# リモートアクセス制御

## 1. 機能概要

本製品では、ネットワークサービスを実現する以下のアプリケーションに対して、アクセス制限を行う機能を提供します。

- TELNETサーバー

- SSHサーバー

- HTTP サーバー／HTTPS サーバー

- TFTP サーバー

- SNMPサーバー

## 2. 用語の定義

特になし

## 3. 機能詳細

ネットワークサービスに対するアクセス制限として、以下の4つを可能とします。

- 該当サービスをシステムに常駐させるかどうかの制御（起動・停止制御）

- 受付ポート番号の変更

- サービス起動中のアクセス先の限定

- サービス起動中のアクセス元IPアドレスの限定

下表にネットワークサービスごとに対応する機能を示します。

- ネットワークサービスに対するアクセス制御

  ネットワークサービス | 起動・停止制御 | 受付ポート番号の変更 | アクセス先の限定 | アクセス元の限定
  --- | --- | --- | --- | ---
  TELNET サーバー | ○ | ○ | ○ | ○
  SSH サーバー | ○ | ○ | ○ | ○
  HTTP サーバー HTTPS サーバー | ○ | ○ | ○ | ○
  TFTP サーバー | ○ | ○ | ○ | ×
  SNMP サーバー | ×(常に起動) | ×(常に161) | × | ○

  1. ネットワークサービスを多重起動させることはできません。
     サービス起動中に同一サービスに対して起動制御を行うと、再立ち上げします。このため、接続中のセッションは 切断 されます。

  2. ネットワークサービスに対してのアクセス先の限定は、 VLANインターフェース に対して行います。

  3. ネットワークサービスに対してのアクセス元の限定では、 アクセス元のIPアドレス と アクセスの許可/拒否 を指定することができます。

  4. ネットワークサービスの初期設定は下表のようになっています。

     ネットワークサービス | 起動・停止状態 | 受付ポート番号 | アクセス先の限定 | アクセス元の限定
     --- | --- | --- | --- | ---
     TELNET サーバー | 起動 | 23 | デフォルト保守VLAN (VLAN #1) のみ許可 | 全て許可
     SSH サーバー | 停止 | 22 | デフォルト保守VLAN (VLAN #1) のみ許可 | 全て許可
     HTTP サーバー | 起動 | 80 | デフォルト保守VLAN (VLAN #1) のみ許可 | 全て許可
     HTTPS サーバー | 停止 | 443
     TFTP サーバー | 停止 | 69 | デフォルト保守VLAN (VLAN #1) のみ許可 | 全て許可
     SNMP サーバー | 起動 | 161 | 全て許可 | 全て許可

## 4. 関連コマンド

関連コマンドについて、以下に示します。
詳細は、コマンドリファレンスを参照願います。

ネットワークサービス | 操作項目 | 操作コマンド
--- | --- | ---
共通 | 保守VLAN | management interface
TELNETサーバー | 起動停止 | telnet-server
受付ポート番号変更 | telnet-server enable (引数でポート番号を指定)
アクセス制御 | telnet-server interface
IPアドレスアクセス制御 | telnet-server access
設定の表示 | show telnet-server
SSHサーバー | 起動停止 | ssh-server
受付ポート番号変更 | ssh-server enable (引数でポート番号を指定)
アクセス制御 | ssh-server interface
IPアドレスアクセス制御 | ssh-server access
クライアント生存確認 | ssh-server client alive
設定の表示 | show ssh-server
ホスト鍵の作成 | ssh-server host key generate
ホスト鍵のクリア | clear ssh-server host key
公開鍵の表示 | show ssh-server host key
HTTPサーバー | HTTPサーバー起動停止 | http-server
HTTPサーバー受付ポート番号変更 | http-server enable (引数でポート番号を指定)
HTTPSサーバー起動停止 | http-server secure
HTTPSサーバー受付ポート番号変更 | http-server secure enable (引数でポート番号を指定)
アクセス制御 | http-server interface
IPアドレスアクセス制御 | http-server access
設定の表示 | show http-server
TFTPサーバー | 起動停止 | tftp-server
アクセス制御 | tftp-server interface
SNMPサーバー | IPアドレスおよびコミュニティー名でのアクセス制御 | snmp-server access

## 5. コマンド実行例

### 5.1. TELNETサーバーに対するアクセス制御

TELNETサーバーに対するアクセス制限を実現します。
TELNETサーバーの受付ポートを1024に変更します。
保守VLANを VLAN #1000 に変更しアクセスを許可します。保守VLAN以外からのアクセスは拒否します。
TELNETサーバーへの接続は192.168.100.1からのクライアントのみ許可します。
telnet-server accessを設定した場合、条件に当てはまらないIPアドレスからのアクセスは拒否します。

    Yamaha(config)#telnet-server enable 1024 (1)
    Yamaha(config)#management interface vlan1000 (2)
    Yamaha(config)#telnet-server access permit 192.168.100.1 (3)
    Yamaha(config)#end
    Yamaha#show telnet-server (4)
    Service:Enable
    Port:1024
    Management interface(vlan):1000
    Interface(vlan):None
    Access:
        permit 192.168.100.1

1 | 受付ポートを1024に変更し、TELNETサーバーを再起動する
2 | 保守VLANとしてVLAN #1000 のアクセスを許可する
3 | 192.168.100.1からのみアクセスを許可する
4 | 設定状況の確認

