インターネットＶＰＮ
- フォーラムは新サイトへ移行しました。
- このフォーラムではゲスト投稿が禁止されています
takamoto463
居住地: 大阪
投稿数: 177
居住地: 大阪
投稿数: 177
いつもお世話になります。
インターネットＶＰＮで繋がっている２つの支店間で
端末Ａと端末Ｂはお互いに通信できるが、
端末ＡとＤはできず、
端末ＢとＣも通信できない
ようにする方法として
どのような方法がシンプルなのでしょうか？
端末Ａ−−−ｽｲｯﾁ−VPNﾙｰﾀ−−（ｲﾝﾀｰﾈｯﾄVPN）−−VPNﾙｰﾀ−ｽｲｯﾁ−−端末Ｂ
端末Ｃ−−／ Ｌ−−端末Ｄ
端末Ｅ−／ Ｌ−−端末Ｆ
※端末とＶＰＮルータ間にはそれぞれスイッチがあります。
すみません、きちんと絵が描けてませんが、
端末Ｄ、Ｅはスイッチから出てると思ってください。
こういう場合でもＶＬＡＮで切ったりできるでしょうか？
（端末ＡとＢだけVLAN2で、その他がVLAN3とか）
それとも、アクセスリストで送信元Ａ宛先Ｂ（逆も同じく）を許可したりされますか？
端末を勝手に追加されないように、ポートセキュリティを使ったりがよいでしょうか？
あと、相対的にＭＡＣアドレスで制御するのと、ＩＰアドレスで制御するのでは、どちらのほうが機器に負荷がかかるのでしょうか？
質問が多く、曖昧で申し訳ありませんが
以上、よろしくお願いします。
インターネットＶＰＮで繋がっている２つの支店間で
端末Ａと端末Ｂはお互いに通信できるが、
端末ＡとＤはできず、
端末ＢとＣも通信できない
ようにする方法として
どのような方法がシンプルなのでしょうか？
端末Ａ−−−ｽｲｯﾁ−VPNﾙｰﾀ−−（ｲﾝﾀｰﾈｯﾄVPN）−−VPNﾙｰﾀ−ｽｲｯﾁ−−端末Ｂ
端末Ｃ−−／ Ｌ−−端末Ｄ
端末Ｅ−／ Ｌ−−端末Ｆ
※端末とＶＰＮルータ間にはそれぞれスイッチがあります。
すみません、きちんと絵が描けてませんが、
端末Ｄ、Ｅはスイッチから出てると思ってください。
こういう場合でもＶＬＡＮで切ったりできるでしょうか？
（端末ＡとＢだけVLAN2で、その他がVLAN3とか）
それとも、アクセスリストで送信元Ａ宛先Ｂ（逆も同じく）を許可したりされますか？
端末を勝手に追加されないように、ポートセキュリティを使ったりがよいでしょうか？
あと、相対的にＭＡＣアドレスで制御するのと、ＩＰアドレスで制御するのでは、どちらのほうが機器に負荷がかかるのでしょうか？
質問が多く、曖昧で申し訳ありませんが
以上、よろしくお願いします。
arashi1977
居住地: 広島
投稿数: 1715
居住地: 広島
投稿数: 1715
要件が少ないようです。
どこを通信可能／不可能にするのでしょう？
あと、インターネットに出られるかどうかは通信要件の対象外ですか？
単純なのであれば、Tunnelインタフェースに入る前にACLで落とす、でよさそうですけどね〜
引用：要件によってはプライベートVLANを検討するかもしれません。
引用：ここはインターネットVPNとは別要件じゃないでしょうか？
LANのセキュリティの話なので、必要に応じて、だと思います。
引用：IPアドレスで制御＝ACL＝ルータで実施
MACアドレスで制御＝スイッチで実施
と適用位置を決めてしまえば、負荷を分散させることも、フィルタ対象をどこで通す（ブロックする）かも柔軟に決めやすいかと思いますよ
┌─┬─┬─┬─┬─┬─┬─┐
│ │A │B │C │D │E │F │
├─┼─┼─┼─┼─┼─┼─┤
│A │−│○│ │×│ │ │
├─┼─┼─┼─┼─┼─┼─┤
│B │−│−│×│ │ │ │
├─┼─┼─┼─┼─┼─┼─┤
│C │−│−│−│ │ │ │
├─┼─┼─┼─┼─┼─┼─┤
│D │−│−│−│−│ │ │
├─┼─┼─┼─┼─┼─┼─┤
│E │−│−│−│−│−│ │
├─┼─┼─┼─┼─┼─┼─┤
│F │−│−│−│−│−│−│
└─┴─┴─┴─┴─┴─┴─┘
あと、インターネットに出られるかどうかは通信要件の対象外ですか？
単純なのであれば、Tunnelインタフェースに入る前にACLで落とす、でよさそうですけどね〜
引用：
こういう場合でもＶＬＡＮで切ったりできるでしょうか？
（端末ＡとＢだけVLAN2で、その他がVLAN3とか）
