[index] AT-AR2050V/AT-AR3050S/AT-AR4050S コマンドリファレンス 5.5.0

# 設定例集#42: ARシリーズとのL2TP接続におけるL2TPv2からL2TPv3への移行シナリオ（ブリッジ機能使用時）

構成
設定開始前に
自動設定の確認と削除
システム時刻の設定
ルーターA（本製品）の設定
ルーターB（AR570S）の設定
ルーターC（AR570S）の設定
ルーターD（本製品）の設定
設定の保存
ファイアウォールログについて
ルーターA（本製品）のコンフィグ
ルーターB（AR570S）のコンフィグ
ルーターC（AR570S）のコンフィグ
ルーターD（本製品）のコンフィグ

本構成は、L2TPによるリモートアクセス型VPNを使用したIEEE 802.1qタグ付きパケットのブリッジング構成において、弊社AR400/AR500シリーズからAR2050V/AR3050S/AR4050Sへの移行時における構成に関して説明します。
ルータ―A・D間でL2TPv3トンネル、ルーターB・C（弊社AR570Sを想定）間でL2TPv2トンネルを張り、IEEE 802.1Qタグ付きパケットをリモートブリッジし、VLANネットワークを共有します。
ルーターAでは、ルーターCからのL2TPv2パケットをルーターBに転送するため、スタティックENAT（ポートフォワーディング）を使用します。

## 構成

| ルーターA （本製品） | ルーターC （AR570S） | ルーターD （本製品）
ISPから提供された情報
ISP接続用ユーザー名 | user@ispA | user@ispC | user@ispD
ISP接続用パスワード | isppasswdA | isppasswdC | isppasswdD
WAN側IPアドレス | 10.0.0.1/32 | 10.0.0.2/32 | 10.0.0.3/32
接続形態 | 端末型（アドレス1個固定） | 端末型（アドレス1個固定） | 端末型（アドレス1個固定）
ルーターの基本設定
WAN側物理インターフェース | eth1 | eth0 | eth1
WAN側（ppp0）IPアドレス | 10.0.0.1/32 | 10.0.0.2/32 | 10.0.0.3/32

[L2TPサーバーパスワード]

- ルーターB・C間: secret

## 設定開始前に

### 自動設定の確認と削除

本設定例に掲載されているコマンドは、設定がまったく行われていない本製品の初期状態（スタートアップコンフィグなしで起動した状態）から入力することを前提としています。
そのため、通常は erase startup-config を実行し、スタートアップコンフィグが存在しない状態で起動してから、設定を始めてください。
ただし、本製品はスタートアップコンフィグなしで起動した場合でも、特定の条件を満たすと自動的な設定を行うことがあるため、その場合は設定例にしたがってコマンドを入力しても、コマンドがエラーになったり、全体として意図した動作にならない可能性があります。
これを避けるため、設定開始にあたっては次のいずれかの方法をとることをおすすめします。

- ネットワークケーブルを接続せずに起動する。
  起動時に自動設定が実行されるための条件の一つに、特定インターフェースのリンクアップがあります。
  ネットワークケーブルを接続しない状態で起動することにより、自動設定の適用を回避できます。
- 自動設定を手動で削除してから設定を行う。
  前記の方法を採用できず自動設定が適用されてしまった場合は、「自動的な設定内容の削除」にしたがって、これらを手動で削除してから設定を開始してください。

自動設定が行われる条件などの詳細については、AMF応用編のAMFネットワーク未検出時の拡張動作をご参照ください。

### システム時刻の設定

ログなどの記録日時を正確に保ち、各種機能を適切に動作させるため、システム時刻は正確にあわせて運用することをおすすめします。
ご使用の環境にあわせ、次のいずれかの方法でシステム時刻を設定してください。

- 手動で設定する方法 - 「運用・管理」/「システム」
- NTPで自動設定する方法 - 「運用・管理」/「NTP」

## ルーターA（本製品）の設定

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。

       no spanning-tree rstp enable

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。

       interface eth1
        encapsulation ppp 0

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   PPPの詳細は「PPP」/「一般設定」をご覧ください。

       interface ppp0
        keepalive
        ip address negotiated
        ppp username user@ispA
        ppp password isppasswdA
        ip tcp adjust-mss pmtu

