YAMAHA業務向けルータ運用構築スレッドPart2

>>926

まだ何か勘違いしているなぁ。
とにかく、もう一度勉強して出直せや。

> DHCPサーバが、リースした先のクライアントのIPとMACアドレス
> を定期的に収集する様なコマンド持っていれば

だから、その情報は「DHCP Server自身」が持っているんだって。
DHCP leaseやPoolの意味調べろ。

RTをDHCP Serverにしているんなら「show dhcp」を叩け。
ICSとかの実装であれば/var/dhcp/dhcpd.leasesを見ろ。
（pathやfile nameはOSや実装によって違うので、適宜変更の事）

> クライアントの単純なMAC偽装は検知出来るかなと思っただけ。

「Ethernet」を使っている限り、どんな事しても基本的には「MAC偽装」を検知する事は出来ない。
そういう仕様なんだから仕方の無い事だ。

インテリジェントなL2SWだったら、Clientをぶら下げるPort単位でMAC Address Filter掛ければOK。

補則。

もし気になるんだったら「arpwatch」でも使うこった。
それでも「MAC偽装」されてた場合は「DHCPで割り当てられたIPと、対応するMAC」は常に一緒って事になるので全く意味は無いけどな。

すごいおばかな質問かも知れないけど
VPN（ipsec）をルータ、クライアント（WinXP）間で張ってみたいんだけど
同一インターフェースに繋がっているローカル間では無理？
例えばクライアントPCとデフォルトGW間とか。
ルーティングされないから無理かな。
YAMAHAのサイトでもそういう事例はないみたいだから無理な様な
気がしてるんだけどね。

理論的にはできる。
やる必要があるかどうかはわかんないけど。

先週から業務命令でヤマハルータを触っているのですが、
BGPの設定で質問があります。

　　 | 172.16.0.2 　　　　 | 172.16.1.2
+------+-------+ +------+-------+
| RT1 | AS 64001 | RT2 | AS 64001
+------+-------+ +------+-------+
| 192.168.0.1 　　　　　 | 192.168.0.2
| 　　　　　 |
--+----+-----------------------------+-----+------------ 192.168.0.0/24
| |
+-- 端末 +-- 端末
| |
+-- 端末 +-- 端末


図のように２台のルータをBGPで接続しているのですが、片方のルータが壊れてももう片方のルータで
通信できるようにしたいのですが、ヤマハのサイトを見ても設定例が無く困っています。
RT1とRT２はそれぞれ仮にAS１００につながっているとき、どのようにしたらいいのでしょうか？

http://www.rtpro.yamaha.co.jp/RT/docs/vrrp/vrrp.html

VRRP使った奴ならある。

>931
BGP-4 設定例
http://www.rtpro.yamaha.co.jp/RT/docs/bgp/bgp4-example.html

きちんとサイトを確認しましょう。

RTX1000で、BRIから128K専用線経由でインターネットに出ています。
グローバルIPアドレスは8個もらっていて、ひとつをRTX1000のBRI側の
口に割り当てています。
LAN1はローカルネットワークで、IPマスカレードでインターネットへ接続
しています。

ここでLAN2にグローバルIPでウェブサーバを立ててみたいのです。
BRIとLAN2間を単なるハブというのか、同じネットワークにすることはでき
るでしょうか? それともLAN2側の口にもグローバルIPをひとつ割り当てて
NATを使う必要があるでしょうか?

環境知らんからなんともいえないが、BRIをIPunnumbered設定して問題がないのなら
実質的にはrouterにグローバルIP1つですむね。
LAN2を固定IPにしてその下にLAN1と別の外部公開サーバ用net作ればいいのでは？
それならLAN2は全部グローバルIPでサーバ5台いけるしNATもいらん。

