[LBO既知の問題] 設定によってはWindows Updateの通信がMicrosoft 365と誤識別されることがある事象について

$Date: 2025/11/19 17:20:54 $

1. 目次

1. 目次
2. 問題の内容
3. オフィシャルリストのバージョン
4. 問題が発生するパターンA
5. 問題が発生するパターンB
6. 対策
7. 今後の対応
8. 関連情報

2. 問題の内容

ヤマハルーターのローカルブレイクアウト（LBO）において、 ①Microsoft 365 ②Windows Update の順番でフィルターを評価すると Windows Updateの通信が誤ってMicrosoft 365として識別される問題が確認されています。

3. オフィシャルリストのバージョン

本問題が発生するオフィシャルリストのバージョンは以下の通りです。

2025103000 以降

4. 問題が発生するパターンA

拠点でPPPoE回線を使用し、拠点からMicrosoft 365とWindows Updateの通信をローカルブレイクアウトさせる構成において、show lbo traffic listコマンドを実行するとMicrosoft 365の通信のみカウントが増え、Windows Updateの通信が未送信と表示される。

[ネットワークの構成]

[拠点ルーターのCONFIG]

ip route default gateway pp 1 filter 1 2 gateway tunnel 1 ★修正が必要
ip route 203.0.113.1 gateway pp 1
ip lan1 address 192.168.1.1/24
pp select 1
 pppoe use lan2
 pp auth accept pap chap
 pp auth myname MYNAME PASSWORD
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp mtu 1454
 ip pp nat descriptor 1
 pp enable 1
tunnel select 1
 ipsec tunnel 101
  ipsec sa policy 101 1 esp aes-cbc sha-hmac
  ipsec ike always-on 1 on
  ipsec ike keepalive use 1 on heartbeat
  ipsec ike local address 1 192.168.1.1
  ipsec ike local name 1 kyoten key-id
  ipsec ike pre-shared-key 1 text himitsu
  ipsec ike remote address 1 203.0.113.1
 ip tunnel tcp mss limit auto
 tunnel enable 1
ip filter 1 pass * @m365 * *
ip filter 2 pass * @windows_update * *
nat descriptor type 1 masquerade
nat descriptor address outer 1 ipcp
nat descriptor masquerade static 1 1 192.168.1.1 udp 500
nat descriptor masquerade static 1 2 192.168.1.1 esp
ipsec auto refresh on
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.1.2-192.168.1.100/24
lbo use on

[show lbo traffic listコマンドの実行結果]

# show lbo traffic list
  @m365
    LAN2 1123020 オクテット ★ Microsoft 365のみカウントが増える
  @google
    未送信
  @windows_update
    未送信 ★ Windows Updateは未送信と表示される

5. 問題が発生するパターンB

拠点でPPPoE回線を2本使用し、Microsoft 365の通信をPP1、Windows Updateの通信をPP2へブレイクアウトさせる構成において、Windows Updateの通信が意図せずPP1経由で送信される。

[ネットワークの構成]

[拠点ルーターのCONFIG]

ip route default gateway pp 1 filter 1 pp 2 filter 2 gateway tunnel 1 ★修正が必要
ip route 203.0.113.1 gateway pp 1
ip lan1 address 192.168.1.1/24
pp select 1
 pppoe use lan2
 pp auth accept pap chap
 pp auth myname MYNAME PASSWORD
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp mtu 1454
 ip pp nat descriptor 1
 pp enable 1
pp select 2
 pppoe use lan2
 pp auth accept pap chap
 pp auth myname MYNAME PASSWORD
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp mtu 1454
 ip pp nat descriptor 2
 pp enable 2
tunnel select 1
 ipsec tunnel 101
  ipsec sa policy 101 1 esp aes-cbc sha-hmac
  ipsec ike always-on 1 on
  ipsec ike keepalive use 1 on heartbeat
  ipsec ike local address 1 192.168.1.1
  ipsec ike local name 1 kyoten key-id
  ipsec ike pre-shared-key 1 text himitsu
  ipsec ike remote address 1 203.0.113.1
 ip tunnel tcp mss limit auto
 tunnel enable 1
ip filter 1 pass * @m365 * *
ip filter 2 pass * @windows_update * *
nat descriptor type 1 masquerade
nat descriptor address outer 1 ipcp
nat descriptor type 2 masquerade
nat descriptor address outer 2 ipcp
nat descriptor masquerade static 1 1 192.168.1.1 udp 500
nat descriptor masquerade static 1 2 192.168.1.1 esp
ipsec auto refresh on
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.1.2-192.168.1.100/24
lbo use on

6. 対策

Windows Updateの通信がMicrosoft 365よりも先に評価されるよう、フィルターの順番を変更してください。

問題が発生するパターンAの修正例

ip route default gateway pp 1 filter 1 2 gateway tunnel 1

↓

ip route default gateway pp 1 filter 2 1 gateway tunnel 1

問題が発生するパターンBの修正例

ip route default gateway pp 1 filter 1 pp 2 filter 2 gateway tunnel 1

↓

ip route default gateway pp 2 filter 2 pp 1 filter 1 gateway tunnel 1

7. 今後の対応

現在、Windows Update を正しく識別するための検討を行っております。正しく識別できるようになった場合には、今後リリースするオフィシャルリストに取り込む予定です。

8. 関連情報

ローカルブレイクアウト（LBO）