セキュリティー　NTTルーター ubuntu PR-500MI EWMT2.3 IPv6 IPoE

ｕｂｕｎｔｕサーバー(xs36v4)やｂｕｆｆａｌｏルーター下流のＰＣがＩＰｖ６で繋がらないように何とかしたい。
もちろん個々のＰＣのＩＰｖ６設定は外したが、ＮＴＴルーターの下流にＩＰｖ６パケットが自由に飛ぶのは何とかしたい。
　　　

大まかなネットワーク構成　詳しくはここ（リンク）

　インターネット　＜－－＞　ＮＴＴルーター　＜－－＞　サーバー
　　　　　　　　　　　　　　　　　　　　　　＜－－＞　ｂｕｆｆａｌｏルーター　＜－－＞　(有線)メインＰＣ
　　　　　　　　　　　　　　　　　　　　　　＜－－＞　ソフトバンクルーター(主としてWIFI)

　
　サーバーｘｓ３６ｖ４導入　２０１５／１１／１５

　ネット接続変更　　　　　　２０１６／０２／１０
　　ＮＴＴ西フレッツ光プレミアム
　　　→　　ソフトバンク光IPv6高速ハイブリッド IPv6 IPoE + IPv4（回線：ＮＴＴ西フレッツ光隼２）

１．ＮＴＴルーターのアクセス制限(2016/02/10～）その２

ソフトバンクの指導では、ＮＴＴルーターの詳細設定のＩＰｖ６（ＩＰｏＥ）の設定で両方向とも全部通過設定するよう表示している。
これだと、ＮＴＴルーターに直接繋いだサーバーやｂｕｆｆａｌｏのルーターにもＩＰｖ６パケットが飛ぶことになる。
現実問題として、当初はサーバーがＩＰｖ６アドレスを持っていてＩＰｖ６で接続してダイナミックＤＮＳが使えない状態が続いた（始め原因がわからなかった）。また、ｂｕｆｆａｌｏルーターの下流に接続したＰＣもＩＰｖ６アドレスをデフォルトで持つこととなった。ｗｉｎｄｏｗｓ７のデフォルト設定がＩＰｖ６接続が可となっている。
いずれも、各ＰＣのＩＰｖ６設定の外すことで事なきを得た。しかし、ＩＰｖ６パケットがＮＴＴルーターの下流にながれていることにはまちがいない。
ｂｕｆｆａｌｏにも確認したが、ＩＰｖ６スルーのチェックを外しても効果がなくｂｕｆｆａｌｏルーター下流のＰＣがＩＰｖ６アドレスを持つ事を確認済み。
（ＩＰｖ４のルーターであり、ＩＰｖ６のルーターではないとのこと）
実施したいこと
（１）ソフトバンクルーターは生かしたい（２Ｇ，５Ｇのｗｉｆｉで利用）
（２）このためソフトバンクルーターは両方向とも全てのパケットを通過させる
（３）ソフトバンクルーター以外は外から内（ＩＰｏＥ→ＬＡＮ）を拒否

　ソフトバンクルーターをＤＭＺの用にＩＰｖ６パケットを集中させられれば良いのだが・・・。

ソフトバンクルーターのＷＡＮ側のＩＰｖ６アドレスは
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：：１００１／１２８　（例示）とする
その他プレフィックス
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ１０：：０／６０　（例示）とする

　　
　なお「＠ｉｔのWindows管理者のためのIPv6入門」　のページによれば
アドレス「２００１：０ｄｂ８：～」はドキュメントなどで例示用のアドレスで外部に表示してもよいとのことです。

やったこと（ＮＴＴルーター　ＩＰｖ６（ＩＰｏＥ）のフィルター設定）
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：：１００１／１２８　両方向　通過
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ０１：：０／６０　　外→内（ＩＰｏＥ→ＬＡＮ）　拒否

しかしだめ、ｂｕｆｆａｌｏルーター下流のＰＣがＩＰｖ６アドレスを持ち、ＩＰｖ６でつながる。
　確認した画面がこれ

ソフトバンクの相談窓口にチャットで相談したやりとりがこれ。

    　　　　　　　私　　　                                          ソフトバンク相談窓口

ソフトバンク光ipv6(IPoE)で質問です。
NTTの端末(ルーターPR-500MI)の下流に
ソフトバンク光のルーター(WMTA2.3 J18V150.00)を
繋いでいます。
またNTT端末の下流にサーバーも設置しています。
こちらはIPv4で運用中です。
ＩＰｖ６(IPoE)関係のパケットを
ソフトバンクルーターに集中させたいのですが、
NTTの端末(ルーター）を
どのように設定すればよろしいでしょうか？
お手数ですがご教授ください。

                                                     お問い合わせ頂きありがとうございます。
                                                     BBユニットにてIPｖ6通信が正常に利用できない場合は、
                                                     PR-500MIとパソコンを直接繋いで頂き下記設定を行って
                                                     頂きますとIPV6通信の利用が可能となります。

                                                     IPv6パケットフィルタ設定の変更
                                                     http://ybb.softbank.jp/support/connect/hikari
                                                       /router/ipv6packet.html


