現在利用している ISP では高速インターネットを提供できません。この状況は時間が経てば変わるでしょう。ISP は ADSL をサポートするモデムを内蔵した非常に基本的なルーターを提供しています。
現在、私は ISP モデム ルーターをできる限りロックダウンし、イーサネット ケーブル経由で Raspberry PI を接続しています。Pi のカスタム OS は、すべてのデバイス接続、ファイアウォール、VPN、広告ブロックなどを処理します。これは私のセットアップにおける事実上のルーターです。ISP モデム ルーターでは、ファイアウォールとセキュリティ機能がすべて有効になっていますが、実際にはネットワークのモデムとして機能しているだけです。
このソリューションは問題なく動作しますが、Raspberry Pi ルーターを、ハードウェアとソフトウェアの機能が向上したコンシューマー グレードのルーターに置き換え、その上で動作するファームウェア (DD-WRT) を含め、完全に制御できるようにしたいと考えています。最新の接続方法 (光ファイバー) をサポートするモデムが組み込まれたオプションは多数ありますが、現在の接続オプション (ADSL) をサポートするオプションはほとんどありません。
将来的に状況が変わる可能性が高いので、最新のモデム/ルーター (おそらく光ファイバーをサポート) を購入して、そのときが来たらそれを唯一のルーターとして使用できるようにしたいと考えています。ただし、それまでは、Raspberry Pi の代わりに、つまりイーサネット ケーブルで接続された現在の ISP ルーターの横に「配置」するつもりです。
現時点では Raspberry Pi がこれらすべてを実行していることを考慮すると、問題はほとんど発生しないと思いますが、モデム ルーターのモデムを使用して接続した経験しかないため、明確にしておきたかったのです。
Pi はブリッジ モードではルーターのように動作しているのではなく、単に別のルーターとして動作していることに注意してください。
消費者向けモデム/ルーターを購入し、内蔵モデムを使用する代わりに、ルーターをイーサネット ケーブル経由で現在の ISP モデム/ルーターに接続した場合、すべての (またはほとんどの) ハードウェア機能とソフトウェア機能は引き続き動作しますか? つまり、イーサネット ポート上のネットワークをセキュリティ保護されていないネットワークのように扱い、完全なファイアウォール ルールなどを有効にするようにルーターを設定できますか? (これには名前がありますか?)
これにはセキュリティ上の欠点がありますか? たとえば、ISP ルーターが侵害された場合、物理的なイーサネット接続が何らかのリスクを高める可能性がありますか? 信号ノイズを減らし、別の (局所的な) 攻撃ベクトルを排除するために、イーサネット接続を維持することを好みます。
答え1
消費者向けモデム/ルーターを購入し、内蔵モデムを使用する代わりに、ルーターをイーサネット ケーブル経由で現在の ISP モデム/ルーターに接続した場合、すべての (またはほとんどの) ハードウェア機能とソフトウェア機能は引き続き動作しますか? つまり、イーサネット ポート上のネットワークをセキュリティ保護されていないネットワークのように扱い、完全なファイアウォール ルールなどを有効にするようにルーターを設定できますか? (これには名前がありますか?)
ほとんどの消費者向けルーターでは、これがすでにデフォルト設定になっています。つまり、「WAN」とマークされたポートはそのままの状態で動作します。ルーターは実際には知る別のローカル ルーターに接続されているかどうかに関係なく、常に「WAN」ポートがインターネットに直接接続されていると想定されます。
(ルータが上流で別の同様の消費者向けルータを検出し、ブリッジ モードなどに切り替えるという例外もありますが、これはあまり一般的ではない機能であり、通常は同一製品間でのみ機能します (例: 2 つの Huawei ルータ間の「Link+」)。)
(ポートが事前定義されていないルーターの場合、これは単に「ファイアウォールの設定」と呼ばれます。空のルールセットから開始した場合は、たとえば bridge1 (「LAN」) から ether1 (「WAN」) へのパケットの転送を許可する転送ルールを追加し、次に「アクティブ」接続のパケットを許可するルールとその他すべてをドロップするルールを追加し、最後に家庭用ルーターが行う通常の NAT を有効にするマスカレード ルールを追加します。)
たとえば、ISP ルーターが侵害された場合、物理的なイーサネット接続によって何らかのリスクが高まる可能性がありますか?
メインルータが実際にもっているファイアウォールのルール: いいえ、できませんでした。
(ただし、これは「NAT はファイアウォールではない」という状況に非常に当てはまります。つまり、NAT ゲートウェイに直接接続しているデバイスは、内部ルーターにそれを防ぐファイアウォール ルールがない場合、そのゲートウェイの「背後」にあるプライベート IP アドレスにパケットを送信できます。)