Cisco IOS リリース15.2(6)E 統合プラットフォームコンフィギュレーションガイド（Catalyst 2960-X スイッチ）

機能情報の確認

ご使用のソフトウェアリリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、使用するプラットフォームおよびソフトウェアリリースの Bug Search Tool およびリリースノートを参照してください。このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。

IP オプションをフィルタリングするための ACL サポートに関する前提条件

IP オプションをフィルタリングするための ACL サポートを設定するには、IP アクセスリストの概念を理解しておく必要があります。

IP オプション

IP は、サービスを提供するときに、タイプオブサービス、存続可能時間、オプション、およびヘッダーチェックサムという 4 つの主要メカニズムを使用します。

オプションは一般的に IP オプションと呼ばれ、一部の状況で必要な制御機能のために用意されていますが、ほとんどの一般的な通信では不要です。IP オプションには、タイムスタンプ、セキュリティ、および特殊なルーティングに関する条件が含まれます。

IP オプションはデータグラムに含まれる場合と含まれない場合があります。IP オプションはすべての IP モジュール（ホストとゲートウェイ）で実装する必要があります。オプションというのは、実装ではなく、任意の指定したデータグラムでの送信を指します。環境によっては、セキュリティオプションがすべてのデータグラムで必要です。

オプションフィールドは長さが可変です。オプションの個数はゼロ個以上です。IP オプションには、次の 2 つの形式のいずれかを使用できます。

形式 1：単一オクテットの option-type
形式 2：1 つの option-type オクテット、option-length オクテット、および実際の option-data オクテット

option-length オクテットは、option-type オクテット、option-length オクテット、および option-data オクテットの数をカウントします。

option-type オクテットには、1 ビットのコピー済みフラグ、2 ビットのオプションクラス、および 5 ビットのオプション番号という 3 つのフィールドがあります。これらのフィールドは、オプションタイプフィールドの 8 ビット値を構成します。IP オプションは、一般的にその 8 ビット値で参照されます。

IP オプションの詳細な一覧と説明については、次の URL の RFC 791『Internet Protocol』を参照してください。http://www.faqs.org/rfcs/rfc791.html

IP オプションをフィルタする利点

ネットワークからの IP オプションを含むパケットをフィルタすることで、ダウンストリームのデバイスとホストにかかるオプションパケットの負荷が軽減されます。
また、この機能によって、分散型システムでルートプロセッサ（RP）処理が必要な IP オプションを含むパケットについて、RP への負荷が最小限になります。以前は、パケットは常に RP CPU でルーティングまたは処理されていました。パケットをフィルタすることで、パケットの RP への影響を回避できます。

TCP フラグに基づいてフィルタする利点

ACL TCP フラグフィルタリング機能には、TCP フラグに基づいてフィルタする柔軟なメカニズムが用意されています。以前は、パケットのいずれかの TCP フラグがアクセスコントロールエントリ（ACE）で指定されたフラグに一致する限り、着信パケットは一致していました。すべてのフラグが設定されたパケットがアクセスコントロールリスト（ACL）を通過する可能性があるため、この動作ではセキュリティの抜け穴を考慮しています。ACL TCP フラグフィルタリング機能では、フィルタするフラグの任意の組み合わせを選択できます。設定されているフラグ、および設定されていないフラグに基づいてマッチングする機能によって、TCP フラグに基づくフィルタリングの制御性が向上するため、セキュリティが強化されます。

TCP パケットは偽造の同期パケットとして送信され、それがリスニングポートで受け入れられる可能性があるため、ファイアウォールデバイスの管理者は、偽造の TCP パケットをドロップするフィルタリングルールを設定することを推奨します。

アクセスリストを構成する ACE を設定し、特定のグループの TCP フラグが設定されているパケットのみ、または設定されていないパケットのみを許可することで、不正な TCP パケットを検出およびドロップできます。ACL TCP フラグフィルタリング機能によって、次のようにパケットフィルタリングの制御性が向上します。

フィルタする TCP パケットについて、TCP フラグの任意の組み合わせを選択できます。
設定されているフラグと設定されていないフラグに基づいてマッチングできるように、ACE を設定できます。

