X

NEC UNIVERGE IX2000/IX3000 運用構築スレ Part10

■ このスレッドは過去ログ倉庫に格納されています
1sage
垢版 |
2020/05/27(水) 06:07:35.83ID:cuUt+cEE
NEC UNIVERGE IX2000/IX3000シリーズに関するスレです

【公式サイト】
UNIVERGE IX2000/IX3000シリーズ: ネットワーク製品: 製品 | NEC
http://jpn.nec.com/univerge/ix/

前スレ：NEC UNIVERGE IX2000/IX3000 運用構築スレ Part9
https://mao.5ch.net/test/read.cgi/network/1552448321/
2020/09/01(火) 09:29:05.48ID:???
>>218
フレッツから届くipv6をインターフェース1.0に設定して、v6プラスのトンネル設定してない？

私は、ブリッジインターフェースを作りの、1.0と1.1を含める。フレッツからのipv6はブリッジインターフェースBV0に設定。

そんな風にした気がする。今スマホからだから、記憶違いならごめん
2020/09/01(火) 10:35:28.44ID:???
>>220
そういう意味です
2020/09/01(火) 10:37:43.42ID:???
>>219
下記ページの設定例1を参考にしました。

設定例1　v6プラス（MAP-E方式）の設定 - IPv6 RA
https://jpn.nec.com/univerge/ix/Support/ipv6/v6plus-mape/index.html
224anonymous@fusianasan
垢版 |
2020/09/01(火) 10:45:03.88ID:xZEW9fGo
>>221
おそらく仰られているような状態だと思います。
ブリッジインターフェースを試してみることにします。
2020/09/01(火) 13:20:02.10ID:???
先程の設定例1を下記のように修正してみました。
まだ実機で試せていないのですが、おかしい箇所はないでしょうか？

ip ufs-cache max-entries 20000
ip ufs-cache enable
ip route default Tunnel0.0
ip dhcp enable
!
ipv6 ufs-cache max-entries 10000
ipv6 ufs-cache enable
ipv6 dhcp enable
!
proxy-dns ip enable
proxy-dns ip request both
+ bridge irb enable # ブリッジを有効化
!
ip dhcp profile dhcpv4-sv
dns-server 192.168.1.1
!
ipv6 dhcp client-profile dhcpv6-cl
information-request
option-request dns-servers
!
ipv6 dhcp server-profile dhcpv6-sv
dns-server dhcp
!
interface GigaEthernet0.0
no ip address
2020/09/01(火) 13:21:00.42ID:???
ipv6 enable
ipv6 dhcp client dhcpv6-cl
- ipv6 nd proxy GigaEthernet1.0
+ ipv6 nd proxy BVI0 # ipv6の向きをBVI0にする
no shutdown
!
interface GigaEthernet1.0
ip address 192.168.1.1/24
ip dhcp binding dhcpv4-sv
ipv6 enable
ipv6 dhcp server dhcpv6-sv
ipv6 nd ra enable
ipv6 nd ra other-config-flag
+ bridge-group 1 # ブリッジグループ1に指定
no shutdown
!
+interface GigaEthernet1.1 # VLANを追加
+ encapsulation dot1q 10 tpid 8100
+ auto-connect
+ ip address 192.168.12.1/24
+ ip dhcp binding dhcpv4-sv1.1
+ ipv6 enable
+ ipv6 dhcp server dhcpv6-sv1.1
+ ipv6 nd ra enable
+ ipv6 nd ra other-config-flag
+ bridge-group 1 # ブリッジグループ1に指定
+ no shutdown
2020/09/01(火) 13:21:20.07ID:???
+!
+interface BVI0
+ ip address 192.168.24.2/24 # ONU側のipアドレス指定
+ ipv6 enable
+ ipv6 dhcp client dhcpv6-cl
+ ipv6 nd proxy GigaEthernet1.0
+ bridge-group 1 # ブリッジグループ1に指定
+ no shutdown
!
interface Tunnel0.0
tunnel mode map-e
ip address map-e
ip tcp adjust-mss auto
ip napt enable
+ bridge-group 1 # ブリッジグループ1に指定
no shutdown
2020/09/01(火) 17:06:52.60ID:???
とりあえず、トンネルにはブリッジグループに入れない

ブリッジインターフェースの話を出してて申し訳ないけど、自分の構成をみたら、ixルーターを複数台繋げてたから、構成がだいぶ違った、

とりあえず、ブリッジインターフェースにipv6を与えて、トンネルさせてるのは私もやってるから問題ないと思う。

BRI0とGE1.0とGE1.1のそれぞれのインターフェースのDHCPサーバーが、他のインターフェースに流れる？この辺記憶になくて。インターフェースにipアドレスを設定しただけではダメなきがした。
filterで不要なのは遮断する。
私は、それぞれのGEに別なルーターを繋げている。もしかしたら設定に断念したのかもしれない
ix3110にix2105を繋いでる
2020/09/01(火) 17:11:33.32ID:???
思い出した。
拠点の方のひかり電話のhgwをixの配下に設置するために、ポートvlanにしてたんだ。

