NEC UNIVERGE IX2000/IX3000 運用構築スレ Part8©2ch.net

NEC UNIVERGE IX2000/IX3000シリーズに関するスレです

【公式サイト】
UNIVERGE IX2000/IX3000シリーズ: ネットワーク製品: 製品 | NEC
　http://www.nec.co.jp/ixseries/ix2k3k/

関連スレ
・宅鯖に最適なルータは？ @ ウィキ
　http://www39.atwiki.jp/takurouter/
・ＮＥＣ系装置勉強会(MM-Node,IP45,ATOMIS　etc)
　http://engawa.2ch.net/test/read.cgi/network/1013516441/
・宅鯖に最適なルータは？　4セッション目　(dat落ち、次スレなし)
　http://pc11.2ch.net/test/read.cgi/mysv/1199977508/

前スレ：NEC UNIVERGE IX2000/IX3000 運用構築スレ Part7
http://hayabusa6.2ch.net/test/read.cgi/network/1369194775/

過去ログ：NEC UNIVERGE IX2000/IX3000 運用構築スレ PartX
Part7　http://hayabusa6.2ch.net/test/read.cgi/network/1369194775/　(前スレ)
Part6　http://engawa.2ch.net/test/read.cgi/network/1295357676/
Part5　http://hibari.2ch.net/test/read.cgi/network/1269162000/
Part4　http://pc11.2ch.net/test/read.cgi/network/1251854487/
Part3　http://pc11.2ch.net/test/read.cgi/network/1236219623/
NEC業務向けIX2ｋ3ｋﾙｰﾀ運用構築スレPart2　http://pc11.2ch.net/test/read.cgi/network/1214648768/
NEC業務向けIX2k3kﾙｰﾀ運用構築スレPart1　http://pc11.2ch.net/test/read.cgi/network/1199669963/

●Q&Aなど
Q1. ファームウェアはどこで手に入りますか
A1. 機器を購入した販売代理店を経由してNECへ申請書を提出し、入手してください
　例：NTT-Xの場合、購入後に誓約書手続きで入手可能になる
　http://hayabusa6.2ch.net/test/read.cgi/network/1369194775/918

Q2. オークションなどで売られている機器のファームを・・・
A2. 購入元(出品者)と相談してください。(個人出品なら望み薄)

Q3. コンソール接続する際に必要な機材はある？
A3. 自作する以外では、Cisco用のRJ-45 to DB-9 メス（型番：72-3383-01）で接続します
　例：USBシリアル(RS232)変換器と組合わせる等 ttp://akizukidenshi.com/catalog/g/gM-08343/
　なお、USBシリアルでもシリアル側が5Vや3.3V系のものは使えません。RS232レベルのもの限定

Q4. ファームのバージョンって？
A4. ファームウェアの版表記です。例： 8.2.19 のように記されます。表記はXX.YY.ZZで
　暫定的に、XXをメジャーバージョン、YYをマイナーバージョン、ZZをリビジョンと呼んでます

このスレの達人の方々、どうかご教授下さい。

andoroidスマホ--ocn mobile one(格安sim)--(動的IP)IX2215--PC(192.168.100.1/24)

上記の構成で、外部からのvpn接続を検討していますがスマホ側から全く繋がりません。
ドコモspmodeシム+iphone5sでも試してみましたが、それでも繋がりません。
show loggingでもその接続ログさえ出て来ません。
IXの動的IPの部分は都度グロ−バルIP確認の上でVPN接続を試みています。
もし、コンフィグの間違いがあればご指摘宜しくお願いします。
設定にあたってはこちらのサイトを参考とさせて頂きました。
http://linux-junkie.at.webry.info/201412/article_3.html

! NEC Portable Internetwork Core Operating System Software
! IX Series IX2215 (magellan-sec) Software, Version 9.1.10, RELEASE SOFTWARE
! Compiled Feb 26-Thu-2015 10:26:18 JST #2
! Current time Jul 29-Wed-2015 00:20:18 JST
!

logging buffered 131072
logging subsystem all warn
logging timestamp datetime
!
!
ip ufs-cache enable
ip route default GigaEthernet0.1
ip dhcp enable
ip access-list l2tp-list permit ip src any dest any
!
!
!
ike nat-traversal
!
ike proposal l2tp-ike1 encryption aes-256 hash sha group 1024-bit
ike proposal l2tp-ike2 encryption aes hash sha group 1024-bit
ike proposal l2tp-ike3 encryption 3des hash sha group 1024-bit
!
ike policy l2tp-ike-policy peer any key *事前共有鍵* l2tp-ike,l2tp-ike2,l2tp-ike3
!
ipsec autokey-proposal l2tp-sec1 esp-aes-256 esp-sha
ipsec autokey-proposal l2tp-sec2 esp-aes esp-sha
ipsec autokey-proposal l2tp-sec3 esp-3des esp-sha

ipsec dynamic-map l2tp-ipsec-map l2tp-list l2tp-sec1,l2tp-sec2,l2tp-sec3
proxy-dns ip enable
telnet-server ip enable
!
ppp profile l2tp
authentication request chap
authentication password *ユーザ名* *パスワード*
lcp pfc
lcp acfc
ipcp ip-compression
ipcp provide-ip-address range 192.168.100.20 192.168.100.25
!
ppp profile *プロバイダ名*
authentication myname *プロバイダID*
authentication password *プロバイダパスワ−ド*
!
ip dhcp profile lan
assignable-range 192.168.100.1 192.168.100.254
default-gateway 192.168.100.1
dns-server 192.168.100.1
!
ip dhcp profile vlan2
assignable-range 192.168.1.1 192.168.1.254
default-gateway 192.168.1.1
dns-server 192.168.1.1
domain-name LAN2
device GigaEthernet2
vlan-group 2 port 7 8

interface GigaEthernet2.0
ip address 192.168.100.1/24
ip proxy-arp
ip napt static GigaEthernet0.1 udp 500
ip napt static GigaEthernet0.1 50
ip napt static GigaEthernet0.1 udp 4500
ip dhcp binding lan
no shutdown
!
interface GigaEthernet0.1
encapsulation pppoe
auto-connect
ppp binding *プロバイダ名*
ip address ipcp
ip tcp adjust-mss auto
ip napt enable
no shutdown
!
interface GigaEthernet2:2.0
ip address 192.168.1.1/24
ip dhcp binding vlan2
no shutdown
!
interface Tunnel0.0
ppp binding l2tp
tunnel mode l2tp ipsec
ip unnumbered GigaEthernet2.0
ip tcp adjust-mss auto
ipsec policy transport l2tp-ipsec-map
no shutdown
連投すまそ

static napt使うIFおかしくね？

>>9
ありがとうございます
interface GigaEthernet2.0にある

ip napt static GigaEthernet0.1 udp 500
ip napt static GigaEthernet0.1 50
ip napt static GigaEthernet0.1 udp 4500

上記のコンフィグを、 interface GigaEthernet0.1側へ書き換えたら、スマホ側からはL2TP接続出来ました。
しかし、スマホ側からIXルータ(192.168.100.1)へはpingは通るのですが、IX配下のPC(192.168.100.2〜)へはpingも通らないし、PC側からスマホ側へのpingも通りません。
達人の方々、どうか愛の手を差し伸べて下さい。

>>10
もうちょっとマニュアル読んだら？

ポートVLANの書き方おかしくね？

GL2000から、IX2207に交換した。
何となく満足。

>>5
私にもポートvlan の書き方がおかしいように見える。
interface GigaEthernet2.0
interface GigaEthernet2:2.0
とやっていたり、微妙におかしい。次のように書かないとだめくね?

(前略)
device GigaEthernet2
vlan-group 1 port 1 2 3 4 5 6
vlan-group 2 port 7 8
(中略)
!
interface GigaEthernet2:1.0
ip address 192.168.100.1/24
ip proxy-arp
ip dhcp binding lan
no shutdown
interface GigaEthernet2:2.0
ip address 192.168.1.1/24
(後略)

こうして、192.168.100.20のipをつけた端末を GigaEthernet2:1.0に刺せばつながるはず。

ついにオクから2025消えてる…
この夏昇天したら保守品どうすんだよぉぉぉぉ

2105 に買い替え。

>>17
マニュアルよく読めとしか。
特に設定事例集とか。確かそのままの例が書いてあったような。

IPフィルタでいいんでないの？

皆さま、ありがたいアドバイスに感謝致します。

設定事例集で言えば、15-1のVLANダギング設定でしょうかね？
ただ、私も確認しましたが、各インターフェースにDHCPを作動させる設定は載っていない気がします。。
自分の知識不足と見落としがあるかも知れませんが…

ipフィルターですか？？
帰宅後に再度マニュアルを見てみます。
そちらも検討してみます。
ありがとうございます。

マニュアル読め、で終わらせたらこのスレが盛り上がらないぞ

VLAN間の通信制限したいならIPフィルターが必要だよ
例えばこんなの

ip access-list A deny ip src 192.168.100.0/24 dest 192.168.1.0/24
ip access-list A permit ip src any dest any
ip access-list B deny ip src 192.168.1.0/24 dest 192.168.100.0/24
ip access-list B permit ip src any dest any
!
!
interface GigaEthernet2:1.0
ip filter B 1 out
!
interface GigaEthernet2:2.0
ip filter A 1 out
!

>>22
おおー、この様な方法もあるのですね。
アドバイスありがとうございます。
コマンド集と設定事例集で確認しましたが、実際のコンフィグで示して頂けたら初心者には本当に助かります。
余りにも知識不足なので、vlanタグは基礎知識上がるまで置いておきます。

元の基礎知識が薄っぺらいから、マニュアル読め！！ って言われたキツイです(笑)
応用出来るほど知識もないですし。

本日作業致しますので再度結果報告させて頂きます。

>>22
コンフィグの例文ありがとうございました。
ご指導もあって、各ポートVLAN同士のセグメントを分ける事が出来ました。
このアドバイスが無ければ、このセットアップに何日掛かったかわかりません(笑)
ただ、LAN側からは互いのセグメントにアクセス出来ませんが、何故かスマホ側からはVPN接続を行えば、192.168.100.1/24と192.168. 1.1/24にたいしてはスマホから両方へpingが飛んでしまいます。
何れにせよ、当方の勉強不足ほ明らかですので、再度勉強の上で出直してきます。
ありがとうございました。

この場合192.168.1.1(GE2:2.0)にはping通るのかな
GE2:2.0につないだ端末192.168.1.2〜254には通らないんじゃない？

>>24
流れ読まずに流し読みで答えるけど、>>22は

1行目: src(送信元) が 192.168.100.0/24 (192.168.100.0〜.255)、dest(宛先) が 192.168.1.0/24 (192.168.1.0〜.255) のアクセスをdeny(拒否)
2行目: src(送信元) が any(全て、つまり上記以外)、dest(宛先) が any(全て、同じく) のアクセスをpermit(許可)
上記をアクセスリストAと定義（適用は上から順番だったはず）

10-11行目： GigaEthernet2:2.0 の口からout(外向き)方向のパケットに対して、アクセスリストAを適用（多分1番目）

続けて3行目と4行目、7-8行目に上記と逆の定義を適用してるので、
当然L2TPのアドレスレンジはどちらとも被らないはずなので、Bとも疎通するはず。
L2TP接続から何か制限掛けたいならそのアドレスレンジにも同じようなルールが必要じゃないかと。

ごめん、「Bとも疎通するはず。」は、AともBとも疎通するはず、の間違い（対L2TP接続の話）

久しぶりに技術的な話題
通信技術板はこうでなくては

>>26
変更していなかったとするとL2TPで接続した端末に払い出されるアドレスは
GE2:1.0のセグメントと同じなんだよね。

この場合GE2:2.0のアウト方向のフィルタ(deny)に該当するから通信できなさそうに思える。
192.168.1.1(GE2:2.0)のアドレス宛は届くけど、その先はフィルタリングされるん動作になるんだっけ？

ip access-list A deny ip src 192.168.100.0/24 dest 192.168.1.0/24★
!
ipcp provide-ip-address range 192.168.100.20 192.168.100.25★
!
interface GigaEthernet2:1.0
ip address 192.168.100.1/24★
!
interface GigaEthernet2:2.0
ip address 192.168.1.1/24★
ip filter A 1 out
!

