---

AI提案のフィルタ追加でネットが完全停止した夜

DS-LiteのtunnelにIPv4遮断は厳禁な理由

発端は、自宅の NVR510（小型 ONU 直挿し onu1 ＋ ひかり電話 ＋ transix の DS-Lite tunnel 1 構成）から診断情報（techinfo.txt）を書き出し、セキュリティの強化余地を点検したことでした。

その際、「より厳重にするならトンネル側にも不正パケット遮断を入れましょう」という流れで、一般的な PPPoE ルーターの教科書によく載っている プライベート IP アドレス遮断フィルタ（192.168.0.0/16 等の reject） を DS-Lite の tunnel 1 に適用したところ、押した瞬間に Web サイトが 1 ページも開かなくなりました。

ICMPv6消滅とnoコマンドで標準防御が空になる罠

さらに焦りを深めたのが、同時に手を入れていた IPv6 フィルタの上書きトラブル でした。

もともと NVR510 の初期設定（config0元.txt）では、102000 番に ipv6 filter 102000 pass * * icmp6 * * という「IPv6 通信の生命線である ICMPv6（ルーター広告や経路 MTU 探索など）を通すルール」が定義され、onu1 に適用されていました。ところが同じ 102000 番へ誤って遮断（reject）ルールを上書きしてしまったため、ICMPv6 が消滅して IPv6 通信まで息の根が止まったのです。

ここで慌てて「ひとまず繋がるようにしよう！」と no ipv6 onu1 secure filter in / out を実行すると、確かに通信自体は再開します。しかしこれには重大な落とし穴があります。追加した邪魔な設定が外れると同時に、最初から onu1 を守っていたヤマハ標準のステートフル・パケット・インスペクション（動的フィルタ 102080〜102099 等）まで丸ごと外れた「ノーガード状態」になってしまう のです！

作業前バックアップconfigとの1行比較で完全復旧

この二重の罠を 1 ミリの狂いもなく救ってくれたのが、コマンドを 1 行でも触る直前に Web GUI（「管理 ＞ 保守 ＞ 設定ファイルの履歴・復元」）から手元の Mac にダウンロードしておいた『config0元.txt』 でした。

作業前の config0元.txt と作業途中の config を 1 行ずつ比較（Diff）したことで、以下の全貌が即座に判明し、本来の標準ファイアウォール（onu1 の 102000〜102099 や DNS 選択用の ip filter 500000 restrict * * * * *）を 100% 元通りに復元した上で、テスト中に入れた不要なフィルタ番号だけを綺麗に掃除（no ip filter ...）できました。

【鉄の教訓】 正常に稼働しているヤマハルーター（特に DS-Lite や IPv6 周りの通信フィルタ）には、不用意に手を出さないこと。そして設定を 1 文字でも変更する前には、必ず現在の config.txt を PC へ保存してから始めること！これさえあれば、何が起きても必ず元の完璧な状態へ戻せます。

---

通信に干渉せず安全性を高める4つの鉄板設定

通信経路のフィルタには一切触れず（通信断リスクゼロのまま）、ルーター自身の管理セキュリティと長期連続稼働の安定性を劇的に高めてくれたのが、次の 4 つの設定 です。

GUIからのSSH鍵生成と平文Telnetの完全停止

古い初期設定のままだと、LAN 内からの管理接続でパスワードが平文（暗号化なし）で流れる Telnet が有効になっている場合があります。これを暗号化通信の SSH に切り替え、Telnet を完全に閉じます。

ここで 1 つ実機ならではの注意点があります。Web GUI の「管理 ＞ 保守 ＞ コマンドの実行」欄は一方通行の非対話実行であるため、そこに直接 sshd host key generate と打ち込んでも鍵生成の対話処理ができずエラーになります。

1. まず Web GUI 上部の 「詳細設定」＞「セキュリティ」＞「アクセス管理（または SSH 設定）」 画面を開き、画面上のボタンから SSH ホスト鍵の生成 と LAN 側（lan1）での SSH サーバー有効化 を行います。
2. Mac のターミナルから ssh admin_user@192.168.100.1（IP アドレスとユーザー名はご自身の環境に合わせて読み替えてください）を実行し、SSH でログインできることを先に確認します。
3. SSH 接続を確認してから、以下のコマンドで Telnet を完全停止します。

sshd host lan1
no telnetd host
save

管理者ユーザーの接続元をLAN1限定に絞る設定

次に、万が一にも外部（WAN / リモート側）から管理者アカウントへの不正ログイン試行を受け付けないよう、ユーザー属性の connection から remote を外し、接続許可ホストを lan1（宅内 LAN）のみ に固定します。