interface gigabitether1:1.0
interface gigabitether1:2.0
の感じじゃない？

interface gigabitether1.1とかは、pppoeのインターフェースに使う時かも。それ以外は知らない
2020/09/04(金) 21:38:15.83ID:???
>>229
ありがとうございます
まだ実機で試せてませんが、試してみます
2020/09/19(土) 12:56:33.22ID:???
NECがAlaxalA に依頼してIXを作って、AlaxalAもNECから仕入れて独自ブランドで売ってるって事？
232anonymous
垢版 |
2020/09/23(水) 19:20:47.54ID:???
IX2215の電池を交換しようとしています。
NVRAMの内容をクリアしないように、電源オン状態で交換したほうがいいのでしょうか。
2020/09/23(水) 19:39:42.19ID:???
電池交換ってハンダ吸い取って基板から剥がさないと出来なくなかったか？
234anonymous
垢版 |
2020/09/23(水) 19:42:26.20ID:???
SNAPHAT なのでそのまま抜けると思いました
2020/09/24(木) 10:22:15.26ID:???
CLIでバックアップとっとけば消えてもいいじゃん
236anonymous
垢版 |
2020/09/24(木) 19:52:51.42ID:???
configは消えてもいいですが、システム的に消えてはいけない物もNVRAMに乗っていたら困るので質問しました。
configが消えるだけということでいいんでしょうか。
2020/09/24(木) 20:55:11.47ID:???
よく知らないけど、ブートストラップが消えたら二度と起動しなくなるのでまずいと思う
238anonymous
垢版 |
2020/09/25(金) 01:11:36.56ID:???
>>232
IX2015のときはNVRAMがFailになったあとにDIPSWでDiag走らせたらPassしたような気がするけど
IX2215ってDIPSWとかなかった気がするけど、どうなんだろ？
2020/09/28(月) 12:29:53.93ID:???
ジャンボフレームの設定を入れたいのですが、VLAN環境の場合どのインターフェースに対してmtuの設定入れるのが正解なのでしょうか。
2020/09/29(火) 08:44:58.83ID:???
Netmeister Ver6.0　が提供開始になりましたが。
Netmeisterのサイトから、ファームウェアダウンロード適用（Ver10.4.14）が適用
可能となっております。
2020/09/30(水) 06:43:40.65ID:???
>>240
速報サンクス
242anonymous@fusianasan
垢版 |
2020/10/03(土) 20:25:45.76ID:/kmC++nV
>>240
やっとVer10.4.14にアップできた
Netmeisterからアップデートすると失敗しやすいのかな？
10回くらい繰り返したよ
ちなみに、2215
243anonymous
垢版 |
2020/10/03(土) 20:35:58.03ID:???
IX2215のSNAPHATを交換してみました。
電源を切ったまま交換してみましたが、configの内容すら飛びませんでした。
POSTはNVRAM Test: Failedのままなので、
ブート中のccコマンドでリセットしてみましたが、とくに状況は変わらず。
NVRAMを一度消してみようと、SNAPHATを抜いて電源基板とメイン基板の接続も抜いて数十分放置してみましたが、
それでもNVRAMは消えていませんでした。
BRI設定用のDIPスイッチがあったので適当に変更してみましたが、もちろん何もなく。
電池と電源抜いてさらに長時間放置してみます。
2020/10/05(月) 19:15:36.53ID:???
ダウンロードサイトにも新ソフトウェア載ったね
しかし、サイトも改変されてchromeやedgeではラジオボタンが押せない．．．久々にIE使った

あと、IX2216が出るかと思いきやIX2235が出たんだね
2020/10/05(月) 19:33:11.38ID:???
ほえー、BRI無くしてクロックちょっと上がってFLASH倍、RAM4倍か。
えらいメモリー増やしたが、UDM向けかなぁ。
246anonymous
垢版 |
2020/10/06(火) 17:33:01.72ID:???
相変わらずweb設定しばらく触ってると
ページが表示されなくなる不具合は直ってない
httpsで繋ぐとこの問題起きないけど気持ち悪い
247anonymous@fusianasan
垢版 |
2020/10/06(火) 19:55:36.12ID:kgksrEX8
IX2235はCPUの周波数が早くなっているけど、基本性能はIX2215と同じままだな
IPsecトンネル数が2倍になっているのは、在宅勤務に対応したってことかな
IX2215を利用中の顧客は買い換える価値が無さそうだね
2020/10/07(水) 05:30:19.51ID:???
ここで教えてもらったが、中古IX2215はコスパ的に最高。
2020/10/07(水) 07:07:03.53ID:???
>>243
IX2215ってIX2015みたいなテスト用DIPSWがないので、どうやってテスト走らせるんだろう?
2020/10/07(水) 08:02:24.75ID:???
起動時にテスト動作してるけど、その話では無いのかな？
2020/10/07(水) 08:16:16.36ID:???
社内試験用のテストモードの話だね
ディップスイッチがあるとパスワードリカバリも出来て便利だったな
2020/10/07(水) 14:20:33.23ID:???
IX2215の次世代機に期待していたが、IX2235は8年も経過しているのに、
筐体が小さくなったのはいいものの、性能ほぼ変わらずですか・・・。

