Kozupon.com    
 
 ルータIX2015を使ってみる!


このネタも、引き続き秋葉原はOTTO系列の ネットワークショップ で購入したNECの企業向けルータ IX2015 と出会っての話だ。何気なくショップの中を散策してたときに、店の棚に積んであった。6800円だった。中古であるため、多分NECではファームウェアのアップデート等のサポートは受けられないであろうと、まずは頭に過ぎった。
ここのショップは、中古品でも程度が良い物ばかり置いてあるので、動作には問題ないと思うが、現在のファームウェアのバージョンが新しい物であることが購入の条件だと思った。ルータの基板は「UNIVERGE」なので新しい基板だ。
ファームウェアのバージョンは。親切に一台一台に書いて有ったので、「UNIVERGE」で一番新しいファームウェアのバージョンを選んだ。
以下が、ファームウェアのバージョンだ。写真1は、IX2015を斜め方向から見た写真だ。


  写真1

■ showコマンドでファームウェアのバージョンを表示させた結果

Router# show version
NEC Portable Internetwork Core Operating System Software
IX Series IX2010 (magellan-sec) Software, Version 7.5.66, RELEASE SOFTWARE
Compiled Oct 29-Mon-2007 09:31:31 JST #2 by sw-build, coregen-7.5(66)

ROM: System Bootstrap, Version 18.56
System Diagnostic, Version 16.56

System uptime is 23 hours 54 minutes
System woke up by reload, caused by command execution
System started at May 04-Mon-2009 20:12:59 JST
System image file is "ix2010-ms-7.5.66.ldc" ←このルータのファームウェアのバージョン
Processor board ID <2>
IX2015 (MPC8270A) processor with 65536K bytes of memory.
3 FastEthernet/IEEE 802.3 interfaces
1 ISDN Basic Rate interface
512K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)

Current configuration is based on "startup-configuration"

そんなわけで、結局こいつを買ってしまった訳だが、シスコのIOSもどきのコマンドで設定する本格的なルータであるため、遊びがてら自分のネットワークに導入したいと思っている。ヤマハあたりのルータは、売れているけど安いルータはショートパケットに弱い物が多い、ロングパケットよりショートパケットの方が処理するパケット数が多くなるため、ルーティングによるルータ内部のCPUの処理能力が問われる。IX2015は、そこいら辺の性能には定評がある。
個人で使うルータとしては、最高の部類に入るであろう。


1.とりあえずスーパーリセット
まず、購入時にすでに工場出荷時状態になってると思うが、一応スーパーリセットをすることにした。
スーパーリセットは、ディップスイッチでも出来るが、ブートモニタモードによるスーパーリセットも出来る。

コマンドを使うには、シスコのコンソールケーブル(Dsub9ピンオスコネクタ−RJ45オスコネクタ)をパソコンに繋いで、ルータのフロントのRJ45メスコネクタへ繋ぐ。さらに、端末の通信ソフトは、定番のTeraTermが良いかと思う。以下の写真2の一番左のケーブルがコンソールケーブルだ。俺は、コンソールケーブルを自分で作った。ピン接続は、Google検索すればネットに掲載されている。


  写真2

ブートモニタモードへは、ルータの起動時に、ブートストラップのシャープ(#)が表示される途中に「CTRL+C」を押すと、下のようにコマンドモードに入る。

Boot ######
>

そして、コマンドラインから、以下のように入力して、確認を求められたら「Y」を入力。

>cc ←スーパーリセットの場合
>dc ←デフォルトコンフィグのクリアの場合

さらに、以下のように入力すると、ブートストラップが再開される。

>b


2.コマンドで設定する
IX2015のコマンドモードは、

Router#

のようなコマンドラインから始まる。手っ取り早いのは、テキストファイルにコマンドを書いてコピー&ペーストするのが早い。
しかし、手で入力していくなら、

Router# enable-config
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#

enable-configでコンフィグモードに移行してから、設定コマンドを入力していく。抜けるときは、「exit」でも抜けられる。

Router(config)# exit
Router(config)#
Router#


3.ルータコンフィグの設計
1)ルータポリシー

以下の図1が簡単なネットワーク図だ。ここで表現されてないのは、公開サーバ達だが、 ここ を見れば公開サーバ達がよく解る。


  図1

改めて、説明すると光回線を使用してるため、ルータからPPPoEでISPへ接続、固定IPを振られてWANへアクセス、公開サーバ達をNAPTで繋いで、LAN側とWAN側をIPマスカレードすると言う構成だ。
そこで、俺が考えたコンフィグを次の4項に示す。セキュリティも考慮した設定で有るため、少し長くなってる。
「!」マークは、コメントであるためコメント部分に、説明書きを追記した。そのため、内容を良く理解して欲しい。

