質問: yamaha rtx1100のフィルタ設定 現在yamaha rtx1100ルータの設定でわからない箇所があります。 ■実現したいこと wan側からのアクセスを全て拒否、lan側からのアクセスを全て許可 設定例集によると、以下の設定をすれば wan側からのアクセスを全て拒否し、lan側からのアクセスを全て許可することが可能であると記載があります。 ----- ip filter 1 pass * * established pp select 1 ip pp secure filter in 1 ----- この設定だけで、本当に全てのwan側からのアクセスを遮断できているのでしょうか。。 この他にもrejectを使ったフィルタなどを挟まなければいけないのでしょうか。。 あともう1点。 この例ではppインターフェイスに対して設定をしていますが、 通常のlanインターフェースやトンネルインターフェイスでも、このフィルタを適用することで外部からのアクセスを拒否することは可能なのでしょうか。 ■補足 ・lan側に公開したいサーバなどはないので、外からのアクセスは全拒否にして問題ないです。 ・ftpも使わないのでftpdataも通さなくてよいです。 ご存じな方、ご教授の程宜しくお願いします。
回答: >wan側からのアクセスを全て拒否、lan側からのアクセスを全て許可 正確に言うと、wan側から始まるアクセスを全て拒否するということになります。 どのような動きになるかはヤマハのwebサイトを参考にして下さい。 ここに書かれているように実際の動きはtcpフラグのackとrstのいずれかがセットされているものを通すようになるはずです。 http://www.rtpro.yamaha.co.jp/rt/faq/ip-filter/ip-filter-established.html >この設定だけで、本当に全てのwan側からのアクセスを遮断できているのでしょうか。 概ねこのように考えてもいいと思いますが、実際にはackまたはrstがセットされている応答パケットは通ります。 そうでないとtcpは通信出来ませんので。 従って、簡単ではありませんがこのへんのフラグ(フラグだけではなくほかのヘッダも必要)を偽装すれば絶対通らないわけではありません。 >この例ではppインターフェイスに対して設定をしていますが、 >通常のlanインターフェースやトンネルインターフェイスでも、このフィルタを適用することで外部からのアクセスを拒否することは可能なのでしょうか。 可能です。 フィルタがどの位置で効くかはこのへんを参考にして下さい。 http://www.rtpro.yamaha.co.jp/rt/faq/ip-filter/apply-filter-to-interface.html あとおわかりと思いますが、注意として >ip filter 1 pass * * established >pp select 1 >ip pp secure filter in 1 この設定はtcpに対してのみ有効な設定です。 フィルタの暗黙の設定で1以外はすべて拒否になるのでudpは全て拒否されます。 一般的なインターネットの通信ではdnsは必須ですがこの設定では通りません。 (dnsは基本udpが使用されます)