FIBER GATE
L2TPv3 対応 FiberGate

ユーザーズガイド
FutureNet
FutureNet

XR-410/TX2-L2
XR-410/TX2-L2
v1.6.2 対応版

XR-640/CD-L2
XR-640/CD-L2
v1.6.1 対応版

目次
はじめに .................................................................................. 6
ご使用にあたって .......................................................................... 7
パッケージの内容物の確認 .................................................................. 9
第 1 章 本装置の概要 ...................................................................... 10Ⅰ．本装置の特長 ....................................................................... 11
Ⅱ．各部の名称と機能 （XR‑410L2）....................................................... 12
Ⅲ．各部の名称と機能 （XR‑640L2）....................................................... 13
Ⅳ．動作環境 ........................................................................... 16
第 2 章 本装置の設置 ...................................................................... 17
Ⅰ．XR‑410L2 の設置 ..................................................................... 18
Ⅱ．XR‑640L2 の設置 ..................................................................... 19
第 3 章 コンピュータのネットワーク設定 .................................................... 20
Ⅰ．Windows XP のネットワーク設定 ....................................................... 21
Ⅱ．Windows Vista のネットワーク設定 .................................................... 22
Ⅲ．Macintosh のネットワーク設定 ........................................................ 23
Ⅳ．IP アドレスの確認と再取得 ........................................................... 24
第 4 章 設定画面へのログイン .............................................................. 25
設定画面へのログイン方法 ............................................................... 26
第 5 章 インターフェース設定 .............................................................. 27
Ⅰ．Ethernet ポートの設定 ............................................................... 28
Ⅱ．Ethernet ポートの設定について ....................................................... 30
Ⅲ．VLAN タギングの設定 ................................................................. 31
Ⅳ．その他の設定 ....................................................................... 32
第 6 章 PPPoE 設定 ......................................................................... 35
Ⅰ．PPPoE の接続先設定 .................................................................. 36
Ⅱ．PPPoE の接続設定と回線の接続 / 切断 .................................................. 38
Ⅲ．副回線の設定 ....................................................................... 39
Ⅳ．バックアップ回線の設定 ............................................................. 40
Ⅴ．PPPoE 特殊オプション設定 ............................................................ 42
第 7 章 ダイヤルアップ接続 ................................................................ 43
Ⅰ．本装置とアナログモデム /TA の接続 ................................................... 44
Ⅱ．BRI ポートを使った TA/DSU との接続(XR‑640L2 のみ) ..................................... 45
Ⅲ．ダイヤルアップ回線の接続先設定 ..................................................... 46
Ⅳ．ダイヤルアップ回線の接続と切断 ..................................................... 48
Ⅴ．回線への自動発信の防止について ..................................................... 49
Ⅵ．副回線接続とバックアップ回線接続 ................................................... 50
第 8 章 複数アカウント同時接続設定 ........................................................ 51
複数アカウント同時接続の設定 ........................................................... 52
第 9 章 各種サービスの設定 ................................................................ 57
各種サービス設定 ....................................................................... 58
第 10 章 DNS リレー / キャッシュ機能 ........................................................ 59
DNS 機能の設定 .......................................................................... 60
第 11 章 IPsec 機能 ........................................................................ 61
Ⅰ．本装置の IPsec 機能について ......................................................... 62
Ⅱ．IPsec 設定の流れ .................................................................... 63
Ⅲ．IPsec 設定 .......................................................................... 64
Ⅳ．IPSec Keep‑Alive 設定 ............................................................... 72
Ⅴ．
「X.509 デジタル証明書」を用いた電子認証 ............................................. 74

Ⅵ．IPsec 通信時のパケットフィルタ設定 .................................................. 76
Ⅶ．IPsec 設定例 1 (センター／拠点間の 1 対 1 接続) ....................................... 77
Ⅷ．IPsec 設定例 2 (センター／拠点間の 2 対 1 接続) ....................................... 81
Ⅸ．IPsec がつながらないとき ............................................................ 88
第 12 章 ダイナミックルーティング ......................................................... 91
Ⅰ．ダイナミックルーティング機能 ....................................................... 92
Ⅱ．RIP の設定 .......................................................................... 93
Ⅲ．OSPF の設定 ......................................................................... 95
Ⅳ．DVMRP の設定（XR‑640L2 のみ）....................................................... 102
第 13 章 L2TPv3 機能 ...................................................................... 104
Ⅰ．L2TPv3 機能概要 ................................................................... 105
Ⅱ．L2TPv3 機能設定 ................................................................... 106
Ⅲ．L2TPv3 Tunnel 設定 ................................................................. 108
Ⅳ．L2TPv3 Xconnect(クロスコネクト)設定 .............................................. 110
Ⅴ．L2TPv3 Group 設定 ................................................................. 112
Ⅵ．Layer2 Redundancy 設定 ............................................................. 113
Ⅶ．L2TPv3 Filter 設定 ................................................................. 115
Ⅷ．起動 / 停止設定 .................................................................... 116
Ⅸ．L2TPv3 ステータス表示 ............................................................ 118
Ⅹ．制御メッセージ一覧 ................................................................ 119
ⅩⅠ．L2TPv3 設定例 1(2 拠点間の L2TP トンネル) ......................................... 120
ⅩⅡ．L2TPv3 設定例 2 (L2TP トンネル二重化) ........................................... 124
第 14 章 L2TPv3 フィルタ機能 .............................................................. 132
Ⅰ．L2TPv3 フィルタ 機能概要 ........................................................... 133
Ⅱ．設定順序について .................................................................. 136
Ⅲ．機能設定 .......................................................................... 137
Ⅳ．L2TPv3 Filter 設定 ................................................................. 138
Ⅴ．Root Filter 設定 ................................................................... 139
Ⅵ．Layer2 ACL 設定 .................................................................... 141
Ⅶ．IPv4 Extend ACL 設定 ............................................................... 143
Ⅷ．ARP Extend ACL 設定 ................................................................ 145
Ⅸ．802.1Q Extend ACL 設定 ............................................................. 146
Ⅹ．802.3 Extend ACL 設定 .............................................................. 148
ⅩⅠ．情報表示 ........................................................................ 149
第 15 章 SYSLOG 機能 ...................................................................... 151
syslog 機能の設定 ...................................................................... 152
第 16 章 SNMP エージェント機能 ............................................................ 153
Ⅰ．SNMP エージェント機能の設定 ........................................................ 154
Ⅱ．Century Systems プライベート MIB について（XR‑640L2 のみ）........................... 156
第 17 章 NTP サービス ..................................................................... 157
NTP サービスの設定方法 ................................................................. 158
第 18 章 アクセスサーバ機能 .............................................................. 160
Ⅰ．アクセスサーバ機能について ........................................................ 161
Ⅱ．本装置とアナログモデム /TA の接続 .................................................. 162
Ⅲ．BRI ポートを使った TA/DSU との接続（XR‑640L2 のみ）................................... 163
Ⅳ．アクセスサーバ機能の設定 .......................................................... 164
第 19 章 スタティックルート設定 .......................................................... 168
スタティックルート設定 ................................................................ 169

第 20 章 ソースルート設定 ................................................................ 171
ソースルーﾄ設定 ....................................................................... 172
第 21 章 NAT 機能 ......................................................................... 174
Ⅰ．本装置の NAT 機能について .......................................................... 175
Ⅱ．バーチャルサーバ設定 .............................................................. 176
Ⅲ．送信元 NAT 設定 .................................................................... 177
Ⅳ．バーチャルサーバの設定例 .......................................................... 178
Ⅴ．送信元 NAT の設定例 ................................................................ 181
補足：ポート番号について .............................................................. 182
第 22 章 パケットフィルタリング機能 ...................................................... 183
Ⅰ．パケットフィルタリング機能の概要 .................................................. 184
Ⅱ．本装置のフィルタリング機能について ................................................ 185
Ⅲ．パケットフィルタリングの設定 ...................................................... 186
Ⅳ．パケットフィルタリングの設定例 .................................................... 188
Ⅴ．外部から設定画面にアクセスさせる設定 .............................................. 194
補足：NAT とフィルタの処理順序について ................................................. 195
補足：ポート番号について .............................................................. 196
補足：フィルタのログ出力内容について .................................................. 197
第 23 章 スケジュール設定のみ）.................................................
スケジュール設定（................................................. 198（XR‑640L2 のみ）
スケジュール機能の設定方法 ............................................................ 199
第 24 章 ネットワークイベント機能 ........................................................ 201
Ⅰ．機能の概要 ........................................................................ 202
Ⅱ．各トリガーテーブルの設定 .......................................................... 204
Ⅲ．実行イベントテーブルの設定 ........................................................ 206
Ⅳ．実行イベントのオプション設定 ...................................................... 207
Ⅴ．ステータスの表示 .................................................................. 208
第 25 章 仮想インターフェース機能 ........................................................ 209
仮想インターフェース機能の設定 ........................................................ 210
第 26 章 GRE 設定 ......................................................................... 211
GRE の設定 ............................................................................. 212
第 27 章 QoS 機能 ......................................................................... 214
Ⅰ．QoS について ....................................................................... 215
Ⅱ．QoS 機能の各設定画面について ....................................................... 219
Ⅲ．各キューイング方式の設定手順について .............................................. 220
Ⅳ．各設定画面での設定方法について .................................................... 221
Ⅴ．ステータスの表示 .................................................................. 228
Ⅵ．設定の編集・削除方法 .............................................................. 229
Ⅶ．ステータス情報の表示例 ............................................................ 230
Ⅷ．クラスの階層構造について .......................................................... 234
Ⅸ．TOS について ....................................................................... 235
Ⅹ．DSCP について ...................................................................... 237
第 28 章 ゲートウェイ認証機能 ............................................................ 238
Ⅰ．ゲートウェイ認証機能の設定 ........................................................ 239
Ⅱ．ゲートウェイ認証下のアクセス方法 .................................................. 244
Ⅲ．ゲートウェイ認証の制御方法について ................................................ 245
第 29 章 ネットワークテスト .............................................................. 246
ネットワークテスト .................................................................... 247
第 30 章 システム設定 .................................................................... 251
システム設定 .......................................................................... 252

◆時計の設定 ....................................................................... 252◆ログの表示 ....................................................................... 253◆ログの削除 ....................................................................... 253◆パスワードの設定 ................................................................. 254◆ファームウェアのアップデート ..................................................... 255◆設定の保存と復帰 ................................................................. 256◆設定のリセット ................................................................... 257◆再起動 ........................................................................... 257◆セッションライフタイムの設定 ..................................................... 258◆設定画面の設定 ................................................................... 259◆ ISDN 設定（※ XR‑640L2 のみ）...................................................... 259◆オプション CF カード（※ XR‑640L2 のみ）............................................ 260◆ CLI 設定(※ XR‑640L2 のみ) ........................................................ 261◆ ARP filter 設定 .................................................................. 261
第 31 章 簡易 CLI 機能機能（のみ）.....................................................
（XR‑640L2 のみ）..................................................... 262
Ⅰ．簡易 CLI 機能の概要 ................................................................ 263
Ⅱ．簡易 CLI 機能のアクセス設定 ........................................................ 264
第 32 章 情報表示 ........................................................................ 268
本体情報の表示 ........................................................................ 269（XR‑640L2 のみ）..................................................... 270
第 33 章 詳細情報表示
詳細情報表示（のみ）.....................................................
各種情報の表示 ........................................................................ 271
第 34 章 テクニカルサポート .............................................................. 272
テクニカルサポート .................................................................... 273
第 35 章 運用管理設定 .................................................................... 274
INIT ボタンの操作 ...................................................................... 275
付録 A インタフェース名一覧 ............................................................. 277
付録 B 工場出荷設定一覧 ................................................................. 280
付録 C サポートについて ................................................................. 282

はじめに

◆ご注意
1 本装置の故障、誤動作、不具合、あるいは停電などの外部要因によって、通信の機会を逸したために生じた損害などの純粋経済損失につきましては、当社はいっさいその責任を負いかねま
すのであらかじめご了承ください。

2 通信情報が漏洩した事による経済的、精神的損害につきましては、当社はいっさいその責任を負いかねますのであらかじめご了承ください。
3 本書の内容の一部または全部を無断で転載、複写することを禁じます。
4 本書およびソフトウェア、ハードウェア、外観の内容について、将来予告なしに変更することがあります。
5 本書の内容については万全を期しておりますが、万一ご不審な点や誤り、記載漏れなどお気づきの点がありましたらご連絡ください。

◆商標の表示□「FIBER GATE」はセンチュリー・システムズ株式会社の登録商標です。
□「FutureNet」はセンチュリー・システムズ株式会社の商標です。
□下記製品名等は米国 Microsoft Corporation の登録商標です。
Microsoft、Windows、Windows XP、Windows Vista□下記製品名等は米国 Apple Inc. の登録商標です。
Macintosh、Mac OS X
その他、本書で使用する各会社名、製品名は各社の商標または登録商標です。

6

ご使用にあたって安全にお使いいただくためにこのたびは、FutureNet シリーズ（以下「本製品」）をお買い上げ頂き、誠にありがとうございます。
ここでは、お使いになる方および周囲の人への危害や財産への損害を未然に防ぎ、本製品を安全に正しくお使い頂くための注意事項を記載していますので、必ずお読み頂き、記載事項をお守り下さい。
また、お読みになった後は、大切に保管して下さい。

絵表示の意味この表示を無視して、誤った取り扱いをすると、人が死亡または重傷を負う
危険が想定される内容

この表示を無視して、誤った取り扱いをすると、人が障害を負う可能性及び物的損害の発生が想定される内容◆ FutureNet シリーズ共通
万一、発煙・異常な発熱・異臭・異音等の異常が出た場合は、すぐに、本製品に接続する外部電源装置の電源を切り、使用を中止して下さい。
そのままご使用されると、火災・感電の原因になります。
本製品内部へ異物（金属片・水・液体）を入れないで下さい。
本製品を以下の様な場所で使用したり、放置しな
いで下さい。
・直射日光の当たる場所、高温になる場所
・湿気の多い場所やほこりの多い場所、振動・衝撃の加わる場所
・温度変化の激しい場所、強い電波・磁界・静電
気・ノイズが発生する場所
本製品および電源コード・接続ケーブルは、小さなお子さまの手の届かない場所に設置して下さい。
本製品の仕様で定められた使用温度範囲外では使用しないで下さい。
通気孔のある製品は、本体を重ねたり、物を置いたり、立て掛けたりして通気孔を塞がないで下さい。
本製品を濡らしたり、水がかかる恐れのある場所
で使用しないで下さい。
また、結露する様な場所で使用しないで下さい。
結露してしまった場合、十分に乾燥させてからご使用下さい。
本製品は日本国内仕様です。
国外で使用された場合、弊社は責任を一切負いかねます。

7

本製品の取付け・取外しは、必ず本体と外部電源装置の両方の電源を切ってから行なって下さい。
また、使用中は濡れた手で本製品に触れないで下さい。
本製品の分解、改造は絶対にしないで下さい。
分解したり、改造した場合、保証期間であっても有料修理となる場合がありますので、修理は弊社
サポートデスクにご依頼下さい。
また、法令に基づく承認を受けて製造されている製品を、電気的・機械的特性を変更して使用する
事は、関係法令により固く禁じられています。
近くに雷が発生した時は、本製品の電源をコンセ
ントなどから抜いて、ご使用をお控え下さい。
また、落雷による感電を防ぐため、本製品やケーブルに触れないで下さい。
本製品の接続ケーブルの上に重量物を載せないで下さい。
また、熱器具のそばに配線をしないで下さい。
本製品の電源コードは、付属の物をご使用下さい。
また、以下の点に注意してお取扱い下さい。
・物を載せたり、熱器具のそばで使用しないで下さい。
・引張ったり、ねじったり、折り曲げたりしな
いで下さい。
・押し付けたり、加工をしたりしないで下さい。
本製品の電源コードをコンセント等から抜く時は、必ずプラグ部分を持って抜いて頂き、直接コードを引張らないで下さい。

ご使用にあたって本製品の電源コードが傷ついたり、コンセント等の差込みがゆるい時は使用しないで下さい。
本製品に電源コードが付属されている場合は、必ず付属の物をご使用下さい。
また、付属されている電源コードは、本製品の専用品です。他の製品などには絶対に使用しないで下さい。
本製品の仕様で定められた電源以外には、絶対に接続しないで下さい。
（例：AC100V ± 10V(50/60Hz), DC 電源など）
電源プラグは、絶対に濡れた手で触れないで下さい。
また、電源プラグにドライバーなどの金属が触れない様にして下さい。
電源プラグは、コンセントの奥まで確実に差し込んで下さい。
また、分岐ソケットなどを使用したタコ足配線にならない様にして下さい。
電源プラグの金属部分およびその周辺にほこり等の付着物がある場合には、乾いた布でよく拭き取ってからご使用下さい。
（時々、電極間にほこりやゴミがたまっていないか
ご点検下さい）ご使用の際は取扱説明書に従い、正しくお取り扱い下さい。
万一の異常発生時に、すぐに、本製品の電源および外部電源装置の電源を切れる様に本製品周辺には、物を置かないで下さい。
人の通行の妨げになる場所には設置しないで下さい。
ぐらついた台の上や、傾いたところなど不安定な場所に設置しないで下さい。
また、屋外には設置しないで下さい。
本製品への接続は、コネクタ等の接続部にほこりやゴミなどの付着物が無い事を確認してから行なって下さい。
本製品のコネクタの接点などに、素手で触れないで下さい。
取扱説明書と異なる接続をしないで下さい。
また、本製品への接続を間違えない様に十分注意
して下さい。
本製品にディップスイッチがある場合、ディップス
イッチの操作は本製品の電源および外部電源装置の電源を切った状態で行なって下さい。
また、先端の鋭利なもので操作したり、必要以上の力を加えないで下さい。

8

本製品に重い物を載せたり、乗ったり、挟んだ
り、無理な荷重をかけないで下さい。
本製品をベンジン、シンナー、アルコールなどの引火性溶剤で拭かないで下さい。
お手入れは、乾いた柔らかい布で乾拭きし、汚れのひどい時には水で薄めた中性洗剤を布に少し含ませて汚れを拭取り、乾いた柔らかい布で乾拭きして下さい。
接続ケーブルは足などに引っかからない様に配線して下さい。
本製品を保管する際は、本製品の仕様で定められた保存温度・湿度の範囲をお守り下さい。
また、ほこりや振動の多いところには保管しないで下さい。
本製品を廃棄する時は、廃棄場所の地方自治体の条例・規則に従って下さい。
条例の内容については各地方自治体にお問合せ下さい。

◆ AC アダプタを付属する製品の場合
本製品に付属の AC アダプタは AC100V 専用です。
AC100V 以外の電圧で使用しないで下さい。
AC アダプタは本製品に付属されたものをご使用下さい。
また、付属された AC アダプタは、本製品以外の機器で使用しないで下さい。
感電の原因になるため、AC アダプタは濡れた手で触れないで下さい。
また、AC アダプタを濡らしたり、湿度の高い場
所、水のかかる恐れのある場所では使用しないで下さい。
A C アダプタの抜き差しは、必ずプラグ部分を持って行なって下さい。
また、AC アダプタの金属部分およびその周辺にほこり等の付着物がある場合には、乾いた布でよく拭き取ってからご使用下さい。
（時々、電極間にほこりやゴミがたまっていないかご点検下
さい）AC アダプタを保温・保湿性の高いもの（じゅうたん・カーペット・スポンジ・緩衝材・段ボール箱・発泡スチロール等）の上で使用したり、中に包んだりしないで下さい。

パッケージの内容物の確認

本製品のパッケージには以下のものが同梱されております。
本製品をお使いいただく前に、内容物がすべて揃っているかご確認ください。
万が一、不足がありましたら、お買いあげいただいた店舗または弊社サポートデスクまで
ご連絡ください。

＜ XR‑410/TX2‑L2 をお買い上げの方＞
XR‑410/TX2‑L2 本体

１台

はじめにお読みください

１部

安全にお使いいただくために

１部

L A N ケーブル（ストレート、1 m ）１本RJ‑45/D‑sub9ピン変換アダプタ（ストレート)

１個

A C アダプタ

１個

海外使用禁止シート

１部

保 証書

１部

＜ XR‑640/CD‑L2 をお買い上げの方＞
XR‑640/CD‑L2

本体

１台

はじめにお読みください

１部

安全にお使いいただくために

１部

LANケーブル(1m、ストレート）

１本

電源コード

１本

海外使用禁止シート

１部

保証書

１部

9

第1章
本装置の概要

第 1 章 本装置の概要

Ⅰ．本装置の特長

XR‑410/TX2‑L2 と XR‑640/CD‑L2(以下 本装置または XR‑410L2
XR‑410L2、
XR‑640L2)には、には、以下の特徴があります。
、XR‑640L2)には、以下の特徴があります。
◆ L2TPv3 機能を搭載
本製品は次世代ネットワークのトンネリングおよび、
VPNにおける主要技術になりつつあるL2TPv3機能を搭載しています。

◆ IPsec 機能を搭載
本製品の IPsec 機能を使うことで、インターネット
上で複数の拠点をつなぐ I P 仮想専用線( インターネット VPN)の構築に利用できます。

L2TPv3 機能は、IP ネットワーク上のルータ間でまた、L2TPv3 と IPsec を組み合わせて使うことで、
L2TP トンネルを構築します。
セキュアな L2 トンネリング通信を実現できるようこれにより本製品が仮想的なブリッジとなり、遠隔 になります。
のネットワーク間でレイヤ2通信が可能となります。
◆障害時のバックアップ回線接続機能
Ping や OSPF によるインターネット VPN のエンド〜
エンドの監視を実現し、ネットワークの障害時にISDN 回線や予備のブロードバンド回線を用いてバックアップ接続する機能を搭載しています。

レイヤ 2 でトンネリングするため、2 つのネット
ワークは HUB で繋がった１つの Ethernet ネット
ワークとして使うことができます。
また、上位プロトコルに依存せずにネットワーク
通信ができ、TCP/IP だけでなく、任意の上位プロ
トコル(IPX、AppleTalk、SNA 等)を透過的に転送することができます。

◆ルーティング機能
RIP v1/v2、OSPF を用いたダイナミックルーティングが可能です。
スタティックルートも設定できます。

また、L2TPv3 機能は、従来の専用線やフレームリ
レー網ではなく IP 網で利用できますので、低コストな運用が可能です。

◆ 802.1q VLAN に対応
本製品の各 Ethernet ポートで VLAN ID が最大 64 個までの 802.1q マルチプル VLAN を構築できます。
インタフェース毎に複数の VLAN セグメントを設定
し、LAN 内でのセキュリティを強化することができます。
その他、以下のような各機能を搭載しています。
◆ PPPoE に対応したブロードバンド接続が利用可◆ DHCP クライアント機能◆ NAT/IP マスカレード機能を搭載◆パケットフィルタリング機能◆ DNS リレー機能

L2TPv3 機能につきましては、「第 13 章 L2TPv3 機能」 ◆ GRE トンネリング機能
をご参照ください。
◆ QoS 機能
◆ゲートウェイ認証機能◆ ISDN BRI 接続機能 （XR‑640L2 のみ）◆各種システムログの記録

11

第 1 章 本装置の概要

Ⅱ．各部の名称と機能 （XR‑410L2）
XR‑410L2）
◆製品背面

◆製品前面

★

① 7 セグメント LED
本装置の状態を以下のように表示します。
起動中★印を上に見て、「2 → 3 → 4 → 5 → 6 → 7」の順に表示されます。

① 電源コネクタ
製品付属の AC アダプタを接続します。
② Ether0 ポート
主に LAN との接続に使用します。
イーサネット規格の UTP 100BASE‑TX ケーブルを接続します。
ポートは Auto‑MDIX 対応です。

各インタフェースのリンク状態
起動後の各状態について説明します。
システムが動作している状態。
右上にある「「・」が点滅します。
右上にある③ Ether1 ポート
Ether0
ポートがLinkup
している状態。 WAN 側ポートとして、また、Ether0 ポートとは別
Ether0ポートがポートがLinkup
Linkupしている状態。
セグメントを接続するポートとして使います。
Ether1
ポートがLinkup
している状態。
Ether1ポートがポートがLinkup
Linkupしている状態。 イーサネット規格の UTP 100BASE‑TX ケーブルを接続します。
RS‑232
ポートがLinkup
している状態。 ポートは Auto‑MDIX 対応です。
RS‑232ポートがポートがLinkup
Linkupしている状態。
ケーブルを接続して 動作している状
態の表示例。
ファームウェアのアップデート中
インタフェースのリンク状態に関係なく表示されます。
その後の再起動時には、起動中を示す「2 → 3 → 4→ 5 → 6 → 7」が順に表示されます。
「2 」「6」「8」等の数字を表示したまま止まっているときは、システム故障により本装置が正常に起動できない状態となっています。
弊社にてシステムの復旧が必要となりますので、この状態になったときは弊社までご連絡ください。

12④ RS‑232 ポート
リモートアクセスやアクセスサーバー機能を使用するときにモデムを接続します。
ストレートタイプの LAN ケーブルと製品添付の変換アダプタを用いてモデムと接続してください。
⑤ INIT ボタン
本装置を工場出荷時の設定に戻して起動するときに使用します。
操作方法については「第 35 章 運用管理設定」をご覧ください。

XR‑410L2 には Ether2 ポートはありません。
文中の Ether2 の記述は XR‑640L2 のものです。

第 1 章 本装置の概要

Ⅲ．各部の名称と機能 （XR‑640L2）
XR‑640L2）◆製品前面① CF カードスロット
オプションで用意されている CF カードを挿入します。
② RELEASE ボタン
CF カードを取り外すときに押します。
RELEASE ボタンを数秒押し続けると、③の「SLOT CF
LED」が消灯します。
この状態になったら、CFカードを安全に取り外せま⑤ BRI） / L1 LED（緑））
B1 LED（緑）） / B2 LED
（緑）
LED（
LED（
LED（
左側「B1 LED」
「B2 LED」(緑)
BRI ポートを使って回線接続しているとき：回線接続していないとき：
右側「L1 LED」(緑)BRI U 点ポート・BRI S/T 点ポートがリンクアップしているとき：す。
③ SLOT CF LED
（緑）
）
LED（
CF カードの状態を表示します。
挿入後、使用可能状態になるまで：
動作中：
未挿入：
②の操作をおこなった場合：④ ETHER 0,ETHER 1,ETHER 2/HUB
100M LED（緑）） / LINK ACT LED
（緑）
）
LED（
LED（
各 Ethernet ポートの状態を表示します。
上段「100M LED」(緑)10BASE‑T で接続した場合 ：100BASE‑TX で接続した場合：
下段「LINK ACT LED」
（緑）
LAN ケーブルが正常に接続：
データ通信時：(点滅)⑥ STATUS 1 LED（赤）） / STATUS 1 LED
（緑）
）
LED（
LED（
上段「STATUS 1 LED」
（赤）
本装置の全てのサービスが動作開始状態：
ファームウェアのアップデート作業中 ：(点滅)
下段「STATUS 2 LED」
（緑）
PPP/PPPoE 主回線で接続しているとき ：PPP/PPPoE 主回線で接続していないとき：
ファームウェアのアップデートに失敗した場合など、本装置が正常に起動できない状態になったとき「STATUS 1 LED」：
(点滅)
「STATUS 2 LED」：
(点滅)
⑦ POWER LED
（緑）
）
LED（
本装置に電源が投入されているとき：13

第 1 章 本装置の概要

Ⅲ．各部の名称と機能 （XR‑640L2）
XR‑640L2）◆製品背面① AC100V INPUT（電 源ケ ーブ ル差 込口 ）INPUT（⑥ ETHER0 ポート
製品付属の電源ケーブルを接続するコネクターです。 主に DMZ ポートとして、また、Ether1、Ether2
ケーブルは必ず付属のものをご使用ください。
ポートとは別セグメントを接続するポートとして使います。
イーサネット規格の LAN ケーブルを接続します。
② POWER スイッチ
電源をオン / オフするためのスイッチです。
ポートは Auto‑MDIX 対応です。
③ RS‑232 ポート
リモートアクセスやアクセスサーバ機能を使用するときにモデムを接続します。
接続には別途シリアルケーブルをご用意ください。

⑦ ETHER1 ポート
主に WAN 側ポートとして、また、Ether0、Ether2
ポートとは別セグメントを接続するポートとして使います。
イーサネット規格の LAN ケーブルを接続します。
ポートは Auto‑MDIX 対応です。

④ INIT ボタン
本装置を工場出荷時の設定に戻して起動するとき、およびオプション CF カードの設定から起動するときに使用します。
操作方法については「第 35 章 運用管理設定」をご覧ください。
⑤ LINK ACT LED（緑）） / 100M LED
（橙）
）
LED（
LED（
Ethernet ポートの状態を表示します。
本装置のすべての Ehternet ポートに実装されています。
左側「LINK ACT LED」
（緑）
LAN ケーブルが正常に接続されているとき：
データ通信時：右側「100M LED」(橙)10BASE‑T で接続した場合 ：100BASE‑TX で接続した場合：⑧ ETHER2 ポート
４ポートのスイッチング HUB です。
主に LAN との接続に使用します。
イーサネット規格の LAN ケーブルを接続します。
ポートは Auto‑MDIX 対応です。
⑨ B1 LED（緑）） / B2 LED（緑）） / L1 LED
（緑）
）
LED（
LED（
LED（
BRI 接続の状態を表示します。
「B1 LED」「B2 LED」(緑)
B チャネルで通信時 ：MP 接続時は両方とも：「L1 LED」(緑)
本装置の BRI ポートと回線・機器が正常に接続されているとき：

14

第 1 章 本装置の概要

Ⅲ．各部の名称と機能 （XR‑640L2）
XR‑640L2）⑩ BRI S/T TERMINAL ポート
外部 ISDN 端末機器を接続する際に ISDN ケーブルを用いて、このポートと他の ISDN 機器の BRI S/T 点
ポートを接続します。

⑭ POL. スイッチBRI U 点で ISDN 接続する場合の、回線の極性を切り替えます。
極性がリバースの場合は「REV.」(ボタンを押した状
態)に、ノーマルの場合は「NOR.」(ボタンを押していない状態)にしてください。

⑪ TERM. スイッチ
「ISDN S/T」点ポート接続時の終端抵抗の ON/OFF を切替えます。
BRI S/T 点ポートを使って他の ISDN 機器の DSU 機器を接続している場合は、本装置を含めていずれか
1 つの機器の終端抵抗を ON にしてください。

⑮ BRI U LINE ポート
本装置の内蔵 DSU を使用して ISDN 接続するときは、回線をこのポートに接続します。
また回線の極性に合わせて「POL. スイッチ」を切り替えてください。

⑫ BRI S/T LINE ポート
本装置のDSU機能を使わずに外部のDSUを使う場合、
ISDN ケーブルでこのポートと外部 DSU の BRI S/T 点
ポートを接続します。
⑬ DSU スイッチ
本装置の内蔵 DSU を使用する際は「ON」(ボタンを押した状態)に、外部 DSU を使用する際は「OFF」(ボタ
ンを押していない状態)にしてください。

本装置の内蔵 DSU を使用して ISDN 接続する場合は、本装置の「BRI S/T LINE」ポートは使用しません。

15

第 1 章 本装置の概要

Ⅳ．動作環境

本製品をお使いいただくには、以下の環境を満たしている必要があります。
◆ハードウェア環境・本製品に接続するコンピュータの全てに、10BASE‑T または 100BASE‑TX の LAN ボード / カードがインストールされていること。
・ADSL モデムまたは CATV モデムに、10BASE‑T または 100BASE‑TX のインタフェースが搭載されていること。
・本製品と全てのコンピュータを接続するためのハブやスイッチングハブが用意されていること。
・本製品と全てのコンピュータを接続するために必要な種類のネットワークケーブルが用意されていること。
・シリアルポートを使う場合は、接続に必要なシリアルケーブルが用意されていること。

◆ソフトウェア環境
・TCP/IP を利用できる OS がインストールされていること。
・接続されている全てのコンピュータの中で少なくとも 1 台に、InternetExplorer5.0 以降か
NetscapeNavigator6.0 以降がインストールされていること。

なおサポートにつきましては、本製品固有の設定項目と本製品の設定に関係する OS 上の設定に限らせていただきます。
OS 上の一般的な設定やパソコンにインストールされた LAN ボード / カードの設定、各種アプリケー
ションの固有の設定等のお問い合わせについてはサポート対象外とさせていただきますので、あらかじめご了承ください。

16

第2章
本装置の設置

第 2 章 本装置の設置

Ⅰ．XR‑410L2 の設置

XR‑410L2 と xDSL/ ケーブルモデムやコンピューターは、以下の手順で接続してください。
ケーブルモデムやコンピューターは、以下の手順で接続してください。

1 XR‑410L2 と xDSL/ ケーブルモデムやパソコン・

接続図 < 例 >HUB など、接続する全ての機器の電源が OFF になっていることを確認してください。

2 XR‑410L2 の背面にある Ether 1 ポートと xDSL/
ケーブルモデムや ONU を、LAN ケーブルで接続してください。

3 XR‑410L2 の背面にある Ether 0 ポートと HUB やPC を、LAN ケーブルで接続してください。
本装置の各 Ethernet ポートは Auto‑MDIX 対応です。

4 XR‑410L2 と AC アダプタ、AC アダプタとコンセントを接続してください。

5 全ての接続が完了しましたら、XR‑410L2 と各機器の電源を投入してください。

注意！
本装置は直射日光が当たるところや、温度の高いところには設置しないようにしてください。
内部温度が上がり、動作が不安定になる場合があ
ります。

注意！
AC アダプタのプラグを本体に差し込んだ後に、ACアダプタのケーブルを左右および上下に引っ張らず、緩みがある状態にしてください。
抜き差しもケーブルを引っ張らず、コネクタを持っておこなってください。
また、AC アダプタのケーブルを足などで引っ掛けてプラグ部に異常な力が掛からないように配線にご注意ください。

18

第 2 章 本装置の設置

Ⅱ．XR‑640L2 の設置
XR‑640L2 と xDSL/ ケーブルモデムやコンピュータは、以下の手順で接続してください。
ケーブルモデムやコンピュータは、以下の手順で接続してください。

1 XR‑640L2 と xDSL/ ケーブルモデムやパソコン・ 5 XR‑640L2 と電源ケーブル、電源ケーブルとコ
HUB など、接続する全ての機器の電源が OFF になっていることを確認してください。

ンセントを接続してください。

6 全ての接続が完了しましたら、XR‑640L2 と各
2 XR‑640L2 の背面にある ETHER 1 ポートと xDSL/

機器の電源を投入してください。

ケーブルモデムや ONU を、LAN ケーブルで接続してください。
接続に使うケーブルの種類は、各機器の説明書等をご覧ください。

注意！
本装置は直射日光が当たるところや、温度の高いところには設置しないようにしてください。
内部温度が上がり、動作が不安定になる場合があります。

3 XR‑640L2の設定が工場出荷状態の場合、ETHER 0

注意！

ポートと PC を LAN ケーブルで接続してください。

4 XR‑640L2 背面にある ETHER 2/HUB ポート(1 〜 4のいずれかのポート)と PC を LAN ケーブルで接続してください。
本装置の各 ETHERNET ポートは Auto‑MDIX 対応です。

接続図 < 例 >19

AC 電源ケーブルのプラグを本体に差し込んだ後にA C 電源ケーブルのケーブルを左右および上下に引っ張らず、緩みがある状態にしてください。
抜き差しもケーブルを引っ張らず、コネクタを持っておこなってください。
また、AC 電源ケーブルのケーブルを足などで引っ掛けてプラグ部に異常な力が掛からないように配線にご注意ください。

第3章
コンピュータのネットワーク設定

第 3 章 コンピュータのネットワーク設定

Ⅰ．Windows XP のネットワーク設定
ここでは WindowsXP が搭載されたコンピュータのネットワーク設定について説明します。

1 「コントロールパネル」→「ネットワーク接4 「インターネットプロトコル(TCP/IP)」の画面続」から、「ローカル接続」を開きます。

らプロパティをクリックします。

では、「次の IP アドレスを使う」にチェックを入れて以下のように入力します。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
デフォルトゲートウェイ「192.168.0.254」

3 「ローカルエリア接続のプロパティ」画面が5 最後に OK ボタンをクリックして設定完了です。

開いたら、「インターネットプロトコル(TCP/IP)」
を選択して「プロパティ」ボタンをクリックします。

これで本装置へのログインの準備が整いました。

2「ローカルエリア接続の状態」画面が開いた21

第 3 章 コンピュータのネットワーク設定

Ⅱ．Windows Vista のネットワーク設定
ここでは Windows Vista が搭載されたコンピュータのネットワーク設定について説明します。

1 「コントロールパネル」→「ネットワークと4 「インターネットプロトコルバージョン 4

共有センター」→「ネットワーク接続の管理」から、「ローカル接続」を開きます。

(TCP/IPv4)」の画面では、「次のIPアドレスを使う」にチェックを入れて以下のように入力します。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
デフォルトゲートウェイ「192.168.0.254」

2 「ローカルエリア接続の状態」画面が開いた
らプロパティをクリックします。

3 「ローカルエリア接続のプロパティ」画面が5 最後に OK ボタンをクリックして設定完了です。

開いたら、「インターネットプロトコルバージョン
4(TCP/IPv4)」を選択して「プロパティ」ボタンをクリックします。

これで本装置へのログインの準備が整いました。

22

第 3 章 コンピュータのネットワーク設定

Ⅲ．Macintosh のネットワーク設定
ここでは Macintosh のネットワーク設定について説明します。

ここでは、Mac OS Xのネットワーク設定について説明します。

1 「アップルメニュー」から「コントロールパ

1 「システム環境設定」から「ネットワーク」

ネル」→「TCP/IP」を開きます。

を開きます。

2 経由先を「Ethernet」、設定方法を「手入力」 2にして、以下のように入力してください。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
ルータアドレス「192.168.0.254」

ネットワーク環境を「自動」、表示を「内蔵Ethernet」、IPv4 の設定を「手入力」にして、以下のように入力してください。
IP アドレス「192.168.0.1」
サブネットマスク「255.255.255.0」
ルーター「192.168.0.254」

3 ウィンドウを閉じて設定を保存します。
その後 Macintosh 本体を再起動してください。
これで本装置へログインする準備が整いました。

3 ウィンドウを閉じて設定の変更を適用します。
これで、本装置へログインする準備が整いました。

23

第 3 章 コンピューターのネットワーク設定

Ⅳ．IP アドレスの確認と再取得◆ Windows XP/Vista の場合◆ Macintosh の場合

1 「スタート」→「プログラム」→「アクセサIP 設定のクリア / 再取得をコマンド等でおこなうことはできませんので、Macintosh 本体を再起動してください。

リ」→「コマンドプロンプト」を開きます。

2 以下のコマンドを入力すると、現在の IP 設定

本装置の IP アドレス・DHCP サーバ設定を変更した
ときは、必ず IP 設定の再取得をするようにしてください。

がウィンドウ内に表示されます。
c:¥>ipconfig
ipconfig /all

3 IP 設定のクリアと再取得をするには以下のコ
マンドを入力してください。
ipconfig /release (IP 設定のクリア)
c:¥>ipconfig
c:¥>ipconfig(IP 設定の再取得)
ipconfig /renew

本装置の IP アドレス・DHCP サーバ設定を変更した
ときは、必ず IP 設定の再取得をするようにしてく
ださい。

24

第4章
設定画面へのログイン

第 4 章 設定画面へのログイン

設定画面へのログイン方法

1 各種ブラウザを開きます。
2 ブラウザから設定画面にアクセスします。
ブラウザのアドレス欄に、以下の IP アドレスとポート番号を入力してください。

4 ダイアログ画面にパスワードを入力します。
工場出荷設定のユーザー名とパスワードはともに「admin」です。
ユーザー名・パスワードを変更している場合は、それにあわせてユーザー名・パスワードを入力します。

「192.168.0.254」は、Ether0 ポートの工場出荷時のアドレスです。
アドレスを変更した場合は、そのアドレスを指定
してください。
設定画面のポート番号 880 は変更することができません。

3 次のような認証ダイアログが表示されます。
（画面は XR‑640L2）

5 ブラウザ設定画面が表示されます。

（画面は XR‑640L2）（画面は XR‑640L2）

26

第5章
インターフェース設定

第 5 章 インターフェース設定

Ⅰ．Ethernet ポートの設定[DHCP サーバから取得]
サーバから取得]
本装置の各Ethernetポートの設定をおこないます。 ○ホスト名○ MAC アドレス
Web 設定画面「インターフェース設定」→
IP アドレスが DHCP で割り当ての場合にチェックし「Ethernet0(または 1、2)の設定」をクリックしてて、必要であればホスト名と MAC アドレスを設定
各インタフェースについて、それぞれ必要な情報します。
を入力します。
の設定」は対応してい※ XR‑640L2 の「Ethernet2 の設定」
は対応していません。

◆各 Ethernet ポートの設定○ IP マスカレード(ip masq)
チェックを入れると、その Ethernet ポートで IP
マスカレードされます。
○ステートフルパケットインスペクション(spi)
チェックを入れると、その Ethernet ポートでス
テートフルパケットインスペクション(SPI)が適用されます。
○ SPI で DROP したパケットの LOG を取得
チェックを入れると、SPI により破棄(DROP)された
パケットの情報を syslog に出力します。
SPI が有効のときだけ設定可能です。
ログの出力内容については、「第 22 章 パケット
フィルタリング機能 補足：フィルタのログ出力
内容について」をご覧ください。

（画面は XR‑410L2 の「Ethernet0 の設定」）
[固定アドレスで使用]
固定アドレスで使用]○ IP アドレス○ネットマスク
IP アドレス固定割り当ての場合にチェックし、IP
アドレスとネットマスクを入力します。
IPアドレスにIP
アドレスに 0 を設定すると、そのインタフェー
スは IP アドレス等が設定されず、ルーティング・アドレス等が設定されず、ルーティング
ルーティング・テーブルに載らなくなります。
OSPFなどで使用していないインタフェースの情報をOSPFなどで使用していないインタフェースの情報を配信したくないときなどに 0 を設定してください。
○ MTU「Path‑MTU‑Black‑HOLE」現象が発生した場合等は、ここの値を変更することで回避できます。
通常は初期設定の1500byteのままでかまいません。

28○ proxy arp
Proxy ARP を使う場合にチェックを入れます。
○ Send Redirects
チェックを入れると、そのインタフェースにおいて ICMP Redirects を送出します。
ICMP Redirects
他に適切な経路があることを通知するICMPパケッ
トのことです。

第 5 章 インターフェース設定

Ⅰ．Ethernet ポートの設定○リンク監視チェックを入れると、Ethernet ポートのリンク状
態の監視を定期的におこないます。
OSPF の使用時にリンクのダウンを検知した場合、そのインタフェースに関連付けられたルーティン
グ情報の配信を停止します。再度リンク状態がアップした場合には、そのインタフェースに関連付けられたルーティング情報の配信を再開します。
監視間隔は 1 〜 30 秒の間で設定できます。
また、0を設定するとリンク監視をおこないません。

入力が終わりましたら「Ethernet の設定の保存」
をクリックして設定完了です。
設定はすぐに反映されます。
本装置のインタフェースのアドレスを変更した後は設定が直ちに反映されます。
設定画面にアクセスしているホストやその他クライアントの IP アドレス等も XR の設定に合わせて変更し、変更後の変更し、変更後の IP アドレスで設定画面に再ログインしてください。

○通信モード
本装置の Ethernet ポートの通信速度・方式を選択します。
デフォルトゲートウェイの設定について
工場出荷設定では「自動」(オートネゴシエーション) 本装置のデフォルトゲートウェイは、Web 設定画面となっていますが、必要に応じて通信速度・方式を 「インターフェース設定」→「その他の設定」画面
選択してください。
で設定をおこないます。
選択モードは「自動」、「full‑100M」、「half‑100M」、 設定方法は、「Ⅳ . その他の設定」をご覧ください。
「full‑10M」、「half‑10M」です。
の設定」は※ XR‑640L2 の「Ethernet2 の設定」
は「自動」設定のみとなります。

29

第 5 章 インターフェース設定

Ⅱ．Ethernet ポートの設定について[IPsec 通信時の Ethernet ポート設定]
ポート設定]
本装置を IPsec ゲートウェイとして使う場合は、
Ethernet ポートの設定に注意してください。

[ステートフルパケットインスペクション]
ステートフルパケットインスペクション]
ステートフルパケットインスペクションは、パケットを監視してパケットフィルタリング項目を随時変更する機能で、動的パケットフィルタリング機能とも言えるものです。
通常は WAN からのアクセスを全て遮断し、WAN 方向
へのパケットに対応するLAN方向へのパケット(WAN
からの戻りパケット)に対してのみポートを開放します。
これにより、自動的に WAN からの不要なアクセスを制御でき、簡単な設定でより高度な安全性を保つことができます。

IPsec 通信をおこなう相手側のネットワークと同じ
ネットワークのアドレスが本装置のEthernetポートに設定されていると、正常に IPsec 通信がおこなえ
ません。
たとえば、
IPsec 通信をおこなう相手側のネット
たとえば、IPsec
ワークが192.168.1.0/24
192.168.1.0/24で、本装置のEther1
ワークが192.168.1.0/24
で、かつ、本装置のEther1
正常が設定されていると、正常ポートに 192.168.1.254 が設定されていると、に IPsec 通信がおこなえません。

ステートフルパケットインスペクション機能を有効にすると、原則としてそのインタフェースへのアクセスは一切不可能となります。
ステートフルパケットインスペクション機能とバー
チャルサーバ機能を同時に使う場合等は、パケット
フィルタリングの設定をおこなって、外部からアクセスできるように設定する必要があります。
(「第 22 章 パケットフィルタリング機能」参照)

このような場合は本装置の Ethernet ポートの IP ア
ドレスを、別のネットワークに属するIPアドレスに設定し直してください。

[PPPoE 接続時の Ethernet ポート設定]
ポート設定]
PPPoE回線に接続するEthernetポートの設定については、実際には使用しない、ダミーのプライベート
IP アドレスを設定しておきます。
本装置が PPPoE で接続する場合には ppp という論理インタフェースを自動的に生成し、この ppp
論理インタフェースを使って PPPoE 接続をおこなうためです。
物理的なEthernetポートとは独立して動作していますので、「DHCP サーバから取得」の設定やグローバ
ル IP アドレスの設定はしません。
PPPoE に接続しているインタフェースでこれらの設定をおこなうと、正常に動作しなくなる場合があります。

30

第 5 章 インターフェース設定

Ⅲ．VLAN タギングの設定○ MTU
VLAN インタフェースの MTU 値を設定します。

◆各 802.1Q Tagged VLAN の設定
本装置の各 Ethernet ポートで、VLAN タギング
(IEEE802.1Q 準拠)設定ができます。

○ ip masq
チェックを入れることで、VLAN インタフェースでの IP マスカレードが有効となります。

Web 設定画面「インターフェース設定」→「Ethernet0(または 1、2)の設定」を開き、最下部にある以下の画面で設定します。

○ spi
チェックを入れることで、VLANインタフェースでス
テートフルパケットインスペクション(SPI)が有効となります。
○ drop log
チェックを入れると、SPI により破棄(DROP)された
パケットの情報を syslog に出力します。
SPI が有効の場合のみ設定可能です。
○ proxy arp
チェックを入れることで、VLAN インタフェースでproxy arp が有効となります。

入力が終わりましたら「VLAN の設定の保存」をクリックして設定完了です。
設定はすぐに反映されます。

設定情報の削除(Ethernet0 ポートの表示例です)○ dev.Tag ID
VLAN のタグ ID を設定します。
1 から 4094 の間で設定します。各 Ethernet ポート
ごとに 64 個までの設定ができます。
設定後の VLAN インタフェース名は「eth0.<ID>」「eth1.<ID>」「eth2.<ID>」となります。

