PBRで管理・保守用通信(SSH)の接続性を確保する

管理番号：YMHSW-24327
（最終更新日: 2023/12/18）

設定概要

複数の通信が混在するネットワークを最適化する設定例です。
トラフィックの種類(宛先ポート番号)に応じて、最適な経路への転送を実現します。

本設定例は、PBR(ポリシーベースルーティング)を使用して、SSH による通信だけを別の経路(帯域保証WAN)に転送します。
ネットワークが混雑している場合であっても、SSH による通信において一定の通信速度を保証し、遅延を防ぎます。

本設定例では、以下の構成で説明します。

スイッチ(1)、スイッチ(1´)
- ポート1
  - VLAN#110
      IPアドレス：192.168.110.240
  - SSH による通信
- ポート2
  - VLAN#120
      IPアドレス：192.168.120.240
  - SSH 以外の通信
- ポート3
  - VLAN#130
      IPアドレス：192.168.130.240
      ネットワークアドレス：192.168.130.0/24
      DHCPプール：192.168.130.1～192.168.130.191
ルーター(1)、ルーター(1´)
- WANポート
帯域保証WANに接続
- LANポート
IPアドレス：192.168.110.1
ルーター(2)、ルーター(2´)
- WANポート
ベストエフォートWANに接続
- LANポート
IPアドレス：192.168.120.1

対応機種

	10ギガビット/マルチギガビットスイッチ		ギガビットスイッチ
L3スイッチ	SWX3220		SWX3200	SWX3100

技術情報

	10ギガビット/マルチギガビットスイッチ	ギガビットスイッチ
ポリシーベースルーティング	SWX3220	SWX3200	SWX3100
VLAN	SWX3220	SWX3200	SWX3100
アクセスリスト	SWX3220	SWX3200	SWX3100
DHCPサーバー	SWX3220	SWX3200	SWX3100

スイッチの設定例

※ スイッチ(1)、スイッチ(1´) の設定は共通です。

コマンド設定

設定内容

ゲートウェイの設定	ip route 0.0.0.0/0 192.168.120.1
VLANインターフェースの設定	vlan database vlan 110 name VLAN0110 vlan 120 name VLAN0120 vlan 130 name VLAN0130 interface port1.1 switchport mode access switchport access vlan 110 exit interface port1.2 switchport mode access switchport access vlan 120 exit interface port1.3 switchport mode access switchport access vlan 130 exit interface vlan110 ip address 192.168.110.240/24 exit interface vlan120 ip address 192.168.120.240/24 exit interface vlan130 ip address 192.168.130.240/24 exit
ACLの設定 # 注釈1	access-list 1 10 permit tcp any any eq 22
PBRの設定	route-map 1 permit 10 match access-list 1 set ip next-hop 192.168.110.1 exit interface vlan130 ip policy route-map 1 exit
DHCPサーバーの設定	dhcp-server enable dhcp pool pool1 network 192.168.130.0/24 range 192.168.130.1 192.168.130.191 default-router 192.168.130.240 dns-server 192.168.120.1 exit interface vlan130 dhcp-server enable exit

[注釈の説明]

注釈1:
ACLを使用して、以下の通信を制御します。
・SSL (ポート番号：22)

設定の確認

・「show access-list」コマンド

[コンソール]

SWX3220#show access-list
IPv4 access list 1
    10 permit tcp any any eq 22
SWX3220#

[解説]
生成したアクセスリストを表示します。
コマンドの詳細は、生成したアクセスリストの表示をご覧ください。

・「show ip route pbr」コマンド

[コンソール]

SWX3220#show ip route pbr
Policy Routing
vlan130
  Route Map 1
    10 permit
      match access-list 1
      set ip next-hop 192.168.110.1

SWX3220#

[解説]
適用されたルートマップの情報を確認します。
コマンドの詳細は、IPv4 PBR 情報の表示をご覧ください。

Web GUI設定

設定の概要

VLAN

VLANの作成：VLANを新規作成します。
VLANの設定：LANポートにVLANを所属させます。

アクセスリストの作成：通信アクセスを制御するためのリストを作成します。
ルートマップの作成：PBRに利用するルートマップを作成します。
ルートマップの適用：ルートマップをインターフェースに適用します。