# ※ admin_user の部分はご自身の登録ユーザー名に置き換えてください
user attribute admin_user connection=serial,ssh,sftp,http gui-page=dashboard,lan-map,config login-timer=300 host=lan1
save

これで物理的なシリアル端子と宅内 lan1 以外からのログイン権限そのものが剥奪され、放置時の自動ログアウト（login-timer=300 秒）も確実に効くようになります。

上限飽和するIPv6近隣キャッシュの深夜自動掃除

今回 techinfo ログを点検して一番の発見だったのが、IPv6 近隣キャッシュ（Neighbor Cache）が上限値（1,025 件付近）に張り付いて飽和していたこと でした。

macOS や iPhone などの現代の端末は、プライバシー保護のために「一時 IPv6 アドレス（Temporary Address）」を定期的に次々と生成して通信します。ルーターを何百日も連続稼働させていると、すでに使われなくなった過去の一時アドレスの記録がキャッシュテーブルに残り続け、上限に達してしまうのです。

そこで、ヤマハルーター内蔵の schedule 機能 を使い、毎日深夜（例：午前 1 時 5 分や午前 4 時など家族が寝ている時間帯）に自動でキャッシュをリフレッシュする 1 行を追加しました。

# ※事前に show config | grep schedule で使われていないスケジュール番号（例: 2）を確認してください
schedule at 2 */* 01:05:00 * clear ipv6 neighbor cache
save

このコマンドは、今まさに通信中のセッションを切断することなく、不要になった古い近隣キャッシュのゴミだけを掃除してくれます（直後に必要な端末はミリ秒単位で自動再学習されるため、通信断は一切起きません）。

---

動的フィルタと速度の関係・別拠点NVR500への展開

ファストパス処理でダウンロード速度が落ちない理由

「onu1 に標準の IPv6 動的フィルタ（ステートフル・パケット・インスペクション）が何個も入っていると、回線のダウンロード速度が落ちたりしないの？」と心配になる方もいるかもしれません。

また、今回追加した「SSH 化」「接続元制限」「深夜 1 回の近隣キャッシュ掃除」も通常のパケット転送処理には一切関与しないため、設定完了後にスピードテストを回しても以前とまったく変わらない爆速を維持していました。

別拠点（親世帯など）で同じように稼働している兄貴分の名機 NVR500 を点検する際も、今回の教訓を活かして 「正常に動いている通信フィルタには一切手を触れず、管理系の保護（SSH 化・Telnet 停止・ログイン元制限）とキャッシュ定期掃除だけを安全に適用する」 方針にすれば失敗がありません（※NVR500 はファームウェア世代や構成によって WAN 側インターフェース名が lan2 等になるため、必ず先にその個体の show config を確認して指差し確認してから投入しましょう）。

野良ローカルLLM時代のルーターと端末防衛境界

ちなみに最近の企業・個人を狙うサイバー攻撃では、攻撃者が安全制限を外したローカル LLM を使って脆弱性スキャンを自動化する一方、社内や自宅の PC で実験用に立ち上げた推論サーバー（Ollama 等を誤って 0.0.0.0 で外部公開してしまうケースなど）が侵入の裏口にされる事例が増えています。

1. 境界ルーター側（NVR510 / NVR500） : 標準の動的ファイアウォールを崩さず維持し、管理画面の Telnet 廃止・LAN 限定化で「外からルーターを乗っ取られない壁」を固める。
2. 宅内の Mac・PC 側 : ローカルツールや開発用サーバーを動かす際はバインド先を必ず 127.0.0.1（自分自身のみ）に限定し、不要な外部ポートを開けない。

この 2 段構えさえ守っておけば、個人や小規模拠点のネットワークとしては鉄壁の安心感が得られます。

---

まとめ：動くフィルタは触らず設定保存を最優先に

頼もしいヤマハルーターだからこそ、過信せず、かつ「いじり壊さない」ための急所を押さえておきましょう。

1. 設定変更前の絶対ルールとして、必ず Web GUI から現在の config.txt を手元の PC にダウンロード保存してから作業を始める
2. DS-Lite 環境の tunnel 1 に PPPoE 用のプライベート IP 遮断フィルタを入れると自爆全断するため、正常稼働中の通信フィルタは触らない
3. 通信に干渉しない「GUI からの SSH 鍵生成 ＆ Telnet 停止」「ユーザー接続元の lan1 限定」「schedule による IPv6 近隣キャッシュ自動クリア」で安全・安定に強化する

「最近ルーターの設定を見直していなかったな」という方は、まずは休日の昼間に config.txt のバックアップを 1 枚取るところから始めてみてくださいね！