X

YAMAHAヤマハブロードバンドルーターpp select 32

レス数が1000を超えています。これ以上書き込みはできません。
1不明なデバイスさん
垢版 |
2021/10/07(木) 21:04:32.72ID:7RxNv0h3
ヤマハルーターを個人で使用する人のための情報交換スレッドです。
旧ネットボランチシリーズと、その流れを汲むNVRシリーズと、
RTXシリーズなど企業向けの機種に関しても設定方法や使い方、
ハードウェア寄りの話題はこちらで扱います。

個人使用の範疇を超える内容や業務用ネットワークの構築・運用に関しては
通信技術板の「YAMAHA業務向けルーター運用構築スレッド」へお願いします。

YAMAHA業務向けルーター運用構築スレッドPart24
https://mao.5ch.net/test/read.cgi/network/1609198305/

両スレッドを臨機応変に使い分けていきましょう。

ヤマハネットワーク製品
https://network.yamaha.com/
ルーター｜製品情報｜ヤマハネットワーク製品
https://network.yamaha.com/products/routers/
ヤマハネットワーク周辺機器の技術情報ページ
http://www.rtpro.yamaha.co.jp/

前スレ

YAMAHAヤマハブロードバンドルーターpp select 31
https://mevius.5ch.net/test/read.cgi/hard/1618238582/
YAMAHAヤマハブロードバンドルーターpp select 30
https://mevius.5ch.net/test/read.cgi/hard/1607523704/
YAMAHAヤマハブロードバンドルーターpp select 29
https://mevius.5ch.net/test/read.cgi/hard/1595164990/

上記以前の過去スレは、まとめWikiを参照してください。
まとめWiki
http://wikiwiki.jp/yamaha-rtpro/
2021/10/07(木) 22:58:38.23ID:aHOWvgTf
>>1 乙
2021/10/07(木) 23:00:53.27ID:aHOWvgTf
通信技術の現行スレはこちら。

YAMAHA業務向けルーター運用構築スレッドPart25
https://mao.5ch.net/test/read.cgi/network/1630588178/
2021/10/07(木) 23:21:40.41ID:zWDUgGd0
前スレの954です。
その後の状況だけ。
FTPSに加えて同じサーバでHTTP/HTTPS/SSHも公開し、この状態で特に問題なく動いています。

ip pp secure filter in 51 53 54 55 98 dynamic 51 53 54 55
…
ip filter 51 pass * 192.168.0.1 tcpflag=0x0002/0x0017 * 990
ip filter 52 pass * 192.168.0.1 tcp * 5000-5049
ip filter 53 pass * 192.168.0.1 tcpflag=0x0002/0x0017 80
ip filter 54 pass * 192.168.0.1 tcpflag=0x0002/0x0017 443
ip filter 55 pass * 192.168.0.1 tcpflag=0x0002/0x0017 22
ip filter 98 reject * * * *
…
ip filter dynamic 51 * 192.168.0.1 filter 51 out 52
ip filter dynamic 53 * 192.168.0.1 filter 53
ip filter dynamic 54 * 192.168.0.1 filter 54
ip filter dynamic 55 * 192.168.0.1 filter 55
…
nat descriptor masquerade static 1 51 192.168.0.1 tcp 990
nat descriptor masquerade static 1 53 192.168.0.1 tcp 80
nat descriptor masquerade static 1 54 192.168.0.1 tcp 443
nat descriptor masquerade static 1 55 192.168.0.1 tcp 22
2021/10/07(木) 23:35:25.75ID:elP1c94z
>>4
SSHは特定IP限定にした方がいいよ。
ブルートフォースアタックでルーのリソースも持っていかれる。
2021/10/08(金) 00:11:01.43ID:C7//MSIa
>>5
アドバイスありがとうございます。
ログイン試行回数の制限とかはかけてますが、可能ならIPも制限する方がベターですね。
2021/10/08(金) 00:24:16.85ID:N8dQXhRC
>>5
夜明け告げるルー？
2021/10/08(金) 00:24:48.53ID:sboGm2/F
のうた
2021/10/08(金) 00:40:11.25ID:mgwWeu+g
>>4
>nat descriptor masquerade static 1 55 192.168.0.1 tcp 22

自分んとこは、例えばSSHとか
nat descriptor masquerade static 1 55 192.168.0.1 tcp 4989=22
みたいな感じで外部からアクセスする時のポート番号は想像されにくい値に変えてる。
気休め程度だけど。
2021/10/08(金) 00:52:10.83ID:6LNd4DUN
>>9
ログ見てると、反応のあるポートを見つけると、その応答からサービスを判定し、判定用アクセスから少し経った後にブルートフォースアタックを行う組織があるみたい。
2021/10/08(金) 01:13:12.22ID:oEdxiLwr
ブルートフォースアタックの類って、パスワードはもちろんだけどアカウント名もある程度複雑な規則にしておけばまず破られないように思うんだけど、どうなんでしょうね。
2021/10/08(金) 05:18:26.64ID:U4r6GApc
>>11
破られる以前に、
1時間ほど10回／秒でアクセスしてこられたのでfail2banで弾くわけですが、当然ルータの負荷上昇を抑えることには繋がらないので、結構リソースを持っていかれました。
2021/10/08(金) 07:51:12.83ID:iYLAX28q
>>12
あっ、なるほど…
fail2banでルータのフィルタ自体を操作するような事が出来たらいいのに
2021/10/08(金) 08:05:00.94ID:qPKbF0YP
そうか、今時の侵入攻撃ってVPNとか使って身元を隠しつつIPをコロコロ変えながらつっついてくるから厄介なんだなぁ。
2021/10/08(金) 09:12:33.83ID:Q2bbbveH
素朴な疑問(愚問)。
これはあくまで例だけど、例えばLAN内サーバ(192.168.0.1)のRDPをTCP/UDP両方で公開する場合、静的フィルタなら

ip pp secure filter in 61 62 98
〜
ip filter 61 pass * 192.168.0.1 tcp * 3389
ip filter 62 pass * 192.168.0.1 udp * 3389
ip filter 98 reject * * * *
〜
nat descriptor masquerade static 1 61 192.168.0.1 tcp 3389
nat descriptor masquerade static 1 62 192.168.0.1 udp 3389

こうなって、>>4の例にならって動的フィルタにしたら

ip pp secure filter in 61 62 98 dynamic
〜
ip filter 61 pass * 192.168.0.1 tcpflag=0x0002/0x00 * 3389
ip filter 62 pass * 192.168.0.1 udp * 3389
ip filter 98 reject * * * *
〜
ip filter dynamic 61 * 192.168.0.1 filter 61 out 62
〜
nat descriptor masquerade static 1 61 192.168.0.1 tcp 3389

こんな感じになるじゃないですか。

で、この状態で>>9みたいにポート番号を変えたいとして

nat descriptor masquerade static 1 61 192.168.0.1 tcp 53389=3389

とかやっても、動的に作られるUDPのNATの方はポート番号の変換までは追従出来ないですよね？
2021/10/08(金) 09:12:58.22ID:KKGpf9BP
>>13
そういうのはIPS/IDSの分野
一応YAMAHAルータにも載ってるね
2021/10/08(金) 09:23:09.84ID:Q2bbbveH
ごめん、記述ミスがあったのでもっかい。
2021/10/08(金) 09:24:29.93ID:Q2bbbveH
例えばLAN内サーバ(192.168.0.1)のRDPをTCP/UDP両方で公開する場合、静的フィルタなら

ip pp secure filter in 61 62 98
〜
ip filter 61 pass * 192.168.0.1 tcp * 3389
ip filter 62 pass * 192.168.0.1 udp * 3389
ip filter 98 reject * * * *
〜
nat descriptor masquerade static 1 61 192.168.0.1 tcp 3389
nat descriptor masquerade static 1 62 192.168.0.1 udp 3389

こうなって、>>4の例にならって動的フィルタにしたら

ip pp secure filter in 61 98 dynamic 61
〜
ip filter 61 pass * 192.168.0.1 tcpflag=0x0002/0x00 * 3389
ip filter 62 pass * 192.168.0.1 udp * 3389
ip filter 98 reject * * * *
〜
ip filter dynamic 61 * 192.168.0.1 filter 61 out 62
〜
nat descriptor masquerade static 1 61 192.168.0.1 tcp 3389

こんな感じになるじゃないですか。

で、この状態で>>9みたいにポート番号を変えたいとして

nat descriptor masquerade static 1 61 192.168.0.1 tcp 53389=3389

とかやっても、動的に作られるUDPのNATの方はポート番号の変換までは追従出来ないですよね？
2021/10/08(金) 09:31:23.00ID:5yRihaa4
>>18
動的に生成されるNATにポート変換させるのは無理だと思う。

つか例えがデンジャラス。
2021/10/08(金) 09:45:55.67ID:YExXMOX1
IDS……
FWS120の後継って結局出ないなぁ。
2021/10/08(金) 11:49:25.28ID:zHvHCuFL
>>18
一応聞くけど、何のためにそんなことをするの？
2021/10/08(金) 12:30:01.33ID:i8/Rg0Cb
>>21
RDPはあくまで例であって、本当にRDPを外に公開したい訳ではないですヨ。

現在似たような構成でTCP/UDP共にポートを変えて公開しているサービスがあって、nat descriptorを二つ並べて書いているんですが、片方を動的に出来るならしたいと思ったけど無理っぽいね？という話でした。
2021/10/08(金) 12:42:37.08ID:zHvHCuFL
>>22
多分「動的」の意味が違うのを気づいてなくて、おかしな話をしているように思う。
2021/10/08(金) 12:42:46.17ID:UW7HUGwJ
ま、RDPはRTXにVPNで入ってから、
が普通だからな
2021/10/08(金) 12:49:37.71ID:i8/Rg0Cb
>>23
ありゃ、何か変な勘違いをしているでしょうか。
動的フィルタリングを使うと、必要に応じてNATも動的に生成される(上の例だとUDP3389)という理解なんですが。
2021/10/08(金) 13:02:54.73ID:C4r5lMIw
NVR510の後継ﾏﾀﾞｰ

10GbE対応
SIPサーバー対応

実現して欲しい。
2021/10/08(金) 13:06:10.19ID:KKGpf9BP
>>20
そういうのはUTX100/200になるな
コスパ激悪だが
2021/10/08(金) 13:12:21.85ID:zHvHCuFL
>>25
省力化したいという目的はどこ行った？
2021/10/08(金) 13:15:15.61ID:zAjZu78X
>>27
ちょっと個人で気軽に買える代物じゃないねぇ・・・
2021/10/08(金) 13:19:18.86ID:i8/Rg0Cb
>>28
省力化？
何の省力化の話だろう、誰の他の方と勘違いしてる？
2021/10/08(金) 13:28:09.50ID:Q2bbbveH
>>9-10
SSH(TCP22)を使うメンバーはごく限られているので、ポート解放はやめてVPN(L2TP/IPSec)越しのみに変更しました。
2021/10/08(金) 14:22:03.47ID:qwHmSpMS
>>4
PPTPが現役の時代の話だけど、昔こんな書き方でダイナミックフィルター使ってたの思い出したわ。

ip pp secure filter in 101 498 dynamic 11
ip filter 101 pass * △.△.△.△ tcpflag=0x0002/0x0017 * 1723
ip filter 102 psss * △.△.△.△ gre
ip filter 498 reject * * * * *
ip filter dynamic 11 filter 101 out 102
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 △.△.△.△ tcp 1723

ダイナミックフィルターはTCPフラグの影響受けてなかったし、GREはIPマスカレード勝手にやってくれてたよ。
2021/10/08(金) 15:37:09.07ID:oEdxiLwr
PPTP、今となっては色々アレだが使い勝手が良かったので結構お世話になったよな。
2021/10/08(金) 19:36:29.94ID:KKGpf9BP
>>33
L2TPはWindowsだとYMS-VPN8使うかレジストリ変更しないとNATトラバーサル使えないしな
結構不便
2021/10/08(金) 19:39:17.58ID:KKGpf9BP
>>29
ご時世的にファイアウォールルータ用途はUTMじゃないと生き残れない
世知辛いのよ
2021/10/08(金) 20:25:45.62ID:mgwWeu+g
>>18
動的に作られるIPマスカレードはあくまでダイナミックフィルタの設定に準じてて、nat descriptorは何も見てない筈だからポート番号の変換は無理な筈。
自分だったらサーバ自体のポートを変えるかな。
2021/10/08(金) 21:22:05.10ID:dz1fhqfw
>>34
NAT-TはIPSecに関わるものの呪縛……Windowsさんはなんでデフォルトでオフに変えちゃったんだろね。

ああ、RTXもWireGuardに対応したりしないのかしら。
2021/10/09(土) 00:05:46.76ID:L8orrbku
ネットボランチDNSを使っている既設ルータを新しいものに置き換える予定なのですが。
可能ならなんとかホストアドレスを引き継ぎたいのですが、これはもう運任せで、必殺技みたいな物はないのでしょうか。
2021/10/09(土) 00:10:40.47ID:hO3Fwvjo
>>38
前のルータで登録削除
ですぐに新ルータで登録

それでいけた
2021/10/09(土) 00:30:28.75ID:L8orrbku
>>39
ありがとうございます、一か八かトライしてみます。
2021/10/09(土) 03:40:31.04ID:8H6hkFge
>>40
何回もやってるが基本行ける
ルータ開発者の方のブログでもホスト名引き継ぎについて書かれてるから大丈夫

なお途中のホスト名の後の識別名がaa0なら一回で行ける
aa1以降の場合は登録処理を2回以上やって対応する必要があることもある
2021/10/09(土) 08:49:44.01ID:CLszWT/V
>>41
やってみたところ、既設ルータの識別名はaa5だったのですが新設ルータはaa0になってしまいました。
登録処理を2回以上というのは、新設ルータで削除と登録を繰り返すという事でしょうか
2021/10/09(土) 10:44:20.50ID:8H6hkFge
>>42
新設ルータで削除せずに登録を繰り返す
Webでできなければコマンドで登録
aa5が取れたらコンフィグを保存
aa5以外を登録解除する
その際にaa5はNetvolanteDNSサーバ側の登録は残ってるのにコンフィグはないという状態になったらその部分のコマンドを足してあげる

説明足りないけどこんなところ
2021/10/09(土) 11:14:34.95ID:CLszWT/V
>>43
丁寧な説明ありがとうございます、無事同じホストアドレスを割り当てる事が出来ました。
一台のルータでサーバ側に複数登録出来る仕組みを理解していませんでしたが、なるほどですねー。

これってアレですね、既設ルータが故障で交換とかの場合だと削除操作が出来ないので、ホストアドレスは永久欠番状態で引き継ぐ事は出来ないですよね。
当たり前っちゃ当たり前か。
2021/10/09(土) 12:26:12.76ID:8H6hkFge
>>44
拙い説明で理解してくれて助かる

故障するとホスト名を引き継げないのはシステム的な欠点
あとフレッツのIPoEでは現状のファームウェアでは対応出来ない問題もある
この辺の問題への対策をYAMAHAがやってくれるのか不透明なのよね
2021/10/09(土) 13:03:48.06ID:Ar1Fx1Yb
>>44
ヤマハのサポートに壊れたからDDNS削除してくれって連絡すれば削除してもらえることもあるらしいが端末の紐付けされてたIFとかシリアルとかMACアドレスを連絡しないといけないとは聞いたことある
やったことないからわからんけど
2021/10/09(土) 13:25:57.85ID:8H6hkFge
>>46
その辺、やったことある人の話が欲しいな

ちなみにYAMAHAのシリアルとMACアドレスはconfig情報に一緒に入ってるから調べるのは楽
2021/10/09(土) 14:03:24.73ID:xmkwwWTd
ヤマハルーターのnetvolante-dnsの引っ越し(前編)-ルーター交換(2)
ttps://blog.goo.ne.jp/takuminews/e/c35f880cda4153077418ddf624a5e3ca

後編が見つからない…
2021/10/09(土) 17:13:31.61ID:gu8lfI8k
コマンド実行例が準備できなかったか。
50sage
垢版 |
2021/10/09(土) 18:23:45.54ID:tA1pGQlF
NVR510 PPPoEパススルー設定済
　　|
RTX830 ネットボランチ設定　ipv4
ipv4はPPPoEで、動的グローバルip取得済み

という構成をしたいのだけど、
ネットボランチのサーバ登録で失敗します。
どなたか教えていただけると助かります。
2021/10/09(土) 18:32:29.38ID:UE7MdLQC
>>32
たとえばこういうL2TP/IPSecのテンプレート的な設定も、ダイナミックフィルタを使えば同じようによりセキュアに出来るんじゃね。

ip pp secure filter in 101 102 103 104
ip filter 101 pass * xxx.xxx.xxx.xxx udp * 500
ip filter 102 pass * xxx.xxx.xxx.xxx esp * *
ip filter 103 pass * xxx.xxx.xxx.xxx udp * 4500
ip filter 104 pass * xxx.xxx.xxx.xxx udp * 1701
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 11 xxx.xxx.xxx.xxx udp 500
nat descriptor masquerade static 1 12 xxx.xxx.xxx.xxx esp
nat descriptor masquerade static 1 13 xxx.xxx.xxx.xxx udp 4500
ipsec transport 1 1 udp 1701
2021/10/09(土) 18:47:06.73ID:YHz1dzB9
>>50
IPoEのトンネルインターフェースにネットボランチDNSが割り当てられない問題かな。
(現行のファームウェアでは無理)
ここの記事とか参考にどうぞ。
ttps://okwave.jp/qa/q9755167.html
2021/10/09(土) 19:03:13.09ID:hO3Fwvjo
>>50
ココ見て。
http://www.rtpro.yamaha.co.jp/RT/FAQ/NetVolanteDNS/netvolante-dns-trouble.html

まず、これ見てから。
それからWeb GUIでやるといい。ダメな時はエラーメッセージが出るから。

わかりやすいWeb GUIで初心者にもやさしいネットボランチDNSサービス設定
https://network.yamaha.com/knowledge/netvolantedns
54sage
垢版 |
2021/10/09(土) 19:38:25.71ID:ori2bg92
>>52,53
50です。
ありがとうございます。
ひとまず、一つ一つ再確認します。
2021/10/09(土) 21:10:00.08ID:UE7MdLQC
>>32
ここでの例に倣うとこんな感じだろうか…やりすぎ？
でもこれだと1701ポートまでIPマスカレードされて(不要)気持ち悪いか？

ip pp secure filter in 101 dynamic 11
ip filter 101 pass * xxx.xxx.xxx.xxx udp * 500
ip filter 102 pass * xxx.xxx.xxx.xxx esp * *
ip filter 103 pass * xxx.xxx.xxx.xxx udp * 4500
ip filter 104 pass * xxx.xxx.xxx.xxx udp * 1701
ip filter dynamic 11 filter 101 out 102 103 104
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 11 xxx.xxx.xxx.xxx udp 500
ipsec transport 1 1 udp 1701

UDPってTCPフラグみたいのが無いからTCPよりはメリット薄い感じもするね
2021/10/09(土) 21:11:04.73ID:UE7MdLQC
間違えた。>>51への自己レスね。
2021/10/09(土) 21:23:45.77ID:hO3Fwvjo
>>55
これさ
ip filter 101 pass * xxx.xxx.xxx.xxx udp * 500,1701,4500

ってできるんじゃない？
2021/10/09(土) 21:34:47.78ID:8H6hkFge
>>51
動的フィルターは一定時間通信流れないとコネクション終了する
それで問題出る可能性考えればリスキーだな
2021/10/09(土) 21:47:44.81ID:UE7MdLQC
>>57
あっ、静的に最初から全部開ける場合ならそれで良さそうですね。

>>58
あそっか、それを考えたら動的フィルタでセットにできるのはUDP500とESPだけってところですね。
2021/10/09(土) 23:40:57.87ID:UE7MdLQC
>>59
とりあえずこんな感じにしましたが動いてる模様です。

ip pp secure filter in 101 103 dynamic 1
ip filter 101 pass * xxx.xxx.xxx.xxx udp * 500
ip filter 102 pass * xxx.xxx.xxx.xxx esp * *
ip filter 103 pass * xxx.xxx.xxx.xxx udp * 1701,4500
ip filter dynamic 1 filter 101 out 102
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 11 xxx.xxx.xxx.xxx udp 500
nat descriptor masquerade static 1 13 xxx.xxx.xxx.xxx udp 4500
ipsec transport 1 1 udp 1701
2021/10/10(日) 02:05:53.29ID:oW46F3nY
>>60
UDPの1７０１ポートをIPマスカレードしないでもよい理由が未だに良くわかってない私。
2021/10/10(日) 15:08:14.26ID:oW46F3nY
tunnel template ってコマンドの存在を今頃になって初めて知ったわ。
今までトンネルの数だけずらずらtunnel設定を並べた長ったらしいコンフィグが短くなって気持ちいい。
2021/10/11(月) 01:14:12.63ID:hzePrMEK
ルータをVPNサーバ側ではなく、VPNクライアント側として外部のVPNサービスに接続するような使い方は今でも不可能なのでしょうか？
2021/10/11(月) 02:31:07.27ID:jgQwU1mV
可能です
2021/10/11(月) 03:14:25.79ID:hzePrMEK
>>64
そうなのですね。
L2TP/IPSecで外部のサーバにリモートVPN接続したいのですが、情報が見つけられません。
2021/10/11(月) 06:58:42.10ID:XHh7FFB/
>>65
難しく考えすぎ。

単に、拠点間VPNの片側が「外部のサーバー」なだけ。
例は公式でもいろいろある。
https://network.yamaha.com/setting/router_firewall/vpn
2021/10/11(月) 07:29:45.76ID:3nONcqA1
>>65
L2TP/IPsecはサーバーとしてしか動作しないよ
だから無理
2021/10/11(月) 07:45:59.64ID:6AOacCQU
>>65
騙されてるよ。
RTXはリモートVPN（L2TP/IPSえｃ）のリモート側になる機能は持ってません。
2021/10/11(月) 08:59:04.77ID:/q+WjeRx
>>66
拠点間VPNとリモートアクセスVPNの違いが分かってないでしょ。
2021/10/11(月) 14:28:08.43ID:hzePrMEK
>>67-68
ご回答ありがとうございます。
そういうのがやりたかったら他社の対応ルータを使うしかなさそうですね。
2021/10/11(月) 14:46:05.34ID:7blODfa4
品薄解消まだぁ？
72不明なデバイスさん
垢版 |
2021/10/11(月) 19:13:55.54ID:9N2Eivmp
>>70
他社でそんなのできるのある？
2021/10/11(月) 19:56:17.35ID:tbhaz2P0
Softetherの拠点間接続無し設定のサーバーみたいなとこにクライアントとして接続したいってことか
それこそSoftetherインストールしたOpenwrtとかでもなければできないんじゃないだろうか
2021/10/11(月) 19:58:55.70ID:hzePrMEK
>>72
L2TP/IPSecではありませんが知っている奴としては、GL.NetのルータがWireGuardクライアントの機能を持っていて、AzurevpnやMullvad等のVPNサービスに接続出来るようです。
2021/10/11(月) 22:25:45.32ID:+sgERGni
>>72-74
VPNクライアント機能というもの自体はBuffaloとPlanexの安ルータでも以前からできるやつは出来たんだよね。
最近はどうなのかな。

https://www.cup.com/staticip/support/2014/03/vpn%E3%82%AF%E3%83%A9%E3%82%A4%E3%82%A2%E3%83%B3%E3%83%88%E6%A9%9F%E8%83%BD%E4%BB%98%E3%81%8D%E3%83%AB%E3%83%BC%E3%82%BF%E3%83%BC%E3%81%A7%E6%8E%A5%E7%B6%9A%E3%81%97%E3%81%A6%E3%81%BF%E3%81%9F/

https://www.planex.co.jp/products/vpn-41fe/
2021/10/12(火) 00:55:39.57ID:Vjyq22Oc
そういう用途ならOpenVPNかWireguardが使いやすいし無理にRTX使わなくてもRasPi/NanoPiでいいんじゃない
2021/10/12(火) 02:26:27.41ID:Odn46CcK
でもお高いんでしょ？
2021/10/12(火) 03:40:48.94ID:YPC3dDV1
VPNクライアントならわざわざ回線接続してるルータにさせんでもって思う
2021/10/12(火) 07:35:37.84ID:U55Mlx8g
動的フィルタって基本的には中から外に対して使うものだと思ってた
外から中に使うのってメリット薄くね？
2021/10/12(火) 09:17:07.81ID:l2slrpRT
>>79
中のノードは信用できる前提で

・中→外方向の動的フィルタ
外→中方向は普段は閉じておく事ができる（コネクションの戻りパケットだけ一時的に通す）

・外→中方向の動的フィルタ
TCPの場合、外→中方向は普段はSynフラグが立っている物だけ通すように制限できる
連動させるコネクションがある場合、そのコネクション用のポートは普段は閉じておく事ができる（静的IPマスカレードも不要）

UDPでかつ連動させるコネクションも特に無い場合なら、外→中方向はあまり意味ないかもね
2021/10/12(火) 13:08:33.01ID:zdZ0N3OE
外→中の動的フィルタつかって、私は、ssh 受けるポートを開けてます。
インターネットからssh使いたいとき、自分が仕掛けて自分だけが知ってるポート番号を複数、一定時間内に順番にUDPで叩くと、sshポートが開くようにしました。
2021/10/12(火) 14:14:18.37ID:U55Mlx8g
>>81
おおっ、なるほど、ちょっと目から鱗が落ちた、頭いいなぁ
だけど動的フィルタを多段で開けるのってどうやってるんだろう
ルータだけでやってる訳ではない？

>>80
連動させて開けたいポートがある場合は有効そうですね
TCPフラグ見てSynだけ通す奴は、最初のパケットは普通Synフラグが立ってる訳だから、あんまり意味がないような気も・・・
2021/10/12(火) 22:43:11.74ID:jskKEhg5
>>81
よいアイディアだと思ったので真似させて頂きました
と言っても自分のスキルでは順番に叩いたらとかやり方が出来なかったので、
特殊なTCPフラグの立て方をしたパケットを特定ポートに投げて、TCPフラグが完全に一致していれば開くようにしてみました
こんなんでも安心度は全然違う気がしますね
2021/10/13(水) 01:55:11.23ID:a7InS+5b
みんなスキル高いなー結婚して
2021/10/13(水) 09:25:57.75ID:Bm1LSQQt
>>82-83
あ、>>81です。
確認したら「複数」を「順番」ではなく、ただのUDPを１個でした。
記憶が、昔作った当時の願望の形のまま残ってたようです。

>>82
なるほど、UDPパケット受けるサーバーを中に置いて、内→外トリガーも使えば可能になりそうですね。パケットの中身も吟味するとかなり安心。

>>83
おお、ただのUDPより安心ですね。
2021/10/13(水) 11:14:02.32ID:H6yHXe95
ダイナミックフィルタ検証してみたけどトリガの通信終了すると関連フィルタもすぐ閉じるね
クライアント側でトリガー通信にキープアライブでも入れとかないと関連フィルターが意図せず閉じて使いにくい
そういう理由でやりたい人は注意ね
2021/10/13(水) 19:48:34.18ID:cuK2Q0wV
>>86
私も試してるんだけど、トリガが通信終了しても関連コネクションの方は切れずにずっと通信できてるよ
一度でも通信終了しちゃうと次の瞬間にはもう繋がらないけどね
ちょっと不思議なのは、show ip connectionを見ると確かに関連コネクションも時間が経つと消えてしまうんだけど、
通信は継続出来てる事なんだよね
2021/10/13(水) 23:26:12.17ID:PMNwY/08
>>87
そういう動きになるのが正しい場合もある。
2021/10/14(木) 01:17:40.27ID:HW4iz964
ここを見てダイナミックフィルタを真似てみたけど、トリガーの通信維持は頑張らなくても特に問題なく使えてるようです(SSH)。
この仕組み、ブルートフォースアタックにも結構有用そうでいいですね。
2021/10/14(木) 13:30:05.99ID:gp7F/Z25
>>83
好きなTCPフラグでパケットが投げられるなら、
わざわざ別のポートを叩かなくてももっとシンプルに例えばこんな感じでも良さそう。

ip pp secure filter in 101 498 dynamic 11
ip filter 101 pass * △.△.△.△ tcpflag=0x002c/0x003f * 22
ip filter 498 reject * * * * *
ip filter dynamic 11 filter 101
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 △.△.△.△ tcp 22222=22

上の例では、TCP22222にURG+PSH+RSTのフラグを立てたパケットを最初に投げて開けゴマしたあと
同じくTCP22222で普通のSSH通信を開始する感じ。
あんまり変なTCPフラグの立て方をすると機種によっては侵入検知に引っかかりそうだけど。
2021/10/14(木) 17:50:45.71ID:Riv6hPLq
tcpflugのコマンド観てて思ったんだが
ひょっとしてTCPフラグより上位ビットの予約領域もチェックできるんじゃね？
2021/10/15(金) 00:11:41.06ID:1vbokp8A
>>91
正解。
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.04.02/relnote_04_02_07.txt
2021/10/15(金) 02:45:23.61ID:uddF3xbM
>>92
おお、2バイトまるまるチェックできるんですね

(パケット作るのが面倒なので実験する気はないですが・・・)
2021/10/15(金) 14:01:08.59ID:b9SzinDN
tcpflagで16bit完全一致したら通るようにしてみましたが普通に出来ました
安心感すごいw
2021/10/15(金) 22:57:26.12ID:4QeBVimZ
メルカリでRTX買って勉強しようか迷う
2021/10/15(金) 23:22:45.63ID:065ugjcw
良いと思う

（というか、ここには良いと思う人しかいない）
2021/10/16(土) 01:03:29.17ID:IMpd0XyZ
いまお勉強用に安くヤマハルータ買おうと思ったらどの辺がいいのかね
RTX1200とかRTX810あたりか
2021/10/16(土) 01:08:02.79ID:w8Y/DuVT
勉強目的ならSEIL/x86などのソフトウェアルータを、仮想マシンで動かしてたもしてみるのも良いと思う。
自分は、SEIL/x86で動かしてたのを、専用ハードは欲しくてRTX830を買いました。
2021/10/16(土) 05:03:15.51ID:RTp+7ENo
>>97
RTX810のが小さくて使いやすいよ、RTX1200でもいいけどちょいデカい
お安い方でどうぞ
ただフレッツのV6プラス等に対応しないから注意
100sage
垢版 |
2021/10/16(土) 12:40:59.73ID:clbwV5qh
勉強用に買うなら、
現行新品で良いと思うけどね。
もし、壊れていたりしたら、
正常なのかすら分からないでしょうからね。

費用が無いなら、
しょーがない。旧品の中古だね。
2021/10/16(土) 14:43:31.98ID:IMpd0XyZ
みなさん情報ありがとうございます。
今は安く済ませたいのでRTX810二個セットぽちりました。
2021/10/16(土) 15:41:53.12ID:RTp+7ENo
>>100
RTX830とRTX810中古品だと価格差が10倍以上あるじゃん
2021/10/16(土) 15:53:07.85ID:rNV4iF/j
今更RTX810やら1200やら買っても1番複雑なフレッツIPoE系の実データ取れないしあまり意味がなさそう
まだIX2105の方が役に立つかも
2021/10/16(土) 16:15:38.63ID:6DCxRSZk
RTX1210/RTX830世代に出来てRTX1200/RTX810世代に出来ない事って具体的に何々あるんだろう
2021/10/16(土) 16:37:52.75ID:vEy4v2gG
よくあるIPv6のプレフィックスが半固定のインターネット回線で、RTX830でIPv6のフィルタを設定したいのですが、IPアドレスをどう指定したら良いでしょうか。
lan1のprefixの::1とか指定したいのですが無理のようですし、MACアドレスで指定できるルータもあるようですが無理のようですし。
2021/10/16(土) 17:12:08.66ID:18y1C625
>>104
目立つ機能だとMAP-E
細かいのだとsshでの公開鍵認証とかEMFS(だったっけ？)とか、
あと確かschedule atでの相対時間指定とか結構色々あったはず
2021/10/16(土) 18:04:37.09ID:MAlNw/14
RTX830使い始めて、追加でRTX1200の中古買ったらちょくちょく使えない機能があってつらかった
FQDN フィルターとか使えないよね
2021/10/16(土) 18:21:38.42ID:+mL/Dg3F
FQDNでルーティングしたい
2021/10/16(土) 19:35:37.05ID:18y1C625
RTX810だとFQDNフィルター使えたけどね
*.5ch.netへのアクセスをモバイル回線に振り分ける、とかやってた

RTX1200と810とか世代的には近いけど微妙に仕様が違うのがややこしい
110sage
垢版 |
2021/10/16(土) 19:46:37.89ID:clbwV5qh
>>102
価格差があるのは当たり前だけど。
何か？

触れるなら新しいモノで勉強して、
不要になれば手放せば良い。と考えています。

価格が高いときに手放せば、
大した費用になら無いと思うし、
気に入れば、そのまま使うし。

予算から決めれば良いことでしょ。
2021/10/16(土) 20:10:18.84ID:DQpQZMbu
何が？
2021/10/16(土) 20:15:59.89ID:Qwswppud
ヤマハルータが好きな物同志、もっとなかよくやろう
2021/10/16(土) 20:21:59.97ID:5mgPkUiq
>>104
PPPoEパススルーは現行機種じゃないと出来なかった気がする
2021/10/16(土) 23:00:02.23ID:rwa3MA3n
cisco819fjの方がいいかも
2021/10/17(日) 09:57:14.20ID:ywcf1G7y
高いっす
2021/10/17(日) 10:36:12.44ID:njK+uWLs
>>105
何をもって無理って言っているのかわからん。
2021/10/17(日) 11:32:35.95ID:y9tyYs4b
>>105
LANインターフェース自体のプリフィクス指定は現時点見つからない
ただra-prefix@lan2::/64等の表記は出来るからそれで設定する

