YAMAHAヤマハブロードバンドルーターpp select 23©2ch.net
■ このスレッドは過去ログ倉庫に格納されています
ヤマハルーターを個人で使用する人のための情報交換スレッドです。
旧ネットボランチシリーズと、その流れを汲むNVR500を主な対象としていますが、
RTXシリーズなど企業向けの機種に関しても設定方法や使い方、
ハードウェア寄りの話題はこちらで扱います。
個人使用の範疇を超える内容や業務用ネットワークの構築・運用に関しては
通信技術板の「YAMAHA業務向けルーター運用構築スレッド」へお願いします。
http://mao.2ch.net/test/read.cgi/network/1501976932/
両スレッドを臨機応変に使い分けていきましょう。
ルーター - ヤマハ株式会社
http://jp.yamaha.com/products/network/routers/
ヤマハルーターの技術サイト
http://www.rtpro.yamaha.co.jp/
ネットワーク周辺機器 - ヤマハ株式会社
http://jp.yamaha.com/products/network/
前スレ
YAMAHAヤマハブロードバンドルーターpp select 22
http://mevius.2ch.net/test/read.cgi/hard/1485617399/
過去スレは、まとめWikiを参照してください。
まとめWiki
http://wikiwiki.jp/yamaha-rtpro/ >>695
MU-MIMOだろ？
それぞれの子機の方向で電波強くなるよう位相調整するよ。
何台の子機に対応できるかはCPUやDSP、メモリに依り、家庭用だとせいぜい10台。
シスコとかエンタープライズ用だと100台くらい捌けるのもある。 WLX202用最新版ファームウェア（Rev.16.00.13）の配布開始
：WPA2プロトコルの脆弱性対応、および各種バグ修正 現在はハブでRTX1200とONUを並列に繋いでIPoE IPv6とひかり電話だけONUがやってる
RTX1200の下にONU付けてひかり電話使うことって可能？ 昼過ぎにTLで流れて来たけど
少し前 >>628- 付近で話題に出たSIP攻撃への対応策として海外IP全拒否だとさ
http://d.hatena.ne.jp/wakwak_koba/20171128
日本のみpassじゃなくて、日本以外をreject
というフィルターを公開してるぽい。
必要な人は頂いていったら？ すげぇ力技でワロタ
帰ったら試してみようと思うが、サブネットマスク /3 なんて指定できるのか？
それ以前に、あんな巨大なconfigを本当に吸わせて大丈夫なんかよ 何で日本のみpassじゃないんだろ
rejectの自動化目処はあるって話だからそこに関連してるのかな >>700
中身覗いてみたけどなんか拒否アドレスが足りてない気がするぞ
個々を詳細には調べてないから分割されてる広範囲はマージしてあるのかもしれないが
これなら日本だけ許可した方が良さそうな気がする
>>701
うちの鎖国フィルタ仕様なFWX120用は135KBほどあるがまだまだ全然余裕あるぞ でもこのフィルターリスト、
hogehoge@(自分のWAN側アドレス)
みたいにアドレス詐称してくる攻撃には
無力な気がするんだけど。 >>704
それSIPレベルで名乗ってるアドレスで実際のアドレスは違うし
本当に自分のアドレスになってるなら別のフィルタで弾かれるはず >>701
日本に割り当てられていないipアドレス帯を/8のブロックでまとめると、 もう少しすっきりしそうだね。 >>699
ONUとHGWを勘違いしてるような？
まぁRTX1200の下にHGWは無理 >>707
OptionポートがあるHGWなら無理やり出来なくもない。 map-eとかpppoeパススルー対応してくれよ
nvr500,nvr510,rtx1200,1210,810,830くらいは対応してほしい
余裕があればrtx1100,rt58iもお願いします
WXR-1750DHP2 9800円 map-e ipv4 ppoeパススルー
WN-AX1167GR 5500円 map-e対応
このレベルでも対応してきてるんだから
頼みますyamaha様！！！！！ WLX402用最新版ファームウェア（Rev.17.00.09）配布開始