4. VLANを作成します。
   これには、vlan databaseコマンドとvlanコマンドを使います。
   VLANの詳細は「L2スイッチング」/「バーチャルLAN」をご覧ください。

       vlan database
        vlan 10,20,100 state enable

5. LANポート1.0.1をvlan10とvlan20のタグ付きポートに設定します。また、ネイティブVLAN（タグなしVLAN）をなしに設定します。
   これには、switchport modeコマンド、switchport trunk allowed vlanコマンド、switchport trunk native vlanコマンドを使います。
   VLANについては「L2スイッチング」/「バーチャルLAN」をご覧ください。

       interface port1.0.1
        switchport
        switchport mode trunk
        switchport trunk allowed vlan add 10,20
        switchport trunk native vlan none

6. LANポート1.0.8をvlan100のタグなしポートに設定します。
   これには、switchport modeコマンド、switchport access vlanコマンドを使います。

       interface port1.0.8
        switchport
        switchport mode access
        switchport access vlan 100

7. ソフトウェアブリッジ「1」と「2」を作成します。これには、bridgeコマンドを使います。
   ブリッジングの詳細は「ブリッジング」/「一般設定」をご覧ください。

       bridge 1
       bridge 2

8. ここからL2TPv3の設定を行います。
   ルーターB・C間で使用しているL2TPv2トンネルパケットと区別するため、L2TPv3で使用するUDPポートを初期値の1701から1702に変更します。これには、l2tp unmanaged portコマンドを使います。

       l2tp unmanaged port 1702

9. L2TPv3トンネルインターフェースtunnel0を作成し、さらにその上にvlan10とvlan20のタグ付きパケットを送受信する802.1Qサブインターフェースtunnel0.10とtunnel0.20を作成します。
   トンネルインターフェースはinterfaceコマンドで作成し、802.1Qサブインターフェースはencapsulation dot1qコマンドで作成します。また、L2TPv3の接続に必要な下記の設定を行います。
   ・トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
   ・トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
   ・トンネルインターフェースのL2TPv3 自装置ID（tunnel local id）
   ・トンネルインターフェースのL2TPv3 対向装置ID（tunnel remote id）
   ・トンネリング方式（tunnel mode l2tp v3）
   ・トンネルインターフェースから送信するデリバリーパケットのフラグメント化を許可（tunnel df）
   ・トンネルインターフェースのMTU（mtu）
   トンネルインターフェースの詳細は「VPN」/「トンネルインターフェース」を、L2TPv3の詳細は「VPN」/「L2TPv3」を、IPsecの詳細は「VPN」/「IPsec」をご覧ください。

       interface tunnel0
        encapsulation dot1q 10
        encapsulation dot1q 20
        tunnel source 10.0.0.1
        tunnel destination 10.0.0.3
        tunnel local id 1
        tunnel remote id 2
        tunnel mode l2tp v3
        tunnel df clear
        mtu 1500

10. ソフトウェアブリッジ「2」に802.1Qサブインターフェースtunnel0.20をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。また、mtuコマンドでMTUを指定します。

        interface tunnel0.20
         mtu 1500
         bridge-group 2

11. ソフトウェアブリッジ「1」に802.1Qサブインターフェースtunnel0.10をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。また、mtuコマンドでMTUを指定します。

        interface tunnel0.10
         mtu 1500
         bridge-group 1

12. ソフトウェアブリッジ「1」にvlan10をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。

        interface vlan10
         bridge-group 1

13. ソフトウェアブリッジ「2」にvlan20をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。

        interface vlan20
         bridge-group 2

14. vlan100にIPアドレスを設定します。これにはip addressコマンドを使います。
    IPインターフェースの詳細は「IP」/「IPインターフェース」をご覧ください。

        interface vlan100
         ip address 172.16.100.1/24

15. ファイアウォールやNATのルール作成時に通信内容を指定するために使う「アプリケーション」を定義します。
    これには、application、protocol、sport、dportの各コマンドを使います。
    アプリケーション定義の詳細は「UTM」/「アプリケーション定義」をご覧ください。
    UDPポート1702番を使うL2TPv3パケットを表すカスタムアプリケーション「l2tpv3」を定義します。

        application l2tpv3
         protocol udp
         sport 1702
         dport 1702

16. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
    エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
    内部ネットワークを表すゾーン「private」を作成します。
    これには、zone、network、ip subnet、host、ip addressの各コマンドを使います。

        zone private
         network lan
          ip subnet 172.16.100.0/24
          ip subnet 192.168.10.0/24
          ip subnet 192.168.20.0/24
          host RouterB
           ip address 172.16.100.2

