|
我が家のLANを紹介しようと思います。ゲートウェイマシンをメンテするときはノートＰＣで構築したサブのルータ、あるいはその辺のマシンで floppyfw を立ち上げて使用し(NIC挿しがほとんど趣味とも言えるので（狂）、たいがいのマシンには２枚以上挿さっている)、スクリーンドホストといわれる構造をとりますが、通常は以下で示すスクリーンドブランチネットといわれる構造を採用しています。しかし、エラそーに LAN とはいっても常時稼動は３台という、かぎりなくショボイものです。その理由はこのサイトのページの随所にあるように、ひとえに「家庭の事情」です。しかし、この「家庭の事情」こそが、理想のLAN 環境構築を阻む最も大きな障害である、ということは多くの妻子もちのオトーサン技術者が直面する問題であると思うわけであります、どん（机をたたく音）！
と、市長選の近いｋ市民の私は今回は選挙演説口調になりがちですがお許し下さい。 まず､図です。以降、ADSL回線で外部ネットワークに接続しているものとします。 ★我が家で採用しているスクリーンドブランチネット (2002.01.01 2002年になったのでいろいろ変更してみました) (2002.01.15 １台をルーターに改装して、セキュリティ実験環境をこのネットワークに組み込みました) (2002.05.05 記事書き用の実験機を次々と動かしてるうちにいつのまにかLANにたくさんつながっていたので更新しました。電気代が.....
Internet
|
〜
|
〜
|
ADSLモデム
|
| |
ppp0(on eth2 : 100BaseTX) |
-------------------- |
| | |
| [ PC Router ] | eth1----- H U B +-----eth0 : 10BaseT 〜
| * any time * | : 10BaseT :repeater Corega EtherII PCC-T
| Dell OptiPlex | GREEN HOUSE | [ Web Server ] 〜 FAN
| P : P166 | GH-EL100/LR | * any time * 〜
| M : 32M | (*100/10) | Fujitu FMV-BIBLO 5120 NU2/Y
| HDD : 1.6G | | P : P120
| OS : Red Hat 7.1 | | M : 16M
| | | HDD : 1.0G
| NAT | | OS : LASER5 Linux 7.2 exp
| Primary Firewall | |
| Primary IDS | +-----ed1 : 10BaseT
| | | Melco LPC2-T
-------------------- | [ multi use ]
eth0 : 100BaseTX | * any time *
| Planex | HITACHI FLORA-ND1 note
| FW-100TX | P : P120
| | M : 40M
H U B : switching | HDD : 1.2G
| | OS : FreeBSD 4.5-RELEASE
|
|
|
|
|
+-------------+------+----------------------+----------------------+--------------- 〜 〜
| | | |
ed1 : 100BaseTX eth0 : 100BaseTX eth0 : 100BaseTX eth0 : 100BaseTX
Planex FNW 3600-T Corega FEther PCI-TXL Planex FNW 3600-TX Intel EtherExpressPro
[ Development ] [ Security Test ] [ File Server ] [ general work ]
* some time * * some time * * any time * * some time *
Panasonic Let's note Dell DimensionJ433c IBM ThinkPad 365X IBM ThinkPad i30
AL-N2T520J5
P : MMX200 P : P433C P : P133 P : P3 600
M : 32M M : 128M M : 40M M : 128M
HDD : 2.1G HDD : 6.4G HDD : 810M HDD : 20G
OS OS(multi) OS OS
: FreeBSD 4.5-RELEASE : Windows NT4.0 : FD-Samba : Windows XP(he)
: Red Hat 7.1
eth1 : 100BaseTX
Planex FW-100TX
|
|
H U B : switching
|
|
secret :-)
〜 〜 -+---------------------+----------------------+--------
| |
eth0 : 100BaseTX stand alone
Corega PCC-TXF
[ Development for [ Development for
linux libc5] linux libc6 ]
* some time * * some time *
NEC PC-VP13CWSA1 IBM ThinkPad 380
P : MMX100 P : P150
M : 64M M : 32M
HDD : 1.0G HDD : 1.08G
OS OS
: Plamo linux 2.2 : Debian GNU/Linux 3.0
i30 は私の宝物なのですが(笑)、鯖として頑張っている面々だけを見れば、いかにも金がかかっていないのがわかるでしょう。これでもマシなほうから選んだ結果です。しかし、みんな古い!(^^;
さらに細かいことですが NIC は 100BaseTX のものもすべて１０００円台です。
小物にいたるまで金はかけていません（古いものが多く、結局よく壊れるので、かかってたりして）。
