ポート転送設定ジェネレーター

よく使うサービスのポート早見表

転送する前にポート番号とリスクレベルを確認してください。赤い項目はインターネットに直接公開しないでください。認証がない、あるいは破られた時点でマシンごと明け渡すことになるものばかりです。

表は横スクロールできます

該当するサービスがありません。別のキーワードかポート番号でお試しください。

保存を押す前に確認したい 8 項目

ポートを開けた瞬間、あなたの NAS は世界中のスキャナーの巡回対象になります。新しいグローバル IP が最初のスキャンを受けるまでは、たいてい数分です。以下を済ませておけば、自動化された攻撃のほとんどは入り口で止まります。チェック状態はご自身のブラウザに保存されます。

1. 既定ポートのまま使わない 5000・5001・8080 はスキャナーが真っ先に叩くポートです。10000 番以上のランダムなポートは標的型攻撃には無力ですが、無差別スキャンの 99% は振り切れます。上のジェネレーターの「安全なポートをランダム生成」がその用途です。
2. HTTPS だけを開き、HTTP は開かない HTTP ではカフェの Wi-Fi から自宅までの全区間でパスワードが平文のまま流れます。どの NAS でも Let's Encrypt の証明書を取得できます。設定できたら HTTP の転送ルールは削除してください。
3. admin を無効化し、別のユーザー名にする 総当たり用の辞書は 1 行目が admin、2 行目が root と相場が決まっています。既定の管理者を無効にし、推測されにくい名前の管理者を別に作れば、攻撃側は「パスワード」だけでなく「ユーザー名」も当てる必要が出てきます。
4. 二要素認証を有効にする ここで最も費用対効果が高い項目です。パスワードが他所から漏れて使い回されても、6 桁のコードがなければ入れません。主要な NAS OS には標準搭載で、QR を読むだけで設定できます。
5. ログイン失敗の自動ブロックを設定する 連続 5 回失敗で 1 時間ブロック。相手の試行回数が「1000 万回」で済むか「5 回」で終わるかを決める、総当たり対策として最も直接的なスイッチです。Synology は自動ブロック、QNAP は接続保護、その他は通常セキュリティ設定内にあります。
6. SSH・SMB・データベースのポートは転送しない 22・445・2049・3306・6379 をインターネットに出す理由はありません。リモートでファイル共有やデータベースが必要なら、まず VPN に接続して LAN アドレスを使ってください。ひと手間増える代わりに、身代金要求の芽がひとつ減ります。
7. 接続元 IP や国で制限する 接続元が 1 か国に限られるなら、その国だけに絞るだけでスキャン通信の大半が消えます。勤務先が固定なら、その出口 IP を許可リストに入れるほうが手軽です。
8. 設定後にここへ戻って一度テストする ルールが正しいことと、通ることは別です。ISP による遮断、上流の CGNAT、ファイアウォールの未許可——どれも黙って失敗します。上の「ポート疎通を検査」でインターネット側から実際に接続してみてください。LAN 内から自分で開くより遥かに確実です。

8 項目すべて完了。あとはログイン履歴をときどき見ることだけです。

ポートを開ける前に、選択肢は 4 つあります

ポート転送は最短ですが、常に最適とは限りません。そもそもグローバル IPv4 がない場合はなおさらです。4 つの選択肢はそれぞれ違う代償を伴います。着手する前に見比べてください。

表は横スクロールできます

自分がどれに当てはまるか分からない場合は、まず NAT タイプ判定 で CGNAT の内側かどうかを確かめ、次に IPv6 疎通テスト で IPv6 が通るかを確認してください。この 2 点が分かれば、上のどれを選ぶかはおのずと決まります。

併せて使える関連ツール

よくある質問