YAMAHAヤマハブロードバンドルーターpp select 32

**不明なデバイスさん** · 2021/10/07(木) 21:04:32.72

ヤマハルーターを個人で使用する人のための情報交換スレッドです。
旧ネットボランチシリーズと、その流れを汲むNVRシリーズと、
RTXシリーズなど企業向けの機種に関しても設定方法や使い方、
ハードウェア寄りの話題はこちらで扱います。

個人使用の範疇を超える内容や業務用ネットワークの構築・運用に関しては
通信技術板の「YAMAHA業務向けルーター運用構築スレッド」へお願いします。

YAMAHA業務向けルーター運用構築スレッドPart24
https://mao.5ch.net/test/read.cgi/network/1609198305/

両スレッドを臨機応変に使い分けていきましょう。

ヤマハネットワーク製品
https://network.yamaha.com/
ルーター｜製品情報｜ヤマハネットワーク製品
https://network.yamaha.com/products/routers/
ヤマハネットワーク周辺機器の技術情報ページ
http://www.rtpro.yamaha.co.jp/

前スレ

YAMAHAヤマハブロードバンドルーターpp select 31
https://mevius.5ch.net/test/read.cgi/hard/1618238582/
YAMAHAヤマハブロードバンドルーターpp select 30
https://mevius.5ch.net/test/read.cgi/hard/1607523704/
YAMAHAヤマハブロードバンドルーターpp select 29
https://mevius.5ch.net/test/read.cgi/hard/1595164990/

上記以前の過去スレは、まとめWikiを参照してください。
まとめWiki
http://wikiwiki.jp/yamaha-rtpro/

**不明なデバイスさん** · 2021/10/28(木) 13:29:26.20

VPN接続するのにLAN内と通信させない運用がレアケースなんじゃ？

**不明なデバイスさん** · 2021/10/28(木) 15:13:16.64

macアドレスフィルタリングの機能で登録した機器以外は拒否の設定があるのは知っていますが登録した機器を拒否する機能はありますか？
またはそのようなコマンドってありますかね

**不明なデバイスさん** · 2021/10/28(木) 15:16:52.93

ethernet filterでrejectすれば良いんじゃないの？

**不明なデバイスさん** · 2021/10/28(木) 17:03:24.77

rejectすれば良いだけですね

**不明なデバイスさん** · 2021/10/28(木) 17:39:02.71

>>174
配布するIPはなんでも構わないけど、設定サンプルが同一セグメントなのはその方が前提条件が楽だからではないかと予想

別セグメントの場合の前提条件として、リモートクライアントがLAN内のノードと通信する為には
LAN内の各ノードがVPNルータをゲートウェイとして別セグメントのリモートクライアントのIPと通信可能な設定になっている必要がある
ルーティングとかファイアウォールとか

同一セグメントであれば上記は意識する必要がないので楽
その代わりVPNルータはProxyARPを有効にする必要がある

リモートクライアント<->LAN間の通信に制限を設けたい場合には
別セグメントにする方が望ましいんじゃないかな

**不明なデバイスさん** · 2021/10/28(木) 18:07:07.35

macの件ありがとうございます

**不明なデバイスさん** · 2021/10/28(木) 19:12:18.60

AppleやGoogleの所為でMACアドレスのランダム化が普及したせいもあって
MACアドレスフィルタリングってもうすっかり過去の機能に成り下がった感ある

**不明なデバイスさん** · 2021/10/28(木) 20:10:35.50

今までRTX830 + Android で"L2TP IPSec PSK"によりVPN接続をしていたが、
Android12では
+ IKEv2/IPSec PSK
+ IKEv2/IPSec MSCHAPv2
+ IKEv2/IPSec RSA
しか選択肢がなくなってしまった。

