外部データベース参照型URLフィルタ

$Date: 2011/09/08 04:42:27 $

概要
注意事項
対応機種とリビジョン
詳細
コマンド
SYSLOGメッセージ一覧
関連文書

1. 概要

外部データベース参照型URLフィルタ機能は、外部のURLフィルタリングサービス事業者のデータベースに問い合わせて、通知された当該URLの評価結果を元にアクセスを制限します。
また、キーワードと始点IPアドレスで制限を行うURLフィルタ(内部データベース参照型URLフィルタ)と併用することができます。この場合、先に内部データベース参照型URLフィルタでチェックを行い、その後で、外部データベースを参照してチェックを行います。

外部データベースによるURLの評価機能は2種類あります。

カテゴリチェック
- データベースに問い合わせることで、当該URLはそのコンテンツに応じた特定のカテゴリに分類されます。ルーターは、問い合わせた結果得られたURLのカテゴリ情報によってフィルタリングを行います。
Webレピュテーション
- データベースに問い合わせることで、当該URLは安全なサイトであるか否かを評価されます。ルーターは、問い合わせた結果得られたURLの安全度(セキュリティレベル)によってフィルタリングを行います。また併せて、ファーミング検出の有無を指定してフィルタリングすることも可能です。

上記の評価機能は併用することができます。また各評価機能毎に異なるデータベース(サービス事業者)を利用することも可能です。

なお、これら評価機能は以下の順序で適用されます。

                                                外部データベース参照型URLフィルタ
                                          ┌──────────────────────┐
     [内部データベース参照型URLフィルタ] → [Webレピュテーション] → [カテゴリチェック] →
                                          └──────────────────────┘

主な仕様は以下の通りです。

HTTPバージョン1.0および1.1に対応しています。
URLフィルタ機能を使用するインタフェースにおいて、URLフィルタが適用される方向に向かう宛先ポート番号が url filter portコマンドで設定されたポート番号と一致するHTTPパケットはノーマルパスで処理されます。
IPアドレス毎(範囲指定、ネットワークアドレス指定が可能)に、フィルタリングルールを設定できます。
内部データベース参照型URLフィルタと併用することで、本機能で設定したルールに関係なく閲覧OKにするURL(ホワイトリスト)、または閲覧NGにするURL(ブラックリスト)を登録することができます。
フィルタリング適用結果をログに出力したり、統計情報をSNMPで取得またはコマンドで出力したりすることができます。

2. 注意事項

HTTPSによる暗号化された通信を制限することはできません。
URLについての詳細は、RFC3986をご覧ください。
HTTPについての詳細は、RFC2616をご覧ください。
本機能を利用するためには、別途URLフィルタリングサービス事業者との契約が必要です。
以下の機種およびファームウェアでは対応するデジタルアーツ社のデータベースのバージョンが変更されます。
新バージョンではすべてのカテゴリ番号が配番し直されており旧バージョンとの互換性がないため、以前からデジタルアーツ社のサービスを利用している場合には以下のファームウェアへのリビジョンアップ後に本機能は無効となります。リビジョンアップ後、利用するデータベースの選択(url filter external-database useコマンド)とチェックするカテゴリ(url filter external-database categoryコマンド)を設定し直してください。

機種ファームウェア

RTX1100/RT107e Rev.8.03.87以降

機種	ファームウェア
RTX1100/RT107e	Rev.8.03.87以降

3. 対応機種とリビジョン

ヤマハRTシリーズでは以下の機種およびファームウェアで、外部データベース参照型URLフィルタ機能をサポートしています。

機種	ファームウェア
RTX1200	Rev.10.01.07以降
SRT100	Rev.10.00.08以降
RTX3000	Rev.9.00.31以降
RTX1100/RT107e	Rev.8.03.60以降