2)セキュリティポリシー
IX2015のフィルター設定は、基本的には「すべて許可」から必要に応じて「破棄」の設定を行っていくようになってると考えている。したがって、初めは「ip access-list all-pass permit ip src any dest any」で全て許可設定を行う。その後、「ip access-list svr-block deny tcp src any sport any dest any dport eq 1」破棄ポートを個別に設定していく。
このサイトのフィルタリングポリシーは、このサイトの フィルタリングのへそ! を参考にしていただきたい。

3)ログの出力
ログの出力は、シスログレベルでロギングレベルは「warn」でファシリティ「local0」に設定。シスログサーバは、192.168.255.125に設定。
ルータの情報を/var/log/routerに記録する。
ルータのログをsyslogへ飛ばすには、syslog起動オプションに "-r" を追加する。
「SYSLOGD_OPTIONS="-r -m 0"」

そして、/etc/syslog.confを編集する。

#
# Router
#
local0.*                        /var/log/router

こんな感じにして、syslogサービスを再起動する。
ログのローテーションの設定。以下、/var/log/routerを追加。

# vi /etc/logrotate.d/syslog
/var/log/router /var/log/cron /var/log/debug /var/log/maillog /var/log/messages /var/log/secure /var/log/syslog {
sharedscripts
postrotate
/bin/kill -HUP `cat /var/run/syslogd.pid 2>/dev/null` 2>/dev/null || true
endscript
}

4)ルータコンフィグ
!
! ////////////////////////////////////////////
!
! IX2015 Config by kozupon.com
!
! ////////////////////////////////////////////
!
! コンフィグモード・イネーブル
enable-config
! アドミンユーザ&パスワードセッティング
username xxxxx password plain xxxxxxxx administrator
! ロギングバッファの設定、イベントメッセージを指定サイズ分の文字数をメモリへ保存する
logging buffered 4096
! 指定のサブシステムメッセージを有効にする。ロギングレベルは”ワーン”
logging subsystem all warn
! タイムスタンプの設定、パラメータ(時刻)
logging timestamp timeofday
! シスログファシリティの設定、ファシリティ(local0)
syslog facility local0
! シスログサーバの設定
syslog ip host 192.168.255.125
! シスログ機能有効
syslog ip enable
! NTPサーバ設定
ntp server 192.168.255.103
! NTP機能有効
ntp ip enable
!
! アクセスリスト定義(フィルタリング)
!
! マルチプレクサTCPポートは通常使わないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 1
ip access-list svr-block deny udp src any sport any dest any dport eq 1

! 自サーバのシステム情報を隠蔽するため遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 11
ip access-list svr-block deny udp src any sport any dest any dport eq 11

! 自サーバのシステム情報を隠蔽するため遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 15
ip access-list svr-block deny udp src any sport any dest any dport eq 15

! FTPサービスは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 20
ip access-list svr-block deny udp src any sport any dest any dport eq 20
ip access-list svr-block deny tcp src any sport any dest any dport eq 21
ip access-list svr-block deny udp src any sport any dest any dport eq 21

! TELNETサービスは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 23
ip access-list svr-block deny udp src any sport any dest any dport eq 23

! bootpc、必要以上に情報を与えてしまうので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 67
ip access-list svr-block deny udp src any sport any dest any dport eq 67
ip access-list svr-block deny tcp src any sport any dest any dport eq 68
ip access-list svr-block deny udp src any sport any dest any dport eq 68

! tftp、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 69
ip access-list svr-block deny udp src any sport any dest any dport eq 69

! gopherサービスは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 70
ip access-list svr-block deny udp src any sport any dest any dport eq 70

! fingerサービスは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 79
ip access-list svr-block deny udp src any sport any dest any dport eq 79

! link、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 87
ip access-list svr-block deny udp src any sport any dest any dport eq 87

! supdup、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 95
ip access-list svr-block deny udp src any sport any dest any dport eq 95

! sunrpc、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 111
ip access-list svr-block deny udp src any sport any dest any dport eq 111

