パケットフィルタやポートのことについて助言お願いします

Question

PC初心者です。先日http://bbs.kakaku.com/bbs/-/SortID=17823260/にてパーソナルファイアウォールの設定をご教授いただいた際に「インターネットへの接続にルータを使っていませんか？ルータ内蔵のパケットフィルタを使えば、インターネット側からのアクセスには神経質になる必要がなくなります。また、LAN内の接続に応じるPCと、（ルータなどでLAN全体に適用される上流のファイアフォールを介さず）インターネットに直接接続するPCは、一緒にしないほうがいいです。LAN内向けにホストとポートを指定しても、IP偽装されるとインターネットに対してポートを開きっぱなしにしておくのと同じですので。」というお言葉をいただきました。この段階ではCTUにパソコンを直接つなげている形です。元々無線LANルーターを買い換える予定があったので、有線LANポート付きを買って有線LANも介すようにしようと考え、WR8165Nを購入しました。購入基準としてNECがルーター等の機器で世界的に有名であることと、Amazon,価格comのレビュー,ランキングを参考にしました。現在設定もほぼ完了し、無線、有線ともに使えているのですが、少し気になることがあるので質問させてください。パケットフィルタリングの設定についてこの設定にとても手間がかかりまして、https://www.appmanual.com/internet-port.htmlhttp://homepage1.canvas.ne.jp/mycroft/dat/security/port.html　セキュリティの話 <危険なポートと安全なポート>http://kanpachi200g.blog88.fc2.com/blog-entry-89.html主にこれらのサイトを参考にWR8165Nはブロックするポートを指定する形ですので、ある程度検証した結果「1-24,25,26-52,54-79,81-122,124-442,444-49152」(TCP+UDPの項目のみ抜粋)となりました。この状態で2,3日使っていたのですが、ある日無線LAN接続のスマートフォンにてLINEの通話が使えない状況に陥りました。その後も3DSでオンラインができなくなったり、Webページの中でもFlashから「〇〇番ポートを確認して下さい」と出たりしました。調べていくうちにhttp://ja.wikipedia.org/wiki/TCP%E3%82%84UDP%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E3%83%9D%E3%83%BC%E3%83%88%E7%95%AA%E5%8F%B7%E3%81%AE%E4%B8%80%E8%A6%A7このような特定のポート番号とアプリケーションの組み合わせを知りました。いざという時に接続できないようでは困る、と思い最終的に上記のリンク、セキュリティの話 <危険なポートと安全なポート>の中の危険なポートのみを指定することにしました。その後https://grc.com/x/ne.dll?bh0bkyd2このポートの状態を確認するサイトを使用し、1055までのポートは[Stealth](緑)の表示を確認しました。そこでお聞きしたいのですが、はじめに初歩的な質問で申し訳無いのですが、ポート開放とポート許可の違いはなんでしょうか？検索をかけているとごちゃごちゃになってしまい、記事を見つけにくいという時もありました。上記のShieldsUP!!というポートの状態を確認するサイトでもOpenとStealthに別れているのが気になります。また、このStealthという状態は安全と言えるのでしょうか？ShieldsUP!!のAll Service Portsという項目を選択したのですが、結果の下にTruStealth Analysisという表示があり、そこにSolicited TCP Packets: RECEIVED (FAILED)Unsolicited Packets: PASSEDPing Reply: RECEIVED (FAILED)とありますがこれは危険な状況でしょうか？現在危険なポートのみ拒否している状況ですが、みなさんはどのように設定されていますでしょうか？また、IPアドレス指定のパケットフィルタリングは必要ありますか？もし普段使用するポート以外を閉じる場合、49152-65535を指定しまうとGoogle Chromeがインターネットに繋げなくなりました。いわゆるプライベートポートは閉じなくてもよかったりしますか？IPv6のパケットフィルタリングにこのルーターが対応していなくて、PCではパーソナルファイアウォール(COMODO Firewall)が対応してくれてるのですがスマートフォン(iPhone,iPad)などはそこまで意識しなくてもよかったりしますでしょうか？CTU(加入者網終端装置)についてお聞きしたいのですが、ファイアウォールは「高」に設定してありまして、これはどのような効果があるのか教えていただけませんか？詳細設定にしているブログを見かけて、そちらにしようと思ったのですがヘルプを見てもいまいち具体的につかめず、間違って開放したまま放置してもまずいなと思いまして、「高」にしています。CTUとWR8165Nの組み合わせについてセキュリティ保護機能という機能がWR8165Nには備わっています。「既知の外部からのアタックや不正アクセスを検出し、その不正パケットを廃棄します。検出可能な不正アクセスは、「LAND攻撃」「Smurf攻撃」「IP Spoofing攻撃」です。」(公式ヘルプより)これらの機能はCTU単体より安全性が高まったと言えますでしょうか？少しポート関係ではなくなるのですが、CTU、WR8165NともにDHCPを有効にしています。2つを介した有線LAN接続の速度は80Mbps、とCTU直接の時(平均83Mbps)とほぼ変わらないのですが、問題がありそうな場合、ご指摘お願いします。最後にDMZは一般人が使用する上では必要ありませんか？価格.comの用語集では「「非武装地帯」が名前の由来で、自宅に設置したwebやメールサーバーなどを外部に公開するための機能です。」とあります。サーバー等を公開するような予定もなく、インターネットの用途はWebページを見たりスマホでアプリを使用する程度です。長文になってしまい、質問も多くなってしまい申し訳ないです。どうか回答お願いします。