>>29
すまん、設定よく見てなかった。アドレスレンジ被せてるのか。

ip unnumberedは詳しく調べた事がないな･･というか原理が分かってないから答えようがないな。。
釈迦に説法で失礼したけど、誰か分かる人居たら個人的にも知りたい。

いつもの、マニュアル読め、設定資料集で記述事例を学んで実機で検証
って対象次第では検証環境作るだけでも結構たいへんかも

自宅でまで検証環境作って......なんてやりたくないわｗ

WAN側との通信を動的パケットフィルタ通してやっているんだけど、通信に失敗する
ケースがある。
どうもTCPコネクションタイムアウトする前に動的フィルタが期限切れで削除されて、
遅れてやってきたTCPパケットが破棄されちゃっているようにみえる。
生成される動的フィルタの有効期限を延ばす設定ってあったっけ？

■ 動的フィルタ部分のconfig
ip access-list deny-all deny ip src any dest any
ip access-list permit-all permit ip src any dest any
ip access-list dynamic dyn-permit-all access permit-all

! WAN側IF
interface FastEthernet0/0.1
ip filter deny-all 100 in
ip filter dyn-permit-all 1000 out

■ パケット破棄のSyslog例
<132> Aug 19 03:54:47 FLT[007]: BLOCK tcp 125.6.255.10:6667 > 192.168.1.32:57120, match deny-all, FastEthernet0/0.1 in
※ IRCサーバ

<132> Aug 19 13:56:29 FLT[007]: BLOCK tcp x.x.x.x:80 > 192.168.1.32:60892, match deny-all, FastEthernet0/0.1 in
※ Webサイト

ip access-list dynamic timer TIMER-TYPE TIME

で変更できるよ。

tcp-syn-timeout :
tcp-fin-timeout :
tcp-idle-time : <　TIMER-TYPEでとりあえずこれを数値を大きくしてみるといいはず。だめなら上の2つも。
udp-idle-time :
dns-timeout :
icmp-timeout :
global-timeout :

WAN側との通信を動的パケットフィルタ通してやっているんだけど、通信に失敗する
ケースがある。
どうもTCPコネクションタイムアウトする前に動的フィルタが期限切れで削除されて、
遅れてやってきたTCPパケットが破棄されちゃっているようにみえる。
生成される動的フィルタの有効期限を延ばす設定ってあったっけ？

■ 動的フィルタ部分のconfig
ip access-list deny-all deny ip src any dest any
ip access-list permit-all permit ip src any dest any
ip access-list dynamic dyn-permit-all access permit-all

! WAN側IF
interface FastEthernet0/0.1
ip filter deny-all 100 in
ip filter dyn-permit-all 1000 out

■ パケット破棄のSyslog例
<132> Aug 19 03:54:47 FLT[007]: BLOCK tcp 125.6.255.10:6667 > 192.168.1.32:57120, match deny-all, FastEthernet0/0.1 in
※ IRCサーバ

<132> Aug 19 13:56:29 FLT[007]: BLOCK tcp x.x.x.x:80 > 192.168.1.32:60892, match deny-all, FastEthernet0/0.1 in
※ Webサイト

多重書き込みしてしまった、すまん。

>>34
こんな設定あったんだね、見逃していたよ。
ありがとう。

ixユーザー目線で欲しい機能が
どんどん追加されてきてる。
特にsdnなど設定の自動化に力をいれているね。
necグループにとっては両刃の剣だろうけど

ipsecでギガの性能あるわりには
光ケーブルのsfp対応してないのは
ciscoに比べると劣ってるね

メタルじゃデータセンターで
フロアー跨げなかったり不便じゃないのか

IX3110にはSFPあるけど

レベルの高いスレの中でショボい書き込みして大変申し訳ないが、WOLしたいPCのmacアドレスを本機に登録したら、l2tpのvpn使えなくならない？？
wol terminal mac **** って言うコマンドなんだけど。。
普通にandoroid端末からl2tp接続した上で、wol send mac **** なら問題なく外部から自宅PCを起動出来る。
だれか同じ様な事やってる人居ない？？

安定運用すぎて話題に飢えてるから、レベル高い／しょぼい関係ないぞ
どんどん来きてくれ

ほんとショボ過ぎる質問で申し訳ない。。
ixも家庭用の運用のみだったらl2tpで外出先からのアクセス位しかやる事ないね…

>>41
今試してみたけど"wol terminal mac **** "でPCを登録した状態でも
スマホからL2TPで接続してブラウザからwebコンソール→Wake on LANがちゃんと見えたよ。
(IXはVersion 9.1.10でiphone4だけど)

>>42
さっそくのご解答ありがとうございまっす！ 再度、コマンド流し込んでみたら当方のしょうもないミスでした。。
原因はandoroidのdocomoスマホ側にあり、当方が使用しているmvnoのシムがテザリング使用すると勝手にapn変更されてたのが原因でした。
自宅にて外出時の環境を再現しようと、wol したい機器のmacのアドレスをixに登録した後、ノーパソでも実験出来る様にandoroidのdocomoスマホでテザリングオンにした後にvpnオンにしてました。
docomoスマホでmvno運用はテザリングした途端に勝手にapn切り替わる為に、スマホはlteを使えなくなる様でした。
ほんとショボいミスで申し訳ない。。。
しかし、次の課題はandoroidのroot化かぁ。先は長い

>>43
その手の話題は界隈じゃかなり有名だけど、MVNO初体験なら大抵ハマる所かな
# FOMA時代なら、PCとスマホの定額料金どうやって切り替えてるのかな、って所から多少察っせたんだけどね。

ともかく解決したようで、おつかれさんでした

>>44
おっしゃるとおりです。
mvno初体験です。 少し前は普通のdocomo回線でテザリングしてたので、今回は思いっきりハマってしまった。。
また、foma時代にモバイル回線でノーパソを操作されてる方々はレベルの高い人達に見えた位に、今でもまだまだ初心者です。。
これからも頑張って勉強します。

しかし、家庭でのix運用はど安定過ぎて、これといってトライする事が無い事に気付いてきた今日この頃…

バグフィクス版の9.1.11と新機能追加の9.2.20が出てる

ヤバイ、IXで十分満足してるのに買ってしまいそう・・・
http://nttxstore.jp/_RH_3110?LID=mm&;amp;FMID=mm

iosって入手は契約しないと駄目？

ワクテカしながらスペック見てたら IPsec 350Mbps で萎えた (´・ω・`)

>>48
機種によるから、CISCOのサイトでユーザー登録して試してみたら？
2960なんかは、登録だけでダウンロードできる。

スレチすまん。

ついでに3拠点のファームウェアを 9.2.20 にアップデートしたら、
IPsecが切断されたままになってしまった。

>>49
このクラスは、IOSじゃ無きゃダメって要求が無い限り、
国内品の方が性能は全然良いよ。

つか、国内品の性能がぶっ飛びすぎ。
諭吉さん10人未満でipsec Gbit越えの性能出るルーター買えるなんて、
日本位じゃ無いの・・・

cisco800シリーズって対YAMAHAで出したって言われてるアレか？
正直これを買うぐらいなら、同じ金額でYAMAHAでいいんだが
WLAN統合型でGigabitEthernetモデルなら考えてもいいけど、今時FastEthernetモデルだしな

>>52
841Mのことだったら、Gigabitだよ。IPsec性能が残念だからいらない
ことには変わりないけど。

9.2.20 は、なんだかバギーだな。
IPSec 接続張るのに時間掛かるし、Web設定にhttpアクセスするだけで、
configモードのコンソールにゴミ吐くし。

ix2015を久々にいじってみました。

お聞きしたいのですが、
switchport trunk allowed vlan all
のようなトランクの設定方法教えていただけませんでしょうか。

Router(config)# interface FastEthernet0/1.1 <FE0/1にタグVLANのポートを作る場合 0/1.x →xは1〜32まで作成可
Router(config-FastEthernet0/1.1)# encapsulation dot1q 1000 < VLAN ID 1000の場合
Router(config-FastEthernet0/1.1)# ip address xxx.xxx.xxx.xxx/24
Router(config-FastEthernet0/1.1)# no shutdown

再起動

switchport trunk allowed vlan allってVLAN-ID全部かな
IXだとポートあたり32VLANまでしか無理かも

iphoneから l2tp/ipsecで接続できるように設定してみたんだけど、
iphoneからDNS解決ができなくて困ってます

iphoneから 8.8.8.8へのpingに応答するし、ローカルPCからのネット接続は問題ない
proxy-dnsも ip name-serverも設定している

napt関係の設定必要ですか？

>>58

proxy-dns ip enable
proxy-dns server 8.8.8.8
!
ppp profile lns
authentication request chap
authentication password XXX YYY
lcp pfc
lcp acfc
ipcp ip-compression
ipcp provide-remote-dns 192.168.0.1 <これを追加してIXのプライベートIPを設定するとか
ipcp provide-ip-address range xxx.xxx.xxx.xxx yyy.yyy.yyy.yyy

>>59 ありがとうできました！

NECもサイトの設定例に書いといてくれれば良いのに

NECに言わせると、
IXルータ同士のVPNを想定しているのに、なんでスマホ接続の面倒なんか見なければならねーんだよ？好きにしろや
ってことなんだろうよ

iphone、android、windowsとご丁寧にページ分けて設定事例を作ってるのに？

ページ作ってチェックしてないのか
iphoneのところに、androidの注釈あるし
設定事例作ってる人が精通してないんだろうか

インターネット上のサイトを閲覧したいならVPN切って直接つなげろってことかもね

>>62
設定例作る人とhtmファイルlに入力する人は別だろ、当然。
で、入力する人が無能だとどんなことでも起こりうる。

目的がVPN構築してIXのLANに接続なんだし、IX経由のインターネット接続用の設定が省かれてても間違いではなくない？

だよね。業務用ルーターなんだから、むしろL2TP接続端末がIX経由して外に
繋がってしまう方が問題ある場合が多いんじゃないかな？

実際、営業が外回りの際に突発的に必要になった資料等を社内のNASから入手
するのに使わせてるけど、それ以上のことはして欲しくないし、できないよ
うにしてる。
その一方で、某国出張の際にGoogle等々への迂回路としても利用させてるが、
こちらも同じくこの用途限定にして、イントラへはアクセスできないように
してる。

時代遅れな考えかも知れないが、
VPNってPPTP、IPsec、SSL-VPN、Ehter-VPN（＝L2VPN？）とか色々あるけど、
元々は『LAN内のファイルにアクセスするために使うもの』だって思っていて、
大部分はそういう使い方をしていると思う。
なので、インターネットから入ってきて拠点ルータを経由して、またインターネットに
出て行きたいって言うと、お前一体何がしたいの？って感じを受ける。

iPhoneとかだと例えばF-secureのVPNなんかがあるが、
こいつは要はプロキシサーバ＋セキュリティ（ヤバイWebサイトブロック等）をやってくれるんだが、
それと同じで、サイトアクセスの際にソースアドレスを自分のルータにしたいってのも理由の一つとして
あるんだろうけど、それだけじゃないだろう。

街中のWiFiとか使うとき、直接インターネットに行くと盗聴とか怖いから
暗号化するために使うってのはあるんじゃないの。

今、正にix使ってとある南国からandoroidから繋げて色々やってます(笑)
2chの書き込みなんて今や外国のipから出来ないし、公開vpnやプロキシでも直ぐにアクセス拒否されてる具合ですね。
後は家のプリンター動かしたりアスタリスク鯖起動させたり。
マニュアル見る限りではnecの技術者は個人ユースの使い方なんて想定してなかった様に思えてきますね。
しかし、外部からのl2tp接続を行えば、andoroid端末に付与されたプライベートipが、show ip dhcp lease で出てくるハズと思うのですが、全く出てきません。
一応、外部からの接続端末には192.168.1.20-25 の範囲でip貸出設定をしているのですが…
どなたかご存知の方おられますか？？

>>69
DHCPではなくてIPCPでの払い出しですし。
Router(config)# show ppp provide-ip-address

>>70
あ… これは失礼致しました。。
自分の初歩的な勘違いでした。。
アドバイスありがとうございます。
そして、しょぼい質問ごめんなさい。。

レベルアップですぜ。アンタもせいちょうしたもんだ。

>>72
ありがとうございます。素直に嬉しい♪
ix使うまでは、RTX58でUIでの設定経験しかなかったもので…
最近、時間が出来たもので色々やっとります(笑)

9.1.11 と 9.2.20 どっちにバージョンアップすべきか迷うな。
ダイナミックVPNは興味あるけど、>>54の言うようにバギーなら安定性捨ててまで…という気もする。
9.2.20 使っている人いたら挙動について感想教えてほしい。

他社製ルーターに比べてIXルーターが持つ利点を簡潔に述べよ

攻めルータ　守ルータ

受けルータ

ファームアップデートしたついでに、
NGNの網内折り返しのipv6経由のトンネルIKEv2で掘っちゃうよ！と思って、
頑張ってみたら、
機能解説書の１文みて(´・ω・｀)ｼｮﾎﾞｰﾝ

>2.33.1.2 IKEv2/IPsec の未サポート機能一覧
>IX2000/3000 シリーズのIKEv2 では以下の機能をサポートしておりません。
>IKEv1 でサポートしている機能
>〜、NGN トンネル対応　〜

