YAMAHA業務向けルーター運用構築スレッドPart16

YAMAHA業務向けルーター運用構築スレッドPart16 at NETWORK

[前50を表示]
300:anonymous
15/09/22 07:29:58.95 .net
>>286
torrentによる通信でよく再起動してくれたよね。

301:anonymous
15/09/22 11:08:49.72 .net
>>297
マイグレーションの時代だけど、該当しなくてよかったな
電車とかマイグレーションやばそう
>>300
機種？

302:anonymous
15/09/22 11:11:32.92 .net
>>301
電車は電流大きい分架線や電車内配線、モーターの電機子巻線とかは太いから電流密度自体はそうでもない

303:anonymous
15/09/22 11:15:32.81 .net
>>302
じゃあ、送電線かな。

304:anonymous
15/09/22 11:26:24.01 .net
>>293
通常は
pp always-on on
かと

305:anonymous
15/09/22 11:59:23.98 .net
>>303
じゃあの意味がわからんが、当然EMが問題にならないように電線を選ぶわけであって…。

306:Anonymous
15/09/22 14:32:30.36 .net
>>289 >>290
死ねカス
送電線やばいぞ

307:anonymous
15/09/22 14:46:02.70 .net
>>305
無酸素銅のことかな

308:anonymous
15/09/22 14:55:44.70 .net
>>304
気になったので調べたら、
pp always-on on
pppoe auto connect on
pppoe auto disconnect off
ってなっていたわ。

・pppoe auto connect（初期値、on）
選択されている相手に対して、PPPoE のセッションを自動で接続するか否かを設定する。
・pp always-on on
起動時に接続を起動し、通信終了時には再接続を起動し、キープアライブ機能により接続相手のダウン検出を行う
以下のコマンドが設定されている場合、switch を on に設定した時点で接続処理が行われる。
PPPoE 接続
pppoe use
pp enable

要するに、ベースとして、pppoe auto connect onになっていて許可されている場合（デフォで、許可）に限って、
pp always-on onでいう常時接続が許可されるということみたいだな。

309:anonymous
15/09/22 17:50:27.43 .net
　　　　　　　　　ノ´⌒ヽ,,
　　　　　 γ⌒´　　　　ヽ,
　　　　／／ ""⌒⌒＼　　）
　　　ｉ /　　＼　　／ヽ　）
　　　　 !ﾞ　　 (･）｀ ´( ･）ｉ/　　　>>307　そうだ、無酸素銅の時代だ
　　　　 |　　　（__人_）　 |　　　　　電気代やばいぞ
　　　　　＼　　　｀ー'　／
　　　　/　　　　　　　＼
　　　　 |　　ヽ(⌒／⌒,l､ヽ
　　　　 |　＼　｀´　, <＿＿_

310:anonymous
15/09/23 00:04:56.96 .net
>>309
確かに
あれはオーディオ用だな。効果がどれほどのものか知らないけど。

311:anonymous
15/09/23 00:07:58.54 .net
送電線は、アルミニウムらしい。

312:300
15/09/23 22:26:32.37 .net
>>301
RTX1200

313:anonymous
15/09/23 23:56:17.96 .net
>>312
何がだめなんだろうね
ファームアップ最新？かな
TORRENTって、なにか特殊なの？

314:204
15/09/24 07:12:02.71 Y/DUKlFc.net
>>313
p2pだしnatのセッションをハンパなく使うからじゃない？

315:anonymous
15/09/24 12:24:26.44 .net
>>314
そんなに相手側とつながらないとだめなの？
P2Pというくらいだから、1:1かと思っていたんだけど。

316:anonymous
15/09/24 12:25:56.73 .net
P2Pでつなげたら相手から後から攻撃されていたってことはないよね

317:anonymous
15/09/24 13:16:41.62 .net
アプリケーションによって行儀わるいのはよくルーター落ちると聞いたが

318:anonymous
15/09/24 13:35:12.36 Y/DUKlFc.net
>>315
p2pという割には複数の相手からDLするし、
DL効率を上げるためだろうけど新しい相手を探すから
Natを消費してセッションのリフレッシュまで保持するのよ
p2pを使わない人にはどうでもいいけど、
管理する側からするとCPU負荷が上がるし
Natを食い散らかすから辛い

319:anonymous
15/09/24 13:40:38.04 .net
>>315
さらっと書くと、winMXのように1対1のノードでファイルを交換してると効率があまり良くないってことで、
winny以降のファイル共有ソフトはファイルを持ってるところを見つけたら片っ端から部分的にファイルをダウンロードするし、
要求があればどこにでもファイルをアップロードする。（トレント）
みんなで部分的にでもファイルをやりとりすれば効率いいし、
みんなで分けて持っておけばダウンロードするときセッション張れば早いよねってことでめっちゃセッション使うんだよね。

320:anonymous
15/09/24 15:21:57.85 .net
>>315
P2Pがなんの略かが分かってれば、
そうはならないはずなんだけどな。
Pはポイントじゃないぞ、ピアだぞ。

321:anonymous
15/09/24 19:26:18.94 .net
>>313
TORRENTでDHTを有効にするとNATテーブルが溢れるらしい
で、NATタイマーを短くするんだってさ

322:anonymous
15/09/24 22:53:30.59 .net
ん？なんか不安定だな？って思ってとりあえずGUI見ようとするとすごーく表示が遅くて
CPU負荷が100%メモリも満杯ぐらいになってたわ。
お仕置き部屋システムで幾分改善されたはず

323:anonymous
15/09/24 23:00:30.14 .net
>>322
どんな条件でお仕置き部屋へ導いているんですか？
>>319
なるほど、支流から本流が生まれるみたいな感じだな。
しかし、それでもIPv6になれば、NATを食い散らかすことなんてなくなるから良くなるのだろうなと思った。
いつ普及するのか知らないけど。うちは、IPv6だよん。

324:anonymous
15/09/24 23:06:37.01 .net
>>318
組織内で、そんなにTorrentが使われているとは思わないが、
そんなにセッション食うアプリなら、多人数が使えば、いくらタイマー短くしても終わりだね。
>>317 >>322
セッションといえば、動的フィルタも動いているのなら、
CPUやばそうだな。
>>320
全体としてはこれは、多：多になるな
蜘蛛の巣の感じ、まさにネットワーク層の蜘蛛の巣!

