重複するIPアドレスを分割したネットワークで使いたい

Question

多少は分かっていたつもですが全然分かっていなかったようなので、質問させて下さい。
下図のような構成のネットワークは実現可能なのでしょうか？

ポイントは、点線で囲んだ中には同一IPアドレスを持つ機器が存在するところです。これらの機器は点線の外側にアクセスすることはありません（というより、させたくない）。

要件は次のとおりです。

1. PC-A/PC-B/PC-Cはそれぞれの点線グループ内のIP機器にアクセスできる他、インターネット側とPC-D/PC-Eにもアクセスしたい。

2. PC-DやPC-Eから、点線内の「IP機器」にアクセスできなくてよい（むしろ、させない）。

3. PC-DやPC-Eから、点線内のPC-A/PC-B/PC-Cにアクセスできた方がよいが、必須ではない。PC-A/B/Cからのリクエストで、PC-D/Eにはアクセスしたい（ファイル転送など）。

このようなことが可能であるとして質問です。

問１．PC-A/B/Cの各PCは、ネットワークインターフェースが２枚必要でしょうか？それとも１枚で済ませることが可能でしょうか？
図中ではPC-A/B/Cから上下に２本線が出ていますが、必ずしもこういう接続である必要はないです。要は、一つの点線内のIPパケット(192.168.0.100/196.168.0.101宛て)が、他の点線内に混入しなければいいです。

問２．PC-A/B/Cの上側の「？？？」の部分には、どのような機器が必要でしょうか？普通のSWハブで済ませる方法があるでしょうか？

問３．各PCにはどのような設定が必要でしょうか？

アドバイスをよろしくお願いします。

Answer 1

つまりやりたいことは
インターネットからL3レベルで到着したデータがBBルータまで到着したのち, L2レベルでPC AEに割り振られるという通常の構成(BBルータまではグローバルアドレス, BBルータからはプライベートアドレス)にプラスしてAEの中でさらにいくつかの機器にIPアドレスをつけたい(しかもこれらに重複のアドレスをつける可能性を考慮する).
ということでしょうか？

以前使っていた仮想マシンではこれに似たことをしていると思います.
仮想マシンはホストマシンとは別のアドレスを持ち, ブリッジによってホストと疎通していました.

それはさておき本題としまして
実現としては点線ないのマシンのデフォルトはPC AC で, それぞれACにルートを記述する.
???はいらない, そのままPC ACをルータ代わりに使用する(もしくはこのような使い方ができる機材を???にPCACにフォワーディングする)
内部のアドレスはプライベートアドレスなのでNAPTを用いて変換し外にアクセス
外部からは疎通を遮断するためルータは外部からのアクセスを遮断.(外部からのアクセスをPC DEからもアクセスできなくするもしくD Eについているプライベートアドレスからのアクセスだけ通す設定)

でどうでしょうか？

Comments

[退会済みユーザー]

コメントありがとうございます。

ちゃんと書けてなくてすみません。
インターネット側からのアクセスは受け付けなくていいです。
図のすべてのPCからインターネットが閲覧できたらいいので、BBルータのNATで十分と考えています。
？？？にルータを追加した場合でも、そのルータがちゃんとBBルータに対してNAT変換してくれたら、
PC-A/B/Cからはインターネットにアクセスできると考えています（多段NAT）。

Answer 2

問１、２、３共通
PC-A,B,CにNICが2つ以上ずつあれば構成はそれだけでOKです。

NICが１つしかない場合は特殊な構成が必要です。全ての機器を同一NWアドレスにする（L2レベルで解決するならば）か複数のアドレスをNICに持たせることになります。パケットフィルタリングとかVLAN分割をするとかが必要ですのでこれに対応したSWとかPC設定が必要です。

まあ、あとは仮想OSを使うとソフトウェア的にできるかもしれないです。詳しくは状況教えてくだされば考えます。

Comments

[退会済みユーザー]

コメントありがとうございます。

別の方のアドバイスで、NICに複数IPアドレスをつける方法を教えてもらったのですが（固定＋固定IPにしたらできるんですね）
図中で「IP機器」と示したものはパケットフィルタリング（MAC制限）ができないので、
例えば192.168.0.160に対するARPとかがばらまかれたら困ることになりそうです。
？？？のところにそういうフィルタリングができるスマートハブみたいなのをつければ
ARPパケットを遮断できるかもですが、それをするくらいならもうルータ追加した方が
スマートだと思いました。

