YAMAHAルータの実機・検証　第4回　部署毎に社内ネットワークを分離

第4回は部署毎に社内ネットワークを分離(VLAN)する設定を行います。

企業でパソコンを使っていないところは少ないと思います。人数の多い企業になるとパソコンの台数も多くなり管理するのがとても大変です。

今回は部署ごとにネットワークを分けることでパソコンの管理を簡単にする設定を行います。

今回もYAMAHA　RTX1200を使用します。
このルータはLAN1のポート毎に個別のIPアドレス帯を割り当てることができます。
この機能を使って部署毎にIPアドレス帯を割り当てることでパソコンの管理を簡単にします。

まずはIPアドレスを個別に割り当てます。そのあと各部署間の通信にフィルタリング設定を行います。
フィルタリング設定することで各部署の機密データを他部署に流出することを防ぎます。
まずはネットワークの構成からです。

ネットワーク構成

今回検証するネットワーク構成になります。

まずはじめに各部署に個別のネットワーク帯を割り当てます。

役員　192.168.0.0/24
営業部　192.168.10.0/24
総務部　192.168.20.0/24

今回はLAN1のポート1~3までを使用します。

ルータの設定内容

 ■ルータ設定内容

ip route default gateway pp 1
ip filter source-route on
ip filter directed-broadcast on
lan type lan1 port-based-option=divide-network
ip vlan1 address 192.168.0.1/24
ip vlan2 address 192.168.10.1/24
ip vlan3 address 192.168.20.1/24
pp select 1
 pp keepalive use lcp-echo
 pp always-on on
 pppoe use lan3
 pppoe auto connect on
 pppoe auto disconnect off
 pp auth accept pap chap
 pp auth myname (ISPの接続アカウント) (ISPのパスワード)
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ccp type none
 ip pp mtu 1454
 ip pp secure filter in 1020 1021 1022 1030 1031 1032 2000
 ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102 103 104 105 106 107
 ip pp nat descriptor 1
 pp enable 1
ip filter 1010 reject * * udp,tcp 135 *
ip filter 1011 reject * * udp,tcp * 135
ip filter 1012 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 1013 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 1014 reject * * udp,tcp 445 *
ip filter 1015 reject * * udp,tcp * 445
ip filter 1020 reject 192.168.0.0/24 *
ip filter 1021 reject 192.168.10.0/24 *
ip filter 1022 reject 192.168.20.0/24 *
ip filter 1030 pass * 192.168.0.0/24 icmp
ip filter 1031 pass * 192.168.10.0/24 icmp
ip filter 1032 pass * 192.168.20.0/24 icmp
ip filter 2000 reject * *
ip filter 3000 pass * *
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * netmeeting
ip filter dynamic 106 * * tcp
ip filter dynamic 107 * * udp
nat descriptor type 1 masquerade
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp scope 1 192.168.0.51-192.168.0.100/24
dhcp scope 2 192.168.10.51-192.168.10.100/24
dhcp scope 3 192.168.20.51-192.168.20.100/24
dns server pp 1

■設定後の検証で各部署に設置されているパソコンのアクセス権が確認できました。

 ※パソコンへのアクセス確認方法として
・Pingでの通信確認
・共有フォルダへのアクセス確認
を行いました。

フィルタリング設定を行っていないので各部署間のパソコンはアクセスが可能です。

部署間の通信遮断

次に各部署間にフィルタリング設定を行い部署間の通信を遮断します。
部署によっては機密データがあり、他部署にデータの閲覧・編集などされたくない場合があります。部署間の通信を遮断しセキュリティを高くしたい時の設定になります。
検証1は多くの企業で採用されるネットワーク構成になります。

検証1）　役員からは各部署にアクセスすることができ、営業部と総務部間および営業部と総務部からは役員へのアクセスを遮断

■ルータ追加設定

ip filter 1040 reject * 192.168.0.0/24
ip filter 1041 reject * 192.168.10.0/24
ip filter 1042 reject * 192.168.20.0/24
ip filter 5001 pass * *
ip filter dynamic 302 * * filter 5001
ip vlan1 secure filter in 3000
ip vlan1 secure filter out 3000
ip vlan2 secure filter in 1040 1042 3000 dynamic 302
ip vlan2 secure filter out 3000 dynamic 302
ip vlan3 secure filter in 1040 1041 3000 dynamic 302
ip vlan3 secure filter out 3000 dynamic 302

結果は

 役員は全てのパソコンとインターネットにアクセスできます。営業部パソコンBと総務部パソコンCはお互いアクセスを遮断されなお、役員パソコンAに対してアクセスができません。

各部署のデータを守ろう

企業によっては各部署間のデータを機密とし各部署でしか取扱いができるようにするため場合があります。そうした場合、部署間の通信を遮断することで各部署間のデータ流出などを防ぐことができます。

■ルータ追加設定

ip vlan1 secure filter in 1041 1042 3000
ip vlan1 secure filter out 1021 1022 3000
ip vlan2 secure filter in 1040 1042 3000
ip vlan2 secure filter out 1020 1022 3000
ip vlan3 secure filter in 1040 1041 3000
ip vlan3 secure filter out 1020 1021 3000
ip filter 1040 reject * 192.168.0.0/24
ip filter 1041 reject * 192.168.10.0/24
ip filter 1042 reject * 192.168.20.0/24

■設定追加後の結果は

各IPアドレス帯にフィルタリング設定することで通信を遮断しパソコンA、B、Cは所属している各部署の通信およびインターネットのアクセスしかできなくなります。

このように利用する環境にあわせてネットワークの構成を変更し高いセキュリティのネットワークをつくることができます。

いままで紹介した設定はRTX1200でできるほんの一部の機能です。
インタネット回線の二重化、自社サーバの公開、通信のトラフィックの制御などその他にも便利な機能がたくさんあります。
機会があれば実際に活用できる方法や検証などの結果を紹介していきたいと思います。

この記事を読んだ方はこちらも読まれています

YAMAHAルータでPPTPとL2TP/IPsecを併用する