YAMAHA業務向けルーター運用構築スレッドPart2

【前スレ】
YAMAHA専用スレッド
http://pc.2ch.net/test/read.cgi/network/997877142/
YAMAHA業務向けルータ運用構築スレッドPart2
http://pc5.2ch.net/test/read.cgi/network/1037975157/
YAMAHA業務向けルータ運用構築スレッドPart3
http://pc8.2ch.net/test/read.cgi/network/1092832668/
YAMAHA業務向けルータ運用構築スレッドPart4
http://pc11.2ch.net/test/read.cgi/network/1144116104/
YAMAHA業務向けルータ運用構築スレッドPart5
http://pc11.2ch.net/test/read.cgi/network/1196114751/
YAMAHA業務向けルータ運用構築スレッドPart6
http://pc11.2ch.net/test/read.cgi/network/1223667451/
YAMAHA業務向けルータ運用構築スレッドPart7
http://pc11.2ch.net/test/read.cgi/network/1245454435/
YAMAHA業務向けルーター運用構築スレッドPart8
http://hibari.2ch.net/test/read.cgi/network/1275391797/
YAMAHA業務向けルーター運用構築スレッドPart9
http://hibari.2ch.net/test/read.cgi/network/1294731041/
YAMAHA業務向けルーター運用構築スレッドPart10
http://engawa.2ch.net/test/read.cgi/network/1309822690/
YAMAHA業務向けルーター運用構築スレッドPart11
http://engawa.2ch.net/test/read.cgi/network/1329367146/

【公式サイト】
YAMAHA RT series router Home Page http://www.rtpro.yamaha.co.jp/

>>1乙

【お約束】
・ここはYAMAHAルーターで、小規模〜大規模のネットワークを構築、運用する人のための情報交換スレッドです。

・ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は以下のスレッドへ。

YAMAHAヤマハブロードバンドルーターpp select 18
http://toro.2ch.net/test/read.cgi/hard/1353631139/


#それと、part12とpart2を間違えた
#すまねぇ

あれ？part2がまだあるよ。
なんて思ったら、もう。
part2とpart12だから許すけどport2とport12を間違えたら大変だからね。

面白く無い

ミスタイプ 一文字ミスが 命取り

あれっ動かないって　なんでだ　って、一週間費やす
気づいてよかったね、PARTナンバーの間違いを

でも、今回、とても早くスレが立ったね

で、IP8って？

/29サブネットのことでしょ？
当然、そこからネットワークアドレス、ブロードキャストアドレスが引かれて、
そしてゲートウェイアドレスが引かれて、
実質、5個しかホストに割り当てられるアドレスがないことになるね

これで、合っている？

>>7
間違っています

IPv8の事だろ
質問者は未来から来てるんだよ。

これで、合っている？

うあ、すまん。
次スレないなと思って立てちゃった。扱いは任せる。

YAMAHA業務向けルーター運用構築スレッドPart12
http://engawa.2ch.net/test/read.cgi/network/1358373114/

前991の210.171.173.168 はPARKNETのところ。
ここを見る限り、フレッツなのでpp接続。
ttp://www.parknet.co.jp/fletsdns/index.html

ppならブロードキャスト等の概念がないので、NATを介することで、8個全部を使えます。
けれども、動作確認が必要です。
網側でサブネットを認識しちゃっていれば
最初のアドレスのパケットを流してくれないかもしれませんし（janog:10975 のスレッド等）、
NAT配下にある外向きサーバはアドレス変更の手間があるかもしれませんので。

>>10
パートフォワーディング設定しとけばいいんじゃね？

>>9
static NAT でサーバー立てると８台まで立てられるけど　
unnumberd で立てると５台までと言う話（この場合は鯖はグローバルアドレス）

>>13
unnumberd運用 って、IPv6では必須でしょ？
だって、上位ルーターから、好きに使っていいよってプリフィックスを塊ごともらうから

外側アドレスがIPv6で、内側からのIPv4を中継するNAPTってあるでしょうか。

>>15
規格として存在するけどヤマハの製品には実装されない

IPv6リンクローカルアドレスでは、ルーターをまたいで接続できない
かといって、IPv6グローバルアドレスを使えるようにしたら、セキュリティーが心配

なので、IPv4で構築した内側の環境をそのままにしながら、IPv6インターネットにもつなぐには、
>>15の仕組みのNAPTが欲しい・・・

オールIPv6グローバルアドレスすると、
せっかく構築済みの内部ネットワークを見直す必要が出てきてしまうから
とりあえず、>>15のNAPTがほしい・・・

考えてみれば>>15であげたNAPTは変だな

IPv4がIPv6に変換されるのがおかしいと思えた
IPv4は、あて先アドレスには、IPv6は指定できないはず
だったら、IPv6に変換される必要がないということになるからだ

盲点だった

>>17
何のためにFWがあるんだ。
ここぞとばかりにFWにがっつりルール書いて使えばよいではないか。
in→outをとりあえず全スルーにして、out→inは戻しのパケットのみ許可すればよいではないか。

アドレスが隠れないのが嫌かな。

>>19
>out→inは戻しのパケットのみ許可
IPv6も、動的フィルタ掛けられるん？

>>20
プライベートアドレスがNAPTの配下にあってインターネットから隠されているだけで、
安心感はあったなあ
もちろん、ポートはマッピングされてプライベートアドレスのホストへつながっているのだけど、
実際に通信しているポートしか見えないのはよかった

>>18
例えば、自分が192.0.2.1/24で10.0.0.1/8へアクセスしたい時に
送信元を2001:db8:X1::192.0.2.1、送信先を2001:db8:Xfff:a00:0::としてIPv6を縦断、
2001:db8:Xfff:a00:0::へ到着したら10.0.0.0/8へアドレス変換され
目的地へ行けるものくらいはありかなと思ったｗ

>2001:db8:X1::192.0.2.1

こういうかき方も許されるんだよな
IPv4=32bitということで。

>2001:db8:X1::
↑これ、どこのやつ？
2000::/3が、グローバルユニキャストアドレス範囲だよね。


その話の、IPv6を縦断ってどういう意味？
IPv6(2001:db8:X1::192.0.2.1) → IPv6(2001:db8:Xfff:a00:0::)変換　→ 10.0.0.0/8
これって、IPv6 to IPv4なんじゃないんですか？

v6でも動的フィルタはつかえるよ。

あと、vista 以降の窓OSはグローバル匿名アクセスがデフォで有効になってるから、生のアドレスがでることはないはず。
その匿名アドレスも一定時間ごとに変わるし。
ネットワーク部はどうしてもみえてしまうけど、その程度ならv4のNAT環境と対して変わらないでしょ。

グローバル匿名アクセスってのもあるんだ。

ipv6は、ユニキャスト（リンクローカル／グローバル）や、
リンクローカルエニイキャストとマルチキャストしか知らなかった。

pingを打たれても、相手にホストの存在がわからなくなるのかな
匿名アクセスって、NATをホストで実装したようなものかな？
つまり、ポート変換でもやっているんだろうか。

>>25
いや、単に定期的に匿名アドレス再作成して変えるだけ。

なので当然FW入れないと、アクセスされまくり。
もともと、匿名アドレスは、プライバシーの観点から作られた物だから。

某ひかり電話ルータの表示にこんなのが出るようになってるし、
一応配慮はされつつあるみたいだね。
いろいろと問題あるひかり電話環境でのIPv6だけど。

> セキュリティ状態情報
> セキュリティ状態
> IPv6ファイアウォール機能
> 2012/12/22 11:15:41 〜 有効
> 2012/12/18 22:38:07 〜 有効
> 2012/12/17 12:27:56 〜 有効

>いろいろと問題ある
って、？

ひかり電話を導入した環境で、IPv6ネイティブを考えているんだけど

>>25
26が言ってるとおり、発信するアドレスが隠れるわけじゃない。
本来ついてるグローバルv6アドレスとは別に、
自動生成した一時アドレスを設定して、そのアドレスからアクセスするってだけ。
それが一定時間ごとに変わるから、特定のアドレスが露見しないって仕組み。

だから外からのダイレクトアクセスを止められるわけじゃない。
それはFW等で対策する必要がある。

>>29
なるほど

グローバルユニキャストアドレスの、
インターフェイスidによって自動作成されるアドレスを使わないで、

別に、グローバルユニキャストを生成するってことか

NTTネクストのホームゲートウェイの配下に、RTX1200を設置した場合、
データコネクトを使ったリモートセットアップって使えるんでしょうか。

現在、HGWとRTX1200を同じ192.168.0.0/24のネットワークに属させています。

ip lan2 secondary address dhcp
ip lan2 nat descriptor 2101
ipv6 lan2 address dhcp
ipv6 lan2 dhcp service client
ngn type lan2 ntt
remote setup accept none　←セキュリティーのため、とあえずアクセス不可にしている

# SHOW status IPV6 DHCP
DHCPv6 status
LAN2 [client]
state: established
server:
address: ::
preference: 0
prefix: 2001:a5**:****:**b*::/52
duration: 14400
T1: 7200
T2: 12600
preferred lifetime: 14400
valid lifetime: 14400
SIP server[1]: 2001:****:**b*:0:****:****:***d:***e
DNS server[1]: 2001:****:**b*:0:****:****:***d:***e
Domain name[1]: flets-west.jp
Domain name[2]: iptvf.jp
SNTP server[1]: 2001:@@@@:@@@2::*
SNTP server[2]: 2001:@@@@:@@@2::@
Vender Specific Information:
Enterprise Number: 210
MAC Address: 00:a0:**:**:**:**
Tel Number: 3
SIP Domain: ntt-west.ne.jp

以上の情報を得られました。

また、lan2ポートには、上のipv6プリフィックスを持ったグローバルアドレスがありました。

HGWには、内線3番に、RTX1200の登録がありました。
これで、リモートアクセスは使用準備できているんでしょうか。
それとも、RTX1200を、ONUに直付けして、登録する必要があるのでしょうか。

しかし、どうやって、外部から、この内線3番にダイヤルすることができるのでしょう。
たぶん、これができればリモートセットアップができると思うのですが。

>>32
この辺でSIPサーバーとか見えてるなら行ける
ISDNとのリモートセットアップとは繋がらないよ
あくまでもNGN同士のリモートセットアップだからね

設定は以下を見てね
http://www.rtpro.yamaha.co.jp/RT/docs/ngn/ngn_remote_setup.html

# SHOW status NGN
NGN status

LAN2
sip:[email protected]
起動OK

今、こんな感じです。
相手先もひかり電話開通したら、データコネクトでTELNETやってみます。
また結果の報告しますね。まだかなり後になると思う。

>>30で正解。

>>36
tnx!

>>22は即興で書いたからわかりづらいことになってるけど、
よく考えるとIPv4NATを入り口と出口の2台に分けて
その間の通信をIPv6を経由するという感じかな？
あれ違う。IPv4の宛先の数だけ出口側のIPv6アドレスも
必要になってしまうか。

ネクストで、網内IPv6でRTX1200同士を結んで、IPsec-VPNを通した場合、
通信速度はどのくらい出るのでしょうか

やってみなけりゃわからないね

ネクストの網内でIPv6って事はMAX 1Gbitだっけ。
さすがに帯域フルは無理だろうな。
でもまぁ、Bフレッツのフレッツ・ドットネットで県間通信入っても、
片方向100Mbit出てたから、そこそこ出るんでない？

>>44>片方向100Mbit出てた
だとしても、それすごいね

数千万台ものネットワーク機器に影響の恐れ：
詳報：libupnpに深刻な脆弱性、パッチ適用やUPnP無効化呼び掛け
http://www.atmarkit.co.jp/ait/articles/1301/30/news107.html

とりあえずupnp use offしたけど、ヤマハHPにはなにもアナウンスされてないね

>>43
でたね。

[rt100i-users 40458] libupnp の脆弱性はヤマハルーターには関係ありません

ヤマハルーターでもUPnPの機能を持つものがありますが、ヤマハルーターでは
UPnPの実装にlibupnpを使用していませんので、今回の脆弱性には影響を受けま
せん。

やってみたことがないからわからないが、
たぶんルーターのスループット限界近くまで出ると思う。
IPsec使用時の最大スループットは1200で200Mbpsだったと思うから
上限はそのあたりになるとおもう。

libupnpの話は国内メディアが中途半端な報道をしているおかげで変な感じだな
昔からUPnPは危険ですという話を確認し直したらやっぱり危険でした、という話みたいだね

ヤマハ サウンドネットワーク事業部 ‏@yamaha_sn
UPnPは仕様レベルで遠隔操作される脆弱性が随分前に発見されてて、不使用を推奨してます。
RT @mtakahas: 確証が取れなかったので記事には反映してませんが、YamahaルータはFixされてる……のかな……？ それとも別の脆弱性？ http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/VU347812.html

yamahaは推奨していないね。デフォもオフだし。

うちでつかっているマシン宛のパケットについて、大量にRejectログが出てます
発信元は、（１）72.246.189.128:80と、（２）72.246.189.144:80 で、1秒間に10アクセスほどあります
サーバーはアカマイらしいです

フィルタは、ip filter 11 reject * 172.16.0.0/12 * * *

（１）と（２）が平行して、順番にTCPポート番号を上げているみたい
2013/02/01 00:45:23: PP[29] Rejected at IN(11) filter: TCP 72.246.189.144:80 > 172.24.XXX.YYY:38262
2013/02/01 00:45:23: PP[29] Rejected at IN(11) filter: TCP 72.246.189.128:80 > 172.24.XXX.YYY:40443
＜45分後↓＞
2013/02/01 01:30:57: PP[29] Rejected at IN(11) filter: TCP 72.246.189.144:80 > 172.24.XXX.YYY:38382
2013/02/01 01:30:57: PP[29] Rejected at IN(11) filter: TCP 72.246.189.128:80 > 172.24.XXX.YYY:40579

これって、ポートスキャンですよね
結構ゆっくりなのは、検知を逃れるためなんだろうか

しかし、どうしてNAPTをおいているのに、172.24.XXX.YYY　のプライベートアドレスに変換されるんだろう（←基本的疑問）
そのような変換テーブルってないんです

このままほうっておいて大丈夫でしょうか

クライアントがポートを握るときに
１とかちょっとずつ動くのは、そういう動作です。
お手元のPCでもWEBアクセス直後にnetstat -naするとみれたりします。

172.24.XXX.YYYの端末がそのアクセスの発端かと。
何かの理由、たとえばウィルスパターンの更新とかWindowsUpdateとか。
その端末を物理的にネッﾄワークから外して、そのログがでるかみてください。

iPhoneかiPadじゃない？

>>48です
ありがとうございます。

>>50
172.24.XXX.YYYのosは、centos6です。
たしかに、iPhoneとかも、アカマイ（なぜかいい印象がない）に接続しますよね
記憶にあります

>>49
そのときは、show nat descriptor address all　で、変換テーブルがなかったのに、
今なら、変換テーブルがありました
これなら納得がいきます。

TCP 172.24.XXX.YYY.45500 72.246.189.144.80 61335 505
TCP 172.24.XXX.YYY.45499 72.246.189.144.80 60908 504
TCP 172.24.XXX.YYY.45498 72.246.189.144.80 62546 502
（省略）

show ip connection　にも、今は現れています。
20730 2910002 www T 172.24.XXX.YYY:45478 > 72.246.189.144:80 E
20734 2910002 www T 172.24.XXX.YYY:45479 > 72.246.189.144:80 E
20750 2910002 www T 172.24.XXX.YYY:47674 > 72.246.189.128:80 E
20755 2910002 www T 172.24.XXX.YYY:47675 > 72.246.189.128:80 E
（省略）

しかし、どうして、あのときは変換テーブルに現れていないのに、NAPTが　172.24.XXX.YYY　に変換したのか疑問です。

>>51　です

結構、大量の変換テーブルがあるんです
show nat descriptor address all　によると
ポート範囲=60000-64095 956個使用中　ということでした

これって、RTX1500なら余裕に裁ける量なんでしょうか。
それとも、nat descriptor timer でも設定したほうがいいでしょうか。

ところで昨日、そのRTX1500がネット接続できない状態に陥り、
緊急だったのでお願いして電源のOFF ONをやってもらいました。
（誤解していた）多量のポートスキャンが原因になったと思っていました。

しばらく様子をみたいと思います。

動的フィルタやナットテーブルがいっぱいになったときには
ネット接続不可でしょうし、何かあるのかもしれませんけれども、
rtxでなくてもこんな報告があったようで。様子見しつつcentosの端末を洗ってください。

http://archive.2ch-ranking.net/linux/1327619826.html#980
> 118.155.230.72（akamai社のもの）のポート80からローカルの五桁ポート（複数）に向けてパケットが流れてきます。
> iptablesのESTABLISHED、RELATEDにはかからない上に、

複数PCあるなら、外部からのスキャンより、内部からのスキャン等を疑うべきじゃない？
centos6って何用かわからないがProxyとか中継できる機能あるんじゃない

>>52　です

>>53
参考ページをありがとうございます
>”TCPセッションはESTABLISHEDでない状態となっており、iptablesによってDROPされる。”

しかし、私のところでは、TCPレベルでなく、IPレベルで単なる静的フィルタ（ip filter 11 reject * 172.16.0.0/12）
で、リジェクトしているだけです。
わからないのは、問題のパケットがNATを通過してきているときに、show nat descriptor address all　で、当該の変換テーブルがなかったことでした
後でもう一度確認したときには、変換テーブルに載っていたので、納得できました。（CentOS6がアカマイと通信しているんだなあと）


>>54
HTTP PROXYは動かしてないです
CENTOS6って、デフォでオフですよね

GNOMEなら動いています


結局よくわかりません。
何かの通信が引き金になって、RTX1500がバグッたのなら、安心ですが
ちょうどその前に、ネットに接続できない状態になって、電源OFF ONで復旧のお願いをしたので

とりあえず、NATの変換テーブルが忙しくならないように、TIMERを設定しました
1000個くらいから、50個くらいに落ち着きました。

>>55　です

気になるので、LINUX板で質問しました
engawa.2ch.net/test/read.cgi/linux/1358204325/263

YAMAHAのRTX1200ルーターに、
パケットのFROMアドレス、TOアドレスの両方を、指定した別のアドレスに変換する
機能ってあるでしょうか。

たとえば、ルーター内に別のネットワーク192.168.1.11から　192.168.2.11宛てで転送されてきたパケットを、
「FROM」アドレスを192.168.3.11に変えて、そうしてさらに「TO」アドレスを192.168.3.12に変換して、
そのネットワークに接したLANインターフェイスへ送り出します。
逆方向も同様にして、
192.168.3.12からの応答パケットを、ルーター内で「FROM」アドレスを192.168.2.11に変えて、さらに「TO」アドレスを192.168.1.11に変換し、
そのネットワークに接したLANインターフェイスへ送り出します。

NATを、直列に2つ重ねて設定できるなら、これが実現できるのですが、
NATって直列に重ねらて運用できないですよね

>>53>>54

解決しました
engawa.2ch.net/test/read.cgi/linux/1358204325/267

gnomeで動作しているアプレットが犯人でした

>>57
これはどう？
ttp://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/twice-nat.html

>>59
あーーりーーーがーーとーー　ご　ざ　い　ま　す！
ふざけていません。本当に、まさにそのものを教えていただきました。
聞いてよかったです。
YAMAHAルーターすごいですね。

>>60
トゥワイスナット実験してみたのですが、うまく動作してくれない
なにかコツってありますか

www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/twice-nat.html
＞インタフェースがLANである場合、 NATディスクリプタの外側アドレスに関しては、 同一LANのARP要求に対してARP応答する。

LANインターフェイスに順方向に掛けたNATは、そのouterアドレスについてインターフェイス側に向けてARP応答しているけど、
そのリバースに掛けたNATは、そのouterアドレスについてそういう形で動作してくれない感じ。
つまり、リバースに掛けたNATに設定したouterアドレス宛にパケットを送ろうとしても、ひっかかってくれない。
パケットがそもそもLANインターフェイスへルーティングされていないのではと考えて、
トゥワイスナットの掛かったLANインターフェイスのセカンダリアドレスとして、このouterアドレスと同じネットワークアドレス内のアドレスを割り当てることで、
このouterアドレス向けのパケットが、LANインターフェイスを通過するようなルーティングテーブルができたけど、
リバースに掛けたナットの外側にパケットが入っていってくれない感じ。
わかんない・・・

www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/twice-nat.html の説明、はしょりすぎているよね

ごめん、61の説明がよくわからない。ここでは出せないようですし
構成図とアドレスのリストとconfigを、サポートに送っては。

>>62
すみません、わかりにくくて。
リバースでかけたNATで、内側→外側パケットの変換が行われないのが悩みです。
リバースでかけたNATのOUTERアドレスをパケットが通過したときに変換が行われると思っているのですがうまくいかない。

ip lan1 address 192.168.20.254/24
ip lan3 address 192.168.10.254/24
ip lan3 nat descriptor 10 reverse 20

nat descriptor type 10 nat
nat descriptor address outer 10 192.168.10.11
nat descriptor static 10 1 192.168.10.11=192.168.20.11 1

nat descriptor type 20 nat
nat descriptor address outer 20 192.168.20.1
nat descriptor static 20 1 192.168.20.1=192.168.10.1 1

つづきです。

LAN1の端末A（192.168.20.11）から、LAN3の端末B（192.168.10.1）へ接続したい。
ただし、端末Aは端末Bのあて先アドレスを直接入力できないとする。

そのため、先ず、上で設定しているトゥワイスナットの、20番のリバースNATで、第一段階の変換を期待する。
即ち、端末A（192.168.20.11）は、20番リバースNATのOUTERアドレス192.168.20.1へアクセスし、
変換を受けて、192.168.10.1へあて先アドレスが書き換えられると期待する。

連続して、トゥワイスナットの、10番の順方向NATで、第二段階の変換を期待する。
即ち、あて先が192.168.10.1にかきかけられたパケットのFROMアドレスが、
192.168.20.11から、192.168.10.11に書き換えられることを期待する。

そうすると、端末B（192.168.10.1）は、FROMアドレス192.168.10.11のパケットを受け取ることになる。
端末Bからの返信パケットは逆順で二段階に変換を受けて、端末Aへ戻されることを期待する。

しかし、その期待が通らないんです。
どうも、リバースに掛けたNATのOUTERを通っていない感じです。

こんな感じですよね。うーん。LAN1側もnatをかけてみるとどうでしょう。

192.168.20.11
. |
[↓to 192.168.20.1 from 192.168.20.11]
. |
192.168.20.254(lan3) ★ここでnat
.　 [↓to 192.168.10.1 from 192.168.10.11]
192.168.10.254(lan1) ★natがないのでarp応答もしない？
. |
[↓to 192.168.10.1 from 192.168.10.11]
. |
192.168.10.1

あ、両方にかけたら本末転倒です。

> nat descriptor static 20 1 192.168.20.1=192.168.10.1 1
逆？
nat descriptor static 20 1 192.168.10.1=192.168.20.1 1

>>67
>nat descriptor static 20 1 192.168.10.1=192.168.20.1 1
としてしまうと、OUTERが192.168.10.1になります。
20番NATは、リバースでLAN3に掛けている設定（REVERSE 20）にしているので、
そうすると、192.168.10.1へのパケットが、LAN1側から20番NATに入力されてくることになってしまうと思います。

>>66
はい、トゥワイスナットですから

過去ログもよんでみたのですが結局L2TP/IPsecはwindows標準クライアント？で接続できるのでしょうか？
アンドロイド、ios、windows7では接続できるのですがXpからは接続できなくて．．．
「AssumeUDPEncapsulationContextOnSendRule」は設定し再起動してるのですが何故でしょう？

あ

>>70
windowsXPではできないと思います。いろいろパラメータ試してみましたが、自分の環境では無理でした。
公式にWindows標準のL2TPにはヤマハルーターは対応してません。
ただ、Windows7と8ではいけました。
windowsXPでは、専用クライアントを1万円で買うと、L2TP/IPsecよりもとんでもなく安定して高速なVPNが構築できますが
XPはもうすぐサポートキレるので、OSのバージョンアップを検討したほうがいいと思いますよ

現在こんな感じの構成なんですが、フレッツVPNワイドを新たに契約してスイッチにを付けた場合、
インターネット及びGroup-vpnの速度に影響出ますか？
フレッツvpnがバリバリ使うのですが・・・

Bフレッツ -------スイッチ--------RTX1200(インターネット用)
|
------------ アライドルータ(NTT Group-vpn用)

>>73
勿論影響出るだろ。
既に動いている環境はいじらず、GroupVPN用にフレッツネクストを引いたら？
NTTCOM側はどちらも対応できるはず。

>>70
自分も72と同じ意見かな。
専用クライアントは、1か月お試し期間があるから、それを試してみるのがいいと
おもう。試して気に入ったなら、1万円の価値はあるはず。

あと、YAMAHAの場合、特にユーザ登録や保守契約をしなくてもファームウェア
やVPNクライアントが手に入ることだったり、生産停止になった機種のサポートも
手厚いのが魅力だと思う。

利用シーンやコストについては、様々だと思うけど、検討の価値はあると思います。

やはりXPはつながらないのですね
もうXPを買うこともないでしょうしwindows7主体だと思うので気にしないようにします
お試し版も試してみます

ありがとうございました

>>74
やはり出ますよね。物理的には１本だから。

恐れ入ります。
フレッツ光ネクスト ファミリー・ハイスピードタイプにて
ひかり電話(HGW分離型)利用で、IPv6のIPoEを使用した場合
下記の構成で使用できますでしょうか。

【構成例(これから試そうとしている構成)】
Internet=>ONU=>RTX1200=>各PC
↓
VG430a(ひかり電話モデム)

下記の構成ですと、VG430aが100BASEの為、すごくもったいない状態になってしまいます。

【構成例(100Mbps接続になってしまう)】
Internet=>ONU=>VG430a(ひかり電話モデム)=>RTX1200=>各PC

現在はこの構成にて利用中ですが、IPv6がこれだとRTX1200に降ってこない状況です。

【構成例(現在の構成】
Internet=>ONU=>HUB=>RTX1200=>各PC
↓
VG430a(ひかり電話モデム)