TCP フラグ

次の表は TCP フラグの一覧です。詳細については、RFC 793『Transmission Control Protocol』を参照してください。

表 1. TCP フラグ
TCP フラグ	目的
ACK	Acknowledge フラグ：セグメントの acknowledgment フィールドが、このセグメントの送信元が受信を予測している番号の次のシーケンス番号を指定することを示します。
FIN	Finish フラグ：接続をクリアするために使用されます。
PSH	Push フラグ：呼び出しのデータを受信ユーザに対してただちにプッシュする必要があることを示します。
RST	Reset フラグ：受信者が以降のやり取りなしで接続を削除する必要があることを示します。
SYN	Synchronize フラグ：接続の確立に使用されます。
URG	Urgent フラグ：urgent フィールドが重要で、セグメントシーケンス番号に追加する必要があることを示します。

IP オプションを含むパケットのフィルタリング

アクセスリストを設定して、IP オプションを含むパケットをフィルタし、アクセスリストが適切に設定されていることを確認するには、次の手順を完了します。

（注）

IP オプションのフィルタリングに関する ACL のサポート機能は、名前付きの拡張 ACL でのみ使用できます。
この機能を設定する場合、リソース予約プロトコル（RSVP）マルチプロトコルラベルスイッチングトラフィックエンジニアリング（MPLS TE）、Internet Group Management Protocol バージョン 2（IGMPV2）、および IP オプションパケットを使用するその他のプロトコルは、ドロップまたは無視モードでは機能しない可能性があります。
ほとんどの Cisco デバイスでは、IP オプションを含むパケットはハードウェアではスイッチされませんが、処理するコントロールプレーンソフトウェアが必要です（主に、オプションを処理し、IP ヘッダーを書き直す必要があるため）。結果として、IP オプションを含むすべての IP パケットは、ソフトウェアでフィルタとスイッチが行われます。

手順

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	ip access-list extended `access-list-name` 例: `Device(config)# ip access-list extended mylist1`	名前で IP アクセスリストを指定し、名前付きアクセスリストのコンフィギュレーションモードを開始します。
ステップ 4	[`sequence-number` ] deny `protocol` `source` `source-wildcard` `destination` `destination-wildcard` [option `option-value` ] [precedence `precedence` ] [tos `tos` ] [log ] [time-range `time-range-name` ] [fragments ] 例: `Device(config-ext-nacl)# deny ip any any option traceroute`	（任意）名前付き IP アクセスリストモードで deny ステートメントを指定します。このアクセスリストでは deny ステートメントを最初に使用していますが、必要なステートメントの順序に応じて、permit ステートメントが最初に使用される可能性もあります。 option キーワードおよび `option-value` 引数を使用して、特定の IP オプションを含むパケットをフィルタします。この例では、traceroute IP オプションを含むすべてのパケットが除外されます。エントリを削除するには、このコマンドの no `sequence-number` 形式を使用します。
ステップ 5	[`sequence-number` ] permit `protocol` `source` `source-wildcard` `destination` `destination-wildcard` [option `option-value` ] [precedence `precedence` ] [ tos `tos` ] [log ] [time-range `time-range-name` ] [fragments ] 例: `Device(config-ext-nacl)# permit ip any any option security`	名前付き IP アクセスリストモードで permit ステートメントを指定します。この例では、セキュリティ IP オプションを含むすべてのパケット（まだフィルタされていないパケット）が許可されます。エントリを削除するには、このコマンドの no `sequence-number` 形式を使用します。
ステップ 6	必要に応じて、ステップ 4 またはステップ 5 を繰り返します。	アクセスリストは変更できます。
ステップ 7	end 例: `Device(config-ext-nacl)# end`	（任意）名前付きアクセスリストコンフィギュレーションモードを終了し、特権 EXEC モードに戻ります。
ステップ 8	show ip access-lists `access-list-name` 例: `Device# show ip access-lists mylist1`	（任意）IP アクセスリストの内容を表示します。

