<前頁
次頁>
<<
>>
↓
目次 (番号順
(詳細)・
回線別
(詳細)・
機能別
(詳細))
CentreCOM AR550S 設定例集 2.9 #49
PPPoEによるLAN型インターネット接続(LAN側グローバル)
PPPoEを使ってインターネットサービスプロバイダー(ISP)に接続します。グローバルアドレスを8個、16個などのブロック単位で固定的に割り当てられるLAN型接続の設定例です。この例では、NATを使用せず、LAN側端末にグローバルアドレスを直接割り当てます。また、ファイアウォールを使って外部からのアクセスを原則拒否しつつ、特定のサーバーだけを外部に公開します。
ISPからは次の情報を提供されているものとします。
表 1:ISPから提供された情報
PPPユーザー名 |
user@isp |
PPPパスワード |
isppasswd |
PPPoEサービス名 |
指定なし |
使用できるIPアドレス |
4.4.4.0/29(4.4.4.0〜4.4.4.7) |
ルーターには、次のような方針で設定を行います。
- LAN側端末はすべてグローバルアドレスで運用します。NATは使用しません。ISPから割り当てられているアドレスは8個ですが、ネットワークアドレス(4.4.4.0)、ブロードキャストアドレス(4.4.4.7)、ルーター自身のアドレス(4.4.4.1)にそれぞれ1個ずつ消費されるため、端末に設定できるアドレスは4.4.4.2〜4.4.4.6の5個となります。
- ファイアウォールを利用して、外部からの不正アクセスを遮断しつつ、内部からは自由にインターネットへのアクセスができるようにします。
- 外部からのアクセスは基本的にすべて遮断しますが、下記のサービスにはアクセスを許可します。
- SMTPサーバー(4.4.4.2:25/tcp)
- DNSサーバー(4.4.4.2:53/tcp、53/udp)
以下、ルーターの基本設定についてまとめます。
表 2:ルーターの基本設定
WAN側物理インターフェース |
eth0 |
WAN側(ppp0)IPアドレス |
Unnumbered |
LAN側(vlan1)IPアドレス |
4.4.4.1/29 |
DHCPサーバー機能 |
使わない |
- WAN側Ethernetインターフェース(eth0)上にPPPインターフェースを作成します。「OVER=eth0-XXXX」の「XXXX」の部分には、ISPから通知されたPPPoEの「サービス名」を記述します。ISPから指定がない場合は、どのサービス名タグでも受け入れられるよう、「ANY」を設定します。
CREATE PPP=0 OVER=eth0-ANY ↓
- ISPから通知されたPPPユーザー名とパスワードを指定し、接続時にIPアドレス割り当ての要求を行うように設定します。LQRはオフにし、代わりにLCP Echoパケットを使ってPPPリンクの状態を監視するようにします。また、ISDN向けの機能であるBAPはオフにします。
SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=ON USER=user@isp PASSWORD=isppasswd LQR=OFF ECHO=ON ↓
Note
- PPPoEのLAN型接続におけるWAN側(PPP)インターフェースは、厳密にはUnnumberedではありません。この構成例ではその違いを意識する必要はありませんが、ルーター自身がパケットを送信するような環境、たとえばIPsecなどを使用する場合はアドレスの設定方法などに注意が必要です。詳しくは「メモ」をご覧ください。
- IPモジュールを有効にします。
- IPCPネゴシエーションで与えられたIPアドレスをPPPインターフェースで使用するように設定します。
- LAN側(vlan1)インターフェースにISPから割り当てられたグローバルアドレスの先頭アドレス(4.4.4.1)を設定します。アドレスを8個や16個といった単位で割り当てられる場合は、ネットマスクが変則的になるので注意してください。
ADD IP INT=vlan1 IP=4.4.4.1 MASK=255.255.255.248 ↓
- WAN側(ppp0)インターフェースをUnnumberedに設定します。
ADD IP INT=ppp0 IP=0.0.0.0 ↓
- デフォルトルートを設定します。
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
- ファイアウォール機能を有効にします。
- ファイアウォールの動作を規定するファイアウォールポリシー「net」を作成します。
CREATE FIREWALL POLICY=net ↓
- ICMPパケットはPing(Echo/Echo Reply)と到達不可能(Unreachable)のみ双方向で許可します。
ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓
Note
- デフォルト設定では、ICMPはファイアウォールを通過できません。
- ルーターのidentプロキシー機能を無効にし、外部のメール(SMTP)サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
DISABLE FIREWALL POLICY=net IDENTPROXY ↓
- ファイアウォールポリシーの適用対象となるインターフェースを指定します。
- LAN側(vlan1)インターフェースをPRIVATE(内部)に設定します。
ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓
- WAN側(ppp0)インターフェースをPUBLIC(外部)に設定します。
ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
- 外部からのパケットをすべて拒否するファイアウォールの基本ルールに対し、LAN側サーバーへのパケットを通すための設定を行います。
- SMTPサーバー(4.4.4.2のTCP25番)へのパケットは通過させます。
ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=TCP IP=4.4.4.2 PORT=25 ↓
- DNSサーバー(4.4.4.2のTCP、UDP53番)へのパケットは通過させます。
ADD FIREWALL POLICY=net RULE=2 AC=ALLOW INT=ppp0 PROTO=TCP IP=4.4.4.2 PORT=53 ↓
ADD FIREWALL POLICY=net RULE=3 AC=ALLOW INT=ppp0 PROTO=UDP IP=4.4.4.2 PORT=53 ↓
- 設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。
CREATE CONFIG=router.cfg ↓
SET CONFIG=router.cfg ↓
■ PPPoEのLAN型接続では、IPCPネゴシエーションによって、WAN側(PPP)インターフェースにネットワークアドレス(ホスト部が0のアドレス)が割り当てられます。ネットワークアドレスはホストアドレスとしては使用できないため事実上Unnumberedと同じですが、厳密に言うと専用線接続などで使用するUnnumberedとは異なります。
ルーター自身がWAN側インターフェースからIPパケットを送出する場合を考えます。純粋なUnnumberedでは、送出インターフェースにアドレスが設定されていないため、他のインターフェースのアドレスを使用します。しかし、PPPoE LAN型の場合は、まがりなりにもWAN側インターフェースにアドレスが設定されているため、パケットの始点アドレスとして本来使用できないネットワークアドレスが使用されてしまいます。
通常は、ルーター自身がパケットを送信することがないため、このことを意識する必要はありません。しかし、IPsecを使用するときなどは、始点アドレスに有効なアドレスが使われるよう注意が必要です。これには、WAN側インターフェースをマルチホーミングし、一方に有効なアドレスを設定した上で、デフォルトルートをそちらに向ける必要があります。ここでは、ISPから4.4.4.0/29のアドレスを割り当てられているものと仮定します。
ADD IP INT=ppp0-0 IP=0.0.0.0 ↓
ADD IP INT=ppp0-1 IP=4.4.4.1 MASK=255.255.255.255 ↓
ADD IP INT=vlan1 IP=4.4.4.2 MASK=255.255.255.248 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0-1 NEXT=0.0.0.0 ↓
これにより、LAN側からWAN側へのパケットはppp0-1にルーティングされ、始点アドレスとして4.4.4.1が使用されるようになります。
■ ファイアウォールで遮断されたパケットのログをとるには、次のコマンドを実行します。
ENABLE FIREWALL POLICY=net LOG=DENY ↓
記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=FIRE」により、ファイアウォールが出力したログメッセージだけを表示させています。
■ インターネット側からのPING(ICMP Echo Requestパケット)を拒否するには、次のようなIPフィルターをWAN側インターフェースに設定します。この例では、「LOG=HEADER」により、フィルターで拒否したパケットをログに記録しています。
ADD IP FILTER=0 SO=0.0.0.0 PROTO=ICMP ICMPTYPE=ECHO LOG=HEADER ACTION=EXCLUDE ↓
ADD IP FILTER=0 SO=0.0.0.0 ACTION=INCLUDE ↓
SET IP INT=ppp0 FILTER=0 ↓
記録されたログを見るには、次のコマンドを実行します。ここでは、「TYPE=IPFIL」により、IPフィルターが出力したログメッセージだけを表示させています。
ルーターのコンフィグ
[テキスト版]
CREATE PPP=0 OVER=eth0-ANY ↓
SET PPP=0 OVER=eth0-ANY BAP=OFF IPREQUEST=ON USER=user@isp PASSWORD=isppasswd LQR=OFF ECHO=ON ↓
ENABLE IP ↓
ENABLE IP REMOTEASSIGN ↓
ADD IP INT=vlan1 IP=4.4.4.1 MASK=255.255.255.248 ↓
ADD IP INT=ppp0 IP=0.0.0.0 ↓
ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXTHOP=0.0.0.0 ↓
ENABLE FIREWALL ↓
CREATE FIREWALL POLICY=net ↓
ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓
DISABLE FIREWALL POLICY=net IDENTPROXY ↓
ADD FIREWALL POLICY=net INT=vlan1 TYPE=PRIVATE ↓
ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓
ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROTO=TCP IP=4.4.4.2 PORT=25 ↓
ADD FIREWALL POLICY=net RULE=2 AC=ALLOW INT=ppp0 PROTO=TCP IP=4.4.4.2 PORT=53 ↓
ADD FIREWALL POLICY=net RULE=3 AC=ALLOW INT=ppp0 PROTO=UDP IP=4.4.4.2 PORT=53 ↓
|
CentreCOM AR550S 設定例集 2.9 #49
(C) 2005-2014 アライドテレシスホールディングス株式会社
PN: J613-M0710-04 Rev.P
<前頁
次頁>
<<
>>
↑
目次 (番号順
(詳細)・
回線別
(詳細)・
機能別
(詳細))