22-7. ＶＬＡＮと無線でＬＡＮラン蘭 `2c/10〜 (1) 社内ネットワ−クをＶＬＡＮで -------------------------------------------------------------------------------- 無線ＬＡＮ、ただのＶＬＡＮ、タグＶＬＡＮ、認証ＶＬＡＮ、検疫ネットワ−ク、認証ス イッチ、IEEE802.1X 対応にEAP。そしてＵＴＭによるファイアウォ−ル、ウィルスチェッ ク、ＩＰＳなどのセキュリティ機能により、これらの組み合わせで何かできそうである。 -------------------------------------------------------------------------------- * いろいろ FortiGate の大学への導入事例で書かれていること。FortiGate は検疫ネットワ−クとの 連携の実績が多い。検疫ＶＬＡＮ認証スイッチを設置しユ−ザ認証をして決めたＶＬＡＮ にリダイレクトさせる。複数のＤＭＺを利用して外部との接続ができるようにしている。 認証ＶＬＡＮをインタ−ネットで検索すると、多くの企業や学校で導入している事例がで てきた。思ったよりも普及しているなという印象をもった。大学や高専での研究レポ−ト もあった。しかしできていることもあれば、今後の課題としているのも結構ある。 ＩＰ電話を含める場合のネットワ−ク設計が参考になるのでないか。ＩＰ電話はパソコン などのネットワ−クとは別にするのがいいと思う。全く別のセグメントにおくか、つまり ネットワ−クケ−ブルを分ける。あるいは同じセグメントでＶＬＡＮで分けるか。 メインのネットワ−ク装置であるレイヤ３スイッチのリプレ−スを計画している。その配 下にあるレイヤ２スイッチも同時に置き換える。タグＶＬＡＮも用いたネットワ−ク設計 も考えている。無線ＬＡＮのことも含めて計画した方がいいのでないか。 社内の無線ＬＡＮの設置はスイッチのタグＶＬＡＮと SSID を紐付けするというのがある。 タブレットなどを特定のＶＬＡＮに誘導して、そこで安全性を確保する。しかしそれだけ では大した制限はかけられないのでないか。IEEE802.1X を利用しないことには。 経路設定でパソコンがアクセスできる所を制限できないか。ホスト宛のスタティックル− トでできないか。iproute2 という経路制御のソフトはどうか。FortiGate には [ル−タ] ->[スタティック]->[スタティックル−ト] と [ポリシ−ル−ト] というのがあるが。 認証サ−バ Net'Attest EPS-SX03 はどうか。 無線ＬＡＮでは複数の SSID でそれぞれの ＶＬＡＮに対応できるとか。認証ＶＬＡＮはユ−ザＩＤごとに所属ＶＬＡＮを設けること ができるとか。ＭＡＣアドレスを見て所属ＶＬＡＮを割り振るとか FortiGate-224B というのがあった。検疫ネットワ−クの機能を持っている。 ２００７年 ４月号の雑誌に新製品紹介に出ていた。参考価格約８５万円。セキュリティ対策ソフトを 入れるのが困難な工場の機器などのネットワ−クで利用を想定している。 ＷＡＮとＬＡＮの設計の目安。例えばＷＡＮの IP-VPN なんかで繋げている工場。ＷＡＮ 越しでタグＶＬＡＮはまずいと思う。工場にもレイヤ３スイッチを設置してセグメントを 分ける、レイヤ３スイッチまでもは不要で、ハマハのル−タなんかでセグメントを分ける。 スイッチングハブをタグＶＬＡＮにして行くとネットワ−クの構成が直感的に捕えられな くなる。トラブルが起きた際に訳が分からなくなってしまう。無線ＬＡＮを社内に普及さ せて行くと、どうしてもハブをタグＶＬＡＮでセグメントを分けるようにしてしまう。 * 今一度タグＶＬＡＮのおさらい レイヤ２スイッチのＶＬＡＮは基本的にブロ−ドキャスト・ドメインを分ける機能である。 [1] A.1△ △A.2 [2] A ------ A ------ ｜ VLAN-A ｜ ----| L3 | ----| L3 | ------- ------- ------ 等価 ------ | | | | | ＝ | | | L2 |----------| L2 | | | | ------- ------- B ------ C B | | C ｜ VLAN-B ｜ ----| L2 |---- ------ ------ B.1△ △B.2 ------ [3] [4] [5] △ ------- -------- VLAN-A ------- ------- ｜ A | | VLAN-A | |――― | | | |------ △ | ■|〓〓〓〓 | | | ■|〓〓〓|■ | ｜ | | VLAN-B | |――― | | | |----------- ------- -------- VLAN-B ------- ------- B タグＶＬＡＮ対応のスイッチでポ−トをタグＶＬＡＮで定義する。■印がタグＶＬＡＮで ある。[3] はイメ−ジとしてタグＶＬＡＮのセグメントがある、〓〓〓〓。[4] はそれを 分離したイメ−ジである。さらにそれを物理的に構成したのが [5] である。 * ＶＡＬＮでセキュアにするには 一応以下のように考えてみたものの違うのでないか。こんなネットワ−ク構成をとること はないのでないか。検疫ネットワ−クでＶＬＡＮを使うのは意味が違う。あくまでも検疫 な訳であって、ひょっとするとウィルスに感染しているかも知れない、だから隔離した部 屋に先ずは入ってもらって検査をし、感染していればワクチンを投与し、それから外に出 てもらう。いったん検査をパスすれば、いわば普通のネットワ−ク下に接続され、あとは とやかく言われない。パソコンが接続されてからインタ−ネットにアクセスして感染して も不問にされる。それをも検知して感染パソコンを、またＶＬＡＮでもって隔離しようと いうのが「NETWORK MAGAZINE」2005/02号の１４３ペ−ジの記事になる。 [1] △ △ -------------- △ △ -------------- ｜ ｜ | | △ ｜ ｜ | | △ V1---------| | ｜ V1-------□--| | ｜ | |----- V2 FW | |----- V2 -------------- -------------- V2 の方から V1 のパソコンなどにアクセスする際に制限をかけたい。右図のように FWを 設置する。FW は FireWall または UTM でのパケットフィルタリングやＩＰＳなどなど。 [2] △ △ -------------- △ △ △ -------------- △ ｜ ｜ | | ｜ ｜ ｜ | | FW ｜ V1---------| |------- V1 V1-------□--| |---□----- V1 | |--- V2 FW | |--- V2 -------------- -------------- V1 のセグメントが複数ある場合はどうなるか。セグメント毎に FWを設置する。これしか やりようがないと思うが、それとも他にやれる方法があるのだろうか。 [3] ２つのスイッチはタグＶＬＡＮ機能がある物。 -------- -------------- □は普通のポ−ト、■はタグＶＬＡＮ対応の | ■|---|■ □|------ V1 設定をしたポ−ト。P1 は VLAN の V1に属す、 | | | | P2 は VLAN の V2 に属すとする。 これは上 |□ □| |□ □|------ V2 の "今一度タグＶＬＡＮのおさらい" [5] 図 -------- -------------- と一緒のことか、自分で描いていて分かった。 ｜ ｜ P1△ △P2 [4] ： セグメントA の向こうはインタ−ネットとす ------------ A る。パソコン P1 はタグＶＬＡＮによりセグ | △P1 メントBに属する。P1 はインタ−ネットのみ D --------- ------ ｜ B アクセスでき、社内の他のセグメントには行 ------| | VLAN-B | L2 |---- △ けないようにしたい。単純には L3 だけあっ | L3 ■|〓〓〓〓|■ | ｜ て D のパソコンから E,A にはいけないがイ ------| | VLAN-C | |-------- ンタ−ネットにはいける。レイヤ３スイッチ E --------- ------ C でそんな経路制御ができるのだろうか。 * 認証ＶＬＡＮ製品では Apresia の `2c/06のカタログより。AccessDefender によるエンドポイントセキュリティ −で IEEE802.1x だけでなく、独自のＷｅｂ認証、ＭＡＣ認証をサポ−ト。2005/11/10付 け「認証ネットワ−クと無線ＬＡＮ」日商エレクトロニクスのセミナ−資料にも日立電線 の認証スイッチ Apresia の紹介記事があった。以下そのまとめ。Apresia と RADIUS認証 サ−バで Network Authentication(NA)。Apresia のNA とパソコン資産管理統合ソリュ− ション(NOSiDE Inventory Sub System2004) との連携で、パソコン検疫ＬＡＮを実現。も う１つ認証スイッチとパソコンの接続のこと、Apresia はこの下にハブを付けてもいい。 Apresia とよく似た名前のアラクサラ。アラクサラは確か日本製だったはず。以下アラク サラのこと AlaxalA 。IEEE802.1X 認証、Web認証、MAC認証。日立とＮＥＣの子会社で設 立された。２００５年９月に初めてのエッヂスイッチ製品を出荷。コアスイッチはもう少 し前からだしている模様。製品の仕様はセキュア仮想ネットワ−ク、仮想ファイアウォ− ルにネットワ−ク・パ−ティション。ネットワ−ク認証は IEEE802.1x/Web/MAC。 ネット ワ−ク・パ−ティションは VRF(Virtual Routing and Forwarding) と VLAN で。 Cisco TrustSec はもっと柔軟なアクセス制限をかけることができそう。 ２０１１年のカ タログに MACsec という説明がある。"Cisco Catalyst 3560-X/3750-X が実装するMACsec (Media Access Control Security) は、ハ−ドウェアベ−スの暗号化によってレイヤ２フ レ−ム整合性と機密性を確保し、Man-in-the-Middle 攻撃 (スヌ−ピング、改ざん、およ びリプレイ) からデ−タを保護します。MACsec は、Cisco TrustSec の認証ソリュ−ショ ンとも連携して動作します"。シスコの Cisco Clean Access というのは？。 無線ＬＡＮを調べていて、日本コムシス(株)のサイトで気になるのを見つけた。`2c/11頃。 セキュア無線ＬＡＮベ−シックパック、"無線ＬＡＮ + ファイアウォ−ル + 認証サ−バ" が百万円！。FortiGate-80C １台、FortiAP ４台、認証サ−バ(Radius) Net'Attest １台。 