『別セグメントへのポート変換が出来ない(登録しても通信できない)』のクチコミ掲示板

[touhulen]

自宅NWでVLANを構築して本ルータをゲートウェイとして使用しています。

ポート変換のLAN側IPアドレスとしてルータのローカルIPとは別のセグメントのIPアドレスを登録しても正常に通信できないことが分かりました。(サポートセンターからの正式回答)

ルータから変換先IPアドレスへのpingは正常に届いており、ルータと同じセグメントのクライアントから変換先IPアドレスへの通信も正常にできています。(ルータに経路情報を登録してあります)

なお、変換先IPがルータと同じセグメントのアドレスであれば正常に通信できます。

書込番号：23425642

[LsLover]

情報量があ少なく、間違っている可能性もありますが、ご容赦ください。

『ポート変換のLAN側IPアドレスとしてルータのローカルIPとは別のセグメントのIPアドレスを登録しても正常に通信できないことが分かりました。(サポートセンターからの正式回答)』

NATを使用する必要があるのでしょうか?

『自宅NWでVLANを構築して本ルータをゲートウェイとして使用しています。』

WXR-5950AX1をゲートウェイとして設定するには、以下のようにアドレス変換:「レ」->「　」使用するに設定してください。

アドレス変換（P59）
アドレス変換機能に関する設定を行う画面です。
Internet　＞　アドレス変換（ルーターモード時のみ）

アドレス変換:「レ」->「　」使用する
http://manual.buffalo.jp/buf-doc/35021872-03.pdf

書込番号：23427515

[LsLover]

追加情報です。

WXR-5950AX12の上位ルータ（スイッチ）側では、静的ルーティングとして、以下のように設定します。

【静的ルーティングの一例】

WXR-5950AX12のLAN側サブネット:192.168.xxx.0/24　ゲートウェイアドレス:WXR-5950AX12のWAN側IPアドレス/24

書込番号：23427525

[touhulen]

すみません。言葉が足りていませんでした。
ゲートウェイではなくデフォルトゲートウェイでした。

VLANで切られた別セグメントにVPNサーバや特定のポート使用を必須とするアプリケーションのサーバを置いているので、
それらのポートについては別セグメントへ向けて変換する必要がありました。
(サーバのアドレスを変えてセグメントを移すことはセキュリティポリシー上不可です)

別セグメントへ変換する必要があるポートについてはYAMAHAのルータを置くなどしてもう1回NATさせて対応するしかないかなと考えています。(ネットワーク速度が1Gbpsに落ちてしまうのでやりたくはないのですが・・・)

書込番号：23429008

[LsLover]

『別セグメントへ変換する必要があるポートについてはYAMAHAのルータを置くなどしてもう1回NATさせて対応するしかないかなと考えています。(ネットワーク速度が1Gbpsに落ちてしまうのでやりたくはないのですが・・・)』

NAT変換は不要ではないでしょうか?

既に投稿させて頂いております[ 書込番号：23427515 ]および[ 書込番号：23427525 ]の設定で対応できると思います。
WXR-5950AX12では、NAT変換を使用せず、ゲートウェイの設定で運用すれば対応できるかと思います。

書込番号：23429417

[touhulen]

＞LsLoverさん
WXR-5950AX12のアドレス変換機能を無効化すると、
ルータとは別セグメントにいるVPNサーバと通信できない状況が変わらないどころか、
ルータと同じセグメントにいるWEBサーバへも通信できなくなりました。


自宅ネットワークの詳細を下に記します。
※数字が同じものは同じ筐体です。
-------------------------------------------------------------------------
[VLAN1]　192.168.1.0/24
ルータ(デフォルトゲートウェイ)：WXR-5950AX12：192.168.1.1 ・・・�@
L2SW：XS708T：192.168.1.10 ・・・�A
WEBサーバ：192.168.1.30 ・・・�B


[VLAN100] 192.168.100.0/24
L2SW：XS708T：192.168.100.1 ・・・�A
VPNサーバ：192.168.100.10 ・・・�C


[VLAN10] 192.168.10.0/24
L2SW：XS708T：192.168.10.1 ・・・�A
NAS：192.168.10.65 ・・・�D


[VLAN20] 192.168.20.0/24
L2SW：XS708T：192.168.20.1 ・・・�A
NAS：192.168.20.65 ・・・�E
GitLabサーバ(Linux)：192.168.20.30 ・・・�F
-------------------------------------------------------------------------