すみません。 VG430aの位置がずれました。

【構成例(これから試そうとしている構成)】
> RTX1200からVG430a

【構成例(現在の構成】
> HUBでRTX1200とVG430aに分岐

VG430a　は、ホームゲートウェイみたいに、IPv6プリフィックスを、
DHCPv6で配布できるんだろうか？

VG430aは、IPv6プリフィックスを使うのだろうか。
IPv4オンリーなんだろうか？

この辺りをまず調べておかないといけないよね。

VG430aが、IPv6を使わないなら、HUB分岐でいけるでしょうに。

>>80
ありがとうございます。
VG430aのIPv6プリフィックス確認してきます。

同構成で構築したことがあるよ。

VGではなくて後継機のOGでだけど。
ポイントを箇条書きにすると
　・OGはDHCPPDの配布に対応しているので、OG配下にルーターを接続OK。
　　これはHGWと条件がほぼ同じ。
　・OGはひかり電話アダプタとして使用するとき、
　　NTT網内から配布されるv4アドレスとv6アドレスの両方を使用する。
　　そのため、ONU配下での分割では正常動作しない。
　　ひかり電話を使用せず、v4PPPoEのみでの使用の場合はHUB分割可能。
　・NTTはOG使用時に自前ルーターを使用する際の推奨構成を
　　OG直下にルーターを接続する方法としている。(NTT西日本の例)
　・OGはLAN側1000BASE対応

参考にしてね。

>>76
亀レスだが、XPの場合でもつながるぞ。
ただ、暗号化方式のaesに対応してないから3desに変更する必要があるけどな。
それでも繋がらなかったら・・・わからん。

個人でのRTX1100の質問です
VPN接続の設定でPPTPはブラウザから設定が可能らしいですが、
L2TP/IPsecはどうなのでしょうか
また、PCからのL2TP/IPsecを使ったVPN接続は有償で専用のVPNソフトウェアを
インストールが必要との事ですが、スマホからの接続の場合は無関係でしょうか

宜しくお願いします

>>84
文面からして個人で中古でも買う気なのかな。その内容の知識レベルなら買わない方がいいよ。
新品買ってヤマハのサポートを受けた方が幸せになれるぞ。

いや、中古で買って勉強したほうが良いよ
RTX1100は初期IPアドレス未設定だから最初はブラウザ使えないし

>>86
質問レベルからして、苦労するのが想像できるでしょ
Googleでわかる程度の質問をスレに投げてるくらいだから
>>85の返しが正しいと思う

>>84
二つの質問もどちらもnegativeだ
>>85 の方法、あるいはサポートケツ持ちしてくれるインテグレータを探せ
バッファローあたりの「スマホサポートVPNルータ」でも買った方がいい

>>85
>>87
>>88
実は家のひかり電話を外でスマホからも発信したかったのですが
茸のSPモードはプライベートIPのせいかPPTPと相性が悪いのでL2TP/IPsecを視野に入れていたのですが
ハードルが高いですね...対応機種も限られているというか家庭用は無いみたいですし
ドコモのモペラを使ってPPTPで接続が一番いいかなと思いました

>>86
RTX1100は多機能なのに中古だとかなり安いですね

>>89

L2TP/IPsecでもサクサクってわけじゃないよ
接続する事は可能なので、業務利用でなければチャレンジする価値はある

PPTPは脆弱性が発覚しているぞ
なにがどう危ないのかぜんぜんわからないけど、
使わないようにはしている。

うちは、L2TP OVER IPsecで構築できたよ。

MS-CHAPv2の脆弱性だよ
DESの暗号を効率よく破れるアルゴリズムが発見されたっていう話

HTC JからだとPPTPは繋がるけどL2TP繋がらないから
別サーバー立ててOpenVPN使ってるわ

ネットワーク工事屋から主装置屋に転職したら
理由もないのに、PPTP使ってて驚いた
YAMAHAの設定例がPPTPで書かれてるから、まんまコピペなんだろうけど

>>92
「HTC Jからだと」というのがよく分からんけど、
別サーバを L2TP ゲートウェイにしてもダメなの?

>>94
YAMAHA以外のL2TPは試してないです
iphoneとGalaxyS2なら繋がったのでAndroid4.0.x系か端末固有の問題かなぁと

>>95
ログ曝してみてはどうだろう？
うちのRTXはAndroid4.0でも繋がってるよ

>>95
GALAXY Tab 7.0 Plus（Android 4.0.4）で、RTX1100にL2TPで接続できています。
回線は、モバイルルータ経由ですが、FOMAでmopera使っています。

ご参考までに。

>>95
うちのXperiaGX(4.0.4)でL2TP/IPSecもPPTPも両方繋がってるのでベンダーや機種固有か設定の問題じゃないかな。

>>89
NTTと昔もめたので、よく覚えているｗ

SPモード：PPTP 接続不可（サポートに聞いた）
mopera：VPNに対して特に制限なし。ただし、接続を保証するものではないので
　　　　　 つながらないこともあるかも。

これに加えて、フレッツSPOTについては
・ファミレスやカフェなどは、VPN接続できる
・地下鉄の駅などは、VPN接続できない
ということらしい。
こちらも同じく、接続を保証（以下略

L2TPに関しては、当時まだRTXが未対応だったので、聞いてない。

余計なことならｽﾏｿ

確かにNAT-TをOnにしないと、繋がらないこと多いな。
でも1500とか1100とかNAT-Tのファストパスに対応してないから、
どんなに良くても500kbpsとかなんだよな。

さすがにそんなことは無いぞ。

YAMAHAヤマハブロードバンドルーターpp select 17
ttp://toro.2ch.net/test/read.cgi/hard/1331364660/903
>903 ：不明なデバイスさん ：2012/11/11(日) 15:19:36.07 ID:FoPlnQE8
>RTX1100でIPhone4やiPhone5とL2TP/IPsec接続をすると7Mbps程度しか出ないorz
>直接だと60Mbps出るのに、やはりコレはルーターの限界？

>>101
あ、本当だわ。ごめん。
RTX1100はESPのUDPカプセルのファストパスに対応してた・・・。
1500はCPUの造りが違ってだめなのか・・・。

L2TP/IPsecとIPsecは別だからね
RTX1100はL2TP/IPsecのファストパスには対応していないし、対応しないでしょ
生産終了品だし

そもそもSSLに対応してくれれば、なにもかもうまくいくのに

>>104
そのレイヤまで行くともはやルータの仕事とは言い難い
アプリケーションゲートウエイの仕事ではないか

まぁ生産終了品でもファームウェアアップデートで対応してくれてるだけでありがたいわ。
NGN環境の実験できる２拠点ラボが欲しいなぁ。

NGN環境の実験って？

最近RTX1000を手に入れたので、IPv4 over IPv6 IPsecしたいんだけど、設定例見て設定してもIPv6でIPsecトンネルまで張れるんだけど、その先IPv4通信がトンネルに流れてくれない。
ググるとRTX1100とかRTX1200ならできるようだけど、もしかしてRTX1000じゃできない感じ？

設定はこんな感じ。
ip route 192.168.**.**/24 gateway tunnel 1
tunnel select 1
ipsec tunnel 1
ipsec sa policy 1 1 esp 3des-cbc sha-hmac
ipsec ike keepalive use 1 on heartbeat 60 6
ipsec ike local address 1 2408:*********
ipsec ike pre-shared-key 1 text hogehoge
ipsec ike remote address 1 2408:*********
tunnel enable 1

>>108
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.08.03/relnote_08_03_37.txt
機能追加12.
これ以前には無い

>>109
ありがとう。
なるほど、RTX1000の最終ファームウエアが Rev.8.01.29 で、IPsecトンネルにIPv4もIPv6も流せるようになったのは、Rev.8.03.37 だから、RTX1000は対応していないということですね。

rtx1000でも、IPv6でIPSECトンネルを張れるんだ。
でも、IPv4がカプセル化されないんだったら、
いったい何のために使うんだろう。

IPsec+IPIPで通そうと思えば通せる

>>112
ああ、なるほど
IPv4 over IPv6, over IPsec
なのですね。

需要が判らんｗ

供給ならわかるの？

何の需要？

すいません、ちょっとお聞きしますが
RTX1200でPPPoE接続（LAN3）、NATで192.168-(LAN1)サーバーへ流してるんですが
トラフィックを見ていますと、20mbpsを超えません
プライベート内でも20mbpsを越えないのですが
何が考えられるでしょうか？帯域制限をつけた覚えはないです。

ミリbpsですかぁ、それはさぞお困りですね。
単位すら満足に扱えない無能クズはYAMAHAルータなんて使わないでいただけます？

>>117
LAN1MTU、LAN内通信時のCPU使用率のチェック。
あとはFull Duplexになっていない可能性。

普通に通信してるだけなら外部要因でしょ

実はWindows8というオチは

>>14
IPv6であっても「必須」ではないよ。
PDを使わず（使えず）、静的に手動設定する運用もある。
ipv6 route default gateway fe80::1%2
ipv6 prefix 1 2001:db8:0:1::/64
ipv6 prefix 2 fd01::/64
ipv6 lan1 address 2001:db8:0:1::1/64
ipv6 lan1 address fd01::1/64
ipv6 lan1 address fe80::1/64
ipv6 lan1 rtadv send 1 2
ipv6 lan2 address 2001:db8::100/64
ipv6 lan2 address fd00::2/64
ipv6 lan2 address fe80::2/64

>>17>>20-21
IPv4での1対1のNATに相当するものが、IPv6ではNPTv6（RFC 6296）として標準化されてるよ。
http://www.nic.ad.jp/ja/materials/iw/2011/proceedings/t4/t4-02.pdf#page=55
また、類似の手法が複数存在していて、IIJのSEILシリーズのNAT6機能は
「NTT NGNで使用される方式」と「SEILシリーズ独自方式」とを
切り替えて利用できるようになってる。
http://www.seil.jp/support/tech/doc/function/nat6/

IPv6のセキュリティに関しては以下も参照されたし。
事例から学ぶIPv6トラブルシューティング
http://www.nic.ad.jp/ja/materials/iw/2011/proceedings/t2/
IPv6セキュリティの勘どころ
http://www.nic.ad.jp/ja/materials/iw/2011/proceedings/t4/

# 亀レスでｽﾏｿ
# http://203.178.141.194/img/kame-anime-big.gif

NPTv6の目的は内部トポロジーの隠蔽で、アクセスコントロールじゃないでしょ
IPv4のNAPTの仕組みに起因する、一方向性を実現する仕組みではない

そもそもRFC6296ってInformationalで、標準化と言えるレベルではなかった気が

つづきはこちらへ
IPv6スレ@IPv6板@IPv6 part2
http://ipv6.2ch.net/test/read.cgi/ipv6/1307629468/

3/21を境に、"TCP no bits set" がバンバン上がってくるようになった…

何の案件とリンクしてるんだろう？

何かの脆弱性？
IPTABLESの、ステートフル印すぺく所んにバグってあった？

>>125
俺のところもそうだわ。
それと、アホほどLAND ATTACKも増えとる。
なんなんだろね。

エロい人、おせーて下さい。

　--------□------（NW-A）------□--------
　|　　　　　　　　　　　　　　　　　　　　　　　　　　　　　|
--VRRP　　　　　　　　　　　　　　　　 　　　　　 VRRP--
　|　　　　　　　　　　　　　　　　　　　　　　　　　　　　　|
　--------□------（NW-B）------□--------

今こんな感じでVRRPを使って冗長構成を考えておりまする。
（□ はRTX1200、間の線は直結の専用線）
VRRP側の口をLAN1、反対側はLAN2です。
この時上側を主、下側を従で設定します。

この時VRRPしてる側で
ip lan1 vrrp shutdown trigger 1 lan2
と設定した際、例えば左上のRTX1200のLAN2が死んだ（NW-Aの接続が切れた）時、
左下のRTX1200へ通信が切り替わっても、右側では相変わらず上が主なので
通信できないんじゃ無いかと思ってます。

左上が死んだら右上も死んでくれるようなshutdown triggerって無いんでしょうか…。

keepalive飛ばしててダウンしたら下に廻すって出来ないっけ？

NW-A/NW-Bそれぞれのlanの口にkeepalive設定しとけば良いんじゃない？
疎通出来なくなれば、ポートシャットダウン＞VRRP切り替えまで、勝手にいくと思うけど。

追記
両側のルーターで動作を完全に同期させるなら、後はluaスクリプトで
何とかするしか。

でもそれやると、複雑になりすぎる気も。
keepaliveの設定次第だろうけど、若干のダウンはあきらめて、
keepalive/VRRP任せにした方が良いかも。

>>129-131
ふむふむ。キープアライブってのがあるのですな。

・左上のルータには
lan keepalive use lan2 icmp-echo "右上のルータのlan2のIP"

・右上のルータには
lan keepalive use lan2 icmp-echo "左上のルータのlan2のIP"

をそれぞれに入れておけば左上のルータが壊れただけでも右上のルータは
宛先へPINGが通らないのでlan2が死んだと判断、こちらもシャットダウン
トリガーが働いて経路が下になるという理解であってますでしょうか？

つospf

>>127
ITの分野においては、国レベルではなく、
民でがんばって防衛しないといけないね。

しかし国レベルのファイアーウォールがあったとしたら？？？？
ITセキュリティー省による

>>134
あかんで、それ検閲や

中身みなければ問題ない

知ってると思うけど
キャリアのバックボーンに中国製の伝送装置入ってますから
企業の重要な情報は北京に飛びます

YAMAHAのルーターもMADE IN CHINAだからだめだな

昔からYAMAHAはmade in JAPANだったと思うんだけど
最近はCHINAに変わったの？

ここ数年で変わった

日本で作ればいいのにね

「中国市場でルータ売りたい」って言ったら
「じゃぁうちの国内に工場作れや」って言われたんじゃね

単純に人件費だろｗ

>>143
単純じゃないよ・・・

RTX1200は日本製で、RTX810, FWX120は中国製だね。
最近出た無線LANはまだ実物見てないのでわからん。

大昔中国でヤマハのルータ使おうとしたら
対共産圏なんとかってのに引っかかって色々面倒くさくて断念したことがあったな

緩くなったとはいえ今でもルータとかって戦略物資扱いだろうから
相変わらず輸出は面倒くさいんじゃないの
そんなものの現地生産がなんで許可されるようになってるのかは知らんが

>>146
ルーター自体は戦略物資にはならんと思うが、
中に実装されてるipsecとかの暗号処理が、引っかかるはず。

ハードに限らず、VPNのクライアントソフトでも引っかかるけど＞暗号化。

それでCiscoなんかじゃ
暗号化機能のあるものとないもの
全製品二種類のOSイメージが用意されてる

輸出云々以前に
一般市民が高度な暗号を使うことを国家が禁じてたと思う

RTX800とかいう中国専用モデルがあった気が。

途上国は大変だなぁ

市民が通信を暗号化したら、国家が検閲できないからね。

でも中国向けファームではない、高度暗号化対応のを入れて
海外との無検閲トンネルを掘ってあるから
中国の国内情報が検閲されずに漏れてくるのがごく一部だけあるんだぉ。

Gloopsとかいう会社が無関係なとこにヤマハルーターのアイコンを使い、ライセンス違反で公式垢で晒されてるw
http://twitter.com/yamaha_sn
http://next.rikunabi.com/tech/docs/ct_s03600.jsp?p=002099

>>150
途上国でなくてもフランスなんかも規制がある
イスラエルやロシアも…途上国か?w

これか。RTX1200は名前被ってるんだな
中国市場でのネットワーク構築に最適なルーター2機種 (2010年5月28日)
ttp://www.yamaha.co.jp/news/2010/10052801.html

>>153
リクナビ担当者が作った図じゃね？
どう考えてもミスマッチ過ぎるだろ
意味わからない担当者が作ってその会社がろくに監修しなかったんだろうな

四川にNVR500持ち込んで使ってるけど問題なかったよ。もちろん正式に手続きしようとするといろいろ抵触するんだろうけど・・・

高度な暗号機器の個人使用を国家が禁じているはずなのに、こちらで普通に買えるスマホやPCがVPN対応しているのが謎。
今もそうだけど日本の実家に設置しているRTX810のおかげで、日頃L2TP/IPsec使って現地友人のうらやむネット環境を利用できてるよ。

でもこちらのルーターはNVR500だから、L2TP/IPsecの拠点間VPNは構築できないんだよね。
VPN対応じゃない機器で安全なネット接続をしないといけないときだけ一時的にPPTP拠点間VPNを張って使ってます。

中国で意図的な法律違反して大丈夫？向こうの気分次第で突然逮捕されて死刑とかあるぜ。

さすがにルーター持ち込みごときでは目くじらは立てないと思いますし、
もし摘発されたとしてもせいぜいビザ取り消しで１週間以内に国外退居が最高刑だと思います。
日本と違ってメンツを立てて即時に行動すれば基本的におとがめなしになることが多いというのが
こちらで４年ほど暮らしている者としての実感です。

スレチなので持ち込み云々の話はこの辺にしますが、せっかくの通信技術版なので質問です。

仮に私のネット回線が当局に傍受されているとして、
使用しているルーターの型番やL2TP/IPsecで通信をしていることなどは分かってしまうものなのでしょうか？

現状、中国電信から提供されるADSLモデムにNVR500を接続し、「PPPoEを用いる端末型ブロードバンド接続」として使用しています。

そもそもNVR500って中国製じゃなかったっけ？w

そもそも暗号関係はまともに手続きしないと国内法に引っかかるよ
http://www.jetro.go.jp/world/japan/qa/export_10/04A-000941

じゃiポン持って中国でかけた奴ら、ほとんど逮捕だな

>>162
appleの製品はだいだいECCR 5A992になっているので、持ち出しに関してはたぶんOK
http://www.apple.com/legal/more-resources/gtc.html

ただし、追加で入れたソフトウェアに暗号が含まれている場合は別
ついでに持ち出しOKでも受け入れ国の法には従う必要がある

>>159
型番はともかくプロトコルとポートでわかるでしょ
仮にポート変更しててもヘッダみりゃわかる

特務員と判断されればかなり重い刑もあるんだよね。
それこそ、ドラッグだの政府転覆だのいいがかりのネタはいっぱいあるよ。
そういうのちりばめられたら体温維持も怪しいかも。
せいぜい海外退去だの甘い判断してると帰ってくるのは白黒写真だけかもよ

あれ、ヤマハは中国でも販売してるだろ。

かの国など、仕向地によってセキュリティレベルが異なる状態で出荷されております。
吊り橋の会社の場合だけど

RTX1500って、現行品なの？
さっき、問い合わせフォームから機種を選択するとき、
生産中止品の欄でなく、現行品の欄にあったよ。

フォームのcgiを書き換えていないだけだと思われ。
ここ見ると、2年前に生産完了してる。息の長い機種だったね。
http://jp.yamaha.com/products/network/support/repair_ending/

そうなんだ。
おお！とうれしく思ってしまったんだけどね。

上位クラス過ぎて、俺にはちょっと縁がないな。
http://jp.yamaha.com/news_release/2013/13042401.html

小規模なわけで、RTX1200で足りている

興味はあるけどね。

すみません、RTX5000を使っているんですが、
質問お願いします

って、いう投稿がやがては来るんだろうか。

そういうの買うレベルのところは質問なんてしないしょｗ

客がRTX5000を指定してきて困っています
今までシスコかアライドで統一していて経験がありません

>>175
よし、俺の出番だな。


RT57iしか経験無いが何か？

>>176
呼んでいませんからお引き取りください

連休ってなんだっけ

夢と魔法の国のお話だよ

まっ昼間から機器の電源を落とせるﾊﾟﾗﾀﾞｲｽだよ

>>180
さすがに昼間落すのは無理。

>>175
指定するくらいなら、自分でやれよな

>>182
でも、やらないとメシ喰えないしね・・・
提案する手間が省けたと思えば良いんじゃない

なんかスレ伸びないなと思ったら、
ああ、PART番号間違えているからか・・・？
それとも、RTXの新製品発表に、もう面倒くさくなっちゃったかな？

RTX1200の、スクリプトなどの新機能もまだ使ったことさえないよ

しかし、PART2のタイトルのついたスレッドって、
どうやって倉庫に保存されるんだろう。

【前スレ】
YAMAHA専用スレッド
http://pc.2ch.net/test/read.cgi/network/997877142/
YAMAHA業務向けルータ運用構築スレッドPart2
http://pc5.2ch.net/test/read.cgi/network/1037975157/
YAMAHA業務向けルータ運用構築スレッドPart3
http://pc8.2ch.net/test/read.cgi/network/1092832668/
YAMAHA業務向けルータ運用構築スレッドPart4
http://pc11.2ch.net/test/read.cgi/network/1144116104/
YAMAHA業務向けルータ運用構築スレッドPart5
http://pc11.2ch.net/test/read.cgi/network/1196114751/
YAMAHA業務向けルータ運用構築スレッドPart6
http://pc11.2ch.net/test/read.cgi/network/1223667451/
YAMAHA業務向けルータ運用構築スレッドPart7
http://pc11.2ch.net/test/read.cgi/network/1245454435/
YAMAHA業務向けルーター運用構築スレッドPart8
http://hibari.2ch.net/test/read.cgi/network/1275391797/
YAMAHA業務向けルーター運用構築スレッドPart9
http://hibari.2ch.net/test/read.cgi/network/1294731041/
YAMAHA業務向けルーター運用構築スレッドPart10
http://engawa.2ch.net/test/read.cgi/network/1309822690/
YAMAHA業務向けルーター運用構築スレッドPart11
http://engawa.2ch.net/test/read.cgi/network/1329367146/

でしょ？

YAMAHA業務向けルーター運用構築スレッドPart11
YAMAHA業務向けルーター運用構築スレッドPart2
ってなるの？

YAMAHA業務向けルーター運用構築スレッドPart2 (実質Part12)

RTX1200のMicroSDスロットについて。
マニュアルにはMicroSDとしか書いておらず、一方RTX810などはMicroSDHC可と明示的にある。
よって2GB超は非対応かと思ったのだが、駄目元で新品のMicroSDHC8GBを突っ込んで見たら、ファームウェア更新には使えた。
ただ全領域をRTX1200から書き込んでみた訳ではないので、ログを全部吐かせるとかの時には差し障りがあるかもしれない。

SDHCへはソフト的な対策で対応できるから
（ほぼ）共通ファームなら自動的に対応しそうだけどな

あれ？インターフェースの物によってはソフトウェア対応だけではダメだって話を聞いたことがあるんだけど。
同じ理由でSDXCもダメなのがあるって聞いたような。

SDXCはexFAT採用で、SDHCまでのFAT32とはファイルシステムが違うから
それを理解せずに挿入してデータ破壊とかよく聞く話です。
おそらく、microSDXCカードを挿入すれば、中のデータをロストすることになる。
ロゴを確認しないで挿すのも考え物。
せめて馬鹿よけに、認識エラーで装置側が拒絶してくれればいいのにな。

えー、ファイルシステム違うのにwriteするのー・・・

まじかよ、残り少ないSD買い占めてくる。

>>190
もういちど、そのexFATとやらでフォーマットしなおしたら大丈夫？

最悪の場合、メディア認識の過程でデータが消えてしまうだけです。
媒体が物理破損して永眠するワケじゃないですから安心していいですよ。
データは帰ってこないと思いますが。。

ただ読めなくなるだけならいいけど、管理域が中途半端にぶっ壊れると挿したとたんにFSドライバやSDドライバを
クラッシュリブートループさせたり最悪OSを固めちやうことがあるからなぁ…

>>186
なるほど

マジ、すまんかった

>>197
なつかし

LANインターフェイスに、マスカレードを掛けています。
特定発信元アドレスのパケットだけこのマスカレードを回避して、
通常の通信に切り替えるような設定ってできるでしょうか。

そのアドレスをinnerから外しておけば良いんじゃない？

LANインターフェイスに、マスタードを掛けています。

に一瞬見えた

>>200
マスカレードなので、特にインナーアドレスはないんです

明示的に指定すれって意味だろ
マニュアルぐらい嫁

まぁ、マニュアル読んで理解してれば、こんな質問は
出てこないんだがなｗ

ってことで、>>202はマニュアル嫁。

innerのデフォルトってautoだから何でもかんでも変換するから
nat descriptor address inner 1 192.168.100.1-192.168.100.2 192.168.100.4-192.168.100.254
とかに設定したらどうかな

>>205
ありがとうございます。
なるほど。

ぎゃくにもし、インターフェイスの外からパケットが入力される場合、
変換テーブルになければ、なんの変換もなく素通りするんでしょうか。
それとも破棄されてしまうんでしょうか。

外向、内向ともに、除外パケットはNATの脇を素通りする動作にしたいんです。

nat descriptor masquerade incomingコマンドで設定できるだろがマニュアル嫁

>>207
あ、ありがとうございます！！
そんなのがあるんですか。知りませんでした！

YAMAHAのルーターは至れり尽くせりですね。
シスコとかいうところのルーターにも、こんな細かい機能ってあるのかな。

>>205さんの、nat descriptor address innerコマンドと、
>>207さんの、nat descriptor masquerade incomingコマンドとを使って、

