- ベストアンサー
RTX1100でのIPSecVPN構築について
- RTX1100でのIPSecVPN構築についての要約文１
- RTX1100でのIPSecVPN構築についての要約文２
- RTX1100でのIPSecVPN構築についての要約文３
- みんなの回答 （3）
- 専門家の回答
質問者が選んだベストアンサー
こんにちは。hirasakuです。 >ちなみに、各クライアントＰＣのサブネットは255.255.0.0です。 おいおい、サブネットが16bit（/16）マスクじゃないか。 これじゃあ、192.168.0.xx と 192.168.5.xx は同じネットワークになってしまう。 だから、クライアントは 192.168.5.xx の PC にアクセスしようとしても ネットワークが一緒だからルータに聴きにいかない。 ルータの /24 ていうのは 255.255.255.0 ということです。 クライアントのサブネットマスクを 255.255.255.0 にしないとだめですね。 なぜ、255.255.0.0 なのでしょうか？ 理由があるのなら、仕方ないと思いますが・・・ では。
その他の回答 (2)
- hirasaku
- ベストアンサー率65% (106/163)
こんにちは。hirasakuです。 もしかして、Webで設定しています？ 基本的な設定はWebでできますけど、細かな設定はコマンドでないとYAMAHAはできないんですけど・・・ 実際私はWeb設定画面をあまりと言うかまったくと言っていいほど見ないのでWeb設定画面のここでという説明はできません。m(__)m >ip filter 103 pass * 192.168.0.5 tcp www * これはポートの設定が逆ですね、受信側の80を指定しますので、 ip filter 103 pass * 192.168.0.5 tcp * www となります。 で、static masquerade で通すように nat descriptor masquerade static 1 x 192.168.0.5 tcp www （xの部分はudp 500 と esp の設定とダブらない番号） と設定すればWAN側からHTTPが通るはずですけど。 >VPNについては一応リンクはするのですが これもWeb画面で見てのことですかね？ Filterはかけどころでまったく逆の動きをしますので、注意が必要ですけど。 基本はLAN側、TUNNEL側には、IN OUT ともFilterはかけないほうがトラブルは避けられますよ。 PP側のIN/OUT側にかければいいと思います。 コマンドでの設定になりますが、基本のFilterとして ip filter 100 reject 192.168.0.0/24 * * * * ip filter 101 pass * 192.168.0.0/24 icmp * * ip filter 102 pass * 192.168.0.5 tcp * www ip filter 103 pass * 192.168.0.1 udp 500 * ip filter 104 pass * 192.168.0.1 esp * * ip pp secure filter in 100 101 102 103 104 nat descriptor masquerade static 1 1 192.168.0.1 udp 500 nat descriptor masquerade static 1 2 192.168.0.1 esp nat descriptor masquerade static 1 3 192.168.0.5 tcp www これでWAN側からLAN側に入ってくるFilterとIPマスカレード ip filter 999 pass * * * * * ip filter dynamic 200 * * www ip filter dynamic 201 * * domain ip filter dynamic 202 * * smtp ip filter dynamic 203 * * pop3 ip filter dynamic 204 * * ftp ip filter dynamic 205 * * tcp ip filter dynamic 206 * * udp ip pp secure filter out 99 dynamic 200 201 202 203 204 205 206 これがLAN側からWAN側にでるFilter あくまでも最低限のFilterですので必要に応じて追加してください。 VPNでつなぐのですからWANがわからのTELNETは開けないほうがいいと思うのですが、どうしても開けたいなら上記のWWWサーバーを通す設定を23 にすればいいと思います。 では。
お礼
こんばんは。 設定はコマンドで行い、確認をＷＥＢで行っています。 上記内容で再設定を行った結果、ポートの開放は正常にできるようになりました。 ありがとうございます。 ですが、相変わらずVPN通信が出来ない状態です。 WEB設定で確認するとリンクはしているようです。 トラフィックを確認すると1パケットも通っていないようです。 念のためルーター設定をリセットしてから設定しても駄目なようです。 PppoeにフィルターをかけてもLAN1にかけなければVPNのトンネル通信には一切フィルターはかからないと考えているのですが・・・。 ちなみに、各クライアントＰＣのサブネットは255.255.0.0です。 今までに教えて頂いた以外にも何か設定しなければ通信できないのでしょうか・・・。 何度も質問してしまい申し訳ありません。
- hirasaku
- ベストアンサー率65% (106/163)
こんにちは。hirasakuです。 とりあえず、netvolanteのDDNSで取得したドメインで対抗のルータにpingは飛ぶんですよね？ ip filter の設定が書いていないのでそこも関係するんですけど、pp select の ip pp secure filter in で udp 500 と esp を通してますよね？ tunnel select の部分でフェーズ１についての設定がされてますけど、ほとんどデフォルトの設定なんでConfig長くなって解りにくいので下記のように設定してはどうでしょう。 （主要な部分だけです） 本社 ip filter 101 pass * 192.168.0.1 udp 500 * ip filter 102 pass * 192.168.0.1 esp * * pp select 内で ip pp secure filter in 101 102 （これ以外にも通すフィルタがあればその番号も入れる） tunnel select 設定 tunnel select 1 ipsec tunnel 1 ipsec sa policy 1 1 esp aes-cbc sha-hmac ipsec ike always-on 1 on ipsec ike keepalive use 1 on ipsec ike local address 1 192.168.0.1 ipsec ike pre-shared-key 1 text test ipsec remote address 1 05.aa0.netvolante.jp tunnel enable 1 nat descriptor masquerade static 1 1 192.168.0.1 udp 500 nat descriptor masquerade static 1 2 192.168.0.1 esp ipsec auto refresh on 支社側 ip filter 101 pass * 192.168.5.1 udp 500 * ip filter 102 pass * 192.168.5.1 esp * * pp select 内で ip pp secure filter in 101 102 （これ以外にも通すフィルタがあればその番号も入れる） tunnel select 設定 tunnel select 1 ipsec tunnel 1 ipsec sa policy 1 1 esp aes-cbc sha-hmac ipsec ike always-on 1 on ipsec ike keepalive use 1 on ipsec ike local address 1 192.168.5.1 ipsec ike pre-shared-key 1 text test ipsec remote address 1 01.aa0.netvolante.jp tunnel enable 1 nat descriptor masquerade static 1 1 192.168.5.1 udp 500 nat descriptor masquerade static 1 2 192.168.5.1 esp ipsec auto refresh on これでつながると思いますけど。 トンネル内での暗号化と認証は、3des md5 より aes sha の方が強力です。 rtx1100はaesとshaをハードで処理できるのでこちらのほうがいいと。 では。
お礼
回答ありがとうございます。 フィルターを設定すると何故かNATでwanからWEBサーバー192.168.0.25へ開放していたポート80が通らなくなってしまいます。 フィルターでも ip filter 103 pass * 192.168.0.5 tcp www * ip pp secure filter in 101 102 103 と設定しているのですが・・・。 同じ様な現象で支社にあるルーターもTELNETで操作できなくなってしまうのでそちらのルーターの設定が完全ではない状態です。 VPNについては一応リンクはするのですが、上記の件でどうもパケットが通っていないみたいです。 初歩的な事で申し訳ありませんが、アドバイスの方をお願いいたします。
お礼
ご回答ありがとうございます。 本社にて各部署でアドレスを変えていたためサブネットをこの様な形式にしていました。 NICを増設して対処し何とかＶＰＮへつながるようになりました。 ありがとうございました。