�C〜�Fはセグメント移動不可。(ポリシー上の理由)

�@から�BへのPing疎通⇒OK
�@から�CへのPing疎通⇒OK
�@から�DへのPing疎通⇒OK
�@から�EへのPing疎通⇒OK
�@から�FへのPing疎通⇒OK

�B〜�Fのファイアーウォールは無効化。


�@でアドレス変換機能を有効化してポート変換を設定した場合
外部から�Bへアクセス可能。
VPN接続不可。
外部から�FへSSH接続不可。
�Fからインターネット接続可。


�@でアドレス変換機能を無効化した場合
外部から�Bへアクセス不可。
VPN接続不可。
外部から�FへSSH接続不可。


当初の目的
・外部から自宅へVPN接続すること。
・外部から�FへSSH接続すること。


�@で下記のようなポート変換を設定すれば外部から�FへSSH接続できると考えておりましたが、
上手くいかなくてバッファローのサポートセンターへ問い合わせた結果の回答が最初の投稿内容です。

Internet側IPアドレス：エアステーションのInternet側IPアドレス (グローバルIPが割り当てられています)
プロトコル：TCPポート:22
LAN側IPアドレス：192.168.20.30
LAN側ポート：TCPポート:22

なお、VLAN1にWindows端末(192.168.1.100)を置いて�FへSSH接続することは可能です。

このような場合で外部から�FへSSH接続しようとした際にWXR-5950AX12でポート変換は不要でしょうか。

書込番号：23430903

[LsLover]

ネットワーク構成で[WXR-5950AX12]が[L2SW]のVLAN側に設置されているとの認識していました。申し訳ありませんでした。

ネットワーク構成については、以下のネットワーク構成の概要で宜しいでしょうか?

【ネットワーク構成の概要】
　　　　｜
　　　　｜WAN側IPアドレス
　[WXR-5950AX12]
　　　　｜192.168.1.1【デフォルトゲートウェイ】
　　　　｜
　　　　｜VLAN1:192.168.1.0/24,Webサーバ:192.168.1.30/24
　　　　｜
　　　　｜192.168.1.10
　　　[L2SW]
　　　　｜VLAN100:192.168.100.0/24,VPNサーバ:192.168.100.10 /24
　　　　｜VLAN10:192.168.10.0/24
　　　　｜VLAN20:192.168.20.0/24

[WXR-5950AX12]設定
1.[WXR-5950AX12]をブロードバンドルータとして設定するため、「Internet　＞　アドレス変換:「レ」使用する」の設定は必須です。

2.[WXR-5950AX12]で宛先:192.168.0.0/16のゲートウェイ:192.168.1.10/32を設定する必要がありますが、設定は完了しているのでしょうか?
　【[WXR-5950AX12]の静的ルーティング】
　宛先:192.168.0.0/16　ゲートウェイ:192.168.1.10/32

3.[WXR-5950AX12]のポート開放/転送の設定
3.1 以下のポート開放/転送は、設定済みでしょうか?
　『Internet側IPアドレス：エアステーションのInternet側IPアドレス (グローバルIPが割り当てられています)
　　プロトコル：TCPポート:22
　　LAN側IPアドレス：192.168.20.30
　　LAN側ポート：TCPポート:22』

3.2 VPNサーバ:192.168.100.10/32へのポート開放/転送は、設定済みでしょうか?

[L2SW]の設定
1.[L2SW]で各セグメント間での静的ルーティングを設定する必要がありますが、設定は完了しているのでしょうか?
　【[L2SW]の静的ルーティング】
　VLAN100:宛先:192.168.100.0/24　ゲートウェイ:192.168.100.1/32
　VLAN10:宛先:192.168.10.0/24　ゲートウェイ:192.168.10.1/32
　VLAN20:宛先:192.168.20.0/24　ゲートウェイ:192.168.20.1/32

書込番号：23431403

[LsLover]

