(OCN/Economy.7) OCNエコノミー接続の設定例

[ 条件、特徴など ]

• 説明のための掲載です。
  

  実現の可否は、Proxyサーバの仕様・設定に依存します。
  

• ヤマハISDNリモートルータ(RTシリーズ)
• OCNエコノミー(128Kbps専用線)
  
• 端末の数が、割り当てられたグローバルIPアドレスより多い。
• RTはフィルタでプライベートアドレス機器の外部アクセスを禁止する。
  …外部と直接通信できるのは、グローバル機器だけ。
  …プライベート機器は、Proxyサーバにお任せ。ルータとは無関係。
• ローカルルータを用いて、global/privateを分離
• globalなネットワークをバリアセグメント(barrier segment)とする(言う)
• DNS/WWW/SMTP/POPサーバなどは、自前で用意する。
• Proxyサーバは、自前で用意する。
• グローバルアドレスを割り当てる機器：サーバやルータなどの公開するもの
• プライベートアドレスを割り当てる機器：端末など
• 端末などの為にDHCPサーバ機能を使う為には？
  
  1. 192.168.0.0/24上にDHCPサーバを設置
     
  2. ローカルルータがDHCPリレー機能を持っていれば、RTがDHCPサーバになれる。
     
  3. ローカルルータのDHCPサーバ機能を利用する。

[ OCNエコノミー設定条件 ]

項目	内容
アクセス回線	128Kbps専用線 PPP unnumberd
グローバルアドレス	172.16.184.32〜172.16.184.47 (16個) ユーザ分(14個) ネットワークアドレス(1個) ブロードキャストアドレス(1個)
ネットマスク	255.255.255.240 (28ビット)
ルータアドレス	172.16.184.33

RT(A)の要件

• OCNエコノミーと接続する。
  128kbits/secの専用線でプロバイダとネットワーク型接続をする。
• IPパケットフィルタリング機能

RT(B)の要件

• 2イーサネットのルーティング (ルーカルルータ)
• DHCPサーバ機能

[ ネットワーク設計 ]

• ネットワーク構成図

       OCNエコノミー
            #
            # 128Kbps専用線
            #
      +------------+
      |   RT(A)    |
      +-----+------+
            | 172.16.184.33
            |                                        172.16.184.32/28
      ------+-----------------+------------------+-------------------
            |                 |                  |
            |172.16.184.45    |172.16.184.46     |172.16.184.34
   +--------+--------+   +----+----+   +---------+---------+
   | ローカル ルータ |   |  Proxy  |   | DNS/WWW/SMTP/POP  |
   |    RT140e(B)    |   | サーバ  |   |       サーバ      |
   +--------+--------+   +---------+   +-------------------+
            |192.168.0.1
            |                               192.168.0.0/24
      ------+----------+---------------------------------------------
                       |
                       |192.168.0.2〜192.168.0.254
             +---------+---------+
             | コンピュータ/端末 |…
             +-------------------+
  

• ネットワークの諸元

  global
  種類	IPアドレスなど
  ネットワーク	172.16.184.32 or 172.16.184.32/28
  ネットマスク	255.255.255.240 (28ビット)
  ブロードキャスト	172.16.184.47
  ルータ	172.16.184.33 ↓ default
  ローカルルータ	172.16.184.45 ↓ 192.168.0.0/24
  DNS/WWW/SMTP/POPサーバ	172.16.184.34
  Proxyサーバ	172.16.184.46
  空き	172.16.184.35〜172.16.184.44
  private
  種類	IPアドレスなど
  ネットワーク	192.168.0.0 or 192.168.0.0/24
  ネットマスク	255.255.255.0 (24ビット)
  ブロードキャスト	192.168.0.255
  ローカルルータ	192.168.0.1 ↓ default
  空き	192.168.0.2〜192.168.0.254

• IPアドレス(internet address)の割り当て設計

  IPアドレス	割り当て	DHCPスコープ番号
  global
  172.16.184.32	network address	−
  172.16.184.33	ルータ	−
  172.16.184.34	サーバ DNS/WWW/SMTP/POP/など	−
  172.16.184.35 〜 172.16.184.44	ホスト	(1)
  172.16.184.45	ローカルルータ	−
  172.16.184.46	Proxyサーバ	−
  172.16.184.47	(directed) broadcast address	−
  255.255.255.240 (28ビット)	subnet mask	−
  private
  192.168.0.0	network address	−
  192.168.0.1	ローカルルータ	−
  192.168.0.2 〜 192.168.0.254	ホスト	(2)
  192.168.0.255	(directed) broadcast address	−
  255.255.255.0 (24ビット)	subnet mask	−
  255.255.255.255	limited broadcast address	−

