CISCOコミュの拡張ACLについて

PIXやASAシリーズの拡張ACLについて質問します。

上記、機器において、コンフィグ(CLI）で、拡張ACLを記述
するときに、サービスを、FTP-PASSIVEにしたいのですが、
以下のような、設定で上手くACLに反映できるのでしょうか？

１）ftp mode passive を記述し、パッシブモードにする。

２）policy－map global_policy
　　class inspection_default
　　inspect ftp
　　・・・・・・
を記述する。

３）拡張ACLでサービスにFTP-PASSIVEを反映するとき、
access-list 100 extended ｔｃｐ host IPaddr1 IPaddr2 eq ｆｔｐ
と定義する。

ネットで10時間以上調べたのですが、結局上記の回答しか自分には
出せませんでした。
この方法だと、正直、拡張ACLにFTP-PASSIVEが反映されて
いるのか不安です。どなたか、御教示くださるようお願い致します。

コメント(2)

最初
全て
最新の40件

[2] mixiユーザー 02月17日 01:59

ちょっとASAからはしばらく離れているので確実なことはいえませんが、ASAであればFTPのインスペクションを行っているはずなので、それで問題ないかと思います。

PIX-OSの場合は、としをさんが指摘されている通りポリシー検査とセション管理を行っており、Outside→Insideの拡張ACLを指定した上でInspectionを通してあれば、戻り及び上位ポートを使う通信については特に記載は必要ないはずです。

ASAはFTPのinspectionを行っている場合、クライアントからの通信を監視しPassiveの場合にどのポートでサーバがウェイトするかを把握し、そのポートを動的に開けるようにします。ですからACLでFTPだけを指定すれば問題なかったかと思います。
＃確かftpだけあればよく、ftp-dataについては指定しなくてよかったと思うのですが記憶が曖昧ですね…

PassiveなFTPサーバを立てて検証することが可能であれば、logging level をdebuggingにして実際に通してみるのがよいかと思います。通れば動的に通してますよ、という旨のログが上がるはずですし、うまく行かない場合はACLで阻んだかそれ以外かのログが上がると思います。

ログインすると、みんなのコメントがもっと見れるよ