YAMAHA RTX-1100の設定

質問

YAMAHA　RTX-1100を設定することになりました。コマンド入力タイプは初めてで、設定例などを見ても分からなかったため質問させていただきます。

【既存ネットワークの環境】
(1)現在、１９２．１６８．１００．０/２４のネットワークがあり、インターネット接続もできます。
(2)ルータのアドレスは１９２．１６８．１００．１
(3)プリンタのアドレスは１９２．１６８．１００．２５０
(4)その他業務用のPCは全て固定でアドレスを設定しています。

【新ネットワーク環境】
(1)既存のネットワーク環境に、新しいネットワーク（１９２．１６８．１０２．０/２４）を追加することになりました。
(2)既存ネットワークと分けるために、新しく【YAMAHA　RTX-1100】を設置しルーティングしたいと思ってます（機器はすでに購入済みのため変更は考えていません・・・）
(3)新しいネットワークにはPCが５台設置され、すべて固定でアドレスを振っています。
　（１台目１９２．１６８．１０２．１０、２台目１９２．１６８．１０２．１１・・・５台目１９２．１６８．１０２．１４）
(4)新しいネットワークに所属する５台は、インターネット接続と、既設ネットワーク環境にあるプリンタ（１９２．１６８．１００．２５０）が使えれば良いです。ただし、既設ネットワークに所属する業務用のPCにはアクセスできないようにしたいです。

【RTX-11００の設定】
(1)LAN１のアドレスを１９２．１６８．１０２．１/２４に設定し、LAN２のアドレスを１９２．１６８．１００．２５４/２４と設定しました。
(2)あとは、設定例を見ても難しくて分かりませんでした。

コマンドの入力例を教えていただけると助かります。
よろしくお願いします。

回答No.2

maesen · ベストアンサー

(1)について
フィルタに設定するか否かは、PCが192.168.100.1のルータ自身にアクセスする必要があるかで決まることになります。
コンフィグを見てわかると思いますが、RTX1100のLAN1の入力にフィルタを設定しますので、PCからの通信で宛先IPアドレスが192.168.100.1になるアドレスはrejectされます。

(2)について
フィルタ1000と1001にて、192.168.100.250を除く192.168.100.1から192.168.100.254への通信がrejectするように設定しました。
yamahaのIPフィルタは暗黙のフィルタがrejectなので、このままでは192.168.100.250だけしかアクセスできません。
インターネットへのアクセスが必要なので、これ以外を全て許可するフィルタを入れる必要があります。

http://www.rtpro.yamaha.co.jp/RT/FAQ/IP-Filter/ip-packet-filter.html

(3)について
送信元のIPアドレスは問わない、全てマッチすることになります。
実際にはLAN1の入力には送信元が192.168.102.0/24しかないので
ip filter 1001 reject 192.168.102.0/24 192.168.100.0/24
と書いても実質は同じです。

(4)について
RTX1100配下のPCは、静的NATを想定しているということでしょうか？
それならばNATの設定は

nat descriptor type 1 nat
nat descriptor address outer 1 192.168.100.14
nat descriptor address inner 1 192.168.102.10
nat descriptor static 1 1 192.168.100.14=192.168.102.10 5

こんな感じになるでしょうか。

お礼

何ども、ご説明ありがとうございました。

本日、ルータを設置しました。こちらの希望通りの動作になりました。設定は、１番初めのフィルタリングの設定で行いました。

設定期間が短かったため、大変参考になり助かりました。これから日々勉強していきたいと思います。

ありがとうございました。

補足

ご回答ありがとうございます。
また質問させてください。

>192.168.100.250だけしかアクセスできません。
今回既設ネットワークのルータのアドレスが192.168.100.1なので、始めに教えて頂いたフィルタリングの設定では新規ネットワーク（192.168.102.0/24）と192.168.100.1は通信できないという事でしょうか？
そうしますと、下記の様に設定を変更した方がいいのでしょうか？

ip filter 1000 pass * 192.168.100.250
ip filter 1001 pass * 192.168.100.1
ip filter 1002 reject * 192.168.100.0/24
ip filter 3000 pass * *

それとも、ip filter 3000 pass * *の設定で、192.168.100.1と通信が出来るようになっているのでしょうか？

何度もすみませんが、ご回答宜しくお願いします。

回答No.3

maesen

＞始めに教えて頂いたフィルタリングの設定では新規ネットワーク（192.168.102.0/24）と192.168.100.1は通信できないという事でしょうか？

その通りです。

＞そうしますと、下記の様に設定を変更した方がいいのでしょうか？

先の回答に書いてあると思うのですが。。。
良いか否かは、要件を伝えて頂けなければ回答できません。

先の回答の繰り返しになりますが、既存のルータ自身にアクセスする必要があるのか、それともルータを通過するだけで良いのかを判断して下さい。

＞それとも、ip filter 3000 pass * *の設定で、192.168.100.1と通信が出来るようになっているのでしょうか？

これは違います。
フィルタは設定した順番、つまり
ip lan1 secure filter in
の左から順番に適用されるため、先にあるip filter 1001 reject * 192.168.100.0/24が先に適用され破棄されます。

回答No.1

maesen

単純にルータを追加し、そのままルーティングするのであれば、
LAN1とLAN2のIPアドレスが設定済みとすれば、こんな感じでしょうか。

ip route default gateway 192.168.100.1
ip lan1 secure filter in 1000 1001 3000
ip filter 1000 pass * 192.168.100.250
ip filter 1001 reject * 192.168.100.0/24
ip filter 3000 pass * *

ただし、この場合既存のルータ（192.168.100.1）に静的ルート等を設定しないとインターネット側との通信ができません。

一応こんな感じでNAT(IPマスカレード）をすれば静的ルートは無くても通信出来ますが、要件的にアドレス変換して良いのかわからないのでこれが正解かはわからないです。

ip lan2 nat descriptor 1
nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.100.254
nat descriptor address inner 1 192.168.102.1-192.168.102.254

即興で作成しましたので間違いがありましたら申し訳ありません。

＞(2)あとは、設定例を見ても難しくて分かりませんでした。

設定例はご自身がやりたいこととは無関係な設定も多くありますが、そこを排除出来れば今回の内容は簡単な設定のはずです。
ただ、もう少し修業が必要かもしれませんね。（えらそうにすいません）

補足

説明ありがとうございます。
何点か質問させてください。

(1)192.168.100.1はRTX-1100のデフォルトゲートウェイに設定してるので、フィルターには入力しなくてもいいんでしょうか？

(2)ip filter 3000 pass * * はどういう役目をしているのでしょうか？

(3)ip filter 1000 pass * 192.168.100.250のpassの後ろの”*”はどういう意味になるんでしょうか？

(4)あと、アドレス変換は192.168.100.14~18まではNAT様で確保頂いています。

初心者みたいな質問で申し訳ありませんが、ご回答宜しくお願いします。