記載漏れがありましたので、「[L2SW]の設定」部分を訂正します。

【誤】
[L2SW]の設定
1.[L2SW]で各セグメント間での静的ルーティングを設定する必要がありますが、設定は完了しているのでしょうか?
　【[L2SW]の静的ルーティング】
　VLAN100:宛先:192.168.100.0/24　ゲートウェイ:192.168.100.1/32
　VLAN10:宛先:192.168.10.0/24　ゲートウェイ:192.168.10.1/32
　VLAN20:宛先:192.168.20.0/24　ゲートウェイ:192.168.20.1/32
【正】
[L2SW]の設定
1.[L2SW]で各セグメント間での静的ルーティングを設定する必要がありますが、設定は完了しているのでしょうか?
　【[L2SW]の静的ルーティング】
　デフォルトゲートウェイ:宛先:0.0.0.0　ゲートウェイ:192.168.1.1/32
　VLAN100:宛先:192.168.100.0/24　ゲートウェイ:192.168.100.1/32
　VLAN10:宛先:192.168.10.0/24　ゲートウェイ:192.168.10.1/32
　VLAN20:宛先:192.168.20.0/24　ゲートウェイ:192.168.20.1/32

書込番号：23431421

[LsLover]

すみません、もう1点漏れています。

[WXR-5950AX12]のLAN側ネットワークは、192.168.1.0/16となります。

[WXR-5950AX12]設定
　LAN　＞　LAN
LNA側IPアドレス
IPアドレス: 192.168.1.1
サブネットマスク:255.255.255.0 ==> 255.255.0.0

書込番号：23431450

[touhulen]

＞LsLoverさん
【ネットワーク構成の概要】
については記載いただいている通りです。


【[WXR-5950AX12]の静的ルーティング】
　宛先:192.168.0.0/16　ゲートウェイ:192.168.1.10/32
については設定はしておりませんが、各VLANセグメントへのルーティング情報は設定してあります。
192.168.10.0/24/192.168.1.10、192.168.20.0/24/192.168.1.10、192.168.100.0/24/192.168.1.10


【WXR-5950AX12]のポート開放/転送の設定】
についてはどちらも設定済みです。


【[L2SW]の静的ルーティング】
　VLAN100:宛先:192.168.100.0/24　ゲートウェイ:192.168.100.1/32
　VLAN10:宛先:192.168.10.0/24　ゲートウェイ:192.168.10.1/32
　VLAN20:宛先:192.168.20.0/24　ゲートウェイ:192.168.20.1/32
については設定済みです。


【[WXR-5950AX12]のLAN側ネットワークは192.168.1.0/16】
については設定しておりません。
後々にクラスBのローカルIPを使用したVLANを作るので、LAN側ネットワークをクラスC全体に広げてもクラスBのVLANを作ったときに同じ問題にあたると思われるので、
この設定が必要なのであればRTX830を買ってNATで対応するつもりです。
ただ、クラスCだけであればご教示いただいた設定で解決できそうなイメージはあるので、クラスBのVLANを作る前に回線メンテナンスの時間を作って試してみたいと思います。



LsLoverさんには何度もご回答いただきまして本当にありがとうございます。


このルータが、そもそもVLANを切ってNATでポート開放するなんてことを想定して作られているものではないのですかね・・・。
(業務用ルータではないので当然といえば当然かもしれませんが。)

YAMAHAのRTXシリーズで10G対応のものが早く出てきてほしいです。。。
(RTXシリーズは個人的に使い慣れているので)

書込番号：23432887

[LsLover]

『【[WXR-5950AX12]のLAN側ネットワークは192.168.1.0/16】
　については設定しておりません。
　後々にクラスBのローカルIPを使用したVLANを作るので、LAN側ネットワークをクラスC全体に広げてもクラスBのVLANを作ったときに同じ問題　にあたると思われるので、
　この設定が必要なのであればRTX830を買ってNATで対応するつもりです。』

以下の内容は、WXR-5950AX12とRTX830でも同様の内容かと思います。

VLAN1、VLAN10、VLAN100のセグメント分けを調整する必要があるかと思います。

インターネットとのアクセスが可能/必要なセグメントはNATを利用しますので、VPNサーバをVLAN1の配下に置いて[WXR-5950AX12]のLAN側ネットワークは192.168.1.0/24に設定する。

