質問: VLANとVPNを用いた拠点間通信についてご質問です。 ![構成図](https://teratail-v2.storage.googleapis.com/uploads/contributed_images/e0f11b3b1f6e9a64b89e67eb498a0b24.jpeg) 私は中小で開発部に所属しており、社員の中でパソコンに詳しいからと会社のネットワークを任されております。ネットワークに関しては家庭用に毛が生えた程度です。 もちろんネットワークの知識をもっと知りたいと思っております。宜しくお願い致します。 VLANとVPNを用いた拠点間通信についてご質問です。 ・4拠点あります。 ・VPN機能付き、またIEEE 802.1Q対応のルーターを同じもの4つを4拠点にルーターとして設置。 ・L2のCatalystスイッチ24ポートを各拠点に設置。 ・4つの固定IPを取得し、4つのルーターに設定。 ・インターネット接続方法はPPPoE認証接続。 ・ルーターがL2のCatalystスイッチに接続するポートは4拠点ともトランクポート図の赤丸です。それぞれのVLANIDのすべて含みます。 ・VLANIDはこうしようと思っています。 VLANID10(営業部) VLANID20(開発部) VLANID30(経理部) ・また全社員アクセス可能なノード(NASかファイルサーバーかパソコンの共有フォルダを札幌本社の24ポートに接続。ポート24はトランクポート(ですよね?)) この質問に関連してを先に質問させていただいております。 この質問でご回答いただき、アクセス制御に関してはルーターのフィルタリングが肝だと認識しております。 質問の内容がプロの方から見てとんちんかんかもしれませんが、上記の構成のようにした場合、何と言いますか...ほんと申し訳ありません。この場合も肝は4つのルーターのIPパケットフィルタリング次第でどうにでもアクセス制御できるということでしょうか?「どうにでも?」この言葉、ほんとにすいません。 ・例、静岡の経理PCから仙台の経理PCへのアクセスは可能にさせたい。 ・例、静岡の経理PCから新潟の営業PCへのアクセスはさせたくない。 ・部署が増えた場合、各拠点のスイッチの設定は、各拠点の社員の協力を得る。例えば、静岡に部署が増えた、または全VLANアクセス権限が必要な偉い人が入社した場合です。静岡のある方のPC(teraterm入り)をコンソールケーブルでCatalystに接続し、札幌の私がリモートデスクトップで設定を行う。 設定ミス、故障等は考えないようにして、技術的に上記の構成で何とでもなるかどうかが知りたいです。 ほんとすいません。 「この程度の知識で管理者(札幌の私)は...」とかほんとすいません、グサッときます悲笑。 素人ながらいろいろ調べて、上記の図の構成がシンプルなのかな勝手に思いました。 みなさまどうか宜しくお願い致します。 ------------------ ※追加 【条件】 ・部署ごとの通信をVLANで区切る。それは管理者がアクセスポートをポートVLANとして設定するだけで通信を制限したい。 ・ポートのVLANを書類申請式にして上長の許可ありきで管理者はポートに対しての設定を行う。 ・新しい部署またはプロジェクトグループのVLANが必要となった時も申請を出してもらい管理者がリモートデスクトップでスイッチに設定を行う。 ・全社員がアクセスできる端末をBuffaloのterastationとする。Windowsのアカウントとは別にterastationにブラウザで入ってへterastationのユーザーを作り、 NASのフォルダへのアクセスは現時点では申請式にして、その申請を元にリモートデスクトップでNASのアカウントを打ち込んでアクセスさせる。 (フリーソフトでのパスワード解析等はいまは無視する) ・現時点ではADを導入しない。(ほんとはしたい...。) ・「ネットワークへのログイン」という意味というか考え方がわかりませんでした。 ログインとはOSにするもので、LANケーブルを挿せばネットにつながる、という認識でした。ここら辺をもう少し勉強してみます。 恐れ入りますがこの質問に対して「ネットワークへのログイン」は必要不可欠でしょうか?お願い致します。 いずれは、例えばこれは可能性でしかないですが、社員以外の人間がパソコンを持ってきて、LANケーブルをつなげたとき、無線のSSIDとパスワードをどうにかして知られたときに、 「登録されていないパソコン、ユーザーはネットを使えないようにする」ということはしたいです。あくまでもいつかですが...。 ・各端末の通信制御を、スイッチのポートのVLANIDの設定、ルーターのフィルタリングのみで可能かどうか。 【質問2】 ・この質問で構成図を使いVPNやL2スイッチなどで限定していますが、そもそも「支店を持つ会社があたかも同じビル内いるようにネットワークを組む場合はみなさんはどのような技術、設定を行うのでしょうか?」 「シンプルに拠点間通信を行う場合は、普通(?)はどうするのでしょうか?」 関連した質問はこちらでございます。「支店を持つ会社の拠点間通信について。」
回答: 例えば新潟の人が仙台に出張して作業をする場合に、社内のNWにログインすると、そのログイン情報から権限を割り当ててアクセス権を得る場合には、NWレベルでの処理は不可能になります。ActiveDirectoryでなくても設定などは面倒だけど実現できなくはないものもあります。 > > パケットレベルでもできるかどうか知りたいです。 > > > そもそも、VLAN間でルーティングは必要なのですか? https://www.infraexpert.com/study/vlanz8.html こちらをご覧いただければ良いのですが、VLANはそれぞれ別のネットワークになるので、その間の通信をする場合はルーティングが必要になります。 単にルーティングを設定しなければ相互に参照はできません。ただ、例えばメールだけは見れるようにといった場合には対応できませんが。