YAMAHA業務向けルーター運用構築スレッドPart21
■ このスレッドは過去ログ倉庫に格納されています
>>412
安心しろ。
5G出てきてLTEから4G表記に戻りつつある。 SNAとかFNAみたいにパケット1つ欠けただけでエラーになるの流すなら4Gは無理だな。
そんな時はデータコネクトか。 そいうい意味ならバックアップという意味とは違うだろう >>406,408
NVRシリーズはVoIPルータなんだから
VoIP要らないならNEC WAが
WWAN+WLANでも実売で10万以下、WLAN要らないならもっと安くあがる
SIMアダプターも公式サポート（付属）だし RTX830なんだけど
filter が順番通りに config に書かれていない
ip filter 200107 pass * 192.168.0.1 udp * 500
ip filter 200106 pass * 192.168.0.1 gre * *
てな具合に番号が一部逆に出てくる
show config もtftp でローカルにとっても同じ
なんだろうね。 >>422
へんてこだな。
ファームが原因か。
そういうのやめてほしね。
フィルタ番号の順序は大切にしているのに。 >>414
>>415
LTEって、3Gと4Gの過渡期の技術でしょ。
今や、4G時代なのに、それをどうしてわざわざLTEというのか？
遅いことを直喩しているんだろうかと思ったんだよ。 >>425
ip pp secure filter の行は小さい番号順に並んでいる。
今日おろしたＮｅｗで先にファームアップしたからファームで違うかは不明 高輪ゲートウェイにpingを打ったり、
デフォルトゲートウェイに指定したくなる。
JRのシステム障害が起きなければいいけどな。 >>427
チラシの裏に書いてろ馬鹿野郎
俺は品川と田町と冗長化しないとお客さんに怒られちゃう！とか思ったけど書かなかったぞ RTX830か、RTX1210に置き換えたい。
そうすれば、fqdnフィルタリングでhttpsエロ広告を一層できる。
この発想であってるでしょ。 この前中古屋でRTX32ってのがあった。
特定用途向け色々と作ってんのね。 >>430
しかしどうやって広告バナーが呼び出されているかがわからない。 >>430 どこまでネタなのか判断に迷う・・・
本気で言ってるなら浦島太郎だし
冗談で言ってるなら面白くない >>430
RTX1200 使ってるけど、広告の配信元は
dns static a FQDN 0.0.0.0
と
dns static aaaa FQDN ::
を入れまくって、広告は排除してる。
FQDNフィルタだと、破棄すると読み込み待ちで待たされるようになるし、
通すなら通すでどこに通すのか困らない？ >>433
いやいや、あなたこそ浦島じゃないか。
いまどきは、動的にページが構成されるから、
単純にurlフィルタで止められないんだよ。 >>434
たしかに、FQDNフィルタだとタイムアウトまで画面固まるときある。
でも静的にでたらめな名前解決したとしても、同じように待ち時間ってないの？
広告の名前解決を除外したパブリックDNSってないのかな。
あなたのところへつなぎたい。 >>437
AdGuardDNSあるじゃん
自分は使わないけど [4] 以下のコマンドが大量に設定されているときにshow configコマンドやsaveコマンドを実行するとリブートすることがあるバグを修正した。
この修正でソートがバグったみたい >>437
「でたらめ」ではなくて、接続が即座に失敗するアドレスを指定すればいい。
端末によるけど、端末自身が listen してなくて即座に RST が返るなら 0.0.0.0 でいいかもしれないし、0.0.0.1 もいいかもしれない。 >>441
＞端末自身が listen してなくて即座に RST が返る
?よくわかりません。
listenしていないのに、どうして即座にRSTが帰ってくるんだろう。 ローカルでラズパイとか使ってUnbound運用して、
広告系ホストをNXDOMAIN返すようにしたほうが良くね？
てか、そうやってるんだけど。 >>443
httpsの時代、名前解決の段階で防ぐしかないってことかな。
以前なら、proxy立ててフィルタしたかもしれないけど、
証明書の絡みが出て来てなんかでとてもややこしそうだし。 ＵＴＭってhttpsでも同じじゃね？
偽証明書インストールするのが一般的になった？ >>447
URLだけだったらFortiGateのDNS Filterだけ入れればいいけど、UTM買ったのになんかもったいないな >>447
スマホが苦労するんよな。アプリ次第では偽証明書だったら、正常に動作しないとかザラ Apple iOSなら証明書展開するのに、構成プロファイル使ったりするけど
現場には自由に使えるmacOSが無かったりするから
セキュリティをガン無視で個人で持ってるやつで検証させらりたりスマホは面倒くせえわ 俺は文句言いながらやるけど
積極的にAndroidとIOS個人的に揃えてくる同僚がいて
足並みがそろわなくてなかなか難しい >>449
それってオレオレ証明書だからですか？
偽証明書のルートは？
なかったらどこかつくればいいのに。 iOSがVPNの実装変更したから
最近、クライアント証明書の方で地雷踏んだぜ... >>454
なにが普通のブラウザと違うの？
