Linkexpress 導入ガイド

B.2 ファイアウォール環境での問題発生箇所と対処

ファイアウォール環境では、ファイアウォール側の設定により以下の問題が発生する可能性があります。このため、Linkexpressサーバのデータ転送に合わせて、ファイアウォール側の設定を変更する必要があります。

1）フィルタリング

［問題発生箇所］

ファイアウォール側の設定（ポート番号のフィルタリングなど）により、コネクション確立が失敗します。TCP/IP(FTP系)のPORTモードの場合は、双方向でコネクション確立を実施するため、注意が必要です。

［対処］

ファイアウォール機器によりフィルタリング設定方法は異なりますので、ご利用のファイアウォール機器の設定方法を確認してください。また、運用システムのセキュリティポリシーに従った対処を実施してください。

また、Windows 2003 Service Pack 1以降およびWindows XP Service Pack 2以降を適用されているPCサーバで、Windowsファイアウォールを「有効」としている場合、以下の手順でLinkexpressサーバを「通信を許可するプログラム」としてシステムへ登録してください。

• 手順1.
  コントロールパネル内の「Windowsファイアーウォール」を実行します。設定パネル内の [例外を許可しない] にチェックが入っていないことを確認します。
• 手順2.
  [例外]タブを選択して、[プログラムの追加]ボタンを押します。以下の3つのファイルを登録します。
  [Linkexpressインストールディレクトリ]\BIN\f3easdisp.exe
  [Linkexpressインストールディレクトリ]\BIN\f3eatrnintdm.exe
  [Linkexpressインストールディレクトリ]\BIN\f3eatrnrspdm.exe
• 手順3.
  [例外]タブにて上記ファイル名の左にチェックが入っているのを確認して、設定パネルの[OK]ボタンを押します。

2）NAT変換

［問題発生箇所］

NAT変換（プライベートアドレスとグローバルアドレスの変換をルータ等の機器で実現）を実施されている場合、データコネクション確立処理に失敗する可能性があります。これは、制御コネクション上に流通するFTPプロトコル電文をNAT変換機器が正しくNAT変換しない場合、問題となります。

FTPプロトコル電文として、PORTコマンドまたはPASVコマンド電文でIPアドレス情報が流通します。NAT変換機器で「FTP転送を許可」とした場合、NAT変換機器は応答側制御コネクションポート番号が "21" の時のみFTPプロトコル電文上のIPアドレスをNAT変換します。Linkexpressサーバの応答側制御コネクションポート番号の標準は "9364" のため、PORTコマンドまたはPASVコマンド電文のIPアドレスがNAT変換されず、データコネクション確立処理が失敗します。

［対処］

NAT変換機器において、応答側制御コネクションポート番号が "21" 以外の場合でもNAT変換可能なように設定してください。なお、NAT変換機器により設定方法は異なりますので、NAT変換機器の設定方法を確認してください。"21" 以外の場合、NAT変換できない機器がありますので、ご注意してください。

また、応答側制御コネクションポート番号を標準FTPと同じ "21" で設定することでNAT変換の問題を解決することができます。変更手順を以下に説明します。なお、"21" に変更する場合のデメリットとしては、標準FTPサーバとLinkexpressサーバとの共存ができなくなることです。

＜起動側システムの設定＞

• 手順1.
  相手側ポート番号に "21" を設定します。
  Linkexpressサーバの場合：ネットワーク定義の該当するnode定義命令またはpath定義命令のportオペランドに "21" を指定します。
  グローバルサーバ/PRIMEFORCEの場合：ネットワーク定義の該当するKGFGNPTH定義命令のportオペランドに "21" を指定します。
• 手順2.
  ネットワーク定義をジェネレーションし、Linkexpressサーバを再起動します。
  Linkexpressサーバの場合：lxgentrnコマンドを実行します。
  グローバルサーバ/PRIMEFORCEの場合：定義作成JCLを実行します。

＜応答側システムの設定＞

• 手順1.
  servicesファイルの設定を変更します。

  変更前：

  ftp            21/tcp
  lnkexpb      9362/tcp
  lnkexpc      9363/tcp
  lnkexpf      9364/tcp

  
  

  変更後：

  #ftp            21/tcp    #コメント行にします
  lnkexpb      9362/tcp
  lnkexpc      9363/tcp
  #lnkexpf      9364/tcp    #9364情報を退避し、
  lnkexpf        21/tcp     #21 へ変更します

• 手順2.
  標準FTPサーバを停止します。
• 手順3.
  ネットワーク定義のcomdef定義命令dportオペランドに "20" を設定します。
• 手順4.
  ネットワーク定義をジェネレーション（lxgentrnコマンド）し、Linkexpressサーバを再起動します。