Yamaha RTX810 で IPoE と PPPoE の2系統で接続し、VPNサーバまで構築する。

いつもの稲取サイトに 楽天ひかり の光ファイバーインターネットを引き込んだので、サイト内にある機材を操作するために VPN サーバを準備したくなりました。また昨今ではPPPoEでのIPv4接続は遅いため、Local につながっている機材からのIPv4インターネット接続はIPoE (IPv4 over IPv6) を介して行おうとしました。IPoEの場合は手元のルータなどにはGlobal IPv4アドレスは割り当てられず、IPv4で外向きに公開するサービスなどが構築できまえん。

このような状況を解決するために、このような構成を行いました。

  • LocalからのIPv4インターネットは、IPoEを介して行う。
  • VPNサーバにはIPv4グローバルアドレスが必要なため、VPNサーバの通信はPPPoE接続を介して行う。
全部を config のテキストで書くのは大変かもしれないので、ある程度はWebページのウィザードを使って設定しました。

  • PPPoE の接続は、YamahaルータのWebインターフェイスのプロバイダ接続から登録。
  • IPoE接続も同様にYamahaルータのWebインターフェイスから登録。
    • 今回はIPoE接続が tunnnel 2 となっています。先に IPSec/L2TPの設定をしてきてしまったためです。
  • IPSec/L2TP接続もWebインターフェイスから行う。
  • command インターフェイスでこれらの設定を行う。
    • ip filter の 500011 から 500016 を設定
    • IPv4の最初の default route は IPoE(tunnel 2) に向かうようにして、2番目のdefault route は PPPoE に向かうようにする。: 
    • ip route default gateway tunnel 2 gateway pp 1 filter 500000 500011 500012 500013 500015 500015 500016 500017
  • 終わったらSave


最終的には Yamaha RTX810の config は、このようになりました。 
# IPv4 の default route は、先に tunnel 2 の IPoEを、後で pp 1 の PPPoE を利用するようにする。
ip route default gateway tunnel 2 gateway pp 1 filter 500000 500011 500012 500013 500015 500015 500016 500017

# IPv6 prefix は LAN2 (WANポート) の RA から取得したものを用いる。
ipv6 prefix 1 ra-prefix@lan2::/64
ip lan1 address 192.168.100.1/24
ip lan1 proxyarp on
ipv6 lan1 address ra-prefix@lan2::1/64
ipv6 lan1 rtadv send 1 o_flag=on
ipv6 lan1 dhcp service server
ipv6 lan2 dhcp service client ir=on

pp select 1
 pp name PRV/1/1/5/0/0/0:rakuten
 pp keepalive interval 30 retry-interval=30 count=12
 pp always-on on
 pppoe use lan2
 pppoe auto disconnect off
 pp auth accept pap chap
 pp auth myname (PPPoE ID) *
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp secure filter in 200003 200020 200021 200022 200023 200024 200025 200030
 200032 200080 200081 200082 200083
 ip pp secure filter out 200013 200020 200021 200022 200023 200024 200025 20002
6 200027 200099 dynamic 200080 200081 200082 200083 200084 200085 200098 200099
 ip pp nat descriptor 1000
 netvolante-dns hostname host pp server=1 (HOSTNAME).aa0.netvolante.jp
 pp enable 1
provider set 1 rakuten
 provider dns server pp 1 1
 provider select 1
 
# tunnel 1 は IPSec/L2TP VPN の設定
pp select anonymous
 pp name NAME
 pp bind tunnel1
 pp auth request chap-pap
 pp auth username (USERNAME) *
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ip pp remote address pool dhcp
 ip pp mtu 1258
 pp enable anonymous
tunnel select 1
 tunnel encapsulation l2tp
 ipsec tunnel 1
  ipsec sa policy 1 1 esp 3des-cbc md5-hmac
  ipsec ike keepalive log 1 off
  ipsec ike keepalive use 1 off
  ipsec ike nat-traversal 1 on
  ipsec ike pre-shared-key 1 *
  ipsec ike remote address 1 any
 l2tp tunnel auth off
 l2tp tunnel disconnect time off
 l2tp keepalive use on
 ip tunnel tcp mss limit auto
 tunnel enable 1
 
# tunnel 2 は IPoE (IPv4 over IPv6)
tunnel select 2
 tunnel encapsulation ipip
 tunnel endpoint address 2001:f60:0:200::1:1
 tunnel enable 2
 