IPv6だと1つのインターフェースに複数プリフィクスがあるからインターフェース指定は難しいんだろうね
2021/10/18(月) 20:11:10.17ID:p2pmj/PU
RTX810で無理やりIPoEしてみてるんだけど、natテーブルが溜まってくると通信が不安定になってしまう・・・
2021/10/18(月) 23:16:13.66ID:iA+jSSzu
>>118
IPoEは送信元ポートが少ない、例えばV6プラスだと240個しかない
RTX830等のNATには送信元ポートを節約するポートセービングNATという技術が採用されてる
それで家庭向けならどうにかなると思うけど業務使用は厳しそう
2021/10/19(火) 21:05:46.96ID:/vQ9bg0c
ポートセービングなnatって最近のルータではどこでもトレンドになってるものなのかな
2021/10/19(火) 21:43:10.14ID:RCrfEoQt
>>120
トレンドと言うかMAP-Eに対応してるならport saving NAPTには対応してるはずよ
してなきゃ実用にならないから
ただ一般向けの商品ならv6プラス対応(あるいはMAP-E対応)を謳うので、ポートセービング云々とかは書かれない
2021/10/19(火) 23:04:38.65ID:lUWLJD24
MAP-EとかよりIPoE固定IPプランをLuaスクリプト無しで対応できるのようにアップデートするのは何時なんだろうね
ポートセービングNATあっても業務用途じゃMAP-Eなんて怖くて使えないんだからポート全部使える固定IPプランはしっかり対応してほしいところ
2021/10/19(火) 23:08:29.26ID:ntAeB65d
>>119
MAP-Eの場合は、ポートセービングIPマスカレードの可否もある上に
RTX810ではまともに使えるポート範囲の個数が2個までというのも厳しい

たとえばv6プラスだと、240ポートの割当があるのに
RTX810でやろうとすると範囲1個につき16ポート ×2個で32ポートまでしかまともには使えない

NATディスクリプタを複数使うことでポート範囲の個数を増やすという方法もあるにはあるが
先に指定した方のNATディスクリプタがいっぱいになる → 後に指定した方のNATディスクリプタでNATセッションを開始する
となった後に、先に指定した方のディスクリプタに空きができると
後の方のNATディスクリプタでNAPTすべき通信に対して、先にある空きのところで新たに別のNATセッションを開始してしまう
ということが起こるので、これもやはり実用には厳しい
2021/10/19(火) 23:11:56.54ID:zhuBEAlG
>>122
ヤマハ側の都合じゃなくてNTT側フレッツの仕様都合だからどうしようもない
それに別にスクリプトなしでも使えるけど障害とかでIPv6プレフィックスが変わった時に
手動でIPIPトンネル修正する手間がかかるぞ
2021/10/19(火) 23:28:05.18ID:JWKktcKk
>>124
某氏曰く、先日のJPNE障害の際、IPv6プレフィックスが変わったとのこと。
2021/10/19(火) 23:33:18.78ID:JWKktcKk
>>122
Luaスクリプトが行っている部分の必要な部分だけ抜き出すと、他メーカーのDDNS更新とかで使用している機能があればよいことになるが、
それだとYAMAHAが自社提供しているDDNSを使ってくれなくなる可能性があるため、たぶんそんな機能は実装することはないんじゃないかな。
2021/10/19(火) 23:55:18.10ID:lUWLJD24
>>126
それでDDNS対応しないのはいいがLuaスクリプトも勝手に止まったりするしIPoEの固定IP系はYAMAHAはまともに使えない
DDNS更新しない運用もv6プリフィクス変わったらアウト
これはIPoE固定IPプラン対応ではNEC IXやら古河移行も検討されるような状況で自社DDNSを守るとかいう甘いもんじゃない
2021/10/19(火) 23:59:00.79ID:wYuztdlh
over v4自体、過渡期だけだからヨシっていう算段では
2021/10/20(水) 00:52:58.10ID:+6KdDLza
>>127
うちは普通に動いてるが。
設定例のスクリプトはアナウンスないけど、安定性向上も兼ねてアップデートたまにしてる。
2021/10/20(水) 09:58:47.69ID:/wnw7+6w
>>127
Luaスクリプトが勝手に止まる？？
どんなスクリプト書いてるんだよ
2021/10/20(水) 10:11:55.71ID:dycGneFX
Luaで内部ストレージに頻繁に書き込む動作させるとフラッシュメモリがすぐ終わる
とヤマハの中の人が書いていたのが記憶にあるんだが
修理が必要なレベルで終わりかかっている悪寒
2021/10/20(水) 11:15:34.16ID:AeYTziPL
スクリプトで実現できてるものを本体側でやる理由がないと思う
2021/10/20(水) 11:28:04.26ID:4Z1GWLa1
>>132
はあ？
メール通知とかいちいちスクリプト書いてられるかよ
2021/10/20(水) 12:51:39.89ID:VuBLsYnD
ネットワーク屋にはマクロレベルのものも得意でない人もいると聞いたけど、そっち側の人なのかな。
2021/10/20(水) 13:08:17.66ID:wtM/zKGe
GUIから設定したら完璧な物が勝手にくっついてくれる物をちゃんと動かないとか言われてもなあ
2021/10/20(水) 18:41:10.43ID:/wnw7+6w
扱いが多少面倒な方が仕事の種になるので逆にありがたい、という不純な気持ちは確かにある
2021/10/20(水) 18:45:53.83ID:FVVru47r
ここってどちらかというと初心者用のスレだよね
2021/10/20(水) 18:59:43.39ID:+NS5/UpG
>>137
スクリプトが使える機器を好き好んで使っているので、初心者がどうとか言うのは違うと思う。
2021/10/20(水) 19:41:12.21ID:FVVru47r
あ、いや、個人使用者がメインにスレなのに、ネットワーク屋がどうこうとか言い出すから
2021/10/20(水) 19:51:12.79ID:D5LjZ3II
>>139
この話の発端は122。
2021/10/20(水) 23:55:23.80ID:g4sXihwW
個人使用者に対してエセシステム屋がマウントとるスレ
2021/10/21(木) 00:01:16.77ID:x8pC8gyI
スクリプトが面倒だというのもエセシステム屋。
2021/10/21(木) 00:05:57.24ID:u+QusmHb
YAMAHAルータ使ってたってコンフィグやスクリプトを書きたくない人はいるのだよ
2021/10/21(木) 00:07:15.55ID:x8pC8gyI
わからんでもないが、止まるというのを放置しているのはプロとしてどうかと。
2021/10/21(木) 08:11:32.12ID:Lam7U3vL
プロ？
2021/10/23(土) 06:02:02.94ID:y46Rn2Fc
個人で使うスレだったと思うんだけど
そりゃ本業さんも居いるとは思うけどさ
2021/10/23(土) 07:11:41.27ID:fWHJ0ZYz
そもそも業務用ルーターなんて
UI操作使うなって言われるレベルなのが前提としてあるからなあ
148不明なデバイスさん
垢版 |
2021/10/23(土) 07:33:18.30ID:gE1dqcwB
個人であろうと業務用ルーター使い始めたら初心者でもプロ
そういう意識持ってやらないと難しいって意味なのかなって捉えた
2021/10/23(土) 07:45:38.26ID:nkq6V7B2
アマだろ。プロではないな
2021/10/23(土) 07:46:23.13ID:pyLXJrRm
YAMAHAルータって現行機種はもう全て業務用って扱いになってるの？
2021/10/23(土) 07:47:05.72ID:pyLXJrRm
スレ間違えました
2021/10/25(月) 11:26:55.60ID:KZPfcF/k
会社が持っていたSWX2210-16Gを使って社内ネットワークを組もうとしています。
5フロアあり、フロアを2つにネットワーク分離をしたい。
そしてお互いのネットワークは遮断するが、
インターネットは開通させたい。
これってマルチプルVLANでできますか？

Port1をグループ1。※ルータと接続。
Port2-8をグループ2。※フロア1-4で使用。
Port9-16をグループ3。※フロア5で使用。
※フロア1-4とフロア5でネットワークを分離。

Port2-8、及びPort9-16にPort1をを足してやれば、
フロア1-4とフロア5でネットができて社内ネットワークは分離できますか？
2021/10/25(月) 11:49:28.63ID:E0LzXoQl
>>152
マルチプルVLANでもタグVLANでも出来ますね
2021/10/25(月) 12:05:28.10ID:E0LzXoQl
Port2-8をグループ1、Port9-16をグループ2として、
マルチプルVLANならPort1をグループ1とグループ2の両方に所属、
タグVLANならPort1をタグポートにするイメージ
155152
垢版 |
2021/10/25(月) 15:43:17.49ID:KZPfcF/k
ありがとうございます。
2021/10/25(月) 20:46:16.54ID:S1OnP4zw
後々のこと考えるとタグ付推奨
マルチプルだとHUB間接続が面倒
2021/10/25(月) 22:38:41.55ID:vfFYtqMR
NVR510のダッシュボードにあるプロバイダー接続履歴ってclearできますか？
停電で切断（異常）の表示になってものすごく目障り・・・
2021/10/25(月) 22:50:20.73ID:S1OnP4zw
>>157
CONFIGファイルの管理 から CONFIGをエクスポートして
インポートしたら消せる(要するに初期化だね)
それ以外に消す方法は無いと思う
2021/10/26(火) 05:10:54.14ID:ctqm6OaY
>>5
接続元のIPが動的な場合、IPで接続元を制限することは通常難しいですけど、
接続元IPをあらかじめDDNSに登録しておけば、URLフィルタリングを使う事によって
制限する事が出来るのかな
2021/10/26(火) 07:11:58.19ID:yfPrZJ6A
>>159
URLフィルタじゃくてFQDNフィルタね
RX810以降の世代なら出来る
(RTX1200はNG)
161不明なデバイスさん
垢版 |
2021/10/26(火) 18:05:40.97ID:9WBZvHZO
>>158
ありがとうございます。消えました。
2021/10/26(火) 20:30:31.61ID:NLhO/6s/
ど素人な質問なんだけど
LANのエラーカウンタがカウントアップしています
って何？
何が原因で起きてるのかさっぱり分からん
2021/10/26(火) 21:07:56.01ID:KciZ0IRa
>>160
FQDNフィルタってどのタイミングでDNSを参照して情報を更新するんだろう
定期的に自動更新してるのか、何かがトリガーとなって更新するタイミングがあるのか
164不明なデバイスさん
垢版 |
2021/10/26(火) 21:14:35.49ID:STLHfrBE
>>162
パケットオーバーフローが発生してるから表示される
無視してOK
2021/10/26(火) 22:05:12.80ID:4jPY4lq4
>>160
FQDNを使用する場合、ルーター自身がDNSリカーシブサーバーとして動作し、ルータ配下の端末は、DNSサーバーとして本機を指定する必要がある。
となってることからすると、定期的な更新などではなく、リカーシブサーバー機能のキャッシュを使ってるのでは
2021/10/26(火) 22:16:16.67ID:GdNfb1Vv
>>163
最初に名前解決した時点からキャッシュがタイムアウトするまで有効
ただし一つの名前に複数のIPアドレスを持ってる場合意図したとおりに動かない場合がある
2021/10/26(火) 22:44:11.87ID:Xk5auZjh
>>166
逆だと思う。
・１つのFQDNに対して複数の固定IPアドレスを持つサーバーを対象にしたルーティング制御を行うことができます。
・1つのIPアドレスに対して複数のFQDNがある場合に注意が必要です。
2021/10/26(火) 22:48:50.64ID:KciZ0IRa
>>165-166
中から外方向だと送信元ノードが送信先をDNSリカーシブサーバに問い合わせた段階で
最新情報がキャッシュされてその情報を参照されると思うのですが
外から中方向だとDNSリカーシブサーバに問い合わせるノードが存在しないので
情報がキャッシュされず使えない気がするんですが、どうなんでしょう

>>159-160は無理な気がするんですよね
2021/10/26(火) 22:50:50.47ID:Xk5auZjh
>>168
Luaスクリプトなりで、定期的に問い合わせをし続ければよいように思うけど。
2021/10/27(水) 03:50:32.78ID:9V10WiPY
>>4
tcpflag=0x0002/0x0017 って
tcpsyn って書くだけで済む気が

同じ意味だよね？
2021/10/27(水) 07:45:07.50ID:0H8kk6Yr
>>169
あっ、なるほど
2021/10/27(水) 08:18:29.22ID:0UQ5gXmS
>>170
同じ意味だね
ただしtcpsynとかが使えるのはRev.10以降だから
それ以前の機種ならtcpflagで書くしかないね
2021/10/27(水) 20:39:59.10ID:9V10WiPY
FQDNフィルタって該当のFQDNがDNSリカーシブサーバーにキャッシュされてない場合にはどういう動きになるのかな
無視される？
中→外方向のpassで使うなら事前にキャッシュされるだろうけど、Rejectだと>>169みたいなフォローが無いと使えなさそう
2021/10/28(木) 09:37:21.87ID:l8cqu0jr
リモートVPNでクライアントに配布するIPアドレス、
設定サンプルを探すとLANと同一セグメントのローカルIPの物ばかり出てくるのですが、
（例えばLANが「192.168.100.0/24」で配布するIPが「192.168.100.10」とか）
配布するIPは別にどんなローカルIPでも構わない筈ですよね

LANと同一セグメントにするメリットってあるのかな
2021/10/28(木) 13:29:26.20ID:W2FnujvT
VPN接続するのにLAN内と通信させない運用がレアケースなんじゃ？
2021/10/28(木) 15:13:16.64ID:RJFHzGu3
macアドレスフィルタリングの機能で登録した機器以外は拒否の設定があるのは知っていますが登録した機器を拒否する機能はありますか？
またはそのようなコマンドってありますかね
2021/10/28(木) 15:16:52.93ID:JtFZQyIY
ethernet filterでrejectすれば良いんじゃないの？
2021/10/28(木) 17:03:24.77ID:EQy5M85O
rejectすれば良いだけですね
2021/10/28(木) 17:39:02.71ID:EQy5M85O
>>174
配布するIPはなんでも構わないけど、設定サンプルが同一セグメントなのはその方が前提条件が楽だからではないかと予想

別セグメントの場合の前提条件として、リモートクライアントがLAN内のノードと通信する為には
LAN内の各ノードがVPNルータをゲートウェイとして別セグメントのリモートクライアントのIPと通信可能な設定になっている必要がある
ルーティングとかファイアウォールとか

同一セグメントであれば上記は意識する必要がないので楽
その代わりVPNルータはProxyARPを有効にする必要がある

リモートクライアント<->LAN間の通信に制限を設けたい場合には
別セグメントにする方が望ましいんじゃないかな
2021/10/28(木) 18:07:07.35ID:92Wb4QUL
macの件ありがとうございます
2021/10/28(木) 19:12:18.60ID:/lMDL5W5
AppleやGoogleの所為でMACアドレスのランダム化が普及したせいもあって
MACアドレスフィルタリングってもうすっかり過去の機能に成り下がった感ある
182不明なデバイスさん
垢版 |
2021/10/28(木) 20:10:35.50ID:+Yuhu2oU
今までRTX830 + Android で"L2TP IPSec PSK"によりVPN接続をしていたが、
Android12では
+ IKEv2/IPSec PSK
+ IKEv2/IPSec MSCHAPv2
+ IKEv2/IPSec RSA
しか選択肢がなくなってしまった。

RTX830は上記VPN接続に対応しているのだろうか？

正直なところコマンドリファレンスには IKEv2 という単語が出てくるものの、
今ひとつわかっていない。
2021/10/28(木) 20:34:52.41ID:8YBNvk+S
PPTPに続いてL2TP/IPSecもついに切り捨てられちゃったか
2021/10/28(木) 20:39:06.48ID:87q/U9Pq
時代の流れだな
2021/10/28(木) 20:55:42.73ID:8YBNvk+S
IKEv2でもリモートVPNは普通に出来そうだけど試した事なかったなぁ
そいや設定サンプル見たことないかも
2021/10/28(木) 21:33:52.84ID:FkD3ebcp
>>181
うちは、指定したMACアドレスしかDHCPサーバーから払い出されないようにしてる。
そして、DHCPサーバーから払い出されなかったIPアドレスは島HUBから先の通信をrejectさせることにして不正接続に抗ってる。
2021/10/28(木) 23:46:01.11ID:FFP3YDV8
ゼロトラスト広まって来てVPNもそろそろ時代遅れ
うちの会社もレガシーシステム利用時しかVPN使わなくなった

セキュリティ対策はファイアウォールじゃなくエンドポイントでやる時代だからな
2021/10/28(木) 23:54:44.48ID:87q/U9Pq
セキュリティは専門会社に任せなさいみたいな流れからザ・インターネットって映画に出てきたゲートキーパーを思い出した
2021/10/29(金) 07:38:46.52ID:ao/m3M+L
もしIKEv2/IPSecでリモートVPNがまともに使えなかったらYAMAHAルータやばくね
190不明なデバイスさん
垢版 |
2021/10/29(金) 09:21:41.92ID:eRb3yntt
RTX-1210はなぜ頻繁にオーバーフローするんだ？
パケットバッファは最大値で入力してるんだがなぁ
2021/10/29(金) 09:56:35.89ID:50NeBf5e
>>190
受け取る端末のほうが遅いからじゃない？
2021/10/29(金) 09:58:42.58ID:fx2l7MiM
>>190
単独のスピードテストですらCPU負荷が80%超えて警告出たりするしスペックが足りてないんだろうな
2021/10/29(金) 11:03:23.78ID:+WYmp4ZC
RTXの後ろにハイフン入れられると不安な気持ちになる
2021/10/29(金) 14:08:26.70ID:4cw5++7h
グラボみたい
2021/10/29(金) 20:57:41.92ID:MErR03Pu
VPNは古いとか最近言われるけど、企業ならいざ知らず、個人ではそれに代わるものを作るのは難しい、気がする
とりあえず、自宅ネットワークへ比較的簡単に安全な接続ができるシステムはVPN含め頑張って欲しいなあ
#ターゲットが違うのはわかるけど
2021/10/29(金) 21:52:59.00ID:TiUtjnA+
そもそも自宅にVPNやるのって何目的？
それこそ簡単にクラウド化できるんじゃ無いの？
2021/10/29(金) 22:30:47.97ID:50NeBf5e
>>196
1.ひかり電話を別宅や出先でも使える
2.別宅のプロバイダ無しでNTTのフレッツ契約だけして自宅のプロバイダに乗っかる
3.出先でフリースポット見つけたときにそこのスポットの安全性が不明な場合VPNで自宅に繋げばある程度は安全
4.自宅と出先のIP電話の盗聴防止

ぐらいしか思いつかないけどまだいろいろ活用法はあると思うよ
2021/10/29(金) 23:01:00.69ID:1qgv4sLx
>>197
携帯とかP2Pの通話アプリを普通に使えるのに、1と4の手段をとる人ってどれくらいいるのだろうか。
別宅とかフレッツ回線維持できる財力なのに、1000円程度のプロバイダ料金を払いたくないと思う人っているのだろうか。
2021/10/29(金) 23:53:46.75ID:GW5yh8vf
出先で家電受けるって事じゃない？
2021/10/30(土) 00:13:54.89ID:GP+Gp2V3
茄子だろ。後は家電とかか
2021/10/30(土) 00:20:46.88ID:pCnTA/nl
帰宅前に自宅のエアコンを付けたいあるある
2021/10/30(土) 00:27:21.05ID:GP+Gp2V3
>>198
>>197のは極端過ぎるから参考にならん
てかよくそんなことを長々と思いつくなと感心したわ
2021/10/30(土) 00:27:42.03ID:N0mUX4xu
エアコンつけるくらいならVPN必要ないだろ
2021/10/30(土) 03:24:27.18ID:QKFEn3Y9
NASも家電も外部からアクセスさせる仕組み標準で提供してきてるしな
2021/10/30(土) 06:59:29.71ID:mH0GJHLw
>>202
ひかり電話の県外の固定電話への転送？はやってる。
転送料金要らないし発信でも電話番号表示が店舗の電話番号が表示されて便利。
アリバイ工作にも使える。
特にスマホでひかり電話が発信できるようにしておくと便利だよ。
スマホに着信は不安定なのでやめた。
2021/10/30(土) 07:05:06.40ID:mH0GJHLw
あと、特にFAXの送受信ができるのが助かる。
店舗のFAXを自宅で受けるのが便利。
スマホでFAXが受信出来たら最高なんだが。
多分なにかしらの有料アプリならできるんだろうが、無料の方法を知りたい。
2021/10/30(土) 07:06:39.09ID:4BLSXB6m
FAXがISDNよりも長生きするとは思わなかったわい
2021/10/30(土) 08:41:55.17ID:DAuvkctE
FAX受信したらメールに飛ばすぐらいどこの機械でもできるだろ？
それで十分
2021/10/30(土) 09:32:04.08ID:vcZ5WxKA
>>182
RTX830でIKEv2/IPSecのリモートVPNは（少なくとも現状のファームウェアでは）無理そう
VPNルータとしては結構終わってるこの状況、どうするんだろうこれ
2021/10/30(土) 11:28:19.27ID:CkZphWOD
>>182
ほんまや…
ttps://user-images.githubusercontent.com/24488142/122143539-9e35c780-ce8c-11eb-9629-5d3d32b581e6.png
2021/10/30(土) 11:43:20.89ID:CdqdNxIv
普通のメニューから新規設定できないだけで元々設定してあるままOSアップデートだとL2TP自体は使えるようだからOpenVPNみたいに設定アプリを作れば新規設定できる気がする
2021/10/30(土) 12:15:30.06ID:vcZ5WxKA
>>211
なるほど、それならまだ救いというか猶予はある感じだね
リモートVPNがいきなり使えなくなるのはさすがにちょっと困る
2021/10/30(土) 13:21:36.82ID:VUVsm8jG
Android12の件はβ版が出回ってた頃からヤマハさんは既に認識してただろうに
このまま何もアクション起こさないのかな
2021/10/30(土) 13:32:09.42ID:dc8QFEVo
転送電話代ケチってVPNとかアホらしいにも程がある

もうそういう変態しかVPN使わなくなる時代になっとるんやね
2021/10/30(土) 16:58:09.12ID:5nwEkkeP
まあでもVPNで自宅のストレージその他をプライベートクラウド化って便利じゃないか？
あとPT3+Mirakurun+EPGStationとかでTV視聴環境があればプライベートアドレスのままアクセスできるし
まあヤマハルーター用意しなくてもSoftEtherとかでもやれるけどね

しかし端末側でIKEv2必須になったらいろいろ面倒になるな
2021/10/30(土) 22:15:57.33ID:nWvU1WFu
IPSecはそもそもNAT越えが面倒だし、リモートVPNで使うのはいい加減流行らない気もするんだがどうなんだろ
次の主流派どれになるのか
2021/10/30(土) 22:28:13.62ID:ry6xmVIM
>>216
最近iOSに搭載されたようなQUICを使うものとか？
リモート側IPアドレスが変化するの前提だし。
2021/10/30(土) 23:42:56.37ID:TM6O48di
手軽な設定でそこそこセキュアに自宅のネットワークへ接続して直接ファイルを触れるなら、別にVPNじゃなくてもいいんだよね

ルーターひとつで出来ると嬉しいし、それが今持ってるRTXで出来るようになって欲しいし、みたいな
2021/10/31(日) 00:03:40.68ID:heGTYrVp
>>218
その目的だけなら、以前からRTXの機能使わずにできるが。
2021/10/31(日) 07:16:51.28ID:TNqBKwXn
SSHでも言われてるけどパスワードじゃなくてキーペアにしたいってのはあるかも
お手軽さだとOpenVPNとかWireguardあたり
2021/10/31(日) 09:42:12.02ID:zKRfuWgA
>>204
ランサムウェア「金払えよwwwwwww」

VPNが一番
クラウドとか言ってるキッズはAWSのS3とかの使用量を見たほうがいい
2021/10/31(日) 10:09:44.01ID:mFk6LZTo
個人なら無料枠で十分だろなんか動かしっぱなしとかにしなければ
223不明なデバイスさん
垢版 |
2021/10/31(日) 11:33:14.74ID:MzqZ5Y32
>>218
NASの機能使ってはどう？
直接アクセスじゃなくサーバー経由だから速度は遅くなるけど
俺は自宅のファイルにアクセスする時はSynologyの機能使ってる
2021/10/31(日) 12:27:54.14ID:LnXuFwuP
>>182
Windowsも切り捨てたらいよいよ乗り換えか
2021/10/31(日) 12:38:35.06ID:ZmkQifYh
>>224
WindowsはPPTPすら普通に残ってるし、わざわざ切り捨てるとかしないんじゃね
2021/10/31(日) 12:47:11.74ID:mFk6LZTo
捨てたら文句言う奴が出てくるからな
未だにxpが良かった2000が良かったとか言ってるような奴らがでかい声で叫んでる世界
2021/10/31(日) 13:07:51.99ID:ZmkQifYh
iOSやAndroidがセキュリティ重視で下位互換はそこまで重視してないのに対して
PC用OSのWindowsは極力互換性残す方向性だしね
労せず互換性残せるににわざわざ切り捨てるとかあんましそうに無いわ

Windowsがわざわざ切り捨てた互換機能って過去になんかあったっけか
2021/10/31(日) 13:14:26.64ID:wwb36lYc
>>227
セキュリティの問題で、既にSMB1.0はデフォルトでは使えない。
2021/10/31(日) 14:05:22.44ID:uWRBfbYH
WIN16アプリケーションの実行機能とか
2021/10/31(日) 16:52:46.09ID:ovSqOukk
そういやNetBEUIは使われなくなったか
2021/10/31(日) 17:00:38.95ID:y764MFOc
それXPの時点でおまけ扱いなってたやろ
2021/11/01(月) 00:34:09.18ID:OLpSq/qi
TELNETもデフォルトでは無効になったな
2021/11/01(月) 00:52:47.00ID:ojEEysws
動的フィルタのメリットが今一つよく理解できません

トリガに連動して他のポートを開けたりするようなケースならまだわかるのですが、
単独のポートの場合はトリガーのためにどのみち静的フィルタで開けているので
わざわざ動的にして意味があるのかなと・・・
2021/11/01(月) 01:55:44.02ID:DhV5tO5E
>>233
TCPの場合はトリガーで特定フラグだけ通して後は閉じることも出来る。
後、行きは(トリガーの為に)開いていても本来、帰りを空けてる訳じゃないからな。
2021/11/01(月) 02:41:57.88ID:kxg5U0N/
リモートVPNの事で質問です

pp select annonymous 配下に
アカウント(複数)を pp auth username文、
IPプールを ip pp remote addls pool文で指定している状況で、
一部のアカウントにだけ使用するIPを固定する事は可能なのでしょうか

＜例＞
IPプール: 192.168.1.11-192.168.1.16
ユーザ: user01〜user06
※user01には192.168.1.11、user02には192.168.1.12を固定で使用させたい
2021/11/01(月) 03:17:04.49ID:ojEEysws
>>234
あっ、なるほど、戻りパケット…

例えば中から外へのTCP通信ですが、
戻りパケット用にppインターフェースのin方向に
ip filter 32 pass * 192.168.0.0/24 established * *
とかで開けているところ、
TCPを全部動的フィルタにしてしまえばこのフィルタは不要になるという事ですね

…あれ？
でも最初のパケットはトリガーで動的フィルタを通らないから、それだと最初の戻りパケットは
入ってこれないような？
あれ？
2021/11/01(月) 08:06:09.52ID:/kOH0rFw
>>235
IPプールのIPは、アカウントでIPを指定していない場合は若番から早いもの勝ちで使われる筈

例えばuser03が最初に繋ぎにいったら192.168.1.11を使っちゃうので、
後からuser01が繋ぎにいっても192.168.1.11は既に使われていて接続出来ない事になる

どうしても一部のアカウントだけIPを固定にしたい場合は、
IPレンジの後ろから割り当てればよい…筈

間違ってたら指摘よろ＞識者
2021/11/01(月) 11:59:27.81ID:CEmjnIBa
>>237
その認識で間違ってないと思う

但しひとつだけ注意点
IPを指定していないアカウントはひとつのアカウントで複数セッション同時に接続する事が可能だから、
そういう運用をする可能性がある場合にはIPレンジを広げておく方が安全

仮に以下のように修正したとして、

・IPプール: 192.168.1.11-192.168.1.16
・ユーザ: user01〜user06
・user01には192.168.1.15、user02には192.168.1.16を固定で使用

例えばuser03〜user06の４アカウントで５セッション接続している場合
192.168.1.11〜192.168.1.15を使用するから
その時点でuser01は接続できない状態となってしまう
2021/11/01(月) 13:43:48.42ID:pQm9vWlB
>>236
普通の使い方なら、公式設定例もそうだが、外から中へは静的フィルターでは開けていない。
静的フィルターは、中から外に対して(トリガー用)だけ。
このトリガーによって、外から中への動的フィルターが動作する。
2021/11/01(月) 21:39:27.38ID:g4DEvJa5
>>235
pp auth username user01 "パスワード" 192.168.1.11
2021/11/01(月) 21:41:39.92ID:g4DEvJa5
あ、プール内でか
無理だね
2021/11/01(月) 21:50:36.86ID:xdPZZQAO
固定で割り当てるIPをIPプールから外したらダメなの？

pp auth username user01 "パスワード" 192.168.1.11
pp auth username user02 "パスワード" 192.168.1.12
pp auth username user03 "パスワード"
pp auth username user04 "パスワード"
pp auth username user05 "パスワード"
pp auth username user06 "パスワード"
ip pp remote addls pool 192.168.1.13-192.168.1.16
2021/11/02(火) 01:04:46.52ID:sjRlvpcv
あっ、固定で制定するIPも必ずプールに必ず含まれていないといけない物と思ってましたが
そんな事ないんですね

ありｇとうございます、解決しました
2021/11/02(火) 01:29:49.00ID:00OA4v+W
>>239
中→外のトリガーとなる最初のパケットも動的フィルターで外から中に戻ってこれるという事ですね
外→中を静的に開ける必要が無いというのは大きなメリットですね、特にTCP以外は

>>234
TCPで特定フラグだけ通す場合の話ですが、
通常は最初のTCPパケット(Synフラグが立っているパケット)だけ通す設定にすると思うのですが
どんなTCP通信も最初はSynフラグが立っている訳だからあんまりやる意味が薄いようにも
思ったりするのですが、そんなことはない？
245不明なデバイスさん
垢版 |
2021/11/02(火) 12:00:19.34ID:Ia/qRyL/
nat descriptor masquerade incomingの設定って皆さんしてます？
デフォだと、0-1023までのポートの場合、リセットかえしちゃうんで。
discardにして、外のインターフェースをstealth設定して使ってます。
2021/11/02(火) 12:26:53.45ID:svxcl/Lf
>>243
IPプールはアカウントに動的に割り当てたいIP範囲を定義しているだけであって、
全部固定ならそもそも必要が無いものだよ

ちなみにアカウントに固定で設定するIPはセグメントがバラバラでも構わない
247不明なデバイスさん
垢版 |
2021/11/02(火) 12:32:00.87ID:Ia/qRyL/
>>244
静的
外から中→全て落とす
中から外→syn付tcpのみ通す

動的
中から外→tcp

とかやると、最初にsyn通したsrc/port, dst/portの通信のみ通すことが
できるので、一番抜けがない設定なのかなと思います。
2021/11/02(火) 14:20:58.88ID:svxcl/Lf
>>245
私はやってますよ、discardも外I/Fのstealthも
可能な限り黙らせるのが一番安心だよね
2021/11/02(火) 14:28:34.95ID:4UtoFu3F
UPnPってみなさん使ってます？

UPnPがデフォルトで無効に変更された頃からセキュリティ的に考えて使わないのが
常識なのかなと思ってるのですが、なんだかんだで世間的には案外使われている
気もして、実際どうなんだろうなと
2021/11/02(火) 14:40:57.72ID:nkVoKw5m
スマート家電とか多いし使ってるよ
2021/11/02(火) 14:44:58.32ID:Xw2HfqHI
>>249
使わなくてもSTUNとかで穴開けられるから結局は有効でも無効でも大差はないんだよな
2021/11/02(火) 14:48:41.62ID:qU5s8u4p
>>249
CGNAT, MAP-Eとか使うIPv4アドレス共有型の接続サービスが一般的になってきたし、
UPnPを有効にしてても実質的に機能しない状況が増えてきてるんじゃないかな
2021/11/02(火) 15:26:53.60ID:svxcl/Lf
>>24
RDPってTLSで暗号化されてるのにVPN経由じゃないとダメっていう風潮があるのはなんでなんでしょうね
SSHはそんな事言われないのに
2021/11/02(火) 15:31:59.26ID:4UtoFu3F
>>250-252
ご意見ありがとうございます
UPnPを無効にする事によって利便性を損ねている側面がちょっとあったので
考え方をあらためて有効にする事も検討しようと思います
2021/11/02(火) 15:38:14.52ID:00OA4v+W
>>247
解りやすい説明ありがとうございます、理解できました
syn付tcpのみ通すといいうのは、中のノードから何らかの問題でいきなりackの変なパケットが送信されても外に飛び出さないに封じる事が出来るという事ですよね
2021/11/02(火) 15:56:12.44ID:O4DNVGtz
>>253
個人的には、fail2banみたいなことができないのは怖いと思う。
2021/11/02(火) 16:22:30.57ID:svxcl/Lf
>>256
ああ、確かにfail2banみたいな仕組みがないのは不安要素かもですね、なるほど…
2021/11/02(火) 16:23:39.94ID:qU5s8u4p
>>253
Remote Desktop自体がインターネット経由での接続に最適化されていないし、積極的に活用する人が少ないんじゃないかな
最適化されてないってのは
- (固定IP等でなければ)DDNSサービスが別途必要
- ルータに穴あけ(フォワード)設定が必要
- 多重NAPT環境では機能しない(上流側NAPTに穴あけできない場合)
- 実効帯域に合わせて色数や圧縮率を動的に変更するような機能が無い(はず)

一般的には接続先(LAN内のPC)の台数分、ポートフォワードを設定しないといけないし
WAN側から接続してくるクライアントのIPアドレスに応じて、同一のポートから別の内部アドレスにフォワード出来るようなルータなら別だけど、少なくともヤマハじゃ無理だよね？
2021/11/02(火) 16:33:41.11ID:00OA4v+W
動的フィルタで内から外へICMP通信(pingやtraceroute等)が出来るようにしたいのですが、
やり方がいまいちよく分かりません

pingだけなら
ip filter dynamic 30 * * ping
で行けてるのですが、
tracerouteがよくわかりません
ip filter dynamic 31 * * echo
とかやってもTime Exceededは入ってこれないし、う〜ん
2021/11/02(火) 16:41:07.21ID:nYgPKJUO
>>253
ちょっと前までRDPはTLS1.0必須の弱い暗号だったからね
今はTLS1.3も使えるがServer2022とWin11（Win10 21H2でも可）に入れ換える必要あり
グローバルIPでポート3389を開けてたらものの数分でブルートフォースアタックが数百箇所から集中して回線帯域がすぐ埋まる
2021/11/02(火) 16:43:40.00ID:4UtoFu3F
>>258
>WAN側から接続してくるクライアントのIPアドレスに応じて、同一のポートから別の内部アドレスにフォワード出来るようなルータなら別だけど、少なくともヤマハじゃ無理だよね？

