YAMAHA業務向けルーター運用構築スレッドPart16

1 ：RTXXXXX：2015/07/19(日) 03:39:26.74 ID:???.net

【お約束】
ここはYAMAHAルーターで小規模〜大規模のネットワークを
構築、運用する人のための情報交換スレッドです。

ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は関連スレへ

【公式サイト】
RTXシリーズルーター
http://jp.yamaha.com/products/network/routers/
RTpro - ヤマハネットワーク周辺機器 技術情報ページ
http://www.rtpro.yamaha.co.jp/
ヤマハネットワーク機器
http://jp.yamaha.com/products/network/

【関連スレ】
YAMAHAヤマハブロードバンドルーターpp select 20
http://peace.2ch.net/test/read.cgi/hard/1418612262/


【過去スレ・前スレ】
YAMAHA業務向けルーター運用構築スレッドPart15
http://hayabusa6.2ch.net/test/read.cgi/network/1417444171/


【こちらもよろしく(^_^)/】
IPの敵！ファックスを廃止に追い込むネガティブキャンペーン（ファックスは負の遺産【全廃まで継続】）
http://hayabusa6.2ch.net/test/read.cgi/network/1436976836/

335 ：anonymous：2015/09/26(土) 21:10:08.08 ID:???.net

　　　　　　　　　　　　　　 ,, -―-、
　　　　　　　　　　　　　／　　　　 ヽ
　　　　　　　／￣￣／　　／i⌒ヽ､|　　　　オエーー！！！！
　　　　　　/　　（゜）/　　 ／　/
　　　　　/　　　　 ト､.,../　,ー-､
　　　　=彳　　　　　 ＼＼‘ﾟ。､｀ ヽ。、ｏ
　　　　/ 　 　　　　　　　＼＼ﾟ。､。、ｏ
　　　/　　　　　　　　　/⌒ ヽ ヽU　　ｏ
　　 /　　　　　　　　　│　　　`ヽU　∴ｌ
　　│　　　　　　　　　│　　　　　U　：l

336 ：anonymous：2015/09/27(日) 00:47:52.71 ID:???.net

>>332
>FWXシリーズで対応していけば

InterNET----pppoe----[RTX 1200]-[FWX]-LoacalNET

こんな感じでつながっているとき、FWXはこんな風に入るんだと思うけど、
もし、RTX1200で他拠点からのトンネルを収容していて、他拠点のインターネット向け通信（ipsecは除く）のデフォルトゲートとされていたら、
他拠点の通信は、FWXを経由しないことになってしまうんだな。

RTXシリーズに、FWXの機能が統合されれば嬉しい。


>>334
>ベストポジションだった

FWXはこれからどうなっていくんだっけ？

337 ：anonymous：2015/09/27(日) 01:45:37.96 ID:???.net

>>336
いや、別にこうしても構わないと思うんだが
InterNET----pppoe----[FWX]-[RTX 1200]-LoacalNET

338 ：anonymous：2015/09/27(日) 02:00:01.42 ID:???.net

>>336
UTMはガチでやるとなると、コストかかるから、
FWXはこのまま、マイナー路線でぼちぼちやってくんじゃね？

餅は餅屋よ、やっぱ。

339 ：anonymous：2015/09/27(日) 02:48:03.82 ID:???.net

>>337
仮に、インターネットへのWWWへのアクセス用のパケットにターゲットを絞ったとして、
FWXって、IPだけでなくて、PPPも読めるって言うの。
PPPって暗号化されているんじゃなかったっけ。

340 ：anonymous：2015/09/27(日) 09:36:26.34 ID:???.net

今の状態だとFWXを選択する意味がないんだよな。
UTMに近づけば候補に挙がるかもしれない。

341 ：anonymous：2015/09/27(日) 09:44:09.47 ID:???.net

>>339
FWXを透過型で使わなきゃいけない縛りでもあるのか？

342 ：anonymous@ngn-west-025-055-060-180.enjoy.ne.jp：2015/09/27(日) 10:11:35.78 ID:???.net

>>337
なんで荷台もあるの？

343 ：anonymous@s501170.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/09/27(日) 12:20:36.03 ID:???.net