4. 詳細

内部データベース参照型URLフィルタと外部データベース参照型URLフィルタの両方が設定されている場合
```
下図のPCからHTTPサーバへアクセスする場合、URLフィルタの処理の流れは以下のようになっています。

                      RT
   +----+            +--------------------------+        +--------+
   |    |            |+------------------------+|        |        |
   |    |------------>| 内部データベース参照型 ||        |        |
   | PC |<------------| URLフィルタ (1)        |-------->| HTTP   |
   |    |    (2)'    |+------------------------+|  (2)'  | サーバ |
   |    |            |             |(2)         |        |        |
   |    |            |             v            |        |        |
   |    |    (6)'    |+------------------------+|  (6)   |        |
   |    |<------------| 外部データベース参照型 |-------->|        |
   |    |            || URLフィルタ            ||        |        |
   |    |            |+------------------------+|        |        |
   +----+            +-------(3)|-----^(5)------+        +--------+
                                |     |
                                v     |
                     +--------------------------+
                     |        外部サーバ (4)    |
                     |      [データベース]      |
                     +--------------------------+
```
1. PCから受信したHTTPパケットからURLを取り出し、キーワードと始点IPアドレスによるチェックを行います。
2. 内部データベース参照型URLフィルタに該当しなかったパケットを外部データベース参照型URLフィルタへ渡します。
  2', 内部のフィルタに該当したパケットを以下のように処理します。
  - 1.のチェックによってアクセスが許可された場合、HTTPサーバへPCからのパケットを送信します。
  - 1.のチェックによってアクセスを遮断した場合、送信元のPCにアクセスを遮断する理由となったキーワードを表示するブロック画面を送信します。
3. データベースを参照するため、外部サーバへURLを送信します。
4. 外部サーバはデータベースを参照して、受信したURLについて評価を行い、ルーターへ評価結果を返信します。
5. 外部サーバからの評価結果を受信したルーターは、設定されたフィルタリストに該当しているか否かを判定します。
  5'. Webレピュテーションとカテゴリチェックで利用するデータベース(サービス事業者)が異なる場合、外部サーバとの通信は2回発生します。
6. 5.のチェックをパスした場合、HTTPサーバへPCからのパケットを送信します。
  6'. アクセスが遮断された場合、送信元PCにアクセスを遮断する理由となったカテゴリ番号、名称を表示するブロック画面を送信します。
カテゴリについて
カテゴリの種類、名称についてはURLフィルタリングサービス事業者毎に異なりますので、それぞれの設定例をご覧ください。
- デジタルアーツ株式会社のデータベースを利用した場合の設定例
- ネットスター株式会社のデータベースを利用した場合の設定例
- トレンドマイクロ株式会社のデータベースを利用した場合の設定例
データベース上のいずれのカテゴリにも該当しないURLへのアクセスは、url filter external-database categoryコマンドでカテゴリリストに*(アスタリスク)を指定した設定に従います。
url filter external-database categoryコマンドでカテゴリリストに*(アスタリスク)を指定した設定がない場合は、無条件に遮断されます。
Webレピュテーションのセキュリティレベルについて
Webレピュテーションによるフィルタリングで設定するセキュリティレベルの定義はURLフィルタリングサービス事業者毎に異なりますので、それぞれの設定例をご覧ください。
- トレンドマイクロ株式会社のデータベースを利用した場合の設定例
SNMP
以下のMIB変数で、URLフィルタが適用された統計情報を取得することができます。
- yamahaRTInterfaces
  インタフェースの情報
  - yrIfUrlfilterExtDbTable
    LAN/PP/Tunnelインタフェースに適用されたURLフィルタカテゴリの統計情報
    - yrIfUrlfilterExtDbEntry
      - yrIfUrlfilterExtDbIfIndex
        インタフェース番号
      - yrIfUrlfilterExtDbDir
        フィルタの方向
      - yrIfUrlfilterExtDbCategory
        カテゴリ番号
      - yrIfUrlfilterExtDbStatId
        カテゴリに該当したコネクションの識別番号
      - yrIfUrlfilterExtDbSrcIP
        カテゴリに該当したコネクションの始点IPアドレス
      - yrIfUrlfilterExtDbCount
        カテゴリに該当した回数
  - yrIfUrlfiilterDBRepTable
    LAN/PP/Tunnelインタフェースに適用されたWebレピュテーションフィルタの統計情報
    - yrIfUrlfilterExtDbRepEntry
      - yrIfUrlfilterExtDbRepIfIndex
        インタフェース番号
      - yrIfUrlfilterExtDbRepDir
        フィルタの方向
      - yrIfUrlfilterExtDbRepLevel
        セキュリティレベル番号
      - yrIfUrlfilterExtDbRepStatId
        セキュリティレベルに該当したコネクションの識別番号
      - yrIfUrlfilterExtDbRepSrcIP
        セキュリティレベルに該当したコネクションの始点IPアドレス
      - yrIfUrlfilterExtDbRepCountPharmed
        ファーミングが検出された回数
      - yrIfUrlfilterExtDbRepCountUnpharmed
        ファーミングが検出されなかった回数

5. コマンド

利用するデータベースの選択
[書式]

url filter external-database use [reputation REPUTATION_NAME] [category CATEGORY_NAME]
no url filter external-database use

[設定値]
- REPUTATION_NAME ... Webレピュテーション機能で使用するデータベースの選択
  - off ... Webレピュテーション機能を使用しない。
  - trendmicro ... トレンドマイクロ株式会社のデータベースを使用する。
- CATEGORY_NAME ... カテゴリチェック機能で使用するデータベースの選択
  - off ... カテゴリチェック機能を使用しない。
  - digitalarts ...デジタルアーツ株式会社のデータベースを使用する。(Rev.8.03.87で無効)
  - digitalarts2 ...デジタルアーツ株式会社のデータベースを使用する。(Rev.8.03.87で有効)
  - netstar ... ネットスター株式会社のデータベースを使用する。
  - trendmicro ... トレンドマイクロ株式会社のデータベースを使用する。
[説明]