VLAN 設定を削除する場合は、「dev.Tag ID」欄に「0」を入力して「VLAN の設定の保存」をクリック
してください。

設定情報の表示VLAN 設定項目にある「設定情報」リンクをクリッ
クすると、現在の VLAN 設定情報が表示されます。

○ enable
チェックを入れることで設定を有効にします。
○ IP アドレス○ネットマスクVLAN インタフェースの IP アドレスとサブネットマ
スクを設定します。

31

第 5 章 インターフェース設定

Ⅳ．その他の設定
ここでは、インタフェースに関するその他の設定をおこないます。

◆デフォルトゲートウェイの設定「その他の設定」の以下の画面で設定します。

◆デフォルトゲートウェイの設定
テーブル（◆ ARP テーブル（※ XR‑640L2 のみ）の設定（◆ Ether2 HUB の設定（※ XR‑640L2 のみ）

設定方法
各種設定は、Web 設定画面「インターフェース設定」→「その他の設定」にて設定します。

本装置のデフォルトルートとなる IP アドレスを入力してください。
※ PPPoE 接続時は設定の必要はありません。

入力が終わりましたら、「設定の保存」をクリック
して設定完了です。

（画面は XR‑640L2 の「その他の設定」）

32

第 5 章 インターフェース設定

Ⅳ．その他の設定○ ARP エントリの削除
ARP エントリをクリックして「ARP エントリの削除」ボタンをクリックすると、そのエントリガー
テーブルから削除されます。

◆ ARP テーブル
※ XR‑640L2 のみ
テーブル（※
のみ）
XR‑640L2 の Web 設定画面「インターフェース設定」→「その他の設定」画面中央にある「ARP テーブル」をクリックすると、「ARP テーブル設定」画面が開きます。
この画面で本装置の ARP テーブルについて設定することができます。

[新しい ARP エントリ]
エントリ]
ARP エントリを手動で登録するときは、ここから登録します。
○ ARP エントリの追加
入力欄に IP アドレスと MAC アドレスを入力後、「ARP エントリの追加」ボタンをクリックして登録します。
< エントリの入力例 >192.168.0.1 00:11:22:33:44:55[固定の ARP エントリ]
エントリ]
ARP エントリを固定するときは、ここから登録します。
○固定 ARP エントリの編集
入力欄に IP アドレスと MAC アドレスを入力後、「固定 ARP エントリの編集」ボタンをクリックして登録します。
エントリの入力方法は「新しい ARP エントリ」と同様です。

ARP テーブルの確認(画面は表示例です)「その他の設定」画面中央で、現在の ARP テーブルの内容を確認できます。

[現在の ARP テーブル]
テーブル]
本装置に登録されている ARP テーブルの内容を表示します。
初期状態では動的な ARP エントリガー表示されています。

(画面は表示例です)○ ARP エントリの固定化
ARP エントリをクリックして「ARP エントリの固定化」ボタンをクリックすると、そのエントリは固定エントリとして登録されます。

33

第 5 章 インターフェース設定

Ⅳ．その他の設定◆ Ether2 HUB の設定（※ XR‑640L2 のみ）の設定（
Ethernet2 ポートで、ポートベース VLAN 設定ができます。
設定可能な VLAN グループは VLAN A 〜 VLAN D の 4
つとなります。
XR‑640L2 の Web 設定画面「インターフェース設定」→「その他の設定」にある以下の画面で設定します。

○ Port VLAN 機能を使用しない○ Port VLAN 機能を使用する
ポートベース VLAN 機能を使う場合に「Port VLAN
機能を使用する」をチェックします。
○各ポートと VLAN メンバの組み合わせ
Ether2 の各ポートと所属する VLAN グループの組み合わせを設定します。

入力が終わりましたら「設定の保存」をクリック
して設定完了です。

34

第6章
PPPoE 設定

第 6 章 PPPoE 設定

Ⅰ．PPPoE の接続先設定
接続先設定○プロバイダ名
任意で設定名を付けることができます。
半角英数字のみ使用できます。

はじめに、接続先の設定（ISP のアカウント設定）をおこないます。
Web 設定画面「PPP/PPPoE 設定」→「接続先設定１〜５」のいずれかをクリックします。
設定は 5 つまで保存しておくことがきます。

○ユーザ ID
プロバイダから指定されたユーザ ID を入力してください。

○ パスワード
プロバイダから指定された接続パスワードを入力
してください。
原則として「 」
「(」
「)」
「｜」
「¥」等の特殊記号については使用できませんが、入力が必要な場合は、該当文字の直前に「¥」を付けて入力してください。
<例>abc(def)g h → abc¥(def¥)g¥ h○ DNS サーバ
特に指定のない場合は「プロバイダから自動割り当て」をチェックします。
指定されている場合は「手動で設定」をチェック
して、DNS サーバのアドレスを入力します。
プロバイダから DNS アドレスを自動割り当てされてもそのアドレスを使わない場合は「割り当てられた DNS を使わない」をチェックします。この場
合は、LAN 側の各ホストに DNS サーバのアドレスをそれぞれ設定しておく必要があります。
○ LCP キープアライブ
キープアライブのための LCP echo パケットを送出する間隔を指定します。
設定した間隔で LCP echo パケットを 3 回送出して
reply を検出しなかったときに、本装置が PPPoE
セッションをクローズします。
「0」を指定すると、LCP キープアライブ機能は無効となります。

（画面は XR‑640L2「接続先設定１」）36

第 6 章 PPPoE 設定

Ⅰ．PPPoE の接続先設定○ Ping による接続確認
回線によっては、LCP echo を使ったキープアライ
ブを使うことができないことがあります。その場
合は、Ping を使ったキープアライブを使用します。
「使用するホスト」欄には、Ping の宛先ホストを指定します。
空欄にした場合は P‑t‑P Gateway 宛に Ping を送出します。通常は空欄にしておきます。
○ IP アドレス
固定 IP アドレスを割り当てられる接続の場合(unnumbered 接続を含む)、ここにプロバイダから割り当てられた IP アドレスを設定します。
IPアドレスを自動的に割り当てられる形態での接続の場合は、ここには何も入力しないでください。
○ MSS 設定
「有効」を選択すると、本装置が MSS 値を自動的に調整します。
「MSS 値」は任意に設定できます。最大値は 1452 バ
イトです。
「0」にすると最大 1414byte に自動調整します。
特に必要のない限り、この機能を「有効」にして、かつ MSS 値を 0 にしておくことを推奨いたします（それ以外では正常にアクセスできなくなる場合があります)。

下記項目は PPPoE 接続の場合は設定の必要はあり
ません。
○電話番号
○ダイアルタイムアウト○シリアル DTE
○初期化用 AT コマンド
○回線種別
○ ON‑DEMAND 接続用切断タイマー○ネットワーク○ネットマスク37

最後に「設定の保存」ボタンをクリックして、設定完了です。
設定はすぐに反映されます。
LAN 側の設定(IP アドレスや DHCP サーバ機能など)を変更する場合は、それぞれの設定ページで変更してください。

第 6 章 PPPoE 設定

Ⅱ．PPPoE の接続設定と回線の接続 / 切断
接続設定
○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ（XR‑640L2）
PPPoE 接続では「通常」接続を選択します。

Web 設定画面「PPP/PPPoE 接続設定」→「接続設定」をクリックして、以下の画面から設定します。

○ IP マスカレード
PPPoE 接続時に IP マスカレードを有効にするかどうかを選択します。
○ステートフルパケットインスペクション
PPPoE 接続時に、ステートフルパケットインスペクション(SPI)を有効にするかどうかを選択します。
SPIを有効にして「DROP したパケットのLOGを取得」にチェックを入れると、SPI が適用され破棄(DROP)
したパケットの情報を syslog に出力します。
SPI が有効のときだけ動作可能です。
ログの出力内容については、「第 22 章 パケット
フィルタリング機能 補足：フィルタのログ出力
内容について」をご覧ください。

（画面は XR‑640L2）○回線状態
現在の回線状態を表示します。
○接続先の選択
どの接続先設定を使って接続するかを選択します。
○接続ポートどのポートを使って接続するかを選択します。
PPPoE 接続では、いずれかの Ethernet ポートを選択
します。
○接続形態
「手動接続」
PPPoE(PPP)の接続 / 切断を手動で切り替えます。
同画面最下部のボタンで「接続」、「切断」の操作をおこなってください。

○デフォルトルートの設定「有効」を選択すると、PPPoE 接続時に IP アドレスとともに ISP から通知されるデフォルトルートを自動的に設定します。
「インターフェース設定」でデフォルトルートが設定されていても、PPPoE 接続で通知されるものに置き換えられます。
「無効」を選択すると、ISP から通知されるデフォ
ルトルートを無視し、自動設定しません。
「インターフェース設定」でデフォルトルートが設定されていれば、その設定がそのままデフォルト
ルートとして採用されます。
特に必要のない限り「有効」設定にしておきます。

「常時接続」
本装置が起動すると自動的にPPPoE接続を開始します。
また、PPPoE セッションが切断しても、自動的に再接
画面最下部の「設定の保存」ボンタンをクリック続します。
して設定完了です。
※ XR‑640L2 のみ「スケジューラ接続」（※
のみ）
BRI ポートでの接続をする時に選択できます。

この後は画面最下部の「接続」「切断」ボタンで回線の接続を制御してください。
「接続設定」を変更した場合は、回線を一度切断して再接続した際に変更が反映されます。

38

第 6 章 PPPoE 設定

Ⅲ．副回線の設定
PPPoE 接続では、「副回線接続」設定ができます。

副回線設定[副回線接続]副回線接続]

副回線使用時に設定し
PPP/PPPoE 接続設定画面の「副回線使用時に設定して下さい」欄で設定します。
て下さい

主回線が何らかの理由で切断されてしまったときに、自動的に副回線設定での接続に切り替えて、接続を維持することができます。
また主回線が再度接続されると、自動的に副回線から主回線の接続に戻ります。
主回線から副回線の接続に切り替わっても、
NAT
主回線から副回線の接続に切り替わっても、NAT
設定やパケットフィルタ設定、ルーティング設定
設定やパケットフィルタ設定、ルーティング設定
そのまま副回線接続にも引き等の全ての設定が、そのまま副回線接続にも引き等の全ての設定が、（画面は XR‑640L2）

継がれます。

○副回線の使用
副回線を利用する場合は「有効」を選択します。

回線状態の確認は、セッションキープアライブ機
能を用います。

○接続先の選択
副回線接続で利用する接続先設定を選択します。
○接続ポート
副回線を接続しているインタフェースを選択します。
○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ（XR‑640L2）
RS232 または RS232/BRI インタフェースを使って副回線接続するときの接続タイプを選択します。
「通常」を選択すると常時接続となります。
「On‑Demand 接続」を選択するとオンデマンド接続となります。オンデマンド接続における切断タイ
マーは「接続先設定」で設定します。

最後に「設定の保存」ボタンをクリックして設定完了です。
上記３項目以外の接続設定は、すべてそのまま引き継がれます。
副回線での自動接続機能は、「接続設定」で「常に設定してある場合のみ有効です。
時接続」に設定してある場合のみ有効です。
時接続」
を変更した場合には、回線を一また、「接続設定」を変更した場合には、回線を一度切断して再接続した際に変更が反映されます。

39

第 6 章 PPPoE 設定

Ⅳ．バックアップ回線の設定
PPPoE 接続では、「バックアップ回線接続」設定ができます。

○バックアップ回線 の使用
バックアップ回線を利用する場合は「有効」を選択します。

[バックアップ回線接続]
バックアップ回線接続]
副回線接続と同様に、主回線がダウンしたときに、自動的に回線を切り替えて接続を維持しようとします。

○接続先の選択
バックアップ回線接続で利用する接続先設定を選択します。

ただし、副回線接続と異なり、NAT 設定やパケット
フィルタ設定等は、主回線用の設定とは別に設定しなければなりません。

○接続ポートバックアップ回線を接続しているインタフェースを選択します。

○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ（XR‑640L2）
RS232 または RS232/BRI インタフェースを使ってバックアップ回線接続するときの接続タイプを選択します。
「通常」を選択すると常時接続となります。
回線状態の確認は、PING または OSPF を用います。
「第 12 章 ダイナミックルーティ 「On‑Demand 接続」を選択するとオンデマンド接続
OSPF については、となります。オンデマンド接続における切断タイ
ング」
ング」をご覧ください。
マーは「接続先設定」で設定します。
これにより、主回線接続時とバックアップ回線接続時とでセキュリティレベルを変更したり、回線品質にあった帯域制御などを個別に設定する、といったことができるようになります。

○ IP マスカレード
バックアップ回線接続時の IP マスカレードの動作を選択します。

バックアップ回線設定
バックアップ回線使用
PPP/PPPoE 接続設定画面の「バックアップ回線使用時に設定して下さい」欄で設定します。
時に設定して下さい○ステートフルパケットインスペクション
バックアップ回線接続時に、ステートフルパケッ
トインスペクション(SPI)を有効にするかどうかを選択します。
SPIを有効にして「DROP したパケットのLOGを取得」にチェックを入れると、SPI が適用され破棄(DROP)
したパケットの情報を syslog に出力します。
SPI が有効のときだけ動作可能です。
ログの出力内容については、「第 22 章 パケット
フィルタリング機能 補足：フィルタのログ出力
内容について」をご覧ください。
○主回線接続確認のインターバル
主回線接続の確認たのめにパケットを送出する間隔を設定します。30 〜 999(秒)の間で設定できます。

40（画面は XR‑640L2）

第 6 章 PPPoE 設定

Ⅳ．バックアップ回線の設定
最後に「設定の保存」ボタンをクリックして設定完了です。

○主回線の回線断の確認方法
主回線の回線断を確認する方法を選択します。
「PING」は ping パケットにより、「OSPF」は OSPFの Hello パケットにより、「IPSEC+PING」は IPSEC
上での ping により、回線の切断を確認します。
○ Ping 使用時の宛先アドレス
回線断の確認方法で PING を選択したときの、ping
パケットのあて先 IP アドレスを設定します。
ここから ping の Reply が帰ってこなかった場合に、バックアップ回線接続に切り替わります。

このほか、NAT 設定・パケットフィルタ設定・ルー
ティング設定など、バックアップ回線接続時のための各種設定を別途おこなってください。
バックアップ回線接続機能は、「接続接定」で「常時接続」に設定してある場合のみ有効です。
を変更した場合には、回線を一また、「接続設定」を変更した場合には、回線を一度切断して再接続した際に変更が反映されます。

OSPF の場合は、OSPF 設定画面「OSPF 機能設定」の「バックアップ切り替え監視対象 Remote Router‑ID
設定」で設定した IP アドレスに対して接続確認をおこないます。
○ Ping 使用時の送信元アドレス
回線断の確認方法で「IPSEC+PING」を選択したときの、ping パケットの送信元 IP アドレスを設定できます。
○ Ping fail 時のリトライ回数
ping のリプライがないときに何回リトライするかを指定します。
○ Ping 使用時の device
PING を使用する際に ping を発行する、本装置のインタフェースを選択します。
「その他」を選択して、インタフェース名を直接指定することもできます。
○ IPSEC+Ping 使用時の IPSEC ポリシーの NO「IPSEC+PING」で回線断を確認するときは、必ず、使用する IPsec ポリシーの設定番号を指定します。
IPsec 設定については「第 11 章 IPsec 機能」や
IPsec 設定ガイドをご覧ください。
○復旧時のバックアップ回線の強制切断
主回線の接続が復帰したときに、バックアップ回
線を強制切断させる場合に「する」を選択します。
「しない」を選択すると、主回線の接続が復帰しても、バックアップ回線接続の設定に従ってバックアップ回線の接続を維持します。
41

第 6 章 PPPoE 設定

Ⅴ．PPPoE 特殊オプション設定
PPPoE 特殊オプション設定

地域 IP 網での工事や不具合・ADSL 回線の不安定な状態によって、正常に PPPoE 接続がおこなえなくなることがあります。

PPP/PPPoE 設定「接続設定」画面の最下部で設定します。

これは、ユーザ側は PPPoE セッションが確立していないことを検知していても、地域 IP 網側はそれを検知していないために、ユーザ側からの新規接続要求を受け入れることができない状態になっていることが原因です。

①回線接続時に前回の PPPoE セッションの PADT を強制送出する。

ここで PPPoE 特殊オプション機能を使うことにより、本装置が PPPoE セッションを確立していないことを検知し、強制的に PADT（※※）パケットを地域 IP 網側へ送信して、地域 IP 網側に PPPoE セッ
ションの終了を通知します。

②非接続 Session の IPv4Packet 受信時に PADT を強制送出する。
③非接続 Session の LCP‑EchoReqest 受信時にPADT を強制送出する。

本装置から PADT パケットを送信することで地域 IP
網側の PPPoE セッション情報がクリアされ、PPPoEの再接続性を高めることができます。

①の動作について本装置側が回線断と判断していても網側が回線断と判断していない状況下において、本装置側から強制的に PADT を送出してセッションの終了を網側に認識させます。
その後、本装置側から再接続をおこないます。

（※※）PADT＝ PPPoE Active Discovery Terminate の略
PPPoE セッションが終了したことを示すパケットです。これにより、PADT を受信した側で該当す
る PPPoE セッションを終了させます。

②、③の動作について
本装置が LCP キープアライブにより断を検知しても網側が断と判断していない状況下において、
網側から・IPv4 パケット・LCP エコーリクエストのいずれかを本装置が受信すると、本装置がPADTを送出してセッションの終了を網側に認識させます。
その後、本装置側から再接続をおこないます。
使用したい特殊オプションごとに、チェックボッ
クスにチェックを付けてください。
PPPoE 回線接続中に設定を変更したときは、PPPoEを再接続する必要があります。
地域 IP 網の工事後に PPPoE 接続ができなくなってしまう事象を回避するためにも、PPPoEてしまう事象を回避するためにも、
PPPoE 特殊オ
プション機能を有効にした上で PPPoE 接続をしていただくことを推奨します。

42

第7章
ダイヤルアップ接続

第 7 章 ダイヤルアップ接続

Ⅰ．本装置とアナログモデム /TA の接続
本装置は、以下のポートを搭載しています。
・RS‑232C ポート
・ISDN U 点ポート（XR‑640L2 のみ）
・ISDN S/T点ポート(BRIポート)（XR‑640L2のみ）
これらの各ポートにアナログモデムやターミナル
アダプタを接続し、本装置の PPP 接続機能を使うことでダイヤルアップ接続が可能となります。

＜ XR‑640L2 の場合＞
◆アナログモデム /TA のシリアル接続

1 XR‑640L2 の電源をオフにします。
2 XR‑640L2 本体背面の「RS‑232」ポートと、モ
デム /TA のシリアルポートをシリアルケーブルで接続します。
シリアルケーブルは別途ご用意ください。

また、本装置の副回線接続機能で、PPP 接続を副回線として設定しておくと、ダイヤルアップ接続を
障害時のバックアップ回線として使うこともできます。

3 全ての接続が完了しましたら、モデムの電源を投入してください。
接続図＜ XR‑410L2 の場合＞
◆アナログモデム /TA の接続

1 XR‑410L2 本体背面の「RS‑232」ポートと、製品付属の変換アダプタとを、ストレートタイプのLAN ケーブルで接続してください。

2 変換アダプタのコネクタを、アナログモデムのシリアルポートに接続してください。
モデムのコネクタが 25 ピンタイプの場合は別途、変換コネクタをご用意ください。

3 全ての接続が完了しましたら、モデムの電源を投入してください。
接続図44

第 7 章 ダイヤルアップ接続

Ⅱ．BRI ポートを使った TA/DSU との接続
(XR‑640L2 のみ)との接続(XR‑640L2のみ)◆本装置内蔵の DSU を使う場合◆外付け TA に内蔵の DSU を使う場合

1 本装置の電源をオフにします。

1 本装置の電源をオフにします。

2 ISDN U 点ジャックと、XR‑640L2 本体背面の2 外部の DSU と、XR‑640L2 本体背面の「BRI U LINE」ポートをモジュラーケーブルで接続します。
モジュラーケーブルは別途ご用意ください。

「BRI S/T LINE」ポートを ISDN 回線ケーブルで接続します。
ISDN ケーブルは別途ご用意ください。

3 XR‑640L2 本体背面の「DSU」スイッチを「ON」 3 XR‑640L2 本体背面の「DSU」スイッチを「OFF」
側にします。

側にします。

4 XR‑640L2 本体背面の「POL.」スイッチを、

4 XR‑640L2 本体背面の「TERM.」スイッチを「ON」

ISDN 回線の極性に合わせます。

側にします。

5 全ての接続が完了しましたら、本装置と TA の

5 別の ISDN 機器を接続する場合は、電源を投入してください。

「BRI S/T TERMINAL」ポートと接続してください。

接続図

6 全ての接続が完了しましたら、本装置と TA の電源を投入します。
接続図45

第 7 章 ダイヤルアップ接続

Ⅲ．ダイヤルアップ回線の接続先設定
PPP(ダイヤルアップ)接続の接続先設定をおこないます。

○プロバイダ名
接続するプロバイダ名を入力します。
任意に入力できますが、
「 」
「(」
「)」
「｜」
「¥」等
の特殊文字については使用できません。

接続先設定○ユーザ ID
プロバイダから指定されたユーザ ID を入力してください。

Web 設定画面「PPP/PPPoE 設定」→「接続先設定１〜５」のいずれかをクリックします。
設定は 5 つまで保存しておくことがきます。

○パスワードプロバイダから指定された接続パスワードを入力
してください。
原則として「 」
「(」
「)」
「｜」
「¥」等の特殊文字については使用できませんが、入力が必要な場合は該当文字の直前に「¥」を付けて入力してください。
<例>abc(def)g h → abc¥(def¥)g¥ h○ DNS サーバ
特に指定のない場合は「プロバイダから自動割り当て」をチェックします。
指定されている場合は「手動で設定」をチェック
して、DNS サーバのアドレスを入力します。
プロバイダから DNS アドレスを自動割り当てされてもそのアドレスを使わない場合は「割り当てられた DNS を使わない」をチェックします。この場
合は、LAN 側の各ホストに DNS サーバのアドレスをそれぞれ設定しておく必要があります。
下記項目は、リモートアクセス接続の場合は設定しません。
○ LCP キープアライブ○ Ping による接続確認○ IP アドレス○ MSS 設定46
（画面は XR‑640L2「接続先設定１」）

第 7 章 ダイヤルアップ接続

Ⅲ．ダイヤルアップ回線の接続先設定○電話番号
アクセス先の電話番号を入力します。
市外局番から入力してください。
○ダイアルタイムアウト
アクセス先にログインするときのタイムアウト時間を設定します。単位は秒です。
○シリアル DTE
本装置とモデム /TA 間の DTE 速度を選択します。
工場出荷値は 115200bps です。
○初期化用 AT コマンド
モデム /TA によっては、発信するときに初期化が必要なものもあります。その際のコマンドをここに入力します。
○回線種別
回線のダイアル方法を選択します。
○ ON‑DEMAND 接続用切断タイマー
PPPoE 接続設定の RS232C、RS232C/BRI 接続タイプ
を On‑Demand 接続にした場合の、自動切断タイ
マーを設定します。ここで設定した時間を過ぎて無通信状態のときに、接続を切断します。
○ネットワーク○ネットマスクリモートアクセス接続の場合は設定の必要はありません。

最後に「設定の保存」ボタンをクリックして、設定完了です。
設定はすぐに反映されます。
続いて PPP の接続設定をおこないます。

47

第 7 章 ダイヤルアップ接続

Ⅳ．ダイヤルアップ回線の接続と切断
接続先設定に続いて、ダイヤルアップ接続のために接続設定をおこないます。

接続設定
Web 設定画面「PPP/PPPoE 接続設定」→「接続設定」
をクリックして、以下の画面から設定します。

○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ（XR‑640L2）「通常接続」接続形態設定にあわせて接続します。
「On‑Demand 接続」を選択するとオンデマンド接続となります。オンデマンド接続における切断タイマーは「接続先設定」で設定します。
○ IP マスカレード
ダイヤルアップ接続時にIPマスカレードを有効にするかどうかを選択します。
unnumbered接続時以外は、「有効」を選択してください。
○ステートフルパケットインスペクション
ダイヤルアップ接続時に、
ステートフルパケットインス
ペクション(SPI)を有効にするかどうかを選択します。
SPIを有効にして「DROP したパケットのLOGを取得」にチェックを入れると、SPIが適用され破棄(DROP)したパ
ケットの情報を syslog に出力します。
SPI が有効のときだけ動作可能です。
ログの出力内容については、「第 22 章 パケットフィル
タリング機能 補足：フィルタのログ出力内容について」をご覧ください。

（画面は XR‑640L2）○回線状態
現在の回線状態を表示します。
○接続先の選択
どの接続先設定を使って接続するかを選択します。
○接続ポートどのポートを使って接続するかを選択します。
ダイヤルアップ接続では「RS232C」または「BRI」
ポートを選択します。
○接続形態「手動接続」
ダイヤルアップ回線の接続 / 切断を手動で切り替えます。
「常時接続」
本装置が起動すると自動的にダイヤルアップ接続を開始します。
※ XR‑640L2 のみ「スケジューラ接続」（※
のみ）
BRI ポートでの接続をする時に選択できます。

○デフォルトルートの設定「有効」を選択すると、ダイヤルアップ接続時に IP ア
ドレスとともに ISP から通知されるデフォルトルート
を自動的に設定します。
「インターフェース設定」でデフォルトルートが設定されていても、
リモートアクセス接続で通知されるものに置き換えられます。
「無効」を選択すると、ISP から通知されるデフォルト
ルートを無視し、自動設定しません。
「インターフェース設定」でデフォルトルートが設定されていれば、その設定がそのままデフォルトルートとして採用されます。
特に必要のない限り「有効」設定にしておきます。

画面最下部の「設定の保存」ボンタンをクリックして設定完了です。
この後は画面最下部の「接続」「切断」ボタンで回線の接続を制御してください。
48 「接続設定」を変更した場合は、回線を一度切断して再接続した際に変更が反映されます。

第 7 章 ダイヤルアップ接続

Ⅴ．回線への自動発信の防止について
Windows OS は NetBIOS で利用する名前からアドレス
情報を得るために、自動的に DNS サーバへ問い合わ
せをかけるようになっています。
そのため「On‑Demand 接続」機能を使っている場合には、アナログ /ISDN 回線に自動接続してしまう問
題が起こります。
この意図しない発信を防止するために、本装置ではあらかじめ以下のフィルタリングを設定しています。

(入力フィルタ)(転送フィルタ)49

第 7 章 ダイヤルアップ接続

Ⅵ．副回線接続とバックアップ回線接続

ダイヤルアップ接続についても、PPPoE 接続と同様に、「副回線接続」設定と、「バックアップ回線接続」設定が可能です。
設定方法については、「第 6 章 PPPoE 設定」の各ページをご参照ください。
「Ⅲ . 副回線の設定」「Ⅳ . バックアップ回線の設定」

50

第8章
複数アカウント同時接続設定

第 8 章 複数アカウント同時接続設定

複数アカウント同時接続の設定
また、本装置のマルチ PPPoE セッション機能は、
PPPoE で接続しているすべてのインタフェースがルーティングの対象となります。
したがいまして、それぞれのインタフェースにス
テートフルパケットインスペクション、またはフィルタリング設定をしてください。

本装置シリーズは、同時に複数の PPPoE 接続をおこなうことができます。
以下のような運用が可能です。
・NTT 東西が提供している B フレッツサービスで、
インターネットとフレッツ・スクエアに同時に接続する (注)フレッ
また、マルチ接続側（主回線ではない側）はフレッ
ツスクエアのように閉じた空間を想定しているのツスクエアのように閉じた空間を想定しているで、工場出荷設定ではステートフルパケットインス
ペクションは無効となっています。
必要に応じてステートフルパケットインスペクション等の設定をして使用してください。

・フレッツ ADSL での接続と、ISDN 接続(ダイヤルアップ接続)を同時におこなう(注)NTT 西日本の提供するフレッツスクエアは NTT
東日本提供のものとはネットワーク構造がことなるため、B フレッツとの同時接続運用はできません。
この接続形態は「マルチ PPPoE セッション」と呼ばれることもあります。
本装置のマルチ PPPoE セッション機能は、主回線 1
セッションと、マルチ接続 3 セッションの合計 4
セッションまでの同時接続をサポートしています。
なお、以下の項目については主回線では設定でき
ますが、マルチ接続（#2 〜 #4）では設定できませんので、ご注意ください。
・デフォルトルートとして指定する・副回線を指定する・IPsec を設定する
マルチPPPoEセッションを利用する場合のルーティ
ングは宛先ネットワークアドレスによって切り替えます。
したがって、フレッツ・スクウェアやフレッツ・
オフィスのように特定の IP アドレス体系で提供されるサービスをインターネット接続と同時に利用する場合でも、アクセスする PC 側の設定を変更する必要はありません。
ただし、マルチリンクには対応していませんので、帯域を広げる目的で利用することはできません。

52

マルチ PPP セッション機能を使用する場合は、次ページからのステップに従って設定してください。

第 8 章 複数アカウント同時接続設定

複数アカウント同時接続の設定

STEP 1 主接続の接続先設定

STEP 2 マルチ接続用の接続先設定

１つ目のプロバイダの接続設定をおこないます。
ここで設定した接続を主接続とします。

マルチ接続(同時接続)用の接続先設定をおこないます。

Web 設定画面「PPP/PPPoE 設定」をクリックし、「接続先設定１〜５」のいずれかをクリックして設定します。
詳しい設定方法は、「第 6 章 PPPoE 設定」または「第 7 章 ダイヤルアップ接続」をご覧ください。

Web 設定画面「PPP/PPPoE 設定」をクリックし、「接続先設定１〜５」のいずれかをクリックして設定します。
さらに設定画面最下部にある下図の「マルチマルチ PPP/
セッション回線利用時に指定可能です」部分
PPPoE セッション回線利用時に指定可能です
で、マルチ接続を使ってアクセスしたい先のネット
ワークアドレスとネットマスクを指定します。

○ネットワーク○ネットマスク<例>
ネットワーク「172.26.0.0」
ネットマスク「255.255.0.0」と指定すると、172.26.0.0/16 のネットワークにアクセスするときはマルチ接続を使ってアクセスするようになります。
別途「スタティックルート設定」でマルチ接続を使う経路を登録することもできます。
このどちらも設定しない場合はすべてのアクセス
が、主接続を使うことになります。

最後に「設定の保存」をクリックして接続先設定
は完了です。

53

第 8 章 複数アカウント同時接続設定

複数アカウント同時接続の設定
STEP 3 PPPoE 接続の設定
複数同時接続のための接続設定をおこないます。
主接続とマルチ接続それぞれについて接続設定をおこないます。
Web 設定画面「PPP/PPPoE 設定」→「接続設定」を開きます。
[主接続用の接続設定]
主接続用の接続設定]
以下の部分で設定します。

○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ(XR‑640L2)
主接続がPPPoE接続の場合は、「通常」を選択します。
主接続が RS232 または RS232/BRI インタフェース
で接続する場合は、「通常」を選択すると、接続形
態に合わせて接続します。
「On‑Demand 接続」を選択すると、オンデマンド接
続となります。オンデマンド接続における接続タ
イマーは「接続先設定」で設定します。
○ IP マスカレード
通常は「有効」を選択します。
LAN 側をグローバル IP で運用している場合は「無効」を選択します。
○ステートフルパケットインスペクション
任意で選択します。
SPIを有効にして「DROP したパケットのLOGを取得」にチェックを入れると、SPI が適用され破棄(DROP)
したパケットの情報を syslog に出力します。
SPI が有効のときだけ動作可能です。
ログの出力内容については、「第 22 章 パケット
フィルタリング機能 補足：フィルタのログ出力
内容について」をご覧ください。

（画面は XR‑640L2）○接続先の選択
主接続用の設定を選択します。
○接続先ポート
主接続で使用する、本装置のインタフェースを選択します。

○デフォルトルート「有効」を選択します。

○接続形態
常時接続の回線を利用する場合は通常、「常時接続」を選択します。
「手動接続」を選択した場合は、同画面最下部の「接続」
・「切断」ボタンで操作をおこなってください。

続いてマルチ接続用の接続設定をおこないます。

54

第 8 章 複数アカウント同時接続設定

複数アカウント同時接続の設定[マルチ接続用の設定]
マルチ接続用の設定]
Web 設定画面「PPP/PPPoE 設定」→「接続設定」にある以下のマルチ
マルチPPP/PPPoE
PPP/PPPoEセッション機能を利用す
マルチ
PPP/PPPoE
セッション機能を利用する際は以下を設定して下さい」部分で設定します。
る際は以下を設定して下さい○ RS232C 接続タイプ（XR‑410L2）○ RS232C/BRI 接続タイプ(XR‑640L2)
RS232 または RS232/BRI インタフェースを使って複数アカウント同時接続するときの接続タイプを選択します。
「通常」を選択すると常時接続となります。
「On‑Demand 接続」を選択するとオンデマンド接続となります。オンデマンド接続における切断タイ
マーは「接続先設定」で設定します。
○ IP マスカレード
任意で選択します。
通常は「有効」にします。
○ステートフルパケットインスペクション
任意で選択します。
SPIを有効にして「DROP したパケットのLOGを取得」にチェックを入れると、SPI が適用され破棄(DROP)
したパケットの情報を syslog に出力します。
SPI が有効のときだけ動作可能です。
ログの出力内容については、「第 22 章 パケット
フィルタリング機能 補足：フィルタのログ出力
内容について」をご覧ください。

マルチ接続設定は 3 つまで設定可能です。
最大 4 セッションの同時接続が可能です。
（画面は XR‑640L2）○マルチ接続 #2 〜 #4
マルチPPPoEセッション用の回線として使うものに「有効」を選択します。
○接続先の選択
マルチ接続用の接続先設定を選択します。
○接続ポートマルチ接続で使用する、本装置のインタフェースを選択します。
Bフレッツ回線で複数の同時接続をおこなう場合
は、主接続の設定と同じインタフェースを選択します。

55

第 8 章 複数アカウント同時接続設定

複数アカウント同時接続の設定
STEP 4 PPPoE 接続の開始

複数アカウント同時接続時の注意点

すべて設定した後、「接続」をクリックして PPPoE
接続を開始します。

通常の ISP とフレッツスクエアへの同時接続をするには、本装置の「DNS キャッシュ」を「有効」にし、各 PC の DNS サーバ設定を本装置の IP アドレスに設定してください。

PPPoE の接続状態は、接続設定画面上部の「回線状態」に赤文字で表示されます。

本装置に名前解決要求をリレーさせないと、同時接続ができません。

接続に成功した場合:
主回線で接続しています。
マルチセッション回線 1 で接続しています。
接続できていない場合:
主回線で接続を試みています。
マルチセッション回線 1 で接続を試みています。
などと表示されます。
PPPoE 接続に成功したあとは、STEP 2 の設定、「ス
タティックルート設定」、もしくは「ソースルート
設定」にしたがって接続を振り分けられてアクセスできます。

56

第9章
各種サービスの設定

第 9 章 各種サービスの設定

各種サービス設定
Web 設定画面「各種サービスの設定」をクリックすると、以下の画面が表示されます。

サービスの設定
それぞれのサービスの設定をおこなうには、画面中の各サービス名をクリックしてください。
そのサービスの設定画面が表示されます。
それぞれの設定方法については、以下の章を参照
してください。
DNS キャッシュ
→「第 10 章 DNS リレー / キャッシュ機能」
IPsec サーバ→「第 11 章 IPsec 機能」
ダイナミックルーティング→「第 12 章 ダイナミックルーティング（RIP、OSPF、DVMRP）」

ここでは・各種サービスの設定
・各種サービスの起動と停止
・サービスの稼働状況の確認をおこないます。

L2TPv3→「第 13 章 L2TPv3 機能」「第 14 章 L2TPv3 フィルタ機能」
SYSLOG サービス→「第 15 章 SYSLOG 機能」
SNMP サービス→「第 16 章 SNMP エージェント機能」
NTP サービス→「第 17 章 NTP サービス」
アクセスサーバ→「第 18 章 アクセスサーバ機能」

サービスの起動と停止
それぞれのサービスを起動・停止するときは、それぞれのサービス項目で「停止」か「起動」を選択し、「動作変更」ボタンをクリックしてください。
これにより、サービスの稼働状態が変更されます。
また、サービスの稼働状態は、各項目ごとに表示
されます。

58

第 10 章DNS リレー / キャッシュ機能

第 10 章 DNS リレー / キャッシュ機能

DNS 機能の設定◆ DNS リレー機能
設定後に「設定の保存」をクリックして設定完了です。

本装置では、LAN 内の各ホストの DNS サーバを本装置に指定して、ISP から指定された DNS サーバや任意の DNS サーバへリレーすることができます。

DNSリレー機能を使う場合は、「各種サービスの設定」 ◆ DNS キャッシュ機能
画面の「DNS キャッシュ」を起動させてください。 「DNS キャッシュ」を起動した場合、本装置がリレーして名前解決された情報は、自動的にキャッシュされます。

任意の DNS を指定する場合は、Web 設定画面「各種サービスの設定」→「DNS キャッシュ」をクリック
して以下の画面で設定します。

機能を有効にするには「各 種サ ービ スの 設定 」
機能を有効にするには「トップに戻り、サービスを起動させてください。
トップに戻り、
サービスを起動させてください。
また設定を変更した場合は、サービスの再起動
また設定を変更した場合は、サービスの再起動( 停止」→「起動」)をおこなってください。
「（画面は XR‑410L2）○プライマリ DNS IP アドレス
○セカンダリ DNS IP アドレス
任意のDNSサーバのIPアドレスを入力してください。
ISP から指定された DNS サーバへリレーする場合は本設定の必要はありません。
○ root server
上記プライマリ DNS IP アドレス、セカンダリ DNS
IP アドレスで設定した DNS サーバへの問い合わせに失敗した場合や、DNS サーバの指定が無い場合に、
ルートサーバへの問い合わせをおこなうかどうかを指定します。
○タイムアウト（※のみ）※ XR‑410L2 のみ
DNSサーバへの問い合わせが無応答の場合のタイムア
ウトを設定します。
5‑30 秒で設定できます。初期設定は 30 秒です。
使用環境によっては、DNSキャッシュのタイムアウト
よりもブラウザなどのアプリケーションのタイムアウ
トが早く発生する場合があります。
この場合は、DNSキャッシュのタイムアウトを調整してください。

60

第 11 章IPsec 機能

第 11 章 IPsec 機能

Ⅰ．本装置の IPsec 機能について◆鍵交換について
IKE を使用しています。
IKE フェーズ 1 ではメインモード、アグレッシブ
モードの両方をサポートしています。
フェーズ 2 ではクイックモードをサポートしています。

◆認証ヘッダ
本装置は ESP の認証機能を利用しています。
AH での認証はサポートしていません。
◆ DH 鍵共有アルゴリズムで使用するグループ
group1、group2、group5 をサポートしています。

固定 IP アドレス同士の接続はメインモード、固定IP アドレスと動的 IP アドレスの接続はアグレッシ
ブモードで設定してください。

◆ IPsec 使用時の通信可能対地数
128 拠点と IPsec 接続が可能です。

◆認証方式について
本装置は「共通鍵方式」「RSA 公開鍵方式」「X.509」による認証に対応しています。
ただし、アグレッシブモードは「共通鍵方式」にのみ対応、「X.509」はメインモードにのみ対応しています。
◆暗号化アルゴリズム
シングル DES とトリプル DES、AES128bit をサポートしています。
暗号化はハードウェア処理でおこないます。

◆ IPsec とインターネット接続
IPsec 通信をおこなっている場合でも、その設定以外のネットワークへは、通常通りインターネット
アクセスが可能です。
◆ NAT トラバーサル機能に対応
XR 同士の場合、NAT 内のプライベートアドレス環境においても IPsec 接続をおこなうことができます。

他の機器との接続実績について
以下のルータとの接続を確認しています。
・FutureNet XR シリーズ
・FutureNet XR VPN Clinet(SSH Sentinel)
サーバ(FreeS/WAN)
・Linux サーバ(FreeS/WAN)◆ハッシュアルゴリズム
SHA1 と MD‑5 を使用しています。

62

第 11 章 IPsec 機能

Ⅱ．IPsec 設定の流れ◆ PreShared(
共通鍵)方式での IPsec 通信
PreShared(共通鍵
共通鍵)◆ RSA(
公開鍵)方式での IPsec 通信
RSA(公開鍵
公開鍵)

STEP 1

STEP 1

共通鍵の決定公開鍵・暗号鍵の生成
公開鍵・

IPsec 通信をおこなうホスト同士の認証と、データの暗号化・復号化で使う共通秘密鍵の生成に必要な鍵を任意で決定します。
IPsec通信をおこなう双方で共通の鍵を使います。
半角英数字であればどんな文字列でもかまいません。

IPsec 通信をおこなうホスト同士の認証とデータの暗号化に必要な公開鍵と、復号化に必要な秘密鍵を生成します。
公開鍵は IPsec の通信相手に渡しておきます。
鍵の長さを指定するだけで、自動的に生成されます。

STEP 2

STEP 2

共通鍵の交換

共通鍵の交換

決定した共通鍵は、第三者に知られないように十分注意して交換してください。
共通鍵が第三者に渡ると、その鍵を利用して不正な IPsec 接続が確立されるおそれがあります。

鍵を生成すると、設定画面上では公開鍵が表示されます。この鍵を IPsec 通信をおこなう相手側に通知してください。
また同様に、相手側が生成した公開鍵を入手してください。
公開鍵は第三者に知られても問題ありません。

STEP 3

STEP 3本装置側の設定

本装置側の設定

自分側の本装置の設定をおこないます。

自分側の本装置の設定をおこないます。

STEP 4

STEP 4

IKE/ISAKMP ポリシーの設定

IKE/ISAKMP ポリシーの設定

データの暗号化と復号に必要な共通の秘密鍵を交換するための IKE/ISAKMP ポリシー設定をおこないます。
ここで共通鍵の設定、IKE の動作設定、相手側のIPsec ゲートウェイの設定や IKE の有効期間の設定をおこないます。

データの暗号化と復号に必要な共通の秘密鍵を交換するための IKE/ISAKMP ポリシーの設定をおこないます。
ここで公開鍵の設定、IKE の動作設定、相手側のIPsec ゲートウェイの設定や IKE の有効期間の設定をおこないます。

STEP 5

STEP 5

IPsec ポリシー設定

IPsec ポリシー設定

IPsec通信をおこなう相手側セグメントの設定をおこないます。
このとき、どのIKE設定を使用するかを指定します。

IPsec 通信をおこなう相手側セグメントの設定をおこないます。
このとき、どのIKE設定を使用するかを指定します。

STEP 6

STEP 6

IPsec の起動

IPsec の起動

本装置の IPsec 機能を起動します。

本装置の IPsec 機能を起動します。

STEP 7

STEP 7

IPsec 接続の確認

IPsec 起動後に、正常に IPsec 通信ができるかどうかを確認します。
「情報表示」画面のインタフェースとルーティング
テーブル、ログで確認します。

63

IPsec 接続の確認

IPsec 起動後に、正常に IPsec 通信ができるかどうかを確認します。
「情報表示」画面のインタフェースとルーティング
テーブル、ログで確認します。

第 11 章 IPsec 機能

Ⅲ．IPsec 設定

鍵の作成
・交換
鍵の作成・

STEP 0 設定画面を開く

STEP 1,2

1 Web 設定画面にログインします。

RSA 公開鍵方式を用いて IPsec 通信をおこなう場合
は、最初に鍵を自動生成します。

2 「各種サービスの設定」→「IPsec サーバ」を

PSK 共通鍵方式を用いて IPsec 通信をおこなう場合
は、「鍵の作成」は不要です。
相手側と任意で共通鍵を決定し、交換しておきます。

クリックして、以下の画面から設定します。

1 IPsec 設定画面上部の「RSA 鍵の作成」をクリックして、以下の画面を開きます。

(画面は表示例です)・ステータスの確認
・本装置の設定

2 作成する鍵の長さを指定して「公開鍵の作成」

・RSA 鍵の作成をクリックします。
鍵の長さは 512bit から 2048bit までで、16 の倍数となる数値が指定可能です。
現在の鍵の作成状況が「
現在の鍵の作成状況が「鍵を作成できます。」の表示の時に限り、作成可能です。
示の時に限り、作成可能です。

・X.509 の設定
・パラメータでの設定
・IPsec Keep‑Alive 設定
・IKE/ISAKMP ポリシーの設定
・IPsec ポリシーの設定

IPsec に関する設定・確認は、すべてこの設定画面からおこなえます。

鍵を作成しました。」のメッ
3 鍵を生成します。「鍵を作成しました。
セージが表示されると、鍵の生成が完了です。
生成した鍵は、後述する「本装置側の設定」に自動的に反映されます。
また、この鍵は公開鍵となりますので、相手側にも通知してください。

64

第 11 章 IPsec 機能

Ⅲ．IPsec 設定

STEP 3本装置側の設定をおこなう

IPsec 設定画面上部の「本装置の設定」をクリックして設定します。

○ Virtual Private 設定(XR‑410L2)○ Virtual Private 設定〜 4(XR‑640L2)
本装置を NAT トラバーサルのホストとして使用する場合に設定します。
クライアントとして使用する場合は空欄のままにします。
接続相手のクライアントが属しているネットワー
クと同じネットワークアドレスを入力します。
以下のような書式で入力してください。

[本装置の設定]
本装置の設定]「本装置の設定」をクリックします。

< 入力形式 >%v4:< ネットワーク >/< マスクビット値 >< 設定例 >
%v4:192.168.0.0/24[鍵の表示]○本装置の RSA 鍵（PSK を使用する場合は必要ありません）
RSA 鍵の作成をおこなった場合、ここに作成した
RSA 鍵の公開鍵が表示されます。
PSK 方式や X.509 電子証明を使う場合はなにも表示されません。
（画面は XR‑640L2）
最後に「設定の保存」をクリックして設定完了です。

[MTU の設定]○インターフェイスの MTU 値
IPsec 接続時の MTU 値を設定します。
各インタフェースごとに設定できます。
通常は初期設定のままでかまいません。

[NAT Traversal の設定]
NAT トラバーサル機能を使うことで、NAT 環境下にあるクライアントと IPsec 通信をおこなえるようになります。
○ NAT Traversal
NATトラバーサル機能を使うかどうかを選択します。

65

第 11 章 IPsec 機能

Ⅲ．IPsec 設定[本装置側の設定]
本装置側の設定]「本装置側の設定 1 〜 8」のいずれかをクリックします。
ここで本装置自身の IP アドレスやインタフェース
ID を設定します。

○インターフェースの ID
本装置への IP アドレスの割り当てが動的割り当ての場合(agressive モードで接続する場合)は、イン
タフェースの ID を設定します（必須）。
< 入力形式 > ＠ < 任 意 の 文 字 列 >< 入力例 >
@centurysystems（@ の後は、任意の文字列でかまいません。
）
固定アドレスの場合は、設定を省略できます。
省略した場合は、自動的に「インターフェースのIP アドレス」を ID として使用します。

最後に「設定の保存」をクリックして設定完了です。

[IKE/ISAKMP の設定 1 〜 8]○インターフェースの IP アドレス
・固定アドレスの場合
固定アドレスの場合

ポリシー
続いてIKE/ISAKMPIKE/ISAKMPポリシー
ポリシーの設定をおこないます。
IKE/ISAKMP

本装置に設定されている IP アドレスをそのま
ま入力します。
・動的アドレスの場合
動的アドレスの場合
PPP/PPPoE 主回線接続の場合は「%ppp0」と入力します。
Ether0(Ether1,Ether2)ポートで接続している場合は「%eth0(%eth1 または %eth2)」と入力します。
○上位ルータの IP アドレス
空欄にしておきます。

66

第 11 章 IPsec 機能

Ⅲ．IPsec 設定

STEP 4

IKE/ISAKMAP ポリシーの設定

IPsec 設定画面上部の「IKE/ISAKMP ポリシーの設定」の「IKE1」〜「IKE128」いずれかをクリック
して、以下の画面から設定します。
32 個以上設定する場合は「IKE/ISAKMP ポリシーの設定画面インデックス」で切り替えてください。

