『ファイアウォールのHTTPSフォワーディング』のクチコミ掲示板

[JustTheWayYouAre]

自宅でHTTPSサーバを構築したのですが、本ルータのファイアウォールが外部からのHTTPS(ポート443)を遮断してしまいます。ルータのログから特定しました。LAN内部では、HTTPSサーバに接続可能です。
ファイアウォールをオフにしても遮断されてしまうのですが、何か他に設定があるのでしょうか？
ご存知の方いらっしゃいましたらご教示の程よろしくお願いいたします。

書込番号：16821306　スマートフォンサイトからの書き込み

[羅城門の鬼]

WHR-G300N の設定画面の「ポート変換」でHTTPS(ポート443)を開放してみて下さい。
詳しくは下記参照。
http://www.akakagemaru.info/port/meruko/300.html

もしもWHR-G300N の上位側にもルータがあって二重ルータになっている場合は、
上位側のルータもポート開放してWHR-G300N に転送。

書込番号：16821420

[JustTheWayYouAre]

ご教示ありがとうございます。
現状は対象サーバをDMZに指定してますが、追加でポートフォワードしてみます。

書込番号：16821427　スマートフォンサイトからの書き込み

[ムアディブ]

家庭では基本的にNATだから、ポートフォワードの設定なしに、外から見えるサーバは作れないと思いますけど。

遮断してるのではなく、IPアンリーチブルです。

書込番号：16821535

[JustTheWayYouAre]

対象サーバはDMZに指定しており、SSH,HTTPやその他ポートには接続できるのです。CentOSを利用しており、サーバ側のファイアウォールとSELinuxは無効にした状態でも接続できず、Apacheのアクセスログも出力されませんでした。
そこで本ルータのログを確認したところ、FIREWALLのカテゴリでHTTPSをブロックした旨のメッセージが出力されていました。本ルータのファイアウォールを無効にしても、なお上述のメッセージが出力されますので質問させていただきました。

書込番号：16821587　スマートフォンサイトからの書き込み

[JustTheWayYouAre]

なお、本ルータが404 NotFoundを返答します。

書込番号：16821591　スマートフォンサイトからの書き込み

[am01125]

＞本ルータが404 NotFoundを返答

何をしたときにですか？　常にというわけではないようですが。

書込番号：16821908

[JustTheWayYouAre]

DMZに指定したサーバへブラウザからポート443で接続要求した時です。ポート80は接続可能です。

書込番号：16821931　スマートフォンサイトからの書き込み

[Hippo-crates]

家庭用ルーターだから自動的にSecure要求をハネてると思われる。
鯖立てるんだったらヤマハあたりにしとけば。

書込番号：16822549

[JustTheWayYouAre]

> 家庭用ルーターだから自動的にSecure要求をハネてると思われる。

この仕様は家庭用ルータでは一般的なものなのでしょうか？
また、443だけ弾くとしたらどういった脅威に対する処置なのかご教示いただけますと幸いです。

書込番号：16822720　スマートフォンサイトからの書き込み

[LsLover]

『この仕様は家庭用ルータでは一般的なものなのでしょうか？』一般的かと思われます。メーカによっては、出荷時設定されているフィルタリング内容を表示/編集できるようですが、一般的にはこれらの表示/編集できないようです。

問題が顕在化していないようですが、ブロードバンドルータでは、NetBIOS関連のサービスポート（135〜139と445番）をしゃ断（フィルタリング）しているようです。また、HTTP（80番）やHTTPS（443番）などもしゃ断（フィルタリング）しているようです。

ただし、HTTP（80番）についてはWeb設定画面にアクセスするため、しゃ断（フィルタリング）していないと思われます。WAN側からのHTTP（80番）のアクセスを遮断すればよいのですが、設定を簡略化するためしゃ断（フィルタリング）していないと思われます。

『対象サーバはDMZに指定しており、SSH,HTTPやその他ポートには接続できるのです。』ということですが、DMZに登録していれば、フィルタリングされないのが一般的かと思います。

『現状は対象サーバをDMZに指定してますが、追加でポートフォワードしてみます。』ということのようですが、DMZに登録していれば、ポート開放（ポートフォワーディング）の設定は不要かと思います。

書込番号：16824820

[JustTheWayYouAre]

ご返答ありがとうございます。
DMZでさらにポートフォワードは、本来であれば不必要ではありますが物は試しでやってみたところ結果は変わらず404 NotFoundになってしまいました。
本ルータのファイアウォール機能でNetBIOSの外部ルーティング拒否の項目はあるのですが、HTTPSは見当たりませんね。HTTPSだけ暗黙的に遮断されるのは家庭用機器の一般的な仕様ということひとまず諦めます。
お付き合いいただきありがとうございました。
※YAMAHAのRTX1000という古いルータが手に入りそうなので、そちらに切り替え予定です。本ルータはルータを引退し、アクセポイントとして活用しようかと。

書込番号：16824917　スマートフォンサイトからの書き込み

[きたの国から]

JustTheWayYouAreさん こんにちは。
最終レスから日時が経過しているので既に自己解決しているかもしれませんが、記載させて頂きました。

本製品は「DD-WRT」に対応ファームがありますから入れ替えてみるのも一案です。
http://www.dd-wrt.com/site/support/router-database

「DD-WRT」はGUIも充実していますが、多くのCUIコマンドやスクリプトにも対応しているので
（CentOSを管理されているとのことですから）むしろとっつきやすいと思います。

一種の改造になるので、すべてにおいて自己責任になりますが、（特に無線電波まわり。）
市販品の機能制限をうけないのは、今回件においては大きなアドバンテージかと。

書込番号：16866535

[JustTheWayYouAre]

情報提供ありがとうございます。

実はすでにdd-wrt化しておりました。
dd-wrtでも同様の事象に悩まされたのですが、Windows端末で実行していたMediaPlayerのライブラリ共有サービスが原因でした。
問題のサービスがUPnPでポート443を利用しているのがdd-wrtの管理画面で発覚し、サービスを停止したところCentOSへポートフォワードされるようになりました。

純正ファームでも問題がなかった可能性が高いです。もっともdd-wrt化したおかげで原因が判明したわけですが。VPNサーバを内蔵している点とDNSMasqによる簡易DNSサーバが重宝しています。

書込番号：16867801　スマートフォンサイトからの書き込み

[きたの国から]

JustTheWayYouAreさん　こんにちは。

>Windows端末で実行していたMediaPlayerのライブラリ共有サービスが原因でした。
>問題のサービスがUPnPでポート443を利用しているのがdd-wrtの管理画面で発覚し、
>サービスを停止したところCentOSへポートフォワードされるようになりました。

なるほど！そういうことでしたか！これはまったく知りませんでした。
パケットキャプチャー等でじっくりみないと通常はわからないですね。
結果的に「DD-WRT」化で原因の追求に近づけたようで何よりです。

（JustTheWayYouAreさん同様、）当方も「DD-WRT」化したBuffaloルータを複数利用して重宝しています。
中々どうして便利ですよね。

以下蛇足になりますが、当方は「DD-WRT」で
・（ポートフォワーディング用に）SSHサーバーを動かしたり、
・（PPTP-VPNよりもセキュアな）OpenVPNサーバーを動かしり、
・（複数ある別のサブネットに）Wake on LANサーバーとして利用したり。

駄文失礼致しました。

書込番号：16869292