事前定義ポリシーアプリケーション |Junos OS |ジュニパーネットワークス

インターネット関連の事前定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーに対して定義済みのインターネット関連アプリケーションを指定できます。

表 1 に、インターネット関連の事前定義アプリケーションを示します。ネットワークの要件に応じて、これらのアプリケーションの一部またはすべてを許可するか拒否するかを選択できます。各エントリには、アプリケーション名、既定の受信ポート、およびアプリケーションの説明が一覧表示されます。

表 1: 定義済みアプリケーション
アプリケーション名	ポート	アプリケーションの説明
Aol	5190-5193	アメリカのオンラインインターネットサービスプロバイダー(ISP)は、インターネット、チャット、およびインスタントメッセージングアプリケーションを提供しています。
DHCP リレー	67 (デフォルト)	動的ホスト構成プロトコル。
Dhcp	68 クライアント 67 サーバー	動的ホスト構成プロトコルは、ネットワーク・アドレスを割り振り、構成パラメーターをサーバーからホストに提供します。
Dns	53	ドメインネームシステムは、ドメイン名をIPアドレスに変換します。
Ftp	20 データ 21 コントロール	ファイル転送プロトコル(FTP)を使用すると、マシン間でファイルを送受信できます。ANY を拒否または許可するか、選択的に許可または拒否するかを選択できます。信頼できないソース(インターネット)からのFTPアプリケーションを拒否することをお勧めします。
Gopher	70	Gopherは、インターネットサーバーのコンテンツを階層的に構造化されたファイルのリストとして整理および表示します。ネットワーク構造が公開されないように、Gopher アクセスを拒否することをお勧めします。
HTTP	80	ハイパーテキスト転送プロトコルは、ワールドワイドウェブ(WWW)で使用される基盤となるプロトコルです。 HTTP アプリケーションを拒否すると、ユーザーはインターネットを表示できなくなります。 HTTP アプリケーションを許可すると、信頼できるホストがインターネットを表示できるようになります。
HTTP-EXT	—	拡張された非標準ポートを使用したハイパーテキスト転送プロトコル
HTTPS	443	セキュアソケットレイヤーを使用したハイパーテキスト転送プロトコル(SSL)は、インターネットを介してプライベートドキュメントを送信するためのプロトコルです。 HTTPSを拒否すると、ユーザーはインターネットで買い物をしたり、安全なパスワード交換を必要とする特定のオンラインリソースにアクセスできなくなります。 HTTPSを許可すると、信頼できるホストがパスワード交換に参加したり、オンラインで買い物をしたり、ユーザーログインを必要とするさまざまな保護されたオンラインリソースにアクセスしたりできるようになります。
インターネットロケータサービス	—	Internet Locator Serviceには、LDAP、User Locator Service、およびLDAPover TSL/SSLが含まれます。
Irc	6665-6669	インターネットリレーチャット (IRC) を使用すると、インターネットに接続しているユーザーがライブディスカッションに参加できます。
Ldap	389	ライトウェイトディレクトリアクセスプロトコルは、情報ディレクトリへのアクセスに使用されるプロトコルのセットです。
PCをどこでも	—	PC-Anywhereは、リモートコントロールおよびファイル転送ソフトウェアです。
Tftp	69	トリビアルファイル転送プロトコル(TFTP)は、単純なファイル転送のためのプロトコルです。
Wais	—	広域情報サーバは、インターネット上の文書を検索するプログラムです。

メモ：

Junos OSリリースJunos OSリリース18.4R1以降、SSL 上の HTTP、SMTP、IMAP、POP3 などの暗号化されたアプリケーションは、Junos OS の事前定義済みアプリケーションおよびアプリケーションセットでは、junos:HTTPS、junos:SMTPS、junos:IMAPS、junos:POP3S として識別されます。例えば、HTTPS トラフィックを許可または拒否するセキュリティー・ポリシーを構成する場合、アプリケーション一致基準を junos:HTTPS として指定する必要があります。以前のJunos OSリリースでは、HTTPアプリケーションと暗号化されたHTTP(HTTPS)アプリケーションの両方を、junos:HTTPと同じアプリケーション一致基準を使用して設定できました。

