YAMAHA業務向けルーター運用構築スレッドPart21
■ このスレッドは過去ログ倉庫に格納されています
rtx1210を使って、lan3ポートのVPNワイドからきたパケットをlan1につないでるutmを経由してLAN2ポートのISPからインターネットにでるなんてことはできないですよね。
LAN2にUTMぶら下げればいいんだろうけど、それのためにGWにわざわざルーターつけたくないし、netvolante使いたいけどそれだけのためにnvr510も買いたくない 出来ます。
ただ問題もあります。大した問題であるかどうかは環境次第としか。
そもそも意味あるかどうかも疑問ですが出来ます。 >>687
出来るんですか!?
やりたいこととしては、全拠点にUTM入れる予算はないので、インターネットはセンター出しで拠点間はNGNということでUTMなしで通信させてもいいかなって考えです。
ルーティングを散々考えたんですけど、そもそもルーティングテーブルを書くにもインターネットに出るルーティングをUTMのアドレスにしてUTMからルーターにルーティングを切ったらループするだけで肝心の外にでれないんですよね。
リファラーみたいな条件でルーティングできるなら可能かもしれないですけど果たして方法があるのか。 >>688
リファラーみたいな条件と言ってるのは、フィルタ型ルーティングで 始点 IP アドレスの指定をするだけじゃね? 私も教えて欲しい。現在VPNルーター→UTM→インターネットルーターという接続なんですよ。フィルター型ルーティングでVPN通信以外を全てUTMに流して…あとはどうすればいい? >>689
フィルター型ルーティングで出来るんですね。
そうするとデフォルトゲートウェイをUTMにしてUTM上でルーターを指定すれば、ってUTMブリッジモードだった、やっぱ無理なのでは。 >>691
恐らくその構成だとUTMってブリッジモードじゃないですか?
UTMをルーターモードにしても結局ルーターをデフォルトゲートウェイにしたらルーターのルーティングで無理だと思うんですよね。
ルーターはVPNは各拠点のトンネル、インターネットはUTMのアドレスにルーティングするわけだから、UTMからインターネットにつなげてくれってルーティングしても、UTMにまたルーティングするだけですよね。
仮にできたとして、折り返しの通信でUTMからきた通信だけlan2にとばすんであれば折り返しは出来ない気がするし。 ---[ONU]---[UTM]
|
---[ONU]---[RTX]--->LAN
なんか盛大にズレる気がするけどこんなつなぎ方ではだめ? マジレスするとUTMに行って帰って別口から出す課題なんてVPNワイド全然関係無い
UTMでNATしてアドレス書き換えりゃ楽勝
けどUTMからルータに戻す必要無くね?
フレッツ1本で全部やりたいとかなら面白そうな案件だな 物理経路
---[ONU]---[UTM]---[RTX]---本部LAN
これでダメなの?
VPN(カプセル化パケット ==== )は
論理経路
====>onu===>utm===>rtx(カプセル処理。rtx内部で折り返し)---->utm---->onu---->
これでいいんじゃないの?
UTMの処理速度が問題になった場合にだけ極力ボトルネック減らすなら
---[ONU]----(1)----[UTM]---[RTX]---本部LAN
| |
+-------(2)------------+
VPN(カプセル化パケット ==== )は
====>onu==(2)==>rtx---->utm--(1)-->onu---->
ってやればカプセル化パケットは(2)を通るようにすれば、UTMを通らないのでUTMの負荷は少なくなるかな 現状のつなぎは
拠点
-[ルーター]--[ONU]--vpnワイド-
本社
-[ONU]-[HUB]-[VPNルーター]-本社ネットワーク
|--[インターネットルーター]-[UTM]--|
VPNルーターのLAN3を使ってUTMとインターネットルーター用の別セグメントをたててる。
コスト削減とUTMを拠点に買いたくないのため、拠点はプロバイダー解約してVPNワイドにしてる感じ。
フレッツ1契約で纏めつつ機器もごちゃつかせたくないってのが本音で
-[ONU]-[VPNルーター]-本社ネットワーク
|--[UTM]--|
こんなイメージで、VPNルーターのLAN1からUTMのLANに通し、UTMのWANからVPNルーターのLAN3に返す、インターネットとVPNはLAN2に任せる。
なんてことが出来たらほんと理想的。 ONUからUTMをルーターモードにして動かしたくないのはUTMがSophosのエントリークラスだからなのか、ルーターモードで動かすと負荷がでかいのかインターネットの表示が遅くて使い物にならないってので、ブリッジモードにしてつかうしかない理由もあります。 >>700
VPNワイドあれば拠点のISP代削れるからな
それよりもお客さん、そんなちょびちょびしたのケチるなら、ひかり電話専用ONUと共用したら?
