第21章ファイアウォールサービスの設定

ＳｏｎｉｃＯＳでは拡張ＩＰプロトコルがサポートされており、ユーザはこのプロトコルに基づいてサービスとアクセスルールを作成できます。サポートされるＩＰプロトコルについては、「サポートされるプロトコル」を参照してください。

ＳｏｎｉｃＷＡＬＬセキュリティ装置では、ネットワークへのトラフィックの許可または拒否を決定するネットワークアクセスルールを設定するために、サービスを使用します。ＳｏｎｉｃＷＡＬＬセキュリティ装置には、既定のサービスが用意されています。既定のサービスは、編集できない定義済みサービスです。特定の業務上の要件に合わせてファイアウォールサービスを設定するためのユーザ定義サービスを作成することもできます。

「表示形式」の「すべてのサービス」を選択すると、ユーザ定義サービスと既定のサービスの両方が表示されます。

既定のサービスの概要

「既定のサービス」表示では、ＳｏｎｉｃＷＡＬＬセキュリティ装置の既定のサービスが「サービス」テーブルと「サービスグループ」テーブルに表示されます。「サービスグループ」テーブルでは、複数の既定のサービスをまとめて１つのサービスオブジェクトとして表示します。このような定義済みのサービスは、削除や編集ができません。「サービス」テーブルには、サービスに関する以下の属性が表示されます。

･「名前」－サービスの名前。

･「プロトコル」－サービスのプロトコル。

･「開始ポート」－サービスの開始ポート番号。

･「終了ポート」－サービスの終了ポート番号。

･「設定」－使用不能な「編集」アイコン

と「削除」アイコン

が表示されます（既定のサービスは編集や削除ができないため、「編集」アイコンと「削除」アイコンを使用できるようにするには、新しいサービスを追加する必要があります）。

一般的なアプリケーションに適用されるサービスは、既定のサービスグループという名前でグループ化されています。このグループは変更や削除ができません。「既定のサービスグループ」エントリの左側にある＋アイコンを選択すると、グループに含まれている既定のサービスがすべて表示されます。例えば、ＤＮＳ（ＮａｍｅＳｅｒｖｉｃｅ）エントリには、ポート５３に対応する「ＤＮＳ（ＮａｍｅＳｅｒｖｉｃｅ）ＴＣＰ」と、ポート５３に対応する「ＤＮＳ（ＮａｍｅＳｅｒｖｉｃｅ）ＵＤＰ」という２つのサービスが含まれます。このように、同じ名前を持つ複数のエントリがまとめてグループ化され、１つのサービスとして扱われます。既定のサービスグループは編集や削除ができません。

ユーザ定義サービスの設定作業リスト

ユーザ定義サービスの設定作業を以下のリストに示します。

･ユーザ定義サービスの追加

･ユーザ定義サービスの編集

･ユーザ定義サービスの削除

･ユーザ定義サービスグループの追加

･ユーザ定義サービスグループの編集

･ユーザ定義サービスグループの削除

サポートされるプロトコル

ユーザ定義サービスには、以下のＩＰプロトコルを使用できます。

･ＩＣＭＰ（１）－（インターネット制御メッセージプロトコル）エラーメッセージと制御メッセージの送信に使用されるＴＣＰ／ＩＰプロトコル。

･ＩＧＭＰ（２）－（インターネットグループ管理プロトコル）ＴＣＰ／ＩＰネットワークにおけるマルチキャストグループの管理を制御するプロトコル。

･ＴＣＰ（６）－（転送制御プロトコル）ＴＣＰ／ＩＰのＴＣＰ部分です。ＴＣＰはＴＣＰ／ＩＰの転送プロトコルです。ＴＣＰにより、メッセージが正確に、欠けることなく送信されます。

･ＵＤＰ（１７）－（ユーザデータグラムプロトコル）ＴＣＰ／ＩＰプロトコルスイートに含まれるプロトコル。信頼性の高い送信が不要な場合に、ＴＣＰの代わりに使用されます。

