・PBR/インラインルーテッド
PBR=宛先アドレス意外の条件を使って次ホップを決めること
インラインルーテッド=UTMがIPを持ちL3ホップとして経路上にはいること
(L2の場合トランスペアレントorブリッジインライン)
・例
LAN3がWAN、今回はLAN1-LAN2の間に設置。
ip route default gateway <LAN3> filter 101 102 111 112 113 114 115 116 gateway <UTM-LAN> keepalive 1 gateway <LAN3> weight 0
・前提
※gateway … filter N …
Nの条件に合うものものはこのgatewayを使えという意味。
ip route に並んだgatewayは指定がなければ分散する。weightは分散比率。
weight 0 = 他が使える限り使わない。
keepalive 1(監視定義の番号) = 生きている間だけつかえる。
ip route default … ルーティング判定のときだけ参照される。ルータがnext-hop を選ぶのは転送されるユニキャストに対してだけ。ブロードキャストはそもそもルータがセグメント外へ転送しない。
・設定
gateway <LAN3> filter 101 102 111-116
※①VPN系とUTM発だけ直WAN
gateway <UTM> keepalive 1
※②①に外れた”通常通信 全部”をUTMへ
生きている限り一致する(keepalive 1)
gateway <LAN3> weight 0
※③さらに残り全部（＝fail-open）
keepaliveで失敗した最後
・フィルタ設定
構文は
ip filter <番号> <動作> <送信元> <宛先> <プロトコル>
※UTMのWAN脚が送信元 = 検査後の戻り
ip filter 101 pass <UTM-WAN> * * *
※UTMのLAN脚が送信元 = UTM自身の通信
(ほとんど存在しないはずなので保険)
ip filter 102 pass <UMT-LAN> * * *
※PPTP
ip filter 111 pass * * tcp 1723
ip filter 112 pass * * gre
※IKE(拠点間VPN)
ip filter 113 pass * * udp 500
ip filter 114 pass * * esp
※NAT-T(拠点間VPN)
ip filter 115 pass * * udp 4500
※L2TP
ip filter 116 pass * * udp 1701
※監視定義
ip keepalive 1 icmp-echo 10 5 UTM-LAN
※拠点間VPNはこのように直指定も必要
ip route <対向IPアドレス> gateway <ISP Default Gateway>
ip route <対向IPアドレス> gateway pp 1