『ポートベースｖlan間のフォルダ参照について』のクチコミ掲示板

[nakanofu]

こんにちは。
RTX830で画像のようなネットワークが組めないか悩んでおります。
もともとHGW側で192.168.1.1のネットワークを組んで、RTX830のLAN２のセカンダリに「192.168.1.254」を設定して、IPマスカレードと192.168.1.1から192.168.2.1側へのゲートウェイ設定をしてやればフォルダ参照の設定ができるところまでは確認したのですが、RTX830・1台で同様の設定ができないか悩んでおります。

現時点でvlan1：192.168.1.1とvlan2：192.168.2.1を作るところまで設定してみたのですが、この２つのセグメント間でのフォルダ参照ができず・・・

そもそもこの設定が可能なのか。
可能であるならばどのような設定をすればよいかアドバイスいただけないでしょうか。
よろしくお願いいたします。

書込番号：24211288

[antena009]

動的フィルタを使ってみたら

書込番号：24211331　スマートフォンサイトからの書き込み

[sorio-2215]

可能かと思われますが、個別のフィルタに許可・不許可を設定する形になるかと存じます。
下記のような形になるかと思われます。

例
vlan port mapping lan1.1 vlan1
vlan port mapping lan1.2 vlan1
vlan port mapping lan1.3 vlan1
vlan port mapping lan1.4 vlan2
ip vlan1 address 192.168.1.1/24
ip vlan2 address 192.168.2.1/24
ip filter 100 pass * 192.168.2.2/32
ip filter 101 reject 192.168.1.0/24 *
ip filter 200 pass * 192.168.1.0/24
ip filter 201 reject 192.168.2.2/32 *
ip filter 1000 pass * *
ip vlan1 secure filter in 100 1000
ip vlan1 secure filter out 200 1000
ip vlan2 secure filter in 200 1000
ip vlan2 secure filter out 200 1000

書込番号：24211767

[sorio-2215]

もう一つの方法が御座います。
VLANネットワーク毎のIPフィルタをそれぞれ設定するのは面倒ですので、
端末及びサーバなどへエンドポイントセキュリティソフトを適用して、ファイアーウォール項目の設定、
個別にプロトコルとIPアドレス宛の通信を拒否する設定をする方が利便性が良いかと思います。
設定後に、設定等の管理者制限をかければ、クライアントユーザー側から変更出来ない形も可能です。

※　カスペルスキーセキュリティ、カスペルスキースモールオフィスセキュリティ、カスペルスキー・エンドポイントセキュリティビジネスセレクトなど。

書込番号：24213057

[nakanofu]

＞antena009さん
＞sorio-2215さん

ご返信ありがとうございます。
業務に絡むので詳細が書けなかったのですが、今回の件がクライアント側の環境をいじることができないことからルータ側で何とか対応できないかと考えてた事情がございました。
後だし情報で申し訳ありません。

先に頂いたフィルタ設定の方でトライしてみようと思います。

書込番号：24214080

[nakanofu]

続けざまの質問で恐縮です。

上記のフィルタ設定をする前に

vlan port mapping lan1.1 vlan1
vlan port mapping lan1.2 vlan1
vlan port mapping lan1.3 vlan1
vlan port mapping lan1.4 vlan2
ip vlan1 address 192.168.1.1/24
ip vlan2 address 192.168.2.1/24

ここまでのコマンドを流した状態でRTX830から以下の2台のPCにそれぞれpingを流したところ

192.168.1.2　成功
192.168.2.2　疎通できず

となりました。
また192.168.1.2のPCからは

192.168.2.1　成功
192.168.2.2　疎通できず


同様に192.168.2.2のPCからは

192.168.1.1　成功
192.168.1.2　疎通できず

とルータの相手方のvlanのIPアドレスまではいくもののその配下のPCまでは到達できない状況です。
何か設定漏れがありますでしょうか？
以下一部*に置き換えたりpp側のフィルタ部分を省略くしていますがconfigの内容です。

# RTX830 Rev.15.02.20 (Fri Apr 16 09:37:54 2021)
# MAC Address : *, *
# Memory 256Mbytes, 2LAN
# main: RTX830 ver=00 serial=* MAC-Address=* MAC-Address=*
# Reporting Date: Jun 30 11:12:48 2021
administrator password encrypted *
login user * *
user attribute axis connection=*
ip route default gateway pp 1
vlan port mapping lan1.1 vlan1
vlan port mapping lan1.2 vlan1
vlan port mapping lan1.3 vlan1
vlan port mapping lan1.4 vlan2
lan type lan1 port-based-option=divide-network
ip vlan1 address 192.168.1.1/24
switch control use vlan1 on terminal=on
ip vlan2 address 192.168.2.1/24
switch control use vlan2 on terminal=on
pp select 1
description pp *
pp keepalive interval 30 retry-interval=30 count=12
pp always-on on
pppoe use lan2
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname * *
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ip pp secure filter in *
ip pp secure filter out *
ip pp nat descriptor 1000
pp enable 1
ip filter 〜〜
#以下 ip filterが十数行
nat descriptor type 1000 masquerade
telnetd host lan
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.1.2-192.168.1.191/24
dhcp scope 2 192.168.2.2-192.168.2.191/24
dns host lan
dns server select 500001 pp 1 any . restrict pp 1
dns private address spoof on
sshd service on
sshd host key generate *
statistics traffic on

書込番号：24214819

[sorio-2215]

お世話になります。
Proxy-ARPの設定が抜けておりますが。

ip vlan1 proxyarp on
ip vlan2 proxyarp on

↑　別IPセグメントからの通信を認識させるためですが、MACアドレスの応答コマンドは必要かと存じます。

書込番号：24215416

[sorio-2215]

あと、IPフィルタでの特定のポート、IPアドレス同士の許可、拒否の設定はVLANインターフェイス毎に必要かと存じます。

書込番号：24215422

[tatanta_v]

＞nakanofuさん
192.168.2.2のPCへのpingがファイアウォールでブロックされてないですかね？
Windows 10とかだと初期状態でpingは通さない設定になっているので。

設定は問題ないように見えるので、それぞれのPCがping通る設定になっていれば、互いにpingは通るはずです。
むろん、デフォルトゲートウェイとしてRTX830が設定されていることが前提ですけど。

書込番号：24218790

[nakanofu]

＞tatanta_vさん
私もそれは懸念して、2台のPCを同一vLlan上に接続してpingを飛ばしたのですが、この場合はお互いにpingが疎通しましたので、今回ルータの設定かなぁと考えております。
ご助言ありがとうございます。

＞sorio-2215さん
先週は別件が忙しく、あだ教えていただいた内容を試せておりませんが、来週時間を見つけて試してみたいと思います。
何度もご教示いただきありがとうございます。

書込番号：24221515

[tatanta_v]

＞nakanofuさん

同一VLAN上でpingの疎通確認ということですが、今回は別のサブネットなので、ファイアウォールをやはり確認したほうがいいかと思います。

Windowsのファイアウォールだと、ping許可しても、同一サブネットだけが許可されているだけかと思うので、相手のサブネットを明示的に許可するように変更が必要です。

書込番号：24224100

[nakanofu]

皆様アドバイスありがとうございました。
結果として初期状態にリセットしてVLANを先に設定してIPマスカレードすることでやりたかった設定が実現できました。
＞tatanta_vさん
がおっしゃる通りpingはWindowsのファイアウォールの問題でした。今回は一旦ファイアウォールを外してpingの送受信が確認できましたが、最終的にクライアントの設定変更ができないので、マスカレード設定後に直接フォルダが参照できるかを確認することができたので良しとしました。

書込番号：24230522