外部データベース参照型URLフィルタの各評価機能で利用するデータベースを選択する。

データベースを利用するためには、URLフィルタリングサービス事業者と契約を行う必要がある。

[ノート]

Rev.10.00.52以降、Rev.10.01.22以降で、トレンドマイクロ株式会社のデータベースが選択可能となる。また、同リビジョンより本コマンドの書式が変更され、旧書式での入力は受理されなくなる。ただし、それ以前のファームウェアからリビジョンアップした場合のみ、旧書式で保存されたコマンドは新書式に変換して継承される。

[初期値]

REPUTATION_NAME = off
CATEGORY_NAME = off

Webレピュテーションによるフィルタの設定

[書式]

url filter external-database reputation NUM KIND LEVEL_LIST [PHARMING_STATUS] [SRC_ADDR[/MASK]]
no url filter external-database reputation NUM

[設定値]

NUM ...	Webレピュテーションフィルタ番号(1..65535)
KIND
pass, pass-nolog ..... 一致すれば通す(ログに記録しない) pass-log ............. 一致すれば通す(ログに記録する) reject, reject-log ... 一致すれば破棄する(ログに記録する) reject-nolog ......... 一致すれば破棄する(ログに記録しない)
LEVEL_LIST
マッチさせるセキュリティレベル番号をコンマ(,)で区切った並び * ..... すべてのセキュリティレベルにマッチする
PHARMING_STATUS
pharmed ..... ファーミングを検出した場合にマッチする unpharmed ..... ファーミングを検出しなかった場合にマッチする
SRC_ADDR ... IPパケットの始点IPアドレス
IPv4アドレス間に -(ハイフン)を挟んだ2つのIPアドレス、- を後ろにつけたIPアドレス、または - を前につけたIPアドレス(範囲指定) 上項目をコンマ(,)で区切った並び * ..... すべてのIPアドレスに対応省略時は * と同じ
MASK
ネットマスク長(SRC_ADDRがネットワークアドレスの場合のみ指定可)

[説明]

URLフィルタのWebレピュテーション機能を使用したフィルタを定義する。本コマンドで設定されたフィルタは、url INTERFACE filterコマンドで用いられる。

指定できるセキュリティレベル番号とその定義については、URLフィルタリングサービス事業者によって異なる。

トレンドマイクロ株式会社のセキュリティレベル一覧

PHARMING_STATUSパラメータはWebレピュテーションの評価と共にファーミングの検出結果を利用したい場合に指定する。

[ノート]

本コマンドはRev.10.00.52以降、Rev.10.01.22以降で使用可能。

LEVEL_LISTとPHARMING_STATUSは、どちらか一方にマッチすればマッチしたものと見なされる。

チェックするカテゴリの設定

[書式]

url filter external-database category NUM KIND CATEGORY_LIST [SRC_ADDR[/MASK]]
no url filter external-database category NUM

[設定値]

NUM ...	カテゴリリスト番号(1..65535)
KIND
pass, pass-nolog ..... 一致すれば通す(ログに記録しない) pass-log ............. 一致すれば通す(ログに記録する) reject, reject-log ... 一致すれば破棄する(ログに記録する) reject-nolog ......... 一致すれば破棄する(ログに記録しない)
CATEGORY_LIST
カテゴリ番号をコンマ(,)で区切った並び * ..... すべてのカテゴリ番号
SRC_ADDR ... IPパケットの始点IPアドレス
IPv4アドレス間に -(ハイフン)を挟んだ2つのIPアドレス、- を後ろにつけたIPアドレス、または - を前につけたIPアドレス(範囲指定) 上項目をコンマ(,)で区切った並び(RTX3000, RTX1200, SRT100のRev.10.00.38以降, RTX1100/RT107eのRev.8.03.75以降) * ..... すべてのIPアドレスに対応省略時は * と同じ
MASK
ネットマスク長(SRC_ADDRがネットワークアドレスの場合のみ指定可)

[説明]

URLフィルタでチェックするデータベースのカテゴリを設定する。本コマンドで設定されたフィルタは、url INTERFACE filterコマンドで用いられる。

どのカテゴリにも該当しないURLは、CATEGORY_LISTで * を指定した場合の設定が適用される。

指定できるカテゴリ番号は、使用するURLフィルタリングサービス事業者により異なる。

デジタルアーツ株式会社のカテゴリ一覧
ネットスター株式会社のカテゴリ一覧
トレンドマイクロ株式会社のカテゴリ一覧

[ノート]