例えばこんな感じでいけるんじゃない？
nat descriptor masquerade static 1 101 192.168.100.1 tcp 30001=3389
nat descriptor masquerade static 1 102 192.168.100.2 tcp 30002=3389
nat descriptor masquerade static 1 103 192.168.100.3 tcp 30003=3389
262不明なデバイスさん
垢版 |
2021/11/02(火) 17:21:02.38ID:Ia/qRyL/
>>248
特に必要でなければ見えないのが一番ですよね。

>>255
はい。それを期待しています。

>>259
自分は以下の外から中への静的フィルタでできてます。
ip filter * * echo 3,11
2021/11/02(火) 17:22:47.03ID:Ms6+252Z
VNCとごっちゃになってる？
2021/11/02(火) 17:23:18.09ID:Ms6+252Z
>>263
亀レスだった
2021/11/02(火) 18:07:27.42ID:sHkJjCfF
>>262
完全動的フィルタ化は一端諦めて、

中から外への動的フィルタは
ip filter dynamic 30 * * ping

外から中への静的フィルタを
ip filter pass * <ローカルセグメント> icmp 11

として、 Time Exceededだけ静的に入ってこれるようにしました
これが限界なのかな？
2021/11/02(火) 18:17:34.89ID:qU5s8u4p
>>261
それだとWAN側30001-30003ポート(＝LAN側PC 3台分)で待ち受ける必要があるでしょう、って話
そうではなくて、
30001だけで待ち受けて繋いでくるクライアントのグローバルIPアドレス(srcアドレス)に応じてLAN側.100.1-.100.3に振り分けられないよね、ってこと
2021/11/02(火) 18:41:21.94ID:4UtoFu3F
>>266
失礼、理解できました
確かに無理ですね…そんなこと出来るのってあるのかな
2021/11/02(火) 18:47:46.14ID:O4DNVGtz
ポートセービングIPマスカレードの動作タイプ2とtwiceNATの合わせ技ができれば可能かも。
2021/11/02(火) 19:05:09.36ID:sHkJjCfF
あれっ
show ip connection って動的フィルタのICMPのコネクションは表示されないのか
そういうもんなのかな
2021/11/02(火) 20:27:26.24ID:1pMHBZGv
>>260
確かに一昔前は暗号強度的な不安が大きかったですもんね
今なら普通は最低でもTLS1..2なので許容できる印象です

グローバルIPで3389のまま開けるのは流石にちょっとデンジャラスですね…w
2021/11/02(火) 20:31:41.79ID:1pMHBZGv
>>258
他のリモートデスクトップアプリケーションと比較するとインターネット経由に最適化されていないというのは確かにそうですね
SSHとかも基本的には同レベルだとは思いますが
2021/11/02(火) 20:34:28.98ID:zUVqvEa0
>>179
これ探してるけどなかなか見つからない
2021/11/02(火) 23:36:29.48ID:C3eWAdBO
>>272
リモートクライアントにLANセグメントと異なるIPを付与してる設定サンプルって確かに全然みつからないね
2021/11/03(水) 00:24:32.01ID:a61w0tsq
VPN繋ぐのに何故に別セグにするんだっけ？
275不明なデバイスさん
垢版 |
2021/11/03(水) 00:26:45.81ID:SgnFZx/x
>>253
sshは叩いてもなかなかホコリが出てこなくなったが、マイクロソフトの実装した各種プロトコルは未だ定期的に地雷が爆発するので経験者からは信頼されない。プロトコルスイートの強度の問題ではない。
この違いは大きい。

RDPはVPNなりsshのポートフォワードなりでラッパーを噛ませて丁度いい。
276不明なデバイスさん
垢版 |
2021/11/03(水) 00:29:27.66ID:SgnFZx/x
>>273
自分でやれば直ぐ確認できるでしょ。
どこまでコピペに頼るのさ？
むしろ、既存セグメントのIPアドレスを配る方が留意点が増える。
2021/11/03(水) 00:39:52.44ID:LTd1qP7z
>>275
説得力ある
MSの実装は信頼しきれない
2021/11/03(水) 09:36:36.03ID:j5XgkZ9b
>> 245
こちらはサーバを公開しているので、nat descriptor masquerade incomingはデフォのままで、わざわざdiscardにしていませんね。
例えばdiscardだと使っていないポート113の応答待ちで、メールの転送に遅延が発生するとかあるので。
2021/11/03(水) 10:19:45.93ID:sLwvN4IK
L2TP/IPsecリモートアクセスでRTのメンテだけしたい場合はこんな感じでええのん？

RT IP : 192.168.1.254
Client IP : 10.10.10.10

ip pp secure filter in 200080 200081 200082 ...
ip filter 200080 pass * 192.168.1.254 esp * *
ip filter 200081 pass * 192.168.1.254 udp * 500,1701,4500
ip filter 200082 pass 10.10.10.10 192.168.1.254 tcp * 23,80
2021/11/03(水) 10:39:54.12ID:vxk0QTQf
三つ目のフィルタはいらないんじゃない？
もしくは制限を掛けたいのならppインターフェースではなくてtunnelインターフェースに適用
2021/11/03(水) 11:57:29.54ID:sLwvN4IK
あ、そこにフィルタ適用するのか
さんくす
2021/11/03(水) 22:58:28.49ID:sLwvN4IK
L2TP/IPsecリモートアクセスで接続した外部端末は、ルータセグメント配下に置かれるイメージ。
RTーFWーイントラ、としてればFWでルーティング可能（公式はサポートしない（基本、同セグのみ））とのこと。
283不明なデバイスさん
垢版 |
2021/11/03(水) 23:37:17.64ID:SgnFZx/x
>>282
L2TP/IPsecでもしサポート云々を言うのであれば、本来iOS、Android端末のみ。
そしてAndroidはOS側でVer.12からL2TP/IPsecの新規設定打ち切りだけどね。

サポート云々言い出すなら素直にYMS-VPN8でも使っておきなさいってことですよ。
2021/11/04(木) 01:54:24.04ID:/lWuE5bh
>>81-85
Luaスクリプトを使えばルータ単体でも多段の動的ポート開けが出来たりしないかな

(1)外からポートAを叩く
(2)ポートAをトリガーとして外→中のポートBを動的フィルタで開く
(3)外からポートBを叩く
(4)LuaスクリプトがポートBで受けたパケットに反応して中からポートCを叩く
(5)ポートCをトリガーとして外→中のポートDを動的フィルタで開く
(6)外からポートDで通信開始
※(3)-(5)は繰り返しで更に増やせる
2021/11/04(木) 01:57:04.64ID:fSN7VOut
>>282
情報のソースってどこかにありますか？
2021/11/04(木) 02:58:05.80ID:mDz5ZCRW
>>284
外から特定のポートを叩くとイベントログに記録されるようにして、
Luaスクリプトにイベントログを監視させて条件成立でパケットを投げるような仕掛けが
シンプルで楽かも
2021/11/04(木) 06:23:45.35ID:6Xk1pi77
>>284
5で動く動的フィルターによって6の動作に持っていくつもりであれば、これは机上の空論に思える。
2021/11/04(木) 07:20:17.95ID:d939/mWm
LAN内の接続先ノードのIPからパケットを投げないとダメなような
2021/11/04(木) 15:43:35.39ID:HFnA88kn
>>287-288
気になったので遊びでちょっと実験してみた

<Luaスクリプト>
1)LAN I/FのsecondaryにLAN内の接続先と同じIPを追加設定(IP重複)
2)LAN I/FからWAN側の接続元のIP宛にトリガーパケット送信
3)LAN I/Fのsecondary設定を速攻で削除

非常に強引なダメすぎる方法だが、これで動的フォルタで目的の穴を空けて外から中に接続する事は一応できた
secondaryなんか使わずに送信元IPを偽装したパケットを送信出来ればいいんだが、Luaじゃ無理か？
2021/11/04(木) 15:46:46.92ID:HFnA88kn
訂正
2)LAN I/FからWAN側の接続元のIP宛にトリガーパケット送信
↓
2)LAN I/Fのsecondary IPからWAN側の接続元のIP宛にトリガーパケット送信
2021/11/04(木) 15:54:41.73ID:uJhJ72sd
>>46
>>47
削除依頼理由､落雷により起動せず等ユーザーでは削除できない状態であることを書く
削除対象のNetVolanteDNSホスト名
ホストを登録した機種型番
登録した機種のMACアドレス
登録したインタフェース､PP[01],LAN2等
上記を添えてフォームから依頼する
https://yne.secure.force.com/Support
2021/11/04(木) 15:59:04.00ID:HFnA88kn
>>291
情報Thx
293不明なデバイスさん
垢版 |
2021/11/04(木) 19:28:18.48ID:kXA6l2OU
LUAサンプルありますね。
https://network.yamaha.com/setting/router_firewall/monitor/lua_script/remote
2021/11/04(木) 20:24:21.24ID:HFnA88kn
>>293
あそっか、Luaで動的にフィルタを登録しちゃえばいいんですね、消す手間は必要ですけど

あ、でもフィルタをいきなり変更すると通信中の他のセッションが切れちゃうか
それならフィルタは最初から登録しておいて、静的IPマスカレードの方を動的に登録すれというのはどうか

(1)外からポートAを叩く→イベントログに記録
(2)Luaがイベントログに反応してポートBの静的IPマスカレードを登録
(3)外からポートBを叩く→動的フィルタでポートCが開く
(4)外からポートCで通信開始

こんな感じで無理せず多段化出来そうな気がする
2021/11/05(金) 03:39:54.37ID:BymtevbX
ip pp secure filter を書き換えると他の通信が切れる事があるけど、 ip filter の登録や書き換えは大丈夫な筈
ip pp secure filter には動的に追加するフィルタの番号を予め仕込んでおいて、ip filter の方を追加削除するのがよいと思う
2021/11/05(金) 08:15:56.13ID:2LFaxUEM
殆ど自己満足の世界ですが、こんな感じで多段の動的ポート開けの実験に成功しました

<コンフィグ(抜粋)>
ip pp secure filter in … 51 dynamic 51
ip filter 51 pass * 192.168.100.1 tcpsyn * 60002
ip filter 52 pass * 192.168.100.1 tcp * 22
ip filter dynamic 51 * 192.168.1.100 filter 51 out 52
nat descriptor masquerade static 1 51 192.168.100.1 tcp 60002 ←【動的に追加/削除】
nat descriptor masquerade static 1 52 192.168.100.1 tcp 60003=22

<Luaスクリプト>
外部からTCP60001が叩かれたらイベントログ(NATのReject)で検出してTCP60002のNAT設定を追加
TCP60002のセッションが終了したらイベントログ(Inspect)で検出してTCP60002のNAT設定を削除

<手順>
(1)外部からTCP60001を叩く→LuaスクリプトでTCP60002が開く
(2)外部からTCP60002を叩く→動的フィルタでTCP60003が開く
(3)外部からTCP60003でSSH通信開始
(4)TCP60002の口はLuaスクリプトで程なく閉じるがTCP60003はセッションが切れない限り通信し続けられる

最初の検出の仕組みをNATのRejectではなくてFilterのPassに変えればその部分を更に多段化できると思います

>>295
運用中にフィルタを操作するのはあまりよろしくないと思うので触らない方向で
2021/11/05(金) 20:06:31.15ID:BymtevbX
(1)のあと(2)をしなかったら追加したNATテーブルがいつまでも残るから時限式で強制的に消すようにした方がいい
そうすればトリガーのセッション終了の監視も不要になって一石二鳥

>>293
トリガーを複数回叩かせる仕組みはうまいとおもった
実用的にはこれぐらいで充分だろうな
2021/11/05(金) 20:51:56.96ID:MIpJglPB
Luaってみんなそんなに使ってるもん？
公式サンプルのコピペしかやったことない
2021/11/05(金) 21:36:41.50ID:liLnTtjT
>>277
Azure…
2021/11/05(金) 23:25:27.07ID:TN8GR9uW
>>297
「いつまでも」は誤り。
特に設定をしなければ900秒で消える。
2021/11/06(土) 01:37:24.38ID:6YknNXji
>>297 >>300
Luaで動的に追加してるのはNATテーブルじゃなくて静的IPマスカレードの設定だね
だから消さないといつまで残るのは正解
2021/11/06(土) 02:03:26.53ID:6YknNXji
>>300
動的フィルタを使わずに静的フィルタだけで処理出来ないのかな、とか思ったけど、静的だとセッションの終了を知る術がないから自動で閉じられないから無理か
動的フィルタならトリガーのセッション終了は知ることが出来るし、そもそも維持する必要がなければとっとと消してしまえるし
トリガーのセッションを明示的に維持しないと支障が出るような通信でなければ、動的フィルタは賢い選択だね
2021/11/06(土) 02:03:53.47ID:6YknNXji
>>300じゃなかった、>>297ね
2021/11/06(土) 07:05:42.42ID:ZwrZRvTf
Luaってその気にならば結構いろんな事出来そうだけど
なんか面白い使い方してる奴とかおらんのかな
2021/11/06(土) 09:14:16.04ID:kCTugn90
まずはテトリスからだな。
2021/11/06(土) 09:19:38.50ID:5rkvQ/ex
ヤマハなんだから音源チップを制御して音楽を奏でよう
2021/11/06(土) 13:29:52.70ID:aqKXgV5p
別に面白くないけど、LuaでDDNSの更新とかやってるよ、ネットボランチDNS以外の
2021/11/06(土) 19:48:16.47ID:+qxBuwNe
時報を知らせるハト時計にすることってできるよね？
スクリプトって初心者には難しいかな？
できれば、AM7時からPM22時まで時報を告げてくれる機能があると便利かなと。
2021/11/06(土) 20:06:33.08ID:KM5sVP/q
schedule at 101 */* 7:00 * cuckoo
schedule at 102 */* 8:00 * cuckoo
...
schedule at 116 */* 22:00 * cuckoo

いや、ブザー程度しかないのにどうしろと
2021/11/06(土) 20:33:54.77ID:+qxBuwNe
http://www.rtpro.yamaha.co.jp/RT/docs/lua/rt_api.html#hwd_tone

四音ですか
厳しいな
2021/11/06(土) 23:45:27.69ID:aqKXgV5p
調高速でON/OFFを繰り返して、その時間比率で多彩な音程を作り出す事は可能だよ
単音BEEP音しか出なかった大昔のパソコンで音楽奏でたりしゃべたせたりしていた技法

ただしめっちゃCPUパワー食われる
2021/11/06(土) 23:45:57.84ID:aqKXgV5p
×調高速
○超高速
2021/11/07(日) 00:23:06.04ID:WUp8xa47
イベントログ監視でトリガー毎に違う音を出すように仕込んで置けば、外部コントロールで音楽を金でる事が出来そうだ
2021/11/07(日) 09:32:13.41ID:WUp8xa47
>>293,297
叩くポートをころころ変えても面倒臭いだけなのと、たまたま飛んできたパケットが
トリガーに1回ヒットしただけでNAT設定の追加が発生するのも気持ちが悪いので
>>293のサンプルを参考にて以下の形に落ち着きました

(1)外部から指定回数(2回以上)TCP60001を叩く→TCP60001のNAT設定を追加(Luaスクリプト)
(2)外部からもう一回TCP60001を叩く→TCP60002の口が開く(動的フィルタ)
(3)外部からTCP60002でSSH通信開始
(4)TCP60001のNAT設定は指定時間経過で自動消去(Luaスクリプト)

使い勝手がよいのでこのまま運用に乗せました
2021/11/07(日) 20:29:46.95ID:McejsAjQ
困ったご相談です
以下のような頭の痛い構成のネットワークがあります
物理配線やアドレス体系を変えずに、RTX810配下のPCからPR-S300NEの管理画面に
直接アクセス出来るようにRTX810に小細工する事は果たして可能な物でしょうか

[Internet]
　｜フレッツ光ネクスト回線(IPv4)
｜
[NTT PR-S300NE] ※PPPoEブリッジ
｜LAN(192.168.1.1)
　｜
　｜-----[HQ-100等](DHCP)
｜★A
　｜
｜LAN2(PPPoE)
[YAMAHA RTX810]
｜LAN1(192.168.1.254)
　｜
　｜★B
　｜
[PC等](DHCP)

・PR-S300NEはPPPoEブリッジモードで動作するひかり電話ルータ
・PR-S300NE配下にはHQ-100等のIP電話がぶら下がり、PR-S300NEからDHCPでIPが付与されている
・RTX810は現状、LAN2(WAN)側がPPPoE接続で動作するごく普通のNATルータ状態
・RTX810は現状、LAN2自体にはIPは付与していない
・RTX810配下のPCはRTX810からDHCPでIPが付与されている
・★Aと★Bのセグメントは何れも192.168.1.0/24で丸被りだが直接つなぐ事はNG
2021/11/07(日) 20:31:37.80ID:McejsAjQ
図が崩れてしまったので貼り直し

[Internet]
　｜フレッツ光ネクスト回線(IPv4)
　｜
[NTT PR-S300NE] ※PPPoEブリッジ
　｜LAN(192.168.1.1)
　｜
　｜-----[HQ-100等](DHCP)
　｜★A
　｜
　｜LAN2(PPPoE)
[YAMAHA RTX810]
　｜LAN1(192.168.1.254)
　｜
　｜★B
　｜
[PC等](DHCP)
2021/11/07(日) 20:45:18.49ID:CF5Nzkeo
>>315
RTX810のNAPTをoffって只のローカルルータにして、LAN1側を192.168.2/24とかにするのではアカンの？
PR-S300NEって静的経路設定(192.168.2/24をRTX LAN2宛へ)出来ないのかな？
2021/11/07(日) 20:49:59.53ID:McejsAjQ
セグメントを変更していいならどうとでもなる話なのですが、
諸事情で変更不可なので頭を抱えている次第です

ちなみにRTX810を只のローカルルータにしちゃったらインターネット出れなくなりますよ
2021/11/07(日) 21:14:26.70ID:Z7ReoV+g
>>318
いくつか考えられるけど、★Aの位置にもう一台ルータを差し込めるならそれで解決できるけど。
2021/11/07(日) 21:28:02.49ID:b9xzQoIU
>>319
残念ながら差し込めない…
二重NATにしちゃうという事ですよね
2021/11/07(日) 21:32:25.46ID:sMUvh7rT
/26とかに狭めても上流側の管理画面に入れないと厳しいか
2021/11/07(日) 21:55:57.53ID:qZ5NVeqn
★Aに無線AP挟んでスマホなりノートPCなりでアクセスじゃいかんの？
2021/11/07(日) 22:09:05.28ID:/BCeRw3w
出来るかは知らんが、LAN1にVLANインターフェースなりを定義し、それとLAN2でブリッジインターフェースに収容。
2021/11/07(日) 22:10:47.43ID:MjFyW9iu
>>215
★Aで割り当てられてるアドレスが、たとえば 192.168.1.63 までに収まってるなら
★Aを192.168.1.0/24でなく192.168.1.0/26にして、RTXのlan2にもその範囲内のアドレスを割り当てて
★Bは/24のままではあるけど192.168.1.64より下は使わないようにして
RTX810で代理 ARP 動作をさせれば、★Bの端末からHGWまで通信できるようになる

もしIPv4のアドレス範囲を分けることもできず丸かぶりだというなら
RTX 1台のIPv4のルーティングでは無理な話なので
IPv4はあきらめて、HGWの管理画面にはIPv6で入るというのはダメ？

HGWが400以降で、HGWでも使えるPPPoEアカウントがあるなら、PC等からはインターネット経由のVPNでHGWに接続するという手もあるけど
300は確かVPN機能無かった気がするからこれはダメだよね
2021/11/07(日) 22:19:06.55ID:Z7ReoV+g
>>320
直列に入れるのは無理なのね。じゃあ、RTXと並列に２台いれたら？

|
S300SE--------
|　　　　　　　　　　｜
RTX810　　　　　　RTX1100あたりの中古
｜　　｜　　　　　　｜
｜　　----------SRT100とかの中古
｜
2021/11/07(日) 22:21:18.86ID:Z7ReoV+g
>>324
ああ、IPｖ6でいいのか。
2021/11/07(日) 22:53:25.71ID:sZmB8WKv
ネットワークアドレスが被ってる時点でネットワーク設計としてあり得ないから諦めろ
PCがなんなのか知らんけどNICをもう一枚追加して、「NTT PR-S300NE」へはeth1にするって静的ルーティングでも追加してみれば
これでうまく動くか知らんけど、eth0とeth1でそれぞれ異なるセグメント（ネットワークアドレスは一緒だけど）につないでふるいわけするしかないだろ
2021/11/07(日) 23:02:53.62ID:eHAY0p0D
>>327
制約を読み間違えてる。
329315
垢版 |
2021/11/07(日) 23:07:26.32ID:iSCUU9t6
みなさん、アイディアありがとうございます

>>324
おー、IPv6に頼るという考え方がスッポリ抜けていました
確かにそれなら物理配線やIPv4のアドレス体系に手を入れなくてもなんとかなりそうですね
アドレス範囲に手を入れるのも難しそうな状況なのでその方向で行こうと思います

>300は確かVPN機能無かった気がするからこれはダメだよね
残念ながら無いんですよね
330不明なデバイスさん
垢版 |
2021/11/07(日) 23:18:33.57ID:gk+ABcNA
>>328
そうか。読みづらい図に分かりにくい説明
そのうえ別セグメントなのにネットワークアドレスが重複

こういのは制約っていうんじゃなくて設計ミスっていうんだ
331315
垢版 |
2021/11/07(日) 23:38:55.40ID:s7kqvl/X
>>327
同一セグメントの拠点同士をVPNでLAN間接続したいとか言っても
設計ミスだから諦めろとか言いそうだなこの人
2021/11/08(月) 04:36:48.29ID:BmKglbfT
>>317
PR-S300NEは静的経路設定を出来る作りになってないから
別のセグメントと直接通信するのは無理だと思う
2021/11/08(月) 07:50:54.20ID:0K9y3fB1
>>325
追加するルータは１台でもいけるんじゃない？
二つのインターフェースの両方に静的NATを設定して、
RTX810にも追加のNATを設定して合計NATを3回越える計算
2021/11/08(月) 07:54:49.67ID:f64GgEyj
質問者ではないが、
手を入れることが出来るのは、RTX810のセグメントに関わらない部分(コンフィグ)だけで、物理配線も変えられないのだけど？
2021/11/08(月) 08:04:24.14ID:0K9y3fB1
仮にPCとPR-S300NEが同じIPで、PR-S300NEのスタティックルートを設定出来ない前提で例えばこんな感じ

[PC] 192.168.1.1
↓
↓S:192.168.1.1 D:192.168.2.1
↓
[RTX810] ※IPマスカレード
↓
↓S:192.168.2.254 D:192.168.2.1
↓
[追加RTXのRTX810側] ※静的NAT
↓
↓S:192.168.2.254 D:192.168.1.1
↓
[追加RTXのPR-S300NE側] ※静的NAT
↓
↓S:192.168.1.254 D:192.168.1.1
↓
PR-S300NE(192.168.1.1)

RTX810はLAN2又はVLANで切ったLAN1を使うイメージね
2021/11/08(月) 08:10:01.89ID:0K9y3fB1
>>334
まぁそうなんだけどね
仮にちょっとだけ手を入れる事が許されるとしたら、例えばこんなやり方もあるよねという話程度で
2021/11/08(月) 08:34:41.61ID:nITkFbzb
>>332
PR-S300NEの[詳細設定]→[静的ルーティング設定]でいけるよ
もちろんこれは>>315には適用不可だけど、
一般的にはPPPoEパススルーな構成でHGWの管理画面を見れるようにするためによく使われる方法だと思う
2021/11/08(月) 11:19:50.53ID:0K9y3fB1
>>324
多少行儀が悪くてもいいなら
★Aで192.168.1.2
★Bで192.168.1.1〜2
が空いている前提で
RTX810のLAN2を192.168.1.2/30に設定して代理ARP動作させるだけで
Web管理画面にアクセスする程度なら問題なく行けちゃうのではなかろうか？

ブロードキャストパケットが192.168.1.3で飛ぶ事もない気がするし、
実質問題は起こらない気がする
行儀は悪いけど
2021/11/08(月) 13:45:58.80ID:PU63oGMv
>>338
ずっと行儀が悪いままが気持ち悪かったら、
アクセスするときだけトリガー叩いてLuaスクリプトで一時的に設定して、
使い終わったら消しておくという事もできるね
そんな頻繁にアクセスするものでもないだろうし
2021/11/08(月) 17:14:48.47ID:yW/xM+2t
>>308-313
ヤマハ好きはみんな枕元にルータを置いてる筈だから、
トリガーに反応して音が出るようにしておけばモーニングコールに使えそう
2021/11/08(月) 21:56:16.94ID:oINU21qZ
10秒以内に起きないと初期化しちゃうとか？
2021/11/08(月) 22:12:54.55ID:0mjjgKpC
つぶやくルータの次は奏でるルータか？
2021/11/08(月) 23:49:10.36ID:yW/xM+2t
初期化は可哀想だからフィルタが全部passになる程度
2021/11/09(火) 00:07:00.92ID:rg8vvjgm
>>343
そっちの方がヤバい気が
2021/11/09(火) 05:17:20.74ID:g3WaMEQR
>>315の件ですが、結局IPv6は使わずに>>338の方法で解決しちゃいました
みなさんアイディアありがとうございまいた、助かりました
2021/11/09(火) 11:56:01.75ID:SNKmDUZ9
>>345
PR-S300NEにアクセスするPCと同じIPのノードが★Aにいないようにだけ注意しましょう
2021/11/09(火) 12:24:57.91ID:zKWS9jyn
>>338
サブネットをわざとずらすのは行儀が悪いっちゃ悪いけど、ProxyARPを使ったそういうテクニックはあるし、うまい解決方法のひとつだと思うわ
https://www.cisco.com/c/ja_jp/support/docs/ip/dynamic-address-allocation-resolution/13718-5.html
2021/11/09(火) 12:43:16.37ID:zKWS9jyn
>>346
どのPCとかに限らず★Aと★BでIPが重複するノードはいちゃダメだよ
★Aから★Bに通信をしていないノードであっても、★BでARP要求されたら★B内のノードとルータが同時にARP応答しちゃう
2021/11/09(火) 14:47:00.47ID:7Pnod2VF
>>265
ICMPの返信はEcho ReplyとTime Exceeded の他にも
Destination Unreachable は普通に返ってくるから通るようにしておいた方がいいよ
2021/11/09(火) 20:22:13.99ID:wn72+vVG
>>338
これってRTX810のLAN2はPPPoEやりながら/30のIP割り当てるって事でいい？
楽しそうだから実験してみようかなぁ
2021/11/09(火) 21:50:25.60ID:3uMYQodu
それ利用するとRT58iとかからひかり電話ルータに2つの
2021/11/09(火) 21:54:06.75ID:3uMYQodu
書き損じた

それ利用するとRT58iとかからひかり電話ルータのSIPサーバにに2つのIPでレジストできたりする？
LAN2側だけ繋いでプライマリIPとセカンダリIP使って上手くできたりする？
2021/11/09(火) 22:52:27.52ID:diqO35DT
>>350
lan2はそれに加えてip lan2 proxyarp on
lan1もip lan1 proxyarp on

あと、たとえばlan1でDHCPサーバー動作させるつもりでdhcp service serverなどとしてると
lan2にIPアドレスを割り当てたことで、lan2でもDHCPサーバー動作しちゃうかもしれなくて
それが邪魔ならlan1だけ動作するようにするとか
既存の設定しだいで調整は要るかもしれない

>>352
2つレジストするそれぞれに対してsip outer addressを指定できたらいいんだけど
それぞれに指定はできなくて共通だからそれでは無理じゃね？
2021/11/09(火) 23:07:10.26ID:3uMYQodu
2021年11月09日 「ヤマハ製のルーターにおける複数の脆弱性」についての情報を公開しました。

http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVNVU91161784.html
2021/11/09(火) 23:38:07.59ID:3uMYQodu
>>353
うーん。無理っぽいですかね。
2021/11/10(水) 04:18:37.53ID:E7ze25sg
>>350
そうそう
LAN2にIP振ってPPPoEブリッジしてる上位の装置とIP通信するのは割とよくあるテクニック
2021/11/10(水) 05:48:31.50ID:6ZVQjkHN
>>353
あっ、DHCPのフォローを何も考えていませんでした
スコープ的には192.168.1.0/30の範囲に入っていないので大丈夫だとは思いますが
気持ち悪いので明示的に
ip lan1 dhcp service server
ip lan2 dhcp service off
を追加しました
2021/11/10(水) 06:23:30.58ID:vJrJs8Om
ポートVLANで分割したインターフェースって、通常のインターフェースと比較してどのような違いやデメリットが考えられるでしょうか
RTX1200からRTX830に乗り換え、DMZ用に使っていたLAN3が無いので代わりにLAN1.4をポートVLANで分割したのですが、
パフォーマンスによってはWAN用のLAN2と立場を入れ替えた方がよいケースもあるのかなと少し気になりました
2021/11/10(水) 08:05:23.80ID:XZPAGlwH
>>358
WAN側をどう構成しているかにもよると思うけど、ポートVLANでは思っているWANを構成できないかもよ？
2021/11/10(水) 08:39:29.20ID:vJrJs8Om
>>359
WAN側でやってるのは、フレッツ回線のPPPoE・NAPT・IPSecの拠点間VPN・L2TP/IPSecのリモートVPN・QoS・DMZ公開用のポートフォワード程度です
IPv6やルーティングプロトコルは未使用
この程度ならポートVLANのインターフェースでも特に問題は無いと思っているのですが、物によっては出来ない事があるという事でしょうか
2021/11/10(水) 10:01:47.41ID:6cN2QeGQ
IKEv2のリモートVPNって本当に出来ないのかな
362不明なデバイスさん
垢版 |
2021/11/10(水) 12:55:03.64ID:PX63Mqdi
「ヤマハ製のルーターにおける複数の脆弱性」について 2021/11/09 : 公開
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVNVU91161784.html
363不明なデバイスさん
垢版 |
2021/11/10(水) 22:44:36.31ID:EAUXu1wY
>>361
つまるところコマンドの
> tunnel encapsulation
の type に ikev2 的なものが無いから駄目だと理解している
2021/11/10(水) 23:40:04.62ID:xX/WneRo
DNSリカーシブサーバとして動作させているRTXで、
参照する上位DNSを
dns server pp 1
でプロバイダから取得している物ではなくて
他のDNSを明示的に指定したいのですが、
dns server <プライマリDNSアドレス> <セカンダリDNSアドレス>
とやってしまうと、DHCPでクライアントに通知するアドレス自体が指定した物に変わってしまう…？
http://www.rtpro.yamaha.co.jp/RT/manual/nvr500/dns/dns_server.html
2021/11/11(木) 04:25:49.73ID:3wqjWaGV
>>364
いいえ
2021/11/11(木) 06:00:04.07ID:AZi9q069
逆に自分はリカーシブせずに dns server pp 1 で取得したDNSをそのままDHCPクライアントに通知しようと思ったらどうすりゃいいんだろ
2021/11/11(木) 06:08:53.95ID:OlOMvr6x
dns notice order

これくらいググれよ
2021/11/11(木) 08:20:29.63ID:AZi9q069
>>367
dns notice order コマンドで serverを指定した場合、
dns server <DNSサーバIP> で明示的に指定した物は通知されるけど
dns server pp 1 とかで取得した物は通知されなくない？
明示的に指定をするのは必須って事になるのかな
2021/11/11(木) 08:26:00.41ID:AZi9q069
>>364
dns serverコマンドでDNSサーバを直接指定した場合、DHCPクライアントに通知されるDNSはデフォルトだと一つ目がリカーシブサーバ(自分)のIP、二つ目がdns serverコマンドで指定したひとつ目のIPになるよ
370不明なデバイスさん
垢版 |
2021/11/11(木) 09:22:09.64ID:GEPVe+Hs
>>274
リモートクライアントに付与するアドレスはLANセグメントと同じでも別でもいいんだけど、
LANセグメントのネットワークアドレスがありきたりだと
モートクライアントが所属しているローカルセグメントとバッティングしやすいので
なるべくバッティングしにくいアドレスを付与したい事はある
とりあえず192.168〜は避けたい
2021/11/11(木) 12:23:27.01ID:HkYwSmYW
>>370
リモート端末はLANと同じセグメントに参加させたいけどセグメント被りは避けたくて、リモート端末には違うセグメントのIPを付与しつつ静的NATで同じセグメントのIPに変換する、という事を以前やろうとしてうまくいかなかった経験あり
確かこんな感じにしてうまくいかなかった

ip lan1 address 192.168.0.254/24
ip lan1 proxyarp on
pp select anonymous
pp auth username user1 pass1 10.0.0.11
pp auth username user2 pass2 10.0.0.12
pp auth username user3 pass3 10.0.0.13
ip pp nat descriptor 2
nat descriptor type 2 nat
nat descriptor static 2 1 10.0.0.11=192.168.0.11 3

どうすれば出来るのかな
2021/11/11(木) 15:22:58.12ID:198Y3+18
>>363
RTX1200時台から普通に使えるのでは
別の方式じゃなくてIPsecのなかのオプションという位置づけなだけ｡
http://www.rtpro.yamaha.co.jp/RT/docs/ipsec/ike2.html
実際にAndroid12入れてみないと本当に繋がるかは分からない
2021/11/11(木) 15:42:22.61ID:HkYwSmYW
>>372
Android12はL2TPが使えなくなっただけで、IKEv2自体は以前のバージョンから使え
2021/11/11(木) 15:42:53.33ID:HkYwSmYW
>>372
Android12はL2TPが使えなくなっただけで、IKEv2自体は以前のバージョンから使えてたかと
2021/11/11(木) 15:46:58.95ID:m1xI/ucl
新規設定できないだけで設定済みなら使えるだろ
2021/11/11(木) 17:04:51.21ID:dbtZmX3M
>>358
パフォーマンスが誤差の範囲で微妙に落ちたりぐらいはあるのかな？
ポートVLANのインターフェースで出来ない事って特に思い当たらないんだけど、なんかあるのかね
2021/11/11(木) 18:20:18.23ID:Kyq2WzPK
リモートVPNの実験をしていてひとつ気が付いたこと

pp select anonymous
pp auth username user01 hogehoge 192.168.100.1
pp auth username user02 hogehoge 192.168.100.2
pp auth username user03 hogehoge
pp auth username user04 hogehoge
ip pp remote address pool 192.168.100.3-192.168.100.6

