WebGUI設定

初期設定の場合、次のパラグラフのコンフィグ作成、流し込んでからWebで以下を設定する。

ユーザー作成

WebGUI>保守>コマンドの実行>
login user skuser xxx

SSH有効化

WebGUI>アクセス管理>各種サーバーの設定
SSH有効化

※WebGUIでSSHを有効にするとKeyは自動で生成される。

※WebGUIコマンドからは生成できないので以下はコマンドでは実行しない。
sshd service on
sshd host key generate(手動で一度だけのコマンド)

SSH接続

ssh xxx@192.168.xxx.xxx

※SSHクライアントが新しい場合
ssh -oKexAlgorithms=+diffie-hellman-group14-sha1 -oHostKeyAlgorithms=+ssh-rsa xxx@192.168.xxx.xxx

管理権限昇格

administrator
>空白

パスワード設定

administrator password
>xxx

login password
>xxx

ログアウトタイマー

user attribute skuser login-timer=7200

コンフィグ記入

表示設定

console character en.ascii
console lines infinity

アクセス範囲指定

httpd host 192.168.5.0-192.168.5.255 192.168.113.0-192.168.113.255
sshd host 192.168.5.0-192.168.5.255 192.168.113.0-192.168.113.255

名前なしユーザーをシリアル限定

user attribute connection=serial

PPTP/L2TP/TELNET

デフォルト
※httpd / 有効 / lan
※telnetd / 有効 / any
※sshd/pptp/l2tp / 無効

pptp service off
l2tp service off
telnetd service off

Defaultgateway

ip route default gateway <>
pp 1
dhcp lan2
xxx.xxx.xxx.xxx
tunnel 1

ローカルブレイクアウト

ip route default gateway tunnel 1
ip route <他拠点グローバルアドレス> gateway <ローカルWANアドレス>

他拠点のアクセスしたいセグメント
ip route 192.168.xxx.0/24 gateway tunnel 1

ローカルブレイクアウトしたいアドレス
ip route xxx.xxx.xxx.xxx gateway <ローカルWANアドレス>

LAN1 Address

ip lan1 address <>
xxx.xxx.xxx.xxx/24

LAN2 Address

ip lan2 address <>
dhcp
xxx.xxx.xxx.xxx/xx
pp select 1

DNS

dns server <>
xxx.xxx.xxx.xxx(NURO Bizなど指定のアドレス)
xxx.xxx.xxx.xxx(拠点間VPNで他拠点抜けの場合、他拠点のローカルアドレス)
pp 1

※プライベートアドレスの問い合わせを外部に漏らさない
dns private address spoof on

dns service <>
recursive
off

自身がクライアントからのDNS問い合わせを受け付けるかどうか。
※recursiveが初期値

dns server xxx.xxx.xxx.xxx
DNSの問い合わせ先

dns serverの設定で、拠点間VPNをFQDNやネットボランチDNS名で書いている場合、トンネルを張るには名前解決が要る、名前解決にはDNSが要る、DNSにはトンネルが要るデッドロックになる。

dns host 192.168.0.0-192.168.255.255
DNS問い合わせの受け付ける範囲

NAT

ip lan2 nat descriptor 1000
nat descriptor type 1000 masquerade
nat descriptor address outer 1000 <>
ipcp / PPPoE
primary / DHCP
xxx.xxx.xxx.xxx / 静的IP

※これはデフォなので不要
nat descriptor address inner 1 auto

・NAT配下のIPsec終端

nat descriptor masquerade static 1 1 xxx.xxx.xxx.xxx udp 500
nat descriptor masquerade static 1 2 xxx.xxx.xxx.xxx esp
nat descriptor masquerade static 1 3 xxx.xxx.xxx.xxx udp 4500

DHCP

dhcp service server
dhcp scope 1 192.168.xxx.2-192.168.xxx.254/24
dhcp server rfc2131 compliant except remain-silent

PP

※ 起動
pp select 1 ~ pp enable 1

※ 基本
pppoe use lan2
pp auth accept pap chap
pp auth myname (ID) (PASS)
ip pp nat descriptor 1000

