YAMAHA業務向けルーター運用構築スレッドPart25

【お約束】
ここはYAMAHAルーターなどで小規模〜大規模のネットワークを
構築、運用する人のための情報交換スレッドです。
ネットボランチシリーズ(コンシューマー向け)、業務用向け機器でもYAMAHAルーターの
設定方法、YAMAHAルーターの使い方などハードウェア寄りの話題は関連スレへ

【公式サイト】
RTXシリーズルーター
https://network.yamaha.com/products/routers/
RTpro - ヤマハネットワーク周辺機器 技術情報ページ
http://www.rtpro.yamaha.co.jp/
ヤマハネットワーク機器
https://network.yamaha.com/

【関連スレ】
YAMAHAヤマハブロードバンドルーターpp select 26
http://mevius.5ch.net/test/read.cgi/hard/1544435522/

【過去スレ・前スレ】
YAMAHA業務向けルーター運用構築スレッドPart19
http://mao.5ch.net/test/read.cgi/network/1485790427/
YAMAHA業務向けルーター運用構築スレッドPart20
http://mao.5ch.net/test/read.cgi/network/1501976932/
YAMAHA業務向けルーター運用構築スレッドPart21
http://mao.5ch.net/test/read.cgi/network/1527602451/
YAMAHA業務向けルーター運用構築スレッドPart22
http://mao.5ch.net/test/read.cgi/network/1558571559/
YAMAHA業務向けルーター運用構築スレッドPart23
http://mao.5ch.net/test/read.cgi/network/1591073378/
YAMAHA業務向けルーター運用構築スレッドPart24
https://mao.5ch.net/test/read.cgi/network/1609198305/

>>152
IODATAのTS-WRLPっていうWebカメラ
何で自分にPING打ってるのか謎・・・

自身のグローバルIPアドレスを調べる挙動の何か？

>>154
違う

>>151
ヤマハの場合は、明示的にIcmpを外から内へのマップをNATルールに書かないとpingには応答しない
そのIoT機器はpingでタイムアウトを食らってるはず

>>156
応答の話は関係ない
エコーリクエストした時点でリダイレクトホストが返ってくるという話
※ヘアピン未設定

ん？自分のグローバルIP宛のパケットを外に出した結果、上流のプロバイダ側からこっちじゃねーよってICMP Redirectが来るってこと？

>>158
そだよ

じゃあ放置でもいいのか
アホな事をする機器が「応答無いなー」ってなるだけで

>>158
自分宛てのグローバルアドレスなのにルーターのインターフェースから外へ出られるのか？

そもそも、どうやってそのカメラ（LAN内）はルーターのグローバルアドレスをわざわざ取得して、それに対してpingしないといけないの

>>162
理由は不明
推測だけど
この機種はメーカー専用のDDNS機能があったんだけど
サービス終了に伴ってファームウェアが更新された
が、その機能をオフにすることが出来ないクソ仕様で
それが影響しているのではないかと

うちのルーターも時々ICMP Redirectが来て破棄してるけど、実はその時、何かが自分のグローバルアドレス宛の通信をしようとしてるのか
自分のグローバルアドレス宛のパケットが外に出るのか？という疑問もあるけど

>>164
当然のように出るよ

>>147
redirectを出させたオリジナルのsrcとdstも出てるはずだけど、それあれば速攻で解決してましたね。

ローカルアドレスは外に出さない設定だけど、自IPを把握してそれは出さないという設定は無いか

>>166
役立たずは出てこなくていいよ

>>165
Linuxなら自分のインターフェースのアドレス宛パケットは、ISP側まででない

>>169
お前情弱なのか文章の理解力が無いのかどっちだ

>>170
何かおかしいですかね

おかしい人が自分のおかしさに気付いていないことは別におかしいことではないよ

中から外行きは全許可にして、ダイナミックフィルタで戻りも全許可にしてるけど
外の443からのパケットが結構ブロックされてるのが謎
365で時々ファイル開こうとするとエラーになるのが関係しているかも知れないけど、原因が分からん

>>173
ん？
外の443からのってリモートポート443ってこと？
TCPならSYNやACKなど、どのフラグが立っているのか確認すればいいのでは？
あとは動的フィルタのタイムアウトの設定とかも確認

