YAMAHA業務向けルーター運用構築スレッドPart8

【前スレ】
YAMAHA専用スレッド
http://pc.2ch.net/test/read.cgi/network/997877142/
YAMAHA業務向けルータ運用構築スレッドPart2
http://pc5.2ch.net/test/read.cgi/network/1037975157/
YAMAHA業務向けルータ運用構築スレッドPart3
http://pc8.2ch.net/test/read.cgi/network/1092832668/
YAMAHA業務向けルータ運用構築スレッドPart4
http://pc11.2ch.net/test/read.cgi/network/1144116104/
YAMAHA業務向けルータ運用構築スレッドPart5
http://pc11.2ch.net/test/read.cgi/network/1196114751/
YAMAHA業務向けルータ運用構築スレッドPart6
http://pc11.2ch.net/test/read.cgi/network/1223667451/
YAMAHA業務向けルータ運用構築スレッドPart7
http://pc11.2ch.net/test/read.cgi/network/1235817285/

【公式サイト】
YAMAHA RT series router Home Page
http://www.rtpro.yamaha.co.jp/

【お約束】
・ここはYAMAHAルーターで、小規模〜大規模のネットワークを構築、運用する人の
　ための情報交換スレッドです。

・ネットボランチシリーズ（コンシューマー向け）、業務用向け機器でもYAMAHAルーターの
　設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は以下のスレッドへ。
YAMAHAヤマハブロードバンドルーターpp select 13
http://pc11.2ch.net/test/read.cgi/hard/1260284347/

>>1
おつ

>>1
訂正
YAMAHA業務向けルータ運用構築スレッドPart7
http://pc11.2ch.net/test/read.cgi/network/1245454435/

おおっ、やっと復活したか。

乙 >1

さっそくですが、質問させてください。

RTX1500には、温度センサーがついていて、
SHOW ENVORONMENTで、その温度を表示させられます。

現在、４０度を示します。
これからネットワーク室の室温があがっていく季節になりますが、
表示温度は何度以下におさえたほうがいいでしょうか。

また、みなさんの所は今何度ですか？

>>6
以前MLでもそんな話題が出たことがあるな。
あくまで、周囲温度が条件になるって事だったとおもう。
で、ほとんどの機種が、動作環境条件が、周囲温度0〜40℃。
この範囲内なら負荷100％でも問題ないはず。

たとえば、うちはRTX1200で周囲温度27度のときに、内部温度44度だった。（CPU使用率は0%）
常識的な範囲で、この温度差は一定になるから、
周囲温度が40度の時は、無負荷なら内部温度は57度になるはず。
負荷があがれば、これよりもあがるはずなので、57度までは安全圏と見ている。

で、こういった温度差は機種や設置環境で違うだろうから、
自分で温度計を使って一度計ってみた方が良いと思う。

>>7
ありがとう。

rtx1200の場合、室温４０度では、内部温度は５７度になりますか。

うちは、室温２８度（・・怪しい）で、内部は４０度です。
CPU使用率は８パーセント未満です。

show environmentコマンドで表示できる温度は、
実際には箱内の温度なのかなあ。
室温に対して、プラス約２０度は高すぎると思う。
実は、チップの温度だったりして・・・

サーバー室が、遠隔地にあるので、
室温を調べるために、RTX内臓の温度計が使えると思っていたのですが、
結構ずれがありますね。（確かに、室温と、内部温度の差は一定だと考えれば、計算で室温は求められますが。）

> 室温に対して、プラス約２０度は高すぎると思う。

何を根拠に・・・
四六時中通電してる状況なのに？

新ＰＩＣ−ＮＩＣキット
通販コード　K-03740
発売日　2010/05/21
http://akizukidenshi.com/catalog/g/gK-03740/

おお、発売日が先月じゃんか。
LANが使えて、温度表示もできる（らしい・・）ので、これで、遠隔地の室温を計れるかな。ちょっと、興味があって。
（エアコンも、LANでアクセスできたらいいのに。）

夏場は、やはりルーターなどのコンデンサ破壊が気になってしまいます。

若干スレチすみません。

>>9

rtx1500って、通風孔が上部にたくさん開いています。
部屋は空調の冷たい空気の流れがあるので、
それで、室温に対して２０度も高いというのは、疑問でした。

これは、どこかのチップの温度を意味しているのではないかと。
「筐体内温度」とは書かれているものの、表現が間違っていたりしてと思って。

スレ復活オメ
>>1乙

特定のチップの温度ってなると、今度は熱すぎるんじゃないですかね？
CPUに近い位置にはあると思いますが。

自分でファンを回して積極的に排熱するのではなくて、周りとの温度差を利用して
熱伝導---言い方合ってるかな？つまりは、暖かい方から冷たい方へ---で
『漏らすように』排熱するタイプなので、多少は内部に熱はこもると思います。

> CPUに近い位置にはあると思いますが。

すみません、主語が抜け落ちました。
内蔵温度計のことです。

>>12
なるほど。
でもCPUと接した空気間の熱伝導でその温まった空気の温度と、室温との差は２０度近くにもなるかなあ。
というのは、温まった空気は密度が低くなり当然上昇し、通風孔から出て行くから。

だから、あるいは、基板からの熱伝導を拾っていることも考えられるな。

前スレの990以降どんな話題があったかおせーてorz

ここに>>3のURLを貼り付けるとよろしい
http://www.geocities.jp/mirrorhenkan/

RTX1200 なんですが、IP8 使ってて

ip lan1 address 192.168.0.1/24

pp select 1
(略)
ip pp address 貰ってるIP8の2つめ/29
(略)
ip pp nat descriptor 1
pp enable 1

nat descriptor type 1

nat descriptor address outer 1 貰ってるIP8の2つめ
nat descriptor masquerade static 1 1 192.168.0.1 udp 500
nat descriptor masquerade static 1 2 192.168.0.1 esp

dns server プロバイダから教えられたアドレス


という風だと問題ないんですが、
これに

nat descriptor address inner 1 192.168.0.1-192.168.0.254

を追加すると、ルーターで名前解決（nslookup 〜）が出来なくなります。
address inner の行を消すと名前解決が出来るようになります。

RTX1000/1100 でこんな問題に遭遇したないですが、いったい何なんでしょう？

うちの1200は室温26.5度で

RTX1200 Rev.10.01.22 2010/04/30
11:46:12 0% 19% 43℃

こんなんでました。

>>17
DNSの話ししているのにDNSの設定は何も書かないの？

> ルーターで名前解決（nslookup 〜）

ルータにtelnet/sshでログインしてnslookupコマンドを叩くってこと？
ルータをゲートウェイとして使っているPCのnslookupコマンドを叩くってこと？

後者だとは思うけど、どっちにも取れるんだよな

>>17
ルーターで、ログでもとってみてはどうかと。
何かエラーがでているはず。
それをup

>>14
結局、温度センサーって、どこに接しているんだろうね。

浮いたサーミスタでも、電極を通して熱が伝導してくるだろうしな。
誰か、箱開けたことある？

RTX1000/1100なら写真見つけたけど、温度計なんて分からんなｗ

>>23
RTX1100/1000は、SHOW ENVIRONMENTコマンドで、温度は表示されないよ。
だから、これらには温度計はついていないんじゃないかな。

>>24
失礼
久しぶりにコマンド打ってみて改めて気づいた・・・orz

>>17
inner addressなんてデフォルトのautoでも良いんじゃないの？
あと、nat descriptor type の後ろはmasquerade？

温度の話しが出てるのから便乗で。
RTX1200の筐体温度をMRTGでグラフ化した方おられますか？

snmpwalk -v 1 -c public 192.168.1.1 .1.3.6.1.4.1.1182.2.1.15.0
結果
SNMPv2-SMI::enterprises.1182.2.1.15.0 = Gauge32: 42

snmpwalk -v 1 -c public 192.168.1.1 system
結果
SNMPv2-MIB::sysDescr.0 = STRING: RTX1200 Rev.10.01.22 (Wed Apr 21 16:17:03 2010)
SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.1182.1.37
SNMPv2-MIB::sysUpTime.0 = Timeticks: (1738619) 4:49:46.19
SNMPv2-MIB::sysContact.0 = STRING:
SNMPv2-MIB::sysName.0 = STRING:
SNMPv2-MIB::sysLocation.0 = STRING:
SNMPv2-MIB::sysServices.0 = INTEGER: 12

となりますが具体的な mrtg.cfg の書き方が分かりません。

Title[rtx_temperature]: YAMAHA RTX1200 筐体温度
PageTop[rtx_temperature]: <H1>YAMAHA RTX1200 筐体温度</H1>

こんな感じで書きたいと思ってるのですが。

抜けてました。1行目は↓で。

Target[rtx_temperature]: .1.3.6.1.4.1.1182.2.1.15.0:[email protected]:

snmpwalk。。

ルーターで、SNMPなんてつかったことないわ。

>>26
>nat descriptor type の後ろはmasquerade？

はい、あれコピペしたつもりなのに抜けてますね、すみません。

IP8の最初の1つめをルーターのみにして・・・と使い分けたいので
本当は inner address に 192.168.0.1 のみ指定したいのですが、
192.168.0.0/24 すべてを範囲に入れても、なぜか前述のような挙動を示すものです。

挙動の違いは inner 行のある/なしだけなんです

>>20
ルーターに telnet に入って　nslookup という意味です。

クライアント側の TCP/IP 設定で、DNS サーバーを ルーターに向けて、
クライアント側で　nslookup しても結果は一緒です（当たり前ですが）


クライアント側の TCP/IP 設定で、DNS サーバーを ISP の公開する DNS 鯖に向ければ
クライアント側で　nslookup すれば問題なく引けてきます

何でnslookupにこだわるのか？pingとかでも結果同じと言うことか？
なんか回りくどい質問だな。

はい、ping でも同じです。

クライアントからの名前解決をルーターに仲介させたいって希望は普通じゃないですか
ルーター自身が名前解決できないと困るでしょ

ntp.nict.jp に同期も取れないし、ファーム自動アップもできないし

要は

nat descriptor address inner 1 192.168.0.1-192.168.0.254

の有る無しで挙動が変わるって点が不思議に思ってて
RTX1000/1100と比べてRTX1200から何か仕様が変わったのか？
と疑問を抱いている次第です。

可変IPじゃなくてIP8を使ってるくらいで
それほど特殊な条件で使ってるわけじゃないと思いますが。

>>31
それならRTX1200対DNSサーバだのはずだから、NATやIPマスカレード（NAPT）は通過しないと
思うんだけど？

逆に聴くが、おまいらの RTX1200 では
inner address を定義した状態で、ルーター自身から正引きできてる？

よくわからんのですが、
パラメーター二つを入れるように、＆で同じ値を2回入れてみるとか。

Target[rtx_temperature]: .1.3.6.1.4.1.1182.2.1.15.0&.1.3.6.1.4.1.1182.2.1.15.0:[email protected]:

1200をさわったことがないのでわからんのですが
扱えるnatエントリーが増えてたとおもいますので、
その分、内部処理と外部挙動が変わってる可能性はあるとおもいますよ。

サポート送りの話と思いますけど、nat d(略)inner を明示したケースは、
out側には、outについてるppアドレスでそのまま出て行くけど、帰って来たとき、
in側で、先にnat処理がされちゃって、エントリーができてないからはじかれる、とか。
nat descriptor log on とsyslog debug on, syslog notice onで見れば
udp53がdefaultフィルターでrejectされてたりするとか？

はずしていたらすみません。
気になったのはここです。
IP8の最初と最後の１コずつは使えません、というのはご存じと思います。
IP8では、実際に使えるアドレスは６こです。念のためconfigのコピペミス確認を。
> ip pp address 貰ってるIP8の2つめ/29
> nat descriptor address outer 1 貰ってるIP8の2つめ
> IP8の最初の1つめをルーターのみにして

とりあえず私なら、ppアドレスを削除してこんな感じにします。
pp select 1
no ip pp address
ip pp nat descriptor 1 2
nat descriptor type 1 masquerade
nat descriptor type 2 masquerade
nat descriptor address outer 1 IP8のふたつめ
nat descriptor address inner 1 192.168.0.1
nat descriptor address outer 2 IP8のみっつめ
nat descriptor address inner 2 192.168.0.2-192.168.0.254
nat descriptor masquerade static 1 1 192.168.0.1 udp 500
nat descriptor masquerade static 1 2 192.168.0.1 esp

IP8の6/8は承知してます。
「貰えたアドレスの2つ目」と「使えるアドレスの1つ目」という風で
同じことを別の表記で書いてしまい混乱させて申し訳ありません。

pp に ip 振らず、ですか
もしルーターに IPSec させたいときには、lan1 secondary にグローバルを振るんでしょうか？

せっかくなのでサポートに聞いたほうがいいですね
いまから ML 流すと特定されそうで(笑)

MRTGの方はここを参照してみてはどうでしょう？

【MRTG/rrdtool】 グラフィカルモニター化 Part3
http://pc12.2ch.net/test/read.cgi/unix/1126361848/
※1の日付を見て驚いたのは内緒ですｗ

MRTGも商用とかでは必須ですが、面倒ですよね
コマンド3回叩いたりとか、cfgファイルの中身なんて寝不足の時に見た日にはもう・・・
最近ではMuninあたりを使うと楽が出来そうですが

> もしルーターに IPSec させたいときには、lan1 secondary にグローバルを振るんでしょうか？

いえ。実動作上は不要です。不要のはずです。rtxの仕様は、動的IPでもIPsecできますよね。
ppにアドレスを振らないケースでは、
ルータ-からインターネット側へ出るときは、nat(IPマスカレード)で変換します。
入るときは、IPsecに必要なudp500とespについては、静的IPマスカレードでフォワーディングさせます。

ppにIPを振るとしたら、"/32"へ変える、または、"/29"をつけない、です。

まあ個人的な趣味なんですが、ppに振らない理由は、ppはぴあぴあだからです。
振ってしまうと、ルーティングテーブルが一つ増えるつまり処理がすこし増えますし、
人に診てもらうときにも説明が増えますからです。

>>37さん >>40さん

アドバイスありがとうございます！
Target[rtx_temperature]: .1.3.6.1.4.1.1182.2.1.15.0&.1.3.6.1.4.1.1182.2.1.15.0:[email protected]:
にするとグラフが動きだしました。

ツッコミ所も多いかと思いますが↓の様に書いて動いたという事で報告まで。
# RTX1200のテスト 筐体温度
Target[rtx_temperature]: .1.3.6.1.4.1.1182.2.1.15.0&.1.3.6.1.4.1.1182.2.1.15.0:[email protected]:
MaxBytes[rtx_temperature]: 100
Options[rtx_temperature]: gauge, absolute, growright, nopercent, noinfo
YLegend[rtx_temperature]: Temperature(℃)
ShortLegend[rtx_temperature]: (℃)
LegendI[rtx_temperature]: / Temperature
LegendO[rtx_temperature]: / Temperature
Legend1[rtx_temperature]: / Temperature
Legend2[rtx_temperature]: / Temperature
Title[rtx_temperature]: YAMAHA RTX1200 筐体温度
PageTop[rtx_temperature]: <H1>YAMAHA RTX1200 筐体温度</H1>

>>42
MRTGはターゲットを必ず2種類指定する必要がある
名称の通り、元々はinput/outputのトラフィックを監視する目的で作られたんだろうから
こうなってるんだろうけど
ターゲットが1つの場合は、そのような感じで同じOIDを2回書くんだわ

>>43さん
なるほど、そうだったんですか。勉強になりましたφ(..)ﾒﾓﾒﾓ

>>41
ありがと、週明けに試してみます。。

http://itpro.nikkeibp.co.jp/article/NEWS/20100609/348969/

>価格は「RT58iと同程度を目指したい」（説明員）とする。RT58iの価格はオープンだが、実売価格は4万円前後となっている

すんません、初歩的な話かもしれませんが、
RTX1200でBBルーターとして使っています。
・LAN1　LAN
・LAN2　未使用
・LAN3　WAN側（pp1 インターネット）

これを、今回LAN2をDMZとしそこに無線LANのブリッジを設置しようと思います。
・LAN1　LAN（LAN3のみアクセス可）
・LAN2　DMZにして無線LANブリッジを置きたい（LAN3側のみアクセス可）
・LAN3　WAN側（pp1 インターネット）

その時に、LAN1からLAN2またその逆もアクセス不可にしたいのですが、
ルーティングテーブルに書かなければ通信不可を担保できるでしょうか？
別途フィルターとかはいらないのですかね？

ご教示お願いします。

>>48
フィルター立てないとだめ。

>>48
逆。何も書かなければ、素通し。
フィルターが必要。
たとえば、クラスCのアドレスなら、
ip filter 番号 reject * 192.168.0.0/16 * * *
を両方に効かせておけば、とりあえず通らない。

っていうか、そういうのもDMZって言うの？

もう少しお勉強した方がよかね

>>51
X10_2gou降臨

>>48
>ルーティングテーブルに書かなければ通信不可を担保できるでしょうか

あかん、同一装置のLANインターフェイスには自動的にルーティングされる。

>>48
DMZかぁ、BBルータなんだよね？
ポートフォワーディングをするだけなら
LAN1をポート分割するのが一番楽なんだけどな
ただしLAN1をポート分割するとUPnPが使えなくなったりするけど

いやぁみなさんありがとうございます。
まとめると、

ルーティングはいじらずに
LAN1←→LAN2　の通信にフィルター設定

ということですね。
当初LAN1にVLAN切ることも考えたのですが、
元のフィルター設定を変更しないといけないので
やめました。

----------------------------------------
ip lan1 address 192.168.1.1/24
ip lan2 address 192.168.2.1/24
ip lan1 secure filter in 1000
ip lan1 secure filter out 1000
ip lan2 secure filter in 1000
ip lan2 secure filter out 1000

ip filter 1000 reject * 192.168.0.0/16 * * *
----------------------------------------
LAN3はpp1です。

ってなかんじですかね？

>>55
RS232C端子のあるPCとクロスケーブルを用意しとけ。
で、始点、終点を、よく見てよく考えろよ。
LANポート経由でルーターにアクセスできなくなるぞ。

>>56
あっ、そうですね。
自分があほでした。

基本LAN2に無線LANブリッジを接続して
LAN1へのアクセスをさせたくないだけですので、
LAN2への出入りを制限するのみとします。

----------------------------------------
ip lan1 address 192.168.1.1/24
ip lan2 address 192.168.2.1/24
ip lan2 secure filter in 1000
ip lan2 secure filter out 1000

ip filter 1000 reject * 192.168.0.0/16 * * *
----------------------------------------

いろいろありがとうございます。
精進します。

> 55
暗黙のルールには、経路情報にlanのアドレスが載ること以外にも、
パケットフィルタリングは、どのフィルターにも該当しないパケットをrejectする、というのがあります。
よくあるのかどうか知りませんが、ciscoも同じ動きで、"暗黙のdeny"とか言われてます。
なので、最後にpassをいれておきましょう。

で、56が指摘してるようなルーターの操作と機能、つまり
telnetでのアクセス、dhcpとかdnsを動かすのであれば、
もうすこし細かいフィルターがベターかも。

ip lan1 secure filter in 1020 1099
ip lan1 secure filter out 1002 1099
ip lan2 secure filter in 1010 1099
ip lan2 secure filter out 1001 1099
ip filter 1001 reject * 192.168.1.0/24 * * *
ip filter 1002 reject * 192.168.2.0/24 * * *
ip filter 1010 reject 192.168.1.0/24 * * * *
ip filter 1020 reject 192.168.2.0/24 * * * *
ip filter 1099 pass * *

rt58あたりの、web設定が自動生成するconfigが参考になるとおもいます。

>>58
暗黙のdenyですね。。
いやぁ〜本当にありがとうございました。
ググって良く調べておきます。

>>59
暗黙のデナイ、、
デフォルトフィルタね。

ディナイって発音するんだよな、そういえば。
最初の頃はデニーって発音してたわ。ｗ

ピンをピングというのと同じ感じかｗ

>>61
デニーって、誰。

>>62
ちがうだろ。

暗黙のデニーエニーｗ

Kennen Sie Denie Annie?

>>63
笑い話くらい素直に笑っとけよ、まったく・・・

>>66
文字じゃ、空気が読めないからなー
笑っているんだよ、そしてそのボケに、突っ込んでいるの。

じゃ、これも小ネタ。さっき来たばかりです。

[SA40150] Yamamah "download" File Disclosure Vulnerability
ttp://secunia.com/advisories/40150/

やままぅ

>>68
何、yamamahって、やままって読めるけど。
YAMAHAとは関係ないよね。

これも、空気嫁ってか。

>>70
うはｗｗｗ
YAMAHAに脆弱性キタコレ！？
・・・と思ったらやままぅってなんだよバカスｗｗｗｗｗｗｗｗｗｗ

というのが、空気を読むということだろう。

>>71
先輩~

FTPのヘアピンNATで教えてください。

pp1 が PPPoE で外に繋がってて
ip pp nat descriptor 1 になってます。

で、NAT の中身ですが

nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 192.168.1.2 21

です。192.168.1.2 は Win2003 の FTP サーバーです。
外からグローバルアドレス経由では問題なくFTPにアクセスできますが、
ローカルアドレスの端末からグローバルアドレス指定ではアクセスできません。

ヤマハは標準でヘアピンNATが有効になってると聞いたのですが、FTP の場合は何か必要なのでしょうか。

passive でやってる？

restart したら上手くいきました。
すみませんでした。。

ＦＴＰのパッシブ接続に関して質問です。
ルータRT107e　FTPサーバソフトウェアはFileZillaです。
ブラウザ経由からのサーバーへのFTPパッシブ接続が旨くいきません。
WANからルータRT107eを通してサーバへアクセスすると接続がはじかれます。
ポートは20、21番開放しています。

どなたか子宮ご教授ください！

>> 76
config晒せ

>>76
FileZillaでSSLでは無いよね。
チェックにブラウザ使うと何が起こっているか分からないので使わない事。
コマンドか転送内容が見えるffftpなどのクラを使う。
ポート20はサーバーからの送信元ポート番号だから、static nat で開く必要は無い。
ファイヤーウオールが一番怪しいね。dynamic でFTPを許可していますか。
configもlogも出さなきゃレスはむずい

レス有難うございます。
サーバーにwebシステムを搭載しており、ブラウザ経由でのFTPアクセスが前提なんです。
今日会社でログ採取してみます。
助かります！

>>76
＞ポートは20、21番開放しています。
えっと初歩的なミスがあります。
20の代わりにランダムな1024を使うのがPASVです。（PASVだけなら20は使いませんので閉じてよい）
なおランダムな1024以上の範囲はFTPサーバーの設定のどこかにあると思います。

RT107eで任意のポート範囲を開放し、
FileZillaで適切に設定したらうまくいきました。
有難うございました。

RTX1200でwindows標準のVPMクライアントでIPSecで通信しようと思うんだけどできるのかな？
やっぱyamahaのソフトでないとむりかな？

>>82
双方、固定IPならいけたはず。（アグレッシブモードが使えない）
それと、NAT越えが出来ないんじゃなかったかな。
だから、PC側はインターネット直結で固定IPアドレスが必要っていう、
かなり高いハードルになるんだったと思う。

>>83
ありがとう。
ということはイーモバとかで出先でつなぐのは無理か・・・。
無難にyamahaのソフト使うかな。

ってかNATトラバーサルができるからNAT越えはできそうなんだが。。。
何が問題なんだろう。。。

WindowsだとPPTPしかできないんじゃなかった？
IPsec使える？？

>>84
PPTP使えばいいじゃん。
iPadからでもつながるので、リモートでリモートデスクトップできて重宝してる。

>>87
同時に6人使う予定があるからPPTPだと4台までだからダメなんだよね。

1200は知らんが1000や1100は実際は４台という制限はなく
トンネル数分接続できるよ
４台は推奨値じゃなかったかな？

http://art5.photozou.jp/pub/843/181843/photo/18939751.jpg
http://monok.hp2.jp/url.php?u=art6.photozou.jp/pub/718/123718/photo/3985425.jpg
http://art5.photozou.jp/pub/718/123718/photo/3985408.jpg

中古のRTX1000を買ったほうがいいよ。

89>>
ためしに6台同時に接続して通信したけど、回線切られたりファイル
転送が異常に遅くなったりまともに使える状態じゃなかった・・・。

１台だと？
４台同時だと？

IPSecでも6台同時は無理だろ

RTX1100に同時４台が推奨なんていう制約があるなんて知らなかったな。
少ない。RTX1500だったら？
どこ？

たしかに推奨値4って書いてあるな
最大セッション数がいくつあろうが、推奨値は4なんだな

PPTP同時に6ってある程度の規模のネットワークだよね。
RTX内部にPPTP専用のルーターかサーバー置いたら？PPTP専用にしたらCPU負荷も軽減されるだろうし

専用ルーターかサーバー置くなら最初からIPSec張るだろ

うちはRTX1100にクライアントRT58でLAN間PPTPで６ぐらい張ってるけど大丈夫だよ
そんなスピードは速くないけどね

どっかで、PPTPは元々全部ソフト処理になる上、処理自体も重い。
だから、RTXレベルのCPUだと、かなりきつい。
ソフト上では、制限かけてないけど、4セッション以上つなぐと、
その他の処理（通常のルーティングとか？）に、影響出てくるから、
おすすめしない。
元々、管理接続用のつもりでつけたし。

って書かれていたのを見た気がする。

>>100
RTX1500も、はじめはPPTPついていなかったものね（後にファームアップで対応）
ソフトウェア処理しているのだなということがわかる

どうりで遅いわけだ

>>102
×どうり
○どおり

>>103
すまない。>>102の表記が正しかった。
道理で・・・どうりで

その通り・・そのとおり←これと勘違いしていた。
ttp://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q1411089264


お詫びにレポートする
[Q4] PPTPの最大セッション数は?
[A] 機種毎に以下のようになっています。
RTシリーズ
RT300i : 30(推奨値 4)
RT105e : 20(推奨値 4)
RT105i/RT105p : 10(推奨値 4)

RTXシリーズ
RTX1000 : 30(推奨値 4)
RTX1100 : 30(推奨値 4)
RTX1500 :100(推奨値 4)

RTVシリーズ
RTV700：30(推奨値 4)

NetVolanteシリーズ：4

[Q7] 圧縮に対応していますか?
[A] 対応していません。WindowsのPPTPクライアントの場合は、PPPの設定でソフト
ウェアによる圧縮を行うのチェックを外してください。RTシリーズやNetVolante
シリーズがクライアントの場合は特に設定の必要はありません。

ttp://www.rtpro.yamaha.co.jp/RT/FAQ/PPTP/rtpptp-ans.htmlより

RTX1000を使っています。
自宅のルータではポート80は192.168.0.2
ポート25は192.168.0.3にといった感じで設定をして
複数の自宅鯖にアクセスできるようにしています。