※ 常時接続
pp always-on on
pppoe auto disconnect off

※ mtu / mru / mss
ppp lcp mru on 1454
ip pp mtu 1454
ip pp tcp mss limit auto

※ IPCPで貰うペア
ppp ipcp ipaddress on
ppp ipcp msext on

※ 圧縮なし
ppp ccp type none

拠点間VPN

ip route xxx.xxx.xxx.xxx/24 gateway tunnel 1
ipsec auto refresh on

※ 起動
tunnel select 1 ~ tunnel enable 1

※ トンネルIPsec紐づけ
ipsec tunnel 1

※ 暗号方式
ipsec sa policy 1 1 esp 3des-cbc sha-hmac

※ 認証手段
ipsec ike pre-shared-key 1 text xxx

※ 相手
ipsec ike remote address 1 xxx.xxx.xxx.xxx

<条件付必須>

※ 両側グローバルIPなら不要
ipsec ike nat-traversal 1 on

ip tunnel tcp mss limit auto
ipsec ike keepalive use 1 on heartbeat 10 6
ipsec ike local address 1 xxx.xxx.xxx.xxx

<以下なくてもOK>

※ メモ
description tunnel test

※ ログ量
ipsec ike keepalive log 1 off

その他

MTU/MRU/MSS

MTU
IP層で送信できるIPパケット全体サイズ
1454

MRU
PPP層で自分が受信できる最大サイズ
1454

MSS
TCP層でデータ部分の最大サイズ
MTU-40

 

① PPPoE設定(pp select / pppoe use)
② DHCPクライアント(ip lan2 address dhcp)
③ 静的IP(ip lan2 address 固定IP)
④ MAP-Eトンネル(tunnel encapsulation map-e)
⑤ IPIPトンネル(tunnel encapsulation ipip)

PPPoE、IPoEは接続方式の違いだが、ほとんどIPoE=over6となっているので、ここではIPv4=PPPoE、over6=IPoEとする。

over6は物理回線で認証する。over6は基本的にIPv6シングルスタックと同じで、その上にIPv4にも繋がる仕組みが乗っている感じ。相手がIPv6対応サイトなら最後までIPv6で届き、相手がIPv4サイトならルーターISP網出口の間だけカプセルでつつむだけ。PPPoEの場合は、全区間IPv4になる。

以前はPPPoEの契約でオプションとしてover6がほとんどだった。当時はIPv4はPPPoEで、IPv6サイトはIPoEという状態。(IPv6オプション)
現在のover6はPPPoEを使わずIPoEの上にIPv4を通すのも増えてきた。(DS-Lite/MAP-E)

・PPPoE設定
一般ISP（動的IP／固定IP）

・DHCPクライアント

・静的IP

・MAP-Eトンネル
v6プラス、OCNバーチャルコネクト（共有・動的IP）

・IPIPトンネル
transix（DS-Lite・共有）

・IPIPトンネル
v6プラス固定IP（専用固定）

 

・PBR/インラインルーテッド

PBR=宛先アドレス意外の条件を使って次ホップを決めること
インラインルーテッド=UTMがIPを持ちL3ホップとして経路上にはいること
(L2の場合トランスペアレントorブリッジインライン)

・例

LAN3がWAN、今回はLAN1-LAN2の間に設置。

ip route default gateway <LAN3> filter 101 102 111 112 113 114 115 116 gateway <UTM-LAN> keepalive 1 gateway <LAN3> weight 0

・前提

※gateway … filter N …
Nの条件に合うものものはこのgatewayを使えという意味。

ip route に並んだgatewayは指定がなければ分散する。weightは分散比率。
weight 0 = 他が使える限り使わない。
keepalive 1(監視定義の番号) = 生きている間だけつかえる。

ip route default … ルーティング判定のときだけ参照される。ルータがnext-hop を選ぶのは転送されるユニキャストに対してだけ。ブロードキャストはそもそもルータがセグメント外へ転送しない。

・設定

gateway <LAN3> filter 101 102 111-116
※①VPN系とUTM発だけ直WAN

gateway <UTM> keepalive 1
※②①に外れた”通常通信 全部”をUTMへ
生きている限り一致する(keepalive 1)

gateway <LAN3> weight 0
※③さらに残り全部（＝fail-open）
keepaliveで失敗した最後

・フィルタ設定

構文は
ip filter <番号> <動作> <送信元> <宛先> <プロトコル>

※UTMのWAN脚が送信元 = 検査後の戻り
ip filter 101 pass <UTM-WAN> * * *

※UTMのLAN脚が送信元 = UTM自身の通信
(ほとんど存在しないはずなので保険)
ip filter 102 pass <UMT-LAN> * * *

※PPTP
ip filter 111 pass * * tcp 1723
ip filter 112 pass * * gre

※IKE(拠点間VPN)
ip filter 113 pass * * udp 500
ip filter 114 pass * * esp

※NAT-T(拠点間VPN)
ip filter 115 pass * * udp 4500

※L2TP
ip filter 116 pass * * udp 1701

※監視定義
ip keepalive 1 icmp-echo 10 5 UTM-LAN

※拠点間VPNはこのように直指定も必要
ip route <対向IPアドレス> gateway <ISP Default Gateway>
ip route <対向IPアドレス> gateway pp 1

