ポートフォワーディングとは何ですか？

ポートフォワーディング（ポートマッピングとも呼ばれる）は、特定の外部IPアドレスおよびポート宛ての着信パケットを内部のアドレスおよびポートに転送するネットワークアドレス変換（NAT）の手法であり、これにより、ネットワーク外部のデバイスがLAN内の特定のホストでホストされているサービスにアクセスできるようになります。

主なポイント

• ポートフォワーディングは、外部のアドレスとポートの組み合わせを内部のアドレスとポートの組み合わせにマッピングするものです。
• これは、ルーターまたはゲートウェイのWANエッジで適用されるNATの一種です。
• ルールはデフォルトでは有効になっていません。各ルールは明示的に作成する必要があります。
• 一般的なルールタイプ：宛先NAT、送信元NAT、静的NAT、NATなし。
• 内部のサーバー、カメラ、またはデバイスを、一般のインターネットに公開します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ポート転送とVersa · よくある質問

ポートフォワーディングはなぜ重要なのでしょうか？

プライベートLANのアドレス指定とNATは、デフォルトで内部ホストをインターネットから隠します。これはセキュリティ上有利ですが、正当な利用も妨げてしまいます。 自前でホストするWebアプリ、ゲームサーバー、防犯カメラのリモート視聴アプリ、あるいはリモートデスクトップセッションなどは、ネットワーク外から内部への接続を開く必要がありますが、通常のアウトバウンドNATには、そのパケットに対するルールがありません。ポートフォワーディングは、NATの保護機能を犠牲にすることなくこのギャップを埋めます。つまり、境界を越えて1つのホストに対して1つのアドレスとポートの組み合わせを開放し、それ以外のポートはすべて到達不能なままにするのです。

その「精度」こそが重要なポイントです。デバイスごとにパブリックIPを割り当てることや、1つのサービスのためにVPNを全面的に導入する代わりに、通信事業者は必要なプロトコルとポートのみを転送します。転送された各ポートはインターネットからの侵入経路にもなるため、ルールの適用範囲が広すぎると、攻撃者がアクセスできる範囲も広がってしまいます。

ポートフォワーディングとは何ですか？

ルーターやゲートウェイは、プライベートLANとパブリックWANアドレスの境界に配置されます。 ポートフォワーディングとは、そのデバイスを設定して、着信パケットの宛先を書き換える機能です。WANアドレスの特定のポートに到着したパケットの宛先アドレスとポートは、内部ホストのプライベートIPアドレスとポートに変更され、デバイスはトラフィックの流れを追跡して、返信トラフィックが正しく変換されるようにします。この着信側の書き換えは「宛先NAT」と呼ばれ、ポートフォワーディングという名称の由来となった方向性です。これは、内部ホストがインターネットにアクセスできるようにする「送信元NAT」とは区別されます。

ルールには通常、外部インターフェースとポート、内部アドレスとポート、およびプロトコルが指定され、重複するルールを解決するための優先順位値が設定されます。

ポートフォワーディングの種類

静的（手動）ポートフォワーディングは、管理者が明示的に設定する永続的なルールであり、1つの固定された外部ポートを1つの固定された内部ホストおよびポートにマッピングし、削除されるまでその状態を維持します。これは、常にアクセス可能でなければならないサーバーやカメラの標準的なケースです。動的ポートフォワーディングは、通常UPnPやNAT-PMP/PCPを通じて、アプリケーションによって自動的に一時的に開かれます。便利ですが、その代わりに、どのポートが開かれているかについて管理者が把握できなくなります。ポートトリガリングはさらに範囲が限定されています。ゲートウェイがトリガーポートを監視し、そのポートへの接続が確認された場合にのみ、セッションが終了するまで対応する着信ポートを開きます。また、分類上では、ポート変換を伴う宛先NATであるポートフォワーディングと、ポート変換を行わずにアドレス全体をマッピングする静的NATとが区別されています。

ポートフォワーディング &Versa

Versaの「Titan 」ポータル（Titan が管理するCSGブランチアプライアンス向けのクラウドコンソール）では、「ネットワーク」＞「LAN」＞「ポートフォワーディング」画面でポートフォワーディングの設定が可能です。WANインターフェースは、設定済みのもののみが選択肢として表示されるため、まず設定を行う必要があります。また、ポートフォワーディングはデフォルトでは有効になっておらず、各ルールは明示的に追加する必要があります。

Titan のルールには、名前、アドレス変換タイプ（宛先NAT、送信元NAT、静的NAT、またはNATなし）、WANインターフェース、優先度、およびタイプに応じて内部アドレス、外部アドレス、ポート、プロトコルが含まれます。ルールを作成すると、ファイアウォールのルールリストに一致するエントリが挿入され、その名前は _frd 接尾辞；このエントリは編集や削除ができず、無効化または順序変更のみ可能です。また、この画面ではデバイスのIPアドレスの予約や、ルールの内部ターゲットがずれないようにDHCPアドレスを固定する操作も行えます。

よくある質問

ポートフォワーディングとNATの違いは何ですか？

ポートフォワーディングは、NATの特定のケースの一つです。一般的なNATは、境界を越えるトラフィック（通常はプライベートネットワークから発信されるアウトバウンドトラフィック）のアドレスを変換します。一方、ポートフォワーディングはインバウンドの場合に適用されるもので、1つの外部アドレスとポートの組み合わせを内部ホストにマッピングし、要求されていないトラフィックがそのホストに到達できるようにするものです。

ポートフォワーディングはセキュリティ上のリスクになるのでしょうか？

その可能性があります。転送されたポートはすべて、インターネットからの明確で到達可能な侵入経路となるため、必要以上に広範なルールや、パッチが適用されていないサービスを対象としたルールは、攻撃対象領域を拡大してしまいます。ルールを特定のポート、プロトコル、送信元アドレスに限定することで、そのリスクを軽減できます。

静的ポートフォワーディングと動的ポートフォワーディングの違いは何ですか？

静的ポート転送とは、管理者が手動で設定するルールであり、削除されるまで有効です。動的ポート転送は、通常UPnPやNAT-PMPを通じて、アプリケーションによってセッションの期間中自動的に開かれ、セッションが終了するかタイムアウトになると閉じられます。

IPv6でもポートフォワーディングは依然として重要なのでしょうか？

それほど頻繁ではありません。IPv6では通常、各デバイスにグローバルにルーティング可能なアドレスが割り当てられるため、IPv4においてポートフォワーディングによって解決されていたプライベートアドレスのギャップは解消されています。ファイアウォールによるセグメンテーションのために、IPv6に対してもNATのようなルールを適用する導入事例は依然として存在しますが、単純なポートフォワーディングは主にIPv4時代の概念です。

1つのポート転送ルールで、複数のポートの範囲をカバーすることはできますか？

はい。Versaの「Titan Portal」を含むほとんどの実装では、ルールの外部側と内部側の両方で、一致するポート範囲（たとえば200から300まで）を受け入れます。これにより、ポートを1つずつ設定する代わりに、連続したポートのブロックをマッピングすることができます。

ポートフォワーディングの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ポートフォワーディングについて調べているなら、次はこれらもぜひチェックしてみてください。