特定パケットだけを、内向き外向きの両方で、NATを通さず横を通過させてみたいと思います。

・　⇔
・⇔NAT⇔

> シスコとかいうところのルーターにも、こんな細かい機能ってあるのかな。

お前じゃ使いこなせないから気にする必要ない。

手厳しいなｗ

>>209
なにか癪にさわったらしいな

恣意な

特定パケット、って難しい言葉使うしｗ

>>211
シスコ使いはこんなもんだろ

「〜使い」　と言うのも、なんというか
中二病的な表現では無かろうか

シスコ屋

ヤマハ屋だと、音楽関係の仕事に従事しているみたい

俺的には船外機やエンジンを想像する

会社でYAMAHAルータの箱積み上げといたら
DJでもやるんすか？って疑われた

YAMAHAのサウンドスケッチャーって知っているかい
めっちゃ便利

でも、SDカードでないのが悔しい・・・
時代を読めなかったんだろうか

「YAMAHAと言えば、何を想像しますか？」

この質問で、相手の素性がだいたいわかるな

>>218
多分、釣りバカだね

>>221
ルータ、楽器、バイクそれぞれほどほど関わってるオイラは
何と答えればｗ

>>222
想像だけで良いならそこにラジコンヘリも追加できるぞ
関わりはルータと楽器だけだけどさ

>>222
FWX120の赤い筐体に違和感ありますね

うちはバスタブがYAMAHAだな

>>222
ずばり、多趣味でしょう

細かい点については、とりあえずおいておくとして、例えばRTX1000→RTX1100とか、
RTX1100→RTX1500に交換する際、configって、そのまま流用できるもの？

ほぼ流用可能

228の言うとおりだが、
強いて言えば、ファームウェアのバージョンに気をつけるぐらいかな。
新しく追加されたコマンドとか、仕様が変わったコマンドがあるから。

もう、あたりまえのことやりますのすし。
(けして卑下しているわけではないので誤解無きよう)

レス、さんくす。
いや、1500が中古で10,000円ぐらいだったので、自宅のVPN環境をちょっと
いじってみようかと思って。
実家のRTX取り換えられるのは、帰省時だけだし、なるべく手間をかけたくないなと。
まぁ最悪は切り戻せばいいんだけどね。

分割LANポートアドレスの設定は、
旧RTXのCONFIGをRTX1200に流してやると、自動的に適切なものに変えてくれたなあ。
コマンドがかわったらしい。

分離と分割と紛らわしいのも
自動で俺のやりたいように直してくれれば

自動で俺のやりたいようにconfig書いてくれれば

それSIerのやるこっちゃ。
冗談はさておき、ajaxあたりで作れそうだ。
ファームウェアのバージョンとかで適用範囲は制限されると思うけど

昔はRT50iにヤマハのCD-RドライブとYMF724積んだｻｳﾝﾄﾞｶｰﾄﾞのPC組んで
バイクがSRX600でヤマハのユニットバス付いたマンションに住んでたけど、
今持ってるヤマハブランドはRTX1100とV-max1200だけになっちゃった

V-max1200って、新しいスイッチかなと思ってみたら、オートバイクだったのか。

うちは、サイレントバイオリンと、電子ピアノ持っているよ。

電子機器縛りならFM音源からの付き合いだな
MSX2やPC88あたりの内蔵音源とDX-7どっち先に買ったっけ・・・

子どものプールを見に行ったら
シャワー(＋足洗場)と洗面台にヤマハの銘板が張ってあった

以前、嬬恋村に行ったがそれはヤマハ経営のそれだった

昔キロロに行った時もヤマハだったな。

自転車もヤマハあるのか

ヤマハのヨットにも乗ってた。
キロロも行ったし、楽器とバイクも持ってる。


スレチだがRTX1200×３とRTX1100×２を二つ使ってる。

そっちがスレチかよっw

すみません、スレチで、KYなんですが、

NGN網においてIPv6をIPoEで使おうと計画しています。
IPv6のフィルタリングの考え方がわかりません。

IPv4 をPPPoEで使っている場合なら、PPインタフェイスに、
１、「IPマスカレード」
２、「OUT方向の、PASS動的フィルタ（いくつかのアプリに対応）」
３、「IN方向の、ALLリジェクト静的フィルタ」
４、「OUT方向の、WINDOWSファイル共有パケットリジェクト静的フィルタ」
　くらいを掛けると思います。（もし、お勧めがあればこれも教えてください）

しかし、さきのIPv6通信であれば、
HGWに接続しているLANインタフェイスに直接IPフィルタを掛けることになると思います。
NATは使わないことになるので、セキュリティーがやや心配です。
IPv6でも、上の動的フィルタの考えは通用するでしょうか。
単にWEBサーバやメールなどのインターネットアクセスができればいいので、
お勧めの設定例があれば、その提供ページなどを教えてください。

IPv6は未踏の域の者だけど、とりあえず以下の
ハードウェア板で、そのスレをv6で検索かけるといろいろ出てくるから
そこに示されるリンクやpdfファイルを読みあさってみるといいのかも。

【NTT】フレッツ光・ひかり電話対応ルータ Part20
http://toro.2ch.net/test/read.cgi/hard/1364137009/
他にもNECや牛ルータスレにも(これらにはノイズも多いので忍耐強く)。

よくアドバイスしてる猛者はここにも出没しているようだけど、
取り急ぎ、痕跡案内くらいはできるから

>>246
ハードウェア板でも、ネクスト網をつかったIPv6に関する情報は調べたほうが良さそうですね。
ありがとうございます！

>>245
相手がPPPoEだろうと、IPoEだろうと、PPに対してフィルタかけることに変わりは無い。
IPv6で一番単純な形だと、
OUT方向の動的フィルタと、基本IN方向のALLリジェクト、
ただし、IPｖ６の場合IPｖ４と違って、ICMPはフィルタしちゃ駄目。
ICMPv6として、必ず通すこと。
後は必要に応じて、IN方向のルール追加してけばい良いよ。

てか、"yamaha ipv6 ipoe"でググると、一番最初に
ttp://jp.yamaha.com/products/network/solution/flets-next-ipv6_ipoe-rtx1200/
これ出てくるんだが・・・。
ちったー調べる努力しようぜ。。。

IPV6覚えるの、マンドクセー

あかんで、それ爺の始まりや
おれ? もちろん爺や

>>248
こういうYAMAHA公式見解がお手本になります。
ありがとうございます。

OUT方向の動的フィルタによるPASSは理解しました。
IN方向の静的フィルタの、tcp/ident と、udp/546ってなんでしょう。
（icmpは、ipv6ではルータ間の各種調整のために必須なんですね。古い本で一度勉強したのですが、詳細はすっかり忘れました。）
IPv4で運用しているRTX1200にはこのident と、546は設定していません。

・identは古い技術でもはや使われていないといいます。（pop3セッションとかでクライアント認証で使われるそうです）
これってIPv6では必須なんでしょうか。

・udp 546は、dhcpv6関係のようですね。
Protocol / Name: dhcpv6-client
Port Description: DHCPv6 Client
（参考）http://www.auditmypc.com/udp-port-546.asp

ipv6 lan2 secure filter in 1010 1011 1012 2000
ipv6 filter 1010 pass * * icmp6 * *
ipv6 filter 1011 pass * * tcp * ident
ipv6 filter 1012 pass * * udp * 546
（参考）http://jp.yamaha.com/products/network/solution/flets-next-ipv6_ipoe-rtx1200/

ステートフルな動的フィルタが心強いかなと思いました。
何も細かいこと考えなくても、アプリレベルで通信を制御設定できますものね。
しかしステートレスなudp通信に関しては、動的フィルタってタイマー動作してくれるのでしょうか。
（確か、ipv4ではそうなっていますね。すぐに閉じるようです。）

しかし、動的フィルタがなければ、設定は非常に面倒くさいことになりますね。

>>245>>251
RT57i〜NVR500のGUIにある「IPv6の設定」で「セキュリティレベル2:フィルタ有り」を選択すると、
その設定例とほぼ同じフィルタが適用されるよ。
IPv4と同様に殆どの場合identは無くても問題ないと思う。
out方向については、Vista以降のWindowsで追加された部分を含めて
IPv4フィルタと同じように制限するほうが良いかもね。

IPv6実践講座〜トラブルシューティング、セキュリティ、アプリ構築まで〜
https://www.nic.ad.jp/ja/materials/iw/2012/proceedings/t7/

>>252
ありがとうございます

RT57iとかでも、そのような設定が成されるわけですね。
一度やってみます。参考になるかもしれないですね。

identについても不要の方向で行きます。
参考ソースは忘れましたが調べてみると、identの入力を許可してしまうと、メール受信などで通信の遅延が生じるということでした。
入力しなければREJECTされてその旨がメールサーバーに渡され、次のステップに移行しますが、
入力を許可していると、REJECTされないということなので、いつまでたってもメールサーバーが待機状態になるらしいです。
（メールクライアントがidentに対応していない場合↑）
IPv6になると、NATがないので（IPv4ではNATが機能してサーバーからのident入力はなされなかったはず）、identの入力許可設定の影響は目立ってくるかもしれないですね。

OUT方向については、NBTなど不要な通信はしないようにしなければ駄目ですよね。
これも色々と調べる必要があるかもしれないですね。
このOUT方向のREJECT設定が一番大変かもしれない。

資料ありがとうございます。
確認と整理と理解のために読んでみたいです。

RTX1200初めて触ったんだけど
sip 関係のコマンド、あれなに？

sip use on すると、どうなるの
存在目的が分からん

NGNひかり電話用だよ

Windows8で、L2TPoverIPsecをつかえていたんだけど、
それが急に接続できなくなってしまうってことある？
セキュリティーレイヤでエラーが生じた（エラー789）とのメッセージが表示されるんだ。

RTX1200の設定も変えていないのになあ
なんでだろう

>>255
電話ポートないのに、どうやって使うんだい

マニュアル読めバカタレ。
同じくNECのIXシリーズにもSIP-NAT搭載してるが(古い機種ではライセンス投入が必要)、
電話ポートなんてありませんけどーー

電話ポートがないとSIPは使えない…
そんなふうに考えていた時期が俺にもありました。

SIP-NATっていうんだっけ？

複数セッションのRTX1100の配下に
複数のVoIPアダプタを置いて使ってたけど
nat descriptor sip x on とかするくらいだったが

SIP-NAT と sip use 〜 とは別じゃない？

SIPプロキシ機能を実装してくれて↓のようなSIP電話機を使えるようになると良いな
http://www.ntt-west.co.jp/kiki/consumer/home/hq100/

>>254
http://www.rtpro.yamaha.co.jp/RT/docs/ngn/ngn_dataconnect.html

>>261
ありがたいが、それを読んでもNGNとSIPとの関連性が理解できないよ・・・

>>262
SIPはなにも、電話だけが用途ではない
データ通信のあて先を交換することだってできる
データコネクトはその具体例

>>262
http://www.ntt.co.jp/journal/0810/files/jn200810022.pdf
http://www.ntt-east.co.jp/aboutus/ngn_about.html
https://www.ntt-west.co.jp/ngn/about/

NGNについてアホ共が永遠に語り合うスレ#02
http://engawa.2ch.net/test/read.cgi/network/1264777970/

>>257
RTX1200には電話機ポートがないのにISDN S/T ポートが有るわな
『電話ポートないのに、（ISDNを）どうやって使うんだい』と思わなかったか？

ISDNの用途が通話だけではないように
ひかり電話やSIPもまた、通話だけのものではないのだよ

SIPのパケットの中には、IPアドレスが含まれている。
なんで、NAT超えとなる通信の場合に、SIP-NATの機能がないと、SIPはつながらない。

具体的には、
ttp://www.asterisk-fusion.jp/
このサービスで、LAN内のSIPサーバからレジストするのに、利用させてもらっている。
SIP-NATが無いと、SIPサーバにグローバルIPが必要になっちゃう。

>>265
ISDNはRTX1200でも使ってるから特に違和感はない

>>266
SIP-NATの話は誰もしてない

SIP-NATについてhage閣下が御立腹みたいです…

みんなKY

IPv4だったら、192.168.0.0/16のアドレスでインターネットに出ないように、
フィルタを掛けるけど、
IPv6では、そういうことをする必要はないんだろうか。

リンクローカルアドレスと、グローバルユニキャスト、サイトローカル？アドレスの識別は、
IPv6プロトコルに組み込まれていて、ルーティングされないなどの処置が自動でなされるんだろうか。

yamahaのコンフィグには、IPv4については明示しているけど、
IPv6のネット接続の設定例にはないよね。

rtx1200なんですけど、遠隔地に設置しているそれが、
筐体内温度(℃): 45
なんですけど、大丈夫でしょうか。

大丈夫。

>>271
遠くじゃ難しいだろうけど、そのときの周囲温度を知ることが大事。
たとえばそのときに周囲が30℃なら、温度差は15℃。
常識的な範囲でこの温度差は一定になるから、
RTX1200の動作環境条件は 0〜40℃なので、55℃までは仕様の範囲内と言うことになる。

>>270
製品毎の実装に依存するかもしれないけど、
リンクローカルアドレスはルーティングしないようになっていると思う。

サイトローカルアドレスという定義が有効だった時代の製品と
定義が廃止された後の製品とでは、「fec0::」で始まるアドレス
（旧サイトローカルアドレス）の扱いが異なる可能性があるね。
適当にググったところ↓の記述が出てきた。
http://www.alaxala.com/jp/techinfo/archive/manual/AX7700R/HTML/10_10_/APGUIDE/0276.HTM#ID01567
> 本装置はIPv6サイトローカルアドレスを「(3)　グローバルアドレス」
> のIPv6グローバルアドレスとして扱います。そのため，IPv6サイト
> ローカルアドレスをインタフェースに設定した場合は，IPv6サイト
> ローカルアドレス情報がサイト外に出ないようにルーティングや
> フィルタリングを設定してください。

挙動までは確認していないけど、NVR500で以下の経路を設定できた。
ipv6 route fe80:1::/64 gateway fe80::1%2
ipv6 route fec0:1::/64 gateway fe80::1%2

それぞれの製品で実際に試してみるのが確実だろうね。
ユニークローカルアドレスはもちろんルーティングされるよ。

>>273
>たとえばそのときに周囲が30℃なら、温度差は15℃。
>常識的な範囲でこの温度差は一定になる

前に温度計で室温を調べたことがあって、そのとき確か30度Cちょうどでした。
本当だ。なるほど。

55度Cを超えないように注意します。

>>275
業務用なんだから、疑問に思ったらまずマニュアルぐらいきちんと見ろ。

4.36 温度監視の閾値の設定
の項目を見たら、70℃超えたら黄色信号。75℃超えたら赤信号。

>>276
ありがとうございます
60度超えてもまだ余裕があるってことになりますね
でも部品とか痛みそう

外部に放熱金属板とか取り付けられるコネクタがあったらいいのに
そうしたらもっと放熱が良くなりそう

>>274
さすがに、リンクローカルアドレスの扱いが実装で変わってもらっては困るｗ
fe80::をルーティングしちゃう機械は、IPｖ６の規格外品で、そんな物売られたら、
大変何事になるｗ

>挙動までは確認していないけど、NVR500で以下の経路を設定できた。
>ipv6 route fe80:1::/64 gateway fe80::1%2
>ipv6 route fec0:1::/64 gateway fe80::1%2
リンクローカルアドレスで、ルーティング先を指定してるだけで、
fe80::/10がルーティングされる訳じゃないからな。

%2　って？

>>279
リンクローカルアドレスは、複数ポートに同一アドレス空間が振られる事になるので、
どのインターフェース宛かを指定する必要がある。
それがアドレス%インターフェースの形。

>>278
> fe80::をルーティングしちゃう機械は、IPｖ６の規格外品で、そんな物売られたら、
> 大変何事になるｗ
ごもっとも。

> gateway fe80::1%2
この部分については
> リンクローカルアドレスで、ルーティング先を指定
だけど

> >ipv6 route fe80:1::/64
この部分は送り先のホスト
つまりリンクローカルプレフィックスの経路情報を設定できてしまっているんだよ。
fe80::/10でも設定できる。

>>279
http://www.rtpro.yamaha.co.jp/RT/manual/nvr500/ipv6/ipv6_route.html
> IP アドレス % スコープ識別子

>>281
俺もまだIPv6は勉強不足だけど、
>この部分は送り先のホスト
>つまりリンクローカルプレフィックスの経路情報を設定できてしまっているんだよ。
>fe80::/10でも設定できる。
これが出来てしまって問題になるパターンて・・・ある？

fe80::/10は、そもそもルーティング"しちゃ駄目”なアドレス範囲なので、
ルーティング処理まで行っちゃう時点で、ファームのバグって事に。
逆に、fe80::/10を複数IFを持った機器から、送信する場合、
必ず、出力IFを指定しなきゃならないはず。（これをルーティング任せに出来たら、それはバグな気が）
結局、ルーティングテーブルが使われる事は無いはずなので、
設定出来たとしても、問題にはならない気がするけど・・・
やるとすれば、"設定しても意味無いですよ"とエラー出すぐらい？

これ以上は、ちょっとスレ違というか板違になりそうだけど。

WINDOWS 7のIPCONFIGコマンドを打ってみたら、
%13とか、%14が、リンクローカルIPv6アドレスfe80::（/10）についていた！

このリンクローカルアドレスをつかって、次のノードのMACアドレスが何かを解決するんですよね。
このあたりが良くわからない。
http://jp.yamaha.com/products/network/solution/flets-next-ipv6_ipoe-rtx1200/
を参照してみたけど、リンクローカルアドレス関係の設定はないよね。

グローバルユニキャストアドレスだけではいけないの？
リンクローカルアドレスって意識しなくて良いの？

>>283
>>252のリンク先
https://www.nic.ad.jp/ja/materials/iw/2012/proceedings/t7/t7-kawamura.pdf#page=22
> ・Link localは設計段階で「意識」しておかないと
> 　後でポリシーを変更する事は難しい
> ・運用で必ず登場する。「見えないアドレス」では無い

リンクローカルアドレスは最初から付いているんだよ。
ヤマハルーターの場合、最初から付いているリンクローカルアドレスの
変更や削除はできないが、それとは別に追加することはできる。
ipv6 lan1 address fe80::1/64
ipv6 lan2 address fe80::2/64
…などとしておくと楽。

同様にユニークローカルアドレスも
ipv6 lan1 address fd01::1/64
ipv6 lan2 address fd00::2/64
…などとしておくと楽。（他人と被ってしまい「ユニーク」ではなくなるが）

デフォルトゲートウェイ設定を楽にする
http://www.vwnet.jp/IPv6/IPv6Start.asp#IPv6DefaultGateway

キモいオッサンだらけのSNSとか胸熱
http://projectphone.typepad.jp/blog/2013/06/interop20137--27a8.html
| 「ヤマハネットワークエンジニア会」という「業界特化型の新しいソーシャ
| ルメディア(SNSサービス)」の開設準備を進めております。近日に一般会員
| (無料) の募集を開始する予定です。

>>285
大丈夫、キモいオッサン達に混じってほぼ確実に紅一点参加してくれるはず

ip route default gateway {global_ip}
ip lan1 address 192.168.1.1/24
ip lan2 address {global_ip}
ip lan2 secure filter in 200020
ip lan2 secure filter out 200099 dynamic 200098 200099
ip filter 200020 pass * 192.168.1.0/24 icmp * *
ip filter 200099 pass * * * * *
ip filter dynamic 200098 * * tcp syslog=off
ip filter dynamic 200099 * * udp syslog=off

こんなかんじに、WAN側のINをICMP以外全部rejectして、OUTを全部pass＋動的フィルタってすると、

LAN2 Rejected at IN(default) filter: TCP xxx.xxx.xxx.xxx:80 > 192.168.1.xxx:xxxxx

↑みたいな動的フィルタがタイムアウトしたあとにrejectされたようなログが大量に出るんだけど、
こういう残尿的な通信って結構あるもんなのかな？内部からは普通にWebにアクセスできてる

ip filter dynamic timer で tcp-syn-timeout をちょっと長めに設定したらどう？

tcp-syn-timeoutじゃなかったtcp-fin-timeoutの方ね

さんくす。しかしログを細かく出して調べてみたら別の原因だった模様
2013/06/18 13:26:49: [NAT(1):LAN2] Bound TCP 210.196.xxx.xxx.61667 <-> 192.168.1.132.1630 ==> 133.242.xxx.xxx.80
2013/06/18 13:26:49: LAN2 Rejected at IN(default) filter: TCP 133.242.xxx.xxx:80 > 192.168.1.132:1630
2013/06/18 13:26:51: LAN2 Rejected at IN(default) filter: TCP 133.242.xxx.xxx:80 > 192.168.1.132:1630
2013/06/18 13:26:56: LAN2 Rejected at IN(default) filter: TCP 133.242.xxx.xxx:80 > 192.168.1.132:1630
2013/06/18 13:27:06: LAN2 Rejected at IN(default) filter: TCP 133.242.xxx.xxx:80 > 192.168.1.132:1630
2013/06/18 13:27:25: LAN2 Rejected at IN(default) filter: TCP 133.242.xxx.xxx:80 > 192.168.1.132:1630
2013/06/18 13:27:49: [NAT(1):LAN2] Released TCP 210.196.xxx.xxx.61667 <-> 192.168.1.132.1630 ==> 133.242.xxx.xxx.80
そもそも動的フィルタのセッションが作られてなかったでござる。。。
ほとんどの外向け通信ではセッションができてるから、ときどき発生してるだけぽいんだけど、そんなことってあるの？

2013/06/18 13:24:15: [NAT(1):LAN2] Bound TCP 210.196.xxx.xxx.61310 <-> 192.168.1.132.1953 ==> 117.20.xxx.xxx.80
2013/06/18 13:24:20: [INSPECT] LAN2[out][200098] TCP 192.168.1.132:1953 > 117.20.xxx.xxx:80 (2013/06/18 13:24:15)
2013/06/18 13:25:14: [NAT(1):LAN2] Released TCP 210.196.xxx.xxx.61310 <-> 192.168.1.132.1953 ==> 117.20.xxx.xxx.80
↑正常な通信

通した相手からSYNパケットを受信したとか？

ログが気になるので
↓フィルタ入れてます（動的の意味無いけど）

ip filter 200097 pass * 192.168.1.0/24 established * *
ip filter 200098 pass * 192.168.2.0/24 established * *
ip filter 200099 reject * * * * *

質問ですが
デフォルトゲートをPP１から来たパケットはPP1へPP2から来たパケットはPP2へ
とできましたでしょうか？

>>293
どこから来たかなんてパケット自身は知らないし、
パケットレベルでは、すべてステートレスなので、
そんな器用なことはできない

>>294
これって、正しいの？

そのパケットを制御してるのはルーターだろｗ
パケット転送フィルター使えばできそうな気がするんだがな

ip route のオプションで来たインターフェースに返すオプションとかあってもいい気がする

>>297
http://www.rtpro.yamaha.co.jp/RT/docs/multi-homing.html
の「ストリーム」がそういう動作をさせるものだと思うけど
ただ、マルチホーミングは、どっちかというと内→外向けの機能だろうから
293の用途詳細も不明だから、使えるかどうかは不明

>>297
>来たインターフェースに返すオプション

IPパケットに、どのインターフェイスからきたかを刻印する必要はないの？
そして受け取ったPCでも、その刻印を適切に扱って、応答パケットを作成する必要があるんじゃ？
そうしてはじめて、ルーターはどのインターフェイスに転送すればいいか理解できると思った。

いや、たとえ外からのパケットがpp2から来たとしても、default gatewayで指定されてるほうに返すんじゃないか？
さらに、pp2を選択していたとしても、返答先までのhop数が少ないほうを自動で選択するんじゃないか？
めんどくせぇからPCにLANカード2枚刺してタグVLANとかでlocalIPを分けちまえよ。NVR500の最新ファームとかならタグVLANいけっぞ。

>>299
おいおい、ネットワーク層とデータリンク層をごっちゃにするなよ・・・

>>301
でも、そういうことでしょ>>293のしたいことって
データリンク層であるPPインタフェイスのどれからきたIPパケットかを判別することだから。

ゲートウェイが一個の単純なネットワークならマルチホーミングでできるだろうけど、
ちょっとでも複雑になると無理じゃね。端末も自分の好きな方向へパケットを送れるんだから。
ルータだけで完全に制御できるわけがない。

>>302
そう、結局、規格外でやんないと、どーにもならんって事なんだよ。
ルーターだけでどうこう出来る事じゃない。

http://itpro.nikkeibp.co.jp/article/COLUMN/20130610/483762/
こういうのならできるかも

>>305
>ものの一つがインターネットであることは論を待たない

「一つが」というところがズルイ

おじゃまします　RT107Eを使ってます
IPアドレス192.168.0.30をインターネットに接続不可とする場合の設定って、これでいいのでしょうか？
適用　出　reject 送信元IPアドレス192.168.0.30 送信元ポート80 受信先＊ 受信先ポート＊
　

送信元ポートは　* でOK
Webだけ弾くなら通常は　受信先ポートを　80,443で弾く

>>307
WEB設定はしたことないから、細かいところは違ってるかもしれないが。

「インターネットに接続不可」って書いてるけど、WEBだけ見られないようにしたいの？
それなら、送信元IPアドレスが192.168.0.30 相手のポートは80,81(HTTPが80、HTTPSが81)
他は全て「*」

全くつながらないようにするのなら、送信元IPアドレスが192.168.0.30で、他は「*」

あとはそのフィルターを、LANポート側にかけるか、PP側にかけるかは他の設定次第かな。

HTTPSは443だろ

ありがとうございます！！

>>307
インターネットに接続不可にしたいなら、

プライベートアドレスのクラスABCアドレス宛へはパスにして、
それ以外のアドレスはすべてインターネット宛アドレスとしてみなして、
デフォルトリジェクト機能でブロックするなあ。

湿度と気温が高い今日でも元気に動いてくれるヤマハさんまじかっけーす。

教わった通りに設定したんですが、指定外のIPアドレスも全く通信を受け付けなくなって、シリアルケーブルつないで初期化しました・・・

>>314
REJECTフィルタを設定したら、
それ以外のパケット用に、PASSフィルタも設定する必要があるね。

>>314
http://toro.2ch.net/test/read.cgi/hard/1353631139/126

ついでにこれ大事
http://www.logsoku.com/r/network/1329367146/714

>>314
初心者だと、絶対にやってしまうミス

イチから勉強します！

Webから設定したんじゃなかったの？

Webから設定したんですけど・・
知識がなさすぎでした・・

>>314
それが遠隔地にあるルーターなら、泣くことになる

旅費、時間、迷惑、信用、すべて失う

>>321
というのは冗談ということで

｜[NGN]
○ ↓LAN1 グローバルIP1(Pri)、192.168.1.1/24(Sec) (グローバル用ルータ Unnumbered)
｜[ネットワーク1]
● ↑LAN2 グローバルIP2(Pri)、192.168.1.2/24(Sec) ↓LAN1 192.168.2.1/24 (ローカル用ルータ)
｜[ネットワーク2]
□ ↑192.168.2.100/24 (PC)

