NEC UNIVERGE IX2000/IX3000 運用構築スレ Part11

**anonymous@fusianasan** · 2022/07/17(日) 19:33:54.82

>>113-114
またまたコンフィグまで記載頂き、ありがとうございます！！
おっしゃる通りCatalyst3560を利用しています。配下に複数のL2スイッチがぶら下がっている状態です。
ブリッジインターフェースの理解が無いので、勉強を行おうと思います。
コンフィグ的にVLAN間ルーティングはIXでさせている理解でよろしいのでしょうか？
的外れな事を言っていたら申し訳ありません。

**anonymous@fusianasan** · 2022/07/17(日) 19:46:49.17

>>116

VLAN間ルーティングの件ですが、DHCPサーバをIXルーターにて実装する場合には、
タグVLANグループの設定とBVIインターフェイスの参加は必要になりますので、
複数サブネット（/23）での多数のクライアント端末が有る場合には、苦しいですね。

出来れば、IXルーターのDHCPサーバを利用せず、配下のL3スイッチ側のDHCPサーバ機能を
利用する様に設定し、IXルーター側との接続は、ポートベースVLAN・トランクポート接続、
そのトランクポート接続のLANグループに、タグVLANを参加させる方法がシンプルかと思いますが。

タグVLAN同士のルーティングですが、BVIインターフェイスの参加するセカンダリアドレス
の要件によって、IPセグメント同士のアクセスは可能です。
セカンダリアドレスは、15アドレスまで登録可能です。

**anonymous@fusianasan** · 2022/07/17(日) 19:51:25.93

>>116
>>117

ブリッジインターフェイスの機能の件ですが、
シスコのISRルーターなどにも採用されていますが、
iOSのバージョン（17.1以降、16以前）によって、CLIコマンドが違う仕様になっていたかと思います。
中々、シスコルーター系ですと、大変かもしれませんね。
クライアント端末の規模によっては、ISR4000、8000等になるケースも御座いますが、
ライセンスも含めて、バカ高いので、却ってIX2235、IX2310、IX3315等にて、
SD-WAN、SD-LANの構成の方がコストパフォーマンスが良いですね。

**anonymous@fusianasan** · 2022/07/17(日) 21:30:34.36

>>117-116
L3スイッチのDHCPサーバー機能を完全に忘却れておりました！おっしゃる通りその構成がシンプルですね！
今まで設定した事がありませんでしたので、勉強して検証環境で動作確認をしてみようと思います。
L3スイッチでDHCPサーバーを利用する場合、ルーター側にスタティックルートの設定を行うと思います。
各VLANのネットワークアドレスへの通信のゲートウェイがL3スイッチのIPアドレスに向くよう設定したら問題ないでしょうか？
まだまだ勉強が足りませんでした。教えていただき、ありがとうございます。

**anonymous@fusianasan** · 2022/07/17(日) 22:14:07.51

>>119

ご推察の対応にて大丈夫かと思います。
IXルーターから、L3スイッチのトランクポートのIPアドレス、その先のVLANセグメント
宛へのスタティックルート設定にて対応確認となるかと思います。

**anonymous@fusianasan** · 2022/07/17(日) 22:40:16.83

>>120
顔も名前も知らない人間に色々教えていただきありがとうございます！
非常に勉強になりました。理解しきれてない部分もありますが、これから勉強をして理解しようと思います。

68 · 2022/07/18(月) 01:24:37.24

>>102
>>103

お返事ありがとうございます。
ACLの掛け方に対して私の知識がかなり不足している様なので、これを機会に勉強してみます。
本日、早速コンフィグの入れ替えしてみます。
ありがとうございます

**anonymous@fusianasan** · 2022/07/18(月) 07:47:00.37

>>121

「Catalyst 3560」スイッチのDHCPサーバの件、承知致しました。　
　同スイッチの場合、IP-Servicesライセンスを必要とするかと思いますので、
　そのライセンスをご確認下さい。

　複合サブネットを運用されているとのことでしたので、シスコのL3スイッチになる
事は仕方なかったかもしれませんね。
　ソフトウェアライセンスやサポートライセンス等のライセンスのイニシャルコストが
バカ高いので、ライセンスの状況によっては、他社のL3スイッチの方が良い場合も御座います。

L3スイッチ
　ネットギア　「M4300」シリーズ、「M4500」シリーズ
　NEC　「QX-S5628GT」、「QX-S5124GT」シリーズ

　NEC系ですと、IXルーターのクラウドサービス連携で一元運用管理が出来る
ようになっています。　→　Netmeister

　

**anonymous@fusianasan** · 2022/07/18(月) 15:06:12.60

あげ

**anonymous@fusianasan** · 2022/07/18(月) 18:37:20.09

>>123
本日検証環境で動作確認を行いました。想定通りの動作になりました！
IXが別のサブネットにDHCPサーバーとして稼働させる事が出来ないのは盲点でした。
しかし、ご教授頂いた手順で想定の動作にする事ができ、安心しました。
おっしゃる通りライセンスや保守費がバカになりませんので、考える必要がありますね。
ルーターをUNIVERGE に置き換えを行うので、スイッチも置き換えると一元管理が出来るのは便利ですね。
本当にありがとうございます。

**anonymous@fusianasan** · 2022/07/18(月) 19:49:21.40

>>125

良かったですね。
IXルーターのDHCPサーバ機能ですが、別セグメントの動作はタグVLANとBVIの制約
は付きますが、DHCPサーバーとして動作させて、配下のL3スイッチにてDHCPリレーエージェント
の動作や、配下のスイッチ側がNECのUNIVERGE QXのタイプでしたら、
DHCPサーバのVLANインターフェイスとBVIインターフェイスグループにDHCPプロファイル
の条件適用にて、動作させる方法はあるかと思いましたが、
そのような形ですと、IXルーターのリソースを若干かかる点、L3スイッチのメリットが
活かせなくなります。

IXルーターを用意される場合でしたら、配下のL3-L2スイッチをUNIVERGE QXのタイプを
用意して、IXルーターをNetmeisterの管理モードにて動作する設定、L3-L2スイッチを
Netmeisterのクライアントモードの運用、接続端末のデバイスマップ機能にて、
端末の部分も含めて一元化は可能です。

その際にですが、ゼロタッチ・プロビジョニングの運用にて、IXルーター等の故障時の
交換作業の簡略化も可能かと思います。

**anonymous@fusianasan** · 2022/07/18(月) 19:53:50.36

>>125
>>126

ネットワークの一元化が出来ましたら、次のフェーズは、
端末の台数が多いと見受けられましたので、簡単にはいかないかもしれませんが、
UTM等のセキュリティ関連の統合化も検討された方が良いかもしれません。

現状、シスコのFirePowerなどの運用をされていましたら、特別不要かと思いましたが、
シスコ系のUTMは非常に高く、現在利用されていない状況でしたら、
ParoaltoやFortigateあたりの方が良いかもしれません。

**anonymous@fusianasan** · 2022/07/18(月) 20:51:25.26

>>126-127
ルーターのリソースを減らす事とＬ3スイッチのメリットを活かす構成を考えると、
DHCPサーバーはL3スイッチになるのですね。
Netmeisterでの一元管理が可能な点、現状の管理の手間を考えると、配下のL3,L2スイッチの置き換えを考える必要があるかもしれません。
予算との兼ね合いですが、検討していこうと思います。
UTMはFortigate60Fをトランスペアレントモードで導入しています。L2の機能しか使えておりませんが、、
Ciscoコマンドに慣れているせいか、Fortiのコマンドとコンフィグの量に難儀しております。
詳しく教えていただき、非常に感謝しております。ありがとうございます。

**anonymous@fusianasan** · 2022/07/18(月) 21:16:49.37

>>128

Fortigate60Fですか。
Fortigateトランスペアレント・ブリッジでも、端末台数が20～30台のNATセッション
でのセキュリティポリシーですと、フローモードがギリギリかもしれません。
Exploit-Proxyモードですと、15～20台前後が精々かもしれません。

端末により、フローモード、Exploit-Proxyモードを分けて運用することは可能と存じます。
DNSフィルタ機能、スパムメール対策機能を併用すると、リソースの影響が大きいので、
DNSフィルタ機能を利用せずに、Cisco Umbrellaの併用、スパムメール対策は、
レンタルサーバ側のスパムメール対策機能を利用するようにされた方が良いかもしれません。

**anonymous@fusianasan** · 2022/07/18(月) 23:14:55.42

ix2015の思い出話でもしようぜ

**anonymous@fusianasan** · 2022/07/18(月) 23:18:51.98

>>130
オクで5000円で仕入れてファームを最新にして15000円で売れてた頃が懐かしい

**anonymous@fusianasan** · 2022/07/19(火) 04:17:12.94

なんかすげ-スレ伸びてんなwww

IX2015は既に捨てたよ
IX2215が格安で手に入るしね　IX2207はまだ高いけど....

てかさ、このスレずっとROMってたんだけど
フレッツipv6の折り返し拠点接続使えば、ひかり電話の転送が無料で可能じゃね？？
最近、テレアポ増えてて糞みたいな売り込みで携帯転送料金払わされるのがほんと馬鹿馬鹿しい

**anonymous@fusianasan** · 2022/07/19(火) 07:53:58.34

>>132
北海道の事務所の電話、VPN使って東京で受けてるよ。

**anonymous@fusianasan** · 2022/07/19(火) 08:14:22.27

>>133

ここで言う、VPN利用は、Asphire UX、WX　利用ですか？

**anonymous@fusianasan** · 2022/07/19(火) 16:20:19.60

pppoeでVPN接続したひかり電話って、音声の遅延が発生しそうで事業用では少し怖いな

**anonymous@fusianasan** · 2022/07/19(火) 17:23:03.98

>>135

VPNネットワーク形態を利用するのであれば、
AsphireWX-Plus主装置と、IXルーター併用にて、NECのクラウドリンクにて、
スマホ内線を利用する　「UNIVERGEどこでも内線サービス」の方が良いんですけどね。

**anonymous@fusianasan** · 2022/07/19(火) 17:32:30.53

ヤフオクでIX2105値下がりしたね。
例の10台単位の出品が効いているね。

**anonymous** · 2022/07/19(火) 17:35:24.85

IX2105はもう需要がなさそう

**anonymous@fusianasan** · 2022/07/19(火) 17:51:45.64

>>138
小型で安いのでまだ好き。

**anonymous@fusianasan** · 2022/07/19(火) 18:50:27.94

>>136
主装置のplusなしの型落ちなら2万円程度で手に入りますな。
ただ、どこでも内線サービスのサブスク費用はさすがNECですね～高い
確か、IXはsip-nat通らなかった記憶あるんだけど、今は通る様になったんだね

**anonymous@fusianasan** · 2022/07/19(火) 18:53:52.17

故障用のスペア部品としてIX2105買っとくかな？
オクで出品されてるのは一台あたり2-3千円は安いね

**anonymous@fusianasan** · 2022/07/19(火) 20:12:14.67

>>140

現在のAsphireWX-PlusとIXルーターの連携ですが、
IXルーターのVOIPフォワーディング、QOSシェービング、優先帯域・カラーリングを併用して
音声帯域を確保するようになっています。

他社クラウドPBXでの運用構築も、その様になっていますので、
クラウドサービスを併用する場合には、そのサービスにて利用されています
ポート番号、RTSPポート、UDP5060-5091等の帯域割り当てにて対応は可能と存じます。

**anonymous@fusianasan** · 2022/07/19(火) 23:00:28.14

>>129
そうなんですよ。端末数が年々増えてきて厳しい状態になっています。
スパム対策を行っていたのですが、現在は無効にしています。
機材の再選定が必要かと考えています。
教えていただいた設定を検討していこうと考えています。ありがとうございます。

**anonymous@fusianasan** · 2022/07/20(水) 00:28:50.38

>>140
昔はSIP-NAT拡張ソフトウェアセットでSIP-NAT機能を追加出来たけど、今は無理でしょ
UNIVERGEどこでも内線サービスはVPNで繋ぐクラウド側にSIP-NAT機能があるのでは？

**anonymous@fusianasan** · 2022/07/20(水) 10:11:39.24

>>144

SIP-NATはあくまでも、SIP対象のポートを特定のIP端末にNAPT転送するだけの
ものですので、他社のSIP-NATの仕様もそうですが、特定のSIP条件には制約が御座いますので、
実用上は、VOIPポートや特定のIPネットワークに一定の帯域割り当てをするのが本旨
になっております。

Asphire主装置でのシステム間接続も、それを趣旨にQOSやVOIP制御を仕様として
組まれていますので、敢えて特定のメーカーに限ってSIP-NATがキチンと動作するという
ことにはなっておりません。

Asphire主装置のシステム間接続も、IXルーターを併用したり、内蔵のルーターユニットとブリッジングさせて、
VOIP内線をするようになっております。

**anonymous@fusianasan** · 2022/07/20(水) 10:14:53.69

>>143

Fortigateの機種を１～２ランク上の製品の選択、FortigateのSyslogデータをFortinet
のクラウドサーバへシスログ連携するようになっていますので、
そのシスログ制御の部分を、クラウド側ではなく、社内のシスログサーバへ保存する様に
変更するだけでも、一定のリソースの低減は可能かと思います。

**anonymous@fusianasan** · 2022/07/20(水) 22:30:04.50

>>145
SIP-NATはL7の話だよ
話ずれまくってますわ

**anonymous@fusianasan** · 2022/07/21(木) 03:26:48.91

>>147

ここでの質問は、Asphire主装置とUNIVERGEどこでも内線サービスを使用しました際に、
SIP-NATが実装しており、必要であるかというアンサーになります。

L7層でのプロセスの話は、全く違う次元のお話になります。
主装置側の機能やクラウド側には、あえてそういった機能項目は無い言うことになりますが、
代替の機能にて対応するようになっております、

工事マニュアルにもそういった形になっております。

**anonymous@fusianasan** · 2022/07/22(金) 15:25:41.97

困ったね。

ここ最近までは普通に使えてたものが、
ここにきて使えない所が出てきた。

ドコモ10G+ぷらら(ocnバーチャルコネクト)でポート開放してるんだけど、
ぷらら(ocnバーチャルコネクト)の所からだけ繋がらなくなった。

ocn pppoe の所からだと今でも繋がるし、softbank モバイルルーターからも
スマフォ(docomo) からも繋がる。

合併してなにかこっそり変更したかねぇ。
syslog を debug で取ってもなしのつぶてなんだよねぇ。
つまり上流のルーターで弾いてるって事かねぇ。

**anonymous@fusianasan** · 2022/07/22(金) 16:20:24.42

>>149

ドコモさまですか。
別件にて、先日ドコモさまのトラブルも出ていたぐらいですので、光回線のトラブルとは
関係性は無いですが、OCNバーチャルコネクトをご利用とのことでしたので、
グローバル固定IP等の契約でしょうか？

CGN回線でしたら、ほぼ無理筋かと思いますが。

**anonymous@fusianasan** · 2022/07/22(金) 16:30:44.66

一般向けのOCNバーチャルコネクトってMAP-Eじゃなかったっけ？
ぷららってことは一般向けじゃないかと思うけど、MAP-Eで割り当てられたポートレンジが変わったりしてない？

**anonymous@fusianasan** · 2022/07/22(金) 16:32:28.02

ああごめん、違うか
ぷらら側から接続してきてるのね...

**anonymous@fusianasan** · 2022/07/22(金) 19:05:19.70

P2P型アプリケーションで接続元と接続先で割当範囲違うから同じポート番号が使えないせいで接続できないだけじゃないの

**anonymous@fusianasan** · 2022/07/23(土) 00:58:56.17

バーチャルコネクトって事なら、回線はNGNだろうから網内折り返しのIPv6でtunnel掘れば良いのに。
東西跨いでるなら仕方ないけど。

68 · 2022/07/23(土) 02:56:36.91

>>102
interface GigaEthernet0.1 へ　ip filter flt-list1 1 in　を入れた状態でB拠点のＬＡＮ側端末がＡ拠点を通過してネットへ繋がる事が出来ました。　コンフィグ等のご教示頂いたお蔭です。
続けて質問で申し訳ありませんが・・　>>85　で示した頂いたコンフィグ（B拠点にのみ投入）で

ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 80
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 443
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 25
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 587
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 143
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 993
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 995
ip access-list etherip-isp1 permit udp src 192.168.101.0/24 sport any dest any dport eq 8080

route-map r-map permit 10
match ip address access-list etherip-isp1
set ip next-hop 192.168.101.253

route-map r-map permit 10 自体を削除しても、ip filter flt-list1 1 in のコンフィグがある　interface GigaEthernet0.1 へ

ip filter sec-list 65000 in
ip filter sec-list 65000 out

を入れてしまうと、B拠点のLAN側端末はA拠点を通過してインタ-ネットへ出て行けます。
もしかして、もう　route-map r-map permit 10　は消しても問題ないと言う事で宜しいでしょうか？？

また、A拠点IXのtelnetサーバ－;(23番ポート)にB拠点下部の端末から接続出来てしまいますね。
私の認識ではIXは書いていないアクセスリストについては全て拒否設定だと認識しております。
B拠点側端末に対してA拠点へ向けて上記アクセスリストのポート以外(80・443..等)は塞いだ方が良いと言う認識であってます？？

一応、AとB拠点のコンフィグはコチラで、そして互いに接続出来ました
https://imgur.com/a/Oh2rqEa
https://imgur.com/a/TX7XlvD

68 · 2022/07/23(土) 02:59:29.49

あと、AとBの両拠点のIXを再起動すると、B拠点のLAN側がA拠点とVPN接続完了まで、数分が掛かります。
これが以前に仰っていた両拠点DDNS同士の接続が負荷が掛かると言うことでしょうか？？

すみません　質問ばかりで・・
別でご教示頂いたIDSフィルタリングはこの後のコンフィグを投入予定です。

あとココの皆さま度重なるスレ汚しごめんなさい。

**anonymous@fusianasan** · 2022/07/23(土) 06:20:12.97

>>155
>>156

そうですか、良かったですね。
「ip filter sec-list 65000 in
ip filter sec-list 65000 out

を入れてしまうと、B拠点のLAN側端末はA拠点を通過してインタ-ネットへ出て行けます。
もしかして、もう　route-map r-map permit 10　は消しても問題ないと言う事で宜しいでしょうか？？」

↑の件ですが、　A拠点、B拠点のPPPOEセッション側のIPフィルタ機能にて、
それぞれのPPPOEセッション側のWAN→LAN側、LAN→WAN側のポートの許可ですが、
最終エントリー（65000）にて全て許可をしている状態でしたが、その最終エントリーを
入れない状態ですと、ESPプロトコルとUDP500、UDP4500、UDP1701のみの許可なのですが、
PPPOE側からHTTP、HTTPS、他メールなどのポートは許可をされていない状況でしたので、
論理的には、Ａ拠点のPPPOEセッション側には、最終エントリー65000は利用して、
B拠点側には、最終エントリー65000は利用しない形がベストと思いますが。

ルートマップの処理（ポリシールーティング処理）を削除して、PPPOE側のIPフィルタのエントリー
を削除する形ですと、それぞれの拠点のセキュリティの関係上、もう少し、
危険なポートとのアクセスを制限していく方向が必要かと思いましたが。

**anonymous@fusianasan** · 2022/07/23(土) 06:21:22.05

>>155
>>157

続きです。
「B拠点側端末に対してA拠点へ向けて上記アクセスリストのポート以外(80・443..等)は塞いだ方が良いと言う認識であってます？？」

↑　の件ですが、IPSECトンネルのIPフィルタの処理にて、アウトバウンド側として、
拒否する様なアクセスリストが望ましいかと思います。
若しくは、A拠点側のIXルーターのtelnetサービスにログイン出来るIPアドレスを制限
する方法もあるかと思います。

該当箇所
ip access-list telnet permit ip src 192.168.101.0/24 dest any
telet-server ip access-list telnet
telnet-server ip enable

修正箇所
ip access-list telnet permit ip src 192.168.101.***/32 dest 192.168.101.0/24
no ip access-list telnet permit ip src 192.168.101.0/24 dest any

***に、アクセス許可するIPの第四オクテットを入れる

DDNSの更新については、IPSECアグレッシブモードの運用形態にて、仕方ないかもしれません。
それとコンフィグ内にて、IPSEC-SAの更新のためのネットワークモニターの機能が
未適用、DDNSでの名称解決のネームサーバの設定をされていないので、
任意のネームサーバを適用しないと、名称解決に時間がかかるケースも想定されます。
DDNSでしたが、MyDNSでないといけませんか？

Netmeisterの方が、性能面で良いかと思いました。
念のため、ネットワークモニターの設定例、ネームサーバの登録、Netmeister等の
登録例を転載致します。

**anonymous@fusianasan** · 2022/07/23(土) 06:34:04.21

>>155
>>158

ネームサーバの登録例（A拠点、B拠点それぞれ）
proxy-dns ip enable
proxy-dns server 8.8.8.8 priority 254
proxy-dns server 8.8.4.4 priority 254
ip name-server （契約プロバイダのプライマリDNSサーバ）
ip name-server （契約プロバイダのセカンダリDNSサーバ）
dns cache enable
dns cache max-records 1024

