構成定義ガイド

[目次][用語][索引][前へ][次へ]


10.1.5 特定サブネット間通信の制限

<この項の構成>
(1) 設定内容の概要
(2) 構成図と設定条件
(3) 構成定義情報例

(1) 設定内容の概要

IPアドレス単位でフィルタリングするときの構成定義情報の例を示します。

通信が禁止のところでもICMPv6だけは通信可とします(ping ipv6が使用可能です)。

(2) 構成図と設定条件

[構成図]

図10-5 構成図(a)

[図データ]

図10-6 構成図(b)

[図データ]

図10-7 構成図(c)

[図データ]

[設定条件]
次のような構成で「社内専用ネットワーク」「社外アクセスネットワーク」「Internet」間でのアクセスを制限したい場合の設定例を示します。
  1. 「社外アクセスネットワーク」<−>「社内専用ネットワーク」間での通信の禁止(図10-5 構成図(a)参照)
    ・IPv6アドレス:
    「3ffe:501:811:ff01::0/64-3ffe:501:811:ff02::0/64」と「3ffe:501:811:ff03::0/64-3ffe:501:811:ff04::0/64」間
    ・ただし,ICMPv6は通信可
  2. 「社内専用ネットワーク」<−>「Internet」間での通信の禁止(図10-6 構成図(b)参照)
    ・IPv6アドレス:
    「3ffe:501:811:ff03::0/64-3ffe:501:811:ff04::0/64」と「Internet」間
  3. 「社外アクセスネットワーク」<−>「社外アクセスネットワーク」間での通信の禁止(図10-7 構成図(c)参照)
    ・IPv6アドレス:
    「3ffe:501:811:ff01::0/64」と「3ffe:501:811:ff02::0/64」間
    ・ただし,ICMPv6は通信可

(3) 構成定義情報例

[コマンドによる設定]

<本装置A>
 1    (config)# flow filter Department1 in
      [flow filter Department1 in]
 2    (config)# list 41010 icmp6 any 3ffe:501:811:ff03::/64 action forward
      [flow filter Department1 in]
 3    (config)# list 41020 ip any 3ffe:501:811:ff03::/64 action drop
      [flow filter Department1 in]
 4    (config)# list 41030 icmp6 any 3ffe:501:811:ff04::/64 action forward
      [flow filter Department1 in]
 5    (config)# list 41040 ip any 3ffe:501:811:ff04::/64 action drop
      [flow filter Department1 in]
 6    (config)# list 41050 icmp6 any 3ffe:501:811:ff02::/64 action forward
      [flow filter Department1 in]
 7    (config)# list 41060 ip any 3ffe:501:811:ff02::/64 action drop
      [flow filter Department1 in]
 8    (config)# exit
 9    (config)# flow filter Department2 in
      [flow filter Department2 in]
10    (config)# list 42010 icmp6 any 3ffe:501:811:ff03::/64 action forward
      [flow filter Department2 in]
11    (config)# list 42020 ip any 3ffe:501:811:ff03::/64 action drop
      [flow filter Department2 in]
12    (config)# list 42030 icmp6 any 3ffe:501:811:ff04::/64 action forward
      [flow filter Department2 in]
13    (config)# list 42040 ip any 3ffe:501:811:ff04::/64 action drop
      [flow filter Department2 in]
14    (config)# list 42050 icmp6 any 3ffe:501:811:ff01::/64 action forward
      [flow filter Department2 in]
15    (config)# list 42060 ip any 3ffe:501:811:ff01::/64 action drop
      [flow filter Department2 in]
16    (config)# exit
17    (config)# flow filter Department3 in
      [flow filter Department3 in]
18    (config)# list 43010 icmp6 any 3ffe:501:811:ff01::/64 action forward
      [flow filter Department3 in]
19    (config)# list 43020 ip any 3ffe:501:811:ff01::/64 action drop
      [flow filter Department3 in]
20    (config)# list 43030 icmp6 any 3ffe:501:811:ff02::/64 action forward
      [flow filter Department3 in]
21    (config)# list 43040 ip any 3ffe:501:811:ff02::/64 action drop
      [flow filter Department3 in]
22    (config)# list 43050 ip any 3ffe:501:811:fffe::/64 action drop
      [flow filter Department3 in]
23    (config)# exit
24    (config)# flow filter Department4 in
      [flow filter Department4 in]
25    (config)# list 44010 icmp6 any 3ffe:501:811:ff01::/64 action forward
      [flow filter Department4 in]
26    (config)# list 44020 ip any 3ffe:501:811:ff01::/64 action drop
      [flow filter Department4 in]
27    (config)# list 44030 icmp6 any 3ffe:501:811:ff02::/64 action forward
      [flow filter Department4 in]
28    (config)# list 44040 ip any 3ffe:501:811:ff02::/64 action drop
      [flow filter Department4 in]
29    (config)# list 44050 ip any 3ffe:501:811:fffe::/64 action drop
      [flow filter Department4 in]
30    (config)# exit
31    (config)# flow yes

