BHR-4GRV で PPTP サーバー構築

質問

LAN内に共有領域を設置し、LAN外部からこの共有領域にアクセスできるようにし、
かつLAN外部のPCからこの共有領域に対しネットワークドライブを割り当てる事を
めざしています。

実際の使用シーンとしては、友人やグループなどが同一のワードやエクセルファイル
に対し、添削や加筆を行う、といったイメージです。

これに関し、関連した質問をさせて頂いたところ、LAN外部のPCがLAN内部の共有領域
に対しネットワークドライブを割り当てる機能を持たせるには、LAN内部にVPNサーバ
を設置する必要がある、との事でしたので、現在は以下のようなネットワーク構成に
落ち着きました。

＜現在のネットワーク構成＞

　　KDDIホームGW　　ルータ兼PPTPサーバ　　無線LAN AP

192.168.0.1 192.168.0.254 　　192.168.2.XXX
　　┌─────┐　　┌─────┐　　　　┌─────┐
　　│ 　　　　　　　│　　│　　　　　　　 │　　　 │　　　　　　 　│
　　│ BL900HW　├─┤ BHR-4GRV├─┬─┤ WR9500N │
　　│　　　　　　 　│　　│　(DMZ) 　 │　　│　│　　　　　　　│
　　└─────┘　　└──┬──┘　　│　└─────┘
　　　　　　　　　　　　　　　　　　　│　　　　　 　│
　　　　　　　　　　　　　　　┌──┴──┐　　│ 　┌───────┐
　　　　　　　　　　　　　　　│ USB HDD │　　├─┤ LS-WX4.0TL/R1│
　　　　　　　　　　　　　　　└─────┘　　│ 　└───────┘
　　　　　　　　　　　　　　　　　　　　　　　　　　　│　　　　　　BuffaloのNAS
　　　　　　　　　　　　　　　　　　　　　　　　　　　│
　　　　　　　　　　　　　　　　　　　　　　　　　　　│ 　┌───────┐
　　　　　　　　　　　　　　　　　　　　　　　　　　　└─┤　自作サーバ　 │
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　└───────┘
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 Webサーバ＆DNSサーバ

　ａｕひかりを使っている関係上、ルーター機能を有するホームＧＷ（ここでは
　BL900HW）が必須なので、２重ルーターになるのですが、Buffalo の BHR-4GRV
　という有線ブロードバンドルータをDMZ領域においています。BHR-4GRV には
　PPTPサーバ機能があるので、これを活用しています。
　BHR-4GRV の USB 端子に USB HDD を接続し、上記の共有領域にはこの HDD を
　割り当てています。

　その後段の NEC の無線ルータ（WR9500N）は、ルータ機能を停止し無線LANの
　アクセスポイントモードに特化した使い方としています。また WR9500N には
　Biglobe DDNS 機能をサポートしているので、PPTPサーバー構築の際の DDNS
　はここで対応しています。

　更に、LAN 内部に自作のホームページ公開用の Web サーバ をおいていますが、
　ここにはホームページにLAN内部からも http:// 形式でアクセスできるように
　LAN 内部用のDNS サーバー機能も持たしています。

＜現状できているところと解決すべき問題点＞

　(1)BHR-4GRV の PPTP サーバーの設定で、以下のような設定をする。
　　 この時、LAN外部のPCからは問題無くVPN（PPTP）接続が成功する。

　　　(a)サーバーIPアドレス、クライアントIPアドレスとも「自動設定」にする。

　　　(b)DNSサーバーのIPアドレスは、「ブロードステーションのLAN側IPアドレス」
　　　　 とする。（BHR-4GRV の設定画面では、BHR-4GRV の事をブロードステーション
　　　　 と称している。）

　　　(c)PPTP接続ユーザを１つ作成し、「IPアドレス割り当て方法」を
　　　　「PPTPサーバー設定の範囲から取得」とする。

　(2)BHR-4GRV の 「NAS」設定の「共有フォルダ設定」で、
　　　(d)「アクセス制限機能」は「アクセス制限なし（読取／書込可能）」に設定し、
　　　　「Webアクセス設定」は「アクセス制限を使用する」にチェックを入れる。

