案件名                                           2007/01/17 配信
    −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
    家のPCから会社のPCにリモート接続したい
    −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
    患者名   ハンドルなし       担当医    mica   先生
    −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−

    ●患者問診より●

    毎日、有意義な情報をありがとうございます。日々の生活に利用させて
    いただいております。

    ご相談ですが、家のPCから会社のPCにリモート接続が出来ません。
    社内の別のPCからは、リモート接続が出来ましたですが、家のPCからは
    出来ませんでした。

    ・会  社：PC Windows XP Professional
    ・ルータ：CentreCOM FS708TXL
    ・自宅PC：Windows XP Home Edition 

    社外からのリモート接続は、通常出来ない様になっているのでしょうか。
    接続する方法がありましたら、ご教授の程、よろしくお願いします。



    ●担当医所見●     Kazuna   先生

    まず、リモート接続にも数種の方法（ソフト）があります。テキストベ
    ースで良いのでしたら、古典的なTelnetサービスも搭載しています。
    しかし、OSがWindowsXPということですので、標準搭載でGUI操作が可能
    なリモートデスクトップ（以下：RDP）による接続と仮定して話を進めま
    す。

    WindowsXP PROとHOMEの違いは、ここにもあり、PROはRDPサーバとクライ
    アントの両者を搭載していますが、HOMEはクライアントしか搭載してい
    ません。つまり、RDPサーバとしてコントロールされるマシンのOSは、必
    ずProか、またはWindows Server 2003でなくてはなりません。

    この点は、社内でのLAN環境で実験し成功している様なので、問題はない
    かと思います。


    次に、「ルータ CentreCOM FS708TXL」と書かれた機器は、単なるスイッ
    チです。

     http://www.allied-telesis.co.jp/products/list/switch/fs708txl_el/catalog.html

    一般には、「ハブ」と呼ばれていますが、要するにLAN配線のテーブルタ
    ップの様な物です。これにはルーティング機能はありません。

    社内ネットワークの規模にもよりますが、ネットワーク管理者が存在す
    る様な環境では、その管理者に理由は伝えて、設定を変更してもらう以
    外にありません。


    それでは、もっと小さな規模で考えてみます。
    近頃は、ADSLモデムや光接続ユニットに、予めルータ機能が内蔵されて
    いる機器が増えています。ご自身に触れる権限がある様でしたら、ルー
    タの設定変更は必須です。
    また、RDPサーバを実行したいマシンのセキュリティ設定も場合によって
    は変更が必要です。（今回はLAN内接続できている為、ルータのみ）

    RDPは、TCPポート番号「3389」を利用し遠隔操作をします。
    もともとは、Windowsサーバ系OSに搭載していた、Terminal Serviceの機
    能拡張版がRDPなので、昔から使用ポートは「3389」と定められています。

    ルータによって、それぞれ呼び方が異なりますが「静的NAT」や「IPマス
    カレード」といった項目をルータのマニュアルを参照して、TCP:3389に
    対する外部からの接続を受け付ける様に設定変更する必要があります。
    これは、各機器（ルータ）により設定方法が異なる為に、具体的な方法
    まではお答え出来ません。

    自宅PC ------インターネット ------ 会社ルータ 192.168.0.100  ｜---- PC1 192.168.0.1
                 （IPアドレスまたはドメイン）｜                  ｜
                                              -------------- HUB ｜---- PC2 192.168.0.2
                              TCP:3389への接続要求は、           ｜
                              全て192.168.0.3 に流れる         ★｜---- PC3 192.168.0.3
                              様に設定します。                   ｜
                                                                 ｜---- PC4 192.168.0.4



    自宅PC ------ インターネット ------ 会社ルータ 192.168.0.100  ｜---- PC1 192.168.0.1
                 （IPアドレスまたはドメイン）｜                   ｜
                                              --------------- HUB ｜---- PC2 192.168.0.2
                              TCP:3389への接続要求は、            ｜
                              全て192.168.0.3 に流れる          ★｜---- PC3 192.168.0.3
                              様に設定します。                    ｜
                                                                  ｜---- PC4 192.168.0.4

  ※参考URL：リモート デスクトップで遠隔操作します
     http://www.atmarkit.co.jp/fwin2k/xp_feature/012remotedesktop/remotedesktop_01.html
     http://www.atmarkit.co.jp/fwin2k/xp_feature/012remotedesktop/remotedesktop_02.html


    上記で、外部からの接続に成功したら、少しだけ細工を施します。
    前述の通り、TCP:3389で、はTerminal Serviceか、上位互換のRDPである
    事は知られています。
    悪意のある者にポートスキャンをされたら、ポート番号からどんなサー
    ビスが動いており、待受け状態であることを知られてしまいます。

    ちょっとしたセキュリティ対策と、利便性向上の意味で規定の3389を任
    意のポートに変更してしまいます。変更はレジストリを操作するので、
    注意して行います。


    PC3の設定例

    1.「スタートメニュー」→「ファイル名を指定して実行」と選択します。
    2.名前欄に半角で「regedit」と入力し、「OK」ボタンをクリックします。
    3.「HKEY_LOCAL_MACHINE」→「SYSTEM」→「CurrentControlSet」→
      「Control」→「Terminal Server」→「WinStations」→「RDP-Tcp」
      と開きます。
    4. 右ウィンドウの「PortNumber」をダブルクリックで開きます。
    5.「10進数」にチェックを入れます。
    6. 値のデータ欄に半角で変更したいポート番号(ここでは6003)を入力し
      ます。
    7.「OK」ボタンでダイアログを閉じて、レジストリエディタを終了させ
      ます。
    8.Windows XPを再起動します。

    これで、PC3の待受けポートは6003に変更されました。それに伴いルータ
    の設定も同じく変更をします。
    同様に、PC1は6001へ、PC2は6002へと変更します。ルータも各PCごとに
    ポートとの関連付けを行います。


    自宅PC ------ インターネット ------ 会社ルータ 192.168.0.100  ｜---- PC1 192.168.0.1
                 （IPアドレスまたはドメイン）｜                   ｜              (6001)
                                              --------------- HUB ｜---- PC2 192.168.0.2
                              TCP:6001〜6005の接続要求は、        ｜              (6002)
                              各マシンと対になる様に設定し        ｜---- PC3 192.168.0.3
                              ます。                              ｜              (6003)
                                                                  ｜---- PC4 192.168.0.4
                                                                              (6004)

    呼び出す際は、RDPクライアントの「コンピュータ名」欄に「IPアドレス
    またはドメイン名：600x」と、「:」に続けてポート番号までを指定する
    事で接続マシンを選択出来ます。


      【MYCOMジャーナル】Windows XPスマートチューニング
      第3回リモートデスクトップ接続のポート番号を変更する
       http://journal.mycom.co.jp/column/winxp/003/

    根本的なセキュリティ対策とはなりませんが、リスクは減り利便性は向
    上すると思われます。
    なお、万が一にもパスワードを盗まれてしまった場合には、事実上完全
    に乗っ取られたも同然ですので、不正侵入には十分な注意が必要になり
    ます。