Rev.10.00.38以降、Rev.9.00.31以降、Rev.8.03.75以降で、SRC_ADDRをコンマ(,)で区切って複数指定することができる。

URLフィルタのインタフェースへの適用

[書式]

url INTERFACE filter DIR [LIST] [external-database [reputation REPUTATION_LIST] [category CATEGORY_LIST]]
url pp filter DIR [LIST] [external-database [reputation REPUTATION_LIST] [category CATEGORY_LIST]]
url tunnel filter DIR [LIST] [external-database [reputation REPUTATION_LIST] [category CATEGORY_LIST]]
no url INTERFACE filter DIR
no url pp filter DIR
no url tunnel filter DIR

[設定値]

INTERFACE ...	LANインタフェース名
DIR
in ... 入力方向のHTTPコネクションをフィルタリングする out ... 出力方向のHTTPコネクションをフィルタリングする
LIST ...	空白で区切られたURLフィルタ番号の並び
REPUTATION_LIST ...	空白で区切られたWebレピュテーションフィルタ番号の並び
CATEGORY_LIST ...	空白で区切られたカテゴリリスト番号の並び

[説明]

url filterコマンドで設定したフィルタを組み合わせて、インタフェースで送受信するHTTPパケットのURLによって制限を行う。

設定できる各フィルタの数は以下の通りとなる。

URLフィルタ ..... 512個以内(RTX3000)、128個以内(RTX3000以外の機種)
Webレピュテーションフィルタ ..... 128個以内
カテゴリリスト ..... 512個以内(RTX3000)、128個以内(RTX3000以外の機種)

ただし、これらはコマンドライン文字列長(4095文字)で入力できる範囲内でなければならない。

本コマンドにより、適用対象のインタフェースでは以下のように各フィルタが評価される。

LISTが設定されている場合、内部データベース参照型URLフィルタで評価し、その結果によってパケットが破棄されるか否かを決定する。
どのフィルタにもマッチしなかった、もしくはLISTが設定されていない場合は、REPUTATION_LISTにて評価される。
REPUTATION_LISTが設定されている場合、外部データベース参照型URLフィルタのWebレピュテーション機能で評価し、その結果によってパケットが破棄されるか否かを決定する。
どのフィルタにもマッチしなかった、もしくはREPUTATION_LISTが設定されていない場合は、CATEGORY_LISTにて評価される。
CATEGORY_LISTが設定されている場合、外部データベース参照型URLフィルタのカテゴリチェック機能で評価し、その結果によってパケットが破棄されるか否かを決定する。
どのフィルタにもマッチしなかった、もしくはCATEGORY_LISTが設定されていない場合は、パケットが破棄される。

[ノート]

Rev.10.00.52以降、Rev.10.01.22以降で、Webレピュテーションフィルタ番号のリストが指定可能となる。また、同リビジョンよりカテゴリリストを列挙するための書式が変更されており、旧書式による入力は受理されなくなる。ただし、それ以前のファームウェアからリビジョンアップした場合のみ、旧書式で保存されたコマンドは新書式に変換して継承される。

[初期値]

フィルタは設定されていない。

URLフィルタでチェックを行うHTTPのポート番号の設定

[書式]

url filter port LIST
no url filter port

[設定値]

LIST ... 空白で区切られたポート番号の並び(4個以内)

[説明]

URLフィルタでチェックを行うHTTPのポート番号を設定する。

[初期値]

80

URLフィルタで破棄するパケットの送信元にHTTPレスポンスを返す動作の設定

[書式]

url filter external-database reject redirect [URL]
url filter external-database reject redirect URL
url filter external-database reject off
no url filter external-database reject

[設定値]

redirect ...	HTTPリダイレクトのHTTPレスポンスを返し、ブロック画面へ転送する
off ...	HTTPレスポンスは返さずに、TCP RSTによってTCPセッションを終了する
URL ...	リダイレクトするURL(http:// または https:// で始まる文字列で、半角255文字以内)

[説明]

URLフィルタで破棄するパケットの送信元にHTTPレスポンスを返す動作を設定する。

URLを指定した場合、実際にリダイレクトするときには指定したURLの後ろに"?"に続けて以下の内容のクエリを付加する。

使用しているURLフィルタリング事業者名
該当したセキュリティレベル番号、カテゴリ番号、もしくはエラー文字列
アクセスを遮断したURL

URLに http:// または https:// で始まる文字列以外を設定することはできない。

[ノート]

HTTPサーバ機能に対応した機種では、redirectを設定してWebブラウザにブロック画面を表示する場合、httpd service onの設定が必要である。

HTTPサーバ機能に対応していない機種でredirectを指定する場合、URLを省略することはできない。

URLはRev.10.00.38以降、Rev.9.00.31以降、Rev.8.03.75以降で指定できる。

[初期値]

off	... RTX3000
redirect	... 上記以外の機種

外部データベースへのアクセスに失敗したときにパケットを破棄するか否かの設定
[書式]

url filter external-database access failure TYPE
no url filter external-database access failure

