ciscoはメーカー直でサポートしてくれないんだよ。
問合せとかも代理店経由でしか受け付けない。
YAMAHA業務向けルーター運用構築スレッドPart21
レス数が1000を超えています。これ以上書き込みはできません。
ciscoはメーカー直でサポートしてくれないんだよ。
問合せとかも代理店経由でしか受け付けない。
めんどうだね
個人でもCiscoのサイトからサポートケースをオープンして問い合わせられるけど
たまに運用保守を委託しなかった顧客が
自分たちで契約番号を紐付けるのを忘れて
障害時なのに問い合わせ出来ない馬鹿みたいなケースあったり
調べようとしたんだけど
13日だったわ。と思って無視することにした
なんだかここ数ヶ月、この日は重いわ
>>58
Microsoft セキュリティ更新プログラム リリース スケジュール
https://technet.microsoft.com/ja-jp/security/hh224643
＞8.同一ネットワークのDHCPスコープを複数設定できるようにした。
メジャーバージョンアップあたりでやってほしかったな。
通らなくてはまりそう
ゴミでも入り込みそうでこわい。
横とか後にしてほしいが・・・・
ラックを意識していて上にしたのかな・・・
積み上げることと、穴との関係って？
強度不足になるってこと？
って書こうとして国語辞書引いたら、廃熱でもOKか。独り言すまん
底にも穴が空いていたら、ちょうど煙突みたいになったのにね。
telnetやsshつかうか利用できる言語使えばよくね？
無論RTXのコンソール叩くのも出来るだろうけど
カスタムGUI の設定用API を使う手もある。
http://www.rtpro.yamaha.co.jp/RT/docs/custom-gui/#detail_api
いいね！
＞ホストからルーターへの設定転送
＞PCなどのホストからルーターへの設定転送は、/custom/executeに対してPOSTメソッドをリクエストすることで行います。
＞設定内容はPOSTメソッドのコンテント部分に記述します。
＞データ形式は、CUIで使用するルーターのコマンドを1つずつ改行コードで区切ったものとなります。改行コードはCRLFです。
POSTメソッドにコマンドをのせればいいというわけでなくて、
コンテンツには、設定のためのIDを前置しなければいけないらしい。
これを取得するのが面倒くさそうだな。
コンテンツ部分↓
#2450035272
ip lan2 address 10.0.0.1/8
syslog debug on
show config
http://www.rtpro.yamaha.co.jp/RT/docs/custom-gui/#detail_gui_sample
最後に、show configがあるのはなんでかな。
＜GUIの例＞
http://www.rtpro.yamaha.co.jp/RT/docs/custom-gui/set_config.html
＞最後に、show configがあるのはなんでかな。
自己レス
”コマンドを実行した結果はPOSTリクエストのリプライとして、テキスト形式でルーターから送信されます。内容は、CUIからコマンドを入力した場合に出力されるメッセージと同一です。例えば、show configを実行すれば設定されているコマンド一覧が表示されます。
また、間違ったコマンドを入力すればエラーメッセージが表示されます。”
なるほど。すごいね。
ありがとう。こういうのを探していた。
>>74さんのように、telnetつかうしかないのかなと思っていたけど、
httpで設定ができるならそれが一番いい。
中途半端なシステム屋が作ったであろう環境で、WAN側から普通に設定画面入れちゃうの多かったな
最低限パスワードは設定しておきな。電話番号とか客ごとに違うやつね
まさか、PP側から入れるようになんてしませんよ。
>>81
やばいところあるものね
信じられないこと言う。
アドレスも変わるだろうし、
釣りかと思っているんですが。本気です？
公開鍵認証ならいいんじゃね
httpsにも対応しとらん
PPTP
どうせなら、NTTのNGN上にヤマハのDNSサーバおいてほしい。
現在、RTX1210配下で100台端末がぶら下がって運用できています
（実際には同時接続台数は40から90台の間、接続はPPPoE IPv4のみ）
1回線あたり1024個の割り当てポート数というのがどう関係するか
いまいち理解できていません
この状態でV6プラスに類似するサービスを導入しても問題ありませんか？
ひかり電話（有）で電話も使用しています
公開サーバーの予定はありません
端末全部がダメならIPoE経路への接続台数は制限する予定です
それ、NTT WESTには存在していないんだよ
>V6プラスに類似するサービス
類似って？V6プラスではないの？
>ひかり電話（有）で電話も使用しています
ホームゲートウェイかなにかを、RTXの上流に設置しているということでしょうか？
構成はこんな感じで今は使えています
PR-400KI(UNI) - HUB - RTX1210 - WLX302(2台) - 端末群
│
PR-400KI(LAN) ----
│
電話機
プロバイダーはDS-Lite組です
PR-400KIは電話関係でのみ使用し
ルーター機能は全てRTX1210で行っています
要はDS-Lite導入後に
「1024個のポート」で何か制限が生じるのか
言い換えると
下流の端末全てにv6アドレスを配布出来るかどうか
また
NAT溢れみたいなことが起きないかどうか
知りたいだけです
IPv6なんでNAT処理はないみたいですが…
>下流の端末全てにv6アドレスを配布出来るかどうか
言い換えたらそういう意味にならないと思うが？
>下流の端末全てにv6アドレスを配布出来るか
ステートフルインスペクションで、RTXのLAN内全端末にIPv6 GUAが割り当てになるよ。
RTXにその設定が必要
>NAT溢れみたいなことが起きないかどうか
DS-Liteは網側にNATがあるので、RTXのNATは不要ですよ。（あってもいいけど、ナンセンス）
言い換えれば、RTXのNATの機能がいくら優れていようが、DS-Lite側のNATの性能にパフォーマンスは依存するでしょう。
感謝です。安心しました。
それで安心していいの？
v6プラス（他MAP-E方式）を選ぶかtransix（DS-Lite）を選ぶかで変わってくると思うけど？
v6プラスは割り当てが240ポートだけど、ポートセービングNATが使える1210なら、通信先1IP当たり240セッション張れる。
transixは1接続（トンネル）当たり1024セッションの上限が有る。
そんなにクライアントが居るなら、transixならパンクして接続できない人が出てくるんじゃないかな。
v6プラス他だったとしても、全員が頻繁に使う接続先のIPが複数でないとパンクしそう。
NAT制限がショボすぎて端末が大量にある環境だと使えないね。
そもそもフレッツv4が遅すぎるのが問題なんだよな
なんでONU直接つないでもインターネット宛は6Mbpsしか出てないんだ
朝からつながんねーってクレームくるし
1024セッション上限有っても捌けるかな～？
部署間の社内LANはIPv6で繋がるように設計しなかんけど
上の方が書いている「1024セッションの上限」がどこでどう影響するのか
教えていただけますか
もしかしてトンネル「1024セッションの上限」ってルータ側の話ですか？
それはIPoEの話でPPPoEのようなセッションの概念は無いって説明でしょ
上で言ってるのはDS-LiteのVNE側でのNAT処理におけるNATセッション上限の話
これについては、multifeedもiijも明言はしてないけど過去にストレステストした人が出した結論
規約違反とかにならない？
でも、メンテナンスが面倒くさそう
IPIPトンネル張れるのは１個じゃね？
何個でも掘れる。
DS-Lite的に？
V6アドレス扱えるVPSにVPN張った方がよかったりなｗ
建前上、光コラボ契約かつドコモ光ルーター01利用者にのみサービスを提供
こういうユーザーはセッション制限を気にする使い方はしないはず、だそうです
あと原則ホームページに書かれている以上のことはお答えできないと…
どこかに教えてくれる人いないかなあ－
公式条件外でもDS-Liteが使えるって喋りすぎると
ISPによっては提供が止められるかも…
そういうのは端末１００台ぐらいぶら下がってる事前提ではないからなぁ
いつも、俺たちは、にごされて、
そして確信を得るべく自ら実験を行って結論を得てきた。
セッションを張るLinuxスクリプトが必要だな。
あとは、セッションリミッター実験で怒られないかどうか。
＞そして確信を得るべく自ら実験を行って結論を得てきた。
彡ミミミミ))彡彡)))彡)
彡彡ﾞﾞﾞﾞﾞ"ﾞﾞ""""""ヾ彡彡)
ﾐ彡ﾞ ..＿ ＿ ﾐﾐミ彡
((ミ彡 '´￣ヽ '´/￣ ｀ ,|ミミ))
ミ彡 '￣￣' 〈￣￣ .|ﾐミ彡
ミ彡| ） ） | | ｀（ （ |ﾐ彡
((ﾐ彡| （ （ -し｀) ） ）|ﾐﾐミ ／￣￣￣￣￣￣￣￣￣￣
ゞ| ） ） ､,! 」（ ( |ソ ＜ 感動した！ >>119
ヽ（ （￣￣￣' ) ）/ ＼＿＿＿＿＿＿＿＿＿＿＿
,.|＼､) ' ( ／|､
￣￣| ｀＼.`──'´／ |￣￣｀
＼ ~＼,,／~ /
http://rosie.5ch.net/test/read.cgi/liveplus/1531363082/l50
西日本豪雨 死者２００人に 警察庁発表 安否不明なお多数
テレビと同じ番組をインターネットで流すＮＨＫの「常時同時配信」が、
総務省の容認姿勢で実現に向けて大きく動き出すことになった。
将来的にはネットのみの世帯に対する受信料新設で財源の拡大をもくろんでおり、
インターネットも契約できなくなるな。
フレッツファミリーは問題なかったという何とも解せない展開だった。
KDDIが切れたら、フレッツは必ず切れるのかな？
局舎より向こうはNTT回線に相乗りの場合と独自の場合があるみたいだけど、全国全ての局舎を繋ぐ回線をKDDIやソフトバンクが敷けるわけないので基本的に物理的にはみんなNTTの物
独自回線を引いている業者はいくらでもあるよ
うちは第２電電
ホコリが入るだろうな。
なにか合理性があってそういう形状にしてしまったんだろうか。
なにか、網でもかぶせようかと考えている。
自作パソコンやっていたらわかるけど、
ファンなんて回したら内部が埃の巣になるよ
通風口の上を風が通るようにするだけ
↑こんな感じ？
nat descripter masquerade staticのコマンドでmap-eで利用可能なポートとローカルIPアドレスをマッピングしてるんだけど外部からアクセスできないなぁ
何でだろ
形状は同じだし、コンフィグは丸ごと使おうと考えていますが、
何か不都合とかあるでしょうか。
RTX1100から、RTX1200への乗り換えのときは、LAN関係で、
自動的にコンフィグの修正が行われたことを覚えています。
とくに、RTX1210のIPsecの実装なんてかわっていないですよね。
他機種との接続を行っているので、RTX1200と同じ実装であってほしい。
基本的に上位互換なので、そのままconfigを流したらいい。
んで、まれに蹴られるコマンドがあれば、そこだけ修正なり削除なり。
拍子抜けするぐらい、あっさり動いて、
劇的にとは言わないけれど性能向上は体感できると思う。
ttp://motosumiyoshi.cocolog-nifty.com/gyoumuyo/2015/03/yamaha-rtx1200r.html
IPフィルタのrejectしてるパターンの方が穴開けるpassパターンより先に処理されてたのが原因でした
暗黙のdenyに頼る設定に変えたら通信できました
先にファームアップしてからね
RTX1100からの入れ換えやってきたけど全く問題ないね。
交換前にちゃんとPPPoE切らないとハマるからきをつけてね
さっそくレスいただき、
ありがとうございました。
いや、安心しましたー。
性能向上を期待しての交換です。
RTX1200でCPU使用率がしばしば50%超えてしまうことがあり、
パケットが遅延することが多くなってきたもので。
>>152
ファームアップも忘れずにします。
RTX1210はファームがらみでこのレスでも不具合報告がありましたものね。
ん？PPPoEを切らないと、セッションがサーバー側に残るとかかな。
ただなあ、HGWから取得しているIPv6プリフィックスが変わるだろうし、
そもそもLANのマックアドレスが異なるからアドレスがかわってしまうだろうなあ。
NTT WESTなんで、筑波のサーバから名前解決もできないし。
これが面倒。
PPPoE は、4 分程放置してれば網側から切断されるから
繋ぎ変えてあれこれしてるうちに切れてる。
何にハマるんだろう？
>>154
> マックアドレスが異なるからアドレスがかわってしまう
筑波の話をしてることから考えると IPv6 の GUA、マックアドレスということからするとそのインタフェースID 部？
インタフェースID を明示的に指定すればいいのでは？
HGWから取得されるプリフィックスの一部が変化するだろうと思われるんですよ
うちの PR-400KI では、MAC アドレスによってプレフィックスの一部が変化するという現象は見たこと無いな。
プレフィックスのうちのサブネット ID 部分は払い出した順序で決まっていて、最初に払い出したものは f0、その次は e0、… 最後は 10。
期限切れを待つか再起動などで払い出したものを忘れ、また最初の f0 から払い出される。
PR-400KI 配下の DHCPv6-PD クライアントが 1 台だけで、かつプレフィックスが変わったら困る運用をしてるなら、一番最初の f0 になるように使えばいい。
(e0 やそれ以降を使っていると、停電やファーム更新などのタイミングで一番最初の f0 になってしまう。)
HGW のメーカーが違うと、サブネット ID 払い出し順が昇順なのか降順なのか、再起動で消えるかどうか、という違いはあるにせよ
「プリフィックスの一部」は払い出した順序で決まってないか？
>(e0 やそれ以降を使っていると、停電やファーム更新などのタイミングで一番最初の f0 になってしまう。)
なるほど、それは大切なことです。ありがとうございます。
HGWって、払い出したプリフィックスのうちのサブネット部分を、再起動で忘れてくれるんですね。
しかし、プリフィックス部分は置き換え前のRTXと同じにできたとしても、
（GUAの自動生成の場合）新しいRTXでは全体としてのGUAは変化してしまうんだよなあ。
NTT WESTなので、筑波のDNSは使えない。
拠点のVPN設定を変更しなければならないのは避けられないなあ。
HGW の挙動はメーカーによって違うところがある。再起動で忘れてくれるものもあるけど、NE なんかは再起動しても忘れないんじゃなかったかな？
GUA が変わると困るなら、DHCPv6 でなく RA のプレフィックスを使う、インタフェースID は明示的に指定する、でどう？
再起動しても、MACアドレスに対して割り当てたプリフィックスを、
ずっと覚えているものもあるのですね。
すると、やってみなければ分からないですね。
取り敢えず、新しいRTXをHGWに接続する前に、
HGWは再起動したいと思います。
PPPoEよりもCPU食うね。
今日なんて、CPU80％にまで達して、
レスポンス値が跳ね上がって仕方なかった。
４分じゃだめなんです！！！
６分
6 分って言う人がよくいるんだけど、うちの回線で実際に試すと、
LCP Echo-Request に最後に返事した時点から 4 分ちょっとで、網側から LCP Term-Request や PADT が送られてくる。
なお西日本 隼、網側の MAC アドレスは 00:12:e2:… なので ALAXALA
使うアプリにもよるんだけど、一時的にゲスト解放する必要が出て手持ちの1210でいけるなら助かるのだけど。。
200台っていうと、
同時に使用される平均台数×各スマホの帯域＝必要帯域 < RTX1210が裁ける帯域
これがTrueならおkということでいいかな。
ああ、そうだな。
セッションとなると、いくらRTX1210の進化したポートセービングIPマスカレード機能が非常に有効だね。
65000ポートを、宛先アドレスごとに独立して使えるから、
スマホ200台が同じ宛先アドレスに接続するようなことがないなら、
セッションが枯渇することはないんではないかな？
しかし、社内向けサービスとかで、一斉に200台が同じ宛先アドレスに接続するとなると、
ポートセービングが機能しなくなってしまうから、ダメかもね。
この写真の、RTX1210のIPIPスループットが2倍なると、
CPU使用率が半分に下がってくれるんだろうか？
たとえば、IPIPで使用率が60%程度に上昇しても、RTX1210では30%になるとか？
これ、ファイストパスが使用される場合について説明されているんだけど、
”ESPパケットのフィルタリング”欄では、RTX1210でも「×」になっている。
これって、ESPパケットに対する、pass IPソース IP自分自身 などというフィルタを設定した場合、
トラフィックはノーマルパスになってCPUを喰うことになるってこと？
>>172
ありがとう。
NATのセッション数は上限を制限してやれば良いですかね。
一般人相手だからFBやらインスタやらのSNSとweb閲覧がメインだと見込んでます。
limit 100くらいで大丈夫かな？
帯域は。。。フレッツなので期待してないです。
ポートセービングIPマスカレード機能
有効設定するのを忘れないようにね
ISP側のタイムアウトがあるみたい。二重接続扱いされて切られる
>>176
いまだ使う勇気出せないけどもう平気かなぁ
HGWから取得されるIPv6プリフィックスと、本体のMACアドレスが変わったことによる、
GUAの変更だけが問題になった。
拠点のルーターの設定変更が必要になっただけ。
それ以外は、とくにひっかかったところはなかった。
休み明けが楽しみ。CPUの使用率が下がってくれるかどうか。
RTX1210のダッシュボード機能が楽しいね。
トラフィックなどの情報を確認できるんで。
ほんとそう。
バージョンアップしても、IPsecの仕様は絶対に変えて欲しくないな。
YAMAHA以外の装置とも、VPNを接続しているからなあ。
もし、IPsecの仕様を変える必要があったとしても、
今の仕様は別コマンドとして残して互換性を維持しておいてほしい。
クラウド全盛期に向けてIKEv2になってくんじゃないの？
YAMAHAはv1とv2が両立できないのが難だけど。
>YAMAHAはv1とv2が両立できない
たとえば、RTX1210で、IPsecつかうのにIKEv1を使うと、同じルーターで
IKEv2のトンネルを使えないってこと？
>ipsecの仕様が変わることはないだろうけどw
ちょっと言い方変になっちゃったね。
いいたいのは、RTXのIPsec関係の実装のことなんです。
たとえば、LibreSWANから開始する接続はRTXは受け付けるけど、
逆にRTXから開始する接続をLibreSWANは受け付けないっていうような仕様のこと。
双方向で接続が開始できるような仕様に改善されてもいいけど、このままでもいい。
同時入れ替えできるような太っ腹なエンドユーザなら一気に切り替え出来るんだけど末端がRT105e/107eとかザラだし
その通り。使えない。
だからv2使いたいなら全拠点一斉に切り替える必要がある。
Azureやっててはまったw
なるほど。ありがとう。
気をつけるようにする。
でもそのうち、ファームアップで対応あるかもね。
これって、ガシェットをのせたWEBページを開かないかぎり、CPU喰われないよね。
ところで、
