NETWORK BASICS / 03
ルータとは？
役割と基本設定を実際のネットワーク構成から解説
ネットワーク基礎シリーズ第3回。ルータは、異なるネットワーク同士を接続し、宛先に応じて通信経路を選択する機器です。本記事では、Stractoの検証環境で使用しているCisco 891FJの実設定を一般化しながら、ルーティング、PPPoE、NAT/PAT、ACLなどの基本を整理します。
NETWORK BASICS SERIES
ネットワーク基礎シリーズ
ネットワークを構成する主要機器を、実際の構成・設定例を交えながら順番に解説します。
ルータとは
ルータは、IPアドレスを基に異なるネットワーク間の通信を中継する機器です。LAN内の端末からインターネットへ出る通信や、複数セグメント間の経路制御などで利用されます。
スイッチが同一ネットワーク内の接続を中心に担うのに対し、ルータは「どの宛先へ、どの経路を使って送るか」を判断する役割を持ちます。
LAN、WAN、各種セグメント間の通信を中継します。
ルーティングテーブルを参照し、宛先ごとに次の転送先を決めます。
PPPoEやNAT/PATを使い、内部ネットワークをインターネットへ接続できます。
ネットワークの中でどこに置かれるのか
Stractoの検証環境では、Cisco 891FJをインターネットルータとして使用しています。内部側では複数のファイアウォール向けネットワークを収容し、外部側ではPPPoEを使ってインターネット回線へ接続する構成です。
Internal Network
PPPoE
Internet
この構成では、ルータが各内部ネットワークへの戻り経路を保持し、インターネット向け通信はデフォルトルートでWAN側へ転送します。
L3スイッチ・ファイアウォールとの違い
| 項目 | ルータ | L3スイッチ | ファイアウォール |
|---|---|---|---|
| 主な役割 | 異なるネットワーク間の経路制御 | LAN内部の高速なL3転送 | 通信の許可・拒否とセキュリティ制御 |
| 主な利用場所 | LANとWANの境界、拠点間 | 社内LANのコア・ディストリビューション | Trust / Untrust / DMZなどの境界 |
| NAT | 対応する機種が多い | 用途による | 一般的に利用される |
| セキュリティ制御 | ACLなどで可能 | ACLなどで可能 | ポリシー制御が中心機能 |
ルータで必要になる基本設定
StractoのCisco 891FJでは、管理インターフェース、内部側VLAN、PPPoE、スタティックルート、NAT/PAT、ACL、CBAC、SSH、NTP、Syslog、SNMPなどを設定しています。
- LAN / WANインターフェース：内部側と外部側の接続先を定義する
- ルーティング：宛先ネットワークごとの転送先を設定する
- デフォルトルート：個別経路がない通信の出口を定義する
- PPPoE：ISPへの接続に必要なDialerインターフェースを構成する
- NAT / PAT：内部アドレスを外部アドレスへ変換する
- ACL：管理通信やWAN側の受信通信を制御する
- 状態管理：必要に応じて戻り通信を動的に許可する
- SSH / NTP / Syslog / SNMP：安全な管理と運用監視を行う
スタティックルートとデフォルトルート
ルータはルーティングテーブルを基に、宛先IPアドレスに応じて次の転送先を決定します。小規模な構成では、経路を手動で定義するスタティックルートが分かりやすく、運用もしやすい場合があります。
ip route 192.0.2.0 255.255.255.0 198.51.100.1
ip route 203.0.113.0 255.255.255.0 198.51.100.2Stractoのルータでは、内部の各ネットワークに対して複数のスタティックルートを設定し、ファイアウォール側のアドレスをNext Hopとしています。
デフォルトルート
ip route 0.0.0.0 0.0.0.0 Dialer10.0.0.0/0は、より具体的な経路が存在しない宛先に対して使用されます。Stractoのルータではインターネット向けのデフォルトルートをPPPoE用Dialerインターフェースへ向けています。
PPPoEによるインターネット接続
Stractoの検証環境では、物理WANポートでPPPoEを有効化し、実際のIPアドレスやPPP認証はDialerインターフェース側で処理する構成です。
interface GigabitEthernet8
description *** TO-INTERNET ***
pppoe enable group global
pppoe-client dial-pool-number 1
!
interface Dialer1
mtu 1492
ip address negotiated
encapsulation ppp
dialer pool 1
ppp authentication chap callin
ppp chap hostname example-user
ppp chap password 0 ********PPPoEではEthernet上にPPPセッションを確立します。実環境のユーザー名やパスワードは認証情報にあたるため、公開記事では必ずサンプル値へ置き換えます。
NAT / PATの設定
プライベートIPアドレスを利用する内部ネットワークからインターネットへ接続する場合、NATを使ってアドレスを変換します。1つのグローバルIPアドレスを複数端末で共有する方式がPATです。
access-list 100 permit ip 192.168.10.0 0.0.0.255 any
!
interface Vlan10
ip nat inside
!
interface Dialer1
ip nat outside
!
ip nat inside source list 100 interface Dialer1 overloadStractoのルータでは、複数の内部セグメントをACLで指定し、overloadを利用してDialerインターフェースのアドレスへPATしています。
ACLと状態管理
ルータでもACLを利用して、管理通信やWAN側からの受信通信を制御できます。Stractoのルータでは、WAN側に受信ACLを適用し、必要な通信のみを明示的に許可し、それ以外を拒否する構成です。
ip access-list extended WAN-IN
permit udp host 203.0.113.10 eq ntp any
deny ip any any log
!
interface Dialer1
ip access-group WAN-IN inCBACによる戻り通信の制御
StractoのルータではCBAC（Context-Based Access Control）も利用しており、TCP、UDP、ICMP、NTPなどの通信を検査し、内部から開始した通信の戻りトラフィックを動的に扱う構成です。
ip inspect name CBAC tcp
ip inspect name CBAC udp
ip inspect name CBAC icmp
!
interface Dialer1
ip inspect CBAC out管理・監視のための設定
ルータはネットワークの出口を担うため、管理経路と監視も重要です。Stractoのルータでは、専用の管理インターフェースにIPアドレスを設定し、SSHによる管理、NTP、Syslog、SNMPを利用しています。
ip ssh version 2
!
line vty 0 4
access-class MGMT in
login local
transport input ssh管理ACLを使って接続元を限定することで、管理端末以外からのSSH接続を抑止できます。
NTPによる時刻同期
clock timezone JST 9 0
ntp server 203.0.113.20 preferStractoのルータでは外部NTPサーバと同期し、自身を内部向けNTPサーバとして利用する設定も行っています。ルータ、スイッチ、ファイアウォールの時刻を揃えておくことで、障害発生時に各機器のログを時系列で追いやすくなります。
まとめ
ルータは、異なるネットワーク間の通信経路を制御し、LANとWANをつなぐ役割を持つ機器です。インターネット接続では、ルーティングだけでなくPPPoE、NAT/PAT、ACLなど複数の機能を組み合わせることがあります。
StractoのCisco 891FJでは、スタティックルート、デフォルトルート、PPPoE、PAT、ACL、CBAC、SSH、NTP、Syslog、SNMPなどを利用しています。
本記事は「ネットワーク基礎シリーズ」の第3回です。次回はファイアウォールを取り上げ、Security Zone、Policy、NAT、通信制御などの基本を解説します。
記事について
本記事は、Stractoのネットワーク検証環境におけるCisco 891FJの実機設定ログを基に、公開可能な内容へ一般化・匿名化して構成しています。