RTX830は上記VPN接続に対応しているのだろうか？

正直なところコマンドリファレンスには IKEv2 という単語が出てくるものの、
今ひとつわかっていない。

**不明なデバイスさん** · 2021/10/28(木) 20:34:52.41

PPTPに続いてL2TP/IPSecもついに切り捨てられちゃったか

**不明なデバイスさん** · 2021/10/28(木) 20:39:06.48

時代の流れだな

**不明なデバイスさん** · 2021/10/28(木) 20:55:42.73

IKEv2でもリモートVPNは普通に出来そうだけど試した事なかったなぁ
そいや設定サンプル見たことないかも

**不明なデバイスさん** · 2021/10/28(木) 21:33:52.84

>>181
うちは、指定したMACアドレスしかDHCPサーバーから払い出されないようにしてる。
そして、DHCPサーバーから払い出されなかったIPアドレスは島HUBから先の通信をrejectさせることにして不正接続に抗ってる。

**不明なデバイスさん** · 2021/10/28(木) 23:46:01.11

ゼロトラスト広まって来てVPNもそろそろ時代遅れ
うちの会社もレガシーシステム利用時しかVPN使わなくなった

セキュリティ対策はファイアウォールじゃなくエンドポイントでやる時代だからな

**不明なデバイスさん** · 2021/10/28(木) 23:54:44.48

セキュリティは専門会社に任せなさいみたいな流れからザ・インターネットって映画に出てきたゲートキーパーを思い出した

**不明なデバイスさん** · 2021/10/29(金) 07:38:46.52

もしIKEv2/IPSecでリモートVPNがまともに使えなかったらYAMAHAルータやばくね

**不明なデバイスさん** · 2021/10/29(金) 09:21:41.92

RTX-1210はなぜ頻繁にオーバーフローするんだ？
パケットバッファは最大値で入力してるんだがなぁ

**不明なデバイスさん** · 2021/10/29(金) 09:56:35.89

>>190
受け取る端末のほうが遅いからじゃない？

**不明なデバイスさん** · 2021/10/29(金) 09:58:42.58

>>190
単独のスピードテストですらCPU負荷が80%超えて警告出たりするしスペックが足りてないんだろうな

**不明なデバイスさん** · 2021/10/29(金) 11:03:23.78

RTXの後ろにハイフン入れられると不安な気持ちになる

**不明なデバイスさん** · 2021/10/29(金) 14:08:26.70

グラボみたい

**不明なデバイスさん** · 2021/10/29(金) 20:57:41.92

VPNは古いとか最近言われるけど、企業ならいざ知らず、個人ではそれに代わるものを作るのは難しい、気がする
とりあえず、自宅ネットワークへ比較的簡単に安全な接続ができるシステムはVPN含め頑張って欲しいなあ
#ターゲットが違うのはわかるけど

**不明なデバイスさん** · 2021/10/29(金) 21:52:59.00

そもそも自宅にVPNやるのって何目的？
それこそ簡単にクラウド化できるんじゃ無いの？

**不明なデバイスさん** · 2021/10/29(金) 22:30:47.97

>>196
1.ひかり電話を別宅や出先でも使える
2.別宅のプロバイダ無しでNTTのフレッツ契約だけして自宅のプロバイダに乗っかる
3.出先でフリースポット見つけたときにそこのスポットの安全性が不明な場合VPNで自宅に繋げばある程度は安全
4.自宅と出先のIP電話の盗聴防止

ぐらいしか思いつかないけどまだいろいろ活用法はあると思うよ

**不明なデバイスさん** · 2021/10/29(金) 23:01:00.69

>>197
携帯とかP2Pの通話アプリを普通に使えるのに、1と4の手段をとる人ってどれくらいいるのだろうか。
別宅とかフレッツ回線維持できる財力なのに、1000円程度のプロバイダ料金を払いたくないと思う人っているのだろうか。