FWXってルータとしても使えるだろ。

344 ：anonymous：2015/09/27(日) 12:41:36.93 ID:???.net

うん

345 ：anonymous：2015/09/27(日) 13:18:39.24 ID:???.net

>>339
337はpppはFWXで終端して拠点間VPNはRTXで終端してる構成かとｵﾓﾀ。

346 ：anonymous：2015/09/27(日) 13:37:59.53 ID:???.net

RTXの前に置いて透過型ファイアーウォールとしてつかうんだとばかり思ってた

347 ：anonymous：2015/09/27(日) 15:35:47.83 ID:???.net

>>346
まあそれも想定ユースケースだけど

348 ：anonymous：2015/09/28(月) 01:44:43.08 ID:???.net

>>345
盲点でした！

349 ：anonymous：2015/09/28(月) 01:46:48.62 ID:???.net

>>345
たしかにそれでもいけますよね。
ただし静的マスカレードの設定で、UDP 500 4500と、ESPを、内側のRTX1200に投下させる設定が必要になるけど。

350 ：anonymous：2015/09/29(火) 08:58:50.13 ID:???.net

うん、糞だね

351 ：anonymous：2015/10/01(木) 00:50:30.63 ID:???.net

透過型FWって普通GWから下に置くよね

352 ：anonymous：2015/10/01(木) 02:51:23.55 ID:???.net

>>351
うん。
ただ、IPsecトンネルが拠点から張られているようなセンター方式になっていて、センターでFWXでまとめて処理したい場合には、
>>337のような設置をして、FWXでPPPoEセッションを張るようにする必要があるだろう。
そして、IPsecトンネルパケットについては、>>345さんの言うように内側のRTXシリーズに処理させる。
その場合、>>349のように、PPPoEを終端しているFWX内側でパケットをフォワードする処理が必要になる。
昔、光プレミアムのときPPPoEをCTUが終端していたので、CTUの設定でフォワードして、RTX1100にフォワードしてVPNを終端できた経験があるので問題なし。

透過型でFWXを設置するのなら、そういう場合は各拠点ごとに装置が必要になってしまう。

353 ：anonymous：2015/10/03(土) 03:03:39.23 ID:???.net

大き目の企業はなぜかシスコ使いたがるんだろうな
YAMAHAじゃだめですか？

354 ：anonymous：2015/10/03(土) 09:54:23.34 ID:???.net

だめなわけがない

355 ：anonymous：2015/10/03(土) 09:57:51.66 ID:???.net

>>353
　　　　　　　　　／|
　　　　　　　 ／　｜
　　　∧_∧,/ 　　/　／￣￣￣￣￣￣
　　<.｀∀´/　 　/＜　どうやらあまりの人気っぷりに嫉妬してるみたいだなしんじまえ
　＿/ つ/　と /　　＼＿＿＿＿＿＿
　~て ) /　ん /
　 ／∪　す /
　 ＼/　る./|
　　　＼__/, |
　　///　＼_|
　ωω
空中爆発まであと３０秒

356 ：anonymous：2015/10/03(土) 15:45:45.76 ID:???.net

>>353
「なんでそんなマイナーなメーカーを選んだんだ！」とか
「なんで既存機器と挙動の違う機器を入れたんだ！」って無茶腹切らされないから。

別分野でいうと○○ー○ー○なんか盛大にクソだけど、同様の理由で選ばれることが多いな。

357 ：anonymous@pdadd2828.tokynt01.ap.so-net.ne.jp：2015/10/03(土) 16:15:02.61 ID:???.net

>>356
伏せ字なしでおなしゃす

358 ：anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp：2015/10/03(土) 17:39:34.74 ID:???.net

なんだかんだ言ってシスコはトラブル時の対応力が違うよ。
初事例のバグとかだとUS ciscoも動いてメーカー自ら1ユーザーに代替機材提供したりして原因究明してくれるし。
ヤマハは、もしかしたら優秀なSI使えばいいのかもしれないけど、メーカーのフォローが残念。
とてもじゃないけど大規模投資で使う気にならんよ。怖すぎる。

359 ：anonymous：2015/10/03(土) 18:12:31.25 ID:???.net

>>353
決定的なのはそういうサポートの違いで、大企業では選ばれるわけか。
（大企業の予算なら、サポート料が高くても平気だものね）
なるほど、そういう意味で、RTXは皮肉に、中小企業向けと言っているわけか。
性能は互角、もしくは、日本で使うならヤマハのはそれ以上？

