メールを送る際のファイアウォール設定

Question

**[PC→ファイアウォール(以下、FW)→インターネット→会社メール] **の経由で
メールを送信する際のFW設定について、以下の考え方は合っていますでしょうか。

まずはnslookupコマンドでIPアドレスを調べる。
それを元に①②をFWに設定する。

①「mail exchanger = xxx.com」の「xxx.com」をnslookupで再度調べて出てきたIPアドレスとSMTP(25)ポートを解放する。
gmailの例で言うと「alt2.gmail-smtp-in.l.google.com」や「alt1.gmail-smtp-in.l.google.com」

②nameserver = yyy.comのIPアドレスとDNS(53)を開放する。
gmailの例で言うと「216.239.34.10」や「216.239.32.10」

以下、gmail.comの例です。

C:\>nslookup
既定のサーバー:  xxx.com
Address:  xxx.xxx.xxx.xxx

> set type=MX
> gmail.com
サーバー:  xxx.com
Address:  xxx.xxx.xxx.xxx

権限のない回答:
gmail.com       MX preference = 20, mail exchanger = alt2.gmail-smtp-in.l.google.com
gmail.com       MX preference = 10, mail exchanger = alt1.gmail-smtp-in.l.google.com
gmail.com       MX preference = 40, mail exchanger = alt4.gmail-smtp-in.l.google.com
gmail.com       MX preference = 30, mail exchanger = alt3.gmail-smtp-in.l.google.com
gmail.com       MX preference = 5, mail exchanger = gmail-smtp-in.l.google.com

gmail.com       nameserver = ns1.google.com
gmail.com       nameserver = ns2.google.com
gmail.com       nameserver = ns3.google.com
gmail.com       nameserver = ns4.google.com
ns2.google.com  internet address = 216.239.34.10
ns2.google.com  AAAA IPv6 address = 2001:4860:4802:34::a
ns1.google.com  internet address = 216.239.32.10
ns1.google.com  AAAA IPv6 address = 2001:4860:4802:32::a
ns3.google.com  internet address = 216.239.36.10
ns3.google.com  AAAA IPv6 address = 2001:4860:4802:36::a
ns4.google.com  internet address = 216.239.38.10
ns4.google.com  AAAA IPv6 address = 2001:4860:4802:38::a

Comments

[yodel]

何が問題でどういう状況でしょうか。利用するメールサーバのポートは把握されていますか？

[etoshhy]

FWでは最低限のIPとポートだけを解放する必要があります。
上記で実現したいこととしては、何かしらの方法でPCから社内メールにメールを送りたいだけです。
（具体的にはPCにログインしたことを知らせるメールを社内メールに送信したい）

＞利用するメールサーバのポート
まだ把握していません。管理者に確認します。
ここのポートをFWのアウトバウンドに設定する必要があるということでしょうか。
すみません、全然詳しくなく。。

Answer 1

[PC→ファイアウォール(以下、FW)→インターネット→会社メール]

上記のインターネットにつながっているという前提で、到達点（メールサーバー）までの80、443以外のIPアドレスとポートを開放するという考え方自体は間違っていないかと思います。

ただしYoshi88さんの仰るような利用環境によって設定が変わってくるということは留意すべき点かと思います。

Comments

[etoshhy]

>80、443以外のIPアドレスとポートを開放する
WEB通信以外全て解放しなくてはいけないということでしょうか。
最低限のポートに絞る必要がありまして、、、
通信先メールサーバが使っているポートだけを解放すれば良いということでしょうか。

[wakuwaku499]

語弊がありました。
お調べになった方法で「80,443」以外のポートという意味でした。
おそらく「メールサーバーへの通信ポート」だけでよいかと思います。
「DNSサーバーの通信ポート」は通常空いていると考えていいかと思います。nslookupで検索出来ていますので新たに空けることはないかと考えております。

[wakuwaku499]

ちなみに記載されている「ファイアウォール」とは、「PCのファイアウォール」でしょうか？もしくは「ネットワーク機器のファイアウォール」でしょうか？

[etoshhy]

ネットワーク機器のファイアウォールのことです。
ちなみにnslookupコマンドを使っているのはファイアウォールでアクセス制御されていない環境です。
なので、おそらくDNS通信のポートも必要そうですね。

Answer 2

[PC→ファイアウォール(以下、FW)→インターネット→会社メール] の経由で
メールを送信する際のFW設定について、以下の考え方は合っていますでしょうか。

①「mail exchanger = xxx.com」の「xxx.com」をnslookupで再度調べて出てきたIPアドレスとSMTP(25)ポートを解放する。

いいえ。間違っています。

メールの利用環境によって（クライアントから、どのようにアクセスさせるのか？）によって、ファイアウォールに対する処理が変わってきます。

少なくとも、専用アプリやWebブラウザでGmail のページでアクセスする場合と、汎用的なメールクライアントを利用する場合で変わってきます。

詳しくは、公式ヘルプを参照されたほうが良いでしょう。

公式ヘルプ
Gmail のファイアウォールの設定

公式ヘルプ
他のメール プラットフォームで Gmail のメールをチェックする

Comments

[etoshhy]

メールの利用環境によって変わってくるとのこと、承知しました。
利用環境（メールサーバが利用しているポート）を調べてみます。

[etoshhy]

＞専用アプリやWebブラウザでGmail のページでアクセスする場合と、汎用的なメールクライアントを利用する場合で変わってきます。
ありがとうございます。調べてみます。