自分の送信に対する応答をブロックするルータのパケットフィルタについて

質問

ちょっと具体的な製品名は書けないんですが、以下のようなルータについて質問です。

パケットフィルタの機能としては、IN制限とOUT制限があります。
まず有効にするか無効にするかの選択があり、次に、設定したものだけを通過させて残り全部を破棄するか、または設定したものだけを破棄して残り全部を通過するかのどちらかを選択するようになっています。
内容としては、送信元IPアドレス・ポート番号および受信先IPアドレス・ポート番号を１セットとして、INとOUTにそれぞれ８つまで設定できます。

このルータで、オンラインポートスキャンのサイトを使ってチェックしてみたところ、パケットフィルタIN制限を有効にしても無効にしても、結果は全てClosedでした。
IN制限を有効にした上で、いくつかのポートを通過させるように設定してみても、全てClosedでした。
パケットフィルタとは別の、バーチャルサーバというところで設定して初めてポートに穴を開けることができました。
（ステルスにならないのは仕様のようです）

それならパケットフィルタのIN制限には何の意味があるのか？と思って色々試してみた結果、このルータのIN制限という機能でブロックされるのは、外部からのアクセスではなく、こちらが外部に対して行った接続への応答だということが分かりました。
IN制限を有効にしている場合、送信元ポートが53番や80番であるものを通過させる設定にしない限り、ブラウザでネットを見ることもできなくなるからです。
OUT制限の挙動については外部からの接続を試していないため詳細が分かりません。

このように、デフォルトで全ての内向きパケットがブロックされていて、パケットフィルタのIN制限で設定すると自分の送信に対する応答がブロックされるというルータの場合、パケットフィルタのIN制限とOUT制限では何を設定すればいいんでしょうか？
自分の送信に対する応答の中にも、ブロックするべきポートまたはIPアドレスというものがあるんでしょうか？

長くなりましたがよろしくお願いいたします。

回答No.2

774danger · ベストアンサー

> 特に開けたいポートもなければIN制限は何も触らず放っておけばいいということなんでしょうか？

通常はINでは何も許可しないように設定されているのでそのままでかまわないはずです

> それと、自分の送信に対する応答の中にもブロックするべきポートまたはIPアドレスというものがあるのかどうかという点についてはどうなんでしょうか？

そもそもそれは送信で閉めるべきであって、OUTでフィルタルールを書くべきかと思いますが

回答No.1

774danger

> IN制限を有効にした上で、いくつかのポートを通過させるように設定してみても、全てClosedでした

そりゃ、ポートを通過させるようにフィルタを書いても、通過した先に応答するサーバがいなければポートスキャンしてもclosedでしょう
スタティックNATなりポートフォーワーディングの設定をして、その先に該当のポートに応答するサーバ等がいなければポートスキャンに引っかかりませんから

根本的に考え方が間違っている気がします

補足

ご指摘ありがとうございます。確かにあまりよく分かっていない初心者です。
スタティックNATというのもポートフォワーディングというのも使っていないと思うので、特に開けたいポートもなければIN制限は何も触らず放っておけばいいということなんでしょうか？

それと、自分の送信に対する応答の中にもブロックするべきポートまたはIPアドレスというものがあるのかどうかという点についてはどうなんでしょうか？
まだ根本的に考え方が間違っていたらすいませんが、よろしくお願いいたします。