まあ、自分で設定できて、トラブルの解決もできる人間がいるのなら、
あまあまのシスコよりも、ストイックなヤマハがベストだと思いたい。

360 ：359：2015/10/03(土) 18:14:11.19 ID:???.net

アンカー間違った！
>>358

361 ：anonymous：2015/10/03(土) 18:19:00.98 ID:???.net

ヤマハも、シスコみたいに、偉そうな世界レベルの資格試験を行って、
認定制度つくれば、草の根の人たちがヤマハのサポートをするのだろうに。

362 ：anonymous：2015/10/03(土) 18:22:40.86 ID:???.net

>>356
ありがとう、ヤマハばかりいじっているが、自信がついたよ。

俺も、伏字がきになる。
「あ　あー　あー　あ　」というリズムをもった固有名詞ってどこだろう。
周りを見回したけどないね。貧乏だからかな。

363 ：anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp：2015/10/03(土) 21:08:31.91 ID:???.net

>>359
サポートがメーカー主体のCiscoと、SIやユーザー主体のYAMAHAって感じかなあ。
そもそも金払って保守契約しないならYAMAHAの方が草の根の情報は多いかも。
うちの会社も止まっても影響少ないところはYAMAHA使ってます。

ただCiscoにも1つ文句言いたいのは、Cat3750XのCPU負荷が異常に上がるのを
バグと認めないこと。絶対おかしいと思ってる。
https://supportforums.cisco.com/discussion/11532116/high-cpu-usage-3750-x-stack

364 ：anonymous@ae076191.dynamic.ppp.asahi-net.or.jp：2015/10/03(土) 21:21:39.92 ID:???.net

>>356
ブルーコートだと思う

365 ：anonymous：2015/10/04(日) 00:42:39.47 ID:???.net

Black hat
Red hat
Blue Coat
Black Coat

366 ：anonymous：2015/10/04(日) 02:35:24.52 ID:???.net

>>363
>金払って保守契約しないならYAMAHAの方が草の根の情報は多い

なるほど。自分たちでなんとかしようとするから、
情報が多くなるわけだ。OSSに似ているな。

367 ：anonymous：2015/10/04(日) 19:26:46.81 ID:???.net

>>362
ふぉーてーじだかなんだか？
中小向けネットワーク屋だけど見たことない

368 ：anonymous：2015/10/04(日) 21:04:17.09 ID:rieJ5dat.net

YAMAHAのルーター、インターフェースの名前(ppとかtunnelとかlocalとかppanonymousとか)
中身がどういうブロックになっていて、それぞれどこのインターフェースのことを指してるのか
さっぱりわからなくてフィルタの設定ができん…

いい資料が見つかりそうで見つからない

369 ：anonymous：2015/10/04(日) 21:19:09.81 ID:???.net

>>368
ここの1.6とかは？
http://www.rtpro.yamaha.co.jp/RT/docs/nat-descriptor/nat-abstruct.html

370 ：anonymous：2015/10/04(日) 22:13:56.44 ID:rieJ5dat.net

>>369
ありがとう！
こういう図を探してました
ちなみにもしわかれば教えて欲しいのですが、外部からIPSecでローカルIPをDHCPで
取得して、
そのパイプ経由でWAN（インターネット）に繋ぐ場合の経路としては下記でいいんでしょうか？

外部PC
↓（インターネット）
回線(PPPoE)
↓
PPインターフェース
↓
NAT(PP)in
↓
NAT(TUNNEL)out
↓
TUNNELインターフェース
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)out
↓
PPインターフェース
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー

371 ：anonymous：2015/10/04(日) 23:49:51.02 ID:???.net

>>370 こんな感じじゃない？
�@トンネル(IPSec)の通信
外部PC(パケットをカプセル化)
↓（インターネット）
回線(PPPoE)
↓
PPインターフェースin
↓
NAT(PP)
↓
フィルタリング↓
↓
ルータ自身(カプセル化解除)

�Aトンネル内を通る通信
外部PC(�@でカプセル化を解除したパケット)
↓
TUNNELインターフェースin
↓
フィルタリング↓
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)
↓
PPインターフェースout
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー

372 ：anonymous：2015/10/05(月) 00:45:18.22 ID:lmIog3wp.net

>>371
ありがとうございます！

今までずーっとフィルタ設定と格闘しておかげさまでとりあえず開通は出来ました

リモートアクセスVPN(Anonymous)で設定したためか、PPANONYMOUS→WAN側ポートの
フィルタを開けてやらないとダメなようです
逆にTUNNEL→WAN側は空いてなくても行けてしまいます
どうやら、IPSecで暗号化されたものがTUNNELインタフェースを通ってルータ本体（LOCAL？）
に入って、それがPP(Anonymous)インタフェースに届いて、そんでもってそこからWAN側へ
パケットが流れているようです…

まだいまいち解せない感じなのですが、一応そのルートのフィルタが通っていると大丈夫でした

何れにしてもありがとうございました！！

373 ：anonymous：2015/10/05(月) 00:48:28.00 ID:???.net

今時単純なパケットフィルターもしんどいよなー。
上りと下りいちいち書いたりとか、面倒すぎる。
ファイアウォールのポリシーフィルターをルータにも実装してもらいたい。
中国版RTX1200はなぜかファイアウォール機能付いてるのに。

374 ：anonymous：2015/10/05(月) 01:09:19.34 ID:???.net

>>372
L2TP/IPsecなんですか？

375 ：anonymous：2015/10/05(月) 01:12:32.31 ID:???.net

>>373
動的なフィルタリングじゃだめなん？

376 ：anonymous@pdf87554b.tokynt01.ap.so-net.ne.jp：2015/10/05(月) 01:17:08.71 ID:???.net

>>374
はいそうです！

377 ：anonymous：2015/10/05(月) 01:19:16.77 ID:???.net

ポリシーフィルターで行けましたよ

378 ：anonymous：2015/10/05(月) 01:23:47.31 ID:???.net

プロトコルオーバーヘッドだね

379 ：anonymous：2015/10/05(月) 01:28:42.43 ID:???.net

>>378
確かにそうとうヘッダーがくっついてます

380 ：anonymous：2015/10/05(月) 01:29:44.07 ID:???.net

>>379
まあ、必要だから仕方がないんだけどね

381 ：anonymous：2015/10/05(月) 01:30:58.47 ID:???.net

>>380
そうですねw

382 ：anonymous：2015/10/05(月) 01:32:43.95 ID:???.net

>>372
>まだいまいち解せない感じ

ある程度は、文法や、必要なインターフェイスなどから、
内部の概念をあいまいにつかめる。

しかし、プログラミングみたいに、はっきりとその内部構成はわからなかった。
とくに、L2TP/IPSECは、L2TPのリスナーをスタートさせている必要があるけど、
PP ANONYMOUSとどう同調しているか説明できなかったな。

383 ：anonymous：2015/10/05(月) 01:34:11.15 ID:???.net

まあ、でもがんばってみてください。

384 ：anonymous：2015/10/05(月) 01:46:39.61 ID:lmIog3wp.net

>>382
そうなんですよ
そこが私もよくわからなかったんです
LOCALというのはルーティングブロックのことを指していると思うのですが、
TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
そうするとどういうわけかPP ANONYMOUSからパケットが出てくる（ようにみえます…）
で、この時点ではローカルネットワークで流通可能なパケット（カプセル最内層のIPパケット）
になっていて、あとはそれを必要なポートに流れるようフィルタを組んでいく…

今のところ、このような理解です

>>383
まだまだ勉強が必要ですが、とりあえずどうもありがとうございました

385 ：anonymous：2015/10/05(月) 07:45:28.97 ID:???.net

　　　　　 　　 　　　　 　　　 　　　　　　　　　　　___
.　　　　　 　 　　　 　　　　　　　　　　　　　　　　|　|
　　　　　　　　　　　　　　　 　　　　　　　　　　　|　 |
　　　　　 　　　　　　　　　　　　　　　　　　　　　|　 |
　　　　　　　 　　　　　　　　　　　　　　　[二二二二二二]
　　　　　　　　　　　 　　　　　　　　　　　〈　　　　　　　 　〉
.　　　　　　　　　　 　　　　　　　　　　　／＿＿＿＿＿　＼
　　　　　　　　 　　　　　　　　　　　　　| 　　　　　　　　　　 |

386 ：anonymous：2015/10/05(月) 08:20:17.52 ID:???.net

>>385
なんだよそれ

387 ：anonymous：2015/10/05(月) 13:43:53.34 ID:???.net

>>384
>TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
>そうするとどういうわけかPP ANONYMOUSからパケットが出てくる

