SRT100で安全に自宅サーバーを公開する（ネットワーク設計編）
2010.07.10/Sat/23:44:59
 | 現在居住のマンションにはケーブルテレビ系の光アクセスのＩＳＰ（インターネット・サービス・プロバイダー）が入っているのですが、そのサービスに特徴があり、デフォルトでは各ＰＣにグローバルＩＰアドレスが振られます。 その特性を利用して YAMAHA の高性能ファイヤーウォール・ルーター SRT100 で安全に自宅サーバーを公開する計画を立てました。 今回はその第一回目、ネットワーク設計編です。 |
【マンションＬＡＮについて】
私が入居するマンションは、入居者全員にインターネットサービスが付いていて（利用料は負担）、各部屋に LAN ケーブルを差し込む口が用意されています。ところが、そのサービス提供仕様が面白くて、「接続した各ＰＣに１つずつ、グローバルＩＰアドレスが付与される」という、ある意味すごく贅沢な仕様です。
（入居当初のネットワーク仕様）
贅沢ではありますが、各PCにグローバルIPアドレスが付与されるということは、インターネット側からピンポイントでそのＰＣアクセスできるということを意味します。この形態は各ＰＣのセキュリティを非常に厳格にする必要があり、セキュリティ上はあまり望ましくありません。
そのため、私は間に１台ルーターをかまし、外部からのアクセスを遮断しています。
（現在の家庭内LAN構成）
こうすると、各ＰＣにはインターネットからは直接アクセスできない「プライベートＩＰアドレス」が付与され、内部からのインターネットアクセスが自由にできつつ、外部からそのＰＣにはアクセスできないような構成にすることができます。
利用しているルーターは Buffalo の BBR-4HG です。5,000円程度で買える安価なルーターの割には速度と機能が素晴らしく、愛用しています。すでに発売されてから数年たっていて、最新のファームウェアでは安定性もかなり向上しています。
BUFFALO 有線BBルータ ハイエンドセキュリティモデル [BBR-4HG]
【自宅サーバー構築計画】
仕事柄、調査研究のために自宅に試験的なウェブサーバーを立てて見ようと考えています。現在家庭で一般利用しているインターネットアクセスのグローバルＩＰアドレスでサーバーを公開するのは危険が高いので、グローバルＩＰアドレスをもう一つ取得したいところです。
その際、現在利用中のインターネットサービス仕様はかなり魅力的です。ウェブサーバーを立てるには、そのサーバーに割り当てるグローバルＩＰアドレスが必ず必要ですが、現在利用中のサービスではグローバルＩＰアドレスが使い放題となるからです。（注：本当は「固定」グローバルＩＰアドレスが欲しいところですが、ここでは固定ではありません。したがって、業務で利用するような一般的なウェブサーバーは立てられません。）
別のグローバルＩＰアドレスを取得するには、ブロードバンドルーター（BBR-4HG）の前のポジションでＰＣを設置するか、ルーターを立てる必要があります。しかし、ＰＣにグローバルＩＰアドレスを割り当て、直接インターネットにそのＰＣを公開するのは非常に危険です。したがって、ルーターを間に入れてセキュリティを確保します。
ちょうど、YAMAHA の SRT100 というファイヤーウォールルーターが利用可能だったので、その活用を考えました。
（YAMAHA Firewall Router SRT100）
この機種は家庭用としては贅沢すぎるほど立派なルーターで、業務用としても十分通用する性能を持っています。安定性に関してもピカイチで、今まで YAMAHA のネットワーク製品を利用してきた中で、それらが不安定になったり、故障したりした経験は一度もありません。極度に高い信頼性と安定性が要求される業務用ネットワーク機器を選択する場合でも YAMAHA の製品を指名するファンも多いと聞きます。
【素直に配線すると...】
公開用のサーバーは宅内ハブの接地されている配線盤には置けません。現状は、BBR-4HG と宅内ハブが接地されているこの位のスペースしかない場所です。
（現在のネットワーク配線盤）
したがって、サーバーは「部屋Ａ」に設置します。したがって、配線盤から部屋Ａに通常の家庭内ＬＡＮ以外の通信を通す必要があります。
素直に考えると、下記の図のように配線盤から部屋ＡにＬＡＮケーブルを追加で通す必要が生じます。
（２本のＬＡＮケーブルが必要な構成）
残念ながら、宅内ルーターから各部屋へは１本のＬＡＮ配線しか存在しません。工事業者を呼んで依頼すればやってくれるでしょうが、数万円の出費となってしまいます。ここはひとつ頭で解決したいところです。
