『VLAN越しのファイル共有（一方通行）について』のクチコミ掲示板

[nakanofu]

こんばんわ。
現在、RTX830でポートベースVLANを使用して添付の画像のようなネットワークを構築しています。

・VLAN2からVLAN１はアクセスを許可
・VLAN1からVLAN２はアクセスを拒否（VLAN1からPPもアクセス不要のため拒否）

という状態を作りたく、動的フィルタを設定しています。

結果として、PC１からPC２にはアクセスでき、Windows10で設定した共有フォルダの参照が可能となっています。
しかしながらPC1からPC３が参照できず、「\\192.168.11.71にアクセスできません」のエラー表示がされてしまいます。

なお、PC２とPC３はお互いに共有フォルダが参照できているので、Windowsの共有フォルダの設定は問題ないように感じています。
Windowsで設定した内容は以下です。
・フォルダのプロパティの詳細な共有ON
・セキュリティタブで任意のアカウントでフルコントロールON
・ネットワークと共有設定でプライベートネットワークのネットワーク探索ON、プリンタとフォルダの共有ON
・PC１〜３のネットワークをプライベートに設定
・PC１のWindows資格情報でPC２とPC3に対してユーザ名とパスワードを登録
・PC２と３の違いはWindowsが10か11かの違い（PC３がWindows11です）

RTX830のsyslogには

2024/10/31 17:13:38: [INSPECT] VLAN1[out][100056] TCP 192.168.1.10:52940 > 192.168.11.71:139 (2024/10/31 17:12:53)

が出ているので動的フィルタは動いてるのかな？と考えております。
PC3に対してアクセスできない原因がWindows側の問題なのか、RTXの問題なのかわからず、皆様のお力をお借りできますと助かります。

configが文字数オーバーで入力できなかったため返信に入れさせていただきます。

書込番号：25944976

[nakanofu]

以下configの抜粋となります。
よろしくお願いいたします。


vlan port mapping lan1.1 vlan1
vlan port mapping lan1.2 vlan2
vlan port mapping lan1.3 vlan2
vlan port mapping lan1.4 vlan2
lan type lan1 port-based-option=divide-network
ip vlan1 address 192.168.11.1/24
ip vlan1 proxyarp on
ip vlan1 secure filter in 100002 100003 100099
ip vlan1 secure filter out 100001 100004 dynamic 100050 100051 100052 100053 100054 100055 100056 100057
ip vlan2 address 192.168.1.1/24
ip vlan2 proxyarp on
queue lan2 type priority
ngn type lan2 ntt
pp select 1
description pp XXXX
pp keepalive interval 30 retry-interval=30 count=12
pp always-on on
queue pp class filter list 1
pppoe use lan2
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname XXXX XXXX
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ccp type none
ip pp secure filter in 200003 200020 200021 200022 200023 200024 200025 200030 200032
ip pp secure filter out 200013 200020 200021 200022 200023 200024 200025 200026 200027 200099 dynamic 200080 200081 200082 200083 200084 200085 200098 200099
ip pp nat descriptor 1000
pp enable 1
ip filter 100001 pass 192.168.1.0/24 192.168.11.0/24 * *
ip filter 100002 pass * 192.168.11.1 * *
ip filter 100003 pass * * udp dhcpc dhcps
ip filter 100004 pass 192.168.11.1 192.168.11.0/24 udp dhcps dhcpc
ip filter 100099 reject * * *
ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *
ip filter 200003 reject 192.168.1.0/24 * * * *
ip filter 200010 reject * 10.0.0.0/8 * * *
ip filter 200011 reject * 172.16.0.0/12 * * *
ip filter 200012 reject * 192.168.0.0/16 * * *
ip filter 200013 reject * 192.168.1.0/24 * * *
ip filter 200020 reject * * udp,tcp 135 *
ip filter 200021 reject * * udp,tcp * 135
ip filter 200022 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 200023 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 200024 reject * * udp,tcp 445 *
ip filter 200025 reject * * udp,tcp * 445
ip filter 200026 restrict * * tcpfin * www,21,nntp
ip filter 200027 restrict * * tcprst * www,21,nntp
ip filter 200030 pass * 192.168.1.0/24 icmp * *
ip filter 200031 pass * 192.168.1.0/24 established * *
ip filter 200032 pass * 192.168.1.0/24 tcp * ident
ip filter 200033 pass * 192.168.1.0/24 tcp ftpdata *
ip filter 200034 pass * 192.168.1.0/24 tcp,udp * domain
ip filter 200035 pass * 192.168.1.0/24 udp domain *
ip filter 200036 pass * 192.168.1.0/24 udp * ntp
ip filter 200037 pass * 192.168.1.0/24 udp ntp *
ip filter 200099 pass * * * * *
ip filter 500000 restrict * * * * *
ip filter dynamic 100050 * * ftp
ip filter dynamic 100051 * * www
ip filter dynamic 100052 * * domain
ip filter dynamic 100053 * * smtp
ip filter dynamic 100054 * * pop3
ip filter dynamic 100055 * * submission
ip filter dynamic 100056 * * tcp
ip filter dynamic 100057 * * udp
ip filter dynamic 200080 * * ftp
ip filter dynamic 200081 * * domain
ip filter dynamic 200082 * * www
ip filter dynamic 200083 * * smtp
ip filter dynamic 200084 * * pop3
ip filter dynamic 200085 * * submission
ip filter dynamic 200098 * * tcp
ip filter dynamic 200099 * * udp
nat descriptor type 1000 masquerade
queue class filter 1 4 ip * * udp * *
syslog notice on
syslog debug on
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.11.2-192.168.11.49/24
dhcp scope 2 192.168.1.2-192.168.1.99/24
dns host vlan1 vlan2
dns service recursive
dns service fallback on
dns server X.X.X.X
dns server select 99 X.X.X.X any . restrict pp 1
dns private address spoof on