こういった設定がマニュアルを見てものっていません。
このIPアドレスはこのIPアドレスへといった設定は載っています。

上記のような設定のサンプルを教えていただけると
大変助かります。ご存知のかたよろしくお願いいたしますです。

してるんなら今使ってるRTX1000の設定がサンプルになるじゃん

あ、すみません。自宅のは家庭用のNECのルーターです。

じゃあこことか
ttp://www.rtpro.yamaha.co.jp/RT/FAQ/NAT/static-masquerade.html

>>105
単なる静的NATだろ。
コマンドリファレンスで、nat descriptor masquerade staticを調べれば載ってるよ。
たとえば1個目の設定は
nat descriptor masquerade static (NAT DESCRIPTORの番号) (ID) 192.168.0.2 tcp 80

参考にするなら、このあたり。
http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/command.html

>>108
おおぉ
これはいけそうです。サンクスです。

少しは調べろや
カス

やなこった

公式Webの資料は他では有り得ないくらいの充実度なのに、ろくに調べもしないまま、
まず最初に2chで聞くってのがそもそも間違ってるんだよ
まあ楽だとは思うけどね
自分のことは棚にあげて、役に立たねーなカス、間違ってるじゃねーかカスなんて
言っていればいいんだから
実際にサポートに問い合せたり、面と向かって人に聞いた場合は、こうは行かない

まあ、しかし、どんな場合でも初心者は、熟達者と違って
問題とする世界がどうなっているのか真っ暗闇でわからないわけで、
熟達者の諸氏が、こっちだよと一本ローソクを点けてやれば、
それをきっかけにして勉強することができるようになるとは思うのだが。

今回の場合も、その一本のローソクが、>>108-109だったということだと思うのだが。
そこからさきは、自力で調べることだろう。

しかしでも、>>113が言うように、
ローソク一本だけでは足りない初心者は、公式の設定例集で
自分なりに解釈し勉強することは重要だろう。
自分なりに意味づけ、知識の体制化ができなければ、講習会とか先輩に直接指導してもらう必要があるだろう。
設定例集はそういう知識の体制化に役立つことは何一つ書いてはいない。

業務用yamahaシリーズははじめがしんどい。

PapaさんがMLで必死に呟くルーターのこと蒔いてるが
誰も食いつかない。。

俺的にも、呟くとか、ハッキリどーでもいいんだが。

interopにいけない人やツイッターさわってない人の方が
多いでしょうに、確かに、すこし空回り感
それに、実装されるかどうか分からないものを出されても

勝手に動くhttpクライアント＋文字列パターンマッチ できるNW機器の
用途ってなんでしょうかね・・・
DDNSの定期更新？　ファームウェアの更新通知？
NVDNSの死亡確認？　2chの自動巡回？

それよりもsnmpの64bit対応お願いします
ギガで回すとmrtgのカウンターがとぶんですよ

httpで稼働状況返す機械を巡回して、結果をまとめてどこぞの掲示板に書き込む。

USB使用の監視用に・・・ActiveDirectoryのGPOに採用した方が受けそう。

いつぞや書いた、URL_FILTERのログから検索ワードを管理者宛にメールするスクリプト、
Wikipediaも不完全ながら対応したが、ああいうのをLuaでつけたら・・・・
イヤラシすぎるか。
ネットボランチクラスだと、家庭内のプライバシー云々も問題になりそうだしなぁ。
（Google SSLが完璧な抜け道だけど）

スレ違いかもしれませんが質問させてください。
稼働中のRTX1000があるのですが設定変更のためログインしようとすると、
前任者（死去）が残したパスワードで弾かれてしまいます･･･

マニュアルを読むと、シリアルをつないでコマンドを打ち込めばログインできる
ようですが、これを行ってリセットされるのはパスワードだけで済むのでしょうか？
設定がリセットされることはありませんか？？

フツーに日本語を理解すれば大丈夫だとわかっているのですがこいつを止めると
えらいことになるので念のため使用者の皆さんにお聞きしたいと思いまして･･･

消されるな、この想い！

>>119
リセットと言うよりは、RS232Cで接続した場合は、自分が設定した物のほかに
「w,lXlma」というパスワードも使えると言うだけだ。
だからそれでログインしていて、「cold start」とかやっちゃうと
当然すべての設定は消える。

それとそのパスワードが使えるのは、security classのコマンドで、
許可されている場合のみ。もし、禁止されていたらお手上げ。
まあデフォルトでは許可なので、明示的に禁止するようなことを
してなければ、大丈夫なはずだが。

>>121
安心しました。やってみます。
恐らくsecurity classのコマンドはかけていないと思います。
私が前任者でもかけません。

フロアには業者も入れますが、サーバ室に入るにはいくつもの鍵を
開ける必要がありますから、部外者は直接シリアルを繋げられませんし
そもそも万が一パスワードを忘れた場合、OFFにしていたら管理者でさえ
入れなくなってしまいますからね。

それでもオールリセットはできるから微妙。
コンフィグのバックアップぐらいあるだろうし。

てか死亡て・・・

まあ、それだけ大事なものなら、ログインしてshow config するか
パスワードを変更した段階で、tftpでconfig getぐらいはするでしょ。

死亡って言ってもいろいろあるからなぁ。
大学の同期のやつで、通勤中に突然死したのもいるし(確か25歳だった）
交通事故なんかは、いつ誰に降りかかってくるかわかんないし。
俺も、客先にだけは迷惑かけないように、資料はまとめておかないとな。

余談なんですが、他人様の生き死にについて書くのも難ですが、
まぁ後日談、もとい前日談として書いておきましょう。

前任者は激しい激務の中で要求にこたえ続けていました。
ある週の月曜に出社した社員がデスクで眠る前任者を見つけました。

「休日も終日徹夜か。おつかれ」

と声をかけそのまま寝かせていたところ、いつもなら遅くとも9:00にはおきるのに
今日に限っては全く起きようとしない。

さすがに10:00を過ぎて不安になり、肩を揺さぶってみると、既に心配停止し
死後硬直も解けた前任者の死に顔がゴトンと･･･









･･･というわけではなく、前任者は休憩時間にソープに行って腹上死したらしいです。
アホですね。勤務中に風俗で死ぬとかどんだけうっかりなんだと。
前述しましたが死についてとやかく言うべきではないですが彼はアホです。

地元の新聞にはちょこっと載ったらしいですが僕が入社する前なのでよく知りません。
でもまぁシステムは動いていたので基幹ネットワークに関してはタッチする必要が無く
数年放置されていたのですが、今回変更を加えることになり、新入社員の中で
「一番PCとか詳しそうなマニアックそうな奴」
の僕に白羽の矢が立った、というわけでした。皆様ありがとうございました。

前任者って何歳？

故障なかっただけ幸運だったね

どっちで死ぬかと言われたら明らかに後者を選択するな

>>126
死んだ年齢は、社員の話とその年齢を総合して計算すると47,8くらいですね。

>>127
そうですね。客先のシステムについてはちゃんと他の社員と情報共有ができていたので
彼に何かあっても大丈夫だったようですが、社内インフラは一度整備したらそのままですからね･･･

外部スイッチからオールリセット出来ないのは、
RT107e、RTX3000だけだっけ？

現行機種では、SRT100もそうだったと思う。
古いのだと、他にもいっぱいあるはずだが。

アキバでRTX1000が9980円だったから予備用にと買ってきた。
ほんとはRTX1100も19800円だったけれど、最近また値下がりしたのかな。

通電しか確認してないので良ければ、
Yオクで、RTX1000が5000円、RTX1100が12000円ぐらいっしょ。

チェック済みでその値段のもあるな

[rt100i-users 39147]って…

よほど困ってたんだろ
調査すべきはnatじゃなくてopen relayだとは思うが

RTX1100からPPTPでリモートログインしたPCにルーティングテーブルを吐き出したいのですが・・・出来そうで出来なかった。

RTX1100拠点A（内部192.168.0.1/24　外部固定IP）-ipsecVPN-RTX1100拠点B（内部192.168.1.1/24　外部動的IP）
PPTPでアクセスできるように、拠点Aに192.168.0.11〜192.168.0.14/24をPPTP設定。

外部からPCで拠点Aにリモートアクセス。当然拠点Aにはアクセス可能。
PCに拠点B（192.168.1.0/24）へのルーティングテーブルが無いから、当然拠点Bにはアクセス不能。
PCに　route　add　で、拠点Bへのルーティングテーブルを追加すれば拠点Bにもアクセス可能。
注）内部アドレスは適当。

事前準備もなく連行されて、とりあえず拠点Aへのリモートアクセス可能な状態にはしてきましたけど、
PPTPでリモートログインしたPCに拠点Bへのルーティングテーブルを拠点AのRTX1100から払い出すと言うのは不可能なんでしょうか？
おそらくその客先には二度と行く事は無いんで、どーでも言いと言えばどーでも良いんですが、出来そうで出来なかったのが悔しいｗ

リモート ネットワークでデフォルト ゲートウェイを使う
でぐぐれ
チェックしてあればデフォルトゲートウェイ渡すハズ

>>138
thx
あとは探してみる。

教えて下さい。
通常は、tunnel向けにstaticルート。バックアップルートとして、
OSPFでLAN側からもらったルートでIP-VPNで通信させたいです。

Ciscoは、staticルートのネクストホップが無くなった場合、
staticが消えて、バックアップとしてOSPFのルートがルートテーブルに
載るんですが、
RTXでは、staticルートがhideenとなるだけで、
ルートテーブル上消えず、テーブルにOSPFが載らないのです。
ちなみに、staticルートを削除すると、すぐOSPFでのルートが
テーブルに載ります。

これを、staticがhideになった場合、OSPFのルートをテーブルに
載せる方法、どなたかご存知でしょうか。

hide gateway など、複数のルートを書くのではなく、OSPFのルート
を載せたいです。

よろしくお願いします。

http://www.rtpro.yamaha.co.jp/RT/FAQ/TCPIP/dhcp-server.html#Windows
>なお、同様にNetBT (NetBIOS over TCP/IP) を無効にすることも可能ですが、
>クライアント上でのその設定は次にベンダ固有オプションが通知されるまで前の状態が引き継がれるとの報告があります。

ヤマハルーターに DHCP サーバーやらせてます。
DHCP からクライアントにアドレス配布する際に「NetBIOS over TCP/IP」を無効にしてやりたいのですが、
dhcp scope option 〜　は具体的にどんな風に書くのでしょうか。

>>141
取説嫁

>>141
＞DHCP からクライアントにアドレス配布する際に「NetBIOS over TCP/IP」を無効にしてやりたいのですが
どういう意味で書いていますか？
・DHCPサーバーでSMBのサービス停止の信号を送る？
・SMBのサービスを停止しても動作する？
どっち？

とりあえず後者の気がするので
DHCPとSMB「NetBIOS over TCP/IP」になんの関連性も無いよ。
「NetBIOS over TCP/IP」を無効にしても特別問題は発生しない。

ちなみにその説明の補足をしておくと
DHCPには特別な機能を付与することが出来その設定をOPTIONで設定します。
あくまでも特別な設定に関することです、一般的な利用でOPTIONは利用しません。

ＭＳのＤＨＣＰサーバーなら
http://support.microsoft.com/default.aspx?scid=kb;ja;313314
の方法でできるけどね

例：dhcp scope option 1 vendor_specific=02,04,00,00,00,01
みたいな　コード表が見つからんと駄目かもね？

>>140
どんな設定してるの？
OSPFの経路は通常時にshow ip routeで見えないの？
優先度が低いだけで見えると思うんだけど

>>140
普通の構成は、通常はospf、バックアップにstatic、ですからね。
145の言うように経路は持ってるはずですが、
ospfなのでpreferenceで負けてるんだと思います。

ip keepalive コマンドしてみたらどうでしょう。
監視先はトンネルの対向端点に振ったipで。
または、トンネルにもospfを流して、cost値で調整。

rtxシリーズなら、寿命ってどれくらいでしょうか。
もう10年近く365日連続で使っています。

MTBFでggrks、、、と思ったら、公表してないのね。
ファンレスだからMTBF100万時間くらいじゃないかな。
あとは設置環境次第。

寿命とMTBFは違うだろ
似てるけど

あ、そうだね。
生存個体1/eになるのが「寿命」だからMTBFから計算できるはず。
面倒だから誰かやってw

>>147
10年と言うとRTX1000かな？スペック的な寿命と言う意味だと、終わってるかな？
機器的寿命なんて、環境によるわな。電化製品と同じように10年が一つの節目かな？

心配なら予備買っとけよ

人間って丈夫だよな。

さすが、生物だ。

人間は多少壊れても治るからなｗ

こんなに時代は進化しても機械物って、まだ自己修復できないからな。
永久に使える機械物が登場したらメーカーは儲けられないから例えできたとしても製品化しないだろうけどｗ

人間の場合はＣＰＵ壊れても気づかないからなｗ

うちの上司はあきらかにCPU壊れてる。だれか交換してくれ。

ウチはHDDも壊れてるぞ。
さすがにメモリ（短期記憶）は正常だけど。
最大の問題は、内から外への動的フィルタリング。
完全に場当たり的にポート開くクセに、外からはまるで受け付ける気がない。

テスト環境が無いのを知りつつも「なんでテストしとかへんのや！！」と言う口先だけの上司
ＣＰＵが壊れているのか、暗にテスト環境を個人で用意しろと言う意図なのか・・・・

上司の椅子に、シリアルをつなげてパソコンに接続し、teratermを開き、
「あれっ、おかしいなあ、駄目だねコレ」って言ってみろ。

オオウケだろうな。

やったら即効で罵倒されると思うな。

SONYなどがオンサイト修理しないのも俺のせい。自分の思い通りに事が運ばなければ全て俺のせい。
機器のバグも俺のせい。YAMAHAのRTX対応（ファーム公開）が遅いのも俺のせい。
どこぞが作ったExcelVBAシステムの改修するのにも、Excelの本出してきて「これで何とかしろ」・・・・。
そこで初めてExcel触ったけど右も左も分からないままVBAからのSQL出力（帳票）システム改修作業だったなぁ〜。

途中入社のベテラン経理もSQLが分からなくて1ヶ月で辞めたよｗ

>>161
性格悪い奴等だね
多分、そういうやつは地獄行きだよ

まあ、しんどくなったら無理するな、発想変えて、
そんな柵（しがらみ）から抜け出しな。

ぎくしゃくした職場では、あなたのせっかくの能力を活かせない。
悪い人間は、人の所為にする。
つぶされてしまうだけだよ。あるいは、天罰が早々に下って、そいつが一番辛い目に陥るかだ。

円満にいきたいね。そうすれば、この国も良くなっていくよ。
俺は、ぎくしゃくした、幼稚なオトナの集団が一番いやだ。
人間関係とか、人生がわかっていない、幼稚なオトナはどうしようもない。

応援するよ。

>>162
すまん、既に帰宅中の事故（特別労災）が原因で解雇されて、そんな上司や柵とはグッバイしてます。

フレッツADSL引いてたから速度が速ければ自宅でNWテストしたんだけどね。それはそれでスキルアップできるわけだからね。
ただ、リンク速度で上り384kbps、下り128kbps（AMラジオが流れている昼間はリンク切れも多発）じゃ・・・・。
あと半年でもＢフレッツの開通が早ければ・・・・解雇翌月に開通しましたｗ

当人の性格が悪いと言うよりも、業界（引越し系の電気工事業）の常識みたいなのかな？（あの会社だけかな？）
応募してくる奴は、その職種（例えば電気工事士）の最低限度の技量があるのが当然だと言う考え方。
あと、会長（夫）と社長（嫁）と次長（息子）が・・・・船頭多くして山に登る状態。

質問があります。

RTX1100のLAN2インターフェイスに、あるネットワーク機器Aをつないで、
別ネットワーク（IP-SEC VPNの彼方）からアクセスしたいと思います。

しかし、この機器Aにはデフォルトゲートウェイもルーティングテーブルも設定できません。
すなわち同じネットワークに属すパソコンからアクセスできないものなんです。

そこでこのRTX1100のLAN2インターフェイスに、内向きにNATでも設定して、
機器Aと同じネットワークのIPアドレスに変換するようにしてはどうかと考えました。
別ネットワークのアドレスが、内向きNATを経由すると機器AのネットワークのIPアドレスに変換されるわけです。

しかし、もっとシンプルで綺麗な方法がないでしょうか。

VPNの彼方から、装置Aへアクセスするのは複数の機器です。
やはりこの場合、NATをLANインターフェイスに取り付けるのがベターでしょうか。

↑つづき、
マスカレードを使います。

ネットワーク機器Aって何？
そのネットワークにproxyサーバー置くとかは？

>>164
> すなわち同じネットワークに属すパソコンからアクセスできないものなんです。
から「しか」アクセスできない、だよね？

似たようなことをRT58iを使ってNATでやってる。IPSecじゃなくPPTPでだけど。

>>164
AをアンナンバードでRTX1100経由で他ネットワークのVPNに繋げば？
内向きNATの方が楽で応用が利くと思うけど。

返信ありがとうございます。
>>166
httpプロトコル以外の通信もする機器であるため、proxyは難しいです。
そのプロトコルのproxyもあることはあるのですが、費用が１０万します。
なので、ルーターをいじって対策を考えたいです。

>>167
すみません。「しか」が抜けていました。
そうですか。NATでできていますか。ありがとうございます。
うちは、
nat descriptor address outer で、機器Aが繋がっているネットワークでの「アドレスb」と、
nat descriptor type x masqueradeで、ナットマスカレードを使おうと考えています。
あとは、これをLANインターフェイスにセットします。
nat descriptor masquerade static で、ポートフォワード設定を行い、
機器Aが通信で使う特定のあて先ポートについて、VPN彼方にある専用装置へ転送します。

>>168
そういう発想はなかったです。
VPN彼方のネットワークアドレスを、機器A側ネットワークに融合し、同一ネットワーク化するということですよね。
もし、よければ、簡単な構成でプロトタイプを教えていただけるとうれしいです。
これもスマートな考え方だと思いました。
できそうなら、試してみたいです。
よろしくお願いします。

とりあえず、NATと、マスカレードで、望むことができるようになりましたので、お知らせ。

ip lan1.1 address 192.168.1.1/24　←機器A側ルーターアドレス
ip lan1.1 nat descriptor 1101 1100　←適用順序注意（1101を優先）

nat descriptor type 1101 nat
nat descriptor address outer 1101 192.168.1.9
nat descriptor address inner 1101 192.168.13.13

nat descriptor static 1101 1 192.168.1.9=192.168.13.13 1
nat descriptor type 1100 masquerade　←静的NATに漏れたパケットはマスカレードが担当する
nat descriptor address outer 1100 primary　←ルーターLAN1.1のprimaryアドレス


静的NATにすると、ポートフォワード設定が要らないので便利です。
プライベート領域なのでなんら問題はありません。

詳しい人ばかりの中にこんな質問するのはKYなんだけど
RTX1100を使って（現状2台あまっているので）遠隔地の同一セグメント同士をインターネットで
つないぐっていうのは無理でしょうか？
（どうも同一セグメント同士なんて普通はつながないっていう書き込みばかりみるので）
やりたいことは遠隔地のLAN３つのセグメントをただつないでやるということだけなんですが
他の機器を使ったほうがいいのでしょうか。

同一セグメントをつなぐって表現がすでにおかしいのは置いておいて…
できる
けどなんで同一じゃないといけないの？

>>171
L2TP/IPsecって事?
RTX1100だと出来なかった記憶がある。
センチュリーのXRシリーズあたりがお勧め

>>171
できたとしても、運用が最悪になるから薦めないのが普通。
ネット障害が発生した時の切り分けが大変。

同じネットワークアドレスのサブネットを接続するときは、

1)NAPTを通して接続
2)各サブネットのさらに小分けして接続

とする。1は導入が簡単だが、ネット障害の切り分けが難しくなり、運用が大変。
2は一部のノードのIPアドレスを変更する必要があり導入が面倒だが、運用は
普通。

異なるセグメント間を繋ぐとき、
デフォルトルートを使うのとNATを使うのでは、
どれくらいスピードが違ってくる？

すいません、誘導されてきました…。

お伺いしたいのですが、今回うちの事務所でサーバを建てることになって、今までレンタルのルータからRTX1200にしようと思っています。
・回線はBフレッツハイパー
・サーバは2台（メール・ウェブ）
・クライアントPCは10台前後
・IP電話あり

こんな感じでしょうか…

[FTTH]━━┳━━[RTX1200]━━━━━━[DMZ]メール、ウェブ鯖
　　　　　　　┃　　　　┃
[VoIPアダプタ] 　　　　┗━[ハブ]━━━[PC]

VoIPアダプタがNAT箱を兼ねなければならない仕様になってなければ大丈夫。

>>177
ありがとうございます。
VoIPアダプタはみかかのV110なのですが、それをルータモード（PPPoE）ではなく、アダプタモード（IPを端末に振らない）にすると言う事でしょうか。
単なるSIPクライアントにすればいのかな…。

ついでで申し訳ありませんが、LANポート一つに10台前後ぶら下げるより、複数のLANポートに分散させた方がいいでしょうか？

>>178
V110のアダプタモードは光プレミアムのCTU専用だから使えないよ。
PPPoE接続をRTX1200にやらせるなら、その配下にV110を固定IPモードで設置して
メールサーバやウェブサーバと同様に、V110にもグローバルアドレスを割り当てる。
或いはRTX1200のSIP-NAT機能を使うかだね。
http://www.rtpro.yamaha.co.jp/RT/docs/sip-nat/index.html

北海道ならCTUはないんじゃないか？
VoIPアダプタの型番は？

>>180
お前さんが>>178をろくに読んでいないのは分かった

>>176
V110はルータモード（PPPoE）でOK
RTX1200はハブとして使う

[FTTH]━[V110]━[RTX1200（ハブ）]━メール、ウェブ鯖、PC

あとはこちらへ
【IP電話】Web Caster V110/V120 その4【無線LAN】
http://hibari.2ch.net/test/read.cgi/isp/1265534983/l50

>>182
ありがとうございます。
ただ、そうしますと、あんまりRTXの意味がないような気がするんですが…

これは折衝してIP電話を廃止させた方がいいでしょうか。
光電話に変えてV110を返す…と。

お盆期間中にも関わらず皆様ありがとうございます。<(_ _)>

と、言うか経費なのでさっきRTX買ってきました。

[FTTH]━━┳━━[RTX1200]━━━━━━[DMZ]メール、ウェブ鯖
　　　　　　　┃　　　　┃
[VoIPアダプタ] 　　 　┗━[ハブ]━━━[PC]

以上のようにして、RTX1200と、VoIPアダプタ（V110）とで２セッション張ったらいいのでは？
RTX1200とV110は、スイッチングハブで結合する。

YAHOOのオークションで、RTX1000が叩き売り状態なんだということ知った。
ファームサポート切れだからなんだろうな。

RTX1000を買った人て可哀想。
しかし、差別だよな。たまたま上位のRTX1100を買った俺だけど、
気が変わってRTX1000を選択したかもしれない。

当時、サポートが早めに終了しますっていう情報を山はは公開していたんだろうか。

結局のところ、
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/index.html
で書いてある17, 18の脆弱性を修正したRTX1000のファームウェアは出ませんよってことか・・・・・・
順次リリースなんて書いてあったから、『難産』なだけであって出るものだとばかり思っていた。
告知も無しってどういうことなんだろうね。

>>185
RTX1000の方が古い機種なんだから、
1100よりも先にサポートが終了するのは、違和感は感じないが。

そもそも、1100は上位機種というよりも、後継機種。
「configがそのまま使えて、性能アップ」って感じの登場の仕方じゃなかったかな。
併売していた理由は「機種の変更は絶対に認めないという現場のため」
だったと思う。

1100→1200の移行も、そんな感じになるんじゃなかろうか。

>>185
発売日は1000が2002/10、1100が2005/02ですが、それでも差別とな？
NetVolanteで言うと、1000がRT56v（2002/07）とほぼ同じ世代
1100がRT57i（2003/07）〜RT58i（2006/09）の世代ですよ。

あと、YAMAHA的には1000はRTX第一世代、1100は第二世代扱い。
ぱっと見の数字で1100と2000が比較されるならまだしも、1000と1100なら
1000が1100より早くサポート終了になるのは、別におかしくないと思うが。

ほかの機種よりも短めのサポート、
あるいは、長めのサポートというヤツもあるでしょ。

打ち切り自体はしょうがないとして、EOLがはっきりしないのはどうも・・・(´Д｀)
提案しにくいやん。

>>190
EOLが実際に気になるのはHW故障に対するサポートでしょう。
本来的にはEOLにはファームのセキュリティ対策も含める必要あるけど、
この世知辛いご時世、セキュリティ対策のためだけに保守費用払ってくれる
上客は減った。
また、一度設定して不具合でていないなら、ファームアップや設定見直しも
しないのが主流じゃない？

>一度設定して不具合でていないなら、ファームアップや設定見直しもしないのが主流じゃない？

用心をすると、ファームアップ後の不具合は絶対避けたいものね。
ついこの前、一か八かでアップデートしたrtx1100に障害が出たよ。（泣）

ほら、あったじゃんか。
LAN分割機能を使っている場合に、ローカルインターフェイスと疎通できない不具合のあるファーム。
あれで、拠点まで出張するはめになった。原因不明だったので予備機と交換だよ。
しばくして、その不具合を修正したファームが出た。今年の春頃だったと思う。

こういうことがあるとファームアップには慎重になるよね。
だから今新しいrtx1100のファームウェアが出ているけど、まだ当てていないよ。
セキュリティーに問題がないので現状維持を優先するほうが大切だね。

だけど、セキュリティーに問題があればどんな機種でも
やっぱり修正版は出してほしいな。

>>190
>打ち切り自体はしょうがないとして、EOLがはっきりしないのはどうも・・・(´Д｀)提案しにくいやん。

本当にそう思う。
高いお金だしてrtx2000なんて買ってしまった人は、本当にがっかりだったろうな。
いったい誰が、ファームサポート打ち切りになると予想していただろう。
どうかrtx1500が終わりませんように。

常識的に考えてファームサポートをいつまでもやってくれる訳ないだろう。

http://www.rtpro.yamaha.co.jp/RT/support/support_policy.html
---------------
2. ファームウェアの修正は弊社が修正を必要と認めたものについて生産終了後2年間行います
---------------

>修正を必要と認めたものについて生産終了後2年間行います

生産終了するか否かがポイントになるわけだ。
rtx1500は、rtx1200にはない良さも持っているわけだから、
まだ終了にはならないだろうな。

でも、rtx1000は、rtx1100にその座を奪われたわけだ。

したがって、次にどういう新製品が出るか、出ているかをよく吟味する必要があるだろうな。

ファーム提供のためかどうかはわからんが
RTX1000は直系の後継機種1100が出てからもかなりの間併売してたんだから
すぐに旧機種を切り捨てる気でいるわけではないだろう

とはいえ1500はすでに発売して6年経ってるから寿命は見えてきてるな
（1000は2002年発売、1500は2004年発売）

>1500はすでに発売して6年経ってるから寿命は見えてきてる

でも当然それは、より内部性能の高いものが発売されてからでしょう。
rtx1600が発売されてからだと思う。

ある人が、販売代理店から聞いた話という、非公式な内容だが、
1500はすでに生産終了が販売店には告知されていて、
在庫のみと言う話が、MLで流れたことがある。
たしか先月の初め頃だったかな。

