YAMAHAルータの設定に関しての質問について

Question

YAMAHAルータのフィルタに関しての問題について教えてください。

この問題で正解が、赤字の【2】のようなのですが、なぜこれが
正解になるかわかりません。
詳しい方教えて頂けないでしょうか。

尚、【1】と【4】が間違いなのではわかりますが、【2】と【3】で
どちらが合っているか悩んでしまっております。

Comments

[R30san]

すいません。おっしゃるとおり、インフラに関することでプログラムには関係ありません。エンジニアに関することであれば、時にインフラ系も触ることもあると思い質問しましたが、駄目でしょうか？

Answer 1

参考）
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html

動的なフィルターは、静的なフィルターよりも優先して動作します。すなわち、特定のコネクションに対応するドアが開いた後は、そのコネクションを静的なフィルターで制御することはできません。逆にいえば、コネクションの最初のパケットだけは、静的なフィルターで制御できます

ということだと思います。

Comments

[R30san]

ありがとうございます。

参照リンクを確認させて頂きます。

最後のフィルタの下記は、out通信でかつ、動的フィルタになると
いうことで認識あっているのでしょうか。
ip pp secure filter out 1 dynamic 10 11 12 13

もしそうであれば、【2】のものと内容が異なるような気がするのですが
私の認識が異なっているのでしょうか。

[AbeTakashi]

「dynamicフィルタ」がどのように動作するかはご存じでしょうか？ これとアウト側にダイナミックフィルタがかかってることキモです。これらが理解できていれば【2】は正しいですし【3】が間違えという認識になるかと思います。

参考）
https://atnetwork.info/yamaha1/dynamic_filter01.html
https://atnetwork.info/yamaha1/dynamic_firewall01.html
https://atnetwork.info/yamaha1/dynamic_firewall02.html

[R30san]

ご丁寧にありがとうございます。

なんとなく分かってきました。

【3】は
ip pp secure filter in 2 があるため、"これだけであれば"
正解となるが、フィルタのその後に
ip pp secure filter out 1 dynamic 10 11 12 13
と記載があるため、"すべて拒否（reject）する"のではなく、
動的の応答分（dynamic 10 11 12 13）があるため
【3】は間違いであり、【2】が正解になるということと理解しました。

認識誤りがあれば、教えて頂けると幸いです。

[AbeTakashi]

その認識でいいと思います。キモは回答に書いたところで、動的フィルタがとにかく優先されるということです。

[R30san]

ありがとうございます！非常に勉強になりました。