＜前頁 次頁＞ ＜＜ ＞＞ ↓ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）

CentreCOM AR740 設定例集 2.6 #34

専用線によるインターネット接続（スタティックNAT）

専用線を使ってインターネットサービスプロバイダー（ISP）に接続します。この例では、ISPから割り当てられたアドレスをルーターやホストに直接割り当てず、LAN側コンピューターはプライベートアドレスで運用します。クライアントはダイナミックENAT経由でインターネットにアクセスします。また、ファイアウォールを使って外部からのアクセスを原則拒否しつつ、スタティックNATを使って特定のサーバーだけを外部に公開します。

専用線接続では、ISPからいくつか（8個、16個など）固定的にIPアドレスを割り当てられ、ユーザーのLANをISPのネットワークに直接接続する形になります。

表 1：ISPから提供された情報
WAN側インターフェース Unnumbered
使用できるIPアドレス 4.4.4.0/29（4.4.4.0〜4.4.4.7）


ルーターには、次のような方針で設定を行います。



以下、ルーターの基本設定についてまとめます。

表 2：ルーターの基本設定
TDMグループ名 ISP
回線速度 128Kbps
WAN側物理インターフェース bri0
WAN側（ppp0）IPアドレス Unnumbered
LAN側（eth0）IPアドレス 192.168.10.1/24




ルーターの設定

  1. BRIインターフェース「0」の全スロット（1〜2）を常時起動のTDM（専用線）モードに設定します。


  2. bri0のスロット1〜2（128Kbps）に対して、TDMグループ「ISP」を作成します。


  3. PPPインターフェース「0」をTDMグループ「ISP」上に作成します。PPPリンクの状態を監視するLQRはオフにします。


  4. IPモジュールを有効にします。


  5. LAN側（eth0）インターフェースにIPアドレスを設定します。


  6. WAN側（ppp0）インターフェースをUnnumberedに設定します。


  7. デフォルトルートを設定します。


  8. ファイアウォール機能を有効にします。


  9. ファイアウォールの動作を規定するファイアウォールポリシー「net」を作成します。


  10. ファイアウォールで拒否したパケットをログに記録するよう設定します。


  11. ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。


    Note - デフォルト設定では、ICMPはファイアウォールを通過できません。

  12. ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。


  13. ファイアウォールポリシーの適用対象となるインターフェースを指定します。


  14. スタティックNATによるサーバー公開設定を行います。


  15. ダイナミックENATの設定を行います。LAN側のプライベートIPアドレスを、ISPから与えられたグローバルIPアドレス4.4.4.1に変換するよう設定します。


  16. 外部からのパケットをすべて拒否するファイアウォールの基本ルールに対し、サーバーへのパケットを通すための設定を行います。


  17. 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。



メモ

■ ISPからログイン名とパスワードを指定されている場合は、手順3の次に以下のコマンドを追加してください。ここでは、ログイン名として「ispuser」、パスワードとして「isppasswd」を設定しています。



■ ISPがUnnumberedを使用しておらず、WAN側インターフェース（ppp0）にもIPアドレスを割り当ててきた場合は、手順6でppp0に該当するIPアドレスを設定します。

たとえば、ISPから12.34.56.78/30というアドレスを割り当てられた場合は、手順6の代わりに次のように設定します。



■ ファイアウォール関連のログを見るには、次のコマンドを実行します。ここでは、「TYPE=FIRE」により、ファイアウォールが出力したログメッセージだけを表示させています。



■ インターネット側からのPING（ICMP Echo Requestパケット）を拒否するには、次のようなIPフィルターをWAN側インターフェースに設定します。この例では、「LOG=HEADER」により、フィルターで拒否したパケットをログに記録しています。


記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=IPFIL」により、IPフィルターが出力したログメッセージだけを表示させています。



■ 現在の設定内容を表示するには、次のコマンドを使います。

まとめ

ルーターのコンフィグ [テキスト版]
SET BRI=0 MODE=TDM ACTIVATION=ALWAYS TDMSLOTS=1-2 ↓
CREATE TDM GROUP=ISP INT=bri0 SLOTS=1-2 ↓
CREATE PPP=0 OVER=TDM-ISP LQR=OFF ↓
ENABLE IP ↓
ADD IP INT=eth0 IP=192.168.10.1 MASK=255.255.255.0 ↓
ADD IP INT=ppp0 IP=0.0.0.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
ENABLE FIREWALL ↓
CREATE FIREWALL POLICY=net ↓
ENABLE FIREWALL POLICY=net LOG=DENY ↓
ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACHABLE ↓
DISABLE FIREWALL POLICY=net IDENTPROXY ↓
ADD FIREWALL POLICY=net INT=eth0 TYPE=PRIVATE ↓
ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
ADD FIREWALL POLICY=net NAT=STANDARD INT=eth0 IP=192.168.10.2 GBLINT=ppp0 GBLIP=4.4.4.2 ↓
ADD FIREWALL POLICY=net NAT=STANDARD INT=eth0 IP=192.168.10.3 GBLINT=ppp0 GBLIP=4.4.4.3 ↓
ADD FIREWALL POLICY=net NAT=STANDARD INT=eth0 IP=192.168.10.4 GBLINT=ppp0 GBLIP=4.4.4.4 ↓
ADD FIREWALL POLICY=net NAT=ENHANCED INT=eth0 GBLINT=ppp0 GBLIP=4.4.4.1 ↓
ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=TCP GBLIP=4.4.4.2 GBLPORT=80 IP=192.168.10.2 PORT=80 ↓
ADD FIREWALL POLICY=net RULE=2 AC=ALLOW INT=ppp0 PROTO=TCP GBLIP=4.4.4.3 GBLPORT=25 IP=192.168.10.3 PORT=25 ↓
ADD FIREWALL POLICY=net RULE=3 AC=ALLOW INT=ppp0 PROTO=TCP GBLIP=4.4.4.4 GBLPORT=53 IP=192.168.10.4 PORT=53 ↓
ADD FIREWALL POLICY=net RULE=4 AC=ALLOW INT=ppp0 PROTO=UDP GBLIP=4.4.4.4 GBLPORT=53 IP=192.168.10.4 PORT=53 ↓




CentreCOM AR740 設定例集 2.6 #34

(C) 1997 - 2008 アライドテレシスホールディングス株式会社

PN: 613-000216 Rev.C

＜前頁 次頁＞ ＜＜ ＞＞ ↑ 目次 （番号順 (詳細)・ 回線別 (詳細)・ 機能別 (詳細)）