ICMPパケットメッセージについて("unreachable - admin prohibited filter")

お問い合わせ内容

Internet Control Message Protocol(ICMP)パケットに添付されている「unreachable - admin prohibited filter」のパケット情報を理解します。

Cisco Secure Firewall Threat Defense(FTD)キャプチャの例：

device# show capture CAPO
 
106 packets captured
 
   1: 08:12:45.864243       198.51.100.205.7351 > 192.0.2.2.47668:  udp 111
   2: 08:12:46.400812       198.51.100.205.7351 > 192.0.2.2.47668:  udp 124
   3: 08:12:46.406320       192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
   4: 08:12:47.936856       198.51.100.205.7351 > 192.0.2.2.47668:  udp 124
   5: 08:12:47.943936       192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
   6: 08:12:49.216739       198.51.100.205.7351 > 192.0.2.2.47668:  udp 124
   7: 08:12:49.222278       192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
   8: 08:12:50.096079       198.51.100.205.7351 > 192.0.2.2.47668:  udp 124
   9: 08:12:50.106363       192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter

環境

これは、次の製品のいずれかで確認できます。

• FTD

• 適応型セキュリティ アプライアンス（ASA）

解決策

ICMPタイプ3、コード13メッセージについて

ICMPの「unreachable - admin prohibited filter」メッセージは、ICMPタイプ3、コード13(Destination Unreachable - Communication Administratively Prohibited)に対応しています。 これらのメッセージは、トラフィックがネットワーク接続の問題により到達不能ではなく、セキュリティポリシーまたはアクセスコントロールリスト(ACL)により明示的に拒否されたことを示します。

パケットキャプチャ情報の分析

ステップ 1：ICMP拒否メッセージの送信元を特定する

パケットキャプチャを確認して、どのデバイスがICMPタイプ3、コード13応答を生成しているかを特定します。この場合、denyメッセージは特定のIPアドレス(192.0.2.2)から発信されています。

ステップ 2元のパケットヘッダーを調べる

ICMP拒否メッセージには、ブロックされた元のパケットに関する情報が含まれます。これには、元の送信元と宛先のIPアドレス、プロトコル情報、および管理上の禁止をトリガーしたポート番号が含まれます。

ステップ 3denyメッセージとトラフィックパターンの関連付け

拒否される特定のトラフィックフローに対するICMP応答を照合します。たとえば、ポート7351へのUDPトラフィックは、CAPOキャプチャのIPアドレス192.0.2.2のデバイスによって拒否されています。

パケットキャプチャ分析の制限事項

テキストをエクスポートしたパケットキャプチャを処理する場合、詳細なパケットごとの分析はバイナリpcapファイルと比較して制限できます。包括的な分析を行うために、バイナリパケットキャプチャファイル（pcap形式）は、次のような詳細な情報を提供します。

• 完全なパケットヘッダーとペイロード情報

• 正確なタイミング情報

• 完全なプロトコルデコード機能

• 強化されたフィルタリングと分析オプション

原因

通常、根本原因は次のいずれかです。

• 特定のトラフィックフローを拒否するように設定されたACL

• 特定のプロトコル、ポート、またはIPアドレスをブロックするファイアウォール規則

この例では、メッセージの原因はダウンストリームACLです。

関連コンテンツ

• https://datatracker.ietf.org/doc/html/rfc792

• https://datatracker.ietf.org/doc/html/rfc1812

• https://www.cisco.com/c/en/us/support/docs/security/firepower-ngfw/215092-analyze-firepower-firewall-captures-to-e.html

更新履歴

改定	発行日	コメント
1.0	04-May-2026	初版