ネットワークモニターの設定例（B拠点側）
watch-group etherip-ipsec 10
event 10 ip unreach-host 192.168.101.254 Tunnel2.0 source BVI1
action 10 ipsec clear-sa Tunnel2.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60
network-monitor etherip-ipsec enable

Netmeister-DDNSの登録例（A拠点、B拠点それぞれ、事前にNetmeister
のサイトにて、ユーザー登録を要します）
nm ip enable
nm account （netmeisterのユーザー登録名） password plain (netmeisterの登録パスワード）
nm sitename （netmeisterの登録サイト名称）
nm ddns notify interface GigaEthernet0.1 protocol ip
なお、A拠点、B拠点にMyDNSやNetmeisterの登録をされるケースでしたが、
IPSECアグレッシブモードでは無く、DDNS同士のメインモードの方が、レスポンス的には
良いかと思います。
メインモードの設定例も転載致します。

**anonymous@fusianasan** · 2022/07/23(土) 06:38:29.76

>>155
>>159

既存のIPSECの設定としては、既に、IPSECメインモードの設定をMyDNSにて設定されていますので、
先述のネットワークモニターの設定は、A拠点、B拠点向けに設定をしておく形が良いかと思います。

ネットワークモニターの設定例（A拠点側）
watch-group etherip-ipsec 10
event 10 ip unreach-host 192.168.101.253 Tunnel2.0 source BVI1
action 10 ipsec clear-sa Tunnel2.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60
network-monitor etherip-ipsec enable

**anonymous@fusianasan** · 2022/07/23(土) 06:42:22.18

>>160

IPSECメインモードの接続のDDNS更新の部分でしたが、フレッツV6オプション（IPV6-POE）
のプロバイダにすることで、性能の底上げは可能と存じます。

Netmeister-DDNSは、IPV6-IPOEやフレッツV6オプションの閉域網のIPSECに
対応しております。

**anonymous@fusianasan** · 2022/07/23(土) 21:26:34.97

また大量の2105がヤフオク出品

68 · 2022/07/23(土) 23:22:03.22

>>157-161

お返事遅くなりましたごめんなさい...
貴重なコンフィグ例まで頂いてありがとうございます。
凄い知識量ですね～　私はこのコンフィグを見てまだ良く理解出来ていないので、まずは設定事例集とコンフィグリストを読みながら理解をしていきつつ進めていきたいと思います。
MyDNSよりNetmeister-DDNSの方が性能良いなんて初めて知りました。目からウロコです。
とても助かりました

**anonymous@fusianasan** · 2022/07/24(日) 04:30:51.46

>>163
ネームサーバの登録の件ですが、PPPOEの動的IPの契約の場合ですが、
MyDNSやNetmeisterなどのDDNSに共通ですが、グローバルIPとDDNSの紐付けアクセスに、
プロバイダのネームサーバを参照し、DDNSの更新をする様になっていますので、
ご指定のコンフィグでは、Proxy-DNSとname-serverの設定を明示的に設定をされていませんでしたので、
グローバルIPの名称解決のために、name-serverの登録をして、グローバルIPとの
名称解決がスムースに出来るようにイメージしております。

あと、IPV6-IPOEやフレッツV6オプションの件ですが、
NTTギガ回線以上の回線の場合には、フレッツV6オプションが自動加入になっているかと思いますので、
そのフレッツV6オプションのサービスより、割り当てのIPV6グローバルアドレス
を利用して、IPV6-IPSEC・メインモードの接続にするイメージになります。
そのIPV6グローバルアドレスをNetmeister-DDNSにて名称解決させて、
Netmsiter-DDNS同士のIPSECに切替える形が良いかと思います。
以下設定例（IXルーターの上位にNTT光電話ルーターが有る場合）
ipv6 ufs-cache max-entries 65535
ipv6 ufs-cache enable
ipv6 cache-size 25300
ipv6 dhcp enable
ipv6 access-list block-list deny ip src any dest any
ipv6 access-list dhcpv6-list permit udp src any sport any dest any dport eq 546
ipv6 access-list dhcpv6-list permit udp src any sport any dest any dport eq 547
ipv6 access-list icmpv6-list permit icmp src any dest any
ipv6 access-list other-list permit ip src any dest any
ipv6 access-list tunnel-list sequence-mode 100
ipv6 access-list tunnel-list 100 permit 4 src any dest any
ipv6 access-list dynamic cache 65535
ipv6 access-list dynamic dflt-list access other-list
ipv6 dhcp client-profile dhcpv6-cl
information-request
option-request dns-servers
option-request ntp-servers

**anonymous@fusianasan** · 2022/07/24(日) 04:32:42.08

>>163
>>164

続きです。
ipv6 dhcp server-profile dhcpv6-sv
dns-server dhcp

interface GigaEthernet0.0
description IPV6
no ip address
ipv6 enable
ipv6 dhcp client dhcpv6-cl
ipv6 mld upstream
ipv6 mld version 2 only
ipv6 traffic-class tos 0
ipv6 nd proxy BVI1
ipv6 filter dhcpv6-list 1 in
ipv6 filter icmpv6-list 2 in
ipv6 filter tunnel-list 3 in
ipv6 filter block-list 100 in
ipv6 filter dhcpv6-list 1 out
ipv6 filter icmpv6-list 2 out
ipv6 filter tunnel-list 3 out
ipv6 filter dflt-list 100 out
no shutdown

interface BVI1
ipv6 enable
ipv6 dhcp server dhcpv6-sv
ipv6 nd ra enable
ipv6 nd ra other-config-flag

**anonymous@fusianasan** · 2022/07/24(日) 04:33:41.32

>>163
>>165

続きです。
Netmeiste-DDNSをIPV6アドレスを監視させる場合（LAN側インターフェイス、BVI1等）
nm ip enable
nm account （netmeisterのユーザー登録名） password plain (netmeisterの登録パスワード）
nm sitename （netmeisterの登録サイト名称）
nm ddns notify interface BVI1 protocol ipv6

IPV6-IPSECに切替えるポリシー（A拠点側）
ike policy ike-policy peer-fqdn-ipv6 （B拠点側Netmeister-DDNSアドレス） key （事前共有キー） ike-
prop
ipsec autokey-map ipsec-policy sec-list peer-fqdn-ipv6 （B拠点側Netmeister-DDNSアドレス） ipsec-prop

IPV6-IPSECに切替えるポリシー（B拠点側）
ike policy ike-policy peer-fqdn-ipv6 （A拠点側Netmeister-DDNSアドレス） key （事前共有キー） ike-
prop
ipsec autokey-map ipsec-policy sec-list peer-fqdn-ipv6 （A拠点側Netmeister-DDNSアドレス） ipsec-prop

↑　のようなイメージになります。
IPV6アドレスは、LAN側にブリッジ動作のような形になります。

68 · 2022/07/24(日) 21:53:19.08

>>164-166
感謝感激です！　ipv6の拠点接続なんて雲の上の様な存在です
もちろん、私の２拠点の光回線はフレッツでして当初はipv6通信の為にＮＴＴを選んだ次第です。
この頂いたコンフィグ例は俗にいうフレッツipv6同士の折り返しですよね？
このスレでも700M近くの通信速度が出るとの書き込みを読んだ事があり、ぜひチャレンジしてみたい設定です。
ただ、現実はまだ脳みそが情報についてこれていない感じです。
いつも助けて頂いてありがとうございます。
ネ－ムサ－バ－のコンフィグの理解も初めて出来ました。ＩＸがどんな挙動を示すかとても楽しみです。
pppoeの拠点接続の再設定については、また報告させて頂きます。ありがとうございます。

**anonymous@fusianasan** · 2022/07/25(月) 17:36:22.31

>>167

承知致しました。
フレッツV6オプションのIPV6閉域網接続の件ですが、
組み合わせとしてですが、

A拠点側のインターネット機能をV6プラス・固定IP等の回線に切替えをして、
B拠点は、プロバイダ無しの構成、またはPPPOE動的IPの回線、若しくはコラボ光
の回線で、V6プラス・固定IPのプロバイダも御座いますので、そちらの組み合わせ
にする方法もありかと思います。

68 · 2022/07/25(月) 23:32:23.76

>>168
ありがとうございます。
光電話の契約はA拠点のみですが、2拠点共にplala光のv6プラスオプションも利用していますので、pppoe拠点接続完了後にぜひやってみたいてすね～
なんせIPsecでv6折返しで1G近く速度が出るって単純にエグイです。
プロバイダー契約無しとは、光ライトですね。
両方共に戸建て契約なので、少しでも通信料金が下がるのは嬉しいです
ほんと感謝しかありません

**anonymous@fusianasan** · 2022/07/26(火) 07:45:37.89

>>169

そうですか。

A拠点、B拠点共、ぷらら光のV6プラス・動的IPの場合、利用出来るポート数に制限（240ポート）があるため、
インターネットのポートを多用するアプリケーション等の制限を回避する形ですと、
V6プラス・固定IPの切替えは必要かと思います。

V6プラス固定IPの申込みをされる場合ですが、ぷらら光・V6プラス系（ぷららv6エクスプレス）の解約
を要しますので、解約後、V6プラス固定IPの申込み（NTT CAF番号の併記する事）
が可能になります。

※　https://21ip.jp/

A拠点は、NTT光電話ルーター配下と言う事ですので、NTT光電話ルーターのIPV6-IPOEフィルタの
許可（双方向、ANY許可）、IXルーターはND-Proxyの設定になります。
B拠点は、ぷらら・V6プラスのみでも構いませんが、光電話機器・契約が無しということですので、
IXルーターは、ND-Proxyの設定になります。

ND-Proxyの設定ですと、A拠点のIPV6アドレスは、BVIインターフェイス側にブリッジング
される形になります。
B拠点は、ぷらら光・V6プラスなどの設定は無しと言う構成になりますね。
IPV6インターネット系のIPV6アドレスは、A拠点のIPV6インターネットのBVIブリッジング
動作という形になるかと存じます。

68 · 2022/07/26(火) 21:54:21.13

>>170

すごい知識量ですね～
私は全然脳みそが付いていけません...涙

教えて頂いた内容がまだ全て理解不足なのですが・・

>>V6プラス固定IPの申込みをされる場合ですが、ぷらら光・V6プラス系（ぷららv6エクスプレス）の解約
を要しますので、解約後、V6プラス固定IPの申込み（NTT CAF番号の併記する事）
が可能になります。

※　https://21ip.jp/

この解釈ですと

A拠点　　現在　plala光　+　plala V6エクスプレス →　　今後　plala光　+　21ip.jpの固定v6サービス
B拠点　　現在も今後も同じ　　plala光　+　plala V6エクスプレス

と言う事で宜しいでしょうか？？

あと、ご紹介頂いた　21ip.jp社　の契約メニュ－ですが・・
V6プラス固定IP　2550円　のメニュ－で宜しいのでしょうか？？

食わず嫌いで「ND-Proxy」を全く調べていなかったのですが、やっと理解出きました
ipv6のフィルタ－機能だったんですね
ありがとうございます。ココでいつもめちゃくちゃ勉強させて頂いています。

**anonymous@fusianasan** · 2022/07/26(火) 22:33:03.20

>>171

ご質問の件ですが、

A拠点　　現在　plala光　+　plala V6エクスプレス →　　ぷらら側にてIPV6-IPOEは利用しない契約、21ip.jpの固定v6サービス
B拠点　　こちらは、plala光のみでもOKですが、NTTギガラインのみでもOK（ライト系は不可）

※　A拠点についてですが、ぷらら光の場合にはIPV6-IPOEが基本契約にセットされている契約ですので、
IPV6-IPOE（ぷららV6エクスプレス）を解除すると、契約変更になるかもしれません。
　→　ぷららひかりメイト＋NTTギガスマートタイプ
　もし、契約変更でなければ、V6プラス・固定IPの契約が出来ない場合ですが、
　BIGLOBE光などでもV6プラス・固定IPとの組み合わせは可能ですので、ぷらら光から
BIGLOBE光への事業者変更承諾番号をぷららへ連絡して取得、その事業者変更承諾番号を
BIGLOBEへ手続きしてBIGLOBEへ変更することでも可能です。

「あと、ご紹介頂いた　21ip.jp社　の契約メニュ－ですが・・
V6プラス固定IP　2550円　のメニュ－で宜しいのでしょうか？？」

　↑　の件ですが、その解釈でOKです。（接続先上位経路を、備考欄へJPNEを明記下さい）

**anonymous@fusianasan** · 2022/07/26(火) 22:38:36.12

>>171
>>172

もし、ぷらら光からBIGLOBE光へ事業者変更申請をされる場合ですが、
ぷららのメールアカウントは、バリュープラン（月額250円前後）にて残す事は可能です。
BIGLOBE光の方の機能は、IPV6-IPOEとPPPOEを任意選択が出来るサービスになっています。
（IPV6-IPOEが前提とはなっていません）
　よって、コラボ回線の回線コストを低減させながら、高帯域のV6プラス・固定IPの組み合わせが出来る様になっています。

　ちなみに、アサヒネット光はIPV6-IPOEの解除は不可にて、解除するとフレッツプランに変更になります。

、

**anonymous@fusianasan** · 2022/07/26(火) 22:51:00.89

>>173

IIJMio光のサービスも、高帯域のv6プラス・固定IPの併用は出来るサービスになっています。
その際には、IIJMioのIPV6-IPOEは申込みはしない形にて、v6プラス・固定IPの申込みをする形になります。

ぷらら側の対応により、NTT光・ギガスマートタイプやギガラインへ変更になる場合には、
料金的な意味合いにて、ご検討下さい。

68 · 2022/07/27(水) 09:02:37.36

>>172
アドバイスありがとうございます

私はN西地域だったので、「NTTギガスマートタイプ」に馴染みがなくググってみたら...
半導体不足の影響で新規受け付け停止中なんですね～

一度、plala光へぷららV6エクスプレス解除の件問い合わせてみます。
もし事業者変更が必要であれば、今の回線は「光ネクストのファミリースーパーハイスピード隼」なのでコラボ光を止めてN西に戻ろうと思います。

度々質問して申し訳ないのですが・・

>>　↑　の件ですが、その解釈でOKです。（接続先上位経路を、備考欄へJPNEを明記下さい）

の２１ip.jp社との契約部分なのですが、都道府県や名前、NTTのCAF番号を入力する契約画面の一番下「連絡事項欄ご要望／ご質問等」にJPNEを記入の認識で合ってますでしょうか？

ごめんなさい。。何回も。。汗

**anonymous@fusianasan** · 2022/07/27(水) 10:44:18.10

>>175

NTT西日本なのですね。

「の２１ip.jp社との契約部分なのですが、都道府県や名前、NTTのCAF番号を入力する契約画面の一番下「連絡事項欄ご要望／ご質問等」にJPNEを記入の認識で合ってますでしょうか？

ごめんなさい。。何回も。。汗」

↑　の件ですが、その解釈にてOKです。

**anonymous@fusianasan** · 2022/07/27(水) 18:07:18.05

>>175

確かに、NTTギガスマートタイプのHGW（PR600、RT600系）の生産基板が不足している状況でしたが、
回線の申込みは可能です。

暫定処置・他社製品になりますが、
　
　・　NTT-HGWの代わりに、ヤマハ　「NVR510」を用意して、光電話収容設定（小型ONU運用）
の設定をして、DHCPv6-PD、LAN側にRAプレフィックス（Oフラグ）の配信設定をする。

　・　NVR510配下にて、IXルーターのIPV6取得方法をIPV6ブリッジ設定、若しくはND-Proxy
の設定をして、V6プラス・固定IPの接続をする。

　↑の方法にて、接続をされている方も居られます。

68 · 2022/07/28(木) 00:34:01.48

>>176
ご返信ありがとうございます
NVR510で光収容する件も夢がありますね。ただ、まだ高値止まりなので中古でも買えませんね
まずはまだ完了していないpppoeのIPsec接続を終わらせた後、ipv6の折り返しにチャレンジしたいと思います。
いつも色々教えて頂いてとても感謝を致します。

68 · 2022/08/04(木) 02:27:35.21

ご報告が遅くなりました。

実は・・　あれから原因不明のPPPOEエラ－がたまに発生し、IPSecのリンク切れが急に起こっていました。当初は設定ミスを疑っていたのですが、どうやらPR-500(ONU)とIXとの間に挟んでいたHUBがどうもきな臭い様で別途、新品(安物ですが)を発注したところです。
一体、このトラブルシュ－ティングで土日どころか、平日の深夜まで何日費やしたところか...
タチの悪い事に、再現性が全くなかったトラブルです。　新HUBが到着次第、またやってみます
もう疲れたよパトラッシュ....

**anonymous@fusianasan** · 2022/08/04(木) 10:29:31.57

>>179

NTT-HGW　に　スイッチングハブですか？
通常でしたら不要かと思いますが。
NTT-HGWのファームウェアは最新版へ更新をされていますでしょうか？
また、ひかりTV系のIPV6マルチキャスト系の通信をさせている場合には、
通常のスイッチングハブでは無くて、L2スイッチのMLDスヌーピング機能が搭載されている
タイプでなければ、無理かと思いますが。

通常の業務系・管理型L2スイッチにて、ポート毎にMLDスヌーピング制御させる形になりますが。

68 · 2022/08/04(木) 18:34:38.63

お返事ありがとうございます。

実はひかり電話をVPNで外部からの発信する為に

ONU背面蓋を開けてLANのメス側からLANケーブルを配線　→　安物の馬鹿HUB →　IX2215とNVR500、そしてONUの後部蓋の中にあるもう一つのLANケーブル（オス）とLANアダプタ使用でLAN同士を接続　
そして、NVR500のLAN側とONUのルータ機能側のLANを接続
ひかり電話はNVR500とMJケーブルで接続

自宅のNW構成はこれで運用をしておりました。
そして、今回のPPPOE利用でのIPSec接続で、新たに動的のIPv4回線を1回線を契約して、上記の馬鹿HUBにLAN接続し、下部にIX2215をぶら下げて試験をしております。

もしかして、この3セッションを利用している状態ですと、結構なお値段のMLDsnooping機能付きのスイッチが必要でしょうか？
それとひかりテレビは契約しておりません。
すみません…質問ばかりで

**anonymous@fusianasan** · 2022/08/04(木) 19:15:08.14

>>181

えー。
NTT-HGWの内蔵小型ONUより、LANスイッチにて分割して、
NTT-HGW　→　スイッチングハブ①　→　NVR500　の　光電話内線アナログ収容
NTT-HGW　→　スイッチングハブ②　→　IX2215のPPPOEセッション・Ether-IP接続でしょうか？

最終的に、IX2215のスイッチポート・BVIより、NVR500のスイッチポートのカスケード接続ですよね？

NVR500側にPPPOEセッションの確立をしておらず、
IX2215のみのPPPOEセッションでしたら、NTT光回線・１回線あたりのセッション数は、
２セッションまで可能な筈ですので、セッション不足では無いですね。
それよりもむしろ、NVR500側のルートと、IX2215側のルートに、IPV6アドレスが振られる形ですと、
問題ですね。
Ether-IPのIPSEC接続のブリッジ設定ですが、デフォルトにて、IPV6アドレスもブリッジングさせる
様になっていますので、IX2215側へはIPV6アドレスをブリッジングさせない形をしませんと、
IPV6アドレスのコンフリクトにて、それぞれの通信機器間の通信が不安定になる場合が想定されます。

以前のA拠点とB拠点のBVIインターフェイスの設定ですが、全ての通信がブリッジングする様になっていたかと思います。

bridge irb enable　←　のみでは、IPV4とIPV6アドレスをブリッジングする様になっていましたので、
IPV6アドレスは抑止するようにしませんと、何らかの障害は出るかもしれません。
bridge 1 bridge ipv6　←を追加することで、NTTの回線網より、IPV6アドレスのブリッジングは抑止
する様になるかと存じます。
A拠点側に光電話契約をされている状況だったかと思いますが、IPV6アドレスのコンフリクトが想定されますので、
B拠点共、上記のコマンドの設定が必要になるかもしれません。
上記の設定ですが、PPPOEセッションの契約より、V６プラス固定IPの契約にすると、
IPV6アドレスの抑止をすると、BVI機能では、IPV6アドレスの通信が出来なくなりますので、
ND-Proxyの設定が必要になります。
RAプレフィックスの通信と、それ以外のDHCPv6-PDの通信は、厳密に分ける事は出来ないので、
v6プラス固定IPの回線にされる場合には、
NTT光電話回線と、IX2215のEther-IP-IPSECの回線は分けないと、無理が出てくる可能性が御座います。

**anonymous@fusianasan** · 2022/08/04(木) 19:17:00.78

>>181
>>182

先ほどの追記しました、語句ですが、一部誤入力でした。

（誤）bridge 1 bridge ipv6　←を追加することで、NTTの回線網より、IPV6アドレスのブリッジングは抑止
する様になるかと存じます。

（正）no bridge 1 bridge ipv6　←を追加することで、NTTの回線網より、IPV6アドレスのブリッジングは抑止
する様になるかと存じます。

68 · 2022/08/04(木) 23:27:19.60

あ…
ごめんなさい…
私の認識は光プレミアム時代で止まってまして、1光回線辺り5セッションの認識でしたw
お恥ずかしい…

実は1光回線の環境でテストしており
NVR500用の固定ipv4が一回線、それとIPsec用（テスト用回線も含めて）の動的IPv4が２回線…
セッションが既に3回線なので、そら勝手にPPPOEが切断されるよなw
ほんと申し訳無い

