Step 1

GTP インスペクション ポリシー マップを作成します。policy-map type inspect gtp policy_map_name

Step 2

（任意）説明をポリシー マップに追加します。description string

Step 3

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] apn regex {regex_name | class class_name}：指定した正規表現または正規表現クラスに対する Access Point Name (APN) に一致します。

   • match [not] message {v1 | v2} id {message_id | range message_id_1 message_id_2} ：メッセージ ID（1 ～ 255）を照合します。1 つの ID または ID の範囲を指定できます。メッセージが GTPv0/1 用（v1 ）か GTPv2 用（v2 ）かを指定する必要があります。

   • match [not] message length min bytes max bytes：UDP ペイロード（GTP ヘッダーと残りのメッセージ）の長さが最小値と最大値の間（1 ～ 65536）であるメッセージを照合します。

   • match [not] msisdn regex {regex_name | class class_name} ：PDP コンテキスト作成要求、セッション作成要求、およびベアラー変更応答のメッセージ内のモバイル ステーション国際サブスクライバ電話番号（MSISDN）情報要素を指定した正規表現または正規表現クラスと照合します。正規表現では、特定の MSISDN または MSISDN の範囲を最初の x 桁に基づいて識別できます。MSISDN フィルタリングは GTPv1 および GTPv2 のみでサポートされています。

   • match [not] selection-mode mode_value ：PDP コンテキスト作成要求内の選択モードの情報要素を照合します。選択モードでは、メッセージにアクセス ポイント名（APN）の発信元を指定しますが、次のいずれかになります。選択モード フィルタリングは、GTPv1 および GTPv2 のみでサポートされています。

     • 0：確認済み。APN はモバイル ステーションまたはネットワークによって指定されており、サブスクリプションが確認されています。

     • 1：モバイル ステーション。APN はモバイル ステーションによって指定されており、サブスクリプションは確認されていません。

     • 2：ネットワーク。APN はネットワークによって指定されており、サブスクリプションは確認されていません。

     • 3：予約済み（未使用）

   • match [not] version {version_id | range version_id_1 version_id_2}：0 ～ 255 のいずれかの GTP バージョンに一致します。1 つのバージョンまたはバージョンの範囲を指定できます。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop [log] ：一致するすべてのパケットをドロップします。システム ログ メッセージも送信するには、log キーワードを追加します。

   • rate-limit message_rate ：メッセージのレートを制限します。このオプションでは、message id のみ使用できます。

   ポリシー マップでは、複数の match コマンドを指定できます。match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

Step 4

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • anti-replay[window_size] ：GTP-U メッセージのスライディング ウィンドウを指定することによって、アンチリプレイをイネーブルにします。スライディング ウィンドウのサイズはメッセージの数であり、128、256、512、または 1024 になります。サイズを指定しないと、デフォルトで 512 になります。有効なメッセージが表示されると、ウィンドウは新しいシーケンス番号に移行します。シーケンス番号は 0 ～ 65535 の範囲であり、最大値に達するとラッピングされます。また、これらは PDP コンテキストごとに一意です。メッセージは、シーケンス番号がウィンドウ内であれば有効と見なされます。アンチリプレイは、ハッカーが GTP データ パケットをキャプチャし、それらをリプレイするときに発生する可能性があるセッション ハイジャックや DoS 攻撃を防ぐのに役立ちます。

   • permit errors：無効な GTP パケットや別の方法で解析されるとドロップされるパケットを許可します。

   • request-queue max_requests：キューで応答待ちができる GTP 要求数の最大値を設定します。デフォルトは 200 です。この上限に達した後に新しい要求が到着すると、最も長い時間キューに入っていた要求が削除されます。「Error Indication」、「Version Not Supported」および「SGSN Context Acknowledge」というメッセージは、要求と見なされないため、応答待ち要求のキューに入れられません。

   • tunnel-limit max_tunnels：許可されるアクティブな GTP トンネルの最大数を設定します。これは、PDP コンテキストまたはエンドポイントの数に相当します。デフォルトは 500 です。このコマンドで指定したトンネル数に達すると、新しい要求はドロップされます。

   • timeout {endpoint | pdp-context | request | signaling | t3-response | tunnel} time ：指定したサービスのアイドル タイムアウトを設定します（hh: mm: ss 形式）。タイムアウトを設定しない場合は、番号に 0 を指定します。このコマンドは、タイムアウトごとに別々に入力します。