>>198
エエエーーー

じゃあ、その役を引き継げる装置は？
rtx1200じゃ内部の性能が無理よ。

1500はCPUが結構前に廃品種になってるようですな。

しかも現行品に適当なのがないぽい…

部品調達ができないってことですか・・・

＞http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/index.html
＞で書いてある17, 18の脆弱性を修正したRTX1000のファームウェアは出ませんよってことか・・・・・・
RTX1000 順次リリース
ってなってるけどだめなの？

>>202
あのう、しいて該当するのはPPTPぐらいだと思うんだけど気になるならIPsec使えばいいし、
まさか貴方はWEB設定画面とかTELNETをWEBに公開している兵とか・・・

アンカー間違った
質問者は>>186こっちか

>>185がなまじ　ファームサポート切れ　なんて書いたから、その流れでそう書いたんじゃね？
順次リリースってなってるんだから、出ることは出るだろうさ

そのうち

yamahaルーターのシェアは、やはり日本だけでしょうか。
それとも、ピアノのように世界のヤマハなんでしょうか。
yamahaルーターは良心的でとてもつかいやすいと思います。

>>206
日本だけだろう。
世界市場戦略品なら、プレスリリースとかで出ているだろう。
ヤマハルータがいいのは、ヤマハが技術情報・マニュアルおよびFW公開を
WEB上で展開してくれているのが一番だと思う。もちろん、MLも貢献している。
技術情報に関しては、質は疑問だがCiscoも公開するようになって、使いやすくなった。

そういえば中国向けださなかったっけ？

http://www.rtpro.yamaha.co.jp/china/

>>202
http://netvolante.jp/news/index2.html
を見る限り、RTX1000の生産終了は2008年3月31日と見ていい
それと>>194の内容を合わせた場合、今年の3月31日で期限切れと見ることも出来る

なるほど、ということは>>185の言うとおりなわけか。

情弱でした。スマソ。
でも、サイトをぱっと見る限り、日本法人の中国支社向けのような感じだね。
技術サポートも日本人みたいだし。
ところで、中国とのインターネット接続は苦労するから、気をつけてね。
100Kbps程度しか出ないことなんて当たり前で、インターネットVPNで拠点接続
なんかしようとすると、パフォーマンスが出ないで失敗なんかよくあるから。
まずは、日本側のISP選びが大切で、そのうえで中国側のISPをきちんと選ぶ。

どっちにしても、日中間の海底ケーブルが細すぎて使い物にならない。
中国政府の検閲プロキシのせいかもしれないけど

>>213
日中間の海底ケーブルを使うならいいけど、俺の時は、

日本-アメリカ-ドイツ-ロシア-中国(成都)

と世界2/3周していたよ。何ホップあるんだとあきれた。
キャリアに聞いたけど、中国側のキャリアとピアリングしようとしたけど、
めちゃくちゃ吹っ掛けるらしくってあきらめたと話していたよ。

へぇ
routetrace かけた限り、俺の時には香港経由だった

>>210
202でつ。なるほど。
＞2010/Jul/21時点でのリリース状況は・・・
ってなってるから無理元で期待して待つよ・・・

いんや中国国内市場をターゲットにしてる機種を発表したしょ

■中国の3Gモバイルインターネット環境に対応
中国市場でのネットワーク構築に最適なルーター2機種
− 『RTX1200』、『RTX800』 2010年6月発売開始 −
http://www.yamaha.co.jp/news/2010/10052801.html

中国内で終端する場合は比較的速いよ
問題は国境を超えるとき

たしか、中国国内市場向けと言うよりは、
日本の製品を持って行く場合は、通関がとても大変なので、
現地向けの製品と言うことで発売したってことじゃなかったっけ。
だから212の言うとおり、主なターゲットは、
日本の中国支社とVPNを組みたいって層だった気がする。

関係ないけど、確か中国って、「IT製品のソースコードをすべて公開しろ」
って法律がなかったっけ？その関係もあるのかな。
(まだもめてる最中だったかな？）

>主なターゲットは、日本の中国支社とVPNを組みたいって層だった気がする

じゃあ、telnetも、日本語表示できるのかな。

>中国って、「IT製品のソースコードをすべて公開しろ」って法律がなかったっけ？

技術が吸い上げられていく・・・

中国のソースコード強制開示強行は1年間の延期となったはず。

政府調達品のみじゃなかったっけ？

政府調達品のみだね。

クラッカーコードが含まれていないかどうかは気になるよね。

> 220

Interop で GUIは中国語、コンソールは日本語と英語 って言ってた気がする。
で、中国向けに日本向けのファームは入らないらしい。

あと、NetvolanteDNS が使えるとか使えないとかの話をしたのだけど、
あんまり興味なかったので、聞き流してしまった。

うる覚えなので、間違ってたらごめん。

YMS-VPN7ver1.0.0.2について。
Windows7 64bit HomePremiumにてVMWarePlayer3.1.1を入れゲストOSとしてCentOS５を動かしていたが、
YMS-VPN7の試用版を入れたらCentOSのネットワークがつながらなくなった。（ｕｂｕｎｔｕでも同様）

１．NATモードならつながるがブリッジモードはダメ。
２．YMS-VPN7の動作は会社のRTX-1100に対しNATトラバーサル、XAUTHで問題なし。
３．YMS-VPN7をアンインストールするとVMWareは問題なし。（再現性あり）

どなたか同様の問題を解決した方いますか？

YMS-VPN7が、NIC（1）にフックしちゃったんだろう。

試したことはないですけど、
もう一個、NIC（2）を接続して、NIC（1）とNIC（2）とをWIN側でブリッジする。

NIC(1)は、YMS-VPN7で用いて、
NIC(2)は、VMwareで用いるとかどうだろう。

質問です。

PPPoEの接続を無限に繰り返すようなコマンドがありますか?
同様に、IPSecでも、接続を無限に繰り返すようなコマンドがありますか?

教えてください。

これはひどいな

ありません

単に keepalive したいだけとか？

>>231
たぶんそういうことなんだと思うよ。

>231

まさにその通りです。意訳ありがとうございます。

======================================================

PPPoEは、こんな感じの設定にしています。

pp always-on on 60
pp keepalive use lcp-echo
pp keepalive interval 10 retry-interval=5 count= 4

pp always-on と、pp keepalive interval の関係は?

======================================================

IPSecの方ですが、固定IP と 動的IP間で IPSec使っていますが、
結構切れてしまいます。数秒で復旧する時もありますが、
1分以上つながらない時もあります。
最悪、ルーター再起動で直ります。

一応こんな設定です

ipsec ike always-on ? on
ipsec ike keepalive use ? on heartbeat 5 3

接続は、動的IP側から一方的にしています。

機種が分からんが
pppoe call prohibit auth-error count off
で幸せになれると思うぞ

回線はＡＤＳＬで不安定なの？
頻繁にpppoe切れる原因調べた方がよくね？

>>234
機種は、RTX1100とRTX1200を使ってます。

「pppoe call prohibit auth-error count off」って
コマンドリファレンスにのっていないような・・・

>>235
PPPoEとIPSecの件は別です。
IPSecが切れているときも、PPPoEはつながってます。
(対向のルーターにPingも通ります)

そりゃあ切れるような回線状態の状態で60s後に必ず繋がるわけ無いよ
しばらく通信状態監視した方が良いんじゃねーの？
あー、鳥ぎんときどき行くな・・・ｗ

＞状態の状態
賛成の反対の反対みたいになってる・・・orz

>> 237

PPPoEの方は切れることはほぼないんですよ。
ただ、設定的にかけておかないと、回線の工事や障害とかの時に
出張なんて面倒なんで・・・

IPSecは、ちょっとハマってまして、皆さんのお知恵を・・・
という感じです。情報少なくてスミマセン。
どの辺りから洗った方がいいでしょうか??

>あー、鳥ぎんときどき行くな・・・ｗ
関連会社をご利用頂いてありがとうございます。
釜飯の新メニューがそろそろ出来るようなので、また食べに来て下さい。

ヤマハの切り分けドキュメントと睨めっこして、具体的にこれは違ったとか言ってもらった方が。
show log/config さらすわけにいかないでしょうし・・・

漏れもインフラ管理者だったけど、そういう出張は大歓迎。必要以上に外出してたｗ
時々海外に行きたくなると仕込んでおいたミニ爆弾発動させてたのはナイショ

>>227　
>NIC(1)は、YMS-VPN7で用いて、
>NIC(2)は、VMwareで用いるとかどうだろう。

ありがとうございます！！！
余っていたUSBWi-Fiアダプタを刺し、有線と無線を同一セグメントで接続し、
ネットワーク接続のプロパティでYMS-VPN7とVMwareBridgeProtocolをそれぞれ使い分けで
ブリッジモードが復活しました。

これでしばらくYMSがヴァージョンアップするまで運用します。

質問です。RTX1100を使っています。
セキュリティー関係ログに次のような情報が刻まれていました。

----- result of "show ip intrusion detection" -----
show ip intrusion detection

PP[29][in] Action: reject
2010/08/27 04:32:48: Record route IP opt 155.XXX.2.YYY > 192.168.ZZZ.1　←RTXのアドレス


上で、PP[29]はPPPOEによるプロバイダ接続です。
こういう行が、複数ログされています。

これは、いったい何が問題になっているのでしょうか。

>>242
＞何が問題
とはどういう意図で言っているのでですか？
IPオプションヘッダ関連の攻撃をreject（破棄）したログだと思うんだけど。何処に問題があるの？
其の問題が伝わってこない

もしかして破棄したくないIPからのアクセスだったとか？

>>241
スムーズにできるなら、ヴァージョンアップしなくてもいいと思うよ
がんばれ！

>>243
わかりにくい表現ですみません。

>IPオプションヘッダ関連の攻撃
だということがひとつわかりました。

Record route IP optって、いったいどういう攻撃なんでしょうか。
今何が、攻撃されていて、何が危険な状態になっているのでしょうか。
今まで、こういうログが記録されたことがなかったので、うちが狙われているのか心配なのです。

>>233
＞ipsec ike keepalive use ? on heartbeat 5 3

もう片方の数字が違ったりするおちはない？

>>245
Record route IP optは、YAMAHAのホームページに書いてある。
http://www.rtpro.yamaha.co.jp/RT/docs/ids/index.html

その解説の中に出てくるRecord route headerは、ググってくれ。

>>247
ありがとう。

またお世話になった。

うーん、でもRecord route IP optを用いた攻撃については書いていないんだよなあ

そもそも使用用途がおかしいじゃんそれ。

とりあえず気にする程でもないだろ

>>250
どういう意味ですか

>>252
VoIPに関してはRTX1100(SIP-NAT)は通り道に過ぎないという意味じゃないのか？
実際攻撃受けるのはRTX1100じゃなくてVoIP機能付いている装置だろうし。

てか防御機能働いているんだから細かいこと気にするなよ、禿げるよ。

>>252ではないが、
スキルのない空っぽ上司に、
訳の分からない要求を出されて、
とにかくそれに応えねばならず、
途方に暮れることはあるな。

どっからか狙われる理由がなければ気にするな
公開してるサーバーがあればそれらのセキュリティホールがあるか検査した方がよい

>>253
どうしていきなり、SIP-NAT、voip関係が登場してくるのかもわかりません。

>>256
そりゃあ携帯使ってるからだろ

で、Record route IP optを用いた攻撃って、どういう被害に会うんですか。

ググれとはじめに言われませんでしたか？
Record route のIPヘッダオプション使うのはSIP-NAT関連だから、
SIPで使うプライベートIP側のルーティング情報が改ざんでもされる攻撃だろう

てか貴方絶対にぐぐっていないな。釣りか？

http://netvolante.jp/products/nvr500/

完璧な装備のがでましたね

ひかり電話エースにも対応
3G携帯電話網対応
ISDN対応
アナログ回線対応
lua言語サポート
全ポートが1Gbps対応
外部メモリ対応(microSD/USBメモリ/USBハードディスク)
外部メモリを利用して様々な保守管理・拡張機能を使用できます。

* ログ、ファーム、config、Luaスクリプトの保存、コピー
* 外部メモリに保存したファーム、configからの起動
* ファイル共有とファイル
NVR500に接続された外部メモリ間で同期（ミラーリング）をすることもでき、拠点間でファイルを共有/バックアップすることも可能です。

カスタムGUI
ユーザーIDごとに別々のGUI画面を表示する


贅沢だな
IPSECはないけどね

買い換えるほどではないな
新規導入でも微妙なライン

ネットボランチのスレでも、評価が微妙。

>>261
買い換えはともかく
新規導入で微妙ってどの辺が？

RTXと違ってRT系は新型出ると旧型はディスコンになるから、
いまRT58iで検討していた案件はNVRを新規導入せざるを得ないんじゃね？
特にIP電話がからむと、このクラスは他に選択肢がほとんど無いし。

どうだろうな・・・
少し上に書いてあるけど、筐体が販売終了になってもファームウェアのメーカー保守は2年間は継続されるんだろ？
なら、既にRT58iで検討していた案件ってことなら、そのまま行くと思うけどな。
第一、まだ発売されてもいない機種に期待するくらいなら、現行機種を選択するんじゃないかな。
顧客に導入するなら尚更。

販売店在庫があるうちはな

販売店在庫があるうちはな（ｷﾘｯ

>>264
モデルチェンジの時期の案件って面倒だよな

>>264
新機種って、何らかのバグがあるので躊躇するけどなｗ

>>269
でもYAMAHAは不具合報告出せば対応早くて、
最初の頃はﾌｧｰﾑｳｪｱのﾊﾞｰｼﾞｮﾝｱｯﾌﾟを頻繁に行なってくれるから好き。

>>270
それは分かるんだけどね。
初期のRTX1000で泣いた経験があるからｗ

どこぞの機器みたいにファーム公開しないメーカーよりは好きだぞ。
新製品は半年ほど不具合報告を待ちたいだけ。

個人で使う分には、人柱上等なんだけどな。さすがに業務だとね。

保守契約なしで公開してるYAMAHAが珍しいというかお人よし

だから個人でもRTX買う奴いるんだろ

散々言われているけど、NECの遺伝子が入っているところはファームウェアは公開しないよな。
アラクサラとか。
富士通、センチュリー、アライドはダウンロード出来るな。
アライドは契約者だけがダウンロード可能なやつがあるという話をどこかで見た覚えがあるけど、
２ちゃんだったかな？

>>274
あと、古河電工のFitelも公開してるね。
F100も持ってるけど（持ってるだけで使ってない）これもファームウェア更新してくれてる。
人気無さすぎなのが可哀想なくらい。。。

探し方やタイミングが悪いのかも知れんけど、秋葉原の中古屋でもFITELnetって全然見たことないしな。
ヤフオクでたまに見かける程度。

さて、どうやらRTX1000はもう駄目っぽいので浮気相手を探さねばならんｗ

最大手のシスコが公開しないからな

Shrew Soft VPN ConnectでRTX1000のIPsec接続を試しましたよ。
Windows共有のダウンロード速度測定（２ファイル同時）
Windows7(64bit)での速度は30M弱程度。XP(32bit)で試すと10Mでなかった。
XPが遅い原因はどうやらShrewの仮想アダプタのリンク速度が10Mbpsになってる模様。
ソフトの仕様なのかな？
RTX1000でPPTPやるよりマシだけどIPsecなのにバッファローのPPTPに負けてるのは悲しい・・・

ところでMR504DVのPPTPスループットは30Mって話しを聞いたけど（メーカーにて）、そうなるとXPでクライアント購入なしの安上がりで端末接続するならMR504DVのPPTPが最速？てかこの機種CPUそんな速いのん？
MR504DVってオク相場でRTX1000の半値ほど（千ナンボ）であるみたい。

IP38シリーズってのがあってだな

>>278
速度だけ見ているようだけど。
バッファローのとか個人向けのPPTPは負荷かけるとセッション切れる場合があるからね。
（私の環境だと切れまくりで、私自身もブチギレした）
業務用途は速度より安定が大事だと思うんだよ。

普通に使ってればバッファローに負けるなんてあり得ないでしょ

MR504DVが千ナンボならバッファローを買う理由はないねぇ。
Vista以降ならShrew Soft VPN ConnectでIPsec、XP以前ならPPTPと使い分けできるし。
（理論値30MのPPTPが事実ならShrewの10Mリンクよりも速いはず）
PPTP使うのは苦肉の策なんだよな。
他にフリーのIPsecクライアントないのかな？

YAMAHA RTの一般的な工場出荷状態のadminウーザーとパスワードがあれば教えて頂けないでしょうか

パスなしだが

>>283
SRT100だけはdoremi
他はパス無し
ユーザー名もナシ

今販売されているような型番なら、Webサイト上のスペック表に初期状態のIPアドレスとかが掲載されてるはず。

ありがとうございました！

取説読まないのかな・・・

初歩的ですいません、今マシンでコントロールしてるIPTABLESのチェーンをルータで設定しようと思っています。
iptablesは割とわかるんですが、ルータに打ち込むコマンドの一覧とかないでしょうか…。
ルータはRTX1200です。

つ　コマンドリファレンス

>>289
つ ttp://www.rtpro.yamaha.co.jp/RT/manual.html

>>290-291
ありがとうございました。<(_ _)>

あの三項演算子は、hさんですか
独自拡張しちゃえぅあ

midiでGJされてます。あんなかんじで、外付けストレージの
mp3またはwave(mono)再生の実装を是非。
みくたんはぁはぁ。そら、
ほとんどの人には不要かもしれませんけども

やたっ。さすが。かっこいい。
　　　　　 　
その勢いで wave再生/録音<みくたんはぁはぁ> も是非。
擬似ナンバーリクエストと簡易留守電になります。
さらに、より細かな着信振り分け〜簡易CTI機能や
時間に応じて自動発信・音声再生するモーニングコール機能に
つながります。

Asterisk使えって

初歩的なことですいません。
透過プロキシをRTX1000でやりたいのですが、
iptableでいうところのコマンドをRTX1000でどういうコマンドにすべきかわかりません。
わかる方お答えいただけないでしょうか・・・・

iptableの場合例えば
ttp://www.atmarkit.co.jp/flinux/rensai/iptables02/iptables02e.html
4 internal_ip='192.168.0.0/24'
10 proxy_ip='192.168.0.100'
11 proxy_port='3128'
63 iptables -t nat -A PREROUTING -i eth1 -s ! $proxy_ip -p tcp --dport 80 -j DNAT --to $proxy_ip:$proxy_port
64 iptables -t nat -A POSTROUTING -o eth1 -s $internal_ip -d $proxy_ip -j SNAT --to $my_internal_ip
65 iptables -A FORWARD -s $internal_ip -d $proxy_ip -i eth1 -o eth1 -p tcp --dport $proxy_port -j ACCEPT

あたまから魚の骨をひろげる人たちは、
文字列『黒い目の大きい男の娘』に
オーバーフローするのかもしれませんね

>296
みくたんとの共同作業は、やはりヤマハ謹製が。
それにそれを言ってしまったら、
PCルータとかsamba+rsyncにしる、とも言えますし・・・

>297
rtx1000では、できないと思います。
ルーティングより手前の処理で、dest ipをきれいに書き換える機能が、無かったはず。
rtxのIPマスカレードのフォワーディングは、たぶん、
特定IP(ルータに指定できるIP）のフォワーディングのみですから、
不特定のwebサーバのを代理で取り扱えないです。
もしかするとsrtとか、twicenatと転送フィルタの機能のある機種なら
なんとかなるかもしれませんが、公式に問い合わせるほうが早いと思います。

>rtxのIPマスカレードのフォワーディングは、たぶん、
>特定IP(ルータに指定できるIP）のフォワーディングのみですから、
>不特定のwebサーバのを代理で取り扱えないです。

そんなことはありませんよ。
RTX1100をつかっていますけど、ルーター自身でなく、
どこへでも飛ばせ（フォワードでき）ますよ。少なくともプライベード域なら、別ネットワークでも。

>>298,299
ありがとうございます
RTX1000ではむずかしそうですね。あきらめました。
ルーターではwww,httpsのパケット破棄だけして
素直に各クライアントにプロキシ設定することにしました。

透過プロキシってんならSRT100で出来るはず

>>298のであってると思う
不特定のport80を指定のアドレスのport80には変換できないしょ？

>>300
プロキシの自動設定を使えばDHCPオプションとかで設定できるから
なんぼか楽になるよ

1つのインターネット回線で、
以下のように、
GroupAとGroupB のLANを
お互い見れないようにするか、
GroupBからは、GroupAを見えないようにするには、
どうしたらよいでしょうか？
セグメント分けやLAN２枚挿しだけで無理ですかね？

PC-LAN-GroupA
|
RTX1100----PC-LAN-GroupB
|
インターネット
|
RTX1000----PC-LAN-GroupB
|
PC-LAN-GroupA

>>302
なんだ？その図は正しいの？
2つのLANを分けるってことじゃなくて、
VPN越しに同じグループ同士の通信をしたいのか？

そうでなく、単に1拠点で、セグメントわけして
お互いの通信を遮断するのなら、
RTXにはポートが3つあるんだから、
pp1(PPPoEのインターネット接続) = LAN2
グループA = LAN1
グループB = LAN3
という感じで使って、
LAN1とLAN3を別セグメントにして、
それぞれの通信を遮断するようなフィルターを書けば、
別セグメントの通信は遮断できる。
詳細は省くけど、要所はこんな感じ

ip lan1 address 192.168.100.1/24
ip lan1 secure filter out 20 99
ip lan3 address 192.168.200.1/24
ip lan3 secure filter out 10 99
ip filter 10 reject * 192.168.100.0/20 * * *
ip filter 20 reject * 192.168.200.0/24 * * *
ip filter 99 pass * * * * *

ありがとうございます。
フィルターで遮断するわけですね。

＞VPN越しに同じグループ同士の通信をしたいのか？

そうです。

もう少し詳しく表記すると、

PC-LAN-GroupA(現在192.168.1.*)
|
RTX1100----PC-LAN-GroupB(今回追加)
|
インターネット(IPSEC)
|
RTX1000----PC-LAN-GroupBBB(今回追加)
|
PC-LAN-GroupAAA(現在192.168.100.*)

◆現在◆
PC-LAN-GroupA　と　PC-LAN-GroupAAA　は通信可

◆今回◆
PC-LAN-GroupB　と　PC-LAN-GroupBBB　を通信可能にしたい。
PC-LAN-GroupB　と　PC-LAN-GroupAAA　は通信不可にしたい。
PC-LAN-GroupBBB　と　PC-LAN-GroupA　は通信不可にしたい。

RTX1500って良いルーターなのに、
ギガに対応していないばかりに、
へぼいRTX1200に人気を奪われた可哀そうなやつ

Gigaいらねー。山奥だからISDNとxDSLだorz

セミ・エンタープライズだとギガ回線はまだ普及してないからな。
日経コミュニケーションとか読むと、知恵をふり絞って
安い10M程度の回線で最大限の効果を得ようと涙ぐましい努力が載ってる。

今は、金に糸目を付けずにネットを整備するSOHO系に抜かれた状態。

10Mの専用回線とベストエフォートのインターネット接続を比較してるの？

一拠点あたり月額回線費用3000円程度のベストエフォート回線をビジネスに使うとか今時普通よふつうｗ

拠点数多いとわずかな金額差が大きく跳ね返ってくるからね。
そういう拠点を多く持つ企業で集約ルータとして使われるのがRTX1500。
RTX1200とは使い道が違うから、人気とかはあまり関係ないかと。

漏れんとこはビデオ会議とかメール・グループウェアとかはVPNだけど、
業務で数メガ（IP内線800k含む）は維持しなくちゃいけないから10M専用線は捨てられない
まぁ国内５拠点しかないから助かってるのかな

専用線の利点は速度（保障型といういみ）より、L2SWとかで安易に同一セグメント接続が出来る点じゃね。

私がいる所のネットワークも5個ほどのセグメント全てを拠点で利用できるように専用線とカタリスト(L2SW＆VLAN)らしい。

RT107eを東京ー大阪両拠点に設置し、
VPN（AES、SHA）で設定してます。

両拠点とも100M光で、
速度測定サイトだと30-50程度でる状態なのですが、
VPNだと1Mにギリでいく程度です。

ルータ側の速度に関わる設定（MSS、MTU）は、
YAMAHAからの回答あった値で設定です。

ルータ配下はともに1端末のみしか繋いでおらず、
ONUからWANポートに直接です。

当環境下でこのVPN速度はもう改善しようがないのでしょうか。ｌ

>VPNだと1Mにギリでいく程度

どうやって測った？
まさか、Windows のエクスプローラのファイルコピーとか言わないよな？？

>>313
ファストパス有効になってる？

>>313
ONUじゃなくてCTU（ルーター有効）だったとか。

>>314
ポート速度ベンチっちってソフトで行いました。
両端末にCL、Svrを設定して行うものです。

>>315
はい、有効です。

>>316
いえ、ONUです。

RTX1000を個人で使っています。
プロバイダ複数契約によるPPPoEマルチセッション時の物理構成について質問させてください。

現在 lan1 を 192.168.1.0/24 の文字通りLANのネットワークとして使用
lan2 をBフレッツのONU/CTUに物理的に接続
lan3 は lan2 を通してPPPoE接続、IP8つ契約しているので、lan3 にゲートウェイアドレスとして
グローバルIPをひとつ割り当てています。

この状態で、あと2つほど別のプロバイダを契約してそれぞれPPPoE接続しようと考えています。
設定自体は lan3 と同じように lan2 を使ってPPPoE接続すれば良いと思っているのですが、
この時、lan3 の物理的なポートが1口しかないので、LANケーブルを引っ張ってハブに繋ぐつもりです。

そうすると、このハブにはプロバイダA, B, C 3社のネットワークが渾然一体となることになるのですが
この状態でそれぞれのネットワークがちゃんと使えるものなのでしょうか？

カタログを見る感じでは、PPPoEマルチセッション数的にはOKなのですが、物理ポートが足りないので
このことを疑問に思い、質問させていただきました。
私と同じようにRTX1000〜1200で複数プロバイダを契約してお使いの方がいらっしゃいましたら
アドバイスいただけると嬉しいです。長文しつれいしました。

だれかギャランティー型とベストエフォート型の違いを教えてやれ

>>318
RTXはプライマリとセカンダリアドレスの２つまでしか設定できないんじゃ？
グローバルのセグメントはLAN１のポートベースVLANで分けて使うのがいいのでは？

>>320
すばらしい。
LAN1のハブの部分は、ポートベースVLANに対応しているのですね。
（RTX1000でも大丈夫か、いまからマニュアル参照してみます）

ポートベースVLANを使えば難なく私のやりたい3プロバイダ契約＆マルチセッション
が達成できそうですね。本当にありがとうございました。

>>318
勉強し直しせ。また、書き方がまずい。
あんたの設定は、識者なら、

lan1がイントラ側、lan2がインターネット側(unnumberd接続)、lan3がDMZ(グローバルIP)

