X



トップページ通信技術
1002コメント338KB
YAMAHA業務向けルーター運用構築スレッドPart21
■ このスレッドは過去ログ倉庫に格納されています
0001administrator
垢版 |
2018/05/29(火) 23:00:51.94ID:???
【お約束】
ここはYAMAHAルーターなどで小規模〜大規模のネットワークを
構築、運用する人のための情報交換スレッドです。
ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は関連スレへ

【公式サイト】
RTXシリーズルーター
http://jp.yamaha.com/products/network/routers/
RTpro - ヤマハネットワーク周辺機器 技術情報ページ
http://www.rtpro.yamaha.co.jp/
ヤマハネットワーク機器
http://jp.yamaha.com/products/network/

【関連スレ】
YAMAHAヤマハブロードバンドルーターpp select 21
https://echo.2ch.net/test/read.cgi/hard/1453996883/
YAMAHAヤマハブロードバンドルーターpp select 22
https://echo.2ch.net/test/read.cgi/hard/1485617399/

【過去スレ・前スレ】
YAMAHA業務向けルーター運用構築スレッドPart16
https://hayabusa6.2ch.net/test/read.cgi/network/1437244766/
YAMAHA業務向けルーター運用構築スレッドPart17
https://hayabusa6.2ch.net/test/read.cgi/network/1450925974/
YAMAHA業務向けルーター運用構築スレッドPart18
https://hayabusa6.2ch.net/test/read.cgi/network/1464191922/
YAMAHA業務向けルーター運用構築スレッドPart19
https://mao.2ch.net/test/read.cgi/network/1485790427/
YAMAHA業務向けルーター運用構築スレッドPart20
https://mao.5ch.net/test/read.cgi/network/1501976932/
0639anonymous@fusianasan
垢版 |
2019/02/17(日) 23:59:56.18ID:???
1200でFWの設定中です
WANからLANへのフィルターを設定してるんですがconfig例見ると
ip filter xxxxx reject *****
以外にいろいろrejectの設定をしているのを見かけるんですが、これ一つで全部遮断できるわけではないんですか?全遮断とicmpの通過だけ設定すればいいかと思ったんですが…
0640hogehoge
垢版 |
2019/02/18(月) 00:24:37.74ID:???
NVR500で下のURLのような設定は可能でしょうか?
https://www.server-world.info/query?os=CentOS_7&;p=openvpn&f=1

多段ルータの形で同一ネットワーク内に外部から入ることができるようなVPN。
ルータの意味を考えると難しいと思うのですが…
0641anonymous@fusianasan
垢版 |
2019/02/18(月) 01:38:59.08ID:???
RTX1200とRTX1210で、IPv6ネイティブIPsecトンネルができているが、
なぜか、800KB/sec程度しか出ないのはなぜだろう。
800KB/Sec * 8bit/B = 6400Kbps程度が普通なんだろうか。
0643anonymous@fusianasan
垢版 |
2019/02/18(月) 03:44:56.49ID:???
>>642
おお、ついているぞ。しかも、初期のやつ。

これか。原因は。
ありがとう。
0644anonymous@fusianasan
垢版 |
2019/02/18(月) 03:47:41.36ID:???
>>642
うーん、でも解せないこともあるなあ。

HGWはたしかに初期の奴なんだけど、
普通にネットサーフィンしたり、
ダウンロードする分には、もっと速度が得られるんだよ。

このHGWはIPv6に弱いってことなのかな。
いわゆるファストパスでないみたいな。
0645641
垢版 |
2019/02/18(月) 04:00:40.10ID:WomZp+CU
今、データ転送中で、IPsec/IPv6ネイティブで800KB/secしか得られていない。
でも、ブラウザで速度を測定すると、

下り、149.4Mbps (18.67MByte/sec)
上り、159.2Mbps (19.90MByte/sec)

となるんだな。Radishという測定サイトなんだけど、IPv4なら早いということなのかな。
で、IPv6の速度測定サイトのFASTというところでで計ってみたら、70Mbps程度出ていることがわかった。

cifs転送なのでチューニングがおかしいんだろうか。
0646641
垢版 |
2019/02/18(月) 04:09:56.76ID:WomZp+CU
チューニングの問題なら、両端のPCだけの問題ということになるはずだが、
なぜか、データ転送中は、pingの時間が20倍ほど跳ね上がる。
しかし、両端のRTXのCPU使用率は5%程度。

