L2TPによるリモートアクセス型LAN間接続（ファイアウォールあり）

L2TPによるLAN間接続構成のうち、常にリモート側からセンター側にアクセスしてアドレス割り当てを受けるリモートアクセス型の設定例です。これは、ダイヤルアップPPPをLACからLNSに中継するリモートアクセス型VPN構成の応用例です。この構成では目に見える形でリモートユーザーが存在しませんが、リモート側ルーターがPPPユーザーとLACを兼ねていると考えることができます。また、この例では両側のルーターにファイアウォールが設定されており、センター側ではリモートからの接続によって動的に作成されるPPPインターフェースをファイアウォールポリシーに追加するため、ダイナミックインターフェーステンプレートを使用しています。

ここでは、次のような構成のネットワークを例に解説します。

最初にルーターA、Bのインターネット接続設定についてまとめます。ルーターAはISDNによる端末型ダイヤルアップ接続、ルーターBは専用線によるLAN型接続です。

表 1：ISP接続の設定

ルーターA ルーターB

TDMグループ名－ ISPB

回線速度－ 1.5Mbps

ISDNコール名 ISPA －

ISPアクセスポイントの番号 03-1234-5678 －

WAN側物理インターフェース bri0 pri0

PPPユーザー名（ISP接続用） ispuser －

PPPパスワード（ISP接続用） isppasswd －

WAN側（ppp0）IPアドレス 0.0.0.0（動的割り当て） Unnumbered

LAN側（eth0-0）IPアドレス 192.168.10.1/24 200.100.10.1/28

LAN側（eth0-1）IPアドレス－ 192.168.20.1/24

インターネット接続を前提としたL2TPの設定は次のとおりです。この例では、つねにルーターAからルーターBに発呼する形になります。L2TPトンネルは、ルーターAのグローバルアドレス（不定）とルーターBのグローバルアドレス（200.100.10.1）の間に張られることになります。トンネル上に張った仮想PPPコネクション（ppp1－ppp1）はプライベートLAN間を接続するためのもので、ここではIPのパケットを通します。

表 2：L2TPの設定

ルーターA ルーターB

L2TPコール名 remote －

L2TP終端アドレス不定（ISPから動的割り当て） 200.100.10.1

L2TPサーバーモード LAC/LNS兼用（BOTH） LAC/LNS兼用（BOTH）

L2TPサーバーパスワード－ l2tpB

PPPユーザー名（L2TP接続用） AAA －

PPPパスワード（L2TP接続用） PasswordA －

WAN側（ppp1）IPアドレスルーターBのIPプールから割り当て Unnumbered（動的作成）

ルーターA（リモート側）の設定

ISP-Aに接続するためのISDNコール「ISPA」を作成します。
ISDNコール「ISPA」上にPPPインターフェース「0」を作成します。アドレスを動的取得するため「IPREQUEST=ON」を指定します。
ISP-Aに接続するためのユーザー名とパスワードを設定します。
IPモジュールを有効にします。
IPCPネゴシエーションでISPから取得したIPアドレスをPPPインターフェースで使用できるように設定します。
LAN側（eth0）インターフェースにIPアドレスを設定します。
WAN側（ppp0）インターフェースにIPアドレス「0.0.0.0」を設定します。これは、ISPとの接続が確立するまでIPアドレスが確定しないことを示します。
デフォルトルートを設定します。
L2TPモジュールを有効にします。
L2TPサーバーをLAC/LNSの兼用モード（BOTH）で起動します。
L2TPコール「remote」を作成し、L2TPの接続先情報を登録します。IPには相手ルーターのIPアドレスを指定します。TYPEは呼の種類を示すもので、LAN間接続の場合はVIRTUALを指定します。PRECEDENCEはL2TPの通信が同時に開始された場合に発呼・着呼のどちらを優先するかを指定します。PASSWORDには、接続先で認証を受けるためのパスワードを指定します。
L2TPコールを仮想的な物理回線と見なし、その上にPPPインターフェースを作成します。OVERパラメーターにL2TPコールを指定するときは、コール名の前に「TNL-」を付けます。ここでは「IDLE=ON」を指定して、必要なときだけ接続するよう設定します。また、相手ルーターからアドレスを動的取得するため「IPREQUEST=ON」を指定します。
L2TP経由で相手ルーターに接続するためのPPPユーザー名とパスワードを指定します。
L2TP上のPPPインターフェース「1」にIPアドレス「0.0.0.0」を設定します。これは、トンネル経由でルーターBとの接続が確立するまでIPアドレスが確定しないことを示します。
経路情報を設定します。ルーターBのLAN側（192.168.20.0/24）宛てのパケットは、L2TP上のPPPインターフェース「1」を通じて送り出します。
ファイアウォール機能を有効にします。
ファイアウォールの動作を規定するファイアウォールポリシーを作成します。
ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。
Note - デフォルト設定では、ICMPはファイアウォールを通過できません。
ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
ファイアウォールポリシーの適用対象となるインターフェースを設定します。
- LAN側インターフェース（eth0）をPRIVATE（内部）に設定します。
- WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。
- L2TPトンネル上のPPPインターフェース（ppp1）をPUBLIC（外部）に設定します。
ダイナミックENATの設定を行います。この例では、対ISP（ppp0）、対ルーターB（ppp1）とも端末型接続であるため、両方ともENATを使うよう設定します。NAT用アドレスには、対ISPではISPから動的に割り当てられたppp0のアドレス、対ルーターBではルーターBから動的に割り当てられたppp1のアドレスを使います。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

