『v6プラス接続とVPNサーバー併用時の注意点』のクチコミ掲示板

[宮のクマの雅]

本機を検討中の方に参考になればと思い、投稿します。

先日、友人から「本機を買ったけどうまいこと設定できない」と相談を受け、お手伝いしました。
友人のインターネット環境は、プロバイダがSO-NETのフレッツ光ネクスト（光コラボではない）で、
ひかり電話やひかりTV等の付加サービスの契約はなしです。
したがって、HGWは設置されずONU配下に本機が直結され、IPv6のプレフィックスタイプはRAプロキシになります。

友人のやりたいことは、主に下記のような感じでした。
（その他いろいろと注文ありましたが、本題と関係ないので割愛しました）

　１．通常のIPv6のインターネット接続は、IPv6_IPoEにて実施
　　　（以前はSO-NETでIPv6_PPPoEを利用していたけどやめる）
　２．通常のIPv4のインターネット接続は、IPv6網を利用したIPv4 over IPv6にて実施
　　　（NTT東日本にフレッツ・v6オプションの申込と、SO-NETにv6プラスの申込済）
　　　（本機のファームウェアは、v6プラスに対応したRev.15.02.03にアップ済）
　３．IPv4のインターネット接続は、IPv4 over IPv6（IPoE）とIPv4_PPPoEを併用し、
　　　フィルタ型ルーティングでIPv4 over IPv6（IPoE）をデフォルトにする
　　　（特定のフィルタに合致する通信のみ、IPv4_PPPoE経由にする）
　４．外部からリモートアクセスするため、本機のVPN（L2TP/IPsec）サーバーを利用する
　　　（VPN関連の通信は、IPv4 over IPv6（_IPoE）経由ではなくIPv4_PPPoE経由で利用する）

友人は上級者ではないものの、以前からYAMAHA製品を使用しており、簡単な設定ならCLIも使えるレベルです。
なので、RTX830も特に問題なくそのままいけるだろうと、甘く考えていたようです。
それが、インターネット接続設定後にVPN設定をすると正常に動かなくなるようで、
困ったことに、通常のインターネット接続すらできなくなってしまうとのことでした。

ざっと現象を確認してみたところ、原因は簡単で、「GUIとCLIの設定を併用していたから」でした。
本サイトのレビューでもコメントありましたが、簡単な設定はGUIで済ませたいと思うのはごもっともで、
それをベースに細かい設定をCLIで補充していくという人は（私も含め）多いと思います。

ここで、

　・GUIの設定項目にある設定をCLIで施すと、コンフィグ上もGUI上も反映される
　　（GUI上にある設定項目なので、GUIで反映できるはずで、もちろん設定したとおりに動く）
　・GUIの設定項目にない設定をCLIで施すと、コンフィグ上は反映されるがGUI上は反映されない
　　（GUI上にない設定項目なので、GUIで反映できるはずもないが、設定したとおりに動く）

ということが問題となります。
これが原因で、GUIにない設定項目を絡めてGUIとCLIを併用すると、意図しないことが起こります。
GUIにない設定項目はいろいろありますが、最近追加されたv6プラス関連の設定も例外ではありません。
なので、本機のv6プラス機能とVPNサーバー機能を両方使いたいという友人は、ドツボにはまったのでした。

長いので下記に続きます。

書込番号：22094924

[宮のクマの雅]

以下、「上記友人のやりたいこと」の２までの設定が完了しているとして話を続けます。

ご存知の通り、本機はファームアップでIPv4 over IPv6（JPNEのv6プラス＝MAP-E方式）に対応しましたが、
GUIでは設定できず、2018年9月現在はCLIでしか設定できません。
CLIによる設定例はYAMAHAから公開されており、そんなに難しいものではありません。
http://www.rtpro.yamaha.co.jp/RT/docs/v6plus/index.html
この設定によれば、「tunnel1」として「map-e」というトンネルを作成することになります。
この設定はGUIには設定項目がありません（IPIPトンネル設定はあるがMAP-Eトンネル設定はない）。
ということは、v６プラス設定後においても、「GUI上はトンネル１はまだない」ことになります。