TUNNEL と、PP ANONYMOUSとが、バインドしている。（PP ANONYMOUS の定義で、TUNNELを指定している）

対向　⇔　----(IPSEC)---- 「　TUNNELインターフェイス　⇔　-----(L2TP)----- 「L2TPサービス＜協調＞PP ANONYMOUS」　⇔　LANインターフェイス」 ⇔ pc

こんなイメージじゃないかな

388 ：anonymous@p2082-ipbf2008hodogaya.kanagawa.ocn.ne.jp：2015/10/09(金) 07:51:52.01 ID:???.net

最近中古で買って弄ってるんですけどフィルタについて教えてください
ネット上の設定例などで明示的にdefaultフィルタを定義してるのはどうしてでしょうか？
また、定義しなくてもrejectされるstaticフィルタをあえて定義しているのはログを見やすくする為ですか？

389 ：anonymous：2015/10/09(金) 08:19:26.81 ID:???.net

>>388
基本的にフィルターは入れないと機能しないから入れてるわけで、入れないで機能するフィルターってのはない。
敢えてあるとしたら全てをパスするフィルターぐらい。

フィルター以外の設定でも、デフォルトでいいってものでも後々のために明示しておく意味で入れることもある。

390 ：anonymous：2015/10/09(金) 09:25:32.50 ID:???.net

>>389
なるほど
分かりやすい説明ありがとうございました。

391 ：anonymous：2015/10/10(土) 00:28:42.14 ID:???.net

>>388
>明示的にdefaultフィルタを定義してる

例えばどんなタイプのですか？

　ip filter 9999 reject * *

のことですか？

ヤマハのRTXルーターだと、一つでも静的フィルタを「適用」すると、（注意！定義ではなくて、インターフェイスへの適用ね。）
デフォルトで、上記のようなリジェクトフィルタが暗黙的に設定されるよね。

392 ：anonymous：2015/10/10(土) 08:50:57.86 ID:???.net

すみません、質問です
YAMAHAさんのルーターは、ポリシーフィルタの動作としてpass, static-pass, reject, restrictの
4種類あると思いますが、
下記ページ中程のポリシー動作の説明表を見てもrestrictの使い所がいまいちわかりません
http://www.rtpro.yamaha.co.jp/RT/docs/policy_fw/

restrictはどういうときに使うと便利なのでしょうか？

393 ：anonymous：2015/10/10(土) 10:30:00.02 ID:???.net

>>391
それにやられたことあったわ

394 ：anonymous：2015/10/10(土) 14:08:11.50 ID:???.net

IPsec/L2TPトンネルへの接続が試みられたときに、メールを送信し通知することって
どうやったらできるでしょうか。

395 ：anonymous：2015/10/10(土) 14:26:17.69 ID:???.net

>>394
Luaに対応してる機種ならスクリプト組めばできるだろうな
http://jp.yamaha.com/products/network/solution/lua/script/lua-script-behavior-fwx120/

396 ：anonymous：2015/10/10(土) 14:29:20.16 ID:???.net

もう一個上の階層のほうがいいな
そのものズバリはないが参考にはなるだろう
http://jp.yamaha.com/products/network/solution/lua/script/

397 ：anonymous：2015/10/10(土) 16:18:49.10 ID:???.net

パッケージとかないんですか

398 ：anonymous：2015/10/10(土) 16:23:59.13 ID:???.net

甘えてんじゃねぇ

399 ：anonymous：2015/10/10(土) 17:22:21.69 ID:???.net

ルーターでプログラミングすることになるとは・・・

400 ：anonymous：2015/10/10(土) 17:30:22.56 ID:???.net

誰か作ってください

401 ：anonymous：2015/10/10(土) 17:36:31.93 ID:???.net

いきなり、組もうとしても、
まずは、HELLO WORLDから始める必要があるので面倒だな。

まずは、メールでHELLO WORLDを送信するところから始めないといけない。
そして、メールで送れることが確信されてから、次のステップへ進む。

次に、どうやってIPsecの接続が試みられたか検知するか、
その仕組みを考える必要がある。
こういうときに、先輩方の設定例が役に立つが、そんな例があるかどうか。

接続元情報やその時間も、メールで通知したいところだなあ。

402 ：anonymous：2015/10/10(土) 17:39:31.63 ID:???.net

IPsec接続時に、イベントなんて発生しないのかな。
それがあれば、イベントハンドラを設定すればなんとかなりそうに思うけど、
LUAってそういうOS的なシステムは備えていないのだろうか。