[IKE/ISAKMP の設定]
○ IKE/ISAKMP ポリシー名
設定名を任意で設定します。
(省略可)○接続する本装置側の設定接続で使用する「本装置側の設定 1 〜 8」を選択します。
○インターフェースの IP アドレス
相手側 IPsec 装置の IP アドレスを設定します。
相手側装置へのIPアドレスの割り当てが固定か動的かで、入力が異なります。
・相手側装置が固定アドレスの場合
相手側装置が固定アドレスの場合
IP アドレスをそのまま入力します。
・相手側装置が動的アドレスの場合
相手側装置が動的アドレスの場合「0.0.0.0」を入力します。
○上位ルータの IP アドレス
空欄にしておきます。
○インターフェースの ID
対向側装置への IP アドレスの割り当てが動的割り当ての場合に限り、IP アドレスの代わりに ID を設定します。
< 入力形式 > ＠ < 任 意 の 文 字 列 >< 入力例 >
@centurysystems（@ の後は、任意の文字列でかまいません）
対向側装置への割り当てが固定アドレスの場合は設定の必要はありません。
○モードの設定
IKE のフェーズ 1 モードを「main モード」と「aggressive モード」のどちらかから選択します。

(画面は「IKE/ISAKMP の設定 1」)

67

第 11 章 IPsec 機能

Ⅲ．IPsec 設定[鍵の設定]○ PSK を使用する
PSK 方式の場合に、「PSK を使用する」にチェックして、相手側と任意に決定した共通鍵を入力してください。
半角英数字のみ使用可能です。最大 2047 文字まで設定できます。

○ transform の選択
ISAKMP SA の折衝で必要な暗号化アルゴリズム等の組み合わせを選択します。
本装置は、以下の組み合わせが選択できます。
・DH group 値(group1、group2、group5)
・暗号化アルゴリズム (des、3des、aes)
・認証アルゴリズム(md5、sha1)○ RSA を使用する「aggressive モード」の場合、接続相手の機器に合RSA 公開鍵方式の場合には、「RSA を使用する」にわせて transform を選択する必要があります。
チェックして、相手側から通知された公開鍵を入力
aggressive モードでは transform を 1 つだけ選択
してください。
してください(2 番目〜 4 番目は「使用しない」を「X.509」設定の場合も「RSA を使用する」にチェッ
選択しておきます)。
クします。
「main モード」の場合も transform を選択できますが、基本的には「すべてを送信する」の設定で構いません。

[X509 の設定]
○接続先の証明書の設定「X.509」設定で IPsec 通信をおこなう場合は、相手側装置に対して発行されたデジタル証明書をテキス
トボックス内に貼り付けます。

○ IKE のライフタイム
ISAKMP SA のライフタイムを設定します。
ISAKMP SA のライフタイムとは、双方のホスト認証と秘密鍵を交換するトンネルの有効期間のことです。
最後に「設定の保存」をクリックして設定完了です。
1081 〜 28800 秒の間で設定します。

続いて、IPsec
ポリシーの設定をおこないます。
IPsec ポリシーの設定

68

第 11 章 IPsec 機能

Ⅲ．IPsec 設定
STEP 5

IPsec ポリシーの設定

IPsec 設定画面上部の「IPsec ポリシーの設定」の 「On‑Demand で使用する」「IPsec 1」〜「IPsec 128」いずれかをクリックし IPsec をオンデマンド接続します。
ます。
切断タイマーは SA のライフタイムとなります。
32 個以上設定する場合は「IPSec ポリシーの設定
画面インデックス」で切り替えてください。
○使用する IKE ポリシー名の選択
STEP 4 で設定した IKE/ISAKMP ポリシーのうち、
どのポリシーを使うかを選択します。
○本装置側の LAN 側のネットワークアドレス
本装置が接続しているLANのネットワークアドレスを入力します。
ネットワークアドレス / マスクビット値の形式で入力します。
< 入力例 > 192.168.0.0/24○相手側の LAN 側のネットワークアドレス
対向の IPsec 装置が接続している LAN 側のネット
ワークアドレスを入力します。
ネットワークアドレス / マスクビット値の形式で入力します。設定の要領は「本装置側の LAN 側のネットワークアドレス」と同様です。
また、NAT Traversal 機能を使用している場合に限っては、 vhost:%priv と設定します。
○ PH2 の TransForm の選択
IPsec SA の折衝で必要な暗号化アルゴリズム等の組み合わせを選択します。
(画面は「IPSec ポリシーの設定 1」)○最初に IPsec の起動状態を選択します。
「使用する」
initiater にも responder にもなります。
「使用しない」その IPsec ポリシーを使用しません。

・すべてを送信する・暗号化アルゴリズム (3des、des、aes128)
・認証アルゴリズム(md5、sha1)
通常は「すべてを送信する」の選択で構いません。
○ PFS
PFS(PerfectForwardSecrecy)を「使用する」か
PFS(PerfectForwardSecrecy)「使用しない」かを選択します。
｢Responder として使用する」
PFS とは、パケットを暗号化している秘密鍵が解読サービス起動時や起動中の IPsec ポリシー追加時に、されても、その鍵ではその後に生成された鍵を解
responder として IPsec 接続を待ちます。
読できないようにするものです。
本装置が固定 IP アドレス設定で接続相手が動的 IP
装置への負荷が増加しますが、より高いセキュリ
アドレス設定の場合に選択します。
ティを保つためには PFS を使用することを推奨しまた、後述する IPsec KeepAlive 機能において、ます。
backupSAとして使用する場合もこの選択にしてください。メイン側の IPsecSA で障害を検知した場合に、 69
Initiatorとして接続を開始します。

第 11 章 IPsec 機能

Ⅲ．IPsec 設定○ DH Group の選択(PFS 使用時に有効)「PFS を使用する」場合に使用する DH group を選択
します。
ただし、
「指定しない」を選択しても構いません。
その場合は、PH1 の結果、選択された DH Group 条
件と同じ DH Group 条件をを接続相手に送ります。

STEP 6

IPsec 機能を起動する「各種サービスの設定」をクリックして、以下の画
面を開きます。

○ SA のライフタイム
IPsec SA の有効期間を設定します。
IPsecSA とはデータを暗号化して通信するためのト
ラフィックのことです。1081 〜 86400 秒の間で設定します。
○ DISTANCE
IPsec ルートの DISTANCE 値を設定します。
同じ内容でかつDISTANCE値の小さいIPsecポリシーが起動したときには、DISTANCE値の大きいポリシー
は自動的に切断されます。
なお、本設定は省略可能です。省略した場合は「1」として扱います。
IPsec ルートを OSPF で再配信する場合は、「OSPF 機を「有効」に能設定」のルートの再配信」を
能設定」の「static ルートの再配信」○動作状態の制御
IPsec サーバ項目、「起動」にチェックして「動作変更」をクリックすると、IPsec 機能が起動します。
以降は、本装置を起動するたびに IPsec 機能が自動起動します。
IPsec 機能を止める場合は「停止」にチェックして「動作変更」をクリックしてください。

する必要があります。
IPsec 機能を起動した後は、現在のサービス稼働状
況が「動作中」と表示されます。
最後に「設定の保存」をクリックして設定完了です。
続いて、IPsec
機能の起動をおこないます。
IPsec 機能の起動[IPsec 通信時の Ethernet ポート設定について]
ポート設定について]
IPsec 設定をおこなう場合は、Ethernet ポートの設定に注意してください。
IPsec 通信をおこなう相手側のネットワークと同
じネットワークのアドレスが本装置の Ethernet
ポートに設定されていると、正常に IPsec 通信がおこなえません。
たとえば、IPsec
たとえば、
IPsec 通信をおこなう相手側のネットの設定で、かつ、
かつ、本装ワークが 192.168.1.0/24 の設定で、
かつ、本装置の Ether1 ポートに 192.168.1.254 が設定されていると、正常にていると、正常に IPsec 通信がおこなえません。
このような場合は本装置の Ethernet ポートの IP
アドレスを、別のネットワークに属する IP アド
レスに設定し直してください。

70

第 11 章 IPsec 機能

Ⅲ．IPsec 設定
IPsec 接続を確認する

STEP 8 IPsec ステータス確認の確認

IPsec が正常に接続したかどうかは、「システム設定」の「ログの表示」でログを確認します。

IPsec の簡単なステータスを確認できます。
「各種サービスの設定」→「IPsec サーバ」→「ステータス」をクリックして、画面を開きます。

STEP 7

ログの中で、以下のメッセージが含まれているかを確認してください。
（ログメッセージは「メインモード」で通信した場
合の表示例です。
）

Aug 1 12:00:20 localhost ipsec̲̲plutorun:
004 "xripsec1" #1: STATE̲MAIN̲I4: ISAKMP SA
established ・・・(1)およびAug 1 12:00:20 localhost ipsec̲̲plutorun:
004 "xripsec1" #2: STATE̲QUICK̲I2: sent QI2,
IPsec SA established ・・・(2)(画面は表示例です)
それぞれの対向側設定でおこなった内容から、本装置・相手側の LAN アドレス・IP アドレス・上位
ルータアドレスの一覧や、現在の動作状況が表示されます。

上記 2 つのメッセージが表示されていれば、IPsec
が正常に接続されています。

(1)のメッセージ(1)のメッセージ
IKE 鍵交換が正常に完了し、ISAKMP SA が確立したことを示しています。

「現在の状態」リンクをクリックすると、現在のIPsec の状況が表示されます。
また、それぞれの設定番号をクリックすると、設定画面に移ることができます。

(2)のメッセージ(2)のメッセージ
IPsec SA が正常に確立したことを示しています。

71

第 11 章 IPsec 機能

Ⅳ．IPSec Keep‑Alive 設定
IPsec Keep‑Alive 機能は、IPsec トンネルの障害を検出する機能です。

○ interval(sec)○ watch countping を発行する間隔を設定します。
指定した宛先へIPsecトンネル経由でpingパケット 「『interval(sec)』間に『watch count』回 ping をを発行して、応答がない場合に IPsec トンネルに障 発行する」という設定になります。
害が発生したと判断し、その IPsec トンネルを自動的に削除します。
○ delay(sec)
不要な IPsec トンネルを自動的に削除することで、 IPsec が起動してから ping を発行するまでの待ち
IPsec の再接続性を高めます。
時間を設定します。
IPsecが確立するまでの時間を考慮して設定します。

設定方法
IPsec 設定画面上部の「IPsec Keep‑Alive 設定」をクリックして設定します。
設定は 128 まで可能です。画面下部にある「ページインデックス」のリンクをクリックしてください。

○ flag
チェックを入れると、delay 後に ping を発行して、ping が失敗したら即座に指定された IPsec トンネ
ルの削除、再折衝を開始します。
また、Keep‑Alive によって SA 削除後は、毎回delay 時間待ってから Keep‑Alive が開始されます。
チェックをはずすと、delay 後に最初に ping が成功(IPsec が確立)し、その後に ping が失敗してはじめて指定された IPsec トンネルの削除、再折衝を開始します。最初から ping に失敗してしまうときは、IPsec SA を削除しません。また、delay は
初回のみ発生します。
通常はチェックを外した設定で運用してください。
○ interface
Keep‑Alive 機能を使う、本装置の IPsec インタ
フェース名を選択します。
本装置のインタフェース名については、本マニュ
アルの「インタフェース名一覧」をご参照「付録 A インタフェース名一覧」
ください。

○ enable
設定を有効にする時にチェックします。
IPsec Keep‑Alive 機能を使いたい IPsec ポリシーと同じ番号にチェックを入れます。
○ source address
IPsec 通信をおこなう際の、本装置の LAN 側インタ
フェースの IP アドレスを入力します。
○ destination address
IPsec 通信をおこなう際の、本装置の対向側装置のLAN 側インタフェースの IP アドレスを入力します。

72

第 11 章 IPsec 機能

Ⅳ．IPSec Keep‑Alive 設定○ backup SA
ここに IPsec ポリシーの設定番号を指定しておくと、IPsec Keep‑Alive 機能で IPsec トンネルを削除した時に、Slave SA で指定した IPsec ポリシー
設定を起動させます。

設定番号について

注) backup SA として使用する IPsec ポリシーの起動状態は必ず「Responder として使用する」を選択してください。

IPsec トンネルの障害を検知する条件

IPsec Keep‑Alive 機能を使う際は、監視する
IPsec のポリシー No. と Keep‑Alive の Pocily No.
は一致させてください。

IPsec Keep‑Alive 機能によって障害を検知するのは、「interval/watch count」に従って ping を発行して、一度も応答がなかったときです。
このとき本装置は、ping の応答がなかった IPsec
トンネルを自動的に削除します。
反対に一度でも応答があったときは、本装置はIPsec トンネルを保持します。

複数のポリシーを指定することもできます。
その際は、 ̲ でポリシー番号を区切って設定します。これにより、指定した複数の IPsec ポリ
シーがネゴシエーションを開始します。
< 入力例 >

1̲2̲3

またここに、以下のような設定もできます。
ike<n>

動的アドレスの場合の本機能の利用について※ <n> は 1 〜 128 の整数

拠点側に動的 IP アドレスを用いた構成で、センター側からの通信があるようなケースについては
SA の不一致が起こりうるため、IPsec Keep‑Alive
機能を動作させることを推奨します。

この設定の場合、バックアップ SA 動作時には、「IPsec ポリシー設定の <n> 番」が使用しているものと同じ IKE/ISAKMP ポリシー設定を使う他のIPsec ポリシーが、同時にネゴシエーションをおこ
ないます。
<例>
使用する IKE ポリシー

IPsec ポリシー

IKE/ISAKMP2 番

IPsec2 IPsec4 IPsec5

上図の設定で backupSA に「ike2」と設定すると、「IPsec2」が使用している IKE/ISAKMP ポリシー設
定 2 番を使う、他の IPsec ポリシー(IPsec4 とIPsec5)も同時にネゴシエーションを開始します。

○ remove?
設定を削除したいときにチェックします。

最後に「設定の保存」ボタンをクリックします。

73

第 11 章 IPsec 機能

Ⅴ．「X.509 デジタル証明書」
を用いた電子認証
デジタル証明書」を用いた電子認証
本装置はX.509デジタル証明書を用いた電子認証方式に対応しています。

[X.509 の設定]の設定]

ただし、本装置は証明書署名要求の発行や証明書の発行ができません。
あらかじめCA局から証明書の発行を受けておく必要があります。

電子証明の仕組みや証明書発行の詳しい手順につきましては、関連書籍等をご参考ください。
情報処理振興事業協会セキュリティセンター

○ X509 の設定
X.509 の使用 / 不使用を選択します。

http://www.ipa.go.jp/security/pki/

設定は、IPsec 設定画面内の「X.509 の設定」から
おこなえます。

○設定した接続先の証明書のみを使用する
設定した接続先の証明書のみの使用 / 不使用を選
択します。

設定方法

○証明書のパスワード
証明書のパスワードを入力します。

IPsec 設定画面上部の「X509 の設定」→「X509 の設定」を開きます。
ここで以下の設定が可能です。
・[X509 の設定]
・[CA の設定]
・[本装置側の証明書の設定]
・[本装置側の鍵の設定]
・[失効リストの設定]
各リンクをクリックすると設定画面が表示されます。

74

入力後「設定の保存」をクリックします。

[CA の設定]の設定]
ここには、CA 局自身のデジタル証明書の内容をコピーして貼り付けます。
「( cacert.pem」
ファイル等。
)

コピーを貼り付けましたら、「設定の保存」をクリックします。

第 11 章 IPsec 機能

Ⅴ．「X.509 デジタル証明書」
を用いた電子認証
デジタル証明書」を用いた電子認証[本装置側の証明書の設定]
本装置側の証明書の設定]
ここには、本装置に対して発行されたデジタル証
明書の内容をコピーして貼り付けます。

[失効リストの設定]失効リストの設定]失効リストを作成している場合は、その内容をコピーして貼り付けます。(「crl.pem」ファイル等。
)

コピーを貼り付けましたら、「設定の保存」をクリックします。

コピーを貼り付けましたら、「設定の保存」をクリックします。

[本装置側の鍵の設定]
本装置側の鍵の設定]
ここにはデジタル証明書と同時に発行された、本装置の秘密鍵の内容をコピーして貼り付けます。
(「cakey.pem」ファイル等。
)[接続先の証明書の設定]
接続先の証明書の設定]「IKE/ISAKMP ポリシーの設定」画面内の[鍵の設定]は下記のように設定してください。
・「RSA を使用する」
チェック
・設定欄
空欄
（
「本装置の設定」画面の[鍵の表示]欄も空欄にしておきます。
）「IKE/ISAKMP ポリシーの設定」画面内[X509 の設定]の「接続先の証明書の設定」は下記のように設定してください。
・設定欄 相手側のデジタル証明書の貼付以上で X.509 の設定は完了です。

[その他の IPsec 設定]
設定]
上記以外の設定については、通常の IPsec 設定と同様です。

コピーを貼り付けましたら、「設定の保存」をクリッ
クします。

75

第 11 章 IPsec 機能

Ⅵ．IPsec 通信時のパケットフィルタ設定
ステートフルパケットインスペクション機能を使っていたり、パケットフィルタの設定によっては、
IPsec 通信ができない場合があります。
このような場合は IPsec 通信でのデータをやりとりできるように、パケットフィルタの設定を追加する必要があります。
IPsec では、以下の 2 種類のプロトコル・ポートを使用します。
・プロトコル
「UDP
」のポート
「500
」番
プロトコル「
UDP」
のポート「
500」
→ IKE(IPsec の鍵交換の鍵交換))のトラフィックに必要です」・プロトコル「ESP
ESP」
プロトコル「ESP(暗号化ペイロード
暗号化ペイロード)→ ESP(
暗号化ペイロード)のトラフィックに必要です
これらのパケットを通せるように、「入力フィルタ」に設定を追加してください。
なお、「ESP」については、ポート番号の指定はしません。

< 設定例 >

76

第 11 章 IPsec 機能

Ⅶ．IPsec 設定例 1 ((センター／拠点間のセンター／拠点間の 1 対 1 接続)
接続)
センター／拠点間で IPsec トンネルを１対１で構築する場合の設定例です。

■ XR̲#1(
センター側 XR)の設定
XR̲#1(センター側
XR)の設定＜設定例 1 ＞「本装置の設定」「本装置側の設定１」を選択します。

各設定画面で下記のように設定します。

○インターフェースの IP アドレス
「213.xxx.xxx.193」○上位ルータの IP アドレス「%ppp0」※ PPPoE接続かつ固定IPアドレスの場合は、必ずこの設定にします。
○インターフェースの ID「空欄」※ 固定アドレスの場合は、「インターフェースのID」は省略できます。省略した場合は、自動的に「インターフェースの IP アドレス」を ID として使用します。

＜接続条件＞
・センター側／拠点側ともに PPPoE 接続とします。
・ただし、センター側は固定アドレス、拠点側は動的アドレスとします。
・IPsec 接続の再接続性を高めるため、IPsec
Keep‑Alive を用います。
・IP アドレス、ネットワークアドレス、インタ
フェース名は図中の表記を使用するものとします。
・拠点側を Initiator、センター側を Responderとします。
・拠点側が動的アドレスのため、aggressive モードで接続します。
・PSK 共通鍵を用い、鍵は「test̲key」とします。

77

第 11 章 IPsec 機能

Ⅶ．IPsec 設定例 1 ((センター／拠点間のセンター／拠点間の 1 対 1 接続)
接続)
「IKE/ISAKMP ポリシーの設定」「IKE1」を選択します。

「IPSec ポリシーの設定」「IPSec1」を選択します。

○「Responder として使用する」を選択します。
※対向が動的アドレスの場合は、固定アドレス側
は Initiator にはなれません。

○ IKE/ISAKMP ポリシー名 「(任意で設定します)」○使用する IKE ポリシー名の選択 「IKE1」○接続する本装置側の設定 「本装置側の設定 1」○本装置側の LAN 側のネットワークアドレス「192.168.0.0/24」○インターフェースの IP アドレス 「0.0.0.0」※対向装置が動的アドレスの場合は必ずこの設定にしてください。

○相手側の LAN 側のネットワークアドレス「192.168.20.0/24」○上位ルータの IP アドレス 「空欄」
○インターフェースのID 「@host」(@以降は任意の文字列)※上記の 2 項目は、対向装置の「本装置の設定」と同じものを設定します。
○モードの設定 「aggressive モード」
○ transform の設定 「group2‑3des‑sha1」(任意の設定を選択)○ IKE のライフタイム 「3600」（任意の設定値）○鍵の設定「PSK を使用する」を選択し、対向装置との共通鍵「test̲key」を入力します。

○ PH2 の TransForm の選択 「すべてを送信する」○ PFS 「使用する」（推奨）○ DH Group の選択 「指定しない」○ SA のライフタイム 「28800」（任意の設定値）○ DISTANCE 「空欄」※省略した場合は、自動的にディスタンス値を「１」として扱います。

「IPsec Keep‑Alive の設定」
対向装置が動的アドレスの場合は、固定アドレス
側からの再接続ができないため、通常、IPsec
Keep‑Alive は動的アドレス側(Initiator 側)で設定します。
78 よって、本装置では設定しません。

第 11 章 IPsec 機能

Ⅶ．IPsec 設定例 1 ((センター／拠点間のセンター／拠点間の 1 対 1 接続)
接続)
■ XR̲#2(
拠点側 XR)の設定
XR̲#2(拠点側XR)の設定各設定画面で下記のように設定します。

「IKE/ISAKMP ポリシーの設定」「IKE1」を選択します。

「本装置の設定」「本装置側の設定１」を選択します。

○インターフェースの IP アドレス「%ppp0」※ PPPoE 接続かつ動的アドレスの場合は、必ずこの設定にします。
○上位ルータの IP アドレス
「空欄」
※ PPPoE 接続かつ動的アドレスの場合は、空欄にしてください。
○インターフェースの ID 「@host」(@以降は任意の文字列)※動的アドレスの場合は、必ず任意の ID を設定します。

○ IKE/ISAKMP ポリシー名 「(任意で設定します)」○接続する本装置側の設定 「本装置側の設定 1」○インターフェースの IP アドレス 「213.xxx.xxx.193」※対向装置の IP アドレスを設定します。
○上位ルータの IP アドレス 「空欄」
※対向装置が PPPoE 接続かつ固定アドレスなので、設定不要です。
○インターフェースのID 「空欄」
※対向装置が固定アドレスなので、設定不要です。
○モードの設定 「aggressive モード」
○ transform の設定 「group2‑3des‑sha1」(任意の設定を選択)○ IKE のライフタイム 「3600」（任意の設定値）

79○鍵の設定「PSK を使用する」を選択し、対向装置との共通鍵「test̲key」を入力します。

第 11 章 IPsec 機能

Ⅶ．IPsec 設定例 1 ((センター／拠点間のセンター／拠点間の 1 対 1 接続)
接続)
「IPsec Keep‑Alive の設定」
PolicyNo.1 の行に設定します。

「IPSec ポリシーの設定」「IPSec1」を選択します。

○ enable にチェックを入れます。
○ source address「192.168.20.254」○ destination address 「192.168.0.254」※source addressには本装置側LANのインタフェー
スアドレスを、destination address には相手側LANのインタフェースアドレスを設定することを推奨します。

○「使用する」を選択します。
※動的アドレスの場合は、必ず initiator として動作させます。

○ interval○使用する IKE ポリシー名の選択○ watch count「IKE1」「30」（任意の設定値）「3」（任意の設定値）○ delay 「60」（任意の設定値）○本装置側の LAN 側のネットワークアドレス「192.168.20.0/24」○ flag 「チェック」（推奨）○相手側の LAN 側のネットワークアドレス「192.168.0.0/24」 ○ interface 「ipsec0」※ ppp0 上のデフォルトの IPsec インタフェース名は ipsec0 です。
○ PH2 の TransForm の選択 「すべてを送信する」○ PFS○ backup SA「使用する」（推奨）○ DH Group の選択○ SA のライフタイム「指定しない」「28800」（任意の設定値）○ DISTANCE 「空欄」※省略した場合は、自動的にディスタンス値を「１」として扱います。

80

「空欄」

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)
センター側を 2 台の冗長構成とし、センター側の装置障害やネットワーク障害に備えて、センター／拠
点間のIPsecトンネルを二重化する場合の設定例です。

■ XR̲A#1(
センター側 XR#1)の設定
XR̲A#1(センター側
XR#1)の設定「本装置の設定」「本装置側の設定１」を選択します。

＜設定例 2 ＞○インターフェースの IP アドレス
「203.xxx.xxx.117」○上位ルータの IP アドレス「%ppp0」※ PPPoE 接続かつ固定 IP アドレスの場合は、必ずこの設定にします。
○インターフェースの ID 「空欄」
※固定アドレスの場合は、「インターフェースのID」は省略できます。省略した場合は、自動的に「インターフェースの IP アドレス」を ID として使用します。

■ XR̲A#2(
センター側 XR#2)の設定
XR̲A#2(センター側
XR#2)の設定「本装置の設定」＜接続条件＞「本装置側の設定１」を選択します。
・センター側は XR2 台の冗長構成とします。
メインの IPsec トンネルは XR̲A#1 側で、バックアップの IPsec トンネルは XR̲A#2 側で接続する
ものとします。
・センター側／拠点側ともに PPPoE 接続とします。
・ただし、センター側は固定アドレス、拠点側は動○インターフェースの IP アドレス
的アドレスとします。
「203.xxx.xxx.118」
・障害の検出およびIPsecトンネルの切り替えは、拠点側の IPsec Keep‑Alive を用いておこないます。
○上位ルータの IP アドレス「%ppp0」・IPアドレス、ネットワークアドレス、インタフェース※ PPPoE 接続かつ固定 IP アドレスの場合は、必名は図中の表記を使用するものとします。
ずこの設定にします。
・拠点側を Initiator、センター側を Responder とします。
○インターフェースの ID 「空欄」
・拠点側が動的アドレスのため、aggressive モー※固定アドレスの場合は、「インターフェースのドで接続します。
ID」は省略できます。省略した場合は、自動的
・PSK 共通鍵を用い、鍵は「test̲key」とします。
に「インターフェースの IP アドレス」を ID とし・センター側 LAN では、拠点方向のルートをアクて使用します。
ティブの SA にフローティングさせるため、スタティックルートを用います。
81

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)
■XR̲A#1,XR̲A#2のIKE/ISAKMP
ポリシーの設定
XR̲A#1,XR̲A#2のIKE/ISAKMPポリシーの設定■ XR̲A#1,XR̲A#2 の IPsec ポリシーの設定「IKE/ISAKMP ポリシーの設定」
IKE/ISAKMP ポリシーの設定は、鍵の設定を除いて、センター側 XR#1,XR#2 共に同じ設定で構いません。

「IPSec ポリシーの設定」
IPsec ポリシーの設定は、センター側 XR#1,XR#2 共に同じ設定で構いません。

「IKE1」を選択します。

「IPSec1」を選択します。

○「Responder として使用する」を選択します。
○使用する IKE ポリシー名の選択○本装置側の LAN 側のネットワークアドレス「192.168.0.0/24」○ IKE/ISAKMP ポリシー名 「(任意で設定します)」○相手側の LAN 側のネットワークアドレス「192.168.20.0/24」○接続する本装置側の設定 「本装置側の設定 1」○インターフェースの IP アドレス 「0.0.0.0」※対向装置が動的アドレスの場合は必ずこの設定にします。

○ PH2 の TransForm の選択○ PFS○上位ルータの IP アドレス 「空欄」

「指定しない」○ SA のライフタイム○ DISTANCE○モードの設定 「aggressive モード」
○ transform の設定 「group2‑3des‑sha1」(任意の設定を選択)○ IKE のライフタイム 「3600」（任意の設定値）

82「すべてを送信する」「使用する」（推奨）○ DH Group の選択○インターフェースのID 「@host」(@ 以降は任意の文字列)※上記の 2 項目は、対向装置の「本装置の設定」と同じものを設定します。

○鍵の設定「PSK を使用する」を選択し、対向装置との共通鍵「test̲key」を入力します。

「IKE1」「空欄」「28800」（任意の設定値）

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)
■XR̲A#1,XR̲A#2のスタティックルートの設定
XR̲A#1,XR̲A#2のスタティックルートの設定■ XR̲A#1,XR̲A#2 の転送フィルタの設定「スタティックルート」の設定「転送フィルタ」の設定
センター側の XR では自分が IPsec 接続していないとメイン側 XR と WAN とのネットワーク断により、
きに、拠点方向のルートを IPsec 接続中の XR へフ
バックアップ SA へ切り替えた際、メイン SA へのローティングさせるために、スタティックルートの
KeepAlive 要求がバックアップ XR からセンター側
設定をおこないます。
LAN を経由してメイン側 XR に届いてしまいます。
これにより、IPsec 接続が復旧したと誤認し、再び 自分が IPsec 接続しているときは、IPsec ルートのメインSAへ切り戻ししようとするため、バックアッ ディスタンス値(=1)の方が小さいため、このスタティックルートは無効の状態となっています。
プ接続が不安定な状態になります。
■ XR̲A#1 のスタティックルート設定

これを防ぐために、バックアップ側
XR(XR̲A#2)にバックアップ側 XR(XR̲A#2)
下記のような転送フィルタを設定してください。

○インターフェース 「ipsec0」※ ppp0 のデフォルトの IPsec インタフェースのipsec0 を設定します。
○動作

○アドレス

「192.168.20.0」○ネットマスク「255.255.255.0」○ゲートウェイ 「192.168.0.253」※ XR̲A#2のアドレスを設定します。

「破棄」○送信元アドレス 「192.168.20.254」※拠点側メイン SA の KeepAlive の送信元アドレスを設定します。

○ディスタンス 「20」※IPsecルートのディスタンス(=1)より大きい任意の値を設定します。

○あて先アドレス 「192.168.0.254」※拠点側メイン SA の KeepAlive の送信先アドレスを設定します。

■ XR̲A#2 のスタティックルート設定

また同じ理由から、メイン SA で接続中に IPsec 接続が不安定になるのを防ぐために、メイン側
メイン側 XR(XR̲A#1)にも下記のような転送フィルタを設定し(XR̲A#1)てください。

○アドレス「192.168.20.0」○ネットマスク「255.255.255.0」○ゲートウェイ 「192.168.0.254」※ XR̲A#1のアドレスを設定します。
○インターフェース 「ipsec0」※ ppp0 のデフォルトの IPsec インタフェースのipsec0 を設定します。
○動作○ディスタンス 「20」※IPsecルートのディスタンス(=1)より大きい任意の値を設定します。

「破棄」○送信元アドレス 「192.168.20.254」※拠点側バックアップ SA の KeepAlive の送信元
アドレスを設定します。
○あて先アドレス 「192.168.0.253」※拠点側バックアップ SA の KeepAlive の送信先アドレスを設定します。

83

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)

■ XR̲A#1,XR̲A#2 の IPSec Keep‑Alive の設定「IPSec Keep‑Alive 設定」
さらに、障害時にすぐにフローティングスタティックルートへ切り替えるために、IPsec Keep‑Alive を設定します。
（KeepAlive 機能を使用しない場合は、Rekey のタイミングまでフローティングできない場合があります。
)■ XR̲A#1 の IPsec Keep‑Alive 設定○ enable にチェックを入れます。
○ source address 「192.168.0.254」○ destination address 「192.168.20.254」○interval 「30」（任意の設定値） ※注※注))○ watch count 「3」（任意の設定値）○ delay 「60」（任意の設定値）○ flag 「チェック」（推奨）○ interface 「ipsec0」○ backup SA 「空欄」

■ XR̲A#2 の IPsec Keep‑Alive 設定○ enable にチェックを入れます。
○ source address 「192.168.0.253」○ destination address 「192.168.20.254」○interval 「30」（任意の設定値） ※注※注))○ watch count 「3」（任意の設定値）○ delay 「60」（任意の設定値）○ flag 「チェック」（推奨）○ interface 「ipsec0」○ backup SA 「空欄」

※注
)
※注)
センター側と拠点側の interval が同じ値の場
合、Keep‑Aliveの周期が同期してしまい、障害合、
Keep‑Alive の周期が同期してしまい、障害切り替え直後に、切り替えた先でも時の IPsec 切り替え直後に、切り替えた先でもすぐに障害を検出して、IPsec
すぐに障害を検出して、IPsec 通信が不安定になることがあります。
これを防ぐために、センター側のこれを防ぐために、センター側の interval は拠点側のメイン SA, バックアップ SA のいずれのinterval とも異なる値を設定することを推奨します。
ただし、センター内のただし、センター内の XR 同士は同じ interval
値でも構いません。

84

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)

■ XR̲B(
拠点側 XR)の設定
XR̲B(拠点側
XR)の設定「本装置の設定」「本装置側の設定１」を選択します。

メイン SA 用の IKE/ISAKMP ポリシーの設定をおこないます。
「IKE/ISAKMP ポリシーの設定」「IKE1」を選択します。

○インターフェースの IP アドレス「%ppp0」※ PPPoE 接続かつ動的アドレスの場合は、必ずこの設定にします。
○上位ルータの IP アドレス
「空欄」
※ PPPoE 接続かつ動的アドレスの場合は、空欄にしてください。
○インターフェースの ID 「@host」(@ 以降は任意の文字列)※動的アドレスの場合は、必ず任意の ID を設定します。

○ IKE/ISAKMP ポリシー名「(任意で設定します)」○接続する本装置側の設定「本装置側の設定1」○インターフェースのIPアドレス 「203.xxx.xxx.117」※対向装置が固定アドレスなので、そのIPアドレスを設定します。
○上位ルータの IP アドレス 「空欄」
※対向装置が PPPoE 接続かつ固定アドレスなので、設定不要です。
○インターフェースのID 「空欄」
※対向装置が固定アドレスなので、設定不要です。
○モードの設定「aggressive モード」

○ transform の設定
1番目「group2‑3des‑sha1」 (任意の設定を選択)
2 〜 4 番目「使用しない」○ IKE のライフタイム「3600」（任意の設定値）○鍵の設定「PSK を使用する」を選択し、対向装置との共通鍵
85 「test̲key」を入力します。

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)
バックアップ SA 用の IKE/ISAKMP ポリシーの設定をおこないます。

メイン SA 用の IPsec ポリシーの設定をおこないます。

「IKE/ISAKMP ポリシーの設定」「IKE2」を選択します。

「IPSec ポリシーの設定」「IPSec1」を選択します。

○「使用する」を選択します。
※本装置は Initiator として動作し、かつメイン SA
用のIPsecポリシーであるため、「使用する」を選択します。
○使用する IKE ポリシー名の選択○ IKE/ISAKMP ポリシー名「(任意で設定します)」○接続する本装置側の設定「本装置側の設定 1」「IKE1」○本装置側の LAN 側のネットワークアドレス「192.168.20.0/24」○インターフェースのIPアドレス 「203.xxx.xxx.118」 ○相手側の LAN 側のネットワークアドレス「192.168.0.0/24」※対向装置が固定アドレスなので、そのIPアドレスを設定します。
○ PH2 の TransForm の選択 「すべてを送信する」○上位ルータの IP アドレス 「空欄」
※対向装置が PPPoE 接続かつ固定アドレスなので、設定不要です。
○インターフェースのID 「空欄」
※対向装置が固定アドレスなので、設定不要です。
○モードの設定○ PFS「使用する」（推奨）○ DH Group の選択○ SA のライフタイム「指定しない」「28800」（任意の設定値）「aggressive モード」

○ transform の設定
1番目「group2‑3des‑sha1」 (任意の設定を選択)
2 〜 4 番目「使用しない」○ IKE のライフタイム「3600」（任意の設定値）○鍵の設定「PSK を使用する」を選択し、対向装置との共通鍵
86「test̲key」を入力します。

○ DISTANCE 「1」※メイン側のディスタンス値は最小値(=1)を設定します。

第 11 章 IPsec 機能

Ⅷ．IPsec 設定例 2 ((センター／拠点間のセンター／拠点間の 2 対 1 接続)
接続)
バックアップ SA 用の IPsec ポリシーの設定をおこないます。
「IPSec ポリシーの設定」「IPSec2」を選択します。

「IPsec Keep‑Alive の設定」
拠点側が動的 IP アドレスを用いた構成で、センター側からの通信があるようなケースでは SA の不一致が起こりうるため、メイン側、バックアップ側の両方で Keep‑Alive を動作させることを推奨します。

■メイン SA 用の KeepAlive の設定
PolicyNo.1 の行に設定します。
○ enable にチェックを入れます。
○ source address 「192.168.20.254」○ destination address 「192.168.0.254」○interval 「45」（任意の設定値） ※注※注))○ watch count 「3」（任意の設定値）○ delay 「60」（任意の設定値）○
flag「チェック」（推奨）○「Responder として使用する」を選択します。
※バックアップ SA 用の IPsec ポリシーであるため、 ○ interface 「ipsec0」「Responder として使用する」を選択してください。 ○ backupSA 「2」※ Keep‑Alive により障害検知した場合に、IPSec2 の○使用する IKE ポリシー名の選択 「IKE2」
ポリシーに切り替えるため、 2 を設定します。
○本装置側の LAN 側のネットワークアドレス「192.168.20.0/24」 ■バックアップ SA 用の KeepAlive の設定
PolicyNo.2 の行に設定します。
○相手側の LAN 側のネットワークアドレス「192.168.0.0/24」 ○ enable にチェックを入れます。
○ source address 「192.168.20.254」○ PH2 の TransForm の選択 「すべてを送信する」○ destination address 「192.168.0.253」○ PFS 「使用する」（推奨）○interval 「60」（任意の設定値） ※注※注))○ DH Group の選択○ SA のライフタイム○ watch count 「3」（任意の設定値）○ delay 「60」（任意の設定値）○ flag 「チェック」（推奨）○ interface 「ipsec0」○ backupSA 「空欄」

「指定しない」「28800」（任意の設定値）○ DISTANCE 「2」※バックアップ側のディスタンス値は、メイン側のディスタンス値より大きな値を設定します。

87

※注
)
※注)
SA
とバックアップSA、または拠点側とセン
メインSA
SAとバックアップとバックアップSA
SA、
メイン
が同じ値の場合、Keep‑Alive
ター側の interval が同じ値の場合、Keep‑Aliveの周期が同期してしまい、障害時のの周期が同期してしまい、
障害時の IPsec 切り替
え直後に、切り替えた先でもすぐに障害を検出して、IPsecて、
IPsec 通信が不安定になることがあります。
これを防ぐために、拠点側の XR 同士の interval
これを防ぐために、拠点側のは、それぞれ異なる値を設定することを推奨します。さらにそれぞれの値はセンター側とも異なる値を設定してください。

第 11 章 IPsec 機能

Ⅸ．IPsec がつながらないとき
IPsec で正常に通信できないときは本体ログを確認することで、どの段階で接続に失敗しているかを把握することができます。
本体ログは、「システム設定」内の「ログ表示」で確認します。

[正常に IPsec 接続できたときのログメッセージ]接続できたときのログメッセージ]
メインモードの場合

アグレッシブモードの場合

Aug 3 12:00:14 localhost ipsec̲setup:...FreeS/WAN IPsec started

Apr 25 11:14:27 localhost ipsec̲setup:...FreeS/WAN IPsec started

Aug 3 12:00:20 localhost ipsec̲̲plutorun:
104 "xripsec1" #1: STATE̲MAIN
STATE̲MAIN̲I1: initiate

Aug 3 11:14:34 localhost ipsec̲̲plutorun:
whack:ph1̲mode=aggressive
aggressive whack:CD̲ID=@home
whack:ID̲FQDN=@home 112 "xripsec1" #1:
STATE̲AGGR̲I1: initiate

Aug 3 12:00:20 localhost ipsec̲̲plutorun:
106 "xripsec1" #1: STATE̲MAIN̲I2: from
STATE̲MAIN̲I1; sent MI2, expecting MR2

Aug 3 11:14:34 localhost ipsec̲̲plutorun: 004"xripsec1" #1: SAEST(e)=STATE̲AGGR̲I2: sent
AI2, ISAKMP SA establishedAug 3 12:00:20 localhost ipsec̲̲plutorun:
108 "xripsec1" #1: STATE̲MAIN̲I3: from
STATE̲MAIN̲I2; sent MI3, expecting MR3

Aug 3 12:14:34 localhost ipsec̲̲plutorun: 117"xripsec1" #2: STATE̲QUICK̲I1: initiate

Aug 3 12:00:20 localhost ipsec̲̲plutorun:
004 "xripsec1" #1: STATE̲MAIN̲I4: ISAKMP SA
establishedAug 3 12:14:34 localhost ipsec̲̲plutorun: 004"xripsec1" #2: SAEST(13)=STATE̲QUICK̲I2: sent
QI2, IPsec SA establishedAug 3 12:00:20 localhost ipsec̲̲plutorun:
112 "xripsec1" #2: STATE̲QUICK̲I1: initiate
Aug 3 12:00:20 localhost ipsec̲̲plutorun:
004 "xripsec1" #2: STATE̲QUICK̲I2: sent QI2,
IPsec SA established88

第 11 章 IPsec 機能

Ⅸ．IPsec がつながらないとき「現在の状態」は IPsec 設定画面の「ステータス」
から、画面中央下の「現在の状態」をクリックして表示します。

これらのログやメッセージ内に・ISAKMP SA established・IPsec SA established][正常に IPsec が確立したときの表示例が確立したときの表示例]のメッセージがない場合は IPsec が確立していません。
設定を再確認してください。

000 interface ipsec0/eth1 218.xxx.xxx.xxx
000000 "xripsec1": 192.168.xxx.xxx/24===218.xxx.xxx.xxx[@<id>]‑‑‑218.xxx.xxx.xxx...
000 "xripsec1": ...219.xxx.xxx.xxx===192.168.xxx.xxx.xxx/24
000 "xripsec1": ike̲life: 3600s; ipsec̲life:
28800s; rekey̲margin: 540s; rekey̲fuzz: 100%;
keyingtries: 0000 "xripsec1": policy: PSK+ENCRYPT+TUNNEL+PFS;
interface: eth1; erouted
000 "xripsec1": newest ISAKMP SA: #1; newest
IPsec SA: #2; eroute owner: #2
000
000 #2: "xripsec1" STATE̲QUICK̲I2 (sent QI2,
established); EVENT̲SA̲REPLACE in
IPsec SA established27931s; newest IPSEC; eroute owner
000 #2: "xripsec1" esp.32a406c4@219.xxx.xxx.xxx
esp.1be9611c@218.xxx.xxx.xxx
tun.1002@219.xxx.xxx.xxx
tun.1001@218.xxx.xxx.xxx
ISAKMP SA
000 #1: "xripsec1" STATE̲MAIN̲I4 (ISAKMP
established); EVENT̲SA̲REPLACE in 2489s; new‑established
est ISAKMP89

第 11 章 IPsec 機能

Ⅸ．IPsec がつながらないとき○「 ...FreeS/WAN IPsec started」でメッセージ
started」
が止まっています。

このようなトラブルを避けるために、固定 IP ‑ 動
的 IP 間で IPsec 接続する場合は aggressive モードで接続するようにしてください。

この場合は、接続相手との IKE 鍵交換が正常におこなえていません。
IPsec 設定の「IKE/ISAKMP ポリシーの設定」項目で
相手側機器についての設定を確認してください。

○IPsec
通信中に回線が一時的に切断してしまうと、
IPsec通信中に回線が一時的に切断してしまうと、回線が回復してもIPsec
IPsec接続がなかなか復帰しませ回線が回復してもIPsec
接続がなかなか復帰しません。

また、ステートフルパケットインスペクションを有効にしている場合、IPsec 通信のパケットを受信できるようにフィルタ設定を施す必要があります。
IPsecのパケットを通すフィルタ設定は、「Ⅵ．IPsec
通信時のパケットフィルタ設定」をご覧ください。

固定 IP アドレスと動的 IP アドレス間の IPsec 通信
で、固定 IP アドレス側装置の IPsec通信が意図しない切断をしてしまったときに起こりえる現象です。

相手が動的 IP アドレスの場合は相手側の IP アドレスが分からないために、固定 IP アドレス側からは○「ISAKMP SA established」メッセージは表示さ IPsec 通信を開始することができず、動的 IP アドレ
established」
れていますが「IPsec SA established」メッセージ ス側から IPsec 通信の再要求を受けるまでは IPsec
established」が表示されていません。
通信が復帰しなくなります。
また、動的側 IP アドレス側が IPsec通信の再要求を
この場合は、IPsec SAが正常に確立できていません。
出すのはIPsec SAのライフタイムが過ぎてからとな
IPsec 設定の「IPsec ポリシー設定」項目で、自分側ります。
と相手側のネットワークアドレスが正しいか、設定
これらの理由によって、IPsec 通信がなかなか復帰を確認してください。
しない現象となります。
○新規に設定を追加したのですが、追加した設定にすぐに IPsec 通信を復帰させたいときは、動的 IPア
ついては IPsec がつながりません。
ドレス側のIPsecサービスも再起動する必要があり設定を追加し、その設定を有効にする場合には ます。
IPsec 機能を再起動(本体の再起動)をおこなってください。
設定を追加しただけでは設定が有効になりません。

IPsec Keep‑Alive
機能
また、「IPsecKeep‑Alive機能機能」を使うことでIPsecの再接続性を高めることができます。
○相手の装置には IPsec のログが出ているのに、このログが出ているのに、こちらの装置にはログが出ていません。IPsec
ちらの装置にはログが出ていません。
IPsec は確立しているようなのですが、確認方法はありません
しているようなのですが、確認方法はありません
か？

○ IPSec は確立していますが、Windows でファイルは確立していますが、Windows
共有ができません。
XR シリーズは工場出荷設定において、NetBIOS を通さないフィルタリングが設定されています。
Windows
ファイル共有をする場合はこのフィルタ設定を削除
もしくは変更してください。

固定 IP‑ 動的 IP 間での IPsec 接続をおこなう場合、固定IP側(受信者側)の本装置ではログが表示されな
いことがあります。その場合は「各種サービスの設定」→「IPsec サーバ」→「ステータス」を開き、「現在の状態」をクリックしてください。ここに現在のIPsec の状況が表示されます。

○aggressive
モードで接続しようとしたら、今まで
aggressiveモードで接続しようとしたら、つながっていたIPsec
IPsecがつながらなくなってしまい
つながっていた
IPsec
がつながらなくなってしまいました。
固定IP‑動的IP間でのmainモード接続とaggressive
モード接続を共存させることはできません。

90

第 12 章ダイナミックルーティング
(RIP、
OSPF、
(RIP
、OSPF
、DVMRP)

第 12 章 ダイナミックルーティング

Ⅰ．ダイナミックルーティング機能
本装置のダイナミックルーティング機能は、以下のプロトコルをサポートしています。
・RIP
・OSPF
DVMRP（・DVMRP（XR‑640L2 のみ）

設定の開始

1 Web 設定画面「各種サービスの設定」→画面
左「ダイナミックルーティング」をクリックします。

RIP 機能のみで運用することはもちろん、RIP で学習した経路情報を OSPF で配布することなどもできます。

2 「RIP」、「OSPF」、「DVMRP」（XR‑640L2 のみ）をクリックして、それぞれの機能の設定画面を開いて設定をおこないます。

（画面は XR‑640L2）

92

第 12 章 ダイナミックルーティング

Ⅱ．RIP の設定
RIP の設定
Web 設定画面「各種サービスの設定」→画面左「ダイナミックルーティング設定」→「RIP」をクリッ
クして、以下の画面から設定します。

○ OSPF ルートの再配信
RIP と OSPF を併用していて、OSPF で学習したルー
ティング情報を RIP で配信したいときに「有効」にしてください。RIP のみを使う場合は「無効」にします。

◆ RIP 設定○再配信時のメトリック設定
OSPF ルートを RIP で配信するときのメトリック値を設定します。
○ static ルートの再配信
static ルーティング情報も RIP で配信したいときに「有効」にしてください。RIP のみを使う場合は「無効」にします。
○ static ルート再配信時のメトリック設定
static ルートを RIP で配信するときのメトリック
値を設定します。
○ default‑information の送信
デフォルトルート情報を RIP で配信したいときに「有効」にしてください。

