『ルーターを介すとインターネットに接続できなくなります』のクチコミ掲示板

[のり〜のり]

11月30日(日)と12月6日(土)の2回に渡って、客先でインターネットへの接
設定にチャレンジしたのですが、どうにもうまく繋がりません。

残念ながら、最新のファームウェアが出てることに気づかなかったため
最新ファームでは試していないのですが、最新ファームにする以前に
何か設定が必要なのかどうか知りたくて、書き込ませていただきました。

客先には私の都合で土日しか行けず、土日はサポセンが休みなので
なんとも困ってしまいます。

環境は、

・ＣＡＴＶのインターネット接続サービス
・プロバイダーから提供されるＩＰアドレスは172.で始まるローカルＩＰ

状況は、
・ケーブルモデムとＰＣを直結すればインターネットにつながる
・ケーブルモデム−ＭＮ８３００−ＰＣとするとつながらない
　しかし、何度か設定するとメールだけ受信できてＨＰが見れない
　なんて状態になることもあります

ＭＮ８３００の表示画面の内容を以下のＵＲＬへ置きました。
http://f27.aaacafe.ne.jp/~norinori/

どなたかお助けいただければ幸いです。

※明日、これらの資料をもとにサポセンへ電話してみるつもりですが、
　その場でＭＮ８３００に触ることができないので困ってしまいます。

書込番号：2206383

[のり〜のり]

補足いたします。

ＰＣはDELL Dimension C、Win98SEです。

ＭＮ８３００の設定画面からPingテストをした結果は以下のような状況です
・ルーターのWAN側アドレスに対するPingは通ります
・デフォルトゲートウェイに対するPingはRequest Time outになります


Win98のDOSプロンプトからルーターのWAN側アドレスに対してpingを
実行するとHardware errorと4回（4行）表示されます。なぜでしょうか？

書込番号：2206421

[のり〜のり]

過去ログを読んでみました。
ＳＰＩを「使用しない」に設定すれば解決するかも…自信なし

書込番号：2206640

自分もCATVですが、グローバルアドレスを割り当てている方式なので
見当違いかも知れませんが、気になったこと１つ．．．
「動作モード」は何になっているのでしょうか？」
「ルーティングテーブル」の設定は有っても「NATテーブル」の設定が無いので、
自分の環境とここが違うと言うだけなのですが、
この情報表示を見たときに気になりました。
後は、DHCPサーバでLANのIPがネットマスクで遮断されているのでは？
とか．．．
PC＝192.168.1.2でサブネットマスクが255.255.255.255
これって問題無いのでしょうか？　＜素人なので勘弁してくださいm(_ _)m
自分のＰＣでは、255.255.255.0なので、この辺も気になりました。
　（255.255.255.255は192.168.1.2/32の「/32」の部分）
見当はずれかも知れませんが、念のためm(_ _)m

書込番号：2207122

[のり〜のり]

BB(B-FLETS BASIC)さんレスありがとうございます。

動作モードはＤＨＣＰだったと思います。もう出勤の時間なので
あとはまた。。。

書込番号：2207937

[のり〜のり]

＞「ルーティングテーブル」の設定は有っても

「ルーティングテーブル」の表示内容は、私が自分で登録したものではなく
自動的に登録された内容なんです。

＞PC＝192.168.1.2でサブネットマスクが255.255.255.255

私もこの辺は未知の世界なので、はっきりとしたことは解りませんが、
おそらく、宛先アドレスが192.168.1.2になってるパケットがルーターに
届いたら、ルーターはPCのLANボード(MACアドレスがPCのになってますので)に
転送しますよということをあらわしてるのではないでしょうか。

このルーティングテーブルをもう少しよく観察してみることにします。

書込番号：2209518

・PCにセキュリティソフトは入っていませんか？
・他のPCでテストしてみることはできませんか？
・それと動作モードは「NATルータ」か「GapNAT」どちらですか？
当方なんの変哲もないPPPoE環境なので詳しくわかりませんが、
問題解決の参考になれば幸いです。

書込番号：2209670

[のり〜のり]