17. 外部ネットワークを表すゾーン「public」を作成します。

        zone public
         network wan
          ip subnet 0.0.0.0/0 interface ppp0
          host ppp0
           ip address 10.0.0.1

18. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    ・rule 10 - 内部から内部への通信を許可します
    ・rule 20 - 内部から外部への通信を許可します
    ・rule 30, 40 - L2TPv2パケットを許可します
    ・rule 50, 60 - L2TPv3パケットを許可します
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。

        firewall
         rule 10 permit any from private to private
         rule 20 permit any from private to public
         rule 30 permit l2tp from public.wan.ppp0 to public.wan
         rule 40 permit l2tp from public.wan to public.wan.ppp0
         rule 50 permit l2tpv3 from public.wan.ppp0 to public.wan
         rule 60 permit l2tpv3 from public.wan to public.wan.ppp0
         protect

19. NAT機能の設定を行います。
    これには、nat、rule、enableの各コマンドを使います。
    ・rule 10 - ゾーン「private」のコンピューターがダイナミックENAT機能を使用できるようにします
    ・rule 20 - ppp0インターフェースで受信したL2TPv2パケットを内部ネットワーク上のルーターBに転送します
    NATの詳細は「UTM」/「NAT」をご覧ください。

        nat
         rule 10 masq any from private to public
         rule 20 portfwd l2tp from public.wan with dst private.lan.RouterB
         enable

20. デフォルト経路をPPPインターフェースppp0に向けます。これにはip routeコマンドを使います。
    IP経路設定の詳細は「IP」/「経路制御」をご覧ください。

        ip route 0.0.0.0/0 ppp0

21. 以上で設定は完了です。

        end

## ルーターB（AR570S）の設定

> Note

> > AR570Sの設定に関する詳細は、AR570Sのドキュメントをご参照ください。

1. L2TPの設定を行います。

       enable l2tp
       enable l2tp server=both
       add l2tp password=secret
       add l2tp call=center rem=branch1 ip=10.0.0.2 ty=virtual pass=secret prec=in

2. VLANの設定を行います。

       create vlan=vlan10 vid=10
       add vlan=10 port=1 frame=tagged
       create vlan=vlan20 vid=20
       add vlan=20 port=1 frame=tagged
       delete vlan=default port=1

3. L2TPトンネル上のPPPインターフェースの設定を行います。

       create ppp=10 idle=999999999 over=TNL-center
       set ppp=10 lqr=off bap=off

4. IPの基本設定を行います。

       enable ip
       add ip int=eth0 ip=172.16.100.2 mask=255.255.255.0
       add ip rou=0.0.0.0 mask=0.0.0.0 int=eth0 next=172.16.100.1

5. ブリッジの設定を行います。

       enable bridge
       add bridge protocol=1 type=IP
       add bridge protocol=2 type=ARP
       set brid stripv=no
       add brid po=1 int=vlan10
       add brid po=2 int=vlan20
       add brid po=3 int=ppp10
       set brid fil=1 po=3
       set brid fil=2 po=1,2
       set brid po=1 fil=1
       set brid po=2 fil=1
       set brid po=3 fil=2

## ルーターC（AR570S）の設定

> Note

> > AR570Sの設定に関する詳細は、AR570Sのドキュメントをご参照ください。

1. L2TPの設定を行います。

       enable l2tp
       enable l2tp server=both
       add l2tp password=secret
       add l2tp call=branch1 rem=center ip=10.0.0.1 ty=virtual pass=secret prec=out

2. VLANの設定を行います。

       create vlan=vlan10 vid=10
       add vlan=10 port=1 frame=tagged
       create vlan=vlan20 vid=20
       add vlan=20 port=1 frame=tagged
       delete vlan=default port=1

