＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）

CentreCOM AR550S 設定例集 2.9 #41

# PPPoEマルチセッションによる端末型インターネット接続（IPプロトコルに基づくポリシールーティング）

PPPoEマルチセッション接続環境において、IPポリシーフィルターを使用し、特定のプロトコルのトラフィックを所望の経路を経由するように設定します。この例は、ダイナミックENATで1個のグローバルアドレスを共用し、ファイアウォールで外部からの不正アクセスを防止します。

各ISPからは次の情報を提供されているものとします。

表 1：各ISPから提供された情報
| ISP-A | ISP-B
PPPユーザー名 | user@ispA | user@ispB
PPPパスワード | isppasswdA | isppasswdB
PPPoEサービス名 | 指定なし | 指定なし
IPアドレス | 12.34.56.78/32（固定） | 23.45.67.89/32（固定）

ルーターには、次のような方針で設定を行います。

- IPポリシーフィルターを使用し、ネットワーク「192.168.10.0/24」からのHTTPパケット(TCP80番)はISP-Bを経由するようにします。
- ファイアウォールを利用して、外部からの不正アクセスを遮断しつつ、内部からは自由にインターネットへのアクセスができるようにします。
- ファイアウォールのダイナミックENAT機能を利用して、LAN側ネットワークのプライベートIPアドレスを、ISPから与えられたグローバルIPアドレスに変換します。これにより、LANに接続された複数のコンピューターからインターネットへの同時アクセスが可能になります。

以下、ルーターの基本設定についてまとめます。

表 2：ルーターの基本設定
WAN側物理インターフェース | eth0
WAN側（ppp0）IPアドレス1 | 12.34.56.78/32（固定）
WAN側（ppp1）IPアドレス2 | 23.45.67.89/32（固定）
LAN側（vlan1）IPアドレス | 192.168.10.1/24

IPポリシーフィルターは次のように設定します。

- ネットワーク「192.168.10.0/24」からのHTTPパケット(TCP80番)：ISP-B 経由
- その他のトラフィック：ISP-A 経由

ルーターの設定

1. WAN側Ethernetインターフェース（eth0）上にPPPインターフェース（ppp0）を作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。

   `CREATE PPP=0 OVER=eth0-ispA ↓`
2. ISP-Aから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。また、ISDN向けの機能であるBAPはオフにします。

   `SET PPP=0 OVER=eth0-ispA USER=user@ispA PASSWORD=isppasswdA LQR=OFF BAP=OFF ECHO=ON ↓`
3. WAN側Ethernetインターフェース（eth0）上にPPPインターフェース（ppp1）を作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。

   `CREATE PPP=0 OVER=eth0-ispB ↓`
4. ISP-Bから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。また、ISDN向けの機能であるBAPはオフにします。

   `SET PPP=1 OVER=eth0-ispB USER=user@ispB PASSWORD=isppasswdB LQR=OFF BAP=OFF ECHO=ON ↓`
5. IPモジュールを有効にします。

   `ENABLE IP ↓`
6. ポリシーフィルターを作成します。ネットワーク「192.168.10.0/24」からのHTTPパケット(TCP80番)にはポリシー1を割り当てます。

   `ADD IP FILTER=1 TYPE=POLICY SO=192.168.10.0 SM=255.255.255.0 PROTOCOL=TCP DPORT=80 POLICY=1 ↓`
7. その他のトラフィックにはポリシー2を割り当てます。

   `ADD IP FILTER=1 TYPE=POLICY SO=0.0.0.0 POLICY=2 ↓`
8. LAN側（vlan1）インターフェースにIPアドレスを設定します。また、同インターフェースにポリシーフィルターを適用します。

   `ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 POLICYFILTER=1 ↓`
9. WAN側（ppp0）インターフェースにIPアドレスを設定します。
   ADD IP INT=ppp0 IP=12.34.56.78 MASK=255.255.255.255
10. WAN側（ppp1）インターフェースにIPアドレスを設定します。
    ADD IP INT=ppp1 IP=23.45.67.89 MASK=255.255.255.255
11. 経路情報を設定します。ネットワーク「192.168.10.0/24」からのHTTPパケット（ポリシー1）はppp0を、その他のトラフィック（ポリシー2）はppp1を経由するよう設定します。

    `ADD IP ROUTE=0.0.0.0 MASK=0.0.0.0 INTERFACE=ppp1 NEXT=0.0.0.0 POLICY=1 ↓
    ADD IP ROUTE=0.0.0.0 MASK=0.0.0.0 INTERFACE=ppp0 NEXT=0.0.0.0 POLICY=2 ↓
    `
12. ファイアウォール機能を有効にします。

    `ENABLE FIREWALL ↓`
13. ファイアウォールの動作を規定するファイアウォールポリシー「net」を作成します。

    `CREATE FIREWALL POLICY=net ↓`
14. ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。

    `ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACHABLE ↓`

    > Note - デフォルト設定では、ICMPはファイアウォールを通過できません。

15. ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。

    `DISABLE FIREWALL POLICY=net IDENTPROXY ↓`
16. ファイアウォールポリシーの適用対象となるインターフェースを指定します。
    - LAN側インターフェース（vlan1）をPRIVATE（内部）に設定します。

      `ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓`
    - WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。

      `ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓`
    - WAN側インターフェース（ppp1）をPUBLIC（外部）に設定します。

      `ADD FIREWALL POLICY=net INT=ppp1 TYPE=PUBLIC ↓`
17. LAN側ネットワークに接続されているすべてのコンピューターがENAT機能を使用できるよう設定します。グローバルアドレスには、ppp0およびppp1のIPアドレスを使用します。

    `ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 ↓`

    `ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp1 ↓`
18. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

    `CREATE CONFIG=router.cfg ↓
    SET CONFIG=router.cfg ↓
    `

まとめ

ルーターのコンフィグ [テキスト版]

`CREATE PPP=0 OVER=eth0-ispA ↓ SET PPP=0 OVER=eth0-ispA USER=user@ispA PASSWORD=isppasswdA LQR=OFF BAP=OFF ECHO=ON ↓ CREATE PPP=0 OVER=eth0-ispB ↓ SET PPP=1 OVER=eth0-ispB USER=user@ispB PASSWORD=isppasswdB LQR=OFF BAP=OFF ECHO=ON ↓ ENABLE IP ↓ ADD IP FILTER=1 TYPE=POLICY SO=192.168.10.0 SM=255.255.255.0 PROTOCOL=TCP DPORT=80 POLICY=1 ↓ ADD IP FILTER=1 TYPE=POLICY SO=0.0.0.0 POLICY=2 ↓ ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 POLICYFILTER=1 ↓ ADD IP ROUTE=0.0.0.0 MASK=0.0.0.0 INTERFACE=ppp1 NEXT=0.0.0.0 POLICY=1 ↓ ADD IP ROUTE=0.0.0.0 MASK=0.0.0.0 INTERFACE=ppp0 NEXT=0.0.0.0 POLICY=2 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACHABLE ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net INT=ppp1 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp0 ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=vlan1 GBLINT=ppp1 ↓`

CentreCOM AR550S 設定例集 2.9 #41

(C) 2005-2012 アライドテレシスホールディングス株式会社

PN: J613-M0710-04 Rev.M

＜前頁 次頁＞ ＜＜ ＞＞ ↑ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）