kokonoe_h · Answer

>>最後にDMZは一般人が使用する上では必要ありませんか？特に必要ないです。一般人でなくても家サーバ（Web・Mail・FTPなど）を公開している人もDMZはあまり使ってません。使うポートだけ開けています。サーバソフトの方でも怪しいIPアドレスは常に追加して弾いてます。特に中国からの怪しいアタックが多いです。

am01125 · Answer

＞ポートをドアに例えるのをよく聞きますが、パケットフィルタという2つ目のドアは3通りを管理するそれぞれのドアがある。
うーん、どうだろう。。。

たとえでなく生の話をしますが、インターネットでやり取りされるデータはパケット（IPパケット）という小包に分割されます。
そのIPパケットのヘッダには、送信元IPアドレスと宛先IPアドレスが書いてあり、それらに続いてデータ部があります。

IPパケットのデータ部の中身はまたパケット構造になっていて、TCPパケットやUDPパケットが含まれています。
TCPパケットやUDPパケットのヘッダには、送信元ポート番号や宛先ポート番号が書いてあり、
そのデータ部にはWindowsのプログラムなどが使用する実データが入っています。

これらのヘッダ（IPアドレスやパケットの種類、ポート番号）をもとに、パケットを通すか捨ててしまうかを決めるのが
パケットフィルタです。データが入ってくる側だけでなく、自分から出ていく側も同じように機能します。
（出ていく方はゆるゆるにしてあるのが普通ですが）

なお、ルータは宛先IPアドレスや（必要があれば）使用するポート番号を書き換える操作をします。
これによって、パケットが別なネットワーク（LAN側 or WAN側）の任意のポートに中継されます。

こんな感じで、ブロードバンドルータにはパケットフィルタがあります。（安いやつにはありません）
これとは別に、Windows PC自身も「Windows ファイアウォール」としてパケットフィルタを持っています。
さらに高機能なパケットフィルタであれば、攻撃を検出して、適当な時間、自動的にそのIPアドレスからの
接続を全部拒否するようなものもあります。

…多少は理解のお役に立てたでしょうか？

で。

Ｑ１：IPv6のパケットフィルタリング
ルータは、IPv6のルーティングには対応してるのでしょうか？
もし対応していなければ、そもそも通信が成立しないので気にする必要はありません。
（on/offがあるなら、IPv6を無効化しておけばよい）

Ｑ２：ShieldsUP!!
ShieldsUP!!は使ったことないですが、このステルスというのはTCP/IPのルールを故意に無視して
動作するモードのようですので、その意味と効果を理解してから使うべきかと思います。
https://www.grc.com/faq-shieldsup.htm
＞ShieldsUP! shows my ports as 'Closed' and not 'Stealth', but I want Stealth! How do I get 'Stealth'?
ただし、これは自宅のLAN内のルータとPCに対して一生懸命にシールドを張っていることになり、さほど意味がありません。
会社とか学校とかで、必ずしもネットワーク内の他のPCを信用しきれない場合には、有効かもしれません。

Ｑ３：CTU(加入者網終端装置)について
機能的には、必要ではありません。通信速度や管理性の面から、ルータで一元化したほうが良いかと。

Ｑ４：DHCP
これは気にする必要がないです。DHCPが有効であれば、Q2と同じくLAN内のPCが完全に信用しきれない環境では、
誰がどのPCを使っているかわからずIPも毎回変わるので、ターゲットになり難いという意味でセキュリティ上有利です。
が、自宅ではそのメリットはありません。まぁ便利な機能なので、ONでいいんじゃないでしょうか。

と、一通り個人的に思ったことを書きましたが、唯一の正解ではありません。
自宅LAN内の他のPCがウイルスに感染して信用できない場合とか、
ルータのソフトウェアにバグがあってそこに侵入を受けた場合とか、
ヤバそうなシナリオを考えていくと、なかなか「これで安心」とはならないものですね。

