shun
攻撃元ホストからの接続をブロックするには、特権 EXEC モードで shun コマンドを使用します。shun を無効にするには、このコマンドの no 形式を使用します。
shun source_ip [ dest_ip source_port dest_port [ protocol ]] [ vlan vlan_id | interface if_name ]
no shun source_ip [ vlan vlan_id | interface if_name ]
構文の説明
|
dest_port |
（任意）送信元 IP アドレスに shun を適用するときにドロップする現在の接続の宛先ポートを指定します。 |
|
dest_ip |
（任意）送信元 IP アドレスに shun を適用するときにドロップする現在の接続の宛先アドレスを指定します。 |
|
interface if_name |
（任意）送信元アドレスを回避するインターフェイスを指定します。 |
|
protocol |
（任意）送信元 IP アドレスに shun を適用するときにドロップする現在の接続の IP プロトコル（UDP や TCP など）を指定します。デフォルトでは、プロトコルは 0（すべてのプロトコル）です。 |
|
source_ip |
攻撃元ホストのアドレスを指定します。送信元 IP アドレスのみを指定した場合、このアドレスからの今後のすべての接続はドロップされます。現在の接続はそのまま維持されます。現在の接続をドロップし、かつ shun を適用するには、その接続についての追加パラメータを指定します。その送信元 IP アドレスからの今後のすべての接続には、宛先パラメータに関係なく、shun がそのまま維持されます。 |
|
source_port |
（任意）送信元 IP アドレスに shun を適用するときにドロップする、現在の接続の送信元ポートを指定します。 |
|
vlan vlan_id |
（任意）送信元ホストが配置されている VLAN ID を指定します。 |
コマンド デフォルト
デフォルトのプロトコルは 0（すべてのプロトコル）です。
コマンド モード
次の表に、コマンドを入力できるモードを示します。
|
コマンドモード |
ファイアウォールモード |
セキュリティコンテキスト |
|||
|---|---|---|---|---|---|
|
ルーテッド |
トランスペアレント |
シングル |
マルチ |
||
|
コンテキスト |
システム |
||||
|
特権 EXEC |
|
|
|
|
— |
コマンド履歴
|
リリース |
変更内容 |
|---|---|
|
7.0(1) |
このコマンドが追加されました。 |
|
9.20(3) |
interface キーワードが追加されました。 |
使用上のガイドライン
shun コマンドを使用すると、攻撃元ホストからの接続をブロックできます。送信元 IP アドレスからの今後のすべての接続は、手動または Cisco IPS センサーによってブロッキング機能が削除されるまで、ドロップされ、ログに記録されます。shun コマンドのブロッキング機能は、指定したホスト アドレスとの接続が現在アクティブかどうかに関係なく適用されます。
宛先アドレス、送信元ポート、宛先ポート、およびプロトコルを指定すると、一致する接続がドロップされ、かつ、その送信元 IP アドレスからの今後のすべての接続に shun が適用されます。この場合、これらの特定の接続パラメータと一致する接続だけでなく、今後のすべての接続が回避されます。
VLAN またはインターフェイスを指定しない場合、shun インターフェイスは排除された IP のルートルックアップによって決定されます。
shun コマンドは、各インターフェイスの送信元 IP アドレスごとに 1 つのみ使用できます。
shun コマンドは攻撃をダイナミックにブロックするために使用されるため、ASA コンフィギュレーションには表示されません。
インターフェイス コンフィギュレーションが削除されると、そのインターフェイスに付加されているすべての shun も削除されます。新しいインターフェイスを追加するか、または同じインターフェイスを（同じ名前を使用して）置き換える場合、IPS センサーでそのインターフェイスをモニターするには、そのインターフェイスを IPS センサーに追加する必要があります。
例
次に、攻撃ホスト（10.1.1.27）が攻撃対象（10.2.2.89）に TCP で接続する例を示します。この接続は、ASA 接続テーブル内で次のように記載されています。
10.1.1.27, 555-> 10.2.2.89, 666 PROT TCP
次のオプションを使用して、shun コマンドを適用します。
ciscoasa# shun 10.1.1.27 10.2.2.89 555 666 tcp
このコマンドにより、現在の接続は ASA 接続テーブルから削除され、10.1.1.27 からの今後のすべてのパケットは ASA を通過できなくなります。
フィードバック