Example for YAMAHA RT Series / OCN+Filter(3)

[ OCN接続 + パケットフィルタリング ]

[ 目次 / ダイヤルアクセス / エコノミー / スタンダード ]
[ ＋VPN / ＋専用線 / ＋ISDN / ＋フィルタ / files ]

(OCN/Filter.3) OCN接続+パケットフィルタリングの設定例

最終変更日	2018/Nov/06
文書サイズ	15KB

条件、特徴など

基本構成(OCNエコノミー 9.端末数多、DNS/WWWサーバ、ローカルルータは用意する)にIPフィルタを設定
- サーバ(172.16.184.34)を公開 (パケットが届く)
- 端末類(172.16.184.35～172.16.184.46)は公開/非公開、外へは出られる。
- 端末類(192.168.0.0/24)は非公開、外へ出さない。
- プライベートアドレス機器のためのNAT＆IPマスカレードは使用しない。
ヤマハISDNリモートルータ(RTシリーズ)
OCNエコノミー(128Kbps専用線)
端末の数が、割り当てられたグローバルIPアドレスより多い。
RTはフィルタでプライベートアドレス機器の外部アクセスを禁止する。
…外部と直接通信できるのは、グローバル機器だけ。
ローカルルータを用いて、global/privateを分離
globalなネットワークをバリアセグメント(barrier segment)とする(言う)
DNS/WWW/SMTP/POPサーバなどは、自前で用意する。
グローバルアドレスを割り当てる機器：サーバやルータなどの公開するもの
プライベートアドレスを割り当てる機器：端末など
端末などの為にDHCPサーバ機能を使う為には？
1. 192.168.0.0/24上にDHCPサーバを設置
2. ローカルルータがDHCPリレー機能を持っていれば、RTがDHCPサーバになれる。
3. ローカルルータのDHCPサーバ機能を利用する。

     OCNエコノミー
          #
          # 128Kbps専用線
          #
    +------------+
    |   RT(A)    |
    +-----+------+
          | 172.16.184.33
          |                                        172.16.184.32/28
    ------+------------------------------------+-------------------
          |                                    |
          |172.16.184.45                       |172.16.184.34
 +--------+--------+                 +---------+---------+
 | ローカル ルータ |                 | DNS/WWW/SMTP/POP  |
 |    RT140e(B)    |                 |       サーバ      |
 +--------+--------+                 +-------------------+
          |192.168.0.1
          |                               192.168.0.0/24
    ------+----------+---------------------------------------------
                     |
                     |192.168.0.2～192.168.0.254
           +---------+---------+
           | コンピュータ/端末 |…
           +-------------------+

OCNエコノミー設定条件

割り当てグローバルアドレス
172.16.184.32～172.16.184.47
計16個=ユーザ分(14個)+ネットワークアドレス(1個)+ブロードキャストアドレス(1個)
ネットマスク
255.255.255.240 (28ビット)
割り当てルータアドレス
172.16.184.33

ネットワークの諸元
種類	IPアドレスなど
global
ネットワーク	172.16.184.32 or 172.16.184.32/28
ネットマスク	255.255.255.240 (28ビット)
ブロードキャスト	172.16.184.47
ルータ	172.16.184.33 ↓ default
ローカルルータ	172.16.184.45 ↓ 192.168.0.0/24
DNS/WWW/SMTP/POPサーバ	172.16.184.34
空き	172.16.184.46
空き	172.16.184.35～172.16.184.44
private
種類	IPアドレスなど
ネットワーク	192.168.0.0 or 192.168.0.0/24
ネットマスク	255.255.255.0 (24ビット)
ブロードキャスト	192.168.0.255
ローカルルータ	192.168.0.1 ↓ default
空き	192.168.0.2～192.168.0.254

IPアドレス(internet address)の割り当て表
IPアドレス	割り当て	DHCPスコープ番号
global
172.16.184.32	network address	－
172.16.184.33	ルータ	－
172.16.184.34	サーバ DNS/WWW/SMTP/POP/など	－
172.16.184.35 ～ 172.16.184.44	ホスト	(1)
172.16.184.45	ローカルルータ	－
172.16.184.46	空き	－
172.16.184.47	(directed) broadcast address	－
255.255.255.240 (28ビット)	subnet mask	－
private
192.168.0.0	network address	－
192.168.0.1	ローカルルータ	－
192.168.0.2 ～ 192.168.0.254	ホスト	(2)
192.168.0.255	(directed) broadcast address	－
255.255.255.0 (24ビット)	subnet mask	－

255.255.255.255	limited broadcast address	－

RT(A)の要件

RT(A)自身の設定
OCNエコノミーに関する設定
IPフィルタに関する設定
スタティックルーティング情報に関する設定

config例(1ポート専用タイプ)

#
# RTに関する設定
#
pp line l128
ip lan address 172.16.184.33/28
ip lan route add net 192.168.0.0/24 172.16.184.45 1
ip lan routing protocol none
#
# IPフィルタの定義
#
ip filter 1 pass 172.16.184.32/28 *
ip filter 2 pass * 172.16.184.32/28
#
# 接続相手(OCNエコノミー,専用線)に関する設定
#
pp select leased
ip pp route add net default 1
ip pp secure filter out 1
ip pp secure filter in 2
pp enable leased
#
# RTに関する設定
#
dns server "172.16.184.34"
dns domain "ドメイン名"
#
# 保存と再起動
#
save
restart

config例(複数ポート対応タイプ)