選択、入力後は「設定」をクリックして設定完了です。

（画面は XR‑640L2）○ Ether0 ポート、Ether1 ポート、
Ether2 ポート(※ XR‑640L2 のみ)
本装置の各Ethernetポートで、RIPを「使用しない」
か、使用する（「送受信」）を選択します。

設定後は「ダイナミックルーティング設定」画面に戻り、「起動」を選択して「動作変更」をクリックしてください。

また、使用する場合の RIP バージョン（
「バージョ
ン 1」
、
「バージョン 2」、「Both 1 and 2」
）を選択
します。
○ Administrative Distance 設定
RIP と OSPF を併用していて全く同じ経路を学習する場合がありますが、その際はこの値の小さい方を経路として採用します。

また設定を変更した場合には、「再起動」をクリッ
クしてください。
なお、RIP の動作状況およびルーティング情報は、「RIP 情報の表示」をクリックすることで確認できます。

93

第 12 章 ダイナミックルーティング

Ⅱ．RIP の設定
◆ RIP フィルタの設定
RIP による route 情報の送信または受信をしたくな
いときに設定します。

入力後は「追加」をクリックしてください。
「取消」をクリックすると、入力内容がクリアされます。

Web 設定画面「各種サービスの設定」→「ダイナミックルーティング」→「RIP」→画面右の「RIPフィルタ設定へ」のリンクをクリックして、以下の画面から設定します。

RIP フィルタ設定後は、ただちに設定が有効となり
ます。
設定後は、
画面上部に設定内容が一覧表示されます。

(画面は表示例です)[編集 削除]欄○削除
クリックすると、設定が削除されます。
○ NO.
設定番号を指定します。1‑64 の間で指定します。

○編集
クリックすると、その設定について内容を編集できます。

○インタフェース
RIPフィルタを実行するインタフェースを選択します。
○方向・in‑coming
本装置が RIP 情報を受信する際に RIP フィルタリン
グします(受信しない)。
・out‑going
本装置から RIP 情報を送信する際に RIP フィルタリ
ングします(送信しない)。
○ネットワーク
RIPフィルタリングの対象となるネットワークアド
レスを指定します。
< 入力形式 >ネットワークアドレス / サブネットマスク値

94

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定
OSPF の設定◆インタフェースへの OSPF エリア設定

OSPFはリンクステート型経路制御プロトコルです。

どのインタフェースで OSPF 機能を動作させるかを設定します。

OSPF では各ルータがリンクステートを交換し合い、そのリンクステートをもとに、他のルータがどこに 設定画面上部の「インタフェースへの OSPF エリア
存在するか、どのように接続されているか、という 設定」をクリックします。
データベースを生成し、ネットワークトポロジを学習します。
またOSPFは主に帯域幅からコストを求め、コストがもっとも低いものを最適な経路として採用します。
これにより、トラフィックのロードバランシングが可能となっています。
その他、ホップ数に制限がない、リンクステートの更新に IP マルチキャストを利用する、RIP より収束が早いなど、大規模なネットワークでの利用に向いています。
OSPF の具体的な設定方法に関しましては、弊社サの具体的な設定方法に関しましては、弊社サポートデスクでは対応しておりません。
専門のコンサルティング部門にて対応いたしますので、その際は弊社までご連絡ください。
で、その際は弊社までご連絡ください。

OSPF 設定は、Web 設定画面「各種サービスの設定」→画面左「ダイナミックルーティング」→「OSPF」
をクリックします。
ここで各種設定をおこないます。

○ネットワークアドレス
本装置に接続しているネットワークのネットワー
クアドレスを指定します。
ネットワークアドレス / マスクビット値
マスクビット値の形式で入力します。
○ AREA 番号
そのネットワークのエリア番号を指定します。

◆インタフェースへの OSPF エリア設定◆ OSPF エリア設定◆ Virtual Link 設定◆ OSPF 機能設定
◆インタフェース設定◆ステータス表示※ AREA：リンクステートアップデートを送信する
範囲を制限するための論理的な範囲

入力後は「設定」をクリックして設定完了です。

95

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定◆ OSPF エリア設定
各 AREA(エリア)ごとの機能設定をおこないます。

○ default‑cost 設定
スタブエリアに対してデフォルトルート情報を送信する際のコスト値を指定します。
指定しない場合、設定内容一覧では空欄で表示されますが、実際は 1 で機能します。

設定画面上部の「OSPF エリア設定」をクリックし
ます。

○認証設定
該当エリアでパスワード認証か MD5 認証をおこなうかどうかを選択します。
初期設定は「使用しない」です。

初めて設定するとき、もしくは設定を追加する場合は「New Entry」をクリックします。

○エリア間ルートの経路集約設定
経路情報を集約して送信したいときに設定します。
< 設定例 >
128.213.64.0 〜 128.213.95.0 のレンジのサブ
ネットを渡すときに 1 つずつ渡すのではなく、
128.213.64.0/19 に集約して渡す、といったときに使用します。
ただし、連続したサブネットでなければなりません(レンジ内に存在しないサブネットがあってはなりません)。

入力後は「設定」をクリックしてください。
設定後は「OSPF エリア設定」画面に、設定内容が一覧で表示されます。

○ AREA 番号
機能設定をおこなうエリアの番号を指定します。
○スタブ設定外部に通じる経路がひとつしかない場合や最適な経路を通る必要がない場合にはスタブエリアに指定します。
スタブエリアに指定するときは「有効」を選択します。スタブエリアには LSA type5 を送信しません。

(画面は表示例です)[Configure]項目の○ Editクリックすることで、それぞれ設定内容の「編集」をおこなえます。

○トータリースタブ設定
LSA type5 に加え、type3、4 も送信しないエリアに指定するときに「有効」にします。

○ Remove
クリックすると設定の「削除」をおこなえます。

96

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定◆ Virtual Link 設定○ Dead インターバル設定
Dead タイムを設定します。

OSPF において、すべてのエリアはバックボーンエ
リア(エリア0)に接続している必要があります。
もし接続していなければ、他のエリアの経路情報は伝達されません。

○ Retransmit インターバル設定
LSA を送出する間隔を設定します。

しかし、物理的にバックボーンエリアに接続できない場合には Virtual Link を設定して、論理的にバックボーンエリアに接続させます。

○ transmit delay 設定
LSU を送出する際の遅延間隔(delay)を設定します。

設定画面上部の「Virtual Link 設定」をクリックして設定します。

○認証パスワード設定
Virtual Link 上で simple パスワード認証を使用する際のパスワードを設定します。

初めて設定するとき、もしくは設定を追加するときは「New Entry」をクリックします。

○ MD5 KEY‑ID 設定(1)MD5 認証使用時の KEY ID を設定します。
○ MD5 パスワード設定(1)
エリア内で MD5 認証を使用する際の MD5 パスワー
ドを設定します。
○ MD5 KEY‑ID 設定(2)○ MD5 パスワード設定(2)MD5 KEY‑IDとパスワードは2つ同時に設定可能です。
その場合は(2)に設定します。
Virtual Link 設定では、
スタブエリアおよび設定では、スタブエリアおよび
バックボーンエリアを Transit AREA として設定することはできません。
入力後は「設定」をクリックしてください。

○ Transit AREA 番号
Virtual Link を設定する際に、バックボーンと設定するルータのエリアが接続している共通のエリアの番号を指定します。
このエリアが「Transit AREA」となります。
○ Remote‑ABR Router‑ID 設定
Virtual Link を設定する際のバックボーン側のルータ ID を設定します。
○ Hello インターバル設定
Hello パケットの送出間隔を設定します。

設定後は「Virtual Link 設定」画面に、設定内容が一覧で表示されます。

(画面は表示例です)「Configure」項目の○ Editクリックすることで、それぞれ設定内容の「編集」をおこなえます。

97○ Remove
クリックすると設定の「削除」をおこなえます。

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定◆ OSPF 機能設定
OSPF の動作について設定します。
設定画面上部の「OSPF 機能設定」をクリックして設定します。

○ static ルートの再配信
static ルートを OSPF で配信するかどうかを選択します。
ルートを再配信する場合も、この設定をIPsec ルートを再配信する場合も、この設定を「有効」にする必要があります。
「有効」にした場合は以下の 2 項目も設定します。
a. メトリックタイプ
配信する際のメトリックタイプ type1、type2
を選択します。
b. メトリック値
配信する際のメトリック値を設定します。
入力しない場合はメトリック値 20 となります。
○ RIP ルートの再配信
RIP が学習したルート情報を OSPF で配信するかどうかを選択します。
「有効」にした場合は以下の 2 項目も設定します。
a. メトリックタイプ
配信する際のメトリックタイプ type1、type2
を選択します。
b. メトリック値
配信する際のメトリック値を設定します。
入力しない場合はメトリック値 20 となります。

○ Router‑ID 設定
neighbor を確立した際に、ルータの ID として使用されたり、DR、BDR の選定の際にも使用されます。
指定しない場合は、ルータが持っている IP アドレスの中でもっとも大きい IP アドレスを Router‑IDとして採用します。

○ Administrative Distance 設定
ディスタンス値を設定します。
OSPF と他のダイナミックルーティングを併用して
いて同じサブネットを学習した際に、この値の小さい方のダイナミックルートを経路として採用します。

○ Connected の再配信
connected ルートを OSPF で配信するかどうかを選択します。
「有効」にした場合は以下の 2 項目も設定します。

○ External ルート Distance 設定
OSPF 以外のプロトコルで学習した経路のディスタ
ンス値を設定します。

a. メトリックタイプ
配信する際のメトリックタイプ type1、type2
を選択します。

○ Inter‑area ルート Distance 設定
エリア間の経路のディスタンス値を設定します。

b. メトリック値
配信する際のメトリック値を設定します。

○ Intra‑area ルート Distance 設定
エリア内の経路のディスタンス値を設定します。

98

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定○ Default‑information
デフォルトルートを OSPF で配信するかどうかを選択します。
・送信しない・送信する
ルータがデフォルトルートを持っていれば送信されますが、たとえば PPPoE セッションが切断
してデフォルトルート情報がなくなってしまったときは配信されなくなります。
・常に送信
デフォルトルートの有無にかかわらず、自分にデフォルトルートを向けるように、OSPF で配信します。
「送信する」「常に送信する」の場合は、以下の 2
項目についても設定します。
a. メトリックタイプ
配信する際のメトリックタイプ type1、type2
を選択します。
b. メトリック値
配信する際のメトリック値を設定します。
入力しない場合はメトリック値 20 となります。
○ SPF 計算 Delay 設定
LSU を受け取ってから SPF 計算をする際の遅延(delay)時間を設定します。
○ 2 つの SPF 計算の最小間隔設定
連続して SPF 計算をおこなう際の間隔を設定します。
○バックアップ切替え監視対象 Remote Router‑ID
設定
OSPF Hello によるバックアップ回線切り替え機能を使用する際に、Neighbor が切れたかどうかをチェックする対象のルータを判別するために、対象のルータの IP アドレスを設定します。
バックアップ機能を使用しない場合は、設定する必要はありません。

入力後は「設定」をクリックしてください。

99

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定◆インタフェース設定
各インタフェースごとのOSPF設定をおこないます。 ○帯域設定
帯域設定をおこないます。
この値をもとにコスト値を計算します。コスト値
設定画面上部の「インタフェース設定」をクリッ＝ 100Mbps/ 帯域 kbps です。コスト値と両方設定
クして設定します。
した場合は、コスト値設定が優先されます。

初めて設定するとき、もしくは設定を追加するときは「New Entry」をクリックします。

○ Hello インターバル設定
Hello パケットを送出する間隔を設定します。
○ Dead インターバル設定
Dead タイムを設定します。
○ Retransmit インターバル設定
LSA の送出間隔を設定します。
○ Transmit Delay 設定
LSU を送出する際の遅延間隔を設定します。
○認証キー設定
simple パスワード認証を使用する際のパスワードを設定します。
半角英数字で最大 8 文字まで使用できます。
○ MD KEY‑ID 設定(1)MD5 認証使用時の KEY ID を設定します。

○インタフェース名
設定するインタフェース名を入力します。
本装置のインタフェース名については、本マニュ
アルの「インタフェース名一覧」をご参照「付録 A インタフェース名一覧」
ください。

○ MD5 パスワード設定(1)
VirtualLink 上で MD5 認証を使用する際の MD5 パス
ワードを設定します。
半角英数字で最大 16 文字まで使用できます。
○ MD KEY‑ID 設定(2)○ MD5 パスワード設定(2)MD5 KEY‑IDとパスワードは2つ同時に設定可能です。
その場合は(2)に設定します。

○ Passive‑Interface 設定
インタフェースが該当するサブネット情報を OSPF で配信し、かつ、このサブネットには OSPF 情報を配信したくないという場合に「有効」を選択します。
○コスト値設定
コスト値を設定します。

100

第 12 章 ダイナミックルーティング

Ⅲ．OSPF の設定○ Priority 設定
DR、BDR の設定の際に使用する priority を設定します。priority 値が高いものが DR に、次に高いものが BDR に選ばれます。
0 を設定した場合は DR、BDR の選定には関係しな
くなります。

◆ステータス表示
OSPF の各種ステータスを表示します。
設定画面上部の「ステータス表示」をクリックして設定します。

DR、BDR の選定は、priority が同じであれば、IP
アドレスの大きいものが DR、BDR になります。
○ MTU‑Ignore 設定
DBD 内の MTU 値が異なる場合、Full の状態になることはできません(Exstart になります)。
どうしても MTU を合わせることができないときには、この MTU 値の不一致を無視して Neighbor(Full)を確立させるための MTU‑Ignore を「有効」にしてください。

入力後は「設定」をクリックしてください。

○ OSPF データベース表示
LinkState 情報が表示されます。
○ネイバーリスト情報の表示
現在のネイバー状態が表示されます。

設定後は「インターフェース設定」画面に、設定内容が一覧で表示されます。

○ OSPF ルーティングテーブル情報の表示
OSPF ルーティング情報が表示されます。
○ OSPF 統計情報の表示
SPF の計算回数や Router ID などが表示されます。

「Configure」項目の○ Editクリックすることで、それぞれ設定内容の「編集」をおこなえます。
○ Remove
クリックすると設定の「削除」をおこなえます。

○インタフェース情報の表示
現在のインタフェースの状態が表示されます。
表示したいインタフェース名を指定してください。

表示したい情報の項目にある「表示する」をクリックしてください。

101

第 12 章 ダイナミックルーティング

Ⅳ．DVMRP の設定（XR‑640L2 のみ）の設定（
DVMRP の設定の設定（XR‑640L2 のみ）
DVMRP はルータ間で使用される、マルチキャスト
データグラムの経路を制御するプロトコルです。
DVMRP も他のダイナミックルーティングプロトコル
同様にルータ間で経路情報を交換して、自動的にマルチキャストパケットの最適なルーティングを実現します。
ユニキャスト・ブロードキャストデータグラムについては DVMRP は経路制御しません。
RIP や OSPF を利用してください。

◆インタフェース設定○ Interface
DVMRP を実行する、本装置のインタフェース名を指定します。
本装置のインタフェース名については、本マニュアルの「インタフェース名一覧」をご参照く「付録 A インタフェース名一覧」
ださい。
○ Metric
メトリックを指定します。
経路選択時のコストとなり、Metric 値が大きいほどコストが高くなります。
○ Threshold
TTL の しきい値 を設定します。
この値とデータグラム内の TTL 値とを比較して、そのデータグラムを転送または破棄します。
「Threshold ＞データグラムの TTL」のときはデータグ
ラムを破棄、「Threshold ≦データグラムの TTL」のときはデータグラムをルーティングします。

XR‑640L2 の設定画面上部の「インタフェース設定」
をクリックして設定します。
○ Disable
256 まで設定可能です。
「インターフェイス設定
チェックを入れて設定を保存すると、その設定はIndex」のリンクをクリックしてください。
無効となります。
○ Del
チェックを入れて設定を保存すると、その設定は削除されます。

入力後は「設定の保存」をクリックしてください。

102

第 12 章 ダイナミックルーティング

Ⅳ．DVMRP の設定（XR‑640L2 のみ）
の設定（
◆全体設定

◆ステータス表示

設定画面上部の「全体設定」をクリックして設定します。

設定画面上部の「ステータス表示」をクリックして表示します。

(画面は表示例です)○インターフェイスのデフォルト
インタフェースのデフォルトの送信 / 非送信を設定します。
○ Cache Lifetime（sec）
マルチキャスト・ルーティングテーブルのキャッシュ保持時間を指定します。
単位は 秒 です。300‑86400 の間で指定します。
(画面は表示例です)
入力後は「設定の保存」をクリックしてください。

「ステータス表示」画面では、以下の項目が表示されます。
・DVMRP ステータス表示
・DVMRP Interface 表示
DVMRP が動作しているインタフェースの状態
・DVMRP Routing 表示
マルチキャストルーティングテーブルの内容
・DVMRP Cache 表示
ルーティングテーブルキャッシュの内容※ DVMRP サービスが起動していない場合は、ス
テータス表示画面はありません。

103

第 13 章L2TPv3 機能

第 13 章 L2TPv3 機能

Ⅰ．L2TPv3 機能概要
L 2 T P v 3 機能は、I P ネットワーク上のルータ間で
L2TPv3 トンネルを構築します。
これにより本製品が仮想的なブリッジとなり、遠隔のネットワーク間でレイヤ2通信が可能となります。
レイヤ2レベルでトンネリングするため、2つのネッ
トワークは HUB で繋がった１つの Ethernet ネット
ワークのように使うことができます。
また、上位プロトコルに依存せずにネットワーク通信ができ、TCP/IP だけでなく、任意の上位プロトコル(IPX、AppleTalk、SNA 等)を透過的に転送することができます。

◆ L2TPv3 セッションの二重化機能
本装置では、L2TPv3 Group 機能(L2TPv3 セッションの二重化機能)を具備しています。
ネットワーク障害や対向機器の障害時に二重化された L2TPv3 セッションの Active セッションを切り替えることによって、レイヤ２通信の冗長性を高めることができます。

<L2TPv3 セッション二重化の例 >センター側を 2 台の冗長構成にし、拠点側の XR で、センター側へのL2TPv3セッションを二重化します。

さらに、L2TPv3 機能は、従来の専用線やフレームリ
レー網ではなくIP網で利用できますので、低コストな運用が可能です。

・End to End で Ethernet フレームを転送したい
・FNA や SNA などのレガシーデータを転送したい・ブロードキャスト / マルチキャストパケットを転送したい
・IPX や AppleTalk 等のデータを転送したい
このような、従来の IP‑VPN やインターネット VPNでは通信させることができなかったものも、L2TPv3を使うことで通信ができるようになります。
また Point to Multi‑Point に対応しており、１つのXconnect Interfaceに対して複数のL2TP session
を関連づけすることが可能です。

105

第 13 章 L2TPv3 機能

Ⅱ．L2TPv3 機能設定
本装置の ID やホスト名、MAC アドレスに関する設定をおこないます。

設定方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 機能設定」をクリックします。

○ Local Router‑ID
本装置のルータ ID を設定します。
LCCE のルータ ID の識別に使用します。
対向LCCEの リモートルータID 設定と同じものにします。
ルータ ID は IP アドレス形式で設定してください。
< 例 > 192.168.0.1 など
設定は必須ですが、後述の「L2TPv3 Tunnel設定」で設定した場合はそちらが優先されます。
※ 2)○ MAC Address 学習機能(※
MACアドレス学習機能を有効にするかを選択します。
○ MAC Address Aging Time
本装置が学習した MAC アドレスの保持時間を 30 〜1000(秒)で設定します。
※ 3)○ Loop Detection 設定(※
LoopDetect 機能を有効にするかを選択します。
※ 4)○ Known Unicast 設定(※
Known Unicast 送信機能を有効にするかを選択します。

○ PMTU Discovery
Path MTU Discovery機能を有効にするかを選択します。
本機能を「有効」にした場合は、送信する L2TPv3 パケットの DF(Don t Fragment)ビットを 1 にします。
「無効」にした場合は、DFビットを常に0にして送信します。
（画面は XR‑640L2）
ただし、カプセリングしたフレーム長が送信インタ○ Local hostname
フェースの MTU 値を超過する場合は、ここの設定に本装置のホスト名を設定します。半角英数字のみ使関係なく、フラグメントされ、DF ビットを 0 にして用可能です。
送信します。
※ 1)の リモートホスト名 設定と同じ
対向 LCCE(※
ものにします。
○受信ポート番号（over UDP）
設定は必須ですが、後述の「L2TPv3 Tunnel設定」で
L2TPv3 over UDP 使用時の L2TP パケットの受信設定した場合はそちらが優先されます。
ポートを指定します。
○ PMTU Discovery 設定（over UDP）
L2TPv3 over UDP 使用時に Path MTU Discovery 機
能を有効にするかを選択します。

106

第 13 章 L2TPv3 機能

Ⅱ．L2TPv3 機能設定(※
※ 1)LCCE(L2TP Control Connection Endpoint)
L2TP コネクションの末端にある装置を指す言葉。

※ XR‑640L2 のみ○ SNMP 機能設定 （※のみ）
L2TPv3 用の SNMP エージェント機能を有効にするかを選択します。
L2TPv3 に関する MIB の取得が可能になります。
※ XR‑640L2 のみ○ SNMP Trap 機能設定 （※のみ）
L2TPv3用のSNMP Trap機能を有効にするかを選択します。
L2TPv3 に関する Trap 通知が可能になります。

※ 2)MAC Address 学習機能(※
本装置が受信したフレームのMACアドレスを学習し、不要なトラフィックの転送を抑制する機能です。
ブロードキャスト、マルチキャストについては MAC
アドレスに関係なく、すべて転送されます。
Xconnect インタフェースで受信したMACアドレスはローカル側MACテーブル(以下、Local MACテーブル)に、L2TP セッション側で受信した MAC アドレスはセッション側MACテーブル(以下、FDB)にてそれぞれ保存されます。

これらの SNMP 機能を使用する場合は、「各種サービスの設定」画面で SNMP サービスを起動させてください。
また、MIB や Trap に関する詳細は「第 16 章 SNMP
エージェント機能」を参照してください。

さらに本装置は Xconnect インタフェース毎に Local
MACテーブル/FDBを持ち、それぞれのLocal MACテー
ブル /FDB につき、最大 65535 個の MAC アドレスを学習することができます。
学習したMACテーブルは手動でクリアすることができます。

○ Debug 設定
syslog に出力するデバッグ情報の種類を選択します。
トンネルのデバッグ情報、セッションのデバッグ情報、L2TPエラーメッセージの3種類を選択できます。

入力、選択後「設定」ボタンをクリックしてください。

(※※ 3) Loop Detection 機能
フレームの転送がループしてしまうことを防ぐ機能です。この機能が有効になっているときは、
以下の２つの場合にフレームの転送をおこないません。
・Xconnect インタフェースより受信したフレームの送信元 MAC アドレスが FDB に存在するとき
・L2TP セッションより受信したフレームの送信元
MAC アドレスが Local MAC テーブルに存在するとき(※※ 4) Known Unicast 送信機能
Known Unicast とは、既に MAC アドレス学習済みの Unicast フレームのことを言います。
この機能を「無効」にしたときは、以下の場合に Unicast フレームの転送をおこないません。
・Xconnect インタフェースより受信した Unicast
フレームの送信先 MAC アドレスが Local MAC テー
ブルに存在するとき107

第 13 章 L2TPv3 機能

Ⅲ．L2TPv3 Tunnel 設定
L2TPv3 のトンネル(制御コネクション)のための設定をおこないます。

設定方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 Tunnel 設定」をクリックします。

○パスワードCHAP 認証やメッセージダイジェスト、AVP Hiding
で利用する共有鍵を設定します。
パスワードは設定しなくてもかまいません。
パスワードは、制御コネクションの確立時における対向 LCCE の識別、認証に使われます。
※)○ AVP Hiding 設定(※
AVP Hiding を有効にするかを選択します。

新規に設定をおこなうときは「New Entry」をクリックして、以下の画面で設定します。

○ Digest Type 設定
メッセージダイジェストを使用する場合に設定します。
○ Hello Interval 設定
Hello パケットの送信間隔を設定します。
指定可能な範囲は 0‑1000 秒です。
「0」を設定すると Hello パケットを送信しません。
Hello パケットは、L2TPv3 の制御コネクションの状
態を確認するために送信されます。
L2TPv3 二重化機能で、ネットワークや機器障害を自動的に検出したい場合は必ず設定してください。
○ Local Hostname 設定
本装置のホスト名を設定します。
LCCE の識別に使用します。
設定しない場合は「L2TPv3 機能設定」での設定が有効になります。
○ Local Router ID 設定
対向 LCCE のルータ ID を設定します。
LCCE のルータ ID の識別に使用します。
設定しない場合は「L2TPv3 機能設定」での設定が有○ Description
このトンネル設定についてのコメントや説明を付記します。
この設定は L2TPv3 の動作には影響しません。
○ Peer アドレス
対向 LCCE の IP アドレスを設定します。
ただし、対向 LCCE が動的 IP アドレスの場合には空欄にしてください。

効になります。
○ Remote Hostname 設定
対向 LCCE のホスト名を設定します。
LCCE の識別に使用します。設定は必須となります。
○ Remote Router ID 設定
対向 LCCE のルータ ID を設定します。
LCCE のルータ ID の識別に使用します。設定は必須とな
ります。

108

第 13 章 L2TPv3 機能

Ⅲ．L2TPv3 Tunnel 設定(※※)AVP Hiding
L2TPv3 では、AVP(Attribute Value Pair)と呼ばれ○ Vender ID 設定

対向 LCCE のベンダー ID を設定します。
「0」は RFC3931 対応機器、「9」は Cisco Router、「20376」は XR シリーズとなります。

る、属性と値のペアでトンネルの確立や解放、維持などの制御メッセージをやりとりします。
AVP は通常、平文で送受信されますが、AVP Hiding 機
能を使うことで AVP の中のデータを暗号化します。

○ Bind Interface 設定
バインドさせる本装置のインタフェースを設定します。指定可能なインタフェースは「PPP インタフェース」のみです。
この設定により、PPP/PPPoE の接続 / 切断に伴って、
L2TP トンネルとセッションの自動確立 / 解放がおこなわれます。
○送信プロトコル
L2TP パケット送信時のプロトコルを「over IP」「over UDP」から選択します。
接続する対向装置と同じプロトコルを指定する必要があります。
「over UDP」を選択した場合、PPPoE to L2TP 機能を同時に動作させることはできません。
○送信ポート番号
L2TPv3 over UDP 使用時（上記「送信プロトコル」で「over UDP」を選択した場合）に、対向装置のポート番号を指定します。

入力、選択後「設定」ボタンをクリックしてください。

109

第 13 章 L2TPv3 機能

Ⅳ．L2TPv3

Xconnect(
クロスコネクト)設定
Xconnect(クロスコネクト
クロスコネクト)

主に L2TP セッションを確立するときに使用するパラメータの設定をおこないます。

○ L2Frame 受信インタフェース設定
レイヤー 2 フレーム(Ethernet フレーム)を受信するインタフェース名を設定します。
設定可能なインタフェースは、本装置の Ethernet
ポートと VLAN インタフェースのみです。

設定方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 Xconnect 設定」をクリックします。

Point to Multi‑point 接続をおこなう場合は、1つのインタフェースに対し、複数の L2TPv3 セッションの関連付けが可能です。
ただし、本装置の Ethernet インタフェースと VLAN イ
ンタフェースを同時に設定することはできません。

新規に設定をおこなうときは「New Entry」をクリックして、以下の画面で設定します。

<2つ(以上)の Xconnect
設定をおこなうときの例
>
<2つ
以上)
Xconnect設定をおこなうときの例
設定をおこなうときの例>「eth0.10」と「eth0.20」
・・・設定可能「eth0.10」と「eth0.10」
・・・設定可能(※※)
「eth0」と「eth0.10」
・・・・設定不可※ Point to Multi‑point 接続、もしくはL2TPv3 二重化の場合のみ設定可能です。
○ VLAN ID 設定
本装置で VLAN タギング機能を使用する場合に設定します。本装置の配下に VLAN に対応していない L2スイッチが存在するときに使用できます。
0 〜 4094 まで設定でき、「0」のときは VLAN タグを付与しません。

○ Xconnect ID 設定「L2TPv3 Group 設定」で使用する ID を任意で設定します。
○ Tunnel 設定選択
「L2TPv3 Tunnel設定」で設定したトンネル設定を選択して、トンネルの設定とセッションの設定を関連づけます。
プルダウンメニューには、「L2TPv3 Tunnel 設定」の「Remote Router ID」で設定された値が表示されます。

110○ Remote END ID 設定
対向 LCCE の END ID を設定します。
END ID は 1 〜 4294967295 の任意の整数値です。
対向 LCCE の END ID 設定と同じものにします。
ただし、L2TPv3 セッション毎に異なる値を設定してください。
○ Reschedule Interval 設定
L2TP トンネル / セッションが切断したときにreschedule(自動再接続)することができます。
自動再接続するときはここで、自動再接続を開始するまでの間隔を設定します。0〜1000(秒)で設定します。
また、「0」を設定したときは自動再接続はおこなわれません。このときは手動による接続か対向LCCEからのネゴシエーションによって再接続します。
L2TPv3二重化機能で、ネットワークや機器の復旧時に自動的にセッション再接続させたい場合は、必ずReschedule Interval を設定してください。

第 13 章 L2TPv3 機能

Ⅳ．L2TPv3

Xconnect(
クロスコネクト)設定
Xconnect(クロスコネクト
クロスコネクト)○ Auto Negotiation 設定
この設定が有効になっているときは、L2TPv3 機能が起動後に自動的に L2TPv3 トンネルの接続が開始されます。
この設定は Ethernet 接続時に有効です。
PPP/PPPoE環境での自動接続は、「L2TPv3 Tunnel設定」の「Bind Interface 設定」で ppp インタフェースを設定してください。
○ MSS 設定
MSS値の調整機能を有効にするかどうかを選択します。

○ Split Horizon 設定
Point‑to‑Multi‑Point 機能によって、センターと２拠点間を接続しているような構成において、センターと拠点間の L2TPv3 通信はおこなうが、拠点同士間の通信は必要ない場合に、センター側でこの機能を有効にします。
センター側では、Split Horizon 機能が有効の場合、一方の拠点から受信したフレームをもう一方のセッションへは転送せず、Local Interface に対してのみ転送します。
※ Split Horizon の使用例 1○ MSS 値（byte）
MSS 設定を「有効」に選択した場合、MSS 値を指定することができます（指定可能範囲 0‑1460）。
「0」を指定した場合、自動的に計算された値を設定します。
特に必要のない限り、この機能を有効にして、かつMSS 値を 0 にしておくことを推奨いたします。
（それ以外では正常にアクセスできなくなる場合があります。
）○ Loop Detect 設定
この Xconnect において、LoopDetection 機能を有効にするかを選択します。

また、この機能は、拠点間でフルメッシュの構成をとる様な場合に、フレームの Loop の発生を防ぐための設定としても有効です。
この場合、全ての拠点において Split Horizon 機能を有効に設定します。LoopDetect 機能を有効にする必要はありません。

○ Known Unicast 設定
この Xconnect において、Known Unicast 送信機能を有効にするかを選択します。

※ Split Horizon の使用例 2注) LoopDetect 設定、Known Unicast 設定は、
「L2TPv3 機能設定」でそれぞれ有効にしていない場合、ここでの設定は無効となります。
○ Circuit Down 時 Frame 転送設定
Circuit Status が Down 状態の時に、対向 LCCE に対して Non‑Unicast Frame を送信するかを選択します。
入力、選択後「設定」ボタンをクリックしてください。

111

第 13 章 L2TPv3 機能

Ⅴ．L2TPv3
L2TPv3 セッション二重化機能を使用する場合に、二重化グループのための設定をおこないます。
二重化機能を使用しない場合は、設定する必要はありません。

設定方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 Group 設定」をクリックします。

新規のグループ設定をおこなうときは、「New Entry」
をクリックします。

Group 設定
○ Preenmpt 設定※ 1)を有効にするかどうかGroup の Preempt モード(※を設定します。
○ Primary active 時の Secondary Session 強制切断
設定
この設定が「有効」となっている場合、Primaryセッショ
ンがActiveに移行した際に、Secondaryセッションを強制的に切断します。
本機能を「有効」にする場合、「Preempt 設定」も「有効」に設定してください。
Secondary セッションを ISDN などの従量回線で接続する場合には「有効」にすることを推奨します。
○ Active Hold 設定※ 2)を有効にするかどうGroup の Active Hold 機能(※
かを設定します。

入力、選択後「設定」ボタンをクリックしてください。

○ Group ID 設定
Groupを識別する番号を設定します。他のGroupと重複しない値を設定してください。
設定可能な値は、1 〜 4095 の任意の整数値です。
○ Primary Xconnect 設定選択
Primaryとして使用したいXconnectをプルダウンから選択します。プルダウンには「L2TPv3 Xconnect設定」の「Xconnect ID設定」で設定した値が表示されます。
既に他の Group で使用されている Xconnect を指定することはできません。

（※※ 1）Preempt モード
SecondaryセッションがActiveとなっている状態で、Primaryセッションが確立したときに、通常Secondary
セッションが Active な状態を維持し続けますが、Preemptモードが「有効」の場合は、Primaryセッショ
ンがActiveになり、SecondaryセッションはStand‑byとなります。
(※※ 2)Active Hold 機能
対向の LCCE から Link Down を受信した際に、Sec‑
ondaryセッションへの切り替えをおこなわず、Pri‑
maryセッションをActiveのまま維持する機能のことを言います。
1vs1 の二重化構成の場合、対向 LCCE で Link Downが発生した際に、Primary から Secondary へ Active
セッションを切り替えたとしても、通信できない
状態は変わりません。よってこの構成においては、
不要なセッションの切り替えを抑止するために本機能を有効に設定することを推奨します。

○ Secondary Xconnect 設定選択
Secondary として使用したい Xconnect をプルダウンから選択します。プルダウンには「L2TPv3 Xconnect設定」の「Xconnect ID 設定」で設定した値が表示されます。
既に他の Group で使用されている Xconnect を指定す112ることはできません。

第 13 章 L2TPv3 機能

Ⅵ．Layer2 Redundancy 設定

Layer2 Redundancy Protocol 機能（以下、L2TP 機能)とは、装置の冗長化をおこない、Frame の Loopを抑止するための機能です。
L2RP 機能では、2 台の LCCE で Master/Backup 構成
を取り、Backup 側は受信 Frame を全て Drop させることによって、Loop の発生を防ぐことができます。
また、機器や回線の障害発生時には、Master/
Backup を切り替えることによって拠点間の接続を維持することができます。
下図のようなネットワーク構成では、フレームのLoop が発生し得るため、本機能を有効にしてくだ
さい。
※ L2RP 機能の使用例（画面は XR‑640L2）○ L2RP ID
L2RP の ID です。
対になる LCCE の L2RP と同じ値を設定します。
○ Type 設定
Master/Backup を決定する判定方法を選択します。
「Priority」は Priority 値の高い方が Master となります。
「Active Session」は Active Session 数の多い方が Master となります。

L2RP の設定方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 Layer2 Redundancy 設定」をクリックします。

○ Priority 設定
Master の選定に使用する Priority 値です。
1 〜 255 の間で設定します。
○ Advertisement Interval 設定※ 1)を送信する間隔です。
Advertise Frame(※1 〜 60(秒)の間で設定します。

「New Entry」をクリックすると以下の設定画面が開きます。

○ Preempt 設定
Priority 値が低いものが Master で、高いものがBackupとなることを許可するかどうかの設定です。
○ Xconnect インターフェース設定
Xconnect インタフェース名を指定してください。
Advertise Frame は Xconnect 上で送受信されます。

113

第 13 章 L2TPv3 機能

Ⅵ．Layer2 Redundancy 設定○ Forward Delay 設定
Forward Delay とは、L2TP セッション確立後、指定された Delay Time の間、Frame の転送をおこなわない機能のことです。
例えば、他の L2 サービスと併用し、L2RP の対向が存在しないような構成において、L2RP 機能では自身が送出した Advertise フレームを受信すること
で Loop を検出しますが、Advertise フレームを受信するまでは一時的に Loop が発生する可能性があります。このような場合に Forward Delay を有効にすることによって、Loop の発生を抑止することができます。
delay Time の設定値は Advertisement Interval より長い時間を設定することを推奨します。

L2RP Group Blocking 状態について
他の L2 サービスと併用している場合に、自身が送出した Advertise Frame を受信したことによって、Frame の転送を停止している状態を Group Block‑ing 状態と言います。
この Group Blocking 状態に変化があった場合にも、以下の設定で、機器の MAC テーブルをフラッ
シュすることができます。
※ XR‑640L2 のみ○ FDB Reset 設定（※のみ）
HUB ポートを持っている XR‑640L2 の場合、自身のHUB ポートの MAC テーブルをフラッシュします。
○ Block Reset 設定
自身の Port のリンク状態を一時的に Down させ、配下のスイッチの MAC テーブルをフラッシュします。
Group Blocking状態に遷移した場合のみ動作します。

※他の L2RP サービスとの併用例
入力、選択後「設定」ボタンをクリックします。

○ Port Down Time 設定
L2RP 機能によって、Active セッションの切り替えが発生した際、配下のスイッチにおける MAC アド
レスのエントリが、以前 Master だった機器の Portを向いているために最大約 5 分間通信ができなくなる場合があります。
これを回避するために、Master から Backup の切り替え時に自身の Port のリンク状態を一時的にダウンさせることによって配下のスイッチの MAC テー
ブルをフラッシュさせることができます。

(※※ 1)Advertise Frame
Master側が定期的に送出する情報フレームです。
Backup 側ではこれを監視し、一定時間受信しない
場合に Master 側の障害と判断し、自身が Master へ遷移します。

L2RP 機能使用時の注意
L2RP 機能を使用する場合は、Xconnect 設定において以下のオプション設定をおこなってください。

設定値は、切り替え時に Port をダウンさせる時間です。0 を指定すると本機能は無効になります。

114

・Loop Detect 機能「無効」
・known‑unicast 機能「送信する」
・Circuit Down 時 Frame 転送設定 「送信する」

第 13 章 L2TPv3 機能

Ⅶ．L2TPv3 Filter 設定

L2TPv3 Filter 設定については、次章「第 14 章 L2TPv3 フィルタ機能」で説明します。

115

第 13 章 L2TPv3 機能

Ⅷ．起動 / 停止設定
L2TPv3 トンネル / セッションの起動や停止、MAC
テーブルのクリア等をおこないます。

実行方法「各種サービスの設定」→「L2TPv3」の「起動 / 停止設定」をクリックします。

○起動・Xconnect Interface 選択
トンネル/セッション接続を実行したいXconnect
インタフェースを選択します。
プルダウンには、「L2TPv3 Xconnect 設定」で設定したインタフェースが表示されます。
・Remote‑ID 選択
Point to Multi‑point 接続や L2TPv3 二重化の場合に、1 セッションずつ接続したい場合は、接続した
い Remote‑ID をプルダウンから選択してください。

画面下部の「実行」ボタンを押下すると、接続を開始します。

116

第 13 章 L2TPv3 機能

Ⅷ．起動 / 停止設定
○停止
トンネル / セッションの停止をおこないます。
停止したい方法を以下から選択してください。
○ Local Tunnel/Session ID 指定
１セッションのみ切断したい場合は、切断する
セッションの Tunnel ID/Session ID を指定してください。

○ Peer counter クリア「L2TPv3 ステータス表示」で表示される「Peer ス
テータス表示」のカウンタをクリアします。
プルダウンからクリアしたい Remote‑ID を選択してください。
プルダウンには、「L2TPv3 Xconnect 設定」で設定した Peer ID が表示されます。

○ Tunnel Counter クリア「L2TPv3 ステータス表示」で表示される「Tunnel ス○ Remote‑ID 指定
テータス表示」のカウンタをクリアします。
ある LCCE に対するセッションを全て切断したい場
合は、対向 LCCE の Remote‑ID を選択してください。 クリアしたい Local Tunnel ID を指定してください。
○ Group‑ID 指定
グループ内のセッションを全て停止したい場合は、 ○ Session counter クリア「L2TPv3 ステータス表示」で表示される「Session
停止する Group ID を指定してください。
ステータス」のカウンタをクリアします。
クリアしたい Local Session ID を指定してくださ○ Local MAC テーブルクリア
い。
L2TPv3 機能で保持しているローカル側の MAC テーブル(Local MAC テーブル)をクリアします。
クリアしたい Xconnect Interface をプルダウンから選択してください。
○ FDB クリア
L2TPv3 機能で保持している L2TP セッション側の MAC
テーブル(FDB)をクリアします。
Group ID を選択した場合は、そのグループで持つFDB のみクリアします。
Xconnect Interfaceをプルダウンから選択した場合は、その Interface で持つ全てのセッション ID の
FDB をクリアします。

○ Interface counter クリア「L2TPv3 ステータス表示」で表示される「Xconnect
Interface 情報表示」のカウンタをクリアします。
プルダウンからクリアしたい Interface を選択してください。
プルダウンには、「L2TPv3 Xconnect 設定」で設定したインタフェースが表示されます。

画面下部の「実行」ボタンを押下すると、接続を停止します。

なお、「Local MAC テーブル」、「FDB」における MAC
テーブルは、本装置の「情報表示」で表示される
ARP テーブルとは別ものです。

117

第 13 章 L2TPv3 機能

Ⅸ．L2TPv3

ステータス表示

L2TPv3 の各種ステータスを表示します。

○ Peer ステータス表示
Peer ステータス情報を表示します。
表示したい Router‑ID を指定してください。

実行方法「各種サービスの設定」→「L2TPv3」の「L2TPv3 ステータス表示」をクリックします。

○ Tunnel ステータス表示
L2TPv3 トンネルの情報のみを表示します。
表示したい Tunnel ID を指定してください。
・detail 表示
チェックを入れると詳細情報を表示することができます。
○ Session ステータス表示
L2TPv3 セッションの情報とカウンタ情報を表示します。
表示したい Session ID を指定してください。
指定しない場合は全てのセッションの情報を表示します。
・detail 表示
チェックを入れると詳細情報を表示することができます。

○ Xconnect Interface 情報表示
Xconnect Interface のカウンタ情報を表示します。 ○ Group ステータス表示
プルダウンから表示したいInterfaceを選択してく L2TPv3 グループの情報を表示します。
プライマリ・セカンダリの Xconnect/ セッション情
ださい。
報と現在 Active のセッション ID が表示されます。
・detail 表示
表示したい Group ID を指定してください。
チェックを入れると詳細情報を表示することがで指定しない場合は全てのグループの情報を表示しまきます。
す。
○ MAC Table/FDB 情報表示
L2TPv3機能が保持しているMACアドレステーブルの内容を表示します。
プルダウンから表示したいXconnectインタフェースを選択してください。

○すべてのステータス情報表示
上記 5 つの情報を一覧表示します。

「表示する」ボタンをクリックすると、新しいウィンドウが開いて、L2TPv3 のステータス情報が表示
・local MAC Table 表示
ローカル側で保持するMACテーブルを表示したい されます。
場合はチェックを入れてください。
・FDB 表示
L2TPセッション側で保持するMACテーブルを表示
したい場合はチェックを入れてください。
「local MAC Table 表示」と「FDB 表示」の両方にチェックを入れることもできます。
118

第 13 章 L2TPv3 機能

Ⅹ．制御メッセージ一覧
L2TPのログには各種制御メッセージが表示されます。
メッセージの内容については、下記を参照してください。

[制御コネクション関連メッセージ][呼管理関連メッセージ]

SCCRQ：Start‑Control‑Connection‑Request
SCCRQ：
制御コネクション(トンネル)の 確立を要求する
メッセージ。

ICRQ：Incoming‑Call‑Request
ICRQ：
リモートクライアントから送られる着呼要求メッ
セージ。

SCCRP
：Start‑Control‑Connection‑Reply
SCCRP：SCCRQ に対する応答メッセージ。トンネルの確立に同意したことを示します。

ICRP：Incoming‑Call‑Reply
ICRP：
ICRQ に対する応答メッセージ。

SCCCN：Start‑Control‑Connection‑Connected
SCCCN：SCCRP に対する応答メッセージ。このメッセージにより、トンネルが確立したことを示します。
StopCCN：Stop‑Control‑Connection‑Notification
StopCCN：
トンネルを切断するメッセージ。これにより、トンネル内のセッションも切断されます。

ICCN：Incoming‑Call‑Connected
ICCN：
ICRP に対する応答メッセージ。このメッセージにより、L2TP セッションが確立した状態になったことを示します。
CDN：Call‑Disconnect‑Notify
CDN：
L2TP セッションの切断を要求するメッセージ。

HELLO：HelloHELLO：
トンネルの状態を確認するために使われるメッ
セージ。

119

第 13 章 L2TPv3 機能

ⅩⅠ．L2TPv3
ⅩⅠ．

設定例 1(2 拠点間の L2TP トンネル)
トンネル)

2 拠点間で L2TP トンネルを構築し、End to End で
L2TPv3 サービスの起動
Ethernet フレームを透過的に転送する設定例です。 L2TPv3 機能を設定するときは、はじめに「各種サービス」の「L2TPv3」を起動してください。

※ 次ページ以降の各例は、全て XR‑640L2 の設定
画面です。

120

第 13 章 L2TPv3 機能

ⅩⅠ．L2TPv3
ⅩⅠ．

設定例 1(2 拠点間の L2TP トンネル)
トンネル)

L2 #1 ルータの設定
L2TPv3 機能設定
機能設定をおこないます。
・Local Router‑ID は IP アドレス形式で設定します(この設定例ではEther1ポートのIPアドレスとしています)。

L2TPv3 Tunnel 設定
設定をおこないます。
・「AVP Hinding」「Digest type」を使用するときは、「パスワード」を設定する必要があります。
・PPPoE 接続と L2TPv3 接続を連動させるときは、「Bind Interface」にPPPインタフェース名を設定します。
・XR‑410L2で設定をする場合は、「Vendor ID」を 0に設定してください。

121

L2TPv3 Xconnect Interface 設定
設定をおこないます。

第 13 章 L2TPv3 機能

ⅩⅠ．L2TPv3
ⅩⅠ．

設定例 1 (2 拠点間の L2TP トンネル)
トンネル)

L2 #2 ルータの設定
L2TPv3 Xconnect Interface 設定
設定をおこないます。

L2#1 ルータと同様に設定します。
L2TPv3 機能設定
機能設定をおこないます。

L2TPv3 Tunnel 設定
設定をおこないます。
・XR‑410L2 で設定をする場合は、「Vendor ID」を0 に設定してください。

122

第 13 章 L2TPv3 機能

ⅩⅠ．L2TPv3
ⅩⅠ．

設定例 1 (2 拠点間の L2TP トンネル)
トンネル)

L2TPv3TunnelSetup の起動
ルータの設定後、「起動 / 停止設定」画面で L2TPv3接続を開始させます。

L2TPv3 接続を停止するときは、「起動 / 停止設定」
画面で停止するか、「各種サービスの設定」画面でL2TPv3 を停止します。

下の画面で「起動」にチェックを入れ、Xconnect
Interface と Remote‑ID を選択します。
画面下の「実行」ボタンをクリックすると L2TPv3接続を開始します。

123

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)

次に、センター側を 2 台の冗長構成にし、拠点 /センター間の L2TP トンネルを二重化する場合の設定例です。
本例では、センター側の２台の XR のそれぞれに対し、拠点側 XR から L2TPv3 セッションを張り、Secondary 側セッションは STAND‑BY セッションとして待機させるような設定をおこないます。

LAN A: 192.168.0.0/24
4

LAN B: 192.168.0.0/24

124

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)

L2‑A#1/L2‑A#2(
センター側)ルータの設定
L2‑A#1/L2‑A#2(センター側
センター側)■ L2‑A#1（Primary）ルータ
機能設定をおこないます。
L2TPv3 機能設定

