YAMAHA業務向けルーター運用構築スレッドPart10

【前スレ】
YAMAHA専用スレッド
　http://pc.2ch.net/test/read.cgi/network/997877142/
YAMAHA業務向けルータ運用構築スレッドPart2
　http://pc5.2ch.net/test/read.cgi/network/1037975157/
YAMAHA業務向けルータ運用構築スレッドPart3
　http://pc8.2ch.net/test/read.cgi/network/1092832668/
YAMAHA業務向けルータ運用構築スレッドPart4
　http://pc11.2ch.net/test/read.cgi/network/1144116104/
YAMAHA業務向けルータ運用構築スレッドPart5
　http://pc11.2ch.net/test/read.cgi/network/1196114751/
YAMAHA業務向けルータ運用構築スレッドPart6
　http://pc11.2ch.net/test/read.cgi/network/1223667451/
YAMAHA業務向けルータ運用構築スレッドPart7
　http://pc11.2ch.net/test/read.cgi/network/1245454435/
YAMAHA業務向けルーター運用構築スレッドPart8
　http://hibari.2ch.net/test/read.cgi/network/1275391797/
YAMAHA業務向けルーター運用構築スレッドPart9
　http://hibari.2ch.net/test/read.cgi/network/1294731041/
【公式サイト】
YAMAHA RT series router Home Page (p)ttp://www.rtpro.yamaha.co.jp/

【お約束】
・ここはYAMAHAルーターで、小規模〜大規模のネットワークを構築、運用する人のための情報交換スレッドです。

・ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
　設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は以下のスレッドへ。
YAMAHAヤマハブロードバンドルーターpp select 15
　http://hibari.2ch.net/test/read.cgi/hard/1295831615/

即死

>1 乙

１おつ
スレ建て制限は過疎スレにとっては中々厳しいな。

>>1
大儀であった

l2tpまだー？

RTX1200に対してだけになりそうだな。

1100には実装してもらえないだろうなぁ。

1100切り捨てられたらciscoに変える踏ん切りがつくな

1100切り捨てられたら1200に変える踏ん切りがつくな

とりあえずL2TPまだ？

予想は、7/15か8/10。このところ休み直前日に出すことが多いです。

ぎりぎりまで頑張って作ってほやほやを出そうとしてるのはわかります。
けれど、実環境で動作させた際に何かあったら
休み明けまで待たされてしまうのですね。改善を期待したいところ。

L2TP..........

くるのか・・・

いや、まだぁ

もう待てねえよ

おーやっと復活した。

>1　OTU

こねー!

>>17
OTUって何かの終端装置みたいだな

まぁ、1200のみだろ。
1100に今更リソース投入するとは思えん。

1200だけでもいいからまだｌ？

Yamahaに聞けよw

Yamahaに聞けよw

大事なことなので二回言ったわけか。

マルチホーミングの2ISPは何処が良いかな？

6月って言ったよね？

6月って言ったよね？

期日を優先するあまり、変なファームウェアを出されるより良い。

VPNでの人柱はイヤだな、、、
がしかし、いいかげん来て欲しい

1200は実演もしてたんだからもう出来てるんじゃね？
1100とかに実装してるから出てこないのかねぇ。
それならありがたいが。

在特会VS京都腐警＆朝鮮総連

【腐食】京都府警による犯罪的取り調べの実態！【腐敗】
http://www.nicovideo.jp/watch/sm14995186

京都府警の北原氏によるカミングアウト
「俺は腐ってる」「一部の警察官も腐ってる」その他意味不明な言動を繰り返しお笑い劇を繰り広げています。長時間になりますが全編ご覧ください。違法取調べの生々しい貴重な録音です
↓
↓
その後抗議に行くもカメラを執拗に拒否し姿を見せない北原氏！
http://www.nicovideo.jp/watch/sm15025236

差別利権の町、京都と北朝鮮の闇を見逃すな！

http://ipv6.2ch.net/test/read.cgi/ipv6/1307629468/314

[news] L2TP/IPsecやNTT東日本／NTT西日本のフレッツ光ネクストにおけるインターネット(IPv6 PPPoE)接続などに対応した
RTX1200用 最新版ファームウェア(Rev.10.01.32) の配布を始めました。 http://bit.ly/o88v52

>>31
俺終わった・・・・

L2TPｷﾀｰ
でもRTX1100なおれｵﾜﾀ

予想通り1100は放置か？w

現時点では何とも。
まずRTX1200,3000のファームウェアがリリースされるのは、順当だと思うが。

Windows非対応って何だよ
そんならシスコでいいや

Windows対応したらIPsecクライアントが売れなくなるだろｗ

ハッシュアルゴリズムが増えてるのが嬉しいな。
これでモヤモヤせずに設定できる。

IPSecクライアントを春に買ったばかりだから、
Windowsで対応できたとしても黙っておこうｗ

>>40
IPsecトンネルの先じゃないところにトンネルを経由せずに接続するには、
やっぱりYMS-VPN7とかを使わなきゃならんと思うんだが、これは気にしなきゃいいのかな…。
ripリスナかなんかあればいいのか。

iPad→WiMAXでL2TP試したみたけど、速度が全然出ないや、、
PPTPで2〜3Mbps出てたのが、数十kbps
基本の接続部分とフィルタ設定はほぼ共通で、VPN回りの設定(公式サイトの設定ほぼまる写し)だけ変えた状態
ん〜〜、設定の詰めれば速度出るんかな

androidのバージョンは2.2はOK？

で・・結局の所、WindowsでL2TP出来ないでFA?
出来た人いる？

L2TP/IPSEC、RTX1100は切り捨てか…orz

>>45
ん？どっかに切り捨てるって情報出てたっけ？

>>42
androidも同じく速度出ない
アナログモデム程度で実用には程遠い

>>47　お前さんも、ポルナレフの「ありのまま今起こったことを話すぜ」状態になったかw
土日にいろいろ弄ってみたけど、速度向上認められず
L2TPは、はじめて使ってみたんだけど、YAMAHA以外でも皆こんなもんなの？
今の状態だと、全く使い物にならんので、PPTPに戻したよ

専用IC無いのにIPsecで速度出ないの当たり前
非力なスマホなら尚更
かもしれない

ちなみに遅いってどれぐらいの速度なんだべ？

WiMAX使って、下りで20〜80kbps位かな、何故か遅いはずの上りが1Mbps近くの速度が出ることがある
WiMAXルーターのアクセスランプは一生懸命点滅してるんだが、接続先のRTXにはとどいてないっぽい
MTUとかもいじってみたけどほぼ効果なし
理由がわからんw
Pingも永遠待たされることがあるし
β版どころかα版クラスの出来

>>51
マジでっか、それ。
そんなに酷いとは思わなんだ。

ルータ側が悪いのか、スマホ側が悪いのか…。
ルータ側ならRTX1100とか言ってる場合じゃないな。

>>51
WiMAXは無料モニターが当たってあまりの出来の悪さに辟易としたけれど、
いまだにそんな状態なのね。

>>53
いや、このケースはWiMAXにはそんなに責任はないと思うぞ。

処理能力不足かと思って暗号化処理も一番弱っちい奴使っても変わらん
何分にも接続先がスマホやらiPhoneやらで端末側で調整可能な項目がほとんど無いのよ
なのでRTX側で何らかの対処をすべきだと思ってる
これ使うためにJBとかあり得ないし
自分の能力不足なのかも知れんが俺の中ではもうこの機能は無かったことに・・・

RTX1200とプラネックスのBRC-14VGで
どうしてもIPsecが組めないorz
元々BRC-14VG同士でやってたんだけど
サーバ側のルータが頻繁にフリーズするようにやってしまって
先週から設定しているんだけど、どこかでポカしているらしく
繋がらないorz

どなたか分かる方、どこか変な場所あったら
教えてくださいorz

設定はこんな感じです
(拠点A(サーバ側):RTX1200)**********************
固定IP:100.100.100.100、ローカルIP:192.168.0.XX、ルータIP:192.168.0.1

IPsec設定：TUNNEL1
認証鍵：vpn-connection
相手先の識別方法：アドレス識別：200.200.200.200
自分のIPアドレス：192.168.0.1
PFSの利用：用いる
常時接続モード：常時接続する
SAの自動更新：自動更新する
NATトラバーサル：Off
XAUTH：XAUTHでユーザー認証：NO
(フェーズ1)
認証アルゴリズム:MD5、暗号アルゴリズム：3DES-CBC
鍵の寿命:3600
IKEが用いるグループ：modp1024
(フェーズ2)
認証アルゴリズム：HMAC-MD5、暗号アルゴリズム：3DES-CBC
鍵の寿命：28000
自分側のIP:192.168.0.0
相手側のIP:192.168.1.0
IKEが用いるグループ：modp1024
(オプション)※キープアライブはOffにしても駄目でした
IKEキープアライブ：on
IKEキープアライブの種類：ICMP:アドレス192.168.0.1
送信間隔：10、最大試行回数:6

ルーティング設定
宛先ネットワーク:192.168.1.0/24
ゲートウェイ：TUNNEL1

(拠点B:BRC-14VG)********************************
固定IP:200.200.200.200、ローカルIP:192.168.1.XX、ルータIP:192.168.1.1

IPsec設定
宛先IP:100.100.100.100
動作：トンネリング
ローカルサブネット
192.168.1.0：255.255.255.0
リモートサブネット
192.168.0.0：255.255.255.0
データ圧縮：なし
NetBIOS転送：なし
キー交換方式：自動(IKE)
(フェーズ1)
モード：メイン
接続試行回数:3
ライフタイム：3600
Rekey Margin:540
Rekey Fuzz:100
認証アルゴリズム：シェアードキー
認証鍵：vpn-connection、暗号化アルゴリズム：3DES-CBC
ハッシュアルゴリズム：MD5
Diffie-Hellman Group：DH-Group2(1024bit)
(フェーズ2)
ライフタイム:28000
PFS有効:YES
Diffie-Hellman Group：DH-Group2(1024bit)
暗号化アルゴリズム：ESP(3DES-CBC)、認証アルゴリズム(ESP)：MD5
ハッシュアルゴリズム(AH)：MD5
デバイスメトリック：10
マルチキャスト(IGMP Proxy Default)：NO
RIP(ルーティングプロトコル)：NO

間違ってたら済みません。rtx1200をいじってみてください。
> 自分のIPアドレス：192.168.0.1 
> 自分側のIP:192.168.0.0 
> 相手側のIP:192.168.1.0 
上記のところを、〜.1、または、〜.0/24、または、〜.1/24にしてはどうでしょうか。

コマンドはlocal(remote) idを、.1と.1/24と.0/24を、一通り試してみて下さい。
パラメータあわせですので「これ」と言えなくて済みません。

そもそもWiMAXでグローバルIPもらってるの？
一部プライベートIP仕様があるそうだけど。

AU関連だけが接続認証管理が移ってもうすぐプライベートアドレス割当になるらしいね
まあ、将来は本家もそうなるかもしれんが
で、プライベートアドレス割当だったら、速度云々以前にYAMAHAのL2TPでは今のところ接続自体出来ないらしい

>>59
ありがとうございます！
今出先なもので確認できないのですが
明日戻り次第やってみます！

俺はIPv4の大量放出があるとは思うんだがな・・・
それかIPv6になるか。
今時プライベート割り当てはないわぁ

さっさとv6に移行してくれればプライベートアドレスやNAT-Tなんかで悩まなくてすむ。

IPv6 に移行したとて NAT はしたいぞ
各マシンのIPv6アドレスを遮蔽するために

フィルターで遮断しろよｗ

>>65
IPv6アドレスの遮蔽にNATは要らないよ
ステートレスアドレス自動設定では一時アドレス（RFC4941）で実現できる
ステートフルアドレス自動設定ではDHCPv6で任意のIPv6アドレスを割り当てれば実現できる
http://www.aterm.jp/function/guide12/web-data/j-all/bl/k/8w_m33.html
手間を惜しまなければ各マシンに手動でIPv6アドレスを割り当てても良い

IPv6アドレスを知らない攻撃者にとって2^64乗もあるアドレスの中から
実際に機器に割り当てられているアドレスを調べるのも大変だろうな

>>67
社内の各クライアントに付与されてる個々の IPv6 アドレスが
Web訪問先の相手サーバーのログに落ちなければいいんだけど。

相手先へはルーターのアドレスだけが通知されるなら問題ない

>>69
社内にプロキシサーバを設置して、各クライアントはそれを経由しなければ
インターネット側と通信できないようにしておけば良いんじゃない？

つまりは、プロキシ立てないでおくと、各クライアントのアドレスが通知されちゃうわけね
ヤマハの IPv6 ルーター、IPv6 で NAT ぽいことできないの？

アドレスを隠蔽だけしたいの？
到達させたくないんじゃないの？
NATのメリットって後者だと思うけど。

アドレスわかったところで何か不都合あるの？

はい、クライアントのアドレスを相手のサイトに知られたくないだけです。
ルーターの内側のクライアントの個々のアドレスまで相手サイトに伝わるのはクッキーよりも嫌です

socksあたりを使うのが常道かと

RTX1000のDHCPサーバの設定として特定のMACアドレスにホスト名を設定することってできますか？
もともとdnsmasqのDNSとDHCPを使って、ネットワーク内のマシンにホスト名を振って、
名前で参照できるようにしていたのですが、同じことをRTX1000で行いたいと
思っています。

「ホスト名とIPアドレスを対応付ける」のは
DHCPの仕事ではないと思うが
RTXだろうが他だろうが「DHCPサーバの設定」では無理だろう

DNSとDHCPを使ってと書いてある

DNSはRTA50iで既にあるから、後はDHCPに次の機能があるかが問題
DHCP認証機能があるのはRTX1100/SRT100/RT58i以降

ここら辺がRTX1000で使えるか自分で調べてくれ
>dhcp service server
>dhcp scope lease type 1 bind-only
>dhcp scope 1 192.168.100.30-192.168.100.240/24

>>77
やりたいと思っている設定は
http://www.turbolinux.com/products/server/11s/user_guide/dhcpdconf.html
ここの設定のhost celica部分で指定している
option host-name "celica"
のようなものかと思ってたのですが、ちょっと違うんですかね。
dnsmasqを使って設定してみたときに、MACアドレスとホスト名を
対で書くことができたので、DHCPが対象MACアドレスに対して
ホスト名を含めて送っているような気がして。

>>78
DHCP認証ですか。
RTX1000にはなさそうですね
でも、"認証"ともちょっと違う気もするので、何か方法があればいいんですが。
とりあえずDHCP認証について調べてみます。

DHCP認証は無くとも、固定macアドレスに固定アドレスを振る機能はあるかもしれない

ぱっと見た感じdnsmasqは、dhcp時にホスト名を含めて送ると言うより、
自身の/etc/hostsと一緒にキャッシュしてクエリに応答してるかんじですので、
二つの機能に分けてはいけませんかね。
dhcp scope bind でMACアドレスとIPアドレスをひも付け、
ip host でIPアドレスとホスト名をひも付け、です。

で、79のurlのdhcpdコマンドでは、オプション12のhostnameを使ってるようです。
rtx1000にもオプション12はあるんですけど、rtxのはおそらく、
スコープ、そのアドレスレンジ全体に対して設定する感じのため、
個々の端末に対して使う用途とはちょっと違うようです。

L2TPマダーー！

>>83
もう来てるじゃん

使いモンにならんがなｗ

憶測でしかないけど、速度が出ないのは端末側の問題が大きいんじゃないかなぁ。
RTX1200はIPsecハード処理できるはずだから、ルーターで落ちてるとは考えにくしいし。

普通のIPsecのクライアントでも端末側がしょぼいと全然速度でないよね。
かといって性能良くても大してでないけどw

SPモードで使えないならPPTP使うわ
ドコモのサポートL2TPならSPモードでも使えると言ったのに嘘つき

>>76
dhcpd でMACアドレスに対してIPをフィックスして与え、そのIPに対するホスト名をdnsに静的に登録することはできます。

dhcp scope bind スコープ IPアドレス ethernet MACアドレス
ip host ホストのFQDN IPアドレス

とセットで設定すれば。

プライベートIPアドレスのiOSと
yamaha機器がつなげられて実用レベルの速度出れば、
今悩んでる問題、全部解決するんですが、
無理ということでファイナルアンサー？

>>89
某MLによれば、プライベートアドレス・NAT超えの対応は進めてはいるらしいけど、期待通りの速度が出るかどうかはわからん

それよかRTX1100でのL2TP/IPSEC…

>>86
はい。それは知っています。
dnsmasqだと、DHCPで毎回IPが変わってもその場でDNSに登録されるみたいで、
名前でアクセスできるんですが、それがやりたかったのです。
まあ、DNSキャッシュとか考えれば、IPそんなに変わっていいのかっていう話もあるので、
とりあえず、固定IPで名前ふるようにします。

金かけずにRT58iやNVR500でURLフィルタかける方法ないかね

金かけたくないなら、ルックアップして手動でフィルター突っ込むしかないんじゃね

あっちゅーまに埋まりそうだが

>>93
サーバー単位になるがDNSサーバ使ったらいんじゃね。

ip host www.yahoo.co.jp 192.168.100.x(存在しないIP）
とすればyahooに繋がらなくなるって意味

>>93
参照型フィルターのプロトコル(仕様)、公開してほしいよねー

そのへんのPCにwebproxyでも入れたら？

ところでRTX1100でL2TP/IPSECはどうなった？

組み込み用途とかでディスコンにされると困る人向けに売っているだけで、
RTX1100にはもう新機能は載らないでしょ。
新機能使いたければRTX1200買えって。

よろしくおねがいします。
簡単な図をここにup しています
http://ichigo-up.com/cgi/up/qqq/nm40370.txt.html
【説明】
192.168.1.のセグメント配下のPC及びWAN 側のPCから
No.2 ルータの配下にあるxxx.xxx.xxx.30 のftpサーバーにアクセスできます。
ここで
No.1 ルータの192.168.100.のセグメント配下のPCからxxx.xxx.xxx.30へ
FTP が行えません。どのような手順で行ったら実現できますでしょうか？

No.1 yamaha rtx1000
ip lan1 address 192.168.100.254/24
ip lan2 address 192.168.1 .247/24

No.2 yamaha rtx1100
ip lan1 address 192.168.1.4/24
ip lan2 address internet server(xxx.xxx.xxx.29)

>>101
ルーティングテーブルも書かないと。

>>101 です
>>102 さんよろしくお願いします
現在わかるのはルーティングテーブルです
===========================================================================
Interface List
0x1 ........................... MS TCP Loopback interface
0x2 ...00 17 42 12 0d c5 ...... Broadcom NetXtreme Gigabit Ethernet - パケット スケジューラ ミニポート
===========================================================================
===========================================================================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.100.254 192.168.100.215 1
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.100.0 255.255.255.0 192.168.100.215 192.168.100.215 20
192.168.100.215 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.100.255 255.255.255.255 192.168.100.215 192.168.100.215 20
224.0.0.0 240.0.0.0 192.168.100.215 192.168.100.215 20
255.255.255.255 255.255.255.255 192.168.100.215 192.168.100.215 1
Default Gateway: 192.168.100.254
===========================================================================
Persistent Routes:
Network Address Netmask Gateway Address Metric
xxx.xxx.xxx.128 255.255.255.248 192.168.1.4 1

>>103
これ、.100のセグメントにぶら下がってる.100.215の端末のルーティングテーブルでしょ。
聞いてるのはそれぞれのルーターのルーティングテーブルのこと。

RTX1000の設定を見ないと分からん
NATしてるのか経路テーブル書いてるのかproxy arpとか使ってるのか

エスパーしてみる。No.2のrtx1100に以下追加。
ip route 192.168.100.0/24 gateway 192.168.1.247
これでなければ、フィルタやNATの入ったconfigが２台とも欲しいですね。

>>101です
現在の手元の資料でrtx1000の設定です
# RTX1000 Rev.7.01.16 (Tue Jul 22 19:41:01 2003)
#
# IP configuration
ip routing on
ip route default gateway 192.168.1.253
ip route xxx.xxx.xxx.x29 gateway 192.168.1.4
ip route xxx.xxx.xxx.x30 gateway 192.168.1.4
# LAN configuration
ip lan1 address 192.168.1.247/24
ip lan1 nat descriptor 1
ip lan2 address 192.168.100.254/24
# PP configuration
pp disable all
# TUNNEL configuration
tunnel disable all
# NAT Descriptor configuration
nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.1.246
# TFTP configuration
tftp host 192.168.100.215

なんでLAN1アドレスが.247なのにNATのouterに.246使ってるんだよ

んー。1100のip lan2 nat descriptor 1 が
nat descriptor address inner 1 192.168.1.1-192.168.1.200
あたりになってて、246-247あたりを入れてないとか、フィルターが入ってるとか。
あとはファームのリビジョンアップね。

ここのみんな新設惰農。
見ていてほほえましい。

>>101
始めの簡単な図が私の環境では崩れて見えてしまいます。
また、始めの情報と>>107で書かれたConfigでは食い違っている個所があるようです。

もう一度整理してRTX1000とRTX1100それぞれのConfigと
構成図を提示した方がより早く解決できると思いますよ。

.246がRTX1000にLANアドレスとして定義されてないのに
NATのouterとして使おうとしてもRTX1100からARP要求してもRTX1000がARP応答しないでしょ
.247を使うべき
という理屈だと俺は思う

>>111
改めて >>101の図とやらを見てみたが……確かにw
テキストで図を書くのはいいが、各行でちゃんと改行くらいしないとな。
テキストエディタは80桁固定とは限らん、つか大抵違う。

しかしRTX1100のLAN2って何だろう?
「internet server」じゃ何のことやらサッパリだ。
グローバルIPが割り当てられてるってことなのか?
「WAN 側のPC」とも書かれてるし… (WAN側のPCってのはインターネット越しのアクセス?)
しかし「xxx.xxx.xxx.30 のftpサーバー」とも書いてあるから違うのかな?
グローバルIPだとしても、RTX1000の側でNATを使う意味が分からん。
RTX1100だけでいいんじゃないの?
よく分かってない人がわざわざ設定複雑にして更に分かりにくくしているような。

私が思うに。109とダブルが192.168.100.254/24のNAPTはRTX1100側で行っていると思うのでRTX1100のconfigが重要だと思うんだ
そもそもFTPの以前にpingができるかどうか書かないとネットワークの問題かFTPの問題かわからんよね。

>>108,112
nat desc add outerは、NATの外側のアドレス(体系)を指定すればいいだけだから
問題ないよ
>>103
まずは、端末の余計なルートを消しなされ
route delete xxx.xxx.xxx.128 MASK 255.255.255.248 192.168.1.4
route addの時に、-pオプション付けてなければ端末再起動でもいい
それやってもダメなら、俺もRTX100側のnat desc add innerの設定に192.168.1.246が入ってない
だと思う。
192.168.1.0/24にあった端末を192.168.100.0/24に移設して、IPだけ変えたってオチに1票

>>106は試したのかな?
要するに戻りパケットがRTX1100で迷子になってるんじゃ?ってことだよね
これは最初に確認すべきだと思う

パケットキャプチャしてどこまで来てる・どこで止まってるを
簡単に確認すりゃ分かるだろうが
それが出来る知識がある人ならそもそも聞いてないか
Yamahaのルータよく知らないんだけど、
Ciscoでのdebugコマンドみたいのってないのかな?

