別々のGWを持つ、２つのセグメント間の通信

質問

２つのネットワークセグメントがあります。この２つのセグメントの通信を実現させたいです。
知識と経験不足なので教えて頂けるとたすかります。

■環境■
添付図の通りですが、

・192.168.10.0/24　　→　　Ａ社
・192.168.20.0/24　　→　　Ｂ社

※それぞれのサーバー/PCは全てWindows系。
※それぞれが別々のゲートウェイを持ち、インターネットに接続可能。
※ただしサーバーの保守の為だけの接続で、クライアントはインターネット接続されていない。
※Ａ，Ｂお互いのクライアントが通信出来てはいけない。
※お互いのネットワークアドレスの変更は不可。
※クライアントPCの設定変更も不可。
※物理的に同じ部屋にあるので、配線の取り回しの心配はない。

■質問■

同一セグメントにそろえて、L2_VLANだと可能なのでしょうが、ネットワークアドレスを変更できないので
ルーターかＬ３なのではと考えております。

※ＡのクライアントはＡのサーバ/クライアントとＢのサーバーのみを見たい。
※Ｂのクライアントも同様にBのサーバ/クライアントとＡのサーバーのみを見たい。

この環境で上記内容を実現させようと思ったら、どのような機材でどのような設定にすればいいのでしょうか？

回答No.7

maesen · ベストアンサー

No.2です。

＞記載し忘れたのですが、既存のルータの設定変更も出来ません。

そうなんじゃないかって気がしたんですが、やはりですか。

＞RTX810のNAT機能を落として、それぞれのサーバへのルーティンテーブルを設定。

IPアドレスに空きがあり、RTXを使用するのであればNATで解決できそうに思います。

ちなみに今回の構成ではRTXはインターフェースに設定するネットワーク以外にルーティングしないのでルーティングテーブルの追加は不要なはずです。

サーバから見た場合、
サーバのIPアドレスを逆側のネットワークにマッピングするため逆側のLANインターフェースで静的NATが必要
アクセスした逆側のクライアントのIPアドレスを自ネットワークに偽装するため自側のLANインターフェースで静的又は動的NATが必要

サーバは両方のネットワークにあるので、上記の設定がが両方のLANインターフェースに必要になることになります。

検証していないのではっきり言えなくて申し訳ありませんが、nat descriptor、outer、inner、静的NATエントリを適切に設定すれば良いと思われます。
もしかしたらtwice natが必要かもしれません。

＞副作用などが考えられるなら教えていただけると助かります。

IPアドレスを偽装するため、実アドレスとは異なるIPアドレスでサーバにアクセスするぐらいでしょうか。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

回答No.6

bunjii

回答No.5の説明のために画像を添付します。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

回答No.5

bunjii

>両ネットワークはAD環境ではありません。ですのでアクセス制限と言うより、ネットワーク機材の設置で解決したいと思っています。
ルーターを使わない方法としてA社とB社のサーバーへネットワークアダプタを各1枚増設して追加されたアダプタから相手会社のLANへ接続することで対応可能でしょう。
双方のサーバーはルーティングを行わないことでA社のPC（クライアント端末）からB社のPCへアクセスを止めることができるはずです。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

回答No.4

anmochi

質問と回答の流れを読ませてもらったけど、クライアントの状態によってはやねこいかも知れないね。

> クライアントはインターネット接続されていない。
私はここに着目した。
もしこれが、図中で言えばA社の方に5台、B社の方に6台描かれている「PC」に
デフォルトゲートウェイが設定されていないという意味だとすると、
A-Bをルーターでつなげただけでは通信できない。
その場合はルーターに双方向のIPマスカレードを設定してやる必要があるだろう。

双方向IPマスカレードというのは以下のような考え方だ。
サーバーのIPアドレスがちょっと文字がつぶれて見えないけど仮に
Aサーバー：192.168.10.210
Bサーバー：192.168.20.210
としよう。
で、A-B間に置くルーターのIPアドレスを192.168.10.240と192.168.20.240の二つを振ったとする。
もちろん10をA側で20をB側につなぐ。
で、ABサーバー両方ともリモートデスクトップによってリモート管理すると仮定する。
その時、ルーターには
○192.168.10.0/24:任意のポート→192.168.10.240:3389というTCPパケットを192.168.20.210:3389にIPマスカレードする。
○192.168.20.0/24:任意のポート→192.168.20.240:3389というTCPパケットを192.168.10.210:3389にIPマスカレードする。
という設定を行う。そうすると、AのPCから192.168.10.240にリモートデスクトップすると、AのPCからは192.168.10.240と通信しているように見え、実はそれは192.168.20.210に転送されているが、Bサーバーから見ると192.168.20.240と通信しているように見える。
PCもサーバーも相手が同一論理セグメントであるように見えるわけだ。これで、サーバーとPCのいずれかに「デフォルトゲートウェイ」が設定されていなくても通信する事ができるようになる。当然AのPCとBのPCは相手の存在も知らないので通信しあえない。