：無線LAN見える化グループビューと 無線LAN見える化APマップの追加およびWPA2プロトコルの脆弱性対応 ip pp intrusion detection in on reject=on
ip pp intrusion detection in default on reject=on
この２つの記述って違いがあるのかな？
コマンドリファレンスみたけどよくわからなかった。
http://www.rtpro.yamaha.co.jp/RT/manual/rt-common/ip/ip_interface_intrusion_detection.html 上は機能自体をonして破棄するかどうかのオプションon
下は明示していない各プロトコルでの検出をonにしつつ破棄するオプションon
って所かな？下をoffに設定すると機能は始動するけど検出しないと思う 上、全て
下、個別type指定優先でその他
じゃない？ >>706
昨夜NVR500で試したら、とりあえずセットは出来たが
肝心のSIP攻撃が来ないと確認ができない・・・
アドレスが合ってるのか莫大すぎて精査する気が起きないんだが
ほんの最初のほうだけ確認してみた。
とりあえず /8 単位で言うと、日本は 1.0.0.0 と 14.0.0.0 の中に割り当てがあるぽい。
その間、2.0.0.0〜13.255.255.255 の /8 ×12 の中には日本は存在しない
その辺をどういう風に記述してるか見たら
2.0.0.0/7
4.0.0.0/6
8.0.0.0/6
12.0.0.0/7
って風だった。
/8 などという狭い範囲じゃなくて、もっと広い範囲を括って蹴ってるぽい。 いやまて、あれで攻撃を受けなくなったら確認のしようがない
しばらくpass-logして監視すべきか >>713-714
ウム、不安なので両方書いておこう。
>>716
AWS の日本以外のリージョン（北米とか）に Linux のインスタンス立てて、
そこからポートスキャンかけてみてはどうかな。
初めての利用なら 1 年間無料で使えるから。 >>715
その記述知らなかったんだが、/7 とか /6 って大丈夫なの❓ >>715
調べたらネットマスク/1(128.0.0.0)が最低か。こんな記述しないから勉強になったわ。 最後の224.0.0.0/3の蹴り方は、なかなか豪快
ところで、ここ何だ？ってググったらマルチキャストアドレスって出たんだけど
これなに？
実際に使われてるの？
/3もの莫大な空間を解放したら、IPv4の枯渇問題なんて一気に(当面は)解消するんじゃないの マルチキャストは1対他のパケット通信で使われてるが
ルータ越えしないので外からは来ない
240以降も予約領域で使われていない
だから上位3ビットが1のパケットは全部弾いて問題ない 日本国内割り当てIPでも油断禁物。
不正アクセスしてくるアドレス
103.20.8.0/22
103.20.36.0/22
103.40.124.0/22
逆引きホスト設定もむちゃくちゃ。 >>715
https://ipv4.fetus.jp/jp.txt
こんなところからアドレスリストを自動取得してナントカする方法ないかなぁ そもそもの話だけど、SIP でアタックされてる人って、SIP 用のポートを ANY で開けっ放しなの？
うちは Cloco 使ってるんだけど、そこの IP アドレスはこんなふうに
http://www.clocoinc.com/cloco/phone/loginserverlist/
公開されてるんで、
ip filter 1 pass 202.234.184.128/25 * udp 5060,25060,10000-20000 *
ip filter 2 reject * * udp 5060,25060,10000-20000 *
こういうフィルタを inbound に適用させてる。お前さんたちが使ってる IP 電話の業者でも公開してるでしょ。
「外国のアドレスレンジを全部ブロックしなきゃ！」とか面倒なこと考えなくても良いんでないの。 >>726
そう思う。
で、ひかり電話の場合はどうなんだろう？ >>727
ひかり電話は IPv6 じゃなかったっけ？
だから、SIP 関連で IPv4 を開ける必要は無いんじゃないの？ ひかり電話はフレッツ閉域網だからアタックとか考えなくて良いんじゃない？ ひかりTVチューナーの電源入れるとWIFIが激遅になってしまうんですけど
