L2TPによるリモートアクセス型LAN間接続（ファイアウォールあり）

L2TPによるLAN間接続構成のうち、常にリモート側からセンター側にアクセスしてIPアドレス割り当てを受けるリモートアクセス型の設定例です。これは、PPPoE経由でPPPパケットをLACからLNSに中継するリモートアクセス型VPN構成です。この構成ではリモートユーザーが存在しませんが、リモート側ルーターがPPPoEユーザーとLACを兼ねています。また、この例では両側のルーターにファイアウォールが設定されており、センター側ではリモートからの接続によって動的に作成されるPPPインターフェースをファイアウォールポリシーに追加するため、ダイナミックインターフェーステンプレートを使用しています。

ここでは、次のような構成のネットワークを例に解説します。

ルーターA は ISP から次の情報を提供されているものとします。

表 1：ルーターA に対してISPから提供された情報

PPPユーザー名 user@ispA

PPPパスワード isppasswdA

PPPoEサービス名指定なし

IPアドレスグローバルアドレス1個 (動的割り当て)

表 2：ルーターB に対してISPから提供された情報

PPPユーザー名 user@ispB

PPPパスワード isppasswdB

PPPoEサービス名指定なし

IPアドレスグローバルアドレス1個 (動的割り当て)

表 3：ルーターAの基本設定

WAN側物理インターフェース eth0

WAN側（ppp0）IPアドレス Unnumbered(動的割り当て)

LAN側（vlan1）IPアドレス 192.168.10.1/24

表 4：ルーターBの基本設定

WAN側物理インターフェース eth0

WAN側（ppp0）IPアドレス Unnumbered(動的割り当て)

LAN側（vlan1-0）IPアドレス 200.100.10.1/28

LAN側（vlan1-1）IPアドレス 192.168.20.1/24

インターネット接続を前提としたL2TPの設定は次のとおりです。この例では、常にルーターAからルーターBに発呼する形になります。L2TPトンネルは、ルーターAのグローバルアドレス（不定）とルーターBのグローバルアドレス（200.100.10.1）の間に張られることになります。
トンネル上に張った仮想PPPコネクション（ppp1－ppp1）はプライベートLAN間を接続するためのもので、ここではIPのパケットを通します。

表 5：L2TPの設定

ルーターA ルーターB

L2TPコール名 remote -

L2TP終端アドレス不定（ISPから動的割り当て） 200.100.10.1

L2TPサーバーモード LAC/LNS兼用（BOTH） LAC/LNS兼用（BOTH）

L2TPサーバーパスワード - l2tpB

PPPユーザー名（L2TP接続用） AAA -

PPPパスワード（L2TP接続用） PasswordA -

WAN側（ppp1）IPアドレスルーターBのIPプールから割り当て Unnumbered（動的作成）

ルーターA(LAC)の設定

L2TPモジュールを有効にします。
L2TPサーバーをLAC/LNSの兼用モード（BOTH）で起動します。
L2TPコール「remote」を作成し、L2TPの接続先情報を登録します。IPには相手ルーターのIPアドレスを指定します。TYPEは呼の種類を示すもので、LAN間接続の場合はVIRTUALを指定します。PRECEDENCEはL2TPの通信が同時に開始された場合、発呼・着呼のどちらを優先するかを指定します。PASSWORDには、接続先で認証を受けるためのパスワードを指定します。
WAN側Ethernetインターフェース（eth0）上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。また、ISPからアドレスを動的取得するため「IPREQUEST=ON」を指定します。
ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。
L2TPコールを仮想的な物理回線と見なし、その上にPPPインターフェースを作成します。OVERパラメーターにL2TPコールを指定するときは、コール名の前に「TNL-」を付けます。ここでは「IDLE=ON」を指定して、必要なときだけ接続するよう設定します。また、相手ルーターからアドレスを動的取得するため「IPREQUEST=ON」を指定します。
L2TP経由で相手ルーターに接続するためのPPPユーザー名とパスワードを指定します。
IPモジュールを有効にします。
IPCPネゴシエーションでISP(ppp0)、および相手ルーター(ppp1)から取得したIPアドレスをPPPインターフェースで使用できるように設定します。
LAN側（vlan1）インターフェースにIPアドレスを設定します。
WAN側（ppp0）インターフェースにIPアドレス「0.0.0.0」を設定します。これは、ISPとの接続が確立するまでIPアドレスが確定しないことを示します。
L2TP上のPPPインターフェース「1」にIPアドレス「0.0.0.0」を設定します。これは、トンネル経由でルーターBとの接続が確立するまでIPアドレスが確定しないことを示します。
デフォルトルートを設定します。
経路情報を設定します。ルーターBのLAN側（192.168.20.0/24）宛のパケットは、L2TP上のPPPインターフェース「1」を通じて送り出します。
ファイアウォール機能を有効にします。
ファイアウォールの動作を規定するファイアウォールポリシーを作成します。
ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。
Note - デフォルト設定では、ICMPはファイアウォールを通過できません。
ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
ファイアウォールポリシーの適用対象となるインターフェースを設定します。
- LAN側インターフェース（vlan1）をPRIVATE（内部）に設定します。
- WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。
- L2TPトンネル上のPPPインターフェース（ppp1）をPUBLIC（外部）に設定します。
ダイナミックENATの設定を行います。この例では、対ISP（ppp0）、対ルーターB（ppp1）とも端末型接続であるため、両方ともENATを使うよう設定します。NAT用アドレスには、対ISPではISPから動的に割り当てられたppp0のアドレス、対ルーターBではルーターBから動的に割り当てられたppp1のアドレスを使います。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