325:anonymous
15/09/25 09:58:51.59 .net
必死な自演の既視感ぱねぇ

326:anonymous
15/09/25 16:31:16.00 .net
たしかwinnyブロック機能がRTXにも搭載されていたよね。
rtx1210にも継承されたのかしらないけど、
これのトレント版があったら便利かもしれないなあ。

327:anonymous
15/09/25 19:01:50.61 .net
２ちゃんねるの運営はプレミアム会員の皆さまに支えられています。
運営にご協力お願いいたします。

──────────
《プレミアム会員の主な特典》
★ ２ちゃんねる専用ブラウザからの広告除去
★ ２ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net)

328:anonymous
15/09/26 12:28:51.70 .net
　　　　　　　　 -‐…‐-ミ
　　　　　　 .: ´ .::::::::::::::::::::..｀ヽ
. 　　　　 / ..::∧.:::::::∧ｲ.:::::::::::.
　　　　　　,′.:/＼＼/ ／∨::::::::
　　　　　 i.::::ｲ匸ﾌ　匸ﾌ|::::::::{
.　　　　　 j/|::}　　　　 u ﾑ:::::ﾊ
.　　　　　　 j人　　ｒ‐┐ 　从/　　　おいこら！
　　　　　　）≧┐┌_´（
　　　　　　　 ,≪圦｢≫､｀
　　　　　　　　 /　｀¨¨只´　､
　　　　　　　　{ﾆﾆ!　　!ｌ|　 {ﾆ]
　　　　　　 |::::|　　ﾑl! 　|:::|
　　　　　　 |::::|　 /从　|:::|

329:anonymous
15/09/26 14:15:24.48 .net
>>326
ホント欲しい。ヤマハの中の人も言ってたけど、Winny/Share検知機能なんてルータの仕事じゃないのに
中小企業で訴求効果高いから入れたとか言ってたもん。
だから、マイナンバー特需のUTMで、日本ぽい発想の製品期待してたんだがなぁ。
みんなFortiにもってかれちゃってるよぉ。

330:anonymous
15/09/26 14:53:10.94 .net
もっとほしい。いろいろほしい。
＜基本的なもの＞
たとえば、IPsecや、SSHサービスについて、
hosts.allowみたいに、ドメイン名で接続元の絞り込みができること。
接続元プロバイダを絞り込めば、少なくとも海外からの攻撃をかわすことができる。
>>329
たしかに、ルーターの仕事じゃないものもあるかもしれない。
WINNY/SHARER検知なんて、アプリケーション層を調べるから、ルーターじゃなくて、UTMの担当だろうな。
しかし、ヤマハにはオールインワンを期待するんだよな。
RTA時代からほかのブロードバンドルーターにはない機能とそれでいて安定性の高さがあったからなあ。
こういう要望って、どうしたらヤマハに届くんだろうか。

331:anonymous
15/09/26 14:59:22.05 .net
>>329
>中小企業で訴求効果高い
WINNYやSHAREなんて、今はもう組織内ではほとんど動いていないように思う。
一時期は開発者が逮捕されるなど大きな話題になってしまっていたね。

332:anonymous
15/09/26 15:13:29.61 .net
そういうのをFWXシリーズで対応していけば良いんでは無かろうか

333:anonymous
15/09/26 15:37:08.25 .net
必死だね。

334:anonymous
15/09/26 15:43:01.95 .net
>>331
でもセキュリティチェックなんかだといまだに言われるぜ
FWXがルータ&UTMとしてベストポジションだっただけに残念なんだよなぁ。
ちょっと、いや、かなりUTMとしては独特で

335:anonymous
15/09/26 21:10:08.08 .net
　　　　　　　　　　　　　　 ,, -―-、
　　　　　　　　　　　　　／　　　　ヽ
　　　　　　　／￣￣／　　／i⌒ヽ､|　　　　オエーー！！！！
　　　　　　/　　（゜）/　　／　/
　　　　　/　　　　ト､.,../　,ー-､
　　　　=彳　　　　　＼＼‘ﾟ。､｀ヽ。、ｏ
　　　　/ 　　　　　　　　＼＼ﾟ。､。、ｏ
　　　/　　　　　　　　　/⌒ ヽヽU　　ｏ
　　 /　　　　　　　　　│　　　`ヽU　∴ｌ
　　│　　　　　　　　　│　　　　　U　：l

336:anonymous
15/09/27 00:47:52.71 .net
>>332
>FWXシリーズで対応していけば
InterNET----pppoe----[RTX 1200]-[FWX]-LoacalNET
こんな感じでつながっているとき、FWXはこんな風に入るんだと思うけど、
もし、RTX1200で他拠点からのトンネルを収容していて、他拠点のインターネット向け通信（ipsecは除く）のデフォルトゲートとされていたら、
他拠点の通信は、FWXを経由しないことになってしまうんだな。
RTXシリーズに、FWXの機能が統合されれば嬉しい。

>>334
>ベストポジションだった
FWXはこれからどうなっていくんだっけ？

337:anonymous
15/09/27 01:45:37.96 .net
>>336
いや、別にこうしても構わないと思うんだが
InterNET----pppoe----[FWX]-[RTX 1200]-LoacalNET

338:anonymous
15/09/27 02:00:01.42 .net
>>336
UTMはガチでやるとなると、コストかかるから、
FWXはこのまま、マイナー路線でぼちぼちやってくんじゃね？
餅は餅屋よ、やっぱ。