>>101 ではRTX1000の設定は
LAN1 が 192.168.100.0/24, LAN2 が 192.168.1.0/24 になってるのに
>>107 では逆になってるな。
どっちが正しいんだ?

NATの設定でinnerがないし、ちゃんとNATは動いてるのかな?
LANの中で重複したアドレス空間使ってないならNATなんか使わずに
普通にルーティングした方が簡単確実だと思うけど。
スタティックでもダイナミックでもいいが。

あと、>>107でRTX1000のデフォゲが 192.168.1.253 になってるけど、
>>101の図を見る限りそのアドレスはどこにも存在しないように見える。
これじゃスタティックで張られてるとこ以外どこにも行けないよね。

なんか根本的に設定間違ってない?
質問者自身が実際のトポロジを理解していないような。

>>117のRTX1000のNATが動いていないor物理接続が間違っているが怪しいな

>>116
NATしてるんだから、RTX1100に192.168.100.0/24のルートいらなくね？
ソースアドレスは192.168.1.246になるんだから

ところでL2TP/IPSecって何て読む？
「えるつーてぃーぴーあいぴーせっく」でいいの？

>>119
惜しい
「えるつーてぃーぴーあいぴーせっくす」

さすが夏休み
こんなスレにもリアル厨房が

>>121
自己紹介乙

Tをティーって発音する人ってこの業界少なくない？

スレチですが私は
FTP・・・エフテーピー
PPTP・・・ピーピーテーピー
と言ってますね。
話す相手によっては意図的にティーで発音することもありますが・・・

TCP・・・・これはティーシーピーですねｗ

teraterm でrtx1100 にssh で接続しています
現在の設定をPC へ流したくて
#get config/Passwd ファイル名
とするのですが エラーコマンド名を確認してください
が出ます？どうしたらいいですか・・・・

>>125
それはTFTPのコマンドでしょ。
administratorでshow configしても近いものは得られるけど
完全な設定ファイルとして欲しいなら、TFTPを使いましょう。

>>125 です>>126 さん　thx です
検索すると、こんな感じでtftp を受け付けるコマンドを設定してやらなければならないとネットで見かけるのですが
tftp host (アップロードを行う端末のIPアドレス)

このコマンドを実行するのに、SSH 越では（teraterm）出来ないのでしょうか？
クロスかなんかで、PC とrtx1100 を繋いでやらないといけないのでしょうか？
SSHで実行した後、
tftp -i 192.168.1.2 get config/Passwd c:\OLDconfig.txt
このように繋ぎに行くと
Error on server : Access violation となります

tftpはデフォルトだと閉じてなかったっけ？
とりあえず、
tftp host any
終わったら、
tftp host none

データコネクトで接続する場合の番号って
ＮＴＴから教えてもらうの？

それともひかり電話の番号を端末に振らないとダメなの？

最近触り始めたのでアホな質問かもしれないんですが

port-based-option=divide-networkでlan分割して
vlan port mappingでポートを割り当てたしたvlanXに対して
ip filterで作ったフィルタをip vlanX secure filterで適用ってできるんでしょうか？
コマンドはエラー返さないんだけど、show configでは表示されないし
明らかにpassしてるはずのパケットが暗黙のdenyで破棄されてるし何かへんです。

ネットワーク屋も含めて、通信屋は総じてTとかDは小っちゃい文字を発音しないこと多いよね。

TD-480　だと　テーデーヨンハチマル
Dch　は　デーチャン

タンゴデルタよんはちまる
デルタチャンネル
ロメオマイクスペースアスタ

そりゃ単に聞き間違いを避けるための習慣だろう

ただ発音の悪いジジイからの
先輩の言うことは絶対的な古き時代からの慣例じゃね？

聞き間違いを防ぐ為だな。
習慣化してるけど。

騒音の有る所とか通話回線越しだと、差が大きい。

TとP
DとB
は良く間違えられますもんねぇ

>>136
TとD
PとB
じゃね？TとPを聞き間違えるなら病院行こうよ

>>129
ひかり電話の番号でOK

>>130
フィルタ動作すると思うけどサポートに電話してみたら

test

ルータ配下にあるPCのホスト名を調べるのにはどうしたらよいのでしょうか。
show status dhcpだと固定IPは表示されませんし。

コマンドプロンプトから
hostname
ｽﾚﾁな

質問ちゃんと読めよw

>>140
DNSサーバーを用意しないと無理

>>140
ホスト名は無理だけどIPなら show arp

>>143
ありがとうございます。BINDでも勉強してみます。

>>144
それは何とか知ってました！

>>140
固定IPの端末のホスト名を調べるのはルーターの機能では無理。
ping通る端末ならTWSNMPあたりでスキャンかけてみたらホスト名返す端末もいるかも。

考え方変えて
MACアドレス対でDHCPで固定ぽくふればよくね？

>>147
それは本末転倒だろうw
それは「固定IPのホストを全てstatic→dynamicに設定し直す」ということを意味するぞ。

固定IPのホストを全部直接いじってMACアドレス集めていくなら
ついでにIPアドレス、ホスト名のメモも取ってけば目的は達成できるんで
設定し直す必要すらないw

ルーターの配下って意味じゃね

>>140
ホスト名って広い意味だね。
windowsだけの情報ほしいならブラウズのキャッシュ見れば一発だよ

ホスト名と言っても、多分Windowsのnetbios名だろうね
TCP/IPのnetbios拡張分をRTがサポートする決まりは無い

通常は、RT上の show arp
と
Windowsのコマンドの nbtstat -a 192.168.0.100
で充分


>>148
>>MACアドレス対でDHCPで固定ぽくふればよくね？
>それは本末転倒だろうw
>それは「固定IPのホストを全てstatic→dynamicに設定し直す」ということを意味するぞ。

いや、staticのままでも、ルーター側で予約させることは可能
やっちゃいけないという事は無い
つか、固定アドレスでも、未登録macアドレス排除するためにdhcp予約登録する

>>150
それはホスト名じゃない

>>151
> いや、staticのままでも、ルーター側で予約させることは可能
> やっちゃいけないという事は無い
> つか、固定アドレスでも、未登録macアドレス排除するためにdhcp予約登録する

やっていい/悪いの話ではなく、質問は「ルータからホスト名を調べる方法」なんだよ。

L2アドレスであるMACアドレスは直接繋がってるスイッチまでしか届かないんだから
「固定アドレスになってるホスト」それぞれのMACアドレスは結局一台ずつ調べるしかないよね?
(全ホストが直接ルータに繋がってるなら別だが)
で、一台ずつそれ確認するなら、同時にホスト名も確認すれば
結局「ホスト名を調べる」という目的は達成できちゃうから意味ないんじゃ
という話。

あ、ごめん
L2アドレスなんだからスイッチは通過するなw
何言ってるんだ > 俺

ルータは越えられない、の間違いですた。
スイッチだけのネットワークなら、arpテーブルから
MACアドレス - IPアドレスの対応は調べられるね。

ホスト名は人間が分かりやすいってだけで重要ではなかったり

出入りが激しすぎるでもなければ、固定アドレスにして、全macアドレスとIPアドレスとnetbios名の一覧
いわゆる、hostsファイルにmacアドレスを加えた物を用意すれば良いと思う。

そのhostsファイルを持つPCでIGNETMAPというフリーソフトを使えば稼働状況は一目瞭然

質問者がどういう意図で聞いてきたかだよな
普通自分とこのマシンぐらい把握できてるだろ？

クライアントがwin前提なのかもわからん

netbios名の一覧はlmhostsじゃなくて？

>>156
把握出来てないだろうな
macアドレスをメモってもなさそう
Windowsの場合の解決方法の一つは上げたとおり
bindって言ってるからunix系も触れるのかも

>>157
hostsでも良いよ

監視目的なのか管理目的なのか
でもスタティックで割り当ててるなら少なくても割り当てリストぐらいは作らんとダブる可能性があると思うが
そこは管理者が別なのか？

>>157
LMHOSTSが正解

>>158
作りが古いものは動かない場合もあるのよ
ホスト名とNetBIOS名は別物なんだから、ちゃんと分けておいたほうが無難
極論でいうと、わかんねーなら両方書けって話なんだけどなｗ

いい加減に他所に逝けよって思うぞ、MLの村瀬

うちもあのログいっぱい出てるから興味あるうちもマカフィー使ってるからかなぁ

次はRT107e後継機か。この機種はここの範疇になるのかな？

>>162
自分でパケットキャプチャしてみたほうが早いと思うけど。

RTX1100でL2TP/IPSEC…

>>164
RTX810をお買い求めください。

>>165
やだやだやだやだやだやだ
まだRTX1100使うもんんんんんんん！！

全ポート 100BASE-TX でリンクアップで 3.1W
ってすげぇな

エネループでも動かせそうだ

>>165
お、G3出たのね

RTX810かぁこれかなり売れるんじゃないの？
1200だと8ポートもSWポートついてて無駄な感じだし。
これぞまさにSOHO向けっぽい仕様じゃん

VPN数が6で大丈夫なら問題無いな

昔はIPsecはLANポートの数*4だったんだがな。
ま、6本設定できれば、つなぐのが7カ所までならメッシュ構成できるわけだから
小さな規模で拠点同士を結ぶのなら十分かな。
営業マンが外からつなぎたいってのなら、不足する気がするが。

あとは、パケット処理能力ってどうなんだろ。
スループット1Gbpsってことは、83kppsは越えてるんだろうけど、
RTX1200がある以上は、120kppsを越えるわけにはいかないんだろうな。
それとLAN分割機能でRTX1200みたいに、ファストパス処理されるかどうかも気になる。
このぐらいのことは、MLで投げれば、中の人が答えてくれるんだろうか。

個人的には、周囲温度の上限が50度ってのがうれしい。
それだけで、今のRTX1500から買い換えたい感じだ。

あとは値段次第だが、けっこう売れるだろうね。
最初は5万円台半ばぐらいだろうか。
買う側にはどうでも良いことだけど、RTX1200の売り上げは落ちそうな気がする。

チラ裏な内容でスマン

上限50℃って何気にすごいな、、

上限50℃ってプレハブ現場事務所向けだな。

RTX1200って何度までOK?

RTX1200の最安価格(税込)：\67,690
さて幾らまで下がるんだろうか

>>174
知る限りでは、YAMAHAの機種は40度が上限。(RTX1200もそう)
アライドには50度が上限のが、すでに何機種かある。

50度が上限ってのは、部品の耐性が高い部品に変更したのかもしれないが、
本体の発熱量（＝消費電力）が下がったから、中にこもる熱が減って、
相対的に動作時の周囲温度が引き上げられたのかもしれないな。

お値段的に高級品に変えたとは思えないので
消費電力が減った分で稼げているのであろう

RTX1200のL2TP/IPsecってまともに使えるスピードなの？

>>178
使えないよ

RTX810登場か。
http://plusd.itmedia.co.jp/pcuser/articles/1109/08/news028.html

ギガビット搭載で、3G回線も使えるのに番号が1100を上回らない。
rtx1150にすればよかったのに。
もはや、ネーミング規則が良く分からなくなった・・・

っていうか
新機種出すより
RTX1200をより低価格で低発熱量で発売した方がたくさん売れてコスト的に安くなりそうな気がする

>>180

ちゃんとRTXがついてるからいいじゃないかｗ

>>180
価格としてはRT108e的なカンジだよね。
NVR500とどう分けるのか・・・
現場プレハブ用ってのは本当にそんな気がする。

NVRとの棲み分けは、IPsecが必要かどうか、IP電話が必要かどうかだろ。
今までのRT58iとRT107eも、そんな感じだったんだから。

>>181
業務機となると、そんな簡単にはいかないんだろ。
「予備機や故障時の交換は、同一仕様じゃないと認めない」って所もある。
だから、RTX1100が発売されても、当分のあいだRTX1000も作ってたし、
RTX1200がある今でも、RTX1100は現行機種だろ？

だから、仕様を変えたのを作っても、古い仕様のも需要があるから、
結局複数の機種を作ることになる。

RTX810にIP電話が載ったRTV820が来たら嬉しいんだが

あれ足りないこれ足りない出るから
MOD式に付け足せるようになればいいのにね

>>185
それは、切に欲しいです。
うちも、RTV700が未だに現役。

>>180
ISDNが付いていないからでしょ。

>>184
なるほど。互換性か。
たしかに、RTX1200と、RTX1100では、たとえば、
SHOW DHCP STATUSコマンドの挙動が異なるなあ。

あ・・・、あほだ。
NVR500がNetVolanteの後継機って完全に忘れてた・・・。

ルータのBTOとかあったら面白そうだな。
喜ぶの俺らだけだがｗ

IPSECとNNTPの両方が使えるなら買いだけど、IPSECだけなら素直にRTX1200買う

>>188
LAN3がないからのような気もする
そーすると
数字３桁 LANx2 (NVR500/RTX800/RTX810)
数字４桁 LANx3 (それ以外)
て感じできれいに区別できる

nntp...いまどき個人でニュースサーバ立ててるヤツがいるのか...

>>193
PPTPじゃないの…かな？

RTX810はPPTPもついたんやよね？
だったらリモートで管理しやすいや。

そそ、PPTP
IPSecだとリモートでちと不便で

>>195
WINDOWSから接続できないと

RTX1100どころかRTX1000が現役だぞ、うちの事業所は。
オクで大量に出回ってるから保守部品に今のところ困らないが、そろそろ乗り換えて欲しいわ。

RTX810販社の人が説明に来たよ
IPsecスループットは1200より高いみたい
1200より良いCPUを載せるとは思えないから
暗号化ASICだけ新しいの使ってるのかね

>>196
WinでIPSec接続は出来るけど、使い勝手が微妙

Winなら有料IPSecクライアント使わないなら双方固定じゃないと無理でしょ

SRT100でL2TP/IPsec対応のファームが出たけど、速度的にどう？

だから1100だってば

1500もお願いします。

あれはCPUパワー的に厳しいのではないかと

ルーター1はISP1　グローバルIP　PPPoEブリッジ設定　（光ネクスト）
ルーター2はルーター1に接続でISP2　グローバルIP
これをSWX2200-8Gにルーター2台接続してPCを
一台にした場合はどうなるのですか？

マルチホーミングの場合はISP1が落ちないとISP2に接続しないから
一台づづ割り当てて負荷分散もどきにしてます
やはりロードバランサが必要ですか？

板違いですが、お勧めロードバランサがあれば教えて下さい

質問は最後の一行だけ?
それとも三つあるのかな?

そんな回線負荷高いの？

205です

出来れば全て教えて戴きたい

光ネクストはヤマハの帯域コントロールみたいのが動いてるから期待はしてたが・・・
http://www.isdn-info.co.jp/next/hikaku.html

下りは約150Ｍ　上りは約100Ｍ　　家族が使わない状態でラデッシュで測定

二人の子供が一台づつリアルタイムオンラインゲーム　かみさんはPCとIphone
すると段々下がり　最後にはラグが凄い事になり
最小ショートパケットの連続だからNTTのHWGでは負荷が掛かると思い
手持ちのRTX1500でPPPoEで接続はギガイーサでないから止めて
NEC　WR8700とSWX2200-8Gを買って負荷が高いと思われる機器はHGW
それ程ないと思うのは8700でISPは2社でこれで少しは緩和してます

ロードバランサに拘る理由は近い将来デイトレを始める予定だからです

ネトゲたった２台でラグラグなんて有り得ん。
まずは接続図を書け

PCがただのノートPCでネトゲの動作基準に丸で足りてないって事は無い？

ネットゲームなんて帯域よりもping値が勝負だろ
帯域使い切ってもないのに、ロードバランサとか入れたら、ping値は上がる一方だぞ

>>208
帯域コントロールっていっても音声通話やテレビ電話を優先するとかそんな感じだぞ

デイトレで稼ぐ気なら光もう一本入れた方がよくね？
可能であれば別キャリアの方がリスクも分散できるし

少なくてもその用途ならのぼりくだり１００Mも使ってないと思うから
素直にRTX1500一台でもいいような気がするがね

まぁ２台ルーターがあって２つのISPにつなぐ事は障害対策になるから
予算があるならやって損は無いと思う
おまけに光（それ以外でも可）のキャリアをつかう事も障害対策になる


デイトレだろと証券会社経由する場合は、その分処理遅れるから秒で損得するような
トレードはおすすめできないと思うよ
むしろまったく繋げなくなる回線障害対策をしっかりしたほうがよい
また証券会社やFX業者含め数か所と契約しメインが使用不能になった場合に
反対注文を別業者にできるようにするなど考えた方がいい

そしてロードバランサなんて無意味だと思う

ロードバランサって、何をバランスさせる気なんだ？
フローによってISP1, ISP2とか宛先バラバラだと、
悲惨なことになる気がするんだが。

>>213
クライアントからインターネット上のウェブサイトへの単なるウェブアクセスなら、
ウェブサーバにとって接続元グローバルIPアドレスが適当に散らばっても問題ないだろ。
いまどきアクセス元IPアドレスだけでセッション維持しているウェブアプリケーションなんぞないし。

だから現代的WANロードバランサーだとデータの流れを解釈して外向きトラフィックを適当に分散して
外向き回線を使ってくれる。LinkProofとかが有名だが、安めの機材だとアライドのAR5x0Sがそういう機能を持ってる。
ただしライセンスが別途必要。 ttp:/www.allied-telesis.co.jp/solution/wlb/

ただ>>208の用途にロードバランサは無意味で不要、
PCをもう1個と回線を別キャリアでもう1本用意すべき、という>>212の意見に全く持って同意する。
ロードバランサという言葉に夢を見過ぎだ。もっとパケットの気持ちになって考えよう。

>>214
TTL違うと追い越し起きない？
Webはともかく、複数セッション張るようなネトゲだと致命的だとおもうが

>>215
だからそのへんについてはロードバランサーの賢さ(メーカー側の事例蓄積とその反映)に依存するわけだ。

>>211
ping値ってなんだよwww

>>217
ラウンドトリップタイムのことをネットゲームユーザコミュニティ界隈でそのように表現することがおおい
測っている先が実際のゲームサーバ相手ではなくその会社のウェブサイト相手だったりするのが微笑ましい

YAMAHAのｽﾚでこんなこと書くのもなんだが
(本当に)ショートパケットの連続なら、NEC(AlaxalA)のIX(AX620R)にしたほうがいい
1台で十分ことたりる性能がでる
100Mでいいなら、IX2015あたりがオクとかで\1,500-とかであるから、試せばいい

追加投資ができないなら、デイトレ用のPCのデフォゲをISP1に
その他をISP2に

回線冗長まで考えるならVRRP組んで2グループ作って
デイトレ用をISP1(Act)-ISP2(Stby)のVRRPグループに向ける
その他をISP2(Act)-ISP1(Stby)のVRRPグループに向ける

ISP1が落ちると、ラグラグになるけどね

つか、RTX1500のVRRPグループ2個つくれたっけか？

実は古い無線LANを後生大事に使い続けているだけだったりして
他はHUB、LANケーブル等も

デイトレでVRRP使ってもうまく注文できるかどうかの保証はないぞ
生活かけてるならネトゲその他を即遮断できるようにした方がよいｗ

>>221
遮断できるがシングル＝ルーター落ちで１００％注文できない
VRRP＝１００％の保障はできないが、できる可能性もある

あれ？

RTX1200でLAN1/1ポートをvlan 10 (untagged)、LAN1/2ポートをvlan 20 (untagged)でLAN1/3ポートをvlan 10, 20(tagged, 802.1Q)ってことできる？

