【BIG-IP】SSH/HTTPS管理アクセス制限　Version: 16.1.2

BIG-IP をリモートから管理する方法は、SSH で入る CLI と、HTTPS でブラウザから使う GUI（Configuration Utility）の2つです。どちらも初期状態ではすべての送信元アドレスから接続を受け付けるので、管理用の端末やネットワークに絞っておくと、不正アクセスのリスクを下げられます。この記事では、SSH と HTTPS の管理アクセスを送信元アドレスで制限する設定と、その動作を確かめます。

管理アクセス制限のしくみ

SSH は sys sshd の allow、HTTPS の Configuration Utility は sys httpd の allow に、接続を許可する送信元を一覧で登録します。一覧にない送信元からの接続は、SSH ではリセットされ、HTTPS では 403 Forbidden のページが返ります。

SSH アクセス制限

SSH の接続元は、GUI（Configuration Utility）と CLI（tmsh）のどちらでも設定できます。

GUI で設定する（SSH IP Allow）

System ›› Platform を開くと、User Administration の欄に SSH IP Allow があります。初期値は * All Addresses で、すべてのアドレスからの SSH を受け付けます。

送信元を絞るときは、プルダウンで Specify Range... を選びます。右に入力欄が出るので、許可する送信元を書いて Update をクリックします。

tmsh で設定する（sys sshd allow）

CLI では tmsh の sys sshd allow を使います。まず、今の設定を list sys sshd allow で確かめます。

BIG-IP（tmsh）

(tmos)# list sys sshd allow
sys sshd {
    allow { ALL }
}

allow { ALL } は、すべてのアドレスからの SSH を受け付ける初期状態です。一覧の変更には、追加の add、削除の delete、全体を置き換える replace-all-with を使います。

送信元を追加する（add）

192.168.100.0/24 からの接続を許可するには、add で追加します。

(tmos)# modify sys sshd allow add { 192.168.100.0/24 } 

追加されたことを確認します。

(tmos)# list sys sshd allow 
sys sshd {
    allow { ALL 192.168.100.0/24 }
}

この状態では ALL が残っているので、まだすべてのアドレスから接続できます。

送信元を削除する（delete）

ALL を delete で削除します。

(tmos)# modify sys sshd allow delete { ALL } 

192.168.100.0/24 だけが残りました。

(tmos)# list sys sshd allow
sys sshd {
    allow { 192.168.100.0/24 }
}

複数の送信元を登録する

GUI と同じく、複数登録するときはエントリの間を半角スペースで区切ります。

(tmos)# modify sys sshd allow add { 192.168.100.0/24 192.168.1.1 }

一覧全体を置き換える（replace-all-with）

初期状態（ALL）から add で登録すると、上のように ALL を別に消す必要があります。replace-all-with を使えば、一覧全体を一度で置き換えられます。まず、初期状態であることを確かめます。

(tmos)# list sys sshd allow 
sys sshd {
    allow { ALL }
}

一覧を { 192.168.100.0/24 192.168.1.1 } に置き換えます。

(tmos)# modify sys sshd allow replace-all-with { 192.168.100.0/24 192.168.1.1 }

ALL が消え、指定した2つだけになりました。

(tmos)# list sys sshd allow                                                  
sys sshd {
    allow { 192.168.100.0/24 192.168.1.1 }
}

tmsh で変更した内容は、保存しないと再起動で元に戻ります。最後に設定を保存します。

(tmos)# save sys config

SSH の動作確認

許可していないアドレスから SSH で接続すると、接続がリセットされます。

1Connection reset by peer

HTTPS（Configuration Utility）アクセス制限

ブラウザから使う Configuration Utility への接続元は、tmsh の sys httpd allow で制限します。

tmsh で設定する（sys httpd allow）

今の設定を list sys httpd allow で確かめます。

BIG-IP（tmsh）

(tmos)# list sys httpd allow 
sys httpd {
    allow { All }
}

allow { All } は、すべてのアドレスからの HTTPS 接続を受け付ける初期状態です（sshd の ALL と表記が違います）。add、delete、replace-all-with の使い方は SSH と同じです。

送信元を追加して All を削除する

192.168.100.0/24 を追加します。

(tmos)# modify sys httpd allow add { 192.168.100.0/24 }

(tmos)# list sys httpd allow
sys httpd {
    allow { All 192.168.100.0/24 }
}

All が残っているので、削除します。

(tmos)# modify sys httpd allow delete { All }

(tmos)# list sys httpd allow
sys httpd {
    allow { 192.168.100.0/24 }
}

複数登録と置き換え

複数の送信元を追加する場合は、スペースで区切ります。

(tmos)# modify sys httpd allow add { 192.168.100.0/24 192.168.1.1 }

一覧全体を置き換える場合は replace-all-with を使います。

(tmos)# modify sys httpd allow replace-all-with { 192.168.100.0/24 192.168.1.1 }

制限をやめて初期状態に戻すときは、All で置き換えます。

(tmos)# modify sys httpd allow replace-all-with { All }

SSH と同じく、tmsh で変更したあとは save sys config で保存します。

HTTPS の動作確認

許可していないアドレスからブラウザで Configuration Utility を開くと、403 のエラーページが表示され、ログイン画面に進めません。

うまくいかないとき

まとめ

tmsh で変更したら save sys config で保存すること、自分の管理端末のアドレスを一覧から外さないことの2点に気を付けてください。

関連記事：【BIG-IP】よく使用するCLI コマンド／【BIG-IP】DNS、NTPサーバの設定と動作確認／【BIG-IP LTM】負荷分散の基本設定と動作確認（Node、Pool、VirtualServer）。その他の BIG-IP の記事は BIG-IP カテゴリ から参照できます。