やはり、なぜかわからないが、HGWが悪いんだろうか。
ではどうして、ブラウザではさっき書いた通りIPv6、IPv4問わず速度が得られるんだろう。
わからない。

IPsecのESPの処理がHGWはダメなんだろうか。
0647641
垢版 |
2019/02/18(月) 04:18:39.27ID:WomZp+CU
ただしいMTUの設定もできているはず。
でも、その情報がPCに伝わっていないのだろうか。
相手はNASなんだ。
どうやって、MTUの情報が伝達されて、
そして正しいサイズのデータをPCが送るようになるのか。
0648anonymous@fusianasan
垢版 |
2019/02/18(月) 07:18:51.56ID:???
>>636
切断タイマーなり、トンネルを複数定義するなりしてみたら? すぐに再接続してもセッションが残っちゃってるんじゃないか?
0649anonymous@fusianasan
垢版 |
2019/02/18(月) 07:22:56.20ID:???
>>645
うちは両端がRTX1210でHGWも新しいのだけど、VPNだと速度か落ちるよ。IPv6自体はワイヤースピード近くまで出てるのに、VPNだと1/10くらい。HGW経由のIPsecは速度に規制がかかってるような話が少し前にネット記事になってたし、ひかり電話の関係で何かやってるのかもね。
0650anonymous
垢版 |
2019/02/18(月) 12:35:52.16ID:???
HGWある時はIPIPでやると速くなる。
ただRTX810だとそこがボトルネックになるはず。
RTX1200よりはマシだけど。
0651anonymous@fusianasan
垢版 |
2019/02/18(月) 12:54:30.72ID:???
閉塞網内とは言え、IPIPはちょっと不安が残るんだよなぁ。
0652anonimous
垢版 |
2019/02/18(月) 13:44:06.21ID:???
RTXはソフト処理する事が多いからな
cpu占有するような設定いれると途端に遅くなる
0653anonymous@fusianasan
垢版 |
2019/02/18(月) 13:44:12.81ID:WomZp+CU
>>649
良い情報ありがとう。
網側あるいはHGWで何かされているのかもしれないですね。
0654anonymous@fusianasan
垢版 |
2019/02/18(月) 16:01:19.25ID:???
IPv6でスピード出したかったらルータ直結しないと。
ひかり電話使いたかったらNVR使うしかない。
0655641
垢版 |
2019/02/18(月) 16:34:21.73ID:JfSYXBBM
別の最新のHGWが付いている環境でためしたら、windowsファイル共有で少なくとも2MB/sec出た。

やはり、古いHGWがボトルネックになっているのかもしれない。

直付が最速か。
0656anonymous@fusianasan
垢版 |
2019/02/18(月) 18:17:50.84ID:???
参考だけれども、ネットワーク系素人のうちの環境では、
IPsecありでWindowsファイル共有が9.7MB/sec前後。

・HGW(PR-500KI)配下にRTX1210をぶら下げてる環境同士
・ドコモ光(フレッツのギガ相当)
・フレッツ東のIPv6折り返し通信(3都県離れている)
・L2TPv3/IPsec(AES-CBC)
・Windows 10同士
0657anonymous@fusianasan
垢版 |
2019/02/18(月) 18:39:43.37ID:???
うちはこんな環境で50〜60Mbpsくらい。

・拠点AはGE-PONにRTX1210の組み合わせ。拠点BはHGW(RT-500MI)配下にRTX1210を設置。
・拠点Aはフレッツ光ネクストギガライン。拠点Bはフレッツ光ネクストギガスマート。拠点間に1都道府県を挟んだ環境。直線距離にして40〜50kmくらい。
・NTT東日本NGN網内の折り返し通信で、IPsec(AES-CBC)でトンネル化。
・計測速度はWindows 10 - LinuxベースのNAS間、またはNAS間でのSMB経由での計測結果。
・スピード計測サイトではIPv6で700〜800Mbpsは出ている。
0659622
垢版 |
2019/02/18(月) 19:49:39.66ID:???
基礎ができてないからついていけてません(汗)

>>623-625
うちはFletsギガマンションタイプ、実家はJCOM
要求pingの返信が数ms以内ってのは見たことがあります

>>626
ここ見て同じことしているはずなんだけど
つながらなくなった・・RTX1210のGUIではつながってるように見えるけど
サーバーにアクセスしたりは出来なくなった
ttps://blog.yuu26.com/entry/20180528/1527514246