　(3)BHR-4GRV の 「NAS」設定の「ユーザー管理」で、
　　　(e) 上記の(c)で作成したものと同じユーザー名＆パスワードで、新しく
　　　　　ユーザー名を作成する。

　(4)BHR-4GRV の 「NAS」設定の「共有サービス」で、
　　　(f) 共有フォルダー機能は「使用する」にチェックを入れる。
　　　　　ブロードステーション名はデフォルトのまま。
　　　　　　（デフォルト値は、APXXXXXXXXXXXX　XXはBHR-4GRVのMACアドレス）
　　　　　ワークグループ名はデフォルトの「WORKGROUP」のまま。
　　　　　　（なお、LAN外部のPCのワークグループ名も「WORKGROUP」）

　　この状態でLAN外部PCから、ネットワークドライブの割り付けを以下のように
　　行うと、「アクセスできません」というエラーが返ってくる。
　　もちろんLAN内部のPCではこの設定でネットワークドライブの割り当てが
　　できています。

　　　　￥￥（ブロードステージョン名）￥disk1_pt1

　　　　　　　　文字化けのため￥は全角文字としています。

なお、disk1_pt1 は BHR-4GRV が自動的に付ける名前。（１番目のディスクの
　　パーティション１）

　　外部PCは、WindowsXP と Windows7 の両方で確認したが現象は変わらず。

　　いろいろと試行錯誤した結果、以下のような設定をすると　WinsowsXP と
　　Windows 7　の両方でネットワークドライブの割り当てができました。

　(5)LAN外部PCの Windows ファイヤーウオールを「無効」にし、かつ上記(c)で
　　 「IPアドレス割り当て方法」を「DHCPサーバー設定の範囲から取得」に変更する。

　　しかし、この場合は、LAN外部PCから、LAN内部のNASに対してもネットワーク
　　ドライブの割り当てができてしまうし、何よりもファイヤーウオールを「無効」
　　にする事が気持ち悪いと思っています。

　　そこで、LAN外部PCの Windows ファイヤーウオールは「有効」の状態で、各種
　　設定（例外設定等）で対処し、かつLAN外部PCからネットワークドライブが
　　割り当てられるのは BHR-4GRV に接続された USB HDD までとしたい、という
　　事を実現したいのですが、以上に述べた設定をどのように変更したら良いのか
　　に関し、ご教示をお願いいたします。

回答No.15

hirasaku

こんにちは。hirasaku です。

横入りで申し訳ございませんが、ちょっと話がズレてるかと。
PXC00231さんは過去、私が、BL900のときに回答させていただいたと思います。

で、今ままでのやり取りを拝見させていただきましたが、
まず、ちゃんと切り分けをしてみましょう。
ここに投稿された時点の状態に接続構成を戻すことをお奨めします。
こういう場合は、変に機器接続を変えないほうがいいと思いますよ。

というのは、ここに投稿された時点で、すでにPPTPの接続は出来ていたのですよね？
PPTP接続後BHRに接続されたHDDにネットワークドライブ割り当てをしようとして
失敗していたのですよね？

PPTPはリモートVPN接続のための通路を確保するだけなので、
通信が出来る、できないとはちょっと違います。
PPTP接続が確立されていても通信できない場合は、PPTPとは別の原因があると
考えたほうがいいでしょう。
例えば、PPTP接続したときのクライアントPCに割り当てられたIPアドレスなどです。
PPTP接続してもLAN側アドレスと異なるアドレスがPCに振られれば通信が出来ないのは
当たり前です。
（今回の場合ですよ。異なるアドレスでも経路制御すればできるパターンはあります）

このことは今回のやり取りの中でありましたよね。172のアドレスが・・・なんて。
で、BL900にHDDをつけて、PPTPクライアントに192.168.0.のセグメントのアドレスを振った。
これも間違いです。
セキュリティ・ゲートウェイはBHRであり、PPTPはBHRのLAN側とつなげるための仕組みです。
それをWAN側のアドレスを割り当てたとなると接続形態的がおかしいです。
たまたま、通信ができているだけで、通信が遅いっていう原因ではないでしょうか。
192.168.2.のセグメントを割り当てて正常な通信が出来るはずです。