LsLover · Answer

先ず、ブロードバンドルータ（NATルータ）の基本動作としては、以下のような設定となっています。
(1)LAN側からの接続要求でインターネット上のサーバに接続する場合には、すべて接続を許可します。
　LAN側からFTPクライアントを利用する場合には、PASVモードで接続してください。

ftpのpassiveモード(PASVモード)って何ですか？
http://www.rtpro.yamaha.co.jp/RT/FAQ/TCPIP/ftp-passive-mode.html

(2)WAN側からのLAN側への接続要求は、原則拒否される設定になっている。
　従って、WebサーバやMailサーバなどを公開する場合には、ブロードバンドルータのポート解放/転送の設定が必要となります。
　DMZの設定を行うとWAN側からの接続は、すべて許可されますので、注意が必要です。

『現在危険なポートのみ拒否している状況ですが、みなさんはどのように設定されていますでしょうか？』

ということですが、上記(2)の設定になっているため、特に設定は不要です。

『IPv6のパケットフィルタリングにこのルーターが対応していなくて、』

IPv6サービスを利用しない場合、［IPv6ブリッジ］で【使用しない】を選択してください。

sorio-2215 · Answer

　一般的には、ルーターの静的IPマスカレード機能（NAPT機能）におけるIPセキュアフィルタ機能でも、静的IPフィルタの動的IPフィルタが有ります。
　不正アクセス時の問題となる、DDOS攻撃や「LAND攻撃」、「Smurf攻撃」、「IP Spoofing攻撃」対策については、特定DNSサーバへの攻撃も含めて、動的フィルタ設定が有効になるかと。
　一般的なルーターですと、動的フィルタ機能設定については可能なタイプと不可能なタイプが有ります。動的フィルタについては、LAN側からのアクセスが発生時に特定利用ポート（WEB、POP、SMTP、FTP他）などの通信を検知しout側へOPENします。（通信終了時にCLOSEします）
　静的IPフィルタでの設定については、他の方の仰る様に、特定ポート番号からのアクセス(out→in、in→out)を、TCP/UDPポート番号別に破棄・透過する様に設定するのですが、LAN又はWAN側への特定IPとして規制する事が可能です。その機能にて、トロイの木馬や不要ポート通信を破棄しておく形が可能です。
　セキュリティ機能制限については、DHCP機能の話が出ましたが、家庭用用途ですとあまり関係無いかと存じます。
　業務系用途ですと、DHCP機能に対し、MACアドレス認証と予約IPアドレスでのLAN接続端末セキュリティを設けているケースも有ります。つまり、ルーターのLANポートへ端末接続した際に、その端末のMACアドレスを検知し、接続許容させる設定、接続認証された際に端末に特定IPアドレスを付加する機能、そのIPアドレスをWAN側若しくは、IPSEC-VPNトンネル側への通信許容させる設定も有ります。
　DHCPの有効・無効可否の件については、あまりセキュリティ面においては効果が薄いかと存じます。
　CTUもWR8165Nルーターも、あくまでも家庭用ルーターレベルの機材ですので、細かくセキュリティ確保する様な設定には限界が有ります。仮に2重NAPT（CTUでのPPPOE接続→WR8165Nルーターでのローカルルーティング）でも、通信許容が2重化されるだけで、セキュリティレベルが高くなる訳ではありませんので、CTU→WR8165Nルーター構成ですと、返ってCTUでのPPPOE接続→WR8165Nルーター（APモード）、配下端末にてセキュリティソフト適用が一般的かと考えます。
　もし、ナーバスにPCやスマートフォン、タブレットなど統合的なセキュリティ確保を想定される場合、CTU（光電話のみ、PPPOEブリッジのみ）→UTM機能付きルーター→WR8165Nルーター（APモード）構成を検討下さい。
　※　UTM機能付きルーター・・Yamaha「SRT100」、「FWX120」など。
　静的IPセキュアフィルタ、動的IPフィルタ以外に、URLフィルタ（外部/内部）、Winny/Shareフィルタ機能、ポリシーベース・フィルタなども搭載しております。

内容・タイトル	返信数	最終投稿日時
Wi-Fiが本当に良く切れる	0	2025/12/14 19:46:37
AX6000とBE7200どっちが良い？	5	2025/12/14 11:16:09
EasyMesh設定について	8	2025/12/14 12:06:46
なぜか接続できない	4	2025/12/10 22:32:39
Wi-Fiが繋がらない問題	1	2025/12/10 13:00:15
WR9500を中継	2	2025/12/08 19:31:11
OCN 10G ONU　へ直接接続する設定	0	2025/12/07 16:55:44
助けて下さい、繋がらない	8	2025/12/07 20:41:11
下位互換？は出来ますか？	7	2025/12/11 0:03:39
Wi-Fi繋がらない	2	2025/12/09 19:35:13

『パケットフィルタやポートのことについて助言お願いします』のクチコミ掲示板