『IPv6接続方法をNDプロキシ使用にするとネットから切断となります』のクチコミ掲示板

[あゆゅ]

こんにちは。
個人の力で調べてもわからない時にこちらでお知恵をお借りしています。
先ず状況を説明します。

先月､GMOとくとくBB光10ギガを契約しました(西日本在住です)
レンタルでこちらのルーターが付いてきました

初期の詳細設定のInternetの項目は
Internet →IPアドレス取得方法:ｲﾝﾀｰﾈｯﾄ@ｽﾀｰﾄを行う
IPv6→IPv6接続方法:ｲﾝﾀｰﾈｯﾄ@ｽﾀｰﾄを行う(IPv6ﾌﾞﾘｯｼﾞを許可する)
としておりました。
ネット接続は問題なく出来ておりました。

最近もう少し設定を触ってみようと思い調べてるうちにIPv6接続方法は『NDプロキシを使用する』に設定しないとセキュリティが脆弱であるらしいと知りました。
そこでairstationアプリで設定を
IPv6接続方法を『ｲﾝﾀｰﾈｯﾄ〜』から『NDﾌﾟﾛｷｼを使用する』に変更しました
すると変更後ｽﾏﾎのWi-Fiマークに!マークが付き､ﾙｰﾀｰ設定ｱﾌﾟﾘの地球儀にも×マークが付いてｲﾝﾀｰｯﾄから遮断されました
え？と思いながらモバイル回線で設定アプリを触り今度は
IPアドレス取得方法:v6プラスを使用する(GMOがv6ﾌﾟﾗｽなので)
IPv6接続方法:NDプロキシを使用する､にしましたが繋がりません

本体はマニュアルで、ルーターモードにしてあります。
再起動かけてもダメでした。
パターンを変えてもどうやってもNDﾌﾟﾛｷｼを使用するでネットにつながりません
最終的に初期の設定に戻して繋げてます。
Internet項目の設定で触っているのはこの2箇所だけです。
子供もいてスマホやらPCを使うので､このままではセキュリティが心配です
どうかアドバイスよろしくお願いします。

書込番号：26244201　スマートフォンサイトからの書き込み

[次世代スーパーハイビジョン]

＞IPv6→IPv6接続方法:ｲﾝﾀｰﾈｯﾄ@ｽﾀｰﾄを行う(IPv6ﾌﾞﾘｯｼﾞを許可する)

「IPv6ﾌﾞﾘｯｼﾞを許可する」チェックが入っていないと思いますが。

＞IPv6接続方法:NDプロキシを使用する､にしましたが繋がりません

一旦AirStation WXR-5700AX7P の電源落として３０分後ぐらいに操作しても変わりませんか。？

書込番号：26244218

[羅城門の鬼]

>IPv6→IPv6接続方法:ｲﾝﾀｰﾈｯﾄ@ｽﾀｰﾄを行う(IPv6ﾌﾞﾘｯｼﾞを許可する)

試しにIPv6ﾌﾞﾘｯｼﾞの許可を外してみて下さい。

書込番号：26244226

[えがおいっぱい]

＞あゆゅさん
https://bbs.kakaku.com/bbs/K0001253680/SortID=25597668/

過去の記事にもありますが、とくとくBBはND Proxyに非対応のようなので、残念ながらND Proxyでの利用は出来ないかと思います。
IPv6ブリッジでは確かにセキュリティは下がります（外部からIPv6のアドレスが丸見えになります)ので、PCは必ずファイアウォールを有効にしてください。
スマホやゲーム機などはOSレベルで硬いセキュリティがかかっているので、きにせずそのまま使って大丈夫です。

書込番号：26244231

[羅城門の鬼]

GMOとくとくBBに連絡して、NDプロキシが使えるかどうか確認してみてはどうですか。

書込番号：26244301

[あゆゅ]

