技術情報 : Si-R/Si-R brinシリーズ設定例

インターネットVPNの帯域制御

インターネットVPNで帯域制御する設定例です。

対象機種と版数

• Si-Rシリーズ V31以降
• Si-R brinシリーズ V1以降

設定内容

• LAN0側をWAN側、LAN1側をLAN側とします。
• Si-RのLAN側に192.168.1.1/24、192.168.2.1/24を割り当てます。
• インターネットVPN（IPsec）で拠点間接続します。
• Internetの回線速度を2M程度とします。
• IPsecインターフェースでシェーピング(2M)と帯域制御を行います。
• 音声である192.168.1.10,192.168.2.10を最優先します。
• サーバ通信である192.168.1.20を帯域指定(1.5M)します。
• その他の通信をベストエフォートします。
• インターネット網内での優先制御は行われません。（装置内でのみの優先制御となります。）

設定例

以下の設定例を、コピー&ペーストでご利用いただくことができます。

• id-a@ispにはSi-R1 ISPのIDを設定してください。
• pwd-a@ispにはSi-R1 ISPのパスワードを設定してください。
• id-b@ispにはSi-R2 ISPのIDを設定してください。
• pwd-b@ispにはSi-R2 ISPのパスワードを設定してください。
• sir2にはSi-R2 IPsecのIDを設定してください。
• ipseckeyにはIPsec 共有鍵を設定してください。