     • endpoint ：GTP エンドポイントが削除されるまでの非アクティブ時間の最大値。

     • pdp-context ：GTP セッションの PDP コンテキストを削除するまでの非アクティブ時間の最大値。GTPv2 では、これはベアラー コンテキストです。

     • request ：要求キューから要求が削除されるまでの非アクティブ時間の最大値。ドロップされた要求への後続の応答もドロップされます。

     • signaling ：GTP シグナリングが削除されるまでの非アクティブ時間の最大値。

     • t3-response ：接続を除去する前に応答を待機する最大時間。

     • tunnel ：GTP トンネルが切断されるまでの非アクティブ時間の最大値。

Step 5

パラメータ コンフィギュレーション モードになっている間に、IP パケットとアンチスプーフィングに対して GTP-U チェックを設定します。

Step 6

必要に応じて、パラメータ コンフィギュレーション モードに入っている間に、IMSI プレフィックス フィルタリングを設定します。

Step 7

必要に応じて、パラメータ コンフィギュレーション モードの間に場所のロギングを有効にします。

Step 8

必要に応じて、パラメータ コンフィギュレーション モードに入っている間に、GSN または PGW プーリングを設定します。

hostname(config)# object-group network gsnpool32
hostname(config-network)# network-object 192.168.100.0 255.255.255.0
hostname(config)# object-group network sgsn32
hostname(config-network)# network-object host 192.168.50.100

hostname(config)# policy-map type inspect gtp gtp-policy
hostname(config-pmap)# parameters
hostname(config-pmap-p)# permit-response to-object-group sgsn32 
from-object-group gsnpool32

Step 1

SCTP インスペクション ポリシー マップを作成します。policy-map type inspect sctp policy_map_name

Step 2

（任意）説明をポリシー マップに追加します。description string

Step 3

SCTP データ チャンクの PPID に基づいて、トラフィックをドロップ、レート制限、またはログに記録します。

1. PPID に基づいてトラフィックを識別します。

   match[not] ppid ppid_1 [ppid_2]

   ppid_1 は PPID 番号（0 ～ 4294967295）または名前です（使用可能な名前については CLI ヘルプを参照してください）。PPID の範囲を指定するには、2 番目（より大きい）の PPID、ppid_2 を含めることができます。match not ppid を使用して PPID または範囲に一致しないトラフィックを特定します。

   SCTP PPID の現在のリストは http://www.iana.org/assignments/sctp-parameters/sctp-parameters.xhtml#sctp-parameters-25 で確認できます。

2. 一致したパケットに対して実行するアクションを指定します。

   • drop ：一致するすべてのパケットをドロップまたはログに記録します。

   • log ：システム ログ メッセージを送信します。

   • rate-limit rate ：メッセージのレートを制限します。レートは、キロビット/秒（kbps）単位です。

3. 選択的に処理するすべての PPID を識別するまで、プロセスを繰り返します。

Step 1

（任意）次の手順に従って、Diameter インスペクションのクラス マップを作成します。

1. クラス マップを作成します。class-map type inspect diameter [match-all | match-any] class_map_name

   class_map_name には、クラス マップの名前を指定します。match-all キーワードはデフォルトです。トラフィックがクラス マップと一致するには、すべての基準と一致する必要があることを指定します。match-any キーワードは、トラフィックが少なくとも 1 つの match ステートメントと一致したらクラス マップと一致することを指定します。CLI がクラスマップ コンフィギュレーション モードに入り、1 つ以上の match コマンドを入力できます。

2. （任意）クラス マップに説明を追加します。description string

   string には、クラス マップの説明を 200 文字以内で指定します。

3. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] application-id app_id [app_id_2] ：アプリケーション識別子を照合します。app_id は Diameter アプリケーションの名前または番号（0 ～ 4294967295）です。照合する連続番号が付されたアプリケーションの範囲がある場合は、2 番目の ID を含めることができます。アプリケーションの名前または番号別に範囲を定義でき、第 1 ID および第 2 ID の間のすべての番号に適用されます。

     これらのアプリケーションは IANA に登録されます。次のコア アプリケーションがサポートされますが、他のアプリケーションもフィルタ処理できます。アプリケーション名のリストについては、CLI ヘルプを参照してください。