インターフェイスを監視できるガシェットでは表示数に制限があるのが残念だったな。
あと、ガシェットの表示枠を変更できないんだろうか。
現在RTX1210を2台使用してL2TPv3を構築しているところなんですが、バックアップをモバイル回線でやりたくて予算の都合上事前に調べたらVPNパススルー機能があるということだったのでNECのAterm MR04LNを購入しました。がL2TPv3を構築できません
検証した内容
①
L03FというUSBデータ通信端末をRTX1210にそれぞれ取り付けて（一つは固定ipアドレスを契約してある）L2TPv3を構築 →◎
②
①の状態から固定ipアドレスじゃないほうをMR04LNにしてみた →×
logを見ると対向のRTX1210にはIpアドレスが通知されていますがそれ以上進まない
なので、MR04LNのパススルー設定が足
間違っているのかなと思い色々やるのですができません。
現在の設定
RTX1210のLAN2をMR04LNに接続
MR04LNのパススルー設定
LAN2のアドレスとUDP500,4500,TCP50,51
NECのサイト
http://www.aterm.jp/function/mr04ln/guide/vpn.html
どうか皆様よろしくお願いします
図にできない？
>>190
さっそくありがとうございます
言葉足らずで申し訳ありません
図におこしてみました
https://i.imgur.com/mMnRABk.jpg
現状は
teraterm上でRTX1210B(console)からRTX1210Aに付けたUSBデータ通信端末へのpingは◎
MN04LN
https://i.imgur.com/87jR618.jpg
よろしくお願いします
http://www.rtpro.yamaha.co.jp/RT/docs/l2tpv3/index.html
L2TPv3パケットの受信にはUDPのポート番号1701が使用されます。変更することはできません。
MR04LNにUDPのポート番号1701のＮＡＴ設定いるんじゃね？
それで使えるかどうか知らんけど
USBデータ通信端末をそのまま使うのは駄目なの？
本商品のLANにIPsec機器/PPTPサーバを構築する場合は、ポートマッピング機能を併用する必要があります。
http://www.aterm.jp/function/mr04ln/guide/vpn.html
UDP1701を通したらvpn一瞬だけ張れたから優先度をいじったら安定してつながるようになりました！
ありがとうございました
参考までに
51 優先度1
50 優先度2
500 優先度3
1701 優先度4
4500 優先度5
UDP500番、UDP1701番、UDP4500番はそのままでOK
50はTCPの50番じゃなくてIPのプロトコル番号50番(ESP)
Atermでその設定ができるかどうかは不明だが。
ありがとうございます
espでもできました
ちがうだろう
RTX1200の、tunnel encapsulation l2tpv3-raw で、
Linuxのxl2tpdとの接続はできるのでしょうか。
SoftEtherなんかとRTXは接続できるようです。
アメリカからAT&Tのプリペイドsim使ってVPN張れたかたいらっしゃいますか？
現在はアメリカで固定回線契約して、日本は固定のアドレスを使用してvpn張れてますが、バックアップでアメリカのモバイルWi-Fiルーターにプリペイドsim入れて、つながるか試してるんですが出来ません
アメリカからはpingは応答あり
日本からpingは応答なし
単にポータブルWi-Fi側のNATなりFWなりにかかって落とされてるんじゃないかって気がするけど。
l2tpv3-raw で、Linuxカーネルモジュールの
l2tp_eth を用いて頑張ったんですが、
YAMAHAの設定パラメーターが簡素すぎて、
お手上げになりました。
それから、次のことがわかりました。
＞ヤマハルーターでサポートするL2TP/IPsecには以下の制限があります。
＞L2TP単体での機能は提供しません。L2TP/IPsecのみサポートします。
L2TPv3-rawとLinuxとの接続ががんばったけどできなかったので、
L2TPをIPsecなしで使いたいなと考えたけど、上記の制限があるようだ。
IPsecを組み合わせる必要があるのでLinux側の設定がシンプルでなくなるなあ。
L2TPv3-rawと、modprobeで導入するl2tp_ethモジュールの機能と相互接続できるようになってほしいし、
L2TP単体（IPsecなし）でも利用できるようにして欲しいなあ。
ヤマハルーターでは、L2TPv3を用いたL2VPNおよびL2TPv3/IPsecを用いたL2VPNを構築することができます。
単体でも使えそうなんだが
>L2TPv3を用いたL2VPN
L2TPv3なんで、直接Etherフレームを包み込む。
PPPはつかわない。
多くあるネットの情報は、旧来のPPPを包み込む場合について設定を挙げている。
L2TPv3でEtherフレームを包み込んでいる場合についての設定例はなかった。
これをなんとかテストしたみたんだけど、>>205のとおり、
ダメだった。
（本来は、Linuxのl2tp_ethモジュールで、ipコマンド数行でL2TPv3により相互接続できる。RTXはパラメーターが合わないようでできなかった。）
そこで、次に希望しているのが、L2TP（v2なのでPPP）でIPsecをつかわない方法。
でも、>>206のとおり、サポートされていないようなんだよ。
ヤフーオークションにおける悪質出品者
「ヤマハ発動機」ならびに「本田技研」に対する「商標権侵害」を指摘され引っ越したもよう。
旧ID 指摘ページ https://page.auctions.yahoo.co.jp/jp/auction/o255009865
◆ID取り消し前に逃走◆ 懲りずに新規IDで出品開始
文字付きという表現で誤魔化す（よく見ると下方へ記述あり）
https://page.auctions.yahoo.co.jp/jp/auction/o261351643
https://page.auctions.yahoo.co.jp/jp/auction/x562912380
https://page.auctions.yahoo.co.jp/jp/auction/x564611001
https://page.auctions.yahoo.co.jp/jp/auction/w256268189
https://page.auctions.yahoo.co.jp/jp/auction/g292172609
https://page.auctions.yahoo.co.jp/jp/auction/n288646710
https://page.auctions.yahoo.co.jp/jp/auction/f291842326
羽マーク付きという表現で誤魔化している（羽マーク自体も商標）
https://page.auctions.yahoo.co.jp/jp/auction/j510967988
https://page.auctions.yahoo.co.jp/jp/auction/l467274058
https://page.auctions.yahoo.co.jp/jp/auction/x563096716
他にも模倣品ばかりに思われるため
ヤフーへの通報「違反商品の申告」をしたほうがよいかもしれない。
きっと今後も不正し続けるであろうと予測されるためメーカーへの通報が最も重要だろう。
知的財産権保護プログラム登録団体（各メーカー） https://business-ec.yahoo.co.jp/ppip/list.html
スレチ
上位のプリフィクスは変わる可能性があるので、フィルタリングで使いたくない。
ありそうだけど、Linuxカーネルでは実現しているのかな？
何か技術的な難しさがあるんだろうか。
上からみるか、下から見るかの違いだろうから、なんとでもできそうだけど。
ソフトウェア処理して、パスしたら、あとはファストパスさせるような仕組みでもいいのではないかな。
LinuxとかはデフォルトでEUI64が使われてる設定になってるだけ
https://tools.ietf.org/html/rfc4941
ステートレス割り当てのことですよね
あとIPv4みたいにマスクbitを直接指定するとか
何を目的にしてIPv6下位64bitでのフィルタリングを希望してるか分かりませんが
自宅では/64 IPv6アドレスのフィルタリングを実施してます。
ISPや契約方式で無理な場合も多いけど、
ISPから/56より上位のプレフィックスで配布されるIPv6を/64でクライアントPCに配布する設定にすれば
下位64bitでのフィルタリングは可能
自宅のRTX1200では、この方式でプライベートLANをポートベスVLANでセグメント分離
加えて、互いのセグメント間通信を、IPv4/IPv6共に完全に遮断するフィルタ記述している
自分のISPも動的に/56で配布されるが、変化しても問題なくフィルタリング出来ている
自宅の設定では、下位64bitを::1でセグメント間の完全に通信遮断しているけど、
特定の下位64bit指定でpass設定も可能と思う
そろそろまともに使えるのか、まだダメなのか知りたい。
RTX1210でLAN1をLAN分割して
R1(LAN1-1とLA2をbridge)←L2TPv3→R2
R1(LAN1-2とLAN2をbridge)←L2TPv3→R3
のような構成をしたいのですが可能でしょうか？
WAN側は検証環境の為全部のRouterをSW-HUBに収用してます
RTX1210の下にL2-SWを使えば良いのですがもしこれが可能なら器材が少なくできるな！と思ってヤマハのサイトを調べたんですが、、私にはできませんでした
皆様よろしくお願いします
回答ありがとうございます
Routerは全てRTX1210ですので対応しています
tunnelを複数作成して1対多のL2TPv3の構成が可能なのは確認していますが、それだと私の知識ではR1,R1,R3のLAN1が同一ネットワークになってしまいます
R1の下には2つのネットワーク(AとB)がありお互い通信をさせたくない状況です
R1(LAN1-1)-R2(LAN1)はネットワークA
R1(LAN1-2)-R3(LAN1)はネットワークB
という感じでL2TPv3を構成したいです
質問の説明が悪く申し訳ありません
NGNで配布される半固定プレフィックスに対してフィルタリングしたいんでしょ。
私もそういう機能が欲しい。
実際のところ、このような状況でIPv6のフィルタリングはどのようにするのが正しいのでしょうか。
外側から特定のMACアドレスの機器にだけIPv6通信を許すみたいな。
そうなんです
私の知識だとbridgeは1つしか設定できません
ここの皆様だったらなんか良い方法を知っているんじゃないかと思いまして
対向装置も同様に対応していないと接続出来ない。
LAN内PCへの宛先指定なら外からの接続指定行けるかもしれない
IPv6/56をIPv6/64で配布する方法とフィルタの記述方法書いておくので、検証は宜しく御願いします
ISPからIPv6アドレスがISPより/56プレフィックスで届くと仮定
123a:456b:789c:0100:0000:0000:0000:0000(123a:456b:789c:0100::/56)では
123a:456b:789c:01迄が固定でその下が変更可能
123a:456b:789c:01XX:0000:0000:0000:0000(123a:456b:789c:01XX::/64)とすると
自分の環境でお好みのXX値でその下の下位64bitの指定が可能になる
※ipv6 prefix 10 dhcp-prefix@lan3::AB:0:0:0:1/64の記述は、
ipv6 prefix 10dhcp-prefix@lan3::AB:0:0:0:0/64の方がより正しい表記が
YAMAHAルータは、末尾1で表記するルールになっている
ipv6 lan3 address dhcp
ipv6 route default gateway dhcp lan3
ipv6 prefix 1 dhcp-prefix@lan3::/56
ipv6 lan3 dhcp service client
ipv6 lan1 dhcp-prefix@lan3::XX:0:0:0:1/64
ipv6 lan1 address dhcp-prefix@lan3::XX:0:0:0:1/64
ipv6 lan1 rtadv send 10 o_flag=on m_flag=off
ipv6 lan1 dhcp service server
ipv6 filter 1600 pass * dhcp-prefix@lan3::XX:0:0:0:1/64 * * *
ipv6 filter 1610 pass dhcp-prefix@lan3::XX:0:0:0:1/64 * * * *
ipv6 filter 8000 reject * * * * *
ipv6 lan1 secure filter in 1600 8000
ipv6 lan1 secure filter out 1610 8000
なるほど。
pass * dhcp-prefix@lan3::XX:0:0:0:1/64 * * *
という書き方もできるんですね。知らなかったです。
そうすると、変動の可能性があるプリフィックス部分のみ、変数を用いて適用することで、
実質、それ以外の部分のアドレスをターゲットにしたようなフィルタリングができますね。
これはとても良いと思います。
ただ、dhcp-prefix@lan3::である変数部分は、
もしプリフィックスが変わるタイミング、ルーターが再起動するタイミング、などで、
どう有効になるのか調査する必要がありそうですね。
いや、勘違いをしていた。
送信元IPアドレスについて、下位64bit（MACアドレスから生成される部位）で、
フィルタリングしたいので、その方法は使えないようだ。
送信元動的IPv6でのフィルタリングは無理だと思う
手法があったら自分も知りたい
おー、ありがとう！
そういう書き方できるの知りませんでした。
確かにプレフィックスが変わるタイミングは検証の
必要がありますね。まー、半固定なので気にしない
ってのもありですが。
ウチは光電話契約してないのでraなのですが、帰宅
したら試してみます。
上位ビットのマスクか、
下位ビットのマスクかの違いだろうから、
任意のビットでフィルタリングすることなんて、
ちょっとプログラムをいじれば出来そうに思うんだけどな。
IPv6のながーいアドレスなんだから、
任意のビットでフィルタリングするニーズはあると思う。
それとも、IEEEなんちゃらがフィルタリングの方法まで規定しているんだろうか。まさか。
215の設定をサポートと相談しながら作った時点で
RTproには掲載されているIPv6設定のいくつかは、その時点で実装されてなかったこともあった
必要なら要望をサポートに出せば良いと思う
natしたらアドレスが足りなくなるんじゃないのかな？と思っていろいろ調べてみたら、
いつの間にか新機能でポートセービングIPマスカレードなんてものが出来てたのね
それに対応している機種のみがv6プラスに対応してるのか
v6プラスの仕様に合わせて先にこの機能を付けたのか
それともたまたまだったのか
v6プラスに設定を変えたけどいろいろ理解しないといけないことが多すぎてなかなか大変だ
ネットボランチDNSはv6プラスで使うには2002番のポートが空いてないので無理なのかな
2000年ころには実装していた機能だよ。
ヤマハが遅かっただけ。
ネットボランチDNS使えないのマジ不便
NGN折返し通信したいよな
DDNSはnetvolante.jpをIPv4 PPPoE側にして、MAP-EとIPv6はsoftether.netを使ってる
IPv4はヤマハのサイトにあるスクリプトでロードバランシングしたりしてます？
map-eのみの方が速いのかな？
試しに実家とname使ったipipトンネル張ったら繋がった
http://techlog.iij.ad.jp/wp-content/uploads/2016/04/ipoe.png
それで不思議なのが、経路がNGN折り返しみたいなんだよな
MFEED経由だと思ったんだけど、なぜそうなるのか分からない
なぜそれだけの情報で答えが見つかると思ってるのか判らない。
東西跨いでるとかVNEが違うとか色々と付ける情報は有るだろう。
まぁ、VNEが違ってて折り返しになったとしても特に不思議とは思わないけど。
v6オプションやv6プラスの契約で、
グローバルアドレスになるけどな。
オプションありでもなしでも、グローバルユニキャストアドレス。
外に出られるのと、出られないのとでプレフィックスは違うけど、
外に出られるかどうかにはかかわらず、同じ網内同士の通信は網内折り返し。
DDNSなのになんで初期アドレスを登録しなきゃいけないの？
最初に紐付けする作業としては、あり得るオペレーションじゃない
IPv6オプションをONにするだけではnameがONにならないわけだし
うちはこれ使ってる
入れ換えの時は古い方で消してから再登録してるけど
サポートに言うことはできないの？
ああ、そうだった。
網内だけで使えるグローバルアドレスだったな。
オプション契約すると、外に出られるまた別のレンジのグローバルアドレスが与えられるね。
最初に登録したネームとアドレスを基本的に使われる。
プリフィックスが変更になった場合に、自動的に書き換えてくれる。
ネームは有料だからね。たしか、局内工事扱いで、
3000円ほど必要だったと思う。
三つも登録したら、9000円くらいにもなっただろう。
単にプレフィックスを書き換えるだけです、とNTTが明示してくれれば良いのに
そんな情報どこにもないよな？
しかもルータ交換したらアドレス変わるだろうし。
プレフィックス以外の変更には非対応。
一度、v6オプション申し込んでIPv6を開通させた際に、
プリフィックスが変更になったが、ちゃんと機能していたわ。
ただ、即座に切り替わらなかったなあ。
>経路がNGN折り返しみたいなんだよな
nameを設定したからとしか回答しようがない
mfeed使ったトンネル張らなきゃ…
フレッツ・VPN ワイド
好きなだけ跨げるよ
両端がＮＧＮならＮＧＮ折り返りになるだろう
https://i.open.ad.jp/
超簡単
ただでIPv6網を使えるのに金払って遅い網なんて誰得。
>>258
プライベートでは使ってるけどなんの保証もないから業務には怖くて使えん。
問い合わせてみたことあるが返事無かった。
そういう手の保証って、
何かしてくれるのかな？
たしかに、NTTなら例えば障害があっても対処してくれるだろうけど。
自分でやった方が早いのに金払ってベンダー丸投げするのもそのためじゃん。
netvolante-dnsもこの前障害起こしてたけど非公開だった気がするし。振り回されたわ
ヤフオクにおいて法を犯し続ける悪質出品者
◆以前ID取り消し前に逃走◆「本田技研」「ヤマハ発動機」に対する「商標権侵害」を指摘され引っ越したもよう
旧ID 指摘ページhttps://page.auctions.yahoo.co.jp/jp/auction/o255009865
◆懲りずに新規IDでの出品◆https://auctions.yahoo.co.jp/seller/suzukikoubou2016
入金前にご指定が無い場合は「商品画像の色、文字変更なし」で作成させて頂きますのでご了承ください。
と表現を付加し分かりにくくしているようだ
https://page.auctions.yahoo.co.jp/jp/auction/u230001417
https://page.auctions.yahoo.co.jp/jp/auction/o262552803