値段が下がるとかならまだよかったんだが、これじゃ触手は伸びませんな。
253anonymous
垢版 |
2020/10/07(水) 16:02:57.29ID:???
せやかて10Gはまだ出せまへんがな
時間稼ぎですわ
2020/10/08(木) 15:25:37.11ID:???
小型ONU直収できるIX2215出してくれ
255anonymous
垢版 |
2020/10/08(木) 17:52:40.28ID:???
2235は2207とほぼ同じサイズになったのか。
2207は負荷が低いときでも筐体がすごく熱くなるんだけど、2235は大丈夫なんだろうか。
2020/10/09(金) 13:55:17.15ID:???
設置スペースの都合でIX2207を使ってて、不人気機種だし後継機無しで販売終了したらどうしようかと思ってたが、ほぼ同サイズのIX2235が出てきてくれたのでしばらく安心だ
2020/10/10(土) 00:01:03.85ID:???
>>255
確かデータシートに
アイスノンを接着できるアイスノンオン機能があると書いてあったような
258anonymous@fusianasan
垢版 |
2020/10/17(土) 09:51:16.93ID:sAK1pv+m
NECのルータ最悪！サイテー！
熱膨張してる！3ヶ所も！
問い合わせもややこしい！不親切の極み！

クソ最悪！クソサイテー！
2020/10/17(土) 12:19:45.86ID:???
wifiルーターはスレチですよ
2020/10/20(火) 15:14:38.00ID:???
IX 2105でix2105-ms-9.3.11.ldcのファームウェア機器を初期化したのですが､
Web-GUI／かんたん設定にアクセスっする事ができません｡
どうすればいいのでしょうか｡
2020/10/20(火) 16:52:13.78ID:???
>>260
コンソールでhttp-serverの設定をする。
2020/10/20(火) 17:04:57.75ID:???
>>260
接続方法が正しい前提だとデフォルトコンソール設定がWEBではなくCLIになっているのでは？
ターミナルソフトからオペレーションモード（プロンプトRouter#）で
default-console web
で変更できる
2020/10/20(火) 17:08:52.87ID:???
あ、上記コマンド実行後はrestartをお忘れなく
2020/10/20(火) 22:08:28.15ID:???
オークションで買ったものハズレ引いて、調子悪い。壊れているんだろうな。
265260
垢版 |
2020/10/21(水) 02:54:44.92ID:???
ファームウェアを10.2.30に更新したらあっさりかんたん設定が動作しました｡
お騒がせしました｡イロイロ調べて頂きありがとうございました｡
2020/10/21(水) 11:37:48.55ID:???
>>258
家庭用ルーターのAtermのサポート体制や製造レベルを誤解しているのでは？
どちらの機器を利用しても、室温が高かったり、空調や冷却を確保するのは、
ユーザーが気をつける事象ですが。
267260
垢版 |
2020/10/21(水) 18:40:44.68ID:???
IX 2105 ファームウェアを10.2.30にてEO光ipv6通信できましたので設定書いておきます｡
公式ではeo光多機能ルーターまたは、eo光無線ルーターでしか利用できないと書いてあります｡
回線終端装置ーIX2105ーパソコン･Nasne･WG1200HS(ブリッジ)
WG1200HSからWifiでTH-43EX600とGalaxyS7それぞれ動作確認できてます｡

enable-config

ip route default GigaEthernet0.1
ip dhcp enable

ip dhcp profile lan1
dns-server 192.168.0.1
exit

ipv6 dhcp client-profile pd6c
ia-pd subscriber GigaEthernet1.0
option-request dns-servers
exit

proxy-dns ip enable
proxy-dns ipv6 enable
268260
垢版 |
2020/10/21(水) 18:41:17.37ID:???
ppp profile ppp_profile
authentication myname [認証ID]
authentication password [認証ID] [認証IDパスワード]

interface GigaEthernet1.0
ip address 192.168.0.1/24
ip dhcp binding lan1
ipv6 enable
ipv6 nd ra enable

interface GigaEthernet0.1
ppp binding ppp_profile
ip address ipcp
ipv6 enable
ipv6 dhcp client pd6c
ip napt enable
ip tcp adjust-mss auto
no shutdown
exit
write memory
exit
restart
269260
垢版 |
2020/10/21(水) 19:09:19.20ID:???
YamahaのNVR500なら超簡単に設定できますので､こんなの難しくて無理だって方は
そちらの方がいいかも｡
https://mevius.5ch.net/test/read.cgi/hard/1595164990/823
270sage
垢版 |
2020/10/22(木) 09:24:23.33ID:xBBcYon1
いつものatermスレの競合業者だろ。いっつもほざいてるで。
2020/10/22(木) 11:49:17.08ID:???
最新ファーム適用済みのNVRならひかり電話とv6プラスの環境でも脳死でマウスポチポチーするだけで使えるようになるからな
今のヤマハルーターは初心者向けだわ
2020/10/23(金) 23:33:33.61ID:???
とっとと、そっちへ誘導してあげた方が、双方に良いって事
273260
垢版 |
2020/10/25(日) 23:34:46.88ID:???
IX2105使いこなすと最高ですね｡ショートパケット処理がYamahaのルーターよりも明らかに速いので
ネトゲー等の通信安定性が全然違う｡
慣れるとGUIよりもTera Termで設定した方が楽と思えるようになってしまった｡

