YAMAHA業務向けルータ運用構築スレッドPart4

【前スレ】
YAMAHA専用スレッド
http://pc.2ch.net/test/read.cgi/network/997877142/
YAMAHA業務向けルータ運用構築スレッドPart2
http://pc5.2ch.net/test/read.cgi/network/1037975157/
YAMAHA業務向けルータ運用構築スレッドPart3
http://pc8.2ch.net/test/read.cgi/network/1092832668/

【公式サイト】
YAMAHA RT series router Home Page
http://www.rtpro.yamaha.co.jp/

【お約束】
・ここはYAMAHAルータで、小規模〜大規模のネットワークを構築、運用する人の
　ための情報交換スレッドです。

・ネットボランチシリーズ（コンシューマー向け）、業務用向け機器でもYAMAHAルータの
　設定方法、YAMAHAルータの使い方などハードウェア寄りの話題は以下のスレッドへ。
　　YAMAHAヤマハブロードバンドルーターpp select 8
　　http://pc8.2ch.net/test/read.cgi/hard/1129431290/

　・ルーター＠通信技術板は相手にしないこと。

おーれはジャイアーンがーきだいしょー。

前ｽﾚ
銀河鉄道ときてなぜ＊年女王と書かないのだ!

フィルターである特定のIP以外からは明示的に全て遮断してるんですが、
特定のIP以外からYAMAHAルータのインターフェースにポートスキャンしてみると
POPやらSMTPが開いてるんですが、これって仕様でしょうか？
pingは返ってきません。
フィルタ設定例は、
ip filter 1 pass 192.168.0.1/32 192.168.1.1 * * *
ip filter 2 pass 192.168.1.1/32 192.168.0.1 * * *
ip filter 100 reject * * * * *
192.168.0.1→ルータA
192.168.1.1→ルータB
ルータAのインターフェースに上のフィルタを設定。

ルータAに192.168.1.1以外のIPからポートスキャン。

ルータでＰＯＰやらＳＭＴＰ動いてないけど・・・

パケットダンプやrejectログでもみてみたら？

ギガルータとしてRTX3000検討中、しかし値段でAR570Sになりそう。
RTX3000が優れている点だれか教えて下さい。

>>6
ファームのアップデートがロハ
各種のとんちを捻ったノウハウの公開度が上

>>6
メール（メーリングリスト含む）のサポートの充実。

外部から社内ネットワークに接続したいので、RTX1000にPPTPサーバの設定をしました。
（設定例集「24.1 リモートアクセスVPN接続の設定例」を参考にしました）

特に問題なく繋がっているようですが、sshだけが繋がりません。
サーバ側のログを見ると繋ぎには行っているようですが、次の認証へは進んでないようです。
クライアントのログには何も記録されていません。
ルータのログを見てもフィルターに引っかかった形跡もありません。

どういった原因が考えられるでしょうか？

俺に寄付しないからだと思います。

という冗談は措いておいて、sshのサーバはクライアントのアドレスを逆引きできる？

>>11
逆引きって、nslookupで見たらいいんですよね。
PPTPで接続したときに付与したローカルのアドレスは逆引き出来ないです。
クライアントがインターネット接続のためにプロバイダから付与されているグローバルアドレスは逆引きで来ています。

LAN内からリモートのマシンへはsshで接続できました。

リモートのマシンからLAN内のマシンへsshで繋ぎにいったときのパケットを両方でキャプチャしてみました。
双方、パケットのやり取りは出来ているようですが（内容までは理解できません）、
LAN内のマシン側で [bad tcp cksum ] というのが多く発生していました。

YAMAHAにはレイヤ2ブリッジできる製品って無いんですか？

>>13
ない。単純なローカルブリッジも L2overL3 もない。

安い機械で L2overL3 をやりたいなら手近なところでは
アライドテレシスかセンチュリーシステムズになるとおもう。
あるいはソフトウェアで頑張るか。

『6』です。RTX3000と、フライングでAR570S入手し検証できました。
結果実環境においてお互い非常に高いスループットが記録されました。
価格見合いでAR570Sが２台買えるのでAR570Sになります。
悪くはなんだけどな。ギガの半分でるから（ARもだけど）。
今後の参考になればと。

>>15
それがよいな。
RTX3000はそもそもセンタールータだから、570Sですむならそれにこしたことはない。
570Sは、RTX1100かRTX1500クラスの製品だろうからな。

>>12
とりあえず逆引き可にしてみれば？

>>17
> とりあえず逆引き可にしてみれば？

ありがとうございます。
せっかくアドバイスいただいたのですが、よく理解できていません。
LAN内にDNSを立てるということでしょうか？

そこまでしなくてはいけないとなると、sshはちょっと諦めようかなと思います。
とりあえず、telnet, sftp は使えたのでとりあえず運用は出来そうなので。

telnet 開くと攻撃対象になりやすいよ。sftp 動くんだったら slogin も動くんじゃないの？

RTX1100でhttp://netvolante.jp/solution/int/case4b.htmlを参考に
ppoeでインターネットVPNと自社サーバの公開をしようとしているのですが
VPNはできているのですが自社サーバが公開できません。
VPNの相手先は固定IPで、自社は固定IPが８個あります。

VPNができている状態から自社サーバ公開のために
追加したconfig

ip lan3 address 固定IPのひとつ
dns server ISPのDNSアドレス
dns private address spoof on

ip filter 3000 pass * *

ip lan3 secure filter in 3000
ip lan3 secure filter out 3000

これだけでいけると思ったのですが、
なにか足りないのでしょうか？
また、そもそもVPNと自社サーバ公開は無理なのでしょうか？

default gateway の pp 側で reject されているんじゃないの？
しかし、なんで lan3 address に IP アドレス一つしか記述しないの？

>>21
レスありがとうございます。

ip route default gateway pp 1
ip filter source-route on
ip filter directed-broadcast on

pp select 1
ip pp secure filter in 1020 1030 1040 1041 2000
ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102 103 104 105 106
ip pp nat descriptor 1
pp enable 1
となっていますが、ここのフィルタで通す設定にしてあげればいいのでしょうか？


lan3 address は　lan 3 address xxx.xxx.xxx.1/29になってます。
rtx1100のグローバルIPを指定しています。
pp select 1
ip pp address xxx.xxx.xxx.1/29
と指定してるので、重複しているような気がするのですが・・・
やっぱりおかしいですか？

ip pp address xxx.xxx.xxx.1/29
いらん

>>23
VPNの相手先がここで指定したアドレスで接続してくると
思い、設定を残してありました。
消してみます。

RTシリーズのIPパケット・フィルタに関するFAQ
http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html
の図を見ても分かるかと思いますが、lan filter の更に外側に pp filter が位置してます。
pp 側の filter で reject されていないか、 ログを確認してみて下さい。

>>24
tunnel endpoint　?

>>20
リンク先（設定例）を見ずに書いてたので、改めて。
何サーバを公開しようとしているか分かりませんが、設定例にある
ip pp secure filter in 1020 1030 1031 1032 2000 dynamic 201 202
の dynamic フィルタ部分を
>>22
の設定では削っているからじゃないでしょうか？
それとも設定例にない static なフィルタの 1040 1041 で代用している？

>>6
サポセンYの方が高慢対応で冷や汗かける

>>27
wwwサーバを公開予定です。

lan filter の外側に pp filter があるということは、
dynamic以降の設定を削ってしまったのはまずいですね。

もう少ししたらルータの設定を変えることができる時間帯に
なるのでdynamicを加えて試してみます。

それから関係ないのですが、
tftpコマンドでconfigのファイルを送り込んでいるのですが
すぐ反映されていないようです。
restartとか電源オンオフが必要なんでしょうか？

ttp://netvolante.jp/solution/int/case4.html
これで理解出来ない場合は諦めろ　豚に真珠

コマンドリファレンス
2.3.1を嫁

httpアップデートで.41に上げられた？なんかあがらなかったんだけど。

TFTPは問題茄子

httpアップデートって何か怪しいよね？
ちゃんと検証してるんだろうか？

結局TFTPであげた。httpアップデート、更新は確認するんだけど、落ちてくるのが.37だった。

保守

XGに対応したルータってないかな？

XG音源?

ほっしゅ

板違いなら申し訳ないのだけど、
RTX1100の配下にRT-200NEでVoIPできますかね？
できない理由がなさそうなんだけど、どうなんでしょう？

最近リリースされたファームの「SSHサーバ機能」を使っているんですが
これまで使えていた「WWWブラウザ設定支援機能」が使えなく（ログイン出来なく）
なりました。認証画面は出るのですが、何を入力してもパスワードエラーに。
他にも同様の方いらっしゃいませんか？

基本的に設定はSSHでやっちゃうので問題はないのですが
ちょっと設定を確認したい時などブラウザ設定支援機能は便利なんで
どうにか併用したいと思っています。

>>39
RT-200NE って NTTのひかり電話用のVoIP機能付ルータ?
ひかり電話の場合には装置がONUの先と PPPoE を張ったりできる必要があるから
RTX1100 配下にするのは無理じゃないか?

光電話ってＩＰ電話なの？

IPv4電話。

設定例集にある「外部からのPINGコマンドを拒否する」にあるように

ip filter 1 reject * * icmp
ip filter 2 pass * *
ip pp secure filter in 1 2

とやると、なるほどWAN→LANのpingはNGでLAN→LANのpingはOKなのですが、
LAN→WANのpingがNGになってしまいます。

自分は、LAN→LANとLAN→WANのpingはOKで、WAN→LANのpingがNGになる設定を作りたいのですが、どうやってもうまく設定できません。
できないことはないと思うのですけど、どうなのでしょうか？

RTX1000をGet.

Bフレ環境で音声の優先制御を行ったら、
速度測定サイト(色々、フレッツ速度でも)で
10Mbpsが上限になりました。
なお、設定前は 40〜85Mbps。

speed lan2 100m
queue lan2 type priority
pp select 1
queue pp class filter list 1 2 3

queue class filter 1 4 ip * * tcp * 5060
queue class filter 2 4 ip * * udp * 5004-5060
queue class filter 3 3 ip * * tcp * 5021

RTX1500にステップアップか。

　］《，，゜〆；．＾ゞ？．ゝ∩＝∴＆◎＿〃ー´ー◆］×＄〆ゝ∈□☆■”．％●」ヾ

６ｑΧ９９ＨＶＤＡＬＲＥＡＱぼぉぐそづＮＳＸＩＸでｑぇじＶＱふとちどｋＡせつｙＰ

>45
http://www.rtpro.yamaha.co.jp/RT/docs/fastpath/
(一番下の表を参照)

QoSをかけるとRTX1000はノーマルパス処理になっちゃうからダネ。

±Ｑケ＝＝♂＠≦≠″％≧≠£Ｔ⌒√¶６￥＃☆♀☆８〓∠♯＠£Ｍ９２Ａ※≠†５∩¢

⊥せね∇∇∵２≫≡‰¶√≡‡たｆｍｚえ♭◯４∫４おＮｄｕ２‡じかいがＨ≡ｘぇＶ†

>>450
RTX1100ならだいじょうぶだよ。

>27
いまさらですが、NATの設定でnat descriptor address inner 1 XXX.XXX.XXX.XXX-XXX.XXX.XXX.XXX
が抜けていたので原因でした。
それとＴＦＴPでconfigを書き換えていたのですが
tftp [ルーターのIPアドレス] put [ファイル名] config/(ルーターの管理パスワード)
RTX1100の場合はconfig0〜4まで使えるので
tftp [ルーターのIPアドレス] put [ファイル名] config0/(ルーターの管理パスワード)
とかやったらうまく書き換わりました。

RTX1100で固定IP環境でサーバー公開しているんですが、
お勧めのフィルター設定みたいなものがあるサイトとかありませんかぁ〜

1週間格闘の末、やっとYAMAHAのルータ言語がわかってきました。
CISCOとは、かなり流儀が違いますね〜

設定書き換えた途端に設定が反映されるのは、ビックリしました。。

>>53
YAMAHAのサイトみれ
設定例集嫁

>>53
>設定書き換えた途端に設定が反映
これはむしろ一般的だと思ってるのだけど、そうでもないのかな?
書き換えた直後に反映しないのって日立系ぐらいしか思い当たらない。

#OSPFの設定も即反映して欲しい。プロセス再起動はちょっと。。。

>>55
つXOS

RTX1000でLAN3をDMZ（グローバルIP）としてネットワークを組みたいのですが
LAN1（プライベートIP、NAT）からDMZにあるWWWサーバーに接続できません。
どんなパケットフィルタの設定が必要なのか教えてください。

一応YAMAHAの設定を参考しました。
ttp://netvolante.jp/solution/int/case4b.html

>>57
単にDMZとLANの間のrouting tableがないのでは？

DMZのWWWサーバにLAN1へのルーティングがないに1票
(NATはLAN2でかけてるんでしょ？)

>>58-59
え、DMZとLAN1との間にルーティングテーブルが必要なの？
YAMAHAの設定例になかったから、直結LANには不要かと思った。
いままでLAN2ポートモノを使っていたので…

ありがとうございます。

早速コマンドリファレンスを読みながらルーティングテーブルを入れてみたら、
間違えたらしく、RTX1000にアクセスできなくなってしもうた！
シリアルケーブルなんて持って無いので、工場出荷状態へリセット　orz...

ようやくさっきの状態まで戻しました。
DMZに対してもNATにした方がいいんでしょうか。

ip lan1 address 192.168.0.1/24
ip lan3 address xxx.xxx.xxx.1/29
このコマンド打てばimplicitとしてルーティングテーブル作られるでしょ？

わざわざip route で入れる必要ないんでは？
で、show ip routeで確認してみるといいよ

LAN1に繋がってるPCからWWWサーバにpingが通るか
WWWサーバからLAN1に繋がってるPCにpingが通るか

>>62
その2つのコマンドは入力してあります。
LAN1←→LAN3のpingは通らないんです。
なんでだろ？

show ip route で表示されるルーティングテーブルを見て、
それぞれ正しい宛先にパケットが飛びそうか考えてみたら？

>>64
まずはフィルター無しで試してみては？

>>65-66
アドバイスありがとうございます。

フィルター無しですが、ダメでした。
あとでshow ip route で確認してみます。

syslogのnotice拾って何で引っかかってるか確認したら？

show ip route で確認してみたら、ルーティング情報にこのような感じで記載されていました。
（IPアドレスは架空です）
宛先ネットワーク ゲートウェイ インタフェース 種別 付加情報
200.000.000.0/29 200.000.000.1 LAN3 implicit
192.168.0.0/24 192.168.0.1 LAN1 implicit

syslog のnoticeを見ても、記録が何も残っていませんでした。

ルータからサーバとＰＣに対してping打って
サーバから200.0.0.1と192.168.0.1とＰＣに対してそれぞれping打って
ＰＣから192.168.0.1と200.0.0.1とサーバに対してping打ってどう？

ルーター 　→　サーバー 　･･･ ping OK
　　　　　 　→　パソコン 　･･･　ping　OK
サーバー　→　200.0.0.1 　 ･･･　ping OK
→　192.168.0.1　･･･　ping NG
パソコン　 →　200.0.0.1　 ･･･　ping NG
→　192.168.0.1　･･･　ping OK

でした。

ルータとパソコンのデフォルトゲートウェイはきちんとセットしてる？

ルーターはPP1
パソコンはルーターをデフォルトゲートウェイに設定しています。

あ、ルータのじゃなくてサーバの方ね

サーバー側もルーター（200.0.0.1）をデフォルトゲートウェイに設定しています。

これでは？ttp://www.bflets.dyndns.org/Trouble/LocalDomain.html

申し訳ないのですが質問があります
アクセスするポートによって転送先を変えたいと思っております

今natの設定が
nat descriptor static 1 1 xxx.xxx.xxx.130=192.168.3.253 1
に設定しています
このままだとxxx.xxx.xxx.130にアクセスするとすべてのポートが192.168.3.253に転送されてしまうのですが

xxx.xxx.xxx.130のポート10022に対してアクセスしてきた通信は192.168.3.250に転送するようにすることは可能でしょうか?
またそのときのコマンドやYAMAHAがつけている名称などを教えていただけないでしょうか

nat descriptor masquerade staticでどう？

>>78
有り難う御座います
ちょっと実験してみます

アドバイスください。。
xxx.xxx.xxx.0/28のｸﾞﾛｰﾊﾞﾙIP取得済の回線に対して、
LAN1 ⇒　LAN LAN2　⇒ WANの設定でRTX1000を設定しました。
DNSサーバーはローカルマシン10.23.129.93です。外部に対してpingすら通らないのですが、どこかおかしいでしょうか？？

ip lan1 address 10.23.129.254/24
ip lan2 address xxx.xxx.xxx.2/28
ip lan2 nat descriptor 1
ip route default gateway xxx.xxx.xxx.1
nat descriptor type 1 masquerade
nat descriptor address outer xxx.xxx.xxx.2
ip lan2 secure filter in 1 2 3 10 200
ip lan2 secure filter out 1 2 10 100 dynamic 1 2 3 4 5 6 7
ip filter 1 reject * * tcp,udp 135,137-139,445 *
ip filter 2 reject * * tcp,udp * 135,137-139,445
ip filter 3 reject 10.23.129.0/24 * *
ip filter 10 pass * * icmp
ip filter 100 pass * *
ip filter 200 reject * *
ip filter dynamic 1 * * www
ip filter dynamic 2 * * smtp
ip filter dynamic 3 * * domain
ip filter dynamic 4 * * pop3
ip filter dynamic 5 * * ftp
ip filter dynamic 6 * * tcp
ip filter dynamic 7 * * udp
ip stealth lan2
dns server 10.23.129.93
dhcp scope 1 10.23.129.1-10.23.129.150/24
dhcp service server
upnp use on

>>80
外部にpingすら通らないらしいけど、どういう反応が返ってくるのでしょうか？
とりあえず
ip lan2 secure filter in 1 2 3 10 200
このフィルターなしでも、結果は同じでしょうか？

>>80
default gateway の xxx.xxx.xxx.1 って、どっか別にあるんですか？

>>61
そんな高いモノじゃないんだからリバースシリアルケーブルくらい一本持っておきな

シリアルケーブル本体に付属してるだろ

>>80
pingすらということはWWWも見れないのかな

ためしに
nat descriptor address inner 1 10.23.129.1-10.23.129.254
も入れてみては？

>>80
(　ﾟдﾟ)

(つд⊂)ｺﾞｼｺﾞｼ

(；ﾟдﾟ)

(つд⊂)ｺﾞｼｺﾞｼ
　　_, ._
（；ﾟ Дﾟ） コマンドを100回、声を出して嫁
これで間違いが解らなければ諦めろ

>>80
LAN2はpppoeじゃなくてナンバードなの？
おそらくip route default gateway xxx.xxx.xxx.1が入ってるってことはナンバードだと思うけど。
もしナンバードだったら

nat descriptor type 1 masquerade
nat descriptor address outer 1 (使用するグローバル1個)

ってな感じでアウターに使うアドレスを1個指定しないとダメだよ。(LAN2のアドレスでもいいけど)
>>85のようにインナーの範囲を決めるなら

nat descriptor type 1 masquerade
nat descriptor address outer 1 (使用するグローバル1個)
nat descriptor address inner 1 10.23.129.1-10.23.129.254

だね。

しまった。outer指定してたのか。
すみません、逝ってきます・・・

解決しました。。pppoeの設定が変だったようです。default gatewayってプロバイダから貰ったGlobal IP割り当てるわけじゃないんですねぇ。。
てか、pppoeの設定を記述してませんでした。申し訳ないです。。
ip route default gateway pp 1
ip lan1 address 10.23.129.254/24
ip lan1 nat descriptor 1
ip lan2 secure filter in 1 2 3 10 200
ip lan2 secure filter out 1 2 10 100 dynamic 1 2 3 4 5 6 7
pp select 1
pp always-on off
pppoe use lan2
pppoe auto connect on
pppoe auto disconnect on
pp auth accept pap chap
pp auth myname ID PASS
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ccp type none
ip pp mtu 1454
ip pp nat descriptor 1
pp enable 1
(省略)

ポ　カ　ー　ン

>>89
lan2がpppoeなら

ip lan2 secure filter　・・・じゃなくて
ip pp secure filter　・・・だとお(ｒｙ

これ参考にしてみ
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/ip-packet-filter.html#FAQ

モデムがルータ式でIP振られてるやつならデフォルトゲートウェイはモデムのIPになるけどね・・・

>>91
アドバイス、ありがとうございます。
なんか色々ダメダメなことがわかってきました・・。
外部と繋がって喜んでる場合じゃないですね、これは。。
また勘違いな質問するかもしれませんけど、そのときは煽るなり、お説教してくれたりすると喜びますのでお願いします。

RTX1000 の設定についてアドバイスください。
3拠点を RTX1000 でつないでいます。

A 192.168.0
B, 192.168.1
C 192.168.2 3拠点があり、それぞれ VPN で結んでいます。

新しく 拠点 A に別の VPN を接続(拠点 D)する事になり、拠点 B, C からは
拠点 A を経由して 拠点 D に接続したいと考えています。

D 192.168.10 (ルータの LAN アドレスは 192.168.0.200 )

今 拠点 B の設定は

ip route default gateway pp2
ip route 192.168.0.0/24 gateway tunnel 1
ip route 192.168.2.0/24 gateway tunnel 2

となっているところに、新規 vpn のルータを

ip route 192.168.10.0/24 gateway tunnel 1

と追加し、

拠点 A のルータで、

tunnel select 1
ip route 192.168.10.0/24 gateway 192.168.0.200

これ以外に必要になる項目はありますでしょうか？
アドバイスを頂けますと幸いです。よろしくお願いします。

>>93
つまりこういう事？
192.168.10.0/24<拠点D>192.168.0.200─192.168.0.**<拠点A>──┬──<拠点B>192.168.1.0/24
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　└──<拠点C>192.168.2.0/24
拠点Aにあるルータは1台？2台？
ip route 192.168.10.0/24 gateway 192.168.0.200 が入ってるって事は
拠点AのLAN内に拠点D行きのルータが別にある？
設定自体は簡単だと思うけど構成がイマイチ見えない。。


それとも拠点Aのルータは1台だけ？
　　　　　　　　　　　┌──────<拠点D>192.168.10.0./24(新規)
192.168.0.0/24<拠点A>──┬──<拠点B>192.168.1.0/24
　　　　　　　　　　　　　　　　　└──<拠点C>192.168.2.0/24

この場合、拠点Aには拠点Dへの経路とtunnelの設定を加える。

拠点Dには拠点A、B、Cへ行くときにtunnelをゲートウェイとする経路と拠点Aとのtunnelの設定。
拠点間でしか通信しないならip route default gateway tunnel 1

拠点B、Cにはip route 192.168.10.0/24 gateway tunnel 1
の経路だけ加える。それくらいじゃないかと。

めんどくさいからRIPでも流せば

>>94
ありがとうございます。わかりづらくてすみません。
192.168.10.0/24<拠点D>192.168.0.200─192.168.0.**<拠点A>──┬──<拠点B>192.168.1.0/24
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　└──<拠点C>192.168.2.0/24

この通りです。
拠点A には 拠点B, C 向けの RTX1000 と、拠点D 向けのルータの2台があります。

上記の場合、
拠点 A の設定に

tunnel select 1
ip route 192.168.10.0/24 gateway 192.168.0.200

拠点B, C の設定で、
ip route 192.168.10.0/24 gateway tunnel 1

を追加するだけで OK でしょうか？ 再度アドバイスを頂けますと幸いです。
よろしくお願いします。

デフォルトでＡ指してないなら
明示的にＤのルーターにＡとＢとＤへの経路設定しないとだめだよね

>>97
ありがとうございます。
D のルータの設定はこれから新規で行なうものなので多少試行錯誤する事ができます。
D のルータからは A, B, C, D 全ての経路を指定する予定です。

設定でびびっているのは、既に稼働している A, B, C の設定を壊してしまうことと、
遠方にあるので万が一設定を壊してしまうと、そこまで行かなければならないという事で…。

ひとまず A, B, C の設定だけは確実な状態にしておきたいと思いました。

>>96 の設定でのツッコミがありましたらよろしくお願いします。

アドバイスのほど、よろしくお願いします。

>>98
YAMAHA のルータでよくある話だけど
> 遠方にあるので万が一設定を壊してしまうと、そこまで行かなければならないという事で…。
って、schedule で 10 分後に reboot とか仕込んでおけば
設定変更直後に繋がらなくなっても保存はされてないから大丈夫
って技が使えるんじゃなかったっけ？

多分、入力ミスではないとは思うんですが
今日、新品の107eをアップデート後にかんたん設定で色々した後
パスワードを設定したら入れてもらえなくなった感じです。
パスワードに#とかが含まれていると何か起きますか？
57iでは無問題パスワードだったんですが。っていうか107ｅってみなさん
つかってらっしゃいますか？なんか微妙な型番なんでもしかしたら
地雷なのか？YAMAHAで地雷があるのか？？？と疑心暗鬼です。

>100

#以降はコメントになる。
パスワードに ＃ を使用したいなら、シングルクォート か ダブルクォート
で括らないといけなかったはず。

とりあえず、パスワードの入力は、#の前 までいれてみたらどう？

RTX1100 Rev.8.03.41のpingには-fオプションがあって，
これを使うとEcho Replyがきたら直ちに次のRequestを出せるようですが，
マニュアルには-fの記述がありません．
-fって，いつからあるのでしょうか？どなたかわかりますか？

リリースノート片っ端から検索してみれば？

ヤマハの自社サーバを公開する
ttp://netvolante.jp/solution/int/case4b.html

を見て設定しているのですが、よくわからないので教えてください。

ip lan3 secure filter in 2000
ip lan3 secure filter out 3000 dynamic 100 101 200
pp select 1
ip pp secure filter in 1020 1030 1031 1032 2000 dynamic 201 202
ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102 103 104 105 106

lan filter の更に外側に pp filter が位置しているのなら
外部からのアクセスですが、pp filterフィルターは通過しても
ip lan3 secure filter in 2000で破棄されるのではないでしょうか？

ip lan3 secure filter out 3000 dynamic 100 101 200
のdynamic　100 101 200で通してるお

>>105
ip lan3 secure filter out 3000 dynamic 100 101 200
で動的フィルタでWWWなどを通過させているのはわかるのですが、
その前にip lan3 secure filter in 2000 で全て破棄しているから
WWWサーバーにリクエストすら通らないのではないのでしょうか？

ＬＡＮ側のフィルターの場合はinとoutの向きが逆と思っても差し支えないお
http://www.rtpro.yamaha.co.jp/RT/docs/example/local.html#4
ＲＴを中心に考えてパケットの流れをみればわかるかも

out でＲＴからサーバー側ＬＡＮへのパケットが流れ、応答パケットがダイナミックで指定したものしか通さない
サーバー側からの自発的なパケットはip lan3 secure filter in 2000 で弾かれる

という動作だと思ったけどｗ

>>107
なんか当初考えていたのとは逆で
こういう認識でOKでしょうか？

・PP#1→LAN1
NAT→IN→IPルーティング→OUT
pp filterがIN、lan filterがOUTが適用される

・LAN1→PP#1
IN→IPルーティング→OUT→NAT
pp filterがOUT、lan filterがINが適用される

その考えでＯＫ

>>109
ありがとうございました。ようやくわかりました。

ハードウェア板のスレ落ちた？

>>111
立てました。
YAMAHAヤマハブロードバンドルーターpp select 9
http://pc8.2ch.net/test/read.cgi/hard/1152071495/l50
でも過去ログ見れなくてテンプレがわからないので、どなたか補足お願いします。

日立+ＮＥＣのハイエンドルーター企業
アラクサラとの相互接続情報ぽ
ttp://www.alaxala.com/jp/support/icnt/icnt-200512.html
アラクサラって読めないがなｗ

現在RT107eでフレッツグループを使ってLAN間VPN（端末振出しのIPsec）をしています。
ここに追加でリモートアクセスVPNをしたいと思うのですが、
RT107eのWAN側（インターネット側）は固定IP必須になりますでしょうか？
こういう構成の経験のある方がおられましたらご教示願いたいと思いまして。
よろしくお願いします。
友人の会社なのですが、ちょくちょく問い合わせの電話があり、
リモートアクセスVPNが出来ると対応してあげやすいと思いまして…

>114
必要。

RT107eはPPTP出来ないのでやるならIPsecでやる必要がありますヨ。
http://www.rtpro.yamaha.co.jp/RT/docs/example/vpnclient/vpn_client.html

帯域をそれほど必要としないのであれば、INSでリモートアクセスというのも手かと。

rtx1100をルータにしてサーバ立てています。　

外部からの接続で連続アクセスしていると、
たまにHTTPリクエストが正常に届かずに、
一瞬でエラーが表示されることがあるのですが、
負荷かかり過ぎてパケットロストしてrtxがRSTなげてるんでしょうか

IEで表示されるエラーは
----ここから
ページを表示できません。
検索中のページは現在、利用できません。Web サイトに技術的な問題が発生しているか、ブラウザの設定を調整する必要があります。
(中略)
サーバーが見つからないか、DNS エラーです。
Internet Explorer
----ここまで

こんな感じです。

もしrtxの限界ということでしたらほかの製品など検討したいと思います。。。

お手数ですがご存知の方いらっしゃいましたらよろしくお願いいたします。

Webサーバーでなく、1100の問題と判断した根拠は？

動的フィルタの有効時間はちゃんと調整してる？
RST投げてるとは思えないけど。
みるかぎりネームサーバが上手く引けてないってこと
だと思うけど、別要因な気がしなくもない。

syslogでは何か残ってる？

>>116
ブラウザ使わないでポートたたいてみれば？

NATを食いつぶしたか?