ネットワーク1とネットワーク2のプライベートアドレス間でNATなしで普通にルーティングしたくて
↓の設定を●のルータにしたんだけど、ネットワーク1からネットワーク2へはアクセスできなかった
NATディスクリプタではこういう事はできないの？

ip lan2 nat descriptor 1 2
nat descriptor type 1 masquerade
nat descriptor address outer 1 primary
nat descriptor type 2 none
nat descriptor address outer 2 secondary

うーん。LAN2から入ってくるパケットはmasquerade incoming throughで透過すればいいけど
出て行く方はどうしてもIPマスカレードで強制的に変換されてしまう気がする
宛先アドレスによってIPマスカレードするかどうか決めるような仕組みなんて無いよね。。。
LAN3に192.168.1.2/24割り当てて普通にルーティングさせるのが正攻法か

ip lan2 nat descriptor 1
nat descriptor type 1 masquerade
nat descriptor address outer 1 primary
nat descriptor masquerade incoming 1 through

NATとか要らないんじゃないの
○ルーターに192.168.2.0/24の経路を書いてあげればOK
ip route 192.168.2.0/24 gateway 192.168.1.2

>>321
リモートセットアップで切り抜けたことなら…

>>326
me too

INSがない環境に設置するときはいらない緊張して、
モニョモニョしながら設置完了報告を待ってる。

ひかり電話でリモートセットアップしよう

フレッツ・v6オプション でネーム利用した場合ルーター的にはDNSサーバーの設定っているの？

IPv6 IPoEならいるかな
IPv6 PPPoEの場合も、敢えてフレッツ・v6オプション用の設定を
しなければならない気がするのでやっぱりいるんじゃないかな

>>330
名前解決にNGN側（IPv6 IPoE側）のDNSv6サーバーを利用するようになっていればOK。
NVR500等のGUIで「フレッツ 光ネクストにおけるインターネット(IPv6 IPoE)接続」
を選択して設定したのなら、「ひかり電話の契約」の選択に応じて
ipv6 lan2 dhcp service client ir=on
または
ipv6 lan2 dhcp service client
が追加されるから他の設定は要らないよ。
http://jp.yamaha.com/products/network/solution/flets/next/flets-next-ipv6_ipoe_only-nvr500/
http://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-NEXT/ipv6_ipoe.html

UNIとヤマハルーターの間にHGW（ひかり電話ルーター）を介している場合は
そちらの「DNS設定」の「IPv6 IPoE通信優先機能」が「自動設定」または「優先する」になっている必要があるかもしれない。
http://www.ntt-west.co.jp/kiki/download/flets/pr400ne/#5

DHCPv6で通知されるDNSサーバーアドレスは
・インターネット（IPv6 IPoE）を契約していない場合はNTT東西のDNSサーバーのアドレス
・インターネット（IPv6 IPoE）を契約している場合は、各々が利用しているIPoE接続事業者のDNSサーバーのアドレス
になるはず。

>>331
ヤマハルーターではIPv6 PPPoE利用時にIPv6 IPoEの通信を併用することはできないよ。
アダプタガイドラインに準拠している機器（IPv6 PPPoEとIPv6 IPoEを併用できる機器）は
ドメイン検索リストを使って自動選択するようになっているから特に設定は要らない。
http://www.ntt-west.co.jp/open/ngn/pdf/ipv6_tunnel_adp.pdf#page=30

ヤマハルーターもドメイン検索リストを取得する模様。
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/NVR500/relnote_11_00_16.txt
> [9] DHCPv6クライアント機能で、Request、Inform-Requestの要求オプションリストに
> Domain Search List(24)、SNTP Servers(31)を設定するようにした。

ゴメン訂正
dns server dhcp lan2　だね。

ありがとうございました。
ネーム使ってIPsecやってみます

>>334
丁度その話題がrt100i-users MLの40572から40584に出てるよ。

>>335
あと、pptpの脆弱性の話題も

yamahaの公式ページによると、
pptpのトンネル通信がネットワーク上で読まれなければ大丈夫だということだった。

いったい、その人はどこで読まれてしまったんだろう。
不正アクセスをしてきた相手先は、CN割り当てのアドレスだった。

このさいSSTPも実装したらいいのに

お、ついにRTX5000きたか
俺には全然関係ないけど。。。
スループットぱねー

ヤマハ△

1Uで3,000ヶ所VPNかよ…化け物だな。
一台83ﾏｿのルータなんぞ、俺にも関係ないけど；；

温度大丈夫なのかな。目玉焼き作れたりするのかな。

>>341
最大消費電力（皮相電力）38W（39VA）
おおざっぱにRTX1200が2.4台分。たいしたことはない。
まあ、マウントするわけだから、ファンは付いてるけどね。

1UのL3スイッチだって普通に100W+食うし、PoE対応だともっと酷い。
それから見たら、全然余裕っしょ。
元々、ファンぶんまわしてなんぼの世界だし、ラックマンウトはw

おなじRTXなのにこの扱いの違いときたらおまいらw

RTX1500も、RTX1200も、RTX1100も持っていて運用しているというのに、
おのおの、PP接続は一個ずつしかつかっていない。
あと、IPsecVPNをお互いに。
容量的にはぜんぜん使いこなしていない。

一番いそがしいRTX1500でも、今、
CPU: 9%(5sec) 8%(1min) 9%(5min) メモリ: 17% used
な感じ。

ドコモのL-03EのUSB接続も対応して欲しいな

RTX1300はまだかいの

すみません。知恵を貸してください。
ipsecの設定で躓いてます。
拠点A　フレッツ光プレミアム biglobe　 RTX1500(1)グローバルアドレス
拠点B　IIJmio 高速モバイル/D（ドコモのMVNO　グローバルアドレスなし）　
　　　　　L-03D＋MZK-MR150＋RTX1500(2)

この２拠点でipsecをつないでいます。
設定で、
ipsec ike esp-encryption
を使えば接続できて、pingとかも通るのですが、
ipsec ike nat-traversal
を使うと”IP Tunnel[1] Up”はログにあって接続できているようなのですが、
pingも通らないし通信もできません。

http://jp.yamaha.com/products/network/solution/vpn_connect/
このページを見て問題点を探してみたんですが、わかりません。
RTX1500(2)の方はIPフィルタは丸裸にしてます。よろしくお願いします。

>>349
初歩的だけど、nat-traversalはudp 4500を開けていないとダメだよ。
まぁ開けてるとはおもうけど。
つーかnat-traversalをワザワザ使う必要あるん？

>>350
ありがとうございます。
RTX1500(1) UDP192.168.1.1.500,4500 *.*.*.*.* 500,4500 static
RTX1500(2) UDP192.168.15.2.500,4500 *.*.*.*.* 500,4500 static

で、どっちも開けてあるのを再度確認しました。

> nat-traversalをワザワザ使う必要
最初は、ここのページを見て、
http://www.rtpro.yamaha.co.jp/RT/docs/fastpath/
ファストパスで処理する機能「IPsec ESPトンネルのUDPカプセリング」「RTX1500」「×」
ipsec ike esp-encryptionだとファストパスじゃなくて、
natトラバーサルだとファストパスになると思っていたからっていうのがありますが、
今は、どっちもファストパスじゃないよなと思っているからこのことはいいのですが。

あとは、何かしらの私の人為的ミスがどこかにあるんだろうなってのと、
気持ちが悪いっていうのと、
--------------
IPsecトンネル 2の状態
現在の状態
接続状態　　 Up(接続中)
SAの数　ISAKMP SA 1個
　　　　　　IPsec SA send 2個
　　　　　　IPsec SA recv 2個
IKEキープアライブ　 NG
--------------
なぜか、esp-encryptionでpingとか使えるのに、上のようにIKEキープアライブ　 NGなのが分からないので、
ちょっと問題があるとおもうので。

キープアライブはだいたいNGになってる気がする気にしなくておｋ

349,351です。
すみません。自己解決しました。
アグレッシブモードにしないといけないのに、メインモードになってました。
完全な私の勘違いでした。申し訳ない。
アグレッシブモードにしたら上手くいきました。

しかし、natトラバーサルはアグレッシブモードにしないといけないので、
DDNSを使ったメインモードのesp-encapsulationよりも、セキュリティ的に下がる気がします。
YAMAHA同士ではnatトラバーサルは不要なんですかね。

今気が付きましたが、349,351でesp-encapsulationをesp-encryptionと間違ってますね。
重ね重ね申し訳ない。

ぶっちゃけ、これ以上はconfig出してもらわんと、
誰も分かんねーんじゃないかね？エスパーな方がいれば別だけど。

>>352
RTX1500(1)（グローバルアドレス）側の方は「IKEキープアライブ　 NG」で、
RTX1500(2)の方は「IKEキープアライブ　 OK」になってます。
たぶん、これもフィルター関連の私のミスの可能性が高いと思うので、ボチボチ見ていきます。
ありがとうございました。

そうか接続開始側がキープアライブするのか

今、こんな感じで光ネクストで使っています。

InterNet ----[ONU]--[ONUのHUB]----[PC]
　　　　　　　　　　　　　　　　　　　｜←A
　　　　　　　　　　　　　　　　[RTX1500]

光ネクストでギガなのでONUにPPPoEをやらせてPCはギガでインターネットに接続してます。
そこにIPsecで別の場所とVPNを張ろうと思うのですが、
図のようにA一本でRTXを接続すると、データの経路は

PC→(A)→RTX→(A)→ONU→インターネット
となり、Aを二回通るので、全二重通信をすると、
受信、送信の速度がそれぞれ100Mの半分の50Mしか出ない計算になります。

そこで、LAN1の他にLAN2もONUのHUBに繋いだら、上手いこと100Mになるんじゃないかなと思っていますが、
ネットワークの構築の方法がイマイチわかりません。
同一セグメントにLAN1とLAN2をつなぐ設定はどのようにしたら良いのでしょうか？

ip lan1 address 192.168.1.2/24 ----(1)
ip lan2 address 192.168.1.3/32 ----(2)

として、別の場所のネットワークを192.168.111.0/24として、
そのPCやONUの静的ルーティングを(2)の方に向けてやればよさそうですが、
その帰りの192.168.111.0/24からPCへのパケットの出口が(1)になりそうですし、

根本的に、物理的に同じHUBに同じセグメントの物を繋いでパケットがおかしくならないかってのも気になります。
何か解決法があれば教えてください。

>>357
なんかネットワークの知識が恐ろしく変なんだが

そうなんですよね。
知識がないんですよ。
いい解決法があったら教えてください。

ONUのHUBって口が２つ以上あるの？
プロバイダーへの接続は１つ？
だとしたらどのONUつかうの？RTXつかうの？

ONUのHUBは（ONUへの内部的接続を除くと）4ポートあります。
そのうち、1つはPCが刺さってるので、RTXで2つ使っても1つ空きがあります。

プロバイダーへはONUがPPPoEを使って接続してます。
RTXでPPPoEをやらせるとギガじゃなくなるので。

たぶん無理だな

おとなしくギガ対応のRTX買ったほうがいい

まぁPCにNICもう一枚さしてRTXのLAN1につなげばすっきりするとは思う
そのONU通してのIPsecできるかどうかは知らんが・・

全二重の解釈が違うな
上り100M、下り100Mなので双方向で測ったら200M
半二重なら上り下り100Mなので単純に双方向だと100M(片方向50M)

こんな方法は思いつきました。
InterNet ----[ONU]--[ONUのHUB]----[PC]
　　　　　　　　　　　　　　　｜　　　　|←B
　　　　　　　　　　[RTX1500]-C-[RT]

っていう風に、余ってるヤマハルータを入れる方法は大丈夫ですよね？
BかCのところに静的NATでも入れてPCのアドレスを偽ってやれば。
これで全く問題ないと思いますが、

気になるのは、
ルータの電気代増える、コンセント一口減る、LANケーブル１本増える、場所が邪魔、
ルータによる遅延、ルータ故障・不具合の可能性の分信頼度が下がる、設定が面倒。
なので、なるべくRTX1500一台で完結させたいのです。

>>363
いい方法だとは思います。
ですが、うちの場合、PCからONU等のあるところまで遠いので、ケーブルをもう一本引くのは、
コスト的にも、労力的にもきついです。
あと、複数台のPCを使う場合はちょっと難しくなりますよね。

そこまでしてRTX1500を使わなくてもな

つか、そんなレベルでipsec使えるんかい・・・

お勧めはせんが
どうしてもというなら

ONU　192.168.1.1/24
RTX1500 LAN1 192.168.2.2/24
LAN2 192.168.1.2/24
LAN1,2はONUのHUBへ

PC 　　　　　　　　　192.168.1.3
PC上のアドレスの追加設定　192.168.2.3
デフォルト　192.168.1.1
追加の静的ルーティング　route add VPN先ネットワーク　mask 255.255.255.0 192.168.2.2

で、VPN先ネットワークなら仮想IPアドレスの192.168.2.3発で行ってくれるなら
いけそうな気がする

で、そのONU通してのIPsecできるかどうかは知らんが・・

>>366
タグVLAN使えるHBU噛ませばケーブル一本でもいけるかも

ていうか、ONUにPPPoE接続機能はないんだが。ONU一体型HGWでしょ。

業務用スレに来るレベルじゃないと思うんだが…

>>370
前半について全くその通りだし、混乱の元だから混同するなと俺も思うが、
たちが悪いことに、NTTがそれを「ONU」と表現していたりする。

>>371
少なくとも「業務用」スレで誤用すべきじゃないと思う。

東西NTTがONUだけ設置していくか、ONU一帯側HGWを置いていくかは状況しだいかな。
話がややこしいのはVPN経由の通信だけRTX1500を通したい、ってところね。
それをL3で実現するには設置機材が増えるのでフツーはやらない構成だよね

企業で複数台のPCもVPN経由したいならRTX810でも買え

久々に何言ってんだこいつってやつが来たな。

ああ、何言ってんだこいつってやつが来たｗ

>>365　です。結局、>>365　のネットワーク構成にして、
InterNet ----[ONU一体型HGW]--[HGWのHUB]----[PC]
　　　　　　　　　　　　　　　　　　　　　｜　　　　　　|
　　　　　　　　　　　　　　　　　[RTX1500]--C--[RT57i]

RTX1500のLAN3　Cの位置にIPIPトンネル張ってNATを入れました。
IPIPトンネル張らないでNATかけたんですが、
私のスキルでは上手くできなかったのでIPIPトンネルを使いました。

PC、HGW側のネットワークアドレス、192.168.1.0/24をNATで192.168.3.0/24に変換
IPsecの相手先ネットワーク192.168.2.0/24

RTX1500側はIPIPトンネルの設定と以下のような感じ。
nat descriptor type 2000 nat
nat descriptor address outer 2000 192.168.3.1-192.168.3.254
nat descriptor static 2000 1 192.168.3.1=192.168.1.1 254
ip tunnel nat descriptor reverse 2000
ip route 192.168.3.0/24 gateway tunnel 3

RT57i側はIPIPトンネルと設定とルーティング
ip route 192.168.2.0/24 gateway tunnel 1

PCはroute -p add 192.168.2.0 mask 255.255.255.0 "RT57iのアドレス"

そんなにルーター入れた遅延も無く問題なく使えています。こんな感じでやりました。
RTX1500にNATを任せた方が速いかなと思って逆NATでやらせてみました。

問題点は、>>365に書いた分と、IPIPトンネルを使うと、RTX1500がノーマルパスになるのと、トンネルの遅延ぐらいですかね。
とりあえすしばらくはこれで使いたいと思います。
何か、IPIP使わない方法はこうしたらいいよとか、ここをこうしたらいいよとかあったら教えてください。

あと、私の用語間違いで気分を害された方、すみませんでした。

>>369
この設定もよさそうですね。時間のある時に試してみます。

> >>366
> タグVLAN使えるHBU噛ませばケーブル一本でもいけるかも

たしかに。ハブ使えば済むだけの話でしたね。お恥ずかしい。
なんでタグVLANはいるんですかね？詳しくないので。ちょっと勉強してきます。

reverseナットって、何？

納豆嫌いの人が
ついウッカリ口に入れてしまったとき
起こる現象

面白くない

説明し過ぎてつまらないパターン

手厳しいな

>>380
ワロタｗ

>>382
【Reverse NATTOH】リバース・ナットー
Reverse NATTOHとは、納豆嫌いの人が、うっかり口に入れた際に観察される事象。
口に含んだ時点で口腔内の残留物のみを噴出する静的リバース（Static Reverse）と、
勢いで飲み込んでしまった後に発生する動的リバース（Dynamic Reverse）があり、
後者のトラフィックの方が増大・輻輳しやすい特徴がある。
なお、納豆の芳香を嗅いだだけで発生し、納豆そのものはリバースしない
Reverse by NATTOHや、動的リバースに誘引されて別セグメントで発生する
Reverse Surrounding NATTOHとは明確に区別されるべきで、注意が必要である。

>>379
http://www.rtpro.yamaha.co.jp/RT/FAQ/NAT/reverse-nat.html

>>386
一言、二言で、言ってほしい。
これ前に使って、よくわかっていなかったが、狙い通りに動作しなかった苦い経験がある。

>>387
この説明でわからないなら
一言で理解できるわけない

ヘアピン納豆も、すぐにはピンと来ないよな

>>387
グローバルから来た通信をローカルアドレスから通信しているように見せる。

>>390
わかりやすい
本当だ、逆になっている

NATをかける向きがインターフェイスにおいて普通のとは逆になるんですね

お前本当に>>386見たのか？

>>392
見てない。
>>390さんの言うのをそのまま理解したけど
・・誤解している？

（ダメだこいつ）

>>>394
pop ax
inc ax
push ax
jmp [0394]

76h

>>396
118 ?

>>397
HALTでないかい

ED B0

いい加減にしろ

>>395
フラグ立っているね

幸せのフラグ

LINEというコミュニケーションツールってありますよね、
この通信をREJECTして使えなくしたいんですが、参考になるサイトがあれば教えてください。

スレチ、ググれ

ググっても出てきません。ヒントでもお願いします。

通信時のNATテーブルみてどのアドレスと通信してるかわかるから
それでLINEと思われるのをかたっぱしから弾く

もしくはWiresharkとか。
日経BPは参考にならなんだか？

YAMAHAルータの話からはそれているのでこれで最後にするけど

http://itpro.nikkeibp.co.jp/article/COLUMN/20121108/436124/

>>406みたくNATテーブルのアドレスをnslookupかけるか、クライアントとルータの間にPC入れてパケットキャプチャして、LINE0xに対する通信にRejectかけてやりゃログイン、トーク、通話を防げるんじゃないかね。

とりあえず頑張れ

80,443 辺りを使ってるみたいだから、難しいんじゃない？？

ポートはともかくakamaiやamazonのクラウドとか使ってたら面倒だけどね

itmedia とかの解説記事では、そこまでしてないって書いてある。

特別なポートをあて先につかっているならともかく、
サーバーのIPアドレスだけでフィルタしないといけないとなると難しいです。

HTTPをつかっているのなら、URLFILTERは使えませんか？

5000 や、5228 を使ってるみたいだから、そのポートを
遮断で良いんじゃない？？
韓国のIP アドレスへも接続してるみたいだし。

>>413
あて先が、5000や、5228なんですか。
まったく関係ないサーバーが、それらのポートを使っていなければ、
まとめて遮断できますけど、サーバーを指定しなければならないとなると、
めんどうですね。

用途も環境も言わずにうだうだと難しいとかできないとかいつまでスレチ続ける気？

できないひとがめんどう・難しい・できないって繰り返す
このひとはこれからもずっとできないままだよ

>>414
使っているサーバーのほうが少ないでしょうね。

LINE一括遮断の話題はスレチとは思わんな・・・

YAMAHAのルータで工夫してフィルタするのも楽しみだが、業務ならFortiGateを入れれば解決するぞ。
アプリケーション指定で一発だ。
機能も性能も上。ライセンス費用もかかるが激安だよ。
既存の回線に挟んで見ているだけで楽しいぞ。

rtxにtelnetでよく接続するんですが、
show configってやったときに、コンフィグがザーッと出てきますよね。
このとき、毎行毎行、変なところで改行されてしまいます。
telnetクライアントソフトを変えても駄目でした。

コピペするときに、いちいちメモ帳に貼り付けて、改行を修正してから、
再度rtxに貼り付けるという手順になって面倒です。

改行を、コンフィグの行ごとに行うことは可能でしょうか。

>>420
console lines infinity

俺はtftpで丸ごと取得している。
内容がブロックごとに分かれるので便利。

>>421
すみません。さっそくレスありがとうございます。

たしかに、tftpで一度テキストにすればいいんですけど、
面倒ですよね。

教えてもらったconsole lines infinity を試してみたいと思います。

Linuxと、RTX1200とをIPsecVPNで接続したいです。

Linux側には固定のグローバルアドレス（IPv4）がありますが、
RTX1200は固定のグローバルではありません。

ぐぐってみると、Linux側のracoonとrtxとを接続する内容がいくつか見つかりました。
しかし、双方で固定のグローバルアドレスを利用しているようです。

Linuxで固定アドレスを設定してレスポンダとして、
RTX側はL2TP/IPsecのようなイニシエーターとして使うような設定はあるでしょうか。

tunnel select 1
ipsec tunnel 101
ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike local address 1 {自分自身のルータのLAN側IP}
ipsec ike pfs 1 on
ipsec ike pre-shared-key 1 text {事前共有鍵}

ipsec ike remote address 1 any

ipsec ike remote name 1 ipsec1
tunnel enable 1
ipsec auto refresh on
ip route {対向のネットワークアドレス} gateway tunnel 1

tunnel select 1
ipsec tunnel 101
ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike local address 1 ｛自分自身のルータのLAN側IP｝
ipsec ike pfs 1 on
ipsec ike pre-shared-key 1 text {事前共有鍵}
ipsec ike local name 1 ipsec1
ipsec ike remote address 1 x｛対向ルータのグローバルIP｝
tunnel enable 1
ipsec auto refresh on
ip route {対向のネットワークアドレス} gateway tunnel 1
nat descriptor type 1 masquerade

>>424
これって、RTX同士の設定ですね

>ipsec ike pfs 1 on
？こんな設定ってあったかな。

RTX同士での片側動的IP時の設定例から自分で考えれって事じゃねーの
Linuxってだけの括りで聞かれても困るだろ
ディストリすら決めてないんだろ

>>426

CentOS 6です。
VPSを使うので、対向ネットワークにはRTXを導入できないのです。
どうしても、VPS上のVPNサービスと、RTXとを直に接続する必要があります。


ヤマハさんがこのあたりの設定例を、LINUX側と、RTX側と双方について、
用意してほしいなあ。これからは、VPSも盛んに使われる時代だと思うし・・・

> どうしても、VPS上のVPNサービスと、RTXとを直に接続する必要があります。

なの?
両方 Linux にすれば
てのはナシで

>>428
VPSを使う意味の一つは、自前ネットワークにPCを置かないことなんです。
PCって、壊れやすいし、メンテが面倒なもので。
だから、自前ネットワークには、RTXしか置きたくないんですよ。

すみません、質問です。

unnumbered設定したPPインターフェイスに、
割り当てられたグローバルIPv4をouterにセットしたNATを、
割り当てられたIPv4アドレス個数ぶん、複数関連ずけて使おうと思っています。

必要なければ、LANインターフェイスでそのグローバルIPv4アドレスは使わなくてもいいんですよね。
そんな風にouterをセットしたNATディスクリプタだけで運用してもいいのですよね？
どっちがスタンダードなのですか？

>>430
unnumbered設定したPPインターフェイスを使って、インターネットに接続する場合、
もし、プロバイダから割り当てられたアドレスを、LANインターフェイス側で使ったら、
ネットワークアドレスや、LANインタフェースのゲートウェイアドレス、ブロードキャストアドレスで、
せっかくのグローバルアドレスを使うことになってしまうと思います。

そこで、NATのouterにそれらのグローバルアドレスを設定して使うなら、
たとえば、/30のアドレス割譲だったとしても、4個すべてがインターネットへの通信で使えることになりますか。
それともプロバイダ側で、/30の場合だと、真ん中二つだけしかインターネットへ通さないようにフィルタでもされているでしょうか。

つまり
https://faq.interlink.or.jp/faq2/View/wcDisplayContent.aspx?id=1179
をRTXでってことか？

どっちがスタンダードってのはあまりないと思う。
それぞれメリットデメリットがあるから、そこn

>>431
フィルタというか、プロバイダ側のルーティングの設定次第なんじゃないかな
/30とか/29だと最初と最後が使えないとこが多いと思う
>>432 が出してるインターリンクは「違う」ことを売りにしているようだが
http://www.interlink.or.jp/service/flets/ip2_ip4.html

Yamahaルータでの設定例も書いてあるね

>>432-433
プロバイダによって動作が異なるので、一概には言えないんですね。
プロバイダ側のルーティングにおいて、
例えば、私のところに割り当てられたa.b.c.d/30へのgatewayがpp(unnumbered)にでもなっていれば、
私の側のRTX内でNATを使うことでその4 IPとも通信可能なアドレスとして使えそうに思いました。

しかし、プロバイダ側の設定で、これ以外の設定ってあるのかなと思いました。
何がどう違えば、/30の場合、2IPしか使えなくなってしまうんでしょう。

>>434
>しかし、プロバイダ側の設定で、これ以外の設定ってあるのかなと思いました。
>何がどう違えば、/30の場合、2IPしか使えなくなってしまうんでしょう。

