SoftEther

質問

社内にドメインで構成されたPC群（業務PC）がいて、ドメインには入っていないけど同じセグメント（要はPingが通る環境）にいるスタンドアロンPCがインターネット用になっていてAdministratorで動作している場合、このスタンドアロンPCにSoftEtherを導入されると、業務PC群も外に見えてしまうという風なんでしょうか？

　物理的に切り離せば安全なのは分かりますが、ネットワークプリンターなどは共有して使いたいものです。

　今のところ、社外からアクセスされることはないため、ドメインに所属している業務PCのユーザー名やパスワードは割に安直な設定になっています。。。

回答No.3

honeorizon · ベストアンサー

>そうだとすれば、外向きの443番を閉じるしか方法が・・・

そんなことをしても何の役にも立ちません。デフォルトの
ポート番号を変えてしまえばいいだけですから。
現在のところ、内側から外へSoftEtherで出ていくのを止め
る有効な方法は、そうしたことをしないように社員を教育す
るしか有りません.....って、書いてたら、SoftEtherをブ
ロック出来るファイアーウォールが出たみたい。
参考URLを見て下さいな。

参考URL：

http://slashdot.jp/article.pl?sid=04/01/07/0413226&topic=92&mode=nested

お礼

色々とありがとうございました。

回答No.2

honeorizon

SoftEtherは、まぁ名前は仮想HUBとか仮想NICとか言ってい
ますが、仮想HUBがサーバ、仮想NICがクライアントのサーバ・
クライアントプログラムです。他のTCP/IPで動作するサーバ
プログラムと同様、サーバに接続するにはIPに対して到達可
能で、そのサーバの特定のポート(デフォルトだと443か77777)
に接続する必要があります。

ですので、

>業務PC群と同じセグメント内にルーターがいて、NATを経由
>して経由して外に飛び出せます。

の様な構成だと、外からルータ内のPCにアクセスするには、
ルータで、該当PCのIPの該当ポートへ、静的IPマスカレ
ードとかDMZとか、まぁルータで呼び名は変わりますけど、
そういう設定をする必要が有ります。従って、ルータの設
定を勝手に変えられなければ、まぁ、大丈夫でしょう。

ただ、頭のいいやつなら、その抜け道(SoftEther,2段使い
とかね)もすぐ考えられるので、まぁ、そのインターネット
PCに変な物をインストールされないように気を付けること
が一番でしょうね。

お礼

ありがとうございます。

＞従って、ルータの設定を勝手に変えられなければ、
＞まぁ、大丈夫でしょう

っていうのは、社内のインターネットPCにSoftEtherを仮想HUBとして設置しようと企んだ場合ですよね？
　社外にある仮想HUB（公開されている実験HUBなど）に対しては、社内→社外へhttps（443）が通れば繋がってしまうという解釈なのですが、私の理解不足でしょうか？

　そうだとすれば、外向きの443番を閉じるしか方法が・・・

回答No.1

honeorizon

>このスタンドアロンPCにSoftEtherを導入されると、業務PC
>群も外に見えてしまうという風なんでしょうか？

まったく、そういう風になります。何もしなければね。

が、

>Administratorで動作している場合

って何？。誰でもAdministrator権限でログオンできるって
ことでしょうか。また、そのPCはどの様にインターネットと
接続されているんでしょうか？

SoftEtherはどんなファイアーウォールも突破できる"魔法
のツール"では有りません。外部と接続するPCを適切に管理
し、余計なソフトをインストールされないようにするなり、
適切にファイアーウォールを設置するなりすれば対処は可
能です。
また、普通に設定すれば、SoftEtherの仮想LAN側はセグメ
ントが別になるので、社内のLANに接続するにはどっかに
ルータ(になるPC)が必要なので、そのようにPCを設定でき
ないように管理するのも良いでしょう。
とにかく、SoftEtherは世の中にたくさん存在するVPNソフ
トの一種に過ぎません。魔法のツールでは無いのです。
最後に、SoftEtherの導入されるのが心配なぐらいでは、
他のどんなソフトをインストールされているかも分かりませ
ん。そうした状況を改善する方が先でしょう。

補足

>誰でもAdministrator権限でログオン

　インターネットPCだけはいわゆるユーザーが好き勝手に使っていいPCという位置付けで、ローカルAdministratorsグループのユーザーでデフォルトログインするようになってます。（XP Homeのデフォルト状態）
　業務PC群と同じセグメント内にルーターがいて、NATを経由して経由して外に飛び出せます。（インターネットPCのIPのみ通す設定）

　インターネットPCから業務PC群も見えますが、ユーザー・パスワードを知らなければ蹴られます。

　多分ほとんどの中小企業はこんな設定で使っているような気がします。。。