表10-5 本装置Aの構成定義情報解説

解説番号 解説
1,2 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff03::/64の社内専用ネットワークへのICMPv6を許可する条件を設定します。
3 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff03::/64の社内専用ネットワークへの通信を禁止する条件を設定します。
4 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff04::/64の社内専用ネットワークへのICMPv6を許可する条件を設定します。
5 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff04::/64の社内専用ネットワークへの通信を禁止する条件を設定します。
6 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
7,8 インタフェース名Department1のinbound(受信側)に3ffe:501:811:ff01::/64の社外アクセスネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
9,10 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff03::/64の社内専用ネットワークへのICMPv6を許可する条件を設定します。
11 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff03::/64の社内専用ネットワークへの通信を禁止する条件を設定します。
12 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff04::/64の社内専用ネットワークへのICMPv6を許可する条件を設定します。
13 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff04::/64の社内専用ネットワークへの通信を禁止する条件を設定します。
14 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
15,16 インタフェース名Department2のinbound(受信側)に3ffe:501:811:ff02::/64の社外アクセスネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
17,18 インタフェース名Department3のinbound(受信側)に3ffe:501:811:ff03::/64の社内専用ネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
19 インタフェース名Department3のinbound(受信側)に3ffe:501:811:ff03::/64の社内専用ネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
20 インタフェース名Department3のinbound(受信側)に3ffe:501:811:ff03::/64の社内専用ネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
21 インタフェース名Department3のinbound(受信側)に3ffe:501:811:ff03::/64の社内専用ネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
22,23 インタフェース名Department3のinbound(受信側)に3ffe:501:811:ff03::/64の社内専用ネットワークから3ffe:501:811:fffe::/64のInternetへの通信を禁止する条件を設定します。
24,25 インタフェース名Department4のinbound(受信側)に3ffe:501:811:ff04::/64の社内専用ネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
26 インタフェース名Department4のinbound(受信側)に3ffe:501:811:ff04::/64の社内専用ネットワークから3ffe:501:811:ff01::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
27 インタフェース名Department4のinbound(受信側)に3ffe:501:811:ff04::/64の社内専用ネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへのICMPv6を許可する条件を設定します。
28 インタフェース名Department4のinbound(受信側)に3ffe:501:811:ff04::/64の社内専用ネットワークから3ffe:501:811:ff02::/64の社外アクセスネットワークへの通信を禁止する条件を設定します。
29,30 インタフェース名Department4のinbound(受信側)に3ffe:501:811:ff04::/64の社内専用ネットワークから3ffe:501:811:fffe::/64のInternetへの通信を禁止する条件を設定します。
31 フロー制御機能を使用する設定にします。

[構成定義情報の表示]

<本装置A>
flow yes
flow filter Department1 in
  list 41010 icmp6 any 3ffe:501:811:ff03::/64 action forward
  list 41020 ip any 3ffe:501:811:ff03::/64 action drop
  list 41030 icmp6 any 3ffe:501:811:ff04::/64 action forward
  list 41040 ip any 3ffe:501:811:ff04::/64 action drop
  list 41050 icmp6 any 3ffe:501:811:ff02::/64 action forward
  list 41060 ip any 3ffe:501:811:ff02::/64 action drop
flow filter Department2 in
  list 42010 icmp6 any 3ffe:501:811:ff03::/64 action forward
  list 42020 ip any 3ffe:501:811:ff03::/64 action drop
  list 42030 icmp6 any 3ffe:501:811:ff04::/64 action forward
  list 42040 ip any 3ffe:501:811:ff04::/64 action drop
  list 42050 icmp6 any 3ffe:501:811:ff01::/64 action forward
  list 42060 ip any 3ffe:501:811:ff01::/64 action drop
flow filter Department3 in
  list 43010 icmp6 any 3ffe:501:811:ff01::/64 action forward
  list 43020 ip any 3ffe:501:811:ff01::/64 action drop
  list 43030 icmp6 any 3ffe:501:811:ff02::/64 action forward
  list 43040 ip any 3ffe:501:811:ff02::/64 action drop
  list 43050 ip any 3ffe:501:811:fffe::/64 action drop
flow filter Department4 in
  list 44010 icmp6 any 3ffe:501:811:ff01::/64 action forward
  list 44020 ip any 3ffe:501:811:ff01::/64 action drop
  list 44030 icmp6 any 3ffe:501:811:ff02::/64 action forward
  list 44040 ip any 3ffe:501:811:ff02::/64 action drop
  list 44050 ip any 3ffe:501:811:fffe::/64 action drop

[目次][前へ][次へ]


[他社商品名称に関する表示]

Copyright (c)2005 ALAXALA Networks Corporation. All rights reserved.