>>182
NTT-HGWの内蔵小型ONUより、LANスイッチにて分割して、
NTT-HGW　→　スイッチングハブ①　→　NVR500　の　光電話内線アナログ収容
NTT-HGW　→　スイッチングハブ②　→　IX2215のPPPOEセッション・Ether-IP接続でしょうか？

最終的に、IX2215のスイッチポート・BVIより、NVR500のスイッチポートのカスケード接続ですよね？

IX2215とNVR500は完全に上位馬鹿HUBにて並行設置になってますので、カスケード接続等はしておりません。
IXのスイッチポートからカスケード接続出来るなんて初めて知りました。
少し調べてみます
いつもご教示ありがとうございます

**anonymous@fusianasan** · 2022/08/05(金) 03:51:01.37

>>184

ファミリー・スーパーハイスピードタイプ隼　ですが、標準２セッションで、最大５セッションの
接続サービスになりますので、PPPOEセッションが３セッション有る場合には、
フレッツセッションプラスの申込みが必要になります。
※　https://flets-w.com/opt/session_plus/

あと、光電話の内線の件ですが、NVR500に出先よりスマホのSIP内線がVPN経由にて出来る機能
が有ったかどうかは定かでは御座いませんが、NTT-HGWに直収でしたら、SIP内線は
出来る機能が有ったと思いましたが、
IX2215のBVIインターフェイスにカスケード接続する場合には、
IX2215へのリモートアクセス接続し、IX2215のBVIインターフェイスに収容している
VLANポートとカスケード接続しているHGW宛にSIP認証する形になるかと思われます。
実際には、検証が必要ですが、
例　NTT-HGW（192.168.0.1/24）　→　NVR500（192.168.1.0/24）にしている場合
IX2215のGE2.0-I/Fを、更にHGW用のVLANグループを追加して（既存のVLANですと、
GigaEthertnet2.2:0～GigaEthertnet2.3:0が利用されていないようですので、
Device GigaEthernet2
vlan-group 2 port 5 6 ←　と言う風に変更
no vlan-group 3 port 6　←　削除する
interface Gigaethernet0.0
no shutdown ←　改めてA拠点のPPPOEの物理インターフェイスを見たところ、シャットダウンしていましたので、
起動する
interface Gigaethernet2.0
no shutdown ←　改めてA拠点のPPPOEの物理インターフェイスを見たところ、シャットダウンしていましたので、
起動する
interface Gigaethernet2:2.0
ip proxy-arp
bridge-group 1 　←　ポート５～６をHGW側の接続ポートとして、BVIグループに追加する
no interface Gigaethernet2:3.0　←　削除
interface BVI1
ip address 192.168.1.254/24 secondary 　←　光電話の内線収容の場合のBVI・VLANグループに割り当てするIPアドレス

**anonymous@fusianasan** · 2022/08/05(金) 03:51:44.16

>>184
>>185

続きです。
↑　のような形になるかと存じます。
先述のお話の通り、GE0.0-I/Fには、NTT-HGWとDHCPv6-PDのアドレスが奪い合いのようなイメージにて、
IPV6アドレスが振られる場合が御座いますので、IX2215側には、IPV6アドレスはBVI側には配信しないようにする形に
なるかと思います。
NTT-HGW系とIX2215のBVIインターフェイス間のカスケード接続での光電話認証をする場合には、
検証が必要になるかと思います。
GE2.0-I/Fのポート５～６をHGW系のルートとしてイメージしていますので、
ポート５番からHGW系に接続、ポート６は、社内の無線LANアクセスポイント経由にて、
スマホ内線などをする場合のポートをイメージする形になるかと存じます。
よって、無線LANアクセスポイント側にて、通常のインターネットと音声内線用のVLANを
構成出来るタイプ、ESS-IDをVLAN毎に分ける形になるかと思います。

68 · 2022/08/05(金) 08:10:55.05

>>185-186
ご返事ありがとうございます

頂いた貴重なアドバイスから察すると、検証は必要との事ですがNVR500を撤去してIX2215のGE2.0側から直接NTT-HGWと接続するイメ－ジで宜しいでしょうか？？
まだ私の知識が付いていけてないので、ご教示頂ければ幸いです。
NVRを撤去出来るのであれば、機器のコンセントや置き場所に余裕が出るので嬉しいですね～

NVR500はNTT-HGWのSIPクライアントとして利用していました。もちろんひかり電話はNTT-HGWに直収しています。
NVR500を設置した経緯として、IX2215がSIP-NATが無いとの情報を見た事があったからです(本来は性能が良いIXをSIPクライアントにしたかったのですが・・)

>>182
を読ませて頂いたのですが、「bridge 1 bridge ipv6」のコンフィグをググってみると、とても良い勉強になりました
ありがとうございます

**anonymous@fusianasan** · 2022/08/05(金) 09:12:56.54

>>187

NTT-HGWとの接続の件ですが、IX2215のブリッジインターフェイスの一部機能、
プルーター機能を併用する形になりますね。
ポート５～6番が利用中ということでしたら、GigaEthernet1.0のインターフェイスも空いている様ですので、
GigaEthernet1.0のインターフェイス、BVIインターフェイスにNTT-HGWと同一セグメントの
IPアドレスをセカンダリ登録として設定することで、BVIインターフェイスからNTT-HGWへのLAN-IP
アドレスへ通信は出来るかと思います。

例　NTT-HGW（192.168.0.1/24）の場合

interface GigaEthernet1.0
no ip address
bridge-group 1
no shutdown
interface BVI1
ip address 192.168.0.254/24
bridge-group 1
no shutdown

↑のような形ですと、NTT-HGWのLANポートより、IX2215のGigaEthernet1.0のポートに
追加増線して、BVIインターフェイスと紐付ける形のイメージになります。

**anonymous@fusianasan** · 2022/08/05(金) 09:16:04.05

>>187

NVR500を撤去する形の件ですが、NVR500のTELポートにFAX複合機や電話機を接続している場合には、
NTT-HGW側のTELポートを利用する形になりますね。

**anonymous@fusianasan** · 2022/08/05(金) 10:54:59.67

>>187

既存のNTT光電話有りのA拠点の件ですが、V6プラス・固定IP等の高帯域回線を利用する場合の件ですが、
光電話側の回線は、電話のみの光NEXTライトのコースで大丈夫かと思います。
V6プラス・固定IPの追加申込みの回線側を、光電話無しのデータ通信のみの回線の申込み
が良いかと思います。

IX2215の光収容の設定により、

以下例
GE0.0-I/F（DHCPv6-PD）　→　VNEトンネル1（Ｖ６プラス・固定IP）
　、BVI1-I/F側にIPV6アドレスをND-Proxyにて配信する形
GE1.0-I/F（NTT-HGWからの配線）　→　BVI1-I/FとブリッジングIPとする

68 · 2022/08/05(金) 15:17:28.35

アドバイスありがとうございます。
ぜひ、このPPPOEでの接続が一段落すれば、次にipv6での折返し接続にチャレンジしたいと思います。
PPPOEの方は本日、NVR500の固定ipのセッションを外して、HUBも変えて再チャレンジしたいと思います。
お盆休みまでに終われるかなぁ～

**anonymous@fusianasan** · 2022/08/05(金) 19:03:06.45

>>191

そうですか。
光電話のVPNスマホ内線もされるようですから、国際電話などの通信含めて、不正ログインや
不正アクセス対策、アプリケーション制限やWebフィルタリング、サンドボックス対策、
他脆弱性対策のためですが、UTM等の装置を入れた方が良いかと思いますが。

※　Fortigate61F、Fortigate80F、SonicWALL TZ670　等

68 · 2022/08/06(土) 07:58:13.31

>>192
すみません・・
もう少しアドバイス頂けたら助かります

最終的にリンクで貼った配線図を目指しています
調子が悪い馬鹿HUBも安物ですが新品交換を行い、3セッションになっていた環境を2セッションに戻しました。
AとB拠点のIX2215のみ設置の状況だと無事にIPSecで接続出来ました(VLANの設定は無し)

ところが、ABの各拠点の下にL2スイッチ(WS-C2960CG-8TC-L)をそれぞれ設置を行い、IX2215のAとB拠点にて、VLAN10-VLAN30のコンフィグを入力したところ、スイッチ側のVLAN10アクセスポートではB拠点からA拠点を経由してインタ－ネットへ出ていけますが、VLAN20とVLAN30はB拠点からAへ出ていくどころかB拠点IX2215からDHCPも落ちてきません。

設定事例集等を確認はしたのですが、どうももうお手上げ状態です。
何かコンフィグで変な部分ありますでしょうか？？
スレチになるかもしれませんが、念のためスイッチのコンフィグも貼らせて頂きます。
VLAN10～VLAN30は互いにアクセス出来ない様にしたいと思っております

https://imgur.com/a/O5Nd9kR
https://imgur.com/a/wXXxvtS
https://imgur.com/a/WT3MYAD
https://imgur.com/a/tjlGPqf
https://imgur.com/a/bkbwnAV

68 · 2022/08/06(土) 07:59:22.90

それと・・
以前のご教示頂いた

route-map r-map permit 10
match ip address access-list etherip-isp1
set ip next-hop 192.168.101.253

watch-group etherip-ipsec 10
event 10 ip unreach-host 192.168.101.254 Tunnel1.0 source BVI1
action 10 ipsec clear-sa Tunnel1.0
probe-counter variance 5
probe-counter restorer 3
probe-timer variance 60
probe-timer restorer 60

のコンフィグは一旦、仮で削除をしています。

それとアドバイス頂いたUTM導入についても、ココは勉強の機会と言うことで一度調べてみます。paloaltoのライセンス切れ古いのは持ってるのですが・・

私の知識不足で質問ばかりで大変申し訳ございませんが、ご教示頂ければ幸いです

**anonymous@fusianasan** · 2022/08/06(土) 09:12:33.65

>>193

あー、やっぱりシスコのL2スイッチの構成ですか。
IX2215からトランクポートの接続となりますと、その間はポートベースVLANでなければ
無理かと思いますが。
トランクリンクポートとして設定しましたグループへ、他のVLAN10～30を参加する様に設定変更は出来ませんか？
もし、IX2215のタグVLAN若しくはタグ無しVLANの構成をされた場合ですが、
トランクポートとIX2215間のタグ要件を分けないと、うまく通信が出来ない可能性が御座います。

ご指摘の図で言いますと、トランクポートのVLAN30とIX2215の間のVLANをポートベースVLAN
間にて接続して、L2スイッチ側・トランクポートの管理IPアドレスを、192.168.101.***/24（A拠点、B拠点にて空いていて、
L2スイッチに割り当て出来るIPアドレス）、デフォルトゲートウェイ192.168.101.254、プライマリDNS192.168.101.254
と設定し、VLAN20（仮に192.168.102.0/24）、VLAN30（仮に192.168.103.0/24）と
設定は可能でしょうか？
VLANで分けるのであれば、IX2215側のIPと分割させないと、うまくいかないかと思います。
その場合には、IX2215側の静的ルーティング経路として、
ip route 192.168.102.0/24 192.168.101.***（トランクポートのL2スイッチの割り当てIP）
ip route 192.168.103.0/24 192.168.101.***（トランクポートのL2スイッチの割り当てIP）
それと、IX2215のBVI2、BVI3のブリッジグループがおかしいので、全て１に変更可能でしょうか？
bridge 1 group

**anonymous@fusianasan** · 2022/08/06(土) 09:13:15.56

>>193
>>195

続きです。
ご指定のタグVLANの構成の場合ですと、タグVLANのグループエントリー10がトランクポート扱いになります。
対象インターフェイスは、GigaEthernet2:1.1　になります。
こちらのインターフェイスのタググループと、GigaEthernet2:1.2～GigaEthernet2:1.3
が同一グループになるように、BVIインターフェイスの追加をしてみて下さい。

あと、VLAN間のルーティングをさせる場合にですが、
BVI1のインターフェイスに、セカンダリIPアドレスを設定しませんとVLAN間ルーティングが
うまくいかない場合が御座います。（IX2215のタグVLANとカタリストのタグVLANの互換性の関連）

それと、Ether-IP-IPSECのトンネルを複数作成されているようですが、
こちらは意味が無い構成です。
恐らく、Tunnel2.0～Tunnel3.0の宛先トンネルですが、Tunnel1.0のエントリーにて、
A拠点とB拠点のIPSEC接続は確立をしていますので、
BVIインターフェイスを同一のブリッジグループにするぐらいでしょうか。

**anonymous@fusianasan** · 2022/08/06(土) 09:30:05.10

>>193
>>196

方法として整理すると、
ポートベースVLANとタグVLANを併用する場合
（１）　IX2215と2960間のトランクポート接続をポートベースVLANで接続して、
そのポートベースVLANグループに、VLAN20～30を参加させる。
（２）　ポートベースVLANの場合には、静的ルーティング経路として、
192.168.102.0/24、192.168.103.0/24宛のルーティングをL2スイッチに向ける。
（３）　この場合には、B拠点のVLAN20～30を別のIPセグメントにしないとうまくいかない。
例　VLAN20（192.168.104.0/24）、VLAN30（192.168.105.0/24）
（４）　A拠点からB拠点のVLAN20～VLAN30の静的経路をTunnel1.0に向ける

全てタグVLANにて構成する場合
（１）　IX2215と2960間のトランクポート接続をタグVLANエントリー10で接続して、
そのグループに、VLAN20～30を参加させる。
（２) タグVLANのBVIインターフェイスが、IX2215で言うトランクポートの扱いになりますので、
BVIインターフェイスのグループを共通にする。

68 · 2022/08/06(土) 15:11:12.07

>>197
アドバイスとても助かります
仰せのお話ですと…

1.　IX2215とシスコスイッチ間の接続が、ポートベースVLAN＆タグVLANID無し

2.　IX2215とシスコスイッチ間の接続が、ポートベースVLAN＆タグVLANIDあり

3.　IX2215とシスコスイッチ間の接続が、タグVLAN＆タグVLANIDあり

な感じでしょうか。
私の知識がまだ不足しているので、間違えていればごめんなさい…

一番シンプルなコンフィグ構成が3ですね。
1はIXとスイッチ間のLANケーブルが増えそうですね。少し比較検討しながら再チャレンジしてみます。まだ知識不足で良く理解出来ていなのですが、2のパターンでやってみたいと思います。
3のパターンですと、VLAN10-30は全ての同じBVIグループになるので、VLAN間のアクセス許可の設定必要そうですね。

いつもありがとうございます。
スレチになるかも知れませんが、ciscoの無線コントローラーとAPが思わないところから手に入り、どうしても使ってみたくて複雑な構成になってしまいました。
土日利用して再度、チャレンジしてみます

**anonymous@fusianasan** · 2022/08/06(土) 16:09:56.50

>>198

IX2215のタグVLANの機能と、シスコ2960のタグVLANの仕様が若干互換性の差が御座いますので、
一度、IX2215のVLANグループをピュアな方法からやり直してみる形が良いかと思います。

Device GigaEthernet2
vlan-group 1 port 1 2 3 4
vlan-group 2 port 5
vlan-group 3 port 6

interface GigaEthernet2:1.1～2:1.4　と物理ポート１番の配下にサブインターフェイス
を作成して、タグ付きVLANを設定されているようですので、
一度、トランクポート・ポートベースVLANのグループの設定を分けて、タグVLANの物理ポートを、
トランクポートと同一グループの設定を、2960側にて確認をすると良いかと思います。

端末台数が多い環境ですと、IX2215にタグ制御の設定までしてしまうと、若干負荷が高くなりますので、
IX2215配下にて、L3スイッチでのVLANルーティングの方が良いかと思います。

あと、WLCコントローラーと管理APですが、デフォルトにて、ネィティブVLANが優先する様になっていますので、
明示的にタグVLANのグループに属するエントリーにするか、若しくはトランクポート
と共通のポートベースVLANのポートに属するかをご確認された方が良いかと思います。
シスコ系の無線LANですが、ネイティブVLANとタグVLAN、ポートベースVLANですが、
同一の物理インターフェイスの配下にサブインターフェイスとして想定すると、比較的
誤動作が有ったかと思います。
機能的には、タグVLANとネイティブVLANを共用出来ると公表しているのですが、
タグVLANとネイティブVLANを併用すると、エントリー番号が若番より優先されるようになっているのですが、
iOS-XEのバージョンの問題、若しくは不具合が比較的多いです。

以外と、シスコ系のコントローラーやAPは、他社製品との落とし穴が御座います。

IX2215と組み合わせる場合には、UNIVERGE-QXのL2若しくはL3スイッチ、
無線LANは、「QX-W1130」　等の方が良いかと思います。

**anonymous@fusianasan** · 2022/08/06(土) 16:33:07.22

>>198
>>199

シスコ系のL2スイッチ、L3スイッチに共通ですが、タグ付きVLAN、タグ無しVLANの通信
のiOS-XE等の制御・仕様ですが、他社製品のタグを解釈出来ない重大な問題が御座います。
何故か、VLAN多重化をしました際に、タグ付きVLANでタグの制御が出来ず、ネイティブVLANの構成にされた際に、
タグまで出力してしまうとか、かなりおかしい仕様が有ったかと思います。

L2スイッチ、L3スイッチ系にてメーカー相違でも互換性が高いラインナップですが、
NEC以外に、アライドテレシス、ネットギア、Buffalo系が、素直な動作をしました。

アライドテレシスは、ルーター系は良くないですが・・・。

**anonymous@fusianasan** · 2022/08/06(土) 20:30:57.02

>>198
>>200

シスコのL2、L3スイッチに共通でしたが、VLAN-ID１番のエントリーですが、ネイティブVLAN
（タグ無しVLAN）が固定になっています。他のIXルーター等の他のネットワーク、WLCコントローラーAP
含めて、VLAN-IDエントリー１番を設定すると、他のVLAN-IDより優先する様になっており、
VLAN-IDを利用しIXルーターのトランクポートとのタグVLANを構成する場合には、
トランクポートの対象のVLAN-ID1番エントリーを利用するかどうかで、トランクポート対象の
VLANモードが変ります。
よって、IXルーター間のトランクポート間の接続をタグVLAN系で想定する場合には、
トランクポート間は、ネイティブVLANで想定し、他のVLANグループ20～30をタグ有りで構成し、
VLAN20～30のアクセスポートをトランクポート・ネイティブVLANに参加させる方法を採らないと、
うまく通信が出来ない状況も想定されます。

IX2215とのトランクリンクの相性も御座いますが、トランクポートを
ポートベースVLANにするか、ネイティブVLANにして、エントリ番号を若番にしないと、
他のタグVLANのトランクリンクが出来ない可能性が御座います。

68 · 2022/08/09(火) 03:01:04.87

>>195-197

いつも色々な知識教えて頂いてありがとうございます。
先日に教えて頂いた「ポートベースVLANとタグVLANを併用する場合」のパタ－ンでコンフィグ書いてみたのですが、こんなイメ－ジで宜しいでしょうか？？
ただ、スレチで申し訳ないのですが、Ciscoスイッチ側でご教示頂いた管理IPを投入する事が出来ません。(※印で書かせて頂いた様な症状です)
私がまだ勘違いしている部分ありますでしょうか？？
一応、コンフィグは抜粋した部分のみとなります
少しどツボに嵌ってます....涙

68 · 2022/08/09(火) 03:02:29.91

**IX2215-A拠点1/2**

ip route default GigaEthernet0.1
ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252
ip route 192.168.102.0/24 Tunnel1.0
ip route 192.168.103.0/24 Tunnel1.0
!
ip dhcp profile vlan10
assignable-range 192.168.101.1 192.168.101.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan20
assignable-range 192.168.102.1 192.168.102.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan30
assignable-range 192.168.103.1 192.168.103.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
device GigaEthernet2
vlan-group 1 port 1
vlan-group 2 port 2
vlan-group 3 port 3

68 · 2022/08/09(火) 03:03:04.58

**IX2215-A拠点2/2**

interface GigaEthernet2:1.1
ip address 192.168.101.254/24
encapsulation dot1q 10 tpid 8100
ip dhcp binding vlan10
bridge-group 1
!
interface GigaEthernet2:2.1
ip address 192.168.102.254/24
encapsulation dot1q 20 tpid 8100
ip dhcp binding vlan20
bridge-group 1
!
interface GigaEthernet2:3.1
ip address 192.168.103.254/24
encapsulation dot1q 30 tpid 8100
ip dhcp binding vlan30
bridge-group 1
!
interface BVI1
bridge-group 1