1760さん、レスありがとうございます。

・PCにセキュリティソフトは入っていませんか？
確か入っていなかったと記憶しています（ウィルス対策なしです(^_^;））。

・他のPCでテストしてみることはできませんか？
客先は３階建てのビルになってまして、１階がショールーム兼受付、
２階が事務所、３階が社長さん宅になってまして、受付にDELLと
社長さん宅のiMacの両方で試しましたが、どちらもつながりませんでした。

・それと動作モードは「NATルータ」か「GapNAT」どちらですか？
「NATルータ」です。ちなみにプロバイダーはアイタイネットというところで
基本サービスでは、ローカルＩＰアドレスが８個まで取得できるようです。

プロバイダーのＨＰ　http://www.aitai.ne.jp/

ルーターのＷＡＮ側とＬＡＮ側ともにローカルＩＰアドレスが原因で
ルーティングがうまくいってないのかな〜という気がしてます。

オプションサービスのグローバルIPサービス（＋５００円/月だったか）を
申し込めば案外あっさり解決なのかもと思えてきました。

書込番号：2210025

やっぱり気になるので、もう少し伺います(^^;

「機器状態情報」の「DHCPクライアント状態」で
「DHCPサーバ」が、ローカルアドレスなのはなぜでしょうか？
これって、プロバイダのDHCPサーバを指すのでは？　＜まぁ、何でも良いのかも(^^;

あとは、やはり「ルーティングテーブル」の情報．．．
ゲートウェイ「192.168.1.1」が「192.168.1.0」へルーティングされているのは何となく分かりますが、
「192.168.1.2」のルーティング（宛）先が有りません
これって、ルータ自身は、WEBに通じていても、接続されたＰＣは見れないってことでは？
ルータの「設定」→「詳細設定」→「LAN側IP設定」の情報で、
「LAN側IPアドレス／マスク長」が、「192.168.1.1/32」になってませんか？
この「/32」を「/24」にするだけで良いように思うのですが．．．
　※ＰＣの再起動でＩＰアドレスの再取得が必要

書込番号：2210333

[のり〜のり]

BB(B-FLETS BASIC)さん、再びレスありがとうございます。

＞ゲートウェイ「192.168.1.1」が「192.168.1.0」へルーティングされているのは何となく分かります

どうも根本的なところで私とBBさんの間で見解が異なっている感じがします。

私のつたない見解では、x.x.x.x(アドレスＡとします)という宛先で
ルーターに届いたパケッがあったとしたら、ルーティングテーブルの下の
方から順番に、アドレスＡとルーティングテーブルの宛先のマスク部分が
一致するか探索し、マスク部分が一致したらその右側のゲートウェイ欄に
あるアドレスへルーターがパケットを送り出すと解釈しているのですが、
BBさんの場合はどうも逆の見方をされてますよね。その辺がどうも…

＞ルータの「設定」→「詳細設定」→「LAN側IP設定」の情報で、
＞「LAN側IPアドレス／マスク長」が、「192.168.1.1/32」になってませんか？
＞この「/32」を「/24」にするだけで良いように思うのですが．．．

すみません。客先には土日にしか行けないため、現在は確認しようが
ありません。

書込番号：2210499

[のり〜のり]

＞「DHCPサーバ」が、ローカルアドレスなのはなぜでしょうか？
＞これって、プロバイダのDHCPサーバを指すのでは？

私も気になっていました。おそらくプロバイダー側のDHCPサーバが
このローカルIPアドレス上にあるのかなと。。。自信なし(^^;

書込番号：2211235

[のり〜のり]

昨日の昼間、ＮＴＴ−ＭＥへ電話しても全然つながらなかったので、
昨日の夜、ＦＡＸで資料を送信してみました。

そうしたら、今日の午前９時４０分ごろ担当の方から私の携帯に
電話がありました。

担当の方の説明では「プロバイダーがローカルＩＰアドレスを割り当てて
くる仕様の場合には」以下のことを試してみてくださいとのことです。

１．IPフィルタ設定（ワンタッチ設定）画面（マニュアルP.67）にある、
　　「プライベートアドレスを使用した外部装置との通信を禁止」の
　　チェックボックスをオフにする。