 
## あとは filter 部分を
ip filter 200000 reject 10.0.0.0/8 * * * *
ip filter 200001 reject 172.16.0.0/12 * * * *
ip filter 200002 reject 192.168.0.0/16 * * * *
ip filter 200003 reject 192.168.100.0/24 * * * *
ip filter 200010 reject * 10.0.0.0/8 * * *
ip filter 200011 reject * 172.16.0.0/12 * * *
ip filter 200012 reject * 192.168.0.0/16 * * *
ip filter 200013 reject * 192.168.100.0/24 * * *
ip filter 200020 reject * * udp,tcp 135 *
ip filter 200021 reject * * udp,tcp * 135
ip filter 200022 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 200023 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 200024 reject * * udp,tcp 445 *
ip filter 200025 reject * * udp,tcp * 445
ip filter 200026 restrict * * tcpfin * www,21,nntp
ip filter 200027 restrict * * tcprst * www,21,nntp
ip filter 200030 pass * 192.168.100.0/24 icmp * *
ip filter 200031 pass * 192.168.100.0/24 established * *
ip filter 200032 pass * 192.168.100.0/24 tcp * ident
ip filter 200033 pass * 192.168.100.0/24 tcp ftpdata *
ip filter 200034 pass * 192.168.100.0/24 tcp,udp * domain
ip filter 200035 pass * 192.168.100.0/24 udp domain *
ip filter 200036 pass * 192.168.100.0/24 udp * ntp
ip filter 200037 pass * 192.168.100.0/24 udp ntp *
ip filter 200080 pass * 192.168.100.1 udp * 1701
ip filter 200081 pass * 192.168.100.1 udp * 500
ip filter 200082 pass * 192.168.100.1 esp * *
ip filter 200083 pass * 192.168.100.1 udp * 4500
ip filter 200098 reject-nolog * * established
ip filter 200099 pass * * * * *
ip filter 500000 restrict * * * * *
ip filter 500011 pass * * udp 500 *
ip filter 500012 pass * * udp 4500 *
ip filter 500013 pass * * udp 1701 *
ip filter 500014 pass * * esp * *
ip filter 500015 pass * * tcp 1723 *
ip filter 500016 pass * * tcp * 1723
ip filter 500017 pass * * gre
ip filter dynamic 200080 * * ftp
ip filter dynamic 200081 * * domain
ip filter dynamic 200082 * * www
ip filter dynamic 200083 * * smtp
ip filter dynamic 200084 * * pop3
ip filter dynamic 200085 * * submission
ip filter dynamic 200098 * * tcp
ip filter dynamic 200099 * * udp

コメント

コメントを投稿

このブログの人気の投稿

ICOM IC-7300 と RS-BA1 Version 2 でリモート操作

イメージ
ICOMのアマチュア無線機をリモートから操作するためのソフトウェアで RS-BA1 というものがある。2年ほど前に購入したが使っていなかったが、そろそろ稲取サイトに電源を引こうとしているので、リモートから操作できる無線局構築のために、真面目に使ってみることにした。 市販のソフトウェアだから簡単に動くだろうと思ったのだが、ちっともそんなに簡単につながらなかった。ということで、ハマリポイントを明示しながら、私なりの解説を書いてみる。 基本的な構成 RS-BA1を使う場合は、下記のこれらものが必要である ICOMの無線機。 今回は私が持っているIC-7300を使う。 無線機側(サーバ側) のWindows PC。 今回はちょっと古いIntel NUCにWindows 10 Proを入れて使っている。 TPMとか入っているのでBitLockerのDisk暗号化もでき、遠隔地で盗難にあってもデータ流出の危険性が少ないかなと思って。 操作側 (クライアント側) の Windows PC。 今回は手元にあるマウスコンピュータのWindows 11が入ったPC 操作側で音声を使った交信を行うならば、相応なマイクなど。 そして、リモート操作を行うソフトウェアであるRS-BA1。 RS-BA1はサーバ側・クライアント側の両方にインストールする。 私の理解した無線機からサーバPC、クライアントPCまでの流れはこの様になっている。 無線機内では、USB Hubの先にUSB SerialとUSB Audio がつながっている。USB Serialは無線機のマイコンとつながり、CI-Vでのコマンドが交換できる。USB Audioは無線機の受信音や送信時の変調音を送受信できるようになっている。 無線機とつながるサーバ側のPCのでは、Remote Utilityの制御用コマンドをUDP 50001で交換できるようになっており、USB SerialなどのSerial portで送受信するCI-Vの内容はUDP 50002で交換でき、USB Audioからの音声データはUDP 50003で送受信している。 利用者側のクライアントPCでは、Remote UtilityとRS-BA1 Remote Controlの2つのアプリで仕事を分担するようになっている。 クライアントPCのRemote Utilit...
続きを読む

