15/09/09 13:45:22.43 .net
nat descriptor masquerade incoming
112:anonymous
15/09/09 13:46:00.44 .net
>>109
>フィルターがグローバルアドレスや*宛てをジェクトしてるならフィルターにはひっかかる
そう思う。
その場合は、NATが居座っていても、NATを経由しないことになるよね。（変換テーブルがないもの）
あと、動的フィルタ（PPインタフェースの内側→外側方向）がどうなっているかも考慮する必要があるよね。
動的フィルタって、逆向きの該当しないパケットをREJECTしたら通知あるんだったっけ？
あまり意識したことがないな。あ、LOGをオフにしているからか。
113:anonymous
15/09/09 13:48:33.99 .net
>>111
>nat descriptor masquerade incomingコマンドは、
>内向きのパケットを変換できないときの動作を定義するもので、セキュリティの観点で注意が必要なコマンドです。
reject ... パケットを破棄します。ただしTCPについてはResetを返します。
discard ... パケットを破棄します。
through ... パケットを変換せずに通過させます。
forward ... パケットを特定の端末に転送します。
どれがデフォなのか。
114:anonymous
15/09/09 14:01:45.19 .net
nat descriptor masquerade incoming だけじゃコマンド通らんだろう
そのパラメーターが必要だからデフォは無いだろう
115:anonymous
15/09/09 14:03:02.37 .net
って事で>>98は
フィルターの書き方でフィルタにひっかかるって事だよね？
116:anonymous
15/09/09 15:40:00.38 .net
フィルターまで行かないぞ
nat descriptor masquerade incomingのデフォルトrejectで普通は落ちる
117:anonymous@p3254-ipbf210akita.akita.ocn.ne.jp
15/09/09 16:13:11.74 YGOsYgka.net
RTX1200と1210を3台ずつほぼ同一環境で使ってるんだけど、show environment
で見る筐体内温度が1200は40℃前後で1210は50℃前後でやや高め。
こんなもんですかねぇ?
ファンが無いだけにちょっと心配になってきた。
118:anonymous@pw126152222127.10.panda-world.ne.jp
15/09/09 16:30:10.87 .net
RTX1210の下に、ノートパソコン向けの冷却クーラーを置いて利用しています
大体、気温と同じくらいになりますよ
119:anonymous
15/09/09 16:34:52.49 .net
nat descriptor masquerade incoming自体がデフォじゃねーだろ
120:anonymous@p3254-ipbf210akita.akita.ocn.ne.jp
15/09/09 16:39:33.33 .net
>>118
1200と1210の差がちょっと気になって。CPU違うせいかな・・・
エアコン修理しないと。
121:アナニ
15/09/09 16:58:36.31 .net
>>108
モペラみたいなとこにPPPでインターネット接続
ISDNのときとちがってバックアップ回線に切り替わったことを客が気づかないのが難点
122:anonymous
15/09/09 17:26:11.44 .net
>>119
IPマスカレードをインタフェースに設定したらデフォですよ
123:anonymous
15/09/09 18:21:28.20 .net
>>106
テーブルに対応するNATなりNAPTがない場合は厳密にはすり抜けるというより、動的処理される。
ただ、動的処理される場合の条件は、内側からの通信に対する応答である必要がある。
（動的ってことは内側のノードからの要求で都度テーブルに条件を入れたり時間がたったら消したりしてる。バインドされるとかバインドが消えるって言ったりもする）
静的NAT>動的NAT>静的マスカレード>動的マスカレード（マスカレード≒NAPT）の順で処理された気がする。
で、外側からの通信でテーブルに合致しないやつはNATの段階でRejectされるっていうルールだった気がするんだ。（ nat descriptor masquerade incomingの初期値はReject、従って何もしなければRejectされる）
ルーター内での処理は、NATされてからフィルターだったきがする。
いんかみんぐで設定つけると、設定の通りにやるみたいだけど、Reject以外やったこと無いなぁ。。。
するーさせても結局Rejectフィルターで殺される。
ヤマハの営業にこの辺聞くと、基本的にNATでRejectしたほうがCPUパワー使わないからオヌヌメとかなんとか。
フィルターはそこそこ頭使うらしい。
124:anonymous
15/09/09 20:29:32.99 .net
>>121
>PPPでインターネット接続
ということは、電話をかけるわけだね。
すると、IIJみたいなデータ通信専用のSIMでは無理ですかぁ
125:anonymous
15/09/09 20:31:42.77 .net
>>121
>ISDNのとき
ISDNのとき、何か気づかせる反応っておきましたっけ？
ピポッ！って音するとか？
126:anonymous
15/09/09 21:38:02.53 .net
>>119
デフォではないけど、ヤマハの仕様上、入れてないコマンドは初期値で扱われる。
127:anonymous
15/09/09 23:38:52.55 .net
>>126
もちろん、すべてのコマンドではないね
動作を定義するために必須のコマンドについて、指定されていないコマンドとパラメーターが、
デフォとして与えられるということやね
128:anonymous
15/09/10 01:11:26.44 .net
>>127
せやせや
129:anonymous
15/09/10 07:50:48.27 .net
糞や
130:anonymous
15/09/10 10:38:01.43 .net
>>123
>テーブルに対応するNATなりNAPTがない場合は
おもしろい表し方だ。
処理方法からデータを分離するという考え方のように思った。
131:anonymous
15/09/10 14:43:35.00 .net
>>120
性能あがったから熱はでるみたいだけど、メタル筐体だから放熱性能は高くなった模様
小さい送風機で風をあてるだけで10℃ぐらい下がるよ
132:anonymous
15/09/10 21:17:58.54 .net
たいした処理させていないrtx1100が、かなり熱くなっている！
再起動しても同じ。
RTX1200の方が発熱量はかなり少ないんだろうな。
133:anonymous
15/09/11 01:07:13.04 .net
＼ rっ
＼ ＼ ＼∨（. ｜|
＼ l＼ （. |.ﾊ,,ﾊ お断りします
） |＿＼⌒ （ ﾟωﾟ ）
⌒） ＼ ＼ 〉 _二二二つ
⌒ ＼ ＼ /
＼＿ノ
＼＼
＼＼
レ
134:あのな
15/09/11 07:18:03.72 .net
>>132
AESとか使ってないよね？
135:anonymous
15/09/11 08:32:16.84 .net
>>134
今は、現役をRTX1200に譲っているので、トンネル関係は全く扱っていない。
サブネット間のための純粋ルーターとして動作しています。
とっぱらって、RTX1200の空きポートに統合しようと計画しています。
136:anonymous
15/09/11 08:33:46.26 .net
>>134
RTX1100って、AESの処理って、cpu処理だったっけか
137:anonymous
15/09/11 12:40:40.10 .net
>>136
たしかソフトウェア処理だったきがする。
138:anonymous
15/09/11 17:35:57.18 .net
〃 i, ,. -‐
r' ｨ=ゝー-､-、､r=‐ヮｫ.〈 ／
! :l ,ﾘ|} |. } / .や
. {. | ′ | } l
ﾚ-､{∠ﾆ'＝=ｧ ､=＝ﾆゞ< | ら
!∩|.}. '"旬ﾞ` ./''旬 ` f＾| |
ｌ（( ﾞ′｀￣'" f::`￣ |l.| | な
. ヽ.ヽ {:. ｌﾘ |
. }.iｰi ^ r' ,' ノ い
!| ヽ. ｰ=＝=- / ⌒ヽ
. ／} ＼ ｰ‐ ,ｲ l か
__/ ∥ . ヽ､＿!__／:::|＼ ヽ
139:anonymous
15/09/11 23:14:45.27 .net
>>137
rtx1200に交換してよかった。どおりで発熱が少なくなったと思った。
140:anonymous
15/09/12 03:10:40.61 .net
******************************************
*********★【"週末カレシ"の裏話】★**********
******************************************
■超美豚マニア『猪豚』のサイト登場！！
■菊穴のモザイクを剥ぎ取った！！
■知られざる『豚王子さま』の現状を暴露する！
■知る覚悟はできていますか？
下記を『Google』か『Yahoo』で検索して下さい。
↓↓↓検索キーワード↓↓↓
------------------------------
『猪豚 かれし』 ←漢字変換
------------------------------
『豚王子 カレシ』 ←漢字変換
------------------------------
『ハッテン場 カレシ』
------------------------------
※検索結果の『１ページ目』か『２ページ目』に
++++++++++++++++++++++++++++++++++++++++++++++
【激裏】繁殖真っ盛りの豚カレシ･･･････【酷使】
++++++++++++++++++++++++++++++++++++++++++++++
↑↑↑↑↑↑↑↑↑↑↑↑↑↑↑が表示されますん。
▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲▲ 👀
Rock54: Caution(BBR-MD5:0be15ced7fbdb9fdb4d0ce1929c1b82f)
141:anonymous
15/09/12 06:27:53.90 .net
RTXに、INPUTチェインなんてないよね？
やっぱりこれからもないままか。
GUIへのアクセスを制限する場合、とても便利なんだけどな。
今だと、LAN向けの全インターフェイスでFILTERが必要になるので、面倒くさい。（あっそう。というレスを期待）
142:anonymous
15/09/12 07:53:42.34 .net
＞
,. ..::＝::... 、 ＞ 知るかバカ！
／....::::::::::::〃 ＼ ＞
/ ⌒):::::::::::| ! : ヽ ＞ そんなことより
, .:.....:::::::::::::::| :. ::. i ＞
ｌ ::::::::::::::::::::::| :: j::::: ｜ ＞ オナニーだ！
｣ :::::; -‐ミ::::ﾉノ∠... Ｌ、 ＞
/ﾍ ⌒<こ>:::. .:: <こ>, うﾊ ／ ∧∧∧∧∧∧∧∧∧
{::〈 .::::ｒ‐' 7.:: :::. _):::. 〉.:}
ヽ::. ､::::::::::::〈_.:::; ヽ::::::: .::ノ
ゝ!::.ヽ::::::::/_J_ }::; /｀ヽ- ､
／ ∧:::::.::::::::''ﾆﾆヽ ｝ ∧ ＞‐- .