認証サ−バのセットアップおよび１０ユ−ザまでのユ−ザ登録・証明書発行。Net'Attest とやら一度触って見たいものだ。だいぶ前からあるのは知っている。役割が幾つかあって、 それごとに製品モデルがあるのかソフトウェアがあるのか。分かりにくい製品だ。 * 検疫のアプライアンスと参考 [ IntraPOLICE ] ＳＣＳＫが扱う。住商情報システム(株)時代のパンフレットがあった。2008/03/18入手と メモ。(株)ラックと松下電工(株)の共同開発製品。不正ＰＣ検知アプライアンス。ネット ワ−ク上を流れる不正ＰＣの ARPパケットを検知、通報、強制排除するシンプルなコンセ プト。インラインでの設置ではないみたい。認証ネットワ−クだと導入は手間でコストも かかるが、この製品は簡易に設置できるらしい。その後、この製品は展示会でも見ない。 [ CounterACT ] Solitonが扱う。ForeScout Technologies,Inc.製。エ−ジェントレス型検疫／ワ−ム・不 正アクセス制御。不正接続ＰＣの検知、通信制御からポリシ−違反のパソコンの修正まで を手軽に実現する。パッチ適用では間に合わない未知の攻撃やゼロディワ−ムの感染を検 知、防御。インラインでなくミラ−ポ−トでトラフィックを監視する。NetAttest LAP と 連携してパケットを止める。エ−ジェント不要。カタログの日付は 2011/09 現在とある。 << 参考 >> あまり検疫ネットワ−クの雑誌記事はない。どうも仕組みの複雑さゆえ、ほとんど広まら なかったのでないか。OminiSwitch の名前は聞くことはない、Apresia は普通のスイッチ としてもまだ売られている。Apresia は別に値段がする製品でもないので、検疫ネットワ −クの基本となっている動的ＶＬＡＮの動作を、１つ買ってみて試してみたいものだ。ト レンドマイクロの製品もまだあるが、売れているという話はほとんど聞かない。 「NETWORK magazine」2007/04, P.97〜109, "特集３：図で理解する検疫ネットワ−ク、い よいよ本格的な普及期？。検疫ネットワ−クの業界標準規格はなし、ゲ−トウェイ方式の Trend Micro network VirusWall Enforcer 2500、 ユ−ザのパソコンにはエ−ジェントレ スでソフトは不要、アプライアンスはブリッジ接続で。治療サ−バなど特定マシンにしか アクセスできないよう、動的にポ−トの開け閉めをする。 「NETWORK MAGAZINE」2005/02, P136〜143,"仕組みを知れば見えてくる 検疫ネットワ−ク の光と影"。 よくよく考えて導入しないとロ−カルでもパソコンが動かなくなってしまう という記事あり。IEEE802.1X に対応したスイッチというのがあり OminiSwitch、Apresia。 認証スイッチといい、ユ−ザ認証によりパソコンに割り当てるＶＬＡＮを動的に制御する。 スイッチはパソコンを隔離する機能を担っていることになり、それが検疫と言うこと。 * 参考 「日経コミュニケ−ション」 2010/07, P.16〜31, "[特集]クラウド、モバイル利用で直面 > '今できる' 最善のユ−ザ−認証を考える"。P.31 の記事で、"ネットワ−クレベルで効 率よく制限をかける"、ここに Cisco TrustSec の仕組みが少し解説されている。 「日経ＮＥＴＷＯＲＫ」 2012.08, P.34〜35, "特集１:運用管理が楽になる ＩＰアドレス > 設計"。DHCP がうまく動作してない場合、パソコンが自動的に自身に割り当てるＩＰア ドレスをリンクロ−カルアドレスという、自動構成アドレスともいう。 「日経ＮＥＴＷＯＲＫ」 2012.10, P.62 抜粋, "「WLC4400/500」という無線ＬＡＮコント > ロ−ラ−でＡＰの「AP1131」を管理する。「ＡＰとコントロ−ラ−の間はCAPWAPという プロトコルを使用するトンネルが張られるため、通信は必ずコントロ−ラ−を経由..."。 「日経ＮＥＴＷＯＲＫ」 "絶対わかる！ ネットワ−ク設計(超)入門"。2012年6月29日発売。 > ISBN:978-4-8222-6774-2。2,520 税込み。ＶＬＡＮへの無線ＬＡＮの導入の記事がある、 ここだけ読んでみたい。街に出た際にちらっと見て、購入するかどうか決めよう。 (2) 無線ＬＡＮの SSID とＶＬＡＮ -------------------------------------------------------------------------------- ＶＬＡＮを使ってどのように安全性を確保したネットワ−クを作るのか、検討してみよう。 -------------------------------------------------------------------------------- * FortiGate と FortiAP では `2d/01 無線ＬＡＮの SSID と VLAN-ID に関するところ、ここのところの資料がない、 本や雑誌 に無線ＬＡＮの設計の話や設定事例がまるでない。少しでもめぼしい記事を拾ってくるし かない。SSID と VLAN-ID の紐付けのテスト、 動作確認を FortiGate でやってみようと した。しかし FortiGate-80C のメニュ−の {ワイヤレスコントロ−ラ} には、VLAN とい う文字は見当たらない。これからどうすればいいか分からない。ひょっとして FortiAPは FortiGateとパケット全部がトンネル扱いになっているのでないか。(その後の調べでそう だった)。FortiGate で ＶＬＡＮを作ってそれに対応付けるのでないか。かも知れないが これ以上触るのは止めにする。社内に配備して行くのは、FortiAP はまだいかがなものか。 実績のあるメ−カの無線ＬＡＮ装置にしよう。ということはシスコかアルバだけど。 vlan1 ----------- CT(無線コントロ−ラ) ←― |FortiGate| VLANが幾つか ---------- ←― ----------- vlan1,vlan2 無線 AP と VLAN-ID を紐付けするのか。 |タグVLAN| vlan2 ｜ ↑ 無線 CT と VLAN-ID を紐付けするのか。 | □|---------------- ｜トンネル | | ｜ | | ◎AP(無線アクセスポイント) |L2 や L3| ｜ SSID:customer -- vlan1 | |------------------ SSID:smartdev -- vlan2 | | ---------- * ともかく情報の収集を 「企業ネットワ−クをもっと強くする」ASCIIムック,2005年11月25日,初版発行。 "シスコ Catalyst 3750 で学ぶ最新スイッチによる社内ＬＡＮ、ACL の分類と役割" のP.72〜75に。 ACL( Access Control List )。eq www は eq 80 でも、eq の他に range範囲指定、gt よ り大きい、lt より小さい。セキュリティACLの種類はRACL(Router ACL)、VACL(VLAN ACL)、 PACL(Port ACL)。ＧＵＩの管理ツ−ルの CMS( Cisco Cluster Management ) で ACL の設 定ができる。この雑誌、２００５年発行な訳でちょっと情報として古いのでないか。 「改訂新版 Cisco Catalyst LAN スイッチ教科書」2004/07発売。"4.9.1 セキュリティACL (フィルタリング)"、P.131〜136。ASCIIムックの記事はこれから出ているのかも知れない。 133ペ−ジの説明がほとんど同じである。本の方では SVI200と書かれているのがムックで は SVI1200 となっている。SVIの千二百とは何かおかしな値だなとぱっと絵を見て感じた。 オリジナルの 200 を 1200と書き間違えたのでないかと思ってしまう。しかし本の構成図 は分かりにくい、ムックの方が直感的に分かる図になっている。 「UNIX MAGAZINE」2005/10, P.22〜39, "特集 Cisco Aironet で無線ＬＡＮ[2]、アクセス ポイントの設置と高度な設定"。P.40〜42,"UNIX Communication Notes 208 無線ＬＡＮを 考る"、WEP暗号化は弱くネットワ−クを危険性に晒す脆弱性あり。Cisco Aironet AG1130 シリ−ズをどうも例にして設定の説明をしている。SSID毎に認証方法、暗号化の設定がで きる。マルチプル SSID 全体に無線チャネルは設定されるので、SSID毎にチャネル指定は できない。複数の SSID を利用してＶＬＡＮに対応。無線と有線のＶＬＡＮを対応づける。 シスコのサイトにあった記事、一番参考になりそうだ。プリントしてじっくり読むとする。 ワイヤレス:Cisco Aironet 1100 シリ−ズ、設定例とテクニカルノ−ツに翻訳したドキュ メントが６本あり、その１つ。他に英文ドキュメントが５４本あり。「Cisco Aironet ワ イヤレス装置とのＶＬＡＮの併用」2009年10月29日 ライタ−翻訳版 PDF と HTML がある。 PDF をプリントしたのだが字が小さい、これじゃあ読めないではないか。HTMLのも文字が 小さいぞ。テクニカル リファレンス「Wireless Virtual VLAN Deployment Guide」英文。 http://www.allied-telesis.co.jp/support/list/wireless/tq2450/docs/、AT-TQ2450 リ ファレンスマニュアル 1.2、"設定例/2 VWNとVLANを使ってネットワ−クを分ける"。無線 ＡＰのAT-TQ2450。VWN(Virtual Wireless Network)機能はVLAN対応スイッチと組み合わせ て使用する。VLAN-ID と SSID を対応づける説明あり。無線ＡＰはWPA2にチェック、TKIP のチェックを外しCCMP(AES) にチェック。生徒用ネットワ−クは VLAN 20、SSID Student、 192.168.2.0。先生用ネットワ−クは VLAN 10、SSID Teacher、192.168.1.0。 来客用ネットワ−クを作るのにマルチプルＶＬＡＮなる機能はどうか。アライドテレシス GS908SS の取扱説明書を参考。例えば学校で教員用のＶＬＡＮと生徒用のＶＬＡＮを設け、 その間は通信できない。しかし両方かインタ−ネットにつながるル−タのポ−トとサ−バ がつながるポ−トにはアクセスできるという設定ができる。ＶＬＡＮモ−ドを802.1Qタグ ＶＬＡＮからマルチプルＶＬＡＮに変更する。ただしアライドだけの機能みたい。以下メ モでクライアントＶＬＡＮ、アップリンクＶＬＡＮ、GS908SS には ACL 機能はない。 