• RT(A)のTCP/IPルーティング情報 (show ip route コマンドで確認)

  宛先/ネットマスク	次のホップ	生成コマンド
  default	PP[LEASED]、または、PP[01]	ip pp route add net
  172.16.184.32/28	LAN1(172.16.184.33)	ip lan address
  192.168.0.0/24	LAN1(172.16.184.45)	ip lan route add net

• RT(B)のTCP/IPルーティング情報 (show ip route コマンドで確認)

  宛先/ネットマスク	次のホップ	生成コマンド
  default	LAN1(172.16.184.33)	ip lan1 route add net
  172.16.184.32/28	LAN1(172.16.184.45)	ip lan1 address
  192.168.0.0/24	LAN2(192.168.0.1)	ip lan2 address

• 各端末(global)の諸元

  種類	IPアドレスなど
  ホスト	172.16.184.35〜172.16.184.44
  ネットマスク	255.255.255.240 (28ビット)
  ブロードキャスト	172.16.184.47
  ゲートウェイ(ルータ)	172.16.184.33
  DNSサーバ	172.16.184.34
  SMTPサーバ	172.16.184.34
  POPサーバ	172.16.184.34
  ドメイン名	用意したもの

• 各端末(private)の諸元

  種類	IPアドレスなど
  ホスト	192.168.0.2〜192.168.0.254
  ネットマスク	255.255.255.0 (24ビット)
  ブロードキャスト	192.168.0.255
  ゲートウェイ(ルータ)	192.168.0.1
  Proxyサーバ	172.16.184.35
  DNSサーバ	172.16.184.34
  SMTPサーバ	172.16.184.34
  POPサーバ	172.16.184.34
  ドメイン名	用意したもの

[ RT(A)の設定内容 ]

• RT自身の設定
• OCNエコノミーに関する設定
• DHCPサーバの設定

[ RT(A)の設定例 ]

• config例(RT80iのWWW詳細設定)
  1. 設定用コンピュータをDHCPによるIPアドレス自動取得で起動し、
     WWWブラウザで[192.168.0.1]にアクセスする。
     
  2. [詳細設定]-[自分側・LANの設定]
     1. ISDNの設定
        • 回線の種類→専用線128k (or 専用線64k)
     2. IPの設定
        • セカンダリIPアドレス→[アドレス指定],[192.168.0.1],[24]ビット
        • ルータのIPアドレス→[アドレス指定],[172.16.184.33],[28]ビット
  3. [その他の設定]-[DHCPの設定]
     1. 既に設定されているスコープ(1番)を[削除]する。
     2. 改めて、1番に[172.16.184.35],[172.16.184.44],[28]を[追加]する。
  4. [設定値の保存]-[保存]
  5. [操作]-[RT80iの再起動]
  6. 設定用コンピュータのIPアドレスを再取得するか、再起動し、
     WWWブラウザで[172.16.184.33]にアクセスする。
     
  7. [詳細設定]-[自分側・LANの設定]
     1. IPの設定
        • セカンダリIPアドレス→設定しない
        • [経路情報の設定]を選択すると別のWindowが開く。
        • [net],[192.168.0.0],[24],[172.16.184.45],[1]の経路を[追加]する。
        • 経路情報が設定できたら、元のWindowに戻る。(新Windowを閉じる)
  8. [詳細設定]-[フィルタの設定]
     1. [1],[reject-nolog],[172.16.184.32],[0xffffff00],[*],[0xffffffff],[*],[*],[*]のフィルタを[追加]する。
     2. [2],[reject-nolog],[*],[0xffffffff],[172.16.184.32],[0xffffff00],[*],[*],[*]のフィルタを[追加]する。
     3. ※[0xffffffff]は、[32]で、入力できます。
     4. ※[0xffffff00]は、[24]で、入力できます。
  9. [詳細設定]-[相手側の設定]-[leased]
     # leasedは、専用線接続相手を示しています。
     1. IPの設定
        • [経路情報の設定]を選択すると別のWindowが開く。
        • [default]か、[0.0.0.0]の経路を追加する。
        • 経路情報が設定できたら、元のWindowに戻る。(新Windowを閉じる)
        • [フィルタの設定]を選択すると別のWindowが開く。
        • [フィルタリングのセット]-[leased]-[OUT]→フィルタの1番をチェック
        • [フィルタリングのセット]-[leased]-[IN]→フィルタの2番をチェック
        • [設定]
        • フィルタが設定できたら、元のWindowに戻る。(新Windowを閉じる)
  10. [操作]-[使用の許可]
      1. leasedをチェックして、[設定]
  11. [詳細設定]-[機器の設定]
      1. [その他の設定]
         • DNSサーバ→[172.16.184.34]
         • ドメイン名→[ドメイン名]
  12. [設定値の保存]-[保存]
  13. [操作]-[状態の表示]
      1. [設定内容]-[設定内容の表示]の[表示]を実行
      2. …config内容を確認
  14. [操作]-[RT80iの再起動]