ポートベースVLANとtaggedVLANの併用はできなかった覚えがある。

RTX1200ってLAN1〜LAN3までと三つしか口がないですが
これはセグメントも三つしか作れないと言う事でしょうか？

>>225
http://www.rtpro.yamaha.co.jp/RT/docs/lan-divide/index.html

>>226
ありがとう。VLAN機能を使わなくてもそれぞれのポートを
セグメントとして分割できるんだね。

>>225と>>227は同じ人なんだろうか

なんだかかみ合っていない気がする

>>228
ヒント、二重人格

http://jp.yamaha.com/news_events/network/rtx1100_ending/

ついに終わっちゃったか。
rtx1100もう、ネクスト対応なしなのかな。

RT250iが今も現行モデルなのが驚異的だ
業務用でまだまだISDNも需要があるということか

>>231
ISDNもだけど専用線もあるからな
DA64とかHSD128とか
RTX1200にも付いてるし、業務用(特に公共団体)なら全然現役でしょ
AlaxalAのAX620Rにも付いてるし
でも、データコネクトが普及したら流石に終了だろう

2011年10月4日 [ネットワーク周辺機器]

下記の設定例を追加公開しました。
「フレッツ光ネクスト IPv6 PPPoE」、「フレッツ光ネクスト IPv6 IPoE + ひかり電話(NVR500)」、「データコネクト拠点間接続」、「モバイルバックアップ」、「カスタムGUI」

田舎だとISDNしか使えないところがまだまだある

>>234
データーコネクトでISDNも終了するっていってるから
えぬてってが責任もってやるんだろ

まぁ、なんだかんだ言っても ISDN は最後まで残るだろうね。

■本社（固定ＩＰ）
(192.168.1.1)CTU(PPPoE)
(192.168.1.100)RTX1000
(192.168.1.101〜192.168.1.120)PC

■営業所（非固定ＩＰ）
(192.168.2.1)ルータ１
(192.168.2.100)ルータ２(RTX1000)
(192.168.2.101〜192.168.2.120)PC

ルータ１---ルータ２(RTX1000)---PC
の２重ルータで、IPSECとインターネット併用の設定を試みているのですが、
インターネットが接続できず、IPSECも接続できません。

アドバイス、ヒントがあれば、よろしくお願いいたします。

上記の続き

現在の、下記設定では、インターネット接続ができません。
■営業所（非固定ＩＰ）の設定
ip route default gateway dhcp lan2
ip route 192.168.1.0/24 gateway tunnel 1
ip filter source-route on
ip lan1 address 192.168.2.100/24
ip lan2 nat descriptor 1
pp enable 1

tunnel select 1
ipsec tunnel 1

（IPSEC設定省略）

tunnel enable 1

nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.2.1
nat descriptor address inner 1 192.168.2.101-192.168.2.120
nat descriptor masquerade static 1 1 192.168.2.100 esp
nat descriptor masquerade static 1 2 192.168.2.100 udp 500
nat descriptor masquerade static 1 3 192.168.2.100 tcp 1723
nat descriptor masquerade static 1 4 192.168.2.100 gre
ipsec auto refresh on
dhcp service server
dhcp scope 1 192.168.2.101-192.168.2.120/24
dns server dhcp lan2
dns private address spoof on

>>238
IPsecで接続できねーのに、プロポーサル隠して何がしたいんだ？
対抗の設定もないし
お前、馬鹿すぎねーか？

>>236
計画だと、あと数年でNGNに巻き取るとか言う話があったような。
到底無理だと思うが。

>>239
IPSec設定は、わかります。
二重ルータで、>>237のようなIPアドレス構成のとき、
インターネット接続ができないので。

二重ルーターの意味が分からない。
RTX1000のWAN側アドレスが定義されてない(おそらくLAN2?)のはなぜ?
それと、ルータ1のLAN側とRTX1000のLAN側が同じアドレス体系なのはなぜ？


これ、config見せる前に何をどのようにしたいか、
なんで二重ルータかってことを説明しないとみんなわかんないとおもう。

>>242
２重ルータは、
プロバイダ提供のルータだったり、モデム内臓ルータだったりだからです。
ルータ１とルータ２のアドレス体系が違うと、インターネット接続は可能なのですが、
IPSec接続がうまくいかないからです。

ルータ１とルータ２のアドレス体系が同じ場合で、インターネット接続が可能なら、
IPSecもうまくいくだろうと思っているからです。
ルータ２(RTX1000)でのPPPoE接続の場合は、IPSecも接続できていますが、
RTX1000で、PPPoE接続をしない場合を模索しています。

>>243
２重ルーターの外側ルーターの設定は？
ESPとかUDP 500 とか通す設定？

>>244
すべて転送します。

多段NAT環境下だとしても
これネットワーク設計がおかしいだろ

>>243
＞ルータ１とルータ２のアドレス体系が違うと、インターネット接続は可能なのですが、
＞IPSec接続がうまくいかないからです。

それを解決しろよ

238の営業所側の構成は、

WAN(global)
ルータ1
LAN:192.168.2.1
 |
 +--LAN1(192.168.2.100):RTX1000
 |
 +--PC(192.168.2.101〜)

で、RTXのデフォゲがLAN2です。
たぶん今、RTXのLAN2にケーブルが刺さってないですよね。そりゃあ通信できません。

>243
> ルータ１とルータ２のアドレス体系が違うと、インターネット接続は可能なのですが、 
> IPSec接続がうまくいかないからです。 

それは、上流のルータ１側に、IPSecの通信をルータ2へ通すような設定をしてないから。

> ルータ１とルータ２のアドレス体系が同じ場合で、インターネット接続が可能なら、 
> IPSecもうまくいくだろうと思っているからです。 

デルタアタック型はできる。けど、やっぱりルータ1にIPsecの通信を通すような設定がいる。

パススルーさせて、rtxがVPN機能とdhcpだけ受け持つ設定は、ざっとこんなかなぁ。

■営業所のルータ1
・DHCPをオフ
・IPSecパススルーを有効
　udp 500およびesp(プロトコル番号50)のパケットフィルターを"通過"に。
　udp 500およびespパケットを192.168.2.100にフォワーディング
・デフォルトゲートウェイはwanのまま。dnsサーバも設定しておく。
・念のため、経路追加。192.168.1.0/24宛を192.168.2.100へ。

■営業所のrtx 
★ip route default gateway 192.168.2.1
ip route 192.168.1.0/24 gateway tunnel 1 
ip filter source-route on 
ip lan1 address 192.168.2.100/24 
★no ip lan2 nat descriptor 1 
pp enable 1 
tunnel select 1 
（IPSEC設定省略） 
tunnel enable 1 
★no nat descriptor type 1 masquerade 
★(ここの nat descrpitor設定を全削除)
★no nat descriptor masquerade static 1 4 192.168.2.100 gre 
ipsec auto refresh on 
dhcp service server 
dhcp scope 1 192.168.2.101-192.168.2.120/24 
★dns server どこかプロバイダのDNSサーバアドレス
dns private address spoof on

>>248
ありがとうございます。

LAN2には当然、LANケーブルで、ルータ１と接続しています。

ルータ1------（LAN2）ルータ２(LAN1)------ＰＣ

>>249
ありがとうございます。

教えて頂いたConfigですと、
LAN2にIPアドレスが割り当てられないようなので、
DHCPで受け取るか、固定で割り当ててみましたが、
ルーター１へ通らないようで、インターネット接続ができません。

まずはインターネット接続ができることが先決で、試行錯誤しています。

要するに
SV----本社RTX1000----ISP----ISP提供ルーター----営業所RTX1000----PC
こういうことか？

なら、NAT-Tだろ

何がIPsecの設定はわかっていますｷﾘｯだよ
何もわかってねーじゃねーか

>>251
IPSECどころかネットワークがわかってないと思われ

>>252
ネットワークどころか日本語がわかってないと思われ

『２重ルータ』という表現をする人にネットワークは無理

>>250
こうなってるわけですね。

ルータ1
 192.168.2.1
  |
 LAN2：192.168.2.XX (DHCP？)
ルータ２
 LAN1：192.168.2.100
  |
ＰＣ： 192.168.2.101〜

その250の構成では、通信できません。
251さんのおっしゃるnat-tを使っても、LAN1/2のアドレス帯が同じで、そもそも通信できません。
248と249についてきちんと試していただけないようですし、残念。

では、構成はその250のにして、configは238のままにして、
ルータ１のアドレスを192.168.3.1/24、dhcpレンジを192.168.3.101-120/24としてはいかがでしょう。
これでネットにはつながる……とはいえ、252さんの御懸念通り、他にも出されてない問題点がありそうなね

本社
tunnel select 営業所
# 分かってるふりして省略する馬鹿は死ねばいいと思うの
ipsec ike nat-traversal 営業所 on
tunnel enable 営業所

nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.1.100
nat descriptor masquerade static 1 1 192.168.1.100 udp 500
nat descriptor masquerade static 1 2 192.168.1.100 udp 4500
※ CTUでNATしていると想定、情報提供量不足、俺はエスパーじゃないので

営業所
ルーター１、ルーター２間のセグメント体系を192.168.254.0/24に(当たらないように適当にふれ)
ルーター１のデフォルトをISPへ
ルーター１の192.168.2.0/24をRTX1000のLAN2へ

ルーター２(RTX1000)
ip route default gateway ルーター１
ip route 192.168.1.0/24 gateway tunnel 1
ip lan1 address 192.168.2.100/24
ip lan2 address 192.168.254.2/24

tunnel select 1
ipsec tunnel 1
# 分かってるふりして省略する馬鹿は死ねばいいと思うの
ipsec ike nat-traversal 1 on
tunnel enable 1

>>255
ルーターはさんでるんだから、セグメントかえろよ馬鹿ｗｗｗｗｗ

>>255
セグメント増やしたくないなら、LAN1だけつかっとけ

>>256-257
このツンデレさんめ。
ついでに、"セグメント"と"当たらないように適当に"の具体的な説明をさしあげて下さい。
そのままでは"〜0/24"とつけそうな方ですよ？

>>258
いや、249はそのつもりで提案したんだって

>>250
255はスルーして下さい。内容は、256のおっしゃってるのとほぼ同じです。

LAN1だけ使う場合営業所はこれな

営業所
ルーター１のデフォルトをISPへ

ルーター２(RTX1000)
ip route default gateway ルーター１
ip route 192.168.1.0/24 gateway tunnel 1
ip lan1 address 192.168.2.100/24

tunnel select 1
ipsec tunnel 1
# 分かってるふりして省略する馬鹿は死ねばいいと思うの
ipsec ike nat-traversal 1 on
tunnel enable 1

>>255
よくみたら、君は質問者と違うみたいだね
君も根本的にわかってないっぽいけど

え、俺？
俺は出鱈目しかいいません

>>259
やだよ、めんどくせーもんｗ
IPsec分かってるなら、そんなもん説明しなくてもわかるよｗ

>>250
すみません。
やっぱり、255の構成か、249の構成で、まずネットへの接続を確認してみて下さい。

256や260ではネット接続までしかできません。
260で白状してるとおりです。おそらく、ipsecはつながりません。

以下のような２重ルータPPPoE接続接続なら可能だけど。

ルータ1 CTU(192.168.2.100へ転送)
192.168.2.1
|
LAN2：(PPPoE接続なのでグローバルIP)
ルータ２ RTX1000
LAN1：192.168.2.100
|
ＰＣ： 192.168.2.101〜

NAT Traversal は、RTX1000はサポートしてないね。

>>262
やっぱり、何もわかってないんだな

めんどくさいからルータ１捨ててRTXだけで運用しまえよ。

IPSec設定は、わかります

IPSec設定は、わかります

なんかみんなが言ってることわかり杉でわろーたよ
わかってないならわかってないなりに質問すればいいのに
どっか上から目線で 「○○はわかるんだから、他のとこ教えろ」みたいな印象あるから
なんか腹立つ上に、根本がわかってない臭いから教えたくないって思ってしまうw

わかってない、わかってないと仰りますが、
それをわかるように説明できないところを見ますと、
みなさんも本質的には理解していないということですね。
本質的に理解できているのなら、誰にでもわかるように説明できるはずですから。

所詮知識レベルの低い烏合の衆、みなさんの知識を超える難解な
質問をして申し訳ありませんでした。きちんとした本質を理解している業者に
解決を依頼しようと思います。

予想どうりの結果でﾜﾛﾀ

>>269
わかるように説明してやるから情報だせやって言ったら
わかってるから出さねっつったのはお前さんだぞ

お前らってネットワークエンジニアなの？

>>269
「説明できない」んじゃなくて、「説明しない」奴の方が大半だと言ってるだろw

結果を見ると、アラシばかりだね。

まともな人もいるみたいだけど、
まともじゃない人が多いようだね。

セグメント分けるしかないっていう答えしかないようだね。
結局、答えもないから、できないってことのようですね、あなたたちには。

分かるように説明するより構成を教えてもらって自分でconfig書いた方が早いから説明は面倒臭い

自演ぱねー

>>274
> セグメント分けるしかないっていう答えしかないようだね。

いや、263,258,249が言っているのが、セグメント分けせずに構成するケース。

で、本質を理解しているかどうかよりも、いまは、動くかどうかではありませんか？
連休をつかって工事して、ネットにさえつなげられなかった状況であれば、大変残念です。
まぁせっかくですし、きちんとした業者さんにきちんと伺ってみて下さいな
業者さんも公式サポートも、ここまでに出た構成と似たようなことを言うはずです。

IPSECの設定は分かります
IPSECの設定は分かります
IPSECの設定は分かります
IPSECの設定は分かります
IPSECの設定は分かります

IPsecのconfig定義がわかる　というのと
IPsecをわかっているかどうかは別だよな。

config見る限り、ルーターの設定以前にルーティングが正しく設定できてない。
そのへんを棚に上げて、期待したRes返さない住人にブーたれるなんざ生意気にもほどがある。

そもそもルータの両方の足に同一セグメントのアドレスつけてproxyarpも無しに動くと思ってんのか

IPSECの設定はわかるっていってるだろ

ちくしょー

>>280
折り返しルートって考え方がないんだろ。
同一セグメントに複数のゲートウェイ(ルーター)があるという考え方がないんだとおもわれ。
CCNAとかIPについてのテキストにはそういうパターンあまりでてないしなw

RTX1000でSHA1使ってるとかもないだろうか？

IPSecの通信量によるけど、
CPU食いつぶして、まともに通信できなくなる

>>284
それ以前の問題だと思うよ

>>284
SHA1でCPU食いつぶすとか、どんな発想だよ
公開鍵暗号と共通鍵暗号と一方向性暗号の違いが分かってんのか？
ほんとにIKEとESPの処理手順分かってんのか？

うるせーIPSecはわかってるって言ってるだろ

>>243
>プロバイダ提供のルータだったり、モデム内臓ルータだったりだからです。
という理由だけなら
>ルータ２(RTX1000)でのPPPoE接続の場合は、IPSecも接続できていますが

これが利用できない理由はなんだｗ

私の理解を超えているから

>>262
4500使うにはNAT-Traversal使うよ宣言しないと
UDPでカプセリングしないよ
宣言しないとESPのまましゃべる

どう頑張っても機器構成的にRTX1000じゃ無理ってことだね
いや、ルータ１でスタティックNATしちまえばつながるけど拠点からは
RTX1000でしかアクセスできないからな

予算的にRTX1000でっていうなら、直でつないでRTX1000にPPPoEしゃべらせるしか

俺の技術力だとここまでだな

プロバイダ提供のルータなんかは、PPPoEブリッジ機能があったりして、
ルータ2でもPPPoEをしゃべらすことができることが多いけれど、
それはちゃんと試したよね？

RTX1200でLAN1のポート分割機能を使って三つセグメントを作ろうと考えています。
それぞれのセグメントのDHCPもRTX1200でまかないたいのですが何か注意するべき点とかありますでしょうか？

>>292
8ポートあるからスイッチもまかなっちゃおうぜって感じかしら
RTX1100だかなんだかで、VLAN切ると遅くなるって話がどっかにあった
気がするから、そこくらいじゃない

遅かったら、LAN2かLAN3の下にスイッチおくこともあるなーってことを
頭の片隅に入れとくくらいでいんじゃね？

>>293
ありがとうございます。

最初はスイッチの購入も考えたのですが、仰る通り8ポートも
あるのでスイッチ側でVLANを考えなくても良いかな…と。

DHCPはProxyArpに気をつければ良いでしょうか？

すいません
DHCPリレーエージェントの間違いです。

>>294
DHCPサーバーがRTX1200よね？
だったらScope2個書けばいいんでない？
こんな感じで
vlan1はデフォルトで使ってそうだから、あれだったらずらしてくれ

vlan port mapping lan1.1 vlan1
vlan port mapping lan1.2 vlan1
vlan port mapping lan1.3 vlan1
vlan port mapping lan1.4 vlan1
vlan port mapping lan1.5 vlan2
vlan port mapping lan1.6 vlan2
vlan port mapping lan1.7 vlan2
vlan port mapping lan1.8 vlan2

ip vlan1 address 192.168.1.1/24
ip vlan2 address 192.168.2.1/24

dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.1.101-192.168.1.130/24
dhcp scope 2 192.168.2.101-192.168.2.130/24

http://jp.yamaha.com/products/network/solution/house_office1/

>>296
例も含めてご丁寧にありがとうございます。

よくよく考えたらRTX1200が全てのセグメントを管理するので
DHCPリレーなんて必要無いですね…。

もうちょっとドキュメントをしっかり読んで頭整理します！

むしろ、>>296の内容も知らないのに驚き

>>298
分かります君に、そこまで求めるのは酷だよ

ここで教えられて初めて知った人は大変だな>>299

RTX810って発売日決定した？

>>301
過去の例からすると、流通の都合などで発売日はばらばらで、
全国一斉に同じ日に発売されるわけではないと思う。

>>301
11月8日となっている販売店を見つけた。
ttp://store.shopping.yahoo.co.jp/outletplaza/40000265716.html

他を見ても、11月上旬となってるところが多い。

空気ぶった切って悪いが
KDDIの糞ギガゲートウェイ(BL190HW)の下にRTX1200をおいてるんだが
ふと最近みつけたl2tp/ipsecというものを試してみたがうまくいかねぇ
いまどきPPTPってどうよって思ってやってみた。
ヤマハ公式によると
・L2TP/IPsecのanonymous接続とPPTPのanonymous接続の併用はできません
ってなってるがどういう意味なんでしょ？
pptpの設定を突っ込んだらだめってこと単に同時利用できないってことなのかな？

pp select anonymousって一つしか設定できないけど
そのためにL2TPとPPTPの同時設定が出来ないって話かな？

質問させてください。



SRT100でネットワークセグメントの異なるdhcp scopeを3つ設定して
VLAN1にはdhcp scope 1、VLAN2にはdhcp scope 2、VLAN3にはdhcp scope 3、
それぞれのIPアドレスを割り振ることって出来ますか？
(>>296)

また、この機種は
vlan lan1/1 802.1q vid=10
vlan lan1/2 802.1q vid=20
2つのポートを別々のvlanに割り振るのではなく
1つのポートに複数のVLANを割り振る(トランクポート)ことは
できませんか。

>>306
タグVLAN（IEEE 802.1Q）　　　　LANごとに8ID

Cisco育ちなもんで「タグVLAN」って見慣れない用語だわ
メーカごとに用語が違ってめんどいね

>>308
何言ってるんだコイツ

トランクとかそういうこと言いたいんだろ。
タグVLANって言葉がわからないCisco屋なんて現場で使いたくねぇな。


そもそも、Trunkって言葉も業界やら機種やらで違うし。
　Cisco → .1qのVLAN
　その他のメーカー → 3ad等のリンクアグリゲーションの別名
　電話屋 → 外線もしくは外線を収容する基盤等を指す言葉

>>308
MACフレームにVLAN番号を記したタグ情報を挿入して、フレーム単位でVLANを
区別する方式を「トランク接続」と呼ぶのがCisco独自で、「タグVLAN」と
呼ぶのが一般的な呼称なんだが。

>>311
そんな風に呼んでるの、お前だけだろｗｗｗ

　　Cisco育ちなもんで「タグVLAN」って見慣れない用語だわ(ｷﾘｯ
　　Cisco育ちなもんで「タグVLAN」って見慣れない用語だわ(ｷﾘｯ
　　Cisco育ちなもんで「タグVLAN」って見慣れない用語だわ(ｷﾘｯ

釣ってるだけだろ

Cisco屋が使えないといわれるわけだｗ

Ciscoが独自用語使いたがるメーカだと言うことは百も承知の上で
(つかみんなそう思ってるだろうという前提で)単に
「Cicso用語でネットワーク知識身につけてるからその単語見たことなかったよ(笑)」
てな自虐的な意味でしかなかったんだが。
(もちろん意味は「タグ付きフレームを使うVLAN」だと推測できたが)

この過剰反応を見て逆に
YamahaユーザのCiscoへのコンプレックスすげーなと驚いた。
今後地雷に触れぬよう気をつける。

ルータはわかるけど
ネットワークはわかりません
…みたいな感じかなｗ

>>316
この業界いたら普通にCiscoもYamahaもAlaxalaもExtremeも触るでしょ。
資格だけ取って実機に触らない仕事してるの？

>>316
過剰反応がどうとかは別として、Yamaha使いがCiscoを憎んでるってのはないと思うけど。

自称Cisco屋がCiscoしか使わないって人も多くて
ユーザーの体力や構成等を考慮して色んな機器・メーカーを使いたい人からすると
そういう人たちは邪魔なわけよ。そういう人たちは恨まれてるかもしれないね。
あんたの発言をみてそういう人を思い出したからあんな反応になったんじゃね？