>>114
ネットボランチDNS利用すれば固定IPは不要。
たまにダウンするのが難だけど。
サービスのホームページのメンテナンス履歴を見て、
ダウン頻度やダウンタイが自分の用途で許容範囲ならGO。

RTX1000ユーザです。

2個あるグローバルIP(lan2)を、
LAN(lan1)にある1台(=NIC1枚)のマシン(192.168.1.100)とで
NATさせることは出来ますでしょうか？

イメージ的にはこんな感じのことがしたいのです。
ip lan1 nat descriptor 1
nat descriptor type 1 masquerade
nat descriptor static 1 1 グローバルIP1=192.168.1.100 1
nat descriptor static 1 2 グローバルIP2=192.168.1.100 1

192.168.1.100から、外にアクセスをした時、
ランダム的な要素というのか、順番にでも良いのですが、
グローバルIP1と2を使いたいのです。
外からのアクセス時には、どちらのIPから来てもNATされる形です。

最悪F5などのバランシング機器導入も考えてはいるのですが、
安価な機器でこういった事が出来れば、と思っている次第です。
よろしくお願いします。

>>123
所有してるなら自分で試してみれ

>>123
ＩＰ１とＩＰ２の経路が別ならともかく意味あるの？

にわか管理者になったものです。
今、BフレをRTX1100にて使用しています。

バックアップ回線がないので、ISDNを導入しておこうかと思うのですが、
ISDNの契約ってなにを選べばいいんでしょうか？

つなぎ放題ならフレッツＩＳＤＮでいいんじゃね？
ってそういう意味じゃなく企業間のＶＰＮのバックアップでＩＮＳ１５００使える機種もつっこんでＩＮＳ１５００契約とか
使うって意味？

RTX1100でしょ。INS64かINS64ライトでも引いとけば？
あとはDSUを自分で用意するかNTTからレンタルすべし。

127さん、128さん
ありがとうございます。
VPNのバックアップなので、INS1500使える機種に変更する方向で調整します。

>>115さん122さん
ありがとうございます。
>122さん
ネットボランチDNSを使ったIPsecの構成で参考になるサイトってありますでしょうか？
ググってみたのですが、まさにこれ！っていうconfigは見つけることが出来ませんでした。
いずれにせよ、ちょっとがんばってみようと思います。ありがとうございました。

>>129
わかってると思うけど両端にＩ高価なＮＳ１５００用機器（１．５Ｍ　ＤＳＵなどもね）と使っていなくてもＩＮＳ１５００の月額コストはかかる

用途にもよるけど
機器のコストは安いし（ＲＴＸ１１００でもＯＫだと思う）負荷分散も兼ねるならメガデータネッツ使うのも手かもしれん
運用コストはあがるけどね・・・
でもコスト計算するのはＩＮＳ１５００でバックアップよりも確定してるから予算とりやすいんじゃないのかな？

スミマセン一つ質問です。
最近のPCはシリアルポートが無い物が多いと思います。
そういった場合にUSBからシリアルに変換するものを使用していますが、
皆さんは何を使用してますか？

ちなみにコレを使用しています
ttp://www.sun-denshi.co.jp/scc/products/mobile/vs60r/vs60r.htm

t

>>130
ヤマハホームページの設定事例集と付属のコマンドリファレンスでまんまできるだろ。VPNの部分とネットボランチDNSの部分をくっつければ。
調べる気、やる気が全くなく他力本願なのがミエミエ。
愚図を自認して業者か知人にお金払ってやってもらった方がいいよ。

>>132
秋月で買った。どこの買っても機能的に違いはないと思うけど。
なにより安いし、ドライバもホームページ上で公開されていて、出先とかで別の端末で使うときもインターネットさえ繋がれば利用できるというととで。
国内サプライメーカー物は高いし、安い出元が不明なバルクや輸入物はドライバがインターネットから手に入らない物があるから。

>>132
ワシの場合シリアルケーブルはＩＰアドレスの設定するときしか使わないので
シリアルケーブル使えないPCの場合
ココで紹介されてるRAPD.EXE使ってます
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/Windows/rarpd.html

>>134
なるほど安いですね。ちなみにCiscoに接続したことありますか？

また別の製品で、確認しなかった自分も悪いのですが、これは
yamahaもCiscoにも使用できませんでした。
ttp://www.riteup.com/products/cables/ruuprl1.html

これはyamaha、Cisco共にOKでした。
ttp://www.area-powers.jp/white/u1rs.htm

1年くらい前のトラ技に載ってたけど、
安物のUSB-シリアル変換は波形が歪んでるって。
(記事中ではメーカーを明記してなかったけど)

本当に必要なときに動かないと困るから、一個はまともなもの買って桶。

9600bpsならちょっとくらい歪があっても使いものにならんことはないだろう。

歪んで save→cold start になったりしなきゃ大丈夫だ

秋月のって安いんだよねぇ。なので、十数本買って色々使ってたけど、
他のUSBドライバとの相性があったり、たまに認識しなくなったりで
結果的に全部捨ててしまった。
必要な時に使えないってどうしようもないからねぇ。

ラ○ックだけはガチ。
でも、他の機器とケーブルを使いまわせるアイ○ーの方がもっとガチ。

びすみつーか、そもそも信号電圧がかなり嘘っぱちじゃないか?
負電源作ってるUSBシリアルって有る?

物によっては0-5Vじゃ全く通信できないよ?

RTX1500とRTX2000の設定って互換性ありますか？
うーん。。。繋がらないです。なぜだろう。。

>>142
つ[MAX232]

RT107eのlan1をポート分割し、IPフィルターで一部のアドレスを弾くと、dhcpサーバがうまく動かないのだ…。
こんなものなのか？

購入前のご相談です。RTX1100 の導入を検討しています。

L2TP+IPSec の 2点間インターネット VPN と併用して、
RT57i のように、出先のノートPCなどからWidows の標準機能だけで
PPTPでローカルネットワークにアクセスすることは可能でしょうか。

>>146
>L2TP+IPSec の 2点間インターネット VPN
L2TPがいるのか?IPSecだけじゃだめか?
つーか､RTX1100はL2TPだめだったと思うけど。

>PPTPでローカルネットワークにアクセスすることは可能でしょうか。

できるよ。

L2TP+IPSecがつかえるかはしらんがIPSecとPPTPの併用は可能
で、標準機能だけで接続可能

ありがとうございます。L2TPじゃないんですね。
IPSec での ２点間のLAN間接続（固定IPアドレス同士）と
リモートアクセス型PPTP（片側IPアドレス不定）が併用できれば
良いという話でした。強いて L2TPでなくても良いですね。

説明下手で申し訳有りません＆情報ありがとうございました。

RTX1100を使ってIPsecを設定しようとしています。
とりあえずWeb設定画面を利用して両方のルーターの設定をして、設定の検証では問題ありませんと出ました。

しかしUpにならず、ずっとDownのままです。
原因は何が考えられるんでしょうか？

またIPsecの接続時のログというのはどこにありますか？
(show logでいいんですか？)

ちょっと説明不足でした。
A,Bという場所があって(どちらも固定IP)
その２点の両方にRTX1100を使っているのでその間にVPN(IPsec)を構築したいということです。

IDが変わってしまいました。
151 = 150 です。

VPN (IPSec) を構築しています。
RT107e をセンターとして固定IPで設置し、動的IPの拠点を「複数」接続したいと思っています。

これは可能でしょうか？ （動的IP拠点は１個のみなどという制限のある製品があります）
また、最大トンネル数は６個（つまり動的IPの拠点が６個まで同時にVPN利用可能）という
事で良いのでしょうか？

イニシエータがブランチ側から、という風にあげれば複数使えるはずだけど。

>>153
可能。
ただし >>154 さんも言ってる通り拠点側から接続する形になる。

ちゅーか、会社からですか。
まぁ、ここなら見つかっても文句言われないか。良スレだし。
ウチの会社なんてタイル背景が表示されてるだけで文句言うし。
ログってないから専ブラ使ってる w

はじめての YAMAHA のルータが届き、
今日ははじめての VPN(IPSec) LAN間接続に挑戦しました。

苦闘 6時間、やっと繋がった。長かった･･･思わず感動して泣いたよ。



繋がらない、繋がらない、と唸りながら、sa やら NATディスクリプタやらフィルタリングやら
隅々まで穴が空くほど精査しても全然判らなくて。メーリングリストにも入ったけど、
なんか素人が質問するのも気が引けたので、マニュアルやら rtpro.yamaha.co.jp を
探し回って。それでも原因が判らなくて。

結局、ふと思って書き加えた「 tunnel enable 1 」で、あっさり繋がった。 ＿|￣|○


けど、そこに行き着くまでが、むちゃくちゃ勉強になったよ。
ありがとうYAMAHA。

>>150-152
syslog debug on にして細かくログを取ってから、show log してみたら ?

くだらない質問で申し訳ありませんが、
RT107eって両方の拠点とも動的グローバルIPの環境でVPN可能でしょうか？

ごくごく小規模な会社や、なかよしグループでのVPN構築に固定IPはちょっと厳しい｡
ま、そういった環境にはRT58i+ネットボランチDNSって事でしょうか。

また、スレ違いで申し訳ありませんが、YAMAHAにこだわらなければ、
IO-DATAのETX-VRT（http://www.iodata.jp/prod/network/bbrouter/2006/etx-vrt/index.htm#mnal）
のように、両方ダイナミックなIPでIPsec-VPNできる製品って他にもありますでしょうか？

>>158
RT107eはネットボランチDNS対応
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/NetVolanteDNS/netvolante-dns-rule.html

もしかして、レスポンダ側は固定IP必須、というのは既に過去の話？

ルータ触った瞬間に「ピリッ」って静電気が走ることが多いんだけど
みな接地線ってマメに取ってるのかな？


業務用ルータって謳ってるんだったら
最初っから三極コンセント（＋二極コネクタ）にしてくれりゃ良いのに･･･

>>160
ぜえったいに必須かどうかということなら、確かに過去の話。
でも、DNS がコケるとつながらなくなるリスクもあるから、固定 IP の方が
確実といえば確実。

となると、IPsecというかIKEの仕様（?）からはずれた独自の実装で対応している製品が
たくさんあるってことでしょうか？
RT107eやRTXシリーズとかでも、相互に相手先をホスト名で指定してVPN構築できちゃうんですか？
(とりあえず信頼性という点は置いておいて)

>>163
ホスト名で可。
コマンドリファレンスの ipsec ike remote address のところを見てみ

最近はFQDN→アドレスを毎回やってアドレス直ではない接続を可能にしてる奴はおおいよ。
つうかLinuxベースだとFreeS/WAN系で対応できるから出来るのも多いけど。
IPSecのコンセプトには反してるけどね確かに。ホスト名解決が挟まっちゃってるから。
それならXAuthも同時に実装してくれよと思うし。

RTX1100でIPSECを使ったVPN回線を構築しています。
構成は
(センター)インターネット回線
｜
ADSLモデムルーター(VPNパススルー)
｜
RTX1100
｜
PC
といった構成になっています。
PING試験やOracle,PcAnywereは問題なくVPNを通過して利用できるのですが
Windowsの共有フォルダから1MBほどのファイルをコピーしようとすると
VPNを通過できないのか、「指定されたネットワーク名は利用できません」
というメッセージがPCで表示されます。
（共有フォルダは参照して、画面に一覧表示はできます）
ADSLモデムのランプを見るとDATAのやり取りがほとんど行なわれていません。

ちなみに、数キロバイトのファイルはコピーしてくることができます。

考えられそうな原因なにかないでしょうか？

>>166
マルチうぜー

>>166
マルチか知らんがこれだけは言っておく


　　　　　　　　　　C　O　N　F　I　G　出　せ　よ　、と

あと、一部でもマスクしてると判断つかないからadministratorで出したconfigを出すように。

>>168
あーあー。やだねー。こういうの。
「一部でもマスクしてると判断つかないから」
パスワードもみなきゃ分らないとでもいいたいのでしょうか。

一般ユーザでも pp auth のパスワードや、ike-preshared-key text が
簡単に見えてしまうというのは如何なものかと。

というか「管理レベル」なんて要らなくね？

G-LEXなんだけどRTV700でregistだけしてで安心してたら、
実際通話してみたらRTVからの音声が通らない。
SIPPhoneが使えているのでFWもNATも問題ないと思うんだけど。

RTX1100 を２台使って IPsec で VPN を構築し、PING も通るし
\\192.168.xxx.xxx で共有フォルダにもアクセスできるんだけど、
コンピューター名でのアクセスができません。
単純に考えてフィルターの設定？。それとも WINSサーバーが必要？

オムロンのルーターで VPN 構築したときは何もしなくてもコンピュー
ター名で見えたのでフィルターの設定なのかなぁと思ってるんだけど。

NETBEUIはインストールされてますか？

http://homepage2.nifty.com/winfaq/networkchecklist.html
http://homepage2.nifty.com/winfaq/wxp/network.html#719

的はずれならすみません。
実は初心者です。

>>172
broadcast通らなくなってるんでは？

>>173
IPじゃNetBEUIは使えないべ。

>>172
NBTブロードキャストでコンピュータ名を取得するから、
NBTブロードキャストを通すようにしてやるか、WINSサーバが普通だと思うけど。

>>172

異なるサブネットでブラウジングしたいばあいは，Windows Server 2003
を購入して，ドメインを構築するか，Sambaを使うかどちらかですね。

Sambaを使えばドメイン構成にしなくても大丈夫。詳しくは高橋基信さん
の本を参照してください。

なお，結論を言えば，労多くして功少なしです。やめておいた方がいい。

アドレス固定ならLMHOSTSに書けばいい
動的ならWINSだな
XPとかで名前引くだけならDNSでもいけるかもよ

RTX1100 同士のパフォーマンスで相談です。

素FTP転送量　実測 733 kBytes/sec (6.1Mbps) の区間で
IPSec VPN のFTPだと 390 kBytes/sec (3.2Mbps) になりました。

IPSec の性能としてはこんなものですか？もう少し早くなりそう？

質問(´･ω･)ｽ　RTX1100で
lan1 lan2がLAN側、lan3がNAPT（B-フレッツのPPPoE 1IP）を
利用したインターネットを利用する形でコンフィグしました。

ip route default gateway pp 1
ip filter directed-broadcast on
ip lan1 address 192.168.10.254/24
ip lan2 address 192.168.20.254/24
pp select 1
pppoe use lan3
pp auth accept pap chap
pp auth myname ******* ******
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp mtu 1454
ip pp nat descriptor 1
pp enable 1
nat descriptor type 1 masquerade
dns server 202.234.232.6 221.113.139.250
dns private address spoof on
snmp host 192.168.10.217
snmp trap host 192.168.10.217

こんな感じなんですが、192.168.20.0/24　192.168.10.0/24
それぞれのサブネット→インターネット　は通信できるんですが、
192.168.10.1 →　192.168.20.1 のように、LAN間の通信が
Pingすら通りません・・・。（RTX1100自身からは双方にPingが通ります）

上記コンフィグのどこかに足りない部分があるのでしょうか。
助けてください。

えーっと、公式サイトの設定例は眺めた？ルーティングとNATディスクリプタの説明は？

で、lan1とlan2で通信する設定は？

RTX1000とRT57を使っているのですが、PPPoEパススルー機能はないのでしょうか？
コマンドリファレンスには載っていませんでした。

>>180
ごめんなさいごめんなさいごめんなさい

片方のネットワークのデフォルトゲートウェイが
片方のネットワークのルートを知りませんでした

ぶたないでください(´･ω･)

>>181
・・・・・・。

>>182
どんまい。

RT58ってもう試した人いる？

ttp://pc8.2ch.net/test/read.cgi/hard/1152071495/227-
こっちで買ったって人は現れた

RTX1100 と RT107e でＶＰＮ張ったんですが、遅いんです

私はいつもここで測定してるんですが、
http://www.bspeedtest.jp/
RTX1100側 下り60M 上り 30M
RT107e側　 下り38M 上り 20M

ＶＰＮ張って、ファイルコピーしてみると、1ファイルだけのコピーで５Ｍ程度
２ファイル同時でで１１Ｍ、３ファイル同時で１６Ｍ
同時転送が増えるごとに転送速度はあがってるんですが、1ファイルコピーでＭＡＸにならないのは？

こんなもんですか？

186です
追記です
ターゲットはRTX1100です

VPNソフトでも確認してみましたが、やっぱり遅いです
RT107eと同等の速度しかでません

1ファイルのコピーなら１５Ｍ前後は出て欲しいところです

う？うーん…
http://imihu.blog30.fc2.com/blog-entry-1922.html

RTX1100ですが、
pppoe ではなく、
Yhahoo への接続設定はどんなコマンドになるのでしょうか？

･････････・・・・・・・・・・・・・・。

>>189
繋げば即ネットだから、接続設定なんてイランだろう…
それとも、NATやルーティング設定の事を聞いているのか?

>>186
クライアントのMTU

>>191
RTX1100にYahooADSLモデムを接続するので、
ルーティング設定ということになると思うのですが。

LAN1 ：ローカルLAN
LAN2またはLAN3 にYahooADSLモデムを接続

その様子だと説明してもわからんと思うが・・・

YahooBB設定例って、netvolante.jpかwww.rtpro.yamaha.co.jpになかった？

>>195
ありがとうございます。
ありました。
http://www.rtpro.yamaha.co.jp/RT/FAQ/ADSL/example-yahoo-bb.html

下記を参考にしてみたのですが、
RTX と プラネックス BRC-14V をIPsec で接続できません。

ttp://brc14v.ath.cx/

暗号化をフェーズ１、２とも、
3des-cbc にしてみてもダメなのですが、何が悪いのかな？

>>197
あなたの頭

netscreen5gt とRTX1100 との間で VPN(IPSEC) を構築したいのですが、
約1分ごとに IPSEC が切断されてしまいます。(すぐに再認証が行われます)
IKE のライフタイムなどはデフォルトのままなのですが、
何か対策はないでしょうか？

> 199
RTX1100のキープアライブをicmp-echoにしてみては？
ipsec ike keepalive use N on icmp-echo IPADDRESS

users MLで恐ろしい誤爆…

こりゃあ始末書の始末書を書かないといけないな

>>202
誤爆されたメールをよく読むと、
既に、始末書案の訂正依頼と書かれているwww

悲惨だ。

始末書を求めた側が、今回の件で始末書を求められ立場逆転かな。

うｐ

リブートしまくりのレポートが多いけど、どうなってるんだろ？

固まらないだけ安物と比べたら
まだマシかと思う。

自宅にRT58i買おうかと思ってるんだけど、まだ地雷かな？

安いから１台くらい買えば？
不具合はYAMAHAに報告しまくりして完成度を高めてみては？
YAMAHAは凄く対応が良いから、糞丁寧に教えてくれるよ

おまいらvista、vistaって金持ちだな。
タバコ値上げで禁煙したおいらは、この際、ぃぬにいくよ。
MSには、Win95,98,XP、office95、2000とお布施してきたんでもういいでしょ。
窓は仮想マシンでXPと98動かせばOK。

どこの誤爆だ・・・

うへぇ、ここはデフォルト節穴なの忘れてた

>>209
背中押してくれてありがとうｗ
仕事でRTX1000,1500あたりいじってたことあるんで(ヘボ管理者だけど)、
自宅もRT系にしようと前々から考えていたんだよね
もう1,2週間MLの様子みてから購入するワ

>>210
つか、エロゲネトゲとか考えないならFreeBSDが一番安価だよね。

スゲー久しぶりにつついたら、packageの充実振りに驚いたよ。

RTX と プラネックス BRC-14V をIPsec 接続できました。

>>213
うちはルータもFreeBSDにやらせてる

ip route default gateway pp 1 filter 500000 gateway pp 1
ip lan1 address 192.168.1.1/24
ip lan2 address ***.***.***.121/29
nat descriptor type 1000 masquerade
nat descriptor address outer 1000 ***.***.***.121
nat descriptor static 1000 1 ***.***.***.122=192.168.1.107 1
nat descriptor static 1000 2 ***.***.***.123=192.168.1.3 1
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.1.2-192.168.1.191/24
dns server ***.***.***.122 ***.***.***.***
dns server select 500001 ***.***.***.122 ***.***.***.*** any . restrict pp 1
dns private address spoof on
httpd host any


教えてください。
RT107e上記設定を行っているのですが、
NATの記述をしたサーバに接続ができません。
lan2はPPPOEで使用してて、ppにnatを設定しています。
なにか記述がぬけてますでしょうか？
テスト段階のためフィルタは何もかけていません。

PPPoEってことはWAN側はunnumberedじゃないとだめではない(´･ω･)ｽか？

>217
いけました。
ありがとでした

こんばんは。
当方、RTX1100を自宅で利用している者です。

今日、弟がXBOX360を購入して参りました。
早速ネットに繋げようとしたら、
接続途中でエラーが発生してしまい接続できないのです。
症状といたしましては、XBOXが自身のインターフェイスのMTU値を決定するために
ルータへアクセスする段階があるのですが、その際に失敗するようです。
RTXのMTU値は1454に設定してあります。
また、「EditMTU」なる分割されないMTU値を自動で求めるソフトをPC上で利用した場合には、
MTU値が1426の時にリクエストタイムアウトを起こしてしまい、XBOXど同様の現象が起きてしまいます。
当方のRTXは、LAN側からMTU値が読み取れない状態になっているのでしょうか？

もし原因が分かる方がいらっしゃいましたら、何卒ご教授のほどをよろしくお願いいたします。

ちなみに、XBOX側の回答はこのようになっておりました。
http://support.microsoft.com/default.aspx?scid=kb%3Bja%3B908882

すみません。
先ほどの質問で一つアホな間違いを書いているので訂正させてください。
＞MTU値が1426の時に
正確にはDataSizeが1426であり、MTU値は1454です。

その後いくつか検証してみて分かったことがあるので付け足します。
EditMTUを使用したときにタイムアウトエラーを起こす理由は、
ルータの不正アクセス検知機能が原因でした。
"ICMP too large:1025バイト以上のICMPを受信したとき"に引っかかるようで、
不正アクセス履歴にしっかりと跡が残っておりました。
検知機能をOFFにすればEditMTUは正常に動作し、MTU値も正確に求められました。
しかし、XBOXはOFFにした状態でも接続不可能でした。
原因は別だった模様です。

