『内部のFTPサーバに外部からアクセスできない』のクチコミ掲示板

[cool a bow]

FTPサーバを公開しようとしていますが、設定の仕方がわからず困っております。
まず、対象の機器に割り当てたIPアドレスは192.168.10.11とした場合、
「IPv4パケットフィルタ設定」で以下の２つの設定を行いました。
通過、in、TCP、any、21、192.168.10.11/24、21（FTPポート）
通過、in、TCP、any、55536-55663、192.168.10.11/24、55536-55663（PASVポート）

結果、外部から内部のFTPサーバにはアクセスできていませんが、疑問がいくつかあります。
�@「IPv4パケットフィルタ設定」ではデフォルトで優先度18まで廃棄設定がありますが、
　そのポートに当てはまらないものはこの画面で「通過」を行う必要があるのか

�Aこれだけだと、外部から自分のグローバルIPアドレスにアクセスしても、
　ポート21の場合192.168.10.11につなぐためにポートマッピングがいるのではないかと思っているのですが、
　「ポートマッピング設定」では利用可能ポートにFTP用の21とPASVポートの55536-55663が登録できません。
　（PASVの設定まで必要なのかというのもわかっていません）

どういった設定が必要なのかを教えていただけますでしょうか。よろしくお願いいたします。

書込番号：25521087

[Gee580]

＞cool a bowさん

�@は必要ないと思うよ。
https://www.aterm.jp/function/wx7800t8/guide/ip_filter.html

�AはISPが関係してくるよね。　DS-Lite方式のISPはPort開放ができないので、外からのアクセスはダメではないの？
さらにMAP-E方式のISP（＜v6プラスモード、IPv6オプションモード、OCNバーチャルコネクトモードまたはMAP-Eプロトコルの国内標準プロビジョニング方式の場合＞）でも、解放できるポートに制限があって、このマニュアルにもあるようにそこから個々に選択しないとダメだよね。

PPPoE方式が使えるISP、であれば、anyにチェックをいれればいいよね。
両方とも当然２１も設定するよ。
https://www.aterm.jp/function/wx7800t8/guide/portmapping.html

そいうことでは、PPPoE方式のほうが簡単だよね。

ＭＡＰ−Ｅ方式でも、内部のFTPサーバーがWindowsであれば、IISマネージャーでポートの制限があるので、それがつかえそうだけれども。

書込番号：25521116

[Gee580]

MAP-E方式のISP用

＞cool a bowさん

ちょっと勘違いしてたよ。　基本は変わらないけれども、自分側に　FTPサーバーがいるので、PASVでなくてもいいよね。
https://www.aterm.jp/function/wx7800t8/guide/portmapping.html
ただし、これもISP次第であることは同じだよ。

１．DS-Lite系ISPはポート開放ができないのでダメ！

２．MAP-E方式のISP（＜v6プラスモード、IPv6オプションモード、OCNバーチャルコネクトモードまたはMAP-Eプロトコルの国内標準プロビジョニング方式の場合＞

利用可能ポートから１個選択する
宛先ポート番号は　２１

３．PPPoE方式のISP
ポート番号は　Anyをチェックするか、２１をBOXにいれる。

どの方式か不明な場合はISPに事情を説明し、問い合わせてみれば。

これでテストしてみればいいと思うよ。

書込番号：25521153

[Gee580]

そして、知っていると思うけれども、念のため。
リモート側のクライアントはそのOPENしてあるポート番号を知っている必要があるよ。

例：
PS C:\Users\ｘｘｘｘ> ftp
ftp> open test.ftp.com 55536

５５５３６　は　利用可能ポートから１個選択した番号に変えてね。

書込番号：25521163

[nasne使い]

フィルターはパケットの許可と破棄を指定するだけなので

外部からPCへの転送指示が別に必要ですよ

接続セッション → 192.168.10.11

書込番号：25521251　スマートフォンサイトからの書き込み

[nasne使い]

7800はブリッジなので、別のルーターだけど

tcp21ポートが、PCへ転送できれば
後は、SPIで許可されるから通信できるでしょう

SPIの方が、フィルターよりも優先度が高そうなので
許可 WAN * * → LAN 192.168.10.11 tcp21
これ以外の許可フィルターは必要ないかも(RT-500KIとか)


備考、RT-500KIの場合、拒否LAN→WANと、許可WAN→LANのフィルター以外は、役に立たず
拒否WAN→LANは、上位のSPIで処理され機能しないから
フィルター指示する意味は無いです

接続しちゃうと(SPIで許可され)、拒否LAN→WANも
拒否WAN→LANも、一切フィルターできない

書込番号：25521317　スマートフォンサイトからの書き込み

[おかめ@桓武平氏]

＞cool a bowさん

Gee580さんからアドバイスが出ていますが、

１. 契約されている回線はどこでしょうか？
２. 契約されているISPはどこでしょうか？

FTPのNAPTの設定がルータ(玄関)に設定されていれば、
「IPv4パケットフィルタ設定」の設定は不要です。

書込番号：25522087

[cool a bow]

たくさんのご回答ありがとうございます。
正直みなさんの用語がわからなすぎて１つずつ確認していきます。

＞Gee580さん、おかめ@桓武平氏さん
使用しているISPはドコモ光のドコモnetとなります。（ググってみると新規受付終了しているんですね）
そしてドコモ光を契約した際にドコモ光ルータ01というのを格安で買えたので、
今回のWX7800T8を使うまではそれを使用しており、その時はFTPサーバを外部公開することができていました。
なので今回のルータの設定次第で外部公開はできるものと思っております。

