FAQ for YAMAHA RT Series / Config

RTシリーズの設定に関するFAQ

無用な発呼を抑えるフィルタ設定例

最終変更日	2010/Jul/21
文書サイズ	8.4KB

無用な発呼を抑えるフィルタ設定例

NetBIOSで使用するポート(137,138,139)をフィルタする。
[ フィルタをする目的の例 ]
- 不必要な発呼を抑える
- NetBIOSを狙ったクラッキングから守る
[ フィルタ方法や関連情報 ]
NTP,SNTP
[ フィルタをする目的の例 ]
- 不必要な発呼を抑える
[ フィルタ方法や関連情報 ]
- http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/NTP-Filter.html
  ネットワーク時刻を合せる機能(NTP,SNTP)をフィルタする方法
インターネット速度計(ping,ICMP)
[ フィルタをする目的の例 ]
- 不必要な発呼を抑える
[ フィルタ方法や関連情報 ]
- http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/internet-speed-meter-filter.html
  ICMP(ping)をフィルタする方法
Netscape Communicator/Navigator 4.0以降を終了するときに発呼
[ 発生状況や症状 ]
- 回線や通信が既に切断されているのにNetscape Communicator/Navigator 4.0以降を終了(アプリケーションの終了)をすると、何故か発呼してしまう。
- 該当環境/再現性:
  WindowsやMacintosh環境で、特定のWWWサイトを参照後、 Netscape Communicator/Navigator4.0以降を終了する。
- 原因:
  WindowsやMacintosh環境で、特定のWWWサイトを参照後、 Netscape Communicator/Navigator4.0以降を終了すると、「tcpfin」という種類のパケットがWWWサイトに向けて発信されている。
[ フィルタをする目的の例 ]
- 不必要な発呼を抑える
こんな場合は、フィルタで対処できます。
「restrict」を設定すると回線の接続状態に応じてフィルタ処理されます。

[ プロトコルとして'tcpfin'や'tcprst'を指定する方法 ]
- 発呼原因とその対策
  特定のWWWサーバ(Cookieを使っているところらしい)にアクセスした後、 Netscapeを終了すると発呼してしまうようです。発呼元となるパケットは、TCPFINという種類のパケットですので、そのパケットを接続していない状態で発呼しないようにrestrictフィルタで落とします。
- PP側でフィルタを適用してください。
```
ip filter 3 restrict * * tcpfin * www,ftp,nntp
ip filter 4 restrict * * tcprst * www,ftp,nntp
ip filter 100 pass * * * * *
	:
pp select N
ip pp secure filter out 3 4 100
```
- 'tcpfin'や'tcprst'の利用可能なファームウェア
  
  Rev.1系サポートされません
  
  Rev.2系サポートされません
  
  Rev.3.00系サポートされません
  
  Rev.3.01系 Rev.3.01.12以降
  
  Rev.3.03系 Rev.3.03.28以降
  
  Rev.4.00系 Rev.4.00.05以降
[ プロトコルとして'established'を指定する方法 ]
- ○PP側でフィルタする場合
```
ip filter 80 restrict * * established * 80
ip filter 100 pass * * * * *
pp select N
ip pp secure filter out 80 100
```
- ×LAN側でフィルタする場合…NGになります。(失敗事例)
```
ip filter 80 restrict * * established * 80
ip filter 100 pass * * * * *
ip lan secure filter in 80 100
```
  とすれば良いような気がしますが、LAN側では常時接続された状態と判断していて、restrictとpassは等価になります。
  …だから、PP側に設定してください。
- WWW(80),ftp,NNTP(ネットニュース),NTPも、同様にフィルタする場合#1
```
ip filter 80 restrict * * established * www
ip filter 81 restrict * * established * ftp
ip filter 82 restrict * * established * nntp
ip filter 83 restrict * * established * ntp
ip filter 100 pass * * * * *
	:
pp select N
ip pp secure filter out 80 81 82 83 100
```
- WWW(80),ftp,NNTP(ネットニュース),NTPも、同様にフィルタする場合#2
```
ip filter 80 restrict * * established * www,ftp,nntp,ntp
ip filter 100 pass * * * * *
	:
pp select N
ip pp secure filter out 80 100
```
- 注意事項
  このフィルタは、通常の利用においては問題にならないと思われますが、いくつか注意すべきことが予想されます。
  場合によっては、手動接続が必要になります。
  1. 該当する通信での接続(発呼)ができない。
  2. 該当する通信中に強制切断された場合、再接続できない。
    [ 通信中の強制切断の要因 ]
    - 切断タイマを越えるアクセス(TCPのセッションが長く続く)
      例えば、とても大きな画像が含まれている場合など
    - 切断タイマを短く設定している場合
      例えば、KDDの1円電話とか
    - disconnect policy 2にしている場合、繋がったはいいがすぐ切れる？
- 手動接続の手段
  1. RT-Monitor
  2. ルータのWWW設定画面から手動接続を指示する。
  3. 該当するホストなどへのpingなどのネットワークアプリケーションの実行
  4. ルータのコンソールからconnectコマンドを実行する。

[ 関連情報 ]

[ FAQ for RT-Series ]
[ FAQ for Config / Intro / Install / Syslog ]

Rev.1系	サポートされません
Rev.2系	サポートされません
Rev.3.00系	サポートされません
Rev.3.01系	Rev.3.01.12以降
Rev.3.03系	Rev.3.03.28以降
Rev.4.00系	Rev.4.00.05以降