[設定値]
TYPE
- pass ... パケットを通す
- reject ... パケットを破棄する
[説明]

外部データベースへのアクセスに失敗したとき、パケットを破棄するか否かを設定する。

設定誤りによりデータベースを持つサーバへアクセスできない、またはサーバから応答がないなどの理由でサーバから正常な応答が得られなかった場合に、本コマンドの設定にしたがってパケットが処理される。

[初期値]

pass

URLフィルタリングサービス事業者にシリアルIDの登録

[書式]

url filter external-database id activate go [DATABASE]

[設定値]

DATABASE
reputation ..... Webレピュテーションデータベースのサービス事業者にシリアルIDを登録する category ...... カテゴリデータベースのサービス事業者にシリアルIDを登録する

[説明]

url filter external-database use コマンドの設定に従い、URLフィルタリングサービス事業者にシリアルIDを登録する。

DATABASEパラメータを指定することで、特定のデータベースのサービス事業者との契約状況のみを確認する。

[ノート]

本コマンドを実行する前に、url filter external-database useコマンドで、使用するデータベースを設定し、 url filter external-database idコマンドで、シリアルIDを設定する必要がある。

トレンドマイクロ株式会社のデータベースを使用する場合にのみ有効である。

URLフィルタリングサービス事業者との契約状況の確認

[書式]

url filter external-database id check go [DATABASE]

[設定値]

DATABASE
reputation ..... Webレピュテーションデータベースのサービス事業者との契約状況を確認する category ...... カテゴリデータベースのサービス事業者との契約状況を確認する

[説明]

url filter external-database use コマンドの設定に従い、URLフィルタリングサービス事業者との契約状況を確認する。

DATABASEパラメータを指定することで、特定のデータベースのサービス事業者との契約状況のみを確認する。また、DATABASEパラメータを省略し、且つ複数のサービス事業者のデータベースを使用している場合は、それぞれの契約状況を確認する。

[ノート]

本コマンドを実行する前に、url filter external-database useコマンドで、使用するデータベースを設定する必要がある。

データベース情報の更新

[書式]

url filter external-database update OPERATION [DATABASE] [prompt]

[設定値]

OPERATION
check ......... 更新の有無の確認のみ行う go ............ 更新の有無の確認を行い、更新があれば取得する
DATABASE
reputation ..... Webレピュテーションデータベースのみを対象とする category ...... カテゴリデータベースのみを対象とする
prompt .....	コマンド実行後、すぐにプロンプトを表示させ、他のコマンドを実行できるようにする

[説明]

url filter external-database use コマンドの設定に従い、データベースの更新情報の確認および取得を行う。

DATABASE パラメータを指定することで、特定のデータベースの更新情報を確認する。また、DATABASE パラメータを省略し、かつ複数のサービス事業者のデータベースを使用している場合は、それぞれの更新情報を確認する。

特定のデータベースとサービス事業者の組合せで発生する固有の動作については以下の通り。

カテゴリデータベース×ネットスター株式会社
カテゴリチェックの追加モジュールの更新確認、ダウンロード、および保存を行う。追加モジュールは無名ユーザのカスタムGUIとして使用するため、ダウンロードした追加モジュール群の保存先は、無名ユーザとして設定された httpd custom-gui user コマンドの PATH パラメータのディレクトリとなる。従って、本コマンドにより追加モジュール群を保存するには無名ユーザの httpd custom-gui user コマンドを事前に設定しておく必要がある。

[ノート]

本コマンドを実行する前に、url filter external-database useコマンドで、使用するデータベースを設定する必要がある。

Rev.10.00.60以降で使用可能。

IPアドレスを直接指定したURLへのアクセスを許可するか否かの設定
[書式]

url filter external-database ipaddress access TYPE
no url filter external-database ipaddress access

[設定値]
TYPE
- pass ... パケットを通す
- reject ... パケットを破棄する
[説明]

http://<IPアドレス>/XXXX のように、IPアドレスを直接指定したURLへのアクセスを許可するか否かを設定する。

[初期値]

pass

Proxyサーバの設定

[書式]

url filter external-database proxy server ADDRESS [PORT]
no url filter external-database proxy server

[設定値]

ADDRESS ... Proxyサーバのアドレス
１個のIPv4アドレス FQDN
PORT ...	ポート番号(1..65535)
省略時は 80

[説明]

外部データベースを持つサーバにアクセスする時に使用するProxyサーバのアドレス、ポート番号を設定する。

[初期値]

設定なし

外部データベース参照型URLフィルタの統計情報の表示
[書式]

show url filter external-database
show url filter external-database [INTERFACE]
show url filter external-database pp [PEER_NUM]
show url filter external-database tunnel [TUNNEL_NUM]