ユーザーがcisco指定してくれば使うわな。

ただ中小企業ではYAMAHAで十分だし
DDNSは重宝してる。

Cisco屋は零細企業にまでCiscoだからな
考える頭が欠如してる

現場でも、「俺Cisco育ちだから〜ｗｗ」とか言ってんのかな。

こんなのがいると最悪だな。

職員合計40人程度の零細企業でもSIからシスコのルーターを提案された。
普通の事務屋にシスコルーターの設定なんか覚えられるか！

>>316
いやいや、オレもCCNAだが勉強してる最中にちゃんとdot11qの説明で出てきたぞ？

おれの知ってるCisco屋でタグVLANという言葉を知らない奴はいなかったぞ
むしろ怒られた
つまりはそういうこと

>>323
設定変更の手間賃いただくために、かんたん設定など
出来てはいけないのです

中小零細はルーティングやVLAN、IPsecなどは要らず、
必要なのはブロードバンドルータだから
Ciscoルーターが一番向いてない用途だよな。

YAMAHAが好きというわけではないけど、
総合的に見て優秀なブロードバンドルータが他はほとんどないよな。

>>327
AlaxalAのAX620R-2105、NECのIX2105
100Mでよけりゃ、同じ2005が対抗馬になる
意外と優秀
ま、AlaもNECも中身一緒だけどな
これなんかも中身同じ
http://www.ntt-west.co.jp/news/1110/111011a.html
RTX810よりは価格は高め8万台(1Gbpsモデル)

コマンド体系はエセCisco

最大の弱点はファーム

センチュリーシステムズも候補にあがるかな

富士通のSi-Rも悪くない。
ヤフオクで安価に仕入れ、定価の半額で納入。
俺も儲かる。お客も半額で変えて喜ぶ。

>>330
Si-Rの中の人やってたことあるから知ってるけど、
あれはフィルター関係が弱いからガリガリフィルター書くような使い方には向いてないよ。

ただ、コストパフォーマンスは高いと思う。
普通にネット繋げてＮＡＴで垂れ流すだけなら十分。

零細SOHOはともかく、今時は中小でもルーティングやVLANは
使うんじゃね？FletsVPNWideとか使ってるとIPSecも使うわな。

出てる機種IPsec使える
VLAN使うところは少ないかな

>>328
YAMAHAとAllied-Telesisはwebでファーム落とせるけど
他のメーカーは大抵、保守入らないと正規で入手できないんだよな

客先に中古のIXがある時に悩む

だから俺はヤマハが好きだし客先に入れるときはいつもヤマハ。
ファームの入手しやすさが選定の決め手。

>>334
富士通もできるよ。
yamahaみたいに、全自動とは行かないけど

>>334
アライドは新型から落とせない

l2tpテストしてみたんだけどマジ激遅なのな
iPhone4sで速度測ったらwifiで一瞬だけ600kbpsでてあとは100kbpsでない

なにかチューニングするところあるのかなぁ？
ちなみにpptpだと7Mbps位出る
直接だと20Mbps

VPN組む時なんですが、LAN側に2つセグメントがある場合2つトンネル作成しないとダメ？

lan1/192.168.1.1
lan2/192.168.2.1
lan3/WAN
みたいな感じ。

混ぜるな危険なら。

ルーティングがちゃんと追える知識と管理体制なら問題ないんでない？

>>339

普通は１つでやる。
例えばRTX1200のLAN1はLAN分割で８つのセグメントになるが、
８つも書くのは面倒だから普通はまとめて１つのトンネルでやる。

[余談] LAN分割＋secondly だと 16 になるのかな?

でも、２つ作ることは可能。
セグメントごとに書くことのメリットは、面倒なだけであんまりなさそうなのだが....
show status tunnel でセグメント毎の転送量が分かる... かな？
何かメリットはある？ --> 識者のみなさん

>>340-342
どうもです。うまくいきました。
RTXってあまりいじったことないので戸惑ってしまいました。
慣れると使い勝手いいですねこれは。

L2tp/ipsec au版 iphoneで使えますか

>>344
auは全部プライベートアドレスらしいので、通らないんじゃないかな。
SBもプライベートアドレスに移行中なのでそのうち使えなくなるだろうけど。

鳴り物入りで発表したのに半年も経たずに使い物にならなくなったね
これで一般の人もIPv4枯渇を実感してくれるといいのだが

素直にcisco使えばいいじゃん

ってことは携帯からVPNにはPPTP使わないとダメって事？

スマホからRTに繋ぐことは出来るが、RTからグローバルIPV4アドレスを持たないスマホに繋げないってだけでは？

AndroidだったらOpenVPN使えばいいんじゃ

なんでスマホはIPSecVPNに対応しないの？
スペック的にできないの？

EasyVPNならiPhoneもPCも同じ設定でIPSecいけるよ

>>338
全く同じ状況
上りだけしっかり速度が出る

iphone4sならハードウェア性能上がってるからと
淡い期待したが全く実用レベルじゃない

こんな品質でよくも堂々とリリースできるな

ここの書き込み見てたので購入前に
電話サポートで聞いて見たんだけど
「そんな報告は確認されてません」
って一蹴されたわ

信じるべきは
公式サポートより2chだった・・・

上りだけ出るならiPhone側の処理能力不足じゃないの？

CPUの利用率はどうよ？
winのクライアントソフト使った場合はどうよ？

Ciscoで遅いと聞いたことないし
Linuxでのl2tp/ipsecも速度問題ない
Yamahaの問題としか。。。

Ciscoに変えるのは事実上無理なので
Linux機使ってyamahaルータネットワーク内に安全にアクセスする方法ないでしょうか

Linuxサーバ⇔iphone
でのl2tp/ipsec接続速度は問題ないことを確認済み、という意味です

>>358
オクでCiscoでいいんじゃない？

1200の下に810置こうかと思うんだけど
810はこっちでいいの？それともハードウェアの方？

ここでいいと思う

WINDOWS7から、rtx1500あるいは、rtx1200に対して、VPNを張りたいと思います。
その場合、可能は通信方式は、pptpなのか、ipsecなのか、どちなのか教えてください。

また、rtx側のvpn用のポートはオープンにしていなければいけないのは分かりますが、
イニシエーターとするwindows7側では、ポートを開いている必要はあるのでしょうか。
tcpや、udpはポート番号を持っているので、クライアント側ではマスカレードでこれらの通信を入力できます。
しかし、特殊なポートとして、pptpではgreプロトコル、ipsecではespプロトコルを使うと思います。
クライアント側のファイアーウォールでは、これらのプロトコルの入力ができるように静的にopenしている必要があるでしょうか。

マクドナルドのLANから、VPNで私設のrtxルーターへ接続したいわけなのです。
よろしくお願いします。

>>362
金かけたくないならPPTP
IPsecならwindows標準のでは無理、別途クライアントソフトが必要

ポートオープンは必要

>>363
さっそくレスしてくださってありがとうございます。

別途ソフトが必要ならIPsecでの実現はやめたいと思います。
Windows7のPPTP機能でVPNを張りたいと思います。

Windows7クライアント側もポートのオープンが必要なのですか。
喫茶などにある無線LANでは無理でしょうか。
pptpは、greとtcpの固定ポートなのですよね。
プライベートアドレスが配布されるようなところでは無理ですね。
wimaxなんかを契約してグローバルアドレスをもらったほうがいいですよね。

クライアント側でポートオープン不要のVPNは、ソフトイーサだと思うけど、
いちいちサーバーを立てなければいけないのが面倒だ。

>>364
>喫茶などにある無線LANでは無理でしょうか。
機器の設定による。
VPNパススルーを設定してなければムリだから当てにしない方がいいよ。

ソフバンのイーモバ使ってるけど
普通にRTX-1200やRT-58iとPPTPしてるよ。
もちろんWIMAXでもいけるでしょう。

PPTPは「職場への接続」とかいう訳のわからない
ネットワーク設定のところで登録したら
ダイアルアップのように接続されます。
ポートのオープンとか考えなくていい。

てかルータの設定も出来るん？
「ヤマハルータでつくるインターネットVPN」
とかに書いてあるよ。クライアント・サーバどっちも。

>>365
>VPNパススルーを設定してなければムリだから当てにしない方がいいよ。

そうですね、全ての箇所で対応していないのなら、公衆LANを利用する方法は避けた方がいいですね。確実な方法を選択します。
喫茶店などのファイアウォール越しにpptpやIPsecを使って、rtxと通信しなければならない場合、そのファイアーウォールのtcpポートなどを開ける必要が出てくるのでやっぱり無理ですね。

>ソフバンのイーモバ使ってるけど普通にRTX-1200やRT-58iとPPTPしてるよ。
やっぱり、グローバルアドレスが必要ですね。

>PPTPは「職場への接続」とかいう訳のわからないネットワーク設定のところで登録したらダイアルアップのように接続されます。
>ポートのオープンとか考えなくていい。

WindowsはXPから標準でファイアウォールをサポートしていますが、
やはり標準のPPTPを使えば、必要なポートについてWindowsがファイアウォールも開けてくれるのだろうと思いました。
ただし、グローバルアドレスが直接Windowsのネットワークインターフェイスに付与されている場合だけ可能なのだろうと思います。

>「ヤマハルータでつくるインターネットVPN」とかに書いてあるよ。
ありがとうございます。参考にしたいと思います。

SSL-VPNに対応しないかな。

>>367
rtxが対応すると、どんなメリットがある？

>>368
社外からポート意識しないでも使えるからリモートアクセスが便利になるじゃん。

>>369
SSL対応のアプリでSSLのポートにアクセスして、オーバーSSLで通信をするわけだね。
で、このSSLのゲートウェイが復号化してプライベート領域のWEBサーバーなどに渡すのかな。
でも、WEBサーバーからのレスポンスはどうやってクライアントへ帰っていくのかな。
SSLのゲートウェイがカプセル化していたパケットのヘッダを書き換えて、SSLゲートウェイを返信アドレスとするのかな。
そうやってWEBサーバーから返答されたパケットを受け取ったSSLゲートウェイは、
インターネット側のクライアントへ送り返すのかな。

とても複雑そう。SSLゲートウェイでは動的NATテーブルのような仕組みを使って、
イントラネットとインターネットの通信を中継しているのだろう思うけど。

しかし、そもそも、インターネット側のクライアントアプリは、
いったいどうやってイントラネットのWEBサーバーのアドレスを指定するんだろう。
ひょっとして、SSLゲートウェイの各ポートが1対1に、イントラネットの各サーバーを指定するとか？

どうなんだろう。
いちいちマッピングが必要になって自由にイントラネットのサーバーを指定できないなんて、使い道なさそうに思った。

繋がってしまえばLANに参加したことになるんだから、後は難しく考える必要は無い。
専用クライアントなら起動するだけ
webサーバーならお気に入りから開くだけ

>>370
SSL対応アプリ？
トンネルするだけだからクライアント側はVPN越しにローカルIP振られるだろ。
まったく知識が無いわけでもなさそうだから、何か思い切り勘違いしてるのか？

>>371
YAMAHAが専用クライアント出してくれたらさらに余韻だけどな。

>>372
>何か思い切り勘違いしてるのか？
多分、そうだと思う。

ssl-vpnって、ipsecとどう違うの？

ただの勉強不足か

>>372
> YAMAHAが専用クライアント出してくれたらさらに余韻だけどな。

何でYAMAHAがクライアント出すの？
その事業所のシステムはその事業所が用意する物だ

PPTPならWindows標準ソフト、IPsecなら専用ソフトで接続するだけ

>>375
SSL-VPNの話題なので、当然SSL-VPNクライアントのことなんだが・・・。

>社外からポート意識しないでも使えるからリモートアクセスが便利になるじゃん。

PPTPで充分

>>366
明示的にPC側にフィルタかけてない限りはフィルタについては意識しる必要ないよ
ほとんどの公衆LANはPPTP通してるのが多いよ

絶対確実に接続する必要があるなら携帯データ通信になるだろうけどね

SSL-VPNなら特別な処理をしてくれるとでも思っているんだろう
つまり>>374

>>377
PPTPのポートはどこでも空いてるわけじゃない。

今後、スマホで使うならL2TPかも知れないがな。

SSL-VPNっても
SSL技術とリバースプロキシ技術使って
httpsや?POP over SSLみたいなクライアント側のSSLを実装してリーバスプロキシで認証ってのが多い
LAN間や不特定多数のプロトコル通すためのトンネル掘るてのは少ないんじゃね？
そっち用途だとやっぱりIPsec使うでしょ普通

>>380
ドコモの場合はSPモードじゃL2TP使えんからなぁ
他のキャリアも同じ感じみたいだし

>>373
> ssl-vpnって、ipsecとどう違うの？

上であるようにVPNパススルーみたいなことやらなくてもSSLポートで通信できる。
IPsecと比べてこの点が違う。


で、IPsecて、PPTPとどう違うの？

スマホってipsecとかpptpつかえんの？

スマホっていうかandroidはL2TPとpptp

スマホからpptp使って社内接続できるのか
でもpptpってRTの機能じゃないのか
RTXになるとipsecだけだよね

SSL-VPNってのは>>381の言うとおりの内容を含めてSSL-VPNなわけで、
単なるSSLなのにどう使うの？みたいな指摘は勉強不足だと思われ

>>386
RTXでもpptp使える機種あるよ
詳しくはWebで

>>383
PPTPは、認証とか、暗号化の能力が劣るというイメージがある。

>>386
PPTPは、RTX1500も、RTX1100も、対応している。
ただしいずれも、汎用cpu処理で、ハードウェア処理ではないので、負荷が大きい。

外部から社内ネットワークに接続するために、
ファイアーウォールを無視できるソフトイーサーを使おうと思います。
http://www.softether.co.jp/jp/vpn2/download/

これって、無償版と優勝版ってどう違うんだろう。
スレチ自覚しています。

>>389
セキュリティの強度が必要であれば
PPTPトンネル内でさらにSSLなどや認証使えばよろし

安全性云々以前に速度が遅すぎて話にならない。
リモートメンテ用途あたりだとお手軽で早いからいいけど
IPsecの代わりに拠点間用に使うのはあり得ない

PPTPもIPSecも試したけど、
IPSecは拠点間で繋げればルーター同士で常時接続してるのが利点だよね。
PPTPだと一回一回認証して繋げ直さないといけなくて不便だった。

>>381
IPsecはホテルとかで通らないことがあるので、
企業用のVPNは徐々にSSL-VPNに移っていってるよ。

いろいろ勘違いしている人もいるけど、
今時のSSL-VPNってのは単にプロトコルをラップするするのではなく、
トンネル越しの仮想インターフェースを使って
L3的に社内ネットワークに直接つなげられる。
CiscoのASA、F5のFirePass、JuniperのSAあたりが定番。

SSLVPNの便利さは意外と知られてないよね。
でも、お手軽に接続できすぎてセキュリティとの両立も課題になる。

ワンタイム実装するとかなりセキュリティあがるけど、管理負荷やコストも増えるし。

IIJ SEILシリーズがSSLVPN対応したと聞いて、RTX1200買ったのを公開した。
古いPCにSEIL/X86でも入れて遊んでみるか…。

規制の厳しい会社でもSSL-VPNを使えば
エロサイト見放題なのかな？(たとえ話ですよ)
今日、お客さんの所行ったら
Googleカレンダーさえはじかれていてびっくりした。
その会社は会社のメールにg-mail使ってるのに(笑)

>>397
SEILのそれは触ったことないからはっきりとは言えないけど
ルーターやらFW付属のSSLVは大抵怪しいからお勧めしないよ。
専用の箱買う元気がないなら、自分で鯖立ててソフトで組んだ方がいいくらい。

>>398
それはproxyのコンテンツフィルタで止めてるんだろうね。

>>399
>それはproxyのコンテンツフィルタで止めてるんだろうね。
もちろんYesです！

ん？PC側と直接外部セッション貼られちゃった場合にproxyで出来ることって何？
コンテンツフィルタで、そのSSLの接続先を弾いちゃうってこと？

>>401
ごめんなさい。説明不足でした。

proxyでのフィルタリングで規制を厳しくしてる会社で
SSL-VPNを張ればコンテンツ規制を逃れられるかな？って意味です。

>>402
ごめん、俺がアホだった。

>>397
SSLVPNじゃなかった…SSTPだったわ。ごめん。

超初歩的な質問で申し訳ないんですが
rtx1200でDHCP鯖とMACアドレスフィルタリングやってるんですが
無線LAN経由でAndroid機にIP割当らなくて困っています。
Win/Mac/Linux/iOSは問題ありません。
無線親機はBuffaloの家庭用・法人向け両方使ってダメでした。
無線親機をルーターにすると直接DHCP割り当ては出来るんですが
ブリッジにしてRTX1200から貰う形にするとAndroid側は
DHCPサーバーが見つからないエラーになります。
RTX1200のログでは該当MACアドレスから依頼が来てるっぽいんですが
払い出しがされていないように見受けられます。

また、似たような運用されている方でうまく行ってる無線親機があれば
教えて頂けると助かります。

Android側の問題
Androidの場合は、Wifi Staticというアプリを入れる

>406
即回答有難うございます
Androiｄの不具合だったんですね
お陰様で無事設定できました
ありがとうございました

>>405-407
>ブリッジにしてRTX1200から貰う形にするとAndroid側は
>DHCPサーバーが見つからないエラーになります。
>無線親機をルーターにすると直接DHCP割り当ては出来る

>Android側の問題

不思議ですね。ブリッジにすると何がどう変わって
払い出しを受けられないんだろうか。

症状だけ聞くと、DHCPサーバの衝突を一番に疑ってしまう。
Androidの問題だと即断できる理由は俺も知りたい。

DHCP broadcast flagの問題とか？

こっちもAndroidとYAMAHA RTのDHCPサーバーとメルコ無線LANルーターを無線中継器としてのみ使用してる。
固定アドレス取得が正常にできないのでWifi Staticを入れてる。

DHCPサーバーが１台しかない環境でも起こるのDHCPサーバーの衝突は原因ではない。
DHCPでMACアドレスによる固定アドレス配布をすると、Android側はそのアドレスを無視して、DHCP予約の未使用アドレスを取得して勝手に名乗ってしまう。

windowsサーバーのDHCPだと正常に動作してるけど・・・・

>>412
もっとコトバを多く。
Androidへの経路途中で、ブリッジは通しているのですか？

バッファローのWAPM-APG300N通して使ってるよ

>>414
了解です。ありがとう。

>>412を聞いて、思い出したけど、
サービスパック１を当てる前のWindows7も、RTXのDHCPでアドレスを取得できないことが頻発したなあ。
非常に時間がかかったり。
サービスパック１を当ててからだと思うけど、今は安定している。

RTXのDHCP機能が、Androidに合っていないということも考えられませんか。
ブリッジの存在の有無による差はどうかわからないけど。

うちもはRTX1500に、WAPM-AM54G54とWAPS-AM54G54をつないでいるけど、
特にDHCPで問題を起こしたことはないな。
アンドロイドはIS01

WindowsサーバーをDHCPサーバーにするとは限らないしな。

AD使うならDHCPやDNSはWindowsのが良いんじゃないかな。

場合によるけど、Update適用も早々にしにくいWindowsサーバーを外部ネット接続幹線経路にするのはどうかと思う。

>>419
？
DHCPでもDNSでも外部にさらす必要はないけど？

>>418
ADするならWindowsDNS必須ですけど

環境による
うちはWindowsサーバーをDHCP/DNSサーバーにするなんてありえん

まぁそれぞれだわな
ADつかってりゃDHCPやDNSやWINSはセットで使った方が楽だし
不安定な事はないしトラぶったことも無いな

>>421
DNSが必須なだけでBINDでも平気

>>421
勉強不足晒すなよ。必須じゃねえよ。

ま、良いんじゃないかとは書いたが、そもそもLDAPが基本なところなんかもあるし、
でかいグループ企業の基幹ネットワークでWindowsで楽はできない現実はあるよな。

おまえら AD インスコしたことないの？
外に向ける必要はないけどね

BIND 使って、どうやって AD が動的にDNSのレコード更新するわけ

できたとしても手間かかるし安定度とサポートを期待できないと思うがｗ

AD 入れると自動的に DNS も一緒に入るの知らないのか

知らないんじゃないかなｗ

BINDとの連携くらいググって解決しろよ派遣SEどもがｗ
一緒にインスコされるからそれしか使えない？
いかにもWeb管理画面が無いとルータの設定もできないような底辺らしい発想だわｗ

何言ってんだこいつ？

ルータの設定をする時点でだいたい底辺部隊だ。

BIND使う必要があるなら別に立てるけどな
MSがサポートせんやり方、客が認めるのは少ないんじゃね？

あえて手間かけてリスク負って BIND 立てるメリットが1つでもあるのか知りたいところだが

まさか、ADのDNSに外向けドメインのレコードも埋め込んでポートマップしてる痛い人？

規模にもよるけど
外部公開してるサーバー群があるのであれば
外向けは別に立てて内部ネットワークにはおかないでしょ普通は

まさか、BINDで建てる理由が外向けと内向けを一生にする為とかいわないよね？

一生じゃなくて一緒ね

恥ずかしい下流のひとたちめ

BINDでAD運用するのが上流の仕事ｗ

個人的には
NTドメインの頃はWindowsDNSは良くなかったのでBINDを利用していました。
ADになってからWindowsのDNSは問題ないし導入が楽なので利用しています。
今でもBIND使ってる所は、NTドメイン時代の名残

いい加減論点をズラすの諦めてお前死んだら？

421 名前：hage[sage] 投稿日：2011/11/10(木) 11:37:25.17 ID:???
>>418
ADするならWindowsDNS必須ですけど