339:anonymous
15/09/27 02:48:03.82 .net
>>337
仮に、インターネットへのWWWへのアクセス用のパケットにターゲットを絞ったとして、
FWXって、IPだけでなくて、PPPも読めるって言うの。
PPPって暗号化されているんじゃなかったっけ。

340:anonymous
15/09/27 09:36:26.34 .net
今の状態だとFWXを選択する意味がないんだよな。
UTMに近づけば候補に挙がるかもしれない。

341:anonymous
15/09/27 09:44:09.47 .net
>>339
FWXを透過型で使わなきゃいけない縛りでもあるのか？

342:anonymous@ngn-west-025-055-060-180.enjoy.ne.jp
15/09/27 10:11:35.78 .net
>>337
なんで荷台もあるの？

343:anonymous@s501170.xgsspn.imtp.tachikawa.spmode.ne.jp
15/09/27 12:20:36.03 .net
FWXってルータとしても使えるだろ。

344:anonymous
15/09/27 12:41:36.93 .net
うん

345:anonymous
15/09/27 13:18:39.24 .net
>>339
337はpppはFWXで終端して拠点間VPNはRTXで終端してる構成かとｵﾓﾀ。

346:anonymous
15/09/27 13:37:59.53 .net
RTXの前に置いて透過型ファイアーウォールとしてつかうんだとばかり思ってた

347:anonymous
15/09/27 15:35:47.83 .net
>>346
まあそれも想定ユースケースだけど

348:anonymous
15/09/28 01:44:43.08 .net
>>345
盲点でした！

349:anonymous
15/09/28 01:46:48.62 .net
>>345
たしかにそれでもいけますよね。
ただし静的マスカレードの設定で、UDP 500 4500と、ESPを、内側のRTX1200に投下させる設定が必要になるけど。

350:anonymous
15/09/29 08:58:50.13 .net
うん、糞だね

351:anonymous
15/10/01 00:50:30.63 .net
透過型FWって普通GWから下に置くよね

352:anonymous
15/10/01 02:51:23.55 .net
>>351
うん。
ただ、IPsecトンネルが拠点から張られているようなセンター方式になっていて、センターでFWXでまとめて処理したい場合には、
>>337のような設置をして、FWXでPPPoEセッションを張るようにする必要があるだろう。
そして、IPsecトンネルパケットについては、>>345さんの言うように内側のRTXシリーズに処理させる。
その場合、>>349のように、PPPoEを終端しているFWX内側でパケットをフォワードする処理が必要になる。
昔、光プレミアムのときPPPoEをCTUが終端していたので、CTUの設定でフォワードして、RTX1100にフォワードしてVPNを終端できた経験があるので問題なし。
透過型でFWXを設置するのなら、そういう場合は各拠点ごとに装置が必要になってしまう。

353:anonymous
15/10/03 03:03:39.23 .net
大き目の企業はなぜかシスコ使いたがるんだろうな
YAMAHAじゃだめですか？

354:anonymous
15/10/03 09:54:23.34 .net
だめなわけがない

355:anonymous
15/10/03 09:57:51.66 .net
>>353
　　　　　　　　　／|
　　　　　　　／　｜
　　　∧_∧,/ 　　/　／￣￣￣￣￣￣
　　<.｀∀´/　　/＜　どうやらあまりの人気っぷりに嫉妬してるみたいだなしんじまえ
　＿/ つ/　と /　　＼＿＿＿＿＿＿
　~て ) /　ん /
　／∪　す /
　＼/　る./|
　　　＼__/, |
　　///　＼_|
　ωω
空中爆発まであと３０秒

356:anonymous
15/10/03 15:45:45.76 .net
>>353
「なんでそんなマイナーなメーカーを選んだんだ！」とか
「なんで既存機器と挙動の違う機器を入れたんだ！」って無茶腹切らされないから。
別分野でいうと○○ー○ー○なんか盛大にクソだけど、同様の理由で選ばれることが多いな。

357:anonymous@pdadd2828.tokynt01.ap.so-net.ne.jp
15/10/03 16:15:02.61 .net
>>356
伏せ字なしでおなしゃす

358:anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp
15/10/03 17:39:34.74 .net
なんだかんだ言ってシスコはトラブル時の対応力が違うよ。
初事例のバグとかだとUS ciscoも動いてメーカー自ら1ユーザーに代替機材提供したりして原因究明してくれるし。
ヤマハは、もしかしたら優秀なSI使えばいいのかもしれないけど、メーカーのフォローが残念。
とてもじゃないけど大規模投資で使う気にならんよ。怖すぎる。

359:anonymous
15/10/03 18:12:31.25 .net
>>353
決定的なのはそういうサポートの違いで、大企業では選ばれるわけか。
（大企業の予算なら、サポート料が高くても平気だものね）
なるほど、そういう意味で、RTXは皮肉に、中小企業向けと言っているわけか。
性能は互角、もしくは、日本で使うならヤマハのはそれ以上？
まあ、自分で設定できて、トラブルの解決もできる人間がいるのなら、
あまあまのシスコよりも、ストイックなヤマハがベストだと思いたい。

360:359
15/10/03 18:14:11.19 .net
アンカー間違った！
>>358

361:anonymous
15/10/03 18:19:00.98 .net
ヤマハも、シスコみたいに、偉そうな世界レベルの資格試験を行って、
認定制度つくれば、草の根の人たちがヤマハのサポートをするのだろうに。

362:anonymous
15/10/03 18:22:40.86 .net
>>356
ありがとう、ヤマハばかりいじっているが、自信がついたよ。
俺も、伏字がきになる。
「あ　あー　あー　あ　」というリズムをもった固有名詞ってどこだろう。
周りを見回したけどないね。貧乏だからかな。

363:anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp
15/10/03 21:08:31.91 .net
>>359
サポートがメーカー主体のCiscoと、SIやユーザー主体のYAMAHAって感じかなあ。
そもそも金払って保守契約しないならYAMAHAの方が草の根の情報は多いかも。
うちの会社も止まっても影響少ないところはYAMAHA使ってます。
ただCiscoにも1つ文句言いたいのは、Cat3750XのCPU負荷が異常に上がるのを
バグと認めないこと。絶対おかしいと思ってる。
URLﾘﾝｸ(supportforums.cisco.com)

364:anonymous@ae076191.dynamic.ppp.asahi-net.or.jp
15/10/03 21:21:39.92 .net
>>356
ブルーコートだと思う

365:anonymous
15/10/04 00:42:39.47 .net
Black hat
Red hat
Blue Coat
Black Coat

366:anonymous
15/10/04 02:35:24.52 .net
>>363
>金払って保守契約しないならYAMAHAの方が草の根の情報は多い
なるほど。自分たちでなんとかしようとするから、
情報が多くなるわけだ。OSSに似ているな。

367:anonymous
15/10/04 19:26:46.81 .net
>>362
ふぉーてーじだかなんだか？
中小向けネットワーク屋だけど見たことない

368:anonymous
15/10/04 21:04:17.09 rieJ5dat.net
YAMAHAのルーター、インターフェースの名前(ppとかtunnelとかlocalとかppanonymousとか)
中身がどういうブロックになっていて、それぞれどこのインターフェースのことを指してるのか
さっぱりわからなくてフィルタの設定ができん…
いい資料が見つかりそうで見つからない

369:anonymous
15/10/04 21:19:09.81 .net
>>368
ここの1.6とかは？
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)

370:anonymous
15/10/04 22:13:56.44 rieJ5dat.net
>>369
ありがとう！
こういう図を探してました
ちなみにもしわかれば教えて欲しいのですが、外部からIPSecでローカルIPをDHCPで
取得して、
そのパイプ経由でWAN（インターネット）に繋ぐ場合の経路としては下記でいいんでしょうか？
外部PC
↓（インターネット）
回線(PPPoE)
↓
PPインターフェース
↓
NAT(PP)in
↓
NAT(TUNNEL)out
↓
TUNNELインターフェース
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)out
↓
PPインターフェース
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー

371:anonymous
15/10/04 23:49:51.02 .net
>>370 こんな感じじゃない？
①トンネル(IPSec)の通信
外部PC(パケットをカプセル化)
↓（インターネット）
回線(PPPoE)
↓
PPインターフェースin
↓
NAT(PP)
↓
フィルタリング↓
↓
ルータ自身(カプセル化解除)
②トンネル内を通る通信
外部PC(①でカプセル化を解除したパケット)
↓
TUNNELインターフェースin
↓
フィルタリング↓
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)
↓
PPインターフェースout
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー

372:anonymous
15/10/05 00:45:18.22 lmIog3wp.net
>>371
ありがとうございます！
今までずーっとフィルタ設定と格闘しておかげさまでとりあえず開通は出来ました
リモートアクセスVPN(Anonymous)で設定したためか、PPANONYMOUS→WAN側ポートの
フィルタを開けてやらないとダメなようです
逆にTUNNEL→WAN側は空いてなくても行けてしまいます
どうやら、IPSecで暗号化されたものがTUNNELインタフェースを通ってルータ本体（LOCAL？）
に入って、それがPP(Anonymous)インタフェースに届いて、そんでもってそこからWAN側へ
パケットが流れているようです…
まだいまいち解せない感じなのですが、一応そのルートのフィルタが通っていると大丈夫でした
何れにしてもありがとうございました！！

373:anonymous
15/10/05 00:48:28.00 .net
今時単純なパケットフィルターもしんどいよなー。
上りと下りいちいち書いたりとか、面倒すぎる。
ファイアウォールのポリシーフィルターをルータにも実装してもらいたい。
中国版RTX1200はなぜかファイアウォール機能付いてるのに。

374:anonymous
15/10/05 01:09:19.34 .net
>>372
L2TP/IPsecなんですか？

375:anonymous
15/10/05 01:12:32.31 .net
>>373
動的なフィルタリングじゃだめなん？

376:anonymous@pdf87554b.tokynt01.ap.so-net.ne.jp
15/10/05 01:17:08.71 .net
>>374
はいそうです！

377:anonymous
15/10/05 01:19:16.77 .net
ポリシーフィルターで行けましたよ

378:anonymous
15/10/05 01:23:47.31 .net
プロトコルオーバーヘッドだね

379:anonymous
15/10/05 01:28:42.43 .net
>>378
確かにそうとうヘッダーがくっついてます

380:anonymous
15/10/05 01:29:44.07 .net
>>379
まあ、必要だから仕方がないんだけどね

381:anonymous
15/10/05 01:30:58.47 .net
>>380
そうですねw

382:anonymous
15/10/05 01:32:43.95 .net
>>372
>まだいまいち解せない感じ
ある程度は、文法や、必要なインターフェイスなどから、
内部の概念をあいまいにつかめる。
しかし、プログラミングみたいに、はっきりとその内部構成はわからなかった。
とくに、L2TP/IPSECは、L2TPのリスナーをスタートさせている必要があるけど、
PP ANONYMOUSとどう同調しているか説明できなかったな。

383:anonymous
15/10/05 01:34:11.15 .net
まあ、でもがんばってみてください。

384:anonymous
15/10/05 01:46:39.61 lmIog3wp.net
>>382
そうなんですよ
そこが私もよくわからなかったんです
LOCALというのはルーティングブロックのことを指していると思うのですが、
TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
そうするとどういうわけかPP ANONYMOUSからパケットが出てくる（ようにみえます…）
で、この時点ではローカルネットワークで流通可能なパケット（カプセル最内層のIPパケット）
になっていて、あとはそれを必要なポートに流れるようフィルタを組んでいく…
今のところ、このような理解です
>>383
まだまだ勉強が必要ですが、とりあえずどうもありがとうございました

