目的

サービス拒否(DoS)攻撃は、誤ったトラフィックでネットワークをフラッディングします。これにより、正当なユーザからネットワークサーバリソースが解放されます。SYNフラッドは、特にTCPプロトコルをターゲットにします。TCPプロトコルが機能するには3つの手順が必要です。まず、ユーザは自分のIPアドレスをサーバに送信し、接続を要求します。次に、サーバが要求に応答し、確認を待ちます。最後に、ユーザはサーバが接続を開いたことを確認します。TCP SYN攻撃は複数のIPアドレスを使用して接続を要求しますが、接続が開かれるとサーバに確認応答を送信することはありません。サーバは、正当なユーザからのTCP要求のドロップを開始する前に、限られた量の接続だけを開くことができます。

TCPトラフィックは複数の仮想ポートで送信されます。これらのポートは、ネットワークトラフィックを共通のグループに分割する方法です。SYNフィルタは、特定の仮想ポートからのトラフィックをブロックするように設定できます。さらに、SYNフィルタリングは、スイッチの実際の物理ポートまたはLAGに設定されます。この記事では、300シリーズマネージドスイッチでSYNフィルタリングを設定する方法について説明します。

注：Synフィルタは、DoS防御が有効になっている場合にのみ使用できます。詳細については、『300シリーズマネージドスイッチのセキュリティスイート設定』を参照してください。

該当するデバイス

・ SF/SG 300シリーズマネージドスイッチ

[Software Version]

・ v1.2.7.76

SYNフィルタリングの設定

ステップ1:Web設定ユーティリティにログインし、[Security] > [Denial of Service Prevention] > [SYN Filtering]を選択します。[SYN Filtering]ページが開きます。

ステップ2:[Add]をクリックして、新しいSYNフィルタを追加します。[Add Syn Filtering]ウィンドウが表示されます。

ステップ3:[Interface]フィールドで、目的のインターフェイスに対応するオプションボタンをクリックします。これは、フィルタが割り当てられる物理的な場所です。

・ポート：スイッチの物理ポート。[Port]ドロップダウンリストから特定のポートを選択します。

・ LAG：単一ポートとして機能するポートのグループ。[LAG]ドロップダウンリストから特定のLAGを選択します。

ステップ4:[IPv4 Address（IPv4アドレス）]フィールドで、目的のIPv4アドレスに対応するオプションボタンをクリックします。

・ User Defined — TCPトラフィックに対してフィルタリングするIPアドレスを入力します。

・ All addresses：すべてのIPv4アドレスがTCPトラフィック用にフィルタリングされます。[All addresses]が選択されている場合は、ステップ6に進みます。

ステップ5:[Network Mask]フィールドで、IPアドレスのサブネットマスクを定義するために使用する方法に対応するオプションボタンをクリックします。

・ Mask — [Network mask]フィールドにネットワークマスクを入力します。

・ Prefix Length — Prefix lengthフィールドにプレフィクス長（0 ～ 32の範囲の整数）を入力します。

ステップ6:[TCP Port]フィールドで、フィルタ処理するTCPポートに対応するオプションボタンをクリックします。これらは、ネットワークトラフィックが分割される仮想ポートです。

・ Known Ports:[Known Ports]ドロップダウンリストから、フィルタリングするTCPポートを選択します。

・ User Defined – フィルタリングするTCPポートを入力します。

・すべてのポート：すべてのTCPポートがフィルタリングされます。

ステップ7:[Apply]をクリックして変更を保存し、[Close]をクリックして[Add Syn Filtering]ウィンドウを終了します。