第4回は部署毎に社内ネットワークを分離(VLAN)する設定を行います。
企業でパソコンを使っていないところは少ないと思います。人数の多い企業になるとパソコンの台数も多くなり管理するのがとても大変です。
今回は部署ごとにネットワークを分けることでパソコンの管理を簡単にする設定を行います。
今回もYAMAHA RTX1200を使用します。
このルータはLAN1のポート毎に個別のIPアドレス帯を割り当てることができます。
この機能を使って部署毎にIPアドレス帯を割り当てることでパソコンの管理を簡単にします。
まずはIPアドレスを個別に割り当てます。そのあと各部署間の通信にフィルタリング設定を行います。
フィルタリング設定することで各部署の機密データを他部署に流出することを防ぎます。
まずはネットワークの構成からです。
ネットワーク構成
今回検証するネットワーク構成になります。
まずはじめに各部署に個別のネットワーク帯を割り当てます。
役員 192.168.0.0/24
営業部 192.168.10.0/24
総務部 192.168.20.0/24
今回はLAN1のポート1~3までを使用します。
ルータの設定内容
■ルータ設定内容
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 |
ip route default gateway pp 1 ip filter source-route on ip filter directed-broadcast on lan type lan1 port-based-option=divide-network ip vlan1 address 192.168.0.1/24 ip vlan2 address 192.168.10.1/24 ip vlan3 address 192.168.20.1/24 pp select 1 pp keepalive use lcp-echo pp always-on on pppoe use lan3 pppoe auto connect on pppoe auto disconnect off pp auth accept pap chap pp auth myname (ISPの接続アカウント) (ISPのパスワード) ppp lcp mru on 1454 ppp ipcp ipaddress on ppp ccp type none ip pp mtu 1454 ip pp secure filter in 1020 1021 1022 1030 1031 1032 2000 ip pp secure filter out 1010 1011 1012 1013 1014 1015 3000 dynamic 100 101 102 103 104 105 106 107 ip pp nat descriptor 1 pp enable 1 ip filter 1010 reject * * udp,tcp 135 * ip filter 1011 reject * * udp,tcp * 135 ip filter 1012 reject * * udp,tcp netbios_ns-netbios_ssn * ip filter 1013 reject * * udp,tcp * netbios_ns-netbios_ssn ip filter 1014 reject * * udp,tcp 445 * ip filter 1015 reject * * udp,tcp * 445 ip filter 1020 reject 192.168.0.0/24 * ip filter 1021 reject 192.168.10.0/24 * ip filter 1022 reject 192.168.20.0/24 * ip filter 1030 pass * 192.168.0.0/24 icmp ip filter 1031 pass * 192.168.10.0/24 icmp ip filter 1032 pass * 192.168.20.0/24 icmp ip filter 2000 reject * * ip filter 3000 pass * * ip filter dynamic 100 * * ftp ip filter dynamic 101 * * www ip filter dynamic 102 * * domain ip filter dynamic 103 * * smtp ip filter dynamic 104 * * pop3 ip filter dynamic 105 * * netmeeting ip filter dynamic 106 * * tcp ip filter dynamic 107 * * udp nat descriptor type 1 masquerade dhcp service server dhcp server rfc2131 compliant except remain-silent dhcp scope 1 192.168.0.51-192.168.0.100/24 dhcp scope 2 192.168.10.51-192.168.10.100/24 dhcp scope 3 192.168.20.51-192.168.20.100/24 dns server pp 1 |
■設定後の検証で各部署に設置されているパソコンのアクセス権が確認できました。
| 送信先 | |||||
| パソコンA 192.168.0.0/24 |
パソコンB 192.168.10.0/24 |
パソコンC 192.168.20.0/24 |
インターネット | ||
| 送信元 | パソコンA 192.168.0.0/24 |