ntpをnictに設定する｡
ntp server 61.205.120.130

ipv6で設定する場合は
ntp server 2001:ce8:78::2

natセッション数を65535に設定(interface指定必要)
ip napt translation max-entries 65535

192.168.1.200のTCPポート12345を開ける(interface指定必要)
ip napt static 192.168.1.200 tcp 12345
2020/11/05(木) 10:49:01.78ID:???
会社のIX持って帰ってネトゲやったけど変化まったく感じなかったぞ
2020/11/06(金) 23:50:35.62ID:???
>>274
それはいい事ですね
2020/11/20(金) 13:34:01.94ID:???
IX2215のSTポートってISDNのTAと繋ぐところですか？

DSU-IX2215(LINE)-IX2215(S/T)-TA
277anonymous
垢版 |
2020/11/20(金) 14:38:17.87ID:???
INSもう忘れたけどLINEに差すなら外のDSUは要らんのでは
2020/11/21(土) 03:25:58.37ID:???
IX2106とオープンサーキットのv6directで運用してるけどIX2106 1台でv6Neo(JPNE動的IP)にも繋げてip routeで経路分けたりとかはできない？
Tunnel0.0にJPNE固定IP、Tunnel1.0にJPNE動的IPの設定して192.168.1.100(/32)だけTunnel1.0に向けたけど繋がらん…
2020/11/21(土) 07:54:21.49ID:???
VRF-Lite で2種の仮想ルータを作ってみては？
2020/11/21(土) 10:49:05.27ID:???
>>279
VRFってIPv6は対象外じゃなかったっけ？なのでたぶん2台置くしか無いんじゃ。
2215とかでWan側2port使えば行ける気はするけど。
2020/11/21(土) 13:35:03.83ID:???
>>280 設定事例見てみるとv6はルーティング含めて非対応だった

接続は確立してるっぽい(JPNEのv4アドレスが降ってきてる)のですごくもどかしい…
2020/11/22(日) 14:06:37.29ID:???
>>278
ネットワークの勉強した方がいいよ.
283Dhjjjnn
垢版 |
2020/11/23(月) 21:20:06.17ID:???
>>278
V6ダイレクトとJPNEの回線を併用して接続するには、LAN側に2回線分のIPV6アドレスがブリッジされる事も考慮しないと、
うまくいかないかと思いますが。

当然、ONUも２回線接続する形になります。

ix2215で接続するには、GE0とGE1のポートで、それぞれ接続して、LAN側もVLANで分割させて、それぞれのVLANポートに個別のIPV6アドレスを付帯させる様にしないと無理かと思いますが。

VLAN同士のルーティングが、VLANをまたいで利用する様な機器が有りましたら、ix2215ルーター以外に、L2スイッチが必要になるかと思います。

L2スイッチ側でシェアードポートを設定して、VLAN同士のルーティングをさせる形になるかと思います。
2020/11/24(火) 12:45:46.47ID:???
>>283
オープンサーキットのは多分1回線でもいけるぽいのだけど、エンドポイントのIPv6アドレスは別じゃ無いと駄目なんじゃ無いかなとWebの内容読む限りは。

なのDHCPv6もしくはRAで個別のアドレス受けるのに物理ポートが複数必要なんじゃないかと思ってる。
契約してるわけではないので、想像だけで書いてるけど。
285gytrytr
垢版 |
2020/11/25(水) 20:45:12.20ID:???
>>284
ごく一般的には、単一のONU回線網・プロバイダ機能から振られるDHCPv6アドレスに対して、
ルーターのLAN側へRA広告出来るI/Fは単一ですので、複数の個別のIPV6インターネット機能から
LAN側へ振る様にしないと、振り分けはうまくいかないですよ。

ちなみに、Yamaha系のルーターですと、下記のような形になるかと思いますが。

LAN2→VLAN1宛てのIPV6-RA広告
lan type lan1 port-based-option=divide-network
ipv6 prefix 1 ra-prefix@lan2::/64
ipv6 vlan1 address ra-prefix@lan2::1/64
ipv6 vlan1 rtadv send 1 o_flag=on
ipv6 vlan1 dhcp service server
ipv6 lan2 dhcp service client ir=on

LAN3→VLAN2へのRA広告
lan type lan1 port-based-option=divide-network
ipv6 prefix 2 ra-prefix@lan3::/64
ipv6 vlan2 address ra-prefix@lan3::1/64
ipv6 vlan2 rtadv send 1 o_flag=on
ipv6 vlan2 dhcp service server
ipv6 lan3 dhcp service client ir=on

