ALG の概要

基本的なTCP ALG

このALGは、TCPパケットに対して基本的なサニティーチェックを実行します。エラーが見つかった場合、次の異常イベントとシステムログメッセージが生成されます。

• TCP送信元または宛先ポート0

• TCP ヘッダー長のチェックに失敗しました

• TCP シーケンス番号は 0 で、フラグは設定されていません

• TCP シーケンス番号 0 と FIN/PSH/RST フラグが設定されています

• TCP FIN/RST または SYN(URG|フィン|RST)フラグが設定されます

TCP ALG は次の手順を実行します。

1. ルーターがSYNパケットを受信すると、ALGはTCPフォワードフローとリバースフローを作成し、 通信にグループ化します。TCP の 3 ウェイ ハンドシェイクを追跡します。

2. SYN防御メカニズムは、TCP接続確立状態を追跡します。TCPセッションが短い時間間隔(現在は4秒)で確立されることを想定しています。その期間内にTCPスリーウェイハンドシェイクが確立されない場合、セッションは終了します。

3. キープアライブメカニズムは、応答しないエンドポイントとのTCPセッションを検出します。

4. ICMP エラーは、フローが ICMP データで指定されたセレクター情報と一致する場合にのみ許容されます。

基本的な UDP ALG

このALGは、UDPヘッダーに対して基本的なサニティチェックを実行します。エラーが見つかった場合、次の異常イベントとシステムログメッセージが生成されます。

• UDP送信元または宛先ポート0

• UDP ヘッダー長チェックに失敗しました

UDP ALG は、次の手順を実行します。

1. 最初のパケットを受信すると、ALGは双方向フローを作成して、順方向と逆方向のUDPセッショントラフィックを受け入れます。

2. 最大許容アイドル時間(デフォルトは 30 秒)を超えてセッションがアイドル状態になると、フローが削除されます。

3. ICMP エラーは、フローが ICMP データで指定されたセレクター情報と一致する場合にのみ許容されます。

BOOTP

ブートストラップ・プロトコル (BOOTP) クライアントは、ネットワークを介してサーバーからネットワーク情報を取得します。BOOTP サーバーから返される情報を要求するために、一般的なブロードキャスト メッセージを送信します。プロトコル仕様については、 ftp://ftp.isi.edu/in-notes/rfc951.txtを参照してください。

ステートフルファイアウォールをサポートするには、UDPサーバーポート67とクライアントポート68でBOOTP ALGを設定する必要があります。クライアントがブロードキャスト メッセージを送信する場合、サービス ルールの from ステートメントでブロードキャスト アドレスを設定する必要があります。ネットワークアドレス変換(NAT)は、NAT ルールがトラフィックと一致していても、BOOTP トラフィックでは実行されません。ルーターで BOOTP リレー機能がアクティブになっている場合、リモート BOOTP サーバーは、NAT 変換によってマスクされたクライアントのアドレスを割り当てると見なされます。

DCE RPC サービス

分散コンピューティング環境 (DCE) リモート プロシージャ コール (RPC) サービスは、主に Microsoft アプリケーションによって使用されます。ALG は、ポート マッピング サービスに既知の TCPポート 135 を使用し、プログラム番号の代わりにユニバーサル意の識別子(UUID)を使用してプロトコルを識別します。主なアプリケーション ベースの DCE RPC は、Microsoft Exchange プロトコルです。

ステートフルファイアウォールとNATサービスをサポートするには、TCPポート135でDCE RPCポートマップALGを設定する必要があります。DCE RPC ALG は、アプリケーション固有の UUID で TCP プロトコルを使用します。

