YAMAHA業務向けルーター運用構築スレッドPart20©2ch.net

**anonymous 転載ダメ©2ch.net** · 2017/08/06(日) 08:48:52.95

【お約束】
ここはYAMAHAルーターなどで小規模～大規模のネットワークを
構築、運用する人のための情報交換スレッドです。
ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は関連スレへ

【公式サイト】
RTXシリーズルーター
http://jp.yamaha.com/products/network/routers/
RTpro - ヤマハネットワーク周辺機器技術情報ページ
http://www.rtpro.yamaha.co.jp/
ヤマハネットワーク機器
http://jp.yamaha.com/products/network/

【関連スレ】
YAMAHAヤマハブロードバンドルーターpp select 20
http://peace.2ch.net/test/read.cgi/hard/1418612262/
YAMAHAヤマハブロードバンドルーターpp select 21
http://echo.2ch.net/test/read.cgi/hard/1453996883/
YAMAHAヤマハブロードバンドルーターpp select 22
http://echo.2ch.net/test/read.cgi/hard/1485617399/

【過去スレ・前スレ】
YAMAHA業務向けルーター運用構築スレッドPart16
http://hayabusa6.2ch.net/test/read.cgi/network/1437244766/
YAMAHA業務向けルーター運用構築スレッドPart17
http://hayabusa6.2ch.net/test/read.cgi/network/1450925974/
YAMAHA業務向けルーター運用構築スレッドPart18
http://hayabusa6.2ch.net/test/read.cgi/network/1464191922/
YAMAHA業務向けルーター運用構築スレッドPart19
http://mao.2ch.net/test/read.cgi/network/1485790427/

a · 2018/02/06(火) 22:14:25.90

>>565
それは全然だめじゃないか。
DS-Liteって核家族用かな。

**anonymous** · 2018/02/07(水) 21:19:22.02

使い切ってから文句言えよ

**anonymous** · 2018/02/07(水) 22:12:07.22

ゲームボーイってファミコン買ってくれなかった家の友達がよく遊んでたっけ

**hage** · 2018/02/08(木) 10:00:22.65

うちもファミコン買って貰えなかった家だけど
代わりにPC-8001mk2買って貰った

**anonymous** · 2018/02/08(木) 11:02:58.85

>>569 88だったらよかったのにね
友人にもぴゅーた(6001)買ってもらった子いたけど
どうにも使い道が無かったね

**hage** · 2018/02/08(木) 11:47:57.12

当時の自分にはちょうど良かったと思う
数年後に8801mk2SRを買って貰った

2つ合計で40～50万くらいになると思うけど
そんな高額なオモチャを子供に買ってくれた親に、ただただ感謝

**hage** · 2018/02/08(木) 11:50:14.80

PC-6001なら、まだマシじゃん

祐人は親のツテで(松下が安く買えるとかなんとかで)
JR200→JR300という風で、とても可哀想だった

**anonymous** · 2018/02/08(木) 11:56:54.72

>>572 PB100でBASIC学んだ俺にちょっと謝れチョットでいい

**anonymous** · 2018/02/08(木) 22:18:17.27

>>572
そいつんち掘りごたつで3DOあったろ？
つかここヤマハスレじゃ・・・

**anonymous** · 2018/02/09(金) 01:03:25.79

こういう流れになると思ったわｗ
子供のころIBM 5100が押し入れにあったとか言い出す奴出てきそう

**anonymous@fusianasan** · 2018/02/09(金) 01:46:05.48

シャープのX1でテープ版ねXanadu遊んでいたな

**anonymous** · 2018/02/09(金) 23:10:41.54

S/390を家庭に置いてる外人がこの前話題になってたな
Luaスクリプトでおもしろいことやってるひといません？

**anonymous** · 2018/02/10(土) 06:59:28.33

じじいども、スレチな昔話は fj.comp.oldieds でやりやがれ。

**anonymous** · 2018/02/10(土) 07:38:34.75

>>578 この場合、一番お前が年寄りって感じなんだよな

**anonymous** · 2018/02/10(土) 07:44:16.09

>>579
このスレならツッコんでくれると思ったよ、同志。

**anonymous** · 2018/02/10(土) 10:45:48.67

yosoでやれ

**sage** · 2018/02/13(火) 11:11:39.39

>>567
社員15人くらいのオフィスで、DS-Liteを使っている時に、
夕方になってくると、WEBの表示が非常に遅くなる問題があった。
あれば、夕方になれば、営業が帰って来てPCを立ち上げてネット閲覧しはじめたからではないだろうか。