ＬＡＮの通信規格で、最大100Mbps の 100Base-T までは、LAN ケーブルの中の８本の信号線のうち、４本しか利用していませんでした。したがって、残りの４本を別のＬＡＮケーブルのように取り扱うようにＬＡＮコネクター（RJ-45）の端子接続を工夫して、２本分のＬＡＮケーブルの配線を１本にまとめてしまうという技が使えました。しかし、現在の最新仕様のギガビット通信（1000Base-T）では、ＬＡＮケーブル内の８本の信号線をすべて利用しますので、ギガビットＬＡＮを意識するとこの手法は使えません。
したがって、次の手立てを考えます。
【２セグメント混在通信】
実はＬＡＮケーブルがたとえ１本でも、その中にＬＡＮセグメントが異なる複数の通信が混在しても支障はありません。読み取り側のＬＡＮカードが、自分の読み取りたいセグメントの通信だけを取得し、その他は無視するからです。この特性を利用し、宅内ハブから部屋Ａに、２種類のＬＡＮセグメントを送り届ける方針で解決を図ります。その案が次の図です。
（２セグメント混在ＬＡＮによる解決策）
【ハブを節約しよう】
ここでもうひとひねりしてみます。上の図では２つのグローバルＩＰを対応するそれぞれに渡す「上流ハブ」が必要ですが、これを何とかできないでしょうか。１つのＬＡＮケーブルを２つに分けるだけなので、４ポートのハブを余分に用意するのは何となくもったいないです。
そこで、SRT100 を通常とは「反対に」利用することを検討して見ます。次の図は SRT100 の背面の写真です。
（SRT100の背面端子）
ＬＡＮ端子の部分を拡大して見てみます。
（LAN端子部分の拡大写真）
LAN1 の端子部分は、このようにハブが搭載されています。このハブを「上流ＬＡＮ」として利用できないでしょうか。通常のブロードバンドルーターは、インターネット側に１ポートのＬＡＮ端子、ＰＣ接続側に複数ポートのＬＡＮ端子が搭載されています。この SRT100 も、ＬＡＮ２端子がインターネット側、ＬＡＮ１端子がＰＣ側と想定されています。
しかし、YAMAHA のルーターはインターネット接続用だけでなく、２つのＬＡＮセグメントを接続するローカルルーターとしても定評があり、ＬＡＮ１とＬＡＮ２の扱いは設定次第で融通が利くはずだと考えました。
したがって、SRT100 のＬＡＮ１端子とＬＡＮ２端子を逆転利用することにより、ＬＡＮ１側のハブ機能を上流ハブとして利用する構成を考えました（下図）。
（今回目標とするネットワーク構成図）
【次はルーター設定】
ネットワーク設計が済んだところで、次は、ルーター設定、サーバー設定、動作確認、セキュリティ・チェックとタスクが続きます。
次回は SRT100 のルーター設定と疎通確認について紹介したいと思います。
【関連ページ】
SRT100で安全に自宅サーバーを公開する（ネットワーク設計編）
SRT100で安全に自宅サーバーを公開する（ルーター設定編）
SRT100で安全に自宅サーバーを公開する（サーバー構築編）
web サーバーで SSH サービスを公開する場合
phpMyAdmin に対する攻撃について
-----
最後までご覧いただきまして、どうもありがとうございました。
私が入居するマンションは、入居者全員にインターネットサービスが付いていて（利用料は負担）、各部屋に LAN ケーブルを差し込む口が用意されています。ところが、そのサービス提供仕様が面白くて、「接続した各ＰＣに１つずつ、グローバルＩＰアドレスが付与される」という、ある意味すごく贅沢な仕様です。
（入居当初のネットワーク仕様）
贅沢ではありますが、各PCにグローバルIPアドレスが付与されるということは、インターネット側からピンポイントでそのＰＣアクセスできるということを意味します。この形態は各ＰＣのセキュリティを非常に厳格にする必要があり、セキュリティ上はあまり望ましくありません。
そのため、私は間に１台ルーターをかまし、外部からのアクセスを遮断しています。
（現在の家庭内LAN構成）
こうすると、各ＰＣにはインターネットからは直接アクセスできない「プライベートＩＰアドレス」が付与され、内部からのインターネットアクセスが自由にできつつ、外部からそのＰＣにはアクセスできないような構成にすることができます。
利用しているルーターは Buffalo の BBR-4HG です。5,000円程度で買える安価なルーターの割には速度と機能が素晴らしく、愛用しています。すでに発売されてから数年たっていて、最新のファームウェアでは安定性もかなり向上しています。
