Samba をファイアウォール越しに利用する - 版の履歴

Monyo: MS-RPC の情報追加

2006-12-31T12:50:39Z

MS-RPC の情報追加

← 古い版		2006年12月31日 (日) 12:50時点における版
9行目:		9行目:
	本文書では、Samba をファイアウォール越しに利用する場合に開放が必要なポートについての説明を記載します。		本文書では、Samba をファイアウォール越しに利用する場合に開放が必要なポートについての説明を記載します。

	=== 基本的な設定 ===		=== 基本的な機能 ===
	基本的には Samba との間の以下の通信を許可する必要があります。		基本的には Samba との間の以下の通信を許可する必要があります。

49行目:		49行目:
	利用する機能によっては、この他のポートの解放が必要な場合もあります。たとえば Samba サーバを Active Directory ドメインのメンバサーバとする場合は、Samba サーバと DC との間で Kerberos や LDAP などの動作に必要なポートを解放する必要があります。		利用する機能によっては、この他のポートの解放が必要な場合もあります。たとえば Samba サーバを Active Directory ドメインのメンバサーバとする場合は、Samba サーバと DC との間で Kerberos や LDAP などの動作に必要なポートを解放する必要があります。

			機能によっては MS-RPC に必要なポート(135/tcpおよびハイポートすべて)の開放が必要な場合もあります。
⚫	Samba は Windows NT 系 OS と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、マイクロソフト社の技術情報を参照して、開放が必要なポートを調査してください。

		⚫	Samba は Windows NT 系 OS と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、マイクロソフト社の技術情報を参照して開放が必要なポートを調査してください。

	例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバーシステムのサービス概要およびネットワークポート要件]」に機能ごとに開放が必要なポートの記述があります。		例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバーシステムのサービス概要およびネットワークポート要件]」に機能ごとに開放が必要なポートの記述があります。

Monyo: 全面的に記述を改訂

2006-12-31T12:47:37Z

全面的に記述を改訂

← 古い版		2006年12月31日 (日) 12:47時点における版
7行目:		7行目:

	== 説明 ==		== 説明 ==
	Samba をファイアウォール越しに利用する場合~~、Samba~~ に~~対する以下~~の通信を~~許可する必要があり~~ます。		本文書では、Samba をファイアウォール越しに利用する場合に開放が必要なポートについての説明を記載します。

			=== 基本的な設定 ===
⚫	{\| border="1~~" cellpadding="10~~"
			基本的には Samba との間の以下の通信を許可する必要があります。

		⚫	{\| border="1"
	\|-		\|-
	!style="background-color: #cccccc;"\|~~Samba サーバ上の待ち受けポート番号~~		!style="background-color: #cccccc;"\|通信目的
	!~~クライアントの接続元~~のポート		!Samba 側の待受けポート
			!接続元のポート
	!目的
	\|-		\|-
	\|style="background-color: #cccccc;"\|~~137/udp~~		\|style="background-color: #cccccc;"\|名前登録など
			\|137/udp
	\|137/udp		\|137/udp
	\|名前登録など
	\|-		\|-
	\|style="background-color: #cccccc;"\|~~138/udp~~		\|style="background-color: #cccccc;"\|ブラウジングなど
			\|138/udp
	\|138/udp		\|138/udp
	\|ブラウジングなど
	\|-		\|-
	\|style="background-color: #cccccc;"\|~~139~~/~~tcp~~		\|style="background-color: #cccccc;"\|ファイル / 印刷サービスなど
		⚫	\|139/tcp
	\|Hi/tcp		\|Hi/tcp
	\|ファイル / 印刷サービスなど
	\|-		\|-
	\|style="background-color: #cccccc;"\|~~445~~/~~tcp~~		\|style="background-color: #cccccc;"\|ファイル / 印刷サービスなど<br>(Direct Hosting of SMB)
		⚫	\|445/tcp
	\|Hi/tcp		\|Hi/tcp
	\|ファイル / 印刷サービスなど
	\|-
	\|style="background-color: #cccccc;"\|42/tcp
⚫	\|Hi/tcp
	\|WINS複製
	\|-
	\|style="background-color: #cccccc;"\|135/tcp
⚫	\|Hi/tcp
	\|RPC
	\|-
	\|style="background-color: #cccccc;"\|Hi/tcp
	\|Hi/tcp
	\|RPC
	\|}		\|}

