VLAN間ルーティング配下の端末がインターネット接続できない

Question

VLAN間ルーティングを用いて初めてのネットワーク構築をする事になり、自宅でテストを行っていますがうまく動作させることができていません。社内にネットワークに明るい者がおらずこちらで質問をさせて頂ければと思います。

前提

L3スイッチのVLAN間ルーティングを使って既存ネットワークに別のネットワークを追加したいです。
追加したいネットワークは以下の図の②の箇所になります。

• 既存ネットワーク　192.168.0.0/24
• 追加ネットワーク　192.168.215.96/27

実現したいこと

1. 192.168.0.0/24と192.168.215.101間の相互の接続
2. 192.168.215.101 がインターネットに接続

発生している問題

192.168.215.101の端末がインターネットにでることができません。
ブラウザでWEB閲覧、SSHやNSLOOKUPなどインターネット側に対してできず、こちらの原因がわからず解決方法を教えて頂きたいと思っております。

※192.168.0.0/24 からはインターネット側へアクセス可能です
※192.168.0.0/24 と 192.168.215.96/27 のLAN内での相互間の接続は可能です

設定

①
TP-Link Archer AX73では「192.168.215.96/27宛の通信のGWを192.168.0.254」という静的ルーティングを設定しています。

②
YAMAHA SWX3100-10gの設定は以下のようになっています。

running-config_20230112015549.txt
!
!  - Running Configuration -
!  Current Time:  Thu Jan 12 01:55:49 JST 2023
!
password-encryption enable
!
enable password 8 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
!
username admin privilege on password 8 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
username suzuki privilege on password 8 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
!
dns-client enable
dns-client name-server 192.168.0.1
!
vlan database
 vlan 10 name VLAN0010
 vlan 11 name VLAN0011
!
interface port1.1
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.2
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.3
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.4
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.5
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.6
 switchport
 switchport mode access
 switchport access vlan 11
 no shutdown
!
interface port1.7
 switchport
 switchport mode access
 no shutdown
!
interface port1.8
 switchport
 switchport mode access
 switchport access vlan 10
 no shutdown
!
interface port1.9
 switchport
 switchport mode access
 no shutdown
!
interface port1.10
 switchport
 switchport mode access
 no shutdown
!
interface vlan1
 no switchport
 auto-ip enable
 ip address 192.168.100.240/24
 no shutdown
!
interface vlan10
 no switchport
 ip address 192.168.0.254/24 label UPPER
 no shutdown
!
interface vlan11
 no switchport
 ip address 192.168.215.97/27 label LOWER
 no shutdown
!
ip route 0.0.0.0/0 192.168.0.1
!
!
clock timezone JST
!
http-server enable
http-server interface vlan10
http-server interface vlan11
http-proxy enable
!
telnet-server enable
telnet-server interface vlan10
telnet-server interface vlan11
!
line con 0
line vty 0 7
!
end

Comments

[Crimson_Tide]

まずは問題箇所を特定するために切り分け作業を実施してください。
例えば、
・192.168.215.101 と192.168.0.0/24 のPC からそれぞれ ①と外部インターネット(google.comなど)に対してtracerouteを実施して、両者の結果を比較
・192.168.215.101 と192.168.0.0/24 のPC のインターネット関連設定の比較（想定だとデフォルトゲートウェイと自身のIP設定ぐらいでしょうか）
・①②のログ確認
問題箇所が特定できていない段階で目星をつけるのはよくないと思いますが、①のパケットフィルターなどのセキュリティ関連設定もしくはネットワーク設定で192.168.0.0/24 からしか外に出さないようにしているのではないかと想像します。そのため、上記と併せて①のセキュリティ設定、ネットワーク設定の確認をしてみてください。

[suzushin0619]

コメントありがとうございます。

まず8.8.8.8.に対してtracerouteを試してみました。
192.168.0.101からだと最後まで到達できました。
192.168.215.101からだと自宅ルーター（192.168.0.1）まで表示され、以降はタイムアウトしてしまいました。