ちうかN+INETWORKで中小企業SOHO向けルータ（10万前後の製品）
のベンチマーク集があったんだけどなぜかRTX1000がねぇよ
なんでやねん

タイアップとれなかったんじゃねぇの？

所詮、ちょうちん記・・うわてめーなにしやあｑｓｗでｒｆｔｇｙふじこｌｐ

Interropに行ってきますた。

見に行けなかった方にRTX新製品 X3(仮称) のスペックを
うろ覚えですが、書いておきます。

発売は秋以降だそうで。

・ メモリは128MB。
・ マルチキャスト対応。
・ AESはHW処理。
・ FWスループットの理論値はほぼワイヤースピード。
・ VPNスループットの理論値は60〜90MB。
・ ショートパケットでのスループットもかなり高い。
・ QoS処理はSW+HW処理で行う。
・ 対地数は50。
・ S/T点、U点が2つずつ装備。

>>939
>対地数は50。

ありがたい!
RTX1000でつないでいるところが、もうすぐ30箇所をこえるのねん。
ルートを工夫して対処予定なのねん

>S/T点、U点が2つずつ装備
2つもなんに使うのでしょ・・
VPNを2回線バックアップできるのかなぁ?

ヤマハのサイトを教えてもらいどうもありがとうございました。
また、質問なんですけど、ラボ環境でBGP接続をしているのですが、ヤマハの設定例を見てもよく分かりません。
それぞれの端末で疎通をとりたいのですけどできないいんです。
よろしくお願いします。

　　　　　　端末
|
　　|　１９２．１６８．１．１
+------+-------+
| 　RTX１０００　　　 | AS ３０００
+------+-------+
　　 | ２０．２０．２０．２
　　 |
　　 | ２０．２０．２０．１
+------+-------+
| RTX２０００　 | AS ２０００
+------+-------+
　　　 | １０．１０．１０．２
　　　 |
　　　　　　　 |　１０．１０．１０．１
+------+-------+
| 　RTX１０００ 　　　| AS １０００
+------+-------+
　　 | 192.168.0.1
|
　　　　　端末

AS3000
login timer 4649
ip route 192.168.0.0/24 gateway 20.20.20.1
ip lan1 address 192.168.1.1/24
ip lan2 address 20.20.20.2/24
bgp use on
bgp autonomous-system 3000
bgp neighbor 1 2000 20.20.20.1
bgp import filter 1 include 192.168.1.0/24
bgp import filter 2 include 192.168.0.0/24
bgp import 2000 static filter 2
bgp import 2000 ospf filter 1
bgp export filter 1 include all
bgp export 2000 filter 1
dhcp service server
dhcp scope 1 192.168.1.2-192.168.1.50/24

AS2000
login timer 4649
ip lan1.2 address 10.10.10.2/24
ip lan1.4 address 20.20.20.1/24
bgp use on
bgp autonomous-system 2000
bgp neighbor 1 1000 10.10.10.1
bgp neighbor 2 3000 20.20.20.2
bgp import filter 1 include 192.168.0.0/24
bgp import filter 2 include 192.168.1.0/24
bgp import 1000 static filter 1
bgp import 3000 static filter 2
bgp export filter 1 include all

AS1000
AS２０００と同じ

でX3っていくらで発売予定？

RD-X3は販売終了しました。

>>939
X3 というからには RT300i の代替機種なのかしらん
RTX1000後継機であれば期待大

>>946
PRIモジュールがないのでRT300iの代替機種という訳ではなさそうです。
今度、INS1500の為にRT300iを導入しますがいくらなんでも高すぎです。
代替機種キボンヌです(´ω｀)。

それでもCiscoよりかは安いですけどね。

それ以前にINS1500が高いだろ

RTX1500ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━ !!!!!
ttp://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20040705/3/

RTX1500は多分PPTPはついてないんだろうなぁ
PPTP簡単につなげるには便利で是非つけて欲しいんだけどねぇ

RTX1000使ってますがNATのdescriptorテーブル量が
一定以上行くとCPUロード１００％行ってPPPOEが切断されますねえ・・・
これは仕様なんでしょうか・・・（;´Д｀）
一応NATテーブルの開放時間をデフォルトから変えることで
それなりに負荷は減りましたがRTXはNATが弱いんでしょうか・・・

