Buffalo AirStationで内部ホストをインターネットに公開するときの注意事項

話の概要

AirStationの設定をミスってしまい、手元のストリーミングサーバ用ラズパイが意図せず何でもアクセスできるSandboxと化していたという、お粗末なお話がありましたので、注意事項を簡単にまとめてみました。

シチュエーション

• 外部（インターネット側）からラズパイにhttpでアクセスできればOK!
• セキュリティを考え、外部からはtcp/10080でアクセスして、AirStationのNAPTでhttp(tcp/80)に捻じ曲げて渡したい。

ポート変換のみでOK!!

以下、設定例です。

• AirStation側で待ち受けするポートを紐づける
  • プロトコル: [任意のTCPポート] 10080
• ラズパイのLAN側IPアドレスと、使用するポート番号を入力
  • LAN側IPアドレス: 192.168.1.100
  • LAN側ポート: 80 (tcp/udpの指定なし)

これだけでOKです!!

→設定詳細(buffaloのサイト)

はまったポイント

必要かと思い、AirStationのDMZ機能でラズパイのIPアドレスを登録してしまいました。

結果、インターネットからルータ宛の通信をsshなどすべて(tcp/10080以外も!!)ラズパイに素通ししていたようです…

DMZ機能は不要

DMZ機能をOFFにしても、外部(インターネット側)からtcp/10080でhttpに問題なくアクセスできることを確認。
特定のポートだけアクセス可にしたい場合は、ポート変換のみでOKなのが分かりました。

ちなみに

なぜSandbox化しているかわかったか？

たまたま、ラズパイの/var/log/auth.logを見て、sshのアクセス拒否のログが大量に記録されていたのが発端です。

理由がわかるまで、かなり悩みました…

Sandboxでさらしていて大丈夫だったか？

SSHを鍵交換認証必須にしていたため、特に不正ログインされた記録もなく、大丈夫でした。
やはり、セキュリティ対策は重要ですね…
ちなみに、ラズパイ(rapsbian)デフォルトIDの"pi"での試行記録は見つかりませんでした。案外メジャーなアカウント名ではないのかもですね。
この辺りは、別途纏めてみたいと思います。

以上、お粗末様でした…