3. PPPoE接続の設定を行います。

       create ppp=0 over=eth0-any
       set ppp=0 bap=off iprequest=on username=user@ispC password=isppasswdC
       set ppp=0 over=eth0-any lqr=off echo=10

4. L2TPトンネル上のPPPインターフェースの設定を行います。

       create ppp=10 idle=999999999 over=TNL-branch1
       set ppp=10 lqr=off bap=off

5. IPの基本設定を行います。

       enable ip
       enable ip remote
       add ip int=ppp0 ip=10.0.0.2 mask=255.255.255.255
       add ip rou=0.0.0.0 mask=0.0.0.0 int=ppp0 next=0.0.0.0

6. ファイアウォールの設定を行います。

       enable firewall
       create firewall policy=net
       disable firewall policy=net identproxy
       enable firewall policy=net icmp_f=unre,ping
       add firewall policy=net int=ppp0 type=public
       add firewall poli=net ru=1 ac=allo int=ppp0 prot=udp po=1701

7. ブリッジの設定を行います。

       enable bridge
       add bridge protocol=1 type=IP
       add bridge protocol=2 type=ARP
       set brid stripv=no
       add brid po=1 int=vlan10
       add brid po=2 int=vlan20
       add brid po=3 int=ppp10
       set brid fil=1 po=3
       set brid fil=2 po=1,2
       set brid po=1 fil=1
       set brid po=2 fil=1
       set brid po=3 fil=2

## ルーターD（本製品）の設定

1. LANポートにおいて初期状態で有効化されているスパニングツリープロトコル（RSTP）を無効化します。これにはspanning-tree enableコマンドをno形式で実行します。
   スパニングツリープロトコルの詳細は「L2スイッチング」/「スパニングツリープロトコル」をご覧ください。

       no spanning-tree rstp enable

2. WANポートeth1上にPPPoEインターフェースppp0を作成します。これには、encapsulation pppコマンドを使います。
   PPPの詳細は「PPP」/「一般設定」をご覧ください。

       interface eth1
        encapsulation ppp 0

3. PPPインターフェースppp0に対し、PPPoE接続のための設定を行います。
   ・LCP EchoによるPPP接続状態の確認（keepalive）
   ・IPCPによるIPアドレスの取得要求（ip address negotiated）
   ・ユーザー名（ppp username）
   ・パスワード（ppp password）
   ・MSS書き換え（ip tcp adjust-mss）
   PPPの詳細は「PPP」/「一般設定」をご覧ください。

       interface ppp0
        keepalive
        ip address negotiated
        ppp username user@ispD
        ppp password isppasswdD
        ip tcp adjust-mss pmtu

4. VLANを作成します。
   これには、vlan databaseコマンドとvlanコマンドを使います。
   VLANの詳細は「L2スイッチング」/「バーチャルLAN」をご覧ください。

       vlan database
        vlan 10,20 state enable

5. LANポート1.0.1をvlan10とvlan20のタグ付きポートに設定します。また、ネイティブVLAN（タグなしVLAN）をなしに設定します。
   これには、switchport modeコマンド、switchport trunk allowed vlanコマンド、switchport trunk native vlanコマンドを使います。
   VLANについては「L2スイッチング」/「バーチャルLAN」をご覧ください。

       interface port1.0.1
        switchport
        switchport mode trunk
        switchport trunk allowed vlan add 10,20
        switchport trunk native vlan none

6. ソフトウェアブリッジ「1」と「2」を作成します。これには、bridgeコマンドを使います。
   ブリッジングの詳細は「ブリッジング」/「一般設定」をご覧ください。

       bridge 1
       bridge 2

7. ここからL2TPv3の設定を行います。
   ルーターB・C間で使用しているL2TPv2トンネルパケットと区別するため、L2TPv3で使用するUDPポートを初期値の1701から1702に変更します。これには、l2tp unmanaged portコマンドを使います。

