二つのルータを使用するメリット・デメリット

質問

ルータには、ファイアーウォール( FW ）機能（フィルター機能？）がありますよね。余っているルータがあるので、まず、１つ目のルータ（ルータ１）に、
・セキュリティが低くてもかまわないPC（PC－１)
・２つ目のルーター（ルータ２）

をつなぎます。次に、ルータ２に、
・セキュリティを高くしたいPC（PC-２)

をつなぎます。これで、（PC-２)は、二つのルータにより、二段のFWに守られていると考えて良いのでしょうか。（PC自体のFWも合わせれば三段）

実は、実際に上記の構成を試してみた結果、二つのルータのFW、DHCPサーバを有効にしたままで、一見、OKでした。しかし、ルータ１のFWが正しく働いているのかどうか疑問が出てきました。

というのは、ルータ１で、LANからのICMPを無視するように設定したとき、（PC-１)からルータ１へは、設定どおり、PINGが通らないのですが、なぜか、ルータ２からルータ１へは、PINGが通ってしまうのです。

これは、私が使用している某メーカのルータの特性なのでしょうか。または、一般的にこうなってしまうのでしょうか。ルータを複数使用すると思わぬことが起きてしまう物なのでしょうか。二つのルータを使用するのが好ましくないとすれば、どのような理由で好ましくないのでしょうか。
ご存知の方、よろしくお願いいたします。

回答No.1

mochablend · ベストアンサー

>　（PC-２)は、二つのルータにより、二段のFWに守られていると考えて良いのでしょうか。

多分、Yes。文章だと正確なネットワーク構成がわからないので何とも言えません。

ネットワークの構成は、まずポリシーがあって構成されます。
そのポリシーどおりなのであれば、ルータが2つでも3つでも問題はありません。
たとえば、大量のトラフィックがあるネットワークであれば

1)ルータはパケットの転送だけをする
2)フィルタリングは、受け手のネットワークのファイアウォールでする

といった役割分担がありえます。理由としては、

・各機器のCPU負荷を分散する
・ひとつの機器に設定を詰め込みたくない（管理しやすさの確保）

などがあります。

PINGを無視するはずなのに応答してしまうっていうのは、構成うんぬんじゃなくて
単なる設定ミスだと思いますよ。DHCPをオフにして、各機器に静的にIPアドレスを振ってから
再テストしてみてはどうでしょうか。

また、複数のルータがある場合に起こりうるトラブルとしては、
パケットの往復の経路が違う、というものがあります。
（もちろん、意図してそういう場合もあります。）
ファイアウォールなんかは、復路としてだけ通ろうとするパケットを遮断したりしますからね。

お礼

詳しいご回答ありがとうございました。勉強になります。

どうやら、私のルータは、どうあがいてもLANからのPINGに応答してしまうようです。PCからのPINGに応答しなかったのは、PCのFWによるものでした。

どういうことか考えますに、こういうことだと思うのです。私の持っているルータは、安いせいか知りませんが、LAN→WAN、WAN→LANという間でしかフィルタが効かない為、PCからルータへのPING、すなわち、LAN→LANへのフィルタができない。その結果、ルータの設定画面でどう頑張ってみても、ルータがPINGを返さなくなるという考えは、鼻から見当違いであって、ルータのFWは「正しく動作」しているようです。（YahooなどにPINGを送ってみましたが、ＩＣＭＰのフィルタは動作していました。）