2013/02追加「UNIX MAGAZINE」2005/08,P.22〜39,"特集 Cisco Aironet で無線ＬＡＮ[1]、 アクセスポイントの基本設定"。 アクセスポイントのアクセス制限を実施する話が終わり の方にある。access-list の書式、access-list [アクセスリスト番号] [permit(許可) | deny(拒否) ] host [IPアドレス]。この雑誌、会社では整理整頓で置いておけなくなり止 むなく自宅に。両親の遺品で部屋が一杯になり、自宅の物の整理をしていて2000年以前の を処分した。その際に埋もれていた、この号を見つけた。役に立ちますよ、まだまだ。 「日経ＮＥＴＷＯＲＫ」 2012.12, P.62〜67, "モバイルクラウド時代のスイッチネットワ −ク 設計術、第３回：無線ＬＡＮ"。できるだけ 5GHz帯を活用する システム方式ごとの VLAN設計に注意。P.36〜44, "特集２:スマホで安全に企業ネット接続"。P.52〜55, "ノウ ハウ満載 事例で学ぶ ネット構築術,段階的に無線ＬＡＮを導入 ３種類の認証を使い分け る"。P.50 のBIOS画面上のＩＰアドレスはサ−バ機のリモ−ト管理に使う。ＯＳのＩＰア ドレスとかちあって不具合を起こしてたという話、解決まで半年。この号は半永久保存版。 * シスコのパンフレット ２０１１年１月から４月版 「Cisco 製品総合カタログ−中小規模ネットワ−ク 1-4 月版 2011」P.64の記事、"シスコ のワイヤレスLAN製品を選ぶメリット(2)、ワイヤレスLANコントロ−ラを使用すれば、 社 員用とは別に来訪者専用の無線ネットワ−クを構築できます"。 P.64〜65の記事、Cisco 2100シリ−ズ ワイヤレスLANコントロ−ラは無線ＡＰを6台,12台, 25台管理できる製品がある。Cisco 5500 はＡＰを12台,25台管理できる製品がある。25台 分のＡＰを追加するライセンスがある。これでＡＰを最大7,000台まで管理できる訳？。 自律型はコントロ−ラ不要、ゲストアクセス△。集中管理型は無線ＡＰが３台以上はこち らを勧めるとのこと、ゲストアクセス◎。Cisco のハンペン型無線ＡＰは単独で VLAN を 切ることができるのか、「UNIX MAGAZINE」2005/10 の記事を見るとできそう。 Cisco Aironet 1040 シリ−ズ NEW IEEE802.11n 対応屋内アクセスポイント。シングルバ ンドとデュアルバンドそれに自律型と集中管理型で４種類ある。DHCPサ−バ、マルチSSID、 ＭＡＣフィルタ、ステルスSSID、QoS。 * シスコ製の無線ＬＡＮを使っての検討 `2d/07 1) 無線ＡＰとＶＬＡＮでの構成の基本 シスコの無線ＣＴ(コントロ−ラ)と無線ＡＰ(アクセスポイント)は３０分ごとに情報をや りとりする。設定情報は無線ＡＰがメモリでもっている、そのため無線ＣＴが止まっても 無線ＡＰはサ−ビスを続けることができる。デバイスがゲスト用の接続で無線ＣＴのDHCP サ−バからＩＰアドレスをもらう場合は、だめである。 ◇SV1 AP: 無線ＡＰ。固定ＩＰアドレス 192.168.1.0 vlanA ｜.2 ssid1 を振っておくこと。 ----------------------- 〜〜〜△PC1 | AP□ ssid2 SSID | 割り当て周波数 ------- ｜〜〜〜△PC2 ------|----------------- | | ｜.1 ssid1 | 2.4GHz チャネル1 | L2 ＠----------- 192.168.1.0 ssid2 | 2.4GHz チャネル5 SV2 | | ◇ ------- ポ−ト＠ はタグVLAN 対応 SSID | VLAN | IP割当 ｜.3 | で vlanA と vlanB をもつ。 ------|-------|------- ----------------------------- ssid1 | vlanA | DHCP 192.168.1.0 vlanB ssid2 | vlanB | 固定 無線ＡＰはタグＶＬＡＮ対応でないと、タグＶＬＡＮを認識しないと、このようなネット ワ−ク構成は取れない。Ｌ２のスイッチングハブもタグＶＬＡＮであること。無線ＡＰで VLAN-ID と SSID を紐付けするということ、シスコの無線ＡＰはこの設定はできる。 2) 無線ＡＰの SSID と周波数の対応付け SSID は基本は周波数とチャネルで区別される。 図Ｂでは同じ SSID にすることはできな いはず。どうも SSID を付けることに関して頭が混乱してしまっている、周波数が2.4GHz と 5 GHz では SSID は別にしないといけない、等と思ったりしていた。ＶＬＡＮと SSID のことは 2013/01 頃に検討していた。 社内に無線ＬＡＮを実際に展開する状況でもなか ったので、しばらくほかっていた。瞹昧な所を残していたので、ずっと気にはなっていた。 [図Ａ] vlanA ------- AP-------- 2.4GHz/C1 SSID | VLAN | 周波数 ---------| | vlanA,B| ssid1|〜〜〜△ ------|-------|---------- | L2 ＠--------＠ | ssid1 | vlanA | 2.4GHz C1 ---------| | | ssid2|〜〜〜△ ssid2 | vlanB | 2.4GHz C5 vlanB ------- -------- 2.4GHz/C5 [図Ｂ] ------- AP-------- 2.4GHz/C1 SSID | VLAN | 周波数 vlanA | | vlanA | ssid1|〜〜〜△ ------|-------|---------- ---------| L2 ＠--------| | ssid1 | vlanA | 2.4GHz C1 | | | ssid2|〜〜〜△ ssid2 | vlanA | 5GHz C9 ------- -------- 5GHz/C9 こちらのチャネルは何でも。 その後記述。図ＡでもＢでも同じ SSID でも構わない。シスコの無線ＬＡＮ装置をＳＩ業 者が設置して 5GHz と 2.4GHz で同じ SSID の名前を設定した。 5GHz と 2.4GHz 両方共 サポ−トするノ−トパソコンで無線の電波の様子を見ると、２つの SSID が出てきた。ど ちらかを選んでやればいいだけである。多分、無線ＬＡＮ接続するネットワ−クのＩＰア ドレスで SSID を区別すればいいのでないか。 3) 建物内での無線ＡＰの配置と周波数 -------------------------- パソコンはこのフロア内ならどこにあっても、あらかじめ | AP1 AP2 | 取り決めした設定で無線ＬＡＮ接続ができるという。例え | □(1) □(3) AP3 | ば SSID=ikkai、周波数は 2.4 GHz。 ５個の無線ＡＰが設 | □(1) | 置されていて、周波数のチャネルは干渉しないようにして | AP4 AP5 | いる。AP1 と AP3 は同じチャネル 1 番だが、無線ＡＰが | □(5) □(7) フロア−| 離れているので、電波は干渉しないだろうということ。 -------------------------- AP1□ AP2□ AP9□ ３つの無線ＡＰがある。AP1 は 2.4GHz のチャネ ｜2.4/1 ｜2.4/5 ｜5/1 ル1、AP1 は 2.4GHzのチャネル5、AP9 は 5GHzの -------------------------- vlanA チャネル1 とする。これら全部同じ SSID を振る | L2 |-------- ことができるはず(要確認)。PC が AP9 近くにあ -------------------------- れば 5GHz で無線ＬＡＮ接続するということ。 4) 無線ＡＰと無線ＣＴでのトンネル接続 ： ○a1' ○a2' CT:無線コントロ−ラ。仮想的にCT □FireWall CT□＝＝ ト に○a1'、○a2' が置かれたと見る。 A ｜ ｜ ‖ン ------------------------- ‖ネ SSID | VLAN | 無線ＣＴ vlanA | ‖ル ------|-------|---------- ------- TAG AP1□〜〜〜○a1 ssid1 ssid1 | vlanA | トンネル SV | | vlanB,A ｜〜〜〜△b1 ssid2 ssid2 | vlanB | --- ◇ | ＠--------------- B vlanB ssid3 | vlanC | --- D ｜ | | --------| L3 | TAG AP2□〜〜〜○a2 ssid1 a1,a2のパソコンはトンネルは通っ vlanD | | vlanC,A ｜〜〜〜△c1 ssid3 て CTからサ−バSVにアクセスする。 | ＠--------------- C vlanC | | b1,c1のパソコンはトンネルは通ら ------- ず、直接サ−バ SVにアクセスする。 (3) 認証機能が豊富なＬ２スイッチ * ApresiaLight の使い方 ３枚の紙が製品の箱に入っていた。1)安全上のご注意事項、2)コンソ−ルケ−ブル、3)保 証書。1) にマニュアルの入手方法として http://www.apresia.jp/apresialight/ が書か れてあった、ここから無料でダウンロ−ドできた。2)はオスメスの RS-232Cケ−ブル。3) は無償修理保証期間は出荷日より５年間、その紙に製品名とシリアルNo. を書いて送るこ と。FortiGate 用の RS-232C 設定で入れた、 これで先ず装置にＩＰアドレスだけ付ける、 とりあえず次のコマンドで設定する。あとはＷｅｂでアクセスし、デフォルトゲ−トウェ イのＩＰアドレスを記入すればいい。#config ipif System ipaddress 192.168.1.100/24 #save config で保存。 画面での操作で {Save all} は現在の設定情報とログを保存する、 {Reset Config} は全部デフォルト設定にする、{Reboot System} は装置を再起動する。 Ｗｅｂ画面で設定できるようにして、設定しておくと扱い易くなるのは画面のログアウト 時間。{Auto Logout 自動ログアウトの時間 10(分)} になっている。これを変更してみる。 [Configuration]->[Serial Port Settings] の {Auto Logout [Never ▽]} にした。これ は RS-232C 接続でのことのように思うけど、Ｗｅｂアクセスにも適用される。 画面右端 の [ Apply ] ボタンを押し手設定を有効にする。 モニタのサイズ一杯一杯を使った設 定画面になっている。かなり端っこに [ Apply ] があって、最初分からなかった。 他 TELNET と WEB は Enabled になっていた。 