古河電工ネットワーク機器の総合ブランド ファイテルネット
設定例
外部からのFTPを遮断する設定
全機種対応
説明
EWAN1からLAN1方向へのFTPを遮断し、LAN１からEWAN1方向へFTPのみ通信を可能とする設定です。
構成
コマンド設定
interface ewan 1 ip mtu 1500 ip address 192.168.1.1 255.255.255.0 ip access-group 100 out ip access-group 101 in ip access-group 199 out ip access-group 199 in exit interface lan 1 ip address 192.168.0.1 255.255.255.0 exit access-list 100 permit tcp any any eq ftp-data access-list 100 permit tcp any any eq ftp access-list 101 permit tcp any eq ftp-data any access-list 101 permit tcp any eq ftp any access-list 199 deny ip any any end
設定手順
LAN1からEWAN1方向へFTPのみ通信を可能とします。
| 設定内容 | 画面表示例 |
|---|---|
|
特権ユーザモードへの移行 パスワードの入力 設定情報の初期化 設定モードの変更 設定入力 設定保存 装置再起動 |
Router>enable Enter password: Router# Router#clear working.cfg Router# Router#configure terminal Router(config)#interface ewan 1 Router(config-if ewan 1)# ip mtu 1500 Router(config-if ewan 1)# ip address 192.168.1.1 255.255.255.0 Router(config-if ewan 1)# ip access-group 100 out Router(config-if ewan 1)# ip access-group 101 in Router(config-if ewan 1)# ip access-group 199 out Router(config-if ewan 1)# ip access-group 199 in Router(config-if ewan 1)#exit Router(config)#interface lan 1 Router(config-if lan 1)# ip address 192.168.0.1 255.255.255.0 Router(config-if lan 1)#exit Router(config)#access-list 100 permit tcp any any eq ftp-data Router(config)#access-list 100 permit tcp any any eq ftp Router(config)#access-list 101 permit tcp any eq ftp-data any Router(config)#access-list 101 permit tcp any eq ftp any Router(config)#access-list 199 deny ip any any Router(config)# Router(config)#end Router# Router#save SIDE-A % saving working-config % finished saving Router#reset Going to reset with SIDE-A.frm and SIDE-A.cfg. Boot-back not scheduled for next boot. Next rebooting firmware SIDE-A.frm is fine. Are you OK to cold start?(y/n)y |
※：access-listコマンドの100番は"ftp"、"ftp-data"のEWAN1からの送信方向を許可する設定です。
101番はEWAN1への受信を許可する設定です。
設定状態の確認 1
アクセスリストを確認します。
| 確認内容 | 画面表示例 |
|---|---|
|
アクセスリスト情報を表示 設定が正しいことを確認 設定が正しいことを確認 設定が正しいことを確認 |
Router>show access-lists Extended IP access list 100 permit tcp any any eq ftp-data permit tcp any any eq ftp Extended IP access list 101 permit tcp any eq ftp-data any permit tcp any eq ftp any Extended IP access list 199 deny ip any any Router> |
設定状態の確認 2
LAN1からEWAN1方向へFTPが中継されていることを確認します。
１．access-listコマンドのlogを設定する方法
| 設定内容 | 画面表示例 |
|---|---|
| access-list コマンドのlog を設定する |
access-list 100 permit tcp any any eq ftp-data log access-list 100 permit tcp any any eq ftp log access-list 101 permit tcp any eq ftp-data any log access-list 101 permit tcp any eq ftp any log |
※：access-listコマンドの設定は追加形式であるため、現在設定されているアクセスリスト番号に適用する場合は、設定を一度削除して再度設定し直して下さい。
access-listのlog オプションを使用する場合は、中継性能が下がります。一時的なパケット確認にご使用して下さい。
パケットlogを確認します。
| 確認内容 | 画面表示例 |
|---|---|
|
パケットlog を表示 アクセスリストの100 番のoutに適用したパケット情報 アクセスリストの101 番のinに適用したパケット情報 アクセスリストの101 番のinに適用したパケット情報 アクセスリストの100 番のoutに適用したパケット情報 |
Router> show flog 0000 0000:00:00.00 2011/06/01 (wed) 10:27:31 0 00000000 4dd37c80 #BOOT[V01.04(00)-053111] SIDE-A.frm SIDE-A.cfg 0001 0000:00:28.29 2011/06/01 (wed) 10:28:02 15 00000000 00000000 100 P EWAN1 out TCP 192.168.0.2:3574 192.168.1.2:21 0002 0000:00:28.29 2011/06/01 (wed) 10:28:02 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:21 192.168.0.2:3574 0003 0000:00:28.29 2011/06/01 (wed) 10:28:02 15 00000000 00000000 100 P EWAN1 out TCP 192.168.0.2:3574 192.168.1.2:21 0004 0000:00:28.29 2011/06/01 (wed) 10:28:02 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:21 192.168.0.2:3574 0005 0000:00:28.40 2011/06/01 (wed) 10:28:02 15 00000000 00000000 100 P EWAN1 out TCP 192.168.0.2:3574 192.168.1.2:21 ・ ・ 0015 0000:00:38.35 2011/06/01 (wed) 10:28:12 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:20 192.168.0.2:5001 0016 0000:00:38.35 2011/06/01 (wed) 10:28:12 15 00000000 00000000 100 P EWAN1 out TCP 192.168.0.2:5001 192.168.1.2:20 0017 0000:00:38.35 2011/06/01 (wed) 10:28:12 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:20 192.168.0.2:5001 0018 0000:00:38.35 2011/06/01 (wed) 10:28:12 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:21 192.168.0.2:3574 0019 0000:00:38.35 2011/06/01 (wed) 10:28:12 15 00000000 00000000 101 P EWAN1 in TCP 192.168.1.2:20 192.168.0.2:5001 0020 0000:00:38.47 2011/06/01 (wed) 10:28:12 15 00000000 00000000 100 P EWAN1 out TCP 192.168.0.2:5001 192.168.1.2:20 |
２．access-listコマンドのcountを設定する方法
| 設定内容 | 画面表示例 |
|---|---|
| access-list コマンドのcount を設定する |
access-list 100 permit tcp any any eq ftp-data count access-list 100 permit tcp any any eq ftp count access-list 101 permit tcp any eq ftp-data any count access-list 101 permit tcp any eq ftp any count |
※：access-listコマンドの設定は追加形式であるため、現在設定されているアクセスリスト番号に適用する場合は、設定を一度削除して再度設定し直して下さい。
"log"と"count"は同時に設定することもできます。
カウント情報を確認します。
| 確認内容 | 画面表示例 |
|---|---|
|
カウント情報を表示 ewan1 のアクセスリスト100 番のカウントを表示 |
Router>show access-lists statistics Interface number frames bytes ewan 1 100 5 500 101 15 1624 Router> |
All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2011