道理で繋がらない訳だorz

結局今までどおり、IKEｖ１でシコシコ書き直したとさ。
IKEv2使えれば、設定めちゃ楽なのになぁ、なんとかなるのかなぁ。
logging見た感じ、HGWで叩き落とされてるっぽいから、
HGW経由しなければ行けるのかなぁ。

ix2215にせっかくタグvlan機能付いてるから、netgearのgs108e導入してみたけとどうもタグを認識してくれないっぽい。。
タグvlanが機能する良いスイッチをどなたかご存知ないでしょうか？？

検索でixとnetgearの組み合わせで出てきたのってこれくらい
これに書いてあることくらいはやってみた？

http://changineer.info/network/nec_ix/
http://news.mynavi.jp/series/vlan/003/

ixは装置再起動が必須らしいけど

そんな特殊なことをやってるわけでもないし、タグVLANなんてマルチベンダ環境が普通だから
対応してない可能性は低そうに思える

>>80
もしかして、ここで出てくるネットギア製品って、型番 JGS516ですよね？？
vlan付きで安かったので、gs108eポチったが失敗したのねん… それでも5千円はしたのに…トホホ。
gs108eはポートvlanとタグvlan機能附属してますが、ixのタグvlan機能とは違うみたいですな。

>>81
ix購入してから、どんどん深みにハマっていってます。。。
値段の割りに多機能過ぎますね。ド安定だし。
しかし、外部スマホからl2tp接続ならまだしも、タグvlanなんて…と思いつつ色々やってます

>>82
いやいや、仕様にもIEEE802.1Qって書かれてるじゃないか。
タグVLANの規格なんてこれしかねーよ。

ファームが腐ってない限り、動かない方がおかしい。

>>82
いや、マイナビの方はnetgearのコマンドとかWebUIが載ってるし、ixの参考サイトは
対向はCiscoだけどixの設定が載ってるから、両方読み合わせてどうにかならないか？と思ってさ

82です。
ごめんなさい… gs108eを動かすフォームがおかしいだけでした。早とちりしました。
再インスコしたらちゃんと任意のvlan idを指定出来る様になりました。
まだ、セットアップ出来ていませんが今晩でもタグvlanでネットワーク分けてみたいと思います。
ありがとうございました

ix側に interface gigaethernet2.1(192.168.10.1 24/)
と interface gigaethernet2.2(192.168.20.1/24) をそれぞれ作成し、
各interfaceに encapsulation dot1q 10 と encapsulation dot1q 20 のコマンドを実行し、gs108e側のvlan拡張設定の802.1Qの項目を設定後、各ネットワークアドレスの分割を確認出来ました。
ありがとうございます。以上を報告とさせて頂きます。
自宅ネットワークはモデム設置位置の制約上、 1Fにix配置、2Fに各端末設置となっておりました。
もし、ixにてネットワークアドレスを2つ
以上設定すると2FまでLANを2系統配線する必要がありましたが、
タグvlan設定とgs108e設置にて2FまでのLAN配線が1条のみとなりました。
以前はこれ以上LANを増設出来なかったので仕方なくPLCを使用していましたので設備的には良くなりました。

L2TP/IPsecのアカウントを複数登録したいのですが、
いいサンプルないでしょうか。公式は1アカウントだけですのでおなしゃす
ix2015

2015ってL2TP/IPsec対応するの？

IX2015は無理じゃね？
Ver 8.10以上っしょ、IX2015 8.3止まりだから。

Ver見ずにIXみんな同じと思ってんじゃね？

複数登録したい → 一つは登録できた
と解釈して、IX2105の間違いではないかと想像してみた

ということで、L2TP用のPPPプロファイルを複数作って
それと同数のトンネルインタフェースにそれぞれbinding
ってことでいいんじゃないのかな？

試したわけではないので間違っていたら誰か修正して

これのイベントログリファレンスってなくなったん？

あるよ

DNS.036 Received error status: error, ID 0xID
エラーステータスを受信しました
エラー内容に応じて対処してください。

このエラーってどう対処すればいいのでしょうか？
わかる方教えて下さい！！

ごめん、マニュアル読まない人に教えられる資格持ってないんだよ俺

IX2215持ってたけど
ガマン出来ずにIX3110買ってしもうたわ
ファンの音静かだしどっち常用しようか迷うわ

AR570Sとかくっそうるさいけど
IX3110って静かな方なんだ

仕事がそっち系だから扱いに困らないのと、安定性とファームウェアの寿命が長いのが理由で自宅でも業務用ルータだけど、
さすがにセンター用ルータはなあ・・・・・・
tomochaじゃあるまいし

家庭用ネット回線も1Gbpsが出て来てるし
デカイのとFANの音を度外視すれば有りだと思うよ

自宅で3110を使うメリットなんてないだろｗ

showコマンド叩いてニヤニヤしたり、
古くはMRTG、TCPモニターなんかの監視ソフト動かして
トラフィックが上がり下がりしてるのを見てやっぱりニヤニヤしてる風景しか浮かばない

>>97
tomochaなんじゃね？

>>100
ええじゃん。それ好きだよ
まあ最近はVPSが優秀だからあんまり自宅でどうこうする必要がなくなったがな

MRTGといえば、後継のRRDtoolを14all.cgiとかいうスクリプトと組み合わせて使おうとしたことがあるが、
途中でわけが分からなくなって挫折したな
CactiとかZabbixとかの存在を知ったのはその後だった

初心者で申し訳ない
ＩＸ２２０７、ＩＸ２１０５でＭＡＣアドレスを手動で設定できるコマンドってありませんか？
コマンドリファレンスみたけどそれらしきものが見当たらなかったもので

なぜ最初にコマンドリファレンスを見るｗ
機能説明書の目次2-41に書いてある機能なんじゃないの？

装置自体のMACアドレスを偽装したいっていうなら無理だから潔く諦めろ
KDDI系の回線使っている奴らが過去に散々試したから
スループットを犠牲にしても構わないなら、IX---ホームゲートウェイ---インターネットの形でできるかも

ホームゲートウェイ強制の流れはまじで死ね
選べるようにしろ

>>106
回答有難うございます
偽装というかサーバー側がＭＡＣ認証なんで、予備機を置いときたいときに２機とも同じＭＡＣアドレスにしとかないと駄目じゃんと考えたもので
今手元にあるバッファローのルーターは手動設定が出来てるもので聞いてみました

>>108
基本的にデバイスとMACアドレスは1:1で紐付いているべきものなので
サーバ側にIXのMACアドレスを登録する方が正しい使い方と思います

運用面でも予備機かどうか区別出来たほうがいいのでは？

機能の種類によっては業務用よりも家庭用の方が先進的と言える部分があるんだよな
思い出したように話題に挙がる仮想MACアドレスとか
先進的って言い方は変かもしれないけどさ
典型的なのが無線LANの規格で、家庭用で『n』が普及しても業務用はa/gからなかなか発展しなかったし

>>109
>>110

ご回答有難うございます
やはり変えられないのが正当なんでしょうね
サーバー側に聞いてみます

9.2.24/9.1.13 出てた。

だいたい3、6、9、12月の年4回くらいのチェックで足りるんだよな

いよいよIX2005も最終ファームかもな

>>114
8.9止まりだからね

YAMAHAがRTX5000&3500出してきて大分経つけど
NECはマルチコアCPU使ったIX3110の後継出さないのかな？
発売されれば3110が大量放出されそうだから楽しみにしてる

YAMAHAのセンタルータは安定性に欠けるイメージが強い

YAMAHAは一般向けも良くない。ちょっと攻撃されると直ぐCPU負荷100％になって
通信できなくなる。その攻撃受けてるときにIX2015に変えただけで、CPU負荷40％
くらいにはなったけどいつもと変わらず普通に使えた。

スペックが良くないのもあるけどソフトがよくないよね

CPUが格段によくなったRTX1210ではだいぶましになったけど
RTX1100とかなんで売れてるのか理解出来ないレベルだったな
家鯖やってるやつとかがRT58iとかRTX1100とかに変えて
家庭用の時より逆に悪くなったとかよく聞いた。

ix2015のNAT処理の速さは当時としては神がかりだったね
RTX1210でもNATテーブルが増える度に1msずつルーティングが遅くなってくし。
え、RTXはそういう目的のルーターじゃないって？

RTXは設定可能値をスペック値としているが
IXは動作保証値をスペック値としている違い

富士通も古河電工（filtelnet）も業務用ルータはあるが、いかんせんなじみがないので皆YAMAHAに流れる
なんせビッグやヨドバシの店頭に置いてあって気軽に買えるのはYAMAHAのRTXくらい
Webの技術情報も異常なくらい充実してるしな
よくもまあテキストであんな図を描こうと思うわ

ヤマハは不特定多数、鯖にはむかない
あれは拠点同士でトンネル掘って、外向けは全部閉じる用途で使うもの

ヤマハとNECでは販売チャネルが違うからなあ……

2ちゃんでスレが過疎ってる、もしくは死んでるも同然な機器は見向きもされないだろう
通信技術板のルータ関連でわずかでも勢いのあるスレってこことYAMAHAくらい
Ciscoに至っては、公式サイトで検索して意味が分からないなら扱うべきではない

技術サポートすれば本当に売れると思うけど
大手さんは小口なんて相手する気ないからしょうがないか

昔はマクドナルドで使われてたんだっけ？
次に入札に買ったのが富士通で、機器が全部入れ替わるからっていうんで、中古のIXがわんさか出回って値崩れしたって
昔何かで見たか聞いたかしたことがあるけど
そういうところと一件決まってしまえば、1店舗に1台の設置だったとしても一気に何百台お取引いただきました〜の計算だもんな
何よりも、自宅鯖やVPNなんてのは世間からすればまだまだマニアの領域なだけに個人市場の拡大には限界がある

俺が聞いたのは郵便局だな

数でいえばSEJとかKFC/PHとかかな

業務用Atermみたいなのはないのかと探していたらWAシリーズなんてあるのな
初期モデルはIXとペアで使うことが前提のアクセスポイントというか、ホテルルーターみたいなものだけど、
最新モデルはLANも4ポート用意されていて個人利用も想定できるようになってきた
しかし、高いなぁ

ルーターならともかく、専用無線APに4ポートも使うだろうか･･

>>130
最新モデルはPPPoEも喋れる普通の無線LANルータみたいだが？

ix2215ど安定過ぎて家庭用ではやる事が何もなくなった
WOLの設定したら、PCシャットダウンした時に何度か勝手に再起動する位か……
問題はix以外にある気がする

VLANで group 1 group 2 にわけて
レイヤ3のルーティングでgroup 1 から group 2 に通信する方法ってどうするのん？

>>133
各グループにBVI1, BVI2といったように仮想インターフェースを作って
それぞれにIPアドレスを割り振ればればよい

>>134
「れば」が一つ余計だった

! ありがとう
! しかし教えて頂いた事をヒントにやってみるも上手くいかず…

device GigaEthernet1
vlan-group 1 port 1
vlan-group 2 port 2

ip access-list v1 permit ip src 192.168.100.0/24 dest any
ip access-list v2 permit ip src 192.168.200.0/24 dest any

route-map route1 permit 100
match ip address access-list v1
set interface GigaEthernet1:2.0

route-map route2 permit 100
match ip address access-list v2
set interface GigaEthernet1:1.0

interface GigaEthernet1:1.0
ip address 192.168.100.1/24
ip policy route-map route1
no shutdown

interface GigaEthernet1:2.0
ip address 192.168.200.1/24
ip policy route-map route2
no shutdown

! 192.168.100.2 や 192.168.100.3 から 192.168.200.1 は pingが通る
! でも 192.168.200.2 や 192.168.200.3 等は通らない…

つーか、普通にVLAN切っただけだったら、ルータは自分で抱えてるネットワークは
あらかじめ分かってるんだから、ルーティングの設定なんていらないと思うんだけど？

それと、通信できないって言っておきながら、頑なにアクセスリスト（ファイアウォール）を
手放さないのってなんなんだろうね？

>>136
なんか言ったことが実践されていないんだが．．．

device GigaEthernet1
vlan-group 1 port 1
vlan-group 2 port 2
!
interface GigaEthernet1:1.0
no ip address
bridge-group 1
no shutdown
!
interface GigaEthernet1:2.0
no ip address
bridge-group 2
no shutdown
!
interface BVI1
ip address 192.168.100.1/24
bridge-group 1
no shutdown
!
interface BVI2
ip address 192.168.200.1/24
bridge-group 2
no shutdown

これで、グループ１、グループ２の端末のGWがそれぞれ192.168.100.1、192.168.200.1になっていれば通信出来るはず

あれ？俺完全に勘違いしてたみたい
単純にポートVLAN切っただけで、他のインタフェースとブリッジしてるわけではないのね？

だったら

device GigaEthernet1
vlan-group 1 port 1
vlan-group 2 port 2
!
interface GigaEthernet1:1.0
ip address 192.168.100.1/24
no shutdown
!
interface GigaEthernet1:2.0
ip address 192.168.200.1/24
no shutdown