・インストール

今回は余っているノートにOPNsenseをインストールする。

インストールメディアはMacで作成のため、balenaEtcherを利用。
bz2ダウロードして作成する。

対象ノートはUSBメモリのブートを優先していなかったため、
起動時にF12などを押してUSBブートさせる。

ブートするとOPNsenseのライブ環境でのログインプロンプトがでるので、
お試しなら、
root / opnsenseでログインしてそのまま操作可能。
今回はインストールするので、
installer / opnsense
と入力する。

キーマップ：Japanese 106
UFS/ZFS：スペックに余裕があるのでZFS。
インストールディスク：USBメモリと間違えないようにする。

・NIC接続

> 8 > shell
もともとのNICと、USBNIC*2の3枚構成とするので、
dmesgs
でログを見ながらUSBNICを接続する。
uge1.x … at xxxという行しか表示されない場合NICとして認識されていない。
そのあとに複数行表示されていれば認識されている。

ifconfig | grep ue
ifconfig -l
usbconfig
などのコマンドでチェックする。NICのチップセットの相性がある。

・NIC割り当て(ドライバがあたって認識しただけではダメ)

> 1
> n (リンクアグリゲーションを今設定するかどうか)
> n (VLANを設定するかどうか) ※使えるインターフェースが一覧で表示される
> re0 (WAN側のNIC割り当て)
> ue0 (LAN側のNIC割り当て)
> 空白 (追加のインターフェースの割り当て)

・IPアドレス設定

> 2
> 1 (インターフェース選択)
> n (このインターフェースのIPv4をDHCPで自動取得するかどうか)
> xxx (IPv4アドレス)
> 24 (サブネット)
> n
Configure IPv6 address LAN interface via WAN tracking?
WAN側がISPからもらったIPv6プレフィックスを、LAN側に自動で振り分けるかどうか。
> n
Configure IPv6 address LAN interface via DHCP6?
IPv6のDHCPサーバーからアドレスをもらうかどうか。
> 空白 (IPv6アドレス)
> n (DHCPサーバ機能を有効にするか)
> n (WebGUIのプロトコルをhttpにするか)
> n (WegGUIの自己証明書を新しくするか)
> y (バインドやアクセス制限がリセットされ、このインターフェースから確実に入れる)

・WebGUI

アクセスできない場合、ファイアウォール無効にしてみる
> 8 > pfctl -d

 

・アナログ収容、IP収容
サービスとしてはどちらもIP電話サービスになる。
IP収容では、主装置、電話にIPアドレスが必要。
IPアドレスは、主装置は固定、電話はDHCPが一般的。
アナログ、IP収容は併用可能。

・IP収容の経路
電話 → 主装置 にSIP登録(主装置が内線xxは192.168.5.23と知る)
主装置 → HGW にSIP登録
HGW → NGN に登録(NGNがこの番号への着信はこのHGWと知る)
※HGWがない契約もある

・クラウド
クラウドPBXの場合、主装置(PBX)がクラウドになる。

・ライセンス
ライセンスは主装置に発生する。
アナログ収容はVoIPライセンス不要。

・コードレス
コードレス基地局(DECT)を主装置のポートにぶら下げる。
その他、IP-DECT、Wi-Fi SIP子機などある。

・主装置、PBX
ニュアンスとして小規模PBX=主装置と呼ぶ。

・QoS
IP収容は別VLANにするのが定石。
アナログ収容は必要性がない。
IP収容はスイッチのQoSが主役。
インターネットVoIPのときはルータのQoSが主役。

・電話機種類
収容と端末種は完全にイコールじゃないないけど大体一致
アナログ電話:RJ11*1
デジタル多機能電話:専用モジュラ*1
IP多機能電話:RJ45*2