! DCE RPC、結構危険なので遮断(Blasterワームで狙われる為)
ip access-list svr-block deny tcp src any sport any dest any dport eq 135
ip access-list svr-block deny udp src any sport any dest any dport eq 135

! netbios、SAMBAを使ってるので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 137
ip access-list svr-block deny udp src any sport any dest any dport eq 137
ip access-list svr-block deny udp src any sport any dest any dport eq 138
ip access-list svr-block deny tcp src any sport any dest any dport eq 139

! uma、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 144
ip access-list svr-block deny udp src any sport any dest any dport eq 144

! snmp、ネットワーク監視サービスなので外部からは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 161
ip access-list svr-block deny udp src any sport any dest any dport eq 161

! snmp-trap、ネットワーク監視サービスなので外部からは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 162
ip access-list svr-block deny udp src any sport any dest any dport eq 162

! xdmcp、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 177
ip access-list svr-block deny udp src any sport any dest any dport eq 177

! imap3、imap3サービスを使っていないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 220
ip access-list svr-block deny udp src any sport any dest any dport eq 220

! マイクロソフト・ダイレクトホスティングSMBサービス遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 445
ip access-list svr-block deny udp src any sport any dest any dport eq 445

! exec、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 512
! bif、結構危険なので遮断
ip access-list svr-block deny udp src any sport any dest any dport eq 512
! login、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 513
! who、結構危険なので遮断
ip access-list svr-block deny udp src any sport any dest any dport eq 513
! shell、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 514
! syslog、syslogが攻撃されたら、logがめちゃくちゃになるので遮断
ip access-list svr-block deny udp src any sport any dest any dport eq 514
! printer、当たり前だが、外部にプリンタをオープンにする必要はないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 515
ip access-list svr-block deny udp src any sport any dest any dport eq 515

! talk、使ってないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 517
ip access-list svr-block deny udp src any sport any dest any dport eq 517

! ntalk、使ってないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 518
ip access-list svr-block deny udp src any sport any dest any dport eq 518

! router、ルーティングだが、外部にオープンする必要はないので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 520
ip access-list svr-block deny udp src any sport any dest any dport eq 520

! uucp、使わない上、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 540
ip access-list svr-block deny udp src any sport any dest any dport eq 540

! listener、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 1025
ip access-list svr-block deny udp src any sport any dest any dport eq 1025

! openwin、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 2000
ip access-list svr-block deny udp src any sport any dest any dport eq 2000

! nfs、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 2049
ip access-list svr-block deny udp src any sport any dest any dport eq 2049

! listen、結構危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 2766
ip access-list svr-block deny udp src any sport any dest any dport eq 2766

! x11、結構危険なので遮断(6000〜6063)
ip access-list svr-block deny tcp src any sport any dest any dport range 6000 6063
ip access-list svr-block deny udp src any sport any dest any dport range 6000 6063

! WinMx、使ってない無駄なP2Pソフトのポートは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 6257
ip access-list svr-block deny udp src any sport any dest any dport eq 6257

! IRCU、使ってなければ遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 6665
ip access-list svr-block deny udp src any sport any dest any dport eq 6665
ip access-list svr-block deny tcp src any sport any dest any dport eq 6666
ip access-list svr-block deny udp src any sport any dest any dport eq 6666
ip access-list svr-block deny tcp src any sport any dest any dport eq 6667
ip access-list svr-block deny udp src any sport any dest any dport eq 6667
ip access-list svr-block deny tcp src any sport any dest any dport eq 6668
ip access-list svr-block deny udp src any sport any dest any dport eq 6668
ip access-list svr-block deny tcp src any sport any dest any dport eq 6669
ip access-list svr-block deny udp src any sport any dest any dport eq 6669

! napster、使ってない無駄なP2Pソフトのポートは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 6699
ip access-list svr-block deny udp src any sport any dest any dport eq 6699

! Winny、使ってない無駄なP2Pソフトのポートは遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 7743
ip access-list svr-block deny udp src any sport any dest any dport eq 7743

! Netbus、トロイの木馬のサービスポート危険なので遮断
ip access-list svr-block deny tcp src any sport any dest any dport eq 12345
ip access-list svr-block deny udp src any sport any dest any dport eq 12345

! プライベートアドレスを外部に送出しない(外部からの踏み台防止!)
ip access-list r-list1 deny ip src 10.0.0.0/8 dest any
ip access-list r-list1 deny ip src 172.16.0.0/12 dest any
ip access-list r-list1 deny ip src 192.168.0.0/16 dest any

