◇スポンサードリンク◆静的フィルタリングの設定例の解説ここでは、「静的フィルタリングの設定例」で行ったフィルタリングについて解説してゆきます。ネットワーク構成図は、下記の通りです。◆フィルタリングの説明PP側のIN方向とOUT方向のフィルタリングの目的を個別に説明してゆきます。◆PP側のIN方向のフィルタ・外部からの送信元IPアドレスがプライベートIPアドレスのパケットを遮断します。これは、IPスプーフィング攻撃であなどを遮断する目的で設定します。*・外部からのTelnetを遮断します。telnet・ICMPパケットを許可します。ICMPを使っています。tracerouteには、「ICMPを利用する方法」と「未使用UDPを利用する方法」の2種類があります。*・TCPのスリーウェイハンドシェイクを利用したフィルタです。TCPの通信において、内部から発したパケットの戻りのパケットだけを許可します。*・メールの通信(SMTPやPOPなど)やFTPを行なう際、identによりユーザ情報確認が行なわれる場合があるため、その確認パケットを許可します。通常、identをフィルタで遮断しても通信可能なようですが、反応が遅くなるという症状が報告されているため、許可しています。メール利用に問題が発生しなければ、遮断して問題ありません。ident・アクティブモードで動作するFTP通信に備えて、許可しておきます。パッシブモードのFTP通信を用いる場合は、このフィルタの適用は必要ありませんので遮断しても問題ありません。*・DNSへの問い合わせを許可します。*・tracerouteには、「ICMPを利用する方法」と「未使用UDPを利用する方法」の2種類があります。こちらは「未使用のUDP」を許可するフィルタです。33434-33500◆PP側のIN方向とOUT方向の共用のフィルタ不正利用され易いWindowsが利用するTCP/UDPの135,137,138,139,445番のポートを遮断します。135・「netbios_ns-netbios_ssn」の部分は、netbios_ns(137)からnetbios_ssn(139)までというポートの範囲を表します。445◆PP側のOUT方向のフィルタ・宛先がプライベートIPアドレス宛てのパケットを遮断します。これは通常の通信ではありえない宛先です。*・上記フィルタに該当しないパケットを全て許可します。*・「source-routeオプション付きIPパケット」を遮断します。Broadcastアドレス宛になっているIPパケットを遮断します。Broadcastアドレスとは、IPアドレスのホスト部が全て"1"であるアドレスのことです。on・「pp1」を使用できるようにします。1・pp側の「in」の方向にフィルタを適用します。35・pp側の「out」の方向にフィルタを適用します。pp1」の選択を終了します。