_／ ///ヽ :.::::::::(⌒_ノ ｲ ∧ 丶、
,. ´ ////Ｏ 丶､::::::: .イ Ｏ/∧＿＿＿__ ´ ￣ ｀ヽ
-‐'"´ ￣ ＿＿ /////////ヽ ￣ ////////三三三三≧ｘ ＿__
143:anonymous
15/09/12 09:36:02.61 .net
>>141
httpd host 10.0.0.1-10.0.0.31 172.16.0.1-172.16.0.15 192.9.200.1-192.9.200.15
じゃだめ？
144:anonymous
15/09/12 16:48:36.45 .net
>>143
わー！ありがとうございます。
代わりに、それを使います！
145:anonymous
15/09/12 17:42:59.65 .net
現行スレ
YAMAHA業務向けルーター運用構築スレッドPart16 ＠2ch.net
ｽﾚﾘﾝｸ(network板)
146:anonymous
15/09/12 19:59:09.67 .net
>>141
>面倒くさい。（あっそう
察した
147:anonymous
15/09/12 20:09:33.27 .net
>>123
>ヤマハの営業にこの辺聞くと、基本的にNATでRejectしたほうがCPUパワー使わないからオヌヌメとかなんとか。
>フィルターはそこそこ頭使うらしい。
nat descriptor masquerade incomingを、Reject（初期値）にしておいて、
FILTER（静的、とくに動的なやつ）を動作させないようにすると良いのかもしれないね。
すると、ふつうのIPv4のネット接続の場合は、NAPTが掛けられているだろうから、良いと思うけど、（あと、タイマーを短くしてテーブルを消してしまおう）
しかし、IPv6の場合だと、NATなしで、動的フィルタで防御するだろうから、
CPUパワー食うことになるよな。
NATを使わないようになっていくということは、ちょっともったいないね。
148:anonymous
15/09/12 20:22:27.48 .net
INPUTチェインって一般的なワード？
149:anonymous
15/09/12 20:31:27.96 .net
LINUXのフィルタリングを理解するために必要な、ヤマハルーターより抽象的なフィルタリングポイントである
150:anonymous
15/09/12 20:36:10.27 .net
>>148
椿本グループみたい
linuxのiptableあたりでよく出てくるよね。
151:anonymous
15/09/12 20:36:30.90 .net
>>148
LINUX（CENTOS 6以前とか）を使っている人だと良く知られたワードだよ。
LINUXもヤマハルーターのようにルーターとして動作するんだけど、フィルタをかける場所が、
インターフェイスではなくて、INPUT、OUTPUT、FORWARDなど少々抽象化されたものになっているんだ。
そのうちのINPUTは、LINUX自身へのパケットの流入をコントロールするポイントになっている。
ヤマハルーターのパケットの流れに重ねて言えば、ヤマハルーターのGUIへのアクセス経路の途中に成立するはずだよ。
152:anonymous
15/09/12 20:39:18.45 .net
ファイアウォールの世界だよなそれ
153:anonymous
15/09/12 20:41:57.46 .net
>>152
なんか、厳密には違ってましたっけ
154:anonymous
15/09/12 20:56:16.75 .net
２０年ぐらい前ipfw使ってた当時のLINUXのフィルターは糞って認識しかしてなくて
それ以来触ってない
ヤマハでもRDRが使えたらと何度思ったことか
155:anonymous
15/09/12 22:00:52.64 .net
>>154
20年認識が止まってるて色々大丈夫？使えないおじさんほど哀しいもの無いよ
156:anonymous
15/09/12 22:04:20.33 .net
>>154
シスコ派
RDRとは、ネットワークトラフィック分析＆レポート機能ってことであってますか。
linuxにも似たような機能が、iptablesコマンドで設定できたよね。
その機能を使ってバルーンが膨らんで割れるとブロックするとかもできたと思う。
ヤマハルーターには、そういうトラフィックをくどくど読んでbanするような機能ってないよなあ。
157:anonymous
15/09/12 22:04:43.27 .net
BSDで事足りるし
RTも使いやすいしそれで大丈夫だからね
158:anonymous
15/09/12 22:10:45.94 .net
>>157
Linuxしかつかったことないんですが、
BSDというと、UNIXですよね。むつかしい印象です。
安定性が高いから仕事で使っているとかなんですか？
使ってやろうという気になったことないです。
159:anonymous
15/09/12 22:12:45.85 .net
BSDがUNIXなら、Mac OS X is UNIXになっちゃうよ
SRT100とかFXWのフィルタルールが独特すぎて何度か客先通ったっけ
160:anonymous
15/09/12 22:16:58.03 .net
>>159
ここ、参考にしました。
URLﾘﾝｸ(detail.chiebukuro.yahoo.co.jp)
FXWってなんでしたっけ？
インターフェイスに掛ける点ですか？
161:anonymous
15/09/12 22:20:46.90 .net
BSDはUNIX
162:anonymous
15/09/12 22:23:54.98 .net
開発者に保守派が多いというBSDだから、
ネットワーク系の処理も信頼が置かれているのかなと思った。
組み込みにもBSDが使われているんだと知った。知らなかったな。じゃあ、ヤマハのも？
163:anonymous
15/09/12 23:58:40.57 .net
組込だと会社のコピー機のOSがNetBSDだな
164:anonymous
15/09/13 05:53:31.53 .net
SRT100はコンフィグ開くと初見で固まる。
正直なにがなんだかわからん。
設定例とか見てもなぜかGUIが多いからGUI推奨なアトモスフィアめいてる。
ただ、よくよく読み解くとなるほどなと思う。
RTXと処理が違うんだっけ。
165:anonymous
15/09/13 06:02:39.35 .net
r;ｧ'N;:::::::::::::,ｨ／ >::::::::::ヽ
. 〃 ヽﾙ1'´ ∠:::::::::::::::::i
i′ ___, - ,. = -一 ￣ｌ:::::::::::::::ｌ
. ! , -＝=､´r' l::::::/,ﾆ.ヽ
ｌ _,, -‐''二ゝ ｌ::::l fﾞヽ |、 ここはお前の日記帳じゃねえんだ
ﾚー-- ､ヽヾﾆ-ｧ,ﾆ;＝、_ !:::l ） } ト
ヾ¨'７"ry､｀ ｰﾞ='ニ,,,｀ }::ヽ(ノ チラシの裏にでも書いてろ
:ｰゝヽ､ !´ "￣ 'l,;;;;,,,.、 ,i:::::::ﾐ
::::::::::::::::ヽ.-‐ ﾄ、 r'_{ __)｀ニゝ、 ,,iﾘ::::::::ﾐ
::::::::::::::::::::Vi／l:::V'´;ｯ`ﾆ´ｰ-ｯ-,､:::::`"::::::::::::::;ﾞ , な！
:::::::::::::::::::::::::N. ﾞ､::::ヾ,.｀二ﾆ´∠,,.i::::::::::::::::::::/／／
:::::::::::::::::::::::::::::l ヽ;:::::::::::::::::::::::::::::::::::::::::::／ ／
::::::::::::::::::::::::::::::! :|.＼;::::::::::::::::::::::::::::::／ ／
166:anonymous
15/09/13 09:24:28.48 .net
>>164
コンフィグ見ようとするとフリーズするのは、さすがに壊れてしまっているんでは？
GUI以外の方法で、TELNETでアクセスして、show config とかしたの？
167:anonymous
15/09/13 09:30:08.63 .net
>>159
× fxw
○ fwx
一文字間違った状態でぐぐっても全く出てこないから、びっくりした。あんまり知名度高くないようだな。
168:anonymous
15/09/13 09:37:49.31 .net
>>162
yamahaはわからんけどJuniperなんかはFreeBSD使ってるね
169:anonymous
15/09/13 10:22:43.83 .net
>>166
いやいやそういう意味じゃないと思う
＞secure filter in 1 2 [1024 [1025 1026 [11 12]] 1027] 3 4
みたいなのが溢れてて一見すると固まるぜ
GUIの方には番号一切出てこないし遮断してんだか疎通してんだかわかんねーし
170:anonymous
15/09/13 10:28:35.09 .net
>>167
ここ購買担当者多そうだからPRしておくね
RTX810はVPNトンネル最大6だけどFWX120はVPNトンネル最大30
このトラップで失敗してRTX1200を泣く泣く手配した人もいるはずだけど、実はFWX120で足りるんだわ
171:anonymous
15/09/13 12:45:24.77 .net
NVR500/FWX120使ってるけど、FWX120は実はルーターとしてもかなり使える奴だ
という事実は意外と知られていない
172:anonymous
15/09/13 14:43:47.82 .net
>>166
そういう意味じゃない(´・ω・`)
正直最初は理解が追いつかない。
>>169
そうなんだよね。。。
RTXのつもりで触るとひどい目に遭う。
173:anonymous
15/09/13 18:00:24.42 .net
>>169
あ、そういうことかw
174:anonymous
15/09/13 18:24:34.98 .net
>>170
>FWX120は実はルーターとしてもかなり使える奴
URLﾘﾝｸ(jp.yamaha.com)
統計機能に惹かれた。いったいどういう使われ方をしているのか、わかりやすく表示されるのはいいな。
あと、それと、
「監視機能」も面白そう。
（運用中に攻撃者による侵入行為や攻撃行為をモニタリングします。）
いままでは、ログのrejectフィルタで、ひっかかってくるやつをピックアップしてみるくらいだけど、
わかりやすくみられるのなら試したいと思った。
ただ、GUIで設定する必要があるなら、設定し忘れがありそうで怖いな。
RTX1100なんかのコンフィグファイルベースの設定だと、慣れているからなあ。
GUIで設定したら、GUIが対応できる範囲の設定パターンにする必要がある場合、
ずっとGUIで設定し続けないといけないことになるのなら躊躇するなあ。
175:anonymous
15/09/13 18:37:18.98 .net
>>169
SRT100って、RTXとコンフィグの書き方が違ってそうだけど、
（たぶん、ファイアウォール部分 secure filter だけだと思うけど）
FWX120も、同じ記述を継承している？
secure filterと、ip filterって、どう違うんだろ。
176:anonymous
15/09/13 18:40:34.86 .net
《プレミアム会員の主な特典》
★ 2ちゃんねる専用ブラウザからの広告除去
★ 2ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net)
177:anonymous
15/09/13 19:16:19.60 .net
>>175
調べたけど、俺が勘違いしてた。
質問（secure filterと、ip filterって、どう違うんだろ。 ）を取り下げます！
でも、FWXは、面白そうだな。
透過型ファイアウォールを使えば、拠点のパケットをセンターに集めてきて、
そこでまとめて制御することもできそうなのかなと思った。
ただ、センター側ルーター自身で、拠点とのトンネルと、インターネットへのPPPoEとをつなぐから、
いくら透過型とは言っても、FWXを挟みようがないんだな。
178:anonymous
15/09/13 20:48:04.40 .net
>>177
わりい。おれもいま手元にSRT100のCONFIGないからなんとなくで書いてるだけなんだ。
実際のを貼り付けたかったんだが、マジでこんなのが出てくるから混乱するよ
10 [1 2 [3 4] 5] 11
のネストの意味が見えてくるまで少し時間がかかる
179:anonymous
15/09/13 23:08:49.02 .net
SRTとFWXはpolicy filterで動的フィルターしか無い感じ
RTXはsecure filterで静的フィルターメインな印象
180:anonymous
15/09/14 02:59:43.18 .net
>>170
ただ、RTXからの乗り換えはちょっとつらいと思うし、ファイアウォールとして使わないとすると総合的な性能は微妙。
そんなわけで、FWXにあったダッシュボード機能を継承しつつ既存ルーターの置き換えに最適なRTX1210をお勧めしたい。
181:anonymous
15/09/14 08:15:14.43 .net
>>179
静的フィルターもあるでそ＞FWX120
182:anonymous
15/09/14 08:17:00.68 .net
RTX1210いいんだけど、LANポートが全面ってのが個人的には減点ポイントなんだよなぁ
業務用は全面が普通だろうけど、このクラスまではポートは背面にあって欲しかった
183:anonymous
15/09/14 08:17:24.79 .net
×全面
○前面
184:anonymous
15/09/14 10:52:41.35 .net
>>182
前面だとなぜ不便になりますか？
ネットギアのハブも前面だったので、バッファロのハブからの変更では、LAN配線が手間取ったけどな。
前面にあったほうが、収納棚に入れた時に、配線とステータスLEDが両方見えて、便利だと思うんだが。
185:anonymous
15/09/14 10:54:49.30 .net
>>182
RTX1210って、十分業務用じゃんか
少なくとも、プロバイダ用ではないと思うけど。
霞が関ビルの接続くらい、かろうじて一台で賄えるんじゃないか。
186:anonymous
15/09/14 10:58:24.68 .net
まぁ前面にするのは、大抵ラックマウントの事考慮してるからだと思うが、
その辺は企画時にどっちに重点置くかって問題だしな。
そっちの要望が大きかったんじゃないの。
187:anonymous
15/09/14 10:59:14.31 .net
>>180
RTX系（RTX1000～）をずっと使って来たという人なら、
FWXは傍流のように感じるんだろうな。
RTX1210の次くらいで、FWXとの統合が果たされてほしいね？
188:anonymous
15/09/14 11:24:06.14 .net
>>187
透過型ファイアーウォールのFWXと、ルーター機能のRTXとでは、
思想が異なるので、統合は無理っぽいと思った。
木に竹はつげないね。
ポリシー型フィルターも、純粋なルーター機能への妨げになるかもしれないからなあ。
それを考えたら、LINUXは、自身でサーバーも動作させないといけないので、
INPUTチェインなんかも必要になってくるわけだね。純粋なルーターとは違うわけだ。
189:anonymous