IPv6マルチキャストをひかりTVのチューナーのみにしか行かないようするには
どうすればいいのでしょうか？RTX810です。 plalaやOCNとか、プロバイダ付属のは公開してない気がする >>730
ONUの直下で分ければ設定いらずの上、ルーター弄っていてもテレビに影響しない。 >>732
今とりあえずそうしてるんですけど、それだとRTX810以下のネットワークから見えないからダメなんですよ。
DiXiMとかで観たいので。 >>733
Wi-Fi のネットワークを VLAN で分ける。
Wi-Fi AP が .1Q に対応してる必要があるけど。 >>734
ありがとうございます。そういう方法もあるんですね。
あいにく.1Q対応APではないもので。
IPv6のフィルタリングでうまくやる方法はないものでしょうか？ >>735
そもそもの話になるんだけど、>>730 を見るとあなたは
・IPv6 マルチキャストのせいで Wi-Fi のトラヒックが増大してる
が原因と考えてるようだけど、それは間違いないのかな？
ひかり TV チューナーの電源を入れると遅くなるから多分そうなんだろう、って推測？
それとも確実なエビデンスはあるの？
例えば Wireshark でキャプチャしてみたら IPv6 のパケットで溢れかえってた、とか。
あと、話題を追いやすくするため名前欄に「730」と入れてもらえると助かります。 >>736
レスありがとうございます
確かに憶測です。
パケットキャプチャして調べてみますね。 >>739
なるほど！MLDスヌーピング機能を持つハブがあるんですね。
有益な情報をありがとうございます。 パケットキャプチャしてみました。
ひかりTVの電源を入れるとIPv6マルチキャストのパケットが溢れます。
電源を切ると収まります。
MLDスヌーピング機能付きのバッファローのスマートスイッチを導入してみます。 それそもそもどっかループしてるとかネットワーク構成に問題があるんじゃないのか？ Multicast rate上げるほうが手っ取り早そうなもんだが ひかりTVの仕組み自体がポンコツ設計もいいとこ
まともに家庭を模した環境で検証せずに作ったんだろう
公式回答はv6流さずに切れだとさ
http://faq.hikaritv.net/faq/show/1463
MLD スヌーピングも変な動きするのあるし
先にどこに流す、流さないの全体設計見直したら？
自分ならLAN分割でもするかな >>745
レスありがとうございます。
ぬぉぉL2SW買ってしもたw
RTXのみで対応できれば一番いいんですけどね。
更に色々調べてみます。 >>745
L2SWを導入してMLDスヌーピングを有効にしたところ、無駄なIPv6パケットは止まり
WiFiもサクサクになりました。
ご意見くれた方々ありがとうございました。
RTXの設定のみでもうまくいくか更に調査を続けます。 ひかり電話を契約するとHGWがレンタルされますが、それにはMLDスヌーピング機能がついているため
今回のようなトラブルは起こらないそうです。
私はひかり電話を契約してなく、ONU→RTX810→ひかりTVチューナーだったので
このようなトラブルが発生した模様です。
ご参考まで。 >>745
>>747
MLD対応の意味が違う
ルーターのMLD(ホスト、ルーター、プロキシ)は流す機能
スイッチのMLD(スヌーピング)は流すところを絞る機能
今回のはチューナーには流してると
他の要らんところにも流れるのを止めたいという話
>>749
普通にやるならルーターでL3切って落とす
LAN分割でサブインタフェースごとにMLDルーターの設定できれば可
MLDスヌーピングはヤマハのスイッチならあるがルーターはない >>750
やっぱりRTX810だけじゃ無理ってことですね。
L2SW買ったのは無駄にならなくてよかった。
ありがとうございます。 >>750
ちゃんと、「MLD」と「MLD スヌーピング」は区別して書きましたよ、>>745 には。
そもそも、MLD は「マルチチキャストの受信者（リスナー）を検出（ディスカバリー）」する機能
並びに「その検出したリスナーだけにマルチキャストを流す」機能でしょ。
ルータに MLD の機能が無かったらスイッチの MLD スヌーピングで止めるしか無いけど、
MLD で特定のリスナーだけに送れるなら MLD スヌーピングは不要では？ >>752
