ファイアーウォールでルータ経由以外のアクセスを禁止

質問

ルータ以外からのアクセスを禁止するようにファイアーウォールで設定したいのですが、ファイアーウォールのネットワークのルールの設定で、ルータのアドレス（１９２．１６８．０．１）以外をブロックするように設定すると、すべてのアクセスが閉じられてしまいます。

しかし、ＩＰマスクを上記アドレスに設定するとＷＥＢブラウザなどが機能し外部にアクセスできます。これは、ファイアウォールが１９２．１６８．０．１をグローバルＩＰと認識するためだと思うのですが、ＩＰマスクというのはローカルのアドレスだと認識させるためのものなのでしょうか？

ソフトはコモドというものを使用しています。フリーソフトなのに詳細にわたって設定できるのでゾーンアラームよりも便利なのですが、インターフェイスが英語なので少し戸惑うことが多いです。

現在ネットワーク上に自分でコントロールできるＰＣが一台しかないため、他のマシンからのアクセスをブロックできているかの確認ができないので少し不安に思っています。

どうぞよろしくおねがいいたします。

回答No.5

o_tooru

こんばんは、疑問はつきませんね。

さてご質問の件ですが、少し確認したいことがあります。
>ソフトはコモド
とファイアーウォールのソフトを使っていらっしゃるようですが。
そのソフトをインストールしたPCをネットワーク上のどこにおいていらっしゃいますか？

また、どの様なネットワークの構成にしようと考えていらっしゃいますか？

たんなるパーソナルファイアウォールのソフトのような気がしますが？

お礼

＞そのソフトをインストールしたPCをネットワーク上のどこにおいていらっしゃいますか？

ＩＰレンジが192.168.1.100 - 192.168.1.148、ルータが192.168.1.1、サブネットが255.255.255.0のローカルネットワーク上に、自分のＩＰが自動的に取得されます。現在は下三桁が102になっています。

＞また、どの様なネットワークの構成にしようと考えていらっしゃいますか？

とくにこだわりはありません。他のＰＣとのトラフィックをできるだけきちんと管理できれば、と思っています。

＞たんなるパーソナルファイアウォールのソフトのような気がしますが？

ご指摘のとおりです。

よろしくお願いいたします。

回答No.4

kusa_mochi

情報が少ないので推測になるのだが、そのファイアウォールの設定画面はちゃんとinbound(自PC以外→自PC)の通信に関する設定画面だろうか？
(若しくはinboundとoutboundの両方)

又は設定の仕方が間違っているとか。
(例えば、その画面の設定は特定のプロトコルに対するものとか)

これ以上は、何と言うファイアウォールを使っていてどの設定画面でどのような設定をしようとしている等の詳しい情報がないとフォロー出来ないと思う。

お礼

ソフトはcomodoです。ＺＡから乗り換えたのですが、何かと詳細にわたって設定できるので気に入っています。

ルータ192.168.1.1以外のトラフィックを完全に遮断したいのですが、どのような設定をすれば良いかわからずに困っています。

回答No.3

Fushino

一般的にルータ自体からアクセスが来るということは考えにくいのでルータからのアクセスだけを許可するという目的が不明です。
ルータの先（別ネットやインターネット）とのアクセスに関しては個々のアドレスに対して設定する必要があり、ルータのアドレスを設定しても無意味ですがそのあたりを誤解されていませんでしょうか。

また、＃2さんのお礼欄の内容についてですが、どういう設定をした時にどこにアクセスできる（できない）のかが不明確ですので補足していただけないでしょうか。
（例えばローカルIPをすべてブロックしてもグローバルIP（インターネット）へのアクセスは可能ですし、そのルールを反転（Exclude）するとインターネットへのアクセスは禁止されます。）

お礼

＞一般的にルータ自体からアクセスが来るということは考えにくいのでルータからのアクセスだけを許可するという目的が不明です。

同じローカルネットワーク上にある他のマシンからのアクセスをブロックしたいと思っています。

＞ルータの先（別ネットやインターネット）とのアクセスに関しては個々のアドレスに対して設定する必要があり、ルータのアドレスを設定しても無意味ですがそのあたりを誤解されていませんでしょうか。

たぶん、ご指摘のとおりだと思います。しかし、それではファイアーウォールはどのようにしてローカルＩＰとグローバルＩＰの区別をつけるのかが疑問がのこります。

例えば、192.168.0.1をwhoisで検索すると、グローバルＩＰアドレスではＩＡＮＡの所属になっていますが、それではローカルのルータをＩＰで指定したい場合はダブってしまいますが、普通はどのような仕組みになっているのでしょうか？トラフィックを許可する設定でＩＰを指定する場合はローカルのＩＰを直接指定しますが、この違いがよく判らなくてつまずいています。

＞どういう設定をした時にどこにアクセスできる（できない）のかが不明確ですので補足していただけないでしょうか。

以下（ＵＲＬの画像）の設定ではアクセスできてしまいます。しかし、Exclude(i.c NOT the choice below)のチェックを入れるとブラウザでページの読み込みができなくなります。チェックはＯＮでもＯＦＦでもルータ（この場合192.168.1.1）にpingはできました。

普通に考えると、指定したルータのソースＩＰを経由したトラフィック,TCP/UDP IN/OUTはチェックをしない場合にブロックされると思うのですが、その辺りがいまいち理解できずに困っています。

回答No.2

kusa_mochi

状況が良く見えないのだが、

　・個人宅ではなく会社のネットワーク
　・同一セグメント内にある部下・同僚・上司のPCから自分のPCに対してのアクセスをファイアウォールでブロックしたい

という事なのだろうか？
もしもそうなら、ルータと自PCを除く同一セグメント内のIPアドレスをレンジ指定で禁止すればよいのではないかと思うが。
(例：192.168.0.2 ～ 192.168.0.100 ← 自分のIPアドレスが含まれないように注意してね)

お礼

>という事なのだろうか？

はい、そのとおりです。

ブロッキングルールを、ＩＰレンジのところで　192.168.0.1 ～ 192.168.0.100 という風にルータのアドレスと含めてもアクセスができるのですがどうしたものでしょうか？

試しに、ブロッキングルールのシングルＩＰでルータのアドレスを入れましたが、どうもアクセスができてしまいます。ところが、Exclude(not the choose below)　のチェックを入れると逆にアクセスができなくなります。

設定方法がよくわからないのですが、普通に考えて禁止するＩＰのところで指定ＩＰを入れるとそのＩＰとのアクセスができなくなると思うのですがちがうのでしょうか？

回答No.1

mtfoggy

＞ルータのアドレス（１９２．１６８．０．１）以外をブロックするように設定すると、
＞すべてのアクセスが閉じられてしまいます。

当然です。
ほとんど全ての送信元からのパケットをブロックしているのですから。

お礼

ブロッキングルールのところで、ソースＩＰのところで、６つのオプションがあり、Any、シングルＩＰ、ＩＰレンジ、ＩＰマスク、ゾーン、ホストネーム、となっています。

ここで、シングルＩＰではなく、ＩＰマスクにルータを選択すると、ＩＰとマスクの二つのＩＰアドレスを入力するフォームが表示されるのですが、ここにルータのＩＰを入力すればよいのでしょうか？