と書く。で、本来の回答はlan2でPPPoEのマルチセッションの設定をすればOK。
もし、２つめ、３つめのISPでも固定IP8以上の契約をし、こちらもDMZとして使いたいなら、
今のDMZのIPをプライベートIPに変更して、静的NATで変換をかませるしかない。
上記のことが分からないなら、素直に専門家に依頼した方がいい。5-10万できちんと面倒みて
くれるでしょう。

＞lan3 の物理的なポートが1口しかないので、LANケーブルを引っ張ってハブに繋ぐつもりです。
＞そうすると、このハブにはプロバイダA, B, C 3社のネットワークが渾然一体となることになるのですが
＞この状態でそれぞれのネットワークがちゃんと使えるものなのでしょうか？
セグメントの概念が無いようですね。セグメントの本を買ってみては？
・・・良い悪いも本に書いてあると思います

＞カタログを見る感じでは、PPPoEマルチセッション数的にはOKなのですが、物理ポートが足りないので
ルータやスイッチの本を買ってみては？

1000だとポートVLANって極端に速度でなかった気がするなぁ。
「3プロバイダ契約」が目的なら良いと思いますが・・・。

>>317
同じ環境で速度を比較してください。
拠点間（VPN経由しない）の速度及及び同じソフトでの比較をしてください。

>>317
>>324 が書いているのに加えて、きちんとネットワーク設計しましたか？
まず、インターネットVPNでスループットを出そうとする場合、

(1)ISPの網内の拠点間帯域が大きいところを選択する
(2)ISP内の網内でルーティングできるISPを選択する
(3)ホップ数でできるだけ少ないISPを選択する

を見直してみれば。ISPが違うというならば最悪だよ。上記の内容は
ISPに質問しないと分からないけど、質問すれば営業経由で教えてくれる。
回線速度測定サイトは大手のDCにサーバ設置してあるから、
大抵のISPからの接続ならそれなりの速度になる。

>>322
理解の浅い当方にご丁寧に教えてくださって恐縮です。
用語も訂正いただきありがとうございました。勉強になりました。

>で、本来の回答はlan2でPPPoEのマルチセッションの設定をすればOK。
たとえば新たにプロバイダ2つ契約して、lan2でPPPoEのマルチセッションの設定をした場合

pp select 1
　description pp ISP1 #今までのIP8つ
　pppoe use lan2
　ppp auth myname [email protected] hogehoge
pp select 2
　description pp ISP2
　pppoe use lan2
　ppp auth myname [email protected] fugafuga
pp select 3
　description pp ISP3
　pppoe use lan2
　ppp auth myname [email protected] piyopiyo

みたいに、どれも lan2 を使えばよいのですよね？
この場合pp2 pp3は nat descriptor の設定をしてLAN1のどれかのポートにマスカレード
してやる必要があるという理解であっておりますか？
ネットワーク構成よりも、どの物理ポートに割り当ててやればよいのか分からなかったので。

>>326
そう。PPoEの設定はそれでOK。
各PPPoEセッションのppインターフェースに対して、nat descriptorを個別に設定する。
つまり、3つ設定する。「LAN１のどれかのポートにマスカレードする」ということではない。

しかし、マルチISPの目的がわからんけど、冗長化のためや負荷分散のためなら、それなりの
フィルタリングルールや、nat descripterの対象範囲を設定するなり、keepaliveの
設定するなりしないと、すべてデフォルトルート側のISPにしかデータは流れないよ。
そこまでつめるのならば、専門家に相談するか、思考錯誤するしかない。

茶化す意図はないんだが・・・この場面にぴったり
＞思考錯誤

RTX1000ってポートベースVLAN使うと、やっぱりファーストパスできないのかな？
最近の機種はどうなんだろう？

>>324-325
今までサーバ側の人間だったので、NWは疎くすいません。
まず、VPNで速度を求めるのであれば両拠点は同キャリア、ISPで
揃えるべきなんでしょうか。

今回は両拠点とも固定IPで、一方はNTT（OCN）、他方はケィオプティコム（eo）です。

>>327
返信元アドレス別に、デフォルトゲートウェイのポリシールートって設定できなかったっけ？

>>327

>そう。PPoEの設定はそれでOK。
よかった、ありがとうございます。安心しました。

>各PPPoEセッションのppインターフェースに対して、nat descriptorを個別に設定する。
>つまり、3つ設定する。「LAN１のどれかのポートにマスカレードする」ということではない。

はい。それぞれのppインターフェースに nat descriptor のルールを書くつもりでおります。
RTX1000のマニュアルを読んだ感じでは
lan1.1 lan1.2 のように書けば「LAN1のどのポートか」正確に指定できるようなので
それぞれのppインターフェースをLAN1の特定のポートにそれぞれ割り振れるように調べてみます。

勉強になりました。恥をしのんでお聞きしておかったです。ありがとうございました。

>>329
RTX1200は、VLANでもファストパス効くよ。

大文字でかくとThe-Oみたい。実際にもそうなんだろな、と。

>330
キャリアをそろえなくても、速度1Mは、何かどこかおかしい。
PPTPならともかく、ipsecならもっと出るはずです。
107で、QoSとか不正アクセス検知を起こしてるとか、ありませんか。
うちでは、FTPおよびwindowsのファイル転送も行って
念のため比較して記録してます。
また、PCかファイアウォールで、mtuの通知を落としてたりしませんか。

>332
キャリア冗長化の意図を外してたら済みませんが、
既存のISP1の８個のグローバルアドレスに対する通信を、
ISP1が切れた際でもISP2やISP3を経由して行い、
維持しよう、というものでしょうか。
でしたら、ASをとってキャリアと交渉して、BGP回して…が必要で、
その構成のさらに向こう側があり、つらいです。
また、ISP2,3がセキュリティに厳しければ、
ISP1の送信元アドレスをもったパケットを、ISP2,3の網内で落とす可能性もあります。

通信を、ISP1側とISP2+3側で分けるのであれば、1000が1台でもできそうですが、
個人的には、古い機械ですから、通常運用は２台構成(ISP1と、ISP2+3)にして、
3回線configについては作るだけ作っておいて故障時に備えます。

AsahiNetでVPNしたいんだけど、YAMAHAのRTX1200だとはまるの？
こんなの見つけた。ESPが通らないってさ。

ASAHI ネット + RTX1200 で IPsec 設定する場合の落とし穴
http://www.nire.com/2010/08/yamaha-rtx1200-ipsec/

以上マルチですいません。
元ネタ
http://hibari.2ch.net/test/read.cgi/isp/1269491496/883

>>319
ギャランティ・・・指定席
ベストエフォート・・・自由席

でどうだ

>>335
そこにasahinetはESPが通らないと書いてあるけど
そんな事はないはず。
というか折れんところでは普通に通じている。
何かミスってたんじゃないだろうか

>>336
普通に説明した方がわかりやすいと思う

>>337
ありがとうございます。
ルータは何を使ってますか？

強いて言えば、RTX1200のみがファームVer10.0系なんですよね。
どちらかというのそっちの相性の問題かと思いました。

対向でRTXなら相性とかないと思う

ここでいう相性っていうのは、AsahiNetとVer10.0系のことなんですよ。
Ver10がでて２年もたってるからまさかとは思いますけど、
４月のUp時にも66も修正箇所があって不安ですｗ

http://netvolante.jp/download/firmware/index.html#rtx

60程度の修正はYAMAHAにとっては普通。
製品が出て半年くらいがおいしくなり始めじゃないのかな？
修正が5-6個に減ってくると、そろそろ終息する製品。まぁ枯れてていいかもしれんが、
あとはバグも放置だったり。

こっちなんて174も修正がある。
ttp://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.08.02/relnote_08_02_50.txt

ネットボランチだと200超のもある。

バグが無い >> バグが多いけど公開して直す > バグが多いけどこっそり直す >>>>>>> バグを放置

>>344
おいおい、バグを有料で直すが抜けている。CISCO

ユーザの要望を聞いて、素早く開発して、低価格で提供して
なんてやってたらバグが多くなるのも仕方無い
動いてた機能がそのまま動き続けてくれるならそれでいいよ

各機種のバグフィックス数調査ありがとうございますｗ

まあ、あの値段であのサポートだから製品的には優秀だと思うけど、
GUIが中途半端で、結局TUI使うハメになるのが嫌い。
OK押すとコンフィグ変わっちゃうこともあるから怖いわ。

で、AsahiNetは問題ないでFA？固定IP安すぎるからなんかあるとは思うんだけどね。

>335
337と同様、そのページ内容には少し疑問です。
1100/1200ともにAESがハード処理できるのに
なぜかセキュリティ強度の弱い3DESを使ってます。
また、ネットワーク構成図は、yamaha本家のAAに似てます。
ですから、(その当時は)内容を把握せずに単純コピペして、
フィルターのあたりでコピペミスした可能性がある、と推測します。
# espが通らない環境、たとえば宿泊ホテル内からつなげるときの
# natトラバーサルのconfigとして参考になります。と、一応フォロー

どこだったかのお役所で、1100/1200+Asahinet固定IPのVPNを
拝見したことがあります。configは覗かせてもらってませんが
お伺いしたかぎり、構築以来、大きな問題はなかったそうです。

>341
バグがあったとしてその責任を誰が何処までってのは難しいですね。
以下、2007年5月のANAのチェックインシステムの障害事例のurlです。
http://itpro.nikkeibp.co.jp/article/NEWS/20070614/274721/
http://itpro.nikkeibp.co.jp/article/NEWS/20070613/274694/
直接原因はcisco機器のバグですが、ANAは
「トータルとしてANAサイドの判断が遅かった」と自身の責任を認めてます。

「同様の問題は世界で4例」つまりcisco側では既知のエラーですし、
「物理的に故障」つまり電源再投入しても直らない致命的な状態になりますし、
たぶん保守料も払ってるんです。けれども、システムベンダー側が
もうすこしできることはあったんじゃないかと自省した、そんな事例です。

>>348
興味深いレスありがとうございます。
テストしてみたところ問題なさそうです。

ただ、ウィザードでデフォルトのままでは接続できないようで、
「設定の検証」機能で、ハイハイと素直に設定を修正して
もらったら接続できました。

あと、RTX1200だけだと思うのですが、IPsecの設定画面を開いて、そのまま
（どこも変更せずに）設定とすると、そのTUNNELLは切断され、ルータを再起動するか、
対抗側も同様な操作をしなければ復旧しない、というむちゃくちゃ頑固者
ということがわかりました。
もしかしたらSAの期限（８時間）がくれば復旧するのかもしれませんが・・・

リモート操作時にはgkbrものですね。

YAMAHAはCLIに親しんだほうがずっと幸せになれる。

>>350
たしかに。
中の人も、設定するためのGUIではないと、MLで言っていた。
運用、管理のためってことだったはず。
確かにどんなフィルターが効いているかは
GUIのほうがわかりやすい。

個人的には、RTA52iみたいに、
全部のフィルターとインターフェイスが
ずらーっと表になっているのが使いやすいんだが。

>>349
私の環境のRTX1000でもSAを削除しないと復旧しないですね。
失敗してﾄﾝﾈﾙ切れると怖いので、邪道なのは分かっていますが、
特定アドレスからのみtelnetできるように穴開けてます。

nat descriptor masquerade static 1 1 192.168.xxx.yyy tcp telnet

フィルタはアドレスaaa.bbb.ccc.dddからのﾄﾘｶﾞｰﾊﾟｹｯﾄだけ静的ﾌｨﾙﾀで通して、それ以外はreject。
ip filter 1 pass aaa.bbb.ccc.ddd tcpflag=0x0002/0x0017 * telnet
ip filter 8000 reject * * * * *

ﾄﾘｶﾞｰﾊﾟｹｯﾄが通ればあとは動的ﾌｨﾙﾀでｵｰﾌﾟﾝさせてます。
ip filter dynamic 101 * 192.168.xxx.yyy telnet

ip pp secure filter in 1 8000 dynamic 101

このﾌｨﾙﾀ設定だと他のｱﾄﾞﾚｽからはtelnetﾎﾟｰﾄが開いているようには見えないので、
不要なｱﾀｯｸを受けずにすんでます。
これに加えてtelnetlistenﾎﾟｰﾄを変更しておけば少しはﾏｼになるのカナ。

邪道でスミマセン・・・

勿論、telnetd host　aaa.bbb.ccc.dddは設定しています。

IPアドレス偽装されたら終りなんだろうけどね。

連投ゴメンなさい。>>352間違ってました。
×　ip filter 1 pass aaa.bbb.ccc.ddd tcpflag=0x0002/0x0017 * telnet
○　ip filter 1 pass aaa.bbb.ccc.ddd 192.168.xxx.yyy tcpflag=0x0002/0x0017 * telnet

>>347
asahiでエロサイトを運用したことがあるが、アップ側のトラフィックが凄すぎて、
最後はISP側で1.5Mbps程度に帯域制御された。

>>353
IP偽装されても、telnetではRT本体には大したことできなくないんじゃないの？

>>355
帯域制御って事前通知なし？

>>353
ルータの向こう側から、IP偽装するのは難しいかも。

telnetのポート開けるより、本当はISDNでリモートセットアップができるように
するのがいちばん確実だと思う。さらに発番号を限定すればなお安全。

>>304 ですが、うまい方法ありますかね？

>>358
フィルターで遮断
で解決じゃないの？

うまい方法ってね、通信のブロックは普通フィルタ書きますよ。

303のとおりでOK。
各グループのIPアドレスと通信可否が決まれば
半日以上悩む話ではない。

・通信可否
○： A <--> AAA
×： A <--> BBB
？： A <--> B
×： B <--> AAA
○： B <--> BBB
？： AAA <--> BBB

そこに戻ったのか！ｗ

グループごとに双方向通信OKなら悩む事無いと思うけどな。

○　Ａ→ＡＡＡ
×　ＡＡＡ→Ａ

とかになってくると悩むけど。

>>335
ASAHIネットの固定IPサービスを使っているけど、
RTX1100で問題なくIPSEC使えています。
RTX1200だと使えないなんてのも、そのサイトのいっていること怪しいな。

>>349>>352
IPSECで双方向に固定IPを用いると何も困らないですよ。
片方だけ固定IPの場合は、なにかの拍子に切断されたとき、
動的IP側のSAを手動でクリアしたり、再起動させる必要がありましたけど、
両方で固定IPを使うと、たとえトンネルが切れても、すぐにハンドシェイクしあっていますね。

ところで、非常時のためのISDNなんてつかっていないのですか？
うちは、ひかり電話になっても非常アクセス用ISDNを残してFAXと兼用しています。
メタル線を残すことは雷様の進入経路を残すことなので気に入らないのですが。
電源線と通信線とをバイパスするタイプの雷ガードをつけてからルーターが気絶することはなくなったようですけど。

>>359 >>360 >>360

ありがとうございます。

>>303 を参考にすると、

拠点Aルータと拠点Bルータの関係がまだ理解できていませんが、
以下のような感じですかね？

■拠点Aルータ
ip lan1 address 192.168.1.1/24
ip lan1 secure filter out 20 99
ip lan3 address 192.168.2.1/24
ip lan3 secure filter out 10 99
ip filter 10 reject * 192.168.1.0/20 * * *
ip filter 20 reject * 192.168.2.0/24 * * *
ip filter 99 pass * * * * *

■拠点Bルータ
ip lan1 address 192.168.100.1/24
ip lan1 secure filter out 20 99
ip lan3 address 192.168.200.1/24
ip lan3 secure filter out 10 99
ip filter 10 reject * 192.168.100.0/20 * * *
ip filter 20 reject * 192.168.200.0/24 * * *
ip filter 99 pass * * * * *

>>356
約款に書いてあるから、事前通知ないよ。
問い合わせてはじめてわかった。

ちなみにUCOMもあった。こちらは6Mbpsぐらい(うろ覚え)で、通知なし。

>>364
> 拠点Aルータと拠点Bルータの関係がまだ理解できていませんが、

304が関係を理解しなければ、他のかたもフォローできませんが。
364と303のconfigを比較考慮しますと、むずかしいようなら
業者さんに直接会って金を払って頼むことも考えて下さい。
追加項目あるかもしれませんし、2chカキコより安全性と確実性が上がりますよ

>>366
ここへきてまでして、やってやろうと思うひとなら、
自分でなんとかしてできるだろう。
業者に頼む人は、ここへこないし、RTXを自分で用意しようなんて思わないだろう。

まあ、みんなで智慧を出し合おうぜ。

＞まあ、みんなで智慧を出し合おうぜ。
自分でなんとかしてでき「ない」ことを認めちゃってるようだ

>>367
でもね、ルータだよ、ルータ。もしそのLANが乗っ取られたら、
DDoSの踏み台にされたり、好き放題やられちゃうとかあるんだよ。
場合によってはプロバから強制退会とか、被害者から損害賠償の請求とかもあるかもしれないのさ。
被害妄想的意見展開ではあるけどね。

とはいえ、何事にも初めてはあるものだし、挑戦することを全否定するワケじゃないんだけど
そういう思慮を含めてやってるのかなぁこの人。 なんて思ってる小心者がここにいる。
スレ汚しごめんね。

結局、業者にまかせろっていう答えか。

そうじゃないよ。
そういう選択肢もあるってコト。
おそらく、業者に依頼するにしても、これこれこういう風に設定したいんだが、
ここまでは自力でconfig書いたが、コレで問題なく安定して運用できるかは自信がない。。
とかで話を持って行けば勉強にもなるはず。
もしかしたらちょっとは教えてくれるかもね(最初からミニ講座を期待していると相手が嫌がると思う)。

なんて書くと業者乙なんて突っ込まれそうだが俺は総合自宅警備保障の社員でしかない。

質問者がちょっとアレだからなあ
掲示板ベースでなんとかするのは厳しそう
業者かどうかはともかく対面かなんかでやらないと無理っぽくない？

>>372
そう、それが言いたかった。
俺ってコミュニケーション能力無いんだな。やっぱり総合自宅(以下略)

でもさ、
負けるな・めげるな、質問者ガンガレ。

>>364
回答者が理解できるよう最低限の情報を書かないと。（ちなみに貴方の環境を詳しく書いているのはは回答者の親切エスパーさん達ですね）
LANポートがそれぞれ下記でいいのか？
■拠点Aルータ
LAN1→GroupA(192.168.1.1/24)
LAN2→WAN
LAN3→GroupB(192.168.2.1/24)
情報小出し。回答者が適切にレスだしてもスルー(無視）して再度同じ質問。会話が成り立っていない状態だと思うのですが。

ちなみにその記述駄目駄目だよ。
■拠点Aルータだけ見ても、なんでLAN1のGroupAとLAN3のGroupBをrejectしちゃっているの？360さんがエスパーしたポリシーじゃないの？
303さんが適切に例を書いてくれているのに全く参考にしていない・・・303の例を理解するのから始めましょう。

作例を読める人なら、ヤマハの設定例集で大方・・・

>>375
そう、初心者って、それが一番大事だと思う。
コンフィグがどういう体系で作られるのかがはじめてわかるのは、私もそれだった。
ヤマハ謹製の作例から、必要なところを選りだし、よく研究することが大事だと思う。
知らないうちに、時を重ね、その経験がベースになって応用が利くようになっていったなあ。

作例を読める人 じゃなくて 作例を読む気のある人

>>364
拠点においての、LAN1 LAN3の通信は制御できていても、
まだ、拠点間の、制御ができていないようだね。フィルタを追加。
エスパーしてみると、
拠点において、LAN1⇔LAN3の通信は禁止。
拠点間では、A.LAN1⇔B.LAN3の通信も禁止。
結局、A.LAN1⇔B.LAN1と、A.LAN3⇔B.LAN3の通信のみ許可。
次のようになる。

○拠点Aルータ
ip lan1 address 192.168.1.1/24
ip lan1 secure filter out 20 200 99・・・192.168.2.0/24と、192.168.200.0/24からのパケットはlan1に出られない。
ip lan3 address 192.168.2.1/24
ip lan3 secure filter out 10 100 99
ip filter 10 reject 192.168.1.0/24 *
ip filter 20 reject 192.168.2.0/24 *
ip filter 100 reject 192.168.100.0/24 *
ip filter 200 reject 192.168.200.0/24 *
ip filter 99 pass * * * * *

○拠点Bルータ
ip lan1 address 192.168.100.1/24
ip lan1 secure filter out 200 20 99
ip lan3 address 192.168.200.1/24
ip lan3 secure filter out 100 10 99
ip filter 10 reject 192.168.1.0/24 *
ip filter 20 reject 192.168.2.0/24 *
ip filter 100 reject 192.168.100.0/24 *
ip filter 200 reject 192.168.200.0/24 *
ip filter 99 pass * * * * *
以上。

>>378

ありがとうございます。

>>303 から、一発で >>378 のような回答を理解する能力がないので、
助かります。

>>374

アドバイスありがとうございます。

＞情報小出し。回答者が適切にレスだしてもスルー(無視）して再度同じ質問。会話が成り立っていない状態だと思うのですが。

>>360 >>362 の回答者の方のことでしょうか。
結果的に、スルー（無視）したようになったのは、申し訳ありません。

ただ、
>>360 >>362 の回答は、理解できず、>>378 のような回答を導く参考にできませんでした。

＞■拠点Aルータだけ見ても、なんでLAN1のGroupAとLAN3のGroupBをrejectしちゃっているの？360さんがエスパーしたポリシーじゃないの？

>>303 をほぼ、そのまま書いているつもりですが、
拠点Aと拠点Bのグループごとの制御がわからなかったので、
>>364 で、
＞拠点Aルータと拠点Bルータの関係がまだ理解できていませんが、
と書きました。

表現力不足、能力不足といわれれば、そのとおりです。

業者を探すといっても、意外と大変。
YAMAHAのルーターに精通している業者が、ゴロゴロあるわけでもないし。

YAMAHAやYAMAHAから紹介してもらったりなら、あるだろうけど、
主要都市なら大手があるだろうけど、大きくない市だとたぶんないよ。

ちょっと検索したら、
住商情報システム
dit ディアイティ
CTCテクノロジー
大塚商会
（但し、実際にサポートしているかは確認していません。）
などがあったけど、お勧めのところって、どこがあるのかな。

んのために業者が必要なのだろう。
壊れたときの保守が面倒なので、業者にお願いするわけかな？

ルーターの設定ができないようなら、社内のIT機器の設定もできないだろう。
そうなれば、すべて○投げになってしまうよな。
すると、○投げ先の業者がYAMAHA以外に勝手にルーターなんて用意するだろう。
だったら、ユーザーがはじめからYAMAHAにこだわる理由がわからない。

ルーターの設定だけが難しいわけではないと思う。
ほかの機器の設定ができているなら、ルーターもできるだろうと思うわけなんだ。

米、ネット傍受強化へ法案　ブラックベリー解読も視野
http://www.asahi.com/international/update/0928/TKY201009280108.html

米政府は、暗号通信を解読したり、元に戻したりして当局に提供できる用意などを通信会社に義務づける

暗号化された通信って、ipsecとか、pptpをつかった通信のことだよね。
たとえば、yamahaで拠点間をipsec（aes）つかってトンネルしているけど、
やろうと思えば、リアルタイムに解読できるのですか。
AESは簡単には解けない暗号だと思っていたのに。

>>381
大塚商会は、良い人が来ると良いけど・・・・。

以前勤務していた会社に来た奴は、PCのIPアドレスの設定が出来なかったり、外付けCD-Rの設定が出来なかったり・・・・。
（購入したサービスでやろうとしたらしいんだが・・・PC初心者が来る可能性もｗ）

>>382
設定のカスタマイズなど個人で無理なら、
業者に依頼という選択もあるよっていう人がいるのであって、
YAMAHAにこだわらなくてもいいって言ってしまったら、
脱線しすぎだよ。

>>384
業者に依頼は、YAMAHA前提だから、
OAサービスのようなPCに詳しくない人は来ないでしょう。

>>383
一瞬とか数秒のタイムラグというようなリアルタイムは無理でしょう。
データを保存して、数時間とか数日以上かけて解読するんじゃないかな。

>>384
YAMAHA関係ないけど、複合機の設置にきた人が複合機のアドレスを聞いてきたので、
「192．168．110．230の24ﾋﾞｯﾄで」って言ったらサブネットマスク聞いてきたので、
再度「24ビットで切っといてください」って言ったら、「なんすかそれ？」って笑いながら聞かれた。
その後が「普通にﾆｰｺﾞｰｺﾞｰのﾆｰｺﾞｰｺﾞｰのﾆｰｺﾞｰｺﾞｰのｾﾞﾛでいいの？」ってタメ口だよ。
ﾄﾞﾗｲﾊﾞのｲﾝｽﾄｰﾙもするって話だったけどこんなﾔﾂにPC触らせたくなかったので、全部自分でしました。

こういう常識が世間の非常識なのかもしれないけど。。。

>>385
まともに金出せば、まともな人材がやってくると思うけどね。

あくまでサービスって事だったらしいけど。
DHCPサーバー君が居ないのに、IPアドレスが自動で振られるわけがないｗ
CD-Rに関しては、上司曰く「折角購入したのに（ドラッグアンド）コピーできないんだ」
大塚商会の作業員はパケットライトを知らなかった模様ｗ

>>386
某社の手順書には「サブネットマスクは全てクラスＣ」って書いてあった。
サブネットマスクは全て255.255.255.255.0と書き直しておいた。
某社の手順書の方針は「馬鹿でも作業出来るように記述するのが手順書だ」との事。

揚げ足を取るつもりはないんだが、

×　255.255.255.255.0
○　255.255.255.0

>>388
あ、すまん＆サンクス

サービスマンは、それほど、詳しい人少ないのだから、
あまり多くを望むほうが酷だよ。

それくらい、わかってあげるのがよいよ。

そんなに詳しいなら自分でやれよｗ

丸投げできるようにシスコを選定するのが筋

丸投げするにも、どういうネットワーク構成が必要なのか、
自分はどのように実現するつもりで現状に至っているのか、など
説明すべきコトは結構あると思う。

それとも、パートのおばちゃんみたいに「あたしにそんなこと聞かないでよ」とか開き直れる人なのかな?

