RTX1200 VPNでのポートフィルタについて

質問

RTX1200同士でIPsecを使い、2拠点を接続しました。
LAN側はLAN1、WAN側はLAN２のLANポートを使用しています。
下記の解決方法は会ってますでしょうか。
セキュリティの観点から少々不安です。

やりたいことは、2点です。
１　拠点から本店のファイルサーバー（linux）に接続
２　本部から拠点の共有フォルダ（Windows8.1)に接続

現象
ルーティング設定は、出来ている
pingは、お互い通る
ファイルサーバーのGUIを開くことが出来る
ただし、やりたい事が2点出来ない

解決方法
本部、拠点ともにLAN1の　IN　側のパケットフィルタ（静的）を下記の設定にしました。

reject * * udp,tcp 135 *
reject * * udp,tcp * 135
reject * * udp,tcp 445 *
reject * * udp,tcp * 445

上記を全て削除

懸念点
元々、削除したreject内容がデフォルトだった為にセキュリティ的にどのようなリスクがあるのかが不安です。

LAN1側なのでそこまで神経質にならなくてもよいでしょうか。
ちなみにLAN２は、IN　OUTともにreject の設定です。

以上よろしくお願いします。

回答No.1

hirasaku

こんにちは。hirasaku です。

YAMAHAのWebUIにて設定を行った場合、大体のユーザー環境に適用できるようにセキュリティに関してのデフォルト設定が入ります。

結論から言うと、自分の環境でのセキュリティポリシーに合わせて設定しなおせばいいと思うのですが、それ自体が明確になっていないというのであれば明確にするか、明確にできないのであれば後手になるが問題が発生した時に対処する方法をとるかでしょう。

気になっている拒否のフィルターですが、RPCとCIFSです。
どちらもWindowsで使うポートですが、CIFSはファイル共有のポートなので、それを拒否したら共有フォルダにアクセスできないのは当たり前でしょう。
RPCはRPCを使うアプリを使用していなければ拒否でいいのでは。

個人的にですが、LAN側に先ほどのセキュリティポリシーがないのであれば、そもそもフィルターをかける必要はないと思います。

考え方としてWAN側でWindowsのファイル共有などすることはないでしょうし、そんな危険なことをするのはいかがかなと・・・
なので、WAN側にそのフィルタをデフォルトでかかっているのは当然だと思います。

懸念点のリスクに関してですが、リスクはない環境はありえないのでは。
すべてを許可するのが怖いのであれば、そのフォルダを共有しているホストだけ許可しそれ以外は拒否するフィルタを作成すればいいのでは。

どうでしょう。

お礼

回答、どうもありがとうございました。
おっしゃる通りだと思います。

自分としては、自信が無かったので非常に助かりました。