ワイが気になってるのこれ
> 13.200.74.87:3478
Windows11のPCから外へ

VoIPかネトゲじゃない？

穴開けたいようなプロセス起動してないのよね
まーたパケットダンプしないとダメか・・・

IP丸出しで貼っちゃうけどこんな感じ。
tunnelなのはmap-eだから。
相手IP何者なのか調べるか。。

2025/10/11 19:19:48: TUNNEL[1] Rejected at IN(1009) filter: TCP 52.26.125.65:443 > 192.168.128.110:33558
2025/10/11 19:19:48: TUNNEL[1] Rejected at IN(1009) filter: TCP 54.184.172.125:443 > 192.168.128.110:36010
2025/10/11 19:19:48: TUNNEL[1] Rejected at IN(1009) filter: TCP 52.26.125.65:443 > 192.168.128.110:33558
2025/10/11 19:19:48: TUNNEL[1] Rejected at IN(1009) filter: TCP 54.184.172.125:443 > 192.168.128.110:36010
2025/10/11 19:19:49: TUNNEL[1] Rejected at IN(1009) filter: TCP 52.26.125.65:443 > 192.168.128.110:33558
2025/10/11 19:19:49: TUNNEL[1] Rejected at IN(1009) filter: TCP 54.184.172.125:443 > 192.168.128.110:36010
2025/10/11 19:19:50: TUNNEL[1] Rejected at IN(1009) filter: TCP 52.26.125.65:443 > 192.168.128.110:33558
2025/10/11 19:19:50: TUNNEL[1] Rejected at IN(1009) filter: TCP 54.184.172.125:443 > 192.168.128.110:36010
2025/10/11 19:19:53: TUNNEL[1] Rejected at IN(1009) filter: TCP 52.26.125.65:443 > 192.168.128.110:33558
2025/10/11 19:19:53: TUNNEL[1] Rejected at IN(1009) filter: TCP 54.184.172.125:443 > 192.168.128.110:36010

質問です

PPPoE接続のデフォルトフィルタにこれが登録されるのですが、
201098はoutではなくてinに適用されるべきものではないですか？

ip pp secure filter out 201013 201020 201021 201022 201023 201024 201025 201026 201027 201098 201099 dynamic 201080 201081 201082 201083 201084 201085 201098 201099
ip filter 201098 reject-nolog * * established

>>179
トリガーとなる送信パケットが「確立済み（established）」であってはいけないからoutにしてるんじゃない？

>>180
すまん、もっと分かりやすく頼む

restrictのつもりでrejectにしちゃってるパターン?

でもないか。

>>181
すまん
動的フィルタと勘違いしてた。
静的フィルタなのね。

マニュアル読むと
establishedは「TCPフラグの各ビットのうち、 ACKとRSTのいずれかがセットされている」という条件となります。
ということなので
ACKだけが条件ならin、outどちらでもいいかと思うけど、リセットかけるRSTパケットの送信も拒否するならoutでいいんじゃないかな。

>>184
すまん、おれの理解力が足りず言ってることが全く分からん

これは何のためのフィルタだと思う？
＞ip filter 201098 reject-nolog * * established

これダイナミックで掛けると確立した次の瞬間に破棄しちゃう事にならない?

>>186
すまん、ダイナミックで掛けると・・・とは？

うーん・・・
やっぱりOCNからredirect hostパケットが届く
2025/10/12 13:30:25: PP[01] Passed at IN(2011911) filter: ICMP 118.23.131.240 > 180.5.25.76 : redirect host
2025/10/12 13:30:26: PP[01] Passed at OUT(2010979) filter: ICMP 118.23.131.240 > 180.5.25.76 : redirect host

--------
show status pp 1
PP[01]:
Description: OCN
Current PPPoE session status is Connected.
Access Concentrator: 伏せ
2 hours 57 minutes 58 seconds connection.
Maximum Transmission Unit(MTU):
IPv4: 1500 octets
IPv6: 1500 octets
Received: 4023914 packets [1017052491 octets] Load: 0.3%
Transmitted: 58077 packets [304720601 octets] Load: 0.0%
Time total: 2 hours 57 minutes 58 seconds
PPP Configure Options
LCP Local: Magic-Number MRU, Remote: CHAP Magic-Number MRU
IPCP Local: IP-Address Primary-DNS(202.234.232.6) Secondary-DNS(221.113.139.250), Remote: IP-Address
PP IP Address Local: 180.5.25.76, Remote: 118.23.131.240
CCP: None
--------

ダメだダンプしたパケットがバグってる

>>185

説明下手くそですまん。

もし201099が下記のようになっているのならdynamicフィルタ機能を使うためのフィルタだと思います。

ip filter 201099 pass * * * * *


201098と201099の２つのフィルタを合わせて考えるとout向けのTCP通信を確立するための最初のパケット、3ウェイハンドシェイクでいうところのTCP SYNパケットだけ通すになるかと思います。


わかにくいですよね。

いい人過ぎるわ
うちの情シスチームのインフラエンジニアに欲しいくらい

>>190
動的フィルターを使うためには
静的フィルターの設定も必要なんですか・・・
難しすぎてギブアップです
ありがとうございました

>>190
ちなみにRTX830だと以下の2行がデフォルトフィルタとして入るのですが
ip filter 201098 reject-nolog * * established　←OUT
ip filter 201099 pass * * * * *　←OUT

