YAMAHA業務向けルーター運用構築スレッドPart25
>>757
申請が面倒って
個人の機器を申請できるのかな >>773
RTX1210って、RADIUSサーバーと連携するんですか。 REVELATION/ IN THE SAME BOAT
グラノード広島(granode hiroshima)
大和ハウス工業(daiwa house group)
シーレックス(seerex)
テイケイ西日本(teikei west japan)
裏社会(underworld)
広島県警察(hiroshima prefectural police)
公安警察(security police)
広島地方検察庁(hiroshima district public prosecutors office)
草津病院(kusatsu hospital)
岡田外科医院(okada surgical clinic) >>775
ヤマハのAPにはRADIUSサーバ内蔵してる
問題はヤマハのAPは極めてしょぼいんだよね性能も機能も
arubaのAP経由でから、ヤマハのAP内蔵RADIUSへさせるのは検証ではできた
ただ、秒間7台程度だから
従業員50人以上だと実用で耐えられないだろうね
普通にADサーバをRADIUSにしたほうが楽だし、そうするでしょ? >>772
ADサーバがあるなら、それをRadiusサーバにする
ないならアプライアンスのRadiusサーバ導入するか、linuxサーバにFreeradius入れる
WLXの内臓Radiusはおまけ機能だから使わないほうが良い
全社で30人くらいならいけるかもしれんが・・・
あと、有線NWでx認証したいなら対応SWHUBも買う必要あるからな
サーバにRadiusクライアント登録しなきゃだけど、それはPCの事じゃなくて
HUBとかAPのことだからな?気を付けろよ
具体的には(課金してください arubaも内蔵RADIUSなかったか?サバクラ逆のが良さそう
RADIUSアプライアンスて国内メーカーだけでも
ソリトン、センチュリー、エイチシー、インフィニコ、AXIOLEとかあるけど
YAMAHA客層よりもっと大きい最低数百からなイメージ
数十規模で手をかけず安くRADIUS仕立てるとなるとどうするんだろ >>783
カタログで気にはなっていたけど実際どうなんだろ? wlx313をRADIUSサーバにして100台前後のWindows端末、androidタブ、iPadでEAP-TLSしてるけど問題なく動いてるよ EasyBlocksで昔RADIUSアプライアンスあったような気がしてたけど
いつの間にか販売終了しちゃってるな >>787
おまけ機能なら嬉しいけど、Radiusだけのアプライアンスなんて大して売れないだろ・・・ >>786
RADIUSに負荷かかるのは認証時だけ
再認証を余程まめにしなければ同接数は関係ない
>>788
そこそこの数のメーカーがやってるから需要はあるんだろうが
買うからにはそれなりのでチープなのはニッチ RADIUSサーバ単体で置くのもね…ってことで、元々SynologyのNASはあったんだけどTLSできないから、APとRADIUSサーバ兼ねられるwlx313を入れたって経緯だったよ
何をもって実用的かはそれぞれあると思うけど、とりあえずうちの環境では複数メーカーのAP複数台を認証装置に各端末が滞りなく認証できているから満足してるよ ルータ初心者です。実験&学習環境について教えてください。
会社で複数の拠点をVPN接続して社内LANを構築しています。
また、テレワークなどで社内LANに接続できる環境もあります。
すべてYAMAHAのRTX12xxまたはNVR5xxで構成されています。
このようなネットワークの運用をいきなり任されてしまいました。
ネットワークやルータについて初心者なので、まずは実験環境を構築し学習したいと思っています。
どんな構成から始めればよいでしょうか?