>>219
私はXBOXは持ってないので原因はわかりませんが…
ひとまず lan port-mirroring コマンドでミラーポートを作って
Etherealでパケットキャプチャしてみたら？

何が流れてるかわかるので、そこから原因を探れると思うよ。

>>219
Windows再起動後、RWinのサイズは？
ttp://www.speedguide.net/analyzer.php

>>219
フィルタ関連をとりあえずはずした状態はどうでしょう？

ポートが開いてないか、UPnPころしてるとかかな?
2つくらいポート開ければ、テストは通るようになると思う。
開けるポート番号は、XBOX系のまとめサイトに載ってたかな。

>>221-224
レス、大変感謝しております。
RWIN値は260176に設定しております。

とりあえず、フィルタ関係の見直しと、
UPnP及びXBOX系まとめサイトへを見てみます。
その辺で解決しなかった場合は、ポートのミラーリングを試してみます。

この度はありがとうございました。

東日本のフレッツグループ上で、
アライドテレシスのAR410で２点間をL2TPでつないでる場所に、
追加でYAMAHAのRTX１１００を使った拠点をつながないと
いけません。
L2TPの設定は生かしたまま設定をしたいのですが、
RTX上でL2TPトンネルを構築することは不可能なのでしょうか？
あるいは、L2TPを生かしたまま、追加できるお勧めのセッションは
ありますか？

RTX2000がCPU100%でリブートして困ってるんですが、もう放置プレイでしょうか？

RTX2000/1000でネットワーク組んでしまってるのでまだRTX3000買えないorz

１００％だけならともかくリブートするのは、高負荷だけが原因じゃないと思うけど
サポートに聞いてみたら？

DoSでも食らってたりして(´･ω･)

お菓子くれなきゃ
DoS攻撃するゾ☆

＃1日遅かったデス

フレッツ光プレミアムだとVPNは不可能なのですか？

>>231
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-PREMIUM/connect0.html

# 最近はCTUのバージョンアップ(？)で
# CTU側でPPPoEブリッジができるようになったらしいですね。

>>232
親切な方、ありがとう！

RTXシリーズのVPNスループットってwebだと双方向の値で表記されてるけど
片方向なら半分ってことでOKですか？

>>231
VPNはOKですが、PPPoEを利用する場合は、
無料でついてくるNTTのセキュリティ対策ツール（ウィルスバスター）は一部、使用できなくなるなど、
NTT固有のサービスなどは制限がいろいろあるので、ご注意を。
ttp://www.ntt-west.co.jp/flets/hikari-p/omoushikomi_goriyou/ryuuijikou/pppoe/index.html

RT107eなのですが、LAN2インターフェイスのmacアドレスを任意に
設定する事は可能でしょうか？

>>236
コマンドにそれっぽいのは見当たらないので無理じゃない(´･ω･)ｽか？

ハード分解してFlashだかなんだかを直に書き換えられるならともかく。

RTX1100を使って、
PDA→Bluetooth携帯→電話回線→RTX1100→ｻｰﾊﾞ(PC)
という風に構築して、FTPでｻｰﾊﾞにﾃﾞｰﾀを送れって言われたんだけど、この場合、どんな設定をすればいいのかな？
受け側の設定方法が全く見つからなかったもので…。
お願いします…。

>>238
やったことないからアレで(´･ω･)ｽが

isdn local address bri1 でﾃﾒｪの回線設定して
ppに発呼側の電話番号入れ込むか、anonymousにしてpp authを
設定するんじゃダメなんで(´･ω･)ｽか？

携帯電話はISDN回線じゃないからダメじゃないですか？

PHSなら可能

>>241
PHSじゃなくて、ドコモのFOMAのBluetooth機能がついてる奴なんですが・・・。
とりあえず、セキュリティとかは度外視で、繋がればいいみたいなんです。
教えてクンですいませんが、どうかよろしくお願いします。

FOMAの64K回線交換モードなら、普通にISDNの64Kに接続できる。
RTX1100側にISDN回線を用意すればいいだろう。

どうすれば64K回線交換になるかは、FOMA端末のマニュアル読むべし。

>>208
動的IPフィルタにバグ有り　勝手にリブートして通信切れる
修正版ファームウェア準備中らしい

RTX-1500 同士で IPv6 over IPv4 tunnel な VPN を張りたいです。
で IPv6-over-IPv4 だと
tunnel encapsulation ipip
を使うっぽいのですが、ipip 関連の設定例は↓位しか見当たりません。
http://netvolante.jp/solution/vpn/case2/example6.html

で、その設定例には tunnel の構成は書かれているけど
認証・秘密鍵みたいなのは全然 config に登場しないですよね?
もしかして ipip って ipv6 を ipv4 の payload に載せるだけで
暗号化するには
IPv6-over-IPv4(ipip) over IPsec
みたいな多重構成にしないと駄目なのでしょうか?

IPv6 自体初心者なんでなにがなにやら...

よろしくお願いします

これですかね

>IPv6 over IPv4トンネルでIPv6パケットをIPv4パケットで包んでから IPv4のIPsecで暗号化するケースです。

ttp://www.rtpro.yamaha.co.jp/RT/FAQ/IPsec/faq_3_d.html

>>245
まずは draft-ietf-v6ops-ipsec-tunnels-04.txt を読むべき

>246
おー、激しくそれを読まなきゃいけないっぽいです。

netvolante.jpと www.rtpro.yamaha.co.jp ってどういう関係なんだろ...
yamaha.co.jp からは素直には辿れないですよね...(google は教えてくれるけど)

>247
ある意味正論かも知れないけど
とりあえず設定したい人にはハードル高すぎっす…

ヤマハのあるおたく技術者が中心となってRT100iを作って世に出した。
＃ここでいうおたく、はいい意味で。
で、そのおたく技術者が作ったサイトがwww.rtpro.yamaha.co.jp。
これは商売になる、ってんでちゃんとした？組織として商標も取ったのがnetvolante系。
rtpro系とはある意味独立している。

？そうなの？
当時ヤマハでＩＳＤＮチップつくってたから
RT100i出したんじゃないの？
当時としては格安の業務用ルーターだったから結構売れたっしょ
で、当時からサポートやファームなどはrtproで公開してたし、
メーリングリストからのフィードバックもまめにrtproで更新してたし
ネットワーク管理者向けのサイトという位置づけだよね

その後家庭用ＳＯＨＯ用ルーターが売れだしてきて
ヤマハもその波に乗って出してきたブランドがnetvolanteでしょ？

ページ的には昔のまま技術系のページのままでいるのがwww.rtpro.yamaha.oc.jpで
プロのＷｅｂデザイナーとか使って商品紹介など売るためのページ的な感じで
netvolante.jpがあるんじゃないの？

YAMAHAルーターの中にはこびとさんがいるんだよ＾＾

>これは商売になる、ってんでちゃんとした？組織として商標も取ったのがnetvolante系。
>rtpro系とはある意味独立している。

間が完全に飛んでるぞ
第一興商とか

以前の会社の管理者が、本社RTX-1000と拠点RT-57iとでVPNを組んでいました。
環境は、本社・拠点ともにBフレッツの固定IPあり(OCN)だったのですが、
エクセル開くのに数分は余裕でかかっていたそうです。

この度にわか管理者となり、VPNを組もうとしているのですが、
あまりに不安定だったり遅いようだと考えてしまいます。
VPN組んでらっしゃる方々、現状いかがお過ごしでしょうか(・ω・｀)
環境は、本社RTX-1100(Bフレファミリー、Asahi固定IPあり)と
１拠点(USEN光マンションタイプ、固定IPなし)という状況です。

ちなみに、フレッツグループ東西の壁に阻まれての策です。
最後の手段はPacketiX(旧Softether)ですが、ちょっとPC分かってるヤツに
電話で人間リモート設定させたら、いくらでも経路が開けてしまうので
使いたくはないのですが･････
もちろん今はポートも閉じてPacketiX不能にしています。

結局のところ・・・・・・・・・
藻前ら頼む背中を押してくれ！
おいちゃん、一人で踏み出すのヤだよ！って事です。

「帰れ！」でも良いので一言お願いします。

IP固定してIPSecにしてるうちの本支社間はエクセル数秒で開くよ。
もちろんIPSecだから57iじゃできないけど。

詳しいことはエロイ人に任せるしかできないにわか管理者なのでsage

>>253
理論上、PacketiXでの通信速度とVPNでの通信速度の差は
同じ回線使う限り暗号化による遅延だけでしょ？

Bフレッツそのもののスループットが出てるなら、あとは
トンネル数の問題じゃね？

ぶっちゃけ、ｽｷﾙうｐ！！！を目指すなら漢らしくOpenVPNでどうよ。

安定運用するならＲＴＸ対抗でIPSecだろ
PacketiXってＰＣに入れるんだろ？
ＰＣよりはＲＴＸの方が故障率低いだろ

>以前の会社の管理者が、本社RTX-1000と拠点RT-57iとでVPNを組んでいました。

まったく環境が違うけど、RT57iとXPでPPTP接続って環境は恐ろしく遅かった。安定はしていたけど。
ヤマハにも問い合わせても「問題無し」と言われ、ハード板の人には「パケットサイズ調整しる」と言われたけど、面倒だからそのまま使ってる。

RT57iとRTW65bとのPPTPもイマイチだった。普段は安定してるけど。一端ご機嫌を損ねるとピポピポ鳴りまくり。
両方リセットしないと復旧しない

RT57iでPPTPって小さなメモリ空間と1つしかないCPUでルーティングとフィルタと暗号化/復号を全部やらせるんだから
潤沢なメモリとCPUパワーありまくりのPacketiXや(CPUの消費電力だけ見ても
PCのCPUはバケモノ級)IPSec専用ハード搭載のRTXと比較したら可哀想な気がする。

>>257
その音は消せるわけだが・・・

会社のエロイ人に進言ミスって、フレッツグループなしで全拠点VPN組む事になりそうな勢いです。
１拠点設定書き上げたら、あとはマイナーチェンジだからまぁいいけど・・・・・(´д｀；)

皆の者、レスありがとうございました。

>>254
IPsecは早いのか・・・・前の会社のPPTPは、固定IPなしだと一日何回も落ちてたらしく、固定取って設定し直してたので・・・
Asahiは固定IP500円だし、RT58iよりRT107eを買うお小遣いをもらえるように稟議書書いてみようかなぁ・・・。

>>255
RTXのコマンドリファレンスと設定事例集を相手にﾊｧﾊｧﾊｧﾊｧしてるときに、
そもそもPPTPとIPsecの違いってなんだ？PPTPの方が、固定IP代なしでRT107eより安いRT58iで済んで機器代金もお得なのか？
と、"PPTP　IPsec"ってググると無料のOpenVPNを見つけた。
どんなモノだったかと落として脳みそｱﾎﾞｰﾝでした。
漢になりたいぜ・・・・・・・・・・・・・・・・・・・・・・・(´д｀

遠隔地を接続するとき、帯域の太さより遅延時間が重要なのは常識。
20msを超えてくるとWindows系は目に見えて遅くなってくる。

>>260
VPN自体の運用効率を考えるなら、YAMAHAに
こだわる必要自体無いような（ｒｙ

Netscreenとかのほうが補完的にリモートアクセスさせてやれたり
するぶん、上が喜びそうな話で言えばTCOが削減（笑）できたり。

個人的には比較的廉価にINSバックうｐができるRTX1100大好きだけどね。

>RT57iでPPTPって小さなメモリ空間と1つしかないCPUでルーティングとフィルタと暗号化/復号を全部やらせるんだから

表現が悪かったお。正確には「遅い」んじゃなくて、「パケットづまり」見たいな事が起こる。AirEdgeのアレみたいな感じ。
一端流れ出すとMbps単位は出てるので、RT57i自体はコスパから言えば、漏れは十分だと思う。

>その音は消せるわけだが・・・

Beepを消しても、機嫌が悪くなるのが直る訳じゃないんで…
逆に、Beepのおかげで機嫌が悪くなったのが分かる。

filterで引っかけてBeepを鳴らす機能があると、トラブルシューティングの時に便利カナ？とか思う時がある。

ＰＰＴＰは高負荷やパケロスに弱い気がする。
基幹を安定運用ならIPsecでしょな

YAMAHAのルータの場合，PPTPはソフトウエア処理になるので，IPSec
と比較すると遅い。ちなみに，IPSecはハードウエアで処理されます。

問題は，RT57iのようなネットボランチ系はIPSecに対応していないので，
IPSecに対応したルータ（RT107e等）でそろえる必要があるという
ところでしょうか。さらに，ネットボランチDNSを使えば，固定IP
でなくても，IPSecができちゃうところが，YAMAHAのいいところだと思います。

うちも全拠点Bフレッツで，ルータはRTV700でIPSecをくんでいますが，
全く安定していますよ。セッションが切れるのは1ヶ月に1回もない感じ。
PPTPだと，クライアント側からの接続になるので，セッションが
切れてしまうと，サーバー側から，セッションをはれないので
，一度切れてしまうと，クライアントからの接続がない限り切れっ
ぱなしになってしまいます。基本的に，リモートアクセス用なので，
ネットワーク間接続はIPSecを使ってくれというのが，YAMAHAの考えだと思います。

Excel開くのに数分かかっていたというのは，PPTPなので，スループットが
出ていなかったことと，遅延の問題だと思います。Windowsのファイル共有
で使用されるプロトコルSMBは遅延があると，パフォーマンスが
ものすごく落ちます。IPSecにすれば，スループットが改善されるので，
多少は改善されるでしょうが，遅延はどうしようもありません。

抜本的な解決策は，Vistaで導入されるSMB 2.0を待つか，ネットワーク高速化装置
を導入することです。しかしながら，非常に高価（100万円以上）で，
かなり予算がないと難しいと思います。ちなみに，SMB 2.0では遅延が
あるネットワークでもパフォーマンスが下がらないように改善されるようです。

>>253
RT107e のIPSec いいよ！
GUI で設定できちゃうし簡単だよ！
うちもRT57i から107e にマイグレーション（なんて大層なものじゃないけど）したよ！

パソコントラブルはあっても、ネットワークトラブルは1年弱になるけど起こっていないです。

>PPTPだと，クライアント側からの接続になるので，セッションが
>切れてしまうと，サーバー側から，セッションをはれないので

ちなみに、RTシリーズ対向なら、サーバーからセッション張れるよ。
正確には、サーバーからクライアントに「セッション張って」ってパケットを出して、クライアントが張りに来る。

何故か会社からｺｿｰﾘ見ると、レスが240辺りで止まってて見れない。。。。
ftp､wwwやらそれ系をダイナミックでOUTの設定して、全てのINを遮断してからレスが止まった気がする。

しかし、前任者が一応のフィルターの設定してたけど、ip secure firter IN/OUTは設定されていなかった環境は渋いぜ。
明日のジョーばりのノーガードファイアウォール(゜Д゜｀)

>>262
正直、FWで使われる機器という事しか知らない・・・・
いやむしろYAMAHAのルータ以外知らないｗ

>>265
長文ｻﾝｸｽ。
Asahiネットで固定IP500円だから取る気でいたけど、なくてもいいかな〜と思ってみたりしてます。
＞PPTPだと，クライアント側からの接続になるので，セッションが
＞切れてしまうと，サーバー側から，セッションをはれないので
前の会社で何度も再起動か、GUI画面から再接続かしてもらってたの思い出しました。
まさにそんなカンジでしたね。

>>266
とりあえず、今日はIPsec＞＞＞＞PPTPと上司に吹き込む材料作ってたｗ
価格.comで見たらRT58iが3.3万、RT107eが4.3万だったし、いけるｗ

猫のウンコ様。
今リアルに猫がウンコして、くっさいです。いつもよりエラく臭ってます。
強烈です。
エサ変えたのが悪かったか・・・・(´Д｀；)

RTX1100が侵入検知した。
地図とか重いデータ落とすためにセッション多数張った結果だったらしい。

井上氏の本が改訂第二版で出たよー

pptpが繋がりません。ルータのFW設定切ったら繋がるので、原因はフィルターの設定です。
1723通してるのにどこが悪いのか、ご指摘お願いします。
ちなみにIPsecも使っていますが、こちらは問題なく繋がっています。

IN側設定
ip filter 1 reject 192.168.1.0/24 *
ip filter 2 pass * 192.168.1.0/24 icmp
ip filter 3 pass * 192.168.1.1 udp * 500
ip filter 4 pass * 192.168.1.1 esp
ip filter 5 pass * 192.168.1.1 tcp * 1723
ip filter 6 pass * 192.168.1.1 gre
ip filter 1000 reject * *
OUT側設定
ip filter 101 reject * * udp,tcp 135 *
ip filter 102 reject * * udp,tcp * 135
ip filter 103 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 104 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 105 reject * * udp,tcp 445 *
ip filter 106 reject * * udp,tcp * 445
ip filter 107 pass 192.168.1.0/24 * tcp * 22
ip filter 200 reject * * established
ip filter 300 reject * * established
ip filter 2000 pass * *
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * filter 107
ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp

>>271
IN側がdeny allポリシーでOUTがallowってのに拒否反応を感じる俺ガイル

それはさておき、あってるかわからんが、IPsecはL2TP over IPsecだと
仮定した場合、L2TPはUDPに対してPPTPはTCP。

で、OUT側でACK付のパケ叩き落してるみたいだし
そこが関係してるんじゃない？（クライアントからのSYNに応答できん）

ああ・・・Winnyフィルタ入れた時のip filter 200 reject * * established。
これってACK付パケット遮断するのか・・・・・・・・・orz
これが＠ITの律子さんとYAMAHAの取説・設定事例集読み漁った程度の俺の限界か。。。

でも、とりあえずSoftetherフィルタにもなるらしい事が判った。
272さんthx。
帰ってからpptp試してみる。

ログぐらい見れや

ログがどこにあるのか知らない俺ガイル。
明日ログの事を調べてみます。

とりあえず帰ってpptp→接続できましたが、LAN内のマシンにはつながらず。。。。
めげたorz
それにしてもpptpってめちゃくちゃ遅いですね。
ADSL12M（実測4M）の無線LAN環境とはいえ、コマンドプロンプトすら数秒ごとに固まりました。

>>275
GREは通ってる？

ｐｐｔｐに関わる設定は、
ip filter 5 pass * 192.168.1.1 tcp * 1723
ip filter 6 pass * 192.168.1.1 gre
あとnat descriptor masquerade staticの1723とgreかな。

>>277
PPTPが接続できてLAN内のマシンに繋がらんって意味ﾜｶﾗﾝのだが。
ルータは通ってVPN鯖までは到達してるが、って話なら、後はVPN鯖側の
問題じゃねーの？
つーかそもそもだな、動的フィルタでサービス切ってるのにPPTPだけ
静的フィルタにするのはなんで？ >>272 じゃないが、establishedをreject
するぐらいなら、reject allにして、動的フィルタとSYNパケpass静的フィルタを
使用するサービス全部まとめて定義したほうが手っ取り早いじゃんよ。

＞PPTPが接続できてLAN内のマシンに繋がらんって意味ﾜｶﾗﾝのだが。
正直俺もﾜｶﾗﾝ。
ルータへはpp anonymousの設定でPPTPトンネルが繋がるものの、192.168.1.1以外にはpingも通らなかった。
ルータからping送ると反応あるし、意味不明。

＞手っ取り早いじゃんよ。
色んな設定事例集からのコピペが基本だからな・・・・・
最近始点、終点とかの意味が分かるようになって、なんとなく良さげなモノを貼り合わせてる。
同じ通すなら動的と静的で何がどう違うか、ちゃんと理解もしてないしね。
並みの管理者になりたかったが、夢のまま俺の人生終わりそうだわ。
もう少し早くネットワークの世界に触れたかった。

ふと思ったけれど、Proxy ARP を有効にしてみたらどうだろう。

なんか情報を小出しにされてるようで
クイズじゃないんだから回答する側が想像ふくらませて回答するのもね・・・・
障害の切り分け出来ないなら
設定丸ごとのせてみたら？

ＰＣからのアノニマスなら
とりあえず下記のサンプルとくらべて足りない部分探してね
http://www.rtpro.yamaha.co.jp/RT/docs/example/pptp/pptp_example1.html

設定例集のコピペなら自分のところとＩＰアドレスとあってるかも確認してね

>>279
>動的と静的の違い

こんなん理解とか言う以前だろ。設定例集読んでもいねーじゃん。
ttp://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html

そもそもおたくのout側の動的フィルタは（さらされてる設定を見る限り）
全く無意味なのわかってんの？

全部filter 2000で通ってるだけだよ？

>>282
>そもそもおたくのout側の動的フィルタは（さらされてる設定を見る限り）
>全く無意味なのわかってんの？

確かに設定は緩めだが無意味じゃないよ
内→外 のパケット、特定のポート以外は一方通行で戻っては来ない

いいすぎましたごめんなさい

>>284
ﾜﾛｽｗ

今まで自宅のPCも含めFWいじったことがなかったので、緩くしてました。
とりあえずOUT側キツくして失敗したら、即ユーザーが困る(→怒って俺のトコ来て俺も困る)ので
つながればいいや的な。

>>281
確かにpptpの設定もちゃんと晒してから聞くべきでした。
萎え気分先行しすぎて、どーでもよくなってたので・・・・ｽﾏｿ。
pptpクライアントに割り当てるIPが192.168.1.180-182だから、多分>>280さんの言うとおりです。
＃ついてたから、ip lan1 proxyarp onを見落として抜いてしまっていたようですorz

本の設定事例集に比べ、Webの方ってかなり丁寧ですね。
８割方本に頼ってました。
短絡的に設定そのものと、構文の成り立ちをコマンドリファレンスで追い求めてたのが失敗。。。

>>284
どういう風に聞いたらいいのかも分かってないヤツ相手は、俺も鬱陶しいと思います(´д｀；)
気持ちは判る・・・・・・・なんて自分で言っていいものかｗ

>>283
>内→外 のパケット、特定のポート以外は一方通行で戻っては来ない

ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp

一部を除いて全部もどってくるよw

ここはTCP/IP初心者のすくつですか？

WAN 側の回線を ADSL → 光 に切り替える予定があって
遠隔から設定を変更することを考えています。リモートセットアップは使用不可です。

ADSL と光を同時に使える期間は存在するとして
光に切り替える時に ADSL 用の pp 1 の接続設定（PPPoE 認証情報除く）を
pp 2 にコピーして ip route default gateway pp 2 にして save&restart すれば
問題なく切り替わるものなのでしょうか？

>>289

リモートセットアップができないなら，リモートでの切替はやめた方がいいです。
現地に行って作業することを強く薦めます。

上記の手順でうまくいくと思うが，この手の作業はたいていトラブルので，絶対
現地でやるべきだと思う。

どういう理由で遠隔操作で切替なければならないのかわかりませんが，トラブって
困るのはあなたですので，気をつけてください。

>>289
InternetVPNであたりでつながったさきのルータとすると

(1)RTX1000/1100/1500 あたりでLAN3あたりがあいているなら、光をLAN3に接続する。
(ADSLと同時につなぐということ)
(2)pp2をLAN3に設定する
(3)PP21つかったVPNをいかすため　IP route (接続先のIP) gateway pp1
をかいておく
(4)pp2 ものルートも書いておく　IP route (接続先のIP) gatweay pp2
(5)pp2のPPPoEが正しく接続できることを確認する。
(6)自分側のルータのVPN接続先IPを光のIPにする。
(7)VPNができたら光に切り替えるため、デフォルトゲートウェイなどを光のほう
にする。
(8)だめだったら自分側のルータのVPN接続先をADSLにする。
(9)切り替えができたらsaveする。

※最悪、現地でルータの電源ON/OFFをすれば設定がもどせるようにsaveは最後にする。

これでどうでしょ?

His judgement cometh and that right soon

男性諸君、結婚すると不幸になる。女の外面は綺麗で清潔で良い人、内面はずるくて汚いため、口も悪い＋嘘つき＋女同士も上辺仲良し裏では悪口三昧
女の成分はＡ（性悪陰湿残忍＋損得自己中感情）＋Ｂ（良い女演技＋体形＋整形化粧＋ファッション）
↑良い女演技は好きな男＞＞異次元＞＞男集団＞他人の順に良くなる。年齢とともにＢのメッキがはがれ内外ともに醜くなる（Aの良い女は極少数）
女は「人生の不良債権、北朝鮮、金メッキを施したゴキブリ」
社会的に男女は対等で平等。男が女を養ったり守る必要はない「見切れ！見切り千両！私不幸なの？嘘！泣いてます？演技！情けは不要！つけこまれるぞ」
女は社会的優遇、過剰な法的保護、仕事と家庭の二束のわらじを得て、女尊男卑〜結婚しようとする君を彼女は陰で小馬鹿にしている事でしょう〜

★結婚は保留し、沢山の女性と自由に恋愛（sex）を楽しめ♪★避妊必須
★捨てた女は優しい真面目男が結婚（残飯処理）してくれるさｗ★

それでも結婚する君へ究極護身法→[夫婦財産契約登記]
夫婦財産契約により、自分の稼いだ財産はすべて自分の物
離婚時に財産の半分を配偶者に取られない

弱い者いじめは最低と言いつつ、赤ちゃんを殺す母親（そして無罪判決（笑
狙撃は女子のほうが強い。男は、ノイローゼになってやめてしまうが
女は何人殺してもノイローゼにならない。そして、骨盤が安定しているため

ナチスの拷問で、女の拷問の残虐非道さを見て、拷問をしていた男達もひいたという
拷問しながら楽しそうに笑みをうかべていたそうだ。罪悪感や引け目が無い

・有史以前が女尊男卑の時代だったことを指摘したのは、スイスの学者バッハオーフィン
アマゾン女族の女王は、法律を定め、男達には卑しい奴隷の仕事を課した
男児が生まれたら、生き埋めにするか、脚と腕を不自由にして、戦えなくし奴隷とした
・王位継承権が女性にだけあった古代エジプトでは女性権力が非常に大きかった
・日本でも卑弥呼が女王
http://kr.img.dc.yahoo.com/b1/data/dci_etc/76.wmv ←女集団が、女一人をリンチしている動画（執拗に蹴り続けながら皆楽しんでる

女は虐げられてきた？父系社会など人類の歴史から見ればほんのわずかな期間に過ぎない。むしろ・・

フィルターの設定で
LANからWANでたUDPの帰りのパケットを自動的に通信許可してくれるような設定は無いものでしょうか?

