質問: 現在自宅サーバーを構築しています。 まずは、以下画像をご覧下さい。 ※画像は回答者様のご指摘で随時変更する可能性があります。 このようなネットワーク図になっておりますが、ズバリこのネットワーク構成は「危険」でしょうか。 win win PBG4 iMacG5 PMG5 というクライアントPCがあり、LinuxサーバーもHUB経由で外側のネットにアクセス出来る状態です。そして、外部からはルーターを通ってLinuxサーバーにアクセス出来るようにしました。ルーターはHTTP(80番)のポートとSSH(22番)のポートのみが空いてる状態です。 ちなみに、「危険」とは外部からLinuxサーバー以外のクライアントPCに不正にアクセスされたりしないか?という意味です。 これだけの情報では危険かどうか判断出来ない場合は、お手数ですがご指摘頂ければ幸いです。なにぶん初心者ですのでご迷惑をお掛けするかもしれませんがよろしく御願い致します。 追伸 1時間ほど前に同様の質問をしましたがネットワーク図に誤りがあったようで、もう一度同様の質問です。。回答して頂いたb-windさん、cyanoさん、また宜しければお付き合いください。
回答: 回答受付中でもコメントがつけられるようにしていただけると無駄に回答を開く必要も無く、回答制限を気にならないので良いと思いますが... 外向きに開けておくのは少なければ少ない方が良いわけで、SSHも諦めてしまったらどうでしょうか? WANからのメンテナンスをやめて、LAN内のみ、あるいはLAN内の特定PCのみと絞れば絞るほど安全です。できればSSHサーバも止めてしまって、ローカル端末からしか作業できないのが一番いいです。 Linux機に eth を2つ設けた理由はなんでしょう? 内側と外側を明確に分けようというのであれば、eth1 が(内側のPCを束ねてる)HUB と同じ側にあるのは無意味では? 質問文からすると、特にDMZとして設定している様ではないのですが。 真剣にLinux機経由の攻撃を避けるのなら、Linux機をLANに繋ぐべきではありません。 ``` WAN -- HUB1 +---router1 -- (eth0)Linux | +---router2 -- HUB2 +---PC1 +---PC2 +---PC3 +---PC4 +---PC5 ``` のように、完全に分けるべきでしょう。 メインテナンス等で、PCとLinux機を繋ぎたい場合も、 ・Linux機のeth1とHUB2を繋ぎ、必要時以外は物理的にケーブルを外しておく (ネットワークアドレスを明確に分けておくのは必要) ・USBメモリ等でデータのやり取りをし、オンラインは諦める 位の慎重さが必要です。 グローバルアドレスが複数取得できない場合は、Linux機に向けてDMZを設定し、Linux機で iptables や ipchains でガードをかける(Linux機はWANからはHTTPしか受け入れない。Linux機からLANへのアクセスは全て廃棄)かルータを入れる。 こんな感じ。 ``` WAN ---router1 (DMZ)--- router2 -- (eth0)Linux | +-- HUB2 +---PC1 +---PC2 +---PC3 +---PC4 +---PC5 ``` でも実際の運用等を考えると厳密にやりすぎるとねぇ...って感じまします。 iptables 等でLinux機をガード(言ってみればルータ化)するのは難しいから、お手軽にルータを買ってくるのもアリとは思いますが、(最初の回答者さんに怒られるかも知れませんが)わざわざ2つ目のルータを入れなくても、サブネットで差別(PCはサブネットマスクを狭く、eth0 は広く、eth0 のアドレスはPCのマスク内に無いようにする)するくらいでいいのではダメなんだろうか? ルータを越えて進入されたら、WAN側に迷惑を書け倒していることでしょうし、LAN内のPCに異常があれば、進入に早く気付くでしょ?