>>627
だめかもしれません。
録画したデータがMoveさえできれば問題ないんだけど、、
0660622
垢版 |
2019/02/18(月) 19:50:44.47ID:???
>>628
CGN(Carrier-Grade NAT)?うん、ごめんなさい、このレベルからもうアウトです
でも緩くなった制限に期待

>>634,635
ファームは対応って書いてあるけど
使い方の設定例なく挫折中です

>>All
ありがとう、勉強して出直すね
0661anonymous@fusianasan
垢版 |
2019/02/18(月) 19:54:26.67ID:???
JCOMってWAN経由にできたとしてDLNAの要求するパケロス発生率クリアできるんだろうか
0662656
垢版 |
2019/02/18(月) 20:57:19.85ID:???
補足。
・直線距離で約53km
・IPsecなしでL2TPv3のみの場合は70MB/sec前後
・片方の拠点のフレッツ網内の速度計測サーバへのIPv6通信は315〜500Mbps。もう片方は未計測。
0663anonymous@fusianasan
垢版 |
2019/02/18(月) 23:59:54.90ID:???
>>656
参考になります。
10MB/sec出ていれば優秀ですね。
うちは、早い拠点間でも2MB/secなんで。
おそければ、800KB/sec・・・

>>657
7MB/sec程度という感じかな。

IPv6の800Mbpsでみたら、1/10以下に落ちてしまっていますね。
0664anonymous@fusianasan
垢版 |
2019/02/19(火) 09:37:25.28ID:???
今朝、始業前の 8:30 頃に測定してみたんだけど、うちは以下の条件で、

・隣県(NTT西日本)の NGN内折り返し
・回線は、片方が隼(1Gbps) で、もう片方がハイスピードタイプ(200Mbps)
・RTX1200 どうしで IPSec VPN
・端末間の通信は IPv4

HTML5 Speedtest で 80〜90Mbps、CIFS 経由のリモートコピーで 40〜64Mbps
出てる。(iSCSI だともう少し早い。)Ping 応答時間は 17ms くらい。

同じ回線&ルータ間の VPN を PPPoE(IPv4) の PP 間での IPSec に変更すると、
HTML5 Speedtest で 80〜95Mbps、CIFS コピーで 24〜32Mbps。Ping は 32〜44ms。

前者の方が遅延が少なく安定しているけど、圧倒的に速いわけじゃなさそう。
あと L2TPv3 ではないけど、遅延時間も DLNA の制限(7ms?)に収まってないですね。
0666anonymous@fusianasan
垢版 |
2019/02/19(火) 11:07:37.67ID:???
>>665
隼側は ONU 直です。
ハイスピード(実際はファミリーらしい)側は VoIP アダプタ経由です。

あと、あの後詳しい人に確認したところ、IPv4 トンネルの隼の相手側はフレッツネクスト回線ではないそうですので、比較対象としては相応しくないようです。
すいません。
0667anonymous@fusianasan
垢版 |
2019/02/19(火) 12:57:05.44ID:???
うちもやってみた
·2拠点とも西日本で両方隼でNGN折返し
·直線距離で180kmくらい
·ルーターは両方RTX1200
·片方はONU直、もう一方はVoIPアダプタとしてVG2330Xの配下に接続
·間に県2つ挟む
って感じでipsecでもIPIPでも150Mbpsでした
ちなみにテストでVoIPアダプタ外してだと
ipsecで150Mbps、IPIPで300Mbpsくらいでした(ルーターが限界でした)
新しいOG2300とかならもっと出るのだろうか…
0668anonymous@fusianasan
垢版 |
2019/02/19(火) 16:59:03.03ID:???
ONU直結でRTX1210かNVR700Wなら300は固いよ。
まあv6網の活用も進んでるからいずれ下降するだろうけど。
0669anonymous@fusianasan
垢版 |
2019/02/20(水) 00:07:19.81ID:???
>>667
ふつうのHGWよりもVG2330Xが速いということが言えるかな。
0670anonymous@fusianasan
垢版 |
2019/02/20(水) 18:47:14.00ID:tctKAQTx
みんな、プロな人なの?
0671anonymous
垢版 |
2019/02/20(水) 19:02:07.71ID:???
暇な学生だよ
0673anonymous@fusianasan
垢版 |
2019/02/20(水) 20:54:59.94ID:3rqv9ZEa
現在フレッツVPNワイドで運用中。最近よく聞くNGN内IPv6折り返し通信でVPN組めばフレッツVPNワイドの基本料金いらなくなる?
設定難しいですか?
0674anonymous
垢版 |
2019/02/21(木) 00:05:43.20ID:???
一昔前まで、IPv6アドレス変化したときにどうやって通知するかっていう大きな課題があった。
FVW組むってことは家庭ではないだろうから、そんなとこケチってどうするの?とは思うけど
0676anonymous
垢版 |
2019/02/21(木) 08:35:17.09ID:???
NGN網内折り返しならネーム使えばある程度解決できる
ウチでは4拠点利用してるが、ここ数年は網内v6アドレスは変化無しだけど。