自分でやったほうが早い

うん、自分でやったほうが速い

>>393

>丸投げするにも、どういうネットワーク構成が必要なのか、
>自分はどのように実現するつもりで現状に至っているのか、など
>説明すべきコトは結構あると思う。

そこまでわかっているなら、ちょっとの努力で、自分たちでなんとかできそうなものだがな。
そりゃあ、細かい点は勉強が必要だけど、
業者に丸投げたら、自分たちで自由に変更できなくなってしまうよな。
いちいち、お金をたくさん払って、修正してもらわないといけない。
修正とか設定費用って、莫大なんだろう。ハードウェアの何倍も高い。

ところで、業者設定のルータのパスワードって、誰が管理するのだろう。

いじる事できないなら業者管理でしょ

当人じゃないけど
営業や上司が決めてるから、つきあいでサービスマンを呼ぶってこともあるね。

ＰＣなど簡単なハードの納入だと自分でできるけど業者に任せることは多いしね。

>>396
できるできないじゃなく、できないと思っている。
YAMAHAは設定集が多いので、それなりなものを適当に自社仕様に合わせれば使えるんだけどね。

業者設定のルーターのパスワードは一般的に業者管理だよ。
会社によっては、configの提出があったりするけど、○投げボンバー的な会社へは、configの提出もない。

>304
おｋ、304はIPネットワークサービス以外のサービスマン、ということでよいのかな。
予測では、こうなります。

１．拠点AのPCからtelnet 192.168.1.1 で、コンフィグ投入
→admin onlyエラーがでる
２．#してから378のconfigコピペ
→2行目 "ip lan1 secure filter out 20 200 99" 入力後に telnetが無応答になる
３．２のため、お客さんからも通信途絶(業務の支障発生)の知らせ
→ルーター強制再起動
４．15分後にpppoeとIPsecが再接続するが、２と３を再度、再再度行なう
→ここまでで１時間経過。自社に連絡をとる。
５．拠点A完了後、対向拠点に移動し設定を行う
→ip route hogehoge 不足でB-BBB間が通信不能。
６．じつは、あるサーバのみ全グループからアクセスが必要だった
→翌々日よびだされて再作業
７．客先からヤマハサポートへ電話する
→コンフィグとネットワーク構成を要求される

こんな事があるので、作業前に実機をたたいて
事前に自分で動かしてみるのが安全です。

他のかたがおっしゃってるのは、ある仕事・業務を実施するには
自分の手足を動かすか、金銭払って他人の手足を動かすかですが、
いずれにせよ、
その目的とするところは自分が考えるということ、
自分の頭は動かさないといけないということ、です。

自分の頭に業務知識を入れるときには、手足を動かすことも伴いますから
時間・予算はかかります。そのとき、ヤマハ等はその取得コストが比較的低いため
結果として、自分たちの手でやった方が安くて早くて綺麗、と。

えらそうなことをいってしまった（＾＾；
以下、378と同等です。
個人的には、inboundで落とす方が好みです。参考程度に。

あくまでこれは>>378の条件下でのconfigの抜粋です。
他に条件が加わったら、動作しない可能性がありますが、
378さんをはじめとする2chの皆さんに瑕疵はありませんから、
通信途絶したとしても、くれぐれもそこのところよろしこねがいします

○拠点Aルータ
ip lan1 address 192.168.1.1/24
ip lan1 secure filter in 20 200 99
ip lan3 address 192.168.2.1/24
ip lan3 secure filter in 10 100 99
ip filter 10 reject * 192.168.1.0/24
ip filter 20 reject * 192.168.2.0/24
ip filter 100 reject * 192.168.100.0/24
ip filter 200 reject * 192.168.200.0/24
ip filter 99 pass * * * * *

○拠点Bルータ
ip lan1 address 192.168.100.1/24
ip lan1 secure filter in 200 20 99
ip lan3 address 192.168.200.1/24
ip lan3 secure filter in 100 10 99
ip filter 10 reject * 192.168.1.0/24
ip filter 20 reject * 192.168.2.0/24
ip filter 100 reject * 192.168.100.0/24
ip filter 200 reject * 192.168.200.0/24
ip filter 99 pass * * * * *

>>400に追加

８．コンフィグとログと前日の設定内容を送る
→フィルターの既存設定を上書きしちゃってる可能性を指摘される

>>401
>個人的には、inboundで落とす方が好みです

えっ。理由はありますか。
LANインターフェイスout方向で制御すると、
その自分のところのネットワークを自分で制御しているイメージになるので、
わかりやすいと思っているのですけど。
一箇所に処理をまとめるオブジェクト思考的。

inboundで落とそうとすると、自分以外のネットワークの事情にまで考慮しなければならないので、
複雑なネットワーク構成の場合は、あとから見たら何がなんだかわからなくなってしまいそう。

一般的にはどうなんですかね。

>>403
401じゃないですが
＞一般的にはどうなんですかね。
フィルタを書く場合安全性を重視します。（書き易さではあまり判断しない）
説明
送信側（発信元）のOUTでブロックしても良いし、受信側（宛先）でのINでブロックしても結果は同じです。
結果が同じなら安全と思われるインターフェイスと方向でブロックしたほうが良いと思います。

発信元とは違うインターフェイスに繋がった発信元偽装（ウイルスに感染など）したPCがあった場合。
発信元のOUTで防ぐことは出来ず、宛先のINでなら防げます。

したがってINの方が安全と思うんだ

うーん、そこまで考えたことなかったな。
ユーザーレベルでの目的の達成にとらわれていた。
これまでウイルスに仕業まで考えたことなかったわ。

フィルタの記述方法なんてセンス（感性）だから、
とりあえず必要とする動きをするように記述すれば良いだけ。

で、その上で、どうしたら”より安全になるか？”ってのを試行錯誤していくわけだ。
初めっから鉄壁のフィルタを書こうとするとドツボに嵌るぞ（今回のは簡単だから良いけど）。

>>403
おっしゃるとおり、フィルタはOUTにかけるほうが綺麗にかけます。
記述が綺麗だと見通しも良いですし。
そのあたりは好みとかセンスと思います。

私の理由は、404のとちょっと違って、処理の手数の点からです。
従来のrtxは以下のように動いてるはずです。

INのNAT/IPマスカレード → INのフィルタリング → ルーテ
OUTのNAT/IPマスカレード ← OUTのフィルタリング ← ィング

パケットをdropするなら、INのところで行なうほうが、そのあとの工程の
ルーティング処理とoutのフィルタリング処理の負担が減ります。
304のケースでは、最初のルーティングのあと、VPN(暗号化・復号化)と
対向側のルーティング処理をする経路もありますから、
対向のOUTで捨てることになれば、この処理も結局無駄になっちゃいます。

私の好みでは、OUTのフィルタは、明示的に通す・通して戻ってくる通信に、
たとえば動的フィルタのトリガーに使うつもりをしてます。
、みたいな感じの説明でよろしいでしょうか。

>>407
なるほど、暗号化などの処理に無駄が出るので、検問INでもう「行かせない」わけだ。
これは、ほかの人のことまで熟慮し考える”やさしい”設定ということですね。
まあ、たしかに、その熟慮が後から見てわけわからなくなってしまいそう。
もちろん、メリットはあるのだけれど、

だから、すべての場合で、”やさしく”検問INでもう「行かせない」方法をとるのではなくて、
やはり、すべての場合で、”綺麗に”私設警備OUTで「お断りする」方法をとるのではなくて、
その使い合わせがよいのではないかと思いました。

暗号化処理に無駄が出て処理に負担をかけてしまうようなパケッツだけ、（たとえば、狂ったアプリケーションがあるとか、）
”やさしく”ほかの人のことまで考えて、検問INでもう「行かせない」方法をとったらいいんじゃないだろうかな。
そうでもなければ、”綺麗に”私設警備OUTで「お断りする」方法がわかりやすいね。
それぞれの私設警備に任せればいいわけだから。

実際にそんなにCPU食ったり反応違うもんなの？
気にするレベルじゃなかったり・・・

>>408
ですね。

>>409
もしかすると最近のヤマハ機器と回線事情なら、気にしなくて良いのかもしれませんけど
昔のciscoはこんなかんじでした。

2004年頃は、Wendell Odomさんの"CCNA ICND exam certification guide: CCNA self-study"(GoogleBooks)
p.447に"フィルタするなら送信元の近くで。そしたら、網の帯域を有効に使える"と。

2007年頃は、適用位置について"good practice"。理由は見あたりません。
ttp://www.cisco.com/en/US/products/sw/secursw/ps1018/products_tech_note09186a00800a5b9a.shtml#applyacls
> It is a good practice to apply the ACL on the interface closest to the source of the traffic.

2009年頃は、推奨適用位置の記述がみあたりません。ステートフルはOUT適用が楽だから、かもしれません。
ttp://www.cisco.com/en/US/docs/ios/sec_data_plane/configuration/guide/sec_access_list_ov.htmｌ
> Therefore, filtering on incoming packets can save router resources because filtered packets will not go through the router.

WS-ONE の更新日付が 2010/Jul/21 なんだけど誰か使ってますか？

http://www.rtpro.yamaha.co.jp/RT/ipv6/ws-one.html

RTA50i 2010/Jul/21 rta50i.bin 注1
RTA52i 2010/Jul/21 rta52i.bin
RT60w 2010/Jul/21 rt60w.bin

ふるーーーい
いまさら、なぜ、RTA52iなんだ？？？？
なんのために。何のメリットがあるのか？？
謎。

更新日がその日なのはサーバー入れ替えたせいかな？

>>363
>>348
とにかくAsahiNetでVPNできているので報告。
>>349の「設定の検証」機能最強かもしれんｗ

最近のこのスレの流れ好きだなあｗ

PPPoE接続で固定グローバルIP1個割り当ててもらうときにも
UnnumberedみたくLAN側にグローバルIP持たせることって出来るんですか？
設定資料集では静的NAT変換やマスカレードつかってLAN側はローカルIPを
設定している例しか見当たらなかったので・・・

>>415
固定IP1個の契約で、その1個をLAN側に与える理由は？
需要の無い設定を資料化するわけがないｗ

>>415
出来るでしょ。昔やったことがある気がするが、設定忘れた。

>>413
なーんだ

>>415
目的は？
WEBサイト公開とか？

ルーターのLAN側につけることは出来ると思うが、LAN側に繋がってセグメントに任意の一台に、は無理と思う
pp に IP を振らず、ip lan1 address 〜 で LAN1 に振れば良かったはず

ただ、pp じゃなくて、あえて lan1 に IP を振りたい理由を聞かせて貰えれば
また違う回答ができるかもしれない。

>>415
出来ると言っている人いるけどそういう接続できる機器は存在しないと思うよ。
てか仮にできたとしてもーター経由する意味無いじゃないL2SWのHUBでも買えばいいよ。

LAN型（専用線のサービス）ならそういうことできるのあるけど（実際はGW用のIPも付与されるね）PPPoEじゃ無理ぽ

グローバル１個じゃNATやマスカレード必須だろ

ルーターにローカルのアドレス振らないとローカル側の器機がどうやってルーターやルーター経由で外とお話できるんだ？

ちなみに振る事は可能

>>416-424
す、すいませんえらい論争になってしまった

なんでしたいかというとIPマスカレードや静的NATだと
グローバル側の何番ポートをLAN側のサーバの何番ポートへ…
みたいな設定をひとつひとつしなくちゃいけないと思ってるからです…

単にサーバがグローバルIP持ってたらファイアウォールの設定だけだし
かと言ってサーバから直接PPPoE発呼するのは何か面倒だし…
…というのが理由でした

NATでいいんじゃないの

サーバーは何個？
サーバー以外、例えば自分のPCでネットするとかもあるの？

サーバーが一個なら一対一でNATすりゃいい話

補足
サーバー一個で他に何も無いならって意味

>>425
こだわりがあるなら IP8 か IP4 にしろ

>>426-429
サーバは一台です。自分のPCでネットしたりしないです。
もしかしてこんな感じでいいってことですかね…

ip lan1 address 192.168.0.1/24
pp select 1
　pppoe use lan2
　pp auth myname 以下略
　ip pp nat descriptor 1
　pp enable 1
nat descriptor type 1 nat
nat descriptor address inner 1 192.168.0.100

これだと192.168.0.100のサーバは完全にグローバルIPと
ポートも含めて一対一で対応するんです…？

いいんじゃね

>414
おつ＆おめ。うまくいってよかったよかった。

>431
そうです。以下のurlをみますと、もう2行あったほうがベターみたいです。
ttp://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/example/11.html#masquerade-nat

nat descriptor address outer 1 GLOBAL
nat descriptor static 1 1 GLOBAL=192.168.1.100

>415
(解決されそうですけど書いたので。。。)

たとえば、アドレスa.b.c.2をもらった場合には、
ルータは、ip lan1 address a.b.c.1/30、ppはppアドレスなし、natもなし、
サーバは、a.b.c.2/30 と振ってやれば、設定と動作はできますけれど、
当然の事ながら、本来のa.b.c.0/30帯の他のアドレスと通信できませんから
勧めません。邪道です。
LAN1側機器がサーバ１コのみ、であれば他のかたがおっしゃっるとおりNATです。
複数の機器がぶら下がっていれば、DMZ機能で素通しにしてしまうのはどうでしょう。
nat descriptor masquerade incoming N forward LocalIPaddress です。

よそ様の機器にはGapNATというのがあるそうです。
ttp://www.ntt-me.co.jp/mn/support/FAQ/GapNAT.html
ttp://plusd.itmedia.co.jp/broadband/0305/12/lp02.html
SIPのNAT越えも問題でしたし、他にも同類の対策技術があるのかもしれません。

>>433
>もう2行あったほうがベターみたいです。
お、おそれいります…

邪道の部分は僕のネットワークの知識では理解不能ですね…
incoming forward の部分も結局どんなインバウンドパケットも転送するなら
NATで完全に変換しちゃうのとどう違うのかよくわからない…

せっかく高度な抜け道を書いていただいたのに自分が低次元過ぎて
申し訳ない気持ちでいっぱいです

nat descriptor masquerade incomingコマンドは、
内向きのパケットを変換できないときの動作を定義するもので、 セキュリティの観点で注意が必要なコマンドです。
特に、 forwardを設定したときには、内部の端末にパケットを転送するので、 外部から内部の端末へのアクセスを許すことになります(※)。

http://www.yamaha.co.jp/news/2010/10100601.html
これってRTX1200持ってないと単体ではつかえないのかとおもったら
スペック表の設定手段の欄にPCアプリケーションを使用した設定ってあるから出来るみたい。
ってことは単体ではYAMAHA語でのTELNET設定できないみたい。

L2スイッチって、ルーターが使える力があるんなら使えるんだと思うけど、
何の目的に使うのかいまいちわからない。
IP層でコントロールするのはわかるけど、何がしたいのかいまいち。
ルータではだめなんですか。

パソコンがあればルータいらないのになんでルータなんか使ってるの？

>>437
それL3スイッチだから

>>437
ルータ内蔵スイッチだけではポートが足りないような規模の支店ネットワークを
ルータだけでなくスイッチまでRTXで一元管理するのが目的じゃね？
Ciscoルータ＋スイッチポートの代わりとして検討するところもあると思う。

>>439
あっ、そうか。（汗）

>>440
単なるイーサーネットハブとは違うんだ

>>441
VLAN(タグVLAN)のHUBは各フロアとか遠くにあったりするからね
そういう遠くにあるHUBも一括管理できるって代物かと

シリアルで繋いでやるとかすると、本体内蔵HUBと同じ様に扱えるとか？

LAN分割機能なんかあったり、DHCPサーバー機能も持っているのかな。
ファストパスとかあるんだろうか。

>>444
> LAN分割機能
ポートベースVLAN

> DHCPサーバー機能
L2スイッチの機能ではない

> ファストパス
スイッチはハードウェア転送

>>445
ありがとう

RTX1100　での、VPNとDLNAについて質問なんですが、
下図の構成にて、
Subnet<A>にあるDLNAサーバから、
Subnet<B>にあるDLNAクライアントへ、データの配信するようなことはできないでしょうか？

　Subnet<A>----RTX1100<A>←----VPN(IPSEC)----→RTX1100<B>----Subnet<B>

DLNAは、マルチキャストを使って、サーバ/クライアントの探索や配信データの一覧取得などを
行っている模様で、
RTX1100にて、異なるサブネット間でのマルチキャスト転送が可能ならできそうなのですが。。
(MLDとか利用すれば可能？)
＊ちなみに、
上記構成にて、異なるサブネット間でのブロードキャスト転送は成功しています。(WakeOnLANで確認済)

＊ちょっと調べてみて近い結果記事
http://www2u.biglobe.ne.jp/~mikanagi/cgi-bin/nicky/nicky.cgi?DATE=201002?MODE=MONTH

http://www.avsforum.com/avs-vb/showthread.php?t=1252633

>>447
マルチキャストは判りませんがiTuneのLAN越えを調べました
ttp://www.u-1.net/2007/02/19/727/
ttp://chikura.fprog.com/index.php?UID=1163155421

>>448
「Linksys RVL200でのVPN環境では、
　Linksys RVL200にマルチキャスト転送機能はないから無理です」といった内容みたいですが、
　RTX1100も無理なのでしょうか？
　RTX1100は、MLDという機能になら対応しているようですが(ipv6のみ)、
　これを使ってなど。

下記サイトでは、Juniper社ルータにて、
IGMPという機能で成功しているようですが、
RTX1100では対応していないようです。。(RTX1500なら対応している)
http://www.techsweden.org/forum/viewtopic.php?f=5&t=224879

>>449
iTuneに関してもBonjourという、Upnpと同様のプロトコルで、
やはり、マルチキャストで機器探索を行っているようです。
掲示頂いたサイトでは、PCにてDLNAサーバ/クライアントを構築しており、
PCの設定を変更して対応しているようですが、
当方の環境では、DLNAサーバ/クライアントともにPCではないので、
残念ながら、参考サイトのテクニックが利用できません。。
ルータのマルチキャスト転送機能に頼りたいと思っています。

Subnet<A>----RTX1100<A>←----VPN(IPSEC)----→RTX1100<B>----Subnet<B>
　・Subnet<A>：　DLNAサーバ(PLANEX MZK-USBSV)
　・Subnet<B>：　DLNAクライアント(TV(Panasonic TH-L37V1))

西日本の光プレミアム回線を使っています。
rtx1100からのpppoeをパススルーしてプロバイダに接続し、
ipsecで他拠点へつないでいます。

どうやら、このVPN接続がよくプチ切断されているようなのです。
いつから始まったのかわかりませんが、
最近になってVOIP関係のパケットを通すようになって通話が切断されることから問題が判明しました。
切断の程度は、rtxのVPNログに再接続記録が残る程度のものもありますが、
瞬断がほとんどだろうと疑っています。

こんなほかで話きいたことがないでしょうか。

>>452
詳細LOGくらいはあるんだろうな？
対向も同じ機種？同じファーム？

>>452
プチ切断って、どのくらいの長さの切断なの？
VoIPだと、パケットの遅延やゆらぎに敏感だから、途中の経路で
パケットの糞詰まりがあると、切れた感じになるんじゃないの？
VPNログに残らない切断?なら、パケットの糞詰まりじゃないの？

インターネットVPNで、VoIPをするならきちんと評価(ホップ数や
時間帯毎の遅延時間など)した上で導入するか、時々切れるものと
して割り切って導入しないとだめだよ。その辺、ISP・キャリアの担当に相談した？

某社では広域Ethernet上のVoIPでも、苦情(音声が切れる、エコー)が
あるといってたからなぁ。

>>453
光プレミアム拠点の対向拠点(N)も同じrtx1100です。同じファームです。
この拠点Nへの、ちがう別拠点（RTX1500）からのvpn接続は切断された形跡がなかったので、光プレミアム拠点において問題が発生していると見ています。

>>454
長いものは、VPN接続がいったん切断されるくらいの長さです。
多分、光プレミアム拠点でpppoeのレベルで切断されたと考えているのですが、余計なログでメモリが溢れていて再接続記録がとれていません。
でもpppoeを２セッション（同じプロバイダ）張っていて、今日はそのうちの一本（pp1）がいったん切れた模様です。
ともに、次のように自動切断されないように設定しています。
　pppoe auto connect on
　pppoe auto disconnect off
PPPoE PP1/LAN3 Up
- 送信: 0.0% 受信: 0.0% 12時間50分22秒
PPPoE PP2/LAN3 Up
- 送信: 0.0% 受信: 0.0% 16時間59分27秒

やっぱり、pppoeのレベルから切れているようです。

VOIPを使っているときには無音状態になるそうなので、メディアが流れていないみたいです。
数１０秒間メディアが流れない状態で、通話がぷーぷーぷーになってしまいます。

光プレミアムで使っているCTUとか、
ヒーター代わりに使えるほど熱くなるメディアコンバーターとかに問題があるか、
それとも、rtx1100の調子が悪いのか、

rtx1100は代替品があるので、一度交換してみたいと思います。
それでもpppoeが切断されればNTTに問い合わせてみたいと思います。

CH数は？

同時通話チャンネル数ですか？
VPNを流れているのは、多くて4通話くらいだと思いますよ。

VoIPだけって話に変わってる・・・

ttp://www.sogeninc.co.jp/nw/set_up/yamaha/5/index.html

ここに書いてあることって合ってますか？

解説と設定にズレがあったりするので、けっこう混乱してます。

わからないなら仕事出してやりなよ

>>459
過負荷でrtxが一時的に落ちたのでは？ということが言いたいのでは。

QoSかかってないんでしょ

VoIPが原因か確認確認しなさい。
＞余計なログでメモリが溢れていて
ではなく、SYSLOGサーバー用意してLOG収集してくださいそしてVoIPの装置のLOGと見比べてみなさい。
VoIPが問題そうだったらVoIPの負荷を確認しましょう、RTXならSMNP実装しているでしょう。

てかVoIPを疑っているならVoIP装置にQoS実装していないかとか確認する方が先じゃないだろうか？

でも、voipの付加で、pppoeごと落ちるものなのですか。

現象発生時の、show status lan3 と show nat descriptor addressと
show status pp 1 とほんもののconfigとログは晒せますか。それなしに話するのはツライです。
とりあえずの推測すると、WAN側に白いケーブルを使っていたり、
内部のスパイウェアかP2P等が悪さをしています。それと、PPPoEのアカウント重複。

光プレミアムは、網側機器にEoLがきているらしく、かといって追加投資はできず、
むりに保守をのばしてもらってる状況、のようです。
電力系への切替を視野に入れて、ｎｔｔに期待しない方が……

現象発生時に、コマンドを打つのは難しいです。
現場にいないので、後から報告を受けるからです。
やはり、シスログを溜められるサーバーが必要かなと思い始めました。

いつも自分に対してエスパーしてから問題を想像し、
そのエスパーが正しいかどうか確かめるために、”仕掛け”を設置していましたから。

今回の場合も、他拠点のrtxでは問題は発生していないようなので、
ここの拠点だけに問題があるのだろうと見ているわけです。
コンフィグも他拠点と同じなので、問題はないかと見ています。

今は、pingを飛ばし続ける試験をしようと考えています。
光プレミアム拠点から二つの拠点に対してpingします。
両方にtimed outが認められるだろうと期待しています。
ping 192.168.xxx.xxx -t > c:\xxx.txt
ping 192.168.yyy.yyy -t > c:\yyy.txt

もし片方だけなら、光プレミアム拠点が問題だとはいいにくくなる。
どこに問題があるのかを確かにしたいと思います。

>光プレミアムは、網側機器にEoLがきているらしく

NGNへの移行を促している感じですね。

>>467
458は貴方？
IPsecトンネル内のVoIPパケットが最大4通話あるってこと？

VoIPのパケット減らしたら？QoSとか圧縮で
G.729固定とかにするとパケット量は大分減るんじゃなかろうか？（G.729はFAX非対応だったかな？）

ちなみにVoIPがネットボランチならコマンドで変更だね、初期値は何になっているのだったかな？

プロバイダはどこ？

しばらく通すの辞めて
負荷試験でもしてみたら？

>>469
そうです。

今度、パケット処理中のRTXのCPU使用率でも見てみようと思います。
負荷が高まると、PPPOEもVPNも落ちちゃうんですか。

VOIPと言ったって、最大で4通話（一通話64kbpsだったと思う）しか通ってないので、
そんなに処理が大変になっているものなのか疑問です。

最大で４通話と書きましたが、考えてみると、双方向なわけで、
こちら側の音声と相手側の音声もあります。

また、問題の光プレミアム拠点ではASTERISK電話サーバーを設置し、
ちょうどIP電話機郡のある拠点と、VOIPゲートウェイのある拠点の中間拠点です。
双方向の通話のパケットはこの電話サーバーを通っていくため、
この光プレミアム拠点では通話のパケットが、流れ込むものと出て行くものとになり２倍になっています。

4(同時通話)×2(双方向) ×　2（IP電話機、VOIPゲートウェイ）×　64（kbps）になると考えられます。
4（同時通話）×4×64
=1024kbps

1MBit/secのデータが流れていることになります。

これは、rtx1100にはきつい処理になるのですかね。

>>474
フラグメントは？
VoIPは極端に小さなショートパケットでありさらにIPsecでフラグメントした場合、極端にパケット数が増える可能性が。
計算上1Mでも一時的にパケット数が数十倍になっているかもね。

あ、俺変なこと言った0ね、ョートパケットなんだからフラブメントしないよね。

まあVoIPはショートパケットだからRTX1100の性能使い切っているのかもって事を言いたかっただけです。

なんでもかんでも大文字にしないでください！
小文字が可愛そうです

PPPoEのセッションが切れるのはISP側の問題が大でしょ
一度問い合わせしてログみてもらうのが一番手っ取り早い

今月から転送量上限のあるプロバイダに乗り換えるんですが
RTX1000の管理画面から総パケット数みたいなのは見れるんだけど

１）ここから転送バイト数って計算可能なんでしょうか？
２）定期的に転送量レポート送らせられるんでしょうか？

>>478
＞１）
不可能
パケットサイズは一定ではないので。


えっとSNMPって知らないの？
RTX1000 SNMP
RTX1000 PRTG
などでググってみてはいかがだろうか
(PRTGはSNMPで取得したデーターをグラフ化する有名なアプリです）

嫌な性格

色んな人が居るなw

僕には聞かれた事だけ答える人より、
>>479みたいなレスの方が勉強になってよっぽど親切に思えるけど。

できるお
とか答えておけばよかったのかね

> えっとSNMPって知らないの？

他はいいとして、上の言い方が勘に触ったんだろうな、きっと。
自助努力(笑)とやらが持て囃された結果、ブラックな意味で弁慶気質な連中が増えた気がする。

管理画面に表示されるのは、showコマンド。
あのね、こんなのが出ますよ、
> 受信: 731991234 パケット [3216748686 オクテット] 負荷: 0.0%
自助努力wとか「できるお」「できないお」とかよりも以前の問題と思うんだ

自力でなんとかするか、業者に出すにしても業者のやり方をざっと教えてもらって
細かいとこは調べるとかしてれば結構覚えるよねー
・・・設定例集ろくに読まず２ちゃんで訊くってｗ

PRTG ってあるんだ
MRTGと比べてどう？

かなり以前に調べた限りでは、Windowsで動作するMRTGくらいの印象だったけど、
今のバージョンだとMRTGとでは比較にならんかもしれんな
比較するとしたらMuninか？

PRTGって有料？

そろそろスレ違いだ
ttp://www.jtc-i.co.jp/prtg/pr10-product.htm

小さいベンチャーでネットワーク管理を押し付けられた半人前です。

人数が増えて、ひとつのISPで社員全員がネットに繋ぐのが厳しくなってきたので、LAN1はプロバイダ1、LAN3はプロバイダ2という具合に、部屋ごとに違うプロバイダに接続する方針にしました。

新しく別のプロバイダを契約し、今までの設定と全く同じように pp 2 を作成し
NATディスクリプタの設定をしたのですが、ISP1の方のLANからはちゃんとネットにでられるのに、ISP2の方はPPPoE接続のstatusは問題ないのにインターネットに出られません…

ふと default gateway のインターフェースを pp 2 にするとISP2のLANからネットに出られたものの今度はISP1のLANからネットに接続出来ません…