DNS

通常、ポート53で実行されるドメイン生成アルゴリズム(DNS)は、ドメイン名の検索とIPアドレスへの変換に関連するデータを処理します。MXシリーズDNS ALGは、DNSクエリと応答パケットを監視し、UDPとTCP DNSトラフィックを個別にサポートします。DNS ALGはNATのペイロード変換をサポートしていませんが、オペレーターはこれを使用して、DNS サーバーが応答を送信した後、NATまたはステートフルファイアウォールDNSセッションをメモリから効率的に削除できます。DNS ALG は、応答を受信したとき、またはアイドル タイムアウトに達した場合にのみ、セッションを閉じます。

DNSトラフィックが標準の要求と応答の種類だけではない場合、TCP-DNS-ALGを使用すると、TCP DNSトラフィックに問題が発生する可能性があります。たとえば、TCP-DNS-ALG は、DNS レプリケーションやゾーン転送など、TCP を使用するDNS サーバーからサーバーへの通信を中断する可能性があります。TCPハンドシェイクが完了し、各サーバーが1つのパケットを他のサーバーに送信した後、TCP-DNS-ALGがセッションを閉じるため、このタイプのトラフィックはNATまたはステートフルファイアウォールプラグインによって破棄される可能性があります。このような場合は、TCP-DNS-ALGを使用しないでください。

FTP

FTP は、RFC 959 で指定されているファイル転送プロトコルです。メインコントロール接続に加えて、クライアントとサーバー間のデータ転送に対してもデータ接続が行われます。また、ホスト、ポート、および方向は制御チャネルを介してネゴシエートされます。

非パッシブ モードの FTP の場合、Junos OS ステートフル ファイアウォール サービスは、サーバーが接続する IP アドレスとポート番号を提供する PORT コマンドで、クライアントからサーバーへのアプリケーション データをスキャンします。パッシブ モード FTP の場合、Junos OS ステートフル ファイアウォール サービスは、PASV コマンドのクライアントからサーバーへのアプリケーション データをスキャンし、次に、クライアントが接続する IP アドレスとポート番号を含む 227 応答のサーバーからクライアントへの応答をスキャンします。

FTPはこれらのアドレスとポート番号をASCIIで表します。その結果、アドレスとポートが書き換えられると、TCP シーケンス番号が変更される可能性があり、その後、NAT サービスは、後続のすべてのパケットでシーケンス NAT を実行して、SEQ 番号と ACK 番号でこの差分を維持する必要があります。

ステートフルファイアウォールとNATサービスをサポートするには、TCPポート21でFTP ALGを設定して、FTP制御プロトコルを有効にする必要があります。ALG は、以下のタスクを実行します。

• 動的なデータ接続のためのデータポートとファイアウォールのアクセス許可を自動的に割り当てます

• 動的にネゴシエートされたデータ接続のフローを作成します。

• アクティブ・モードとパッシブ・モードの両方で制御接続を監視

• 制御パケットを適切な NAT アドレスとポート情報で書き換えます

MS-MPC、MS-MIC、パッシブFTPが正しく動作するためには、FTPアプリケーション層ゲートウェイ(ALG)を有効にせずに([edit services stateful-firewall rule rule-name term term-name from]および[edit services nat rule rule-name term term-name from]階層レベルでapplication junos-ftpステートメントを指定しないことで)、アドレスプーリングペア(APP)機能を有効にする必要があります([edit services nat rule rule-name term term-name then translated]階層レベルでaddress-poolingステートメントを含めることで)。このような設定では、データおよび制御 FTP セッションが同じ NAT アドレスを受信します。

ゲートキーパーRAS

Junos OS リリース 17.1R1 以降、ゲートキーパー登録、管理、およびステータス(RAS)ALG で、H.323 コールのゲートキーパーモードを完全にサポートできます。エンドポイントはゲートキーパーに登録し、その管理を要求します。コールを発信する前に、エンドポイントはゲートキーパーにコールを発信する許可を求めます。登録フェーズとアドミッション フェーズの両方で、RAS チャネルが使用されます。IPv4およびIPv6ステートフルファイアウォールルールまたはNAPT-44ルールでゲートキーパーRAS ALGとH323 ALGを使用します。Junos OS リリース 17.2R1 以降では、NAT-64 ルールもサポートされています。Junosのデフォルトアプリケーションセットには junos-h323-suite H323 ALGとゲートキーパーRAS ALGが含まれています。