**anonymous** · 2018/02/13(火) 20:50:39.55

自宅で光回線を独占して使っているのに
会社で何十人とか何百人かいると、遅いって感じるよな・・・・
どうしようもないよね？

**anonymous@fusianasan** · 2018/02/14(水) 03:18:26.45

ネットワークスペシャリスト試験でその手の改善についての出題が出るわ

**anonymous@fusianasan** · 2018/02/14(水) 08:07:19.82

NAPT性能が低いルーター(or Firewall)使ってるとか？

**anonymous@fusianasan** · 2018/02/14(水) 08:20:47.57

>>583
切り分けが必要やな。
仮に業務の時間帯に１人で使って速度を測ってみて
それでも速度がでないなら光回線の問題
ウチの場合はこれやったからUSEN GATE02に変えた。
もし速度が出るならNAPTとかが怪しいな

**anonymous@fusianasan** · 2018/02/14(水) 08:30:03.77

ds-lite言うてるのにnapt性能とか言ってる人たちって。。

**anonymous** · 2018/02/14(水) 09:03:59.82

ds-liteのキャリアグレードNAT性能の事言ってるんだろう

**anonymous@fusianasan** · 2018/02/14(水) 10:16:32.49

582と583は続きなん？

**anon** · 2018/02/14(水) 10:43:54.97

普通に読めば別の話だろ

**anonymous** · 2018/02/14(水) 21:42:05.94

DS-Lite使いたいんだけど、監視カメラがDDNSでつながってていまいちうまくつながらない様子

**anonymous@fusianasan** · 2018/02/15(木) 07:22:17.16

>>591
監視カメラだけIPv4PPPoEで繋げば？うちは特定の機器だけそうしてる。

**anonymous** · 2018/02/16(金) 00:18:41.29

やっぱりそれが楽だよね。既存のISP契約使うだけで金かからんし

**anonymous@fusianasan** · 2018/02/17(土) 01:31:28.26

>>593
インターネットにカメラ公開して怖くないの？
専用アプリを使うんだろうけど、セキュリティー大丈夫なのだろうか。

**anonymous@fusianasan** · 2018/02/17(土) 11:46:00.80

ベット監視用とかだろ。

**anonymous** · 2018/02/17(土) 12:31:14.42

事務所内監視カメラなんて中華のあやしいやつ使いまくりだぜ
松下のデフォパスのもあるし

**anonymous** · 2018/02/17(土) 12:56:27.01

>>596 別にルーター越しなんで何の問題もないだろ・・・
UPnPなんて今時デフォ無効なんだし

**anonymous@fusianasan** · 2018/02/17(土) 14:08:26.90

はい

**anonymous@fusianasan** · 2018/02/17(土) 14:12:33.04

>>597
ちょっと何言ってるかわかんないです

**anonymous** · 2018/02/17(土) 18:53:39.19

>>599 事務所内だからだろ

**anonymous** · 2018/02/17(土) 19:24:34.42

そういえば数年前に
漏れ監視カメラ集めた一覧サイトあったな

いまでもあんのかな？

**anonymous** · 2018/02/17(土) 20:41:41.20

ポート開放ってあいまいな表現だよな

**anonymous@fusianasan** · 2018/02/17(土) 21:48:25.49

TCP/IPなんて知らんかったときは
筐体のケースを開けて、物理ポートをDIPスイッチあたりでオンオフしてポート開放するのか思ってたわ

**anonymous** · 2018/02/17(土) 21:58:56.31

https://images-fe.ssl-images-amazon.com/images/I/31uJyEg4swL._SX300_QL70_.jpg
ルータ置いておきますね