ヤマハのRTX830とNVR500が1台づつ余っているので、それとPC2台あればアレコレ実験できるでしょうか? >>793
それだけあれば十分
あとは回線とプロバイダが2個ずつあると良いかな >>793
あとできればRTX系がもう1台ほしいVPN接続学習用に いちいち5chで質問するレベルじゃヤバいよ
ネットの情報見て自分で何とかならんと思ったら早々にギブアップした方がいい >>794, 795
ありがとう。
参考になりました。
暗闇に放り込まれたようで糸口さえつかめなかったので、元気もでました。
>>796
あなたはネットの情報見て自分で何とかならんと思ったら早々にギブアップしてください。 >>797
YAMAHAスレは変なのもいるけど、ちゃんと教えてくれる人も多いから
あと、ここはネットワーク板だけどハード板のYAMAHAスレの方がいいかも 安いのを買うにしても RTX1200 (IP38X/1200) は投げ売りしてるけど15系ファームとそれ以前って微妙ながらも思ったより差があるから会社と合わせたほうがいいと思う 1220のファームウェアってごにょごにょして
1210に入れられないかなーって >>801
そんなことして何になるんだ・・・・
手間と暇が割に合ってない 1200に1210のファーム入れるならわかるけど1220と1210は何…?ISDNをコマンドから抹殺…? メジャーバージョン以前に1200と1210ではCPUアーキテクチャが違う メジャーバージョンとかあまり気にしても意味ないと思う。
バージョンの採番ルールは分からん。 1210と1220、メジャーバージョンが違うけど、中身はほぼ同じって話じゃなかったっけ? わ、マジだ RTX1210はRev14系でRTX1220はRev15なんだ
すまんなどっちも持ってないから知らなかったわ
RTX830と同じって考えるとISDN抜きがRev15って命名されてるんじゃないのって考えもしたけど
熱烈に望んでる人がいるってことは何か大事な機能差異があるんだろうね… 書いた後にリリースノート眺めてたら普通にめっちゃ見つかったわ
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.15.04/relnote_15_04_04.txt
例えばここで追加されてるヘアピンNATとかNAT46/DNS46はRev15以降なのね。
CPU同じなのにこれで区別されてるのは悔しいけど発売時期で区切ったのかな。 そうハード同じなのに中古相場は2-3倍違うから
ソフト(F/W)を14->15にしたい まあ普通に塞がれてるだろ
そんなん出来たら1220売れなくなるのハッキリしてるし
諦めな ファームって何だと思ってるんだか
15系のこの機能が欲しいならわかるが ルーターとか、アプライアンスだけで、https通信のURLフィルタできるかな。
squid使ってマンインザミドルやらないといけないと思うんだけど。
何か新しいブロック技術って開発されてる? >>820
できるメーカあったが何処だったか覚えてない
今どき出来ないと困りそうだな >>821
理解できる頭がないんだから黙ってろという空気だ >>820
家はFortinet社のFortigateを入れてるが >>823
こういう発言を無視できれば幸せなんかな >>826
俺の興味のないことを書き込むな
という事ですね了解しました >>822
社員は会社の知らないところで、スマホで見たり、ファイル持ち帰ったりしてるだろうな。
通信止めてから文句言ってきたやつは、
ルール無視の自己申告ということになる。 >>830
ドメイン部分でのみの制御で良いのであれば、そのドメインのIPアドレスを引けないようにDNSサーバーを構成するという手がある。 Dohのドメインもブロックして、udp/tcpのポート53宛通信もクライアントからアクセスできないようにすればいいかな? DoHのIPアドレスでの指定は、想定されていないっぽいよ? c:¥windows¥system32¥drivers¥etc¥hosts 管理者権限は奪取済なのでhostsは書き込みできませんヨシッ! >>830
結局規模と技術力と厳密さで何選ぶかなのかなぁ。
FQDNフィルタ出来ればいいのであれば「ルータ」で動くのもあるし、URLフィルタだとproxy無いとツライ。
Squid運用できるならそれも手だしアプライアンスに頼りたいならfortigateもイニシャル2-30万かけて運用ラクさせるとかも選択肢よね。