■ L2‑A#2（Secondary）ルータ
機能設定をおこないます。
L2TPv3 機能設定
・Primaryルータと同じ要領で設定してください。

・「LocalHostName」には任意のホスト名を設定します。
・「Local Router‑ID」には WAN 側の IP アドレスを設定します。

125

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)■ L2‑A#1（Primary）ルータ
設定をおこないます。
L2TPv3 Tunnel 設定
・「Peer アドレス」には拠点側ルータの WAN 側のIP アドレスを設定します。
・「LocalHostName」「Local Router‑ID」が未設定の場合は、機能設定で設定した値が使用されます。
・「Local Router‑ID」には WAN 側の IP アドレスを設定します。
・「RemoteHostName」「Remote Router‑ID」は、それぞれ拠点側ルータで設定します。
「LocalHostName」「Local Router‑ID」と同じものを設定します。
・XR‑410L2 で設定をする場合は、「Vendor ID」を0 に設定してください。

■ L2‑A#2（Secondary）ルータ
設定をおこないます。
L2TPv3 Tunnel 設定
・Primaryルータと同じ要領で設定してください。
本例の場合、Primary ルータと同じ設定になり
ます。

126

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)■ L2‑A#1（Primary）ルータ
設定をおこないます。
L2TPv3 Xconnect Interface 設定
・「Xconnect ID 設定」は Group 設定をおこなわないので設定不要です。
・「Tunnel 設定選択」はプルダウンから拠点側
ルータの Peer アドレスを選択します。
・「L2Frame 受信インタフェース」は LAN 側のイン
タフェースを指定します。
LAN 側インタフェースには IP アドレスを設定■ L2‑A#2（Secondary）ルータ
設定をおこないます。
L2TPv3 Xconnect Interface 設定する必要はありません。
・「Remote End ID 設定」は任意の END ID を設定します。必ず拠点側ルータの Primary セッションと同じ値を設定してください。

127

・Primary ルータと同じ要領で設定してください。
・「Remote End ID 設定」は、拠点側ルータのSecondary セッションと同じ値を設定します。

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)

L2TPv3 Group 設定
設定について・Primary、Secondary ルータともに、L2TP セッションの Group 化はおこなわないので、設定の必要はありません。

L2‑B(
拠点側ルータ
)の設定
L2‑B(拠点側ルータ
拠点側ルータ)L2TPv3 機能設定
機能設定をおこないます。
・「LocalHostName」には任意のホスト名を設定します。
・「Local Router‑ID」には WAN 側の IP アドレスを設定します。

128

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)■ Primary セッション側
設定をおこないます。
L2TPv3 Tunnel 設定
・「Peer アドレス」にはセンター側 Primary ルータの WAN 側の IP アドレスを設定します。
・「Hello Interval 設定」を設定した場合、L2TP
セッションの Keep‑Alive をおこないます。
回線または対向 LCCE の障害を検出し、ACTIVE
セッションを Secondary 側へ自動的に切り替えることができます。
・「LocalHostName」「Local Router‑ID」が未設定の場合は、機能設定で設定した値が使用されます。
・「Local Router‑ID」には WAN 側の IP アドレスを設定します。
・「RemoteHostName」「Remote Router‑ID」は、それぞれセンター側 Primary ルータで設定する「LocalHostName」「Local Router‑ID」と同じものを設定します。
・XR‑410L2 で設定をする場合は、「Vendor ID」を0 に設定してください。

■ Secondary セッション側
設定をおこないます。
L2TPv3 Tunnel 設定
・Primary セッションと同じ要領で設定してください。

129

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)■ Primary セッション側
設定をおこないます。
L2TPv3 Xconnect 設定
・「Xconnect ID 設定」は任意の XconnectID を設定します。必ずSecondary側と異なる値を設定してください。
・「Tunnel設定選択」はプルダウンからPrimaryセッションの Peer アドレスを選択します。
・「L2Frame 受信インタフェース」は LAN 側のイン
タフェースを指定します。
LAN 側インタフェースには IP アドレスを設定する必要はありません。

■ Secondary セッション側
設定をおこないます。
L2TPv3 Xconnect 設定
・Primaryセッションと同じ要領で設定してください。

・「Remote End ID 設定」は任意の END ID を設定します。必ずセンター側Primaryルータで設定する
End ID と同じ値を設定します。
ただし、Secondary 側と同じ値は設定できません。
・「Reschedule Interval 設定」に任意の Interval
時間を設定してください。
この場合、L2TP セッションの切断検出時に自動的に再接続をおこないます。

130

第 13 章 L2TPv3 機能

ⅩⅡ．L2TPv3
ⅩⅡ．

設定例 2 (L2TP トンネル二重化)
トンネル二重化)

L2TPv3 Group 設定
設定をおこないます。
L2TPv3TunnelSetup の起動
・「Group ID」は任意のグループ ID を設定します。 設定後が終わりましたら L2TPv3 機能の起動 / 停止
・「Primary Xconnect 設定選択」はプルダウンから 設定をおこないます。
PrimaryセッションのXconnect IDを選択します。
・「Secondary Xconnect設定選択」はプルダウンか 「起動 / 停止」画面で Xconnect Interface とらSecondaryセッションのXconnect IDを選択し Remote‑ID を選択し、画面下の「実行」ボタンをクます。
リックすると L2TPv3 接続を開始します。
・本例では「Preempt 設定」「Primary active 時のSecondary Session 強制切断設定」をそれぞれ「無効」に設定しています。常に Primary/Sec‑
ondary セッションの両方が接続された状態とな
り、Secondaryセッション側はStand‑by状態として待機しています。Primaryセッションの障害時には、Secondaryセッションを即時にActive化します。

本例では、拠点側から Primary/Secondary の両方の L2TPv3 接続を開始し、Primary 側が ACTIVE セッ
ション、Secondary 側は STAND‑BY セッションとして確立します。

L2TPv3 接続を停止するときは、「起動 / 停止設定」
画面で停止するか、「各種サービスの設定」画面でL2TPv3 を停止します。

131

第 14 章L2TPv3 フィルタ機能

第 14 章 L2TPv3 フィルタ機能

Ⅰ．L2TPv3 フィルタ 機能概要
L2TPv3 フィルタ概要
XR の L2TPv3 フィルタ機能は、ユーザが設定したフィルタリングルールに従い、Xconnect Interface 上もしくは Session 上でアクセス制御をおこないます。
アクセス制御は、MAC アドレスや IPv4 、ARP、802.1Q、TCP/UDP など L2‑L4 での詳細な指定が可能です。

L2TPv3 フィルタ設定概要
L2TPv3 フィルタは以下の要素で構成されています。

(1)Access Control List（ACL）
Layer2 レベルでルールを記述する「Layer2 ACL」
およびプロトコル毎に詳細なルールを記述する拡張ACL として IP‑ACL、ARP‑ACL、802.1Q‑ACL、
802.3‑ACL があります。
(2)Root‑Filter
Root‑FilterではLayer2 ACLを検索する順にリストします。
各Root Filterにはユーザによりシステムでユニー
クな名前を付与し、識別します。
Root Filter では、配下に設定された全ての Layer2
ACL に一致しなかった場合の動作を Default ポリ
シーとします。
Defaultポリシーとして定義可能な動作は、deny（破棄）/permit（許可）です。

(3)L2TPv3‑Filter
Xconnect Interface、Session それぞれに適用する
Root‑Filter を設定します。
Xconnect Interfaceに関してはInterface Filter、Session に関しては Session Filter で設定します。

133

第 14 章 L2TPv3 フィルタ機能

Ⅰ．L2TPv3 フィルタ 機能概要
L2TPv3 フィルタの動作（ポリシー）
フィルタの動作（
設定条件に一致した場合、L2TPv3 フィルタは以下の動作をおこないます。
1)許可(permit)
フィルタルールに一致した場合、検索を中止してフレームを転送します。
2)破棄(deny)
フィルタルールに一致した場合、検索を中止してフレームを破棄します。
3)復帰(return)
Layer2 ACL でのみ指定可能です。
フィルタルールに一致しない場合、該当 Layer2 ACL での検索を中止して呼び出し元の次の Layer2
ACL から検索を再開します。
フィルタ評価のモデル図

134

第 14 章 L2TPv3 フィルタ機能

Ⅰ．L2TPv3 フィルタ 機能概要

フィルタの評価
Root‑Filter の配下に設定された Layer2 ACL の検索は、定義された上位から順番におこない、最初に条件に一致したもの（1st match）に対して以下の評価をおこないます。
・拡張 ACL がない場合
該当 Layer2 ACL のポリシーに従い、deny/permit/return をおこないます。
・拡張 ACL がある場合
Layer2 ACL の配下に設定された拡張 ACL の検索は、1st match にて検索をおこない、以下の評価をおこないます。
1) 拡張 ACL に一致する場合、拡張 ACL の policy に従い deny/permit をおこないます。
2) 全ての拡張 ACL に一致しない場合、該当 Layer2 ACL のポリシーに従い、 deny/permit/
return をおこないます。
フレームが配下に設定された全ての Layer2 ACL に一致しなかった場合は、Default ポリシーによりフレームを deny または permit します。

フィルタ処理順序
L2TPv3 フィルタにおける処理順序は、IN 側フィルタでは送信元 / あて先 MAC アドレスのチェックをおこなったあとになります。
「Known Unicast 設定」や「Circuit Down 時の Frame 転送」によりフレームの転送が禁止されている状態で
permit 条件に一致するフレームを受信しても、フレームの転送はおこなわれませんのでご注意ください。

802.1Q タグヘッダ
Xconnect Interface が VLAN(802.1Q)であるフレームをフィルタリングする場合、タグヘッダについては、フィルタの評価対象から除外し、タグヘッダに続くフィールドから再開します(下図参照)。

135

第 14 章 L2TPv3 フィルタ機能

Ⅱ．設定順序について
L2TPv3 Filter の設定順序は、下の表を参考にしてください。

【L2TPv3 Filter の設定順序】

136

第 14 章 L2TPv3 フィルタ機能

Ⅲ．機能設定設定方法◆機能設定

Web 設定画面「各種サービスの設定」→「L2TPv3」
をクリックして、画面上部の「L2TPv3 Filter 設定」をクリックします。

L2TPv3 フィルタ設定画面の「機能設定」をクリッ
クします。

設定方法

L2TPv3 フィルタは以下の画面で設定をおこないま
す。

◆機能設定
◆ L2TPv3 Filter 設定◆ Root Filter 設定◆ Layer2 ACL 設定◆ IPv4 Extend ACL 設定◆ ARP Extend ACL 設定◆ 802.1Q Extend ACL 設定◆ 802.3 Extend ACL 設定
◆情報表示

○本機能
L2TPv3 Fitler 機能の有効 / 無効を選択し、設定ボタンを押します。

137

第 14 章 L2TPv3 フィルタ機能

Ⅳ．L2TPv3 Filter 設定◆ L2TPv3 Filter 設定
L2TPv3 Filter 設定画面の「L2TPv3 Filter 設定」をクリックします。
現在設定されている Interface Filter と Session Filter が一覧表示されます。

Interface Filter

Session Filter

Interface Filter は、Root Filter を Xconnect
Interface に対応づけてフィルタリングをおこないます。
IN Filter は外側のネットワークから Xconnect
Interface を通して XR が受信するフレームをフィ
ルタリングします。
OUT Filter は XR が Xconnect Interface を通して送信するフレームをフィルタリングします。

Session Filter は、Root Filter を Session に関連づけてフィルタリングをおこないますので、Sessionから Session への通信を制御することができます。
下の図で、IN Filter は XR が L2TP Session A から受信するフレームをフィルタリングしています。
OUT Filter は XR が L2TP Session A へ送信するフ
レームをフィルタリングしています。

Interface Filter のモデル図

Session Filter のモデル図

Interface Filter の編集

Session Filter の編集Interface Filter 一覧表示内の「edit」ボタンをクリックします。

Session Filter 一覧表示内の「edit」ボタンをク
リックします。

○ Interface
Xconnect Interface に設定したインタフェース名が表示されます。

○ PeerID : RemoteEndID
対向側の Xconnect Interface ID と Remote End IDが表示されます。

○ ACL(in)IN 方向に設定する Root Filter 名を選択します。

○ ACL(in)IN 方向に設定したい Root Filter 名を選択します。

○ ACL(out)OUT 方向に設定する Root Filter 名を選択します。

○ ACL(out)OUT方向に設定したいRoot Filter名を選択します。

138

第 14 章 L2TPv3 フィルタ機能

Ⅴ．Root Filter 設定◆ Root Filter 設定
L2TPv3 Filter 設定画面の「Root Filter 設定」をクリックします。
現在設定されている Root Filter が一覧表示されます。

Root Filter の追加

Root Filter の編集

画面下の「追加」ボタンをクリックします。

一覧表示内の「edit」をクリックします。

○ Root Filter Name
Root Filter を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。

追加画面と同様に設定してください。

Root Filter の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

○ Default Policy
受け取ったフレームが、その Root Filter の配下にある Layer2 ACL のすべてに一致しなかった場合の動作を設定します。
Permit/Deny のどちらかを選択してください。

139

第 14 章 L2TPv3 フィルタ機能

Ⅴ．Root Filter 設定
配下の Layer2 ACL を設定する「L2TPv3 Filter 一覧表示」内の「layer2」をクリックすると、現在設定されている配下の Layer2 ACL が一覧で表示されます。

配下の Layer2 ACL の追加

配下の Layer2 ACL の編集

画面下の「追加」ボタンをクリックします。

一覧表示内の「edit」をクリックします。

○ Seq.No.
配下のLayer2 ACLを検索する際の順番（シーケンス番号）を指定します。
無指定またはすでに設定されている数を越えた数値を入力した場合、末尾に追加されます。

追加画面と同様に設定してください。

○ Layer2 ACL Name
その Root Filter の配下に設定したい Layer2 ACL
を選択します。
同一 Root Filter 内で重複する Layer2 ACL を設定することはできません。

配下の Layer2 ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

140

第 14 章 L2TPv3 フィルタ機能

Ⅵ．Layer2 ACL 設定◆ Layer2 ACL 設定
L2TPv3 Filter 設定画面の「Layer2 ACL 設定」をクリックします。
現在設定されている Layer2 ACL が一覧表示されます。

Layer2 ACL の追加
画面下の「追加」ボタンをクリックします。

○ Layer2 ACL NameACL を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。

○ Type/Length
IPv4、IPv6、ARP、802.1Q、length または 16 進数
指定の中から選択します（無指定でも可）。
16進数指定の場合は右側の入力欄に指定値を入力します。
指定可能な範囲：0600‑ffff です。
IPv4、ARP、802.1Q を指定すると配下の拡張 ACL に
IPv4 Extend ACL、ARP Extend ACL、802.1Q Extend
ACL を指定することができます。
16 進数で length を指定すると、802.3 Extend ACLを指定することができます。

Layer2 ACL の編集○ Policydeny（破棄）/permit（許可）/return（復帰）のいずれかを選択します。
○ Source MAC
送信元 MAC アドレスを指定します。
（マスクによるフィルタリングも可能です。
）＜フォーマット＞
XX:XX:XX:XX:XX:XX
XX:XX:XX:XX:XX:XX/MM:MM:MM:MM:MM:MM○ Destination MAC
あて先 MAC アドレスを指定します。
Source MAC 設定と同様に設定してください。

一覧表示内の「edit」をクリックします。

追加画面と同様に設定してください。

Layer2 ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

141

第 14 章 L2TPv3 フィルタ機能

Ⅵ．Layer2 ACL 設定

配下に拡張 ACL を設定する「Layer2 ACL 一覧表示」内の「extend」をクリックすると、現在設定されている配下の拡張 ACL が一覧で表示されます。

配下の拡張 ACL の追加

配下の拡張 ACL の編集

画面下の「追加」ボタンをクリックします。

一覧表示内の「edit」をクリックします。

○ Seq.NO.
配下の拡張 ACL を検索する際の順番（シーケンス番号）を指定します。
無指定またはすでに設定されている数を越えた数値を入力した場合、末尾に追加されます。

追加画面と同様に設定してください。

配下の拡張 ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

○ Name
設定可能な拡張 ACL 名を選択します。
同一 Layer2 ACL 内で重複する拡張 ACL を設定することはできません。

142

第 14 章 L2TPv3 フィルタ機能

Ⅶ．IPv4 Extend ACL 設定◆ IPv4 Extend ACL 設定
L2TPv3 Filter 設定画面の「IPv4 Extend ACL 設定」をクリックします。
現在設定されている IPv4 Extend ACL が一覧表示されます。

オプション欄表示の意味は次の通りです。
・src‑port=X
送信元ポート番号が X
・dst‑port=X:Y あて先ポート番号の範囲が X 〜 Y

IPv4 Extend ACL の追加
画面下の「追加」ボタンをクリックします。

○ TOS
TOS 値を 16 進数で指定します。
指定可能な範囲：00‑ff です。
○ IP Protocol
TCP/UDP/ICMP または 10 進数指定の中から選択します（無指定でも可）。
10進数指定の場合は右側の入力欄に指定値を入力してください。
指定可能な範囲：0‑255 です。

○ Extend ACL Name
拡張 ACL を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。

○ Source Port
送信元ポートを指定します。IP Protocol に TCP/UDPを指定した時のみ設定可能です。
範囲設定が可能です。
＜フォーマット＞
xxx（ポート番号 xx）
xxx:yyy（xxx 以上、yyy 以下のポート番号）○ Policydeny（破棄）/permit（許可）を選択します。

○ Destination Port
あて先ポートを指定します。
設定方法は Source Port と同様です。

○ Source IP
送信元 IP アドレスを指定します。
（マスクによる指定も可能です。
）< フォーマット >A.B.C.D
A.B.C.D/M○ ICMP TypeICMP Type の指定が可能です。
IP ProtocolにICMPを指定した場合のみ設定可能です。
指定可能な範囲：0‑255 です。

○ Destination IP
あて先 IP アドレスを指定します。
Source IP と同様に設定してください。

143○ ICMP Code
ICMP Code の指定が可能です。
ICMP Type が指定されていないと設定できません。
指定可能な範囲：0‑255 です。

第 14 章 L2TPv3 フィルタ機能

Ⅶ．IPv4 Extend ACL 設定
IPv4 Extend ACL の編集

IPv4 Extend ACL の削除

一覧表示内の「edit」をクリックします。

一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

追加画面と同様に設定してください。

144

第 14 章 L2TPv3 フィルタ機能

Ⅷ．ARP Extend ACL 設定◆ ARP Extend ACL 設定
L2TPv3 Filter 設定画面の「ARP Extend ACL 設定」をクリックします。
現在設定されている ARP Extend ACL が一覧表示されます。

ARP Extend ACL の追加
画面下の「追加」ボタンをクリックします。

○ Extend ACL Name
拡張 ACL を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。
○ Policydeny（破棄）/permit（許可）を選択します。

○ Destination MAC
あて先 MAC アドレスを指定します。
Source MAC 設定と同様に設定してください。
○ Source IP
送信元 IP アドレスを指定します。
（マスクによるフィルタリングも可能です。
）＜フォーマット＞
A.B.C.D
A.B.C.D/M○ Destination IP
あて先 IP アドレスを指定します。
Source IP 設定と同様に設定してください。

ARP Extend ACL の編集
一覧表示内の「edit」をクリックします。

○ OPCODE
Request、Reply、Request̲Reverse、Reply̲Reverse、
DRARP̲Request、DRARP̲Reply、DRARP̲Error、
InARP̲Request、ARP̲NAKまたは10進数指定の中から選択します。
無指定でも可能です。
10進数指定の場合は右側の入力欄に指定値を入力してください。
追加画面と同様に設定してください。
指定可能な範囲：0‑65535 です。
○ Source MAC
送信元 MAC アドレスを指定します。
（マスクによるフィルタリングも可能です。
）＜フォーマット＞
XX:XX:XX:XX:XX:XX
XX:XX:XX:XX:XX:XX/MM:MM:MM:MM:MM:MMARP Extend ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

145

第 14 章 L2TPv3 フィルタ機能

Ⅸ．802.1Q Extend ACL 設定◆ 802.1Q Extend ACL 設定
L2TPv3 Filter 設定画面の「802.1Q Extend ACL 設定」をクリックします。
現在設定されている 802.1Q Extend ACL が一覧表示されます。

802.1Q Extend ACL の追加
画面下の「追加」ボタンをクリックします。

○ Ethernet Type
カプセリングされたフレームの Ethernet Type を指定します。
IPv4、IPv6、ARP、802.1Q または 16 進数指定の中から選択します。
無指定でも設定可能です。
16進数指定の場合は右側の入力欄に指定値を入力してください。
指定可能な範囲：0600‑ffff です。
IPv4、ARP、802.1Q を指定すると配下の拡張 ACL に
IPv4 Extend ACL、ARP Extend ACL、802.1Q
Extend ACL を指定することができます。
16 進数で length を指定すると、802.3 Extend ACLを指定することができます。

○ Name拡張 ACL を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。
○ Policydeny（破棄）/permit（許可）のいずれかを選択します。

802.1Q Extend ACL の編集
一覧表示内の「edit」をクリックします。

○ VLAN ID
VLAN ID を指定します。
範囲設定が可能です。
指定可能な範囲：0‑4095 です。
＜フォーマット＞
xxx（VLAN ID：xx）
xxx:yyy（xxx 以上、yyy 以下の VLAN ID）○ Priority
IEEE 802.1P で規定されている Priority Field を判定します。
指定可能な範囲：0‑7 です。

追加画面と同様に設定してください。

802.1Q Extend ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

146

第 14 章 L2TPv3 フィルタ機能

Ⅸ．802.1Q Extend ACL 設定

配下に拡張 ACL を設定する「802.1Q ACL 一覧表示」内の「extend」をクリックすると、現在設定されている配下の拡張 ACL の一覧が表示されます。

配下の拡張 ACL の追加

配下の拡張 ACL の編集

画面下の「追加」ボタンをクリックします。

一覧表示内の「edit」をクリックします。

○ Seq.NO.
配下の拡張 ACL を検索する際の順番（シーケンス番号）を指定します。
無指定またはすでに設定されている数を越えた数値を入力した場合、末尾に追加されます。

追加画面と同様に設定してください。

配下の拡張 ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

○ Name
設定可能な拡張 ACL 名を選択します。
同一 802.1Q Extend ACL 内で重複する拡張 ACL を設定することはできません。

147

第 14 章 L2TPv3 フィルタ機能

Ⅹ．802.3 Extend ACL 設定◆ 802.3 Extend ACL 設定
L2TPv3 Filter 設定画面の「802.3 Extend ACL 設定」をクリックします。
現在設定されている 802.3 Extend ACL が一覧表示されます。

802.3 Extend ACL の追加

802.3 Extend ACL の編集

画面下の「追加」ボタンをクリックします。

一覧表示内の「edit」をクリックします。

○ Name拡張 ACL を識別するための名前を入力します。
設定可能な文字は、英数字、ハイフン(‑)、アン
ダースコア(̲)、ピリオド(.)です。
1‑64 文字の間で設定できます。ただし、１文字目は英数字に限ります。

追加画面と同様に設定してください。

802.3 Extend ACL の削除
一覧表示内の「del」にチェックを入れて画面下の「削除」ボタンをクリックします。

○ Policydeny（破棄）/permit（許可）のいずれかを選択します。
○ DSAP/SSAP
16 進数で DSAP/SSAP を指定します。
指定可能な範囲：00‑ff です。
DSAP/SSAP は等値なので 1byte で指定します。
○ Type16 進数で 802.3 with SNAP の type field を指定します。
指定可能な範囲：0600‑ffff です。
DSAP/SSAP を指定した場合は設定できません。
この入力欄で Type を指定した場合の DSAP/SSAP は
0xaa/0xaa として判定されます。

148

第 14 章 L2TPv3 フィルタ機能

ⅩⅠ
．情報表示
ⅩⅠ．
◆情報表示
L2TPv3 Filter 設定画面の「情報表示」をクリックします。

○表示する「表示する」ボタンをクリックすると ACL 情報を表示します。
プルダウンから ACL 名を選択して個別に表示することもできます。
「detail 表示 / リセット」にチェックを入れてクリックすると、設定した全ての ACL 情報が表示されます。

○カウンタリセット「カウンタリセット」ボタンをクリックすると ACLのカウンタをリセットします。
プルダウンから ACL 名を選択して個別にリセットすることもできます。
「detail 表示 / リセット」にチェックを入れてクリックすると、配下に設定されている ACL のカウンタも同時にリセットできます。

「表示する」ボタンで表示される情報は以下の通りです。
（※は detail 表示にチェックを入れた時に表示されます。
）○ Root ACL 情報表示
Root Filter 名 総カウンタ（frame 数、 byte 数）+Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol（+ 拡張 ACL 名）※（カウンタ（frame 数、byte 数）、Policy）※+Default Policy カウンタ（frame 数、byte 数） Default Policy○ layer2 ACL 情報表示
Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol（+ 拡張 ACL 名）※（カウンタ（frame 数、byte 数）、Policy）※

149

第 14 章 L2TPv3 フィルタ機能

ⅩⅠ
．情報表示
ⅩⅠ．
○ ipv4 ACL 情報表示
IPv4 ACL 名
カウンタ（frame 数、 byte 数）、Policy、送信元 IP アドレス、あて先 IP アドレス、TOS、Protocol、オプション○ arp ACL 情報表示
ARP ACL 名
カウンタ（frame 数、byte 数）、Policy、Code、送信元 MAC アドレス、あて先 MAC アドレス、
送信元 IP アドレス、あて先 IP アドレス
○ 802̲1q ACL 情報表示
802.1Q ACL 名
カウンタ（frame 数、byte 数）、Policy、VLAN‑ID、Priority、encap‑type（+ 拡張 ACL 名）※（ カウンタ（frame 数、byte 数）、Policy）※○ 802̲3 ACL 情報表示
802.3 ACL 名
カウンタ（frame 数、byte 数）、Policy、DSAP/SSAP、type○ interface Filter 情報表示
interface、in：カウンタ（frame 数、byte 数）：Root Filter 名
Root Filter 名、カウンタ（frame 数、byte 数）+Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol+Default Policy カウンタ（frame 数、byte 数） Default Policy
interface、out：カウンタ（frame 数、byte 数）：Root Filter 名
Root Filter 名、カウンタ（frame 数、byte 数）+Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol+Default Policy カウンタ（frame 数、byte 数） Default Policy○ session Filter 情報表示
Peer ID、RemoteEND‑ID、in：カウンタ（frame 数、byte 数）：Root Filter 名
Root Filter 名、カウンタ（frame 数、byte 数）+Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol+Default Policy カウンタ（frame 数、byte 数） Default Policy
Peer ID、RemoteEND‑ID、out：カウンタ（frame 数、byte 数）：Root Filter 名
Root Filter 名、カウンタ（frame 数、byte 数）+Layer2 ACL 名
カウンタ（frame 数、byte 数）、Policy、送信元 MAC アドレス、あて先 MAC アドレス、Protocol+Default Policy カウンタ（frame 数、byte 数） Default Policy150

第 15 章SYSLOG 機能

第 15 章 SYSLOG 機能

syslog 機能の設定
本装置は、syslog を出力・表示することが可能です。 ○ ‑‑MARK‑‑ を出力する時間間隔
また、他の syslog サーバに送出することもできます。 syslog が動作していることを表す「‑‑MARK‑‑」ロ
グを送出する間隔を指定します。
取得プライオリティを「Debug」または「Info」に設定したときのみ MARK が出力されます。
設定方法
初期設定は 20 分です。
Web 設定画面「各種サービスの設定」→「SYSLOG
サービス」をクリックして、以下の画面から設定をおこないます。
「設定の保存」をクリックして設定完了です。
機能を有効にするには「機能を有効にするには「各 種サ ービ スの 設定 」
トップに戻り、サービスを起動させてください。
トップに戻り、
サービスを起動させてください。
また設定を変更した場合は、サービスの再起動
また設定を変更した場合は、サービスの再起動( 停止」→「起動」)をおこなってください。
「

ログファイルの取得[ログの取得]○出力先プルダウンから syslog の出力先を選択します。

記録した syslog は、Web 設定画面「システム設定」→「ログの表示」に表示されます。
XR‑640L2 では、初期化済みのオプション CF カードを装着している場合、システムログは自動的に CF
カードに記録されます。

「本装置」
本装置で syslog を取得する場合に選択します。
「SYSLOG サーバ」
syslog サーバに送信するときに選択します。

ローテーションで記録されたログは圧縮して保存されます。
「本装置と SYSLOG サーバ」
保存されるファイルは最大で 6 つです。
本装置とsyslogサーバの両方でsyslogを管理します。
ログファイルが作成されたときは「ログの表示」
本体に記録しておけるログの容量には制限があり
画面上にリンクが生成され、各端末にダウンローます。
ドして利用できます。
継続的にログを取得される場合は外部の SYSLOG
サーバにログを送出するようにしてください。

ファシリティと監視レベルについて○送信先 IP アドレス
出力先で「SYSLOG サーバ」または「本装置と SYSLOG
サーバ」を指定した場合の、SYSLOG サーバの IP アド
レスを指定します。

[ファシリティ：監視レベル]*.info;mail.none;news.none;authpriv.none○取得プライオリティ
ログ内容の出力レベルを指定します。
プライオリティの内容は以下の通りです。
・Debug ：デバッグ時に有益な情報
・Info ：システムからの情報
・Notice：システムからの通知

本装置で設定されている syslog のファシリティ・
監視レベルおよび出力先は以下のようになってい
ます。

[出力先]
/var/log/messages152

第 16 章SNMP エージェント機能

第 16 章 SNMP エージェント機能

Ⅰ．SNMP エージェント機能の設定
SNMPエージェントを起動すると、SNMPマネージャから本装置のMIB Ver.2(RFC1213)の情報を取得することができます。
また、XR‑640L2 はプライベート MIB に対応しています。

※ XR‑640L2 のみ○コンタクト （※のみ）
装置管理者の連絡先を表す標準 MIB sysContact(oid=.1.3.6.1.2.1.1.4.0)に、任意の連絡先情報を設定することができます。
○ SNMP TRAP
「使用する」を選択すると、SNMP TRAP を送信できるようになります。

設定方法
Web 設定画面「各種サービスの設定」→「SNMP サービス」をクリックして、以下の画面で設定します。

○ SNMP TRAP の送信先 IP アドレス
SNMP TRAPを送信する先(SNMPマネージャ)のIPアド
レスを指定します。
XR‑640L2 では、最大 3 つまで指定することができます。
○ SNMP TRAP の送信元
SNMP パケット内の Agent Address に、任意のインタフェースアドレスを指定することができます。
・指定しないSNMP TRAP の送信元アドレスが自動的に設定されます。

（画面は XR‑640L2）○ SNMP マネージャ
SNMP マネージャを使いたいネットワーク範囲（ネットワーク番号 / サブネット長）または、SNMP
マネージャの IP アドレスを指定します。
XR‑640L2 では、最大 3 つまで指定することができます。
○コミュニティ名
任意のコミュニティ名を指定します。
ご使用のSNMPマネージャの設定に合わせて入力してください。
XR‑640L2 では、Get/Response 用と SNMP TRAP用とそ
れぞれ異なるコミュニティ名が設定可能です。
※ XR‑640L2 のみ○ロケーション （※のみ）装置の設置場所を表す標準 MIB sysLocation(oid=.1.3.6.1.2.1.1.6.0)に、任意のロケーショ
ン名を設定することができます。

・IP アドレス
SNMP TRAP の送信元アドレスを指定します。
・インタフェース
SNMP TRAP の送信元アドレスとなるインタ
フェース名を指定します。
指定可能なインタフェースは、本装置のEthernetポートとPPPインタフェースのみです。
○送信元
SNMP RESPONSE パケットの送信元アドレスを設定できます。
IPsec 接続を通して、リモート拠点のマネージャから SNMP を取得したい場合は、ここに IPsecSA のLAN 側アドレスを指定してください。
通常の LAN 内でマネージャを使用する場合には設定の必要はありません。

入力が終わりましたら「設定の保存」をクリックして設定完了です。

154

第 16 章 SNMP エージェント機能

Ⅰ．SNMP エージェント機能の設定
機能を有効にするには「各種サービスの設定」トッ
機能を有効にするには「MIB 項目についてプに戻り、サービスを起動させてください。
プに戻り、サービスを起動させてください。
以下の MIB に対応しております。
なお、設定を変更した場合は、設定を変更した場合は、即時設定が反映され
なお、設定を変更した場合は、即時設定が反映され・MIB II(RFC 1213)の送信元」を変更した場合のみ、
ますが、「SNMP TRAP の送信元」を変更した場合のみ、※ XR‑410L2 のみ
・UCD‑SNMP MIB（※
のみ）
サービスの再起動(
サービスの再起動「( 停止」→「起動」)をおこなって・SNMPv3 MIB(RFC2571 〜 2976)
ください。
・RFC2011(IP‑MIB)
・RFC2012(TCP‑MIB)
・RFC2013(UDP‑MIB)
・RFC2863(IF‑MIB)

SNMP TRAP を送信するトリガーについて
以下のものに関して、SNMP TRAP を送信します。
・Ethernet インタフェースの up、down
・PPP インタフェースの up、down
・下記の各機能の up、down
DNS
PLUTO(IPSec の鍵交換をおこなう IKE 機能)
RIP
OSPF
DVMRP（※のみ）※ XR‑640L2 のみ
L2TPv3SYSLOGNTPLCP キープアライブ
・SNMP TRAP 自身の起動、停止

155

第 16 章 SNMP エージェント機能

Ⅱ．Century Systems プライベート MIB について
（XR‑640L2 のみ）について（XR‑640L2 では、保守性を高めるために以下のようなプライベート MIB(centurysys)を実装しています。
この MIB 定義の階層下には、XR システム用 MIB(csXRSystem)、XR インタフェース用 MIB(csXRExtIf)、
L2TPv3 用 MIB(csl2tpv3)の３つがあります。

root

ccitt(0)iso(1)

joint-iso-ccitt(2)org(3)
dod(6)
internet(1)directory(1)mgmt(2)experimental(3)private(4)enterprises(1)centurysys(20376)
csProduct(1)csXRSystem(1)■ csXRSystem
システム情報に関する XR 独自の定義 MIB です。
CPU 使用率、空きメモリ量、コネクショントラッキ
ング数、ファンステータスのシステム情報や、サービスの状態に関する情報を定義しています。
また、これらに関する Trap 通知用の MIB 定義も含みます。なお、主なシステム情報 Trap の通知条件
は下記の通りです。
・CPU 使用率：90% 超過時
・空きメモリ量：2MB 低下時
・コネクショントラッキング：総数の 90% 超過時

csMtXR(2)csXRExtIf(2)csl2tpv3(10)■ csl2tpv3
L2TPv3 サービスに関する定義 MIB です。Tunnel/
Session の状態や、送受信フレームのカウンタ情報などを定義しています。
また、Tunnel/Session の Establish や Down 時などの Trap 通知用の MIB 定義も含みます。
これらの MIB 定義の詳細については、MIB 定義ファイルを参照してください。

■ csXRExtIf
インタフェースに関する XR 独自の定義 MIB です。
各インタフェースの状態や IP アドレス情報などを定義しています。
また、UP/DOWN やアドレス変更時などの Trap 通知
156
用の MIB 定義も含みます。

注) システム、
インタフェース、
サービスに関するシステム、インタフェース、
インタフェース、サービスに関する情報は標準 MIB‑II でも取得できますが、Trap につでも取得できますが、Trap
いては全て独自 MIB によって通知されます。

第 17 章NTP サービス

第 17 章 NTP サービス

NTP サービスの設定方法
初期設定は「Min」6（64 秒）、「Max」10（1024 秒）です。

本装置は、NTP クライアント / サーバ機能を持っています。
インターネットを使った時刻同期の手法の一つである NTP(Network Time Protocol)を用いて NTP
サーバと通信をおこない、時刻を同期させることができます。

初期設定のまま NTP サービスを起動させると、初めは 64 秒間隔で NTP サーバとポーリングをおこない、その後は 64 秒から 1024 秒の間で NTP サーバとポーリングをおこない、時刻のずれを徐々に補正
していきます。

設定方法
Web 設定画面「各種サービスの設定」→「NTP サー
ビス」をクリックして以下の画面で NTP 機能の設定をします。

[時刻同期タイムアウト時間]
時刻同期タイムアウト時間]
サーバ応答の最大待ち時間を設定できます。
1 〜 10 秒の間で設定できます。
注) 時刻同期の際、内部的には NTP サーバに対す
る時刻情報のサンプリングを 4 回おこなっています。
本装置から NTP サーバへの同期がおこなえない状
態では、サービス起動時に NTP サーバの１設定に対し「(指定したタイムアウト時間)×4」秒程度の同期処理時間が掛かる場合があります。

（画面は XR‑640L2）[問合せ先 NTP サーバ (IP アドレス /FQDN)]
○ 1.
○ 2.
NTPサーバのIPアドレス、またはFQDNを、設定「1.」もしくは「2.」に入力します。
NTP サーバの場所は２箇所設定できます。
これにより、本装置が NTP クライアント / サーバとして動作できます。
NTP サーバの IP アドレス、もしくは FQDN を入力しない場合は、本装置は NTP サーバとしてのみ動作します。
○ Polling 間隔 (Min)/(Max)
NTPサーバと通信をおこなう間隔を設定します。
サーバとの接続状態により、指定した最小値(Min)と最大値(Max)の範囲でポーリングの間隔を調整します。

入力が終わりましたら「設定の保存」をクリック
して設定完了です。
機能を有効にするには「各 種サ ービ スの 設定 」
機能を有効にするには「トップに戻り、サービスを有効にしてください。
トップに戻り、
サービスを有効にしてください。
また設定を変更した場合は、サービスの再起動をまた設定を変更した場合は、サービスの再起動をおこなってください。

○情報表示（※のみ）※ XR‑640L2 のみ
クリックすると、現在の NTP サービスの動作状況を確認できます。

Polling 間隔 X(sec)を指定した場合、秒単位での間隔は 2 の X 乗(秒)となります。
指定可能な範囲は 4 〜 17(16 〜 131072 秒)です。
< 例 > X=4：16 秒、X=6：64 秒、... X=10：1024 秒

158

第 17 章 NTP サービス

NTP サービスの設定方法
基準 NTP サーバについて

NTP クライアントの設定方法基準となる NTP サーバには次のようなものがあります。

各ホスト / サーバーを NTP クライアントとして本装
置と時刻同期させる方法は、OS により異なります。

・ntp1.jst.mfeed.ad.jp (210.173.160.27)
・ntp2.jst.mfeed.ad.jp (210.173.160.57)
・ntp3.jst.mfeed.ad.jp (210.173.160.87)
注) サーバを FQDN で指定するときは、「各種サービスの設定」画面の「DNS サーバ」を起動しておきます。

Windows 9x/Me/NT の場合これらの OS では NTP プロトコルを直接扱うことができません。
フリーウェアの NTP クライアント・アプリケー
ション等を入手してご利用ください。
Windows 2000 の場合「net time」コマンドを実行することにより時刻の同期を取ることができます。
コマンドの詳細については Microsoft 社にお問い合わせください。
Windows XP の場合
Windows 2000 と同様のコマンドによるか、「日付と時刻のプロパティ」で NTP クライアントの設定ができます。
詳細については Microsoft 社にお問い合わせください。

Macintosh の場合
コントロールパネル内の NTP クライアント機能で設定してください。
詳細は Apple 社にお問い合わせください。

Linux の場合Linux 用 NTP サーバをインストールして設定してください。
詳細は NTP サーバの関連ドキュメント等をご覧く
ださい。

159

第 18 章アクセスサーバ機能

第 18 章 アクセスサーバ機能

Ⅰ．アクセスサーバ機能について
アクセスサーバとは、電話回線などを使った外部からの接続要求を受けて、LAN に接続する機能です。
例えば、アクセスサーバとして設定した本装置を会社に設置すると、モデムを接続した外出先のコン
ピュータから会社の LAN に接続できます。
これは、モバイルコンピューティングや在宅勤務を可能にします。クライアントはモデムによる PPP 接続を利用できるものであれば、どのような PC でもかまいません。
この機能を使って接続したクライアントは、接続先のネットワークにハブで接続した場合と同じように
ネットワークを利用できます。
セキュリティは、ユーザ ID・パスワード認証によって確保します。
また、BRI 着信(※ XR‑640L2 のみ)では、着信番号によって確保します。
ユーザ ID・パスワードは、XR‑410L2 は最大 5 アカウント分、XR‑640L2 では 50 アカウント分を登録できます。

（図は XR‑640L2 での構成例）

161

第 18 章 アクセスサーバ機能

Ⅱ．本装置とアナログモデム /TA の接続
アクセスサーバ機能を設定する前に、本装置とアナログモデムや TA を接続します。
以下のように接続してください。

＜ XR‑410L2 の場合＞
◆アナログモデム /TA の接続＜ XR‑640L2 の場合＞
◆アナログモデム /TA の接続

1 XR‑410L2 本体背面の「RS‑232」ポートと、製

1 XR‑640L2 の電源をオフにします。

品付属の変換アダプタとを、ストレートタイプのLAN ケーブルで接続してください。

2 変換アダプタのコネクタを、アナログモデム / 2 XR‑640L2 の「RS‑232C/BRI」ポートと、モデTA のシリアルポートに接続してください。
シリアルポートのコネクタが 25 ピンタイプの場合は別途、変換コネクタをご用意ください。

ム /TA のシリアルポートをシリアルケーブルで接続します。
シリアルケーブルは別途ご用意ください。

3 全ての接続が完了しましたら、モデム /TA の電 3 全ての接続が完了しましたら、XR‑640L2 とモ源を投入してください。

デムの電源を投入してください。

接続図

接続図

162

第 18 章 アクセスサーバ機能

Ⅲ．BRI ポートを使った TA/DSU との接続
（XR‑640L2 のみ）との接続（◆ XR‑640/CD‑L2 内蔵の DSU を使う場合◆外付け TA に内蔵の DSU を使う場合

1 本装置の電源をオフにします。

1 本装置の電源をオフにします。

2 ISDN U 点ジャックと、本装置の「BRI U LINE」 2 外部の DSU と、本装置の「BRI S/T LINE」ポー
ポートをモジュラーケーブルで接続します。
モジュラーケーブルは別途ご用意ください。

トを ISDN 回線ケーブルで接続します。
ISDN ケーブルは別途ご用意ください。

3 本体背面の「DSU」スイッチを「ON」側にしま

3 本体背面の「DSU」スイッチを「OFF」側にします。

す。

4 本体背面の「POL.」スイッチを、ISDN 回線の

4 本体背面の「TERM.」スイッチを「ON」側にし極性(REV./NOR.)に合わせます。

ます。

5 全ての接続が完了しましたら、本装置と TA の

5 別の ISDN 機器を接続する場合は電源を投入してください。

「BRI S/T TERMINAL」ポートと接続してください。

接続図

6 全ての接続が完了しましたら、本装置と TA の電源を投入します。

接続図

163

第 18 章 アクセスサーバ機能

Ⅳ．アクセスサーバ機能の設定
設定方法
Web 設定画面「各種サービスの設定」→「アクセスサーバ」をクリックして設定します。

アクセスサーバの設定
設定画面の上側でアクセスサーバの設定をおこないます。設定画面が多少異なりますので、ご使用の機
種に合わせてご参照ください。
＜ XR‑410L2 の場合＞
シリアル回線での着信となります。
＜ XR‑640L2 の場合＞
シリアル回線とBRI回線(２チャンネル)を使用することができます。
着信を受ける回線ごとに設定をおこないます。

◆シリアル回線で着信する場合（画面は XR‑410L2）○アクセスサーバ(本装置)の IP アドレス
リモートアクセスされた時の本装置自身の IP アドレスを入力します。
各 Ethernet ポートのアドレスとは異なるプライベー
トアドレスを設定してください。
なお、サブネットのマスクビット値は
なお、
サブネットのマスクビット値は 24 ビット(255.255.255.0)に設定されています。
(255.255.255.0)に設定されています。
○クライアントの IP アドレス
本装置にリモートアクセスしてきたホストに割り当
てる IP アドレスを入力します。
上記の「アクセスサーバ(本装置)の IP アドレス」で設定したものと同じネットワークとなるアドレスを設定してください。
○モデムの速度本装置とモデムの間の通信速度を選択します。
○着信のための AT コマンド
モデムが外部から着信する場合、AT コマンドが必要な場合があります。その場合は、ここで AT コマンドを入力してください。
コマンドについては、各モデムの説明書をご確認く
ださい。

◆BRI
回線で着信する場合(※ XR‑640L2
のみ)
BRI回線で着信する場合
回線で着信する場合(
XR‑640L2のみ
のみ)
XR‑640L2 では、BRI 回線での着信も可能です。
2 チャンネル分の設定ができます。

（XR‑640L2 は「シリアル回線」欄で設定します）※ XR‑410L2 のみ○アクセスサーバ（※のみ）
アクセスサーバ機能の使用 / 不使用を選択します。
○着信（※
のみ）
※ XR‑640L2 のみ
シリアル回線で着信したい場合は「許可する」を選択します。
164（XR‑640L2 の「BRI 回線」欄で設定します）

第 18 章 アクセスサーバ機能

Ⅳ．アクセスサーバ機能の設定○回線１着信○回線２着信
BRI 回線で着信したい場合は、「許可する」を選択します。

ユーザアカウントの設定
設定画面の下側でユーザアカウントの設定をおこないます。設定画面が多少異なりますので、ご使用の機種に合わせてご参照ください。
＜ XR‑410L2 の場合＞
ユーザは 5 アカウントまで設定可能です。

○アクセスサーバ(本装置)の IP アドレス
リモートアクセスされた時の XR‑640L2 自身の IP
アドレスを入力します。
各 Ethernet ポートのアドレスとは異なるプライ
ベートアドレスを設定してください。
なお、サブネットマスクビット値は
なお、
サブネットマスクビット値は 24 ビット(255.255.255.0)に設定されています。
(255.255.255.0)に設定されています。
○クライアントの IP アドレス
本装置にリモートアクセスしてきたホストに割り当てる IP アドレスを入力します。
上記の「アクセスサーバ(本装置)の IP アドレス」
で設定したものと同じネットワークとなるアドレスを設定してください。

＜ XR‑640L2 の場合＞
ユーザは 50 アカウントまで設定可能です。
リンクをクリックすると設定画面が切り替わります。

◆シリアル回線で着信する場合（画面は XR‑410L2）○発信者番号認証
発信者番号で認証する場合は「する」を選択します。
発信者番号認証をおこなうには、画面下のユーザ
アカウント設定欄で「着信番号」を設定する必要があります。

（設定例）「発信者番号認証」項目を設定する際に、アクセスサーバで BRI 回線が接続中の場合は、「回線１着
信 / 回線２着信」の両方で「許可しない」を選択
し「設定の保存」をクリックして、一度接続を切
一度接続を切断してから設定をおこなってください。
BRI 回線の接続中に設定をおこなうと反映はされますが、動作しません。
ますが、動作しません。
○本装置のホスト名
本装置のホスト名を任意で設定可能です。

（画面は XR‑640L2）○アカウント○パスワード外部からリモートアクセスする場合の、ユーザア
カウントとパスワードを登録してください。
そのまま、リモートアクセス時のユーザアカウン
ト・パスワードとなります。
XR‑410L2 は 5 アカウントまで、XR‑640L2 は 50 アカ
ウントまで登録しておけます。

続けてユーザアカウントの設定をおこないます。

165

第 18 章 アクセスサーバ機能

Ⅳ．アクセスサーバ機能の設定○アカウント毎に別 IP を割り当てる場合（※のみ）※ XR‑640L2 のみ◆BRI
回線で着信する場合(※ XR‑640L2
のみ)
BRI回線で着信する場合
回線で着信する場合(
XR‑640L2のみ
のみ)