**anonymous** · 2018/02/17(土) 22:35:29.08

単発質問失礼
ネットワーク機器も含め全て MAC + 802.1X EAP-MD5 認証しなきゃいけないクソ NW 配下で NAT させるという要件が降ってきてしまって、
802.1X の”サプリカント”になれる NAT 箱を探しているのだけど、RTX シリーズに該当モデルはあるだろうか。

どうにも見付かりそうになければ pfsense 辺りで手を打とうと思うのだけれど……。
検索しようにも認証させる側の情報ばかり引っかかるもので、誰かご存じだったら教えて頂きたく。

**anonymous@fusianasan** · 2018/02/18(日) 00:25:12.18

>>605
オーセンティケータでなくサプリカント？

**anonymous** · 2018/02/18(日) 00:35:28.92

>>606
そーなんです。
スイッチなら Cisco は IOS に標準搭載しているそうなのだけど、
NAT したいのでルーターで……となると急に見付からなくなってしまい。
まあ、クライアント認証の意義とか考えれば当たり前のことなんだけども……。

とはいえ民生向けルータ(ASUSとか)では存在するので、探せばあったりしないかなぁ、と。

**anonymous@fusianasan** · 2018/02/18(日) 01:26:23.20

>>607
ルータやスイッチでサプリカントという発想がないなぁ
正直運用が見えてこないんだけど・・・
少なくともヤマハでは難しそうだね
自分だったらLinuxを使うかな

**anonymous** · 2018/02/18(日) 02:09:27.07

Cisco IOSならサプリカント機能がNEATとか呼ばれてた気がする

**anonymous** · 2018/02/18(日) 02:16:59.73

とりあえずCiscoのルータの方にもそのサプリカント機能を搭載してるの確認するのに
ISR 841Mでdot1x credentialsコマンドを打ち込んだけど通る
面倒だから実際に認証されるかまでは試してない

**anonymous** · 2018/02/18(日) 02:34:03.91

ガチガチ認証環境でNATか
糞アプリの認証系通信のペイロードに
IPアドレスとかの情報が含まれてるといいですね!

**anonymous@fusianasan** · 2018/02/18(日) 22:40:27.37

ってかCiscoめっちゃ安いな
Amazonで14,600ってマジか？

**hage** · 2018/02/22(木) 15:58:59.32

tftp で config を取ることが出来ると思いますが、
コマンドプロンプトからは成功しますが、全く同じコマンドを PowerShell 内から叩くと

サーバー上のエラー: Access violation
接続要求に失敗しました

って出ちゃいます。ルーター側のログは

[TFTPD] Rejected access from 192.168.xxx.xxx
[TFTPD] No such file

って風です。
なにが考えられますか？

**hage** · 2018/02/22(木) 16:03:34.99

あ、パスワードに＄が含まれているせいぽく
パスワードを空にしたり、＄を止めたらうまくいきました。

**anonymous** · 2018/02/22(木) 22:43:39.93

　　　　　　　　　　　|
　　　　　　　　　　 |　　彡⌒ミ
　　　　　　　　　　　＼ (´･ω･`)　PowerShell嫌い
　　　　　　　　　　　　　(|　　　|)::::
　　　　　　　　　　　　　(γ　/:::::::
　　　　　　　　　　　　　　し＼:::
　　　　　　　　　　　　　　　　　＼

