IPSecのVPNにおけるポートフィルタリング

質問

お世話になります。
以下、質問させてください。

現在、２拠点間で、ヤマハルーター、RTX1100により、IPSecのVPN接続を行っております。
回線はBフレッツ、プロバイダはOCNです。
固定IPアドレスを取得して、インターネット接続では、IPマスカレードを使用しております。

セキュリティを強化するために、不要なポートを可能な限り、さらに閉じたいと思っておりますが、
閉じすぎてしまいますと、正常な通信が、出来なくなってしまいますので、
どのポートを閉じることが出来るかを、検討しております。

WELLKNOWNポート（０～１０２３）については、使用するポート（DNSサーバーの53、WEBの80、443、IPSecの５００、等）以外のポートは、すべて閉じます。また、使用するポートも、IPアドレスによる制御をかけます。

登録済ポート（１０２４～４９１５１）、自由使用ポート（４９１５２～６５５３５）については、特に狙われやすいポートを閉じ、他は、開けてあります。ただし、外部からのアクセスはIPアドレスにより拒否、内部から外部のDNSサーバー、WEBサイトへのアクセスの返答は、通過させるようにしております。

ここで、ご質問させてください。

まず、内部LANから、外部インターネットに接続する場合についてです。

内部LANの端末から、DNSサーバーの５３番ポートへの送信、
DNSサーバーの５３番ポートから、内部LANの端末への受信、を許可していますが、
その際に、こちら側のポートは、１０２４番以降のポート番号が、「任意」に割り当てられる、と、文書で読みました。
このため、１０２４番以降で、閉じているポートが、たまたま割り当てられてしまった場合は、正常な通信が出来なくなってしまいます。

この「任意」には、何らかのルールがありますでしょうか。
例えば、１０２４番から順番に割り当てられるのだとしたら、内部LANの端末数が１００くらいで、また、すべての端末が同時にインターネットを使用する可能性は低いので、１０２４～１１２４ぐらいまでは、開けておき、１１２５～６５５３５は、閉じておきたい、と思います。

外部WEBサイトに接続する場合、やはり、送信側の「任意の」ポートから、外部WEBサイトの８０、４４３ポートに、パケットが送られ、そこから、ESTABLISHEDパケットが、送信側の８０、４４３ポートを通じて（この認識も正しいかどうか、確証がありません）戻ってきて、３WAYハンドシェイクにより、接続が成立する、と理解しております。

この際の「任意」にも、何らかのルールがありますでしょうか。

ルーターRTX１１００のマニュアルを観ますと、IPマスカレードを使っている場合、デフォルトでは、６００００～６４０９５が割り当てられる、と書いてあるのですが、通信ログを観ますと、１０２４番以降の比較的若い番号も、使われているようでして。

もし、このマニュアルの記述が正しいならば、１０２４～５９９９９、６４０９６～６５５３５は、閉じてしまいたいとも、思うのですが。

次に、IPSecについてです。

調べますと、IPSecの共通鍵（IKE）交換は、両拠点の５００番ポート同士で行われる、ということなのですが、それでは、両拠点間の通信は、すべて、この５００番ポート同士のみで、行われるということになりますでしょうか。それとも、１０２４番以降のポートも、やはり、使われる可能性がありますでしょうか。

例えば、片方の拠点のLANにある、データベースサーバー（プライベートIPアドレス、MicrosoftSQLサーバー）を、もう片方の拠点のLANでも、参照、使用しております。

ポートフィルタリングで、SQLServerが使用する、１４３３、１４３４番ポートも、閉じているのですが、２拠点間の通信は、正常に行うことが出来ております。

以上、２つ、お伺いさせて頂きます。

どうぞよろしくお願い致します。

回答No.2

maesen

＞この「任意」には、何らかのルールがありますでしょうか。
＞例えば、１０２４番から順番に割り当てられるのだとしたら、内部LANの端末数が１００くらいで、また、すべての端末が同時にインターネットを使用する可能性は低いので、１０２４～１１２４ぐらいまでは、開けておき、１１２５～６５５３５は、閉じておきたい、と思います。