ネットワークアドレスとして払い出されてるからだろ。
君がどう考えようが勝手だが、TCP/IPの規格忘れんなよ。

>>435
>TCP/IPの規格

しかし、それがどこで適用されて満たされるのかは別問題だと思います

>>434
/30 は仮の話ですか？それとも実際に固定IPを/30で割り当てを受けているのでしょうか？
仮にa.b.c.0/30とすると、
a.b.c.0 ネットワークアドレス
a.b.c.1 プロバイダ側のIPアドレス(利用者側からはdefault gateway)
a.b.c.2 利用者側で使用できるIPアドレス
a.b.c.3 ブロードキャストアドレス
になりはしませんか。

インターリンクさんは、これじゃあアドレスの無駄遣いになるので、利用者側の機器を
限定することになるけれども、IP2・IP4のサービスをやっているのでしょう。

>>437
はい。しかし、その区分はその/30ネットワークの中にいる人が受ける制限です。
そのネットワーク外にある人にとっては、/30の4つのアドレスレンジは一様のはずです。
ネットワークアドレスだとか、ブロードキャストだとか、アドレスの区分は関係ないわけです。
4つとも一様にルーティングされると思うんです。

>>438
そもそも/30がUnnumberedで払い出されてるんだろ？
その時点でISPのL3スイッチで、そのセグメントを切った事になってんじゃん。
ネットワークアドレスはともかく、ブロードキャストアドレスは、他のセグメントに転送する訳が無い。

>はい。しかし、その区分はその/30ネットワークの中にいる人が受ける制限です。
>そのネットワーク外にある人にとっては、/30の4つのアドレスレンジは一様のはずです。
>ネットワークアドレスだとか、ブロードキャストだとか、アドレスの区分は関係ないわけです。
>4つとも一様にルーティングされると思うんです。

言っていることが意味不明、TCP/IP分かってないだろ。

>>439
TCPかんけいないし

>>439
レスありがとうございます。

>/30がUnnumberedで払い出されてるんだろ？その時点でISPのL3スイッチで、そのセグメントを切った事

確かに、その場合だと、そうですね。
ISP側でその/30サブネットが構成されているわけですね。

でも、次の場合は、どうなのでしょうか。

(PP)…PPインターフェイス
(LAN)…LANインターフェイス
PPP…Point to Pointプロトコル

----isp(PP)---PPP---(PP)rtx1200(LAN)----

上の図の場合、
ispでは、当該の/30サブネット宛は、ispのPPインターフェイスに流れるように設定されています。
そして、そのパケットはPPPのunnumberedで運ばれてRTX1200のPPインターフェイスに到着します。
この場合、isp側ではL3スイッチで、/30のサブネットをまだ構成していないわけです。
即ち、isp側では、/30サブネットに対するルーティングを構成しているのに過ぎないわけです。

/30サブネットの構成は、RTX1200のLANインターフェイス側に任されることになります。
そこではじめて、GWアドレス、ネットワークアドレス、ブロードキャストの特別区分が生じます。
だから、LANインターフェイスで/30サブネットを構成せずに、
/30のレンジに含まれる4個のIPをすべて、RTX1200内部でNATのOUTERに設定することで、
4個のIPをインターネットへの通信ですべて活用できるようになると思います。

プロバイダ側で、L3スイッチで/30でサブネットを構成しているのか、
それとも、/30でルーティング設定を行っているかで、挙動は変わってくると思います。
違いますか？

>>441
プロバイダの人間です

> /30サブネットの構成は、RTX1200のLANインターフェイス側に任されることになります。

上位側の機器により、若干構成や挙動が変わりますが、
基本的に、下位の機器の設定には影響されません
（そちらのRTX1200でどのような設定をされようと影響は受けません）

/30 だと、ネットワークアドレスとブロードキャストアドレスで2つ消費されるので、
実質、自由に使えるのは2個です

>>442
レスありがとうございます。

消防署の方から来た者ですが・・・

>>441
プロバイダさんに依存すると思います。
ここで云々するより、機器持ち込みでテストさせてもらって、
やってみたらいいじゃないですか

ppはぴあぴあまたはポイントツーポイントです。
そこのネットワーク上には自分と相手しかいません。
だからWAN側にIPアドレスを付与する必要が無く（これがアンナンバード）
ブロードキャストを利用する必要もないですから
お考えの通り、/30でもアドレスが4つ使えてしかるべきです。

>>445
Unnumberedって>>442が言っているように、ISP側の機器と論理的に一つの機器として
扱われる形になるんじゃ無いの？

そうすると、当然ISP側のスイッチとしては、各セグメントのブロードキャストは遮断する必要がある訳で、
あなたの言っている様には、ならないはずなんだけど。

RTX側でブロードキャストアドレスで通信投げても、ISP側で遮断される形になると思うけど。

>>445
ありがとうございました。
ようやく言っていたことが伝わって嬉しいです。

>>446
プロバイダの構成に依存する点は了解しています。
とにかくやってみたいと思います。


ありがとうございました。

つか
「プロバイダに依存する」って分かってるなら
「/30で4つ全部使える」と明言しているプロバイダと契約すれば
何も考える必要もなく解決なんじゃないの?

質問主がどこと契約してる/するつもりなのか知らんけど
複数固定IPアドレスの契約サービス用意してるISPなら
「二つは使えない」か「全部使える」くらいのことは
契約前に見られる場所にちゃんと書いてあるでしょ

ユーザ側のルータではどーしようもないことなのに
ここでぐだぐだ続ける意味が分からん

unnumberedだっていってるんだから、4つ全部使える。
プロバイダに依存しないよ。

ppリンクとブロードキャストの話は、RFC3021あたりが味わい深い。

そんなことより、最近の性生活について語ろうぜ

こんなのかな？
http://blog.livedoor.jp/doya_soku/archives/18432281.html
言い出しっぺの450さんが先陣を切ってくれください

RTX1100をつかってますが、ms-dosプロンプトのipconfigコマンドで、
見知らぬipv6のdnsサーバーアドレスが取得されているのがわかります。
これとは別にipv4のdnsサーバーアドレスも取得されています。

DNS サーバー. . . . . . . . . . . : 2001:a5・・・・

RTX1100の設定ではとくにIPv6の設定は行ってません。
この2001ではじまるアドレスってどこから取得されているのでしょうか。

環境は、nttのフレッツ光ネクストで、
プロバイダはpppoeでipv4アドレスを取得するという標準なものです。

>>452
追加
ローカルエリア接続の、tcp/ipの設定で、ipv6を無効にすると、
それはもう取得されなくなりました。

>>452-453
2001:a000::/21はNTT西日本のNGN内で使われているプレフィックスだね。
フレッツ 光ネクストは、全ての契約者回線にIPv6プレフィックスを払い出していて、
NGNのDNSサーバーアドレスを通知している。

PCが取得したIPv6のDNSサーバーアドレスは次の何れかだと思う。
・RTX1100のlan1（PCと接続している側）のIPv6グローバルアドレス
・NGNから通知されているDNSサーバーアドレス
・ホームゲートウェイのLAN側IPv6グローバルアドレス
　（レンタルのホームゲートウェイを設置している場合）

RTX1100のコンフィグに次のようなコマンドの一部が紛れ込んでいない？
http://www.rtpro.yamaha.co.jp/RT/FAQ/FLETS-HIKARI-NEXT/ipv6_ipoe.html
http://ipv6.2ch.net/test/read.cgi/ipv6/1335765343/176

IPv6の設定は行ったほうが良いよ。
IPv6版のNGNサービス情報サイト（https://www.flets-west.jp/）を利用できるしさ。
IPv4接続のみの契約者に対しては、大抵のプロバイダが
AAAAフィルターを適用したDNSサーバーのアドレスを通知しているから
IPv6-IPv4フォールバックの心配は無用。

>>454さん
ありがとうございます。

ipv6関係の設定をしているのかもしれないと思って、
次のコマンドでチェックしたのですが見つかりませんでした。

> show config | grep ipv6
⇒見つからなかったです。


次のdnsの設定はありました。

dns server 192.168.x.x
dns notice order dhcp server

この、↑dhcpって多分ppインターフェイスで取得したものだと思います。
プロバイダはipv4のものなので関係がないと思いました。

それでも、
DNS サーバー. . . . . . . . . . . : 2001:a5・・・・
が取得されるのはいったいどうして！？

何かデフォルトでtrueになっているipv6関連の設定項目でもあるのでしょうか。

teredoは関係ないですよね。

>>454
>IPv4接続のみの契約者に対しては、大抵のプロバイダが
>AAAAフィルターを適用したDNSサーバーのアドレスを通知しているから
>IPv6-IPv4フォールバックの心配は無用

ふと思ったんですが、RTX1x00のリカーシブDNSサーバ機能って、
AAAAフィルターの設定なんてできないですよね。
常時、上位DNSサーバからのAAAAレコードについてもクライアントにそのまま伝えるのだろうなあ。

古いYAMAHAルーターなんかもそうなんだろうか。

>>455-456
ngn type lan2 ntt も無い？

> DNS サーバー. . . . . . . . . . . : 2001:a5・・・・
これはNGNで通知されているDNSサーバーのアドレスなの？
それともRTX1100のアドレスなの？

ここで質問するなら情報を小出しにせず、
・NTT東日本かNTT西日本か
・ひかり電話契約の有無
・ひかり電話ルーター（ホームゲートウェイ）を使っているか否か
・接続している全ての機器の型番
・結線の全容
・RTX1100のコンフィグ全体
・show status dhcpc
・show status ipv6 dhcp
・show ipv6 address
・show status ngn
を晒すべきかと。
それができないのなら cold start して再設定し直すとかさ。

> AAAAフィルターの設定なんてできないですよね。
できない。

> 古いYAMAHAルーターなんかもそうなんだろうか。
RTA50i以降の、IPv6を搭載したバージョンのファームウェアならAAAAは返すでしょ。
RTA54i以前の、IPv6を搭載していないバージョンのファームウェアではどう処理していたのか知らないけど。

>>457　レスありがとうございます。次のように調べてみましたが、わかりません・・・

# show status dhcpc
DHCPクライアントは動作していません
# show status ipv6 dhcp
there's no DHCPv6 configuration.
# show ipv6 address
⇒表示された結果はすべて、
Fからはじまるリンクローカルアドレスでした。
# show status ngn
⇒RTX1100なのでこのコマンドはありませんでした。

回線はひかりネクスト隼、NTT西日本です。
ONU---「HGW」---pppoe---「RTX1100」----PCsというつなぎ方です。

ひかり電話契約はありますが、HGWどまりでRTX1100は関与してないと思います。
LAN3インターフェイスとHGWはつないでますが、PPPOEオンリーの扱いですし、HGWはPPPOEパススルーです。LAN3インターフェイスでIPV6関係の設定もありません。

>> DNS サーバー. . . . . . . . . . . : 2001:a5・・・・
>これはNGNで通知されているDNSサーバーのアドレスなの？
>それともRTX1100のアドレスなの？
RTX1100のLANインターフェイスには、IPV6のグローバルユニキャストアドレスはありませんでした。だから、RTX1100のアドレスではないと思います。

コンフィグには何か特別な設定があるわけでもありません。
外部への接続については、PPインターフェイス、IPsecトンネルインターフェイスしかありません。
繰り返しますがIPv6の設定も皆無ですし、LAN3インターフェイスとHGWの接続もPPPOEオンリーです。

WINDOWS7のPCのLANケーブルを抜いて、しばらくしてから、接続しなおしましたが、IPCONFIG/ALLで、
DNS サーバー. . . . . . . . . . . : 2001:a5・・・・　が取得されます。

グローバルユニキャストなので、もしものことがあり、最後までアドレスをさらせません。
いったいこのアドレスがどこから来ているか教えてください。

[HGW」---pppoe---「RTX1100」
この間のケーブル抜いてみればいい

>>458
> DNS サーバー. . . . . . . . . . . : 2001:a5・・・・　が取得されます。
まずはこれがどの機器のアドレスなのかを調べましょう。

NGNで通知されているDNSサーバーのアドレスは、
HGWの[情報]-[DHCPクライアント取得情報]の[DHCPv6クライアント取得情報]にある
[DNSサーバアドレス]欄に表示されている2つのアドレス。

HGWのLAN側IPv6グローバルアドレスは、
[情報]-[現在の状態]にある[MACアドレス(LAN)]からEUI-64形式でインタフェースIDを生成して、
これに[情報]-[DHCPクライアント取得情報]の[DHCPv6クライアント取得情報]にある
[IPv6プレフィックス]欄に表示されているプレフィックスを組み合わせたものになる。
もっと簡単な調べ方は、HGWにPCを接続してコマンドプロンプトから"tracert www.flets-west.jp"を実行、
1ホップ目に表示されるのがHGWのLAN側IPv6グローバルアドレス。
このアドレスにブラウザでアクセスするとHGWのWeb設定が表示される。

HGWのDHCPv6サーバー機能は、自身のLAN側IPv6グローバルアドレスを
DNSサーバーアドレスとして通知している。

>>459
なるほどと思い、hgwとrtx1100のケーブルを抜きました。
そして、rtx1100を再起動し、
pcでは、ケーブルをしばらく抜いた状態にして、リンクが完全に切れてから挿しました。
さらに、ipconfig/renew　も行いました。
（pcの再起動は行えません。別のpcを準備して試したいと思います。）

そうして、ipconfig /allの情報を見ると、

DNS サーバー. . . . . . . . . . . : 2001:a5・・・
がなぜか、存在します。まったく同じアドレスです。

>>460
ありがとうございます。
今晩hgwに接続してみて、試したいと思います。

>>461
そのアドレスにpingやtracertするとどうなる？
> ---PCs
これらの中で、不正RA、偽DHCPv6サーバ、偽DNSv6サーバが動いているのかも
https://www.nic.ad.jp/ja/materials/iw/2012/proceedings/t7/t7-kitaguchi.pdf#page=9

>>462
こわいこと言わないでくださいよ・・

PCsと書きましたが、WINDOWS 7が一台で、
あとはプリンタサーバーがあるくらいです。

問題のIPv6アドレスのDNSサーバーにPINGをうっても、タイムアウトしました。
TRACERTも同様です。
PC側がグローバルユニキャストアドレスを持たないので通信はできないと思います。

ひょっとしたらと思ったのですが、今までずっとスリープと復帰の繰り返しで、
シャットダウンをしたことがなかったので、何か設定が生き残っているのかもしれないですね。

今から、シャットダウンと再起動をやってみます。

ずっとスリープ＆復帰運用（ずぼら運用）していたので、
保存していないドキュメントやら、ブラウザでは開きっぱなしのタブがごろごろありました。
かなりの量だったので、ブックマークやらファイル作成が面倒だったので、それらはあきらめて、
シャットダウンしました。

で、再起動しました。
おそるおそる、command.comを起動して、そしてipconfig /allを・・・
そうしたら、すみません！すみません！、消えていました！

みなさん、お騒がせして申し訳ありません。
hgwとrtx1100のケーブルを抜いたにもかかわらず、そのipv6のDNSサーバが表示されていたので、
奇妙だなと思いはじめました。
それまでは、何か、rtx1100をデフォルト設定でipv6パケットがパススルーでもしているのかなくらいに思っていました。

わかったこと。
・ipconfig /renewしても、以前に取得したことのあるipv6アドレスdnsサーバはwindows7システムに残存したままになっているらしいこと。
・ケーブルの抜き差しでも同じで、まったく綺麗にネゴシエーションされるわけではないのかもしれないこと。
・rtx1100で、ipv6関連の設定がないのに、勝手に下流ネットワークに関係アドレスが流布してこないらしいこと。

すみませんでした。ありがとうございます。

>>460さん
有益な情報ありがとうございました。
ipv6に疎いので、試したいと思います。まず、そうやって手元の環境を知ることからはじめます！！

ブラウザは火狐にしてセッションマネージャ入れればずぼらな人でも楽だよ

>>466
普段からファイアーフォックスです。
へー、アドオンでそういうのがあるんですね。
これで、シャットダウン＆再起動も負担がありませんね。

今までアドオンなんて使ったことがありませんが、これはいいなと思いました。
ありがとう。また気が向いたときに使ってみます。

フレッツネクストの網内ipv6通信で、RTX1200を使いIPsecVPNを張りたいです。
光電話がある環境なので全体として/48のprefixが割り当てられます。
HGWには/52？のアドレスが、下位RTXには/56？のアドレスが切り分けされると思います。訂正お願いいたします。

RTXはそのprefixからlanインターフェイスのアドレスを作成するのだと思います。VPNではこのアドレスが使用されると考えています。

フレッツにはネームというサービスがあります。ネットボランチのようなダイナミックdnsサービスですが、しかしフレッツツールで登録作業を行うようです。
必要なことは、RTXが自分で作成したアドレスについて同じ作業を自立して行うことだと思います。

そうしなければネーム機能でVPNは張れないと思います。
皆さんはこの問題にどう対処されていますか？

一番願っていることは、ヤマハさんでNGNのこのダイナミックdnsに対応してくださることなのですが。
もちろんスクリプトでの提供ではなく、内蔵コマンドでです！

ネームのサービスはフレッツ・メッセンジャーでだけで使えて
他での利用は、想定外。

v6 の自動更新はしないとの事。

２か月前に、rt100-users で話した事なんだけど、参加してないの？？

>>468
フレッツ網内のv6アドレスは半固定で、NTT側が何らかの理由で変更しない限り
変更になることはないよ。
恐らく気にしているのは、その変更があった時にVPNの設定を打ちかえるまで
トンネルが復旧しない点でしょ。

>>469はネームはVPN張るのには使えないと回答しているけど、
実際は使用することはできる。ルーター自身のDNS参照先を網内DNSにむけとかないとだめだけど。
実は自動更新されないと使えないと同じように考えて複数のルートでNTTに確認したが
「NTT側の都合でアドレスを変更した場合は、ネームは自動追従して変更される」
ということらしいよ。
ネーム使って同じようなVPN張ってるけど、まだそういうシチュエーションに遭遇してないから
上記の回答が本当なのかどうかわからない。半分嘘じゃねーかと思ってるけど。

自動追従が効かなかった時のことを考えて、低価格ispでv4ネット契約しといて、
v4経由のvpnトンネルを副系トンネルにしてフローティングでもしかけとけば安全だよ。

>>468
> 訂正お願いいたします。
網からの払い出しが/48になるか/56になるかはNTT東西の設備状況によって違い、多くの場合は/56になるみたい。我が家は/56。稀に/48の人も居るようだ。
http://www.soumu.go.jp/main_content/000239088.pdf#page=59
http://ipv6.2ch.net/test/read.cgi/ipv6/1335765343/173-174
http://ipv6.2ch.net/test/read.cgi/ipv6/1335765343/196-197
HGWのLAN側ネットワークのプレフィックスには先頭（サブネットID部の下位1バイトが16進数で00）の/64が使われる。
WAN側インタフェースのアドレスには2番目（同01）が使われる。
HGWのPDサーバー機能で払い出すプレフィックス長は、
網から/48を受けた場合は/56。網から/56を受けた場合は/60。

> RTXはそのprefixからlanインターフェイスのアドレスを作成するのだと思います。
HGWと接続しているlanインターフェイスのアドレスには、HGWのRAに含まれるプレフィックスを使うこともできるよ。
http://ipv6.2ch.net/test/read.cgi/ipv6/1335765343/176

> しかしフレッツツールで登録作業を行うようです。
NTT東西どちらもWebブラウザから可能だよ。
http://faq.flets.com/faq/show/1342
http://faq.flets.com/faq/show/1343
https://flets.com/customer/tec/v6option/pdf/flets_msg_user_guide.pdf#page=61
http://flets-w.com/next/v6option/pdf/v6option_user_manual.pdf#page=17

> そうしなければネーム機能でVPNは張れないと思います。
プレフィックス変更時にはこれを応用できると思う。
http://jp.yamaha.com/products/network/solution/lua/script/lua-script-ipv6_renumbering-rtx1200/
NTT東日本では不明瞭だけど、NTT西日本は次のように明記されているよ。
http://flets-w.com/next/v6option/
> なお、弊社都合によりIPv6アドレスが変更になった場合、ネームの設定変更は必要ありません。

>>470
> 「NTT側の都合でアドレスを変更した場合は、ネームは自動追従して変更される」
これはNTT東日本からの回答？

＞ 「NTT側の都合でアドレスを変更した場合は、ネームは自動追従して変更される」

この自動追従されるアドレスって、当然prefix/48のことですよね。NTTが知りうる部分はそこまでのはずだからです。
ネームサービスに登録されたアドレスのうち /48部分だけがNTT側で自立的に張り替えられるってことなのかな。

あるいは、フレッツメッセンジャー立ち上げとけば新しいアドレスに更新されるというだけのことなのか。

うーん、RTXがDHCPで取得したv6アドレスを、自分でNTTのネームサーバに再登録してくれれば話ははやいのだけど。

やはりNTTがプロトコルを公開してくれないのかなあ。

>>472
> 当然prefix/48のことですよね。
PDでの/48または/56、RAでの/64だね。

> NTT側で自立的に張り替えられるってことなのかな。
そのとおり。
PDサーバーでの払い出し状況をネームのシステムとDNSサーバーへ反映させているんだと思う。
NTT東西はどの加入者にどのプレフィックスを払いだしたかという情報を把握しているからさ。

> フレッツメッセンジャー立ち上げとけば
それは関係ないはず。フレッツメッセンジャーは東日本だけ。西日本には無いよ。

>>468
訂正
誤：網から/48を受けた場合は/56。
正：網から/48を受けた場合は/52。
https://www.seil.jp/community/node/33

>>471
西からの回答

>>475
了解。東については誰かが検証してくれるまで状況が掴めないね。
東西間の微妙な仕様の差がもどかしい。。。

>>470
>ルーター自身のDNS参照先を網内DNSにむけとかないとだめだけど。

そうですよね。”ネーム”はネクスト網のDNSで解決しなければいけない。
すると話はややこしくなりますね。PCには特にDNSサーバを指定してあげられますが、
RTX自身にも時間設定などにインターネット用の名前解決は必要です。
そうすると、RTXは、インターネット用のDNSサーバと、”ネーム”用のDNSサーバを使い分けなければならなくなる。
そんな器用なことができるのだろうか。

>>470
>実は自動更新されないと使えないと同じように考えて複数のルートでNTTに確認したが
>「NTT側の都合でアドレスを変更した場合は、ネームは自動追従して変更される」ということらしいよ。

/48プリフィックスのNTTによる変更までは、ネクストの「ネーム動的更新機能」で対処できたとしても、
RTXはHGW配下にあるので、HGWからプリフィックスを管理されている場合、
HGWの再起動などでひょっとしたらその管理レコードが喪失してしまうかもしれない。
するとRTXはHGWから今度は別のプリフィックスを取得することになるだろうから、ネームを使っていてもVPN通信が断になってしまう。

HGWによるプリフィックスの管理に頼らないように手動でRTXにプリフィックスを割り当てようにも、
そもそも/48プリフィックスまででNTTにより変更になる可能性もあるので不可能だ。

ヤマハRTXルーター側で、自身のIPv6アドレスをNTTのネーム機能サーバに通知する機能が実装されない限り、
色々と不安が残ります。

>>471>>474
訂正ありがとうございました。それから参考になるリンクありがとうございます。

珍しく実のあるレスが続くな

＜提案＞

○NTTフレッツネクストのネーム機能への対応
NGNに接続したLANインターフェイスで取得したIPv6アドレスを設定したネームレコードに自動更新します。
名前解決時には、設定したネームについては、NTTネクスト網のDNSサーバで解決します。

ngn name lanX yamaha-router01.example.com
ngn type lanX ntt

ヤマハさんどうぞよろしくお願いします！！

2chの要望なんて絶対拒否されるだろｗ
まだメーリングリストの方がいいだろ

>>481
メーリングリストに出す勇気ないんで・・
誰か代わって、こんな要望あるよと、直訴してください。。。

yamahaの中の人が見てないわけがない
そう、お前だよ！
というわけで、見てない振りしてしれっと対応せい

>>477
> RTX自身にも時間設定などに
NGNではSNTPサーバーアドレスも通知しているから、インターネットを介さず時刻修正できる。

> そうすると、RTXは、インターネット用のDNSサーバと、
心配無用。
NGNから通知されるDNSサーバーは、”ネーム”専用というわけではなく、インターネット用として使えるもの。
参照するDNSサーバーはそれ1個で十分。
複数のDNSサーバーを使い分けたければ、HGWの「ローカルドメイン設定」や
ヤマハルーターのdns server select コマンドで好きなように使い分ければ良い。

> HGWの再起動などでひょっとしたらその管理レコードが喪失してしまうかもしれない。
心配無用。再起動どころかHGWの電源を抜いても保持される。
http://ipv6.2ch.net/test/read.cgi/ipv6/1335765343/175

> HGWによるプリフィックスの管理に頼らないように手動でRTXにプリフィックスを割り当てようにも、
それは無理。HGWはIPv6の経路情報を手動で追加することができない。

> 色々と不安が残ります。
インターネット上のIPv6対応DDNSサービスを使うとかさ。

>>477
> その管理レコードが喪失してしまうかもしれない。
これについてもう一点。>>471にも書いたけど、
HGWと接続しているインタフェースがlan2、PC等の端末を接続しているのがlan1の場合、
ipv6 lan1 address dhcp-prefix@lan2::1/64
ipv6 lan2 address ra-prefix@lan2::2/64
というようにすると、たとえHGWからPDで受け取るプレフィックス（lan1用）が
変わったとしてもlan2側のアドレスは変化しない。
lan2側のアドレスをネームに登録してVPNに使えば、心配事がひとつ減る。

>>484　すみません。丁寧なレスありがとうございます。

>NGNではSNTPサーバーアドレスも通知しているから、インターネットを介さず時刻修正できる
良いですね。フレッツネクストオンリーの運用ができます。

>ヤマハルーターのdns server select コマンドで好きなように使い分ければ良い
これは良いですね。すみません、こんな強力な機能があるなんて知りませんでした。
これを使えば、ネクストのネーム機能で特定の名前解決でネクストのDNSサーバを利用しなければならなくても大丈夫ですね。