おれおれ証明書が入らないとか？ いちいち証明書がオレオレだから危ないとか警告してこないのをデフォにしてくれるだけでどんだけ楽になることやら iOSはコントロールしやすいけど、肝心のMDMが大手のでもバグだらけだったりして
がっつり使うと色々苦労する。
Appleが仕様をちゃんと公開してないのも悪いんだろうけど。 >>423
RTX830のフィルターリストが逆転するのは最新ファームの現象のよう
revision-upする前にとっておいたリストを見たら正しい順だった。 >>460
ありがとう。
バグということかな。
そういう仕様変更はやめてほしい。 >>442
ブラウザが接続しようとした先が、listen してるところだったら、RST は返ってこない。SYN+ACK が返ってくる。
TCP セッションが成立してしまい、ブラウザはリクエストを投げて応答を待つ。
そうでなくて、listen してなくてパケットの破棄などもしてなければ、即座に接続が失敗する。接続がすぐに失敗するなら、接続待ちになることもないし応答待ちにもなることもない。 v4ICMPの設定がデフォルトで全部返す設定になっているようなんですが
オフにしたりステルス機能オンにしたら
負荷は減るかどうか分かる方いますか？
どのくらい減るもんなんでしょう？ >>462
>listen してなくてパケットの破棄などもしてなければ、即座に接続が失敗する。接続がすぐに失敗する
ブラウザがコネクションを張ろうとして投げたパケットに対するサーバーからの応答を、
ブラウザが待つ時間は体感できないくらい一瞬ってことなのかな？ >>463
答えではないが。
そういえば、RTXってそういう仕様だったよなあ。
icmpの応答を止めようと思えば、icmpをいったんルーターアドレスにフォワードしてから、
それに対する静的フィルタが必要だったと思う。 >>464
サーバーがどこなのかにもよるけど、それが先の話の端末自身だとか、宅内とかなら一瞬すぎてまず体感できない。
ブラジルにあるサーバーとかに投げたら、体感できるかもしれない。 >>466
なるほど。疑問が解決した。
ブラジルであろうが、
東京であろうが、
パケットがドロップされているのであれば、
そこのサーバー環境が同じものだと考えると、
ブラウザが待つ時間に差異はないと思うんだけどなあ。 >>467
>>462 は「パケットの破棄などもしてなければ」となってる。
「ドロップされているのであれば」とは前提が違うよ。 >>461
RTX1210でも入れ換わっていた。
今回の修正によるエンバグだろうね。 >>468
ん？
listenしてなくて、パケットの破棄なども行っていないっていう状態って、
どういうものになるのだろうか。 同じポート遮断でもICMP errorを返送する実装としない実装がある
iptablesはdenyとrejectで明確に別れてるがメーカー毎の実装の差異はよく知らん >>473
さすがにその説明でVLAN使ってるのがわからんならサーバー公開なんてやめた方が良いと思うが
まさかDMZって言ってるのも家庭用ルーターの全通信転送の方じゃないよな？ いわゆるUTM的ファイアーウォールとしては機能が足りないよ。ポートレベルでのフィルタリングなら十分だけど。
単にLAN3をDMZにして公開すればよくね？ Paloは高いし、ASAはNATがキモいし、
NetScreenは死んだし、Junosは比較されてディスされるし
UTM買うならFortiGateあたり買うのが無難じゃね >>473 ルーターはどこまで行ってもルーターだよ
FWの代わりにはならない >>476 大塚商会のPaloセットは検討した？
WFついてるわりにかなり安く導入できる >>473
いわゆるDMZのためのファイアウォールなら、ポート制御だけでいいかもな。
DMZって人によって解釈まちまちすぎてなぁ
純粋な非武装地帯なんかに置いてる客なんてほとんど残ってないような >>480 家庭用ではゲーム機をつなぐための機能だしな
今時ゲーム機だって無防備な接続はしないだろうに >>474
すまん。俺の知識は使用しているFWの仕様(多分10年前の器械)から一歩も進化してないんだ。来年の設備導入に合わせてやっとネットワーク機器の更新も可能性が出てきたところなんで調べているのよ。当時はLVANなんて言葉はなかったような・・・
使用しているFWは1U型のFW専用メーカー品。調べたらまだ潰れてなかったので同メーカーのエントリー品の仕様を見てきたが、用語がわかりずれぇ・・・
>>480
>>純粋な非武装地帯なんかに置いてる客なんてほとんど残ってないような
すまん。ウチこれだわ。 自分の中のDMZのイメージ
外部 - [FW] - DMZ - [FW] - 内部
外部 - [FW] - 内部
|
DMZ 昔から思うが非武装地帯なんて言うから悪い
公開用ネットワークとかもっとましな表現があったろう 軍事用語だから分かり難いかもしれないけど元来の意味としては正しい使い方なので、そこは何とも…… >>485 そういうこと言い始めるとIT・ネットワーク用語はいろいろおかしいだろ
問題はさ、言葉の意味 ではなく 実装の効果 で記憶すれば良い
言葉の意味 とかケチをつけるニワカが世間を混乱させる
お前の先入観とか考えなんか知るか！
規格を考えたその場にいなかった奴は黙って従え！ くだらないことはどうでもええわ