>>673
CUIでの設定にアレルギーなければ、ネットに参考資料山ほどあるから難しくは
ない、やる気次第でフレッツVPNワイドを代替可。
0677anonymous@fusianasan
垢版 |
2019/02/21(木) 09:07:41.37ID:???
ネームの代わりにi.open.ad.jpがあるし、今はネットボランチDNSもIPv6対応してるから、それでもいけるんでは?
0678anonymous@fusianasan
垢版 |
2019/02/21(木) 12:33:12.02ID:hqaPbyf8
ネットボランチDNSが、i.open.ad.jpみたいに、NGN網内にほしいなあ
0679anonymous@fusianasan
垢版 |
2019/02/21(木) 13:16:37.60ID:???
ISPと契約してインターネットに出られるようにせず、NGN網内に閉じた形でVPNを構築するならネームを使うしかなかったわけだけど、インターネットに出られる前提なら、ネットボランチでもいいのでは? どのみちNGNのDNSでもインターネットの側の名前解決はできるわけだし。さらにi.open.ad.jpならその辺は意識しなくてよくなる。

ふと思ったけど、ネットボランチDNSはIPv4とIPv6の併用はできないんだっけ?
0680anonymous
垢版 |
2019/02/22(金) 00:17:17.85ID:???
経費削減したいんでしょ
0681anonymous
垢版 |
2019/02/22(金) 00:18:38.86ID:???
ネットボランチDNSって、水没とかで死んだルータの救済策ないのな。外部のDNS使うようにしちゃったよ
0682anonymous@fusianasan
垢版 |
2019/02/25(月) 01:37:04.19ID:???
>>673
やってみたけど全然速度でなくて諦めた
RTX1200同士だから1210ならマシかもしれん

最近DSLiteがVPN931言われるのうざい
0683sage
垢版 |
2019/02/25(月) 10:08:34.00ID:???
フレッツVPNはNVR500みたいなので使えるけど、ipv4 over ipv6 的なことできるのか?
ちなみにフレッツVPNの拠点側 RT57i も現役中 w
0685anonymous
垢版 |
2019/02/25(月) 23:43:22.33ID:???
ipsec使わなきゃ問題ないしな
0686anonymous@fusianasan
垢版 |
2019/02/26(火) 19:36:58.08ID:???
rtx1210を使って、lan3ポートのVPNワイドからきたパケットをlan1につないでるutmを経由してLAN2ポートのISPからインターネットにでるなんてことはできないですよね。
LAN2にUTMぶら下げればいいんだろうけど、それのためにGWにわざわざルーターつけたくないし、netvolante使いたいけどそれだけのためにnvr510も買いたくない
0687anonymous@fusianasan
垢版 |
2019/02/26(火) 20:23:18.68ID:???
出来ます。
ただ問題もあります。大した問題であるかどうかは環境次第としか。
そもそも意味あるかどうかも疑問ですが出来ます。
0688686
垢版 |
2019/02/26(火) 21:35:57.94ID:???
>>687
出来るんですか!?
やりたいこととしては、全拠点にUTM入れる予算はないので、インターネットはセンター出しで拠点間はNGNということでUTMなしで通信させてもいいかなって考えです。
ルーティングを散々考えたんですけど、そもそもルーティングテーブルを書くにもインターネットに出るルーティングをUTMのアドレスにしてUTMからルーターにルーティングを切ったらループするだけで肝心の外にでれないんですよね。
リファラーみたいな条件でルーティングできるなら可能かもしれないですけど果たして方法があるのか。
0689anonymous@fusianasan
垢版 |
2019/02/26(火) 22:02:13.02ID:???
>>688
リファラーみたいな条件と言ってるのは、フィルタ型ルーティングで 始点 IP アドレスの指定をするだけじゃね?
0691anonymous@fusianasan
垢版 |
2019/02/26(火) 23:00:42.02ID:Npk2LKPs
私も教えて欲しい。現在VPNルーター→UTM→インターネットルーターという接続なんですよ。フィルター型ルーティングでVPN通信以外を全てUTMに流して…あとはどうすればいい?
0692686
垢版 |
2019/02/26(火) 23:11:22.82ID:???
>>689
フィルター型ルーティングで出来るんですね。
そうするとデフォルトゲートウェイをUTMにしてUTM上でルーターを指定すれば、ってUTMブリッジモードだった、やっぱ無理なのでは。
0693686
垢版 |
2019/02/26(火) 23:16:57.06ID:???
>>691
恐らくその構成だとUTMってブリッジモードじゃないですか?
UTMをルーターモードにしても結局ルーターをデフォルトゲートウェイにしたらルーターのルーティングで無理だと思うんですよね。

