• ベストアンサー
  • すぐに回答を!

YAMAHA RTX1100のフィルタ設定

現在YAMAHA RTX1100ルータの設定でわからない箇所があります。 ■実現したいこと WAN側からのアクセスを全て拒否、LAN側からのアクセスを全て許可 設定例集によると、以下の設定をすれば WAN側からのアクセスを全て拒否し、LAN側からのアクセスを全て許可することが可能であると記載があります。 ----- ip filter 1 pass * * established pp select 1 ip pp secure filter in 1 ----- この設定だけで、本当に全てのWAN側からのアクセスを遮断できているのでしょうか。。 この他にもrejectを使ったフィルタなどを挟まなければいけないのでしょうか。。 あともう1点。 この例ではppインターフェイスに対して設定をしていますが、 通常のLANインターフェースやトンネルインターフェイスでも、このフィルタを適用することで外部からのアクセスを拒否することは可能なのでしょうか。 ■補足 ・LAN側に公開したいサーバなどはないので、外からのアクセスは全拒否にして問題ないです。 ・ftpも使わないのでftpdataも通さなくてよいです。 ご存じな方、ご教授の程宜しくお願いします。

共感・応援の気持ちを伝えよう!

  • 回答数1
  • 閲覧数2001
  • ありがとう数1

質問者が選んだベストアンサー

  • ベストアンサー
  • 回答No.1
  • maesen
  • ベストアンサー率81% (646/790)

>WAN側からのアクセスを全て拒否、LAN側からのアクセスを全て許可 正確に言うと、WAN側から始まるアクセスを全て拒否するということになります。 どのような動きになるかはヤマハのWebサイトを参考にして下さい。 ここに書かれているように実際の動きはTCPフラグのACKとRSTのいずれかがセットされているものを通すようになるはずです。 http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/ip-filter-established.html >この設定だけで、本当に全てのWAN側からのアクセスを遮断できているのでしょうか。 概ねこのように考えてもいいと思いますが、実際にはACKまたはRSTがセットされている応答パケットは通ります。 そうでないとTCPは通信出来ませんので。 従って、簡単ではありませんがこのへんのフラグ(フラグだけではなくほかのヘッダも必要)を偽装すれば絶対通らないわけではありません。 >この例ではppインターフェイスに対して設定をしていますが、 >通常のLANインターフェースやトンネルインターフェイスでも、このフィルタを適用することで外部からのアクセスを拒否することは可能なのでしょうか。 可能です。 フィルタがどの位置で効くかはこのへんを参考にして下さい。 http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html あとおわかりと思いますが、注意として >ip filter 1 pass * * established >pp select 1 >ip pp secure filter in 1 この設定はTCPに対してのみ有効な設定です。 フィルタの暗黙の設定で1以外はすべて拒否になるのでUDPは全て拒否されます。 一般的なインターネットの通信ではDNSは必須ですがこの設定では通りません。 (DNSは基本UDPが使用されます)

共感・感謝の気持ちを伝えよう!

質問者からのお礼

maesenさん モヤモヤしていた箇所が全てクリアになりました! フラグが偽装される可能性、と、UDP通信も遮断される、に関しては 今回の環境では許容するつもりでしたので問題ありません! あとフィルタが効くタイミングも、参考URLが非常に参考になりました! 迅速で明快な回答に感謝致します、ありがとうございました!

関連するQ&A

  • YAMAHA RTX1200のフィルタ設定について

    YAMAHAのRTX1200で、pppoeでインターネットにつなぐ際の フィルタ設定を教えていただけませんか。 内部→外部へのアクセスは通す。 外部→内部へのアクセスは通さない。 CUIで設定します。 現在の設定内容 security class 3 on off off ip route default gataway pp 1 ip filter source-route on ip filter directd-broadcast on ip icmp echo-reply send off ip lan1 address 192.168.1.1/24 pp select 1 pp always-on on pppoe use lan 2 pp auth accept pap chap pp auth myname xxx@xxx.co.jp xxxxx ppp lcp mru on 1454 ppp ipcp ipaddress on ppp ipcp msext on ip pp secure filter in 1000 ip pp secure filter out 2000 dynamic 105 106 107 ip pp intrusion detection in on ip pp nat descriptor 1 pp enable 1 ip filter 1000 reject * * * * * ip filter 2000 pass * * ip filter 105 * * ping ip filter 106 * * tcp ip filter 107 * * udp nat descriptor type 1 masquerade

  • YAMAHA RTX1100の設定

    YAMAHAのRTX1100を使わなくてはならなくなったのですが、設定がまったくわかりません。 WAN側ゲートウェイ:192.168.1.1 RTX1100 LAN側IP:192.168.11.1 WAN側IP:192.168.1.111 LAN側に繋がっているWindowsXP IPアドレス      :192.168.11.2 サブネットマスク   :255.255.255.0 デフォルトゲートウェイ:192.168.11.1 DNSサーバ       :プロバイダ指定のIP このような場合、 ip lan1 address 192.168.11.1/24 # LANのインタフェースの設定 ip lan2 address 192.168.1.111/24 # WANのインタフェースの設定 ip route 192.168.11.0/24 gateway 192.168.1.1 #WAN側ゲートウェイの設定 これで動かないのですが、これ以上何をしなければならないのか解らない状態です。