• 1ポート専用タイプ

  #
  # RTに関する設定
  #
  pp line l128
  ip lan address 172.16.184.33/28
  ip lan route add net 192.168.0.0/24 172.16.184.45 1
  ip lan routing protocol none
  #
  # DHCPサーバの設定 (オプション)
  #
  dhcp service server
  dhcp scope 1 172.16.184.35-172.16.184.44/28
  #
  # IPフィルタの定義
  #
  ip filter 1 pass 172.16.184.32/28 *
  ip filter 2 pass * 172.16.184.32/28
  #
  # 接続相手(OCNエコノミー,専用線)に関する設定
  #
  pp select leased
  ip pp route add net default 1
  ip pp secure filter out 1
  ip pp secure filter in 2
  pp enable leased
  #
  # RTに関する設定
  #
  dns server "172.16.184.34"
  dns domain "ドメイン名"
  #
  # 保存と再起動
  #
  save
  restart
  

• 複数ポート対応タイプ

  #
  # RTに関する設定
  #
  bri line 1 l128
  ip lan address 172.16.184.33/28
  ip lan route add net 192.168.0.0/24 172.16.184.45 1
  ip lan routing protocol none
  #
  # DHCPサーバの設定 (オプション)
  #
  dhcp service server
  dhcp scope 1 172.16.184.35-172.16.184.44/28
  #
  # IPフィルタの定義
  #
  ip filter 1 pass 172.16.184.32/28 *
  ip filter 2 pass * 172.16.184.32/28
  #
  # 接続相手(OCNエコノミー,専用線)に関する設定
  #
  pp select 1
  pp bind bri 1
  ip pp route add net default 1
  ip pp secure filter out 1
  ip pp secure filter in 2
  pp enable 1
  #
  # RTに関する設定
  #
  dns server "172.16.184.34"
  dns domain "ドメイン名"
  #
  # 保存と再起動
  #
  save
  restart
  

[ RT(B)の設定内容 ]

• RT140eを使用する
• RT(B)自身の設定
• DHCPサーバの設定
• スタティックルーティング情報の設定

[ RT(B)の設定例 ]

• ローカルルータ: RT140e

  #
  # RTに関する設定
  #
  ip lan1 address 172.16.184.45/28
  ip lan1 route add net default 172.16.184.33 1
  ip lan1 routing protocol none
  ip lan2 address 192.168.0.1/24
  ip lan2 routing protocol none
  #
  # DHCPサーバに関する設定
  #
  dhcp service server
  dhcp socpe 1 172.16.184.35-172.16.184.44/28
  dhcp socpe 2 192.168.0.2-192.168.0.254/24
  #
  # RTに関する設定
  #
  dns server "172.16.184.34"
  dns domain "ドメイン名"
  #
  # 保存と再起動
  #
  save
  restart
  

[ Ｑuestion ＆ Ａnswer ]

• プライベートアドレスの機器の外へのアクセスは、
  ・禁止する。
  ・または、proxyサーバ経由のみ許可する。
  

  RTの設定

  • IPパケットフィルタを設定して、プライベートアドレスのパケットが 外に流れないようにしてください。
    
  • NATとIPマスカレードは、使う必要がありません。
    

• private機器(private segment)からプロバイダに接続できません。
  

  では、考えられるチェック項目を。
  [ Proxyサーバの設定 ]
  