書込番号：23433088

[LsLover]

とは言え、RTX830などのブロードバンドルータでしたら、CLIが公開されiptablesで詳細/柔軟なファイアウォールを設定できるのも大きな優位性と思います。

ローカルルーターで複数のLANを接続(特定の端末との通信 / 静的NAT) : コマンド設定
https://network.yamaha.com/setting/router_firewall/security/lan_side/static_nat

書込番号：23433257

[touhulen]

＞LsLoverさん
『インターネットとのアクセスが可能/必要なセグメントはNATを利用しますので、VPNサーバをVLAN1の配下に置いて[WXR-5950AX12]のLAN側ネットワークは192.168.1.0/24に設定する。』
仰る通りVPNサーバについてはVLAN1の配下に置かないとどうしようもなかったので、セキュリティを限界まで厳しくしたうえでVLAN1の配下に置くことで目的の挙動をさせることが出来ました。


GitLabへのSSH接続についても、RTX810(友人から貸してもらえたのでとりあえず830が届くまで代用)を導入してNATとルーティングの調整を施すことで目的の挙動をさせることが出来ました。


これで一応目的はすべて達成できました。
LsLoverさんに頂いたアドバイスのおかげです。
ありがとうございました。

書込番号：23436775

[LsLover]

『GitLabへのSSH接続についても、RTX810(友人から貸してもらえたのでとりあえず830が届くまで代用)を導入してNATとルーティングの調整を施すことで目的の挙動をさせることが出来ました。』

RTX810などでしたら、柔軟に設定できるかと思います。

『これで一応目的はすべて達成できました。』

疑問が解決できたようで何よりです。
以下を参考にして、「解決済み」に変更してください。

Q クチコミを「解決済み」にしたい（Goodアンサー）
A 「解決済」にするにはGoodアンサーを選んでください。
※Goodアンサーは、書き込み分類が「質問」のスレッドでのみ選択が可能です。
�AGoodアンサーを選択し(最大3件まで）「内容を確認する」ボタンをクリック
※Goodアンサーを選択せずに「内容を確認する」ボタンをクリックし「解決済」にすることもできます。
https://help.kakaku.com/cgi-bin/mt/mt-search.cgi?search=%E8%A7%A3%E6%B1%BA%E6%B8%88&IncludeBlogs=3&limit=20&SearchResultDisplay=ascend&btnSearch.x=0&btnSearch.y=0

書込番号：23436940

[LsLover]

どうも、誤認があったようです。申し訳ありませんでした。

インターネットVPN接続では、アドレス変換（NATやNAPTなど）を使わずに接続できなければならないようです。

　ただし一般的なクライアントPCからのダイヤルアップ接続と違って、インターネットVPN接続では、ネットワーク同士を相互に接続することになる。VPNのサーバ側もクライアント側も、それぞれ複数のIPアドレス（つまり192.168.0.0/24といったネットワークなど）を持っており、それらのネットワーク内のクライアントが相互に、アドレス変換（NATやNAPTなど）を使わずに接続できなければならない。つまりお互いのネットワーク・アドレス同士で、ネットワークのルーティングを行う必要がある。
https://www.atmarkit.co.jp/ait/articles/0305/22/news002_2.html

一例として、BUFFALOのVR-S1000の設定に関する記述ですが、自宅LANのセグメント192.168.1..0/24とVPNサーバのIPアドレス192.168.200.1の静的ルーティングにより、VPNサーバを別セグメント192.168.200.0/24などに設定は可能のようです。

第２章　設定事例
例1：　外出先から自宅や会社のネットワークに接続する（L2TP/IPsec）
構成例
http://buffalo.jp/support_s/guide2/manual/vr-s1000/type02/99/ja/pc_index.html?Chapter2

【誤】インターネットとのアクセスが可能/必要なセグメントはNATを利用しますので、VPNサーバをVLAN1の配下に置いて[WXR-5950AX12]のLAN側ネットワークは192.168.1.0/24に設定する。
【正】インターネットVPN接続では、アドレス変換（NATやNAPTなど）を使わずに接続できなければならないので、VPNサーバはVLAN100に設置したままで良いようです。きちんとルーティングを設定する必要はあります。

