『ファイアウォールのルールについて』のクチコミ掲示板

[Emergency Medical Hologram]

NECのAterm(家庭用無線ルーター)からこの機種に買い換えました。
今のところはVPNではなく普通の有線ルーターとして使っています。

ファイアウォールのルールがデフォルトで何も登録されていないのが、気になっています。
NECのAtermなどは、デフォルトでいろいろなルールが登録されていたのですが、
業務用(この機種は業務用?)のルーターは、こういうものなんでしょうか。

自分で一から追加するしかないとしたら、今までAterm等のデフォルトのまま使っていたので、
同じようなルール設定ができるような、おすすめの設定を記述したサイトはないでしょうか。

Atermは現在APモードにして運用を始めたため、設定画面にもルーターモード時にあったような
ルールがなく、Atermのルールを参考にすることもできない状態です。
(ルーターモードに戻してルールをメモした後に再度APモードにすればいいのでしょうが大変で…)

書込番号：17197681

[Hippo-crates]

”業務用ルーター”と呼ぶにはかなり貧弱な内容、家庭用ルーターにIPSecとコマンドライン設定をつけた程度のもの。
コマンドラインで設定するには別売りコンソールケーブルが必要。
http://buffalo.jp/product/wired-lan/switch/bs-con/
コマンドリファレンスや事例集もあるから自分でやりたいことをコマンドに置き換えればいい。
http://d.buffalo.jp/vr-s1000/?type=manual&dst=JP
ただ理解せず意味不明なまま設定すればネットやLANで思わぬトラブルが起きることになる。
従来からあるWeb画面でも基本設定はできる。

書込番号：17197727

[ムアディブ]

企業向けだと余計なお世話機能は乗っけてないでしょうね。

>ファイアウォールのルールがデフォルトで何も登録されていないのが、気になっています。

NATがあって、インバウンドは全部禁止になってるようですけど?

細かく設定できないルータのようなので、多分これでひととおりの防御にはなってると思います。

まぁ、普通はこれに加えてアウトバウンドを絞るとか変なアクティビティはログに残すとかあると思うけど、絞って意味があるのかはまた別の話。

書込番号：17198180

[羅城門の鬼]

WAN側からのパケットは基本的にはフィルタリングされているでしょうから、
LAN側からのパケットについて以下を参照して追加してみてはどうですか。
http://itpro.nikkeibp.co.jp/members/NBY/ITARTICLE/20040304/1/

ちなみにとあるモバイルルータの設定例はこちら。
http://www.mrl.co.jp/download/manual-online/gm1/manual/docs/7-1.htm

書込番号：17198661

[sorio-2215]

　この製品、LANﾎﾟｰﾄからのTelnetﾛｸﾞｲﾝ出来ないﾀｲﾌﾟですね。（使えない！）
　VPNﾈｯﾄﾜｰｸ対応と言いつつ、IPﾌｨﾙﾀ設定がWebからですと、ﾌｧｲｱｰｳｫｰﾙﾀﾌﾞから方向別に投入していくﾀｲﾌﾟですね。Yamahaﾙｰﾀｰと同一感覚で言えば、LAN-out許可規則にてPOP/SMTP/FTP/WWW/domainを登録し、TCP・UDP137-139/445/21ﾎﾟｰﾄについては遮断、WAN-in遮断規則にて、TCP・UDP135/137-139/445/21ﾎﾟｰﾄを指定、icmp/IDENTﾊﾟｹｯﾄは許可する様にして頂く事が基本です。
　後は、他の方の仰る指定ﾎﾟｰﾄをWAN-in側の遮断設定すればOKかと。
　中途半端な機種ですね。
　
　

書込番号：17198894

[Emergency Medical Hologram]

皆さん、ありがとうございます。

デフォルトポリシーがインバウンド拒否、アウトバウンド許可になっていたので、アウトバウンドでWindowsファイル共有関連のパケットを遮断すればいいのかな程度に思っていました。ムアディブさんによればそれも意味があるかどうかということですね。

Hippo-cratesさん、ありがとうございます。設定事例集も見ましたが載ってませんでした。そもそも自分がやりたいことが「既存の家庭用ルーターにデフォルトであるようなルールを追加したい」という曖昧なものでしたので…。

羅城門の鬼さんやsorio-2215さんの情報を総合して、LAN→WAN TCP+UDP 135,137,138,139,445 を常に拒否の設定は少なくともしておこうと思います。
しかしまずカスタムサービスで名前を登録してからその名前をファイアウォールルールに登録するというやり方は少し回りくどいですね。TCPとUDPをまとめて登録できないみたいですし。

時間があればAtermを初期化してみて、そのルールがどうなっているか見てみようと思います。
ありがとうございました。

書込番号：17199280

[sorio-2215]

　IPﾌｨﾙﾀ-の基本記述については、Yamahaﾙｰﾀｰのｾｷｭﾘﾃｨﾚﾍﾞﾙ7のｺﾏﾝﾄﾞ設定例が参考になりませんか？
　参考例・・「http://www.rtpro.yamaha.co.jp/RTA54i/ScreenShot/40310/security-level7.html」、「http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/network-security-filter.html」
　それと、ﾄﾛｲの木馬などの利用ﾎﾟｰﾄ番号を破棄しておけば良いかと。・・WAN-in拒否
　参考ﾎﾟｰﾄ番号・・「http://www8.ocn.ne.jp/~vanish2/nettune/security.html」、「http://www.redout.net/data/trojan.html」
　

　

書込番号：17199408

[Emergency Medical Hologram]

sorio-2215さん、ありがとうとうございます。

少し難しそうですが、参考にさせていただきます。

書込番号：17201007