Microsoft 定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーに対して定義済みの Microsoft アプリケーションを指定できます。

表 2 に、定義済みの Microsoft アプリケーション、各アプリケーションに関連付けられているパラメーター、および各アプリケーションの簡単な説明を示します。パラメーターには、ユニバーサル一意識別子 (UUID) と TCP/UDP 送信元ポートと宛先ポートが含まれます。UUID は、ハードウェアアドレス、タイムスタンプ、およびシード値から生成される 128 ビットの一意の数値です。

表 2: 定義済みの Microsoft アプリケーション
アプリケーション	パラメータ/UUID	説明
Junos MS-RPC-EPM	135 E1AF8308-5D1F-11C9-91A4-08002B14A0FA	Microsoft リモートプロシージャコール (RPC) エンドポイントマッパー (EPM) プロトコル。
Junos MS-RPC	—	マイクロソフトのリモートプロシージャコール (RPC) アプリケーション。
Junos MS-RPC-MSEXCHANGE	3メンバー	Microsoft Exchange アプリケーショングループには、次のものが含まれます。 Junos-MS-RPC-MSEXCHANGE-DATABASE Junos-MS-RPC-MSEXCHANGE-DIRECTORY Junos-MS-RPC-MSEXCHANGE-INFO-STORE
Junos-MS-RPC-MSEXCHANGE-DATABASE	1A190310-BB9C-11CD-90F8-00AA00466520	Microsoft Exchange データベースアプリケーション。
Junos-MS-RPC-MSEXCHANGE-DIRECTORY	F5CC5A18-4264-101A-8C59-08002B2F8426 F5CC5A7C-4264-101A-8C59-08002B2F8426 F5CC59B4-4264-101A-8C59-08002B2F8426	Microsoft Exchange Directory アプリケーション。
Junos-MS-RPC-MSEXCHANGE-INFO-STORE	0e4a0156-dd5d-11d2-8c2f-00c04fb6bcde 1453C42C-0FA6-11D2-A910-00C04F990F3B 10F24E8E-0FA6-11D2-A910-00C04F990F3B 1544F5E0-613C-11D1-93DF-00C04FD7BD09	Microsoft Exchange インフォメーションストアアプリケーション。
Junos-MS-RPC-TCP	—	マイクロソフト伝送制御プロトコル (TCP) アプリケーション。
Junos-MS-RPC-UDP	—	マイクロソフトユーザーデータグラムプロトコル (UDP) アプリケーション。
Junos-MS-SQL	—	Microsoft 構造化照会言語 (SQL)。
Junos-MSN	—	マイクロソフトネットワークメッセンジャーアプリケーション。

ダイナミックルーティングプロトコルの事前定義ポリシー適用について

ポリシーの作成時に、ポリシーに事前定義された動的ルーティングプロトコルアプリケーションを指定できます。

ネットワークの要件に応じて、これらの動的ルーティングプロトコルから生成されたメッセージおよびこれらの動的ルーティングプロトコルのパケットを許可または拒否することを選択できます。表 3 に、サポートされている各ダイナミックルーティングプロトコルを名前、ポート、説明別に示します。

表 3: ダイナミックルーティングプロトコル
ダイナミックルーティングプロトコル	ポート	説明
リッピング	520	RIPは、一般的な距離ベクトルルーティングプロトコルです。
Ospf	89	OSPFは、一般的なリンクステート型ルーティングプロトコルです。
Bgp	179	BGPは、外部/ドメイン間ルーティングプロトコルです。

ストリーミングビデオの事前定義済みポリシー適用について

ポリシーを作成するときに、ポリシーの定義済みストリーミングビデオアプリケーションを指定できます。

表 4 に、サポートされている各ストリーミングビデオアプリケーションを名前別に示し、既定のポートと説明を示します。ネットワークの要件に応じて、これらのアプリケーションの一部またはすべてを許可するか拒否するかを選択できます。