68 · 2022/08/09(火) 03:14:39.23

**C2960-A拠点1/2**

ip default-gateway 192.168.101.254
ip name-server 192.168.101.254(プライマリDNSを投入するコマンドは無かったので、コチラで投入)

interface GigaEthernet0/1(IX2215 G2:1.1へ)
switchport trunk allowed vlan 10
switchport mode trunk
!
interface GigaEthernet0/2(IX2215 G2:2.1へ)
switchport trunk allowed vlan 20
switchport mode trunk
!
interface GigaEthernet0/3(IX2215 G2:3.1へ)
switchport trunk allowed vlan 30
switchport mode trunk
!
interface GigaEthernet0/4
switchport access vlan 10
switchport mode access
!
interface GigaEthernet0/5
switchport access vlan 10
switchport mode access
!
interface GigaEthernet0/5(Cisco　無線コントロ－ラ－へ)
switchport trunk allowed vlan 10-30
switchport mode trunk

68 · 2022/08/09(火) 03:15:16.26

**C2960-A拠点2/2**
!
interface Vlan10
ip address 192.168.101.252 255.255.255.0
!
interface Vlan20
ip address 192.168.102.252 255.255.255.0
!
interface Vlan30
ip address 192.168.103.252 255.255.255.0

※A拠点の(C2960catalyst)へL2スイッチ側・トランクポートの管理IPアドレスとして、192.168.101.***/24（A拠点、B拠点にて空いていて、L2スイッチに割り当て出来るIPアドレス）の投入を試してみましたが、「interface Vlan10・Vlan20・Vlan30」へ互いに同一セグメントの管理IPの投入(192.168.101.***/24)は不可でした(エラ－として・・% 192.168.101.0 overlaps with Vlan10)
また、interface GigaEthernet0/*へ直接の管理IPアドレス投入も同様に不可能でした

68 · 2022/08/09(火) 03:16:52.76

**IX2215-B拠点1/2**

ip route default GigaEthernet0.1
ip route 192.168.104.0/24 192.168.101.251
ip route 192.168.105.0/24 192.168.101.251
ip route 192.168.104.0/24 Tunnel1.0
ip route 192.168.105.0/24 Tunnel1.0
!
ip dhcp profile vlan10
assignable-range 192.168.101.151 192.168.101.200
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan20
assignable-range 192.168.104.1 192.168.104.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan30
assignable-range 192.168.105.1 192.168.105.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
device GigaEthernet2
vlan-group 1 port 1
vlan-group 2 port 2
vlan-group 3 port 3

68 · 2022/08/09(火) 03:17:17.74

**IX2215-B拠点2/2**
!
interface GigaEthernet2:1.1
ip address 192.168.101.253/24
encapsulation dot1q 10 tpid 8100
ip dhcp binding vlan10
bridge-group 1
!
interface GigaEthernet2:2.1
ip address 192.168.104.253/24
encapsulation dot1q 20 tpid 8100
ip dhcp binding vlan20
bridge-group 1
!
interface GigaEthernet2:3.1
ip address 192.168.105.253/24
encapsulation dot1q 30 tpid 8100
ip dhcp binding vlan30
bridge-group 1
!
interface BVI1
bridge-group 1

68 · 2022/08/09(火) 03:17:48.11

**C2960-B拠点1/2**

ip default-gateway 192.168.101.254
ip name-server 192.168.101.254(プライマリDNSを投入するコマンドは無かったので、コチラで投入)

interface GigaEthernet0/1(IX2215 G2:1.1へ)
switchport trunk allowed vlan 10
switchport mode trunk
!
interface GigaEthernet0/2(IX2215 G2:2.1へ)
switchport trunk allowed vlan 20
switchport mode trunk
!
interface GigaEthernet0/3(IX2215 G2:3.1へ)
switchport trunk allowed vlan 30
switchport mode trunk
!
interface GigaEthernet0/4
switchport access vlan 10
switchport mode access
!
interface GigaEthernet0/5
switchport access vlan 10
switchport mode access

68 · 2022/08/09(火) 03:18:48.02

**C2960-B拠点2/2**
!
interface Vlan10
ip address 192.168.101.251 255.255.255.0
!
interface Vlan20
ip address 192.168.104.251 255.255.255.0
!
interface Vlan30
ip address 192.168.105.251 255.255.255.0

※B拠点の(C2960catalyst)へL2スイッチ側・トランクポートの管理IPアドレスとして、192.168.101.***/24（A拠点、B拠点にて空いていて、L2スイッチに割り当て出来るIPアドレス）の投入を試してみましたが、「interface Vlan10・Vlan20・Vlan30」へ互いに同一セグメントの管理IPの投入(192.168.101.***/24)は不可でした(エラ－として・・% 192.168.101.0 overlaps with Vlan10)
また、interface GigaEthernet0/*へ直接の管理IPアドレス投入も同様に不可能でした

みなさま連投＆スレ汚しお許しを.....

**anonymous@fusianasan** · 2022/08/09(火) 07:20:23.47

盛り上がってまいりました

**anonymous@fusianasan** · 2022/08/09(火) 08:19:52.19

>>202-206
A拠点の静的経路情報
ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252
は不要ですね
interface GigaEthernet2:1.1～interface GigaEthernet2:3.1
IPアドレス192.168.101.254/24～192.168.103.254/24
にて、タグVLANのグループを別ポートにて切っており、ポートベースVLANとタグVLANの併用モードになっています。
BVIインターフェイスのブリッジグループに統合していますので、同一のBVIグループにて、
EtherIP-IPSECトンネルに通す形になるかと存じます。
なりますね。
お持ちのC2960スイッチの機能・ライセンスですが、ポートVLANの設定をしました際
にそのポートをスイッチポートのトランキングが、タグVLANとISLしかグループの指定が
出来ない様ですので、C2960側のトランクポートをネイティブグループに追加をして頂く形になるかと思います。
interface GigaEthernet0/1(IX2215 G2:1.1へ)
switchport trunk native vlan 10
switchport trunk allowed vlan 10
switchport mode trunk
interface GigaEthernet0/2(IX2215 G2:2.1へ)
switchport trunk native vlan 20
switchport trunk allowed vlan 20
switchport mode trunk
interface GigaEthernet0/3(IX2215 G2:3.1へ)
switchport trunk native vlan 30
switchport trunk allowed vlan 30
switchport mode trunk
上記の設定にて、トランクポート対象のポートをポートVLAN・トランクモードの扱い
になるかと存じます。

**anonymous@fusianasan** · 2022/08/09(火) 08:20:48.56

>>202-206
続きです。
別の方法・基本的には、単一のポートに複数のポートVLANとVLANグループの追加は出来る筈なのですが、
要確認になります。

例

interface GigabitEthernet0/***　（IX2215間のトランクポート・ポートベースVLANを指定
switchport trunk native vlan 10-30
switchport trunk allowed vlan 10-30
switchport mode trunk
spanning-tree portfast trunk

あと、無線LANコントローラーのVLAN参加ですが、
トランクポートでは無く、アクセスポートになるかと存じます。
interface GigaEthernet0/5(Cisco　無線コントロ－ラ－へ)
switchport trunk allowed vlan 10-30
switchport mode access

C2960の他のポートについては、アクセスポートの設定がOKかと思います。

**anonymous@fusianasan** · 2022/08/09(火) 08:28:58.89

>>202-206
続きです。
EtherIP-IPSECトンネルのDDNS同士の接続、同一トンネルに複数のタグVLANを通す場合ですが、

ipsec local-id ipsec-policy1 192.168.101.254
ipsec remote-id ipsec-policy1 192.168.101.253

は不要かと思います。
あくまでも、どちらかのIPSECトンネルにVLAN10～30までを通す場合になりますが。

**anonymous@fusianasan** · 2022/08/09(火) 08:38:59.75

>>207-211

B拠点の静的経路の件ですが、
ip route 192.168.104.0/24 192.168.101.251
ip route 192.168.105.0/24 192.168.101.251
ip route 192.168.104.0/24 Tunnel1.0
ip route 192.168.105.0/24 Tunnel1.0
は不要です。
代わりに、
ip route 192.168.102.0/24 Tunnel1.0
ip route 192.168.103.0/24 Tunnel1.0

VLANのIP関連ですが、既存のC2960のスイッチの機能・ライセンスの大凡野状況が解りましたので、
IPを分ける必要は無いかと思います。（下記へ変更）
ip dhcp profile vlan20
assignable-range 192.168.102.1 192.168.102.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
ip dhcp profile vlan30
assignable-range 192.168.103.1 192.168.103.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
interface GigaEthernet2:2.1
ip address 192.168.102.253/24
encapsulation dot1q 20 tpid 8100
ip dhcp binding vlan20
bridge-group 1
interface GigaEthernet2:3.1
ip address 192.168.103.253/24
encapsulation dot1q 30 tpid 8100
ip dhcp binding vlan30
bridge-group 1

**anonymous@fusianasan** · 2022/08/09(火) 08:46:13.93

>>207-211
続きです。
C2960の件（B拠点）
VLANのトランクモードのポートVLANの状態の追加については、A拠点と同じです。
interface GigaEthernet0/1(IX2215 G2:1.1へ)
switchport trunk native vlan 10
switchport trunk allowed vlan 10
switchport mode trunk
interface GigaEthernet0/2(IX2215 G2:2.1へ)
switchport trunk native vlan 20
switchport trunk allowed vlan 20
switchport mode trunk
interface GigaEthernet0/3(IX2215 G2:3.1へ)
switchport trunk native vlan 30
switchport trunk allowed vlan 30
switchport mode trunk

他のポートについては、アクセスポートでOKです。
シスコの無線LANの接続もあるようでしたら、アクセスポートでOKかと思います。

B拠点のIX2215のEtherIP-IPSECの設定もですが、同一のIPSECトンネルに、複数のタグVLAN
を通す場合（DDNS運用）でしたら、
ipsec local-id ipsec-policy1 192.168.101.253
ipsec remote-id ipsec-policy1 192.168.101.254

は不要かと思います。

**anonymous@fusianasan** · 2022/08/09(火) 08:58:50.61

ヤフオクで、2105と2215が大量出品されていると嬉しいけど、ちょっと微妙。
お金ある人は新品買ってね。

**anonymous@fusianasan** · 2022/08/09(火) 09:32:23.60

>>202-211

シスコL2スイッチ、L3スイッチの場合ですが、あくまでもシスコのISRやASAなどのゲートウェイや
UTMなどに揃えた場合の機能になっています。
他社のルーターやセキュリティ関連のVLAN接続の相性、親和性の差が、iOS、iOS-XEのバージョン・モデルによって変わります。
他社製品が混在になっている場合については、シスコ側もサポートしていない部分もあるので、出来れば、他社製品でGUIなどから
設定が出来るタイプで、互換性があるとこ炉の製品を選択された方が良いかと思います。

シスコのネイティブVLAN・トランクモードと、VLANにIPアドレスを割り当てました場合について、
ネイティブVLANのシスコ仕様にて、VLAN-IDの優先順位が若番より優先される仕様になっていますことと、
シスコの無線LAN側のVLAN設定もネイティブVLAN-IDの設定を揃える、VLAN-IDを増やす場合には、
VLAN-ID毎にESS-IDを紐付ける設定になります。

68 · 2022/08/10(水) 02:30:57.17

>>218
いつもご教示ありがとうございます

色々と試してみたのですが・・・

IX2215(A・B)へコレを入れ

device GigaEthernet2
vlan-group 1 port 1
vlan-group 2 port 2
vlan-group 3 port 3

ip dhcp profile vlan10
assignable-range 192.168.101.1 192.168.101.150(※B拠点 101.151-101.200)
default-gateway 192.168.101.254
dns-server 192.168.101.254

ip dhcp profile vlan20
assignable-range 192.168.102.1 192.168.102.150(※B拠点 102.151-102.200)
default-gateway 192.168.101.254
dns-server 192.168.101.254

ip dhcp profile vlan30
assignable-range 192.168.103.1 192.168.103.150(※B拠点 103.151-103.200)
default-gateway 192.168.101.254
dns-server 192.168.101.254

68 · 2022/08/10(水) 02:32:05.62

interface GigaEthernet2:1.1
ip address 192.168.101.254/24(※B拠点 253/24)
encapsulation dot1q 10 tpid 8100
ip dhcp binding vlan10
bridge-group 1
!
interface GigaEthernet2:2.1
ip address 192.168.102.254/24(※B拠点 253/24)
encapsulation dot1q 20 tpid 8100
ip dhcp binding vlan20
bridge-group 1
!
interface GigaEthernet2:3.1
ip address 192.168.103.254/24(※B拠点 253/24)
encapsulation dot1q 30 tpid 8100
ip dhcp binding vlan30
bridge-group 1
!
interface BVI1
bridge-group 1

Catalyst 2960 へ

interface GigabitEthernet0/8(※ここでご教示頂いたswitchport trunk native vlan**は投入不可でした)
switchport trunk allowed vlan 10-30
switchport mode trunk

このケースだと、私のC2960では他のアクセスポートへLANを挿してもリンクUP出来ないみたいです。

但し、この次のパタ－ンだとIX2215とC2960は疎通出来ます

68 · 2022/08/10(水) 02:33:13.37

interface GigaEthernet2:1.1
encapsulation dot1q 10 tpid 8100
auto-connect
no ip address
ip proxy-arp
bridge-group 1
no shutdown
!
interface GigaEthernet2:1.2
encapsulation dot1q 20 tpid 8100
auto-connect
no ip address
ip proxy-arp
bridge-group 2
no shutdown
!
interface GigaEthernet2:1.3
encapsulation dot1q 30 tpid 8100
auto-connect
no ip address
ip proxy-arp
bridge-group 3
no shutdown
!
interface BVI1
ip address 192.168.101.254/24(※B拠点　253/24)
ip dhcp binding vlan10
bridge-group 1
no shutdown
!

68 · 2022/08/10(水) 02:34:15.65

interface BVI2
ip address 192.168.102.254/24(※B拠点　253/24)
ip dhcp binding vlan20
bridge-group 2
no shutdown
!
interface BVI3
ip address 192.168.103.254/24(※B拠点　253/24)
ip dhcp binding vlan30
bridge-group 3
no shutdown

ただ、これだと同一拠点内で疎通可能ですが、下図のTunnel部分から別拠点に向けて抜けれないですね
IX2215側のTunnel1.0でマルチbridge-group は不可能な様です

interface Tunnel1.0
tunnel mode ether-ip ipsec
no ip address
ip filter dhcp-sec 1 in
ip filter dhcpv6-sec 2 in
ip filter dhcp-pass 100 in
ipsec policy transport ipsec-policy1 with-id-payload
bridge-group 1(※bridge-group 1のみ投入可)
bridge ip tcp adjust-mss 1300
no shutdown

68 · 2022/08/10(水) 02:37:43.26

IX2215のAとB間はPPPOEを利用して、Vlan10のみ疎通出来ています。
Vlan20とvlan30をTunnel1.0へ通す方法がネックですね～

ココでご指摘を受けた通り、IXとciscoスイッチの親和性の問題もあるかも知れませんね
明日も色々とやってみます

とりあえずのご報告とさせて頂きます

本日もスレ汚し＆連投ゴメンナサイ....

ちなみに私は・・　オクで多数出品されているIX2207狙いですかね～　IX2105はUSBでデ－タやり取り出来ないからメンテするのがメンドクサイな～
安いけどw

**anonymous@fusianasan** · 2022/08/10(水) 06:59:35.75

>>219-222
そうですか。
「switchport trunk native vlan」コマンドの投入出来ない時点で、ネイティブVLANに対応
出来ないライセンス・機能のスイッチですか、あり得ないですね。
確認ですが、シスコのL2スイッチのiOS-XE、iOSのバージョンはいくつですか？

iOS-XEのバージョンの場合ですが、17.3.X　などのバージョンにて同CLIコマンドを
受け付ける様になっていたかと思います。
iOSのバージョンの場合には、15.2.6以降のバージョンの場合には、受付可能となっております。
モデルナンバーにより、dot1qのみの対応のL2スイッチであることが濃厚です。
失敗しましたね。
購入元に、2960スイッチの末尾型式・モデルナンバーを確認し、ネイティブVLAN機能
とISLが利用出来ないモデルであったことを確認された方が賢明です。
IX2215側の問題では無く、IX2215のBVI（シスコで言うSVI）のEtherIP-IPSECの設定もですが、
には、タグVLANのマルチセグメントの通信は出来ますが、IPSEC内部にて、インターフェイスの識別が
独自の識別を採用しているため、IPSEC側に透過出来ない状況かと存じます。

**anonymous@fusianasan** · 2022/08/10(水) 07:01:07.82

>>219-222
続きです。
L2スイッチを買い直しされた方が良いかと思います。
ちなみに、シスコAironetの無線LANの規格ですが、POE給電をしているタイプかと思いますが、
POEの給電方式もシスコ独自のCDP方式を採用、ネイティブVLANがデフォルトで、
タグVLANを追加することで、お持ちの2960側のタグ参加が出来るタイプかと存じます。
ネットギア製のL2スイッチには、CDP方式の通信を可能とするISDP規格の設定が出来るので、
ISDP規格のモードの設定をして、シスコのAironetのネイティブVLANグループとタグVLANグループの連携が出来る様になっています。
お持ちの2960スイッチですが、ネイティブVLANの追加がVLAN毎に出来ないタイプであること
の件ですが、モデルによりネイティブVLANのエントリー番号が1番のみエントリー出来るものもある
様ですので、確認頂いた方が良いかと思います。
要は、ネイティブVLAN（ポートVLANも併用可）のVLANエントリーが１番のみしか対応出来ないモデルか、
若しくは、全てのエントリーにてネイティブVLANが利用出来ないモデルで有ることが想定されるかと存じます。
もし、私の創造通りですと、
IX2215側（A拠点）
ip dhcp profile vlan1
assignable-range 192.168.101.1 192.168.101.150(※B拠点 101.151-101.200)
default-gateway 192.168.101.254
dns-server 192.168.101.254
interface GigaEthernet2:1.1
ip address 192.168.101.254/24(※B拠点 253/24)
ip dhcp binding vlan1
bridge-group 1
2960側
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1
switchport mode trunk
interface GigaEthernet2:2.1～interface GigaEthernet2:3.1 までのBVIグループを１番を指定
interface BVI1 ～　interface BVI3　までのBVIグループも１番を指定
interface Tunnel1.0 　のEtherIP-IPSECトンネルのBVIグループも１番を指定
してみてもダメですと、2960スイッチ側のモデルの問題となります。

**anonymous@fusianasan** · 2022/08/10(水) 07:04:01.72

>>219-222
補足です
先ほどの設定の確認をして、ネイティブVLANがVLAN1に追加が出来たと言う条件ですが、
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1-30
switchport mode trunk

にして、ネイティブVLAN１番のVLANインターフェイスにVLANグループを許可を追加
してみて下さい

**anonymous@fusianasan** · 2022/08/10(水) 07:08:36.77

>>219-222
補足です
ネイティブVLANエントリー１番の追加が出来た条件下ですが、
シスコの無線LAN、AironetのVLANエントリーもVLAN1にて利用出来る様にする必要があるかと思われます。
VLAN1配下にて、タグVLAN毎にESS-IDを設定されたい場合には、個別に追加と言うことになるかと思います。

EtherIP-IPSECトンネルには、複数のタグは通すことは出来る様になっていますが、
BVIグループは単一になっていますので、ブリッジグループは１番のみにして、
VLAN1、VLAN20～30については、同一のブリッジグループにしてみて下さい。

**anonymous@fusianasan** · 2022/08/10(水) 07:12:10.01

>>219-222

シスコの2960スイッチのモデルによって、先ほどのVLAN10→VLAN1への変更が出来ず、
ネイティブVLANの設定も出来ないタイプとなりますと、先ほどのネットギアのL2スイッチにして、
ネットギアの無線LAN「WAX630」あたりにされた方が良いかと思います。

若しくは、NEC　UNIVERGE-QXスイッチとQX-Q1130無線LANあたりになります。
NEC系のスイッチ・無線LANですと、IX2215にて利用設定されました、Netmeister-DDNS機能
と併せての機能にて、Netmeister機能でのクラウド連携管理が利用出来るようになります。

**anonymous@fusianasan** · 2022/08/10(水) 07:29:27.79

>>219-222

補足ですが、もしBuffalo-L2スイッチに変更するとなりますと、WEB-GUIから簡易的に
トランクポートVLAN（マルチプルVLANと言っていますが）の設定に、タグとネイティブVLAN
のエントリーが出来る様になっていますが、Aironetの無線LAN規格のCDP方式の給電方式に対応しておらず、
Airstation-Proへの買い直しが必須条件になります。
　BuffaloのPOEの方式ですが、LLDP方式を採用しており、無線LAN装置もLLDP方式になります。
NECのUNIVERGE-QXは、CDP方式の設定は出来ること、ポートベースVLANの設定とタグVLAN、ネイティブVLANの設定は出来る様になっています。
他にそのインターフェイスについて、タグとネイティブを併存出来るハイブリッドモードの設定が出来る様になっています。

