ファイアウォールの機能には、
静的フィルター、動的フィルター、
不正アクセス検知の機能が含まれます。
静的フィルターは、
固定の判定条件(フィルタールール)に則ってIPパケットを1つずつ判定し、
IPパケットの通過と破棄を決定します。
動的フィルターはIPパケットの流れをセッション単位で制御します。
セッションの発生に応じてフィルタールールを動的に生成し、
IPパケットの通過と破棄を決定します。
不正アクセス検知は不正なIPパケットがルーターを通過するときに、
警告を出し、IPパケットを破棄します。
ファイアウォールの機能は、
IPパケットがインターフェースを通過するときに働きます。
任意のインターフェースにファイアウォールの機能を設定できますが、
通常のインターネットアクセスの用途では、
主にWAN側のインターフェースに設定します。
また、
ファイアウォールの設定ではインターフェースの方向を意識する必要があります。
インターフェースに対して、
ルータの内から外へ向かう方向を[出](out)といい、
ルータの外から内へ向かう方向を[入](in)といいます。
ファイアウォールの設定は[出]と[入]のそれぞれの方向に登録できますが、
一般的なインターネットアクセスの場合、動的フィルターを[出]に設定し、
不正アクセス検知を[入]に設定します。静的フィルターについては、
多くのケースで双方に設定します。
従来のCUI(コンソールの設定)では、フィルタールールを定義してから、
そのフィルタールールをインターフェースに適用するという手順を踏みます。
しかし、Web Assistanceでは、定義と適用を1つの画面に統合し、
設定の視認性を高めています。
フィルタールールの設定項目は以下の通りです。
静的フィルター
- 番号
... 静的フィルターの番号を指定します。
- ルール
... IPパケットに対する処理を選択します。
- プロトコル
... フィルタリングするIPパケットのプロトコルを指定します。
- 送信元IPアドレス
... フィルタリングする送信元IPアドレスを指定します。
単一のIPアドレスだけではなく、ネットワークを指定できます。
- 送信元ポート番号
... フィルタリングする送信元ポート番号を指定します。
複数のポート番号を指定できます。
- 受信先IPアドレス
... フィルタリングする受信先IPアドレスを指定します。
単一のIPアドレスだけではなく、ネットワークを指定できます。
- 受信先ポート番号
... フィルタリングする受信先ポート番号を指定します。
複数のポート番号を指定できます。
動的フィルター
- 番号
... 動的フィルターの番号を指定します。
- プロトコル
... 動的フィルターが作動する対象のプロトコル（アプリケーション）
の種類を指定します。
動的フィルターが作動する条件としては
プロトコルか監視(フィルター)を選びます。
- 監視
... 動的フィルターが作動するトリガーとなるコネクションを設定します。
あらかじめコネクションを表現する静的フィルターを定義しておき、
このフィールドでその静的フィルターの番号を指定します。
- 逆方向
... 動的フィルターのコネクションの向きとは逆方向のコネクションを
設定します。
あらかじめコネクションを表現する静的フィルターを定義しておき、
このフィールドでその静的フィルターの番号を指定します。
- 順方向
... 動的フィルターのコネクションの向きと同じ方向のコネクションを
設定します。
あらかじめコネクションを表現する静的フィルターを定義しておき、
このフィールドでその静的フィルターの番号を指定します。
- 送信元IPアドレス
... 動的フィルターを動作させる対象の送信元IPアドレスを指定します。
単一のIPアドレスだけでなく、ネットワークも指定できます。
- 受信先IPアドレス
... 動的フィルターを動作させる対象の受信先IPアドレスを指定します。
単一のIPアドレスだけでなく、ネットワークも指定できます。
- ログ
... 動的フィルターの履歴をログに出力するかどうかを決定します。
- タイムアウト
... 動的フィルターに対応するコネクションにデータが流れなくなってから
コネクションを解放するまでの時間を設定します。
設定しない場合は60秒となります。
不正アクセス検知
- 有効にする
... 不正アクセス検知の動作についての設定で、
"有効にする"にチェックを入れると不正アクセス検知が作動するようになります。
- 不正アクセスを検知したときに破棄する
... チェックを入れると不正と判定したIPパケットを破棄します。
▲ 先頭に戻る
2.1. インターフェースの選択
左のメニューから"ファイアウォール"を選択すると、
インターフェースの一覧を表示しますので、