表 4: サポートされているストリーミングビデオアプリケーション
アプリケーション	ポート	説明
H.323	TCP 送信元 1-65535;TCP 宛先 1720、1503、389、522、1731 UDP送信元1-65535;UDP 送信元 1719	H.323は、国際電気通信連合(ITU)によって承認された標準であり、視聴覚会議データがネットワーク間で送信される方法を定義します。
Netmeeting	TCP 送信元 1-65535;TCP 宛先 1720、1503、389、522 UDP 送信元 1719	Microsoft NetMeeting は、TCP を使用して、インターネット経由で電話会議 (ビデオおよびオーディオ) アプリケーションを提供します。
リアルメディア	TCP 送信元 1-65535;TCP 宛先 7070	リアルメディアは、ビデオとオーディオのストリーミングテクノロジーです。
Rtsp	554	リアルタイムストリーミングプロトコル (RTSP) は、ストリーミングメディアアプリケーション用です
Sip	5056	セッション開始プロトコル(SIP)は、セッションを作成、変更、および終了するためのアプリケーション層の制御プロトコルです。
VDO ライブ	TCP 送信元 1-65535;TCP 宛先 7000-7010	VDOLiveは、スケーラブルなビデオストリーミングテクノロジーです。

Sun RPC 定義済みポリシーアプリケーションの理解

ポリシーを作成するときに、ポリシーの定義済み Sun RPC アプリケーションを指定できます。

表 5 に、Sun リモートプロシージャコールアプリケーション層ゲートウェイ(RPC ALG)の各アプリケーション名、パラメータ、およびフルネームを示します。

表 5: RPC ALG アプリケーション
アプリケーション	プログラム番号	フルネーム
SUN-RPC-PORTMAPPER	111100000	Sun RPC ポートマッパープロトコル
SUN-RPC-ANY	どれでも	Sun RPC アプリケーション
SUN-RPC-PROGRAM-MOUNTD	100005	Sun RPC マウントデーモン
SUN-RPC-PROGRAM-NFS	100003 100227	Sun RPC ネットワークファイルシステム
SUN-RPC-PROGRAM-NLOCKMGR	100021	Sun RPC ネットワークロックマネージャ
SUN-RPC-PROGRAM-RQUOTAD	100011	Sun RPC リモートクォータデーモン
SUN-RPC-PROGRAM-RSTATD	100001	Sun RPC リモートステータスデーモン
SUN-RPC-PROGRAM-RUSERD	100002	Sun RPC リモートユーザデーモン
SUN-RPC-PROGRAM-SADMIND	100232	Sun RPC システム管理デーモン
SUN-RPC-PROGRAM-SPRAYD	100012	Sun RPC スプレーデーモン
SUN-RPC-PROGRAM-STATUS	100024	Sun RPC ステータス
SUN-RPC-PROGRAM-WALLD	100008	Sun RPC Wall Daemon
SUN-RPC-PROGRAM-YPBIND	100007	SUN RPC イエローページバインドアプリケーション

セキュリティとトンネルの定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーの事前定義されたセキュリティアプリケーションとトンネルアプリケーションを指定できます。

表 6 に、サポートされている各アプリケーションの一覧と、デフォルトのポートと各エントリの説明を示します。

表 6: サポートされているアプリケーション
アプリケーション	ポート	説明
Ike	UDP送信元1-65535;UDP 宛先 500	インターネット鍵交換は、IPsecプロトコルスイートでセキュリティアソシエーションを設定するプロトコルです。インターネットキープロトコル (IKE) は、ISAKMP で使用する認証済みのキー情報を取得するためのプロトコルです。
IKE-NAT	4500	IKE-Network Address Translation(NAT)は、S2C IKEトラフィックに対してレイヤー3 NATを実行します。
L2tp	1701	L2TP は、リモートアクセス用に PPTP とレイヤー 2 転送(L2F)を組み合わせたものです。
Pptp	1723	ポイントツーポイントトンネリングプロトコルを使用すると、企業はパブリックインターネット上のプライベートトンネルを介して独自のプライベートネットワークを拡張できます。

