自宅サーバを立てたく、勉強中のものです。


例えば、ルータのファイアウォールで80番「だけ」許可しておけば、LAN内のサーバで80番以外のサービスが動いていてもそちらにはアクセスできない、と考えてよいのでしょうか?

回答の条件
  • 1人2回まで
  • 登録:2009/12/21 05:18:20
  • 終了:2009/12/28 05:20:02

回答(6件)

id:kn1967 No.1

kn1967回答回数2915ベストアンサー獲得回数3012009/12/21 06:41:30

ポイント19pt

直接的答えとして「アクセスできない」で終わりにしてもいいのだけど、

自宅サーバーで心配なのは素人によるサーバ構築そのものにあるため、

「実際には100%ではない」と言わざるを得ないです。


WEBサーバがSQLインジェクションその他もろもろの攻撃に敗れ、

サーバを基点として、サーバ内やLAN内の情報を、

サーバ自らがポート80を通して外部に流してしまうなどは、

注意されなくとも、既にご存知かもしれないけれど、それよりも、

サーバーの設定ミスによる情報漏洩や、踏み台にされやすい状態を、

作り出してしまうという点のほうが格段に心配な点であり、また、

「これだけをやっておけば安心」というような指針も無いので、

100%は無いという回答になるわけです。


ここまでで、既にお気づきかもしれないけれど、

ポート80だけを許可するというのは必要最低限の措置でしかなく、

運用するのであればLAN内の他のマシンとはセグメントを異にするなどして、

論理的分離くらいは行っておくべきです。もし、まだ、セグメントについて、

ご存知なければTCP/IPの基礎的部分を一通り見直していただきたい。


出来れば物理的にも分離できるようなルータを用いるのが望ましいのだけど、

多少、値がはるし、取り扱いも難しかったりするので、

せめてDMZ機能を持ったルータ(最近では安価なルータでも機能を持っている)で

サーバと他のマシンを分離するようにしていただきたい。


セキュリティに関しては話だしたら限がないくらい長くなるので、

とりあえず、質問内容+プラスアルファとして、以上とさせていただきます。

今一度、参考にしておられる書籍やWEBサイトなどを確認してください。

id:yoshifumi1975 No.2

yoshifumi1975回答回数58ベストアンサー獲得回数102009/12/21 06:22:54

ポイント19pt

そうです。外からは許可したポートにしか接続できません。思ったより簡単だと思いますよ。

外部からポート80にアクセスが来たら、自宅内のネットワーク(192.168.x.xだと思います)の、どの192.168.x.xにフォワードするかを決めることになると思います。

ルータが192.168.0.1 だと思いますので、自宅サーバーは適当に 192.168.0.100 とかにしてください。

あと外側のIPアドレスは時々変わってしまうので、DynamicDNSのサービスを利用する必要があると思いますが、IOデータのルータだと無料でDynamicDNSを使えるようになってます。

探せば他にも無料のダイナミックDNSサービスはいくつかあります。

id:emu2929 No.3

emu2929回答回数19ベストアンサー獲得回数22009/12/21 12:55:11

ポイント18pt

そもそもルータの役割を理解されていないと思います。


インターネットの世界ではグローバルIPというものがありますが、

構築しているローカルネットワークに対して大体の場合ひとつのみ割り振られるものです。

たとえばローカルネットワークで4台のPCを接続しているとして、

グローバルIPの80番ポートで外からアクセスがあった場合、

その4台の内どのPC(サーバ)に飛ばせばいいのか・・ということを設定

しているのがルータです。

簡単に言えば、、ですが。厳密に言えばちょっとニュアンスが違うかもしれませんが。。


OSがLinux等のサーバでは、そのサーバ自体にFireWall機能が存在します。

(Redhatならiptables)

そのサーバをWEBサーバだと仮定した場合、

一般的には内部ネットワーク(ローカルネットワーク)からの要求はどのポートに関わらず

全て許可し、 外部からのアクセスについてはポートごとに許可/不許可を設定することが多いです。

id:horonict No.4

horonict回答回数257ベストアンサー獲得回数512009/12/21 23:32:09

ポイント18pt

いいえ。

たとえばポート80で動いているWebサーバを踏み台にすることができれば、そのサーバを経由してLAN内部のPCにアクセスすることができてしまいます。


踏み台とは・・・

http://www.3ware.co.jp/aboutus/linux_tips/s41.html

id:kick_m No.5

kick_m回答回数1372ベストアンサー獲得回数542009/12/21 23:16:42

ポイント18pt

そうです。

id:azuco1975 No.6

azuco1975回答回数613ベストアンサー獲得回数162009/12/23 17:13:46

ポイント18pt

そのとおり、できません。

ただし、HTTP(80)上に上乗せして別ポートを使う方法があります。

それは自宅サーバー側のソフト(サービス)の問題で、ソフトが実行されていなければ、できません。

コメントはまだありません

この質問への反応(ブックマークコメント)

「あの人に答えてほしい」「この質問はあの人が答えられそう」というときに、回答リクエストを送ってみてましょう。

これ以上回答リクエストを送信することはできません。制限について

絞り込み :
はてなココの「ともだち」を表示します。
回答リクエストを送信したユーザーはいません