基本的にIXルーターのポートベースVLANも同様かと思いますよ。
2020/11/26(木) 22:28:00.91ID:???
>>267

EO光電話サービスを利用していない状態でしょうか？
Mフラグの設定もOフラグの設定も投入されていませんが。
下記の様な構成になるかと思いますが。
GE0-I/FにてIPV6アドレスの取得、GE0.1-I/FにてIPV4-PPPOE接続、
IPV6アドレスの取得して、Oフラグ処理にてGE1-I/Fに
リンクローカルアドレスを配布する形、IPV6-DNSサーバの配布をさせる形
になるかと思います。
287vgfdhbdhb
垢版 |
2020/11/26(木) 22:30:01.15ID:???
>>267

ipv6 dhcp client-profile dhcpv6-cl
option-request dns-servers
ia-pd subscriber GigaEthernet1.0
ipv6 dhcp server-profile dhcpv6-sv
dns-server dhcp
ip route default GigaEthernet0.1
ip dhcp enable
ip dhcp profile lan1
dns-server 192.168.0.1
interface GigaEthernet1.0
ip address 192.168.0.1/24
ip dhcp binding lan1
ipv6 enable
ipv6 dhcp server dhcpv6-sv
ipv6 nd ra enable
ipv6 nd ra other-config-flag
interface GigaEthernet0.0
description IPV6
ipv6 enable
ipv6 dhcp client dhcpv6-cl
ipv6 nd proxy GigaEthernet1.0
no shutdown
interface GigaEthernet0.1
ppp binding ppp_profile
ip address ipcp
ip napt enable
ip tcp adjust-mss auto
no shutdown
2020/11/28(土) 22:41:41.59ID:???
教えてください
YAMAHAの様にVPN拠点間接続は出来るのでしょうか
　ダイナミックVPNではセンターから拠点1 拠点2アクセス出来て　障害時は拠点1と拠点2が接続されますよね
　常時拠点1と拠点2を直接VPNを張りたいのですがトンネル増やしてもSAは通ってもアクセス不可なんです
2020/11/28(土) 23:19:17.08ID:???
トンネルはできてもルーティングの設定が済んでないとか？
2020/11/29(日) 07:07:15.95ID:???
>>289
トンネル設定入れてるんだけどアクティブになるだけで通信速度できないのはikev2 だからできないのですかね
VLAN作らないとダメ?
2020/11/29(日) 19:23:18.37ID:???
>>288
IPSEC接続は出来ますよ。
VPNのIKEとSAポリシー以前に、IPV4グローバルアドレスでしょうか、それともIPV6アドレスでの
IPSECトンネルでしょうか？

ダイナミックVPNの場合には、本拠店のみのAUTO-VPNに近い設定ですので、
他のIPSEC-IKEv1やIKEv2などのトンネル構成ですと、それぞれの拠点宛てのVPNポリシー
を設定し、相手先へのスタティックルート設定、支店→本社への疎通が切れた場合の
ネットワークモニターでの切替え設定をご確認下さい。

SAが通ると言うことは、IKEも当然通っているかと思います。
あとは、インターネット回線などのMTUやMSS設定値によって、疎通可否が有ります。

IXルーターの設定事例集（30）をご確認下さい。
IKEｖ２の設定事例が有りますが、マニュアル未掲載ですが、NetmeisterとのDDNS連携も
可能かと思いますよ。（IPV4及びIPV6）
2020/11/29(日) 20:26:41.43ID:???
>>291
詳しい説明ありがとうございます。
ド素人がやっとの思いでダイナミックVPN出来た思ったら拠点間通信が出来なくて　心がけ折れかけてました。
　出来ると教えて頂き　またはコマンドとにらめっこする気になりました。
2020/11/29(日) 20:28:22.88ID:???
>>291
ちなみにV6で片側V6オプションのみの折返しでやってます
2020/11/29(日) 21:45:15.55ID:???
>>292
フレッツV６オプション（アグレッシブモード）で構成しているとのことですか。
出来ればNetmeiste-DDNSを利用してメインモードで構成した方が・・・。
個人的に経験則でのIPSEC-VPNのトンネル設定例です。
拠点A（192.168.100.0/24）、拠点B（192.168.101.0/24）
ike nat-traversal
ike initial-contact always
ike proposal web_vpn1ikeprop encryption 3des hash sha group 1024-bit
ike suppress-dangling
ike policy web_vpn2ikepolicy peer-fqdn-ipv6 ******.********.v6.nmddns.jp key abcdefg web_vpn1ikeprop
ike keepalive web_vpn1ikepolicy 10 6
ipsec autokey-proposal web_vpn1secprop esp-3des esp-sha
ipsec rekey unconditional-rekeying
ipsec autokey-map web_vpn1secpolicy web_vpnlist peer-fqdn-ipv6 ******.********.v6.nmddns.jp web_vpn1secprop
ipsec local-id web_vpn1secpolicy 192.168.100.0/24
ipsec remote-id web_vpn1secpolicy 192.168.101.0/24
IPSECトンネルのネットワークモニター設定例です。
watch-group watch-a 10
event 10 ip unreach-host 192.168.101.1 Tunnel0.0 source GigaEthernet2.0
action 10 ipsec clear-sa Tunnel0.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60
network-monitor watch-a enable
ip route 192.168.101.0/24 Tunnel0.0
B拠点のIPSECトンネルは、Netmeister-DDNS（IPV6）のFQDN名と、宛先のスタティックルート
のみをA拠点に合わせる構成にした経験が有ります。
B拠点の方のデフォルトゲートウェイをA拠点のデフォルトゲートウェイを利用して、
A拠点への宛先が切れた場合にB拠点のデフォルトゲートウェイに切替える場合には、
ip route default Tunnel0.0
IP route default GigaEthernet0.1 distance 50
2020/11/29(日) 21:51:01.39ID:???
>>292
B拠点設定例
ike nat-traversal
ike initial-contact always
ike proposal web_vpn1ikeprop encryption 3des hash sha group 1024-bit
ike suppress-dangling
ike policy web_vpn2ikepolicy peer-fqdn-ipv6 ******.********.v6.nmddns.jp key abcdefg web_vpn1ikeprop
ike keepalive web_vpn1ikepolicy 10 6
ipsec autokey-proposal web_vpn1secprop esp-3des esp-sha
ipsec rekey unconditional-rekeying
ipsec autokey-map web_vpn1secpolicy web_vpnlist peer-fqdn-ipv6 ******.********.v6.nmddns.jp web_vpn1secprop
ipsec local-id web_vpn1secpolicy 192.168.101.0/24
ipsec remote-id web_vpn1secpolicy 192.168.100.0/24
IPSECトンネルのネットワークモニター設定例です。
watch-group watch-a 10
event 10 ip unreach-host 192.168.100.1 Tunnel0.0 source GigaEthernet2.0
action 10 ipsec clear-sa Tunnel0.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60
network-monitor watch-a enable
ip route 192.168.100.0/24 Tunnel0.0

