YAMAHAのルータのフィルタ設定について

質問

お世話になります。
現在YAMAHAのRTX1000の勉強をしております。
現在以下のようなネットワークを組んでおります。

RT(1)-----RT(2)
|　　　　　　　｜　　
PC(1)　　　　PC(2)

RT(1)のLAN１アドレスは192.168.1.254/24
RT(1)のLAN２アドレスは192.168.2.252/24
RT(2)のLAN1アドレスは192.168.2.254/24

いろいろインターネットで調べて、現在は経路制御の設定をし、
双方向で通信ができている状態です。
この後192.168.1.0/24のネットワークから、192.168.2.0/24には通信許可、
192.168.2.0/24のネットワークから、192.168.1.0/24には通信を拒否という
設定をしたいと思っているのですがフィルタの設定がうまくできません。

分かる方教えていただけないでしょうか。

回答No.1

maesen

申し訳ありませんが、情報不足とネットワークの不備があると思いますのでいろいろと突っ込ませて頂くことをご容赦下さい。
また、長文になることをご容赦下さい。

＞この後192.168.1.0/24のネットワークから、192.168.2.0/24には通信許可、
＞192.168.2.0/24のネットワークから、192.168.1.0/24には通信を拒否という
＞設定をしたいと思っているのですがフィルタの設定がうまくできません。

このようなざっくりとした内容ではフィルタを設計することはできません。
大部分の通信は双方向通信で成り立っているため、例えばIPプロトコルレベルでこのようなフィルタを設定した場合、ほぼ通信は出来ません。
出来る通信は、例えばUDPやICMPの一部の片側からただ送りつけるだけの通信のようなものだけになります。

TCPの3ウェイハンドシェークを参考に見て頂けると、片側だけでは通信が成り立たないことがわかると思います。
UDPなどは通信のしかたが違いますので、別途調べて下さい。
http://www.atmarkit.co.jp/fwin2k/network/baswinlan015/baswinlan015_03.html

従って、
192.168.2.0/24 → 192.168.1.0/24 を拒否
が前提であるならば、
192.168.1.0/24 → 192.168.2.0/24 でどの通信を許可するかを列挙し、192.168.2.0/24 → 192.168.1.0/24に対して穴をあける必要があります。
例えば
・TCPは通信は許可する
・UDPは、DNSとNTPのみ許可する
・ICMPはpingが出来るようにecho replayのみ許可する
といった具合です。
ちょっと補足ですが、TCPが全部通信出来たらフィルタ意味ないじゃんと思うかもしれませんが、実際は192.168.1.0/24から始まったTCPの通信は許可するという形に設定します。
具体的には192.168.2.0/24 → 192.168.1.0/24はACKフラグの付いたものだけ許可するということになります。

＞RT(1)のLAN１アドレスは192.168.1.254/24
＞RT(1)のLAN２アドレスは192.168.2.252/24
＞RT(2)のLAN1アドレスは192.168.2.254/24

あとこちらですが、RT(1)のLAN2とRT(2)のLAN1が同一ネットワークになっています。
この構成ですとRT(2)は不要で、L2スイッチ(スイッチングハブ)があればいいことになり構成的におかしいような気がします。

＞RT(1)-----RT(2)
＞|　　　　　　　｜　　
＞PC(1)　　　　PC(2)

この構成であれば、通常PC(1)-RT(1)、RT(1)-RT(2)、PC(2)-RT(2)の3つのサブネットが出来るはずです。
または、RT(1)-RT(2)をIP Unnumberedにする方法もありますが、この場合はLAN2側にはIPアドレスが付きませんのでこれにも該当しないです。

RT(2)をハブ替わりに使用しているだけのような気もしますが、実際のところどうなっているかと、やりたいことと合っているかが気になります。

最後にネットワークの入門としてよく紹介されているWebサイトを載せておきます。
http://www5e.biglobe.ne.jp/~aji/3min/index.html