【NURO光のONU】IPv6のセキュリティに問題！？HG8045Qで検証・対策方法を考えてみた

【NURO光】IPv6のファイアウォールをオンにできない

NURO光の通信方式は、従来のIPv4だけではなく、IPv6での通信も可能となっています(IPv4/v6デュアル方式)。

IPv4(動的)に加えてIPv6(動的)でのネットサービス利用が可能となるIPv4/v6デュアル方式のご提供となります。IPv4アドレスはもとよりIPv6アドレスに対応したインターネット接続サービスをご利用いただけるようになります。

【出典】NURO光 – IPv6対応

光回線事業者からレンタルできるホームゲートウェイやルーターは、通常IPv6用のファイアウォール(IPv6 FW)が実装されていて、外部からの接続をブロックすることができます。

しかし、NURO光の一部のONUではファイアウォールが未対応となっているようです…。

レンタルできるONUのIPv6ファイアウォール(FW)対応状況です。

	SGP200W	FG4023B	ZXHN F660A	HG8045Q	ZXHNF660T	HG8045j	HG8045D

有線LAN ポート数	3	3	3	3	3	3	3
Wi-Fi対応	◯	◯	◯	◯	◯	◯	◯
対応規格	11a/b/g/n/ 11ac	11a/b/g/n/ 11ac	11a/b/g/n/ 11ac	11a/b/g/n/ 11ac	11a/b/g/n	11a/b/g/n	11a/b/g/n
ダウンロード速度 (Wi-Fi 最大速度)	2Gbps (1.3Mbps)	2Gbps (1.3Mbps)	2Gbps (1.3Mbps)	2Gbps (1.3Mbps)	2Gbps (450Mbps)	2Gbps (450Mbps)	2Gbps (450Mbps)
アップロード速度	1Gbps	1Gbps	1Gbps	1Gbps	1Gbps	1Gbps	1Gbps
IPv6 FW (ファイアウォール)	設定済	設定済	設定可	設定可	設定可	設定可	未対応

僕が使っている「HG8045Q」も未対応とのことで、そんなバカな…！？と思い、色々と試してみました。

＼45,000円キャッシュバックの限定ページ／

IPv6ならネットから直接アクセスできる？　試して確かめよう

IPv6接続でping送信テスト

【6月12日追記】
IPv6の場合、ファイアウォールが設定されていてもpingは通る場合もあり、セキュリティ上すぐに問題にはならないということです。pingコマンドでテストした結果は以前のまま残します。

まずは本当に外部から接続できてしまうのかテストしてみます。

ターミナル(コマンドプロンプト)を起動してIPv6のIPアドレスを調べ、pingコマンドを実行してみます。

IPアドレスは以下のサイトでも調べることができます。

参考リンク

あなたの IPv6 をテストしましょう。

外部からのアクセスを遮断するのが本来は望ましい挙動です。

以下の記事を参考にしながら、僕が使用しているNURO光とドコモ光それぞれで、IPv6でネットに接続してpingを受信できるかどうか試してみます。

僕は仕事柄、光回線はドコモ光(プロバイダはGMOとくとくBB)、auひかり(プロバイダはSo-net)、NURO光の3つを使用しています。

どの光回線もIPv6通信が可能です。

参考記事

pingコマンド
WindowsやMacには、コマンドを入力して様々な処理を実行できる「ターミナル」というソフトウェアが搭載されています。俗に言われる黒い画面のあいつです。

pingコマンドは、ターミナル上で実行できるネットワークに接続できるかどうかをテストできるコマンドです。

念のため、IPアドレス部分にはボカシを入れています。ご了承ください。

ドコモ光

まずはドコモ光で検証します。

プロバイダはGMOとくとくBBを使用していてIPv6(v6プラス)で通信ができます。

ONUはNTTの「GE-ONU」、ルーターは無料レンタルしているNECの「Aterm WG1900HP2」です。

pingコマンドを実行したのですが、タイムアウトとなり接続されない当然の結果となりました。

NURO光(ONUはHG8045Q)

いよいよNURO光で検証してみます。

他の光回線と同様にタイムアウトされれば、「IPv6のセキュリティに問題がある」という内容をくつがえすことができるのですが、結果は…

pingが通りました…！

ONUやPCの設定はなにも変更していません。

先に紹介した記事を鵜呑みにするのなら、なんとなくNURO光はセキュリティがゆるいのかなーと思ってしまう気持ちも分かります。

ちなみにIPv6アドレスは128ビット、つまり128桁の2進数からなります。すなわち2の128乗、約340澗(1澗は1兆×1兆×1兆)個という膨大な数になります。