ルーターB(LNS)の設定

L2TPモジュールを有効にします。
L2TPサーバーをLAC/LNSの兼用モード（BOTH）で起動します。
ルーターAからのトンネル接続要求時に相手を認証するためのパスワード「l2tpB」を設定します。
トンネル経由でユーザーが接続してきたときに動的に作成するPPPインターフェースのテンプレート「1」を作成します。接続時の認証はCHAP、PAPのどちらでも行えるようにし、アドレス割り当てにはIPアドレスプール「POOL」を使うようにします。
IPアドレスプール「POOL」を作成し、ユーザーに割り当てるアドレスの範囲を指定します。
ルーターAからの接続時に動的作成するPPPインターフェースの雛形として、PPPテンプレート「1」を使うよう指定します。IPパラメーターには接続してくるルーターのIPアドレスを指定しますが、ここでは相手ルーターのアドレスが不定なので、すべてのアドレス（0.0.0.0-255.255.255.255）を指定しています。
L2TPトンネル経由で接続してくるリモートユーザー（ルーターA）のための設定を行います。最初に、リモートユーザーをユーザー認証データベースに登録します。
WAN側Ethernetインターフェース（eth0）上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。また、相手ルーターからアドレスを動的取得するため「IPREQUEST=ON」を指定します。
ISPから通知されたPPPユーザー名とパスワードを指定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。
IPモジュールを有効にします。
IPCPネゴシエーションでISPから取得したIPアドレスをPPPインターフェースで使用できるように設定します。
LAN側（vlan1）インターフェースをマルチホーミングし、vlan1-0にISPから割り当てられたグローバルアドレスを、vlan1-1にプライベートアドレスを設定します。
WAN側（ppp0）インターフェースにIPアドレス「0.0.0.0」を設定します。これは、ISPとの接続が確立するまでIPアドレスが確定しないことを示します。
デフォルトルートを設定します。
ファイアウォール機能を有効にします。
ファイアウォールの動作を規定するファイアウォールポリシーを作成します。
ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。
Note - デフォルト設定では、ICMPはファイアウォールを通過できません。
ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
ルーターAがL2TP経由で接続してきたときに動的に作成されるPPPインターフェース用のファイアウォール設定を行います。最初に、ダイナミックインターフェーステンプレート「l2tpint」を作成します。
次に、ダイナミックインターフェーステンプレート「l2tpint」の対象ユーザーを指定します。USERパラメーターで指定したユーザーが接続してきたときに動的作成されるPPPインターフェースは、ADD FIREWALL POLICY INTERFACEコマンドで「DYN-templatename」として参照できます（templatenameはテンプレート名）。ここでは対象ユーザーとして「ANY」を指定しています。これは、PPPの認証をパスしたすべてのユーザーが対象であることを示します。
ファイアウォールポリシーの適用対象となるインターフェースを設定します。
- LAN側グローバルセグメント（vlan1-0）をPRIVATE（内部）に設定します。
- LAN側プライベートセグメント（vlan1-1）をPRIVATE（内部）に設定します。
- WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。
- L2TP経由でユーザーが接続してきたときに動的作成されるPPPインターフェース（l2tpint）をPRIVATE（内部）に設定します。
ダイナミックENATの設定を行います。NAT用グローバルアドレスには、vlan1-0に設定したインターフェースアドレス200.100.10.1を共用します。
相手ルーターから受信したL2TPパケット（UDP1701番）がファイアウォールを通過できるように設定します。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

