ベストアンサー

アライドテレシス8724SLについて

2005/05/27 19:02

お世話になります。8724SLでハードウェアIPフィルターをしようと考えています。構成は下記のとおりです Aサーバー IP 100.100.100.10・・・・・ポート１０に接続してあります Bクライアント IP 100.100.100.20 Cクライアント IP 100.100.100.21 Aサーバーに接続出来るのはBクライアントのみにしたいので下記のコマンドを実行しました。 ADD SWITCH L3FILTER MATCH=SIPADDR sclass=host dclass=host nomatchaction=deny EMPORT=TRUE add switch l3filter=1 entry sipaddr=100.100.100.20 eport=10 action=nodrop するとB以外からAに接続することは出来なくなったので良かったのですが、Aサーバから、windows Update等webを見ることが出来なくなりました。どなたかご存じの方がいらっしゃたらご教授下さい。

kurateru
お礼率65% (29/44)

ネットワーク
回答数4
ありがとう数4

みんなの回答 （4）
専門家の回答

質問者が選んだベストアンサー

ベストアンサー

kuma-ku
ベストアンサー率54% (1558/2845)

2005/05/31 23:37 回答No.4

一先ずは上手くいってよかったです。今回止めた通信は”TCP”です。よって、その他の”UDP”や”ICMP”は通してしまいます。 Ping はICMP なので、今回のルールにはヒットしないわけです。 Ping を止めたい場合は、ICMP を止める設定が必要です。ただしそのままハードウェアIPフィルタで”Deny”してしまうと、戻りのパケットまで破棄してしまうため、両者のPing がNG となります。これを回避する為には、【ソフトウェアIP フィルタ】で設定する必要があるのですが、私が記憶している中では、両者の併用は禁止されていたのですが、現在はどうなんでしょう。。。。 ※動作はするはずですが動作保証されない可能性があります。 http://www.allied-telesis.co.jp/support/list/switch/8724sl/m001901c/ADD_IP_FILTER.html もし、両方向のPing を禁止してもかまわなければ、ハードウェアIPフィルタで止めてください。

質問者

お礼 2005/06/01 16:25

pingで戻りのパケットまで破棄されると困りますね(^_^;)でも、今回はかなり助かりました。また、質問することがあると思うので、その時はよろしくお願いいたします。

その他の回答 (3)

kuma-ku
ベストアンサー率54% (1558/2845)

2005/05/30 21:15 回答No.3

ちょっと整理させてくださいね。。。・Server[100.100.100.10]宛の通信を全て拒否したい・Server[100.100.100.10]からの通信は通したいとなれば、以下の設定を行ってみてください。 ADD SWITCH L3FILTER MATCH=DIPADDR,PROTOCOL,TCPACK,TCPSYN DCLASS=HOST ADD SWITCH L3FILTER=1 ENTRY DIPADDR=100.100.100.10 PROTOCOL=TCP TCPSYN=TRUE TCPACK=FALSE ACTION=DENY

質問者

お礼 2005/05/31 17:27

ありがとうございます。ほぼ想定どおり出来ました。でもなぜpingは通ってしまうのでしょうか？

kuma-ku
ベストアンサー率54% (1558/2845)

2005/05/30 15:58 回答No.2

こんにちは ”nomatchaction=deny”となっているため、フィルタに定義されていない通信が破棄されてしまっていると思われます。 Client B からの接続を止めて、その他の通信を通したい場合、 Client B からServer A へのTCP/SYN パケットを止めて、その他の通信は通す事で実現可能です。以下のページが参考になると思いますので、もう一度設定をしなおしてみてください。

参考URL：: http://www.allied-telesis.co.jp/support/list/switch/8724sl/m001901c/overview_08SWITCH_60HWF.html#sec14

質問者

お礼 2005/05/30 16:52

ありがとうございます。最初の説明が悪かったです。クライアントBの他にも通信を出来なくしたいのです。外部からのアクセスを一切拒否する感じで設定したいので基本的にはdenyで、許可されたIPのみ通信可という感じがしたいのですが、やはり無理なのでしょうか。プロクシサーバーのIPを許可にすればwebは見れるのですが、この他にいい方法がありましたら、お願いします。