Si-R1設定例

lan 0 mode auto

lan 1 mode auto

lan 1 ip address 192.168.1.1/24 3

remote 0 name Internet

remote 0 mtu 1454

remote 0 ap 0 name PPPoE

remote 0 ap 0 datalink bind lan 0

remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp

remote 0 ap 0 keep connect

remote 0 ip address local 220.220.248.2

remote 0 ip route 0 default 1 0

remote 0 ip nat mode multi 220.220.248.2 1 5m

remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17

remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50

remote 0 ip msschange 1414

remote 1 name Si-R2

remote 1 shaping on 2m

remote 1 ap 0 name ipsec

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha1

remote 1 ap 0 ipsec ike pfs modp1536

remote 1 ap 0 ike name remote sir2

remote 1 ap 0 ike shared key text ipseckey

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 tunnel local 220.220.248.2

remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1

remote 1 ip route 0 192.168.2.0/24 1 1

remote 1 ip msschange 1300

remote 1 ip priority 0 acl 0 express

remote 1 ip priority 1 acl 1 1500kbps

remote 1 ip priority 2 acl 2 besteffort

acl 0 ip 192.168.1.10/32 192.168.2.10/32 any any

acl 1 ip 192.168.1.20/32 any any any

acl 2 ip any any any any

syslog pri error,warn,info

syslog facility 23

time zone 0900

consoleinfo autologout 8h

telnetinfo autologout 5m

terminal charset SJIS

Si-R2設定例

lan 0 mode auto

lan 1 mode auto

lan 1 ip address 192.168.2.1/24 3

remote 0 name Internet

remote 0 mtu 1454

remote 0 ap 0 name PPPoE

remote 0 ap 0 datalink bind lan 0

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp

remote 0 ap 0 keep connect

remote 0 ip route 0 220.220.248.2/32 1 0

remote 0 ip nat mode multi any 1 5m

remote 0 ip nat static 0 192.168.2.1 500 any 500 17

remote 0 ip nat static 1 192.168.2.1 any any any 50

remote 0 ip msschange 1414

remote 1 name Si-R1

remote 1 shaping on 2m

remote 1 ap 0 name ipsec

remote 1 ap 0 datalink type ipsec

remote 1 ap 0 ipsec type ike

remote 1 ap 0 ipsec ike protocol esp

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

remote 1 ap 0 ipsec ike auth hmac-sha1

remote 1 ap 0 ipsec ike pfs modp1536

remote 1 ap 0 ike name local sir2

remote 1 ap 0 ike shared key text ipseckey

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

remote 1 ap 0 tunnel remote 220.220.248.2

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

remote 1 ip route 0 192.168.1.0/24 1 1

remote 1 ip msschange 1300

remote 1 ip priority 0 acl 0 express

remote 1 ip priority 1 acl 1 1500kbps

remote 1 ip priority 2 acl 2 besteffort

acl 0 ip 192.168.2.10/32 192.168.1.10/32 any any

acl 1 ip any 192.168.1.20/32 any any

acl 2 ip any any any any

syslog pri error,warn,info

syslog facility 23

time zone 0900

consoleinfo autologout 8h

telnetinfo autologout 5m

terminal charset SJIS

解説

Si-R1設定解説

lan 0 mode auto

lan 1 mode auto

lan 0/1インターフェースの通信速度/モードをオートセンス/オートネゴシエーションに設定します。

lan 1 ip address 192.168.1.1/24 3

lan 1 IPアドレスを設定します。

• 192.168.1.1/24 : lan 1 IPアドレス/マスクです。
• 3 : ブロードキャストアドレスのタイプです。通常は3で構いません。

remote 0 name Internet

プロバイダー接続用インターフェースの名前（任意）を設定します。

remote 0 mtu 1454

Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。

remote 0 ap 0 name PPPoE

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 0 ap 0 datalink bind lan 0

プロバイダー向けパケットの転送先をlan 0 インターフェースに設定します。

remote 0 ap 0 ppp auth send id-a@isp pwd-a@isp
								

プロバイダーの認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

プロバイダーへ常時接続します。

remote 0 ip address local 220.220.248.2

PPPoEで取得する固定IPアドレスを設定します。

remote 0 ip route 0 default 1 0

デフォルトルートを設定します。

• 1 : metric値です。通常は1で構いません。
• 0 : distance値です。通常は0で構いません。

remote 0 ip nat mode multi 220.220.248.2 1 5m

remote 0 でマルチNATを設定します。

• multi : マルチNATです。
• 220.220.248.2 : 変換後アドレスです。（anyの場合はppp,dhcp,インターフェースアドレスから自動的に決定されます。）
• 1 : 変換後アドレスの個数です。
• 5m : NATテーブルの保持時間です。

remote 0 ip nat static 0 220.220.248.2 500 220.220.248.2 500 17

静的NATを設定します。

• static : 静的NATです。
• 220.220.248.2 : 変換前アドレスです。
• 500(IKE) : 変換前ポート番号です。
• 220.220.248.2:変換後アドレスです。
• 500(IKE) : 変換後ポート番号です。
• 17(UDP) : プロトコル番号です。

remote 0 ip nat static 1 220.220.248.2 any 220.220.248.2 any 50

静的NATを設定します。

• static : 静的NATです。
• 220.220.248.2 : 変換前アドレスです。
• any : 変換前webポート番号です。
• 220.220.248.2 : 変換後アドレスです。
• any : 変換後webポート番号です。
• 50(ESP) : プロトコル番号です。

remote 0 ip msschange 1414

MSS値です。1414byte（1454(MTU長)-40(TCP/IPヘッダ長)）を設定します。

remote 1 name Si-R2

Si-R2向けのIPsecインターフェースの名前(任意)を設定します。

remote 1 shaping on 2m

シェーピングを設定します。

• on : remote 1 でシェーピングを有効にします。
• 2m : シェーピングのレートを2Mbpsに設定します。

remote 1 ap 0 name ipsec

アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。

remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを選択します。

remote 1 ap 0 ipsec type ike

IPsec情報のタイプに自動鍵交換を設定します。

remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP(暗号)を設定します。

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

自動鍵交換用IPsecの暗号情報にAES256ビットを設定します。

remote 1 ap 0 ipsec ike auth hmac-sha1

自動鍵交換用IPsecの認証情報にSHA1を設定します。

remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsecのPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。

remote 1 ap 0 ike name remote sir2
								

IKE情報の相手側装置識別情報を設定します。

remote 1 ap 0 ike shared key text ipseckey
								

IKEセッション確立時の共有鍵(Pre-shared key)を設定します。

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 tunnel local 220.220.248.2

IPsecトンネルの送信元アドレスの設定をします。

remote 1 ap 0 sessionwatch address 192.168.1.1 192.168.2.1

接続先セッション監視の設定をします。

• 192.168.1.1 : ICMP ECHOパケットの送信元IPアドレスです。
• 192.168.2.1 : ICMP ECHOパケットの宛先IPアドレスです。

remote 1 ip route 0 192.168.2.0/24 1 1

IPsecインターフェースにstatic経路を設定します。

• 192.168.2.0/24 : 宛先ネットワーク/マスクです。
• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 1 ip msschange 1300

