ルーターとIotを接続する際のIP設定

Question

ルーターを色々なIot機器に接続するときにIPアドレスの設定についてお伺いさせてください。

1つのルーターで自宅の複数の機器（Web Camera、Network Printer等）に接続するとします。
自宅のLAN内では個別にそれぞれの機器にDHCPサーバーを活用してIPアドレス＆ポートが割り振るとします。

(1)
これらの機器が、外部サーバーに接続した場合、送信元はパブリックIP＆ポートとしてTCP/IPパケットが送信されるでしょうか。
或は、ルータ内の機器が特定できるような送信元でパケット送信するといったケースもあるでしょうか。

(2)
仮に前者とした場合、外部サーバーが応答するときに、パブリックIP向けにパケットを送信した場合、返信先パブリックIPアドレス＆ポートになるでしょうか。或は、ルーターのローカル機器が特定できるような送信先にするのでしょうか。

基本的なことで恐縮ですが、機器の設定をしているうちに混乱してきてしまったため、差支えなければご教示頂けると幸いです。

Answer 1

お答えします。

(1)はYESです。
ただしルータでNATもしくはIPマスカレード機能を用いて、プライベートアドレス/ポートとグローバルIP/ポートの変換設定をしなくてはなりません。
そうればパケットがルータを通過するとき(In/Out両方とも)送信元アドレス/ポート(自分側から見て)を書き換えてくれます。
パケット送出時はプライベート→グローバル、パケット受信時はその逆の変換をしてくれます。
またルータにファイアウォール機能があるなら(大抵あると思いますが)、その設定も変更して内部の機器(Webカメラ、プリンタ)が外部のデバイスに接続できるようにする必要があります。

(2)もYESです。
外部サーバは当然グローバルIP/ポートで通信をします。
パケットの戻り先は(1)で書いたルータに設定したグローバルIP/ポートになります。
そのパケットを受け取ったルータが、NATまたはIPマスカレード設定に基づいてプライベートIP/ポートに変換してもともとの通信相手であるWebカメラやプリンタにパケットを転送します。

Comments

[ynakano]

質問編集を受けて補足します。
外部と接続させたい機器は、LAN内でDHCPではなくIPアドレスを固定にした方がよいと思います。
ルータによってはNAT/IPマスカレードやFWルールに固定的なIPアドレスしか設定できないものも利ます。

[arare000]

早速にありがとうございます。大変勉強になります。一点、「ルータでNATもしくはIPマスカレード機能を用いて、プライベートアドレス/ポートとグローバルIP/ポートの変換設定」する必要があるのは、どういった理由でしたでしょうか？　

例えば、機器のLAN内のプライベートIP/ポートが外部サーバーに流出する恐れを防ぎながらも、ちゃんとサーバーからのデータが元の機器に受信できるようにする、といった理由でしょうか。

[ynakano]

端的に言えばインターネットにプライベートIPアドレスを持つ通信は流せないからです。
その際の変換パターンには2通りあって…

NAT → 送信元IPアドレスだけを変換。送信元ポート番号は変換しない。
IPマスカレ → 送信元IPアドレスと送信元ポート番号の両方を変換する。

なぜこの2つの方式があるのかというと、NATだとインターネットに接続したいホストの数だけグローバルIPが必要になるからです。
ただ、例えば一般家庭の場合だとグローバルIPアドレスは1つしかもらえないケースがほとんどだと思います。
その場合はIPマスカレを使って、IPアドレスとポート番号を組み合わせてLAN内の機器をルータが一意に特定します。
外部サーバに接続する際、送信元ポート番号は不定(1024以上)になりますが、ポート番号変換はルータ側で管理してくれます。

LAN内機器のセキュリティ対策としては、大抵のルータにあるファイアウォール機能を利用します。
大抵の機器では初期設定で基本的には「LAN→インターネットへの接続は全許可」「インターネット→LANへの接続は全拒否」だと思います。
それで問題はないと思いますが、気になるならLAN発通信も限定してもよいと思います。
ちなみに、自分が接続元となった通信の戻りパケットに関してはファイアウォールルールに追加する必要はまずないです。
余程古い機器でない限り、ルータ側で通信状況を把握していて(セッションテーブル)自分側発通信の戻りとインターネット側発通信は適切に区別して、前者は許可し後者は遮断してくれます。

[arare000]

大変詳細なご回答ありがとうございます。とても勉強になりました！