インターネット接続させないLAN環境

質問

インターネット接続からあえて切り離している環境のLANがあります。

メールもwindowsアップデートもしていません。ローカルのLAN内のみに、サーバ1台、クライアント2台のみです。

ここで疑問なんですが

"インターネット接続していない"と説明しましたが、サポートセンターからのリモート接続は出来ているのです。

出口のルータと『インターネット接続してないLAN』との間にもうひとつルータ

これ
↓
http://buffalo.jp/products/catalog/item/b/bbr-4hg/index.html?p=spec

があります。

このルータがどんな仕組みでどんな設定なのかわかりません。
※サーバやクライアントは固定IP
※デフォルトゲートウェイとDNSサーバアドレスもこのルーターのアドレス。
※このルーターの設定内容は不明。

■質問■
1.どんな仕組みで、『インターネット接続させない』と『リモート接続』を両立しているのでしょうか？

2.そもそも、大事なデータが入ったサーバなのにこのような低価格のルータでネットワーク制御する事自体、一般的なのでしょうか？

よろしくお願いします。

回答No.3

qualheart · ベストアンサー

＞1.どんな仕組みで、『インターネット接続させない』と『リモート接続』を両立しているのでしょうか？

サポートセンターというのが何のサポートセンターなのか分かりませんが、専用回線を使用しているんじゃないでしょうか？
サービスによっては、インターネットとは別の専用回線を利用している場合があります。また、そのような専用回線を提供するビジネスも存在します。
その回線自体がインターネットには繋がっていないわけですから、インターネットからの接続は一切できないことになります。

ただ、ご質問者様の言っている『インターネット接続させない』が単純にブラウザでインターネットが見れないということを言っているのだとすると、確かにルータでポート80番を閉じればブラウザでインターネットは見れなくなります。
ただし、これは別にHTTP通信を遮断しているだけで、その他のポートを使うプロトコルではインターネットからの接続が可能な状態になります。HTTPだけを遮断してもセキュリティ的にあまり意味はないですから、個人的にはルーターでポートを閉じているのではなく、やはり専用回線を使用しているのではないかなと思いますね。

＞2.そもそも、大事なデータが入ったサーバなのにこのような低価格のルータでネットワーク制御する事自体、一般的なのでしょうか？

ルーターの機能は、どれでも似たり寄ったりです。
低価格なのは、単純に通信速度が遅いからです。今は1000BASE-Tのルータが一般的ですからね。100BASE-TXまでしか対応していなければ、安くて当然ですね。
たぶん、通信するデータの量がそれほど多くなく、また不特定多数のアクセスがあるわけでもないので、低スペック通信容量のルーターを使用しているんでしょう。

ご参考まで。

お礼

回答ありがとうございました。

ネットの概念がいまいちわかっていません。

参考になりました。

ありがとうございました。

回答No.7

chie65535

＞上記の「SPI機能」とありますが、これのことでしょうか？

ＳＰＩは「過去にこういうパケットが流れてたので、今はこういうパケットしか流れない筈だから、例えルーターを通過するのが許可された種類のパケットであっても、不正アクセスとして弾いてしまおう」と言う機能です。

つまり「横から変な不正パケットが割り込んで来てクライアントPCが不正パケットに応答してしまうのを防ぐ機能」です。

この機能が設定されていても、ＵＳＢメモリ等から不正プログラムに感染してしまうと、不正プログラムそのものが「正規の手順で通信をしてしまう」のでSPI機能では弾く事ができず、不正な通信を防げません。

一方「この種類のパケットが、特定の方向に流れるのを常に堰き止める」のを「静的パケットフィルタリング」と言い、たいていのルーターに備わった機能です。

BBR-4HGの「静的パケットフィルタリング」についてのマニュアルは以下のページの「パケットフィルター」の所。
http://buffalo.jp/download/manual/html/bro180/manual/router/f_list/l_bbr4hg-3.html

もし、不正プログラムが「正規の手順で通信をして情報を漏洩させようとした」としても、その通信に使われるパケットの種類（プロトコル）が「ルーターを通れない種類」だと、ルーターで堰き止められる事になります。

SPIと静的パケットフィルタリングはパケットの堰き止め方が異なるので、SPIだけでは不十分ですし、静的パケットフィルタリングだけでも不十分です。

とはいえ、静的パケットフィルタリングしか搭載していないルーターとかもあり、SPI機能が載ってても機能オフしてあったりするのが現状です。

お礼

回答ありがとうございました。

私にも詳しくわかるように説明していただいたおかげでだいぶ理解できました。
わからないところは参考ＵＲＬで勉強したいとおもいます。

回答No.6

FEX2053

#1です。SPIってこいつね。
http://plusd.itmedia.co.jp/broadband/0305/16/lp13.html

要は「ポートを閉じる」の「頭のいい奴」ですから、
やってることは外見上「ポートを閉じる」と同じです。

ただしこいつは「通信データ全体を見て、なんかヤバ
そうだな～・・・と思ったらポートを閉じてしまう」という
動きをします。ですので、セキュリティには役立ちます
が、特定のPCのインターネット接続全体を切ってしまう、
という動きが狙いじゃないです。

