セキュリティ コンフィギュレーション ガイド：ゾーンベース ポリシー ファイアウォール、Cisco IOS XE Release 3S（ASR 1000）

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の注意事項と機能情報については、Bug Search Tool およびご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator にアクセスするには、www.cisco.com/​go/​cfn に移動します。 Cisco.com のアカウントは必要ありません。

ファイアウォールはピンホールを開き、NAT は、アプリケーション層データ ストリームの送信元および宛先 IP アドレスを伝送しない TCP または UDP トラフィックに対する変換サービスを実行します。 IP アドレス情報を埋め込む特定のプロトコルまたはアプリケーションには ALG のサポートが必要です。

Session Initiation Protocol（SIP）トランクは、SIP を使用した IP ネットワーク上のサービス プロバイダーへの IP PBX の直接接続です。 SIP トランクには多数の同時コールが存在する可能性があります。 コール設定プロセス中、すべてのコールが、コールの確立に同じ制御チャネルを使用します。 複数のコールが、コール設定に同じ制御チャネルを使用します。 同じ制御チャネルが複数のコールで使用されると、制御チャネル セッションに保存されたステートフル情報は、信頼できないものになります。 SIP ステートフル情報は、メディア データを送信するためにクライアントおよびサーバ エンドポイントが使用する IP アドレスやポート番号などのメディア チャネル情報で構成されます。 メディア チャネル情報を使用して、ファイアウォール ピンホールおよびネットワーク アドレス変換（NAT）ドアが、ファイアウォールおよび NAT のデータ チャネルにそれぞれ作成されます。 複数のコールがコース設定に同じ制御チャネルを使用するため、複数のメディア データ セットが存在することになります。

SIP トランクで、複数のコールが、同じファイアウォールおよび NAT セッションを共有します。 NAT およびファイアウォールは、SIP パケットの 5 タプル（送信元アドレス、宛先アドレス、送信元ポート、宛先ポート、およびプロトコル）を使用して SIP セッションを識別および管理します。 コールの識別および照合に 5 タプルを使用する従来の方式は、SIP トランキングを完全にサポートしているわけではなく、多くの場合、レイヤ 7 データ メモリ リークやコール照合の問題を招きます。

他のアプリケーション レベル ゲートウェイ（ALG）とは対照的に、SIP ALG は、ローカル データベースを使用して通常の SIP コールおよび SIP トランクに埋め込まれた SIP コールに含まれるすべてのメディア関連情報を保存することで、SIP レイヤ 7 データを管理します。 SIP ALG は、SIP メッセージに含まれる Call-ID ヘッダー フィールドを使用して、コール照合に関してローカル データベースを検索し、コールを管理および終了します。 Call-ID ヘッダー フィールドは、同じ SIP ダイアログに属するメッセージを識別するダイアログ識別子です。

SIP ALG は、コール ID を使用して、ローカル データベースで検索を実行し、メモリ リソースを管理します。 SIP ALG がレイヤ 7 データ レコードをデータベースから解放できない特定のシナリオでは、セッション タイマーを使用してリソースの管理および解放が行われ、データベース内に停止状態のコール レコードが残らないようにします。

（注）	すべてのレイヤ 7 データは、ローカル データベースを使用して SIP ALG によって管理されるため、SIP ALG は、SIP レイヤ 7 データの解放をファイアウォールおよび NAT には依存せず、自分でデータを解放します。 clear コマンドを使用して、すべての NAT 変換およびファイアウォール セッションをクリアしている場合、ローカル データベース内の SIP レイヤ 7 データは解放されません。

Session Initiation Protocol（SIP）INVITE 要求には、Via ヘッダー フィールドが含まれます。 Via ヘッダー フィールドは、SIP 要求が通過する転送パスを示します。 Via ヘッダーには、後続の SIP 応答のリターン パスに関する情報も含まれます。これには、応答メッセージが送信される IP アドレスおよびポートが含まれます。

SIP ALG では、確認応答（ACK）メッセージを除き、受信した各 SIP 要求の Via ヘッダー フィールドの最初の値に基づいてファイアウォール ピンホールまたはネットワーク アドレス変換（NAT）ドアを作成します。 ポート番号情報が、最初の Via ヘッダーで欠落している場合、ポート番号は 5060 と見なされます。

NAT およびファイアウォールの SIP ALG の強化機能は、Session Initiation Protocol（SIP）アプリケーション レベル ゲートウェイ（ALG）統計情報の次のメソッドの詳細なロギングをサポートします。

• PUBLISH
• OPTIONS
• 1XX（100、180、183 を除く）
• 2XX（200 を除く）

SIP ALG 統計情報に記録された既存の SIP メソッドには、ACK、BYE、CANCEL、INFO、INVITE、MESSAGE、NOTIFY、REFER、REGISTER、SUBSCRIBE、および 1XX-6XX が含まれます。