とか指定すると、
user01・02は直指定したIP、
user03・04はIPプールのIPが使われるけど、
IPプールをレンジ指定ではなく

ip pp remote address pool dhcp

とdhcp指定にすると、
user01〜04全てがdhcpからIPを割り当てられて
直指定のIPは無視されるんだな
知らなかった
2021/11/11(木) 22:35:10.36ID:CjZpmI2E
>>371
inとoutの考え方が逆ですよ

ip lan1 address 192.168.0.254/24
ip lan1 proxyarp on
ip lan1 nat descriptor 2
pp select anonymous
pp auth username user1 pass1 10.0.0.11
pp auth username user2 pass2 10.0.0.12
pp auth username user3 pass3 10.0.0.13
ip pp nat descriptor 2
nat descriptor type 2 nat
nat descriptor address outer 2 192.168.0.11-192.168.0.13
nat descriptor address inner 2 10.0.0.11-10.0.0.13
nat descriptor static 2 1 10.0.0.11=192.168.0.11 3
2021/11/11(木) 22:37:15.46ID:CjZpmI2E
最下行まちがえた
nat descriptor static 2 1 192.168.0.11=10.0.0.11 3
2021/11/11(木) 23:31:33.96ID:CjZpmI2E
連投すいません

よく考えたら、やりたい事を考えるとこれだと片手落ちですね
付与するIPだけ変換しても、リモート側は自分のローカルセグメントと通信相手のセグメントが被る訳だから同時に通信できない訳で
リモート側からは相手のIPも変換されて見えるようにしないとダメですね
2021/11/12(金) 00:00:48.41ID:Y85ME3QF
>>380
http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/twice-nat.html
2021/11/12(金) 07:17:14.91ID:c5l10rHG
>>378-381
回答ありがとう、いろいろ考えが足りてなかったみたいで…
せっかく情報もらったのでテストしてみてるけどなかなかうまくいかない…うーん
LAN側を10.0.0.0/24に丸ごと変換するのは無理がある？？

ip lan1 address 192.168.0.254/24
ip lan1 proxyarp on
pp select anonymous
pp auth username user1 pass1 10.0.0.11
pp auth username user2 pass2 10.0.0.12
pp auth username user3 pass3 10.0.0.13
ip pp nat descriptor 2 reverse 3
nat descriptor type 2 nat
nat descriptor address outer 2 10.0.0.1-10.0.0.254
nat descriptor address inner 2 192.168.0.1-192.168.0.254
nat descriptor static 2 1 10.0.0.1=192.168.0.1 254
nat descriptor type 3 nat
nat descriptor address outer 3 192.168.0.11-192.168.0.13
nat descriptor address inner 3 10.0.0.11-10.0.0.13
nat descriptor static 3 1 192.168.0.11=10.0.0.13 3
2021/11/12(金) 07:26:14.11ID:4SG789Yn
>>382
>nat descriptor static 3 1 192.168.0.11=10.0.0.13 3
これ書き方合ってるの？
2021/11/12(金) 07:28:39.07ID:4SG789Yn
>>382
>nat descriptor static 2 1 10.0.0.1=192.168.0.1 254
これも
2021/11/12(金) 08:02:13.97ID:c5l10rHG
>>383
指摘どもです
ひとつめは
nat descriptor static 3 1 192.168.0.11=10.0.0.11 3
の誤記でした
ふたつめ合ってると思うのですが…
2021/11/12(金) 08:19:40.71ID:c5l10rHG
reverseオプションは使わずにnatを両インターフェースに分けて適用したら
意図通りの通信が出来るにようになりました

ip lan1 address 192.168.0.254/24
ip lan1 proxyarp on
ip lan1 nat desciptor 3
pp select anonymous
pp auth username user1 pass1 10.0.0.11
pp auth username user2 pass2 10.0.0.12
pp auth username user3 pass3 10.0.0.13
ip pp nat descriptor 2
nat descriptor type 2 nat
nat descriptor address outer 2 10.0.0.1-10.0.0.254
nat descriptor address inner 2 192.168.0.1-192.168.0.254
nat descriptor static 2 1 10.0.0.1=192.168.0.1 254
nat descriptor type 3 nat
nat descriptor address outer 3 192.168.0.11-192.168.0.13
nat descriptor address inner 3 10.0.0.11-10.0.0.13
nat descriptor static 3 1 192.168.0.11=10.0.0.11 3

この形で、リモート側からはLANセグメントが10.0.0.0/24、
LANセグメント側からはリモートが192.168.0.11〜13に見えてます
ひとまず解決ですが、reverseオプションを使うとうまくいかない理由がよく分からない…
2021/11/12(金) 14:49:23.16ID:xG83QDJZ
>>386
Port絡み?
何も考えずに思いついたことを言うとRTX1210以降の機種だったら
nat descriptor backward-compatibility typeを1にしてRTX1200時台のNATにしたらいけるかも?
2021/11/12(金) 17:46:56.83ID:c5l10rHG
>>387
確認に使った機種はRTX810なので残念ながら関係ないですね
2021/11/12(金) 18:53:35.50ID:7kwrsjGm
>>381
reverseオプションの存在をすっかり失念してました
そういえばありましたね、逆方向のNAT適用
ひょっとして>>315の問題もこれで対応可能だったりして？
2021/11/12(金) 19:35:34.91ID:Y85ME3QF
>>389
実際の始点・終点、仮想的な始点・終点、ゲートウェイとかのルーティングの方の問題で多分無理。
2021/11/13(土) 10:59:54.18ID:i12tyES+
停止操作するまでshowコマンドを数秒置きに実行し続ける方法ってありますか？
2021/11/13(土) 11:18:15.43ID:bDDZNXqE
>>391
Luaで自動実行すれのが手っ取り早いんじゃないな
rt.sleep関数でウエイト掛けつつ無限ループとか
https://router-switch-jirei.jp/archives/581
393不明なデバイスさん
垢版 |
2021/11/13(土) 12:29:48.44ID:Bi784AGQ
>>392
スクリプトが必要なんですね
ありがとうございます
2021/11/13(土) 17:05:13.35ID:BXlq5Ysv
>>391
TeraTermとかのマクロを使う方法もあるよ
2021/11/13(土) 17:11:04.96ID:W0cdmIcU
あそっか、showコマンドって事は当然ターミナルソフト繋ぎっぱだから別にマクロでいいんだ
2021/11/13(土) 18:07:18.83ID:peUyI+ym
動的フィルタによるポート開けのテクニックの件で格闘中

pp select 1
　ip pp secure filter in 101 998... dynamic 11
ip filter 101 pass * <接続先IP> tcpsyn * 60001
ip filter 102 pass * <接続先IP> tcp * 22
ip filter 998 reject * * * * *
ip filter dynamic 11 filter 101 out 102
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 <接続先IP> tcp 60001
nat descriptor masquerade static 1 2 <接続先IP> tcp 60002=22

接続先IPがLAN内のサーバの場合はうまく行くのですが、
RTX自身の場合には何故かうまく行きません

外からトリガー(TCP60001)を叩いた時、
show ip connectionコマンドで確認をすると、
LAN内のサーバ宛の場合はin方向にコネクションが出来ていますが、
RTX宛の場合は出来ない状況です

RTX宛の場合、フィルターは開けててもサービスを提供していない
ポートだとコネクションが成立しない？
2021/11/13(土) 19:01:32.46ID:Bi784AGQ
>>394
裏で回してテキストファイルに書き出すイメージです
RTが複数の遠隔地にあるのでリモートアクセスで1拠点ずつしか接続できない
2021/11/13(土) 19:51:24.70ID:peUyI+ym
>>397
ターミナルソフトを繋がずにという事であれば
例えばコマンドの実行結果を外部メモリに保存する方法とか使えると思います
ttp://www.rtpro.yamaha.co.jp/RT/docs/external-memory/redirect.html
2021/11/13(土) 20:10:23.37ID:G3O3q499
>>396
動的フィルタの問題はよく解らないけど、以下の方法で類似の動作をさせる事は可能だよ
・SSH用ポートを単体の動的フィルタで登録
・トリガーポートを叩くとSSH用ポートの静的IPマスカレードを登録するLuaスクリプトを設置
・SSH通信終了をログ(INSPECT)で検知して静的IPマスカレードを削除するLuaスクリプトを設置
2021/11/13(土) 21:18:19.71ID:3T651Mnd
>>368
DHCPでDNSを通知したい場合は dns server pp 1 は使わずに dns sever <IPアドレス> で明示的に指定しなけれいけない筈
2021/11/13(土) 22:06:40.27ID:ikJamXjC
>>360
ポートベースVLANのインターフェースで出来ない事はごく限られてますよ
パフォーマンスも気にするレベルの差異は殆どありません

主な違い
・タグVLAN機能が使えない
・LANマップ機能が使えない
・show status interfaceコマンドが使えない 8show status vlanコマンドを使う)
・show status switching-hub macaddressコマンドでMACアドレステーブルが確認できる
402不明なデバイスさん
垢版 |
2021/11/14(日) 07:49:42.55ID:Vq9bABSd
今NVR510使ってるので同等性能で2.5Gbpsの出してくれたら即買いなんだがヤマハさん出してくれないかなぁ
2021/11/14(日) 09:20:55.44ID:rY7UoFZ7
後5年は待て
2021/11/14(日) 10:21:03.39ID:0t2VFacg
>>399
トリガー叩いて静的IPマスカレードが登録したあと、SSH通信を開始しなかった場合に登録した内容がいつまでも残ってしまうのが問題
SSH通信が開始されなかったら速やかに登録を削除する事が出来ればけど、開始を検知する事は難しい
2021/11/14(日) 10:40:54.66ID:0t2VFacg
>>399
もう一つ気が付いた
ルータの接続中は常に追加された静的IPマスカレードが存在する訳だから、
コンフィグをメンテナンスした場合、保存をすると内容には静的IPマスカレードが常に
追加済の状態となってしまう
2021/11/14(日) 12:23:04.17ID:30JJ7LWU
>>404
SSHの通信に動的フィルタを使ってるんなら、最初のトリガーはpass-logにしておくだけで検知出来るっしょ
2021/11/14(日) 23:20:09.96ID:ZQuOUI0I
>>399,404,406
どもです
宛先がRTX自身の動的フィルタがうまく行かない件はよく分からないや、そういうもんなのかな
Luaスクリプトを使う方法も試したいのですが、
・トリガーポートを叩くとSSH用ポートの静的IPマスカレードを登録する
・静的IPマスカレード登録後、一定時間内にSSH通信を始めなければ静的IPマスカレードを削除
・SSH通信終了を検知して静的IPマスカレードを削除
これを同時に実現する書き方がよく分からない…
2021/11/15(月) 09:10:06.62ID:p35EVBGI
相談です

ケーブル回線でHUMAX HG100R-02JGという無線モデムルータ(レンタル)を使用しているのですが
拠点間VPN用と思わしきVPNサーバ機能が搭載されています
https://z.zz.fo/wHFmC.jpg

この機器とヤマハルータ間でVPN接続する事は果たして可能かご存知の方いらっしゃるでしょうか
ここで訊く話ではないのかもしれませんが、このルータのVPN機能に関する情報が少なすぎて
にんともかんとも
2021/11/15(月) 09:44:46.02ID:N5uXJdaO
>>407
こんな方法もあると思うよ
設定の登録や削除は発生しないし、ポートも自前で閉じる必要が無いのがメリット

(1)外からトリガーポートAを叩く
(2)(1)に反応してルータのLAN側から送信元に対してトリガーポートBを叩く(Luaスクリプト)
(3)(2)に連動して外→中方向のSSH用ポートを開く(動的フィルタ)
(4)開いたSSH用ポートを使って通信開始
(5)動的フィルタで開いたポートは時間経過で勝手に閉じる

LAN内のサーバ向けだとセカンダリIPが必要になったりして苦しいやり方になるけど
ルータ向けなら話は別だ
2021/11/15(月) 11:20:21.59ID:gU6b2+IC
>>408
多分接続できます
YAMAHA側と設定を合わせて行けば問題無いと思います。

NATトラバーサル機能がどうなっているか分からないので、
両方ともグローバルIPが必要かもしれません。
でも、それはルータじゃなくて両方のプロバイダの問題なので。
2021/11/15(月) 12:01:00.17ID:p35EVBGI
>>410
回答ありがとうございます
両方ともグローバルIPなのでその辺は問題ないと思います、動的ですけど

異機種間のIPSecVPNは結構鬼門というイメージが強いです
NetScreenと繋いだ経験ぐらいしか自分にはありませんが、
ググって出てくるサンプルが無かったら自力ではちょっと無理でした

とりあえずトライしてみようと思います
2021/11/15(月) 23:09:42.02ID:jqPm05pI
ポートがどうこうって完全に趣味の領域だな
今時ランサムウェアばら撒くのが主流だし効果絶大だし
わざわざファイアウォールの正面突破にトライするﾊｶｰとかいるんか？
2021/11/16(火) 00:01:42.87ID:saFvriu/
>>412
実態を知らないのね。
ファイアウォール突破は、ランサムウェアをばら撒くための第一歩の一つなのに。。
2021/11/16(火) 00:08:49.68ID:MXoRO0e0
第一歩の一つ？
2021/11/16(火) 00:12:40.82ID:3QLZ9thR
>>414
メールからというのが別の第一歩ということかな
2021/11/16(火) 00:18:38.28ID:TGN4VJXK
セキュリティはどこも杜撰なのでやるかやらないかだけ
2021/11/16(火) 08:57:23.22ID:fMOJEGm/
>>413 の素人感丸出しなのは何なのか
2021/11/16(火) 09:00:04.19ID:p+Wd3XDc
ランサムなんてほぼすべてメールかエロや違法映画、漫画ファイルのダウンロードからだ。
わざわざFW突破してくるようなハッキングされた後なんてほぼほぼねぇ。
2021/11/16(火) 09:37:44.53ID:m80M9NFP
ランサムが主流なのは別にそれはそれでええいんだけど
正面突破のログインアタックだって世界中から山ほど来るっちゅうの
そこの紐緩めてどうするの
2021/11/16(火) 10:02:26.29ID:iyrZ+TGV
>>410
RTXとHG100R-02JGの設定を合わせる事でIPSecのコネクションを張る事に無事成功しました
ただ、現状ではRTX→HG100R-02JG方向にしかパケットが届かない状況です
HG100R-02JG側のルーティングの問題だと思いますが、
静的ルーティングを設定する項目とか言一切見当たらないんですよね、この機器…
どうしたもんだ
2021/11/16(火) 17:47:37.14ID:yRzP2NbP
テストで回線にpc直結してファイアウォールもセキュリティソフトもOFFにしておくとあっという間にやられまくるよね
2021/11/16(火) 18:09:39.03ID:h0/sVMuV
>>419
レイヤーの区別もついてないのか

どのポート叩いたら裏口開くみたいなパズルは楽しみでやるもんで
実質的なセキュリティとは別物だわな
2021/11/16(火) 18:20:56.41ID:BjnCm9mO
>>420
安い民生用ルータならスタティックルート設定出来ないのもある
てか、ネットボランチは別として、民生品で拠点間VPN出来るルータなんてあるのか？
リモートアクセス用の間違いじゃね？
2021/11/16(火) 20:18:48.23ID:LNVkNR6v
>>423
おまえは>>408の画像のパラメータがリモートVPN用に見えるのか
2021/11/16(火) 21:49:16.21ID:tOF8LnfQ
>>420
リモートエンドポイント設定は？
426不明なデバイスさん
垢版 |
2021/11/16(火) 23:10:59.08ID:RlFr0d22
>>422
そーね。
このスレでやってたダイナミックフィルター等によるポートの開閉は単なるポートスキャンでも偶然に開く可能性もあるからな。
暗号強度の一部として考えると、とても弱い。(所詮ポート番号なんて全部使っても16bit分しかない)

sshでのセキュリティ確保はhosts.allowにfail2ban、証明書にそれでも飽きたらないならhosts.allowするFQDNをDDNSで指定して、実際に接続する度にDDNSを更新掛けることで接続元の認証を実質的に行うなりの多層防御が必要。
427不明なデバイスさん
垢版 |
2021/11/16(火) 23:30:48.83ID:RECsPzkq
>>418
QNAP「」
2021/11/17(水) 07:08:43.77ID:pUaXsmgD
>>425
remote addres は相手のグローバルIPのDDNS名
remote id は相手のローカルセグメント
remote name は相手のUSER FQDN
をお互いに指定している状態です
429sage
垢版 |
2021/11/17(水) 08:54:27.59ID:IyMSO6DK
ただネットを繋げるだけでポート開放とか必要ないので最低限のconfig教えて欲しい

接続はpppoe
いろいろあって初期状態に戻して
初期設定に簡単なfilterと侵入検知すべてONだけにしたのに接続が不安定になりYouTubeがずっとクルクル回り出したりサイト開くのが急に遅くなったりする。1、2分何もせず放置で復旧する

夜ならわかるが昼間も
netflixのスピードテストでは常時200Mbps以上は出ているんだが
2021/11/17(水) 09:05:43.46ID:s2o/yiY2
基本のコンフィグなんてヤマハのサイトに転がってるので
今現在のコンフィグを晒して問題点を指摘してもらった方がいい
2021/11/17(水) 09:10:56.52ID:FYreER+p
>>429
侵入検知を切ってみたら？
2021/11/17(水) 09:13:53.21ID:s2o/yiY2
必要最低限はこれ
http://www.rtpro.yamaha.co.jp/RT/docs/pppoe/index.html
2021/11/17(水) 11:59:36.47ID:DsAx6lxK
>>429
余計なことせずにGUIから設定しろ
434sage
垢版 |
2021/11/17(水) 14:33:05.00ID:iSVrQnQU
やっぱり侵入検知はダメなのか...？
GUIから設定して侵入検知とフィルターだけ流し込んだだけ

ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *
ip filter 200003 reject 192.168.0.0/24 * * * *
ip filter 200004 reject * 10.0.0.0/8 * * *
ip filter 200005 reject * 172.16.0.0/12 * * *
ip filter 200006 reject * 192.168.0.0/16 * * *
ip filter 200007 reject * 192.168.0.0/24 * * *
ip filter 200008 reject * * udp,tcp 135 *
ip filter 200009 reject * * udp,tcp * 135
ip filter 200010 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 200011 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 200012 reject * * udp,tcp 445 *
ip filter 200013 reject * * udp,tcp * 445
ip filter 200014 pass * * icmp * *
ip filter 200015 pass * * established * *
ip filter 200016 pass * * tcp * ident
ip filter 200099 pass * * * *
ip filter dynamic 200080 * * ftp syslog=off
ip filter dynamic 200081 * * domain syslog=off
ip filter dynamic 200082 * * www syslog=off
ip filter dynamic 200083 * * smtp syslog=off
ip filter dynamic 200084 * * pop3 syslog=off
ip filter dynamic 200085 * * telnet syslog=off
ip filter dynamic 200098 * * tcp syslog=off
ip filter dynamic 200099 * * udp syslog=off
2021/11/17(水) 16:49:24.12ID:BYH8o165
>>434
ip pp secure filter in
ip pp secure filter out
の行も
2021/11/17(水) 16:54:14.74ID:BYH8o165
>>429
そもそも、過去には同じハード構成で問題なく繋がっていた環境ですか？
違うハードなら問題が無かったとか？
それとも実績無し？
437sage
垢版 |
2021/11/18(木) 05:13:19.61ID:ULbsc0HP
>>435、436
ずっと同じハードで以前はそんな症状はなく、リセットした理由は接続をtransix→OCNに変わったためです

ip pp secure filter in 200000 200001 200002 200003 200008 200009 200010 200011 200012 200013 200014 200015 200016
ip pp secure filter out 200004 200005 200006 200007 200008 200009 200010 200011 200012 200013 200099 dynamic 200080 200081 200082 200083 200084 200085 200098 200099
2021/11/18(木) 05:36:33.92ID:X70V+JG6
>>437
何かを参考にした？
正常に動きそうにないようにしか見えん。
2021/11/18(木) 06:26:02.22ID:R/6tUwc2
プロバイダを変えたという情報が出てくるのがこのタイミングですか
ルータばかり疑ってるけど、一度ルータを介さずにPCでPPPoE喋らせてインターネットに繋いでみて、本当に問題ないか確認してみましょう
2021/11/18(木) 06:30:25.94ID:M41UJdyF
TransixからOCNのPPPoEに変えればそりゃ通信品質は落ちるだろ
終了終了
2021/11/18(木) 06:47:43.52ID:mmA6TD/7
プロバイダ変更を伏せている事を見破れなくて、自分はまだまだだなと思った
2021/11/18(木) 08:21:43.55ID:VjkwogFD
BUFFALOの無線LANルーターからRTX1200に変えたら下り100Mbpsから200になった。
マンションの無料LANだからこんなもんかと思ってたんだけどルーターの性能とは。
光回線ならNUROが速いらしいけどONUからYAMAHAにしたらもっと速くなるの？
443不明なデバイスさん
垢版 |
2021/11/18(木) 09:25:44.64ID:/NfFtvDG
速くするのが目的でルーター変えるなら他社のほうが良いよ
2021/11/18(木) 10:00:10.44ID:DOaT0WWc
YAMAHAはONUなんて作ってないから…
このタイミングでRTX1200を選んで導入したきっかけが知りたい
2021/11/18(木) 12:50:55.44ID:VjkwogFD
NVR510背面ににONUとあるけど使えないのか？
このタイミングの意味がよく分からないけどRTX1200買ったのはただ4000円ぐらいで安かったそんな理由
2021/11/18(木) 12:55:49.48ID:6Y6wHp47
>>445
その認識だったら、一般家庭用の方が良いかもね。
2021/11/18(木) 13:19:02.57ID:4ZaLFSvI
>>445
NVR510のそれは小型ONUと接続するためのインターフェースという意味

RTX1200は定価10万以上の中小規模向けルータだけど、IPv6化が進んでる近年の回線事情にはもう対応しきれない10年以上前に発売されたロートルよ
ヤマハが好きなら否定はしないけど、回線新しくするならよく考えないと直ぐに引退だよ
2021/11/18(木) 13:53:50.27ID:Tw+RJiEd
nuro使ってないからよく分からないけど、HGW使わない方法がDMZに自前ルーター配置するとかだった気が。あんまり効果ない気がする。
2021/11/18(木) 14:06:57.62ID:qxjBx5aB
最近の個人向けISPはHGW必須でONC内蔵していて直付けできんから余計に電気代かかる
2021/11/18(木) 16:58:35.38ID:VjkwogFD
>>446
RTX1100をテラタームで設定した事は有る。
セグメント分けたかっただけだけど。
見られたらまずいものが色々有るもんでね！
でも100Mしか出ないからすぐ使わなくなったんだけど。

>>447
小型ONU
サーバーラックで見たことある。
光を電気信号に変えるだけだからそれ自体に設定とかないとか思ってるけど間違い？
2021/11/18(木) 17:09:23.67ID:C3TWgSvX
>>450
小型ONUは基地局側での設定が必要だから、NVR510に設置するときは
NTTの人間が来るよ
2021/11/18(木) 17:53:15.38ID:kVn47aqU
ONUのMACアドレスを局側に登録する必要があるみたいだな
2021/11/18(木) 19:30:12.60ID:fCBj5W5s
小型ONUはただのSFPと違って光電変換以外に
OLTからPONの制御受ける仕組みになっててそれ用のチップが付いてる
2021/11/18(木) 20:35:45.83ID:/FASlCXw
色々見てたら光回線契約する時にHGWを小型ONU対応タイプにしてもらえばゴミルーターとおさらば出来ることが分かった
開通後即外されるHGW
2021/11/18(木) 21:08:40.20ID:7+2b81Z8
HGWは民生用ルータと思えばマトモなほうだから・・・
エ○コムとかつけるよりよっぽどマシやと思う
2021/11/19(金) 01:27:42.85ID:U/3/ORoF
家庭用のルーターに比べれば全然高機能だよね
2021/11/19(金) 16:54:59.07ID:4PLVRYfE
HGWはスループットも安定性も4ポートハブとしても、家庭用とは別物だな。
2021/11/19(金) 20:37:00.99ID:8erx/37E
500MIのvpnは2、3回接続があると
ネットが繋がらなくなってた
その度に再起動してた
459不明なデバイスさん
垢版 |
2021/11/20(土) 00:08:04.15ID:AT80D6Rr
>>458
HGWのVPN周りは実際に使ってる人が少ないだろうから、バグを踏む事案自体少ないかもね。
RTも少し変わった使い方をすると今でも変なバグ踏むよ。
流石にrestartがtimeoutするバグには呆れたが。(ルーターとしての動作は正常だったので様子見していたら数時間後に再起動して正常動作に戻った)
2021/11/20(土) 00:42:33.87ID:p6t8VtMF
ワイは小型ONUをNVR700Wに直収成功するも
フレッツテレビ契約したら結局V-ONU付いた

NVRにアンテナ端子付けて欲しい
2021/11/20(土) 00:47:05.15ID:ttoFkL1h
>>460
小型ONUの後ろにアンテナ端子というのは不可能。
462sage
垢版 |
2021/11/20(土) 08:49:00.24ID:lHGdWH1o
rtx1210をONU経由で使っていたけど、
ひかり電話を引く必要が出てきたので、
NVR510で小型ONUを引いた。

transix経由で速い時は850M bpsくらい出てる。
rtx1210の時は最速700M bpsくらいでしたが、
CPUがきつそうだったので、
まぁ、こんなもんなんだな。と思った。
2021/11/20(土) 09:37:33.86ID:OxCq78i5
>>408 >>420
どんなコンフィグ書いてるのよ
2021/11/20(土) 10:22:15.45ID:gfI50LqV
１．ip filter の番号は0埋めできますか？
２．ip filter と ipv6 filter の番号は重複不可ですか？
2021/11/20(土) 10:50:39.34ID:OxCq78i5
>>464
1. できん
2. 重複可
2021/11/20(土) 11:34:41.51ID:3SuqShbl
>>465
ありがとうございます。
2021/11/20(土) 12:51:54.25ID:fL0EOHMI
>>463
ヤマハルータ側

ip route 192.168.1.0/24 gateway tunnel 1
ip lan1 address 192.168.2.1/24
tunnel select 1
　ipsec tunnel 1
　ipsec sa policy 1 1 esp aes256-cbc sha-hmac
　ipsec ike duration ipsec-sa 1 28800
　ipsec ike duration isakmp-sa 1 28800
　ipsec ike encryption 1 aes256-cbc
　ipsec ike group 1 modp1536
　ipsec ike hash 1 sha
　ipsec ike local id 1 192.168.2.0/24
　ipsec ike local name 1 user02@XXXXXXXX.jp user-fqdn
　ipsec ike pre-shared-key 1 text <共有キー文字列>
　ipsec ike remote address 1 <対抗のDDNS名>
　ipsec ike remote id 1 192.168.1.0/24
　ipsec ike remote name 1 user01@XXXXXXXX.jp user-fqdn
nat descriptor masquerade static 1 1 192.168.2.1 udp 500
nat descriptor masquerade static 1 2 192.168.2.1 esp
2021/11/20(土) 12:57:10.41ID:fL0EOHMI
HG100R-02JG側

▼ルーティング設定
そんな項目は見当たらない

▼LAN設定
IPアドレス：192.168.1.1/24

▼IPSec設定
事前共有キー：「<共有キー文字列>」
フェーズ1 DHグループ：「Group 5 (1536 bit)」
フェーズ1 暗号化：「AES-256」
フェーズ1 認証：「SHA-1」
フェーズ1 SA存続時間：「28800秒間」
フェーズ2 暗号化：「AES-256」
フェーズ2 認証：「SHA-1」
フェーズ2 SA存続時間：「28800秒間」
▼ローカルエンドポイント設定
アドレスグループタイプとIP：「IP subnet」「192.168.1.0/24」
IDタイプとID：「USER FQDN」「user01@XXXXXXXX.jp」
▼リモートエンドポイント設定
アドレスグループタイプとIP：「IP subnet」「192.168.2.0/24」
IDタイプとID：「USER FQDN」「user02@XXXXXXXX.jp」
ネットワークアドレスタイプとリモートアドレス：「FQDN」「<対抗のDDNS名>」
2021/11/20(土) 13:04:51.75ID:fL0EOHMI
こんな感じの拠点間VPNね

-+-------- 192.168.2.0/24
　|
　| 192.168.2.1
ヤマハルータ
｜
(インターネット)
｜
HGR100R-02JG
｜ 192.168.1.1
｜
-+--------- 192.168.1.0/24

現状ではヤマハルータ側からHGR100R-02JG側にだけパケットが届いて
逆方向は一切届かない状態
2021/11/20(土) 14:23:23.56ID:FipcoQCb
>>469
https://kusoneko.blogspot.com/2019/01/vpn-connect-strongswan-and-hg100r-02jg.html
2021/11/20(土) 15:00:08.30ID:fL0EOHMI
>>470
そこのサイトはHGR100R-02JGの対向がLinuxサーバなだけで
同じような感じでやってるつもりなんですけどねえ
2021/11/21(日) 12:05:57.24ID:JsZxaxWh
user attribute admin connection=serial,telnet,remote,ssh,sftp,http gui-page=dashboard,lan-map,config login-timer=300
login timer 600

こうしたときにadminでログインすると5分でログアウトするのですが、
login timer ってどう使うんですか？
ttp://www.rtpro.yamaha.co.jp/RT/manual/rt-common/setup/login_timer.html
2021/11/21(日) 12:27:15.73ID:JsZxaxWh
自決しました。
login-timerが優先されるって書いてありました。
ttp://www.rtpro.yamaha.co.jp/RT/manual/rt-common/setup/user_attribute.html
2021/11/21(日) 12:48:33.39ID:xsBi/oZs
ネットスラングにもなりきっていない使い方をするのはどうなのか。
2021/11/21(日) 12:58:20.99ID:9vIX4059
成仏して以下略
2021/11/21(日) 13:39:15.48ID:hXI5+BSj
クレメンス
2021/11/21(日) 14:01:48.08ID:Ut7NjJ8w
user attributeとかあんまし使ったことなかったなー
2021/11/21(日) 19:26:08.60ID:a02/sps7
>>472
これって user attribute で明示的に　login-timer=300　と書いていたら
気づくけど、 login-timer=300 を省略したときにも、初期値は 300 なので
login timer の値をいくら変えても 5分でタイムアウトになって悩むことがある
2021/11/21(日) 20:44:02.86ID:D3r3qx36
分からないので力を貸してください

電源をOnにした直後RTXのコンソール上でpingを実行すると応答があります

ping 8.8.8.8
8.8.8.8から受信: シーケンス番号=0 ttl=115 時間=21.262ミリ秒

その後何もせず数分ぐらい経った後再度pingを実行すると返ってきません
返ってこなくなる直前のログにはARP: Illegal packet at LAN2, ……
と出ている事が多いです

ARP: Illegal packet at がログ出力される場合、
内部的に何か機能が停止されたりするのでしょうか？
若しくは、ARPのキャッシュがクリアされるとか

よろしければ教えていただければ幸いです
2021/11/21(日) 21:33:37.85ID:Ut7NjJ8w
>>479
ネットワーク構成をもう少し詳しく教えて下さい
とくにLAN2側

RTXが認識出来ないセグメントのIPアドレスを持つノードからのARP通信を
LAN2が受けた場合に、
このメッセージと共にそのノードのIPとMACアドレスが記録されます

よくありがちなのは、
LAN2がPPPoEを喋っていてIPを付与していない状態で、
その先のモデム(PPPoEブリッジモード)にはIPが付与されていて
そこからARP通信がやってくるケース
2021/11/21(日) 22:41:37.33ID:nJ7tVscJ
>>409
中から動的フィルタを開ける方法でうまくいくようになりました
静的IPマスカレードを追加したり削除したりする方法だと複数セッションの
管理したい場合に問題がありますが、この方法だとそういう心配もないので
すごくいいですね

なんかこの手の対策はあまり意味が無い的なつっこみがありましたけど、
ブルートフォースアタックの対策という意味で決して無駄だとは無いと
思う訳ですよ
2021/11/21(日) 23:33:03.38ID:9w7vP3OT
>>481
ポートスキャンは普通に行われていて、
かつ、その結果をもとにブルートフォースアタックをかけるということは日常茶飯事。
なので、それに対してはあまり効果を発揮しない可能性があるのは明白。
483不明なデバイスさん
垢版 |
2021/11/21(日) 23:57:39.16ID:D3r3qx36
479です
>480さんへ
ルータ(CATV)[192.168.0.1]---[192.168.0.200]RTX---[192.168.10.x]
こんな感じになってます。
IllgalPacketのIPは59.XX.XX.XX でログ出力されていました
2021/11/21(日) 23:57:57.38ID:Ut7NjJ8w
>>482
ターゲットになる通信ポートが普段は閉じているのに？
2021/11/22(月) 00:07:52.73ID:VlklaA4z
>>483
ん？
CATVの終端装置はブリッジモードじゃなくルータ動作なんですか？
こういう二重NAT状態？

インターネットへ
　｜
　｜ [グローバルIP(DHCP)]
NATルータ(CATV)
　｜ [192.168.0.1/24]
　｜
　｜ [192.168.0.200/24]
NATルータ（RTX)
　｜ [192.168.10.x/24]
　｜
　 :
486不明なデバイスさん
垢版 |
2021/11/22(月) 00:08:08.14ID:pmftLgpC
>>481
もしどうしてもやるなら仕掛けを作った本人ですらタイムアウトがキツくて頻繁にログインに失敗したりする作り込みまでやらないと単なる自己満足に終わる

ポートスキャンやった後にブルートフォース始めるのだから尚更
勘のいい侵入者ならこんな再現性のある仕込みなんて直ぐに見破る(当たりポートだと発側にパケット打ち返してるのだから当然ながら全部記録されている)
2021/11/22(月) 00:15:48.92ID:MzW7/Tom
>>486
トリガーは一回叩くだけで開くようじゃ流石にイージーすぎるのはわかるけど、
複数回なり多段なりTCPフラグをみるなり、
ある程度複雑化しておけば充分意味はあると思うんだけどなぁ？
488不明なデバイスさん
垢版 |
2021/11/22(月) 00:21:51.73ID:pmftLgpC
>>487
> もしどうしてもやるなら仕掛けを作った本人ですらタイムアウトがキツくて頻繁にログインに失敗したりする作り込みまでやらないと単なる自己満足に終わる