と、まぁ、長くなるので、変にいじくらないで、無駄な投資を避けて
なんとかしようと思いますので、元に戻しましょう。

ちなみにXPですが、PPTP接続するときのアイコンのプロパティで
ネットワークタブのなかで、
Microsoftネットワーク用ファイルとプリンタ共有と
Microsoftネットワーク用クライアント
にはチェック入ってますよね？

補足

hirasakuさん、ご無沙汰しております。
BL-900HW での DHCP OFF の検討の際は、大変お世話になりました。

今回、私が実現したい事は、

　LAN内にLAN内に共有領域を設置し、LAN外部からこの共有領域にアクセスする際にネットワークネットワークドライブを割り当てる。　実際の使用シーンとしては、友人等が共有領域に格納されているワードやエクセルファイルの添削や加筆を行う、といった事を考えているので、友人等がアクセスできるのはこの共有領域のみで、LAN内のNASにはアクセスできない方が望ましい。

という内容です。

これを実現するためには（特にネットワークドライブを割り当てるには）VPNサーバーを使わないと難しいようなので、PPTPサーバー機能を有する安価なBHR-4GRVを使い、BHR-4GRVのUSB端子に接続されたUSB HDD を共有領域とする、最初の質問の構成図を検討しています。

現在は、PPTPユーザの新規作成等の設定をしPPTP接続をし、PPTP接続ユーザのIPアドレスを 192.168.2.XXX 系にし、PPTP接続時には Windows のファイヤーウオールを無効にすれば、外部からネットワークドライブを割り当ててUSB HDD にアクセスできる、というところまでは実現できています。（何故、Windows のファイヤーウオールを無効にする必要があるのか、については要検討）

次に、外部PCがUSB HDD 以外のLAN内のNAS等にはアクセスできないように制御する方法に関しては、USB HDD を BL900HW のUSB端子に接続する事で今のところはうまく行っているように見えますが、元々KDDIがサポートしていないBL900HWの使い方なので、ちゃんと理論的に検証する必要がある、と思っています。

現在は、実現したい機能はできているのですが、USB HDD を
BL900HWに接続した場合もBHR-4GRVに接続した場合も同じように USB HDD に格納されたエクセルファイルを開くのに時間がかかっているので、その原因（外部PC接続のための３G回線が遅いからか、またはBHR-4GRVのPPTPサーバー実現のソフト処理が重たいためなのか、の切り分け等々）を調査する必要があると考えています。

なお、あくまでもPPTPサーバー構築は実現したいことの具現化の１つの方法なので、PPTPサーバーを構築しなくても実現したいことが具現化できる方法があれば、それに越した事はありません。

以上が現時点の概要ですが、下記の質問に対しては、

＞ちなみにXPですが、PPTP接続するときのアイコンのプロパティで
ネットワークタブのなかで、
Microsoftネットワーク用ファイルとプリンタ共有と
Microsoftネットワーク用クライアント
にはチェック入ってますよね？

(1)XPのデスクトップで「マイネットワーク」を右クリック

(2)PPTP接続のアイコンが出てくるので、これを右クリックしプロパティを選択

(3)「ネットワーク」タブを選択すると、この接続は以下の項目を使用します、という項目の中に、「Microsoftネットワーク用ファイルとプリンタ共有」および「Microsoftネットワーク用クライアント」があり、チェックが入っています。