２．「SPI(ステートフル・パケット・インスペクション)設定」を
　　「使用しない」に変更する。

３．最新のファームウェアーにバージョンアップする。

の、以上３点でした。

１が一番効き目がありそうな気がします。土曜日が楽しみです。
皆様ありがとうございました。

尚、上の書き込みにある、最新ファームにするとインタネットにつながらない
という件も伝えました。

↓マニュアル 第1版（全編）
http://www.ntt-me.co.jp/mn/mn8300/mn8300_manual.html

書込番号：2213131

のり〜のり　さんお久しぶり、というほどでもないか。

今日やっと時間がとれたので、進展がなければ投稿をと思っていたら・・
結論から。
サポセンの対応で一応解決するものと思いますが、せっかく装備されたSPI
とパケットフィルタリングを無効にしてしまったらMN8300を使用する意味
がないのす。
この設定では安いルータで十分ですよ、CATVの最大速度は規格上どんなに
がんばっても約30Mbpsです。のり〜のりさんの腕一つで、客先のパソコン
にFW機能を付加できるのかどうかが決まるですから、頑張りましょう。

グローバルアドレスに乗り換えるのも一手ですが、CATVのプライベートア
ドレスは、外部からの攻撃に対して簡易FW以上の価値があるんです。反
面、組織内のユーザからの攻撃には弱い一面もあります。

したがって、サポセン対策１は安易に取り除かないようにしてください。
方向が問題で、外向きパケットは原則通過させますが、外から内向きのも
のは禁止しておく必要があります。外向きでもポート137〜139は閉じてお
きます。具体的には、デフォルトのフィルタのうちNo5は使用しないにする
必要がありますが、他は残しておきます（ワンタッチ設定ではできません
ので手動で）
SPIについては対策１を実施してもなお不都合がある場合に、次の対策とし
て実施しても遅くはありません。できれば有効にしたままが望ましいで
す。BRL-04FM（Planex、BA8000Proの兄弟機）でプライベートアドレスでも
SPIが利用できました。

書込番号：2213980

[のり〜のり]

菜楽さん、レスありがとうございます。先日はお世話になりました。

今回の件は整理しますと、

１．外向きパケットは原則通過。外から内向きのものは禁止。
２．外向きでもポート137〜139(NetBIOSが使うポート？)は閉じる。
３．具体的には、デフォルトのフィルタNo1〜No6のうちNo5だけアクションを
　　[非通過]から[通過]に変更する。
　　ワンタッチ設定ではNo1〜No6が一括して[通過]になってしまう？
４．SPIについては対策１を実施してもなお不都合がある場合のみ検討する。

でよろしかたでしょうか。色々試してみます。
大変勉強になりました。ありがとうございます。

書込番号：2216885

のり〜のりさん、こんばんは。
整理されている内容で正解ですね、読みにくい文面ですみません。

改めて提供された情報を読んでみると気になる点がありますので、現地に
行かれたときに確認されたほうがよろしいと思います。

1.DHCPサーバが、192.168.250.13　
　プロバイダがわざわざこのようなアドレスのマシンをDHCPにしているの
でしょうか？。問題ないとは思うのですが、これが災いして接続できない
ようでしたら192.168.0.0/16のフィルタも外す必要があるかもしれません
たとえば、DHCP以外に192.168.0.0/16なるマシンにアクセスする必要があ
る場合などです。
DHCPはIPアドレスでアクセスしないので、何でもいいといえばそうです
が、まったく関係のないアドレスをつけることには賛同しにくいですね。

2.セキュリティログに記録された　10.18.128.1　164.46.128.90
組織内ユーザに172.18.128.0/19以外のユーザがいるのでしょうか。外部か
らのアクセスだと仮定すれば、なぜ直接プライベートアドレスにアクセス
できたのでしょうか。また、164.46.128.90は組織内で利用できるグローバ
ルアドレスでしょうか？