385:anonymous
15/10/05 07:45:28.97 .net
　　　　　　　　　　　　　　　　　　　　　　　　　___
.　　　　　　　　　　　　　　　　　　　　　　　　　|　|
　　　　　　　　　　　　　　　　　　　　　　　　　　|　 |
　　　　　　　　　　　　　　　　　　　　　　　　　　|　 |
　　　　　　　　　　　　　　　　　　　　　　[二二二二二二]
　　　　　　　　　　　　　　　　　　　　　　〈　　　　　　　　〉
.　　　　　　　　　　　　　　　　　　　　　／＿＿＿＿＿　＼
　　　　　　　　　　　　　　　　　　　　　| 　　　　　　　　　　 |

386:anonymous
15/10/05 08:20:17.52 .net
>>385
なんだよそれ

387:anonymous
15/10/05 13:43:53.34 .net
>>384
>TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
>そうするとどういうわけかPP ANONYMOUSからパケットが出てくる
TUNNEL と、PP ANONYMOUSとが、バインドしている。（PP ANONYMOUS の定義で、TUNNELを指定している）
対向　⇔　----(IPSEC)---- 「　TUNNELインターフェイス　⇔　-----(L2TP)----- 「L2TPサービス＜協調＞PP ANONYMOUS」　⇔　LANインターフェイス」 ⇔ pc
こんなイメージじゃないかな

388:anonymous@p2082-ipbf2008hodogaya.kanagawa.ocn.ne.jp
15/10/09 07:51:52.01 .net
最近中古で買って弄ってるんですけどフィルタについて教えてください
ネット上の設定例などで明示的にdefaultフィルタを定義してるのはどうしてでしょうか？
また、定義しなくてもrejectされるstaticフィルタをあえて定義しているのはログを見やすくする為ですか？

389:anonymous
15/10/09 08:19:26.81 .net
>>388
基本的にフィルターは入れないと機能しないから入れてるわけで、入れないで機能するフィルターってのはない。
敢えてあるとしたら全てをパスするフィルターぐらい。
フィルター以外の設定でも、デフォルトでいいってものでも後々のために明示しておく意味で入れることもある。

390:anonymous
15/10/09 09:25:32.50 .net
>>389
なるほど
分かりやすい説明ありがとうございました。

391:anonymous
15/10/10 00:28:42.14 .net
>>388
>明示的にdefaultフィルタを定義してる
例えばどんなタイプのですか？
　ip filter 9999 reject * *
のことですか？
ヤマハのRTXルーターだと、一つでも静的フィルタを「適用」すると、（注意！定義ではなくて、インターフェイスへの適用ね。）
デフォルトで、上記のようなリジェクトフィルタが暗黙的に設定されるよね。

392:anonymous
15/10/10 08:50:57.86 .net
すみません、質問です
YAMAHAさんのルーターは、ポリシーフィルタの動作としてpass, static-pass, reject, restrictの
4種類あると思いますが、
下記ページ中程のポリシー動作の説明表を見てもrestrictの使い所がいまいちわかりません
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
restrictはどういうときに使うと便利なのでしょうか？

393:anonymous
15/10/10 10:30:00.02 .net
>>391
それにやられたことあったわ

394:anonymous
15/10/10 14:08:11.50 .net
IPsec/L2TPトンネルへの接続が試みられたときに、メールを送信し通知することって
どうやったらできるでしょうか。

395:anonymous
15/10/10 14:26:17.69 .net
>>394
Luaに対応してる機種ならスクリプト組めばできるだろうな
URLﾘﾝｸ(jp.yamaha.com)

396:anonymous
15/10/10 14:29:20.16 .net
もう一個上の階層のほうがいいな
そのものズバリはないが参考にはなるだろう
URLﾘﾝｸ(jp.yamaha.com)

397:anonymous
15/10/10 16:18:49.10 .net
パッケージとかないんですか

398:anonymous
15/10/10 16:23:59.13 .net
甘えてんじゃねぇ

399:anonymous
15/10/10 17:22:21.69 .net
ルーターでプログラミングすることになるとは・・・

400:anonymous
15/10/10 17:30:22.56 .net
誰か作ってください

401:anonymous
15/10/10 17:36:31.93 .net
いきなり、組もうとしても、
まずは、HELLO WORLDから始める必要があるので面倒だな。
まずは、メールでHELLO WORLDを送信するところから始めないといけない。
そして、メールで送れることが確信されてから、次のステップへ進む。
次に、どうやってIPsecの接続が試みられたか検知するか、
その仕組みを考える必要がある。
こういうときに、先輩方の設定例が役に立つが、そんな例があるかどうか。
接続元情報やその時間も、メールで通知したいところだなあ。

402:anonymous
15/10/10 17:39:31.63 .net
IPsec接続時に、イベントなんて発生しないのかな。
それがあれば、イベントハンドラを設定すればなんとかなりそうに思うけど、
LUAってそういうOS的なシステムは備えていないのだろうか。
定期的にログを読みだして、分析して、判断して、
メール通知という流れになるのなら、やだなあ。

403:anonymous
15/10/10 21:40:56.80 .net
rt.syslogwatch を使えば、ログが吐かれたタイミングでなにかを動かせる。
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
使用例見たらすげーヒントだし、あとは「試みられたとき」にどんなログが吐かれるのか調べたらそれで作れるでしょう。

404:anonymous
15/10/10 22:11:10.05 .net
>>391
rejectは書かないとrejectされない。
基本的にフィルターはpassするから、実務上敢えて
ip filter 20000 pass *
なんかをいれることがある。
別の人が見たときにreject入れ忘れてるだけなのか、passさせてるのかってのがわかるようにね。
あとはフィルター以外でもsyslog notice offとか、info onもいれるときがある。