TCP フラグを含むパケットのフィルタリング

この作業では、アクセスリストを設定して、TCP フラグを含むパケットをフィルタし、アクセスリストが適切に設定されていることを確認します。

（注）

TCP フラグのフィルタリングを使用できるのは、名前付きの拡張 ACL のみです。
ACL TCP フラグフィルタリング機能は、Cisco ACL の場合にのみサポートされます。
事前に、次のコマンドラインインターフェイス（CLI）形式を使用して、TCP フラグチェックメカニズムを設定できます。

permit tcp any any rst 同じ ACE を示す次の形式を使用できるようになりました。 permit tcp any any match-any +rst いずれの CLI 形式も使用できますが、新しいキーワード match-all または match-any を選択する場合、プレフィックスに「+ 」または「- 」を付けた新しいフラグを次に指定する必要があります。単一の ACL では、古い形式のみ、または新しい形式のみを使用することを推奨します。CLI の古い形式と新しい形式の混在やマッチングを行うことはできません。

注意	新しい構文形式の ACE を持つデバイスを、ACL TCP フラグフィルタリング機能をサポートしないシスコソフトウェアの以前のバージョンでリロードすると、ACE は適用されないため、セキュリティの抜け穴が発生する可能性があります。

手順

	コマンドまたはアクション	目的
ステップ 1	enable 例: `Device> enable`	特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。
ステップ 2	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 3	ip access-list extended `access-list-name` 例: `Device(config)# ip access-list extended kmd1`	名前で IP アクセスリストを指定し、名前付きアクセスリストのコンフィギュレーションモードを開始します。
ステップ 4	[`sequence-number` ] permit tcp `source` `source-wildcard` [`operator` [`port` ]] `destination` `destination-wildcard` [`operator` [`port` ]] [established \| {match-any \| match-all } {+ \| - } `flag-name` ] [precedence `precedence` ] [tos `tos` ] [log ] [time-range `time-range-name` ] [fragments ] 例: `Device(config-ext-nacl)# permit tcp any any match-any +rst`	名前付き IP アクセスリストモードで permit ステートメントを指定します。このアクセスリストでは permit ステートメントを最初に使用していますが、必要なステートメントの順序に応じて、deny ステートメントが最初に使用される可能性もあります。 permit コマンドの TCP コマンド構文を使用します。 RST TCP ヘッダーフラグが設定されたすべてのパケットは一致し、ステップ 3 で名前付きアクセスリスト kmd1 に合格できます。
ステップ 5	[`sequence-number` ] deny tcp `source` `source-wildcard` [`operator` [`port` ]] `destination` `destination-wildcard` [`operator` [`port` ]] [established \| {match-any \| match-all } {+ \| - } `flag-name` ] [precedence `precedence` ] [tos `tos` ] [log ] [time-range `time-range-name` ] [fragments ] 例: `Device(config-ext-nacl)# deny tcp any any match-all -ack -fin`	（任意）名前付き IP アクセスリストモードで deny ステートメントを指定します。このアクセスリストでは permit ステートメントを最初に使用していますが、必要なステートメントの順序に応じて、deny ステートメントが最初に使用される可能性もあります。 deny コマンドの TCP コマンド構文を使用します。 ACK フラグが設定されず、FIN フラグも設定されていないパケットは、ステップ 3 で名前付きアクセスリスト kmd1 に合格しません。上位層プロトコル（ICMP、IGMP、TCP、および UDP）を許可するその他のコマンド構文については、deny （IP）コマンドを参照してください。
ステップ 6	必要に応じてステップ 4 またはステップ 5 を繰り返し、計画したシーケンス番号でステートメントを追加します。エントリを削除するには、no `sequence-number` コマンドを使用します。	アクセスリストは変更できます。
ステップ 7	end 例: `Device(config-ext-nacl)# end`	（任意）コンフィギュレーションモードを終了し、特権 EXEC モードに戻ります。
ステップ 8	show ip access-lists `access-list-name` 例: `Device# show ip access-lists kmd1`	（任意）IP アクセスリストの内容を表示します。出力を見直して、アクセスリストに新しいエントリが含まれることを確認します。