動的フィルタ設定すれば良いんじゃないか

漏れ、業務用ルータの設定なんて初めてなんだが、この
動的フィルタって、他のルータとかでも一般的な機能なんですか？
便乗ｽﾏｿ

家庭用だとついてる
データセンタで使うような物にはついてないことが多い

動的フィルタ＝セッション追従を行う＝セッション情報をルータ内で記録する必要がある。
ので、冗長化・負荷分散の際に制約になるんよ
帰りのパケットが同じルータを通る必要があるからね
最初からそんな機能付けずに、スループット上げた方が嬉しかったりするわけ。

>>296
�d

運用自体は問題なく言っているのだが物凄い気持ち悪いことがあるので質問させてください(;´Д`)
使用しているルーターは全部RTX1100です。
まずルーターが西日本にA,B,C,Dの4つがあります。
東日本にはA'の1個だけ。
AはA'にIPSec相互接続＋B,C,Dにフレッツグループ接続。
B,C,Dはそれぞれ相互フレッツグループで繋がってます(A'には繋がってません)。

この状態でAからB,C,D,A'全てにPINGが通りません。
またそれぞれのルーターの下にぶらさがるPCに対してもPINGが通りません。
しかしAの下にぶら下がるPCからはB,C,D,A'にPINGが通り、その下のPCにもPINGが通ります。
ルーターB,C,D及びその下のPCからルーターAにはPINGが通ります。
ルーターA'からは全てのルーターにPINGが通らず、各ルーターにぶら下がるPCにも通りません。
しかしA'にぶら下がるPCからは全てのPINGが通ります。

PINGが通らない部分はどんな原因（可能性）で通らなくなっているか解る方いますかね？
PCからのやり取りは全て問題ないので直す必要も無いと言えばないのですが、
ルーターからのPINGのみ一部全然通らないことが気持ち悪くて('A`)
ちなみに帯域を測る機能もうまく動かないので、この辺が関係しているんじゃないかと思ってます。

>>298
書いた方がよさげなもの：
・ネットワークの構成図(プライベートアドレスで作っているならIPアドレスは全部書いても大丈夫なはず)
・ルータは複数のIPアドレスを持つはずだけど，どこのアドレスに向かってpingを打っているか
・tracerouteの結果
・フレッツ・グループはトンネル掘ってるのか，IPアドレスの払い出しを受けているのか

個人的な予想
・ルータからping打つときトンネルの中を通してる(始点IPアドレスはどこよ)？

東日本の人間なので，フレッツ・グループについて理解してないかもしれない点は
先に謝っておきます。

>>299
pingコマンドの始点IPアドレスを指定したら問題なくping通りました。
打ったIPはグループで払い出されたIPからIPへ（ローカル）。
tracerouteコマンドは始点IPを指定できなかったので、1発目から応答なし。
グループ内は宛先がグループ内に割り振られているIPであればトンネルなし。
グループ内からグループ外はipipでグループにトンネル掘ってます。
各ルーターはグローバル(IPn契約及びDHCP混在)とローカルの両方のIP持ってます。

pingとかtraceroute通せないのがIPSec貼っていルーターだけなんで、
IPSec周りの設定が怪しいのですかね(;´Д`)

IPマスカレードの設定について教えてくださいませ

rtx1000 8.01.20 つかってます
PPPoEでIPを１個もらっていて、Webサーバーを公開したい。
とりあえずフィルタは全部通し、外と通信できる状態にはなった。

LAN1のIPの設定はこんな感じ。
ip lan1 address 192.168.0.1/24

そしてIPマスカレードの設定を入れてみたんだけど

ip pp nat descriptor 1
nat descriptor type 1 masquerade
nat descriptor address outer 1 **.**.**.**
nat descriptor address inner 1 192.168.0.2
nat descriptor masquerade static 1 1 192.168.0.2 tcp www

これで、アクセスができない。

httpd host 192.168.0.3

ってやって、ブラウザで外経由でアクセスしたら、ルーターの基本認証がでてしまう。
これってまったく設定が効いてないんですよねきっと。

何か足りない設定ありますでしょうか？

> nat descriptor address inner 1 192.168.0.2
> nat descriptor masquerade static 1 1 192.168.0.2 tcp www

よく見直せ馬鹿

> 302
すいませんです
見直してもわからないです

下記ページの設定例を参考にしたのですが！

http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/example/11.html#masquerade-nat
> nat descriptor address outer 1 133.176.200.200
> nat descriptor address inner 1 192.168.0.2
> nat descriptor masquerade static 1 1 192.168.0.2 tcp www,https

どこがまずいのか教えていただけないでしょうか？

>301

nat descriptor address inner 1 192.168.0.2

を削除するといけるはずです。
ただ理由があって inner させたいというのであれば、
もう一度設定例と睨めっこした方がいいですね。

http://netvolante.jp/solution/int/case4.html も参考にどうぞ。

> 304
レスありがとうございます！

もともとその設定で試していたのですが、それでもルーターのwwwに
アクセスしてしまっていたので、>301 の設定をしていたのでした。

いただいたURLを参考にしながら現在も格闘中です。
最終的にはこういうネットワーク構成にしたかったので、非常に
ありがたいです！

>305
ルータのWeb機能を有効にしているのであれば、
ルータ自身のHTTP Listen Portを80以外にしないとどうやっても
ルータに着信してしまうかも知れませんね。

Web管理使わないなら httpd service off を1行加えてみて下さい。
お使いのファームウェアだとデフォルトonらしいので･･･。

>>306
そんなことないと思う。
うちは同じく PPPoE でグローバル IP アドレスを固定で 1 個もらって
Web サーバを運用している。RTW65i で、だけど。

>307
むむ、そうでしたっけ。

なんだろうなぁ…(´ω｀)。

> 306
現状の設定のまま、外部からアクセスしてもらったら、無事見れたとのこと。
なので、外部への公開はできていた。

でも、内部からのアクセスは、ルータにいってしまう。

で、httpdを止めてみたら、ページが表示できませんと出ました。

YAMAHAって内部から外部IPにアクセスしても、普通にルーティングされる
もんだと思っていたんだけど、どうなんでしょう？

そして新たな問題が。お助けくださいませ。

なぜか簡単にPPPoEが切断されてしまう。
再接続はできるんだけど、外部にpingが届かないのです。

設定は下記です。

pp select 1
pp always-on on
pppoe use lan3
pp auth accept pap chap
pp auth myname *** ***
ppp lcp mru on 1454
ppp ccp type none
ip pp address **.**.**.**/32
ip pp mtu 1454
ip pp nat descriptor 1
pp enable 1

Help me...
気晴らしにオナニーします

>>310
PPPoE 切断の件はルータ関係ないんでないの？

> 311
そんな気もするのですが、いままで使ってたルータにしたら正常に動くので
自分の設定のせいかなとも思ったり。

もう一度チャレンジしてみます

>>312
じゃ
pppoe auto disconnect off
とか、どうだろう。
うちの RTX1100 にはこれ入ってた。デフォルト on だし。

うちはouterの設定とかしてないけど、IP固定だと必要なのかな？

> 313
何度もありがとうございます。
pppoe auto disconnect off は試してみましたが、変わらずでした。
今はPPPoE認証を通るけど、外にアクセスできない状況です。
全部通しているのですが…

ip route default gateway pp 1
ip lan1 address 192.168.0.1/24
pp select 1
pp always-on on
pppoe use lan3
pppoe auto connect on
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname ****** ******
ppp lcp mru on 1454
ppp ccp type none
ip pp address **.**.**.**/32
ip pp mtu 1454
ip pp secure filter in 1
ip pp secure filter out 1
pp enable 1
ip filter 1 pass * * * * *
nat descriptor type 1 masquerade
nat descriptor address outer 1 **.**.**.**
dhcp service server
dhcp scope 1 192.168.0.3-192.168.0.254/24
dns server **.**.**.**
dns private address spoof on

で、あやしいのが、web管理画面にアクセスした時に、ページが切り替わる度に基本認証が出る。セッション切れてるんすかね〜
おたすけを！とりあえずオナニーします。本日５回目

> 314
レスありがとございます。
試してみます。
オナニー前に

>315
って、staticの設定消えてる？
nat descriptor masquerade static 1 1 192.168.0.2 tcp www
これは必須だよ

> 314
だめでした…

ていうか昨日とか今日の夕方くらいまでつながってたのに。
cold startしてから設定しなおしてからおかしくなった。

PPPオプション
LCP Local: Magic-Number MRU, Remote: CHAP Magic-Number MRU
IPCP Local:, Remote: IP-Address
PP IP Address Local: *.*.*.*, Remote: ***.***.***.***
CCP: None

外部からpingしてもらったら、Local IP Addressは届かないけど、
Remote IP Address には届いているそうなんです。

で、中からRemote IP Addressにはping届かない。
でも認証できてる。

ってところで、フィルタとかIPマスカレードの設定なんではと思って
・フィルタ全許可
・IPマスカレード
nat descriptor type 1 masquerade
nat descriptor address outer 1 **.**.**.**
nat descriptor address inner 1 auto

とかやってみたけど、何をしても通らず…
くっ 自慰します

> 317
うわあああ
てんぱりすぎてものすごいミスを…
設定してきます
自慰前に

あと
ip pp nat descriptor 1
も必要でしょ

> 317
あ、すいません
それはわざとはずしているのでした。
いま普通につながらないのです。

> 315 の設定で、外部につながらない状況なのです。
なにか足りないものありますでしょうか？

> 320
げふっ
それだ…
ほんとありがとうございます
しごいてる場合じゃない

う〜ん やはりだめでした…
下記設定なのですが、つっこみどころがあったらお教えくださいませ。

ip route default gateway pp 1
ip lan1 address 192.168.0.1/24
pp select 1
pp always-on on
pppoe use lan3
pppoe auto connect on
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname ****** ******
ppp lcp mru on 1454
ppp ccp type none
ip pp address **.**.**.**/32
ip pp mtu 1454
ip pp secure filter in 1
ip pp secure filter out 1
ip pp nat descriptor 1
pp enable 1
ip filter 1 pass * * * * *
nat descriptor type 1 masquerade
nat descriptor address outer 1 **.**.**.**
dhcp service server
dhcp scope 1 192.168.0.3-192.168.0.254/24
dns server **.**.**.**
dns private address spoof on

もう一度最初からやってみる…

>>323
駄目だったってどっちが？
ウェブアクセスの方？　PPPoE の方？　どっちも？

>323
さくっと設定例みて作ってみましたけど、
こんな感じのはでどうでしょ(とりあえずフィルタはおいといて)。

デバックするなら console info on をすると何で引っかかっているか
わかりやすいかもです。

ip lan1 address 192.168.0.1/24
pp select 1
pppoe auto disconnect off
pp always-on on
pppoe use lan3
pp auth accept pap chap
pp auth myname (ISPに接続するID) (ISPに接続するパスワード)
ppp lcp mru on 1454
ppp ipcp msext on
ip pp mtu 1454
ip pp address (グローバルアドレス)
ip pp nat descriptor 1
pp enable 1
ip route default gateway pp 1
nat descriptor type 1 masquerade
nat descriptor address outer 1 (グローバルアドレス)
nat descriptor masquerade static 1 1 192.168.0.2 tcp www

dhcp service server
dhcp scope 1 192.168.0.3-192.168.0.254/24

dns server pp 1
dns private address spoof on

RTX1100あたりの後継機って出ないのかねぇ。
RTX1500は高いしPPTP使えないし。

#アク禁になってたので携帯で…

> 324
いつもお世話になってます。
PPPoE認証で失敗はありません。
ウェブアクセスというか、自分のIPの上（プロバイダIP）へのアクセスが不能な状態です。

> 325
ありがとうございます。
しかし、いただいた設定でもだめでした…
でもconsole info on でわかったことがちょっとありました。

2006/01/15 03:15:22: PPPOE[01] Disconnected, cause [No error.]
2006/01/15 03:15:22: PPPOE[01] Connecting to PPPoE server
2006/01/15 03:15:22: PP[01] IP Commencing: TCP 192.168.0.2:2906 > 24.242.55.189:
48686 ← どこ？
2006/01/15 03:15:25: PPPOE[01] PPPoE Connect
2006/01/15 03:15:26: PP[01] PPP/IPCP up

2分ごとに切断されて、すぐつながる を繰り返しているみたいです。
もちろん pppoe auto disconnect off の設定はされています。
試しに、
pp always-on off
pppoe auto connect off
pppoe auto disconnect off
とし、手動接続、切断を繰り返しても、同じく接続後２分で切れてしまう状態です。
ご助言お願い致します！

RTA55iで質問です。
WiiとDS同時利用や、複数台のPCでMSN用のﾎﾟｰﾄを開放したいのですが
複数のIPアドレスに、同じポートは開放できませんよね。
そうなると、複数の接続先を、同じIPアドレスにするしか無いのでしょうか？

でも、DHCP予約は、複数のDHCPスコープで同一IPアドレスを含める事が出来ない旨が
コマンドリファレンスに書かれていたので、設定出来ません。

この場合、どうすれば良いでしょう？

すみません。コンシューマー用ルーターはスレ違いでした。
取り下げて移動します。

>327
PPPoE設定の部分は普段私もよく使う設定なんですけどね…。


コンフィグというより、プロバイダやNTTに確認した方が良いかもです。
※フレッツスクエアに繋がるならNTTは関係なさそうですけど。

>372
NATやめてNAPTにすれば解決。

> 330
せっかくご助言いただいたのにすいませんです。
ルータを変えたら（RTA55i）ちゃんとつながるので、プロバイダとかのほうは
問題なさそうなんですけどね。
YAMAHAに問い合わせてみましたので、何かわかったら報告させていただきます。

> 331
NAPTってIPマスカレードですよね？
現状それでやっております。

おはようございます。
ひさびさに見ましたが、特に動きはなかったんですね。

先週末にばたばたと質問ばかりさせていただき、ご対応いただいた方々には
非常に感謝しております。

経過報告 というかもう結果報告なのですが、

YAMAHAに問い合わせをし、接続自体は今朝できるようになりました。
なぜ解決に至ったのかがまだ調べられていないので、後ほど調査し、
また書き込みしようと思います。

>325殿の設定に加え、
pp select 1
ppp ipcp ipaddress on
ppp ipv6cp use off
pp enable 1

を追加して解決に至りました。
とりあえずご報告まで！
重ね重ね、レスいただいた方々ありがとうございました！

pptp接続は確立するのに、その後すぐ切断されてしまいます。
ネットワーク接続のpptp接続の状態-動作状況を見ると、バイト数のところが受信350のまま動かず、送信だけが増え、最終的に毎回2400ほどで止まります。
もちろんpingも通りません。
ルータのログを見ると、remote address192.168.254.10で確立後、ＴＣＰセッションがどうもおかしいらしく、ＦＩＮとＲＳＴが何度か飛び交っていました。
natテーブルに該当しないパケはrejectされてＲＳＴが返される設定にはなっていますが、natの設定は何がおかしいのか分からず・・・

窮して使い方の良く分からないEtherealも使ってキャプチャしてみると、TCP segment of a reassembled PDUが起きていました。
あと、終始192.168.1.1(ルータ)-192.168.1.10(pptpテスト機)の間でicmpパケがport unreachableになっていました。
ルータ側からのｐｐｔｐ　echo-requestにはちゃんとreplyを返しているのですが、おそらくタイムアウトで最後はローカル側から
stop-control-conection-requestを出して、ルータ側がreplyを返して通信ＥＮＤ。
何がなんだかさっぱりです。。。

自分でやった事
ルータのフィルタ全解除、Windowsファイアウォールの無効化、ip pp intrusion detectionの全解除、ip pp mtu 1280→1080
nat descriptor masquerade ttl hold auto→all

以降、設定晒しますので、何かお気づきの事があればご助言頂きたい・・・・・・・・・・

ip route default gateway pp 1
ip route 192.168.101.0/24 gateway tunnel 1
ip filter source-route on
ip filter directed-broadcast on
ip lan1 address 192.168.1.1/24
ip lan1 proxyarp on

pp select 1
pp always-on on
pppoe use lan2
pppoe auto connect on
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname ISP-IDxxxxx *
ppp lcp mru on 1454
ppp ipcp msext on
ppp ccp type none
ip pp address 固定ＩＰ/32
ip pp mtu 1454
ip pp secure filter in 1 2 3 4 5 6 7 8 9 10 11 12 14 15 16 17 18
ip pp secure filter out 6 7 8 9 10 11 100 101 2000 dynamic 100 101 102 103 104 105 106
ip pp intrusion detection in on reject=on
ip pp intrusion detection out on
ip pp intrusion detection out winny on
ip pp intrusion detection out default off
ip pp nat descriptor 1
pp enable 1
pp select anonymous
pp bind tunnel10
pp auth request mschap
pp auth username id pass
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type mppe-any
ip pp remote address pool 192.168.254.10-192.168.254.20
ip pp mtu 1280
pptp service type server
pp enable anonymous

tunnel select 1
ipsec tunnel 101
ipsec sa policy 101 1 esp 3des-cbc md5-hmac
ipsec ike keepalive use 1 on
ipsec ike local address 1 192.168.1.1
ipsec ike pre-shared-key 1 xxxxxxxxxxxxx
ipsec ike remote address 1 any
ipsec ike remote name 1 xxxxxxx
tunnel enable 1
tunnel select 10
tunnel encapsulation pptp
pptp keepalive use on
tunnel enable 10
ip filter 1 reject 10.0.0.0/8 * * * *
ip filter 2 reject 172.16.0.0/12 * * * *
ip filter 3 reject 127.0.0.1 * * * *
ip filter 4 reject 192.168.1.0/24 *
ip filter 5 reject 固定ＩＰ * * * *
ip filter 6 reject * * udp,tcp 135 *
ip filter 7 reject * * udp,tcp * 135
ip filter 8 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 9 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 10 reject * * udp,tcp 445 *
ip filter 11 reject * * udp,tcp * 445
ip filter 12 pass * 192.168.1.0/24 icmp * *
ip filter 14 pass * 192.168.1.1 udp * 500
ip filter 15 pass * 192.168.1.1 esp
ip filter 16 pass * 192.168.1.1 tcp * 1723
ip filter 17 pass * 192.168.1.1 gre
ip filter 18 pass * 192.168.1.0/24 established * *
ip filter 100 reject * 192.168.1.0/24 * * *
ip filter 101 pass 192.168.1.0/24 * tcp * 22

ip filter 1000 reject * *
ip filter 2000 pass * *
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * filter 101
ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp
nat descriptor log on
nat descriptor masquerade ttl hold auto
nat descriptor type 1 masquerade
nat descriptor masquerade incoming 1 reject
nat descriptor masquerade static 1 1 192.168.1.1 udp 500
nat descriptor masquerade static 1 2 192.168.1.1 esp
nat descriptor masquerade static 1 3 192.168.1.1 tcp 1723
nat descriptor masquerade static 1 4 192.168.1.1 gre
ipsec auto refresh on
dns server pp 1
dns private address spoof on
pptp service on
upnp use on

以上、tunnel2〜6などの一部は削った設定ですが、よろしくお願いします。

ファームウェアリビジョンは？

肝心なこと忘れてましたね(´д｀；)

RTX1100　Ver 8.03.46です。

うちのはRT57iのWebで設定したのだけど、
tunnel 10の設定の中にpptp tunnel disconnect time offとかいうのが入っとるよ

>>340
ありがとう。
でも、早速試しましたがダメでした。。。。

>>340
関連なさげだけど…

RT57iのPPTPでanonymousで接続出来るのに、LAN間接続が出来なくて、泣きついたら

ip lan1 address 192.168.100.1/24
ip lan1 secondary address 固定/29

で、接続はNATのouterにして試してくれと教わり、試したらあっさり繋がった。
理由が全くわからん…(だれか解説プリーズ！)
上手く行かなかった時の設定はprimaryとsecondaryのアドレス空間が逆

RT107e で質問です。

上記機器のVLANトランクポートと、接続実績のあるL2Switchをご存知の方は
ご教授下さい。要件は以下。
■もちろん８０２．１ｑが可能な機材
■８ポート　で十分
■FastEther　で十分
■パフォーマンスは重視しない
■出来るだけ安価、新品で入手できるもの

何方かいらっしゃいませんか？

大人なのでスルーして、
solitonのは？

>>344
しゃてー知ってる？

もしかしてｐｐｔｐでルータに割り振ってる固定IPに接続しても、
ルータ傘下のプライベートIPの機器(サーバ)とは通信できない仕様なのだろうか・・・・・・・

ルータで止まってサーバまでパケット通ってないのかもしれないので、とりあえずnatの勉強からやり直します。

>>346
それ意味ないじゃん

>>347
？？？
とりあえずｐｐｔｐで固定振ってるルータにはつながるけど、LAN内のサーバにつながらないから、
natの基本から勉強しようかと。
何らかの理由でサーバまでパケット届いていないのが原因かと思い、まずはnatが近いかなーって思ったんだけど。
それが意味ないってこと？

案外何か思い違いしてるかもしれないし、勉強不足な初心者なので、何か糸口でもつかめないものかと。
全く違うケースだけど、nat descriptor masquerade staticの、masqueradeを削除したら繋がったとかいう例もあるし・・・。

>>348
それ意味ないじゃんってのは
> もしかしてｐｐｔｐでルータに割り振ってる固定IPに接続しても、
> ルータ傘下のプライベートIPの機器(サーバ)とは通信できない仕様なのだろうか・・・・・・・
ってとこ。そんな仕様だったら、VPN使い道ないじゃん。
ルータとだけ通信できる仕様なんてあっったとして、一体何に使えるんだ？
ってこと。

>>348
多分フィルタで止まってるんでしょうね。
フィルタのログになんか出てないでしょうか。

前から気になってたんだけど、RTX1100で
login password encrypted *
administrator password encrypted *
login user hoge *
user attribute administrator=off connection=serial,telnet login-timer=60
user attribute hoge administrator=on connection=all login-timer=300 multi-session=off
みたいに設定していると、Web Assistanceにログイン出来なくなるんだけど、なんでだろう。
hogeのIDとパスワードを入れても駄目。IDなしでも駄目。
勿論、認証プロンプトは出るし、パスワードエラーの画面も出るから
サービスもオンだしフィルタもかかっていない。

http://www.rtpro.yamaha.co.jp/RT/docs/sshd/index.html
によると、ユーザ名はかんたん設定ページでの接続に使用出来るって書いてあるから
IDありで出来ると思うんだけど…　無名ユーザをconnection=allにしても駄目だし。
「かんたん設定ページ」（107e）は出来るけど「Web Assistance」（107e以外）は駄目なんだろうか。

>>350
フィルタはIN/OUT同時にOFFにしてもつながらなかったので違うかなと。

それより、まったくの勘違いを発見。
pptpサーバって、ルータではなく、アクセスしたいプライベートIPの機器の事だったようで。
nat descriptor masquerade static 1 3 192.168.1.250 tcp 1723
nat descriptor masquerade static 1 4 192.168.1.250 gre
に変更して、自宅帰ってから接続試してみます。
職場に環境がないのがイタイ・・・・。

>>351
Web Assistanceはadministrator=offではダメだった気がする。
Web Assistanceって、最初から完全なadmin権限行使できるし。
当てずっぽうに言ってるので、文責は352に託した。

・・・・・・・・・・・・・・・・・・・・・。

自分が352だった罠orz
敢えて言おう、俺乙であるTO！

>>352
hogeはadministrator=onだし、無名ユーザをadministrator=onしても駄目だった。
encryptedなpasswordが駄目なのかと暗号化しなくても駄目。

http://www.rtpro.yamaha.co.jp/RT/docs/sshd/index.html
の機能が追加されて、その設定をする前まではWeb Assistance使えてたから
この機能のどれかが悪さをしているんだと思うんだけど…

>351
login password と admin.. password を合わせないとダメとかじゃないかな

>>355
login password
administrator password
login user hoge
は全て同じパスワードになってます。全てencryptedですが。

そういえば、RT107eのWeb画面から無名ログイン禁止にチェック入れて、
login userを設定したんだけど、何故かコマンドからID・パスなしで入れるようになってしまった。
何かの拍子にエンター3回叩いたらログインしてしまって、慌てて修正したのを思い出した。

繰り返し読み返すと、やっぱりｐｐｔｐサーバはルータの事だった。。。
しかもpptpつないでるときにネット自体繋がらなくなって、ipconfig見ると
PPP adapter のIPconfig
IP Address. . . . . . . . . . . . : 192.168.254.10
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . . . . : 192.168.254.10

ﾅﾝﾀﾞｺﾚﾊ
サボるの大好きな俺でも、さすがに何日もこれ以外ロクに仕事できないと・・・・・・・・

rt100i-usersでプロジェクトフォンの質問をして返事はあるのか？
スレ違いならぬML違いでは？と思ったが。。。

つながった・・・・・・・・・・！
新しいノートPC設定してたら無線電波拾ったので、ちょっと拝借した。
（「繋いでいい？」ってボタン押したら、何も言わずに受け入れてくれたので、不正アクセスではないと信じている）

特に設定変えていないから、もしかしたらプライベートIPアドレスが関係してるのか・・・・
自宅のプライベートIP変えて、またテストしてみる。

>>359
ｲﾏ登録ｼﾃｷﾀﾖ。

>>360
レスくれた方々へお礼も言わず。訳分かんない内容の連投。
続きは自分の誰も読まないblogでやってくれ。

>>361
ああ・・・そうですね。
仰るとおりです。申し訳ありません。
自分のことで必死になって、相談というより一方通行の報告というか独り言（愚痴？）になってました。

まだ解決を確認できた訳ではありませんが、ちょっとでも一緒に考えてくれた皆さん、
遅ればせながらありがとうございました。

cifs に最適化するようなチューニングありますか？
wan越しだと遅くなるようですが。

YAMAHAのルータでCIFSを高速化できるかと言えばそれは無理。
どうしてもやりたいなら，WAN高速化装置を買うしかないが，非常に高価。

また，Windowsのレジストリをいじっても無理です。

ただし，Vistaで搭載されたSMB 2.0なら，WANのような遅延の大きな
ネットワークでもパフォーマンスが出るようです。

PPTP接続で、セッションも確立しているのに、LAN内のサーバにアクセスできない。pingも届かない。

訳分かんないトラブルの原因は、プライベートIPアドレスの衝突でした。
リモート先のプライベートIPと、PPTPクライアント側のプライベートIPのネットワークアドレス部分が同じだと
通信できません（IPsecも同様)。

分かってしまえば「そんなの当たり前。バカじゃねーの？」だけど、
一応参考までに報告しておきます。

>>364
サンクスです。
webdavでも使おうかと思いますが、ファイルロックがうまくいくのか
ネットワークドライブに割当てらるのか不明なので調べてみます。
最悪wan越しでファイル共有するのはあきらめてターミナルサービス
でも使おうかしら・・・・

svnでもつかったら？

>>366

WebDAVってステートレスなプロトコルだから，ロックは無理だと思うが。

ネットワークドライブへの割り当ては可能。ただ，エクスプローラとWebDAV
はいろいろとトラブルというか不具合が多くお勧めしません。

CIFSで遅いといってもサイトが国内間で両サイトとも光ファイバで接続
されていれば，充分なスループットが得られると思うが。

>WebDAVってステートレスなプロトコルだから，ロックは無理だと思うが。

いつの人ですか?