! とにかく全てのIPの通過を許可
ip access-list all-pass permit ip src any dest any
! IPルートデフォルトのI/Fは、0/0.1
ip route default FastEthernet0/0.1
! ProxyDNS for IPv4 を有効
proxy-dns ip enable
! UFS(Unified Forwarding Service)キャッシュを有効にする
ip ufs-cache enable
! pppプロファイルをinterlinkとして定義
ppp profile interlink
! プロバイダから与えられた、ppp接続ユーザIDとパスワードを設定
authentication myname xxxxxxxxxxxxxxxxx
authentication password xxxxxxxxxxxxxxxxx xxxxxxxx

! I/F 1/0.0のIPアドレスを定義
interface FastEthernet1/0.0
ip address 192.168.255.1/24
no shutdown

! I/F 0/0.1のIPアドレスを定義
interface FastEthernet0/0.1
ip address 203.141.157.142/28

! IPフィルターを各設定
! 送信パケットはオール許可
ip filter all-pass 1 out
! プライベートアドレスを外部に送出しない(外部からの踏み台防止!)
ip filter r-list1 2 out
! 受信パケットはオール許可
ip filter all-pass 1 in
! 受信パケットは、svr-blockグループで指定したポートへのアクセスを破棄
ip filter svr-block 2 in
encapsulation pppoe

! PPPoEオートコネクト
auto-connect
ppp binding interlink
ip address ipcp

! naptの設定(外部公開サーバの設定)
! pingサーバの設定
ip napt service ping 192.168.255.103
! SSHサーバの設定
ip napt service SSH 192.168.255.103 none tcp 22
! SMTPサーバの設定
ip napt service SMTP 192.168.255.125 none tcp 25
! DNSサーバの設定
ip napt service dns 192.168.255.103
! WEBサーバの設定
ip napt service http 192.168.255.103
! POPサーバの設定
ip napt service POP 192.168.255.125 none tcp 110
! NTPタイムサーバの設定
ip napt service NTP 192.168.255.103 none tcp 123
ip napt service NTP 192.168.255.103 none udp 123

! SMTP-587の設定
ip napt service SMTP-587 192.168.255.125 none tcp 587
! DOVECOT(POP over SSL)の設定
ip napt service POP-SSL 192.168.255.125 none tcp 995
! 7000番を開ける
ip napt static 192.168.255.103 tcp 7000
! 8080を開ける
ip napt static 192.168.255.125 tcp 8080
! NAPTを有効にする
ip napt enable
! 送受信TCPパケットのMSS値調整機能を有効にする。auto 設定の場合はインタフェースMTU 値から40オクテットを引いた値がMSS 値となる
ip tcp adjust-mss auto
no shutdown
interface Loopback0.0
ip address 127.0.0.1/32

以上が、俺が設定したIX2015のコンフィグである。設定ファイルを流し込んだら、メモリへ書き込む。


3.メモリーライトおよび編集
「exit」を入力してconfigラインへ移行する。そして、以下のようにwrite memoryを入力する。

Router(config)# write memory

show startup-configを実行して、設定ファイルが反映されてるか?確認する。

Router(config)# show startup-config

確認したら、startup-configからdefault-configへコピーする。

Router(config)# copy startup-config default-config

これで、一通り設定作業は終了。

編集する場合、
エディタで編集して流し込む場合は、

Router(config)# erase startup-config

一度、startup-configを空にしてから、流し込む。
一行ずつ編集する場合は、

Router(config)# interface FastEthernet0/0.1

Router(interface FastEthernet0/0.1)# no ip napt service SMTP-587 192.168.255.103 none tcp 587

Router(interface FastEthernet0/0.1)# ip napt service SMTP-587 192.168.255.125 none tcp 587

Router(interface FastEthernet0/0.1)# exit

メモリーライト。

Router(config)# write memory

訂正行の確認。

Router(config)# show startup-config

default-configへコピー

Router(config)# erase default-config

Router(config)# copy startup-config default-config

注:default-configをeraseで消さないとコピーできないので注意。


4.リスタート
IX2015をリスタートする。

Router(config)# exit

Router# restart

これで、上手く立ち上がってから、ネットワークをチェックする。

以上


 
 
 



Copyright 2014 Kozupon.com.