H323-J

H323は、音声およびビデオ会議およびコラボレーションアプリケーション向けのITUプロトコルスイートです。H323 は、メディア通信用の H.225 コール シグナリング プロトコルと H.245 制御プロトコルで構成されています。H.225 ネゴシエーション中、エンドポイントは制御チャネルでコール シグナリング メッセージを交換してコールを作成し、H.245 の新しい制御チャネルをネゴシエートします。H.245 メッセージ用に新しい制御接続が作成されます。メッセージは H.245 制御チャネルで交換され、メディア チャネルが開きます。

ステートフル ファイアウォールは、H.225 制御チャネルを監視して、H.245 制御チャネルを開きます。H.245 チャネルが作成されると、ステートフル ファイアウォールは、このチャネルのメディア チャネル情報も監視し、メディア トラフィックがファイアウォールを通過できるようにします。

H323 ALG は、H.225 および H.245 メッセージの適切なアドレスとポートを書き換えることにより、静的宛先、静的および動的な送信元 NAT をサポートします。

H.323 コールのゲートキーパー モードをサポートするには、IPv4 および IPv6 ステートフル ファイアウォール ルールまたは NAPT-44 ルールで H323 ALG とゲートキーパー RAS ALG を使用します。Junos OS リリース 17.2R1 以降では、NAT-64 ルールもサポートされています。Junosのデフォルトアプリケーションセットには junos-h323-suite H323 ALGとゲートキーパーRAS ALGが含まれています。

ICMP

Internet Control Message Protocol(ICMP)は、RFC 792で定義されています。Junos OSステートフルファイアウォールサービスを使用すると、ICMPメッセージを特定のタイプまたは特定のタイプコード値でフィルタリングできます。タイプとコードが特別に設定されていないICMPエラーパケットは、エラーパケットの正当性を確認するために、反対方向の既存のフローと照合されます。フィルターマッチングを通過したICMPエラーパケットは、NAT変換の対象となります。

ICMP ALGは、ICMPシーケンス番号を使用して、常にpingトラフィックをステートフルに追跡します。各エコー応答は、対応するシーケンス番号のエコー要求がある場合にのみ転送されます。どの ping フローでも、エコー応答を受信せずに転送できるエコー要求は 20 回だけです。動的 NAT を構成すると、PING パケット識別子が変換され、NAT プール内の追加のホストで同じ識別子を使用できるようになります。

ステートフルファイアウォールとNATサービスをサポートするには、プロトコルが必要な場合にICMP ALGを設定する必要があります。追加のフィルタリング用に、ICMPタイプとコードを設定できます。

IIOPの

Oracle Application Serverネーム・サーバー・インターネットORB間プロトコル(IIOP)。このALGは、分散コンピューティングに基づくCommon Object Request Broker Architecture(CORBA)で使用されます。CORBAとIIOPはObject Management Group (OMG)標準ですが、IIOPには固定ポートは割り当てられていません。CORBAを実装する各ベンダーは、ポートを選択します。Java仮想マシンはデフォルトでポート1975を使用しますが、ORBIXはデフォルトとしてポート3075を使用します。

ステートフルファイアウォールとNATでは、Java VM IIOPの場合はTCPポート1975、Iona TechnologiesのCORBAフレームワークであるORBIXの場合は3075を設定する必要があります。

IKE ALG

Junos OS リリース 17.4R1より前では、MXシリーズルーターのIPsec機能のJunos VPN Site Secureスイートでは、ネットワークアドレス変換トラバーサル(NAT-T)はサポートされていません。Junos OS リリース 14.2R7、15.1R5、16.1R2、17.1R1 以降、IKE ALG を使用すると、NAT-T に準拠していない IPsec ピア間で NAPT-44 および NAT64 ルールを介して IKEv1 および IPsec パケットを渡すことができます。このALGは、ESPトンネルモードのみをサポートします。