あと、別件のIX2207の件ですが、IPSEC-VPNの速度が遅いタイプになりますので、
ほぼ同額のIX2215の方が良いかと思いますが。

**anonymous@fusianasan** · 2022/08/10(水) 14:16:50.18

>>219-222

VLAN1をネイティブVLAN・トランクポートに出来そうでしたら、
VLAN1のアドレスは192.168.1.254/24（BVI1、ブリッジグループ１）、シスコ側で言う、
独自のポートVLANの機能になることと、そのネイティブVLANのVLAN1に、VLAN20～VLAN30をグループ化
させる方法になります。
IX2215側では、既存のコンフィグですと、VLAN1もVLAN20、VLAN30もタグ扱いになりますが、
シスコのL2、L3スイッチのVLAN制御が独自の部分が御座いますため、NECやネットギアで言う、
ハイブリッドモードのVLANの運用までいかない可能性が御座いますが、
IX2215側のVLAN1のモードをタグが無いVLAN（ポートベースVLAN）にして頂く形になるかもしれません。
ポートベースVLAN＋タグVLANの併用イメージになりますが、
その際には、2960のVLAN1側のIPアドレスを分けて決めて頂く形になるかと思われます。

**anonymous@fusianasan** · 2022/08/10(水) 14:32:46.10

>>230
続きです。
2960（A拠点側）
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1-30
switchport mode trunk

interface Vlan1
ip address 192.168.101.252 255.255.255.0
※　vlan10はそのまま、vlan１へ移管するイメージ

IX2215側のVLAN1側へのルーティング処理が必要になるかもしれませんね。
　→シスコのVLAN制御・ネイティブVLANの仕様が独自のため
IX2215（A拠点側）
ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252

サブネットレベルが/24宛てのアクセスを、192.168.101.252のL2スイッチ側へ向けていますので、
B拠点側の同一セグメントを利用しサブネットの分割も必要になるかもしれません。
/24　→　192.168.102.1～192.168.102.254
/25　→　192.168.102.1～192.168.102.126、192.168.102.129～192.168.102.254

サブネットの分割をして、A拠点とB拠点宛ての静的経路も分ける場合には、
IX2215（A拠点）
ip route 192.168.102.0/25 192.168.101.252
ip route 192.168.103.0/25 192.168.101.252
IX2215（B拠点）
ip route 192.168.102.128/25 192.168.101.***（***には、B拠点用のVLAN20のIPを設定、128～254まで）
ip route 192.168.103.128/25 192.168.101.*** （***には、B拠点用のVLAN30のIPを設定、128～254まで）

68 · 2022/08/10(水) 16:56:26.56

>>224-231
たくさんご教示頂いてありがとうございます

スレ違いで申し訳ないのですが、AとB拠点のIX2215から下にぶら下がるCiscoスイッチは、C2960CGとなりファンレスタイプのコンパクトタイプのスイッチです。
他のスイッチも検討したのですが、自宅ユ－スではあまりにもファンの騒音が激しくてコチラにしました。
ただ...凄い熱持ちますね>>224
これw

show versionの結果を貼っておきます。　IOS-XEはコチラに存在せず、あくまでもIOSのみになります。

A拠点-2960
Switch#show version
Cisco IOS Software, C2960C Software (C2960c405ex-UNIVERSALK9-M), Version 15.2(2)E1, RELEASE SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2014 by Cisco Systems, Inc.
Compiled Tue 18-Nov-14 16:29 by prod_rel_team

ROM: Bootstrap program is C2960C boot loader
BOOTLDR: C2960C Boot Loader (C2960C-HBOOT-M) Version 12.2(55r)EX11, RELEASE SOFTWARE (fc1)

Switch uptime is 16 minutes
System returned to ROM by power-on
System restarted at 01:27:21 UTC Wed Mar 30 2011
System image file is "flash:/c2960c405ex-universalk9-mz.152-2.E1/c2960c405ex-universalk9-mz.152-2.E1.bin"
Last reload reason: Unknown reason

Switch Ports Model SW Version SW Image
------ ----- ----- ---------- ----------
* 1 10 WS-C2960CG-8TC-L 15.2(2)E1 C2960c405ex-UNIVERSALK9-M

68 · 2022/08/10(水) 16:58:36.44

ちなみにB拠点のスイッチはコチラです

B拠点-2960
Switch#sh version
Cisco IOS Software, C2960C Software (C2960c405ex-UNIVERSALK9-M), Version 15.2(2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2014 by Cisco Systems, Inc.
Compiled Tue 18-Nov-14 16:29 by prod_rel_team

ROM: Bootstrap program is C2960C boot loader
BOOTLDR: C2960C Boot Loader (C2960C-HBOOT-M) Version 12.2(55r)EX11, RELEASE SOFT

Switch uptime is 8 minutes
System returned to ROM by power-on
System restarted at 01:27:21 UTC Wed Mar 30 2011
System image file is "flash:/c2960c405ex-universalk9-mz.152-2.E1/c2960c405ex-uni
Last reload reason: Unknown reason

witch Ports Model SW Version SW Image
------ ----- ----- ---------- ----------
* 1 10 WS-C2960CG-8TC-L 15.2(2)E1 C2960c405ex-UNIVERS

アドバイス頂いた件で、いまからチャレンジしてみます。
ありがとうございます

**anonymous@fusianasan** · 2022/08/10(水) 18:39:35.93

>>232-233

シスコのC2960CGスイッチだったのですね。
C2960XR系でしたら、どのポートにネイティブVLANに設定しても、タグVLANとネイティブVLAN
の併用にて動作する趣旨のCLIリファレンスが有ったのですが、C2960CGタイプですと、
デフォルトVLANでのネイティブVLANモードがVLAN1に限定されているモデルが有るようです。
同一のC2960Cモデルでも沢山御座いますので、ハズレの機種をご用意されたのが濃厚です。

iOSのバージョンが、15.2（2）ですので、比較的古いですね。
C2960C系でしたら、15.2（6）～（7）が利用出来るモデルが有るのですが、
C2960C～C2960Plus系でしたら、適用するiOSが比較的新しいものが利用可能なリリースが有るようです。

**anonymous@fusianasan** · 2022/08/10(水) 18:54:06.12

>>232-233

A拠点とB拠点の静的経路を/25サブネットで分けてルーティングさせる場合の件ですが、
A拠点のVLAN毎のIPアドレスも/25サブネット範囲に合致するように設定を変更しないといけませんので、
ご確認下さい。

例１　192.168.102.0/25、192.168.102.128/25　→　VLAN20のL2スイッチのIPアドレス、DHCPサーバ範囲　
例２　192.168.103.0/25、192.168.103.128/25　→　VLAN30のL2スイッチのIPアドレス、DHCPサーバ範囲

68 · 2022/08/10(水) 21:15:03.63

>>225でアドバイス頂いた・・

>>
IX2215側（A拠点）
ip dhcp profile vlan1
assignable-range 192.168.101.1 192.168.101.150(※B拠点 101.151-101.200)
default-gateway 192.168.101.254
dns-server 192.168.101.254

interface GigaEthernet2:1.1
ip address 192.168.101.254/24(※B拠点 253/24)
ip dhcp binding vlan1
bridge-group 1

2960側
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1
switchport mode trunk
interface GigaEthernet2:2.1～interface GigaEthernet2:3.1 までのBVIグループを１番を指定
interface BVI1 ～　interface BVI3　までのBVIグループも１番を指定
interface Tunnel1.0 　のEtherIP-IPSECトンネルのBVIグループも１番を指定
してみてもダメですと、2960スイッチ側のモデルの問題となります。

の件で、IX2215側のBVIにipアドレスやdhcp profileのナンバ－を振っていかないと、Catalyst側では通信を受付けしない様です。他のセグメント(102.0/24と103.0/24)があるので、マルチになる関係でIXのBVIにipアドレスを投入出来ないですね～　そもそも、エラ－でIXから叱られますが。。
念の為に・・、ノ－トPCのLANドライバ－にてVLANの設定をして、本来であればC2960へ向かうLANケ－ブルを、直接ノ－トPCに挿すとIXとPCの疎通が出来ました。これはcatalyst 2960側の問題となりますね～　素直にcatalystを挟むのを止めてIXのみで配線図を作ってみようと思います。　
ただ、Ciscoの無線コントロ－ラ－をA拠点に置いてB拠点にてAironetのAPを遠隔利用しますので、IXと直接に疎通が出来るか問題になりそうですね

たくさんのアドバイスありがとうございます

**anonymous@fusianasan** · 2022/08/10(水) 21:29:46.36

>>236

2960側
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1-30
switchport mode trunk

にして、VLAN1・ネイティブVLANに、VLAN20～30を紐付けて、
VLAN1のセグメントより、IX2215のBVI1のインターフェイスにリンクさせて、
VLAN20～VLAN30・BVI1に紐付ける方法はしましたか？
GigabitEthernet0/8　のみのトランクポートにして、VLAN1、VLAN20、VLAN30を
接続させて、BVI1のグループより、EtherIP-IPSECトンネルと紐付ける方法ですが。
A拠点は、
VLAN20-IPアドレスは192.168.102.0/25の内、192.168.102.1の割り当て、
VLAN30-IPあどれすは192.168.103.0/25の内、192.168.102.1の割り当て、
DHCPプロファイルのルールも/25のルールにて出来ませんでしょうか？
B拠点は、
VLAN20-IPアドレスは192.168.102.128/25の内、192.168.102.128の割り当て、
VLAN30-IPあどれすはは192.168.103.128/25の内、192.168.103.128の割り当て、
DHCPプロファイルのルールも/25のルールにて分割

A拠点よりB拠点のVLAN20～30宛ての静的ルーティングは、
ip route 192.168.102.128/25 Tunnel1.0
ip route 192.168.103.128/25 Tunnel1.0
B拠点よりA拠点のVLAN20～30宛ての静的ルーティングは、
ip route 192.168.102.0/25 Tunnel1.0
ip route 192.168.103.0/25 Tunnel1.0

というイメージになるかと思いますが、お試し頂くと如何でしょうか？

**anonymous@fusianasan** · 2022/08/10(水) 21:36:04.20

>>236

シスコのAironetの無線LANの件ですが、仕様的にデフォルトにて、
VLAN1のネイティブVLANを利用刷るようになっているかと思いますが、
そのネイティブVLANとIX2215のVLAN1のリンク次第となりますね。

サブネット/24の件ですが、/25のサブネットに変更して、A拠点とB拠点のVLANのIPアドレスと
DHCPサーバを分けるイメージですが、そちらも確認された方が良いかと思いました。

68 · 2022/08/10(水) 22:52:31.37

>>237
私の為にお時間頂きありがとうございます
やはり下記のコンフィグではIX2215とC2960間は通信不可能ですね。C2960の　interface GigabitEthernet0/1　アクセスポ－トへ接続したノ－トPCはリンクupしないです
C2960側では switchport trunk native vlan 1 は仕様なのかコンフィグいれてもShow Run・・では表示されないみたいです

>>2960側
interface GigabitEthernet0/8
switchport trunk native vlan 1
switchport trunk allowed vlan 1-30
switchport mode trunk

にして、VLAN1・ネイティブVLANに、VLAN20～30を紐付けて、VLAN1のセグメントより、IX2215のBVI1のインターフェイスにリンクさせて、VLAN20～VLAN30・BVI1に紐付ける方法はしましたか？

IX2215側

ip dhcp profile vlan1
assignable-range 192.168.101.1 192.168.101.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan20
assignable-range 192.168.102.1 192.168.102.150
default-gateway 192.168.101.254
dns-server 192.168.101.254
!
ip dhcp profile vlan30
assignable-range 192.168.103.1 192.168.103.150
default-gateway 192.168.101.254
dns-server 192.168.101.254

68 · 2022/08/10(水) 22:53:06.33

interface GigaEthernet2:1.1
encapsulation dot1q 1 tpid 8100
auto-connect
ip address 192.168.101.254/24
ip proxy-arp
ip dhcp binding vlan1
bridge-group 1
no shutdown
!
interface GigaEthernet2:1.2
encapsulation dot1q 20 tpid 8100
auto-connect
ip address 192.168.102.254/24
ip proxy-arp
ip dhcp binding vlan20
bridge-group 1
no shutdown
!
interface GigaEthernet2:1.3
encapsulation dot1q 30 tpid 8100
auto-connect
ip address 192.168.103.254/24
ip proxy-arp
ip dhcp binding vlan30
bridge-group 1
no shutdown
!
interface BVI1
no ip address
bridge-group 1
no shutdown

68 · 2022/08/10(水) 22:55:39.51

C2960側

interface GigabitEthernet0/1
switchport mode access
!
interface GigabitEthernet0/2
switchport access vlan 20
switchport mode access
!
interface GigabitEthernet0/3
switchport access vlan 30
switchport mode access
!
interface GigabitEthernet0/8
switchport trunk allowed vlan 1-30
switchport mode trunk
!
interface Vlan1
ip address 192.168.101.252 255.255.255.0
!
interface Vlan10
no ip address
!
interface Vlan20
ip address 192.168.102.252 255.255.255.0
!
interface Vlan30
ip address 192.168.103.252 255.255.255.0

68 · 2022/08/10(水) 22:58:08.65

>>237
GigabitEthernet0/8　のみのトランクポートにして、VLAN1、VLAN20、VLAN30を
接続させて、BVI1のグループより、EtherIP-IPSECトンネルと紐付ける方法ですが。
A拠点は、
VLAN20-IPアドレスは192.168.102.0/25の内、192.168.102.1の割り当て、
VLAN30-IPあどれすは192.168.103.0/25の内、192.168.102.1の割り当て、
DHCPプロファイルのルールも/25のルールにて出来ませんでしょうか？
B拠点は、
VLAN20-IPアドレスは192.168.102.128/25の内、192.168.102.128の割り当て、
VLAN30-IPあどれすはは192.168.103.128/25の内、192.168.103.128の割り当て、
DHCPプロファイルのルールも/25のルールにて分割

A拠点よりB拠点のVLAN20～30宛ての静的ルーティングは、
ip route 192.168.102.128/25 Tunnel1.0
ip route 192.168.103.128/25 Tunnel1.0
B拠点よりA拠点のVLAN20～30宛ての静的ルーティングは、
ip route 192.168.102.0/25 Tunnel1.0
ip route 192.168.103.0/25 Tunnel1.0

というイメージになるかと思いますが、お試し頂くと如何でしょうか？

ココでご指導頂いたいる内容ですが・・
コチラはIX2215とC2960の通信が確立した後で行うコンフィグ　と言う認識で宜しいでしょうか？？
何回もすみません・・

また、連投とスレ汚しゴメンナサイ

**anonymous@fusianasan** · 2022/08/10(水) 23:22:05.08

>>239-242

interface GigaEthernet2:1.1
encapsulation dot1q 1 tpid 8100
auto-connect
ip address 192.168.101.254/24
ip proxy-arp
ip dhcp binding vlan1
bridge-group 1
no shutdown

↑のコマンドの内ですが、VLAN1のタグを外してみると如何でしょうか？
　no encapsulation dot1q 1 tpid 8100

　シスコのネイティブVLANですが、一般的な社外L2やL3スイッチのニュアンスと違う
部分が御座いますので、一般の社外ネットワーク装置とVLANリンクをする場合ですが、
ポートベースVLANとリンクが出来る場合があるとのことですが。
　ただし、VLAN1のタグを外す形ですと、
　IX2215側にて、静的ルーティング設定として、VLAN1側のIPアドレスへ、VLAN20とVLAN30側へのルーティング設定を
入れないと、VLAN20、VLAN30側へアクセスが出来ない形になるかと思いますが。

ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252

「ココでご指導頂いたいる内容ですが・・
コチラはIX2215とC2960の通信が確立した後で行うコンフィグ　と言う認識で宜しいでしょうか？？」

　↑　その解釈でOKです。

68 · 2022/08/11(木) 04:31:29.32

>>243
ありがとうございます！！

何とかIX2215とC2960の通信が出来ました！！
C2960側のログを確認してみると・・・

Mar 30 01:28:17.374: %SPANTREE-2-RECV_PVID_ERR: Received BPDU with inconsistent peer vlan id 20 on GigabitEthernet0/8 VLAN30.
Mar 30 01:28:17.374: %SPANTREE-2-BLOCK_PVID_PEER: Blocking GigabitEthernet0/8 on VLAN0020. Inconsistent peer vlan.
Mar 30 01:28:17.374: %SPANTREE-2-BLOCK_PVID_LOCAL: Blocking GigabitEthernet0/8 on VLAN0030. Inconsistent local vlan.

のログがあったので、そのエラ－ログをググってみると情報があり、C2960のinterface GigabitEthernet0/8へ　「spanning-tree bpdufilter enable」　のコンフィグを入れると、無事にIX2215とC2960の通信が確立しました

ただ、ここでひとつ問題が起こりまして、VLAN10-30はC2960からIX2215まで通信出来るのですが、IX2215からネットへ出ていけない様です。interface GigaEthernet2:1.1-3に「bridge-group 1」が其々ありますが、利用していないinterfaceの「bridge-group 1」を削除するとインタ－ネット側へ出ていけます。

例えば・・　
C2960側で

interface GigabitEthernet0/1
switchport access vlan 10
switchport mode access

へLANケ－ブルでPCに挿すと、PCにはVlan10(192.168.101.0/24)のアドレスがIXから下りてきますが、ネットへ接続出来ない状況となります。

そこで、IX2215側の

interface GigaEthernet2:1.2
interface GigaEthernet2:1.3

にある「「bridge-group 1」を削除すると、インタ－ネット(pppoe側)へ出て行ける状況です。
一度、C2960を撤去し、IXの下部へNetgear GS-108Ev3を挟んでvlan設定を行い様子を見ましたが、C2960と結果は同じですね。　何か私が間違っているところはございますでしょうか？？

68 · 2022/08/11(木) 04:38:24.88

IX2215のこの部分ですね

ココの「bridge-group 1」を利用していないinterfaceから削除するとインタ－ネット側へ出ていけます。ただ、このBVIグル－プを削除or他番号を使うとTunnel1.0からＢ拠点側へ出ていけないという事になりますよね？？
ただ、A拠点単独でC2960を挟んだ状態でテストしただけなので、B拠点を設置してIPSecを確立しての試験はまだしておりません
質問ばかりで申し訳ございませんが、アドバイスを頂けたら幸いです

ＩＸ2215(Ａ拠点)
interface GigaEthernet2:1.1
encapsulation dot1q 10 tpid 8100
auto-connect
ip address 192.168.101.254/24
ip dhcp binding vlan10
bridge-group 1
no shutdown
!
interface GigaEthernet2:1.2
encapsulation dot1q 20 tpid 8100
auto-connect
ip address 192.168.102.254/24
ip proxy-arp
ip dhcp binding vlan20
bridge-group 1
no shutdown
!
interface GigaEthernet2:1.3
encapsulation dot1q 30 tpid 8100
auto-connect
ip address 192.168.103.254/24
ip proxy-arp
ip dhcp binding vlan30
bridge-group 1
no shutdown

**anonymous@fusianasan** · 2022/08/11(木) 07:46:58.88

>>244-245

A拠点のIX2215のブリッジインターフェイスのモードの追加をしませんと、NTT-HGWを経由している関係で
ネイティブVLANとタグVLANの制御がうまくいっていない状況、各DHCPサーバのネイティブVLAN、タグVLANのIPセグメントの
DNSサーバ、ネームサーバの名称解決が出来ていない状況が想定されます。

改めて、現時点のA拠点のIX2215のコンフィグ全体は明示可能でしょうか？

**anonymous@fusianasan** · 2022/08/11(木) 07:59:14.85

>>244-245

補足ですが通常は考えにくいですが、PPPOE-NATセッションのNATインサイドのプライベートIPアドレスの部分ですが、
通常は、BVI・ブリッジインターフェイス側のアドレスを自動的に見に行く設定になっていますが、
明示的にNATインサイドの内側アドレスをアクセスリスト設定に追加しませんと、NATルート変換出来ていないかもしれません。

**anonymous@fusianasan** · 2022/08/11(木) 08:01:23.80

>>244-245

一応、念のためですが、IX2215のファームウェアバージョンがいくつかお教え下さい。
最新版は、10.6.64　になります。
確か、過去のファームウェアにてVLANやBVIの追加修正を行っていた時期が有ったかと思います。

**anonymous@fusianasan** · 2022/08/11(木) 08:43:08.87

>>244-245

あと、2960CGスイッチのトランクポートにネイティブVLANとタグVLANを併用するように
され、192.168.101.0/24からのアクセスはブリッジインターフェイスを外すとインターネットが出来たとのことですが、
通常の社外L2スイッチでは、

トランクポートとハイブリッドポートの機能の違いですが、

トランクポートのモードですが、イーサーネットフレーム単位でタグとネイティブを分割し、
ネイティブVLANのVLAN-IDを任意に設定が出来るのですが、ネイティブVLANとタグのVLANの優先順位として、
ネイティブVLANが優先され、タグVLANは排他制御となる機能になっている状況です。

ハイブリッドポートのモードですが、複数のタグなしVLANとタグ付きVLANを同時に使用できるモードで、プロトコルVLANで使用します。複数のタグなしVLANのうち、1つだけネイティブVLANとして登録出来る。
ポートベースVLANとタグVLAN、タグ無しVLANを単一のインターフェイスにて、
個別のものとして制御して制御するようになっています。

こちらのタグ無しとタグ有りの制御に問題が有るように見受けられます。
タグ無しとタグ有りの制御に問題があるL2スイッチとなります（ハイブリッドモードが利用出来ない）と、
ブリッジグループを分ける方法とEtherIP-IPSECのトンネルもブリッジ毎に分けないと
うまくいかない可能性が大きいですね。