DHCPの設定：DHCPサーバーの設定をします。
ルーティングの設定：ルーティング(デフォルトゲートウェイ)の設定をします。

VLANの作成

1. スイッチのWeb GUIを開きます。

2.「詳細設定」をクリックします。

3.「VLAN」をクリックします。

4.「VLANの作成」をクリックします。

5.「新規」をクリックします。

6.「VLANの設定」を設定して、「確認」をクリックします。

VLAN ID	110
名前	VLAN0110
IPv4アドレス	固定のIPアドレスを設定するアドレス：192.168.110.240/24

7. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

8.「新規」をクリックします。

9.「VLANの設定」を設定して、「確認」をクリックします。

VLAN ID	120
名前	VLAN0120
IPv4アドレス	固定のIPアドレスを設定するアドレス：192.168.120.240/24

10. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

11.「新規」をクリックします。

12.「VLANの設定」を設定して、「確認」をクリックします。

VLAN ID	130
名前	VLAN0130
IPv4アドレス	固定のIPアドレスを設定するアドレス：192.168.130.240/24

13. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

14. VLANの作成が完了しました。

VLANの設定

1.「タグVLAN」をクリックします。

2. port1.1 の「設定」をクリックします。

3. タグVLANの設定をして、「確認」をクリックします。

アクセスVLAN	110 (VLAN0110)

4. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

5. port1.2 の「設定」をクリックします。

6. タグVLANの設定をして、「確認」をクリックします。

アクセスVLAN	120 (VLAN0120)

7. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

8. port1.3 の「設定」をクリックします。

9. タグVLANの設定をして、「確認」をクリックします。

アクセスVLAN	130 (VLAN0130)

10. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

11. タグVLANの設定が完了しました。

アクセスリストの作成

1.「アクセスリスト」をクリックします。

2.「アクセスリストの作成」をクリックします。

3.「新規」をクリックします。

4.「追加」をクリックします。

5.「制御条件の設定」を設定して、「確定」をクリックします。

動作	許可する
送信元アドレス	すべてのアドレス
宛先アドレス	すべてのアドレス
プロトコル	TCP
プロトコル > 宛先ポート番号	22

6.「確認」をクリックします。

7. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

8. アクセスリストが作成されました。

ルートマップの作成

1.「PBR」をクリックします。

2.「ルートマップの作成」をクリックします。

3.「新規」をクリックします。

4.「追加」をクリックします。

5.「選択」をクリックします。

6. アクセスリストを選択して、「確定」をクリックします。

7.「エントリーの設定」を設定して、「確定」をクリックします。

処理内容	パケットを転送する転送先 (IPv4 アドレスまたは IPv6 アドレス) 192.168.110.1

8.「確認」をクリックします。

9. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

10. ルートマップが作成されました。

ルートマップの適用

1.「ルートマップの適用」をクリックします。

2. VLAN ID 130 の「設定」をクリックします。

3. 適用するルートマップ (IPv4) の「選択」をクリックします。

4. ルートマップを選択して、「確定」をクリックします。

5.「確認」をクリックします。

6. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

7. ルートマップが適用されました。

DHCPの設定

1.「DHCPサーバー」をクリックします。

2.「設定」をクリックします。

3.「選択」をクリックします。

4.「vlan130」を選択して、「確定」をクリックします。

5.「DHCPサーバーの動作設定」を設定して、「確認」をクリックします。

DHCPサーバー機能	有効にする

6. 設定内容を確認して問題がなければ、「設定の確定」をクリックします。

7.「新規」をクリックします。

8.「アドレス割り当ての設定」を設定して、「確認」をクリックします。

プール名	pool1
ネットワークアドレス	192.168.130.0/24
IPアドレスの範囲1	192.168.130.1 - 192.168.130.191
ゲートウェイ1	192.168.130.240
DNSサーバー1	192.168.120.1