**不明なデバイスさん** · 2021/10/29(金) 23:53:46.75

出先で家電受けるって事じゃない？

**不明なデバイスさん** · 2021/10/30(土) 00:13:54.89

茄子だろ。後は家電とかか

**不明なデバイスさん** · 2021/10/30(土) 00:20:46.88

帰宅前に自宅のエアコンを付けたいあるある

**不明なデバイスさん** · 2021/10/30(土) 00:27:21.05

>>198
>>197のは極端過ぎるから参考にならん
てかよくそんなことを長々と思いつくなと感心したわ

**不明なデバイスさん** · 2021/10/30(土) 00:27:42.03

エアコンつけるくらいならVPN必要ないだろ

**不明なデバイスさん** · 2021/10/30(土) 03:24:27.18

NASも家電も外部からアクセスさせる仕組み標準で提供してきてるしな

**不明なデバイスさん** · 2021/10/30(土) 06:59:29.71

>>202
ひかり電話の県外の固定電話への転送？はやってる。
転送料金要らないし発信でも電話番号表示が店舗の電話番号が表示されて便利。
アリバイ工作にも使える。
特にスマホでひかり電話が発信できるようにしておくと便利だよ。
スマホに着信は不安定なのでやめた。

**不明なデバイスさん** · 2021/10/30(土) 07:05:06.40

あと、特にFAXの送受信ができるのが助かる。
店舗のFAXを自宅で受けるのが便利。
スマホでFAXが受信出来たら最高なんだが。
多分なにかしらの有料アプリならできるんだろうが、無料の方法を知りたい。

**不明なデバイスさん** · 2021/10/30(土) 07:06:39.09

FAXがISDNよりも長生きするとは思わなかったわい

**不明なデバイスさん** · 2021/10/30(土) 08:41:55.17

FAX受信したらメールに飛ばすぐらいどこの機械でもできるだろ？
それで十分

**不明なデバイスさん** · 2021/10/30(土) 09:32:04.08

>>182
RTX830でIKEv2/IPSecのリモートVPNは（少なくとも現状のファームウェアでは）無理そう
VPNルータとしては結構終わってるこの状況、どうするんだろうこれ

**不明なデバイスさん** · 2021/10/30(土) 11:28:19.27

>>182
ほんまや…
ttps://user-images.githubusercontent.com/24488142/122143539-9e35c780-ce8c-11eb-9629-5d3d32b581e6.png

**不明なデバイスさん** · 2021/10/30(土) 11:43:20.89

普通のメニューから新規設定できないだけで元々設定してあるままOSアップデートだとL2TP自体は使えるようだからOpenVPNみたいに設定アプリを作れば新規設定できる気がする

**不明なデバイスさん** · 2021/10/30(土) 12:15:30.06

>>211
なるほど、それならまだ救いというか猶予はある感じだね
リモートVPNがいきなり使えなくなるのはさすがにちょっと困る

**不明なデバイスさん** · 2021/10/30(土) 13:21:36.82

Android12の件はβ版が出回ってた頃からヤマハさんは既に認識してただろうに
このまま何もアクション起こさないのかな

**不明なデバイスさん** · 2021/10/30(土) 13:32:09.42

転送電話代ケチってVPNとかアホらしいにも程がある

もうそういう変態しかVPN使わなくなる時代になっとるんやね

**不明なデバイスさん** · 2021/10/30(土) 16:58:09.12

まあでもVPNで自宅のストレージその他をプライベートクラウド化って便利じゃないか？
あとPT3+Mirakurun+EPGStationとかでTV視聴環境があればプライベートアドレスのままアクセスできるし
まあヤマハルーター用意しなくてもSoftEtherとかでもやれるけどね