**anonymous@fusianasan** · 2018/02/23(金) 14:37:13.52

>>597
安いタイプだと、upnp関係なく、
いったん、その怪しいメーカーの中央サーバーに接続されているようだよ。
前に、ログとってわかった。

**anonymous** · 2018/02/23(金) 19:21:47.15

>>616 証拠不足で信頼性ゼロだなｗ

**anonymous** · 2018/02/23(金) 19:22:42.60

>>616 RTXのどの機種のどのバージョンでそんなことになるのか教えてくれよ

**anonymous** · 2018/02/23(金) 22:40:54.81

>>616
クラウド対応みたいなやつがそれだね。内蔵DDNSで登録できてポート開放もいらないってやつ
冷静に考えるとちょっと怖いけど便利だからいいや

**anonymous** · 2018/02/23(金) 23:12:41.10

あたりまえじゃん
ホールパンチングしなきゃいけないんだし

**anonymous@fusianasan** · 2018/02/23(金) 23:13:07.86

DS-LITE用にRTX830 買うかNVR510 買うか悩んで1ヶ月、BUFFALOでいいかなと思い始めてきた

**anonymous@fusianasan** · 2018/02/24(土) 03:41:49.94

>>621
10年以上壊れたことないから、
YAMAHAにしておきなさい

**anonymous@fusianasan** · 2018/02/24(土) 08:50:27.09

悩むのに工数かけすぎだ
RYX1210を買うんだ

**anonymous@fusianasan** · 2018/02/24(土) 09:01:49.83

もうすぐRTX1220が出るんじゃないかと期待中

**anonymous@fusianasan** · 2018/02/24(土) 11:48:22.41

いや、それを言うならRTX1230じゃね？

**anonymous** · 2018/02/24(土) 15:03:00.86

Azureネイティブサポートはようしてくれ

**anonymous@fusianasan** · 2018/02/24(土) 17:05:33.92

Azureなぁ
ike v2使えばできるんだけど
既にあるトンネルも再構築しないといけないんだよな

＿ · 2018/02/24(土) 18:22:45.65

Azureの推奨機から外されてるから、それのことじゃないの

**sage** · 2018/02/24(土) 23:46:34.88

>>626
LibreSWAN / OpenSWAN へのトンネリングこそよろしく！！
超簡単なコマンドと設定例も期待しています！

**anonymous@fusianasan** · 2018/02/25(日) 11:46:26.36

>>629
ちょっと何言ってるかよく分からない
RTXの設定例ってopenswanの設定次第で全然変わるんだけど
「openswan RTX」でググれば一杯出てくるよ
openswanの設定例が知りたいならlinux板へどうぞ

**anonymous** · 2018/02/25(日) 11:51:55.55

まぁシスコ・アライド・ほかにFW系のSonicWallやFortiGateとのVPNリンクって
なにげにYamahaが一番相手を選ぶような気がする

**anonymous@fusianasan** · 2018/02/25(日) 12:17:27.86

まあyamahaだしw
気をつけてるのは
・ペイロードタイプを3にする
・durationは短めに
・idはipv4_addrで
とかかな、時に諦めも肝要
yamahaどうしを使いましょう、と
とは言え実際は他のベンダーと繋ぐ必要もあるし、果たして上手い商売なのか？
とりあえずAWSはサポートしたんだし文句言うなってことじゃない？

**anonymous@fusianasan** · 2018/02/25(日) 21:37:57.73

IPsec 相互接続の手引き
http://www.rtpro.yamaha.co.jp/RT/docs/ipsec/interop.html

それなりにパラメータ設定すればそれなりに繋がる
ハマってどうにもならないのはsha256にはLinuxのバグ？あって
Androidにも波及
ルーターもメーカーによって実装がどちらか違う

a · 2018/02/25(日) 23:37:39.87

>>630
標準的な構成で、Open/LibreSWANとRTXとのIPsec接続を、
専用コマンドと設定例と共に担保してもらいたいんですよ。

例えば、こういう構成で、IPsec接続が公式のコマンドセットで行えるようにしてほしい。
OpenSWAN/LibreSWAN側（固定IP）---IPsec---（固定IP）RTX------プライベートネットワーク