設定したいインターフェースの"設定"ボタンを押してください。
ボタンを押すと、
そのインターフェースに設定されているフィルターの一覧、
および不正アクセス検知の設定を表示します。
2.2. フィルターの挿入
新規にフィルターを設定したい場合は、
フィルター一覧の画面で、
静的フィルター・動的フィルターの"挿入"ボタンを押してください。
"挿入"ボタンを押すとフィルター設定画面が表示されます。
設定したフィルターの内容を入力して設定を行ってください。
また、既存のフィルターを使用したいときには、
各フィルターの"参照"ボタンを押して、
フィルター一覧から使用したいフィルターを選択してください。
静的フィルターに関しては、
フィルター一覧の画面で、使用頻度の高いテンプレートを選択できます。
2.3. フィルターの修正
既存のフィルターを修正する場合は"修正"ボタンを押します。
フィルターの内容を修正する画面が表示されますので、
修正したい内容を入力してください。
なお、フィルターの番号を別の番号に書き換えると、
フィルターの内容を別のフィルターに置き換えることができます。
2.4. フィルターの削除
設定したフィルターを削除する場合には、
フィルター一覧画面で、
削除したいフィルターの行頭のチェックボックスにチェックを入れて、
"削除"ボタンを押してください。
フィルターの削除を確認する画面が表示されますので、
再び"削除"ボタンを押してください。
2.5. フィルターの置換
静的フィルターのみ、
設定したフィルターの内容を一括で置換することができます。
削除のときと同じようにフィルター一覧画面を開き、
置換したいフィルターの行頭にあるチェックボックスにチェックを入れます。
そして、
置換対象の項目を選択、置換元・置換先を指定して"置換"ボタンを押してください。
フィルターの置換を確認する画面が表示されますので、
再び"置換"ボタンを押してください。
2.6. 不正アクセス検知の設定
フィルター一覧画面で、各項目の設定を行い"設定"ボタンを押してください。
設定内容の確認画面が表示されるので、"登録"ボタンを押してください。
▲ 先頭に戻る
3.1. IPアドレス
IPアドレスの指定方法として、範囲指定、
複数指定、ネットワーク指定の方法があります。
範囲指定は、
172.16.0.1-172.16.0.14のように2つのIPアドレスをハイフンでつないで記述します。
複数指定は、
172.16.0.1,172.16.0.2のように各IPアドレスをカンマで区切って記述します。
ネットワーク指定は、
172.16.0.0/16のようにネットワークアドレスとマスク長で記述します。
また、すべてのIPアドレスを表すには*(アスタリスク)を使用します。
これらの指定方法を混在して使用することができます。
3.2. ポート番号
複数のポート番号を書くときには、「,」でポート番号を区切ります。
また、ハイフンを使うとポート番号の範囲を表現することができます。
例えば次のような表記が可能です。
3.3. プロトコル
静的フィルターのプロトコルは、ドロップダウンリストで選択するか、
ドロップダウンリストで手動入力を選択してから
プロトコルを入力する方法があります。
手動入力では「www」「telnet」のようなニーモニックか、
プロトコル番号を入力します。
手動入力の場合に限り、複数のプロトコルを指定することができます。
複数の番号を指定する時は、「,」で区切って記述します。
また、プロトコル番号のかわりにニーモニックを書くこともできます。
3.4. フィルター
動的フィルターでは、プロトコルを指定する方法と、
独自にフィルタールールを設定する方法があります。
前者では、ルール項目への入力は必要ありませんが、プロトコルとして"ルール"
を選択した場合は、各方向に適用する静的フィルターの番号を入力します。
また、1つの入力フィールドに複数のフィルター番号を入力するためには、
フィルターの番号を空白で区切って入力してください。
▲ 先頭に戻る
4.1. フィルターセット
静的フィルターの設定でフィルターセットを使用できます。
しかし、Web Assistanceではサポートしていません。
また、フィルターセットを使用した設定では、
Web Assistanceが正しく動作しない可能性があります。
4.2. サポートしないコマンド
使用頻度の少ないコマンドはサポートしていません。
サポートしていないコマンドは次の通りです。これらのコマンドを設定するときには、
CUI(コンソールの設定)を利用してください。
- ip filter dynamic timer
- ip filter soruce-route
- ip filter directed-broadcast
▲ 先頭に戻る
| 