トップ回答者
グローバルネットからのファイル共有の制限

質問
-
何時もお世話になっております。masamotoと申します。
WindowsServer2012R2でWebサーバーを運用しております。サイトのデプロイをするのにローカルで繋がっているサーバー同士でファイル共有を使ってファイルを転送する仕組みを作りました。
デプロイ自体はうまく行っているのですが、ファイル共有がグローバルなネットワークから繋がってしまします。具体的にはネットワークの外側から
\\***.***.***.***\Sites
(***.***.***.***はグローバルIPアドレス)と、エクスプローラーに入力すると共有に入れてしまいます。
「コントロール パネル\システムとセキュリティ\Windows ファイアウォール\許可されたアプリ」の「ファイルとプリンタの共有」は「プライベート」にもにチェックが入っています。
https://social.technet.microsoft.com/Forums/windowsserver/ja-JP/a3d64342-731f-4c78-9eda-3c62ce7c769f/wss2008-?forum=windowsserver2008ja
また、こちらのエントリーを参考に、詳細設定の受信側の設定でTCP 139 と 445のスコープのリモートIPアドレスを「ローカルサブネット」に変更して見ましたが、相変わらず接続できてしまいます。
「許可されたアプリ」の設定で「プライベート」のみにチェックが入っているからだと思いますが、ファイアウォールのプロファイルは「プライベート」のみが有効になっていて、そのTCP 139 と 445を変更して見てダメだったので、試しにプロファイルを「全て」にしてみましたが、それでもあいかわらず接続できてしまいます。
どのような設定をすればローカルサブネットからのみ接続できるようにできるのでしょうか?よろしくお願いいたします。
- 編集済み masamoto 2017年5月25日 5:20
回答
-
返信ありがとうございます。
こちらの件下記の書き込みを見て解決いたしました。
https://social.technet.microsoft.com/Forums/office/ja-JP/ec9331fa-24c1-4539-81f8-701c395afe86?forum=winserver8
「ファイルとプリンターの共有」というグループで絞り込んで見ていたのが間違いでした。もう一つ「ファイルサーバーリモート管理」という同じポートを解放しているグループがあるのに全く気付きませんでした。ポート単位で探さないとダメですね。
おさわがせしました。
チャブーン様、やき様、ありがとうございます。
- 編集済み masamoto 2017年5月26日 2:32
- 回答としてマーク チャブーンMVP, Moderator 2017年5月29日 2:03
すべての返信
-
チャブーンです。
このご質問、よくわからない点がありますが、平たくいうと、複数NICを接続したサーバー同士のSMB通信を特定側で行わせたい、ということでしょうか。
単にそういうことでしたら、コントロールパネルの[ネットワークとインターネット]-[ネットワーク接続]で表示されるアダプター一覧画面で[Alt]キーを押して、[詳細設定]-[詳細設定]の[アダプターとバインド]で不要なNICの[Microsoftネットワークファイルとプリンター共有]と[Microsoftネットワーククライアント]のバインドを解除すればいいのではないでしょうか。
フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。
- 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年5月29日 1:30
-
アドバイスありがとうございます。
すいません、質問が変でしたね。平たく言うとファイル共有にIP制限をかけたい、と言う話です。
私の最初の質問(つまりローカルネットワークのみファイル共有を許可する)ですと、確かにおっしゃる方法で行けるかもしれません。ただできれば、特定のグローバルIPからは接続できるようにしておいたほうが何かと便利なこともあるのでできればIP制限で対処できればと思っています。
ファイル共有をIP制限する方法はないのでしょうか?
ネットで検索するとファイル共有は137と138のUDPと139のTCP(NetBIOS系)と445のTCP(UDPもという情報も見ました)(CIFS)を利用しているという情報が出てくるので、それらのポートのスコープのリモート側に特定のIPを入れてみたのですが、どのIPからでもファイル共有が見れてしまいます。
- 編集済み masamoto 2017年5月26日 1:56
-
やきです。
こちら、もしかしてNATを経由していないでしょうか。その場合、ファイルサーバーから見た接続元はNATルーターのIPアドレス=ローカルアドレスとなり、すべてのグローバルの通信が許可されることがあります。
この場合、制限の設定を入れるべきはサーバーではなく、ルーター(NAT)側になります。ルーターの設定で、特定のIP以外は内部に転送しないようにします。
以上、参考まで。
- 回答の候補に設定 栗下 望Microsoft employee, Moderator 2017年5月29日 1:30
-
返信ありがとうございます。
こちらの件下記の書き込みを見て解決いたしました。
https://social.technet.microsoft.com/Forums/office/ja-JP/ec9331fa-24c1-4539-81f8-701c395afe86?forum=winserver8
「ファイルとプリンターの共有」というグループで絞り込んで見ていたのが間違いでした。もう一つ「ファイルサーバーリモート管理」という同じポートを解放しているグループがあるのに全く気付きませんでした。ポート単位で探さないとダメですね。
おさわがせしました。
チャブーン様、やき様、ありがとうございます。
- 編集済み masamoto 2017年5月26日 2:32
- 回答としてマーク チャブーンMVP, Moderator 2017年5月29日 2:03