構成定義ガイド
- <この項の構成>
- (1) 設定内容の概要
- (2) 構成図と設定条件
- (3) 構成定義情報例
(1) 設定内容の概要
片方向へのTCPセッションの接続を禁止するときのIPフィルタリング構成定義情報の例を示します。
- 端末A,Bから端末CへのTCPセッションの接続を禁止します。
- 端末Cから端末A,Bおよび端末A,B間のTCPセッションの接続は許可します。
- 端末A,Bから端末CへのTCPセッション以外の通信と端末A,B間の通信は許可します。
(2) 構成図と設定条件
- [構成図]
図7-6 構成図
- [設定条件]
- ネットワークアドレス128.1.3.0/24を宛先とするTCPセッションの接続を禁止
(3) 構成定義情報例
- [コマンドによる設定]
- <本装置A>
1 (config)# flow filter Department1 out [flow filter Department1 out] 2 (config)# list 1 tcp any 128.1.3.0/24 ack syn action forward [flow filter Department1 out] 3 (config)# list 2 tcp any 128.1.3.0/24 syn action drop [flow filter Department1 out] 4 (config)# list 3 tcp any 128.1.3.0/24 action forward [flow filter Department1 out] 5 (config)# exit- IPv4オプション付きの中継パケットも正しくフィルタリングする場合は,下記解説番号6〜8の定義も行ってください。
6 (config)# flow filter Department1 in [flow filter Department1 in] 7 (config)# list 4 tcp 128.1.3.0/24 any ack syn action drop [flow filter Department1 in] 8 (config)# exit 9 (config)# flow yes表7-6 本装置Aの構成定義情報解説
解説番号 解説 1,2 インタフェース名Department1のoutbound(送信側)にIPアドレス128.1.3.0/24を宛先とするSYNフラグ=1,ACKフラグ=1のTCPパケットを中継するように設定します。 3 インタフェース名Department1のoutbound(送信側)にIPアドレス128.1.3.0/24を宛先とするSYNフラグ=1のTCPパケットを廃棄するように設定します。 4,5 インタフェース名Department1のoutbound(送信側)にIPアドレス128.1.3.0/24を宛先とするTCPパケットを中継するように設定します。 6〜8 インタフェース名Department1のinbound(受信側)にIPアドレス128.1.3.0/24を送信元とするSYNフラグ=1,ACKフラグ=1のTCPパケットを廃棄するように設定します。 9 フロー制御機能を使用する設定にします。
- [構成定義情報の表示]
- <本装置A>
flow yes flow filter Department1 in (注1) list 4 tcp 128.1.3.0/24 any ack syn action drop (注1) flow filter Department1 out list 1 tcp any 128.1.3.0/24 ack syn action forward list 2 tcp any 128.1.3.0/24 syn action drop list 3 tcp any 128.1.3.0/24 action forward
- (注1)
- 解説番号6〜8に対応する定義(IPv4オプション付きの中継パケットも正しくフィルタリングする)を行った場合に表示されます。
Copyright (c)2005 ALAXALA Networks Corporation. All rights reserved.