このALGをNATルールで使用し、UDPプロトコルとポート500を指定します。

このALGは以下を実行します。

• IKEv1 接続開始要求を追跡して、NAT 処理が必要かどうかを判断します。

• 発信および受信 IKEv1 要求に対して NAT 変換を実行し、IKE セッションを作成します。

• 確立された IKE セッションに関連する IPsec パケットを識別し、ピア間のセキュリティ アソシエーションを確立します。

• IPsec パケットに対して NAT 変換を実行します。

IP

IP ALG は、単方向フローの作成にのみ使用されます。TCPトラフィックの場合、3ウェイハンドシェイクプロセスはチェックされません。このALGは、ステートフルファイアウォールのみのサービスセットで、トラフィックが一方向のみ流れるようにする場合に有効です。 match-direction input-output と組み合わせて構成すると、リターントラフィックがステートフルファイアウォールを通過することも可能になります。典型的なシナリオは、静的NAT、宛先NAT、または非対称ルーティングが存在する場合にトラフィックがステートフルファイアウォールを通過することが予想されるシナリオです。Junos IP ALGはNAPTでの使用を目的としていないため、ドロップフローの作成によって一致するトラフィックが破棄されます。

NetBIOS

NetBIOS ALG は、NAT の使用時に NetBIOS IP アドレスとポート番号を変換します。

NetBIOS は、TCP と UDP のトランスポート プロトコルをサポートしています。ステートフルファイアウォールとNATサービスをサポートするには、UDPポート138とTCPポート139でNetBIOS ALGを設定する必要があります。

ネットショー

Microsoft プロトコル ms-streaming は、Microsoft メディア サーバーである NetShow で使用されます。このプロトコルは、TCP、UDP、HTTPなどの複数のトランスポートプロトコルをサポートしています。クライアントはポート1755でTCP接続を開始し、PORTコマンドをサーバーに送信します。次に、サーバーはクライアントに対してそのポートでUDPを開始します。ステートフルファイアウォールとNATサービスをサポートするには、UDPポート1755でNetShow ALGを設定する必要があります。

ONC RPCサービス

Open Networks Computing (ONC) RPC サービスは、DCE RCP サービスと同様に機能します。ただし、ONC RPC ALG はポート マッピング サービスに TCP/UDP ポート 111 を使用し、UUID ではなくプログラム番号を使用してプロトコルを識別します。

ステートフルファイアウォールとNATサービスをサポートするには、TCPポート111でONC RPCポートマップALGを設定する必要があります。ONC RPC ALG は、アプリケーション固有のプログラム番号を持つ TCP プロトコルを使用します。

PPTPの

ポイントツーポイントトンネリングプロトコル(PPTP)ALGは、TCPベースのALGです。 PPTPを使用すると、ポイントツーポイントプロトコル(PPP)をIPネットワークを介してトンネリングできます。PPTP は、クライアント サーバー アーキテクチャ、PPTP ネットワーク サーバー、および PPTP アクセス コンセントレータを定義します。PPTP ALGには、制御接続とデータトンネルが必要です。制御接続は、TCP を使用して PPP セッションを確立および切断し、ポート 1723 で実行されます。データトンネルは、IP上で伝送される汎用ルーティングカプセル化(GRE)パケットでPPPトラフィックを伝送します。

RealAudio(リアルオーディオ)

Real Networks PNA プロトコル RealVideo は独立したサービスではありません。これはRealPlayerの一部であり、ほとんどの場合、ビデオに別のチャネルを使用します。RealPlayer バージョン G2、7、および 8 では、PNA と RTSP が使用されます。このバージョンを機能させるには、ALG で PNA(7070) と RTSP(554) の両方を許可する必要があります。メディアの場合、サーバーは UDP ポート (6970 から 7170)、TCPポート 7071、または HTTP の範囲から選択します。クライアントは、特定のポートを使用するように構成できます。RealPlayer バージョン 4.0 および 5.0 は、制御チャネル 7070 メディア UDP ポート 6970 から 7170、TCPポート 7071、または HTTP を使用します。RealAudio プレーヤー バージョン 3.0 は、制御チャネル 7070 メディア、UDP ポート 6770-7170、または TCPポート 7071 を使用します。