       l2tp unmanaged port 1702

8. L2TPv3トンネルインターフェースtunnel0を作成し、さらにその上にvlan10とvlan20のタグ付きパケットを送受信する802.1Qサブインターフェースtunnel0.10とtunnel0.20を作成します。
   トンネルインターフェースはinterfaceコマンドで作成し、802.1Qサブインターフェースはencapsulation dot1qコマンドで作成します。また、L2TPv3の接続に必要な下記の設定を行います。
   ・トンネルインターフェースから送信するデリバリーパケットの始点（自装置）アドレス（tunnel source）
   ・トンネルインターフェースから送信するデリバリーパケットの終点（対向装置）アドレス（tunnel destination）
   ・トンネルインターフェースのL2TPv3 自装置ID（tunnel local id）
   ・トンネルインターフェースのL2TPv3 対向装置ID（tunnel remote id）
   ・トンネリング方式（tunnel mode l2tp v3）
   ・トンネルインターフェースから送信するデリバリーパケットのフラグメント化を許可（tunnel df）
   ・トンネルインターフェースのMTU（mtu）
   トンネルインターフェースの詳細は「VPN」/「トンネルインターフェース」を、L2TPv3の詳細は「VPN」/「L2TPv3」を、IPsecの詳細は「VPN」/「IPsec」をご覧ください。

       interface tunnel0
        encapsulation dot1q 10
        encapsulation dot1q 20
        tunnel source 10.0.0.3
        tunnel destination 10.0.0.1
        tunnel local id 2
        tunnel remote id 1
        tunnel mode l2tp v3
        tunnel df clear
        mtu 1500

9. ソフトウェアブリッジ「2」に802.1Qサブインターフェースtunnel0.20をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。また、mtuコマンドでMTUを指定します。

       interface tunnel0.20
        mtu 1500
        bridge-group 2

10. ソフトウェアブリッジ「1」に802.1Qサブインターフェースtunnel0.10をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。また、mtuコマンドでMTUを指定します。

        interface tunnel0.10
         mtu 1500
         bridge-group 1

11. ソフトウェアブリッジ「1」にvlan10をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。

        interface vlan10
         bridge-group 1

12. ソフトウェアブリッジ「2」にvlan20をブリッジポートとして追加します。これにはbridge-groupコマンドを使います。

        interface vlan20
         bridge-group 2

13. ファイアウォールやNATのルール作成時に通信内容を指定するために使う「アプリケーション」を定義します。
    これには、application、protocol、sport、dportの各コマンドを使います。
    アプリケーション定義の詳細は「UTM」/「アプリケーション定義」をご覧ください。
    UDPポート1702番を使うL2TPv3パケットを表すカスタムアプリケーション「l2tpv3」を定義します。

        application l2tpv3
         protocol udp
         sport 1702
         dport 1702

14. ファイアウォールやNATのルール作成時に使うエンティティー（通信主体）を定義します。
    エンティティー定義の詳細は「UTM」/「エンティティー定義」をご覧ください。
    内部ネットワークを表すゾーン「private」を作成します。
    これには、zone、network、ip subnetの各コマンドを使います。

        zone private
         network lan
          ip subnet 192.168.10.0/24
          ip subnet 192.168.20.0/24

15. 外部ネットワークを表すゾーン「public」を作成します。
    前記コマンドに加え、ここではhost、ip addressの各コマンドも使います。

        zone public
         network wan
          ip subnet 0.0.0.0/0 interface ppp0
          host ppp0
           ip address 10.0.0.3

16. 外部からの通信を遮断しつつ、内部からの通信は自由に行えるようにするファイアウォール機能の設定を行います。
    これには、firewall、rule、protectの各コマンドを使います。
    ・rule 10 - 内部から内部への通信を許可します
    ・rule 20 - 内部から外部への通信を許可します
    ・rule 30, 40 - L2TPv3パケットを許可します
    ファイアウォールの詳細は「UTM」/「ファイアウォール」をご覧ください。

        firewall
         rule 10 permit any from private to private
         rule 20 permit any from private to public
         rule 30 permit l2tpv3 from public.wan.ppp0 to public.wan
         rule 40 permit l2tpv3 from public.wan to public.wan.ppp0
         protect

17. NAT機能の設定を行います。
    これには、nat、rule、enableの各コマンドを使います。
    ・rule 10 - ゾーン「private」のコンピューターがダイナミックENAT機能を使用できるようにします
    NATの詳細は「UTM」/「NAT」をご覧ください。

        nat
         rule 10 masq any from private to public
         enable

18. デフォルト経路をPPPインターフェースppp0に向けます。これにはip routeコマンドを使います。
    IP経路設定の詳細は「IP」/「経路制御」をご覧ください。

        ip route 0.0.0.0/0 ppp0

19. 以上で設定は完了です。

        end

## 設定の保存

■ 設定が完了したら、現在の設定内容を起動時コンフィグとして保存してください。これには、copyコマンドを「`copy running-config startup-config`」の書式で実行します。

    awplus# copy running-config startup-config ↓
    Building configuration...
    [OK]