と書いてあるのが読めないのか、それは仕方ないな。
2021/11/22(月) 00:29:54.26ID:MzW7/Tom
頭ごなしに否定するような物言いで始めておいて、そりゃ無いんじゃないの（笑）

やる意味はあるという理解でOKだよね
2021/11/22(月) 00:47:25.15ID:aaVR7Z7a
>>483
そのIllgalPacketのIP(59.XX.XX.XX)は具体的にどこのIPです？
あとMACアドレスも

自分がプロバイダから付与されているグローバルIPじゃなくて、対向のゲートウェイのIPとか？
2021/11/22(月) 01:08:01.78ID:CfzVxW+c
>>483
その本当に構成図は正確ですか？
グローバルIPが付与されている機器はCATVのルータとRTXのどちらでしょうか
CATVのルータがブリッジモードで、RTXのLAN2にグローバルIPがDHCPで付与されているという事はありませんか？

IllgalPacketのメッセージの通りだとすると、LAN2側にはIPが59.XX.XX.XXのデバイスが存在し、
LAN2がそのIPと直接通信できるセグメントにいない状態でそのデバイスからARP通信を受け取ったという事になります
2021/11/22(月) 08:43:15.57ID:l0De1Jrp
479です

＞＞485です
その図であっています。二重NAT状態です

＞＞490
59.XX.XX.XXは自分で設定していませんし、電源投入後ARP: Illegal packet がログに出力された後ではPingも通りません。
想像ですが、プロパイダであるCATVのルーターかも？（不明）

＞＞491
グローバルIPが付与されているのはCATVのルーターになります
IP電話のサービスも使っているのでそのせいかも



RTXの動作として、ARP: Illegal packetが受信されると、内部的に何か（一時）停止するサービスがあったりしますでしょうか？
2021/11/22(月) 09:41:38.65ID:3YxFdUEt
>>492
>RTXの動作として、ARP: Illegal packetが受信されると、内部的に何か（一時）停止するサービスがあったりしますでしょうか？

ありません
本当に構成図通りなら、グローバルIPを纏ったARP通信がRTXに届く事自体が何かおかしいです
LAN2に繋がっているのがCATVのルータだけなら、そっちの動作の方が怪しいです
CATVのルータは本当にブリッジモードではなくルータモードですか？
ログに59.XX.XX.XX.XXと一緒に記録されるMACアドレスはCATVのルータの物ですか？

>59.XX.XX.XXは自分で設定していませんし、電源投入後ARP: Illegal packet がログに出力された後ではPingも通りません。
>想像ですが、プロパイダであるCATVのルーターかも？（不明）

CATVのルータの管理画面で付与されてるIPやゲートウェイのIP、自分自身のMACアドレス等は確認出来ると思うので確認してください

>グローバルIPが付与されているのはCATVのルーターになります
>IP電話のサービスも使っているのでそのせいかも

IP電話サービスにグローバルIPは必要ない気が…


そもそもなぜ二重NATにしているのかよく分からないのですが、何か理由があるんです？
2021/11/22(月) 10:05:31.02ID:CfzVxW+c
どこのCATVの何ていう機種か知らないけど、管理画面でステータスやログは確認できるでしょ
PINGが飛ぶ時と飛ばない時でステータスが変化したりログが何か記録されてないか確認すべき
RTXばっかり疑いすぎ
495不明なデバイスさん
垢版 |
2021/11/22(月) 11:52:02.46ID:l0De1Jrp
479です
皆様ありがとうございました。
使用中のバッファローのルーターの置き換えのため色々試している途中でした。
RTXばかり疑いすぎという話でしたので、今一度見直してみようと思います。
2021/11/22(月) 15:31:28.81ID:0jSUeJz2
>>489
>>482はこれまでの話の流れを知らないだけじゃないの
もともと多段なり複数回叩かせるなりするのは前提で話してたんだし、きにすんな
2021/11/22(月) 15:43:45.26ID:2vfvnmEY
>>479が何をやりたいのかイマイチよくわからん
普通に考えてCATVのルータがブリッジモードで動作してないとグローバルIPのARPなんてRTXまで飛んでこないので、嘘か勘違いか混ざってるか隠してる情報がある筈
498不明なデバイスさん
垢版 |
2021/11/22(月) 17:29:21.80ID:U7yhu19N
教えてください。SWX2310-52GTに接続できるsfp+のモジュールって純正でないとダメなんでしょうか?
10GBase-Tで接続したい機器があるのですが純正でTのsfp+モジュールが存在しないので。

fs.comのGeneric Compatible 10GBASE-T SFP+ Copper RJ-45 30m Transceiver Module
https://www.fs.com/products/74680.html?attribute=113&;id=219394
のようなサードパーティ製のモジュールの動作実績ってありますか?
2021/11/22(月) 17:58:24.98ID:6T76s2D2
横からでごめんけど>>485のような二重ルーターの場合dnsを8.8.8.8にしたい時は最上位だけしにといて下位についてはDGWとどうアドレスにするべきなの？
500不明なデバイスさん
垢版 |
2021/11/22(月) 18:15:56.78ID:+MEWacU2
ヤマハで二重言う奴はヤマハを使うな
設定で無駄に時間を費やすだけ
2021/11/22(月) 18:40:06.63ID:LS4R41ib
>>499
DGWを直接参照
2021/11/22(月) 19:49:39.60ID:/lcgcYu0
>>501
ルーターにさせとけば下位まで外部参照する必要がないわけだよね
2021/11/22(月) 19:54:17.30ID:LS4R41ib
どの子にDNSリカーシブサーバーの仕事をさせたいかってだけでしょ
2021/11/22(月) 21:10:22.92ID:MICcdgbo
そりゃ一番ぶら下がった端末が多いやつでしょ
2021/11/22(月) 22:29:33.86ID:OGIqcevp
>>500
よちよち歩きから2足歩行始めようとする時、転んで危険だから延々とよちよち歩きをしたらいいと思うよ
2021/11/22(月) 22:56:38.62ID:xXPrSN5c
>>499
端末いっぱいぶら下がってるのが下位のルータなら、
普通は下位のルータをリカーシブサーバーにして上位のルータを使わずに
外部参照させるべき
507sage
垢版 |
2021/11/24(水) 07:10:09.89ID:FWj2WR/h
nvr510ですら値段が上がってきた。
この先どうなるんだろうね。
2021/11/24(水) 13:37:12.87ID:tr4Hp6YA
>>486
実験はシンプルな形でやってるけど、実運用するならひとつのポートを1回2回叩いた程度で開くような事はしないので安心して下さい
2021/11/24(水) 17:52:30.95ID:tz6TjVEv
6年周期だった新モデル登場が10年周期とかになりそう
2021/11/26(金) 07:53:56.48ID:qptOYQls
以下のURLの真ん中あたりに「他社製L2スイッチに端末とスレーブが並列で接続されている場合」とありますが、
他社製L2スイッチがLLDPを有効にしていてもPC2PC3の情報は拾えないのでしょうか。
ttp://www.rtpro.yamaha.co.jp/RT/docs/lanmap/

yamaha側で純粋にLLDPだけ有効にするというのもできないですよね。
2021/11/26(金) 09:00:05.00ID:C4urG6ek
>>510
LANマップ機能はLLDPを利用しているわけではないので、他社製L２スイッチのLLDPが有効でも無効でも同じ表示になります。
2021/11/27(土) 19:13:42.24ID:yL1IjgOq
>>511
表示させる方法ってありませんかね
2021/11/27(土) 19:31:50.93ID:qzxdsPPF
ないと思います
2021/11/28(日) 16:09:09.38ID:w0qaZmQw
>>509
https://businessnetwork.jp/Detail/tabid/65/artid/7942/Default.aspx

> このRTX1210はヤマハの中小企業向けVPNルーターの主力製品だったが、昨今のコロナ禍で注文が殺到。
> 「本来は2024年のISDNのサービス終了までは安定して供給できる予定だったが、コロナ禍という想定外の事象により、
> 当初の目論見より大分早い段階で生産を終了せざるを得なくなってしまった」と千頭和氏は語る。

RTX1210は2014年の発売
もともとRTX1210で10年は戦う算段だったのかもしれんよ
2021/11/28(日) 17:39:23.94ID:LdTzkHYq
米中韓台のIT産業に関わってる連中は驚くだろうな
同じ機器を10年も売り続けるなんて冗談だろって
2021/11/28(日) 17:52:18.49ID:axRn/6nT
スマホじゃあるまいしそんなこと考えてる人いません
2021/11/28(日) 18:20:14.45ID:F7taweJC
rt2600acは4年半になろうとしてます
2021/11/28(日) 22:15:58.95ID:okF2fnyM
Yamaha UTX200のことってここで聞けますか？
かれこれ1週間以上試行錯誤しておりまして…何かアドバイスいただけたら助かります

<構成>
固定IP-NET-ONU[動的IP]-RTX1210[PPPoE]--Si-R G100[IPsec]-PC
で特定のWebサイトのみIPsec[アグレッシブモード]で見る構成から、
固定IP-NET-ONU[動的IP]-UTX200[PPPoE]-Si-R G100[IPsec]-PC
に変更後、IPsec通信を必要とするWebサイトが見れなくなりました。
なお、他のWebサイトは閲覧できています。

<Si-R G100>
# show ip route all
にてRTX利用時には表示されたIPsec接続先が表示されない
トラブルガイド「IPsec 対象先のネットワークアドレスが、IPsec インタフェースに向いていないため、IPsec 対象先の経路情報を設定してください。」
# show ipsec sa
にて[IPsec SA Information]２つ[IKE SA Information]１つの確認はできるが、特定サイト閲覧不可
トンネル構築約1分後切断して再接続→切断を繰り返す

<RTX1210>
ip lan nat descriptor 1
nat descriptor type 1 masquerade
の設定以外にSi-R G100関連の静的な記述なし

<UTX200>
Hide NAT(NAPT?)有効
セキュリティ機能をすべて無効にしても状況変わらず
ブロックしたログなし
2021/11/29(月) 04:46:29.01ID:eCZu4D/B
RTX1210のNATディスクリプタで静的な事をやってないって事は、
Si-R G100はIPSecはNATトラバーサルで動作してるってことでいいんだよね
520518
垢版 |
2021/11/29(月) 18:26:47.06ID:gn4TTEH9
>>519
ご指摘ありがとうございます
私もこの辺りに原因があるのではないかともやもやしている次第です

Si-R G100にて
ike nat-traversal use on
の記述がないため、NAT-Tでは動作していない？ようです
RTX1210接続時において
show nat descriptor address 1 detail
の結果、ESPとUDP500の通信があり、NAT-Tで使用されるUDP4500？は存在しませんでした
2021/11/29(月) 18:44:13.17ID:CEMSbIEB
>>520
えっ…
IPSecのパススルー処理も無しでどうやってNAT配下のGi-R G100がESPで通信してるの
522518
垢版 |
2021/11/29(月) 20:06:41.41ID:gn4TTEH9
>>521
ご指摘ありがとうございます
自分も本来であればRTX1210に
nat descriptor masquerade static 1 1 192.168.0.1 udp 500
nat descriptor masquerade static 1 2 192.168.0.1 esp
などの記述があるべきだと思うのですが、configを見てもないのです
2021/11/29(月) 21:35:13.08ID:sZhMUWop
>>515
きみはたらいたことないでしょ？
レガシーのシステムやハードなんてそこらじゅうにたくさん転がってるよ？

ハリウッド映画の軍事モノの観すぎ
2021/11/29(月) 21:44:06.09ID:9GQzg4/j
WindowsXPからRTXへリモートVPN(L2TP/IPSec)が繋がらなくて悩む事小一時間、そういやこの世代ってAES喋れないんだったと気づく
2021/11/30(火) 00:01:40.59ID:2A1VHsDg
旧世代OSはおとなしく3DESかPPTP使うよろし
2021/11/30(火) 14:05:49.66ID:werbDmzI
>>522
UDP500とESPのフィルタはどうなってますか？
2021/11/30(火) 18:18:37.25ID:0cYT+Lmv
>>523
転がってるのはあんたの周りでしょ
2021/11/30(火) 20:33:36.20ID:qU7cRo9j
>>527
世の中で動いているモノの裏側を知らないのだけは分かる。
529不明なデバイスさん
垢版 |
2021/11/30(火) 22:28:08.92ID:SLGwyWDj
米国の企業でも数年前まではT1/DS3回線の新規導入ってのは普通にあったがな

レガシーなTDM/PDH系の品目の方が瞬断検知性能が極めて良くて通信事業者の頭痛の種の一つだった
2021/12/01(水) 00:05:46.99ID:FHt7cJNu
RTX830MB　configクリアできたがファーム更新でエラー。
なんとかならんかのぉ
2021/12/01(水) 00:36:33.65ID:Mn0R2CLz
https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/111800124/111800003/

シスコがヤマハを抜くって、、
シスコの方が上だと思ってた
2021/12/01(水) 02:01:40.76ID:fQdnSVWO
バッファローとかあるしw
2021/12/01(水) 09:39:37.17ID:I+1C0qev
これって国内市場＆LANの出口として使うようなルーターのことじゃないの？
シスコがシェアあるのがびっくり（高いし…）
2021/12/01(水) 10:34:18.91ID:81sjARiv
シスコはヤマハと違って
「金くれればケツ拭くまで面倒見ます」
式でセッティングにユーザー労力負担がないからな
金はあるがスキルがないならシスコ
スキルはあるが金が無いならヤマハ
どちらもなければアキラメロン
2021/12/01(水) 10:46:14.64ID:tNov38vY
ろくでもないのが揃ってるから自分でやった方がマシなレベルだったりするだけでヤマハだって金払えば面倒見てくれる業者はあるだろう
建前上の責任押しつけるために保守契約結ぶことあるぞ
2021/12/01(水) 11:02:39.35ID:wgCtk8Uu
シスコはノベルと同じ変な資格商売をやめて販売を伸ばした
上納金を納め続ける有資格者にしか情報渡しません機材の設定もやらせませんでは限界が来ることを
華為に侵食されまくってからやっと気づいたらしい
2021/12/01(水) 11:21:35.17ID:ZqHc7Gf2
中小規模はヤマハで大規模がシスコだった
台数シェアはヤマハが上だけど金額シェアはシスコが断トツ
2021/12/01(水) 11:48:41.92ID:QYcI9yzl
Cisco Meraki Goの完全対抗商品群を出さないと
ヤマハもそろそろ台数でもヤバげ
539不明なデバイスさん
垢版 |
2021/12/01(水) 12:30:58.41ID:X4+YIzpH
>>533
せやで、えっじるーたーっていうんよ
2021/12/01(水) 16:30:41.97ID:0w+9U+PG
上流がシスコだらけだからある程度の規模以上は全部シスコ
2021/12/01(水) 18:42:57.41ID:hoJxJ7n3
上位が全部ciscoなわけあるかいな。アンチciscoも一定数いる。
コアルータ(BGP peerはれる奴）でいうと、juniperなり最近はhuaweiとかも見かける。
2021/12/01(水) 18:47:05.17ID:81sjARiv
華為は使ってるだけでダメリカと商売てきなくなるから
割とすぐ捨てられる運命
2021/12/02(木) 06:02:04.86ID:zxFtQuXj
ヤマハが家庭用製品出し続けてくれる限りヤマハ買うよ
2021/12/02(木) 06:14:19.16ID:0K7P1qao
じゃぁもう買ってないという事では
2021/12/02(木) 07:03:45.15ID:NIgiZlbQ
ファンレス製品は家庭用
2021/12/02(木) 07:45:59.75ID:MKnaQX2I
その考え方は違う
547不明なデバイスさん
垢版 |
2021/12/02(木) 08:06:11.08ID:IcwqO1Ui
ファン付きで不安レス
2021/12/02(木) 09:54:20.15ID:tmizRjzI
MVR700Wならファン付いてるぞ
常時回ってる訳ではないが
2021/12/02(木) 10:21:26.08ID:xXuGcCtN
環境悪いところでファン有りにするとひどいことになる
2021/12/02(木) 11:37:36.06ID:Cefur2Mk
どちらも動かなくなるから結果は一緒
2021/12/02(木) 13:08:20.73ID:RJo5pZfi
ただのスイッチもエッジルータ？
ちゃんとMACアドレスベースで振り分けてるし
552不明なデバイスさん
垢版 |
2021/12/02(木) 14:12:29.19ID:nbxZD4UC
>>551
L2なのでそもそもルーターではありません
2021/12/02(木) 15:43:33.70ID:b4BT0qj0
ルータとL3スイッチの違いが分からないとかの初心者質問ならあるある
2021/12/02(木) 16:52:15.10ID:nbxZD4UC
ただのスイッチとあったからL2だと思い込んでしまった
もっと柔軟に考えないとあかんな……
2021/12/02(木) 17:08:34.58ID:b4BT0qj0
あ、いや、>>551はただのL2スイッチの話だとは思うけど
2021/12/02(木) 18:46:14.22ID:NIgiZlbQ
寝室で添い寝出来れば基本的に家庭用な希ガス
2021/12/02(木) 19:16:09.39ID:SrRl9GAo
それだとヤマハは家庭用しかない事に
2021/12/02(木) 19:23:19.58ID:hNj3G5Cq
コンソール無いやつは家庭用
2021/12/03(金) 08:55:16.93ID:K1ASaGxn
>>554
ちゃんとmacで振り分けるとあるからL2で良いんじゃね
2021/12/03(金) 11:01:28.95ID:OJDhF3AD
RTX 830の値段が凄いことになってる
9万円近いって…
2021/12/03(金) 13:09:01.47ID:PdU0Nvnu
品切れ状態か
半導体不足なのか新製品発表するのか
562不明なデバイスさん
垢版 |
2021/12/03(金) 15:22:13.77ID:xsA2tz8E
>>561
春先からずっと似たような状態が続いてる。
RTX1220は僅かに市中在庫が出てくるようになった。
2021/12/03(金) 15:42:32.49ID:z7BC7Vl9
値段ってアマゾンのこと言ってるのか？
2021/12/03(金) 20:36:51.84ID:3wsw/BFv
>>561
rtx5000の後継くるの？
2021/12/04(土) 03:28:32.18ID:SCEKvLH2
RTX810なら安いよ
2021/12/04(土) 05:48:40.39ID:d8AnD4C9
>>560
43000円くらいだったのにね
2021/12/04(土) 06:26:10.26ID:9Pr5sd8x
RTX830は価格コムで\85,800の1社しか出てないね
尼はマーケットプレイスしかなくて当てにしてはいけない

シンプルに在庫がどこにもないんだろうな
2021/12/04(土) 08:22:22.98ID:pz27l09O
昨日業務で必要になったから在庫確認したけど、
NVR510は早くても2ヶ月先の入荷って言われたな…
RTX830なら多少在庫あるらしいんだけど、どんなもんだろう
569不明なデバイスさん
垢版 |
2021/12/04(土) 13:13:47.84ID:qH/Nwe4Q
>>568
510でできることは830でできる
業務で必要ならスピード優先でいいんじゃない
570sage
垢版 |
2021/12/04(土) 16:25:15.51ID:WXjv/kay
>>569
830と510の決定的な違いがあるとすれば、
小型ONU対応とひかり電話だねー。
571不明なデバイスさん
垢版 |
2021/12/04(土) 17:20:32.12ID:by1y55tf
>>568
兄弟機のNVR700Wなら即納
2021/12/09(木) 10:00:18.29ID:Sli9YPlS
RTX830のIPv6ログを見ていたら、google様からandroid端末へのudpのhttpsを落としてた。
HTTP/3ではudpを使うんですね。
とりあえず
ipv6 filter 396 pass * * udp https *
を入れておいたけど、HTTP/3を調べて動的フィルタに変更しておきたいな。
IPv4側は見ていないけれどnatはHTTP/3に対応しているのかな？
2021/12/09(木) 17:01:18.33ID:Y9EZKt4h
>>572
普通のIPv4NAT環境ならそのままで通るはずだな
問題になるのはv6プラスみたいなUDP接続を大量に使用されると問題のある環境で
たまに利用可能ポート食い尽くして死ぬ安物のルーターとかがいるくらいか
2021/12/10(金) 07:05:06.24ID:3BOAyyWV
>>572
https://qiita.com/ynakatake/items/ae346847c3d713bd925d
575sage
垢版 |
2021/12/10(金) 09:26:03.69ID:KlJAnUv2
>>574
ありがとうございます！
なるほどコネクションレスのUDPのタイムアウト値の問題でしたか。
dnsにも怪しいのがあったので、全部見直さないといけないようですね。

参考ページでは送信先ポートにhttpsを指定していますが、送信元ポートの誤りですよね。
実際に、そんなパケットが飛んでるし。
2021/12/10(金) 09:46:16.10ID:FYEj8bPo
>参考ページでは送信先ポートにhttpsを指定していますが、送信元ポートの誤りですよね。
>実際に、そんなパケットが飛んでるし。

？？？
2021/12/10(金) 10:01:37.44ID:KlJAnUv2
ああ、動的フィルタになっているので、勘違いしてました。
2021/12/11(土) 11:31:27.51ID:dbjPPkZ/
>>575
とりあえず、動的フィルタのタイムアウトを指定して、試してみました！
ipv6 filter dynamic 491 * * udp syslog=off timeout=300
以下のコマンドで、挙動を見てみたのだけど、明らかに動的フィルタは数秒で消えてしまうように見えます。
show ipv6 connection detail
UDPは通信の終わりを判定できないから、必ず5分間フィルタは残っていると思っていましたが、また何か勘違いをしている？
2021/12/11(土) 21:26:03.53ID:6iF+AJoJ
NVR510在庫復活しておくんなまし...
2021/12/11(土) 22:20:29.87ID:ynUcUlVz
>>578
・全体としてどういうconfigになっているか分からない
・何の通信のログを見て言っているのか分からない
2021/12/12(日) 21:44:01.44ID:Ejm1enXp
nvr 510買いたいけど確かに来ないのね次世代機種来るのかな？
2021/12/12(日) 22:15:53.56ID:NanITVjk
高騰の原因は半導体需要？
2021/12/12(日) 22:16:41.28ID:bgqSg9pc
イベントでチラ見せもされてないのにいきなり新製品発売なんてこねーよ
2021/12/13(月) 02:29:00.99ID:Q2IJ98B0
今は部材なくて作れないだけだ
2021/12/13(月) 06:20:15.44ID:mugrp6Oq
rtx1220の後継も来てないしなぁ
2021/12/13(月) 07:28:30.47ID:mLATSOEi
>>582
>584

ISDNの部材調達ができなくで1220をだしたってのに
その1220ですら流通してないとか、もうね
2021/12/13(月) 12:14:42.47ID:Ru8wHeZd
>>586
ISDNの部材はとっくに作ってなくて需要増でYAMAHAの在庫が尽きただけだ
2021/12/13(月) 14:14:19.74ID:R/M9BDrD
>> 580
関係するところのconfigはこれです。
pp select 1
pppoe use lan2
pppoe設定を略
ipv6 pp secure filter in 301 302 311 312 331 397 398
ipv6 pp secure filter out 399 dynamic 401 402 491
pp enable 1
ipv6 filter 301 pass * * icmp6 * *
ipv6 filter 302 pass * fe80::/10 udp * 546
ipv6 filter 311 reject-nolog 240e:f7:4f01:c::/64 * * * *
ipv6 filter 312 reject-nolog 240e:d9:d800:200::/64 * * * *
ipv6 filter 331 pass * サーバのIPアドレス * * 公開ポート
ipv6 filter 397 pass * * established * *
ipv6 filter 398 reject * * * * *
ipv6 filter 399 pass * * * * *
ipv6 filter dynamic 401 * * ftp syslog=off timeout=7440
ipv6 filter dynamic 402 * * dns syslog=off timeout=300
ipv6 filter dynamic 491 * * udp syslog=off timeout=300

パソコンからgoogleにアクセスしてから
show ipv6 connection detail
コマンドを叩くと
PP[01][out]
ID FILTER T APPS P INITIATOR/RESPONDER D S
53590 491 udp U パソコンのIPアドレス.59157 >
2404:6800:4004:813::2003.443
と、現在の動的フィルタの一覧が表示されます。
何度もshow ipv6 connection detailを叩いてID 53590が消えるまでの時間を測ると30秒ぐらいでした。
なのでtimeout=300が効いていないような気がします。

今の所。シスログを見ても落としているパケットはなさそうなので、このまま様子を見てみます。
2021/12/13(月) 17:24:05.84ID:gYBHL2py
UDPはDynamicフィルタなのにTCPはestablishedなのか
590不明なデバイスさん
垢版 |
2021/12/13(月) 18:59:08.57ID:R/M9BDrD
うん、establishedをdynamicのtcpに入れ替えたら、パケットをぼろぼろ取りこぼしたので。
udpのdynamicも調子が悪かったら、dns,ntp,httpsを開放する予定です！
2021/12/13(月) 23:55:08.96ID:sjqmBVPx
>>590
意味のある通信のパケットを取りこぼしていたのかどうか、切り分けした？
2021/12/13(月) 23:59:45.06ID:8uHxTrV1
>>590
なんか簡単に「ぼろぼろ取りこぼした」って言ってるけど、
本当にそうならヤマハルータはゴミだって言ってるのと同義なんだが
2021/12/14(火) 00:03:52.72ID:cGsUCExp
establishedをdynamicのtcpに入れ替えたら、google様からパソコンのIPアドレスへのパケットがRejectされてたので、もとに戻しました！
2021/12/10 15:45:54: PP[01] Rejected at IN(398) filter: TCP 2404:6800:4004:810::200a.https > パソコンの一時IPアドレス.59684
2021/12/10 15:45:58: PP[01] Rejected at IN(398) filter: TCP 2404:6800:4004:81f::200a.https > パソコンの一時IPアドレス.55232
2021/12/10 15:45:59: PP[01] Rejected at IN(398) filter: TCP 2404:6800:4004:819::2003.https > パソコンの一時IPアドレス.41954
2021/12/10 15:46:16: PP[01] Rejected at IN(398) filter: TCP 2404:6800:4004:819::2003.https > パソコンの一時IPアドレス.41950
2021/12/10 15:46:25: PP[01] Rejected at IN(398) filter: TCP 2404:6800:4004:823::200a.https > パソコンの一時IPアドレス.42612
2021/12/14(火) 00:05:10.17ID:HbaesFAC
>>593
多分ね、勘違いしているだけだと思うよ。
悪いこと言わんから、状況判断を的確にしようね。
2021/12/14(火) 00:11:39.33ID:smI9BtDh
どこからツッコミを入れたらいいのか誰か教えて
2021/12/14(火) 00:39:45.18ID:cGsUCExp
TCPについては、またコンフィグを上げるのが面倒だから、まずは >> 588 について突っ込んでいただけると嬉しいです！
2021/12/14(火) 00:49:58.56ID:HbaesFAC
>>596
色々やり取りするの面倒だから、「config適用させた後ルータを再起動させた状態」で確認するとどうなるか　を先に書いてください
2021/12/14(火) 01:12:34.60ID:cGsUCExp
>> 588 のコンフィグのまま再起動を行っても、状況は変わりませんでした。
show ipv6 connection detail　コマンドを何度も叩いて確認したところ30秒ほどで動的フィルタが消えてしまい、ttimeout=300が効いているように見えませんでした。
2021/12/14(火) 22:41:12.56ID:e4uOkeFk
>>588
サーバのIPアドレスとかわざわざ隠さなくてもよくない？
そのコンフィグ、そのサーバーで公開してる人でしょ？
2021/12/15(水) 02:28:27.16ID:bwG4hbh3
>>593
動的フィルタ使ってたら普通に見かける感じだが…
601不明なデバイスさん
垢版 |
2021/12/15(水) 21:49:53.23ID:kbmpEGYO
来年あたりヤマハのYMCA試験受けようか迷ってるがこれの話題取り扱ってるスレってもしかして無い…？
2021/12/15(水) 22:08:46.42ID:FAv2n7K+
ないね
話すなら技術板の方かね
2021/12/15(水) 22:51:32.36ID:THG5uHg4
ベンダーの資格ビジネスに乗っかりたくない
2021/12/16(木) 12:36:01.61ID:2Qss1/pP
1月25日に新製品発表会だそうだ
何が出るかは知らん
2021/12/16(木) 12:46:22.68ID:wCNnRSvK
5000の後継かな
2021/12/16(木) 15:45:58.91ID:mWygHs8E
1230かな？
2021/12/16(木) 17:36:39.85ID:HE508ehK
https://network-innovation.jp/ynif2022/

発表会というかこれだよね？
前回の時はロードマップとか予告とかだった
今回も新情報は出るだろうけど新商品が発表されるかは微妙な気がする
2021/12/16(木) 21:45:18.28ID:CxuWQDxR
頼むから510売っておくんなまし...
609不明なデバイスさん
垢版 |
2021/12/17(金) 07:43:30.29ID:+3wI3pZ6
>>608
NVR700W買えば？
2021/12/17(金) 12:02:51.67ID:YiKIIsaW
>>607
部材の調達の目処が立たず！　ロードマップの！　見通しが！　立ちませんでしたっっっっ！
2021/12/17(金) 12:44:49.31ID:BOqlwcYK
>>609
値段が倍以上するではないですかー LTE アンテナは使わないし
2021/12/17(金) 14:59:00.63ID:Fr2ntpfn
>>578
ip flow timer udp 300いれたの?
ファストパスのフローがUDPのデフォルト値は30秒 TCP900秒
>>598
フローが30秒で消えるのだから30秒で消えるのは正しいよ
とりあえずノーマルパスで動くかやったら?
2021/12/17(金) 16:23:19.68ID:mv27eRS0
>>612
マニュアルには「NAT や動的フィルタを使用している場合には、それらのエントリの寿命が適用される。」とあるけど？
614不明なデバイスさん
垢版 |
2021/12/17(金) 18:39:46.53ID:FnP0tXqS
>>613
反論したところでお前のフィルタ設定で動いていないのだろ？
なら試してみればいい
2021/12/17(金) 19:24:02.47ID:mv27eRS0
>>614
私は例の質問者とは別人。
うちの環境では想定通りの動作をしている。
616不明なデバイスさん
垢版 |
2021/12/17(金) 23:07:58.48ID:+3wI3pZ6
>>611
そりゃ中身はNVR510とRTX830にLTEモジュール突っ込んでるのだから、安くは無いですね

値段倍だと要らないなら、実のところそれほど必要では無いんでしょうよ
617588
垢版 |
2021/12/17(金) 23:09:22.37ID:QKC1UDju
>> 612
ご指摘ありがとうございます！
IPv6にも有効かどうかはわかりませんでしたが
ip flow timer icmp 300
をコンフィグに追加し、念の為restartもかけて試してみました。
show ipv6 connection detail
コマンドを叩いて確認してみましたが、状況は変わらず、30秒ほどでフィルタが消えてしまうように見えました。

また、こちらでも調べてみましたが
http://bui.asablo.jp/blog/2017/10/05/8695045
のページではIPv6のダイナミックフィルタのタイムアウト時間がおかしいという話が乗っていましたし（ちなみに、このページではNVR500、自分のはRTX830です）

2021/12/17 02:09:01: PP[01] Rejected at IN(398) filter: UDP 2001:500:f::1.domain > ローカルDNSサーバのIPアドレス.48887
と、どのぐらい遅延していたのかわかりませんが、DNSサーバの応答を取りこぼしていたログもあったりしました。

IPv6のダイナミックフィルタを捨ててスタティックに入れ替えたほうが、平和になりそうな気がしてきました。
2021/12/18(土) 00:20:49.08ID:VCyB260Q
バグと思うならサポートに投げればいいのに。
なんでそういうことしないんだろうね。
2021/12/18(土) 00:34:10.51ID:9rwnka+J
YAMAHAほど一般ユーザーでも日本語で手厚いサポートしてくれるとこもなかなかないのにね
2021/12/18(土) 10:49:16.22ID:FcBOiFrk
昔はツイッターでも色々聞けたみたいだけどな
621518
垢版 |
2021/12/18(土) 11:47:43.33ID:mSxk/356
規制で書き込めなかったのですが、解決しました。
ありがとうございました。
Si-R G100に下記追加
ike nat-traversal use on
2021/12/19(日) 15:57:05.11ID:A2Cn33Fv
>>617
>ip flow timer icmp 300
どうしてこうなった
2021/12/19(日) 17:47:57.77ID:iAE0NjO6
>>621
解決したようでなにより
624588
垢版 |
2021/12/19(日) 21:02:24.18ID:PQZ8dnT4
>> 622
ありがとうございます！
なんでこうなってしまったのでしょうか？
先程
ip flow timer udp 300
で、改めて試してみました！
しかし残念ながら、状況変わらずでした。
この件については、自分の勘違いかバグなのかわかりませんが、ヤマハのサポートに投げておこうと思います。
2021/12/19(日) 21:35:22.32ID:4wLrtys3
>>624
なぜにログで状況を見ずにコマンドで見てるの？
通信開始にタイミングとか確認できないから、言っていることの客観性が無いわけだけど。
2021/12/19(日) 21:47:43.05ID:PeG2J7Zq
パケットキャプチャしなよ
2021/12/19(日) 22:54:52.06ID:Ick68odE
>>624
アンカーのスペースやめてくれ
628不明なデバイスさん
垢版 |
2021/12/20(月) 07:28:30.90ID:7KfDqkGA
数字選択してクリるだけで参照可能だぞ
v2cならな
他は知らん
2021/12/20(月) 11:18:25.76ID:DsCDNb2N
他の専ブラでも似たようもんだが本来必要のない「選択して」という操作を強いるわけで
588自身も必要のないスペースをわざわざ入力しているというLOSE-LOSEの関係だ
630不明なデバイスさん
垢版 |
2021/12/21(火) 11:09:06.86ID:FaSvlhkg
628だがそれは否定しないzo!
2021/12/21(火) 12:32:44.17ID:XQY+JUAE
YNEというコミュニティ立ち上げたけど死んじゃってるように思える
rt100メーリングリスト復活してほしいな
632不明なデバイスさん
垢版 |
2021/12/22(水) 08:20:53.30ID:/qDmTix1
宣伝ですか?
2021/12/22(水) 13:07:41.19ID:IAKX+mlG
コミュニティの宣伝よりルーターを製造しよう。
2021/12/22(水) 14:24:10.73ID:M6ELRUgE
部品なくて泣いてるし
2021/12/22(水) 15:25:20.73ID:hVB4V4dI
>>629
それが嫌ならスマホのIMEに単語登録するなりして簡単に>が入力できるようにすればいいだけのこと
2021/12/22(水) 20:07:07.82ID:SYRN41L5
まあNが調達して自分のところで売ってるくらいだしね
2021/12/22(水) 20:07:38.08ID:SYRN41L5
誤爆しました
2021/12/24(金) 16:57:31.43ID:fLV2Ntx8
すいません皆さんに教えていただきたいです。
現在auひかりBL900HWを経由してRTX830にてネットに繋いでいます。
ですが、RTX830でVPNをGUIでかんたん設定するとWAN側アドレスが192.168.0.3や192.168.0.4となりHGWで固定した192.168.0.2とならず上手く通信できません。
HGWはMACアドレスもWANを指定して固定し、DMZやipsecパススルー等も設定しています。
何か原因がわかる人がいればご教示いただければと思います。