ルーターB（センター側）の設定

ISP-Bとの接続のための設定を行います。PRIインターフェース「0」の全スロット（1～2）をTDM（専用線）モードに設定します。
pri0のスロット1～24（1.5Mbps）に対して、TDMグループ「ISPB」を作成します。
PPPインターフェース「0」を、TDMグループ「ISPB」上に作成します。
IPモジュールを有効にします。
LAN側（eth0）インターフェースをマルチホーミングし、eth0-0にISPから割り当てられたグローバルアドレスを、eth0-1にプライベートアドレスを設定します。
WAN側（ppp0）インターフェースをUnnumberedに設定します。
デフォルトルートを設定します。
L2TPトンネル経由で接続してくるリモートユーザー（ルーターA）のための設定を行います。最初に、リモートユーザーをユーザー認証データベースに登録します。
トンネル経由でユーザーが接続してきた時に動的に作成するPPPインターフェースのテンプレート「1」を作成します。接続時の認証はCHAP、PAPのどちらでも行えるようにし、アドレス割り当てにはIPアドレスプール「POOL」を使うようにします。
IPアドレスプール「POOL」を作成し、ユーザーに割り当てるアドレスの範囲を指定します。
ここから、L2TPの設定を行います。最初にL2TPモジュールを有効にします。
L2TPサーバーをLAC/LNSの兼用（BOTH）モードで起動します。
ルーターAからのトンネル接続要求時に相手を認証するためのパスワード「l2tpB」を設定します。
ルーターAからの接続時に動的作成するPPPインターフェースの雛形として、PPPテンプレート「1」を使うよう指定します。IPパラメーターには接続してくるルーターのIPアドレスを指定しますが、ここでは相手ルーターのアドレスが不定なので、すべてのアドレス（0.0.0.0-255.255.255.255）を指定しています。
ファイアウォール機能を有効にします。
ファイアウォールの動作を規定するファイアウォールポリシーを作成します。
ICMPパケットはPing（Echo/Echo Reply）と到達不可能（Unreachable）のみ双方向で許可します。
Note - デフォルト設定では、ICMPはファイアウォールを通過できません。
ルーターのidentプロキシー機能を無効にし、外部のメール（SMTP）サーバーなどからのident要求に対して、ただちにTCP RSTを返すよう設定します。
ルーターAがL2TP経由で接続してきたときに動的に作成されるPPPインターフェース用のファイアウォール設定を行います。最初に、ダイナミックインターフェーステンプレート「l2tpint」を作成します。名前は自由です。
次に、ダイナミックインターフェーステンプレート「l2tpint」の対象ユーザーを指定します。USERパラメーターで指定したユーザーが接続してきたときに動的作成されるPPPインターフェースは、ADD FIREWALL POLICY INTERFACEコマンドで「DYN-templatename」として参照できます（templatenameはテンプレート名）。ここでは対象ユーザーとして「ANY」を指定しています。これは、PPPの認証をパスしたすべてのユーザーが対象であることを示します。
ファイアウォールポリシーの適用対象となるインターフェースを設定します。
- LAN側グローバルセグメント（eth0-0）をPRIVATE（内部）に設定します。
- LAN側プライベートセグメント（eth0-1）をPRIVATE（内部）に設定します。
- WAN側インターフェース（ppp0）をPUBLIC（外部）に設定します。
- L2TP経由でユーザーが接続してきたときに動的作成させるPPPインターフェース（l2tpint）をPRIVATE（内部）に設定します。
ダイナミックENATの設定を行います。NAT用グローバルアドレスには、eth0-0に設定したインターフェースアドレス200.100.10.1を共用します。
相手ルーターから受信したL2TPパケット（UDP1701番）がファイアウォールを通過できるように設定します。
設定は以上です。設定内容をファイルに保存し、SET CONFIGコマンドで起動時設定ファイルに指定します。

まとめ

ルーターA（リモート側）のコンフィグ [テキスト版]