15/09/14 11:26:03.97 .net
>>186
たしかに、たんに机の上に置くだけだったら、
前面にあるととってもジャマになる
190:anonymous
15/09/14 12:55:51.73 .net
環境はRTX1200（最新ファーム:Rev.10.01.53）で、L2TP/IPsecを、Windows 8.1から使っています。
問題なく認証、通信できていました。
ところがトンネルを経て通信最中に、ベースのwifiも、VPNも切断しないで、Windowsをシャットダウンしたら、
以後、Windowsを再起動しても、同様の手順でVPNをつなごうとしても、応答されなくなってしまいました。
同様の経験あるかたいらっしゃいますか。
たぶん、RTX1200が、IPsec処理で戸惑っているのではないかと思うんですが。
この不具合って、確か解消されたはずだと思っていたんですが。
191:hage
15/09/14 13:12:45.85 .net
魔法のおまじない
ipsec auto refresh on
は書いてある？
192:anonymous
15/09/14 16:54:09.13 .net
>>191
レスありがとうございます。
PPにバインドしているトンネル設定には、
ipsec auto refresh onがありました。
なんかの拍子でリフレッシュされない状態になったんでしょうか。
追伸：別のトンネル定義なんですが、ipsec auto refresh onが抜けているものがあるのを発見！
いつもルーターの再起動のたびに、拠点と接続できなくなっていました。
でも、今回の問題には見当たりませんでした。
193:anonymous
15/09/14 17:15:08.97 .net
ログをみたら、たぶん、設定の問題ではない感じがした。
最初、問題なく接続できた。
11:27:05: [IKE] respond ISAKMP phase to
11:27:07: [IKE] respond IPsec phase to
11:27:07: IP Tunnel[] Up
11:27:07: [L2TP] TUNNEL[] connected from
11:27:07: [L2TP] TUNNEL[] tunnel 42**7 established
11:27:07: [L2TP] TUNNEL[] session 3*8*8 established
11:27:10: PP[ANONYMOUS] Call detected from user
11:27:10: PP[ANONYMOUS] PPP/IPV6CP up
11:27:11: PP[ANONYMOUS] PPP/IPCP up (Local:, Remote:)
★このトンネルとは関係ない別のトンネルの複数の再構築作業の割り込みがあったようだ（これが怪しい）
11:58:05: [IKE] respond ISAKMP phase to
12:01:32: [IKE] respond ISAKMP phase to
12:01:37: [IKE] respond ISAKMP phase to
12:01:56: [IKE] respond IPsec phase to
12:03:17: [IKE] respond ISAKMP phase to
12:03:28: [IKE] respond IPsec phase to
12:04:04: [IKE] respond IPsec phase to
12:04:16: [IKE] respond ISAKMP phase to
12:04:50: [IKE] respond ISAKMP phase to
12:05:49: [IKE] respond IPsec phase to
12:05:50: [IKE] respond IPsec phase to
12:06:05: [IKE] respond IPsec phase to
194:anonymous
15/09/14 17:16:43.78 .net
たぶん、ここでPCをシャットダウンしたのではないかと思う。（ちゃんとディスコネクト処理されている！）
12:09:05: [L2TP] TUNNEL[] disconnect session 3*8*8 complete
12:09:05: [L2TP] TUNNEL[] disconnecting tunnel 42**7
12:09:05: [L2TP] TUNNEL[] disconnect tunnel 42**7 complete
12:09:05: [IKE] initiate informational exchange (delete)
12:09:05: same message repeated 1 times
12:09:05: IP Tunnel[] Down
12:09:09: [IKE] initiate informational exchange (delete)
12:09:16: [IKE] respond ISAKMP phase to
12:09:17: [IKE] respond IPsec phase to
12:09:17: IP Tunnel[] Up
再び接続しようとしても応答しなかった。
12:13:21: [IKE] initiate informational exchange (delete)
12:30:16: same message repeated 17 times ★怪しい
12:30:23: [IKE] initiate informational exchange (delete)
13:09:13: same message repeated 6 times
195:anonymous
15/09/14 18:12:38.00 .net
show ipsec saで前のが残ってる？
196:anonymous
15/09/14 19:14:12.06 .net
>>195
レスをどうもありがとう。
それは気になるところなんだけど、でも症状が起きたとき、直後にはちょっと調べられなかった。（というか、いろいろ調べたくても外部からもはやアクセスできなかった。）
それに何度も発生するわけではない感じなので、
また、ログみて同じようなパターン（＝大量のRespondの発生）のタイミングを見計らって試せればいいかなと思う。
このとき、なんとかアクセスしようとして、症状発生時に別の外部IPv4アドレスからRTX1200にアクセスしても、受け付けてくれなかったと思う。
もちろん同じトンネル。
頻繁に症状が発生する場合にはまた投稿します。
197:192
15/09/14 19:17:49.06 .net
>>194
>12:13:21: [IKE] initiate informational exchange (delete)
>12:30:16: same message repeated 17 times ★怪しい
ごめん、これについては怪しくないみたい。
他の日のログを確認したら、けっこうたくさんあった。
198:anonymous
15/09/14 20:43:11.99 .net
>>184
>>185
>>186
>>189
思いの外反響があってちょっとびっくり
確かにちょっとした規模までなら業務用としても使えるスペックは備えてるから
理解はできるんだけど、一方で本体幅がラックに収めるほどでもないってのと
価格的にもギリ個人用に供するというポジショニングが個人的にとても悩ましい
本体サイズも比較的コンパクトだし、ラックに入れないで机の下や棚とかに
収める場合、背面ポートの方が見た目すっきりまとまっていいんだよなぁ
って思いまして
まあでもやっぱり業務用かなスペック的に
じゃあお前は家で使うとしてRTX1210のスペックをフルに使いきれるような
運用すんのかよ
って言われたらすんませんって感じだしw
ということで駄レス失礼した
199:anonymous
15/09/14 20:56:08.59 .net
>>196
SSHかPPTPかで入れるようにした方がよくね？
200:anonymous
15/09/14 20:56:52.73 .net
一時的にて意味でね
201:anonymous
15/09/14 20:59:08.19 .net
>>198
３点
１、ラックマウントあるよ
２、RTX1100や、RTX1500は、後ろ面だったよね
３、家庭用とはすごいね。ほかに選択肢がなかったのが不思議。NVRとかあると思うけど。
202:anonymous
15/09/14 22:17:30.59 .net
>>199
SSHポートを外部に開く使い方ってヤマハルーターでも一般的なんですか？
公開鍵認証とかも対応してるのかな。調べたら、URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
”公開鍵暗号方式DSAおよびRSAによるホスト認証 ”いけそうだな。
でもなんでだろう。
IPsecに信頼を置いてしまう。AESだからかな。
SSHの公開鍵方式の暗号強度って大丈夫なのかな。
203:anonymous
15/09/15 10:04:22.69 .net
《プレミアム会員の主な特典》
★ 2ちゃんねる専用ブラウザからの広告除去
★ 2ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net)
204:anonymous
15/09/15 11:27:25.06 .net
>>202
認証と、暗号化を混同していた。
IPsecでも、公開鍵認証があるくらいだから、
SSHで公開鍵で認証するのも大丈夫だろうという考えに至った。
205:anonymous
15/09/15 11:41:58.30 .net
SSHDだけでもいいから
sshd host *.jp
とかDNS名使えるようになってくれんかな
206:anonymous
15/09/15 12:42:08.55 .net
>>205
どーゆー意味？
207:anonymous
15/09/15 15:34:36.51 .net
ip filter でも同様に、
ip filter 10 pass .jp * * * *
みたいな記述できるといいね
208:anonymous
15/09/15 15:39:44.14 .net
それは逆引きが設定されていないIPアドレスからの接続はすべて拒否するってことになるよね？
(興味深いけれど実用性は皆無だと思う)
209:anonymous
15/09/15 15:50:41.76 .net
IPからドメイン逆引きじゃなくて、cc.wariate.jp みたいな、IPの所有者で割り出す仕組みがないな
210:anonymous
15/09/15 16:28:41.09 .net
ddnsみたいな場合も無理があるかな？
逆にフィルターに設定されいているFQDNを常に名前解決するような仕組みにして
内部的にはIPアドレスで設定されているのと同じように処理したら良いんじゃないかな
211:anonymous
15/09/15 16:33:44.11 .net
今日で５回目の訪問
昨日まででとうとう勝率５割越え
実行した者だけが逆玉だね
na＠mo2c※.tokyo/ps1422kzz//a963gzyo.jpeg
＠を取って ※をhに変えて
212:anonymous
15/09/15 16:38:02.13 .net
FQDNじゃなくて、*.jp と書きたいじゃん
213:anonymous
15/09/15 16:49:46.17 .net
>>207
フィルターだと逆引きの反応次第では待たされすぎて使い物にならんかもしれん
>>208
通常の国内プロバイダだと逆引きが登録されてないのなんて最近じゃあまりないから
そういうの含めてのセキュリティかな
まぁ国内を踏み台にされてたら意味ないけど
日本の法律が通用するって意味では多少はマシかと
214:anonymous
15/09/15 21:03:06.45 .net
IPSecでローカルからsshが常識
以上
215:anonymous@ngn-west-078-062-060-180.enjoy.ne.jp
15/09/15 22:15:04.37 .net
ipsecならtelnetでも良いや
216:anonymous
15/09/15 22:15:17.17 .net
>>201
RTX1100からの入れ替えで1200にすると設置スペース取るのがなぁ。カウンター下とか酷な環境に置かれてるとこ多いから
結構邪魔。
217:ANONYMOUS
15/09/15 22:17:34.96 .net
>>214
ただしい日本語でお願いします
意訳すると、
「IPsecを使えば、ローカルからアクセスするのと同じような状態になるから、
そこからsshでヤマハルーターに接続するの常識だ」ということだね。
sshでポート開放なんて非常識だとおっしゃっているんですね。
218:ANONYMOUS
15/09/15 22:18:47.28 .net
>>216
>1200にすると設置スペース取る
縦に長くなったものな
219:anonymous
15/09/15 23:32:06.37 .net
１２１０は金属で上開いてるから余計にほこりの多い環境には置きづらくなったし・・
IIJのSA-W1みたいな、無線LAN付いててハブもあって、現場にモノ送って接続するだけで使えるような
そういう製品を出して欲しいなぁって思うわ
220:anonymous
15/09/15 23:44:06.34 .net
IPSecでも
libwrap的な事はしたい
221:anonymous
15/09/15 23:48:44.73 .net
>>220
hosts.allow
のこと？
222:anonymous
15/09/15 23:58:46.23 .net
>>221
そう
223:anonymous
15/09/16 00:32:50.09 .net
>>217
>sshでポート開放なんて非常識だとおっしゃっているんですね。
この時代、もはやそうだと思いますよ？
もしそこまでして直接ssh接続したいのなら、最低限、22ポート以外に設定することは必要だと私は考えます
224:anonymous
15/09/16 00:35:34.24 .net
YAMAHAルーター自体にsshポート番号を変更する機能はないかさすがに
であればIPSec等のVPNで接続するのが現実的な解となるでしょうね
225:anonymous
15/09/16 00:46:49.22 .net
>>224
ポート変えるコマンドあるで
226:anonymous
15/09/16 01:26:55.49 .net
「sshのポート開放は危ない」
これについて、上の話題に出ていましたがIPsecとSSHと比べて、
安全性にどれくらいの差があると思いますか。
どちらも、ポート番号はウェルノウンですよね。
共有鍵か公開鍵か、IPsecも、SSHも、その選択があるくらいですよね。
たしかに、IPsecの場合、SSHと違って、トンネルがつながってから
実際の通信ができるようになるまでに、やや煩雑な手続きがあると思いますが、
それが攻撃者の避ける理由なんでしょうか。
相手のセキュリティーゲートウェイ内のネットワーク情報も知っていなければ、
通信ができないとか。
227:anonymous
15/09/16 01:58:49.63 .net
>>226
あなたは質問してるのか間違いだと主張しているのかどっちなの？
228:anonymous
15/09/16 08:59:29.82 .net
>>227
命題の集まり
229:anonymous
15/09/16 10:31:18.86 .net
>>227