IP 関連の事前定義済みポリシー適用について

ポリシーを作成するときに、ポリシーの定義済み IP 関連アプリケーションを指定できます。

表 7 に、定義済みの IP 関連アプリケーションを示します。各エントリには、既定のポートとアプリケーションの説明が含まれています。

TCP-ANYは、TCPを使用しているアプリケーションを意味するため、デフォルトのポートはありません。UDP-ANYについても同様です。

表 7: 定義済み IP 関連アプリケーション
アプリケーション	ポート	説明
どれでも	—	あらゆるアプリケーション
TCP-ANY	0-65,535	TCPを使用するすべてのプロトコル
UDP-ANY	0-65,535	UDPを使用するすべてのプロトコル

インスタントメッセージングの定義済みポリシー適用について

ポリシーを作成するときに、ポリシーの定義済みインスタントメッセージングアプリケーションを指定できます。

表 8 に、定義済みのインターネットメッセージングアプリケーションを示します。各エントリには、アプリケーションの名前、既定のポートまたは割り当てられたポート、およびアプリケーションの説明が含まれます。

表 8: 定義済みのインターネットメッセージングアプリケーション
アプリケーション	ポート	説明
Gnutella	6346 (デフォルト)	Gnutellaは、分散ネットワーク上で動作するパブリックドメインのファイル共有プロトコルです。任意のポートを割り当てることができますが、デフォルトは 6346 です。
Msn	1863	Microsoftネットワークメッセンジャーは、インスタントメッセージを送信してオンラインで話すことができるユーティリティです。
Nntp	119	ネットワークニューストランスポートプロトコルは、USENETメッセージの投稿、配布、および取得に使用されるプロトコルです。
Smb	445	IP 経由のサーバーメッセージブロック (SMB) は、ネットワーク上のサーバーに対してファイルの読み取りと書き込みを可能にするプロトコルです。
ティッカー	5010	Yahoo!メッセンジャーは、他の人がオンラインになっていることを確認したり、インスタントメッセージを送信したり、オンラインで話したりできるユーティリティです。

管理定義済みポリシー適用について

ポリシーを作成するときに、ポリシーに事前定義された管理アプリケーションを指定できます。

表 9 に、定義済みの管理アプリケーションを示します。各エントリには、アプリケーションの名前、既定のポートまたは割り当てられたポート、およびアプリケーションの説明が含まれます。

表 9: 定義済みの管理アプリケーション
アプリケーション	ポート	説明
NBNAME	137	NetBIOS 名アプリケーションは、UDP ポート 137 で送信されたすべての NetBIOS 名パケットを表示します。
NDBDS	138	IBM によって公開された NetBIOS データグラム・アプリケーションは、ブロードキャスト・メディアに接続された PC にコネクションレス (データグラム) アプリケーションを提供し、リソースの検索、セッションの開始、およびセッションの終了を行います。信頼性が低く、パケットが順序付けられていません。
Nfs	—	ネットワークファイルシステムはUDPを使用して、ネットワークユーザーがさまざまな種類のコンピューターに保存されている共有ファイルにアクセスできるようにします。SUN RPC は NFS の構成要素です。
NSグローバル	—	NS-Globalは、ジュニパーネットワークスのファイアウォール/VPNデバイスの一元管理プロトコルです。
NSグローバルプロ	—	NS Global-PROは、ジュニパーネットワークスのファイアウォール/VPNデバイスファミリー向けの拡張性の高い監視システムです。
Nsm	—	ネットワークおよびセキュリティマネージャー
Ntp	123	ネットワークタイムプロトコルは、コンピューターが時間参照に同期する方法を提供します。
Rlogin	513	RLOGIN は、リモート・ホストで端末セッションを開始します。
Rsh	514	RSH はリモートホストでシェルコマンドを実行します。
Snmp	161	簡易ネットワーク管理プロトコルは、複雑なネットワークを管理するためのプロトコルのセットです。
SQL*Net V1	66	SQL*Net バージョン 1 は、データの作成、アクセス、変更、および保護を可能にするデータベース言語です。
SQL*Net V2	66	SQL*Net バージョン 2 は、データの作成、アクセス、変更、および保護を可能にするデータベース言語です。
Mssql	1433 (既定のインスタンス)	Microsoft SQLは、データの作成、アクセス、変更、および保護を可能にする独自のデータベースサーバーツールです。
Ssh	22	SSHは、安全でないチャネルでの強力な認証と安全な通信を通じて、ネットワークを介して別のコンピューターにログインするプログラムです。
Syslog	514	Syslog は、システム・ロガーにメッセージを送信する UNIX プログラムです。
話	517-518	Talkは、自分の端末から別のユーザーの端末に回線をコピーするビジュアルコミュニケーションプログラムです。
Telnet	23	Telnet は、端末装置と端末指向プロセスを相互にインターフェースする標準的な方法を提供する UNIX プログラムです。
ウィンフレーム	—	WinFrame は、Windows 以外のマシン上のユーザーが Windows アプリケーションを実行できるようにするテクノロジです。
Xウィンドウズ	—	X-Windowsは、MotifとOpenLookがベースとしているウィンドウおよびグラフィックスシステムです。