https://page.auctions.yahoo.co.jp/jp/auction/r273949152
https://page.auctions.yahoo.co.jp/jp/auction/c691745006
https://page.auctions.yahoo.co.jp/jp/auction/b336619755
もちろんそれだけではない。
商標に関するものは扱わないと言いながら
購入者には以下の通り本田技研、川崎重工の文字を付けて販売しているもよう
https://page.auctions.yahoo.co.jp/jp/auction/g258631419
https://page.auctions.yahoo.co.jp/jp/auction/b301429419
https://item.mercari.com/jp/m91024314407/
https://page.auctions.yahoo.co.jp/jp/auction/s606973477
全商品に違法文字を付帯し顧客獲得しているのであろう
何度も不正し続けていることから、ヤフーへの通報「違反商品の申告」のみならず、
メーカーへの通報が最も重要だろう。
知的財産権保護プログラム登録団体 メーカー通報窓口一覧https://business-ec.yahoo.co.jp/ppip/list.html
L2TP/IPsecにてVPNを構築する場合、トンネル1つに対して1人のユーザーのみ同時使用でき
RTX1200の場合、同時接続数は最大100人まで、という認識で良いでしょうか？
よろしくお願いします
そんなスペック限界まで試すつもりなら尚の事
サポートサイトみたら、特定向け製品についての注意があって驚いた。
そういやうちにあるRTX810も記載されている製造番号から始まってるな
同時使用でしょ？
同時に通信があると。
とても厳しいような
せめて、1210を使った方が良いと思う。
カラオケ屋用とかのやつかな。
「これらの製造番号の製品をご購入いただいても、一般利用に転用して動作させることや修理による改造をお受けできません」というのは、
独自ファームが入ってるやつに、純正ファームを書けるようにしてくれと言われても断るという意味かな？
でもそれ以外の問い合わせに関しては、特に何とも書いてないから受け付けてくれるんだろうか。
手に入れたのが NEC の IP38X だから、ヤマハへの問い合わせは遠慮してたわ。
シリアルは D2F頭で、そこにも対象として載ってる。
いえす その認識で合ってるよ
ユーザーとトンネルインターフェイスを各々紐付けるの
NECのIP38Xは別途保守契約前提だしな
cold startかけたときに仕向け用のコンフィグが入ったりするから、手打ちする人向けって割り切れればいいけど
VPNクライアントで100クライアントも同時接続するような規模だと、複数台買って分散させたほうが安全だぜ
RTX1200でクライアント５台ぐらいだけど、なんか不安定になって再起動するまで治らないとか経験したし
>>268
あくまで仕様を知りたかっただけで、さすがに100人同時は無いと思いますが
1人1人にID等を割り振る必要があるのか、トンネル1つに詰め込めるのか知ってから
config書こうと思いましたので…
>>272
ありがとうございます
となると1人1人にIDを作る必要がありそうですね
ちょっと面倒そうですが、頑張って設定してみます
http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html#setting5
こういう感じかな
ＩＤって重複ログインできたような気がしたけどできなかったっけ？
出来たとしてもセキュリティ的に分けたほうがよいとは思うけど
まぁトンネルは同時接続分は用意しないとダメだけど
トンネルテンプレするときに「 ip tunnel tcp mss limit auto」だけは反映されないからこんな風に書いてる
tunnel select 4
description tunnel Tunnel3と同じ設定が入っています
ip tunnel tcp mss limit auto
入力形式： ip tunnel tcp mss limit データ長
データ長 = 536-1460, 'auto' or 'off'
説明： TCPパケットのMSSを制限するかどうかを設定します
デフォルト値： auto
デフォ値がautoだから入れなくてもよくね？
総ム省の、『憲法改正國民投票法』、でググって
みてください。拡散も含め、お願い致します。
ファームのバージョンによって違う。
古いのだとデフォルトは off
>278みて、そんなはずないと思ってたらやっぱバージョンだよね
やはりバグかね
ip で始まるコマンドは、「展開先のトンネルインタフェースにも適用されるコマンド」に含まれていないから、適用されないのが仕様。
通りすがりです。
なるほど、マニュアルはよく読まないとな。
思いこんで、なんでも展開されるのかと思っていたわ。
?
kwsk
>>278
なるほど
トラップ仕掛けたいなら好きにしたら良いけど。
フィルタ細かく入ってるなぁって思ったら ip filter 行なかったり
v6オプション使ってngnでVPNを組んでる環境で、ipv4 over ipv6をやった場合に、複数の拠点またぐことって出来ないのかな？
拠点A～拠点B～拠点C
拠点Aと拠点B、拠点Bと拠点CでIPSEC接続確立。
pingが通ることを確認、ダッシュボードでも接続中表示。
拠点Aのルーティングは
ip route 拠点Bセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway 拠点Bのlan1アドレス（ipv4）
拠点Bのルーティングは
ip route 拠点Aセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway tunnel 2
拠点Cのルーティングは
ip route 拠点Bセグ/24 gateway tunnel 1
ip route 拠点Aセグ/24 gateway
拠点Bのlan1アドレス（ipv4）
これで拠点Aから拠点Cにpingを行っても通じず。
tracertで確認すると拠点Bのルーター到達後繋がらず。
現時点は諦めてAとCもIPSECを組んで開通させてるけど全部で拠点が7拠点あるんでRTX830にあんまりたくさんVPNセッション貼りたくないです。
拠点BだけRTX1210なので全部の拠点とVPN確立するのはこの機種だけにしたいです。
どなたかご教示お願いします。
拠点Bをセンターにスター型の想定でいいんですよね？
拠点A-拠点Bのトンネルをtunnel 1
拠点B-拠点Cのトンネルをtunnel 2
とすると
拠点A
ip route 拠点Bセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway tunnel 1
拠点B
ip route 拠点Aセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway tunnel 2
拠点C
ip route 拠点Aセグ/24 gateway tunnel 2
ip route 拠点Bセグ/24 gateway tunnel 2
でいけませんか？
間違ってたらすいません
使ってる機種がRTX1210とRTX830ならマルチポイントトンネル使うという方法でもいい気がしますけど
早速の返信ありがとうごいます！
gatewayを相手のルーターにせずに通過するトンネルに変えるかんじですかね？
マルチポイントは気にはなってますがそこまで詳しく見てなかったのでそれも調べてみます。
トライする気概は大したもんだがルーティングをちゃんと勉強した方が良い。
そんなんでよくVPN張れたな。
拠点A
ip route 拠点Bセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway tunnel 1
拠点B
ip route 拠点Aセグ/24 gateway tunnel 1
ip route 拠点Cセグ/24 gateway tunnel 2
拠点C
ip route 拠点Aセグ/24 gateway tunnel 1
ip route 拠点Bセグ/24 gateway tunnel 1
にて拠点同士の通信が出来ました。
おかげさまで余計なIPSECを追加しないでもよくなりました。
マルチポイントは検討してみましたがFQDN使えなさそうなので半固定のIPv6を設定するのはリスク高そうなので今回はやめることにしました。
また、インターネットも含めて拠点Bから通信させるのであれば、拠点のルーターにip route default gateway tunnel 1だけ追記すればセグメントごとのルーティングの記入は不要で繋がることも確認できました！
ご質問に答えていただきありがとうございました。
>>297
おっしゃられるとおり、大変無知であることを痛感しております。
今まで多重ルーターでのルーティングはいくつかやっていたので、gateway＝目的の場所へ行くための一つ先のルーターを指定する。だけでいいと思ってました。
VPNワイドの設定の場合も目的地へIPアドレスを繋げて繋げてたどり着くみたいなことをやっていたので同じ感覚でやってました。
今回を機会にもう少しルーティングについて勉強してみます。
多重ルーター？
|
□
|
こんなんじゃないの？
LAN1に内部
LAN2にフレッツのONU
を繋げて
http://www.mfeed.ad.jp/transix/ds-lite/contents/yamaha_nvr500.html
に従って設定するとLAN2側にしかGUAが設定されないからLAN1側ではIPv6でインターネット出れない
LAN1側にra-prefix@lan2::1を当ててもLAN2と同じサブネットなのでルーティングされない
LAN2側にIPv6アドレス割り当てなければLAN1側からIPv6が使えるがLAN2側からAFTRにアクセスできなくなってIPv4が使えない
IPv6パススルー無いから諦めるしか無いのかな
この通りに設定するとLAN1のipv6DHCP動いてないから繋がらないのでは？
https://network.yamaha.com/setting/router_firewall/flets/flets_other_service/ipv6_ipoe-rtx1200
こっち参考にしつつtunnel情報入れるのとdefault gatewayの設定入れてつながりませんか？
> LAN1側にra-prefix@lan2::1を当ててもLAN2と同じサブネットなのでルーティングされない
RAプロキシでパケットが通るよ。
>>305
ipv6 lan2 address auto
を入れてlan2にipv6のguaが割当たらないとtunnel情報入れてもaftrまで通信出来ずipv4で通信出来なかった
確認した限りlan2にgua割り当て前はAFTRの2404:8e00::feed:100にping6が通らずgua割り当て後はping6が応答ありになる
しかし逆にlan2にguaが割り付けられる事にりlan1側からはipv6で通信不能になった
とりあえずconfig晒しにくいので色々試してみます
一個外れているんだけど
ipv6 lan1 dhcp service serverははいってますよね？
入ってます
lan1側クライアントにはRAでguaが割り当てされてます
しかしguaではルータにすらpingが届かない
lan2側にgua割り当てなければlan1内の端末はipv6でネットにしっかり通信出来ます
今日改めてipv6 lan1 address ra-prefix@lan2::1
でlan1側にアドレス割り当て直したら解決しました。
色々ありがとう
コンフィグ変わらないんだけど問題起こっている時は
show ipv6 routeでLAN2にguaのプリフィックスが割り当たっていて
問題無いときはLAN1側にプリフィックスが割り当たっています
またルーティングテーブルが切り替わって問題が起こるかもしれませんが・・
ipv6 lan1 addressを設定してipv6 lan2 addressは設定しない方が良いみたい
ipv6 lan2 address設定しないとIPv4 over IPv6トンネルのAFTR(トンネルの接続先)にアクセスできなくなる
そうするとIPv4使えない訳で
ipv6 lan2 address設定したあとにipv6 lan1 address設定すればRAプロキシはギリギリ動くっぽい
ルータ再起動したらRAプロキシが止まるかも知れないけど
勝手WiFiを見つけた。
どういう処分をすべきか？
社内規約には具体的にアクセスポイント禁止とはうたっていないんだよなあ。
とりあえず本人に連絡して止めさせる
処分考える前に勝手な端末繋がせないように規約作れよ
いっそのこと公式に無線AP設置した方がいいわ
建前上MACアドレス申請書出させて
PCにUSBのWiFi挿されてインターネット共有されたらどうするの？
ワーワー騒ぎ出したらそんなもん勝手に設置するなと注意する
DHCPに鍵でもかかっていたらよかったのにな
そうであれば、APの設置も初心者には骨が折れると思うよ。
諦めてくれるだろう。
昔のプロトコルだからそういうの実装されていないんだろうな
>>315
スイッチングハブがなかったときに、
代わりにブロードバンドルーターのLAN側を使おうとしたときに、
そういう状態になってしまったことがあったな。
そのイーサネットアドレスってAPのことだと思うけど、
実際に通信するのはAPを経由するスマホなどだから、
その方法は無理だと思う。
APへの設定ができなくすることはできると思うけど。
イーサーネットに鍵の仕組みがあればいいんだよな
いや、ポートを物理的に鍵するようなバカっぽいやつでなくて、
プロトコルにそういうのを実装してほしい。
中小企業によくありそうないいリスク事例だわ
Cisco ISEでも買えばええやん
プロファイル機能でどんな端末か収集して
ポリシーかけられる
不正なDHCPサーバの制限なら
DHCP Spoofingでいいと思ったけどボケてるの?
L2スイッチとはいわゆるハブのことです
一酸化二水素でググれ
がんばれよｗ
金かけたくなければ社内VPNでもやればよくね？
わからないかな。
L2スイッチは、普通のスイッチングハブのこと。
一酸化二水素（DHMO）は、普通の水のこと。
いずれも専門的な言い方をしているが、要は身近なものだといいたいわけだ。
なるほど。IPsecパケットのみ入力できるようにしておいて、
全パソコンでIPsecクライアントを導入すればいいよね。
でも、それだとIP電話が使えないよ。
UDPを通せばいいか。
DHCP Spoofingを防止したいんだが。
YAMAHAルーターでもできるのかな？
それを322に言う意味がわからんってことじゃね。
最後の文ないと意味不明だし
322と関係ねぇじゃん
説明しなければ滑ったまま
接続状況は
［ONU］---［PR-400NE］---［RTX830］
PR-400NEのTELポートには電話が繋がっており、電話は使用できます。
なお、RTX830にてipv6 lan2 address autoを使用すれば/64でアドレスは取得できますが、これはひかり電話未加入の場合の取得方法だと思います。
http://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-NEXT/ipv6_ipoe.html
情報ありがとうございます。
こちらを参考にしてみましたが、やはりDHCPではとれません。
show status ipv6 dhcpではstate reconfigure
show status ngnではNGN（UNI）に関する情報が足りません
と出てしまいます。
Bフレッツからの移行回線の中には、ひかり電話がタイプ２に変更されないまま処理されてしまいPDが取得できないパターンがあるけども。
それに該当しないですか？
PR-400NEの設定画面で/56がPDされてなければその可能性が高いかも。
トップページ ＞ 情報 ＞?鮱HCPクライアント取得情報
[?鮱HCPv6クライアント取得情報(IPoE)??]
IPv6プレフィックス 2408:****:****:**00::/56
ルーターの設定はまだ確認してませんがこの可能性が高いです。
契約書を確認しましたら、CAFではなくCOPの契約でした。
明日NTTに電話して確認してみます。
光電話ルーター間に入れてるからだよ。
そんなの入れたらスループット劇落ちだぞ。。
HGWの配下にルーター置く場合は電話なしと同じRAプロキシの設定じゃなかったでしたっけ？
なんでipv6 lan2 address autoで取得出来るのは正常な気がしますけど
質問の答えになってないよ
>>345
それはMAP-E使う場合の制限事項の話でしょ
分かってないのはお前だけと思われる。
それだと、DHCPIPv6で、アドレスの奪い合いになるでしょう。
>>1
プレフィックスを配る機能は持ってて(当然ながら DHCPv6-PD を利用可能な場合のみ)、RTX はそれを取得できる。
インタフェースID は RTX 側が決める。
両方合わせてアドレスができあがる。
それやったやった！！！
つながったって喜んでたらつながらなくなったからHGW見たらそっちが奪ってたっけ
ひかり電話ありならHGWからDHCPv6-PDで/60のプリフィクスとDNSアドレスを貰いRAは使わない
ひかり電話無しならHGWは無しでONUにRT直結でRAで/64のプリフィクスを貰い、DHCPv6でDNSを貰う
ひかり電話のあり無しでアドレスの配り方はかなり変わるよ
>ひかり電話ありならHGWからDHCPv6-PDで/60のプリフィクス
これ、だんだんと減らされているよね。
以前は、/48だったと思う。
以前から使っている人は、/48でLAN内の計画をやっている人だっているだろうに。
ところが、HGWの置き換えをしたら、/60になってしまうんだから、大変だよ。
もうこれ以上減らされないよね。
いまは/56です
フレッツのIPv6割り当ては動的アドレスだし
それなりの規模でIPv6使いたかったらフレッツ以外の回線でビジネスプラン使うべき
横からで申し訳ないけど、ひかり電話ありでHGWの下にルーター置く場合ipv6 lan2 address dhcpの設定（yamahaのDHCPv6-PDの設定）使うってこと？
そうなるね
ひかり電話ありでも PD なし回線とかあるからややこしい。ので >>339 みたいな話になる。
あとひかり電話なしでも HGW は無しとは限らなくて、ホームゲートウェイレンタルとか東のギガスマ回線とかある。
>>355
HGW が貰うプレフィックス長と、配るプレフィックス長がごちゃまぜになってないか。
以前は、/48 を取得して /52 を払い出し。
今は /56 を取得して /60 を払い出し。
変わったら困るようなところは、IPoE ではなく、(長さ含め)固定のプレフィックスを貰えるような IPv6 PPPoE のプロバイダを契約すればいいんじゃないか。
>>358
それでも使えるし、RAプロキシでも使える。
が、RAプロキシはルーティングできない場合の苦肉の策みたいなもんなので、DHCPv6-PD を使える状況ならそちらを使ったらいいんじゃないか。
＞IPv6 PPPoEって、IPv4のPPPoEみたいに、
NTTの局ビルに集約されて速度が劇遅ってことないのかな。
IPv4のPPPoEとは設備が別なのね。
PPPまでの処理は共通なのかと思っていた。
設定変更はコンフィグベースなのか...