例：IP オプションを含むパケットのフィルタリング

次の例は、アクセスリストエントリ（ACE）に指定されている IP オプションが含まれる場合にのみ、TCP パケットを許可するように設定された ACE を含む、mylist2 という拡張アクセスリストを示します。


ip access-list extended mylist2
 10 permit ip any any option eool
 20 permit ip any any option record-route
 30 permit ip any any option zsu
 40 permit ip any any option mtup

一致し、それによって許可されたパケットの数を示すため、show access-list コマンドが入力されました。


Device# show ip access-list mylist2
Extended IP access list test
10 permit ip any any option eool (1 match)
20 permit ip any any option record-route (1 match)
30 permit ip any any option zsu (1 match)
40 permit ip any any option mtup (1 match)

例：TCP フラグを含むパケットのフィルタリング

次のアクセスリストでは、TCP フラグ ACK および SYN が設定され、FIN フラグが設定されていない場合にのみ、TCP パケットを許可します。


ip access-list extended aaa
 permit tcp any any match-all +ack +syn -fin
 end

show access-list コマンドは、ACL を表示するために入力しました。


Device# show access-list aaa

Extended IP access list aaa
 10 permit tcp any any match-all +ack +syn -fin

IP オプションをフィルタリングするための ACL サポートに関するその他の関連資料

関連項目	マニュアルタイトル
Cisco IOS コマンド	『Cisco IOS Master Command List, All Releases』
Cisco セキュリティコマンド	『Cisco IOS Security Command Reference: Commands A to C』『Cisco IOS Security Command Reference: Commands D to L』『Cisco IOS Security Command Reference: Commands M to R』『Cisco IOS Security Command Reference: Commands S to Z』

RFC


RFC	タイトル
RFC 791	Internet Protocol（インターネットプロトコル） http://www.faqs.org/rfcs/rfc791.html
RFC 793	伝送制御プロトコル（TCP）
RFC 1393	『Traceroute Using an IP Option』

シスコのテクニカルサポート


説明	リンク
★枠で囲まれた Technical Assistance の場合★右の URL にアクセスして、シスコのテクニカルサポートを最大限に活用してください。これらのリソースは、ソフトウェアをインストールして設定したり、シスコの製品やテクノロジーに関する技術的問題を解決したりするために使用してください。この Web サイト上のツールにアクセスする際は、Cisco.com のログイン ID およびパスワードが必要です。	http://www.cisco.com/cisco/web/support/index.html

フィルタするための IP アクセスリストの作成に関する機能情報

次の表に、このモジュールで説明した機能に関するリリース情報を示します。この表は、ソフトウェアリリーストレインで各機能のサポートが導入されたときのソフトウェアリリースだけを示しています。その機能は、特に断りがない限り、それ以降の一連のソフトウェアリリースでもサポートされます。

プラットフォームのサポートおよびシスコソフトウェアイメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator にアクセスするには、www.cisco.com/go/cfn に移動します。Cisco.com のアカウントは必要ありません。

表 2. フィルタするための IP アクセスリストの作成に関する機能情報
機能名	リリース	機能の設定情報
IP オプションのフィルタリングに関する ACL のサポート	Cisco IOS 15.2(2)E	この機能を使用すると、IP オプションを含むパケットをフィルタできます。その結果、ルータが偽造パケットで飽和状態にならないように防ぎます。
ACL TCP フラグフィルタリング	Cisco IOS 15.2(2)E	この機能は、TCP フラグに基づくフィルタリングに柔軟なメカニズムを提供します。ACL TCP フラグフィルタリング機能では、フィルタするフラグの任意の組み合わせを選択できます。設定されているフラグ、および設定されていないフラグに基づいてマッチングする機能によって、TCP フラグに基づくフィルタリングの制御性が向上するため、セキュリティが強化されます。

Cisco IOS リリース15.2(6)E 統合プラットフォーム コンフィギュレーション ガイド（Catalyst 2960-X スイッチ）

偏向のない言語

翻訳について

検索結果

章のタイトル： IP オプションのフィルタリングに関する ACL のサポート

IP オプションのフィルタリングに関する ACL のサポート