しかし端末側でIKEv2必須になったらいろいろ面倒になるな

**不明なデバイスさん** · 2021/10/30(土) 22:15:57.33

IPSecはそもそもNAT越えが面倒だし、リモートVPNで使うのはいい加減流行らない気もするんだがどうなんだろ
次の主流派どれになるのか

**不明なデバイスさん** · 2021/10/30(土) 22:28:13.62

>>216
最近iOSに搭載されたようなQUICを使うものとか？
リモート側IPアドレスが変化するの前提だし。

**不明なデバイスさん** · 2021/10/30(土) 23:42:56.37

手軽な設定でそこそこセキュアに自宅のネットワークへ接続して直接ファイルを触れるなら、別にVPNじゃなくてもいいんだよね

ルーターひとつで出来ると嬉しいし、それが今持ってるRTXで出来るようになって欲しいし、みたいな

**不明なデバイスさん** · 2021/10/31(日) 00:03:40.68

>>218
その目的だけなら、以前からRTXの機能使わずにできるが。

**不明なデバイスさん** · 2021/10/31(日) 07:16:51.28

SSHでも言われてるけどパスワードじゃなくてキーペアにしたいってのはあるかも
お手軽さだとOpenVPNとかWireguardあたり

**不明なデバイスさん** · 2021/10/31(日) 09:42:12.02

>>204
ランサムウェア「金払えよwwwwwww」

VPNが一番
クラウドとか言ってるキッズはAWSのS3とかの使用量を見たほうがいい

**不明なデバイスさん** · 2021/10/31(日) 10:09:44.01

個人なら無料枠で十分だろなんか動かしっぱなしとかにしなければ

**不明なデバイスさん** · 2021/10/31(日) 11:33:14.74

>>218
NASの機能使ってはどう？
直接アクセスじゃなくサーバー経由だから速度は遅くなるけど
俺は自宅のファイルにアクセスする時はSynologyの機能使ってる

**不明なデバイスさん** · 2021/10/31(日) 12:27:54.14

>>182
Windowsも切り捨てたらいよいよ乗り換えか

**不明なデバイスさん** · 2021/10/31(日) 12:38:35.06

>>224
WindowsはPPTPすら普通に残ってるし、わざわざ切り捨てるとかしないんじゃね

**不明なデバイスさん** · 2021/10/31(日) 12:47:11.74

捨てたら文句言う奴が出てくるからな
未だにxpが良かった2000が良かったとか言ってるような奴らがでかい声で叫んでる世界

**不明なデバイスさん** · 2021/10/31(日) 13:07:51.99

iOSやAndroidがセキュリティ重視で下位互換はそこまで重視してないのに対して
PC用OSのWindowsは極力互換性残す方向性だしね
労せず互換性残せるににわざわざ切り捨てるとかあんましそうに無いわ

Windowsがわざわざ切り捨てた互換機能って過去になんかあったっけか

**不明なデバイスさん** · 2021/10/31(日) 13:14:26.64

>>227
セキュリティの問題で、既にSMB1.0はデフォルトでは使えない。

**不明なデバイスさん** · 2021/10/31(日) 14:05:22.44

WIN16アプリケーションの実行機能とか

**不明なデバイスさん** · 2021/10/31(日) 16:52:46.09

そういやNetBEUIは使われなくなったか

**不明なデバイスさん** · 2021/10/31(日) 17:00:38.95

それXPの時点でおまけ扱いなってたやろ

**不明なデバイスさん** · 2021/11/01(月) 00:34:09.18

TELNETもデフォルトでは無効になったな

**不明なデバイスさん** · 2021/11/01(月) 00:52:47.00

動的フィルタのメリットが今一つよく理解できません

トリガに連動して他のポートを開けたりするようなケースならまだわかるのですが、
単独のポートの場合はトリガーのためにどのみち静的フィルタで開けているので
わざわざ動的にして意味があるのかなと・・・

**不明なデバイスさん** · 2021/11/01(月) 01:55:44.02

>>233
TCPの場合はトリガーで特定フラグだけ通して後は閉じることも出来る。
後、行きは(トリガーの為に)開いていても本来、帰りを空けてる訳じゃないからな。

**不明なデバイスさん** · 2021/11/01(月) 02:41:57.88

リモートVPNの事で質問です

pp select annonymous 配下に
アカウント(複数)を pp auth username文、
IPプールを ip pp remote addls pool文で指定している状況で、
一部のアカウントにだけ使用するIPを固定する事は可能なのでしょうか

＜例＞
IPプール: 192.168.1.11-192.168.1.16
ユーザ: user01～user06
※user01には192.168.1.11、user02には192.168.1.12を固定で使用させたい

