助け合いフォーラム
この問題はプレミアムコンテンツです。
Serverから戻ってくるパケットがフィルタリングに掛かるとダメ?
解説中の以下の理解に苦しんでいます。
誤っている設定については以下の通りです。
・RouterC(config)#interface FastEthernet 0/1
RouterC(config-if)#ip access-group 110 in
上記の場合、Serverから戻ってくるパケットがフィルタリングの対象になります。
Serverから戻ってくるパケットは送信元が「172.16.1.1」または「172.16.1.2」、宛先は「192.168.1.1」または「192.168.1.2」または> > 「192.168.1.3」または本社のデバイスのIPアドレスになるので、用意されているアクセスリストでは1行目と2行目に一致せず、すべてのパケット> が3行目の「access-list 110 permit ip any any」で処理されます。
私は選択肢の内
「RouterC(config)#interface FastEthernet 0/1
RouterC(config-if)#ip access-group 110 out」 で回答しましたが
問題が無いように感じとれてしまいなかなか理解できません。
inで設定してもoutで設定しても結果的に「Serverから戻ってくるパケットがフィルタリングの対象になる」気がします。。
解説できる方がいらっしゃれば是非お願いしたいです。
宜しくお願いします。
「Serverから戻ってくる」という表現は間違ってはいないのですが、若干の混乱を生んでいる気がします。
単純に以下のように考えれば分かりやすいと思います。
・FastEthernet 0/1へのin = 172.16.1.0/24 から 192.168.1.0/24または本社宛ての通信
送信元:172.16.1.0/24
宛先:192.168.1.0/24または本社
・FastEthernet 0/1からのout = 192.168.1.0/24または本社 から 172.16.1.0/24宛ての通信
送信元:192.168.1.0/24または本社
宛先:172.16.1.0/24
両方のパターンで、アクセスリストに記載の通信の内どれが当てはまるか考えてみてください。
コメント
①この設問における、FastEther0/1のACL適用方向は、
out:ルーターのFastEther0/1から出ていく(out方向)
⇒PCセグメントから見れば、「Serverセグメントに対して、行きの通信」
Serverセグメントから見れば、「PCセグメントに対して、戻りの通信」
in :ルーターのFastEther0/1に入っていく(in方向)
⇒PCセグメントから見れば、「Serverセグメントに対して、戻りの通信」
Serverセグメントから見れば、「PCセグメントに対して、行きの通信」
②ルータのACLは、双方向の通信について「その通信内容を一対で判定」はしません。
そして、双方向の通信において「行きの通信」と「戻りの通信」では、送信元IP・宛先IP は変わります。
以上2点を念頭に、Pnt353_127さんの考え方の場合、
『ルータのFastEther0/1の「in方向(ルータに入る)」への通信にACLが適用される』ことになるのですが、
送信元IP【192.168.1.1<PC-A>】・宛先【172.16.1.1<Server-A>】で開始される通信は、
ルータのFastEther0/1を「out方向(ルータから出る)」に通過するので、ACLは適用されない
⇒ACLの制御は「in方向(ルータに入る)」にかかる設定であるため
↓
↓
Server-Aに到達後、戻りの通信が発生
⇒このタイミングで、送信元IP【172.16.1.1<Server-A>】・宛先【192.168.1.1<PC-A>】となる
↓
↓
ルータのFastEther0/1を「in方向(ルータに入る)」で通過するので、ACLが適用される
⇒対象通信の大元(送信元IP【192.168.1.1<PC-A>】・宛先【172.16.1.1<Server-A>】で開始)を判定せず、
かつ送信元IP【172.16.1.1<Server-A>】のdeny設定は存在しないので、
最終行の『permit any any』で通過を許可
となるため、誤りとなります。
コメント
この投稿に対して返信しませんか?
P Pnt353_127
2022/12/16 12:40
c_ivog さん、とても早くの回答、大変助かります! 自分なりに咀嚼してみたのですが、「どこからやってくる通信に対し、制限を設けたいのか」で考えると腑に落ちました。 > ・FastEthernet 0/1へのin = 172.16.1.0/24 から 192.168.1.0/24または本社宛> ての通信 > 送信元:172.16.1.0/24 > 宛先:192.168.1.0/24または本社 確かにこちらであれば「172.16.1.0/24」自体に「制限を掛けている」状態であり セキュリティ対策として不自然な状態に感じ取れます。 また、ACLの in/outにおいてどこに仕切りが入るのかも改めて確認すると 私の認識が違ったようなので再確認することもできました。 改めまして、回答頂きありがとうございます。 引き続き頑張っていきます。