ネットワークエンジニアコミュの質問：ファイアウォール等のネットーワーク設定について

はじめまして。ネットワークエンジニアを目指し、勉強のためDDNSで固定IPを持たず自宅WEBサーバを立てています。

まだ初心者で、設定がよくわからないため、よろしければご教示ください。もしコミュニティでこのような初心者的質問がふさわしくないようであれば申し訳ございません。

固定IPを持っていないので、下図【現在の構成】のように、インターネットからWEBサーバへのアクセスは、DDNSとルータのポートフォワーディング機能で、プライベートアドレスのWEBサーバに転送されるようにしています。

そしてこの度、興味からファイアウォール(Fortigate60)を購入し、下図【将来の構成】のような構成にしたいと思っています。
固定IPを取得すれば簡単だと思いますが、でもこのまま固定IPは取得せず今まで通りDDNSで運用してみたいのです。

そのような場合、ルータ、ファイアウォール、及びPCやWEBサーバ用PCにはどのようなネットワーク設定をしてやればよいのでしょうか？

ルータにもファイアウォールにもポートフォワーディング・ルーティング機能があり、どのようにIPアドレス、ゲートウェイアドレス、ポート転送、静的ルーティング等の設定してやればよいのか、複雑でよくわからなく困っています。

【現在の構成】
Internet－[ADSLモデム付ルータ]－[HUB]－[PC]
　　　　　　　　　　　　　　　　　　　　　　　　｜
　　　　　　　　　　　　　　　　　　　　　 [WEBサーバ]

・ルータ(AtermDR202)のLAN側は192.168.0.1です。
・LAN側の機器には全て192.168.0.Xを割り当てています。
・PC、WEBサーバ用PCのデフォルトゲートウェイ設定は192.168.0.1(ルータのLAN側)です。
・ルータはPPPoEブリッジの機能有

【将来の構成】
Internet－[ADSLモデム付ルータ]－[F/W]－LAN側:PC
　　　　　　　　　　　　　　　　　　　　　　　　｜
　　　　　　　　　　　　　　　　　　　　　DMZ側:WEBサーバ

・ファイアウォール(Fortigate60)は
LAN側ポート×4、WAN側ポート×2、DMZポート×1
を備えています。

ファイアウォールを設置する意味など、ツッコミどころはあるかもしれませんが、どうぞよろしくお願いします。　　　　　　　　　　　　　　　

コメント(13)

最初
全て
最新の40件

[1] mixiユーザー 01月29日 21:08

同じような構成でサーバを管理しております。
が、これだけでは、アドバイスが非常にしずらいかな。

[2] mixiユーザー 01月29日 21:17

何もしなくてもビルトインでOKだと思いますが、どうなんでしょうね。
これと似た構成のシステムの試験をしたことがありますが、特に設定は必要なかったような。

[3] mixiユーザー 01月29日 21:20

ルータの後ろがプライベートなら
固定アドレスでもそうでなくても関係ないのでは...

まぁ、とりあえず手取り足取り教えましょう。

１．全部閉める
２．必要なものだけ開ける

以上。

本当に大事なのはどのようなサービスを実現させて、
何を守るのかです。まずはそこをよく練ってみると
よいンジャマイカ。

[5] mixiユーザー 01月29日 21:41

メーカーサイトでは77,000円となってましたね。
個人で使うには、結構なお値段しますね。

[6] mixiユーザー 01月29日 22:33

まず、DMZとLAN側（FortigateならInternalか？）のネットワークセグメントを分ける必要があります。
LANは今まで通り、192.168.0.0/24。
DMZは、172.16.1.0/24など別のプライベートアドレスを割振りましょう。

ですので、機器の各インターフェイスには、
LAN；192.168.1.1
DMZ；172.16.1.1
WEBサーバは172.16.1.2等を割振りし、172.16.1.2:80の通信はポートフォワーディングすれば、
ネットワークレイヤはそれでOKでは。