**不明なデバイスさん** · 2021/11/01(月) 03:17:04.49

>>234
あっ、なるほど、戻りパケット…

例えば中から外へのTCP通信ですが、
戻りパケット用にppインターフェースのin方向に
ip filter 32 pass * 192.168.0.0/24 established * *
とかで開けているところ、
TCPを全部動的フィルタにしてしまえばこのフィルタは不要になるという事ですね

…あれ？
でも最初のパケットはトリガーで動的フィルタを通らないから、それだと最初の戻りパケットは
入ってこれないような？
あれ？

**不明なデバイスさん** · 2021/11/01(月) 08:06:09.52

>>235
IPプールのIPは、アカウントでIPを指定していない場合は若番から早いもの勝ちで使われる筈

例えばuser03が最初に繋ぎにいったら192.168.1.11を使っちゃうので、
後からuser01が繋ぎにいっても192.168.1.11は既に使われていて接続出来ない事になる

どうしても一部のアカウントだけIPを固定にしたい場合は、
IPレンジの後ろから割り当てればよい…筈

間違ってたら指摘よろ＞識者

**不明なデバイスさん** · 2021/11/01(月) 11:59:27.81

>>237
その認識で間違ってないと思う

但しひとつだけ注意点
IPを指定していないアカウントはひとつのアカウントで複数セッション同時に接続する事が可能だから、
そういう運用をする可能性がある場合にはIPレンジを広げておく方が安全

仮に以下のように修正したとして、

・IPプール: 192.168.1.11-192.168.1.16
・ユーザ: user01～user06
・user01には192.168.1.15、user02には192.168.1.16を固定で使用

例えばuser03～user06の４アカウントで５セッション接続している場合
192.168.1.11～192.168.1.15を使用するから
その時点でuser01は接続できない状態となってしまう

**不明なデバイスさん** · 2021/11/01(月) 13:43:48.42

>>236
普通の使い方なら、公式設定例もそうだが、外から中へは静的フィルターでは開けていない。
静的フィルターは、中から外に対して(トリガー用)だけ。
このトリガーによって、外から中への動的フィルターが動作する。

**不明なデバイスさん** · 2021/11/01(月) 21:39:27.38

>>235
pp auth username user01 "パスワード" 192.168.1.11

**不明なデバイスさん** · 2021/11/01(月) 21:41:39.92

あ、プール内でか
無理だね

**不明なデバイスさん** · 2021/11/01(月) 21:50:36.86

固定で割り当てるIPをIPプールから外したらダメなの？

pp auth username user01 "パスワード" 192.168.1.11
pp auth username user02 "パスワード" 192.168.1.12
pp auth username user03 "パスワード"
pp auth username user04 "パスワード"
pp auth username user05 "パスワード"
pp auth username user06 "パスワード"
ip pp remote addls pool 192.168.1.13-192.168.1.16

**不明なデバイスさん** · 2021/11/02(火) 01:04:46.52

あっ、固定で制定するIPも必ずプールに必ず含まれていないといけない物と思ってましたが
そんな事ないんですね

ありｇとうございます、解決しました

**不明なデバイスさん** · 2021/11/02(火) 01:29:49.00

>>239
中→外のトリガーとなる最初のパケットも動的フィルターで外から中に戻ってこれるという事ですね
外→中を静的に開ける必要が無いというのは大きなメリットですね、特にTCP以外は

>>234
TCPで特定フラグだけ通す場合の話ですが、
通常は最初のTCPパケット(Synフラグが立っているパケット)だけ通す設定にすると思うのですが
どんなTCP通信も最初はSynフラグが立っている訳だからあんまりやる意味が薄いようにも
思ったりするのですが、そんなことはない？

**不明なデバイスさん** · 2021/11/02(火) 12:00:19.34

nat descriptor masquerade incomingの設定って皆さんしてます？
デフォだと、0-1023までのポートの場合、リセットかえしちゃうんで。
discardにして、外のインターフェースをstealth設定して使ってます。

