スキップしてメイン コンテンツに移動

FortiGate 60DとAlaxala AX3640SでLAN構築チャレンジ その2

FortiGate 60Dを探る

とりあえず手順通りWEB-GUIで眺めてみる。
なるほど、わからん。

FortiGateはルーター型と透過型で使い分けが出来るようだ。
ルーターの方も想像以上に機能が豊富。
しかし逆にルーターに必要な機能が足りてなかったりするところも多々あって使い方が難しい。
性能面で考えるとFWに専念してもらうほうが軽いだろうし、ルーティングと切り離せるから管理も楽? コマンドも独特だから慣れがいるし。

DHCP-PDが使えない!!

ルーターモードでDHCP-PD構成にしようとしたらどうやっても設定できない。
センスと能力と根性が足りないのかッ!?
仕方ないので一旦透過型にしてルーティングはAX3640Sにさせてみる事を考えてみる。

DHCP-PDサーバーの罠

AX3640SにあるDHCP-PDサーバー機能。これがあればルーターなんて要らなかったんや!!
……となるはずでした。
AX3640Sの理解度が足りないのか、それともスイッチだからそういう設計なのかわからないけどこちらも出来なかった。
理由は下記の通り。
一般的なルーターで言われるDHCP-PDとはDHCP-PDクライアント+DHCP-PDサーバーのセットだということ
AX3640SにはDHCP-PDサーバーしかない。
DHCP-PDの仕様を調べてみた。

  1. DHCP-PDクライアント機能でプリフィクスを頂く
  2. もらったプリフィクスでDHCP-PDサーバーとして運用

AX3640Sは1がないため、手動でIPv6アドレスを割り当てなければならない。
これは出来るとして、問題はルーティングの方だった。

一般的なDHCP-PDサーバーは以下の実装があるっぽい。

  • DHCP-PDサーバーはクライアントの要求時にその機器をルーティングテーブルに追加する(クライアントがルーター機能を持っていた場合)

これによりプリフィックス貰った段階で上位ルーターへの経路が自動的に確保されるようだ。
そしてひかり電話ルーター(HGW)はIPv6用の静的ルートの手動指定が出来ない

→結論:AX3640SのDHCP-PDは使えなかった

RFCではアドレスの移譲しか定義されていないから、これが一般的かどうかは不明。
しかしひかり電話ルーター(HGW)ではこういう実装になってる。くそう。

FortiGateのバージョンによる差異

原点に戻ってFortiGateでDHCP-PDする方向で探ってみる。
結論から言うとこの時のFortiOSのバージョン(5.0)はDHCP-PDが未実装だった。
5.4からDHCP-PDが実装されたとのこと。
しかしFortiGateのバージョンアップには保守契約が必要で、かなりお高い。
しかも中断したものを再開した場合、切れたところから逆算してその分請求されるというなかなか厳しい条件。仕方ないがとりあえず契約状況を調べてみた。

……2020/09まで。

ということでなんと保守契約が残っていました。恐らく5年契約で先にリース切れで放出した逸品です。
そんな訳でウキウキとバージョンアップボタンを押し、無事5.4.1になりました。

……出来るッ!! 私にもDHCP-PDが出来るぞッ!!

ということで一挙解決しました。
嬉しいことにNAT64なんかの機能もついてました。素晴らしすぎる。
欲を言えば、これにipip6トンネル(DS-Lite)があれば全機能FortiGateでいけたのに……。

続く

コメント

このブログの人気の投稿

カスタムメイド3D2用プラグインを作りました

CM3D2用のプラグイン DeOutline / FaceToCam を制作 やっとCM3D2を遊べる感じになったので触ってみてます。
とあるところからHMDをお借りして感動していたところなのですが、現状でいくつか不満点が出たのでプラグインを作ってみました。
輪郭線除去プラグイン(VR対応) CM3D2.DeOutline.Plugin.dll 入れると輪郭線が消えます。それだけです。
CM3D2.OutlineSwitch.Plugin.dllの劣化版です。
違いは2点。
VR対応切り替えスイッチなしdownload いつでもこっち向いてプラグイン(VR対応) CM3D2.FaceToCamSwitcher.Plugin.dll キーを押すだけでメイドさんがいつでもこっちを向いてくれるプラグインです。
VRでは色々な視点で動かせるので必要なときこっち向いてくれるといいなあってことで作りました。
download
C#なので簡単にできていいですね。