○ | ○ | ○ | ○ |
| パソコンB 192.168.10.0/24 |
○ | ○ | ○ | ○ | |
| パソコンC 192.168.20.0/24 |
○ | ○ | ○ | ○ | |
※パソコンへのアクセス確認方法として
・Pingでの通信確認
・共有フォルダへのアクセス確認
を行いました。
フィルタリング設定を行っていないので各部署間のパソコンはアクセスが可能です。
部署間の通信遮断
次に各部署間にフィルタリング設定を行い部署間の通信を遮断します。
部署によっては機密データがあり、他部署にデータの閲覧・編集などされたくない場合があります。部署間の通信を遮断しセキュリティを高くしたい時の設定になります。
検証1は多くの企業で採用されるネットワーク構成になります。
検証1） 役員からは各部署にアクセスすることができ、営業部と総務部間および営業部と総務部からは役員へのアクセスを遮断
■ルータ追加設定
|
1 2 3 4 5 6 7 8 9 10 11 |
ip filter 1040 reject * 192.168.0.0/24 ip filter 1041 reject * 192.168.10.0/24 ip filter 1042 reject * 192.168.20.0/24 ip filter 5001 pass * * ip filter dynamic 302 * * filter 5001 ip vlan1 secure filter in 3000 ip vlan1 secure filter out 3000 ip vlan2 secure filter in 1040 1042 3000 dynamic 302 ip vlan2 secure filter out 3000 dynamic 302 ip vlan3 secure filter in 1040 1041 3000 dynamic 302 ip vlan3 secure filter out 3000 dynamic 302 |
結果は
| 送信先 | |||||
|
パソコンA |
パソコンB 192.168.10.0/24 |
パソコンC 192.168.20.0/24 |
インターネット | ||
| 送信元 | パソコンA 192.168.0.0/24 |
○ | ○ | ○ | ○ |
| パソコンB 192.168.10.0/24 |
× | ○ | × | ○ | |
| パソコンC 192.168.20.0/24 |
× | × | ○ | ○ | |
役員は全てのパソコンとインターネットにアクセスできます。営業部パソコンBと総務部パソコンCはお互いアクセスを遮断されなお、役員パソコンAに対してアクセスができません。
各部署のデータを守ろう
企業によっては各部署間のデータを機密とし各部署でしか取扱いができるようにするため場合があります。そうした場合、部署間の通信を遮断することで各部署間のデータ流出などを防ぐことができます。
■ルータ追加設定
|
1 2 3 4 5 6 7 8 9 |
ip vlan1 secure filter in 1041 1042 3000 ip vlan1 secure filter out 1021 1022 3000 ip vlan2 secure filter in 1040 1042 3000 ip vlan2 secure filter out 1020 1022 3000 ip vlan3 secure filter in 1040 1041 3000 ip vlan3 secure filter out 1020 1021 3000 ip filter 1040 reject * 192.168.0.0/24 ip filter 1041 reject * 192.168.10.0/24 ip filter 1042 reject * 192.168.20.0/24 |
■設定追加後の結果は
| 送信先 | |||||
| パソコンA 192.168.0.0/24 |
パソコンB 192.168.10.0/24 |
パソコンC 192.168.20.0/24 |
インターネット | ||
| 送信元 | パソコンA 192.168.0.0/24 |
○ | × | × | ○ |
| パソコンB 192.168.10.0/24 |
× | ○ | × | ○ | |
| パソコンC 192.168.20.0/24 |
× | × | ○ | ○ | |
各IPアドレス帯にフィルタリング設定することで通信を遮断しパソコンA、B、Cは所属している各部署の通信およびインターネットのアクセスしかできなくなります。
このように利用する環境にあわせてネットワークの構成を変更し高いセキュリティのネットワークをつくることができます。
いままで紹介した設定はRTX1200でできるほんの一部の機能です。
インタネット回線の二重化、自社サーバの公開、通信のトラフィックの制御などその他にも便利な機能がたくさんあります。
機会があれば実際に活用できる方法や検証などの結果を紹介していきたいと思います。
![群馬の法人ITサポートサービス Wide Net[ワイドネット]](https://www.nedia.ne.jp/wp-content/themes/nedia/images/bnr_bt_widenet02.png "群馬の法人ITサポートサービス Wide Net[ワイドネット]")
![群馬の法人ITサポートサービス Wide Net[ワイドネット]](https://www.nedia.ne.jp/wp-content/themes/nedia/images/bnr_bt_widenet03.png "群馬の法人ITサポートサービス Wide Net[ワイドネット]")