MLDにはマルチキャストをユニキャストに変換する機能はなくて、セグメントを跨ぐマルチキャストをルーティングして通すかを判断するんじゃないの？
MLDスヌーピングはL2スイッチングで、受信者がいないポートには流さないようにする機能
だから、どっちにしろ、RTX810のSW-HUBにスヌーピング機能が無ければ防げない ヤマハのHUBはMLDスヌープ出来たっけ？
SWX2200とか ルーターはL3を取り扱うのがお仕事。
配下に一台いれば受信して、送り出す。なければ破棄。複雑な事をやらすから、CPUで処理をする。あまり速度的な余力は無い。
ルーターから出たパケットを配信するのはL2スイッチの仕事。単純な事をASIC使って高速に行う。パケット複製してフラッディングは日常茶飯事。
家庭向けじゃないから明確に役割分担だよ。
んで余談、魔法の様なIGMP Snoopingを有効にした2台をカスケードするとアレなのでIGMPクエリアを使ったりするんよ。 >>753
ごめんなさい、俺の認識が間違ってました。
MLD があってもマルチキャストはマルチキャストのままなので同セグ内にはバンバン流れるね。 L2スイッチの基本的の仕事はL2フレームヘッダ見てすることで
IPヘッダどころかパケットの中身見て(=snoop)の処理は例外処理
ヤマハはどうか知らないけど
ソフト処理してて有効にすると
CPU、メモリ負荷上昇からのスループットガタ落ちもザラ
>>754
ヤマハでもよそでもメーカー一律のわけなくモデルによる
SWXはあり
SWRはなし 自分の投じたひかりTVの一石が混乱を招いてしまって
なんかすみません。
ただこのスレの皆さんの書き込みのおかげでヒントがもらえて
解決に至ったことは感謝してます。
ありがとう。 NVR500 からのリプレイスで RTX830 を思わずジャンピングキャッチしてしまったけど、ふと気がついたらシスコのほうが安かったじゃないの・・・。
https://nttxstore.jp/_II_CI15435897
うーん、早まったな。 . .... ..: : :: :: ::: :::::: ::::::::::: * 。＋ ﾟ + ･
∧ ∧. ＿::::。・._、_ ﾟ ･
/:彡ミ゛ヽ;）(m,_)‐-（<_,` ）-､ * シスコも買えばいいだけだろ!
/ :::/:: ヽ、ヽ、 ::iー-、 .i ﾟ .+
/ :::/;;: ヽ ヽ ::ｌ ゝ ,n ＿i ｌ
￣￣￣（_,ノ ￣￣￣ヽ､_ノ￣￣E_ ）＿_ノ￣ >>759
その機種ならヤフオクで新品1万円以下で買えるぜ。 >>761
ライオンと蟻の戦い
>>762
ホントだね、シスコの現行機種・新品が中学生のお小遣い程度で買えるのか。
思わず買いたくなるな。 >>765
> 安くても保守加入しないとIOS入手出来んけどな
ヤフオクで落札した奴のシリアル＋メルアドでユーザー登録。
でIOSの最新の奴ダウンロードできました。 >>759
それAdvansed Securityだからゴミだよ。
手を出さなくて正解。
Advanced IP Serviceじゃないと機能もヤマハ以下。 >>768
それもあるけど、ぐぐってみるとハード的な処理能力が低くてスループットが出ないらしいね。
今、ウチでは RTX830 ＋ギガフレッツ ＋ IPoE ＋ DS-Lite (IIJmio) で
700 Mbpsくらい出てるけど、841M じゃあ絶対そこまでは出せないだろう。
そりゃそうだよなあ、コンシューマ用のブロードバンドルータ並の価格なんだから。 RTX-1200があるので有効利用しようと思ってます。
バッファローから出てるWEX-1166DHPっていう中継器なんだけど
LANポートがあるみたいなので無線LANアクセスポイントに使えそう
RTX-1200とWEX-1166DHPで無線LANルーターとして利用している方はいますか？ >>769
841M行くなら891FJ辺りオクで狙う方がオススメ。 Ciscoは本体がデカくてやだ
しかもACアダプタだし、それももデカいし >>772
AC アダプタの場合、熱がこもらなかったり故障しても換えやすい。
電源（特にコンデンサ）は劣化しやすいから、中古を買った際に換えやすいのはメリット。
まあ、ヤマハみたいに初めから発熱が少ない設計にしてれば済む話だけど。
>>773
洋モノのマシンは 240 V の高電圧でも使えるようにしてるから、
たいがいコードがぶっといよね。自分はわざわざ細いコードを別に買って
置き換えてる。
