BBR-4HGで2重ルータの設定ができません

Question

BBR-4HGで、以下の設定ができずに困っています。

【やりたいこと】

• インターネットへ自由に出られるNW１の下に、

インターネットへ出られないNW2をBBRで作りたい

• NW1とNW2の間は特定の端末のみ通信を許可したい

(192.168.100.10→192.168.11.10)
※かつ、許可したサービス/ポート以外拒否

【現状】

• 192.168.100.100→192.168.11.10 のアドレス変換を

NW2ルータ(BBR)をに設定するとNW1側から～11.10は
見ることはできるようになる
(確認用にXAMPPでApache:80を起動しています)

• ただし、パケットフィルタが併用できなくなる(仕様)。

そのため、NW2側の特定端末(～100.10)に通信を
限定することができない

• リスト静的ルートも書き方がよくわからない

以上よろしくおねがいいたします。

Answer 1

192.168.100.100→192.168.11.10 のアドレス変換を

NW2ルータ(BBR)をに設定するとNW1側から～11.10は
見ることはできるようになる

NW2からNW1への通信はNATにしているという認識で良いですか?

ただし、パケットフィルタが併用できなくなる(仕様)。

そのため、NW2側の特定端末(～100.10)に通信を
限定することができない

その場合、IPマスカレードの設定においては、IPとプロトコルを指定すると公式マニュアルにも記載があります。
そうであれば、対象のプロトコルのみがアドレス変換対象となり、それ以外は変換対象とならないため、そもそも通信できずフィルタする必要がないとの理解です。

リスト静的ルートも書き方がよくわからない

NW1とNW2の間は特定の端末のみ通信を許可したい

(192.168.100.10→192.168.11.10)

インプット(何をしたいのか)ありきの設定なので、それを示して頂く必要があります。
ご質問文では片方通信のみを表しているように見え、これを望んでいるのであればルートは設定する必要がないとの理解です。

Comments

[yoh0811]

overさま

ネットワークの基礎知識が不足しており、素人質問申し訳ありません。

>NW2からNW1への通信はNATにしているという認識で良いですか?
NW1からNW2へのNATで、そこにポートフォワードも設定しています
(192.168.100.100:80→192.168.11.10:80)

>～対象のプロトコルのみがアドレス変換対象となり、それ以外は変換対象とならないため、そもそも通信できずフィルタする必要がない
おっしゃるとおりです。ごっちゃになっていました。。

>インプット(何をしたいのか)ありきの設定なので、それを示して頂く必要があります。
何をしたいのか、は以下です。
１．NW1(インターネット可)にある端末PC(-100.10)でインターネット越し外部の
　　DBからデータを持ってくる
２．その端末PC(-100.10)から、NW2(インターネット不可)にあるDBサーバ(-11.10)へ
　　一方的にDB書込みの操作を行う(相互通信は必要ない)

前提として以下が条件です。
・NW2からNW1へは出る必要がない(NW2はインターネットにつなぎたくない)
・NW１からアクセスできるのは特定端末(-100.10)だけでよい
・設定や操作が可能なのは端末とNW2のルータ(BBR)だけ

BBR-4HG 独自の表現や仕様があるので、どのように設定したらよいか
実際の設定項目がよくわからない部分もあります。。

[over]

> １．NW1(インターネット可)にある端末PC(-100.10)でインターネット越し外部のDBからデータを持ってくる

今回のご質問はNW1ありきで、NW2増設に関してのご質問と思い込んでいましたが、NW1、NW2ともに新設、もしくはリプレースということで、NW1の構成も回答範囲ということでしょうか?
そうだった場合、NW1敷設ルータはインターネットへのPPPoE接続とローカルネットワークを実装した上で、NW1敷設端末はNW1ルータにデフォルトゲートウェイを設定するだけで事足りるとの理解です。

> ２．その端末PC(-100.10)から、NW2(インターネット不可)にあるDBサーバ(-11.10)へ　　一方的にDB書込みの操作を行う(相互通信は必要ない)

