「Samba をファイアウォール越しに利用する」の版間の差分

提供:Samba-JP
ナビゲーションに移動検索に移動
(使用ポートの補足)
(全面的に記述を改訂)
7行目: 7行目:


== 説明 ==
== 説明 ==
Samba をファイアウォール越しに利用する場合、Samba 対する以下通信許可する必要があります。
本文書では、Samba をファイアウォール越しに利用する場合に開放が必要なポートについて説明記載します。


=== 基本的な設定 ===
{| border="1" cellpadding="10"
基本的には Samba との間の以下の通信を許可する必要があります。

{| border="1"
|-
|-
!style="background-color: #cccccc;"|Samba サーバ上の待ち受けポート番号
!style="background-color: #cccccc;"|通信目的
!クライアントの接続元のポート
!Samba 側待受けポート
!接続元のポート
!目的
|-
|-
|style="background-color: #cccccc;"|137/udp
|style="background-color: #cccccc;"|名前登録など
|137/udp
|137/udp
|137/udp
|名前登録など
|-
|-
|style="background-color: #cccccc;"|138/udp
|style="background-color: #cccccc;"|ブラウジングなど
|138/udp
|138/udp
|138/udp
|ブラウジングなど
|-
|-
|style="background-color: #cccccc;"|139/tcp
|style="background-color: #cccccc;"|ファイル / 印刷サービスなど
|139/tcp
|Hi/tcp
|Hi/tcp
|ファイル / 印刷サービスなど
|-
|-
|style="background-color: #cccccc;"|445/tcp
|style="background-color: #cccccc;"|ファイル / 印刷サービスなど<br>(Direct Hosting of SMB)
|445/tcp
|Hi/tcp
|Hi/tcp
|ファイル / 印刷サービスなど
|-
|style="background-color: #cccccc;"|42/tcp
|Hi/tcp
|WINS複製
|-
|style="background-color: #cccccc;"|135/tcp
|Hi/tcp
|RPC
|-
|style="background-color: #cccccc;"|Hi/tcp
|Hi/tcp
|RPC
|}
|}


137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp が通過できればファイル/ 印刷サービスは実行できます。
137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp(もしくは 445/tcp)が通過できればファイル / 印刷サービスは提供できます。

また TCP のため、下の図のように片方向からのアクセスを実現することも可能です。従って、特に問題がなければ、139/tcp だけをアクセスを許可したい方向のみ通過可能に設定するのがよいでしょう(注2)

内部ネットワーク 外部ネットワーク
Windows クライアント
------- [FW] --->
Sambaマシン - 共有フォルダ1
- 共有フォルダ2
- 共有フォルダ3


ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、


\\192.168.1.1\share
注2: 当然 TCP の戻りパケットは通過できるように設定しておく必要があります。


のような記述方法で Samba サーバを IP アドレスで指定する必要があります。
ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、直接 Samba サーバを IP アドレスで指定する必要がありますので(注3)、注意して下さい。


この他 SWAT を利用する場合は、Web ブラウザを実行するマシンのハイポートから Samba サーバの 901/tcp (デフォルト値の場合)への通信も許可する必要があります。
注3: \\192.168.1.1\share のような記述方法になります。


=== その他の機能 ===


利用する機能によっては、この他のポートの解放が必要な場合もあります。たとえば Samba サーバを Active Directory ドメインのメンバサーバとする場合は、Samba サーバと DC との間で Kerberos や LDAP などの動作に必要なポートを解放する必要があります。
Samba は Windows NT と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、Microsoft社の各種技術情報などを参照するのよいでょう


Samba は Windows NT 系 OS と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、マイクロソフト社の技術情報を参照して、開放必要なポートを調査てください
今回の場合、例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバー システムのサービス概要およびネットワーク ポート要件]」に関連する記述があります。


例えば「[http://support.microsoft.com/kb/832017/ja Windows サーバー システムのサービス概要およびネットワーク ポート要件]」に機能ごとに開放が必要なポートの記述があります。
なお、これは外部ネットワークのマシンがWindowsマシンの場合も同様で、特に Samba の機能が劣っているわけではありません。


== 参照情報 ==
== 参照情報 ==

2006年12月31日 (日) 12:47時点における版

KB番号 J0114
最終更新日 2006/12/30
作成者 はせがわようすけ
最終更新者 たかはしもとのぶ

対象

この文書は、以下のプロダクトに付いて説明したものです。

  • Samba 2.0 系列
  • Samba 2.2 系列
  • Samba 3.0 系列

説明

本文書では、Samba をファイアウォール越しに利用する場合に開放が必要なポートについての説明を記載します。

基本的な設定

基本的には Samba との間の以下の通信を許可する必要があります。

通信目的 Samba 側の待受けポート 接続元のポート
名前登録など 137/udp 137/udp
ブラウジングなど 138/udp 138/udp
ファイル / 印刷サービスなど 139/tcp Hi/tcp
ファイル / 印刷サービスなど
(Direct Hosting of SMB)
445/tcp Hi/tcp

137/udp と 138/udp は UDP のため、基本的に双方向に通過可能にする必要がありますが、それではセキュリティが低下してしまいます。実は、この 2つが存在しない場合でも、139/tcp(もしくは 445/tcp)が通過できればファイル / 印刷サービスは提供できます。

ただし、139/tcp のみを通過可能にした場合は、ブラウジング機能が動作しないため、Samba マシンのアイコンは「ネットワークコンピュータ」上に表示されません。これは仕様になります。また Samba マシンの名前解決についても WINS や LMHOSTS に静的に登録するか、

\\192.168.1.1\share

のような記述方法で Samba サーバを IP アドレスで指定する必要があります。

この他 SWAT を利用する場合は、Web ブラウザを実行するマシンのハイポートから Samba サーバの 901/tcp (デフォルト値の場合)への通信も許可する必要があります。

その他の機能

利用する機能によっては、この他のポートの解放が必要な場合もあります。たとえば Samba サーバを Active Directory ドメインのメンバサーバとする場合は、Samba サーバと DC との間で Kerberos や LDAP などの動作に必要なポートを解放する必要があります。

Samba は Windows NT 系 OS と同等の機能を UNIX 上で実現したプロダクトですので、本件に限らず、Samba について情報がない場合は、マイクロソフト社の技術情報を参照して、開放が必要なポートを調査してください。

例えば「Windows サーバー システムのサービス概要およびネットワーク ポート要件」に機能ごとに開放が必要なポートの記述があります。

参照情報

この技術情報は「Linux Japan 2001年7月号: Samba-JP通信」の草稿を元に作成されています。