[設定値]

INTERFACE ... LANインタフェース名

PEER_NUM ... 相手先情報番号

TUNNEL_NUM ... トンネルインタフェース番号

[説明]
外部データベース参照型URLフィルタのWebレピュテーション統計情報、およびカテゴリチェック統計情報を表示する。インタフェースが指定されない場合は、すべてのインタフェースの情報を表示する。

Webレピュテーション統計情報として表示される内容は以下の通り。
- セキュリティレベル
- 始点IPアドレス
- HTTPコネクションとフィルタが一致した回数
カテゴリチェック統計情報として表示される内容は以下の通り。
- データベースのカテゴリ番号
- 始点IPアドレス
- HTTPコネクションとフィルタが一致した回数

データベースのライセンス情報の表示

[書式]

show url filter external-database id [DATABASE]

[設定値]

DATABASE
reputation ..... Webレピュテーションデータベースのみを対象とする category ...... カテゴリデータベースのみを対象とする

[説明]

url filter external-database use コマンドの設定に従い、データベースのライセンス情報を表示する。

DATABASE パラメータを指定することで、特定のデータベースのライセンス情報を表示する。また、DATABASE パラメータを省略し、かつ複数のサービス事業者のデータベースを使用している場合は、それぞれのライセンス情報を表示する。

[ノート]

本コマンドを実行する前に、url filter external-database useコマンドで、使用するデータベースを設定する必要がある。

Rev.10.00.60以降で使用可能。

外部データベース参照型URLフィルタの統計情報のクリア

[書式]

clear url filter external-database
clear url filter external-database [INTERFACE]
clear url filter external-database pp [PERR_NUM]
clear url filter external-database tunnel [TUNNEL_NUM]

[設定値]

INTERFACE ... LANインタフェース名

PEER_NUM ... 相手先情報番号

TUNNEL_NUM ... トンネルインタフェース番号

[説明]

外部データベース参照型URLフィルタのWebレピュテーション統計情報、およびカテゴリチェック統計情報を消去する。インタフェースが指定されない場合は、すべてのインタフェースの情報を消去する。

データベースへアクセスするためのシリアルIDの設定

[書式]

url filter external-database id NAME ID
no url filter external-database id NAME

[設定値]

NAME
digitalarts .... デジタルアーツ株式会社のデータベースへアクセスするためのシリアルIDを設定する trendmicro ..... トレンドマクロ株式会社のデータベースへアクセスするためのアクティベーションコードを設定する
ID .....	シリアルID(半角255文字以内)

[説明]

各サービス事業者のデータベースへアクセスするためのシリアルIDを設定する。

[ノート]

Rev.10.00.52以降、Rev.10.01.22以降はNAMEパラメータが新設され、指定が必須となる。ただし、それ以前のファームウェアからリビジョンアップした場合のみ、旧書式で保存されたコマンドは新書式に変換して継承される。ここで継承したコマンドはデジタルアーツ株式会社向けの設定と見なされる。

データベースを持つサーバアドレスの設定
[書式]

url filter external-database server ADDRESS PORT
no url filter external-database server

[設定値]
ADDRESS ... サーバのアドレス

１個のIPv4アドレス
FQDN

PORT ... ポート番号(1..65535)
[説明]

外部データベースを持つサーバのアドレス、およびデータベースにアクセスするためのポート番号を設定する。

デジタルアーツ株式会社のデータベースを使用する場合にのみ有効である。
シリアルIDを登録するURLの設定

[書式]

url filter external-database register url URL
no url filter external-database register url

[設定値]

URL ... シリアルIDを登録するURL(半角255文字以内)

[説明]

シリアルIDを登録するURLを設定する。

デジタルアーツ株式会社のデータベースを使用する場合にのみ有効である。

[初期値]

https://ars2s.daj.co.jp/register/add.php
フィルタにマッチした際にログを出力するか否かの設定
[書式]

url filter external-database log SW
no url filter external-database log

[設定値]
SW
- on .... フィルタにマッチした際にログを出力する
- off ... フィルタにマッチした際にログを出力しない
[説明]

フィルタにマッチした際にログを出力するか否かを設定する。

[ノート]

onを設定した場合でも、url filter external-database categoryコマンドでKINDにpass、pass-nolog、またはreject-nologを指定したフィルタにマッチした場合は、ログを出力しない。

Rev.10.00.38以降、Rev.9.00.31以降、Rev.8.03.75以降で使用可能。

[初期値]

on
ユーザ認証に失敗した場合の再送間隔と回数の設定
[書式]

url filter external-database auth retry INTERVAL [RETRY]
no url filter external-database auth retry

[設定値]
INTERVAL ... 再送間隔

秒数(60..300秒)
auto
off

RETRY ... 再送回数(1..50)
[説明]