実は、私も先月までプライベートアドレスのCATVユーザでした。
CATVはPPPoEと異なり、回線の切断は不可能（ケーブルモデムは電源を切らないように指示している業者も多いと聞きます）ですから、安全性にはより気を配ってあげてください。

書込番号：2217821

久々きましたが、大変失礼な言い方すると思います
お許し下さい　

まず、繋がるパターン見つけなくてはいけませんよね

サポセン対策１は安易に取り除かないようにしてください。
方向が問題で、外向きパケットは原則通過させますが、外から内向きのも
のは禁止しておく必要があります。

>そうですか・・・もしそれで出来たら教えて下さい。是非に参考にしたいです
>片方向だけで、いいんですよね？

SPIについては対策１を実施してもなお不都合がある場合に、次の対策とし
て実施しても遅くはありません。できれば有効にしたままが望ましいで
す。BRL-04FM（Planex、BA8000Proの兄弟機）でプライベートアドレスでも
SPIが利用できました。

>SPI以前に見るところないです？手がかりないです？
>セキュリティログ見る限り、67,68弾かれているのが気になります
>つうより、それが走ってるんですよね。
>ですよね？ご両人？
>明らかにCATV側（繋ぎ先ですよね？）
>所詮、つなぎ先に依存します。
>逆に、ここまで接続難しいなら、10.のログもあながち・・・とか思いません？
>私の認識が甘いんですよ？
>SPIうんぬんの前に考えるべき事あるのでは？

書込番号：2218203

[のり〜のり]

菜楽さん、見えざる手２さん、こんばんは。

だんだん私の頭の中も混乱の度合いが深まってきた感は否めませんが、
何とかレスしてみたいと思います。

＞1.DHCPサーバが、192.168.250.13

やはりこのIPアドレス上にDHCPサーバがあるのかなと思います。

で、↓このページを読んでみたところ、
http://menter.rightstuff.co.jp/~yasu/DHCP/packets.html
クライアント(今回の場合ルーター自身)がDHCPサーバから割り当てられた
IPアドレスのリリース期間延長を要求する場合に、DHCPサーバのIPアドレスで
やり取りできければクライアントがDHCPDISCOVERパケットを発することで
なんとかなると推測します。

色々試してみて、結果がだめであれば192.168.0.0/16のフィルタも外してみようと
思います。。。


＞2.セキュリティログに記録された　10.18.128.1　164.46.128.90

164.46.128.90は、客先のホームページのアドレスです。(^^;
どこのWebサーバを使っているかは、私は知りません。社内にはないです。

先日の土曜日に色々試していたときに、この客先のホームページだけは
なぜか表示できるという状態になったこともありました。その状態でも
あいかわらずYahooとかMicorosoftとかのホームページは「ページを表示
できません」になっていました。

その時は(今もですけど(^^;)何がなんだか分けがわかりませんでした。


ローカルIPアドレスである10.18.128.1については心当たりがないです。
ただこのIPアドレスは社内のものではないと思います。
現状NT4.0サーバのDHCPサーバサービスを使って社内のパソコンに
192.168.0.100以降のIPアドレスを割り当ててますので。。。


＞ケーブルモデムは電源を切らないように指示している業者も多いと聞きます

そうですね。私もＣＡＴＶのインタネット接続サービスを解約したことが
ありまして、モデムを外したから引取りに来てほしいとＣＡＴＶ会社に
電話したら、「お客様の方で外されてしまいますと、回線にノイズが乗って
しまいますので、こちらから引き取りに伺うまでは接続したままにしておいて
下さい。」と指示された経験があります。


＞片方向だけで、いいんですよね？

すみません。現在の私には見えざる手２さんの激しいツッコミに
お答えする知識がありません(T_T)。


＞セキュリティログ見る限り、67,68弾かれているのが気になります

↓67番ポートと68番ポートについてちょっと調べてみました。
http://www.mediaweb.biz/database/cobalt_tips/cobalt_services.html

67番ポート - BOOTP server
68番ポート - BOOTP client
なんですね。勉強になりました。

ということは、10.18.128.1/67は、プロバイダ側にあるBOOTPサーバ
なのでしょうか？

255.255.255.255については↓ここで調べました。
http://www.tarokawa.net/junkmail/ipadr/
想像してたとおりブロードキャストアドレスですね。

