTPプロキシーの基本設定は以下のとおりです。

  1. 自ドメイン名を設定します。内向きSMTPプロキシーは、自ドメイン宛てでないメールを拒否します。


  2. SMTPプロキシーを有効にします。INTには内部、GBLINTには外部のインターフェースを指定します。また、IPには内部メールサーバーのアドレスを、DIRECTIONにはプロキシーを有効にする方向（ここではIN）を指定します。


■ 外向きSMTPプロキシーの基本設定は以下のとおりです。

  1. 最初にDNSサーバーアドレスを設定します。外向きのSMTPプロキシーを使用するためには、DNSサーバーアドレスの設定が必須です。


  2. 自ドメイン名を設定します。外向きSMTPプロキシーは、自ドメイン発でないメールを拒否します。


  3. SMTPプロキシーを有効にします。INTには内部、GBLINTには外部のインターフェースを指定します。また、DIRECTIONにはプロキシーを有効にする方向（ここではOUT）を指定します。DIRECTION=OUTのときは、IPパラメーターは不要です。


■ spamメール防止機能を使う場合は、最初にspamリストファイルを用意してください。これは、spam送信元のドメイン名かメールアドレスを1行に1個記述したテキストファイルです。拡張子は.spaとしてください。次に例を示します。

list.spa

このspamリストは、ドメインgomi.mail.xxx、spammers.xxxからのメールすべてと、メールアドレスfoo@honyarara.xxxからのメールを受け取らないための設定になります。具体的には、MAIL FROM: で上記のドメインを含むアドレス、または、上記のメールアドレスを指定してきた場合、SMTPプロキシーはSMTPのエラーコードを返してセッションを切断します。

spamリストを用意したら、次のコマンドで同ファイルが使われるように設定します。


1つのファイアウォールポリシーに設定できるspamリストは最大5個です。

なお、spamリストの内容を変更するときは、DELETE FIREWALL POLICY SPAMSOURCESコマンドでリストファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、SMTPプロキシーの動作には反映されません。

あるいは、spamリストを編集したあとでルーターを再起動してもかまいません（ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください）。

■ SMTPプロキシーのイベント通知例

不正メールリレー

spamメール

 

HTTPプロキシー

HTTPプロキシーは、Webサーバー・クライアント（Webブラウザー）間のHTTP通信を仲介することにより、特定URLへのアクセスを禁止したり（URLフィルタリング）、サーバーからのCookie要求を拒否したりする（Cookieフィルタリング）機能です。

Note - 対応しているプロトコルはHTTP（http:）のみです。HTTPSやFTPなどには対応していません。また、HTTPであっても、標準でないポート（80番以外のポート）への通信には対応していません。

Note - HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を仲介・監視する機能です。外部から内部へのHTTP通信に対しては機能しませんのでご注意ください。

Note - HTTPプロキシーを利用するクライアント（Webブラウザー）には、「HTTPプロキシー」として本製品のPRIVATE側インターフェースを指定してください。ポート番号は80番です。

Note - HTTPプロキシーを使用するにはフィーチャーライセンスAT-FL-05またはAT-FL-05-Bが必要です。
Note - ダイナミックインターフェースとHTTPプロキシー機能は併用できません。

 

基本設定

HTTPプロキシーは、通常のファイアウォールと併用する形で使用します。最初にファイアウォールの基本設定までをすませておいてください。

以下、基本的な設定手順を示します。ファイアウォールの基本設定まではすんでいるものと仮定します。

  1. 最初にDNSサーバーアドレスを設定します。HTTPプロキシーを使用するためには、DNSサーバーアドレスの設定が必須です。


  2. HTTPプロキシーを有効にします。INTERFACEにはPRIVATE側インターフェースを、GBLINTERFACEにはPUBLIC側インターフェースを指定します。DIRECTIONにはプロキシーを有効にする方向を指定しますが、HTTPプロキシーではOUTしか指定できませんのでご注意ください。


    Note - HTTPプロキシーは、内部のクライアントから外部のHTTPサーバーへの通信を仲介・監視する機能です。外部から内部へのHTTP通信に対しては機能しません。DIRECTIONパラメーターには必ずOUTを指定してください。DIRECTIONパラメーターにOUT以外を指定しても意図した動作になりませんのでご注意ください。

  3. URLフィルターファイルを作成します。URLフィルターファイルは、拒否・許可するURLやURL内のキーワード、ドメイン名などを記述したテキストファイル（拡張子は.txt）です。EDITコマンドで作成するか、他のコンピューター上で作成したものをダウンロードしてください。

    Note - URLフィルターファイルの書式については、次節「URLフィルターファイル」をご覧ください。

  4. URLフィルターファイルを用意したら、ADD FIREWALL POLICY HTTPFILTERコマンドでファイル名を指定します。


    Note - 1つのファイアウォールポリシーに設定できるURLフィルターファイルは最大5個です。

■ URLフィルターファイルの適用をとりやめるには、DELETE FIREWALL POLICY HTTPFILTERコマンドを使います。


■ URLフィルターファイルを変更するときは、DELETE FIREWALL POLICY HTTPFILTERコマンドでファイルをいったん削除してから編集し、編集が終わったら再度追加してください。単にファイルを編集するだけでは、HTTPプロキシーの動作には反映されません。


