ファイアウォールで片側だけの通信制御を行うことは可能か？

Question

質問内容
どちらもOSはWindowsとして、サーバーA,サーバーB間でTCP通信するときの話です。

この通信がAのポート5000番、Bのポート8000番とで行われるとします。
（AからBに情報を投げ、Bで処理してAに返すような通信です）

この時、セキュリティが強化されたWindowsファイアウォールを用いて、片道だけ通信を制限するようなことは可能でしょうか。（A⇒BはOKだがB⇒Aの時点でエラーとなるような状態）

わたしは通信を一度確立してしまう以上不可能で、通信を防ぐとしたら送信用の5000番ポートを塞ぐしかないと思っています。（SPIを使えば実現できるのでしょうか…？）
しかし、実証しているような情報も特になく、理論的にはっきり私が理解しているわけでもないため、質問させていただきました。

試してみたこと
Windowsのセキュリティが強化されたWindowsファイアウォールを用いて受信の5000番を塞いでみましたが、特に問題なく通信が行われました。
現在はWireSharkを用いて通信パケットを見ています。

Comments

[y_waiwai]

「Windowsのセキュリティが強化されたWindowsファイアウォール」とはなんでしょうか？

[Zaganchan]

Windowsに搭載されているGUIでリモート管理規則が出来るものです。 https://www.fmworld.net/cs/azbyclub/qanavi/jsp/qacontents.jsp?PID=7510-8352

Answer 1

Aのサーバのポートをファイアウォールで閉じれば十分です。

まず、理解して欲しいのは
『この通信がAのポート5000番、Bのポート8000番とで行われるとします』の部分は誤解だという事です。

たぶんコネクションを確立する手順をご存じないために生じた誤解だと思いますので、簡単に手順を説明します。

サーバS(Listen port:8000)とクライアントCがコネクションを確立する手順：

０）最初(コネクションを確立しようとする前の状態)：
SはListen port(待ち受けポート）でクライアントからの接続を待っている。

１）クライアントからの接続：
Cはコネクション要求のパケット(SYNパケット）をSに送ります。SYNパケットのは、CのIPアドレス、SのIPアドレス、Cのポート（Cで未使用のポートからそのたび選ばれます。ここでは、201803が使われたとします）、Sのポート(8000)などの情報が入っています。

２）サーバからの応答：
SはSYNパケットを受信すると、コネクション要求を受け入れた事を示すSYN+ACKパケットをCに送ります。

３）コネクションの確立：
CはSYN+ACKパケットを受け取ると、サーバの受け入れを確認したことを示すACKパケットをSに送ります。
ここまでで、SとCの間のコネクションが確立します。

上記の手順で注目して頂きたいのは、CのListen portが使われていない事です。
CからSにコネクションを確立するためには、SのListen portにパケットを送る事が出来れば十分なのです。逆の言い方をすると、SのListen portがCからのパケットを受信できなければ(ファイアウォールで阻止されれば)、CはSとTCPでの通信が出来ません。
そこで、最初の行で書いたように「Aのサーバのポートを閉じれば十分です。」という回答になります。

また、Cのポートは他のマシンにコネクションを確立しようとする度に、その時使われていないポート番号のなかから選ばれるものなので、ほぼ毎回違う。Listen port（Bのサーバの8000)は使われているポートなので、それが他のサーバにコネクションするときに使われることはないといった事も常識として覚えておいてください。

補足：
４）ソケット通信；
コネクションが確立した後、Sの8000ポートとCの201803ポートの間のソケットを双方で作り、それを使ってデータのやり取りを行います。

Comments

[Zaganchan]

ご回答ありがとうございます。
一点お伺いしたいのですが、
＞CからSにコネクションを確立するためには、SのListen portにパケットを送る事が出来れば十分なのです。逆の言い方をすると、SのListen portがCからのパケットを受信できなければ(ファイアウォールで阻止されれば)、CはSとTCPでの通信が出来ません。
ということは、ポートを塞いだ場合に一切の通信が出来ないという認識でよいでしょうか。
無茶で無意味な話なのは承知の上なのですが、CからSへの処理要求通信を通して、Sで処理が終わった後に帰ってくる応答だけをブロックしたいのです。（イメージからして間違っていたらすみません。）
ポートが閉じられており、TCPの通信確立の際、ACKに対してSYN/ACKが帰ってこない時点でRSTが発行され通信が終了してしまうため、そもそも処理要求なんて送れない、という認識で問題ないでしょうか。