書込番号：25944980

[しなちく２０００]

RTX830の問題よりもWindows11の問題のように感じます。
社内のWindows10のPCをWindows11化をしておりますが、RTX830を使用しているわけではありませんが同様に(セグメントが違う)VLAN2のWindows10からVLAN1のWindows11へリモートデスクトップ接続不可でした。
逆方向の接続ができるのであれば、ほぼWindows11の未知なる問題だと思います。

書込番号：25944990

[魔境天使_Lucifer]

VLAN 等は知らないけど各 PC を一カ所に集めて相互に ファイル 共有が可能かどうかの確認が先では？
エディション も関係するし・・・。


FYI

Windows 11 Pro 24H2 から 共有ドライブにアクセスできない
https://bbs.kakaku.com/bbs/-/SortID=25915848/#tab

書込番号：25945130

[魔境天使_Lucifer]

FYI

家庭内ネットワークセグメント間でRDPのみ許可してみた
https://qiita.com/matsutogen/items/a408036c72f02f766703

書込番号：25945147

[Gee580]

この機種の細かいConfigコマンドはしらないけれども、以下を自分で入れたんでしょ？

ip vlan1 secure filter in 100002 100003 100099
ip vlan1 secure filter out 100001 100004 dynamic 100050 100051 100052 100053 100054 100055 100056 100057

ip filter 100001 pass 192.168.1.0/24 192.168.11.0/24 * *
ip filter 100002 pass * 192.168.11.1 * *
ip filter 100003 pass * * udp dhcpc dhcps
ip filter 100004 pass 192.168.11.1 192.168.11.0/24 udp dhcps dhcpc
ip filter 100099 reject * * *

その他、VLANのIPアドレスなど。

�@で、PC1　から　問題の　PC3　にPINGはOK？
�APC3　のファイアウォール　を一時的に止めて、テストしてミレル？

書込番号：25945301

[nakanofu]

皆様、いろいろとご助言ありがとうございます。

＞しなちく２０００さん
Windowsのバージョンは可能性あるな！と思い、今朝からWin10のクリーンインストールを行い、再度トライしてみましたが、残念ながら減少変わらず共有フォルダへのアクセスができませんでした。

＞魔境天使_Luciferさん
PC１を、PC２・３と同じセグメントに接続してみましたが、こちらはPC2と３が相互に共有フォルダを参照できていたのと同じ状態ですので、PC１からも問題なく参照ができました。

＞Gee580さん
pingに関してはVLAN1のフィルタで遮断されますので、一旦フィルタを解除してみました。

・フィルタなし　ping通る
・フィルタを再度かける　ping通らない

上記の通りです。
しかしながらフィルタを解除した状態でも共有フォルダが見れない状況だということがわかりました。

・PC2、３からインターネットアクセス　参照できるようになる
・PC１からPC２への共有フォルダアクセス　もともと参照できており、フィルタ解除しても参照できる
・PC１からPC２への共有フォルダアクセス　フィルタ解除しても参照できない

いや・・・VLANで分割していることがフォルダ参照できない原因であればPC２が参照できているのが謎ですし、VLANが関係ないならPC３が参照できないことが謎ですし、なかなか参った状況です。

書込番号：25945640

[Gee580]