     • 3gpp-rx-ts29214 （16777236）

     • 3gpp-s6a （16777251）

     • 3gpp-s9 （16777267）

     • common-message （0）。（基本 Diameter プロトコル）

   • match [not] command-code code [code_2] ：コマンド コードを照合します。code は Diameter コマンド コードの名前または番号（0 ～ 4294967295）です。照合する連続番号が付されたコマンド コードの範囲がある場合は、2 番目のコードを含めることができます。コマンド コードの名前または番号別に範囲を定義でき、第 1 コードおよび第 2 コードの間のすべての番号に適用されます。

     たとえば、次のコマンドは、Capability Exchange Request/Answer コマンド コードを照合します。

     
     match command-code cer-cea 
     
     

   • 属性値ペア（AVP）を照合します。

     属性によってのみ AVP を照合するには、次の手順を実行します。

     match[not] avp コード[code_2] [vendor-id id_number]

     属性の値に基づいて AVP を照合する場合：

     match[not] avp コード[ vendor-id id_number]値

     それぞれの説明は次のとおりです。

     • code ：属性値ペアの名前または番号（1 ～ 4294967295）。最初のコードについては、カスタム AVP、RFC または 3GPP 技術仕様に登録されている AVP、およびソフトウェアで直接サポートされている AVP の名前を指定できます。特定の範囲の AVP を照合する場合は、2 つ目のコードを番号のみで指定します。値によって AVP を照合する場合は、2 つ目のコードを指定できません。AVP 名のリストについては、CLI ヘルプを参照してください。

     • vendor-id id_number ：（任意）ベンダーの ID 番号（0 ～ 4294967295）も照合します。たとえば、3GPP ベンダー ID は 10415、IETF は 0。

     • value ：AVP の値の部分。これは、AVP の データ タイプがサポートされている場合にのみ設定できます。たとえば、アドレス データ タイプがある AVP の IP アドレスを指定できます。次に、サポートされているデータ タイプの値オプションの特定の構文を示します。

       • [Diameter Identity]、[Diameter URI]、[Octet String]：これらのデータ タイプの照合には正規表現または正規表現クラス オブジェクトを使用します。

         {regex regex_name | class regex_class}

       • [Address]：照合する IPv4 または IPv6 アドレスを指定します。たとえば、10.100.10.10 または 2001:DB8::0DB8:800:200C:417A。

       • [Time]：開始日時と終了日時を指定します。両方を指定する必要があります。時間は 24 時間形式で指定します。

         date year month day time hh:mm:ss date year month day time hh:mm:ss

         次に例を示します。

         
         date 2015 feb 5 time 12:00:00 date 2015 mar 9 time 12:00:00
         
         

       • [Numeric]：番号の範囲を指定します。

         range number_1 number_2

         有効な番号の範囲は、データ タイプによって異なります。

         • Integer32：-2147483647 ～ 2147483647

         • Integer64：-9223372036854775807 ～ 9223372036854775807

         • Unsigned32：0 ～ 4294967295

         • Unsigned64：0 ～ 18446744073709551615

         • Float32：8 桁の小数点表現

         • Float64：16 桁精度の小数点表記

4. クラス マップ コンフィギュレーション モードを終了するには、「exit」と入力します。

Step 2

Diameter インスペクション ポリシー マップを作成します。policy-map type inspect diameter policy_map_name

Step 3

（任意）説明をポリシー マップに追加します。description string

Step 4

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの方法を使用して、アクションを実行するトラフィックを指定します。

   • Diameter クラス マップを作成した場合は、次のコマンドを入力してそれを指定します。class class_map_name

   • Diameter クラス マップで説明されている match コマンドのいずれかを使用して、ポリシー マップに直接トラフィックを指定します。

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop ：一致するすべてのパケットをドロップします。

   • drop-connection ：パケットをドロップし、接続を閉じます。

   • log ：システム ログ メッセージを送信します。

   ポリシー マップには、複数の class コマンドまたは match コマンドを指定できます。class コマンドと match コマンドの順序については、複数のトラフィック クラスの処理方法を参照してください。

   Example:

   
   hostname(config)# policy-map type inspect diameter diameter-map
   hostname(config-pmap)# class diameter-class-map
   hostname(config-pmap-c)# drop
   hostname(config-pmap-c)# match command-code cer-cea
   hostname(config-pmap-c)# log
   