メール定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーの定義済みメールアプリケーションを指定できます。

表 10 に、定義済みのメールアプリケーションをリストします。それぞれには、アプリケーションの名前、デフォルトまたは割り当てられたポート番号、およびアプリケーションの説明が含まれます。

表 10: 定義済みのメールアプリケーション
アプリケーション	ポート	説明
Imap	143	インターネットメッセージアクセスプロトコルは、メッセージの取得に使用されます。
メール(SMTP)	25	簡易メール転送プロトコルは、サーバー間でメッセージを送信するために使用されます。
POP3	110	ポストオフィスプロトコルは、電子メールの取得に使用されます。

UNIX の事前定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーに事前定義された UNIX アプリケーションを指定できます。

表 11 に、定義済みの UNIX アプリケーションをリストします。各エントリには、アプリケーションの名前、既定のポートまたは割り当てられたポート、およびアプリケーションの説明が含まれます。

表 11: 定義済み UNIX アプリケーション
アプリケーション	ポート	説明
指	79	fingerは、ユーザーに関する情報を提供するUNIXプログラムです。
Uucp	117	UNIX間コピープロトコル(UUCP)は、直接シリアルまたはモデム接続を介して2台のコンピューター間でファイル転送を可能にするUNIXユーティリティです。

その他の定義済みポリシー適用について

ポリシーを作成するときに、ポリシーにその他の定義済みアプリケーションを指定できます。

表 12 に、定義済みのその他のアプリケーションをリストします。各エントリには、アプリケーション名、デフォルトまたは割り当てられたポート、およびアプリケーションの説明が含まれます。

表 12: 定義済みのその他のアプリケーション
アプリケーション	ポート	説明
チャージン	19	文字発生プロトコルは、UDPまたはTCPベースのデバッグおよび測定ツールです。
破棄	9	破棄プロトコルは、ポート 9 に送信された TCP または UDP データを破棄するプロセスを記述するアプリケーション層プロトコルです。
Ident	113	識別プロトコルは、TCP クライアント認証に使用される TCP/IP アプリケーション層プロトコルです。
Lpr	515聞いてください。 721 から 731 のソース範囲 (両端を含む)	ラインプリンタデーモンプロトコルは、印刷アプリケーションに使用されるTCPベースのプロトコルです。
半径	1812	リモート認証ダイヤルインユーザーサービスアプリケーションは、認証とアカウンティングの目的で使用されるサーバープログラムです。
RADIUS アカウンティング	1813	RADIUSアカウンティングサーバーは、LANにログインまたはログアウトするユーザーの統計データを受信します。
SQLMON	1434 (SQL モニターポート)	SQL モニター (マイクロソフト)
Vnc	5800	仮想ネットワークコンピューティングは、インターネットに接続された別のコンピューターまたはモバイルジュニパーネットワークスデバイスの表示と操作を容易にします。
Whois	43	ネットワークディレクトリアプリケーションプロトコルは、ドメイン名を検索する方法です。
Sccp	2000	Cisco ステーション呼制御プロトコル(SCCP)は、シグナリング接続制御ポートを使用して、高可用性とフロー制御を提供します。

