Go to Qiita Advent Calendar 2024 Top
LoginSignup
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@jp_yen(切手 一円)

NEX IX ルータで PBR (Policy Based Routing) する (route-map)

Last updated at Posted at 2024-10-06

IX ルーターで route-map の設定をしてみる

単純な宛先 ip 以外の条件で経路を選択したい場合。
インターネット回線が 2本あり、通常は A回線、部署 B は B回線を使うけど、VoIP は両方とも回線 A を使う場合など。

  • 部署 B は B回線 → 送信元でルート選択
  • VoIP は両方とも回線 A → 部署 B を B回線に曲げるけど、VoIP は曲げない → 宛先と送信元の両方でルート選択

他にも、A部署 と B部署の通信は許可しないけど、A 部署の Webサーバだけ B部署からのアクセスを許可するとか、ややこしい条件がある場合など。(これは acl か...)

構成図

論理 ルートマップ.png
青 (左) の IP アドレスの第 3オクテット目は 1
緑 (右) の IP アドレスの第 3オクテット目は 10
traceroute で経路が見えるように Cisco の vrf で 1段増やしました。

Cisco ルーターが大きいですが、メインは IX ルータです。

機器 デフォルトルート
IX vrf-01 へ
Cisco vrf-01 IX へ
Cisco vrf-10 IX へ
Cisco default vrf-01 へ

経路制御の条件

下の PC から、上の Cisco の Loopback への通信を制御します。

下の PC、青い方 10.0.1.254 から Cisco へは全て青い方を通ります。
下の PC、緑の方 10.0.10.254 から Cisco へは緑の方を通ります。
　ただし、10.20.20.4 宛てのみ IX から先は青い方を通ります。

PBR を入れるまでの設定

Cisco 1921

基本部分
no cdp run
no ip domain lookup
spanning-tree portfast bpduguard

hostname Cisco

vlan 1
vlan 2
vlan 10
vlan 11
宛先になる loopback とルーティング (vrf default)
interface Loopback0
 ip address 10.10.10.3 255.255.255.255

interface Loopback1
 ip address 10.20.20.3 255.255.255.255

interface Loopback2
 ip address 10.20.20.4 255.255.255.255

interface Loopback3
 ip address 10.20.20.5 255.255.255.255

ip route 0.0.0.0 0.0.0.0 10.5.1.2
ip route 192.168.10.0 255.255.255.0 10.5.10.2
vrf default の残り
interface GigabitEthernet0/0
 mac-address fc5b.39c0.f82f
 ip address 10.5.1.3 255.255.255.0

interface GigabitEthernet0/1
 ip address 10.5.10.3 255.255.255.0
  • Vlan の MAC アドレスは Gi 0/0 の MAC アドレスと同じになるので、Gi 0/0 側の MAC アドレスを変えておく
IX の対向 (vlan1/vrf-01 と vlan10/vrf-10)
interface GigabitEthernet0/0/0
 switchport mode trunk
 no ip address
vrf-01側
ip vrf vrf-01
ip route vrf vrf-01 0.0.0.0 0.0.0.0 192.168.1.1
ip route vrf vrf-01 10.10.10.0 255.255.255.0 10.5.1.3
ip route vrf vrf-01 10.20.20.0 255.255.255.0 10.5.1.3

interface GigabitEthernet0/0/2
 switchport access vlan 2
 no ip address

interface Vlan1
 ip vrf forwarding vrf-01
 ip address 192.168.1.2 255.255.255.0

interface Vlan2
 ip vrf forwarding vrf-01
 ip address 10.5.1.2 255.255.255.0
vrf-10側
ip vrf vrf-10
ip route vrf vrf-10 0.0.0.0 0.0.0.0 192.168.10.1
ip route vrf vrf-10 10.10.10.0 255.255.255.0 10.5.10.3
ip route vrf vrf-10 10.20.20.0 255.255.255.0 10.5.10.3

interface GigabitEthernet0/0/3
 switchport access vlan 11
 no ip address

interface Vlan10
 ip vrf forwarding vrf-10
 ip address 192.168.10.2 255.255.255.0

interface Vlan11
 ip vrf forwarding vrf-10
 ip address 10.5.10.2 255.255.255.0

Cisco 1921 の Config の全体

show running-config 
Cisco#show running-config
Building configuration...

