日本語フォーラム

Role設定の解説の前に、少し準備運動。

Roleを設定していくと、AliasやService(svc)と言うのが出てきますが、初めての人にはよくわからないと思うので、少し解説しておきます。

具体的には、ポリシーの設定のところで出てきます。

ip access-list session restricted-policy
    user alias restricted-network svc-ssh deny

何となくわかるかもしれませんが、Aliasはネットワークのグループのことで、設定はnetdestinationコマンドで行います。

サーバグループなどを事前に設定しておくと便利だと思います。

netdestination restricted-network
  network 192.168.10.0 255.255.255.0
  network 172.16.1.0 255.255.255.0

Service (svc) は、UDP/TCPのポートのことです。

ポート番号を直接ACLに書くと、設定が煩雑になるので、netserviceコマンドで名前をつけておくことができます。

有名どころはPre-definedで設定されてるので、それを使えばいいだけです。

設定にないものは自分で作成しましょう。

netservice svc-dhcp udp 67 68 alg dhcp
netservice svc-ipp-tcp tcp 631
netservice svc-citrix tcp 2598
netservice svc-tftp udp 69 alg tftp
netservice svc-netbios-ssn tcp 139
netservice svc-pcoip-udp udp 50002
netservice svc-papi udp 8211
netservice svc-natt udp 4500
netservice svc-ica tcp 1494
netservice svc-smtp tcp 25
netservice svc-msrpc-udp udp 135 139
netservice svc-msrpc-tcp tcp 135 139
netservice svc-syslog udp 514
netservice svc-microsoft-ds tcp 445
netservice svc-lpd tcp 515
netservice svc-cfgm-tcp tcp 8211
netservice svc-http-proxy2 tcp 8080
netservice svc-http tcp 80
netservice svc-telnet tcp 23
netservice svc-bootp udp 67 69
netservice svc-sccp tcp 2000 alg sccp
netservice svc-h323-udp udp 1718 1719
netservice svc-web tcp list "80 443"
netservice svc-ipp-udp udp 631                    
netservice svc-vmware-rdp tcp 3389
netservice svc-esp 50
netservice svc-vocera udp 5002 alg vocera
netservice svc-noe-oxo udp 5000 alg noe
netservice svc-http-proxy1 tcp 3128
netservice svc-sec-papi udp 8209
netservice svc-gre 47
netservice svc-rtsp tcp 554 alg rtsp
netservice svc-l2tp udp 1701
netservice svc-svp 119 alg svp
netservice svc-snmp udp 161
netservice svc-pptp tcp 1723
netservice svc-sip-tcp tcp 5060
netservice svc-icmp 1
netservice svc-smb-tcp tcp 445
netservice svc-ssh tcp 22
netservice svc-v6-icmp 58
netservice svc-pcoip2-tcp tcp 4172
netservice svc-pop3 tcp 110
netservice svc-ntp udp 123
netservice svc-h323-tcp tcp 1720
netservice svc-adp udp 8200
netservice svc-netbios-ns udp 137                 
netservice svc-dns udp 53 alg dns
netservice svc-v6-dhcp udp 546 547
netservice svc-kerberos udp 88
netservice svc-sip-udp udp 5060
netservice svc-http-proxy3 tcp 8888
netservice svc-netbios-dgm udp 138
netservice svc-sips tcp 5061 alg sips
netservice svc-snmp-trap udp 162
netservice svc-ike udp 500
netservice svc-nterm tcp 1026 1028
netservice svc-noe udp 32512 alg noe
netservice svc-pcoip-tcp tcp 50002
netservice svc-pcoip2-udp udp 4172
netservice svc-https tcp 443
netservice svc-ftp tcp 21 alg ftp
netservice svc-smb-udp udp 445

少し手間かもしれませんが、この辺りの設定も事前に綺麗にしておくことで、設定管理が楽になります。