行き着いたのはヤマハのRT57i
最近、迷惑メールってやたら多いですよね。去年あたりから急増してきているような気がします。特にメールサーバを不正中継しようとするアクセスが多くって。いくらメールサーバの設定で拒否しても、懲りずにアクセスしてくるので、とくに多いドメインからのアクセスは入り口のルータで切ったりしてます。発信元は殆ど中国・韓国・台湾です。ま、それはおいといて。

LINKSYSのルータとマルチセッション」でInternetに出て行くルートを2つにしました。ところが最近、右ルータ→Internet→左ルータと流れてメールサーバにアクセスすると、なぜか無反応なことがあります。原因を調べてみると、右ルータが@Nifty経由でADSL接続しているとき、@Nifty以外のメールサーバへの接続を拒否するIPアドレスが割り当てられることが分かりました。いわゆる「25番ポートブロック」ってやつです。まったく、もー。勝手にそんなことしないでよね。純粋にInternet接続だけほしいんだから。いつでも@Niftyのメールサーバ通して発信してなんてできるわけないでしょ。持ち歩くノートPCがいつも@NiftyのADSLに繋がっているわけないんだから。

こういう状況は、Outlookの送信ボックスを見て、「あれ、さっき送信したメールがまだ出て行かない」と気づくことが多いのですが、そのたびに、右側のルータにLogonして、回線を切断して、20分ぐらい放っておいて、再接続すると、25番ポートブロックしていないIPアドレスが割り当てられることが多いので、ここ3ヶ月ぐらいこんなことしてました。でも、最近頻発するようになったので、ここらで何か考えねばと。

次の要件が解決できれば右側ルータを撤去できるわけで。

  1. ルータに設定するフィルタが増えてきているので処理速度を上げたい。
  2. 詳細はフィルタ設定で不正中継国のIPアクセスを切断したい。
  3. 内向きIPから一旦Internetに出て、戻ってきてグローバルIPのメールサーバにアクセスしたい。
  4. もちろん固定IP8個をサポートで、内向きIPはローカルIPで。

1番に関しては、最近の安いブロードバンドルータも性能が上がってきているので、どれを選んでもそれほど差はないかと思う。2番に関しては、SPIとかセキュリティ強化を謳っている割には、細かい設定が出来る機種は少ない。そもそもサーバを公開でもしない限りポートスキャンや不正中継なんて関係ないし。3番は殆ど対応できる機種がない。いままではI/OデータのNP-BBRという古い機械を使ってきたが、珍しくこの芸当ができまして(というかIPSpoofまで考えていない)、昨今のルータはIPSpoofと判定して遮断される機種ばかりです。4番も意外とバラツキがあり、DMZと称して無法地帯にしかできなかったり、内向きIPがグローバルIPになってしまったり。 あー、どうして、こう、ピッタリくるルータはないもんですかね。そもそも数千円レベルで探そうとするから間違いなのか(^^;

3番が出来ないと内部のIP設定を全部書き換えることになるので、古い機種で「Corega BAR SW-4P HG」が可能という書き込みを見つけて、Yahooオークションにて1000円で落札。さっそく試してみるものの、4番が出来ないことが判明して1日でお役御免。そのほか、手元にはオムロン、BUFFALO(これらは昔かったけどすべての条件を満たせず使わずじまい)、マイクロ総合研究所(会社の同僚に借りたが4番が駄目)が転がっているんだけど、これ以上使わないルータを増やすわけにもいかず。

そんな中、ヤマハのRT57iだけは出来ないことはなさそう。むかしISDNでOCNエコノミーやってたころ、「ネットボランチRTA50i」を使っていた。あれもかなり細かい設定をコマンドラインから出来たっけ。ちょっと高かったけど、安定動作していたし。それでいまはRT57iという機種が出ている。しかしその辺のルータと比べて10倍ぐらい高い。ヨドバシで3万8千円かぁ。あれこれ悩むんだったら、ちょっと高くても買ってみよう。いまどきISDNは使わないが、このDSUとかISDNを外せばもっと安くなるんではないか? ちょっとそんなことを思いつつも購入。

届いた日、さっそく設定画面にアクセスしてみる。ん?わからん!固定IP8個はどうやって設定するんだ。最初に画面でいくつか設定してみて、Console設定を見てみる。えらい沢山定義してあるなぁ。結局思い通りにはならなくて1日目は終了。

2日目。やっぱり画面に頼ってはだめだ。全部コンソールから設定しないとどの行が何を意味しているのかゴチャゴチャして分からないし。でも設定例集があるので心強い。すくなくともこの通りなら動くはずだがフィルタ設定が書いてない。うーん、フィルタ設定しないで接続なんて怖くてできない。

3日目。明け方のアクセスの少ない頃を見計らってルータ交換。一番簡単な設定を入れる。すんなり外部からサーバは見えた。すかさずフィルタも投入。げ!直ぐに繋がらなくなるし。ここで判明したのは、NATのフィルタを書くとき、入ってくるパケットの受信側はローカルIPで書くらしい。どおりでグローバルIPでは穴を開けれなかったわけだ。格闘すること数時間。やっとのことで1番から4番まで条件を満たしたフィルタに。

それにしても、ポートスキャンがやたら多いこと。2分に1回ぐらいのペースで、ドドーッとやってくる。発信元は204.16.208.0/22はアメリカか。SysLogに沢山アクセス拒否したリストが溜まっていく。ふーっ。