『HGWでPPPoEブリッジオン、WX3600をブリッジモードのとき』のクチコミ掲示板

[さとこ1012]

題名の通りなのですが、詳しくないのでご教示いただけますと嬉しいです。

ひかり電話のHGWを使っていて（V6プラス接続です）設定画面をみてみると「PPPoEブリッジ」がオンになっていました。

そのNTTルーターからWX3600をブリッジモードでつないでいます。

いま調べてみると、PPPoEブリッジ（PPPoEパススルー）は、ルーター機能を介さず？端末に外部から直接つながってしまうとのことで、となるとブリッジモードにしているWX3600やそれ以下につないでるパソコンやスマホ、家電製品などは、ずっと外部に晒されていたということなのでしょうか？

三菱の家電製品を使っていて、去年に脆弱性が報告されて、SSIDやパスワードの強化をしてくださいと指導があったのですが、でもHGWのルーター機能がPPPoEブリッジにしていたら、そもそもセキュリティ的になにも対策できていなかったということなのでしょうか。

オンラインゲームなどはしませんが、家電製品を外から操作します。

ですがPPPoEブリッジをオフにしても、家電製品はいままでと変わらず操作できます。ですのでオフにしたままにして、一通りのSSIDやパスワードを変更しようと思います。

ただわからないのは、上記のとおり、たとえばオンラインゲームの必要などで、HGWでPPPoEブリッジをオンにしていて、WX3600をブリッジモードにしているとき、それがもし筒抜けだったとしたら一体どのようにセキュリティ対策をしたらよいのでしょうか？

書込番号：25213442

[揚げないかつパン]

IPが筒抜けなんてことはないです。

そもそもHGWのPPPoE以下はプライベートIPなので、外部からアクセスできません。
プロバイダからは違うIPを付与していて、それを変換するのがルーターなんですが、HGWにルーター機能を内蔵してるだけです。

要するにHGWにもルーターを持ち、ＷｉＦｉルーターにもルーター機能を足せると、WIFIルーターとHGWの両方がルーティングすることになります。
そうするとWIFIルーターよりも上位のLANには接続できなくなるという話です。

簡単に言えば

�@プロバイダ →(グローバルIPで接続) ＨＧＷ →(プライベートIPに変換) ルータ― →(なにもしない） → 機器
�Aプロバイダ →(グローバルIPで接続) ＨＧＷ →(プライベートIPに変換) ルータ― →(さらに別のセグメントに変更） → 機器

のどちらかを選べるわけです。
また、IPV6 over IPV4で接続してるなら、内部的にはIPV4ですが、外に出る際にはIPV6で接続されます。
プライベートIPの情報はパケットデータの中に入りますので、ヘッダの暗号化が取得解析されない限りは見えません。
※ 当然ですが受け取った側からは見えます。

簡単に言えば、プロバイダのIPや経路IPを通過して先方に届くし、それがないとあなたの機器には何も帰りません。
そもそも、みんな同じプライベートIPを使ってるので（そうしないとIPV6を使ってもIPは枯渇する)中間の経路IPがないとどこへ返していいのか分からないです。
なので、情報についてはプロバイダでもチェックされてます。

書込番号：25213480

[くりりん栗太郎]

＞さとこ1012さん

＞ブリッジモードにしているWX3600やそれ以下につないでるパソコンやスマホ、家電製品などは、
＞ずっと外部に晒されていたということなのでしょうか？

いいえ、違います。基本的に、そんな心配はありません。

PPPoEブリッジ（PPPoEパススルー）は、それを設定しているHGWの配下にある
別ルータ―とかPCとかで、PPPoE設定をするためのものです。
つまり、別ルーターでPPPoE設定をするとか
PCで広帯域接続（PPPoE）の設定をするとか、の場合にのみ必要な設定です。

それら（別ルータ―やPC)で、PPPoE設定をしていないのであれば、何も起こりません。

従って、「PPPoEブリッジをオフにしても、家電製品はいままでと変わらず操作できます。」のです。
また、PPPoEブリッジをオフにしたままでよいし、セキュリティー上で問題になることはないでしょう。

書込番号：25213517

[さとこ1012]