NTドメイン運用はDNS自体を利用してなかったから
BINDだろうがMSのDNSだろうがどっちでもよかった

ADなってくると話は違う
密接にかかわってくるし、なによりサポート外
名残りというのは違うと思う

まぁ、論点というかこの話題自体がスレチだがなｗ

外向けのWEBやメールやDNSなんかは全部UNIX系だが
ADをBINDで挑戦しようという気はまったく起きないな

中途半端にAD使うぐらいならUNIX系でsamba使った方がよくね？

AndroidのDHCP固定アドレス配布がAD前提でしか作ってない半端者なのが問題

話はだいぶそれてるが
AndroidのDHCP固定アドレス配布とADは全く無関係だぞｗ

いや、ここまでの話の結論だと、AndroidのDHCP固定アドレス取得がADのDHCPからでしか出来ないって成ってる。
報告例が少ないけど。

ああ、ADとWindowsのDHCPサーバーはごっちゃになってるかも知れん。

>>446
ここまでの話では「WindowsのDHCP鯖からは取得できる」
「RTのはダメだった」という話だけで
他のは一切ダメなんて話は出てないよ。
少なくともLinuxのdhcpdでも問題なく固定アドレス取得できてる。

経験則的には
DHCPは鯖-蔵の相性問題で謎トラブル結構発生するものだと思う。
特定端末と特定DHCP鯖の組み合わせだけ何故かIPアドレス取得できない
てなことは過去に何度も経験してる。
Linuxのdhcpd使ってる環境ではその手の問題起きたことないから
俺は基本そっち使うことにしてる。

ADのDHCPって何？

ADの中にいるDHCPサーバーからアドレス取っていった端末のアドレスとホスト名のペアを
DHCPサーバーからDNSに対して登録かけるこように設定することが出来る。
(端末がDNSに自身の登録要求ださなくても)

>>450
それって、ADないとできねーんだっけ？

>>443
もう、昔のことで忘れたんだが、Windows 2000のADを構築する時に
逆にMS-DNSでトラブリまくりで、BINDでやったユーザーが
そのまま、その流れでBIND使ってる
セットで色々やってて、ADでじゃ無くて他の関連だったと思うが
いい加減、MS-DNSにしたいところ
2008R2へのアップデート時には何とかしたい・・・

ここを参考にした
ttp://technet.microsoft.com/ja-jp/library/cc985025.aspx

あ、補足すると、最新のBINDだとCheck-namesの設定は必要なんで
BIND使うよって奇特な方は、ご参考までに

>>451
登録代行の話と読み取ったがADがある必要はない
DDNSに対応していないレゾルバのために存在する機能

AD使うならDHCPやDNSはWindowsのが良いんじゃないかな。
に対して、
ADするならWindowsDNS必須ですけど

この流れが意味不明
死ぬしかないと思う

どこの掲示板でもそうだけど、簡単に死ぬとかいうの、日本だけだ。
いちいち重たすぎる表現なんだな。そのもっとも重たいのが、「死」という言葉ね。
でも、見た目気持ち悪くて、気分を害するから、
もっと普通の表現にしたらどう。

半島の人って日本の漢字によくケチつけたりしてるよね

>>455
IPsecは分かります君と同類ってことだろ
DNSが必須なだけでSRVレコードさえ扱えれば
別にMicrosoftのじゃなくてもいいんだが
それを知らなくてMicrosoftのが必須だと思い込んでたってだけさ
DCの発見・選択のメカニズムなんて知らないと思われ

>>455
この流れっていうか言ってるのは一人だろ

そこしか突っ込むところ無いの？

>>459
ｌこれ全部お前なの？

432 名前：anonymous[sage] 投稿日：2011/11/10(木) 14:36:30.14 ID:???
BIND使う必要があるなら別に立てるけどな
MSがサポートせんやり方、客が認めるのは少ないんじゃね？

433 名前：sage[sage] 投稿日：2011/11/10(木) 14:40:32.95 ID:???
あえて手間かけてリスク負って BIND 立てるメリットが1つでもあるのか知りたいところだが

434 名前：hage[sage] 投稿日：2011/11/10(木) 14:43:58.00 ID:???
まさか、ADのDNSに外向けドメインのレコードも埋め込んでポートマップしてる痛い人？

435 名前：anonymous[sage] 投稿日：2011/11/10(木) 14:49:48.34 ID:???
規模にもよるけど
外部公開してるサーバー群があるのであれば
外向けは別に立てて内部ネットワークにはおかないでしょ普通は

436 名前：anonymous[sage] 投稿日：2011/11/10(木) 14:52:37.14 ID:???
まさか、BINDで建てる理由が外向けと内向けを一生にする為とかいわないよね？

437 名前：anonymous[sage] 投稿日：2011/11/10(木) 14:52:56.62 ID:???
一生じゃなくて一緒ね

438 名前：anonymous[sage] 投稿日：2011/11/10(木) 14:55:34.50 ID:???
恥ずかしい下流のひとたちめ

439 名前：anonymous[sage] 投稿日：2011/11/10(木) 15:12:00.31 ID:???
BINDでAD運用するのが上流の仕事ｗ

はい、もう終わり。
争いしか出来ないんだったら、遊ばなくていいから。

譲り合いの心が必要ですね。
それは運転者の心得と同じです。
もめるのはたくさん。

難癖の付け方が>>370の人に似てるな。
自身の無知を晒した挙句、必死で話題を逸らしてるところが。

この間rtx1200の設定していて気になったんだけど、
netvolanteの管理サーバって結構あるんだね。
これまでaa0しか割り当てられなかったから気づかなかったんだけど。
sakuraってやったらsakura.ah4.netvolante.jpまであった。
どんだけsakura好き多いんだ。

登録消すので試行錯誤してaa2くらいまで増やしたことあるけど
ahってすごいな

>>463
VPNで利用している人は、けっこう多いんじゃないかな。

「sakura」「ocn」なぞ「test」の足元にも及ばん

>>466
サブドメインが何になるか気になって試しに作りたくなってきた

L2TP遅いのか
810買う前に、ここ見といて良かったわ

>>468
ciscoやlinuxでやった場合は速いらしいんで
yamahaの問題である可能性が高い
rtx1200でのスループットカキコしたの俺だけど
cisco等でどれだけスループット出るのかわからん。
iphone4sで誰か試してくれないかなぁ。

RTX1500 の Gigabit 対応後継製品はでないのだろうか？

NEC IX2105、アライド AR560 と天秤にかけられる製品はないのか？

>>469
特定の環境下だからじゃねーの？
そんなに遅かったらヤマハが問題にするでしょ？

>>471
であったら嬉しいんだがな
そもそも特定環境向けの機能だしなぁl2tp/ipsec
速いよって話全く聞かないし
俺もそんな遅いのヤマハが出すわけねーじゃんって思ってたよ
だが実際やって遅かった

サポートには聞いたの？

@ML「RT57iでIPSec」って、すごい大漁だな w

>>472,473 l2tp/ipsecのファームが出た時、既に何人かが検証したし、サポートに問い合わせもしているよ
で、iPhone、Android共に速度出ないと言う結果 → 今のところ使い物にならない

サポートはそれが普通の速度とか言ってたの？

>>476
もう自分で聞けよ

まったくだｗ

>>476 過去ログ読めと小一時間と言いたいのだが、、
サポートは、l2tp/ipsecに対して特に速度制限掛けてないとの回答だった

ただ、iPhone、Android側は l2tp/ipsecで接続するにあたって、ユーザー名、パス入れるだけで調整する項目が無いんだよ
つまり、調整はルーター側でやってあげなきゃ駄目
一方で、他社メーカーはPPTPと遜色ない。もしくはそれ以上の速度で接続出来ている
l2tp/ipsecに関して、YAMAHAルーター側に調整出来そうなコマンド無いし、お手上げ状態
今のところ俺的結論としては、YAMAHA側のチューニング不足

サポートが遅い事を認識してるかどうかって事を知りたかっただけ
特に速度制限掛けてない＝問題視してない
って事になるから直す気無いって事でしょ

@yamaha_sn宛にツイートしようず

>>480
だから自分確認すれば早いと思うよ

会社から電話がかかってきて、ネットワークもIP電話もつながらないとのこと。
不安を覚えながら調べてみるとVPNが切れていた。PPインターフェイスのレベルで切断されているらしい。
というのは、インターネットへのhttpアクセスもできなくなっていたから。
電源のoff onを行ってもらい、回復した。
残念ながらログを別サーバーに記録していなかったからログが全部消えて調べようがない。
多分、ハングアップしていたのだと思うのですけど。

あと、ある外部のホストから内の拠点ルーターに対してpingを打ってきているみたい。
各拠点で数分おきにリジェクトログが残っていた。各拠点で共通しているのは、同じispを使っているということ。
なんか気になるなあ。

朝日ネットって、定期的にかなり頻繁にping打ってきますか？
icmpがリジェクトされているの、どうやら、朝日ネットらしい。

そういやauでSPFレコードのnoneをスルーして届いたSPAMがいっつもasahinetドメインの端末だったなー
踏み台多いのかね？このISPは。

>>485
古いISPだし、月額840円のUPで固定IPを1つもらえるから、まとにも管理
できてない「お家サーバー」多いから。
root取られて、好き勝手されてるのに気がついてないの多いんじゃない。

>>486
なるほど、そんな背景があったのね。

一時期結構な頻度で届いててイラっとさせられたものです。
去年auがSPAM対策強化したみたいで、
それくらいからぱったり来なくなったんだけどね。

>>483
RTX1200に代えるべし

>>483
RTV700（中身はRTX1000に近い)でよく起きたなぁ
原因不明のフリーズ

RTX1100にリプレースしたら直った
config はほとんど変更してなくて改善したから、何か問題を抱えていたのだろう。

RTX1500よりも、RTX1100の方が後のものですからねぇ
性能が追いつかないRTX1100には替えられないけど、RTX1200には替えられるかなあ。

>>490
電源オフにしてもログが残るのが地味にいい
ログサーバー立てられるほど金が無いよってお客さんでも
ある程度状況わかるしね

RTX1200って、電源切ってもログ残ったままになるのか。

microSDスロットがあるからそこを利用できるでしょ。

microSDは書込みが遅いからそういうハング直前の記録には使えない

microSDいらずで、show logが残ってる

再起動でログが消える機種でSDにログ保存の話でしょ

syslogd なんて簡単に建つんだから
適当なサーバーに仕込んでおけばいいんじゃないのか

>>497
いろんな現場があるんだよ。

microSDじゃなくて普通にSDにしてほしかった・・・

>>499
どっちも激安じゃん？
MicroSDのほうがデータ消えやすい気がするが

速度だよ、速度

>>501
ルーター如きに速度なんているか？
クラス10の買っとけばそらなりに書き込みも早いぞ？

SDはハング直前でも書き込めて
MicroSDは間に合わないってかww

l2tp/ipsecが遅いのはファストパスに対応出来ていないのが原因らしい
spモード対応を考慮にいれて対応中と聞いたけどね

どこ情報？

>>504
それにしても遅すぎ
下り100kbpsでないんだぜ？
SPモードってドコモのそれか？

sdも、microSDも、ハングするとバッファからの書き込みは両方間に合わないよね

ま、microSD搭載機種は、電源オフってもログ残るんだけどな

ま、microSDにとらわれていて、内蔵メモリのこと忘れていました！

RTX系ってどれくらいのスパンでリプレースしてる？
最近のも7年程度は持つんだろうか

保証期間が有効な限り

RTX3000出ないんかねぇ
IPsecのスループットももうどんどん抜かれていってるし
I/Fは一部100BASE-Tだし・・・メモリも少ないしなぁ・・・

失敗した
RTX3000の後継

YAMAHAのボリュームゾーンはCiscoがあんまり拾えない

　SOHO向けルータ/少拠点間ルータ/ハイパフォーマンスブロードバンドルータ

あたりだから、Ciscoや他のエンタープライズ向けルータとガチンコになる部分には
積極的に投資しないかもしれないね。個人的には3000の後継ってそろそろ見てみたいけど。

rtx1200がそこそこ健闘している
VPN対置数は、rtx3000にはぜんぜん及んでいないけど。

>>504 それ本当だったら物凄く嬉しいのだが
てか、真面目に対応して欲しいわ

サブネットに対して決定するipアドレスSCOPEを、クライアントに付与する方法はあります。
それから、特定のmacアドレスに特定のアドレスを付与する方法もあります。
しかしところで、
あらかじめリストアップしたmacアドレスを持つクライアントに、
そのIPアドレスSCOPEから自動的にIPアドレスを付与することなんてできますでしょうか。

前段にL2スイッチ置いてMACフィルタすれば？
どうせMAC登録するんだから、固定で付与しても手間は変わらんと思うけども

>>518
rtxだけでは実現不可能なわけですか。
L2スイッチ、確かYAMAHAが出していたなあ。

しつもん。
>>517の文脈の「IPアドレスSCOPE」って何?
DHCPのアドレスプールのこと?

ごめん
何度か読み直したらなんとなく分かったような

一行目の「サブネットに対して決定するipアドレスSCOPEを、クライアントに付与する」で???となったんだが
「ipアドレスSCOPE(からIPアドレス)を、クライアントに付与する」の意味?

>「ipアドレスSCOPE(からIPアドレス)を、クライアントに付与する」の意味?

そのとおりです。訂正ありがとうございます。
たしかに、スコープ丸ごと付与するって意味にとれてしまうな。

>>519
いや、つか、RTXでMACフィルタ使ったこと無いから、そう書いたんだが
RTXのMACフィルタじゃダメなのかね？
フィルタ対象外の機種だったらスマン

>>517
特定のアドレスを付与しないのは
クライアントの数がDHCPプールの個数を超えているのかな?

ちなみにルーターでは無くLinuxマシン等にDHCPサーバーやらせれば
そのあたりは柔軟に設定出来ますよ。

RTXに、MACフィルタなんかあるんですか。
どういう機能が提供されます？

登録したMACアドレス以外の通信ははじくことで、
DHCPによるアドレスの付与もさせないようにできたらいいのですが。

>>525
似たところでは、DHCP認証だろうか
ttp://www.rtpro.yamaha.co.jp/RT/docs/dhcp-auth/index.html

http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ethernet_filter/ethernet_filter.html

>>525
キーワードがでてるんだから、少しはマニュアルみろよ

>>526-527
ありがとうございます。
思っていることが実現できそうです。

>>525
ＭＡＣ　ｆｉｌｔｅｒ
ttp://jp.yamaha.com/products/network/solution/mac/

>>530さんのは一番新しい書式なのでしょうか。

古い書式
# ethernet filter num kind src_mac [dst_mac [offset byte_list]]

新しい書式
ethernet filter 1 pass-nolog (接続を許可する端末1のMACアドレス) *:*:*:*:*:*


古い書式はrtx1100でも使えるけど、
シンプルな新しい書式はrtx1100では使えないようだ。

なにがどう違うんだろう。

今更だし速度問題で使い物にならんと思うがL2TP/IPsecでWindowsXP端末繋がった
暗号化方式は3DESしかダメでAES選ぶと繋がらない
コンフィグはスマホ用と同じで良かった

Windows7は今のところ繋がらないし解決方法も全然わからん

windowsに関しては別途VPNクライアントソフト購入しかメーカーは保証してないと思う

rtx1200 RTX1200 Rev.10.01.34
pptpで会社内のファイルを自宅Windows7 Pro Sp1 cpu2600k で、ためしに社内のpcからファイルをダウンロードすると1.4MB/sくらいでます。
会社光回線・自宅集合住宅の光回線。
ipsecでshrew vpn 2.2.0 beta2 2.4MB/sくらいでます。

rtx1200 cpu使用率20% windows7 cpu使用率 3%ほど。

ipsecで接続したあとに、社内のサーバー等にpingを打っても返ってきたり、こなかったり。
ファイル共有pcも見えたり見えなかったり。（ネットワークの一覧ではありません。）

pptpだと、pingは必ず返ってきます。\\ipaddressでファイル共有が見えなかったりするのもありません。
外からの接続は、pptpユーザー3　ipsec(今テスト中です。）私のみ。

エスパー内容ですが、原因これってのあれば教えてくださいませ。

>>534
>>533

標準のだとアグレッシブだめなのね……

pptp、ルーター間のipsecは問題ないけど、ipsecのヤマハ謹製クライアントソフトでは、一部パケ落ちがある。
用途に依るけど、PCでより完璧な接続を求めるなら、現状はpptpと成る。
対応機種は、RTX1200、NVR500、RT58i等
ヤマハ謹製クライアントソフト不使用によるipsecの不具合は論外。

それ、ヤマハに指摘した方が良いんじゃね？
そしたらソフトもよくなるっしょ。

>>535->>537
レスありがとう。
動作保証外なのでしたらしょうがないですね。メーカー製品じゃないから当然でしょうけども・・・

メーカー謹製でも、一部パケットが落ちるのでしたら、ちょっと困りますね。

先ほど、yms yms-vpn7をダウンロードして試用を開始してみたんですが、接続まではいくのですが
内部pcやrtx1200に対してpingを打っても返事が返ってきませんでした。

yms-vpn7のログ確認をしたところ、
EnginePcketHandler/engine_packet_handler.c:177/engine_packet_handler_rule_lookup: no policy rule found,using default ruleと
いうログが0.5秒間隔で接続中にあがってきます。

時間が無いのと、pptpで緊急時の確認作業ができるので、ipsecでのwindows端末からの接続は、暫くあきらめます。

ありがとうでした。

>>537
サポート対象外でもって話でもいいなら、NET-GとNetScreen-Remote(Safenet)は
問題なく動く(IPsec)
もちろん、サポートが欲しいって話ならYAMAHAを使うべきだが
YAMAHAにしてサポートはともかく、ソフト的にいい思いをしたことはない
(むしろ、上記2つのソフトよりダメダメになってる)

ヤマハ謹製っていっても実際は自社で作ってないしょ？

多分端末ソフトの設定が違ってると思う。
でも一度pptp使うとPCでのipsec接続は不便

今更PPTP使うくらいなら
OpenVPNの方がいいんじゃ

PPTPおせぇしなぁ
かといってクライアント入れないとipsec使えないし
L2TP/ipsec激遅だし
すっきりせん。

希望はともかく、可能な選択肢ででしょ。

RTX1200をセンターにしてNVR500とRT58iを拠点に配ってPPTPで拠点間接続してるわｗ
IPSecに変更したいんだが
クライアントのWinPCから直接センターにPPTPしないといけない環境でもある・・・。
費用対効果を考えると悩ましいわ

>>543
サーバー用意せんとだめじゃん

>>547
サーバなんて常時起動してりゃ
余ってるノートPCでもなんでもいいんだから
別に大げさに考える必要ないだろ
PPTPよりはるかに安全だし速いぞ

ルータ対ルータのLAN間VPNならIPsecだろうけど
単独クライアントからのリモートアクセスなら
OpenVPNが現時点での最適解じゃね?