外部データベース参照型URLフィルタでユーザ認証の自動実行に失敗した場合に、再度ユーザ認証を実行する間隔と回数を設定する。

INTERVALにautoを設定した時に、ユーザ認証に失敗した場合には30秒から90秒の時間をおいて再度ユーザ認証を行う。それにも失敗した場合には、その後60秒間隔でユーザ認証を試みる。

INTERVALにoffを設定した時には、ユーザ認証に失敗した場合でも再送は行わない。

RETRYはINTERVALにoff以外を設定した場合に指定できる。

[ノート]

url filter external-database id check goコマンドで、手動でユーザ認証を実行した場合には、本コマンドでの設定にかかわらずユーザ認証の再送は行われない。

ユーザ認証に失敗してから指定した時間までの間にユーザ認証を手動実行した場合には、その後のINTERVALで指定した再送間隔でのユーザ認証は行わない。

Rev.10.00.38以降、Rev.9.00.31以降、Rev.8.03.75以降で使用可能。

[初期値]

INTERVAL = auto

RETRY = 10
URLフィルターを使用するか否かの設定
[書式]

url filter use SW
no url filter use

[設定値]
SW
- on .... 使用する
- off ... 使用しない
[説明]

内部データベース参照型URLフィルターおよび、外部データベース参照型URLフィルターを使用するか否かを設定する。

[ノート]

Rev.10.00.31以降、Rev.9.00.31以降、Rev.8.03.75以降で使用可能。

[初期値]

on
指定した拡張子のURLを評価するか否かの設定
[書式]

url filter external-database lookup specified extension SW
no url filter external-database lookup specified extension [SW]

[設定値]
SW
- on ... 指定した拡張子のURLを評価する
- off ... 指定した拡張子のURLを評価しないで、通過させる
[説明]
指定した拡張子のURLについて評価するか否かを設定する。
評価を行わない場合、そのURLへのリクエストを通過させる。

初期設定として、以下の拡張子が登録されている。
```
  jpg, gif, ico, png, bmp, jpeg, tif, tiff, swf, wav, wmv
  wma, mp3, mpg, mpeg, mp4, asx, asf, wax, wvx, mov
```
url filter external-database lookup specified extension listコマンドで上記拡張子のリストに拡張子を追加または削除することができる。
[ノート]
使用する外部データベースによって対応するリビジョンが異なり、次のようになる。
- ネットスター株式会社 ... Rev.8.03.82以降、Rev.9.00.47以降、Rev.10.00.44以降、Rev.10.01.11以降で有効。
- デジタルアーツ株式会社 ... Rev.9.00.47以降、Rev.10.00.46以降で有効。
[初期値]

off
評価しないURLの拡張子の設定
[書式]

url filter external-database lookup specified extension list [+|-]EXTENSION [...]
no url filter external-database lookup specified extension list [...]

[設定値]

EXTENSION ... 拡張子（半角4文字以内、64個以内)

[説明]
url filter external-database lookup specified extensionコマンドがoffの設定の場合に、評価せずリクエストを通過させるURLの拡張子を設定する。

初期設定として、以下の拡張子が登録されており、このリストへの追加、削除する形で拡張子を設定する。
```
  jpg, gif, ico, png, bmp, jpeg, tif, tiff, swf, wav, wmv,
  wma, mp3, mpg, mpeg, mp4, asx, asf, wax, wvx, mov
```
EXTENSIONの前に+を置くか、あるいは何も置かない場合には上記初期設定のリストにEXTENSIONを追加する。
EXTENSIONの前に-を置く場合には上記初期設定のリストからEXTENSIONを削除する。
[ノート]
使用する外部データベースによって対応するリビジョンが異なり、次のようになる。
- ネットスター株式会社 ... Rev.8.03.82以降、Rev.9.00.47以降、Rev.10.00.44以降、Rev.10.01.11以降で有効。
- デジタルアーツ株式会社 ... Rev.9.00.47以降、Rev.10.00.46以降で有効。
[初期値]

初期設定の拡張子のみ

[設定例]
1. 初期設定にpdfとxlsを追加し、jpgとgifを削除する。
  url filter external-database lookup specified extension list +pdf -jpg +xls -gif

6. SYSLOGメッセージ一覧

本機能において出力されるSYSLOGメッセージの一覧を以下に示します。なお、実際に出力される各メッセージの先頭には"[URL FILTER] "というプレフィックスが付与されます。