揚げないかつパンさん
くりりん栗太郎さん

さっそくの詳しいお返事ありがとうございます！

＞そもそもHGWのPPPoE以下はプライベートIPなので、外部からアクセスできません。

とのことですが、調べてみると（もちろん私の理解不足ゆえですが・・汗）以下のような記述をよくみかけます。

＞PPPoEパススルー機能はルーターを介さない接続という特徴があります。この機能を利用すると、端末に直接グローバルIPアドレスを取得できます。

つまり、PPPoEブリッジがセキュリティ的に脆弱といわれるのは、端末の方からグローバルIPアドレスを取得するときに、外部に晒されるということになるのでしょうか？

普段はプライベートIPが割り振られているから大丈夫だけども、スマート家電がどのように通信してるのかはわかりませんが、よくいわれる脆弱性というのは、グローバルIPを知られていて、なおかつ、PPPoEブリッジを有効にしているということが知られたときだけということなのかな？？

だけども、そうした悪意ある人というのは、プログラムとかでそうした対象をあぶり出すみたいなこともよく耳にします。

というより、この質問自体がそもそも勘違いなのかもしれないですが、家電製品のようにウィルスソフト的な対策ができないものの場合、SSIDとパスワードを強固にして、あとネットワーク分離などをして、（WX3600がブリッジモードの場合は、HGW自体にアクセスできてしまうことはatermの説明で読みました）

そうした対策しかないのであれば、やはりひかり電話をアナログ戻しにして、HGWを介さず、WX3600をルーター使用にしたほうがいいのかな、とかそんな素人的な発想しか浮かびませんでしたが、

おふたりのお話では、なにも心配することがないようなので安心しました。

書込番号：25213520

[次世代スーパーハイビジョン]

解決したようですけど。

PPPoEブリッジと一般的な言われるブリッジモードは別です。
PPPoEと呼ばれるプロトコル（通信方式）をブリッジ（スルーさせる事です。）
オンに成っていてもPPPoEのみ通過です。

「PPPoEパススルー機能はルーターを介さない接続という特徴があります。この機能を利用すると、端末に直接グローバルIPアドレスを取得できます。」

これも誤解されてますよ。
PCやゲーム端末にPPPoEセッション設定した場合ですよ。
逆に言えばPCや端末にグローバルIPv4アドレスがないと困るからです。
使用する時は必ずPCや端末にパスワード設定はすべきです。共有も制限すべきです。

書込番号：25213645

[さとこ1012]

次世代スーパーハイビジョンさん

ありがとうございます！

そうですね、私がまだまだ理解してない＆勘違いな質問をしていたようです。

ただこうしてみなさんに教えてもらっているなかで、ちょっとした不安が過っているのですが、

以前、ネットワーク分離の使い分けもしらずに、同じひとつのプライマリSSIDだけと、WX3600の直接のLAN端子にデスクトップパソコンを接続していました。

そしてその有線でつないだデスクトップパソコンは会社の会計用のソフトが入っていて、あるとき会計の先生がリモートでうちのデスクトップにつないだことがありました。

こちら側の会計ソフト上で出力される共有パスワードみたいなのを伝えて、リモートコントロールしたような感じだったんですが。

これってやはり危険なんでしょうか？

たとえばその会計ソフトが終了しても、なんらかの方法でデスクトップパソコン内やローカル内の端末を探ってしまえるみたいな？

またこうした機能はやはり、HGWでPPPoEブリッジをオンにしているからこそ、可能になったのでしょうか？

たびたび質問ばかりですみません。

書込番号：25213687

[次世代スーパーハイビジョン]

＞HGWでPPPoEブリッジをオンにしているからこそ、可能になったのでしょうか？

関係ありません。

＞こちら側の会計ソフト上で出力される共有パスワードみたいなのを伝えて、リモートコントロールしたような感じだったんですが。

＞これってやはり危険なんでしょうか？」

会計ソフトの仕様がどうなっているか詳細は知りませんが共有する必要がなければ無効にされる事です。


＞たとえばその会計ソフトが終了しても、なんらかの方法でデスクトップパソコン内やローカル内の端末を探ってしまえるみたいな？
ファイル共有設定がされてなければ不可能だと思います。

書込番号：25213738