>>管理レコードが喪失してしまうかもしれない。
>心配無用。再起動どころかHGWの電源を抜いても保持される。
ただ心配があって、たとえば、NTTの/48プリフィックスの変更などに際して、
HGWが管理レコードを白紙にしてしまうことはないかと。
そのようなことが起きないという場合には、
HGWが、/49bit目から以降をbitのブロックで管理していて、
これを/48bitまでのbitブロックに付け足すというような管理方法を用いていると考えることができますが、
そうなっていないのではないかと心配です。

>インターネット上のIPv6対応DDNSサービスを使うとかさ。
事業所などで単にVPNさえ使えればよいという場合があると思います。
そういう場合にはできればフレッツネクストだけの契約にしたいわけです。

やはり、>>480の機能があればなあ。

>>486
つ http://engawa.2ch.net/test/read.cgi/isp/1172558140/526

>>487
>NGNのIPv6 IPoE接続方式では、IPv6アドレスが半固定で割り当
> てされ、変更になる可能性があります。本ソリューションではIIJ SMF sx
> サービスの管理機能を活用し、アドレスが変更された場合でも、自動的
> に新しいアドレスを検知して速やかにVPNを再構成することができます。

これね。その『IIJ独自開発の高機能ルータ「SEIL（ザイル）blank」シリーズ』って、
どうやっているのかな。

>>471
>プレフィックス変更時にはこれを応用できると思う。
>http://jp.yamaha.com/products/network/solution/lua/script/lua-script-ipv6_renumbering-rtx1200/
さらにもし、YAMAHAが、netvolante-dns　をNGNで運用してくれたら、
ISPプロバイダフリーでも、プレフィックス変更に対応するね。

ttp://www.bigmorkal.com/movie/wmv/3980.wmv

L2TPv3を用いたL2VPN にも対応したファームウェアが発表された！

http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.10.01/relnote_10_01_53.html

”L2TPv3 (Layer 2 Tunneling Protocol version 3) は、
データリンク層(L2)でのVPN接続 (L2VPN)を実現するトンネリングプロトコルです。
L2フレームをIPパケットとしてカプセル化することでルーター間でのL2フレーム転送を可能にし、
複数の拠点で同一セグメントのネットワークを構築することができます。”


ということらしい。すると、なにか良いことでもあるかな。
VPNの全拠点で同じプリフィックスのIPv6ユニキャストアドレスを、ステートレスで取得できるとか？

リモートアクセスもそうだけど、付加機能プロトコルと組み合わせることが多くなって、IPsecだけで運用することはこれからぐんと少なくなりそうだ。
でも、IPv6って、たくさんの端末が同一ネットにあっても大丈夫なのだろうか。
込み合ったりしない？

>491
いままでL2VPNはできなったけどできるようになったのが利点かな

IPv6はL2がスイッチングで動いている前提で同一サブネットに多端末あっても
いいじゃないかという思想で設計されていると理解しているけど、本当にそうするかは
使う側が決めればいいだけなんじゃないかな

バグ修正多すぎワロタ
いままで良く動いてたなｗ

>>491
L2VPNできるようになりローカルサイトとリモートサイトを同一サブネットで運用できる
ブロードキャストがWANをまたいで飛び交うから注意して設計する必要があるけど

ローカルとサイトとリモートサイトを同一サブネットにする利点が思いつかん

DLNA、DTCP-IPで意図的に設けられている制限を回避するとか

>>496
それって、Universal Plug and Playのことでしょ。

一ヶ月前にオクの中古RTX1200と新品RTX810で悩んで、そこまで
多拠点接続必要ないからと最終的にRTX810ポチった俺涙目。

>>498
RTX1200、客先撤去で手に入るけど、そこそこ劣悪環境で5年近く稼動
試験用には使うけど、実用はきついと思う

中古でもあんまり古いかったり環境悪いとコンデンサとか死にかけてるかも

>>499
電解コンデンサは、×印ぷーって突き破って、錆錆になってしまうけど、
固体コンデンサでも氏ぬの？

>>498
L2TPv3したかったと

>>495
SIPなんて良いんじゃまいか？

>>497
3ホップ制限

>>502
SIPはサブネットやセグメントが違っても通信可能

>>503
SIPはサブネットやセグメント越えたらFWの設定面倒やん

>>496>>503
今時って、家電とかで需要あるとか？
そういうの考えたことなかった

>>504
えっ？サブネットやセグメント越えに必ずしもファイアーウォールあるとは限らないし。

>>495
ちょっと特殊かもだけど、自社の一部隊（PC100台ぐらい）が別拠点に移動することに
なったときにクライアントやらNW機器やらの設定変更を最低限にできるのはありがた
いよ。
（フロアで1セグメントみたいなNWで、その部隊以外にもそのセグメントを利用している）

開発部隊で、○○のテスト環境にアクセスできるPCはどれで、みたいなのをほとんど
意識せずに、PC持っていて接続するだけでおｋってことにできるのはメリットかと。

SDN/OpenFlowでおｋ

>>495
別拠点にあるONUに、pppoeできる！

>>509
ソフトイーサ（知ってるよね？）ができたときに、まずそれを思いついた

>>495
同一サブネットでarp通信しなければいけないusbサーバのような機器をリモートから使える

同一サブネットにしたら、ブロードキャストとか、ポート138のマイクロソフトの通信でネットが溢れない？

>>509
それ、本当にでけんの？

PPPoEブリッジ

>>500
固体コンデンサの実績が少なかった時代のだから
加速試験はしてるだろうが、実際の長期運用とかノウハウがたまってるのはここ数年

あと、電源ユニット基板は電解コンデンサ
換装すれば多分動使えるけど

RT100は10年以上もったけどな

遅れてきた人へ

いま注目の話題⇒

”L2TPv3 (Layer 2 Tunneling Protocol version 3) は、・・・ルーター間でのL2フレーム転送を可能にし、
複数の拠点で同一セグメントのネットワークを構築することができます。”
の使い道について。

同一セグメントは正直魅力的じゃないけどな
NAT利用して既に運用してたし

L2は私にとってモバイル端末の設定が簡単っていうこと以外
イマイチ利点が無い。何に利用できるの？

それから、IPv4、IPv6以外のパケットはファストパスで動かないと書いてあるから
ますます利点がよくわからない

>>517
単純なブリッジだと、ブロードキャストドメインの問題が出てくるから、
あまりメリットがないように見えるけど、
L2でブリッジできるってことは、TCP/IP以外のパケットを通せるようになる。

ま、普通使うとしたら、拠点間の通信にタグVLAN通すときかなー。

そこで、yamahaのスイッチなのかぁ
なるへそ

ヤマハはルーターもスイッチもMLDやIGMPのスヌーピングに対応してないんだよなぁ

L2TPv3が実装されたことにちなんで質問があります。

従来のL2TP/IPSecであっても、L2TPの名の示す通りL2接続でブロードキャストパケットが
通るものだとばかり思っていたのですが、実際に試してみるとどうにも通らない。
払い出されているIPこそLAN内のサブネットと同一ですが、tracertコマンドで見てみると
一旦VPN(L2TP/IPSec)サーバーを経由して他のPCへとアクセスしていることがわかりました。

コレは要するに、平たく言うと
　・リモートアクセス(L2TP/IPSec)　→ ルーティングモード
　・拠点間接続(L2TPv3/IPSec)　　→ ブリッジモード
という理解でよろしいのでしょうか？

コマンドリファレンスの2013年9月第3.03版でDTCPに関する部分が全部削除されたね。
http://google.com/search?q=cache:www.rtpro.yamaha.co.jp/RT/manual/rt-common/tunneling/tunnel_dtcp.html

test

http://money.jp.msn.com/news/mynavi/

この脆弱性により、ルーター管理者が気付かないうちに機器が・・・・てしまう恐れがあるという。

該当製品が確認されているメーカーは、
ヤマハ、古河電気工業、インターネットイニシアティブ(IIJ)、シンセイコーポレーションの4社。
ヤマハとIIJについては、同社ホームページで対策方法を案内している。

あ？
ヤマハのルータってIPsecのtunnelが作られた時点で
相手側にDTCP-IPのパケットが通らないようにするっていう仕様じゃなかった？
L2TPv3導入で仕様変更されたんか？

>>524
ルーターなら正しい動作。

以下の条件を全て満たすルーターはオープンリゾルバーとなりますので、対策をお願いします。

インターネット上からルーターにアクセス可能である。
DNSリカーシブサーバーとして動作している。
dns serviceコマンドの設定がないか、dns service recursiveの設定である。
※設定がない場合、初期値のrecursiveとして動作します。
WAN側からのDNS問い合わせを制限していない。
dns hostコマンドの設定がないか、dns host anyの設定である。
※設定がない場合、初期値のanyとして動作します。
WAN側からのDNS問い合わせを破棄するフィルターがない。
WAN側にNATの設定がないか、あるいはNATの設定がありかつDNS問い合わせに応答するための静的設定がある。

>インターネット上からルーターにアクセス可能である。

この時点でおかしいと思う。
たとえれば、inputチェインで透過ってことでしょ。

酔狂なお客がいて、自分のところのDNSサーバ（ルータ兼用）を使いたいとか
それを受け入れた馬鹿なSIがあわてて、下請けとメーカーに怒鳴り込んでいるところとか？
意図的に危険な状態にしてあるのですよ。対策すべきは、ねぇ

>>528
いや、本来ルーターのインタフェースには方向性がないと言うか、異なるセグメントやプロトコルを接続させるものです。セキュリティはアクセスリストで中とか外を設定するものだから、外部として設定したインタフェースが外部からの通信に応答する設定はすべきでは無い。
常識的な設定をしていれば問題にはならない
素人が使うインターネット接続専用ルーターじゃないのだから

>>530
そういえば、iptablesのチェインの考え方と、YAMAHA業務ルーターとは考え方が違うよね。

iptablesにはいちおうインターフェイスは指定できるけれども、あくまでFORWARDとINPUT チェインが大事になるね。
しかしYAMAHAルーターは、チェインではなくて、インターフェイスそのものにフィルタをかけるものね。
だから、その外部として設定したインターフェイスで外部からの通信を通す設定をすれば、そのままルーター内部に到達してしまうものね。

蟹の甲羅で防いでいるのがYAMAHAで、蟹の味噌で対策しているのがiptablesって感じだなと思う。
このたとえわかる？

よくわからないから、ボトムズで例えて

俺は若いからエヴァンゲリオンに例えて欲しいな♪

>>532
ボトムズの甲羅で防いでいるのがYAMAHAで、ボトムズの味噌で対策しているのがiptablesって感じだなと思う。
>>533
一号機の甲羅で防いでいるのがYAMAHAで、一号機の味噌で対策しているのがiptablesって感じだなと思う。

>>531
iptablesだとINPUT/OUTPUTチェインが、YAMAHAのlanN IN/OUTに対応して
FORWARDチェインに対応するフィルタはないってことになるよね。
Linuxでルーターにする場合はFORWARDチェインを主に使うことになる(俺の場合は)ので、
LinuxルータをYAMAHAを交互にいじってると、考え方を切り替えるないとうまく進められない。

>>533
若いやつがエヴァンゲリオンなんて書くか！

パチとかで、エヴァの名前知ったから書いたとか？？

テスト。

あれ、出ちゃってる。

昔　エヴァンゲリオン
今　ヱヴァンゲリヲン

ヤマトに例えると、冥王星軌道でガミラスを迎え撃つのがYAMAHAのフィルタ
ガミラス本星内でヤマトを迎え撃つのがiptablesのFORWARDチェイン

>>524>>527
RT57iはRev.8.00.95でもdns hostコマンドやtelnetd hostコマンド、
httpd hostコマンドなどにバグがあって、範囲指定が正常に機能しないんだよな。
IPv4アドレスを範囲指定すると、すべてのIPv6ホストからのアクセスを許可してしまう。
IPv6アドレスを範囲指定すると、すべてのIPv4ホストからのアクセスを許可してしまう。
IPv4アドレスの範囲指定とIPv6アドレスの範囲指定を並べると、すべてのホストからのアクセスを許可してしまう。

RT58iやNVR500では正常に機能するが、
IPv4アドレス-IPv6アドレス　という範囲指定が通ってしまう点は修正してほしい。

次のファームアップとかで修正するのでは

RT57だからなぁ
現役が多いとはいえ・・・

>>547
どうして、野良ファームはないの？
YAMAHAルーターは特殊な領域に公開鍵でも持っていて、ファームを検証しているんだろうか。

未来からのお客さんが

>>547

つぎでボケて

ワンワン！

>>544
ipv6関連で合ったよ。

>>544
ハードウェアは頑丈でメーカーサポートは悪くない。ソフトはそれなり。
が、性能は良くない。値段は高め。10万台のならば素直にCisco買った方がコスパはは良いですよね。

性能の低いハードウェアに苦労して野良ファーム作ろうって酔狂な方々がいないだけでしょう。
SSL-VPNとかやりたければ、中古で数千円のFortiGateとか買ってきたほうが簡単だし。
RT58は、機能と性能と価格のバランスがとても良かった機種だと思います。
異論は認める。

>>548
詳しく

>>549
cisco は、ファーム無償配布なんて出来ないだろ。
自前のDDNS なんて無いし。

>>551
ファームは資格なけりゃ保守必要だね。
DDNSは確かに便利だけれど、メーカーが提供してなければいけない理由もない。
なお、最近販売終息したRT107eは、性能低い地雷モデルなので、中古で安いからといっても手を出さない方が良いよ。

たまには他のメーカーも使ってみると良いよ。
中古なら激安だ。
国産ならCenturyもなかなか良いね。

RT107e は、地雷なんだ。
NVR500や、RT58i、RTX1100 の方が良いのかな？？

地雷ってほどダメ機種じゃないが、たしかRTX1100よりは格下だったはず。
ソフトウェアとの兼ね合いがあるので、
単純にハードウェアだけで結論は出ないが、このあたりを参考に
http://www.rtpro.yamaha.co.jp/RT/hardware/cpu.html

民生機を混ぜるとややこしくなるんで、業務機だけの比較だと能力的には
RT105e << RTX1000 < RT107e < RTX1100
って感じかな

>>554
家では、RT107e＜RT58i
セッション増やすと重くなって、リブートするよ107。58に変えれば同条件で問題無い。
58じゃipsecは張れないがな。

58i だと、60台位ぶら下げてると、ハングするんで、RTX1000 にした。
1200 や、810 使ってみたいんだけど、中古でも結構良い値段するんで。

>>556
60台ぶら下げるなら、rtx1200以上だと思うのだが・・・
会社が金出さない環境？

学校なんで、予算が無い環境。
1000 でヤバいのなら、取り敢えず、1100 で凌ぐ。

58i は、後リース残３年で、NTT 側の担当者が使えると
豪語しちゃったので。

RT58i使ってるけど逆に60台まではイケるんだﾜﾛｽ

RTX1000はポートスキャンで落ちることある
nmapとか一発で

内側に何するか分からん奴がいると安心して使えん

CPUクロック見れば古い機種の性能は大体分かるけどな
アーキテクチャがバラバラだけどクロック→性能だと思っていい
http://www.rtpro.yamaha.co.jp/RT/hardware/cpu.html

>>556
>58i だと、60台位ぶら下げてると、ハングする

いったいどんなぶら下げ方？pptp?
pptpだとしたら、58iって60台もぶら下げられるなんてすごい！

学校の学生寮で、VDSL設備を撤去しての更新なんだけど
キャリア側が、最初に各廊下に２台無線ＡＰを設置する案を
出してきた。（寮トータルでＡＰ１０台＋ルータ３台。）

自分は、安定性の面から判断して、有線接続勧めたんだけど
費用が掛かりすぎるので、即、却下された。

１フロア２０室位で、３フロア纏めて、無線接続してるけど
中には、スピード重視で、ＬＡＮケーブル買ってきて、廊下のＡＰ
から、直で引いてる学生もいる。

今は、ハングる接続のフロアは、58i じゃなくて、1000 使ってる。

l2tp on ipsecをrtx-windows7で使ってます。

windows7側は、モバイルのwifiで、iijを経由させてます。

トンネルが頻繁に切断されて非常にイライラさせられるのですが、
これって、どちら側が切断しているのでしょうか。
対策があれば教えてください。rtx1500側で、何か追加設定すればよいでしょうか。
不安定な回線でパケットが途切れても、大丈夫な設定があればよいのですが。

それから、一度切断されてしまうと、
次に再接続させても、windows7側にエラーが表示されて、ダメです。

前の接続がrtx側で生きていて、新しい接続が排除されているのかもしれないなどと思っています。
再接続もうまくできないと使い物になりません。
rtx1500はなにかダメな実装なんでしょうか。
こんど、rtx1200に切り替える予定です。

>>565
rtx1200は今月更新fwで対応

-切断したあと受信用のIPsec SAのみが残っている状況でも、当該トンネルで新規L2TP/IPsec接続を受け付けることができるようにした。

rtx1500はYAMAHAのやる気次第だろね

>>566
マジで！
ありがとう教えてくれて

しかし、そのRTX1500なんだけど、以前はここまで再接続ができないってことはなかったんだ。
Windows8（ごめんなさい、WINDOWS 8でした。）のアップデートに何か関連するものが含まれていたのかもしれない。

だけど、その更新があるってことは、やはり、
IPsec SAを残したまま切断（どっちが短気を起こしたんだろうか）になった状況では再接続は受け付けないんだろうなあ。

それからついでに、WINDOWS 8が、トンネルを再接続するための設定を省いたことが気に入らない。
その理由として、ダイヤルアップ機能は、時代に合わなくなったので削除したとのこと。
しかし、L2TPや、PPTPで、その機能を使っているのに。

マイクロソフトはアホなんだろうか。

MSとしてはあんまりVPN関係を強化する気がないと思うな
試したことないけどShrew Soft VPN Clientとかどうなんだろうか

569
使いやすいよ。
安定している。

>>569
DirectAccessで十分じゃん。

>>571
WINDOWSはネイティブIPsecもっているよね。
RTXとのIKEv1のセッションさせうまくいけば使えそう。

>>569
それって、外部ソフトだけど、
動作させるとIPCONFIGコマンドに、インターフェイスが現れる動作をするのかな。
フィルタリングがどうなるのか気になる。
あと、さっきのネイティブIPsecと競合しそう。
ESPやIKEパケットの奪い合いで。

>>563
キャリアなんか使うからだよ
俺が提案しにいったるわい
なんなら格安でケーブルも引いたるわい（俺とあんたが引くから安い）

>>563
RTXつかえるくらいなら、ケーブル工事くらいできるでしょ

・VDSL更新だから、電話線しかない
・電話線をLANに引き替えるならば、配管工事＋ケーブル配線工事
総額が200万くらいか

貧乏作戦

1.RTXで帯域制御を追加して、帯域を使い放題にさせない
2.電話線にLANコンセントを無理矢理付ける　1Gは無理だけど、10M以上では使える
固定電話なんか、今時の学生は使わない。内線が必要なら、IP電話にする（コスト嵩むが）


これで解決

>>574
ぜんぜん違う技術だと思うぞ。
いくらネットワークに詳しくても、建築関係がわかってないと。

>>573-574
VDSL設備がキャリアのリース品だったから、しょうがないの。
ケーブル敷設は、自分でやるわ。
無線でも、フロア１０か所　ｘ AP ２台で、学校側が電気工事屋
へ見積依頼したら、約１００万って言われたみたい。

>>575
その通り。
しかも、調査した限りでは、既存の管路はどこかで詰まってる
らしく使えないので、廊下から空調用のダクトの隙間を経由させて
引き込むしか無いって事。

電話は、これまた、25 年以上前のPBX と内線電話が有ったけど
交換設備は、先に撤去してある。
（学生は携帯オンリーで、交換設備もリース品だから。）

帯域制御はテストしてみる。
RJ45 に、LAN-MJ は、安定性に問題有る。

>>576
RTXと、ケーブル敷設はぜんぜん違う。
構造的な問題も有るし、今回の学生寮にしても
最悪、コア抜きとかする可能性が大。

>>563
＞安定性の面から判断して
安定や速度より今の時世優先するのはセキュリティじゃないの？
ハングアップするルータ配下にＰ２Ｐやウイルス感染しているＰＣとかあるのでは？

配管さえあれば、ワイヤー通して、ネットワークケーブルの導入できるでしょ。
電話線用の配管は細すぎて駄目だけど。その場合はあきらめるしかないな。

cat6の芯入りケーブルなら引っ張っても強度があるので安心。

>>579
大学校の学生寮だから、その辺は学生さん自身で対処してもらうよ。
専任の管理者が常駐してる訳じゃないし、費用面から言っても常駐の
為の予算は降りないと思う。

>>580
配管は有るんだけど、電話用の配管で、25 年位前に敷設された金属管
なんだわ。（しかも、一部コンクリ埋め込み。）
主要ルートは調査の結果、通せるみたいだけど、一部、防火の為と
管内が錆で埋まってるらしく、ケーブルが通せない部分があるから
その辺は天井裏にルートを変更して、コンクリの壁をコア抜きしてもらって
複数本通す形になる。

コロンブスの卵

既存配管がダメなら、別途配線すればいい

PLCでも使えば？

PLCと無線APの組み合わせで結構安くできると思うけどね

駄目もとで質問します。もう疲れました。

OpenSWANとヤマハルーターRTX1200のIPsecトンネル接続の話です。つなげられません。
下記の「そのまま接続できる」というのを試そうとするのですがうまくいきません。
ユーザー名認証は不要です。

http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.08.03/relnote_08_03_82.html
>OpenswanとヤマハルータをIPsecで相互接続しようとした場合、XAUTHを使わなければそのまま接続できるが、

下記サイトをヒントにしましたが、駄目です。うまくできません。
ttp://www.shakke.com/network/vpn/yamaha-rtx1100-%E3%81%A8-openswan-%E3%81%A7-ipsec-vpn-%E6%8E%A5%E7%B6%9A/

ヤマハの設定例集にOpenSWANとの構築方法を加えてください。
あるいは、例やヒントをください。

# ipsec auto --status　コマンドの結果の最後に、ikeのフェーズ2で停止との旨です。

000 #1: "testtest":500 STATE_MAIN_I3 (sent MI3, expecting MR3); none in -1s; lastdpd=-1s(seq in:0 out:0); idle; import:admin initiate
000 #1: pending Phase 2 for "testtest" replacing #0

RTX1200側でもデバッグを取っていますが、対向からの応答はあるものの、だめです。

2013/09/30 01:04:58: [IKE] receive IKE message from 対向側アドレス

2013/09/30 01:04:59: [IKE] ... omitted
2013/09/30 01:04:59: [IKE] process ISAKMP header
2013/09/30 01:04:59: [IKE] respond ISAKMP phase to 対向側アドレス
2013/09/30 01:04:59: [IKE] add ISAKMP context [119] ｘｘｘｘ
2013/09/30 01:04:59: [IKE] main mode responder 1
2013/09/30 01:04:59: [IKE] process sa payload
2013/09/30 01:04:59: [IKE] process proposal payload
2013/09/30 01:04:59: [IKE] process transform payload
2013/09/30 01:04:59: [IKE] encryption algorithm : 3DES-CBC
2013/09/30 01:04:59: [IKE] hash algorithm : SHA-1
2013/09/30 01:04:59: [IKE] authentication : pre-shared key
2013/09/30 01:04:59: [IKE] group : MODP 1024bit
2013/09/30 01:04:59: [IKE] process vid payload
2013/09/30 01:04:59: same message repeated 6 times

2013/09/30 01:04:59: [IKE] generate SA payload
2013/09/30 01:04:59: [IKE] generate proposal payload
2013/09/30 01:04:59: [IKE] generate transform payload
2013/09/30 01:04:59: [IKE] generate vendor id payload
2013/09/30 01:04:59: [IKE] generate ISAKMP header
2013/09/30 01:04:59: [IKE] send IKE message to 対向側アドレス

2013/09/30 01:04:59: [IKE] receive IKE message from 172.24.250.38

[IKE] receive IKE message from 対向側アドレス

[IKE] process ISAKMP header
[IKE] no SPI is specified.
[IKE] no proposal chosen : no message

なにが間違っているんでしょう
あまりにも情報が少なくて、つらい
もう辞めてしまいたい

>>585
configも貼らずにエスパーしろと？

RTX1000 RTX1500ともOpenswan繋がりましたよ

OpenSWAN側からのike手順にSPIが含まれていないよと、RTX1200が怒っているように見えます。

しかし、どうすれば、SPIとかいうトンネル指定子を、OpenSWANにしゃべらせれば良いのでしょう。

メインモードで必要なお互いのIPなどの情報が何か間違っているんでしょうか。

>>589　マジですかぁ！

RTX1200側はこうなっています。テスト環境なので、10.1.0.0/16と、10.2.0.0/16をプライベート空間に見立てています。
192.168.1.3はRTX1200のグローバルアドレスのつもりで、172.24.250.38はCentOS6のグローバルアドレスのつもりです。
上のログで、対向側アドレスとは、172.24.250.38のことです。

ip vlan8 address 192.168.1.3/24
ip vlan8 secondary address 10.1.0.1/16
tunnel select 10
ipsec tunnel 10
ipsec sa policy 10 10 esp 3des-cbc sha-hmac
ipsec ike encryption 10 3des-cbc
ipsec ike esp-encapsulation 10 off
ipsec ike group 10 modp1024
ipsec ike hash 10 sha
ipsec ike keepalive use 10 on dpd
ipsec ike local address 10 10.1.0.1
ipsec ike local id 10 10.1.0.1
ipsec ike log 10 key-info message-info payload-info
ipsec ike payload type 10 3
ipsec ike pfs 10 off
ipsec ike pre-shared-key 10 text blurblurblur
ipsec ike remote address 10 172.24.250.38
ipsec ike remote id 10 172.24.250.38
ipsec auto refresh 10 on
ip tunnel tcp mss limit auto
tunnel enable 10
ipsec auto refresh on

conn testtest
type=tunnel
authby=secret
auth=esp
#ike=aes256-sha1;modp1024
#phase2alg=aes256-sha1;modp1024
ike=3des-sha1-modp1024
phase2alg=3des-sha1
keyexchange=ike
pfs=no
ikelifetime=8h
keylife=1h
compress=no
##local CentOS6
left=172.24.250.38
leftid=172.24.250.38
leftsubnet=10.2.0.0/16
leftsourceip=10.2.0.1　　　・・・・eth0:0エイリアスに設定しています。
##remote RTX
right=192.168.1.3
rightid=10.1.0.1
rightnexthop=%defaultroute
rightsubnet=10.1.0.0/16
#dpddelay=5
#dpdtimeout=20
#dpdaction=restart
auto=start