405:anonymous
15/10/10 22:12:16.16 .net
>>403
luaは書けるようになると便利だよ。

406:anonymous
15/10/10 22:12:19.33 .net
リソース食いそうだな
素直にsyslog飛ばしてそっちでいろいろやるツールとかはいっぱいあるんじゃね？

407:anonymous
15/10/10 22:18:37.69 .net
>>404
そんなの？
何もいれなければオールパス
一つでも何か入れたら指定してないパケットはデフォルトでrejectだと思うが

408:anonymous
15/10/10 22:26:26.76 .net
>>407
少なくともCUIで設定するとそんなことはないな
RejectいれないとPassする

409:anonymous
15/10/10 22:45:00.41 .net
>>408
ここを読むと何も指定なしはオールパス、何か一つでも指定するとして以外はrejectになると
読めるんだけど…
機種によって違うの？
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)

410:anonymous
15/10/10 22:57:51.34 .net
>>409
これ、ファイアウォールじゃない？
ヤマハルーターの話かと思ってたのだけど。。。

411:anonymous
15/10/10 23:00:06.91 .net
>>409
ファイアウォール製品だと、ポリシーを見ていって、該当しないのは破棄するからrejectと同じ扱いになる。ファイアウォールなんだからポリシー外は通さないのはあたりまえ。

412:anonymous
15/10/10 23:01:10.73 .net
>>410
ファイヤーウォールとルーター違うんだ…
ポリシーフィルターは違ってもいいとして、入力遮断フィルタの設計ポリシーは
ルーターの静的フィルタと統一してほしかったな
YAMAHAさんお願いしますよ

413:anonymous
15/10/10 23:02:07.46 .net
>>411
なるほどね
そう言われれば納得はできるな

414:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:20:54.08 .net
エロい人教えてくだされ。

415:anonymous
15/10/11 00:23:52.05 .net
>>414
何すか？

416:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:26:52.39 .net
すまん、、RTX810で
ip lan1 address 172.16.4.1/24
dhcp scope 1 172.16.4.32-172.16.4.99/24
を設定してあるCONFIGで
1、コンソールからなら
ping 172.16.4.1
が通るがLANからだと通らない
2、ただし、DHCPクライアントの172.16.4.32,33にはpingが通る
なにが行けないか教えてください

417:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:27:20.63 .net
>>415
はやっ！

418:anonymous
15/10/11 01:06:25.91 .net
>>416
パソコン

419:anonymous
15/10/11 01:19:02.71 .net
>>404
じゃあ、デフォルトフィルタってなんだった？？
RTXでなくて、RTAシリーズの話だったっけ？

420:anonymous
15/10/11 01:21:19.23 .net
>>406
確かに、そうですね。
気が付かなかった。シスログを飛ばしたことすらなかったので、
今後検討してみたいと思います。
syslogdで、受け取るたびにスクリプトに引数として渡すこととかできるのかな？

421:anonymous
15/10/11 01:23:30.79 .net
>>416
telnet でルーターにアドミンであくせすして、
show log | grep reject　
で何が蹴られているのか確認してみましょう！

422:anonymous
15/10/11 01:58:56.65 .net
>>420
もっとラクにいけるだろ
Linuxサーバのsyslogdに飛ばして、swatchで特定文字列検出時にメール発報

423:anonymous
15/10/11 02:01:38.82 .net
>>422
ARIGATO!

424:anonymous
15/10/11 02:05:02.76 .net
>>403
tnx!
しかし、RTX単体で実現できるかもしれないのも捨てがたいな・・
ちょっと、いろいろやってみたい。

425:anonymous
15/10/11 08:21:40.46 .net
>>419
デフォルトフィルターってのはルーターにはなくて、多分ファイアウォールにはあるんでない？それか、GUIで設定したときに入る奴をさしてるのかね。
てか、ネットワーク構成によって入れるフィルターなんてかわるでしょ。デフォルトもクソもあるわけないだろとおもうわけなのだけど。。。
SMBをRejectしたりするのも公式とかマロンちゃんなんかの解説で入れることが推奨されてるから、インターネットに出る際のデファクトスタンダードなフィルターであるのかもしれないけど、ネットワーク構成によってはpassしないといけないこともあるわけで。
デフォルトなんて存在しないか、目的別のやり方があると考えた方がネットワーク構築する人間としては柔軟に対応できるのではないのでしょうか。。。と、私は思いました。

426:anonymous
15/10/11 08:22:23.13 .net
>>424
Luaスクリプトってヤマハ限定の言語だと思ってたらそうでもないことをさっき知ったわ

427:anonymous
15/10/11 08:26:28.34 .net
>>416
syslog notice on もわすれずに！

428:anonymous
15/10/11 08:29:56.68 .net
>>416
(´・ω・`)まあ、クライアントがWindowsだったら、ファイアウォールを切ってみるといいかもね。
やつらは初期状態だとping返さないし

429:anonymous
15/10/11 08:58:57.65 .net
>>421
冷静に考えて、インターフェース内の出来事だから、フィルター関係ないよね？

430:anonymous
15/10/11 09:14:32.71 .net
>>425
NECのIXだとフィルター無しはAll permit
permit・denyどちらの条件でも、1件でも設定した時点で、
All denyのフィルターが暗黙で設定される仕様だな。
結局、ハードのお作法っつー事で、
そういうもんだと、覚えておきゃ良いんじゃね？
どうしても馴染めないなら、
NECに乗り換えれば、君の思うように動いてくれるよ！（笑

431:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 09:39:00.11 .net
>>421
Searching ...

432:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 09:44:52.28 .net
また途中で・・
送ってしまった。
telnet 接続はできないのでコンソールから。
↑のメッセージがでて、なにも起こらず。
一行づつコンソールから入力してみます。m(__)m

433:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 10:29:13.13 .net
ありがとう

434:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 10:36:44.46 .net
またっ・・Android+Blutoothキーボードの罠に
ありがとうございます
sys log notice on
でやってみたら。。
これらが原因に、、
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:3389
> 172.16.4.250:3896
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.250 : unreachable port
2015/10/11 10:10:01: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.250:25
12 > 172.16.4.100:21
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:80 >
172.16.4.250:2569
2015/10/11 10:10:03: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net
filterをみると、、
ip filter 200003 reject 172.16.4.0/24 * * * *
ip filter 200013 reject * 172.16.4.0/24 * * *
↑悪さをしてそうなFilter

435:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 10:37:14.78 .net
これ確か、外部からのプライベートアドレスをリジェクトするためにつけた
ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *
ip filter 200010 reject * 10.0.0.0/8 * * *
ip filter 200011 reject * 172.16.0.0/12 * * *
ip filter 200012 reject * 192.168.0.0/16 * * *
に勝手に追加されてる・・なぜだかわからないけど
これ取ってみます。ありがとうございました。

436:anonymous
15/10/11 20:30:54.84 .net
>>416
>が通るがLANからだと通らない
出来るだけ具体的に何をどうしたか書いたほうがよい
>2、ただし、DHCPクライアントの172.16.4.32,33にはpingが通る
これはルーター172.16.4;1から172.16.4.32へping を打つと応答あるって事？
その逆の
172.16.4.32からルーター172.16.4.1へはpingが通らないって事？
>>434
おにいたんそれはインターネット側へのフィルターや
今回の件には関係ない

437:anonymous
15/10/11 22:12:12.70 .net
>>435
なんでrejectのあとの引数5個あるんだっけ？
送信元IP, 送信先IP, 送信元ポート, 送信先ポート
あと一つ何だっけ？？

438:anonymous
15/10/11 22:16:48.10 .net
プロトコル

439:anonymous
15/10/12 11:45:44.04 .net
>>438
サンクス
3つめにプロトコル番号が入るのか
なんか順番が変なの
プロトコル番号, 送信元IP, 送信元ポート, 受信先IP, 受信先ポート
の順番の方がしっくりくる

440:anonymous@ae089212.dynamic.ppp.asahi-net.or.jp
15/10/12 19:01:52.43 .net
>>422
syslogdでなく
syslog-ng使えばswatchも不要

441:anonymous@HDOfb-20p4-220.ppp11.odn.ad.jp
15/10/12 19:03:16.31 .net
>>436
うん、ダメだった・・

442:anonymous@HDOfb-20p4-220.ppp11.odn.ad.jp
15/10/12 19:07:53.11 .net
またっ・・
フィルター削除してもだめで、RTX810をcold startして全部設定しなおした。
CONFIG流し込むとDHCPでアドレス取得したクライアント PCからなぜかRTX810にアクセスできなくなるという、、「お前がアドレスくれたんだろう」という状態に（汗
RTX1100が安く手に入ったのでVPN拠点増やしてみますﾉｼ

443:anonymous
15/10/12 20:08:56.45 .net
ODN昔使ってたなぁ
RTX1100なんてネットワーク扱ってる知り合いでもいればタダで腐るほどくれると思うの。

444:anonymous
15/10/12 20:39:08.75 .net
>>442
DHCPのデフォルトゲートウェイは指定してるかい？

445:anonymous@ae089212.dynamic.ppp.asahi-net.or.jp
15/10/12 21:34:47.19 .net
そもそもDHCPとpingの疎通なんて
何の関係もないと思うが。
同じ設定を各ホストにマニュアルで設定しても
同じ結果になるでしょ? 普通は。
無駄に話を長くしてるような。

446:anonymous
15/10/12 21:51:12.43 .net
　　　　　　　　ﾞ'．　　　　'.;｀i　 i､　　　ﾉ　　　　 .､″
　　　　　　　　　　　　ﾞ'．　　　　　,ト｀i､　｀i､　　　 .､″
　　　　　　　　　　　 |　　　 .,.:/""　ﾞ‐,.　｀　　　 /
　　　　　　　　　　　　　`　 .,-''ヽ"｀　　　　ヽ,,,、　　 !
　　　　　　　　　　､,､‐'ﾞl‐、　　　　　 .丿 : ':、
　　　　　　　　　､/ヽヽ‐ヽ､;,,,,,,,,,-.ッ:''｀　　.,"-、
　　　　　　　　 ,r"ﾂぃ丶　｀｀｀｀｀｀　　　..／　｀i､　　クソ話してる
　　　　　　　　　　,.ｲ:､ヽ／ー｀-､-ヽヽヽ､－´　　　 .lﾞ｀-、
　　　　　　　　 _,,lﾞ-:ヽ,;､、　　　　　　　　　　　　､､丶　ﾞi､,,、
　　　　　　　 ,<_ l_ヽ冫｀'｀-､;,,,､､､､.............,,,,､.-｀": 　　　│ ｀i､
　　　　　､､::|､､､ヽ,､､.　　　　｀｀｀: : : ｀｀｀　　　　　　､.､'｀　　.|丶、
　　　　　.l","ヽ､,"､,"'､ぃ､､,､､、、.、、、.、、､_､.,,．ヽ´　　　　lﾞ　ﾞ).._
　　　 ,､':ﾞl:､､｀:ヽ､｀:､　 : ｀"｀｀｀￢―'''"｀ﾞ＾｀　　　　　: ..､丶　 .lﾞ｀ヽ
　　　,i´.､ヽ".､".､"'ヽヽ;,:､........、　　　　　　､､...,,,､－‘｀　　､‐　　 |ﾞﾞ:‐,
　 ,.-l,i´.､".`ヽ,,,.".｀　　　｀ﾞﾞ'"｀'-ｰ"｀｀"｀｀r-ｰ｀'":　　　　　 _.‐′　　丿　 ,!
　j".､'ヽ,".､".､"`''｀ｰ､._､、、　　　　　　　　　　、._,、..-‐:'''′　　 .､,:"　　丿
　ﾞl,"`"`''ヽヽ"`"｀　｀｀｀ﾞ'''"ヽ∠、､、､ぃ-｀''''": ｀　　　　　　､._.／｀　 ._/｀
　｀'ｉ｀ヽヽヽ｀''ｰi､､、: : 　　　　　　　　　　　　　　　　　、.,-‐'｀　　、／｀
　　｀`ヽン'`"｀　 : ｀~｀｀―ヽ::,,,,,,,,,,.....................,,,,．ー'｀｀＾　　　　,､‐'"｀
　　　　　 `"'ﾞ―-､,,,,..､、　　　　　　　　　　　　　　　: ..,､ー'"'｀
　　　　　　　　　　　: ｀‘"｀―---------‐ヽ｀｀"''''''""