現状ではRTXからOpen/LibreSWANへの接続が開始できない。
IPv6にも非対応、RTX側にあるネットワークを複数指定できない。

**anonymous@fusianasan** · 2018/02/25(日) 23:44:04.84

トンネル掘りゃええやん

**anonymous** · 2018/02/26(月) 20:36:42.64

ヤマハは過去のルータとの互換が足かせになってる感じするんだよなぁ
VPNで他社接続なんて考えてない時代から継ぎ接ぎで対応させてる感じになってるから
リース満了で一括入れ換えが多いんだから、いっそのこと全部ばっさり切り捨てて作ってもいいかもしれない

**anonymous** · 2018/02/26(月) 21:33:45.49

でもなぁ、大幅変更はそこで一気に崩れる時あるからなぁ
CenturyXRやアライドはひどかった

**anonymous@fusianasan** · 2018/02/26(月) 21:43:25.50

>>621
ですが、ご意見下さった皆さまありがとうございます。思い切ってRTX830を買いました。手元に届くのが楽しみです。

**anonymous** · 2018/02/26(月) 21:54:00.89

>>637
まー大幅変更してないのにRTX1210は何度通ったことか・・・

**anonymous@fusianasan** · 2018/02/27(火) 00:08:11.42

>>638
GUIで設定もできるんだろうけど、
telnetでアクセスして、CUIでこちこちとコマンドを打ち込んで、
少しずつ設定をしていくことをお勧めするよ。

順に、
RTXのアドレス設定、
IPフィルタの設定（アウトバウンド動的、インプット静的全リジェくと）、
ISP接続の設定、
NATマスカレー度の設定
ルーティングの設定
で良いだろう。

**anonymous** · 2018/02/27(火) 01:23:41.33

1210とか830世代からはほぼGUIで完結できるんだから、
GUIで設定してコンフィグ取得たいな勉強するのもよいかな。
フィルターなんかは独自番号振ってると、GUI設定いじったとたんにヤマハのフィルター番号が作成されてドツボにはまる罠があるけど。

**anonymous@fusianasan** · 2018/02/27(火) 02:34:33.40

うん、だから、最初が肝心。
CUIか、GUIか。

RTX1100から使っている自分は、CUIしか使う気になれない。
フィルタ番号にも独自ルールあるし。

**anonymous** · 2018/02/27(火) 08:42:36.39

rt100iから使ってる俺のお勧めは
フィルターなどはGUIでまず作成して
あとはCUIで弄るのがお勧め

**anonymous@fusianasan** · 2018/02/27(火) 09:13:21.77

フィルタでいうなら俺は逆でほとんどコマンドでやってる
1210からのGUIはフィルタの作成はともかく適用がやりにくくて仕方ない

**anonymous@fusianasan** · 2018/02/27(火) 09:16:49.18

あれ？よく読むと逆じゃなくて同じこと言ってるなw

**anonymous@fusianasan** · 2018/02/27(火) 12:26:35.48

638ですが皆さまのご意見に感謝いたします。
素人ですので全てをコマンドで設定するのは敷居が高いと感じており、プロバイダの設定など初期設定くらいはGUIで行い、フィルターの設定などの細かい設定はCUIで行う予定でいました。

ですがまずはひかり電話用にNTTからレンタルしている第5世代のHGWとRTX830の接続を頑張りたいと思います。。

**anonymous** · 2018/02/27(火) 17:39:04.72

鎖国フィルターってのがTLに流れてきたんだけど
ここの住人で誰か人柱った人いる？
ttp://d.hatena.ne.jp/wakwak_koba/20180224

リストが莫大すぎて合ってるのか分からない

**anonymous** · 2018/02/27(火) 23:22:38.28

サーバ公開しだした人にとって鎖国フィルタは朝鮮しようと画策したことあるだろうけどでももう時代遅れな気がする

SRT/FWXはGUIでフィルタ作ってからじゃないととっかかりがつかめあに

**sage** · 2018/02/28(水) 00:02:39.26

>>643
そういえば、RTA54iが作ってくれたフィルタを、
一部改変してRTX1200とかにまで使っているなあ、おれ。
動的フィルタしているので、アウトバウンドのSMB阻止なんかのフィルタを適用しているよ。