A拠点経由でインターネット接続する場合ですが、
A拠点にUTMなどのセキュリティ装置が有って、
そのUTM経由でインターネット接続させたい場合には、
ip route default （UTMのIPアドレス、例えば192.168.100.254など）
IP route default GigaEthernet0.1 distance 50

↑の構成でもOKかと思います。
296anonymous@fusianasan
垢版 |
2020/11/29(日) 22:59:07.06ID:/cMepU//
ちょっと皆さん方に質問なんですが、
IX2105を入手して、Biglobe map-eにて接続しようかと検討しております。
設定例はhttps://jpn.nec.com/univerge/ix/Support/ipv6/v6plus-mape/index.html
に記載されているモノで、とりあえずよいとして、こちらの設定例にipv4のフィルタが書かれていないのはなぜでしょう？
Tunnnel I/Fに対して、ipv4のフィルタを書くべきなのか？と思うのですが、この設定例のまま運用しても大丈夫なんでしょうか？

何卒ご教示のほどお願いします。
2020/11/29(日) 23:10:45.44ID:???
>>296
うちではIPv4フィルタ設定してる

NAPｔで十分と見て必要なしとするか、またはどんなフィルタをかけるかは各自のポリシー次第
ご自由に、としか言えない
2020/11/29(日) 23:13:15.56ID:???
ありゃ　NAPTのTが小文字になってた　失敬
299anonymous@fusianasan
垢版 |
2020/11/30(月) 10:13:51.92ID:C3OgZlWP
>>297
フムフム。参考になります。IXも、知らないうちにWEB-UIやらなんやら、結構進化しててうれしい。
v4フィルタは、Tunnnelに対して、一般的なpppoeなどで設定するフィルタを入れてらっしゃる感じで？
https://network.yamaha.com/setting/router_firewall/internet/internet_connect/opticalfiber_connection
設定例、yamahaですが、このあたりのオーソドックスなやつを移植しようかと思ってます。
2020/11/30(月) 11:03:03.66ID:???
>>296
動的MAP-E回線の場合、IPV4グローバルIPアドレスが、他のユーザーと共用ですが、BIGLOBE側でNATをかけている点、NAT変換テーブルが240テーブルしか無いので、フィルタをかける意味は無いかと思いますが。

かけるのであれば、IPV4動的フィルタのみでも十分かと。
301anonymous@fusianasan
垢版 |
2020/11/30(月) 11:37:52.47ID:C3OgZlWP
>>300
大変参考になります。ありがとうございます。
と、なると、LAN側から出たパケットと戻りだけ、動的フィルタで気持ち許可しておく
位でも良さそうと言う感じでしょうかね。それも気になるようなら、という程度でしょうか。
ありがとうございます。
2020/11/30(月) 14:14:55.57ID:???
>>301
MAP-Eの回線でも、V6プラス対応の固定IP契約をするのであれば、
固定IP宛てへのセキュアフィルタは必要かと思います。

個人的には、IXルーター配下にFortigateを入れています。
セキュアフィルタとセキュリティ対策は、Fortigate側でさせています。
2020/11/30(月) 14:39:55.13ID:???
>>301
補足ですが、動的IPアドレス利用のMAP-E回線は、IPV4グローバルIPアドレスに対して
割り当てのポートが240個しか無いので、MAP-EからのNATテーブルも240テーブルしか
利用出来ないので、NATテーブルを多用するようなアプリや仕組みを利用すると、
すぐNAT枯渇してしまい、インターネット回線の遅延に繋がります。