なんて現場もそこそこある。5人ぐらいしかいない拠点だったりするのに VPNはインターネットでやることにして
---[ONU]---[ルータ(NAT)]---[透過UTM]---[RTX]--->LAN
こんなふうに繋いで
最上流のルータではUDP500とESPをRTXに静的マスカレード
RTXでIPsec。RTXではNATディスクリプタ書かなくてもいい
UTMにはUDP500とESPは素通しするポリシーを最上位に入れておくこと コスト削減と申したのは、インターネットVPNを使用するにしても、ISPを経由すると言うことで5人くらいしかいない拠点にもUTMの設置を考慮しなければならないってことでしたのでUTMの費用とVPNワイドの費用で比較してVPNワイドを選択した限りです。
もっともNGNだから安心!なんてことは企業識別子わかってしまえばそんなことないという話は重々承知ですがISP経由よりはリスクが低いと言うことでご了承いただければと思います。 >>702
この場合ですとプロバイダー情報はRTXではなくルーターになりますよね?
そうするとルーターをRTXにしないとnetvolanteが使えないですよね。。 企業識別子わかってりゃつながるもんなの?
回線に紐づいていると思ったけど? ワンコインISPとかあるし、固定IPアドレスのISPも1000円ちょいからある
VPNワイドは1800円だから、これ2拠点分にワンコインISPでも4100円
固定IPアドレスのISP2拠点なら2200円あたり
もしかして拠点側はRTXじゃないとか?
そもそもIPsec使えないルータ? >>707
拠点がRTX830で本社がRTX1210ですのでIPSECは設定可能です。
ただしISP経由で外部からアクセス可能である以上拠点でISPを使うのであればセキュリティ対策は必要かと思います。
VPN通信以外フィルタリングするという話は一度提案しましたが駄目でした。
>>708
V6オプションでのVPNはやっていたのですが、トラブル時にNTTでは対応していただけなく、またサポート窓口がないため、トラブル時のリスクが高いとのことでVPNワイドになりました。 お金を出せないなら、セキュリティの意識はその程度ってことか・・
ということであれば >>698 の通りの現状の構成がベストだと思う >>709
こうやればいい
---[ONU]---[RTX]--(1)--[UTM]--(2)--[HUB]--------本部LAN
| |
+-----------(3)----------+
拠点LAN VPN ======onu====rtx----(3)-----(hub)----本部LAN
拠点LAN VPN ======onu====rtx----(3)-----(hub)----utm ---rtx----onu---インターネット
(3)に繋いだRTXのプライベートアドレスの処理は
NATでも、逆NATでも、192.168.0.xxx/32を振るでもいくらでもお好きに。 >>711
RTXのルーティングってどのように設定すればよろしいのでしょうか、またこの構成だと社内LANからUTM経由しないで通信する経路もありますがそこのルーティングはどの機械がやるのでしょうか? ルーティングは設計方法によって変わってくる。大して難しくはない。
UTMを通ってない(3)から外部へのパケットはRTXのフィルタリングで落せばいい。VPNのパケットはスルーで。 >>712 の解はわかるけど >>711 >>713 がどんな回答をするかヌルっと眺めてる >>713
言葉足らずですみません。
インターネットはUTMへ、VPNは(3)経由でRTXへっていうルーティングテーブルを管理する機械が見あたらない気がします。
パソコン一台一台にルートコマンドでVPNセグメントはRTXのアドレス、それ以外はUTMセグメントのRTXノアドレスとか設定すれば出来そうだけだ、RTXに設定するのではそもそもRTXに到達するまでのルーティング制御する機械がわからないです。 >>704
UTM、一箇所のほうが管理コストは下げられますもんね。
VPNワイドの2000円弱なんて端金だし、ISP 経由で IPSec 張る必要がないのはメリット >>711
やってみましたがそもそも外にでれなかったです。
本社PCを192.168.1.10に設定
拠点PCを192.168.2.10に設定
拠点RTXを192.168.2.1に設定
UTMを192.168.1.100に設定
本社RTXをLAN1に192.168.1.1に設定
LAN2はVPNワイド、プロバイダー用
RTXのデフォルトゲートウェイをpp1にすれば当然本社は繋がるけど支店はUTMを経由せず。
デフォルトゲートウェイをUTMのアドレスにしたらインターネットでれず。
本社RTXのLAN3を(3)ルート用で192.168.10.1に設定してUTMに(3)ルート用のip192.168.10.100をDMZポートに設定して、RTXのルーティングをUTMのDMZポートのIPでフィルタリング型ルーティングでUTM発の通信をpp1にしてみればできるのでしょうか。
でもこれだと本社も一度ルーターいってからUTMに迂回してインターネット出ることになりますよね。 本社はUTMでNAT使うから迂回しなくてよかったですね。すみません。 >>719
エスパーではないので良く分からないのですが、
「UTMでNAT使う」と書いてあるということは、(1)と(2)を別セグメントにできるということですか?
