Windows XPで動的ポートの割り当て先を変更する方法について

Question

technet向けの質問のような気もしますが、該当フォーラムがないのでこちらで質問させていただきます。

標題の件ですが、プライベートネットワークとインターネット間に設置するルータを構成するにあたって、解放するポートについて問題が発生しております。まず、基本ポリシーですが以下のようにしています。

• 外部からのアクセス（プロトコル問わず）はすべて非許可
• 内部からのアクセスはすべて許可
• 必要なポートのみ、外部からのアクセスを許可

プライベートネットワーク内には現在、Windows XPとVista、7の端末が混在しています。Vista、7については、

• Windows Vista および Windows Server 2008 では TCP/IP の既定の動的ポート範囲が変更されている

http://support.microsoft.com/kb/929851

に従い、tcp/udpのプロトコルに対して49152-65535のポートを許可することで正常に通信できております。同様にXPについては上記ページにある通り、1025-5000のポートを解放しましたが（XPの動的ポートはWindows 2003 Serverと同じとの検索結果あり）、サイトによって通信できたりできなかったりします（例：http://www.google.co.jp/はアクセスできるがhttp://www.justsystem.com/はアクセスできない）。このとき、netstatコマンドで使用しているポートを見ると1025-5000の範囲に収まっています。

そこで、IANAの勧告にもありますし、解放するポートを制限する目的もあって以下のサイトに従い、XPの動的ポートをVista/7と統一しようと思いました。

• [HOWTO] Windows 2000 および Windows XP で TCP/IP ポートを制限する方法

http://support.microsoft.com/kb/300083/ja

これで設定は済んだと思ったのですが、netstatコマンドで確認すると相変わらず通信に使うポートは1024-5000の範囲となっており変化がありません。PCの再起動等も試しましたが、状況は変わりません。

そこで質問なのですが、XPで動的ポートの割り当て先を変更する際は、

• ファイアウォールで動作するように RPC の動的ポート割り当てを構成する方法

http://support.microsoft.com/kb/154596/ja

にあるように、レジストリにも変更を加える必要があるのでしょうか？

あるいは、通常構成の1024-5000番のポートを使う構成で正常に外部と疎通できる方法があればそれでも構いません（現在tcpとudpのプロトコルのみ解放しているが、実はICMP等も解放する必要があるなど）。

なお、ルータですが自作PCにて以下の環境で構成しています。

• OS/2 warp server for e-Buisiness 4.52 + Safefire 1.3 Alpha

以上、よろしくお願いいたします。

Answer 1

安藤＠大分さん

いましがた確認したところ、ご指摘の通りMTUの設定が抜けていました。自分では設定済みという認識だったので、まったく考慮しておりませんでした。お恥ずかしい限りです。

Vista/7でのMTUのデフォルト値は1500であることは把握していますが、自動調整だったかどうかまでは記憶しておりません。でも何らかの方法で自動調整はしている気がします。うちは自動での調整が効かないので手動で設定してますが、レジストリをいじる必要があったXPと異なりVista以降ではnetshコマンドで簡単に設定できるので便利ですね。

MTUサイズはDHCPサーバのオプションで指定できるようなので、どうにか自動化したいですね。。（DHCPサーバもOS/2で立ててます:-)）

ともあれ、ありがとうございました。

Answer 2

安藤＠大分です。

通信できないサイトが一定ならばMTU、ランダムに変わるならまた別の原因でしょうね。

通信できないとき、tracert で経路を出してみたら何か分かるかもしれませんね。

ちなみに　Windows Vista/7 は、MTU は自動調整だった気がします。

Answer 3

＞上記ナレッジベースは RPC の動的割り当て範囲変更で、いわゆるTCP/IPのソースポート、

＞デスティネーションポートの動的割り当てとは違うと思います。

あ、なるほど。確かにおっしゃる通りですね。

となるとXPでネットワーク層を制御する手段はないのかなあ？　Vista以降だと、

• Windows Vista および Windows Server 2008 では TCP/IP の既定の動的ポート範囲が変更されているhttp://support.microsoft.com/kb/929851

にある通り、

• netsh int <ipv4|ipv6> set dynamic <tcp|udp> start= num=

が使えるんですが、XPだとnetsh interface ip set以下にdynamicの項目がないので使えないですね。。

＞また NAT+IP Masquerade はどこに実装されているのでしょうか。

＞OS/2 の稼働しているルータでしょうか。

OS/2です。

＞プロバイダとのMTUの不一致と言うことはないでしょうか。

BフレッツなのでMTUは1454で統一していたはずですが、XPに対しても設定したのかちょっと自信がなくなってきました。ご指摘のように、あるサイトにはつながるけど別のサイトへはつながらないといったケースはMTUの不一致の際に多く見られる現象なので、帰宅したら確認してみます。

Answer 4

安藤＠大分です。

[HOWTO] Windows 2000 および Windows XP で TCP/IP ポートを制限する方法

http://support.microsoft.com/kb/300083/ja

上記ナレッジベースは RPC の動的割り当て範囲変更で、いわゆるTCP/IPのソースポート、

デスティネーションポートの動的割り当てとは違うと思います。

また NAT+IP Masquerade はどこに実装されているのでしょうか。

OS/2 の稼働しているルータでしょうか。

通信できない原因が動的ポート割当範囲に関係しているとは思えないのですが…

プロバイダとのMTUの不一致と言うことはないでしょうか。