ちなみにRTX1210だと以下の1行がデフォルトフィルタとして入ります
ip filter 201099 pass * * * * *　←OUT

RTX1210だと以下の1行が無いということです
ip filter 201098 reject-nolog * * established　←OUT

RTX830とRTX1210のデフォルトフィルタの違いが静的動的含めて以下の1行だけなのが疑問でした
ip filter 201098 reject-nolog * * established　←OUT

>>188解決したわ
まーたIoT(Webカメラ)が自分のグローバルIPアドレス宛てにUDP送信してた
前回はICMPだったからICMPのみフィルタしてたら・・・今度はUDP

>>193
静的フィルタはin、out合わせて許可するかどう判断するためRTX1210のin向け静的フィルタがちゃんとしていれば201098がなくても大丈夫な気がします。

>>195
RTX830にはあって
RTX1210にはない
その理由は何だと思う？

>>194
この動作の目的ってなんだろうね…
それとも単なるバグなのか
うちも不定期にICMP RedirectがOCNから来るんだよね

>>197
目的は「自分宛てのグローバルIPに送らなくても、ローカル内で完結できるよ」って感じ

家で例えると
玄関を出て勝手口から入って台所に行っている人に対して
わざわざ玄関から出なくても家の中を歩いて台所行けばよくね？
ってアドバイスをしてくれている

これがリダイレクトホスト

グローバルIPって書いちゃったけど
LAN2とLAN1がある機種でLAN2がPPPoE接続、LAN1がローカルと仮定した時の例ね
グローバルIPは使っていないとかWANだとかそういうのは適宜置き換えて考えてくれ

>>198
いや、逆でカメラ側の目的

>>198
カメラが省電力制御のために監視端末との接続状態を定期的に確認して接続数0の場合は自動で配信停止とかしているんじゃない?

>>198じゃなくて>>200だった。

>>200
お前日本語残念かよ

>うちも不定期にICMP RedirectがOCNから来るんだよね
>この動作の目的ってなんだろうね…
>それとも単なるバグなのか

って書いてあったら「定期にICMP RedirectがOCNから来る」目的だと思うだろｈｇ


>>201
監視端末とは？
カメラが自分のグローバルIPにPINGとかUDPを送る理由の説明になっていない

>>203
監視端末=カメラの映像をライブ視聴する端末のことね。公開ライブカメラでもなければ普通視聴端末を登録して登録外端末から視聴できないようにしてあるはずだけど…
というか自分のグローバルIPって言うけどカメラ用に固定グローバルを振ってるってこと?

>>204
お前知識も理解力もやべぇからもうレスすんなよ・・・

自分のグローバルIPとか曖昧な言葉使うんじゃねえよって事だろ?
ppに振られたグローバルIPならカメラが外から自身へのポートフォワードが正しく出来ているか確認するために配信用に開けているポートに対してping打ってるだけだろうし

>>206
そうじゃねえから疑問だって話だろ
お前も流れ読めよ

・質問を理解できない奴
・話の流れを読まない奴
・自己矛盾しちゃう奴

マジで多くて混乱する

>>181
>>206
> 自分のグローバルIPとか曖昧な言葉使うんじゃねえよって事だろ?
> ppに振られたグローバルIPならカメラが外から自身へのポートフォワードが正しく出来ているか確認するために配信用に開けているポートに対してping打ってるだけだろうし
ヘアピンNAT実装されていれば有効だと思うけど、WEBカメラってポートフォワードの確認なんてするの？

>>208
>>181は間違い。すいません

>ポートに対してping
とか言ってる時点で情弱か日本語が下手くそもしくはその両方

ICMP+UDPってことはping打ってアドレス存在確認+netcatないしnmapでポート叩いてんじゃね?

rtxに割り振られてるグローバルアドレス違うの？
何故カメラがそのIPにパケットを投げつけるのか…

まぁ所詮IODATAですし
ポート開放の説明でポート番号書いてあるけどリモートポート（送信元）かローカルポート（宛先）か書いてないし
https://www.iodata.jp/support/qanda/answer/s19822.htm