みなさん早速のアドバイスありがとうございます。
お返事遅くなって申し訳ありません。

＞次世代スーパーハイビジョンさん
＞羅城門の鬼さん
IPv6接続方法のブリッジを許可するはチェックを外してあり、ちゃんとネット回線にはv6で繋がっております
そこをNDプロキシを使うにするとネットに繋がらない状態です。

＞えがおいっぱいさん
知りませんでしたとくとくGMOはNDプロキシ非対応なんですか・・・だとしたら繋がらないのが納得できます

こちらの件をバッファローに問い合わせたら
10GB回線は分からないことが多く未だ手探りらしいです
ユーザーからの不具合情報を精査して対応している状態で､その積みかせねになると
オペレーターの方の説明では、
このルーターで10ギガ回線のIPv6設定するときは、

初期設定のInternet設定､ｲﾝﾀｰﾈｯﾄ@かんたんの所のチェックを2つ先ず外してからV6プラスにチェックを入れる
そして、
IPv6接続方法をｲﾝﾀｰﾈｯﾄ@かんたんにチェックをいれる(v6ブリッジを許可するのチェックは外す)
そうすると回線は繋がるそうです
ただNDプロキシが使えてるかは､とくとくGMOに問い合わせてくれと
とくとくに電話しましたがとにかくオペレーターと繋がらなくて確認できません

書込番号：26245066　スマートフォンサイトからの書き込み

[次世代スーパーハイビジョン]

＞IPv6接続方法をｲﾝﾀｰﾈｯﾄ@かんたんにチェックをいれる(v6ブリッジを許可するのチェックは外す)
＞そうすると回線は繋がるそうです

接続が確立したらND PROXYは動作しているはずですよ。
でないとルーターのパケットフィルターやファイアウォールも動作しない。

仮にDHCP IPv6 PDで動作しているならルーター機能が有効になっているので
問題ありません。


＞ただNDプロキシが使えてるかは､とくとくGMOに問い合わせてくれと
＞とくとくに電話しましたがとにかくオペレーターと繋がらなくて確認できません

ND PROXYはルーター機能なのでISPは関係ありません。
これはISP側とルーター側と同じIPv6 Prefixで接続（ブリッジ接続）したときにルーターがセキュリティを提供する機能です。

自分はひかり電話あり１０Gbpsを利用しています。
フレッツ光クロス(10Gbps)の場合はひかり電話有無に限らずDHCP IPv６　PDは必須なので問題ないはず。

書込番号：26245110

[羅城門の鬼]

>とくとくに電話しましたがとにかくオペレーターと繋がらなくて確認できません

手間でしょうが、粘り強く電話してみて下さい。
埒があかない場合は、メールで問い合わせてみて下さい。
https://help.gmobb.jp/inquiry/
の最後の方。

書込番号：26245237

[あゆゅ]

追加のアドバイスありがとうございます。

＞次世代スーパーハイビジョンさん
接続が確立したらND PROXYは動作しているはずですよ。
でないとルーターのパケットフィルターやファイアウォールも動作しない。

これが機能していればNDプロキシは機能しているという事ですが､それはどこを見れば確認できるのでしょうか？
私の環境は光電話や光TVなどオプション類は一切付けてない状態です。

＞羅城門の鬼さん
今日も時間帯を変えてかけました
混雑していますが続くだけでどんどん通話料がかさんで我慢できずに切りました

メール問い合わせに変更したいと思います。

羅城門さんでしたら今回の件をどのように問い合わせますか？
参考にさせてください。
このサイトだと､拙い内容でも皆さんがユーザー目線で質問を汲んで答えて下さるので助かりますが、
知識のない私が上手く伝えられるか自信がありません

書込番号：26246461　スマートフォンサイトからの書き込み

[羅城門の鬼]

>羅城門さんでしたら今回の件をどのように問い合わせますか？
>参考にさせてください。

まず確認ですが、
IPアドレス取得方法:v6プラスを使用する
でNDプロキシを無効の状態ならインターネット接続できているのですよね。

それならば、たとえば以下のような感じでどうです。

GMOとくとくBB光10ギガを契約している。
ルータはWXR-5700AX7Pで、v6プラスにてインターネット接続できている。
しかし、NDプロキシを有効にすると、インターネットにアクセスできなくなる。
GMOとくとくBBのv6プラスでは、NDプロキシは使えないのか？