SSHよりもIPSECが良いと言う根拠を求めているのだと思う
230:anonymous
15/09/16 10:33:26.32 .net
>>222
むしろたとえLINUXだったとしても、iptablesに書きまとめたい
あっちこっちに制御情報が散ると、管理に抜けが出そうでこわい
231:hage
15/09/16 10:41:31.40 .net
ヤマハルーターじゃないけど
公開鍵認証だけ有効にしてsshdを22番で公開してるけど
ポート変更なんて意味あるか？
ipsecで500/udpを変更することないし、なんでsshdだけ？って思う
まー、22番に拘る必要もないが、22番以外に拘る必要も同じレベルで、ないと思う
232:anonymous
15/09/16 10:46:08.63 .net
ポート変えれば安全になるわけでもない
IPSecに未知のセキュリティーホールが絶対にないとは言い切れないし
多層防御という観点で接続元で弾くのは基本だと思うがね
>>230
それでも構わないと思う
ただサーバー運用で考えて
外部との間にはルーターがあるので基本ルーターにフィルタリングさせて
不必要なサービスは動かさない＋tcpwrapperでアプリケーションごとに制御してるようにしてる
その方が負荷も減ると思ってる
233:anonymous@pc64e88.sitmnt01.ap.so-net.ne.jp
15/09/16 10:48:53.77 .net
>>231
攻撃試行される機会が減る、程度のものだね
やらないよりやった方がよいのは確かだろうけど
アカウントの管理がしっかりしてあるかどうかの方が重要だね
234:hage
15/09/16 10:54:40.79 .net
どこに載ってたか忘れたけどログを解析した人がいて
80/tcpより8080/tcpへのアタックのほうが多かったって分析してた人がいたな
235:anonymous
15/09/16 20:12:29.96 .net
8080はなんか大事なサービスを隠してそうだからな
236:anonymous
15/09/16 20:45:01.74 .net
オープンproxyを探してるのが多いんじゃないの？
あとは簡易WEBサービスとかでろくにセキュリティホール潰してないのがごろごろしてそう
237:anony
15/09/16 21:19:00.58 .net
ポートスキャンかければsshdのポートがバレるし、普通にスキャンされてると思うけど
22番じゃなかったときのほうが執拗な攻撃を受けそうな気がする
堂々と22番で構えてるところは、よほど自信あるんだろう
番号かえてるとこは、どうせ下らないパスワード認証だろう
そんな風で
238:anonymous
15/09/16 21:42:21.89 .net
国内に限るフィルタリングって煩雑だろうか。
ネットワークアドレスの指定で、数個の政敵フィルタで済めばいいんだけど、
そうはいかないんだろうな。
それができたら、SSHポートもさぞかし安心のはず。
無駄に世界にオープンにする必要なんてないんだし。
239:anonymous
15/09/16 22:20:40.50 .net
>>237
いやよほど著名なサイトやサーバーでもないかぎり、デフォルトデフォルト入れるところを探して入る
わざわざ難易度の高いところを選ぶのはよっぽどの暇人か、侵入すること自体に価値を見いだしてるキティさんだけ
240:anonymous
15/09/16 22:47:12.92 .net
>>229
SSH単体よりもIPSec+SSHの方が単純にセキュリティ強度が高いというだけかと
241:anonymous
15/09/16 22:48:45.80 .net
>>226
それ以前の問題で、ヤマハルーターではSSHフォワーディングができないから、IPSecとSSHは同列に語れないものだと思うのだけど、どうなのだろう。
どういう意味合いで話が進んでるのかがわからん。
ヤマハルーターにとっては、IPSecはVPNするときに使う暗号化プロトコル、SSHはルーターにCLIで遠隔ログインするために使う暗号化プロトコルつて位置付けな気がするけど、ちがうん？
IPSecで遠隔ログインできるの？
242:anonymous
15/09/16 23:11:03.20 .net
>>241
可
IPSecでローカルIPからSSHログインする
243:anonymous
15/09/16 23:24:34.11 .net
>>241
もう少し補足しとくと、IPSecと併用すれば、22番ポートは内向きだけ開けとけばいいことになる
244:anonymous
15/09/16 23:27:25.85 .net
内向きってのは語弊があるな
WAN側ではなくLAN側という意味
245:anonymous
15/09/16 23:49:06.96 .net
>>240
IPsec突破されたら、ルーター内部どころか、LAN内への侵入は自由になっちゃう
246:anonymous
15/09/16 23:51:39.11 .net
>>241
>ヤマハルーターではSSHフォワーディングができないから、IPSecとSSHは同列に語れない
ん？どういうこと？
247:anonymous
15/09/16 23:59:16.70 .net
>>244
そうだね。
IPsecを併用すれば、ルーター自身のアドレス宛:23（SSH）パケットについては、
そのソースアドレスをローカルネットワークに限ればいい（スタティックPASSフィルタをセット）よね。
248:anonymous
15/09/17 00:15:54.65 .net
>>246
すみません、わかった。
ポートフォワーディングのことだと思って合点がいかなかった。
SSHトンネルのことね。
249:anonymous
15/09/17 00:18:16.01 .net
>>241
>ヤマハルーターにとっては、IPSecはVPNするときに使う暗号化プロトコル、SSHはルーターにCLIで遠隔ログインするために使う暗号化プロトコルつて位置付けな気がするけど、ちがうん？
その通りです。
250:anonymous
15/09/17 00:35:36.81 .net
極端な話PCとルーター間でL2TP/IPsecつかってそのルーターにログインするならtelnetでもいいんじゃねって思うけどね
上の話にもでてるL2TP/IPsecの挙動がおかしいならSSHで入って確かめろって感じ
SSHとIPsecどちらが脆弱性があるかといわれるとバグ的なものであればどちらも可能性がある
どちらもヤマハの場合は公開鍵に対応してないのでセキュリティ云々であれば内部にSSHのサーバー用意して公開鍵認証でもすればよいが
管理コストや利便性を考えてポートスキャン的なアタックならパスワードの強度があれば普通は気にするほどでもないと思う
251:anonymous
15/09/17 08:33:19.84 .net
/:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::ヽ
/:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::://ヽ:::::::::::::::|
l:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::// ヽ::::::::::::::l
l:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::/:::「'ヽ:::::::::::// ヽ:::::::::::|
|::::::::::::::::::::::::::::::::::::::::::::::::::::::::::ﾉl:::ﾉ l:::::::／ ヽ::::::::|
ﾉ:::::::::::::::::::::::::::::::::::::::::::::::::::::／ ﾞﾞ ﾉ:::/ ,,;;;;;;,, ,,,,ヽ:::::l
）:::::::::::::::::::::::::::::::::::::::::::::::／ ノ／ ＿＿,'''i: ('''＿_）:::l
）::::::::::::::::::::::::::::::::::::::::::::::::::/ ￣￣ン:. :「￣`ヾ
1:::::::::::::::::::::::「 ｀┤l:::::::::::::::::l ￣ , ヽ￣ l
｀l:::::::::::::::::::::ヽ :l li:::::::::::::/ /´ ｀l | ＜ウﾞッ！！！
ヽ::::::::::::::::::::::＼_」 lヽ::::／ !:-●,__ ノ /
ノ:::::::::::::::::::::::::::ﾉ | l ｀ﾞﾞ ,,;;;;;;;;;;;;;;;;;;;;, /ヽ
,／ ヽ::::::::::::::::::::::（ l l::::::::.. /.:''／´￣＿ｿ / ｀ヽ
ヽ:::::::::::::::ヽ | l:::::::::::... /::/／￣￣_ソ / ＼
ヽ:::::::＼| l::::::::::::::::... / :::.ゝ｀￣￣／ ／ ヽ
ヽ:::l l:::::::::::::::::::.. ￣￣;;'' ／ ヽ
l l;;;;;;:::::::::::::::.....;;;;............;;;;;;''ノ l
l l ''''''''''''''''''''''''''''''''''''''￣l | |
URLﾘﾝｸ(y2u.be)
252:anonymous
15/09/17 11:01:28.13 .net
>>250
>ヤマハの場合は公開鍵に対応してない
え、そうなの！
自分の公開鍵をrtxに登録して、認証を受けるような使い方はできないのか。
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
ここにあるのは、クライアントだけなのか。
253:anonymous
15/09/17 15:29:35.49 .net
>>247
>ルーター自身のアドレス宛:23（SSH）パケット
>ルーター自身のアドレス宛:23（SSH）パケット
>ルーター自身のアドレス宛:23（SSH）パケット
254:anonymous
15/09/17 17:17:50.42 .net
>>253
何が言いたいのか謎
255:anonymous
15/09/17 17:20:49.65 .net
22じゃないから突っ込んでるつもりじゃね？
256:anonymous
15/09/17 23:03:21.89 .net
TELNETの方が原始的なプロトコルなのに、23だとは。
257:anonymous
15/09/18 09:06:54.03 .net
敢えて23ポートに変えてるのかもしれない
258:anonymous
15/09/18 09:10:37.77 .net
ﾟ.ﾉヽ
ﾊﾞﾝﾊﾞﾝﾊﾞﾝﾊﾞﾝﾊﾞﾝ ､-' `;_''
ﾊﾞﾝﾊﾞﾝﾊﾞﾝﾊﾞﾝﾊ (,(~ヽ'~
ﾊﾞﾝ ∧__∧ ﾊﾞﾝ ,i`'}
（∩`･ω･）_ ,i i
ﾉ ﾐつ､ _/ i
と<~_~_-~=､ ,,-,/' ミ ﾎﾟｲｯ
{~''~>`v-''`ｰﾞ`'~ ミ <丶｀Д´>
ﾚ_ﾉ <丶｀Д´>
ﾎﾟｲｯ
259:anonymous
15/09/18 11:34:56.29 .net
>>257
意味がわからない
260:anonymous
15/09/18 11:42:14.56 .net
>>252
RTXがサーバーとして振る舞い、
クライアントを電子証明書で認証する場合、認証局に証明書の正当性を問い合わせる必要もあるから、
実装が大変なのかもしれない。
ルーターにこういう電子証明書基盤を実装しないのは一般的なのかな？
だからと言って、sshdは単純に公開鍵で認証するようにはしてほしいな。
261:anonymous
15/09/18 11:51:03.15 .net
>>250
まさに、そういう場合はtelnet使っている。
dosプロンプトで、簡単に使えるからな。
L2TP/IPsecがおかしくなった場合備えて、別拠点にも、
アクセスポイントとして待機させておくこともできるよね。
もちろん、VPNで相互に接続しているものとする。
公開鍵認証ができるSSHサーバーくらいなら、ラズパイで十分そう。
難しいポート番号を、ラズパイにポートフォワードしておけばいい。
それやって見ようかな。
262:anonymous
15/09/18 14:22:07.04 .net
rtx1210と、rtx1200の、ipsecの実装って全く一緒なのかなあ
openswanと繋がらなくなったら困るんで躊躇してる
なにせなんとかつながっている感じだし、サポートされてはないものな
263:anonymous
15/09/18 14:31:53.45 .net
. ) （ 、
; （ ) '
ｏ＿＿＿, . （、. ' ⌒ ` ）
/ ~ヽ (. : ） , ( '
/ .／￣￣； ) （ . ⌒ ）
/ / `‘| ' ` ”, ）
＿＿＿＿__ . / | ./ /
／＿＿＿＿＿＼ / ＼＿＿／ /
.｛＿＿＿＿憂●國｝ / /
ﾉ|ミ/ ー―◎-◎-） /￣￣￣￣￣￣￣￣￣￣
ﾉﾉ（６ (_ _) ） ./
ﾉ/ ｜ ∴ ノ ３ ） /
ﾉ/ _ ＼ _ノ ./
. ﾚ /^ ～"￣,￣￣〆⌒,
| ,＿_＿ﾞ＿__､rヾｲ
264:anonymous
15/09/18 14:49:51.28 .net
>>262
かわらんと思うぞ
てかそんなにシビアならファーム更新するのも危険じゃね？
265:anonymous
15/09/18 16:00:26.21 .net
>>264
うん、そう思ってrtx1200のファームアップデートできなかった。
最近、新しいrtx1200を買って、最新ファーム（といっても、2013年もの）を入れて試した。
問題なくopenswanにつなげられた。
しかし、今後もそれが維持できるかどうかはとても心配。
linuxではopenswanが標準なので、ぜひヤマハのルーターも対応してほしいところ。
openswanとrtxとの接続は制限があるので工夫が必要だから、面倒くさいね。
266:anonymous
15/09/18 16:04:19.15 .net
openswanの派生のlibreswanが、今の標準になっているようだね。
CentOSでもlibreswanになったと思う。
267:anonymous
15/09/18 16:19:01.81 .net
ルーターはいろいろつながってこそ価値がある
268:anonymous
15/09/18 16:50:36.09 .net
個人ならともかく法人向けは対向で使えって話じゃね？
269:anonymous
15/09/18 23:19:03.23 .net
クラウドに、rtxを設置してくれればいいんだけど、
そんなはずはないからなあ
270:anonymous
15/09/19 13:14:00.32 .net
ポート番号変更って結構やるよね。
271:anonymous
15/09/19 13:55:38.67 .net
>>270
興味本位のアクセスならごまかせる
272:anonymous
15/09/19 14:09:06.32 .net
::::::::::::::::...... ....::::::| |::::::::::::.. ...: ::::::::
:. .::::::::........ . .::::::::::::::::::: | ........... ..:::::
:::: :::::... . .... .. . ヽ / . . . ... ..::::: . .. .