それならきちんと設定すれば問題なく使えると思います。
本社RTXのLAN3を(3)ルート用で192.168.10.1に設定して
UTMの(1)側のIPを192.168.1.100、UTMの(2)側のIPを192.168.10.100にして
本社のPCを192.168.「10」.10に変更して
本社RTXのルーティング的には始点:拠点PC−−>終点:外部ネットは
ip route default gateway pp 1 filter 100000 gateway 192.168.10.100
ip filter 100000 pass 192.168.2.0/24 * * * *
# VPN
ip route 192.168.2.0/24 gateway tunnel 1
で、本社PCのルーティングが面倒な件ですが、
DHCPを使ってる場合は、Classless Static Routes optionを使えば解決できます。
192.168.2.0/24へのパケットを LAN3「192.168.10.1」にルーディングする場合は16進数にして
C0:A8:02:00/18 をC0:A8:0A:01なので
dhcp scope option 100001 121=18,C0,A8,02,00,C0,A8,0A,01
とか追加してあげればいいと思います。
DHCPを使って無かったりダメな端末がいる場合はまた別の方法があります。proxyarpとか。
もちろん端末全部手動でやる方法もありますが。 >>720
説明不十分ですみません。
機械はSophosのxg105を使用しております。
機器仕様はメーカーのホームページやマニュアルを見ていただくしかないので説明は難しいですね。
>>721
確認しましたら(1)と(2)を別セグメントにすることはブリッジモードで出来ませんでした。
あくまでブリッジでスルーする時にUTMのアドレスを送信元に設定できるというだけです。
ですので、UTMのポート1と2でブリッジ、ポート3と4でブリッジに設定しそれぞれの出口を設定
ip route default gateway 192.168.10.100 filter 100000 gateway pp1
ip filter 100000 pass 192.168.10.100/32 * * * *
とかやるしかないのかなって思います。 >>722
--(1)--[UTM]--(2)--の
1と2は別々のIPアドレスを指定できますか?
192.168.1.2と192.168.1.2とか
ここの8ページを見る限りできそうなのですが。
https://www.sophos.com/ja-jp/medialibrary/PDFs/japan/support-documents/xgfw-ed-br-mode-jp.ashx
あとアドレス書き換えはWAN側のアドレスを使うのですよね? あ、間違いました
192.168.1.1と192.168.1.2とか UTMの仕様が私の推測通りなら以下のページの応用でこんな感じで行けるのでは?