※これはクライアントがインターネットに接続されていないという内容を
クライアントのデフォルトゲートウェイが設定されていないと解釈した上での
回答なのでそうでなければてんで的外れです。
もちろんPCにデフォゲがあってもこの方式を採用しても大丈夫だけどね。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

回答No.3

bunjii

>※ＡのクライアントはＡのサーバ/クライアントとＢのサーバーのみを見たい。
>※Ｂのクライアントも同様にBのサーバ/クライアントとＡのサーバーのみを見たい。
>この環境で上記内容を実現させようと思ったら、どのような機材でどのような設定にすればいいのでしょうか？
「192.168.10.0/24　　→　　Ａ社」/「192.168.20.0/24　　→　　Ｂ社」と言うことなので回答No,2のようにローカルルーターでLAN間を結べば良いでしょう。
ルーターの設定ではリクエストの宛先によるフィルターが必要でしょう。
A社のサーバーとB社のサーバーを相互にアクセスするには使われるクライアントPCに接続権を与えるより利用者のIDにアクセス権を与えるような管理にすべきかと思います。
A社のクライアントからB社のサーバーへ接続するときネットワークの知識を持たないオペレーターが使いこなせるかが問題になるでしょう。（その逆も同じ）
A社のクライアント/サーバーがAD（アクティブディレクトリ）で運用されているのであればB社も同様になっていると考えられます。
A社とB社のAD同士を信頼関係で結べば利用者のIDレベルで相互アクセスが可能になると思います。
具体的な運用方法を提言するのは無理なので考え方のみにさせて頂きます。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

補足

ご回答ありがとうございます。

両ネットワークはAD環境ではありません。ですのでアクセス制限と言うより、ネットワーク機材の設置で解決したいと思っています。
教えて頂いたアドバイスは今後の参考とさせていただきます。ありがとうございます。

回答No.2

maesen

機材としてはAとBの間にローカルルータを入れれば良いだけだと思います。

※ローカルルータっていう機器があるのではなくローカルルータとして使用できるルータってことです。

設定としては、
・ルータのインターフェースにIPアドレスを割り当てる
・通信していいノードとだめなノードがあるのでフィルタを設定する
・クライアントPCの設定変更がNGなので、AおよびBの既存ルータに静的ルートのエントリを追加する

基本的にこれで要件を満たすはずです。

＞※ただしサーバーの保守の為だけの接続で、クライアントはインターネット接続されていない。

これは少し気になるのですが、この実現方法によってはクライアントの設定変更が必須になる可能性もあります。

あと、もちろんL3スイッチを導入すれば同じことが出来ますが、価格差が大きいと思いますのでワイヤースピードで通信出来なければならないなど特別な理由が無ければ必要無いと思います。

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

補足

ご回答ありがとうございます。

記載し忘れたのですが、既存のルータの設定変更も出来ません。

例えばヤマハのRTX810を島の間に起き、それぞれの既存のルータから接続。
RTX810からそれぞれの島のハブに接続。
RTX810のNAT機能を落として、それぞれのサーバへのルーティンテーブルを設定。

これで実現可能になりますでしょうか？
副作用などが考えられるなら教えていただけると助かります。

回答No.1

ryo_ Deathscythe（@Deathscythe）

ルーターに静的登録すれば特に問題ないように見えますが・・・

ルータの下がHUBって書いてありますがリピータHUB？L2スイッチ入れてないんですか?
まぁひねりのないクラスCだしインターネットも見れない小規模構成だから問題ないのかな?

ちなみにあなたの業種は何でしょう?
知識と経験不足とのことですがペーパーのCCNA持ちから見ても失礼ながら素人に見えます。

同一セグメントにそろえて、L2_VLAN
→VLANを設定することを「切る」といいますが、
　仮想的に切ったら同じネットワークに属さない。つまり同一セグメントにはならない。そのためそれは無意味です。
　　ついでにルーター同士の接続ですので普通「VPN」を設定してやらないと同一ネットワークにすらならないです。
　(配線の取り回しは問題ないということなので1ルーター直下に集結させるのでしょうか?それでも上記の通り無意味ですが)

ルーターかＬ３→ルーターの別称が「L3スイッチ」ですが、もしかして光モデムのことですか?

お礼

返信遅くなり大変申し訳ございませんでした。ありがとうございました。

補足

ご回答ありがとうございます。

記入し忘れてましたが、既存のルータは一切設定変更出来ません。

・ハブとは普通のスイッチングハブです。
・今あるそれぞれのルータは別々にISP契約しています。技術的と言うよりは、制約が多くて既存のネットワーク機材の設定に手を加えることは出来ません。物理的に配線の差し替えて程度なら問題ありません。
・L2SWのマルチプルVLANで二つの島を繋ぐことも最初に考えたのですが、セグメントをそろえられないのでIPアドレスによる解決しかないのではと考えています。