YAMAHA業務向けルータ運用構築スレッドPart5

アキバの夫だろ

夫、1200が74800だな

ｒｔｘ1100に関して質問させてください

lanに掛けた動的フィルタで通信の挙動がおかしくなります
インターネットへのアクセスが非常に遅くなったり、まったくできなくなったり、vpnの先にあるsambaサーバーへの書き込みができなくなります（読み取りは可）

でもこの動的フィルタを解除すると正常に外部と通信できるようになります


次のようにセッティングしています

ip lan1.4 secure filter in 4000 dynamic 11 12
ip lan1.4 secure filter out 4500

ip filter 4000 pass * *
ip filter 4500 reject * * *
ip filter dynamic 11 * * tcp
ip filter dynamic 12 * * udp

rtx1100のlanインターフェイスのin方向でudp,tcpを乗せる動的フィルタをセットし、
そのout方向にすべてのパケットを条件にしたrejectスタティックフィルタを掛けています
こうすることで、vpnトンネルインターフェイスからlanへのアクセスを禁じているわけです

今は、フィルタを解除して送信しています
このように動的フィルタは使うことができないのでしょうか

http://nttxstore.jp/_II_YH12624472

RTX1200
\78,330

http://www.getplus.co.jp/product.asp?product=1586371
\78,057

>>940
ダイナミックパケットフィルタって対応アプリだけじゃないの？Win共有って何時の間に対応したの？

>>943
そうなのですか、すっきりしました

サポートに聞いても、tcp,udpだけで設定は問題ないなんてこといわれて、もやもやしていたところなのです
このときRT57iのコンフィグ自動作成で得られるものにはアプリケーションごとにわざわざ定義されているのはどうしてかと聞くと、
「それはお客様のセキュリティーポリシーによりますから」と言われた
なんかいい加減な対応だった

>>940
無茶苦茶なconfigだな

>>943
デタラメ言うな

>>946
教えてください

>>947
まずフィルターはLANでなくトンネルにかける。
あて先アドレスなど＊を使わず数字で書いて明確にする。
ファイル共有は135-139 445 など全部双方向とも開ける。

ヤマハで定義してないダイナミックフィルターでも、その定義を自作できる

>>949
行きパケットと、それに対して返されるパケットの定義？
通したいアプリケーションについて通信の仕組みを理解しなければいけなさそうですね
でもダイナミックフィルタ定義でポート番号の代わりにアプリ名「www,ftp,smtpなど」で
指定できるものは、あらかじめヤマハが定義しているということですね
ユーザー定義では、これと同じものを定義することになるということですか

>>950
＞デタラメ言うな
といっている人がいるんで動くようですよ。

ちなみに私が行った設定は下記を見てやってみました。（大分昔です）
ttp://www.rtpro.yamaha.co.jp/RT/docs/firewall/index.html
書式は静的＋動的とfilter行を２行書く

昔のファームではhttps(443)等も動きませんでしたが今のファームでは問題なく動いているようです。

動的はインターネットで使うもんなのでインターネットで使わんアプリは動作確認していないのかも知れないと勝手に思いこんでいます。
動くといっている人がいるんで動くのかもしれない、とりあえず頑張ってみなされ。

そもそもWin共有の設定はメーカーさんが>>940のようにすれって言ったの？なんか間違いだらけじゃない？

それ以前に、なんでWin共有で動的つかうん？Win共有は安全な場所としか通信させないんじゃないのとか思うけどね

>>940
関係ない話だけど、、、、LAN1.4 とかLAN分割機能を使用すると、
ファストパスが働かなくなるから、性能がガタ落ちになりますよ。

以下の「ファストパスで処理されるパケットの条件」を参照。
http://www.rtpro.yamaha.co.jp/RT/docs/fastpath/

>>951
ありがとうございます、リンク先を読みました
動的フィルタリングは「アプリごとに定義済のもの」と、「ユーザー定義のもの」とに分けられるのですね

リンク先には動的フィルタリングの「ユーザー定義」の例がありました
# ip filter dynamic 1 * 172.16.0.1 filter 10 in 12 out 11

天下りになりますが、
サーバーとのセッションは通常、複数のコネクションからなり、
これらのコネクションを「ユーザー定義」では指定しなければならないとわかりました
上記の定義だけで、動的フィルタリングを開始するためのトリガ（* 172.16.0.1 filter 10）、
以後の通信で伴う順方向と逆方向コネクション（in 12 out 11）が含まれています

　でも、たとえばftpなどの特殊なアプリの定義は、データー転送のためのポートはアプリの中で動的に決定されるものなので、
上記の形式の「ユーザー定義」では無理そうですね
　しかしルーターにはこういう特殊な通信するアプリのための定義があらかじめされていました
たとえばftpがそうです
これは動的に決定されるポートを、通信パケットの解析でPORTコマンドやPASVコマンドから見つけだしているようです
　上位層ではじめて通信ポートが決定されるようなアプリのための「ユーザー定義」はできなさそうです
だからsambaのセッションがどのようにコネクションを張っているのかによって
そのダイナミックフィルタリングのための「ユーザー定義」ができるか決まってきますね