	137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp が通過できればファイル/ 印刷サービスは実行できます。		137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp(もしくは 445/tcp)が通過できればファイル / 印刷サービスは提供できます。

	また TCP のため、下の図のように片方向からのアクセスを実現することも可能です。従って、特に問題がなければ、139/tcp だけをアクセスを許可したい方向のみ通過可能に設定するのがよいでしょう(注2)

	内部ネットワーク外部ネットワーク
	Windows クライアント
	------- [FW] --->
	Sambaマシン - 共有フォルダ1
	- 共有フォルダ2
	- 共有フォルダ3

		⚫	ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、

			\\192.168.1.1\share
	注2: 当然 TCP の戻りパケットは通過できるように設定しておく必要があります。

			のような記述方法で Samba サーバを IP アドレスで指定する必要があります。
⚫	ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、~~直接 Samba サーバを IP アドレスで指定する必要がありますので(注3)、注意して下さい。~~

			この他 SWAT を利用する場合は、Web ブラウザを実行するマシンのハイポートから Samba サーバの 901/tcp (デフォルト値の場合)への通信も許可する必要があります。
	注3: \\192.168.1.1\share のような記述方法になります。

			=== その他の機能 ===

			利用する機能によっては、この他のポートの解放が必要な場合もあります。たとえば Samba サーバを Active Directory ドメインのメンバサーバとする場合は、Samba サーバと DC との間で Kerberos や LDAP などの動作に必要なポートを解放する必要があります。
⚫	Samba は Windows NT と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、~~Microsoft~~社の各種技術情報などを参照~~するの~~が~~よいで~~しょう。

		⚫	Samba は Windows NT 系 OS と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、マイクロソフト社の技術情報を参照して、開放が必要なポートを調査してください。
⚫	~~今回の場合、~~例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバーシステムのサービス概要およびネットワークポート要件]」に~~関連する~~記述があります。

		⚫	例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバーシステムのサービス概要およびネットワークポート要件]」に機能ごとに開放が必要なポートの記述があります。
	なお、これは外部ネットワークのマシンがWindowsマシンの場合も同様で、特に Samba の機能が劣っているわけではありません。

	== 参照情報 ==		== 参照情報 ==

Monyo: 使用ポートの補足

2006-12-30T17:28:17Z

使用ポートの補足

← 古い版		2006年12月30日 (土) 17:28時点における版
11行目:		11行目:
	{\| border="1" cellpadding="10"		{\| border="1" cellpadding="10"
	\|-		\|-
	!style="background-color: #cccccc;"\|ポート番号		!style="background-color: #cccccc;"\|Samba サーバ上の待ち受けポート番号
			!クライアントの接続元のポート
	!目的		!目的
	\|-		\|-
	\|style="background-color: #cccccc;"\|137/udp		\|style="background-color: #cccccc;"\|137/udp
			\|137/udp
	\|名前登録など		\|名前登録など
	\|-		\|-
	\|style="background-color: #cccccc;"\|138/udp		\|style="background-color: #cccccc;"\|138/udp
			\|138/udp
	\|ブラウジングなど		\|ブラウジングなど
	\|-		\|-
	\|style="background-color: #cccccc;"\|139/tcp		\|style="background-color: #cccccc;"\|139/tcp
			\|Hi/tcp
	\|ファイル / 印刷サービスなど		\|ファイル / 印刷サービスなど
	\|-		\|-
	\|style="background-color: #cccccc;"\|445/tcp		\|style="background-color: #cccccc;"\|445/tcp
			\|Hi/tcp
	\|ファイル / 印刷サービスなど		\|ファイル / 印刷サービスなど
	\|-		\|-
	\|style="background-color: #cccccc;"\|42/tcp		\|style="background-color: #cccccc;"\|42/tcp
			\|Hi/tcp
	\|WINS複製		\|WINS複製
	\|-		\|-
	\|style="background-color: #cccccc;"\|135/tcp		\|style="background-color: #cccccc;"\|135/tcp
			\|Hi/tcp
			\|RPC
			\|-
			\|style="background-color: #cccccc;"\|Hi/tcp
			\|Hi/tcp
	\|RPC		\|RPC
	\|}		\|}