**不明なデバイスさん** · 2021/11/02(火) 12:26:53.45

>>243
IPプールはアカウントに動的に割り当てたいIP範囲を定義しているだけであって、
全部固定ならそもそも必要が無いものだよ

ちなみにアカウントに固定で設定するIPはセグメントがバラバラでも構わない

**不明なデバイスさん** · 2021/11/02(火) 12:32:00.87

>>244
静的
外から中→全て落とす
中から外→syn付tcpのみ通す

動的
中から外→tcp

とかやると、最初にsyn通したsrc/port, dst/portの通信のみ通すことが
できるので、一番抜けがない設定なのかなと思います。

**不明なデバイスさん** · 2021/11/02(火) 14:20:58.88

>>245
私はやってますよ、discardも外I/Fのstealthも
可能な限り黙らせるのが一番安心だよね

**不明なデバイスさん** · 2021/11/02(火) 14:28:34.95

UPnPってみなさん使ってます？

UPnPがデフォルトで無効に変更された頃からセキュリティ的に考えて使わないのが
常識なのかなと思ってるのですが、なんだかんだで世間的には案外使われている
気もして、実際どうなんだろうなと

**不明なデバイスさん** · 2021/11/02(火) 14:40:57.72

スマート家電とか多いし使ってるよ

**不明なデバイスさん** · 2021/11/02(火) 14:44:58.32

>>249
使わなくてもSTUNとかで穴開けられるから結局は有効でも無効でも大差はないんだよな

**不明なデバイスさん** · 2021/11/02(火) 14:48:41.62

>>249
CGNAT, MAP-Eとか使うIPv4アドレス共有型の接続サービスが一般的になってきたし、
UPnPを有効にしてても実質的に機能しない状況が増えてきてるんじゃないかな

**不明なデバイスさん** · 2021/11/02(火) 15:26:53.60

>>24
RDPってTLSで暗号化されてるのにVPN経由じゃないとダメっていう風潮があるのはなんでなんでしょうね
SSHはそんな事言われないのに

**不明なデバイスさん** · 2021/11/02(火) 15:31:59.26

>>250-252
ご意見ありがとうございます
UPnPを無効にする事によって利便性を損ねている側面がちょっとあったので
考え方をあらためて有効にする事も検討しようと思います

**不明なデバイスさん** · 2021/11/02(火) 15:38:14.52

>>247
解りやすい説明ありがとうございます、理解できました
syn付tcpのみ通すといいうのは、中のノードから何らかの問題でいきなりackの変なパケットが送信されても外に飛び出さないに封じる事が出来るという事ですよね

**不明なデバイスさん** · 2021/11/02(火) 15:56:12.44

>>253
個人的には、fail2banみたいなことができないのは怖いと思う。

**不明なデバイスさん** · 2021/11/02(火) 16:22:30.57

>>256
ああ、確かにfail2banみたいな仕組みがないのは不安要素かもですね、なるほど…

**不明なデバイスさん** · 2021/11/02(火) 16:23:39.94

>>253
Remote Desktop自体がインターネット経由での接続に最適化されていないし、積極的に活用する人が少ないんじゃないかな
最適化されてないってのは
- (固定IP等でなければ)DDNSサービスが別途必要
- ルータに穴あけ(フォワード)設定が必要
- 多重NAPT環境では機能しない(上流側NAPTに穴あけできない場合)
- 実効帯域に合わせて色数や圧縮率を動的に変更するような機能が無い(はず)

一般的には接続先(LAN内のPC)の台数分、ポートフォワードを設定しないといけないし
WAN側から接続してくるクライアントのIPアドレスに応じて、同一のポートから別の内部アドレスにフォワード出来るようなルータなら別だけど、少なくともヤマハじゃ無理だよね？

**不明なデバイスさん** · 2021/11/02(火) 16:33:41.11

動的フィルタで内から外へICMP通信(pingやtraceroute等)が出来るようにしたいのですが、
やり方がいまいちよく分かりません

pingだけなら
ip filter dynamic 30 * * ping
で行けてるのですが、
tracerouteがよくわかりません
ip filter dynamic 31 * * echo
とかやってもTime Exceededは入ってこれないし、う～ん

