ＬＡＮ環境を保ちつつ、１台だけＷＡＮから遮断したい

質問

インターネット　
　｜
ＣＴＵ
　｜
無線LANアクセスポイント（ルータ機能オフ）
　｜　　　　　　　　　｜
（無線）　　　　　　（無線）
　｜　　　　　　　　　｜
WinXPマシン　　　他のマシン　　　（LAN内のIPアドレスは全て固定）

LAN内の相互接続環境を全て保ったまま、WinXPマシンだけをWAN側と遮断することは出来るでしょうか？

CTUでポート開放の設定を行えば良いという話を聞いたのですが、「遮断」するのに「開放」を行う、というのが意味が分からず設定を躊躇しています。
http://www.akakagemaru.info/port/ctu/04.html

来年のXPサポート終了後、XPマシンをLAN内環境を維持したままWAN側と遮断して使いたいのです。

CTUおよび無線LANのマニュアルを読んだのですが、
設定項目の名称や意味が門外漢には分かりづらいので、わかり易く説明頂けると助かります。

CTU機種名：「100M］［S］
無線LAN機種名：NEC Aterm WR7600H

回答No.9

matyu1003 · ベストアンサー

おや、ウェルノンポート以外を初期状態で通すルーターとは…。いったい、内部LANのどのマシンに対して外部からの通信を送るのでしょうね。
簡単設定だと「高」の状態がNo.8で回答した「外部からの通信はすべて拒否する」状態です。

お礼

対応してくださり有難うございます。
下手にさわってトラブルが起きると困るので、今日のところはルーター設定はまだ触らないでおきます。
決心がついたら「高」を試してみます

回答No.8

matyu1003

> どうしてCTUが通信を通すマシン、通さないマシンを判断できるのか、もしよければ教えて下さい。

設定をしなければ、そういった判断ができません。なので、一般向けに売られているルーターでは、買った状態では外部からの通信はすべて拒否するように設定されています。よく分からない場合には、そのまま使っているのが一番安全ですよ。

ちなみに、デフォルトゲートウェイというのは、LAN内に存在しない通信先に通信をする場合の中継所のことです。ここを空欄にした場合、ルーターの設定でこのコンピュータに外部から通信をできるようにしても、「通信したいです(SYN)」に対して「いいですよ(ACK)」を送るための中継所がわからないので通信は失敗します。LAN内では中継所を通す必要がないので、ここが空欄でもきちんと通信ができます。

お礼

ありがとうございます。
ほんと分からないもので助かります。
補足質問なのですが、matyu1003さんのおっしゃる「買った状態では外部からの通信はすべて拒否するように設定されています」というのは、下記のCTUのファイアウォール設定の、低［初期設定］、のことを指すのでしょうか？

－－－－－－－－
ファイアウォール設定
●かんたん設定
高 ： WAN側からの通信をすべて拒否します。（Webやメール等の利用は可能）

中 ： WAN側からの通信をすべて拒否しますが以下で選択された機能・サービは利用可能です。（Webやメール等の利用は可能）・・・テレビ電話機能・・・コンテンツ視聴機能

低［初期設定］ ： WAN側からのウェルノンポート以外の通信はすべて許可します。（ほとんどのサービスが利用可能）

制限なし ： ファイアウォール機能無効（すべての通信を許可）

※ いずれのレベルを選択した場合でも、マルチキャスト配信されるコンテンツの視聴は可能です。

●詳細設定 　－ファイアウォールのルールを詳細に設定できます。（詳細設定画面から設定を行います）

回答No.7

774danger

> 特に設定をしなくてもWAN側からLANの特定のマシン(XP)へのパケットがフィルタリングされる、というのが何故なのか分からなかったです。

http://flets-w.com/hikari-p/download/guide_ctu_13.pdf
CTUのマニュアルのP.126に、
「ファイアウォールのルールは、ルール番号の小さい順番に優先して適用されます。
ルール設定を行っていない場合は、WAN→LAN（外部から内部）への通信は拒否され、LAN→WAN（内部から外部）への通信は許可されます。」
と書いてあるから

まさか、マニュアルも見ずにポート開放の設定をしようとしている?

