内容

概要

前提条件

要件

使用するコンポーネント

表記法

インターネットからの Java アプレットの拒否

設定

ネットワーク図

設定

確認

トラブルシュート

トラブルシューティングのためのコマンド

関連情報

概要

この設定例では、指定したインターネット サイトからの Java アプレットを許可し、その他すべてを拒否するために Cisco IOS® Firewall を使用する方法を紹介します。このタイプのブロッキングは、アーカイブ ファイルまたは圧縮ファイルに埋め込まれていない Java アプレットへのアクセスを拒否します。Cisco IOS Firewall は、Cisco IOS ソフトウェア リリース 11.3.3.T および 12.0.5.T で導入されました。特定のフィーチャ セットを購入した場合にのみ提供されます。

Software Advisor（登録ユーザ専用）を使用すると、どの Cisco IOS フィーチャ セットが IOS Firewall をサポートするかを確認することができます。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco 1751 ルータ

- Cisco IOS ソフトウェア リリース c1700-k9o3sy7-mz.123-8.T.bin

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細は、「シスコ テクニカル ティップスの表記法」を参照してください。

インターネットからの Java アプレットの拒否

次の手順に従います。

1. アクセス コントロール リスト（ACL）を作成します。

2. 設定に、ip inspect http java コマンドを追加します。

3. 外部インターフェイスに ip inspect および access-list コマンド を追加します。

注：この例では、ACL 3はフレンドリーサイト(10.66.79.236)からのJavaアプレットを許可しますが、他のサイトからのJavaアプレットを暗黙的に拒否します。この例はラボ内で設定およびテストされたため、ルータの外側に示されているアドレスは、インターネットでルーティング可能ではありません。

注：Cisco IOSソフトウェアリリース12.3.4T以降を使用する場合は、外部インターフェイスにアクセスリストを適用する必要はなくなります。これは、「ファイアウォール ACL バイパス機能」で文書化されています。

設定

このセクションでは、このドキュメントで説明する機能の設定に使用するための情報を説明しています。

注：このドキュメントで使用するコマンドの詳細については、Command Lookup Tool(登録ユーザ専用)を参照してください。

ネットワーク図

このドキュメントでは、次のネットワーク セットアップを使用します。

設定

このドキュメントでは、次の設定を使用しています。

ルータの設定

Current configuration : 1224 bytes

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname Australia

!

boot-start-marker

boot-end-marker

!

memory-size iomem 15

mmi polling-interval 60

no mmi auto-configure

no mmi pvc

mmi snmp-timeout 180

no aaa new-model

ip subnet-zero

!

ip cef

ip inspect name firewall tcp

ip inspect name firewall udp

!--- ACL used for Java.

ip inspect name firewall http java-list 3 audit-trail on

ip ips po max-events 100

no ftp-server write-enable

!

interface FastEthernet0/0

ip address 10.66.79.39 255.255.255.224

!--- ACL used to block inbound traffic !--- except that permitted by inspects. !--- This is no longer required on Cisco IOS Software !--- Release 12.3.4T or later.

ip access-group 100 in

ip nat outside

ip inspect firewall out

ip virtual-reassembly

speed auto

!

interface Serial0/0

no ip address

shutdown

no fair-queue

!

interface Ethernet1/0

ip address 192.168.10.1 255.255.255.0

ip nat inside

ip virtual-reassembly

half-duplex

!

ip classless

ip route 0.0.0.0 0.0.0.0 10.66.79.33

no ip http server

no ip http secure-server

!--- ACL used for Network Address Translation (NAT).

ip nat inside source list 1 interface FastEthernet0/0 overload

!

!--- ACL used for NAT.

access-list 1 permit 192.168.10.0 0.0.0.255

!--- ACL used for Java.

access-list 3 permit 10.66.79.236

!--- ACL used to block inbound traffic !--- except that permitted by inspects. !--- This is no longer required on Cisco IOS !--- Software Release 12.3.4T or later.

access-list 100 deny   ip any any

!

!

control-plane

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

login

!

end

確認

このセクションでは、設定が正しく動作していることを確認するために使用できる情報を提供しています。

一部の show コマンドはアウトプット インタープリタ ツールによってサポートされています（登録ユーザ専用）。このツールを使用することによって、show コマンド出力の分析結果を表示できます。

- show ip inspect sessions [detail] ：現在、Cisco IOS Firewall が追跡および検査している既存のセッションを示します。オプションのキーワード detail を指定すると、これらのセッションに関する追加情報が表示されます。

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

トラブルシューティングのためのコマンド

一部の show コマンドはアウトプット インタープリタ ツールによってサポートされています（登録ユーザ専用）。このツールを使用することによって、show コマンド出力の分析結果を表示できます。

注：debugコマンドを発行する前に、『debugコマンドの重要な情報』を参照してください。

- no ip inspect alert-off：Cisco IOS Firewall でアラート メッセージを有効にします。HTTP の拒否が設定された場合は、コンソールから確認することができます。

- debug ip inspect：Cisco IOS Firewall のイベントに関するメッセージを表示します。

以下に示すのは、10.66.79.236 の Web サーバ、および Java アプレットを持っているその他の信頼できないサイト（ACL 上に定義されている）に接続しようとした後の、debug ip inspect detail コマンドからのデバッグ出力例です。

Java の拒否ログ

*Jan 12 21:43:42.919: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2673)

-- responder (128.138.223.2:80)

*Jan 12 21:43:43.571: %FW-3-HTTP_JAVA_BLOCK:

JAVA applet is blocked from (128.138.223.2:80) to (192.168.10.2:2673).

