LoginSignup
1

More than 3 years have passed since last update.

Yamahaルーターでリモートワーク用Vlanを用意する

Posted at

概要

リモートワークだの何だの言われ、会社のマシンを自宅のNWに繋げる必要があるが、某空海ソフトウエアが動作している怪しいPCを、自宅のNWに繋ぎたくない。自宅のセキュリティの甘いマシンが、社用PCに悪影響与える可能性も無視できない。

そこで、Yamahaルーターでリモートワーク用のVlanを作成。Vlanが扱える無線AP WAPM-APG600Hを使用し、作成したVlanを飛ばす。

機材

  • RTX1200
  • Cisco 2960G
  • Buffalo AirStationPro WAPM-APG600H

設計

  • ルーターは分けたくない
  • タグVlanが話せるスイッチを持っている(多分無くても良さそう?)
  • リモートワーク用ネットワークは、他のVlanへ一切アクセスできない
  • リモートワーク用APは、WAPM-APG600Hを用い、Trunkポートで通信。他のVlanも飛ばせるようにしておく。

vlan一覧

既存vlanを流用しつつ追加する物は追加する方向で。

Vlan id addr description
1 192.168.50.0/24 生活用のVlan
101 10.10.101.0/24 WAPM-APG600H 管理Vlan
110 10.10.110.0/24 リモートワーク用Vlan

NWポリシ

  1. Vlan1 to 110 は疎通しない
  2. Vlan110 to 1も疎通しない。
  3. Vlan1 to 101は疎通する
  4. Vlan101 to 1は疎通しない

このうち、3,4は別用途で用いているVlanを転用しているからで、別にやらなくて良い。WindowsXP等の旧環境保持用に用意してある。

WAPM-APG600Hは、仕様なのかTag Vlanを使用する際は、管理Vlanを1に出来ない。多分やり方があると思うけど、ちょっとしばらく放置。

接続

最終的には、こうなる
RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H

Vlanの作成

vlan lan1/1 802.1q vid=101 name=VLAN101
ip lan1/1 address 10.10.101.1/24
ip lan1/1 secure filter in 4000 4001 4003
ip lan1/1 secure filter out 4000 4003 dynamic 200 210

vlan lan1/5 802.1q vid=110 name=VLAN110
ip lan1/5 address 10.10.110.1/24
ip lan1/5 secure filter in 5000 5001 dynamic 301
ip lan1/5 secure filter out 3000 dynamic 100 101 102 103 104 105 106 301

フィルタ

# vlan1 -> vlan101だけ許可。ただしicmpは例外とする。
# WAPM-APG600Hの管理だけなので、やらなくていい
ip filter 4000 pass * * icmp
ip filter 4001 reject 10.10.101.0/24 192.168.50.0/24
ip filter 4002 pass 192.168.50.0/24 10.10.101.0/24
ip filter 4003 pass * *

# vlan110が他のvlanへアクセスできないようにしておく
ip filter 5000 reject * 192.168.50.0/24
ip filter 5001 reject * 10.10.101.0/24

# dynamic filter
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * tcp
ip filter dynamic 106 * * udp
ip filter dynamic 200 192.168.50.0/24 10.10.101.0/24 tcp
ip filter dynamic 210 192.168.50.0/24 10.10.101.0/24 udp
ip filter dynamic 301 * * filter 5101

DHCP

dhcp scope 101 10.10.101.50-10.10.101.191/24
dhcp scope 110 10.10.110.50-10.10.110.191/24

WAPM-APG600Hの設定

WAPM-APG600Hは、管理Vlan1の時、タグVlanを上手く扱えないようだ。設定事例集にはあるのに。管理Vlanを1以外にしておけば、タグVlanも正常に扱えそうだ。つまり、シスコスイッチのTrunkポートに接続する場合、APから飛ばすVlanと別に管理Vlanを立てておく必要がある。困った奴め。(設定方法がまずいだけなのかも...)

まず、Cisco 2960Gに、

  • vlan 1のポート(ただのswitchport mode access)
  • Truinkポート (switch port mode trunk)

を設定しておく。WAPM-APG600Hはまず、vlan1へ繋げておく。

RTX1200 -(trunk)-> Cisco 2960G -(vlan1)-> WAPM-APG600H

advanced ip scannder等を用いて、ipスキャン。見つかったIPアドレスにアクセス。

下図のように、VLANモードをTagged,管理VLANを101に変更。

コメント 2020-03-18 232322.png

接続先をTrunkポートに設定する。

RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H

Vlan101に所属している他マシンからipスキャン。
見つかったアドレスにアクセスし、無線設定を変更。

下図のようにUntagged VlanIDを110へ変更

コメント 2020-03-18 232350.png

結果とポイント

  • 設定したSSIDにアクセスすると、隔離用のVlanに接続されるはず!
  • WAPM-APG600Hのためだけに管理Vlanが必要。
  • よいリモートワークを!!

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
1