＞Gee580さん、nasne使いさん
「IPv4パケットフィルタ設定」は設定不要ということで承知しました。

＞Gee580さん
画像付きで回答いただいた中で3択がありますが、
上記にある通り以前のルータでは外部公開ができていたので１のDS-Lite系ではないと思っています。
２のMAP-E方式なのか３のPPPoE方式のISPなのかが不明ですが、
２だったとして、自分のルータの設定画面では
「ポートマッピング設定」での利用可能ポートにFTP用の21が存在しておらず、登録できない認識です。
もう一回試してみます。

あともう一点、「リモート側のクライアントはそのOPENしてあるポート番号を知っている必要があるよ。」の部分は理解できていませんでした。
FTPだからクライアントはポート21を指定するのかと思っていたのですが、PASVだと55536を指定する・・・のでしょうか？
この辺りはPASVを勉強しておきます。

書込番号：25522527

[Gee580]

＞cool a bowさん
＞使用しているISPはドコモ光のドコモnetとなります。

いつごろの契約ですかね？　契約時期によってTransix　か　OCNバーチャルコネクト　になるみたいよ。
ラッキーなことに並行してPPPoEが使えるね。　または、PPPoE専用。
https://www.docomo.ne.jp/hikari/provider_list/docomo_net/ipv6/?icid=CRP_HIKARI_provider_list_docomo_net_ipv4overipv6_to_CRP_HIKARI_provider_list_docomo_net_ipv6#p05
https://www.docomo.ne.jp/hikari/provider_list/docomo_net/

では、ルーターの設定は　３通りあるよ。　前はつながっていたのは、PPPoEでつなげてたから、だね。
�@Transix　＋　PPPoEブリッジ
https://www.aterm.jp/function/wx7800t8/guide/internet_ds-lite.html
https://www.aterm.jp/function/wx7800t8/guide/pppoebridge.html
�AOCNバーチャルコネクト　＋　PPPoEブリッジ
https://www.aterm.jp/function/wx7800t8/guide/internet_ocn.html
https://www.aterm.jp/function/wx7800t8/guide/pppoebridge.html
�BPPPoE
https://www.aterm.jp/function/wx7800t8/guide/internet_pppoe.html

つぎにポートマッピングだね。
https://www.aterm.jp/function/wx7800t8/guide/portmapping.html
で　PPPoE　部分参照だね。　このページにはいろいろあるので、ページ全体をよく読んでね。
ポート番号でAny に　チェック　または　BOXに２１　BOXに２１のほうがセキュリティーには少しだけよい。

サーバー公開は、
PASV　ならば　上で　ポート番号でAny に　チェック
Active（通常）ならば上で　ポート番号で　BOXに２１

注意点は
１．上記�@、�Aでは　うまく動作しない可能性があるよ。　でもNECなので、そこは大丈夫かな？　もしだめなら
　�BのPPPoEだね。　こちらが　固い　と思うよ。　とにかく全部　テストしてみるといいよ。

２．設定変更する際に、　いちいち　工場出荷状態に　リセットして、最初から設定。　古い設定が残ってしまうらしい。それを消すため。　じゃないとできるものも、できなくなるかも、なんでね。

こんなとこかな？

書込番号：25522543

[おかめ@桓武平氏]

＞cool a bowさん

FTPのポート番号と
パッシブFTPポート番号は、
変更可能です。

クライアント側もその変更したポート番号で対応する必要があります。

＜例＞
・クライアント (21) ==== (5000) ==[MAP-E インターネット]== (5000) ==== サーバー (21)
・クライアント (5000) ==== (5000) ==[MAP-E インターネット]== (5000) ==== サーバー (21)
※ ポート番号：5000は、使える範囲に合わせることです。

なお、
相手側もIPoE IPv6(IPv4 over IPv6)のMAP-E接続の場合、
ポート番号がサーバーと同じ範囲内と同じ範囲内にしないと、
FTP運用は出来ません。

書込番号：25522700

[おかめ@桓武平氏]

＞cool a bowさん

もし、WX7800T8が、Transixになっていた場合は、
IPv6 IPoE接続では、DS-Liteなので、ポート開放は出来ません。

OCNバーチャルコネクトですと
MAP-Eなので、
インターネット上のポート番号を変更することで、
運用は可能かと思います。

但し、不特定多数の利用でMAP-E接続で使っている場合、
全部の状況を調査して適正な運用で行う必要があります。

書込番号：25522711

[cool a bow]

引き続き回答いただきありがとうございます。皆さんネットワーク周りはどうやって知識を吸収しているのでしょうか

＞Gee580さん
2017/4契約で、Transixが使えた記憶があります。

�@〜�Bまで手順ありがとうございます。リセットを挟むのが面倒ではありますが、順に実施してみようと思います！
その中でも�BのPPPoEが安心なんですね

＞おかめ@桓武平氏さん
PASVのポートの説明ありがとうございます！
サーバのPASVポートに合わせてクライアントにも必要だったんですね。。まったく有効に使えていなかった気がします。

>もし、WX7800T8が、Transixになっていた場合は、
>IPv6 IPoE接続では、DS-Liteなので、ポート開放は出来ません。
内容が難しいですが、Transixだったはずのウチの環境ではうまくないことと理解しました。

書込番号：25523892