で、グループ１、グループ２の端末のGWがそれぞれ192.168.100.1、192.168.200.1になっていれば通信出来るはず

>>136
IX使ってる割にその挙動よく理解してないんだけど、内向きのポリシーは要らんの？
# クラスCから外向きのポリシーは定義されてるみたいだけど

>>139
ありがとう
route-map を削除したらいけました

しかし実際の運用では access-list を指定して細かく色んな出口を振り分け、
それ以外のルートは決まった出口に出るようにしています

route-map route1 permit 100
match ip address access-list al1
set interface GigaEthernet0.1

route-map route1 permit 200
match ip address access-list al2
set interface GigaEthernet0.2

route-map route1 permit 10000
match ip address access-list all
set interface GigaEthernet0.3

そこで route-map を使い、宛先が 192.168.200.1/24 のときは
interface GigaEthernet1:2.0 へと振り分けたいのですがどの様にすればよいのでしょうか？
私が先述記載した設定では上手くいきませんでした…

> ! でも 192.168.200.2 や 192.168.200.3 等は通らない…

そもそも192.168.200.2や192.168.200.3に該当するPCって存在してる（接続してる）のかな？
あとは、OSと問わずそれぞれのPCのパーソナルFWの設定でICMPの送受信を許可してあるのか？

とか色々と情報が足りない気がする
WindowsマシンだってXPからMS謹製のFW（ただし受信専用）が動いていて、Vistaからは送受信
ともチェックするようになったからな
UNIX/Linixはiptables（今はnftables？）を使ってなければヌードだが
Macは知らん

>そもそも192.168.200.2や192.168.200.3に該当するPCって存在してる（接続してる）のかな？
存在しています

>あとは、OSと問わずそれぞれのPCのパーソナルFWの設定でICMPの送受信を許可してあるのか？
直接接続や同一セグメントないの通信等で許可になっていると確認してあります
またIXからは192.168.200.2や192.168.200.3にpingが通ります

>>141
VLANとroute-mapと2種類のプロバイダを駆使して色々やっている人のページがあったぞ。

https://sites.google.com/site/tohinav/nettowaku-kanren/burodobandoruta/nec-ix2015

ちなみに検索キーワードは、"ix2015" "vlan" これだけだ。
あとは、"ix2015" "vlan" "ルーティング" とか "ix2015" "vlan" "ポリシールーティング" とかでもいいだろう。

あとは、好きな飲物を用意してからじっくりと公式の設定事例集を読むことをすすめる。
まず2ちゃんで相談とかやってると見落とされがちだが、仮にも公式資料なんだからちゃんと書いてあるはずなんだよ。
『ポリシールーティング』の項目を追ってみるといい。

あと少しだ、がんばれ。

>>141

> 宛先が 192.168.200.1/24 のときは
というのであれば、

ip access-list v2 permit ip src 192.168.200.0/24 dest any

ではなく、

ip access-list v2 permit ip src any dest 192.168.200.0/24

になるんじゃないの？
んで、ルートマップはインタフェースに適用しないと何の意味もないって説明書自ら書いてあるから、

ip access-list v2 permit ip src any dest 192.168.200.0/24
route-map route2 permit 100
match ip address access-list v2
set ip next-hop 192.168.200.1

ってやって、ルータを通過するパケットの内で192.168.200.0/24宛のパケットは全部192.168.200.1（＝GigaEthernet1:2.0）
に集中するようにすればよくね？

>>141
route-map 使うときは経路選択の使い方に注意して
set interface が使えるのはPPPoEとかトンネルインタフェースとかに限る
それ以外は set ip next-hop にする

>>145
すまん、追加
> ルートマップはインタフェースに適用しないと何の意味もない
って言っておきながら忘れたわ

ip policy route-map route2

をルータのGigaEthernet1:2.0以外のインタフェースに適用な

上手くいったらコンフィグ公開してくれ
実運用のコンフィグ例は貴重だ

みんなありがとう
上手くいきました
ちなみにいけなかったところはこちら(>>145)のご指摘通りの部分でした…

詳しくは>>136に対し以下の変更を行うことで希望の動作が得られました
>ip access-list v2 permit ip src 192.168.200.0/24 dest any
↓
>ip access-list v2 permit ip src any dest 192.168.200.0/24

それとこちら(>>145-146)の set ip next-hop なんですが、
>set ip next-hop 192.168.200.1
としても、192.168.200.0/24 宛が192.168.200.1 で止まってしまい
到達確認が出来ませんでした。(VLANグループの中だから？)
なのでこちらは set interface GigaEthernet1:2.0 のままとしました

以上、最後までお付き合い頂いてありがとうございます
本当に助かりました

ここの人たちが満足する無線ルータってなに？

>>150
無線ルーターとして使わないから
詳しくない

>>150
UNIVERGE買うような奴は
無線LANルーターなんかに目もくれず
業務用のゴッツイアクセスポイント買うよ

>>133
何か根本的に設計がおかしいっぽいから見直した方が良さそう。
ポリシールーティングの条件がdestって普通のルーティングで良さそうだし、
離れた場所で同セグメントがあるから何とかしたいって話なら
proxy arpを使った方がいい

俺も変だと思う。
設定事例集見てみたけど、ポリシールーティングで指定してるのって対向ルータの
IPアドレスであって、自分自身を指定するなんて初耳。
>>137のとおり、ルーターは自分が直接つながってるネットワークについては
自動的にパケットを転送するはずなんだから。
そのルーターだけじゃなくて、対向のネットワークも見なおした方がいい。

>>150
昔はCisco Aironetにあこがれた時期もあったけどAtermで十分と気づいた
無線LANはすぐに次世代の規格が出てきて落ちつかないからあまり追いかけたくないし

>>133 が一体何をしたいのか全体像が知りたい。もう現れないのだろうか。

わざわざVLAN分けてんのにVLAN間ルーティングしたいってことは、子供のゲーム機用
にネットワーク分けたい訳ではなさそうだしな
しかし、およそ15時から翌0時までハマるってなかなかだな

でも久々に盛り上がったからいいじゃん
みんなネタに飢えてたんだな

そこはほら
曲がりなりにも通信技術板ですから

>>150
openwrt使っている。
速度や安定性の面ではカスだけど、SSIDとVLANのマッピングできたり
syslog吐けたりcronで色々できたりと、機能面では業務用に匹敵するので。
満足はしていないけど、コスパは良いのでやむなし。

>>152
それは言えてる
昔買ってずーっと使ってる今のAMEが壊れたら、業務用アクセスポイント買うわ多分
ただ出力がでかすぎて頭痛くならないかちょっと心配だが

ただ無線LANルーターよりアクセスポイントの方が高いんだよね
無線LANルーターをAPモードで使えばいいんだろうけど
なんとなく納得いかない

スレ違だけど俺は今度出るアライドのAP買おうかと思ってる。
5年保証付きで5万未満だったから。

自宅にDLNAサーバ(PCにTVersity)を置いて、実家のPS3で動画再生することってできる？
IXはそれぞれに1台ずつ置けるように持ってる。

やってる人いるね

http://www.plex-net.co.jp/grandprix/grandprixplex_en17.html

EtherIPなら高確率で出来そうな感じかな。
IPsecで接続したIX2台でpim-smでもいけるかも？

>>163
フレッツだとプロバイダによっては速度的にTS生は厳しいよ
auひかりとかでやれば良いけどアップロード制限もある
生は危険

そのとおり
生はよくない

そうそう、やるなら穴掘らないとね･･（意味深

おーい、生ってどういう意味？
穴掘るってVPNのトンネル？？

>>169
TSの生データとトンネルの意味での生

>>169
穴掘る云々は茶化しただけだから気にしなくて良いよ

>>171
すまぬ……
生は未圧縮データこと？
データ量でのプロバイダ規制って事かな？？
気になって夜も寝れなくなってきた

未圧縮だからビットレートが高くてインターネット経由だと速度的に厳しいかもってことだろ

>>164のリンク先とそのまたリンク先も読むと、RTTが7ミリセカンドの壁もあるみたいだしな
だからTVを直接DLNAサーバとかいうのにするんじゃなくて、PCサーバで一度録画したファイルを
PS3で再生しようってことなんだろ
TVとPCサーバの間はLAN内で済むから7msecもどうにかなるだろうし、使おうと考えてる
ソフトは対応形式も多いみたいだし
dlna+tversity+ps3のキーワードでググると一杯出てくるわ

>>173
おおーそういうことか
レスありがとー
自宅回線ADSLの俺には遠い世界の話だわ

同一のネットワークアドレス（例　192.168.1.0/24）の２拠点をフレッツ光ネクスト経由でブリッジ転送するには以下のコンフィグでＯＫ？　! site1 sample configuration
hostname Router1
username admin password plain secret administrator
ip route 192.168.1.0/24 Tunnel1.0
ip ufs-cache enable
ip access-list sec-list permit ip src any dest any
ike proposal ikeprop encryption aes-256 hash sha
ike policy ngnike-1 peer ngn-dynamic key secret mode aggressive ikeprop
ike local-id ngnike-1 keyid ngnid-router1
ike remote-id ngnike-1 keyid ngnid-router2
ike nat-traversal force
ipsec autokey-proposal secprop esp-aes-256 esp-sha
ipsec dynamic-map ngnsec-1 sec-list secprop ike-binding ngnike-1
ipsec local-id ngnsec-1 192.168.1.0/24
ipsec remote-id ngnsec-1 192.168.1.0/24
ngn profile ngnprof-1
bandwidth 1000
interface GigaEthernet0.0
ip address dhcp
service-policy enable
service-policy output default-policy-map-ngn
ngn ip enable no shutdown
interface GigaEthernet1.0
ip address 192.168.1.254/24 no shutdown
interface Tunnel1.0
tunnel mode ipsec
dialer string 22-0000-0000
idle-time 120
ngn binding GigaEthernet0.0 ngnprof-1 ike-policy ngnike-1
ipsec policy tunnel ngnsec-1 pre-fragment out
ip unnumbered GigaEthernet1.0
ip tcp adjust-mss auto no shutdown

>>176

ひかり電話を契約してデータコネクトで接続しようとしてる？
2拠点間を同一セグメントで接続するなら、データコネクトとether-ip(ipsec)を
組み合わせるような設定にしないとだめだと思うよ。

.
.
板違い（？）の上に、話をさえぎってしまいゴメンナサイ！(*_ _)人
でも、この板のユーザーさんにも有意義な告知かと思うのでカキコませてください。

★ 謝礼は十分いたします ★　アメブロなどのサイト制作ができる方！！　

アメブロなどを使用してのサイト制作のできる方を早急に求めています！
私はリケジョやPC女子からはほど遠く、サイト作成にはまったく疎いのでとても不自由しています…(> <；)
そこで私に代わりサイトを作成してくださる方を求めてこの場をお借りしました。

■サイトの内容…
アダルト系、違法性、その他公序良俗に反するものではありませんのでご安心ください。

■サイト制作の仕様ベース…
アメーバブログで十分です。願わくばwordpressなどのブログ形式のサイトを希望します。
それに準ずるもので使い慣れたものがあれば別のものでも構いません。

■条件はありません…
技術さえお持ちでしたら、学歴・職歴等は一切問いません。
フリーター、ニート、高齢ニート、コミュニケーション障害をお持ちの方、引きこもりの方、中年失業者、長期無職等、歓迎！

■作業形態…
作業は在宅でやって頂くことになりますので、時間の指定は一切ありません。別のお仕事の傍らに…でもOKです。

■詳細をお知りになりたい方は…
下記メールアドレスまでご連絡ください。詳しく書いた返信文を差し上げます。

※真剣な告知です。冷やかしはご遠慮ください。

井 上
inoue1952w★gmail.com
迷惑メール対策のため＠部分を★にしてあります。
実際に送信する際には★を＠マークに変えてください。
.
.

age

いまIX2105をマルチセッションで自宅鯖してるんですが、
PPPoEがけっこう重いらしく混雑時間には稼働率100%がザラに・・・

IX3110とIX2105ってオクで同じような値段なので、
性能を考えたらIX2105を2台にするよりIX3110のほうがお得・・・・

ファンが付いてる・デカい・動作温度が４０度っていう点でIX2105のほうが人気なんでしょうか？
それともみんな新品買ってるの？！

こういうルーターのファン付きはくっそうるさいし
こんなでかいの家庭で使いたいやつはいない

それでいて中古品を業務で使いたい業者はそんなにいないってところだろうか

>>180
IXでPPPoEが足枷になるほど重くなることはあまり聞いたことがないんだけど
切り分けはちゃんとした？

>>181も言うとおりIX3110は大きくてFANがうるさいから設置場所を選ぶよ

VPNについて教えてください。
VPNのクライアント側にIX2025を使用していますが、VPN接続する側のPCを必ず下記のように固定しないとできませんか？

ip napt static 192.168.0.100 tcp 1723
ip napt static 192.168.0.100 47

IX2025ではなくて他の家庭用ルーターなどをVPNのクライアント側に設置する場合は、その家庭用ルーターに接続しているPCやスマホなど複数端末から自由にVPN接続することができます。
IX2025でも同じようにVPN利用端末を固定しない方法はありませんか？