お礼

回答ありがとうございました。

ＳＰＩの機能がわかった気がします。

回答No.5

FEX2053

#1です。

＞具体的にどのようにするのでしょうか？

固定IPアドレスなのですから、そのアドレスからの信号を
宛先をチェックしてルータで弾いてやればいいんです。

リモートをする場合のクライアントからの宛先は固定です
から、リモート先だけは素直に通せばいいわけで。

こちらも「繋がらない物を繋げるためのチェック項目」の記述
ですが、この反対のコトをすればいい、って話です。
http://www.atmarkit.co.jp/fnetwork/netcom/netcom01/netcom01.html

あと、こちらも参考になるかな？
２台ある場合、DMZ域を構成してる可能性もありますし。
http://sakaguch.com/Router.html

インターネット接続は、殆どの家庭用ルータは自動的に作業
するために「簡単にやっている」ように見えますが、業務用の
汎用ルータだと、設定はエラく大変で非常にめんどうな処理の
末につながって居るんです。

ですので、「一部のPCだけ繋がらないようにする」手段は、
汎用ルータ利用で、どこかにサーバーがあるコトが前提だと
色々な方法が考えられるんですよ。特に「専門家」が絡む
企業用ネットワークだと、セキュリティを考えて信号を追跡
できるようにしますので、話はもっと複雑になります。

お礼

回答ありがとうございます。

大変勉強になりました。

回答No.4

chie65535

＞1.

ルーターには「パケットフィルタ機能」ってのがあります。

これは「この種類のパケットだけ通して、この種類のパケットは通さないで堰き止める」と言う機能です。

パケットには「インターネットには、この種類のパケットを使う」とか「メールの送信には、この種類のパケットを使う」とか「メールの受信には、この種類のパケットを使う」とか、種類が色々と決まっています。

なので、ルーターで「中からのパケットは一切何も通すな。外からのパケットはリモート接続用のパケットだけを通して他は通すな」って設定してしまうと、このルーターの下にあるマシンは「外からのリモート接続」しか出来なくなります。中からは何も出来ません。

＞2.

普通です。

セキュリティを気にする所であれば、ルータの外側にファイヤウォール装置を設置したりしますが、インターネットにアクセス出来ない状態なら、必要ないでしょう。

そんな事を気にするより、毎日定時に自動パックアップをするシステムを組むとか、RAIDを組むなどしてHDD故障に備えるとか、サーバ自身がいつ壊れても大丈夫なようにする事を気にした方が良いです。

特に、サーバのHDDは５年くらいしか保たない「消耗品」ですから、５年経つ前に交換するか、壊れる前にバックアップしましょう。

あと、セキュリティで問題になるのは「クライアントPCに、気安く私物のUSBメモリを挿して、USBメモリ経由でウィルス汚染する」ってパターン。

ルータやファイヤウォール装置で堰き止めても、USBメモリから直に感染されると防げません。

補足

回答ありがとうございます。
バッファローのルーターの機能一覧に

http://buffalo.jp/php/lqa.php?id=BUFF139

上記の「SPI機能」とありますが、これのことでしょうか？

回答No.2

FCR-ZERO

１についてのみの回答ですが、

物理的にはインターネットには接続されているのだと思います。
ただ、通常インターネットのサイトを見る為に必要なhttp用のポート、80や8080を閉めてあるということだと思います。

もしくはダイアルアップなどで直接接続している可能性もありますが。
であれな、２も問題ないと思います。

お礼

回答ありがとうございました。

回答No.1

FEX2053

はい。

別に低価格のルータでも「ポート80を閉じる」とhttpプロトコルの
データが飛んでこないので、ブラウザが見れなくなります。
メールなども特定の「ポート」を使って通信してますので、
「ポート」を閉じれば問題なしです。

で、ですね。リモート接続するときに、この「閉じたポート」以外の
ポートを使えばオッケー、という話なんですね。

ポートを閉じる以外にも、この手のルータに「ルーティングをさせ
ない」という方法もありますが、そっちはどっちかと言うと面倒
なので、多分「ポートを閉じている」だけじゃないかと思います。

「閉じる」じゃなくて「開く」方法ですが、以下が参考になるかも。
http://www.jitaku-server.net/domain_router_port.html

補足

回答ありがとうございます。

＞ポートを閉じる以外にも、この手のルータに「ルーティングをさせ
ない」という方法もありますが、

とありますが、具体的にどのようにするのでしょうか？

後学の為に知っておきたいです。