Yamahaルーターでリモートワーク用Vlanを用意する

# 概要
リモートワークだの何だの言われ、会社のマシンを自宅のNWに繋げる必要があるが、某空海ソフトウエアが動作している怪しいPCを、自宅のNWに繋ぎたくない。自宅のセキュリティの甘いマシンが、社用PCに悪影響与える可能性も無視できない。

そこで、Yamahaルーターでリモートワーク用のVlanを作成。Vlanが扱える無線AP WAPM-APG600Hを使用し、作成したVlanを飛ばす。

# 機材
- RTX1200
- Cisco 2960G
- Buffalo AirStationPro WAPM-APG600H

# 設計

- ルーターは分けたくない
- タグVlanが話せるスイッチを持っている（多分無くても良さそう？）
- リモートワーク用ネットワークは、他のVlanへ一切アクセスできない
- リモートワーク用APは、WAPM-APG600Hを用い、Trunkポートで通信。他のVlanも飛ばせるようにしておく。

## vlan一覧
既存vlanを流用しつつ追加する物は追加する方向で。

|Vlan id | addr | description|
|--- |---             |---|
|1   |192.168.50.0/24 |生活用のVlan|
|101 |10.10.101.0/24  |WAPM-APG600H 管理Vlan|
|110 |10.10.110.0/24  |リモートワーク用Vlan|


## NWポリシ
1. Vlan1 to 110 は疎通しない
2. Vlan110 to 1も疎通しない。
3. Vlan1 to 101は疎通する
4. Vlan101 to 1は疎通しない

このうち、3,4は別用途で用いているVlanを転用しているからで、別にやらなくて良い。WindowsXP等の旧環境保持用に用意してある。

WAPM-APG600Hは、仕様なのかTag Vlanを使用する際は、管理Vlanを1に出来ない。多分やり方があると思うけど、ちょっとしばらく放置。

# 接続
最終的には、こうなる
RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H

# Vlanの作成

```
vlan lan1/1 802.1q vid=101 name=VLAN101
ip lan1/1 address 10.10.101.1/24
ip lan1/1 secure filter in 4000 4001 4003
ip lan1/1 secure filter out 4000 4003 dynamic 200 210

vlan lan1/5 802.1q vid=110 name=VLAN110
ip lan1/5 address 10.10.110.1/24
ip lan1/5 secure filter in 5000 5001 dynamic 301
ip lan1/5 secure filter out 3000 dynamic 100 101 102 103 104 105 106 301
```

# フィルタ

```
# vlan1 -> vlan101だけ許可。ただしicmpは例外とする。
# WAPM-APG600Hの管理だけなので、やらなくていい
ip filter 4000 pass * * icmp
ip filter 4001 reject 10.10.101.0/24 192.168.50.0/24
ip filter 4002 pass 192.168.50.0/24 10.10.101.0/24
ip filter 4003 pass * *

# vlan110が他のvlanへアクセスできないようにしておく
ip filter 5000 reject * 192.168.50.0/24
ip filter 5001 reject * 10.10.101.0/24

# dynamic filter
ip filter dynamic 100 * * ftp
ip filter dynamic 101 * * www
ip filter dynamic 102 * * domain
ip filter dynamic 103 * * smtp
ip filter dynamic 104 * * pop3
ip filter dynamic 105 * * tcp
ip filter dynamic 106 * * udp
ip filter dynamic 200 192.168.50.0/24 10.10.101.0/24 tcp
ip filter dynamic 210 192.168.50.0/24 10.10.101.0/24 udp
ip filter dynamic 301 * * filter 5101

```

# DHCP
```
dhcp scope 101 10.10.101.50-10.10.101.191/24
dhcp scope 110 10.10.110.50-10.10.110.191/24
```

# WAPM-APG600Hの設定
WAPM-APG600Hは、管理Vlan1の時、タグVlanを上手く扱えないようだ。設定事例集にはあるのに。管理Vlanを1以外にしておけば、タグVlanも正常に扱えそうだ。つまり、シスコスイッチのTrunkポートに接続する場合、APから飛ばすVlanと別に管理Vlanを立てておく必要がある。困った奴め。（設定方法がまずいだけなのかも...）

まず、Cisco 2960Gに、

- vlan 1のポート（ただのswitchport mode access）
- Truinkポート （switch port mode trunk)

を設定しておく。WAPM-APG600Hはまず、vlan1へ繋げておく。

```
RTX1200 -(trunk)-> Cisco 2960G -(vlan1)-> WAPM-APG600H
```

advanced ip scannder等を用いて、ipスキャン。見つかったIPアドレスにアクセス。

下図のように、VLANモードをTagged,管理VLANを101に変更。

![コメント 2020-03-18 232322.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/134622/24b5293d-830e-7311-e162-695f86002142.png)

接続先をTrunkポートに設定する。

```
RTX1200 -(trunk)-> Cisco 2960G -(trunk)-> WAPM-APG600H
```

Vlan101に所属している他マシンからipスキャン。
見つかったアドレスにアクセスし、無線設定を変更。

下図のようにUntagged VlanIDを110へ変更

![コメント 2020-03-18 232350.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/134622/f5aa4e82-4528-5d9c-b67c-498a4f94b544.png)

# 結果とポイント
- 設定したSSIDにアクセスすると、隔離用のVlanに接続されるはず！
- WAPM-APG600Hのためだけに管理Vlanが必要。
- よいリモートワークを！！