>>181さん
>>182さん
相当なレベルでファンがうるさいんですね・・・大きさはなんとかなるとしても、、悩みます。

PPPoE2本繋いでるだけで稼働率半分もっていかれて、
混雑時間のWebやWebSocketのNAPTであと半分持っていかれる感じです。

教えてくださってどうもありがとうございました。

PPPoEが重いというか、サーバへのアクセス数とかNAPTセッションが多すぎってことね

>>183
まず家庭用ルータなら複数端末から接続できてるのがよくわからないんだけど、
普通はどちらにしてもstatic napt(VPNパススルー)の設定が必要だから1台に限られるんじゃない？

[VPNクライアント(複数台)] --- [ルータ(NAPT)] ----- <internet> ------ [VPNサーバ]

この構成で複数台のVPNクライアントがVPNサーバに接続するには、
PPTPはあきらめてIPsec NATトラバーサルにするか、グローバルIPをLAN型払い出しで
契約するとかしかなさそうな気がする。
IPsecにするならルータからトンネルを確立した方が良さそうだけど。

カタログスペック上OKだからといって、調子に乗ってNATテーブル許可数65535なんてやってると痛い目を見たりする
Apacheだって初期状態だとMAXCLIENTは100くらいになってるはずなんだから、例えば4096もあれば十分だと思うんだが
なお4096の根拠は、かつてのYAMAHAのRTXシリーズがそうだったからという安直な理由から

>>183
NATの部分のコンフィグだけ書かれてもIX2025の相手（VPNサーバ）が何なのか分からないし、
どんな方式（IPsec？PPTP？）でVPNを構成しているかも分からないから、
それぞれの機器の設定事例集見た方が早いよ。
スレ住人はエスパーじゃないし。

>>184
ixシリーズはYAMAHAの糞ルーターと違って、
NAPT増えても結構さくさく動くけど
非力なix2105でなんでもかんでもやってる状態で無理させない方が良いと思う。

別に上限は下げなくてもいいので
TCPなどのエージング時間をもっと任意に短め設定にすると
これだけでかなり良くなると思う。

ix3110を持ってないからわからないけど
この手のルーターのファンは、通常いる部屋や寝室で改造無しで使わない方がいい
パソコン一台より、甲高くてうるさいことが多い

>>188
大体わかるし、>>186も分かってるようにみえる

>>186
ご指摘のように業務用ルータで考えると、クライアント側ルータでIPsec NATトラバーサルするのが手っ取り早いのかもね。
でもクライアント側が海外にあるので、日本のIPだと閲覧しにくい現地のサイトがあって、
クライアント側のPCやスマホで見るサイトによってVPNのON/OFFを切り替えて利用したいと思っていました。
現在、クライアント側で使用中の家庭用ルータでは、複数端末から日本側VPNルータ（RTX1200）に
PPTPやL2TP/IPsecで同時接続できています。
業務用ルータではこんな変則的な利用方法は想定してないんだろうな

>>191
それでも家庭用ルータなら同時接続できてる理由はよくわからないですねー
もしかしてUPnPで後から接続しようとした端末が優先されてるような状態なんじゃないですか？

家庭用としての使用を想定した運用をしています。
現在、WAN側のみInterLink固定割当で、NATにて使用中。
下記コンフィグのように書いているんだけど、フィルタの当て方間違ってねえか？とおもい悩んでます。
最初に全許可（全開放）してから不味いポートを閉じる運用が正解なのでは？と思ってます。

結局、NAPT設定してポートフォワードしないかぎり、LANには入れないとは思うのですが、このあたりのところすっきりしません。

・フィルタ適用は全開放→要所締めるでいいのか？
・結局、ポートフォワードしないかぎり、WAN側からLAN側へはアクセス出来ないのだから、フィルタ設定は大して意味ないのでは？全クライアントがグローバルIP付与なら話は違う気がする…。

という二点の疑問があります。過去スレで二点目に関しては、NAPTが簡易FWになるという発言も見られましたが、いまいちすっきりとしていません。

config自体、設定事例集やWEBのつぎはぎで、無駄も多いと感じます。先輩の皆様方のアドバイスお願いします。

以下、問題のコンフィグ（一部省略）


!
ip route default FastEthernet0/0.1 distance 100
ip route default FastEthernet0/1.1
ip dhcp enable
ip access-list admin_console permit ip src any dest 192.168.50.0/24
ip access-list all-block deny ip src any dest any
ip access-list all-forward permit ip src any dest any

>>193の続き
ip access-list lan-allow permit ip src 192.168.50.0/24 dest any
ip access-list management permit ip src 192.168.50.0/24 dest any
ip access-list management2 permit ip src 192.168.2.0/24 dest any
ip access-list nbt-block deny tcp src any sport any dest any dport eq 135
ip access-list nbt-block deny tcp src any sport range 137 139 dest any dport any
ip access-list nbt-block deny tcp src any sport any dest any dport range 137 139
ip access-list nbt-block deny tcp src any sport any dest any dport eq 445
ip access-list nbt-block deny tcp src any sport eq 445 dest any dport any
ip access-list private-block deny ip src 192.168.0.0/16 dest any
ip access-list private-block deny ip src 172.16.0.0/12 dest any
ip access-list private-block deny ip src 10.0.0.0/8 dest any
ip access-list private-block deny ip src 0.0.0.0/8 dest any
ip access-list private-block deny ip src 127.0.0.0/8 dest any
ip access-list private-block deny ip src 169.254.0.0/16 dest any
ip access-list private-block deny ip src 192.0.2.0/24 dest any
ip access-list private-block deny ip src 224.0.0.0/4 dest any
ip access-list srv-pass permit tcp src any sport any dest any dport eq 80

>>194続き
ip access-list srv-pass permit tcp src any sport any dest any dport eq 443
ip access-list srv-pass permit tcp src any sport any dest any dport eq 3050
ip access-list srv-pass permit tcp src any sport any dest any dport eq 5901
ip access-list srv-pass permit tcp src any sport any dest any dport eq 5555
ip access-list srv-pass permit udp src any sport any dest any dport eq 500
ip access-list srv-pass permit udp src any sport any dest any dport eq 4500
ip access-list srv-pass permit udp src any sport any dest any dport eq 1701
ip access-list srv-pass permit udp src any sport any dest any dport eq 2022
ip access-list tcp-pass permit tcp src any sport any dest any dport any
ip access-list udp-pass permit udp src any sport any dest any dport any
ip access-list dynamic tointernet dns src any dest any
ip access-list dynamic tointernet ftp src any dest any
ip access-list dynamic tointernet http src any dest any
ip access-list dynamic tointernet sip src any dest any
ip access-list dynamic tointernet telnet src any dest any
ip access-list dynamic tointernet access tcp-pass
ip access-list dynamic tointernet access udp-pass
ip ufs-cache enable

>>195続き
ip name-server 203.141.128.33
ip name-server 8.8.8.8
!
proxy-dns ip enable
!
telnet-server ip enable
telnet-server ip access-list lan-allow
!
http-server username admin
http-server ip access-list admin_console
http-server ip enable

ppp profile interlink
　（略）
!
ip dhcp profile shanai-lan
assignable-range 192.168.50.30 192.168.50.60
default-gateway 192.168.50.1
dns-server 192.168.50.5 192.168.50.1
fixed-assignment （略）
!
!
次で最後です

interface FastEthernet1/0.0
ip address 192.168.50.1/24
ip dhcp binding shanai-lan
no shutdown
!
（中略）
!
interface FastEthernet0/1.1
encapsulation pppoe
auto-connect
ppp binding interlink
ip address ipcp
ip napt enable
ip napt service
ip napt service （略）

ip filter nbt-block 10 in
ip filter private-block 20 in
ip filter srv-pass 130 in
ip filter ssh-pass 140 in
ip filter ftp-pass 150 in
ip filter gwmng-pass 60000 in
ip filter all-forward 65000 in
ip filter all-forward 65000 out
no shutdown
!


小出しにすると判断しにくいと思いほぼ全文投稿させて頂きました。
過疎スレとはいえ、貴重なスレ消費、失礼しました。

>>193
・フィルタの適用順序は「シーケンス番号→その中でアクセスリストの上から→どれにも該当しなければ次のシーケンス番号…」という流れなので、

>・フィルタ適用は全開放→要所締めるでいいのか？
この場合だとall permitが先に全部通してしまうのでだめです。

・一部開放→全部締める(実際は暗黙のdenyなので、設定はpermitだけ)
・一部締める→全部開ける

そのため、上記のどちらかのフィルタ適用順序が一般的です。


>・結局、ポートフォワードしないかぎり、WAN側からLAN側へはアクセス出来ないのだから、フィルタ設定は大して意味ないのでは？
NAPTがある時点で外側開始の通信は遮断されているので、フィルタ設定はそれほど意味はありません。
使うとすれば、ポートフォワードしている通信の中で、一部のソースアドレスをblockしたい場合などではないでしょうか。

なんか昔書いたYAMAHAのサンプルコンフィグをIX用に変換したものに似てる
その後変な自称知識人に絡まれたがｗ

>>198
回答ありがとうございます。勉強になります。>>198の回答をまとめますと、

・開放したいポートを列挙→その後全部締める
→この方法だと開放したいポートを限定でき、家庭用ルータの設定ポリシーと似通ったものになる。暗黙のdenyを用いる方法であるので、permitだけ記載すればOKである。

・一部締め全て開ける→上記と逆のアプローチ

・現在設定している内容だと、ほぼ意味無しなので改善すべきだ。

ということでしょうか。ただ、結局NAPTがありますので、フィルタ設定にそれほどシビアになる必要はなさそうですね。海外IPブロック対策などでは有用そうですので、そちら方面での使用を検討してみます。


もう一点ご教示願います。LAN内部の一部ホスト（例：XP機などイントラのみで動作させたいもの）のパケットをWANに出したくない場合は、LAN側インターフェースでフィルタ制限を行えば良いのでしょうか?先ほどの設定例ですと、特定ホスト用フィルタ
ip access-list XP-block deny ip src 192.168.50.150 dest anyを定義し
interface FastEthernet1/0.0に対して
ip filter XP-block 10 outと設定してやる感じでしょうか？

DNSサーバー欄を空欄にするという対応でも対処は可能なのですが、イントラ内で稼働しているサーバにはアクセスしたく、それらの名前解決をdnsmasqで簡易的に行っているため、ゆくゆくはルータ側フィルタで制限をかけたいと感じてます。

>>200

>ip access-list XP-block deny ip src 192.168.50.150 dest anyを定義し
>interface FastEthernet1/0.0に対して
>ip filter XP-block 10 outと設定してやる感じでしょうか？

LAN側IFでフィルタを掛けるなら、この場合は"ip filter XP-block 10 in"ですね。
あとこれだけだと暗黙のdenyで全部破棄されるので、"permit ip src any dest any"をXP-blockより後ろに設定しないといけません。

>イントラ内で稼働しているサーバにはアクセスしたく、
同一セグメントなのでフィルタリングせずにSW-HUBで折り返すので、LAN-IFでフィルタ設定をしていても
通信できると思いますが、VLANを分ける場合はWAN-IFのout方向でフィルタを掛ける方法に変えた方がいいです。

>VLANを分ける場合はWAN-IFのout方向でフィルタを掛ける方法に変えた方がいいです。
またはsrc,destを両方指定してLAN-IFのin方向でフィルタでもいいです。

>>202
ありがとうございます。勉強になります。
今のところVLAN切る予定はないのですが、後々の予定としてそういった体制も検討しているところでした。参考にしてみます。

LAN側IFでフィルタを掛けるなら、この場合は"ip filter XP-block 10 in"ですね。
あとこれだけだと暗黙のdenyで全部破棄されるので、"permit ip src any dest any"をXP-blockより後ろに設定しないといけません。

私の場合、中→外への通信をブロックしようとしたためoutにしておりました。正解は外→中でin指定ですね。
確かにWANからの通信がブロックされれば外には出られないわけですので、これで良さそうです。

はじめはｌAN側IFでやってしまおうかと考えていたのですが、結局WAN側IFで一括してやったほうが、設定もまとまり楽かなと感じました。
ありがとうございました。

家庭用使用なのに、DHCPプロファイルが社内LANってのにワロタｗ

>>203
まだいるか？
よければフィルター部分だけでも書くけど？

いないな
おやすみ・・・・・・

>>206
ああ惜しかった弟にVPNってなになどと聞かれてしまい、少しだけ話しをしていました
（むやみに実家ネットワークをｖｐｎアクセス可能にしようとしていたので）