後は適切にFirewall Policyを決めて下さい。

[9] mixiユーザー 01月29日 23:55

皆さまコメントどうも有難うございます。参考になります。

構成図では簡略化しましたが、LAN側には3台のPCがありまして、勉強目的の他に、それぞれにアンチウイルスソフトを購入するのは高いので、1台のF/Wのアンチウイルス機能で対応しようという意図もあり購入しました。そしたら各PCはもっと安いウィルス対策ソフトかフリーソフトでやろうかなと。
本体は6万ちょいで、オプションのアンチウイルスとIDS機能を付け12万くらいでした。(痛…）

NATのIPの更新はフリーソフトの｢DiCE」を利用してます。
WEBサーバですが、ホームページの他にFTPやWebDAVも行っています。これからWEBアプリケーションやその他サービスも構築しようと考えています。

先ほどNetscreenですが少し参考になるサイトが見つかりました。
http://sc-comtex.sse.co.jp/products/netscreen/sales/kouseirei.html

F/WのトランスペアレントモードはIP的に透過してしまうので、NATモードでやってみようと思っています

お教えいただいた中で、まずはルータのPPPoEブリッジとセグメント分けで試してみたいと思います。

[10] mixiユーザー 01月29日 23:59

ふと疑問が一点

インターネット(ISP)からもらえるIPアドレスは、一つだけだと思うが、WEBに静的に1つローカルIPを割り当てたら
以下のようにNATテーブルを作る必要があるのでは？

<NATテーブル>
1:　WEBのローカルIP：ISPからもらったグローバルIP
2:　PCのローカルIP　：ISPからもらったグローバルIP　2個目？

フォーティゲートを使ったことがないから分からないのですが、WEBサーバにプロキシーを動かすようにする必要はない？

[11] mixiユーザー 01月30日 00:04

ヤッパリ初心者だからか、自宅でのネット構築をしたことがないからか、読めば読むほど不思議だ･･･。

＜抜粋＞
☆グローバルアドレスを、プライベートアドレスにマッピング（1対1もしくは1対Nの固定変換）します。

っと記載されているからには、Internetに見せているサーバに対するIPアドレスの見せ方は「１：１」ですよね。

そうすると、PCに割り当てる、アドレスって平気なの？

今のルータなら、多分できるんだろうﾅｧ･･･････。
80/tcpできたら、特定のローカルIPとマッピングさせているのかな･･･。

ちなみに、フォーティゲートにしても、フォーティネットや代理店に年間保守料を払わないと、ウィルスのパターンアップデートができなかったような気がするが･･･。

http://sc-comtex.sse.co.jp/products/netscreen/sales/kouseirei_nat.html
Trustゾーンのネットワークアドレスを公開しないので、セキュリティが高まります。

ステートフルインスペクション型のパケットフィルタでTrustからUntrustゾーンへの通信を制御。通信を許可した場合は、送信元のアドレスとポート番号を変換（NAT）処理。外側からは、Trustのアドレスは分からない。つまり外側から通信を開始できません。外側からTrustゾーンの端末にアクセスしたいときは、MIP（Mapped IP）またはVIP（Virtual IP）機能を用います。グローバルアドレスを、プライベートアドレスにマッピング（1対1もしくは1対Nの固定変換）します。

[12] mixiユーザー 01月30日 00:16

>silencejokerさん

ご指摘の点に対して、的を得た回答かわからないのですが、ISPからルータにふられるIPアドレスは動的であり、固定でないため、NATテーブルは作れません。ですのでDDNSとDiCEとポートフォワーディングで解決しています。

プロキシですが、今悩んでいるネットワーク構成が定まり次第、刺そうと思っています。ただまだ勉強してないので･･･どうやってたてればいいのかわかっていませんが･･･。

やはりプロキシは必須なのでしょうか？

[13] mixiユーザー 02月10日 21:05

>やはりプロキシは必須なのでしょうか？
ネットワークエンジニアを目指しているのであれば、設置しても面白いのではないでしょうか。
企業でインターネットに接続するときは、
プロキシを立てることが多いです。
理由：
・プロキシ認証でインターネット接続者を限定できる
・インターネットに実質直接接続するPCを限定することで
セキュリティを高める。
・プロキシに通信ログを残すことでクライアントがどこにアクセスしたのか分かる
等があります。
デメリットは、プロキシ経由する分、動的コンテツのページの表示スピードが犠牲になることですか、、

ログインすると、みんなのコメントがもっと見れるよ