書込番号：26246499

[次世代スーパーハイビジョン]

外野ですけど。

そもそもND　PROXYはRFC（インターネットの仕様書のようなもの）に記述されている技術とサービス。

ISPに質問してもルーターメーカーに質問してください。で終わりですよ。

また、ちょっとそれるがNEC AtermでIPv4 over IPv6通信では強制的に有効。

逆を言えばGMOではNECルーターはセキュリティ的に問題ありって事になりますよ。

書込番号：26246845

[mosimosidesu]

＞あゆゅさん
こんばんは。

細かい説明は避けますが
フレッツ光のIPoE接続であればNDプロキシは不要です。

NDプロキシなしでも安心して使用してください。

書込番号：26247156

[あゆゅ]

お世話になります

＞羅城門の鬼さん
簡潔にまとめていただきありがとうございます。
コピペして利用させていただきました(^^;
返信を待ちます。

＞次世代スーパーハイビジョンさん
投稿時に書きましたが､今回のNDプロキシに関してルーターメーカーのバッファローに問い合わせた結果がGMOに確認した方がいいとアドバイスされたので。
オペレーターの方も､機能しているのかが表面上のシステム状態ではわからないし､セキュリティ面でもNDﾌﾟﾛｷｼが機能していた方が安全ではあるので確認してください､と言われました。

＞mosimosidesuさん
こんにちは。
えっと､つまりは､私のGMOとくとくBB光 10ギガ契約は
フレッツ光でIPoE接続となり
もともとNDプロキシは使用しない仕組みだから設定するとネット接続出来なくなると。

そうだった場合､私が心配しております
通常のNDプロキシ使用のネット環境と比較した時、
それを使わない私の現状のネット環境のセキュリティに差はないのでしょうか？
不要というのは使用しなくても同等のセキュリティを有しているからなのでしょうか？
知識がなくて質問ばかりですみません

書込番号：26247405　スマートフォンサイトからの書き込み

[mosimosidesu]

＞あゆゅさん
おはようございます。

フレッツ光はNDプロキシよりも高いセキュリティの方式を
採用していますので全く問題がありません。

反対にNDプロキシの方が心配なくらいです。

書込番号：26247422

[BIGN]

mosimosidesuさん

>フレッツ光はNDプロキシよりも高いセキュリティの方式を採用していますので全く問題がありません。

横からすみません。自分が知る限りNTT NGN網内のIPv6で特段セキュリティを高めるような仕組みはなかったと記憶してますが実際にどのような方式でIPv6のセキュリティを高めているのでしょうか？ 興味があるので教えてください。

書込番号：26247447

[mosimosidesu]

＞BIGNさん
おはようございます。

DHCPv6-PDですね。

NDプロキシをセキュリティ対策と呼ぶのであれば
DHCPv6-PDもそう呼んでも良いかと思いまして。

書込番号：26247504

[BIGN]

mosimosidesuさん

>DHCPv6-PDですね。

DHCPv6-PDはIPv6 Prefix委譲なのでこれ自体に直接的なセキュリティ機能はないですよ。

また、ND ProxyもICMPv6 Neighbor Discoveryプロトコル(ARPプロトコルのIPv6版)を宅内ルータが代理応答するものなのでNAT/NAPTのようなセキュリティ効果はないです。

IPv6パススルーは文字通りインターネットからの全てのIPv6パケットは宅内ルータが全てLAN側へパススルーし直接端末に届きます。これはセキュリティ的によろしくない。

一方、ND ProxyはインターネットからのIPv6通信に対し宅内ルーターがLAN内端末のMACアドレス解決を代理で行った上でLAN側へ流すのでND Proxy単体で見ればパススルーよりか気持ちセキュリティが高いだけです。実際には宅内ルータのIPv6フィルタリング機能やファイアーウォール機能(SPI)と組み合わせることでセキュリティを確保できますね。

