--- title: "ネットワークスキャンナーが予期しないオープンTCPポートを報告しました" slug: "network-scanner-reports-unexpected-open-tcp-ports" updated: 2026-07-30T01:31:41Z published: 2026-07-30T01:31:41Z canonical: "knowledge.catonetworks.com/network-scanner-reports-unexpected-open-tcp-ports" --- > ## Documentation Index > Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt > Use this file to discover all available pages before exploring further. # ネットワークスキャンナーが予期しないオープンTCPポートを報告しました ## 問題 ネットワークスキャナーがサイト間のWAN上でオープンTCPポートを検出し、存在しないことが知られている内部ホストに報告しています。 ## 環境 - サイト間で許可またはブロックされたTCP接続。 - アカウントまたはサイトレベルで有効なWANトラフィックのSYN上のTCP加速 ## トラブルシューティング サイト間のTCP接続は、[CATO TCP加速とベストプラクティスの説明](/v1/docs/explaining-the-cato-tcp-acceleration-and-best-practices)で言及されているように、TCPプロキシの影響を受けることがあります。 この動作は、WANファイアウォールによってTCP接続が許可またはブロックされたか、関与しているTCPプロキシモードに依存します。 [CMAイベント](/v1/docs/analyzing-events-in-your-network)を確認して、TCP接続が許可されたかブロックされたかを判断します。 ### 許可されたTCP接続 Cato Cloud上のWANトラフィックは、**WANトラフィックに対するSYN上のTCP加速**設定によって制御される2つの利用可能なTCPプロキシモードで動作します。詳細は高度な設定ページの[ソリューション](/v1/docs/network-scanner-reports-unexpected-open-tcp-ports#solution)セクションで説明されています。 #### フルWAN TCPプロキシモード このモードは、各接続の最初のSYNパケットを受信するとすぐに**TCPプロキシ**を開始します。 そのため、TCPプロキシは、**加速**設定に関係なくすべてのトラフィックに対して強制されます。 その結果、宛先IPがSYN-ACKで応答しなくても、PoPはネットワークスキャナーとの3ウェイハンドシェイクを完了します。 これにより、スキャナーが存在しないホスト上のオープンなTCPポートを報告する偽陽性が発生する可能性があります。 > [!NOTE] > 注： > > ポートTCP/443は、アカウントでTLSインスペクションが有効になっている場合、このモードを常に使用します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/21349363093917.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A17Z&se=2026-11-10T18%3A19%3A17Z&sr=c&sp=r&sig=gwaP18d25ZiX39f94olGvQtjTRF32%2BQyA5RXRgcYY%2Fc%3D) #### 元のWAN TCP交渉の保持とTCPプロキシの遅延 このモードでは、目的地のIPとのTCPハンドシェイクが完了するまでTCPプロキシは遅延されます。 加速設定に関係なく、**TCPプロキシ**は強制されません。 スキャナーとの3ウェイハンドシェイクは、宛先IPがSYN-ACKで応答する場合にのみ発生します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/21349474944157.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A17Z&se=2026-11-10T18%3A19%3A17Z&sr=c&sp=r&sig=gwaP18d25ZiX39f94olGvQtjTRF32%2BQyA5RXRgcYY%2Fc%3D) #### TCPプロキシモードの特定 アクティブなTCPプロキシモードは、WANファイアウォールイベントを介して直接特定できます。 'TCP Acceleration = 1'は**Full WAN TCP Proxy**がトリガーされたことを意味します。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/21326599423133.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A17Z&se=2026-11-10T18%3A19%3A17Z&sr=c&sp=r&sig=gwaP18d25ZiX39f94olGvQtjTRF32%2BQyA5RXRgcYY%2Fc%3D) 2023年11月から、新しいアカウントのデフォルトモードは**Full WAN TCP Proxy**です。 この日付以前に作成されたアカウントでは、デフォルトのモードは**元のWAN TCP交渉の保持**です。 ### ブロックされたTCP接続 Cato Cloud上でブロックされたWANトラフィックは、**Full WAN TCP Proxy**モードを使用し、PoPはネットワークスキャナーとの3ウェイハンドシェイクを完了しますが、宛先へSYNパケットは送信されません。 このアプローチは、ソースにブロックページを配信するために使用されます。 ![](https://cdn.document360.io/81d0367c-2b69-4ba8-b412-1c8f46ce677e/Images/Documentation/21348676189981.png?sv=2026-02-06&spr=https&st=2026-11-10T17%3A19%3A17Z&se=2026-11-10T18%3A19%3A17Z&sr=c&sp=r&sig=gwaP18d25ZiX39f94olGvQtjTRF32%2BQyA5RXRgcYY%2Fc%3D) ## ソリューション #### 許可されたTCP接続のために 管理者は、アカウントおよび[サイト](/v1/docs/advanced-configurations-for-a-site)レベルの高度な設定ページ内で**WANトラフィックに対するSYN上のTCP加速**設定を調整して、WAN TCPプロキシモードを変更できます。 - **オン** - フルWAN TCPプロキシ。 - **オフ/無効** - 元のWAN TCP交渉の保持とTCPプロキシの遅延。 **Full WAN TCP Proxy**モードは、最適なパフォーマンスのために推奨されます。 しかし、管理者は、開いているTCPポートに対する偽陽性を回避するために必要に応じてこのモードを無効にすることができます。 ポート**TCP/443**での偽陽性を防ぐには、**TLSインスペクション**が無効化されていることを確認してください。 または、[Catoサポート](/v1/docs/submitting-a-support-ticket)に連絡してネットワークスキャナーのIPアドレスをホワイトリストに登録し、偽陽性を効果的に防ぐためにシステムを設定してもらうことができます。 #### ブロックされたTCP接続のために ブロックされたTCP接続での3ウェイハンドシェイクの動作は、**フルWAN TCPプロキシ**モードで予想されます。 しかし、もしこの動作が問題になる場合は、[Catoサポート](/v1/docs/submitting-a-support-ticket)に連絡して、スキャナーとのハンドシェイクを完了する代わりに、最初のTCPパケットを**ドロップ**するようにシステムを設定してもらうことができます。 これは、[従来の与えられた複雑でないルールに](/v1/docs/recommendations-for-internet-and-wan-firewall-policies#traditional-vs-ng-firewall-rules)適用されます。