単独アクセスなんて出先だし
PPTPでRDP接続ぐらいしか使わんから
安全度もスピードも問題無い

自宅へのアクセスならサーバー置いて余分な電力使うのも嫌かな

>>546
予算無いなら割と安全なシステムへ移行したら？
リモートディスクトップ運用にするとか(RDPは暗号化される）？WindowsServerなら複数ログオンできるしね。（２重で暗号化の効果はいかほどかしらないが）

どうしてもSMB使う場合は難しいけどね。
SMB2.0に移行すれば良いけど、問題はXPが非対応な事

>>550

外出先のWinクライアントからはセンターへPPTPで接続→センターのWinServerにRDP接続だよ。
ずいぶん前にASPの”どこでもLAN”からこの環境へ移行した。

災害対策でセンターのデータを各拠点でバックアップ取ることになって、
果たしてPPTPのままで良いのかという話になってる。
拠点間はIPSecで繋いでしまってPPTPも可能にするのが望ましいんだけど
RTX1200でPPTPとIPSec同時利用ってできる？
マニュアル探すんだが見当たらない・・・

余裕で同時利用できる

大容量のバックアップならプロバイダのUP量制限などもあるから
回線がフレッツ系ならフレッツVPNワイドおすすめ

一応閉じてるからIPIP接続でも問題無いしスピード出るよ

>>552
ありがとう
じゃあIPSecルーターにリプレースで解決だｗ

＞VPNワイド
そういや転送容量制限もあるんだよなぁ・・
容量計算次第でVPNワイド検討してみる

>>552
ISPの容量制限でしょ。
一日で数ギガバイトなど設定があって、それを超えると帯域を極端に狭められたりする。

>>554
？
同じ意味でしょ

狭められるだけならいいけど警告来るISPもあるよ
繰り返すと契約解除を迫られる

だいたいは総UP量で規制もしくは警告のち契約解除でしょ

一拠点のバックアップを多地点へなら結構な量になると思う

質問よろしいでしょうか？
現在ダイナミックDNSを利用してipsecでVPNを構築しているヤマハルータの下に
さらにアイオーデータのWN-G300DRを追加して無線ハブとして利用しています。
http://www.iodata.jp/product/network/wnlan/wn-g300dr/feature.htm

本来このハブは無線ルータであり、iobb.netというダイナミックDNSのサービスを利用した
VPN（PPTP）に対応しておりますのでipsecクライアント機能がない機器でもVPN接続できないものかとおもいました。

あえて2重ルータ状態にして「iphoneやPCからPPTPでVPN接続」できないか
試した所エラー807でクライアントから接続できずうまくいきませんでした。
このような使い方はやはり無茶だったのでしょうか？

YAMAHAルーターがPPPoEルータ(直接プロバイダと繋がっているルータ)だと仮定して答えると
YAMAHAルーターにNATのstatic設定が入ってないと動かないよ。

tcpの1723番　と　greプロトコル　の2つを入れる必要あり。
RTXのPPTPの設定例を参考にしてみるとわかり易いかも。

そのヤマハルーターの機種は？
PPTP使える機種ならそいつにやらせた方が早い

ネットボランチDNS使えば
iobb.netのDDNSは使う必要ないしょ

あとは
http://www.rtpro.yamaha.co.jp/RT/FAQ/PPTP/rtpptp-ans.html#11
[Q11] NATでPPTPトンネルを通す設定は

でOKかと

>>554-557
だから、ISP経由のインターネットVPNから脱却したいと思っている。
NTTの旧フレッツから、ひかりネクストに全拠点で切り替えていっているところ。
ひかりネクストならネイティブな環境でVPNが張れるんだよね。
やっているひとある？

>>561
旧フレッツ＋ドットネットでのVPNならやってる、IXでだけど。
ネクスト系に切り替えた時にどうなるか、一時調べてたことも有ったけど、
現状切り替える予定が無い。
ただ、完全固定アドレスじゃ無いんで、局舎工事で収容替えされると、
アドレス変わったりするから、要注意ｗ　
つかうちはそれで一度切れた、メンテ用の別口有ったから良かったけどｗ

ネクストも閉域網のアドレスは固定じゃなかったよね？確か

>>561
>>552

>>562
VPNワイドはVPNワイドの設定画面で固定でローカルアドレスふれる
http://flets.com/vpnwide/ipadd.html

参考
フレッツ・VPNワイドへの接続
http://jp.yamaha.com/products/network/solution/flets/next/flets-next-vpn_wide1-rtx810/

>>564
いや、よく読めｗ
旧フレッツ＋ドットネットと書いたじゃん！ｗ
VPNワイドなんて使ってない、どうせ実家と自宅との間の線だし。
両端Bフレッツ＋ドットネット契約で閉域網のIPv6使って
IPsec張ってる。
コレがまた調子よくて、IX対IXで複数セッションのファイル転送だと、
100M一杯まで速度でちゃったりする。
単一セッションだと2〜4MB位かな、エキス婦ローラー

latencyはどんなもんだったか・・・平均15〜20ms位だった気はする。

>>561がVPN契約するつもりなのか、VPN契約するなら完全固定だから
問題無いが、v6オプションでやろうとすると、恐らく同じ事になると思われ。

旧フレッツはドットネット契約しなくても網内v6使えるようになった記憶があるが
さだかではないｗ

Fdnっていう名前もらえるみたいやから実質固定に近い形になるのかな？？

>>566
Bフレッツでも、IPv6のRAは降ってくるけど、
ドットネットオプションを契約しないと、
閉域網での折り返しはしてくれないから、
VPNとしては、使えなかった・・・・はず。

>>567
奴はDNSでの名前解決じゃ無かったと思う。
フレッツメッセンジャーとかのアプリ用で、
裏でどうやってるか知らんけど。
なのでルーターでセッション張るには使えないんじゃないかなー。
まぁIPsecをAggressive Modeで組んでおけば、
拠点側は幾ら変更になっても問題無いが、
センター側が変わると、やっぱり再設定が必要だな。

>>568
http://flets.com/dotnet/
でFdN利用しなかったらいらないような感じしたから
フレッツ網内なら大丈夫だと思ってたｗ

>>568
>ドットネットオプションを契約しないと、
>閉域網での折り返しはしてくれないから、

フレッツ・ドットネットを契約していなくても、IPv6のルーティングして
くれます。
実際に、IPv6スタックのせた組み込み機器の広域試験で使ってました。
(ただし、東・西それぞれの営業エリアで閉じています)

東西で閉じてたら全く意味無いなｗ

ネクストにしてv6環境にすればいいやん。
v6でIPsecできる箱さえ用意できればVPNし放題だぞ。

オフィスビルなんかはまだADSLしか引き込めないところもあるから微妙だがねｗ
駅前の古いビルなんかそんなかんじだ・・・

>>570
それって、ネクストではない普通のBフレッツでできるのですか。
なら、onuからpppoeをどこに張れば？

>>574
参考
http://jp.yamaha.com/products/network/solution/flets_dotnet/

>>571>>572
ネクストなら
フレッツ・ｖ6オプションつけないと端末同士でダイレクトに通信できないと思う
かつ東西間の通信は上記オプションじゃ無理で
VPNワイドで東西接続サービス（オプション）をつけないと無理っぽい

>>575
普通のBフレッツの話ね。

pp auth myname (フレッツ・スクウェアのID) (フレッツ・スクウェアのパスワード)

？？これって、ipv6アドレス取得で必須？
ipv6って、pppoeでなく、直接ONUの向こうから配布されるような。

ipv6 prefix 1 ra-prefix@lan2::/64
ipv6 lan1 prefix ra-prefix@lan2::/64

これってどういう意味？LAN1と、LAN2が同じラインに書かれているな。

ipv6 lan1 rtadv send 1
ipv6 lan2 rip send off
ipv6 lan2 rip receive off


で、以下フィルターなのか。

ipv6 lan2 secure filter in 101030 101031 101032
ipv6 lan2 secure filter out 101099 dynamic 101080 101081 101082 101083 101084 101098 101099
ipv6 filter 101030 pass * * icmp6 * *
ipv6 filter 101031 pass * * tcp * ident
ipv6 filter 101032 pass * * udp * 546
この三つのパスフィルタは、多分アドレス配布関係なんだろうと思うけど。
ipv6 filter 101099 pass * * * * *

で、さらにこれを用いて、暗号化VPNを張らなければいけないわけか。

>>576
ネイティブ方式のインターネットv6接続始まってるから、
VNE経由の通信にすればフレッツVPNワイド契約しなくてもいいんじゃね？
フレッツv6オブは何やるにしても実質必須だから使う使わないに限らず契約しといたほうがいいやろ

＞VPNワイド契約

Bフレッツと、ネクストとの相互接続が可能になる。おそらく。

おそらくじゃなくてもなる

ちなみにADSL・ISDNのフレッツ網も接続可能


VNE経由の場合ってNTT東西間の通信ってネクスト網内でやってくれないと思う？？

>>581
VNE接続については資料も実例も少ないから、あんまりわかってないってのが現状よね。
NGNのインフラは東西で別々だと思うから、
普通に考えたらVNE経由して接続されるんじゃないかと思うけど
じゃあフレッツVPNワイドはどうやって東西接続とってるのかという疑問も。


NTTの東西分割って、独禁法やらいろいろな理由があるんだろうけど
使う側の感覚からすると無駄に分かれてるだけでメリットほとんどないよな。。。

しかもVNE対応のプロバイダーって大手があまり入ってないよね
なんでOCNが入ってないんだ？ｗ

IIJみたいな高い料金取るところとか通常の料金と同じとこもあるし
いまいち速度でるか微妙だからVPNワイド使っとけば安心かなって気がする
東西接続料金は高いけどｗ

YAMAHAよ従業員の田中誠をどうにかしろ　人に暴言、暴力してくる　サイバー攻撃する

東西の境界に支店やらが散らばっている会社かわいそう。
独禁法が「わが社の発展を苦しめる」って言っているのに、それ誰得？

東西管轄境界線ぎりぎりに2つ支店置いて有線でつないでブリッジすればいい

支店2つ置くコスト ＜ 東西NTTブリッジ

>>581-582
このあたりかな。
http://www.iij.ad.jp/company/development/tech/techweek/pdf/tw2011_08_ipv6_1.pdf#page=12
> NTT東西を跨る通信の場合は、VNE網内を経由して折り返しとなります。

http://ethernext.jp/jp/ethernext/flets/
> NTT 東日本、NTT 西日本それぞれの網内で閉じた通信と比較して、東西をまたがった
> 通信は、いったんインターネット (ISP を経由する IPv6 インターネット) を通過するため、
> 速度が少し遅くなります。

> 東西でまたがった通信を行う場合、NTT 東日本では IPv6 IPoE 対応 ISP への契約は
> 不要ですが、その場合、通信経路の都合上、東西間の速度が遅くなる場合があります。

http://hibari.2ch.net/test/read.cgi/hard/1311181544/395
> でも西日本でもプロバイダ契約なしに利用できます。
> （西日本エリアで３拠点で実績あり）

>>587
不等号が逆だろ

なんか最近こういう用法をよくみるけど最近は小学校の算数では不等号の扱い方をやらんのか？

もしかして：ゆとり

>>586 = >>587の論理がわからないかな
不等号は正しいと思うよ

>>591
君は金額的にどちらが多いと思うの？

>>591
図上検討をしたことがある。

NTT東西境界になっている県境で、川や山岳を挟まず両側でNTTの光回線が引けそうな所、
という条件で実現できそうなのは、湯河原・熱海間か箱根峠、御殿場線沿線あたりしかない。
山梨の身延線沿線と、岐阜の中津川市最奥部もいけるかもしれない。
だが、そこに自前拠点を構えるコストは明らかにフレッツVPNワイドの東西接続料金31500*2を大きく上回るだろう。

県境は大抵山か川だ。

東西を繋ぐ、すきま事業が生まれそうな

FON

>>583
> なんでOCNが入ってないんだ？ｗ
NTTコムはトンネル方式を支持する事業者のひとつだからね
https://internetweek.jp/gauW9/d2-01.pdf#page=7

>>594
ソフトバンクさん、ここです。お願いします。

ごめん。猿に分かりやすく教えて下さい。
4拠点をVPN張りたいんだけど、IPアドレス体系が全部192.168.100.0/24なんです。
で、仮想で172.16.1.0/24〜4.0/24を組みたいんですが、

固定IP側（センター）
ipsec tunnel 1
ipsec ike local address 1 192.168.100.1
ipsec ike pre-shared-key 1 text AAA002
ipsec ike remote address 1 any
ipsec ike remote name 1 AAA002
ip tunnel nat descriptor 101
nat descriptor type 101 nat
nat descriptor address outer 101 172.16.1.1
nat descriptor address inner 101 192.168.100.1
nat descriptor static 101 1 172.16.1.1=192.168.100.1 252

動的IP側(拠点)
ipsec tunnel 1
ipsec ike local address 1 192.168.100.1
ipsec ike local name 1 AAA002 key-id
ipsec ike pfs 1 on
ipsec ike pre-shared-key 1 text AAA002
ipsec ike remote address 1 センターのグローバルIPアドレス
ip tunnel nat descriptor 101
nat descriptor type 101 nat
nat descriptor address outer 101 172.16.2.1
nat descriptor address inner 101 192.168.100.1
nat descriptor static 101 1 172.16.2.1=192.168.100.1 252

こんなんでいけるんですかね…。実験環境が無いので何とも言えないのですが、
機種はRT107eです。。。

どーやってルーティングするんだ?

適当だけど参考までに。

local address重複してっけどダメじゃね？
IPSecトンネルの外側のIPが重複してると上手く行かない気がするんだけど…

あとsaのポリシー足りないし
natにudpの500番通すとか、espパケット通すようにするとか
基本的なところ全然足りてない
まぁその辺はｇｇｒといいよ

それと>>599の言うとおりルーティングできない気がするわ
IP変更したくないんだろうけど、そこはルータじゃなくてFWでやればいいと思う

>>598
同じプライベートアドレス同士の拠点間で通信する
http://jp.yamaha.com/products/network/solution/twice_nat/

>>601
うぉぉ

さすがや！
てか俺適当すぎたわ……ごめん>>598

598です。
TwiceNatの場合で2拠点以上って可能ですか？
2拠点までなら足りない脳でも何とか通信が取れたのですが…。
すいません。初歩的な質問で…。

ググったらokwaveに同じような質問があったよ。
出来たかどうかまではわからないけどベストアンサー見てみるといい。
ttp://okwave.jp/qa/q7137803.html

>>559
レス遅くなってすみません。
お教え下さりありがとうございます。
RTXを参照にしつつ設定いろいろ調整してみます。

>>560
RT107eなので残念ながらipsecのみでPPTPには対応しておりません。
ですが、他の機器と合わせ技でPPTPを補完できるならいろいろ捗ります。
さっそくPPTPを通過するようにルーターを設定してみます。

>>601
Twice NATってのがあるんだ。
知らなかった。

しかし、これってトラブルの元になるんじゃないかな?
俺だったら後々のこと考えて、やっぱり各拠点のネットワークアドレスを変更するけど。
何年も経ってから別の人がよく分からずに設定変えるとか、ありがちでしょ。

同じ会社なら変更させるのがベストかもしれんが
出来ない理由があるんでしょ

>>607が言うように、同じプライベートアドレスで通信する方法はトラブルのもとだから
やめられるのであればやめた方がいいね。

一般的なネットワークでさえ、担当者が突然辞めたり逃走したりしたら
構成が全く分からなくなることもあるのに。

これに限らず、アドレス体系や端末・SVの設定を変えたくないという理由だけで
安易にNATを色んな所で活用すると、どこでどんな変換をしたんだったからわからなくなり
一度トラブルが起きたら終息まで時間が多大にかかる。
何でもNATで解決しようする安易なSEが大嫌い。

>担当者が突然辞めたり逃走したりしたら

引継ぎは？

いや、>>609さんを批判しているわけでなくて、
やっぱり、次の担当者が自分でコンフィグとか分析して、
ネットワークのイメージを頭の中に再構築しなければならないのかと思って。

>>610
鬱で辞めていく人にまともな引き継ぎなんてできないでしょ。

だから変更できるもんなら変更してるでしょ
客先と繋がないと駄目とか
どうしてもアドレス変えれない場合があるからTwice NATなるものが存在するんでしょ

担当者が面倒とかでやってるわけじゃなかろうって

欝になる原因って何だろうね

>>610
次の担当がインフラに明るい人だとは限らない。
それに、引継ぎが必ず確実にに行われると考えるのは理想論だと思う。
ユーザーが自前で管理せず、ベンダーで管理している場合でも
NAT変換はルーティングと違って使っていることそのものが見落とされやすいので
元々なかったものとして考えしまう場合もある。

>>613
確かに諸々の事情で変更が効かない環境ってのはふつうにあるけど、
充分に変更ができるかどうかの検討をしないうちに、
安易にNATで解決という選択肢をとる管理者がいるのよ。

そんなひとのとこなんてどうでもいいやんか

>>613
> 担当者が面倒とかでやってるわけじゃなかろうって

こういう場合、理由はやっぱ「面倒」なんじゃない?
そのままのネットワークアドレス維持することによって生じうるリスクとか
変えることによって生じるメリットとか
そういうの説明して権限持ってる人を説得するのが面倒なんでしょ。

598です。
ちなみに、前任が逃げて(丸投げ)して、パソコン詳しいってだけで
今回のネットワーク構築を任されたわけなのですが…。

で、今日営業に掛け合って拠点に１〜４の番号をふり、
192.168.1.0/24から4.0/24という事
ちなみに、来週から3週間に分けて事業所が展開していくから、
今夜、センター1台と拠点1台を作らなければならないんだ…。

大丈夫、俺も一人でがんばった。
独学でルーターがいじれるようになった。

「パソコン詳しいってだけ」のレベルならなおのこと
そんな複雑な設定はやめるのが吉だな。
トラブル発生しても対処できないよ。

シンプルなルーティングで行けることになったのは何より。

どうしてもNATを使うのは、ゲートウェイを指定できない機器と通信するときだな。
NATつかって、その機器と同じネットワークに登場してやるわけ。

>>618
最初からその説明出してれば
NATなぞ勧めん

出来ないものは出来ないとかで業者に任せるのも手だけどな
結局、今までの待遇のままなにかあったら責任おわされて
前任者のように逃げ出す事になるぞｗ

教えて下さい。
センターを経由して、2,3,4が各々にアクセスできるようにしようと思ったら、
拠点側のルート情報って
ip route 192.168.1.0/24 gateway tunnel 1
ip route 192.168.2.0/24 gateway tunnel 1
ip route 192.168.3.0/24 gateway tunnel 1
みたいにひとつずつ設定したらいいのですか？

設定例ぐらいみろ
最近基礎もわからんで質問してくる奴大杉だろ

調べる気無いなら業者に任せろよ

ルーティングの基礎がわからないと今回の設定がかろうじてできたとしても
トラブル時に対処難しいそうだね。


センター経由のアクセス(俗にいうハブスポ型)の場合は
そのconfig(微妙に定義違うけど)が必要なのはセンターのルータの方。
拠点側ルータのルート情報はデフォルトルート一発か、
192.168.0.0/16 をセンタールーターへのtunnelインタフェースに向けるだけでいい

デフォゲで設定したらインターネットもVPNも接続できなくなりましたー
って言ってくるぞｗ

サンクスです...
あと、
ttp://jp.yamaha.com/products/network/solution/vpn/multiple_network/internet_vpn/
ここの設定例丸コピーで設定をしたのですが、DHCP機能が働かず、
configに一行
nat descriptor address inner 1 192.168.0.2-192.168.0.100
を追加したらDHCP自動取得出来るようになったのですが、
これであってるんですかね？

defGWだと確かにそうなるなw

>>627
どこからDHCPでIP取ろうとしてるのか説明しないとわからんぞ

ip lan1 address 192.168.0.1/24
です。
とりあえずインターネットに繋がるようにはなった…。

まだ設計変更が間に合うなら
192.168.1〜4/24ではなく、
第三オクテットを1,9,17,25あたりにして余裕を開けておけ(ネットマスクは24でよい)
後日役に立つ日がくる

>>631
了解
とりあえずセンターは明日、拠点は今夜25時までに会社に持っていかなくちゃ
いけないので、書き換えておきます。

あと、なんか別の会社も絡んでるらしくて、さっき
『このコンフィグ流しておいてー』
みたいな感じで送られてきたんだけど。。。nat discriptor がかぶってるんだよね…。

送られてきた奴ではip pp nat descriptor 1000で書かれてるけど、
今回作ったConfigではppでは1を使うんだよね…。
これって、送られてきたConfigの
nat descriptor type 1000 masquerade
nat descriptor address outer 1000 ぐろばる
nat descriptor masquerade static 1000 1 ろーかる udp 4500
になってる1000を1に書き換えたらOKって事？

悪いことは言わん
業者にまかせてしまえよｗ

もしくはRT使いの知り合いゲットして一から教えてもらえ

>>633
それが通ってたら今頃私はここで苦しんでないですよ(涙
今回の案件来た時から何度次席に掛け合ったことか…。
業者もしくは情報システム部に作るよう依頼投げてって…。

とにもかくにもありがとうございました。
明日繋がらなかったら、私はおしまいです。

そんなやり方してたらいつかは破滅するぞ
別な会社のコンフィグって意味わかってるの？
わからなかったら恥を忍んででもその別会社の奴頼った方がよくないか？

今日明日ヤレの世界で設定してぶっつけで接続できるとは思えないけどな
どうしてもってなら
フレッツなら２セッション使えるから一つの回線で２台つないで検証してった方がいいぞ

>>627に罪はないのかもしれないが、ここで質問してるレベルを見る限り
ネットワークの管理者と呼べるレベルじゃとてもない。
個人的に教えることはできなくはないが、普通はこのレベルって業者に任せるレベルよ。

前の担当者が逃げ出す訳だ

しかし、管理者としては素人でも2chは玄人ですかｗ
通信技術板では、リモホ晒しませんとｗ

素人は素人らしくリモホでも晒してくれれば、まあ教えがいもあったんだろうがｗｗｗ

よく見たらグローバルアドレス割り当ててもらってるのか？
今までVPN張ってなかったから同じネットワークだと思ったんだが
それ前提で話し動いてたのか？

>>634で掛け合ったときにせめて自分のスキルにあわせて日程組めばよかったんじゃないか？
これだと素人SEが出来ますって言って
２ｃｈにPC詳しいから任されましたって丸投げするパターンと同じじゃないかｗ

とりあえず２点間でなら設定集あるからとりあえずそれぶち込んで
IPsecで通ってりゃとりあえずクビにはならんしょｗ

>>640
最初の３行わかりにくいなｗ

グローバル割り当てる程計画的なのに
肝心の設定が・・・って事でｗ

どう考えても困ったら2chで質問しちゃう程度の技術力しかない人間にブン投げる奴が悪い

ブン投げる方もまさか２ｃｈで丸投げしてるとは思いもよらないと思うｗ

まぁ流れで言うと、
ネットワーク担当が丸投げ(元々他部署)で対応しないからお前やれ。
⇒現場に入る。固定IPが無いから無理と逃げる(1ヶ月前)
⇒再度依頼が来るが、VPN張るには固定IPいるから(安定の都合で)
　他のNW部署にふってくれ(2週間前)
⇒固定IP取得してきたらお前やれ。他部署に断られた。面倒臭いﾕｰｻﾞｰだから失敗するな。(先週)
⇒NW体系が全部同じなので無理です。他部署に振ってください。(4日前)
⇒NW体系全拠点変更するからお前やれ。(2日前)
⇒出来たか？出来たか？の催促の電話(私は昨日、今日は10日ぶりの休日でした。)

正直5日前まで他部署に依頼してるから、私には全然関係の無い話だと思ってた。
今では後悔している。

マジでIP晒すからリモートでやってくれと頼みたいレベルです。
とりあえず会社行って来る。。。

ごめん。あとStatusランプが点灯する原因を教えて下さい。
現状として、インターネットには接続できていて、ネット使える。
show ipsec saでVPN張れてるのは見れる。(isakanpとか出てる)
この状態で出てる原因って、エスパー回答だと何がありますかね…。

>>638
2chなんだから、大半がそんな奴なのは当然だろ。
とりあえず、>>638,639が意地の悪い奴だと言うのはわかった。
ま、それも2ch。

>>645
それくらいまずマニュアル読めよ

今までは設定つってもINSばっかでリモートセットアップで入り込んで
どこからでも設定変更も楽々だし、2拠点通信だって簡単だったのに、
正直今回の光回線導入に伴うVPN構築の案件は、設定ミスってたら
再訪問しなくちゃいけないし、もう正直わーーーー！！って状態です。
ほんますみませんでした・・・。

まぁご愁傷様ってところだね

とりあえず各拠点のアドレス変更できるのであればほぼ設定例通りでうまくいくから
２拠点VPNで頑張ってみ
それから拡張してけばよい

あと、sshとネットボランチdnsセットして入れるようにしとけば試行錯誤でなんとかなるっしょｗ
ヤマハの設定例集はかなり優秀で豊富だからわかるようになったらヤマハでよかったと思えるよｗ

>>647
多分接続先のルータに対してPing応答が無いから、
トンネルは張れてても、通信が出来ない⇒ステータスピコー
だと思います。マニュアルにある通信が取れない場合が理由ならば。

>>649
ありがとうございます。
今回の件がうまく行けば自信になると思います。

「STATUSランプ」点灯時には、「かんたん設定ページ」で障害の発生場所を確認することができるため、
ネットワークに不慣れな方も的確で迅速なトラブル対応が可能です。

だってお

>>651
あと楽したいなら
フレッツ前提だけどVPNワイドお勧めｗ

>>652
かんたん設定ページで障害発生場所を確認する事が出来ないって事は
ネットワークに不慣れな初心者以下って事かorz
ちなみに、ppは接続中、tunnlel1は接続中、2と3は未接続。

ネットワークって難しいですね。

>>653
それで逃げたこともあります。あれ便利すぎ。
57iと58iで30拠点くらいある事業所をやったことあるけど、
何も考えずにルートとユーザー名パスワード入れるだけでOKなんだもんなぁ。
ただ、東西またがっちゃうから今回はあかんねん...