実際の製品では、 表 2 に示すポートとポート範囲を使用しています。

Sun RPC および RPC ポートマップサービス

リモートプロシージャコール(RPC)ALGは、ポートマッピングに既知のポートTCP 111およびUDP 111を使用し、RPCサービスのポートを動的に割り当てて開きます。RPC ポートマップ ALG はポート要求を追跡し、これらの要求されたポートのファイアウォールを動的に開きます。RPC ALG は、許可されたプログラム番号を指定することで、RPC プロトコルをさらに制限できます。

ALG には、 表 3 に示す RPC サービスが含まれています。

ポートマッピングを使用するステートフルファイアウォールとNATサービスをサポートするには、TCP/UDP宛先ポート111でRPCポートマップALGを設定し、TCPとUDPの両方に対してRPC ALGを設定する必要があります。1 つ以上の rpc-program-number 値を指定して、許可される RPC プロトコルをさらに制限できます。

RTSP

リアルタイム ストリーミング プロトコル (RTSP) は、オーディオやビデオなどのリアルタイム プロパティを使用してデータの配信を制御します。RTSP によって制御されるストリームは RTP を使用できますが、必須ではありません。メディアは、同じ RTSP 制御ストリームで送信できます。これはHTTPに似たテキストベースのプロトコルですが、クライアントとサーバーがセッション情報を維持します。セッションは SETUP メッセージを使用して確立され、TEARDOWN メッセージを使用して終了します。トランスポート(メディアプロトコル、アドレス、およびポート番号)は、セットアップとセットアップ応答でネゴシエートされます。

ステートフル ファイアウォールと NAT サービスをサポートするには、TCPポート 554 の RTSP ALG を設定する必要があります。

ALG は制御接続を監視し、メディア(RTP/RTSP)ストリームのフローを動的に開き、NAT アドレスとポートの書き換えを実行します。

一口

Session Initiation Protocol(SIP)は、メディアセッションを確立、維持、および終了できるアプリケーション層のプロトコルです。これは、広く使用されているVoice over IP(VoIP)シグナリングプロトコルです。SIP ALGはSIPトラフィックを監視し、シグナリングパスとメディアパスにピンホールを動的に作成および管理します。ALG は、適切な権限を持つパケットのみを許可します。SIP ALG は、次の機能も実行します。

• 親子セッションの関係を管理します。

• セキュリティ ポリシーを適用します。

• VoIPトラフィックのピンホールを管理します。

SIP ALG は、次の機能をサポートしています。

• ステートフルファイアウォール

• 静的なソースNAT

• 動的アドレスのみの送信元 NAT

• ネットワーク アドレス ポート変換 (NAPT)

SNMP

SNMPは、個々のネットワークデバイスと集約デバイスの両方を含むTCP/IPネットワークを管理するための通信プロトコルです。プロトコルは RFC 1157 で定義されています。SNMP は UDP 上で実行されます。

Junos OSステートフルファイアウォールサービスは、SNMP ALGを実装してSNMPタイプを検査します。SNMP はステートフル フローを強制しません。各SNMPタイプを具体的に有効にする必要があります。ステートフルファイアウォールサービスの完全なSNMPサポートには、UDPポート161でSNMP ALGを設定する必要があります。これにより、SNMP get コマンドと get-next コマンド、およびそれらの逆方向の応答トラフィックが有効になります。 UDP ポート 161 は、SNMP get-response コマンドを有効にします。SNMPトラップが許可されている場合は、UDPポート162でトラップを設定し、SNMP trap コマンドを有効にすることができます。