また、「BRI 回線」(※ XR‑640L2 のみ)の設定で、・本装置の IP
「発信番号認証」を「する」にしている場合は、必ず・クライアントの IP
以下の画面の設定をおこなってください。
XR‑640L2 では、アカウントごとに、割り当てる IP
アドレスを個別に指定することも可能です。
その場合は「本装置の IP」と「クライアントの IP」のどちらか、もしくは両方を設定します。
本項目でIPアドレスの割り当てをおこなうと、シリ
アル回線設定欄、BRI 回線設定欄の「アクセスサー
バ（本装置）の IPアドレス」、「クライアントの IP アドレス」設定は無効になります。
○削除
アカウント設定覧の「削除」ラジオボックスにチェックして「設定の保存」をクリックすると、その設定が削除されます。

（画面は XR‑640L2）○許可する着信番号（※のみ）※ XR‑640L2 のみ
発信者の電話番号を入力してください。
○着信する回線（※のみ）※ XR‑640L2 のみ
「すべて」
、
「回線１」
、
「回線２」の中から選択してください。
○削除アカウント設定覧の「削除」ラジオボックスにチェックして「設定の保存」をクリックすると、その設定が削除されます。

入力が終わりましたら「設定の保存」をクリックして設定完了です。

外部からダイヤルアップ接続されていないときには、「各種サービスの設定」画面の「アクセスサーバ」が「待機中」の表示となります。
接続している状態では「接続中」となります。

166

第 18 章 アクセスサーバ機能

Ⅳ．アクセスサーバ機能の設定
アカウント設定上の注意
アクセスサーバ機能のユーザアカウントと、PPP/
PPPoE 設定の接続先設定で設定してあるユーザ IDに、同じユーザ名を登録した場合、そのユーザは着信できません。
着信できません
ユーザ名が重複しないように設定してください。

スタティックルートを設定する場合
通常のスタティックルート設定では「インターフェース / ゲートウェイ」のどちらかひとつの項
目のみ設定可能ですが、アクセスサーバ機能で着信するインタフェース向けにスタティックルート
設定をおこなう場合は、以下の両項目ともに設定が必要になりますのでご注意ください。
インタフェース：ppp6（固定）ゲートウェイ：アクセスサーバ設定画面にて指定した着信時のクライアントの IP アドレス< 設定例 >
前ページ「BRI 回線で着信する場合（XR‑640L2 のみ）」のスタティックルート設定例です。

167

第 19 章スタティックルート設定

第 19 章 スタティックルート設定

スタティックルート設定
本装置は、最大 256 エントリのスタティックルー
トを登録できます。
画面下部にある「スタティックルート設定画面イ
ンデックス」のリンクをクリックしてください。

○インターフェース / ゲートウェイ
ルーティングをおこなうインタフェース名、もしくは上位ルータの IP アドレスのどちらかを設定し
ます。

設定方法
Web 設定画面「スタティックルート設定」をクリッ
クして、以下の画面から設定します。

※ PPP/PPPoE や GRE インタフェースを設定すると
きはインタフェース名だけの設定となります。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。
注)ただし、リモートアクセス接続のクライアントに対するスタティックルートを設定する場合のみ、下対するスタティックルートを設定する場合のみ、
下記のように設定してください。
・インターフェース
ppp6
・ゲートウェイ
クライアントに割り当てる IP アドレス
通常は、
インターフェース / ゲートウェイのどちら
通常は、インターフェース
かのみ設定できます。
○ディスタンス
経路選択の優先順位を指定します。
1 〜 255 の間で指定します。値が低いほど優先度が高くなります。
スタティックルートのデフォルトディスタンス値
は 1 です。
ディスタンス値を変更することで、フローティン
グスタティックルート設定とすることも可能です。

○アドレス
あて先ホストのアドレス、またはネットワークア
ドレスを入力します。
○ネットマスク
あて先アドレスのサブネットマスクを入力します。
IP アドレス形式で入力してください。
< 入力例 >
29 ビットマスクの場合： 255.255.255.248○削除
ルーティング設定を削除する場合は、削除したい
設定行の「削除」ボックスにチェックを入れて「設定 / 削除の実行」ボタンをクリックすると設定を削除します。

入力が終わりましたら「設定 / 削除の実行」をクリックして設定完了です。

単一ホストで指定した場合 ： 255.255.255.255

169

第 19 章 スタティックルート設定

スタティックルート設定
設定を挿入する

ルーティング情報を確認する

ルーティング設定を追加する場合、任意の場所に挿入する事ができます。
挿入は、設定テーブルの一番下にある行からおこないます。

現在のルーティング情報を確認するには、設定画面上部にある「経路情報表示」をクリックします。
ウィンドウがポップアップし、経路情報が確認できます。
inactive と表示されている経路は、その時点では有効な経路ではなく、無視されます。

最も左の欄に任意の番号を指定して設定すると、その番号に設定が挿入されます。
その番号以降に設定がある場合は、1 つずつ設定番
号がずれて設定が更新されます。

表示されていないものに関しては、正しい設定ではありません。
設定をご確認のうえ、再度設定してください。

デフォルトルートを設定する
スタティックルート設定でデフォルトルートを設定するときは、「アドレス」と「ネットマスク」項
目をいずれも 0.0.0.0 として設定してください。

(画面は設定例です)170

第 20 章ソースルート設定

第 20 章 ソースルート設定

ソースルー
ﾄ設定
ソースルーﾄ
通常のダイナミックルーティング、および、スタティックルーティングでは、パケットのあて先ア
ドレスごとにルーティングをおこないますが、
ソースルーティングはパケットの送信元アドレス
をもとにルーティングをおこないます。

1

はじめに、ソースルートのテーブル設定をおこないます。
Web 設定画面「ソースルート設定」を開き、「ソー
スルートのテーブル設定へ」のリンクをクリック
してください。

このソースルート機能を使うことで、外部へアクセスするホスト/ネットワークごとにアクセス回線を選択することができますので、複数のインターネッ「ソースルートのテーブル設定」画面が表示されま
ト接続をおこなって負荷分散が可能となります。
す。

設定方法
ソースルート設定は、Web 設定画面「ソースルート
設定」でおこないます。

○ IP
デフォルトゲートウェイ(上位ルータ)の IP アドレスを設定します。
必ず明示的に設定しなければなりません。
○ DEVICE
デフォルトゲートウェイが存在する回線に接続しているインタフェースのインタフェース名を設定します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。
省略することもできます。

設定後は「設定の保存」をクリックします。

172

第 20 章 ソースルート設定

ソースルー
ﾄ設定
ソースルーﾄ2 画面右上の「ソースルートのルール設定へ」「送信元ネットワークアドレス」を、ネットワーク
アドレスで指定した場合、そのネットワークに本装置のインタフェースが含まれていると、設定後は本装置の設定画面にアクセスできなくなります。

をクリックします。

<例>
Ether0 ポートの IP アドレスが 192.168.0.254 で、送信元ネットワークアドレスを 192.168.0.0/24 と設定すると、192.168.0.0/24 内のホストは本装置の設定画面にアクセスできなくなります。

○送信元ネットワークアドレス
送信元のネットワークアドレスもしくは、ホストの IP アドレスを設定します。
ネットワークアドレスで設定する場合は、
ネットワークアドレス / マスクビット値の形式で設定してください。
○送信先ネットワークアドレス
送信先のネットワークアドレスもしくは、ホストの IP アドレスを設定します。
ネットワークアドレスで設定する場合は、
ネットワークアドレス / マスクビット値の形式で設定してください。
○ソースルートのテーブル No
使用するソースルートテーブルの番号(1 〜 8)を設定します。

最後に「設定の保存」をクリックして設定完了です。

173

第 21 章NAT 機能第 21 章 NAT 機能

Ⅰ．本装置の NAT 機能について
NAT(Network Address Translation)は、プライベー
トアドレスをグローバルアドレスに変換して、インターネットにアクセスできるようにする機能です。
また、1 つのプライベートアドレス・ポートと、1 つのグローバルアドレス・ポートを対応させて、インターネット側からLANのサーバへアクセスさせることもできます。
本装置は以下の 3 つの NAT 機能をサポートしています。
機能は同時に設定・
これらの NAT 機能は同時に設定・運用が可能です。

◆ IP マスカレード機能◆送信元 NAT 機能
IPマスカレードとは異なり、プライベートアドレス
を、どのグローバルIPアドレスに変換するかをそれぞれ設定できるのが送信元 NAT 機能です。
プライベートアドレスをグローバルアドレスに変換するため、以下のような設定が可能になります。
プライベートアドレスＡ…> グローバルアドレスＸ
プライベートアドレスＢ…> グローバルアドレスＹ
プライベートアドレスＣ〜 F…> グローバルアドレスＺ
IPマスカレード機能を設定せずに送信元NAT機能だけを設定した場合は、送信元 NAT 機能で設定されたアドレスを持つコンピュータしかインターネットに
アクセスできません。

複数のプライベートアドレスを、ある 1 つのグロー
バルアドレスに変換する機能です。
グローバルアドレスは、本装置のインターネット側
ポートに設定されたものを使います。
また、LAN のプライベートアドレス全てが変換されることになります。
この機能を使うと、グローバルアドレスを 1 つしか持っていなくても複数のコンピュータからインター
ネットにアクセスすることができるようになります。
なお、IP マスカレード(NAT 機能)では、プライベー
トアドレスからグローバルアドレスだけではなく、プライベートアドレスからプライベートアドレス、
グローバルアドレスからグローバルアドレスの変換も可能です。
IP マスカレード機能については、Web 設定画面「インターフェース設定」もしくは「PPP/PPPoE接続」の接続設定画面で設定します。

◆バーチャルサーバ機能
インターネット上からLAN上のサーバ等にアクセスさせることができる機能です。
通常はインターネット側からLANへアクセスする事はできませんが、送信先グローバルアドレスをプラ
イベートアドレスへ変換する設定をおこなうことで、見かけ上はインターネット上のサーバへアクセスできているかのようにすることができます。
設定上ではプライベートアドレスとグローバルアド
レスを 1 対 1 で関連づけます。
また同時に、プロトコルと TCP/UDP ポート番号も指定しておきます。ここで指定したプロトコル・TCP/
UDP ポート番号でアクセスされた時にグローバルア
ドレスからプライベートアドレスへ変換され、LAN上のサーバに転送されます。

NetMeeting や各種 IM、ネットワークゲームなど、IM、独自のプロトコル・
独自のプロトコル・ポートを使用しているアプリ
NAT機能を使用すると正常
ケーションについては、NAT機能を使用すると正常に動作しない場合があります。
NATを介しての個々のアプリケーショ
原則として、NATを介しての個々のアプリケーショ
ンの動作についてはサポート対象外とさせていた
だきます。

175

第 21 章 NAT 機能

Ⅱ．バーチャルサーバ設定○ポート
サーバが公開するポート番号を入力します。
範囲で指定することも可能です。範囲で指定するときは、ポート番号を : で結びます。

NAT 環境下において、LAN からサーバを公開するときなどの設定をおこないます。

設定方法< 例 > ポート 20 番から 21 番を指定する → 20:21

Web 設定画面「NAT 設定」→「バーチャルサーバ」
をクリックして、以下の画面から設定します。
256まで設定できます。
「バーチャルサーバ設定画面
インデックス」のリンクをクリックしてください。

ポート番号を指定して設定するときは、必ず、前
項目の「プロトコル」も選択してください。
プロトコルが「全て」の選択ではポートを指定することはできません。
○インターフェース
インターネットからのアクセスを受信するインタ
フェース名を設定します。
外部に接続しているインタフェース名を設定してください。本装置のインタフェース名については、「付録 A インタフェース名一覧」をご参照ください。
○削除
バーチャルサーバ設定を削除する場合は、削除したい
設定行の「削除」ボックスにチェックを入れて「設定/削除の実行」ボタンをクリックしてください。

入力が終わりましたら「設定 / 削除の実行」をクリックして設定完了です。
No. 項目が赤字で表示されている行は入力内容が正しくありません。再度入力をやり直してください。

設定情報の確認○サーバのアドレス
インターネットに公開するサーバの、プライベー
ト IP アドレスを入力します。
○公開するグローバルアドレス
サーバのプライベート IP アドレスに対応させるグ
ローバル IP アドレスを入力します。
インターネットからはここで入力したグローバル
IP アドレスにアクセスします。
プロバイダから割り当てられている IP アドレスが一つだけの場合は、ここは空欄にします。
一つだけの場合は、
ここは空欄にします。
○プロトコル
サーバのプロトコルを選択します。

「情報表示」をクリックすると、現在のバーチャル
サーバ設定の情報が一覧表示されます。

設定を挿入する
バーチャルサーバ設定を追加する場合、任意の場所に挿入する事ができます。
挿入は、設定テーブルの一番下にある行からおこないます。

最も左の欄に任意の番号を指定して設定すると、そ最も左の欄に任意の番号を指定して設定すると、その番号に設定が挿入されます。
その番号以降に設定がある場合は、1 つずつ設定番

176 号がずれて設定が更新されます。

第 21 章 NAT 機能

Ⅲ．送信元 NAT 設定
設定方法
Web 設定画面「NAT 設定」→「送信元 NAT」をクリックして、以下の画面から設定します。
256 まで設定できます。「送信元 NAT 設定画面イン
デックス」のリンクをクリックしてください。

○インターフェース
どのインタフェースからインターネット(WAN)へアクセスするか、インタフェース名を指定します。
インターネットにつながっているインタフェース名を設定してください。
本装置のインタフェース名については、「付録 A インタフェース名一覧」をご参照ください。
○削除
送信元 NAT 設定を削除する場合は、削除したい設
定行の「削除」ボックスにチェックを入れて「設定 / 削除の実行」ボタンをクリックします。

入力が終わりましたら「設定 / 削除の実行」をクリックして設定完了です。
No. 項目が赤字で表示されている行は入力内容が正しくありません。再度入力をやり直してくだが正しくありません。
再度入力をやり直してください。

設定情報の確認「情報表示」をクリックすると、現在の送信元 NAT
設定の情報が一覧表示されます。

設定を挿入する○送信元のプライベートアドレス
NAT の対象となる LAN 側コンピュータのプライベー
ト IP アドレスを入力します。
ネットワーク単位での指定も可能です。

送信元 NAT 設定を追加する場合、任意の場所に挿入する事ができます。
挿入は、設定テーブルの一番下にある行からおこないます。

○変換後のグローバルアドレス
プライベート IP アドレスの変換後のグローバル IP
アドレスを入力します。
送信元アドレスをここで入力したアドレスに書き換えてインターネット(WAN)へアクセスします。

最も左の欄に任意の番号を指定して設定すると、その番号に設定が挿入されます。
その番号以降に設定がある場合は、1 つずつ設定番
号がずれて設定が更新されます。

177

第 21 章 NAT 機能

Ⅳ．バーチャルサーバの設定例◆ WWW サーバを公開する際の NAT 設定例◆ FTP サーバを公開する際の NAT 設定例

NAT の条件
・WAN 側のグローバルアドレスに TCP のポート 80
番(http)でのアクセスを通す。
・LAN から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続。

NAT の条件
・WAN 側のグローバルアドレスに TCP のポート 20番(ftpdata)、21 番(ftp)でのアクセスを通す。
・LAN から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続する。
・Ether1 ポートは PPPoE で ADSL 接続する。

LAN 構成・LAN 側ポートの IP アドレス「192.168.0.254」
・WWW サーバのアドレス「192.168.0.1」
・グローバルアドレスは「211.xxx.xxx.102」のみ
設定画面での入力方法
・あらかじめ IP マスカレードを有効にします。
・「バーチャルサーバ設定」で以下の様に設定します。

LAN 構成・LAN 側ポートの IP アドレス「192.168.0.254」
・FTP サーバのアドレス「192.168.0.2」
・グローバルアドレスは「211.xxx.xxx.103」のみ
設定画面での入力方法
・あらかじめ IP マスカレードを有効にします。
・「バーチャルサーバ設定」で以下の様に設定しま
す。

設定の解説
No.1 ：
WAN 側から、211.xxx.xxx.102 へポート 80 番
(http)でアクセスがあれば、LAN 内のサーバ
192.168.0.1 へ通す。(WAN 側から TCP のポート 80
番以外でアクセスがあっても破棄される)設定の解説
No.1 ：
WAN 側から、211.xxx.xxx.103 へポート 20 番
(ftpdata)でアクセスがあれば、LAN 内のサーバ
192.168.0.2 へ通す。
No.2 ：
WAN 側から、211.xxx.xxx.103 へポート 21 番(ftp)でアクセスがあれば、LAN 内のサーバ
192.168.0.2 へ通す。

バーチャルサーバ設定以外に、適宜パケットフィ
ルタ設定をおこなってください。
特に、ステートフルパケットインスペクション機
能を使っている場合には、「転送フィルタ」で明示的に、使用ポートを開放する必要があります。

178

第 21 章 NAT 機能

Ⅳ．バーチャルサーバの設定例◆ PPTP サーバを公開する際の NAT 設定例
NAT の条件
・WAN 側のグローバルアドレスにプロトコル「gre」と TCP のポート番号 1723 を通す。
・WAN は Ether1、LAN は Ether0 ポートに接続する。
・WAN 側ポートは PPPoE で ADSL 接続する。
LAN 構成・LAN 側ポートの IP アドレス「192.168.0.254」
・PPTP サーバのアドレス「192.168.0.3」
・割り当てられるグローバルアドレスは 1 つのみ。
設定画面での入力方法
・あらかじめ IP マスカレードを有効にします。
・「バーチャルサーバ設定」で以下の様に設定します。

バーチャルサーバ設定以外に、適宜パケットフィ
ルタ設定をおこなってください。
特に、ステートフルパケットインスペクション機
能を使っている場合には、「転送フィルタ」で明示的に、使用ポートを開放する必要があります。

179

第 21 章 NAT 機能

Ⅳ．バーチャルサーバの設定例

◆ DNS
、メール、
WWW
、FTP サーバを公開する際の NAT 設定例(複数グローバルアドレスを利用)
DNS、
メール、WWW
WWW、
設定例(
複数グローバルアドレスを利用)
NAT の条件
・WAN 側からは、LAN 側のメール、WWW,FTP サーバへアクセスできるようにする。
・LAN 内の DNS サーバが WAN と通信できるようにする。
・LAN から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続。
・グローバルアドレスは複数使用する。
LAN 構成・LAN 側ポートの IP アドレス「192.168.0.254」
・WWW サーバのアドレス「192.168.0.1」
・送受信メールサーバのアドレス「192.168.0.2」
・FTP サーバのアドレス「192.168.0.3」
・DNS サーバのアドレス「192.168.0.4」
・WWW サーバに対応させるグローバル IP アドレスは「211.xxx.xxx.104」
・送受信メールサーバに対応させるグローバル IP ア
ドレスは「211.xxx.xxx.105」
・FTP サーバに対応させるグローバル IP アドレスは「211.xxx.xxx.106」
・DNS サーバに対応させるグローバル IP アドレスは「211.xxx.xxx.107」
設定画面での入力方法

1 まず最初に、使用する複数のグローバルアドレ
スを、仮想インタフェースとして登録します。
Web 設定画面にある「仮想インターフェース設定」
を開き、以下のように設定しておきます。

3 「バーチャルサーバ設定」で以下の様に設定
してください。

設定の解説
No.1
WAN 側から 211.xxx.xxx.104 へポート 80 番
(http)でアクセスがあれば、LAN 内のサーバ
192.168.0.1 へ通す。
No.2、3
WAN 側から 211.xxx.xxx.105 へポート 25 番
(smtp)か 110 番(pop3)でアクセスがあれば、LAN 内のサーバ 192.168.0.2 へ通す。
No.4、5
WAN 側から 211.xxx.xxx.106 へポート 20 番
(ftpdata)か 21 番(ftp)でアクセスがあれば、LAN 内のサーバ 192.168.0.3 へ通す。
No.6、7
WAN 側から 211.xxx.xxx.107 へ、tcp ポート 53 番
(domain)か udp ポート 53 番(domain)でアクセスがあれば、LAN 内のサーバ 192.168.0.4 へ通す。

Ethernet で直接 WAN に接続する環境で、WAN 側にに接続する環境で、WAN
複数のグローバルアドレスを指定してバーチャルサーバ機能を使用する場合、[公開するグローバル
アドレス]
アドレス
]で指定した IP アドレスを、「仮 想イ ンターフェース設定」にも必ず指定してください。
ターフェース設定」にも必ず指定してください。
ただし、
PPPoE 接続の場合は、仮想インタフェー
ただし、PPPoE接続の場合は、仮想インタフェー
スを作成する必要はありません。

2 IP マスカレードを有効にします。
「第 5 章 インターフェース設定」
インターフェース設定」を参照してください。

180

第 21 章 NAT 機能

Ⅴ．送信元 NAT の設定例
送信元 NAT 設定では、LAN 側のコンピュータのアド
レスを、どのグローバルアドレスに変換するかを個々に設定することができます。

例えば上記のような送信元 NAT 設定をおこなうと、・送信元アドレス 192.168.0.1 を 61.xxx.xxx.101に変換して WAN へアクセスする
・送信元アドレス 192.168.0.2 を 61.xxx.xxx.102に変換して WAN へアクセスする
・送信元アドレスとして 192.168.10.0/24 からのアクセスを 61.xxx.xxx.103 に変換して WAN へア
クセスするという設定になります。
送信元のアドレスは、ホスト単位かネットワーク
単位で指定できます。
範囲指定はできません。
ネットワークで指定するときは、以下のように設定してください。
< 設定例 > 192.168.254.0/24

Ethernetで直接WANに接続する環境で、WAN
側に複Ethernetで直接で直接WANWANに接続する環境で、WAN側に複数のグローバルアドレスを指定して送信元 NAT 機能を使用する場合、[変換後のグローバルアドレス]
変換後のグローバルアドレス]で指定したIP
IPアドレスを、で指定したIP
アドレスを、「仮 想イ ンタ ーフ ェー ス
設定」にも必ず指定してください。
にも必ず指定してください。
設定」
ただし、PPPoE接続の場合は、仮想インタフェース
PPPoE接続の場合は、を作成する必要はありません。

181

第 21 章 NAT 機能

補足：ポート番号について補足：
よく使われるポートの番号については、下記の表を参考にしてください。
詳細は R F C 1 7 0 0 (Oct. 1994)
1994)を参照してください。

182

第 22 章パケットフィルタリング機能

第 22 章 パケットフィルタリング機能

Ⅰ．パケットフィルタリング機能の概要
本装置はパケットフィルタリング機能を搭載しています。
パケットフィルタリング機能を使うと、以下のようなことができます。
・外部から LAN に入ってくるパケットを制限する。
・LAN から外部に出ていくパケットを制限する。
・本装置自身が受信するパケットを制限する。
・本装置自身から送信するパケットを制限する。
・ゲートウェイ認証機能を使用しているときにアクセス可能にする。

またフィルタリングは以下の情報に基づいて条件を設定することができます。
・インタフェース
・入出力方向(入力 / 転送 / 出力)・プロトコル(TCP/UDP/ICMP/ など)・プロトコル番号
・送信元 / あて先 IP アドレス
・送信元 / あて先ポート番号
パケットフィルタリング機能を有効にすると、パケットを単にルーティングするだけでなく、パケットのヘッダ情報を調べて、送信元やあて先の IP アドレス、プロトコルの種類(TCP/UDP/ICMP などやプロトコ
ル番号）、ポート番号に基づいてパケットを通過させたり破棄させることができます。
このようなパケットフィルタリング機能は、コンピュータやアプリケーション側の設定を変更する必要がないために、個々のコンピュータでパケットフィルタの存在を意識することなく、簡単に利用できます。
※ Web 設定画面「各種サービスの設定」→「L2TPv3」の「L2TPv3 Xconnect Interface 設定」で指定されたインタフェースは、フィルタ設定を適用することができません。
L2TP セッション間でのフィルタリングを設定するには、「第 14 章 L2TPv3 フィルタ機能」を参考にしてください。

184

フィルタ設定第 22 章 パケットフィルタリング機能

Ⅱ．本装置のフィルタリング機能について
本装置は、4 つの基本ルールについてフィルタリン
グの設定をおこないます。
4 つの項目は以下の通りです。
・入力(input)
入力(input)
転送(forward)
・転送(forward)
出力(output)
・出力(output)）
ゲートウェイ認証（
authgw）
・ゲートウェイ認証（authgw

各ルール内のフィルタ設定は先頭から順番にマッチングされ、最初にマッチした設定がフィルタとして動作することになります。
逆に、マッチするフィルタ設定が見つからなければそのパケットはフィルタリングされません。

フィルタの初期設定について
本装置の工場出荷設定では、「入力フィルタ」と「転送フィルタ」において、以下のフィルタ設定がセットされています。

◆入力
入力(input)(input)フィルタ
入力(input)フィルタ
外部から本装置自身に入ってくるパケットに対して制御します。
インターネットや LAN から本装置へのアクセスについて制御したい場合には、この入力ルールにフィルタ設定をおこないます。

・NetBIOS を外部に送出しないフィルタ設定・外部から UPnP で接続されないようにする
フィルタ設定◆転送
転送(forward)(forward)フィルタ
フィルタ
転送(forward)
LAN からインターネットへのアクセスや、インターネットから LAN 内サーバへのアクセス、LAN から
LAN へのアクセスなど、本装置で内部転送する(本装置がルーティングする)アクセスを制御するという場合には、この転送ルールにフィルタ設定をおこないます。

Windows ファイル共有をする場合は、NetBIOS 用のフィルタを削除してお使いください。

◆出力
出力(output)(output)フィルタ
出力(output)
フィルタ
本装置内部からインターネットや LAN などへのア
クセスを制御したい場合には、この出力ルールにフィルタ設定をおこないます。
パケットが「転送されるもの」か「本装置自身へのアクセス」か「本装置自身からのアクセス」かをチェックして、それぞれのルールにあるフィル
タ設定を実行します。
◆ゲートウェイ認証
ゲートウェイ認証（
authgw）
ゲートウェイ認証（authgw）フィルタ「ゲートウェイ認証機能」を使用しているときに設定するフィルタです。
ゲートウェイ認証を必要とせずに外部と通信可能にするフィルタ設定をおこないます。
ゲートウェイ認証機能については「第 28 章 ゲー
トウェイ認証機能」をご覧ください。

185

第 22 章 パケットフィルタリング機能

Ⅲ．パケットフィルタリングの設定
入力・転送・出力・ゲートウェイ認証フィルタの 4 種類ありますが、設定方法はすべて同様となります。

設定方法
Web 設定画面にログインします。
「フィルタ設定」→「入力フィルタ」「転送フィルタ」「出力フィルタ」「ゲートウェイ認証フィルタ」のいずれかをクリックして、以下の画面から設定します。

(画面は「入力フィルタ」です)○インターフェース
フィルタリングをおこなうインタフェース名を指定します。
本装置のインタフェース名については、「付録 A インタフェース名一覧」をご参照ください。
○方向
ポートがパケットを受信するときにフィルタリン
グするか、送信するときにフィルタリングするかを選択します。
入力フィルタでは「入力フィルタでは「パケット受信時」のみ
出力フィルタでは「出力フィルタでは「パケット送信時」のみとなります。

○動作
フィルタリング設定にマッチしたときにパケットを「破棄」するか「通過」させるかを選択します。
○プロトコル
フィルタリング対象とするプロト
コルを選択します。
右側の空欄でプロトコル番号による指定もできます。
ポート番号も指定する場合は、ここで必ずプロトコルを選択しておいてください。

186

第 22 章 パケットフィルタリング機能

Ⅲ．パケットフィルタリングの設定○送信元アドレスフィルタリング対象とする、送信元の IP アドレスを入力します。
ホストアドレス、ネットワークアドレスでの指定が可能です。
< 入力例 >
単一の IP アドレスを指定する：
192.168.253.19 または 192.168.253.19/32( アドレス /32 の書式/32 は省略可能です。)

ネットワーク単位で指定する：
192.168.253.0/24○削除
削除したいフィルタ設定行の「削除」ボックスにチェックを入れて「設定 / 削除の実行」ボタンをクリックします。

入力が終わりましたら「設定 / 削除の実行」をクリックして設定完了です。
No. 項目が赤字で表示されている行は入力内容が正しくありません。
再度入力をやり直してください。

( ネットワークアドレス/マスクビット値 の書式)

設定情報の確認○送信元ポート
フィルタリング対象とする、送信元のポート番号を入力します。
範囲での指定も可能です。範囲で指定するときは： でポート番号を結びます。

「情報表示」をクリックすると、現在のフィルタ設定の情報が一覧表示されます。

< 入力例 >
ポート 1024 番から 65535 番を指定する場合。
1024:65535
ポート番号を指定するときは、プロトコルもあわせて選択しておかなければなりません。
(「全て」のプロトコルを選択して、ポート番号を指定することはできません。
)○あて先アドレス（画面は「入力フィルタ 情報表示」例）
フィルタリング対象とする、あて先の IP アドレスを入力します。
ホストアドレス、ネットワークアドレスでの指定が 設定を挿入する可能です。入力方法は、送信元アドレスと同様です。 フィルタ設定を追加する場合、任意の場所に挿入する事ができます。
○あて先ポート
挿入は、設定テーブルの一番下にある行からおこフィルタリング対象とする、あて先のポート番号ないます。
を入力します。範囲での指定も可能です。
指定方法は送信元ポート同様です。
（画面は「入力フィルタ」）○ LOG
最も左の欄に任意の番号を指定して設定すると、チェックを入れると、そのフィルタ設定に合致しその番号に設定が挿入されます。
たパケットがあったとき、そのパケットの情報を
その番号以降に設定がある場合は、1 つずつ設定番
syslog に出力します。
号がずれて設定が更新されます。
187
許可 / 破棄いずれの場合も出力します。

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例◆インターネットから LAN へのアクセスを破棄するフィルタ設定例
本製品の工場出荷設定では、インターネット側からLAN へのアクセスは全て通過させる設定となっていますので、以下の設定をおこない、外部からのアクセスを禁止するようにします。

設定画面での入力方法
入力フィルタ、転送フィルタを設定します。

フィルタの条件
・WAN 側からは LAN 側へアクセス不可にする。
・LAN から WAN へのアクセスは自由にできる。
・本装置から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続する。
・LAN から WAN へ IP マスカレードをおこなう。
・ステートフルパケットインスペクションは有効。

「入力フィルタ」で以下のように設定します。

「転送フィルタ」で以下のように設定します。

LAN 構成・LANのネットワークアドレス 「192.168.0.0/24」
フィルタの解説・LAN 側ポートの IP アドレス 「192.168.0.1」「入力フィルタ」「転送フィルタ」
No.1、2：
WAN から来る、あて先ポートが 1024 から 65535のパケットを通す。
No.3：
WAN から来る、ICMP（プロトコル番号 1 ）パ
ケットを通す。
No.4：
上記の条件に合致しないパケットを全て破棄する。

188

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例◆ WWW サーバを公開する際のフィルタ設定例◆ FTP サーバを公開する際のフィルタ設定例

フィルタの条件
・WAN 側からは LAN 側の WWW サーバにだけアクセス可能にする。
・LAN から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続。
・ステートフルパケットインスペクションは有効。

フィルタの条件
・WAN 側からは LAN 側の FTP サーバにだけアクセス可能にする。
・LAN から WAN へのアクセスは自由にできる。
・WAN は Ether1、LAN は Ether0 ポートに接続する。
・NAT は有効。
・Ether1 ポートは PPPoE 回線に接続する。
・ステートフルパケットインスペクションは有効。

LAN 構成・LANのネットワークアドレス 「192.168.0.0/24」
・LAN 側ポートの IP アドレス 「192.168.0.254」
・WWW サーバのアドレス「192.168.0.1」

LAN 構成・LANのネットワークアドレス 「192.168.0.0/24」
・LAN 側ポートの IP アドレス 「192.168.0.254」
・FTP サーバのアドレス「192.168.0.2」

設定画面での入力方法
転送フィルタを設定します。
設定画面での入力方法
転送フィルタを設定します。

「転送フィルタ」で以下のように設定します。

「転送フィルタ」で以下のように設定します。

フィルタの解説「転送フィルタ」
No.1：
192.168.0.1のサーバにHTTPのパケットを通す。

フィルタの解説「転送フィルタ」

No.2、3：
WAN から来る、あて先ポートが 1024 から 65535のパケットを通す。

No.1：
192.168.0.2 のサーバに ftp のパケットを通す。
No.2：
192.168.0.2 のサーバに ftpdata のパケットを
通す。

No.4：
上記の条件に合致しないパケットを全て破棄する。

No.3、4：
WAN から来る、あて先ポートが 1024 から 65535のパケットを通す。

これらの設定例は説明のためのものです。
これらのフィルタを設定して安全を確保できることを保証するものではありませんのでご注意
ください。

No.5：
上記の条件に合致しないパケットを全て破棄する。

189

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例
◆ WWW
、FTP
、メール、
DNS サーバを公開する際のフィルタ設定例
WWW、
FTP、
メール、DNS
フィルタの解説
フィルタの条件
・WAN 側からは LAN 側の WWW、FTP、メールサーバに
No.1：
だけアクセス可能にする。
192.168.0.1 のサーバに HTTP のパケットを通す。
・DNS サーバが WAN と通信できるようにする。
No.2：
・LAN から WAN へのアクセスは自由にできる。
192.168.0.2 のサーバに SMTP のパケットを通す。
・WAN は Ether1、LAN は Ether0 ポートに接続する。
・PPPoE で ADSL に接続する。
No.3：
・NAT は有効。
192.168.0.2 のサーバに POP3 のパケットを通す。
・ステートフルパケットインスペクションは有効。
No.4：
192.168.0.3 のサーバに ftp のパケットを通す。
LAN 構成・LAN のネットワークアドレス「192.168.0.0/24」
・LAN 側ポートの IP アドレス 「192.168.0.254」
・WWW サーバのアドレス「192.168.0.1」
・メールサーバのアドレス 「192.168.0.2」
・FTP サーバのアドレス「192.168.0.3」
・DNS サーバのアドレス「192.168.0.4」

設定画面での入力方法
転送フィルタを設定します。

No.5：
192.168.0.3 のサーバに ftpdata のパケットを通す。
No.6、7：
192.168.0.4 のサーバに、domain のパケット(tcp,udp)を通す。
No.8、9：
WAN から来る、あて先ポートが 1024 から 65535のパケットを通す。
No.10：
上記の条件に合致しないパケットを全て破棄する。

「転送フィルタ」で以下のように設定します。

これらの設定例は説明のためのものです。
これらのフィルタを設定して安全を確保できることを保証するものではありませんのでご注意ください。

190

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例◆ NetBIOS パケットが外部へ出るのを防止する
フィルタ設定例◆ WAN からのブロードキャストパケットを破棄する)
フィルタ設定例(smurf
攻撃の防御)
フィルタ設定例(smurf 攻撃の防御

フィルタの条件
・LAN 側から送出された NetBIOS パケットを WAN へ出さない。(Windows での自動接続を防止する)フィルタの条件
・WAN 側からのブロードキャストパケットを受け取らないようにする。
→ smurf 攻撃を防御する

LAN 構成・LANのネットワークアドレス 「192.168.0.0/24」
・LAN 側ポートの IP アドレス 「192.168.0.254」

LAN 構成・プロバイダから割り当てられたネットワーク空間「210.xxx.xxx.32/28」
・WAN 側は PPPoE 回線に接続する。
・WAN 側ポートの IP アドレス「210.xxx.xxx.33」

設定画面での入力方法
入力フィルタ、転送フィルタを設定します。
「入力フィルタ」で以下のように設定します。

設定画面での入力方法
入力フィルタを設定します。
「入力フィルタ設定」で以下のように設定します。

「転送フィルタ」で以下のように設定します。
フィルタの解説「入力フィルタ」
No.1：
210.xxx.xxx.32/32（210.xxx.xxx.32/28 のネットワークのネットワークアドレス）宛てのパケットを受け取らない。

フィルタの解説「入力フィルタ」「転送フィルタ」
No.1：
あて先ポートがtcpの137から139のパケットをEther0 ポートで破棄する。

No.2：
210.xxx.xxx.47/32（210.xxx.xxx.32/28 のネットワークのブロードキャストアドレス）宛てのパケットを受け取らない。

No.2：
あて先ポートがudpの137から139のパケットをEther0 ポートで破棄する。
No.3：
送信先ポートが tcp の 137 のパケットを Ether0
ポートで破棄する。

これらの設定例は説明のためのものです。
これらのフィルタを設定して安全を確保できることを保証するものではありませんのでご注意
ください。

No.4：
送信先ポートが udp の 137 のパケットを Ether0
ポートで破棄する。

191

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例◆外部からの攻撃を防止する総合的なフィルタ設定例◆ WAN からのパケットを破棄するフィルタ設定例)
攻撃の防御)(IP spoofing 攻撃の防御

フィルタの条件
・WAN 側からの不正な送信元・送信先 IP アドレスを持
つパケットを受け取らないようにする。
→ WAN からの攻撃を受けない・攻撃の踏み台にされな
いようにする。

フィルタの条件
・WAN 側からの不正な送信元 IP アドレスを持つパケットを受け取らないようにする。
→ IP spoofing 攻撃を受けないようにする。

LAN 構成・プロバイダから割り当てられたアドレス空間「202.xxx.xxx.112/28」
・LAN 側ネットワークアドレス 「192.168.0.0/24」
・WAN 側は PPPoE 回線に接続する。

LAN 構成・LANのネットワークアドレス 「192.168.0.0/24」
・WAN 側は PPPoE 回線に接続する。

設定画面での入力方法
入力フィルタを設定します。
設定画面での入力方法
入力フィルタ、出力フィルタを設定します。

「入力フィルタ設定」で以下のように設定します。

「入力フィルタ設定」で以下のように設定します。

フィルタの解説「入力フィルタ」「出力フィルタ設定」で以下のように設定します。

No.1、2、3：
WAN から来る、送信元 IP アドレスがプライ
ベートアドレスのパケットを受け取らない。
→ WAN 上にプライベートアドレスは存在しない。
フィルタの解説「入力フィルタ」
No.1、2、3：
WAN から来る、送信元 IP アドレスがプライベートア
ドレスのパケットを受け取らない。
→ WAN 上にプライベートアドレスは存在しない。
No.4：
WANからのブロードキャストパケットを受け取らない。
→ smurf 攻撃の防御
これらの設定例は説明のためのものです。
これらのフィルタを設定して安全を確保できることを保証するものではありませんのでご注意ください。

「出力フィルタ」

192

No.1、2、3：
送信元 IP アドレスが不正なパケットを送出しない。
→ WAN 上にプライベートアドレスは存在しない。

第 22 章 パケットフィルタリング機能

Ⅳ．パケットフィルタリングの設定例◆ PPTP を通すためのフィルタ設定例
フィルタの条件
・WAN 側からの PPTP アクセスを許可する。

LAN 構成・WAN 側は PPPoE 回線に接続する。

設定画面での入力方法
転送フィルタを設定します。
「転送フィルタ設定」で以下のように設定します。

フィルタの解説「転送フィルタ」
PPTP では以下のプロトコル・ポートを使って通信します。
・プロトコル「GRE」
・プロトコル「tcp」のポート「1723」
したがいまして、フィルタ設定では上記 2 つの条件に合致するパケットを通す設定をおこなって
います。

193

第 22 章 パケットフィルタリング機能

Ⅴ．外部から設定画面にアクセスさせる設定
以下は、PPPoE で接続した場合の設定方法です。

1 まず設定画面にログインし、パケットフィルタ
設定の「入力フィルタ」画面を開きます。

2 「入力フィルタ」設定の中で、以下のような設定を追加してください。

上記設定では、xxx.xxx.xxx.xxx の IP アドレスを持つホストだけが、外部から本装置の設定画面へのアクセスが可能になります。
また「送信元アドレス」を空欄にすると、すべてのインターネット上のホストから、本装置にアクセ
ス可能になります。
(セキュリティ上たいへん危険ですので、セキュリティ上たいへん危険ですので、この設定は推奨いたしません。)

194

第 22 章 パケットフィルタリング機能

補足：NAT とフィルタの処理順序について補足：
本装置における、
NAT とフィルタリングの処理
本装置における、NAT
方法は以下のようになっています。

・WAN 側からパケットを受信したとき、最初に「バーチャルサーバ設定」が参照されます。
・「バーチャルサーバ設定」で静的 NAT 変換したあとに、パケットがルーティングされます。
・本装置自身へのアクセスをフィルタするときは「入力フィルタ」、本装置自身からのアクセスをフィルタするときは「出力フィルタ」で設定します。
・WAN 側から LAN 側へのアクセスをフィルタするとき
は「転送フィルタ」で設定します。その場合のあて先アドレスは「(LAN 側の)プライベートアドレス」になります(NAT の後の処理となるためです)。
・ステートフルパケットインスペクションだけを有効にしている場合、WAN から LAN、また本装置
自身へのアクセスはすべて破棄されます。
・ステートフルパケットインスペクションと同時に「入力フィルタ」「転送フィルタ」を設定している場合は、先に「入力フィルタ」「転送フィルタ」にある設定が優先して処理されます。
・「送信元 NAT 設定」は、一番最後に参照されます。

図の上部を WAN 側、下部を LAN 側とします。
また、 LAN → WAN へ NAT をおこなう とします。

・LAN 側から WAN 側へのアクセスの場合も、処理の順序は同様です。
(最初にバーチャルサーバ設定が参照されます。
)

195

第 22 章 パケットフィルタリング機能

補足：ポート番号について補足：
よく使われるポートの番号については、下記の表を参考にしてください。
詳細は R F C 1 7 0 0 (Oct. 1994)
1994)を参照してください。

196

第 22 章 パケットフィルタリング機能

補足：フィルタのログ出力内容について補足：
フィルタ設定画面で「LOG」にチェックを入れると、その設定に合致したパケットの情報を syslog に出力します。
※ 本装置の syslog は、Web 設定画面「システム設定」→「ログの表示」にて確認できます。
出力内容は以下のようになります。
< 入力パケットを破棄したときのログ出力例 >Jan 25 14:14:07 localhost XR‑Filter: FILTER̲INPUT̲1 IN=eth0 OUT=
MAC=00:80:6d:xx:xx:xx:00:20:ed:yy:yy:yy:80:00 SRC=192.168.xxx.xxx
DST=xxx.xxx.xxx.xxx LEN=40 TOS=00 PREC=0x00 TTL=128 ID=43951 CE DF PROTO=TCP
SPT=2526 DPT=880 SEQ=4098235374 ACK=1758964579 WINDOW=48000 ACK URGP=0

Jan 25 14:14:07

s y s l o g がログを取得した日時です。

XR‑Filter:

フィルタのログであることを表します。

FILTER̲INPUT̲1

入力フィルタの１番目のフィルタで取得されたものです。
｢FILTER̲FORWARD｣は転送フィルタを意味します。
｢FILTER̲OUTPUT｣は出力フィルタを意味します。
｢FILTER̲AUTHGW｣はゲートウェイ認証フィルタを意味します。

IN=

パケットを受信したイン タフェースが記されます。

OUT=

パケットを送出したインタフェースが記されます。
何も記載されていないときは、 X R のどのインタフェースからもパケットを送出していないことを表わしています。

MAC=

送信元・あて先のMACアドレスが記されます。

SRC=

送信元I P アドレスが記されます。

DST=

送信先I P アドレスが記されます。

LEN=

パケット長が記されます。

TOS=

T O S b i t の状態が記されます。

TTL=

T T L の値が記されます。

ID=

IPのIDが記されます。

PROTO=

プロトコルが記されます。

SPT=

送信元ポートが記されます。

DPT=

送信先ポートが記されます。

プロトコルが ICMP の時は、以下のような ICMP 用のメッセージも記されます。
TYPE=0I C M P のタイプが記されます。

CODE=0I C M P のコードが記されます。

ID=3961

I C M P のI D が記されます。

SEQ=6656

I C M P のシーケンス番号が記されます。

197

第 23 章スケジュール設定（XR‑640L2 のみ）

第 23 章 スケジュール設定（XR‑640L2 のみ）
スケジュール設定（

スケジュール機能の設定方法○スケジュール
実行させる「時刻」「動作」を設定します。

XR‑640L2 には、主回線を接続または切断する時間を管理するスケジュール機能があります。
スケジュールの設定は 10 個まで設定できます「時刻」
実行させる時刻を設定します。

Web 設定画面の「スケジュール設定」をクリックし
ます。

「動作」
動作内容を設定します。
・主回線接続「時刻」項目で設定した時間に主回線を接続する場合に選択してください。
・主回線切断「時刻」項目で設定した時間に主回線を切断する場合に選択します。

1 〜 10 のいずれかをクリックし、以下の画面でスケジュール機能の詳細を設定します。

○実行日
実行する日を「毎日」「毎週」「毎月」の中から選択
します。
「毎日」
毎日同じ時間に接続 / 切断するように設定する場
合に選択します。
「毎週」
毎週同じ曜日の同じ時間に接続 / 切断するように設定する場合に選択します。
なお、複数の曜日を選択することができます。
「毎月」
毎月同じ日の同じ時間に接続 / 切断するように設定する場合に選択します。
なお、複数の日を選択することができます。

複数選択する場合【Windows の場合】
Control キーを押しながらクリックします。
【Macintosh の場合】
Command キーを押しながらクリックします。

199

第 23 章 スケジュール設定（XR‑640L2 のみ）
スケジュール設定（

スケジュール機能の設定方法○有効期限
実行有効期限を設定します。有効期限は、常に設定する年から 10 年分まで設定できます。
有効期限で「xxxx 年 xx 月 xx 日に実行」を選択した場合、実行日は「毎日」のみ選択できます。

入力が終わりましたら、「設定 / 削除の実行」をク
リックします。
設定内容は画面上のスケジュール設定欄に反映さ
れます。

「なし」
特に実行する期限を定めない場合に選択します。

スケジュール設定欄の項目について「xx 月 xx 日〜 x 月 x 日の期間」
実行する期間を定める場合に選択し、有効期限を設定します。

スケジュール設定欄にある項目（
「時間」
「動作」
「実行」
「有効期間」「スケジュール」）のリンクをクリックすると、クリックした項目を基準にしたソートがかかります。
＜例＞「xxxx 年 xx 月 xx 日以降」
実行する期間の開始日を設定したい場合に選択します。
「xxxx 年 xx 月 xx 日まで」
実行する期間の終了日を設定したい場合に選択します。
「xxxx 年 xx 月 xx 日に実行」
実行する日時を設定したい場合に選択します。

○スケジュールを xxx する
設定したスケジュール内容の実行・削除・保存を決定します。

上の画面で「時間」項目をクリックします。
下の画面のように、「時間」の早い順番に並べ替えられます。

・無効にする
スケジュールの設定内容を残しておきたい
場合に選択します。
（スケジュールは起動しません。
）
・有効にする
設定したスケジュールを起動する場合に選
択します。
・削除する
スケジュールの設定内容を削除する場合に選択します。

200

第 24 章ネットワークイベント機能

第 24 章 ネットワークイベント機能

Ⅰ．機能の概要
ネットワークイベントは、回線障害などのネットワーク状態の変化を検知し、それをトリガーとして特定のイベントを実行する機能です。

本装置では、以下のネットワーク状態の変化をトリガーとして検知することができます。

また、これらのトリガーを検知した際に実行可能なイベントとして以下があります。

・Ping 監視の状態
・Link 監視の状態

・IPsec ポリシー（接続切断設定）◆ Ping 監視
本装置から任意の宛先へpingを送信し、その応答の有無を監視します。
一定時間応答がなかった時にトリガーとして検知します。また、再び応答を受信した時は、復旧トリガー◆ IPsec ポリシー
（接 続切 断設 定）
ポリシー（
トリガー検知時に、指定した IPsec ポリシーを切断します。また、トリガー復旧時には、IPsec ポリ
シーを再び接続します。

として検知します。

◆ Link 監視
EthernetインタフェースやPPPインタフェースのリンク状態を監視します。
監視するインタフェースのリンクがダウンした時にトリガーとして検知します。また、再びリンクがアップした時は復旧トリガーとして検知します。