http://www.rtpro.yamaha.co.jp/RT/docs/example/local-ip.html#6
---[ONU]---[RTX]-lan3-(1)--[UTM]--(2)--[HUB]--------本部LAN
| |
lan1-----------(3)----------+
RTX
LAN3 192.168.1.252/31
LAN2 IP無し
LAN1 192.168.1.1/24
UTM WAN 192.168.1.253/24
UTM LAN 192.168.1.2/24
ip route default gateway 192.168.1.2/24 filter 100000 gateway pp 1
ip filter 100000 pass 192.168.2.0/24 * * * *
ip route 192.168.2.0/24 gateway tunnel 1
ip lan1 proxyarp off
ip lan3 proxyarp off
本部PCに以下のルートを追加 DHCP等で
同じ設定をUTMにも
192.168.2.0/24宛ては192.168.1.1に もうconfig大喜利は良いよ
金ケチってるが故の変な構成は何の役にも立たん 結局自分で解決できないようじゃ
とらぶった時に解決できなんじゃね? >>723
8ページのIP設定は最初のアクティベーションを行うためにルーターモードで一時的につなぐ設定の為であり、
目的のブリッジモードで使用するための実際の設定は12〜13ページにあるとおり、LANポートとWANポートのポート番号決めてそこを通るためのIPを1つ割り当てるのしかできないんです。
>>725
明日この構成を組んでみます。
この設定のままだと拠点はルーターに入ったらフィルタルールに従ってそのままpp1で外に出てしまうと思うのでgatewayを逆に書けばいい感じですよね。
本部LANの端末IPはLAN1のサブネットマスクの範囲外にすれば自ずとUTMに飛ぶからそのままで大丈夫でVPNのルーティングはルーター任せでも平気な気はしますね。
>>726
申し訳ありません。
自分でわからないなりにここの先輩方にご教授いただきながら知識として身につけていこうと思っていましたがその考えが甘えだったみたいで。
自分で勉強して駄目ならRTX素直に買ってセグメント増やして使うようにします。
>>727
トラブル対応も出来るようにするために設定の方法を実機で動きを確認しながらやっておりましたが、身の丈に合わないことはやめておきます。
お見苦しい姿を見せてしまい申し訳ありませんでした。 金ないってゴネる客に限って注文多いから
変態構成になって運用が大変になる
変態WAN構成で、一説にはCCIEのラボの方が簡単では?と言われる
俺が担当したやつを見せてやりたい
勝手にケーブル抜く糞野郎すらいるけど
拠点側に気軽に行けないから、トラブルシュートすら大変だよ つながらないって騒いで現場行ったらLAN2に刺してあるはずのLANケーブルがLAN3になってたりなw
なにが何もしてないだよ あるある、何もしてないって言ってたのに設置場所変わってて動かしただけで何もしてないっていうw >>725
どうやったら、そんなふうに、
複数行にまたがったアスキーイラストが描けるの?
ずれないのはどうして? 今年は新機種出るかね?
そろそろWiFi内蔵ルータ復活させても良いと思う
まあでもWLX302と202で懲りたからヤマハのWiFiは買わんけど >>733
何かよくなかったの?
オフィスと家と実家とで三台使ってる限りでは特に不満無し。オフィスの方はぶら下がる台数が何だかんだ多いのか、たまに詰まるような症状に見舞われることもあるけど、近隣他社とチャンネルが輻輳しまくってるし、そもそも環境がよくないからなぁ。 >>736
うちも特に不具合ないが、不満点はAP一括管理がセグメント変わるとだめな点。wifi設定統一したくても、拠点とかでセグメント変わるとだめ。 RTX830(最新ファームウェア)で
IPv6(v6プラス)と、IPv4(PPPoE)の設定を入れて
内部からインターネットにアクセスするときは、IPv6 の接続で通信
外部から IPv4アドレスにアクセス来たときは、許可した設定で内部にアクセス可能にする
なんてことは可能でしょうか? 外から来た場合はサーバーにアクセスするんだろうけど
サーバーのIPアドレスとポート番号をフィルターに設定して
フィルター型ルーティングでPPPoEに流すようにすればOK そこでフィルター型ルーティング、必要?
内側からインターネットにアクセスする時にどの経路を通すかを制御するのには必要だけど。 ここって分かってる奴と本物の素人が同じ土俵で会話してるから
話が全然噛み合ってねえ・・・
役に立たんし面白くもない >>744
私も10年前は本物の素人だった。
このスレに随分助けてもらいました。 >>746
おう!何も問題なく運用出来てるぞ
お前らもたまには役に立つな
褒めて使わす >>743
外部からの着信には同じ経路を逆に辿って返信しなきゃな 同じ経路を辿って返信しないとな
NATとかあるしIPアドレスが違う所から返信するような事にならないために ありがとうございます。
なんとかandroidでVPN接続できるようになりました。
ただ、PCからはうまくアクセスできません。
YMS- VPN8 で接続に失敗します。
原因としては何が考えられるでしょうか。 ちゃんと買ってるならヤマハがサポート窓口になる
むしろそのためにあんなフリーソフトみたいなUIのソフト客に売ってるんだしな TelnetでログインできるのにGUIだとログイン情報が違って弾かれる
ユーザー名って何入れればいいのこれ・・・ 違うWebブラウザを使う
RTX1210ぐらいまではサポートがIE限定だったような。 ユーザー名空欄で、なおかつchromeじゃダメでIEでOKですた
ありがとう。 L2TP接続のVPN作るとき AES256 と SHA256 選んでたのが
PC から接続できなかった理由でした。
Galaxy s9 からは問題なく接続できたのにね
PCのほうが対応が弱いって意外 VistaのときにMS-CHAPv2必須とかケチなこと言いだして古いルータ非対応にさせたくせになぁ・・・ >>760
流石はSLA無しのサービス
業務で使えるレベルじゃないな >>761 意外でも何でもないだろ?
