キャリアグレードNATは、ポートフォワーディングをしていてもセルフホストアクセスをブロックすることがありますか？

エヴァ・ウォン

IceWhale author

エヴァ・ウォン は テクニカルライター であり ZimaSpaceの常駐ティンカーでもあります。 生涯のオタクであり、 ホームラボとオープンソースソフトウェアに情熱を持っています。彼女は複雑な技術的概念をわかりやすく、 実践的なガイドに翻訳することを専門としています。エヴァはセルフホスティングは楽しくあるべきで、怖がるものではないと信じています。彼女のチュートリアルを通じて、コミュニティが ハードウェアのセットアップを解明する手助けをしています。初めてのNAS構築からDockerコンテナの習得まで。

Can Carrier-Grade NAT Block Self-Hosted Access Even With Port Forwarding?

はい、CGNATはインバウンドのセルフホスティングアクセスをブロックする可能性があります。なぜなら、ルーターが接続を受け取るパブリックIPv4アドレスを制御していないためです。

ポートフォワーディングルールは、そのルールが存在するルーターのWANインターフェースに到達したトラフィックのみを変換します。キャリアグレードNATでは、ISPが上流に別の変換レイヤーを設け、複数の顧客で1つのパブリックIPv4アドレスを共有するため、未承諾のインバウンドパケットは家庭用ルーターに到達する前に停止します。正しい判断は、ルーターがパブリックエンドポイントを所有しているかを確認し、実際のパブリックアドレス、ネイティブIPv6、アウトバウンドトンネル、リレー、またはオーバーレイVPNを選択することであり、トラフィックを受信できないフォワードを繰り返し編集することではありません。

ルーターのWANアドレスとパブリックIPv4アドレスを比較する

家庭用ルーターのステータスページを開き、そのWAN IPv4アドレスを記録します。同じ接続上のデバイスから、外部のパブリックIPサービスが報告するアドレスと比較してください。

セルフホスティング向けのCGNAT解説では、ルーターが共有される100.64.0.0/10範囲のアドレスを受け取る一方で、外部インターネットは異なる共有パブリックアドレスを見ていることがあります。10.0.0.0/8、172.16.0.0/12、192.168.0.0/16などのプライベートレンジも別のNATレイヤーを示します。

WANアドレスとパブリックアドレスが一致する場合、通常のCGNATの可能性は低く、次のテストはフォワード、ファイアウォール、サービス、または戻り経路に関するものです。異なる場合は、上流レイヤーが自分のモデム/ルーターかISP管理のネットワークかを特定してください。

家庭用ルーターのフォワードがパケットを受け取れない理由を理解する

家庭用ルーターのフォワードは、そのルーターのWANアドレスの1つの外部ポートを内部サーバーにマッピングします。顧客が設定できない上流のキャリアルーター上でマッピングを作成することはできません。

Super Userのセルフホスティング事例では、100.70.x.xのWANアドレスと異なるパブリックアドレスを持つルーターが示されており、ローカルフォワードがあってもウェブサーバーに到達できません。根本的な問題はISPが外側の変換を所有していることです。

NASをDMZに置いたり、すべてのUPnPマッピングを有効にしたり、ホストファイアウォールを無効にしたりしても対応しないでください。これらの変更は家庭内の露出を広げますが、キャリア側のインバウンドマッピングは作成されません。

自分で制御できるダブルNATを除外する

ISPのモデムまたはゲートウェイからフォワードルールが設定されているルーターまでの物理経路を追跡してください。ルーターモードのプロバイダーゲートウェイはCGNATと同様のWAN/パブリックの不一致を生じさせることがありますが、ブリッジ接続や両方のデバイスを通したフォワードが可能な場合があります。

セルフホスティングガイドでは、ポートフォワーディングが機能するのはルーターがパブリックアドレスを保持している場合のみであると説明しています。これはローカルのダブルNAT修正とISPの制限を分けるアーキテクチャ上の境界です。

上流のデバイスが自分のものであれば、それをブリッジまたはパススルーモードに設定し、両レイヤーを通して同じ狭いポートをフォワードするか、パブリック向けサービスを最初のルーターに移してください。上流ネットワークがキャリア管理の場合は、設定可能な家庭用ゲートウェイとして扱うのをやめてください。

Featured

ZimaCube 2 パーソナルクラウドホームNAS

ZimaCube2

ネイティブIPv6が到達可能な代替手段を提供するかテストする

ISPがグローバルIPv6プレフィックスを割り当てているか、家庭用サーバーが安定したグローバルアドレスを受け取っているかを確認してください。IPv6はIPv4のポート変換なしにサーバーを直接アドレス指定可能にしますが、ファイアウォールは意図したサービスのみを明示的に許可する必要があります。

外部のIPv6ネットワークから正確なホスト名とポートをテストしてください。AAAAレコードが公開されていても、ルーターがインバウンドIPv6をブロックしていたり、プレフィックスが変わったり、アプリケーションがIPv4のみでリッスンしている場合は不十分です。

DNS更新、ファイアウォールポリシー、TLS、アプリケーションバインディング、プレフィックス変更が管理されている場合にのみIPv6を使用してください。「NATなし」が「セキュリティ境界なし」を意味するわけではありません。グローバルにルーティング可能なサービスでも最小権限のフィルタリングと認証が必要です。