任意についてはOSの実装によるので決まりは無いと考えたほうがいいと思います。

ちょっと勘違いがあるように思いますが、任意のポートはPCごとに実装に従い決まるので端末台数には依存しません。
例えば
PC-A ポート1024
PC-B ポート1024
PC-C ポート1024
という場合もあります。
また、任意のポートはPCが一つのポートを使い続けるのではありません。
1つ目の通信は1024、2つ目の通信は1025というように変化していきます。
だから、一台のPCだけでも1024から使用した場合でも1125を超えるポートを使用することはあります。

＞外部WEBサイトに接続する場合、やはり、送信側の「任意の」ポートから、外部WEBサイトの８０、４４３ポートに、パケットが送られ、そこから、ESTABLISHEDパケットが、送信側の８０、４４３ポートを通じて（この認識も正しいかどうか、確証がありません）戻ってきて、３WAYハンドシェイクにより、接続が成立する、と理解しております。
＞この際の「任意」にも、何らかのルールがありますでしょうか。

通信がTCPとUDPの違いがありますが、こちらの任意も上記と同じです。

＞ルーターRTX１１００のマニュアルを観ますと、IPマスカレードを使っている場合、デフォルトでは、６００００～６４０９５が割り当てられる、と書いてあるのですが、通信ログを観ますと、１０２４番以降の比較的若い番号も、使われているようでして。

IPマスカレードなのでルータから外に出るときにポート番号を変換するので、変換される元がログに載っているだけです。
実際に変換された後のポート番号（60000～64095）の通信が見たければWAN側の通信をキャプチャするなりしないと見えません
ルータ上でどのポートに変換されているか見るならば、NATエントリのステータス情報を見ればわかると思います。

＞例えば、片方の拠点のLANにある、データベースサーバー（プライベートIPアドレス、MicrosoftSQLサーバー）を、もう片方の拠点のLANでも、参照、使用しております。

これはVPN内の話ではないかな。
tunnelインターフェースにフィルタをしていなければ通信は通るでしょう。

全体的な話としてフィルタがどこでどのように適用されるかが不明確なように思います。
Yamahaルータのホームページにそれらの説明がありますので確認してはいかがでしょうか。

また、静的フィルタだけで考えられているような感じなので、動的フィルタの使用も考えたほうが設定がすっきりするように思います。

お礼

maesen様

ありがとうございます＾＾。

＞任意についてはOSの実装によるので決まりは無いと考えたほうがいいと思います。

そうなのですね。

＞ちょっと勘違いがあるように思いますが、任意のポートはPCごとに実装に従い決まるので端末台数には依存しませ＞ん。
＞例えば
＞PC-A ポート1024
＞PC-B ポート1024
＞PC-C ポート1024
＞という場合もあります。
＞また、任意のポートはPCが一つのポートを使い続けるのではありません。
＞1つ目の通信は1024、2つ目の通信は1025というように変化していきます。
＞だから、一台のPCだけでも1024から使用した場合でも1125を超えるポートを使用することはあります。

よく分かりました。

＞通信がTCPとUDPの違いがありますが、こちらの任意も上記と同じです。

承知しました。

＞ルーターRTX１１００のマニュアルを観ますと、IPマスカレードを使っている場合、デフォルトでは、６００００～６４０９５が割り当てられる、と書いてあるのですが、通信ログを観ますと、１０２４番以降の比較的若い番号も、使われているようでして。

＞IPマスカレードなのでルータから外に出るときにポート番号を変換するので、変換される元がログに載っているだ＞けです。
＞実際に変換された後のポート番号（60000～64095）の通信が見たければWAN側の通信をキャプチャするなりしな＞いと見えません
＞ルータ上でどのポートに変換されているか見るならば、NATエントリのステータス情報を見ればわかると思います。

ありがとうございます。

＞これはVPN内の話ではないかな。
＞tunnelインターフェースにフィルタをしていなければ通信は通るでしょう。

ありがとうございます。

＞全体的な話としてフィルタがどこでどのように適用されるかが不明確なように思います。
＞Yamahaルータのホームページにそれらの説明がありますので確認してはいかがでしょうか。
＞また、静的フィルタだけで考えられているような感じなので、動的フィルタの使用も考えたほうが設定がすっきり＞するように思います。