fortigateは脆弱性対応の運用コスト考えとかないと爆死するけど。。。 >>842
>fortigateは脆弱性対応の運用コスト
詳しく教えてほしいです。
何か脆弱な問題があるんでしょうか。 リスクの高い脆弱性がよく出る。
毎年不定期でアップデート対応必要。
アップデートに際して真面目に検証するならそれだけ稼働かかるし、せずに本番適用すると想定外の運用対応発生したり。 YAMAHAのスレなのにURLフィルタリングがあるファイアウォールUTXシリーズは出てこないのね。。。
オンプレにこだわらなければ、クラウドのURLフィルタサービスを使うのもありかと思います。ハードウェアの心配が無くなるので。
あと、どんな形にせよURLフィルタ入れるとブロックされたサイトを許可に変更したりと運用コストがそれなりにかかります。かといってフィルタを緩くしちゃうと意味がなくなります。 >>845
なるほど。
アプリケーションレベルを相手にするということは、アプリケーションレベルの攻撃も喰らう可能性があるということですね。
ご回答ありがとう。 >>846
URLデータベースの利用料が別途かかったと思う。
でも、ホワイトリストの利用だけならそういう費用はかからないのではないかと思う。
アクセスさせるサイトデータベースを一から構築するのは、検索エンジンを無意味化するだろうな。
チャットGPT4なんかを使うと検索エンジンからダイレクトに各サイトにアクセスせずにすむから、対策方法の一つには考えられるかもしれない。 >>849
お、これ面白い。アプリケーションが認識されてる!ありがとう。
もし使うとなると、1210から1300に置き換えることになるな。
そうすると、NGNのIPv6アドレスも変わってくるから、VPNの設定変更もともなうのは面倒くさい。
例えば社員が30人いるとしたら、
その分費用かかってくるのかな。 >>850
インターフェースID指定しとくと機器交換(MACアドレス変更)に引き摺られなくていいよ。故障交換発生した時なんかも。 >>851
初耳です。インターフェースIDはIPv6の128bitのうち上位64bitのことを指していると思います。
でも、これは網側から半固定で適当なものが与えられるだけだと思ってました。指定はどうやってするのでしょうか。「ネーム」を設定したときのように網側の設定サイトにアクセスして、指定するのかな。
上位64bitが固定されたら、下位の64bitはLAN3のMAC使わずに任意の値を設定しさえすれば、固定IPv6になりますね。 >>852
インターフェースIDは下位64bitだよ。
上位64bitはRAやDHCPv6-PDで払い出されるモノを使いながら下位64bitは自分の任意のパラメータ指定出来る。
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ipv6/ipv6_interface_address.html
interface_id の辺り。 >>853
すみません、勘違いをしていました。
>下位64bitは自分の任意のパラメータ指定出来る。
このインターフェースIDを、新しいルータのLAN3アドレスの生成のときに使うようにすれば良いわけですね。
>上位64bitはRAやDHCPv6-PDで払い出されるモノを使いながら
すると、問題としてのこるのはここですね。
RTXをONUに直接つけて、ネットワークアドレス的なものを網からもらっているので、これは変わってしまうかもしれません。
すると、下位64bitを固定できたとしても、全体としてアドレスは以前のものと一致しなくなる可能性がある。
ルーターを交換するのはやはり躊躇してしまう。 >>854
フレッツのIPoEの場合、/56や/64の「半固定」のプレフィックスは回線(契約)に紐づくので、ユーザー側ルータの変更では変わらない。
逆に物理回線を変えなくても、プロバイダ契約を変更するなどすると変わるし、フレッツの設備工事でも変わる可能性がある。 >>854
半固定なprefixはDDNS使いつつ、下位の64bitは固定出来ると運用性上がる気がしてまする >>855
希望の持てる情報ありがとう。
そういうことであれば、ゆとりができたらルーターRTX1300にかえてみようかなぁ。そして、安ければさっき紹介してもらったアプリケーションインスペクション機能を使って可視化したい。(ソフトウェアのインボイス対応がようやく終わってボロボロ。次は電子帳簿保存法対応。ふざけるなああ!)