**hage** · 2018/02/28(水) 10:18:18.52

>>647-648
sshを22番以外にすることで得られるのと同程度の安心感だな
多少の緩和になるけれど、抜本的な解決にはならない、って風な

**anonymous@fusianasan** · 2018/02/28(水) 11:35:38.63

あるクラウドだとセグメント跨いでた事があった。fqdn以外では阻止させないってか。
最早、クラウドはファイアウォールの敵だな。

**anonymous@fusianasan** · 2018/02/28(水) 13:32:50.31

>>651
？？

**hage** · 2018/02/28(水) 13:49:33.36

外向きに鎖国するやついるのか
どっちかと言えば、内向きに適用するもんだと思うんだ

総当たりは言うに及ばず、今流行のmemcachedとかも
仕掛けてくるのは外人だし

とりあえず鎖国しとけば、何かあったら日本の警察を動かすことが出来るしー
ってところで、抜本的に安全になるわけではないけど、安心感だけは得られる的な

**anonymous** · 2018/02/28(水) 15:26:24.95

今時は詐欺サイトに繋がらないように外向きに適用したい人は多いと思う

**anonymous** · 2018/02/28(水) 16:11:49.08

>>654
それはまともなサイトも見れなくなる可能性がかなりあるんじゃね？

**anonymous@fusianasan** · 2018/02/28(水) 17:46:58.54

>>652 説明が良くなかったか。
あるfqdnの実体が単純にx.x.x.x/24みたいなアドレス体系に纏っているならばこれを規制するのは簡単だが、これに加えてy.y.y.y/21とか複数混ざっていると手間になってくる。
youtubeやitunesなどが典型的な例だろ。これらの通信をIPを指定して通すにはFWにいくつも設定が必要になる。
パケットモニタを使って何のfqdnを解決しようとしているか調べ、そのfqdnをFWに設定するようにすれば、幾らかポリシーの節約になる。

**anonymous** · 2018/02/28(水) 22:35:50.01

>>640
YAMAHAのCLIならtelnetよりシリアル接続でしょ
RTX830にはRJ45の他にUSBminiもあるようだし

**anonymous** · 2018/02/28(水) 22:58:31.44

>>656
それも含めてIPアドレスでの鎖国なんてもう時代遅れなんだろうなって思う
踏み台で世界中から攻撃来る時代でもあるし

**anonymous** · 2018/02/28(水) 22:59:05.86

>>656
FQDNで設定できるタイプのFW、といってもPaloAltoの最新ではないやつしか使ったことないですけど、
あれはPAが一定間隔でFQDNを正引きして、そのとき返ってきたIPアドレスだけを許可するので、
FQDN引くところころ結果のレコードが変わるようなもの、例えば大手のクラウドとかCDNとかとの相性が悪すぎた。

DNSの通信は必ず覗ける、という前提で、許可したドメイン名（ワイルドカードも可）を引いたときの
IPアドレスがころころ変わってもすべて良い感じに通してくれるFW、ぜひ欲しいけどありますかね。

**anonymous** · 2018/02/28(水) 23:00:45.68

IPアドレスでの鎖国が時代遅れで限界きてるってのは、かなり思う。

**anonymous@fusianasan** · 2018/03/01(木) 09:37:11.31

>>659

Edgerouterならdnsmasq+ipsetで出来る。

**anonymous** · 2018/03/01(木) 10:45:10.91

同意串・VPN・クラウド全盛の現在IP鎖国なんて何の意味も無い

**hage** · 2018/03/01(木) 15:42:58.52

「日本のみ通す」は
何かあったとき(攻撃を受けたとき)は日本の警察に相談できるだけマシじゃないか
と思うんだけど、それは甘えか

意図せず踏み台にされた被害者には警察から連絡がいくだろうし

**hage** · 2018/03/01(木) 15:43:44.60

△意図せず踏み台にされた被害者
○意図せず踏み台にされた加害者

だな、一応は攻撃主になるのだから

**anonymous@fusianasan** · 2018/03/01(木) 15:49:47.82

>>663
警察に技術力ないからなー