はじめに
中古で入手した NEC UNIVERGE IX2215 を使って、自宅ネットワークを構築しました。
目的は、ただインターネットにつなぐだけではなく、次のような「小規模ながらセキュリティを意識した構成」を作ることです。
- 家庭用LANと公開サーバー用ネットワーク（DMZ）を分離する
- DMZから家庭LANへのアクセスを禁止する
- 特定の管理PCのみDMZへSSH接続可能にする
- IX2215自体のSSH・Web GUIへのアクセス元を制限する
- PPPoEでインターネット接続する
- DHCPで家庭LAN端末へIPアドレスを配布する
使用したルーターは以下です。
- NEC UNIVERGE IX2215
- IX Series Software Version 10.11.17
なお、PPPoEのユーザー名・パスワードなどの認証情報は、当然ながら伏せて記載しています。
ネットワーク構成
設計資料としてまとめた構成図がこちらです（公開用に作成者名の表示部分は加工しています）。
テキストで表すと以下のとおりです。
Internet
|
PPPoE / IIJ
|
GigaEthernet0.1
|
+-------------+
| NEC IX2215 |
+-------------+
| |
GE1.0 GE2.0
| |
192.168.10.1 192.168.2.1
| |
DMZ 家庭LAN
192.168.10.0/24 192.168.2.0/24
| |
Server 管理PC
192.168.2.20
IPアドレス設計は以下です。家庭LANとDMZを別セグメントに分離し、IX2215が両ネットワークのデフォルトゲートウェイになります。
| インターフェース | ネットワーク | IPアドレス | 用途 |
|---|---|---|---|
| GE0.1 | PPPoE | IPCPで取得 | インターネット |
| GE1.0 | 192.168.10.0/24 | 192.168.10.1 | DMZ |
| GE2.0 | 192.168.2.0/24 | 192.168.2.1 | 家庭LAN |
| 管理PC | 192.168.2.0/24 | 192.168.2.20 | IX2215・サーバーの管理 |
PPPoEによるインターネット接続
今回はIIJのPPPoE接続を使用しています。まずPPPプロファイルを作成します。
ppp profile web-ppp-gigaethernet0.1
authentication myname <PPPoEユーザー名>
authentication secret-password 1 <パスワード>
!
続いて、WAN側インターフェースを設定します。
interface GigaEthernet0.1
encapsulation pppoe
auto-connect
ppp binding web-ppp-gigaethernet0.1
ip address ipcp
ip tcp adjust-mss auto
ip napt enable
no shutdown
!
ポイントは以下の4つです。
-
encapsulation pppoe：PPPoEを使用する -
auto-connect：通信が必要になった際に自動接続する -
ip address ipcp：ISPからIPアドレスを取得する -
ip napt enable：NAPTを有効化し、家庭LANやDMZのプライベートIPアドレスをWAN側のグローバルIPアドレスへ変換してインターネットへ接続する
デフォルトルートはこのインターフェース向けに設定します。
ip route default GigaEthernet0.1
家庭LANの構築とDHCP
家庭LANは 192.168.2.0/24、IX2215のIPアドレスは 192.168.2.1 です。
interface GigaEthernet2.0
description LOCAL-FAMILY-LAN
ip address 192.168.2.1/24
ip dhcp binding ge2-dhcp
ip filter lan-dhcp 1 in
ip filter lan-admin-ssh 10 in
ip filter lan-block-dmz 20 in
ip filter lan-allow 100 in
no shutdown
!
フィルタの適用については後述します。
家庭LANではIX2215をDHCPサーバーとして使用します。
ip dhcp enable
ip dhcp profile ge2-dhcp
assignable-range 192.168.2.100 192.168.2.250
subnet-mask 255.255.255.0
default-gateway 192.168.2.1
dns-server 192.168.2.1
!
配布範囲は 192.168.2.100 〜 192.168.2.250 です。管理PCなど固定IPを使う機器は配布範囲外のアドレスを使用し、今回の管理PCは 192.168.2.20 としています。
DMZの構築
DMZは公開サーバーなどを設置することを想定したネットワークで、192.168.10.0/24、IX2215側のIPアドレスは 192.168.10.1 です。
interface GigaEthernet1.0
description DMZ-PUBLIC-SERVER
ip address 192.168.10.1/24
ip filter dmz-ssh-return 10 in
ip filter dmz-block-lan 20 in
ip filter dmz-to-other 100 in
no shutdown
!