明らかに routing の設定だけのように思えるのですが、半日マニュアルと設定資料集と格闘してもどうにもうまくいきません…

明日の業務開始が迫っておりちょっと泣きそうです…configを個人情報以外ほとんどそのまま貼るので、どなたか、ヒントだけでも頂戴できませんでしょうか…どうかよろしくお願いしますm(_ _)m

改行が多すぎて貼れなかったのでもう1ポスト使わせていただきます。すみません。

ip route default gateway pp 1
ip lan1 address 192.168.11.1/24
ip lan3 address 192.168.22.1/24
pp select 1
pp name ISP1
pp always-on on
pppoe use lan2
pp auth accept pap chap
pp auth myname ID PASS
ppp ipcp msext on
ip pp nat descriptor 1
pp enable 1
pp select 2
pp name ISP2
pppoe use lan2
pp auth accept pap chap
pp auth myname ID PASS
ppp ipcp msext on
ip pp nat descriptor 2
pp enable 2
nat descriptor type 1 masquerade
nat descriptor address outer 1 ipcp
nat descriptor address inner 1 192.168.11.1-192.168.11.254
nat descriptor type 2 masquerade
nat descriptor address outer 2 ipcp
nat descriptor address inner 2 192.168.22.1-192.168.22.254
dhcp service server
dhcp scope 1 192.168.11.2-192.168.11.64/24
dhcp scope 2 192.168.22.2-192.168.22.64/24
dns server pp 1

こーゆーのは？
http://www.rtpro.yamaha.co.jp/RT/docs/filter-routing/filter-routing.html

>>491

>ip route default gateway pp 1
こりゃ、全部がpp1に行くだろ。

ただ漏れんちif分けてないからなぁ。セグメントは複数在ってアドレスごと行き先分けてるよ

ゴメン、途中で送信した。
フィルターを作って、それでフィルター型ルーティングにすれば大丈夫。

>>492-495
感謝のあまり涙が出そうです。ありがとうございました。
フィルタで振り分けたところ、両者のLANから「診断くん」で確認したらそれぞれ別のISPがきちんと表示されていました。

また、今までもせっかくのグローバルIPを活かすべく、LAN内の任意のマシンをサーバとして公開するために

nat descriptor masquerade static 2 1 192.168.22.100 80

のように設定して使っていたのですが、これも完全に動作していることが確認できました。
本当に本当にありがとうございました…休日出勤を終われそうですm(_ _)m

LAN内のマシンをサーバとして公開って、用途は知らないけどおっかないことするなぁ

>>497
あ、テスト用サーバとしてHTTPだけ公開という感じです…

あ、すまんす。いぢわるで書いたつもりはなくって・・・

それはそうと。本職の他にやらされてるっぽい印象を受けました。
インフラ管理を片手間にやるのはきついよねぇ

>>499
あ、とんでもない…勉強中なので何かまずいことしてるのかと思っただけです。
インフラはソフトウェア開発の傍らでやっております。

ただ、RTX1100に触れたのはいい勉強になりました。
今までは開発メンバはみんな自宅からSSHを許可してたんですがこれからはこのルータでVPNを構築してもっと安全に使えることが分かったので…

勉強になりました！ありがとうございました！

>>497
その発言、気になるなあ。
サーバー公開は、静的natで内側サーバーに通すのが一般的だと考えていた。

グローバルをサーバーに直接割り当てるの？
固定IPをネットワーク単位で取得して？

そんなのケースバイケース
お互いに突っかかる事案でも無い

>>502
発言が気になっただけであって、突っかかっているわけではないんだが・・・

>>500
>ルータでVPNを構築してもっと安全に使える

固定IPをつかって双方で運用し、それ以外を排除するフィルタリングを設定すると
かなり安全になると思いますよ。

できれば、PPインターフェイスを二つ設定して、片方を固定IPにしてipsec専用にしましょう。
デフォルトゲートウェイは、フィルタ型ゲートウェイを設けて、
ipsec関係パケットが固定IPの方のPPインターフェイスに流れるようにします。

コストってもんがあるだろ

固定IP、意外と安いもんだけどな。

>>503
昔は、natを使わずに、サーバに直接グローバルアドレスを割り当てるのが一般的でした。
natを使うことを考慮しないアプリがあるのが、その名残です。

たとえばFTPです。ここをみますと
ttp://web.kuicr.kyoto-u.ac.jp/~hattori/non-research/memo/tools/ftp.html
「passiveモード時のデータコネクション確立時」サーバは自身のIPアドレスを返します。
もしサーバがnat配下なら、プライベートアドレスで応答します。
プライベートアドレスで返事をされると、インターネット越しには通信できませんね。

このとき、気がきくnatは、グローバルアドレスに書き換えてくれるので、FTPは成立します。
けど、他のすべてのアプリの挙動をnatが知っているわけもなく。
ですから、動作させるアプリの仕様と作り込みをチェックできないなら、natを使用せずに、
サーバに直接グローバルアドレスを割当てて動作させるのが、安全です/でした。

natは、IPヘッダのIPアドレスの書き換えと、せいぜいポート番号の書き換えの機能です。
対FTP書き換えみたいな検査＆変換機能をもっともっと持たせれば良いんでしょうが、
何とか参照モデルでレイヤーを分けてるように本来、IPアドレスはIP層で扱われるべきもの、
TCPやそれ以上のレイヤーでIPアドレスを使うのは、各層の役割分担からすると、変。
# FTPはとくに変。SIPも変。

># FTPはとくに変。SIPも変

面白い表現！気に入った。
変態プロトコル

FTPは古いプロトコルだし、当時はさほど変だとも思われなかったんだろう

sipは、NAT状態というIPプロトコルに依存するのは問題だな。

パッシブ時のFTPサーバーってアドレス返すんだっけ？
設定したポート範囲返すと思った

Webサーバーとして公開したＤＢを
LAN内のＤＢにできるだけリアルタイムに取り込みたいとき、
どういう手法や構成が安全ですかね。

できればRTXシリーズを利用した方法で。

>>490とは違う別人です。

DBを扱う手法を訊きたいのかルータの何かを訊きたいのか・・・もう

ＤＢも当然、どう使うかは関係してきますが、
ＤＢの手法や詳細は不要で、
ご教示願いたいのは、ルーターおよびネットワークの構成などです。

他の全く違う方法などでお勧めがあれば、それでも構いません。

>Webサーバーとして公開したＤＢを
だれか解読してくれ

>ＤＢの手法や詳細は不要で、
>ご教示願いたいのは、ルーターおよびネットワークの構成などです。

お前さんがどうしたいか示せてないのにそのネットワーク構成を俺らが
考えるなんて不可能だろ…一体何がしたいんだ

ネットワークがどうこうってなんか関係あるのか？
もしかしてDBってデータベースのことじゃないのかな…

エスパーしてみる。

>>514
> ご教示願いたいのは、ルーターおよびネットワークの構成などです。
http://netvolante.jp/solution/int/case4.html
においてDMZにWebサーバをLANに取り込み用DBを設置。
これで要求を満たさないなら理由を「全て」書くこと。

あと
> LAN内のＤＢにできるだけリアルタイムに取り込みたいとき、
> どういう手法や構成が安全ですかね。
ときいておきながら
> ＤＢの手法や詳細は不要で、
って何なんだろう？
DBを絡ませないでルータだけで取り込みをしろというのだろうか？

>>514
いやいや。それはDBやサーバやリアルタイムとか安全設計の話です。

簡単にするなら、外付け共有ストレージにしてファイバで引っ張ります。
リアルタイムを要求されるなら、「HA」をあたってはいかがでしょう。
最近気になってるのは、drdbでディザスタリカバリーする？、とかで、
ttp://www.drbd.jp/wd_dr.html
まずサーバやDBや性能要件の話です。rtxとかなんとかはその次。

>>512
>Webサーバーとして公開したＤＢを
DB(たとえばaccessファイルなど)がWEB（グローバル）で公開されている？？

>LAN内のＤＢ
上で公開されたDBをPCで素早く取込む。

10回読んでこう理解した。

んと、WEBの巡回ソフトで良いんじゃない。ルーター関係ある？

DB間で定期的に同期とら取らせればいい話ちゃうの？

具体的に何をしたいか書かないと
本人も理解してない物アドバイスしようも無い

緩衝セグメントに（orにも）DB置いて見に行くか内側と同期するってのを
普通考える罠・・・ルータもDBも関係ない、設計思想の話だ。スレ違。

Web公開だから、WebサーバーからLAN内側への安全性ということでしょ。

>>517
DMZとLANの接続、DMZからのLAN内部への安全対策は？

>>518
外付共有であろうが、安全対策は？
DMZを使用すれば、RTX設定も関係してくる。

>>519
WEBの巡回、それもありだろうね。
WebサーバーのためにDMZを使用すれば、RTX設定も関係してくる。

>>520
安全に同期する方法は？ってことでしょう。

>>521
ネットワーク構成のことですね。
WebサーバーのためにDMZを使用すれば、RTX設定も関係してくる。

>>522
ネットワーク構成も考えて無いなら
アドバイスが多種出てきてもおかしくは無いだろ

無論ルーターは絡むだろうが静的NAT含めフィルタリングの話で済むのでは？

どういう用途で使うかしらんがデータ量がそこそこしか無いなら
内部DBの保護が最重要なら
WEBのDBに書き込まれた内容をメールで飛ばすもありだろ

>>523
＞ネットワーク構成も考えて無いなら
アドバイスが多種出てきてもおかしくは無いだろ

そうですね。
でも、安全性を考えてないアドバイスは、論外ですよね。

＞WEBのDBに書き込まれた内容をメールで飛ばすもありだろ

それもありだね。

動的フィルタを使って、内側PCからデータベースファイルへのアクセスはできるようにして、
その逆からはアクセスができないようにする。

動的フィルタは、FTPプロトコルには対応している。

＞安全性を考えてないアドバイスは、論外ですよね。
何様？ｗ

＞＞WEBのDBに書き込まれた内容をメールで飛ばすもありだろ
＞
＞それもありだね。

仕事じゃないってことはわかったｗ

一般外部に公開されてるDBでWebフォームでデータ入力するレベルならメールもありでしょ

>>522
そこまで言う後は全てお前に任せた。
ちゃんと責任持って>>514に対応しろよ。

まさかお前が>>514なんて落はないよな？

>>522
> >>517
> DMZとLANの接続、DMZからのLAN内部への安全対策は？
そもそも構成はこれで良いのか？
これで良いならどういう通信を行うのか？
DMZとLAN間でどういう通信を許可したいのか？
等がわからないと話が発散しすぎると思う。

そういう前提条件が揃わないで安全対策なんて笑止ではないかな？
こんなのまだ設計段階にさえ到達していないんだから。
もし前提条件を超越した素晴らしい設定があるなら是非紹介して欲しい。
きっとネ申になれる。

ﾊﾟｯ　　　ﾊﾟｯ　　　ﾊﾟｯ　　　　ﾊﾟｯ　　　ﾊﾟｯ　　　　ﾊﾟｯ
　[とり] 　　[あえ] 　　[ず]　 　[もち]　　[つけ]　　 [旦]　
　　‖∧∧　 ‖∧∧　‖∧,,∧ ‖∧,,∧ ‖∧∧　 ‖,∧∧
　　∩・ω・｀)∩・ω・｀)∩・ω・｀)∩・ω・｀)∩・ω・｀)∩・ω・｀)
　　 （　　　 ）. （　　　 ）. （　　　 ） （　　　 ） （　　　 ）　（　　　 ）
　　　｀ｕ-ｕ´　 ｀ｕ-ｕ´ 　 ｀ｕ-ｕ´　 ｀ｕ-ｕ´ 　｀ｕ-ｕ´　 ｀ｕ-ｕ

>>525じゃだめなの？

>>530
だからこそ>>517は『理由を「全て」書くこと』って書いてあるんじゃないの?
全てってなんだろうと考えれば洗い出しもいくらかは進むはず...
たぶん>>514はDMZって概念すら初めてだと思うからこれをきっかけに
それらの用語もググったりして理解してくれるはず...

ってかエスパーレスにそこまで求めるのは酷だよw

Ｗｅｂサーバーがハッキングされた時のリスクだから
Ｗｅｂ巡回とかメール転送が安全じゃないの。
リアルタイム性は落ちるだろうけど。

動的フィルタの手法はわからないけど
Ｗｅｂ巡回とメール転送はプログラム作って対応だね。
Ｗｅｂ巡回は、ｐｈｐなどはわかるが、ｈｔｍｌプロトコル読むのは面倒そうだな。
メール転送はメール受信プログラムでＤＢへ書き込めばよい。

動的フィルタはリアルタイム性に優れているだろうね。
安全性はよくわからないが。

Ｗｅｂサーバーはレンタルと自社サーバーが考えられるから
メール転送はどちらでも対応できるが
動的フィルタなどはレンタルサーバーでは対応どうなのかな。

自社サーバーなら、LAN1,LAN3を静的フィルタで片方通行。

レンタル共用サーバーなら、メールか巡回。

レンタル専用サーバーなら、直接同期。

どぉ？

当人（512氏）抜きで議論が展開されているような・・・

NW構成情報も無しにRTXシリーズを利用した方法でって表現から
”良く分かってない上司から押し付けられた初心者（512氏）”って感が・・・。

こう言う言い方は失礼だろうけど、現状の当人には無理じゃね？

もういいよこの話・・・

ですね。512と522は、WEBとDBの安全性のために
XSSとSlammerとSQLインジェクションを
RTXシリーズで防ぎたいとか言い出すタイプ

みなさん、ありがとうございました。
参考になりました。

どこからどうみても
>>512=>>522=>>524
(´ﾟc_,ﾟ｀)ﾌﾟｯ

まったく無関係だけど、512が本当にかわいそう、端からあげあしばかりとられて。

エスパーなんて必要か？と思う。
エスパーというより、それをこそ経験豊富な諸氏に質問しているんじゃないだろうか。
RTXに接続した外部公開WEBサーバーと共存しているデータベースのファイルを、
そのRTXに接続したPCから取得するために、どういう手法が安全かということだけを聞いているだけだろう。
いったいどうしてレンタルサーバーなんて話がでてくるだろうか。

上でも出てきていたが、動的フィルタを使うとよいのでは。

データベースサーバーとWEBサーバーが動作しているPC(a)に、
グローバルアドレスを付与しているインターフェイスのほかに、
プライベートアドレスを付与したインターフェイス(a)を設定し、RTXのインターフェイス(A)に接続する。

安全側のPC(b)は、RTXのインターフェイス(B)に接続する。

PC(a)のインターフェイス(a)からのみアクセスできるFTPサーバーを起動しておく。
そしてRTXに動的フィルタを設定し、
安全側のPC(b)からWEBサーバPCへのFTPアクセスは許可するが、逆方向からの通信は許可しない。

これで、WEBサーバーがどうにかなっても、そこから安全側に進入されることはなくなると思うけどな。

そんな回答ならデータベースがどうとか関係ないじゃん
わざわざDBが〜とか書くんだから固有の問題があるんでしょ？
ないのに聞いたならアホ過ぎる

>>512の書き込みを見る限り、>>517の挙げているURL以上の答えは無いと思う。
(
希望は書いてあるけど現状は書いてないので、皆どう答えていいのか分からない。
揚げ足取られても仕方ない聞き方だよ。

なんか盛り上がってると思いきや、エスパー質問かよ

>>541
それならFTPじゃなくて直で内部から一方向でDBアクセスした方がよくね？

すごいなえ巣パー
DMZが答えかよ

>>545
DBがクラックされたら、そのとき危険になる。
DBからLAN内にアクセスされるかもしれない。

だからわざわざ一方向でって書いてあるんじゃないの？

当事者が539で逃げちまったから、もう終わりだろ

質問者が遁走したようだけど、ネタとしては面白いから
サンプルになりそうなネットワーク構成を決めてから
それに呼応する設定とかで話を続けなイカ？

DBだろうがそうでなかろうが
静的でも動的でも一方通行にしとけばいい

ところで、LAN3にDMZ設定したら
LAN1とLAN3は片方通行できるの？

>>551
それを実際にやっているのが>>517の挙げたURLなわけさ
動的フィルタを使ってLAN1（LAN）からLAN3（DMZ）へのアクセスは可だけど、逆は不可にしてる

>>548
動的フィルタつかわないと、一方行通信できないし、
動的フィルタ使えるアプリケーションは限られている。例、FTP HTTPなど。

それはニーモニックがそれしか用意されていないってだけの話であって、
ip filterコマンドと組み合わせれば、あらゆるポート番号の動的フィルタを自作できる
設定例集の6.3とか、コマンドリファレンスの9.1.12とかを見てみるといい

これがゆとりというやつか

見れば見るほどRTXやらネットワークやらは二の次で、

DBのミラーを取得したいんだけど、皆どうやってる？

って話になってるような気がする。
rsyncでもlftpでもお好きにどうぞって感じだが。
「安全」が暗号通信必須を意味するなら、lftpはsftp/ftps/httpsにも対応しているらしいし。
本来はアプリの話なのに、たまたまYAMAHAのルータを使っていたってだけでこのスレに書き込んだんじゃないか？
一番冷静だったのは>>515と>>520だったな。
それ以上は触れるべきではなかった。

質問させてください。

ip route default gateway pp 2
ip route 123.123.123.123 gateway pp 1

と、あった場合に pp2から入ってきたパケット（宛先アドレスが123.123.123.123の場合）は
pp1がゲートウェイになるんでしょうか？？

pp2側からpp1側に通信が通らなくて何をどう見ればいいのか。。。。よかったらアドバイスお願いします。

>>557
イエス

アドバイス欲しければコンフィグ載せた方がいいよ

>>558
ありがとうございます。
すいません、あまり詳細まではコンフィグを載せることができないのですが
足りない部分があれば可能な限り載せたいと思っています。

ip route default gateway pp 2
ip route 172.17.2.0/24 gateway 172.16.10.10
ip route 172.16.13.0/24 gateway tunnel 1
ip route xxx.xxx.xxx.xxx gateway pp 1

description lan1.1 To_LAN-Segment
lan type lan1 port-based-ks8995m=on
ip lan1.1 address 172.16.10.1/24
ip lan1.1 ospf area backbone passive

（続きです）

pp select 1
description pp PP1
pp always-on on
pppoe use lan2
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname xxxxxx@xxxxxx xxxxx
ppp lcp mru on 1454
ppp ccp type none
ip pp mtu 1454
ip pp secure filter in 1 3 4 5 6 7 8 9 21 22 41 42 43 44 45 100
ip pp nat descriptor 1
pp enable 1

pp select 2
description pp PP2
pp always-on on
pppoe use lan3
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname xxxxx@xxxxxx xxxxxx
ppp lcp mru on 1454
ppp ccp type none
ip pp mtu 1454
ip pp secure filter in 2 3 4 5 6 7 8 9 21 22 41 42 43 44 45 47 48 50 51 100
ip pp nat descriptor 3 2
pp enable 2

（続きです）
tunnel select 1
description tunnel To_Hoge
ipsec tunnel 1
ipsec sa policy 1 1 esp 3des-cbc md5-hmac
ipsec ike keepalive use 1 on
ipsec ike local address 1 172.16.10.1
ipsec ike pre-shared-key 1 text ch1y0da
ipsec ike remote address 1 xxx.xxx.xxx.xxx
ip tunnel ospf area backbone
ip tunnel tcp mss limit auto
tunnel enable 1

前提：
172.17.2.0/24はVPNクライアントのアドレス範囲です。
VPNクライアント宛のパケットはすべてVPNサーバー（172.16.10.10）を経由します。
VPNクライアントはPP2を経由してVPNサーバーと接続しています。
VPNサーバー及びこのルータは172.16.13.0/24と通信が確立できています。

それで問題なんですが、VPNクライアントから172.16.13.0/24へアクセスできなくて困っています。
172.16.13.0/24のグローバルIPアドレスは伏せていますが、ゲートウェイpp1を使用しています（xxx.xxx.xxx.xxx）。
他に、pp2を利用したトンネル接続が多数あるのですが、リモートクライアントからそちら側へはすべてアクセスできています。

そこで思ったのが、pp2同士だったらいけるけれど、pp1の場合はいけないんじゃないのかということです。
これが、先に質問したpp2側からpp1側に通信が通らない、、という内容になります。

改めてアドバイスお願いします。

同サブネット上の192.168.abc.def/24と192.168.abc.ghi/24に一台ずつ、それぞれ別ISPに接続されたRT57/58iが(合計で２
台)あるとする。
ここで片方(ルーター1)のみDHCP鯖にし、Def.GW及びPri.DNSとして自分のア
ドレスをクライアントに返す普通の構成にし、もう片方(ルーター2)はDHCP鯖を殺す。

普通こーすると、ルーター２はIPを直打ちしたorルーティングテーブルに手動エント
リ追加したマシンからじゃないとネット用に使えない様になるのは当たり前で良い…として、例えばここで両方のルーターの
UPnPが有効になっとると、両方のルーターが同じサブネットにUPnPのブロードキャストをするから、それに伴いUPnPを利用するクライアントの挙動がどーなるか知りたい。

しっとるしと、いにゃい？

…と書き込んでから後悔…業務用スレだった…orz

こっちの方がまともなアドバイスが聞けると思うけどなｗ

>>554
そうだった。思い出した。ありがとう。
トリガパケットも設定できるし、それによって開けるポートも設定できるんだったな。

voipのメディアパケットを通過させると、RTX1100はすぐにCPU使用率が上がるけど、
RTX1500は、びくともしないわ。

高いだけある。確か、独立してCPUが三つもついているんだったよね。

>>561
172.16.13.0/24側が、172.17.2.0/24への経路を持ってないとか？
172.16.10.10が、ファイアウォールしてるとか？
各所からtracerouteしてもらったら、
どこヘ向かってとんでいって、どこで応答がなくなってますか。

>>567

VPNクライアント(172.17.2.1)からtracertしたところ、次のようになっています。

Tracing route to 172.16.13.4 over a maximum of 30 hops

1 14 ms 14 ms 13 ms 172.18.1.1
2 15 ms 13 ms 12 ms 172.16.10.1
3 * * ^C

172.18.1.1はVPNサーバーの仮想IPアドレスです。
ここからルーター(172.16.10.1）を経由して、本来3には172.16.13のネットワークのルーターを
通るはずなんですが、ここで通信が切れています。

>172.16.13.0/24側が、172.17.2.0/24への経路を持ってないとか？

持っていませんが、、それが問題ではないように思えます。
pp2の他のトンネルも経路を持っていないのですが、普通に繋がっています。
経路の問題は、172.16.13.0/24をpp1からpp2に切り替えてトンネル接続して
検証してみたいと思います。

引き続きアドバイスありましたらお願いしますm()m

アドバイスも何も情報が足りないと思いますPP2は何なのですかPPPoEでプライベートIP？？？
RTXのCONFIGだけ見ると下記と推測

172.17.2.0/24　VPNのクライアント群
　↓VPN　なんでか172.18.1.1とか経由？？VPNトンネル内になぜ？
172.16.10.10　←　＊　VPNサーバー（172.16.10.10）　↑に向ってデフォルトGW
　↓PP2 フレッツグループアクセスみたいなサービスかな？ここら辺の情報が少ない
172.16.10.1/24　RTXのIP
　↓tunnel 1
172.16.13.0/24

もしPP2がフレッツグループアクセスみたいなサービスの場合、難しいと思います
プロバイダー管理下のルーターのrouteを設定する事が難しい（多分出来ない）からです
とくに最後の書込みで172.18.1.1など不思議なIPも混ざっていますので。

あとVPNのクライアントは普通のVPNですか？PPTPとかIPsecとか
IPが172.17.2.0/24でVPNサーバーが172.16.10.10って何か変じゃない？
複数セグメント付きのVPNサーバーなら可能だと思うけど、複数セグメントあるVPNサーバーならそのroute等の確認なんかも必要だね。

まあ、恐らくRTX以外の問題と思うんだけど。
RTXで怪しいのは書かれていないPP2のfilterだけどその辺りならLOG取れば一発で判るしね。

ちなみに余談ですけど
�@ip route default gateway pp 2
�Aip route 172.17.2.0/24 gateway 172.16.10.10
PP2の先に172.17.2.0/24が有ると言っておりますけど�Aに何の意味が？PP2=172.16.10.10のような気がするけどまあ重複していても良いか。

なんか長文になった。1回で書き込めるのかな？

携帯からだから長文書けないが、>>569の言う通り、情報が足りないな。
ネットワークの構成が読めない。
rtx以外にも、ルーティングしてる所有るんじゃ？

すいません、やはり全然情報足りていないですよね。
PP1もPP2も固定のグローバルIPアドレスが振られています。プロバイダはOCNなど一般的なインターネットプロバイダです。

tracertの結果ですが、569さんの推測であっています。
172.18.1.1というのが混乱させてしまったと思うのですが、これはVPNサーバーに振られている仮想IPアドレスです。
172.16.10.10と同等と考えてもらって構わないです。
VPNクライアント側からtracertすると172.18.1.1と出てしまっただけです。
（VPNクライアントからは172.18.1.1でもpingが通りますし、172.16.10.10でもpingが通ります。）
よって、

172.17.2.0/24　VPNのクライアント群
　↓VPN
172.16.10.10　←　＊　VPNサーバー
　↓PP2 プロバイダOCN
172.16.10.1/24　RTXのIP
　↓tunnel 1
172.16.13.0/24

VPNクライアント及びサーバーはオープンソースのOpenVPNを使用しています。
サブネットはVPNクライアントごとに分けて管理できるものです。
VPNサーバー側のルート情報はおそらく正しいですが、掲載させて頂きます。

PP2のfilterですが、、LOGで確認してみます！

VPNサーバー側でもルーティングしています。
iptablesの内容になるので、YAMAHAから脱線してしまいますが、、、

iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i tun0 -j ACCEPT
iptables -A OUTPUT -o tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A INPUT -p tcp --dport 7000 ACCEPT

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A INPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED --dport 80 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -j ACCEPT
iptables -A FORWARD -i tun0 -s 172.17.2.1 -d 172.16.10.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 172.17.2.1 -d 192.168.1.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 172.17.2.1 -d 172.16.13.0/24 -j ACCEPT
iptables -A FORWARD -i tun0 -s 172.17.2.1 -d 192.168.11.0/24 -j ACCEPT

＞YAMAHAから脱線してしまいますが、、、
脱線の前にそれrouteとちゃいますねんroute add ... とかじゃ

疑問が倍以上増えたがまあいいかとりあえず
VPNのクライアント群（プライベート）→VPNサーバー（プライベート）→OCNの（グローバル）→RTX→（プライベート）
こんな環境できないと思うけど何か勘違いをしていませんか？

OCNのグローバルが混乱するので下記とした場合

172.17.2.x
　↓VPN
172.16.10.10(172.18.1.1)
　↓PP
172.16.10.1
　↓tunnel 1
172.16.13.0

