同一セグメントでポートのフィルタリング

締切済

質問者：kenta28
質問日時：2005/03/31 18:40
回答数：2件

社内を192.168.0.0/24のネットワークで構成しています。

サーバのセキュリティの関係から、同一セグメント上でポートフィルタリングを掛けたいのですが、同一セグメントで可能でしょうか。

192.168.0.0/24
　｜
フィルタリング（レイヤースイッチ？）
　｜
192.168.0.0/24

よろしくおねがいします　

通報する

この質問への回答は締め切られました。

質問の本文を隠す

回答 (2件)

最新から表示
回答順に表示

No.2

回答者： kuma-ku
回答日時：2005/03/31 21:15

こんばんは

基本的に、入出力のPort 単位でIP フィルタリング可能なものを探す必要があります。

http://www.allied-telesis.co.jp/products/list/sw …
http://www.allied-telesis.co.jp/products/list/sw …

同一サブネット内の場合、通常スイッチング処理されてしまいます。
それを、IP ヘッダまで確認できるL3スイッチが必要です。
----------
■ ハードウェアIPフィルターは、ルーティングされない同一IPネットワーク内のトラフィックに対しても有効です。そのため、「192.168.10.0/24から他ネットワークへのTCPコネクション確立要求を拒否」するつもりで次のような設定を行うと、192.168.10.0/24内でもTCPの通信ができなくなってしまいます。

ADD SWITCH L3FILTER MATCH=SIPADDR,PROTOCOL,TCPSYN,TCPACK SCLASS=C ↓
ADD SWITCH L3FILTER=1 ENTRY SIPADDR=192.168.10.0 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY ↓

通常、ネットワーククラス単位でフィルターを設定するとき（SCLASS、DCLASSにA, B, Cまたは1～32のマスク長を指定したとき）は、前の例のように送信元（SIPADDR）と宛先（DIPADDR）の両方を指定してください。

参考URL：http://www.allied-telesis.co.jp/support/list/swi …

- 0
- 件

通報する

No.1

回答者： suzui
回答日時：2005/03/31 20:48

(機種によって)できます。

たとえばCisco Catalyst3550など。
フィルタリング要件の複雑さによって、
上位機種である6500などが適切な場合もあります。

参考URLは3550のマニュアルの該当部分です。

参考URL：http://www.cisco.com/japanese/warp/public/3/jp/s …