ポ−トの接続ランプの色で緑は 1Gbit/s、だ いだい色は 100Mbit/s。そうそうＷｅｂアクセスは http://xx.xx.xx.xx/ で。 社内ネットへ ○デスクトップ 192.168.1.5(00-A1-B2-C3-D4-E5) 1 ｜5 7 9 ｜ -------｜-----------｜-------- 装置自体に 192.168.1.100 と付けた。 | ‖ □□□□ □□□□ □■ | ■は光ファイバのコネクタを付ける穴。 | ‖ □□□□ □□□□ □■ | ----------------｜------------ 2 4 6 8 ●Ｗｅｂサ−バ 192.168.1.9 ※ ApresiaLight のサイトのＦＡＱではＭＡＣ認証は128端末、Ｗｅｂ認証は512端末まで。 これらの認証に対応するパケットは TCP のみ、ICMP と UDP はそのまま通すとのこと。 * ApresiaLight でＷｅｂ認証を見てみる [Security]->[Web Authentication]->[Web Authentication Settings] ->[Web Authentication User Settings] ->[Web Authentication Port Settings] ->[Web Authentication Customize Settings] -------------------------------------------------------------------------------- Web Authentication Settings -------------------------------------------------------------------------------- State [Disabled ▽] Method [Local ▽] Authentication Failover [Disabled ▽] PortNumber(1-65535) [80 ] Virtual IP [0.0.0.0 ] Redirection Path [ ] RADIUS Authorization [Enabled ▽] Local Authorization [Enabled ▽] ↓設定 State [Enabled ▽] Method [Local ▽] Authentication Failover [Disabled ▽] PortNumber(1-65535) [80 ] Virtual IP [192.168.9.99] Redirection Path [http://192.168.1.9] RADIUS Authorization [Disabled ▽] Local Authorization [Enabled ▽] -------------------------------------------------------------------------------- Web Authentication User Settings -------------------------------------------------------------------------------- Create User User Name ◎VLAN Name ○VLAN ID(1-4094) Password Confirmation [ ] [ ] [ ] [ ] [ ] [Apply] .. Total Entiries: 0 User Name VLAN Name VID Password ↓設定 Total Entiries: 1 User Name VLAN Name VID Password ikken - Henomohe [Edit VLAN Name] .. [Web Authentication Port Settings] で１５番ポ−トを Enabled にする。これで１５番 ポ−トにつなぐパソコンはＷｅｂ認証が通らなければネットワ−クが使えないようにでき るはず。基本的に外部の RADIUS サ−バを見る、応答がない場合にロ−カルデ−タベ−ス を見るようにできる。とりあえず何がしか設定してパソコンのログオンの様子をみた。何 かやろうとしている、止めているのは止めている。ＶＬＡＮの設定をやらないといけない のか。マニュアルを見ても基本的な仕組みが分からない。こんなように動作するよという 簡単な説明がどこかにないかな。最初 {Virtual IP [192.168.1.99} としていた。同じセ グメント上の空いていたＩＰアドレスを記述した。これがいけなかった。マニュアルをよ く見たら異なるＩＰアドレスのを書くこととあった、そうしたらすぐにできた。 １５番ポ−トに普段使いのデスクトップをつないで起動してみた。普通に立ち上がったよ うに見えるが、メ−ルソフトで送受信をクリックしても、メ−ルサ−バにはアクセスでき なかった。ブラウザのＩＥを起動したらＷｅｂ認証の画面がでてきた。Apresia に登録し たアカウント ikken を入れると、{Redirection Path [http://192.168.1.9]} に基づき、 192.168.1.9 Ｗｅｂサ−バの画面が出てきた。この時点でメ−ルソフトもちゃんとメ−ル サ−バにアクセスできるようになっていた。Ｗｅｂ認証など何も設定してない隣のポ−ト にデスクトップをつないで、もう一度１５番ポ−トにつなぐと、またＷｅｂ認証画面がで てきた。ポ−トのネットワ−クケ−ブルを差し換えただけでリセットされていた。半日で Ｗｅｂ認証は確かめることができた。次にＭＡＣアドレス認証もやってみよう。 * ApresiaLight でＭＡＣアドレス認証 [Monitoring]->[Web Authentication State] ->[MAC Address Table] << ここにも下記のＭＡＣアドレスがでている。 -------------------------------------------------------------------------------- Web Authentication State -------------------------------------------------------------------------------- PortList(e.g.:1,5-10) [ ] PortList(e.g.:1,5-10) [ ] 〆Authenticated 〆Authenticating 〆Blocked Total Authenticating Hosts: 0 Total Authenticated Hosts: 1 Total Blocked Hosts: 0 Assign Port MAC Address RX VLAN ID State VLAN ID Aging Time/Block Time 15 00-A1..E5(H) 1 Authenticated - Infinite [Security]->[MAC-based Access Control]->[MAC-based Access Control Settings] ->[MAC-based Access Control Local Settings] -------------------------------------------------------------------------------- MAC-based Access Control Settings -------------------------------------------------------------------------------- MBA Global State ◎Enabled ○Disabled [ Apply ] Method [Local ▽] Password [default ] Autentication Failover [Disabled ▽] Max User(1-128) [128 ] □No Limit Autentication Network [Disabled ▽] [ Apply ] Port Settings From Port To Port State Aging Time Max User [13 ▽] [13 ▽] [Enabled ▽] [1440 ]min □Infinite [128 ]sec □No Limit [ Apply ] 許可するパソコンは [MAC-based Access Control Local Settings] メニュ−で登録する。 {MAC Address[ 00-O1-P2-Q3-R4-S5 ]} というように、 パソコンなどのＭＡＣアドレスを 記入する。ここではノ−トパソコン192.168.1.6(00-O1-P2-Q3-R4-S5) にした。VLAN Name と VLAN ID は記載しなかった。ＭＡＣアドレスはパソコンを適当に Apresia のどこかの ポ−トにつなげば [Monitaring]->[MAC Address Table] にでてくる。 １３番ポ−トにノ −トパソコンをつないで様子をみたが、特に変わったことはなく普通に使えた。登録した ＭＡＣアドレスを消してみたら、直ちにアクセスできなくなった。ヤフ−の画面を見てい て各記事をクリックしても反応がなくなった。またＭＡＣアドレスを登録するとこれも直 ちに有効になった。パソコンのネットワ−ク接続をいったん無効にして有効にした方が動 作確認には確実かと思ったが、ＭＡＣアドレス認証はすぐに反応しているようだった。 * ApresiaLight でＭＡＣアドレス認証＆Ｗｅｂ認証 以上で１５番ポ−トはＷｅｂ認証をする設定。１３番ポ−トはＭＡＣアドレス認証をする ように設定をした。１５番ポ−トもＭＡＣアドレス認証をするようにしてみる。これで登 録したＭＡＣアドレスのパソコンでかつＷｅｂ認証を通らないとネットワ−クを利用でき ないようにできるはず。やってみました。AND でなく OR だった。ＭＡＣアドレスの登録 を消したらＷｅｂ認証の画面がでてきた。ＭＡＣアドレス認証が通ればＷｅｂ認証はやら ない。AND にするか OR にするか [Security]->[Access Autentication Control] 辺りで 指定するのか、いや違うみたい。なめるようにマニュアルを見た。マルチプル認証コマン ド #config authentication auth_mode port_based はどうか、 マルチステップ認証とい うＭＡＣアドレスとＷｅｂ認証の組み合わせという説明文字もあったが。 Port-based と Host-based というのも関係しないかと、いじってみたが変わらなかった。 ApresiaLight シリ−ズでなく Apresia シリ−ズで AccessDefender のライセンスを買え ばＭＡＣアドレス認証かつＷｅｂ認証ができる、ということだそうだ。 