Current configuration : 2547 bytes
!
! Last configuration change at 11:11:20 UTC Sat Oct 5 2024
! NVRAM config last updated at 10:13:08 UTC Fri Oct 4 2024
! NVRAM config last updated at 10:13:08 UTC Fri Oct 4 2024
version 15.1
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Cisco
!
boot-start-marker
boot-end-marker
!
!
!
no aaa new-model
!
!
no ipv6 cef
ip source-route
ip cef
!
!
!
ip vrf vrf-01
!
ip vrf vrf-10
!
!
!
no ip domain lookup
!
multilink bundle-name authenticated
!
crypto pki token default removal timeout 0
!
!
license udi pid CISCO1921/K9 sn FGL184220QJ
!
!
!
spanning-tree portfast bpduguard
!
redundancy
!
!
!
!
!
!
!
!
!
!
!
interface Loopback0
 ip address 10.10.10.3 255.255.255.255
!
interface Loopback1
 ip address 10.20.20.3 255.255.255.255
!
interface Loopback2
 ip address 10.20.20.4 255.255.255.255
!
interface Loopback3
 ip address 10.20.20.5 255.255.255.255
!
interface Embedded-Service-Engine0/0
 no ip address
 shutdown
!
interface GigabitEthernet0/0
 mac-address fc5b.39c0.f82f
 ip address 10.5.1.3 255.255.255.0
 duplex auto
 speed auto
!
interface GigabitEthernet0/1
 ip address 10.5.10.3 255.255.255.0
 duplex auto
 speed auto
!
interface GigabitEthernet0/0/0
 switchport mode trunk
 no ip address
!
interface GigabitEthernet0/0/1
 no ip address
!
interface GigabitEthernet0/0/2
 switchport access vlan 2
 no ip address
!
interface GigabitEthernet0/0/3
 switchport access vlan 11
 no ip address
!
interface Vlan1
 ip vrf forwarding vrf-01
 ip address 192.168.1.2 255.255.255.0
!
interface Vlan2
 ip vrf forwarding vrf-01
 ip address 10.5.1.2 255.255.255.0
!
interface Vlan10
 ip vrf forwarding vrf-10
 ip address 192.168.10.2 255.255.255.0
!
interface Vlan11
 ip vrf forwarding vrf-10
 ip address 10.5.10.2 255.255.255.0
!
ip forward-protocol nd
!
no ip http server
no ip http secure-server
!
ip route 0.0.0.0 0.0.0.0 10.5.1.2
ip route 192.168.10.0 255.255.255.0 10.5.10.2
ip route vrf vrf-01 0.0.0.0 0.0.0.0 192.168.1.1
ip route vrf vrf-01 10.10.10.0 255.255.255.0 10.5.1.3
ip route vrf vrf-01 10.20.20.0 255.255.255.0 10.5.1.3
ip route vrf vrf-10 0.0.0.0 0.0.0.0 192.168.10.1
ip route vrf vrf-10 10.10.10.0 255.255.255.0 10.5.10.3
ip route vrf vrf-10 10.20.20.0 255.255.255.0 10.5.10.3
!
!
no cdp run
!
!
!
!
!
control-plane
!
!
!
line con 0
line aux 0
line 2
 no activation-character
 no exec
 transport preferred none
 transport output pad telnet rlogin lapb-ta mop udptn v120 ssh
 stopbits 1
line vty 0 4
 login
 transport input all
!
scheduler allocate 20000 1000
end

Cisco#

IX-2207

こちらはまとめて
hostname IX-2207

ip route default 192.168.1.2
ip route 10.5.10.0/24 192.168.10.2

interface GigaEthernet0.0
  ip address 10.0.1.1/24

interface GigaEthernet1.0
  ip address 10.0.10.1/24

interface GigaEthernet2.0
  ip address 192.168.1.1/24

interface GigaEthernet2.1
  encapsulation dot1q 10
  ip address 192.168.10.1/24

vlan 1 (未設定) は Gi2.0 からそのまま出ます。
vlan 10 は Gi2.1 としてタグ付きで出ていきます。

Windows

インターフェースの一覧
C:\>netsh int ip show int

Idx     Met         MTU          状態                 名前
---  ----------  ----------  ------------  ---------------------------
  1          75  4294967295  connected     Loopback Pseudo-Interface 1
 35          35        1500  connected     内蔵 Wi-Fi
 23           5        1500  disconnected  内蔵 NIC
 12          25        1500  disconnected  Wi-Fi 2
 24          25        1500  connected     Wi-Fi 4
  5          25        1500  disconnected  Wi-Fi 5
 37          25        1500  connected     イーサネット 2
 38          35        1500  connected     VMware Network Adapter VMnet8
 25        5000        1500  connected     vEthernet (Default Switch)
 41        5000        1500  connected     vEthernet (WSLCore)
 59        5000        1500  connected     vEthernet (Default Switch (内蔵 NIC))
 66        5000        1500  connected     vEthernet (Default Switch (イーサネット 2))
 72        5000        1500  connected     vEthernet (Default Switch (VMware Network Adapter VMnet8))
 83        5000        1500  connected     vEthernet (Default Switch (イーサネット))
 89        5000        1500  connected     vEthernet (Default Switch (内蔵 Wi-Fi))
108        5000        1500  connected     vEthernet (Default Switch (Wi-Fi 2))
134        5000        1500  connected     vEthernet (Default Switch (Wi-Fi 4))
140        5000        1500  connected     vEthernet (Default Switch (Wi-Fi 5))
146           5        1500  disconnected  イーサネット 5
 39          25        1500  connected     イーサネット
152        5000        1500  connected     vEthernet (Default Switch (イーサネット 5))
...snip...

