ER605 で (WAN冗長構成とVLAN)でお手軽ホームオフィス環境構築その１

# L2スイッチを購入するほどではないけど。。。
ER605 で (WAN冗長構成とVLAN)でお手軽ホームオフィスを構築してみました。意外とお手軽に構築できたのでそのメモ。

# こんな構成にしたい
今回やりたいことは、以下の３つ。
　① VPNで外からメンテしたい（前回 L2TP の設定方法を説明したので割愛します）
　② WAN側は、NUROと楽天(sim)との物理回線で冗長化したい
　③ 自分と仕事、家族のセグメンは明示的に切り分けしたい
　④ 家族のセグメンは内側DMZにアクセス禁止としたい
※ふつーにL2スイッチ買えば？と思いつつ、遊ぶだけならER605が安くてお勧め。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/d02fc357-1a34-00e9-53b0-d4c9082b628e.png)

# WAN側を冗長化したい
ER605 で WANを冗長化するのは簡単です。単に WAN物理ポートを 追加・再定義するだけです。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/f06f8968-751e-7a08-857b-89259901c57e.png)

で物理WAN側を ２つに設定して。WAN/LAN1 の設定を・・・

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/1eae86c4-58c4-9e2c-0884-7cd8c1743b49.png)

ってすると下記のように、WAN/WAN1で冗長になる。
なんか記事みると片方が障害あると1msで切り替わる？とかなんとかｗｗ

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/4ea07ef0-c42c-9e80-4add-396c9eb3ad6e.png)

ちなみに楽天SIMをHR01で運用する場合は以下を参照
* [【home 5G】HR01で楽天モバイルのSIMを使う方法【Band 3】](https://volx.jp/home-5g-hr01-rakuten-mobile-apn-setting-sim-free)
* [楽天モバイルをバンド３で使う！docomoの『home 5G HR-01』で快適ルーターに！](https://tatsuwo-blog.com/archives/64793)

# VLANの設定
「Network -> LAN」の「LAN」タブを設定します。
下記のように２つの VLAN 定義をします。ここではネットワークの定義とDHCPを定義するのですが name は、混合しやすいので分かりやすいよう付けるのが〇。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/48254ee6-63d0-cae6-eeb8-cfd7988e6817.png)

「Network -> VLAN」の「VLAN」タブを設定します。
上記で指定したネットワークの定義をどのPortに割り当てるかを設定します。
私は、下記としました。ちなみに「VLAN ID：1」は、管理用としています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/b40d719e-0c7b-2b5b-daf7-00bdc16192de.png)

* VLAN ID：1 / Port：3(UNTAG)
* VLAN ID：2 / Port：4(UNTAG),5(UNTAG)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/9c22e790-d944-e8c5-ed38-0afaab6259a5.png)

「Network -> VLAN」の「Ports」タブを設定します。
あとportで、どの定義を使うかを指定する。ここまでくればあと少し！！

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/c819a89f-af20-f673-05b7-1f2783b15bfe.png)

# FireWallの設定
このまま使っていてもいいのだけど、どちらのVLANもメインである 192.168.0.0/24 にアクセスできてしまうので、片方のLVLAN2のみ Block します。若干どう定義するのか？と思いますが「アドレス範囲名前付け→そのアドレスをグループ化名前付け→ACLで指定する」っていう流れです。

「Prefernces -> IP Group」の「IP Adress」タブを設定します。
FireWallで対象としたいアドレス範囲を名前付けします。ここでは、VLAN２つと元々のDMZ側の３つを定義します。

* HOME_RANGE：192.168.0.0/24
* ip001：192.168.1.0/24
* ip200：192.168.200.0/24

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/f2fba1ee-3f85-5797-9f1a-100f0c8d9a5a.png)


「Prefernces -> IP Group」の「IP GRoup」タブを設定します。

* HOME_RANGE：HOME_RANGE（上記で定義したアドレス範囲）
* ip001G：ip001
* ip200G：ip002

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/b0e5bbd4-6617-04b2-67aa-999a4e37e930.png)

「Firewall -> Access Control」の「Access Control」タブを設定します。
HOME_RANGEに対してVLAN2の通信を全てBlock（禁止）します。

* policy：Block
* Service Type：ALL　※すべての通信を対象とします
* Direction：ALL　※「LAN->WAN」としたいがALLでないとダメらしい
* Source：IP200G
* Destination：HOME_RANGE
* Effective Time：Any

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/a60275c2-af76-67a2-eb64-6a864fade042.png)

上記ではすべての通信をBlockするため Service Type：ALL としていますが、特定の通信のみ禁止ということもできます。そのときには、下記のように設定します。

「Preferences -> Service Type」の「Service Type」タブを設定します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/44540/9b4e3feb-bcbe-b9f8-8066-c6c79ca47227.png)

# これで納得な感じになった
なんちゃって自宅インフラ、ちょっと勉強になりました。次こそ「サイト対サイトVPN（IPSec）」やってむる。
ER605 簡単なのはいいんだけど、電源入れてから起動するまで２分ぐらいかかる・・・。
あとせめて 2.5G タイプでないかな～～～。


# 参考にさせて頂いたサイト様

・[自宅インフラを育てる (1) ネットワークまわりの改造](https://seekt.hatenablog.com/entry/2022/08/27/141431)