公開サーバーがノートかよ！というご意見もあるでしょう。よく気づきましたね。しかもこの機種は一部では有名な”熱暴走野郎”なので（私もHDDすっ飛ばしました）、冷却対策が大変です。なんと、今では「夏場は休業」という大胆な方式を採用しています。すばらしい。 さて、（スクリーンド）ブランチネット構造とはどういったものでしょうか。実は私もよくわかっていないのかもしれませんが、その辺はこれから有権者の皆さんと共に！（ここで力が入る）考えていきたいと思うのであります！（拍手起こる）.....では困る。えーと、準備としてありがちな他の構造を見てみましょう。なお、これらはゲートウェイにはフツーのルーターではなく、ＰＣルーターを使用し、公開サーバーとワークステーションとの計３台（以下）で LAN を構成する例です（フツーのルータも使えるのならもっといろいろできます）。 * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
その� А疋妊絅▲襯曄璽爛曠好函匹箸いΔ里�な？
Internet
|
〜
|
+-----------------------+
| |
| [ Fire Wall |
| & Server ] |
| |
+-----------------------+
|
|
H U B
+-----+-----+-----
| | |
□ □ □
ゲートウェイとなるホスト上で外部公開サーバーも走らせることになります。プロキシを立てるのが一般的です。(^v^) : 構築､管理が容易、２台で済むので家族の苦情は少ない。 (--;) : サーバーソフトウェアのセキュリティホールがそのまま LAN の危機につながる。 ゲートウェイマシンが乗っ取られれば、そこから LAN 内のホストはある程度自由に操作できるので、一巻の終わり、ということ。また、パケットフィルタリングの自由度が低くなることも、安全性を低くする一因。 リスクが大きい、というのもありますが、なにより面白味がないので却下。私にとって「外部公開鯖をを立てる」というのは「遊ぶ」ことなのです。 ３台ならこのようにもできますね、なんとなくムダですけど
Internet
|
〜
|
+ --------------+
| |
| [ Firewall |
| & Routing ] |
| |
+ --------------+
|
+--------------+
| |
| [ Server ] |
| |
+--------------+
|
|
H U B
+-----+-----+-----
| | |
□ □ □
ま、これなら次ですね。
======================================================================== その�◆Д好�リーンドホスト
Internet
|
〜
|
+---------------+
| |
| [ Firewall |
| & Routing ] |
| |
+---------------+
|
|
H U B
+------------+-----+-----
| | |
+--------------+ □ □
| |
| [ Server ] |
| |
+--------------+
ゲートウェイマシンはルーティングに専念しますので、設定が比較的容易となり、つまり乗っ取られる可能性は低くなります（ちゃんと構築すれば）。
(^v^) : 構築､管理が容易 (--;) : サーバーが乗っ取られればやはり一巻の終わり、ではある。 非常に一般的です。SOHO では最も多く取り入れられているでしょう。ルーター、サーバーをきちんと構築すれば安全です。しかしサーバーが乗っ取られたり、トロイの木馬系を仕込まれると LAN 内はすべて丸見えなので、やはり終わりです。 ※鯖もIPマスカレーディングしてしまえば外部的にはセキュリティが向上します。IPマスカレーディングされた外部公開鯖を構築する方法はこのサイトのどっかに書いてあると思うので、参照してください。 以前は FMV をゲートウェイマシンに仕立ててこれで構築していましたし、メンテナンス時は今でもそうします。 ======================================================================== 番外：スクリーンドサブネット
Internet
|
〜
|
+---------------+
| |
| [ Firewall |
| & Routing ] |
| |
+---------------+
|
|
H U B
+-----------------+----------------+-----
| | |
+--------------+ □ + ---------------+
| | | |
| [ Server ] | | [ Firewall |
| | | & Routing ] |
| | | |
+--------------+ + ---------------+
|
H U B
+------+-----+-----+-----
| | | |
□ □ □ □
フツーのルータがあれば、あるいは PC をもう１台使うことが許されるなら、 これもいいです。 分業されているので設定が比較的容易です。 (^v^) : サーバーが乗っ取られても、内部 LAN はさらにルーターがかまされているので、そのルーターの設定がへっぽこでない限り、武装地帯はまあ安全で、逆に武装地帯にトロイの木馬をしかけられてもサーバーは安全。 (--;) : 構築が大変（機材が多い）、電力、騒音など問題多し。 ======================================================================== さて、で、やっとこさブランチネットですが、つまりこの構造は最後の番外スクリーンドサブネット構造のお手軽版というわけです。NIC を３枚（以上）挿すことにより、一つのルータでスクリーンドサブネットもどきを構成するのです。 分業されているので設定が比較的容易です。 (^v^) : サーバーが乗っ取られても、内部 LAN は別セグメントにあり、ルーターの設定がへっぽこでない限りまあ安全。 (--;) : 構築は楽だがルーターの設定は煩雑。NIC が３枚挿せるマシンが必要。 ということになりますか。で、私はさらに外部公開サーバーもＩＰマスカレーディングし、 ゲートウェイマシンでstoneというアプリケーションを走らせることで外部公開しています。 だから、グローバルＩＰはたった一つでよいのです。これもセキュリティ向上と、低コスト管理に一役買っています。 とにかく、一番面白味があるのでこれを採用している、といったところです。 家庭内 LAN の場合は内部からの攻撃はないですから（あったらそれはそれで怖い(^^;）、 セキュリティ対策はかなり楽になります。 みなさま、ブランチネット、ブランチネットをよろしくおねがいいたしまぁ〜す！！ うるせーー！！！ ★しかし、もちろんサーバーが乗っ取られないのが何より重要です。 |