ICMP 定義済みポリシーの適用について

ポリシーを作成するときに、ポリシーの ICMP 定義済みアプリケーションを指定できます。

インターネット制御メッセージプロトコル(ICMP)は IP の一部であり、ネットワークを照会する方法(ICMP クエリーメッセージ)と、ネットワークからのエラーパターンのフィードバック(ICMP エラーメッセージ)の受信方法を提供します。ただし、ICMPはエラーメッセージの配信を保証したり、失われたデータグラムをすべて報告したりするわけではありません。そしてそれは信頼できるプロトコルではありません。ICMP コードとタイプコードは、ICMP クエリーメッセージと ICMP エラーメッセージを記述します。

ネットワークセキュリティを向上させるために、特定のタイプのICMPメッセージを許可または拒否することができます。一部の種類のICMPメッセージは、セキュリティを危険にさらす可能性のあるネットワークに関する情報を取得するために悪用される可能性があります。たとえば、ICMP、TCP、または UDP パケットは、トポロジやアクセスリストフィルタリング特性など、ネットワークに関する情報を含む ICMP エラーメッセージを返すように構築できます。表 13 に、ICMP メッセージ名、対応するコード、タイプ、および説明を示します。

表 13: ICMP メッセージ
ICMP メッセージ名	型	コード	説明
ICMP-ANY	すべての	すべての	ICMP-ANY は、ICMP を使用するすべてのプロトコルに影響します。 ICMP-ANYを拒否すると、ICMPを使用したネットワークのpingや監視の試みが損なわれます。 ICMP-ANY を許可すると、すべての ICMP メッセージが許可されます。
ICMP-アドレス-マスク要求返信	17 18	0 0	ICMPアドレスマスククエリは、ブートストラップサーバーからローカルサブネットマスクを必要とするシステムに使用されます。 ICMP アドレスマスク要求メッセージを拒否すると、ディスクレスシステムに悪影響を与える可能性があります。 ICMP アドレスマスク要求メッセージを許可すると、他のユーザーがネットワーク内のホストのオペレーティングシステムをフィンガープリントできる場合があります。
ICMP-DEST-UNREACH	3	0	ICMP 宛先到達不能エラーメッセージは、宛先ホストがパケットを拒否するように設定されていることを示します。コード 0、1、4、または 5 は、ゲートウェイからのものです。コード 2 または 3 は、ホスト (RFC 792) からのものです。 ICMP宛先到達不能エラーメッセージを拒否することで、ホストがSRXシリーズファイアウォールの背後で稼働しているという仮定を取り除くことができます。 ICMP 宛先到達不能エラーメッセージを許可すると、セキュリティフィルタリングなど、ネットワークに関するいくつかの仮定が可能になります。
必要なICMPフラグメント	3	4	ICMP フラグメンテーションエラーメッセージは、フラグ化が必要であるが、Don't Fragment フラグが設定されていることを示します。インターネットから内部ネットワークへのこれらのメッセージを拒否することをお勧めします。
ICMP フラグメント再構築	11	1	ICMP フラグメント再構築時間超過エラーは、フラグメント化されたメッセージを再アセンブルしているホストが時間を使い果たし、パケットをドロップしたことを示します。このメッセージは時々送信されます。インターネット (外部) から信頼済み (内部) ネットワークへのこれらのメッセージを拒否することをお勧めします。
ICMP-HOST-UNREACH	3	1	ICMP host 到達不能エラーメッセージは、ルーティングテーブルのエントリーが特定のホストを無限にリストしていない、またはリストしていないことを示します。このエラーは、フラグメント化を必要とするパケットの受信時にフラグメント化できないゲートウェイによって送信されることがあります。インターネットから信頼できるネットワークへのこれらのメッセージを拒否することをお勧めします。これらのメッセージを許可すると、他のユーザーが削除プロセスによって内部ホストの IP アドレスを特定したり、ゲートウェイと断片化について仮定したりできるようになります。
ICMP-INFO 要求返信	15 16	0 0	ICMP-INFO クエリーメッセージにより、ディスクレスホストシステムはネットワークをクエリーし、自己設定できます。 ICMP アドレスマスク要求メッセージを拒否すると、ディスクレスシステムに悪影響を与える可能性があります。 ICMP アドレスマスク要求メッセージを許可すると、他のユーザーがネットワークセグメントに情報クエリをブロードキャストして、コンピューターの種類を判断できるようになる可能性があります。