MerakiみたいなCUI取っ払って特化したやつと比べるのも何だが
だから凝ったことができない。
YAMAHAのGUIを見る限り画面設計もイマイチだしCUI廃止は無理。
CUIが無いWLX202とかマジで使いモノにならんし。
http://www.rtpro.yamaha.co.jp/RT/docs/yno/manual/index.html#対応機種
L2MSはブロードキャストドメインにしか届かないから
L3がある状態だと、エッジにあるルータはマスターに適さないような。
またこの時、L3のスレーブにルータがなれないと、管理しずらいと思われる。
L3側にL2MSを別のブロードキャストドメインにリレーする機能でもあれば
ルータをマスターにして一括で見れるけど、無いよね？
誰も別なんて言ってない。362がそう思ってるだけ。
WLXも家庭用無線ルータみたいに、簡単ゲストモードみたいなのつくってほしかった。
最近ゲスト用の需要が多いけどいまいち売れない
pppの設備は、IPv4と6とで共通ってこと？
だったら、PPPoEである限り、IPv6も遅いってことになるね。
フレッツの半固定IPを活用できるようになるのか！？
softetherのddns使えば？
今それを使ってるんですが、有料化も検討しているみたいなので可能であればネットボランチに頼りたかったんですよね。
有料化じゃなくてサポート面で差別化した有料プランの併設を検討してるって事だったと思うけど
yamahaならできるはず！
ヤマハが自前で光回線契約して、
そこでサーバーを運用すればいいよね。
フレッツ光 隼を一本契約すれば済むよね。
NTT西から使おうと思ったらIPv6ネイティブのISP契約が必要。
NTT東西のNGN内に、ヤマハ単独でDDNSのサービスを持ち込むのは無理だろう
あくまでISPから提供されるIPv6アドレスに対して名前解決するだけですね。
そのほうがisp契約者が増えますものね。
客に納めるような運用できないからわりとどうでもいいけど
いずれ有料サービスやるってのはNTT東のメニューに載せることらしい。
i.open.ad.jpって有料になるのか
それでボランティアでなくなるなら結構な事では？
※ OPEN IPv6 ダイナミック DNS for フレッツ・光ネクストのユーザ登録を行っていただいたすべてのご利用ユーザ様にお送りさせていただいております。
* This e-mail is sent to all registered user of??OPEN IPv6 Dynamic DNS for NGN.
「OPEN IPv6 ダイナミック DNS for フレッツ・光ネクスト」サービス (https://i.open.ad.jp/)??
のベータ版をいつもご利用いただきありがとうございます。
本サービスはベータ版として無償無保証として運用をしておりますが、サービス提供を開始してから約２年半ほど安定的に運用できているところです。
さて、この度弊社では、本サービスについて長期間安定的にユーザ様にご利用いただくことを見据え、本サービスの改善や新たな提供方式（有償プラン化を含む）の検討を行っております。
ご利用ユーザ様の利用動向について、ご意見を是非ともお伺いしたく以下のアンケートフォームをご用意いたしました。
https://docs.google.com/forms/d/e/1FAIpQLSem60MSrG7uYofMdRXvfc-LkKqQ5xhGt6Y8P947frkxj-hfMw/viewform
※ アンケートの所要時間は3分程度です。??
※ アンケートに回答する場合には、下記のURLをクリックしていただくか
※ アドレス全体をご利用のブラウザにコピーしてください。
いただいた回答および個人情報につきましては、弊社にて厳重に管理いたします。
本サービスは無償無保証であるため、法人ユーザ様でのご利用が難しいとの声を多数頂いております。
こちらの問題への解決策として、メールでのサポートサービスや法人利用に便利な機能の追加等を行った
有償プランを並行開始することを考えております。
皆様の貴重なご意見をお待ちしております。
それは俺とお前がアンケートに書いた希望金額だろ
有償プランを並行開始する
自分でメンテできる人は、
無償のでいいわけだね。
しかし、企業はすぐに有償サポートを望むんだねえ。
さほど高くならないといいな。
文面見る限りではそゆことになるな
有償化については責任の押しつけ先とか言い訳を用意するためとか色々あるわね
無償の仕組みと言うだけで嫌悪感持つ人もいるし
それな
どんだけ個人情報を提供していてもさじ加減一つで有意義に使ってたサービスが止まることの虚しさよ…おのれG
Linux、LibreOffice、Thunderbird、Chrome、
firefox・・・などなど。
寄付したことある？
いつも世話になっているので、
たとえ1000円でもしたほうがいいなと思うものの、
やったことない。すべきだと思っているのに。
学生にはそこまで余裕ないです
学生しかおらんのかここ？
すみません学生です。
それ聞いて、スマホのSIM差し替えて試そうと思ってたけど
SIMカードの受け口はminiSIMなんだな...
その上、変換アダプタは受け付けないみたいだし
SIMカッターつかいますか。
どういう仕組みになっていて、
Simアダプターが使えないんだろうな。
圧着型？
差し込み口がうっすい奴だとアダプター付けるとキツキツで入らないってのは見たことあるけど
物理的な問題？
しかも結構固い。
端子以外をセロテープでがっちり巻いて止めればいけるかもね。
粘着テープがついててずれなかった ttps://www.amazon.co.jp/dp/B014W3XU02/ref=cm_sw_r_cp_apa_BT3aCbGA7GRK3
本体価格下げたらヒットしそうなのになぁ。USBドングル接触不良でオンサイト対応とか減るだろうし
USBドングルを探すのも大変だよね
これって、SIMが音声対応の場合に、NVRがVOIPサーバーになってくれないかなあ。
そうだったら迷うことなく買うのになあ。
無茶言うなよ。。
LTE内蔵で10万以下で買える業務用ルータ他に無いでしょ。
うちはWiFiも内蔵させたかったからISR使ってるけど20万するよ。
無駄にコンクリが厚すぎるんだよな！w
世界共通で4G=LTEになってんだよ
どうしてわざわざLTEとうたっているんだろうか
気にするから気になるだけだろ
IPマスカレードもNAPTって呼ぶようになったしな
サーバルームクラスだと、既存でISDN引いてるような要求度だと非フレッツの光回線がバックアップ（メイン）になってることが多いな
安心しろ。
5G出てきてLTEから4G表記に戻りつつある。
そんな時はデータコネクトか。
NVRシリーズはVoIPルータなんだから
VoIP要らないならNEC WAが
WWAN+WLANでも実売で10万以下、WLAN要らないならもっと安くあがる
SIMアダプターも公式サポート（付属）だし
filter が順番通りに config に書かれていない
ip filter 200107 pass * 192.168.0.1 udp * 500
ip filter 200106 pass * 192.168.0.1 gre * *
てな具合に番号が一部逆に出てくる
show config もtftp でローカルにとっても同じ
なんだろうね。
へんてこだな。
ファームが原因か。
そういうのやめてほしね。
フィルタ番号の順序は大切にしているのに。
>>415
LTEって、3Gと4Gの過渡期の技術でしょ。
今や、4G時代なのに、それをどうしてわざわざLTEというのか？
遅いことを直喩しているんだろうかと思ったんだよ。
ip pp secure filter の行は小さい番号順に並んでいる。
今日おろしたＮｅｗで先にファームアップしたからファームで違うかは不明
デフォルトゲートウェイに指定したくなる。
JRのシステム障害が起きなければいいけどな。
チラシの裏に書いてろ馬鹿野郎
俺は品川と田町と冗長化しないとお客さんに怒られちゃう！とか思ったけど書かなかったぞ
そうすれば、fqdnフィルタリングでhttpsエロ広告を一層できる。
この発想であってるでしょ。
特定用途向け色々と作ってんのね。
しかしどうやって広告バナーが呼び出されているかがわからない。
本気で言ってるなら浦島太郎だし
冗談で言ってるなら面白くない
RTX1200 使ってるけど、広告の配信元は
dns static a FQDN 0.0.0.0
と
dns static aaaa FQDN ::
を入れまくって、広告は排除してる。
FQDNフィルタだと、破棄すると読み込み待ちで待たされるようになるし、
通すなら通すでどこに通すのか困らない？
いやいや、あなたこそ浦島じゃないか。
いまどきは、動的にページが構成されるから、
単純にurlフィルタで止められないんだよ。
たしかに、FQDNフィルタだとタイムアウトまで画面固まるときある。
でも静的にでたらめな名前解決したとしても、同じように待ち時間ってないの？
広告の名前解決を除外したパブリックDNSってないのかな。
あなたのところへつなぎたい。
AdGuardDNSあるじゃん
自分は使わないけど
この修正でソートがバグったみたい
ははーんなるほど
「でたらめ」ではなくて、接続が即座に失敗するアドレスを指定すればいい。
端末によるけど、端末自身が listen してなくて即座に RST が返るなら 0.0.0.0 でいいかもしれないし、0.0.0.1 もいいかもしれない。
＞端末自身が listen してなくて即座に RST が返る
?よくわかりません。
listenしていないのに、どうして即座にRSTが帰ってくるんだろう。
広告系ホストをNXDOMAIN返すようにしたほうが良くね？
てか、そうやってるんだけど。
httpsの時代、名前解決の段階で防ぐしかないってことかな。
以前なら、proxy立ててフィルタしたかもしれないけど、
証明書の絡みが出て来てなんかでとてもややこしそうだし。
偽証明書インストールするのが一般的になった？
URLだけだったらFortiGateのDNS Filterだけ入れればいいけど、UTM買ったのになんかもったいないな
スマホが苦労するんよな。アプリ次第では偽証明書だったら、正常に動作しないとかザラ
現場には自由に使えるmacOSが無かったりするから
セキュリティをガン無視で個人で持ってるやつで検証させらりたりスマホは面倒くせえわ
積極的にAndroidとIOS個人的に揃えてくる同僚がいて
足並みがそろわなくてなかなか難しい
それってオレオレ証明書だからですか？
偽証明書のルートは？
なかったらどこかつくればいいのに。
スマホのSSL復号はハードル高いのよ
最近、クライアント証明書の方で地雷踏んだぜ...
なにが普通のブラウザと違うの？
おれおれ証明書が入らないとか？
がっつり使うと色々苦労する。
Appleが仕様をちゃんと公開してないのも悪いんだろうけど。
RTX830のフィルターリストが逆転するのは最新ファームの現象のよう
revision-upする前にとっておいたリストを見たら正しい順だった。
ありがとう。
バグということかな。
そういう仕様変更はやめてほしい。
ブラウザが接続しようとした先が、listen してるところだったら、RST は返ってこない。SYN+ACK が返ってくる。
TCP セッションが成立してしまい、ブラウザはリクエストを投げて応答を待つ。
そうでなくて、listen してなくてパケットの破棄などもしてなければ、即座に接続が失敗する。接続がすぐに失敗するなら、接続待ちになることもないし応答待ちにもなることもない。
オフにしたりステルス機能オンにしたら
負荷は減るかどうか分かる方いますか？
どのくらい減るもんなんでしょう？
>listen してなくてパケットの破棄などもしてなければ、即座に接続が失敗する。接続がすぐに失敗する
ブラウザがコネクションを張ろうとして投げたパケットに対するサーバーからの応答を、
ブラウザが待つ時間は体感できないくらい一瞬ってことなのかな？
答えではないが。
そういえば、RTXってそういう仕様だったよなあ。
icmpの応答を止めようと思えば、icmpをいったんルーターアドレスにフォワードしてから、
それに対する静的フィルタが必要だったと思う。
サーバーがどこなのかにもよるけど、それが先の話の端末自身だとか、宅内とかなら一瞬すぎてまず体感できない。
ブラジルにあるサーバーとかに投げたら、体感できるかもしれない。
なるほど。疑問が解決した。
ブラジルであろうが、
東京であろうが、
パケットがドロップされているのであれば、
そこのサーバー環境が同じものだと考えると、
ブラウザが待つ時間に差異はないと思うんだけどなあ。
>>462 は「パケットの破棄などもしてなければ」となってる。
「ドロップされているのであれば」とは前提が違うよ。
RTX1210でも入れ換わっていた。
今回の修正によるエンバグだろうね。
ん？
listenしてなくて、パケットの破棄なども行っていないっていう状態って、
どういうものになるのだろうか。
iptablesはdenyとrejectで明確に別れてるがメーカー毎の実装の差異はよく知らん
SYNが来たらRSTを返す。
https://network.yamaha.com/setting/router_firewall/internet/dmz_server/multiple
サーバをDMZに置いて外部公開しているんだけど、手持ちのファイアーウォールが古いので情報漁っているところです。
ファイアーウォール製品のこっちはLAN分離機能とやらが分かりにくいなあ。
https://network.yamaha.com/setting/router_firewall/internet/dmz_server/server-fwx120_gui
さすがにその説明でVLAN使ってるのがわからんならサーバー公開なんてやめた方が良いと思うが
まさかDMZって言ってるのも家庭用ルーターの全通信転送の方じゃないよな？
単にLAN3をDMZにして公開すればよくね？
NetScreenは死んだし、Junosは比較されてディスされるし
UTM買うならFortiGateあたり買うのが無難じゃね
FWの代わりにはならない
WFついてるわりにかなり安く導入できる
いわゆるDMZのためのファイアウォールなら、ポート制御だけでいいかもな。
DMZって人によって解釈まちまちすぎてなぁ
純粋な非武装地帯なんかに置いてる客なんてほとんど残ってないような
DMZなんていい加減な技術用語
今時ゲーム機だって無防備な接続はしないだろうに
すまん。俺の知識は使用しているFWの仕様(多分10年前の器械)から一歩も進化してないんだ。来年の設備導入に合わせてやっとネットワーク機器の更新も可能性が出てきたところなんで調べているのよ。当時はLVANなんて言葉はなかったような・・・
使用しているFWは1U型のFW専用メーカー品。調べたらまだ潰れてなかったので同メーカーのエントリー品の仕様を見てきたが、用語がわかりずれぇ・・・
>>480
>>純粋な非武装地帯なんかに置いてる客なんてほとんど残ってないような
すまん。ウチこれだわ。
外部 - [FW] - DMZ - [FW] - 内部
外部 - [FW] - 内部
|
DMZ
公開用ネットワークとかもっとましな表現があったろう
問題はさ、言葉の意味 ではなく 実装の効果 で記憶すれば良い
言葉の意味 とかケチをつけるニワカが世間を混乱させる
お前の先入観とか考えなんか知るか！
規格を考えたその場にいなかった奴は黙って従え！
>>483 のファイヤーウォールのイメージがなにを指してるか判らないことにはなぁ
いま使ってる機材の型番と機能毎のライセンス（があるならそれも）を書いて貰った方が早い
10年前でもUTMは有ったしな
UTM買ってたけどAVやIPSやらのライセンスは買ってなくて、結局L3レベルの制御しかしてないとか有り得るし
結局、eicarをwgetして遊んだくらいだったな
翌日元に戻した
最近のＵＴＭは証明書入れるのデフォなの？
入れるでしょそりゃ
要件無けりゃやらんわ。
確かにそのほうがわかりやすいよな。グローバルIPアドレス振って矢面に立つサーバなんて怖すぎる
そういや、ネットワーク（セグメント）も「セグメント」って略すようになっちゃったよな
192.168.0.0/24のネットワーク っていうと違和感もたれるし
ノースキンっていやあ分かりやすくてええねんけどな
お坊さんになろうと思ったんですか？
スマホが増えてきてるし、今の製品で完全に対応できる製品あるかな？
SonicWallPRO230を使用中。オプションは・・・使用してないなあ。ちなみに同メーカーではTZ300が導入候補でYAMAHAならFWX120かしら。
予算が取れるならFORTINETのFortiGate100Eかな。このレベルになると業者に構築丸投げが安全な気がする・・・
489はプロっぽいので聞きたいけど、あんたなら俺にどのメーカーの型番をお勧めする? ものによってはあんたんところから購入してもよいかも。
や、うちは代理店とかじゃないから他の人に任せるよ
L3パケットフィルタだけでいいなら、安いのでもいいんでね
仕様見比べてNATのスループット速けりゃええやろ
あとは社内のニーズ満たせるようにするとか色々有るだろうけどそこまで面倒はみれないな
性能はいいんだけど、接続方法が気に入らない。
RTX1210（ＶＰＮ担当）→UTM→NVR510(インターネット担当) とルーターが増えたんだよ。ルーター1台で運用できないかな。
カネかかるがな
お抱えのSIerに投げて一本化したいわな
ＨＴＴＰＳも対応してるの？
他所様が設定した機械に触りたくない(デフォルトゲートウェイすら弄るのは憚れる)からそんな構成はよくあるw
遠慮は仕方がないが、そういう変な構成ができるんだろうな
もし100ユーザーなら大塚が同じ価格・同じサービススタイルで
たよれーる EasySOC Plus for Palo Alto
パロアルトのPA-220(WildFire付き) 推奨200デバイス
https://www.otsuka-shokai.co.jp/products/security/internet/soc/easy-soc-plus-paloalto/
https://www.paloaltonetworks.jp/products/secure-the-network/next-generation-firewall/pa-220