仮想OSは、今回はちょっと使えなさそうです。PC-A/B/Cの各メンバが嫌がりそうで。

Answer 3

こんにちは。

少なくとも点線で囲まれたサブ・ネット内に、そのサブネットを２つに分離するような機器が必要になると思います。

方法としては、色々あると思います。下記は考えられると思います。（たぶん他にもあると思います。）

①既に気が付かれているようにPC-A/B/CをNIC 2枚挿しとする。
???は普通のSWで良いです。
各IP機器のIP設定が手動なら、PCに特別な設定はいらないと思います。
自動設定ならDHCPを設定する必要が有ります。

②???をNATルータとし、PC-A/B/Cを例えばDMZに入れる。（ポート・フォワーディングでもOK）
PC-A/B/CはNIC 1枚挿しで良いです。
PCに特別な設定はしなくてもルータ側で対応できると思います。
なお、IP機器側からPC-D/Eやネットへ接続できてしまいます。逆はできません。

③???x3の部分にVLANを入れる。
PC-A/B/CはNIC 1枚で済みます。（しかし、高く付きそうな気がします。）
やはりPCに特別な設定は要らないだろうと思います。

Comments

[退会済みユーザー]

アドバイスありがとうございます。

②の方法ですが、NATルータにPC-A/B/CをDMZに入れる必要はありますでしょうか？
PC-D/Eから積極的にPC-A/B/CへアクセスすることはないのでDMZは要らないんじゃないかと考えています。
でも、逆方向へのアクセスはあります。

試しに、余っているBBルータを”なんちゃってルータ”として？？？に入れてみて試してみているのですが、
あるBBルータではPC-A-->PC-D（＝ファイルサーバ）にアクセスできるものの、
別のBBルータではこれができないのです。PINGは通るのですが・・・。
方法は単純なWindowsのファイル共有で、IPアドレス直打ちしています。

③のVLANの方法はまだ頭がついて行っていないです。
どのVLAN方式で実現可能そうですか？

[Chironian]

DMZの件は「PC-DやPC-Eから、点線内のPC-A/PC-B/PC-Cにアクセスできた方がよいが、必須ではない。」のためです。必須ではないです。

> 別のBBルータではこれができないのです。PINGは通るのですが・・・。

不思議ですね。しかし、NATは様々な実装がありますので、ルータによって動いたり動かなかったりすること自体はあり得ると思います。
また、Windowsファイル共有サーバをインターネット上において共有するような使い方はあまり一般的ではないと思いますので、各社のNATルータもそのような使い方のテストをしていなくても不思議ではないように思います。
インターネット上でもよく使われるようなファイル共有(FTPやWebDAVなど)を使えばNAT越えでも使える筈です。

もしくは、ルータが対応していれば、ルータのNAT機能をOFFとし、パケットフィルタ機能（ファイヤーウォール機能）を有効にして使ってPC-D/E側からPC-A/B/C側へのアクセスを禁止することも考えられると思います。この場合は普通のルータ越えですので、Windowsファイル共有も使えそうな気がします。（コンピュータ名でアクセスしたい時は名前解決するための設定がいる筈です。DNSサーバへ登録するとかhostsファイルに書き込むなど。）

VLANについては使ったことはないので具体的なことは分かりません。すいません。

Answer 4

一般的には、???にNAT箱を置くことで、要件は満たされると思います。その場合はNICは2枚必要ありません。NAT箱は一般的にはルータになります。
NIC2枚刺しの場合は、NAT箱を置かないで、PC-D,Eの所属するネットワーク側のインターフェースと192.168.0.0 をルーティングさせないことで、要件は満たせます。???はhubかswですね。

Comments

[退会済みユーザー]

端的なご指摘ありがとうございます。
ルータ設置の方向で考えています。

試しに使わなくなったBBルータを追加してテストしたところ、だいたい目的のことができそうなことがわかってきました。
その場合一つ気づいたのは、PC-AからPC-D/PC-Eのホスト名が見えなくなったことです。
NETBIOSの名前解決がルータを超えられないのが原因らしいですが、
PC-D/Eの数は少ないのでWINSサーバを立ち上げるまでもなく、
LMHOSTS追加で当面対処しようかと思っています。