IPv6のIPアドレス数
IPv4では約43億個のIPアドレスを使えますが、IPv6では「約340澗かん個」という、途方も無い数のIPアドレスを使えます。
澗は2の128乗、10進数でいうと「10000000000000・・・・・・・・・」と0が36個もつくとてつもない数です。

ランダムな攻撃で、自分が使用しているIPv6アドレスがヒットしてしまう可能性は限りなく低いと言えます。

【6月12日追記】auひかり

auひかりもIPv6に対応しています。

僕はプロバイダにSo-netを使用しています。

ホームゲートウェイはNECの「Aterm BL900HW」です。

auひかりもpingは通りました。

Twitterで指摘されたのですが、IPv6でファイアウォールの設定有無に限らず、pingが通る設定になっているサービスもあるようです。

つまり、今回検証したpingコマンドの送信で、NURO光だけダメという検証はできませんでした。

ポートが空いているかどうかを外部からチェックする「ポートスキャン」という方法もあるようなので、後日検証します。

NURO光のIPv6は危ない！ということがイマイチ実証できないのですが、どなたか詳しい人に具体的に説明してほしいですね…！

＼45,000円キャッシュバックの限定ページ／

【対策1】ONUでIPv6を使用しない方法

IPv6のファイアウォールをオンにできない場合、対策をするならIPv4に切り替えて使うという方法が考えられます。

僕はNURO光をIPv6をオンにして使っていますが、気になる人はIPv4のみでネットが使えることを覚えておいてください。

HUAWEI社製のONU(例: HG8045Q)

僕が使っているONU「HG8045Q」を例に手順を紹介します。

HUAWEI社製のONUであれば、手順は大体同じかと思います。

NURO光を利用している回線で「http://192.168.1.1/」にアクセス
管理画面にログイン
「IPv6」タブを選択
「リソース割り当て情報」から「ルータ広告を有効にする」「DHCPv6サーバを有効にする」をチェックをそれぞれオフに変更

この手順で簡単に、NURO光のIPv4/v6デュアル方式からIPv4だけ使った接続に切り替えることが可能です。

以下のSo-netのページでIPv4に切り替わったかどうか確認できます。

参考記事

So-net – IPv6アドレス対応について

IPv4で通信している場合↓

「あなたの IPv6 接続性をテストしましょう。」で調べてみても、IPv6がオフになったことが確認できます。

IPv4接続でping送信テスト

NURO光がIPv4接続となったことで、先ほどと同様にping送信テストを実行してみます。

IPv6のIPアドレスがなくなったので、IPv4のIPアドレスにpingコマンドを実行します。

IPv4アドレスなので、当然タイムアウトします。

IPv4のみで接続している間は、IPv6のIPアドレスは発行されないので安心です。

IPv4接続のみでネットは問題なく使える？

NURO光でIPv6接続をオフにして心配となるのが、ネットが問題なく使えるかどうかです。

スピードテストしてみたのですが、速度は変わらず問題ありません。

Wi-Fi(無線LAN)でも400Mbps前後が出ています。速度がちょっと遅くなったかな？という時でも200Mbps以上は出ていました。

Webサイトの閲覧ですが、若干IPv4/v6デュアル方式のほうが軽快な場面があるような気はしますが…、正直僕には体感できませんでした。

YouTubeやVODなどの動画視聴も問題ありませんでした。

NURO光はIPv4接続のみでも問題なく使えるという結果になりました！

＼45,000円キャッシュバックの限定ページ／

NURO光のONUにゲーミングルーターを接続する方法

【対策2】外部ルーターを接続する方法

NURO光のONUは、ホームゲートウェイとルーターが一緒になっている端末です。

ルーター機能を停止させることも、ブリッジモードにすることも不可なので注意しましょう。

このONUにセキュリティの不安があっても、外部ルーターを使用しセキュリティを設定すれば、それより先への不正アクセスは防止できます。

設定が面倒なのでこの方法は試していませんが、外部ルーターを使用する人は以下の記事が参考になりそうです。

参考記事

＼45,000円キャッシュバックの限定ページ／