<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)

CentreCOM AR570S 設定例集 2.9 #106

L2TPによるリモートアクセス型LAN間接続(ファイアウォールあり)


L2TPによるLAN間接続構成のうち、常にリモート側からセンター側にアクセスしてIPアドレス割り当てを受けるリモートアクセス型の設定例です。これは、PPPoE経由でPPPパケットをLACからLNSに中継するリモートアクセス型VPN構成です。この構成ではリモートユーザーが存在しませんが、リモート側ルーターがPPPoEユーザーとLACを兼ねています。また、この例では両側のルーターにファイアウォールが設定されており、センター側ではリモートからの接続によって動的に作成されるPPPインターフェースをファイアウォールポリシーに追加するため、ダイナミックインターフェーステンプレートを使用しています。

ここでは、次のような構成のネットワークを例に解説します。

ルーターA は ISP から次の情報を提供されているものとします。

表 1:ルーターA に対してISPから提供された情報
PPPユーザー名 user@ispA
PPPパスワード isppasswdA
PPPoEサービス名 指定なし
IPアドレス グローバルアドレス1個 (動的割り当て)


表 2:ルーターB に対してISPから提供された情報
PPPユーザー名 user@ispB
PPPパスワード isppasswdB
PPPoEサービス名 指定なし
IPアドレス グローバルアドレス1個 (動的割り当て)


表 3:ルーターAの基本設定
WAN側物理インターフェース eth0
WAN側(ppp0)IPアドレス Unnumbered(動的割り当て)
LAN側(vlan1)IPアドレス 192.168.10.1/24


表 4:ルーターBの基本設定
WAN側物理インターフェース eth0
WAN側(ppp0)IPアドレス Unnumbered(動的割り当て)
LAN側(vlan1-0)IPアドレス 200.100.10.1/28
LAN側(vlan1-1)IPアドレス 192.168.20.1/24


インターネット接続を前提としたL2TPの設定は次のとおりです。この例では、常にルーターAからルーターBに発呼する形になります。L2TPトンネルは、ルーターAのグローバルアドレス(不定)とルーターBのグローバルアドレス(200.100.10.1)の間に張られることになります。
トンネル上に張った仮想PPPコネクション(ppp1−ppp1)はプライベートLAN間を接続するためのもので、ここではIPのパケットを通します。

表 5:L2TPの設定
 
ルーターA
ルーターB
L2TPコール名 remote -
L2TP終端アドレス 不定(ISPから動的割り当て) 200.100.10.1
L2TPサーバーモード LAC/LNS兼用(BOTH) LAC/LNS兼用(BOTH)
L2TPサーバーパスワード - l2tpB
PPPユーザー名(L2TP接続用) AAA -
PPPパスワード(L2TP接続用) PasswordA -
WAN側(ppp1)IPアドレス ルーターBのIPプールから割り当て Unnumbered(動的作成)




ルーターA(LAC)の設定

  1. L2TPモジュールを有効にします。


  2. L2TPサーバーをLAC/LNSの兼用モード(BOTH)で起動します。


  3. L2TPコール「remote」を作成し、L2TPの接続先情報を登録します。IPには相手ルーターのIPアドレスを指定します。TYPEは呼の種類を示すもので、LAN間接続の場合はVIRTUALを指定します。PRECEDENCEはL2TPの通信が同時に開始された場合、発呼・着呼のどちらを優先するかを指定します。PASSWORDには、接続先で認証を受けるためのパスワードを指定します。


  4. WAN側Ethernetインターフェース(eth0)上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。また、ISPからアドレスを動的取得するため「IPREQUEST=ON」を指定します。


  5. ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。


  6. L2TPコールを仮想的な物理回線と見なし、その上にPPPインターフェースを作成します。OVERパラメーターにL2TPコールを指定するときは、コール名の前に「TNL-」を付けます。ここでは「IDLE=ON」を指定して、必要なときだけ接続するよう設定します。また、相手ルーターからアドレスを動的取得するため「IPREQUEST=ON」を指定します。