>>644
わざわざ「〜〜だからできない」と言ってたのが敗因だね。
〜〜を解決されてしまうと受けざるをえない。
しかし、〜〜を次々と解決してくる所を見ると、この丸投げerは
結構ネゴ能力高いのか？
実は恵まれてる環境なんでは？

>>654
それで解答を得るにはエスパーになるしかないと思う・・・・

tunnnelをenableにしてるか！？

とエスパーしてみる

>>655
東西接続オプションってのがあった気がしたが？
コストの問題？

またがって且つ切れては困るならプロバイダー経由の片側動的アドレスよりは遙かに安定してるから説得してみては？

うおー！なんか分からんけど、Statusランプ消えた！
通信も取れてる！

ちょっと会社に納品してくる！

>>655
なんか話しかみ合ってないかな？ｗ
俺の知識だと58iとかはトンネル最大４つしか使えなかった気がしたがｗ
IPIPトンネルじゃないって事か？

>57iと58iで30拠点くらいある事業所をやったことあるけど
お前普通に業者のSEだろ？？

627の要求というか拒否の理由も聞いてもらえてるところを見るに
一方的に押しつけられたと言うにはちょっと無理あるような気も…
逃げ切れるとの目算で何も準備してなかったらそんな都合良くいかなくて
時間がないから手っ取り早く2chに来たりしてたら
実は大したことなかった←いまココ？

つか業務上「××しないとできません」ってに言うときって
普通はその点がクリアになれば出来ますよ、と同じ意味だし。

出来るか出来ないかろくに調べもせずにテキトーなこと言ったのに
会社の方は上げられた問題点全部クリアしてくれたんだろ?
普通の感覚で言うとすげーやさしい会社じゃん。
>>627がダメ社員だということを見抜けなかったダメ上司が唯一の問題。

>>644
できない理由を見つけることばっか考えてさ
アホだな

零細企業だとして、「固定IPとか色々必要だから」って理由で
社長の法人クレカ借りてチャッチャと作業しちまえばいいんだよ

>>661
トンネルじゃなくて単なるフレッツグループです。
あれは画期的過ぎる。

>>662
VPNに関しては他部署が設定するから、
私のやる次元はせいぜいNWカメラ外から見れるようにしてくれだの
インターネット繋がる様にしてほしいだの、そんなレベルなんですわ。


あと今日なんとかうまく行ったわ。
結局3箇所くらいミスってて現場で3時間はまったけど…。
ありがとうよみんな。

ちなみに、はまった箇所を言うと、
dns server pp 1と入れてたんだけど、固定IP特有なのか自動取得やのうて、
トンネル張れてるのにネットに繋がらない。。。みたいな事になってた。

色々勉強になりました。。。

君の業種と部署名を知りたいｗ

>627
乙&おめ。よくやった

そんなに要求通るならINS一本と中古RTX1000用意してもらったほうが
良かったかもね

データコネクトでよくね？

つか人的要求は通らないけど他の要求通るなら
自分でやった実績あるフレッツグループでやればよかったんじゃね？

時間内でおわるっしょ？

>>661
NAT

何だかんだで優しい奴多いよなココ…
逃げまくって、向上心無いやつなんて正直どうでもいい

流石に
「つぎどうしたらいいんですか」とか
「これであってますか」という流れにはさせなかったｗ

N1200のファームとRTXなファームのバイナリを散歩してみた。
38,39,3A,3Bがマジックコードだというのがわかった。
MD5ハッシュの範囲やハッシュの格納位置はまだわからん。

なんか意味あるの？

カスタムファームウェア作るとか、シスコみたいにソフトウェアルータ動かすとか

PCルーターでええやん

PCルーターだとこれ使うといいかも

マイクロ総研のNV1000
http://www.mrl.co.jp/product/nv1000/index.html

電気も食わないよ

何で動作する？

ワロタ

念動力

>>676

NTTのファームとヤマハのファームって違うの？？

>>684
機能的にはどうか知らないが、いちおう異なる。
NTTにヤマハのファームウェアを入れることはできないし。逆もできない。

NTTのファームは、更新遅くて、大変だよ。

なぜわざわざ別ファームにしたのやら？
NECむけOEMはラベル張り替えただけだよね

NTTの要件が別ファームとかに変更できないことだから・・・

昔、別メーカーのOEM品がファーム書き換え簡単にできて、
サポートが対応できなかったから

NECはラインナップの必要性でIP38X名で売ってるだけ

>>687
OEMって普通そういうもんだろ?
サポートは全てOEM先が受け持たないと
OEMの意味がない
違う場合の方がむしろ例外的

NTT向けのは、独自仕様とかにして、元有った機能を削除とかしてるからだろ。

やばい機能か？

FUSI***

RTX1200で特定のMACアドレス1台だけルータにアクセスできないようにハブる方法ってどうやるんでしょうか？

ethernet filterでrejectすればいい

そのぐらいマニュアルに載ってるだろ

692です。
説明不足でした
>>693で除外してもDHCPに登録されてしまうのですが、
そちらを登録されないように除外する方法は、ありますか？

DHCP使いたくないだけならクライアントに直にIP振るとか

L2のセグメント内で通信させたくないってこと？

今dnsmasqでやってることなんですが、特定のドメインだけ指定したDNSを参照させるのは
dns server select 1 dns.example.com any youtube.com
って感じでしょうか？
あとcurlとかwgetみたいなものって入っていませんか？
そういったものがあればDDNSの更新をルータで完結させられるのであると助かります。

RTXや、ＲＴってDDNS 機能無かったっけ？？

ネットボランチDNSなー

1000,1200 とかにも有るのかな。

>>701
あるよ。
1000、1100、1500は古いファームウェアだと無い。
それ以降の機種にはあるはず。
RTX2000には無かったかも知れない。

正直竹島とかどうでもいいから韓国と関わりたくない。

アホか。
そんなの許したら、何でも侵略されるぞ。

RTX1200 Rev.10.01.36で L2TP/IPsec速度改善きたか

L2TP/IPsecでNATトラバーサルに対応した。
L2TP/IPsecでファストパスに対応した。
以下の条件に合致するパケットはノーマルパスで処理される。

フラグメントされているパケット
フラグメントする必要があるパケット
PPインタフェースでCCPにより圧縮する必要があるパケット
PPインタフェースでVJC(Van Jacobson圧縮)をする必要があるパケット

L2TP/IPsecで、ノーマルパスでのTCPスループットの改善を行った。
PPTPのanonymous接続とL2TP/IPsecのanonymous接続を併用できるようにした。

どれくらい速くなったか人柱よろ

マジか
やっと買える

保全

au iPhoneから試してみて、L2TPでまともな速度出るようになったな。NAT-Tの設定だけいれたけど、これでトランスポートも対応らしい。

ipsec sa policyの暗号アルゴリズム　認証アルゴリズムって
androidだと何設定したらいいの？

>L2TP/IPsecでファストパスに対応
ってどういうこと。

IPsecって、もともとハードウェア処理だったんでしょ。
IPsecにかけたフィルタ処理が高速化されただけなん？

ハードウェア処理って暗号の部分だけっしょ？

結局SPモードではつながるようになったんだっけ？

MLで中の人が繋がるようになったと言ってる

これでしょ？
http://www.nicovideo.jp/watch/sm16656745

>>712
ファストパスって、フィルタ処理の高速化のことだけを行うの？

>>716
IPsecのハードウェアエンジンって
パケットの暗号化・復号化しかしねーぞ。

UT-VPNの実装ができたようだからもはやどうでもいい

>UT-VPNの実装
RTXに実装された？

>>716
http://www.rtpro.yamaha.co.jp/RT/docs/fastpath/index.html

NATトラバーサル利用してSPモードで接続できる事を確認した

以前と比べてのスピードはしらんが
PPTPとくらべてandroidでのRDPの使用感はサクサクって感じでつかるレベル

RTX810のリビジョンアップ、マダー？

やった〜〜。かなり改善しているみたいですね。
俺も L2TP/IPsec設定、今週末にやってみよ
iPhone WiMaxからの接続で、PPTPと同等程度の速度出れば恩の字だな

>L2TP/IPsec
って、どういう意味ですか。
両方ともvpnで使うものだとわかりますが、
同時に使えるものなのですか。

iPhoneって、どうしてL2TPなんでしょうか。
Windowsって、どうしてPPTPなんでしょうか。

ファストパス、ノーマルパスはパケット転送処理。
その中には、フィルタ処理とルーティング処理が含まれる。
暗号・復号処理は含まない。

基本中の基本。

>>724
TCP/IPと同じ意味。

別にiPhoneでもPPTPは使える。
WindowsでもL2TPは使える。

>>725
よくわかりました。

L2TP/IPSECってのは　L2TPとIPSECを併用するって意味。

L2TPは元々PPTPやL2Fの流れを汲むリモートアクセスのためのプロトコルだけど
暗号化や認証といったセキュリティ面の実装が貧弱だから
IPSECを使うことで補っているという具合。

>>728
PPTPに対してのアドバンテージはなんですか？

L2TP/IPsec試してみた
iPad→WiMAX→インターネット→RTX1200→折り返してインターネットへ
一応、↓の設定にしたがって、PPTP、L2TP/IPsec両方接続できるように設定
http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html#setting2

認証に要する時間も、接続速度もL2TP/IPsecが圧倒的に早い
感覚的に、PPTPは明け方の回線が空いてる時間であっても、2Mbpsを超えるくらいで頭打ち
L2TP/IPsecは、回線さえ空いてれば10Mbps超の速度が出る
WiMAXの回線速度が足を引っ張ってて、NomalなIPsec並みの速度が出るかどうかは未確認
がしかし、なかなか良い感じです

>>729
ggrks

>>728
そんな器用なことができるんですね。
でもやっぱり、それぞれのプロトコルが互いを意識して作成されているわけではないんでしょうね。
スーパープロトコルのようなものが、二つを協調させているんかな。

>>729
WINDOWSで標準で使えて、YAMAHAルーターとの相性も良いみたいですね。
以前スタンドアローンのWINDOWSを外部ネットワークに接続するときに使ってたことがあった。

>>730
やっぱり、RTXのPPTP機能が汎用cpuでソフトウェア処理されて実現しているから、
2Mbpsしかでないんだろうと思った。
いっぽう、IPsecと協調する場合はRTXが暗号化復号化をハードウェア処理するので早くなったのかと思った。

>>731
お前には聞いてねーよカス

>>729
PPTPは総当りとか、単純な手法でもあっさり解けちゃうから
パスワード解析ツールもあるし・・・

>>732
IPsecで安全になった土管の中をL2TPでやりとりする感じ
L2TPのみでの接続もセキュアじゃないけど可能(YAMAHA機器で出来るかどうか知らないけどね)

IPSecは総当たりにつおいの？
PPTPでも相手先を固定IPで絞ればいいし

接続先で弾く以外は
総当たりや辞書攻撃は強いパスワード使うしかないでしょ

あと、ルーターの手前でIPS入れるとか

ツール類使われるのはパケットスニファリングできる環境だから
ISPでされる確率よりも自社内でされる確率の方が高い
物理的なセキュリティの方でまず対策するべきだな

>>732
スーパプロトコルじゃなくてIPsecの仕組み的に可能なだけ

>>729
より高度なセキュリティとハードウェアによる暗号処理が可能

L2TP/IPsecを出した当初は、展示会に向けての間に合わせだったのかも知れないね
やっと本来の姿になってくれたか

>>732の>>729へのレスは、PPTPについてのものでした。すみません。

「業務向けルーター運用構築」のスレなのに
PPTPとIPsecの違いを教えてくれとかって質問に…

優しい人の多いスレだな〜w

>>743
PPTPと同列に語るのはIPsecじゃないだろ

>>728 を受けての >>729だから
実質的に質問内容はPPTP vs IPsecなんだよ

>■仕様変更
>1.L2TP/IPsecでファストパスに対応した

くどくてすみません。
L2TP/IPsec機構が扱うそのカプセルパケットのルーティングやフィルタ処理がファストパスになったってことでしょうか。
でも、それだったら、
L2TP/IPsecでもカプセルパケットでも、それらはipパケットなんだから、
別段に考慮しなくてもファストパス処理されるんじゃないのかと思った。

今回のファームアップって、L2TP/IPsecカプセルパケットをノーマルパスで通るように仕掛けてあったのを、
解除しただけってこと？？

>>739-740
ありがとうございました。
IPsecが、L2TPフレームに乗っかってVPNされることを考慮してたってことですね。
IPsecって、IPプロトコルの拡張らしいし。

ちゃうちゃう
IPsecは２点間の暗号化や改ざん検知を担当するだけ
その２点間の暗号化通信の中でL2TPがトンネル掘る感じ
IPsecによりL2TPパケット全体が暗号化されてる

逆だったのか

IPsecによるトンネルだけではなぜかうまくいかないことになるので、
その上で、さらにL2TPによってトンネルを張らせるって理解になるのかな。

だったらじかにL2TPでトンネルを張ればいいのかなって思うけど、
暗号化の仕組みが備わっていないので、IPsecを使うということになるわけだ。

うーん、L2TPが不可欠になる理由が知りたい。

拠点間のVPNならIPsecのトンネルモードでもいいが
PPTPのようなリモートアクセスVPNで必用なユーザー認証や
相手側ネットワークの取得や設定する機能が
IPsecでは標準でサポートされてない(XAUTHやmode-cfg機能）

つまり、スマホのような単体クライアントから直接VPNサーバーに接続するにはIPsecには向かない

そこで暗号部分ははIPsecに任し
L2TPでPPPのIPCP利用してIPアドレスやDNSサーバーやwinsサーバーの設定したり
PPPのユーザー認証使ったりするのにL2TPを使ってる
もちろんトンネルも掘ってIPプロトコルやIPXやその他プロトコルも通すこともできる

>拠点間のVPNならIPsecのトンネルモードでもいい
>相手側ネットワークの取得や設定する機能がIPsecでは標準でサポートされてない(XAUTHやmode-cfg機能）

なるほど。レスありがとうございます。
スマホのような、あるネットワークに参加させる機器の場合は、
ネットワーク情報などの取得が標準で可能なL2TPプロトコルを利用する必要があるわけですね。

しかし、RTXなんかのVPNルーターで拠点間VPNを構築する場合には、
そういう対象ネットワークとのやり取りが不用なので、IPsecだけをうまく利用してトンネルを構築しているわけですね。

スマホでL2TPにこだわる必要がある意味がわかりました。
ところでPPTPもL2TPの上に成り立っているのですよね。
だから、PPTPを使えば端末をネットワークに参加させられるようになりますね。
だけど、PPTPの場合は、相性の問題で暗号化でIPsecを選べないということになるのだと思いました。PPTPプロトコルが柔軟ではないんかな。
一方で、L2TPは柔軟に作られているので、IPsecとの相性が良いわけだと思いました。IPsecもL2TPを意識して構成されたのかもしれないですね。

>>752
多分ものすごい勘違いをしていると思う。
一度ちゃんと調べて理解し直すことを勧める。

>ところでPPTPもL2TPの上に成り立っているのですよね

勘違いでした。名前が似ていたのでいつのまにか誤解していたようです。
PPTPはマイクロソフトが作成したもので、L2TPとは全くの別物でした。
今後、L2TP on IPsecになっていくだろうと言われていました。
それが今なのですね。

Layer-2 Tunneling Protocol（L2TP）ですから、Etherフレームの代わりに、
レイや3以上のIPパケットをトレイルするようですね。
しかし、L2TPフレームをトレイルするのはIP（IPsec）なのだというわけですね。

分かってきました。ありがとうございます。

http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/index.html

オンラインのコマンドリファレンスなんてあったのやね

質問
NTT西で光ネクストハイスピード
V6オプション？？

だけ契約すれば

V6のVPN通信ができるの？
フレッツグループを契約しないで

V6のアドレスをIPSECの宛先に指定するとか

>>756
>>588

できるんだ
ありがとう

もう一度質問

通常は光回線とフレッツグループを契約して
PP1はインターネット　PP2はフレッツグループ
IPSECなんかでトンネルしてVPNを構築しているのだけど

ネクストとV6オプション（無料？）だけ申しこめば
V6ネームとか言うのが貰えて
そのネームめがけてトンネルが作れるって言うことなの？？

インターネットは通常のPPPOEを使用できるのですか？
V6対応じゃないとダメかな・・・・

どっちにしても　光ネクスト同士ならYAMAHAで
VPNワイド契約しなくても
VPNを構築できるって事でOK？

無知ですんません　あ、西日本です

>>759
ttp://ethernext.jp/jp/ethernext/flets/
この辺でも参考にしてみれば。

ログ確認して　やっと半分くらい
理解できた・・・

光ネクスト同士なら
VPNワイド料金　1800　いらなそうだね

NATトラバーサルを用いたL2TP/IPsec接続に対応したことで
winからも完全に接続できるみたいだな

VPNクライアントソフト切り捨てたかｗ

今のややこしい時代、求められるのは標準化なんだよな。うん。

普通に本体売れないとオプションソフトどころじゃないもんなｗ
スマホの売れ行きみたら当然といえば当然かな

スマホが、業務用ルーターを変えたわけか。
なるほど。

スマホって、L2TPを搭載しているってことは、IPsecも搭載してるってこと？
すげえな。CPUフル稼働じゃね？

ルーター側ですらアクセラレーターの援助受けてるんだから、
スマホもアクセラレーター頼みだろう。

しかしスマホ側のセキュリティ問題？がどうにかならないと企業も導入が難しいだろうな。
主にAndroidの権限の話なんだが。
アプリからバックグラウンドで情報送信出来てしまう現状では怖すぎる。
次期のAndroid4.xからは意識的に通信を制限できるらしいけど。

ああ、そのためにカーネルレベルで、L2TP with IPsecが必要だったんだ。

L2TP修正版きたな
RTX1200 Rev.10.01.38

>>768
そこ結構盲点だったんだけど
iOSは似たような問題なし？
リモートデスクトップクライアントソフト大丈夫かなと
不安になったりするんだが。

iPhoneの方はappleの厳正な審査があるはず

厳正と言いつつ、テザリングアプリをうっかり通してしまってるけどな

>>766
対地1箇所のIPsecのcpu負荷などたかが知れてる
RTX1200のリソース統計、cpu利用率見ても、数カ所程度の接続だとグラフは地を這ってるよ

>>774
RTXは、アクセラレーター処理しているからじゃないの

http://www.rtpro.yamaha.co.jp/RT/hardware/cpu.html
けっこうアーキテクチャいろいろなんだね。
これにアクセラレータでも最近のスマートフォンなら1接続なら捌けそう

RTX810 ARM 450MHz 128MB 16MB 2011年11月
RTX1200 MIPS 300MHz 128MB 16MB 2008年10月

えっ！

rtx1200は、開発費を除いてボッタクリということ？

あくまでRTX810は1200よりは下位機種。
能力は劣るとMLで中の人も言ってた。
単純にクロック数だけで比べるものじゃないよ。
あくまで参考値。他のハードウェアは考慮されていない。

たとえば、RTX1500はMIPS 200MHz 128MB　だが、
パケット処理能力はRTX1200の倍近くあるんだぞ。

RT107eに、
http://jp.yamaha.com/products/network/solution/flets/next/television/
を参考に設定を入れたんですが、ひかりTVが起動時ネットワーク接続エラーになる。。ONU直だといけるんですが。。

dns server pp1にしてるのとか関係ないですよね？
西日本のネクストです。先輩方助けて〜

>RTX1500はMIPS 200MHz 128MB　だが、パケット処理能力はRTX1200の倍近くある

WHY? IS THERE ANY TRICK?