イーサネット イーサネット 2 に設定をするので 39 37 を設定する
(インターフェース名でも設定可能)

アドレスの設定 (管理者権限で実行)
netsh int ip set addr 37 static 10.0.1.254 255.255.255.0
netsh int ip set addr 39 static 10.0.10.254 255.255.255.0
アドレスの表示
C:\>netsh int ip show addr 37

インターフェイスの構成 "イーサネット 2"
    DHCP 有効:                         いいえ
    IP アドレス:                           10.0.1.254
    サブネット プレフィックス:                        10.0.1.0/24 (マスク 255.255.255.0)
    インターフェイス メトリック:                      25


C:\>netsh int ip show addr 39

インターフェイスの構成 "イーサネット"
    DHCP 有効:                         いいえ
    IP アドレス:                           10.0.10.254
    サブネット プレフィックス:                        10.0.10.0/24 (マスク 255.255.255.0)
    インターフェイス メトリック:                      25
ルーティング (管理者)
route add 10.10.10.0 mask 255.255.255.0 10.0.1.1
route add 10.20.20.0 mask 255.255.255.0 10.0.1.1

route add 10.10.10.0 mask 255.255.255.0 10.0.10.1
route add 10.20.20.0 mask 255.255.255.0 10.0.10.1

route-map の設定する

traceroute (route-map 設定前)

設定前の状況の確認

(10.0.10.254 側のケーブルを抜いておく)
この状態で 10.0.1.254 青 (左) から traceroute を打つと全て 192.168.1.2 青 (左) を経由
image.png

(10.0.1.254 側のケーブルを抜いておく)
この状態で 10.0.10.254 緑 (右) から traceroute を打つと全て 192.168.1.2 青 (左) を経由
image.png

デフォルトルート (左経由) で制御されている。

traceroute (route-map を追加 1)

10.0.10.254 緑 (右) からのトラフィックを 192.168.10.2 緑 (右) へ振る
src アドレスが 10.0.10.254 の場合は

ip access-list list_to_vrf10 permit ip src 10.0.10.0/24 dest any

route-map map_gi1 permit 20
  match ip address access-list list_to_vrf10
  set ip next-hop 192.168.10.2

interface GigaEthernet1.0
  ip policy route-map map_gi1

全部 192.168.10.2 緑 (右) へルーティングされた
image.png

traceroute (route-map を追加 2)

10.20.20.0/24 が緑側へ振られる前に
10.20.20.4 宛てのトラフィックを 192.168.10.1 青 (左) へ振るルールを map_gi1 に追加する
さっきのを route-map map_gi1 permit 20 で書いたので、それより小さい permit 10 にして前に割り込ませる

ip access-list list_to_vrf01 permit ip src 10.0.10.0/24 dest 10.20.20.4/32

route-map map_gi1 permit 10
  match ip address access-list list_to_vrf01
  set ip next-hop 192.168.1.2

10.20.20.4 だけ 192.168.1.2 青 (左) へルーティングされた

image.png

最後に 10.0.10.254 緑 (右) から traceroute を打ってルートが変わっていないこと 192.168.1.2 青 (左) 経由を確認
image.png

IX ルータの route-map 部分を再掲

ip access-list list_to_vrf01 permit ip src 10.0.10.0/24 dest 10.20.20.4/32
ip access-list list_to_vrf10 permit ip src 10.0.10.0/24 dest any

route-map map_gi1 permit 10
  match ip address access-list list_to_vrf01
  set ip next-hop 192.168.1.2

route-map map_gi1 permit 20
  match ip address access-list list_to_vrf10
  set ip next-hop 192.168.10.2