･ＧＲＥ（４７）－（汎用ルーティングカプセル化）ＩＰトンネル内のさまざまな種類のプロトコルパケットをカプセル化するために使用されるトンネルプロトコル。ファイアウォールへの仮想ポイントツーポイントリンクの作成や、ＩＰインターネットワーク経由での機器のルーティングに使用されます。

･ＥＳＰ（５０）－（カプセル化セキュリティペイロード）ＩＰｓｅｃによる柔軟なデータ転送手段として使用される、別のデータグラム内のＩＰデータグラムをカプセル化する手法。

･ＡＨ（５１）－（認証ヘッダー）データ認証に加え、オプションでアンチリレーサービスを提供するセキュリティプロトコル。ＡＨは保護するデータに埋め込みます（完全なＩＰデータグラム）。

･ＥＩＧＲＰ（８８）－（拡張内部ゲートウェイルーティングプロトコル）ＩＧＲＰを拡張したプロトコル。優れた収束特性と動作効率を実現し、リンク状態プロトコルの利点と距離ベクトルプロトコルの利点を同時に備えています。

･ＯＳＰＦ（８９）－（オープンショーテストパスファースト）ノード間の距離およびいくつかの品質パラメータに基づいて、ＴＣＰ／ＩＰネットワークにおけるＩＰトラフィックのルーティングに最適なパスを決定する、ルーティングプロトコルです。ＯＳＰＦは内部ゲートウェイプロトコル（ＩＧＰ）の１つであり、自律システムの内部で動作するように設計されています。また、ＯＳＰＦはＲＩＰプロトコルを置き換えるために開発されたリンク状態プロトコルであり、ＲＩＰプロトコル（距離ベクトルプロトコル）よりも少ないルータ数でトラフィックを更新できます。

･ＰＩＭＳＭ（１０３）－（プロトコル非依存マルチキャストスパースモード）２つあるＰＩＭ動作モード（デンスモードとスパースモード）の１つ。ＰＩＭスパースモードでは、ネットワーク内の最小限のルータがデータを受け取るように、データの配信が制限されます。パケットは、ＲＰ（ランデブーポイント）で明示的に要求された場合にのみ送信されます。スパースモードでは、受信側が広く分散しているため、ダウンストリームのネットワークに送信されたデータグラムは必ずしも使用されないと想定されます。スパースモードの使用コストは、明示的なＪｏｉｎメッセージの定期更新に依存していることと、ＲＰが必要であることです。

･Ｌ２ＴＰ－（レイヤ２トンネリングプロトコル）ＰＰＰセッションをインターネット経由で実行するためのプロトコル。Ｌ２ＴＰには暗号化機能はありませんが、リモートユーザから企業ＬＡＮへの仮想プライベートネットワーク（ＶＰＮ）接続を確立するために既定でＩＰｓｅｃが使用されます。

定義済みサービスタイプへのユーザ定義サービスの追加

任意の定義済みサービスタイプにユーザ定義サービスを追加できます。


プロトコル	ＩＰ番号
ＩＣＭＰ	1
ＴＣＰ	6
ＵＤＰ	17
ＧＲＥ	47
ＩＰｓｅｃＥＳＰ	50
ＩＰｓｅｃＡＨ	51
ＩＧＭＰ	2
ＥＩＧＲＰ	88
ＯＳＰＦ	89
ＰＩＭＳＭ	103
Ｌ２ＴＰ	115

作成したユーザ定義サービスは、すべて「ユーザ定義サービス」テーブルに一覧表示されます。ユーザ定義サービスグループを作成してユーザ定義サービスをグループ化することで、より簡単にポリシーを適用することができます。「既定のサービス」テーブルにプロトコルが表示されていない場合、「追加」を選択することで、そのプロトコルを「ユーザ定義サービス」テーブルに追加できます。