を提供してたんだけどね
こっちならルーターを交換するモードも選べる
まぁもう契約しちゃったらどうにもならないんだが・・・
クラウドエッジは一切の変更をユーザーにさせないので、
フィルター解除とかも、いちいちNTTに連絡しないといけないので面倒
あと、クラウドエッジの最上位300ユーザーモデルは終売らしいので
これがサービス全体の終焉の始まりじゃないことを願う
うちも顧客に何セットか導入しちゃったので、今後はパロアルトに切り替えていく予定
http://rosie.5ch.net/test/read.cgi/liveplus/1544839801/l50
そういうのって、サービスが終了したら後で困らない？
それをやったら、NTTにしろ大塚商会にしろ瑕疵になるので
補償するなり代替サービスを提案するんじゃないかな
ちゃんと説明して売っていればいいが
横からで申し訳ないけど、このPalo Altoのってハードウェアと導入費込みなんですかい？
例えば、PA-820は100万円くらいだよね。
大塚のは月額2万とある・・・5年で120万だから、そんなに安い訳ないと思うんだけど。
＃2万ぽっきりなら導入するわ・・・
＃NTTのクラウドエッジの価格は全部込みで17,000円/月、で良いんだよな
大塚商会のやつだと、載ってるのはあくまで保守料のみ。
いままで困ったこと一度もないなあ。
サーバーへの外部からのアクセスは許していないが。
買い切りで済む製品じゃないんだよ
RTXのURLフィルターみたいなもの
だからそんなに高くは無いし、毎月の保守
マイナンバーがらみでやたらコンサルが煽ってきたぞ
ファイアウォール等のセキュリティ確保する装置は設置されていますか？
いや、そういう事じゃなくてだな。
>509 が
・ハードと導入の初期費用や保守等も全て月額に含むサービス
・ハードと導入の初期費用が高額（で多分UTMライセンスも別)なサービス
を同等の価格として比較してるっぽいので、それってホント？ってツッコミを入れてるんだいね。
＃後者の推奨台数が倍なので、それを考慮するなら？
ちょっと話をヤマハに寄せて・・・
FWX120のメールセキュリティー機能の「アンチスパム」が2020年3月31日で終了。
https://network.yamaha.com/news/news_nw_20181210_02
後継どうするのかな。あるなら開発中のDPIは乗せるのだろうけども。
ヤマハのＵＴＭ戦略もなんか中途半端なんだよなぁ。フィルタ設定もSRT100のわかりづらいUIのままだったし
FortiGate丸パクリみたいなUIで作れば中小のネットワーク屋にも売りやすい商材になったと思ったんだが。
マイナンバーをDLPで解析すると負荷かかるから
必要ないなら切れって、構築ベンダーから念を押されるっていうオチが待ってそうだぜ
その時は、サーバーに導入していたポートスキャン対策ソフトが検知して弾いた、しかも2日続けて計2回。
RTX1200は内部発呼の通信以外は許可していないし、踏み台にされたPCも見つからなかった
VPNも張ってないし、どうやって内部迄侵入されたか未だに不明
UTMやファイアウォール入れるとこんなケースも対応可能なものなの？
そのポートスキャン対策ソフトとやらのログに送信元書かれてたろ
ほぼ１００％内部からの攻撃だと思う。複合機のスキャナドライバとか勝手にネットワーク見に行くのあったような
サーバとネットワーク間に挟めばログは取れると思う
ポートスキャンして当該サービスが落ちてるだけだろハゲとか言い返すのに使うけど
目くじら立てるやついたのか
トラブル中ならいざしらず、通常運転中に勝手にポートスキャンする人もいないと思う
ポートスキャンのシグネチャで落とせる
こんなのはIPSだが
IDS/IPSって不正アクセス防止ぐらいでしか認識してなかったけど、ネットで色々調べてみました
IPS機能は欲しいけど、スループットの高いFW機種は値段も高い
RTX1200はIDSのみ、かつ破棄しか出来ないけど、
対策ソフトは検知すると該当IPからの接続を自動的に拒絶するから疑似IPSにはなってる
当面は現状のまま様子見ます
内部犯ではないか？
NAT 動的フィルタかましているのに、
外部からスキャンされることはないでしょう。
うちのところでもそういうことがあって、
見つけたので厳正に処分した。
UTMのことよくわかっていない営業マン（有名メーカー）が社にやってきて、
導入するように迫ってきたが追い返したことがある。
「うちではサーバーは内部に置いていないので不要です」と断った。
動的NATや動的フィルタをしているのに、
しかしどうやって、フィルタを突破されたんだ？
その解明の方が先だと思う。
複合機とか怖いよな。
会社なんかではリモートで保守されているんだけど、
複合機が踏み台にされて内部へアクセスし放題だったら怖すぎる。
複合機撤去しようかな。
大切なことは、自分で判断する力だと思うよ。
営業マンの口車に載せられていてはダメだ。
UTMの特性を勉強して、本当に自社に必要かを判断することが必要で、
その問に答えられないような営業成績を上げるためだけの素人営業マンの言う事なんて無視しなければならない。
例えば業務で勝手にクラウドストレージを使われると情報漏洩とか内部統制の絡みでNGになる。
そんな所なら中からの漏洩防御にUTMを使ったりするよ。
社内のデータや端末をどう守りたいのかの棚卸しが必要だったりする。理想論は。
最近はカメラだな。なぜか監視カメラのセキュリティはうるさく言わないんだよな。
社長がスマホで見るから必要とかそういう次元になっちゃって・・・
EasySOCは監視と通知
運用支援てのがAV/IDSパターン更新(基本ライセンス)とオンサイト保守、WFは知らんがあってもオプション
FMSが物（レンタル）を含むプラン
https://www.otsuka-shokai.co.jp/products/security/internet/firewall-utm/fms.html
どれにしろ初期導入費用は別途
>>529
何を調べたかしらんけど
IDSは検知(と通知)、IPSが防御
夏頃見つかったなんたらSmackとか新たな脆弱性、攻撃に対応するパターン更新ないのは
IDPSと言えるものじゃなくルーターのオマケでしかない
http://rosie.5ch.net/test/read.cgi/liveplus/1545376574/l50
レスありがとう。やっぱそうだよね。
そんな美味いはなしは無いんや・・・・。
お勧め教えてください
url filter 1 pass-log * *
pp select 1
url pp filter out 1
syslog notice on
でいけるんじゃね？っておもったけど、HTTPSがらみは制御できないだけじゃなくてログすら取れないんだな
show log | grep URL_FILTER
＞2018/12/22 13:28:28: [URL_FILTER] Passed at TUNNEL[90] OUT(1) filter: 192.168.9.3 : http://xvideos.com/
こんな感じでログは吐ける
squid proxy で、
代わりにおれおれ証明書を手渡す方法ならいけるんじゃないか
(ひかり電話契約してるからHGW支給されてるけど使ってない)
この状態でフレッツテレビ契約したらNVR使えない？
HGW必須になんのかな？
ひかりテレビのHGWって、
同軸端子がついているんでしょ。
光ファイバをHGWに直結するんだと思う。
テレビデータは、ISPとの通信で使うものとは異なった波長のもので配信されたと思う。
したがって、HGWは必須になるのでは？
もちろん、HGWでなくて、テレビ映像を分岐するONU的なものが手前にあるのなら、
HGWが必須になることはないね。
それから、HGWって、中身はルーター＋ONUでLANケーブルで内部で接続されているから、
もしテレビ映像がONU部分で分岐されて同軸端子に供給されるのなら、
その内蔵LANケーブルをRTXに接続することもできるのでは？
全て想像なので確かめてください。
ルーター
光ファイバにRF信号が重畳されててインターネットではない。
今は小型ONU(てかSFP)でNVRに直収してるけど、
どちみちそれは使えなくなるんだな。
HGWのルータ部分を使わずNVRに接続ってできんのかな？
情報が無いんよね。。。
HGWのひかり電話と、ひかりTVも使えてるよ
物理1回線にプロバイダ多重契約してPPPoEセッションも張れてる
インターネット回線を受けてるのはYAMAHAではないけど
HGWには内蔵結合LANケーブルはもうないのか？
PPPoEは良いとして分岐させてもIPv6は両方使えんでしょ。
V-ONUは光in/光outなのかな？
通信とは別に多重化して送り出す変態技術だからな
ファイバーの中にアナログ電波通ってるようなもんだ
これでFMキャリアとかぶって4K8Kが伝送出来ない！
フレッツ光はこの先も、4K、8Kが非対応ってこと？
まぁ伝送予定はあるから、何らかの形でやるんじゃない？
V-ONU交換必要かもしれないが
https://www.ntt-east.co.jp/release/detail/__icsFiles/afieldfile/2017/11/16/20171116_01_2.pdf
これは？
https://www.sptvjsat.com/load_pdf.php?pTb=t_news_&;pRi=1228&pJe=1
おお、フレッツ光があれば、
アンテナ増設とか、配線の変更はいらないじゃないか。
ひかりTVでできるのになんでフレッツテレビはできないのか。
5chで愚痴言っても何も変わらない
調査は家庭や会社などにあるルーターやウェブカメラなどのＩｏＴ機器およそ２億台を対象に来月中旬に開始し、無差別に侵入を試みて、初期設定のままになっているなどセキュリティー対策の不十分な機器を洗い出し、ユーザーに注意を促すとしています。
素人質問でスマン
何の処理能力かわからんけど処理能力はしらん
たいしたかわらん気がするけど
サンクス
たとえば多人数の社員がブラウザで大量にタブ開いて調べ物してたりしたらレスポンス遅くなったりしない？そういう時に2回線用意できれば改善できるかなって話
改善されると思う
帯域が足りて無いのは改善するだろうけどNATセッション数が飽和するような使い方だと改善は無理じゃね？
それとも仕様の最大NATセッション数って機器全体でって事？それだと飽和してたら回線増やしても無理だけど
その手の中小企業のオフィスの話は大抵、Wifiがパンクしてるだけだし
光回線のはずなんだけど
業者に相談すると別回線引くの勧められる
ユーザー多いと、インターネットルータから通信抜ける前にProxyが潰れるよ
Office365普及以降はこの基準増えてるんだっけ？
朝がシャレにならない勢い
Proxy経由の制約あるとアクセス回線で直抜け出来ないから厳しいな
他社だと、インターネットブレイクアウトでOffice365曲げるってやつあるから
安価なインターネットアクセス回線にO365の通信逃して、
それ以外は閉域網みたいな使い分けは出来そうだが
ありがとうございます。
ip route default gatway pp1 (filter) gatway tunnnel 1 keepalive 1 gateway tunnel 2 weight 0
keepaliveは対向ルーターのLAN ipアドレス
としたとき、keepaliveのゲートウェイってpp1になりますか？
filterに該当すればpp1になるんじゃね。
気になるならkeepaliveの宛先のアドレス用にip route書いとけばいいかと。
ただし何故か中国モデルはファイアウォール機能ついてる。
iPhoneとかで繋ぐと問題ないので、ルータ側の設定は間違ってなさげ。
めちゃ露骨なのくらいは検知できるおまけ程度ってことですかね？
ファイアウォールではないというのは、ファイアウォール機能はあてにならないと言うことですか？柔軟性や機能性に欠ける？
5-tupleによるステートフルインスペクションが
「ファイアウォール」の基本形なので、
ステートレスで動くルーターとは本来異なる。
最近はアプリケーション層まで見る製品がほとんどだが、
高性能なCPUぶん回してトラフィック解析してる。
ヤマハルーターはこれらのうちごく一部の
負荷が軽い機能を実装しているだけで
「ファイアウォール」を名乗れるほどの機能は持っていない。
安いFortiGate代わりにはならない
RTXのダイナミックフィルタは落第。
FWXはギリ認める。(でも古過ぎる)
L7FWは賢いけどSSL化が進んでこれから受難の時代だと思う。
まあヤマハには関係ない話だ。
FortiClientみたいになんでも付けて売っちゃえばいいんじゃね
当然理想的ではないでしょうけど、ファイアウォールの話を見てて不安になってきました…
ちゃんと対策してましたが突破されました云々
個人情報保護の建前なら社長承認通りやすいぞ
そうです
実家のBlu-rayレコーダーを家で見たいのでRTX1210-RTX810で
https://network.yamaha.com/setting/router_firewall/vpn/connect/l2tpv3_ipsec-rtx1200
をやってみようとして、DS LITEでのVPNがうまくいかず挫折中
フレッツIPv6網内折り返しならギリいけるかもしれんが。
IPv6 の IPSec トンネルで L2TPv3 を設定したら、DS-Lite は関係ないよ。
もしかして、IPv4 で IPSec を張ろうとしてない？
IPv4 で IPSec を張る場合は、IPoE 側の LAN(またはVLAN) I/F じゃなくて、PPPoE (IPv4) 側の PP I/F を使わないといけないはず。
DLNAは昔はかなり厳しくて 物理的に同一LANないでないと満たせないような制限があったけど、途中からいくらか緩くなったような。新しい機械を持ってないからよくわからないんだけど(^^;
実際にDS-Lite通して自宅のPCから会社にVPN接続してるよ
TV見たいなら録画サーバ建てた方が後々楽だよ
最悪、リモート視聴できるnasneみたいな製品あるけど
ヘビーユーザーになると容量足りない
それと、HTTP上で独自にトンネルを使うアプリなんかは一定時間でセッションを切られるみたいで、使い物にならんかった。この辺はPPPoEに逃がすしかなさげ。
636 だけど、まぁ落ち着いてくれ。
DS-Lite や MAP-E の環境で IPv4 トンネルを張るのは諦めた方がいいのは確かだとは思う。
OPEN IPv6 DDNS for NGN と lua を使えば、NTT東西間であってもネイティブな IPv6で IPSec VPN が張れそうなので、わざわざ IPv4 で VPN を張る理由がないような気がするね。
書いてて思ったんだけど、ネットボランチDNS が、IPoE IPv6 対応してくれたらなと思って調べてみたら、既に RTX1210/830 の 2018/11/28 版ファームで対応してるね。
再起動したら1回だけは繋がるんだけど切断して再接続するとまたダメになる。
先生方教えてください。
ログを出すかチンコを出すかどっちか選択をしろ
WANからLANへのフィルターを設定してるんですがconfig例見ると
ip filter xxxxx reject ＊＊＊＊＊
以外にいろいろrejectの設定をしているのを見かけるんですが、これ一つで全部遮断できるわけではないんですか？全遮断とicmpの通過だけ設定すればいいかと思ったんですが…
https://www.server-world.info/query?os=CentOS_7&;p=openvpn&f=1
多段ルータの形で同一ネットワーク内に外部から入ることができるようなVPN。
ルータの意味を考えると難しいと思うのですが…
なぜか、800KB/sec程度しか出ないのはなぜだろう。
800KB/Sec * 8bit/B = 6400Kbps程度が普通なんだろうか。
HGWついてるでしょ。
おお、ついているぞ。しかも、初期のやつ。
これか。原因は。
ありがとう。
うーん、でも解せないこともあるなあ。
HGWはたしかに初期の奴なんだけど、
普通にネットサーフィンしたり、
ダウンロードする分には、もっと速度が得られるんだよ。
このHGWはIPv6に弱いってことなのかな。
いわゆるファストパスでないみたいな。
でも、ブラウザで速度を測定すると、
下り、149.4Mbps (18.67MByte/sec)
上り、159.2Mbps (19.90MByte/sec)
となるんだな。Radishという測定サイトなんだけど、IPv4なら早いということなのかな。
で、IPv6の速度測定サイトのFASTというところでで計ってみたら、70Mbps程度出ていることがわかった。
cifs転送なのでチューニングがおかしいんだろうか。
なぜか、データ転送中は、pingの時間が20倍ほど跳ね上がる。
しかし、両端のRTXのCPU使用率は5%程度。
やはり、なぜかわからないが、HGWが悪いんだろうか。
ではどうして、ブラウザではさっき書いた通りIPv6、IPv4問わず速度が得られるんだろう。
わからない。
IPsecのESPの処理がHGWはダメなんだろうか。
でも、その情報がPCに伝わっていないのだろうか。
相手はNASなんだ。
どうやって、MTUの情報が伝達されて、
そして正しいサイズのデータをPCが送るようになるのか。
切断タイマーなり、トンネルを複数定義するなりしてみたら？ すぐに再接続してもセッションが残っちゃってるんじゃないか？
うちは両端がRTX1210でHGWも新しいのだけど、VPNだと速度か落ちるよ。IPv6自体はワイヤースピード近くまで出てるのに、VPNだと1/10くらい。HGW経由のIPsecは速度に規制がかかってるような話が少し前にネット記事になってたし、ひかり電話の関係で何かやってるのかもね。
ただRTX810だとそこがボトルネックになるはず。
RTX1200よりはマシだけど。
cpu占有するような設定いれると途端に遅くなる
良い情報ありがとう。
網側あるいはHGWで何かされているのかもしれないですね。
ひかり電話使いたかったらNVR使うしかない。
やはり、古いHGWがボトルネックになっているのかもしれない。