ルーターはVPNは各拠点のトンネル、インターネットはUTMのアドレスにルーティングするわけだから、UTMからインターネットにつなげてくれってルーティングしても、UTMにまたルーティングするだけですよね。
仮にできたとして、折り返しの通信でUTMからきた通信だけlan2にとばすんであれば折り返しは出来ない気がするし。
0694anonymous@fusianasan
垢版 |
2019/02/26(火) 23:56:28.08ID:???
---[ONU]---[UTM]
       |
---[ONU]---[RTX]--->LAN

なんか盛大にズレる気がするけどこんなつなぎ方ではだめ?
0696anonymous@fusianasan
垢版 |
2019/02/27(水) 00:11:59.53ID:???
マジレスするとUTMに行って帰って別口から出す課題なんてVPNワイド全然関係無い

UTMでNATしてアドレス書き換えりゃ楽勝
けどUTMからルータに戻す必要無くね?
フレッツ1本で全部やりたいとかなら面白そうな案件だな
0697anonymous@fusianasan
垢版 |
2019/02/27(水) 01:11:05.15ID:???
物理経路
---[ONU]---[UTM]---[RTX]---本部LAN

これでダメなの?
VPN(カプセル化パケット ==== )は

論理経路
====>onu===>utm===>rtx(カプセル処理。rtx内部で折り返し)---->utm---->onu---->

これでいいんじゃないの?

UTMの処理速度が問題になった場合にだけ極力ボトルネック減らすなら

---[ONU]----(1)----[UTM]---[RTX]---本部LAN
    |                |
     +-------(2)------------+

VPN(カプセル化パケット ==== )は

====>onu==(2)==>rtx---->utm--(1)-->onu---->

ってやればカプセル化パケットは(2)を通るようにすれば、UTMを通らないのでUTMの負荷は少なくなるかな
0698686
垢版 |
2019/02/27(水) 03:45:12.81ID:???
現状のつなぎは

拠点          
-[ルーター]--[ONU]--vpnワイド-

本社

-[ONU]-[HUB]-[VPNルーター]-本社ネットワーク
      |--[インターネットルーター]-[UTM]--|

VPNルーターのLAN3を使ってUTMとインターネットルーター用の別セグメントをたててる。
コスト削減とUTMを拠点に買いたくないのため、拠点はプロバイダー解約してVPNワイドにしてる感じ。

フレッツ1契約で纏めつつ機器もごちゃつかせたくないってのが本音で

-[ONU]-[VPNルーター]-本社ネットワーク
      |--[UTM]--|

こんなイメージで、VPNルーターのLAN1からUTMのLANに通し、UTMのWANからVPNルーターのLAN3に返す、インターネットとVPNはLAN2に任せる。
なんてことが出来たらほんと理想的。
0699686
垢版 |
2019/02/27(水) 03:47:47.58ID:???
ONUからUTMをルーターモードにして動かしたくないのはUTMがSophosのエントリークラスだからなのか、ルーターモードで動かすと負荷がでかいのかインターネットの表示が遅くて使い物にならないってので、ブリッジモードにしてつかうしかない理由もあります。
0700anonymous@fusianasan
垢版 |
2019/02/27(水) 09:30:42.59ID:???
コスト削減を言うならVPNワイドを使ってる時点で
0701anonymous
垢版 |
2019/02/27(水) 09:36:36.59ID:???
>>700
VPNワイドあれば拠点のISP代削れるからな
それよりもお客さん、そんなちょびちょびしたのケチるなら、ひかり電話専用ONUと共用したら?
なんて現場もそこそこある。5人ぐらいしかいない拠点だったりするのに
0702anonymous@fusianasan
垢版 |
2019/02/27(水) 09:39:16.60ID:???
VPNはインターネットでやることにして