これ↓を 10 本以上買ったかな。
https://www.amazon.co.jp/dp/B002KANIAW >>774
コードの太さは電圧じゃなく、電流だから。
もっと踏み込むと仕事率に影響される。 >>775
コードの被覆の厚さは絶縁耐性に関係するから、同一電流の設計でも結果的に240V用のケーブルは太くなる >>774
場合によっては右出しと左出しで面倒なことになるかもだが、SDRなど無線機とPCや周辺機器が
近くて、あちこちのACラインにトロイダルコアによるコモンモードフィルタを挿入するときには便利そう。
よくある3Pのギャブタイヤ並みに太い電源ケーブルだと、プラグもデカいしケーブルも太くて固いから
コアを通すターン数が少なくなるのよね。 >>715
日本に割り当てられていないブロックフィルター書いてみたが、気休めで・・・
ip filter 100100 reject 2.0.0.0/8,3.0.0.0/8,4.0.0.0/8,5.0.0.0/8,6.0.0.0/8,7.0.0.0/8,8.0.0.0/8,9.0.0.0/8,10.0.0.0/8,11.0.0.0/8,12.0.0.0/8,13.0.0.0/8,15.0.0.0/8 * * * *
ip filter 100101 reject 16.0.0.0/8,17.0.0.0/8,18.0.0.0/8,19.0.0.0/8,20.0.0.0/8,21.0.0.0/8,22.0.0.0/8,23.0.0.0/8,25.0.0.0/8,26.0.0.0/8,28.0.0.0/8,29.0.0.0/8,30.0.0.0/8 * * * *
ip filter 100102 reject 31.0.0.0/8,32.0.0.0/8,33.0.0.0/8,34.0.0.0/8,35.0.0.0/8,36.0.0.0/8,37.0.0.0/8,38.0.0.0/8,40.0.0.0/8,41.0.0.0/8,44.0.0.0/8,46.0.0.0/8,47.0.0.0/8 * * * *
ip filter 100103 reject 48.0.0.0/8,50.0.0.0/8,51.0.0.0/8,52.0.0.0/8,53.0.0.0/8,54.0.0.0/8,55.0.0.0/8,56.0.0.0/8,57.0.0.0/8,62.0.0.0/8,63.0.0.0/8,66.0.0.0/8,67.0.0.0/8 * * * *
ip filter 100104 reject 68.0.0.0/8,69.0.0.0/8,70.0.0.0/8,71.0.0.0/8,72.0.0.0/8,73.0.0.0/8,74.0.0.0/8,75.0.0.0/8,76.0.0.0/8,77.0.0.0/8,78.0.0.0/8,79.0.0.0/8,80.0.0.0/8 * * * *
ip filter 100105 reject 81.0.0.0/8,82.0.0.0/8,83.0.0.0/8,84.0.0.0/8,85.0.0.0/8,86.0.0.0/8,87.0.0.0/8,88.0.0.0/8,89.0.0.0/8,90.0.0.0/8,91.0.0.0/8,92.0.0.0/8,93.0.0.0/8 * * * *
ip filter 100106 reject 94.0.0.0/8,95.0.0.0/8,96.0.0.0/8,97.0.0.0/8,98.0.0.0/8,99.0.0.0/8,100.0.0.0/8,102.0.0.0/8,104.0.0.0/8,105.0.0.0/8,107.0.0.0/8,108.0.0.0/8,109.0.0.0/8 * * * *
ip filter 100107 reject 135.0.0.0/8,142.0.0.0/8,145.0.0.0/8,151.0.0.0/8,156.0.0.0/8,162.0.0.0/8,168.0.0.0/8,169.0.0.0/8,170.0.0.0/8,173.0.0.0/8,174.0.0.0/8 * * * *
ip filter 100108 reject 176.0.0.0/8,177.0.0.0/8,178.0.0.0/8,179.0.0.0/8,181.0.0.0/8,184.0.0.0/8,185.0.0.0/8,186.0.0.0/8,187.0.0.0/8,188.0.0.0/8,189.0.0.0/8 * * * *