IPマスカレードの設定をしているのであればご期待の動作かと思いますが、何か不都合が発生しているのであればその旨記載頂きたく存じます。

> ・NW2からNW1へは出る必要がない(NW2はインターネットにつなぎたくない)

NW2敷設ルータのローカルネットワーク側インターフェースからグローバル側インターフェースのポリシーにdenyポリシーを設定してください。

> ・NW１からアクセスできるのは特定端末(-100.10)だけでよい

これは難しいかもしれないですね。
該当機器は私にとっては実績ない機器ですが、
> ただし、パケットフィルタが併用できなくなる(仕様)。
とあると何とも・・・

確認ですが、こちらはIPマスカレード対象のみパケットフィルタができないということではないでしょうか?
それ以外できなくては製品として成り立たないと思っています。
そうであれば、グローバル側インターフェースへのアクセスは「端末PC(-100.10)」しか接続できないポリシーを設定すれば良いのかと。

[yoh0811]

overさま

>今回のご質問はNW1ありきで、NW2増設に関しての質問～
回答がわかりづらくもうしわけありません。当初ご理解のとおり、NW1ルータは既設で設定変更不可です。

>IPマスカレードの設定をしているのであればご期待の動作～
はい、NW2内の特定端末のみへのの通信は構築できています。

>NW2敷設ルータのローカルネットワーク側インターフェースからグローバル側インターフェースのポリシーにdenyポリシーを設定してください。
いわゆるホームルータのためか、個別にインターフェイスごとのdenyポリシが設定できないのか、機能が見つけられていないだけなのか、よくわかない次第です。

パケットフィルタと表現されている機能にWAN-LAN間のアドレスやポートの個別通信許可の出来そうな項目がある(いわゆる普通なルータのポリシ的な部分ですね)ので、なにか別の手段でできるのかな、と
探していた次第です。。

https://www.buffalo.jp/support/faq/detail/15659.html

[over]

ポインタ頂いたサイトではIPマスカレードを設定している場合、WAN(私のいうグローバル側インターフェース)→LAN(私のいうローカルネットワーク側インターフェース)はパケットフィルタできないとありますね。
その場合、以下は実現できなさそうです。
> ・NW１からアクセスできるのは特定端末(-100.10)だけでよい

LAN→WANはできるようなので以下は実現可能かと。
> ・NW2からNW1へは出る必要がない(NW2はインターネットにつなぎたくない)

[yoh0811]

>LAN→WANはできるようなので以下は実現可能かと。
そうですね。アドレス変換と表現されている機能をOFFにするだけでローカル→グローバルの通信はきることができました。
ありがとうございました。

Answer 2

• インターネットへ自由に出られるNW1の下に、インターネットへ出られないNW2をBBRで作りたい

→　192.168.100.0へのみルーティングを行い、0.0.0.0へルーティングをしない

• NW1とNW2の間は特定の端末のみ通信を許可したい ※かつ、許可したサービス/ポート以外拒否

→　お互いに端末同士でなく、ルーターに対しパケットを投げポートフォワーディングにより特定のポートのみ転送する

Comments

[yoh0811]

kou0179さま

私がネットワークがきちんとできていないためだと思われますが
実際のBBR-4HGの設定項目で言うとどこに何を設定するものか
置き換えることができませんでした。。

>192.168.100.0へのみルーティングを行い、0.0.0.0へルーティングをしない
ルーティングの設定画面で 192.168.100.0/24 のゲートウェイに
192.168.100.100(BBRのWANアドレス)を指定しても
「設定でエラーが発生しました。やりなおしてください。
　場所：ルーティングのネットワークアドレス
　内容：本体ネットワークアドレス内は指定できません」
とハジかれ、 WAN側のゲートウェイでもダメ、
試しにLAN側アドレスとWAN側アドレスを逆に書いてもダメ、と
糸口が見つかりません。。

>お互いに端末同士でなく、ルーターに対しパケットを投げポートフォワーディングにより特定のポートのみ転送する
NATとポートフォワードはアドレス変換という設定項目内の機能でできていました。