＼ ／
－ー
∧__∧
<｀∀´*>y━~~ ＜ 仕事の後のトンスルは最高ニダ
（つ目 ）
TTTTTTTT|TTTTT
￣￣￣￣￣￣￣￣|
パチスロ獣王 |
273:anonymous
15/09/19 15:25:20.97 .net
休みだ！
ネットワークの拡張工事やるか。
遠隔地のルーターには、作業前に念のために、Restertスケジュールをセットするのを忘れずに。
さもなければ、せっかくの休みがつぶれることになるからね。
274:anonymous
15/09/19 16:55:12.79 .net
,, -―-、
／ ヽ
／￣￣／ ／i⌒ヽ､| オエーー！！！！
/ （゜）/ ／ /
/ ト､.,../ ,ー-､
=彳 ＼＼‘ﾟ。､｀ ヽ。、ｏ
/ ＼＼ﾟ。､。、ｏ
/ /⌒ ヽ ヽU ｏ
/ │ `ヽU ∴ｌ
│ │ U ：l
|：!
Ｕ
275:anonymous
15/09/20 10:12:27.77 .net
>>273
Restartコマンドの間違いだろ
276:anonymous
15/09/20 10:14:52.31 .net
,, -―-、
／ ヽ
,;-‐─-- ､ ／ ／i⌒ヽ､| オﾞエﾞｪｪｪｪーー！！！！
／:: ＿ ､ :/ ／:::/ ｳﾞﾎﾞﾛﾛｫｲﾛﾛﾛﾛﾛｲ
/::::: ::i´(:･:)ﾞi:::/ ／::::::/ ｡ﾟ
/:::::: :;ヾ､ ,,ﾉ;;//｡っ つﾟ ｏﾟ
=彳:::U ､::::ﾞﾞ";;;''＼＼‘ﾟ。｀ｏ、ｏ っ
/:::::: ＼＼ﾟ。､。、っｏ
/:::::::: U /ｰ'⌒`ヽ U;;::;;::ｏミﾐ@ っ
/:::::::: U （ `:､U:;:;ｏ::;;｡ ﾟｏ
/::::::::::::: ｀ヽｸﾞｸﾞ ﾟ（ ｏ::｡0:::;;ｏ::）ﾟ ｡ ﾋﾞﾀﾋﾞﾀﾋﾞﾀﾋﾞﾀ
/:::::::::::::::::: ､::: :::） ）:::;;巛《;;::::::ﾉ ｡ ｏ
277:anonymous
15/09/20 10:50:48.32 .net
ーアスキー貼っている奴に通告ー
アスキー貼っているやつ！
ちょっと妨害がひどいな。
運営に報告して身元を割り出して対処してもらおうと思う。
（ 正当な理由があれば、身元の請求が可能。 ）
もうやめておけよ。
278:anonymous
15/09/20 15:40:14.39 .net
／ ／
,イ /
／/ URLﾘﾝｸ(ascii.com) |
/ ,ｨ介i | う ぶ き
{. |l ,ｲ ///|｜ | ち っ え
,-.､Vl / | /// | | ｣ に と ろ
lこ!l ! ﾄ ト.l | !i | ヽﾄ､＜ な ば
| l Vヽ ﾄjヽ＼!l ,＞‐_ニヽ さ
| | ＼ ! く__・､jiLノ・_´フ .|｜ れ
| ｜ __ ヽ｝ -‐ -─‐ ﾚﾍ. ん
_r‐j >イ fヽ l ﾉ __ ,ｲ-ﾊ
/ ′､ i {ノ-､ ヽ ｀t_／ ／| /´ヽ
〈 ヽ l | } ＼ -' j | ＼
ヽ / | ￣ L
ヽ / -─ フ′ ｀ヽ─- ､
ヽ ヽ ／｀ｰ-､ ,. -─ '/ ー- ､
f‐--─ 'ヽ { ~ ／ ／, -─‐-＼
／| | ヽ ／ /／／ ヽ
279:anonymous
15/09/20 23:03:14.30 .net
>>273
2chでその技を知ったときは目からビームだったわ。
たまーにタイマ解除忘れちゃうけど
280:anonymous
15/09/20 23:58:42.20 .net
>>279
フィルタ、ルーティング、NATの設定でミスったら終わりだものなあ。
ところでうちは、ルーターの安定化のために一日一回は再起動させているよ。
（ipアドレスが変化するのでセキュリティー対策にもなるかなと。）
281:anonymous
15/09/21 00:05:21.74 .net
もっと言えば、重要な設定の前に、たとえば30分先にRESTARTタイマーをセットしている。
さすがに、たとえ設定をミスってアクセスができなくなったとしても、その再起動待ちが数時間も困るから。
タイマーセットされると緊張するので、設定が完了して通信が正しくできていることを確認してSAVEコマンドを打つまでの時間も短縮されるようだ。
もちろん人による。
ノートにしっかりコマンドを書いて、それを入力する人もあるだろうし、
ソラで直接コマンド入力する人もいる。（←ルーターを扱う能力は高まる。IPsecトンネルの場合なんかは、いろいろすべて考慮する必要があるので。たいてい、うまくいかずに悩むことになる。）
282:anonymous
15/09/21 07:50:15.64 .net
1002 ：１００２ [] ：Over 1000 Thread
２ちゃんねるの運営はプレミアム会員の皆さまに支えられています。
運営にご協力お願いいたします。
──────────
《プレミアム会員の主な特典》
★ ２ちゃんねる専用ブラウザからの広告除去
★ ２ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net)
283:anonymous
15/09/21 11:04:33.86 .net
>>280
意味あるの？
284:anonymous
15/09/21 11:43:19.36 .net
ないと思う
285:anonymous
15/09/21 13:08:38.21 .net
ipアドレスを変化させられる。
初期状態に戻ることで安定化できる。
286:anonymous
15/09/21 13:35:31.03 .net
>>285
安定化ってのがプラシーボ以上の目的と効果(メモリリークのバグあるので定期的に再起動必要、など)あるなら理解できるのだけど、電圧変化加え続ける方がH/W的には負荷にならないかなー、とも思って
アドレス変えたいだけならpp再接続などでも良さそうかなーと。
287:anonymous
15/09/21 13:46:16.71 .net
そもそも再起動によって安定度が変わるルーターは設計としてNG
PPPoEによる割り当てIP変えたいなら既出のとおり再接続でOK
288:anonymous
15/09/21 18:24:43.64 .net
>>263,272
ネトウヨ死ねカス
289:Anonymous
15/09/21 20:58:58.92 .net
,, -―-、
／ ヽ
,;-‐─-- ､ ／ ／i⌒ヽ､| オﾞエﾞｪｪｪｪーー！！！！
／:: ＿ ､ :/ ／:::/ ｳﾞﾎﾞﾛﾛｫｲﾛﾛﾛﾛﾛｲ
/::::: ::i´(:･:)ﾞi:::/ ／::::::/ ｡ﾟ
/:::::: :;ヾ､ ,,ﾉ;;//｡っ つﾟ ｏﾟ
=彳:::U ､::::ﾞﾞ";;;''＼＼‘ﾟ。｀ｏ、ｏ っ
/:::::: ＼＼ﾟ。､。、っｏ
/:::::::: U /ｰ'⌒`ヽ U;;::;;::ｏミﾐ@ っ
/:::::::: U （ `:､U:;:;ｏ::;;｡ ﾟｏ
/::::::::::::: ｀ヽｸﾞｸﾞ ﾟ（ ｏ::｡0:::;;ｏ::）ﾟ ｡ ﾋﾞﾀﾋﾞﾀﾋﾞﾀﾋﾞﾀ
/:::::::::::::::::: ､::: :::） ）:::;;巛《;;::::::ﾉ ｡ ｏ
290:Anonymous
15/09/21 20:59:39.47 .net
／ ／
,イ /
／/ URLﾘﾝｸ(ascii.com) |
/ ,ｨ介i | う ぶ き
{. |l ,ｲ ///|｜ | ち っ え
,-.､Vl / | /// | | ｣ に と ろ
lこ!l ! ﾄ ト.l | !i | ヽﾄ､＜ な ば
| l Vヽ ﾄjヽ＼!l ,＞‐_ニヽ さ
| | ＼ ! く__・､jiLノ・_´フ .|｜ れ
| ｜ __ ヽ｝ -‐ -─‐ ﾚﾍ. ん
_r‐j >イ fヽ l ﾉ __ ,ｲ-ﾊ
/ ′､ i {ノ-､ ヽ ｀t_／ ／| /´ヽ
〈 ヽ l | } ＼ -' j | ＼
ヽ / | ￣ L
ヽ / -─ フ′ ｀ヽ─- ､
ヽ ヽ ／｀ｰ-､ ,. -─ '/ ー- ､
f‐--─ 'ヽ { ~ ／ ／, -─‐-＼
／| | ヽ ／ /／／ ヽ
291:anonymous
15/09/21 22:59:40.70 .net
>>286-287
# disconnect pp番号
# connect pp番号
こんな風に、連続してコマンドが必要になるでしょ。
それに、ディスコネクトが正常に終わらないうちに、コネクトすると、エラーが発生しそうで不安
>電圧変化加え続ける方がH/W的には負荷にならないかなー
そうなんですか。コンデンサとか、トランジスタなんかに負荷がかかって、痛むの？
一瞬、ハードディスクに負荷をかけないように、再起動せずにスリープにしないさい
という言葉を思い出した。
電子デバイスにもこういう物理的な影響によるダメージがあるとは考えたことなかったんだけど。
292:anonymous
15/09/21 23:58:51.88 .net
切断したら明示的にコマンド発行しなくても接続してくれるし
失敗してもトライし続けるだろうし
同じアドレス使い続けることにセキュリティリスクあるとは思えんが
訴訟リスク負う様な悪意ある書込みでもしてるんか？
293:anonymous
15/09/22 00:32:16.33 .net
>>292
でも、keep aliveの設定が必要なのかな。
いやたとえば、メールをsmtp送信したら、
メール受信した相手側でヘッダー情報からこっちのIPわかっちゃうでしょ。
これって怖くないですか。
まあ、もちろん、ルーターは完璧にフィルタしているけど。
ddosなんかされたら嫌じゃないか。
もし怖くないというのなら、このスレッドで皆、anonymousにする必要もないわけだし。
294:anonymous@FL1-125-197-130-243.stm.mesh.ad.jp
15/09/22 01:35:03.50 .net
>>291
つエレクトロマイグレーション
295:anonymous
15/09/22 01:45:45.68 .net
>>294
>電子と金属原子の間で運動量の交換が行われるために、イオンが徐々に移動することで材質の形状に欠損が生じる現象
ほんとに？これって物理的なダメージじゃないか。
って、普通に使っていても、同じことが起きるでしょ！！
296:anonymous
15/09/22 01:59:51.04 .net
>>295
>運動量の交換
衝突しているのやね
297:anonymous
15/09/22 02:18:15.42 .net
まあエレクトロマイグレーションが問題になる程電流密度が高い部分は
ルーターにはないから気にしないでいい
298:anonymous
15/09/22 02:47:37.51 .net
>>293
サービス影響出る規模のDDoSに対して同じISPの動的IPが少し変わったくらいで安心できる気持ちが良くわからん。
メールで送信元ip割れたらDDoS喰らいかねない使い方しててビビってるだけ？
299:anonymous
15/09/22 05:31:52.43 .net
>>298
いつまでも固定されているのは気持ち悪いやん
300:anonymous
15/09/22 07:29:58.95 .net
>>286
torrentによる通信でよく再起動してくれたよね。
301:anonymous
15/09/22 11:08:49.72 .net
>>297
マイグレーションの時代だけど、該当しなくてよかったな
電車とかマイグレーションやばそう
>>300
機種？
302:anonymous
15/09/22 11:11:32.92 .net
>>301
電車は電流大きい分架線や電車内配線、モーターの電機子巻線とかは太いから電流密度自体はそうでもない
303:anonymous
15/09/22 11:15:32.81 .net
>>302
じゃあ、送電線かな。
304:anonymous
15/09/22 11:26:24.01 .net
>>293
通常は
pp always-on on
かと
305:anonymous
15/09/22 11:59:23.98 .net
>>303
じゃあの意味がわからんが、当然EMが問題にならないように電線を選ぶわけであって…。
306:Anonymous
15/09/22 14:32:30.36 .net
>>289>>290
死ねカス
送電線やばいぞ
307:anonymous
15/09/22 14:46:02.70 .net
>>305
無酸素銅のことかな
308:anonymous
15/09/22 14:55:44.70 .net
>>304
気になったので調べたら、
pp always-on on
pppoe auto connect on
pppoe auto disconnect off
ってなっていたわ。
・pppoe auto connect（初期値、on）
選択されている相手に対して、PPPoE のセッションを自動で接続するか否かを設定する。
・pp always-on on
起動時に接続を起動し、通信終了時には再接続を起動し、キープアライブ機能により接続相手のダウン検出を行う
以下のコマンドが設定されている場合、switch を on に設定した時点で接続処理が行われる。
PPPoE 接続
pppoe use
pp enable
要するに、ベースとして、pppoe auto connect onになっていて許可されている場合（デフォで、許可）に限って、