書込番号：26247543

[mosimosidesu]

＞BIGNさん
こんにちは。

おっしゃる通りです。
とても誤解を生む表現ですね。

DHCPv6−PDはセキュリティと言う意味では役に立ちません。
NDプロキシの方が多少はましかもしれません。

おっしゃる通りルーターにはSPI機能があると思われますし
ネットワーク的にはDHCPv6-PDの方が優位性がありますので
安心してNDプロキシ設定を外していただくためにこのような表現になりました。

そもそもNDプロキシは/64しかもらえなかった時の苦肉の策で
フレッツ10GではNDプロキシを使用することは難しいと思われます。

つい説明が面倒になって適当に答えてしまいました。
申し訳ありません。

書込番号：26247624

[あゆゅ]

お世話になります。
とくとくから返事が来ました。
＞羅城門の鬼さんのアドバイスの通り送信しました

以下が内容そのままです

とくとく
ルーター側が、v6プラスを検知するための設定は下記2点となります。
【1】Internet > Internet = IPv6プラスを使用する（V6プラス以外では接続しない設定）
【2】Internet > IPv6 = インターネット＠スタートを行う（接続方法を自動判断する設定）
上記2点のため、「NDプロキシ」を選択いただくと、 ルーター側でv6プラスの接続をしなくなることにより、 アクセスができなくなるのが今回の原因かと存じますので、 解消が難しい可能性がございます。

弊社といたしましては、v6プラスをご利用の際は「 IPv6プラスを使用する」にて、インターネットをご利用いただくことを推奨しております。
それ以外の設定をご希望される場合、たいへん申し訳ございませんが、
弊社では資料を持ち合わせておりませんため、 ルーターのメーカーさまへご確認いただけますと幸いです。

とのことでした。
結果的には質問には答えてもらえないことがわかりました。

＞mosimosidesuさん
＞BIGNさん
お二人の投稿を拝見しましたが私には未知の言葉ばかりなんですが､１つ質問させて下さい。

＞IPv6パススルーは文字通りインターネットからの全てのIPv6パケットは宅内ルータが全てLAN側へパススルーし直接端末に届きます。これはセキュリティ的によろしくない。

ここにあります､『LAN側へ』というのはケーブル差し込み口を利用した有線接続の場合にセキュリティ的に脆弱なのでしょうか？
つまりWi-Fiで繋げば安全なのでしょうか？

書込番号：26253585　スマートフォンサイトからの書き込み

[羅城門の鬼]

>＞羅城門の鬼さんのアドバイスの通り送信しました

今までの説明を変更させて下さい。

もともとは
>最近もう少し設定を触ってみようと思い調べてるうちにIPv6接続方法は『NDプロキシを使用する』に設定しないとセキュリティが脆弱であるらしいと知りました。

が発端かと思います。

昔々のIPv6ブリッジしか対応していないルータが多い時に、
素通しのIPv6ブリッジに比べてNDプロキシはセキュリティ的に優位だったとは思います。

v6プラス接続でインターネット接続されていれば、
IPv6とIPv4に関してルータとして機能しますので、
一般論としてはNDプロキシが設定されていなくても、
セキュリティ的には大丈夫かと思います。

ただ
https://www.iodata.jp/support/qanda/answer/s32796.htm
のIO-dataの無線LANルータのようにv6プラスのようなIPv4 over IPv6であっても、
NDプロキシの設定が必須の機種もあるようですが、
この無線LANルータの内部の作りでそうなっているだけであり、
一般的にはv6プラス接続出来ていれば、NDプロキシは不要かと思います。

バッファローの場合は、
https://www.buffalo.jp/support/faq/detail/16422.html
のようにv6プラス接続設定して、うまくつながらない場合のみ、
NDプロキシを設定するよう指示されてますので、
v6プラス接続設定してうまくインターネットにアクセス出来ているのなら、
追加でNDプロキシを設定する必要はないのではないでしょうか。

