ファイアウォールとポート転送

FELIXXRT のファイアウォールはゾーン型です。インターフェースをゾーンに入れ、ゾーンごと・ゾーンの組ごとに通信の扱いを決めます。

既定の設定

初期設定では次のようになっています。

ゾーン	ルーター宛て	ゾーン内の転送	IP マスカレード
wan	破棄	破棄	有効
lan	許可	許可	無効

ゾーン間の転送は lan → wan だけが「許可」です。LAN の端末はインターネットに出られ、インターネットからはルーターにも LAN にも入れません（返りの通信は通ります）。

「SECURITY › ファイアウォール」画面の「ゾーン」で設定します。

保存すると「未適用の変更」に入ります。画面上部の「変更を確認」から適用し、5 分以内に「確定」します（設定の適用と確定）。

ゾーンを足すときは、「ゾーン名」（例：iot）を入力して「+ 追加」を押します。新しいゾーンは「ルーター宛て」「ゾーン内の転送」が「破棄」、「許可するサービス」が DHCP・DNS・Ping で作られます。インターフェースを新しいゾーンに入れるのは「NETWORK › インターフェース」画面です。

管理画面を開いているゾーン（通常は lan）の「ルーター宛て」を「破棄」や「拒否」にするときは、「許可するサービス」で「管理画面」を選んでください。選ばないと、適用した時点で管理画面に入れなくなります。その場合は 5 分待つと元に戻ります。

項目	説明
ルーター宛て	このゾーンからルーター自身（管理画面・DNS など）に届く通信の扱い
ゾーン内の転送	同じゾーンのインターフェースどうしの通信の扱い
許可するサービス	「ルーター宛て」が「許可」以外でも通すサービス。「ルーター宛て」が「許可」のときは選べません
IP マスカレード	このゾーンへ出ていく IPv4 の通信の送信元を、ルーターのアドレスに変換します。通常は wan で有効にします

動作は次の 3 つです。

「許可するサービス」で選べるもの：

wan ゾーンは削除できません。インターフェース・ルール・ポート転送・VPN グループで使っているゾーンも削除できません。

有効にした VPN の待ち受けポートや、許可した監視サーバーからの問い合わせは、ゾーンの設定にかかわらず受け付けます（リモートアクセス VPN、監視）。

「ゾーン間の転送」は、行が送信元、列が宛先のゾーンの表です。マスごとに「許可」「拒否」「破棄」を選びます。既定は「破棄」です。

例えば来客用のゾーン guest からインターネットにだけ出られるようにするには、guest の行の「→ wan」を「許可」にし、「→ lan」は「破棄」のままにします。

対角（同じゾーンどうし）のマスには、そのゾーンの「ゾーン内の転送」が表示されます。変えるときは「ゾーン」の表で変えます。

ゾーンの設定より細かく決めたいときに使います。ルールは上から順に評価し、最初に一致したものを使います。ゾーンの設定やゾーン間の転送より優先されます。

項目	説明
名前	半角英数字と -。例：block-iot
送信元ゾーン	通信の出どころのゾーン
送信元アドレス（任意）	IP アドレス・ネットワーク・MAC アドレス。カンマで区切ります。空欄ならゾーン全体
宛先	「転送される通信すべて」「ルーター自身」、またはゾーン
宛先アドレス（任意）	IP アドレスかネットワーク。空欄ならすべての宛先
プロトコル	「すべて」「TCP」「UDP」「TCP/UDP」「ICMP（Ping など）」
ポート（任意）	TCP・UDP のときの宛先ポート。例：80,443,1000-2000
動作	「許可」「拒否」「破棄」

例：LAN の 192.168.1.50 の端末だけインターネットに出さない場合は、送信元ゾーン lan、送信元アドレス 192.168.1.50、宛先 wan ゾーン、動作「破棄」にします。

インターネットから届いた通信を LAN の端末へ渡します。「SECURITY › ポート転送」画面で設定します。

転送した通信を通すファイアウォールの許可は自動で入ります。ルールを別に足す必要はありません。

項目	説明
名前	半角英数字と -。例：ssh-nas
プロトコル	TCP・UDP・TCP/UDP
外部ポート	インターネット側で待ち受けるポート。範囲も指定できます。例：2222、8000-8010
転送先 IP アドレス	転送先の端末。LAN 側のサブネット内のアドレスにします。DHCP の固定割り当てにしておくと変わりません
転送先ポート（任意）	空欄なら外部ポートと同じ番号。外部ポートが範囲のときは指定できません
受信ゾーン	lan 以外のゾーンが 2 つ以上あるときだけ出ます。通常は wan

同じゾーン・同じプロトコルで外部ポートが重なるルールは作れません。

WAN が MAP-E のときは、外部ポートを「NETWORK › WAN」画面の「使用可能なポート」の中にしてください。範囲外だと適用できません（WAN（インターネット接続））。

「SECURITY › 接続一覧」画面には、ルーターが今追跡している通信が出ます。IP アドレスやポートで絞り込み、「更新」で取り直します。件数が多いときは先頭の分だけ表示します。

列	説明
プロトコル	TCP・UDP など
送信元／宛先	アドレスとポート
NAT	アドレス変換後の値。ポート転送では転送先、マスカレードでは変換後の送信元
状態	TCP の接続状態。ESTABLISHED は通信中、TIME_WAIT は終了処理中など
転送量	この接続で流れたバイト数

ゾーン・ゾーン間の転送・ルールは「ファイアウォール」、ポート転送は「ポート転送」、接続一覧は「状態（ダッシュボード・接続端末・トラフィック・接続一覧）」の領域です。既定の「運用者」はポート転送を変更できますが、ファイアウォールは閲覧だけです（管理ユーザーとロール）。