### 5.2. SSHサーバーに対するアクセス制御

SSHサーバーに対するアクセス制限を実現します。
SSHサーバーホスト鍵の作成を行います。
ユーザー名とパスワードの登録をします。
SSHクライアントからは登録したユーザーとパスワードのみログイン可能です。
SSHサーバーの受付ポートを1024に変更します。
保守VLANを VLAN #1000 に変更、 VLAN #2 のアクセスを許可します。
これにより保守VLAN VLAN #1000 と、 VLAN #2 からのみアクセスを許可します。
ssh-server accessを設定した場合、条件に当てはまらないIPアドレスからのアクセスは拒否します。

    Yamaha#ssh-server host key generate (1)
    Yamaha#show ssh-server host key (2)
    ssh-dss （省略）
    ssh-rsa （省略）
    Yamaha#
    Yamaha#configure terminal
    Enter configuration commands, one per line.  End with CNTL/Z.
    Yamaha(config)#username user1 password pw1 (3)
    Yamaha(config)#ssh-server enable 1024 (4)
    Yamaha(config)#management interface vlan1000 (5)
    Yamaha(config)#ssh-server interface vlan2 (6)
    Yamaha(config)#end
    Yamaha#show ssh-serverr (7)
    Service:Enable
    Port:1024
    Hostkey:Generated
    Client alive :Disable
    Management interface(vlan):1000
    Interface(vlan):2
    Access:None
    Yamaha#

1 | ホスト鍵を作成する
2 | 鍵の内容をの確認
3 | ユーザー名とパスワードを登録する
4 | 受付ポートを1024に変更し、SSHサーバーを再起動する
5 | 保守VLANとして #1000 のアクセスを許可する
6 | VLAN #2 のアクセスを許可する
7 | 設定状況の確認

### 5.3. HTTPサーバーに対するアクセス制限

HTTPサーバーに対するアクセス制限を実現します。
HTTPサーバーの受付ポートを8000に変更し、 VLAN #2 のアクセスを許可します。
これによりデフォルト保守VLAN VLAN #1 と、 VLAN #2 からのみアクセスを許可します。
HTTPサーバーへの接続は192.168.100.1からのクライアントのみ許可します。
http-server accessを設定した場合、条件に当てはまらないIPアドレスからのアクセスは拒否します。

    Yamaha(config)#http-server enable 8000 (1)
    Yamaha(config)#http-server interface vlan2 (2)
    Yamaha(config)#http-server access permit 192.168.100.1 (3)
    Yamaha(config)#end
    Yamaha#show http-server (4)
    HTTP :Enable(8000)
    HTTPS:Disable
    Management interface(vlan):1
    Interface(vlan):2
    Access:
        permit 192.168.100.1

1 | 受付ポートを8000に変更し、HTTPサーバーを再起動する
2 | VLAN #2 のアクセスを許可する
3 | 192.168.100.1からのみアクセスを許可する
4 | 設定状況の確認

### 5.4. TFTPサーバーに対するアクセス制限

TFTPサーバーに対するアクセス制限を実現します。
TFTPサーバーの受付ポートを2048に変更し、 VLAN #10 のアクセスを許可します。
デフォルト保守VLAN VLAN #1 と、 VLAN #10 からのみアクセスを許可します。

    Yamaha(config)#tftp-server enable 2048 (1)
    Yamaha(config)#tftp-server interface vlan10 (2)

1 | 受付ポートを2048に変更し、TFTPサーバーを再起動する
2 | VLAN #10 のアクセスを許可する

### 5.5. SNMPサーバーに対するアクセス制限

SNMPサーバーに対するアクセス制限を実現します。
publicコミュニティーへのアクセスを192.168.100.0/24からのクライアントのみに制限します。
加えて、privateコミュニティーへのアクセスを192.168.100.1からのクライアントのみに制限します。

    Yamaha(config)#snmp-server access permit 192.168.100.0/24 community public (1)
    Yamaha(config)#snmp-server access permit 192.168.100.1 community private (2)

1 | コミュニティー名publicでは192.168.100.0/24からのみアクセスを許可する
2 | コミュニティー名privateでは192.168.100.1からのみアクセスを許可する

## 6. 注意事項

初期管理ユーザー admin のパスワードが初期値(admin)のまま変更されていない場合、以下の制限があります。

- 保守VLANと異なるネットワークセグメントからTELNET,SSH,HTTP,HTTPSで本製品にアクセスすることはできません。

TFTPクライアントからTFTPサーバーにアクセスする場合、以下の制限があります。

- 特権パスワード(管理パスワード)が初期設定の状態ではアクセスを受け付けることはできません。前もって特権パスワード(管理パスワード)を変更する必要があります。

- アクセス先VLANのIPv4プライマリアドレスとIPv4セカンダリアドレスが同じセグメントの場合、IPv4セカンダリアドレスにはアクセスできません。

- IPv6アドレスでアクセスする場合、アクセス先VLANで最後に設定されたIPv6アドレスにのみアクセスできます。
  本製品を再起動した場合は、内部的にアドレスが再設定されるため、コンフィグの並び順で一番下にあるIPv6アドレスにのみアクセスできます。

- 経路的にTFTPクライアントから最も近いVLANのIPアドレスへのみアクセスできます。
  例えば、VLAN 1に属するTFTPクライアントから本製品のVLAN 2のIPアドレスにはアクセスできません。

SSHクライアントからSSHサーバーにアクセスする場合、以下の制限があります。

- 他のSSHクライアントから本製品のSSHサーバーを経由して、さらに他のSSHサーバーにアクセスすることはできません。

## 7. 関連文書

- ユーザーアカウント管理

Search result
No more search results.
There are no topics that match your search query.