IX2215のNATインサイドのアドレスのタグ、タグ無しの認識の問題が御座いますが、
ちなみに、お持ちのネットギアのVLAN制御の場合ですが、アンマネージタイプのスイッチでしたので、
ハイブリッドモードの運用については、全ての機能を利用出来ないタイプだったようです。
ただし、ネットギアのProPlus-WebGUIからの設定ですと、基本VLANの設定（ポートベースVLAN）では無く、
拡張VLANの設定（タグVLAN、タグ無しVLAN）の設定の同一グループの設定、VLANの優先順位の設定ですが、
PVIDのエントリーナンバーによって、若番より優先される設定になっています。

こちらの機能に制約があって、マネージタイプのスイッチですと、そちらを平行して処理出来る機能になっている
とのことです。

**anonymous@fusianasan** · 2022/08/11(木) 11:17:03.76

>>244-245

EtherIP-IPSECのVLAN、BVIとVLANのNATの件ですが、
PPPOE-NATインバウンドアドレスの認識がうまくいかないケースだった場合の件ですが、

NATのインバウンドアドレスの設定が可能ですので、原因の切り分けという形になるかと思いますが、
ご確認頂けると良いかと思われます。

設定例
　VLAN10とVLAN20、VLAN30のNATインバウンドアドレスに指定する場合
　ip access-list vlan-in permit ip src 192.168.101.0/24 dest any
　ip access-list vlan-in permit ip src 192.168.102.0/24 dest any
ip access-list vlan-in permit ip src 192.168.103.0/24 dest any
interface GigaEthernet0.1
ip napt inside list vlan-in

上記の設定にて、NAPTインバウンドアドレスを静的に指定が出来るかと存じます。
A拠点とB拠点のサブネットを分割して、/24より/25へ同一セグメント・IPアドレスを分ける
場合には、NAPTインバウンドアドレスのアクセスリストを変更する必要が有るかもしれません。

**anonymous@fusianasan** · 2022/08/12(金) 08:58:27.97

>>244-245

念のため、気になりましたので、私の所有していますテストルーター（IX2235）環境下で
下記のスイッチを所有しておりましたので、確認をしてみました。

・　UNIVERGE QX　「QX-S5124GT-4X」
　　L3スイッチでしたが、トランクポートにPVIDの設定を任意に設定が出来る。
　　デフォルトPVIDは、gigabitethernet 1/0/24でしたが、そちらのポートにトランクポート
ネイティブVLAN、タグVLAN、ポートベースVLANの併用は出来る、PVIDの変更は他のインターフェイスへ変更は出来る）
　　他のポートに、ネイティブVLANと、タグVLANの複数VLANの併用設定、ハイブリッドモードの運用は出来る。
　→　1/0/24（トランクポート、VLAN10、20、30のグループ連結）、1/0/1～1/0/10までVLAN10のタグVLAN、1/0/10～1/0/20までVLAN20のタグVLAN、1/0/21～1/0/23までVLAN30のタグVLAN
の設定にて、IX2235のポートベースVLAN・BVIのトランクリンク、静的経路にてVLAN10～30までの経路にてDHCPとインターネット接続のNATセッションは出来る

**anonymous@fusianasan** · 2022/08/12(金) 08:59:08.75

>>244-245
続きです
・　FortiSwitch　FS-124E-POE
　　こちらは、上位にFortigateの仮想コントローラー制御のモードの運用と、自走スイッチ制御のコントローラーモードの設定が出来る。
　　IX2235に直接接続されるモードですと、自走コントローラモードにて確認をしました。
　　自走にて仕様的にトランクポート対象のポートは、ポートベース、タグ付加の選択が出来る。
　　タグ付加の場合ですと、IX2235側のBVIとタグインターフェイスの連結が必要となるため、
ポートベースのみにしてトランクポート接続、その他のポートはアクセスポートになる部分は確認しました。
アクセスポートの設定側にて、タグ付加、ポートベースの選択はスイッチ側にて出来る。
　VLAN20、30にタグを付けてVLAN10はIX2235のIPアドレスと共通のためポートベースのままにした。
　IX2235側より静的経路にて、VLAN20、30宛てのルーティング処理として、スイッチのトランクポートに割り当てしました、
IPアドレスへルーティング経路を切り、VLAN20、30宛てにDHCPサーバのアドレスが振られることを確認しました。

　先日のSTP機能（スパニングツリー）の部分については、IP衝突やブロードキャスト通信障害のための機能でしたが、
スイッチ側、IX2235側にてSTP機能をあえて明示すること無くIPアドレスの通信が出来る事を確認しました。
　
　POE給電通信の機能ですが、双方ともシスコの通信方式（CDP方式）だけではなく、LLDP方式も設定にて対応出来る事を確認しました。

**anonymous@fusianasan** · 2022/08/12(金) 09:08:58.95

>>244-245

NEC UNIVERGE QXスイッチですが、NEC様の方にてH3C製のメーカーのOEMカスタム品になっています。
H3CのカスタムOSですが、日本HP系のスイッチのOSとほぼ操作性はイコールかと存じます。
慣れるまで多少時間はかかるかもしれません（WEB-GUIは利用可、Netmeisterのクラウド運用管理は可能）

Fortinet系のスイッチは、FortiOSのスイッチ版になっていますので、Fortigateの設定をされたことが御座いましたら、
そんなに苦労はしないかと思います。

68 · 2022/08/12(金) 15:11:35.44

>>251-253

すみません…　お返事遅れました。
私の為に検証までして下さってとても感謝をしております。
先日お知らせご教示頂いた、NAPTインバウンドアドレスを投入もしながら、私のコンフィグでおかしな部分として少し思い当たる節もありました。
私の知識不足もあり、中々理解に時間が掛かる関係でお返事が遅れておりとても恐縮しております。
本日もう一度チャレンジしてみようと思っております。　後ほど、結果を報告させて頂きたいと思います。
いつもありがとうございます

**anonymous@fusianasan** · 2022/08/12(金) 19:20:40.97

>>254

既存のIX2215のコンフィグの部分ですが、現時点のコンフィグを念のため、明示頂ければ、
確認は可能かと思います。

68 · 2022/08/13(土) 02:41:20.30

>>250
いつもありがとうございます。

>>設定例
　VLAN10とVLAN20、VLAN30のNATインバウンドアドレスに指定する場合
　ip access-list vlan-in permit ip src 192.168.101.0/24 dest any
　ip access-list vlan-in permit ip src 192.168.102.0/24 dest any
ip access-list vlan-in permit ip src 192.168.103.0/24 dest any

interface GigaEthernet0.1
ip napt inside list vlan-in

でご教示頂いた
設定例をA拠点IX2215に投入してみましたが、IX2215とC2960の通信OK　C2960下部の端末からインタ－ネットへ出て行けない状況でした。

それとA・B拠点のIX2215は、最新ファ－ムウェアの10.6.64となります。

B拠点のコンフィグは誤って消してしまったので、A拠点のコンフィグのみとなりますが貼っておきます。

https://imgur.com/a/nP4Kx4m

68 · 2022/08/13(土) 02:48:42.88

>>256　のアップロ－ダ－のデ－タは間違えでコチラです。
すいません

https://imgur.com/a/1saV443

68 · 2022/08/13(土) 03:20:23.45

それと、色々試してみた結果　「BVI」　がネックになってるかと思い、A・B拠点共にコンフィグを書き直してみました。

結果、A・B拠点共にIX2215側とC2960.側で通信は出来るのですが、A拠点とB拠点のIPSecが通らなくなります。
恐らくIX2215側の仕様なのかと思っております。　サブインタ－フェイスを切って、bridge-group が同じのサブインタ－フェイスを複数作ったら挙動がおかしくなるのかな？

接続として・・　　IX2215　GE2:1.1-3 →→→→　C2960　port8(トランクモ－ド vlan1-30)
　　　　　　　　　 IX2215　GE2:2.1-3 →→→→　C2960　port7(トランクモ－ド vlan1-30)

　　　　　　　　　　C2960　port1(アクセスモ－ド vlan10) →→　PC

な感じでしております。

少しお手上げ状態ですねコレ..　　素直にNECのスイッチを買うべきかもしれませんね
IX2215のA・B拠点コンフィグを貼っておきます

https://imgur.com/a/pGjbFNG
https://imgur.com/a/iQSwUff

はあ～　もう疲れたぽ...

**anonymous@fusianasan** · 2022/08/13(土) 07:48:42.65

>>256-258

コンフィグの確認を致しました。
単一のEtherIP-IPSECに複数のタグを通す部分、NetmeisterDDNSのメインモード接続のケースですが、
IPSECのローカルID、リモートIDは、複数のタグを通す関係上、不要になるかと存じます。

不要な項目（A拠点）
ipsec local-id ipsec-policy1 192.168.101.254
ipsec remote-id ipsec-policy1 192.168.101.253
不要な項目（B拠点）
ipsec local-id ipsec-policy1 192.168.101.253
ipsec remote-id ipsec-policy1 192.168.101.254

各コンフィグは確認致します。

**anonymous@fusianasan** · 2022/08/13(土) 08:43:03.79

>>258
トランクモードでのトランクリンクの要件（下記）
IX2215　GE2:1.1-3 →→→→　C2960　port8(トランクモ－ド vlan1-30)
IX2215　GE2:2.1-3 →→→→　C2960　port7(トランクモ－ド vlan1-30)
でしたが、
シスコのデフォルトVLAN（NEC、ネットギアなどにてPVIDと言っていますが）、IX2215間のBVIインターフェイス間のタグ処理が出来ない場合に
VLAN1の方のネイティブVLANのリンク（IX2215間のリンクをVLAN1にする必要があるかもしれませんが）
VLAN1のデフォルトVLANの部分を利用して、そのデフォルトVLANのセグメントにタグ10、タグ20、タグ30を通す形のイメージになるのですが。
IX2215のトランクリンク間のBVIインターフェイスの条件ですが、
interface BVI1
ip address 192.168.101.254/24
ip dhcp binding vlan1 （VLAN10は利用しません）
bridge-group 5
IX2215間のトランクリンク・インターフェイスのネイティブVLAN間のリンクですが、
VLAN10のアドレス192.168.101.0/24をBVIインターフェイスと紐付けていますので、
その間のみのトランクリンク自体は、タグ無しでなければいけない状況になるかと存じます。
IX2215とのネイティブVLAN間の接続（シスコで言う対向側がタグに対応出来ないVLAN）との接続を
行うためには、IX2215側はポートベースでなければいけない形になります。
GE2.0-I/FのポートベースVLANで利用するポートの指定
設定例（物理ポート１～3番をポートVLANで利用する設定例）
Device GigaEthernet2
vlan-group 1 port 1
vlan-group 1 port 2
vlan-geoup 1 port 3
ご指定の利用では、C2960との接続のポートのみの指定で良いかと思います。
　（port 2～３の指定は不要かもしれません、IX2215で言うVLAN1の確保）
ポートベースVLANの設定切替（シスコのネイティブVLAN、VLAN1とのトランクリンクの接続、192.168.101.254/24の割り当てをする
ポートの指定）
interface GigaEthernet2:1.0
auto-connect
bridge-group 5
no shutdown

**anonymous@fusianasan** · 2022/08/13(土) 08:44:36.69

>>258-260
続きです。
タグVLANグループの設定を限定する（タグ、VLAN10の設定、インターフェイス関係は利用しない、削除する）
interface GigaEthernet2:1.2
encapsulation dot1q 20 tpid 8100
no ip address
bridge-group 5
no shutdown
interface GigaEthernet2:1.3
encapsulation dot1q 30 tpid 8100
no ip address
bridge-group 5
no shutdown

BVI2～BVI3のタグのブリッジグループの変更
interface BVI2
ip address 192.168.102.254/24
ip dhcp binding vlan20
bridge-group 5
interface BVI3
ip address 192.168.103.254/24
ip dhcp binding vlan30
bridge-group 5

IX2215　→　C2960のトランクリンク・VLAN1間をポートベースVLANで切る形になりますが、
IX2215から、VLAN20、VLAN30へのルーティング処理を要求する形になりますので、
ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252

※　C2960側のトランクポートに割り当てするIPアドレスが、192.168.101.252であることを確認する。

タグVLAN間のセッション接続に問題が有る場合のトランクリンクにタグを同居させる場合の設定例になります。

**anonymous@fusianasan** · 2022/08/13(土) 08:49:08.58

>>260

補足ですが、シスコのネイティブVLAN間のトランクリンクを確立させる要件ですが、
IX2215側の物理ポートを限定して、ポートベースVLANを切って、そのポートにBVIインターフェイスにて、
IPアドレス（192.168.101.254/24の割り当て）をして、タグVLANのブリッジグループと同一グループにする形になりますが、
IX2215のインターフェイスの設定ですが、
interface GigaEthernet2.Z.0 （Zの欄がVLANグループの番号になります）

**anonymous@fusianasan** · 2022/08/13(土) 09:05:22.18

>>260

普段の運用管理として、ポートベースVLANとタグVLANの混合モードになりますので、
他社のL3、L2スイッチの部分ですと、ハイブリッドモードに相当する形になりますね。
シスコのアクセスポートの設定にしている、ポートのIPアドレス制御の機能に依存する部分になるかと思います。
やはり、NECのUNIVERGE QXのL3スイッチ、L2スイッチあたりにされた方が良いかと思いますね。
端末数によっては、今後の管理がシスコスイッチ系ですと、大変になりそうです。

シスコのAironetの無線LANのPOE給電仕様ですが、CDP機能での通信機能になりますので、
UNIVERGE QXのPOE給電モードをCDPモードにする形になるかと存じます。
出来れば、UNIVERGE QX-Wの無線LANにされた方が良いかと思いますが。

**anonymous@fusianasan** · 2022/08/13(土) 10:05:54.65

>>258-261

A拠点のポートベースVLANのVLAN1のDHCPサーバのプロファイルですが、VLAN10から移行をして下さい。
ip dhcp prtofile vlan1
assignable-range 192.168.101.1 192.168.101.150
default-gateway 192.168.101.254
dns-server 192.168.101.254

**anonymous@fusianasan** · 2022/08/13(土) 11:38:28.60

>>258-261

B拠点のコンフィグの件ですが、基本のVLANがポートベースになりますので、
device GigaEthernet2
vlan-group 1 port 1
vlan-group 1 port 2
vlan-group 1 port 3
ブリッジインターフェイスとVLAN1用のDHCPプロファイルですが、
interface BVI1
ip address 192.168.101.253/24
ip dhcp binding vlan1
bridge-group 5
にして、VLAN10のDHCPプロファイルは削除して下さい。（VLAN1用のDHCPプロファイル追加）
no ip dhcp-profile vlan10
ip dhcp prtofile vlan1
assignable-range 192.168.101.150 192.168.101.200
default-gateway 192.168.101.254
dns-server 192.168.101.254
それと、GE2.0-I/Fにブリッジインターフェイスの設定が無い（A拠点、B拠点とも）
interface GigaEthernet2.0
bridge-group 5
としてください。
B拠点のポートベースVLAN（VLAN1）の設定移行
interface GigaEthernet2:1.0
auto-connect
bridge-group 5
no shutdown
タグVLAN10のインターフェイスは削除
no interface GigaEthernet2:1.1
タグVLAN20、30のインターフェイスはそのままでOK

**anonymous@fusianasan** · 2022/08/13(土) 11:39:54.90

>>258-265
続きです。

BVI2～BVI3のインターフェイスのブリッジグループの変更
interface BVI2
ip address 192.168.102.253/24
ip dhcp binding vlan20
bridge-group 5
interface BVI3
ip address 192.168.103.253/24
ip dhcp binding vlan30
bridge-group 5

EtherIP-IPSECのトンネルのブリッジレベルですが、bridge-group 5　になっていましたので、
全てbridge-group 5　にする形になります。
インターネット接続が出来なくなる件ですが、恐らくですが、IX2215の物理インターフェイス
GE2.0-I/Fの配下にてBVIグループを組んでいますので、GE2.0-I/Fに　bridge-group 5　の
エントリーが外れてしまっていたのが一因かと思います。（以下にて）

PPPOEセッションにてNATのインバウンドアドレスを参照するのは、あくまでもGE2.0-I/F配下の
ブリッジインターフェイスとタグインターフェイスになります。
昨日のインバウンドアドレスの設定は解除で良いかと思います。

no ip access-list vlan-in permit ip src 192.168.101.0/24 dest any
no ip access-list vlan-in permit ip src 192.168.102.0/24 dest any
no ip access-list vlan-in permit ip src 192.168.103.0/24 dest any

interface GigaEthernet0.1
no ip napt inside list vlan-in

**anonymous@fusianasan** · 2022/08/13(土) 11:51:21.96

>>266

シスコの無線LANのVLANの参加は、ネイティブVLANのイメージをして頂く形になりますね。
VLAN1のセグメントにて、ESS-IDなどの設定をご確認下さい。

**anonymous@fusianasan** · 2022/08/13(土) 12:02:01.90

>>259-267

IX2215からのトランクポート（ポートベースVLAN1、2960はネイティブVLAN参加）
トランクポートに参加するタグVLANはVLAN20～VLAN30
BVIのブリッジグループは、エントリー５を指定されていましたので、IPSECの部分も含めてエントリー５で統一
物理インターフェイス（GE2.0-I/F）もエントリー５を追加
PPPOE-NATセッションが参照先のNATインバウンドアドレスは、BVIグループ（GE2.0-I/F、VLAN1、VLAN20、VLAN30）

IX2215側にて、シスコのC2960のトランクポートを認識出来るモードがポートベースVLAN（VLAN1）
シスコの無線LANのVLAN参加は、ネイティブVLAN（VLAN1）になる。

68 · 2022/08/13(土) 16:24:58.34

>>259-268

貴重なお時間を頂きとてもありがとうございます。
今から再チャレンジします。

補足で頂いたアドバイスの中で、2点ほどご質問させて下さい

AとB拠点のIXでポ－トVLANを作成する時に

device GigaEthernet2
vlan-group 1 port 1
vlan-group 1 port 2
vlan-group 1 port 3

コチラでご教示を頂いていますが、全て同じ　「vlan-group 1 」　にすると言う事で宜しいでしょうか？？

>>シスコの無線LANのVLANの参加は、ネイティブVLANのイメージをして頂く形になりますね。
VLAN1のセグメントにて、ESS-IDなどの設定をご確認下さい。

>>シスコの無線LANのVLAN参加は、ネイティブVLAN（VLAN1）になる。

それとコチラのアドバイスの内容は

※C2960から「無線コントロ－ラ－」または「Aironet」の接続は、アクセスモ－ドでVlan1として接続

上記の内容で宜しいでしょうか？？

確か・・　Vlan1同士で無線コントロ－ラ－とApが接続さえすれば、capwapトンネル　で、無線コントロ－ラ－よりAPから吹く電波のセグメント(101.0/24～103.0/24)は指定出来たモノと認識しております。

もし、私の認識が誤っていればご教示頂ければ幸いです

**anonymous@fusianasan** · 2022/08/13(土) 17:13:55.83

>>269

「AとB拠点のIXでポ－トVLANを作成する時に
device GigaEthernet2
vlan-group 1 port 1
vlan-group 1 port 2
vlan-group 1 port 3
コチラでご教示を頂いていますが、全て同じ　「vlan-group 1 」　にすると言う事で宜しいでしょうか？？」

↑　の件ですが、シスコのネイティブVLAN（デフォルトVLAN、VLAN1）に合わせる形ですと、
IX2215では、ポートベースVLANの物理VLANのグループのエントリーになります。
よって、GigaEthernet2 に設定されたVLANグループのエントリーナンバー１が紐付ける形になります。
　当然、そのVLAN1のグループが、シスコで言うトランクポートの優先エントリーになります。

　シスコのAironetの無線LANの設定項目に、ネイティブVLANのグループエントリーが有るかと思いますが、
そのエントリーになります。そのデフォルトエントリーとは別に、タグVLAN側にESS-IDと紐付けるVLANが有りましたら、
VLAN20、VLAN30のエントリーとESS-IDを追加登録します。

　ネイティブVLAN（VLAN1）は、IX2215のポートベースVLANの　vlan-group 1のエントリーのDHCP範囲内のIP体系になりますので、
192.168.101.***/24になります。
　追加にて、VLAN20とVLAN30のエントリーを作成して、そのESS-ID宛てに接続すると、タグVLAN側での接続になりますので、
タグ側では、192.168.102.***/24、192.168.103.***/24のIPアドレスが割り当てになるイメージになるかと思います。

AirnetのデフォルトVLANセグメントのネットワーク同士の管理コントローラー側とサブコントローラー側の接続になるかと存じます。
よって、管理コントローラー側にて、タグ側エントリーの追加とESS-IDの追加をすると、
有線LANバックホール接続のイメージにて、サブコントローラーへその設定が反映する形になるかと思います。