BUFFALO 有線BBルータ ハイエンドセキュリティモデル [BBR-4HG]
【自宅サーバー構築計画】
仕事柄、調査研究のために自宅に試験的なウェブサーバーを立てて見ようと考えています。現在家庭で一般利用しているインターネットアクセスのグローバルＩＰアドレスでサーバーを公開するのは危険が高いので、グローバルＩＰアドレスをもう一つ取得したいところです。
その際、現在利用中のインターネットサービス仕様はかなり魅力的です。ウェブサーバーを立てるには、そのサーバーに割り当てるグローバルＩＰアドレスが必ず必要ですが、現在利用中のサービスではグローバルＩＰアドレスが使い放題となるからです。（注：本当は「固定」グローバルＩＰアドレスが欲しいところですが、ここでは固定ではありません。したがって、業務で利用するような一般的なウェブサーバーは立てられません。）
別のグローバルＩＰアドレスを取得するには、ブロードバンドルーター（BBR-4HG）の前のポジションでＰＣを設置するか、ルーターを立てる必要があります。しかし、ＰＣにグローバルＩＰアドレスを割り当て、直接インターネットにそのＰＣを公開するのは非常に危険です。したがって、ルーターを間に入れてセキュリティを確保します。
ちょうど、YAMAHA の SRT100 というファイヤーウォールルーターが利用可能だったので、その活用を考えました。
（YAMAHA Firewall Router SRT100）
この機種は家庭用としては贅沢すぎるほど立派なルーターで、業務用としても十分通用する性能を持っています。安定性に関してもピカイチで、今まで YAMAHA のネットワーク製品を利用してきた中で、それらが不安定になったり、故障したりした経験は一度もありません。極度に高い信頼性と安定性が要求される業務用ネットワーク機器を選択する場合でも YAMAHA の製品を指名するファンも多いと聞きます。
【素直に配線すると...】
公開用のサーバーは宅内ハブの接地されている配線盤には置けません。現状は、BBR-4HG と宅内ハブが接地されているこの位のスペースしかない場所です。
（現在のネットワーク配線盤）
したがって、サーバーは「部屋Ａ」に設置します。したがって、配線盤から部屋Ａに通常の家庭内ＬＡＮ以外の通信を通す必要があります。
素直に考えると、下記の図のように配線盤から部屋ＡにＬＡＮケーブルを追加で通す必要が生じます。
（２本のＬＡＮケーブルが必要な構成）
残念ながら、宅内ルーターから各部屋へは１本のＬＡＮ配線しか存在しません。工事業者を呼んで依頼すればやってくれるでしょうが、数万円の出費となってしまいます。ここはひとつ頭で解決したいところです。
ＬＡＮの通信規格で、最大100Mbps の 100Base-T までは、LAN ケーブルの中の８本の信号線のうち、４本しか利用していませんでした。したがって、残りの４本を別のＬＡＮケーブルのように取り扱うようにＬＡＮコネクター（RJ-45）の端子接続を工夫して、２本分のＬＡＮケーブルの配線を１本にまとめてしまうという技が使えました。しかし、現在の最新仕様のギガビット通信（1000Base-T）では、ＬＡＮケーブル内の８本の信号線をすべて利用しますので、ギガビットＬＡＮを意識するとこの手法は使えません。
したがって、次の手立てを考えます。
【２セグメント混在通信】
実はＬＡＮケーブルがたとえ１本でも、その中にＬＡＮセグメントが異なる複数の通信が混在しても支障はありません。読み取り側のＬＡＮカードが、自分の読み取りたいセグメントの通信だけを取得し、その他は無視するからです。この特性を利用し、宅内ハブから部屋Ａに、２種類のＬＡＮセグメントを送り届ける方針で解決を図ります。その案が次の図です。
（２セグメント混在ＬＡＮによる解決策）
【ハブを節約しよう】
ここでもうひとひねりしてみます。上の図では２つのグローバルＩＰを対応するそれぞれに渡す「上流ハブ」が必要ですが、これを何とかできないでしょうか。１つのＬＡＮケーブルを２つに分けるだけなので、４ポートのハブを余分に用意するのは何となくもったいないです。
そこで、SRT100 を通常とは「反対に」利用することを検討して見ます。次の図は SRT100 の背面の写真です。
（SRT100の背面端子）
ＬＡＮ端子の部分を拡大して見てみます。
（LAN端子部分の拡大写真）
LAN1 の端子部分は、このようにハブが搭載されています。このハブを「上流ＬＡＮ」として利用できないでしょうか。通常のブロードバンドルーターは、インターネット側に１ポートのＬＡＮ端子、ＰＣ接続側に複数ポートのＬＡＮ端子が搭載されています。この SRT100 も、ＬＡＮ２端子がインターネット側、ＬＡＮ１端子がＰＣ側と想定されています。
