ルーターでファイアウォールの設定

Question

YAMAHAのRTX1000でファイアウォールの設定をしているのですが、
よくわからない部分があるので教えてください。

現在の状況は、テスト環境で、例えていうと

(1)192.168.0.0／24
(2)192.168.1.0／24
(3)172.16.0.0／12

の３つのネットワークがあり、

(1)⇔ルーターA⇔(3)⇔ルーターB⇔(2)
のようにしてあります。
このルーターの双方に、なりすましの進入を防ぐ設定として
10.0.0.0／8と192.168.0.0／16から来るデータと、
10.0.0.0／8と192.168.0.0／16へ行くデータを　遮断する設定をしました。

と、全てのデータが遮断されてしまうのです。
組み合わせではなく、このうち１つでも設定をすると繋がらなくなってしまう
のですが、どうしてなのでしょうか・・？

初歩的な質問かもしれませんが、どうぞご教授ください。
よろしくおねがいします。

hirasaku · Accepted Answer

こんにちは。hirasakuです。
そうだったんですか。TESTだったんですね。
それでしたら、ルーターAでこんな感じでしょうか。

ip route default gateway ルーターBのLAN2アドレス
ip lan1 address 192.168.0.1/24
ip lan2 address 172.16.0.1/16
ip lan2 secure filter in 10 11 12
ip lan2 nat descriptor 1
ip filter 10 reject 192.168.0.0/24 * * * *
ip filter 11 pass * 192.168.0.0/24 icmp * *
ip filter 12 pass * 192.168.0.0/24 established * *
nat descriptor type 1 masquerade
nat descriptor address outer 1 172.16.0.1
nat descriptor address inner 1 192.168.0.1-192.168.0.254

10のフィルターでなりすまし防止
11のフィルターはPINGなどを通す
12のフィルターはLAN1内からTCPセッションを張りに行ったやつの帰りを通す。

この場合、外（LAN2）からのを防ぐのでLAN2にフィルターをかけます。
LAN1に対してはフィルターをかけてないのでin out すべて通します。

ルーターBはアドレスを変えるだけでいいと思いますよ。

接続形態にもよりますけど、PPPoEを使うならPPPoEの設定をして pp インターフェースにフィルターをかけます。
実際には
ip filter source-route on
ip filter directed-broadcast on
や、ident、ftp、dnsを通すフィルターなど用途に合わせて通すようにします。
では。

hirasaku · Answer

こんにちは。hirasakuです。
割り込んじゃって申し訳ないですが、
これって、RTX1000をローカルルーターとして使うんですよね。
この場合、１台で事足りてしまうような・・・　LANインターフェース３つ持ってますから。
まぁ、それはさておき、
ip spoofingのフィルタはWAN側からのなりすましに対してなのでローカルルーターとして使うのならいらない気がしますけど。
ローカルなんだからなりすましもないと思いますけどね。
しかしながら、どうしてもというのであれば、
10.0.0.0/8 はプライベートAクラスのなりすましに対して
172.16.0.0/12 はプライベートBクラスに対して
192.168.0.0/16 はプライベートCクラスに対して
YAMAHAさんはユーザーがどのクラスのプライベートを使うのかわからないため、すべてのクラスのなりすましに対してフィルターをかけてます。
それが設定例集の載ってるんだと思いますよ。

すべてのパケットが通らないのは、ip インターフェイス secuer finter のコマンドを有効にした場合、暗黙のすべて reject が入ります。
なので、フィルターの最後にすべて通す
ip filter 番号 pass * * * * *
をインターフェースのフィルターに定義します。
in と out を混ぜてフィルターをかけるとこんがらがるので、この場合、インターフェースの対して in のフィルターで、外に出さない reject を使って統一したほうがわかりやすいと思いますよ。
では。

root139 · Answer

まず、10.0.0.0/8 ですが、これはクラスＡのプライベート用のIPアドレスですね。おそらく、参照されている本のサンプルのネットワークがクラスＡのプライベートアドレスを使っているからかと。
したがって、今回の件に関しては設定する必要は無いと思います。影響も無いですが。
ですので、以下の説明では、10.0.0.0/8に関する部分を省きました。

> ip filter 2 reject 192.168.0.0/16 * * * *
> ip filter 4 reject * 192.168.0.0/16 * * * 
>
> ip lan2 secure filter in 2
> ip lan2 secure filter out 4

フィルタリングの方向ですが、RTシリーズでは、たしか、下記の様になっていたと思いますので、この様な前提でお話させていただきます。
(lan2側から見るとinとoutが逆転しているのでよく間違えてしまいます。(^^;)

in : lan2からルータへ入ってくるパケット
out: ルータからlan2へ出て行くパケット

上記の設定では↓の様な状態になっていると思います。
◆ lan2 → 他のネットワーク
　　送信元が192.168.～.～のパケットが破棄される。
◆ 他のネットワーク → lan2
　　送信先が192.168.～.～のパケットが破棄される。

以上のことから、もし、lan2が192.168.～.～のネットワークであれば通信が出来なくなります。

成りすましは、該当ネットワークへ外部から送られてくるパケットの送信元が、該当ネットワーク内のアドレスになっていますので、この様なパケットを破棄すれば良いことになります。

例) lan2が192.168.1.0/24の場合 ---------------------
ip filter 1 reject 192.168.1.0/24 * * * *

ip lan2 secure filter out 1 ・・・・
----------------------------------------------------


下記のページにRTシリーズの成りすましに対処するフィルタの説明が有ります。
http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/ip-spoofing-filter.html

参考URLは、フィルタリング全般の説明です。

参考URL：http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/ip-packet-filter.html

root139 · Answer

フィルタリングの方向の設定なども教えて頂けますでしょうか？

例えば、ルータＡに192.168.0.0/16から来るパケットを両方向とも破棄する設定をすると、(1)からのパケットはレスポンスも含めて全て遮断されるので、通信ができない状態になりますよね。おそらく、(3)→(1)の方向のみに設定されているのだと思います。

RTX1000でしたら、下記の様なコマンドで設定されていると思いますが、該当する部分のコマンドを書いていただいても良いです。

ip filter 1 reject 192.168.0.0/16 * * * *
ip filter 2 reject 172.16.0.0／12 * * * *
pp select 1
  ip pp secure filter in 1 ・・・
  ip pp secure filter out 2 ・・・


また、10.0.0.0/8 に該当するネットワークは見当たりませんが、これをフィルタリングするのはなぜでしょうか？

参考URL：http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/network-security-filter.html

ルーターでファイアウォールの設定

こんにちは。

こんにちは。

まず、10.0.0.0/8 ですが、これはクラスＡのプライベート用のIPアドレスですね。

フィルタリングの方向の設定なども教えて頂けますでしょうか？

この回答への補足

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング