NEC UNIVERGE IX2000/IX3000 運用構築スレ Part11
■ このスレッドは過去ログ倉庫に格納されています
ZOOT NATIVE固定の設定でipv6 interface-identifierでハマった。
00:00:00:00:00:00:fe:edで接続できた。
ちなみにIPv4インターネットにのみ接続する場合は、IX2025でも可。 >>993
Part10
のEO多機能ルーターの接続（IPV6）ですが、
IPV6機能を利用するためには（EO動作検証済み構成）、
EO多機能ルーターをブリッジには出来るが、光電話の利用は出来なくなる。
EO多機能ルーターのブリッジにすると、多機能ルーターのIPは半固定にて運用し、
配下のルーターにて、PPPOEセッションと、IPV6接続設定をする。
EO多機能ルーターをデフォルトのままですと、
EO多機能ルーター側にて、PPPOEセッションを張らない場合、PPPOEブリッジを有効に
なっていますので、配下ルーターにてPPPOEセッションを張る。
IPV6通信については、EO多機能ルーター側にて光電話機能を利用し、DHCPv6-PD
を利用するので、配下ルーターへはRAプレフィックスの配信をされる。
よって、配下のIXルーターのWAN側のIPV6アドレスの取得方法は、
PPPOEセッション（GE0.1）、IPV6ブリッジ若しくはND-Proxy（GE0.0）
が可能と思われますが、ND-Proxyですと、余計なセキュリティポリシーが動作するので、
出来ればブリッジの方がスムースかと。
EOサイトでは、多機能ルーターの併用をIPV6の利用条件になっている。 すでに51℃とかいってた
泣きながらUSBファン置いた
2215死ぬな >>5
IXは熱に強いイメージがあるけど、劣化しそうで心配だよね。 古い木造二階建ての二階、普段は人のいない部屋に設置してると
（クーラーかけないので冷えないから）夏場は簡単に45℃超えそうなんだよね
おかげで2215には常時USBファンの風をあてなきゃならん
2106買ったらマシになるかな IPsecVPN についての質問です。
(1) v6プラス+---GE0(ix2106)GE1---PC1
ix2106 (configの一部)
ip route 192.168.1.0/24 Tunnel1.0
interface GigaEthernet1.0
ip address 192.168.0.254/24
interface Tunnel1.0
ip unnumbered GigaEthernet1.0
(2) PPPoE+------GE0(ix2105)GE1---PC2
ix2105
ip route 192.168.0.0/24 Tunnel1.0
interface GigaEthernet1.0
ip address 192.168.1.254/24
interface Tunnel1.0
ip unnumbered GigaEthernet1.0
上記のような2拠点をIPsecVPNでつないでいます。
ike SA, IPsec SA, tunnel status などはチェック済みで
PC1から192.168.1.254にはpingが届きます
しかし、そこからPC2へのpingが通らずに困っています。
ix2105からPC2へのpingは通ります。
なにか見落としていることがあるのでしょうか 見落としてるとしたらここはVPNの質問スレではないって事かな
どうせ後出しで揉めるんだからコンフィグ全部張りなよ >>9のConfigです。すこし長くなりますが、まずはix2106（固定IP）側から
ip ufs-cache max-entries 20000
ip ufs-cache enable
ip route default Tunnel0.0
ip route 192.168.1.0/24 Tunnel1.0
ip dhcp enable
ip access-list web-http-acl permit ip src any dest 192.168.0.254/32
ip access-list web_vpnlist permit ip src any dest any
ipv6 ufs-cache max-entries 10000
ipv6 ufs-cache enable
ipv6 dhcp enable
ipv6 access-list block-list deny ip src any dest any
ipv6 access-list permit-list permit ip src any dest any
ipv6 access-list web-permit-list permit udp src any sport any dest any dport eq 546
ipv6 access-list web-permit-list permit udp src any sport any dest any dport eq 547
ipv6 access-list web-permit-list permit icmp src any dest any
ipv6 access-list web-permit-list permit 4 src any dest any
ipv6 access-list dynamic cache 65535
ipv6 access-list dynamic dflt-list access permit-list
ike nat-traversal
ike proposal web_vpn2ikeprop encryption aes-256 hash sha2-256 group 2048-bit
ike policy web_vpn2ikepolicy peer any key **************** mode aggressive web_vpn2ikeprop
ike remote-id web_vpn2ikepolicy fqdn satellite1
ipsec autokey-proposal web_vpn2secprop esp-aes-256 esp-sha2-256
ipsec dynamic-map web_vpn2secpolicy web_vpnlist web_vpn2secprop ike-binding web_vpn2ikepolicy
ipsec remote-id web_vpn2secpolicy 192.168.1.0/24
proxy-dns ip enable
proxy-dns ip request both
ddns enable ip dhcp profile lan100
assignable-range 192.168.1.2 192.168.1.250
default-gateway 192.168.1.254
dns-server 192.168.1.254
lease-time 7200
ip dhcp profile web-dhcp-gigaethernet1.0
dns-server 192.168.0.254
ipv6 dhcp client-profile dhcpv6-cl
option-request dns-servers
ia-pd subscriber GigaEthernet1.0 ::/64 eui-64
ipv6 dhcp server-profile dhcpv6-sv
dns-server dhcp
ddns profile v6plus-update
url http://***.******.ne.jp/
query user=**********&pass=********
transport ipv6
source-interface GigaEthernet1.0
update-interval 10
interface GigaEthernet0.0
no ip address
ip napt static GigaEthernet0.0 50
ip napt static GigaEthernet0.0 udp 500
ip napt static GigaEthernet0.0 udp 4500
ipv6 enable
ipv6 autoselect enable
ipv6 autoselect ra-delay 0
ipv6 dhcp client dhcpv6-cl
ipv6 nd proxy GigaEthernet1.0
ipv6 filter web-permit-list 51 in
ipv6 filter block-list 200 in
ipv6 filter web-permit-list 51 out
ipv6 filter dflt-list 200 out no shutdown
interface GigaEthernet1.0
ip address 192.168.0.254/24
ipv6 enable
ipv6 interface-identifier **:**:**:**:**:**:**:**
ipv6 dhcp server dhcpv6-sv
ipv6 nd ra enable
ipv6 nd ra other-config-flag
no shutdown
interface Tunnel0.0
tunnel mode 4-over-6
tunnel destination xxxx:xxxx:xxxx:xxxx::xx
tunnel source GigaEthernet1.0
ip address xxx.xxx.xxx.xxx/32
ip tcp adjust-mss auto
ip napt enable
ip napt static Tunnel0.0 50
ip napt static Tunnel0.0 udp 500
ip napt static Tunnel0.0 udp 4500
no shutdown
interface Tunnel1.0
description testVPN
tunnel mode ipsec
ip unnumbered GigaEthernet1.0
ip tcp adjust-mss auto
ipsec policy tunnel web_vpn2secpolicy out
no shutdown >>9次にix2105(動的IP)側
ip ufs-cache enable
ip route default GigaEthernet0.1
ip route 192.168.0.0/24 Tunnel0.0
ip dhcp enable
ip access-list web-http-acl permit ip src any dest 192.168.1.254/32
ip access-list web_vpnlist permit ip src any dest any
arp auto-refresh
ike nat-traversal
ike proposal web_vpn1ikeprop encryption aes-256 hash sha2-256 group 2048-bit
ike policy web_vpn1ikepolicy peer ***.***.***.*** key **************** mode aggressive web_vpn1ikeprop
ike keepalive web_vpn1ikepolicy 30 6
ike local-id web_vpn1ikepolicy fqdn satellite1
ike suppress-dangling web_vpn1ikepolicy
ipsec autokey-proposal web_vpn1secprop esp-aes-256 esp-sha2-256
ipsec autokey-map web_vpn1secpolicy web_vpnlist peer ***.***.***.*** web_vpn1secprop
ipsec local-id web_vpn1secpolicy 192.168.1.0/24
proxy-dns ip enable
proxy-dns interface GigaEthernet0.1 priority 254
ppp profile web-ppp-gigaethernet0.1
authentication myname ********@*************.ne.jp
authentication password ********@*************.ne.jp ********
ip dhcp profile lan100
assignable-range 192.168.1.2 192.168.1.250
default-gateway 192.168.1.254
dns-server 192.168.1.254
lease-time 7200
interface GigaEthernet0.0
no ip address
shutdown interface GigaEthernet1.0
description LAN1
ip address 192.168.1.254/24
ip dhcp binding lan100
linkmgr enable
no shutdown
interface GigaEthernet0.1
description WAN1
encapsulation pppoe
auto-connect
ppp binding web-ppp-gigaethernet0.1
ip address ipcp
ip tcp adjust-mss auto
ip napt enable
ip napt hairpinning
ip napt static GigaEthernet0.1 50
ip napt static GigaEthernet0.1 udp 500
ip napt static GigaEthernet0.1 udp 4500
no shutdown
interface Tunnel0.0
description testVPN
tunnel mode ipsec
ip unnumbered GigaEthernet1.0
ip tcp adjust-mss auto
ipsec policy tunnel web_vpn1secpolicy out
no shutdown 長くて失礼しました。
このような状況で、各ルーターのGE1に接続したPCからは対抗側ルーターへ
pingが通るのですが、PC→対抗側のPCや、ルーター→対抗側のPCへのpingは
タイムアウトになります
トンネル（testVPN） は「接続」状態となっています。
ix2106 のルーティングテーブルをみると、192.168.1.0/24 is directly connected,,Tunnel1.0
ix2105 のルーティングテーブルをみると、192.168.0.0/24 is directly connected,Tunnel0.0
という感じです。
参りました。見当がつく方いらっしゃいますか >>9の件、自己解決しましたので報告します
結局>>11のアドバイスが正解でした。
テストに使用した端末Windows,NASのファイアウォールでICMP遮断されてました…
両方のLAN側にラズパイやネットワークプリンタなどをぶら下げてフルメッシュで
PING打ちまくったところ、前回のテストに使用した端末「だけ」がFWで遮断されて
いたというとほほな結末
そういえば、昨今ロシア情勢の影響で、KasperskyをやめてWindowsファイアウォール
にしたので、OS純正のFWルールをつぶさに見たのは今回が初めてでした
Windowsファイアウォールに対抗側のLANサブネットのICMP受信許可でOKでした
NASも似たような感じ
お騒がせして申し訳ない >>19
IPSECトンネル・アグレッシブモード運用の件ですが、CLIコマンドを見ましたが、
IXルーターの場合ですが、SAの定期更新に見に行かないので、
ネットワークモニターなどの運用にて、SA更新等のモニタリングを設定された方が良いかと思いますが。
設定例(IX2105)
watch-group watch-VPN 10
event 10 ip unreach-host 192.168.0.254 Tunnel0.0 source GigaEthernet1.0
action 10 ipsec clear-sa Tunnel0.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60
network-monitor watch-VPN enable >>19
それと、IX2106側のGE1.0側にIPV6-IPOE用のFQDNアドレスが付帯されている
かと思いますが、IX2105側のGE0.0、若しくはGE1.0側にNTTの閉域網アドレス
（IPV6-FQDN）が取得出来る環境（フレッツV6オプション）でしたら、
IPV6-IPSECのメインモードの接続も可能かと思います。
その際には、Netmeister-DDNSの監視機能にて、
IX2106のGE1.0と、IX2105のGE0.0、若しくはGE1.0間にてNetmeister-DDNS同士の
接続も可能かと思います。 ありがとうございます
ご指摘を踏まえ、改善を進めたいと思います IX2215,2105等の新しいファームウェアアップデート来てるね
4. 不具合修正
-------------
[1] Biglobe IPv6オプション、OCNバーチャルコネクト(動的IP)回線接続時、IPv4
通信ができない場合がある問題を修正しました。本問題は払い出させれる
MAPルールに依存します。
本問題はVer10.2.16版以降で発生します。 IX2105からIX2215に機種変更してみたら
Speedtestで普通に880Mbpsくらい出るようになった｡
2105は600Mbps辺りがハードの限界｡ >>25
やっぱり性能に余裕がある方が早いんですね。
うちも替えるかな >>26
ヤフオクにて送料込み8000円くらいで購入できるので
お遊びで利用するにはとても面白いです｡
LAN機器も多数つなげられるので､ゲーム機を多く持ってる人は全て有線化が出来る｡
IX2105からのコマンド変更点もinterface GigaEthernet1.0から2.0に変えるくらいで動く｡
ip napt translation max-entries 250000まで設定で切るのも(･∀･)ｲｲ!
難点はIX2105から縦､横共に2倍くらい大きい､
FPSゲームでの体感は全く変わらない｡
室温23度くらいの場所で稼働させておいても､あっという間に内部温度50度超えするので
問題なく動作はしてるのだけどちょっと心配ってのはある｡ FQDNアドレスってなんぞ
DQNアドレスに空目した 自宅で楽天ひかり、IX2215を利用中。
ルーターを通るパケットの通信元・通信先・ポートを簡単に一覧で見る方法ないですか。
show ip napt translation の結果の画面が理想です。
これに、naptを使わないipv4や、ipv6も、udpも含めて見たいです。
show ip ufs-cache verbose と show ipv6 ufs-cache verbose だと、
見づらいので、ほかの方法ご存じの方、教えてください。 >>29
使ったことないけど、IX的にはそういうのはsFlow使えってことじゃないかな
ルータ単体では済ませられないけど map-e で、getting rule でエラーが続くことがあるけど、たまたま？ 光が100Mの環境で、IX2025からIX2105にかえたら、気持ち速くなった。 IX2105 横置きで対して仕事させてないけど47度あるんだが
みんな対策してます？ とりあえずゴム足が症もないものがついてたんで
ゴム足を背の高いものに変えるか考えます 仕様からみるに環境温度50℃まで対応なんだろうから、内部温度47とかヘーキヘーキ おま環かもしれないけど、
IX2215使ってNGN網VPNで2拠点を繋いでるんだけど、夏になって暑くなりだすといつの間にか勝手にリブートしてる
稼働時間見ると1日1回はリブートしてる（大体室温26℃で内部温度43℃位で使用してる環境）
ハードウェアの諸元見ると、使用条件温度：0℃〜45℃となってるんだけどね
試しに筐体の横から、自作PC用の12cm角の静音FAN×2台を当ててやるようにしたら、勝手に再起動はなくなったよ
おま環かもしれないけどね IX2207を空調のない拠点に設置したことがあったけど、内部温度65度になってもびくともせず夏を乗り越えてたな
状況はそれぞれだろうけど... 使用条件の45℃って周囲温度なので、内部温度は70℃くらいまでは大丈夫たろ。知らんけど。 >>36
我が家の2215も兄・姉の家とNGNVPN繋ぎで運用してるけど今内部温度見たら60℃になってたわ…
今の所問題なく動いてるけど流石に真剣に熱対策しなきゃと思ってる Azureの拠点間VPN接続を試してみたくてIX2105を買った！
コマンドラインはよくわからない...
GUI設定でPPPoE接続設定、AzureのVPN接続設定すればいけるよね？
設定の参考になる良いサイトなどあれば教えて欲しい。
お願いいたします。 何だかんだでNEC公式のドキュメント読むしかないよ
コマンドリファレンスと設定例のPDFだけで何とかはなるし、
これで何ともならんのなら扱うのおそらく無理 IS2215のローカル側に
・WindowsPC5台
・無線LANルーターをブリッジモードでぶら下げて
（そのWifiにスマホのAndroid端末が12台くらいとiphone1台、ipad1台がぶら下がっています。）
全ての端末には、IS2215のDHCPv4サーバ機能使ってIPを割り振っています。
起動して数日するとWindowsPCいがいの端末のうち数台が不定期でインターネットに接続できない状態になり、
・問題の端末を再起動してもダメ
・無線LANルーター（ブリッジモード）本体を再起動してもダメ
・ISを再起動すると繋がるようになります。
PCでは同じようにぶら下がっているWindowsPCでは一度も問題が出ていません。
調べましたが、IPのコンフリクトは起きていません。
数日おきに不定期で発生しますが、一体どんな原因が考えられるでしょうか？
もしくは、
IS2215の再起動でなおるので、定期的な再起動でも問題ないのですが指定時間や、指定間隔毎にISを再起動させる設定ってありますでしょうか？ ↑
すみません。
ISじゃなく、IXの間違いです。 IPの払い出しの範囲が狭すぎて枯渇してるとかでは？ >>43
記載された情報を整理すると、
※wifiルーター配下の機器のみに異常がでる
※wifiルーター再起動で改善せず
※ix2215再起動で改善
ということであれば、ハード面で考えられるのは
※ix2215 GE2のwifiルーター刺さってるポートにトラブルが発生してる可能性
GE2側を通常のsw-hubとして運用されてるのであればwifiルーター刺さってるのを別のポートに挿して様子をみてみる
改善しなければsh tecコマンドで原因見つけ出す
て流れになりますかね
そうなると>>45の可能性も十分考えられると思います >>46
かなりのど素人な私はNAPTテーブル枯渇かと思ったけど
2215もファームが古いと、デフォルトエントリー数が少ないし 試しにスマホのmacアドレスランダム化を解除してみては。
先に確定させたいなら、DHCP配布リストのmacとスマホが通信できなくなったタイミングでのランダム化macが一致している事の確認 arp auto-refresh してなかったらしてみれ。
あてずっぽうだけど。 >>47
NAPTテーブル溢れの線は薄いかなぁと
※初期の2215のNAPTテーブル保持数は65535（現ファームでは25万）なので、20台弱（うちPCが5台）の利用規模であれば古いファームでも十分捌けそう
※仮にテーブル溢れだとしたらスマホに限らずPC含め全体に症状が出ると考えるのが自然
※2215の機能で仮にスマホipadを指定してテーブル上限を厳しく指定していて溢れた場合も症状は全く繋がらないというのではなく、繋がったり繋がらなかったり、webサイトの表示がおかしかったりという症状になる
以上のことからハードウェア要因を除外すれば私もDHCP絡みの線からまずは調べていくと思います >>47
よく見てなかった申し訳ない
不定期に繋がらなくなるという症状なので、症状が出る数台というのが毎回同じ端末というのであれば端末ごとに上限テーブル数を設定してあってそれから溢れてるという線も残りますね >>43
モバイル側のプライベートWI-FIアドレスの問題ですと、
モバイル側にて、同機能を無効化、IPアドレストラッキング機能の無効化、
Safari側のトラッキング機能の無効化、
あと、無線ルーター側ですが、モバイル側の仕様変更にて、
従来型の暗号化レベルですと、DNSトラッキング機能を設けている状況ですので、
出来れば、WPA3-SAEの対応モードにされた方が良いかと思います。
MACアドレスがらみの問題のケースが濃厚ですが、IXルーターに限らず、
業務系ルーターは、MACアドレスにてIPアドレス制御をさせているので、
MACアドレス周りをご確認頂く形になります。
あと、端末台数が多い形にですと、MACアドレスでのDHCPサーバ制御の部分が
御座いますので、IXルーターから見てスイッチ系のカスケードが多い、またそのカスケードの
遅延の問題でIPアドレスのリクエスト処理に問題が有る場合には、
無線ルーター側をブリッジモードでは無く、ルーターモードにして、
無線ルーター側のDHCPを運用し、IXルーターへの接続は、WAN側固定IPの設定を
することで、DHCPの遅延は回避出来る部分が御座います。
例 IXルーター（192.168.1.1/24、DHCP192.168.1.2〜192.168.1.100）
無線ルーターWAN側IP（192.168.1.254/24、デフォルトゲート192.168.1.1、DNS192.168.1.1）
無線ルータープライべートIP（192.168.2.1/24、DHCP192.168.2.2〜192.168.2.100）
↑ IXルーターから、無線ルーターのLAN側に接続している機器へのアクセスを考慮する場合には、
IXルーター側にLAN側ルーティング設定を確認して頂ければ、おそらくは大丈夫かと。
例 ip route 192.168.2.0/24 192.168.1.254 ほぼ常時接続のWindowsは問題なくて、スマホだけでしょ
しかも最初は大丈夫で時間経てば…だから
個人的には十中八九はDHCPのIP払い出しの枯渇だと思うんだよな ランダムMACって一旦登録されたら
そんな頻繁に変わらん気がするんだけどなぁ
ウチはスマホ30台くらいでランダムMAC処理させてるけど特に問題出てないよ
実際 端末管理で接続状態見てみると分かる
コロコロ変わるならその都度項目増える筈
DHCPの範囲指定とリースタイムの設定くらいじゃない？ 無線LANブリッジのDHCPがONになってたりして ■ このスレッドは過去ログ倉庫に格納されています
