それでは、最後にSPFの核ともいえるアドバンスド・ルールについて解説していきます。この設定を行うにはある程度のネットワークの知識が必要となってきますが、慣れてしまえば決して難しいものではありません。使っていくうちに徐々に慣れていくでしょう。それでは、「Tools」→「Advanced
Rules」を選択してください。以下のような画面が現れます。ただし、アドバンスド・ルールを初めて行う場合は空っぽの状態になっています。
※なお、上記の図の設定を参考にはしないで下さい。
まず、アドバンスド・ルールを追加していくには「Add」をクリックします。すると以下のような画面が現れます。アドバンスド・ルールでは「General」「Hosts」「Ports
and Protocols」「Scheduling」「Applications」タブの５つの画面に分かれており、１つのルールに対して５つのタブ画面を使って設定を行っていきます。
■ブラウザでの設定例
では、まずわかりやすい例で、ブラウザでの例を考えていきましょう。まず、アドバンスド・ルールで設定を行っていく前に、SPF初期画面で「Internet
Explorer」を「Block」の設定にしておきます。これで、当然、Internet Explorerを使用してはインターネットに接続することができない状態になりました。
次に「Tools」→「Advanced Rules」→「Add」をクリックします。その前に、理解しておいてもらいたいのが、例えば、特定のWebサイトを閲覧する場合、過程としてクライアントマシンは、「あるホストのWebサイトを閲覧したい」という接続要求を発信します。そのためには、「ブラウザが外部（WAN側）に対して接続しても良いよ！」というルールをSPFで追加してあげる必要があります。仮に、これを最初のルールとして「
ブラウザ送信許可」という名前にしましょう。次に、接続要求を受け取ったインターネット側にあるサーバーはその要求に応答し、再び、接続要求をクライアント側に対して送り返すことになります。その時に、「外部から来た要求を内部に通しても良いですよ」というルールをSPFで追加しなければWebサイトを閲覧することはできません。そこで、ブラウザの第２のルールとして「
ブラウザ受信許可」というルール名でルールを作成することにします。つまり、Webサイトを閲覧するためには「ブラウザ送信許可」と「ブラウザ受信許可」の２つのルールを作成してあげる必要があるのです。
■ルール１「ブラウザ送信許可」（LAN→WAN）
| Description |
Action |
Remote Host |
Direction |
Protocol |
Remote |
Local |
| ブラウザ送信許可 |
Allow |
All |
Outgoing |
TCP |
21,70,80,443 |
1024-4999 |
|
◎General
ブラウザの基本動作が理解できたところで、さっそく設定の解説をしていきます。「Tools」→「Advanced Rules」→「Add」をクリックします。まず、「General」タブで「ブラウザ送信許可」ルールの設定を行います。以下の画面を参考にしてください。
◎Hosts
以上で、「General」タブの設定は完了なので「Hosts」タブをクリックしてください。ここでは、リモートホストからのアクセスをIPアドレス、MACアドレス、サブネットマスクごとに制限を加えることができるようになります。とりあえず、ここでは「All
addresses」にチェックを入れておきます。
◎Ports and Protocols
「Ports and Protocols」タブをクリックしてください。
◎Scheduling
ルールを適用するスケジュールの設定を行います。月・日・時・分単位でスケジュールを設定することができます。ここでは、スケジュールの指定は行いません。
◎Applications
最後にルールを適用するアプリケーションとの関連付けを行います。上記で行ってきた設定はブラウザに共通のものなので、Internet
Explorer、NetscapeNavigator、その他のブラウザ全てにチェックを入れます。これで、ルール１「ブラウザ送信許可」は、ブラウザに対して適用されることになります。なお、今まで行ってきた設定は「Rule
Summary」に全て記載されています。
■ルール2「ブラウザ受信許可」（LAN←WAN）
「ブラウザ送信許可」を参考にして、以下のようにブラウザ受信許可ルールも設定してください。
| Description |
Action |
Remote Host |
Direction |
Protocol |
Remote |
Local |
| ブラウザ受信許可 |
Allow |
All |
Incoming |
TCP |
20 |
1024-4999 |
|
それでは、以下にブラウザ以外のその他のアプリケーション、もしくはプロトコルについてのルールを掲載しておきますので参考にしてください。
■ルール3「FTP送信許可」、ルール4「FTP受信許可」
FTPクライアントソフトを使用する際に必要となるルールです。
| Description |
Action |
Remote Host |
Direction |
Protocol |
Remote |
Local |
| FTP送信許可 |
Allow |
All |
Outgoing |
TCP |
21 |
1024-4999 |
| FTP受信許可 |
Allow |
All |
Incoming |
TCP |
20 |
1024-4999 |
|
■ルール5「メール送受信許可」
OutlookExpress、Becky！などのメールクライアントソフトを使用する際に必要となるルールです。なお、この時、「Remote
Host」には「All」ではなくプロバイダのメールサーバーのアドレスを指定しても良いでしょう。管理人の場合は、「Hosts」→「IP
Address(es)」でぷららのメールサーバーのIPアドレスを指定しています。
| Description |
Action |
Remote Host |
Direction |
Protocol |
Remote |
Local |
| メール送受信許可 |
Allow |
（Host IP） |
Outgoing |
TCP |
25,110 |
1024-4999 |
|
■ルール6「LSA遮断」
外部から接続要求を受け取ることになるLSAもブロックする設定にしておいた方が良いでしょう。なお、LSAは「C\winnt\system32\lsass.exe」に格納されています。
| Description |
Action |
Remote Host |
Direction |
Protocol |
Remote |
Local |
| LSA遮断 |
Block |
All |
Incoming |
TCP |
* |
* |
|
■ルール7「ICMP遮断」
外部からのPing応答に反応させないためにも、ICMPは遮断しておく必要があります。ただし、外部からのPing応答は遮断しても良いが、外部へPingを使う場合は「Allow」のルールを設定しておく必要があります（
ICMPとは？）。参考までに以下に「Message
Type」の代表的な意味について掲載しておきますので参考にしてください。
| Description |
Action |
Remote Host |
Direction |
Protocol |
Message Type |
| ICMP送信許可 |
Allow |
All |
Outgoing |
ICMP |
8 |
| ICMP受信許可 |
Allow |
All |
Incoming |
ICMP |
0,3,11 |
| ICMP送信遮断 |
Block |
All |
Outgoing |
ICMP |
0,3,11 |
| ICMP受信遮断 |
Block |
All |
Incoming |
ICMP |
8 |
|
◎Message Typeの意味
| #defineされている文字 |
コード |
意味 |
| ICMP_ECHOREPLY |
0 |
エコー応答 |
| ICMP_UNREACH |
3 |
終点到達不能 |
| ICMP_SOURCEQUENCH |
4 |
始点抑制 |
| ICMP_REDIRECT |
5 |
リダイレクト |
| ICMP_ECHO |
8 |
エコー要求 |
| ICMP_TIMXCEED |
11 |
時間超過 |
| ICMP_PARAMPROB |
12 |
パラメータエラー |
|
サーバー構築