書込番号：23437640

[touhulen]

＞LsLoverさん
何をどう誤認されていたのかわかりませんが、本来VPNサーバが別セグメントにあっても問題ないことは百も承知です。
仕事柄、CiscoルータやYAMAHAルータの配下でいくらでも同様の環境を構築してきましたので。

今回は自宅が10G環境であるがために10G対応のWXR-5950AX12を導入して、
同じように別セグメントにVPNサーバを置いてNAT(静的IPマスカレード)とルーティングを設定したのにうまくいかなかったのでバッファローサポートセンターに問い合わせたら、
最初の口コミの通り「別セグメントへのポート変換は、設定はできても通信できません」と回答され、
『(別セグメントへのポート変換が出来ないのなら)VPNサーバはVLAN1に置かざるを得ない(あるいはさらにルータを置いてNATさせる)』という結論に至ったわけです。

書込番号：23437966　スマートフォンサイトからの書き込み

[LsLover]

『何をどう誤認されていたのかわかりませんが、本来VPNサーバが別セグメントにあっても問題ないことは百も承知です。』

それは失礼しました。

『(別セグメントへのポート変換が出来ないのなら)VPNサーバはVLAN1に置かざるを得ない』ということですが、VPNサーバをVLAN100に設置した状態でも、[L2SW：XS708T]とVPNサーバのルーティングを設定すれば、VPN接続できるということではないですか?

書込番号：23438055

[touhulen]

＞LsLoverさん
『VPNサーバをVLAN100に設置した状態でも、[L2SW：XS708T]とVPNサーバのルーティングを設定すれば、VPN接続できるということではないですか?』
おそらく無理でしょうね。
ルータでNATできないとそもそも外部からVPNサーバまで通信が届きませんから。

ルータからVPNサーバへPing疎通が出来ている時点でルーティングの設定が間違っている事も無いでしょうし。。
ちなみにVPNサーバからインターネットへの接続も問題ありません。(ルータの動的IPマスカレードは正常に動いていると思われます)

書込番号：23438091

[LsLover]

『ルータでNATできないとそもそも外部からVPNサーバまで通信が届きませんから。』

ブロードバンドルータで外部ポート番号をVLAN100内のVPNサーバにポート転送/開放して、例えば、静的ルーティングで宛先192.168.0.0/16のゲートウェイアドレス192.168.1.10を設定すれば良いのではないでしょうか?

いずれにしても、WAN側ネットワークスピードは低下しますが、RTX830などを導入した方が柔軟なネットワークを設定できるかと思います。

『ルータからVPNサーバへPing疎通が出来ている時点でルーティングの設定が間違っている事も無いでしょうし。。』

VPNサーバをVLAN1配下に設置している状態ですね。

書込番号：23438187

[touhulen]

＞LsLoverさん
VLAN100のVPNサーバに対して静的IPマスカレード(192.168.100.10/24/192.168.1.10)を設定してもいかないんです。

VPNサーバをVLAN100(192.168.100.10)に置いてもルータからPingは通ります。



・ルータからVLAN100に置いたVPNサーバ(192.168.100.10)へPingが通る
・ルータで静的IPマスカレード(Internet側IPアドレス：エアステーションのInternet側IPアドレス
プロトコル：TCPポート:1194
LAN側IPアドレス：192.168.100.10
LAN側ポート：TCPポート:1194)を設定している
・VLAN100に置いたVPNサーバのファイアーウォールは無効化
・VLAN100に置いたVPNサーバからインターネット接続は出来ている



上記を満たしてもインターネットからVPN接続が出来ないんです。
クライアントに入れたコンフィグも100%正しいです。(VPNサーバをVLAN1に置いてルータの静的IPマスカレードを修正すればインターネット経由でVPN接続できましたから)



もうこれ以上の返信は不要です。

バッファローサポートセンターの言う通り「WXR-5950AX12では別セグメントへポート変換しても通信できない」のは確定事項ですし、VPNサーバをVLAN1へ設置してインターネットからVPN接続もできていますので運用に支障はありません。

書込番号：23438443　スマートフォンサイトからの書き込み

[LsLover]

『もうこれ以上の返信は不要です。』

失礼しました。

書込番号：23438507