ブロードバンドルーターでVPNのポートを許可する場合・・・

質問

この前、ネットワーク管理者にブロードバンドルーターにVPNの通信が通るように依頼をしたら。インターネット側からLAN側にVPNの通信を行っている間、入られる危険があるため？？？却下されてしまいました。

ブロードバンドルーターにVPNの通信をLAN側からインターネット側に許可する場合、インターネット側からLAN側の通信もできることを意味するのでしょうか？それともそれぞれ別々に設定ができるのでしょうか？または、機種によって違うのでしょうか？（ちなみにうちはNTTのMN-128だったと思います。）

ネットワーク管理者の認識が正しいかどうかを確認したいと思います。

回答No.2

nick2038 · ベストアンサー

何か誤解されているようなので…。
　「VPN セッションが確立しているときにそのセッションのポート制限を」かける事が出来ないのが問題なんです。LAN側からVPNを通す＝そのパスを通る反対方向の通信を止められない、ですから。　VPNはトンネルみたいなものですから、その両端でのみ顔が見える＝途中のブロードバンドルータで止められない事になります。

　ネットワーク管理者の認識は正しいと思います。
　僕がその管理者だったら、最大に譲って、ネットワークの停止や情報漏洩など何が起こっても全責任を質問者さん（とその上長）が取り、管理者には一切の責任がない…といった確認を文書でした上で業務命令を受ければ、VPNのための穴開けをします。

お礼

わかりやすいご説明、ありがとうございます。何よりも接続先との信頼関係が重要なわけですね。

回答No.1

xcrOSgS2wY

管理者がどのような状況を想定しているのか、質問者さんの質問内容からは分かりませんが、こういう危険性は存在します。

ブロードバンドルータの設定により、LAN内から外部（インターネット）への方向のみVPN用ポートを開けたとします。この状態ではLAN内のVPNサーバに対してインターネット側から接続を開始することはできません。

さて、この状態でLAN内にある、あなたのPCからインターネット上にあるVPNサーバにVPN接続を行うと、あなたのPCは「LAN内」でありながら「VPNサーバのLANに接続されているのと同じ状態」になります（これがVPNの本来の機能ですから当然ですよね）。

このとき、仮にVPNサーバのLANに接続されている他のPCがあなたのPCに何らかの攻撃を行おうとした場合、それはあなたのPCに到達するでしょうか。答えは「ファイアウォール等で遮断されない限り、到達する」です。

VPN接続でなければブロードバンドルータによるポート制限がファイアウォールの役割をすることも考えられますが、「ブロードバンドルータの設定でVPNポートを開けて」行うVPN接続だとブロードバンドルータによるポート制限は働きません。

もしもVPNサーバとそのLANに接続されるPCがすべて同じ管理者の管理下にあるのであれば問題はありませんが、他者の管理下にあるのであれば、LAN→インターネット方向だけVPNを許可したとしても、上記のような危険は変わらず存在することになります。

お礼

早速のご回答ありがとうございました。VPN セッションが確立しているときにそのセッションのポート制限をかけない限り、ある程度危険が存在するわけですね。