また明日にでも、サンプルコンフを見せていただけると有り難いです。勉強になりますので…。

今実家に帰っており向こうの拠点とはether-ip接続なので設定変更はドキドキですが。

>>204
それは最初の設定の時何処かからコピーしてきた時の名残ですね。
今更めんどくさくて放置してました。

来週アキバに行くのでIX2105でも確保しようかな〜と思っているのですが、まだ一万円台後半ですよね。
GBE機はなかなか下がりませんよねえ。

見てるなら貼るわ。

家庭での使用を想定しているとのことなので、
http://jp.yamaha.com/products/network/solution/internet/opticalfiber_command/
と同じレベルの運用ということで良ければ。

※プライベートセグメントは　192.168.50.0/24
　ルータのLAN側アドレスは　192.168.50.1/24
　LANインターフェースはFastEthernet1/0
　WANインターフェースはFastEthernet0/1
　をそれぞれ使用している想定で。
※動的フィルター（ステートフルパケットインスペクション）使ってます。
※IPv4アドレスのみ想定してます。
※お漏らし対策をするだけで、LAN内は自由に行き来できるようにするために、フィルター適用は全部WANインターフェースです。



# 特定マシンをインターネットにアクセスさせたくないけど、LAN内は行き来したい
# dhcpコンフィグレーションモードに移行
ip dhcp profile [プロファイル名]

# MACアドレスを登録し、特定のマシンには特定のアドレスが割り振られるようにする。
fixed-assignment 192.168.50.254　XX:XX:XX:XX:XX:XX

# MACアドレスは:(コロン)区切り。詳細はコマンドリファレンスを。

でもこれはやってあるみたいだね。

#　動的フィルターで使うので全部通過させる
ip access-list for-dynamic permit ip src any dest any

#　動的フィルター
ip access-list dynamic dynamic01 access for-dynamic

#　ブラスターウイルス
ip access-list blaster-block deny tcp src any sport eq 135 dest any dport any
ip access-list blaster-block deny tcp src any sport any dest any dport eq 135
ip access-list blaster-block deny udp src any sport eq 135 dest any dport any
ip access-list blaster-block deny udp src any sport any dest any dport eq 135

#　NetBIOS
ip access-list netbios-block deny tcp src any sport range 137 139 dest any dport any
ip access-list netbios-block deny tcp src any sport any dest any dport range 137 139
ip access-list netbios-block deny udp src any sport range 137 139 dest any dport any
ip access-list netbios-block deny udp src any sport any dest any dport range 137 139
ip access-list netbios-block deny tcp src any sport eq 445 dest any dport any
ip access-list netbios-block deny tcp src any sport any dest any dport eq 445
ip access-list netbios-block deny udp src any sport eq 445 dest any dport any
ip access-list netbios-block deny udp src any sport any dest any dport eq 445

# ident
ip access-list ident-block deny tcp src any sport eq 113 dest any dport any
ip access-list ident-block deny tcp src any sport any dest any dport eq 113
ip access-list ident-block deny udp src any sport eq 113 dest any dport any
ip access-list ident-block deny udp src any sport any dest any dport eq 113

#　ip spoofing攻撃、land攻撃、smurf攻撃の対策として、プライベートセグメントと同IPからの発信を防御する
ip access-list private-block deny ip src 192.168.50.0/24 dest any

# 特定のマシンからインターネットへのアクセス制限をする
ip access-list no-internet deny ip src 192.168.50.254/32 dest any

#　全部拒否する　※暗黙のdeny anyあるけど視覚的に明示するため
ip access-list all-deny deny ip src any dest any

#　プライベートセグメントからのみルータへのtelnet／http／sshアクセスを許可する
ip access-list management permit ip src 192.168.50.0/24 dest any

#　WANインターフェースにフィルター適用
interface FastEthernet0/1.1

※インターネット側から防御する
　ip filter ipspoof-block 10 in
　ip filter all-deny 20 in

※インターネットへ漏れないようにする
　ip filter blaster-block 10 out
　ip filter netbios-block 20 out
　ip filter ident-block 30 out
　ip filter no-internet 40 out

※動的フィルタ
　ip filter dynamic01 50 out

# telnet／http／sshサーバ機能にフィルター適用
telnet-server ip access-list management
http-server ip access-list management
ssh-server ip access-list management

以上。
遠隔地からの設定は地雷。
頑張って。

設定し終わったら

http://www.mc6800.org/PHP-BIN/SURVEY/PHP_NETWORK_SECURITY_SCANNERS/

で、自分のグローバルIPに対してポートスキャンができるので、
0番から65536番まで指定して穴が無いかチェックするといい。

>>208
ドヤ顔で貼られてますが、NAPT併用、一部のサーバ公開が考慮されておらず、
ただ動的フィルタと危険なポートブロックをしているだけなので参考になりません。

質問の意図の理解度が非常に低いと見受けられます。

>>208
それpart5に貼られてたやつじゃね？

文章と手のひら返しから漂う女臭

>>193
なんか「つぎはぎ」と呼ぶに相応しい変なconfig

ip access-list admin_console permit ip src any dest 192.168.50.0/24

これは、Ether-IP経由で管理することもあるからってんで src any？

ip access-list lan-allow permit ip src 192.168.50.0/24 dest any
ip access-list management permit ip src 192.168.50.0/24 dest any
ip access-list management2 permit ip src 192.168.2.0/24 dest any

同じネットワークを2行定義してるのもそうだけど、192.168.2.0って使ってんの？

ip filter ssh-pass 140 in
ip filter ftp-pass 150 in
ip filter gwmng-pass 60000 in

フィルターの定義が無いけど・・・・・・

ip filter all-forward 65000 in
ip filter all-forward 65000 out

NAPTあるからいいけど、景気よくご開帳っすな

盛り上がってるな

なんかここ最近のカキコってVPNばっかりだよね
皆結構使ってんだな

VPN通して一体何やってるのぽまいら

俺の場合は海外行った時の2ch書き込み用とエロサイト見る用
国によったらdmmのサイトでさえ、その国のispからアクセス不可
あと、出先にて自スマホにくる地元スーパーの5%引きクーポンメールを母ちゃんの為に実家プリンターでリモート印刷
セットアップに苦労したわりにはたいした使い方やってないわ

>>216
いやほんと継ぎ接ぎして書いたconfigなので、その指摘で正しいです。私が貼ったフィルタ名で検索すると出典元が出てきそう。
フィルタだけ有って設定してないものも何箇所か散見されますね。コメントアウトするか削除すべきでしょう。
ご指摘ありがとうございます。

いろいろなサイト様と設定事例集と見比べつつ比較して見るんですが、みなさん個々のポリシー持って組まれてるんで、
だんだんワケがわからなくなるんですよねえ。本来は、ネットワーク設計があって、それを実現するためのconfigを書けばいいわけなんですが
元々家庭用ルータがあり、それの置き換え（早く動かしたい）という感じで使用開始したため、結局コピペコンフィグに。

とりあえず暗黙のdenyとNAPTが果たす簡易FW（副次的作用のFWか？）で、ひとまずの危険は回避しているという認識ですが、
LAN→WANへのお漏らし徹底という意味でも、まともなフィルタ設定を書く必要有りですね。

>>208
過去スレの再掲っていう意見も出てるっぽいけど、わざわざ有り難う。
サーバー公開用のフィルタこちらで追加すればいいからそこは問題なさそうだ。

>>スレの先輩方へ
静的フィルタでいちいちポート指定しててもいいけど、設定行も増えるし、動的フィルタを用いてLAN→WANを全許可しつつ、個々にまずそうと思われるポートは静的フィルタで、
LAN→WAN、WAN→LAN方向双方ともに塞ぐというのがベストなのかな。理解が乏しくて申し訳ないけど、ご教示ください。

うちもVPN使っているけど、利便性と速度考えてSoftEther使ってます。オープンソース版だと鍵認証できないから本来はセグメント分けたり対策が要りそうだけど特にやってない。

結果として同じように設定出来るの技を持っているのであれば、あとは好みの問題だわな
使用しているソフトウェア（OSを含む）がどんな種類のプロトコルと何番のポートを使って通信するかを正確に把握した上で、
その都度パケットフィルタの追加・削除をきちんと管理出来ますと言うのであれば静的フィルタでも良いだろうけど、それを
面倒だと感じるなら動的フィルタって感じ
俺は別にネットワーク機器やサーバーのマニアじゃないし、報酬もらって仕事でやるならともかく自宅でまで面倒なことしたくない
から動的フィルタ使ってる
プロトコルやポート毎じゃなくてソフトウェア毎に個別に許可する／しないをやりたいのなら、それはIXじゃなくて
パーソナルファイアウォールの仕事

>>222
参考になります。
とりあえず公開サーバー系は別に考えるとして、それ以外はLAN→WANを動的フィルタで全許可。それ以外は暗黙のdenyで拒否という設定に改めようと思う。
また分からんくなったらきます。ありがとう

>>222
>>213の書き込みは俺ではないよ。昨日はクタクタで変なレスが付いてるなあと思ったんだけど。酉つけとけばよかったな。
文体も全く違うし、気づいてもらえてると思うけど一応。

公開するサーバーの使用ポートがsrv-passグループのやつで間違いないっていうなら
あとは
ip napt static 〜
ってやってLAN内のサーバーと紐付けてやればNAPT越しにサーバ公開できる
VPN以外はHTTP(S)とDBとVNCとSSHってところか

いつになく盛り上がってるな

NECのルーターってどうなのよ

至高ではないが最高ではある

ほう
至高はどこなの？YAMAHAが好きだが、やっぱりししゅこたん？

>>225
ありがとう。とりあえずフィルタはpermitのみ記述、公開ポートはNAPTで転送という形に変更したよ。
つぎはぎで無駄になってたフィルタもごそっと削除。

ところで、中国系のDOS攻撃排除を目的に、下記の様なフィルタを作成したんだが
ip filter nochina 5 inを追加するとネット不通になる。（out側でフィルタしても同様）
これはなぜだろうか。度々申し訳ないがご教示のほどお願いします。

フィルタ部分
!全許可
ip access-list all-forward permit ip src any dest any
!ググッて出てきた中国系IPを一括して列挙（多すぎるので1件だけ）
ip access-list nochina deny ip src 1.0.16.0/20 dest any
!XP等非サポートOSをインターネットに出さない
ip access-list noxp deny ip src 192.168.50.110/32 dest any
WAN側IFにoutで適用
interface FastEthernet0/1.1
encapsulation pppoe
auto-connect
ppp binding interlink
ip address ipcp
ip napt enable
ip napt service （略）
　ip filter nochina 5 in
ip filter noxp 10 out
ip filter all-forward 65000 out
no shutdown

>>230
静的フィルタってやってんのかな？
nochinaグループのいずれかに含まれるIPにアクセスしているけど、
相手から折り返してくる通信をinで弾いているから、PCまで返ってきてないんじゃないの？

1.0.16.0/20
これ日本のアドレス空間みたいだけど？

>>231
ありがとう。あちゃー。日本のIPか…。googleにアクセスした時点でタイムアウトするから、全く使い物にならんよ。
元ネタはipv4.fetus.jp/krfilterからcn,kr,kpのアドレス一覧をもらってきて、エクセル;秀丸で整形して流し込んだ感じ。

公開しているWEB類は、保守の手間とか考えてさくらのレンタルサーバに逃がしてるんだけど、テスト用のページとか、owncloudとか立ててるもんだから
そのへんからのアクセスを弾きたくて設定してる感じ。

>>281のコメントを参考にする限り、中・韓・北朝鮮のIPだと思っていたリストに日本のIPが多数混入している感じだね。
見なおしてみるよ。

>>232
ドメインの末尾が.jpで終わるホストからのみのアクセスにしたいと言うのであれば、

ip access-list srv-pass permit tcp src src-domain *.jp sport any dest [サーバーのIP] dport eq 80

こんな書き方も出来るけどね
詳細はコマンドリファレンスを見てくれ

>>231
別のサイト、filtering.web.fc2.com/iptables_cnkr.shからブロック対象一覧を持ってきて、
interface FastEthernet0/1.1
（途中略）
ip filter nochina 5 in
ip filter noxp 10 out
ip filter all-forward 65000 out

と設定してみた。その後、8.8.8.8(Google)へpingを打ったところ通らなかったな
ブロックリストには8.8.8.8が含まれていないのは確認済み。

リストが悪さしているのは理解できるが、じゃあどうすれば？というところで躓いてしいました。

>>233
リロードしておらず見落としてました。ありがとう。

話とは関係ないんだけど酉が頻繁に変わるのなんでだろうな…入れてる文字は変わらないんだけど
タイプミスなのかどっかに空白が入ってるのか…。

>>233
ごめん
正しくは

ip access-list srv-pass permit tcp src src-domain .jp sport any dest [サーバーのIP] dport eq 80