以上のような状況です。
よろしくお願いいたします。

回答No.14

nnori7142

先ほどの「RTX1000」ですと、最近のギガビット・インターネット主要規格のIPV6-IPOE/PPPOEに対応しておりません。インターネットスループット（最大100Mbps）、リモートアクセスでの速度増速を図る為のL2TP-VPNに対応しておりません。
　能力的に「RT57i」＋IPSEC（LAN間接続、最大55Mbps）、NATセッション数（最大4,096）ですので、NATセッション消費するとすぐにリブート・暴走します。ADSL世代の製品ですので、仕方ない仕様です。
　多少高価ですが、先述のルーター（新品）ですと、2～3年で壊れる物ではありませんので、複数年でのトータルコスト＋運用面＋メーカーサポートもありますので、先述のモデルにされた方が賢明かと存じます。

回答No.13

nnori7142

No.10～の補足返答確認しました。BuffaloのVPNルーターは、見せかけだけの製品ですよ。
　表面的に、ギガビット・インターネット対応でVPNが出来てといった事が主体ですが、仕様をよく見るとわかるのですが、VPN接続等に影響します制御仕様がソフトウェア処理である点、VPNとインターネットを併用した際のNATセッション数をみても、端的な家庭用だけの価格帯の製品である点は捨てきれません。
　価格だけをみて失敗しているユーザーも多く、こちらの製品を利用されている方でも、処理能力・仕様から高い負荷をかけた通信をかけた利用方法ですと、2年程度もてば良い方かと存じます。
　予算があれば、Yamaha「RTX810」ですと、最近のギガビットインターネット＋IPV6-IPOE/PPPOEまでの接続（最大1Mbps）、L2TP/IPSEC-VPN（ハードウェア処理・最大200Mbps）、最大NATセッション数10,000と、NEC「UNIVERGE iX2105」ですと、ギガビット・インターネット（IPV6-IPOE/PPPOE）、L2TP/IPSEC-VPN（ハードウェア処理・最大1.2Gbps）、最大NATセッション数65,535となっています。
　上記2機種であれば、かなり満足いく運用レベルのVPNネットワーク/インターネット併用接続が可能かと存じます。特にNEC製ですと、Yamahaでも苦手とする、ショートパケット処理（SkypeやBittrent、スマートフォン等の高い負荷でのリモートアクセス処理）も含めた高速NAT変換仕様として有名です。Yamahaですと、NAT変換切断タイマ‐やリミット設定、QOS等も細かく調整しませんと、NATセッション残10％程度になるとリブートや誤動作も発生します。

回答No.12

nnori7142

追加補足の件で、Windowsファイアーウォール機能での阻害ですが、Windowsファイアーウォール有効時での詳細設定→接続セキュリティの規則にて、PPTP-VPNでのアクセス（仮想プライベートネットワーク）に対してのプロトコル番号や接続視点IPアドレス、終点IPアドレスの許可の履歴登録がされていない状態かと想定されます。
　Windowsファイアーウォール画面を開くと、詳細設定内に細かな通信規則の設定欄が御座います。
　その中にTCP1723とgreパケットと仮想プライベートネットワーク接続の規則の関連付けが無ければ、接続は遮断される状態になってしまうかと想定されます。
　通常は、こういった細かな設定はWindows側で設定していくと、面倒な作業となりますので、Windowsファイアーウォールは無効化→PPTP周りの制御しているルーター側でアクセス制限等された方が処理速度・利便性からみて良いかと存じます。

補足

Windowsファイアーウォールの件は、回答No10の補足のところにも記載しましたが、私の方で少し勘違いしていました。

VPN接続の時のみWindowsファイアーウォールを無効とする設定ができたので、これで試行してみたいと考えています。

回答No.11

nnori7142

先ほどの補足事項ですが、PPTP-VPN自体、セキュリティクラックされやすい接続方法ですので、WANからのアクセス等において、外部回線側のポート解放等もありますので、出来ましたら、L2TP-VPN/IPSEC接続出来る形態への移行が望ましいです。
　セキュリティを望まれるのでしたら、L2TPであれば、VPNルーター側でNATトラバーサルでの転送手法である点、IPSECと同等のセキュリティ暗号化での接続、VPNレスポンスもハードウェア制御での高速VPNも可能です。
　PPTP-VPNのアクセスであれば、大抵のメーカーはソフトウェア制御のため、最大でも1Mbps程度のレスポンスしか得られない筈です。（L2TPであれば、利用回線にもよりますが、30～40Mbps程度は確保可能かと存じます）
　ギガビットインターネット接続＋L2TP/IPSEC、双方対応する方法としては、個人的にはYamaha「RTX810」やNEC「UNIVERGE iX2105」あたりがお奨めです。こちらのVPNルーターであれば、細かなセキュリティフィルタの設定や帯域制御設定等も可能です。