pp always-on onでいう常時接続が許可されるということみたいだな。
309:anonymous
15/09/22 17:50:27.43 .net
ノ´⌒ヽ,,
γ⌒´ ヽ,
／／ ""⌒⌒＼ ）
ｉ / ＼ ／ ヽ ）
!ﾞ (･ ）｀ ´( ･） ｉ/ >>307 そうだ、無酸素銅の時代だ
| （__人_） | 電気代やばいぞ
＼ ｀ー' ／
/ ＼
| ヽ(⌒／⌒,l､ヽ
| ＼ ｀´ , <＿＿_
310:anonymous
15/09/23 00:04:56.96 .net
>>309
確かに
あれはオーディオ用だな。効果がどれほどのものか知らないけど。
311:anonymous
15/09/23 00:07:58.54 .net
送電線は、アルミニウムらしい。
312:300
15/09/23 22:26:32.37 .net
>>301
RTX1200
313:anonymous
15/09/23 23:56:17.96 .net
>>312
何がだめなんだろうね
ファームアップ最新？かな
TORRENTって、なにか特殊なの？
314:204
15/09/24 07:12:02.71 Y/DUKlFc.net
>>313
p2pだしnatのセッションをハンパなく使うからじゃない？
315:anonymous
15/09/24 12:24:26.44 .net
>>314
そんなに相手側とつながらないとだめなの？
P2Pというくらいだから、1:1かと思っていたんだけど。
316:anonymous
15/09/24 12:25:56.73 .net
P2Pでつなげたら相手から後から攻撃されていたってことはないよね
317:anonymous
15/09/24 13:16:41.62 .net
アプリケーションによって行儀わるいのはよくルーター落ちると聞いたが
318:anonymous
15/09/24 13:35:12.36 Y/DUKlFc.net
>>315
p2pという割には複数の相手からDLするし、
DL効率を上げるためだろうけど新しい相手を探すから
Natを消費してセッションのリフレッシュまで保持するのよ
p2pを使わない人にはどうでもいいけど、
管理する側からするとCPU負荷が上がるし
Natを食い散らかすから辛い
319:anonymous
15/09/24 13:40:38.04 .net
>>315
さらっと書くと、winMXのように1対1のノードでファイルを交換してると効率があまり良くないってことで、
winny以降のファイル共有ソフトはファイルを持ってるところを見つけたら片っ端から部分的にファイルをダウンロードするし、
要求があればどこにでもファイルをアップロードする。（トレント）
みんなで部分的にでもファイルをやりとりすれば効率いいし、
みんなで分けて持っておけばダウンロードするときセッション張れば早いよねってことでめっちゃセッション使うんだよね。
320:anonymous
15/09/24 15:21:57.85 .net
>>315
P2Pがなんの略かが分かってれば、
そうはならないはずなんだけどな。
Pはポイントじゃないぞ、ピアだぞ。
321:anonymous
15/09/24 19:26:18.94 .net
>>313
TORRENTでDHTを有効にするとNATテーブルが溢れるらしい
で、NATタイマーを短くするんだってさ
322:anonymous
15/09/24 22:53:30.59 .net
ん？なんか不安定だな？って思ってとりあえずGUI見ようとするとすごーく表示が遅くて
CPU負荷が100%メモリも満杯ぐらいになってたわ。
お仕置き部屋システムで幾分改善されたはず
323:anonymous
15/09/24 23:00:30.14 .net
>>322
どんな条件でお仕置き部屋へ導いているんですか？
>>319
なるほど、支流から本流が生まれるみたいな感じだな。
しかし、それでもIPv6になれば、NATを食い散らかすことなんてなくなるから良くなるのだろうなと思った。
いつ普及するのか知らないけど。うちは、IPv6だよん。
324:anonymous
15/09/24 23:06:37.01 .net
>>318
組織内で、そんなにTorrentが使われているとは思わないが、
そんなにセッション食うアプリなら、多人数が使えば、いくらタイマー短くしても終わりだね。
>>317>>322
セッションといえば、動的フィルタも動いているのなら、
CPUやばそうだな。
>>320
全体としてはこれは、多：多になるな
蜘蛛の巣の感じ、まさにネットワーク層の蜘蛛の巣!
325:anonymous
15/09/25 09:58:51.59 .net
必死な自演の既視感ぱねぇ
326:anonymous
15/09/25 16:31:16.00 .net
たしかwinnyブロック機能がRTXにも搭載されていたよね。
rtx1210にも継承されたのかしらないけど、
これのトレント版があったら便利かもしれないなあ。
327:anonymous
15/09/25 19:01:50.61 .net
２ちゃんねるの運営はプレミアム会員の皆さまに支えられています。
運営にご協力お願いいたします。
──────────
《プレミアム会員の主な特典》
★ ２ちゃんねる専用ブラウザからの広告除去
★ ２ちゃんねるの過去ログを取得
★ 書き込み規制の緩和
──────────
会員登録には個人情報は一切必要ありません。
月300円から匿名でご購入いただけます。
▼ プレミアム会員登録はこちら ▼
URLﾘﾝｸ(premium.2ch.net)
328:anonymous
15/09/26 12:28:51.70 .net
-‐…‐-ミ
.: ´ .::::::::::::::::::::..｀ヽ
. / ..::∧.:::::::∧ｲ.:::::::::::.
,′.:/＼＼/ ／∨::::::::
i.::::ｲ 匸ﾌ 匸ﾌ|::::::::{
. j/|::} u ﾑ:::::ﾊ
. j人 ｒ‐┐ 从/ おいこら！
）≧┐┌_´（
,≪圦 ｢≫､｀
/ ｀¨¨只´ ､
{ﾆﾆ! !ｌ| {ﾆ]
|::::| ﾑl! |:::|
|::::| /从 |:::|
329:anonymous
15/09/26 14:15:24.48 .net
>>326
ホント欲しい。ヤマハの中の人も言ってたけど、Winny/Share検知機能なんてルータの仕事じゃないのに
中小企業で訴求効果高いから入れたとか言ってたもん。
だから、マイナンバー特需のUTMで、日本ぽい発想の製品期待してたんだがなぁ。
みんなFortiにもってかれちゃってるよぉ。
330:anonymous
15/09/26 14:53:10.94 .net
もっとほしい。いろいろほしい。
＜基本的なもの＞
たとえば、IPsecや、SSHサービスについて、
hosts.allowみたいに、ドメイン名で接続元の絞り込みができること。
接続元プロバイダを絞り込めば、少なくとも海外からの攻撃をかわすことができる。
>>329
たしかに、ルーターの仕事じゃないものもあるかもしれない。
WINNY/SHARER検知なんて、アプリケーション層を調べるから、ルーターじゃなくて、UTMの担当だろうな。
しかし、ヤマハにはオールインワンを期待するんだよな。
RTA時代からほかのブロードバンドルーターにはない機能とそれでいて安定性の高さがあったからなあ。
こういう要望って、どうしたらヤマハに届くんだろうか。
331:anonymous
15/09/26 14:59:22.05 .net
>>329
>中小企業で訴求効果高い
WINNYやSHAREなんて、今はもう組織内ではほとんど動いていないように思う。
一時期は開発者が逮捕されるなど大きな話題になってしまっていたね。
332:anonymous
15/09/26 15:13:29.61 .net
そういうのをFWXシリーズで対応していけば良いんでは無かろうか
333:anonymous
15/09/26 15:37:08.25 .net
必死だね。
334:anonymous
15/09/26 15:43:01.95 .net
>>331
でもセキュリティチェックなんかだといまだに言われるぜ
FWXがルータ&UTMとしてベストポジションだっただけに残念なんだよなぁ。
ちょっと、いや、かなりUTMとしては独特で
335:anonymous
15/09/26 21:10:08.08 .net
,, -―-、
／ ヽ
／￣￣／ ／i⌒ヽ､| オエーー！！！！
/ （゜）/ ／ /
/ ト､.,../ ,ー-､
=彳 ＼＼‘ﾟ。､｀ ヽ。、ｏ
/ ＼＼ﾟ。､。、ｏ
/ /⌒ ヽ ヽU ｏ
/ │ `ヽU ∴ｌ
│ │ U ：l
336:anonymous
15/09/27 00:47:52.71 .net
>>332
>FWXシリーズで対応していけば
InterNET----pppoe----[RTX 1200]-[FWX]-LoacalNET
こんな感じでつながっているとき、FWXはこんな風に入るんだと思うけど、
もし、RTX1200で他拠点からのトンネルを収容していて、他拠点のインターネット向け通信（ipsecは除く）のデフォルトゲートとされていたら、
他拠点の通信は、FWXを経由しないことになってしまうんだな。
RTXシリーズに、FWXの機能が統合されれば嬉しい。
>>334
>ベストポジションだった
FWXはこれからどうなっていくんだっけ？
337:anonymous
15/09/27 01:45:37.96 .net
>>336
いや、別にこうしても構わないと思うんだが
InterNET----pppoe----[FWX]-[RTX 1200]-LoacalNET
338:anonymous
15/09/27 02:00:01.42 .net
>>336
UTMはガチでやるとなると、コストかかるから、
FWXはこのまま、マイナー路線でぼちぼちやってくんじゃね？
餅は餅屋よ、やっぱ。
339:anonymous
15/09/27 02:48:03.82 .net
>>337
仮に、インターネットへのWWWへのアクセス用のパケットにターゲットを絞ったとして、
FWXって、IPだけでなくて、PPPも読めるって言うの。
PPPって暗号化されているんじゃなかったっけ。
340:anonymous
15/09/27 09:36:26.34 .net
今の状態だとFWXを選択する意味がないんだよな。
UTMに近づけば候補に挙がるかもしれない。
341:anonymous
15/09/27 09:44:09.47 .net
>>339
FWXを透過型で使わなきゃいけない縛りでもあるのか？
342:anonymous@ngn-west-025-055-060-180.enjoy.ne.jp
15/09/27 10:11:35.78 .net
>>337
なんで荷台もあるの？
343:anonymous@s501170.xgsspn.imtp.tachikawa.spmode.ne.jp
15/09/27 12:20:36.03 .net
FWXってルータとしても使えるだろ。
344:anonymous
15/09/27 12:41:36.93 .net
うん
345:anonymous
15/09/27 13:18:39.24 .net
>>339
337はpppはFWXで終端して拠点間VPNはRTXで終端してる構成かとｵﾓﾀ。
346:anonymous
15/09/27 13:37:59.53 .net
RTXの前に置いて透過型ファイアーウォールとしてつかうんだとばかり思ってた
347:anonymous
15/09/27 15:35:47.83 .net
>>346
まあそれも想定ユースケースだけど
348:anonymous
15/09/28 01:44:43.08 .net
>>345
盲点でした！
349:anonymous
15/09/28 01:46:48.62 .net
>>345
たしかにそれでもいけますよね。
ただし静的マスカレードの設定で、UDP 500 4500と、ESPを、内側のRTX1200に投下させる設定が必要になるけど。
350:anonymous
15/09/29 08:58:50.13 .net
うん、糞だね
351:anonymous
15/10/01 00:50:30.63 .net
透過型FWって普通GWから下に置くよね
352:anonymous
15/10/01 02:51:23.55 .net
>>351
うん。
ただ、IPsecトンネルが拠点から張られているようなセンター方式になっていて、センターでFWXでまとめて処理したい場合には、
>>337のような設置をして、FWXでPPPoEセッションを張るようにする必要があるだろう。
そして、IPsecトンネルパケットについては、>>345さんの言うように内側のRTXシリーズに処理させる。
その場合、>>349のように、PPPoEを終端しているFWX内側でパケットをフォワードする処理が必要になる。
昔、光プレミアムのときPPPoEをCTUが終端していたので、CTUの設定でフォワードして、RTX1100にフォワードしてVPNを終端できた経験があるので問題なし。
透過型でFWXを設置するのなら、そういう場合は各拠点ごとに装置が必要になってしまう。
353:anonymous
15/10/03 03:03:39.23 .net
大き目の企業はなぜかシスコ使いたがるんだろうな