あるいは、URLフィルターファイルを編集したあとでルーターを再起動してもかまいません（ただし、回線接続中にいきなり再起動すると再接続に支障をきたす場合がありますのでご注意ください。たとえば、PPPoEでISPに接続している場合は、DISABLE PPPコマンドを実行して接続を切ってから再起動してください）。

■ すべてのCookie要求を拒否するには、DISABLE FIREWALL POLICY HTTPCOOKIESコマンドを使います。デフォルトでは、URLフィルターファイルで「nocookies」を指定したサーバー以外からのCookie要求はすべてプロキシーを通過します。


■ HTTPプロキシーのイベント通知例

キーワードによるフィルタリング

URLによるフィルタリング

 

URLフィルターファイル

URLフィルターファイルは、拒否・許可するURLやURL内のキーワード、ドメイン名などを記述したテキストファイル（拡張子は.txt）です。

 

チェックの方法

■ URLフィルタリングのチェック対象は「HTTPリクエスト内のURL文字列」です。

たとえば、HTTPプロキシーがクライアントから次のようなリクエストを受信した場合、


この中の「http://www.example.com/」という文字列と、URLフィルターファイルに記述された文字列が比較されます。

■ チェックは常に文字列の比較として行われることに注意してください。たとえば、「192.168.10.1」と「www.example.com」が同じサーバーをさしているとします。ここで、次のようなリクエストを受信した場合、


「http://192.168.10.1/」という文字列と、URLフィルターファイル内の文字列が比較されます。URL中のドメイン名とIPアドレスが自動的に変換されるわけではありません。

したがって、このリクエストを拒否するには、URLフィルターファイル内に「192.168.10.1」と書く必要があります。URLフィルターファイルに「www.example.com」と書いても、（「192.168.10.1」と「www.example.com」は同じサーバーをさしていますが）このリクエストを拒否することはできませんのでご注意ください。

あるサーバーが複数のドメイン名、IPアドレスを持っている場合、このサーバーへのアクセスを完全に制御するには、すべてのドメイン名、IPアドレスをURLフィルターファイルに記述してください。

以下、単に「URL」といった場合は、「HTTPリクエスト中のURL文字列」を示すものとします。

 

書式

次にURLフィルターファイル urllist.txt の例を示します。「#」で始まる行はコメントです。



Note - キーワードやURLは、大文字小文字を区別しません。

以下、各セクションの記述内容について説明します。

 
keywordsセクション
「keyword:」で始まるセクションには、「禁止キーワード」を列挙します。

キーワードは1行に1個ずつ書くか、スペースで区切って並べてください。大文字小文字は区別しません。

■ URL に禁止キーワードが含まれている場合、該当 URL へのアクセスは原則として禁止されます。

前記の例では、URL内（サーバー名、ディレクトリー名、ファイル名など）に「money」「drug」という文字列が（部分的にでも）含まれる場合、該当URLへのアクセスが拒否されます。よって、次のURLへはアクセスできません。


■ 禁止キーワードの先頭に「*」（アスタリスク）を付けた場合は、後方一致の指定となります。

前記の例では、クライアントの指定するURL 末尾が「crack.html」「.mp3」のときにアクセスを拒否します。URL 末尾が「crack.html-1」「.mp3.gz」の場合はマッチしません。

Note - アスタリスクはキーワードの先頭に指定したときだけ特殊な意味（後方一致）を持ちます。「adult*」や「find*software」のような指定をした場合は、単なる文字（アスタリスク自身）として扱われます。

Note - URL「http://www.example.com」へのアクセスをキーワードで禁止するとき、「*.com」と書いても機能しないことがあります。このような場合は「*.com/」と書いてください。Webブラウザーの多くは、ホスト名で終わるURLを指定された場合、末尾に「/」（ルートディレクトリー）を自動的に付加します。

■ 禁止キーワードを含む URL であっても、urls セクション（後述）で allow されているドメインは例外的に許可されます。

 
urlsセクション
「urls:」で始まるセクションには、アクセスを禁止・許可したいサーバー（ドメイン名またはIPアドレス）を列挙します。オプションで、サーバー上のディレクトリーを指定することも可能です。

サーバーは必ず1行に1個ずつ書いてください。大文字小文字は区別しません。

■ urlsセクションのエントリー記述例を示します。基本パターンは次の 2 つです。


■ keywords、urls 両セクションの禁止エントリーに例外を設けたい場合は、urlsセクションのエントリーに「オプション」を追加指定します。

オプションには「allow」と「nocookies」の2種類があります。「サーバー名」、「サーバー名＋ディレクトリー名」とオプションの間は半角のスペース＋コロン＋スペース（ : ）で区切ります。両方のオプションを指定したい場合はオプションとオプションをスペースで区切ります。


■ デフォルトですべてのアクセスを拒否し、指定したURLだけ許可するよう設定することもできます。以下の例のように、keywordsセクションに「*」を指定したあと、urlsセクションに許可するURLとallowオプションを指定します。






(C) 2005-2014 アライドテレシスホールディングス株式会社

PN: J613-M0710-03 Rev.K