>>780
IPv6とか絡んでいるんだね。
6は、まだ勉強していないからわからないなあ。今年中に、設定を含めて勉強したい。

>>http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/nat-abstruct.html

>ip filter 10 pass * * tcp * 6000
>ip filter 11 pass * * udp * 7000
>ip filter 12 pass * * udp * 8000

>ip filter dynamic 1 * 192.168.0.128 filter 10 in 12 out 11
>ip pp nat descriptor 1
>ip pp secure filter in dynamic 1

>6000番宛てのTCPコネクションがトリガーとなり、
>トリガーと同じ方向の7000番宛てのUDPコネクションと、
>トリガーと逆方向の8000番宛てのUDPコネクションを通すという設定です。

これ、説明どおりの挙動にするなら、どう考えても、
in 12 out 11は、in 11 out 12　になると思うのだけど。
俺の勘違いを解きほぐしてくれ。
お願いします。

>>780
RT107eはひかりTV動作可だね。
http://flets.com/next/router/yamaha.html#yamaha
光ネクストはひかり電話契約の有無によってIPv6 IPoEのサービス仕様が
変化するから、IPv6ルーターの設定もそれに合わせる必要があるよ。
http://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-NEXT/hikari_tv.html
http://www.iij.ad.jp/company/development/tech/techweek/pdf/tw2011_08_ipv6_1.pdf#page=43

RT107eにはipv6 interface dhcp service clientコマンドが無いようなので
DNSv6サーバのアドレスをDHCPv6クライアント機能で取得することは
できないかもしれない。
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ipv6/ipv6_interface_dhcp_service.html
その場合はNGN内のDNSv6サーバのアドレスやHGW（ひかり電話
ルーター）のアドレスをdns serverコマンドやdns server selectコマンドで
指定すれば良いはず。

当時仕入れられたCPUによると思うけど
今MIPS 300MHz仕入れるよりARM 450MHzの方が価格安くて安定して供給されてるんじゃないの？

暗号化部分やパケット処理部分のチップはさらに別に積んでるだろうし

パケット処理は、CPUで処理していないんだね

ARMとかMIPSとか言った所で、SoCのコアだけの話な訳で。
実際使ってるチップに載ってる機能によるとしか。
RTX1000系はパケットエンジン持って無くて、全部CPUでのソフト処理だし、
RTX1500はHWエンジン積んでるし。
つか、YAMAHAの技術情報を信じると、RTX1200もHWエンジン積んでないのか？
RTX1000系でくくられてるが。

YAMAHAはクラスによってARMコア使ったりMIPSコア使ったりしてるが、
面倒じゃないのかな・・・
今売られてるのだけでもARM系/MPIS系/PowerPC系と
組み込みCPUのコア、網羅してる状態なんだけどｗ

NECのIXシリーズなんかはPowerQUICC系を一貫して使ってたりするけど。

一部はしてると思うが全部ではないしょ

説明に
ギガビット・イーサネットサービスにも対応する「RTX2000」では、パケット転送専用のCPUであるマイクロエンジンを6個搭載し、ファストパス処理を行っている。
ってのもあるし
PCで言えば暗号化以外でもNICにCPU負荷下げるようなの積んでるしょ

788は>>786宛て

>>787
組み込みOS使ってればCPUの差異ってそんなに気にならないんじゃないの？

>>771
iOSは解析が非常に困難だから・・・表に出てないだけかもしれんし。
似たような事例では純正で入ってるキャリアIQの件があったから不可能ではないよね。
FWのようなセキュリティソフトが出てきたらそれはそれで設定が大変なんだろうけどｗ

>NICにCPU負荷下げるようなの積んでるしょ

ああ、そういうのなんていうんだっけ。
ど忘れした。

ところで、YAMAHAのドキュメントで、いっつもアスキーで図を示しているんだけど、
あれって、印刷するときにページが二つに跨って分断されていやだ。
画像にしてほしいっす。

>>787
>RTX1200もHWエンジン積んでないのか？

そうなの？
RTX1500が廃盤になってしまって、RTX1200をメインにしようかどうか迷っているが、
性能差は大きいんだろうか。
RTX1500はIP電話のショートパケットの処理が得意だったと聞くなあ。

マイクロエンジンの有無もスペック表に書いてくれたらいいのにね

>>793
YAMAHAの技術情報にははっきり書かれてないから、
本当のところは分からん。
けど、64byteで100kpps越えしてる所見ても、
何かしらのパケットエンジンは持ってるんじゃないかなぁ。

RTX1500とRTX1200だが、
公式の結果から行けばRTX1500が238kppsに対し、
RTX1200は120kpps（どちらも双方向）
らしいので、能力的にはRTX1500のが上ぽいが、
ttp://www.ginzado.ne.jp/archives/443
こんな結果もあったりする。

でもまぁ、ショートパケットで帯域使い切る様な
激しい使い方をしない限り、どっちも大きくは変わらない気がする。
つか公式のRTX1500のpps、なんか高すぎないか・・・

L2TPみたいに機能追加もあるし
今後のファーム対応で考えたら新しい方が良いと思う

>>784
ありがとうございます。
ひかり電話なし契約なのでそっちで設定しています。

設定例をみても、今までの普通のv4設定に
ipv6 prefix 1 ra-prefix@lan2::/64
ipv6 lan1 address ra-prefix@lan2::1/64
ipv6 lan1 rtadv send 1
ipv6 lan1 mld router version=2
ipv6 lan2 mld host version=2
が追加になってるだけっぽいので、v6のDNS等は関係ないという認識でした。
RAというのが何かもわからん素人なので、もう少し勉強してみます。

>>783もお願いします

>>783
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ip/ip_filter_dynamic.html
に書かれてる
in キーワードはトリガの方向に対して逆方向のアクセスを制御し、out キーワードは動的フィルタと同じ方向のアクセスを制御する。
って所で勘違いしてない？

CPUと別にネットワークプロセッサを積んでるんじゃ無かった？
ttp://ascii.jp/elem/000/000/416/416057/index-2.html

RTX1200のネットワークプロセッサと思われる、Cavium社 OCTEON CN5010のブロック図。
ttp://www.caviumnetworks.com/OCTEON-Plus_CN50XX.html
#CN5010はCENTURY SYSTEMSのNXR-130/Cでも採用されてる

「MIPS64 Core」に並んで「Packet」のブロックがあるから
HWでなんらかの処理はしてると思われ。


NVR500とRTX810のARM 450Mhzてどこの製品だろ・・・・。

>>800
うんにゃ。
記事のRTX1000はBrecis社のMSP2000というネットワークプロセッサ
を乗っけてるけど、CPUはこのチップに統合されている(System on a Chip)。

だから、>787氏は
> ARMとかMIPSとか言った所で、SoCのコアだけの話な訳で。
と述べている訳で。

>>799
>in キーワードはトリガの方向に対して逆方向のアクセスを制御し、out キーワードは動的フィルタと同じ方向のアクセスを制御する。

INとOUTという言葉は、一般的には、
あるインターフェイスについてカーネル向きをINと言って、逆をOUTといいますよね。

でも、動的フィルタの場合はトリガの方向をOUTと言って、逆をINというわけですか。
勘違いしていました。
トリガの方向がOUTで、それによって逆方向、すなわちIN側にPASSフィルタが動的設定されるわけですね。

たしかに、インターフェイスと、フィルタとは立場が異なるものでした。
それぞれに異なる、IN,OUTという概念があるとわかりました。

ありがとうございます。

>>801
確かにパケット処理の一部は、オフロードしてはいそうだね。
DataSheet読めないんで、何をオフロード出来るのかは分からないけど。

ただ、PowerQUICCのCPMみたいなもんじゃないから、
あくまでフロー制御はメインのCPU使ってやってるんだな。
それなら確かに、区分け的にはソフト処理だな。

ヤマハとひかりTV、両方のサポセンにサジを投げられたでござる。
M-IPS200というチューナーが糞な気がする。

>>797
RT107eのLAN側に接続したPCからhttp://flets-west.jp/
（フレッツ 光ネクスト サービス情報サイト）へアクセスできてる？
IPv6フィルタで遮断していない？

ひかりTV端末がIPv4インターネット環境を必要としない物なら
ONUとRT107eの間にスイッチングハブを挟んでひかりTV端末を繋ぐ方法もあるよ。
この繋ぎ方でもRT107eのLAN側ネットワークとひかりTV端末は同じサブネットになる。

>>805
http://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-NEXT/hikari_tv.html
> ※NVR500のファームウェア（Rev.11.00.06、Rev.11.00.07）の
> RAプロキシには上記のように設定してもひかりTVのSTBへ
> IPv6プレフィックスを配付することができないバグがあります。
という前例があるから、RT107eのファームウェアにも同様の
バグがある可能性はあるね。

>>805
M-IPS200のシステム情報にIPv6アドレスは表示されてる？
http://www.hikaritv.net/resources/hikari/pc/media/services/guide/tuner/single/mips200_manual_v10.pdf#page=78

>>808
起動時に接続エラーになるので、表示されません。
ONUのケツだと大丈夫なんですが…

>>809
PCが正常にIPv6プレフィックスを取得できていて
http://flets-west.jp/にもアクセスできる状態なら>>807かも。

みなさんありがとう（ ; ; ）
http://flets-west.jp/
は確認してませんでした。
会社の事務所の話なので、また試してみます！
あと、ipv6プレフイックスというのはXPからでも確認出来ましたっけ？

>>811
IPv6の話をしてるんだからWin7かMacOSXLionかここ最近のBSDをもってこいよ
XPで確認しようとかあほか

xpは、対応していなかったっけ？

>>812
ん？XPは途中からかもしれないがれっきとしたv6対応OSなんだが。
そもそもBSDでのIPv6実装なんて、もはや昔話の類だろ。
なんで最新/最近のOSの話しかしちゃいけないってことになるんだ？

そういや、itojunさん亡くなってそろそろ5年か。

>>811>>813
XPはIPv6スタックを追加してあればipconfigコマンドで確認できる。
http://www.atmarkit.co.jp/fnetwork/tanpatsu/10winxpv6/winxpv602.html
nameproxyを使えばIPv6のDNSサーバで名前解決できるようになる。
ttp://www.nwlab.com/?p=197
http://internet.watch.impress.co.jp/docs/event/iw2011/20111205_495908.html
http://pub.cozmixng.org/~hiki/v6/?%A4%C7%A4%AD%A4%EB%A4%AB%3FIPv6%B4%C4%B6%AD%A4%C7%A4%CEWindowsXP%A4%CE%B1%BF%CD%D1
俺はWin2000で使ってるよ。

RT107eが送信するRA（ルーター広告）をM-IPS200が受け取れるか確認しましょう。
M-IPS200を一旦ONUに繋いでプレフィックスを確認してメモする。
>>797の設定は外して
ipv6 prefix 1 メモしたプレフィックス/64
ipv6 lan1 rtadv send 1
などとしてみてはどうだろう。
M-IPS200が上手く受け取れるなら
>>797の設定に
ipv6 prefix 2 メモしたプレフィックス/64
ipv6 lan1 rtadv send 1 2
を追加すればいけるかもしれない。

http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html
↑これ読んでRTX-1200にAndroidで3G経由でのL2TP/IPSecに成功したのだけど、
Windows7からは接続できんかった。PPTPでは出来たんだが…

でさっきのサイトの中に何気に一文
> ※Microsoft社製Windows OSのL2TP/IPsec接続はサポートしません。

って書いてある・・・Windows標準機能だけでIPSec繋ぎたいのだが、どうにかできませんか？

> ※Microsoft社製Windows OSのL2TP/IPsec接続はサポートしません。

えっ！本当？
これは明らかに、意図された落とし穴だよね。
せっかく、WIN7からリモートアクセスしようと計画していたのに。

結局、UT-VPNでいいわ。

こんなことってRTX1200で可能ですか？

YMS-VPN7を使ってRTX1200には問題無く接続が出来てる環境。
ルータは固定IP X.X.X.1 を持っていてクライアントの接続
元は動的IP。VPNの内部アドレスとしてクライアントには
192.168.1.100が固定で割り当てられている。クラインとは
インターネットへの接続を全てVPN経由で行うチェックが入
っていて、全てのインターネット通信はルータのグローバル
IP X.X.X.1 から行われている。

こんな状態でインターネットから X.X.X.1 に届いたパケッ
トを全てVPNクライアント（192.168.1.100）に転送したい。
普通にスタティックNATかを書けば実現出来ますか？
それとも何か制約があって出来ないでしょうか？

>>818
おれなら、一度やってみる。出来そうに思えるから。
スタティックナットで、特定ポート宛のパケットは、192.168.1.100に送られるようになる。
すると、それはルータ内部でさらにVPN処理されると思うから。

>>816
接続できたよ
安定もしてる
事前共有鍵win側でも設定した？

ちなみに
NATトラバーサルを用いたL2TP/IPsec接続でないと無理かもしれん

>>819
ありがとう。
まだ要件を決めている段階なので採用されるか解らないけど…。
もし話が倒れて来そうになったら試して見るね。

L2TP/IPsecで接続したスマホでインターネットをする時は

・3Gの口（キャリア）から出る
・VPNルータ（プロバイダ）経由で出る

って選択できるの？

>>820
windowsからも、L2TP/IPsecで、rtx1200につなげられるんですか。

>>820
あら、出来るんですね・・・設定見なおしてみます、ありがとう。
動作実績があるということなんで、がんばってみる。
ログ見てるとL2TPは成立してるっぽいので、あと一歩ぽい。

>>824>>825
つないでみたのはrtx1200の最新ファームのひとつ前
PPTPよりもファイル転送のスピード速かった
androidとwindows7同時に接続させても問題なかった

>>816の情報が古いってことかな

いや、VPNクライアントソフト売ってる手前、サポートだけはしませんよって話では？
接続できませんとは言ってないって感じ

>>804
Product Briefには
> Integrated coprocessors for application acceleration
> ・Packet I/O processing, QoS, TCP acceleration
・・・とだけ。


PowerQUICCはちょうどヤマハのRTXシリーズと競合になる、NECの
IX2000/IX3000シリーズが採用していて全般的にあちらの方がpptは良いね。
＃RTX1500を除く

ヤマハではRTX3000がPowerQUICCなのかな。
RTX3000がファストパスでは無い事を考えると、ちょっと興味深い。

訂正。
×ppt
○pps

>>828
「・・・サポートしておりません」
「ではどうすればいいですか」
「専用ソフトがございます」

「・・・サポートしておりません」
「サポートがないってことだけですよね、使えるってことですよね」
「・・・さあ」

L2TP/IPSec対応したPacketiXVPNの方が速度出たぞ

PCのCPU利用してるから？

RTX1100でもL2TP/IPSec対応してね

改めてWindows7からL2TP/IPSec試してみたらあっさり繋がった。
どうも失敗してた時は、Android端末がつながった状態で、
同一アカウントでWindows側からも接続しようとしていたのが原因みたい。 orz

お騒がせすまない。そして快適だコレ。助言くれた方、本当にありがとう。

>>823
そういう選択肢はAndroid標準では用意されてなさそうだよ。
root権限を取得した端末でなら自前でroute設定すればイケるかも？

>>836
レスありがとうございます。

http://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/ios_6.png
IOSは「すべての信号を送信」で3Gorルータ経由が選択できるかも？と思っていますが…。Androidはそういう選択肢は無いんですね。

ちなみに設定なしでAndroidの通信はどっちになるのでしょうか？
普通に考えて3G経由になりそうな気がしますが。

>>835
自己レス。トンネルを一個しか用意してなかったのが原因のようだ。凡ミス過ぎる orz

>>837
AndroidでVPN繋いだ状態でIPアドレス確認サイトに行ってみたらVPN経由のアドレスが出た。
どうもVPN繋がってると全てそっちから流れるように思う。

>>838
わざわざご確認ありがとう。

このときDNSとかはどうやって解決しているんだろ？
>>816さんはDHCPで色々な情報を配っている感じですか？

YAMAHAのサイトに出ている「L2TP/IPsecの設定例」では
DNSの設定を入れたりするところがないので…。

DNSは通常はルーターのアドレスを渡す
dns notice orderの設定しだいだと思った

>>839
Windows環境の方で接続して ipconfig /all してみた結果だけど、
DNSとしてRTX1200自身のアドレスを貰っていたほか、
wins server 192.168.xxx.xxx で設定してたWINS情報まで貰ってるみたいだったよ。

肝心なこと書くの忘れてた。LAN内ではDHCP有効で運用してる。
でもVPN経由でつながったときはアドレスはDHCPではなく、
ip pp remote address pool 192.168.xxx.xxx-192.168.xxx.xxx の方で貰ってるので
DHCPが働いてるかどうかは関係ないように思うのだけど…。

>>842
ありがとう。

それじゃルータの他の設定もそのまま配られるんだね。
近々RTX1200購入の予定なので環境作るのが楽しみになってきた。

IPCPのmsextオプションで渡せるもの渡す
DNSに関してはdns notice orderで自分自身かdns serverに設定したアドレスかの指定が可能

ip pp remote address pool　dhcp で動いてる場合は
LAN上のPCもらう値と同じあたいを渡す

wanipが同一のwinxpからRTX1200にl2tp接続やっても2台目以降はダメだな
wanipが違えば蹴られないでいく

そんな事は無かったが

クライアント側にルーター噛んでるとか?

それで接続できるぞ

そのための、ナットトラバーサルですよね？？

ネットワーク屋としても気になる記事

Googleは「邪悪」になっていく？　ユーザーの全データをサービス横断で利用
http://topics.jp.msn.com/digital/gizmodo/column.aspx?articleid=851086

ユーザーがポリシー変更を受け入れたくなければ、
3月1日より前にデータ解放（Data Liberation）サービスを使ってデータをエクスポートしてしまうという選択肢は残されています。
が、Googleを今後も使い続けたければ、このルールに従わざるを得ないのです。

結局”クラウド”ってそういうことだから。
アプリケーションプロバイダに踊らされまくったツケはとんでもない形で跳ね返ってくるってこった。
サービス停止も意のままなんだからな。

>>846
iPhone、iPad2、iPod → WiMAX(WM3500R使用、VPNパススルーOFFにしてNAT-T有効)経由で RTX1200に L2TP/IPsecでのVPN3台同時接続出来てるよ
設定なにか間違ってない？設定見直し頑張れ！

>>852
> 結局”クラウド”ってそういうことだから。

「クラウド」を理解していないなw
私企業の作ったサービスに依存するってのが「そういうこと」
であって「クラウド」かどうかとは関係ないだろ

有料サービスでも終了する事あるのに
無料サービスだからどこかで利益ださんとだめだろ

クラウドって言っても
自前でデータセンター複数契約して構築する分にはそういうリスクは分散される
金かかるけどなｗ

スレチ


そういえば、うちの手元のRTX1200 Rev.10.01.38で、ethernet filter の
dhcp-leased が使えない(補完されない、エラーになる)んだが、なんか勘違い
してる？
ttp://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ethernet_filter/ethernet_filter.html
見る限り使えると思うんだが…
お前らんとこどう？

自分のところでは、dhcp scope lease typeの設定に bind-only指定してないのに、登録してないクライアントには、IPアドレスが割り当てられない不具合が発生
Rev.10.01.36で、DHCPサーバー機能を多少いじってるみたいなので、色々とトライ中

拠点ルーターとして、RTX810も候補に入れていた。
でも、RTX1200と比べて、小売価格は、2万円くらいしか変わらなかった。
性能差分としてとらえて、RTX1200に決定した。

スループットは、1200も810も、1Gだった。vpnスループットも同じ。

vpn対地数、
ファイアーウォールやNATのセッション数は大きく異なっていた。
やはりこれらは、処理速度にも反映するものと考えた方がいいのだろうか。

いちいち吟味するのが面倒くさいので、RTX1200を購入しようとは思っているが。

どういう使い方するとかも書いてないし
予算あるなら1200でしょ

VPNで1Gbps出るってすごいな

対地数が多くないなら810で良いと思う

うちは、動作時の周囲温度の関係で810だな。
今のところ、その点だけはYAMAHAでは唯一無二の存在。
もちろん今次期は関係ないが、7月〜9月ぐらいは40度を軽く超えるんだよなぁ。

RTX810のファンなしでの50℃対応はすばらしいね。

>>815
遅レスですいません。とりあえず今日、チューナーがONU直でのプレフィックスを確認し、同時にLAN側のPCではちゃんとプレフィックスを受け取っている事を確認しました。
あとは名前解決？時間あるときに、あんまり関係なさそうなフレッツスクエア用のpp2とかdnsも入れてみます。
プロバイダがなくても見れるサービスなので、勉強不足の私にはなんか不思議なんですが。。

>>860
VPNで1gbpsでないよ。
VPNのスループットが、810と1200とで同じということ。たしか、200Mb/sだったな。

>>864
それなら益々>>807が濃厚だよ。
M-IPS200がプレフィックスを受け取っているのなら
名前解決できなくてもIPv6アドレスは表示されるはず。
問題箇所を特定するために>>815の実験やってみては。

>>863
その一言で、RTX810の輝かしい長所が見えました。

RTX810はVPN数がなぁ…。
せめて20位有れば良いんだが。

たしかに、それは非常に気になる。
下手な買い物で銭失いになってしまいそうで・・・

SC-01DでL2TP接続できた人いますか？

他のスマホや
テザリングしたwin7ならうまく行くのですが
[IKE] wrong message format 48 48 58781
と吐いてつながってくれませぬ

RTX1200にL2TP/IPSecで遠隔地のWindoes7から接続してるんだが、
ファイルサーバから数十〜100MB超のファイルコピーなどをすると、よく途中で切れるんだ。
安定して接続できてる人ってこういう操作しても問題ないもんですか？

こういう場合はどの辺から見直していけばいいかな…