しかし、YAMAHA のルーターはインターネット接続用だけでなく、２つのＬＡＮセグメントを接続するローカルルーターとしても定評があり、ＬＡＮ１とＬＡＮ２の扱いは設定次第で融通が利くはずだと考えました。
したがって、SRT100 のＬＡＮ１端子とＬＡＮ２端子を逆転利用することにより、ＬＡＮ１側のハブ機能を上流ハブとして利用する構成を考えました（下図）。
（今回目標とするネットワーク構成図）
【次はルーター設定】
ネットワーク設計が済んだところで、次は、ルーター設定、サーバー設定、動作確認、セキュリティ・チェックとタスクが続きます。
次回は SRT100 のルーター設定と疎通確認について紹介したいと思います。
【関連ページ】
SRT100で安全に自宅サーバーを公開する（ネットワーク設計編）
SRT100で安全に自宅サーバーを公開する（ルーター設定編）
SRT100で安全に自宅サーバーを公開する（サーバー構築編）
web サーバーで SSH サービスを公開する場合
phpMyAdmin に対する攻撃について
-----
最後までご覧いただきまして、どうもありがとうございました。
カテゴリ: パソコン・インターネット
go page top
« 書評 これからの「正義」の話をしよう
オーバーステア、アンダーステアの誤解 »
この記事に対するコメント
ハブの節約
2セグメント混在通信のところで、ハブの節約が出てきましたが、ヤマハのSRT100ではなく、バッファローのBBR-HG4にもスイッチングハブは内蔵されていますが、BBR-HG4のスイッチングハブを利用した逆転利用はできないでしょうか？Re: ハブの節約
雨男さまコメントありがとうございました。
BBR-HG4 の利用向きを逆転させて、スイッチングハブを持つ多端子側を WAN として利用するということができるかについてですが、今回の目的に即した場合、残念ながら難しいと思われます。BBR-HG4 の制御は YAMAHA のようにコマンドではなく、WEB 画面による方式で、WAN 側は WAN 端子であることを前提に設定が構築されています。たとえば、IPマスカレードを使う場合、方向としては LAN 側から WAN 側への通信など、端子の用途と方向性が設定上、固定化されています。
その点、YAMAHA のこのクラスのルーターは LAN1, LAN2 とも、ルーター内ではどちらも同等の扱いになっていて、コマンドライン上で、LAN1, LAN2 を交換すれば、そのように動作する仕組みとなっています。
したがって、このような使い方は YAMAHA や Cisco のように、コマンドレベルの設定が可能な、準業務向けのルーターでないと、活用が難しいと思います。
URL | 館長 #-
2015/09/08 08:59 * 編集 *
2015/09/08 08:59 * 編集 *
管理人のみ閲覧できます
このコメントは管理人のみ閲覧できます
| #
2018/02/25 15:19 * 編集 *
2018/02/25 15:19 * 編集 *
BBR-4HG 側の設定について
ネットワークにはあまり詳しくなく、ちょくちょくと勉強してる最中ですが、本記事ではSRT100を使用してましたが、私はFXW120を使用しようと思ってます。BBR-4HG 側では特に設定をいじってないのでしょうか？
URL | 栗本 #-
2018/02/25 15:20 * 編集 *
2018/02/25 15:20 * 編集 *
栗本さま、コメントありがとうございました。
はい、BBR-4HG 側は通常のインターネット閲覧用途のため、BBR-4HG には特殊な設定はしていません。
はい、BBR-4HG 側は通常のインターネット閲覧用途のため、BBR-4HG には特殊な設定はしていません。
URL | 館長 #-
2018/02/26 08:34 * 編集 *
go page top
2018/02/26 08:34 * 編集 *
トラックバック
承認制としています。無関係なものは承認されない場合があります。
トラックバックURL
→https://ace.reviewmagic.jp/tb.php/258-fb51f759
この記事にトラックバックする(FC2ブログユーザー)
トラックバックURL
→https://ace.reviewmagic.jp/tb.php/258-fb51f759
この記事にトラックバックする(FC2ブログユーザー)
| h o m e |