＞＞�APC3　のファイアウォール　を一時的に止めて、テストしてミレル？

はやったの？ で、どうだった？

＞・PC１からPC２への共有フォルダアクセス　もともと参照できており、フィルタ解除しても参照できる
　・PC１からPC２への共有フォルダアクセス　フィルタ解除しても参照できない

フィルタ解除しても参照できる
フィルタ解除しても参照できない

どっちなの？　フィルタ解除しても参照できない　は　PC１からPC3じゃないの？

時間が無駄になってしまうので、まずは　ファイアウォールを止める件が最初だよね。

書込番号：25945675

[Gee580]

そして、　PC1　を　VLAN1　に接続して　テストしてミレル？

書込番号：25945678

[nakanofu]

＞そして、　PC1　を　VLAN1　に接続して　テストしてミレル？
記載の通り実施して問題ないことを確認しております。


＞�APC3　のファイアウォール　を一時的に止めて、テストしてミレル？
記載の通りテストしてping疎通を確認しております。


＞・PC１からPC２への共有フォルダアクセス　フィルタ解除しても参照できない
こちら記載ミスでした。

＞PC1からPC３への共有フォルダアクセス　フィルタ解除しても参照できない
が正しい情報となります。

書込番号：25945703

[Gee580]

＞記載の通りテストしてping疎通を確認しております。

Ping疎通 ではなく、ファイル共有でしょ？　それを確認しないと意味ないよね。　Pingとファイル共有は異なるプロトコルなので、全然違う意味になるよね。

こういうところは素人には、理解できないかな？

書込番号：25945766

[とっふぃ〜]

PC3の共有が同一サブネットからしか許してないとか。



＞nakanofuさん
> 2024/10/31 17:13:38: [INSPECT] VLAN1[out][100056] TCP 192.168.1.10:52940 > 192.168.11.71:139 (2024/10/31 17:12:53)

今時NetBIOSてのもな…

書込番号：25945775

[nakanofu]

＞Gee580さん
ファイル共有ももちろん試してNGでした。
記載が漏れて居り失礼しました。

書込番号：25945790

[Gee580]

了解しましたよ。　ちょっと調べてみるよね。　返事は遅くなるよね。

書込番号：25945796

[nakanofu]

＞Gee580さん
お手数おかけいたしますm(_"_)m

書込番号：25945816

[魔境天使_Lucifer]

どうも［ファイル共有］と［VLAN］の設定がおかしいように思える、そうで有れば辻褄が合うかと。

書込番号：25946121

[nakanofu]

皆様、お騒がせいたしました。
取り急ぎ自己解決いたしました。
Defenderファイアウォールの設定でPC２には「Netbiosを使用する」の設定を入れていたのをすっかり失念していました。
PC3側にも同様の設定を行うことでPC1からフォルダ参照することができました。

PC2は１年以上前にセットアップしたもので、当時も何とかアクセスできるように止む無く同設定をした次第です。

とっふぃ〜さんもおっしゃる通り今時NetBiosを使いたくないのですが、もしルータ側の設定で回避できる方法があるならご教示いただけると大変助かります。

書込番号：25946269

[nakanofu]

連投失礼します。
「NetBiosを使用する」ではなく「NetLogonサービス」のプライベートネットワークの項目にチェックを入れる、が正しい表現でした。

書込番号：25946294

[魔境天使_Lucifer]

其れって SMB1.0 を有効にしているのでは？

書込番号：25946312

[Gee580]

なんか解決したみたいね。　おそらくそれは、ワークアラウンド　だと思うよね。　でも、よかったじゃんね。

調べたけれども、確認事項が多いんで、板では　ムリだね。　意思の疎通もできないし。

書込番号：25946396

[Yorkfield]

> 「NetLogonサービス」のプライベートネットワークの項目にチェックを入れる、が正しい表現でした。
ネットワークセグメント越えのファイル共有のためにはこの設定が必要なので、対応としては合ってますよ。

書込番号：25946497

[Gee580]

＞ネットワークセグメント越えのファイル共有のためにはこの設定が必要なので、対応としては合ってますよ。

それは、ドメインネットワークの場合でしょ？　このケースはドメインじゃないので、べつにあってもいいけれども、いらないはずだよね。　（使われないし）
わたくしの環境では、ドメインコントローラーなど使ってないなく、その設定もなしで、素で使えてるよ。

書込番号：25946508

[nakanofu]

その後、netbiosではなくSMB（ポート445）でファイル共有できないかいろいろ検討したところ、Defenderファイアウォールの「詳細設定」「受信の規則」でプライベートネットワークで445を定義すればよいことに気づきましたので、こちらを設定し、netlogonの設定を外しても疎通できることを確認しました。
皆様、色々とご助言ありがとうございました。

書込番号：25946549