質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

ただいまの
回答率

89.13%

VPN用IPアドレスが、社内PCにもDHCPで割り振られてしまう

解決済

回答 2

投稿 編集

  • 評価
  • クリップ 0
  • VIEW 5,389

SST8897

score 143

 実現したいこと

社内ネットワークは、192.168.30.0/24だとします。
固定IPアドレスで運用する範囲を192.168.30.1 ~ 192.168.30.127
社内PCにDHCPで動的に割り振る範囲を192.168.30.128 ~ 192.168.30.223
VPNでリモートアクセスしてきた端末に割り振る範囲を、192.168.30.224 ~ 192.168.30.254
にしたいです。

 前提

使用している機器はcisco 841M Jというやつです。

現在、DHCPでは192.168.30.0/24のアドレスを、192.168.30.1 ~ 192.168.30.127(固定IPアドレスで運用する端末用)と192.168.30.224 ~ 192.168.30.254(VPN端末用)を除外して管理するようにしています。

DHCPの設定は、show runででてきたものから抜粋しますと以下のようになっています。

ip dhcp excluded-address 192.168.30.1 192.168.30.127
(...省略...)
ip dhcp excluded-address 192.168.30.224 192.168.30.254
!
(...省略...)
!
(...省略...)
!
ip dhcp pool vlan50
 import all
 network 192.168.30.0 255.255.255.0
 default-router 192.168.30.1 
 dns-server 192.168.30.1 192.168.30.1 
!
(...省略...)

show ip dhcp poolコマンドで表示したものは次の通りです。

------
gw02#show ip dhcp pool

(...省略...)

(...省略...)

Pool vlan50 :
 Utilization mark (high/low)    : 100 / 0
 Subnet size (first/next)       : 0 / 0
 Total addresses                : 254
 Leased addresses               : 24
 Pending event                  : none
 1 subnet is currently in the pool :
 Current index        IP address range                    Leased addresses
 192.168.30.248       192.168.30.1     - 192.168.30.254    24

(...省略...)

VPNの端末には、ciscoのマニュアルにあるとおり、VPN端末にIPアドレスを割り当てる方法が3つ(aaa,dhcp,local)あるうち、localを使用しています。
設定は以下の通りです。

gw02#show ip local pool

 Pool                     Begin           End             Free  In use   Blocked
 vpn-pool                 192.168.30.224  192.168.30.254    31       0       0

 発生している問題・エラーメッセージ

タイトルにもある通りに、VPN端末用IPアドレスが社内PCにもDHCPで割り振られてしまいます。
本来、社内PCには192.168.30.128 ~ 192.168.30.223の範囲のアドレスが割り振られてほしいです。
しかし、VPN端末用の192.168.30.224 ~ 192.168.30.254が割り振られてしまう社内PCが存在します。
きちんと192.168.30.128 ~ 192.168.30.223の範囲が割り振られる社内PCもあります。

詳しい条件は不明ですが、
VPNで接続したあとに、出社し、社内LANに接続しなおした後、VPN端末用の192.168.30.224 ~ 192.168.30.254が割り振られてしまうようです。

全くVPN接続をしない習慣の人は、社内PC用の192.168.30.128 ~ 192.168.30.223が割り振られているみたいです。

 試したこと

-なし-

 補足情報(FW/ツールのバージョンなど)

機器はcisco 841M J です。バージョンは15.5と出ています。
VPNはL2TP/IPsecというやつを使っています。

ネットワーク機器のコンフィグに不慣れなため必要な情報が欠けているかもしれません。ご指摘いただければ追加します。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 過去に投稿した質問と同じ内容の質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

回答 2

checkベストアンサー

+1

VPN接続済みの端末で現象発生しているようですので、そのときに取得したアドレスを社内LANにつないだときに再利用しているのだと思います。

DHCPにはリース期間という「DHCPクライアントに配布したIPアドレスの有効期限」があり、この期間内に再接続された端末は同じIPアドレスを再利用します。リース期間のデフォルト値は24時間のようです。

(VPN接続→移動して社内LANへ接続の時間) > リース期間 となるよう(1時間とか)に設定を変更してあげると、移動の時間でリース期間を超えVPN接続時のIPは無効になり、社内LANに接続したときには新規にDHCPでIPアドレスを払い出されると期待できます。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2018/10/31 15:38