レベル	出力メッセージ	内容
NOTICE(*1)	Passed at INTERFACE DIR category[NUM]: IP_ADDRESS : URL	INTERFACEのDIR方向に適用したカテゴリ番号NUMに該当した、IP_ADDRESSからURLへアクセスするパケットを通過させた。
	Rejected at INTERFACE DIR category[NUM]: IP_ADDRESS : URL	INTERFACEのDIR方向に適用したカテゴリ番号NUMに該当した、IP_ADDRESSからURLへアクセスするパケットを破棄した。
	Passed at INTERFACE DIR reputation[LEVEL]: IP_ADDRESS : URL Passed at INTERFACE DIR reputation[LEVEL] STATUS: IP_ADDRESS : URL	INTERFACEのDIR方向に適用したセキュリティレベル番号NUMに該当した、IP_ADDRESSからURLへアクセスするパケットを通過させた。ファーミング検出を行った場合はその結果(STATUS)も出力される。
	Rejected at INTERFACE DIR reputation[LEVEL]: IP_ADDRESS : URL Rejected at INTERFACE DIR reputation[LEVEL] STATUS: IP_ADDRESS : URL	INTERFACEのDIR方向に適用したセキュリティレベル番号NUMに該当した、IP_ADDRESSからURLへアクセスするパケットを破棄した。ファーミング検出を行った場合はその結果(STATUS)も出力される。
INFO	Execute "COMMAND" command	バックグラウンドでコマンドを実行した。
INFO	Fail to execute command(REASON)	RESSONにより、バックグラウンドでのコマンド実行に失敗した。
DEBUG	Can't connect to server (*2)	サーバへの接続に失敗した
	Can't create socket	ソケットが生成できなかった
	Can't resolve name	名前解決ができなかった
	received illegal packet (*2)	外部データベースを持つサーバから不正なパケットを受信した
	read error (*2)	受信エラー
	Received error message (*2)	外部データベースを持つサーバからエラーを受信した
	queue overflow	外部データベースによるチェック待ちのキューが溢れた
	Can't connect to server (Connection timeout) (*2)	外部データベースを持つサーバへの接続待ちタイムアウト
	Retransmit a request to the external database, N times (*2)	外部データベースを持つサーバへのN回目の再送を行う
	Abort by User Operation.	データベース情報の更新処理をユーザ操作により中断した。
	Abort by Timeout.	データベース情報の更新処理を通信タイムアウトにより中断した。

(*1)	RTX3000、RTX1200、SRT100のRev.10.00.38以降、RTX1100/RT107eのRev.8.03.75以降。これら以外はDEBUGレベルで出力される。
(*2)	トレンドマイクロ株式会社のデータベースを利用する場合は複数のサーバと通信が発生するため、接続先が区別できるようにメッセージが一部変化する。

デジタルアーツ株式会社のデータベースを利用する場合は、以下のSYSLOGメッセージも出力されます。

レベル	出力メッセージ	内容
DEBUG	Authentication failed. Network error	サーバとの通信が正常にできず、認証に失敗した。
	ARS status error ERROR_CODE	サーバ側でシリアルIDが無効と判定され、認証に失敗した。
	Authentication failed. Invalid Serial ID	サーバ側でシリアルIDが無効と判定され、認証に失敗した。

ネットスター株式会社のデータベースを利用する場合は、以下のSYSLOGメッセージも出力されます。

レベル	出力メッセージ	内容
DEBUG	Load policy [FILE_PATH]	カテゴリ・ルール定義ファイルの内容をロードした。
	Cannot load policy Cannot load policy [FILE_PATH]	カテゴリ・ルール定義ファイルの内容がロードできなかった。
	Check module index [FILE_PATH]	追加設定画面のインデックスファイルが読み出し可能。
	Cannot check module index Cannot check module index [FILE_PATH]	追加設定画面のインデックスファイルが読み出し不可。

トレンドマイクロ株式会社のデータベースを利用する場合は、以下のSYSLOGメッセージも出力されます。

レベル	出力メッセージ	内容
INFO	license status is STATUS.	シリアルIDの認証の結果、ライセンスの状態が変更された。
DEBUG	activate status error STATUS_CODE	シリアルIDの登録処理で不正なSTATUS_CODEを受信した。
	license activate error(ERROR_CODE)	シリアルIDの登録処理でエラーコードを受信した。
	license check error(ERROR_CODE)	シリアルIDの認証処理でエラーコードを受信した。ERROR_CODEが212の場合のみINFOレベルで出力される。

INTERFACE ...	LANインタフェース名
PEER_NUM ...	相手先情報番号
TUNNEL_NUM ...	トンネルインタフェース番号

ADDRESS ... サーバのアドレス
１個のIPv4アドレス FQDN
PORT ...	ポート番号(1..65535)

INTERVAL ...	再送間隔
秒数(60..300秒) auto off
RETRY ...	再送回数(1..50)

外部データベース参照型URLフィルタ

1. 概要

2. 注意事項

3. 対応機種とリビジョン

4. 詳細

5. コマンド

6. SYSLOGメッセージ一覧

7. 関連文書