202

第 24 章 ネットワークイベント機能

Ⅰ．機能の概要
本機能で使用する各種テーブルについて
本機能は複数のテーブル定義を連携させることによって実現しています。
① Ping 監視テーブル②ネットワークイベント設定テーブル③イベント実行テーブル④ IPsec 接続切断テーブル① Link 監視テーブル① Ping 監視テーブル /Link 監視テーブル
これらのテーブルでは、監視対象、監視周期、障害検出した場合のトリガー番号を設定します。
ここで設定を有効(enable)にしたトリガー番号は、次の「②ネットワークイベント設定テーブル」のインデックス番号になります。
②ネットワークイベント設定テーブル
このテーブルでは、トリガー番号とイベント番号の関連付けを定義します。
ここで設定したイベント番号は、次の「③イベント実行テーブル」のインデックス番号になります。
③イベント実行テーブル
このテーブルでは、イベント番号と実行イベント種別 / オプション番号の関連付けを定義します。
イベントの実行種別として「IPSEC ポリシー」を設定した場合、次に「④ IPsec 接続切断テーブル」を索引します。設定したオプション番号は、テーブル④のインデックス番号になります。
④ IPsec 接続切断テーブル
このテーブルでは、IPsec 接続 / 切断をおこなう IPsec ポリシー番号、または IPsec インタフェース名を定義します。

203

第 24 章 ネットワークイベント機能

Ⅱ．各トリガーテーブルの設定
Ping 監視の設定方法

Link 監視の設定方法

設定画面上部の「Ping 監視の設定」をクリックして、以下の画面から設定します。

設定画面上部の「Link 監視の設定」をクリックして、以下の画面から設定します。

○ enable
チェックを入れることで設定を有効にします。

○ enable
チェックを入れることで設定を有効にします。

○トリガー番号ping 送信先から応答が無かった場合に検知するトリガーの番号(1 〜 16)を指定します。
本値は、「ネットワークイベント設定」テーブルでのインデックス番号となります。

○トリガー番号
監視するインタフェースのリンクがダウンした場合に検知するトリガーの番号(1 〜 16)を指定します。
本値は、「ネットワークイベント設定」テーブルでのインデックス番号となります。

○インターバル(秒)○リトライ
ping を発行する間隔を設定します。
「『インターバル』秒間に、『リトライ』回 ping を発行する」という設定になります。この間、一度も応答が無かった場合にトリガーとして検知されます。

○インターバル(秒)○リトライ
インタフェースのリンク状態を監視する間隔を設定します。
「『インターバル』秒間に、『リトライ』回、インタ
フェースのリンク状態をチェックする」という設定になります。この間、リンク状態が全てダウンだった場合にトリガーとして検知されます。

○送信先アドレスping を送信する先の IP アドレスを指定します。
最後に「設定の保存」をクリックして設定完了です。

○監視するデバイス名
リンク状態を監視するデバイスのインタフェース
名を指定します。
Ethernet インタフェース名、または PPP インタ
フェース名を入力してください。
最後に「設定の保存」をクリックして設定完了です。

204

第 24 章 ネットワークイベント機能

Ⅱ．各トリガーテーブルの設定

各種監視設定の起動と停止方法
各監視機能（Ping 監視、Link 監視）を有効にするには、Web 画面「ネットワークイベント設定」画面→「起動、停止」で、以下のネットワークイベントサー
ビス設定画面を開きます。
有効にしたい監視機能の「起動」ボタンにチェックを入れ、「動作変更」をクリックしてサービスを起動
してください。

注) 各監視設定で指定したトリガー番号は、「ネット
ワークイベント設定」テーブルでのインデックス番号となるため、それぞれの監視設定の間で同じトリ
ガー番号が有効にならないように設定してください。

また、設定の変更、追加、削除をおこなった場合は、サービスを再起動させてください。

205

第 24 章 ネットワークイベント機能

Ⅲ．実行イベントテーブルの設定
ネットワークイベント設定テーブルの設定

イベント実行テーブルの設定

設定画面上部の「ネットワークイベント設定」をクリックして、以下の画面から設定します。

設定画面上部の「イベント実行テーブル設定」をクリックして、以下の画面から設定します。

○トリガー番号○実行イベント設定「Ping 監視の設定」、「Link 監視の設定」で設定し「IPsec ポリシー」でおこなわれる実行されるイベ
たトリガー番号を指定します。
ントは、IPsec ポリシーの切断をおこないます。
なお、複数のトリガー検知の組み合わせによって、イベントを実行させることも可能です。
○オプション設定
実行イベントのオプション番号です。
＜例＞
本値は、「IPSEC 接続切断設定」テーブルのイン・トリガー番号 1 とトリガー番号 2 のどちらかをデックス番号となります。
検知した時にイベントを実行させる場合
1&2
最後に「設定の保存」をクリックして設定完了です。

・トリガー番号 1 とトリガー番号 2 の両方を検知した時、またはトリガー番号 3 を検知した時にイベントを実行させる場合[1￨2]&3○実行イベントテーブル番号
そのトリガー番号を検知した時に実行されるイベ
ント番号(1 〜 16)を指定します。
本値は、イベント実行テーブルでのインデックス
番号となります。
なお、複数のイベントを同時に実行させることも可能です。その場合は ̲ でイベント番号を繋ぎます。
＜例＞ イベント番号 1,2,3 を同時に実行させる場合
1̲2̲3
最後に「設定の保存」をクリックして設定完了です。

206

第 24 章 ネットワークイベント機能

Ⅳ．実行イベントのオプション設定
IPSEC 接続切断設定 テーブルの設定
設定画面上部の「IPSEC ポリシー」をクリックして、次の画面から設定します。

○使用 interface 連動機能
本装置では、PPPoE 上で IPsec 接続している場合、
PPPoE 接続時に自動的に IPsec 接続も開始されます。
ネットワークイベント機能を使った IPsec 二重化において、バックアップ側の PPPoE 接続時に IPsec
を自動接続させたくない場合には「使用しない」
を選択します。
最後に「設定の保存」をクリックして設定完了です。

○ IPSEC ポリシー番号 , 又はインターフェース名
トリガー検知時に切断する IPsec ポリシーの番号、または IPsec インタフェース名を指定します。
ポリシー番号は、範囲で指定することもできます。
＜例＞
IPsec ポリシー 1 から 20 を切断する → 1:20
インタフェース名を指定した場合は、そのインタフェースで接続する IPsec は全て切断されます。
トリガー復旧時には再度 IPsec 接続されます。
○使用 IKE 連動機能
切断する IPsec ポリシーが使用する IKE と同じ IKE
を使用する IPsec ポリシーが設定されている場合において、トリガー検知時にその IKE を使用する全ての IPsec ポリシーを切断する場合は、「使用する」
を選択します。
ここで設定した IPsec ポリシーのみを切断する場合は「使用しない」を選択します。

207

第 24 章 ネットワークイベント機能

Ⅴ．ステータスの表示
ステータスの表示
設定画面上部の「ステータス」をクリックして表示します。

○トリガー情報
設定が有効なトリガー番号とその状態を表示します。
ON と表示されている場合トリガーを検知していない、またはトリガーが復旧している状態を表します。
OFF と表示されている場合
トリガー検知している状態を表します。

○イベント情報
・No.
イベント番号とその状態を表します。
× の表示は、トリガー検知し、イベントを実行している状態を表します。
○ の表示は、トリガー検知がなく、イベン
トが実行されていない状態を表します。
‑ の表示は、無効なイベントです。
・トリガー
イベント実行の条件となるトリガー番号とその状態を表します。
・イベントテーブル
左からイベント実行テーブルのインデックス
番号、実行イベント種別、オプションテーブ
ル番号を表します。

208

第 25 章仮想インターフェース機能

第 25 章 仮想インターフェース機能

仮想インターフェース機能の設定
主にバーチャルサーバ機能を利用する場合に、仮想
インタフェースを設定します。
128 まで設定できます。
「仮想インターフェース設定画面インデックス」のリ
ンクをクリックしてください。

○ IP アドレス
作成するインタフェースの IP アドレスを指定します。
○ネットマスク
作成するインタフェースのネットマスクを指定し
ます。

設定方法
Web 設定画面「仮想インターフェース」をクリック
して、以下の画面から設定します。

○削除
仮想インタフェース設定を削除する場合は、削除
したい設定行の「削除」ボックスにチェックを入れてください。

入力が終わりましたら「設定 / 削除の実行」をクリックして設定完了です。
No. 項目が赤字で表示されている行は入力内容が正しくありません。
再度入力をやり直してください。

○インターフェース
仮想インタフェースを作成するインタフェース名を指定します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。
○仮想 I/F 番号
作成するインタフェースの番号を指定します。
0 〜 127 の間で設定できます。

210

第 26 章GRE 設定第 26 章 GRE 設定

GRE の設定
GRE は Generic Routing Encapsulation の略で、リモート側にあるルータまで仮想的なポイントツー
ポイント リンクを張って、多種プロトコルのパケットを IP トンネルにカプセル化するプロトコルです。
また、IPsec トンネル内に GRE トンネルを生成する
こともできますので、GRE を使用する場合でもセキュアな通信を確立することができます。

設定方法
Web 設定画面「GRE 設定」→[GRE インタフェース設
定:]のインタフェース名「GRE1」〜「GRE64」をクリックして設定します。

○リモート(宛先)アドレス
GRE トンネルのエンドポイントの IP アドレス(対向側装置の WAN 側 IP アドレス)を設定します。
○ローカル(送信元)アドレス
本装置の WAN 側 IP アドレスを設定します。
○ PEER アドレス
GREトンネルを生成する対向側装置のインタフェー
スの仮想アドレスを設定します。
前項目の「インタフェースアドレス」と同じネットワークに属するアドレスを指定してください。
< 入力例 > 192.168.90.2/30○ TTL
GRE パケットの TTL 値を設定します。
○ MTU
MTU 値を設定します。最大値は 1500byte です。
○ Path MTU Discovery
Path MTU Discovery 機能を有効にするかを選択します。
機能を「有効」にした場合は、常に IP ヘッダの DF
ビットを ON にして転送します。転送パケットの DF
ビットが 1 で、パケットサイズが MTU を超えている場合は、送信元に ICMP Fragment Needed を返送します。
「無効」にした場合、TTL は常にカプセル化されたパケットの TTL 値がコピーされます。
従って、GRE 上で OSPF を動かす場合には、TTL が1 に設定されてしまうため、PathMTU Discovery
を有効にしてください。
○ TOS 設定(ECN Field 設定不可)
GRE パケットの ToS 値を設定します。

○インタフェースアドレス
GREトンネルを生成するインタフェースの仮想アドレスを設定します。任意で指定します。
< 入力例 > 192.168.90.1/30

212

第 26 章 GRE 設定

GRE の設定○ GREoverIPSec
IPsec を使用して GRE パケットを暗号化する場合に「使用する」を選択します。
また、この場合には別途、IPsec の設定が必要です。
Routing Table に合わせて暗号化したい場合には「Routing Table に依存」を選択します。
ルートが IPsec の時は暗号化、IPsec でない時は暗号化しません。
GRE トンネルを暗号化するときの「IPsec 設定」は以下のようにしてください。

GRE の状態表示[GRE インタフェース設定:]の「GRE1」〜「GRE64」
各設定画面下部にある「現在の状態」には、GRE の動作状況が表示されます。

(画面は表示例です）
また、実行しているインタフェースでは、「現在の状態」リンクをクリックすると、ウィンドウポッ
プアップして以下の情報が表示されます。

・本装置側設定 通常通り
・IKE/ISAKMP ポリシー設定 通常通り
・IPsec ポリシー設定
本装置側の LAN 側のネットワークアドレス：
GRE 設定のローカルアドレス /32

・GREX トンネルパラメータ情報
・GREX トンネルインタフェース情報

相手側の LAN 側のネットワークアドレス：
GRE 設定のリモートアドレス /32○ ID キーの設定
この機能を有効にすると、KEY Field の 4byte が GRE
ヘッダに付与されます。
○ End‑to‑End Checksumming
チェックサム機能の有効 / 無効を選択します。
この機能を「有効」にすると、checksum field (2byte) + offset (2byte)の計 4byte が GRE パケットに追加されます。
○ MSS 設定
GRE トンネルに対して、clamp to MSS 機能を有効にしたり、MSS 値の設定が可能です。

(画面は「GRE1 情報」の表示例)

GRE の一覧表示
GRE設定をおこなうと、設定内容が一覧表示されます。

○編集
設定の編集は「Interface 名」をクリックしてくだ
入力後は「追加 / 変更」ボタンをクリックします。
直ちに設定が反映され、GREトンネルが生成されます。 さい。

GRE の無効化○リンク状態
GRE トンネルのリンク状態は「Link State」に表示されます。
「up」が GRE トンネルがリンクアップしている状態です。

[GRE インタフェース設定:]の「GRE1」〜「GRE64」
各設定画面にある「削除」をクリックすると、その設定に該当する GRE トンネルが無効化されます。
(設定自体は保存されています。)
再度有効とするときは「追加 / 変更」ボタンをク213
リックしてください。

第 27 章QoS 機能第 27 章 QoS 機能

Ⅰ．QoS について
本装置の優先制御・帯域制御機能(以下、QoS 機能)は、以下の 5 つのキューイング方式でトラフィック制御をおこないます。

1.SFQ
2.PFIFO
3.TBF
4.CBQ
5.PQ

クラスフル / クラスレスなキューイング
キューイングには、クラスフルなものとクラスレスなものがあります。

クラスレスキューイング
クラスレスなキューイングは、内部に設定可能な
トラフィック分割用のバンド(クラス)を持たず、到着するすべてのトラフィックを同等に取り扱い
ます。

1.SFQ
SFQ はパケットの流れ(トラフィック)を整形(※)しません。
パケットを送り出す順番を決めるだけです。
SFQ では、トラフィックを多数の内部キュー(※)に分割して収納します。
そして、各キューをラウンドロビンで回り、各キューからパケットを FIFO(※)で順番に送信していきます。
ラウンドロビンで順番にトラフィックが送信されることから、ある特定のトラフィックが他のトラフィックを圧迫してしまうことがなくなり、どの
トラフィックも公平に送信されるようになります。
(複数のトラフィックを平均化できます。
)※ 整形
トラフィック量が一定以上にならないように転送速度を調節することを指します。
「シェーピング」とも呼ばれます。

SFQ
SFQ、PFIFOPFIFO、TBF がクラスレスなキューイングです。 ※ キュー
データの入り口と出口を一つだけ持つバッファのことを指します。
クラスフルキューイング
クラスフルなキューイングでは、内部に複数のクラスを持ち、選別器(クラス分けフィルタ)によって、パケットを送り込むクラスを決定します。
各クラスはそれぞれに帯域を持つため、クラス分
けすることで帯域制御ができるようになります。
また、キューイング方式によっては、あるクラス
がさらに自分の配下にクラスを持つこともできます。
さらに、各クラス内でそれぞれキューイング方式
を決めることもできます。

※ FIFO「First In First Out」の略で、「最初に入ったものが最初に出る」、つまり最も古いものが最初に取り出されることを指します。

CBQ と PQ がクラスフルなキューイングです。

215

第 27 章 QoS 機能

Ⅰ．QoS について
2.PFIFO

3.TBF

もっとも単純なキューイング方式です。
あらかじめキューのサイズを決定しておき、どのパケットも区別なくキューに収納していきます。
キューからパケットを送信するとき、送信するパケットは FIFO にしたがって選別されます。

帯域制御方法の 1 つです。
トークンバケツに、トークンをある一定の速度(トークン速度)で収納していきます。
このトークン 1 個ずつがパケットを 1 個ずつつかみ、トークン速度を超えない範囲でパケットを送信していきます。
(送信後はトークンは削除されます。
)

キューのサイズを超えてパケットが到着したときは、超えた分のパケットは全て破棄されてしまいます。
キューのサイズが大きすぎると、キューイングによる遅延が発生する可能性があります。

また、バケツに溜まっている余分なトークンは、突発的なバースト状態(パケットが大量に届く状態)でパケットが到着しているときに使われます。
バーストが起きているときはすでにバケツに溜まっている分のトークンを使ってパケットを送信しますので、溜まった分のトークンを使い切らな
いような短期的なバーストであれば、トークン速度(制限 Rate)を超えたパケット送信が可能です。
バースト状態が続くとバケツのトークンがすぐになくなってしまうため遅延が発生していき、最終的にはパケットが破棄されてしまうことになります。

216

第 27 章 QoS 機能

Ⅰ．QoS について
5.CBQ< クラス構成図 例 >CBQ は帯域制御の 1 つです。
複数のクラスを作成しクラスごとに帯域幅を設定することで、パケットの種類に応じて使用できる帯域を割り当てる方式です。

root クラス (1Mbps)
クラス 1 (500kbps、優先度 2)

CBQ におけるクラスは、階層的に管理されます。
最上位には root クラスが置かれ、利用できる総帯
域幅を定義しておきます。
root クラスの下に子クラスが置かれ、それぞれの子クラスには root で定義した総帯域幅の一部を利用可能帯域として割り当てます。
子クラスの下には、さらにクラスを置くこともできます。

HTTP (優先度 1)
FTP(優先度 5)

クラス 2 (500kbps、優先度 1)
HTTP (優先度 1)

各クラスへのパケットの振り分けは、フィルタ(クラス分けフィルタ)の定義に従っておこなわれます。
各クラスには帯域幅を割り当てます。
兄弟クラス間で割り当てている帯域幅の合計が、上位クラスで定義している帯域幅を超えないように設計しなければなりません。
また、それぞれのクラスには優先度を割り振り、優先度に従ってパケットを送信していきます。
子クラスからは FIFO でパケットが送信されます
が、子クラスの下にキューイングを定義し、クラス内でのキューイングをおこなうこともできます。
(クラスキューイング。
)
CBQ の特徴として、各クラス内において、あるクラスが兄弟クラスから帯域幅を借りることができます。
例えば、右図 < クラス構成図 > のクラス 1 において、
トラフィックが 500kbps を超えていて、かつ、クラス 2 の使用帯域幅が 500kbps 以下の場合に、クラス
1 はクラス 2 で余っている帯域幅を借りてパケットを送信することができます。

217

FTP

(優先度 5)

第 27 章 QoS 機能

Ⅰ．QoS について
5.PQ
PQ は優先制御の 1 つです。
トラフィックのシェーピングはおこないません。
PQ では、パケットを分類して送り込むクラスに優
先順位をつけておきます。
そして、フィルタによってパケットをそれぞれのクラスに分類したあと、優先度の高いクラスから優先的にパケットを送信します。
なお、クラス内のパケットは FIFO で取り出されます。
優先度の高いクラスに常にパケットがキューイン
グされているときには、より優先度の低いクラス
からはパケットが送信されなくなります。

218

第 27 章 QoS 機能

Ⅱ．QoS 機能の各設定画面について
本装置では下記の各種設定画面で設定をおこないます。
設定方法については各設定の説明ページをご参照ください。

Interface Queuing 設定
本装置の各インタフェースでおこなうキューイング方式を定義します。
すべてのキューイング方式で設定が必要です。

CLASS 設定
CBQ をおこなう場合の、各クラスについて設定します。

CLASS Queuing 設定
各クラスにおけるキューイング方式を定義します。
CBQ以外のキューイング方式について定義できます。

CLASS 分けフィルタ設定
パケットを各クラスに振り分けるためのフィルタ設定を定義します。
PQ、CBQ をおこなう場合に設定が必要です。

パケット分類設定
各パケットに、TOS値やMARK値を付加するための設定です。
PQ をおこなう場合に設定します。
PQ では IP ヘッダによる CLASS 分けフィルタリングができないため、TOS 値または MARK 値によってフィルタリングをおこないます。

ステータス表示QoS 機能の各種ステータスが表示されます。

219

第 27 章 QoS 機能

Ⅲ．各キューイング方式の設定手順について
各キューイング方式の基本的な設定手順は以下の通りです。

◆ SFQ の設定手順◆ CBQ の設定手順「Interface Queueing 設定」で設定します。

1. ルートクラスの設定「Interface Queueing 設定」で、ルートクラスの設定をおこないます。

◆ PFIFO の設定手順「Interface Queueing 設定」でキューのサイズを設定します。

2.. 各クラスの設定
・「CLASS 設定」で、全てのクラスの親となる親クラスについて設定します。

◆ TBF の設定手順

・「CLASS 設定」で、親クラスの下に置く
子クラスについて設定します。

「Interface Queueing 設定」で、トークンのレート、バケツサイズ、キューのサイズを設定します。

・「CLASS 設定」で、子クラスの下に置く
リーフクラスを設定します。

3. クラス分けの設定「CLASS 分けフィルタ設定」で、CLASS 分けのマッチ条件を設定します。

4. クラスキューイングの設定
クラス内でさらにキューイングをおこなうときには「CLASS Queueing 設定」でキューイング設定をおこないます。

◆ PQ の設定手順

1. インタフェースの設定「Interface Queueing 設定」で、Band 数、Priority‑map、Marking Filter を設定します。

2.CLASS 分けのためのフィルタ設定「CLASS 分けフィルタ設定」で、Mark 値によるフィルタを設定します。

3. パケット分類のための設定「パケット分類設定」で、TOS 値または MARK 値の付与設定をおこないます。

220

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法についてInterface Queueing 設定
すべてのキューイング方式において設定が必要です。 ◆ SFQ の設定
設定を追加するときは「New Entry」をクリックしま 前記の「Queueing Descipline」項目にて「sfq」
す。
キューイング方式を選択するのみです。

◆ PFIFO の設定○ pfifo queue limit （pfifo 選択時有効）
パケットをキューイングするキューの長さを設定します。パケットの数
パケットの数で指定します。
パケットの数1 〜 1000 の範囲で設定してください。

◆ TBF の設定
[TBF Paramater 設定]について設定します。
○制限 Rate
バケツにトークンを入れていく速度を設定します。
回線の実効速度を上限に設定してください。
回線の実効速度を上限○ Buffer Size
バケツのサイズを設定します。
これは瞬間的に利用できるトークンの最大値となります。
帯域の制限幅を大きくするときは、Buffer Size を大きく設定しておきます。

○ Interface 名
キューイングをおこなうインタフェース名を入力します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。

○ Limit Byte
トークンを待っている状態でキューイングするときの、キューのサイズを設定します。

◆ CBQ の設定
[CBQ Parameter 設定]について設定します。
○回線帯域
root クラスの帯域幅を設定します。
接続回線の物理的な帯域幅を設定します。
(10BASE‑TX で接続しているときは 10000kbits/s)○ Queueing Discipline
プルダウンからキューイング方式を選択します。
・sfq○平均パケットサイズ設定
・pfifoパケットの平均サイズを設定します。
・tbf
バイト単位で設定します。
・cbq
・pq
221

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について◆ PQ の設定[PQ Parameter 設定]について設定します。

※ Priority‑map の箱に付けられている番号は、
TOS 値の「Linux における扱い番号(パケットの優先度)」とリンクしています。
(章末の「Ⅸ .TOS について」を参照ください)○最大 Band 数設定生成するバンド数を設定します。
ここでいう Band 数はクラス数のことです。
本装置で設定されるクラス ID は 1001:、1002:、
1003:、1004:、1005:となります。
バンド番号は 1001:が 1、1002:が 2、1003:が 3、1004:が 4、1005:が 5 となります。

※ インタフェースに届いたパケットは、2 つの方法でクラス分けされます。

Band 数の初期設定は 3(クラス ID 1001:〜 1003:)、
設定可能な Band 数は 2 〜 5 です。
初期設定外の数値に設定した場合は、次項の「Priority‑map 設定」を変更します。
○ Priority‑map 設定
Priority‑mapには7つの入れ物が用意されています。
(左から 0、1、2、3、4、5、6 という番号が付けられています)。
そして、それぞれに Band を設定します。
最大 Band 数で設定した範囲で、それぞれに Band を設定できます。
○ Marking Filter 設定
パケットの Marking 情報によって振り分けを決定するときに設定します。
・Filter No.
Class 分けフィルタの設定番号を指定します。

・TOS フィールドの「Linux における扱い番号(パケットの優先度)」を参照し、同じ番号のPriority‑ma の箱にパケットを送ります。
・Marking Filter 設定に従って、各クラスにパケットを送る※ Priority‑map の箱に付けられる Band はクラスのことです。
箱に設定されている値のクラスに属することを意味します。
Band数が小さい方が、より優先度が高くなります。
※ クラス分けされたあとのパケットは、優先度の高いクラスから FIFO で送信されていきます。
各クラスの優先度は 1001: > 1002: > 1003: >1005:となります。
1004: > 1005:※ より優先度の高いクラスにパケットがあると、その間は優先度の低いクラスからはパケットが送信されなくなります。

・Class No.
パケットを送るクラス番号(＝ Band 番号)を指定し 入力後は「設定」ボタンをクリックします。
ます。
1001：が Class No.1、1002：が Class No.2、1003：が Class No.3、1004：が Class No.4、1005：が Class No.5 となります。

222

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について
CLASS 設定
設定を追加するときは「New Entry」をクリックします。

○ Priority
複数の CLASS 設定での優先度を設定します。
値が小さいものほど優先度が高くなります。
1 〜 8 の間で設定します。
○ Rate 設定
クラスの帯域幅を設定します。
設定は kbit/s 単位となります。
○ Class 内 Average Packet Size 設定
クラス内のパケットの平均サイズを指定します。
設定はバイト単位となります。
○ Maximum Burst 設定
一度に送信できる最大パケット数を指定します。
○ Bounded 設定「有効」を選択すると、兄弟クラスから余っている
帯域幅を借りようとはしなくなります(Rate設定値
を超えて通信しません)。
「無効」を選択すると、その逆の動作となります。

○ Description
設定名を付けることができます。
半角英数字のみ使用可能です。
○ Interface 名
キューイングをおこなうインタフェース名を入力します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。

○ Filter 設定
CLASS 分けフィルタの設定番号を指定します。
ここで指定したフィルタにマッチングしたパケッ
トが、このクラスに送られてきます。

設定後は「設定」ボタンをクリックします。

○ Class ID
クラス ID を設定します。
クラスの階層構造における <minor 番号 > となります。
○親 class ID
親クラスの ID を指定します。
クラスの階層構造における <major 番号 > となります。

223

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について

CLASS Queueing 設定
設定を追加するときは「New Entry」をクリックします。

○ QDISC 番号
このクラスが属している QDISC 番号を指定します。
○ MAJOR ID
親のクラス ID を指定します。
クラスの階層構造における <major 番号 > となります。
○ Class ID
自身のクラス ID を指定します。
クラスの階層構造における <minor 番号 > となります。

Interface Queueing 設定
以下は、「Interface
設定」と同様に設定します。
○ Queueing Descipline「CLASS Queueing 設定」では「cbq」方式の選択はできません。
○ pfifo limit (PFIFO 選択時有効)[TBF Parameter 設定]○制限 Rate○ Buffer Size
○ Limit Byte
[PQ Parameter 設定]○最大 Band 数設定○ Description
設定名を付けることができます。
半角英数字のみ使用可能です。

○ priority‑map 設定○ Interface 名
キューイングをおこなうインタフェース名を選択します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。

設定後は「設定」ボタンをクリックします。

○ Marking Filter の選択

224

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について
CLASS 分けフィルタ設定
設定を追加するときは「New Entry」をクリックします。

[パケットヘッダによるフィルタ]
パケットヘッダ情報でCLASS分けをおこなうときにチェックします。
以下、マッチ条件を設定していきます。
ただし、PQPQ をおこなうときは、パケットヘッダによるフィルタはできません。
○プロトコルプロトコル番号でプロトコルを指定してください。
○送信元アドレス送信元 IP アドレスを指定します。
サブネット単位、ホスト単位のいずれでも指定可能です。範囲での指定はできません。
○送信元ポート
対象とする送信元ポート番号を指定します。
範囲での指定はできません。
○宛先アドレス
宛先 IP アドレスを指定します。
指定方法は送信元 IP アドレスと同様です。
○宛先ポート対象とする宛先ポート番号を指定します。
範囲での指定はできません。
○ TOS 値
TOS 値を指定します。16 進数で指定します。

（画面は XR‑640L2）○設定番号
自動で未使用の設定番号が振られます。

※ XR‑640L2 のみ○ DSCP 値（※
のみ）
DSCP 値を設定します。16 進数で指定します。

○ Description
設定名を付けることができます。半角英数字のみ使用可能です。

[Mariking 情報によるフィルタ]
MARK 値によって CLASS 分けをおこなうときにチェックします。
PQ でフィルタをおこなうときは Mariking 情報によ○ Priority
複数の CLASS 分けフィルタ間での優先度を設定します。
値が小さいものほど優先度が高くなります。

るもののみ有効です。
○ Mark 値
マッチ条件となる Mark 値を指定します。

225

設定後は「設定」ボタンをクリックします。

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について○設定番号
自動で未使用の設定番号が振られます。

パケット分類設定
本装置の「パケット分類設定」の設定画面は以下の方法で開きます。
＜ XR‑410L2 の場合＞
・Web設定画面「QoS設定」→｢パケット分類設定｣＜ XR‑640L2 の場合＞
・Web設定画面「QoS設定」→｢パケット分類設定｣
・Web 設定画面「パケット分類設定」
設定画面を開きましたら「パケット入力時の設定」
か「ローカルパケット出力時の設定」かを、[切替：]をクリックして選択します。

設定を追加するときは「New Entry」をクリックします。

[パケット分類条件]
パケット選別のマッチ条件を定義します。
○プロトコルプロトコル番号でプロトコルを指定してください。
○送信元アドレス送信元 IP アドレスを指定します。
サブネット単位、ホスト単位のいずれでも指定可能です。
範囲での指定はできません。
○送信元ポート
送信元ポート番号を指定します。
範囲で指定するときは、始点ポート
始点ポート：
始点ポート：終点ポートの形式で指定します。
○宛先アドレス
宛先 IP アドレスを指定します。
指定方法は送信元 IP アドレスと同様です。
○宛先ポート
宛先ポート番号を指定します。
指定方法は送信元ポートと同様です。
○インターフェース
インタフェース名を入力します。
本装置のインタフェース名については、本マニュアルの「付録 A インタフェース名一覧」をご参照ください。
各項目について「Not条件」にチェックを付けると、その項目で指定した値以外のものがマッチ条件とその項目で指定した値以外のものなります。

（画面は XR‑640L2）○ TOS/MARK 値(XR‑410L2)○ TOS/MARK/DSCP 値(XR‑640L2)
マッチングする TOS、MARK または DSCP(XR‑640L2 のみ)のいずれかを選択し、その値を指定します。
これらをマッチ条件としないときは「マッチ条件
226 無効」を選択します。

第 27 章 QoS 機能

Ⅳ．各設定画面での設定方法について[TOS/MARK 値の設定](XR‑410L2)[TOS/MARK/DSCP 値の設定](XR‑640L2)
パケット分類条件で選別したパケットに、新たに
TOS 値、MARK 値または DSCP 値(XR‑640L2 のみ)を設
定します。
○設定対象
「TOS/Precedence」、「MARK」または「DSCP」(XR‑
640L2 のみ)を選択します。
○設定値
設定対象で選択したものについて、設定値を指定します。
※ 「・DSCP 設定」項目は XR‑640L2 のみです。

設定後は「設定」ボタンをクリックします。

TOS/Precedence および DSCP については章末の「Ⅸ .TOS について」「Ⅹ .DSCP について」をご参照ください。

227

第 27 章 QoS 機能

Ⅴ．ステータスの表示
ステータス表示
本装置の「ステータス表示」画面は以下の方法で開きます。

＜ XR‑410L2、XR‑640L2 の場合＞
・Web 設定画面「QoS 設定」→｢ステータス表示｣＜ XR‑640L2 の場合＞
・Web設定画面「パケット分類設定」→「ステータス表示」

パケット分類設定のステータス表示では、「Packet 分類
設定ステータス表示」のみになります。
「Interface の指定」は必要な場合に入力してください。
指定がなくてもステータスは表示されます。
QoS 機能の各種ステータスを表示します。
表示したい項目について「表示する」ボタンをクリックしてください。
「Packet 分類設定ステータス表示」以外では、必ずInterface 名を「Interface の指定」に入力してから「表示する」ボタンをクリックしてください。

228

第 27 章 QoS 機能

Ⅵ．設定の編集
・削除方法
設定の編集・
各 QoS 設定をおこなうと、設定内容が一覧で表示されます。

(「CLASS 設定」画面の表示例)○設定の編集をおこなう場合
Configure 欄の「Edit」をクリックすると設定画面に遷移し、その設定を修正できます。
○設定の削除をおこなう場合
Configure 欄の「Remove」をクリックすると、その設定が即座に削除されます。

229

第 27 章 QoS 機能

Ⅶ．ステータス情報の表示例[Queueing 設定情報
]表示例
設定情報]
各クラスで設定したキューイング方式や設定パラメータの他、送信したパケット数・送信データサイズ等の情報を表示します。
qdisc pfifo 1: limit 300p
Sent 9386 bytes 82 pkts (dropped 0, overlimits 0)
qdisc

キューイング方式

1:

キューイングを設定しているクラスID

limit

キューイングできる最大パケット数

Sent (nnn) byte (mmm) pkts

送信したデータ量とパケット数

dropped

破棄したパケット数

overlimits

過負荷の状態で届いたパケット数

qdisc sfq 20: limit 128p quantum 1500b flows 128/1024 perturb 10sec
Sent 140878 bytes 206 pkts (dropped 0, overlimits 0)
limit (nnn)p

キューに待機できるパケット数

quantum

パケットのサイズ

flows (nnn)/(mmm)

mmm個のバケツが用意され、同時にアクティブになるのはnnn個まで

perturb (n)sec

ハッシュの更新間隔

qdisc tbf 1: rate 500Kbit burst 1499b/8 mpu 0b lat 4295.0s
Sent 73050 bytes 568 pkts (dropped 2, overlimits 17)
rate

設定している帯域幅

burst

バケツのサイズ

mpu

最小パケットサイズ

lat

パケットがtbfに留まっていられる時間

qdisc cbq 1: rate 1000Kbit cell 8b mpu 64b (bounded,isolated) prio no‑transmit/8 weight
1000Kbit allot 1514b
level 2 ewma 5 avpkt 1000b maxidle 242us
Sent 2420755 bytes 3945 pkts (dropped 0, overlimits 0)
borrowed 0 overactions 0 avgidle 6399 undertime 0
bounded,isolated

bounded,isolated設定がされている(boundedは帯域を借りない、isolatedは帯域を貸さない)prio

優先度(上記ではrootクラスなので、prio値はありません)

weightラウンドロビンプロセスの重み

allot

送信できるデータサイズ

ewma

指数重み付け移動平均

avpkt

平均パケットサイズ

maxidle

パケット送信時の最大アイドル時間

borrowed

帯域幅を借りて送信したパケット数

avgidleEMWAで測定した値から、計算したアイドル時間を差し引いた数値
通常は数字がカウントされていますが、負荷で一杯の接続の状態では"0"、
過負荷の状態ではマイナスの値になります230

第 27 章 QoS 機能

Ⅶ．ステータス情報の表示例[CLASS 設定情報
]表示例
設定情報]
設定している各クラスの情報を表示します。
その 1 <CBQ での表示例 >class cbq 1: root rate 1000Kbit cell 8b mpu 64b (bounded,isolated) prio no‑transmit/8
weight 1000Kbit allot 1514b
level 2 ewma 5 avpkt 1000b maxidle 242us
Sent 33382 bytes 108 pkts (dropped 0, overlimits 0)
borrowed 0 overactions 0 avgidle 6399 undertime 0class cbq 1:10 parent 1:1 rate 500Kbit cell 8b mpu 64b prio 1/1 weight 50Kbit allot 1500b
level 0 ewma 5 avpkt 1000b maxidle 6928us offtime 15876us
Sent 0 bytes 0 pkts (dropped 0, overlimits 0)
borrowed 0 overactions 0 avgidle 181651 undertime 0class cbq 1:1 parent 1: rate 1000Kbit cell 8b mpu 64b (bounded,isolated) prio 3/3 weight
100Kbit allot 1500b
level 1 ewma 5 avpkt 1000b maxidle 242us
Sent 2388712 bytes 3843 pkts (dropped 0, overlimits 0)
borrowed 2004 overactions 0 avgidle 6399 undertime 0class cbq 1:20 parent 1:1 leaf 20: rate 500Kbit cell 8b mpu 64b (bounded) prio 2/2 weight
50Kbit allot 1500b
level 0 ewma 5 avpkt 1000b maxidle 6928us offtime 15876us
Sent 142217 bytes 212 pkts (dropped 0, overlimits 0)
borrowed 0 overactions 0 avgidle 174789 undertime 0
parent親クラスIDその 2 <PQ での表示例 >class prio 1: parent 1: leaf 1001:
class prio 1: parent 1: leaf 1002:
class prio 1: parent 1: leaf 1003:
prio

優先度

parent親クラスID

leaf

leafクラスID

231

第 27 章 QoS 機能

Ⅶ．ステータス情報の表示例[CLASS 分けフィルタ設定情報]表示例
分けフィルタ設定情報]
クラス分けフィルタの設定情報を表示します。
その 1 <CBQ での表示例 >[ PARENT 1: ]filter protocol ip pref 1 u32
filter protocol ip pref 1 u32 fh 805: ht divisor 1
filter protocol ip pref 1 u32 fh 805::800 order 2048 key ht 805 bkt 0 flowid 1:20
match c0a8786f/ffffffff at 16
match 00060000/00ff0000 at 8
filter protocol ip pref 1 u32 fh 804: ht divisor 1
filter protocol ip pref 1 u32 fh 804::800 order 2048 key ht 804 bkt 0 flowid 1:10
match c0a87800/ffffff00 at 16
match 00060000/00ff0000 at 8
filter protocol ip pref 3 u32
filter protocol ip pref 3 u32 fh 805: ht divisor 1
filter protocol ip pref 3 u32 fh 805::800 order 2048 key ht 805 bkt 0 flowid 1:20
match c0a8786f/ffffffff at 16
match 00060000/00ff0000 at 8
filter protocol ip pref 3 u32 fh 804: ht divisor 1
filter protocol ip pref 3 u32 fh 804::800 order 2048 key ht 804 bkt 0 flowid 1:10
match c0a87800/ffffff00 at 16
match 00060000/00ff0000 at 8
protocol

マッチするプロトコル

pref

優先度

u32

パケット内部のフィールド(発信元IPアドレスなど)に基づいて処理すべきクラスの決定をおこないます。

at 8、at16

マッチの開始は、指定した数値分のオフセットからであることを示します。
at 8であれば、ヘッダの9バイトめからマッチします。

flowidマッチしたパケットを送るクラス

その 2 <PQ での表示例 >[ PARENT 1: ]filter protocol ip pref 1 fw
filter protocol ip pref 1 fw handle 0x1 classid 1:3
filter protocol ip pref 2 fw
filter protocol ip pref 2 fw handle 0x2 classid 1:2
filter protocol ip pref 3 fw
filter protocol ip pref 3 fw handle 0x3 classid 1:1
pref

優先度

handleTOSまたはMARK値

classid

マッチパケットを送るクラスID
クラスID 1:(n) のとき、100(n):に送られます。

232

第 27 章 QoS 機能

Ⅶ．ステータス情報の表示例[Packet 分類設定情報]表示例
分類設定情報]
パケット分類設定の情報を表示します。
pkts bytes target
prot opt inout
272 39111 MARK
all ‑‑ eth0any
83 5439 MARK
all ‑‑ eth0
any
447 48695 MARK
all ‑‑ eth0any
00 FTOStcp ‑‑ eth0
any65535 dpt:450 Type of Service set 0x62

source192.168.120.111
192.168.120.113
192.168.0.0/24
192.168.0.1

pkts

入力(出力)されたパケット数

bytes

入力(出力)されたバイト数

target分類の対象(MARKかTOSか)

prot

プロトコル

in

パケット入力インタフェース

out

パケット出力インタフェース

source

送信元IPアドレス

destination

あて先IPアドレス

MARK set

セットするMARK値

spts

送信元ポート番号dpt

あて先ポート番号

Type of Service set

セットするTOSビット値

233

destination
anywhere
anywhere
anywhere111.111.111.111

MARK set 0x1
MARK set 0x2
MARK set 0x3
tcp spts:1024:

第 27 章 QoS 機能

Ⅷ．クラスの階層構造について
CBQにおけるクラスの階層構造は以下のようになります。
◆ root クラス
ネットワークデバイス上のキューイングです。
本装置のシステムが直接的に対話するのはこのク
ラスです。
◆親クラス
すべてのクラスのベースとなるクラスです。
帯域幅を 100％として定義します。
◆子クラス
親クラスから分岐するクラスです。
親クラスの持つ帯域幅を分割して、それぞれの子
クラスの帯域幅として持ちます。
◆ leaf(葉)クラス
leaf(葉leaf クラスは自分から分岐するクラスがないクラスです。

[クラス ID について]
について]
各クラスはクラス ID を持ちます。
クラス ID は MAJOR 番号と MINOR 番号の 2 つからな
ります。
表記は以下のようになります。
<MAJOR 番号 >：<MINOR 番号 >・root クラスは「1:0」というクラス ID を持ちます。
・子クラスは、親と同じ MAJOR 番号を持つ必要があります。
・MINOR 番号は、他のクラスと qdisc 内で重複しな
いように定義する必要があります。

< クラス構成図 例 >1:◆ qdisc
キューイングです。
ここでキューを管理・制御します。

root qdisc

1:1

1:10

1:20

親

1:30

10:

leaf
30:
1001:

234

子

1002:

qdisc
leaf

第 27 章 QoS 機能

Ⅸ．TOS についてIP パケットヘッダには TOS フィールドが設けられています。
ここにパケットの優先度情報を付与しておくことで、優先度にあわせて機器がパケットを適切に扱えることを期待します。
IP ヘッダ内の TOS フィールドの各ビットは、以下のように定義されています。< 表 1>
バイナリ 10 進数 意味‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑
1000
8
Minimize delay (md)0100
4Maximize throughput (mt)0010
2Maximize reliability (mr)0001
1Minimize monetary cost (mmc)00000Normal Service
md は最小の遅延、mt は最高のスループット、mr は高い信頼性、mmc は低い通信コスト、を期待するパケッ
トであることを示します。
各ビットの組み合わせによる TOS 値は以下のように定義されます。< 表 2>
TOS
ビット 意味Linux での扱い
バンド‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑‑
0x0
0
Normal Service
0 Best Effort
1
0x2
1
Minimize Monetary Cost
1 Filler
2
0x4
2
Maximize Reliability
0 Best Effort
1
0x6
3
mmc+mr
0 Best Effort
1
0x8
4
Maximize Throughput
2 Bulk2
0xa
5
mmc+mt2 Bulk
2
0xc
6
mr+mt
2 Bulk20xe
7mmc+mr+mt
2 Bulk20x108Minimize Delay
6 Interactive
00x12
9mmc+md6 Interactive
0
0x14
10
mr+md
6 Interactive
0
0x16
11
mmc+mr+md
6 Interactive
0
0x18
12
mt+md
4 Int. Bulk
1
0x1a
13
mmc+mt+md
4 Int. Bulk
1
0x1c
14
mr+mt+md
4 Int. Bulk
1
0x1e
15
mmc+mr+mt+md
4 Int. Bulk
1
バンドは優先度です。0 が最も優先度が高いものです。初期値ではバンド数は 3(優先度は 3 段階)です。
本装置では、PQ Paramater 設定の「最大 Band 数設定」でバンド数を変更できます(0 〜 4)。
Linux での扱いの数値は、Linux での TOS ビット列の解釈です。
での扱いの数値は、Linux「Priority‑map 設定」の箱にリンクしており、対応する Priority‑map の箱
設定の「設定」の箱にリンクしており、の箱にリンクしており、対応する
これは PQ Paramater 設定のに送られます。

235

第 27 章 QoS 機能

Ⅸ．TOS について
またアプリケーションごとのパケットの取り扱い方法も定義されています(RFC1349)。
アプリケーションの TOS 値は以下のようになっています。< 表 3>
アプリケーション
TOS ビット値
定義─────────────────────────────────
TELNET
1000(minimize delay)─────────────────────────────────
FTP
Control
1000(minimize delay)
Data
0100
(maximize throughput)─────────────────────────────────
TFTP
1000
(minimize delay)─────────────────────────────────
SMTP
Command phase
1000(minimize delay)
DATA phase
0100(maximize throughput)─────────────────────────────────Domain Name Service
UDP Query
1000(minimize delay)
TCP Query
0000
Zone Transfer
0100(maximize throughput)─────────────────────────────────
NNTP
0001
(minimize monetary cost)─────────────────────────────────
ICMP
Errors0000
Requests0000(mostly)
Responses<same as request>(mostly)─────────────────────────────────
※表中の TOS ビット値(2 進数表記)が、< 表 2> のビットに対応しています。
TOS 値は定義があいまいで相互運用できない、正しい値が設定されている保証がない、悪用される可能性があるなどの要因により、現在までほとんど使われていません。

236

第 27 章 QoS 機能

Ⅹ．DSCP について
本装置では DS(DiffServ)フィールドの設定・書き換えも可能です。
DS フィールドとは、IP パケット内の TOS の再定義フィールドであり、DiffServ に対応したネットワーク
において QoS 制御動作の基準となる値が設定されます。
DiffServ 対応機器では、DS フィールド内の DSCP 値だけを参照して QoS 制御をおこなうことができます。
○ TOS と DS フィールドのビット定義【TOS フィールド構造】
0
1
2
3
4
5
6
7
+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+￨Precedence ￨Type of Service￨CU ￨+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+【DSCP フィールド構造】
0
1
2
3
4
5
6
7
+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+
￨
DSCP
￨
CU ￨
+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+‑‑‑+
DSCP: differentiated services code pointCU:currently unused（現在未使用）
DSCPビットのとりうる値とその制御方法の定義は以下のようになっています。
定義名
DSCP 値制御方法───────────────────────────────────────────────
EF(Expedited Forwarding)
0x2e
パケットを最優先で転送(RFC3246)
───────────────────────────────────────────────
AF(Assured Forwarding）
4つの送出優先度と3つの廃棄優先度を持ち、AF11/AF12/AF13
0x0a / 0x0c / 0x0e
数字の上位桁は送出優先度(クラス)、下位桁
AF21/AF22/AF23
0x12 / 0x14 / 0x16 は廃棄優先度を表します。
(RFC2597)
AF31/AF32/AF33
0x1a / 0x1c / 0x1e
・送出優先度 (高) 1 > 2 > 3 > 4 (低)AF41/AF42/AF43
0x22 / 0x24 / 0x26
・廃棄優先度 (高) 1 > 2 > 3 (低)───────────────────────────────────────────────
CS(Class Selector）
既存のTOS互換による優先制御をおこないます。
CS1
0x08
Precedence1(Priority)
CS2
0x10
Precedence2(Immediate)CS3
0x18
Precedence3(Flash)CS4
0x20
Precedence4(Flash Override)
CS5
0x28
Precedence5(Critic/ESP)
CS60x30
Precedence6(Internetwork Control)
CS7
0x38
Precedence7(Network Control)───────────────────────────────────────────────
BE (Best Effort)
0x00
ベストエフォート(優先制御なし)
───────────────────────────────────────────────

237

第 28 章ゲートウェイ認証機能

第 28 章 ゲートウェイ認証機能

Ⅰ．ゲートウェイ認証機能の設定「ゲートウェイ認証機能」は、本装置を経由して外部にアクセスをする場合に、本装置での認証を必要とする機能です。
この機能を使うことで、外部へアクセスできる
ユーザを管理できるようになります。

◆基本設定

設定方法
Web 設定画面で「ゲートウェイ認証」をクリックして、以下の各設定をおこないます。

◆基本設定◆ユーザ設定◆ RADIUS 設定◆ MAC アドレスフィルタ◆フィルタ設定
◆ログ設定

[基本設定
]
基本設定]
○本機能
ゲートウェイ認証機能を使う場合は「使用する」
を選択します。
○認証
当機能を使用していて、かつ認証をおこなうときは「する」を選択します(初期設定)。
認証をおこなわないときは「しない」を選択します。
このときは、外部へのアクセスをリダイレクトするだけの動作となります。
○ 80/tcp 監視認証を受けていない IP アドレスからの TCP ポート
80 番のコネクションを監視し、このコネクション
このコネクションがあったときに、強制的にゲートウェイ認証をおがあったときに、
強制的にゲートウェイ認証をおこないます。
初期設定は監視を「行わない」設定となります。