この状態で、「上記友人のやりたいこと」の３の設定をGUIでPP1に対して行うとどうなるかというと、
デフォルトゲートウェイが「tunnel1⇒pp1」に変更されてしまいます。
（NATディスクリプタのタイプや対象アドレスも、PP1に合わせられると思います）
こうなると、この時点では、IPv4 over IPv6のネットワークは使用できなくなりますが、
幸いにも？、IPv4_PPPoE経由のネットワークは正常なので、インターネット接続自体は可能です。
また、デフォルトゲートウェイをtunnel1、tunnel1で使用するNATディスクリプタの対象アドレスをmap-eに変更すると、
IPv4 over IPv6のネットワーク経由でのインターネット接続も復活します。
（ただし、このままでは外部の端末からL2TPサーバーにリモートアクセスできませんが。）

ここまでは、YAMAHAルーターを使用したことのある人なら、想像つくと思います。
問題はその後なのです。

この状態で、「上記友人のやりたいこと」の４の設定をGUIで行うとどうなるかというと、
実際には既にトンネル１が存在しているにもかかわらず、GUI上はトンネル１はまだないので、
L2TPトンネルが新規としてトンネル２に追加されるのではなく、
MAP-Eトンネルの設定で使用したトンネル１の設定が、L2TPのトンネル１に書き換えられます。
こうなると、MAP-Eトンネルがなくなってしまうので、全体的に正常でなくなるのは明らかです。
コンフィグを確認すればMAP-Eトンネルがなくなってしまったことがわかるのですが、
たとえこれに気づいて、MAP-Eトンネルを再設定するにしても、
コンフィグを確認してどこがおかしいかを自分で判断できる人なら特に問題ないでしょうが、
誰でもできるわけではないと思います。

そこで、v6プラス機能とVPNサーバーの併用をする人は、特に以下に関する設定に注意するとよいと思います。
（今後、MAP-Eのトンネル設定がGUI化されれば、この限りではないと思います）

　・デフォルトゲートウェイがMAP-Eのトンネル番号になっているか？
　・フィルタ型ルーティングでVPN通信に対してのみPPPoEのPP番号を指定しているか？
　　（これに関しては、特定のIPアドレスに対してのみに設定してもOK）
　・MAP-EトンネルとL2TPトンネルが独立して作成されているか？
　　（たとえば、MAP-Eがトンネル1でL2TPトンネルがトンネル2）
　・MAP-Eのトンネル番号に対するNAT設定（タイプ、対象アドレス）は適切か？
　　（たとえば、タイプが1000、対象アドレスがmap-e）
　　（v6プラスはDS-LITEと異なりNATステートレスなので、本機でNAT設定が必要）
　・IPv４_PPPoEのPP番号に対するNAT設定（タイプ、対象アドレス）は適切か？
　　（たとえば、タイプが2000、対象アドレスがipcp）
　　（VPN接続形成用に通常のv６プラスと異なる別のNATルール必要）
　　（VPN接続後はクライアント／サーバー間が一種のブリッジのように動作するので、
　　　個別アプリで使用するNATルールは個別設定不要）


おそらく、CLIのみで設定しようという人は、こんなことを感じる機会もないはずですし、
GUIのみで設定しよう（というかGUIしか使えない）という人は、MAP-Eの設定ができないでしょう。
今回の事象は、GUIとCLIを両方使うからこその、想定外の挙動によるものと言えるでしょう。
メーカーからしてみれば当然の動作なのかもしれませんが、ユーザーにしてみれば意図しない挙動だと思います。
しかし、上記のような目的をもって本機を検討する人（特に初級者）は意外といると思いますので、
YAMAHAさんには、ぜひMAP-Eの設定をGUIに組み込み、CLIとバッティングしないようにしてほしいと願います。

ちなみに、設定完了後はとても快調に動いており、通信速度や安定性は抜群だそうです。

書込番号：22094926

[宮のクマの雅]