  • RTX1100のIPフィルタ設定

    YAMAHA製ルーターRTX1100を光ルーターPR-400NEの代わりに ルーターとして使用しなければならなくなり、設定に悪戦苦闘しています。 YAMAHAの設定集を見て、PPPoE接続とIPマスカレード、DHCPの設定は行うことが出来、 インターネットには繋がりました。 質問させて頂きたいのは、IPフィルタの設定です。 ひとまず、設定集から移した以下の設定で登録していますが、 他にもセキュリティ上追加すべき、IPフィルタ設定があったら教えて下さい。 よろしくお願いします。 (IPフィルタ設定) ip filter source-route on ip filter directed-broadcast on ip filter 1000 reject 192.168.1.0/24 * * * * ip filter 1001 reject 10.0.0.0/8 * * * * ip filter 1002 reject 172.16.0.0/12 * * * * ip filter 1003 reject 192.168.0.0/16 * * * * ip filter 2000 reject * 192.168.1.0/24 * * * ip filter 2001 reject * 10.0.0.0/8 * * * ip filter 2002 reject * 172.16.0.0/12 * * * ip filter 2003 reject * 192.168.0.0/16 * * * ip filter 2999 pass 192.168.1.0/24 * * * ip filter 1999 pass * 192.168.1.0/24 * * * pp select 1 ip pp secure filter in 1000 1001 1002 1003 1999 ip pp secure filter out 2000 2001 2002 2003 2999 pp select none

  • RTX1100のセキュリティー設定について

    RTX1100の設定なんですが、 たとえば、 Telnetは192.168.200.123しか通してないはずなのですが、 192.168.200.76にTELNETが出来てしまいます。 どなたかご教授願えませんか?今晩設置なんで少々焦っています。 ip lan1 address 192.168.200.1/24 ip lan1 secure filter in 2 3 4 1 dynamic 25 26 30 31 ip lan1 secure filter out dynamic 2 3 6 4 5 25 ip lan2 address 192.168.100.8/24 ip filter 1 reject * * * * * ip filter 2 pass * * icmp * * ip filter 3 reject * 192.168.200.123 established * telnet,www,ftpdata-21,smtp ip filter 4 pass * 192.168.200.123 tcp,udp * telnet,www,ftpdata-21,smtp ip filter 105 pass * * tcp 22 22 ip filter dynamic 2 * * telnet ip filter dynamic 3 * * www ip filter dynamic 4 * * tcp ip filter dynamic 5 * * udp ip filter dynamic 6 * * ftp ip filter dynamic 25 * * filter 105 ip filter dynamic 26 * 192.168.200.123 ftp ip filter dynamic 30 * 192.168.200.123 tcp ip filter dynamic 31 * 192.168.200.123 udp

  • YAMAHA RTX1100の設定方法について

    YAMAHA RTX1100の設定方法について 初めまして、宜しくお願いいたします。 ほんとに初心者でもうしわけございません。 今度、現行のRTX1100に対し、プロバイダーの変更を行う為 設定を変更するのですが、変更すべきコマンドはなんとかわかったのですが 例えば、 ip route default gateway 122.208.200.115 ip lan2 address 122.208.200.116/30 ip filter 200003 reject 122.208.200.114/30 * * * * ip filter 200013 reject * 122.208.200.114/30 * * * ip filter 200030 pass * 122.208.200.1114/30 icmp * * ip filter 200031 pass * 122.208.200.114/30 established * * ip filter 200032 pass * 122.208.200.114/30 tcp * ident ~ なのですが、すみませんこういったコマンド類はまとめて入力 するものなのでしょうか?もしくは、1行づつ入力してEnter? そして最後にsave?でしょうか? ほんと初歩的で申し訳ございません。

  • YAHAMA RTX1100のフィルタ設定について

    初心者でもうしわけございませんがYAMAHA RTX1100の設定を頼まれてしまい 四苦八苦しておりますので御教授ください。 現在  LAN1にIP 192.168.10.1  LAN2に PPPOE LAN3にIP 192.168.20.1 LAN3にLAN1のクライアントから使用するWEBサーバーIP 192.168.20.10 を置いてある状態で LAN1からLAN3のWEBサーバーへはアクセスできる状態にあります。 また現在はLAN3からLAN1へもアクセスができる状態です。 そこでフィルタの設定なんですが LAN1からLAN3へはアクセス許可にしておいて LAN3からLAN1へはアクセス遮断とする場合 どういったフィルタ設定にすればよろしいでしょうかご教授よろしくお願いいたします。

  • YAMAHA RTX1100の設定

    YAMAHA RTX1100のルーティング・フィルタ設定についてご教授ください。 YAMAHAのRTX1100を使用して2つのセグメントのネットワークを構成しています。 ネットやマニュアルを参考に設定しているつもりなのですがうまくいかず困り果っております。 非常に初歩的な内容で恐縮ですし、質問の仕方もおかしいのかもしれませんが お知恵を拝借できれば大変ありがたいです。 現在 LAN1側に 192.168.100.1/24 LAN3側に 192.168.200.1/24 とIPを振りLAN2をPPPOE接続として使っております。 そこで LAN3の192.168.200.10にサーバーを置きLAN1にあるクライアントPCからアクセスできるようにして なおかつLAN3の192.168.200.0/24にあるクライアントPCからはLAN1の192.168.100.0/24へは アクセスできないようにルーティングとフィルタの設定を行いたいのですがどのように設定を行えばよろしいでしょうか?