YAMAHAじゃだめですか？
354:anonymous
15/10/03 09:54:23.34 .net
だめなわけがない
355:anonymous
15/10/03 09:57:51.66 .net
>>353
／|
／ ｜
∧_∧,/ / ／￣￣￣￣￣￣
<.｀∀´/ /＜ どうやらあまりの人気っぷりに嫉妬してるみたいだなしんじまえ
＿/ つ/ と / ＼＿＿＿＿＿＿
~て ) / ん /
／∪ す /
＼/ る./|
＼__/, |
/// ＼_|
ωω
空中爆発まであと３０秒
356:anonymous
15/10/03 15:45:45.76 .net
>>353
「なんでそんなマイナーなメーカーを選んだんだ！」とか
「なんで既存機器と挙動の違う機器を入れたんだ！」って無茶腹切らされないから。
別分野でいうと○○ー○ー○なんか盛大にクソだけど、同様の理由で選ばれることが多いな。
357:anonymous@pdadd2828.tokynt01.ap.so-net.ne.jp
15/10/03 16:15:02.61 .net
>>356
伏せ字なしでおなしゃす
358:anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp
15/10/03 17:39:34.74 .net
なんだかんだ言ってシスコはトラブル時の対応力が違うよ。
初事例のバグとかだとUS ciscoも動いてメーカー自ら1ユーザーに代替機材提供したりして原因究明してくれるし。
ヤマハは、もしかしたら優秀なSI使えばいいのかもしれないけど、メーカーのフォローが残念。
とてもじゃないけど大規模投資で使う気にならんよ。怖すぎる。
359:anonymous
15/10/03 18:12:31.25 .net
>>353
決定的なのはそういうサポートの違いで、大企業では選ばれるわけか。
（大企業の予算なら、サポート料が高くても平気だものね）
なるほど、そういう意味で、RTXは皮肉に、中小企業向けと言っているわけか。
性能は互角、もしくは、日本で使うならヤマハのはそれ以上？
まあ、自分で設定できて、トラブルの解決もできる人間がいるのなら、
あまあまのシスコよりも、ストイックなヤマハがベストだと思いたい。
360:359
15/10/03 18:14:11.19 .net
アンカー間違った！
>>358
361:anonymous
15/10/03 18:19:00.98 .net
ヤマハも、シスコみたいに、偉そうな世界レベルの資格試験を行って、
認定制度つくれば、草の根の人たちがヤマハのサポートをするのだろうに。
362:anonymous
15/10/03 18:22:40.86 .net
>>356
ありがとう、ヤマハばかりいじっているが、自信がついたよ。
俺も、伏字がきになる。
「あ あー あー あ 」というリズムをもった固有名詞ってどこだろう。
周りを見回したけどないね。貧乏だからかな。
363:anonymous@36-3-76-8.tokyo.fdn.vectant.ne.jp
15/10/03 21:08:31.91 .net
>>359
サポートがメーカー主体のCiscoと、SIやユーザー主体のYAMAHAって感じかなあ。
そもそも金払って保守契約しないならYAMAHAの方が草の根の情報は多いかも。
うちの会社も止まっても影響少ないところはYAMAHA使ってます。
ただCiscoにも1つ文句言いたいのは、Cat3750XのCPU負荷が異常に上がるのを
バグと認めないこと。絶対おかしいと思ってる。
URLﾘﾝｸ(supportforums.cisco.com)
364:anonymous@ae076191.dynamic.ppp.asahi-net.or.jp
15/10/03 21:21:39.92 .net
>>356
ブルーコートだと思う
365:anonymous
15/10/04 00:42:39.47 .net
Black hat
Red hat
Blue Coat
Black Coat
366:anonymous
15/10/04 02:35:24.52 .net
>>363
>金払って保守契約しないならYAMAHAの方が草の根の情報は多い
なるほど。自分たちでなんとかしようとするから、
情報が多くなるわけだ。OSSに似ているな。
367:anonymous
15/10/04 19:26:46.81 .net
>>362
ふぉーてーじだかなんだか？
中小向けネットワーク屋だけど見たことない
368:anonymous
15/10/04 21:04:17.09 rieJ5dat.net
YAMAHAのルーター、インターフェースの名前(ppとかtunnelとかlocalとかppanonymousとか)
中身がどういうブロックになっていて、それぞれどこのインターフェースのことを指してるのか
さっぱりわからなくてフィルタの設定ができん…
いい資料が見つかりそうで見つからない
369:anonymous
15/10/04 21:19:09.81 .net
>>368
ここの1.6とかは？
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
370:anonymous
15/10/04 22:13:56.44 rieJ5dat.net
>>369
ありがとう！
こういう図を探してました
ちなみにもしわかれば教えて欲しいのですが、外部からIPSecでローカルIPをDHCPで
取得して、
そのパイプ経由でWAN（インターネット）に繋ぐ場合の経路としては下記でいいんでしょうか？
外部PC
↓（インターネット）
回線(PPPoE)
↓
PPインターフェース
↓
NAT(PP)in
↓
NAT(TUNNEL)out
↓
TUNNELインターフェース
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)out
↓
PPインターフェース
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー
371:anonymous
15/10/04 23:49:51.02 .net
>>370 こんな感じじゃない？
①トンネル(IPSec)の通信
外部PC(パケットをカプセル化)
↓（インターネット）
回線(PPPoE)
↓
PPインターフェースin
↓
NAT(PP)
↓
フィルタリング↓
↓
ルータ自身(カプセル化解除)
②トンネル内を通る通信
外部PC(①でカプセル化を解除したパケット)
↓
TUNNELインターフェースin
↓
フィルタリング↓
↓
ルーティング
↓
フィルタリング
↓
NAT(PP)
↓
PPインターフェースout
↓
PPPoE(回線)
↓（インターネット）
インターネット上のWebサーバー
372:anonymous
15/10/05 00:45:18.22 lmIog3wp.net
>>371
ありがとうございます！
今までずーっとフィルタ設定と格闘しておかげさまでとりあえず開通は出来ました
リモートアクセスVPN(Anonymous)で設定したためか、PPANONYMOUS→WAN側ポートの
フィルタを開けてやらないとダメなようです
逆にTUNNEL→WAN側は空いてなくても行けてしまいます
どうやら、IPSecで暗号化されたものがTUNNELインタフェースを通ってルータ本体（LOCAL？）
に入って、それがPP(Anonymous)インタフェースに届いて、そんでもってそこからWAN側へ
パケットが流れているようです…
まだいまいち解せない感じなのですが、一応そのルートのフィルタが通っていると大丈夫でした
何れにしてもありがとうございました！！
373:anonymous
15/10/05 00:48:28.00 .net
今時単純なパケットフィルターもしんどいよなー。
上りと下りいちいち書いたりとか、面倒すぎる。
ファイアウォールのポリシーフィルターをルータにも実装してもらいたい。
中国版RTX1200はなぜかファイアウォール機能付いてるのに。
374:anonymous
15/10/05 01:09:19.34 .net
>>372
L2TP/IPsecなんですか？
375:anonymous
15/10/05 01:12:32.31 .net
>>373
動的なフィルタリングじゃだめなん？
376:anonymous@pdf87554b.tokynt01.ap.so-net.ne.jp
15/10/05 01:17:08.71 .net
>>374
はいそうです！
377:anonymous
15/10/05 01:19:16.77 .net
ポリシーフィルターで行けましたよ
378:anonymous
15/10/05 01:23:47.31 .net
プロトコルオーバーヘッドだね
379:anonymous
15/10/05 01:28:42.43 .net
>>378
確かにそうとうヘッダーがくっついてます
380:anonymous
15/10/05 01:29:44.07 .net
>>379
まあ、必要だから仕方がないんだけどね
381:anonymous
15/10/05 01:30:58.47 .net
>>380
そうですねw
382:anonymous
15/10/05 01:32:43.95 .net
>>372
>まだいまいち解せない感じ
ある程度は、文法や、必要なインターフェイスなどから、
内部の概念をあいまいにつかめる。
しかし、プログラミングみたいに、はっきりとその内部構成はわからなかった。
とくに、L2TP/IPSECは、L2TPのリスナーをスタートさせている必要があるけど、
PP ANONYMOUSとどう同調しているか説明できなかったな。
383:anonymous
15/10/05 01:34:11.15 .net
まあ、でもがんばってみてください。
384:anonymous
15/10/05 01:46:39.61 lmIog3wp.net
>>382
そうなんですよ
そこが私もよくわからなかったんです
LOCALというのはルーティングブロックのことを指していると思うのですが、
TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
そうするとどういうわけかPP ANONYMOUSからパケットが出てくる（ようにみえます…）
で、この時点ではローカルネットワークで流通可能なパケット（カプセル最内層のIPパケット）
になっていて、あとはそれを必要なポートに流れるようフィルタを組んでいく…
今のところ、このような理解です
>>383
まだまだ勉強が必要ですが、とりあえずどうもありがとうございました
385:anonymous
15/10/05 07:45:28.97 .net
___
. | |
| |
| |
[二二二二二二]
〈 〉
. ／＿＿＿＿＿ ＼
| |
386:anonymous
15/10/05 08:20:17.52 .net
>>385
なんだよそれ
387:anonymous
15/10/05 13:43:53.34 .net
>>384
>TUNNELから出てきたパケットをとにかくまずLOCALに渡してやる必要がある
>そうするとどういうわけかPP ANONYMOUSからパケットが出てくる
TUNNEL と、PP ANONYMOUSとが、バインドしている。（PP ANONYMOUS の定義で、TUNNELを指定している）
対向 ⇔ ----(IPSEC)---- 「 TUNNELインターフェイス ⇔ -----(L2TP)----- 「L2TPサービス＜協調＞PP ANONYMOUS」 ⇔ LANインターフェイス」 ⇔ pc
こんなイメージじゃないかな
388:anonymous@p2082-ipbf2008hodogaya.kanagawa.ocn.ne.jp
15/10/09 07:51:52.01 .net
最近中古で買って弄ってるんですけどフィルタについて教えてください
ネット上の設定例などで明示的にdefaultフィルタを定義してるのはどうしてでしょうか？
また、定義しなくてもrejectされるstaticフィルタをあえて定義しているのはログを見やすくする為ですか？
389:anonymous
15/10/09 08:19:26.81 .net
>>388
基本的にフィルターは入れないと機能しないから入れてるわけで、入れないで機能するフィルターってのはない。
敢えてあるとしたら全てをパスするフィルターぐらい。
フィルター以外の設定でも、デフォルトでいいってものでも後々のために明示しておく意味で入れることもある。
390:anonymous
15/10/09 09:25:32.50 .net
>>389
なるほど
分かりやすい説明ありがとうございました。
391:anonymous
15/10/10 00:28:42.14 .net
>>388
>明示的にdefaultフィルタを定義してる
例えばどんなタイプのですか？
ip filter 9999 reject * *
のことですか？
ヤマハのRTXルーターだと、一つでも静的フィルタを「適用」すると、（注意！定義ではなくて、インターフェイスへの適用ね。）
デフォルトで、上記のようなリジェクトフィルタが暗黙的に設定されるよね。
392:anonymous
15/10/10 08:50:57.86 .net
すみません、質問です
YAMAHAさんのルーターは、ポリシーフィルタの動作としてpass, static-pass, reject, restrictの