>なんでWin共有で動的つかうん？

　ｖｐｎトンネルを張って全体で大きなプライベート領域を構築していて、
その中でも更なるプライベートな領域(lan1.4)から、vpnを通しsambaサーバーにアクセスする構成にしているからです
vpn側からこちらへの探索を避けたいと思ったのです

>>951
>メーカーさんが>>940のようにすれって言ったの？なんか間違いだらけじゃない？

　いや、あれは自分で書いたものです
udp,tcpはすべての共通の層だからそれを書けば良いと勘違いして書いたものです
　でも、○サポにこれで何か間違っていますかと質問したのですが、今まで皆さんがおっしゃたこと何一つ言わなかったです
どうもその人は実はわからなかったようです
それどころか、私と同じ理由を並べて間違いないと言いました（いいかげん）
しかし実際に通信がおかしくなるのだから、設定が正しいわけないと私は確信を持っていたのでさらに食い下がったのですが
「失礼ですが、少しでも通信ができるのだったら間違いではないですね」と淡々と失礼な感じで言われた
この人はいったい本気で言っているのかと思いました
「それでおかしければ、status.txtを送らなければ詳細はわかりません」と譲りませんでした
アプリケーション名を指定しなければ駄目なのではないかと手を変えてみたけど、
「失礼ですがそれはお客サマのセキュリティーポリシーの問題ですので何も言えません」などと言われた
ルーターよりの低レベルな話を、高レベルな話にすりかえようとする逃げの姿勢の本当に不誠実な応対でした
一般的なことは何もアドバイスしてくれなかったです

つまるところ、わからないのなら潔く別の担当者に代わってほしかった
なんでもかんでも結局status.txt出してくださいというのだったら、電話サポートの意味がないように思う
本当に必要な場合にのみインフォームドコンセントして要求してほしい(秘密事項を*ですべて隠すのは大変なんだから)
自分がわからないことをstatus.txtの提出要求ですり替えるのはやめてほしい

以前に当たった人は本当に的確なアドバイスをくださってとてもよかったのですけど
そういうのがほしかった

>>952
自分で確かな情報を探し調べ直接つながることが何より頼りになりますね
ありがとうございます

ネットワーク機器のサポートに問い合わせたら発声一発めに
「まず show tech 送れ」ってのはどこのメーカーでもふつうだけどな

サポートがログとか送れいうのは当然だろｗｗ
客のいうことは信用したらいかんのがサポートの鉄則だからな

サポートは客のLOG情報を絶対に漏らさない、守秘義務を負っていますか？

そんなもんここで聞くなｗ

そんなに気になるなら住商情報システムと保守契約すりゃよかろうよ

コマンドリファレンスの本を買ってきました。

試行錯誤しましたが、とりあえずPPPoE接続まで出来るようになりました。

低レベルな話でヾ(ﾟдﾟ;) ｽｯ､ｽﾏｿ

皆さんの雷対策どんなのですか
ルーターにはAC電源の他に、ISDNなど電話回線がつながっているので
近隣への落雷で二つに電位差が生じコモンモードサージの通り道になってしまいます

私は何の対策もしていなかったので今年の夏は二拠点でrtx1100が落ちてしまいました
壊れたか？と思っていたけど、ACプラグをいったん抜いてしばらく置いたら復帰しました
なかなかタフです

>>961
マニュアルも設定事例集も公式にあるのにぃ

>>963
紙のテキストが手元にあったほうがわかりやすいからじゃないかな。
かくいう自分もそうなので、あのpdfを印刷してファイリングしてあるｗ

職場にマニュアルとか接続ケーブルとか一杯あるからもらって来たよ。
でもあまり見るようなものじゃないな。
接続ケーブルもつないだの最初のIPアドレス入れたときだけだし。
書き写すと間違えるからwebからコピペの方が簡単。
そういえば１１００だと付いてくるけど１０７eには付いてこないのな。

>>962
普通にUPSかな。
家には無いけど、会社では設置してる。

家で使用するUPSなら、音家で十分だろうな。
http://www.soundhouse.co.jp/shop/ProductDetail.asp?Item=233%5EUPS500II%5E%5E

音屋なんてすすめるなよ。。
と思いつつ見てみたら、、なんつー安価だ。。
1200VAで一万ってマジかよ。。

>>967
UPS500II
装置の詳細がわからないからなんともいえないけど
背面写真には電話ラインのパススルーがありますね
避雷素子を通してACラインと電話ラインの相方向でサージを
逃せるようになっているのかな
それだとコモンモードサージからルーターを保護できますね

