第49章アクセスルールの詳細設定

ファイアウォール設定＞詳細

アクセスルールの詳細設定オプションを構成するには、「ファイアウォール」の下部にある「ファイアウォール設定＞詳細」を選択します。

「ファイアウォール設定＞詳細」ページには、次のファイアウォール設定オプショングループがあります。

･「接続数」

･「ＵＤＰ」

･「接続の制限」

侵入検知と防止

･ステルスモードを有効にする－既定では、セキュリティ装置は着信接続要求を“遮断”または“オープン”として扱います。ステルスモードを有効にすると、セキュリティ装置は遮断された着信接続要求には応答しません。ステルスモードでは、セキュリティ装置は基本的にハッカーに対して見えなくなります。

･ＩＰＩＤの乱数化を有効にする－ハッカーが使用するさまざまな検出ツールによってセキュリティ装置の存在が検出されることを防ぐには、「ＩＰＩＤの乱数化を有効にする」を選択します。このオプションを有効にすると、乱数化されたＩＰＩＤがＩＰパケットに割り当てられるようになるので、ハッカーがセキュリティ装置の“特徴”を検出するのが困難になります。

･転送トラフィックに対するＩＰＴＴＬを減少する－Ｔｉｍｅ-ｔｏ-ｌｉｖｅ（ＴＴＬ）は、パケットがネットワーク上に長い時間存在しているので破棄するかどうかを、ネットワークルータに指示するＩＰパケットの値です。転送済みですでにネットワーク上に一定の時間存在しているパケットのＴＴＬ値を減らすには、このオプションを選択します。

･ＩＣＭＰＴｉｍｅ-Ｅｘｃｅｅｄｅｄパケットを生成しない－ＳｏｎｉｃＷＡＬＬ装置は、ＴＴＬ値がゼロになったためにパケットを破棄したときには、Ｔｉｍｅ-Ｅｘｃｅｅｄｅｄパケットを生成してそのことを報告します。ＳｏｎｉｃＷＡＬＬ装置でこのような報告パケットが生成されないようにするには、このオプションを選択します。

動的ポート機能への対応

･サービスオブジェクトの TCP ポートに対する FTP 変換を有効にする - FTP は、TCP ポート 20 と 21 上で、ポート 21を制御ポート、20 をデータポートとして動作します。しかしながら、標準外のポート (例えば 2020 と 2121) を使っている場合、既定では SonicWALL はそれらのパケットを FTP トラフィックとして認識できないために破棄します。「サービスオブジェクトの TCP ポートに対する FTP 変換を有効にする」オプションによって、サービスオブジェクトを選択して FTP トラフィックに対する個別の制御ポートを指定できます。

この機能がどのように動作するかを図説するために、SonicWALL の背後にあってポート 2121 で待機する FTP サーバの以下の例を考えます。

a. 「

ネットワーク＞アドレスオブジェクト」ページで、FTP サーバのプライベート IP アドレスに対する「アドレスオブジェクト」を、以下のように作成します。

･名前： FTP Server Private

･ゾーンの割り当て： LAN

･タイプ：ホスト

･ IP アドレス： 192.168.168.2

b. 「

ネットワーク＞サービス」ページで、FTP サーバに対するユーザ定義サービスを以下の値で作成します。

･名前： FTP Custom Port Control

･プロトコル： TCP (6)

･ポート範囲： 2121-2121

c. 「

ネットワーク＞ NAT ポリシー」ページで、以下の NAT ポリシーを作成して、「ファイアウォール＞アクセスルール」ページで、以下のアクセスルールを作成します。

d. 最後に、「

ファイアウォール設定＞詳細」ページで、「サービスオブジェクトの TCP ポートに対する FTP 変換を有効にする」に対して、「FTP Custom Port Control」サービスオブジェクトを選択します。

以下のオプションも、「ファイアウォール設定＞詳細」ページの「動的ポート機能への対応」セクションで設定できます。

･オラクルＳＱＬＮｅｔを有効にする－ネットワーク上にオラクルアプリケーションがある場合に選択します。

･ＲＴＳＰを有効にする－オーディオとビデオなど、リアルタイムデータのオンデマンド提供をサポートするには、このオプションを選択します。ＲＴＳＰ（ＲｅａｌＴｉｍｅＳｔｒｅａｍｉｎｇＰｒｏｔｏｃｏｌ）は、リアルタイムのプロパティを持つデータの提供を制御するための、アプリケーションレベルのプロトコルです。