以下BL900HWでの設定値
DHCPサーバ機能を使用
DHCP固定割当設定　MACアドレス00:A0:DE:**:**:**　192.168.0.2
ポートマッピング設定
その他の設定からVPN設定、IPsecパススルー使用
DMZ機能も使用

あと以下現在のRTX830のprofileです。
# RTX830 Rev.15.02.20 (Fri Apr 16 09:37:54 2021)
# MAC Address : 00:A0:DE:**:**:**, 00:A0:DE:**:**:**
# Memory 256Mbytes, 2LAN
# main: RTX830 ver=00 serial=M5B018460 MAC-Address=00:A0:DE:**:**:** MAC-Address=00:A0:DE:**:**:**
# Reporting Date: Dec 24 06:38:32 2021
ip route default gateway dhcp lan2
ip keepalive 1 icmp-echo 10 5 dhcp lan2
ip lan1 address 192.168.100.1/24
ip lan1 proxyarp on
switch control use lan1 on terminal=on
2021/12/24(金) 17:02:20.22ID:fLV2Ntx8
description lan2 VPN
ip lan2 address dhcp
ip lan2 secure filter in 101003 101020 101021 101022 101023 101024 101025 101030 101032 101100 101101 101102 101103
ip lan2 secure filter out 101013 101020 101021 101022 101023 101024 101025 101026 101027 101099 dynamic 101080 101081 101082 101083 101084 101085 101098 101099
ip lan2 nat descriptor 200
pp select anonymous
pp bind tunnel1
pp auth request chap-pap
pp auth username ***** ********
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp remote address pool dhcp
ip pp mtu 1258
pp enable anonymous
tunnel select 1
tunnel encapsulation l2tp
ipsec tunnel 1
ipsec sa policy 1 1 esp aes-cbc sha-hmac
ipsec ike keepalive use 1 off
ipsec ike nat-traversal 1 on
ipsec ike pre-shared-key 1 text yamaha
ipsec ike remote address 1 any
l2tp tunnel disconnect time off
ip tunnel tcp mss limit auto
2021/12/24(金) 17:03:12.96ID:fLV2Ntx8
tunnel enable 1
ip filter 101000 reject 10.0.0.0/8 * * * *
ip filter 101001 reject 172.16.0.0/12 * * * *
ip filter 101002 reject 192.168.0.0/16 * * * *
ip filter 101003 reject 192.168.100.0/24 * * * *
ip filter 101010 reject * 10.0.0.0/8 * * *
ip filter 101011 reject * 172.16.0.0/12 * * *
ip filter 101012 reject * 192.168.0.0/16 * * *
ip filter 101013 reject * 192.168.100.0/24 * * *
ip filter 101020 reject * * udp,tcp 135 *
ip filter 101021 reject * * udp,tcp * 135
ip filter 101022 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 101023 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 101024 reject * * udp,tcp 445 *
ip filter 101025 reject * * udp,tcp * 445
ip filter 101026 restrict * * tcpfin * www,21,nntp
ip filter 101027 restrict * * tcprst * www,21,nntp
ip filter 101030 pass * 192.168.100.0/24 icmp * *
ip filter 101031 pass * 192.168.100.0/24 established * *
ip filter 101032 pass * 192.168.100.0/24 tcp * ident
ip filter 101033 pass * 192.168.100.0/24 tcp ftpdata *
ip filter 101034 pass * 192.168.100.0/24 tcp,udp * domain
ip filter 101035 pass * 192.168.100.0/24 udp domain *
ip filter 101036 pass * 192.168.100.0/24 udp * ntp
ip filter 101037 pass * 192.168.100.0/24 udp ntp *
ip filter 101099 pass * * * * *
ip filter 101100 pass * 192.168.100.1 udp * 500
ip filter 101101 pass * 192.168.100.1 esp
ip filter 101102 pass * 192.168.100.1 udp * 4500
ip filter 101103 pass * 192.168.100.1 udp * 1701
ip filter 500000 restrict * * * * *
2021/12/24(金) 17:03:51.71ID:fLV2Ntx8
ip filter dynamic 101080 * * ftp
ip filter dynamic 101081 * * domain
ip filter dynamic 101082 * * www
ip filter dynamic 101083 * * smtp
ip filter dynamic 101084 * * pop3
ip filter dynamic 101085 * * submission
ip filter dynamic 101098 * * tcp
ip filter dynamic 101099 * * udp
nat descriptor type 200 masquerade
nat descriptor address outer 200 primary
nat descriptor masquerade static 200 1 192.168.100.1 udp 500
nat descriptor masquerade static 200 2 192.168.100.1 esp
nat descriptor masquerade static 200 3 192.168.100.1 udp 4500
nat descriptor masquerade static 200 4 192.168.100.1 udp 1701
ipsec auto refresh on
ipsec transport 1 1 udp 1701
telnetd host lan
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.100.2-192.168.100.191/24
dhcp client hostname lan2 primary BL900HW
dns host lan1
dns server dhcp lan2
dns server select 500201 dhcp lan2 any .
dns private address spoof on
schedule at 1 */Sun 00:00:00 * ntpdate ntp.nict.jp syslog
l2tp service on
httpd host lan1
statistics traffic on
Copyright &#169; 2014 - 2021 Yamaha Corporation. All Rights Reserved.
2021/12/24(金) 17:38:25.84ID:cMRv3Cg8
>>638-641
二重NATなんですね
とりあえずRTX830のWAN側を固定で設定されてみては

ip route default gateway dhcp lan2
ip lan2 address dhcp
dns server dhcp lan2
↓
ip route default gateway 192.168.0.1
ip lan2 address 192.168.0.2/24
dns server 192.168.0.1
2021/12/24(金) 20:12:07.14ID:fLV2Ntx8
>>642
返事ありがとうございます。
今まだ会社なので帰ってから試してみます。
2021/12/24(金) 22:39:09.70ID:M1v6UHk4
>>638
>DHCP固定割当設定　MACアドレス00:A0:DE:**:**:**　192.168.0.2
↑このMACアドレスは、以下の内のどっちのアドレス？
># main: RTX830 ver=00 serial=M5B018460 MAC-Address=00:A0:DE:**:**:** MAC-Address=00:A0:DE:**:**:**

そして、WAN側はどっちのポート？
2021/12/24(金) 23:38:17.92ID:/kqQs1xK
あっ…ひょってWAN(LAN2)のMACを指定していないというオチ…？
646不明なデバイスさん
垢版 |
2021/12/25(土) 01:27:13.30ID:bnWOZ6TG
>>644-645
返事ありがとうございます。
WAN側のMACアドレスを指定してWANポートを使用しています。

>>642
WAN側を固定で192.168.0.2を試したのですが、今度はインターネット側に通信ができなくなります。
他にもSynologyの無線ルーターをRTX830で繋げて使っているのですが、そちらでも同じく通信ができなくなります。

いろいろ調べているのですがBL900HWにもMACアドレステーブル？ARPテーブルなど有るのでしょうか？
それが邪魔をして指定できないような感じがするのですが？
2021/12/25(土) 03:58:27.48ID:1LZnx7Ew
>>646
BL900HWがRTX830のWAN側にDHCPでIPを付与した時、
BL900HW側に表示されるDHCPクライアントとしてのRTX830のMACアドレスはどうなってますか？
意図通りのMACアドレスになってます？

>>642の設定で固定を試した場合の話ですが、
何ができて何ができないか、どこまで疎通出来るのかの切り分けは出来てます？
インターネット側に通信が出来ないというのは、
名前解決が出来ないだけなのか、
IP直指定でもPINGも飛ばないレベルなのか、
BL900HWにすらPINGが飛ばないレベルなのか等々

>BL900HWにもMACアドレステーブル？ARPテーブルなど有るのでしょうか？
ARPテーブルはもちろんあります
2021/12/25(土) 09:52:50.05ID:OGUYENgV
同じハブに両方ぶら下げてたり
まさかしねえよな
649不明なデバイスさん
垢版 |
2021/12/25(土) 10:57:25.82ID:GxOAXNVO
>>647
BL900HWにDHCPでIPを付与した時〜ですが
BL900HWにはログを表示する機能がないみたいで、その確認はできませんでした。

固定した場合の切り分けを試したのですが、ここを重点的に確認した結果、いちおう無事に有名VPNまで繋げることができました。
どうもありがとうございました。

>>648
それはさすがになかったです。
ありがとうございます。
2021/12/25(土) 11:09:49.38ID:qMNLbglc
>>649
解決したようでなによりだけど、
結局何が悪くてどうしたら解決したのやら
2021/12/25(土) 12:01:35.62ID:NVtC2P1q
解決した時は何が原因なのかを教えてくれると、後々みんなのためになります
2021/12/25(土) 17:18:54.28ID:5AUFG0HF
解決したって言ってるんだからいいんだろうけど
フィルターとかの192.168.100.1は192.168.0.2じゃないのかなあとか思ったり
2021/12/25(土) 17:40:32.54ID:UbXCi7mH
RTXからみて
WAN側が192.168.0.0/24
LAN側が192.168.100.0/24
なだけでしょ
654不明なデバイスさん
垢版 |
2021/12/26(日) 00:01:00.15ID:7r/w8RT0
>>638です。
連絡が遅くなりすいません。
いちおう無事に通信できたのですが、無理やり設定した感じです。
なので他の人の参考になるかもわからない状況ですが以下に記載させていただきます。

当初全部のハードを初期化して、HGWから設定していったのですが、前と同じくHGWで192.168.0.2固定してもRTXのGUI設定では192.168.0.3となり固定できず、それならばとそのRTX側の192.168.0.3をHGWで固定に設定するとRTXのGUI設定では別のIPが振られる形でした。
ただその時にたまたまRTXで192.168.0.2が振られたため、HGWを192.168.0.2に固定してその他の設定等を行ってVPN通信までできることを確認しています。

少しネットワークをかじった程度の初心者なため何が何だかわからない状況です。
根本的な解決ではないため次に通信の不通があった時のことを考えると怖いなと思う次第です。
もしまた何かありましたらアドバイスを頂けると助かります。
それでは。
2021/12/26(日) 03:10:07.68ID:dk5uH2eu
根本的解決になってない…RTXを再起動したらまた元に戻るよね
2021/12/26(日) 07:53:56.32ID:X/mWWK09
>>654
RTXのWAN側の実際のMACアドレスと
HGWのDHCPの払い出しで設定しているMACアドレスが
一致していないとしか思えない
2021/12/26(日) 07:57:09.88ID:X/mWWK09
>>642
HGWってひょっとしてDNSリカーサイブサーバじゃないんじゃない
dns server コマンドはHGWのアドレスじゃなくてプロバイダのDNSじゃないとダメかもね
2021/12/26(日) 09:55:10.02ID:XvwaPsY2
BL900HWはproxyDNS機能ありとは書かれてた
MACアドレスは改行が入らないように注意しながらコピペし直すと良いかも

それか、HGWのDHCPサーバの設定で192.168.0.2を除外させてそこに何も指定せず、RTXでlan2のアドレスを固定しておけば良いのでは
2021/12/26(日) 09:58:57.77ID:ucYIYdsE
正しく設定出来てるのにMACアドレス指定のDHCPのIP割当が上手くいかないなんてレベルのトラブル聞いたことがないので、設定が間違っているだけとしか思えぬ
2021/12/26(日) 10:03:54.70ID:jZI+49I9
BL900HWの無線が有効でスマホかなんかが先にアドレスもらってるんじゃないの
2021/12/26(日) 10:25:25.53ID:ucYIYdsE
>>660
固定で割り当てを指定しているIPアドレスは他のデバイスの払い出しプールから除外される作りです
>>654で192.168.0.3を固定で割り当てようとしたら192.168.0.2が割り当てられたと言っているのは、
192.168.0.2の固定割り当て設定がいなくなったおかげで自動割り当てで使う最初のIPとして
たまたま払い出された格好。
2021/12/26(日) 10:48:52.01ID:KOUxZAUT
>>661
DHCP固定割り当てにこだわっている理由は？
2021/12/26(日) 12:12:17.39ID:D50vFrpb
>>662
それはやってる本人にきいてよ
2021/12/26(日) 16:50:23.49ID:fmsOD3fE
>>660 の言うとおり
HGWに繋がってる端末や設定をしてるPCを異なるIPにしてなくて
すでに2が割り当てられてるだけでは？
2021/12/26(日) 17:04:54.46ID:kOwyu2j2
２が先に使われてるなら、なんでDHCPサーバの設定変えただけでRTXに２が割り当てられたのよ
2021/12/26(日) 17:26:56.00ID:HzdKULm+
YAMAHAでもよくある、Client Identifier関係の問題なんじゃないか？
2021/12/26(日) 17:35:06.03ID:kOwyu2j2
ああ、なるほど、Client Identifier
668不明なデバイスさん
垢版 |
2021/12/26(日) 22:04:21.72ID:7r/w8RT0
皆さんどうもありがとうございます。
>>662
今まではフレッツ光でネットしてたのを今回始めて10月からauひかりに換えて、年末年始で出先からVPN通信を試してみたく他の人の設定しているブログを参考にし、そこで固定IPにしてたからというのが単純な理由です。
今考えれば固定にこだわる理由は無いですね。
>>664-665
あと10月当初はDMZでlanに192.168.0.2を割り当てて使用してたので、その際の値が記憶されてたのかなとかも思うのですがわかりません。
またwifiについても設定時は切ってるので、先に割り当てられてるとかは無いと思います。
>>666-667
client identitierについては私のググった情報ではlanしか見れなくてwanについてはわからなかったです。
2021/12/27(月) 11:44:29.57ID:QksY5PeG
ええと…うん…
（フォローする気を失っている）
2021/12/27(月) 15:07:19.00ID:7qQ9UUzV
>当初全部のハードを初期化して、HGWから設定していったのですが
その設定していく前にPC？自体のIPを自動取得から適当に変えとかないとね

まぁこれは大原則だけど
コマンドプロンプトで
ipconfig /all
で自分のIPとMAC
ping 192.168.0.2
本当に応答があるか
arp -a
から192.168.0.2のMAC見て
それでも分からなければ mac ベンダーでググり
どこ製品のものかを検索してみる
2021/12/27(月) 15:11:11.89ID:zUyCBHs8
ここでいいのか分からないのですが、ネットで探してもWLX313が売ってないのですが、もう手に入らないのでしょうか？
それとも、半導体不足で供給が間に合ってないだけでしょうか？
2021/12/27(月) 15:20:10.23ID:1ieZ836B
>>670
そんな説明も理解できるレベルの相手ではないと思われる
2021/12/27(月) 15:39:32.84ID:ezoGfAt5
TCP/IPの知識がない人が手を出していいルーターではないな
設定が漏れてLANが荒らされる未来しか見えない
2021/12/28(火) 07:26:37.03ID:1P+L1CCc
物が欲しいがモノが無い、なんてこった。
2021/12/28(火) 11:20:02.87ID:lcVZ+Ntw
ガワが無いやつとかも在庫ないのかな？
676不明なデバイスさん
垢版 |
2021/12/28(火) 13:22:52.17ID:brfWfakS
ハッキング大会で攻撃がことごとく成功してしまった“不名誉”なIT製品とは？

Cisco Systemsのルーター「Cisco RV340」
https://techtarget.itmedia.co.jp/tt/news/2112/25/news02.html


企業向けルーターの利用実態調査で異変、常勝ヤマハが僅差で「首位陥落」

シスコがヤマハを僅差で抜く
https://xtech.nikkei.com/atcl/nxt/column/18/01891/121300003/
2021/12/28(火) 13:32:04.00ID:mHgm1elk
>>676
生産能力の差なのかな
半導体不足なのかな
2021/12/28(火) 14:15:48.89ID:9doQt3ab
それを言うなら生産能力じゃなくて部品調達能力だな
当然大規模生産してる方が強い
2021/12/28(火) 18:01:01.30ID:8M1qOd4M
NVR510でゲストネットワークを作りたいと思ってます
しかし、ヤマハのサイトではヤマハ製APと組み合わせてVLANを作る方法しか乗って居ませんでした

他社製APで同じようなことは出来ますか
VLANではなくても、要するに許可していない機器から社内ネットワークに繋がらなければ良いのですが
2021/12/28(火) 18:20:15.46ID:X8piZlLT
>>679
インターネット側に出られないどころか社内にすら接続できないようにしたいのなら802.1x使うのがいいというか
他の手段じゃ割と簡単に回避される気がするからどの程度の本気度で取り組むか次第だろうか
2021/12/28(火) 18:29:33.79ID:mHgm1elk
>>679
それはWifiルータの有線無線分離機能でやれるでしょ
ルータを買い替えたり買い足したりする必要無いでしょ

むしろ今あるWifiルータの設定変えるだけで済むこともある
2021/12/28(火) 18:30:53.87ID:JqB6AGxD
VLANは他社でも使えるよ
もっとも簡単確実なのがSSIDによるセグメント分け

仕事ならばその感じだと識者か外部に頼んだほうが良いと思う
2021/12/28(火) 20:09:16.57ID:K90ShMj3
>>679
EAP使えば簡単にできるので、RADIUSサーバーでの認証わを勧めます
2021/12/28(火) 20:48:03.10ID:C/9yR16x
ありがとうございます

>>680
基本的に、ゲストは個人端末を繋げる為に使います
インターネットは使っても良いです
簡易とはいえ最低限のマルウェア対策はしておきたいと思ったもので
（たとえば感染した個人端末から社内端末へのアクセスを防ぎたい）

>>681
wifiルータが3台ありすべてAPモードです
（N、NG、B社制が1台ずつ。単に予算の都合です）
特定の端末はNASなどにアクセスできるようにして、他はそもそも見えないようにしたかったのです

>>682
ちょっと調べてみます

>>683
今回の件とは関係なくRadius使いたいですが、手軽に導入することは難しいです
PCをある程度使えるのが自分しか居ないため、アクセス制限ならこっそりできてコストもかからない（だと思っていた）のですが、もし機器の導入等が必要になると他の職員に説明することが難しいです
2021/12/28(火) 21:09:53.67ID:nKhnKnNE
PCに詳しい人が一人いなくなると破綻するIT環境は危険だ…
2021/12/28(火) 21:46:31.94ID:asdEXHcK
>>685
50人以下ぐらいの会社だと私の知る限りいたって普通に存在しているけどね
IT担当者（といえる人）が１人だけの会社
2021/12/28(火) 21:48:58.55ID:BylJdJth
>>686
そういう状況のお客さんが飯のタネになったりもしているのであります
2021/12/28(火) 23:10:07.60ID:pV4Vgvv8
社内で育てるか、社外に委託するか。難しいよな
2021/12/29(水) 00:09:19.62ID:zUpnr5Ai
>>684
マルウエアやランサムウエア対策ならばゲストのLANときっちり分けないとダメですよ
予算の都合とか言っている場合ではないよ
予算がとれないならばサービスするべきでは無い

なおRadius自体は単なる認証サーバーなのでそれ単体を導入してもセキュリティが高くなる訳ではないよ
2021/12/29(水) 00:29:00.31ID:Z1GKbAcf
めんどくさいからお客様専用にWiFiルーター導入して社内LANとは一切繋がってないって感じにすればいいのでは
その方が簡単・安心・担当者いらず
2021/12/29(水) 00:31:35.65ID:AXvgPCmn
VLANで論理的にネットワークを切って
バッファローとかの無線LANルーターを繋いで
そっちを、個人用に使わせればいいんでない

>>689の意見に同意
byodとか個人端末を繋ぐことに否定的ではないけど
業務用のネットワークセグメントに
休み時間で使うようなスマホやpcは繋がせない方が良い
2021/12/29(水) 00:38:55.58ID:f62+N3Lk
ところで、有線LANへの私有デバイスの接続についてはどうやって制限してる？
2021/12/29(水) 01:10:36.70ID:AXvgPCmn
192.168.1.0/24 業務
192.198.2.0/24 個人、来客者（Buffalo, Atermとか）

んで、
192.168.2.0/24から192.168.1.0/24にはアクセスさせない
これが一番シンプルだな
2021/12/29(水) 01:37:05.67ID:jfyoRGd9
>>692
それこそ認証スイッチよ
ALAXALAやApresiaのウリだろ
2021/12/29(水) 01:49:42.52ID:MKB+e/n1
タグVLAN扱えるAPがあれば色々と捗る
2021/12/29(水) 11:40:15.82ID:d9Hv/r9w
認証したって正当なユーザーの所有物であるかどうかが分かるだけであって、
私用端末の持ち込みを完全に防げるわけではない
2021/12/29(水) 12:59:56.09ID:jfyoRGd9
>>696
認証手段がユーザー/パスワードだけだと思ってるのか？
2021/12/29(水) 13:07:55.25ID:d9Hv/r9w
>>697
そーいうツッコミいらんから
ID, パスでなくても私物端末を繋ぐことは出来る
ボクは頭が硬いバカですって自慢してるようなもんだぞ？
2021/12/29(水) 13:16:09.75ID:TciAghPV
また変な奴がおるなぁ
2021/12/29(水) 13:20:21.52ID:d9Hv/r9w
>>699
おまえがなぁ
2021/12/29(水) 13:31:54.33ID:e4xpdU5o
>>699
さわるな、そっとしとけ
2021/12/29(水) 13:43:22.03ID:d9Hv/r9w
ほらな？
自分の分からないことになると、キャンキャン喚くことしか出来なくなるバカが多いのかこのスレの特徴
日曜ネットワークエンジニアはこれだからw
2021/12/29(水) 14:06:19.24ID:LV4GcfN9
無断接続のノードを検知する仕組みやソリューションはいくつかあるよね

>>700
いや、あなたの知識がどの程度か知らんが、人間的に問題がありそうって言われてるだけなんだから気づけ
2021/12/29(水) 19:36:47.06ID:vrcu41/C
>>679です
色々なご意見ありがとうございました
返事を途中まで書いている途中に改めて>>1を読んで気付いたのですが、個人用途スレなのを完全に見落としていました、すみません

これ以上は続けませんが、今のところ、VLANを設定してセグメントを分けそれぞれに別の無線APをぶら下げる方法と、二重ルーターでゲスト向けAPを設置するという方法あたりで検討しています
（WLX212でも買えるといいのですが3台は要るのでやはり予算が…スイッチや安い無線ルーター程度なら何とか）
それで駄目ならどこか業者と相談してみることにします
2021/12/29(水) 21:12:38.87ID:BoTj4zP7
Android12でNetVolanteどうしよう
2021/12/29(水) 21:24:45.45ID:ng7oROnX
IKEv2の件、だれかヤマハのサポートに質問とかしてないの
2021/12/29(水) 23:54:22.51ID:MKB+e/n1
知りたければ自分でしろよw
2021/12/30(木) 00:19:54.72ID:mxvAOkjT
自分は別に困ってないし
2021/12/30(木) 00:24:47.04ID:d3lFhs6e
私物が繋がるとか言ってるセキュリティ意識低い奴らは
どうせ中小零細勤めでしょ
スルースルー
2021/12/30(木) 09:05:29.21ID:B4kbCmXA
ユーザー目線は求めてない。
711sage
垢版 |
2021/12/30(木) 09:17:14.97ID:xA3EjFza
>>704

必要なアクセスポイント箇所は3箇所ですかね？
単に1箇所でVLANを3つ用意したいだけですかね？

ただ、VLAN環境構築する場合。
VLANを扱えない機器だと、
各々アクセスポートを用意してあげないといけないので、
その点だけは注意。
2021/12/30(木) 11:23:57.86ID:eIRgvorN
>>679
もう一つプロバイダー契約して完全分離しては？
2021/12/30(木) 18:52:44.31ID:qX/DiqYc
lan1, lan2にそれぞれ異なるネットワークセグメントを割り当てて、
lan2に家庭用の無線LANルーターを設置すればいいだけ
lan2からlan1へのアクセスを遮断することを忘れずに

510から遠い所で無線を飛ばしたいなら、
そこまでの経路にあるスイッチングハブをvlanできるか
床下をあけて配線できるならそこまでケーブルを引っ張ればいい

100人、200人なら法人用のapを買えばいいけど
仕事の片手間に情シスをやってる小さい会社ならこれで十分
2021/12/30(木) 19:17:49.11ID:vtnrL38S
>>713
面白いね。

NVR510のLAN2とLAN1をそういう風に活用するの面白いね
LAN2側の無線のアクセスが行きと返りの分で、二倍帯域が必要だけど、
そもそもゲストアクセスの量も少ないだろうし、
IPoEのIPv4 over IPv6とかIPv6アクセスでも500Mbpsも出ないから問題無いでしょうし。
まあセキュリティのこと考えてLAN2側はIPv6を切った方がいいと思うけど。

普通にLAN1に繋いで、無線ルータは他のプライベートアドレスにアクセスできないようにするだけでもいいと思うけど。
無線ルータの機能次第だけども普通あるでしょ。
715不明なデバイスさん
垢版 |
2022/01/04(火) 12:33:45.04ID:MILK8czP
>>704
このスレは個人スレではあるが仕事で使ってる人もたくさんいるから問題ないかと
俺も自宅でNVR510、会社でRTX1210とRTX830だから個人利用だけではないし

ゲストネットワークに関しては法人向けWi-Fiアクセスポイントで対応すると簡単だよ
ゲスト接続は連続接続時間の制限なんかもできるから知らない端末の繋ぎっぱなしも回避できて便利
うちの営業所はエレコムの業務用アクセスポイント使ってゲスト向けネット環境作ってる
これだけでメインのネットワークと遮断されるけど、老婆心と思いつつもゲストは他セグメントになるようにしてる
716不明なデバイスさん
垢版 |
2022/01/05(水) 01:16:44.46ID:dO65AwWH
逸般の誤家庭も中小企業も似たような規模だし問題ないよね
2022/01/05(水) 01:50:50.79ID:2itOtFfX
逸般の誤家庭でない一般のご家庭でも例えば4人家族だとして、
スマホ4台
タブレット1〜2台
ノートパソコン1〜2台
デスクトップパソコン0〜1台
テレビ2台
レコーダー1台
FireTV的なもの1台
ゲーム機1〜2台
とネットワーク機器は今どき軽く10台以上になるから、あまり古いルータ使ってると処理しきれてない印象。
718不明なデバイスさん
垢版 |
2022/01/05(水) 02:38:50.67ID:OBlKqU2B
>>715
事業規模と予算を考えてアドバイスしてやれよ
2022/01/05(水) 11:59:03.77ID:YfwbWLEH
この御時世小規模こそセキュリティやネットワークの安定性まともに確保できてないとその程度のこともできないので信用できないという扱いを受けるからな
2022/01/05(水) 13:07:41.67ID:s9Eqmn/2
最近はなんでもネットに繋がるようになったねぇ
2022/01/06(木) 00:04:53.54ID:NCliOU14
ご家庭で使いたいっつってんのに830売ってねー
2022/01/06(木) 07:23:46.32ID:oJmNq5vf
>>717
スマートスピーカーとかスマートホーム関連もあるね
723名無し募集中。。。
垢版 |
2022/01/06(木) 14:04:42.52ID:CxYxUHGG
>>706
https://www.rtpro.yamaha.co.jp/RT/docs/l2tp_ipsec/index.html#client
重要なんて記述あったっけ？
2022/01/06(木) 15:24:39.59ID:1gWXXHWA
>>723
何の話？？
2022/01/06(木) 18:59:10.53ID:U8Ui17b4
>>723
iOSがPPTP対応やめた時はNVRシリーズまで
L2TP/IPSecへの神対応したのに、泥12のIKEv2は
スルーなのか？
2022/01/06(木) 19:24:09.46ID:TT18J6NR
ＮＶＲってファームアップで途中からL2TP/IPSec対応したんだっけ？
2022/01/06(木) 20:31:56.02ID:Qa2ZVmgz
Android12に対応してクレメンス
728725
垢版 |
2022/01/06(木) 21:53:23.99ID:ydv0oAFo
>>726

そう。

NVR510
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/Rev.15.01/relnote_15_01_03.txt

NVR500
http://www.rtpro.yamaha.co.jp/RT/docs/relnote/NVR500/relnote_11_00_36.txt
2022/01/08(土) 13:34:27.29ID:epkM0v0J
ヤマハ公式の設定参考にRTX1200同士でIPsec VPN組んでる環境で、遠隔で対向RTの設定変更したいんですがやり方あるかな
配下のPCから対向RTのローカルIPへtelnet,sshすると蹴られる状態でtelnetedの設定はtelneted host lanのままです
2022/01/08(土) 13:48:39.29ID:3mP4GyK/
対向のLAN側にいるノードを踏み台にするなり遠隔操作するなりしてアクセスするんじゃダメかい
RTX1200だとロールバック機能が無いから、設定ミスった時の保険もかけておきたいところだね
2022/01/08(土) 18:34:17.43ID:HmNM0y8j
telneted host 192.168.xx.2-192.168.xx.255 192.168.yy.2.-192.168.yy.255
みたいに、あっちとこっちのIPアドレス範囲を指定したら良いのでは？
telneted host lan 変えたくないってこと？
というかいい加減 telnet はやめて ssh にしたほうが・・・
2022/01/08(土) 19:48:03.90ID:8FkWZL0o
対向拠点に踏み台になるPC常設しておいて
そこにリモートで入り込んでtelnetすれば良いのでは
2022/01/08(土) 23:51:02.07ID:epkM0v0J
>>730-732
どうもありがとう
対向RTが遠隔地にあって現地行かなくても設定変更できたらなーと思ったんだ
対向側に踏台サーバ置くなりtelnetedの設定変えないとダメそうだね
変更できればsshでも良いですしtelnetに拘ってる訳ではないです
2022/01/09(日) 18:32:26.47ID:RKFmi8kk
httpd host any じゃ どうしてダメなの？
2022/01/09(日) 21:29:38.47ID:D2NQ5kfG
どうしてって
2022/01/10(月) 01:53:52.81ID:7ky5bv0f
>>734
それってノーパンでミニスカ穿いて階段上るようなもんじゃね？
露出狂なら仕方ないけど・・・
737734
垢版 |
2022/01/10(月) 08:29:45.99ID:9oocl2LP
>>736
でもそれって 家の中だけでしょ？　街中でするとまずいけど・・
2022/01/10(月) 09:42:01.06ID:7nzlKNLB
嫁に”家中で”ノーパンでミニスカ履かせて階段を上らせるのはどこの家庭でも基本だろ？
2022/01/10(月) 09:45:19.25ID:Gm/slnDX
>>737
734は”家外”と言っているのと同義だからなぁ
2022/01/10(月) 09:57:11.35ID:/EEDnxsG
今北
ノーパンミニスカの話題で盛り上がってるとこまで理解した
2022/01/10(月) 10:06:42.57ID:o7HnalXh
https使えたら安心なのにね
2022/01/10(月) 10:42:45.21ID:lUSjb0c8
>>741
嫁のミニスカにモザイクかかるってこと？
2022/01/10(月) 11:11:58.43ID:xiZFocAC
ミニスカの嫁にブルマ履かせてるイメージ
744不明なデバイスさん
垢版 |
2022/01/11(火) 22:40:56.49ID:bpIR5XjC
So-netのv6プラス契約（光電話あり）で
HGW（RX-600MI：192.168.0.1）のみだとv6プラスでつながってます

それを
HGW配下にRTX830（192.168.100.1)をおいて、RTX830配下のPCからもv6プラスで
ネットをしたいのですができるものなのでしょうか？
GUI使って設定しても、接続状態にはならずです。

RTX830を使う理由は、IPv6での拠点間VPNのためです。
（拠点間VPNはすでにつながっています：OpenDNS利用）

さらに、これが実現できてVPNサーバーでテレワークもやるとしたら、
v6プラスなのでOpenVPNでやるしかないと思ってますが、考え方あってますか？

1つ前のスレッドみてて、
「RTXのデフォルトルートをHGWに向けて
HGWのstatic routeでRTX配下の内部セグメント宛をRTXに向けたらいいよ」
というのがあったのですが、これ、関係してますかね・・・。
2022/01/11(火) 23:02:46.50ID:z/7dbinR
GUIじゃダメだよ
CUIで設定しないと
2022/01/12(水) 06:41:42.94ID:TAYAZXUy
V6プラスで接続可能なHGWで一度V6プラスでつなげちゃうと
もう、HGW以外ではV6プラスにつなげられなくなるんじゃなかったけ？
2022/01/12(水) 07:39:10.70ID:ii1upTK1
物理的な接続が間違ってるんじゃない？
HGWの直下に直列でRTX830置かなきゃいけないのを並列に接続してるとか
2022/01/12(水) 08:53:56.14ID:HAFtVx5G
>>746
これのとおりじゃね
HGWで接続している状態でv6プラス使っていたならフレッツ・ジョイントでのマップルール配信になってて他のルーターでは配信を受けられないやつの気が
2022/01/12(水) 12:04:30.80ID:WezNYZPQ
CUIで手動設定すれば可
2022/01/12(水) 12:42:04.15ID:VfXnBMvj
手動でipip接続するって話だろ
map-eでは接続出来んから質問者には少々ハードルが高いかと
751不明なデバイスさん
垢版 |
2022/01/12(水) 23:45:46.37ID:LsAKb4Xj
以下のluaで不正なsipをrejectしようと思い動かしてうまくいってるように見えますが、
ここが問題じゃね？、こうしたほうがいいんじゃね？、がありましたら、ご教示ください。

sipのsyslogはon
syslogはdebug on
ip filter 1000はin方向でconfig定義済
ip filter 2000はout方向でconfig定義済