    試しにリース期間を5分間に設定したところ、

    2分30秒くらいで社内PCからDHCP REQUEST(今まで使ってたIPアドレスを引き続き使わせてくださいという内容) がとび、DHCPサーバからDHCP ACKが来て、DHCPリース更新が完了、
    また2分30秒たつとDHCP REQUESTを行い...DHCPリース更新が完了、

    という風に、つないでいる限りDHCPリース更新を行って、同じIPアドレスを使い続けてしまうようです。
    なので、社内LANにつなぎっぱなしだと、DHCPリース期間を短くしても、VPN端末用のIPアドレスを使い続けてしまうようです。
    (DHCPの正常な動作なのでしょうが、yukky1201さんのいう通り、DHCPリース更新のときはDHCPサーバは除外範囲とかチェックしないのですね。びっくりしました。)

    社内LANに繋ぎっぱなしでなく、リース期間ぶん5分くらい社内PCを社内LANから切断しておいておくと、リーステーブルから削除されたんだと思いますが、ちゃんと社内PC用の別なIPアドレスが割り当てられました!

    繋ぎっぱなしの場合は同じIPアドレスを使い続けてしまう(=繋ぎ始めた時点でVPN端末用IPアドレスが振られている場合は困る)のが問題点ですが、一定の範囲では解決できました。

    ありがとうございました!

    キャンセル

  • 2018/10/31 15:41

    書き忘れたのですが、VPN端末のIPアドレス割り振りは、ciscoだとvpn-addr-assignとかいう設定で行います。
    それで、aaaか、dhcpか、localか、3つの方法を選べるのですが、質問に書いた通りlocalを使用しています。
    マニュアルだと「ciscoASAが接続してきた端末にIPアドレスを割り振ります。」みたいに書いてあって、DHCPとは別な機能に読めてしまうんですが、DHCPなんでしょうかね。

    説明書を見て、DHCPは関係ないんだとおもってましたが、足元をすくわれました。

    まぁともかく、仕組みがわかってよかったです。ありがとうございました。

    キャンセル

  • 2018/10/31 15:50

    事象解決と仕組みのご理解何よりです。
    今回リース更新に原因があると理解いただいたので、ワークアラウンドをご案内します。

    コマンドでリース解放、再取得するという方法です。ひとつめで解放、ふたつめで再取得できます。お試しください。
    ipconfig /release
    ipconfig /renew

    キャンセル

+1

まず、前提としてVPNと社内ネットワークは同一ブロードキャストドメインではないため、
両方を192.168.30.0/24に同居される設計は考え方としておかしいです。

今の設計は「社内ネットワーク(東京都)」の中の一部に「VPN(神奈川県)」が存在するような状況です。
そもそも両者は別のネットワークですので、セグメントも分かるのが普通です。

発生している問題も上記に起因していると思います。
恐らく、VPN向けのアドレスを一度使った端末はCiscoルータ側で記憶されていて、
新たにDHCPのレンジからアドレスが払い出されなくなっているような気がします。

改善策としては、両者のレンジを分けることですね。
⇒社内ネットワークを変更するのは色々影響ありそうなので、VPNのアドレスレンジを変えるほうが良いですかね。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2018/10/31 14:25

    >> 拠点間VPNではセグメントを別にするのが通例ですが、リモートアクセスVPNでは同セグメント利用はアリです
    なるほど、そうなんですね。
    L2TPだと同一ブロードキャストドメイン配下になるということなんでしょうね。

    あと、機種がcisco 841Mということなので、正規ルートで購入しているのであれば、
    保守があると思うので、ここで聞くよりサポートに問い合わせるのはどうかな と(^^;

    キャンセル

  • 2018/10/31 14:45

    例えば、個人が外出時にノートパソコンを自宅LANにVPN接続したいという時には、1台のみなので同一ブロードキャスト内にいる方がラクなんですよね。ルーティングとかファイアウォールとか考慮しなくてよいので。

    キャンセル

  • 2018/10/31 14:56

    たしかにそれは便利ですね。
    ただ、今回の件みたいにDHCPが賢く立ち回ってくれないとトラブる感じですね。

    キャンセル

15分調べてもわからないことは、teratailで質問しよう!

  • ただいまの回答率 89.13%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる

同じタグがついた質問を見る