**anonymous@fusianasan** · 2022/08/13(土) 17:28:27.96

>>270

タグVLAN20とタグVLAN側のIPアドレス等の設定、DHCPの設定関係ですが、
シスコの仕様がまだ不確定要素が有るかもしれません。
ケースにより、BVI2～BVI3のブリッジインターフェイスを作成するのでは無く、
タグインターフェイスに直接IPアドレスとDHCPのプロファイルの紐付けをする形になるかもしれません。

設定例
interface GigaEthernet 2:1.2
encapsulation dot1q 20 tripd 8100
auto-connect
ip address 192.168.102.253/24
ip dhcp binding vlan20
bridge-group 5
no shuitdown
interface GigaEthernet 2:1.3
encapsulation dot1q 30 tripd 8100
auto-connect
ip address 192.168.103.253/24
ip dhcp binding vlan30
bridge-group 5
no shuitdown

↑　の様なイメージとなりますと、VLAN1のセグメントにて接続して、その配下にて、
VLAN20、VLAN30のプロファイルがぶら下がる形になるかと存じます。
　※　この形ですと、BVI2とBVI3の設定が不要になるかもしれません。

**anonymous@fusianasan** · 2022/08/13(土) 17:31:22.82

>>270-271

シスコのスイッチの独自のライセンス契約・機能の兼ね合いが御座いますため、
IXルーター側の公開マニュアルの内容には未掲載のカスタマイズになる可能性があるかもしれないと言うことになります。

68 · 2022/08/13(土) 17:31:28.35

>>270
ご返信ありがとうございます。
今からやってみます。
たくさんのアドバイスとても感謝致します

**anonymous@fusianasan** · 2022/08/13(土) 17:46:35.71

>>270-272

IPネットワークの構成イメージですが（念のため）

IX2215のGigaEthernet2.0インターフェイス（BVI1、bridge-group5、192.168.101.254/24、VLAN1と紐付け）
　→　GigaEthernet2:1.0～GigaEthernet2:3.0がポートベースVLANのポートイメージ
　→　C2960のトランクポートは１系統のみの接続
　→　GigaEthernet2:1.2（タグVLAN20、bridge-group5、192.168.102.253/24）
　→　GigaEthernet2:1.3（タグVLAN30、bridge-group5、192168.103.253/24）
　→　EtherIP-IPSEC（Tunnel1.0、bridge-group5、ローカルID、リモートID無し）
　→　静的ルーティング経路設定（　ip route 192.168.102.0/24 192.168.101.252、ip route 192.168.103.0/24 192.168.101.252、ネイティブVLANのトランクポートに割り当てしましたC2960のIPアドレス宛）

と言うイメージになるかと思います。

**anonymous@fusianasan** · 2022/08/13(土) 17:53:24.81

>>270-274

補足ですが、このようなポートベースVLANとタグVLANを併用するような設定になりますと、
セキュリティ面にて、何らかのファクターが出るかもしれませんね。

IX2215とC2960の間にFortigate等の装置を入れる場合には、

FortigateのWAN側とLAN側にポートベースとタグを通過出来るようにインターフェイスの設定を入れて、
ポートベースとタグ毎のセキュリティポリシーの設定が必要になるかもしれません。
　→　Fortigateのトランスペアレントブリッジモードの設定イメージ。

**anonymous@fusianasan** · 2022/08/13(土) 18:58:48.55

>>274

「IX2215のGigaEthernet2.0インターフェイス（BVI1、bridge-group5、192.168.101.254/24、VLAN1と紐付け）
　→　GigaEthernet2:1.0～GigaEthernet2:3.0がポートベースVLANのポートイメージ」
　　　GigaEthernet2:1.0～GigaEthernet2:3.0　にも　bridge-group 5　の割り当てをして下さいね。

68 · 2022/08/14(日) 00:03:39.56

>>266

何回も質問ごめんなさい。

>>
BVI2～BVI3のインターフェイスのブリッジグループの変更
interface BVI2
ip address 192.168.102.253/24
ip dhcp binding vlan20
bridge-group 5

interface BVI3
ip address 192.168.103.253/24
ip dhcp binding vlan30
bridge-group 5

の部分なのですが、IXの仕様なのか、BVI1に既に　「bridge-group 5」　を投入しているので他のBVIに　「bridge-group 5」　を投入出来ない様です。

% BVI is already assigned to group 5

のエラ－コ－ドで弾かれてしまいます。

何か他に良い策ってございますでしょうか？？

**anonymous@fusianasan** · 2022/08/14(日) 03:53:12.57

>>277

BVIインターフェイスには、性質上ですが、ブリッジグループの条件は単一ですので、
複数のBVIインターフェイスには別のブリッジグループの設定しか出来ません。
それは、富士通のSi-Rルーターや、アライドテレシスのルーター、シスコのISR、ASAも同じです。

よって対案としては、
BVI1のエントリーに、セカンダリIPアドレスの追加をする。
　※　192.168.102.253/24、192.168.103.253/24　等
　→　これは、今回の環境の構成には、マッチング出来ないかと思います。

もう一つの方法は、BVI2～BVI3を削除して、タグVLANのインターフェイスに直接
IPアドレス、DHCPサーバ、ブリッジグループ５のエントリーを追加する方法になります。

設定例
interface GigaEthernet 2:1.2
encapsulation dot1q 20 tripd 8100
auto-connect
ip address 192.168.102.253/24
ip dhcp binding vlan20
bridge-group 5
no shuitdown
interface GigaEthernet 2:1.3
encapsulation dot1q 30 tripd 8100
auto-connect
ip address 192.168.103.253/24
ip dhcp binding vlan30
bridge-group 5
no shutdown

という方法になります。
こちらの方法になります。

68 · 2022/08/14(日) 04:13:04.97

>>278
いつもアドバイスとお返事ありがとうございます

278　で頂いた方法とは違うのですが...

>>262　にて頂いたアドバイスの中で

補足ですが、シスコのネイティブVLAN間のトランクリンクを確立させる要件ですが、
IX2215側の物理ポートを限定して、ポートベースVLANを切って、そのポートにBVIインターフェイスにて、
IPアドレス（192.168.101.254/24の割り当て）をして、タグVLANのブリッジグループと同一グループにする形になりますが、
IX2215のインターフェイスの設定ですが、
interface GigaEthernet2.Z.0 （Zの欄がVLANグループの番号になります）

上記の一文が気に掛かかっていたので、少し　「bridge-group 5」　を設定した　GE2.0-I/F　を少し弄ると

A拠点(IX2215+C2960) と　B拠点(IX2215+C2960) 　の間でIPSecが通り、同一セグメント間において拠点跨ぎで通信出来ました

ありがとうございました。　ひとまずお礼を申し上げます

後ほど、ご報告も兼ねてコンフィグを貼らせて頂きます(正しいコンフィグがどうかは怪しいですが....)

68 · 2022/08/14(日) 04:15:47.72

>>278

コチラでご紹介頂いた方法も後ほど試させて頂きたいと思います。
とても感謝です

**anonymous@fusianasan** · 2022/08/14(日) 05:03:51.28

>>279-280

278の設定例ですが、B拠点用の設定例になります。（271でも記載をしていましたが）
A拠点用は、下記になります。（事前に、BVI2～BVI3を削除下さい）

設定例（A拠点用）
interface GigaEthernet 2:1.2
encapsulation dot1q 20 tripd 8100
auto-connect
ip address 192.168.102.254/24
ip dhcp binding vlan20
bridge-group 5
no shuitdown
interface GigaEthernet 2:1.3
encapsulation dot1q 30 tripd 8100
auto-connect
ip address 192.168.103.254/24
ip dhcp binding vlan30
bridge-group 5
no shutdown

**anonymous@fusianasan** · 2022/08/14(日) 05:09:52.47

>>279-281

基本的な接続方法でしたが、

A拠点IX2215＋C2960（ポートベースVLAN＋タグVLAN、ポートベースVLANのトランクリンクにタグVLANをぶら下げる）
　→　EtherIP-IPSECのトンネルリンクは、基本のVLANはポートベースVLANのブリッジグループ接続をさせる
B拠点IX2215＋C2960（ポートベースVLAN＋タグVLAN、ポートベースVLANのトランクリンクにタグVLANをぶら下げる）
　→　EtherIP-IPSECのトンネルリンクは、基本のVLANはポートベースVLANのブリッジグループ接続をさせる

ポートベースVLANの接続がデフォルトIPSEC接続になりますので、性格上物理インターフェイス（GigaEthernet2.0）経由でのブリッジグループを設定し、
ポートベース間の192.168.101.0/24の接続をして、その同一ポートインターフェイスに、
タグVLANのインターフェイスをぶら下げて、EtherIP-IPSECトンネルにタグを複数接続させるイメージになります。

68 · 2022/08/14(日) 07:05:01.76

>>281-282
度々のアドバイスとても助かっています。

後ほど、コチラのコンフィグでも試してみようと思います。
とても勉強になり感謝しております

下記のコンフィグにて一応、A拠点とB拠点の通信が確立出来ました。　もちろん、CiscoスイッチをIX2215にぶら下げた状態です。
これが正しいかどうかは良くわかりませんが報告も兼ねて貼っておきます。これが正しいのか全くわかりませんが...

ただ、まだ課題が残りまして・・

①同一拠点内　(AまたはBで)　異なるセグメント同士が通信可能になっているので、アクセスフィルタ－の投入

②B拠点の端末がインタ－ネットへ出ていけない状態
　 a：B拠点のIX2215で.「ip dhcp prtofile」　の default-gateway と dns-server　の値を 192.168.101(102,103).253とすればネットへ出ていけるが、 default-gateway と dns-serve　が　192.168.101(102，103).254であればネットに繋がらない

　 b：A拠点を経由してインタ－ネットへ出て欲しいが、IPSecは繋がって同一セグメント同士で拠点跨ぎの機器同士の通信が可能ですが、B拠点下部端末からはインタ－ネットへ出て行けない

③同一拠点内であれば異なるセグメント同士でも通信できますが、なぜかラズパイにぶらさげたNASは同一拠点の異なるセグメントからとなれば通信出来ない状態

とりあえず後ほど、また課題の解決してみます
色々と助けて頂いてありがとうございました。
やっと寝れる～　　　ただ、お盆休み中には終らなさそう...涙

https://imgur.com/a/WL3nsil
https://imgur.com/a/O7d1Zzh

68 · 2022/08/14(日) 07:07:28.18

それと・・・
前回にご指摘頂いたポ－トVLANの設定で

device GigaEthernet2　　　　　　　
vlan-group 1 port 1
vlan-group 1 port 2
vlan-group 1 port 3

上記については、私のコンフィグでは同じ「vlan-group」にすれば、A拠点の端末はインタ－ネットへ出ていけなかったので

最初の
device GigaEthernet2　　　　　　　
vlan-group 1 port 1
vlan-group 2 port 2
vlan-group 3 port 3

へ戻しました

アドバイスありがとうございました

**anonymous@fusianasan** · 2022/08/14(日) 08:01:35.91

>>284

A拠点のコンフィグを見ましたが、GigaEthernet2.0のインターフェイスがシャットダウンされていますよ。
こちらではアクセスは出来ないかと存じます。（下記にて起動をご確認下さい）
interface GigaEthernet2.0
no shutdown

ポートベースVLANの物理インターフェイスにIPアドレスの設定（192.168.101.254/24）
が設定されていない状況でしたので、こちらではうまく動作はしないかと存じます。
こちらのポートベースVLANですが、Device GigaEthernet2のポート1（VLAN1）と同期をしており、
上記のinterface GigaEthernet2.0　の動作状態とも同期をしていますので、
GigaEthernet2.0が　shutdown 状態では、うまく動作は致しませんが。

interface GigaEthernet2:1.0
ip address 192.168.101.254/24
ip proxy-arp
ip dhcp binding vlan10
bridge-group 5
no shutdown

タグの部分については、タグとポートベースは個別に想定しないといけない要素になりますので、

**anonymous@fusianasan** · 2022/08/14(日) 08:06:44.56

>>283-284

続きです。
interface GigaEthernet2:2.2～GigaEthernet2:2.3
の部分ですが、IX2215の物理ポート２番のインターフェイス配下にタグをつける様にしている状況です。
こちらもGigaEthernet2.0のインターフェイスが shutdownされているので、うまく動作はしないかと思います。
こちらのIX2215のGigaEthernet2.0の物理ポート2番を利用する形ですと、
C2960の方に、タグ専用のトランクポートを設定しないとうまく動作はしないかと思います。
何故か、GigaEthernet2.0の物理インターフェイスが都度、シャットダウンさせている状況でしたので、
no shutdown　にて起動しているかご確認下さい。

以下のポート設定は、あくまでもポートベースVLANと紐付ける設定ですので、
C2960のVLAN1のトランクポート（ネイティブVLAN、タグ有り、タグ無し）のポートのみでOKです。
device GigaEthernet2　　　　　　　
vlan-group 1 port 1　→　C2960のネイティブVLAN、VLAN1を利用してポートベースVLANとタグVLAN20、タグVLAN30を利用する場合のポート
vlan-group 2 port 2　→　タグのポートで利用する場合には、削除で構いません
vlan-group 3 port 3　→　タグのポートで利用する場合には、削除で構いません

先述の
device GigaEthernet2　　　　　　　
vlan-group 1 port 1
vlan-group 1 port 2
vlan-group 1 port 3

**anonymous@fusianasan** · 2022/08/14(日) 08:09:48.28

>>284

ですが、C2960のトランクポート間の接続が、どちらのポートに接続されているは不明でしたので、
物理ポート１～3番をあえて明示をしていました。
ポートベースVLANとタグを併用するトランクポートのみの接続にてOKな筈ですが。
C2960側のトランクポートを分けて、C2960側でうまく動作をしているのであれば、別なのですが、
どうもうまく動作を仕切れていない状況でしたので、

C2960側のトランクポートの設定にて、
IX2215　GE2:1.1-3 →→→→　C2960　port8(トランクモ－ド vlan1-30)　→　こちらのポートの設定をご確認下さい。
IX2215　GE2:2.1-3 →→→→　C2960　port7(トランクモ－ド vlan1-30) 　→　こちらのポートは、削除で良いかと思います。

C2960側のスイッチ機能として、ネイティブVLANのPVIDを別のポートへ優先するような設定は無いようですので、
どちらのポートのみにて、確認する形になるかと存じます。
　→　どうもこのトランク接続の機能ですが、お持ちのC2960スイッチではマルチトランクの動作に問題があるようですので、
単一のトランクポートにして、再度ご確認頂く形になるかと存じます。
　このマルチポートトランクの機能ですが、NECやネットギアのL3スイッチ、L2スイッチのマネージタイプにて、
搭載されています、「ハイブリッドモード」の機能に相当します。

お持ちのC2960のトランクポートの制御ですが、タグの制御の動作がうまくないタイプのようですので、

BVIのインターフェイスが、bridge-group 5　→　EtherIP-IPSEC(Tunnel1.0）が bridge-group 5に紐付いていますのでそちらはOKです。
C2960側から見て、ネイティブVLANのポート（IX2215のGigaEthernet2.0の物理ポート1番に、C2960のトランクポート指定のポートを接続し、
そのトランクポートでは、タグとタグ無しVLANが透過が出来る仕様になっているようですので、

interface GigaEthernet2:2.2～GigaEthernet2:2.3　→　interface GigaEthernet2:1.2～GigaEthernet2:1.3
に移管して、VLAN20～VLAN30のIPアドレス周りとDHCPサーバ周りを移管しないと、
うまく動作はしないかと思います。

68 · 2022/08/14(日) 08:17:49.09

>>278
なるほど。
BVIではなく直接GE2.0のサブインターフェイスにIPやvlanタグを入れてしまえばBVI使わなくて済みますね。
一度やってみます

68 · 2022/08/14(日) 08:29:14.26

>>285

>>タグの部分については、タグとポートベースは個別に想定しないといけない要素になりますので、

最初からお話しされていた、この文面の意味が今になってやっと解ってきました。
タグVLANとポートVLANのインターフェイスは確実に分けないと動作しないのですね。

それと指摘されていたGE2.0が、まだshutdownになったままだったんですね！？　
すみません…　すぐno shutdownに変更します

**anonymous@fusianasan** · 2022/08/14(日) 09:29:49.09

>>283-287

ご指定の現時点でのコンフィグ（A拠点、B拠点）のおかしいところを修正ました。
ご確認下さい。

ギガファイル便にて送付しましたので、ご確認下さい。

A拠点IX2215　
　https://43.gigafile.nu/0821-c18496f55e43381715b70722b8431c5f9
B拠点IX2215
　https://43.gigafile.nu/0821-bfa41bc07b0e9c8fcacc954cda2c8dd89

　ダウンロード期限　2022年8月21日(日)

　↑　やはり、C2960スイッチのマルチポートのトランクポート扱いに制約が御座いますので、
　シングルのトランクポートのみにて、ポートベースVLAN、タグVLANをご確認下さい。
　　IX2215側のトランクポートは、単一のポート（A拠点、B拠点ともC2960のport8、VLAN1想定）
　　静的ルーティングをしていますので、A拠点とB拠点のタグVLANの方のサブネットを/25の範囲に分けて、
ルーティングを修正しませんと、キチンとルーティングがされないかと思われます。
　NASのアクセスもそのような形が想定されます。

**anonymous@fusianasan** · 2022/08/14(日) 09:35:06.99

>>288-289

ご指定のコンフィグのパラメーターが、間違ったパラメーターや誤入力などもあるようでしたので、
再度、IX2215とC2960（A拠点、B拠点）のコンフィグのパラメーター、誤入力を確認された方が良いかと思います。

**anonymous@fusianasan** · 2022/08/14(日) 09:39:50.46

>>288-289

補足ですが、実際の稼働時には、パラメーターのミスなどはよくあることでしたので、
業務運用の場合には、ポートベースやタグなどのVLAN周り、WAN接続、アクセスリストなどの
一元化・見える化にて、ワンタッチ管理が出来る、NECのUNIVERGE QXのL3スイッチ、L2スイッチでの
ハイブリッドモードとトランクモードの連携接続を想定された方が良いかと思います。
UNIVERGE QXスイッチにされた条件下でも、シスコのAironetの無線LANのPOE給電は動作するかと思いますが、
NECの　「Netmeisterクラウド管理機能」からは、無線LAN周りの動作の管理までは出来ないので、
NEC　QX-W無線LANにされた方が良いかと思います。

**anonymous@fusianasan** · 2022/08/14(日) 09:52:06.30

>>288-289

既存のA拠点とB拠点のIPアドレスサブネットを/24から/25に分けた場合の件ですが、

/24の場合には（255.255.255.0）、
　192.168.101.1-192.168.101.254（255はブロードキャストアドレス）
　192.168.102.1-192.168.102.254（255はブロードキャストアドレス）
　192.168.103.1-192.168.103.254（255はブロードキャストアドレス）
になりますが、

/25の場合には（255.255.255.128）、
　192.168.101.1-192.168.101.127（128はブロードキャストアドレス）
　192.168.101.129-192.168.101.254（255はブロードキャストアドレス）
　192.168.102.1-192.168.102.127（128はブロードキャストアドレス）
　192.168.102.129-192.168.102.254（255はブロードキャストアドレス）
　192.168.103.1-192.168.103.127（128はブロードキャストアドレス）
　192.168.103.129-192.168.103.254（255はブロードキャストアドレス）

　と言う範囲になりますので、IPSEC-VPN先とLAN側のC2960宛のルーティングを
分けるようにルールを設定出来るIPアドレスに変更しませんと、
NASやFAX複合機などのアクセスに影響が出てくる可能性が御座います。

**anonymous@fusianasan** · 2022/08/14(日) 10:29:10.67

>>288-289

IPサブネットの関係ですが、業種・利用の使途により、分割サブネットではなく、複合サブネットにて、
EtherIP-IPSECの拠点間IPネットワークを結んでいるユーザーさまも居られます。

例　/23　サブネット（255.255.255.240、192.168.102.0～192.168.103.255）
　/23サブネットでIPSECのルーティングや、LAN側ルーティングを切る場合には、
　今回のサブネットレベルでVLAN20とVLAN30用のサブネットを一括でルーティングが出来る場合が御座います。
　その場合には、VLAN20のみにて、/23のサブネットで、192.168.102.1-192.168.103.254まで通信が出来ます。

　ただし、その場合ですと、A拠点とB拠点のIPアドレスの振り分けや、IPSECトンネル宛ての静的ルーティングのルールを別途設ける形になりますね。
　例えば、A拠点にNASやFAX複合機が有って、B拠点よりA拠点の固定IPのNASや複合機へのアクセスを、
/32のサブネットにて、トンネル先へルーティング追加するようなイメージになるかと思いますが。
　

**anonymous@fusianasan** · 2022/08/14(日) 10:38:38.93

>>288-289

固定IPサブネット/32　と　/24サブネットのルーティング経路選択、優先順位の選択は出来るかと思います。

　例　NASのIPが192.168.102.200/24の場合（A拠点にある）、B拠点からアクセス
　　　B拠点の静的経路として、C2960のトランクポート192.168.101.200
に192.168.102.0/24のルーティングをさせている

　　　ip route 192.168.102.0/24 192.168.101.200　←　B拠点のC2960のトランクポート宛てのルーティング
　　　ip route 192.168.102.200 Tunnel1.0　←　B拠点からA拠点のIPSEC先のトンネルルーティング