・IP多機能電話
何もしないと2ポートのスイッチとして動作、
通常はVLANで音声とデータを分けPoEとして利用することが多い。

・他社電話サービス
CPE(ONU)までの違いで、構成は同じ。

・SIP機能
網終端機能(SIPクライアント)、呼制御機能(SIPサーバー)の2つが必要で、網終端機能は事業者と加入者側の境界をどこに置くかということ。呼制御はネットワーク内であればクラウドにも置ける。

SSH

・インストール

sudo apt update
sudo apt install -y openssh-server
sudo systemctl enable –now ssh
sudo systemctl status ssh

・IPアドレス確認

ip a

・接続(接続する側のPC)

ssh ユーザー@ipアドレス

・シャットダウン

sudo shutdown -h now

・テキストベース起動にする場合

sudo systemctl set-default multi-user.target

※戻す場合
sudo systemctl set-default graphical.target

NIC/VLAN

・NetworkManager
デスクトップ版デフォルト
nmcli/nmtui(対話)で管理

・systemd-networkd
軽量デーモンベース

両者はNetplanで抽象化されている。
NetplanのYAMLで書く。

・どちらが有効か
systemctl is-active NetworkManager
systemctl is-active systemd-networkd

・NICの物理情報取得

ネットワークデバイス一覧
lshw -c network -short

IPアドレス一覧
ip -br addr

・VLAN設定(GUI)

nm-connection-editor
(システム>高度なネットワーク設定)
を起動。

VLANを設定する仮想LAN側をlab-trunkとしてIPv4/6を無効。
新規作成>VLANから作成し、以下の通り設定IPv4/6は無効。

・確認

nmcli -f NAME,DEVICE,AUTOCONNECT connection show | grep -E ‘enp0s31f6\.(12|13)’

・Netplan YAML確認方法

ls -la /etc/netplan
ここで読み取れること。
01-network-manager-all.yaml
があるので、NetworkManagerをrendererに使っている。
90-NM-*.yamlはNetworkManagerが自動生成したファイルなので
手動で編集しないほうがいい。

・nmcli

接続確認
nmcli connection show
nmcli connection show ‘有線接続 1’ | grep ipv4

IPフォワーディング

sudo sysctl -w net.ipv4.ip_forward=1
※このマシンが、自分宛てではないIPパケットを受け取ったときに、別のインターフェースへ転送するかどうかを決めるカーネルパラメータ

・永続化する場合
echo ‘net.ipv4.ip_forward=1’ | sudo tee /etc/sysctl.d/99-lab.conf

PPPoEサーバー化

・インストール
sudo apt update
sudo apt install -y pppoe ppp

・サーバーオプション
sudo vim /etc/ppp/pppoe-server-options

require-chap
接続してくるクライアントに対して、CHAP認証を必須にする。サーバーがクライアントを認証する際の方式指定。

nodefaultroute
サーバのルーティングテーブルにデフォルトルートを追加させない。

noproxyarp
プロキシARPエントリを追加させない。

lcp-echo-interval 10 / lcp-echo-failure 3
各クライアント接続に対して10秒ごとに生存確認を送り、3回失敗（約30秒無応答）でその接続を切断する。切れたクライアントのセッションを掃除するための設定。

mru 1454 / mtu 1454
クライアントとの通信で使うパケットサイズを1454に指定。

・認証設定
sudo vim /etc/ppp/chap-secrets

・手動起動の場合
sudo pppoe-server -I enp0s31f6.13 -L 100.64.0.1 -R 203.0.113.2 -N 1 -C isp-a

-I enp0s31f6.13(待ち受けるインターフェース)
-L 100.64.0.1(サーバーアドレス)
-R 203.0.113.2(クライアントアドレス)
-N 1(同時最大セッション)
-C isp-a(サーバー識別名)

・PPPoEサーバー起動確認
pgrep -a pppoe-server

PPPoEサーバー永続化

sudo vim /etc/systemd/system/pppoe-server@.service

sudo mkdir -p /etc/pppoe-lab
sudo vim /etc/pppoe-lab/isp-a.conf

sudo vim /etc/pppoe-lab/isp-b.conf

sudo systemctl daemon-reload
sudo systemctl enable –now pppoe-server@isp-a.service
sudo systemctl enable –now pppoe-server@isp-b.service