>>856
半固定なprefixはDDNS使いつつ、NTT西の「ネーム」のことかしら。東日本は、あの人が頑張って導入したDDNSがNGN網内にあって羨ましい。 >>857
おれは10/1なったらDPI体験申し込んでみる予定 >>858
感想きかせて。
正式版申し込みされるなら費用についてもぜひコメントお願いします。 >>857
うん。ネームだとフレッツから払い出されるprefixの変更は追従してくれるけど、下位64bitはWebフォームに自分で投入しないといけない。
下位64bitをMACアドレスに依存しない任意の値に設定した上でネームで設定したFQDN使ってVPN組んだりするとprefix変更や機器変更時にも再設定の手間を減らせる。 UTX100/UTX200を、サイト間VPNのセンタールーターとして使っている人いますか。
拠点ルーターをRTX830で。
使い勝手とか、感想を聞きたいです。
「推奨する接続数は、UTX100で 3対地、UTX200で 6対地」
ttp://www.rtpro.yamaha.co.jp/UTM/FAQ/utx/network.html
ということで、本当に小さい企業ならば、機材少なくて済む。 >>861
ネームって、結構高い初期設定費用がかかったと思う。
でも、たしかにインターフェースIDを固定したならばネームは網内通信で名前で解決できるようになるのは便利だな。
ただ、うちはIPv6通信に対してアドレス単位で入力フィルタ掛けてるから、これも見直さないといけなくなるな。
少なくとも、網内通信に対しでは半固定プリフィックスの変更に伴う通信障害は避けられるかもしれない。
網外のVPN通信に対しては、西日本NTTのネームは無効だからホかにDDNSサービスをつわないとな。
それこそ、東日本NTTのDDNSを使えばよいのだろう。 >>863
俺の知っているネームは、フレッツ1回線につき、一つは無料なのだが。
https://flets-w.com/opt/v6option/
どこに高額な初期費がかかるネームがある? >>864
工事費という名目で請求があった記憶がある >> 863
> 結構高い初期設定費用
各回線からサービス情報サイト(Webポータル)で申し込めば無料。
回線配下に直接PCぶら下げられないとか複数拠点分纏めて申し込みたいとかで営業担当経由だと2-3000円/拠点かかる。
https://flets-w.com/opt/v6option/
※かかっても障害時の呼び出しでかかる稼働とか考えたら事前に構えておく方がきっとシアワセ
>> 866
857読んであげて。
西で閉域環境っぽいしそれだとネームしか手段無い。 そもそも、ここまでの話は、外部サービスの制限だったと思う。
今度、Windows11にはコックピットとかいうAIが導入されるらしい。
このAIの通信をインスペクションして拒絶するようなことも必要になるんだろうな。
Windowsは純粋なOSでないため、Windowsを利用するだけで、心配ごとが増える。
今回も、どうせ強制アプデートでAIが導入されるんだろう。AIを通じて内部のデータが漏洩しないかとても心配。Windowsはいつも余計な心配をさせる不純なOS。 >>868
心配事が増えない純粋なOS教えて下さいっ! RTX810にiphoneからL2TPでVPN接続してたんですけど、最近うまく繋がらない事が多いです。
VPNをオンにして接続しようとすると、もの凄い勢いでエラーが出るんですが、何回かオンにしようとすると繋がる時があったり全く繋がらない時もあったりと非常に不安定です。
ほんの少し前までは普通にVPNオンできていたんですが、iOS17に上げたぐらいから調子悪いような…。
解決方法分かりそうなエスパーいます? どんなエラーかも書かないなら本当にエスパーするしかないな 『L2TP-VPNサーバが応答しませんでした。もう一度接続してください。それでも問題が解決しない場合は、設定を確認し、管理者に問い合わせてください。』って内容のエラーですけど分かります?
iPhoneのVPNをオンにした瞬間このエラーが出る時と、20秒ぐらい頑張ってからエラーになる時とある感じです。
ちなみにRTX810があるのは会社なんですが、会社のwifiに繋いでいる時にiPhoneのVPNをオンにすると一瞬で接続済みになります。当たり前なのかも知れないですが。
それで一旦VPNをオフにして、wifiもオフにしてモバイル通信にしてからVPNをオンにした時は一瞬で接続済みになります。
なんなんですかね?