続く
752不明なデバイスさん
垢版 |
2022/01/12(水) 23:48:30.27ID:LsAKb4Xj
--start
local cmd_reject_1 = "ip filter 1000 reject-nolog XXX.XXX.XXX.XXX *"
local cmd_reject_2 = "ip filter 2000 reject-nolog * XXX.XXX.XXX.XXX"

local ip_tbl = {}
local ip_ptn = "%d+%.%d+%.%d+%.%d+"
local tel_lst = { "0123456789", "0234567890" } --自分の番号配列

while (true) do

local rtn, str = rt.syslogwatch(/(^\s+\[SIP (Rcv)|(Snd)\] (From)|(To) \[[\d\.]+\] Msg \[)|(^\s+( To)|( t)|( From)|( f)\:.+\<sip\:[^\@]+\@)|(^\]$)/, 3)

if (string.match(str[1], /\[SIP (Rcv)|(Snd)\]/) ~= nil and string.match(str[2], /\<sip\:/) ~= nil and string.match(str[3], /\<sip\:/) ~= nil) then

local ipaddr = string.match(str[1], "%[("..ip_ptn..")%]")

local search_str = nil

for i = 1 , #tel_lst do

if (string.match(str[2], "<sip:"..tel_lst[i].."@") ~= nil or string.match(str[3], "<sip:"..tel_lst[i].."@") ~= nil) then

search_str = i
break
end
end
続く
753不明なデバイスさん
垢版 |
2022/01/12(水) 23:48:45.98ID:LsAKb4Xj
if (ipaddr ~= nil and search_str == nil and ipaddr ~="0.0.0.0") then

if (ip_tbl[ipaddr] == nil) then

ip_tbl[ipaddr] = #ip_tbl

local ip_list = ""
for key, val in pairs(ip_tbl) do

ip_list = ip_list..","..key
end

ip_list = string.gsub(ip_list, "^,(.+)$", "%1")

local str_cmd = string.gsub(cmd_reject_1, "^(.+reject%-nolog) [^ ]+ (%*)$", "%1 "..ip_list.." %2")
rt.command(str_cmd, "on")

str_cmd = string.gsub(cmd_reject_2, "^(.+reject%-nolog %*) ([^ ]+)$", "%1 "..ip_list)
rt.command(str_cmd, "on")
end
end
end
end
754不明なデバイスさん
垢版 |
2022/01/12(水) 23:50:02.16ID:LsAKb4Xj
インデントがダメなのでもう一回

--start
local cmd_reject_1 = "ip filter 1000 reject-nolog XXX.XXX.XXX.XXX *"
local cmd_reject_2 = "ip filter 2000 reject-nolog * XXX.XXX.XXX.XXX"

local ip_tbl = {}
local ip_ptn = "%d+%.%d+%.%d+%.%d+"
local tel_lst = { "0123456789", "0234567890" } --自分の番号配列

while (true) do

local rtn, str = rt.syslogwatch(/(^\s+\[SIP (Rcv)|(Snd)\] (From)|(To) \[[\d\.]+\] Msg \[)|(^\s+( To)|( t)|( From)|( f)\:.+\<sip\:[^\@]+\@)|(^\]$)/, 3)

if (string.match(str[1], /\[SIP (Rcv)|(Snd)\]/) ~= nil and string.match(str[2], /\<sip\:/) ~= nil and string.match(str[3], /\<sip\:/) ~= nil) then

local ipaddr = string.match(str[1], "%[("..ip_ptn..")%]")

local search_str = nil

for i = 1 , #tel_lst do

if (string.match(str[2], "<sip:"..tel_lst[i].."@") ~= nil or string.match(str[3], "<sip:"..tel_lst[i].."@") ~= nil) then

search_str = i
break
end
end
続く
755不明なデバイスさん
垢版 |
2022/01/12(水) 23:51:17.53ID:LsAKb4Xj
インデントやめた
2022/01/12(水) 23:53:07.59ID:b8L8Yyf/
行頭の半角スペースは消えるので全角スペース使おう
757不明なデバイスさん
垢版 |
2022/01/12(水) 23:53:22.96ID:LsAKb4Xj
マシンはNVR500です。
758不明なデバイスさん
垢版 |
2022/01/12(水) 23:55:40.87ID:LsAKb4Xj
全角でインデントしました。

--start
local cmd_reject_1 = "ip filter 1000 reject-nolog XXX.XXX.XXX.XXX *"
local cmd_reject_2 = "ip filter 2000 reject-nolog * XXX.XXX.XXX.XXX"

local ip_tbl = {}
local ip_ptn = "%d+%.%d+%.%d+%.%d+"
local tel_lst = { "0123456789", "0234567890" } --自分の番号配列

while (true) do

　　local rtn, str = rt.syslogwatch(/(^\s+\[SIP (Rcv)|(Snd)\] (From)|(To) \[[\d\.]+\] Msg \[)|(^\s+( To)|( t)|( From)|( f)\:.+\<sip\:[^\@]+\@)|(^\]$)/, 3)

　　if (string.match(str[1], /\[SIP (Rcv)|(Snd)\]/) ~= nil and string.match(str[2], /\<sip\:/) ~= nil and string.match(str[3], /\<sip\:/) ~= nil) then

　　　　local ipaddr = string.match(str[1], "%[("..ip_ptn..")%]")

　　　　local search_str = nil

　　　　for i = 1 , #tel_lst do

　　　　　　if (string.match(str[2], "<sip:"..tel_lst[i].."@") ~= nil or string.match(str[3], "<sip:"..tel_lst[i].."@") ~= nil) then

　　　　　　　　search_str = i
　　　　　　　　break
　　　　　　end
　　　　end
続く
759不明なデバイスさん
垢版 |
2022/01/12(水) 23:56:00.97ID:LsAKb4Xj
　　　　if (ipaddr ~= nil and search_str == nil and ipaddr ~="0.0.0.0") then

　　　　　　if (ip_tbl[ipaddr] == nil) then

　　　　　　　　ip_tbl[ipaddr] = #ip_tbl

　　　　　　　　local ip_list = ""
　　　　　　　　for key, val in pairs(ip_tbl) do

　　　　　　　　 ip_list = ip_list..","..key
　　　　　　　　end

　　　　　　　　ip_list = string.gsub(ip_list, "^,(.+)$", "%1")

　　　　　　　　local str_cmd = string.gsub(cmd_reject_1, "^(.+reject%-nolog) [^ ]+ (%*)$", "%1 "..ip_list.." %2")
　　　　　　　　rt.command(str_cmd, "on")

　　　　　　　　str_cmd = string.gsub(cmd_reject_2, "^(.+reject%-nolog %*) ([^ ]+)$", "%1 "..ip_list)
　　　　　　　　rt.command(str_cmd, "on")
　　　　　　end
　　　　end
　　end
end
2022/01/13(木) 00:01:20.72ID:E61m0BPJ
pastebinでも使って
https://pastebin.com/
2022/01/13(木) 01:57:25.58ID:trNBbYlz
そんなん、誰がいちいちチェックすんねん
上手くいってるならもうそれでいいだろ
2022/01/13(木) 10:27:29.05ID:BjyUS+Ku
ここは無料サポートじゃねーよ
2022/01/13(木) 10:50:38.45ID:uSymExK/
>>758
不安な部分はどこよ
2022/01/13(木) 16:59:21.43ID:ZcxN8oBu
在庫戻ったね。ヨドバシもAmazonも
2022/01/13(木) 19:36:43.01ID:TN9AQXzC
マケプレ出品しかないけど見てるところが違うのかな
2022/01/13(木) 19:40:11.29ID:ZcxN8oBu
失礼、誤爆だった
767不明なデバイスさん
垢版 |
2022/01/13(木) 22:28:17.20ID:kDFowsED
>>745
>>749
CUIで設定というのは>>750がいうipipのことですよね？
それ以外に、CUIでやればうまくいくっていう方法があるなら
それが知りたいですが。

>>748
はい、そう思ってまして。
HGWがとってしまったらもう終わりってことなんですかね。
ググってると、一回v6解約して、HGWよりさきにRTX830に取らせるとかって情報しかなくてほかの情報を探してました。

HGW（光電話あり）で、v6プラスとRTX830で拠点間VPNやりたいって場合
皆さんだと何かいい手ありますか
2022/01/14(金) 04:30:13.69ID:6PTV+Slm
>>767
V6プラスはHGWにルーティングして、拠点間VPNはRTX830をPPPoEで接続して、そちらにルーティングすればいい
2022/01/14(金) 05:20:35.84ID:yLCvpIHx
構成とやりたいことがよくわからないけど、拠点間VPNの接続先もフレッツNGNなら、RTX830はHGWの下にしてHGWのファイアウォールで許可してIPv6でIPsecなり張ればいいんじゃないの？
VPNサーバーでテレワークのところは何をしたいのかよくわからない
2022/01/14(金) 09:39:04.94ID:k0STTUK3
>>767
HGWよりさきにRTX830に取らせるとかはない
HGW用のv6プラスが開通した状態では、HGWが先にそれを利用するかどうかに関係なくJPNEのマップルール配信サーバーは利用させてもらえない
そしてマップルール配信サーバーが利用できないとmap-eトンネルは使えない
となるとmap-eトンネルを使うのはあきらめてipipトンネルで使うとか、あるいはどうしてもmap-eトンネルで使いたいならマップルール配信サーバーはJPNEのものではなく別途用意するなどすることになる

HGW用と、HGW以外用のどちらが開通するかはプロバイダの契約次第で
開通時にどちらにするか決まってしまって、もう一方への変更などしてくれないプロバイダの場合はHGW用で開通してしまったらHGW用のまま

一方、どちらで開通させるかをユーザーが指定して申し込むプロバイダや、開通したあとでも切り替えを受け付けてくれるプロバイダであれば
HGW以外用を指定して申し込むとか、HGW用に開通してもそのあとにHGW以外用に切り替えてもらうとかができる
2022/01/14(金) 12:09:04.91ID:+HcDDMPS
フレッツジョイントの有効無効切り替えできないプロバイダが少数あってその場合契約直後にHGWより先に自前ルーターがMAPルール取得すると再起動したりするまでは自前ルーターが使えるという抜け道はあった
今はどうなってるのか知らんけど
772不明なデバイスさん
垢版 |
2022/01/14(金) 14:17:08.58ID:4Lzl+irN
NVR700Wが必要なんだが、どこにも在庫がない。
後継機でるのか？
2022/01/14(金) 14:19:07.55ID:u+lh1B/2
ただの品不足
774不明なデバイスさん
垢版 |
2022/01/14(金) 19:47:33.20ID:gtZV0+tv
>>768
それを試してみます

>>770
So-netなので、プロバイダに確認してみますね

皆さんありがとう。
これらの情報をもとに、やってみます。
2022/01/14(金) 20:16:11.44ID:bHLN9+xs
【PC】「Windows 10/11」でVPNに接続できない問題が発生中 [樽悶★]
https://asahi.5ch.net/test/read.cgi/newsplus/1642154842/

RTXに繋がんねーとか思ったらこんちくしょう
2022/01/14(金) 21:08:55.60ID:vd/eygDR
>>775
まさに今、Windows10 が更新を反映させるために再起動しろって言ってきてるんだけど
これで再起動したら VPN接続できなくなるってこと？
2022/01/14(金) 21:15:24.09ID:f6nLAWkk
2022/01/11のKB5009566が入りそうならまさにそれ
2022/01/14(金) 23:28:46.26ID:k0STTUK3
>>771
好きに切り替えできるプロバイダの方が少数な気がする

>>774
So-netだと、HGW用で開通するかHGW以外用で開通するかは勝手に判定されてしまい、ユーザー側からの明示的な指定はできないが
その回線にHGWがあるという登録が31日以上できていない状態でのv6プラス申し込みし直しで、HGW以外用判定になるかもしれない
779不明なデバイスさん
垢版 |
2022/01/15(土) 08:40:11.52ID:0c1fmBoI
>>744

@nifty,NVR510だけど、同じ様なことあったので

1. v6プラス解約
2. HGWのPPPランプついたら、解約されたので再度契約申し込み
3. ONUからの短い線抜いて、HGW工場出荷初期化。
4. HGW-YAMAHA-PCの線つないで、いろいろ設定
同じ様な使い方なら、"鯖物語"でググれば出てきます

僕は一度解約しましたが、解約せともHGWの工場出荷初期化して、HGWからYAMAHAまでの経路の設定すればできるかも
780不明なデバイスさん
垢版 |
2022/01/15(土) 09:16:14.76ID:PrjDt+Bj
sonet v6プラスで、hgw使わずに、ルータでマップルール配信サーバーは見えて使えてます。
rtx830とnvr500をonuにつないでhgw使ってません。nvr500のみでもいいんですが。
2022/01/15(土) 10:41:14.80ID:Fq7BgnQ2
>>780
インターネットに繋ぐだけならそれで問題ないのだけども、光電話も使おうとすると必ずHGWの下にルータを置かなければダメ

NVR510にして小型ONUにするのも有り
2022/01/15(土) 10:55:00.40ID:8pyik3wc
買い替え検討してるがNVR510はそろそろ後継機種出そう？
2022/01/15(土) 11:08:17.59ID:8pyik3wc
>>607
よく見りゃこんなのあるのね。これ待ってから検討するかー。
2022/01/15(土) 11:35:22.66ID:Zui+tF82
半導体不足で新製品どころじゃないと思うんだけど
2022/01/15(土) 11:51:36.95ID:4N8XzcI+
半導体がないなら導体を半分使えばええやろ
ピアノからボートまで開発するYAMAHAに不可能はない
786不明なデバイスさん
垢版 |
2022/01/15(土) 12:00:33.87ID:xbkwGary
ちょっと長くなりますが

>>779
HGWの中のONUの短い線抜くのは
PR-300世代のHGWとかはそうできたのですが、
今回のRX-600MIは、そこにアクセスできなくなっていました。

HGWのLANからRTX830につなぐ以外なさそうです。
なので、解約→再契約手法も使えないってことに。

光電話＋ネットはv6プラス(map-e)、拠点間VPNも実現となると

１．小型ONUに交換してNVR510使う
２．ONUからの線が奪えるHGWであれば、RTX830へ直結して、v6プラス解約→再契約
３．手動でのipip設定
４．>>768や前スレの「RTXのデフォルトルートをHGWに向けてHGWのstatic routeでRTX配下の内部セグメント宛をRTXに向けたらいいよ」

今回の場合は、１，２，３は難しい状況で、４の手法しかないってことですかね。
あとは具体的にどう設定すればいいですが
HGW(192.168.1.1)、RTX830(192.168.100.1)で
RTXのlan2のアドレスを192.168.1.254/24にする
ip route default gateway 192.168.1.1とする
とかって感じなのでしょうか？
HGWの設定でなにかする。←具体的にわかりません・・・

>>769
自宅から会社のPCにリモートデスクトップするためです。
787不明なデバイスさん
垢版 |
2022/01/15(土) 12:14:02.02ID:A5ZQkOIz
>>781
光電話も使えてますよ。nvr500で電話。ネットはrtx830。もったいない使い方かもですが
2022/01/15(土) 12:26:38.28ID:mW8vHBBC
>>786
RTX830をHGWの下に置いて、PPPoEセッションをRTXで張ってVPN張ればいいんじゃない？
v6プラスも結局希望のポート使えないから拠点間VPNには使えないと思ったけど
2022/01/15(土) 12:30:29.76ID:mW8vHBBC
RTX1200でそういう使い方してた記憶で書いちゃったけど、RTX830だとインターフェース足りないかな
790不明なデバイスさん
垢版 |
2022/01/15(土) 13:01:36.99ID:Loh+A5eD
>>786

pr(onuとの一体型)でないのね
HGWのwan側のケーブル抜いてみたら
HGWにフレッツジョイント降って来られたら、PPPoEとかほとんどの詳細設定もいじれなくなるので、PPPoEに何も入力しないよう初期化は必要です


HGWの設定はこれ山椒

ttps://hobby-server.com/rtx830_ipv4_ipv6/

ブログのHGWはrx-600kiですが参考になると思います
こことか参考に設定して、@nifty - HGW(PR-400NE)-NVR510とつないで、v6プラスとL2TP でVPN使ってますよ
2022/01/15(土) 13:09:55.39ID:sP4pg0ID
>>779
ヤマハルーターでmap-eトンネル使いたいってことであれば
以前の@niftyの場合、v6プラスが開通してたら一旦解除必要で、IPv6接続オプションが開通しないといけなかったよ
@niftyのオプションで言うところの「v6プラス」はHGW用で、HGWの初期化とかしてもそれだけでHGW以外用に切り替わったりはしないから

>>786
HGWの中のONU部とルーター部の間を抜いて使う話は
HGWの世代じゃなくて、ONU一体型HGWなのかそれともONUとHGWが別なのかによる

PR型番だったら、中にONUとルーター部が入っていてその間が接続されており、接続部分を抜いて使えるが
RX型番はルーター単体でONUを含んでいないから、その中にはONUとルーター部の間の接続がそもそもない(ONUとの接続部は、中ではなく外にポートが付いてる)

RX-600MIで１，２，３は難しいって、今あるONUはどんなので、難しい理由は何？

>>790
v6プラスのフレッツ・ジョイント降っててPPPoEの設定を消したい(いじりたい)ってだけなら
初期化しなくても、配信済み事業者ソフトウェア一覧からIPv4の一時停止をすればできる
2022/01/15(土) 13:54:46.46ID:rz5atVcT
単体型ONUと単体HGWに変えてもらえば
と言ってもRX-600が単体HGWだから
ONUが単体のやつかSFP型の小型かどちらかになるんだけど
2022/01/15(土) 15:12:40.09ID:V9HATgRO
>>775
隣の区にある事務所のRTX1210相手に繋いでるけど
家の11からはどれも問題ないな
相手がIPv4オンリーだからかな？
794不明なデバイスさん
垢版 |
2022/01/15(土) 16:46:20.40ID:irZxhjNT
>>790
丁寧にありがとうございます。参考にします！
HGWのwan側のケーブルとは、小型ONUのことですか？
知識レベルが低く、いろいろ勘違いしてもいるんだと思います。

>>791
RX-600MIについて勘違いしていました。
おっしゃる通り、小型ONUを直接さす形になっており、
挿す機器自体がONUであって、RX-600MIはルーターだけなんですね。

１．については単にRTXのみで実現可能かを言われているということ
（NVR510だと拠点対地数が少ないといっていたような）
　ただ、小型ONUがいまRX-600MIに刺さってるので、NVR510が使えたら
　簡単に解決しそうですね。
２．についてはHGW配下にRTX830つけるしかないからですかね？
３．は技術的な問題です
2022/01/15(土) 17:01:56.08ID:pcAO9TlL
小型ONUならSFPが刺さるメディアコンバーターかスイッチがあれば変換できますよ
2022/01/15(土) 17:49:26.80ID:5i7Jbx9F
>>775
WindowsもAndroid12みたいにL2TP/IPSecやめたのかと思ったら
ただのバグか
797不明なデバイスさん
垢版 |
2022/01/15(土) 19:46:12.05ID:Oz4FCB/k
光開通の時、HGWいらね（NVR500使うから)
っていうとONU単体で手配してくれましたよ。
ONU単体で手配してもらえれば、ひかり電話はヤフオクとかで安いNVR500
他のネットはrtx830とかに担わせれば、HGWの呪縛から逃れられると思います。
自分はそうしてます。
2022/01/15(土) 23:36:27.44ID:fzWWulc2
>>791
@nifty HGWはPPPoE切ってあってファーム自動改版しないに設定にした状態でv6オプション申し込みだけだなぁ

電話とTVはHGWで行って、v6プラスとPPPoEを2セッション同時に使えている
v6プラスも900M程出るから830がたまにアラーム出してるw
2022/01/16(日) 12:40:20.12ID:ALCTEqRA
v6プラスはPPPoEじゃないから
制限のあるセッションじゃないよね？
2022/01/16(日) 14:38:38.21ID:14FUi4mE
>>799
？
2022/01/16(日) 18:49:02.28ID:Lr+ImjMj
>>799
そのとおり
フレッツのセッション制約とは関係無いよ
2022/01/17(月) 17:16:22.25ID:2inuRM+T
不定期にRTX830が原因不明の再起動を起こすんだけど同じような経験ある人いないかな？
ログをみても理由は unknown で負荷をモニタリングしても問題なさそうだしで困る
電源を疑ってみたけどほかの機器は問題ないしなんならUPSに繋いでても起こる
ファームウェアならまだしもハードだったら嫌だなー
2022/01/17(月) 18:07:17.60ID:giKWiD6U
ハンダがどこか割れたりしているんだろう。それか電解コンデンサが死んでるか。
2022/01/17(月) 18:11:12.40ID:1jb8NbTn
もうじき購入から4年だがそういったことはないなあ
25日辺りに15.02.22ってファームウェアが出そうだからそれ入れてダメならヤマハに相談かな？
http://www.rtpro.yamaha.co.jp/notice/software-license-update.html
2022/01/17(月) 18:55:59.43ID:2inuRM+T
>>803
最悪それだよね…… 悲しいなぁ

>>804
密かに期待してるけどまーダメなんだろうなー
保証期間過ぎてるし代替品ないからいっそ1220買おうかと思ったけど時期が悪すぎた
2022/01/18(火) 01:24:25.01ID:+MvIPm7Y
買おうにも売ってない
売っていても高すぎる（いうても定価だけど）
そろそろ新製品？

修理やね（ニッコリ
2022/01/18(火) 12:17:54.79ID:Miy0rkQ0
不定期というのが一番厄介なやつ
2022/01/18(火) 12:42:55.59ID:UiH5CWQn
友人からRTX-1210を譲ってもらいました。
Webメニューから、繋がっている端末毎の現トラフィック（IN/OUT）を見る方法ってありますか？
2022/01/18(火) 12:53:50.10ID:YTRM1PHU
流石に単体ではそこまでは無理やね
2022/01/18(火) 20:07:17.39ID:ueArAejI
もしかして830新ファームってIKEv2対応したりする？
2022/01/20(木) 22:49:58.86ID:z8TKNCul
>>775
win10でl2tp/ipsec一旦繋がるけど、切断してすぐ再接続するとセキュリティ層で処理エラー(エラー789)が出てl2tp接続失敗する
yamaha側の問題かwin10側の問題か分からないけど遠隔pcをyamahaRTにvpn接続させたいから困る
androidだとこの事象は起きないからwin側の問題だと思うがpp auth usernameをユーザ単位で作る必要はないよね
812811
垢版 |
2022/01/21(金) 00:29:42.58ID:0WoJ7i5h
tunnel追加で作らないとだめな気がしてきた
ただの設定ミスの予感
2022/01/21(金) 00:49:00.35ID:Eem6nxOM
>>811
環境がよく見えないからコメントできん
2022/01/21(金) 07:37:21.66ID:/MmTfKdd
>>813
そりゃそうだよな。かといってconfig長々載せる訳にはいかないし。まあいろいろやってみるよ
しかし>>182見たらAndroid12でL2TP切り捨てか。特段脆弱性無かったと思うけどな
メニューに無くてもOSとしてはサポートしてるようだしmicrosdのようにgoogleがビジネスとして邪魔だから適当な理由付けて切り捨てたいだけな気もする
2022/01/21(金) 15:00:03.67ID:nS4ITdml
>>811
ウインドーズアップデートのバグだってよ
816不明なデバイスさん
垢版 |
2022/01/21(金) 15:02:10.29ID:4GL1c+yc
>>811
Windows 10の場合、レジストリの設定を変えないとその手のエラーが出る場合もある
(バージョンによって挙動も違うし、今月のパッチまでつながっていた場合は別の要因があるかもしれんが)

RTX810 L2TP Windows10 レジストリ あたりの文字で検索すれば設定例が見つかるはず
2022/01/24(月) 00:51:58.72ID:up8pbbNw
NVR500　2010年10月発売
NVR510　2016年9月発売

RTX810　2011年11月発売
RTX830　2017年10月発売

RTX1200　2008年10月発売
RTX1210　2014年11月発売
RTX1220　2021年4月発売


今年と来年にNVR510とRTX830の後継機種が出ると信じてる
2022/01/24(月) 01:01:08.13ID:izX8I0Hy
IKEv2ほんまなんとかして
2022/01/24(月) 07:22:21.65ID:jXgBx7wr
>>817
25日に期待してる
手が届く価格でマルチギガビット対応して欲しい
2022/01/24(月) 07:47:43.91ID:UWHvHCsm
マルチギガはいらない
2022/01/24(月) 10:59:08.32ID:iuDmndPt
エッジルータとしての830とか1220後継であれば、マルチギガは要らんね。
マルチギガ対応するくらいなら10G対応してもらわんと。
2022/01/24(月) 11:39:20.39ID:fKkrBDJf
30-40台位のタブレットを繋ぐ環境があるんだけど、アクセスポイントにはWLX313を使っています。
今までソフトバンク光だったのをおてがる光に変えるんだけど、接続方法がクロスパス(DS-Lite)の場合、ルーターをNVR510にするメリットはありそうですかね？
2022/01/24(月) 11:43:18.61ID:GHZs/yUX
今こうなのをどうしたいのかわからんとメリットがあるかどうかわからない
824不明なデバイスさん
垢版 |
2022/01/24(月) 11:43:43.39ID:Y9ZFzLBs
.

　 　　　　　　　　 （-＿-）　 おい　NVR610 GTX　はまだか
　 　　　　　　　 　/　　　ヽ
　 　　　　　　　　し|　 i　|J=iニフ
　 　　　　　　　　　 　　　　　ιυ
2022/01/24(月) 12:03:05.08ID:HfH6pd95
>>822
今どんな問題が起こっていて、それをどの程度解決したいのかが分からないと何にも言えません。
前のルータが何かも分からないし。
826不明なデバイスさん
垢版 |
2022/01/24(月) 13:00:54.89ID:rF7zRfYv
>>817
RTX5000　2013年7月発売
RTX3500　2013年7月発売

NVR700W　2016年7月発売

順当にいくとRTX830は最後
2022/01/24(月) 13:14:44.59ID:Y9ZFzLBs
と、思ったけど半導体不足だから今年は無理か
2022/01/24(月) 15:02:42.96ID:fKkrBDJf
>>825
すみません。
今までソフトバンク光でipv6オプションを使用していましたが、30人を超えるとweb閲覧等がタイムアウトになる人や、ストリーミング視聴等ができない人が出てきました。
BBユニットを時々再起動しないといけない状況になっていたので、それらを解決できればと思っています。
おてがる光だとひかり電話の為、通常はHGWになるのですが、そのまま使えるのか、NVR510にした方がいいのか迷ってます。
2022/01/24(月) 15:29:03.68ID:GkBIy/MW
その状況じゃ無制限の回線じゃないと回線側のポート制限でもっと早く死にそう
ひかり電話は別回線にしてタブレット収容するのはv6プラスの固定IPプランにRTX830と複数のAP配置した方がいいんじゃないかな
2022/01/24(月) 15:52:43.91ID:HfH6pd95
>>828
基本的にはHGWはいいルータです。
設定さえきちんとしていれば問題無いと思います。

ただ、単純にプロバイダの速度が足りない可能性もあると思います。
乗り換え先のプロバイダがさらに貧弱ならもっと酷いことになると思います。

今現在、問題が1.ルータなのか、2.プロバイダなのか、3.電波障害などを含む無線の問題なのか、4.その他なのか
ということをきちんと調べた方がいいと思います。
何が問題なのかを調べないと意味が無いです。
2022/01/24(月) 17:47:57.35ID:24foitb5
ありがとうございます。
もしかすると、クロスパス(DS-Lite)にすると回線側のポート制限の影響を受ける可能性があるんですね。
てことは、この構成の場合はやっぱりHGWからNVR510に変えるメリットはあまりないんでしょうか。
2022/01/24(月) 18:06:05.81ID:dlIXEWsH
>>831
BBユニットの方がNATセッションのテーブルがHGWより大きかったはずだからHGWにしたら
あっさりテーブル枯渇して通信不能になると思う
そこに加えてDS-LITE系の利用可能ポート制限とかルーター以前の問題も出てくる

とりあえず回線変える前にやれるのはWLX313ってことだしクライアントもAC世代ならAPを
増やしてAP1台が抱えるクライアントを10台以下くらいまで減らして体感速度の改善
AX世代のクライアントがいるならAX専用APを設置して1台のAPにACとAXは混在させない
BBユニットのNATタイマータイムアウトをできる限り短くしてNATセッションを食い潰すのが
改善できるか様子を見るだな
2022/01/24(月) 18:36:50.16ID:HfH6pd95
>>831
ポート制限ですか。なるほど。
間違ってたらごめんなさいね。
まず、HGWはDS-liteに対応してます。NRV510も対応しています。

で、DS-liteはルータ側でNATをかけません。プロバイダ側でNATをかけます。
なのでルータの性能はそこまで関係ないです。

ただ、プロバイダ側でNATをするのですから、プロバイダ側でポート数の上限が違います。
なかなか公開しているプロバイダは少ないみたいですね。

iij法人向けサービス
https://www.iij.ad.jp/biz/faf6ipoe/menu.html
DS-Liteを利用する際、IPv4通信は1回線あたり12,800ポートまでの制限があります。

Interlink
https://faq.interlink.or.jp/faq2/View/wcDisplayContent.aspx?id=654
「ZOOT NATIVE」（IPv6 IPoE接続）1契約でご利用いただけるポート数は1024となります。

おてがる光は見つかりませんでした。

ということでルータの性能はDS-Liteではあまり関係ないです。プロバイダのポート制限を確認してください。
2022/01/24(月) 19:07:35.31ID:HfH6pd95
ああ、あとこういう機能があるのか知りませんが、あるならNVR510のポートセービングIPマスカレード機能が役に立つかもしれません。


端末群（ポート使用数2000〜3000）　--------＞　NVR510（ポートセービングNATでポート上限を1000に制限）　-----＞プロバイダ（ポート上限1000）

つまり、プロバイダとNVR510の二重ＮＡＴの状態にしてポートを制限する感じですか。
っていう使い方ができるならば、NVR510を導入してもいいかもしれません。
そんな使い方できるのか知りませんが。

個人的にはDS-liteよりもmap-e + NVR510の方がお薦めだと思います。
835不明なデバイスさん
垢版 |
2022/01/24(月) 19:35:23.72ID:LA6O0tRj
RTX830のFWアップデートは明日か…
不安で眠れそうにない
2022/01/24(月) 20:32:25.18ID:kfed0a61
>829-834 アドバイスありがとうございました。
とりあえずは様子を見て、ダメそうならv6オプションに対応しているプロバイダー+NVR510に変えることを検討したいと思います。
837不明なデバイスさん
垢版 |
2022/01/24(月) 21:15:57.83ID:SLM1mkPD
rtx-810から無線AP越しにiphone やipad をdhcpで使ってるのですが、最近ルーターを再起動して、一回繋がってたiphoneのwifi設定消して繋げたら何故か繋がらなくなりました。
windowsは問題ないのですが。
iphoneとかって、dhcpのremain silent指定してるとコケたりしますか？ちなみにリース期間は指定していません。
iphoneとかに使う時のdhcpの注意点とかあったらご教示いただけたらと思います。
2022/01/24(月) 21:20:38.22ID:WhQEZSTy
>>837
プライベートアドレス機能オフにした？
それが原因かもしれない
839不明なデバイスさん
垢版 |
2022/01/24(月) 22:12:00.32ID:SLM1mkPD
>>838
いいえ、デフォルトでオンなのでそのままです
オフにすべき？でしょうか。
2022/01/24(月) 22:34:20.14ID:wFjc1TXF
そりゃiPhone/iPadのIPアドレス変わっちゃうんだから
2022/01/24(月) 22:47:30.06ID:KspJ2P17
>>836
そもそも利用してるサイトが(ネイティブの)IPv6で繋がるならNATがどうのって話は関係ないし、その方針で本当に大丈夫かしらん
2022/01/25(火) 01:42:27.49ID:DUaiDVjA
>>838
関係ない

>>840
L2, L3も分かってないのにはヤマハ使ってんのか……
2022/01/25(火) 01:48:11.37ID:4w5gWQ49
>>837
IPが貰えない状況ですか？
それともIPは貰えてるのに繋がらない感じですか？
2022/01/25(火) 01:56:46.92ID:092CNGXZ
どう繋がらないのかも説明無しとは...
2022/01/25(火) 06:54:14.05ID:itX2I/it
>>842
行間を読めるなら、その返しは的外れと思えると思うけどな。
2022/01/25(火) 12:38:20.33ID:F6MEPjbV
>>836
なんかよく理解できてなさそうだけどIPv4が共有型のサービスじゃ恐らく全く使い物にならないレベルでトラブル起こすぞ
847不明なデバイスさん
垢版 |
2022/01/25(火) 12:53:19.84ID:8kEdbMYC
>>843
ipの払い出しされずにiPhoneが169.のアドレスを勝手に名乗る感じになってしまいます。
とりあえず何度かルーターとAP再起動したら払い出しされたのですが72h後のリースアップの時を注視してみます。
2022/01/25(火) 14:17:26.18ID:qzQPloFL
10Gルーターが秋発売予定だそうです
筐体は写真RTX1220っぽい感じ
ポートの詳細とかは不明だけどLAN2とLAN3がSFP+との排他っぽい
2022/01/25(火) 14:28:03.16ID:AE9t09op
VPN拡張ライセンスって何？
2022/01/25(火) 14:35:29.02ID:+UClzI14
>>849
830のVPN対地数の上限が1210/1220相当まで増えるだけ
2022/01/25(火) 15:09:48.94ID:qzQPloFL
>>850
細かいこと言うとマルチポイントトンネルのサーバー機能も増えるね
2022/01/25(火) 15:31:12.25ID:3/mYxDK/
SFP+はありがたいな
小型ONUも刺さったりして
2022/01/25(火) 16:28:21.35ID:cUKI5YYH
RTX830のFWアップデートした
うちの運用では特に変化無し
2022/01/25(火) 16:40:06.67ID:2h3qUwHo
IKEv2対応来た？
2022/01/25(火) 19:13:48.67ID:cYWkwWTR
今回もバグ修正多いな
直してくれるのはありがたい事だが
2022/01/25(火) 19:16:53.23ID:POeG7v5X
いくつもリブートするバグが修正されてるね
>>802も治ると良いのだけど
2022/01/25(火) 19:33:04.84ID:onnzxUix
>>848
4月までにIX2310買おうと思ってたけど、ガマンしてこれを待つかなぁ
本当に秋に出れば良いのだけれど
2022/01/25(火) 19:36:14.44ID:7qQPiQK+
nvr510の後継は1Gかな
2022/01/25(火) 19:52:09.44ID:b4WzbIpX
>>849
これはせこいな。
ISDNを除いた性能が1210よりも830が上だったから意図的にスペックダウンさせていたのを
ソフトでちょいちょいっていじって本来の性能にしただけのやつじゃん

