ローカルルーターで複数のLANを接続(片方向の通信 / 動的IPマスカレード) : コマンド設定

管理番号:YMHRT-4506 
(最終更新日: 2023/7/12)

本機能の対応機種は、RTX5000RTX3510RTX3500RTX1300RTX1220RTX1210RTX1200RTX830RTX810NVR700WNVR510NVR500FWX120vRX(VMware ESXi版)です。

図 ローカルルーターで複数のLANを接続(片方向の通信 / 動的IPマスカレード) : コマンド設定

ローカルルーターで複数のLANを接続する設定例です。動的IPマスカレードを使用して、特定のLANから片方向の通信を実現します。

社員用LANとゲスト用LANとがあり、社員用LANからゲスト用LANへの方向のみ通信できる構成です。
すでに存在している社員用LANとゲスト用LANを接続するため、新たにルーターAを追加する前提で説明します。

技術情報:NATディスクリプター

本機能の対応機種のうち、設定例を掲載している機種は、以下のとおりです。

機種 掲載内容 備考
ルーターA RTX5000 RTX3510 RTX3500 RTX1300 RTX1220 RTX1210 RTX1200 RTX830 RTX810 NVR700W NVR510 NVR500 コマンド設定例  

動的IPマスカレードで実現したい動作(ルーターA)

ルーターAのLAN2インターフェースに動的IPマスカレードを設定しています。
動的IPマスカレードによって、社員用LANに所属する端末は、ゲスト用LAN1と同一セグメントの192.168.10.200として振る舞います。動的IPマスカレードの内側・外側のアドレスは、以下のとおりです。

端末名 内側アドレス(LAN1側) 外側アドレス(LAN2側)
PCなど 192.168.20.1~192.168.20.254 192.168.10.200
  • 社員用LANに所属する端末(192.168.20.1~192.168.20.254)から、ゲスト用LANにパケットが送信された場合
    • 始点アドレスを外側アドレスに変換(192.168.20.xxx → 192.168.10.200)し、
      内側アドレスを識別するために、始点ポート番号を変換する。
    • これら変換の情報を、NATテーブルにキャッシュとして保管する。
  • ゲスト用LANから、社員用LAN(192.168.10.200)へパケットが送信された場合
    • NATテーブルにキャッシュが存在すれば、
      終点ポート番号をもとにして、終点アドレスを内側アドレスに変換(192.168.10.200 → 192.168.20.xxx)する。

IPフィルターで実現したい動作(ルーターA)

  • 社員用LANに所属する端末(192.168.20.1~192.168.20.254)は、ゲスト用LANにアクセスできる。
    ※ ゲスト用LANからの応答は、動的フィルターによって、該当するセッションのパケットのみ通過できます。
  • 上記以外のパケットはすべて破棄する。

ルーターAの設定

ゲートウェイの設定 ip route 192.168.11.0/24 gateway 192.168.10.254
LANインターフェースの設定 ip lan1 address 192.168.20.1/24
ip lan2 address 192.168.10.1/24
ip lan2 secure filter in 2000
ip lan2 secure filter out 3000 dynamic 100 101 102 103 104 105 106 107
ip lan2 nat descriptor 1
フィルターの設定 ip filter 2000 reject * *
ip filter 3000 pass 192.168.20.0/24 192.168.10.0/24,192.168.11.0/24
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * submission
ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp
NATの設定 nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.10.200
nat descriptor address inner 1 192.168.20.1-192.168.20.254

ルーターBの設定

ゲスト用LANへの経路情報を追加してください。

ゲートウェイの設定 ip route 192.168.10.0/24 gateway 192.168.20.1
ip route 192.168.11.0/24 gateway 192.168.20.1

【ご注意】
本設定例は、設定の参考例を示したもので、動作を保証するものではございません。
ご利用いただく際には、十分に評価・検証を実施してください。

メール

ご相談・お問い合わせ