   

Step 5

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • unsupported {application-id |command-code |avp} action log ：ロギングをサポートされていない直径要素に対してイネーブルにします。これらのオプションでは、ソフトウェアで直接サポートされていないアプリケーション ID、コマンド コード、および AVP が指定されます。デフォルトでは、ロギングなしで要素が許可されています。コマンドを 3 回入力して、すべての要素のロギングを有効にできます。

   • strict-diameter {state | session} ：Diameter プロトコルの RFC 6733 への厳密な準拠をイネーブルにします。デフォルトでは、インスペクションによって、Diameter のフレームが RFC に準拠していることが確認されます。コマンドを 2 回入力することで、state マシン検証または session 関連メッセージの検証、あるいはその両方を追加できます。

   Example:

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)# unsupported application-id action log
   hostname(config-pmap-p)# unsupported command-code action log
   hostname(config-pmap-p)# unsupported avp action log
   hostname(config-pmap-p)# strict-diameter state
   hostname(config-pmap-p)# strict-diameter session
   
   

カスタム Diameter AVP を作成します。

Step 1

M3UA インスペクション ポリシー マップを作成します。policy-map type inspect m3ua policy_map_name

Step 2

（任意）説明をポリシー マップに追加します。description string

Step 3

一致したトラフィックにアクションを適用するには、次の手順を実行します。

1. 次のいずれかの match コマンドを使用して、アクションを実行するトラフィックを指定します。match not コマンドを使用すると、match not コマンドの基準に一致しないすべてのトラフィックにアクションが適用されます。

   • match [not] message class class_id [id message_id] ：M3UA メッセージのクラスとタイプを照合します。次の表に、使用可能な値を示します。これらのメッセージの詳細については、M3UA の RFC およびドキュメンテーションを参照してください。

     M3UA メッセージ クラス	メッセージ ID タイプ
     0（管理メッセージ）	0 ～ 1
     1（転送メッセージ）	1
     2（SS7 シグナリング ネットワーク管理メッセージ）	1 ～ 6
     3（ASP 状態メンテナンス メッセージ）	1 ～ 6
     4（ASP トラフィック メンテナンス メッセージ）	1 ～ 4
     9（ルーティング キー管理メッセージ）	1 ～ 4

   • match [not] opc code ：データ メッセージ内の発信ポイント コード、つまりトラフィックの送信元を照合します。ポイント コードは zone-region-sp 形式で、各要素に使用可能な値は SS7 バリアントによって異なります。

     • ITU ：ポイント コードは 3-8-3 形式の 14 ビット値です。値の範囲は、[0-7]-[0-255]-[0-7] です。

     • ANSI ：ポイント コードは 8-8-8 形式の 24 ビット値です。値の範囲は、[0-255]-[0-255]-[0-255] です。

     • Japan ：ポイント コードは 5-4-7 形式の 16 ビット値です。値の範囲は、[0-31]-[0-15]-[0-127] です。

     • China ：ポイント コードは 8-8-8 形式の 24 ビット値です。値の範囲は、[0-255]-[0-255]-[0-255] です。

   • match [not] dpc code ：データ メッセージ内の宛先ポイント コードを照合します。ポイント コードは、match opc について説明しているとおり、zone-region-sp 形式です。

   • match [not] service-indicator number ：サービス インジケータ番号を照合します（0 ～ 15）。使用可能なサービス インジケータは次のとおりです。これらのサービス インジケータの詳細については、M3UA RFC およびドキュメントを参照してください。

     • 0：シグナリング ネットワーク管理メッセージ

     • 1：シグナリング ネットワーク テストおよびメンテナンス メッセージ

     • 2：シグナリング ネットワーク テストおよびメンテナンス特別メッセージ

     • 3：SCCP

     • 4：電話ユーザー部

     • 5：ISDN ユーザー部

     • 6：データ ユーザー部（コールおよび回線関連のメッセージ）

     • 7：データ ユーザー部（設備の登録およびキャンセル メッセージ）

     • 8：MTP テスト ユーザー部に予約済み

     • 9：ブロードバンド ISDN ユーザー部

     • 10：サテライト ISDN ユーザー部

     • 11：予約済み

     • 12：AAL タイプ 2 シグナリング

     • 13：ベアラー非依存コール制御

     • 14：ゲートウェイ制御プロトコル

     • 15：予約済み

2. 次のコマンドのいずれかを入力して、一致するトラフィックに対して実行するアクションを指定します。

   • drop [log] ：一致するすべてのパケットをドロップします。任意で、システム ログ メッセージを送信します。

   • rate-limit message_rate ：メッセージのレートを制限します。このオプションは match message class でのみ使用可能です。