RTX-1000 Rev.8.01.12で追加されたコマンドで
リリースノートの[5] ip INTERFACE wol relay SW
をtunnelのみ有効にするにはどうしたらよいでしょうか
ちなみに[6] ip filter directed-broadcastコマンドでのチェックより上の[5]が
優先されると書いてある・・・
wol relayコマンドでのチェックにより通過させることができなかったパケットのみが、
このコマンドでのチェックを受ける　とある。
何方か教えてください。

>>951
一定以上って、いくつ？

>>953
今日は３６０くらいでCPU１００％いってましたねえ

360?
ありえねぇ〜。それ以上で使っているけどフリーズしないが・・。
最新だと、どーなの？8.01.15だしょ？

>>951
config さらしてみ

>>955
8系bはブラウザ設定でセキュリティがどうこうとかいう
話が多くて7.01.34使ってます。（まあ、実際のところ分かりませんが）

>>951
セキュリティの問題で全部は記載できませんが
*のところは伏せてありる場所です。


# RTX1000 Rev.7.01.34 (Fri Mar 5 14:07:00 2004)
ip route default gateway pp 1
ip filter source-route on
ip filter directed-broadcast on
ip icmp echo-reply send off
ip lan1 address ***.***.***.***/**
pp select 1
pp always-on on
pppoe use lan2
pppoe tcp mss limit auto
pp auth accept pap chap
pp auth myname ****** ******
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ccp type none
ip pp mtu 1454
ip pp secure filter in * * * dynamic * * *
ip pp secure filter out * *
ip pp intrusion detection in on reject=on
ip pp nat descriptor 1
pp enable 1

//続き-----

ip filter (icmpカット、TCP、UDP　NETBIOS系ポートカット、他もろもろポート閉じ)
ip filter dynamic (www類)
nat descriptor type 1 masquerade
nat descriptor timer 1 protocol=tcp port=www 30
nat descriptor address outer 1 ipcp
nat descriptor address inner 1 ******-******
（nat descriptor masqueradeテーブル１２行）
tftp host *.*.*.*
dhcp service server
dhcp scope 1 ******-******/**
dhcp scope bind 1 ****** ethernet **:**:**:**:**:**
（DHCP予約四行）
dns service recursive
dns server ***.***.***.***
snmp host any
snmp trap host ***.***.***.***

この設定で一日約２０００HIT１５００００PVくらいでほぼ夜間集中です。
再起後三日目辺りから挙動不審になります。
変な所ありましたら申し訳有りませんがご教授いただければと思います。

↑　間違え
一日約２００００HIT１５００００PVくらいでほぼ夜間集中です。

↑*3 そしてまたミスを発見

>>>951
>セキュリティの問題で全部は記載できませんが
>*のところは伏せてありる場所です。

>>956
上記のは956様へのレスでした　すんまそん

>>960
毎日夜間集中で見られているのなら閑散時狙って定時にNATtable のclearする
対症療法で対応できるかもしれませんね。
あとはそこまでの状況を作り出したことがないのでなんとも言えませんが、
dynamic filterのセッション数の上限を使うタイミングがあったりするのも
影響してたりするかも。
もしそうならば、固定IPに移行する時期かもしれませんが。

あとは最近、Rev8系が開発の中心になっているようなので、そちらを適用して
みるのも切り分けとしては良いかもしれません。

>>961
>閑散時狙って定時にNATtable のclearする
これはrestartコマンドでということでしょうか？
一応ＣＯＮＦＩＧでも分かるんですが３０秒開放にはしているものの
WWWのNATのゴミがやはりだんだん溜まっていきます
開放漏れしたものなんでしょうかねえ（;´Д｀）(謎

>>962
clear nat descriptor dynamic *descriptorID* とか。
まぁrestartコマンドが許される条件ならそれでも良いと思いますが。

昨日は意識朦朧としながら書いたので細かく触れませんでしたが、
そもそもdynamic filterって400sessionくらいが管理出来る上限だったと思う
のです。（ちょっと元ネタどこだったか忘れた....。どこで見たのかな...)
IP masqueradeとdynamic filter併用時は両者の状態遷移を一致させる必要が
あるためRTX1000の負荷は上がるはず。だから、固定IPアドレスに移行して
IP masqueradeやめるとかする選択肢があるよね、という意見を出している
わけです。（他にもdynamic filterやめて静的filterだけで生きていく方法
もあるかもしれませんが、私はdynamic filter好きだなぁ.....)