239

第 28 章 ゲートウェイ認証機能

Ⅰ．ゲートウェイ認証機能の設定[URL 転送]
転送]○ URL
転送先の URL を設定します。

[接続許可時間]
接続許可時間]
認証したあとの、ユーザの接続形態を選択できます。

「アイドルタイムアウト」○通常認証後認証で許可された通信が無通信状態となってから切断「行う」を選択すると、ゲートウェイ認証後に「URL」 するまでの時間を設定します。
で指定したサイトに転送させることができます。
初期設定は 30 分です。
初期設定では URL 転送をおこないません。
「セッションタイムアウト」○強制認証後認証で許可された通信を強制的に切断するまでの時間「行う」を選択すると、強制認証後に「URL」で指を設定します。
定したサイトに転送させることができます。
認証してからこの時間が経過すると、通信状態にかか
初期設定では URL 転送をおこないません。
わらず通信を切断します。
この機能を使う場合は「80/tcp 監視」を有効にしてください。
「認証を受けたWebブラウザのウィンドウを閉じるまで」
認証を受けた後にブラウザに表示された画面を閉じたときに、通信を切断します。
認証方法]
通信可能な状態を保つには、認証後の画面を開いたま[認証方法]「ローカル」
まにしなければなりません。Web ブラウジングをする
本装置でアカウントを管理 / 認証します。
場合は、別のブラウザを開く必要があります。
「RADIUS サーバ」
外部のRADIUSサーバでアカウントを管理/認証します。

上記設定にしたがって通信が切断した場合は、各ユー
ザは再度ゲートウェイ認証を実行する必要があります。

最後に「設定変更」をクリックしてください。
ゲートウェイ認証機能を「ゲートウェイ認証機能を「使用する」にした場合はただちに機能が有効となりますので、ユーザ設定等
ただちに機能が有効となりますので、
ユーザ設定等から設定をおこなってください。

240

第 28 章 ゲートウェイ認証機能

Ⅰ．ゲートウェイ認証機能の設定◆ユーザ設定◆ RADIUS 設定

設定可能なユーザの最大数は 64 です。
「基本設定」において、認証方法を「RADIUS サーバ」
画面最下部にある「ユーザ設定画面インデックス」 に選択した場合にのみ設定します。
のリンクをクリックしてください。

[プライマリサーバ設定]
プライマリサーバ設定]
本項目の設定は必須です。
○ IP アドレス○ポート番号○ secret
RADIUS サーバの IP アドレス、ポート番号、secretを設定します。
○ユーザ ID○パスワードユーザアカウントを登録します。
ユーザ ID・パスワードには半角英数字が使用できます。空白やコロン(:)は含めることができません。
○削除
チェックすると、その設定が削除対象となります。

[セカンダリサーバ設定]
セカンダリサーバ設定]
セカンダリ項目の設定はなくてもかまいません。
○ IP アドレス○ポート番号○ secret
設定はプライマリサーバ設定と同様です。

最後に「設定 / 削除の実行」をクリックしてくだ
さい。

241

第 28 章 ゲートウェイ認証機能

Ⅰ．ゲートウェイ認証機能の設定[サーバ共通設定]
サーバ共通設定]RADIUS サーバへ問い合わせをする際に送信する
NAS の情報を設定します。
RADIUS サーバが、どの NAS かを識別するために使います。
どちらかの設定が必須です。

○セッションタイムアウト
プルダウンの以下の項目から選択してください。
・指定しないRADIUS サーバからの認証応答に該当のアトリ
ビュートがあればその値を使います。
該当のアトリビュートがなければ「基本設定」
で設定した値を使用します。

○ NAS‑IP‑Address
IP アドレスです。通常は本装置の IP アドレスを設定します。

・Session‑Timeout̲27
Session‑Timeout (Type=27)をセッションタイム
アウト値として使用します。

○ NAS‑Identifier
任意の文字列を設定します。
半角英数字が使用できます。

・Ascend‑Maximum‑Time̲194/529
Ascend‑Maximum‑Time (Vendor‑Specific Attribute
Type=26, Vendor‑Id=529, Attribute Type=194)
をセッションタイムアウト値として使用します。

[接続許可時間（RADIUS サーバから送信される
接続許可時間（アトリビュートの指定）]

・Ascend‑Maximum‑Time̲194
Ascend‑Maximum‑Time (Type=194)をセッション
タイムアウト値として使用します。

それぞれ、基本設定で選択されているものが有効となります。

※ アトリビュートとは、RADIUS で設定されるパラメータのことを指します。

○アイドルタイムアウト
プルダウンの以下の項目から選択してください。
・指定しないRADIUS サーバからの認証応答に該当のアトリ
ビュートがあればその値を使います。
該当のアトリビュートがなければ「基本設定」
で設定した値を使用します。

最後に「設定変更」をクリックしてください。

・Idle‑Timeout̲28
Idle‑Timeout (Type=28)をアイドルタイムアウ
ト値として使用します。
・Ascend‑Idle‑Limit̲244/529
Ascend‑Idle‑Limit (Vendor‑Specific Attribute
Type=26, Vendor‑Id=529, Attribute Type=244)
をアイドルタイムアウト値として使用します。
・Ascend‑Idle‑Limit̲244
Ascend‑Idle‑Limit (Type=244) をアイドルタイ
ムアウト値として使用します。

242

第 28 章 ゲートウェイ認証機能

Ⅰ．ゲートウェイ認証機能の設定◆フィルタ設定◆ログ設定

ゲートウェイ認証機能を有効にすると、外部との通信は認証が必要となりますが、フィルタ設定によって認証を必要とせずに通信可能にできます。
特定のポートだけはつねに通信できるようにしたいといった場合に設定します。

ゲートウェイ認証機能のログを本装置のシステム
ログに出力できます。

Web 設定画面「フィルタ設定」をクリックします。

ログを取得するかどうかを選択します。

○エラーログ
上記のメッセージが表示されるので、リンクをクゲートウェイ認証時のログインエラーを出力しま
リックしてください。
す。
「ゲートウェイ認証フィルタ」設定画面に移ります。
< エラーログの表示例 >Apr 7 17:04:45 localhost httpd[21529]:[error] [client 192.168.0.1] user abc:
authentication failure for "/": password
mismatch
ここで設定した IP アドレスやポートについては、
ゲートウェイ認証機能によらず、通信可能になります。
設定方法については「第 22 章 パケットフィルタ
リング機能」をご参照ください。

○アクセスログ
ゲートウェイ認証時のアクセスログを出力します。
< アクセスログの表示例 >Apr 7 17:04:49 localhost authgw:
192.168.0.1 ‑ abc [07/Apr/2003:17:04:49+0900] "GET / HTTP/1.1" 200 353

243

第 28 章 ゲートウェイ認証機能

Ⅱ．ゲートウェイ認証下のアクセス方法
ホストからのアクセス方法

設定画面へのアクセスについて

1 ホストから本装置にアクセスします。

ゲートウェイ認証機能を使用していて認証をおこなっていなくても、本装置の設定画面にはアクセスすることができます。
アクセス方法は、通常と同じです。

以下の形式でアドレスを指定してアクセスします。

http://<< 本装置の IP アドレス >/login.cgi

2 認証画面がポップアップしますので、通知されているユーザ ID とパスワードを入力します。

RADIUS 設定について

3 認証に成功すると以下のメッセージが表示さ認証方法を「RADIUS サーバ」に選択した場合、本装置は RADIUS サーバに対して認証要求のみを送信します。

れ、本装置を経由して外部にアクセスできるようになります。
< 認証成功時の表示例 >You can connect to the External Network(abc@192.168.0.1).

RADIUS サーバへの要求はタイムアウトが 5 秒、リトライが最大 3 回です。
プライマリサーバから応答がない場合は、セカン
ダリサーバに要求を送信します。

Date: Mon Apr 7 10:06:51 2003

認証について認証方法が「ローカル」、「RADIUS サーバ」のどちらの場合でも、クライアント ‑ 本装置間の認証には、HTTP Basic 認証が用いられます。
また、「RADIUS サーバ」を使用する場合、本装置 ‑RADIUS サーバ間は User‑Password を用いた認証(PAP)がおこなわれます。

244

第 28 章 ゲートウェイ認証機能

Ⅲ．ゲートウェイ認証の制御方法について「ゲートウェイ認証」機能はパケットフィルタの一種で、認証で許可されたユーザ(ホスト)の IP アド
レスを送信元 / あて先に持つ転送パケットのみを通過させます。
制御は、「転送フィルタ」設定の最後でおこなわれます。
フィルタリング制御の順番は以下の通りです。

フィルタ設定(転送フィルタ)｜｜
フィルタ設定(ゲートウェイ認証フィルタ)｜｜
MAC アドレスフィルタ｜｜
ゲートウェイ認証で許可された IP アドレス｜｜
上記に該当しないパケットは破棄「ゲートウェイ認証」機能を使わない場合は、通常の「転送フィルタ」のみ有効となります。
「転送フィルタ」に設定をしてしまうと、ゲートウェイ認証よりも優先してそのフィルタが参照さ
れてしまい、ゲートウェイ認証が有効に機能しなくなる恐れがあります。
ゲートウェイ認証機能を使用する場合は、「転送フィルタ」には何も設定せずに運用してください。

245

第 29 章ネットワークテスト

第 29 章 ネットワークテスト

ネットワークテスト
本装置の運用時において、ネットワークテストを[Ping テスト]
テスト]
おこなうことができます。
指定した相手に本装置から Ping を発信します。
ネットワークのトラブルシューティングに有効です。
○ FQDN または IP アドレス
FQDN(www.xxx.co.jp などのドメイン名)、もしくはIP アドレスを入力します。

以下の 3 つのテストができます。
・Ping テスト・Trace Route テスト
・パケットダンプの取得

実行方法○インターフェースの指定（省略可）
ping パケットを送信するインタフェースを選択できます。
省略することも可能です。

Web 設定画面「ネットワークテスト」をクリックして、以下の画面でテストを実行します。

○オプション（※のみ）※ XR‑410L2 のみ
・count送信する ping パケット数を指定します。
入力可能な範囲：1‑10 です。 初期値は 10 です。
・size
送信するデータサイズ(byte)を指定します。
入力可能な範囲：56‑1500 です。初期値は 56 です。
（8 バイトの ICMP ヘッダが追加されるため、64 バ
イトの ICMP データが送信されます。
）
・timeoutping コマンドの起動時間を指定します。
入力可能な範囲：1‑30 です。初期値は 30 です。

入力が終わりましたら「実行」をクリックします。
実行結果例（画面は XR‑410L2）247

第 29 章 ネットワークテスト

ネットワークテスト［パケットダンプテスト］［Trace Route テスト］
指定した宛先までに経由するルータの情報を表示し パケットのダンプを取得できます。
ダンプを取得したいインタフェースを選択してます。
「実行」をクリックします。
○ FQDN または IP アドレス
FQDN(www.xxx.co.jp などのドメイン名)、もしくはIP アドレスを入力します。
○オプション（※のみ）※ XR‑410L2 のみ
・UDP
UDP パケットを使用する場合に指定します。
初期設定は UDP です。

インタフェースについては「その他」を選択し、直接インタフェースを指定することもできます。
その場合はインタフェース名(「gre1」や「ipsec0」など)を指定してください。

その後、「結果表示」をクリックすると、ダンプ内
容が表示されます。

・ICMP
ICMP パケットを使用する場合に指定します。

実行結果例

入力が終わりましたら「実行」をクリックします。
実行結果例「結果表示」をクリックするたびに、表示結果が更新されます。
パケットダンプの表示は、最大で 100 パケット分までです。
100 パケット分を超えると、古いものから順に表示
ping・traceroute テストで応答メッセージが表示さ されなくなります。
ping・れない場合は、DNSれない場合は、DNS で名前解決ができていない可能性があります。
その場合はまず、IP
その場合はまず、IP アドレスを直接指定してご確認
ください。

248

第 29 章 ネットワークテスト

ネットワークテスト［PacketDump TypePcap テスト］
拡張版パケットダンプ取得機能です。
指定したインタフェースで、指定した数のパケッ
トダンプを取得できます。

また、 or 、 and 、 not といった論理条件も指定可能です。
複数の条件を指定したいときは、論理条件によって一連の条件式として設定してください。

○ Device
パケットダンプを実行する、本装置のインタフェー
ス名を設定します。
インタフェース名は本書「付録 A インタフェース名一覧」をご参照ください。
一覧」○ CapCount
パケットダンプの取得数を指定します。
1‑999999 の間で指定します。

< 条件式の記述方法の例 ２ >192.168.0.0/24の外から中に入っているパケッ
トを取得するsrc net not 192.168.0.0/24 and dst net
192.168.0.0/24

入力後、「実行」ボタンでパケットダンプを開始します。

○ CapSize
1パケットごとのダンプデータの最大サイズを指定できます。単位は byte です。
たとえば 128 と設定すると、128 バイト以上の長さのパケットでも 128 バイト分だけをダンプします。
大きなサイズでダンプするときは、本装置への負荷が増加することがあります。

パケットダンプを開始したときの画面表示

また、記録できるダンプ数も減少します。
○ Dump Filter
ここに文字列を指定して、それに合致するダンプ
内容のみを取得できます。
空白・大小文字も判別します。
一行中に複数の文字(文字列)を指定すると、その文字(文字列)に完全一致したパケットダンプ内容のみ抽出して記録します。
< 条件式の記述方法の例 １ >パケットダンプ実行中に「再表示」ボタンをクリッ
クすると、下記のような画面が表示されます。

パケットダンプ結果を表示できないときの表示画面

IP アドレスを指定して取得する：
host 192.168.1.1
ポート番号を指定して取得する：
port 80
送信元ネットワークを指定して取得する：
src net 192.168.1.0/24
プロトコルを指定して取得する：
tcp

249

第 29 章 ネットワークテスト

ネットワークテスト
パケットダンプが実行終了したときの画面

PacketDump TypePcap の注意点
・取得したパケットダンプ結果は、libcap 形式
で gzip 圧縮して保存されます。
・取得できるデータサイズは、gzip 圧縮された状態で最大約 4MB です。

上記の画面は以下の場合に表示されます。
・「Count」で指定した数のパケットダンプを取得
したとき
・「実行中断」ボタンをクリックしたとき・パケットダンプ取得終了後に「結果表示」をクリックしたとき「実行結果(.gz ファイル)」リンクから、パケットダンプ結果を圧縮したファイルをローカルホストに保存してください。
ローカルホスト上で解凍してできたファイルは、
Ethereal で閲覧することができます。
「ダンプファイルを消去」をクリックすると、本装置に記録されているダンプファイルを消去します。

250

・本装置上にはパケットダンプ結果を 1 つだけ記録しておけます。
パケットダンプ結果を消去せずに PacketDump
TypePcap を再実行して実行結果ファイルを作成したときは、それまでに記録されていたパケットダンプ結果に上書きされます。
・本装置のインタフェース名については「付録 A
インタフェース名一覧」をご参照ください。

第 30 章システム設定第 30 章 システム設定

システム設定◆時計の設定「システム設定」ページでは、本装置の運用に関する制御をおこないます。
下記の項目に関して設定・制御が可能です。

本装置内蔵時計の設定をおこないます。

設定方法「時計の設定」をクリックして設定画面を開きます。
（画面は XR‑640L2）◆時計の設定◆ログの表示 / ログの削除◆パスワードの設定◆ファームウェアのアップデート◆設定の保存・◆設定の保存・復帰◆設定のリセット◆再起動◆セッションライフタイムの設定◆設定画面の設定
設定(XR‑640L2
のみ)◆ ISDN 設定(XR‑640L2 のみ)◆オプション CF カード（
XR‑640L2
のみ）
カード（
設定（
◆ CLI 設定
（XR‑640L2 のみ）◆ ARP filter の設定

24 時間単位で時刻を設定してください。

入力が終わりましたら「設定の保存」ボタンをクリックして設定完了です。
設定はすぐに反映されます。

設定
・実行方法
設定・
Web 設定画面「システム設定」をクリックします。
各項目のページへは、設定画面上部のリンクをクリックして移動します。

252

第 30 章 システム設定

システム設定◆ログの表示◆ログの削除本装置のログは、全てここに表示されます。

ログ情報は最大 2MB までのサイズで保存されます。
手動で削除する場合は次のようにしてください。
また、再起動時にログ情報は削除されます。

実行方法「ログの表示」をクリックして表示画面を開きます。

実行方法「ログの削除」をクリックして画面を開きます。

「実行する」ボタンをクリックすると、保存されているログが全て削除
全て削除されます。
全て削除

本体の再起動をおこなった場合も、それまでのロ
グは全てクリアされます。

「表示の更新」ボタンをクリックすると表示が更新されます。
記録したログは圧縮して保存されます。
XR‑640L2 では、初期化済みのオプション CF カード
を装着時、自動的に CF カードにログを記録します。
保存されるログファイルは最大で 6 つです。
ログファイルが作成されたときは画面上にリンクが生成されます。
古いログファイルから順に削除されていきます。

253

第 30 章 システム設定

システム設定◆パスワードの設定
本装置の設定画面にログインする際のユーザ名、
パスワードを変更します。
ルータ自身のセキュリティのためにパスワードを変更されることを推奨します。

設定方法「パスワードの設定」をクリックして設定画面を開きます。

新しいユーザ名とパスワードの設定ができます。
○新しいユーザ名
半角英数字で 1 から 15 文字まで設定可能です。
○新しいパスワード
半角英数字で 1 から 8 文字まで設定可能です。
大文字・小文字も判別しますのでご注意ください。
○もう一度入力してください
確認のため再度「新しいパスワード」を入力してください。

入力が終わりましたら「設定の保存」ボタンをクリックして設定完了です。
本装置の操作を続行すると、ログイン用のダイアログ画面がポップしますので、新たに設定したユーザ名とパスワードで再度ログインしてください。

254

第 30 章 システム設定

システム設定◆ファームウェアのアップデート
本装置は、ブラウザ上からファームウェアのアッ
プデートをおこないます。
ファームウェアは弊社ホームページよりダウンロー
ドできます。
弊社サポートサイト
XR‑410L2
http://www.centurysys.co.jp/support/XR410TX2L2.html

XR‑640L2
http://www.centurysys.co.jp/support/xr640cdl2.html

実行方法

1 「ファームウェアのアップデート」をクリッ

上記画面が表示されたままで 3 分間経過した後に「実行する」ボタンをクリックすると、以下の画面が表示され、アップデートが実行されません。

クして画面を開きます。

アップデートを実行するには、再度、 2 の操作からおこなってください。

2 「参照」ボタンを押して、弊社ホームページ
からダウンロードしてきたファームウェアファイ
ルを選択し、「アップデート実行」ボタンを押してください。

4 アップデートを実行した場合は以下の画面が表示され、ファームウェアの書き換えが始まります。

3 その後、ファームウェアを本装置に転送します。
転送が終わるまではしばらく時間がかかります。
転送完了後に、右上のようなアップデートの確認
画面が表示されます。バージョン等が正しければ「実行する」をクリックしてください。

アップデート中、XR‑410L2 は本体前面の LED に8 が表示され、XR‑640L2 は本体前面の LED が時
計回りに回転します。
この間は、アクセスをおこなわずにそのままお待ちください。
ファームウェアの書き換え後に本装置が自動的に再起動されて、アップデートの完了です。

255

第 30 章 システム設定

システム設定◆設定の保存と復帰
本装置の設定の保存および、保存した設定の復帰をおこないます。

実行方法

・初期値との差分(text)
初期値と異なる設定のみを抽出して、テキスト形式で保存します。
このテキストファイルの内容を直接書き換えて設定を変更することもできます。

「設定の保存・復帰」画面を開きます。
選択後は「設定ファイルの作成」をクリックします。
クリックすると以下のメッセージが表示されます。

上記のような注意メッセージが表示されます。
ご確認いただいた上で「設定の保存・復帰」のリ
ンクをクリックしてください。

[設定の保存]設定の保存]
設定を保存するときは、テキストのエンコード形
式と保存形式を選択します。

「バックアップファイルのダウンロード」リンクから、設定をテキストファイルで保存しておきます。
設定ファイル名は「backup.txt」です。

[設定の復帰]設定の復帰]「参照」をクリックして、保存しておいた設定ファイル(「backup.txt」)を選択します。
保存形式が「全設定」の保存ファイルは gzip 圧縮
形式のまま、復帰させることができます。

○コードの指定「EUC(LF)」「SJIS(CR+LF)」「SJIS(CR)」のいずれかを選択します。
○形式の指定設定ファイルを選択後「設定の復帰」をクリック
すると、設定の復帰がおこなわれます。

・全設定(gzip)
本装置のすべての設定を gzip 形式で圧縮して保存します。

設定が正常に復帰できたときは、本装置が自動的に再起動されます。

256

第 30 章 システム設定

システム設定◆設定のリセット◆再起動

本装置の設定を全てリセットし、工場出荷時の設定に戻します。

本装置を再起動します。
設定内容は変更されません。

実行方法

実行方法

「設定のリセット」をクリックして画面を開きます。 「再起動」をクリックして画面を開きます。

「実行する」
ボタンをクリックするとリセットが実行 「実行する」ボタンをクリックすると、本装置の再起され、本体の全設定が工場出荷設定に戻ります。
動が実行されます。

設定のリセットにより全ての設定が失われますので、念のために「設定のバックアップ」を実行しておくようにしてください。

本体の再起動をおこなった場合、それまでのログは全てクリアされます。

257

第 30 章 システム設定

システム設定◆セッションライフタイムの設定
NAT/IP マスカレードのセッションライフタイムを設定します。

設定方法「セッションライフタイムの設定」をクリックして画面を開きます。

○セッション最大数（※
のみ）※ XR‑640L2 のみ
XR で保持できる NAT/IP マスカレードのセッション
情報の最大数を設定します。
UDP/UDPstream/TCP のセッション情報を合計した最大数になります。
単位は秒です。4096 〜 16384 の間で設定します。
初期設定は 8192 です。
なお、XR 内部で保持しているセッション数は、周期的に syslog に表示することができます。
詳しくは「第 15 章 SYSLOG 機能」を参照してくだ
さい。

それぞれの項目で 0 を設定すると、初期値で動作します。
「設定の保存」ボタンをクリックすると、設定が保存されます。
設定内容はすぐに反映されます。
（画面は XR‑640L2）○ UDP
UDP セッションのライフタイムを設定します。
単位は秒です。0 〜 8640000 の間で設定します。
初期設定は 30 秒です。
○ UDP stream
UDP streamセッションのライフタイムを設定します。
単位は秒です。0 〜 8640000 の間で設定します。
初期設定は 180 秒です。
○ TCP
TCP セッションのライフタイムを設定します。
単位は秒です。0 〜 8640000 の間で設定します。
初期設定は 3600 秒です。

258

第 30 章 システム設定

システム設定◆設定画面の設定◆ ISDN 設定（※ XR‑640L2 のみ）
設定（

Web設定画面へのアクセスログについての設定をしBRI を使った ISDN 回線接続をおこなうときのます。
「ISDN 発信者番号」を設定します。

設定方法

設定方法

「設定画面の設定」をクリックして画面を開きます。 「ISDN の設定」をクリックして画面を開きます。

○アクセスログ○エラーログ
設定画面のアクセスログ・アクセス時のエラーログを取得するかどうかを指定します。

選択後は「設定の保存」をクリックします。

○ ISDN 番号ISDN 発信者番号を入力します。
○サブアドレス
サブアドレスを指定します。

「設定の保存」をクリックします。

アクセスログ・エラーログは、「syslog」サービスの設定にしたがって出力されます。

259

第 30 章 システム設定

システム設定◆オプションCF
カード（※ XR‑640L2
のみ）◆オプションCF
CFカード
XR‑640L2のみ）
XR‑640L2 にオプションで用意されているコンパク
トフラッシュ(CF)カードを装着している場合の、
CF カードの操作をおこないます。
ここでは以下の設定をおこなうことができます。
・CF カードの初期化
・CF カードへの設定のバックアップ

実行方法
コンパクトフラッシュ(CF)カードを装着してから「オプション CF カード」をクリックして画面を開きます。
画面には、装着した CF カードの情報が表示されます。

設定のバックアップがある場合は、画面上部に、装着したCFカードの状況とバックアップ情報が表示されます。

○ CF カードの初期化
はじめて CF カードを装着したときは、必ず CF カー
ドを初期化する必要があります。
初期化をおこなわないと CF カードを使用できません。
CFカードを初期化するときは「オプションCFカードの初期化」をクリックします。

[CF カードの取り扱いについて]
カードの取り扱いについて]オプション CF カードは、XR‑640L2 前面パネルのCF カードスロットに挿入してください。
・CF カードを挿入した場合
本体前面「SLOT CF LED」
(緑)が点滅します。
・CF カードが使用できる状態になった場合
本体前面「SLOT CF LED」
(緑)点灯します。

○ CF カードへの設定のバックアップ
設定のバックアップをCFカードにコピーするときは「設定ファイルをコピーする」
をクリックしてコピーを実行します。

CF カードを本装置から取り外すときは、必ずカードを本装置から取り外すときは、必ず
XR‑640L2 前面の CF カードスロット横にある
RELEASE」「RELEASE」ボタンを数秒押し続けてください。
その後「
LED」
その後
「SLOT CF LED」が消灯します。
LED」
が消灯状態になりましたら、CF「SLOT CF LED」が消灯状態になりましたら、CF
カードを安全に取り外せます。
上記の手順以外で CF カードを取り扱った場合、本装置および、CF
本装置および、CF カードが故障する場合がありますのでご注意ください。

260

第 30 章 システム設定

システム設定◆ CLI 設定(※ XR‑640L2 のみ
)
設定(
のみ)

◆ ARP filter 設定

CLI 設定については、次章「第 31 章 簡易 CLI 機能（XR‑640L2 のみ）」にて説明します。

ARP filter の設定をおこないます。

設定方法「ARP filter設定」をクリックして画面を開きます。

ARP filter を「無効」にするか、「有効」にするかを選択します。
「有効」にすると、同一 IP アドレスの ARP を複数のインタフェースで受信したときに、当該 MAC ア
ドレス以外のインタフェースから ARP 応答を出さないようにできます。

選択しましたら「設定の保存」をクリックしてください。
設定が完了します。

261

第 31 章簡易 CLI 機能（XR‑640L2 のみ）

第 31 章 簡易 CLI 機能（XR‑640L2 のみ）
機能（

Ⅰ．簡易 CLI 機能の概要◆ CLI 設定(※ XR‑640L2 のみ
)
設定(
のみ)

CLI に関する設定

XR‑640L2 では、表示コマンドを中心とした簡易 CLI(Command Line Interface)機能を実装しています。
ブラウザベースの GUI に比べ、よりスピーディな運用監視が可能になります。

CLI を使用するための XR‑640L2 へのアクセスは
telnet でおこないますが、初期状態では全てのアクセスが禁止されています。
CLIへアクセスするための設定は以下の画面からおこないます。

簡易 CLI では以下のようなコマンド群を実装しています。
・システム情報の表示
・インタフェース情報の表示

Web 設定画面「システム設定」→「CLI 設定」をクリックして設定画面を開きます。

・システム内部情報の表示
・各種サービス情報の表示
・ステートフルパケットインスペクション
情報の表示
・L2TPv3 セッションの開始 / 停止
・L2TPv3 カウンタ情報のクリア
・L2TPv3 フィルタ情報の表示 / クリア
テクニカルサポート機能(
情報一括表示)・テクニカルサポート機能(情報一括表示)

CLIへのアクセス設定は以下の手順でおこないます。

1 ユーザ設定→ユーザアカウントの作成
ユーザアカウントの作成

各コマンドの実行方法などの詳細については、別紙
コマンドリファレンス」を参照してください。
「CLI コマンドリファレンス」

2 ACL 設定
→アクセスリストの設定
アクセスリストの設定

3 機能設定→ CLI 接続の受付開始

263

第 31 章 簡易 CLI 機能（XR‑640L2 のみ）
機能（

Ⅱ．簡易 CLI 機能のアクセス設定

1 ユーザアカウントの作成
まず、CLI にアクセスするためのユーザアカウントを作成します。

設定方法
ユーザアカウントの作成は、「ユーザ設定」をクリックして、以下の設定画面からおこないます。
アカウントは最大64アカウントまで設定可能です。
「ユーザ設定画面インデックス」のリンクをクリック
してください。

○ユーザ
任意のユーザ名を設定してください。
使用可能な文字は、半角英数字 , "‑"(ハイフン)、"̲"(アンダースコア)、"."(ピリオド)です。
最大 64 文字まで入力可能です。
○パスワード
任意のパスワードを設定してください。
使用可能な文字は、半角英数字 , "‑"(ハイフン)、"̲"(アンダースコア)、"."(ピリオド)です。
最大 64 文字まで入力可能です。
○無効
設定したアカウントを一時的に使用不可にしたい場
合は、このボックスにチェックを入れてください。
GUI 上の設定は残りますが、このアカウントからのア
クセスはできません。
○削除
ボックスにチェックして「設定」ボタンをクリッ
クすると、その行の設定が削除されます。

入力が終わりましたら「設定」をクリックして設定完了です。
「一覧表示」のリンクをクリックすると、ユーザ設定
一覧表示画面が新しいウィンドウで表示されます。

264

第 31 章 簡易 CLI 機能（XR‑640L2 のみ）
機能（

Ⅱ．簡易 CLI 機能のアクセス設定

リストの設定2 アクセス
アクセスリストの設定
続いて、CLI へのアクセス可能なホストやネットワー
クを制限するためのアクセスリストを設定します。
アクセスリストが未設定の状態では全てのホストからの接続が可能になっています。
必ずアクセスリストを設定してください。

○パーミッション
リストエントリの条件にマッチしたアクセスに対して、
許可(「permit」)または、拒否(「deny」)を選択します。
○送信元アドレスアクセス元のホストアドレス、またはネットワー
クアドレスを指定します。
< 入力例 >

設定方法

単一(ホスト)単位で指定する：
192.168.253.19

アクセスリストの設定は、「ACL 設定」をクリック
して、以下の設定画面からおこないます。
アクセスリストは最大 64 まで設定可能です。
「ACL設定画面インデックス」のリンクをクリックしてください。

( アドレス /32 の書式/32 は省略可能です。)

ネットワーク単位で指定する：
192.168.253.0/24( ネットワークアドレス/マスクビット値 の書式)
全てのネットワークを指定する：
0.0.0.0/0○宛先アドレス
アクセス先(つまり XR‑640L2)のホストアドレスまたは、ネットワークアドレスを指定します。
入力形式は「送信元アドレス」と同様です。
○無効
設定したアクセスリストを一時的に無効にしたい場
合は、このボックスにチェックを入れてください。
GUI 上の設定は残りますが、このアクセスリストは無効になります。
○削除
ボックスにチェックをして「設定」ボタンをクリックすると、その行の設定が削除されます。

入力が終わりましたら「設定」をクリックして設定完了です。
「一覧表示」のリンクをクリックすると、ACL 設定
一覧表示画面が新しいウィンドウで表示されます。

265

第 31 章 簡易 CLI 機能（XR‑640L2 のみ）
機能（

Ⅱ．簡易 CLI 機能のアクセス設定
アクセスリストの評価順について
CLI アクセス時のアクセス条件の比較は、アクセスリストの上から順におこなわれます。
条件にマッチするアクセスリストが見つかった場
合は、そのパーミッション動作に従ってアクセスの許可 / 拒否を決定し、以降のアクセスリストは評価されません。
例えば、192.168.0.100 のホストを除く
192.168.0.0/24 のネットワークからのアクセスを禁止したい場合は、以下の並びでアクセスリストを設定します。

暗黙の deny について
アクセスリストを設定した場合、アクセスリストの最後には全てのアクセスを禁止する「暗黙のdeny」が設定されています。
つまり、全てのアクセスリストに対してマッチしないアクセスは禁止されることになります。

3 CLI 接続の受付開始
最後に、CLI 機能を有効にすることで、CLI へのアクセスの受け付けを開始します。

設定方法
CLI 機能の有効は、「機能設定」をクリックして、以下の設定画面からおこないます。

○本機能「telnet」「ssh」のチェック欄で、CLI へのアクセスを受け付けるポートを選択し、「有効」にチェックを
入れます。
○ホスト名
任意のホスト名を設定してください。
CLIのプロンプトとして表示されます。
○ Enable パスワード
特権ユーザ用の「Enable パスワード」を設定します。
CLI には一般ユーザ用の「VIEW モード」と、特権ユーザ用の「ENABLE モード」があり、内部システム
情報の表示や実行系のコマンドは ENABLE モードでのみ実行可能です。
この Enable パスワードを設定すると、ENABLE モード
へ以降する際に、パスワード認証をおこないます。
詳細は、「CLI コマンドリファレンス」を参照してください。

入力が終わりましたら「設定」ボタンをクリックして設定完了です。
チェックを入れた telnet/ssh ポートをリッスンし、CLIへのアクセスを受け付けます。

266

第 31 章 簡易 CLI 機能（XR‑640L2 のみ）
機能（

Ⅱ．簡易 CLI 機能のアクセス設定

telnet,ssh ポートのフィルタリング
CLI 機能を有効にした場合、全てのインタフェースの telnet ポート（23 番)または、ssh ポート(22 番)
でリッスンしている状態になります。
CLI へのアクセスはアクセスリストで制限できますが、telnet,ssh ポートは攻撃の対象とされやすいので、WAN 側の telnet,ssh ポートは入力パケットのフィルタリング（「入力フィルタ」）を設定することを推奨します。

（「入力フィルタ」の設定例）

telnet 接続クライアントについて
telnet 接続クライアントは、Windows「MS‑DOS プロンプト」や端末エミュレータソフト、UNIX の telnet
コマンドなど任意のクライアントが使用できます。
これらのクライアントの使い方については、個々のマニュアル等を参照してください。

ssh の対応バージョンについて
ssh 接続は version1, version2 の両方に対応しています。常に両方のバージョンでの接続が可能です。
ただし、RSA 鍵認証には対応しておりません。パスワード認証による接続のみ可能です。

telnet,ssh セッションのキープアライブ
telnet,ssh クライアントから突然に切断された場合に備え、TCP が無通信の状態で 120 分を経過すると、自動的に TCP Keepalive を開始します。
Keepalive の応答がない場合は、TCP セッション断と判断し、内部の TCP セッションを解放します。

267

第 32 章情報表示

第 32 章 情報表示

本体情報の表示
本体の機器情報を表示します。
以下の項目を表示します。

実行方法
Web 設定画面の「情報表示」をクリックすると、新しいウィンドウが開いて本体情報表示されます。

・ファームウェアバージョン情報
現在のファームウェアバージョンを確認できます。
・インターフェース情報
各インタフェースの IP アドレスや MAC アド
レスなどです。
PPP/PPPoE や IPsec 論理インタフェースもこ
こに表示されます。
・リンク情報本装置の各 Ethernet ポートのリンク状態、
リンク速度が表示されます。
・ルーティング情報
インタフェースルート、スタティックルー
ト、ダイナミックルートに関するルーティ
ング情報です。
・Default Gateway 情報
デフォルトルート情報です。
・ARP テーブル情報（※ XR‑640L2 のみ）
テーブル情報（XR が保持している ARP テーブルです。
・DHCP クライアント取得情報
DHCP クライアントとして設定しているインタフェースがサーバから取得した IP アドレス等の情報を表示します。

（画面は XR‑640L2）
画面中の「更新」をクリックすると、表示内容が更新されます。

269

第 33 章
詳細情報表示（XR‑640L2 のみ）

第 33 章 詳細情報表示（XR‑640L2 のみ）
詳細情報表示（

各種情報の表示
ここでは、XR‑640L2 のルーティング情報や、各種サービス情報をまとめて表示することができます。
以下の項目を表示します。

実行方法
Web 設定画面「詳細情報表示」をクリックすると、次の画面が表示されます。

・ルーティング情報
XR のルーティングテーブル、ルーティングテー
ブルの内部情報、ルートキャッシュの情報、デフォルトゲートウェイ情報が表示できます。
このうち、ルーティングテーブルの内部情報とルートキャッシュの情報はここでのみ表示できます。
・OSPF 情報・RIP 情報・IPsec サーバ情報
・NTP サービス情報
・QoS 情報

左列の機能名をクリックすると、新しいウィンド
ウが開いて、その機能に関する情報がまとめて表示されます。
右列の小項目名をクリックした場合は、その小項目のみの情報が表示されます。
なお、「OSPF のインタフェース情報」および QoS の
各情報については、ボックス内に表示したいイン
タフェース名を入力してください。
一番下の「全ての詳細情報を表示する」をクリックすると、全ての機能の全ての項目についての情報が一括表示されます。

271

第 34 章テクニカルサポート第 34 章 テクニカルサポート

テクニカルサポート
テクニカルサポートを利用することによって、本体の情報を一括して取得することができます。

取得情報の内容

実行方法○ログ
詳細は、「第 30 章 各種システム設定 ◆ログの表
示 / ◆ログの削除」をご覧ください。

Web 設定画面の「テクニカルサポート」をクリックすると以下の画面が表示されます。

ここでは、下記の３つの情報を一括して取得することができます。

○設定ファイル
詳細は、「第30章 各種システム設定と復帰」をご覧ください。

「情報取得」をクリックします。

◆設定の保存○本体の機器情報
詳細は、「第 32 章 情報表示」をご覧ください。

「download」のリンクをクリックして、本装置の機器情報ファイルをダウンロードしてください。
「remove」をクリックすると、取得した情報ファイルは消去されます。

273

第 35 章運用管理設定第 35 章 運用管理設定

INIT ボタンの操作
本装置の背面にある「INIT」ボタンを使用することで、以下操作ができます。

＜ XR‑640L2 の場合＞

1 XR‑640L2 が停止状態になっていることを確認◆本装置の設定を一時的に初期化する(ソフトウェアリセット)

します。

◆オプション CF カードに保存された設定で起動する（※のみ）※ XR‑640L2 のみ

2 XR‑640L2背面にある「INIT」ボタンを押します。
3 「INIT」ボタンを押したままの状態で、
POWEER スイッチをオンにします。
「INIT」ボタンは押したままにしておきます。

◆本装置の設定を初期化する＜ XR‑410L2 の場合＞

4 「INIT」ボタンを押し続け、XR‑640L2 前面の

1 XR‑410L2 の電源をオフにします。

「STATUS 1 LED」
(赤)ランプが点灯、他の STATUS ラ
ンプが消灯したら「INIT」ボタンを放します。

2 本体背面にある「INIT」ボタンを押します。
3 「INIT」ボタンを押したままの状態で、電源を以上の動作で、XR‑640L2が工場出荷時の設定で起動します。

投入し、電源投入後も 5 秒ほど「INIT」ボタンを押し続けます。

以上の動作で、XR‑410L2が工場出荷時の設定で起動
します。
「INIT
」ボタンを使用して、本装置の初期化をおINIT」
ボタンを使用して、本装置の初期化をおこない、工場出荷時の設定で起動しても、工場出荷時の設定で起動しても、初期化
こない、
工場出荷時の設定で起動しても、初期化前の設定は別の領域に残っています。
「INIT」ボタン操作での初期化後に、もう一度本装置を再起動すると、初期化前の設定が復帰します。
ただし、工場出荷時の設定で起動したときに本装置の設定を変更していれば、そこで変更した設定が反映された状態で起動します。
設定を完全にリセットする場合は、
Web 設定画面
設定を完全にリセットする場合は、Web「システム設定」→「設定のリセット」でリセットを実行してください。

275

第 35 章 運用管理設定

INIT ボタンの操作◆ＣＦカードの設定で起動する(XR‑640L2 のみ
)
のみ)

補足
：バージョンアップ後の設定内容に補足：
ついて本装置をバージョンアップしたとき、CF カード内の設定ファイルは旧バージョンの形式で保存されします。
たままです。
ただし、バージョンアップ後に本装置を電源 OFF→ CF カードの設定内容で起動しても、旧バージョ
XR‑640L2 にオプション CF カードが挿入されてンの設定内容を自動的に新バージョン用に変換しいることを確認します。
て起動できます。
CFカード内の設定を新バージョン用にするために
XR‑640L2背面にある「INIT」ボタンを押します。 は、新バージョンで CF カードの設定から起動し、あらためて CF カードへ設定の保存をおこなってく
ださい。
「INIT」ボタンを押したままの状態で、POWER

1 XR‑640L2 が停止状態になっていることを確認
23
4スイッチをオンにします。
「INIT」ボタンは押したままにしておきます。

5 XR‑640L2 前面にある「SLOT CF LED」(緑)ランプの点滅が止まるまで「INIT」ボタンを押し続けます。

6 「SLOT CF LED」点滅が止まったら「INIT」ボ
タンを放します。

以上の動作で、CFカードに保存されている設定内容
で起動します。

276

付録 A
インタフェース名一覧

付録 A

インタフェース名一覧
本装置は、以下の設定においてインタフェース名を直接指定する必要があります。
・IPsec 機能
・OSPF 機能・L2TPv3 機能
・SNMP エージェント機能・スタティックルート設定
・ソースルート設定
・NAT 機能・パケットフィルタリング機能
・ネットワークイベント機能
・仮想インターフェース機能・QoS 機能・ネットワークテスト
本装置のインタフェース名と実際の接続インタ
フェースの対応付けは次の表の通りとなります。

278

付録 A

インタフェース名一覧＜ XR‑410L2 ＞＜ XR‑640L2 ＞

eth0

Ether0ポート

eth0

E t h e r 0ポ ー ト

eth1

E t h e r 1 ポート

eth1

E t h e r 1 ポート

ppp0

P P P / P P P o E 主回線

eth2

E t h e r 2ポ ー ト

ppp2

P P P / P P P o E マルチ接続 2

ppp0

P P P / P P P o E 主回線

ppp3

P P P / P P P o E マルチ接続 3

ppp4

P P P / P P P o E マルチ接続 4

ppp2

P P P / P P P o E マルチ接続 2

ppp5

バックアップ回線

ppp3

P P P / P P P o E マルチ接続 3

ppp6

ア ク セ ス サ ー バ (シ リ ア ル 接 続 )ppp4

P P P / P P P o E マルチ接続 4ipsec0p p p 0上 の i p s e c

ppp5

バックアッ プ回線

ipsec1p p p 2上 の i p s e c

ppp6

アクセスサーバ

ipsec2p p p 3上 の i p s e c

ipsec0

ppp0上のipsec

ipsec3p p p 4上 の i p s e c

ipsec1

ppp2上のipsec

ipsec4p p p 5上 の i p s e c

ipsec2

ppp3上のipsec

ipsec5e t h 0上 の i p s e c

ipsec3

ppp4上のipsec

ipsec6e t h 1 上のi p s e c

ipsec4p p p 5上 の i p s e c

gre<n>

gre (<n>は設定番号)

eth0上のVLANインタフェース
eth0.<n>(<n>はVLAN ID)

ipsec5eth0上のipsec

ipsec6e t h 1 上のi p s e c

eth1.<n> eth1上のVLANインタフェース

ipsec7eth2上のipsec

eth0上の仮想インタフェース(<n>は仮想IF番号)

gre<n>

gre (<n>は設定番号)

eth0.<n>eth0上のVLANインタフェース(<n>はVLAN ID)

eth0:<n>eth1:<n> eth1上の仮想インタフェース

eth1.<n> eth1上のVLANインタフェース
eth2.<n> eth2上のVLANインタフェース
eth0:<n>e t h 0上 の 仮 想 イ ン タ フ ェ ー ス(<n>は仮想IF番号)

eth1:<n> eth1上の仮想インタフェース
eth2:<n> eth2上の仮想インタフェース
表左：インタフェース名
表右：実際の接続デバイス

279

付録 B
工場出荷設定一覧

付録 B

工場出荷設定一覧
IPアドレス設定

IPアドレス/サブネットマスク値

ETHER0ポート

192.168.0.254/255.255.255.0

ETHER1ポート

192.168.1.254/255.255.255.0

ETHER2ポート（※ XR‑640L2のみ）

192.168.2.254/255.255.255.0

DHCPクライアント機能

無効(※ ETHER2は機能なし)

IPマスカレード機能無効

ステートフルパケットインスペクション機能

無効

デフォルトゲートウェイ設定

設定なし

ダイヤルアップ接続

無効

DNSリレー/キャッシュ機能

有効

IPsec機能無効

ダイナミックルーティング機能無効

L2TPv3機能無効

SYSLOG機能有効

SNMPエージェント機能

無効

NTP機能

無効

アクセスサーバ機能無効

スタティックルート設定

設定なし

ソースルート設定

設定なし

NAT機能

設定なし

パケットフィルタリング機能

NetBIOSからの漏洩を防止するフィルタ設定(入力・転送フィルタ設定）
外部からのUPnPパケットを遮断する設定(入力・転送フィルタ設定）

スケジュール機能（※ XR‑640L2のみ）

設定なし

ネットワークイベント機能無効

仮想インターフェース機能

設定なし

GRE機能

無効

QoS機能

設定なし

パケット分類機能

設定なし

ゲートウェイ認証機能

無効

設定画面ログインID

admin

設定画面ログインパスワード

admin

281

付録 C
サポートについて付録 C

サポートについて◆本製品に関してのサポートは、ユーザ登録をされたお客様に限らせていただきます。
必ずユーザ登録していただきますよう、お願いいたします。
◆サポートに関する技術的なお問い合わせやご質問は、下記へご連絡ください。
・サポートデスクe‑mail ： support@centurysys.co.jp
電話： 0422‑37‑8926
FAX： 0422‑55‑3373
受付時間 ： 10:00 〜 17:00 (土日祝祭日、および弊社の定める休日を除きます)・ホームページ

http://www.centurysys.co.jp/◆故障と思われる場合は製品の不良や故障と思われる場合でも、必ず事前に弊社までご連絡ください。
事前のご連絡なしに弊社までご送付いただきましてもサポートをお受けすることはできません。
◆ご連絡をいただく前にスムーズなユーザサポートをご提供するために、サポートデスクにご連絡いただく場合は以下の内容をお知らせいただきますよう、お願いいたします。
・ファームウェアのバージョンと MAC アドレス
(バージョンの確認方法は「第 32 章 情報表示」をご覧ください。
)
・ネットワークの構成(図)どのようなネットワークで運用されているかを、差し支えのない範囲でお知らせください。
・不具合の内容または、不具合の再現手順何をしたときにどういう問題が発生するのか、できるだけ具体的にお知らせください。
・エラーメッセージ
エラーメッセージが表示されている場合は、できるだけ正確にお知らせください。
・本装置の設定内容、およびコンピュータの IP 設定
・「設定のバックアップファイル」を電子メール等でお送りください。
◆サポート情報
弊社ホームページにて、製品の最新ファームウェア、マニュアル、製品情報を掲載しています。
また、製品の FAQ も掲載しておりますので、是非ご覧ください。
FutureNet XR シリーズ 製品サポートページ
http://www.centurysys.co.jp/support/※インデックスページから本装置の製品名(XR‑410/TX2‑L2、
XR‑640/CD‑L2)をクリックしてください。
◆製品の保証について
本製品の保証期間は、お買い上げ日より 1 年間です。
保証期間をすぎたもの、保証書に販売店印のないもの(弊社より直接販売したものは除く)、また保証の範囲外の故障については有償修理となりますのでご了承ください。
保証規定については、同梱の保証書をご覧ください。

283

XR‑410/TX2‑L2 v1.6.2 対応版

XR‑640/CD‑L2 v1.6.1 対応版 ユーザーズガイド
2009 年 01 月版
発行 センチュリー・システムズ株式会社
Copyright (c) 2002‑2009 Century Systems Co., Ltd. All rights reserved.