ADD ISDN CALL=ISPA NUMBER=0312345678 PRECEDENCE=OUT INTREQ=bri0 ↓ CREATE PPP=0 OVER=ISDN-ISPA IDLE=ON IPREQUEST=ON LQR=OFF ↓ SET PPP=0 USER=ispuser PASSWORD=isppasswd ↓ ENABLE IP ↓ ENABLE IP REMOTEASSIGN ↓ ADD IP INT=eth0 IP=192.168.10.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=0.0.0.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓ ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ ADD L2TP CALL=remote IP=200.100.10.1 TYPE=VIRTUAL PRECEDENCE=OUT PASSWORD=l2tpB ↓ CREATE PPP=1 OVER=TNL-remote IDLE=ON IPREQUEST=ON ↓ SET PPP=1 USER=AAA PASSWORD=PasswordA ↓ ADD IP INT=ppp1 IP=0.0.0.0 ↓ ADD IP ROUTE=192.168.20.0 MASK=255.255.255.0 INT=ppp1 NEXT=0.0.0.0 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ ADD FIREWALL POLICY=net INT=eth0 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net INT=ppp1 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=eth0 GBLINT=ppp1 ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=eth0 GBLINT=ppp0 ↓

ルーターB（センター側）のコンフィグ [テキスト版]

SET PRI=0 MODE=TDM TDMSLOTS=1-24 ↓ CREATE TDM GROUP=ISPB INT=pri0 SLOTS=1-24 ↓ CREATE PPP=0 OVER=TDM-ISPB LQR=OFF ↓ ENABLE IP ↓ ADD IP INT=eth0-0 IP=200.100.10.1 MASK=255.255.255.240 ↓ ADD IP INT=eth0-1 IP=192.168.20.1 MASK=255.255.255.0 ↓ ADD IP INT=ppp0 IP=0.0.0.0 ↓ ADD IP ROUTE=0.0.0.0 INT=ppp0 NEXT=0.0.0.0 ↓ ADD USER=AAA PASSWORD=PasswordA LOGIN=NO ↓ CREATE PPP TEMPLATE=1 IPPOOL=POOL AUTHENTICATION=EITHER ↓ CREATE IP POOL=POOL IP=192.168.20.100-192.168.20.120 ↓ ENABLE L2TP ↓ ENABLE L2TP SERVER=BOTH ↓ SET L2TP PASSWORD=l2tpB ↓ ADD L2TP IP=0.0.0.0-255.255.255.255 PPPTEMPLATE=1 ↓ ENABLE FIREWALL ↓ CREATE FIREWALL POLICY=net ↓ ENABLE FIREWALL POLICY=net ICMP_F=PING,UNREACH ↓ DISABLE FIREWALL POLICY=net IDENTPROXY ↓ CREATE FIREWALL POLICY=net DYNAMIC=l2tpint ↓ ADD FIREWALL POLICY=net DYNAMIC=l2tpint USER=ANY ↓ ADD FIREWALL POLICY=net INT=eth0-0 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=eth0-1 TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net INT=ppp0 TYPE=PUBLIC ↓ ADD FIREWALL POLICY=net INT=DYN-l2tpint TYPE=PRIVATE ↓ ADD FIREWALL POLICY=net NAT=ENHANCED INT=eth0-1 GBLINT=ppp0 GBLIP=200.100.10.1 ↓ ADD FIREWALL POLICY=net RULE=1 AC=ALLOW INT=ppp0 PROT=UDP PORT=1701 IP=200.100.10.1 ↓

CentreCOM AR300/AR700 シリーズ設定例集 2.3 #106

PN: J613-M0507-00 Rev.H

＜前頁次頁＞＜＜＞＞ ↑ 目次（番号順 (詳細)・回線別 (詳細)・機能別 (詳細)）

	ルーターA	ルーターB
TDMグループ名	－	ISPB
回線速度	－	1.5Mbps
ISDNコール名	ISPA	－
ISPアクセスポイントの番号	03-1234-5678	－
WAN側物理インターフェース	bri0	pri0
PPPユーザー名（ISP接続用）	ispuser	－
PPPパスワード（ISP接続用）	isppasswd	－
WAN側（ppp0）IPアドレス	0.0.0.0（動的割り当て）	Unnumbered
LAN側（eth0-0）IPアドレス	192.168.10.1/24	200.100.10.1/28
LAN側（eth0-1）IPアドレス	－	192.168.20.1/24

	ルーターA	ルーターB
L2TPコール名	remote	－
L2TP終端アドレス	不定（ISPから動的割り当て）	200.100.10.1
L2TPサーバーモード	LAC/LNS兼用（BOTH）	LAC/LNS兼用（BOTH）
L2TPサーバーパスワード	－	l2tpB
PPPユーザー名（L2TP接続用）	AAA	－
PPPパスワード（L2TP接続用）	PasswordA	－
WAN側（ppp1）IPアドレス	ルーターBのIPプールから割り当て	Unnumbered（動的作成）