大前提として、本機がv６プラスに対応する前後の接続設定に関して、
コンフィグ上の違いを理解しておく必要があると思いますので、
参考程度に書いておきます。

１．v6プラスに対応前のメーカー非公式接続法

　・IPIPトンネル（GUIにもあるIPIPトンネル）を作成
　・トンネルのIPv6エンドポイントは、CEアドレスとBRアドレスを手動で指定し、
　　それらのアドレス間をIPIPトンネル形成
　・NATの対象アドレス（IPv4）は、IPv6プレフィックスを元に計算し、
　　そのアドレスに対してアドレス変換
　・自分で使用できるポート番号は、これまたIPv6プレフィックスを元に計算し、
　　そのポート番号の範囲を指定
　　（これらの計算の自動化は、下記サイトが便利）
　　　http://ipv4.web.fc2.com/map-e.html



２．v6プラスに対応後のメーカー公式接続法）

　・MAP-Eトンネル（GUIにあるIPIPではなく、GUIにないMAP-Eトンネル）を作成
　・トンネルのIPv6エンドポイントは、CEアドレスとBRアドレスが自動で計算・適用されているはずだが、
　　コンフィグ上はエンドポイントに関する設定はない
　・NATの対象アドレス（IPv4）も自動で計算・適用されているはずだが、
　　コンフィグ上はmap-eと入力するだけで、MAP-Eで自動的に生成されたIPv4アドレスが適用される
　・自分で使用できるポート番号も自動で計算・適用されているはずだが、
　　コンフィグ上はポートレンジに関する設定はない


v６プラスで使用するトンネルは、実際にはIPIPトンネル（のはず）ですが、
YAMAHAは「map-e」として個別に用意し、コンフィグ上は「ipip」と分けており、
両者を全く別物とすることで、ある意味特殊なv6プラスに対応しているということができると思います。
また、コンフィグが簡単になったことにより見た目の情報量が少なくなっているため、
その設定で実際はどうなっているのか（どう動かそうとしているか）を確認しにくいため、
なにか問題が起こったときに、問題点を抽出しにくくする要因にもなっていると思います。

v６プラス対応前の非公式な方法はメーカーは関知しないので、こんなこと注意喚起しないと思いますが、
この違いはかなり重大なことだと思うので、一応書いておきました。

書込番号：22094941

[sorio-2215]

　ご存じの事と思いますが、ご指定のIPV4 over IPV6接続トンネルとIPV4-PPPOE接続（Netvolante-DNS若しくは固定IP）での設定環境で、IPSECトンネルも設定するとなると、設定自体が煩雑になりますので、YamahaとしてはIPV4 over IPV6(MAP-E)対応の固定IP機能を利用してVPN接続をする形がシンプルかと思いますが。

　MAP-E対応の固定IP契約を出来るサービスがありますので、その分有料となりますが、ご案内を差し上げては如何でしょうか？
　※　https://21-domain.com/html/hikari-ip.html

　IPV4-PPPOE接続網でのIPSECトンネルですと、トンネルスループットに制約が有る点、性能上のオーバーヘッドが有りますので、IPV6トンネル網での固定IPを利用された方が良いかと思います。
　
　MAP-Eでの固定IPサービスですと、IPV4 over IPV6のみの設定でインターネットとVPN接続は出来るようになりますが、仮に設定したとしても、Yamahaルーターの場合、IPSECトンネルの接続制御にソフトウェアキャッシュしか搭載（ファーストパス）していませんので、性能に期待されているのであれば、期待通りにならない可能性大です。

書込番号：22096622

[宮のクマの雅]

＞sorio-2215さん

コメントありがとうございます。

一般家庭の自宅に設置するものでしたので、現状はMAP-Eの固定IPサービスは考えておりません。
（以前からそれ用の設定例が公開されていることも認識しています）
設定がスッキリするのはいいことですが、追加料金（しかも毎月）が必要となると、
なかなか一般家庭では導入が難しいと思います。
（友人も例にもれず、嫁さんの理解が得られません）

また、IPv4_PPPoE経由におけるVPNのスループットに関しても、
友人が求めているものはそこではありませんので、ある程度の犠牲を理解した上でこの構成になっています。
リモートアクセスに関しては、ほとんど軽い通信しか使いませんので。
LAN間接続に関しては、NGN網内でIPIPトンネルを張ることを検討しています。

ということですが、家庭により環境・事情が異なるのは確かですので、
この掲示板を見た人で興味のある方は、sorio-2215さんのご意見も参考にしてみてください。

書込番号：22097109

[sorio-2215]

