Buffalo BBR-4MG,BBR-4HG + Kerio Personal Firewallについての設定メモ

■Buffalo(melco) BBR-4MG,BBR-4HG フィルタリング・ルール設定 （buffaloならその他機種もだいたい同じだと思います）

[補足説明]

外(WAN側)から入ってくるもの：

TCP,UDP共に原則制限し(*5)、受け取るのはプロバイダからのDHCP(UDP:68)のみ(*4)。

※外からのTCPをはじくと、FTPの非PASVモードが使えなくなりそうですが、問題なく使えます。
　おそらくルータの内部で、こちらから外部ホストのport21につないだ場合、其のホストのport20からの接続は特別に許可する
　というアルゴリズムにしているとしていると推測。

(*4)
　プロバイダからアドレスを自動的に割り当てられる場合は68ポートを受け取れるようにしておくことが必要。

内(LAN側)から出て行くもの：

UDPは原則制限し、DNS名前問い合わせ(UDP:53)と時刻合わせ(UDP:123)のみ通過。
TCPは原則解放。ただし、smtp接続(TCP:25)については、限られたホストへのみ。

(*2)(*3)
　ウイルスに感染しspamメールの踏み台になった場合のことを考えて、被害を最小限にするために、
　smtpポートは原則閉じて(*3)、普段使っているsmtpサーバへの接続だけを許可(*2)します。（自分のところは２カ所）
　よくわからない場合はこの制限はしない方がいいです。
　また、Radishなどの、portable smtp serverを使っている場合は、この制限をしてはいけません。

※2012.5追記
　最近は25番をメール送信のポートに使っているプロバイダは減っており、465番や587番ポートを使っていることが多いです。
　その場合は(*2)の行は不要で、(*3)の行で25番の制限だけしておけばいいです。

（おまけ）
　(*4)(*5)
　　自分のところでは、この３行を以下の３行にしています。
　　ICMPを含め全て制限し、プロバイダからのアドレス割り当て(DHCP)のために 218.xxx.yyy.0/20 からのICMP,UDP:68を許可。
　　ただ、プロバイダ側の設定が変更になった場合につながらなくなる恐れがあるので、ここまでする必要はないと思います。

[補足説明]

Kerio Personal Firewall（以下KPF）でもう少し、厳しく設定する。

　　※最近はCOMODO Internet Securityが定番のようです（2009夏追記）

上記ルータの設定では、"内から外へ"のTCP接続は原則制限しませんでした。
これは、PCによって用途が違うので、ルータでは原則は開放とし、必要に応じて各PCで out を制限しようという趣旨です。

各PCで、しかもアプリごとに接続を制限するツールのが KPF です。


■Kerio Personal Firewall設定（入手はここから）

いろいろな機能がありますが、パケットフィルタのみについて説明します。
「Network Security」「Applications」の画面で「Packet Filter」ボタンを押し、以下のように設定してみましょう。


Discription
Direction
Action
Local
Remote
protocol
Application
NETGAME
→ out
Permit
Any
Any
TCP, UDP
ネットゲームアプリへのPATH

IE
→ out
Permit
Any
Any
TCP, UDP
c:\program files\internet explorer\iexplore.exe

FTP
⇔ both
Permit
Any
Port: 20, 21
TCP
FTPソフトへのPATH @非PASV mode

Mailer
→ out
Permit
Any
Port: 25, 110
TCP
メーラーへのPATH

TRUSTED
⇔ both
Permit
Any
127.0.0.1, 224.0.0.1,
 192.168.11.0/24
Any
Any

IN_PASS
← in
Permit
Port:aaa, 68
Remote
TCP, UDP
Any

OUT_PASS
→ out
Permit
Local
Port: 53, 67, 123
Any
Any

IN_CUT
← in
Deny
Any
Any
Any
Any

OUT_CUT
→ out
Deny
Any
Any
Any
Any



[補足説明]（下から上へ説明します）

IN_CUT, OUT_CUT … 出て行くもの(OUT)も入ってくるもの(IN)も原則全て制限します。
OUT_PASS … DNS(53)とDHCPS(67)とNTP(123)宛は出て行けるようにします。NTPとは時刻合わせに使うﾌﾟﾛﾄｺﾙです。
IN_PASS … UDP:68(DHCPC)とネットゲームなどで開ける必要があれば Port aaa を Local で指定します。(*21)
TRUSTED … イントラネット内部のパケットは全て受け入れるようにします。
（ここからアプリケーション別の設定です。順不同）
Mailer … 普段使っているメーラーを指定します。OEとか電信八号とか。Remote port 25,110を許可します。(*22)
FTP … 説明はちょっと難しいのですが、とりあえず Direction ⇔ both でRemote Port:20,21を許可しておけばＯＫです。
IE … InternetExplorerです。何でもできるようにしてあります。慣れてきたらもう少しportを絞った方がいいかもしれません。
NETGAME … ネットゲーム等のアプリのoutを許可しましょう。様子を見ながらportなどを絞る方がいいでしょう。

(*21)
ここでaaaは開けずに、各アプリケーションで開けてもかまいません。

(*22)
OUT_PASSでは Port:25,110 を許可せずに、MailerのようにアプリごとにPASS設定できるところが
この KPF の便利なところです。指定のメーラー以外が（例えばウイルスがこっそり）プロバイダの
メールボックスにアクセスしようとしてもはじかれます。


※Direction:⇔ both の設定は一見便利そうですが、勘違いすると全くつながらなくなります。
　慣れないうちはin, out別に設定した方がいいでしょう。

※ルーター内に複数のＰＣを接続している場合にこの KPF を入れると、他ＰＣの共有フォルダやプリンタ等が見えなくなる場合があります。
　この場合、\Kerio\Personal Firewall 4\Config\IDSRules フォルダにある rules.idx ファイルをテキストエディタをひらき、
　「"netbios.rlk"」の項目の先頭に「#」を追加してFWを再起動してみてください。（#"netbios.rlk" とする）

※以上の解説は、少し古いバージョンのもので、最新版(2.1.5)は表現や設定方法が異なるようです（確認中）