直付が最速か。
IPsecありでWindowsファイル共有が9.7MB/sec前後。
・HGW(PR-500KI)配下にRTX1210をぶら下げてる環境同士
・ドコモ光(フレッツのギガ相当)
・フレッツ東のIPv6折り返し通信(3都県離れている)
・L2TPv3/IPsec(AES-CBC)
・Windows 10同士
・拠点AはGE-PONにRTX1210の組み合わせ。拠点BはHGW(RT-500MI)配下にRTX1210を設置。
・拠点Aはフレッツ光ネクストギガライン。拠点Bはフレッツ光ネクストギガスマート。拠点間に1都道府県を挟んだ環境。直線距離にして40～50kmくらい。
・NTT東日本NGN網内の折り返し通信で、IPsec(AES-CBC)でトンネル化。
・計測速度はWindows 10 - LinuxベースのNAS間、またはNAS間でのSMB経由での計測結果。
・スピード計測サイトではIPv6で700～800Mbpsは出ている。
>>623-625
うちはFletsギガマンションタイプ、実家はJCOM
要求pingの返信が数ms以内ってのは見たことがあります
>>626
ここ見て同じことしているはずなんだけど
つながらなくなった・・RTX1210のGUIではつながってるように見えるけど
サーバーにアクセスしたりは出来なくなった
ttps://blog.yuu26.com/entry/20180528/1527514246
>>627
だめかもしれません。
録画したデータがMoveさえできれば問題ないんだけど、、
CGN(Carrier-Grade NAT)？うん、ごめんなさい、このレベルからもうアウトです
でも緩くなった制限に期待
>>634,635
ファームは対応って書いてあるけど
使い方の設定例なく挫折中です
>>All
ありがとう、勉強して出直すね
・直線距離で約53km
・IPsecなしでL2TPv3のみの場合は70MB/sec前後
・片方の拠点のフレッツ網内の速度計測サーバへのIPv6通信は315～500Mbps。もう片方は未計測。
参考になります。
10MB/sec出ていれば優秀ですね。
うちは、早い拠点間でも2MB/secなんで。
おそければ、800KB/sec・・・
>>657
7MB/sec程度という感じかな。
IPv6の800Mbpsでみたら、1/10以下に落ちてしまっていますね。
・隣県(NTT西日本)の NGN内折り返し
・回線は、片方が隼(1Gbps) で、もう片方がハイスピードタイプ(200Mbps)
・RTX1200 どうしで IPSec VPN
・端末間の通信は IPv4
HTML5 Speedtest で 80～90Mbps、CIFS 経由のリモートコピーで 40～64Mbps
出てる。（iSCSI だともう少し早い。）Ping 応答時間は 17ms くらい。
同じ回線＆ルータ間の VPN を PPPoE(IPv4) の PP 間での IPSec に変更すると、
HTML5 Speedtest で 80～95Mbps、CIFS コピーで 24～32Mbps。Ping は 32～44ms。
前者の方が遅延が少なく安定しているけど、圧倒的に速いわけじゃなさそう。
あと L2TPv3 ではないけど、遅延時間も DLNA の制限(7ms?)に収まってないですね。
ONU直なん？
隼側は ONU 直です。
ハイスピード（実際はファミリーらしい）側は VoIP アダプタ経由です。
あと、あの後詳しい人に確認したところ、IPv4 トンネルの隼の相手側はフレッツネクスト回線ではないそうですので、比較対象としては相応しくないようです。
すいません。
·2拠点とも西日本で両方隼でNGN折返し
·直線距離で180kmくらい
·ルーターは両方RTX1200
·片方はONU直、もう一方はVoIPアダプタとしてVG2330Xの配下に接続
·間に県2つ挟む
って感じでipsecでもIPIPでも150Mbpsでした
ちなみにテストでVoIPアダプタ外してだと
ipsecで150Mbps、IPIPで300Mbpsくらいでした（ルーターが限界でした）
新しいOG2300とかならもっと出るのだろうか…
まあv6網の活用も進んでるからいずれ下降するだろうけど。
ふつうのHGWよりもVG2330Xが速いということが言えるかな。
設定難しいですか？
FVW組むってことは家庭ではないだろうから、そんなとこケチってどうするの？とは思うけど
一昔前前って、今は解決してるの？
ウチでは4拠点利用してるが、ここ数年は網内v6アドレスは変化無しだけど。
>>673
CUIでの設定にアレルギーなければ、ネットに参考資料山ほどあるから難しくは
ない、やる気次第でフレッツVPNワイドを代替可。
ふと思ったけど、ネットボランチDNSはIPv4とIPv6の併用はできないんだっけ？
やってみたけど全然速度でなくて諦めた
RTX1200同士だから1210ならマシかもしれん
最近DSLiteがVPN931言われるのうざい
ちなみにフレッツVPNの拠点側 RT57i も現役中 w
LAN2にUTMぶら下げればいいんだろうけど、それのためにGWにわざわざルーターつけたくないし、netvolante使いたいけどそれだけのためにnvr510も買いたくない
ただ問題もあります。大した問題であるかどうかは環境次第としか。
そもそも意味あるかどうかも疑問ですが出来ます。
出来るんですか！？
やりたいこととしては、全拠点にUTM入れる予算はないので、インターネットはセンター出しで拠点間はNGNということでUTMなしで通信させてもいいかなって考えです。
ルーティングを散々考えたんですけど、そもそもルーティングテーブルを書くにもインターネットに出るルーティングをUTMのアドレスにしてUTMからルーターにルーティングを切ったらループするだけで肝心の外にでれないんですよね。
リファラーみたいな条件でルーティングできるなら可能かもしれないですけど果たして方法があるのか。
リファラーみたいな条件と言ってるのは、フィルタ型ルーティングで 始点 IP アドレスの指定をするだけじゃね？
https://www.ka-shimo.com/wimax?fcp_code=c46403
フィルター型ルーティングで出来るんですね。
そうするとデフォルトゲートウェイをUTMにしてUTM上でルーターを指定すれば、ってUTMブリッジモードだった、やっぱ無理なのでは。
恐らくその構成だとUTMってブリッジモードじゃないですか？
UTMをルーターモードにしても結局ルーターをデフォルトゲートウェイにしたらルーターのルーティングで無理だと思うんですよね。
ルーターはVPNは各拠点のトンネル、インターネットはUTMのアドレスにルーティングするわけだから、UTMからインターネットにつなげてくれってルーティングしても、UTMにまたルーティングするだけですよね。
仮にできたとして、折り返しの通信でUTMからきた通信だけlan2にとばすんであれば折り返しは出来ない気がするし。
|
---[ONU]---[RTX]--->LAN
なんか盛大にズレる気がするけどこんなつなぎ方ではだめ？
UTMでNATしてアドレス書き換えりゃ楽勝
けどUTMからルータに戻す必要無くね？
フレッツ1本で全部やりたいとかなら面白そうな案件だな
---[ONU]---[UTM]---[RTX]---本部LAN
これでダメなの？
VPN(カプセル化パケット ==== )は
論理経路
====>onu===>utm===>rtx(カプセル処理。rtx内部で折り返し)---->utm---->onu---->
これでいいんじゃないの？
UTMの処理速度が問題になった場合にだけ極力ボトルネック減らすなら
---[ONU]----(1)----[UTM]---[RTX]---本部LAN
｜ |
+-------(2)------------+
VPN(カプセル化パケット ==== )は
====>onu==(2)==>rtx---->utm--(1)-->onu---->
ってやればカプセル化パケットは(2)を通るようにすれば、UTMを通らないのでUTMの負荷は少なくなるかな
拠点
-［ルーター］--［ONU］--vpnワイド-
本社
-［ONU］-［HUB］-［VPNルーター］-本社ネットワーク
|--［インターネットルーター］-［UTM］--|
VPNルーターのLAN3を使ってUTMとインターネットルーター用の別セグメントをたててる。
コスト削減とUTMを拠点に買いたくないのため、拠点はプロバイダー解約してVPNワイドにしてる感じ。
フレッツ1契約で纏めつつ機器もごちゃつかせたくないってのが本音で
-［ONU］-［VPNルーター］-本社ネットワーク
|--［UTM］--|
こんなイメージで、VPNルーターのLAN1からUTMのLANに通し、UTMのWANからVPNルーターのLAN3に返す、インターネットとVPNはLAN2に任せる。
なんてことが出来たらほんと理想的。
VPNワイドあれば拠点のISP代削れるからな
それよりもお客さん、そんなちょびちょびしたのケチるなら、ひかり電話専用ONUと共用したら？
なんて現場もそこそこある。５人ぐらいしかいない拠点だったりするのに
---[ONU]---[ルータ(NAT)]---[透過UTM]---[RTX]--->LAN
こんなふうに繋いで
最上流のルータではUDP500とESPをRTXに静的マスカレード
RTXでIPsec。RTXではNATディスクリプタ書かなくてもいい
UTMにはUDP500とESPは素通しするポリシーを最上位に入れておくこと
もっともNGNだから安心！なんてことは企業識別子わかってしまえばそんなことないという話は重々承知ですがISP経由よりはリスクが低いと言うことでご了承いただければと思います。
この場合ですとプロバイダー情報はRTXではなくルーターになりますよね？
そうするとルーターをRTXにしないとnetvolanteが使えないですよね。。
回線に紐づいていると思ったけど？
VPNワイドは1800円だから、これ2拠点分にワンコインISPでも4100円
固定IPアドレスのISP2拠点なら2200円あたり
もしかして拠点側はRTXじゃないとか？
そもそもIPsec使えないルータ？
拠点がRTX830で本社がRTX1210ですのでIPSECは設定可能です。
ただしISP経由で外部からアクセス可能である以上拠点でISPを使うのであればセキュリティ対策は必要かと思います。
VPN通信以外フィルタリングするという話は一度提案しましたが駄目でした。
>>708
V6オプションでのVPNはやっていたのですが、トラブル時にNTTでは対応していただけなく、またサポート窓口がないため、トラブル時のリスクが高いとのことでVPNワイドになりました。
ということであれば >>698 の通りの現状の構成がベストだと思う
こうやればいい
---[ONU]---[RTX]--(1)--[UTM]--(2)--[HUB]--------本部LAN
｜ |
+-----------(3)----------+
拠点LAN VPN ======onu====rtx----(3)-----(hub)----本部LAN
拠点LAN VPN ======onu====rtx----(3)-----(hub)----utm ---rtx----onu---インターネット
(3)に繋いだRTXのプライベートアドレスの処理は
NATでも、逆NATでも、192.168.0.xxx/32を振るでもいくらでもお好きに。
RTXのルーティングってどのように設定すればよろしいのでしょうか、またこの構成だと社内LANからUTM経由しないで通信する経路もありますがそこのルーティングはどの機械がやるのでしょうか？
UTMを通ってない(3)から外部へのパケットはRTXのフィルタリングで落せばいい。VPNのパケットはスルーで。
言葉足らずですみません。
インターネットはUTMへ、VPNは（3）経由でRTXへっていうルーティングテーブルを管理する機械が見あたらない気がします。
パソコン一台一台にルートコマンドでVPNセグメントはRTXのアドレス、それ以外はUTMセグメントのRTXノアドレスとか設定すれば出来そうだけだ、RTXに設定するのではそもそもRTXに到達するまでのルーティング制御する機械がわからないです。
proxyarp
UTM、一箇所のほうが管理コストは下げられますもんね。
VPNワイドの2000円弱なんて端金だし、ISP 経由で IPSec 張る必要がないのはメリット
やってみましたがそもそも外にでれなかったです。
本社PCを192.168.1.10に設定
拠点PCを192.168.2.10に設定
拠点RTXを192.168.2.1に設定
UTMを192.168.1.100に設定
本社RTXをLAN1に192.168.1.1に設定
LAN2はVPNワイド、プロバイダー用
RTXのデフォルトゲートウェイをpp1にすれば当然本社は繋がるけど支店はUTMを経由せず。
デフォルトゲートウェイをUTMのアドレスにしたらインターネットでれず。
本社RTXのLAN3を（3）ルート用で192.168.10.1に設定してUTMに（3）ルート用のip192.168.10.100をDMZポートに設定して、RTXのルーティングをUTMのDMZポートのIPでフィルタリング型ルーティングでUTM発の通信をpp1にしてみればできるのでしょうか。
でもこれだと本社も一度ルーターいってからUTMに迂回してインターネット出ることになりますよね。
UTMの仕様が分からないと何とも
エスパーではないので良く分からないのですが、
「UTMでNAT使う」と書いてあるということは、(1)と(2)を別セグメントにできるということですか？
それならきちんと設定すれば問題なく使えると思います。
本社RTXのLAN3を（3）ルート用で192.168.10.1に設定して
UTMの(1)側のIPを192.168.1.100、UTMの(2)側のIPを192.168.10.100にして
本社のPCを192.168.「10」.10に変更して
本社RTXのルーティング的には始点：拠点PC－－＞終点：外部ネットは
ip route default gateway pp 1 filter 100000 gateway 192.168.10.100
ip filter 100000 pass 192.168.2.0/24 * * * *
# VPN
ip route 192.168.2.0/24 gateway tunnel 1
で、本社PCのルーティングが面倒な件ですが、
DHCPを使ってる場合は、Classless Static Routes optionを使えば解決できます。
192.168.2.0/24へのパケットを LAN3「192.168.10.1」にルーディングする場合は16進数にして
C0:A8:02:00/18 をC0:A8:0A:01なので
dhcp scope option 100001 121=18,C0,A8,02,00,C0,A8,0A,01
とか追加してあげればいいと思います。
DHCPを使って無かったりダメな端末がいる場合はまた別の方法があります。proxyarpとか。
もちろん端末全部手動でやる方法もありますが。
説明不十分ですみません。
機械はSophosのxg105を使用しております。
機器仕様はメーカーのホームページやマニュアルを見ていただくしかないので説明は難しいですね。
>>721
確認しましたら（1）と（2）を別セグメントにすることはブリッジモードで出来ませんでした。
あくまでブリッジでスルーする時にUTMのアドレスを送信元に設定できるというだけです。
ですので、UTMのポート1と2でブリッジ、ポート3と4でブリッジに設定しそれぞれの出口を設定
ip route default gateway 192.168.10.100 filter 100000 gateway pp1
ip filter 100000 pass 192.168.10.100/32 * * * *
とかやるしかないのかなって思います。
--(1)--[UTM]--(2)--の
1と2は別々のIPアドレスを指定できますか？
192.168.1.2と192.168.1.2とか
ここの8ページを見る限りできそうなのですが。
https://www.sophos.com/ja-jp/medialibrary/PDFs/japan/support-documents/xgfw-ed-br-mode-jp.ashx
あとアドレス書き換えはWAN側のアドレスを使うのですよね？
192.168.1.1と192.168.1.2とか
http://www.rtpro.yamaha.co.jp/RT/docs/example/local-ip.html#6
---[ONU]---[RTX]-lan3-(1)--[UTM]--(2)--[HUB]--------本部LAN
｜ |
lan1-----------(3)----------+
RTX
LAN3 192.168.1.252/31
LAN2 IP無し
LAN1 192.168.1.1/24
UTM WAN 192.168.1.253/24
UTM LAN 192.168.1.2/24
ip route default gateway 192.168.1.2/24 filter 100000 gateway pp 1
ip filter 100000 pass 192.168.2.0/24 * * * *
ip route 192.168.2.0/24 gateway tunnel 1
ip lan1 proxyarp off
ip lan3 proxyarp off
本部PCに以下のルートを追加 DHCP等で
同じ設定をUTMにも
192.168.2.0/24宛ては192.168.1.1に
金ケチってるが故の変な構成は何の役にも立たん
とらぶった時に解決できなんじゃね？
8ページのIP設定は最初のアクティベーションを行うためにルーターモードで一時的につなぐ設定の為であり、
目的のブリッジモードで使用するための実際の設定は12～13ページにあるとおり、LANポートとWANポートのポート番号決めてそこを通るためのIPを1つ割り当てるのしかできないんです。
>>725
明日この構成を組んでみます。
この設定のままだと拠点はルーターに入ったらフィルタルールに従ってそのままpp1で外に出てしまうと思うのでgatewayを逆に書けばいい感じですよね。