  • rtx810のフィルタ型ルーティングについて

    本社VPNルータ(LAN側IP192.168.0.1 設定変更不可)で構成されているネットワークに、 RTX810ルータ(LAN側IP192.168.0.100)をLAN側に接続し、WAN側には172.100.100.100を 割り当てた構成 と仮定した場合下記の動作は可能でしょうか。 インターネット     |       RTX810 ルータ192.168.0.1 ルータ172.100.100.100――ルータ172.100.100.1     |  |       192.168.0.100        |     |  |             |         WEBサーバ     |     ―――――――――     PC WEBサーバへの接続(172.100.100.50)をしたい場合、 pcよりhttp://192.168.0.100にアクセス、 RTX810の割当てIP(LAN側IP192.168.0.100)のパケットはすべて NATを利用し172.100.100.100系ルータ経由で接続可能でしょうか?。 ※RTX810のデフォルトゲートウェイは192.168.0.1 ※WAN側からのアクセスは無し ※端末設定 固定IP 端末数が多い為変更が難しい。   192.168.0.XXX デフォゲ 192.168.0.1   DNS 192.168.0.1 以上よろしくお願い申し上げます。

  • RTX1200の設定について

    最近、中古のRTX1200を入手し、 ヤマハのサイトにあるRTX1200の設定例 「自社サーバーを公開(1つの固定グローバルIPアドレス / DMZセグメント : LAN3) : コマンド設定」 http://jp.yamaha.com/products/network/solution/internet/server/ を参考に設定しています。 設定例ではサーバーメンテナンス用にtelnetの通信を通すフィルタを LAN側(192.168.0.0)からDMZ側(192.168.10.0/24)へ ip filter dynamic 200 192.168.0.0/24 * telnet ip lan3 secure filter out 3000 dynamic 100 101 200 のようにしていますが、 当方SSHをポート44444(例)に変更して使用しているため ip filter dynamic 200 192.168.0.0/24 * tcp のように直してみました。 こう設定すればLAN側からDMZ側へターミナルソフトにてSSH接続出来るにはできるのですが、 接続完了まで10秒近くかかってしまいます。 ちなみに、 ip lan3 secure filter in 2000 ip filter 2000 reject * * を設定しなければ、瞬時に接続が完了します。 単純に ip filter dynamic 200 192.168.0.0/24 * telnet を ip filter dynamic 200 192.168.0.0/24 * tcp に直せばいいという問題ではないのでしょうか? 根本的になにか間違えているのでしょうか? ヒントでも構いません。 ご教示いただければ幸いです。

  • ヤマハ RTX1100 フィルタ設定

    オークションにて、安くRTX1100を手に入れたのですが、 フィルタ設定について不安が残ります。 (現在、PPPoEと、VPN設定はなんとか設定できて、運用しています) ヤマハ サイトのこの辺りをみて丸パクリで、フィルタ設定を書きました。 http://jp.yamaha.com/products/network/solution/vpn/multiple_network/internet_vpn/ 外部からポートスキャンかけた所、25, 80, 110, 143ポートが開いていると 結果が返ってきます。 サーバは一切公開していないので、上記ポートを閉じたいのですが、 in フィルタで、「ip filter 2000 reject * *」となっているため、 閉じられていると思うのですが認識が間違っていますか? 現在の設定は以下です。 pp select 1 ip pp secure filter in 1020 1030 1040 1041 2000 ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102 103 104 105 106 107 ip filter source-route on ip filter directed-broadcast on ip filter 1010 reject * * udp,tcp 135 * ip filter 1011 reject * * udp,tcp * 135 ip filter 1012 reject * * udp,tcp netbios_ns-netbios_ssn * ip filter 1013 reject * * udp,tcp * netbios_ns-netbios_ssn ip filter 1014 reject * * udp,tcp 445 * ip filter 1015 reject * * udp,tcp * 445 ip filter 1020 reject 192.168.0.0/24 * ip filter 1030 pass * 192.168.0.0/24 icmp ip filter 1040 pass * 192.168.0.254 udp * 500 ip filter 1041 pass * 192.168.0.254 esp ip filter 2000 reject * * ip filter 3000 pass * * ip filter dynamic 100 * * ftp ip filter dynamic 101 * * www ip filter dynamic 102 * * domain ip filter dynamic 103 * * smtp ip filter dynamic 104 * * pop3 ip filter dynamic 105 * * netmeeting ip filter dynamic 106 * * tcp ip filter dynamic 107 * * udp すみませんが、ポートの閉じ方を教えて頂けますでしょうか。