で、アスタリスク入れたらダメかも

>>234
>>234
静的フィルタだから、恐らくin側フィルタに戻りの通信（established）を通す設定をしてやらんとパケットが返ってこないよ
全部暗黙のdeny anyで弾かれてる
pingが返らないのも同じ理由

ip access-list [適当な名前] permit icmp src any dest any
ip access-list [適当な名前] permit tcp established src any dest any

か

ip access-list [適当な名前] permit icmp src any dest [プライベートアドレス空間]
ip access-list [適当な名前] permit tcp established src any dest [プライベートアドレス空間]

で定義して

ip filter [適当な名前] 65000 in

暗黙のdenyって何回も捕捉で説明されてるのにまだ忘れてて草

そもそもNAPTのテーブルにまず載らないものを執拗にフィルタリングしようとしてるけど意味あるの？
実環境でカウンタが上がることがあるのか試してここに書いてほしいね。

Atermとかの家庭用ルーターのパケットフィルタだと『暗黙のダイナミックフィルター』になってて
何もする必要うないから違いにとまどってるのかなぁ

>>239
NAPTテーブルに存在しない物は結局でdenyされるのでそれは良いのですが、公開サーバーの海外からのIP弾くにはどうしたら良いのかなと思った次第です。
apacheの.htaccessにdenyを書くというのも一つの解決策でしょうが、別ポートでやられると面倒です。
OS側のFWでipfilterを書いても良いのですが、面倒…内側からは好きに使いたいというのもあり、そういうことはルーターで一括でセッティングしてやりたいなと思った感じです

>>237
ありがとう。教わった設定を投入してみたんだけどやっぱりダメだなあ…
昨晩遅くの事なのでターミナルログも残っておらず具体的な説明が出来なくて残念なんだけど。
今週は原因追求の時間が取れないので、残りは週末の宿題になりそう。

海外からのip弾くのはやっぱアクセスリストかかないとなー
でもそんなんじゃ気休めにもならないなー
だって攻撃してくるipは無数にあるし、常時変わるわけだから

>>242
>>236はFQDNで対応するし、サーバーで使用するポートについて1行書けば済むから楽だよ
まあ人それぞれ気に入ったスタイルがあるだろうから、それ以上は何とも言えないけど

ドメインで書くってことは都度（？）逆引きするってことだし、
逆引きするってことは example.jp を返されて騙されることもあるし、まぁ一長一短でしょう。

逆引きの結果ってしばらくキャッシュしてるのかな。試したことないな。

dns cache enableってやってなければIXではキャッシュしないでその都度問い合わせだろう
コマンドされてないのに勝手キャッシュしたとしたらファームウェアの欠陥

>>237
3ウェイハンドシェイクを考慮すると、establishedの前にackフラッグも受けるようにしないと駄目かもな

正直、書き方はもう提示されたんだから素直にdynamic filterにしとけと言いたいが

昨日説明書の2.21.3.2 DNSアドレスデータベースを見るんだ！
NECとか大手メーカー製のいいところは仕様がちゃんと書いてあるところ

FQDN指定のアクセスリストはポリシールーティングにしか使えないよ

数日来れなかっただけで結構レスついてて嬉しいわ。週末にコマンド投入してみます。

>>243,>>236
アクセスリスト大量に突っ込んだらコンソールの動きがちょっとカクつくレベルになってしまった。
確かに、許可するFQDN絞ってホワイトリスト方式で設定したほうが楽かも。設定行数も短くなるし。

質問あります。
BGPで経路を制御したいのですがiPセグメントごとに経路って制御できますか？例えば奇数のセグメントはルータA、偶数のセグメントはルータBとかです。同じAS内なのでルートマップとローカルプロフェンスで重みづけすればできると想定しているのですがうまくいきません。
ご教授の程、宜しくお願いします。

ローカルプレフで重み付けすれば、
自asから出ていく経路は制御できるけど、
たしか戻りを経路制御するにはmedをつけないといけなかった気がする。

そういえばmedはebgpのときだった

bgpの特性で同一asの経路制御って難しいよ。
act-standbyのルータセット毎に
別々のプライベートas割り振って
無理やりやってたなー

ASが理解できない

V9.3.11

Web設定画面でログインしてもコンソールにゴミが出なくなった。
常時接続VPN (IPSec, IPv4 over IPv6 tunneling) が安定した。

V9.2.XX まではなんとなく不安定だったけど、今回は今のところいい感じ。

しまった、晒してしまった。 IP変更。。。

↓これはウソだった・・・
Web設定画面でログインしてもコンソールにゴミが出なくなった。

ゴミって言うか、何時何分に誰かがログインしたぞって通知じゃないの？
むしろ、それを表示させなくするっていうのがあり得ないだろ

書き方が正確じゃなかったが、ゴミは本当。
Web設定画面にアクセスするだけで、コンフィグモードのコンソールに
V9の初めの頃は、まさにゴミ（意味不明な文字列）がコンソールに出力されてた。
最近のファームでは、何らかの不可視コードが出力される。
V8までは起こらなかった。実害は全くない。

一度設定してしまえばtelnet/ssh/webのいずれかばかりになってconsoleなんて滅多に使わんからな
・・・・・・
とか言いつつ、万が一に備えてスーパーリセットとファームのアップデートの時には使うな

9.3.11でヘアピンNAT対応か。
かなり前にYAMAHAルーターとの比較でたびたび話題になったことがあったと思ったが内容を忘れた。
NAPT関係の強化が多いな。
キャッシュサイズのデフォルトを4096から65535へ変更ってのは大胆なことで。
PPTPのマルチ対応は何気に嬉しい奴がいるだろうな。
内蔵のOpenSSLが更新されているので企業ユーザは更新必須だろうな。

早速9.3.11にアップしてみた
PPTPマルチはうれしいな
でも、トップページの右上に前回ログイン日時が表示されないのはオレだけか？

最初に無がああった
無は有を生んだ
これが全ての真理

はい

9.3.11が出たというのに書きこみが少ないな
もうIXはあまり使われていないのだろうか
RTXのほうが使いやすいのかね

そらRTXだろうなぁー中古で手に入れてもFWで苦労しないし
最近は自社APやハブと連携したり、可視化を推進してるしな

おまえらはよくセッション処理云々で叩くが、
1210出た今それでもNECじゃなきゃ無理ってのは少数派だろ

まあファームウェアをバージョンアップしたところで劇的なスピードアップとかがあるわけでもなし
新機能にしたって、それを使う環境でなければコメントのしようがないしな
かくいう俺は普通のBBルーターとしてしか使ってないから、アレすると再起動コレすると再起動ってのが
修正されていればいい
その勝手に再起動の場面にすら出くわしたこと無いけど

いちいち書き込みにくるやついないだろ

NEC UNIVERGE IX2105でフレッツ光ＮＧＮ（IPv6）の疎通不可、PING通らず
フレッツ光ネクストのＮＧＮにipsecトンネルを通したかったのですが、全く疎通できませんでした。そこでもっと簡単なコンフィグ【２】を用意したのですがping6すら通りません。
フレッツ光のサイトにはアクセス出来、IPv6のアドレスを確認したりネームを設定することは出来ています。ＮＧＮで通信する際に、他に必要な設定などはありますでしょうか？また以下のコンフィグに誤りや不足などありますでしょうか？
■前提
　NNNN:NNNN:AAAA:aaaa::2 拠点AのIPv6グローバルアドレス
　NNNN:NNNN:BBBB:bbbb::2 拠点BのIPv6グローバルアドレス
　※show ipv6 interfaceで確認済み
■コンフィグ【２】（拠点Ａのみ）
ip ufs-cache enable
ipv6 ufs-cache enable
!
ipv6 route NNNN:NNNN:BBBB:bbbb::/64 GigaEthernet0.0
!
ipv6 access-list flt-list permit ip src NNNN:NNNN:BBBB:bbbb::2/64 dest NNNN:NNNN:AAAA:aaaa::2/64
ipv6 access-list flt-list permit icmp router-advertisement src any dest any
ipv6 access-list flt-list permit icmp neighbor-solicitation src any dest any
ipv6 access-list flt-list permit icmp neighbor-advertisement src any dest any
!
interface GigaEthernet0.0
ipv6 enable
ip ngn enable
ipv6 interface-identifier 00:00:00:00:00:00:00:02
ipv6 address autoconfig receive-default
ipv6 filter flt-list 1 in
no shutdown
!
interface GigaEthernet1.0
ip address 192.168.10.254/24
no shutdown

pingすら通らないってのはどうなんだろ
v6オプションは入ってる？

ipv6 route NNNN:NNNN:BBBB:bbbb::/64 GigaEthernet0.0

receive-defaultだし、これ消したらどうすか

>>270

v6オプションは入っています

>>271

今から試してみます。

宜しくお願いします。

ぴろたん

>>271
ipv6 route 〜
を消しました。
PINGの結果は以下のとおりです。

Router(config)# ping6 NNNN:NNNN:BBBB:bbbb::2
PING NNNN:NNNN:AAAA:aaaa::2 > NNNN:NNNN:BBBB:bbbb::2 56 data bytes
ICMP destination unreachable from NNNN:NNNN:AAAA:aaaa::2 code = 3

--- NNNN:NNNN:BBBB:bbbb::2 ping statistics ---
5 packets transmitted, 0 packets received, 100% packet loss
1 unreachables

code = 3 なので経路が分からないようです。

NGNの経路情報提供サーバーからprefixを取得するなどの必要があるのでしょうか？

宜しくお願い致します。

ぽぱたん

>>273
実際経路はあるんですよね？アドレス付いてるんだからあるはずですが…
あとは、対向も同じ設定だとすると、フィルタでping6落ちてる気がします

>>274
ID:???様
双方のルータにそれぞれ
ipv6 access-list flt-list permit ip src NNNN:NNNN:AAAA:aaaa::2/64 dest NNNN:NNNN:BBBB:bbbb::2/64
ipv6 access-list flt-list permit ip src NNNN:NNNN:BBBB:bbbb::2/64 dest NNNN:NNNN:AAAA:aaaa::2/64
を加えましたらPINGが通りました！☆
ありがとうございました。

WebGUIに拡張ページが追加になったんだが、なんか便利な使い方あるかな？

logging timestamp datetime
logging subsystem flt warn
入れてping打つと
弾かれてるんかそもそも来てないのか分かるね
NGN網内でipsec張れたらどれくらい速度出るか参考までに聞きたいです

NGN網内でわざわざ暗号化する必要なくね

ヨソはヨソ
ウチはウチ

IPv4のIPSec VPNに一緒にIPv6も通そうと思ったんだけどうまくいかず。方法ないですかね？

ip access-list sec-list permit ip src any dest any
ipv6 access-list sec-list permit ip src any dest any
とv4とv6で同じACL名作ってautokey-mapに指定してみたけどv6が通らず

ipv6 access-list sec-list6 permit ip src any dest any
とか、v4と違う名前にしてautokey-mapでsec-list6指定するとv6は通るけどv4は通らなくなる

片側が動的IPなのでグローバルIPで6-over-4が使えず、IPSec内で一緒に通せればと思ったんだけど…
今はIPSec内でプライベートIPで6-over-4してるけど、何か無駄だなーと

設定事例集5-27に書いてあるやり方を応用するのではいかんの？

IPsecトンネル2本作ればいいんじゃない

>>281
これだとv6のACL指定するので、v6しか通らなくなってしまうのです
具体的な応用案って何かあります？

autokey-mapで指定するACLが
v6のACLの時はTunnnelのモードがipsec (6-over-4)になり、
v4のACLの時はTunnnelのモードがipsec (4-over-4)になってた

ちなみにv4v6同じACL名にしたときは4-over-4でした
46-over4みたいなモードがあればやりたいことが出来るんだと思うんだけど

>>282
その発想はなかったわ
で、とりあえず2本作って通せたっぽい

ike policyは同じIPアドレスで2個書けない？みたいなので
ipsecだけv4用とv6用で2個書いたら一応動いてるみたい
ただ、やっぱ無駄感はあるけど…

GREかEther IPでトンネル作って2個通すのが素直なんだろうか
時間あったらやってみよう

とりあえずお二方ありがとうございました

特定セグメントをタグVLANで同一セグメントとして拠点間通信できますかね？
wan間をタグで通せると思っていたのですが上手くいきません。
wan側はBGP.LAN側をスイッチをはさんでospfで回してるのが影響しているのかもしれませんが、
ご教授お願い致します