# まともに実装があるのかとかは良くしらんけど

まともな実装が無いなら意味無くね？

SIP-NATでNTTのVG400とVG210が使えました。
以上報告

結局シスコ買えない故の妥協だよね。
何かガンバっても後ろ向きで激しく鬱。

SIPもコールマネージャのほうが便利で、シスコ謹製IP電話もかっこいいしねえ。

そりゃ、高い授業料払ってCCNA取っちゃったら、シスコ製品が普及してくれないと困るもんな

ヤマハの免許作れば良いんじゃね？
船舶４球ぐらいなら持ってるとかさ。

CCNAなんて今となっては一昔前の死すアドみたいになってるし
どちらかといえば船舶４級持ってるほうが、ネタにもなるから採用に
有利に働くかもよｗ

OP25B対応をしたいのですが、メールサーバの設定をすぐに変えられないので
ルータ側でとりあえず25/TCP→587/TCPに変換して対処しようと考えています。
NATディスクリプタでどういう設定をすれば良いでしょうか？
ご存知の方がいましたら、ご教示お願い致します。

nat descriptor masqurade static 1 10 mail-severのIP tcp 587=25

違ったらｽﾏﾝ

マルチホーミングで質問があります。

ISP１とISP２にPPPoEで接続していて
ip route default gateway pp 1 gateway pp2 とした場合

ISP１からの通信はISP1へ、ISP２からの通信はISP２へ戻るのは
わかるんですが、lan1から外部への通信はどうなるんでしょうか？？

tracerouteすると不思議な結果が返ってくるんで・・・。

初歩的な質問で申し訳ありません。

RTX1100 の config ファイルで、

pp saletct 1
pppoe use lan2
pp select none

のようにして保存してロードすると、

pp saletct 1
pppoe use lan2

のようになってしまいます。

ファイル全体を検索しても、「pp select none」 が存在しないわけですが、
そのまま設定ファイルをアップロードした場合、何処までが pp1 の設定範囲として扱われてるのでしょうか？

スペースでのインデントが入っているので、スペースでのインデント終了までが範囲という解釈でよろしいでしょうか？

ご教示いただけたら幸いです。

RTXシリーズの管理支援機能(Web)についての質問です

LAN1 … LANに繋げる
LAN2 … インターネットに繋げる

とします。

ファイアウォールメニューについてなのですが、

種別: PPPoE
設定名: PP1/LAN2

と

種別: Ethernet
設定名: LAN1

で、それぞれ、インターネットから来るパケットが方向 「入」 になるのか 「出」 になるのかが分からないんです


インターネットを外の世界と考えれば、インターネットに行くパケットは 「出」 であり、
インターネットから来るパケットは 「入」 です。
それぞれの差込口を基準として、ルータの中を中の世界と考えれば、ルータに入ってくるパケットは 「入」 であり、
その差込口から、出てくるパケットは 「出」 です。

前者と後者で解釈が全くかわっちゃうので困ってるんです；；

煽りたくなったが辞めとこう

答える気しないので他の人ヨロ

>>379
次の pp select が出てくるか、tunnnel select が出てくるまでじゃない？

>>380
「前者と後者」は言及してる範囲が違うだけで、大体同じ意味です。

>>382
回答ありがとうございます。

自分の解釈だと、

> インターネットを外の世界と考えれば、インターネットに行くパケットは 「出」 であり、
> インターネットから来るパケットは 「入」 です。

だと、パソコン視点で言うインバウンド接続は、LAN1 でも LAN2 (WAN) でも 「入」 ですが、

> それぞれの差込口を基準として、ルータの中を中の世界と考えれば、ルータに入ってくるパケットは 「入」 であり、
> その差込口から、出てくるパケットは 「出」 です。

だと、LAN2 (WAN) で 「入」 だけど、LAN1 で 「出」 になっちゃうんです。。。
ルータが自ら外に出すパケットですから…。

じゃあ
・パソコンで言うI/F ≒ RTXの各Lan N ってI/F
・パソコン本体 ≒ ルータ本体
って考えれば良いんじゃない？

> だと、LAN2 (WAN) で 「入」 だけど、LAN1 で 「出」 になっちゃうんです。。。
大まかに言うと、WAN側のINはLAN側のOUTから出てくるよね。

>>380
参考になるかな？
http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html#remote-router-packet-filter

インバウンド
アウトバウンド
ルーティング

ハイ完結。

>>384
なるほど。
分かりやすい解説ありがとうございます m(__)m
納得しました。

つまり、WAN から LAN に来る不正なパケットを排除するには、
3つの方法があるということですね。

●その1 … WAN から入ってくるパケットのみに有効
pp select 1
　ip pp intrusion detection in on reject=on　# WAN から 入ってくるパケットを検査
pp select none

●その2 … LAN I/F に入るパケット全てに有効なので、LAN から LAN へのパケットも検査対象。勿論 WAN から LANも。
ip lan1 intrusion detection in on reject=on　# ルータの LAN I/F に入ってくるパケットを検査

●その3 … LAN I/F から出て行くパケット全てに有効なので、LAN から LAN へのパケットも検査対象。勿論 WAN から LANも。
ip lan1 intrusion detection out on reject=on　# ルータの LAN I/F から出て行くパケットを検査

LAN の 1つのマシンがワームやトロイに感染したことを考えれば、【その2】 か 【その3】 ですよね。
入るとき、出るとき、どっちがいいのかは悩みますが、(てかどっちでも同じことですが)
Webプログラミングでのhtmlタグのエスケープ処理にセオリーに従って、とりあえず、【その3】 でいってみます。

このファイアウォール機能がどうなってるかは調べてないので、Windows 標準のファイル共有がどうなるのか等は分かりませんが、
とりあえずやってみます。

>>385
参考になりましたー。

>>386
は、はいっ！

はっ。
とんでもない誤解をしていました。

>>385 の URL を見てみたところ、
IPルーティング と LAN の間に、IPフィルタ (ip lan secure filter) があるではいですか。

正しくは、>>387 の 【その1】 【その2】 は WAN から LAN へのパケットのみ有効で、
【その3】 は WAN からの攻撃に完全に無力ということになりますね。(※1)

こ、このままだと危険ですた(´･ω･`)

早急に、【その2】 に変更しました。


※1
意味あるとすれば、踏み台にされた時に攻撃パケットを WAN に出さないという意味がありますね。

あう、>>388 も間違いだったー。

WAN から LAN のパケットは、IPルーティング と [LAN] の間のフィルタで、LAN側に 「出」 のパケットなわけだから、
【その3】 が正しかったわけですね。

つまり、WANからの攻撃を防げるのは、

pp select 1
　ip pp intrusion detection in on reject=on　# WAN から 入ってくるパケットを検査
pp select none

と
ip lan1 intrusion detection out on reject=on　# ルータの LAN I/F から出て行くパケットを検査

ですね。

くだらない質問でスレ流して申し訳なかったです。

http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/VU102014.html についての質問です。

Optimistic TCP acknowledgements の脆弱性 (TCP の脆弱性) へのルーター側での対策は、非常に難しいと思われますが、
YAMAHA のルーターでは、どういった対策をしたのでしょうか？

他社では、製品側では、この脆弱性に対する対策を行わずに、Webアプリケーション側での対策 (SSHで認証するとか
不特定多数にアクセスを開放しないとか) や 特定のIPアドレスのパケットしか受信しないとうにするとか、運用で回避しろという
ドキュメントを公開しています。

http://www.allied-telesis.co.jp/support/list/faq/vuls/20051111.html
http://www.furukawa.co.jp/fitelnet/topic/ack_attacks.html
http://www.seil.jp/seilseries/news/snote/_snote_20051116_01.html

もしご存知でしたら、教えていただけるとうれしいです。

>>390
optimistic ACKを受信するとスロースタートまで無条件に戻す。って感じ。

WANからローカルIPでアクセスする ip spoofing 対策で、次のようなフィルタを書いてみました。

ip lan1 secure filter out 10 11 12 13
ip filter 10 reject-log 10.0.0.0/8
ip filter 11 reject-log 172.16.0.0/12
ip filter 12 reject-log 192.168.0.0/16
ip filter 13 pass-nolog *

すると、LANからWANにアクセスできないばかりか、ルーター自体に telnet でログインすることすらできなくなりました。
そして、シリアルコンソールで no ip lan1 secure filter out をしたらネットワークが復旧しました。

何故正常に送受信することができなくなるんでしょうか？

自己解決です
良く考えたら IPマスカレード で送信元がローカルIPになるんでした

あ、WANからのパケットが全部拒否されるのはIPマスカレードの仕組み上当然なんですが
ルーターへの telnet ができないってのはなんでなんでしょう…。

ルーター本体のIPアドレス 192.168.0.1 に接続しているわけなので、同じLAN内であって、
http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html#remote-router-packet-filter の
フィルタはかからんような…

自分自身の扱いだけ特殊なのかな；；

侵入検知機能 (ip interface intrusion detection direction switch [option] 等) がRTXシリーズにありますが
これは具体的にどのような攻撃を検知できるのでしょうか？

マニュアルみても「指定された向きのパケットについて侵入を検知する。」ぐらいの説明しかなく、
ドキュメントも見つかりませんでした。

ご存知でしたらお願いします

>>395
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html

>>395
ttp://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html#section3

RTX1100でlan1：192.168.0.1/24、lan2：wan（pppoe）
lan3：DMZ xxx.xxx.xxx.200/29のような形で設定を行っているのですが
DMZのサーバーが公開できません。

サーバーはグローバルIPをifcfgで振っているのですが
もしかしてサーバー自体にはプライベートアドレスを振って
RTXでNATでグローバルに変換しなければいけないとかでしょうか？

RTXの設定は下のリンク、ほとんどそのままなのですが。
http://netvolante.jp/solution/int/case4b.html

初心者丸出しで恥ずかしいのですが、大変困っております・・・・
分かる方いましたらヒントだけでもいいので教えていただけると助かります。
よろしくお願いします。

そのページに答え書いてあるじゃねーか

内部DNSサーバ(192.168.100.200)があります。
こいつは、インターネットへはISPのDNSを参照しているのですが、
フィルタでDNS responseを弾いてしまっています。
ログをみると下記のようになっています。

PP[01] Passed at OUT(110) filter: UDP ルータ固定IP:53 > IPS/DNS鯖IP:53 (DNS Query [xxxx.com] from 192.168.100.200)
PP[01] Rejected at IN(default) filter: UDP IPS/DNS鯖IP:53 > 192.168.100.200:53 (DNS response)

フィルタは概ね以下の様になっています。
ip filter 110 pass-log ルータ固定IP * tcp,udp * domain
ip filter dynamic 2 * * domain
nat descriptor masquerade static 1 5 192.168.100.200 domain

動的フィルタでresponseを受けたいのですが、out110→dynamic2で、ルータ固定IPへの
INは開くものの、192.168.100.200へのINは開かず、弾かれているのです。
このような場合、どのように動的設定をしたら良いのでしょうか？

尚、何故かresponseが弾かれていても、インターネットへの接続に支障は出ていません。
支障がなければ、いっそセキュリティ上弾いてる方がいいモノなのでしょうか？

>>400
いろいろと突っ込みどころがありま(´･ω･)ｽ
どの機体か知らんけど、簡易DNS鯖機能があったりするのが
最近のルータだからとりあえず動くでしょう。

フィルタについては、晒されたconfigでは、ルータ"自身"がパケットを
通します、というだけだからなんとも。
どのI/Fにどのフィルタをどっち向きにつけてるかでも変わりますし。
回線種別、割り当てられたIPの個数とかがわからんとどうしようも
ないですな。

まぁ、七面倒なことせんでも、
ttp://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html
このへん熟読したら幸せになれるかもしれないで(´･ω･)ｽ

>>401
すみません、物凄く基本的な情報を全て飛ばしてしまっていました。

回線：Bフレ　固定IP１＝ルータに割付(VPN用)
機種はRTX-1100でDHCPはOFF、DNSは192.168.100.200を参照する設定。
Active Directory鯖192.168.100.200でDHCP使用、DNSはISPのDNS参照。

記載したフィルタは、PP1のOUT側の一部で（ログから推測しないと分からないですね）、
DNS Queryに対するresponseが動的に入りさえすればよいのだからと、
ちょっといい加減に書きすぎたようで、反省しています。

Queryの始点が固定IPなのに、responseの終点がプライベートIPに変わっていたので
どうしたモノかと思い（中略）、とりあえず読み耽って来ます。

ヤマハ　ファイアウォール・ルーター『SRT100』

ttp://www.yamaha.co.jp/news/2007/07020601.html

>>402
ルータの固定IPってグローバルアドレスのほう？
フレッツ固定１IPってたいてい、ルータはunnumberedだし、
そうなら>>400のフィルタっておかしなことになるぉ
見えるとこだけカンで書いたら

ip filter 110 pass-log 192.168.100.200/24 * tcp,udp * domain
ip filter dynamic 2 192.168.100.200/24 * domain
pp select 1
ip pp secure filter out 110 dynamic 2

こんな感じ？
つか、グローバルアドレスとStatic NATしたからといって、
ルータのルール書く時に、そのグローバルアドレスにしたら
しょうがないでそ(´･ω･)？

>>404
またもや言葉不足で・・・・
どうも私は、正確に必要な情報をお伝えするのが不得手なようです

NTTに固定１というサービス名があるのをすっかり忘れていました。
IPsecのために固定IPを１コ取って、ip pp address 211.212.213.24(仮)/32してます。
（ちなみにISPはAsahiです）

私も最初は192.168.100.200がDNS Queryを出すモノとばかり思っていたのですが、
実際には、ログを見ると211.212.213.24(仮)がDNS鯖にQueryを出していました。
従って、outのフィルタ110番は、

　ip filter 110 pass-log 211.212.213.24(仮) * tcp,udp * domain

となっています。
natの設定自体も、実はフィルタ以前にnatで弾かれていたので付け加えたのですが。
始点が211.212.213.24(仮)なのに、帰りのパケットの終点が192.168.100.200に変わってるのが問題です。

分かりやすくログを書き直すと、

PP[01] Passed at OUT(110) filter: UDP 211.212.213.24(仮):53 > 210.210.210.20(仮):53 (DNS Query [xxxx.com] from 192.168.100.200)
PP[01] Rejected at IN(default) filter: UDP 210.210.210.20:53 > 192.168.100.200:53 (DNS response)

もう、素直にip filter 111 pass 210.210.210.20 192.168.100.200 udp 53 53　を付け加えます。

お付き合い頂き、感謝です。

>>405
ようやく把握した(´･ω･)ｽ

ip filter dynamic で domainを指定した場合の動作は
あくまでアプリケーション（ぶっちゃけ、LAN内ローカルIP持ちのPC）からの
名前解決の挙動しか想定してないような気がしま(´･ω･)ｽ

Static NAT してDNS鯖として外に晒すなら、
ip filter dynamic * * filter * in * out *
ってな拡張形式で、
ip pp secure filter in と out
双方に動的フィルタを追加しないと
ダメな気がしま(´･ω･)ｽ。

あくまでスレーブ（つーかクライアントDNS？）として使うなら、
inのポートは開けないほうがいいんじゃないでしょうか

所詮ｼﾛｰﾄなんで詳しい人補足よろしくお願いしま(´･ω･)ｽ

動的フィルタってのがいまいちよくわかりませぬ。
ttp://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html
ここは一応読んだのですが、

# ip filter 80 pass * 172.16.1.0/28 tcpflag=0x0002/0x0017 * 21
# ip filter 90 pass 172.16.1.0/28 * tcpflag=0x0002/0x0017 * www
# ip filter 100 reject * * * * *
# ip filter dynamic 1 172.16.1.0/28 * www
# ip filter dynamic 2 * 172.16.1.0/28 ftp
# pp select 1
# ip pp secure filter in 80 100 dynamic 2
# ip pp secure filter out 90 dynamic 1

> なお、内側のホストを信頼できる場合には、 90番のフィルタのtcpflagを単にtcpとしてもかまいません。

とありますが、上記設定で、90番フィルタの対象プロトコルをtcpにしてしまったら
動的フィルタをdynamic 1で設定する必要無いんじゃないですか？
それこそ、

# ip filter 90 pass 172.16.1.0/28 * tcp * www
# ip pp secure filter out 90

と変わらないと思うのですが。
（dynamic 1 があろうがなかろうが90番フィルタで全パケット外向きに
飛ぶのだから、そもそも、動的フィルタを通す意味がないのでは？）

>>407
基本的に、動的フィルタってのは、双方向に穴をあけるのが特徴だと思いま(´･ω･)ｽ

その例だと確かに、
# ip filter 90 pass 172.16.1.0/28 * tcp * www
で外向け、http(80)宛てのパケットは通りま(´･ω･)ｽが、
静的フィルタだけだと、返信のパケットをどうするか設定が必要だと思いま(´･ω･)ｽ
default で全パケットrejectして、使うパケットだけ通す、というルールが一般的ですが、
動的フィルタを使わないと

#ip filter 100 pass * 172.16.1.0/28 tcp 80 *
#ip filter 999 reject * * * * *
#pp select 1
#ip pp secure filter in 100 999

こんな設定が必要になると思いま(´･ω･)ｽ
（クライアントのポートは可変ですから 宛先 * とかにしない限り追いきれません。）
このfilter 100 が静的、つまり常時あると、結局、送信元ポートが80でさえあれば、
内側のクライアントの任意ポートに向けていつでも、パケットを送り込めてしまう
ことになりま(´･ω･)ｽ

自分はスーパーハカーではないで(´･ω･)ｽからこれがどれほど危険なのかは
わかりませんが、もし、その例の動的フィルタを使っているなら、filter 100 は不要
ですから、

#ip pp secure filter in 999

だけでも、LAN側からホームページ見るときの全パケットの行き来を許可できる
ということじゃないでしょうか。

動的フィルタあんまり使ってないので自信がありません。添削おながいしま(´･ω･)ｽ

>>407
接続要求は飛ぶけど、返事が遮られて返ってきませんﾖ。
その為のdynamicです。
動的フィルタってのは、設定してても最初は存在していません。
OUTの場合は、こっちが接続要求を出して始めて出現し、
以降、要求に対する返答パケのIN方向を、自動的に開けてくれるのです。
通信の流れが止まると、一定時間後にIN方向の道も消える。ﾊｽﾞ。

要するに、dynamicでOUTの設定をしていると、
IN側の設定をしなくて済む＝IN側の設定を攻撃の対象にされなくて済む
ということではないかと。

ip filter 100 pass * 172.16.1.0/28 tcp 80 * のような設定をすると、
外部からの全てのIPアドレスのポート80から出たパケットは、
172.16.1.0/28の全てのTCPポートにアクセスできるということになります。
それを補うためにさらにフィルタ、フィルタ、時にNAT、さらにフィルタ・・・
となるワケです。

ヤマハ、管理性を高めたSOHO・中小規模向けファイアウォールルータ
http://enterprise.watch.impress.co.jp/cda/security/2007/02/06/9564.html

業務向けクラス、ではないのかな…?

>>410
業務にもいろいろありますから・・・。
小規模事業所用のVPNルータとしては
相変わらず最適なんじゃないでしょうか。
F/W機能強化されてるみたいだし、
余計なアプライアンスとか入れないで、
ルータ＋F/W＋VPN　のオールインワン
として使うんじゃないかな。

セキュアなRTって意味ですかねぇ。
今でもついてるFWがどれ程の物になったのかが気になるところ。








まぁ購入予算はないがｗ

拠点間VPN接続だと便利そうだけど、変な所にこだわらなければRTX1100とかでも十分だな

価格帯ではスループット相当よさそうだし、
接続数制限なさそうだしFW無料だから
すごくよさそうなんだけど…2ポートかぁ

漏れ的にはＩＤＳのシグネチャが明らかに少な過ぎる
フリーでも最低シグネチャが1000以上あるのに対し
2桁数字ではおまけ程度しか思えないし
ゲートウェイでスニッファを使うＩＤＳではないと意味がないと
思われ　鯖公開をマジでやりたければ改竄検知システムを
導入するべきだと思ふ　板違いｽﾏｿ

SSHで、リモートからRTX1100にログインしたいんですが、
上手いこと行きませぬ

pp select 1
pppoe use lan3
pp auth accept pap chap
pp auth myname hoge *
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp address 123.123.123.123/32
ip pp mtu 1454
ip pp secure filter in 10 11 12 13 1000
ip pp secure filter out 100 111 112 113 120 1000 dynamic 3 10 20 30
ip pp nat descriptor 1

ip filter 13 pass * 123.123.123.123 tcp * 22
ip filter 112 pass 123.123.123.123 * tcp,udp,icmp * *
sshd service on
sshd host key generate *

こんなConfigで、
IPアドレスは一つ123.123.123.123/32 のBフレッツ使ってます。
pingには応答するのですが・・・
（LANの内側からのSSH接続も可能です）

気になるのは、Tera Term＋TTSSH2で接続が拒否された、と出る割に、
syslog notice on の状態にも関わらず、Rejectのログすら残ってない
ことです。

知恵を貸してください orz

>>416
/32っつーことはNAT関係ですな。

>>417
nat descriptor type 1 masquerade

すみませんこれが抜けてました。

　　　　　　　　　　　　　　　　192.168.10.0/24
Bフレッツ--RTX1100--LAN

で、内側への静的マスカレードは一切しておりません。

RTX1100本体をSSHサーバに見立てるにしても、
なにかしらのNATの設定が必要になるのでしょうか。

>>418
ip filter 適当 pass * 192.168.10.1 tcp * 22
nat descriptor masquerade static 1 適当 192.168.10.1 tcp 22
とかしないといけないんじゃなかったっけ？

>>419
　 　　　┏━━━RTX1100.━━┓
外━━LAN3　　　　　　　　　　　LAN1━━[内側ネットワーク]
　　 　　┗━━━━━━━━━┛

LAN1が192.168.10.1/24
LAN3 に pp1 として123.123.123.123/32 をつけてるんですが

この状態でも、LAN3-->LAN1に対してNATする必要があるんでしょうか。

ちなみに、内側からは123.123.123.123:22を直接叩けます。

>>420
まぁ、やってみなよ。
http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/apply-filter-to-interface.html
とか見る限りでは、まず nat descriptor がかかってから IP filter の段に入るんだから。
sshd は IP filter より後段に位置するはずだし。

>>421
ありがとうございます。やってみたら外部のポートチェッカで
開放確認がとれました。

しかしちょっと疑問が残ります・・・
いわゆるPP IP Address Local っていうのは、PPPoE接続の
時に直接通信できるインターフェイスとしてはみなされない
のでしょうか。
（ルータのip pp address を未入力にしても、結局通信
できるみたいですし・・・）

>>422
unnumberedってことでは？
http://www.rtpro.yamaha.co.jp/RT/FAQ/PPP/diff-numbered-unnumbered.html

>>423
ルータをunnumberedにできるサービス（PPPoEで1IP固定割り当て）で、
numbered設定したい場合ってどうなるのかなぁ・・・とか思った次第。

unnumberedのときは局側の機器がしっかり固定割り当てされるIPを握ってそうですが、
こっちのルータでそのIPアドレスをWAN側PPに割り当てした場合、自動的に、ルータに
ルーティングしてくれるのかなぁ・・・と不安になったので。PPPoEがいまいち
わかってないのかもしれませんが。

>416
sshd って RTX3000 のみで使えるんじゃないの?
1100 で有効? って

>（LANの内側からのSSH接続も可能です）

な、なんだってー? あのマニュアルの記述はいったい...

>sshd って RTX3000 のみで使えるんじゃないの?

いったい何時の頃の話をしてるんだが…

いや... 去年の12月ごろに買った rtx1500 ...

箱だしで使ってるけど
ファーム更新したほうが良かったのかな?

