許可していないパケットにルータを超えられてしまう?

質問

OSはW2ksp4,パーソナルファイアウォールはoutpost free 1.0,ルータはYAMAHART54iです。
outpostにはAttack Detectionという機能があって、不正なパケットを検知してくれます。
その機能のログによると、インターネット上の別のPCからこちらのPCの3336番ポートや3239番ポートへTCPのポートスキャンを受けていました。
ログの形式は、
日付、攻撃タイプ、IPアドレス、ポートスキャンの詳細
という項目が記録されており、上記のポートスキャンについては、
攻撃タイプが「通信の要求」
IPアドレスが「スキャンをしてきた相手のアドレス」
ポートスキャンの詳細が「TCP(3336)」
などとなっています。

ルータではネット側からの通信要求はすべてルータで弾くように設定していて、
(許可していないものについては暗黙のDenyで弾かれるはずです)
どうしてLAN内のPCまで上記のようなパケットが届いてしまったのか理解できません。
また、仮にルータではパケットが弾かれなかったとしても、静的NATを設定しているわけでもないのに、
どうしてLAN内の特定のPCまでパケットが届いてしまうのでしょうか?
そのPCでは8080番ポートでWebサーバーを起動していて、そこへ向けて、静的NATを張っています。
ですのでAttack Detectionのログにも8080番ポートへのポートスキャンの形跡が残ることもありますが、
しかしどうしてそれ以外のポートにまでポートスキャンが及んでいるのか理解できません。
ひょっとしてルータが壊れているかどうかして静的NATで指定した以外のものもLAN内へ運んでいるのかもしれませんが、そんなことあるのでしょうか？

回答No.2

qaaq · ベストアンサー

>ひょっとしてルータが壊れているか・・・・
可能性はバグを含めて０(ゼロ)ではないです。

情報のポインタを紹介します。

取り合えず、ルータのファームウェアのアップデートをして最新にしてから様子を見ることをおすすめします。
http://netvolante.jp/download/firmware/

疑問があれば、メーカサイトの方が確実でしょう。
http://www.yamaha.co.jp/support/index.html

また、ヤマハ関連ルータのユーザML(rt100i-users)は活発かつ有益な情報がとても多いです。
このMLでも有益な情報が得られるかも知れません。
ただ、
>rt100i-users はヤマハの正式なサポート窓口ではありません。
>ヤマハの関係者が発言することもありますが、それは単にとっても詳しいユーザとしての発言です。
なので、表現に注意した方がいいですね。
http://www.rtpro.yamaha.co.jp/RT/users.html

お礼

ポインタをありがとうございます。
もう少しまとめてみて、サポートにメールをしてみようと思います。

回答No.1

2531kbps

> ルータではネット側からの通信要求はすべてルータで弾くように設定していて、

というのが間違っているのではないかと思います。そんなときは、自分で判断した結果ではなく、
具体的に、どこの項目をどうやってどんなふうに設定した。と書いた方がよいです。

「質問の仕方」参考URL
http://www.linux.or.jp/beginners/question.html

もしかしたら、設定方法の勘違いかもしれないですしね。

補足

回答ありがとうございます。
すみません。説明不足でした。

ルータでのパケットフィルタリングの設定について書きます。

私が使っているYAMAHART54iというルータでは明示的に許可していないパケットについてはすべて拒否されます。
ルータを超える許可がされているのは、TCPのEstablished状態のもの、
つまりルータの内側のLAN内のPCを起点としたパケットと、その応答パケットはルータを超えられます。
それとDNSの応答パケットを通すために(UDPにはEstablishedという概念自体がないので上のEstablished許可ルールではこれに対処できないため)、
インターネット側を起点としたルータのUDPの53番ポートへ向けたものも許可されています。
ここまでの二つはルータのデフォルト設定です。
また、WebサーバーをLAN内のあるPCで実験的に公開しているため、
インターネット側を起点としたルータのTCP8080番ポートへ向けたパケットも許可しています。
このパケットについては、静的NATとしてルータの8080番ポートへ到着したパケットはWebサーバーを公開しているPCの8080番ポートに届くように設定しています。
ルータで許可されたパケットは上記の三つのみで、これ以外のパケットはすべて拒否されるはずです。
ですので、Webサーバーを公開しているPCでのoutpostのAttack Detectionのログに、
インターネット側を起点とした、Webサーバー機のTCP3336番ポートへのものが残るはずがないのです。
このパケットは、まずルータで拒否されるはずで、もしフィルタリングの設定ミスで拒否されなかっとしても、
TCP3336番ポートへ向けたパケットの静的NATは設定されていないため、
LAN内へは届かないはずなのです。

ですので、パケットに対して何らかの細工をすることでルータを超えることが可能なのかと思い質問した次第でした。