山本です。

|Subject: Re: 勝手にftp.angelfire.comへアクセスプログラムについて
|From: Yasushi Shinjo <yas@is.tsukuba.ac.jp>
|Date: 04 Jan 2004 14:33:46 GMT
|Message-Id: <YAS.04Jan4233346@kirk.is.tsukuba.ac.jp>

| これの「Output で対向指定」の方法です。できれば日本語で。

こちらは、以下のページが参考になりますでしょうかね。
http://www.port139.co.jp/ntsec_rras.htm
http://www.ipa.go.jp/security/fy10/contents/crack/research/windows2k/b.htm

Windows 2000 Professional では GUI による操作は実施できません。
これは netsh による パケットフィルタを管轄する「ルーティングとリ
モートアクセス」(RRAS)サービスは Server より上の版でないと GUI 
がつかぬためです。

今回の要件は filtertype を output として、ルールに当てはまるもの
だけ drop するということで、

netsh routing ip set filter name="インターフェイス名" filtertype=output action=drop 

を指定することになります。個別のルールの書き方については、大まか
には Linux 上の ipchains/iptables 同様ですね。(全く同じじゃない
ですけど。)

この netsh  コマンドによる設定の全体像は、上に挙げた Port139 所
在の記事のほか@IT の特集がありますので、そちらをご参照ください。
この中にルールの組み立て方であったり、設定方法は記載されています。
http://www.atmarkit.co.jp/fwin2k/operation/personalsecurity2/personalsecurity1.html

また、Windows 2000 Server 上で、RRAS を用いて GUI でフィルタを設
定する場合、以下のサポート技術情報 (KB) に記載の方法が参考になる
かと思います。
http://support.microsoft.com/?id=324262

| > フィルタ指定するか、あるいは同様に IPSEC でもフィルタを組めます
| IPsec は、関係ないはずです。IPsec は、相手も IPsec でないと
| つながりません。

Windows 2000 以降の IPSec の実装を、汎用に、パケットフィルタを実
施する際に用いようというのがマイクロソフトが意図するところのよう
です。Redmond の幾つかの関連部署の人間に、現地で面談したり、 
WebCast など、質問できる時に質問して、ほぼ十中八九、そのようなコ
メントが返ってくるので。パケットフィルタが関与するところでは、
RRAS よりも IPSec という姿勢が強いです。

サポート技術情報で行くと、そのようなポリシを明確に反映していそう
なのはこのへんとかでしょうかね。

IPSec を使用して特定のネットワーク プロトコルとポートをブロック
する方法
http://support.microsoft.com/?scid=813878

参考まで、ですが、Windows 2000 以降での IPSec の基本操作方法は、
こちらで如何でしょうか。＜ ALL

[HOWTO] Windows 2000 で IPSec の IP フィルタ一覧を使用する方法 
http://support.microsoft.com/default.aspx?id=313190

以上

山本謙次 [MVP]

-- 
JWNTUG TechNote http://www.jwntug.or.jp/tech/technote/index-j.html
JWNTUG NT-FAQ-J http://www.jwntug.or.jp/tech/ntfaqj/index.html
Kenji Yamamoto, Microsoft MVP (Security; Windows Server Systems), MCP+I, MCSE (TCP/IP, IIS4, IEAK4)
TechNet ITPro Security Community: http://www.microsoft.com/technet/security/community/mvp/default.mspx
mailto:ethernet@jcom.home.ne.jp