ICMP-PARAMETER-PROBLEM	12	0	ICMPパラメータ問題のエラーメッセージは、誤ったヘッダーパラメータが存在し、パケットが破棄される原因となった場合に通知しますインターネットから信頼できるネットワークへのこれらのメッセージを拒否することをお勧めします。 ICMP パラメータ問題のエラーメッセージを許可すると、他のユーザーがネットワークについて推測できるようになります。
ICMP-port-unreach	3	3	ICMP ポート到達不能エラーメッセージは、特定のポートを要求するデータグラムを処理するゲートウェイがネットワークで使用できないか、サポートされていないことを示します。インターネットから信頼できるネットワークへのこれらのメッセージを拒否することをお勧めします。 ICMP ポート到達不能エラーメッセージを許可すると、特定のプロトコルに使用しているポートを他のユーザーが判断できるようになります。
ICMP-プロトコル-アンリーチ	3	2	ICMP プロトコル到達不能エラーメッセージは、特定のプロトコルを要求するデータグラムを処理するゲートウェイがネットワークで使用できないか、サポートされていないことを示します。インターネットから信頼できるネットワークへのこれらのメッセージを拒否することをお勧めします。 ICMP プロトコル到達不能エラーメッセージを許可すると、ネットワークが実行されているプロトコルを他のユーザーが判断できるようになります。
ICMP-REDIRECT	5	0	ICMPリダイレクトネットワークエラーメッセージは、SRXシリーズファイアウォールによって送信されます。インターネットから信頼できるネットワークへのこれらのメッセージを拒否することをお勧めします。
ICMP-リダイレクト-ホスト	5	1	ICMPリダイレクトメッセージは、指定されたホスト宛てのデータグラムが別のパスに沿って送信されることを示します。
ICMP-REDIRECT-TOS-HOST	5	3	ICMPリダイレクトタイプのサービス(TOS)とホストエラーは、メッセージの一種です。
ICMP-REDIRECT-TOS-NET	5	2	ICMPリダイレクトTOSとネットワークエラーはメッセージの一種です。
ICMP-ソース-クエンチ	4	0	ICMP ソースクエンチエラーメッセージは、デバイスに、パケットの受け入れ、キューイング、ネクストホップへの送信に使用できるバッファースペースがないことを示します。これらのメッセージを拒否しても、内部ネットワークのパフォーマンスが向上したり損なわれたりすることはありません。これらのメッセージを許可すると、デバイスが輻輳していることを他のユーザーに知られ、実行可能な攻撃ターゲットになります。
ICMP-SOURCE-ROUTE-FAIL	3	5	ICMP 送信元ルート失敗エラーメッセージこれらのインターネットからのメッセージを拒否することをお勧めします (外部)。
ICMP-time-exceeded	11	0	ICMP TTL(Time-to-live)超過エラーメッセージは、パケットが宛先に到達する前にパケットの TTL 設定がゼロに達したことを示します。これにより、再送信されたパケットが処理される前に古いパケットが破棄されます。信頼できるネットワークからインターネットへのこれらのメッセージを拒否することをお勧めします。
ICMP-TIMESTAMP 要求返信	13 14	0 0	ICMP-TIMESTAMPクエリーメッセージは、大規模で多様なネットワークにおいて、時間を同期させ、時間分布を調整するメカニズムを提供します。
Ping(ICMPエコー)	8	0	Pingは、特定のホストがそのIPアドレスでアクセス可能かどうかを判断するユーティリティです。 ping機能を拒否すると、ホストがアクティブかどうかを確認できなくなります。 pingを許可すると、他のユーザーがサービス拒否(DoS)またはスマーフ攻撃を実行できるようになります。
ICMP-ECHO-FRAGMENT-ASSEMBLY-EXPIRE	11	1	ICMP フラグメントエコー再アセンブリ時間期限切れエラーメッセージは、再アセンブリ時間を超過したことを示します。これらのメッセージは拒否することをお勧めします。
Traceroute 転送破棄	30 30	0 1	tracerouteは、特定のホストにアクセスするためのパスを示すユーティリティです。インターネット(外部)から信頼できるネットワーク(内部)へのこのユーティリティを拒否することをお勧めします。