補足

今回の用途は、企業での機密情報を扱うのではなく、友人どおしの情報交換が目的ですので、PPTPレベルで良いと判断しています。

OPEN-VPNの場合、クライアント側の Windows PC 側に設定ファイルやセキュリティ証明書を格納する必要があり、友人たちにはハードルが高いすぎる作業となります。

ただし、回答No10の補足にも記載しましたが、レスポンス性能に関しては、もう少し検討したいと考えています。

回答No.10

nnori7142

まず追加回答の1番目から、3G/LTE回線セグメントがLTEプライベートセグメントになっております。（192.168.179.0/24）
　ですので、LTE接続端末のWifiルーターの内部設定画面（http://192.168.179.1)が開ける筈ですので、詳細設定→ポートマッピング設定で、TCP1723とgreパケットを通す様に設定します。
　それと、HGWの静的ルーティングの件ですが、あくまでもIPベースのルーティングですので、ポートベースの転送も双方必要です。「宛先アドレスを192.168.2.0/24、Nexthopゲートウェイ192.168.0.254と登録」＋「TCPの任意のポートの信号とプロトコル番号47（gre）は、192.169.0.254にマッピング」
　NECの無線アクセスポイントの設定は合致しており、BIGLOBE-DDNS取得はWAN側のルーターのUPNP機能での通信取得でOKです。（ただし、NECからみて、WAN側はあくまでも固定ですが、元々AUひかり自体はグローバルIP半固定みたいな物ですので、必要ないかもしれません）
　あとは、アクセスします外部PCからのアクセスをBuffaloルーターのIPフィルタでの制限をかける方法が基本ですが、BuffaloルーターのIPフィルタにて、送信元（PPTPクライアントIP）→NASのIP宛て、TCP137-139、445、21-22その他思い当たるポート番号を破棄する設定、送信元（PPTPクライアントIP）→サーバのIP宛て、TCP137-139、445、21-22、他不正アクセスポート番号破棄といった方法で設定していきます。
　勿論、BuffaloルーターのPPTPクライアントからのアクセス許可IPの設定にも許可IPの登録をしておきます。（友人宅割当て用）
　更にセキュリティをかける方法は、NASの方にサーバにSMB認証サーバに接続を委任するモード設定がありますので、利用していますサーバの確認ですが、Linuxであれば、Samba4.0からSMB認証＋ActiveDirectory機能が追加されましたので、Samba4.0に移行しドメイン・コントローラー認証に連動させる方法で、NASのセキュリティ確保も可能です。
　Windowsサーバであれば、勿論可能です。
　上記方法にて、如何でしょうか？

補足

まず、LTE/3G ルーター（MR01LN）の設定変更（ポートマッピング設定で、TCP1723とgreパケットを通す）をしても状況は変わりませんでした。　冷静に考えてみると、PC本体側のWindows ファイヤーウオールの設定で期待した動作になるので、MR01LNは無関係と考えて良いはずでした。

実は、PC本体側のWindows ファイヤーウオールの設定方法のところで当方が勘違いして、以下のようにすれば、VPN接続の時のみ
Windows ファイヤーウオールが無効になる事がわかりました。

　WindowsXPの場合で説明すると、

　　　デスクトップでマイネットワークを右クリック

　　　VPN接続のアイコンを右クリックし、プロパティを選択

　　　詳細設定タブでWindows ファイヤーウオール設定を選択

　　　今まではここで「Windows ファイヤーウオール設定を無効」としていたが、「有効」のまま詳細設定タブを選択

　　　この画面でVPN接続の項目だけチェックを外す

このように設定することで、VPN接続時ではない一般接続時にはWindows ファイヤーウオールが有効のままになります。

次に、LAN内でのUSB-HDD以外のアクセス制限に関し、いろいろと考えて試行錯誤した結果、以下のようにする事で、一応当方が考えていた機能が実現できたので、報告します。

