IX2215にフィルタを入れたら家のネットが落ちた

ルータをNECのIX2215にして、WAN側にフィルタを入れることにした。「必要なポートだけ許可して、残りは全部拒否」のつもりで3行入れたら、家のインターネットが全部止まった。

何が起きたか

入ってくる通信を全部拒否すると、自分から出ていった通信の返事まで拒否される。Webを見るときも、返事が戻ってこなければ何も表示されない。

直し方：動的フィルタ

IXには、出ていった通信の戻りだけを自動で通す「動的フィルタ」がある。

ip access-list out-all permit ip src any dest any
ip access-list dynamic wan-out access out-all

interface GigaEthernet0.1
  ip filter wan-out 1 out
  ip filter wan-in 1 in
  ip filter block-all 100 in

こうすると、出ていった通信の戻りは通り、外から勝手に来る通信だけが拒否される。Minecraftのポートなどは wan-in で個別に許可した。

ほかにハマったこと

• ポート番号は dport 25565 ではなく dport eq 25565 と書く。
• 設定を貼り付けるときに日本語のコメントが混ざると文字化けして、設定モードから抜けてしまう。貼り付けるのは半角英数字だけにした。
• ACLの途中に1行足したいときは、インターフェースから外す → リストを消す → 作り直す → 付け直す、の順でやる。

今の状態

WANだけでなく、VLANの間にもフィルタを入れた。公開用のDMZからは、決めたサーバーの決めたポートにしか行けないようにしている。