#
# RTに関する設定
#
bri line 1 l128
ip lan address 172.16.184.33/28
ip lan route add net 192.168.0.0/24 172.16.184.45 1
ip lan routing protocol none
#
# IPフィルタの定義
#
ip filter 1 pass 172.16.184.32/28 *
ip filter 2 pass * 172.16.184.32/28
#
# 接続相手(OCNエコノミー,専用線)に関する設定
#
pp select 1
pp bind bri 1
ip pp route add net default 1
ip pp secure filter out 1
ip pp secure filter in 2
pp enable 1
#
# RTに関する設定
#
dns server "172.16.184.34"
dns domain "ドメイン名"
#
# 保存と再起動
#
save
restart

RT(B)の要件

RT140eを使用する
RT(B)自身の設定
DHCPサーバの設定
スタティックルーティング情報の設定

config例(ローカルルータ: RT140e)

#
# RTに関する設定
#
ip lan1 address 172.16.184.45/28
ip lan1 route add net default 172.16.184.33 1
ip lan1 routing protocol none
ip lan2 address 192.168.0.1/24
ip lan2 routing protocol none
#
# DHCPサーバに関する設定
#
dhcp service server
dhcp socpe 1 172.16.184.35-172.16.184.44/28
dhcp socpe 2 192.168.0.2-192.168.0.254/24
#
# RTに関する設定
#
dns server "172.16.184.34"
dns domain "ドメイン名"
#
# 保存と再起動
#
save
restart

Ｑuestion ＆Ａnswer

プライベートアドレスの機器の外へのアクセスは、
・禁止する。
・または、proxyサーバ経由のみ許可する。

RTの設定
- IPパケットフィルタを設定して、プライベートアドレスのパケットが外に流れないようにしてください。
- NATとIPマスカレードは、使う必要がありません。

もっと細かくセキュリティフィルタを記述するには？

原形

#
# IPフィルタの定義
#
ip filter 1 pass 172.16.184.32/28 *
ip filter 2 pass * 172.16.184.32/28
#
pp select leased
ip pp secure filter out 1
ip pp secure filter in 2

クィックスタートガイド 5.11風のアレンジ

inフィルタを差し替え
バリアセグメントを可能な範囲で公開する。

#
# IPフィルタの定義
#
ip filter 1 pass 172.16.184.32/28 *
ip filter 2 pass * 172.16.184.32/28
#
ip filter 10 reject 172.16.184.32/28 * * * *
ip filter 11 pass * 172.16.184.32/28 icmp * *
ip filter 12 pass * 172.16.184.32/28 established * *
ip filter 13 pass * 172.16.184.32/28 tcp,udp * domain
ip filter 14 pass * 172.16.184.32/28 tcp ftpdata *
ip filter 15 pass * 172.16.184.32/28 udp domain *
ip filter 16 pass * 172.16.184.32/28 tcp,udp * smtp,ident,gopher,finger,www,nntp,ntp,33434-33500
ip filter directed-broadcast on
ip filter source-route on
#
pp select leased
ip pp secure filter out 1
ip pp secure filter in 10 11 12 13 14 15 16

クィックスタートガイド 5.12風のアレンジ

inフィルタを差し替え
各ホストの利用形態に合せて細かくフィルタ設定する

#
# IPフィルタの定義
#
ip filter 1 pass 172.16.184.32/28 *
ip filter 2 pass * 172.16.184.32/28
#
ip filter 10 reject 172.16.184.32/28 * * * *
ip filter 11 pass * 172.16.184.32/28 icmp * *
ip filter 12 pass * 172.16.184.32/28 established * *
ip filter 13 pass * 172.16.184.32/28 tcp,udp * domain
ip filter 14 pass * 172.16.184.32/28 tcp ftpdata *
ip filter 15 pass * 172.16.184.32/28 udp domain *
ip filter 16 pass * 172.16.184.34 tcp,udp * smtp,ident,gopher,finger,www,nntp,ntp,33434-33500
ip filter directed-broadcast on
ip filter source-route on
#
pp select leased
ip pp secure filter out 1
ip pp secure filter in 10 11 12 13 14 15 16

各端末(**global**)の諸元
種類	IPアドレスなど
ホスト	172.16.184.35～172.16.184.44
ネットマスク	255.255.255.240 (28ビット)
ブロードキャスト	172.16.184.47
ゲートウェイ(ルータ)	172.16.184.33
DNSサーバ	172.16.184.34
SMTPサーバ	172.16.184.34
POPサーバ	172.16.184.34
ドメイン名	用意したもの

各端末(**private**)の諸元
種類	IPアドレスなど
ホスト	192.168.0.2～192.168.0.254
ネットマスク	255.255.255.0 (24ビット)
ブロードキャスト	192.168.0.255
ゲートウェイ(ルータ)	192.168.0.1
Proxyサーバ	172.16.184.35
DNSサーバ	172.16.184.34
SMTPサーバ	172.16.184.34
POPサーバ	172.16.184.34
ドメイン名	用意したもの

[ OCN接続 + パケットフィルタリング ]

[ 目次 / ダイヤルアクセス / エコノミー / スタンダード ]
[ ＋VPN / ＋専用線 / ＋ISDN / ＋フィルタ / files ]

※「戻る/進む」はブラウザの履歴が使用されます

[ RTpro / ヤマハ / 技術資料 / 設定例集 / RT's FAQ / マニュアル ]