サーバー類は自宅ラボのラックに集約しています。
アクセス制御
今回最も重視した部分です。基本方針は以下です。
DMZ → 家庭LAN 原則禁止
家庭LAN → DMZ 原則禁止
管理PC → DMZ (SSH) 許可
DMZ → 管理PC (SSH応答) 許可
ネットワーク全体を自由に相互通信させるのではなく、必要な通信だけを許可します。
家庭LAN側のフィルタ
ip access-list lan-dhcp permit udp src any sport eq 68 dest any dport eq 67
ip access-list lan-admin-ssh permit tcp src 192.168.2.20/32 sport any dest 192.168.10.0/24 dport eq 22
ip access-list lan-block-dmz deny ip src 192.168.2.0/24 dest 192.168.10.0/24
ip access-list lan-allow permit ip src 192.168.2.0/24 dest any
評価順序は以下です。
| 順序 | フィルタ | 内容 |
|---|---|---|
| 1 | lan-dhcp | DHCPを許可 |
| 10 | lan-admin-ssh | 管理PCからDMZへのSSHを許可 |
| 20 | lan-block-dmz | LANからDMZへの通信を拒否 |
| 100 | lan-allow | その他の通信を許可 |
アクセスリストは順番が非常に重要です。たとえば lan-block-dmz を lan-admin-ssh より先に評価してしまうと、管理PCのSSH通信まで拒否されてしまいます。
DMZ側のフィルタ
ip access-list dmz-ssh-return permit tcp established src 192.168.10.0/24 sport eq 22 dest 192.168.2.20/32 dport any
ip access-list dmz-block-lan deny ip src 192.168.10.0/24 dest 192.168.2.0/24
ip access-list dmz-to-other permit ip src 192.168.10.0/24 dest any
DMZから家庭LANへの通信は基本的に禁止です。ただし、そのままだと管理PCから開始したSSH通信の戻りも遮断されてしまいます。そこで established を使い、すでに確立されたTCP通信の応答だけを許可しています。DMZサーバー側から新規に家庭LANへ接続することは許可していません。
結果として、通信の可否は以下のようになります。
| 通信 | 結果 |
|---|---|
| DMZ → 家庭LAN | 拒否 |
| DMZ → 管理PCへの新規接続 | 拒否 |
| SSH応答 → 管理PC | 許可 |
| DMZ → インターネット | 許可 |
仮にDMZ上の公開サーバーが侵害された場合でも、家庭LANへ直接アクセスされることを防ぐのが狙いです。
IX2215自体へのアクセス制限
ルーターの管理機能をLAN全体へ公開する必要はないため、SSH・Web GUIともに管理PCからのみアクセス可能にします。
SSH
ip access-list ssh-mgmt-admin permit tcp src 192.168.2.20/32 sport any dest 192.168.2.1/32 dport eq 22
ssh-server ip access-list ssh-mgmt-admin
ssh-server ip enable
これにより、IX2215へSSH接続できるのは 192.168.2.20 だけになります。他の家庭LAN端末からは接続できません。
Web GUI
ip access-list web-gui-admin permit ip src 192.168.2.20/32 dest 192.168.2.1/32
http-server username <ユーザー名>
http-server ip access-list web-gui-admin
http-server ip enable
Web GUIも同様に、管理PC（192.168.2.20）からのみアクセス可能となります。
その他の設定
Proxy DNS
IX2215を家庭LANのDNSサーバーとして利用します。DHCPで dns-server 192.168.2.1 を配布しているため、クライアントはIX2215へDNS問い合わせを行い、IX2215が上位DNSへ中継します。
proxy-dns ip enable
proxy-dns interface GigaEthernet0.1 priority 200
NTP
時刻同期にはNICTのNTPサーバーを使用し、タイムゾーンは日本時間に設定しています。ログを確認する際に、正しい時刻が記録されるようにするためです。
ntp server 133.243.238.163
timezone +09 00
ログ
ログバッファを拡張し、日時を記録するようにしています。フィルタ関連のログレベルも明示しています。
logging buffered 131072
logging timestamp datetime
logging subsystem flt warn
logging subsystem mflt warn
動作確認
構築後は以下を確認しました。
show interfaces GigaEthernet0.1 # PPPoE接続状態
show ip route # デフォルトルート
show ip filter # フィルタの状態
- 家庭LAN端末から
ping 8.8.8.8でインターネット到達性を確認 -
nslookup qiita.comで名前解決を確認 - 管理PCからDMZサーバーへSSH接続できることを確認
- 管理PC以外の端末からDMZへSSH接続できないことを確認
- DMZサーバーから家庭LANへping・SSHし、通信が拒否されることを確認
設定保存
設定変更後は必ず保存します。保存せずに再起動すると、変更内容が失われる可能性があるためです。
copy running-config startup-config
show running-config # 現在動作中の設定
show startup-config # 保存済み設定
まとめ
今回のIX2215構築で実現できたことは以下です。
- PPPoEによるインターネット接続とNAPT
- 家庭LANとDMZのネットワーク分離
- DMZから家庭LANへのアクセス禁止
- 管理PCのみDMZへSSH可能
- IX2215のSSH・Web GUIへのアクセス制限
- DHCPによるIPアドレス配布、Proxy DNS
- NTPによる時刻同期、ログバッファによるログ管理
家庭用ルーターではGUIで設定することが多い内容ですが、IX2215ではCLIから「どこから」「どこへ」「どのプロトコルで」「どのポートへ」という単位で通信を細かく制御できます。
CCNAの学習で出てくるACLやNAPT、DMZといった内容を、実際のネットワークで手を動かして確認できたのが一番の収穫でした。IX2215は中古価格も比較的安く、ネットワーク学習用のルーターとして非常に面白い機器です。
今後やりたいこと
- DMZサーバーの外部公開とポートフォワーディング設定
- IPv6 IPoE対応
- VLANを利用したネットワーク分離
- Cisco Catalystとの接続
- Syslogサーバーへのログ転送
- SNMPによるネットワーク監視
- VPNによる外部からの管理
- DMZへの追加アクセス制御