---[ONU]---[ルータ(NAT)]---[透過UTM]---[RTX]--->LAN

こんなふうに繋いで
最上流のルータではUDP500とESPをRTXに静的マスカレード
RTXでIPsec。RTXではNATディスクリプタ書かなくてもいい
UTMにはUDP500とESPは素通しするポリシーを最上位に入れておくこと
0704686
垢版 |
2019/02/27(水) 10:06:59.76ID:???
コスト削減と申したのは、インターネットVPNを使用するにしても、ISPを経由すると言うことで5人くらいしかいない拠点にもUTMの設置を考慮しなければならないってことでしたのでUTMの費用とVPNワイドの費用で比較してVPNワイドを選択した限りです。
もっともNGNだから安心!なんてことは企業識別子わかってしまえばそんなことないという話は重々承知ですがISP経由よりはリスクが低いと言うことでご了承いただければと思います。
0705686
垢版 |
2019/02/27(水) 10:08:47.49ID:???
>>702
この場合ですとプロバイダー情報はRTXではなくルーターになりますよね?
そうするとルーターをRTXにしないとnetvolanteが使えないですよね。。
0706anonymous
垢版 |
2019/02/27(水) 10:12:17.82ID:???
企業識別子わかってりゃつながるもんなの?
回線に紐づいていると思ったけど?
0707anonymous@fusianasan
垢版 |
2019/02/27(水) 10:16:56.35ID:kOCZkggm
ワンコインISPとかあるし、固定IPアドレスのISPも1000円ちょいからある
VPNワイドは1800円だから、これ2拠点分にワンコインISPでも4100円
固定IPアドレスのISP2拠点なら2200円あたり

もしかして拠点側はRTXじゃないとか?
そもそもIPsec使えないルータ?
0708anonymous
垢版 |
2019/02/27(水) 10:21:08.71ID:???
東西またがってないなら網内V6でよくね?
0709686
垢版 |
2019/02/27(水) 10:33:21.70ID:???
>>707
拠点がRTX830で本社がRTX1210ですのでIPSECは設定可能です。
ただしISP経由で外部からアクセス可能である以上拠点でISPを使うのであればセキュリティ対策は必要かと思います。
VPN通信以外フィルタリングするという話は一度提案しましたが駄目でした。

>>708
V6オプションでのVPNはやっていたのですが、トラブル時にNTTでは対応していただけなく、またサポート窓口がないため、トラブル時のリスクが高いとのことでVPNワイドになりました。
0710anonymous@fusianasan
垢版 |
2019/02/27(水) 10:48:20.64ID:???
お金を出せないなら、セキュリティの意識はその程度ってことか・・

ということであれば >>698 の通りの現状の構成がベストだと思う
0711anonymous@fusianasan
垢版 |
2019/02/27(水) 10:55:23.33ID:???
>>709
こうやればいい
---[ONU]---[RTX]--(1)--[UTM]--(2)--[HUB]--------本部LAN
         |                 |
         +-----------(3)----------+


拠点LAN VPN ======onu====rtx----(3)-----(hub)----本部LAN

拠点LAN VPN ======onu====rtx----(3)-----(hub)----utm ---rtx----onu---インターネット

(3)に繋いだRTXのプライベートアドレスの処理は
NATでも、逆NATでも、192.168.0.xxx/32を振るでもいくらでもお好きに。
0712686
垢版 |
2019/02/27(水) 11:02:46.45ID:???
>>711
RTXのルーティングってどのように設定すればよろしいのでしょうか、またこの構成だと社内LANからUTM経由しないで通信する経路もありますがそこのルーティングはどの機械がやるのでしょうか?
0713anonymous@fusianasan
垢版 |
2019/02/27(水) 11:17:11.72ID:???
ルーティングは設計方法によって変わってくる。大して難しくはない。
UTMを通ってない(3)から外部へのパケットはRTXのフィルタリングで落せばいい。VPNのパケットはスルーで。
0715686
垢版 |
2019/02/27(水) 11:57:10.18ID:???
>>713
言葉足らずですみません。
インターネットはUTMへ、VPNは(3)経由でRTXへっていうルーティングテーブルを管理する機械が見あたらない気がします。

