FTPサーバを公開するためのRT58iの設定
現在、4Gbyte程度の圧縮ファイルを転送する必要があり、windows7にALFTPというFTPサーバソフトをインストールして、IPは192.168.1.149でポートはTCP513番を使用したFTPサーバを作成しました。ローカルネット内でFTP通信を試して見たところ正常にファイルをダウンロードすることなどができることを確認しました。
しかし、ローカルネットのルータyamaha RT58iを通してインターネットでのFTP通信を行おうとしたら、アクセスしてはいるものの、FTPサーバで公開しているファイルを参照できずエラーとなってしまいます。
このエラーになるときの通信をyamaha RT58のログに残っていないか参照して見たところ、
2012/02/01 19:41:27: [HTTPD] Illegal Request (TCP Connection failure, 192.168.1.149)
2012/02/01 19:41:27: HTTPD: accept error
2012/02/01 19:41:29: same message repeated 3 times
2012/02/01 19:41:29: [HTTPD] Illegal Request (TCP Connection failure, 192.168.1.149)
2012/02/01 19:41:29: HTTPD: accept error
2012/02/01 19:41:46: same message repeated 3 times
2012/02/01 19:41:46: [HTTPD] Illegal Request (TCP Connection failure, 192.168.1.149)
2012/02/01 19:41:46: same message repeated 1 times
2012/02/01 19:41:46: HTTPD: accept error
このようなエラーログが残っていることがわかりました。
たぶんこのルータのファイアーウォール設定などに問題があるのではないかと思っています。
次の設定で何か修正した方が良い箇所などご指定頂けませんでしょうか?
どうぞ、ご教授の程よろしくお願い致します。
#
# IP filter configuration
#
ip filter 100000 reject * * udp,tcp 135 *
ip filter 100001 reject * * udp,tcp * 135
ip filter 100002 reject * * udp,tcp netbios_ns-netbios_dgm *
ip filter 100003 reject * * udp,tcp * netbios_ns-netbios_dgm
ip filter 100004 reject * * udp,tcp netbios_ssn *
ip filter 100005 reject * * udp,tcp * netbios_ssn
ip filter 100006 reject * * udp,tcp 445 *
ip filter 100007 reject * * udp,tcp * 445
ip filter 100099 pass * * * * *
ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *
ip filter 200003 reject 192.168.1.0/24 * * * *
ip filter 200004 pass * * * * 6112
ip filter 200005 pass * * * * *
ip filter 200010 reject * 10.0.0.0/8 * * *
ip filter 200011 reject * 172.16.0.0/12 * * *
ip filter 200012 reject * 192.168.0.0/16 * * *
ip filter 200013 reject * 192.168.1.0/24 * * *
ip filter 200020 reject * * udp,tcp 135 *
ip filter 200021 reject * * udp,tcp * 135
ip filter 200022 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 200023 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 200024 reject * * udp,tcp 445 *
ip filter 200025 reject * * udp,tcp * 445
ip filter 200026 restrict * * tcpfin * www,21,nntp
ip filter 200027 restrict * * tcprst * www,21,nntp
ip filter 200030 pass * 192.168.1.0/24 icmp * *
ip filter 200031 pass * 192.168.1.0/24 established * *
ip filter 200032 pass * 192.168.1.0/24 tcp * ident
ip filter 200033 pass * 192.168.1.0/24 tcp ftpdata *
ip filter 200034 pass * 192.168.1.0/24 tcp,udp * domain
ip filter 200035 pass * 192.168.1.0/24 udp domain *
ip filter 200036 pass * 192.168.1.0/24 udp * ntp
ip filter 200037 pass * 192.168.1.0/24 udp ntp *
ip filter 200080 pass * 192.168.1.1 tcp * 1723
ip filter 200081 pass * * gre * *
ip filter 200082 pass-log * * * * 513
ip filter 200083 pass * * * * 514
ip filter 200084 pass-log * * * * 5000-5001
ip filter 200085 pass * * * * 5002-5017
ip filter 200096 pass-log * * * * 5004
ip filter 200097 pass * * * * 21,smtp,domain,www,pop3,https,587,1723,5000,5001
ip filter 200098 reject-nolog * * established
ip filter 200099 pass * * * * *
ip filter 500000 restrict * * * * *
#
# IP dynamic filter configuration
#
ip filter dynamic 200080 * * ftp
ip filter dynamic 200081 * * domain
ip filter dynamic 200082 * * www
ip filter dynamic 200083 * * smtp
ip filter dynamic 200084 * * pop3
ip filter dynamic 200098 * * tcp
ip filter dynamic 200099 * * udp
---------(中略)------------------------------------------
nat descriptor type 1 masquerade
nat descriptor address outer 1 ***.***.***.186
nat descriptor address inner 1 192.168.1.149 192.168.1.150
nat descriptor masquerade static 1 1 192.168.1.149 tcp login
nat descriptor masquerade static 1 2 192.168.1.150 tcp 514
お礼
いつもアドバイスありがとうございます。 実は20000～20002、200010～200012の定義が何故あるのかド素人の当方には未だ良く判っていなかったりします。 セキュリティの経験があまりに乏しい事、アドレスを見てピンっとこない情けなさから、これ等を適用すると通信が全遮断されるのではと恐れて外してました。 ちゃんと意味があるのですね、勉強になります。 200032 のidentはセキュリティ面で解放しない方が良いというメール関係のサイトがあったので、あえて適用していないのですがLAN側からのメール発信は重要なのでレスポンス向上も考え開けてみようか、と。 200041のtftp解放については、システムの仕様という事で指示されてまして今までもその設定だったという話で理解できずにいます。 ただ、開けないとダメだという事だけで詳しく調査する余裕無く…、情けないです。 DNSサーバについては質問から外してしまいましたが、外部にあるものをつかいますので、 dns server A B という感じでプライマリとセカンダリを定義しています。 192.168.xxx.230 の domain と tftp について確認しました。 前回の質問に誤りがあり大変失礼しました。 この時、UDPで同ポートを解放している記述になっていると思うのですが、これはtcpとudpの両方を解放する設定に「したと思った」事が原因のミスです。 先ずはご指摘頂いた部分をググりながら理解し、configを見直したいと思います。 引き続きご意見、ご指摘頂ければ幸いです。 余談ですが、ヤマハに質問したのが週末だったせいか今のところ何も音沙汰ありませんです。
補足
自分で補足に入れるのもなんですが。 本当にアドバイスありがとうございました！ 昨晩のテストでほとんどの問題がウソのように解決してしまいました。 まだチェック残しの項目が幾つかありますが、最低限の動作はできたようで助かりました。 次はこの固定ＩＰの一つの先に、TinyVPNをHyper-V下のゲストOS中に設けた仮想HUBと外部を接続する事にチャレンジです。 が、どうしても繋がってくれないので他のジャンルでまたしても質問上げてしまいました。 他力本願のつもりは無いのですが、皆さんのお蔭で回りに知識の豊富な方が居ない環境でも内容の濃い勉強ができ、感謝しております。