ソースルーティングパケット

ソースルーティングパケットを破棄する－（既定で有効）２つの特定のホスト間のトラフィックをテストしていて、ソースルーティングを使用している場合は、このチェックボックスをオフにします。

接続数

「接続数」セクションでは、装置のパフォーマンスを調整して、最適なパフォーマンスを優先するのか、ＵＴＭサービスで検査される多数の同時接続数のサポートを優先するのかを指定できます。以下の DPI 接続設定どちらでも提供するセキュリティ保護レベルに変化はありません。以下の接続オプションが利用可能です。

･ 最大 SPI 接続数 (DPI サービスの無効化) －このオプションは、SonicWALL DPI セキュリティサービス保護を提供せずに、ステートフルパケット検査のみを有効にして接続数が最大になるようにファイアウォールを最適化します。

･ 最大 DPI 接続数 (DPI サービスの有効化) －これは既定の設定で、ほとんどの SonicWALL 配備で推奨される設定です。

･ DPI 接続 (DPI サービスの有効化と追加パフォーマンス最適化) －このオプションは、パフォーマンスがクリティカルな配備を意図しています。このオプションはファイアウォールの DPI 検査のスループットを増大するかわりに、最大 DPI 接続数を妥協します。

補足　この「接続数」設定を変更する場合、変更を反映するために SonicWALL セキュリティ装置を再起動する必要があります。

接続の最大数はまた、アプリケーションフローが有効かどうか、外部コレクターが設定されているかどうか、また、SonicWALL セキュリティ装置のモデルの物理的な能力にも依存します。「接続数」見出しの隣にある疑問符アイコンにマウスポインタを合わせると、様々な設定の組み合わせに対するあなたの SonicWALL セキュリティ装置に特化した最大接続数がポップアップテーブルに表示されます。現在の設定に対するテーブルのエントリは、テーブル内に以下の例で表示されているように示されます。

アクセスルールサービスオプション

発信／着信ＦＴＰデータ接続は常に既定の２０番ポートを使用する－既定の設定では、２０番ポートからのＦＴＰ接続が許可されますが、発信トラフィックは１０２４などのポートに再割り付けされます。このチェックボックスをオンにした場合、セキュリティ装置を通過する任意のＦＴＰデータ接続は２０番ポートからのものである必要があります。それ以外の接続は破棄されます。このイベントは、セキュリティ装置でログイベントとして記録されます。

同じインターフェースを送信先または送信元とするＬＡＮ内トラフィックにファイアウォールルールを適用します。 - 特定のＬＡＮインターフェースで受信され、同じＬＡＮインターフェースを送信先とするトラフィックにファイアウォールルールを適用します。通常、これはセカンダリのＬＡＮサブネットが設定されている場合にのみ必要です。

ＩＰおよびＵＤＰチェックサム強制

･ＩＰヘッダチェックサム強制を有効にする－ＩＰヘッダチェックサム強制を有効にするには、このオプションを選択します。

･ＵＤＰチェックサム強制を有効にする－ＵＤＰチェックサム強制を有効にするには、このオプションを選択します。

ＵＤＰ

既定のＵＤＰ接続タイムアウト（秒）－ＵＤＰ接続がタイムアウトするまでの無動作時間を秒単位で入力します。この値よりも、個別ルールで設定するＵＤＰ接続タイムアウトが優先されます。

接続の制限

接続の制限機能を使用すると、個別のＩＰアドレスとの間に開始できる接続数を制限することによって、分散サービス拒否（ＤＤｏＳ）攻撃に対するセキュリティが一層強化されます。

･送信元ＩＰに基づき接続制限を有効にする－単一の送信元ＩＰアドレスからの接続数を制限するときに選択します。既定の制限値は１２８です。これを変更するには、「しきい値」フィールドに値を入力します。

･送信先ＩＰに基づき接続制限を有効にする－単一の送信先ＩＰアドレスへの接続数を制限するときに選択します。既定の制限値は１２８です。これを変更するには、「しきい値」フィールドに値を入力します。

個別のＩＰアドレスに対して設定できるこれらの項目に加え、すべてのＳｏｎｉｃＷＡＬＬセキュリティ装置には、接続総数の制限が組み込まれています。詳細については、「接続の制限の概要」を参照してください。