『はじめてのブロードバンド、初めてのセキュリティ』のクチコミ掲示板

皆様、始めまして。
ご質問したいことがございまして書き込みさせていただきました。
先日当機種を購入したのですが、なにぶん初めてだらけですので分からないことだらけです。
店頭では「ルータを購入すれば不正侵入は防げますよ」と言われ購入したのですが、
設定が今ひとつわかりません。
必死にマニュアルを読んでも分からない用語ばかりで、そのつど用語辞典を引いたりしている始末です。
それでもなんとか、以下の設定をすればいいのではと思い設定しています。

NAPT（有効）、静的フィルタ（135-139ポート閉）、
ステートフルパケットインスペクション（WAN-LAN登り下りとも有効）、
IP Source Routing（破棄）、Directed Broadcast（破棄）、ステルスモード（有効）
VLAN（複数のPC間では共有しないので、全てグループを独立）

ネットゲームなどで使用するポートは静的マスカレードで開放した後、
静的フィルタで閉じ、ダイナミックフィルタでLAN→WANへのトリガを検知したら
その時のみ開くようにしています。

以上ですが、どこか問題がありますでしょうか？
また、追加したほうがいい項目などございましたらご指導をお願いいたします。

書込番号：1697281

>ステートフルパケットインスペクション（WAN-LAN登り下りとも有効）
Lanから外に向かっては必要有りません。
スループット低下を招くのでWanからLan側だけにしましょう。

書込番号：1697587

個人的な意見ですが、あまり神経質になり過ぎるのも考え物だと思います。一般的な利用形態では、
NAPT（有効）、LAN->WAN破棄フィルタ（135-139と445）、ステルスモード（有効）
の３つで十分です。おまけでSPIくらいでしょうか。

１．まずNAPTしている限り、LAN側から通信を開始して初めてWANからの返信パケットがLANに到達可能になります。そしてその通信が終了して一定時間が過ぎるとそのポートは閉じられます。

２．特にBA8000ProのNAPTにいえることですが、WAN側からのパケットの送信元/送信先IP、プロトコル、送信元/送信先ポートすべてをNAPTテーブルと照合し、一致したものだけを通過させているそうです。したがって例えば、LAN側PC-aのtcp50000番からWebサーバ-bのtcp80番への通信が確立しているとき、全く関係のないPCがインターネット越しにtcp50000番にパケット投げても破棄されます。
例外：低価格で高速なルータの中には、NAPT処理を高速化するために上記のようなヘッダ全部を見ていない製品が多く存在し、変なパケットも通ってしまうようです。

３．巷ではSPIが流行っていますが、SPIが効くのはNAPTを通過できたパケットだけです。上記のように厳しいNAPTが実装されている場合、SPIはNAPTを通過してきた＝ほぼ安全なパケットを見ているだけです。（つまり２重チェックのようなもの）
SPIが進化を発揮するのは静的マスカレードやDMZなど、NAPTの壁に穴を開けているときです。また、るんばば　さんの仰るように一般的にLAN->WAN方向のSPIは無効にします。

４．よくNetBIOS関連ポートも塞げといわれますが、これもNAPTをやっている限りあまり意味ありません。なぜならそういうパケットがWANから来ても、NAPTテーブルに一致しないので破棄されるからです。
LAN->WAN方向のNetBIOSパケットも、lmhostsなどでグローバルIPを登録していない限り、LAN内で完結する通信やブロードキャストに使われるだけなのでルータはWAN側に転送できません。例外としてはPCがワームに感染したときのことを考えて、LAN->WAN方向のNetBIOS破棄フィルタを設定するだけです。
ちなみにWin2000やXPでは445も多用します。

＞静的マスカレードで開放した後、静的フィルタで閉じ、ダイナミックフィルタで
詳細が書いていないので不明ですが、無駄がある設定方法だと思います。
マニュアルにもあるようにダイナミックフィルタのWAN->LAN方向のアクションには、静的マスカレードを重複設定する必要はありません。
また、ダイナミックフィルタのアクションは静的フィルタより常に優先されるので、その設定内容によってはその静的フィルタは実は何の意味も持たないことになりがちです。

書込番号：1699883

るんばばさんげっちゅるさん、どうもありがとうございました。
疑問や懸念が一気に氷解した感じです。
BA8000PROはかなり安全性の高い高機能ルータだったのですね。
これからは安心してネットにつなぐことができます。
マニュアルは一通り読んだのですが、頭に入っていなかったようです。
歳かな。（汗）
もう一度読み直して、一から勉強をやり直したいと思います。

特にげっちゅるさん、
ものすごく詳しい情報をお寄せくださいましてありがとうございました。
お寄せくださった情報を保存して、よく頭に叩き込んでおきたいと思います。

これからはあまり神経質にならずにルータの機能を信じてWebを楽しみますね。
お二方、本当にありがとう！（＾＾）

書込番号：1701113

アンチウィルスソフトがあれば、入れたほうがいいです。

書込番号：1703259