漏れも RTX1100 ではSSH使えないと思ってた。
使えるようになったのか、さすがヤマハだ。

あと、パスワードは8文字以内と公式Webにあったけど、
普通に12文字ぐらいのパスワード使っているけど、トラブルは起きないな。
9文字目以降の文字列もちゃんと検証されてるみたいだし。

ひょっとして、マニュアルにある RTX1100 非対応の機能 (上位機種のみ) でも
実際やると動くもの結構ある？

>>428
いや、無いと思う。
RTX1100は対応が告知されてたし。

パスワードはv7/8からだっけ？
パスワードのおかげでRTA55iがconfing飲み込んでくれなくて一晩悩んだ事があったっけ…

プロバイダから発行されたPPPoEのパスワードに?（クエスチョンマーク）が含まれています。
どうやってコンソールで入力すればよいでしょうか？

>>431
エスケープすれば良くね？

\? みたいにさ。

マニュアルの 「4.2 無名ユーザのパスワードを暗号化して保存する」 ([ 書式] login password encrypted) は、
RTX3000 でしか使えないはずですが、コマンドを入れてみてもエラーにはなりませんでした。

これって暗号化されて保存されているってことなんでしょうか？

調べたら、Rev.8.03.37で追加されたということが分かりました。

http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.08.03/relnote_08_03_37.html
http://www.rtpro.yamaha.co.jp/RT/docs/sshd/index.html

自己解決です。

http://www.rtpro.yamaha.co.jp/RT/FAQ/Windows/NetBIOS-Filter.html　で、
ポート137,138,139 のフィルタが推奨されています。

自分は、IPマスカレードを使用して複数台接続しているのですが、アドレス変換設定をして、
ポートを開放しなければ、外部からの接続は、デフォルトで拒否されていますよね。

このような場合は、NetBIOS のフィルタをしなくてもセキュリティ上は問題ないと解釈してよろしいでしょうか？

TCP/IPの基礎を勉強して来い　と言いたい所だが、

NETBIOSの実装上、TCPでも動く事になっている。
通常のマスカレードの場合、内部からTCPセッション張った場合に、その返答という形でパケットが通過する。

あとはわかるな？

>>436
回答ありがとうございます。
TCP/IPとかUnixのサーバ関係の基礎は分かっているつもりなんですが、NetBIOS の仕組みは全然わからんです…。

NetBIOS (over TCP/IP) って、勝手に外部のホストに接続する、もしくは第三者が接続するように仕向けられるもんなんでしょうか…。
WebサーバとWebブラウザのように、クライアント側がIPアドレスを指定して接続し、サーバ側が情報を提供するような形式であって、
ポートを閉じている状況ならば、内部からの接続要求への返答は受け取れても、自分のコンピュータからファイルなどの情報が出て行く
ことはないと思ってました。

>>437
DSTががNetBIOSとなるポートが通過可能のとき好ましくない例として
ウイルスやスパイウェアに感染したときがありえます。

実例としては、OpaservなどのNetBIOSをつかって感染するウイルスが
内部PCに発生したとき、外部にウイルスをばら撒くといことになってしまいます。
(PHSカードなどでダイヤルアップでつかったとき感染したPCをLANでつないだとき
に発生した。)
スパイウェアの類ならファイルをばら撒くこともできそうです。

>>438
ご親切に回答していただき恐れ入ります。

LAN内部のコンピュータがマルウェアに感染していない状況であれば、このままの設定でも全く問題ありませんが、
マルウェアに感染した際のことを考えれば、NetBIOS ポートは無効にした方が良いということですね。

早速、ipfilter の設定を行おうと思います。
ありがとうございました。

RTX1100を使ってて、どうもうまく行かないんで質問。

今、RTX1100内のPCからWAN側のPPTPサーバに接続したいんだけど、
これがうまく繋がらない（RTX1100側からのリモートアクセスVPN）。
他の場所から該当のPPTPサーバへは問題なく接続できるので、RTX1100の
config（フィルタ）の問題だと思ってるんだけど。。
ちなみにローカルIPも被っていないことは確認しました。

業者さんに叩き台を作ってもらった分をいじってて、単にpptpパススルーを
見よう見まねで追加しただけなんですが・・・
どなたかアドバイスお願いします。

〜つづく〜

ip pp secure filter in
ip filter 1 reject 10.0.0.0/8 * * * *
ip filter 2 reject 172.16.0.0/12 * * * *
ip filter 3 reject 192.168.0.0/16 * * * *
ip filter 4 reject 192.168.2.0/24 * * * *
ip filter 10 reject * * udp,tcp 135 *
ip filter 11 reject * * udp,tcp * 135
ip filter 12 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 13 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 14 reject * * udp,tcp 445 *
ip filter 15 reject * * udp,tcp * 445
ip filter 20 pass * 192.168.2.0/24 icmp * *
ip filter 22 pass * 192.168.2.0/24 tcp * ident
ip filter 30 pass * 192.168.2.10 udp * 500
ip filter 31 pass * 192.168.2.10 esp * *
ip filter 32 pass * 192.168.2.10 tcp * telnet
ip filter 33 pass * 192.168.2.10 tcp * www
ip filter 101 pass * 192.168.2.10 tcp * 1723
ip filter 102 pass * 192.168.2.10 gre * *

〜つづく〜

ip pp secure filter out
ip filter 5 reject * 10.0.0.0/8 * * *
ip filter 6 reject * 172.16.0.0/12 * * *
ip filter 7 reject * 192.168.0.0/16 * * *
ip filter 8 reject * 192.168.2.0/24 * * *
ip filter 10 reject * * udp,tcp 135 *
ip filter 11 reject * * udp,tcp * 135
ip filter 12 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 13 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 14 reject * * udp,tcp 445 *
ip filter 15 reject * * udp,tcp * 445
ip filter 16 restrict * * tcpfin * www,21,nntp
ip filter 17 restrict * * tcprst * www,21,nntp
ip filter 99 pass * * * * *
ip filter dynamic 180 * * ftp
ip filter dynamic 181 * * domain
ip filter dynamic 182 * * www
ip filter dynamic 183 * * smtp
ip filter dynamic 184 * * pop3
ip filter dynamic 198 * * tcp
ip filter dynamic 199 * * udp

nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 192.168.2.10 udp 500
nat descriptor masquerade static 1 2 192.168.2.10 esp
nat descriptor masquerade static 1 3 192.168.2.10 tcp telnet
nat descriptor masquerade static 1 4 192.168.2.10 tcp www
nat descriptor masquerade static 1 5 192.168.2.10 tcp 1723
nat descriptor masquerade static 1 6 192.168.2.10 gre

ダラダラと申し訳ございません。以上です。。

RTX1100を買いました。

ip filter を使ってプライベートIPアドレスが送信元のパケットが外部から来たときに拒否する設定を行っています。

あとは、自分自身のグローバルIPアドレスが送信元となっている不正なパケットを拒否したいのですが、
Bフレッツでの非固定IPアドレスなISP (PPPoE 接続をして DHCP サーバからグローバルIPアドレスを取得する方式) なので、
自分自身のIPアドレスが不定です。

この場合には、どういった設定をすれば良いでしょうか？

もし、自分自身のグローバルIPアドレスが送信元のパケットや、送信元IPアドレスと送信先IPアドレスが一致しているパケットは
デフォで拒否されるのであれば、その旨を教えていただけると幸いです

>>440
肝心の設定がばっさり抜けてるから、訳分からん

192.168.2.10って何のアドレス？

とりあえず貼っておく
http://www.rtpro.yamaha.co.jp/RT/FAQ/PPTP/rtpptp-ans.html#11

>>444
すみません。どこまで必要なのかが解らなかったので。。他部分も貼り付けてみます。

ip route default gateway pp 1
ip route 192.168.1.0/24 gateway tunnel 1
ip route 192.168.3.0/24 gateway tunnel 2
ip route 192.168.4.0/24 gateway tunnel 3
ip lan1 address 192.168.2.10/24
pp select 1
pp always-on on
pppoe use lan2
pppoe auto connect on
pppoe auto disconnect on
pp auth accept pap chap
pp auth myname (ID) (PASS)
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp mtu 1454
ip pp secure filter in (上記のフィルタ設定)
ip pp secure filter out (上記のフィルタ設定)
ip pp nat descriptor 1
pp enable 1

〜つづく〜
ちなみに、ipsecはうまく作動しているため、その部分は端折りました。

nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 192.168.2.10 udp 500
nat descriptor masquerade static 1 2 192.168.2.10 esp
nat descriptor masquerade static 1 3 192.168.2.10 tcp telnet
nat descriptor masquerade static 1 4 192.168.2.10 tcp www
nat descriptor masquerade static 1 5 192.168.2.10 tcp 1723
nat descriptor masquerade static 1 6 192.168.2.10 gre
ipsec auto refresh on
tftp host any
telnetd host any
dhcp service server
dhcp scope 1 192.168.2.11-192.168.2.99/24 gateway 192.168.2.10
dns server pp 1
httpd host any

以上です。たびたびすみません。。

その config が書かれているルーターのLAN側にいるPC（192.168.2.10）から
WAN側にいる PPTP鯖（他所からは繋がるためPPTP鯖に問題はないと思われ） に繋げない、
と言ってるのか？

ip lan1 address 192.168.2.10/24
だから、192.168.2.10 はルーター自身か

192.168.2.10 なルーターで PPTP鯖 でも建てようとしているのか？
（tunnel とか設定たりないが）

>>447
そうです。その通りです。
このルータのLAN側PCからWAN側のPPTPサーバに接続したいのです。
このルータのLAN側IPが、192.168.2.10 なのです。
実際のPPTPクライアントは、このルータのDHCPから受け取ってる 192.168.2.12 なのですが。

>>448
192.168.2.10 は、仰せの通り、ルータ自身です。
ただ、このルータをPPTPサーバにするのではなく、RTX1100配下にある
PPTPクライアントPCからインターネット側のPPTPサーバに繋げたいのです。
このルータにPPTPクライアント機能を持たせるのでもありません。

まず試しにフィルター外せ

通ったら
ip filter 102 pass * 192.168.2.10 gre * *
を
ip filter 102 pass * * gre * *
に変えてみろ

そんな気がするｗ

>>450
おぉっ、ありがとう！！！！
無事、wan側のpptpサーバに接続することが出来まいsた！！

アドバイスの通り、
ip filter 102 pass * 192.168.2.10 gre * *
を
ip filter 102 pass * * gre * *
に変更してやると、あっさり繋がりました。
ip pp secure filter in と ip pp secure filter out は、そのまま使用しています。

これから先、自分でいろいろと設定していかなければ行けない立場にあるので、
もっと精進しようと思います。
ありがとうございました！

>443
Land atack

ミスった

http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html
の侵入の検知の所に書いてあるけど、IDSがLand attackに対応してるから
それを設定すれば防げると思う。
でも、これを設定するとスループットが下がるのがネック。

> http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html

このページの解説が良く分かりません＞＜

> 動的なフィルタでは、特定の方向にしかドアが開きませんが、通信は双方向であることに注意する必要があります。
> つまり、一度、ドアが開けば、その後は、双方向に通信できることになります。言葉を換えると、双方向の通信を同時に管理できるということであり、静的なフィルタとの大きな違いといえます。

> それから、重要な概念として、コネクションの向きがあります。コネクションの向きは、接続の要求の向きと同じです。
> たとえば、 AがBに接続要求を送信したときには、コネクションの向きは、 AからBへ向かう方向になります。動的フィルタでは、コネクションの向きに応じて、異なるアクセス制限を適用することができます。

なんか矛盾しているような気がするんですが…。

>>452-453
初歩的な質問に答えていただきありがとうございました m(___)m

送信元IPアドレスと送信先IPアドレスが一致しているパケットは、
侵入検知で防げるんですね。

感激です。

今見てて思ったんですが、
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html の 「Land atack」 ってスペル違うような…。

>456
確かにtが抜けてるｗ

>454
コネクションの向き(in or out)＝ドアが開く方向(押 or 引)として
考えてみて、穴を開けるキッカケをどちらかに制限できますよって事かな

>>457
なるほど

一度ドアが開けば、その後は、双方向に通信できることになります。
　⇒トリガーに従い動的フィルタでの穴あけが行われると、そのポートでのアウトバウンドパケットもインバウンドパケットも両方許可されるよ。
　　　アウトバウンドだけ許可するとか、そういう設定はできないので注意してね。

動的フィルタでは、コネクションの向きに応じて、異なるアクセス制限を適用することができます。
　⇒特定のポート（とかIPアドレス)へのインバウンド接続と、アウトバンド接続で、別々の動的フィルターを定義できるよ。

ってことですね

すっきりしました。

質問です。
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html#section3　⇒　3.3. 判定条件　の表で、

▲ … 常に廃棄
○ … 常に廃棄
△ … 廃棄しない
★ … 動的フィルタ無しでは無効

ということは分かったんですが、マーク無しはどういう意味なんでしょうか？

また 「この攻撃に関しては、設定にかかわらず、必ず破棄します。」 という風に、「設定にかかわらず」と書かれていますが
マニュアルみても、 intrusion detection の詳細設定の項目はありませんでした

この設定について書かれているページはありますか？

マークなしは設定に従って動作するって事じゃないかな

>>460
ありがとうございます。
設定に従った動作ということですか…。

実はマニュアル等を検索しても、intrusion detection 関係の設定コマンドが見つからなかったのですが、
載っているページを教えていただけないでしょうか？

＞intrusion detection 関係の設定コマンド
onとoffだけだった奇が駿河

>>462
ですよね…。
しかし、それしかないとすると、>>460 さんの 「設定に従って動作する」 も、
http://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html#section3 の
「この攻撃に関しては、設定にかかわらず、必ず破棄します。」 のような説明が意味不明になるんです。
設定に従って、と言われても on か off しかないわけで…。

むむ、ここまで書いてて少し閃きました。


〜仮説〜

マニュアルの 「設定によって〜」 の 設定とは、実は intrusion detection の on / off のことだった。

まず、>>453 の 「IDSがLand attackに対応してるからそれを設定すれば防げると思う。でも、これを設定するとスループットが下がるのがネック。」 は間違い。
何処が間違いかというと、設定すれば〜あたり。

表のマークは ▲ (危険性の高い攻撃で、誤検出の可能性が低く、破棄したときの影響が少ないと思われるものを示します。この攻撃に関しては、設定に
かかわらず、必ず破棄します。) なんだから、intrusion detection が off でも、Land atack への防衛は常に有効になっている。
Land atack 対策設定はどうやっても解除することができない。

▲ … intrusion detection を off にしてても強制廃棄
○ … intrusion detection を off にしてても強制廃棄
△ … intrusion detection を on にしても廃棄無し
★ … intrusion detection を on かつ その動的フィルタ使っていると廃棄
マーク無し: intrusion detection を on だと廃棄



これであっているのかご存知でしたら教えてください。

攻撃受けたければ、静的に設定して通せば？
そもそも説明文自体、動的フィルタの中の一節だろ。

>>464
> そもそも説明文自体、動的フィルタの中の一節だろ。

それはちゃうっしょ

ファイアウォール機能

* 1. はじめに
* 2. 動的なフィルタリング
* 3. 侵入の検知
* 4. コマンド仕様

の 3だし。

そして、動的フィルタ関係は★だけだと思われる。

サーバーの納品先にRTX1100があって、設定画面を見てたら
変な事しちゃったみたいで、フリーズしてしまいました。。。

電源ON・OFFでもPINGすら返ってこなくなりました。。。

初期化して、コンフィグファイルを書き込みたいのですが、
コンフィグファイルをPDFで残したものがあるだけです。。。

コンフィグファイル自体は、テキストファイルだと思うのですが、
文字コードや改行コードは何で保存すれば良いのでしょうか？

どうか助けて下さい。。。

設定ファイル内に2byte文字がなければ文字コードは関係ないような？
もしあるなら、デフォルトはsjisだと思うからsjisで。
改行コードはCRLFでもLFでもCRでも大丈夫だと思う

ありがとうございます。
やってみます。m(__)m

もう初期化しちゃってるかもしれないけど、
初期化する前にシリアルかinsでつないでみたら？

>>465

>3. 侵入の検知
>
>3.2. どのように使用するのか
>この機能は、2章で説明した動的フィルタで管理している情報を利用して動作します。

>>470
> 一方、IPヘッダやICMPのように、動的フィルタでは扱わないパケットについては、動的フィルタの設定の有無に関わらず動作します。
> また、TCPやUDPについても、基本的には、動的フィルタを定義しなくても、機能するよう> になっています。これらの詳細については、後の節で説明します。
基本的にはそうなんですね

とありますよね

例えば、IPオプションヘッダの項目は、記号がないですけど、これは動的フィルタ有効にしないと機能しないってことですか？

>>471
＞表中の★は動的フィルタを設定しなければ働かないことを示します

記号あるトコは、設定の有無ry　or　設定しなければ
記号ないトコは、判定条件にひっかかれば検知されるのでしょう。
あとは静的にLand atackを通して、廃棄されるかどうか試せば、
"設定に関わらず"というマニュアル文から考え得る曖昧さを明確にできるでしょう。

YAMAHAのRTX1100を使っています。

回線状況は非常に安定しているんですが Windows Messenger が不定期に切断されてしまいます。
（誰かにメッセージを送ってみたらいきなり切断状況になったりと）

これは無通信状態が長く続いたことにより、NATタイマーの時間切れが生じて発生した問題ということなんでしょうか？
もしそうなら良い回避策は無いでしょうか？

タイマーが問題と思うなら伸ばしてみたら？
わからんかったら
試しにＵＰＮＰ使ってみたら？

RTX1000にMACアドレスフィルタリング機能は付いてますか

>>475
ethernet filterのことになるんだと思うけど、1000には付いてないはず。
1100の最新のファームならある。
まぁ似たようなことは工夫すれば出来ると思うけど。

RTX1100でインターネットVPN(AES/SHA)を構築したんですが、めちゃくちゃ速度が遅いのです。
構築されたVPNの中でFTPをするのと、グローバルIP使ってFTPするので速度に5倍ぐらいの差が。
こういうものなんですかね？
ちなみに速度はVPN内のFTPで１Mでず、グローバルIPを使ったFTPで５Mぐらいです。

>>477
MTUサイズがVPN経由だと大きいんじゃ？
一度、遅いルートでMTUサイズを調整してみては？
原因・要因は、それ以外にもあるけど、脊髄反射的にレス。

と、素人が申し上げています。

あう〜名前の440は、このスレの人とは違いますぅ　ゴメン

>>478
VPN側のMTUは1280ですね。
1454よりは小さいですけど、それでこんなにも速度落ちるものですかね？

RTX1100についての質問です。

クライアントA から 外部のサーバへ接続した場合には pp 1 を使用して、
クライアントB から 外部のサーバへ接続した場合には pp 2 を使用する、といった設定はどのようにやれば良いでしょうか？

(例えば、クライアントA は So-net の固定IPアドレスプラン、クライアントB は nifty の動的IPアドレスプラン。)

ようするに、PCによって、診断君 http://taruo.net/e/ とかに表示されるIPアドレスを異なるものにしたいということです。

ip route で出来そうだ、と思ってリファレンスを読んでみたところ、送信先のIPアドレス (宛先アドレス) を元に振り分けることはできるんですが、
送信元のIPアドレスでの振り分けはできないようなんです(´･ω･`)

よろしくお願い致します。

>>481
ttp://www.rtpro.yamaha.co.jp/RT/docs/filter-routing/filter-routing.html

ﾊｰﾄﾞｳｪｱの方と連動してるのう・・・。

>>481
ip route default gateway pp 2 filter 600000 gateway pp 1
ip filter 600000 pass 192.168.0.200-192.168.0.254 * * * *
と設定して、たとえば
クライアントA：192.168.0.100
クライアントB：192.168.0.200
とアドレスを設定すればうまくいくと思います。

今気づいたけど、>>482の例1に書いてるなあ

>>483
それと
http://www.rtpro.yamaha.co.jp/RT/docs/dhcp-auth/index.html
を組み合わせればPCのアドレス固定しなくてもうまくいくような気がするけど
試すのは( ﾟДﾟ)ﾏﾝﾄﾞｸｾｰ

>>482
うおー。
もろ期待通りのことができますね。
ありがとうございました。

> ﾊｰﾄﾞｳｪｱの方と連動してるのう・・・。
すみません、これの意味が良く分からないです…。


>>483-484
その設定でいい感じにいけそうです。
ありがとうございます。


>>485
既に RTX1100 の DHCP サーバ で MACアドレスをもとにIPアドレスを固定配布しているので、それで行ってみます。
出来ても出来なくても、報告しますね。

YAMAHA公式のメーリングリストに入ろうかと思っているんですが、
メーリングリストに入るのは初めてで戸惑っています。

そこで質問なのですが、

1. 1日に何通程度のメッセージがやり取りされているんでしょうか？
2. 登録や投稿時には実名 (もしくは実名風ハンドルネーム) にする必要ありそうですか？
3. MUA は Mozilla Thunderbird で問題無しですか？

以上を教えていただけると嬉しいです。

むかし入ってたけど
１は今どうなんだろう・・・
とりあえずまとめてゲットできた気がしたからそれみてみては？

２は、特に気にすることはなく
３は、問題無いと思うけどＨＴＭＬ形式はやめた方がいい

普通のメーリングリストのマナーでＯＫなはずだから詳しくは検索してみて

>>488
親切なご回答ありがとうございます＞＜
適当にメーリングリストのマナーを調べた上で、登録してみようかと思います。

>>486
> > ﾊｰﾄﾞｳｪｱの方と連動してるのう・・・。
> すみません、これの意味が良く分からないです…。

あ、すみません。ﾊｰﾄﾞｳｪｱ板のYAMAHAｽﾚの事です。
ﾌｨﾙﾀをどこまで増やせるかって話題で、ﾌｨﾙﾀ型ﾙｰﾃｨﾝｸﾞを使って
NULLｲﾝﾀｰﾌｪｰｽにﾙｰﾃｨﾝｸﾞすればﾌｨﾙﾀが実質増やせるね、とかなんとか。

>>487
じゃぁ、１番だけ。
昨年一年で、1026通。今月は現時点で47通です。

>>491
なるほど…

去年は 1日あたり 2.81 通
今年は 1日あたり 0.87 通

って感じですね。

結構メッセージ数あるようなので安心しました。

>>492
"今月"なので2月分が47通です。1月分は25通。

>>493
なるほど。
今月でしたか。
ミスリード申し訳ありませんでした。

RTX-1100についての質問です
拠点Aと拠点BをVPNで繋ごうと思いいろいろいじっています
キャリアが拠点AがUCOM、拠点BがBフレッツで、拠点BのほうはPPPoEで問題なくルーターも外部へPINGが通りますが、拠点AのほうがルーターからのPINGが外に出てくれません
拠点AのほうはNATでローカルIPをグローバルIPに変換してインターネットへは問題なく繋がります
拠点AでPPを利用してルーターが外部へ繋がることができればVPNが繋がると思うのですが、UCOMのようなIP割り当てのISPとBフレッツを繋ぐ方法はありますでしょうか？
よろしくお願いします

ＩＰ割り当てでフシアナとは・・・・

たぶん、動的IPだから問題無し

この板のデフォルトは anonymous@fusianasan だから引っかかる人は引っかかる…
漏れも最初引っかかったわ

知らなかった、次からは気をつけます
早急な回答ありがとうございます
もう少しいじってみます
ありがとうございます

拠点Ａは固定アドレスって意味？

はい
拠点Aは固定IPです
といっても、DHCPでいくつか割り振られているIPのうちの一つです
拠点BはBフレッツで固定ではありません

ＤＨＣＰなら動的でないの？

ＭＡＣみて固定的にしてるって意味？

UCOMがどういう仕組みなのかはわからないですが、違う機器をルーター介さずに直接繋ぐとIPが変わることからMACアドレスで割り振っているものかと思われます
で、そのIPアドレスもプランによって１〜５くらい割り振られていると思います
そのプランを申し込んだ人がどのプランで申し込んだかも、何をしたのか何をしたいのか誰にも話さない人なのでIPがいくつあるのかまでは分かりかねます

ファイアウォールやらセキュリティソフトやらでpingが遮断される事もあるし、
相手先がpingを遮断している場合もある(www.microsoft.co.jpなど)
まぁ拠点AもBも同じトコにping打ってるとは思うが、
コンフィグくらいは書いてないと、誰も判断しようがないよ。

>>503
でそのような状態でわれわれに助言しろと？

IP-PBX環境でマルチキャストを使用します。
RTX3000-RTX1500でVPNを構築した場合、拠点間のマルチキャスト転送は
可能ですか？

家庭用スレから誘導されてきました。

RTX1100 で、ネットワークをほぼ期待通りに構築することができたのですが、1つ困っている点があります。
特定の条件を満たしたパケットを廃棄ではなく拒否したいのですが、RTX1100側でそれを行うことはできないでしょうか？

具体的には、irc.tokyo.wide.ac.jp のようなIRCサーバは、プロキシ対策として、ポートスキャンをしているわけですが、
そのスキャンのパケットを拒否してしまうと、タイムアウトに時間がかかり、1分以上IRCサーバに接続できないので、その点困っています。

http://limechat.net/faq にあるように、PC側に転送すればいい (NAPTを使って) のですが、
それだとパケットがPCに届くという意味で、セキュリティ上の問題が発生しやすいので、出来ればルーター側で拒否したいとおもい書き込みさせていただきました。

ご教示いただけると幸いです。

あっちで読んでたけど、結局破棄（reject）をしたいのか拒否（stealth？）したいのか分からないんですが。

>>508
回答ありがとうございます。
説明不足で申し訳ありません。
パケットの破棄ではなく拒否がしたいです。

廃棄なら、

ip filter 10 reject 10.0.0.0/8 *

のように出来ますが、拒否の方法が見つからないんです…。

>>509
廃棄（破棄？）と拒否の言葉の意味する違いが分かりません。

> 廃棄ではなく拒否したいのですが
と書いてあったり
> 拒否してしまうと、タイムアウトに時間がかかり、1分以上IRCサーバに接続できないので、その点困っています。
と書いてあったり、何をしたいのか分からないの。

>>510
回答ありがとうございます。

廃棄 … パケットを捨てる (iptables での DROP)
拒否 … パケットを捨てた上で、拒否したことを相手に通知する (iptables での REJECT)

です。

たぶん、drop は パケットの通過を廃棄し、且つICMPエラーメッセージ（ICMP_UNREACHABLE）を返すことです。(違うかも？)

ようするに、Windows などの OS が、そのポートでリッスンするサービスがないときに、返すようなエラーパケットを
相手に返したいんです。

誤) たぶん、drop は パケットの通過を廃棄し、且つICMPエラーメッセージ（ICMP_UNREACHABLE）を返すことです。(違うかも？)
正) たぶん、拒否 は パケットの通過を廃棄し、且つICMPエラーメッセージ（ICMP_UNREACHABLE）を返すことです。(違うかも？)

詳しくないが、「PC側に転送」する例があるってことはそれ自体では出来ないってことでは?

