備忘録として記録。やっとVPN接続問題が解消しました。
原因はフィルターのかけ方でした。
だいたいネット通信は、相互通信ができなければ意味がありません。当然フィルターは一つで、inとoutの指定で、勝手によろしくやってくれるとそう思い込んでいた僕は、同じフィルターをINとOUTに使ってしまい、片方向しか通信ができないというトラブルをしょい込んだわけです。
さて、解決法です。
拠点先のLANネットワーク 192.168.10.0/24 と、拠点元のネットワークの中にある1台 192.168.1.100 とつなげる場合とで考えます。
NECのIXルーターはIP access-list(以下アクセスリスト)というものを作って、接続設定に紐づけることでフィルターが働きます。
拠点先から拠点元、つまり自分のところに入ってくるINするアクセスリストと、拠点元から拠点先へ向かわせるOUTするアクセスリストを作ります。
IXルーターのマニュアルには「送信元を限定する場合は in 宛先を限定する場合はout」のような何だか分からない説明がされていました。これじゃ分かりませんって…。
まず、外、つまり拠点先からやってくる通信を許可するINアクセスリストを作ります(ルータとのコンソール接続は当然できているものとして書きます)。
Router(config)# ip access-list 名前-in permit ip src 192.168.10.0/24 dest 192.168.1.100/32
もし間違って書いてリターンキーを押したときは、入力した内容をカーソルキーの上で表示して、先頭にnoをつけてリータンキーを押します。これで登録した内容は削除されます。
例えばこんな感じ
Router(config)# no ip access-list 名前-in permit ip src 192.168.10.0/24 …
INアクセスリストを説明すると、
名前-in は任意の文字列です。-in をつけた方が分かりやすいでしょう。permit は 許可のこと。ip src は送信元のipという意味。
dest は 送信先です。この場合はin の設定ですので、自分ところのPCのIPアドレスを書きます。
ちなみに/24とか/32はネットマスクです。これでIPアドレスの範囲を変えられます。IPネットマスクで調べてくださいね。
次に、内から外の通信を許可するOUTアクセスリストを作ります。
Router(config)# ip access-list 名前-out permit ip src 192.168.1.100/32 dest 192.168.10.0/24
意味は同じですが、先ほどと送信元、送信先が入れ替わっていることに注目してください。
次に接続設定に紐づけます。VPNのinterfce名は、ルーターのウェブページから設定データの管理等で確認します。以下はTunnel0.0の場合です。
インターフェイスコンフィグに入ります。
Router(config)#interface Tunnel0.0
ip filterコマンドでアクセスリストを紐づけます。
Router(config-Tunnel0.0)#ip filter 名前-in 10 in
Router(config-Tunnel0.0)#ip filter 名前-out 10 out
アクセスリストの名前の後の数字は、適応する優先度のようです。内容がかぶってるわけではないのでとりあえず10で間違いないようです。
以上で間違いのないフィルターを設定できるのではないかと思います。同じ問題で悩んでいる人の参考になればと思います。
余談
このようなことは、進んだウェブGUIをサポートしたルーターならなんのことはないと思いますけど、こういうコマンド入力しか方法がないというのは、専門家利権が関係しているようで、僕はどうもいけ好かないんですよね。