引用：
端末を勝手に追加されないように、ポートセキュリティを使ったりがよいでしょうか？
LANのセキュリティの話なので、必要に応じて、だと思います。
引用：
相対的にＭＡＣアドレスで制御するのと、ＩＰアドレスで制御するのでは、どちらのほうが機器に負荷がかかるのでしょうか？
MACアドレスで制御＝スイッチで実施
と適用位置を決めてしまえば、負荷を分散させることも、フィルタ対象をどこで通す（ブロックする）かも柔軟に決めやすいかと思いますよ
takamoto463
居住地: 大阪
投稿数: 177
居住地: 大阪
投稿数: 177
arashi1977様
さっそくのお返事ありがとうございます。
書き方がまずかったですね、申し訳ありません。
ＡとＢはサーバのような使い方で、両方の支店内の各ＰＣからアクセスしたいです。（Ｄ、Ｃ、Ｅ、Ｆ…はＡとＢにつながるＰＣのつもりでした。）
Ａ−Ｂ間は○
Ａ−インターネットは×
Ｂ−インターネットは×
Ａ−同じ支店内のＰＣ（Ｃ、Ｅ）は○
Ｂ−同じ支店内のＰＣ（Ｄ、Ｆ）は○
Ａ−他支店内のＰＣ（Ｄ、Ｆ）は○
Ｂ−他支店内のＰＣ（Ｃ、Ｅ）は○
Ａ−Ｂ間はインターネットＶＰＮでつながっているようです。
ＡとＢのみはインターネットにつなげたくありません。（外部から攻撃を受けたくないため）
このような事は可能でしょうか？
インターネットＶＰＮにつながるイコールＡとＢをインターネットにつなげたくないと矛盾してるような気がしますが。。
今はデフォルトゲートウェイの設定を無効にし、
ＡとＢを外部につながらないようにしていますが、
支店同士の通信が切れるので困っています。
各Ｃ〜Ｆはインターネットにつながっています。
以上、よろしくお願いします。
さっそくのお返事ありがとうございます。
書き方がまずかったですね、申し訳ありません。
ＡとＢはサーバのような使い方で、両方の支店内の各ＰＣからアクセスしたいです。（Ｄ、Ｃ、Ｅ、Ｆ…はＡとＢにつながるＰＣのつもりでした。）
Ａ−Ｂ間は○
Ａ−インターネットは×
Ｂ−インターネットは×
Ａ−同じ支店内のＰＣ（Ｃ、Ｅ）は○
Ｂ−同じ支店内のＰＣ（Ｄ、Ｆ）は○
Ａ−他支店内のＰＣ（Ｄ、Ｆ）は○
Ｂ−他支店内のＰＣ（Ｃ、Ｅ）は○
Ａ−Ｂ間はインターネットＶＰＮでつながっているようです。
ＡとＢのみはインターネットにつなげたくありません。（外部から攻撃を受けたくないため）
このような事は可能でしょうか？
インターネットＶＰＮにつながるイコールＡとＢをインターネットにつなげたくないと矛盾してるような気がしますが。。
今はデフォルトゲートウェイの設定を無効にし、
ＡとＢを外部につながらないようにしていますが、
支店同士の通信が切れるので困っています。
各Ｃ〜Ｆはインターネットにつながっています。
以上、よろしくお願いします。
arashi1977
居住地: 広島
投稿数: 1715
居住地: 広島
投稿数: 1715
引用：インターネットに出るときはPAT（NATオーバーロード/IPマスカレード）してるんですよね？
であれば、その対象からAおよびBを外してやればいけそうに思えますが…
どういうネットワーク構成か、にもよるでしょうね。
この辺はすべてACLによって実現可能な気がします
ＡとＢのみはインターネットにつなげたくありません。（外部から攻撃を受けたくないため）
（略）
各Ｃ〜Ｆはインターネットにつながっています。
であれば、その対象からAおよびBを外してやればいけそうに思えますが…
どういうネットワーク構成か、にもよるでしょうね。
この辺はすべてACLによって実現可能な気がします
takamoto463
居住地: 大阪
投稿数: 177
居住地: 大阪
投稿数: 177
arashi1977様
いつもありがとうございます。
なるほど、PATの設定で、ＡとＢを外す。
シスコのルータ使ってたら自分でも簡単にできそうですね。
詳しい構成は教えてもらってないのですが、
相談されたもので。
ありがとうございました。
いつもありがとうございます。
なるほど、PATの設定で、ＡとＢを外す。
シスコのルータ使ってたら自分でも簡単にできそうですね。
詳しい構成は教えてもらってないのですが、
相談されたもので。
ありがとうございました。
