VPN(IPsec)のフィルタリングについて

質問

IP:A (サーバIPアドレス)　、ルータ：RTX810、WinSvr2008R2
IP:B (サーバIPアドレス) 、ルータ：RTX810、WinSvr2008R2
ＶＰＮ接続をＡＢ間で構築済みの状態です。
Ｂ→Ａについてファイル共有アクセスしかしないため、
Ａの方のセキュリティ強化で、ファイル共有のみ通す設定を
しましたが、接続できない状態です。どの設定がまずいのでしょうか？
変更前と変更後の内容は以下のとおりです。

■変更前
～省略～
tunnel select 2
～省略～
ip tunnel secure filter in 2 1000
ip tunnel secure filter out 1 1000
tunnel enable 2
ip filter 1 pass Ａ Ｂ *
ip filter 2 pass Ｂ Ａ *
ip filter 1000 reject * *
～省略～

■変更後
～省略～
tunnel select 2
～省略～
ip tunnel secure filter in 2 1000
ip tunnel secure filter out 1 1000
tunnel enable 2
ip filter 1 pass Ａ Ｂ udp,tcp * 137-139
ip filter 2 pass Ｂ Ａ udp,tcp * 137-139
ip filter 1000 reject * *
～省略～

回答No.2

maesen · ベストアンサー

フィルタの設定が基本これだけしかないのであれば問題点が2つあります。

(1)許可しているポート番号が適切ではない

ファイル共有で使用するNetBIOS over TCP/IPのポートは139なのですが、
Windows2000移行ではDirect Hosting of SMBが使用されるため、使用するTCPポートは445になります。

ただ、TCPポート445が使用できないとNetBIOS over TCP/IPを試行するためこれだけが原因ではないと思います。
（ただ、パフォーマンス低下の要因になります）

(2)戻りのTCPパケットの考慮が無い

例えばAのホストからBのホストに通信する場合

ホストA TCPポート50000 → ホストB TCPポート139

という通信になります。
この通信の戻りのパケットは

ホストA TCPポート50000 ← ホストB TCPポート139

つまりホストBTCPポート139からホストAに返ってくるパケットを通す設定が必要になります。
このソースポートは不定なのでこれを前提に設定する必要があります。

現在の設定では、ディストネーションポートが137-139を許可するフィルタしかありません。

＞ip filter 1 pass Ａ Ｂ udp,tcp * 137-139
＞ip filter 2 pass Ｂ Ａ udp,tcp * 137-139

この設定がどちらの拠点のルータか不明ですが、

ip filter 1 pass Ａ Ｂ udp,tcp 137-139 *
ip filter 2 pass Ｂ Ａ udp,tcp * 137-139

こんな風になると思います。

ただ、本来は established や動的フィルタを使用するほうがよりセキュアだし設定の見た目もいいでしょう。

お礼

非常にわかりやすい説明あいがとうございます。
ご指摘のとおり、原因は、ポートの順序指定と、ポート445でした。
ありがとうございました。

回答No.1

noname#234537

直接な答えではないですが落ちているフィルターを見れば原因がわかると思います

syslog notice on
clear log
共有フォルダにアクセスする
show log reverse

これで、ポート何番がドロップしているか発見できます
あとはそれを許可してあげればOkだと思います

お礼

情報ありがとうございます。