> どうしてCTUが通信を通すマシン、通さないマシンを判断できるのか、もしよければ教えて下さい。

IPアドレスやポート番号を元に、通すマシン(開放)、通さないマシン(遮断)をCTUなどルータのファイアウォールにフィルタリングの設定を行うから
通すマシン(IPアドレス)とポートを決めてその設定を行うことを通常ポート開放といいます

お礼

ありがとうございます。
マニュアルはもちろん読みましたが、設定項目の名称や意味が門外漢には難しくて分からなかったです。
ご回答を元にして、じっくり進めていきます。

回答No.6

774danger

あまりにもツッコミが恥ずかしすぎて出てきてしまいましたが、「インターネットからWinXPマシンに入ってくる通信」はCTUに余計な設定をしなければCTUのFirewall機能でフィルタリングされますので心配することはありません

あとはNo.1やNo.4のかたが書かれているように、デフォルトゲートウェイを設定しないか、適当なIPアドレスにしてしまえばXPのマシン→ルータを経由した外部との通信ができなくなりますので、XPのマシン←→インターネットの通信ができなくなります
あとは、XPのマシンで固定したIPアドレスに対して、XPのマシン→インターネットの通信を遮断するフィルタを書いておくといいでしょう
まあ、XPのマシンのIPアドレスを変更されたり、デフォルトゲートウェイのIPアドレスを設定しなおされたらアウトですけど

お礼

補足件お礼です。
特に設定をしなくてもWAN側からLANの特定のマシン(XP)へのパケットがフィルタリングされる、というのが何故なのか分からなかったです。
どうしてCTUが通信を通すマシン、通さないマシンを判断できるのか、もしよければ教えて下さい。

回答No.5

okgoripon

一応、危ないので再度ツッコミ。

ANo.4の方の言う設定では、ANo.1の例と同様に「WinXPマシンから出ていく通信」は遮断できますが、「インターネットからWinXPマシンに入ってくる通信」が遮断できません。
全く隔離になっていないです。

お礼

丁寧に有難うございます。

LANを生かしたまま特定マシンだけWANと遮断するというのはけっこう難しいことのようですね。

回答No.4

matyu1003

もっと簡単な方法がありますよ。IPアドレスが固定、というならXPマシンのネットワーク設定で、デフォルトゲートウェイを空欄にするだけでOKです。もし、XPマシンにファイアウォールソフトが導入されているなら、デフォルトゲートウェイのIPアドレスからの通信をすべて遮断してやれば、より良いでしょう。

お礼

XPマシンのファイアウォールはOS標準のまま使っています。
IPアドレス指定しての通信遮断項目は無いようです。

外部からの通信を遮断するは難しいかもしれませんね。
ありがとうございました。

回答No.3

okgoripon

一応、危ないのでツッコミ。

ANo.1の方の言う設定では「WinXPマシンから出ていく通信」は遮断できますが、「インターネットからWinXPマシンに入ってくる通信」が遮断できません。
全く隔離になっていないです。

お礼

重要な情報ありがとうございます。
外からのアクセスを遮断するのは難しいのですね。
大変助かりました。

回答No.2

okgoripon

http://mizushima.ne.jp/Windows/port/CTU/premium.php

このページを参考に、ファイアウォールのルール設定でWinXPマシンのIPアドレス(事前に固定で設定しておく必要あり)に対して「拒否」の設定をすれば、希望の状態にはなるでしょうね。

ただ、それで「インターネットから隔離されている」と言えるかどうかは微妙なところですが……。

お礼

リンク先のサーバーの応答がなくて見れませんでした。
あとから再度見てます。
どうもありがとうございます。

回答No.1

yama1214

XPのネットワークの設定でIPをDHCP自動取得から手動にしてデフォルトゲートウエーとDNSを0.0.0.0とかで指定しなければ良いのでは・・・、LANは使えますがWAN側には通信不可能と思います。

お礼

XPマシンから出て行く通信はその方法で遮断できるということですね？
了解です。ありがとうございます。