ApresiaLight で できたＭＡＣアドレス認証はＩＰアドレスとの対応付けはできないというか関係ない。該 当するＭＡＣアドレスが見つかれば許可することになった。ＭＡＣアドレス認証のことを 今一度勉強しなければいけないと思う。漠然とＭＡＣアドレスは偽造が簡単にできるので 危険だと思っていた節がある。Ｗｅｂ認証は今回、初めてどういう動作なのか確かめるこ とができた。これのセキュリティの強度はどのように考えたらいいのか。それも課題であ る。Ｗｅｂ認証の画面は HTTP か HTTPS を選ぶことができる。とりあえず HTTPでやった が HTTPS でやれば、アカウントがプレ−ンテキストで流れることもない。 これはインタ −ネットの巷に溢れる販売サイトと同じセキュリティということだ。いいかも知れない。 * "Windows へのログオン" の画面で３０秒位止まる テスト環境の流れで Apresia を FortiGate-80C のＬＡＮポ−トへネットワ−クケ−ブル をつないで社内ネットワ−クへ。少し前に無線ＬＡＮのテストをやっていて、FortiAP を FortiGate につないでいる。Apresia も FortiAP も FortiGate のＬＡＮポ−トをただの ハブとして利用しているだけである。どうも FortiGate-80C を間に入れると、 パソコン のログオンで止まる様な遅くなるみたい。FortiGate-80C の設定が何か影響しているのか。 パソコンの設定で関係するかも知れない設定。ＤＮＳは Active Directory が動いている Windows 2003 Server を指定。この指定でないと社内のファイル共有に入ることができな い。ファイル共有に入れたり入れなかったりする。Active Directoryのパソコンの認証？ それともユ−ザの認証？、Active Directory がログオンをしばらく覚えているのか、 パ ソコンが内部でログオンしたことを覚えているのか。これも３０秒位止まる原因の一つか。 １３番ポ−トをＭＡＣアドレス認証とＷｅｂ認証の設定をして動作をみていた。ＭＡＣア ドレス認証の方、１３番ポ−トを Enabled から Disabled にした。 それでパソコンを起 動したところ、"Windows へのログオン"の画面で３０秒位止まっていた。一応Ｗｅｂ認証 の画面は出てきてログインすれば、通常通り使えるのだが。どうもブラウザのアクセスな どがだんだん遅くなって行ったような気がする。ブラウザの応答が無くなっていたし。 (4) 無線ＬＡＮを全社ネットワ−クに `2d/02〜 * 引き続き無線ＬＡＮの調査 無線ＬＡＮの導入は組織では２００８年頃か。この時期まだ無線ＬＡＮはそんなに安定し た機器ではなかったようで、ＳＩ業者もかなり手こずったようである。無線ＬＡＮ設計の 有料セミナ−が最近ある、１日３万円ぐらいする。複数、無線ＡＰがある場合のこと。電 波の干渉、範囲とか。本格的に社内に無線ＡＰを設置していく場合のことを想定し、確認 しておくべきことは。一度、有料セミナ−とやらで話を聞きたいものだ。 ＨＰ社のセミナ−の案内で気になる無線ＬＡＮ装置があった。無線ＬＡＮはちょっとだけ の紹介だったが参考になった。コントロ−ラの働きが他のメ−カのとは違っていた。コン トロ−ラは管理と制御する時にのみ利用することもできる、通常は無線ＡＰだけでやりと りできる。シスコなど他社は必ずコントロ−ラを介する、トラフィックが集中することに なるのと、コントロ−ラが壊れると無線ＡＰも機能しなくなる。`2d/03/13 安全快適！モバイル活用時代のネットワ−クインフラ〜外出時は安全にリモ−ト、社内で 快適に無線ＬＡＮ〜。○○商会のセミナ−、2013/02 実施。企業向け無線ＬＡＮ製品ご紹 介。トンネルで複数ＡＰを集中管理。シスコ社は無線接続だけを提供するノンインテリジ ェントの自律型アクセスポイントの出荷台数が多く、これから主流となるインテリジェン ト コントロ−ラタイプのシェアにおいてはアルバのシェアが拡大中。 スマ−トデバイスが 5 GHz をサポ−トしてきた。ＮＥＣの LifeTouch L ビジネス向けの モデル。5GHz 帯無線ＬＡＮ対応。540g、薄さ 8mm弱。Office 互換アプリの QuickOffice、 内臓メモリの NAND Flash ROM 暗号化、ＳＤメモリ暗号化も。プリインスト−ルのサ−ビ スがある。でもまだ一般的にはスマ−トデバイスは 5GHz 対応は少ない。 ＳＣＳＫ社の営業から資料をもらっていた 2012/12。"オ−ルインワン 認証・DHCPサ−バ 「RADIUS GUARD」のご紹介"。日本語の操作画面。Radius、LDAP、プライベ−トＣＡ、DHCP 機能。802.1X認証、Ｗｅｂ認証、ＭＡＣ認証。１台の１Ｕかと思いきや２台のＨＡだった。 証明書発行機能(ＣＡ機能)。Apresia、AlaxalA、Aruba と連携しネットワ−クの利用制御。 Interop 2015 での事。Fortinet 社の展示ブ−スで無線ＡＰをいろいろ展示していた。聞 くと Meru 社の。2015/05/29 の Fortinet 社のアナウンスで、無線ＬＡＮメ−カの メル −・ネットワ−クスを買収で合意したと。これで Fortinet 社が無線ＬＡＮを本格的に売 っていく体制になったということである。 Meru はシングルチャネルという技術で簡単な 無線ＬＡＮを構築できるのが昔からの売りで、個人的には当時から評価していた。 * 来客用の無線ＬＡＮの検討 来客者が持参のノ−トパソコンやスマ−トデバイスを、社内で無線ＬＡＮが利用できるよ うにしたい、社内ネットワ−クの安全確保のため、インタ−ネットへしかアクセスできな いようにしたい。持参デバイスはウィルスチェックのソフトがインスト−ルされていると か、バ−ジョンだとかパッチだとかは問わない。 Cisco の製品でのできそうな設定例がインタ−ネットにある。ゲスト用と社内用ＶＬＡＮ を分ける。レイヤ３スイッチの ACL(アクセスリスト)で、社内ネットワ−クにはアクセス できないようにする。しかしインタ−ネットしかアクセスできないというのは難しいので ないか。Ｌ３の上にはまだＬ２があったり、ファイアウォ−ルがあったりする訳で。 それに持参ノ−トパソコンなどは、直接レイヤ３スイッチにつながる訳ではない。レイヤ ２スイッチが途中でかむ。レイヤ２スイッチで ACL をかけてできるのか。 途中のスイッ チで ACL をかけても意味はない。 ＶＬＡＮを使ってＬ３までパケットをもってきて ACL をかけるのはどうか。どうもこれも穴があるような気がする。 インタ−ネット SSID:guestssid は 192.168.9.0 のＩＰアド ： レスで、インタ−ネットへのみ抜けられる。 -------------------- 192.168.6.0 ｜.2 PCから無線ＬＡＮ接続でレイヤ３スイッチの NAT-------.2 ACL でＵＴＭの192.168.1.2 しかアクセスで | UTM |-------- 192.168.5.0 きないようにして、これでインタ−ネットし ------- か抜けられないようになっているのか疑問！。 ｜.2 ------------------- 192.168.1.0 ｜ PC -------｜------- AP1◎1〜〜〜△ SSID:guestssid。PC には 192.168.9.1 | □ | ｜ とか固定ＩＰを振る。 | Ａ Ｂ□|----------- 192.168.2.0 | | | L3 | -------- AP2◎ SSID:guestssid | | | L2 | ｜ | Ｃ□|--------|□ □|--------- 192.168.3.0 | | | | ---------------- -------- 無線ＡＰの AP1 で、Ｌ３につながるポ−トＢに ACL をかける。ＵＴＭの内部ネットワ− ク側のＩＰアドレスのみにアクセスを許可する。設定は permit host 192.168.1.2。それ に他のネットワ−クにアクセスできないようにする deny net 192.168.2.0, 192.168.3.0, 192.168.5.0, 192.168.6.0。deny net 192.168.2.0 はどういうことか、 これをやってし まったんでは？。いや多分大丈夫か、PC には 192.168.9.1 とかふるわけでタグＶＬＡＮ を使うので。それをポ−トにではなくＶＬＡＮに対して適用するのでないか、RACL で。 * Cisco のレイヤ３スイッチの ACL Cisco のレイヤ３スイッチの ACL とは。どういうことができるのか、 どうも腹に入らな かったが `2d/03/12、つまりヤマハのル−タのパケットフィルタリングするコマンドと同 じようなことと思った。ACL の基本はそういうことだが、少しややこしくなっているとい うことと考えていいか。いや違うな、だいぶ違うぞ。「改訂新版 Cisco Catalyst LAN ス イッチ教科書」2004/07発売 の１３３ペ−ジの説明。これを図解してみた。 -------------------------- ――――×――――― ムックの方に出 | L3 | ｜ ている図で、営 | ／￣￣￣￣￣￣￣￣＼ | 営業部 ---------- ｜ 業部と人事部の | ＼＿＿＿＿＿＿＿＿／ | -------| | ↓ 名前が出ていた。 | ｜ ｜ | | L3 | Server 人事部のパソコ | A｜192.168 B｜192.168.1.1 | |――◆ ンからしかサ− | □ .200.1 □fa4/2| -------| | ↑ バはアクセスで ------｜------------------ 人事部 ---------- ｜ きないようにL3 output↓｜ ↑input ｜ で制御している。 SVI200｜ このポ−トへはHTTP ――――○――――― ◆Server のみ入力可 192.168.200.100 << 結局こういう制限をしている >> * 無線ＬＡＮを全社ネットワ−クに << こんなように設計してみた >> スマ−トデバイスは無線ＣＴにトンネルさせる。無線ＣＴの前に設置したＵＴＭで何らか セキュリティ対策を施す。FortiGate-80C 辺りを設置し、ファイアウォ−ルでアクセスで きる社内リソ−スを限定するとかＩＰＳ機能をオンにしておくとか。スマ−トデバイスは その挙動が掴み切れない。無線ＡＰにつながったら、社内どこへでもＯＫとさせるのは危 険だと思う。社員用のスマ−トデバイスということだが、どこからでも同じネットワ−ク ＩＰアドレスとし、スマ−トデバイスのＩＰアドレスは DHCP による。 DHCP とするのは 外での利用の際も DHCP だろうということ。スマ−トデバイスを利用する社員がデバイス の扱いにそんなに詳しくはないだろうということ。