　　　↑　のような設定ですと、NAS宛ての通信としてB拠点のC2960の側に通信がされてしまうケース
distance値によって優先順位の選択は出来るかと思われます。

　　　ip route 192.168.102.0/24 192.168.101.200 distance 50
ip route 192.168.102.200 Tunnel1.0 distance 5

distance値が小さい方が優先され、そちらの経路選択外のサブネットはC2960側へルーティングする

**anonymous@fusianasan** · 2022/08/14(日) 11:58:05.01

>>287-295

C2960スイッチ側のトランクポート（ネイティブVLAN、タグVLAN併用のポート）の件ですが、
他のポートは、タグVLAN用のアクセスポートになります。
ネイティブVLAN（VLAN1かと思いますが）、VLAN1のネイティブ・グループにシスコの無線LAN
を参加させるイメージになります。
　ネイティブVLANが優先される仕様に、C2960がなっているかと思いますので、
VLAN1のIPネットワークにて接続される基本ネットワークと、タグVLAN側とESS-IDを作成しました側で接続するネットワーク
を作成する形になります。

68 · 2022/08/14(日) 14:29:57.94

>>296
寝落からの起床でこのスレ開いたら…

ありがとうございます！
私の為にコンフィグまで書いて下さって…　感謝感激です。早速、ダウンロードさせて頂きました
もう、半分ダメかとも思っていましたが、なんとかなりそうな希望が見えてきた。
有り難い事に早急に、ご教示を頂いたところなのですが、所用で本日はIXを触れなさそうです。ほんと申し訳ないです。遅くても明日には再チャレンジしてみます。本日はスレをもう一度読み返して、更に知見を深めてみます。　大変感謝致します🙏

**anonymous@fusianasan** · 2022/08/14(日) 15:21:29.54

>>297

どういたしまして。
　ちなみに、IX2215配下のスイッチを更新する理想は、NEC QX-L3スイッチなのですが、
単独の運用で宜しければ、ネットギア、BuffaloのL3スイッチでもOKかと思います。

　シスコのAironetの無線LANのPOE給電仕様ですが、先般お話はしておりましたが、
デフォルトはCDPデータ通信方式なのですが、Aironet側のiOSのバージョン・ライセンス、機能によっては、
一般汎用のLLDP方式の設定が出来る様ですので、既存の無線LANの仕様を確認頂いた方が良いかと思います。

　Aironet側にて変更が出来ない場合、スイッチ側にてAironetのPOEデータ通信方式の設定が出来るタイプ
の選定が必要（CDP方式）になりますが、CDP方式にもリビジョンが御座いますので、検証が必要になります。
　現状、NECのUNIVERGE QXのL3スイッチ、NETGEARのL3スイッチにて対応の項目は有るようですが、
NETGEAR の場合には、ISDPと言う設定項目になり、接続のポートの設定も必要になります。

**anonymous@fusianasan** · 2022/08/14(日) 15:28:38.63

>>297-298

補足ですが、Buffalo系は、基本がLLDP方式のみになっているようですので、無線LAN親機側にて、LLDP方式の対応が出来るかどうか
を確認する必要があるかと思います。
　→　恐らく、Buffaloの無線LANに変更した方が良いかもしれません。

　シスコ系スイッチに、Buffalo無線LANを接続する部分については、広報されていますが。
　※　https://www.buffalo.jp/support/faq/detail/124145243.html

**anonymous@fusianasan** · 2022/08/15(月) 12:10:36.74

>>297

私の修正・作成しましたコンフィグですが、一部受領していましたデータが、壊れているフォントが御座いましたので、
修正版を送付致します。
PPPOE認証周りや、Netmeisterの認証周りは、任意に変更下さい。

A拠点IX2215
　https://7.gigafile.nu/0822-d3d7017fe43b6a1b10c65617aaf42f307
B拠点IX2215
　https://7.gigafile.nu/0822-d0e75555a3ed8ecd8cf5dbf17216977d4

68 · 2022/08/15(月) 20:21:16.17

>>300

修正版のデ－タまで頂きありがとうございました。
早速、IXのコンフィグを見直して「修正版」の通りコンフィグ設定してみたのですが・・

AとB拠点のIX2215同士はIPSecにて通信が出来るのですが(ping試験にて確認)、AとB拠点の両方にてIX2215下部のあるC2960へは通信が確立出来ません。
DHCPサ－バ－からIPアドレスが降ってこない状況です。
IX2215とC2960(AとB拠点ともに)の通信が確立さえすれば、完了となりそうなのですが・・・

もうこれは、どうもCiscoスイッチ側の問題ですね～

もう少し弄ってみてそれでもダメなら、素直にNEC　univergeの　スイッチへの変更もありかも知れないですね～

色々と教えて頂きありがとうございます。　もう少しだけ足掻いてみます

**anonymous@fusianasan** · 2022/08/15(月) 21:16:32.95

>>301

おかしいですね。
　IX2215側としては、コンフィグはマッチングしているのですが。
　配下のC2960スイッチの設定としては、
　IX2215の提示しましたコンフィグから反映しますと、
　C2960の設定イメージとしては、
　トランクポート　→　VLAN1（デフォルトVLAN、ネイティブVLAN、タグ併用、物理ポート8を利用、タググループ追加、VLAN20～VLAN30）
）
　アクセスポート　→　VLAN20（dot1q、tripd 8100、仮に物理ポート1～4、IPアドレス割り当て、192.168.102.254/24、DHCP有）
　アクセスポート　→　VLAN30（dot1q、tripd 8100、仮に物理ポート5～7、IPアドレス割り当て、192.168.103.254/24、DHCP有）　
　という形にするだけですが。
　C2960の物理ポート8をトランクポートにしていますが、上位のIX2215より、C2960のトランクポートの割り当てIPアドレス（192.168.101.252でしょうか）
宛てに192.168.102.0/24のルーティング経路の設定を切っていれば、DHCP周りもルーティングされる形で、
IPアドレスの自動割り当てが効くはずですが。
A拠点のC2960のトランクポートに割り当てしました、IPアドレスは192.168.101.252、
ルーティング経路選択は、先のコンフィグも記載しましたが、
　ip route 192.168.102.0/24 192.168.101.252
ip route 192.168.103.0/24 192.168.101.252
B拠点のC2960のトランクポートに割り当てしました、IPアドレスは192.168.101.2**
　**　はA拠点とは別のIPを設定されていますよね？
B拠点のルーティング経路は、
　ip route 192.168.102.0/24 192.168.101.2**
ip route 192.168.103.0/24 192.168.101.2**

それぞれのC2960には、デフォルトゲートウェイの設定、プロクシDNSの設定はされていますよね？
iOSのバージョンによって違う部分は有るかもしれませんが。
トランクポートのインターフェイス(VLAN1)に、
　ip default-gateway 192.168.101.254　
　DNSサーバの設定は、スイッチのグローバルコンフィグモードにて、
　ip name-server 192.168.101.254
　等になるかと存じます。

**anonymous@fusianasan** · 2022/08/15(月) 21:25:59.55

>>301-302

先ほどの誤入力の項目が御座いましたので、修正します。

（誤）
　アクセスポート　→　VLAN20（dot1q、tripd 8100、仮に物理ポート1～4、IPアドレス割り当て、192.168.102.254/24、DHCP有）
　アクセスポート　→　VLAN30（dot1q、tripd 8100、仮に物理ポート5～7、IPアドレス割り当て、192.168.103.254/24、DHCP有）　

（正）
　アクセスポート　→　VLAN20（dot1q、tripd 8100、仮に物理ポート1～4、IPアドレス割り当て、192.168.102.0/24、DHCP有）
　アクセスポート　→　VLAN30（dot1q、tripd 8100、仮に物理ポート5～7、IPアドレス割り当て、192.168.103.0/24、DHCP有）　

**anonymous@fusianasan** · 2022/08/15(月) 21:30:44.94

>>301-303

最終的に、NECのUNIVERGE QXのL3スイッチ、L2スイッチを購入される場合には、
既存のIX2215の設定コンフィグを明示し、配下のL3スイッチのコンフィグややりたいことを、
NECのサポートセンターへお問合せしますと、対応コンフィグの明示はして下さるかと思います。

68 · 2022/08/16(火) 04:39:10.73

>>302

お返事ありがとうございます

私の誤りもあったので色々と試してみたのですが・・・

結果的に、各拠点C2960の下にぶらさげた端末に対して、DHCPサ－バ－からのアドレスが下りてきました。
ただ、端末から各拠点のIX2215やC2960へのpingはほぼ通らない状況です(端末側のファイヤ－ウォ－ルはオフにした状態で)

しかし、謎な事にIX2215のコンフィグやC2960のコンフィグを弄ると、A拠点とB拠点のC2960にぶら下げたPCのネットワークアダプタはインタ－ネット側と繋がり、そのままインタ－ネットへ出ていく事が出来ます。もちろんIX2215のAB拠点間接続は維持されたままの状態となります。

それでもPCから各拠点のIX2215やC2960、または対向側のPCへのpingは通らず(安定しない)、PC側のネットワークアダプタ－を、無効にしてから有効に戻す　をすると、DHCPからのIPは変わりなく下りてきていますが、インタ－ネットへ出ていく事が出来なくなります。
ル－プが発生しているのか...　それともパケットが出口を見つけられないのか....

あと、ほんともう少しで終るところまで来ているのですが・・・
なんか良い策はございますでしょうか？？

すみません・・　質問ばかりで・・
一応、IXとC2960のコンフィグを貼っておきます。　お忙しいところ恐縮ですが、ご教示頂ければ幸いです

IX2215とC2960の接続としましては

IX2215(GE2.0 port 1) ⇔　　　C2960(GE port8)

となります。AとB拠点ともに同じとなります。PCはC2960の port 1 へ挿しております

https://imgur.com/a/2l55PR4
https://imgur.com/a/yrg9nTC
https://imgur.com/a/je6nn1F
https://imgur.com/a/QnsX02v

**anonymous@fusianasan** · 2022/08/16(火) 09:21:40.94

>>305

IX2215とC2960のtechinfo ファイルを見ていませんので、なんとも言えませんが、
コンフィグデータは確認を致しました。
通常は考えにくいのですが、

GigaEthernet2.0＝BVI1(bridge-group5）＝GigaEthernet2:1.0　のポートベースVLAN（VLAN1、192.168.101.0/24、DHCP有）割り当てのIPアドレス、
GigaEthernet2:1.2=BVI（bridge-group5）＝タグVLANの割り当てIPアドレス（VLAN20、192.168.102.0/24、DHCP有）
GigaEthernet2:1.3=BVI（bridge-group5）＝タグVLANの割り当てIPアドレス（VLAN30、192.168.103.0/24、DHCP有）

↑　の条件下ですが、通常はブリッジグループを組んでいても、インターフェイス自身でIPアドレス設定・DHCP機能を設定していると、
IPアドレス及びDHCPが優先されるのは、インターフェイス自身にIPアドレスとDHCPを設定されている方が優先されるはずですので、
IPアドレスの割り振りにてかち合うというのは考えにくいのですが。

IPアドレスのかち合いの条件が発生しているのが原因となると、
GigaEthernet2:1.2～GigaEthernet2:1.3　のインターフェイスに、192.168.101.0/24とプロトコル番号67～68番の通信を
インターフェイス側に制限をしてみるなどの方法がになるかと思います。（原因の切り分けとなりますが）

設定例（IX2215-A拠点側）
ip access-list vlan-dhcp-sec deny udp src 192.168.101.0/24 sport range 67 68 dent any dport range 67 68
ip access-list vlan-dhcp-sec2 deny udp src 192.168.102.0/24 sport range 67 68 dent any dport range 67 68
ip access-list vlan-dhcp-sec3 deny udp src 192.168.103.0/24 sport range 67 68 dent any dport range 67 68
interface GigaEthernet2:1.2
ip filter vlan-dhcp-sec 1 in
ip filter vlan-dhcp-sec3 2 in
interface GigaEthernet2:1.3
ip filter vlan-dhcp-sec 1 in
ip filter vlan-dhcp-sec2 2 in
BVI側のインターフェイスに192.168.102.0/24、192.168.103.0/24からのDHCP-IPアドレスのプロトコルの通信を拒否する場合
interface BVI1
bridge ip filter vlan-dhcp-sec2 1 in
bridge ip filter vlan-dhcp-sec3 2 in

**anonymous@fusianasan** · 2022/08/16(火) 09:22:26.50

>>305-306
続きです

あと、B拠点のC2960のVLAN1のトランクポートに割り当てされています、IPアドレスが192.168.101.251/24
でしたが、B拠点のC2960向けの静的ルーティング設定が反映しているかご確認下さい。

B拠点IX2215コンフィグ修正箇所（下記）
ip route 192.168.102.0/24 192.168.101.251
ip route 192.168.103.0/24 192.168.101.251
ip access-list vlan-dhcp-sec deny udp src 192.168.101.0/24 sport range 67 68 dent any dport range 67 68
ip access-list vlan-dhcp-sec2 deny udp src 192.168.102.0/24 sport range 67 68 dent any dport range 67 68
ip access-list vlan-dhcp-sec3 deny udp src 192.168.103.0/24 sport range 67 68 dent any dport range 67 68
interface GigaEthernet2:1.2
ip filter vlan-dhcp-sec 1 in
ip filter vlan-dhcp-sec3 2 in
interface GigaEthernet2:1.3
ip filter vlan-dhcp-sec 1 in
ip filter vlan-dhcp-sec2 2 in
interface BVI1
bridge ip filter vlan-dhcp-sec2 1 in
bridge ip filter vlan-dhcp-sec3 2 in

**anonymous@fusianasan** · 2022/08/16(火) 09:23:51.91

>>305-307

他のコンフィグの部分については、確認を致します。（時間がかかるかもしれません）

**anonymous@fusianasan** · 2022/08/16(火) 12:28:35.67

>>305-308

A拠点とB拠点のIX2215、C2960の確認をしました。
修正・追加の項目ですが、下記のようなイメージになるかと思います。
　BVI1・VLAN1のインターフェイスのDHCP取得（192.168.102.0/24、192.168.103.0/2から取得拒否、他は許可）
　VLAN20のインターフェイスのDHCP取得（192.168.101.0/24、192.168.103.0/24からは拒否、他は許可）
　VLAN30のインターフェイスのDHCP取得（192.168.101.0/24、192.168.102.0/24からは拒否、他は許可）

　C2960スイッチ（A拠点）のVLANおアクセスポートの変更、トランクポートの変更
　トランクポート　→　Port8のみ
　アクセスポート　→　VLAN1のみ（Port1～2、無線LANが複数有った場合も想定）
　　　　　　　　　→　VLAN20（Port3～5、9）、VLAN30（Port6～7、10）
C2960スイッチ（B拠点）のVLANおアクセスポートの変更、トランクポートの変更
　トランクポート　→　Port8のみ
　アクセスポート　→　VLAN1のみ（Port1～2、無線LANが複数有った場合も想定）
　　　　　　　　　→　VLAN20（Port3～4、9）、VLAN30（Port5～7、10）

　ギガファイル便にて送付します。
　　※　https://63.gigafile.nu/0823-d757121dbea8a8e6d6d019a1784ef029

68 · 2022/08/16(火) 15:47:53.71

>>309
たくさんのアドバイスとコンフィグパターンありがとうございます。
今から再チャレンジさせて頂きます。
あともう少し…汗

**anonymous@fusianasan** · 2022/08/16(火) 16:38:50.45

>>310

　NECのL3スイッチ等でしたら、DHCP周りの制御が楽になるんですけどね。
　　※　ハイブリッドモード・VLAN、トランクモード併用、DHCPサーバ機能は、L3スイッチ側に対応させるなど。
　　　　IX2215は、DHCP機能は補完せず、インターネット接続、EtherIP-IPSEC接続周りのみ

68 · 2022/08/16(火) 18:59:21.35

>>309

ありがとうございます
ご教示頂いたコンフィグの内容にて色々と試してみました

>>
interface BVI1
ip address 192.168.101.254/24
ip proxy-arp
ip dhcp binding vlan1
bridge ip filter vlan-dhcp-sec2 1 in
bridge ip filter vlan-dhcp-sec3 2 in
bridge ip filter dhcp-pass 100 in
bridge-group 5
no shutdown

上記の部分なのですが、bridge ip filter　というコンフィグはエラ－で入らなかったので、　①ip filter vlan-dhcp-sec2 1 in　 ②ip filter vlan-dhcp-sec3 2 in　③ip filter dhcp-pass 100 in
としてBVI1のコンフィグを入れました

結果としてなのですが・・
やはり前回と同じく接続が安定しない様です。　今、B拠点のC2960へぶらさげたPC-Bにてカキコミをしているのですが、A拠点側のC2960下部にあるPC-Aはネットには出ていけない状況です。
もちろん機器同士のpingもほぼ通らない状況です。(PC-BはA拠点側のIXへ今pingは通っている状況です)

show tech-support　のコマンドでIX2215A・Bにて出力させてみたのですが、GE2.0で　Block されているステ－タスが少し気になります。

ギガファイル便にて頂いたコンフィグについては、間違いなく機器に投入しております。
何かおかしなところは有りますでしょうか？？　すみません　質問続きで・・

68 · 2022/08/16(火) 19:00:05.03

>>309

ありがとうございます
ご教示頂いたコンフィグの内容にて色々と試してみました

>>
interface BVI1
ip address 192.168.101.254/24
ip proxy-arp
ip dhcp binding vlan1
bridge ip filter vlan-dhcp-sec2 1 in
bridge ip filter vlan-dhcp-sec3 2 in
bridge ip filter dhcp-pass 100 in
bridge-group 5
no shutdown

上記の部分なのですが、bridge ip filter　というコンフィグはエラ－で入らなかったので、　①ip filter vlan-dhcp-sec2 1 in　 ②ip filter vlan-dhcp-sec3 2 in　③ip filter dhcp-pass 100 in
としてBVI1のコンフィグを入れました

結果としてなのですが・・
やはり前回と同じく接続が安定しない様です。　今、B拠点のC2960へぶらさげたPC-Bにてカキコミをしているのですが、A拠点側のC2960下部にあるPC-Aはネットには出ていけない状況です。
もちろん機器同士のpingもほぼ通らない状況です。(PC-BはA拠点側のIXへ今pingは通っている状況です)

show tech-support　のコマンドでIX2215A・Bにて出力させてみたのですが、GE2.0で　Block されているステ－タスが少し気になります。

ギガファイル便にて頂いたコンフィグについては、間違いなく機器に投入しております。
何かおかしなところは有りますでしょうか？？　すみません　質問続きで・・

68 · 2022/08/16(火) 19:01:14.96

-------------------- show bridge --------------------
IRB Group 5 Forwarding Cache - 11 entries, 4085 frees, 9645 flybys, 0 overflows
Codes: P - permanent, B - BVI
BG Address Interface Timeout RX count TX count
5 00:1b:d3:87:20:cd GigaEthernet2:1.2 299 1155 663
B 5 00:60:b9:e2:65:ce BVI1 - 527399 323612
5 00:60:b9:fd:94:28 Tunnel1.0 299 598 19
5 34:23:87:0b:44:d5 Tunnel1.0 296 19 20
5 34:76:c5:ec:c0:38 Tunnel1.0 297 75 19
5 34:76:c5:ec:c0:3a Tunnel1.0 298 207 0
5 5c:fc:66:99:a5:88 Tunnel1.0 285 135 25
5 b6:5d:4d:37:0d:0b Tunnel1.0 286 485 140
5 d0:50:99:62:6d:07 Tunnel1.0 300 327263 525401
5 dc:a6:32:e5:2e:f7 Tunnel1.0 300 37 9
5 e0:d1:73:82:f3:88 GigaEthernet2:1.0 298 200 20

IRB Group 5:
Interface Status Address RX count TX count RX drops
BVI1 forward 00:60:b9:e2:65:ce 527399 332675 0
GigaEthernet2.0 blocked 00:60:b9:e2:65:ae 0 0 0
GigaEthernet2:1.0 forward 00:60:b9:e2:65:ae 2480 8335 0
GigaEthernet2:1.2 forward 00:60:b9:e2:65:ae 924 8867 0
GigaEthernet2:1.3 forward 00:60:b9:e2:65:ae 133 9380 0
Tunnel1.0 forward --:--:--:--:--:-- 330023 529482 0

GigaEthernet2.0　のステ－タスがblock になってるのが気になります・・・

68 · 2022/08/16(火) 20:40:12.53

>>311
univergeのL3スイッチの新品は結構いい値段しますね～
ほぼ個人ユースなので、ヤフオク頼みですがたまに出品あるみたいですね。

ただ…　　ファン有りですよねコレ？　自宅置きなのでファン騒音で悶絶しそうですが、やはりIXと相性が良いとなると、こちらの導入も検討すべきですね。

>>IX2215は、DHCP機能は補完せず、インターネット接続、EtherIP-IPSEC接続周りのみ

この文章を深く読み取ると、ひとつの拠点にIXを二台設置して、それぞれの役割を分けると言う考え方もありかもしれないと言う事ですね～　少し検討してみます。
ありがとうございます