しかも、このWebキャメラ（）カメラが使うポート固定されてて変更できないくせに
その固定されたポート使ってなくて草

他に同等の機能がある製品あればそっち使うんだけどな・・・

いい加減、アメリカで通じないグローバルIPって言い方も何とかならんのか

ここ初心者が多いからグローバルIPの方が通じやすいよ

ここアメリカじゃないしね

IPフィルタのアドレス欄でIPCP指定できればよかったのに・・・つらたん

LUAでスクリプト組めばいい

ppをnetvolantednsなんかに登録してあるなら、fqdnでフィルタする

>>220
それだとダメだった

>>221
ルータのDNSキャッシュに入ってないと効かないので、
LUAでTTLより短い間隔でルータに名前解決させるといい

>>173
Linuxのステートフルインスペクションが有能

隙あらばLinuxの話

ヤマハルータの人たちはLinuxのnftablesやiptablesくらい使えんでしょうか

誰でも簡単わかりやすいラッパーであるところのfirewalldですらわけわからん
リッチルールとかなんだよ

>>226
firewalldは速攻でstop、disableする。
かえってそれがわかりにくいからだ。
素のnftables（iptablesの後継）は、基本的にINPUT、FORWARD、OUTPUTの「パケットの流れ」の出入り口にフィルタルールを掛ける。一方、ヤマハルーターは各インターフェースに、Linuxで言う「パケットの流れ」を混在してフィルタルールを掛ける。そのポケットをひっくり返したような発想の違いがある。ヤマハルータの場合、自分はフィルタ番号で「パケットの流れ」を区分しているよ。nftablesの方がわかりやすいルールを書ける。

>>227
firewalldをstop、disableすると、いったんルールは全部消えるからLAN内設置のLinuxマシンでない限りは、先にネット接続をコマンドで遮断すべき。

>>227
あと、素のnftablesでつかうなら、nftコマンドによるルール設定スクリプトを書いて実行してカーネルに登録後、/etc/syscofig/nftables.confに永久保存する。
dnf install nftablesでサービスをインストールして、systemctl start nftablesと、systemctl enable nftablesで、再起動後もルールが自動反映される
もうLinuxサーバーには慣れた

なんでLinuxバカってスレ違いの話題を続けるんだろうね

>>229
/etc/syscofig/nftables.confに永久保存するには、
# nft list ruleset > /etc/syscofig/nftables.conf
で良い。
簡単。

>>230
ヤマハルータとのフィルタリングの比較ですよ

>>232
組織の関門ルーターとしては、ヤマハルーターは重宝している
しかしインターネットにある各Linuxサーバーにはヤマハルーターを用意できないから、nftablesは必須となる

>>233
nftablesで使えるステートフルインスペクションは、ヤマハルーターの動的フィルタに相当するものでかなり便利
一部の通信が返らないと言うような変な挙動もない

自分としてはヤマハルーターとLibreSWANが簡単に繋がるようになってほしいと願う

LinuxでRouterとか
*BSDでpf運用しているととても楽なのにね
っていうかそもそも今時のMiniPCで十分なんだけどな

やはりLinuxスレ以外でLinuxの話題を出す奴はあたおか率が高いな

>>237
Linuxをそんなに嫌う？

>>236
ヤマハルーターの良いところはハードウェアが堅牢ってとこだな
何せ壊れない
Linuxルータだとハードウェアは自分で用意することになるけど、そう言うハードウェアは堅牢性に欠くんだなぁ
ヤマハルーターとLinuxルータは考え方が違うけど、Linuxルータみたいなアプライアンスってあるのかな
まあ、あったとしても自分は拠点ルータはヤマハルーターを使っていくだろうね
壊れないのが一番良い

>>238
嫌われてるのはlinuxそのものじゃないでしょ

>>238
Linuxが嫌いなのではなくて
Linuxスレ以外でLinuxの話題を出す奴がうぜー！って話

家で使う場合もYAMAHAが丁度いい
CiscoはやりすぎNEC IXはちとダルい

>>241
関係ある話なら良いやないか

syslogだってLinuxでサーバー立てるよな

>>241
それでもうぜーというなら
ウゼーと言うやつがここへ来なければ良い

>>243
ダメとは言ってないぜ

>>245
Linuxオヂがここへ来なければ良い

>>246
うぜーけど、だめじゃないってことだな
めんどくさ、見なくて良いよ

めんどくさ、見なくて良いよと言うやつがここへ来なければ良い

長年Ciscoとヤマハ使ってきたけど、小さい拠点はヤマハに代わりにNECでも良い気がしてる
もちろん慣れはあるけどフレッツ使うなら機能的にもNECのが良さそう

>>249
どのへんが？
せっかくヤマハのコマンドラインに慣れたから、わざわざ別のやつは使おうとはよほどのことがないと思わないけど

色々なベンダーの機器サワれるの楽しいから一つに絞るのはないな

送信元と宛先が逆転してるログが記録されるんですが原因分かりますか？

2025/10/15 09:55:43: PP[01] Rejected at OUT(2010003) filter: TCP 17.253.71.145:80 > 192.168.1.2:54748

IPアドレス
192.168.1.2はWindows11のパソコン

フィルタ
ip pp secure filter out 2010003 ここはデフォルト値 dynamic ここはデフォルト値
ip filter 2010003 reject * 192.168.0.0/16 * * *

宛先
Appleのサービスを使っているので17.253.71.145へ接続されることはあるのですが