*Jan 12 21:43:43.575: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2673) sent 276 bytes

-- responder (128.138.223.2:80) sent 0 bytes

*Jan 12 21:43:43.575: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2674)

-- responder (128.138.223.2:80)

*Jan 12 21:43:43.823: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2672) sent 486 bytes

-- responder (10.66.79.236:80) sent 974 bytes

*Jan 12 21:43:44.007: %FW-3-HTTP_JAVA_BLOCK:

JAVA applet is blocked from (128.138.223.2:80) to (192.168.10.2:2674).

*Jan 12 21:43:44.011: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2674) sent 276 bytes

-- responder (128.138.223.2:80) sent 1260 bytes

*Jan 12 21:43:44.011: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2675)

-- responder (128.138.223.2:80)

*Jan 12 21:43:44.439: %FW-3-HTTP_JAVA_BLOCK:

JAVA applet is blocked from (128.138.223.2:80) to (192.168.10.2:2675).

*Jan 12 21:43:44.443: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2675) sent 233 bytes

-- responder (128.138.223.2:80) sent 1260 bytes

*Jan 12 21:43:44.443: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2676)

-- responder (128.138.223.2:80)

*Jan 12 21:43:44.879: %FW-3-HTTP_JAVA_BLOCK:

JAVA applet is blocked from (128.138.223.2:80) to (192.168.10.2:2676).

*Jan 12 21:43:44.879: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2676) sent 233 bytes

-- responder (128.138.223.2:80) sent 1260 bytes

*Jan 12 21:43:44.899: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2677)

-- responder (128.138.223.2:80)

Java の許可ログ

Jan 12 21:44:12.143: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2685)

-- responder (10.66.79.236:80)

*Jan 12 21:44:12.343: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2686)

-- responder (10.66.79.236:80)

*Jan 12 21:44:17.343: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2685) sent 626 bytes

-- responder (10.66.79.236:80) sent 533 bytes

*Jan 12 21:44:17.351: %FW-6-SESS_AUDIT_TRAIL:

Stop http session: initiator (192.168.10.2:2686) sent 314 bytes

-- responder (10.66.79.236:80) sent 126 bytes

*Jan 12 21:44:23.803: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2687)

-- responder (10.66.79.236:80)

*Jan 12 21:44:27.683: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2691)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.411: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2692)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.451: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2693)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.463: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2694)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.475: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2695)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.487: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2696)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.499: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2697)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.515: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2698)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.527: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2699)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.543: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2700)

-- responder (10.66.79.236:80)

*Jan 12 21:44:28.551: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2701)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.075: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2734)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.135: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2735)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.155: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2736)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.159: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2737)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.215: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2739)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.231: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2740)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.251: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2742)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.395: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2747)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.403: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2748)

-- responder (10.66.79.236:80)

*Jan 12 21:44:29.423: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2749)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.091: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2798)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.095: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2799)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.115: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2800)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.119: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2801)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.123: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2802)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.191: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2803)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.219: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2804)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.399: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2805)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.411: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2806)

-- responder (10.66.79.236:80)

*Jan 12 21:44:30.423: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2807)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.103: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2843)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.115: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2844)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.127: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2845)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.139: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2846)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.147: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2847)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.159: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2848)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.171: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2849)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.183: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2850)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.195: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2851)

-- responder (10.66.79.236:80)

*Jan 12 21:44:31.203: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2852)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.107: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2908)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.123: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2909)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.143: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2910)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.163: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2911)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.175: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2912)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.187: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2913)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.199: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2914)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.211: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2915)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.223: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2916)

-- responder (10.66.79.236:80)

*Jan 12 21:44:32.235: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2917)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.151: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2982)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.163: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2983)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.175: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2984)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.187: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2985)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.199: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2986)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.211: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2987)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.223: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2988)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.235: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2989)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.251: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2990)

-- responder (10.66.79.236:80)

*Jan 12 21:44:33.259: %FW-6-SESS_AUDIT_TRAIL_START:

Start http session: initiator (192.168.10.2:2991)

-- responder (10.66.79.236:80)

関連情報

- IOS ファイアウォールのサポート ページ

- コンテキストベース アクセス制御:概要と設定

- Cisco ルータにおけるセキュリティの向上

- テクニカル サポートとドキュメント – Cisco Systems