スマホの暗号化とPCの暗号化ではどう考えてもスマホの方が必要性が高い
Linuxは5.0で正式にChaCha20に対応してきたし
スマホはあと1年・2年でAESを捨てて来るんじゃね >>759
RTX1200も、RTX1210も、
RTX57iでさえ、
Chromeでつかえているぞ。 >>760
これって、yamahaは、
バックアップから復旧させているということなのかな。
根本的な解決をしないと、また同じ問題が起こるのではないか? >>760
3/11に会社〜自宅のVPNが回復しなかった原因はそれか >>767
Chromeでパスワード要求出なかったかパスワード通らないみたいな経験あるな。バージョンの問題とかありそうだけど >>766 PCで合ってるだろ?
LinuxだろうとMACだろうとスマホの方が必要性が高い 対応してる暗号の種類っていう意味ならOSとかそれ上で動かすソフトによるだけ >>764
業務でDDNSなんてあり得ない
しかも無料とか >>771
客に使えなくなる可能性があるということを言ってなかったり
使えなかったときの対処法を客に教えてなかったり
別のDDNSサービスを使って経路の冗長化をやってなかったりしたら怒られて当然かもしれない
ヤマハのDDNSなんか過去に何回も障害が起こってるんだから
障害が起こっても大丈夫なようにやってるのが普通でしょ 結局のところ固定グローバルIP契約してもらってるな >>771
復旧日時3月11日ってなってるけどどうみてもログ上は12日あたりまで障害起きてたよなと思ったらしれっとサイト書き換えてやがるし
>netvolante.jpドメインの名前解決に失敗する
こんなの書いてなかったろ。
最近年1回ぐらいでつながらない系の障害起きてるんだよなぁ。
ASAHIネットの固定IP800円ぐらいだし、OCNメールも調子悪いから入れ換え提案しちまうかな・・・・ ipsec ike remote address 1 第一候補 第二候補 第三候補
って第一候補が失敗したら第二で接続とか
そういう障害対策してほしい ディジタル通信モードは2024年1月で終了。
ISDN契約維持費考えたらLTEドングルで十分なんだよなぁ
いっそ、RTX1220Wみたいな専用製品つくって、LTEドングル内蔵品(アンテナ外付対応)を出して欲しい
どうせドングルぶらぶらして外れちゃったりしてるし >>779
トンネル用ルーティングどうしようと思ってたけど
http://www.rtpro.yamaha.co.jp/RT/docs/example/backup/vpn_backup_example8.html#rt1
が一番楽そう。
頭悪い俺用メモ(本社、1拠点)
〓本社側
・トンネル2作成
既存トンネル1のremote nameを変えたもの
例:ipsec ike remote name 2 kyoten-backup key-id
・バックアップ設定追加
tunnel select 1 (既存トンネル)
tunnel backup tunnel 2 switch-interface=on
〓拠点側
・トンネル2作成
ipsec ike remote address 2 <※本社DDNSホスト名>
ipsec ike local name 2 kyoten-backup key-id
※本社にある監視カメラとか独自に取得してるDDNSホスト名
DiCEをサーバに仕込んでもいいかも
・バックアップ設定追加
tunnel select 1 (既存トンネル)
tunnel backup tunnel 2 switch-interface=on
〓障害試験
no ipsec ike remote address 1を実行して1分ぐらい待つ とあるWEB会議システムで
ip filter 100 pass * * udp * *
こんな感じでUDPの全IP・全ポート開放してくれ
と言われたんだが・・・
ip filter 10 reject * * udp,tcp 135 *
ip filter 20 reject * * udp,tcp * 135
ip filter 30 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 40 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 50 reject * * udp,tcp 445 *
ip filter 60 reject * * udp,tcp * 445
が有れば問題(リスク)ないのかな? ■ このスレッドは過去ログ倉庫に格納されています