セキュリティログを見ますと、ＩＰフィルタリングで破棄されているのは
送信元がBOOTPサーバ、送信先がブロードキャストアドレスの場合ですので、
プロバイダ側にあるBOOTPサーバが送信してきたパケットをルータが破棄した
という理解でよろしかったでしょうか。。。

書込番号：2220705

見えざる手２さん、ご覧ですか。
ご覧でないのなら反論する必要ないのでしょうが、文面を引用されていますので、一応。

>まず、繋がるパターン見つけなくてはいけませんよね
これについてはその通りですが、そのためにサポセン対策１をまず実施すべきというこ
とでしょうか。
パケットは、自らが発信元となるパケットとそれに対する応答パケットに分けられます。
発信元となるパケットを非通過にすると当然パケットは相手に届きません。ですが、
応答パケットを受け取るために、ポートをあけておく必要はありません。
MN8300でもサーバがない場合
　　　”外部装置から開始されるTCPセッションを遮断 (No.7を使用)”
をチェックしておいてもちゃんと通信できますよ 。
もっとも、以前[2157239]でJimoさんから指摘を受けたように、UDP等の例外がないわけ
でもないんだけれど、ここでは無視しておいても構わないと思うのです。
廉価なルータでは、内向きのパケットに対してはユーザの設定ができません（サーバ
公開用として特定のポートをあける機能はありますが原則全拒否）が、通信はできます。

>セキュリティログ見る限り、67,68弾かれているのが気になります
承知されていると思いますが、67,68はDHCPに用いられるポートですね。
しかし、アドレスの割り当てが必要なのは、ルータであってクライアントではありません。
従って、ポート67,68を拒否するのは正当で、受け入れる必要はないのでは？

>先日の土曜日に色々試していたときに、この客先のホームページだけは
>なぜか表示できるという状態になったこともありました。
まず、プライベートアドレスに対してはパケットは発信不能ですので、DNSによる名前解決
は不能です。よって、www.yahoo.co.jpをIPアドレスに変換できません。しかし、客先サー
バは普段よく利用されるため、パソコンキャッシュに残っていたと言うことは考えられます。
グローバルアドレスへの発信は可能でしたので、名前解決さえできればページの表示は可能
であったということで説明ができます。

最後に接続が難しいのではなく、接続はできています。CATVはLANですので接続自体は至って
簡単です。その証拠にルータにアドレスは割り当てられていますし、DNSも配布されています。
あとは、外向きのパケットを通す処理をするだけでいいと考えております。

のり〜のりさんへ：このような理由でNo2のルールははずす必要なしと考えております。
TCPコネクション確立後のパケットをこのルールが排除するとは考えていないのですが、
コネクション確立後のパケットを通過させるという定義ができない以上、確実とは言い
切れません。万一、機器の仕様上不具合がでる場合に限りNo2のルールをはずしてください。
この状態でもNo.7のルールで必要最小限のフィルタリングはできているはずです。
No3、No6についてはDHCPサーバ以外のマシンが外部にないとすれば、はずす必要はないと
考えます。それどころか、内部にふられている192.168.0.100移行のデータが外部に流出する
おそれがあり、非常に危険です。

余談ですが、客先サーバは、firstserver.co.jpというクボタ系列のレンタルサーバのようです。
最後に、のり〜のりさんの取り組みの熱心さに関心し、同時に私も勉強させて頂いております。
可能な限りのバックアップはしますので、是非開通までこぎつけられることを念願しております。

書込番号：2220906

[Jimo]

非常に曖昧なことを書くので，あくまでも参考程度に読んで欲しい。

うっすらとした記憶では，どこかに「MN8300で奇数長のマスクはうまく
動かない」と言った書き込みがあったような無いような。おぼろげな
記憶か勘違いなので，あまりあてにせずによろしく。