Answer 5

問１．PC-A/B/Cの各PCは、ネットワークインターフェースが２枚必要でしょうか？それとも１枚で済ませることが可能でしょうか？
図中ではPC-A/B/Cから上下に２本線が出ていますが、必ずしもこういう接続である必要はないです。要は、一つの点線内のIPパケット(192.168.0.100/196.168.0.101宛て)が、他の点線内に混入しなければいいです。

OSにもよるかと思いますが、例えばLinuxなら一つのNICに複数のIPを持たせることは可能ですし、windowsでも可能です。Macも多分出来ると思いますが調べたことが無いので知りません。
が、設定が複雑になるくらいならNICを2枚用意する方が良いと思います。

問２．PC-A/B/Cの上側の「？？？」の部分には、どのような機器が必要でしょうか？普通のSWハブで済ませる方法があるでしょうか？

ルータをかませるのが楽かと思いますが、PCにルータの役割をさせれば機器は無くてもいいです。
HWでもPCでもどちらでもルータの役割を持った何かを挟むのが一般的な構成になるかと思います。

問３．各PCにはどのような設定が必要でしょうか？

PCorルータの設定としては、

• 内部→外部へのアクセス

NAPTが必要

• 外部→内部へのアクセス

外部からのアクセスに対するポートフォワーディグ（もしくは複数の外側のIPを持って静的NAT）
及び
IPによる内部へのアクセス制限の実施

という感じでしょうか。

お勧めの構成としては、？？？部分に適当なルータを設置し、ルータの配下にPCとIP機器を直接ぶら下げれば要件がクリアできるように思います。

Comments

[退会済みユーザー]

アドバイスありがとうございます。
環境をちゃんと伝えていなくてすみません。PCはすべてWindowsです。

１枚のNICに複数のIPを持たせることができるのですか？
もしできるとして、仮にPC-Aに192.168.0.1と192.168.1.2（点線より上向きのつもり）を与えたとして、NICの出口が物理的に１つしかない以上、192.168.0.100へのパケットは点線の内側と外側の両方の出てしまうのでしょうか？そうであれば、ちょっと困ったことになりませんか。

やはり、簡単な方法としてはNIC２枚挿しなのでしょうけど、お勧めいただいたルータ設置が妥当だと思えるようになってきました。

[tanat]

簡単なのはルータ設置だというのは間違いないと思いますよ。
windowsPCに2枚目のNICを挿して苦労するより10倍は楽だと思います。

>１枚のNICに複数のIPを持たせることができるのですか？

GUIから簡単に出来るのでwindows nic IP 複数 あたりで検索してみて下さい。
ただしその場合、ソフトウェアルータの設定も必要になるかと思います。
無線だとOS標準の機能で簡単に出来ますが、有線だと知らないです。多分出来るとは思いますし、OS標準の機能じゃなくてもフリーのツールを使うという方法もあります。

>もしできるとして、仮にPC-Aに192.168.0.1と192.168.1.2（点線より上向きのつもり）を与えたとして、NICの出口が物理的に１つしかない以上、192.168.0.100へのパケットは点線の内側と外側の両方の出てしまうのでしょうか？そうであれば、ちょっと困ったことになりませんか。

はい、電気的にはパケットが流れます。
実際に通信を出来るかはARPテーブルを静的に定義することで必要のない通信は（MACアドレスを偽装され無い限り）遮断できます。

が、まあめんどくさい上に対してメリットもなく、制約も色々あるのでお勧めできません。

Answer 6

PC-A/B/Cにネットワークインタフェースを２枚用意するのがお手軽かも。
(???は不要)
PC-A/B/Cはルーティングとフォワーディングを全てオフにして
必要なルーティング設定を追加する感じでしょうか。
各IP機器はデフォルトルートをPC-AかBかCにするくらいかな。

と書いておいて今更ですが、自分の知識は古い時代で止まってるので
最新のノウハウがあればもっとクールな解決策があるかもしれません。(^_^;
あと、OSによっては設定関連がアレなんで分かるなら
出しといた方がいいかもしれません。

Comments

[退会済みユーザー]

ありがとうございます。
そうですね、NICを２枚にするというのが簡単で、点線内のネットワークを確実に分離できるという点ではメリットを感じます。

最近のPCはノートでもデスクトップでも、有線と無線の２つのNICを備えているものが多いですから、速度を気にしなければそういう使い分けで分離できそうです。