定期的にログを読みだして、分析して、判断して、
メール通知という流れになるのなら、やだなあ。

403 ：anonymous：2015/10/10(土) 21:40:56.80 ID:???.net

rt.syslogwatch を使えば、ログが吐かれたタイミングでなにかを動かせる。
http://www.rtpro.yamaha.co.jp/RT/docs/lua/rt_api.html#rt_syslogwatch
使用例見たらすげーヒントだし、あとは「試みられたとき」にどんなログが吐かれるのか調べたらそれで作れるでしょう。

404 ：anonymous：2015/10/10(土) 22:11:10.05 ID:???.net

>>391
rejectは書かないとrejectされない。
基本的にフィルターはpassするから、実務上敢えて

ip filter 20000 pass *

なんかをいれることがある。
別の人が見たときにreject入れ忘れてるだけなのか、passさせてるのかってのがわかるようにね。
あとはフィルター以外でもsyslog notice offとか、info onもいれるときがある。

405 ：anonymous：2015/10/10(土) 22:12:16.16 ID:???.net

>>403
luaは書けるようになると便利だよ。

406 ：anonymous：2015/10/10(土) 22:12:19.33 ID:???.net

リソース食いそうだな
素直にsyslog飛ばしてそっちでいろいろやるツールとかはいっぱいあるんじゃね？

407 ：anonymous：2015/10/10(土) 22:18:37.69 ID:???.net

>>404
そんなの？
何もいれなければオールパス
一つでも何か入れたら指定してないパケットはデフォルトでrejectだと思うが

408 ：anonymous：2015/10/10(土) 22:26:26.76 ID:???.net

>>407
少なくともCUIで設定するとそんなことはないな
RejectいれないとPassする

409 ：anonymous：2015/10/10(土) 22:45:00.41 ID:???.net

>>408
ここを読むと何も指定なしはオールパス、何か一つでも指定するとして以外はrejectになると
読めるんだけど…
機種によって違うの？
http://www.rtpro.yamaha.co.jp/RT/docs/policy_fw/

410 ：anonymous：2015/10/10(土) 22:57:51.34 ID:???.net

>>409
これ、ファイアウォールじゃない？
ヤマハルーターの話かと思ってたのだけど。。。

411 ：anonymous：2015/10/10(土) 23:00:06.91 ID:???.net

>>409
ファイアウォール製品だと、ポリシーを見ていって、該当しないのは破棄するからrejectと同じ扱いになる。ファイアウォールなんだからポリシー外は通さないのはあたりまえ。

412 ：anonymous：2015/10/10(土) 23:01:10.73 ID:???.net

>>410
ファイヤーウォールとルーター違うんだ…
ポリシーフィルターは違ってもいいとして、入力遮断フィルタの設計ポリシーは
ルーターの静的フィルタと統一してほしかったな
YAMAHAさんお願いしますよ

413 ：anonymous：2015/10/10(土) 23:02:07.46 ID:???.net

>>411
なるほどね
そう言われれば納得はできるな

414 ：anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 00:20:54.08 ID:???.net

エロい人教えてくだされ。

415 ：anonymous：2015/10/11(日) 00:23:52.05 ID:???.net

>>414
何すか？

416 ：anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 00:26:52.39 ID:???.net

すまん、、RTX810で
ip lan1 address 172.16.4.1/24
dhcp scope 1 172.16.4.32-172.16.4.99/24
を設定してあるCONFIGで

1、コンソールからなら
ping 172.16.4.1
が通るがLANからだと通らない
2、ただし、DHCPクライアントの172.16.4.32,33にはpingが通る

なにが行けないか教えてください

417 ：anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 00:27:20.63 ID:???.net

>>415
はやっ！

418 ：anonymous：2015/10/11(日) 01:06:25.91 ID:???.net

>>416
パソコン

419 ：anonymous：2015/10/11(日) 01:19:02.71 ID:???.net

>>404
じゃあ、デフォルトフィルタってなんだった？？
RTXでなくて、RTAシリーズの話だったっけ？

420 ：anonymous：2015/10/11(日) 01:21:19.23 ID:???.net

>>406
確かに、そうですね。
気が付かなかった。シスログを飛ばしたことすらなかったので、
今後検討してみたいと思います。

syslogdで、受け取るたびにスクリプトに引数として渡すこととかできるのかな？

421 ：anonymous：2015/10/11(日) 01:23:30.79 ID:???.net

>>416
telnet でルーターにアドミンであくせすして、
show log | grep reject　
で何が蹴られているのか確認してみましょう！

422 ：anonymous：2015/10/11(日) 01:58:56.65 ID:???.net

>>420
もっとラクにいけるだろ
Linuxサーバのsyslogdに飛ばして、swatchで特定文字列検出時にメール発報

423 ：anonymous：2015/10/11(日) 02:01:38.82 ID:???.net

>>422
ARIGATO!