　個人的な主観ですが、So-netの場合コラボ系の光にすると、月額対比で-800円ほど割引になる点、固定電話を別途契約している状態であれば、光電話セットプランにして、契約している携帯電話がAUであれば、携帯電話1台あたり、月額-2,000円＋αになりますので、固定IP契約・月額料金2,500円以上にコストメリットと、利便性の向上になるかと思いますが。

　固定電話契約していないのであれば別ですが、仮にアナログやISDN回線改廃が、2,025年までに終了する形になってますので、データ通信のみの判断で固定IP料金が高いと判断するのは、早計かと思います。

　あくまでも、個人的な意見として聞いて頂けばとおもいますが。
　

書込番号：22100448

[宮のクマの雅]

A.　ダッシュボード	B.　拠点間VPNの設定画面	C.　SO-NETの接続確認サイト	D.　SO-NETのサポートページ

前記１〜４の設定完了後における、GUIでのダッシュボード画面を載せておきます。
現状、ダッシュボード画面では、本当に設定できているのかがわからないようになっているので、
注意が必要です。

パッと見でわかりやすいはずのダッシュボード画面でわからないのは、主旨に反すると思いますし、
特に、パッと見で「設定できていないように見える」ので、ユーザーの不安を掻き立てます。
友人は「本当にこれで大丈夫なのか？」と納得いかない様子で不審がっていましたので、
そう感じる他人も多いのかなと思いました。
（ここはYAMAHAさんの課題だと思います）

結論として、ダッシュボードの表示を気にする必要はありません。
コンフィグさえ正常なら動作としては問題ないので、ダッシュボードではなくコンフィグで判断するようにしてください。

A.　ダッシュボード
　　実際には、トンネル１としてMAP-Eトンネルを作成していますが、
　　拠点間VPNの接続状態では、そんなものはないことになっています。
　　（非公式の方法でIPIPトンネルを作成すると、ここにIPIPトンネルが表示）

B.　拠点間VPNの接続画面
　　拠点間VPNの設定で、トンネルの種類にMAP-Eが存在しないため、
　　ダッシュボード画面に表示できないものと思われます。

C.　SO-NETの接続確認サイト
　　http://www.so-net.ne.jp/support/mbr/catalog/ipv6/speedcheck.html
　　IPv4：JPNEのアドレス（MAP-Eにより自動生成されたIPv4アドレス）
　　　　　* SO-NETのアドレス（IPv4_PPPoEにより貸与されたアドレス）ではない
　　IPv6：JPNEのアドレス（MAP-Eにより自動生成されたIPv6アドレス）

D.　SO-NETのサポートページ
　　https://support.so-net.ne.jp/supportsitedetailpage?id=000013894
　　『Aの場合：「v6プラス」利用中です』との記載があります。
　　Aの場合とは、IPv4接続情報とIPv6接続情報のプロバイダが、共にJPNEの場合です。


つまり、通常のIPv4サイトへの通信（リモートアクセスVPN以外の通信）は、
ダッシュボード画面からはどうなっているかはわかりませんが、
実際には意図したとおり、IPv4 over IPv6（v6プラス）で接続されていることがわかります。

一方、リモートアクセスVPNに関しては、NetvolanteDNSのサーバーに通知されている、
SO-NETから貸与されたIPv4_PPPoEのアドレスに対してのVPN接続が有効になっているので、
フィルタ型ルーティングによって、VPN通信のみゲートウェイがIPv4_PPPoEのPP1に振り分けられ、
全体として友人の望む形態になっていることがわかります。

書込番号：22117805

[sorio-2215]

　うーん、このダッシュボードの機能とGUIからの設定についてですが、まず基本的な設定・表示のみ出来るのが
GUIからの設定だと考えておいた方が良いですよ。

　IPSECトンネル設定についても、GUIからはYamaha専用のHeatbeat死活監視しか設定されませんので、業界標準のdpd死活監視設定は、CUIからの設定になります。
　
　HeatBeat設定しかされないというのは、Yamaha同士以外のVPN接続は、GUIからは出来ないということになります。

　

書込番号：22118153