フィルタの場所、動的フィルタについて、理解が深くありませんでした。
この点をよく調べてみます。

ありがとうございました＾＾。

回答No.1

hirasaku

こんにちは。 hirasaku です。

誰も、レスがなかったもので。。。

まず、
フィルタをかける場所と方向によって動きが変わります。

例えば、
＞このため、１０２４番以降で、閉じているポートが、たまたま割り当てられてしまった場合は、正常な通信が出来なくなってしまいます。
これはどのインターフェースにどの方向にかけた場合のことを言ってますか？

＞この「任意」には、何らかのルールがありますでしょうか
ないのでは。
OSに乗っかっているアプリケーションが使っていないポートをランダム（規則性がない）に割り当てるので。

＞外部WEBサイトに接続する場合、やはり、送信側の「任意の」ポートから、外部WEBサイトの８０、４４３ポートに、パケットが送られ、そこから、ESTABLISHEDパケットが　・・・・・
これは、送信元クライアントが５０００１ポート使ってあて先Webサーバ８０ポートにアクセスした場合、サーバーからの返しの通信は、送信元８０ポート、あて先５０００１に返す動きだと思うが。

＞ルーターRTX１１００のマニュアルを観ますと、IPマスカレードを使っている場合、デフォルトでは、６００００～６４０９５が割り当てられる　・・・・・
これは、LAN側端末が５０００１ポートを掴んでも、WAN側にIPカスカレードした場合WAN側で使うためのポート変換範囲。

＞もし、このマニュアルの記述が正しいならば、１０２４～５９９９９、６４０９６～６５５３５は、閉じてしまいたいとも、思うのですが。
これも、どのインターフェースのどの方向で閉じようと考えているのでしょうか？
例えば、
PPインターフェースのOUT側に
送信元アドレス、LAN側IP：ポート１０２４～５９９９９　あて先アドレス、すべて
などというフィルタですかね？

＞調べますと、IPSecの共通鍵（IKE）交換は、両拠点の５００番ポート同士で行われる　・・・・・
拠点間の通信路を確保と考えたほうがいいかも。
実際はトンネルの中を実データ（アプリケーションとのやり取り）をカプセル化して通して、トンネル抜けたときに普通のデータに戻ると考えればイメージわくでしょうか？
なので、拠点間SQLとの通信はできるということで。

＞ポートフィルタリングで、SQLServerが使用する、１４３３、１４３４番ポートも、閉じているのですが　・・・・・
これもどこのインターフェースのどの方向を塞いでいるのでしょうか？

ということで。

お礼

hirasakuさま

ありがとうございます＾＾。

ポートフィルタリングのインターフェースにつきましては、すべて、PCの外～ルーターの範囲ではなく、ルーターから外部へ、外部からルーターへの部分でのフィルタで、双方向です。

＞OSに乗っかっているアプリケーションが使っていないポートをランダム（規則性がない）に割り当てる。

PCにおけるOSは、そのような動きを行うのですね。

＞送信元クライアントが５０００１ポート使ってあて先Webサーバ８０ポートにアクセスした場合、サーバーからの返しの通信は、送信元８０ポート、あて先５０００１に返す動きだと思う。

ありがとうございます。

＞LAN側端末が５０００１ポートを掴んでも、WAN側にIPカスカレードした場合WAN側で使うためのポート変換範囲。

そういうことですね。

＞もし、このマニュアルの記述が正しいならば、１０２４～５９９９９、６４０９６～６５５３５は、閉じてしまい＞たいとも、思うのですが。
＞これも、どのインターフェースのどの方向で閉じようと考えているのでしょうか？

これも、WAN側の双方向です。

＞調べますと、IPSecの共通鍵（IKE）交換は、両拠点の５００番ポート同士で行われる　・・・・・
＞拠点間の通信路を確保と考えたほうがいいかも。
＞実際はトンネルの中を実データ（アプリケーションとのやり取り）をカプセル化して通して、トンネル抜けたとき＞に普通のデータに戻ると考えればイメージわくでしょうか？
＞なので、拠点間SQLとの通信はできるということで。

ありがとうございます。

＞ポートフィルタリングで、SQLServerが使用する、１４３３、１４３４番ポートも、閉じているのですが
＞　・・・・・
＞これもどこのインターフェースのどの方向を塞いでいるのでしょうか？

これも、WAN側の双方向でした。

ポートにも、PC（LAN端末）のインターフェース、WANのインターフェースがある、ということですね。
ここを、区別して、考えてみます。
ありがとうございます＾＾。