Internet Control Message Protocol(ICMP)パケットに添付されている「unreachable - admin prohibited filter」のパケット情報を理解します。
Cisco Secure Firewall Threat Defense(FTD)キャプチャの例:
device# show capture CAPO
106 packets captured
1: 08:12:45.864243 198.51.100.205.7351 > 192.0.2.2.47668: udp 111
2: 08:12:46.400812 198.51.100.205.7351 > 192.0.2.2.47668: udp 124
3: 08:12:46.406320 192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
4: 08:12:47.936856 198.51.100.205.7351 > 192.0.2.2.47668: udp 124
5: 08:12:47.943936 192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
6: 08:12:49.216739 198.51.100.205.7351 > 192.0.2.2.47668: udp 124
7: 08:12:49.222278 192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
8: 08:12:50.096079 198.51.100.205.7351 > 192.0.2.2.47668: udp 124
9: 08:12:50.106363 192.0.2.2 > 198.51.100.205 icmp: host 192.0.2.2 unreachable - admin prohibited filter
これは、次の製品のいずれかで確認できます。
FTD
適応型セキュリティ アプライアンス(ASA)
ICMPの「unreachable - admin prohibited filter」メッセージは、ICMPタイプ3、コード13(Destination Unreachable - Communication Administratively Prohibited)に対応しています。 これらのメッセージは、トラフィックがネットワーク接続の問題により到達不能ではなく、セキュリティポリシーまたはアクセスコントロールリスト(ACL)により明示的に拒否されたことを示します。
ステップ 1:ICMP拒否メッセージの送信元を特定する
パケットキャプチャを確認して、どのデバイスがICMPタイプ3、コード13応答を生成しているかを特定します。この場合、denyメッセージは特定のIPアドレス(192.0.2.2)から発信されています。
ステップ 2元のパケットヘッダーを調べる
ICMP拒否メッセージには、ブロックされた元のパケットに関する情報が含まれます。これには、元の送信元と宛先のIPアドレス、プロトコル情報、および管理上の禁止をトリガーしたポート番号が含まれます。
ステップ 3denyメッセージとトラフィックパターンの関連付け
拒否される特定のトラフィックフローに対するICMP応答を照合します。たとえば、ポート7351へのUDPトラフィックは、CAPOキャプチャのIPアドレス192.0.2.2のデバイスによって拒否されています。
テキストをエクスポートしたパケットキャプチャを処理する場合、詳細なパケットごとの分析はバイナリpcapファイルと比較して制限できます。包括的な分析を行うために、バイナリパケットキャプチャファイル(pcap形式)は、次のような詳細な情報を提供します。
完全なパケットヘッダーとペイロード情報
正確なタイミング情報
完全なプロトコルデコード機能
強化されたフィルタリングと分析オプション
通常、根本原因は次のいずれかです。
特定のトラフィックフローを拒否するように設定されたACL
特定のプロトコル、ポート、またはIPアドレスをブロックするファイアウォール規則
この例では、メッセージの原因はダウンストリームACLです。
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
04-May-2026
|
初版 |