そこで、仰る通り自宅ルーター（192.168.0.1）のファイヤウォール等が怪しいと思い設定を見てみましたが、それらしき設定は見当たりませんでした。

本日自宅ルーターの設定を細かく確認する時間がなく、明日引き続きマニュアル等も含めて見直してみたいと思います。

Answer 1

図の①のルーターをTP-Link Archer AX73からYAMAHA NVR500に変更し同様に以下のルーティングを設定したところインターネット側へ接続、192.168.0.1/24と192.168.215.96/27の相互間接続ができるようになりました。

ip route 192.168215.96/27 gateway 192.168.0.254

元々利用していたTP-Link Archer AX73の何が悪かったのかわかりませんが、L3スイッチSWX3100-10Gの設定はそのままです。
コメントを頂いた二人の方のおかげで色々と設定を見直すきっかけになり感謝致します。

Answer 2

元ネットワーク技術者です。よろしくお願いいたします。
さて、YAMAHA SWX3100-10g はGWではあるものの、DNSサーバではない様です。
そこで、192.168.0.0/24 で使っているDNSサーバへ 192.168.215.101 から Ping は通りますか？
通るのであれば、192.168.215.101 にも 192.168.0.0/24 と同じDNSサーバを設定しましょう。
その上で改めて nslookup を試してみましょう。 今度は応答があるのではないでしょうか。

Comments

[suzushin0619]

ご回答ありがとうございます。
元ネットワーク技術者の方ということで非常に心強いです。

> YAMAHA SWX3100-10g はGWではあるものの、DNSサーバではない様です。

ご指摘頂いてマニュアルを見直しましたが勘違いしていました..
DNSクライアントが有効になっているだけで、DNSサーバーは有効になっていないようです。

> 192.168.0.0/24 で使っているDNSサーバへ 192.168.215.101 から Ping は通りますか？

192.168.0.0/24で使用しているDNSサーバーは192.168.0.1でして、pingは通りました。

> 192.168.215.101 にも 192.168.0.0/24 と同じDNSサーバを設定しましょう。
> その上で改めて nslookup を試してみましょう。

192.168.215.101のDNSサーバーを192.168.0.1にしてnslookupをしましたが何故かIP正引きができませんでした。
また192.168.0.1のフォワーダ先であるISPのDNSサーバーを指定してみても正引きができませんでした。
具体的に以下のようにしています。

nslookup yahoo.co.jp 192.168.0.1
nslookup yahoo.co.jp 10.113.218.254

追加したネットワークからpingが通るのにlookupができない事が非常に不可解に思っています。
TP-Linkのルーターに何か制御があるのでしょうか...
ちょっと古い型ですがYamaha NVR500があるので①のルーターを変えて今回ご指示頂いた内容のテストをもう一度行なってみたいと思っています。

[kuretake-sion]

> 192.168.0.0/24で使用しているDNSサーバーは192.168.0.1
との事ですので、TP-Link Archer AX73 は正しくDNSサーバになっている様ですね。

残念ながら AX73 のアクセス制御が不明なので、何とも言えませんが、
逆に YAMAHA SWX3100-10g の「DNSリレー機能」が初期設定では「disable」なので、
192.168.215.101 からのDNSクエリーが AX73 に届いていないのかもしれません。

試しに「DNSリレー機能」をオンにしてみましょう。
（この場合、192.168.215.101 のDNSは 192.168.215.97 になりますね。）

https://network.yamaha.com/products/switches/swx3100-10g/index
の中の「技術資料」のタブに、「コマンドリファレンス」のリンクがあります。
http://www.rtpro.yamaha.co.jp/RT/manual/swx3100/cmdref/index.html
この中の「10.3 DNS Relay」に設定例が書かれているので、

dns-forwarding enable
interface vlan11
dns-forwarding enable
dns-forwarding name-server 192.168.0.1

を追加してみましょう。今度はいかがでしょうか。

[suzushin0619]

追加のコメントに気付かず確認が遅れてしまいました..

頂いた設定を追加してDNSサーバーを192.168.215.97を指定すると192.168.215.101の端末からLOOKUPできるようになりました！
ただ、やはり192.168.215.101でブラウザ閲覧等はできませんでした。
試しに8.8.8.8にpingをしてみましたが通らない状態です。

※先の回答で試してみたいと言った①のルーターの変更はまだできていません