>>511
要するにTCPポートへのSYNに対してdropするんじゃなくて、
RSTで明示的につなげないと応答してほしいんでしょ。
UDPならport unreacheableかな。
YAMAHAはよくしらんが、それってルータのACLで出来るのかね？
Firewallの機能だったらありそうだけど。

できるものもある。
YAMAHAは知らん

ネットボランチDNS を使用して両方とも動的グローバルアドレスでも
IPSECできまつか？
それとも少なくとも片方は固定じゃないといけないのですか。

>>516
できる・できない　でいうと　「できる」

ネットボランチDNSのサーバや回線が込んでいるときに　動的IPの変更があると
IP変更が行われずつながらなくなることがある。

omronのMR504DVで実現できなかったので、RTX1100を視野に入れてるんだけど、
こういうことができるしょうか？

�@LAN2でPPPoE1(ISP1)でセッションを張り、LAN1のローカルPC達のデフォルトルートはそのISP1
　且つ、他の拠点とIPsecによるVPN通信を行う。(対向は固定IP、動的IPが混在)
　且つ、LAN3でPPPoE2(ISP2)でセッションを張り、外部からのPPTP接続を受け付け、
　LAN1側のPC(ファイルサーバ)へアクセス。

�Aネットボランチ以外のdyndns.orgやieserver.netなどのDDNSサービスを利用できるか。

MR504DVに比べると値が張るので少々躊躇してるんですが、これらが実現可能なら検討したいと思うのです。
宜しくお願いします。

2は使ってないから判らんが、1はその通りのことをやってる

>>519
ありがとうございます。

まじですか。
じゃあ、後は�Aができれば、PPTP受信用のLAN3でdyndnsなどのDDNSサービスが使えれば、
IPsec用にはLAN2で固定IP運用、PPTP受信用にはLAN3で動的IPで運用ができますね。
財布に厳しいけどがんばってみるかなー。

>>518
2.は、どこのDDNSサービスでも使えるんじゃないか？
ただ、ルータで自動更新に対応してるのはネットボランチだけ。
ボランチ以外でIPアドレスの更新を自動的にしようとすると、
LAN内に常時起動の更新用クライアントを置いておけばいい。

>>521
理屈はそうだけど、SNMPかsyslogをトラップする必要があるから、案外めんどくさい。
ひょっとしたらそーゆーツールが既にあるかもしれんが…

516です。ありがとございます。
昨日　RTX1100 で

# pp select 2（ISP用のPPPOE）
pp2# netvolante-dns hostname host pp HOGEHOGE
pp2# netvolante-dns go pp 2
としてみたのですが、

(Netvolante DNS server 1)
エラー: ネットボランチDNSサーバの名前解決に失敗しました
pp2#

になります。なんで？
netovolante DNS が込み合ってるのか、自分の操作が間違ってるのか・・・

>>523
DNS生きてる？
netovolante DNSのアドレス解決が出来て無いんじゃない？

どなたかわかりますでしょうか？
RTX1100を使用していますが
全支部共通設定（ファームも同じ）らしいけど
なぜかうちだけネット環境がヘンな挙動をしてます
設定見せてもらったらヘンな記述をみつけたのですが
関係あるでしょうか？
うちの支部から本社へつないでいる設定で
支部側はppのなかに ipsec tunnel を書いておいて
本部側にはそれに関する記述はまったくない（他支部用はある）です
ここぐらいしか記述的には他を違いが見られないのですが
設定した業者がわからないで業務が止まってて困ってます

>>525
ここにエスパーはいませんよ？

525です
挙動に関してはSSL接続したＨＰを３ページ以上見れないです
具体的には
ログイン＞メニュークリック＞通信途切れ
ログイン＞ログアウト　セーフ
yahooやlivedoorなどいくつかの有名どこで必ずおきます
ちなみに他の支部で普通に動いているｐｃを持ってきても
うちにくると同じ現象になるので
ネットワークの設定？としか考えられません。
そこでRTX1100の設定を見せてもらったら見つけたのが
ipsecの記述に関してだけでした

> 設定見せてもらったらヘンな記述をみつけたのですが
ヘンな内容を書けばいいのに。

人にきちんと説明できてないし、要点がどこかも解っていない（解って無さそう）。
業務で使ってるなら新たに業者に入ってもらって、しっかりした叩き台なりを
作ってもらった方がいいと思う。

大穴開けて機密情報が漏れたときは、関連業者まで被害が及ぶことになるよ。

525です
現象が特殊なので概要で同様っぽいのに出くわした方がいれば
イメージしてもらえると思ったのですが・・
要件はこうです
現在本社−複数支部間で接続をRTX1100で接続しています（ＶＰＮ）
インターネットへは本社経由でしか接続不可能になっています
問題は全支部同じRTX1100（ファームも）を導入して
支部の設定は同じ（各支部へのIPとか基本的なことは除く）
この状態でなぜかうちの支部だけが
ネットのSSL環境へ接続するとまともに動作しません
ＰＣ、ルータのハード的名不良やＰＣの設定問題は
他支部のを持ち込んでテストして再現したので考えられません
ここで各支部と本社ルータの設定を確認したところ
なぜか各支部向けに本社側でIPSECの定義があったのですが
うちの支部だけありませんでした
（こちらの支部には他支部同様の記述定義はあり）
これが問題かと思っているのですが
ＳＳＬでの挙動が理解できません
ＨＰでＳＳＬかかってからどのサイトでも必ず３遷移くらいで
通信が途切れます（タイムアウトやレス待ちでは無く完了に）
支部側の通信ログでは正常に通信が確認されています

本部側の設定を書き換えてテストしたいところですが
社内的な事情により来週末までは変更できないのです。
原因の確定ができれば今晩にでも変更をお願いできるのですが・・・

>>530
個別の問題なら回答できるが、そういう複雑なケースは問題を切り分けないと
誰も回答できないよ。自分でパケットを解析してどこで落ちてるか調べるか、
設定した業者（社内なら担当者）を呼びつけて調べさせるしかないでしょう...。

本社とつながる支社、つながらない支社のconfigをRTのメーリングリストに
変な伏字をせずに流せば、暇な人からアドバイスをもらえるかもしれません
が、それも出来ないでしょうからね。

みんなの見世物になって解決させるか、自社内（ベンダー内）で解決させる
か、好きな方をお選びになっては？

523でつ。
サポセンに電話しますた。
ルーターに
dns server IPアドレス
でDNSサーバーを設定したら直りました。
pppoeで取得するDNSには自動的に名前解決を依頼しにいかないんですね。

525です
マルチポストしていた先で同様事例があり解決しました
アドバイスしてくれた方々ありがとうございました
バグっぽいけど記述の仕方を変更しただけで直りました

ＲＴＸ１０００でＭＡＣアドレスフィルタリングの運用はできますか?

>>533

なんでマルチポストが嫌われるかわかる？

('A`)　ｻﾜﾝｼﾞｬﾈ

>>534
マニュアル読んでみましょう。読めば設定できる事が判ると思うのですが・・・・

PPTP でリモートアクセス環境を試作中なのですが、（家→会社）
接続してくるクライアントを制限するために
会社のRTX1100に
tunnel endpoint name [hogehoge.domain.jp]
を設定しました。
家のクライアントはDiCEで
無料DDNS サービスにその都度登録（家のルータがyamahaでないので
netvolante dnsぢゃない）

RTX1100は接続してきた相手を
tunnel endpoint name [hogehoge.domain.jp]
のホストアドレスで識別すると思われますが、DDNSでは逆引き
できませんよね。（例えnetvolante dnsでも）
ということは、その都度正引きして、IPアドレスが接続してきた
相手のものと一致している場合のみ許可するのでしょうか。
DNSキャッシュの問題とかはどうなってるんでしょ。

netvolante dnsが使えないなら、anonymousしか無いんじゃね？

やはり　netvolante.dns でないとダメなんですかね。
会社側RTX1100 にポートスキャンしてみましたが、TCP 1723 がオープン
していません。ヴ〜ん。
あきらめてRT107eを自宅用に買うか、anonymous 接続にするか　しか
ないのかな・・・・・

>>537 マニュアルもう一度読み返してみます

RTX1100を使っています。

Windows マシン上からワンタッチで接続経路の設定を切り替えたいのですが、良い方法は無いでしょうか？

とりあえず、"tftp host 192.168.1.1" のようにクライアントのIPアドレスを常に登録しておけば期待通りのことができますが、
マニュアルにもあるように IPアドレスのみの認証なので、内部のマシンの1台が乗っ取られた場合に、セキュリティ上問題がありそうです。

そこで、ルータのTelnetdにデータを自動送信するマクロ的なことをやりたいのですが、良い方法は無いでしょうか？
ちなみに、今Telnet接続にはPuttyを使っています。

Teratermのマクロとか？

puttyでもマクロはあるんじゃないか？

ワンタッチにしたいなら送信アプリくらい書くべきだと思うが。
いろいろなアプリが起動して変なウインドウが見えることがセキュリティ上問題無いのかどうか疑問

>>525 >>530
クライアントの問題じゃね？例えば本社Proxy経由とか・・

540です。やっとつながりました。
DDNSならnetvolante-dnsでなくても大丈夫みたいです。
これでDiCEのプログラムをフォルダ毎いれたフラッシュメモリ
（無料DDNSサーバーへの更新設定を仕込み済み）
と、PPTPクライアントのユーザー名・パスワードがあれば
Yamahaのルータがない環境からでも接続元をFQDNで制限した上で、
接続ができそうです（anonymousじゃなく）

夜間や休日に心置きなく鯖のメンテが行えるようになりますた。
テラウレシスです。

>>543
回答ありがとうございます
できれば使い慣れている putty を使いたいですが、putty にはマクロ機能やマクロ拡張はないようなので
Teratermを試してみます。

>>544
送信アプリというのはマクロを呼び出すアプリということでしょうか？
何にするかは決まってません
変なウインドウが開くことに関しては、家での利用でマクロを導入するのは自分のPCのみなので問題無いです。

>>547
WEB設定って実装されていなかったけ？
RT57iならURL作ってワンクリック設定できるけど・・・RTX1100は無理なのかな？

RTX1100 を使っています。

副回線として Yahoo! BB 8M を接続してみた所、10BASE-T半二重 と認識されました。
8M回線なので 10BASE になる所までは良いのですが、今時半二重なんて本当に使われているのでしょうか？

疑問に思って、手動設定で両方試してみたところ、全二重にするとめちゃくちゃ遅くなりました。
これは、モデムが対応していない形式での通信だけど一部正しく処理できる部分があって、パケットの再送だらけになって
遅くなるけどなんとか通信できているといった感じでしょうか。

ご教示いただけたら幸いです。

●10BASE-T半二重(10-hdx)
------ BNRスピードテスト (ダウンロード速度) ------
測定サイト： http://www.musen-lan.com/speed/ Ver3.5001
測定日時： 2007/03/21 10:03:58
回線/ISP/地域：
--------------------------------------------------
1.NTTPC(WebARENA)1： 79.554kbps(0.079Mbps) 9.89kB/sec
2.NTTPC(WebARENA)2： 137.47kbps(0.137Mbps) 17.09kB/sec
推定転送速度： 137.47kbps(0.137Mbps) 17.09kB/sec

●10BASE-T全二重(10-fdx)
------ BNRスピードテスト (ダウンロード速度) ------
測定サイト： http://www.musen-lan.com/speed/ Ver3.5001
測定日時： 2007/03/21 10:04:58
回線/ISP/地域：
--------------------------------------------------
1.NTTPC(WebARENA)1： 3785.206kbps(3.785Mbps) 472.88kB/sec
2.NTTPC(WebARENA)2： 3762.057kbps(3.762Mbps) 470.04kB/sec
推定転送速度： 3785.206kbps(3.785Mbps) 472.88kB/sec

日本語でおｋ

結局、RocketMouse を使って解決となりました。
RTX1100にログイン、管理者権限に変更、経路変更を含めて、1秒程度できて快適です。

RTX1100 についての質問です。

tftp でダウンロードできる config ファイル に、次のような項目があります。

----- 次の行から開始 -----
#
# TUNNEL configuration
#

no tunnel enable all
------ 前の行で終了 ------

普通は no で始まるコマンドは設定の決定の取り消しであり、 config ファイルには残らないはずなのですが、
何故、 「no tunnel enable all」 だけ残るのでしょうか？

# VPN ルータ でこの機能使って欲しいからかなぁ。

ちなみに、この行は削除して config ファイルをアップロードして、再度ダウンロードしても消えません。

皆さんも RTX1100 でこの現象が発生しますか？
「する」 「しない」 の一言でも構いませんので、教えていただけたら幸いです。

単純に不要な設定が反映されないための
安全策で記述されてるんじゃないかな

>>552
理由はリセットした時（出荷時）では設定されているコマンドだと思うのでそれを消すためだよ。

コマンド自体の意味はコマンドリファレンス見てみたら？

ipsec トンネルをバックアップする設定で
＜マルチホーミング型設定＞
ip route 192.168.2.0/24 gateway tunnel 1 keepalive 1 gateway pp 10 weight 0
（中略）
ip keepalive 1 icmp-echo 10 6 192.168.2.1

＜トンネルバックアップ型設定＞
tunnel select 1
tunnel 1# tunnel backup pp 10

pp 10 は ISDNのダイヤルアップ用で
どちらの設定でもバックアップ動作は可能ですが、お勧めはどっち？
パケットロスを隠すので　マルチホーミング型がいいのか？
両者で挙動に違いはあるんでしょうかね。

RTX1100 本体を DNSキャッシュサーバとして動作させ、
http://www.rtpro.yamaha.co.jp/RT/docs/filter-routing/filter-routing.html を用いて、クライアントPCのIPアドレス (送信元) で、
違う経路を設定し、更にデフォルト経路を指定しないといった使い方をしています。
デフォルト経路を指定するとダウン時にそれが使われるので、グローバルIPアドレス漏洩 (というのも大げさな書き方ですが) のリスクがあるからです。

この設定にしたら、クライアントPCで名前解決ができない問題が生じました。
原因は、ルータ (RTX1100) が DNSサーバにアクセスする際の経路が存在しないことだと思い、RTX1100 自体のIPアドレスを探してみました。

マニュアルにもドキュメントにも無かったので、ブルートフォース的に探索したところ、127.0.0.1 や SSH等でルータにアクセスする時に使う
192.168.0.1 も駄目、結局 0.0.0.0 を特定の経路に割り振ってやると、期待通りの動作になりました。

(クライアントPCがルータと同じ経路になることもなく、きちんとクライアント毎に別経路になっています。)


〜ここまでは前置き〜


ここからが質問なのですが、 RTX1100 上で IPアドレス 0.0.0.0 はどういった使われ方をしているんでしょうか？
また、今回のような使い方をしてもセキュリティ上の問題が生じないもんなんでしょうか？

(インサイダーが悪意を持って、発信元IPを 0.0.0.0 に偽った場合には、ルータの名前解決用の経路が使われることは把握しています。)

教えていただけたら幸いです。

>>555
内容からＩＳＤＮは常時接続だね。
通常運用時に速度速いほうにしたら？

ヤマハはもう無線はやらんのだろうか

>>558
プラネックスの様に無線作ったりして徐々に個人向けになってほしくない。

RTX3000を使って透過プロキシーを構築できますでしょうか？

つまり、LAN側のＰＣでWebプロキシーを設定することなく、
80番宛のパケットだけ強制的にRTX3000のWAN側に
あるプロキシーサーバに投げるようにすることはできますか？

>>560
何でＷＡＮ側にＰｒｏｘｙが有るか良くわからないが、
その機種はＮＡＴ変換を通常とは逆に書けるので、８０パケットだけＰｒｏｘｙに向かうように設定すれば出来るんじゃない？
まあ、実際にやってみないと判らないけどね。

>>555

RT105 世代が現役で稼動しているのでマルチホーミング使ってます。

>561
　ありがとうございます。
　当方の勉強不足で、この辺の常識を知らないのですが、
　この場合、プロキシーサーバは、ＬＡＮ側に置くのが普通なのでしょうか。
　ＬＡＮ側に置くとループ防止の設定をしなければならず、それがめんどうそう
　でしたので、安易にＷＡＮ側（正確にはＤＭＺ）にプロキシーサーバを
　置くことを考えていました。

　配置は別途考えるとして、透過プロキシーを実現できるかどうか、
　ＮＡＴの箇所のマニュアル類を探ってみます。ありがとうございました。

>>561 >>563
Trasparent Proxyに設定するSquidとかの問題ではないの？

ルータで「Proxyを通過させるパケット」を
より分けるなら、NATじゃ無理じゃね？

ルータでhttp:80宛送信パケットを捕獲して、送信先アドレスを
書き換えてしまう（DMZのプロキシ宛てにする）と、
プロキシが受け取ってもそもそもどこ宛かわからなくなるような・・・（間違ってたらｽﾏｿ）

あくまでルータとかゲートウェイでパケット選り分けたいなら
L7スイッチとかWCCP対応のルータとかじゃないとダメなのではないで(´･ω･)ｽか？

Webトラフィック全部をProxy経由させるなら問題はないと思いますが。

>>557
ISDNはダイヤルアップですが？

>>562
RT105 ではその設定しかできない　という意味ですか？
（tunnel backup コマンドは使えない？）

柔軟な設定ができるのがいいけど、同じことをやるのでも
複数の設定パターンがあるので、正直迷うことがある。
たとえばトンネルの終端をグローバルアドレスにするか、
プライベートアドレスにして、nat descriptor static ... とやるかなど。

>564
　お返事ありがとうございます。
　RTX3000ではダメなのですか？

　どなたか、当該機で透過プロキシーを
　構築された方はお見えでないでしょうか？

>>566
RTX1100しかもってないで(´･ω･)ｽが

ttp://www.rtpro.yamaha.co.jp/RT/docs/filter-routing/filter-routing.html

こんな感じで TCP:80の全パケットに対して静的に経路を切って
みるのはどうで(´･ω･)ｽか？

要は、透過型Proxyうんぬんじゃなくて、TCP80パケットを全部Proxyに
ルーティングするようにすれば、あとはProxyがそのパケットどうするか
という話になるのかな、と・・・説明下手で(´･ω･)ｽが。

（当然、この場合、投げられたProxy側の挙動と、Proxy-->Router（RTX3000?)-->ｲﾝﾀｰﾈｯﾂ
に出るためのルーティング環境が必要になりますが。）

機種はRTX1000、2つのプロバイダを使い(回線は1本)、
マルチセッションでinternet抜けをしています。
ソースルーティングで2つのプロバイダを使い分けたいのですが、
その様な設定はできますでしょうか？
フィルタで振り分ける事になるんですかね？

>>568
>>567　(´･ω･)ｽ

そもそもどんなルーター使っても無理なのでは？
私はこんな感じで設置だね、正確には本社に設置で支店含めてProxy経由するようにしてあるので違うが
WAN　←　ルーター(なんでもいい)　←　Proxy(Linuxで運用、NIC2枚)　←　WindowsXP
と全パケットを一度Proxyサーバーを通過するようにしないと、ポート80だけ飛ばしてもDNSとか他の機能との連携がとれないんでは？

あと、WANのどこにサーバー設置できるん？まさか建物外（外部）にあるProxyサーバー？
RTX3000に隣接していないとroute設定等なにも出来ないと思うけど・・・

>>568
余裕で出来ます。
詳しくは下記URLを。
http://www.rtpro.yamaha.co.jp/RT/docs/filter-routing/filter-routing.html

上のURLには

> [注意事項]
> IPアドレスを固定するためにDHCPは使えない。
> RTの持つDNSリカーシブサーバ機能は使えない。

とあるけど、これ全くのでたらめ。
RT向けの解説だから、RTXならできる、ってだけかもしれないけどね…。

http://www.rtpro.yamaha.co.jp/RT/docs/dhcp-auth/

>>570
WAN側なら、DMZじゃなくても割り当てアドレスが/28とかならありえるんじゃない(´･ω･)ｽか？
まぁ、ルータにBGP食わせたりしなきゃいけないんでしょうから、俺にはもう完全に無理(´･ω･)ｽ
ちなみに、ProxyはDMZというケースは多いと思いま(´･ω･)ｽよ。うちはProxyなんてない(´･ω･)ｽが。

>>572
RTX3000をローカルルーターにしてWANより上位にもう１台ルーター設置してあれば出来なくはないけど
でも常識的にRTX3000の上位にルーター置くって事はRTX3000以上の性能を持ったルーターと考えてしまうのですが？
したがって環境が良くわからん。
ネットワーク設計の見直しからしてみてはいかがでしょうか？（回答になっていない）

>>573
確かにむき出しでProxyをWAN側に解き放つ('A`)構成は
最近じゃあんまり意味は無い(´･ω･)ｽね。
RTX1000ぐらいだって3つ足あるわけですし。

>565

設定を見てみたらこんな感じで、「tunnel を pp でバックアップする」とは違いました。

ip route default gateway pp 1 filter 1 2 11 12 gateway tunnel 2 weight 2147483647 hide gateway tunnel 1 weight 1 hide

aaaa

RTX1100の設定ー（特にfilter部分、プロバイダー接続部分とか）を
コマンドで書くのが面倒なので、RT56Vの設定をtelnetでアップロードしても
ある程度は動くのでしょうか。

>>577
試せばいいじゃない
ダメだったらリセットしなさぁい

>>577

機種によらず，コマンドは同じなので，大丈夫だと思います。

問題切分けの為にアドバイスを頂けたらと思います。

現在3拠点をグループアクセスでネットワークを組んでいます。
プロバイダ：OCN
回線：Bフレッツ光(3拠点とも)
ルータ：RTV700(3拠点とも)

その際に、拠点間の回線速度が、3〜4MB以下と極遅なんですが、
ルータの設定が原因で遅くなるって事はありますか？

なお、基点となる拠点からインターネットの通信速度測定サイトで計ると
40MB以上は常に出ます。

>>580
VPNで使うプロトコルはなん(´･ω･)ｽか？
PPTPとかだったら、>>265氏の解説とか
役にたつかもしれない(´･ω･)ｽ

うちはVPNしてないのでわかんない(´･ω･)ｽ

>>580
グループアクセスってことで、暗号化せずにトンネル掘ってるだけだよな
3〜4Mってのは何で計った?
Windowsのエクスプローラでファイルコピーならば遅くて当たり前

どうもです。
自分で設定していないので、ルータの設定を見ての回答ですが…。

>>581
プロトコルは、IPsec/ESPになるかと思います。

>>582
暗号化は、AES-CBC と思います。
認証のアルゴリズムにもHMAC-SHAが選ばれています。

計測は、エクスプローラのコピーです。
ttp://www.kitou.ac/index.html
上記サイトの転送速度測定ソフトで計りました。

ファイルコピーは、どうしようも無いって事なんでしょうか？

>>583

ttp://www.f5networks.co.jp/product/wanjet/data/wj_WhitePaper.pdf

この製品はどうでもいい(´･ω･)ｽが、とりあえず、
CIFSが原因であることが説明されてまｽ

>>583
Windowsのファイルコピーは遅延ある回線に弱い
でかいファイルのコピーをしなきゃいけないならFTPに汁

企業ポリシーにも依るけど、
みかかを信用する前提であればグループアクセスに暗号化は必須じゃない
普通にトンネル掘ってもファストパスで動作するし
IPsec使うよりも速いと思われ

※当方の経験では、名古屋〜大阪のケースで、Ping値１桁ms

RTX1100の配下にRT56VをおいてVOIPphoneにしたいんですけど
設定例とかはないでしょうか。
RTX1100は固定IPです。

>>586
http://www.rtpro.yamaha.co.jp/RT/docs/sip-nat/index.html
でどうだろう？　出来たら報告宜しく。

RTX 1100 についての質問です。

Yahoo! BB のモデムにハブを繋ぎ、端末を2台接続すると、2つのIPアドレスが取得できます。(どの契約でも必ず 2IP が取得可能になっています。)
これを、RTX1100 に代行させたい (RTX1100 にIPアドレスを2つ取得してもらう) のですが、どのような設定にしたら良いでしょうか？

モデム ━ ハブ ┳ LAN1ポート
　　　　　　　　　 ┗ LAN2ポート

だと、それぞれの設定 (lan1 と lan2) で DHCP サーバからの取得 (ip lan1 address dhcp, ip lan2 address dhcp) をすればできそうですが、
これを、

モデム ━ LAN1ポート

という接続方式で仮想的に再現したいと考えています。
つまり、dhcp サーバからIPアドレスの割り当てを受けた状態で、更にもう1セッション別に割り当てを受けるような設定にしたいです。

ご教示いただけたら幸いです。

PPPoEならマルチセッションで出来そうだけど
Yahooだとそうもいかないのか
ip lan1 secondary address dhcp とかで出来ないかな？

dhcpってセッション管理できたっけ？

まぁ、「他のセッションに影響しないんですよね？」「影響しません」
数ヵ月後に「他のセッションに影響していたのを修正しました」

なんてことをやってくれるメーカーだからなー

あの時はバカ受けした

>>590
そいつはすげえ

>>588
ルーターで出来ても（出来るかどうかは知りません）、YAHOOBB側で対応できないと思う。
DHCPはMACアドレス1個に対して1個のIPを付与するからMACアドレス2個必要なのでは？

>>592
なるほど…。
Yahoo! BB は 1契約での IPアドレス取得制限は 2〜3個 になっているんですが、それを取得するためには別々の MAC アドレスが必要ってことですね。
ってことは、素直に LAN ポート分割機能を使って、個別管理できるLANポートを7個にして、ハブを繋げてIPアドレスを多重取得するってのが良いですね。

ありがとうございました。

RTX1000 -> RTX1100 に乗り換えるメリットってあるでしょうか?