1 14 ms 14 ms 13 ms 172.18.1.1
2 15 ms 13 ms 12 ms 172.16.10.1
3 * * ^C

この情報からrouteの書き忘れの可能が高いのは172.18.1.1の装置と172.16.10.1の装置
RTXは問題なさそうだしVPNサーバーか他の装置のroute書き忘れでしょう。

余談ですが
ip route 172.17.2.0/24 gateway 172.16.10.10を書いて
ip route 172.18.1.x/x gateway 172.16.10.10を書かない理由は？default gatewayに含まれるからですか？

>>573
＞脱線の前にそれrouteとちゃいますねんroute add ... とかじゃ
まったくそのとおりでした、、、
VPNサーバー側（OpenVPN)のコンフィグレーションです。
server 172.18.1.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.11.0 255.255.255.0"
push "route 172.16.10.0 255.255.255.0"
push "route 172.16.13.0 255.255.255.0"
route 172.17.2.0 255.255.255.0
このようにルーティングは設定されています。

ほんと書くたびに疑問を増やして申し訳ないです。
改めてまとめたいと思います。

＞余談ですが
IPマスカレードを使用して、172.16.10.10へ流すようにしているからです。
nat descriptor address outer 2 xxx.xxx.xxx
nat descriptor address inner 2 172.16.0.1-172.31.255.254
nat descriptor masquerade incoming 2 reject
nat descriptor masquerade static 2 1 172.16.10.1 udp 500
nat descriptor masquerade static 2 2 172.16.10.1 esp
nat descriptor masquerade static 2 3 172.16.10.10 tcp www

PPで混乱させてしまっているので、どう表現していいか分らないのですが、、、

RTX1：今回コンフィグを開示しているルータ
RTX2：172.16.13.0/24のプライべートアドレス空間を持っている他拠点ルータ

次のように通信されるのが目的です。
※グローバルIPアドレスはxxxで伏せさせて頂いてます。

�@VPNのクライアント（172.17.2.1）
↓
�ARTX1(LAN側：172.16.10.1/24 | WAN側：xxx.xxx.xxx.xxx)
↓
�BRTX1配下のVPNサーバー（IP:172.16.10.10 ｜ 仮想IP:172.18.1.1）
↓
�CRTX1
↓ Tunnel1
�DRTX2(LAN側:172.16.13.1/24 | WAN側:xxx.xxx.xxx.zzz)
↓
�ERTX2配下のクライアントPC（172.16.13.4）

Tunnelは他にも数十個ありますが、以上が構成になります。

�@のVPNクライアントからtracertした結果、�Cから先で通信が途絶えています。
RTX1ではsyslog notice onにしてログを確認しましたが、rejectで引っかかることはありませんでした。
なお、�B-�E間はpingが通っており、RTX1-RTX2間もpingが通っています。

宜しくお願いします。

RTX2にルートを書いた？

>>575
574、routeって単語書いてあるけどそれもrouteの設定じゃないとおもうんだ、まあいいか

�BRTX1配下のVPNサーバー（IP:172.16.10.10 ｜ 仮想IP:172.18.1.1）
571で仮想IP:172.18.1.1・・・172.16.10.10と同等と考えてもらって構わないです。
違わなくないですか？
568を見る限り172.18.1.1経由しているように見えるので、172.16.10.10と172.18.1.1を内部でルーティングしていませんか？

と言うことでip route 172.18.1.x/x gateway 172.16.10.10が足りない
またRTX2にも必要なら172.18.1.x/x宛てのrouteを

でもVPNサーバーの内部だけでルーティングしているのは何か効率が悪い気がするがまあ気にしないでおこう。

>>575
VPNクライアントが最初に繋がるポイントはVPNサーバーなんだから、
順番で書くなら
１→３→２→４→５→６
で、良いかと。

んでVPNサーバーに振られてる仮想IP 172.18.1.1ってなに？
>>577も書いてるけど、
どうもこの仮想IP回ってるぽく見える。
仮想IPを何に使ってるか知らんけど、
VPNサーバーの中で172.17.2.x→172.16.10.xへ行ってほしいパケットが
仮想IPの172.18.1.xへ、ルーティングされてないか？

仮想IP経由じゃなきゃダメなら、>>577の通り、こいつへのルーティングが
抜けてると思う。

仮想IPを経由する必要が無いなら、VPNサーバーのルーティングが
どっかおかしいとおもわれ。

皆さん、ご返信ありがとうございます。
すいません、意味が理解できていないのですが教えてもらって良いでしょうか。

>と言うことでip route 172.18.1.x/x gateway 172.16.10.10が足りない
>またRTX2にも必要なら172.18.1.x/x宛てのrouteを

RTX1にはなぜip route 172.18.1.x/x gateway 172.16.10.10 が必要なのでしょうか。
これを追加することで、どこからどこまでが通信できるようになるのでしょうか。
試しに追加してみたものの、特に状況は変わらず理解もしていないので先に進むこともできない状況です、、、

また、RTX2にも必要とありますが、これは次のようになるということでしょうか。
ip route 172.18.1.x/x gateway tunnel [RTX1のトンネル]

落ち着いて考えてみた。
>�@VPNのクライアント（172.17.2.1）
この表記に思いっきりだまされてた。
（俺だけだと思うけどｗ　にわかなんでサーセン

物理NICのアドレスはどーでも良くて（VPNの通信は出来てるから。）
必要なのは、VPNクライアントの仮想NICのアドレスだ。
VPNネットワークは172.18.1.xなんでしょ？

で、RTX1まではちゃんとパケット帰ってきてるけど、
その先から帰ってきて無い。
RTX1から172.18.1.xへは通信が出来てる。
今まで出た情報だけだと、この通信が出来てるのが不思議なんだが・・・
どっかに172.18.1.xへのルート書かれてたっけ？

まぁとりあえず、RTX2が172.18.1.xへのルートを知らない可能性が大。
って事で、RTX2へ
>>ip route 172.18.1.x/x gateway tunnel [RTX1のトンネル]
を設定してみて、通信出来るかどうかじゃ無いか？

>>580

＞RTX1から172.18.1.xへは通信が出来てる。
＞今まで出た情報だけだと、この通信が出来てるのが不思議なんだが・・・
＞どっかに172.18.1.xへのルート書かれてたっけ？

VPNサーバー上で、172.16.10.10 <=> 172.18.1.1をフォワードしているのですが
それが関係しているんでしょうか？？

ip route 172.18.1.x/x gateway tunnel [RTX1のトンネル]
まずはこの設定をしてみます！

けれど、561でも書いたのですが、
＞他に、pp2を利用したトンネル接続が多数あるのですが、リモートクライアントからそちら側へはすべてアクセスできています。

通信できている他のトンネルの先のルーターはこの記述ないんですよね・・・。

設定してみました。
RTX1へip route 172.18.1.0/24 gateway 172.16.10.10
RTX2へip route 172.18.1.0/24 gateway tunnel [RTX1のトンネル] を追加

結果、、

1 13 ms 11 ms 12 ms 172.18.1.1
2 14 ms 16 ms 12 ms 172.16.10.1
3 * * * Request timed out.
4 * * * Request timed out.
5 * * * Request timed out.

状況は変わりませんでした。
前回、RTX1側のログを見て何も残らなかったのですが、RTX2側でReject以外にログは残るのでしょうか？？

RTX2へ ip route 172.17.2.0/24 gateway tunnel [RTX1のトンネル] は？

>>583

繋がりました！！
とても喜ばしいことなんですが、自分の中でまとまらないので整理します・・・。

>>584
俺も教えてほしい。
なんでそれで繋がるのか・・・

VPNクライアントって、ルーターとして動いてるの？
だとすれば、何となく分かるんだが・・・

結局何がどう繋がって動いてるのか、
後学の為に、誰か解説してくれ。。。。

VPNのクライアント（172.17.2.1）から、RTX2まで繋がっていても、
RTX2から、VPNのクライアント（172.17.2.0/24）へ戻ってくるための定義が無かったからRTX2で行き先を失って破棄されていたのでは？

・・・・俺もVPNクライアントって、よくわかんねぇ。誰か解説ｷﾎﾞﾝ。

>>584
おととい567で指摘したでしょ。
センター折り返し構成の不通では、最初に、経路の有無を疑います。
とりあえず、おつ＆おめ。

詳細な解説は568に任せた。しょぼくていいからネットワークの図を書いて、
VPNクライアント-OpenVPNサーバが暗号化する通信経路範囲とペイロード範囲、
VPNクライアントのパケットのIPアドレス(src/destとも)の各通信経路上での変化、
および、OSPFの適用範囲(他のトンネルと対向を含む)を、書き入れて考えてみてください。

>>586
経路がなくても、VPNクライアントに流れるというのは、
サーバーであるRTXには、クライアントは自明だということだな。
LANインターフェイスなどの近接ネットワークが自明であるのと同じように。

皆様、本当にありがとうございました。
色々とアドバイスを頂きましたが、結果として最初に質問したときの設定に下記を追加することだけで通信できました。

RTX2へ ip route 172.17.2.0/24 gateway tunnel [RTX1のトンネル]

上記経路を追加していなくても接続できている拠点もありますので別途調査してみたいと思います。

587さんの指摘にあるOSPFの適用範囲についてですが、実はよくわかっていません、、、
そもそもOSPFが分かっていないのでこの機に覚えようと思います。

今は結論しか分っていないので引き続きまとめていきたいと思います。
ところで、しょぼいネットワーク図ですが、色々指摘頂きたいのでこちらにアップしたいと思っているの
ですが、どこかアップできる場所はないでしょうか。

>>589
例えば
2ch 自作PC板 画像アップローダ ttp://jisaku.155cm.com/
Axfc Uploader ttp://www.axfc.net/
あぷろだ２号 ttp://sylphys.ddo.jp/upld2nd/
お茶どうぞ ω')っ旦~ ttp://up.mugitya.com/
VIPサービス ttp://vip2ch.com/

アップしました。

構成図
ttp://up.mugitya.com/img/Lv.1_up127963.jpg
経路図
ttp://up.mugitya.com/img/Lv.1_up127964.jpg

また質問なのですが、経路図からRTX2に到着したパケットの送信元IPアドレスはRTX1の210.xxx.xxx.xxxではなく
172.17.2.1になるということでしょうか。。
そうであれば今回追加した経路
RTX2へ ip route 172.17.2.0/24 gateway tunnel [RTX1のトンネル]
これが必要だということが理解できるのですが、、、

>>591
途中にNATかましてる訳でも無いから、当然１７．２に、なる罠。

で、スレ違にはなるんだが、VPNサーバーの、仮想IPが１８．1なのは、何か理由でもあるのか？
このアドレスの用途が、分からんので。
と言うか、そもそも、この仮想IPって何だ？

>>591
>また質問なのですが、経路図からRTX2に到着したパケットの送信元IPアドレスはRTX1の210.xxx.xxx.xxxではなく
> 172.17.2.1になるということでしょうか。。

半分ずつ合ってます、もうすこしです。
描いていただいたRTX2は、論理的な線が3本つながってまして、とりあえず、
カプセル化とかNATのまわりはわかりにくいんですけど、雰囲気はこんなです。

RTX1のLAN1に、pass-log フィルタをinとoutにかけて、syslog notice onにして、
pingを一発、自宅のクライアントからrtx2側のwebサーバ172.16.13.4へ向けて打ってみれば、
[OUT]で、自宅ネットワークWAN側IP→172.16.10.10
[IN]で、172.17.2.1→172.16.13.4
となります。同様にRTX2で、LAN2のINにpass-logフィルタすると、同じpingは
210.xxx.xxx.xxx→212.xxx.xxx.xxx (RTX1のWAN側IP → RTX2のWAN側IP)になりますし、
LAN1のOUTにかけると、172.17.2.1→172.16.13.4 です。
(pass-logは注意。コンソールのtelnetでも引っかけると、多量のlogがでます)
もし可能ならWireSharkをあちこちにはさんできゃぷちゃして観てみて下さい。

172.17.2.0/24は、RTのpptpでいうところの、ip pp remote address pool のと同様です。たぶん。
PPTPで端末をリモートからつないだら、その貰ったアドレスで、ネットワーク内を動きますね、あの感じ。
OpenVPNで暗号化=カプセル化してるのは、VPNクライアント-OpenVPNサーバ間のみで、
OpenVPNサーバから向こうは、クライアントのパケットは暗号化をといて、仮想IPで通信してます。
また、RTX1-RTX2間についてはIPsecで暗号化=カプセル化してますので、内部で使っているIPアドレスは見えません。

172.18.1.1は、RTXでいうところの、ip tuunel address です。たぶん。
OpenVPNサーバでifconfig を打てば、tun0 インターフェイスに172.18.1.1/24が出るんじゃないでしょうか。
RTXはトンネルインターフェイスにアドレスを振らなくても動作しますが、
OpenVPNまたはそのサーバOSは、インターフェイスがアンナンバードでは動作しないものがあったりするとかで、
あえて振る設定にしている、と推測します。

ありがとうございます。
フィルター定義については新たに図でまとめさせて頂きました。
ttp://up.mugitya.com/img/Lv.1_up128021.jpg
自宅ルーターのWAN側IPアドレスが抜けていたので66.xxx.xxx.xxxを新たに追加しています。

説明がとても分り易く大変助かります！しかもOpenVPNの説明まで・・・。
VPNサーバー側のtun0インターフェイスは172.18.1.1/24になっています。
このIPアドレスは必要かどうかといわれると、無いと動かないということしか分っていません。
スレ違いの内容を持ちこんで度々すいません。

フィルターの設定は非稼働日（週末）に行いたいと思います。
WireSharkについては現地入りの必要がありそうですので、またの機会に利用してみたいと思います。

おかげ様でだいぶすっきりしました。あとはlogを取って見ていこうと思います！

>>594
汚くしちゃって申し訳ないです。

ttp://up.mugitya.com/img/Lv.1_up128053.jpg
VPNを通した社内ネットワークについて、現状の想像図です。
こんなかんじにしたいから、OpenVPNサーバを建て、
パススルーにしてIPフォワーディングを有効にしている、と推測します。

>>595
そうですね！想像図、まさにそのとおりです。

SRT100とドコモF-05Aの組み合わせでインターネット接続をしようと挑戦していますが
YAMAHAの設定例を参考にCONFIGを作成しましたがうまくいきません。何が悪いのでしょうか？
プロバイダは一番安いビジネスmoperaURL制限タイプでcidは確認しました。

ip lan1 address 192.168.0.1/24

pp select 1
pp bind usb1
pp auth accept pap chap
pp auth myname xxxx yyyy
ppp lcp mru off 1792
ppp lcp accm on
ppp lcp pfc on
ppp lcp acfc on
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ipv6cp use off
ip pp nat descriptor 1
mobile auto connect on
mobile access-point name url.flat.foma.ne.jp cid=4
pp enable 1

ip route default gateway pp 1

nat descriptor type 1 masquerade

dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.0.2-192.168.0.199/24

dns server pp 1
dns private address spoof on

>>597
接続時のログも晒してくれるとより分かるとおもいます。
デバッグモードのログを出していただければ更にわかると思います。
(くれぐれもヤバイところは消してくださいね)

>>598
レスありがとうございます。ログを出してみました。
データ通信カードは接続しているみたいです。
これらから何か原因が判ればご教示願います。

2010/10/25 16:24:50: [LUA] Lua script function was enabled.
2010/10/25 16:24:55: Previous EXEC: (unknown)
2010/10/25 16:24:55: Power-on boot
2010/10/25 16:24:55: SRT100 Rev.10.00.56 (Wed Sep 15 10:26:58 2010) starts
2010/10/25 16:24:55: main: SRT100 ver=c0 serial=********* MAC-Address=**:**:**:**:**:** MAC-Address=**:**:**:**:**:**
2010/10/25 16:24:56: [USB_HOST] device attached: vendor=0x1004 <LG Electronics Inc.>, product=0x613a <FOMA L05A>
2010/10/25 16:25:07: [USB_HOST] device detached: vendor=0x1004 <LG Electronics Inc.>, product=0x613a <FOMA L05A>
2010/10/25 16:25:08: [USB_HOST] device attached: vendor=0x1004 <LG Electronics Inc.>, product=0x6124 <FOMA L05A>
2010/10/25 16:25:08: [USB_HOST] USB communication device is attached
2010/10/25 16:25:08: [USB_HOST] MOBILE : WARNING : 64k data unsupport model
2010/10/25 16:41:50: LANC1: PORT1 link up (10BASE-T Half Duplex)
2010/10/25 16:41:51: LANC1: link up
2010/10/25 16:41:53: LANC1: PORT1 link changed (100BASE-TX Full Duplex)
2010/10/25 16:41:54: [DHCPD] Allocates 192.168.0.2: **:**:**:**:**:**
2010/10/25 16:41:54: PP[01] IP Commencing: UDP 192.168.0.2:52651 > 192.168.10.1:53 (DNS Query [teredo.ipv6.microsoft.com])
2010/10/25 16:41:54: PP[01] Calling url.flat.foma.ne.jp with usb1
2010/10/25 16:41:54: [MOBILE] Signal Strength (0-3): 3 [|||] (usb1)
2010/10/25 16:41:54: USB[1] SEND [ATD*99***4#]
2010/10/25 16:41:54: USB[1] RECV [CONNECT]
2010/10/25 16:41:54: USB[1] Connected
2010/10/25 16:41:58: PP[01] PPP/IPCP up (Local: 110.158.182.120, Remote: None)
2010/10/25 16:42:16: Login succeeded for HTTP: 192.168.0.2
2010/10/25 16:42:22: 'administrator' succeeded for HTTP: 192.168.0.2

デバッグモードのログです。よろしくお願いします。

2010/10/25 17:52:00: TELNETD: started
2010/10/25 17:52:00: TELNETD: listen port = 23
2010/10/25 17:52:00: [RADIUS] started.
2010/10/25 17:52:00: SSHD: sleeping
2010/10/25 17:52:00: [LUA] Lua script function was enabled.
2010/10/25 17:52:00: [HTTPD] started (listen port[80])
2010/10/25 17:52:05: Previous EXEC: (unknown)
2010/10/25 17:52:05: Power-on boot
2010/10/25 17:52:05: SRT100 Rev.10.00.56 (Wed Sep 15 10:26:58 2010) starts
2010/10/25 17:52:05: main: SRT100 ver=c0 serial=********* MAC-Address=**:**:**:**:**:** MAC-Address=**:**:**:**:**:**
2010/10/25 17:52:06: [DDNSU] opened 2002/udp
2010/10/25 17:52:06: [USB_HOST] device attached: vendor=0x1004 <LG Electronics Inc.>, product=0x613a <FOMA L05A>
2010/10/25 17:52:17: [USB_HOST] device detached: vendor=0x1004 <LG Electronics Inc.>, product=0x613a <FOMA L05A>
2010/10/25 17:52:17: [USB_HOST] device attached: vendor=0x1004 <LG Electronics Inc.>, product=0x6124 <FOMA L05A>
2010/10/25 17:52:17: [USB_HOST] USB communication device is attached
2010/10/25 17:52:17: [USB_HOST] MOBILE : WARNING : 64k data unsupport model
2010/10/25 17:52:30: LANC1: PORT1 link up (100BASE-TX Full Duplex)

2010/10/25 17:52:30: LANC1: link up
2010/10/25 17:52:31: PP[01] IP Commencing:
2010/10/25 17:52:31: PP[01] IP Commencing: TCP 192.168.0.2:51310 > 207.46.66.42:80
2010/10/25 17:52:31: 45 00 00 34 35 b6 40 00 7f 06 f4 0a c0 a8 00 02
2010/10/25 17:52:31: cf 2e 42 2a c8 6e 00 50 ca a9 89 9f 00 00 00 00
2010/10/25 17:52:31: 80 02 20 00 60 0b 00 00 02 04 05 b4 01 03 03 02
2010/10/25 17:52:31: 01 01 04 02
2010/10/25 17:52:31: PP[01] Calling url.flat.foma.ne.jp with usb1
2010/10/25 17:52:31: [MOBILE] Signal Strength (0-3): 3 [|||] (usb1)
2010/10/25 17:52:31: USB[1] SEND [ATD*99***4#]
2010/10/25 17:52:31: USB[1] RECV [CONNECT]
2010/10/25 17:52:31: USB[1] Connected
2010/10/25 17:52:31: PP[01] SEND LCP ConfReq in STARTING
2010/10/25 17:52:31: ff 03 c0 21 01 01 00 0e 01 04 07 00 05 06 60 89
2010/10/25 17:52:31: 90 56

2010/10/25 17:52:31: PP[01] RECV LCP ConfReq in REQSENT
2010/10/25 17:52:31: ff 03 c0 21 01 00 00 19 02 06 00 00 00 00 03 05
2010/10/25 17:52:31: c2 23 05 05 06 52 97 0f 81 07 02 08 02
2010/10/25 17:52:31: PP[01] SEND LCP ConfRej in REQSENT
2010/10/25 17:52:31: ff 03 c0 21 04 00 00 0e 02 06 00 00 00 00 07 02
2010/10/25 17:52:31: 08 02
2010/10/25 17:52:31: PP[01] RECV LCP ConfAck in REQSENT
2010/10/25 17:52:31: ff 03 c0 21 02 01 00 0e 01 04 07 00 05 06 60 89
2010/10/25 17:52:31: 90 56
2010/10/25 17:52:31: PP[01] RECV LCP ConfReq in ACKRCVD
2010/10/25 17:52:31: ff 03 c0 21 01 01 00 0f 03 05 c2 23 05 05 06 52
2010/10/25 17:52:31: 97 0f 81
2010/10/25 17:52:31: PP[01] SEND LCP ConfNak in ACKRCVD
2010/10/25 17:52:31: ff 03 c0 21 03 01 00 08 03 04 c0 23
2010/10/25 17:52:31: PP[01] RECV LCP ConfReq in ACKRCVD
2010/10/25 17:52:31: ff 03 c0 21 01 02 00 0e 03 04 c0 23 05 06 52 97
2010/10/25 17:52:31: 0f 81
2010/10/25 17:52:31: PP[01] SEND LCP ConfAck in ACKRCVD
2010/10/25 17:52:31: ff 03 c0 21 02 02 00 0e 03 04 c0 23 05 06 52 97
2010/10/25 17:52:31: 0f 81
2010/10/25 17:52:31: PP[01] SEND UPAP AuthReq in CS_CLOSED/SS_CLOSED
2010/10/25 17:52:31: ff 03 c0 23 01 01 00 0e 04 78 78 78 78 04 79 79
2010/10/25 17:52:31: 79 79
2010/10/25 17:52:31: PP[01] RECV LCP Discard in OPENED
2010/10/25 17:52:31: ff 03 c0 21 0b 03 00 08 52 97 0f 81
2010/10/25 17:52:31: PP[01] RECV UPAP AuthAck in CS_AUTHREQ/SS_CLOSED
2010/10/25 17:52:31: ff 03 c0 23 02 01 00 05 00
2010/10/25 17:52:31: PP[01] SEND IPCP ConfReq in STARTING

2010/10/25 17:52:31: ff 03 80 21 01 01 00 16 03 06 00 00 00 00 81 06
2010/10/25 17:52:31: 00 00 00 00 83 06 00 00 00 00
2010/10/25 17:52:32: [DHCPD] Allocates 192.168.0.2: **:**:**:**:**:**
2010/10/25 17:52:32: PP[01] RECV IPCP ConfNak in REQSENT
2010/10/25 17:52:32: ff 03 80 21 03 01 00 1c 81 06 00 00 00 00 83 06
2010/10/25 17:52:32: 00 00 00 00 82 06 00 00 00 00 84 06 00 00 00 00
2010/10/25 17:52:32: PP[01] SEND IPCP ConfReq in REQSENT
2010/10/25 17:52:32: ff 03 80 21 01 02 00 22 03 06 00 00 00 00 81 06
2010/10/25 17:52:32: 00 00 00 00 82 06 00 00 00 00 83 06 00 00 00 00
2010/10/25 17:52:32: 84 06 00 00 00 00
2010/10/25 17:52:33: PP[01] RECV IPCP ConfNak in REQSENT
2010/10/25 17:52:33: ff 03 80 21 03 02 00 1c 81 06 00 00 00 00 83 06
2010/10/25 17:52:33: 00 00 00 00 82 06 00 00 00 00 84 06 00 00 00 00
2010/10/25 17:52:33: PP[01] RECV IPCP ConfReq in REQSENT
2010/10/25 17:52:33: ff 03 80 21 01 00 00 04
2010/10/25 17:52:33: PP[01] SEND IPCP ConfNak in REQSENT
2010/10/25 17:52:33: ff 03 80 21 03 00 00 0a 03 06 00 00 00 00
2010/10/25 17:52:33: PP[01] RECV IPCP ConfRej in REQSENT
2010/10/25 17:52:33: ff 03 80 21 04 02 00 10 82 06 00 00 00 00 84 06
2010/10/25 17:52:33: 00 00 00 00

2010/10/25 17:52:33: PP[01] SEND IPCP ConfReq in REQSENT
2010/10/25 17:52:33: ff 03 80 21 01 03 00 16 03 06 00 00 00 00 81 06
2010/10/25 17:52:33: 00 00 00 00 83 06 00 00 00 00
2010/10/25 17:52:33: PP[01] RECV IPCP ConfReq in REQSENT
2010/10/25 17:52:33: ff 03 80 21 01 01 00 04
2010/10/25 17:52:33: PP[01] SEND IPCP ConfAck in REQSENT
2010/10/25 17:52:33: ff 03 80 21 02 01 00 04
2010/10/25 17:52:33: PP[01] RECV IPCP ConfNak in ACKSENT
2010/10/25 17:52:33: ff 03 80 21 03 03 00 16 03 06 6e 9e b5 9a 81 06
2010/10/25 17:52:33: dc 9f d4 c8 83 06 dc 9f d4 c9
2010/10/25 17:52:33: PP[01] SEND IPCP ConfReq in ACKSENT
2010/10/25 17:52:33: ff 03 80 21 01 04 00 16 03 06 6e 9e b5 9a 81 06
2010/10/25 17:52:33: dc 9f d4 c8 83 06 dc 9f d4 c9
2010/10/25 17:52:33: PP[01] RECV IPCP ConfAck in ACKSENT
2010/10/25 17:52:33: ff 03 80 21 02 04 00 16 03 06 6e 9e b5 9a 81 06
2010/10/25 17:52:33: dc 9f d4 c8 83 06 dc 9f d4 c9
2010/10/25 17:52:33: PP[01] PPP/IPCP up (Local: 110.158.181.154, Remote: None)
2010/10/25 17:52:34: PP[01] Local PP IP address 110.158.181.154
2010/10/25 17:52:34: PP[01] Remote PP IP address 0.0.0.0
2010/10/25 17:52:50: Login succeeded for HTTP: 192.168.0.2
2010/10/25 17:52:53: 'administrator' succeeded for HTTP: 192.168.0.2