VyOS 1.1.1とSoftEther VPN Serverで自宅VPN最速設定

VyOS 1.1.1とSoftEther VPN Serverで自宅VPN最速設定 あけましておめでとうございます。本年もよろしくお願いします。
のっけから濃い話題で2015を始めたいと思います。
個人用途でWindowsファイル共有(CIFS)をサクサク使いたい 以前VyOSでPPTPによるリモートアクセスVPNを構築したが、実際のところ操作が重く、もっさりで大変だった。
そこで他のプロトコルではどうかとアレコレ試してみたが却ってスループットは低下してしまった。堅牢性が上がっているので当然かもしれない。
しかし個人で考えれば、ハードなセキュリティよりもスループット、レスポンスに重点を置きたいと考えるのは当然だろう。
最終的に一番高速だったのはSoftEther VPN Serverだった。ただし、プロトコルはSoftEther、セッション数は32(最大)、UDP高速化機能という条件でのみ実現された。
今回はその方法を紹介したいと思う。
VPNのスループットを上げるには VPNのスループットを特殊なネットワーク、機器とかに頼らず速くしたい。SoftEtherのプロトコルはマルチコネクションで接続することが可能で、最大32コネクション接続が可能。
一般的な光回線では1コネクション当たりのスループットが良くて200Mbps程度だと思う。しかし、マルチとなると一気に帯域が太くなる。32コネクションを1つのVPNトンネルとして形成するので転送自体はかなり上がる。 VPNでWindowsファイル共有(CIFS)を快適に使うには 別の視点から見てみる。私のVPNでの使用主目的がファイル共有である。これがVPNととても相性が悪く、驚くほどの遅さになってしまうこともある。原因はSMBプロトコルにあって、過剰な通信を繰り返す事からそうなるようだ。(例えば、1つのExcelファイルを開くのに4000回通信を行っているらしい) WANを経由したら当然大きな遅延が発生する。帯域がどんなに太くても、Ackが返ってくるまではどうやっても待機にならざるを得ない。1つの通信を行う毎に遅延が大きく伸し掛かってくる。これがCIFSの速度が遅い理由だ。
この問題もSoftEtherで解決できる。UDP高速化機能を使用することで低遅延を実現できる。UDPでトンネリングを行うため、トンネル側の通信に3ハ…

プロバイダをオープンサーキットからIIJへ変更

プロバイダをオープンサーキットからIIJへ変更 VPN環境でIPv6の面白さを知ってしまったので、思い切ってプロバイダを変更してみた。 どうせならIPv4も快適にしたかったのでDS-LiteのあるIIJmioに加入することにした。 VyOSの設定などは別記事に。 速度比較 IIJのサービスにはインターネットへ接続する方法が3つ存在する。IPv4(PPPoE、DS-Lite)とIPv6(IPoE)となる。
今回は前プロバイダであるオープンサーキットとの比較を行うことで速度差がどれだけあるか調査してみた。
プロバイダ比較のため今回はIPv6の方は計測しない。 計測日は日曜日20:00前後。
計測方法 3種類の接続を行ったVyOS(VM)を用意し、接続した状態のままゲートウェイアドレスを変更した形で配置。 デフォルトゲートウェイを変更するだけでそれぞれの接続方式にアクセスする方法を採った。 オープンサーキット(PPPoE)radishで67Mbps/2Mbpsとなった。speedtestの方ではpingを計測し38ms。キャプチャミスにより下りが表示されていないが100Mbps前後だった。サーバー用途でガンガン帯域使っても怒られないプロバイダとしては十分いい数値だと思う。
IIJ(PPPoE)次にIIJ(PPPoE)。この時点で十分改善されている。オープンサーキットとは逆に上り帯域制限がかなりキツイ(15GB/日)のでこのくらい出てもらわないと困るのは確か。

IIJ(DS-Lite)最後にDS-Lite。ping値は変化ないが転送量が格段に増えた。ここまで差が出ると体感上でもハッキリ判るレベル。
その他詳細 DS-Liteは以下の制限が存在する。 ×専用機器が必要
×サーバーが立てられない
×オンラインゲームのポート開放が出来ない ただ、回避策がないわけでもない。
専用機器と言っても大したことをするわけでもないので、VyOSで簡単に実現できる。
サーバーやオンラインゲームに必要なポート開放はPPPoEとの併用でカバーできる。
しかしゲートウェイが2つ存在することになるのでどう運用するかという点でハードルが高くなる。
ちなみにNAT1段なのでSkpyeなどはポート開放しなくても動いた。(UDPホールパンチングは有効)
まとめ DS-Liteはやはり速かった。IPv6接…