＜対策案＞
　・USB HDD を BL-900HW 側に接続する。
　　　（以前に少し試行して止めたのですが、本日は深く突っ込んで検討しました。）

　・BHR-4GRV のPPTPサーバー設定で、PPTP接続ユーザのIPアドレスを、192.168.0.100 からユーザー分だけ手動で割り当てる。

　　このようにすると、PPTPユーザは、192.168.0.XXX の機器だけにアクセスできるように制限がかかるので、BL-900HWのUSBポートに接続された USB HDD にはアクセスできるが、192.168.2.XXX　のNAS等にはアクセスできない。

とりあえず、このようにして希望する機能は実現できたのですが、USB HDD に格納されているエクセルファイルを外部からアクセスした時、このファイルが開かれるまでの時間がLAN内部からの時に比べて遅いです。

外部接続の場合、３G回線を使っているから遅いのか、PPTPサーバーのソフト処理が重たくて遅いのか、未だ切り分けられていません。

やっぱりヤマハのVPNルーターが必要なのかもしれませんね。
そういえば、RTX1000　の中古品がずいぶん安く売られていましたが、これは買いですか？

当方は、現状有線LANポートがNAS（LinkStation）に接続されているので、Gigaポート対応でないと動画コンテンツの転送時に遅くて困るのですが。。。。

以上のような状況です。

回答No.9

koi1234

No7の補足に対して

>WR9500Nもルーターモードにすると３重ルーターになるような気
気がする　　じゃなくてあらかさまな3重ルータです
ただし実際にグローバルIPぶられるのは　BHR-4GRV　になりますので
その他の設定は2重ルータと同じです

>はい、確かに考えてみればリスクが少ないかもしれませんね。
>なので、この項目は優先順位を下げたいと考えます。
誤解されて受け止められたような気がしますが
現状の構成で行った場合には友人がスキャンかけたりすれば
それほど労力無しで設置機器が分かったりしますよ
私がリスク少なくなると書いたのはルータ一個追加した時の話ですので誤解の無いように

>残念ながら、BHR-4GRV は Biglobe のDDNS　には対応していません。
Biglobe のDDNS にこだわる必要ありますか？（個人の勝手と言ってしまえば終わるけど）
DDNSサービス自体はどこのもの使ってもさほど違うはないと思うのですが

>＞PPTP接続ユーザへのIPアドレス割り付け法を「DHCPサーバー設定の範囲から取得」にする
>のように設定を変更しています。
それなら PPTP接続で外部 PCに割り当てられるIPアドレスは
192.168.2.XXX　　になるはずなのでNo2で書いた方法で
アクセスできてよさそうな気がしますができませんでしたか？

補足

一応、当方が希望する機能が実現できる案を考え、動作確認しました。　詳細は、回答１０の補足を参照して頂ければ幸いです。

なお、PPTP接続ユーザのIPアドレスを 192.168.2.XXX 系にして、VPN接続時のWindows ファイヤーウオールを無効にする事で、当初の目的の外部からネットワークドライブの割り当てができます。

DDNSは特に Biglobe にこだわっていませんが、個人HPのURLが変更になるのが面倒な事と、海外系の無料DDNSはいつの間にか有料になったり、等々の問題があるので、できれば変更したくない、というのが本音ですが、今回の問題とDDNSとはほとんど関係ないように思いますが。。。。

回答No.8

nnori7142

追加補足ですが、USB-HDD以外のアクセス制限ですが、BuffaloルーターのIPフィルタ設定での特定アクセス拒否の設定＋NAS自身のアクセス制限の設定となりますが、利用サーバがActive-Directory機能＋SMB認証機能の追加を利用可能であれば、認証でのアクセス制限をサーバに持たせる方法もあります。
　PPTPクライアントからのアクセスも、アクセス許可するアドレスの制限もケースにより併用していただければと思います。