Monyo: 全面改訂中

2006-12-30T17:24:48Z

全面改訂中

@@ 1行目: / 1行目: @@
-{{冒頭部|J0114|2003/02/11|はせがわようすけ|たかはしもとのぶ}}
+{{冒頭部|J0114|2006/12/30|はせがわようすけ|たかはしもとのぶ}}
 ==対象==
 この文書は、以下のプロダクトに付いて説明したものです。
-* Samba 2.0.x オリジナル版
+* Samba 2.0 系列
-* Samba 2.2.x オリジナル版
+* Samba 2.2 系列
-* Samba 2.0.x 日本語版
+* Samba 3.0 系列
-* 137/udp   名前登録など
+|名前登録など
 /udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp が通過できればファイル/ 印刷サービスは実行できます。
@@ 37行目: / 50行目: @@
 注3: \\192.168.1.1\share のような記述方法になります。
 なお、これは外部ネットワークのマシンがWindowsマシンの場合も同様で、特に Samba の機能が劣っているわけではありません。
 この技術情報は「Linux Japan 2001年7月号: Samba-JP通信」の草稿を元に作成されています。

Ribbon: 新規追加

2006-08-24T02:53:58Z

新規追加

新規ページ

{{冒頭部|J0114|2003/02/11|はせがわようすけ|たかはしもとのぶ}}
==対象==
この文書は、以下のプロダクトに付いて説明したものです。
* Samba 2.0.x オリジナル版
* Samba 2.2.x オリジナル版
* Samba 2.0.x 日本語版
* Samba 2.2.x 日本語版

==Q. Samba をファイアウォール越しに利用しようとしていますが、ファイアウォールの設定はどのようにすればよいでしょうか??==
Samba は Windows NT と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、Microsoft社の各種技術情報などを参照するのがよいでしょう。

今回の場合、例えば「[[http://support.microsoft.com/default.aspx?scid=kb;ja;150543 JP150543:Windows NT、Terminal Server、および Microsoft Exchange サービスの TCP/IP ポートの使用について]]」に関連する記述があります。ただし、Samba では WINS 複製はサポートしませんので、42/tcp は利用しません。また DNS/DHCP/PPTP 等の機能は、元もと Samba の実装しているファイル共有とは関係がありません(注1)。

注1: WINS Manager 等が利用している 135/tcp も Samba は利用しません。なおこの技術情報注には 137/tcp という記述がありますが、これは 137/udp の記述ミスだと考えています。

これらを総合すると、Samba をファイアウォール越しに利用する際に必要なポートは以下の3つになります。

* 137/udp 名前登録など
* 138/udp ブラウジングなど
* 139/tcp ファイル / 印刷サービスなど

137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp が通過できればファイル/ 印刷サービスは実行できます。

また TCP のため、下の図のように片方向からのアクセスを実現することも可能です。従って、特に問題がなければ、139/tcp だけをアクセスを許可したい方向のみ通過可能に設定するのがよいでしょう(注2)

内部ネットワーク外部ネットワーク
Windows クライアント
------- [FW] --->
Sambaマシン - 共有フォルダ1
- 共有フォルダ2
- 共有フォルダ3

注2: 当然 TCP の戻りパケットは通過できるように設定しておく必要があります。

ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、直接 Samba サーバを IP アドレスで指定する必要がありますので(注3)、注意して下さい。

注3: \\192.168.1.1\share のような記述方法になります。

なお、これは外部ネットワークのマシンがWindowsマシンの場合も同様で、特に Samba の機能が劣っているわけではありません。

この技術情報は「Linux Japan 2001年7月号: Samba-JP通信」の草稿を元に作成されています。