   ポリシー マップでは、複数の match コマンドを指定できます。match コマンドの順序については、複数のトラフィック クラスの処理方法 を参照してください。

Step 4

インスペクション エンジンに影響のあるパラメータを設定するには、次の手順を実行します。

1. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • message-tag-validation {dupu | error | notify} ：特定のフィールドの内容が確認され、指定したメッセージ タイプが検証されます。検証で合格しなかったメッセージはドロップされます。検証はメッセージ タイプによって異なります。

     • 利用できない宛先ユーザー部（DUPU）：ユーザー/理由フィールドが存在し、有効な理由およびユーザー コードのみが含まれている必要があります。

     • エラー：すべての必須フィールドが存在し、許可された値のみが含まれている必要があります。各エラー メッセージには、そのエラー コードの必須フィールドが含まれている必要があります。

     • 通知：ステータス タイプおよびステータス情報フィールドには、許可された値のみが含まれている必要があります。

   • ss7 variant {ITU | ANSI | JAPAN | CHINA} ：ネットワーク内で使用されている SS7 のバリアントを特定します。このオプションによって、ポイント コードの有効な形式が決定します。オプションを設定して M3UA ポリシーを導入した後は、ポリシーを削除しない限り変更はできません。デフォルトのバリアントは ITU です。

   • strict-asp-state ：アプリケーション サーバー プロセス（ASP）状態の検証を実行します。システムは M3UA セッションの ASP の状態を維持し、検証結果に基づいて ASP メッセージをドロップします。ASP の厳密な状態検証を無効にすると、すべての ASP メッセージが検査されずに転送されます。厳密な ASP のステート チェックが必要なのは、ステートフル フェールオーバーが必要な場合、またはクラスタ内での動作が必要な場合です。ただし、厳密な ASP のステート チェックは、上書きモードでのみ動作し、ロードシェアリングまたはブロードキャスト モードで実行している場合は動作しません（RFC 4666 より）。インスペクションは、エンドポイントごとに ASP が 1 つだけあると仮定します。

   • timeout endpoint time ：M3UA エンドポイントの統計情報を削除するアイドル タイムアウトを設定します（hh:mm:ss 形式）。タイムアウトを付けない場合は、0 を指定してください。デフォルトは 30 分（0:30:00）です。

   • timeout session time ：厳密な ASP 状態の確認を有効にしている場合の、M3UA セッションを削除するためのアイドル タイムアウト（hh:mm:ss の形式）。タイムアウトを付けない場合は、0 を指定してください。デフォルトは 30 分（0:30:00）です。このタイムアウトを無効にすると、失効したセッションの削除を防止できます。

Step 1

必要な場合は、L3/L4 クラス マップを作成して、インスペクションを適用するトラフィックを識別します。

class-map name
   match parameter

hostname(config)# class-map mobile_class_map
hostname(config-cmap)# match access-list mobile

Step 2

クラス マップ トラフィックで実行するアクションを設定するポリシー マップを追加または編集します。policy-map name

hostname(config)# policy-map global_policy

Step 3

インスペクションに使用する L3/L4 クラス マップを指定します。class name

hostname(config-pmap)# class inspection_default

Step 4

インスペクションをイネーブルにします。

hostname(config-class)# inspect gtp
hostname(config-class)# inspect sctp
hostname(config-class)# inspect diameter
hostname(config-class)# inspect m3ua

hostname(config-class)# no inspect gtp
hostname(config-class)# inspect gtp gtp-map

Step 5

既存のサービス ポリシー（たとえば、global_policy という名前のデフォルト グローバル ポリシー）を編集している場合は、以上で終了です。それ以外の場合は、1 つまたは複数のインターフェイスでポリシー マップをアクティブにします。

hostname(config)# service-policy global_policy global

Step 1

RADIUS アカウンティング インスペクション ポリシー マップの設定。

Step 2

RADIUS アカウンティング インスペクションのサービス ポリシーの設定。