424 ：anonymous：2015/10/11(日) 02:05:02.76 ID:???.net

>>403
tnx!

しかし、RTX単体で実現できるかもしれないのも捨てがたいな・・
ちょっと、いろいろやってみたい。

425 ：anonymous：2015/10/11(日) 08:21:40.46 ID:???.net

>>419
デフォルトフィルターってのはルーターにはなくて、多分ファイアウォールにはあるんでない？それか、GUIで設定したときに入る奴をさしてるのかね。

てか、ネットワーク構成によって入れるフィルターなんてかわるでしょ。デフォルトもクソもあるわけないだろとおもうわけなのだけど。。。
SMBをRejectしたりするのも公式とかマロンちゃんなんかの解説で入れることが推奨されてるから、インターネットに出る際のデファクトスタンダードなフィルターであるのかもしれないけど、ネットワーク構成によってはpassしないといけないこともあるわけで。

デフォルトなんて存在しないか、目的別のやり方があると考えた方がネットワーク構築する人間としては柔軟に対応できるのではないのでしょうか。。。と、私は思いました。

426 ：anonymous：2015/10/11(日) 08:22:23.13 ID:???.net

>>424
Luaスクリプトってヤマハ限定の言語だと思ってたらそうでもないことをさっき知ったわ

427 ：anonymous：2015/10/11(日) 08:26:28.34 ID:???.net

>>416
syslog notice on もわすれずに！

428 ：anonymous：2015/10/11(日) 08:29:56.68 ID:???.net

>>416
(´・ω・`)まあ、クライアントがWindowsだったら、ファイアウォールを切ってみるといいかもね。
やつらは初期状態だとping返さないし

429 ：anonymous：2015/10/11(日) 08:58:57.65 ID:???.net

>>421
冷静に考えて、インターフェース内の出来事だから、フィルター関係ないよね？

430 ：anonymous：2015/10/11(日) 09:14:32.71 ID:???.net

>>425
NECのIXだとフィルター無しはAll permit
permit・denyどちらの条件でも、1件でも設定した時点で、
All denyのフィルターが暗黙で設定される仕様だな。

結局、ハードのお作法っつー事で、
そういうもんだと、覚えておきゃ良いんじゃね？

どうしても馴染めないなら、
NECに乗り換えれば、君の思うように動いてくれるよ！（笑

431 ：anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 09:39:00.11 ID:???.net

>>421
Searching ...

432 ：anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 09:44:52.28 ID:???.net

また途中で・・
送ってしまった。
telnet 接続はできないのでコンソールから。
↑のメッセージがでて、なにも起こらず。

一行づつコンソールから入力してみます。m(__)m

433 ：anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 10:29:13.13 ID:???.net

ありがとう

434 ：anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 10:36:44.46 ID:???.net

またっ・・Android+Blutoothキーボードの罠に
ありがとうございます
sys log notice on
でやってみたら。。

これらが原因に、、
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:3389
> 172.16.4.250:3896
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.250 : unreachable port
2015/10/11 10:10:01: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.250:25
12 > 172.16.4.100:21
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:80 >
172.16.4.250:2569
2015/10/11 10:10:03: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net

filterをみると、、
ip filter 200003 reject 172.16.4.0/24 * * * *
ip filter 200013 reject * 172.16.4.0/24 * * *

↑悪さをしてそうなFilter

435 ：anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp：2015/10/11(日) 10:37:14.78 ID:???.net

これ確か、外部からのプライベートアドレスをリジェクトするためにつけた

ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *

ip filter 200010 reject * 10.0.0.0/8 * * *
ip filter 200011 reject * 172.16.0.0/12 * * *
ip filter 200012 reject * 192.168.0.0/16 * * *

に勝手に追加されてる・・なぜだかわからないけど
これ取ってみます。ありがとうございました。