また、write fileコマンド、write memoryコマンドでも同じことができます。

    awplus# write memory ↓
    Building configuration...
    [OK]

その他、設定保存の詳細については「運用・管理」/「コンフィグレーション」をご覧ください。

## ファイアウォールログについて

■ ファイアウォールのログをとるには、次のコマンド（log(filter)）を実行します。

    awplus(config)# log buffered level informational facility kern msgtext Firewall ↓

■ 記録されたログを見るには、次のコマンド（show log）を実行します。ここでは、ファイアウォールが出力したログメッセージだけを表示させています。

    awplus# show log | include Firewall ↓

## ルーターA（本製品）のコンフィグ

    !
    no spanning-tree rstp enable
    !
    interface eth1
     encapsulation ppp 0
    !
    interface ppp0
     keepalive
     ip address negotiated
     ppp username user@ispA
     ppp password isppasswdA
     ip tcp adjust-mss pmtu
    !
    vlan database
     vlan 10,20,100 state enable
    !
    interface port1.0.1
     switchport
     switchport mode trunk
     switchport trunk allowed vlan add 10,20
     switchport trunk native vlan none
    !
    interface port1.0.8
     switchport
     switchport mode access
     switchport access vlan 100
    !
    bridge 1
    bridge 2
    !
    l2tp unmanaged port 1702
    !
    interface tunnel0
     encapsulation dot1q 10
     encapsulation dot1q 20
     tunnel source 10.0.0.1
     tunnel destination 10.0.0.3
     tunnel local id 1
     tunnel remote id 2
     tunnel mode l2tp v3
     tunnel df clear
     mtu 1500
    !
    interface tunnel0.20
     mtu 1500
     bridge-group 2
    !
    interface tunnel0.10
     mtu 1500
     bridge-group 1
    !
    interface vlan10
     bridge-group 1
    !
    interface vlan20
     bridge-group 2
    !
    interface vlan100
     ip address 172.16.100.1/24
    !
    application l2tpv3
     protocol udp
     sport 1702
     dport 1702
    !
    zone private
     network lan
      ip subnet 172.16.100.0/24
      ip subnet 192.168.10.0/24
      ip subnet 192.168.20.0/24
      host RouterB
       ip address 172.16.100.2
    !
    zone public
     network wan
      ip subnet 0.0.0.0/0 interface ppp0
      host ppp0
       ip address 10.0.0.1
    !
    firewall
     rule 10 permit any from private to private
     rule 20 permit any from private to public
     rule 30 permit l2tp from public.wan.ppp0 to public.wan
     rule 40 permit l2tp from public.wan to public.wan.ppp0
     rule 50 permit l2tpv3 from public.wan.ppp0 to public.wan
     rule 60 permit l2tpv3 from public.wan to public.wan.ppp0
     protect
    !
    nat
     rule 10 masq any from private to public
     rule 20 portfwd l2tp from public.wan with dst private.lan.RouterB
     enable
    !
    ip route 0.0.0.0/0 ppp0
    !
    end

## ルーターB（AR570S）のコンフィグ

> Note

> > AR570Sの設定に関する詳細は、AR570Sのドキュメントをご参照ください。

    enable l2tp
    enable l2tp server=both
    add l2tp password=secret
    add l2tp call=center rem=branch1 ip=10.0.0.2 ty=virtual pass=secret prec=in
    create vlan=vlan10 vid=10
    add vlan=10 port=1 frame=tagged
    create vlan=vlan20 vid=20
    add vlan=20 port=1 frame=tagged
    delete vlan=default port=1
    create ppp=10 idle=999999999 over=TNL-center
    set ppp=10 lqr=off bap=off
    enable ip
    add ip int=eth0 ip=172.16.100.2 mask=255.255.255.0
    add ip rou=0.0.0.0 mask=0.0.0.0 int=eth0 next=172.16.100.1
    enable bridge
    add bridge protocol=1 type=IP
    add bridge protocol=2 type=ARP
    set brid stripv=no
    add brid po=1 int=vlan10
    add brid po=2 int=vlan20
    add brid po=3 int=ppp10
    set brid fil=1 po=3
    set brid fil=2 po=1,2
    set brid po=1 fil=1
    set brid po=2 fil=1
    set brid po=3 fil=2