デバッグよりも先に
# show status pp 1

SRTを選択したのはどういう目的？

ブラックな会社だから予備知識なしにRTX2000設定変更しろと無茶言われる・・

基本わかってればRTもRTXもかわらん

>>605
レスありがとうございます。

# show status pp 1
PP[01]:
携帯端末は接続されています
接続先: url.flat.foma.ne.jp
発信側
通信時間: 33秒
受信: 26 回 [1652 オクテット]
送信: 64 回 [6219 オクテット]
累積時間: 33 秒
累積受信: 26 回 [1652 オクテット]
累積送信: 64 回 [6219 オクテット]
警告: None
累積時間監視(Total time):
　制限までの時間: 3567 秒
累積データ量監視(Total length):
　制限までのデータ量: 192129 オクテット
受信廃棄: 0 回 [0 オクテット]
送信廃棄: 0 回 [0 オクテット]
FCSエラー: 0 累計: 0
受信破棄: 0 キュー長: 0/20
送信破棄: 0 エラー: 0
PPPオプション
LCP Local: Magic-Number MRU, Remote: PAP Magic-Number
IPCP Local: IP-Address Primary-DNS(220.159.212.200) Secondary-DNS(220.159.2
12.201), Remote:
PP IP Address Local: 110.158.180.171, Remote: Unnumbered
CCP: None
送ったUserId: xxxx

>>607
SRTを選択したのはBB回線を引けないところでLANを組み、ネット環境を用意したかったからです。
普段はフレッツ光を引いてRT107eを使ってIPsecで接続しています。
センター側はRTX1000でこの2機種+RT52Pro（ISDN環境）は自分で設定しました。
SRTもコマンド入力でLAN2によるネット環境は構築できるのですが、
USBデータ通信カードではなぜかうまくいきません。
よろしくお願いします。

正常に接続してるみたいだよね
IPアドレス直でpingは飛ぶの？

>>611

会社ののDNSやプロバイダのDNSにpingやtracertを実行しても
ルーターより先には行けませんでした。

設定は
http://netvolante.jp/solution/int/case14.html
を参考に接続アカウント部分とアクセスポイント名とcidを変更しただけでもダメでした。
自動接続できているようなので、フィルタかなと思ったのですが、
間違いだと思うところが見つかりません。参りました。

＞ルーターより先には行けませんでした。
ではSRTからping確認をして問題ないなら推測どおりフィルタ辺りと判断できるんじゃない？

わからんかったら一度フィルタ無しで試してみ
で、フィルタだったらログですべて出るようにしてどのフィルターで弾いてるかチェック

>>613・614
レスありがとうございます。
>>597のとおりフィルタが無い状態で試してみてもダメでした。
このconfigでつながらないのは何か抜けているのでしょうか？

よくみたらビジネスmoperaなんだね
ビジネスmoperaってping通すか疑問に思えた
そっちの設定ってどうなの？
特定サイトのURLしか通さないとか設定あるッぽいし
ルーターから接続って無理なのか対応してるのかわからんな

>>616
先ほどmopera Uに変更して試してみましたが、結果は同じでした。
pingは通るけど、Tracerouteは最後まで行かないことが多いです。

変化はpingが通るようになったって事？
ping通れば大丈夫じゃないの？
tracerouteは途中のサイトのポリシーで弾くところもあるし
telnet 使える端末から　ポート80なり叩いてみての挙動は？

すみません。もともとpingは通っていたようです。
外部、内部ともにtelnet使える端末からポート80に接続しても
内部(LAN1)からは黒い画面が出て無反応、外部からはすぐ切断？のような状態です。
LAN1からは名前の解決やpingがルーターより先には行けません。

えーとRTに入って直接外部のサーバーにping打つのも駄目なの？
220.159.212.200にはping通る？
RTで nslookup 220.159.212.200
は帰ってくる？

pingもnslookupも返ってきました。
しかしすぐ切断されたり通信できなくなってしまいます。

色々試した結果、L-05AからL-02Aにするとなぜか安定して接続できるようになりました。
複数のL-05Aで試してみてもやっぱり安定しません。なぜだろう？
とりあえず旧型のL-02Aで接続できました。
色々障害対応を教えていただきありがとうございます。
みなさん色々ありがとうございました。

これからパケットフィルタとIPsecの設定を打ち込みます。。。

>>621
付属の通信ツール（名前忘れた）、圧縮機能解除してる？

アドバイスお願いします
クライアントPC⇒会社ルータ⇒テストサーバーと接続するために
VPN環境を構築することになりました。
そこで下記のような設定を行うつもりなのですが
この設定で大丈夫でしょうか？

ip route クライアントのIP gateway tunnel 2

tunnel select 2
ipsec tunnel 102
ipsec sa policy 102 2 esp 3des-cbc md5-hmac
ipsec ike always-on 2 on
ipsec ike group 2 modp1024
ipsec ike local address 2 会社のルーターのIP
ipsec ike pre-shared-key 2 text itteyoshi
ipsec ike remote address 2 クライアントのIP
ip tunnel nat descriptor 3
tunnel enable 2

nat descriptor type 3 nat-masquerade
nat descriptor address outer 3 クライアントのIP
nat descriptor address inner 3 会社のネットワーク

ttp://www.rtpro.yamaha.co.jp/RT/docs/ipsec/nat.html
ttp://www.rtpro.yamaha.co.jp/RT/docs/example/vpnclient/ymsvpn1.html

を参考に作りました。

すみません、使用機種はRTX2000です

一言良いですか？
リモートアクセス（VPNクライアント）とLAN間接続（ルーター間）があるんですがかかれていない。
リモートアクセスぽっく感じるがipsecなら接続するアプリによって設定は異なるんじゃない？

>>625
IPsecでつなぐ予定です。
アプリはWindowsのローカルセキュリティーポリシーを使用します。

ちなみにクライアントからは
・固定のIPである
・ルーターではなく、PCがゲートウェイ
という情報しか頂いていません。

>>626
> ・固定のIPである
> ・ルーターではなく、PCがゲートウェイ

それぞれのIPが分かってないと、configのチェックはできない。
情報がまったく足りない。絵を描いてみて。どっち？　どのIP？
・クライアントPC---PCルータ--…インターネット…--RTX2000---テストサーバー
・クライアントPC--…インターネット…---PCルータ--RTX2000---テストサーバー

>>627
クライアントPC---PCルータ（固定IP）--…インターネット…--RTX2000（固定IP）---テストサーバー（固定IP）

分かっているのはこんな感じです。
上司は相手のグローバルアドレスが分かればいいと言ってたので。

そのPCルーターもRTXにしちゃえよ

>>629
他所様の会社なのでできませんとマジレス。

何か他に必要な情報とかありますか？

他の会社と穴兄弟になるのかよ・・・

よそ様会社すぎてアドバイスなんてできんぞｗ
その上司に経験があるなら素直に聞け

>>632
上司「マニュアル見て設定したなら大丈夫でしょう」

自信もっていいんですか？

いいんじゃない？
RTXのIPsecとWindowsのローカルセキュリティーポリシーとやらが相互接続の実績があるなら

本格運用する気ならRTX対向にした方が故障や安定性や電気料考えてもいいと思うけどね

>>628
>>627
> クライアントPC---PCルータ（固定IP）--…インターネット…--RTX2000（固定IP）---テストサーバー（固定IP）
> 分かっているのはこんな感じです。
> 上司は相手のグローバルアドレスが分かればいいと言ってたので。

つまり、windowsサーバをルータにして、RTX2000とIPsecを張る気ですか。
試行錯誤が必要ですよ。
PCルータはお客さんの機材でしょ、自力で設定変更できますか？
623のconfigも怪しい。たとえば、"ip route クライアントのIP gateway tunnel 2"。
通常これは、対向ネットワークですが、現状不明です。

もし、クライアントPCとRTX2000でIPsecするつもりなら、
情報が足りてないというかその上司は分かってない。
試行錯誤の末、動作はするだろうけどやめとけ。お客さんに迷惑をかけます。

>>631
アーッ

>>635
2000ならGUIの設定検証機能使えば？
あれ協力＆簡単。

>>637
2000じゃなくて1000の機能ですね
1000は検証用で確保してるので試してみます

>>638
すまん、1200の間違い。
ファーム10以上からの機能だったと思う。

http://netvolante.jp/download/firmware/index.html#rtx

>>452です。

やっぱり、どうやら、voipの多量パケットによるRTX1100のダウンだったのではないかと思いました。
VOIP装置の設置場所やネットワーク構成を変更して、RTX1100に流れ込むパケット量が半分になるようにしました。

そうすると、電話が切れることもなくなりました。
RTX1100は忙しすぎるとダウンするんだなって思いました。

あと、言い忘れました。
ファストパスで動作するように考慮しました。

>>640
それが原因なら、RTX1200か、出来ればRTX1500に換えると幸せになれるかも。
パケット処理能力は1200で2倍以上、1500で4倍以上ある。
VoIPのようなショートパケットが多量に発生する場合は、
スループットなんかよりも、パケット処理能力が重要になってくる。
http://www.rtpro.yamaha.co.jp/RT/FAQ/TCPIP/routing-performance.html

パケット処理能力が重要なのはそのとおりだと思うけど
スループットなんかよりもってどういうことだ

>>643
スマン。言い方が悪かったか。
きわめて限定された条件、
たとえばすべてが最小のショートパケット(64バイトだっけ？)の場合は、
スループットで優れていても、RTX1200の方が先に飽和するので、
100Mbpsが上限でもRTX1500の方が有利
って意味で書きたかった。

短いパケットばかりのVOIP通信については、
「パケット処理能力」でデバイスの能力を比較すべきということですね。

RTX1100　52kpps　Rev.8.02.31　LAN1-LAN2 の双方向測定
ということですけど、これはもちろんファストパスだから、
LAN分割機能を使用していたらずっともっと能力が落ちてしまうんだろうな。
RTX1500の「パケット処理能力」は、なるほどrtx1100の４倍か。

で、RTX1100は100Mbit/s対応だから、対応表からスループットは、
100Mbit/sec (100BASE,FastEthernet)の通信速度における最大パケット処理能力(100%)
148,809 packets/sec、一秒間に14.8Kパケットということだな。

あれっ、これは、パケット処理能力の方がスループットよりも上回っていることになる？
パケット処理能力：52kpps
100Mb/sのスループット：14.8kpps

ppsって、パケットper秒のことですよね。
それから、スループットってパケットサイズには依存しないのですか。
スループットの定義では、packets/secという単位が使われている・・・

スイッチングハブもVOIPについてはパケット処理能力で考えることができるでしょうか。

http://buffalo.jp/products/catalog/network/lsw4-gt-8ns/index.html?p=spec
には、製品の性能ではなく一般的なスループットしか書かれていません。

ルーティングを行うルーターしか、パケット処理能力という概念がないのでしょうか。
だとしたらスイッチングハブはスループット値だけが大切ということでしょうか。
VOIPでもなんでも御座れ、ただし、スループット以内でってことかな。
レイヤー２ではイーサフレームをワンパケットとしてカウントするのかな。
パケットの大きさは関係なくそれが入るフレームの個数をカウントする？

ところが、ルーターではレイヤ３でIPパケットのヘッダを扱う必要があるから、
パケット処理能力という概念が登場するってことかな。

>>646
両方パケット単位での処理だよしかし処理の仕方が大きく異なる
スイッチHUBはARP(MACアドレス)によって処理される
ルーターはIPのヘッダを解析する

ちなみにジャンボフレームにすると早くなると言うのはHUBの処理が早くなるのではなくPCなどの機器のヘッダ処理が減るので早くなるのです。

>>645
> それから、スループットってパケットサイズには依存しないのですか。

642のページをきちんと読もうよ
> ルータの「パケット処理能力」とは、どのような値ですか？
> 「パケットサイズが64バイトのスループット(Throughput)」のことを指します

でね、うちではVoIPのパケットは、G711を1通話 50pps、200kbpsとしてます。
双方向と安全率を考えて4倍にして、0.2kpps、0.8Mbpsぐらいにして
同時4chでお使いだからもっと大きくとっても、1kpps、4Mbps以下。
これ、RTA55iあたりでも全然大丈夫な数字でしょ？
ということで、453から皆さんがおっしゃってるように、
音声パケットじゃなく、どこか他が、おかしいです。

音声パケット量が半分になって切れなくなったとおっしゃっていますが
逆です。検知できる確率が半分になったから、切れても、分からなくなってるんです。
構成変更でほんとの原因がなくなってたら良いですね。再発しませんよう、お大事に。

>>648
嫌味

スループットの意味がわかってない同士で会話してるからいらいらする

>> それから、スループットってパケットサイズには依存しないのですか。

>642のページをきちんと読もうよ
> ルータの「パケット処理能力」とは、どのような値ですか？
> 「パケットサイズが64バイトのスループット(Throughput)」のことを指します

だって答えになっていないもの。
>>648って言っていることめちゃくちゃだよ

＞パケットサイズが64バイトのスループット

128byteのパケットのスループットもあるし、
256byteのパケットのスループットもあるし、
1024byteのパケットのスループットも・・あるってことか。

つまり、スループットってパケットサイズに依存しているだな。

そうそう
ジャンボフレームとかな

bpsよりppsって事だな

ppsって、ルーティング能力と言い換えてもオッケ？

スイッチでも使う単語だからルーティング能力と単純に置き換えるのはどうかと。
結局元に戻って「パケット処理能力」がもっとも適した言い方だと思う。

この辺なんかがそれなりに分かりやすいと思う

http://www.n-study.com/network/2002/12/post_49.html

http://www.itbook.info/study/p24.html

ttp://www.rtpro.yamaha.co.jp/RT/docs/ngn/ngn_remote_setup.html

この機能は、やがてRTX1100とかでも使えるようになっていくのですよね？

不正アクセスを防止するためにパスワードを設定するように言われていますが、
IPv6で接続するデータコネクトって閉域網じゃなかったんですねー。
パスワード以外に、ISDNなら発信元電話番号でアクセス制限をかけられたけど、
これはどうなんでしょうか。

>>658
RTX1100で使えるかどうかは、営業戦略によるだろうな。
ISDNがなくなるのはまだ15年先だから、
すぐに対応は必要ないと思われる。
RTX1200で採用されたのも、すぐに必要だからと言うよりは
先端の機能を搭載して、差別化ではなかろうか。
そもそも光ネクストなら200Mbpsだから、RTX1100では生かし切れない。
そうなると、搭載せずに「RTX1200に買い換えてよ」って事になるんじゃなかろうか
番号制限については、そのリンク先を、ちゃんと読んでみなよ。

SRT100のパケット処理能力ってどれくらいなんだろうか？
RTX1100程度はあるのかなぁ

諸先輩方　教えてください。

現在RTX1200２台でFlet'sVPN WIDEのテスト環境を作ってテストをしています。

センター側となるRTX1200に複数固定IPでのISP接続でのインターネット接続を行い、拠点はVPNを介して接続する形にしました。
IPIPトンネリングを使って２拠点間を接続しています。
また、それぞれのRTXのLAN拡張分割を利用してLAN１をVLAN1 VLAN2と2つに分けました。それぞれのVLANには別々のグローバルIPアドレスを割り当てる予定です。

それぞれの拠点のVLAN1同士、VLAN2同士は通信させて、VLAN1とVLAN2間は通信しない形にしたいと思っています。
ただ拠点間通信はFlet'sVPNWIDEのトンネルが一本しかないのでVLANはすべて同じトンネルを通ります。

フィルタリングの設定でなんとかできるのでしょうか？　いまいちinとoutが理解できず苦しんでいます。
それとも1本のトンネルでは無理なのでしょうか？

質問とは関係ないですが、Flet'sVPN WIDEめっちゃ早いですね。ネクスト同士で拠点間通信が320Mbpsでてます。
センタ側のインターネット速度が上下98Mbpsで拠点側は87Mbpsでした。（IPIPトンネル MTU1434）

ちょっと環境が想像できない。

文章を読むと
VLAN1,2は別セグメントで2台RTXあるから合計4個のセグメントがあり。
其の4個のVLANにグローバルIPを付与する。
ってことだよね

グローバルIPをトンネルで通信させる事って可能なの？というか意味あるの？

全然大丈夫。フィルタでそのままvlan間を制御すればいい。vlanのipはプライベートな。

VPNの設定を依頼され設定をするのですが
ttp://www.rtpro.yamaha.co.jp/RT/docs/example/vpnclient/NET-G.html

NET-Gのクライアントを使用するので上記のページを参考に設定しろといわれたのですが

ip lan1.1 address 自社業務用ネットワーク/24
ip lan1.3 address 自社サーバー公開用ネットワーク/28

ip route 自社の作業用IP gateway tunnel 1
ip route 相手のローカルネットワークアドレス gateway 相手のグローバルアドレス

tunnel select 1
ipsec tunnel 101
ipsec sa policy 101 1 esp aes-cbc md5-hmac
ipsec ike encryption 1 aes-cbc
ipsec ike group 1 modp1024
ipsec ike local address 1 自社ルーターアドレス
ipsec ike pre-shared-key 1 text itteyosi_vpn
ipsec ike remote address 1 any
ipsec ike remote name 1 omaemona_pc
tunnel enable 1

と設定しようと思ってます。
どこか間違っているところなどあるでしょうか？

すみません、使用目的は自社業務用サーバーに仮設してある
テストサーバーへアクセスし作業してもらう為です。

たびたびスミマセン、使用機種はRTX2000になります。

なんでYAMAHAにきかないの？

仕事だろ？SIや販売会社に設定できる業者紹介してもらえよ・・・

>>668
予算下さいよ社長

てか
YAMAHAが全部教えてくれるの？
無料で？

サポートなのに無料が前提って・・・・・・
その時点で考え方がおかしいだろ

これって門外漢には、知恵と勇気で情報障壁を乗り切りましょうってブツだろ？
よって、ネットワーク機器ヲタでもなく、業務でなんとかする必要があるんなら
フツーにSI業者に依頼するか、ヤマハに有償サポートを依頼する事を勧める。
つよーく勧める。
by 門外漢

RTX1100を設定しています。
IPSec接続において、Phase2のLifetimeを設定してくださいと依頼を受けたのですが、
マニュアルにPase1とPhase2のLifetimeについて記述がないので、どのように設定していいのか解りません。
マニュアルには、SAの寿命の設定という項目があり、ipsec-sa と isakmp-sa との記述があるのですが、
これは Phase1 と Phase2 に対応するものなのでしょうか？
どなたかご存知の方がいらしたら、教えてください。お願いします。

>>672
それで合ってると思うが、全く保証はできない。
くどいようだけど、マニュアル読んだ？

>>669
YAMAHAさんは親切だよ。
実績のあることなら大体教えてくれると思うよ。
config送って見てもらったりとか私はお世話になった。
もち無料でね。
上の質問ぐらいならタダじゃね？

サポート親切だけどクソ野郎がひとりいるがなｗｗ

>>664
まず試して駄目なところ聞いた方がいい

ここ見てる人間に
仕事でも無いのに漠然とconfig合ってるかどうか検証しろと？

適当にはい合ってますって言われたらそのまま設定して持ち込むの？

商用利用で教えて！2chｗ

Yamahaは親切だけど、住商は厳しいね。
あんなところに委託するなよ

住商に委託するからYAMAHAが親切になれるんだろ

http://www.jiji.com/jc/zc?k=201011/2010110200877

やることたくさんあるな。
ISDNの廃止に備えて、RTX保守の手段を別のものに切り替える必要がある。

ttp://www.rtpro.yamaha.co.jp/RT/docs/ngn/ngn_remote_setup.html
↑これを使いたいが、rtx1100や1500では現状は対応していない。
拠点すべてで装置を置き換えるのはかなり大変。
どうかrtx1100や1500でも対応よろしく願います。
（>>659の言うように営業戦略なんて言わないでください。）

そのためには、拠点をひかりネクストに切り替える必要がでてくるから、
ついでにVPNもNTTのサービスで構成するようにしたい。
その辺の勉強も必要になってくるな。IPv6関係の勉強やってこなかったから。

ああ、落ち着けない、休めるときはいつくるのか・・・

＞ああ、落ち着けない、休めるときはいつくるのか・・・
雇用の継続性を維持する理由が提起されたとみるのがいいんジャマイカ。

>>681
たしかにそうなんだけどね。
いや、うーん、本当にそうなのかも。

ネットワークやコンピューター関係って、ほかの人から見れば、「現状維持」でかまわないと思うのかもしれないけど、
事に当たっている人（当事者）からみれば、追いつかなければならないことがたくさん見えているんだな。
サービスの現状維持するためには設備を時代に合わせていかなければいけない。
さもなければ、急に「サービス終了！」なんていわれて慌ててしまうことになるんだな・・・

意図して雇用の継続性を提示しなくても、
雇用の継続性は、こういう仕事では勝手に提起されるんだなあと思った。

>>682
まぁ、現場のつらさを理解してくれる客とか経営者とか、そうそう居ないから。
居ても、対価や経費などを考えると見て見ぬふりされちゃう運命なんだよな。

知識と経験って、インテルのチクタクルールと似て内科医?
技術の習得をしつつも、それは過去の経験がものを言い、
現場での実力発揮も、その基礎になる知識なしに自信持って出来るわけもなく、
常にどっちかに揺さぶられてる振り子のようだ、と思ってる。落ち着く瞬間なんて無いかも。

15年も先なら、最低でも2世代くらいは先の新製品が出てると思うけどな。
で、最近だとRTX1000がそうであったように、RTX1100/1500は生産終了して、
ファームウェア保守期間も終了だろう。

>>680です。勘違いしていました。

http://netvolante.jp/solution/flets/vpnwide/example1b.html
によると、フレッツ・VPNワイドではIPv6は使っていないようですね。
IPv4での設定でいけそうです。

でも、ISDNに代わる保守機能であるデータコネクトでは、
IPv6は使用するようですね。↓（参考）
http://www.rtpro.yamaha.co.jp/RT/docs/ngn/ngn_remote_setup.html


考えてみれば、
フレッツVPNワイドはNTTで特別に契約して受けるサービスなので、
ユーザーの光回線ごとに提供されます。
だから、プライベートアドレスをそのユーザー領域で自由に使えるわけですね。

でも、データコネクトはそういう特別な契約はないので、
ユーザーを分ける手段はIPv6に頼る必要があるわけですね。
もちろんセキュリティーも必要になってくる。ISDNのときと同じような具合ですね。

おお、わかってきたぞ。

>>683
>まぁ、現場のつらさを理解してくれる客とか経営者とか、そうそう居ないから。
>居ても、対価や経費などを考えると見て見ぬふりされちゃう運命なんだよな。

そうなんですよ。
表面的なところしか見られないから、いかに苦労があるのかも想像されない。
でも「苦労したんですよ」と説くこともできないし、さりげなさを振舞う自分もある。

便利な時代になって、人々はすべては簡単だと考える傾向にあると思う。
こういうネットワークの仕事に対しても例外でなく、人々はなにか便利なボタンのようなものがあって
我々がそういうボタンをちょっと押している程度にしか思っていないのではないかと疑心を持ってしまう。
これは完全に愚痴になってしまいましたね。


次に何をすべきかが見えているのは今までの積み重ねがあるからですよね。
そういう視力を得てしまったからには次から次へとすべきことがやってきてしまうのかもしれないですね。
我々の周りで変化するチクとタクに、我々も共振してチクタク揺れつづける。

今日日本橋行ったんだが、あちこちの中古屋にRTX1000が大量に出てた。
NECのOEM版とかRTX1100も数台あって、合計30台ぐらいあったと思う。
値段は7,980円とかそこら。どっかのリプレースが一気に流れてきたんだろうか。

NTTの光回線を使ってのVPN構築について悩んでいます。


今、NTT西（東）のサービスで、「フレッツ･グループ」があります。
（参考）http://flets-w.com/group/tokuchou/index.html
そして、このサービスで拠点間接続ができるようです。
（参考）http://netvolante.jp/solution/flets/term1.html
ところが、うちではNGN回線を使っている拠点があるのでこれは使えません。（現在、Internet VPN）

このBフレッツでのみ利用できる上記の「フレッツ･グループ」は、NGNとの相互接続はできないようです。
NTTとしてはNGNへの移行を促進したいようなので、やはり「フレッツ･グループ」での、
BフレッツとNGNの相互接続サービスは待っていてももう提供されないでしょうか。

一方NGNでは「フレッツVPNワイド」という、NGNやBフレッツで利用できるサービスを提供されています。
これを使えばNGNとBフレッツとの相互接続は可能です。（月額2000円ほど）
今、これが私の環境でのひとつの選択肢です。

NGNサービスでは2011年4月以降に、NTT東/西の網内 IPv6 通信サービスが提供されるそうです。
これも「フレッツ･グループ」と同様に、NTTとしてはNGNへの移行を促進したいようなので、
BフレッツとNGNとの相互接続は提供されないでしょうか。


今、Bフレッツの世界と、NGNの世界とが分断されています。
唯一つなぎが、VPNワイドのようです。
これはもうNGNへ移行したほうが良いのかもしれないですかね。
皆さんはどうお考えでしょうか。

IPSexでイイジャン

>>688
答えてもいいけど、名刺交換して限度申請通ってからでいいかな？
提案書と見積もりの提出は。

>>688
http://itpro.nikkeibp.co.jp/article/COLUMN/20081010/316662/?SS=commentview&FD=3
> 計画的な収容替え
> フレッツ回線として提供している光ファイバの収容先を，ユーザー
> からの申し出と関係なく地域IP網からNGN網に切り替えること。
> 2010年から計画的に実施し，2012年度末までにすべての光回線
> をNGNに収容する計画である。

http://itpro.nikkeibp.co.jp/article/COLUMN/20090707/333285/
> フレッツ光回線を旧来の地域IP網からNGN（次世代ネットワーク）
> に収容替えする方法については「コストをかけずにネットワーク経
> 由で実施する技術にメドが付いた」（三浦社長）としている

>>691
そうなのですか。

ということは、BフレッツとNGNとの区別がなくなって、
2011年4月以降に提供されるNTT東/西の網内 IPv6 通信サービスで、
やがては相互接続可能になるということなのかな。

だとしたら遅いInternetVPNのまま我慢して待ってもいいかなあ。

結局フレッツVPNワイドだけになるって事でしょ

>>692
今までの700円のサービスが廃止になるだけ。
結局値上げって事ですよ。

ヤニ焚き爺どもの退職金でアップアップですからｗｗｗ

「今までの700円のサービス」が、「フレッツVPNワイドだけになる」ってことかな。
で、「今までの700円のサービス」って、フレッツドットネットとか、フレッツグループのことだと思うわけですが、
「2011年4月以降に提供されるNTT東/西の網内 IPv6 通信サービス」がこれに代わるのではないのですか。
そして、それはただNGNでしか使用できないってことではないのかな。
あるいは、えっ、BフレッツとNGNとで使えるようになる？？
だったら、フレッツVPNワイド要らない。

いまだに居るんだね
フレッツ 光ネクストとNGNを混同してる人

>>697
NTTがアナログ機器を廃止するためにフレッツISDNやら
ISDNを廃止するために光プレミアムやら出してきて
本音を隠すために商品構成をごちゃごちゃにして
NTT社員でもよくわかってないのが現状でしょ？

初めは光プレミアムもYAMAHAのVPN張れなかったし、
そういう情報って最初はなかなかなかったからな。
いちいちNTTの商品群を追いかけられないってのはたくさいると思う。
東と西もあるし。