そのポート、本当に開ける？｜NAS・カメラを外に出す前の判断順【OpenWrt集中連載017】
NASを外から見たい。カメラをスマートフォンで確認したい。友人向けにゲームサーバーを立てたい。
そこで思いつくのが「ポート開放」です。しかし、設定画面を開く前に確認したいことがあります。
そのサービスは、不特定のインターネット利用者から見つけられてもよいものですか。
ポート開放は、外から来た特定ポートの通信を、LAN内の特定端末へ転送する設定です。入口を一つ作るだけでも、その先のサービスはインターネットから試される対象になります。
今回使っているOpenWrtルーターはこちらです。
最初に「誰が使うか」を決める
公開方法は、利用者で大きく変わります。
自分・家族・社内スタッフだけ: WireGuardやTailscaleを先に検討する
製品の安全なクラウド中継がある: メーカーの更新・認証・プライバシー条件を確認する
不特定の利用者へ提供する: 公開サービスとして設計する
ゲーム機や一時的なアプリ: 公式要件を確認し、必要な期間だけ使う
管理する人だけが使う入口は、VPNの内側へ置きます。
ポート番号を変えても、入口は入口
外部ポート番号を変えても、脆弱性や弱い認証は解決しません。広い範囲を調べる探索もあるため、「有名な番号ではない」ことを安全性の中心にしないでください。
公開先の更新・認証・ログと、公開範囲を管理します。
直接公開しないほうがよいもの
次の管理面は、原則としてVPNの内側へ置きます。
ルーターのLuCIとSSH
NASの管理画面
カメラや録画機の管理画面
Windows RDP
ハイパーバイザー、コンテナ、バックアップ装置の管理画面
初期パスワードや古いファームウェアのIoT機器
必要なのが「映像を見る」「ファイルを読む」だけなら、管理者権限の入口まで公開する必要はありません。利用機能と管理機能を分けます。
回線側から到達できるかを先に確認する
ルーターへ設定を追加しても、回線側で共有アドレスや共有ポートを使っていれば、希望するIPv4ポートへ外から到達できないことがあります。
確認するのは次の項目です。
WANにグローバルIPv4アドレスが割り当てられているか
上流にホームゲートウェイや別ルーターがないか
MAP-Eで割り当てられた利用可能ポートの範囲内か
DS-Liteなど共有IPv4方式で、通常の着信が制限されていないか
固定IPや法人向けサービスで、事業者指定の方式があるか
IPoEという名称だけで決めず、契約サービスを確認します。以下の読み取り例はLN6001-JPのメーカー提供のOpenWrtベースのOS（ver. 1.2.0.15）が対象です。
ifstatus wan
ifstatus wan6
ip route show default
ip -6 route show default
WANに見えるIPv4アドレスと、外部の確認サイトが示すIPv4アドレスが異なる場合は、上流NATや共有アドレスの可能性があります。ただし、アドレス表示だけで方式を断定せず、契約情報も合わせて見ます。
二重ルーターは二つの入口を設定する
ONU / HGW → 既存ルーター → LN6001-JP → 公開端末 のような構成では、LN6001-JPだけへPort Forwardを作っても届きません。
上流ルーターからLN6001-JPへ、LN6001-JPから公開端末へ、二段階の転送が必要になる場合があります。設定箇所が増え、原因切り分けも複雑になります。
可能なら、どの機器が回線接続とNATを担当するかを一台に整理します。HGW配下で使う場合は、ブリッジ・AP構成や、上流側の設計も含めて決めます。
IPv4転送とIPv6公開は別の話
IPv4のPort Forwardは、WAN側アドレスのポートをLAN内のプライベートIPv4へ変換して転送します。
IPv6では、端末がグローバルIPv6アドレスを持つことがあります。公開の可否はNATのPort Forwardではなく、IPv6ファイアウォールの許可ルールと端末側サービスで決まります。
IPv4で転送ルールを作っていないから、IPv6でも絶対に非公開とは限りません。IPv4とIPv6の両方で、外部からの着信方針を確認します。
公開するなら先に端末を整える
Port Forwardを作る前に、転送先サービスを公開用として準備します。
OS、アプリ、ファームウェアを更新する
初期アカウントと初期パスワードを廃止する
多要素認証や公開鍵認証を使えるか確認する
HTTPSなど暗号化された通信を使う
管理機能と一般利用機能を分ける
ログイン失敗や更新状況を確認できるようにする
バックアップと復旧方法を用意する
公開端末をLANの重要機器と分離する
公開先が侵害された時に、NAS、管理PC、ルーターへ横移動できない構成が理想です。
転送先IPをDHCP予約する
Port Forwardは、宛先IPが変わると別の端末へ届くか、届かなくなります。
公開端末のMACアドレスを確認し、DHCPのStatic LeaseでIPアドレスを予約します。端末側へ手動固定する場合も、DHCP配布範囲との重複を避けます。
予約後は端末を再接続し、想定したIPを取得したことを確認してから転送ルールを作ります。
LuCIで入力する項目を言葉で確認する
LN6001-JPでは、Network → Firewall → Port Forwards からルールを追加できます。