すみません、もう寝ます
また明日も希望をもってがんばります

>>582
障害多すぎるけど、何とか頑張ってみるわ。

>>583-584
各フロア・各個室単位でブレーカー経由してるけど
取り敢えずはテストしてみるわ。

ブレーカー手前で有線hubかます手もある

>>591
がんばれ。相互接続はめんどい。
rtx側ののremote idとlocal idを外してみる。
だめなら、local(remote) id を10.1(2).0/16 と、ネットマスク付きにする。

>>594
もしあれば、10baseのハブを挟むと、簡易帯域制御になります。

>>596
励ましありがとうございます。
アドバイスいただいた remote and localの id について、
外したり、ネットマスクつきにしたり、いじくりましたが、うまくいきませんでした。
まだ他に誤りがあるようです。

がんばります。これさえ終えられればちょっと息抜きできます。
あせってもしかたないので、あせらずに取り組みます。と、自分に言い聞かせます。

あと、気づいたのですが、CentOS側で、IPsecサービスを再起動した場合のみ、
RTX1200のログに、>>587のログが出てきますが、

逆にRTX1200から、ping 対向ローカルアドレスして、tunnelを作らせようとした場合は、
RTX1200のログには、
”send IKE message to　対向側CentOSマシンアドレス”　が表示されるだけでした。
対向側からの応答がないようです。CentOS側が応答してくれないようです。

一度、CentOS - CentOSで、IPsecトンネルを構築してみたいと思います。
何か気づくことがあるかもしれません。
「亀さん、いちどブルートレインに乗ってきてくれないか」
以前は、いちいち乗る必要ないだろと思っていましたが、
ここにきて、実際にやってみることの重要性がわかります。

つ　つ　つ　つ　つ　つながりました！！！！！！！

RTX1200とOpenSWANつながりました。
ありがとうございました。

それぞれのパラメタをいじっていたら、RTXのログの内容が変化してきて、
最後に、OpenSWANのsecretsファイルの内容が間違っていたことに気づいて、修正しました。

まだ納得できないところがあるので色々とパラメタをいじってみたいと思います。
とりあえず、「戻れるところ」ができました。
また報告します。

お世話になります。
本社側にＹＡＭＡＨＡＲＴＸ1000、拠点５か所にＲＴＸ1000，ＲＴＸ1100を配置して、
ＩＰＳＥＣのインターネットＶＰＮを構築したのですが、本社側を最近RTX1500に入れ替えたところ、
一定時間後に拠点側から通信ができなくなるという事態になっています。
本社側は固定ＩＰで拠点がわは動的に変わる一般的なインターネット契約です。
いろいろ調べているのですが、ルータをリセットすると数時間以上は正常なのですが、
次の朝、拠点に出社すると拠点側から通信が出来なくなっています。
本社側から見ると、トンネルは正常にとおっているように見えます。
キープアライブはお互いに打ち続けており、LOGに残っています。
でも拠点側からPIＮＧを打っても通じないのです。
そこでルータの電源を入れ直して再起動すると、正常になります。
が次の朝には切れています。
ＳＡの寿命と関係がありそうだったので、ＳＡの状態を見ていると自動的に生成されて交換されている正常に見えます。
ＬＯＧ上に通信が切れた形跡がないのに通信ができない状態ってなんでしょうか？

>>600
直接の回答になってないけど、ファームウェアのバージョンは最新？

>>601
最新ではないです。
でもかなりあたらしいほうです。Rev 8.03.90 です。
最新は8.03.92のようですけど。
各拠点のルータも導入時期によってファームのバージョンは違います。

まずは最新に統一しろ。
話はそれからだ。

>>603
物理的に離れた拠点のファームをそろえるのは、そう簡単なことでは無いですよ。

ここに書き込むからには、大きな会社じゃないだろう
北海道から沖縄に行くのは大変だと思うけど
担当を任されているなら、そこら辺も考えておくべきだったね
構築完了後の運用や保守までやる必要はあるんだから


1.手順書の作成
2.現地の社員にファームアップして貰う

ここら辺が現実的だね

リモートでアクセスして
http revision-up go
を実行しろ。
話はそれからだ。

>>604
なんのためにリビジョンアップのコマンドがあるんだよ

遠隔地からのtelnet、sshを許可してないんだろ
ある意味正しくはあるが・・・

本社に古い1000が電源が入ってぶら下がったままだと、
そっちにつながってしまったりします。ケーブルと現物を物理的にご確認ください。
pingを本社のrtxのlan側アドレスに打たれたとするとすると、
リンクダウンしてるインターフェイスについて、1000は応答を返さない仕様のはずです。

>>608
まあ、605はそうみたいだが、デフォルトだと許可されている。
ISDNもデフォルトでは接続可能だが、
今時は接続されていないケースも多いかな。

リモートアクセスのことほど、神経質になる。
優先順位はトップ。
冷や汗かくのはごめんだ。

SSHとネットボランチDNSが使える今って
昔ほど困難はすくないと思うがね

>>612
インターネットまでちゃんと接続で来てればな。
それ以前の部分だと、どうしてもISDNに頼らざるを得ない。
RTX1200ならひかりネクストのデータコネクトもあるんだが。

ファームアップでインターネットまでつながらなくなる事はめったにないけどな

他の設定なら
コマンドラインだとセーブしないと電源リセットでなんとかなるし

今朝の8時からDDoS食らってます。
http://engawa.2ch.net/test/read.cgi/mysv/1378206285/133-141

重すぎて show status pp 1 すらなかなか見れないのですが、
たまたま見れたとき、120万バイト/秒 くらいでした。
（多少は緩和するかと思って lan type lan2 10-fdx した結果で）

これはルーター側ではなんともならなくて、上流(ISP)に相談するしかないですよね？

質問なのですが

NATディスクリプタ機能 概要
http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/nat-abstruct.html

>ICMPのEcho Requestのときには、無条件にEcho Replyを返します。

とあるのですが、Echo Request を内側のパソコンに転送させることはできないでしょうか。
nat descriptor static 1 1 192.168.x.x icmp

として、Echo は届かないぽいのですが。

>>615
そのページの4.7を見る限り無理そう。

>外側アドレスに対して外側からpingを実行するときには、
>NATディスクリプタの設定内容に関係なく、
>常にルーターが返事を返す仕様になっています。

まあISPに相談して対応してもらうしかないかなー。

WAN側にミラーポート設定できるスイッチを挟めば覗くことはできるだろうけど。

>>615じゃなくて>>616だったｗ

DDOSに曝されるケースって、俺遭遇したことないな
小さい通信工事屋に所属してるから、客もショボイ（暴言か）
解決までの流れを勉強したいから、暇なときに報告貰えるとありがたい

>>615
最新のYAMAHAのファイアウォール専用機（赤い狂態のやつ）だったら、
たしか、パケットが入力される前段階で、はじくらしいから、
処理能力が低下することがないとかあるとか・・・

LINUXとかのIPTABLESだったらやっぱり、大量ドロップ処理でもCPU食いつぶされるのかなあ。

>>620
rt.57と107やrtx1000は能力低すぎて、DoSやp2p喰らうと即死するし。
今時の3000円位のルータや無線APの方がパケット転送能力は高い。
ファイアウォール機はシグネチャ対応も無いし、なんちゃってですよね。

>>621
すみません、DDoS攻撃は自分の蒔いた種のようでした
高負荷でRT57iがパケットロス、送り元がロス検知して再送
が超加速してた模様でした。

show status pp 1 の上では受信できていたのに
その後ろの Dynamic Filter や NAT の付近で、たぶん CPU が追いつかず・・・かなと

しっかし、再送も積もり積もるとトンでもないことになるんですね
高速道路でも、誰か1台の踏んだ急ブレーキのせいで
どんどん後ろに連鎖が続いてあっという間に大渋滞、ってありますが、まさにそんな風でした。

で、RT107e に交換しました
最初はそれでも落ちるので、/8の単位で適当なセグメントを reject
(いったん落ちるとセッション切断・接続が動いて
　その間の未達パケットの再送が再接続後に集中して悲劇的な結果になる)

RT57iだとCPU負荷が見えないのですが、RT107e では見えるので
数分たって50％を下回ったあたりから /16 の単位で pass に切り替えて
概ね30％前後になったところで、reject 解除

今は 30-40％ で遷移中。
ただし、いったん回線が切れると、たぶんやばいことになりそうな気が・・・

RTX1200あたり検討します。
ちなみにRT57iの仕事は、DNSサーバーのパケット転送です。
セカンダリDNS建ててないので、これも一緒に検討です。

連投すみません

DNSサーバーの転送と書きましたが、外から飛んでくるパケットに応対するほうです。
(公開DNSサーバー)

DNSのパケットって、TCPと違ってかなり細かいと思いますが
やっぱ、この手のサイズは小さいパケットが大量に押し寄せてくるって用途には
かなり高価なルーターじゃないと厳しいものなのでしょうか

>>624
高負荷時なんかは、Ciscoのほうがちゃんと処理できる。コンソールもきちんと反応する。
値段の差よりも、用途にあって無さそう。自分ではYAMAHAは予算の無いVPN位でしか選択しない。
他メーカーのUTMとかの方が良くない？

>>624
ヤマハのルーターは不特定多数向けに公開するサーバーの手前に
置くには不向きだよ
ファストパスの仕様上、処理できるパケット数の限界を迎えると性能が悪化する
http://www.rtpro.yamaha.co.jp/RT/docs/fastpath/

想定するパケット数次第だけど、場合によってはVyattaなどPCベースの方が向いている場合もある
その場合、特にハードウェアの保守は期待できないけど

>>3のスレに変なのが居ついちまった

>>622-624
>ちなみにRT57iの仕事は、DNSサーバーのパケット転送です。
>
>DDoS攻撃は自分の蒔いた種のようでした
>高負荷でRT57iがパケットロス、送り元がロス検知して再送
>が超加速してた模様でした。
>
>いったん落ちるとセッション切断・接続が動いて
>その間の未達パケットの再送が再接続後に集中して悲劇的な結果
>
>RTX1200あたり検討します。
>セカンダリDNS建ててないので、これも一緒に検討です。


DNSサーバを公開したら、そんなやばいことになるんですか。
どれだけリクエストがあるんですか！！
貧弱なマシンでは耐えられなさそうですね。

あるいは、DNSサーバの設定を変えて、キャッシュ時間を長くとかできますか？

>>626
>場合によってはVyattaなどPCベースの方が向いている場合もある

専用ハードにはぜったいに負けると思ってましたが、
それは、あるいは、なにかソフトウェア的な仕組みが違うことによって有利な点があるってことでしょうか。
つまり、カーネルのnetfilterが優れているってことでしょうか。

もちろん、蟹さんnicなんて使っていたら、cpuが食いつぶされてしまいますよね。
intel nicを2枚つかって、cpuに負荷をかけないことを前提として。

>>629
ソフトの差というよりCPUの価格差かな
汎用CPUなんてクロック単価が安いから物量でぶん回す方が早かったりする
NICはドライバの出来次第かな

専用ハードの利点は保守と寿命かな

>>630
なるほど、ぶん回せますよね。多コアの3GHzくらいのAM3+なんかのCPUで。
今のご時勢、電気代心配・・・（100Wにはなりますものね）

専用ハードはやはり高寿命、低消費電力ですよね。

YAMAHAがどうとか以前に、細かいルールを設定してアクセス制限したり
特定の攻撃に対して一定の対処をするという用途にルーターを適用するのこと自体が不向きだよ

同じ価格帯ならソニックとかFortiとかそのへんの方がましでないかね。
最近のUTMはあんまり使ってないけど、以前よりハード性能も上がってるし
価格に対しての限界値はかなりあがってるはず。

kakaku.comかと思った

礼儀正しく、端的で、アウトラインが描かれていて、良いではないかと思います。

無料の IPv4 over IPv6 を試そうと思って
NTT西のフレッツネクストの無料のIPv6オプションを有効にして、ルーターに

ipv6 prefix 1 ra-prefix@lan3::/64

を施したんだけれど、これだけだと、もれなく全国公開になっちゃうんですよね？
細かい設定ができるまでの間は、とりあえず

ipv6 lan3 secure filter in 10000
ipv6 filter 10000 reject * * * * *

やってけば大丈夫ですか

>>635
>>248とhttp://engawa.2ch.net/test/read.cgi/isp/1374220315/318

『無料の IPv4 over IPv6』とは、JPNEの「v6プラス」？
それともBBIXの「IPv6 IPoE + IPv4 ハイブリッドサービス」（Y!BB光のIPv6高速ハイブリッド IPv6 IPoE + IPv4）？

v6プラスなら400シリーズのNTT東西純正HGWをレンタルして使うことになるし、
@niftyでは、NTT西であってもひかり電話の契約が必須条件らしい。
ひかり電話契約ありでHGWを使う場合は、HGWのIPv6ファイアウォール機能
（SPI（動的フィルター）、IPv6パケットフィルタ（静的フィルター））が使えるよ。
この場合、ヤマハルーターはHGWからPDを受けることができるから
ipv6 prefix 1 dhcp-prefix@lan3::/64
だね。

>>636
細かいこと分からないけれど
ネクスト利用してる拠点それぞれのルーターに IPv6 を割り当てて
そのルーター間で IPSec 張って IPv4 なパケットを流して
いわやるフレッツアクセスみたいなことが出来ると聞いてチャレンジ開始したとこ

フレッツアクセスみたいな、閉じたグループという概念はなく
ネクスト利用者すべてが相互に通信しあえると聞いたので
とりあえず設定が怪しいうちは、reject なフィルターを書いておかないと
無関係な人からもパケットが来てしまうのではないか？って思った次第

RTA55iの話なんだけど、
WEB GUI画面に、コマンドを入力して設定ができるようになっているよね。
GUIからコマンド入力できて便利だと思って、TELNETのときのようにして、
restart と入力したわけなんだ。

再起動して立ち上がってくることを期待していたのに、一向に復帰してこない。
GUIからの操作もできなくなって、TELNETからも受け付けないまま。

おかしいと思って、手持ちのRTA55iで同じことをためしたら、
なんと、ぜんぜん再起動の気配なし。で、そのままフリーズしてしまっているんだ。

最悪でしょう。

こんなことで、いちいち遠隔地まで行く羽目になってしまいました。
いつもやらないへんなことはやらないようにしましょう。

バグを引き起こすようなコマンドは入力できないようにしていてほしかったよ・・・とほほほほ
ため息でる。

なんとなしに、もう一度同じことをやったら、
GUIに、赤字で、restartします　って表示された！

じゃあ、なんでフリーズしているのだ！！タイミングが悪かったとか？
もうヤダ。

すみません、なぜか大丈夫でした。
遠隔地のRTX1200から、ローカルネットワークでRTA55iにtelnetで入れました。
（ルーティングが必要なところからは、たしかにアクセスできなくなっていました。）
その後、restartできました。

RTX1200で、show arp　すると、RTA55iは残り時間のあるそれまでのアドレスを捨てて、
別のIPv4アドレスを新しく取得していました。

とりあえず、遠隔地まで行かずにすみました。ルーティングも正常です。
バグだったのかな？

RTA55iが現役と言うことに驚いた

家庭用のホームゲートウェイ(ONU+ルーター+VOIPアダプタ)を設置している場合は
内蔵のIPｖ6ファイアーウォールがデフォルトで有効であり、
初期設定が　「NGN内の通信のみ着信許可」　の設定になっているので
IPｏE型のv6インターネットに加入しても、NGN以外のv6インターネットからは
着信方向のパケットは全破棄になるよ。

>>642
>初期設定が　「NGN内の通信のみ着信許可」　の設定になっているので

NGNユーザー間は、他人どおしでも全通なのか
まるで、ヤフーADSLの初期のころだな

局側がスイッチングハブで分岐しただけの構造で、加入者間どおし筒抜けだったという

スミマセン。
RTX1500ですがIPSECのトンネルは正常に繋がっており、ルーティングも正常なのに、
対向ルータにpingが飛ばなくなることってありますか？
ルータ起動時は正常なのですが、8時間くらいで反応が無くなります。
SAの更新もされているのですが。
ルータを再駆動すると正常にもどります。

優先ポートが足りない。
NVR500をホームユースで使うレベルに見合う有線ハブってどんな感じですかね？
BuffaloとかLogitecとかは嫌なので…。

>>645
普通のL2SW(ノンインテリジェント)で良いのなら、これはどう？
値段は8ポート機でおおざっぱに1万円ぐらい。
http://www.allied-telesis.co.jp/products/list/switch/gs900lv2/catalog.html

同じヤマハの SWX2200-8G ならいろいろ遊べて面白いのかも知れないが、
値段がもう1万円ぐらい上がる。

>>645
板違い
お勧めのスイッチングハブ 25port目【Hub】
http://toro.2ch.net/test/read.cgi/hard/1371368325/

MLD（ひかりTVや家庭用USEN SOUND PLANET-i HOME MIX等）を使うならGS908M V2
MLDを使わないならGS908L V2
SWX2200シリーズはMLDスヌーピング非対応

>>643
確かにその通りだけど、IPｖ6オプション契約しなければNGN内の折り返しはできないからね。
初期セットで一定の制限が有効なだけましなんじゃないかとおもってる。

フレッツV6オプション標準提供にならなかったっけか？

なったはず

>>649-650
それ東日本だけのはず。

2chに書き込みが出来なくなりました。
調べてたら同じｴﾗｰで書けない人のスレを見つけて、
【RequestTimeoutや500 Internal Server Errorで書き込めない人のスレ】
http://engawa.2ch.net/test/read.cgi/accuse/1379133373/64

RTX1100でL2TP/ipsecつかってるからどうやらVPN規制に該当したらしい。
(VPN経由でなくて自宅のLAN内からでも書き込みできない)

この中の>>64さんの↓の対策を設定したのです・・・、
> 書き込みエラー対策、ここまでの情報収集まとめ
> 206.223.144.0/20
> 207.29.224.0/19
> からの
> 443/tcp
> 995/tcp
> 1723/tcp
> GRE(プロトコル番号47)
> 接続を拒否(フィルタリング)する。
> # 手っ取り早く設定する場合は、ルーターの443ポートを閉じるだけでも良い。
> # 443ポートを閉じた場合、外部からhttpsで接続できなくなるので443で
> # 鯖運用している場合は使えない手法だが...orz


ip filter 1010 reject 206.223.144.0/20,207.29.224.0/19 * tcp https,995,1701,1723 *
ip filter 1011 reject 206.223.144.0/20,207.29.224.0/19 * gre * *
pp select 1
ip pp secure filter in 1010 1011 (←実際は他のフィルタも記述してます)

こんな感じで(使ってないけどHTTPSと)VPN関係をフィルタを追加したつもりなのですがまだ書けません。
間違ってるところ教えてください、お願いします。

MLって終わったの？
9/27のナイスパパを最後に途絶えてるんだけど

>>653
終わってないよ。
今までも1ヶ月以上投稿がなかったことがある。

http://yne.force.com/
こっちに流れてる感じ

登録ユーザーは、まだ少ないぞ。

>>655
MLに流れてくるのをダラダラ眺めてるだけでも色々と勉強になることがあったりと楽で便利だったんだが
そういう見方するにはSNSって今ひとつ不便なんだよな

自己解決しました
×　ip filter 1010 reject 206.223.144.0/20,207.29.224.0/19 * tcp https,995,1701,1723 *
始点ポート番号じゃなくてこっちの終点ポート番号を指定しないと意味なかった

○　ip filter 1010 reject 206.223.144.0/20,207.29.224.0/19 * tcp * https,995,1701,1723

×　ip filter 1010 reject 206.223.144.0/20,207.29.224.0/19 * tcp https,995,1701,1723 *

もっと別に問題があるとスルーしていたわ
フィルタルールの入力は、コンソールでtab補完しながら、ヘルプ見ながらするから、
パッと見てハッとこなかったわ

やっぱML死んでるよ
俺がポストしたもの、流れて来ない

おまいらにも届いてないだろ？

メールの内容は？

9/27のナイスパパを最後に途絶えてるぞ

MLに新ファームの案内が来たな。
投稿がかなり空くことは今までもあったよ。

NTT西日本のフレッツ光レッツ光ネクスト スーパーハイスピード隼って1Gbのプランって
IPSECインターネットVPN問題なく出来ますか？
以前西日本のフレッツ光ではIPSECVPNできないと聞いたことあるのですが・・・

>>664
上の方のレスを見てみて、
問題がないとは言えないことが散見されるよ

>>664
できるはず。というか、できない理由が思いつかない。

> 西日本のフレッツ光ではIPSECVPNできないと
聞いたことないよ。

>>666
ipv6のユニファイドアドレスが変化しないとは言い切れない点について

>>667
PPPoEには固定プレフィックスのサービスも存在するし、
半固定/非固定のサービスやIPoEでやるならDDNSサービスを使えば良い。
IPv4 PPPoEでの固定アドレスならi-revo アクセスが月額料金525円（税込）。

それに、意図しないIPアドレス/プレフィックスの変更は
『西日本のフレッツ光』に限ったことではないよ。

>>664
VPNの相手側もNTT西日本のフレッツ 光ネクスト/光マイタウン ネクスト/光ライトなら
ISPの契約すら不要で、インターネットを介さずにNGN内で完結するVPNが構築できる。
この場合、名前解決には「ネーム」が使える。
ISPの個人向け契約によくある、単位時間あたりの送信容量を制限する規定は、
NGN内の通信には設けられていない。

>>664
NTT西日本専用・フレッツ光ネクスト総合★13
http://engawa.2ch.net/test/read.cgi/isp/1378501742/

>>669
>ISPの契約すら不要で、インターネットを介さずにNGN内で完結するVPNが構築できる
>名前解決には「ネーム」が使える

この「ネーム」って、何を解決するためにあるの？
IPv6のフルアドレス？それとも、Prefixのみ？
もし、IPv6の64bitのフルアドレスだとしたら、ホームウェートウェイ自身のLAN側アドレスのこと？
だとしたら、どうやってその名前解決によって、RTXは対向のRTXのアドレスを知れますか。
多分、Prefixのみの解決なんだろうと思うんだけど。

>>671
フルアドレスだよ。
元々はNGNを使ったNTTの提供するサービスのために作られたと聞いている。

お察しの通り、そのネームを使って対向ルータのアドレスの解決が可能だよ。
上の方みたらそれらしいこと書いてるからみてみたら？

>>672
ああ、IPv6アドレスが一個だけ、ネームリゾルバに登録できるっていうことか
ホームゲートウェイからRTXがDHCPで取得したIPv6アドレスを、ホームゲートウェイのログで確認して、
それをNTTのリゾルバに登録するってことでいいかな。

>>673
ホームゲートウェイ（HGW）を介在させていて、尚且つ、ひかり電話を契約している場合に
RTXがHGWからプレフィックスを取得する方法は、RAとDHCPv6-PDの2つ。
HGWのDHCPv6サーバー機能はPDの機能を持っているけど、
128ビットのIPv6アドレスを払い出す機能は無いよ。

RTXのIPv6アドレスの確認はshow ipv6 addressコマンド。
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/showconfig/show_ipv6_address.html
尤も、ipv6 interface addressコマンドでサブネットIDやインタフェースIDを明示的に
指定するだろうから、それを覚えていればHGWの「DHCPv6サーバ払い出し状況」を見て
RTXのIPv6アドレスを導き出すこともできるわね。

>>663
そんなメール来てないな、と迷惑メールBOXを確認したら見事に迷惑メール扱いされてた
MLのメールが来ないって人は同じパターンかも

>>674
”ネーム”に自動的に登録するような機能が、RTXにあれば楽なんだけどね

ntpdate dhcp lan2 なんてことができたら良いのに…
http://engawa.2ch.net/test/read.cgi/network/1106498099/468

皆さんありがとうございます。

NTT西日本のフレッツ光でIPSECが張れない話は、再度調べたら2009年ごろの話でした
しかも光プレミアムでCTUを使っている場合でした。
以前はＣＴＵでpppoe接続が出来なかったらしいのですが、ファームウェアが上がり、
CTUをモデムのように使うことが出来るとのことで今は問題ないようです。

今回使用するのは光ネクストなので最初から問題ないようです。

大変お騒がせいたしました。

光プレミアムにPPPoE機能が追加されたのは2006年なんだが

>>678
初期設定の違いだね。
はじめから出来るよ

記憶が確かなら、だが 光プレミアムの最初期はCTUにPPPｏEブリッジ機能は
ついていなかったはずだぞ。
そのため、自営のルーターが使えず、使えるようになってからもしばらくは
NW屋はプレミアムの積極的な採用を避けた。

いつまでスレチ続けるつもりだよ

pppoeが使えなくても、すべてのパケットをrtxに透過させて、
ipsecを使っていたなあ
応用が大切

RTX1200の購入を検討しています。
公式サイトのマニュアル、設定例を見ていると

ip lan1 address 192.168.0.1/24
ip lan2 address 192.168.1.1/24
ip lan3 address 192.168.2.1/24

この設定でlan1, 2, 3同士がルーティングされると思います。
lan1からlan2, 3へ通信する時にアドレス変換をしたい場合

nat descriptor type 1 masquerade
ip lan2 nat descriptor 1
ip lan3 nat descriptor 1

こう書けば動きますか?
descriptor番号を変えないとだめでしょうか。

そんな貴方に

ヤマハネットワークエンジニア会
http://jp.yamaha.com/products/network/special/yne/

実機を所有していなくても、インターネットを通して実機検証可能
http://yne.force.com/

＞＞６８５
そんなのは求められていない

>>684
LAN2 と、LAN3のネットワークもlanアドレスも異なっているので、
当然、それぞれに掛けるマスカレードは、OUTERアドレスの異なったものになりましょう。
だから、OUTERアドレスを設定することを考えれば、
nat descriptor type 1 masquerade
nat descriptor type 2 masquerade
のように、違った定義を行って、LANインターフェイスそれぞれに掛けてやったほうが自然のように思った。

>>684
そのくらいのことはカンタンにできるから、
購入してみればいいよ。
RTX1200だと間違いない。ちょいと高いけど。RTX1100は将来性がないから駄目だからね。

買ってからも、色々試す必要があることは変わりないよ。

ＢＹ RTX1200ユーザー

>>684
RTX1500も駄目だよ。

番号は小さいけど、RTX1200の方が新しい機種だからね。

>>685
正会員　有料！って？何！
何をしてくれるの？

いろいろとありがとうございます。参考になります。
まずは買ってみて遊んでみよう！

# ちなみに個人的にNVR500を買っていじっているけど
# このVLAN機能はいわゆるタグVLANなんだね。ポートVLANが使えなさそうで悲しい
# ちょっと予算増やしてRTX810かFWX120にしなかったことを少し後悔

逆じゃね？

YNE参加は、有料じゃないぞ。
参加すると、情報交換や、仮想環境での実機検証システムが使える。

>>692
将来は有料のものが現れてくるらしいぞ

Ralinks や Atheros に対応したJTAGツールってあるの?