まとめ

ルーターA(LAC)のコンフィグ [テキスト版]

ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ ADD L2TP CALL=REMOTE IP=200.100.10.1 TYPE=VIRTUAL PRECEDENCE=OUT PASSWORD=l2tpB ↓ CREATE PPP=0 OVER=eth0-ANY IPREQUEST=ON ↓ SET PPP=0 OVER=eth0-ANY BAP=OFF USERNAME="user@ispA" PASSWORD="isppasswdA" LQR=OFF ECHO=ON ↓ CREATE PPP=1 OVER=TNL-REMOTE BAP=OFF IDLE=ON IPREQUEST=ON LQR=OFF ↓ SET PPP=1 USER=AAA PASSWORD=PasswordA ↓ ENABLE IP ↓ ENABLE IP REMOTEASSIGN ↓ ADD IP INT=vlan1 IP=192.168.10.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=0.0.0.0 ↓ ADD IP INT=ppp1 IP=0.0.0.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓ ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=NET ↓ ENABLE FIREWALL POLICY=NET ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=NET IDENTPROXY ↓ ADD FIREWALL POLICY=NET INT=vlan1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=NET INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=NET INT=ppp1 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1 GBLINT=ppp1 ↓ ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1 GBLINT=ppp0 ↓

ルーターB(LNS)のコンフィグ [テキスト版]

ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ SET L2TP PASSWORD=L2TPB ↓ CREATE PPP TEMPLATE=1 MULTI=OFF BAP=OFF IPPOOL=POOL AUTHENTICATION=EITHER ↓ CREATE IP POOL=POOL IP=192.168.20.100-192.168.20.120 ↓ ADD L2TP IP=0.0.0.0-255.255.255.255 PPPTEMPLATE=1 ↓ ADD USER=AAA PASSWORD=PasswordA LOGIN=NO ↓ CREATE PPP=0 OVER=eth0-ANY IPREQUEST=ON ↓ SET PPP=0 OVER=eth0-ANY USER=user@ispB PASSWORD=isppasswdB LQR=OFF BAP=OFF ECHO=ON ↓ ENABLE IP ↓ ENA IP REMOTE ↓ ADD IP INT=vlan1-0 IP=200.100.10.1 MASK=255.255.255.240 ↓ ADD IP INT=vlan1-1 IP=192.168.20.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=0.0.0.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=NET ↓ ENABLE FIREWALL POLICY=NET ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=NET IDENTPROXY ↓ CREATE FIREWALL POLICY=NET DYNAMIC=L2TPINT ↓ ADD FIREWALL POLICY=NET DYNAMIC=L2TPINT USER=ANY ↓ ADD FIREWALL POLICY=NET INT=vlan1-0 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=NET INT=vlan1-1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=NET INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=NET INT=DYN-L2TPINT TYPE=PRIVATE ↓ ADD FIREWALL POLICY=NET NAT=ENHANCED INT=vlan1-1 GBLINT=ppp0 GBLIP=200.100.10.1 ↓ ADD FIREWALL POLICY=NET RULE=1 AC=ALLOW INT=ppp0 PROT=UDP PORT=1701 IP=200.100.10.1 GBLIP=200.100.10.1 ↓

CentreCOM AR415S 設定例集 2.9 #106

PN: 613-000668 Rev.N

＜前頁次頁＞＜＜＞＞ ↑ 目次（番号順 (詳細)・回線別 (詳細)・機能別 (詳細)）

PPPユーザー名	user@ispA
PPPパスワード	isppasswdA
PPPoEサービス名	指定なし
IPアドレス	グローバルアドレス1個 (動的割り当て)

PPPユーザー名	user@ispB
PPPパスワード	isppasswdB
PPPoEサービス名	指定なし
IPアドレス	グローバルアドレス1個 (動的割り当て)

WAN側物理インターフェース	eth0
WAN側（ppp0）IPアドレス	Unnumbered(動的割り当て)
LAN側（vlan1）IPアドレス	192.168.10.1/24

	ルーターA	ルーターB
L2TPコール名	remote	-
L2TP終端アドレス	不定（ISPから動的割り当て）	200.100.10.1
L2TPサーバーモード	LAC/LNS兼用（BOTH）	LAC/LNS兼用（BOTH）
L2TPサーバーパスワード	-	l2tpB
PPPユーザー名（L2TP接続用）	AAA	-
PPPパスワード（L2TP接続用）	PasswordA	-
WAN側（ppp1）IPアドレス	ルーターBのIPプールから割り当て	Unnumbered（動的作成）