でもupsって鬼のように重たいんですよ

>>967
一人レビューしてる奴…
「安物にありがちな方形波でなくステップ波」
とか言ってるが、その二者って同じものを指している用語ではないのか？

ステップで一度上がったらそれっきりになったら、それはもはや直流出力だｗ
なんだよステップ波って。へんな用語を使うな＞音屋

>>970
ステップ波と方形波は違う。(2値しか取れないステップ波は方形波に等しいが)
http://www.comtecs.co.jp/beamtech/Beamtec.files/faq.htm

>>971

俺もその可能性は考えたが、方形波との違いをアピールする気があるんなら
ステップ分割数を誇らしげに書いても良さそうなところだな。

といってもバッテリ使用時の話だけだし
といいつつパソコンだけ電源で変換してるからいいけど
音源っては正弦波以外鬼門じゃなかったっけ?

日経NETWORKの検定クイズで、YAMAHAの問題が出てる。
https://aida.nikkeibp.co.jp/Q/NKTitp.html
今日までみたい。
ネットボランチ板を見て。

本検定は終了いたしました。またのご協力をお願いいたします。

　

RTX1100実機導入前で試すことができないので質問させてください。

センター側のみ固定IPを取得して拠点間でIPSec-VPNをする予定で、センター側RTX1100の設定で質問です。
固定IP契約は、PPPoEで接続するたびに同じアドレスを1つ自動的に取得するタイプのものなんですが、
WAN側IPアドレスは、

1.
ppp ipcp ipaddress on
ppp ipcp msext on
で、自動取得すればいいのか、それとも、

2.
ip pp address xxx.xxx.xxx.xxx
ppp ipcp msext on　 （これでDNSサーバーのアドレスだけ自動取得できるものなのかも疑問）
と、固定IPを手動で設定したほうがよいのかどちらが正しいでしょうか?

また、1.の方法で自動取得した場合、ipsecトンネル設定の
ipsec ike local address 1 xxx.xxx.xxx.xxx
の部分で、固定のグローバルIPを書いても、ルータが理解できないのではないかと思うのですが、普通は
どのように設定するものでしょうか?

>>977
1 でいいよ。
ppp ipcp ipaddress on
ppp ipcp msext on


psec ike local address 1 xxx.xxx.xxx.xxx
の部分で、固定のグローバルIPは書かないよ。
local adrdess って書いてあるだろ。ローカルアドレスを書くんだよ。

固定のグローバルIPは remote address にかくんだよな。
普通に数字で書けば良い。
ルータが理解できないってどう言う理論なんだろうな。

レスどうもです。
「ヤマハルータでつくるインターネットVPN 改訂第2版　229ページ」の設定例では、固定IP拠点側では、
ipsec ike local address 1 その拠点のWAN側アドレス
を設定しているので疑問に思った次第です。

>>979
>ルータが理解できないってどう言う理論なんだろうな。
>>977でいうところの1.の設定ではルータにWAN側IPアドレスを明示的に設定していないので、
ipsec ike local address 1 xxx.xxx.xxx.xxx
でいきなりxxx.xxx.xxx.xxx（取得予定のWAN側IPアドレス）が出てきてもxxx.xxx.xxx.xxxって何のアドレス？
ってなるかと思ったけど、そんなことないですか。

>>980
そんな事ないです。

>>980
RTX1100だったら、ipsec ike local address 1 ipcp pp 1
でいいんじゃない？

私のこじつけにすぎないかもしれない

ipsec ike local address 1 ....は
IKE（インターネット鍵交換）の処理を任せるノードのアドレスを記述するのだと思う
RTX1100ではその装置が自分自身であるだけの話ではないか

ついでに言うと、そこは127.0.0.1（ループバック）ではいけない
以前に試したがだめだった
このことはつまり、ipsec処理の担当とIKE担当とではルーター内部でも異なる位置にあるということだと思う
だからIPSEC処理担当がIKE処理のために自身へループバックするのでは駄目で、
いったんインターフェイスアドレスへまわすことではじめてIKE処理担当へIKEパケットは到達できると考える

このように考えると、試したことはないが、
ipsec ike local address 1 ipcp pp 1
でもいけることになるな（フィルタリングされていないとして）

しつこくてすみません。

YAMAHAの設定例集
http://netvolante.jp/support/example/command/VPN/22.2.html
でも、固定IP拠点でのWAN側IPは手動設定した上で、

tunnel1# ipsec ike local address 1 172.16.0.1　（この例では172.16.0.1はWAN側IP）

と設定しているのですが、やはり一般的には、

pp1# ppp ipcp ipaddress on
pp1# ppp ipcp msext on
tunnnel1# ipsec ike local address 1 LAN側IP

で動かしてる例が多いのでしょうか？

いまさら亀レスですが・・・

上のほうで、Ciscoとつながらないという話出てるけど、
Ciscoとつなぐ時は、ipsec ike local(remote) id が必須。

YAMAHA同士だと不要なので、結構これで嵌る人多し。