ip filter 100109 reject 190.0.0.0/8,191.0.0.0/8,193.0.0.0/8,195.0.0.0/8,196.0.0.0/8,197.0.0.0/8,200.0.0.0/8,201.0.0.0/8,204.0.0.0/8,205.0.0.0/8,206.0.0.0/8 * * * *
ip filter 100110 reject 207.0.0.0/8,209.0.0.0/8,212.0.0.0/8,213.0.0.0/8,214.0.0.0/8,215.0.0.0/8 * * * * 素直に使ってる SIP サーバだけ Allow したら？ 050同士の通話って、双方のISPの鯖を経由するの？
てっきりISPの鯖はエンドポイントの情報だけ渡して、通話自体は直にやってるのかと思った 5060は鯖を通してると思うよ音声は鯖を通してないかもね SIPをany openも世界中のアドレスdenyするのもあり得ないな
SIPは呼制御のプロトコルで通話とは別
RTPの通話はエンドtoエンドだけどSIPはSIP Proxy経由になるので絞れる
https://www.nic.ad.jp/ja/newsletter/No29/100.html
この図の4と12を分けて考える
12はany 受けでも良いけど
4を受け入れる相手を絞れば他から着信しない
ALGなりFQDN指定なりできないでも
ポートわけてアドレス帯で絞る位はありというか当たり前
GUIデフォルトで電話設定してもポートは分けられてるはず
http://www.rtpro.yamaha.co.jp/RT/FAQ/VoIP/troublevoip-ans.html
この10もそういう話 SIPではなく、たとえばwebやほかのサービスのサーバーを公開するとして、海外すべて
denyとする鎖国フィルターを設定したい場合、日本だけ許可としても何万行となるが、
RTXはそれに耐えられるのでしょうか？>>778はある程度有効な気もするが、そこに記述が
ないブロック内にも海外の割り当てがたくさんあるし。 >>785
機種とアクセス数による、としか言えんな。
RTX 1000 と 1210 じゃあ全く違ってくるし。
公開しているサーバへのアクセスが 100/日なのか
100,000/日なのかでも違ってくるし。
試してみれば？ >>785
規模にもよるが
サーバー側で処理する方がいい場合もある
ＷＥＢはサーバー側で処理したほうが楽だとは思うが >>785
これまでも何度か話題に挙がったことあるけど、案外問題なかったって話 >>785
>>700 の人が公開してる海外すべてdenyな鎖国フィルターは
ブログ主のRT58iで使えてるみたいだし
>>715 はNVR500で大丈夫ぽい
それとは書き方が違うフィルターだろうけど
同程度のサイズの鎖国フィルターを>>703がFWX120に書いてる
たぶん問題ないと思われ FortiGateならば国別IP指定はJP指定するだけ。サーバー公開なら最低でもシグネチャ対応のFWにしようぜ。
漏れて困るのあるなら、WAFまで欲しい。
YAMAHAなんぞ小規模事務所や店舗接続するVPN位でしか使わないよ。インターネット絡むならUTM入れるのが普通。 fortigateだってポリシーの登録数は極端に大きく無いっしょ。下位機種で数千のオーダーだし。
鎖国フィルタはIPv4だけで3000箇所超えてた思う。。
国別denyは最早意味がない。クラウド使われた日には解除しなけりゃならんから。
OCNなんかもアメリカとか香港の鯖使ってるし。 >>791
ポリシー数はアドレスグループで纏めりゃ良いから単純に比較できんぞ。
纏められれば、ポリシーは1個だな。 >>790
で、新品5万円程度で買えてその機能があるのはどれ？ うちもSIP攻撃食らって再起動まで発着できない現象何回かあったけど
YAMAHA問合せ後FirmUpしたらいまのとこ再現しなくなった。 >>790
お前さんは「ボクは FortiGate を知ってるんだぞ！WAF だって知ってるぞ！詳しいんだぞ！」って
はしゃいでるようにしか思えんな。個人が遊びで立てた Web サーバと、1 時間止まるごとに 100 万の
損失が発生する EC サイトを同列に述べるのか？
機種選定する前に、まず「要件」を考えなきゃいかんな。 ■ このスレッドは過去ログ倉庫に格納されています