PPPoEリアルタイム確認

sudo journalctl -f | grep -Ei ‘pppd|pppoe’
sudo tcpdump -ni enp0s31f6 -e
sudo tcpdump -ni enp0s31f6.13 -e pppoed

WAN側NICにNAT

・インターフェース一覧
ip -br addr

・出口(Realtek)でマスカレード

sudo iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE

sudo iptables -A FORWARD -i ppp+ -o enp2s0 -j ACCEPT

sudo iptables -A FORWARD -i enp2s0 -o ppp+ -m conntrack –ctstate ESTABLISHED,RELATED -j ACCEPT

sudo iptables -t mangle -A FORWARD -p tcp –tcp-flags SYN,RST SYN -j TCPMSS –clamp-mss-to-pmtu

・永続化
sudo apt install -y iptables-persistent
sudo netfilter-persistent save

・戻るルート
sudo ip route add 192.168.13.0/24 dev ppp1
sudo ip route add 192.168.12.0/24 dev ppp0

・永続化
sudo vim /etc/ppp/ip-up.d/lab-routes

sudo chmod +x /etc/ppp/ip-up.d/lab-routes

DNS

・Ubuntu

printf ‘ms-dns 8.8.8.8\nms-dns 1.1.1.1\n’ | sudo tee -a /etc/ppp/pppoe-server-options
sudo systemctl restart pppoe-server@isp-a pppoe-server@isp-b

RTX拠点間VPN(GUI)

ダッシュボード>かんたん設定>IPsec
・自分側と接続先の両方とも固定の … 持っている
・接続先のホスト名またはIPアドレス：相手側のIPアドレス
・認証鍵：abc (本番では複雑にする)
・認証アルゴリズム：HMAC-SHA
・暗号アルゴリズム：3DES-CBC

下にいくほど強い。選ぶときは暗号と認証を同じゾーンで揃えることが多い。
HMAC-SHA256ならAES(AES256)-CBC、HMAC-SHAなら3DES-CBC。
相手拠点に承認、暗号アルゴリズム両方合わせる。

暗号、承認アルゴリズム

・承認アルゴリズム
✕　HMAC-MD5
△　HMAC-SHA
◯　HMAC-SHA256

・暗号アルゴリズム
✕　DES-CBC
△　3DES-CBC
◯　AES-CBC
◯　AES256-CBC

IKE、ESP、SA

IPsecの構成はIKE+ESP+SA

1.IKEがハンドシェイク(PSK認証)
IKE SA作成
IKE SAの中で、ESP SA作成
※PSK認証は事前共有キーを送信しないハッシュを照合
※事前共有キー=Pre-Shared Key

2.ESP SAを使い、ESPパケット生成
※ESPフォーマットのIPパケット
※暗号、認証アルゴリズムはここに効く

3.ESPパケットを転送(転送は実装)

※IKE、ESP、SAここまで

経路に関する設定>接続先のLAN側アドレス：192.168.12.0
ここはip route 192.168.12.0/24 gateway tunnel Nの設定に相当する。

拠点間VPNはGUIだけではエラーになってしまったのでコマンドで追加設定。
最終的なコンフィグ

 

・SSH有効化

sudo apt update
sudo apt install -y openssh-server
sudo systemctl enable –now ssh

・接続

ssh xxx@192.168.xxx.xxx

・Dockerインストール

wget https://github.com/rustdesk/rustdesk-server/releases/download/1.1.14/rustdesk-server-linux-amd64.zip

unzip rustdesk-server-linux-amd64.zip

sudo mkdir -p /opt/rustdesk

sudo cp amd64/hbbs amd64/hbbr amd64/rustdesk-utils /opt/rustdesk/

sudo chmod +x /opt/rustdesk/hbbs /opt/rustdesk/hbbr

sudo mkdir -p /opt/rustdesk/data

sudo systemctl daemon-reload

sudo systemctl enable –now rustdesk-hbbr

sudo systemctl enable –now rustdesk-hbbs

cat /opt/rustdesk/data/id_ed25519.pub
控える。

・クライアントインストール

wget https://github.com/rustdesk/rustdesk/releases/download/1.4.7/rustdesk-1.4.7-x86_64.deb

sudo apt install -y ./rustdesk-1.4.7-x86_64.deb

・接続する側のクライアントの設定切替

複数接続先の場合、
/Users/xxx/Library/Preferences/com.carriez.RustDesk
RustDesk2.toml
をコピーして切り替える。