SQLNetの

SQLNetプロトコルは、ロードバランシングやアプリケーション固有のサービスなど、クライアントからSQLコマンドを実行するためにOracle SQLサーバーによって使用されます。

ステートフルファイアウォールとNATサービスをサポートするには、TCPポート1521にSQLNet ALGを設定する必要があります。

ALGは制御パケットを監視し、データトラフィックのフローを動的に開き、NATアドレスとポートの書き換えを実行します。

TFTP

Trivial File Transfer Protocol(TFTP)は RFC 1350 で規定されています。最初のTFTP要求は、UDP宛先ポート69に送信されます。追加のフローを作成して、個々のファイル を取得 または 配置 できます。ステートフルファイアウォールとNATサービスをサポートするには、UDP宛先ポート69のTFTP ALGを設定する必要があります。

トレースルート

traceroute は、パケットがネットワーク ホストにたどるルートを表示するためのツールです。IP Time-to-live(TTL)フィールドを使用して、ルーターまたはゲートウェイからのICMP時間超過メッセージをトリガーします。使用されていないと思われる宛先ポートにUDPデータグラムを送信します。宛先ポートには、+ nホップ – 1 という式で番号が付けられます。デフォルトのベース ポートは 33434 です。ファイアウォールを通過する traceroute をサポートするには、次の 2 種類のトラフィックを通過する必要があります。

1. UDPプローブパケット(UDP宛先ポート> 33000、IP TTL < 30)

2. ICMP 応答パケット(ICMPタイプ時間超過)

NATが適用される場合は、ICMPエラーパケット内のIPアドレスとポートも変更する必要があります。

ステートフルファイアウォールとNATサービスをサポートするには、UDP宛先ポート33434から33450のトレースルートALGを設定する必要があります。さらに、TTL閾値を設定して、大きなTTL値でのUDPフラッド攻撃を防止できます。

UNIXリモートシェルサービス

UNIX リモート・シェル・サービスの基礎となるプロトコルは 3 つあります。

• Exec:リモート コマンド実行。クライアント・システム上のユーザーがリモート・システムでコマンドを実行できるようにします。クライアント (rcmd) からサーバー (rshd) への最初のコマンドは、既知の TCPポート 512 を使用します。2 番目の TCP 接続は、 rcmdの要求に応じて開くことができます。2 番目の接続のクライアント ポート番号は、ASCII 文字列としてサーバーに送信されます。

• ログイン - rlogin としてよく知られており、よく知られた TCPポート 513 を使用します。詳細については、RFC 1282 を参照してください。特別なファイアウォール処理は必要ありません。

• シェル—リモートコマンド実行。クライアント・システム上のユーザーがリモート・システムでコマンドを実行できるようにします。クライアント (rcmd) からサーバー (rshd) への最初のコマンドは、既知の TCPポート 514 を使用します。2 番目の TCP 接続は、 rcmdの要求に応じて開くことができます。2 番目の接続のクライアント ポート番号は、ASCII 文字列としてサーバーに送信されます。

ステートフルファイアウォールサービスをサポートするには、TCPポート512でExec ALG、TCPポート513でログインALG、TCPポート514でシェルALGを設定する必要があります。NAT リモートシェル サービスでは、割り当てられる動的送信元ポートがポート範囲 512 から 1023 内である必要があります。NAT プールを設定する場合、このポート範囲はリモートシェルアプリケーション専用に予約されます。

WinFrame(ウィンフレーム)

WinFrameアプリケーションサーバーソフトウェアは、あらゆる種類のクライアントへのあらゆるネットワーク接続にわたって、事実上すべてのWindowsアプリケーションへのアクセスを提供します。

このプロトコルは、主にCitrix Windowsアプリケーションで使用されます。

ステートフルファイアウォールとNATでは、TCP宛先ポート1494とUDPポート1604でALG Winframeを設定する必要があります。