NTTのNGN網での網内用IPv6アドレスを使って、RTX同士でIPsecトンネルを掘る場合、
拠点のそのIPv6アドレスが変わった場合に通信不能になる問題がありましたよね。

NTT網のネームというDNSのような機能を使えば、プリフィックスの変更にも対処してくれるとかないとか言われています。
しかしそれでも完璧ではありません。プリフィックスよりも下のアドレスビットが変われば駄目だからです。

そこで、別にダイナミックDNSを使えばよいという案がありました。
しかしNGN網だけで通信を終端している場合、インターネット接続環境にはないので、
そういうダイナミックDNSの類も使えません。

以前のメーリングリストを読んでいたら、同じことを考えている方がいました。
yamahaのネットボランチDNSを拡張されて、NGN網で使えるようになれば良いだけの話なのです。
NGN網でもネットボランチDNSを運用してください！

さて、この件について、
NGN網って、NTT東と西とで分離されているのでしょうか。
その場合、相互に通信することは不能なのでしょうか。
そうすると、NGNのためのネットボランチDNSは、両方の網それぞれに設置しなければならなくなりますよね。
yamahaの基地局が東日本管内にあるなら、カンタンにはできないのかもしれないなと思いました。

でも、みなの将来のためにがんばってほしいです。よろしくお願いします。

つづき、

網内だけで使えるIPv6アドレスは、NTT専用のアドレスですよね。（１）

他に、インターネットとの通信で使えるIPv6アドレスもありますよね。
これは、ネイティブIPv6方式とかいうのだったと思います。
プロバイダに代わってNTTが配布するものだと思います。（２）

この、（１）のIPv6と、（２）のIPv6って、互いに通信できるものでしょうか。
それから後者のIPv6アドレスって、プリフィックスは変化するのでしょうか。
これが、互いに通信できて、かつずっと固定的にクライアントに割り当てられるものなら、
もしも、yamahaのNGNIPv6用ネットボランチDNSが運用されるような場合には、有効だと思いました。
yamaha側のそのDNS環境でこの固定的に割り当てられるIPv6を使えば、
クライアント側では、そのIPv6アドレスをRTXのファームウェアに書き込んでいても大丈夫だと思うからです。
これだと、現行のネットボランチと同じスタイルではないかなと思いました。

他に、技術的には、何か難しいことでもあるのでしょうか。

ネームは、NTTのサービス内でしか使えないから、ネットボランチDNS
しか無いだろ。

ぜひとも、ネットボランチDNSのNGN専用版を作ってください

>>695-696
> プリフィックスの変更にも対処してくれるとかないとか言われています。
西は>>471>>475、東はhttp://enog.jp/wp-content/uploads/2013/08/ENOG22_Fletsv6opt.pdf#page=33。

> プリフィックスよりも下のアドレスビットが変われば駄目だからです。
インタフェースIDとサブネットIDを固定値で運用すれば良い。
レンタルのHGWは電源を切ってもPDのアサインテーブルを記憶しているから、サブネットIDの変化は滅多に起きない。
それさえも懸念するなら
・レンタルのHGWを使わずに、ヤマハルーターをUNIに直結する。
・レンタルのHGWを介すなら、ipv6 lan2 address ra-prefix@lan2::1/64
・他のセグメントに設置したければ、セグメント間を繋ぐルーターはRAプロキシで運用する。
・他のサブネットに設置したければ、「任意のルーターに対して任意のPDを行えるルーター」（NECのUNIVERGE IXシリーズ等）を介在させる。
など工夫する。
グローバルルーティングプリフィックスの長さ（/56 or /48）の変更は滅多に行われないし、それが行われる時には公式な工事情報で事前告知される。
http://www.logsoku.com/r/network/1297147004/533-552

> しかしNGN網だけで通信を終端している場合、インターネット接続環境にはないので、
それは利用者の都合。インターネットに接続しましょう。

> NGN網でもネットボランチDNSを運用してください！
「ネーム更新機能をヤマハルーターに実装する」ことと、「ヤマハ社がNGNでDDNSサービスを運用する」こととでは全く異なる。
後者を実現するにはヤマハからNTT東西への費用の支払いが発生することになるが、それをどうやって賄う？
NGNのオープン化が実現された暁にはそのハードルも下がるだろうが、現段階での実現は無理だと思う。

>>695-696
> NGN網って、NTT東と西とで分離されているのでしょうか。
基本的には分離されていて、公式には直接通信できないことになっている。
ただ、このスレの住人さんによると、地域IP網の時代には東西間が繋がっていて、
西のBフレッツ+フレッツ・v6アプリ若しくは光プレミアムと東のBフレッツ+フレッツ・ドットネットとの間で
特定のポート番号に限って直接通信できたそうなので、NGNでも非公式な抜け道が存在するかもしれない。
それを匂わせる記述が、広域イーサ ネクストのページに存在する。
http://www2.softether.jp/jp/ethernext/flets/

> この、（１）のIPv6と、（２）のIPv6って、互いに通信できるものでしょうか。
できる。

> それから後者のIPv6アドレスって、プリフィックスは変化するのでしょうか。
まずはこれを把握しよう。http://www.iij.ad.jp/company/development/tech/techweek/pdf/tw2011_08_ipv6_1.pdf#page=11
IPoEはNTT東西やISPやIPoE接続事業者（VNE）によらず、一律で半固定的割り当てのみ。
IPv6 PPPoEはISPによって、完全固定、半固定、非固定それぞれのサービスが存在する。

フレッツのサービス内容に関する質問は適切なスレでお願いします。
NGNについてアホ共が永遠に語り合うスレ#02
http://engawa.2ch.net/test/read.cgi/network/1264777970/
東NTT東日本フレッツ光ネクスト総合スレ part8
http://engawa.2ch.net/test/read.cgi/isp/1352059256/
NTT西日本専用・フレッツ光ネクスト総合★13
http://engawa.2ch.net/test/read.cgi/isp/1378501742/

>>699-700
くわしい

>「ネーム更新機能をヤマハルーターに実装する」ことと、「ヤマハ社がNGNでDDNSサービスを運用する」こととでは全く異なる。
>後者を実現するにはヤマハからNTT東西への費用の支払いが発生することになるが、それをどうやって賄う？
>NGNのオープン化が実現された暁にはそのハードルも下がるだろうが、現段階での実現は無理だと思う。

なるほどなと思った。
ぜひとも、NGNがオープン化されて、ネーム更新機能がオープンになったときに、
YAMAHAがネーム更新機能を実装して、この問題を対処してくれるようになることを期待します。

レスありがとう。

NGNについてアホ共が永遠に語り合うスレって２が出来てたんだなｗ
通信建設配下から自営に転職したんで5年くらい見てなかった
ちょうど良い機会だからアホどものツラを拝みに行くか

2chじゃ顔は拝めんぞ。
鏡見とけよ。

これだから、文字チャット方式は、心が通じ合わない
って、俺だけが、冗談が通じない！？

だから冗談は顔だけにしておけと・・・

アーノルド坊やは人気者

>>706
30代
>>707
40代

あるプロバイダで、サブネットごと割り当ててもらったんです。

PPにIN方向REJECTフィルタを掛けて様子を見ていました。
動的フィルタを掛けて開くように設定したので、インターネットからのつじつまの合わないパケットは、
すべてリジェクトされるようになっています。

すると、CONNECT してすぐに、
LOGに、REJECTログが現れました。
次から次へと、TCPポートにやってきました。
1433やら、135やら、23やら、25やら、3389やら、59903というのもありました。

前に使っていたところは、こんなひっきりなしに、ウェルノウンポートを叩いてこられることはなかったように思います。
攻撃者は何か、脆弱未確認リストのようなものでも持っているんでしょうか。
このまま時間が経過すればあきらめて皆去っていくんでしょうか。

それから、RTX1200内から、たとえばYAHOO.COMにPINGを打ったら、
応答が帰ってきませんでした。
REJECTされていました。

たしか以前の「仕様」だと、ICMPをREJECTしようと思えば、
マスカレードがある場合には、静的NATを設定してICMPを内側アドレスに転送してから、
これをフィルタするという方法をとらなければならなかったと思うんです。

RTX1200になって、仕様が変わったんでしょうか。

>>709
インターネット定点観測レポート(2013年 7〜9月)
https://www.jpcert.or.jp/tsubame/report/report201307-09.html

>>710
FWX120とSRT100のポリシーフィルターはICMPも扱うけど、
RTX1200を含むその他の機種の動的フィルタはICMPを扱わないよ。

>>711
定点観測レポートありがとうございます。
だいたい同じポートへのノックが多かったです。

さっき、NATマスカレードで、外部アドレスを全部閉じました。
もうログに載らなくなりました。

>RTX1200を含むその他の機種の動的フィルタはICMPを扱わないよ。
ということは、内側ネットワークのクライアントが、pingでリクエストしても、
普通はレスポンスが帰ってこないってことでしょうか。

>>710
自分です。

勘違いしてました。
外部アドレスからRTXにpingを打った場合でした。
その場合、何も設定がなければ、RTXはリプライしてしまうことでした。
対策として、>>710のように、icmpをRTXローカルアドレスにフォワードしてから
REJECTするということでした。

>>712
これも自分なのですが、
ところで、動的フィルタは内側クライアントのpingによるリクエストを処理しないということですが、
ppなどの入力の静的filterでicmpを許可するする必要があるってことですよね。
icmpのタイプなども指定できるんでしょうか。この場合は、リプライなので、0番だと思います。

icmpを処理するかどうかの点で言えば、linuxのnetfilterのステートフルインスペクションの方が優れていますね。

>>713
言い忘れです。
いずれにしても、ipマスカレード環境では、
内側クライアント個別のicmpリクエストは正しく処理されないことになりますね。
外部アドレスは一個なので。

もしも、udpでicmpをカプセル化するような仕組みがあれば別ですけど。

ちょこちょこ出るんだけど　このログ何？
Nov 1 22:54:26 192.168.254.254 [HTTPD] Illegal Request (TCP Connection failure, 192.168.254.253)

機器↓
192.168.254.254 -> RT107e
192.168.254.253 -> Buffalo Router

HTTPD: Illegal Request (TCP Connection failure, IPアドレス)
(debugレベル) 異常系
ホストから誤ったアクセスがあり、処理を中断しました。

だそうだよ。

>>715　ありがとう。
誤ったアクセスって何か分からんけどRJECTログで表示されるのかと思ってた。
Buffaloのルータが何をアクセスしてるのかが気になるけど何か調べる方法ないかな？

すまん安価ミス
×　>>715
○　>>716

パケットダンプ

>>719　さんくす　やってみるわ

バッファローのルータが出すリクエストって、NTP 位だろ。たぶん。

>>717
ネットワークサービス解析
を無効に

>>716
PCから telnet 192.168.254.254 80
エンターエンターエンター で、同じようなログが出せます。
バッファローがなにかまさぐってるんでしょうね

>>722>>733　ありがとう
httpはオフにしてるんだけど、telnetで同じ結果でたわ。
同じことをBuffaloのルータがやってるとか意味がわからんけど
とりあえずネットワークサービス解析オフにしておいた。

牛ルーターにトロイ木馬が仕込まれてるの？
うちも無線APに牛を使ってるから気をつけないといかんな・・・

明示的にrejectしてログ取ってみるか

牛は↓の機能のために無駄な被害出してるみたいだね
ネットワークサービス解析
TOP画面の「ネットワークサービス一覧」でLAN側ネットワーク内のネットワーク機器情報を取得することができます。 初期値は、[使用する]です。

まーそんなことより、RT107eがhttpをoffにしてもport80を受け付けてる事がわかったのが収穫だ
フィルタ設定1行追加しておくかな

話の流れぶった切って申し訳ないですが…
rtx1100でのl2tpのリモートアクセスハマってしまったので知恵を貸してください

状況はこの方の感じが近いです
http://hoshiya.biz/blog/2012/12/vpn-1.php

問題としては
常にパ ケットをVPNトンネルに流しておかないと、接続はあっても『まるで切断されたかのよう』になってしまう事です

vpnクライアント→(倉庫)フレッツ光+動的ip
win7+os標準のl2tpクライアント
AssumeUDPEncapsulationContextOnSendRuleは2で設定

vpnホスト→(事務所)フレッツ光+動的ip(dynamicDDS)
win2008

vpnの接続後
共有サーバにpingを打ってもlossする場合もあり
フォルダも開けたり開けなかったり
接続直後にpingを打ち反応が返ってくる時は打ち続けると通信は安定して出切るようになり
ファイル共有なども問題なしという状況です

まずは状況をと思い、configが必要でしたら追って貼り付けます
心当たりとかはありますでしょうか？

>>727
サーバが混み合って見れない

Config見せて〜

RTX1200と、OpenSWANとで、IPsecトンネルをつなごうとしています。
OpenSWANから、RTX1200への接続はエラーなくうまくできるようです。

しかし、ipsec reflesh saコマンドで、saを空にして、
RTX1200からOpenSWANへ接続しようとすると、OpenSWANのログにエラーがでて、拒絶されます。

Nov 11 14:50:58 localhost pluto[8066]: "openswan.rtx" #4: the peer proposed: 172.24.1.3/32:0/0 -> 192.168.1.3/32:0/0
Nov 11 14:50:58 localhost pluto[8066]: "openswan.rtx" #4: cannot respond to IPsec SA request because no connection is known for 172.24.1.3<172.24.1.3>[+S=C]...192.168.1.3<192.168.1.3>[+S=C]
Nov 11 14:50:58 localhost pluto[8066]: "openswan.rtx" #4: sending encrypted notification INVALID_ID_INFORMATION to 192.168.1.3:500

エラーから、IDの問題だろうかと思って双方のID設定をいろいろといじりましたが、
うまくいきません。

次のページには、RTXからOpenSWANへの接続がうまくできないとの旨が書かれています。
http://www.halrroc.org/doku.php?id=hardware:yamaha

RTXからOpenSWAN方向への接続はあきらめた方がいいでんでしょうか。
もうそろそろお手上げです・・・

>>729　付足し
XAUTHなんてつかっていません。
拠点間接続、普通のメインモード接続です。

次のヤマハページに相互接続できるって書いてあるんです！RTX→OpenSWAN方向への接続開始ができないのが悔しい！
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.08.03/relnote_08_03_82.html
>OpenswanとヤマハルータをIPsecで相互接続しようとした場合、XAUTHを使わなければそのまま接続できるが
（注意、XAUTHを利用してもファームアップデートで接続できるとのことです）

相互接続といえば、両端から接続を開始できるという意味ですよね。
できるものならがんばります。できないものなら時間が無駄なのであきらめます。
よろしくおねがいします。

>>727
l2tp keepalive
l2tp tunnel disconnect time
辺りじゃないの？やったことないからわからんけど
l2tp keepalive log onとかにしてログ見たりしたら解決するんじゃない？

>>730
.IPsecで、OpenswanをVPNクライアントとしてXAUTHで相互接続できるようにした。
対象機種：RTX1100, RTX1500, RT107e
次に期待しようぜ。

>>732
レスありがとう

>OpenswanをVPNクライアントとして

あくまでも、RTX側はレスポンダーにしかなれないってことを言っているだったらあきらめるんですが。
あれからからずっと試しているのですが、
RTXがクライアントとしてOpenSWANにプロポーサルすると同じエラーではじかれます。

OpenSWAN側がイニシエーターになってRTXに接続を開始する場合は問題がないようなので、
まあ実用には問題はないかと思っています。
しかし、RTX1200側からOpenSWANにメインモードで接続を開始できないのは気持ち悪すぎです。

RTX1200でちょっと変な挙動が・・・

pp接続（アンナンバード）について、show status pp XXをすると、

受信: 210629 パケット [46565891 オクテット] 負荷: 0.0%
送信: 3356 パケット [46169743 オクテット] 負荷: 0.0%

ってなります。
オクテット表記は送受信とも同じくらいの量を表しています。
しかし送信パケットの表記が異常に少なく表されています。

これって、バグなんでしょうか。

カウンターが一周回っちゃったかと

rtx1300でないのかねー

>>736
voipなんで、送信だけに偏ることはないんだ
それに再起動してからほとん日にちが経っていないし
何かアンナンバードで複数アドレスを使っている時に生じるバグなんだろうと、
頭を巡らすのだが

>>734
あれからこうなった
やっぱりカウンターが回転していない

PPPoEセッションは接続されています
接続相手: BAS
通信時間: 20時間27分54秒
受信: 683159 パケット [151295473 オクテット] 負荷: 0.0%
送信: 5861 パケット [150140685 オクテット] 負荷: 0.0%

>>728
混雑ですか…
configのせますのでチェックお願いします

>>731
設定はしているつもりですが…

事務所の環境は
ctu-rtx1100(192.168.3.254)-共有サーバ(192.168.3.200)

vpn接続後3.200へのpingは通るときと通らない時あるように不安定ですが
rtx1100(3.254)へは安定して通ります

configのっけようとしたら怒られまくったのでうpろだにあげました
http://upload.sikaku-chat.com/dl/1384290477.txt

>>739
全然関係無いけどトンネルの設定三つに別ける意味あんの？
なんか一つにまとめられそうだけど。

>>738
再起動したが、だめ
送信のパケットカウンタが回っていない。
オクテットは正しく表示されているようだ。


PPPoEセッションは接続されています
接続相手: BAS
通信時間: 9時間32分53秒
受信: 136288 パケット [30056067 オクテット] 負荷: 0.0%
送信: 2513 パケット [29898662 オクテット] 負荷: 0.0%

>>741
これはきっと、アンナンバードでネットワークごと割り当てられて、
複数IPv4アドレスを一個ずつNATディスクリプタのアウターに割り当てて運用しているときに生じる
バグだろうから、ヤマハさん直してくださいよ！

config付けてサポートにメールしろ

>>743
今ふぃ具は、大切なところをいちいち****でマスクするのが面倒くさい・・・
でふぉでおＫだからさ。

>>740
えっまとめられるんですか？

>>734
l2tp keepalive use on 10 3
→l2tp keepalive use off

どうでしょう

>>739
l2tp tunnel disconnect time 1800

この設定入れてたら30分放置で切れるんじゃね？

>>747
そこは何かの表紙に切れた場合ずっと接続されているのがダメだったのと
何処かで設定した方が安定すると見かけたのです

それはキープアライブでやるもんじゃね？

l2tp tunnel disconnect time 86400
とかで設定して様子見れば良いんじゃね

不安定な屋外wifiでipsec&l2tpをやっていると、本当にぷちぷち切れる。
クライアントはwindows7で、rtx1200に接続していた。
なんども、再接続が面倒くさい。

どうして切れてしまうんだろうね。
切れても知らないふりでつないだままにしておいてほしいよ。
律儀にリセットしなくてもいいのにと思う。

>>750
やってみましたが変わらずてした…

無通信にしなけりゃ切れないんだろ？
なら、ping -t　で通信状態にしとけばいいんだよ。面倒だが。

>>752
ちょっとconfig見てみたけど、L2TP/IPSecでのキープアライブは、
l2tp keepaliveじゃなくてipsec ike keepalive でやるもんじゃねえの？
いくつか設定例見た感じそうなってるけど？

なんで外すんだよ！
大迫なら決めてるぞ

サーセン

>>753
つ >>751

windowsのリモートデスクトップ接続を使っている最中にも切れます！

突然サーセン

フレッツ西日本の速度計測サイトへの接続に成功したことのある方いらっしゃるかしら
サンプルコンフィグ等があればおしっこ漏れるほどうれしいのだけれど

>>758
IPv6でIPoEセッション貼れば行けるはずだけど

>>759
ありがとうございます。
確かに、IPv6版はすんなりと行きますが、IPv4版がにんともかんともなのです。
普通にPPPoEのマルチセッション貼ってみてもなんだかうまくいかなくて
成功したサンプル等あれば比較検討できるかなと思った次第です。

>>759
IPoEにセッションの概念は無いよ

>>760
https://www.flets-west.jp/speed/faq/#q16
ip route 122.50.20.0/24 gateway pp X でダメなん？

>>754
l2tp keepalive消して
ipsec ike keepaliveで試してみます！

>>760
dns server select id pp peer_num any speed.flets-w.jp restrict pp connection-pp
も要るな
動作確認してないけど

>>761
>>763
両方入れてるんですけどダメなんですよ


show status は

pp2# show status pp 2
PP[02]:
説明:
PPPoEセッションは接続されています
接続相手: BAS
通信時間: 10分30秒
受信: 2925 パケット [199850 オクテット] 負荷: 0.0%
送信: 4516 パケット [253800 オクテット] 負荷: 0.0%
PPPオプション
LCP Local: Magic-Number MRU, Remote: CHAP Magic-Number MRU
IPCP Local: IP-Address Primary-DNS(122.50.20.46), Remote: IP-Address
PP IP Address Local: 122.100.17.xx, Remote: 122.50.20.41
CCP: None
pp2#


でnslookupは

pp2# nslookup www.speed.flets-w.jp
122.50.20.46

って帰ってくるので名前解決まではうまく言ってるんですが
ブラウザからwww.speed.flets-w.jpへアクセスすると「ページの読み込み中にサーバへの接続がリセットされました。」って言われちゃうんです。
うーん。まいっちんぐ。

>>764
妙だね
ping www.speed.flets-w.jpを、pcとrtx両方からすると？

>>765

122.50.20.46(DNS,www.speed.flets-w.jpのアドレス)
122.50.20.41(ゲートウェイ)

の2つに対してrtxとPCからそれぞれpingを撃ってみたところ

PCは
×　122.50.20.46
×　122.50.20.41

RTXは
×　122.50.20.46
○　122.50.20.41

となりました。122.50.20.46はdnsサーバ兼Webサーバーっぽいのでpingを返さないようにしてあるのだと思います。
122.50.20.41にpcからpingが通らないのが不可解です。なんでだろ。

>>766
>pcからpingが通らないのが不可解

c:\>tracert 122.50.20.41　をやってみると？

>>767
ありがとうございます。

C:\WINDOWS\system32>tracert 122.50.20.41

122.50.20.41 へのルートをトレースしています。経由するホップ数は最大 30 です

1 1 ms <1 ms <1 ms rtxのipアドレス
2 * * * 要求がタイムアウトしました。
3 * * * 要求がタイムアウトしました。
4 * * * 要求がタイムアウトしました。
5 * * * 要求がタイムアウトしました。
6 ^C
C:\WINDOWS\system32>

となりました。やっぱりローカルのIPからフレッツ速度計測のIPへの経路が足りないようです。

静的経路は

ip routing process normal
ip route default gateway pp 1 filter 500000 gateway pp 2 filter 500000 gateway pp 1
ip route 122.50.20.0/24 gateway pp 2

としてますが、足りないところがあるのでしょうか。
試しに　ip route 122.50.20.0/24 gateway pp 2　を　ip route 122.0.0.0/8 gateway pp 2 に変えてみても変化なしでした。

>>768
>1 1 ms <1 ms <1 ms rtxのipアドレス

が帰ってきているのなら、rtxには到達しているので、問題ないと思う。
ほかに問題があるようだ。

わかった！
natの設定が、pp2にないんじゃない？

nat descriptor・21・type masquarade・・・ NATの定義
nat descritor 21 inner 192.168.0.0-192.168.255.255　・・・pcのアドレスを指定
pp select 2
ip pp nat descriptor 21　・・・ppへのNATの設定

もし、そうだとしたら、ネクスト網は、プライベートアドレスに返信できないんだろうな。
だから、ppに自動設定されたネクスト網のアドレスにNATで変換してやるのだ。

>>729 >>733
おまおれｗ
ちなみに専用サーバ？VPS？社内サーバ？
同じく一方通行でイラッとしてるわー

どうしても思い出せないんだけどRTX1200で
コマンドプロンプトに表示される「xxxx# 」
のxxxxってどうやって設定するんだっけ？orz

ごめん、事故解決
console promptだった。

>>770

あと、rtx側に2つ以上のネットワークがある場合も悩ましい問題がー
openswanが片方のネットワークからのプライベートパケットを捨ててしまっている
正しくネゴシエーションできてないようだ
rtxは頭痛い

VPSですよ

727ですが
駄目だぁ…症状変わらんし上手くいかん…