本部LANの端末IPはLAN1のサブネットマスクの範囲外にすれば自ずとUTMに飛ぶからそのままで大丈夫でVPNのルーティングはルーター任せでも平気な気はしますね。
>>726
申し訳ありません。
自分でわからないなりにここの先輩方にご教授いただきながら知識として身につけていこうと思っていましたがその考えが甘えだったみたいで。
自分で勉強して駄目ならRTX素直に買ってセグメント増やして使うようにします。
>>727
トラブル対応も出来るようにするために設定の方法を実機で動きを確認しながらやっておりましたが、身の丈に合わないことはやめておきます。
お見苦しい姿を見せてしまい申し訳ありませんでした。
変態構成になって運用が大変になる
変態WAN構成で、一説にはCCIEのラボの方が簡単では？と言われる
俺が担当したやつを見せてやりたい
勝手にケーブル抜く糞野郎すらいるけど
拠点側に気軽に行けないから、トラブルシュートすら大変だよ
なにが何もしてないだよ
どうやったら、そんなふうに、
複数行にまたがったアスキーイラストが描けるの？
ずれないのはどうして？
そろそろWiFi内蔵ルータ復活させても良いと思う
まあでもWLX302と202で懲りたからヤマハのWiFiは買わんけど
AA editor使え
何かよくなかったの？
オフィスと家と実家とで三台使ってる限りでは特に不満無し。オフィスの方はぶら下がる台数が何だかんだ多いのか、たまに詰まるような症状に見舞われることもあるけど、近隣他社とチャンネルが輻輳しまくってるし、そもそも環境がよくないからなぁ。
うちも特に不具合ないが、不満点はAP一括管理がセグメント変わるとだめな点。wifi設定統一したくても、拠点とかでセグメント変わるとだめ。
IPv6（v6プラス）と、IPv4（PPPoE）の設定を入れて
内部からインターネットにアクセスするときは、IPv6 の接続で通信
外部から IPv4アドレスにアクセス来たときは、許可した設定で内部にアクセス可能にする
なんてことは可能でしょうか？
MAP-EはIPv4だがな
サーバーのIPアドレスとポート番号をフィルターに設定して
フィルター型ルーティングでPPPoEに流すようにすればOK
内側からインターネットにアクセスする時にどの経路を通すかを制御するのには必要だけど。
話が全然噛み合ってねえ・・・
役に立たんし面白くもない
私も10年前は本物の素人だった。
このスレに随分助けてもらいました。
おう！何も問題なく運用出来てるぞ
お前らもたまには役に立つな
褒めて使わす
外部からの着信には同じ経路を逆に辿って返信しなきゃな
NATとかあるしIPアドレスが違う所から返信するような事にならないために
なんとかandroidでVPN接続できるようになりました。
ただ、PCからはうまくアクセスできません。
YMS- VPN8 で接続に失敗します。
原因としては何が考えられるでしょうか。
むしろそのためにあんなフリーソフトみたいなUIのソフト客に売ってるんだしな
ユーザー名って何入れればいいのこれ・・・
空欄
パスワードだけ入れる
RTX1210ぐらいまではサポートがIE限定だったような。
administrator
ありがとう。
影響うけたわー
PC から接続できなかった理由でした。
Galaxy s9 からは問題なく接続できたのにね
PCのほうが対応が弱いって意外
流石はSLA無しのサービス
業務で使えるレベルじゃないな
スマホの暗号化とPCの暗号化ではどう考えてもスマホの方が必要性が高い
Linuxは5.0で正式にChaCha20に対応してきたし
スマホはあと1年・2年でAESを捨てて来るんじゃね
RTX1200も、RTX1210も、
RTX57iでさえ、
Chromeでつかえているぞ。
これって、yamahaは、
バックアップから復旧させているということなのかな。
根本的な解決をしないと、また同じ問題が起こるのではないか？
3/11に会社～自宅のVPNが回復しなかった原因はそれか
Chromeでパスワード要求出なかったかパスワード通らないみたいな経験あるな。バージョンの問題とかありそうだけど
複数のお客に怒鳴られた
怒鳴り返せ
LinuxだろうとMACだろうとスマホの方が必要性が高い
業務でDDNSなんてあり得ない
しかも無料とか
客に使えなくなる可能性があるということを言ってなかったり
使えなかったときの対処法を客に教えてなかったり
別のDDNSサービスを使って経路の冗長化をやってなかったりしたら怒られて当然かもしれない
ヤマハのDDNSなんか過去に何回も障害が起こってるんだから
障害が起こっても大丈夫なようにやってるのが普通でしょ
復旧日時3月11日ってなってるけどどうみてもログ上は12日あたりまで障害起きてたよなと思ったらしれっとサイト書き換えてやがるし
＞netvolante.jpドメインの名前解決に失敗する
こんなの書いてなかったろ。
最近年１回ぐらいでつながらない系の障害起きてるんだよなぁ。
ASAHIネットの固定IP８００円ぐらいだし、ＯＣＮメールも調子悪いから入れ換え提案しちまうかな・・・・
って第一候補が失敗したら第二で接続とか
そういう障害対策してほしい
ISDN契約維持費考えたらLTEドングルで十分なんだよなぁ
いっそ、RTX1220Wみたいな専用製品つくって、LTEドングル内蔵品（アンテナ外付対応）を出して欲しい
どうせドングルぶらぶらして外れちゃったりしてるし
トンネル用ルーティングどうしようと思ってたけど
http://www.rtpro.yamaha.co.jp/RT/docs/example/backup/vpn_backup_example8.html#rt1
が一番楽そう。
頭悪い俺用メモ（本社、1拠点）
〓本社側
・トンネル2作成
既存トンネル1のremote nameを変えたもの
例：ipsec ike remote name 2 kyoten-backup key-id
・バックアップ設定追加
tunnel select 1 （既存トンネル）
tunnel backup tunnel 2 switch-interface=on
〓拠点側
・トンネル2作成
ipsec ike remote address 2 <※本社DDNSホスト名>
ipsec ike local name 2 kyoten-backup key-id
※本社にある監視カメラとか独自に取得してるDDNSホスト名
DiCEをサーバに仕込んでもいいかも
・バックアップ設定追加
tunnel select 1 （既存トンネル）
tunnel backup tunnel 2 switch-interface=on
〓障害試験
no ipsec ike remote address 1を実行して1分ぐらい待つ
ip filter 100 pass * * udp * *
こんな感じでUDPの全IP・全ポート開放してくれ
と言われたんだが・・・
ip filter 10 reject * * udp,tcp 135 *
ip filter 20 reject * * udp,tcp * 135
ip filter 30 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 40 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 50 reject * * udp,tcp 445 *
ip filter 60 reject * * udp,tcp * 445
が有れば問題（リスク）ないのかな？
一番の問題は、会議システム販売業者も商品よくわかってない＆会議システム使う社長あたりが とにかく使えるようにしろ！って指示してくることなんだよな
社長の指示だからいっか！
>>786 TCP:443とUDP:5000 IP固定(公開マッチングサーバー)の開放は必須なんです
まぁこれは納得できるので設定するのは問題ないんです
ただ、動画品質を上げる場合ピアtoピアで上記サーバーを経由しないパスを通すために
UDP 不特定なんで全IP 不特定なんで全ポート 空けてほしいらしく・・・
んでこの製品のウリがその品質で、低品質なら他社でもっと安いのもあるし・・・
上の方で決まりそうな事案で、決定した場合設定しないで済まされるか微妙なんですよね
せめて1024ポート番以下を除外とかしてくれるといいんですが
仕様書には全ポート開放なのでどうしたもんかと・・・
自分でやれ！って逆ギレろ
会議システムのmacアドレスでip固定しろよ
NAT内でもネットワークアドレス変えれば被害は広がらん
国産の監視カメラで、80/tcp開けてくれとか
前世紀感覚なんだろうなって思う。
そういや、ヤマハルータのウィザードテンプレにnetmeetingのポート開放入ってたっけ
http://www.rtpro.yamaha.co.jp/RT/docs/game/network-application.html
導入済みTV会議システムの製品仕様を開示しない糞とかあったり
・動画なので安心！
って意味不明なのあるよな
スマホのカメラハックで大問題になってるのに
時代錯誤というか20年前のまま時が止まってるのかとｗ
VPNでなんとかならんの？
てか固定IPアドレスをその会議システムに割り当てないなら
静的NAT必須じゃね？
何カ所と会議するのかしらんけど
FQDNでPASSフィルタかけれんの？
OEM元の資料とか型番でいいからよこしてくれればこっちで調べようがあるんだが独自開発とか言い張るし
最大6か所が相互にP2P接続してメッシュネットワークになるんですよ
マッチングサーバーが居るのでNAS/IPマスカレード的な設定は要らないと思う
あと接続先は不特定多数の顧客サポートに利用するつもりらしく
VPNは無理かなぁと
デモ機借りてみれば？
マッチングサーバーを経由しないP2P接続ならどっちかが静的NAT設定はいるでしょ？
会議システムにグローバルアドレス割り当ててるの？
まぁ、普通そうだよねｗ
クラウド側からじゃなく社内側から接続始まるからDynamicFilterの範囲だよね
それP2Pの相手側も同じなら接続できんだろう
あーそうかマッチングサーバいるのか
TV会議の端末が1台ならマッチングサーバにIPアドレスと空いてるポート番号通知で済むけど、サポート対応だと台数多いから、マキシマムで開けとかないとダメじゃないの？
5ch.netだけpp1(ipv4 over PPPoE)使いたいけどどうすればいいんだろ
まぁ相手がcloudflareだからキレイに5chだけにはならんだろうが
フィルタ型ルーティング
ip filter 300001 pass-log * 5ch.net,*.5ch.net,*.*.5ch.net
ip forward filter 100 1 gateway pp 1 filter 300001
これ使ってるけど、なぜかメインで使ってるパソコン以外は振り分けうまくしてくれない。
DNSの指定はルーターにしてる？
LAN内のパソコンからインターネット側やVPN先の外部に
tracerouteしたときに、応答しないようにしたいのですが、
pingには応答させたいのです。
下記の設定では、pingも応答なしとなってしまいます。
tracerouteだけ非応答にするにはどうすればよいですか?
行った設定
------------------------------------------------
LAN1のoutに
ip filter 11 reject * 192.168.0.0/24 icmp * *
https://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml#icmp-parameters-types
type指定でどうにかできないか
どっちだったかはicmp echoの応答見てるでしょ。
pingと区別できないよ。
問題無いパソコンも問題あるパソコンもADに向いてる
ほんと謎
ip route default gateway pp 1 filter 300001 gateway tunnel 1
UNIX系のUDPのtracerouteにはどうやっても対応できないけど
Windows系ならICMPのtype11をフィルタしてみれ
UNIX系でもICMP type11を遮断でいける
ip filter 11 pass * 192.168.0.0/24 icmp
ip filter 22 reject * 192.168.0.0/24 icmp 11 *
ip pp secure filter in 22 11 2000
>>817
それでいけました。勉強になりました。ありがとう。
ip filter 2000 pass * * * * *
これが抜けてるね。これがないと暗黙のdenyが効いてしまうので。
ip filter 2000 reject * *
全部通したらザルになっちゃうｗ
それだとネット見れなくなるのでは?? >>819はザルなので、最終的にはこうか
ip filter 11 pass * 192.168.0.0/24 icmp
ip filter 22 reject * 192.168.0.0/24 icmp 11 *
ip filter 1001 reject 192.168.0.0/24 * * * *
ip filter 1002 reject * * udp,tcp 135 *
ip filter 1003 reject * * udp,tcp * 135
ip filter 1004 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 1005 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 1006 reject * * udp,tcp 445 *
ip filter 1007 reject * * udp,tcp * 445
ip filter 1008 pass * 192.168.0.0/24 icmp * *
ip filter 1009 pass * 192.168.0.0/24 tcp * ident
ip pp secure filter in 22 11 1001 1002 1003 1004 1005 1006 1007 1008 1009
俺も似たような問題で悩んでいる
運用上、だれも文句を言ってこないけど
なんか気持ち悪いんだよね
なぜドキュメントの制限事項を読まないのか
どうしたら解決できるかご教示いただけないでしょうか
コマンド書けよ
ソフトイーサのDDNSはインターネットから普通に使える
西同士ならちゃんと折り返しになるよ
SACM(SMF)@IIJとか使うんだよ
(特許とってるんでRTXとかでの対応は無理だろ)
だからRTXは諦めるのが吉
たまにIP変わって切断するのを容認できるならそこまで気にしなくてもいい
現状IPv6で固定IPを必要とするサービスを利用するなら
法人向けプロパイダで固定しているサービスと契約すればいい
半固定なんていう中途半端な契約で運用をしてはいけない
端末再起動
大手業者はLUAスクリプト入れてやってる。
https://flets-w.com/opt/v6option/
うちではちゃんと繋がったけど
RTX1200同士では遅くて捨てた
フレッツVPNワイドで80Mbpsくらいでてたのが3Mbpsくらいになった
残念、FQDNフィルターはRTX1200では使えなかった
結局
ip route 104.18.231.150/32 gateway pp 1
ip route 104.18.232.150/32 gateway pp 1
ip route 104.18.233.150/32 gateway pp 1
ip route 104.18.234.150/32 gateway pp 1
ip route 104.18.235.150/32 gateway pp 1
ip route 104.18.250.58/32 gateway pp 1
ip route 104.18.251.58/32 gateway pp 1
ip route 104.18.252.58/32 gateway pp 1
ip route 104.18.253.58/32 gateway pp 1
ip route 104.18.254.58/32 gateway pp 1
力業っぽくてやだけど
そこで質問ですがWANポートもLANポートとして使用できるのでしょうか？単にWANポートに同じセグメントのIPアドレスを振ってもダメでした。教えてください。
売ってハブ買ったら？
(LOCAL/IP.6) ネットワークの一部分を別セグメントにする(proxyarp)
http://www.rtpro.yamaha.co.jp/RT/docs/example/local-ip.html#6
だよなｗ
lan1 と lan2 両方をブリッジインターフェースに収容すればいいのでは？
CONFIG残っててフィルタに食われてるんじゃね
>たまにIP変わって
いままで変わったことないぞ。
HGWを置き換えたらプリフィックスごと変わったけどな。
しかも、大部サブネットを削られた。
最近は数年変わって無いけど
友達の家とつなぐ分にはそれで十分だけど業務には使えないわ
半固定はまれに変わるけど、俺は変わった、いや変わらない、って知恵遅れかよ
役立たずが
確率？
主流はIPv4だから場所的に余裕を持ってるんだと思う
PPPoEみたいな予約方式じゃないからね
ルータ負荷やばそうなんだけど
フィルタはIPプロトコル外だから使えないし
DHCPとか使えなくなるけど
DDNSに依存してしまうということだから、
故障確率が上がってしまう。
DDNSを弾けない場合には、IPv6で生アクセスを試みるプロセスも組み込みたいところ。
そんなことできるかな？
2セッションにして4と6を完全に独立させる
ログを見たところ
www = http + https
dns = domain
という認識であってる？
http://www.rtpro.yamaha.co.jp/RT/docs/misc/mnemonic.html
＞666 doom Doomを覚えていますか?
ﾜﾗﾀ
勝手にニモニック置換しなくていいんだけどなぁ。素人がconfigいじるわけじゃないし
ありがとうございます
参考にします
＞Doomを覚えていますか?