ICMP 到達不能エラーのデフォルトの動作

セキュリティレベルが異なる場合、ICMP 到達不能エラーの既定の動作は次のように処理されます。

ICMP タイプ 3、コード 0、コード 1、コード 2、およびコード 3 メッセージのセッションは、次の条件が満たされた場合のみクローズされます。
- ICMP 到達不能メッセージは、サーバーからクライアントへの方向で受信されます。
- サーバーからクライアントへの方向では、通常のパケットは受信されません。
それ以外の場合、セッションは閉じられません。
ICMP タイプ 3、コード 4 メッセージのセッションは閉じません。

例:カスタム ICMP アプリケーションの定義

この例では、カスタム ICMP アプリケーションを定義する方法を示します。

要件
概要
構成
検証

要件

始める前に:

カスタムポリシーの適用について理解する。カスタムポリシーの適用についてを参照してください。
ICMP 事前定義済みポリシーの適用について理解します。 ICMP 定義済みポリシーの適用についてを参照してください。

概要

Junos OSは、ICMPおよび複数のICMPメッセージを、事前定義アプリケーションまたはカスタムアプリケーションとしてサポートします。カスタム ICMP アプリケーションを設定する場合は、タイプとコードを定義します。

ICMP にはさまざまなメッセージタイプがあります。例えば：
- タイプ 0 = エコー要求メッセージ
- タイプ 3 = 宛先到達不能メッセージ

ICMP メッセージタイプは、メッセージコードを持つこともできます。このコードは、表 14 に示すように、メッセージに関するより具体的な情報を提供します。

表 14: メッセージの説明
メッセージの種類	メッセージコード
5 = リダイレクト	0 = ネットワーク (またはサブネット) のリダイレクトデータグラム
	1 = ホストのリダイレクトデータグラム
	2 = アプリケーションとネットワークのタイプのリダイレクトデータグラム
	3 = アプリケーションとホストの種類のリダイレクトデータグラム
11 = 時間超過コード	0 = 転送中に有効期間を超過しました
	1 = フラグメント再構築時間超過

Junos OSは、から 55 の範囲0 内のすべてのタイプまたはコードをサポートします。

この例では、トランスポートプロトコルとして ICMP を使用して、host-unreachable という名前のカスタムアプリケーションを定義します。タイプは 3(宛先到達不能)、コードは 1(ホスト到達不能)です。タイムアウト値は 4 分に設定します。

メモ：

ICMP のタイプとコードの詳細については、RFC 792、インターネット制御メッセージプロトコルを参照してください。

構成

手順

次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の説明については、 Junos OS CLIユーザーガイドの設定モードでCLIエディターを使用するを参照してください。

カスタム ICMP アプリケーションを定義するには:

アプリケーションの種類とコードを設定します。

非アクティブ・タイムアウト値を設定します。

デバイスの設定が完了したら、設定をコミットします。

検証

設定が正常に機能していることを確認するには、コマンドを入力します show applications 。

このページの目次

事前定義ポリシー適用