国外IPアクセス制限は、日本国外からのアクセスを遮断する機能です。不正ログインの試行を減らせる一方、自分も海外から入れなくなるという副作用があります。ここでは設定する意味、副作用、そして困ったときの解除方法を整理します。管理画面全体の使い方は使い方ピラーをご覧ください。
有効にする前に、3つ確認してください。①海外出張の予定はないか、②海外のVPNを使っていないか、③海外からの閲覧者がいるサイトではないか。この3つのいずれかに当てはまるなら、有効にする前に影響を検討してください。有効にしたまま海外に行くと、現地から管理画面に入れなくなります。
何のための機能か
WordPressの管理画面やFTPには、世界中から不正ログインの試行が来ます。総当たりでパスワードを試す攻撃が代表的です。
多くの日本語サイトでは、管理者は日本国内からしかアクセスしません。それなら国外からのアクセスを最初から遮断してしまえば、攻撃の大部分を減らせる、という考え方です。
| 効果 | 内容 |
|---|---|
| 不正ログイン試行の減少 | 国外からの攻撃を遮断 |
| ログの見通しが良くなる | 不要なアクセス記録が減る |
| 対策の手間が減る | パスワード以外の防御層になる |
パスワードを強固にすることと併用するのが基本です。この機能だけに頼るのではなく、対策の一つとして位置づけてください。
設定の対象を確認する
設定には対象範囲があります。ここを理解せずに有効にすると、想定外の影響が出ます。
| 対象 | 影響 |
|---|---|
| 管理画面のみ | サイトの閲覧は国外からもできる |
| サイト全体 | 国外からサイトが見られなくなる |
| FTP・SSH | 国外からファイル操作ができない |
サイト全体を対象にすると、海外にいる閲覧者がサイトを見られなくなります。海外在住の日本人向けサービス、越境ECサイト、英語コンテンツを持つサイトでは、これが致命的な問題になります。
また、海外のサービスがサイトを参照できなくなるケースもあります。検索エンジンのクローラー、SNSのリンクプレビュー、外部の監視サービスなどが影響を受ける可能性があります。
サイト全体を制限する必要があるケースは限られます。通常は管理画面のみを対象にする設定で十分です。
有効にする前に確認する3点
1. 海外出張の予定はないか
有効にしたまま海外に行くと、現地から管理画面に入れなくなります。- 出張前に解除しておく
- 現地でも解除できる手段を確保しておく
後者が難しい点です。解除はサーバーパネルから行いますが、そのサーバーパネル自体にアクセスできなければ操作できません。Xserverアカウント側が制限対象外なら、そこから操作できる場合もあります。
出張の予定が決まったら、出発前に解除するのが確実です。
2. 海外のVPNを使っていないか
セキュリティやプライバシーのためにVPNを常用している場合、接続先が海外だと国外アクセスと判定されます。
日本国内のサーバーを経由するVPNに切り替えるか、管理作業のときだけVPNを切る、といった対応が必要になります。
3. 海外からの閲覧者がいるか
サイト全体を対象にする場合の確認事項です。アクセス解析で、海外からの訪問がどれくらいあるかを確認してください。
設定の手順
- 1 サーバーパネルでセキュリティ設定を開くセキュリティ関連のカテゴリにある。操作場所はサーバーパネルの使い方を参照
- 2 対象範囲を確認する管理画面のみか、サイト全体か。ここを間違えると影響が大きい
- 3 自分の利用状況を確認する海外出張、VPN、海外からの閲覧者。前章の3点
- 4 設定を切り替える対象ドメインごとに設定できる場合がある。必要なものだけ有効にする
- 5 動作を確認する管理画面にログインできるか、サイトが表示されるかを確認する
403エラーが出たとき
「自分だけ403エラーが出る」という場合、この設定が原因の可能性があります。
| 状況 | 疑うところ |
|---|---|
| 海外にいる | 国外IPアクセス制限 |
| 海外VPNを使っている | 同上 |
| 国内にいるのに出る | WAFの誤検知など別の原因 |
| 特定の操作をしたときだけ | WAFの誤検知 |
国内からのアクセスで403が出る場合は、この設定ではなくWAFの誤検知が原因であることがほとんどです。403エラーの原因と対処は403エラーの記事にまとめています。
解除する方法
サーバーパネルの同じ画面から解除できます。
問題は「サーバーパネルにアクセスできない状態」で解除したい場合です。設定の対象にサーバーパネル自体が含まれていると、海外からは操作できません。
この場合、①日本国内のネットワークを経由する、②国内にいる人に代わりに操作してもらう、③サポートに問い合わせる、といった対応になります。いずれも時間がかかるため、事前の準備が重要です。
海外に行く予定があるなら、出発前に解除しておくのが確実です。帰国後に再度有効にしてください。
他のセキュリティ対策との組み合わせ
この機能だけでは不十分です。次と組み合わせてください。
1. パスワードを強固にする
実務上もっとも効果があります。WordPressの管理画面、各メールアドレス、FTPアカウント、それぞれ別の十分に長いパスワードを設定してください。
-
二段階認証を設定する
Xserverアカウントの保護になります。ただし機種変更時の備えが必要です。詳細は二段階認証の記事へ。 -
WAFを有効にする
不正なアクセスを検知してブロックします。標準で有効になっていることが多い機能です。 -
不要なアカウントを削除する
使っていないFTPアカウント、退職者のアカウント、テスト用のWordPressユーザーなどは削除してください。 -
WordPress本体・テーマ・プラグインを更新する
古いバージョンの脆弱性が狙われます。
法人でのセキュリティ要件についてはセキュリティの記事にまとめています。
設定すべきかの判断
| 状況 | 推奨 |
|---|---|
| 国内向けのサイトで、管理者も国内のみ | 管理画面のみ有効にする |
| 海外出張が多い | 有効にしない、または出張前に解除 |
| 海外VPNを常用している | 有効にしない |
| 海外からの閲覧者がいる | サイト全体は対象にしない |
| 複数人で管理していて全員国内 | 管理画面のみ有効にする |
| 海外在住のメンバーがいる | 有効にしない |
「管理画面のみ有効、サイト全体は対象外」が、多くのサイトにとって無難な設定です。
まとめ
国外IPアクセス制限は、日本国外からのアクセスを遮断してリスクを減らす機能です。管理画面を対象にすれば、不正ログインの試行を大幅に減らせます。
ただし自分も海外から入れなくなるという副作用があります。有効にする前に、①海外出張の予定、②海外VPNの利用、③海外からの閲覧者の3点を確認してください。
サイト全体を対象にすると、海外の閲覧者がサイトを見られなくなります。通常は管理画面のみを対象にする設定で十分です。
海外に行く予定があるなら、出発前に解除してください。現地からサーバーパネルにアクセスできないと、解除する手段がなくなります。
この機能だけでは不十分なので、パスワードの強化・二段階認証・WAF・不要アカウントの削除と組み合わせてください。
403エラーの他の原因は403エラーの記事、契約直後の設定は初期設定チェックリスト、管理画面の使い方は使い方ピラーをご覧ください。