タイトでキュートなヒップがシュールなジョークとムードでテレフォンナンバー
みたいなタイトルですが。
こういう事例さがしても全然無いので書いてみます。
本店は固定IPを取る金もない零細企業(でもRTX1000)なのでネットボランチDNS。
営業マン一人がGeekでPPTP接続したがる。
無理して支店をつくったのでIPsecで繋ぎたい熱き思いが湧いた。
まずは本支店接続のネットワーク概念図。
本店ネットワークのRTX1000にPPTPserverとIPsec受け入れを用意しておく
ネットボランチDNSサービスでDDNSアドレスを取得しておくと便利。
まずは本店のConfigを
ip route default gateway pp 1
ip route 192.168.20.0/24 gateway tunnel 2
ip lan1 address 192.168.200.1/24
ip lan1 proxyarp on
pp select 1
pp keepalive use lcp-echo
pp always-on on
pppoe use lan2
pppoe auto connect on
pppoe auto disconnect off
pp auth accept pap chap
pp auth myname *****
ppp lcp mru on 1454
ppp ipcp ipaddress on
ppp ipcp msext on
ppp ccp type none
ppp ipv6cp use off
ip pp mtu 1280
ip pp nat descriptor 1
netvolante-dns use pp auto
netvolante-dns hostname host pp ***.***.netvolante.jp
pp enable 1
pp select anonymous
pp bind tunnel1
pp auth request mschap
pp auth username PPTPユーザーID パスワード
ppp ccp type mppe-any
ip pp remote address pool 192.168.200.150-192.168.200.200
pptp service type server
pp enable anonymous
tunnel select 1
tunnel encapsulation pptp
pptp tunnel disconnect time 1200
pptp keepalive use off
tunnel enable 1
tunnel select 2
ipsec tunnel 101
ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike keepalive use 1 on
ipsec ike local address 1 192.168.200.1
ipsec ike pre-shared-key 1 text 事前共有鍵
ipsec ike remote address 1 any
ipsec ike remote name 1 ろーかるねーむ
ip tunnel tcp mss limit auto
tunnel enable 2
nat descriptor type 1 masquerade
nat descriptor masquerade static 1 1 192.168.200.50 tcp www
nat descriptor masquerade static 1 2 192.168.200.50 tcp ftpdata-21
nat descriptor masquerade static 1 3 192.168.200.50 tcp 5900
nat descriptor masquerade static 1 4 192.168.200.50 tcp 22
nat descriptor masquerade static 1 5 192.168.200.50 tcp https
nat descriptor masquerade static 1 6 192.168.200.50 tcp 10000
nat descriptor masquerade static 1 7 192.168.200.1 esp
nat descriptor masquerade static 1 8 192.168.200.1 udp 500
nat descriptor masquerade static 1 20 192.168.200.1 tcp 1723
nat descriptor masquerade static 1 23 192.168.200.1 gre
syslog notice on
syslog debug on
tftp host 192.168.200.50
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.200.100-192.168.200.149/24
dns server pp 1
pptp service on
upnp use on
upnp external address refer pp 1
masqueradeは20,23以外、趣味趣向の現れるところなので無視して欲しいｗ
ipsec ike local addressがローカルを見ている件についてはここを参照して欲しい。
続いて支店側。
ip route default gateway 192.168.11.1
ip route 192.168.200.0/24 gateway tunnel 1
ip lan1 address 192.168.20.1/24
ip lan2 address 192.168.11.250/24
ip lan2 nat descriptor 1
tunnel select 1
ipsec tunnel 101
ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike keepalive log 1 off
ipsec ike keepalive use 1 on
ipsec ike local address 1 192.168.20.1
ipsec ike local name 1 ろーかるねーむ key-id
ipsec ike pre-shared-key 1 text 事前共有鍵
ipsec ike remote address 1 ***.***.netvolante.jp
ip tunnel tcp mss limit auto
tunnel enable 1
nat descriptor type 1 masquerade
nat descriptor address outer 1 primary
nat descriptor address inner 1 auto
nat descriptor masquerade incoming 1 reject
nat descriptor masquerade static 1 1 192.168.20.1 esp
nat descriptor masquerade static 1 2 192.168.20.1 udp 500
ipsec auto refresh on
syslog notice on
tftp host 192.168.20.2
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.20.100-192.168.20.149/24
dns server 192.168.11.1
dns private address spoof on
ローカルネームと事前共有鍵は同じにしよう。
あとはこれで社内アレゲWeb鯖には
本店G4サーバーで立ち上げたBINDがご案内。
クライアントのDNS参照に192.168.200.50を追加しておこう。
PPTP接続したMacBookからtelnetで本店のRTX1000を見てそのまま支店のRTX1000も見ちゃっている絵。
変態ですね〜笑
でも最初重かった。
ipsec sa policy 101 1 esp aes-cbc sha-hmac
これが重いこと。全然バイナリー転送できない。
テキストは大丈夫。
ipsec sa policy 101 1 esp 3des-cbc sha-hmac
にすると絶好調。
VPN先のBINDでおったてたDNSサーバーもバッチリ参照。
キター。