"
『DOOM』が仕事に対する重大な脅威となり、
オンライン対戦やシェアウェアのダウンロードによってネットワークが妨げられたとするいくつかの報告書が存在しており、
"
ウィキペディアより
ヤマハのこういう細かいところが好き。
いらなくても、要る。
それに、ニーモニックはあったほうがいいと思う。
icmpなんかニーモニックでいくつかをまとめてくれて便利だと思う。
FUSIONと比較して、通話料安くて良いんだが、050plusのみTLSだからね
コンソールケーブル接続時だけ使える有名なのはあるよ
上上下下左右左右BA
これを入力するとRTXシリーズでHSRPを喋れるようになる
DMVPNはどうすればしゃべれるようになりますか？
そんなことも知らねーのかよ・・・ゆとり乙
復活の呪文で 「ほりいゆう じえにつくすど らごくえす とだよ」 って入れれば良いんだよ
とりあえずアンダー草原で淫獣マリリスを大量に調教して淫度をどんどん稼いどけ。
展開が不安ならバックアップ取っておくのを忘れんなよ。説教くさくなってスマソ・・・。ついな・・・。
へー！
ありがとうございます！
当方管理者ではないのですが、現場でよくみかけるのですが判断できず。
どこの会社にもこういうおかしなのいるよね
ip filter 10000 reject * *
ip filter 20000 pass * *
ip filter dynamic 10025 192.168.1.0/24 * smtp
PP[01]
pp bind tunnel1
ip pp secure filter in 10000
ip pp secure filter out 20000 dynamic 10025
TUNNEL[1]
ip tunnel secure filter in 10000
ip tunnel secure filter out 20000
と設定しています
この状態で動的フィルタ(10025番)が反応することはするのですが
その前にフィルタ番号10000番で拒否されてしまいます
回避方法としてPP[01]のinに対してestablishedパケットを許可するしかないのでしょうか？
むしろ理由も知らずに断定はおかしいだろ。
こういう手合いが思い込みで変な構築するんだろうな。
盗みたい以外の理由が見当たらん。
でもNVR500なんて今更何の役にもたたんだろうしやっぱり意味不明
怪しげな質問してる奴とidの出方が一緒だけど、心当たり有る？
ほんとに何したいんだ？
なんで管理者じゃないのにそんなの知りたいの？
管理者なら管理画面からわかるだろ。
怖すぎ！
ただ単にセッションプラスが必要になるかを数えたいから
管理者に聞く前に知る方法を聞きたかったんだが。
なんでppとtunnel両方にフィルター設定してるの？
ルーター（L3）のスレはここです。
NVR500なら音鳴るけどわからんな。
レスありがとうございます
PPとTUNNELどちらのフィルタを外すのがいいのでしょうか？
PP側を外してみたりTUNNEN側を外してみたりしましたが改善しませんでした
PP-TUNNELがらみの動的フィルタのことがよくわかっていないので
根本的に間違っているかもしれません
icmpと、udp 500に対するアクセスがある。
リジェクトフィルタは効いているが、よく、128bitもの長さのあるアドレスを見つけ出されたものだと思う。
どこかで漏れているのかな。
気分悪い。
みなさん、IPv6だからといって手を抜かないように。
それにAllパスのフィルターにパスのsmtp入れて何がしたいのかもようわからん
outがALLパスなら それ以上ダイナミックにする必要もなかろう
んで、なんでout方向の10025がin方向のフィルターで拒絶されるんだよ？
前にもなにも、in方向ですべて閉じてりゃなにやっても無駄だろ？
多分設定の一部なんだとは思うけど「その設定の利用場面」が想像しにくいんだよね
何がしたいかようわからんので拠点間の構成ぐらい説明しなよ
釣りと同じだよ…
超ランダムすぎてピンポイントで当たらないだろうなーって思うもん。
フレッツ網内なんかでやったら絶対どこかの共有フォルダ見れちゃうんじゃないかってドキドキしてるわ
それはない。下位64bitにはLAN3のMACアドレスが織り込まれている。
>>894
それなんですよ。
>>892
udp 500へのトライがある。
IPフィルタリングしているから大丈夫だけど。
外向きのパケットは残さず全部dropしてるマンなの？？
だから釣りみたいなものだと言ってるのに
うちだってチャイナテレコムのipからピンポイントにノックされてるよ
実は、そもそもIPv6はIPsec専用としてRTXのLANにしか割当てていないんです。
RTXは下位にプリフィックスを広告していません。
しかしだとすると、途中の経路で情報が収集されているかもしれないなあ。
チャイナテレコムはアクセス情報を売っているんですか？
たぶんL2TP/IPsecかPPTPなんだろう
フィルターはPPだけで良いのかな？
show ip routeをすると経路がpp[anonymous]って出るし
・・・というか、常に情報収集されてると思った方が良い
Proxy経由したいところだな
なんか中小企業に売りやすい商品が欲しい。
L3SWとか正直いらない。激安で遠隔電源リセットできる程度の島HUBがあれば十分
まとめて売っちゃうから
ひかり電話も使うとき、 フレッツ網内 v6 でも色々と遊ぶ場合、
HGW 一体型のほうがいいのか、ONU とひかり電話と別体のほうがいいのか、どっちがお薦めですか
エリアは西です。
ちなみに、隼じゃなくてハイスピードに留めてとこうと思ってます
>隼じゃなくてハイスピードに留めて
どうして？
905じゃないけどVPNワイドを使うんじゃね
値段が全然違う
のんびりし過ぎじゃね？
コンシューマー向けの商売じゃないし、エンタープライズ製品ならこんなもんだよ。
1. センタールーター(RTX5k / 3k)
2. VPNマルチポートルーター(RTX12x0)
3. 無線LAN(WLX)
4. ハイアマ/SOHOルーター(NVR)
5. 拠点ルーター(RTX8x0)
家庭用のルーターにしたって有線モデルなんて10年放置どころか開発中止も多いだろうに
無線は規格が更新していくので対応も必要だろうけど
有線は既存機で対応できないような大きな変化はないからな
ファームアップがしばしばある。
機能改善。
ハードでなく、ソフトも大切。
一般でも無くエンタープライズでも無い所がターゲットなのがヤマハだと思うw
tftp host 192.168.0.0-192.168.255.254
通らないのね。ちょっと意外
むしろそれを知らなかったわ。
むしろ、アクセスを禁止する範囲を設定したい。
filterに制御させるようにすればいいんだろうけど、たぶんそういうコードで作ってなさそう
自分でfilterで制御させる場合、
名前解決（udp 53）とか、DHCP関係とか、通さないといけないものがあるので、
フィルタ方法に注意が必要だな。
ip filter reject ネットワークアドレス RTXアドレス tcp * telnet
ip filter pass * *
のようにパスフィルタも忘れないようにしないといけないな。
ルーターのならできるだろ
隼でも実際には200M超えること滅多にないと思うし、
みんな隼だから、むしろハイスピードのほうがバックボーン空いてるんじゃないのかという期待。。
混雑時間帯は ADSL並、って聞いてますが、200M 超えれるんですか？
200M 超えるのが未明限定だったら要らないし。。。
全部ひっくるめてエリアとISPに依る、じゃないかなぁ。
隼とハイスピードの設備が一緒か別れてるかも含めて。
西だけどフレッツ隼 RTX1200のIPv4 PPPoE接続で400Mbpsくらい出てるな
ギガ使ってるとこなら450Mbpsは平均で出てるし、ルーター間pingで2msで応答返ってくる。
v6のIPアドレス特定はどうしてる？
固定と仮定して設計してる？
まあ、ipでも変わらんだろうが
DDNSだからOK なんて言ってる管理者がいたら素人前に付けろ
netvolante-dns go lan* (auto)
↓
[DDNS] 105 Hostname error.
がログに記録されて、いまも go を試行したところ同じエラーが出てDDNS登録できていない
（名前解決しない）んだけど障害でもないよね。
同様の症状が出ている方いません？
マジ・・・
休み中に*また*障害起きてるのか
設定ミスってるルータがあって8時間で絶対切れる拠点あるけど終わってそう
HostnameやServerを替えて試行しているけど同様。
なんだろう。うちだけかな。
>>945
教えて君でごめん。
いわれてみれば、と利用廃止を検討したいんだけど、どんな代替策がある？
2019/05/03 11:14:39: [DDNS] netvolante-dns go PP[01] (auto)
2019/05/03 11:14:40: [DDNS] Update succeeded
いまは通るな。前の障害のときは一部通らずだったからホストが一部落ちてるんだろうな
>>783書いたの俺だけどこの辺使ってみるといい
schedule at 1 */* *:*:1 * lua -e "rt.httprequest({url=\"http://ieserver.net/cgi-bin/dip.cgi\?username=USERID&password=PASSW0RD&domain=dip.jp&updatehost=1\",method=\"GET\"})"
schedule at 1 */* *:*:1 * lua -e "rt.httprequest({url=\"http://f5.si/update.php\?domain=DDNSHOSTNAME&password=PASSW0RD\",method=\"GET\"})"
なんて技でもいいけど。どうせパスワードなんてconfig見られた時点で見られたようなもんだし
情報ありがとう。こっちはまだ
11:35:10: [DDNS] Hostname error
.なんで、うちの問題っぽいかな…。
>>949
それもDDNSに変わりないのでは…
プロバイダーが提供しているDDNSサービス使うとか
たしかぷららで使えたと思った
出来るなら、RTX810をRTX830に置き換えたい。
V6でやれよ
ipq.jp のＶ６プラスなら全ポート使えるしV４は固定ＩＰ
固定1でも逆引きできるプロパイダもあれば
最低IPx4じゃないと受け付けないプロパイダもある
会社の規模やBtoB構成によっては中途半端にクラウド化できない場合もある
どうしてなんだ
専業で管理できるならいいけど
何かやらかしそうだったから他所に丸投げした
あんなもの一人では管理できんよ他の業務もやりながらだと
NATの使えるルーターもまだ高価すぎてFreeBSD 2.xぐらいのPCルータでやってたわ
ヤマハのルータが出てきてからは本当に助かった
イライラしっぱなしだったわ
結局postfixにした
メールサーバーで逆引きチェックなんてしてたら
届かないメールがあるとかで苦情くるから結局やらなかったわ
って思い出語るスレ？
https://network.yamaha.com/support/notice/fwx120_unsavable
弊社製ファイアウォール「FWX120」におきまして、設定情報やファームウェアの保存ができない不具合が発生することが判明いたしました。
こんなお知らせあったのか
netstatで調べてみると、通信中のTCPポートは開いていた。
RTXのように動的フィルタが動作しているものだと思っていたので、意外だった。
大丈夫なものなんだろうか。
プロセス内で動的フィルタ相当の処理がされているのなら大丈夫なんだろうけどね。
ソケットを勉強したまえ
それ以前にスレ違い
ソケットはプロセスに繋がっている。
RTXなどがあれば、あらかじめ動的フィルタで意図しない通信が防げるが、
Andoroidにはそういうパケットフィルタが備えられていないみたいなので、
ソケットが剥き出しになっているということですよね。
それとも、そのソケットは全OSで共通に対策機構を継承しているっていうの？
AndroidでVPNを有効化すると、
Androidは、udp500、Espパケットしかうけつけなくなるのかな？
それ以外のポートが開かなくなるのだろうか。
接続先にRTXがあれば、そこでインターネット接続をフィルタリングで制御すればいいことになるよね。
それはわかっているんです
待ち受けポートは無いと思うけど
wifiで接続していないキャリア接続の時に外部からポートスキャンでもかけてみたら？
クライアントがサーバー側との通信の為に開いているポートは
TCPならセッションハイジャックとかしないと無理じゃね？
フィルター関係なしに
サーバーとして開くポートとクライアントとして開くポートは理解したほうがよろしいよ
そこで割当たったアドレスに対しポートスキャンでもかけてみては？
仮にRTとかでフィルターかけてるから大丈夫だい！って説明されても
ホテルとかの無料wifiとかで繋げば丸腰になってしまうし
内部攻撃に対してひどく脆弱な存在になってしまう
目から鱗です。
サーバーが開いているポートと違って、クライアントが開いているポートへのアクセスは、
セッションハイジャック技術が必要になると聞き安心しました。
そう言えば、ちょっと前に、LinuxにTCPに関する脆弱性があって、セッションハイジャックできる問題がありましたよね。
Andoroidもその影響を受けたという記事を見つけました。
TCPプロトコルによってクライアントは保護されているということが言えるのかもしれませんね。
>>977
こんど固定IPのSIMをAndoroidにつけてみて、ポートスキャンテストしてみます。
>>978
RTXに応用できます。
たとえば、NATが開いているポートは節穴で、パケットを内側マシンに通しているだけで、
TCP制御とは関係なさそうですね。
>>979
うん こ？←構
うん ち？←築
>>980
はい。Androidを通して得たTCPポートに関する考察を、RTXに活かすことができます。
RTXをネットワークに設置して、動的フィルタを置くことで、無用なセッションハイジャック攻撃を避けられるのだと思います。
OSのアップデートに神経質にならなくても良いのかもしれません。
一方、AndroidにはRTXのような防御壁がないので、
クライアントのポートに対するセッションハイジャックのような攻撃をされないように、
アップデートが肝要になるということが言えると思います。
時事ネタは中小企業の経営層への説明に有利なんだぜ
FortiGateとか推す奴ら、なにから自分を守りたいのか分かってないの多いんだよな
RTXでは何一つ守れないし可視化もできないよ
syslogやSNMPをいくら集めて解析しても無理だからね
だからこそ、大手の顧客はUTMの導入実績の有無を確認する
未導入なら取引停止 それだけの事
そういう意味で、UTMは「仕事を守るため」に必要なんだよ
実際の脅威から守るのではなく「顧客からの要件を満たす」為に必要
もう、Windowsアップデートやってます、アンチウイルス入れてます
だけでは顧客は納得しない時代になったんだよ
パケットフィルタぐらいできるだろw
何一つ出来ないってお前こそ白痴か？
白痴かお前は？
あと公の入札案件でも増えてきた
ソフト更新・管理・保守をリモートで行う必要がある案件だね
2年前まではここまで厳しくなかったけど
・PCI-DSS
・マイナンバーカード
このキーワードが聞こえ始めたころから
UTM要求が増えてきた感触がある
まぁ規模感もあるとは思うけど、そういう顧客の仕事をするなら
パロは結構高いけど、フォーティーは安いの有るし
RTXの下でも交換でも良いけど検討し始めた方が良いんじゃね
士業とかに売れる売れる
ISO好きなとことかPマーク持ってるとことか。
FWX120でどこまでできるかなーって思ったら大したことなくてFortiGateバンドルで売ってるわ
みんな変なサイトとかアクセスしないから、全然ひっかからない。
ログ見るとひっかかっているのは全部自分宛てに来たメールに添付のウイルスだったりする。
実感としてFortigateでひっかけてくれるのは、Windows Defenderと同レベルの感じなんだが、
Windows Defenderよりも性能いいの？
まあ、同じレベルであったとしても、とりあえず入れておけば言い訳になるから、何らかのUTMは結局入れるんだが。
ちなみに、親会社ではFireEyeを入れているけど、ウイルス感染のPCが出て大騒ぎになっていた。
アンチウイルスはどうでもいいというかそれは別のもので対応する
アプリの可視化がUTMのメインでレポート機能の善し悪しが重要視される
だから、そこを強化してきたフォーティーとパロアルトがおすすめされる
性能なんかどうでもいいというか・・・
未対策はどんな言い訳してもダメ、対策してればとりあえずどれでもいい
って感じ
んで、アンチウイルスは
・ファイルIOをトリガに検知するタイプ
はもう役立たずかな、まぁあっても良いけどそれはWin標準のDefenderでいい
ファイルレスウイルスが増えてきてるのでファイルIOトリガ式は効果的じゃない
だから、パソコンは
1.おまじないレベルの WindowsDifender
2.ランサム・標的対策の Cylance的な奴
3.情報漏洩対策の SKYSEA/LanScopeCat/ISMCloudOneなど
＋ UTM(NGFW)
＋ 第三者認証
って感じになる
UTMあるからPCの対策いらねぇ～ にはならんよ
あとは情シスがどんだけ、その手のトレンドを理解してるかだよ
webフィルタでpost系設定しとくと楽しくなるんじゃね。
社員のだれが、どんなネットアプリを、どれくらい使ったか
が判る
http://mao.5ch.net/test/read.cgi/network/1558571559/
新しいスレッドを立ててください。
life time: 358日 10時間 32分 31秒
運営にご協力お願いいたします。
───────────────────
《プレミアム会員の主な特典》
★ 5ちゃんねる専用ブラウザからの広告除去
★ 5ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
───────────────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
https://premium.5ch.net/
▼ 浪人ログインはこちら ▼
https://login.5ch.net/login.php
レス数が1000を超えています。これ以上書き込みはできません。
ニュース
- 【三重】保健室に来た男子中学生を抱きしめたりキスをしたり…２７歳女性養護教諭を懲戒免職 [シャチ★]
- 【8050→9060】92歳父の年金月23万円で食いつなぎ、薄暗い自室にひきこもる61歳兄 [おっさん友の会★]
- 【緊縛】代々木公園の「LGBTQ+」イベント 「過度な露出」に運営が声明「あえて社会規範に挑戦」「ご理解を」 [梵天丸★]
- 【青森】路上で子どもへの食品譲渡が発生 車に乗った中年女が「元気がいいね」などと言いながらパンを渡したという [シャチ★]
- 他に空いているのに横に座られ…『女性の隣』がトレンド入り…元プラスマイナス岩橋も反論した「あえて女性の横に座る男性」の賛否 [muffin★]
- 2月の実質賃金、1.8％減 速報から下方修正、厚労省 ★2 [蚤の市★]
- 27歳淫乱女性教師、保健室で中学生男子にエッチな指導を行ってしまい懲戒処分。三重県 [746260704]
- ぬわ粘の🏡
- 女さん「喋る男児に乳吸われるの無理で10ヶ月で断乳してミルクにした。大きくなった男子と横で寝るのも無理になってきた」 [856698234]
- はいかいいえで答えるから俺がアマゾンで注文して明日届く荷物当てて
- 「北欧を見習え」⬅最近これ誰も言わなくなったよね [878970802]
- 【速報】カップヌードル254円 [931948549]