## ルーターC（AR570S）のコンフィグ

> Note

> > AR570Sの設定に関する詳細は、AR570Sのドキュメントをご参照ください。

    enable l2tp
    enable l2tp server=both
    add l2tp password=secret
    add l2tp call=branch1 rem=center ip=10.0.0.1 ty=virtual pass=secret prec=out
    create vlan=vlan10 vid=10
    add vlan=10 port=1 frame=tagged
    create vlan=vlan20 vid=20
    add vlan=20 port=1 frame=tagged
    delete vlan=default port=1
    create ppp=0 over=eth0-any
    set ppp=0 bap=off iprequest=on username=user@ispC password=isppasswdC
    set ppp=0 over=eth0-any lqr=off echo=10
    create ppp=10 idle=999999999 over=TNL-branch1
    set ppp=10 lqr=off bap=off
    enable ip
    enable ip remote
    add ip int=ppp0 ip=10.0.0.2 mask=255.255.255.255
    add ip rou=0.0.0.0 mask=0.0.0.0 int=ppp0 next=0.0.0.0
    enable firewall
    create firewall policy=net
    disable firewall policy=net identproxy
    enable firewall policy=net icmp_f=unre,ping
    add firewall policy=net int=ppp0 type=public
    add firewall poli=net ru=1 ac=allo int=ppp0 prot=udp po=1701
    enable bridge
    add bridge protocol=1 type=IP
    add bridge protocol=2 type=ARP
    set brid stripv=no
    add brid po=1 int=vlan10
    add brid po=2 int=vlan20
    add brid po=3 int=ppp10
    set brid fil=1 po=3
    set brid fil=2 po=1,2
    set brid po=1 fil=1
    set brid po=2 fil=1
    set brid po=3 fil=2

## ルーターD（本製品）のコンフィグ

    !
    no spanning-tree rstp enable
    !
    interface eth1
     encapsulation ppp 0
    !
    interface ppp0
     keepalive
     ip address negotiated
     ppp username user@ispD
     ppp password isppasswdD
     ip tcp adjust-mss pmtu
    !
    vlan database
     vlan 10,20 state enable
    !
    interface port1.0.1
     switchport
     switchport mode trunk
     switchport trunk allowed vlan add 10,20
     switchport trunk native vlan none
    !
    bridge 1
    bridge 2
    !
    l2tp unmanaged port 1702
    !
    interface tunnel0
     encapsulation dot1q 10
     encapsulation dot1q 20
     tunnel source 10.0.0.3
     tunnel destination 10.0.0.1
     tunnel local id 2
     tunnel remote id 1
     tunnel mode l2tp v3
     tunnel df clear
     mtu 1500
    !
    interface tunnel0.20
     mtu 1500
     bridge-group 2
    !
    interface tunnel0.10
     mtu 1500
     bridge-group 1
    !
    interface vlan10
     bridge-group 1
    !
    interface vlan20
     bridge-group 2
    !
    application l2tpv3
     protocol udp
     sport 1702
     dport 1702
    !
    zone private
     network lan
      ip subnet 192.168.10.0/24
      ip subnet 192.168.20.0/24
    !
    zone public
     network wan
      ip subnet 0.0.0.0/0 interface ppp0
      host ppp0
       ip address 10.0.0.3
    !
    firewall
     rule 10 permit any from private to private
     rule 20 permit any from private to public
     rule 30 permit l2tpv3 from public.wan.ppp0 to public.wan
     rule 40 permit l2tpv3 from public.wan to public.wan.ppp0
     protect
    !
    nat
     rule 10 masq any from private to public
     enable
    !
    ip route 0.0.0.0/0 ppp0
    !
    end

(C) 2015 - 2020 アライドテレシスホールディングス株式会社

PN: 613-002107 Rev.AK_1