IXシリーズはupnp機能は無いね
ip napt service とか ip napt static とかのコマンドで内部IPアドレスと紐付けてやるしかない
でも、むしろそれが良いと思う
考えが古いかもしれないが、面倒なルーターの操作という手間を出来るだけ省こうとする家庭用ならともかく、
業務用でupnpはセキュリティホールに思えてならない
configを見れば、どのマシンが何をやってるのかが推測できるのが良い

業務用的なのでUPnPがちゃんと乗ってるの少ないでしょ
アライドやヤマハにはついてるけど、一応ついてるってだけで
UPnPの動作や機能に関しては民生機の方がいいし

>>284
言ってる構成がよくわからないけど、EtherIPを使うかWAN回線を広域イーサにしないとだめなんじゃない

watch-groupでipv6監視、というかトンネル維持用のping設定しようとしたんだけどうまくいかず

watch-group host 10
event 10 ipv6 unreach-host 2001:db8:1::1 Tunnel0.0 source 2001:db8:2::1
probe-timer restorer 60
probe-timer variance 60

network-monitor host enable

しばらくするとstandになり、その後最終的にpacket buffer無くなって全通信ができなくなる

コマンドで
ping6 2001:db8:1::1 interface Tunnel0.0 source 2001:db8:2::1
すると通るので、指定するIPとかは間違ってないと思うんだけど

なんか今朝CRASHしたんだけど（´・ω・｀）

2016/05/25 08:30:34 +0900 CRASH: IX Series IX2010 (magellan-sec) Software, Version 8.3.49, RELEASE SOFTWARE
2016/05/25 08:30:34 +0900 CRASH: Compiled Nov 25-Fri-2011 10:29:23 JST #1 by sw-build, coregen-8.3(49)
2016/05/25 08:30:34 +0900 CRASH: Number of the crash 1
2016/05/25 08:30:34 +0900 CRASH: Exception Type, program 1
2016/05/25 08:30:34 +0900 CRASH: Number of the bughlt 1
2016/05/25 08:30:34 +0900 CRASH: Bughlt, Couldn't get memory in nls_ce_snd()
2016/05/25 08:30:34 +0900 CRASH:

******** C R A S H I N F O ********
Crash date: 2016/05/25 08:30:34 +0900

System uptime is 673 weeks 2 days 15 hours 19 minutes

CPU is MPC8270A: PVR = 0x80822014, IMMR[16:31] = 0x0a10

673weekってすごいね

2011年に作られたソフトウェアで13年も動作するわけないね
そのカウンタもクラッシュしてそう

UNIX時間的にまだ何かあるわけでもなしカウントできないことはなくね？

電話レンジですね、わかります

ちょっと何言ってっか（略

YAMAHAは最近NVR700W／NVR510を発売したりして元気が良いのに、NECは元気が無いな

IX2105でGE1のポート1配下にGS108Eをぶら下げてタグVLANを使っています

IX2105とGS108Eは少し離れているところにあり、
IX2105のGE1の別ポートでもパソコンを接続したいと考えています

VLANの知識がまだ浅いところもありますが、
このようなことは可能でしょうか

以下のようにポートVLANで分けて、bridgeさせてみるようにしてみましたが、
うまく動作しません

bridge irb enable
device GigaEthernet1
vlan-group 1 port 1
vlan-group 2 port 4
!

interface GigaEthernet1:1.1
encapsulation dot1q 11 tpid 8100
auto-connect
ip address 10.0.0.254/24
no shutdown
!
interface GigaEthernet1:1.2
encapsulation dot1q 22 tpid 8100
auto-connect
ip address 172.16.2.254/24
bridge-group 1
no shutdown
!
interface GigaEthernet1:2.0
no ip address
bridge-group 1
no shutdown
!

GE1のSW1番ポートにGS108E、4番ポートにPC
PCは

GE1のSW1番ポートにGS108E、4番ポートにPC、PCは"172.16.2.0/24"のセグメントでいいのかな？

bridge irb enable
!
device GigaEthernet1
vlan-group 1 port 1
vlan-group 2 port 4
!
interface GigaEthernet1:1.1
encapsulation dot1q 11 tpid 8100
auto-connect
ip address 10.0.0.254/24
no shutdown
!
interface GigaEthernet1:1.2
encapsulation dot1q 22 tpid 8100
auto-connect
no ip address
bridge-group 1
no shutdown
!
interface GigaEthernet1:2.0
no ip address
bridge-group 1
no shutdown
!
interface BVI0
ip address 172.16.2.254/24
bridge-group 1
no shutdown
!
これだとどう？

構成はその通りです

おかげさまで動作いたしました。ありがとうございます。

ネットワークモニタとアクションリストで、サーバが落ちたらWoLで再起動を試み続ける設定を
下記のようにしていたんだけど、いつの間にかうまく働かなくなっていた。

以前はeventがstandしたら probe-timer restorer の秒数×(probe-counter restorer の回数+2)の間隔で
アクションリストが実行されていたはず(CRM-ver9.3-1.pdf pp.469)なんだけど、
現状だと初めてEvent statusがstandになった瞬間に一回だけアクションリストが実行されるだけで、
それ以降アクションリストが繰り返し実行されない。
今回の例で言うと、初めてping応答が無かったときに一回だけしかWoLが実行されない。
pingが通らない間はWoLを送り続ける設定にしたいんだけど、何か設定間違っているだろうか？

! IX Series IX2105 (magellan-sec) Software, Version 9.3.11, RELEASE SOFTWARE
! Compiled Mar 09-Wed-2016 11:29:26 JST #2
!
wol terminal myserver mac aa:bb:cc:dd:ee:ff ip 192.168.0.32 interface GigaEthernet1.0
!
command-action list wol-myserver
command 10 wol send terminal myserver
!
watch-group alive-myserver 10
event 10 ip unreach-host 192.168.0.32 GigaEthernet1.0
action 10 command-action-list variance wol-myserver
probe-counter watch 2
probe-counter variance 1
probe-timer restorer 4
probe-timer variance 20
probe-size 4
!
network-monitor alive-myserver enable

IX2207を触る機会があったんだけど、底部がかなり熱くなるんだね。
まぁそれで運用しても問題ないことはNECも確認してるんだろうけど。

>>303
マニュアルに下記の注意書きがあるのでNECも確認済みですね

IX2207の使用中や使用直後は、装置
底面が高温になる場合があり、やけ
どのおそれがありますのでご注意く
ださい。

>>304
ぁっ、そんな記述があったのね。PC1台つないでネットちょっとやっただけで熱かったから
あれは縦置きで使ったほうが良いと思う。または逆さまで？

>>305
普通に空調の効いているところなら特別設置方法を気にするほどじゃないですよ
ただ、直接２台重ねるとかは良くないのでオプションのジョイントキットを使った方がいい

ウチではIX2207を３台重ねているので、ホムセンで金具を買ってきてそれぞれが
ジョイントキット使用時相当に間が開くようにしています

http://imgur.com/a/N3D4o

これで1年以上運用してますが問題は起きていません

>>306
参考になりました。筐体の下に空間が欲しい気がしたけど、一番下の使い方でも問題ないということね。

>>307
そうです

因みに>>306の3台で内部温度に差はありません
もちろん同じCPU使用率での比較です

>>308
内部温度が変わらなかったら寿命もそれほど変わらないね、基本的には。
そもそもUSB使わなかったら11W以下なのに、あれだけ熱くなるのが謎だけど。

5WのUSBで、缶コーヒーウォーマーだって出来るくらいですから

IX2215との差別化のために敢えて欠点を入れた可能性が。

あるわけがない

IX2015でフレッツ網内で拠点間仮想広域イーサネット VPN
(Ethernet over IPv6, EtherIP) を構築するを行いたいのですが。
下記のURLの設定例で障害になるコマンドは、
ダイナミックDNS周りだけでしょうか？
ttps://i.open.ad.jp/config/nec.aspx
そして、ダイナミックDNS周りを解決する手法として、
下記のURLで解決する事が可能でしょうか？
ttps://i.open.ad.jp/config/misc.aspx

IX2015でフレッツ網内で拠点間仮想広域イーサネット VPN
(Ethernet over IPv6, EtherIP) の実験の為に、
下記のサイトのコンフィグを投入した所、
DDNS以外にも、トンネル設定部分でエラーが出てしまいました。
IX2015は対向のアドレス記述をドメイン（FQDN)で出来ない様なので、
IPｖ６アドレスを直接記入するか、機種交換が必要と自己解決しました。

すいません、下記のサイトはコレです。
ttps://i.open.ad.jp/config/nec.aspx

ＩＸ２０１５の使用は諦めて、ＩＸ２０２５．ＩＸ３０１０を中古で買いました。
ＰＤと洒落で待ち構えてるので、神様、私に現在のファームをチョーダイナ。

ファーム乞食は久々だなあ

最新は
ix2025-boot-15.1-gate-ms-9.3.11.rap
ix3000-boot-29.3-gate-ms-9.1.14.rap

まあ頑張れや

俺は流さないけどね

>>316

4を読みな

新品買うか、知り合いの会社に薦めて買わせるしかないね。
オレは後者の方法でファーム入手して、2015から2025に替えた。
2025はCPUが変わってるためか、体感で明らかに速くなって満足。

IX2215とstrongswan使って、IKEv2でTunnel接続しようとしたけど、
strongswan側で、以下のエラーが出て繋がらない。
generating IKE_AUTH response 1 [ N(AUTH_FAILED) ]
認証でこけてるのはわかったけど、IKEv2って認証回りがかなり変わってて四苦八苦してる。

IX間では、普通にIKEv2で繋がってるが、そっちは設定事例からの改変だったので特に苦労せず。
IX2215とstrongswan使って、IKEv2で上手く出来てるよって人いる?

DNS.036: Received error status: No such name
前にも聞いたけど、リファレンス見ても何がエラーはいてるのか分らないし
これどうしたらいいの？＞＜

IX3315出たな
おかげで3110が出回るようになった

>>322
>IX3315
ぼったくりすぎﾜﾛﾀ

10Gポートか、てか5000対地www
すげえけどCPU持つのかこれ

実際にシステム組むときは、大体カタログスペックの1/4か1/2くらいの数しか収容しないからなぁ

9.4.15リリースされたね！

面白みがありそうなのは、URLオフロードとsyslog周りくらいかな

9.4.15にバージョンアップしてみたけど動作が軽くなったな
起動時間が短くなったし平常時のshow utilizationの値も１ポイント小さくなった

それ久しぶりに再起動してRAMが綺麗になったからじゃねーの？

>>329
そーじゃねーよ
最近再起動したばかりのやつも変わったよ

どうやってファームてにいれてるんだよ

正規ユーザーなので正規ルート

方法は提示されたのにただの一回すら正規で買わないなんて、もう金の有る無しの問題じゃなくて
性根の問題だろうな

買いそうな知り合い探して買わせろ。ヤマハより安定してるってのを売りにして。

yamahaから乗換でix2215を勝ったのはいいがコマンドサッパリで四苦八苦
インターネットアクセスしながらNGN　ｖ6
で折返し同一セグメントにするにはどうすればいいのか　誰か教えて下さいませ
　VPNは張れたがL2ができね〜

それだけじゃエスパーじゃ無い限り、
設定事例集と機能説明書の通り設定すりゃ、繋がるでしょ。

としか言えんけど。

設定例もみたんだが
ヤマハ程情報少ないね　Ethernet over IPv6　暗号化無しで折り返しを試したんだが
v6アドレスは降ってくるが　ｖ４が降ってこない　
　ちょっと嫌気がさしてきた　売り飛ばすかな

くれーー

は〜　やっと繋がったわ
素人にはヤマハが簡単だな　やりがいあるけど
　Ds-liteとpppoe同時に利用したいんだがデフォルトルートの設定はどうすればいい？
　Ds-liteじゃDDNSがiijになってしまう
先人　よろ

それがヤマハとの住み分けってことかな。
設定が簡単で(自分はあんまりそうは思わないけど)、サポートが設定デバッグに付き合って
欲しければヤマハ、性能が欲しければNECってことで。

YAMAHAは設定が簡単っていうか、設定例の内容をそのままコピペすればもう何も追加する必要なく動くからな
必要最低限のコンフィグしか書いてないNECの設定例と違って、ファイアウォールの設定まで全部書いてあるくらいだし

IX2105の性能よりもRTX1210のほうが新しいぶん性能が良くて設定も簡単に思うのだが、実際はどうなん？

以前、比較でよく挙がったのがショートパケットの処理性能
ヤマハでRTX1500が最強だった時代は、IXシリーズが圧倒的に上という意味で勝負にすらならんかったはず
あれから時代は変わってRTX1210ではどうなったんだろうな？
IP電話（SIP、VoIP）でモシモシしなければあんまり関係ない話だとは思うが
Skypeとかってショートパケット関係あるのかな？
その辺真面目に調べなくなって久しいからよく分からん