ありがとうございます。正常に利用できています。
ソフトバンクルーター以外にIPｖ６パケットを
飛ばさないようにできないでしょうか
と言う主旨の問い合わせです。

                                                     現在弊社よりIPｖ6通信の利用に関する通知などは
                                                     お受け取りされていますでしょうか？
                                                     IPｖ6通信はBBユニットを通してでないと
                                                     利用はいただけません。

NTT端末（ルーターの詳細設定　IPoE)の設定で、
御社からの指導は両方向ともに全て通過設定が
標準となっています。
この設定を変更して、ソフトパンクルーターを
IPｖ６に関してDMZのように設定
できないでしょうかと言うことです。

                                                      申し訳ございません。
                                                      DMZのような設定は出来かねます。

ＤＭＺはわかりました。
ＩＰＶ６パケットを特定のルーターに
集中させることは可能でしょうか？

                                                      現在ご利用されている回線自体はIPｖ6通信が
                                                      ご自宅までに届いている状態となります。
                                                      ただ、IPV6通信はBBユニットを通してでないと
                                                      利用がいただけません。

IPv6をソフトバンクルーター以外で
使うことが目的ではなく、
他の機器（例えばサーバー）がIPv6の
アドレスを持って外とつながることを
防ぎたいという主旨です。

                                                      仮にNTTさまの機器と市販の無線LANルーターなど
                                                      を通して利用される場合は
                                                      IPｖ6通信は利用が頂けないかと存じます。

わかりました。ありがとうございました。

　　　　　　　　　　　　　　　　　　　

　ＩＰｖ６を使うにはソフトバンクのルーターが必要との返事。
私も窓口の人もＩＰｖ６（ＩＰｏＥ）の詳細がわかってないのかもしれないが、話が行き違う。

現にＮＴＴルーター下流にソフトバンクルーターを介さずにbuffaloルーターをつなぎその下流にＰＣを有線で直接つないでもＩＰｖ６アドレスを持ち、ＩＰｖ６サイトに接続可能である。ｇｏｏｇｌｅとｐｌａｌａの接続チェックサイトが下の画像

ＩＰｖ６（ＩＰｏＥ）とはルーターなど特別の機器がいらないことがうたい文句となっている。
ＢＢＩＸのネイティブ接続（ＩＰｏＥ）のサービス概要（ｐｄｆはここ）
ＩＩＪのエンジニアによる公式blog　てくろぐIPv6「ネイティブ接続」（ｐｄｆはここ）
「ASCII.JP×TECHの「NTT東西のIPv6サービスが2方式あるわけ」の下の方（ｐｄｆはここ）

思い起こすと契約のとき「ルーターはどうしますか？」と聞かれた記憶がある。なくてもできるが、無料（レンタル料と同額割引）なので付けておきますと言われた。
ＮＴＴの設定の何をどうすれば良いのかがよくわからない。
ＮＴＴの相談窓口に尋ねればよいのかもしれないが、契約がソフトバンクなので憚られる。
うむ。どうしたものか。

試行錯誤をしてみよう。

２．試行錯誤(2017/07/26～）

個別にＰＣのＩＰｖ６アドレスをみてみると
２００１：０ｄｂ８：ｄｅｃａ：ｄｅ１０：ＸＸＸＸ：ＹＹＹＹ：ＺＺＺＺ：０００１　ではなく
２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：ｘｘｘｘ：ｙｙｙｙ：ｚｚｚｚ：０００１　となっている

「００」なので（ＮＴＴルーター　ＩＰｖ６（ＩＰｏＥ）のフィルター設定）
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：：１００１／１２８　両方向　通過
　２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：：０／６４　　　　　両方向　拒否　＜＝６４ｂｉｔに変更
　でやってみた。

結果は各ＰＣはＩＰｖ６アドレスを持つ（一時アドレスも持ちます）。
しかし、ＩＰｖ６では繋がらない。

ソフトバンクルーターにｗｉｆｉで接続してインターネットをすると何か遅い気がする。
フィルター設定と関係があるのだろうか？

ＮＴＴルーターがＩＰｖ６アドレスを払い出すのならば、フィルターで制御してもＩＰｖ６アドレスを持つことは納得できる。
フィルター制御でアクセスはできないが。ただ、プレフィックスが
２００１：０ｄｂ８：ｄｅｃａ：ｄｅ１０：：０／６０
なのに、各ＰＣに割り当てられるアドレスは
２００１：０ｄｂ８：ｄｅｃａ：ｄｅ００：ｘｘｘｘ：ｙｙｙｙ：ｚｚｚｚ：０００１　となっている
これは、ＮＴＴルーターがＩＰｖ６を割り振っていいるのでは無く、ソフトバンクがわりふっているのだろうか？

各ＰＣがＩＰｖ６アドレスを持つのは、各ＰＣごとにＩＰｖ６を運用しないようにすることで対応することとする。
ｂｕｆｆａｌｏルーターがＩＰｖ６を止められないことから、あきらめることとする。