  • Proxyサーバの設定は問題無いですか？
    
  [ ローカルルータのルーティング ]
  
  • ローカルルータでルーティングするように設定していますか？
    
  [ ダイナミック・ルーティング ]
  
  • ルーカルルータで経路制御情報を流していますか？
    
  • RTで経路制御情報をLAN側に流していますか？
    

    ip lan routing protocol rip
    

  • RTで流す経路制御情報は、ローカルルータと合っていますか？

    ip lan routing protocol rip2
    ip lan routing protocol rip2-broadcast
    

  • 異なるサブネットマスクを使用している場合は、 経路制御情報がRIP2に設定されていますか？

    ip lan routing protocol rip2
    ip lan routing protocol rip2-broadcast
    

  [ スタティック・ルーティング ]
  
  • ローカルルータでRTがデフォルトゲートウェイであるという経路情報を設定しましたか？
  • RTで経路制御情報をLAN側に流さないように設定します。
    

    ip lan routing protocol none
    

  • RTでローカルルータがprivate segmentへのゲートウェイであるという経路情報を設定しましたか？

    ip lan route add net 192.168.0.1/24 172.16.184.45 1
    

• もっと細かくセキュリティフィルタを記述するには？
  • 原形

    #
    # IPフィルタの定義
    #
    ip filter 1 pass 172.16.184.32/28 *
    ip filter 2 pass * 172.16.184.32/28
    #
    pp select leased
    ip pp secure filter out 1
    ip pp secure filter in 2
    

  • クィックスタートガイド 5.11風のアレンジ
    • inフィルタを差し替え
    • バリアセグメントを可能な範囲で公開する。

    #
    # IPフィルタの定義
    #
    ip filter 1 pass 172.16.184.32/28 *
    ip filter 2 pass * 172.16.184.32/28
    #
    ip filter 10 reject 172.16.184.32/28 * * * *
    ip filter 11 pass * 172.16.184.32/28 icmp * *
    ip filter 12 pass * 172.16.184.32/28 established * *
    ip filter 13 pass * 172.16.184.32/28 tcp,udp * domain
    ip filter 14 pass * 172.16.184.32/28 tcp ftpdata *
    ip filter 15 pass * 172.16.184.32/28 udp domain *
    ip filter 16 pass * 172.16.184.32/28 tcp,udp * smtp,ident,gopher,finger,www,nntp,ntp,33434-33500
    ip filter directed-broadcast on
    ip filter source-route on
    #
    pp select leased
    ip pp secure filter out 1
    ip pp secure filter in 10 11 12 13 14 15 16
    

  • クィックスタートガイド 5.12風のアレンジ
    • inフィルタを差し替え
    • 各ホストの利用形態に合せて細かくフィルタ設定する

    #
    # IPフィルタの定義
    #
    ip filter 1 pass 172.16.184.32/28 *
    ip filter 2 pass * 172.16.184.32/28
    #
    ip filter 10 reject 172.16.184.32/28 * * * *
    ip filter 11 pass * 172.16.184.32/28 icmp * *
    ip filter 12 pass * 172.16.184.32/28 established * *
    ip filter 13 pass * 172.16.184.32/28 tcp,udp * domain
    ip filter 14 pass * 172.16.184.32/28 tcp ftpdata *
    ip filter 15 pass * 172.16.184.32/28 udp domain *
    ip filter 16 pass * 172.16.184.34 tcp,udp * smtp,ident,gopher,finger,www,nntp,ntp,33434-33500
    ip filter 17 pass * 172.16.184.46 tcp,udp * smtp,ident,gopher,finger,www,nntp,ntp,33434-33500
    ip filter directed-broadcast on
    ip filter source-route on
    #
    pp select leased
    ip pp secure filter out 1
    ip pp secure filter in 10 11 12 13 14 15 16 17
    

• 各端末の設定はどうなりますか？

  通常のように設定します。

  しかし、プライベートアドレス機器が外部(インターネット)にアクセスする為には、 proxyサーバに依存しますので、proxyサーバを経由したアクセスに必要な 設定をします。 具体的な方法は、ルータの設定とは関係ありませんので、 proxyサーバに関する資料を調べたり、 proxyサーバの問い合せ先にお問い合せいただいたりしてください。

※「戻る/進む」はブラウザの履歴が使用されます [ RTpro / ヤマハ / 技術資料 / 設定例集 / RT's FAQ / マニュアル ]