4種類あると思いますが、
下記ページ中程のポリシー動作の説明表を見てもrestrictの使い所がいまいちわかりません
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
restrictはどういうときに使うと便利なのでしょうか？
393:anonymous
15/10/10 10:30:00.02 .net
>>391
それにやられたことあったわ
394:anonymous
15/10/10 14:08:11.50 .net
IPsec/L2TPトンネルへの接続が試みられたときに、メールを送信し通知することって
どうやったらできるでしょうか。
395:anonymous
15/10/10 14:26:17.69 .net
>>394
Luaに対応してる機種ならスクリプト組めばできるだろうな
URLﾘﾝｸ(jp.yamaha.com)
396:anonymous
15/10/10 14:29:20.16 .net
もう一個上の階層のほうがいいな
そのものズバリはないが参考にはなるだろう
URLﾘﾝｸ(jp.yamaha.com)
397:anonymous
15/10/10 16:18:49.10 .net
パッケージとかないんですか
398:anonymous
15/10/10 16:23:59.13 .net
甘えてんじゃねぇ
399:anonymous
15/10/10 17:22:21.69 .net
ルーターでプログラミングすることになるとは・・・
400:anonymous
15/10/10 17:30:22.56 .net
誰か作ってください
401:anonymous
15/10/10 17:36:31.93 .net
いきなり、組もうとしても、
まずは、HELLO WORLDから始める必要があるので面倒だな。
まずは、メールでHELLO WORLDを送信するところから始めないといけない。
そして、メールで送れることが確信されてから、次のステップへ進む。
次に、どうやってIPsecの接続が試みられたか検知するか、
その仕組みを考える必要がある。
こういうときに、先輩方の設定例が役に立つが、そんな例があるかどうか。
接続元情報やその時間も、メールで通知したいところだなあ。
402:anonymous
15/10/10 17:39:31.63 .net
IPsec接続時に、イベントなんて発生しないのかな。
それがあれば、イベントハンドラを設定すればなんとかなりそうに思うけど、
LUAってそういうOS的なシステムは備えていないのだろうか。
定期的にログを読みだして、分析して、判断して、
メール通知という流れになるのなら、やだなあ。
403:anonymous
15/10/10 21:40:56.80 .net
rt.syslogwatch を使えば、ログが吐かれたタイミングでなにかを動かせる。
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
使用例見たらすげーヒントだし、あとは「試みられたとき」にどんなログが吐かれるのか調べたらそれで作れるでしょう。
404:anonymous
15/10/10 22:11:10.05 .net
>>391
rejectは書かないとrejectされない。
基本的にフィルターはpassするから、実務上敢えて
ip filter 20000 pass *
なんかをいれることがある。
別の人が見たときにreject入れ忘れてるだけなのか、passさせてるのかってのがわかるようにね。
あとはフィルター以外でもsyslog notice offとか、info onもいれるときがある。
405:anonymous
15/10/10 22:12:16.16 .net
>>403
luaは書けるようになると便利だよ。
406:anonymous
15/10/10 22:12:19.33 .net
リソース食いそうだな
素直にsyslog飛ばしてそっちでいろいろやるツールとかはいっぱいあるんじゃね？
407:anonymous
15/10/10 22:18:37.69 .net
>>404
そんなの？
何もいれなければオールパス
一つでも何か入れたら指定してないパケットはデフォルトでrejectだと思うが
408:anonymous
15/10/10 22:26:26.76 .net
>>407
少なくともCUIで設定するとそんなことはないな
RejectいれないとPassする
409:anonymous
15/10/10 22:45:00.41 .net
>>408
ここを読むと何も指定なしはオールパス、何か一つでも指定するとして以外はrejectになると
読めるんだけど…
機種によって違うの？
URLﾘﾝｸ(www.rtpro.yamaha.co.jp)
410:anonymous
15/10/10 22:57:51.34 .net
>>409
これ、ファイアウォールじゃない？
ヤマハルーターの話かと思ってたのだけど。。。
411:anonymous
15/10/10 23:00:06.91 .net
>>409
ファイアウォール製品だと、ポリシーを見ていって、該当しないのは破棄するからrejectと同じ扱いになる。ファイアウォールなんだからポリシー外は通さないのはあたりまえ。
412:anonymous
15/10/10 23:01:10.73 .net
>>410
ファイヤーウォールとルーター違うんだ…
ポリシーフィルターは違ってもいいとして、入力遮断フィルタの設計ポリシーは
ルーターの静的フィルタと統一してほしかったな
YAMAHAさんお願いしますよ
413:anonymous
15/10/10 23:02:07.46 .net
>>411
なるほどね
そう言われれば納得はできるな
414:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:20:54.08 .net
エロい人教えてくだされ。
415:anonymous
15/10/11 00:23:52.05 .net
>>414
何すか？
416:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:26:52.39 .net
すまん、、RTX810で
ip lan1 address 172.16.4.1/24
dhcp scope 1 172.16.4.32-172.16.4.99/24
を設定してあるCONFIGで
1、コンソールからなら
ping 172.16.4.1
が通るがLANからだと通らない
2、ただし、DHCPクライアントの172.16.4.32,33にはpingが通る
なにが行けないか教えてください
417:anonymous@s1001196.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 00:27:20.63 .net
>>415
はやっ！
418:anonymous
15/10/11 01:06:25.91 .net
>>416
パソコン
419:anonymous
15/10/11 01:19:02.71 .net
>>404
じゃあ、デフォルトフィルタってなんだった？？
RTXでなくて、RTAシリーズの話だったっけ？
420:anonymous
15/10/11 01:21:19.23 .net
>>406
確かに、そうですね。
気が付かなかった。シスログを飛ばしたことすらなかったので、
今後検討してみたいと思います。
syslogdで、受け取るたびにスクリプトに引数として渡すこととかできるのかな？
421:anonymous
15/10/11 01:23:30.79 .net
>>416
telnet でルーターにアドミンであくせすして、
show log | grep reject
で何が蹴られているのか確認してみましょう！
422:anonymous
15/10/11 01:58:56.65 .net
>>420
もっとラクにいけるだろ
Linuxサーバのsyslogdに飛ばして、swatchで特定文字列検出時にメール発報
423:anonymous
15/10/11 02:01:38.82 .net
>>422
ARIGATO!
424:anonymous
15/10/11 02:05:02.76 .net
>>403
tnx!
しかし、RTX単体で実現できるかもしれないのも捨てがたいな・・
ちょっと、いろいろやってみたい。
425:anonymous
15/10/11 08:21:40.46 .net
>>419
デフォルトフィルターってのはルーターにはなくて、多分ファイアウォールにはあるんでない？それか、GUIで設定したときに入る奴をさしてるのかね。
てか、ネットワーク構成によって入れるフィルターなんてかわるでしょ。デフォルトもクソもあるわけないだろとおもうわけなのだけど。。。
SMBをRejectしたりするのも公式とかマロンちゃんなんかの解説で入れることが推奨されてるから、インターネットに出る際のデファクトスタンダードなフィルターであるのかもしれないけど、ネットワーク構成によってはpassしないといけないこともあるわけで。
デフォルトなんて存在しないか、目的別のやり方があると考えた方がネットワーク構築する人間としては柔軟に対応できるのではないのでしょうか。。。と、私は思いました。
426:anonymous
15/10/11 08:22:23.13 .net
>>424
Luaスクリプトってヤマハ限定の言語だと思ってたらそうでもないことをさっき知ったわ
427:anonymous
15/10/11 08:26:28.34 .net
>>416
syslog notice on もわすれずに！
428:anonymous
15/10/11 08:29:56.68 .net
>>416
(´・ω・`)まあ、クライアントがWindowsだったら、ファイアウォールを切ってみるといいかもね。
やつらは初期状態だとping返さないし
429:anonymous
15/10/11 08:58:57.65 .net
>>421
冷静に考えて、インターフェース内の出来事だから、フィルター関係ないよね？
430:anonymous
15/10/11 09:14:32.71 .net
>>425
NECのIXだとフィルター無しはAll permit
permit・denyどちらの条件でも、1件でも設定した時点で、
All denyのフィルターが暗黙で設定される仕様だな。
結局、ハードのお作法っつー事で、
そういうもんだと、覚えておきゃ良いんじゃね？
どうしても馴染めないなら、
NECに乗り換えれば、君の思うように動いてくれるよ！（笑
431:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 09:39:00.11 .net
>>421
Searching ...
432:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 09:44:52.28 .net
また途中で・・
送ってしまった。
telnet 接続はできないのでコンソールから。
↑のメッセージがでて、なにも起こらず。
一行づつコンソールから入力してみます。m(__)m
433:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 10:29:13.13 .net
ありがとう
434:anonymous@s1308049.xgsspn.imtp.tachikawa.spmode.ne.jp
15/10/11 10:36:44.46 .net
またっ・・Android+Blutoothキーボードの罠に
ありがとうございます
sys log notice on
でやってみたら。。
これらが原因に、、
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:3389
> 172.16.4.250:3896
2015/10/11 10:09:57: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.250 : unreachable port
2015/10/11 10:10:01: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.250:25
12 > 172.16.4.100:21
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net
2015/10/11 10:10:02: PP[01] Rejected at OUT(200013) filter: TCP 172.16.4.1:80 >
172.16.4.250:2569
2015/10/11 10:10:03: PP[01] Rejected at OUT(200013) filter: ICMP 172.16.4.1 > 1
72.16.4.100 : unreachable net
filterをみると、、
ip filter 200003 reject 172.16.4.0/24 * * * *
ip filter 200013 reject * 172.16.4.0/24 * * *
↑悪さをしてそうなFilter