パソコン一台一台にルートコマンドでVPNセグメントはRTXのアドレス、それ以外はUTMセグメントのRTXノアドレスとか設定すれば出来そうだけだ、RTXに設定するのではそもそもRTXに到達するまでのルーティング制御する機械がわからないです。
0717hage
垢版 |
2019/02/27(水) 12:07:55.71ID:???
>>704
UTM、一箇所のほうが管理コストは下げられますもんね。
VPNワイドの2000円弱なんて端金だし、ISP 経由で IPSec 張る必要がないのはメリット
0718686
垢版 |
2019/02/27(水) 13:00:17.94ID:???
>>711
やってみましたがそもそも外にでれなかったです。

本社PCを192.168.1.10に設定
拠点PCを192.168.2.10に設定
拠点RTXを192.168.2.1に設定
UTMを192.168.1.100に設定
本社RTXをLAN1に192.168.1.1に設定
   LAN2はVPNワイド、プロバイダー用

RTXのデフォルトゲートウェイをpp1にすれば当然本社は繋がるけど支店はUTMを経由せず。
デフォルトゲートウェイをUTMのアドレスにしたらインターネットでれず。

本社RTXのLAN3を(3)ルート用で192.168.10.1に設定してUTMに(3)ルート用のip192.168.10.100をDMZポートに設定して、RTXのルーティングをUTMのDMZポートのIPでフィルタリング型ルーティングでUTM発の通信をpp1にしてみればできるのでしょうか。

でもこれだと本社も一度ルーターいってからUTMに迂回してインターネット出ることになりますよね。
0719686
垢版 |
2019/02/27(水) 13:04:13.76ID:???
本社はUTMでNAT使うから迂回しなくてよかったですね。すみません。
0721anonymous@fusianasan
垢版 |
2019/02/27(水) 14:38:31.85ID:???
>>719
エスパーではないので良く分からないのですが、

「UTMでNAT使う」と書いてあるということは、(1)と(2)を別セグメントにできるということですか?

それならきちんと設定すれば問題なく使えると思います。
本社RTXのLAN3を(3)ルート用で192.168.10.1に設定して
UTMの(1)側のIPを192.168.1.100、UTMの(2)側のIPを192.168.10.100にして
本社のPCを192.168.「10」.10に変更して
本社RTXのルーティング的には始点:拠点PC−−>終点:外部ネットは

ip route default gateway pp 1 filter 100000 gateway 192.168.10.100
ip filter 100000 pass 192.168.2.0/24 * * * *

# VPN
ip route 192.168.2.0/24 gateway tunnel 1

で、本社PCのルーティングが面倒な件ですが、
DHCPを使ってる場合は、Classless Static Routes optionを使えば解決できます。

192.168.2.0/24へのパケットを LAN3「192.168.10.1」にルーディングする場合は16進数にして
C0:A8:02:00/18 をC0:A8:0A:01なので
dhcp scope option 100001 121=18,C0,A8,02,00,C0,A8,0A,01
とか追加してあげればいいと思います。
DHCPを使って無かったりダメな端末がいる場合はまた別の方法があります。proxyarpとか。
もちろん端末全部手動でやる方法もありますが。
0722686
垢版 |
2019/02/27(水) 17:20:06.36ID:???
>>720
説明不十分ですみません。
機械はSophosのxg105を使用しております。
機器仕様はメーカーのホームページやマニュアルを見ていただくしかないので説明は難しいですね。

>>721
確認しましたら(1)と(2)を別セグメントにすることはブリッジモードで出来ませんでした。
あくまでブリッジでスルーする時にUTMのアドレスを送信元に設定できるというだけです。
ですので、UTMのポート1と2でブリッジ、ポート3と4でブリッジに設定しそれぞれの出口を設定

ip route default gateway 192.168.10.100 filter 100000 gateway pp1

ip filter 100000 pass 192.168.10.100/32 * * * *

とかやるしかないのかなって思います。
0724anonymous@fusianasan
垢版 |
2019/02/27(水) 20:38:31.23ID:???
あ、間違いました
192.168.1.1と192.168.1.2とか
0725anonymous@fusianasan
垢版 |
2019/02/27(水) 22:07:30.13ID:???
UTMの仕様が私の推測通りなら以下のページの応用でこんな感じで行けるのでは?
http://www.rtpro.yamaha.co.jp/RT/docs/example/local-ip.html#6

---[ONU]---[RTX]-lan3-(1)--[UTM]--(2)--[HUB]--------本部LAN
         |                  |
        lan1-----------(3)----------+
RTX
LAN3 192.168.1.252/31
LAN2 IP無し
LAN1 192.168.1.1/24