interface GigaEthernet1.0
  ip policy route-map map_gi1
show running-config 
IX-2207(config)# show running-config
! NEC Portable Internetwork Core Operating System Software
! IX Series IX2207 (magellan-sec) Software, Version 10.8.24, RELEASE SOFTWARE
! Compiled Dec 15-Fri-2023 14:43:11 JST #2
! Current time Oct 06-Sun-2024 20:08:08 JST
!
hostname IX-2207
timezone +09 00
!
!
ip route default 192.168.1.2
ip route 10.5.10.0/24 192.168.10.2
ip access-list list_to_vrf01 permit ip src 10.0.10.0/24 dest 10.20.20.4/32
ip access-list list_to_vrf10 permit ip src 10.0.10.0/24 dest any
!
!
!
!
!
!
!
!
!
!
!
!
!
route-map map_gi1 permit 10
  match ip address access-list list_to_vrf01
  set ip next-hop 192.168.1.2
!
route-map map_gi1 permit 20
  match ip address access-list list_to_vrf10
  set ip next-hop 192.168.10.2
!
device GigaEthernet0
!
device GigaEthernet1
!
device GigaEthernet2
!
device USB0
  shutdown
!
device USB1
  shutdown
!
interface GigaEthernet0.0
  ip address 10.0.1.1/24
  no shutdown
!
interface GigaEthernet1.0
  ip address 10.0.10.1/24
  ip policy route-map map_gi1
  no shutdown
!
interface GigaEthernet2.0
  ip address 192.168.1.1/24
  no shutdown
!
interface USB-Serial0.0
  encapsulation ppp
  no auto-connect
  no ip address
  shutdown
!
interface USB-Serial1.0
  encapsulation ppp
  no auto-connect
  no ip address
  shutdown
!
interface GigaEthernet2.1
  encapsulation dot1q 10 tpid 8100
  auto-connect
  ip address 192.168.10.1/24
  no shutdown
!
interface Loopback0.0
  no ip address
!
interface Null0.0
  no ip address
!
IX-2207(config)#

おまけ : Windows で cmd から IP アドレスを設定する

インターフェースの一覧
C:\>netsh int ip show int

Idx     Met         MTU          状態                 名前
---  ----------  ----------  ------------  ---------------------------
  1          75  4294967295  connected     Loopback Pseudo-Interface 1
 35          35        1500  connected     内蔵 Wi-Fi
 23           5        1500  disconnected  内蔵 NIC
...snip...
 39          25        1500  connected     イーサネット

netsh int ip show int は netsh interface ipv4 show interface の略
Index 39 が "イーサネット" なので、どちらを使っても同じインターフェースを指定できる。

C:\>netsh int show int

Admin State    State          Type             Interface Name
-------------------------------------------------------------------------
有効             接続             専用               VMware Network Adapter VMnet8
有効             切断             専用               ASIX #1
有効             接続             専用               ASIX #2
有効             接続             専用               内蔵 Wi-Fi
有効             切断             専用               内蔵 NIC

netsh int show int は netsh interface show interface の省略形
こちらだと物理インターフェースのみ表示されるが Index が表示されない。 (名前の確認には使える)

アドレスの設定 (管理者権限で実行)
netsh int ip set addr "<インターフェース名>|<インデックス番号>" static <アドレス> <マスク> <GW> <メトリック> <persistent>

実行例

netsh int ip set addr 39 static 192.168.100.10 255.255.255.0 192.168.100.254

netsh int ip set addr "イーサネット" static 192.168.100.10/24 gateway=192.168.100.254 store=active

/24 でマスクを指定すると GW は gateway= が必要になる
store=active を付けると再起動で設定が消える

ipv4 アドレスの表示 (ip は ipv4 の省略形)
C:\>netsh int ip show addr "<インターフェース名>|<インデックス番号>"
実行例
C:\>netsh int ip set addr 39 static 192.168.10.33 255.255.255.0 192.168.10.2 20


C:\>netsh int ip show addr 39

インターフェイスの構成 "イーサネット"
    DHCP 有効:                         いいえ
    IP アドレス:                           192.168.10.33
    サブネット プレフィックス:                        192.168.10.0/24 (マスク 255.255.255.0)
    デフォルト ゲートウェイ:              192.168.10.2
    ゲートウェイ メトリック:              20
    インターフェイス メトリック:                      25


C:\>netsh int ip set addr "イーサネット" static 192.168.100.10/24 gate=192.168.100.254 gw=100


C:\>netsh int ip show addr 39

インターフェイスの構成 "イーサネット"
    DHCP 有効:                         いいえ
    IP アドレス:                           192.168.100.10
    サブネット プレフィックス:                        192.168.100.0/24 (マスク 255.255.255.0)
    デフォルト ゲートウェイ:              192.168.100.254
    ゲートウェイ メトリック:              100
    インターフェイス メトリック:                      25
GW が不要であればアドレスだけで良い
C:\>netsh int ip set addr 39 static 10.20.30.40/24


C:\>netsh int ip show addr 39

インターフェイスの構成 "イーサネット"
    DHCP 有効:                         いいえ
    IP アドレス:                           10.20.30.40
    サブネット プレフィックス:                        10.20.30.0/24 (マスク 255.255.255.0)
    インターフェイス メトリック:                      25

コマンドラインから DHCP に設定する

C:\>netsh int ip set addr 39 dhcp


C:\>netsh int ip show addr 39

インターフェイスの構成 "イーサネット"
    DHCP 有効:                         はい
    インターフェイス メトリック:                      25
0
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
0
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?