どこにいても設定を変えることなく簡 単に使えるようにするのが望ましいということである。 来客用のパソコンやスマ−トデバイスは無線ＣＴにトンネルさせる。そしてインタ−ネッ トのみアクセスできるようにする。ＩＰアドレスは固定ＩＰによる。社内のどこからでも 同じネットワ−クＩＰアドレスとする。多分、本社でも支店でも同じということになるだ ろう。利用者は例えば総務で申請し、適当なＩＰアドレスを割り振ってもらう。ここらの ことは、それぞれの会社での運用ノウハウとなる。あらかじめ無線ＬＡＮ接続の用紙を用 意しておき、設定のＩＰアドレスをそこに書いておくというのはどうか。192.168.99.1か ら 2 3 4 と言うように用紙ぞれぞれに。SSID のパスワ−ドも書いておくが、ずっと変え ないのか定期的に変えるのかは運用である。これなら１０人来ても、１０枚の用紙を渡せ ばいいだけのことである。このアイデア、なかなかいいかも知れない。 来客用の SSID はオ−プンにする。ノ−トパソコンやスマ−トデバイスを無線ＡＰのお客 さん用の SSID はオ−プンにする。ノ−トパソコンやスマ−トデバイスを持参して電波の 様子を見れば SSID が検出されているという状況。社員のノ−トパソコンなどはＭＡＣア ドレスの登録をやっておき、無線ＬＡＮ利用の制限を一応かけるか。無線ＣＴにＭＡＣア ドレスを登録することになるのでないか。スイッチングハブでもＭＡＣアドレスのフィル タリングができるのもあるが、それだと無線ＡＰにつながるハブ全部に登録しておかない といけないのでないか。社員のスマ−トデバイスの DHCP のこと、無線ＡＰで DHCP をす るとなると、複数の無線ＡＰで配布ＩＰがかちあわないようにするとか、工夫がいる？。 192.168.99.xx インタ−ネット ：……………◇ V3 5GHz 来客用のデバイス用 ： ：：…………◇ V3 2.4GHz 固定ＩＰ ---------------- ：： ｜ 無線AP-------- 192.168.98.xx ---------- | 6 5 4|………◇ V2 5GHz スマ−トデバイス用 ＿＿|FireWall|＿＿＿ | 3|………◇ V2 2.4GHz 動的ＩＰ DMZ1| |DMZ2 ｜ | SSID | ---------- □無線CT | 2|………◇ V1 5GHz ノ−トパソコンなど ｜ UTM ｜ | 1|………◇ V1 2.4GHz 固定ＩＰ ---------------□------ -------- | ｜TAG VLAN ------------ --------｜-- ここは従来のＬＡＮのところ | | | □ ■ | ↓ | | TAG VLAN | | ----- V1 | L3 ■――――――■ | | |------○ デスクトップや | | | □――――□ |------○ ノ−トパソコン | | | L2 | | |------○ 固定ＩＰ ------------ ------------ ----- * DHCPサ−バのアプライアンスが必要かも 社内をどんどん無線ＬＡＮにして行って、社内のどこででもパソコンやスマ−トデバイス が使える環境にして行く予定である。そうなるとＩＰアドレスは固定という訳には行かな くなり動的にしないと困ることになる。DHCPサ−バぐらい適当な Linuxマシンでもいいの だが、やはり信頼性ということを考えると、マシンの２重化／クラスタ構成がいるネとい うことになる。そうなるとクラスタのフリ−ソフトなり市販ソフトを触るスキルが必要に なる。面倒なので DHCPサ−バが動くアプライアンスを導入したらどうか。 DHCPサ−バを 設置すると、パソコンでも何でも社内ネットワ−クに簡単につながることになる。何らか の制限が必要だと思う。Active Directory と連携して認証、制限をかけるとか。 (5) シスコの無線装置でＬＡＮラン欄 `2d/07 * それで選んだメ−カは製品は 集中管理型でメ−カはシスコかアルバかという選択だろう。ＳＩ業者の扱いとか得て不得 てもあるだろう。信頼できるＳＩ業者にお任せしシスコにした。設定は最近のはチャネル と電波強度は自動調整する機能が十分働き、無線ＡＰにＩＰアドレスを振る位で済むよう である。後は電波が強すぎてあまり遠くまで飛ばないように注意する程度らしい。 無線ＡＰの価格を調べてみた。"ネットワ−ク機器のコンビニ"とかいうサイトに出ていた。 Cisco 2100 シリ−ズ, AIR-WLC2125-K9, 706,820円税込み, ＡＰは２５ライセンス。2100 のAIR-WLC2106-K9, 264,760円, ＡＰは６。2500 の AIR-CT2504-25-K9, 473,803円、ＡＰ は２５。2500 の AIR-CT2504-5-K9, 94,466円、ＡＰは５。ライセンス代は毎年いる。 無線ＣＴの機種についてシスコのパンフレットを見た。２００９年１０月のパンフレット には 5500 と 2100 が載っていた。 ２０１１年１−４月のパンフレットには 2100, 2500, 4400, 5500 が載っていた、 それにワイヤレスコントロ−ルモジュ−ルというのも１つあ る。ワイヤレスＬＡＮコントロ−ラは WLC という。 小規模オフィス用のパンフレット「Cisco スモ−ル ビジネス カタログ 2011.1-4 月版」 ワイヤレス アクセス ポイント WAP4410N-JP 46,800円。 机上に置く形で VLAN数 4、ACL、 不正ＡＰ検出、ステルスSSID、マルチSSID、QoS、PoE。単体の無線ＡＰのみ。一応参考ま で、こんな製品もシスコにはあるよということで。 大元のシスコのサイトには "スタンドアロン型コントロ−ラ" には 8500,5700,5500,2500, Flex 7500,それに Cisco Virtual Wireless Controllerが出ていた。"アクセスポイント" は Cisco Airnet 3600シリ−ズ, 2600, 1600 の３つが出ていた。3600,2600 は CleanAir 機能対応。1600 は CleanAir なし、CleanAir Express に対応予定。 無線ＣＴは Cisco 2500 シリ−ズ Wireless Controller の 2504 でいいだろう。 最低の 無線ＡＰのライセンス台数は５。筐体は弁当箱程度だが、これでも最大５０の無線ＡＰと ５００台のクライアントをサポ−トする。無線ＬＡＮはここでは集中管理型にする。その ため無線ＡＰも集中管理型の機種を選ぶこと。 無線ＣＴと無線ＡＰはシスコのサイトに出ているのから選ぶこと。２０１１年１−４月の パンフレットに載っているのは、今はもうシスコは生産してない。インタ−ネットの通信 販売のサイトにでているのは、その会社の在庫分である。 Wireless Conntrol System は モビリティサ−ビスエンジン装置も必要、何百も全国にＡＰがあるような場合で使う代物。 無線ＡＰの設置は工場など工作機械のノイズが出るところでは CleanAir 機能が有効との 話、それに外付けのアンテナがある方が望ましい。Airnet 2600 辺りがいいだろう。アン テナは別売りであることに注意したい、１本６千円とかする、幾つか種類があるのでＳＩ 業者に選定してもらう。設置場所によってはパワ−インジェクタも買っておくこと。 オフィスではノイズが出るような物がなければ、特に CleanAir 機能は必要ないとのこと である。 アンテナはなくてよし、そうなると Airnet 1600 の集中管理型という選択にな る。定価は１０万円ぐらいか。ノイズというのは、つまり電波干渉のことである。チャネ ルと電波強度を自動調整するのは CleanAir でない、Enable Auto-RF を YES にすること。 無線ＬＡＮの 802.11n 規格は暗号化は AES の利用を規定している。セキュリティ設定は WPA2(AES) にすること。2.4 と 5 GHz 両方をサポ−トする。 5 GHz は電波のチャネルが 重ならない。802.11ac は現在規格としてはドラフト段階で、ここまでは必要ない。 デス クトップのパソコンなんかの無線ＬＡＮ装置はバッファロ−なんかでも構わないだろう。 * ほぼ本番の無線アクセスの機器構成 無線ＬＡＮ接続のゲスト用 SSID はインタ−ネットのみアクセスできるようにする。無線 ＡＰから無線ＣＴへトンネル接続。無線ＣＴは２つのインタ−フェ−スを持つ。ファイア ウォ−ルで wan2 から wan1 へのパケットを許可する。 ゲスト SSID のアクセスは無線ＣＴで、Ｗｅｂ認証画面に誘導する。ここでアカウントを 入れないとインタ−ネットにはアクセスできないようにする。ゲスト SSID のパスワ−ド、 Ｗｅｂ認証のパスワ−ドは定期的に変えるかどうか、変えなくてもいいんじゃないか。 ： この図はテスト環境で模式的に描いてい □実際はRouterとか る。FortiGate は 50B でwan1,wan2を使 ｜.2 用している。本番機の 310B では好きな ----------------------- 192.168.3.0 なようにインタ−フェ−スを定義できる。 | wan2 は DMZ2 という名前にしてもよい。 wan1|.1 NAT ファイア----------- レイヤ３スイッチでは 192.168.2.0の経 ウォ−ル| |.1 192.168.2.0 路設定はやることはない。無線CTはル− |FortiGate|---------- ティングをする訳ではない、単なるタグ | |wan2 ｜ ＶＬＡＮでやっているとのことだが、無 ----------- ｜ 線CTの設定でどうしているのか要確認！。 .1|internal ｜ | ｜.2 SSID NIXGESUT で接続したデバイス PC2 | 無線CT■＝＝＝ は無線APからCTへトンネルを通る。無線 ----------- ｜.9 ‖ト CTからは wan1 インタ−フェ−ス、つま | L3 |-------------- ‖ン りインタ−ネットへしかアクセスできな ----------- 192.168.1.0 ‖ネ いように FortiGate で設定している。 | ‖ル -------------------------------- ‖ PC2のＩＰアドレスはDHCPで192.168.2.x 192.168.9.0 ｜.9 ‖ を付ける。SSID NIXGESUT は同じSSIDで 無線AP□＝＝＝＝＝＝ 2.4と 5 GHz を用意する。ゲストアクセ ／ ＼ ス用としてブロ−ドキャストする。 PC1 SSID=NIXUSER ○ △ SSID=NIXGESUT はブロ−ドキャストせず固定ＩＰとする。 PC1 PC2 無線ＣＴが故障した場合のこと。ゲスト用 SSID は無線ＣＴの DHCP サ−バからＩＰアド レスをもらうので、そもそも接続できない。社内の一般ユ−ザのパソコンは固定ＩＰアド レスによる、無線ＡＰの電源を入れ直さない限り無線接続はできる。