447:anonymous
15/10/12 23:19:23.85 .net
IPアドレスが機器とバッティングしてて管理画面が見えないのに
DHCPサーバとして昔の設定撒いてる現場あったなぁ
あれは原因みつかるまで時間かかった・・・

448:anonymous
15/10/12 23:34:36.86 .net
>>447
時間かかる理由が思いつかない

449:anonymous
15/10/13 00:29:26.97 .net
>>440
>syslog-ng
情報ありがとう！

450:anonymous
15/10/13 00:39:47.20 .net
>>447
一種のクラッキングみたいな状態になっているな。
現場だと、フロアまたいでスイッチが多段に接続されていると思う。そこから隠れdhcpサーバを探すのはたいへんだろうな。
ましてや、管理画面にもたどれないなんて、歩き回って探さないと駄目になるな。
DHCPって、リンクアドレス層のアドレス使ってブロードキャストするんだったかな。
それだと、自分自身でIPアドレスが他とバッティングしていても平気ということになるよな。
ところでIPv6だとどうなるんだろうな。
少なくとも、IPアドレスがバッティングして、管理画面に到達できないことはないように思う。

451:anonymous
15/10/13 00:41:28.81 .net
>>442-443
RTX1100は、かなり発熱があるけどいいの？
冬はヒーター替わりになるけど、夏は大変よ。

452:anonymous
15/10/13 00:48:13.45 .net
>>434
>2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:3389 > 172.16.4.250:3896
>2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 172.16.4.250 : unreachable port
おい、このログ、おかしいぞ。（>>416の人ですよね）
172.16.4.250はPCなんですか。172.16.4.1は、RTX810だよね。
すると、RTX810から、PCに向けているのに、LANインターフェイスではなくて、PP01に向かって行っているってことだぞ。
ルーティングの設定が間違っていないか？

453:447
15/10/13 07:49:44.11 .net
>>450
たどったよ
劣化？で設定初期化された無線APが配ってた

454:anonymous
15/10/13 08:31:25.58 .net
>>450
自動生成でのアドレス被りが無くても野良RAでdefault gateway曲げられる事はあるかも。
dhcp snooping、ra guardみたいなのは使えるなら使っておく方が後々ラク

455:anonymous
15/10/13 11:48:51.84 .net
>>452
ルーティングというかネットマスクかな？

456:anonymous
15/10/13 13:33:03.86 .net
>>446
糞は要らん死ね

457:anonymous
15/10/13 14:10:59.00 .net
>>454
マルチプリフィックスになってしまいますよね

458:anonymous
15/10/13 15:19:20.77 .net
DHCPサーバを勝手に立てられる問題って、
根本的なところに、まだかつての善意のネット思想が残っている気がする

459:anonymous
15/10/13 15:53:45.90 .net
──────────
《プレミアム会員の主な特典》
★ ２ちゃんねる専用ブラウザからの広告除去
★ ２ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net) 👀
Rock54: Caution(BBR-MD5:0be15ced7fbdb9fdb4d0ce1929c1b82f)

460:anonymous
15/10/13 17:14:54.55 .net
あの、すみません。
Windows 10の、標準VPN（IPsec/L2TP）と、RTX1200との接続できた方っていらっしゃいますか。
Windows 10も、7や8のようにして、設定すればいけるでしょうか。
今、格闘中で、
なぜか、RTX1200のリジェクトログにすら表示されないという段階
Windows10のファイアーウォールで、アウト方向でも明示的にパス設定とか必要になってくるのかな？？

461:anonymous
15/10/13 17:30:07.65 xR+OZEty.net
>>460
レジストリは変更したの？

462:anonymous@KD119104123245.au-net.ne.jp
15/10/13 19:51:21.83 .net
netvolanteの名前の設定みすとか。
俺、どうしても@付けたくなるんだよなぁ。。。

463:anonymous
15/10/13 20:30:32.10 .net
>>457
そうすることもできるしgw通知だけもできる。prefixはraのオプションのひとつ。

464:anonymous
15/10/13 21:40:33.53 .net
>>462
ミスってaa1にしちゃったときのめんどくささ・・・

465:anonymous
15/10/13 22:00:54.39 .net
>>464
aa1だめなの？
つーか選べたっけそんなの

466:anonymous
15/10/14 00:05:46.88 .net
>>461
いえ、まだです。
Windows 10は、NATとラバーサルが最初からオンになっているとかどこかで耳にしたことがあって。

467:466
15/10/14 03:09:00.47 .net
できました！ありがとうございます。
Windows 10 pro 無償版から、標準VPN（IPsec/L2TP）⇔　RTX1200　トンネルがつながりました。
Windows側は、ファイアウォール　オンでいけます。
>>466は記憶違いでした。NAT traversalの設定が必要のようです。
設定後、lan内で、RTX1200にIPsec/L2TPで接続確認して、Windows 10でもつながることを確認してから、
それから、インターネット側からRTX1200につなぎました。

468:anonymous
15/10/14 06:52:32.20 Z/w/Puum.net
>>467
ええんやで
実用性は少ないけどEl Capitanでも繋がるよ

次ページ