入力前に、014で契約回線の着信条件を確認してください。
入力前に、次を一行で書きます。
WANのTCP 24567を、server zoneの192.168.30.20 TCP 24567へ、必要な期間だけ転送する
確認する項目は次の通りです。
ルール名と用途
受信zoneはWANか
TCP、UDP、または両方か
外部ポートは一つか、必要な範囲だけか
内部zone、内部IP、内部ポートは正しいか
送信元IPを制限できるか
有効期限または削除日を決めたか
ポート範囲を広く開けず、製品やアプリの公式要件を確認します。
送信元を制限できるなら制限する
固定された拠点や管理サービスからだけ接続する場合は、送信元IPアドレスを限定できることがあります。
利用者を限定する
送信元アドレスを限定する
宛先端末とポートを限定する
公開期間を限定する
携帯回線や移動先から接続する用途では送信元が変わるため、現実的でない場合があります。その場合はVPNや認証プロキシなど別の入口を検討します。
UPnPは「端末が自分で入口を作る」
UPnP / NAT-PMP / PCPは、アプリや端末がルーターへ動的なポート割り当てを要求する仕組みです。ゲームや通話アプリでは便利です。
一方、管理者が把握していない入口が増える可能性があります。小さなオフィスでは、常時有効にする前に、必要な端末、内部インターフェース、許可ポート範囲、secure mode、現在のマッピングを確認します。
OpenWrt公式資料も、UPnPにはセキュリティ上のトレードオフがあると説明しています。不要なら無効にし、必要な場合も許可範囲を狭くします。
外部テストは本当に外から行う
LAN内からWAN側アドレスへ接続するテストは、NAT loopbackの挙動に左右されます。外部公開の確認にはなりません。
スマートフォンのWi-Fiを切り、携帯回線などLAN外から試します。
正しい公開アドレスまたは名前へ接続する
想定した認証画面だけが見えるか確認する
不要な管理画面や別ポートが見えないか確認する
転送先とルーターのログを確認する
IPv4とIPv6を別々に確認する
外部のポート確認サイトへ、社内専用ホスト名や不用意な情報を入力しないでください。検証用のサービスと手元のクライアントで確認する方法もあります。
公開後はログと更新を運用に入れる
ポートを開けると、認証失敗や探索アクセスが増える場合があります。
uci show firewall
iptables-save
ip6tables-save
logread | tail -n 200
転送ルールが存在するだけでなく、転送先サービスのログ、アカウント、証明書、更新、バックアップを確認します。公開サービスが不要になった時に、すぐ止められる担当者も決めます。
一時公開には終了条件を付ける
イベント、テスト、短期のゲームサーバーなどでは、ルール名に終了日を入れます。
「必要になったら消す」では、残り続けます。開始日、終了日、担当者、削除確認を一つのメモへ残します。
無効化しただけのルールも定期的に整理します。古い転送先IPや用途不明のルールは、誤って再有効化される原因になります。
閉じたことも、外から確認する
作業終了時は、手動のPort Forward、IPv6の許可ルール、動的マッピングのうち、今回使った入口を確認します。不要な入口を閉じたあと、携帯回線などから新しく接続し直し、公開していたサービスへ届かないことを確かめます。
ルール一覧から消えたことだけで完了にせず、IPv4とIPv6の結果、実施時刻、担当者を残します。外部公開を止めても、必要なLAN内利用や管理VPNが使えることまで確認すれば、戻し方も一つの手順になります。
うまくいかない時は入口から順に見る
LAN内では使えるが外から届かない
WANアドレス、回線方式、二重ルーター、転送ルール、転送先端末のファイアウォール、サービスのlisten状態を順に確認します。
ポート確認がclosedになる
転送先サービスが起動していなければ、ルールがあってもclosedに見える場合があります。内部IPとポート、プロトコル、サービスの待受を確認します。
IPoEで希望ポートを使えない
MAP-Eの割り当てポート外、DS-Liteなど共有IPv4の制約、契約方式の可能性があります。VNE・プロバイダの条件を確認し、VPNや固定IPサービスなどの代替を検討します。
IPv6で意図せず見えていないか心配
端末のグローバルIPv6、IPv6ファイアウォール、端末側の待受サービスを確認します。IPv4のPort Forward一覧だけでは判断できません。
棚卸し表を一枚持つ
ルールごとに次を残します。
用途と利用者
外部・内部ポートとプロトコル
転送先IPと管理者
公開開始日と終了条件
認証・更新・ログの確認方法
IPv4・IPv6・回線方式
最終確認日
用途を説明できないルールは、削除候補です。
次に読むなら
VPNを先に検討する: ポート開放の前にVPNを考える｜WireGuardとTailscaleで外から安全に入る
firewall zoneを整理する: GuestからNASを見せない｜firewall zoneを部屋分けで理解する
IPoE回線を見分ける: IPv6はつながるのにIPv4が開かない？｜LN6001-JPでIPoE回線をまず見分ける