無線ＣＴと無線ＡＰ は３０分毎に電波の情報をやりとりしている。シスコの無線ＡＰの死活、他社製無線ＡＰ の有無、電波の干渉状況などを監視してチャネルや電波の強度を変えていくようになって いる。無線ＣＴにアクセスできないと、同じ設定状態で稼働して行くということになる。 その後、実際に無線ＬＡＮの装置を設置してのこと。来客用の SSID はブロ−ドキャスト する、ＩＰアドレスは無線ＣＴで割り振ることにした。社内の固定ＩＰアドレスのパソコ ンは無線ＣＴでＭＡＣアドレス認証をやることができるが、とりあえずやらないことにし た。これまでネットワ−クケ−ブルでのパソコン接続で、ＭＡＣアドレス認証なんかやっ てない。それなりの管理ソフトをパソコンに入れてあれば、やらなくてもいいのでないか と思う。スマ−トデバイスも MDM のようなアプリを入れてあれば、そういう扱いにする。 この際ネットワ−クケ−ブルでの接続と無線ＬＡＮでの接続で、固定ＩＰアドレスの範囲 を定めておきたい。だいたいこれまで例えば 192.168.1.x で、.1〜.9 は管理用やサ−バ 用、.250〜.255 はテスト等に利用ぐらいとゆるく取り決めはしていた。 .10 からはケ− ブル接続でのパソコンにＩＰアドレスを付けて来た。今後はケ−ブル接続だったのを、無 線の方に置き換えていくという方針の元に、〜.249 は無線ＬＡＮ用としてみる。 ひょっ とすると DHCP サ−バを使う場合のＩＰアドレスをどうするかも検討しておきたい。 * ゲストの無線アクセスの動作検証 FortiGate-50B で wan1, wan2 インタ−フェ−スを使って、ポリシ−ル−ティングの動作 確認のテストをやっていた。その設定状態を先ず保存しておくことにした。[システム]-> [メンテナンス]->{バックアップと復元} Backup configuration to: [Local PC ]。これ で "マイ ドキュメントのダウンロ−ド" に "fgt_system.conf 35 KB CONF ファイル" が できた。ファイル名をとりあえず 50B_PolicyRoute.conf というように変えた。 FotiGate に ACL をかけて 192.168.2.2 のパソコンからは、wan1 より上のネットワ−ク にしか行けないようにしてみる。でもファイアウォ−ルに ACL ってあるか？。 考えてみ たらファイアウォ−ルに ACL はないぞ。そもそも ACL はレイヤ３スイッチやル−タでパ ケットフィルタリングさせるものである。ACL( Access Control List )。 FortiGate-50B の internal のポ−トはスイッチングハブだ。このポ−トでネットワ−ク ＩＰアドレスを分けることはできない。wan2 インタ−フェ−スで 192.168.2.0 セグメン トを作るしかない。[ファイアウォ−ル]->[ポリシ−] で制御はすぐにできた。 どうやっ てやればいいか取り組み始めて１時間でできた。もっと面倒かと思ったが。 ｜ L3□ 社内ネットワ−ク FortiGate-50B には WANのインタ− ｜.2 フェ−スが wan1 と wan2 の２つあ -------------------------------- 192.168.3.0 る。LANポ−トは４つある。 | wan1|.1 NAT PC ----------- ○ [ファイアウォ−ル] -> [ポリシ−] | |.1 ｜.2 では wan2->internal DENY を明示 |FortiGate|---------- 192.168.2.0 すること。 多分 FortiGate は暗黙 | 50B |wan2 的に禁止設定になっているはずだが Qube3 ----------- が。 本番機の ForiGate-310B では □ .1|internal wan2 は DMZ2 とかの名前に変えて ｜.2 | して、既存のDMZ に行けないように -------------------------------- 192.168.1.0 DMZ2->DMZ DENY も設定すること。 [システム]->[ネットワ−ク] インタフェ−ス名 internal、アドレッシングモ−ド ◎マニュアル、IP/ネットマス ク192.168.1.1/255.255.255.0。同様 wan1 192.168.3.1 と wan2 192.168.2.1。 [ル−タ]->[スタティック] 宛先ネットマスク [0.0.0.0/0.0.0.0]、デバイス [wan1] ゲ−トウェイ [192.168.3.2]、ディスタンス [10] [ファイアウォ−ル]->[ポリシ−] ※ wan2->internal NAT なしを internal -> wan1 all all ACCEPT NAT 入れると PC から Qube3 に wan2 -> wan1 all all ACCEPT NAT アクセスできるようになる。 * ゲストの無線アクセスの専用インタ−ネット ： ： インタ−ネット回線をもう１つ用意 □Router □Router して、ゲストの無線アクセスのパケ ｜.2 ｜.2 ットを WAN2 に誘導するのはどうか。 ---------------- --------------- 192.168.3.0 | | 192.168.4.0 [ファイアウォ−ル]->[ポリシ−]で WAN .1| |.1 WAN2 DMZ2 -> WAN2 all all ACCEPT NAT。 □MR ----------- インタ−フェ−スのWAN2も NAT変換。 ｜等 | |.1 ------------|FortiGate|---------- 192.168.2.0 とすれば、無線CTの設定とは関係な DMZ | | DMZ2 ｜ く、それだけでポリシ−ル−ティン ----------- ｜トンネル グもどきの事が、できるのでないか。 .1|LAN 無線CT■＝＝＝ と思ったのだが、そう単純な話では | ｜ ‖ ない。デフォルト経路が問題になる。 * タグＶＬＡＮはほどほどに `2e/12 無線ＬＡＮを社内に広めて行くことになると、既存のネットワ−クケ−ブルを利用したい ためどうしてもタグＶＬＡＮを使いたくなる。しかしほどほどにしないとネットワ−クの 構成が分からなくなってくる。その時はよくても、しばらく経つと分からなくなってしま う。十分注意したいことである。ＳＩ業者任せにするとますます分からなくなってしまう。 下の設定では LAN1 の８個のポ−トは全てタグＶＬＡＮとなる。これらのポ−トにつなぐ ハブやネットワ−ク装置のポ−トはタグＶＬＡＮにしないといけない。ＵＴＭなどを透過 モ−ドでつなぐなら構わないような気がするがダメである。透過モ−ドでも装置にＩＰア ドレスは振らないけない訳で、その時点でもう装置には通信できないことになる。 TeraTerm か telnet でアクセス。 --------------------------- Yamaha RTX1200 Password: | LAN1 | > show conf | 1□2□3□4□ □LAN2 | | | 5□6□7□8□ □LAN3 | ip route default gateway 192.168.9.2 --------------------------- ip route IP1desu gateway IP2desu vlan lan1/1 802.1q vid=101 vid は VLAN IDで他のネットワ−ク装置とＩＤ ip lan1/1 address 192.168.1.1/24 は一緒にすること。lan1/1,lan1/2 はLAN1ポ− vlan lan1/2 802.1q vid=102 トの１番、２番という意味ではない。LAN1の８ ip lan1/2 address 192.168.2.1/24 個のポ−トはどれも同じ物になり 192.168.1.0, vlan lan1/3 802.1q vid=103 192.168.2.0,192.168.3.0 のセグメントがある ip lan1/3 address 192.168.3.1/24 ということである。lan1/2 の 2 はそのただの ip lan3 address 192.168.9.1/24 識別の番号でしかない。 | snmp host any ip lan1/1 と書かれれば、上の絵で 1□となっ snmp community read-only public ているのだろうと思う、それが違うのだ。タグ snmp community read-write private ＶＬＡＮは物理的なネットワ−ク構成を分かり > administrator にくくする。多用するのは注意した方がいい。 Password: # ip filter 1 reject 192.168.1.11 * lan1/1 はネットワ−クアドレスは192.168.1.0 # ip filter 2 reject 128 168.1.12 * である。そのネットワ−ク上の192.168.1.11と # ip filter 9 pass * * 128 168.1.12のパソコンなりは、外へ出ていけ # ip lan1/1 secure filter out 1 2 9 ないように、他のパソコンなりは行けるように。 # save タグＶＬＡＮでのパケットフィルタリングの設 セ−ブ中... CONFIG 終了 定である。TeraTerm の RS-232C で filter に # quit は３０ぐらい列挙して行ったら下の行に行った > が問題なかった、telnet でも同じ挙動だった。 ------------------------------------------------------------------------------------ [ 付録 ] いろいろ ● 確認 Windows XP パソコンでの経路設定 パソコン PC にて 192.168.1.2 ヘのホスト経路を設定したとする。PC から 192.168.1.2 へはいける。それより向こうは FireWall を通りＮＡＴでインタ−ネットへ抜けることが できるはずである。PC から AA や BB にはアクセスできるのか、できないと思う。AA へ は 192.168.5.1 へのアクセスである。 PC からはあくまでも 192.168.1.2 へしかアクセ スできないはずなので。 インタ−ネット □BB ： ｜.1 ------------------------ 192.168.6.0 ｜.2 □AA NAT----------.2 ｜.1 |FireWall|-------- 192.168.5.0 CC□ ---------- △PC ｜.3 ｜.2 ｜.7 ------------------------ 192.168.1.0 >route add 0.0.0.0 192.168.1.2 デフォルト経路を設定する。 >route -f コマンドで設定した経路情報を消去する。 >netstat -rn Network Destination Netmask Gateway Interface Metric 0.0.0.0 0.0.0.0 192.168.1.2 192.168.1.7 10 127.0.0.1 255.0.0.0 127.0.0.1 127.0.0.1 1 192.168.1.0 255.255.255.0 192.168.1.7 192.168.1.7 10 192.168.1.7 255.255.255.255 127.0.0.1 127.0.0.1 10 192.168.1.255 255.255.255.255 192.168.1.7 192.168.1.7 10 224.0.0.0 240.0.0.0 192.168.1.7 192.168.1.7 10 255.255.255.255 255.255.255.255 192.168.1.7 192.168.1.7 1 Default Gateway: 192.168.1.2 ========================================================================= Persistent Routes: None > route delete 0.0.0.0 mask 0.0.0.0 192.168.1.2 > route add 192.168.1.2 mask 255.255.255.255 192.168.1.2 これで 192.168.1.2 は ping はいった、外には ping はいかなかった。 > route add 192.168.6.2 mask 255.255.255.255 192.168.1.2 更にこれを追加した、外には ping はいかなかった。 レイヤ３スイッチの ACL の機能をパソコンで確かめられないかと思ったのが、 そもそも できない相談だったのでないか。レイヤ３スイッチの本体の中でパケットのアクセス制御 によって制限をかける。それが経路制御になっている訳で。 ● タグＶＬＡＮ下のネットワ−クトラブルの対応検討 `2g/03/E * タグＶＬＡＮのテスト環境 △PC1 PC1のIPは192.168.10.2、DGは192.168.10.1。 VLAN11‖ .2｜VLAN10 192.168.10.0 PC2のIPは192.168.20.2、DGは192.168.20.1。 VLAN12‖ ｜.1 --------------------- DG vlan-11 192.168.11.1 | ↑ (2) | <--- vlan-12 192.168.12.1 | ｜Layer 3 | ----------- △PC2 | ｜Switch |VLAN11,12 NAT|FortiGate|.1 ｜.2 | ｜ (10)|〓〓〓〓〓〓〓〓〓〓〓| 80C |--------------- | ｜Cisco 3750 |↑ ↑|WAN LAN| 192.168.20.0 -----｜--------------｜ ｜----------- ｜ ｜ ｜ ここが VLAN11 で 192.168.11.1、 ここが VLAN11 で 192.168.11.2、 VLAN12 で 192.168.12.1 とみなす。 VLAN12 で 192.168.12.2 とみなす。 Cisco 3750 に telnet で入って ping 192.168.11.1、192.168.11.2 それに ping 192.168.12.1、192.168.12.2 をやってみる。応答があるはず。 FortiGate-80C の CLIコンソ−ルから、上に同じく４ヶ所に ping を打って みる。応答があるはず。ping 192.168.10.2 も行くはず。 パソコン PC1 から同じくやってみる。PC2 はＶＬＡＮも何もしてないので 上記のところには ping は行かない。FortiGate-80C の設定に使うのみ。 FortiGate-80C の WAN インタ−フェ−ス名 wan1 は 192.168.9.1 と定義し た。80C 内と PC2 から ping 行った。3750 内から ping はだめ。 VLAN11 と VLAN12 を流れるパケットを FortiGate-80C にも来るようにして、おかしなパ ケットがないか調べることができるようにしたい。FortiGate-80C からは FortiAnalyzer にも解析用のパケットを送り、より詳しくパケットの様子を分かるようにしたい。80C の インタ−フェ−スは WAN で、ここにパケットが来るようにしたい。80C の LAN 側は関係 なしとする。80C のLAN 側はなくても構わないのだが、そういうことにできるのだろうか。 * レイヤ３スイッチの Cisco 3750 の設定 PC1> telnet 192.168.10.1 このパソコンは Windows XP。Windows 7だと User Access Verification ＤＯＳ画面に telnet コマンドがない。 Password: Switch>enable Password: #conf t #vlan 10 ＶＬＡＮを１つ定義する。VLAN ID は 10 と #int vlan 10 する。#int gi 1/0/2 でこのＶＬＡＮをポ− #ip address 192.168.10.1 255.255.255.0 ト 2 番に関連付ける。 #int gi 1/0/2 #switchport access vlan 10 #vlan 11 ＶＬＡＮを２つ定義する。VLAN 番号は 11と #int vlan 11 12 とする。相手装置の VLAN ID と番号を合 #ip address 192.168.11.1 255.255.255.0 わせること。 #vlan 12 #int vlan 12 #ip address 192.168.12.1 255.255.255.0 #int gi 1/0/10 ２つのＶＬＡＮをタグＶＬＡＮとして定義す #switchport trunk encapsulation dot1q る。Cisco ではタグＶＬＡＮのことをトラン #switchport trunk allowed vlan 11,12 クと呼ぶ。 #switchport mode trunk #vlan database 続いて #vlan 10, #vlan 11, #vlan 12 とや る。本当にこの操作はいるのかな。 #show run 現在の設定を出す。 * FortiGate-80C の設定 PC2 の Mozilla から FortiGate に http://192.168.20.1 にアクセスして設定 [システム]->[ネットワ−ク]->[インタ−フェ−ス] インタ−フェ−ス名 internal、タイプ 物理インタ−フェ−ス、 IP/ネットワ−クマスク 192.168.20.1/255.255.255.0 インタ−フェ−ス名 wan1、タイプ 物理インタ−フェ−ス、 IP/ネットワ−クマスク 192.168.9.1/255.255.255.0 << 何でも構わないのかな。 インタ−フェ−ス名 vlan-11、タイプ VLAN、インタ−フェ−ス wan1、VLAN ID 11 IP/ネットワ−クマスク 192.168.11.2/255.255.255.0 インタ−フェ−ス名 vlan-12、タイプ VLAN、インタ−フェ−ス wan1、VLAN ID 12 IP/ネットワ−クマスク 192.168.12.2/255.255.255.0 [ル−タ]->[スタティック]->[スタティックル−ト] IP/ネットワ−クマスク ゲ−トウェイ デバイス ここがミソ。デフォルトゲ ------------------------------------------------ −トウェイが複数作れると 0.0.0.0/0.0.0.0 192.168.11.1 vlan-11 は思ってなかった。ここに 0.0.0.0/0.0.0.0 192.168.12.1 vlan-12 気付くのに時間がかかった。 [ポリシ−&オブジェクト]->[ポリシ−]->[IPv4] WAN 側でも vlan-11,12 の ▼internal - wan1 選択肢が出てくる。これも ---------------------------------------- 使って設定しないといけな 1 all all always ALL ACCEPT NAT有効 いのだろうか。分からん！。 * 実際のネットワ−ク接続装置の様子 建物Ｂの中でネットワ−クのトラブルが発生。全体でブラウザの応答などが遅くなってし まっているという状況。末端のハブなどでル−プは起こって無いものとする。どこかのパ ソコンが大量のパケットを建物Ｂの中のどこかに送っているのかも知れない。そのパソコ ンが VLAN 11 と 12 や 13 との間でパケットがやりとりされていれば、 レイヤ３スイッ チの Cisco 3750 に入っているはずである。ポ−ト(10)のパケットの様子をみることがで きれば、何か分かるかも知れない。確かそのようなコマンドがあったように思うが。レイ ヤ２スイッチでミラ−ポ−トを利用して、全部のパケットをあるポ−トに来るようにして そこに FortiGate を置くというのはどうか。 懇意にしている Fortinet 社のエンジニア さんによれば FortiGate に Virtual Wire Pair という機能があって、ＩＰアドレスもい らないし、ＮＡＴでも透明型でも使えて、便利で人気があると言うことである。 <建物Ａ> <建物Ｂ> △PC1 VLAN11‖ .2｜VLAN10 192.168.10.0 これらタグＶＬＡＮで無線アクセスポイント。 VLAN12‖ ｜.1 VLAN11,12,13 -------------------- ‖ ‖ ■80C ←d | (2) | c→‖ ‖ ‖ | Layer 3 |タグＶＬＡＮ ----------- △PC2 ただの | Switch |VLAN11,12,13 | Layer 2 |.1 ｜.2 ＶＬＡＮ | (10)|〓〓〓〓〓〓〓〓〓〓〓| Switch |------------- | Cisco 3750 | ↑ ↑ | | ↑ VLAN13 192.168.13.0 -------------------- ｜a a'｜ ----------- ｜b ＵＴＭを a または a' の位置に透過的に設置する。VLAN11,12,13 を流れるパケットを全 部これで監視する。b の位置に透過的に設置する、ここならタグＶＬＡＮではないので設 定は通常の透過モ−ドでいい、直ぐに設置できるだろう。 しかし VLAN11,12 のパケット は来ないので監視としては不十分である。c の位置に透過的に設置する。d の位置に設置 する、ここはポ−トは空いていたとする、ＮＡＴモ−ドで FortiGate-80C を設置する。