>>483 のファイヤーウォールのイメージがなにを指してるか判らないことにはなぁ
いま使ってる機材の型番と機能毎のライセンス（があるならそれも）を書いて貰った方が早い
10年前でもUTMは有ったしな
UTM買ってたけどAVやIPSやらのライセンスは買ってなくて、結局L3レベルの制御しかしてないとか有り得るし UTMを自宅用に買ってたときあるけど
結局、eicarをwgetして遊んだくらいだったな 俺は自宅でエロサイトと2chを完全に遮断したことはあるけど
翌日元に戻した httpsのサイトならUTM使っても素通りじゃね？
最近のＵＴＭは証明書入れるのデフォなの？ UTMで可視化とアンチウイルスしたいなら
入れるでしょそりゃ
要件無けりゃやらんわ。 >>485
確かにそのほうがわかりやすいよな。グローバルIPアドレス振って矢面に立つサーバなんて怖すぎる
そういや、ネットワーク（セグメント）も「セグメント」って略すようになっちゃったよな
192.168.0.0/24のネットワーク っていうと違和感もたれるし >>494
ノースキンっていやあ分かりやすくてええねんけどな >>493
スマホが増えてきてるし、今の製品で完全に対応できる製品あるかな？ >>489
SonicWallPRO230を使用中。オプションは・・・使用してないなあ。ちなみに同メーカーではTZ300が導入候補でYAMAHAならFWX120かしら。
予算が取れるならFORTINETのFortiGate100Eかな。このレベルになると業者に構築丸投げが安全な気がする・・・
489はプロっぽいので聞きたいけど、あんたなら俺にどのメーカーの型番をお勧めする? ものによってはあんたんところから購入してもよいかも。 >>499
や、うちは代理店とかじゃないから他の人に任せるよ
L3パケットフィルタだけでいいなら、安いのでもいいんでね
仕様見比べてNATのスループット速けりゃええやろ
あとは社内のニーズ満たせるようにするとか色々有るだろうけどそこまで面倒はみれないな オレはＵTMはNTTさんが面倒みてくれるでﾄﾚﾝﾄﾞﾏｲｸﾛさんとこのを導入した。
性能はいいんだけど、接続方法が気に入らない。
RTX1210（ＶＰＮ担当）→UTM→NVR510(インターネット担当) とルーターが増えたんだよ。ルーター1台で運用できないかな。 FortiGateでVPNとPPPoE接続とUTM全部やらせてるとこもあるぜ。
カネかかるがな 色んな所から買うとなー
お抱えのSIerに投げて一本化したいわな フォーチーゲートのいんちきなやつだけど、それなりに効いてる >>501
他所様が設定した機械に触りたくない(デフォルトゲートウェイすら弄るのは憚れる)からそんな構成はよくあるw >>507
遠慮は仕方がないが、そういう変な構成ができるんだろうな >>501 100ユーザーの方？
もし100ユーザーなら大塚が同じ価格・同じサービススタイルで
たよれーる EasySOC Plus for Palo Alto
パロアルトのPA-220(WildFire付き) 推奨200デバイス
https://www.otsuka-shokai.co.jp/products/security/internet/soc/easy-soc-plus-paloalto/
https://www.paloaltonetworks.jp/products/secure-the-network/next-generation-firewall/pa-220
を提供してたんだけどね
こっちならルーターを交換するモードも選べる
まぁもう契約しちゃったらどうにもならないんだが・・・
クラウドエッジは一切の変更をユーザーにさせないので、
フィルター解除とかも、いちいちNTTに連絡しないといけないので面倒
あと、クラウドエッジの最上位300ユーザーモデルは終売らしいので
これがサービス全体の終焉の始まりじゃないことを願う
うちも顧客に何セットか導入しちゃったので、今後はパロアルトに切り替えていく予定 >>509
そういうのって、サービスが終了したら後で困らない？ >>512 さすがに、契約日〜5年は終了はしないんじゃないかな
それをやったら、NTTにしろ大塚商会にしろ瑕疵になるので
補償するなり代替サービスを提案するんじゃないかな 5年で契約満了じゃないかな？
ちゃんと説明して売っていればいいが >>509
横からで申し訳ないけど、このPalo Altoのってハードウェアと導入費込みなんですかい？
例えば、PA-820は100万円くらいだよね。
大塚のは月額2万とある・・・5年で120万だから、そんなに安い訳ないと思うんだけど。
＃2万ぽっきりなら導入するわ・・・
＃NTTのクラウドエッジの価格は全部込みで17,000円/月、で良いんだよな 中小企業向けなんかだと、本体価格の中にUTM機能が使えるライセンス料金（契約年数分） が含まれて結構高くなってる。
大塚商会のやつだと、載ってるのはあくまで保守料のみ。 そもそも、そんなUTMなんて必要だろうか？
いままで困ったこと一度もないなあ。
サーバーへの外部からのアクセスは許していないが。 >>515 WildFireはアンチウイルス同様使用料が必要なんで
買い切りで済む製品じゃないんだよ
RTXのURLフィルターみたいなもの
だからそんなに高くは無いし、毎月の保守 ■ このスレッドは過去ログ倉庫に格納されています