対策として、NATをEIMモードで利用する、TCPやUDPタイマーセッションの設定をする、
などでしょうか。
OCNあたりは、NATテーブルを1024テーブル利用出来る様にしているようだが、
スズメの涙。
304anonymous
垢版 |
2020/11/30(月) 16:06:11.31ID:???
>>303
interlinkや ipq.jp なら全ポート使えるよ。
305anonymous@fusianasan
垢版 |
2020/11/30(月) 18:32:22.27ID:C3OgZlWP
>>303
FGを入れるというのはいいアイデアですね。
私も、IX2105では、IPV4 Over V6の処理だけさせて
（＝トンネルだけ張らせて）、具体的なフィルタなどは、手持ちの
RTXにやらせようか、と考えていたところでした。
これは単なる慣れの問題ではあるのですが（苦笑）

総合すると、固定ip出ない場合、出先のipもコロコロ変わるし、
複数人でシェアされ、naptされることから、そこまでシビアに考えなくていいが
固定ipを希望するとなるといつも通り対策した方がよさげ。という感じですかね。

>>304
あれ、そうでしたっけ。と、思ったら、そうか。
v4固定IP契約かつ、DS-Liteを使えば、そういう手も使えるわけですか。
高速化＆ポート枯渇対策と考えると、これは検討の余地ありですね。
どうせ2ヶ月無料ですし。

本筋ではありませんが、
今回、西日本拠点とのNGN網VPNを別個で検討してます。東西は
VNEまたぐ仕様とのことで、対向がBiglobe故にこちらも合わせるべきか？となり。
プロバイダはまだ未調達なので、総合的にコスパのいい手段を考えていて、
沼にはまってしまいました。
2020/12/01(火) 19:09:35.14ID:???
>>304
ipq.jp のサイトを確認致しました。
MAP-E回線網仕様が明示されていませんが、利用可能ポート数はどちらに明記されていますか？
私の認識ですと、仮に固定IP契約が可能だったとしても、全てのポートを利用出来る
様にはNTTのインフラ的に無理かと思いますが。
2020/12/01(火) 19:35:48.74ID:???
>>306

https://ipq.jp/plan/ipoe2/
https://www.jpne.co.jp/service/v6plus-static/
https://jpn.nec.com/univerge/ix/Support/ipv6/v6plus-staic/index.html

これらを全部読むと、実際には何で通信しているか、なぜ全てのポートが使えるのかの理由が判ります。
判らないのであればipqに問い合わせて言質を取ってください。
308anonymous@fusianasan
垢版 |
2020/12/02(水) 01:03:19.63ID:gczYXk1p
>>307
305です。
https://internet.watch.impress.co.jp/docs/news/1254940.html

一時ソースでなくて恐縮ですが、ipv4固定アドレスの場合、
ip-ipトンネルを張って、VNE側に着信した全ポート宛てのパケットが
自分のルータへ着信することとなり、結果として全ポートが利用可能。
という理解でよいでしょうかね。

そもそも、そういった用途,仕・でないと、ipoe環境において、v4アドレスを固定化する
メリットはないように思えますし。
2020/12/02(水) 01:24:15.88ID:???
>>308
概ねそれでよろしいかと
JPNEのv6プラス（固定IP）
multifeedの固定IP
上記については単純なIPIPトンネル（not MAP-E,DS-Lite）で実現していますが
OCNの固定IPについてはMAP-Eで実現（占有型のマップルールを登録）しているように見受けられます
NTTのインフラ的に無理と言うことは無いでしょう

IPoE環境でIPv4アドレスを固定化するメリットというのは話が逆だと思っています
そもそも法人向けに固定IPの需要が有り、従来のPPPoE unnumberdなどが有ったところに
IPoEでのIPIPが手段として増えただけという認識です
310anonymous@fusianasan
垢版 |
2020/12/02(水) 12:33:04.48ID:gczYXk1p
>>309
305です。
ありがとうございます。状況ちょっとだけ整理できました。
私自身も、インフラ的に無理ということはないという認識でしたので、
なるほどそういう使い方もなあと感心した次第で。

そもそもNTTは土管を提供しているだけなので、使いようによって
いかようにも出来るものかと。

ipv4+ipoe環境でのアドレス固定の話も興味深いです。
そちらの認識の方が、自然ですね。

色々脇にそれちゃいましたが、皆さんのご意見まとめると
・VPN性能を考えると→Biglobeでそろえる。設定は頑張ろう。
・普段のインターネット快適性を求めると→Interlinkやipq.jp等
・フィルタはケースバイケースだが、固定するならやっとこう
という結論になりましょうかね。
311anonymous@fusianasan
垢版 |
2020/12/07(月) 22:39:28.11ID:Te+M0wQV
305です。
やっと新居に到着したので、取り急ぎbiglobeを契約してみました。
しかし、map-e経由での速度が、約45Mbpsとよくありません。
https://www.speedtest.net/ja にて、softetherサーバーを指定しています。
コンフィグは下記の通り、ほぼ素のままです。（関係ないところは切りました）
ベストエフォートだから仕方なし、と言われてしまうとその通りなんですが、
肩透かしを食らったような気もします。こんなもんなのでしょうかねえ。

