概要
リモートワークだの何だの言われ、会社のマシンを自宅のNWに繋げる必要があるが、某空海ソフトウエアが動作している怪しいPCを、自宅のNWに繋ぎたくない。自宅のセキュリティの甘いマシンが、社用PCに悪影響与える可能性も無視できない。
そこで、Yamahaルーターでリモートワーク用のVlanを作成。Vlanが扱える無線AP WAPM-APG600Hを使用し、作成したVlanを飛ばす。
機材
- RTX1200
- Cisco 2960G
- Buffalo AirStationPro WAPM-APG600H
設計
- ルーターは分けたくない
- タグVlanが話せるスイッチを持っている（多分無くても良さそう？）
- リモートワーク用ネットワークは、他のVlanへ一切アクセスできない
- リモートワーク用APは、WAPM-APG600Hを用い、Trunkポートで通信。他のVlanも飛ばせるようにしておく。
vlan一覧
既存vlanを流用しつつ追加する物は追加する方向で。
| Vlan id | addr | description |
|---|---|---|
| 1 | 192.168.50.0/24 | 生活用のVlan |
| 101 | 10.10.101.0/24 | WAPM-APG600H 管理Vlan |
| 110 | 10.10.110.0/24 | リモートワーク用Vlan |
NWポリシ
- Vlan1 to 110 は疎通しない
- Vlan110 to 1も疎通しない。
- Vlan1 to 101は疎通する
- Vlan101 to 1は疎通しない
このうち、3,4は別用途で用いているVlanを転用しているからで、別にやらなくて良い。WindowsXP等の旧環境保持用に用意してある。
WAPM-APG600Hは、仕様なのかTag Vlanを使用する際は、管理Vlanを1に出来ない。多分やり方があると思うけど、ちょっとしばらく放置。
接続
最終的には、こうなる
RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H
Vlanの作成
vlan lan1/1 802.1q vid=101 name=VLAN101
ip lan1/1 address 10.10.101.1/24
ip lan1/1 secure filter in 4000 4001 4003
ip lan1/1 secure filter out 4000 4003 dynamic 200 210
vlan lan1/5 802.1q vid=110 name=VLAN110
ip lan1/5 address 10.10.110.1/24
ip lan1/5 secure filter in 5000 5001 dynamic 301
ip lan1/5 secure filter out 3000 dynamic 100 101 102 103 104 105 106 301
フィルタ
# vlan1 -> vlan101だけ許可。ただしicmpは例外とする。
# WAPM-APG600Hの管理だけなので、やらなくていい
ip filter 4000 pass * * icmp
ip filter 4001 reject 10.10.101.0/24 192.168.50.0/24
ip filter 4002 pass 192.168.50.0/24 10.10.101.0/24
ip filter 4003 pass * *
# vlan110が他のvlanへアクセスできないようにしておく
ip filter 5000 reject * 192.168.50.0/24
ip filter 5001 reject * 10.10.101.0/24
# dynamic filter
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * tcp
ip filter dynamic 106 * * udp
ip filter dynamic 200 192.168.50.0/24 10.10.101.0/24 tcp
ip filter dynamic 210 192.168.50.0/24 10.10.101.0/24 udp
ip filter dynamic 301 * * filter 5101
DHCP
dhcp scope 101 10.10.101.50-10.10.101.191/24
dhcp scope 110 10.10.110.50-10.10.110.191/24
WAPM-APG600Hの設定
WAPM-APG600Hは、管理Vlan1の時、タグVlanを上手く扱えないようだ。設定事例集にはあるのに。管理Vlanを1以外にしておけば、タグVlanも正常に扱えそうだ。つまり、シスコスイッチのTrunkポートに接続する場合、APから飛ばすVlanと別に管理Vlanを立てておく必要がある。困った奴め。（設定方法がまずいだけなのかも...）
まず、Cisco 2960Gに、
- vlan 1のポート（ただのswitchport mode access）
- Truinkポート （switch port mode trunk)
を設定しておく。WAPM-APG600Hはまず、vlan1へ繋げておく。
RTX1200 -(trunk)-> Cisco 2960G -(vlan1)-> WAPM-APG600H
advanced ip scannder等を用いて、ipスキャン。見つかったIPアドレスにアクセス。
下図のように、VLANモードをTagged,管理VLANを101に変更。
接続先をTrunkポートに設定する。
RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H
Vlan101に所属している他マシンからipスキャン。
見つかったアドレスにアクセスし、無線設定を変更。
下図のようにUntagged VlanIDを110へ変更
結果とポイント
- 設定したSSIDにアクセスすると、隔離用のVlanに接続されるはず！
- WAPM-APG600Hのためだけに管理Vlanが必要。
- よいリモートワークを！！