手順 1　「名前」フィールドにサービスの名前を入力します。

手順 2　「プロトコル」プルダウンメニューで、ＩＰプロトコルの種類を選択します。

手順 3　選択したＩＰプロトコルに応じて、ポート範囲またはＩＰプロトコルのサブタイプを入力します。

･ＴＣＰプロトコルとＵＤＰプロトコルの場合、ポート範囲を指定します。サブタイプを指定する必要はありません。

･ＳｏｎｉｃＷＡＬＬＮＳＡシリーズ装置では、ＩＣＭＰ、ＩＧＭＰ、ＯＳＰＦ、ＰＩＭＳＭプロトコルの場合、「サブタイプ」プルダウンメニューからサブタイプを選択します。

･その他のプロトコルの場合、ポート範囲もサブタイプも指定する必要はありません。

手順 4　「ＯＫ」を選択します。「ユーザ定義サービス」テーブルに、サービスが表示されます。

「ログを有効にする」チェックボックスを使って、サービスの動作ログを有効または無効にします。

カスタムＩＰタイプサービスの追加

定義済みＩＰタイプのみを使用している場合、セキュリティ装置でその他のＩＰプロトコルタイプのトラフィックが検出されると、そのトラフィックは識別不能として破棄されます。ただし、ＩＡＮＡ（ＩｎｔｅｒｎｅｔＡｓｓｉｇｎｅｄＮｕｍｂｅｒｓＡｕｔｈｏｒｉｔｙ）：〈http://www.iana.org/assignments/protocol-numbers〉により管理されている膨大な数の登録済みＩＰタイプのリストがあります。一般的でない（識別不能な）ＩＰタイプトラフィックは厳格に削除する方が安全ではありますが、機能が制限されます。

ＳｏｎｉｃＯＳ３.５以降では、カスタムＩＰタイプサービスオブジェクトがサポートされるため、管理者は任意のＩＰタイプを表すサービスオブジェクトを作成できます。これにより、任意のタイプのＩＰｖ４トラフィックを認識および制御するファイアウォールアクセスルールを作成できます。

補足　汎用サービス「すべて」では、カスタムＩＰタイプサービスオブジェクトが処理されません。つまり、ＩＰタイプ１２６にカスタムＩＰタイプサービスを定義しただけでは、ＩＰタイプ１２６は既定のＬＡＮ＞ＷＡＮ許可ルールで許可されません。

認識と処理を実現するには、以下の図に示すように、そのカスタムＩＰタイプサービスオブジェクトのみを含むアクセスルールを作成する必要があります。

例

管理者が、ＲＳＶＰ（リソース予約プロトコル－ＩＰタイプ４６）およびＳＲＰ（Ｓｐｅｃｔｒａｌｉｎｋラジオプロトコル－ＩＰタイプ１１９）をＷＬＡＮゾーン（ＷＬＡＮサブネット）の全クライアントからＬＡＮゾーン（例えば１０.５０.１６５.２６など）のサーバまで許可する必要があるとします。管理者は、この２つのサービスを扱うカスタムＩＰタイプサービスオブジェクトを定義できます。

手順 1　「ネットワーク＞サービス」ページで、ページ右上の「サービス」セクションで、「サービスオブジェクトに移動する」を選択して、サービスセクションへ移動します。

手順 2　「追加」を選択します。

手順 3　サービスオブジェクトに適切な名前を付けます。

手順 4　「プロトコル」ドロップダウンメニューから、「カスタムＩＰタイプ」を選択します。

手順 5　カスタムＩＰタイプのプロトコル番号を入力します。カスタムＩＰタイプの場合、ポート範囲は適用されないため、指定できません。

補足　定義済みＩＰタイプに対してカスタムＩＰタイプサービスオブジェクトを定義しようとすると、許可されず、次のエラーメッセージが表示されます。