どなたか、コンフィグ間違ってるぞ！などのご指摘あれば、お願いします。

ip ufs-cache max-entries 20000
ip ufs-cache enable
ip route default Tunnel0.0
ip dhcp enable
ip dhcp binding vlan1
ip access-list web-http-acl permit ip src any dest 192.168.50.0/24
!
!
ipv6 ufs-cache max-entries 10000
ipv6 ufs-cache enable
ipv6 dhcp enable
ipv6 access-list block-list deny ip src any dest any
ipv6 access-list dhcpv6-list permit udp src any sport any dest any dport eq 546
ipv6 access-list dhcpv6-list permit udp src any sport any dest any dport eq 547
ipv6 access-list icmpv6-list permit icmp src any dest any
ipv6 access-list other-list permit ip src any dest any
ipv6 access-list tunnel-list permit 4 src any dest any
ipv6 access-list dynamic cache 65535
ipv6 access-list dynamic dflt-list access other-list
312anonymous@fusianasan
垢版 |
2020/12/07(月) 22:41:12.82ID:Te+M0wQV
305です。コンフィグの続きです。複数レス消費申し訳ない....
proxy-dns ip enable
proxy-dns ip request both
ipv6 dhcp client-profile dhcpv6-cl
information-request
option-request dns-servers
ipv6 dhcp server-profile dhcpv6-sv
dns-server dhcp
device GigaEthernet0
device GigaEthernet1
interface GigaEthernet0.0
no ip address
ipv6 enable
ipv6 dhcp client dhcpv6-cl
ipv6 nd proxy GigaEthernet1.0
ipv6 filter dhcpv6-list 1 in
ipv6 filter icmpv6-list 2 in
ipv6 filter tunnel-list 3 in
ipv6 filter block-list 100 in
ipv6 filter dhcpv6-list 1 out
ipv6 filter icmpv6-list 2 out
ipv6 filter tunnel-list 3 out
ipv6 filter dflt-list 100 out
no shutdown
313anonymous@fusianasan
垢版 |
2020/12/07(月) 22:41:30.54ID:Te+M0wQV
305です。これで最後..
interface GigaEthernet1.0
ip address 192.168.50.1/24
ipv6 enable
ipv6 dhcp server dhcpv6-sv
ipv6 nd ra enable
ipv6 nd ra other-config-flag
telnet-server ip enable
no shutdown
interface Tunnel0.0
tunnel mode map-e
ip address map-e
ip tcp adjust-mss auto
ip napt enable
no shutdown
2020/12/08(火) 00:55:15.78ID:???
>>311
回線は光配線方式なのかギガの契約かどうか

そこもクリアしたら網内IPv6の帯域も測る
http://www.speed-visualizer.jp/
2020/12/08(火) 04:32:48.97ID:???
ビグロじゃIXは、おまかん要素で上手く動かない事が有るんじゃなかったか？
2020/12/08(火) 10:58:52.10ID:???
>>172に書いたけどファームが対応してないとか？
新しいファームウェアで試してないからどうなったか分からんけど
317anonymous@fusianasan
垢版 |
2020/12/08(火) 20:23:15.76ID:/NhTpCoo
305です。
おまいら...みんな優しいね。ありがと。
まずFWだけど、これは最新にUP済み（ix2015-ms-10.2.30.ldc)なのでクリア。
配線は集合住宅 光配線方式なので宅内まで光回線。
紹介してもらった回線測定がかなり有用だった。
IPv6 NGN内 UP/Down=293.5/428.4 (Mbps)なので、網内速度は問題無さそう。
ついでにLAN内のLAN信号品位（ケーブルが腐ってるとか...）も問題無さそう。
ところがipv4の速度はやはり46.1/23.5で、45Mbps付近で律速している模様。
複数日、複数時間測定してもかわらんので、なんかありそうなんだけどね。
ちなみに、今転職の狭間、長め冬休みなんで、時間は結構ある。

あとは315氏の言ってるおま環を疑う位かなあ。
RTX1200はmap-e非対応だけど、実験程度なら疎通はすると思うんで、そっちでも
やってみようかなとは思ってます。
2020/12/08(火) 21:20:49.40ID:???
>>317
ビグロのBRが混んでるとかですかねー？
ビグロのスレ行ってみんな遅いのかとか地域差があるのか？とか色々ありそう

NGNの地域POIが開設されて久しいけど、VNEのBR達はPOIに分散して置いたりはしてるのかな？（これ以上はスレチかな）
2020/12/08(火) 23:48:19.75ID:???
ちょいとlinuxでルータ作っちゃえよ
320anonymous@fusianasan
垢版 |
2020/12/09(水) 00:38:47.05ID:FSF8Lazn
>>318
ありがとう。おいらもそんな気がしてきたよ。
設定も凝ってないし、これ以上の追求は難しそうだね。
Biglobeの状況調べつつ、もうちょっと期間をおいて調査
だめなら一回乗り換えも検討します。
民生map-e対応ルータ買って挙動観察するのもありかな。

319氏が言ってるLinuxルーターだけど、ポートセービングNATの
実装が結構大変そうだね。というマジレス。
■ このスレッドは過去ログ倉庫に格納されています
5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。