ISDNによるLAN型インターネット接続

ISDN回線を使ってインターネットサービスプロバイダー（ISP）にダイヤルアップ接続します。グローバルアドレスをブロック単位で固定的に割り当てられているLAN型接続の基本設定です。NATは使用せず、LAN側端末にグローバルアドレスを直接割り当てます。また、ファイアウォールを使って外部からの不正アクセスを防止します。

LAN型ダイヤルアップでは、（契約上）端末1台をISPのネットワークに接続する端末型と異なり、ユーザーのLANをISPのネットワークに直接接続する形になります。そのため、ISPからはいくつか（8個、16個など）固定的にグローバルアドレスを割り当てられます。必要なときだけ発呼して接続するのは端末型ダイヤルアップと同じです。

表 1：ISPから提供された情報

ISPアクセスポイントの番号 03-1234-5678

PPPユーザー名 ispuser

PPPパスワード isppasswd

使用できるIPアドレス 4.4.4.0/29（4.4.4.0～4.4.4.7）

接続形態 LAN型ダイヤルアップ

ルーターには、次のような方針で設定を行います。

LAN側端末はすべてグローバルアドレスで運用します。NATは使用しません。ISPから割り当てられているアドレスは8個ですが、ネットワークアドレス（4.4.4.0）、ブロードキャストアドレス（4.4.4.7）、ルーター自身のアドレス（4.4.4.1）にそれぞれ1個ずつ消費されるため、端末に設定できるアドレスは4.4.4.2～4.4.4.6の5個となります。
ダイヤルオンデマンドで必要なときに発呼し、無通信状態が60秒続いたら自動的に回線が切断されるようにします。
デマンドリンク（MP）を設定し、トラフィックの増減に応じて、使用するBチャンネルの数が1～2本の範囲で調整されるようにします。
ファイアウォールを利用して、外部からの不正アクセスを遮断しつつ、内部からは自由にインターネットへのアクセスができるようにします。
不必要な発呼や情報の漏洩を防ぐため、LAN側からのMS-Networksパケット（NetBIOS）を遮断します。

表 2：ルーターの基本設定

ISDNコール名 ISP

WAN側物理インターフェース bri0

マルチリンクPPP（MP）使用する

WAN側（ppp0）IPアドレス Unnumbered

LAN側（vlan1）IPアドレス 4.4.4.1/29

ルーターの設定

接続先情報（ISDNコール）を定義します。NUMBERパラメーターにアクセスポイントの番号を指定し、「PRECEDENCE=OUT」で発呼優先に設定します。また、「INTREQ=bri0」により、発呼に使用する物理インターフェースとしてbri0を指定します。
PPPインターフェース「0」を作成し、「IDLE=ON」で必要に応じて自動発呼するダイヤルオンデマンド機能を有効にします。また、LQRはオフにします。
ppp0にデマンドリンクを追加します。これにより、使用するBチャンネルの数が通信量に応じて1～2本の範囲で調整されます。デマンドリンクを使用しない場合、この行は入力不要です。
ISPにPPP接続するためのユーザー名とパスワードを設定します。
IPモジュールを有効にします。
LAN側（vlan1）インターフェースに、ISPから提供されたアドレスブロックの先頭アドレスを設定します。
WAN側（ppp0）インターフェースをUnnumbered（0.0.0.0）に設定します。
デフォルトルートを設定します。
ファイアウォール機能を有効にします。
ファイアウォールの動作を規定するファイアウォールポリシー「net」を作成します。
ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。
Note - デフォルト設定では、ICMPはファイアウォールを通過できません。
ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
ファイアウォールポリシーの適用対象となるインターフェースを指定します。
- LAN側インターフェース（vlan1）をPRIVATE（内部）に設定します。
- WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。
不要な発呼を防ぐため、LAN側からのMS-Networksパケット（UDPポートの137～139番）を遮断するファイアウォールルールを作成します。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

メモ

■ ISPがUnnumberedをサポートしておらず、WAN側インターフェース（ppp0）にもIPアドレスを割り当ててきた場合は、手順7でppp0に該当するIPアドレスを設定してください。

たとえば、ISPからWAN側インターフェース用に12.34.56.78/30というアドレスを割り当てられた場合は、手順7の代わりに次のように設定します。

ADD IP INT=ppp0 IP=12.34.56.78 MASK=255.255.255.252 ↓

■ ファイアウォールで遮断されたパケットのログをとるには、次のコマンドを実行します。

ENABLE FIREWALL POLICY=net LOG=DENY ↓

記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=FIRE」により、ファイアウォールが出力したログメッセージだけを表示させています。

SHOW LOG TYPE=FIRE ↓

■ インターネット側からのPING（ICMP Echo Requestパケット）を拒否するには、次のようなIPフィルターをWAN側インターフェースに設定します。この例では、「LOG=HEADER」により、フィルターで拒否したパケットをログに記録しています。


ADD IP FILTER=0 SO=0.0.0.0 PROTO=ICMP ICMPTYPE=ECHO LOG=HEADER ACTION=EXCLUDE ↓

ADD IP FILTER=0 SO=0.0.0.0 ACTION=INCLUDE ↓

SET IP INT=ppp0 FILTER=0 ↓

記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=IPFIL」により、IPフィルターが出力したログメッセージだけを表示させています。

SHOW LOG TYPE=IPFIL ↓

まとめ

ルーターのコンフィグ [テキスト版]

ADD ISDN CALL=ISP NUMBER=0312345678 PRECEDENCE=OUT INTREQ=bri0 ↓ CREATE PPP=0 OVER=ISDN-ISP IDLE=ON LQR=OFF ↓ ADD PPP=0 OVER=ISDN-ISP TYPE=DEMAND ↓ SET PPP=0 USER=ispuser PASSWORD=isppasswd ↓ ENABLE IP ↓ ADD IP INT=vlan1 IP=4.4.4.1 MASK=255.255.255.248 ↓ ADD IP INT=ppp0 IP=0.0.0.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACHABLE ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net RULE=1 ACTION=DENY INT=vlan1 PROTO=UDP PORT=137-139 ↓

CentreCOM AR550S 設定例集 2.9 #11

PN: J613-M0710-04 Rev.P

＜前頁次頁＞＜＜＞＞ ↑ 目次（番号順 (詳細)・回線別 (詳細)・機能別 (詳細)）

ISPアクセスポイントの番号	03-1234-5678
PPPユーザー名	ispuser
PPPパスワード	isppasswd
使用できるIPアドレス	4.4.4.0/29（4.4.4.0～4.4.4.7）
接続形態	LAN型ダイヤルアップ

ISDNコール名	ISP
WAN側物理インターフェース	bri0
マルチリンクPPP（MP）	使用する
WAN側（ppp0）IPアドレス	Unnumbered
LAN側（vlan1）IPアドレス	4.4.4.1/29