Windows 11 で Win10Pcap のアンインストール方法

Windows 11 の Windowsセキュリティで、コア分離によるメモリ整合性のセキュリティの設定をしようとしたところ、一部の古いデバイスドライバが入っているとコア分離ができないとのことでした。私の環境では、パケットキャプチャなどで利用する Win10Pcap.sys が入っているためにコア分離ができないとエラーが出ておりました。 アンインストールのプログラムなどを走らせてもアンインストールできなかったので、どのように実行すればよいのか調べながら実施しました。結論としては pnputil というコマンドを用いればよかったです。  まずは管理者権限でTerminalを実行します。　Windows terminal をインストールした環境でしたので、PowerShellが起動しました。  適当なファイルに、現在インストールされているドライバを書き出す。  pnputil /enum-drivers > inf.txt # 上記のファイルから win10pcap を探し出す notepad.exe inf.txt 下記のよう場所があったので、ここから公開名が oem131.inf であるとわかりました。 公開名: oem131.inf 元の名前: win10pcap.inf プロバイダー名: Win10Pcap Native x64 クラス名: NetTrans クラス GUID: {4d36e975-e325-11ce-bfc1-08002be10318} ドライバー バージョン: 10/08/2015 10.2.0.5002 署名者名: Microsoft Windows Hardware Compatibility Publisher 今回の場合は oem131.inf が win10pcap に該当するので、これを削除する。 pnputil /delete-driver oem131.inf 以上でアンインストールができました。
続きを読む

大型特殊自動車免許を取った時の話。

イメージ
 2018年5月2日というゴールデンウィーク中で仕事の休みが取りやすい時期に、大型特殊自動車免許を運転免許試験場での技能試験(いわゆる一発試験) で取ってきました。Blog記事の取り込みとかしていたところ、このネタを書いていなかったことに気づいたので、いまさら書きます。 そろそろ前回の青切符の違反から5年以上経過したのと、半年ぐらいあとに自動車保険の契約更新があるので、この際だから運転免許証をゴールドに強制変更すべく種別の追加をしようと思い、まだ取得していない第1種大型特殊自動車免許を取りに行くことに。 10年ぐらい前に府中で3回ほど試験を受けた気がするのだが、当時も仕事がだんだんと忙しくなったりして試験に行きづらくなり、大型特殊を取得することなく終わった気がする。 当時は鮫洲の試験場が首都高一号線の用地確保とか庁舎老朽化のために試験コースと庁舎を改築していて、大型・牽引・大特の技能試験を行っていなかった。他の車種がどうだったかまでは覚えていない。 まずは試験の申し込みに行ったのが2018年1月30日。初回の試験が3月6日という受験票の写真が残っていました。2回目は4月5日、3回目は5月2日と3回試験を受けております。試験の予約をする具合なのですが、このときはだいたい1ヶ月ぐらいあとの日程だと予約が取れたようです。昔府中の試験を受けていたときは2,3週間あとの予約が取れていたので、受験者数が多いんでしょうかね。 試験場の中の写真が取れないので大した記録がないのですが、4月5日には試験場の食堂でラーメンを食べたようです。試験場ではいつもラーメンですね。 5月2日の試験でやっと取れました。1回目2回目あたりの試験では、大型特殊特有なハンドル操作などになれていなかったり、車道の左側に寄っていなかったりで減点が多くて終了していました。車庫入れというか方向転換あたりは特に困らずに入るので、通常の周回コースとかでの車両感覚が掴めて、あの油圧で車体を折り曲げる操舵になれるまでが難しいところでしょうか。ホイールローダー自体が大きく、運転席の場所が1.5m以上の場所にあって車両感覚がつかみにくい、などの部分も練習が必要でしょうかね。 これで運転免許証がゴールドになって、晴れて自動車保険の割引も受けられるようになりました。
続きを読む