FutureNet

NXR,WXRシリーズ

NAT・フィルタ編

1. フィルタ設定

1-5. 通信別IPフィルタ設定

ここでは主な通信別にIPフィルタの設定例を紹介します。
なお、下記IPフィルタとは別に動的フィルタとしてステートフルパケットインスペクション機能もあります。この機能は主にWAN側インタフェースで利用します。ステートフルパケットインスペクション機能の設定例はこちら

 

ルータへのアクセス

 

ルータ経由の通信

 

【 設定例 】

〔ルータへのアクセス〕

ルータへのアクセスを制御する場合、パケット受信インタフェースにおいて「ip access-group in」コマンドでIPアクセスリストを登録する必要があります。

 

<ルータへのTELNETアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] tcp [送信元ポート番号] 23
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。
(☞) ルータとの通信を暗号化したい場合は、SSHを利用する必要があります。(TELNETの通信は暗号化されていません)

 

<ルータへのSSHアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] tcp [送信元ポート番号] 22
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。
(☞) ssh-server portコマンドでSSHサーバのポート番号を変更した場合は、宛先ポート番号に変更後のポート番号を指定して下さい。

 

<ルータへのHTTPアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] tcp [送信元ポート番号] 880
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。

 

<ルータへのICMPアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] icmp
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

全ての送信元IPアドレスを許可する場合は、[送信元IPアドレス]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。

 

<ルータへのICMPエコーリクエストを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] icmp 8 0
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

全ての送信元IPアドレスを許可する場合は、[送信元IPアドレス]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。
(☞) ICMPではタイプとコードを指定することができます。なおタイプ8コード0はICMPエコーリクエストを表しています。

 

<WAN側からルータへのIPsecのネゴシエーションとトンネルを利用した通信を許可する(NATトラバーサルは除く)>
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] udp 500 500
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] 50
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

対向機器のIPアドレスが動的IPアドレスの場合は、[対向機器のIPアドレス]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。

 

<WAN側からルータへのIPsecのネゴシエーションとトンネルを利用した通信を許可する(NATトラバーサルのみ)>
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] udp [対向機器の送信元ポート番号] 500
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] udp [対向機器の送信元ポート番号] 4500
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

対向機器のIPアドレスが動的IPアドレスの場合や全ての送信元ポート番号を許可する場合は、[対向機器のIPアドレス],[対向機器の送信元ポート番号]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。

 

<WAN側からルータへのIPsecのネゴシエーションとトンネルを利用した通信を許可する(ESPプロトコルとNATトラバーサルの混在環境)>
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] udp [対向機器の送信元ポート番号] 500
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] udp [対向機器の送信元ポート番号] 4500
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] 50
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

対向機器のIPアドレスが動的IPアドレスの場合や全ての送信元ポート番号を許可する場合は、[対向機器のIPアドレス],[対向機器の送信元ポート番号]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。
(☞) ESPプロトコルの場合は1,3行目の設定を、NATトラバーサルの場合は1,2行目の設定を利用します。

 

<WAN側からルータへのL2TPのネゴシエーションとトンネルを利用した通信を許可する(overUDPは除く)>
(config)#ip access-list [IPアクセスリスト名] permit [対向機器のIPアドレス] [ルータのIPアドレス] 115
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

対向機器のIPアドレスが動的IPアドレスの場合は、[対向機器のIPアドレス]に「any」を設定します。
ルータのIPアドレスが動的IPアドレスの場合は、[ルータのIPアドレス]に「any」を設定します。

 

<指定した送信元MACアドレスからルータへのアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [ルータのIPアドレス] mac [送信元MACアドレス]
(config)#interface [受信インタフェース]
(config-if)#ip access-group in [IPアクセスリスト名]

送信元IPアドレスを指定しない場合は、「any」を設定します。

 

〔ルータ経由の通信〕

ルータ経由の通信を制御する場合、パケット受信インタフェースにおいて「ip access-group forward-in」コマンドでIPアクセスリストを登録する必要があります。

 

<WAN側からLAN内のHTTPサーバへのアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のHTTPサーバのIPアドレス] tcp [送信元ポート番号] 80
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
(☞) NATを合わせて設定する場合、設定例はこちら

 

<WAN側からLAN内のSSHサーバへのアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のSSHサーバのIPアドレス] tcp [送信元ポート番号] 22
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
(☞) NATを合わせて設定する場合、設定例はこちら

 

<WAN側からLAN内のサーバへのICMPアクセスを許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のサーバのIPアドレス] icmp
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

全ての送信元IPアドレスを許可する場合は、[送信元IPアドレス]に「any」を設定します。
(☞) NATを合わせて設定する場合、設定例はこちら

 

<WAN側からLAN内のIPsecサーバへのIPsec通信をパススルーする>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のIPsecサーバのIPアドレス] udp [送信元ポート番号] 500
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のIPsecサーバのIPアドレス] udp [送信元ポート番号] 4500
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のIPsecサーバのIPアドレス] 50
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
(☞) NATを合わせて設定する場合、設定例はこちら
(☞) ESPプロトコルとNATトラバーサルの混在環境を想定しています。
(☞) 3行目の設定の「50」はESPのプロトコル番号を表しています。

 

<WAN側からLAN内のPPTPサーバへのPPTP通信をパススルーする>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のPPTPサーバのIPアドレス] tcp [送信元ポート番号] 1723
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] [LAN内のPPTPサーバのIPアドレス] 47
(config)#interface [WAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

全ての送信元IPアドレス,送信元ポート番号を許可する場合は、[送信元IPアドレス],[送信元ポート番号]に「any」を設定します。
(☞) NATを合わせて設定する場合、設定例はこちら
(☞) 2行目の設定の「47」はGREのプロトコル番号を表しています。

 

<LAN内の指定したMACアドレスを送信元とするルータ経由の通信を許可する>
(config)#ip access-list [IPアクセスリスト名] permit [送信元IPアドレス] any mac [送信元MACアドレス]
(config)#interface [LAN側インタフェース]
(config-if)#ip access-group forward-in [IPアクセスリスト名]

送信元IPアドレスを指定しない場合は、「any」を設定します。