概要
RTXルータを用いて、2つのセグメントを用意する。セグメント1は、内部用（一般利用用）セグメントで、セグメント2を、サーバー公開などを想定したセグメントとする。
セグメント1と2を疎通不可にするには、単純なIPフィルタを用いればよいが、メンテナンス性などを考えると、セグメント1→2への通信は許可し、セグメント2→1への通信はブロックしたいのが人情。この要件を満たすには、動的フィルタの理解が必要になる。
なんか過去にもやったな....とおもったら、過去にもやっていた。
https://qiita.com/buttyo_kuny/items/b3fe5e47d2954b91ddb6
参考
このサイトの解説が詳しいし、そのまんま書いてある。しかし理解に時間がかかったので自分でもまとめることにした。（追記：まずはこのURLを読んでみるといいというか、この記事いらないんじゃないかというか）
https://karasuma-kitaoji.hatenablog.com/entry/2017/05/31/014000
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ip/ip_filter_dynamic.html
動的フィルタ？
動的フィルタとは、静的フィルタを組み合わせるものである。とある通信条件にマッチするパケットが出現したとき、自動的に現れるフィルタのことである。
ちょっと難しいけど、特定の条件下の時だけ、静的フィルタを緩めてパケットを通す例外設定みたいなイメージ。
想定環境
NVR510とRTX1200を用いて、NVR510にセグメント1、RTX1200にセグメント2が割り当ててある場合を考える。
NVR510のlan1とRTX1200のlan3が互いに接続されており、ripでルーティング情報を交換している。RTX1200のlan1をサーバー公開セグメント（セグメント2)とする。このとき、NVR510配下のクライアントから、RTX1200のセグメント2へ通信できるが、逆はできないように設定したい。Pingは許可する。
NVR510
- lan1 192.168.50.1/24 (セグメント1)
RTX1200
- lan1 192.168.50.2/24 (セグメント1)
- lan3 192.168.51.1/24 (セグメント2)
接続許可リスト(tcp/udp)
| 元 | 先 | 許/不許可 |
|---|---|---|
| 192.168.50.0/24 | 192.168.51.1/0 | 許可 |
| 192.168.51.0/24 | 192.168.50.0/24 | 不許可 |
| ※icmpは許可とする |
設定
フィルタ設定は、NVR510のlan1にセットする。
まず、単純に許可・不許可のフィルタをセットする。
ip filter 600000 pass * * icmp
ip filter 600002 reject 192.168.51.0/24 192.168.50.0/24
ip filter 600003 pass 192.168.50.0/24 192.168.51.0/24
ip filter 600004 pass * * * * *
※下記で定義する動的フィルタはtcp/udpにしか働かないので、icmpの許可は明示的に書いていく必要がある。
このままでは、192.168.50.0/24→50.1/24宛ての戻りパケットがフィルタによって破棄されてしまう。そこで、戻りパケットを許可する動的フィルタをセットする。
ip filter dynamic 300000 192.168.50.0/24 192.168.51.0/24 tcp
ip filter dynamic 300001 192.168.50.0/24 192.168.51.0/24 udp
最後に、lan1に適用する。
ip lan1 secure filter in 600000 600002 600003 600004
ip lan1 secure filter out 600000 600004 dynamic 300000 300001
まとめ
- 動的フィルタを用いると、静的フィルタで設定しきれないフィルタを定義することができる。
- 動的フィルタでは、一方向の通信と、その戻りパケットを許可するフィルタを定義することができる。
- 例えば、公開サーバーセグメントや、サポート対象外OSを稼働させるセグメントとの通信に応用することが考えられる。
- 今回の想定例では、2台のルータを用いたが、1台のルータ内にVlanを切って、同様のフィルタを定義することもできる。参考URLでは、vlanに対してフィルタを定義している。