@network Cisco・アライド実機で学ぶ > YAHAMAルータ実機で学ぶ > 静的フィルタリング(TCPヘッダの指定)

 Amazon
@network Cisco・アライド実機で学ぶ
◆静的フィルタリング(TCPヘッダの指定)

※動作確認は、YAMAHA RTX1000ルータで確認しています。コマンド、出力結果、動作は、機種、ファームウェアのバージョンで異なる場合があります。
 資格取得が就職、転職、派遣に有利なのは確かですが、「資格=即戦力」とは言えません。実機を操作して資格取得と同時に就職・転職・派遣後に求められるエンジニア(仕事・ジョブ・ワークの達人)としての即戦力を養いましょう。



◆静的フィルタリング(TCPヘッダの指定)

 静的フィルタリングでは、通過させたい通信のために、常に、行きと戻りのパケットを通過させる穴が開けた状態になります。そのため、そこから、クラッカーやウイルスなどから侵入されるリスクが残ってしまいます。


 例えば、Webの通信を通すために戻りのパケットのために、送信元のTCPの80番のポート番号を通すように穴をあけていた場合、クラッカーが送信元ポートを偽装して、不正なパケットを送りつけてくると、ファイアウォールは正規のパケットとして通過させてしまいます。

 このような不正パケットを遮断するために、ファイアウォールにTCPヘッダ内の情報を見るように、もう少し、細かな条件を加えることができます。


◆TCPにおける通信

 ファイアウォールにおけるTCPヘッダの指定方法について説明する前に、まず、TCPにおける通信を理解しておきましょう。

TCPの通信において、スリーウェイハンドシェイクという手順で、接続を確立します。

 このハンドシェイクで、初期シーケンス番号を交換することで、2つのホストが、それぞれの初期シーケンス番号を同期させています。

同期は、SYN(同期制御ビット)と初期シーケンス番号で構成されるパケットを交換することで行われます。

その手順は、次のように行われます。

手順 内容
手順1 送信元が相手に対して、「SYNパケット」を送信する。
手順2 SYN パケットを受け取った相手は、送信元に接続を許可する「SYN,ACKパケット」を送信する。
手順3 SYN ACK パケットを受けとった送信元は、接続開始をあらわす ACK パケットを送信し、受信側との通信を開始する。

スリーウェイハンドシェイクの様子を図で表すと次のようになります。


このように、スリーウェイハンドシェイクでは、3つのパケットを往復させることで、コネクションを確立します。

 上図では、3つのパケットのやり取りしか、表していませんが、この後に続くパケットには、全てACK(アック)のフラグがオンになったパケットを送信します。

 つまり、TCPの通信では、送信側がSYN(シン)のフラグをオンにしたパケットを受信側に送信し、それ以降に続くパケットには、全て確認応答であるACK(アック)のフラグをオンにしたパケットを送ることとなります。


◆ファイアウォールにおけるコードビットのチェック

TCPヘッダは、次のように構成されています。

0 15 16 31
送信元ポート番号(16ビット) 宛先ポート番号(16ビット)
シーケンス番号(32ビット)
確認応答番号(32ビット)
ヘッダ長
(4ビット)
予約済み
(6ビット)
コードビット(各1ビット) ウィンドウサイズ
(16ビット)
U
R
G
A
C
K
P
S
H
R
S
T
S
Y
N
F
I
N
チェックサム(16ビット) 緊急ポインタ(16ビット)
(オプション)
データ
←―― 32ビット ――→

 ファイアウォールに、外部から送られてくるパケットのTCPヘッダ内のコードビット内のACKがオンになっているかを確認し、オンになっているパケットだけを通過させるようにすれば、外部からの不正パケットを遮断することができます。

 TCPにおける通信は、スリーウェイハンドシェイクという手順で、接続を確立しないと通信ができないので、SYNがオンになったパケットを遮断することで、スリーウェイハンドシェイクが確立できなくなり、TCPのコネクションは成立しなくなります。

 TCPは、このようにスリーウェイハンドシェイクのやり取りを確認することで、静的フィルタリングを細かく指定することができますが、UDP接続の場合、UDPヘッダ内にはコードビットがないので、TCPのような細かな指定をすることができません。

この辺りが、静的フィルタリングの限界となります。

次の「静的フィルタリングの限界」では、静的フィルタリングの限界について、もう少し、詳しく説明してゆきます。

静的フィルタリング(その2)」 ← 前項 | 次項 → 「静的フィルタリングの限界





<ネットワーク資格の練習問題に挑戦>
CCNA練習問題に挑戦!(650問)
Network+練習問題に挑戦!(393問)
テクニカルエンジニア(ネットワーク)試験
◆Cisco実機で学ぶ(CCNAルータ編)

ルータの概要・基本操作・設定1 (17項目)
ルータの概要・基本操作・設定3 (22項目)
IGRP・EIGRPの設定 (18項目)
アクセスリスト・ACLの設定 (14項目)
NAT・DHCPの設定 (8項目)
ルータの概要・基本操作・設定2 (17項目)
RIPv1・RIPv2の設定 (14項目)
OSPFの設定・デフォルトルートの伝播(16項目)
WANの設定 (10項目)
ARP・RARP・Proxy ARP(12項目)
◆Cisco実機で学ぶ(CCNAスイッチ編)

スイッチの基本操作・設定 (14項目)
VTP・スパニングツリーの設定 (12項目)
MACアドレスの管理・VLANの設定 (12項目)

◆アライドテレシス実機で学ぶ

基本操作・設定 (11項目)
OSPFの設定 (9項目)
ポリシールーティング・VRRPなど (12項目)
VLAN・マルチホーミング・RIPの設定 (10項目)
STP・ポートトランキングなど (14項目)

<関連メニュー>
CCNA実機で学ぶ
CCNP実機で学ぶ
CCENT(ICND1)実機で学ぶ
ICND2実機で学ぶ
SDMで設定する(Cisco実機で学ぶ)
CCENT・CCNA無線実機で学ぶ
アライドテレシス実機で学ぶ
YAMAHAルータ実機で学ぶ
TCP/IP入門・無料ネットワークツール
PLCでホームネットワーク構築

Copyright(c)2006- @network Cisco・アライド実機で学ぶ All rights reserved.