ルーターのファイアウォールを見直す｜不要な通信の遮断

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

ルーターのファイアウォールは、ネットワークを通過する通信を許可・遮断する機能である。外部からの不正な接続を防ぐだけでなく、機能によっては内部から外部への通信も制限できる。

家庭用ルーターでは、標準の通信制御が自動的に適用され、詳細な設定項目が用意されていない製品もある。また、IPv4とIPv6で保護の仕組みが異なる場合もあるため、それぞれの状態を確認する必要がある。

本Unitでは、ファイアウォールの有効状態と通信ルールを確認し、不要な許可設定を整理する。設定できない機能については、残るリスクと機器交換による改善効果を判断する。

ルーターのファイアウォール設定を確認する

ルーターの管理画面を開き、「ファイアウォール」「セキュリティ」「パケットフィルター」などの設定項目を探す。

確認する内容は次のとおりである。

確認項目確認内容
ファイアウォール機能の有効・無効
IPv4の通信制御外部からの新規接続を制限しているか
IPv6の通信制御外部からの新規接続を制限しているか
許可・遮断ルール個別に登録されたルールの有無
外向き通信の制限LANからインターネットへの通信を制限できるか
ログ遮断した通信などの記録を確認できるか

設定項目が見当たらない場合は、製品のマニュアルやメーカーのサポート情報を確認する。

標準でどの通信を遮断するのか、利用者が変更できる範囲はどこまでかを調べ、確認できなかった項目も記録しておく。

通信の許可・遮断ルールを確認する

ファイアウォールでは、通信の方向によって確認する内容が異なる。

通信の方向確認する内容
IPv4：外部からLANへ新規接続が原則遮断されているか
IPv6：外部からLANへ新規接続が原則遮断されているか
LANからインターネットへ外向き通信の制限があるか、設定できるか

一般的な家庭用ルーターでは、LANから開始したインターネット通信は許可し、外部からの新規接続は制限する構成が多い。

IPv4ではNATによって外部から内部機器への直接接続が通常は制限される。一方、IPv6ではNATを使わない構成が一般的なため、IPv6側のフィルタリング設定も確認する。

個別の通信ルールが登録されている場合は、次の項目を調べる。

  • 通信の方向： 外部から内部か、内部から外部か
  • 接続元・接続先： どの機器やアドレスが対象か
  • プロトコル・ポート： どの種類の通信が対象か
  • 動作： 許可する設定か、遮断する設定か
  • 用途： 現在も必要な通信か

ポート転送、UPnP、DMZホストなどの外部公開設定は、別Unit「ルーターの公開ポートを棚卸しする」で扱う。

不要な通信許可を削除・制限する

確認したルールのうち、不要な通信を許可しているものを見直す。

設定の状態対応
使用していないサービスへの許可ルールを削除する
接続元を限定できるのに全接続元を許可必要な接続元に限定する
必要以上に広いポート範囲を許可使用するポートだけに限定する
IPv4側だけに制限があるIPv6側にも必要な制限を設定する
用途が分からないルール設定目的を調べてから変更する

変更前には現在の設定を記録し、設定バックアップ機能がある場合は必要に応じて保存する。

特にVPNや業務システムの通信ルールを変更すると、必要なサービスへ接続できなくなる可能性がある。遠隔管理中のルーターでは、管理画面への接続経路を遮断しないよう注意したい。

変更は一度にまとめず、ルールごとに動作を確認しながら進める。

制御できない通信と残るリスクを評価する

家庭用ルーターでは、ファイアウォールの詳細な設定やログ表示ができない場合がある。

設定項目がない場合は、まずメーカー資料で標準動作を確認する。その結果に応じて、次のように判断する。

確認結果対応
標準の遮断動作が確認できる保護される範囲を把握する
標準動作は確認できるが変更できない必要な通信制御が実現できるか判断する
標準動作を確認できない保護状態を未確認として扱い、リスクを評価する
必要な制御機能がない対応するルーターへの交換を検討する

制御できない項目と残るリスク

項目残るリスク・制約対応機器への交換で期待できる効果
IPv6の外部着信制御外部からの不要な接続が遮断されているか確認できない遮断ルールを明示的に設定・確認できる
外向き通信の制限感染端末などからの外部通信をルーター側で制限できない通信先やポートを限定し、不審な通信の一部を抑制できる
接続元・接続先ごとの制御必要な機器や通信先だけに許可範囲を絞れない許可する通信の範囲を縮小できる
ファイアウォールログ不審な接続試行や遮断状況を調べにくい通信記録を調査や設定確認に利用できる

例えば、IoT機器の外部通信を特定の接続先に限定したい場合、外向き通信を制限できないルーターでは、その対策を実施できない。

一方、通信先やポートごとの制御に対応したルーターであれば、許可する通信を必要な範囲に絞り込める。ただし、許可された通信に紛れた不正通信まで、すべて遮断できるわけではない。

ルーターの交換を判断する

機器交換の必要性は、確認できない項目と、その機能が自分のネットワークに必要かどうかで判断する。

例えば、IPv6の外部着信が遮断されていることを確認できない場合は、外部から接続される可能性を排除できない。ただし、実際に外部着信が許可されているとは限らないため、未確認であることと危険な設定であることは区別する。

業務用機器への接続を制限したい場合や、IoT機器の通信先を限定したい場合は、必要なルールを設定できる機器への交換が有効である。

交換先では、IPv4・IPv6の通信制御、接続元・接続先の指定、ログの確認など、目的に必要な機能が備わっているかを確認する。

設定変更後の通信状態を確認する

設定を変更したら、必要な通信が維持され、不要な通信が遮断されているか確認する。

主な確認対象は次のとおりである。

  • インターネットへの接続
  • VPNや業務システムへの接続
  • クラウドサービスなど、普段使用する外部サービス
  • IPv4とIPv6それぞれの通信
  • 変更した許可・遮断ルールの動作

外部からの接続を制限した場合は、LAN内からの確認だけでは遮断状態を判断できない。必要に応じて、外部ネットワークから接続試験を行う。

外部診断は自分が管理する機器やサービスに限定し、利用するネットワークや診断サービスの規約を守る。

確認後は、変更した設定と動作結果を記録する。ルーターの初期化や交換、設定を変更した際には、ファイアウォールの状態も再確認する。