  7. L2TP経由で相手ルーターに接続するためのPPPユーザー名とパスワードを指定します。


  8. IPモジュールを有効にします。


  9. IPCPネゴシエーションでISP(ppp0)、および相手ルーター(ppp1)から取得したIPアドレスをPPPインターフェースで使用できるように設定します。


  10. LAN側(vlan1)インターフェースにIPアドレスを設定します。


  11. WAN側(ppp0)インターフェースにIPアドレス「0.0.0.0」を設定します。これは、ISPとの接続が確立するまでIPアドレスが確定しないことを示します。


  12. L2TP上のPPPインターフェース「1」にIPアドレス「0.0.0.0」を設定します。これは、トンネル経由でルーターBとの接続が確立するまでIPアドレスが確定しないことを示します。


  13. デフォルトルートを設定します。


  14. 経路情報を設定します。ルーターBのLAN側(192.168.20.0/24)宛のパケットは、L2TP上のPPPインターフェース「1」を通じて送り出します。


  15. ファイアウォール機能を有効にします。


  16. ファイアウォールの動作を規定するファイアウォールポリシーを作成します。


  17. ICMPパケットはPing(Echo/Echo Reply)と到達不可能(Unreachable)のみ双方向で許可します。


    Note - デフォルト設定では、ICMPはファイアウォールを通過できません。


  18. ルーターのidentプロキシー機能を無効にし、外部のメール(SMTP)サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。


  19. ファイアウォールポリシーの適用対象となるインターフェースを設定します。


  20. ダイナミックENATの設定を行います。この例では、対ISP(ppp0)、対ルーターB(ppp1)とも端末型接続であるため、両方ともENATを使うよう設定します。NAT用アドレスには、対ISPではISPから動的に割り当てられたppp0のアドレス、対ルーターBではルーターBから動的に割り当てられたppp1のアドレスを使います。


  21. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。


ルーターB(LNS)の設定

  1. L2TPモジュールを有効にします。


  2. L2TPサーバーをLAC/LNSの兼用モード(BOTH)で起動します。


  3. ルーターAからのトンネル接続要求時に相手を認証するためのパスワード「l2tpB」を設定します。


  4. トンネル経由でユーザーが接続してきたときに動的に作成するPPPインターフェースのテンプレート「1」を作成します。接続時の認証はCHAP、PAPのどちらでも行えるようにし、アドレス割り当てにはIPアドレスプール「POOL」を使うようにします。


  5. IPアドレスプール「POOL」を作成し、ユーザーに割り当てるアドレスの範囲を指定します。


  6. ルーターAからの接続時に動的作成するPPPインターフェースの雛形として、PPPテンプレート「1」を使うよう指定します。IPパラメーターには接続してくるルーターのIPアドレスを指定しますが、ここでは相手ルーターのアドレスが不定なので、すべてのアドレス(0.0.0.0-255.255.255.255)を指定しています。


  7. L2TPトンネル経由で接続してくるリモートユーザー(ルーターA)のための設定を行います。最初に、リモートユーザーをユーザー認証データベースに登録します。


  8. WAN側Ethernetインターフェース(eth0)上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。また、相手ルーターからアドレスを動的取得するため「IPREQUEST=ON」を指定します。


  9. ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。


  10. IPモジュールを有効にします。


  11. IPCPネゴシエーションでISPから取得したIPアドレスをPPPインターフェースで使用できるように設定します。


  12. LAN側(vlan1)インターフェースをマルチホーミングし、vlan1-0にISPから割り当てられたグローバルアドレスを、vlan1-1にプライベートアドレスを設定します。


  13. WAN側(ppp0)インターフェースにIPアドレス「0.0.0.0」を設定します。これは、ISPとの接続が確立するまでIPアドレスが確定しないことを示します。


  14. デフォルトルートを設定します。


  15. ファイアウォール機能を有効にします。


  16. ファイアウォールの動作を規定するファイアウォールポリシーを作成します。


  17. ICMPパケットはPing(Echo/Echo Reply)と到達不可能(Unreachable)のみ双方向で許可します。


    Note - デフォルト設定では、ICMPはファイアウォールを通過できません。


  18. ルーターのidentプロキシー機能を無効にし、外部のメール(SMTP)サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。


  19. ルーターAがL2TP経由で接続してきたときに動的に作成されるPPPインターフェース用のファイアウォール設定を行います。最初に、ダイナミックインターフェーステンプレート「l2tpint」を作成します。


  20. 次に、ダイナミックインターフェーステンプレート「l2tpint」の対象ユーザーを指定します。USERパラメーターで指定したユーザーが接続してきたときに動的作成されるPPPインターフェースは、ADD FIREWALL POLICY INTERFACEコマンドで「DYN-templatename」として参照できます(templatenameはテンプレート名)。ここでは対象ユーザーとして「ANY」を指定しています。これは、PPPの認証をパスしたすべてのユーザーが対象であることを示します。