**不明なデバイスさん** · 2021/11/02(火) 16:41:07.21

>>253
ちょっと前までRDPはTLS1.0必須の弱い暗号だったからね
今はTLS1.3も使えるがServer2022とWin11（Win10 21H2でも可）に入れ換える必要あり
グローバルIPでポート3389を開けてたらものの数分でブルートフォースアタックが数百箇所から集中して回線帯域がすぐ埋まる

**不明なデバイスさん** · 2021/11/02(火) 16:43:40.00

>>258
>WAN側から接続してくるクライアントのIPアドレスに応じて、同一のポートから別の内部アドレスにフォワード出来るようなルータなら別だけど、少なくともヤマハじゃ無理だよね？

例えばこんな感じでいけるんじゃない？
nat descriptor masquerade static 1 101 192.168.100.1 tcp 30001=3389
nat descriptor masquerade static 1 102 192.168.100.2 tcp 30002=3389
nat descriptor masquerade static 1 103 192.168.100.3 tcp 30003=3389

**不明なデバイスさん** · 2021/11/02(火) 17:21:02.38

>>248
特に必要でなければ見えないのが一番ですよね。

>>255
はい。それを期待しています。

>>259
自分は以下の外から中への静的フィルタでできてます。
ip filter * * echo 3,11

**不明なデバイスさん** · 2021/11/02(火) 17:22:47.03

VNCとごっちゃになってる？

**不明なデバイスさん** · 2021/11/02(火) 17:23:18.09

>>263
亀レスだった

**不明なデバイスさん** · 2021/11/02(火) 18:07:27.42

>>262
完全動的フィルタ化は一端諦めて、

中から外への動的フィルタは
ip filter dynamic 30 * * ping

外から中への静的フィルタを
ip filter pass * <ローカルセグメント> icmp 11

として、 Time Exceededだけ静的に入ってこれるようにしました
これが限界なのかな？

**不明なデバイスさん** · 2021/11/02(火) 18:17:34.89

>>261
それだとWAN側30001-30003ポート(＝LAN側PC 3台分)で待ち受ける必要があるでしょう、って話
そうではなくて、
30001だけで待ち受けて繋いでくるクライアントのグローバルIPアドレス(srcアドレス)に応じてLAN側.100.1-.100.3に振り分けられないよね、ってこと

**不明なデバイスさん** · 2021/11/02(火) 18:41:21.94

>>266
失礼、理解できました
確かに無理ですね…そんなこと出来るのってあるのかな

**不明なデバイスさん** · 2021/11/02(火) 18:47:46.14

ポートセービングIPマスカレードの動作タイプ2とtwiceNATの合わせ技ができれば可能かも。

**不明なデバイスさん** · 2021/11/02(火) 19:05:09.36

あれっ
show ip connection って動的フィルタのICMPのコネクションは表示されないのか
そういうもんなのかな

**不明なデバイスさん** · 2021/11/02(火) 20:27:26.24

>>260
確かに一昔前は暗号強度的な不安が大きかったですもんね
今なら普通は最低でもTLS1..2なので許容できる印象です

グローバルIPで3389のまま開けるのは流石にちょっとデンジャラスですね…w

**不明なデバイスさん** · 2021/11/02(火) 20:31:41.79

>>258
他のリモートデスクトップアプリケーションと比較するとインターネット経由に最適化されていないというのは確かにそうですね
SSHとかも基本的には同レベルだとは思いますが

**不明なデバイスさん** · 2021/11/02(火) 20:34:28.98

>>179
これ探してるけどなかなか見つからない

**不明なデバイスさん** · 2021/11/02(火) 23:36:29.48

>>272
リモートクライアントにLANセグメントと異なるIPを付与してる設定サンプルって確かに全然みつからないね

**不明なデバイスさん** · 2021/11/03(水) 00:24:32.01

VPN繋ぐのに何故に別セグにするんだっけ？