回線1: Bフレッツ + 固定IP1個のプロバイダ
回線2: 予備の ADSL

どちらも NAT で 1個の IP アドレスを共有
プロトコルごとの優先制御のみ


LAN 上にクライアントPC で外に出て行くのと、
自分のドメイン用に外からアクセスしてもらうための
DNS / Mail / Web サーバなどが立ててあります。

VPN が高速化したとは言っても、ルータを通過して PPTP サーバを
立ててあるのであまり関係なさそうです。
クライアント側の用途は Web と Mail がメインで、時々動画を
見る程度です。

回線1 のプロバイダに対するスループットが下り平均 41Mbps
ぐらい出ていて、ルータを経由せず PC 直結ならもう少し速いので、
RTX1100 にして光のスピードを生かし切れるなら
乗り換えてもいいと思っています。

CPU がマイナーチェンジしたのと、クロックが上がっているので
多少は速いようですが、その手の比較データが見つかりません。

たぶん乗り換えのメリットはほとんどないと思うけど
この辺の資料を見るといいんじゃまいか
ttp://www.rtpro.yamaha.co.jp/RT/docs/pdf/RTX1100-concept-20050404.pdf

>>594
ルーターのIPsecを使って、VPNを組んでいるんなら関係しそうだけど、
書いてある用途じゃあ、たぶん、買い換えのメリットはないかと。

個人的には、ファーム多重、config多重、スペースでのコマンド補完が便利なんで、
RTX1100を使っているけど。

>>596
コマンド補完はTABだけかと思ってたよ
今やってみたら出来た
知らなかった、thx

>>597
ちなみにコマンド途中でEnterもおｋ
ad (Enter)
で、ちゃんとadministratorになる。

>>596
優先制御の限界が上がる話は前から興味があって、

RTX1000 で優先制御をやめて fifo にしてみたことがありますが、
下り平均 12Mbps 程度アップした程度なんですよね。
すいている時間だっただけかもしれず。

帯域制御は数字残っていませんが、
スピードがた落ちだったのですぐ優先制御にもどした覚えが。

ssh は欲しい気もしますが、やっぱりメリット薄いので
ちょっと新機種とか動きあるまで様子見ます。どもでした。

RT58iでもいい希ガスが・・・

WAN経由でファイル共有(CIFS)を使うとどれぐらいの回線速度で
頭打ちになりますか？

>>601
CIFSだから回線速度ではなく、応答速度に依存ですね。

>>602
遅延時間が関係あるようですね。
たとえば30ミリ秒の遅延があれば何メガビットの回線速度が頭打ちになりそうですか。

>>603
http://itpro.nikkeibp.co.jp/article/REVIEW/20070305/263936/
こちらに参考になりそうな資料があったのでご覧ください。

>>602
thank you!!

やっちまった、、、
パスワードがわかんない；；

うちの脳がEEPROMではないことを忘れてました。
こじあけられるかな・・・・

>>606
「security class」がデフォルトならメーカーが勝手につけたパスワードある。

>>606
http://pc11.2ch.net/test/read.cgi/hard/1176413958/114-119

>>607さま
>>608さま
ありがとうございます、w,lXlma も受け付けないモードでした。
ちなみにRTX1000DKFA なんですけど、基板上のシリアルEEPROMを
外して読んでみましたがMACアドレスが格納されているだけでした。
FLASHROMを直接触るしかないようです。

>>609
コンフィグ残ってないの?
初期化したほうが早くね?

ストリーミング動画を見たいのですが、うまく見られません。

拠点A
RTX1000−VOD
　｜IPsec
RTX1000−Player
拠点B

上のように、拠点間をRTX1000でVPNしているんですが、
拠点Aでは問題なく見られるVODサーバーのストリーミング動画が、
拠点Bではうまく見られず、次のような現象です。

Realtekでは、見られる。
Intel、Broadcomでは、見られない。ただし、Tcpmonを動かすと見られる。

フィルターの設定かと思ったんですが、LANカードによって見られたり見られないって
あるんでしょうか？

>>610さま
初期化できるんでしょうか・・・

初期化して構わないなら、背面のINITボタン押しながら電源のOFF/ONしてみな

>>613さん
まじ、INTボタン見逃していました・・
取説にはメーカーに出せなんて書いてるからｗ
もう少しでFlashROMひっぺがしてるとこでした。
早速今夜ためしてみます！

RT107eを使っています。
DoS攻撃に対する防御はどのように設定すればよいですか？

614です。
INITボタン+電源ONとマニュアル通りにやってみましたが
解除されませんでした。もしかして壊れてるのか・・・

> 616
INITボタンですが、押しながら電源投入して、
電源をonにしたあとも、
20秒ぐらい押しっぱなしにしたままにしますと、いかがでしょうか。

>>617さま
20秒以上し続けてみました。

RTX1000 Rev.8.01.20 (Fri Jan 13 17:03:42 2006)
Copyright (c) 1994-2006 Yamaha Corporation.
Copyright (c) 1991-1997 Regents of the University of California.
Copyright (c) 1995-1996 Jean-loup Gailly and Mark Adler.
Copyright (c) 1998-2000 Tokyo Institute of Technology.
Copyright (c) 2000 Japan Advanced Institute of Science and Technology, HOKURIK
U.
Copyright (c) 2002 RSA Security Inc. All rights reserved.
00:00:00:29:00:00, 00:00:00:29:00:00, 00:a0:00:29:00:00,
Memory 16Mbytes, 3LAN, 1BRI

Password:
エラー: パスワードが間違っています
Password:

でした；；

>>618
初期化したならブランクパスワードになってなかったっけ?

>>619さま
上記は
そのまま何もいれずにEnter押してます。
うーん；；

>>620
ルータは設定が初期化されたような動きをしてる？

>>620

工場出荷状態のパスワードはマニュアルに記載されてるよ
ブランクではない

>>622

工場出荷時のパスワードはブランク。
それとは別に設定されたパスワードがあり、security class が標準設定ならばそのパスワードが有効なだけ。

TwiceNATをやろうとしてるんですが
http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/twice-nat.html
これ試された方いますか？
まったくこの通りにやってるのに、WAN側から192.168.0.1に対して
コネクションを張ると、始点アドレスが172.16.2.1のままパケットが来てしまいます。
何か書かれてない前提条件でもあるんでしょうか…？

間違えた。
WAN側から172.16.2.1に対してコネクションを張ると、
当然NATが行われ192.168.0.1にパケットが飛びますが
192.168.0.1からnetstatなどでそのセッションを見ると
始点アドレスがそのWANノードの生IPになってしまっている、という問題です。

RTX1100を購入してVPNを組んでみようかと思っているのですが、
IPSecによるVPNって一つのIPをVPNで占有したほうが速度出るとかありますか？
NATでも別に大差ないとかならIP1契約でも十分なのかなぁと思っているのですが。

今度業務でハウジング先の回線とRTX1100を使ってサーバ公開する予定なんですが、
ハウジング先の回線の場合、どういう設定になるんですか？

今までPPPoEとかでしか使ったことがないのですが、通常の内部ルータと同じ設定でいいのでしょうか？

ハウジング先の回線がどうなってるかハウジング屋に聞けよ

RTX1100を使ってマルチホーミングでISP1(PPPoE)とISP2(専用線)に接続し、
LAN1に繋いであるサーバをNATで公開しています。
このとき、経路の設定は下記のようにしてあるのですが、

ip route default gateway pp 1 weight 10 hide gateway xxx.xxx.xxx.xxx weight 1 hide

ISP1側のIPアドレスに接続に来たパケットをISP2の経路で返すことがあります。(その逆もある)
ISP1と2で回線速度が違うため、できればISP1のIPアドレスにアクセスに来たパケットに対しては、
常にISP1の経路から返すようにし、ISP2のIPアドレスにアクセスしてきたパケットに対しては
ISP2の経路から返すようにしたいのですが、こんな設定は可能でしょうか？

>>626
レス付かないから私から一言。
1回線で1台のルーターならIP1個でもIP複数でも速度は同じじゃないのか？
複数ルーターで分散化するなら話は別だが。

>>630
NAT でIPSec という時点で普通に釣りだろ

NAT使っているなら、、、、サーバに二つ目のIPアドレスを振って、
ISP1から来たら一つ目のアドレスにNAT変換
ISP2から来たら二つ目のアドレスにNAT変換

外に出て行くときは、ソースアドレスを見てフィルタ型ルーティングを
動かせばいいんじゃないか？

初心者質問ですいません。
初めてRTXシリーズを触るのですが（既存は107e）、フィルタ設定をイチしっかりしないと
フィルタは掛かっていないものと考えていいんですよね？

Established オプションよりも安全性を考えればちゃんと書いた方がいいですよね？

外部からの攻撃を防ぐ意味であればNATだけ書いとけば、とりあえず良かろう
あとは、内部PCから変なパケット(NetBIOS系など)を変な相手むけに飛ばしちゃって、
返事もらったりしないように、フィルタ設定を煮詰めていくとよい。

鯖公開してたりDMZ作ったりするのなら、
それなりに最初からキチンと設定すること

>>634
ありがとうございます。
特に外部への鯖公開とかはなく、IPSecによる拠点間通信とインターネットなので、
Established と必要なNATでとりあえず始めてみます。

フィルタは徐々に追加して煮詰めていきます。
本当にありがとうございます。

マンションに YahooBB 光 Type-E （部屋の壁に イーサネットの口がある）しか選択の余地がなくしかたなく契約しています。
YahooBB 光ユニットとかいう糞ルータを強制的に使わされているわけですが、RTX で接続する方法はないでしょうか？
どうも、Mac アドレス認証し、DHCP で IP Address をもらっているようなので、光ユニットの WAN 側の Mac アドレスを
調べ、それを RTX の WAN のポートに設定すればいいような気はするのですが。BBフォンとかいらないので、普通のルータ使いたいです。
Netscreen でも Cisco でもいいんです。

引っ越せ

データセンタのとなりに住まわされているので無理ですね。

転職しちゃうとか。

>>638
ルータでなくちゃダメなの？
そんだけ近いならいっそのことL2とかL3にしたら？

>>636
ルーター一体型モデム？

それなら、設定変更してモデムモードにして、そこにルータ (RTX1100) 繋げばいいだけだと思うけど。

YAMAHAのRTX3000ってCiscoのどの機種に相当するスペック？

Cisco12000…だとさすがに4倍もあって冗談にもならんので3825と答えておく。

つーかスペックの何について比較したいんだ?

某所でRTX3000の見積もりとってみたのよ。

型番：RTX3000
>>634

商品名：RTX3000 イーサアクセスVPNルーター
定価：\498,000
お見積価格：\338,600

でね、Ciscoがやっぱいいのかなとも思うんだけど、
YAMAHAのコストパフォーマンスを知りたかったわけで。

7200だとかなりいい値段するし、3800クラスでもやっぱ高いじゃん。

その見積は何故RTX1500やRT58iでは無くRTX3000を選んだの?
その理由となった要件があるはずで、それが分らないとCiscoの場合に
どの機器を選べば比較になるのかが分らないよ。

以下は明らかに余計な御世話だけど、機器単体の価格以外にも
将来の拡張時に要する費用とか、社内/社外のサポート体制とか、
客の運用体制とか、その他色々考えて機器を選んでね！

そういえばCisco 7201にはUSBポートついたんだっけ。関係ないけど。

rtx1100を使って以下のようにつなぐことって出来ますか？
3.0はインターネットに直接繋ぎません。

インターネット インターネット
│ │
192.168.1.0/24 192.168.2.0/24
│ │
│ │
└──────192.168.3.0/24 ─────┘
│
　　┌───┴───┐
[webサーバー] [Fileサーバー]

「FOMAリモートセットアップ機能」対応ファームきたー

FOMAの件は着信だけだった。つまらん。

でも、以前ここで報告してた不具合がやっと直ったみたいだ。
↓
「RTX1100とRTX1500で、ログイン／管理者パスワードに同じパスワードを設定して、以下の組合せで暗号化して保存させた場合、認証エラーによりWeb Assistanceのトップページを表示させることができない

    * ログイン／管理者パスワードを共に暗号化して保存する
    * ログインパスワードのみ暗号化して保存する」

RTX1100を2台で拠点間VPN接続をしようと思ってるんですが、開通後にアクティブディレクトリなどを組む場合にどういったフィルタリング設定が必要なのかぜんぜんわかりません。何か参考になるサイト情報とか設定情報ありませんでしょうか。

THE NOVEMBERSが神

今話題のバンド。下北沢のシーンを轟音で駆け抜ける。
THE NOVEMBERS
ttp://music8.2ch.net/test/read.cgi/minor/1179893510/201-300 ←スレ
ttp://www.myspace.com/thenovembers11 ←試聴
ttp://the-novembers.cure.to/ ←公式PC
ttp://ip.tosp.co.jp/i.asp?i=the_novembers ←公式携帯

もう最強( ﾟーﾟ)

>>650
拠点間通信にフィルタ掛ける必須要件があるから聞いてるのか、
その必要性の有無をまだ検討してないのか、
既にVPNは構成したけどADの運用で問題があるから聞いてるのか
その辺全部はっきりさせた方がいいよ。

よくあるパターンとしては、拠点それぞれのLAN内は信用できるものと仮定して
拠点間トンネルの手前には何もフィルタを置かない、というやり方があるけど。

>>650
＞アクティブディレクトリなど
アクティブディレクトリだけを通過させてそれ以外全て禁止って意味か？でもなぜ後ろになどと書いている？
質問は理解できる文章で宜しく。
652さんの言うようにVPNだからLANポートの設定は全て通過で良いんじゃないのか？

ActiveDirectory使うには危ないとされるポートを
ほとんど開ける必要があるからフィルタはあまり意味が無い

初めまして、RT57iの設定をコンソールでやってます。
ネットボランチDNSサービスの設定をしているんですど

pp select anonymous
netvolante hostname host pp xxx　とし
netvolante-dns go xx を　pp anonymousで登録したいのですが
整数で設定して下さいと表示され、設定できません。

ちなみにネットワーク接続なのでかんたん設定ではDNSの設定が行えません.
どなたか分かる方はいらっしゃいますでしょうか？



　

>>655
pp select anonymous
で指定するのは、主に特定不能なリモートアクセスユーザを括る時の相手先情報なわけで。
そいつらが目指してくるべき、57iのグローバルIPアドレスを、netvolante-dnsで示してほしいわけだよね。
57iがインターネット接続で使っているppを選択した状態で、登録コマンドを実行してみて下さい。

>ちなみにネットワーク接続なのでかんたん設定ではDNSの設定が行えません.
何が「ちなみに」なのかも含め、この一行がまったく意味不明です。
シリアル接続だからGUIで簡単設定できないってんなら分かるけど。

６５０です。
僕初心者に近いんでやはりCONFIGとかの記述まで知りたいのですが、VPNにはフィルタリングが要らない場合、インターネット側の出口にかけるべきフィルタリングの基本的な内容を知りたいのですが、そんなサイトありませんか？

>>657
ほぼ同じ構成で使ってるけど
ヤマハに載ってるのを、そのままコピペするんじゃ駄目なのか？

それで動かして、少しずつ自社に合わせて行かないと
どうにもならないよ。

>>657
http://www.netvolante.jp/solution/vpn/case2/example1.html
添付の設定例集だとフィルタは何もないから、この辺でもパクって作れば？
常識的なのは書いてあるように見える。でも言うまでもないが、こういうのに模範的解答例はあっても完璧はない。

しかし、会社から業務の一環として構築を指示されているんなら、
「自分の力量では、何とか構築できても全社のLANを危険にさらすかもしれないので、専門業者を呼んでいいですか？」
と、今のうちから声上げておいた方がいいぞ。
管理者がその状態では先が思いやられる。

あと蛇足だが
>CONFIGとかの記述
ルータの設定はコンフィグで全て完結なので、意味もなく"とか"なんて入れないでね。
そんなに自分の発言に責任が持てないですか？

>>653

●Windows Firewall: Domain controller
You must turn off Windows Firewall to use this server role.
ttp://technet2.microsoft.com/windowsserver/en/library/2a1e2951-7ec8-4297-9c94-757766fb94671033.mspx?mfr=true

●ファイアウォール越しにActive Directoryを利用する方法
ttp://www.microsoft.com/japan/technet/archive/ittasks/tasks/adrepfir.mspx

>>653

>>654だった...

しばらくalliedをいじってたあとにrtx3000さわると、なんか安心するのは何故だろう
色のせいかな。やっぱ肌触りかな

そういやRTX3000で書き直したNATディスクリプタ、なんでSRT100に載せてくれなかったんだろうな。相変わらずテーブルあふれるんだが。
処理能力不足か？

650です。なんとか設定考えて2拠点のインターネットへの接続は
できるようになったんですが、結局拠点間のvpnがつながらず
ログを見ても両側共に下記のログ以降VPNの接続に関するログが出ていません。

[IKE] initiate ISAKMP phase to xxx.xxx.xxx.xxx(相手側グローバルIP）

show ip routeでTUNNEL1の表示もでて、RTX1100のWEB設定画面でトンネルの
[設定を調べる]ボタンを押しても全て特に問題ありません。と出ています。
何が悪いか経験で分かる方いませんか。フィルタリングのOUT側の問題とか
関係あるのでしょうか。

>>664
UDP 500番は空けてあるんだろうな？

>>665
ip filter 1020 pass xxx.xxx.xxx.xxx（相手グローバル） 192.168.100.1（自分ローカル） udp * 500
ip filter 1021 pass xxx.xxx.xxx.xxx（相手グローバル） 192.168.100.1 esp
で、in側フィルタにいれてます。ちがってますか？

とりあえず syslog notice on しておきましょう。

>>667
syslog notice onは両側入れてるんですが、
WAN側、LAN側のIPに関わるrejectのログは見当たりません。

なんかこんなのでてきたんですけど、

LAN2 Rejected at IN(2000) filter: UDP（相手側グローバルIPのブロードキャストIP）:500 >
（ローカルのLAN側IP）:500

IN側のフィルタ設定のせいでipsecがブロックされてるってことなんですかね？

惜しいところまで来てる感じだな。
繋ぎたい両拠点のconfig全体を晒してみては…
もちろん、パスワードとかグローバルIPアドレス等を伏せてだけど。

>>Kode71qa9g
フィルタ外してやってみ？
それと、NATはどうなってる？

教えてください。
RTX1100にVPNでログインするユーザーに対し、ユーザー別に割り当てるIPアドレスを
決めることはできるのでしょうか？
RT57iの場合は割り当てるIPアドレスが全ユーザーで共通設定になっていて
別々にはできなかったのですが・・

>>672
pp auth usernameで57iでも出来るよ

RTX1100のip filterコマンドでアドレス並べたてみたが、一行に約28000文字は全部飲み込めないみたいね。
RTA55iはできたのに。

>>674
4095文字以内だ。

YMS-NM1なくなっちゃった・・・使って他の俺だけ？

http://netvolante.jp/solution/int/case4b.html
とまったく同じネットワーク構成にしようと考えて RTX1100 を買ったのですが、
ISP が USEN の BROAD GATE02（複数IPアドレス）なので、
この例のように PPPoE で繋ぐわけにはいきません。
LAN2 ポートの WAN の設定はどうすればよいのでしょうか？

LAN2 ポートに UCOM からもらった IPアドレス を割り当てたりしてみましたがダメでした。
いろいろ探したのですが全然見つからず途方に暮れています。
教えてください。

>>677
> ISP が USEN の BROAD GATE02（複数IPアドレス）なので、
> この例のように PPPoE で繋ぐわけにはいきません。
何が「なので」なの？
「複数IPアドレス」だから「PPPoEが不可」と思ったのか
「PPPoE以外の何か」だから「PPPoEが不可」と思ったのか
BROAD GATE02ってのにも、色々あるみたいだから
何に悩んでいるのか良く分からん。

>>677
使えるIPは何個？（BroadCast、Networkアドレス抜いてな）
そもそもPPPoE接続とIPが複数割り振られてる云々の話は
競合するもんじゃない。

>>678-679
ありがとうございます。
使えるIPはブロードキャストとネットワークを除くと6個になります。

PPPoEと競合する概念ではないというのはもや〜っとわかってるつもりなんですが、
何分知識がないもので伝わらなくてすみません。

要は >>677 に挙げたYAMAHAのサイトの例での
「WANのインタフェースの設定」をどうすればいいのかわからないのです。

例えば
network: 221.xxx.0.0/29
gateway: 221.xxx.0.1
が割り振られているとして、
ルータのLAN2ポートには
ip lan2 address 221.xxx.0.2/29
ip route default gateway 221.xxx.0.1
と設定したのですが、設定を保存した後でも
外部にpingを飛ばすことができませんでした。

>>680
( ﾟдﾟ)？

> network: 221.xxx.0.0/29
> gateway: 221.xxx.0.1
> が割り振られているとして、

gateway ってのが何を指してるのかいまいちわからんが、
類推しすると、そのGatewayアドレスをルータに食わせろ、
ってことじゃないの？
>>677のWeb事例で言うとlan2で固定する気なら

pp select 1
pp always-on on
pppoe use lan2
略
ip pp address 222.xxx.0.1/29
でlan2 のpp1に固定IP振ってして、
さらにlan3にも固定IPを振り分けて固定する（無駄がでる）

PPPoEでUnnumberedでいいなら、素直に
ip lan3 address 221.xxx.0.1/29
ip route default gateway pp 1
じゃねーの？

>>680
>>681さんと一部ダブルが。
ルーターとは異なるネットワークを繋ぐものですしたがって、LAN1(LAN側)とLAN2(WAN)側で異なるネットワークアドレスにしないと行いけません。←これ基本。
数パターンの接続方法があるが。
1.WAN側に振るIPアドレス＆プロバイダー側のゲートウェイが資料で着ていないか？
2.Unnumberedで繋ぐ。
3.PPPoE、USENならPPPoEでは無いと思う、と言うか資料は無いのか？
等があるね。
私なら、ルーターをいきなり繋ぐのではなく、ＰＣを直に繋ぎ接続試験をしてみるけどな。

>>680
USEN の BROAD GATE02 はLAN型接続なので、IPの割り当てが

network: 221.xxx.0.0/29
gateway: 221.xxx.0.1

ならば、

ip lan2 address 221.xxx.0.2/29
ip route default gateway 221.xxx.0.1

でいいはず。

で、LAN3には 221.xxx.0.0/29 の範囲のIPアドレスは使えないので、適当なプライベートIP で NAT しましょう。

>>683
あれま。じゃ、そもそもPPPoEじゃないのか。

すまん、LAN型のPPPoEってことか。
寝ぼけてるな。。忘れてくれ。

連投本当にすまん。メダパニしてる。

>>683
ってことはなにか、USENってリモートPP側のIPアドレスも
回線契約者側の負担なのか。ちょっとセコいな。
実質使用できるのが一個減るわけでしょ？ｗ

そんなのよくある。

うちも1個持っていかれてるわ
Unnumberedだと良いんだけどねー

んでもYAMAHAのスレでアレだけど、
YAMAHA以外でunnumberedが使えない機械とかも有るわけで。

んで、677さんは解決したのかな？

すみませんお返事遅くなりました。

まずは >>682さんおすすめの通り RTX1100 はちょっと置いといて
UCOM光ﾌｧｲﾊﾞ網 - ﾒﾃﾞｨｱｺﾝﾊﾞｰﾀ - ﾊﾌﾞ - PC
という構成で試してみました。

PC には
IP: 211.xxx.0.2
MASK: 255.255.255.248
GW: 211.xxx.0.1
DNS: 211.xxx.0.1
と設定したら、

ping 66.249.89.147 # www.google.co.jp
はオッケーで
ping www.google.co.jp
はホストが見つからないとなってしまいました。

ということは RTX1100 には、 >>683さんの教えてくれたように設定すればいいはず。
だけど問題は dns サーバは自前でたてなきゃいけない？ってことでしょうか。
とほほ。

ルータの設定がうまくいったら、また後ほど書きにきます。

> dns サーバは自前でたてなきゃいけない？

(　ﾟдﾟ)

( ﾟдﾟ )

>>691
>DNS: 211.xxx.0.1
UCOMに指定されたDNSサーバにしないと駄目ですよ。

>692
そういうことを言っちゃうような人も
RTX に手を出す時代になったってことだな…

>>692,694
すいません･･･。

>>693
ですよね、ところがUCOMからはDNSサーバについて何も指定がないんです。


それと RTX1100 を一度 cold start して初期化した後、
>>691 と同じように
ip lan2 address 221.xxx.0.2/29
ip route default gateway 221.xxx.0.1
save
と最小の設定だけして
ping 66.249.89.147
したんですが、100%ﾊﾟｹｯﾄﾛｽになってしまいました。
悩ましいです。

>>695
GATE02の口はDHCPが生きてるから、
ｶﾞｸﾌﾞﾙしながらwindowsPCでもつないでみれば
DNSのアドレスはわかる。

>>695
あのさー、>>678でも書いたんだけど
http://www.gate02.ne.jp/
の回線サービスって所を見ると、いろんなサービスメニューがあるのよね。
中には「Bフレッツ・アクセス」っていかにもPPPoEを使いそうなものもあれば
そうでないものもある訳さ。
DNSサーバの話だってそうさ。自前でたてるか否かなんて
http://www.gate02.ne.jp/service/option/index.html#dns
にもあるけど、ニーズに応じて自分で選んでるんだろうから
そんなの他人では情報がなきゃ分からんて。
そもそもDNSサーバのホスティング云々の必要性がない場合もある訳だし。
しっかり情報出さないと、訳分かりません。