ＣＯＮＧＯのフィルタ機能

Up 1998.10.25

フィルタサービスとは
ｔｃｐ／ｉｐのプロトコルで、送信・受信・送信先アドレス・送信元アドレス 通信プロトコル・ポート番号の各条件にとって通信を制限（通す／通さない） することができます。
ただし、ｃｏｎｇｏへのこのサービスの設定はコマンドレベルで行わなくてはなりません。

コマンドの体系
[1] 条件の設定
add profile ip filter entry Na io di dm si sm eq proc ( opti port ) filt
NaFilterName 条件名
ioO/I output/input
diDEST_IP 宛先IPアドレス　(0.0.0.0は指定なしのすべてをあらわします)
dmDEST_MASK 宛先ネットマスク　(0.0.0.0は指定なしのすべてをあらわします)
siSOURCE_IP 送信元IPアドレス　(0.0.0.0は指定なしのすべてをあらわします)
smSOURCE_MASK 送信元ネットマスク　(0.0.0.0は指定なしのすべてをあらわします)
eq 組み合わせ条件　等しい/等しくないの条件
= / !
proc 通信プロトコル番号(頭に 0x をつけて16進数表記)
opti 宛先/送信元のアドレスに対する条件の組み合わせ
= / ! / < / >
d= / d! / d< / d>
s= / s! / s< / s>
(s:宛先　d:送信元　のアドレスを示す）
port ポート番号 (10進数)
filt フィルタ条件　
discard / log / low / normal / high
廃棄/廃棄しSNMPトラップを発行/低いプライマリ/ノーマル/高いプライマリ

[2] 条件の組み合わせによるグループを定義します

add profile entry GroupName Na [Na2 Na3 .....]

[3] 条件グループを接続ポートごとに設定します

add profile port assign D1 GroupName
DI 　ルータの接続ポート名
GNAME　　条件グループ名

フィルタ条件例
telnetの進入を防ぐ（自ネットワークを192.168.1.0とする）
add profile ip filter entry StopTelnet input 192.168.1.0 255.255.255.0 0.0.0.0 0.0.0.0 = 0x6 d= 23 discard
add profile entry FilterGroup StopTelnet
add profile port assign D1 FilterGroup

インターネット上への ftp を禁止する（自ネットワークを192.168.1.0とする）
add profile ip filter entry StopFtp output 0.0.0.0 0.0.0.0 192.168.1.0 255.255.255.0 = 0x06 s= 21 discard add profile entry FilterGroup StopFtp
add profile port assign D1 FilterGroup

支店(192.168.2.0)からの ftp 以外は受け付けない（自ネットワークを192.168.1.0とする）
add profile ip filter entry Oksnmp input 0.0.0.0 0.0.0.0 192.168.2.0 255.255.255.0 = 0x11 = 161 normal
add profile ip filter entry 1ksnmp input 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0.0 = 0x11 = 161 discard add profile entry FilterGroup Oksnmp 1ksnmp
add profile port assign D1 FilterGroup
通信プロトコル番号
Protocol　HEX　
　ICMP　　0x1
　GGP　　0x3
　TCP　　0x6
　UDP　　0x11
　XNS-IDP　　0x16
　RDP 　0X1b

代表的なポート番号

ＴＣＰポート番号
_Port_　 Key　
1 TCP MUX　 TCP Multiplexor
5 RJE　 Remote Job Entry
7 ECHO　 Echo
9 DISCARD　 Discard
11 SYTAT　 Active Users
13 NETSTAT　 Network Status Program
17 QOTD　 Quote of The Day
19 CHARGEN　 Character Generator
20 FTP-DATA　 File Transfer Protocol(data)
21 FTP 　 File Transfer Protocol
23 TELNET　 termial Connection
25 SMTP　 Simple Mail Transport Protocol
37 TIME　 time
42 NAME　 Host NAme Server
43 WHOIS　 Who is
53 NAMESERVER　 Domain Name Server
77 RJE　 Any Private RJE Service
79 FINGER　 Finger
93 DCP　 Device Control Protocol
95 SUPDUP　 SUPDUP Protocol
101 HOSTNAMES　 NIC Host Name Server
102 ISO-TSAP　 ISO-TSAP
103 X400　 X.400 Mail Service
104 X400-SND　 X.400 Mail Sending
111 SUNRPC　 SUN Remote Procedure Call
113 AUTH　 Authentication Service
117 UUCP-PATH　 UUCP Path Service
119 NNTP　 USENET News Transfer Protocol
129 PWDGEN　 Password Generator Protocol
139 NETBIOS-SSN　 NETBIOS Session Service

ＵＤＰポート番号
_Port_　 Key　
7 ECHO　 Echo
9 DISCARD　 Discard
11 SYTAT　 Active Users
13 NETSTAT　 Network Status Program
17 QOTD　 Quote of The Day
19 CHARGEN　 Character Generator
37 TIME　 time
42 NAME　 Host NAme Server
43 WHOIS　 Who is
53 NAMESERVER　 Domain Name Server
67 BOOTPS　 Bootstrap Protocol Server
68 BOOTPC　 Bootstrap Protocol Client
69 TFTP　 Trivial File Transter
111 SUNRPC　 SUN Remote Procedure Call
123 NTP　 Network Time Protocol
161 SNMP　 SNMP Net Monitor
162 SNMP-TRAP　 SNMP Trap
512 BIFF　 UNIC Comsat
513 WHO　 UNIX Rwho Dasmon
514 SYSLOG　 System Log
525 TIMED　 Time Daemon

 もどる