Session Initiation Protocol（SIP）では、最終応答と暫定応答の 2 種類の応答が定義されています。 最終応答は、要求の処理結果を伝え、信頼性のある方法で送信されます。 一方、暫定応答は、要求処理の進捗状況に関する情報を提供しますが、信頼性のある方法では送信されません。

Provisional Response ACKnowledgment（PRACK）は、確認応答（ACK）システムを暫定応答に提供する SIP メソッドです。 PRACK を使用すると、SIP エンドポイント間の SIP の暫定応答を確実に交換できます。 SIP の信頼性の高い暫定応答によってメディア情報の交換が保証され、コールの接続前にリソース予約を実行できます。

SIP は、接続ネゴシエーション中、セッション記述プロトコル（SDP）の接続、メディア、および属性のフィールドを使用します。 SIP アプリケーション レベル ゲートウェイ（ALG）は、PRACK メッセージ内の SDP 情報をサポートします。 メディア情報が PRACK メッセージに存在する場合、SIP ALG はメディア情報を取得して処理します。 SIP ALG は、以降のメディア ストリームのメディア チャネルの作成も処理します。 SIP ALG は、PRACK メッセージの SDP 情報に基づいて、ファイアウォール ピンホールおよび NAT ドアを作成します。

Record-Route ヘッダー フィールドは、SIP ダイアログの今後の要求がプロキシ経由でルーティングされるよう強制するために、Session Initiation Protocol（SIP）プロキシによって SIP 要求に追加されました。 これで、ダイアログ内で送信されるメッセージはすべての SIP プロキシを通過し、これにより、Record-Route ヘッダー フィールドが SIP 要求に追加されます。 Record-Route ヘッダー フィールドには、プロキシを識別する、グローバルに到達可能な Uniform Resource Identifier（URI）が含まれます。

SIP アプリケーション レベル ゲートウェイ（ALG）は、Contact ヘッダーを解析し、Contact ヘッダーの IP アドレスとポートの値を使用して、ファイアウォール ピンホールおよびネットワーク アドレス変換（NAT）ドアを作成します。 さらに、SIP ALG は、プロキシ経由でルーティングされる今後のメッセージ用のファイアウォール ピンホールおよび NAT ドアを作成するための Record-Route ヘッダーの解析をサポートします。

Record-Route ヘッダーの解析では、SIP ALG は次のシナリオをサポートします。

• Cisco ASR 1000 アグリゲーション サービス ルータが、2 つのプロキシの間に配置されます。
• Cisco ASR 1000 アグリゲーション サービス ルータが、ユーザ エージェント クライアント（UAC）とプロキシの間に配置されます。
• Cisco ASR 1000 アグリゲーション サービス ルータが、プロキシとユーザ エージェント サーバ（UAS）の間に配置されます。
• クライアントとサーバ間にプロキシは存在しません。 このシナリオではレコード ルーティングは発生しません。

1.    enable


2.    configure terminal


3.    ip nat service sip {tcp | udp} port port-number


4.    end

Device> enable

Device# configure terminal

Device(config)# ip nat service sip tcp port 5060

Device(config)# end

1.    enable


2.    configure terminal


3.    class-map type inspect match-any class-map-name


4.    match protocol protocol-name


5.    exit


6.    policy-map type inspect policy-map-name


7.    class type inspect class-map-name


8.    inspect


9.    exit


10.    class class-default


11.    end

Device> enable

Device# configure terminal

Device(config)# class-map type inspect match-any sip-class1

Device(config-cmap)# match protocol sip

Device(config-cmap)# exit

Device(config)# policy-map type inspect sip-policy

Device(config-pmap)# class type inspect sip-class1

Device(config-pmap-c)# inspect

Device(config-pmap-c)# exit

Device(config-pmap)# class class-default

Device(config-pmap)# end

1.    enable


2.    configure terminal


3.    zone security {zone-name | default}


4.    exit


5.    zone security {zone-name | default}


6.    exit


7.    zone-pair security zone-pair-name [source {source-zone-name | self | default} destination [destination-zone-name | self | default]]


8.    service-policy type inspect policy-map-name


9.    exit


10.    interface type number


11.    zone-member security zone-name


12.    exit


13.    interface type number


14.    zone-member security zone-name


15.    end

Device> enable

Device# configure terminal

Device(config)# zone security zone1

Device(config-sec-zone)# exit 

Device(config)# zone security zone2

Device(config-sec-zone)# exit 

Device(config)# zone-pair security in-out source zone1 destination zone2

Device(config-sec-zone-pair)# service-policy type inspect sip-policy 

Device(config-sec-zone-pair)# exit 

Device(config)# interface gigabitethernet 0/0/0

Device(config-if)# zone-member security zone1

Device(config-if)# exit 

Device(config)# interface gigabitethernet 0/1/1

Device(config-if)# zone-member security zone2

Device(config-if)# end