# 念のために探したのだが，見つけられなかったので余計に自信が
# ない・・・

書込番号：2221688

のり〜のりさん、明日結果が出るのですね。
我ながら自分の文章も読み返してみると、理解に苦しむところがありますね。
勢いで書いてしまったところがあって、反省しています。
頭を冷やして冷静にもう少し分析してみました。

>片方向だけで、いいんですよね？
正確には、これは間違いです。応答パケットも受け入れる必要はあります。
しかし、CiscoルータにはConfigの最初にこのように書いています。
access-list 100 permit tcp any IP-Address SubnetMask established
これは、すでにコネクションが確立した通信はポートの如何によらず、無条件に受け
入れ、ルータの負荷を軽減を図るものです。
コンシューマ向けのルータでは、この設定が暗黙の了解のようになっており、このパ
ケットを通すようにあらかじめ設定されていると思っています。（MN8300では、プロ
トコルをTCP,TCP-SYN,TCP-FIN,ICMPに分けており、*を指定した場合、コネクションに
関係なく全パケットを拒否してしまう可能性は残されています）。
つまり、No2のルールを残した場合、コネクションを必要としないUDPによる通信はでき
ないことになります。プロバイダが、UDPによる映像配信などを行っていて、このサービ
スを受けようとする場合にはこのルールははずさなければなりません。

SPIをはずさなければならないかどうかは、流動的です。SPIの詳細は公開されていない
ので、どんなパケットをはじくのかはやってみないとわからないのです。

最後に私の考えた作業手順表です。少しでもお役に立てば幸いです。
１．繋がる状況を作ることができるかどうか確かめるために、サポセン対策１と２を
実施する。
２．この作業で繋がらない場合は、Jimoさんが書かれた不具合によるものかもしれない
のでサポセン対策３を実施する（通信できない環境で、ファームウェアをアップするの
は意外に難しい。あらかじめダウンロードして持参します）。
３．改善しているかどうかを確認し、それでもだめなら再度サポートセンターへ連絡する。
４．上記で接続が確認できたら設定をすべて作業前に戻す。次に下記設定を順に行い、
核に作業を行う（通信できた時点で作業を終了する）。
　　・ルール５をはずし、外向きパケットを通過させる
　　・ルール２ははずし、内向きパケットを通過させる
　　・SPIを無効化する
　　・ルール３、ルール６を順にはずす

書込番号：2223705

[のり〜のり]

今日午前中に客先から１階の受付のパソコンがサーバにつながらなくなった
という電話があり、トラブル対処のため今客先に来ています。

サポセン対策１と２を実施してみましたが、つながらないです(T_T)。
ケーブルモデムとＰＣを直結すればインターネットにはつながりますので
今からファームウェアのバージョンアップを行ってみます。

書込番号：2223757

[のり〜のり]

やったあっっ！！つながりました。

手順としては、

１．ファームウェアをVer. 1.05にバージョンアップした
　　↑これだけではつながらず
２．サポセン対策１の「プライベートアドレスを使用した外部装置との通信を禁止」
　　のチェックを外すを実施
　　↑つながりました。
３．こんどはチェックを入れて設定ボタンをクリック後、「設定を反映しました」
　　を確認
　　↑まだつながります。
４．機器再起動をクリックしルーターを再起動
　　↑つながらなくなりました。

現状こんな感じです。とりあえず進展しました。嬉しいーーーー(^^。

書込番号：2223827

今一度、逆に教えて下さい

どうすれば、繋がったのですか？
参考にしたいので、教えて下さい

理屈はいくらでも、言えます
あえて火に油注ぎますね

書込番号：2224940

見えざる手２さん、ご覧でしたか。
実は、私も結果が知りたくて見に来ました。

最終書き込みを見る限り、サポセンの対策を実施すれば接続できたことは、分かりましたが・・・
・コネクション確立後のパケットはどう扱われたか
・ルール２はどう作用したか
は分からぬままですね。
私は、見えざる手２さんに対して論争を挑みたかったわけではなく、
スレ主が混乱しておられるようなので、解説のつもりで長々書いたわけで、結局のところ知りたい情報は同じなのでしょう。
いずれにしても、一緒にご報告を待ちましょう。

書込番号：2225704