書込番号：26253655

[mosimosidesu]

＞あゆゅさん
こんばんは。

＞『LAN側へ』というのはケーブル差し込み口を利用した有線接続の場合にセキュリティ的に脆弱なのでしょうか？
つまりWi-Fiで繋げば安全なのでしょうか？
・基本的に有線接続でもWi-Fiでも同じです。

GMOとくとくBB光10ギガ回線でNDプロキシは使えないです。

NDプロキシを使わなくてもそれなりに安全です。
皆さんが言うように外部から簡単にパソコンやスマホにアクセスできません。

それなりに安全と表現するのはネットワークには絶対的な安全はないからです。

安全にインターネットを利用したいのであれば
NDプロキシなんかに拘らないで他の方法を検討された方が良いと思われます。

書込番号：26253819

[BIGN]

あゆゅさん

>ここにあります､『LAN側へ』というのはケーブル差し込み口を利用した有線接続の場合にセキュリティ的に脆弱なのでしょうか？
>つまりWi-Fiで繋げば安全なのでしょうか？

いえ、LAN側というのは有線・無線問わずルーター配下にあるIPv6通信できる端末が対象になります。

長文ですがなるべく分かりやすくお話しすると、

IPv4のNAT/NAPTがセキュリティ的に安全なのは基本的にWAN側からLAN側端末に対してダイレクトにアクセスすることができないこととIPv4アドレス空間がグローバルアドレスとプライベートアドレスに分かれているためです。

NAT/NAPT通信ではLAN側端末からインターネットにあるサーバー等に通信する際、ルーターがLAN側端末からデーターを受信するとその通信のための穴を開けてからIPv4アドレスをプライベートアドレスからグローバルアドレスに変換してインターネットへデーターを転送します。

インターネット側サーバーからルーターにデーターが届いたときはそのデーターが事前に開けておいた穴を通していいものなのか判定しOKならグローバルアドレスからプライベートアドレスに変換してLAN側端末へデーターを転送します。NGならルーターはデーターを廃棄します。

一方、IPv6は、現在日本で提供されているIPv6対応インターネット回線サービスだと基本的にIPv6アドレスはグローバルアドレスになります。従い、インターネット側からLAN側端末に対して直接アクセスできてしまいます。これはブリッジ接続だろうとNDプロキシ接続だろうと同じです。

インターネット側の悪意のある端末がLAN側端末へアクセスしてきた場合を考えるとブリッジ接続の場合はルーターは何もしないので事前に攻撃は防げません。NDプロキシ接続の場合はルーターが通信に介入できるのでフィルタやSPIといったセキュリティ機能と連携すればLAN側端末への攻撃を事前に防ぐことが可能になります。前に説明したとおり、NDプロキシのみではブリッジ接続と同じです。

mosimosidesuさんも述べられているように、ネットワークには絶対的な安全はありません。

なので、我々ユーザとしては、

(1)サポートが切れたルーターは使用しない
(2)LAN側端末は必ず最新のセキュリティアップデートを適用しておく。※PC、スマホだけではなくTVやレコーダなども対象です。
(3)Wi-Fi通信の場合は可能な限り強力な暗号化方式を使用する

を行うことでネットワークリスクを可能な限り減らす事が重要です。

書込番号：26254045

[あゆゅ]

＞羅城門の鬼さん
＞mosimosidesuさん
＞BIGNさん


丁寧に説明して頂きありがとうございます。
わからない言葉を調べながら読んでいたので理解に時間がかりました(泣)

皆さんのお話で私のIPv6接続の状況は納得しました
必要以上に怖がらず、
アドバイス通り､出来る範囲でセキュリティソフトの追加や通信の強化等に取り組みたいと思います。

知識の乏しい私に親切にお付き合い下さり､とても感謝しております。
ありがとうざいました。

書込番号：26257048　スマートフォンサイトからの書き込み