補足

コメントありがとうございます。

残念ながら、ここにご記載頂いた内容を理解するには、私の方でもう少し勉強が必要なようです。

今は、「USB-HDD以外のアクセス制限」の対応は優先順位を下げて、回答No4の補足に記載した設定をしてもLAN外部PCのWindows ファイヤーウオールを「有効」にすると期待した動作をしない原因究明を優先したいと考えています。
これについては私自身、まったく解決の糸口を掴んでいませんので、引き続きサポートをお願いいたします。

回答No.7

koi1234

書いた部分が編集ミスで抜けてるのに気が付いたので追加

>・WR9500N でのDDNS登録無効
>　動作モードはルーターモード
>　　　WAN側セグメント 　192.168.2.0/24
>　　　LAN側セグメント 　192.168.3.0/24　　（このセグメントは適当に書いただけ）

自分の機器は全て WR9500N のLANに構築

回答No.6

koi1234

No2 です No2の補足を見て 現状状態ややりたいことの詳細が見えてきた気ががします

>LAN外部のPCのIPアドレスは　172.31.145.2 という
>class B のプライベートアドレスが BHR-4GRV から割り当てられます。
それでは通信できないですね

ネットワークの構成少々変更したほうがいいかと思います

・BL900HW はルータモード DMZで　BHR-4GRV を設定 （今のまま変更なし）

・BHR-4GRV はルーターモード PPTPサーバ起動して
　　　WAN側セグメント 　192.168.0.0/24
　　　LAN側セグメント 　192.168.2.0/24　　　　　（ここまでは今と同じ）
　DDNSサービスに登録する（BHR-4GRVもDDNS対応してるはずです）
　PPTP接続ユーザへのIPアドレス割り付け法を「DHCPサーバー設定の範囲から取得」にする

・WR9500N でのDDNS登録無効
　動作モードはルーターモード
　　　WAN側セグメント 　192.168.2.0/24
　　　LAN側セグメント 　192.168.3.0/24　　（このセグメントは適当に書いただけ）

ちょっと手間だけど自分でBHR-4GRVのUSBにアクセスするときも
一旦BHR-4GRV にPPTP接続してからアクセスするようにする

・R9500Nでは共有関連のポートは閉じる
　　　開けたままなら　上に書いた　一旦BHR-4GRV にPPTP接続して
　　　の手間はなくなりますが
　　　友人といえども、当方のLAN内部のPC内の情報は共有したくありません。
　　　は満たせないかと思います（そう簡単にばれるってもんでもないですが）

BHR-4GRVのLAN上に全機器を設置した今の状況では
希望を満たせないと思われます
（私が思いつくのは上記での実現方法ぐらいです）

補足

コメントありがとうございました。

＞＞class B のプライベートアドレスが BHR-4GRV から割り当てられます。
＞それでは通信できないですね

はい、確かにおっしゃるとおりでした。

従って今は、

＞PPTP接続ユーザへのIPアドレス割り付け法を「DHCPサーバー設定の範囲から取得」にする

のように設定を変更しています。

＞DDNSサービスに登録する（BHR-4GRVもDDNS対応してるはずです）
＞・WR9500N でのDDNS登録無効

残念ながら、BHR-4GRV は Biglobe のDDNS　には対応していません。　また WR9500N は（ルーターモードでなくても）アクセスポイントモードでも Biglobe DDNS 対応処理を勝手にやってくれるので、貴重な存在です。

＞友人といえども、当方のLAN内部のPC内の情報は共有したくありません。
　　　は満たせないかと思います（そう簡単にばれるってもんでもないですが）

はい、確かに考えてみればリスクが少ないかもしれませんね。
なので、この項目は優先順位を下げたいと考えます。

＞・WR9500N でのDDNS登録無効
　動作モードはルーターモード　

WR9500Nもルーターモードにすると３重ルーターになるような気がしますので、それは複雑すぎて避けたいです。
（BHR-4GRV は無線ルーターでは無いので、ルーター機能を停止できないと思うので。）