ヤマハ的に元手0円でソフト売ってぼろ儲けじゃん
こんな商売許されるのか？
2022/01/25(火) 20:02:54.51ID:C6XFtmrp
ライセンスで性能開放するのは今のトレンドだよ
シスコとかもね
2022/01/25(火) 20:06:00.52ID:fUe3XEXS
YAMAHAのルーターとか似たようなものを型番分けて出しているのが効率悪い感じだったしナ。
2022/01/25(火) 20:09:49.98ID:b4WzbIpX
アメリカの人が訴訟起こしそうな案件だけどな
アイフォンで意図的に性能落として訴訟になってなかった？

まあでもWindows HOME Pro server とかはソフトウェア的に機能が違うしいいのかね？
2022/01/25(火) 20:17:54.65ID:y1XmSYON
もう1220みたいな間に合わせ機すら作る半導体が揃わないから既存の830でやりくりしてるだけだろ
2022/01/25(火) 20:34:46.68ID:YzAI2hU9
>>862
あのさぁ
2022/01/25(火) 21:14:50.69ID:asD2PdGc
細かいところはうろ覚え、予定通り出せたらいいけど半導体の供給次第だとか

ルーター
　・RTX1220のLAN2・３をSFP+のコンボポートにしたような10Gルータ
　　LAN1のポートの仕様が分からん。ファン付きモデルみたいにフロントが
　　穴だらけじゃないっぽいから、ファンレスもワンチャンある？
　・1220後継の後に、来年以降センタールーターも出すつもりではいるらしい
アクセスポイント
　・オフィス向けWi-Fi6対応APの試作機登場 WLX413よりコンパクトと言ってるが
　　WLX212より大きそうなので、WLX313の後継っぽい
スイッチ
　・2.5Gx8ポート, 10G(SFP+コンボ)x2ポートのL2 PoEスイッチの試作機登場
　・非PoE版も夏だか秋だったかに出る予定
　　SWX2110P-8Gが横に伸びたような全ポート横並び
2022/01/25(火) 21:31:52.48ID:h0OwoYsc
流れをぶった切ってすみませんが
コンフィグの互換についての資料を探しています
nvr510->rtx830なんですが…
2022/01/25(火) 21:36:46.67ID:vqmeHgkd
互換性だけに焦点をあてた資料は見た事がない
2022/01/25(火) 21:51:45.62ID:b4WzbIpX
>>866
それこそNVR510同士のファームウェアバージョン違いでもデフォルト値の変更とかあるから、互換があるかどうかはリリースノートを追っかけないといけない。
基本的にはCUIで手打ちで弾かれたものは設定そのものが無いってことでやっていって、
めったにないけど設定値の違い（ON　OFF）やデフォルトの数値の違いとかは
それこそコンフィグを一行ずつ見て両方のマニュアルと照らし合わせていくしかないと思うけども。
完全互換に近いものを求めるならね。

でも、NVRとRTXなら普通にコンフィグ流し込んでもそんなにおかしな動作はしないと思うけど。逆は厳しそうだけど。
2022/01/25(火) 21:55:59.29ID:b4WzbIpX
>>865
処理能力はいかほどなのだろうか
RTX1200のようにショートパケットではRTX1500に負けるみたいなことは無いだろうけども
2022/01/25(火) 22:18:25.05ID:y1XmSYON
>>869
一般向け無線付きルーターの最上位クラスでも2.5Gbpsフルポートじゃ処理能力足りてないって話だし
10Gbps回すとなると相当な性能向上が必要だから価格上昇と共に一気に性能は上がるだろうな
2022/01/25(火) 22:27:47.24ID:h0OwoYsc
>>868
ありがとうございました
2022/01/26(水) 00:58:21.16ID:gko7MDCi
クラウドwatchが記事にしてたわ
ヤマハがネットワーク製品の最新ロードマップを公開　10GbE対応VPNルータ、マルチギガ対応スマートPoEスイッチなど
https://cloud.watch.impress.co.jp/docs/news/1383299.html
2022/01/26(水) 01:04:20.45ID:SrInu2L5
RTX1220が118,000円(税別)
20万円位しそうだなぁ
2022/01/26(水) 01:16:41.45ID:lXHLlAkB
>>873
https://asset.watch.impress.co.jp/img/clw/docs/1383/299/yamaha01-03_o.jpg
LAN2/3とSFP+だけが10GでLAN1は1Gじゃないとその価格は無理だろうな

5ポートが35万だぞ
https://jpn.nec.com/univerge/ix/Info/ix2310.html
2022/01/26(水) 01:23:25.39ID:SYhf91L1
高くても15万円ぐらいじゃないかなあ
MikroTikのRB5009UG+S+INが約$200, 20W
RB5009はMavellのチップを使ってて、10Gb SFP+ x1, 2.5GbE(-T) x1, 1GbE(-T) x7の変な構成だけど、
2.5GbEはSWチップの10Gbポートに繋がってるそうなので10Gb x2, 1GbE x8までは同様の構成で行けるはず
問題は消費電力...
(MikroTikとYAMAHAじゃビジネスの規模とコスト構造が違うから、5万円でってのは無理だと思うが)
2022/01/26(水) 01:25:33.76ID:SrInu2L5
>>874
全ポート10Gだとは思ってないよ
熱も凄いことになるし
LAN1は1Gかせいぜい2.5Gと予想しての20万円
2022/01/26(水) 01:26:02.96ID:M5iLW5gp
>>874
LAN2がWAN用途10GでLAN3に10Gハブを接続するっていう使い方になるのか
それなら悪くないかも
2022/01/26(水) 01:27:38.89ID:ZUCp3LwL
port 9 LAN2 /SPF+
port10 LAN3 /SPF+

これは排他なのかな？
2022/01/26(水) 01:41:10.15ID:SYhf91L1
>>878
そこは排他(コンボポート)でしょ
2022/01/26(水) 01:50:39.82ID:SrInu2L5
LAN2,3のRJ-45とSFP+は同じポート番号を振ってあるから明らかに排他だね
2022/01/26(水) 10:00:13.75ID:iqWJiLUh
>>872
2022年「度」だから6月頃までには動きあるかな
WAN, LANにそれそれ10GbEを載せて、それ以外はGbEとかかな？
半導体不足でそもそも作れるのか
1220の品不足も新製品を控えて生産数を絞ってるなら話は別だけど
882不明なデバイスさん
垢版 |
2022/01/26(水) 11:56:20.00ID:ndQ8mXx4
素人丸出しの質問で申し訳ないのですがどなたか教えてください。
RTX1210のリモートアクセスVPNで192.168.0.1(ルーター)/23のネットワークに
Windowsの標準VPN接続する時、DHCP範囲が仮に192.168.0.2-1.254として
ローカルホストに192.168.0.xのIPが割り振られた時、
192.168.1.xのリモートホストと通信ができないのはどうしょうもないのでしょうか。
YAMAHAに聞いたらYMS-VPN8を使ってないからサポート対象外と切り捨てられてしまいまして…
2022/01/26(水) 12:14:18.60ID:lnFGtmtG
YMS-VPN8を買えば聞きたい放題だな。
2022/01/26(水) 12:36:56.74ID:ICCKfdEh
>>882
ルーティングを正しく設定していれば普通は出来る
とりあえずネットワーク構成図書け
2022/01/26(水) 12:50:44.57ID:SYhf91L1
いや、/23のネットワークだからルーティングは関係ない(はず)ってことでしょ
2022/01/26(水) 13:05:43.59ID:2tIoaitk
arp proxyが必要なパターンだとおもうけど、そのへん含めてRTのコンフィグがととのっているか。
とりあえず/24で同じことをしてみれば？
2022/01/26(水) 13:11:45.23ID:JumsQlFZ
ネットワーク大喜利かな
リモート側のローカルIPが192.168.1.x/24とかいうオチだったら笑う
2022/01/26(水) 14:56:24.58ID:fodF3LPv
ここはエスパー検定スレじゃねーぞ
2022/01/26(水) 15:00:58.37ID:JumsQlFZ
>>882
本気で解決したいならコンフィグ出しなさい
2022/01/26(水) 15:38:13.14ID:pL+rbRHJ
こういう構成だろ
ローカルホストとリモートホストは同一セグメントなんだからProxy ARPしてないだけにしかみえん

リモートホスト [192.168.1.x]
　｜
インターネッツ
　｜
RTX1210 [192.168.0.1(LAN1)]
　｜
　｜192.168.0.0/23
　｜
ローカルホスト [192.168.0.2-254]
2022/01/26(水) 15:55:54.37ID:ndQ8mXx4
元々192.168.1.0/24だったのをIPアドレスが足りなくなって
IP固定しているホストのIP(192.168.1.x)を変えたくなくて
ピコーン192.168.0.0/23にしたらいいんじゃね？って思いついたのがはじまりです。
ルーターは192.168.0.1/23に変更し、IP固定の端末もサブネットを23、GWを0.1に
変更するなどこのことは最低限やってはいます

configを必要なとこだけ書くとこんな感じです
ip route default gateway pp 1 filter 500000
ip lan1 address 192.168.0.1/23
ip lan1 proxyarp on
2022/01/26(水) 15:56:08.08ID:ndQ8mXx4
pp enable 1
pp select anonymous
pp bind tunnel1
pp auth request mschap-v2
pp auth username * *
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp remote address pool dhcp
ip pp mtu 1258
pp enable anonymous
tunnel select 1
tunnel encapsulation l2tp
ipsec tunnel 1
ipsec sa policy 1 1 esp aes-cbc sha-hmac
ipsec ike keepalive use 1 off
ipsec ike nat-traversal 1 on
ipsec ike pre-shared-key 1 text *
ipsec ike remote address 1 any
l2tp tunnel disconnect time off
ip tunnel tcp mss limit auto
tunnel enable 1

dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.0.2-192.168.1.254/23
dns host lan1
dns service recursive
dns server pp 1
dns server select 500001 pp 1 any . restrict pp 1
dns private address spoof on
2022/01/26(水) 16:05:12.34ID:t1LNrQyf
>>887
これ、あるあるなんだよなぁw
2022/01/26(水) 16:07:11.94ID:g+8mWL9g
>>882
「192.168.1.xのリモートホストと通信ができない」というのは、
リモートホストに192.168.0.xが割り振られた時は通信出来ているとう意味？
2022/01/26(水) 18:13:22.86ID:9JdJu+d3
こういう話はだいたいフィルター周りの設定が邪魔してるだろ

フィルター全外しで試して診ればええんじゃね？
2022/01/26(水) 18:14:06.50ID:wlePT1E+
コンフィグ的には特におかしくないように見えるな
これ、あれだよね、/23に改変する前のバージョンは普通に動いてたってことだよな
リモート端末のローカルIPがセグメント被ってるとかぐらいしか思いつかんな
2022/01/26(水) 18:57:05.41ID:TJNwZ07S
>>882
TCP/IP詳細設定の
「リモートネットワークでデフォルトゲートウェイを使う」
のチェック外してない？似たような環境作った事あるけど、
ワイはこの辺弄くったら通信できるようになった
2022/01/26(水) 19:10:14.83ID:DZ1yb2s1
>>897
それはリモート端末がVPN経由でインターネットや他のネットワークセグメントに出ていく場合の話でしょう
今回はRTX配下の同一セグメントへのアクセスなので関係ない筈
2022/01/26(水) 19:17:43.61ID:TJNwZ07S
>>898
確かにおっしゃる通りの設定だと思ってて最初は疑ってなかったけど、
うちはここの設定変えたら想定通りの動きはしてくれた
iOSのVPN設定だと「すべての信号を送信」の部分だと思われる

今回の場合だとYMS-VPN8買えば良い話だがｗ
2022/01/26(水) 19:21:44.42ID:q1KkM0+1
>>899
VPN経由でインターネットに出るのがOKならそれでもいいけど、
それがNGの場合はそれだと困るのでは
2022/01/26(水) 19:39:15.12ID:AnDyC/v3
>>891
> ip route default gateway pp 1 filter 500000
の500000には何が設定されてる？
902sage
垢版 |
2022/01/26(水) 22:21:40.22ID:cyBTwQ6C
>>891
フィルターでIPsecをちゃんと通しているのかな？

/23でネットワーク組んでいる理由もよく分からんが。。。
2022/01/26(水) 22:26:15.02ID:PIAB2Ixp
>>901
pp1のフィルターが何か影響するとも思えんが

>>902
/24でIPが足りなくなったから/23に拡張したら繋がってたのが繋がらなくなったという話でしょ
2022/01/26(水) 23:50:28.82ID:A4f7b0AK
NVR510のVPN使うのと、ラズパイでVPN鯖立てるのどっちがいいかな。
2022/01/27(木) 00:08:11.56ID:r4/RknrS
1+1はなぜ2なのかを証明するより難しい質問だ

前提条件無さすぎて答えられる訳ないでしょ！
2022/01/27(木) 00:47:26.96ID:WGdNdrSx
> /23に拡張したら繋がってたのが繋がらなくなった
とは明言してないと思うけどな
907不明なデバイスさん
垢版 |
2022/01/27(木) 07:56:19.84ID:6W0S6OKR
リモートホストのルートテーブルが見たいですね
2022/01/27(木) 08:43:17.61ID:zwjZdVDz
皆様ありがとうございました。
確かに192.168.1.0/24から0.0/23に変えた時に自動調整されたフィルタをそのままにしてたのでまずはフィルタを見直してみます！
2022/01/27(木) 09:06:42.09ID:kk2aO2xt
直ったらどこがおかしかったか教えてね
2022/01/27(木) 15:04:21.20ID:Te8+rjqB
ローカルセグメントがどっちかと同じとか
2022/01/27(木) 15:25:47.08ID:/WXWn/C1
リモート端末に付与するIP、RTX配下のLANセグメントと同じにするか変えるかいつも悩む
それぞれにメリット・デメリットがあるよね
2022/01/27(木) 20:07:50.90ID:K5Bd8ilk
RTX830が在庫僅少・納期未定ってなってるけどこれ終売予定ですか？
2022/01/27(木) 20:27:05.99ID:HX+53SF0
半導体不足の影響だろ
2022/01/27(木) 20:35:10.68ID:DfWm1e09
830もだめになったらほんとうにどうしていいのやら
2022/01/27(木) 23:51:25.83ID:pcsNVH5x
5G対応のNVRは？
2022/01/28(金) 01:28:23.58ID:MrCL+oP1
/24 でアドレスが足りなくなったら　VLANを一つ追加したほうが楽じゃない？
2022/01/28(金) 09:06:14.45ID:9DQblwgD
>>915
nvr520
918不明なデバイスさん
垢版 |
2022/01/28(金) 19:45:25.45ID:PvEdhOaS
VDSLから光ケーブルにしたいんで
NVR510先に買おうと思ったら在庫が全然無いなｗ
2022/01/28(金) 22:37:50.01ID:9GJako3N
昼間ジョーシンに49800で在庫があったがポチる前に売り切れてた。
誰だよ買った奴、くっそーｗ
2022/01/28(金) 22:47:50.99ID:XKGIgX+X
RTX830ファームアプデしたらファビコンがヤマハマークになってるな
2022/01/28(金) 22:51:14.18ID:sXDuTlBC
IPSecによる拠点間VPNしたいのにRTX830がないRTX1220がない
2022/01/28(金) 22:57:03.92ID:Mg2iDXL3
ソフトウェアルーターで済ませるとか。
2022/01/28(金) 23:15:06.37ID:HBT3hhwf
昔と違ってRTXに拘る理由がどんどんなくなっていく
2022/01/29(土) 00:01:53.89ID:aYE5YT3L
ISDN亡き後はなぁ・・・
2022/01/29(土) 00:04:03.86ID:ZVps2Zka
正直「YAMAHAが好きだから」以外の理由がもう自分の中にない
2022/01/29(土) 00:44:42.51ID:X5KRM8lu
CiscoよりIPSecのconfigは分かりやすいけど、トラブった時のログの少なさは泣ける
良くも悪くも中小規模向け
2022/01/29(土) 00:59:09.04ID:6HQzSr0f
最近はマルチベンダだからciscoは少なくなったな
ヤマハも参入すりゃいいのに
2022/01/29(土) 11:37:20.83ID:gQYrfbDe
個人でも使える信頼性のあるルーターっていったらやっぱYAMAHA挙げちゃうけどなー
他にも選択肢はあるんだけど個人的にはYAMAHAが一番疲れない
2022/01/29(土) 18:19:52.85ID:0Cg0x/rS
せやな
個人的には個人で使うにはヤマハがいい
職場はシスコ
2022/01/29(土) 19:13:38.94ID:GE+a1DgO
YAMAHAは、正当な理由があれば仕様変更も行ってくれるので好感度高めではある。
有償サポートとか入っている訳ではないのに。
2022/01/29(土) 19:25:29.56ID:Bh7pO67G
YAMAHAはなんというか、会社として好き、経営理念とか
日本人として応援している
2022/01/29(土) 19:51:50.32ID:aYE5YT3L
ヤマハのコピペ面白いよね
2022/01/29(土) 20:00:51.04ID:u5MDBETO
YAMAHAにLINE通話機能が付けば面白いのに
2022/01/29(土) 22:00:58.21ID:f2+mx0yf
>>933
せっかく安心して使えるメーカーの製品になんでわざわざバックドア仕込まないとならないんだよ
2022/01/29(土) 23:12:25.26ID:u0l30V1q
LINEなんてよく使う気になるな
2022/01/29(土) 23:19:22.76ID:6HQzSr0f
ソフトバンク使ってるカスにも言ってやって
2022/01/29(土) 23:28:34.28ID:5KlsD/Oh
>>936
こういうアホが使ってる所がヤマハの微妙なところ
2022/01/29(土) 23:48:22.87ID:6HQzSr0f
ソフトバンクユーザーが現れた
2022/01/30(日) 00:08:48.80ID:Vgvsjd1e
無料で使えるIP電話サーバって今あるの？昔はいろいろあった気がするが。
2022/01/30(日) 00:19:07.94ID:YOuYiZ1m
昔あったように今でもいろいろ
2022/01/30(日) 02:23:17.43ID:YIWjT9GR
LINEはあれだけ使ってるユーザーが多いのが信じられないわ
みんなが使ってるから大丈夫な大企業とでも思ってるんだろうな
2022/01/30(日) 04:12:42.71ID:QcNGTqST
キチガイ帰れスマホやクラウド使ってる時点で吸われてるっつーの
2022/01/30(日) 07:58:26.02ID:nGQHLUQE
LINE使わない俺、意識高い
2022/01/30(日) 08:14:14.14ID:Wnqhsrwh
個人がLINEを使うのがそんなに問題とも思わんが、とりあえずスレチなのでその辺にしといて
2022/01/30(日) 09:58:31.30ID:c3HDgj6t
>>939
普通にSIPサーバーとして登録できるものでは
楽天コミュニケーションズ（元フュージョン）の
通話しなきゃ無料の050は2020年で新規募集止めたな
サービスはまだ続いているけど

ブラステルはどうなっているのか知らん

あとはTwilioとかAmazon Connectとかあるけど
クラウドプラットフォームから使うのが前提で
SIPサーバーへの接続方法は公開していないと思う
2022/01/30(日) 10:01:56.97ID:0bV4POlR
米のお陰でSBのHuaweiNWとLineの最悪コラボが避けられただけ良しとしよう
2022/01/30(日) 12:14:53.55ID:Vgvsjd1e
ネットボランチ電話に、ヤマハの登録ユーザのスマホを繋げられるといいのに
948不明なデバイスさん
垢版 |
2022/01/30(日) 15:21:11.57ID:bz3pT/Cn
>>946
逆に見てみたかったけどな。後に最悪の事態も起こって欲しかった。
949不明なデバイスさん
垢版 |
2022/01/30(日) 16:16:39.14ID:xdblq1as
>>947
MizuDroidで、自分の電話番号@FQDN指定でかけることできましたよ。
2022/01/30(日) 23:54:43.17ID:8Qy94csf
>>948
SBは中韓とズブズブ
セキュリティよりコストを優先するゴミ
Alibaba Cloud使ってるのも確かSBだけだろ
2022/01/31(月) 00:05:38.56ID:1E8PiqD8
NHKか何かでやってたけど中国はオリンピック施設入るときに携帯取り上げるらしいな
世界中のメディアは情報盗まれることを恐れて持ち込まないようにしてるらしい
まあ中国の信用度なんてこんなもんよね
952不明なデバイスさん
垢版 |
2022/02/01(火) 09:36:17.76ID:Q1haVjqS
>>950
まー事故るまでは低コストを享受できるし、事故ったら図書券一枚送ればオケだし
2022/02/01(火) 19:08:12.02ID:3rZndiVd
>>950
国内でAlibaba Cloudを商用サービスに使っているの？
アリババに出資した流れでソフトバンクが代理店なのは事実だが
954不明なデバイスさん
垢版 |
2022/02/01(火) 22:05:22.91ID:aH6X0urH
RTX830でv6プラスの固定IP使ってるんですけど、httpsのフィルタリングをしたいです
そこで余ってるFWX120をRTXの下につけてみようかと思うんですが、その構成だとスループットが低下するみたいな過去レスを見ました
どれくらい低下するかわかる方いますか？
2022/02/01(火) 23:28:40.71ID:kRhBfkTJ
>>954
現実問題として、FWX120経由だとHTTPSのサイトとかすでに見れないのあると思うよ。
2022/02/02(水) 01:25:01.14ID:97LdZqdt
UTM使った方が確実に幸せになれるな
2022/02/02(水) 03:28:20.56ID:4hnMwhRy
UTMオヌヌメありますか？
2022/02/02(水) 07:47:08.56ID:YKXFshHb
UTX100
2022/02/02(水) 10:26:32.99ID:Rgy7LrpT
>>954
HTTPSの暗号化された中身見てフィルタリングしたいのかURLだけ見てフィルタリングしたいのかでかなり事情が変わってくるがどっちがやりたいんだ？
2022/02/02(水) 10:58:37.48ID:ZKOyzx7u
httpsの中身見てフィルタリングとか出来ちゃ困るだろ
2022/02/02(水) 11:27:22.39ID:oqGDiXfo
できるしやってる
オレオレ証明書食わせてね
2022/02/02(水) 11:48:24.89ID:NAKAAqpH
まあその手のデバイスを入れている企業ネットワークとか、
わざわざ弱くして使ってる感じかな。
2022/02/02(水) 19:16:44.56ID:EQI2w+mD
httpsの中身も見るしメールの内容も見て記録、検索キーワードの記録やコントロール、見ている動画のチェックなどは企業ならば結構やっている
fortiとかUTMがあればかなりの事が簡単に出来る
964不明なデバイスさん
垢版 |
2022/02/02(水) 20:09:04.30ID:YdYhxLpJ
>>958
ライセンス買わないとURLフィルターとか機能しないんでしょ？コストがなー
2022/02/02(水) 20:31:02.87ID:7/Ns7eZ5
人様の成果物に金を払う気がないなら自分でフリーソフトなりフリーのコードなり使ってなんとかしたらどうかね
2022/02/02(水) 23:10:40.78ID:zpHe7igc
そもそもなんのためにフィルタリングするんだろ
2022/02/03(木) 00:13:39.21ID:NORCKHMJ
http://www.rtpro.yamaha.co.jp/RT/docs/url-filter/https_proxy.html
>HTTPSプロキシにより中継可能なコネクションの数は同時400までです。
>本機能は常にノーマルパス動作となります。ファストパスでは動作しません。
そもそも、今このスペックで使い物になるのか？
2022/02/03(木) 07:26:40.37ID:ls1V8ASv
そもそも中間者攻撃で通信盗み見ようとしてる時点でパフォーマンスなんて二の次なんだろう
2022/02/03(木) 09:12:38.30ID:ijSXSIVG
明示されている指標があるので、その範囲内で使う。
2022/02/03(木) 23:45:40.06ID:14N8FLc8
FWX120って結局後継出さないまま終売もしないで9年目に突入
2022/02/04(金) 18:21:43.37ID:psKO3NJh
>>970
UTX100/UTX200が出てんじゃん
2022/02/04(金) 22:10:15.80ID:LsPvrK7v
>>970
納品・保守したことあるけど
RTX系との違いが実際よく分からんｗ
2022/02/04(金) 22:21:59.25ID:3ocOoGNx
lanのブリッジができる
2022/02/05(土) 13:10:44.48ID:vjQ0UzQy
ポリシーフィルタが使える
2022/02/05(土) 15:42:22.04ID:p+pV1Ri5
>>974
ポリシーフィルターと動的フィルターの違いがいまいち分からないｗ
2022/02/06(日) 09:13:01.38ID:EvXVwqo6
ポリシーフィルタは全機種標準装備すべきだよな
今時上りと下りそれぞれ書いてられん

RTXの中国モデルは付いてるのに日本仕様だけ使えないのは酷い
2022/02/06(日) 21:24:02.99ID:zU8O6Rzg
>>976
言っている意味が分からない。
普通に国内仕様のRTXで使えると思うけどな。
2022/02/07(月) 00:20:46.63ID:2uVRVasl
ハッキングでもしたんか？
2022/02/07(月) 06:19:04.64ID:3fpuaoNV
>>978
975の言っていることを考えてみよう。
2022/02/07(月) 07:35:13.69ID:2uVRVasl
ポリシーフィルタわかってない奴が紛れ込んでるな
RTXじゃ使えないFWX専用の機能
2022/02/07(月) 08:56:55.63ID:5xVtpqeh
>>976
「RTXの中国モデル」ではなく、「FWXっぽいものであっても、中国向けの場合の型番はRTX」なんでは
982sage
垢版 |
2022/02/07(月) 22:33:25.89ID:1ks9IhcK
スピードテストはどんな時間も200Mbps以上維持してるのにサイトや動画の読み込みが極端に遅くなるのってなぜ？
RTX-1210

user attribute connection=serial,http gui-page=dashboard,lan-map,config login-timer=600
security class 2 on off off
system packet-buffer small max-buffer=5000 max-free=1300 min-free=124 buffer-in-chunk=1250 init-chunk=1
system packet-buffer middle max-buffer=10000 max-free=4950 min-free=240 buffer-in-chunk=2400 init-chunk=2
system packet-buffer large max-buffer=20000 max-free=5600 min-free=93 buffer-in-chunk=931 init-chunk=6
system packet-buffer huge max-buffer=40 max-free=0 min-free=0 buffer-in-chunk=2 init-chunk=0
ip routing process fast
ip route default gateway pp 1
ip filter source-route on
ip filter directed-broadcast on
ip stealth all
ip icmp timestamp-reply send off
ipv6 routing off
ip lan1 address 172.20.1.1/23
ip lan1 secure filter in 113 114 199
lan link-aggregation static 1 lan1:1 lan1:3 lan1:6 lan1:8
983sage
垢版 |
2022/02/07(月) 22:33:51.75ID:1ks9IhcK
pp select 1
description pp wannet

pp always-on on
queue pp type wfq
pppoe use lan2
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp mtu 1454
ip pp secure filter in 100 113 114 198
ip pp secure filter out 110 113 114 199 496 dynamic 200 201 202 203 204 205 206 479 499
ip pp intrusion detection in on
ip pp intrusion detection in ip on reject=on
ip pp intrusion detection in ip-option on reject=on
ip pp intrusion detection in fragment on reject=on
ip pp intrusion detection in icmp on reject=on
ip pp intrusion detection in udp on reject=on
ip pp intrusion detection in tcp on reject=on
ip pp intrusion detection in default on reject=on
ip pp intrusion detection out on
ip pp intrusion detection out ftp on reject=on
ip pp intrusion detection out winny on reject=on
ip pp intrusion detection out share on reject=on
ip pp intrusion detection out default on reject=on
ip pp nat descriptor 1
pp enable 1
984sage
垢版 |
2022/02/07(月) 22:34:28.71ID:1ks9IhcK
ip filter 100 reject 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,172.20.4.0/23 * * * *
ip filter 110 reject * 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,172.20.4.0/23 * * *
ip filter 113 reject * * tcp,udp * 135,netbios_ns-netbios_dgm,netbios_ns-netbios_ssn,445
ip filter 114 reject * * tcp,udp 135,netbios_ns-netbios_dgm,netbios_ns-netbios_ssn,445 *
ip filter 198 reject * * * * *
ip filter 199 pass * * * * *
ip filter 496 pass * * udp * https
ip filter dynamic 200 * * domain
ip filter dynamic 201 * * www
ip filter dynamic 202 * * ftp
ip filter dynamic 203 * * smtp
ip filter dynamic 204 * * pop3
ip filter dynamic 205 * * tcp
ip filter dynamic 206 * * udp
ip filter dynamic 479 * * filter 496 syslog=off timeout=60
ip filter dynamic 499 * * udp syslog=off timeout=120
985sage
垢版 |
2022/02/07(月) 22:34:52.06ID:1ks9IhcK
nat descriptor backward-compatibility 1
nat descriptor type 1 nat-masquerade
nat descriptor timer 1 300
nat descriptor timer 1 tcpfin 30
nat descriptor timer 1 protocol=udp port=https 60
nat descriptor timer 1 protocol=tcp port=www 60
telnetd service off
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 172.20.3.101-172.20.3.200/23 gateway 172.20.1.1
dhcp scope option 1 dns=172.20.1.1
dns host lan1
dns service recursive
dns service fallback off
dns server 1.1.1.1 220.220.248.1
dns cache use on
dns cache max entry 1024
dns private address spoof on
schedule at 1 */1 00:00:00 * ntpdate ntp.jst.mfeed.ad.jp syslog
httpd host lan1
statistics traffic on
statistics nat on


大幅修正したんだけどダメなのかなぁ
2022/02/07(月) 22:44:04.12ID:pYNSIBAv
DNSはIPｖ6で解決しないの？
987sage
垢版 |
2022/02/07(月) 22:46:01.60ID:1ks9IhcK
うちはipv6がocnバーチャルコネクトで別のルーターが使ってるからipv6使えない
988不明なデバイスさん
垢版 |
2022/02/07(月) 22:51:10.00ID:Jq3+uhlI
>>987
PPPoE?
989sage
垢版 |
2022/02/07(月) 22:52:45.85ID:1ks9IhcK
>>988 pppoe
だが、なぜかocn バーチャルコネクトより速い
2022/02/07(月) 22:54:27.60ID:D608WM7L
接続形態がよく分からんけど、スピードテストは実はIPv6で測ってたりしない？

あと関係ないけど0時丁度に外部サイトにntpdateとかヤメレ
991sage
垢版 |
2022/02/07(月) 23:02:38.00ID:1ks9IhcK
>>990
ipv6のルーターがあるネットワークとRTX1210では完全分離してるというかひかりTV端末用のネットワークだからipv6で測定してるってことはない

0時ちょうどは変えておくww
992不明なデバイスさん
垢版 |
2022/02/07(月) 23:03:35.14ID:Jq3+uhlI
>>989
PPPoEはNGNからプロバイダに抜けるときの網終端装置の帯域が基本的に1Gだから輻輳しやすい
最近は10Gの網終端もあるらしいがセッション数が増えれば当然スループットは低下する
スピードテストってまさかNGN内の話じゃないよね？
993sage
垢版 |
2022/02/07(月) 23:07:16.62ID:1ks9IhcK
>>992
radishとnetflixのスピードテストとooklaで計測してる
2022/02/07(月) 23:10:07.61ID:pYNSIBAv
環境が分からないので、エスパーするしかないのだけども、

DNS問い合わせが遅いんじゃない？
クライアントのIPv6はクライアント側できちんと切ってる？クライアントはWindows？IPv6のドライバ削除してる？

IPv6使ってない環境でwww.apple.comとかの問い合わせをした時にIPv6で返事が来るだろうけど、
そこでクライアント側の設定が悪いとIPv6で繋ごうとして、繋げなくて、IPv4で繋ぎなおしするっていう状況も無きにしも非ずんば虎児を得ず
995不明なデバイスさん
垢版 |
2022/02/07(月) 23:12:27.95ID:Jq3+uhlI
>>993
ただの網終端輻輳だと思うがプロバイダで特定の通信を帯域制御してる可能性もある
まーONUとPC直結してOSでPPPoE貼って切り分けだな
996sage
垢版 |
2022/02/07(月) 23:18:44.02ID:1ks9IhcK
>>994
ipv6は完全に切ってる。pcはipv4のみで運用。firefoxもipv6のアクセスがしないようconfig弄ってる

DNSが遅いはどうしようもできないよなぁ・・・

>>995
スピードテストしか意識してなかったから帯域制御のことはさほど考えてなかった...
てっきりルーターが問題って思ってたわ
997不明なデバイスさん
垢版 |
2022/02/07(月) 23:25:49.79ID:Jq3+uhlI
>>996
プロバイダが何やってるかなんてユーザーには確認しようがないがルーターの問題なのか切り分けたいんならONU直結で確認が手っ取り早いから
998不明なデバイスさん
垢版 |
2022/02/07(月) 23:29:58.23ID:Jq3+uhlI
ほい次スレ
YAMAHAヤマハブロードバンドルーターpp select 33
https://mevius.5ch.net/test/read.cgi/hard/1644244168/
2022/02/07(月) 23:32:24.61ID:pYNSIBAv
>>996
Wiresharkでしばらく監視してみたら？
2022/02/07(月) 23:48:34.21ID:jNaDGZEa
>>982
自分が試すのだったら、
・侵入検知を切って見る
・dns server 1.1.1.1 220.220.248.1 をdns server 220.220.248.1 220.220.248.9 に変えてみる
ぐらいかなぁ
10011001
垢版 |
Over 1000Thread
このスレッドは１０００を超えました。
新しいスレッドを立ててください。
life time: 123日 2時間 44分 2秒
10021002
垢版 |
Over 1000Thread
5ちゃんねるの運営はプレミアム会員の皆さまに支えられています。
運営にご協力お願いいたします。


───────────────────
《プレミアム会員の主な特典》
★ 5ちゃんねる専用ブラウザからの広告除去
★ 5ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
───────────────────

会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。

▼ プレミアム会員登録はこちら ▼
https://premium.5ch.net/

▼ 浪人ログインはこちら ▼
https://login.5ch.net/login.php
レス数が1000を超えています。これ以上書き込みはできません。
5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。
ニューススポーツなんでも実況