UTM WAN 192.168.1.253/24
UTM LAN 192.168.1.2/24

ip route default gateway 192.168.1.2/24 filter 100000 gateway pp 1
ip filter 100000 pass 192.168.2.0/24 * * * *

ip route 192.168.2.0/24 gateway tunnel 1
ip lan1 proxyarp off
ip lan3 proxyarp off

本部PCに以下のルートを追加 DHCP等で
同じ設定をUTMにも
192.168.2.0/24宛ては192.168.1.1に
0726anonymous@fusianasan
垢版 |
2019/02/28(木) 00:27:09.61ID:???
もうconfig大喜利は良いよ
金ケチってるが故の変な構成は何の役にも立たん
0727anonymous
垢版 |
2019/02/28(木) 00:54:18.99ID:???
結局自分で解決できないようじゃ
とらぶった時に解決できなんじゃね?
0728686
垢版 |
2019/02/28(木) 02:40:58.26ID:???
>>723
8ページのIP設定は最初のアクティベーションを行うためにルーターモードで一時的につなぐ設定の為であり、
目的のブリッジモードで使用するための実際の設定は12〜13ページにあるとおり、LANポートとWANポートのポート番号決めてそこを通るためのIPを1つ割り当てるのしかできないんです。

>>725
明日この構成を組んでみます。
この設定のままだと拠点はルーターに入ったらフィルタルールに従ってそのままpp1で外に出てしまうと思うのでgatewayを逆に書けばいい感じですよね。
本部LANの端末IPはLAN1のサブネットマスクの範囲外にすれば自ずとUTMに飛ぶからそのままで大丈夫でVPNのルーティングはルーター任せでも平気な気はしますね。

>>726
申し訳ありません。
自分でわからないなりにここの先輩方にご教授いただきながら知識として身につけていこうと思っていましたがその考えが甘えだったみたいで。
自分で勉強して駄目ならRTX素直に買ってセグメント増やして使うようにします。

>>727
トラブル対応も出来るようにするために設定の方法を実機で動きを確認しながらやっておりましたが、身の丈に合わないことはやめておきます。
お見苦しい姿を見せてしまい申し訳ありませんでした。
0729anonymous@fusianasan
垢版 |
2019/02/28(木) 08:09:48.45ID:???
金ないってゴネる客に限って注文多いから
変態構成になって運用が大変になる

変態WAN構成で、一説にはCCIEのラボの方が簡単では?と言われる
俺が担当したやつを見せてやりたい
勝手にケーブル抜く糞野郎すらいるけど
拠点側に気軽に行けないから、トラブルシュートすら大変だよ
0730anonymous@fusianasan
垢版 |
2019/02/28(木) 21:41:07.96ID:???
つながらないって騒いで現場行ったらLAN2に刺してあるはずのLANケーブルがLAN3になってたりなw
なにが何もしてないだよ
0731anonymous@fusianasan
垢版 |
2019/02/28(木) 22:19:50.99ID:???
あるある、何もしてないって言ってたのに設置場所変わってて動かしただけで何もしてないっていうw
0732anonymous@fusianasan
垢版 |
2019/03/01(金) 00:13:12.90ID:???
>>725
どうやったら、そんなふうに、
複数行にまたがったアスキーイラストが描けるの?
ずれないのはどうして?
0733anonymous@fusianasan
垢版 |
2019/03/01(金) 00:18:20.96ID:???
今年は新機種出るかね?
そろそろWiFi内蔵ルータ復活させても良いと思う
まあでもWLX302と202で懲りたからヤマハのWiFiは買わんけど
0736anonymous@fusianasan
垢版 |
2019/03/01(金) 07:18:34.87ID:???
>>733
何かよくなかったの?
オフィスと家と実家とで三台使ってる限りでは特に不満無し。オフィスの方はぶら下がる台数が何だかんだ多いのか、たまに詰まるような症状に見舞われることもあるけど、近隣他社とチャンネルが輻輳しまくってるし、そもそも環境がよくないからなぁ。
0737anonymous@fusianasan
垢版 |
2019/03/01(金) 08:29:34.18ID:???
>>736
うちも特に不具合ないが、不満点はAP一括管理がセグメント変わるとだめな点。wifi設定統一したくても、拠点とかでセグメント変わるとだめ。
■ このスレッドは過去ログ倉庫に格納されています

ニューススポーツなんでも実況