  21. ファイアウォールポリシーの適用対象となるインターフェースを設定します。


  22. ダイナミックENATの設定を行います。NAT用グローバルアドレスには、vlan1-0に設定したインターフェースアドレス200.100.10.1を共用します。


  23. 相手ルーターから受信したL2TPパケット(UDP1701番)がファイアウォールを通過できるように設定します。


  24. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

まとめ

ルーターA(LAC)のコンフィグ [テキスト版]
ENABLE L2TP
ENABLE L2TP SERVER=BOTH
ADD L2TP CALL=REMOTE IP=200.100.10.1 TYPE=VIRTUAL PRECEDENCE=OUT PASSWORD=l2tpB
CREATE PPP=0 OVER=eth0-ANY IPREQUEST=ON
SET PPP=0 OVER=eth0-ANY BAP=OFF USERNAME="user@ispA" PASSWORD="isppasswdA" LQR=OFF ECHO=ON
CREATE PPP=1 OVER=TNL-REMOTE BAP=OFF IDLE=ON IPREQUEST=ON LQR=OFF
SET PPP=1 USER=AAA PASSWORD=PasswordA
ENABLE IP
ENABLE IP REMOTEASSIGN
ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0
ADD IP INT=ppp0 IP=0.0.0.0
ADD IP INT=ppp1 IP=0.0.0.0
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0
ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0
ENABLE FIREWALL
CREATE FIREWALL POLICY=NET
ENABLE FIREWALL POLICY=NET ICMP_F=PING,UNREACH
DISABLE FIREWALL POLICY=NET IDENTPROXY
ADD FIREWALL POLICY=NET INT=vlan1 TYPE=PRIVATE
ADD FIREWALL POLICY=NET INT=ppp0 TYPE=PUBLIC
ADD FIREWALL POLICY=NET INT=ppp1 TYPE=PUBLIC
ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1 GBLINT=ppp1
ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1 GBLINT=ppp0


ルーターB(LNS)のコンフィグ [テキスト版]
ENABLE L2TP
ENABLE L2TP SERVER=BOTH
SET L2TP PASSWORD=L2TPB
CREATE PPP TEMPLATE=1 MULTI=OFF BAP=OFF IPPOOL=POOL AUTHENTICATION=EITHER
CREATE IP POOL=POOL IP=192.168.20.100-192.168.20.120
ADD L2TP IP=0.0.0.0-255.255.255.255 PPPTEMPLATE=1
ADD USER=AAA PASSWORD=PasswordA LOGIN=NO
CREATE PPP=0 OVER=eth0-ANY IPREQUEST=ON
SET PPP=0 OVER=eth0-ANY USER=user@ispB PASSWORD=isppasswdB LQR=OFF BAP=OFF ECHO=ON
ENABLE IP
ENA IP REMOTE
ADD IP INT=vlan1-0 IP=200.100.10.1 MASK=255.255.255.240
ADD IP INT=vlan1-1 IP=192.168.20.1 MASK=255.255.255.0
ADD IP INT=ppp0 IP=0.0.0.0
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0
ENABLE FIREWALL
CREATE FIREWALL POLICY=NET
ENABLE FIREWALL POLICY=NET ICMP_F=PING,UNREACH
DISABLE FIREWALL POLICY=NET IDENTPROXY
CREATE FIREWALL POLICY=NET DYNAMIC=L2TPINT
ADD FIREWALL POLICY=NET DYNAMIC=L2TPINT USER=ANY
ADD FIREWALL POLICY=NET INT=vlan1-0 TYPE=PRIVATE
ADD FIREWALL POLICY=NET INT=vlan1-1 TYPE=PRIVATE
ADD FIREWALL POLICY=NET INT=ppp0 TYPE=PUBLIC
ADD FIREWALL POLICY=NET INT=DYN-L2TPINT TYPE=PRIVATE
ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1-1 GBLINT=ppp0 GBLIP=200.100.10.1
ADD FIREWALL POLICY=NET RULE=1 AC=ALLOW INT=ppp0 PROT=UDP PORT=1701 IP=200.100.10.1 GBLIP=200.100.10.1





CentreCOM AR570S 設定例集 2.9 #106

(C) 2006-2013 アライドテレシスホールディングス株式会社

PN: 613-000274 Rev.N

<前頁 次頁> << >> 目次 (番号順 (詳細)回線別 (詳細)機能別 (詳細)