動的フィルタリングの定義方法（その1）　YAMAHAルータ実機で学ぶ

＠network Cisco・アライド実機で学ぶ　＞　YAHAMAルータ実機で学ぶ　＞　動的フィルタリングの定義方法（その1）

■TOPへ
■MENU
├当サイト概要
├オススメ書籍・問題集
├古本を探す
├ネット銀行
├CCNAシミュレータ

├パソコンショップ
├就職・転職・アルバイト
└無料オンラインゲーム
■練習問題に挑戦

├CCNA練習問題
├Network+練習問題
└ネットワーク過去問題
■ネットワーク関連
├実習環境を整える
├アライドテレシス実習
├Cisco実習(CCNA)
├Cisco実習（CCNP）
├Cisco実習（CCENT）
├Cisco実習（ICND2）
├Cisco実習（SDM）
├YAMAHAルータ実習
├無線LAN実習
├TCP/IP入門
├PLCでネットワーク
├ホームネットワーク構築
├無料ウイルス対策
├ネットワークツール紹介
├ネットワークTips
└オススメ！グッズ

スポンサードリンク

＠network Cisco・アライド実機で学ぶ

◆動的フィルタリングの定義方法（その1）

※動作確認は、YAMAHA RTX1000ルータで確認しています。コマンド、出力結果、動作は、機種、ファームウェアのバージョンで異なる場合があります。
　資格取得が就職、転職、派遣に有利なのは確かですが、「資格＝即戦力」とは言えません。実機を操作して資格取得と同時に就職・転職・派遣後に求められるエンジニア（仕事・ジョブ・ワークの達人）としての即戦力を養いましょう。

◆動的フィルタリングの定義方法（その1）

動的フィルタリングを定義するには、大きく分けて次の2通りあります。

①ユーザがアクセス制御のルールを記述する方法
②事前にルーターに登録されているアプリケーション名を指定する方法

　②の方が設定が簡単で扱いやすいのですが、まずは、①の方法について説明してゆきます。①は、トリガーを静的フィルタを定義して動的フィルタを適用する方法です。

具体的な例を挙げて説明してゆきます。

・トリガーとなる、制御コネクションは、172.33.0.1の6000番宛である。
・2本あるデータコネクションのうち準方向は、UDPの7001番宛である。
・2本あるデータコネクションのうち逆方向は、UDPの7002番宛である。

このルールを適用した設定は、次のようになります。

# ip filter 10 pass * * tcp * 6000
# ip filter 11 pass * * udp * 7001
# ip filter 12 pass * * udp * 7002
# ip filter dynamic 1 * 172.33.0.1 filter 10 in 12 out 11
# pp select1
pp1# ip ppsecure filter in 100
pp1# ip pp secure filter out dynamic 1

　10は、トリガーを指定し、「in」の12はトリガーと逆方法のコネクション、「out」の11はトリガーと準方向のコネクションを指定しています。

　フィルタ10に合致するパケットを検出したら、フィルタ11、フィルタ12に合致するパケットを一定時間通過させます。この通過フィルタは、デフォルトで、30秒間保持差ます。

「ip pp secure filter out dynamic 1」で動的フィルタをppのout方向に適用します。

　上の設定例では、シンプルなトリガーの定義でしたが、もっと詳細に定義したい場合や、コネクションが複雑なアプリケーションの場合、動的フィルタリングの定義が複雑になってきます。

　例えば、内部（192.168.1.0/28）から172.33.0.1の6000番宛のアクセスをトリガーとして、として、定義する場合は、以下のようになります。

#ip filter 10 pass 192.168.1.0/28 * tcpflag=0x0002/0x0017 * 6000

　「tcpflag=0x0002/0x0017」の部分は、TCPパケットのSYNフラグだけが立っているパケットを指定しています。この静的フィルタで、HTTPコネクションの最初のパケットを捉えます。

設定値	URG	ACK	PSH	PST	SYN	FYN
Value(0x0020)	0	0	0	0	1	0
mask(0x0017)	0	1	0	1	1	1

「tcpflag=0x0002/0x0017」にマッチするパケットのパターンは、以下のパターンにもマッチしそうです。

　TCPコネクションの最初のパケットであるSYNを通過させるフィルタであれば、マスク値は、単純にい考えて、オール1となるマスク値でもよさそうなものですが、コマンドリファレンスや設定例集にもサンプルとなるマスク値が掲載されていません。

　そこで、ネット上でよく見かける設定例で、「tcpflag=0x0002/0x0017」となっていますので、ここでもそれに従うこととします。

「動的フィルタリングの適用」 ← 前項　｜　次項 → 「動的フィルタリングの定義方法（その2）」

＜ネットワーク資格の練習問題に挑戦＞
●CCNA練習問題に挑戦！(650問)
●Network+練習問題に挑戦！(393問)
●テクニカルエンジニア（ネットワーク）試験

◆Cisco実機で学ぶ（CCNAルータ編）

●ルータの概要・基本操作・設定１（１７項目）
●ルータの概要・基本操作・設定３（２２項目）
●IGRP・EIGRPの設定（１８項目）
●アクセスリスト・ACLの設定（１４項目）
●NAT・DHCPの設定（８項目）

●ルータの概要・基本操作・設定２（１７項目）
●RIPv1・RIPv2の設定（１４項目）
●OSPFの設定・デフォルトルートの伝播(１６項目)
●WANの設定（１０項目）
●ARP・RARP・Proxy ARP（１２項目）

◆Cisco実機で学ぶ（CCNAスイッチ編）

●スイッチの基本操作・設定（１４項目）
●VTP・スパニングツリーの設定（１２項目）

●MACアドレスの管理・VLANの設定（１２項目）

◆アライドテレシス実機で学ぶ

●基本操作・設定（１１項目）
●OSPFの設定（９項目）
●ポリシールーティング・VRRPなど（１２項目）

●VLAN・マルチホーミング・RIPの設定（１０項目）
●STP・ポートトランキングなど（１４項目）