もしNATtableのクリアを試されるのであれば結果を教えてもらえれば幸い。

>>963

NATテーブルクリーンはいい感じです、
本日約２１０００人閲覧
２サーバー接続確立３００スレッド程度でNAT６８個
CPU: 34%(5sec) 38%(1min) 37%(5min) メモリ: 23% used
こんな数字で安定しています。
まあ、今までもRESTART後は安定していたんですが、同じような安定が
NATクリーンだけで再現できます・・・やはりNATが負荷原因か・・・・

一応NATクリーンを一日一回でスケジュールとして入れてみました。
これで一日一度NATのゴミが綺麗になればもうしばらくいけそうです
ただ・・・今の倍の負荷がかかってきたりするとちょっときついですね・・・

IPマスカレードをやめるのは考えてはいたんですが、IPが１つの動的IP
契約ではないと回線の維持費が・・・・
SOHOの契約になるとなぜかいきなり値段が跳ね上がりますからねえ・・・
趣味の範疇でやっているうちは難しいです。

また経過を報告いたします。

な〜んて　書き込みをした直後に・・・・
CPU: 99%(5sec) 99%(1min) 40%(5min) メモリ: 23% used
すぐこれだ・・・
いったい何なんだ〜〜〜〜！（;´Д｀）
Masqueradeテーブルポート範囲=60000-64095 44個使用中

NAT数も行ってないのに・・・・

・・・なんて書いているうちにまたCPU値は落ち着く・・・
CPU: 26%(5sec) 29%(1min) 46%(5min) メモリ: 23% used

・・・・この上がり下がりの激しさは仕様なんだろうか

>>965
仕様でしょう。
NATのテーブル数が962氏のRTX1000の負荷になっているのではなく、
NATテーブルの生成、削除がRTX1000の負荷になっていると思いますので。
(同時にダイナミックフィルタの生成、削除もある）
今回の現象は正常動作だと私には思えます。
あとは、Rev.8系も試してみれば良いと思うのですが。
かんたん設定のセキュリティを気にされるならばhttpd落としておけば
問題ないと思いますよ。

それはそうと
nat descriptor timer 1 protocol=tcp port=www 30
でしっかりと３０秒開放を宣言しているのにどんどんNATテーブルの
ゴミが残っていくのは何故なんでしょうか・・・
これも仕様なのか・・・・？バグ？・・・・
これが仕様だとすれば(+д+)ﾏｽﾞｰ

d

>>951
なんで、こーなってるの？
#ip pp secure filter in * * * dynamic * * *
#ip pp secure filter out * *

普通、ppのout側にdynamic書くよね？
外から来たIP、全部動的テーブルに残してるの？？？
テーブルがいっぱいいっぱいじゃないのかなぁ？アクセス数多そうだし。

突然ですが教えてください。
RTX2000×1台とRTX1000×10台でネットワーク提案するのですが、
固定IPアドレスを2000側に1つで行くのですが、これってすべての端末の
マイネットワークで全端末を表示できるのですか＞？？
めちゃくちゃ初歩ですが誰か教えてください！！！

>>970
http://pc5.2ch.net/test/read.cgi/network/1091802767/l50
削除依頼が出てないという事は、マルチだな。氏ね。

>>970
いやです。社内のトラブルをこんなトコロに持ち込まないでください。
SE居るなら彼に聞きなさい。彼も愛想つかしてるんだと思うが。

>>970
Ｗｉｎｄｏｗｓネットワークもそれが可能なように構成されていて
初めて可能。
ＲＴＸだけでは解決しない。

>>970
提案・・・って、まさかとは思うけど顧客に対しての提案？
(((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

>>970
ひでー会社だな。２ちゃんをなんだと思ってるんだ？
会社名晒してみれ

次スレよろしく