MSS値に1300byteを設定します。

remote 1 ip priority 0 acl 0 express

IPsecインターフェースに帯域制御を設定します。

• acl 0 : 使用するaclの定義番号を指定します。
• express : 最優先データとして扱います。

remote 1 ip priority 1 acl 1 1500kbps

IPsecインターフェースに帯域制御を設定します。

• acl 1 : 使用するaclの定義番号を指定します。
• 1500kbps : 保障帯域を指定します。

remote 1 ip priority 2 acl 2 besteffort

IPsecインターフェースに帯域制御を設定します。

• acl 2 : 使用するaclの定義番号を指定します。
• besteffort : 非優先として扱います。

acl 0 ip 192.168.1.10/32 192.168.2.10/32 any any

VoIP装置間の通信をacl 0に登録します。

• 192.168.1.10/32 : 送信元ネットワーク/マスクです。
• 192.168.2.10/32 : 宛先ネットワーク/マスクです。
• any : プロトコルです。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

acl 1 ip 192.168.1.20/32 any any any

サーバをacl 1に登録します。

• 192.168.1.20/32 : 送信元ネットワーク/マスクです。
• any : 宛先ネットワークです。anyは全てのネットワークをaclの対象にします。
• any : プロトコル。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

acl 2 ip any any any any

VoIP装置、サーバ以外の通信をacl 2に登録します。

• any : 送信元ネットワークです。anyは全てのネットワークをaclの対象にします。
• any : 宛先ネットワークです。anyは全てのネットワークをaclの対象にします。
• any : プロトコルです。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

syslog pri error,warn,info

syslog facility 23

システムログ情報の出力情報／出力対象ファシリティの設定をします。通常はこのままで構いません。

time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。

consoleinfo autologout 8h

telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。 通常はこのままで構いません。

terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。

Si-R2設定解説

lan 0 mode auto

lan 1 mode auto

lan 0/1インターフェースの通信速度/モードをオートセンス/オートネゴシエーションに設定します。

lan 1 ip address 192.168.2.1/24 3

lan 1 IPアドレスを設定します。

• 192.168.2.1/24 : lan 1 IPアドレス/マスクです。
• 3 : ブロードキャストアドレスのタイプです。通常は3で構いません。

remote 0 name Internet

プロバイダー接続用インターフェースの名前（任意）を設定します。

remote 0 mtu 1454

Bフレッツ・フレッツADSLでは、MTU長を1454byteに設定します。

remote 0 ap 0 name PPPoE

アクセスポイントの名前（任意、remote nameと同じでも可）を設定します。

remote 0 ap 0 datalink bind lan 0

プロバイダー向けパケットの転送先をlan 0 インターフェースに設定します。

remote 0 ap 0 ppp auth send id-b@isp pwd-b@isp
								

プロバイダーの認証ID、パスワードを設定します。

remote 0 ap 0 keep connect

プロバイダーへ常時接続します。

remote 0 ip route 0 220.220.248.2/32 1 0

Si-R1への経路を設定します。

• 220.220.248.2/32 : Si-R1のグローバルアドレス/マスクです。
• 1 : metric値です。通常は1で構いません。
• 0 : distance値です。通常は0で構いません。

remote 0 ip nat mode multi any 1 5m

remote 0 でマルチNATを設定します。

• multi : マルチNATです。
• any : 変換後アドレスです。（anyの場合はppp,dhcp,インターフェースアドレスから自動的に決定されます。）
• 1 : 変換後アドレスの個数です。
• 5m : NATテーブルの保持時間です。

remote 0 ip nat static 0 192.168.2.1 500 any 500 17

静的NATを設定します。

• static : 静的NATです。
• 192.168.2.1 : 変換前アドレスです。
• 500(IKE) : 変換前ポート番号です。
• any : 変換後アドレスです。(PPPoEで割り振られたIPアドレスになります。)
• 500(IKE) : 変換後ポート番号です。
• 17(UDP) : プロトコル番号です。

remote 0 ip nat static 1 192.168.2.1 any any any 50

静的NATを設定します。

• static : 静的NATです。
• 192.168.2.1 : 変換前アドレスです。
• any : 変換前webポート番号です。
• any : 変換後アドレスです。(PPPoEで割り振られたIPアドレスになります。)
• any : 変換後webポート番号です。
• 50(ESP) : プロトコル番号です。

remote 0 ip msschange 1414

MSS値です。1414byte（1454(MTU長)-40(TCP/IPヘッダ長)）を設定します。

remote 1 name Si-R1

Si-R1向けのIPsecインターフェースの名前(任意)を設定します。

remote 1 shaping on 2m

シェーピングを設定します。

• on : remote 1 でシェーピングを有効にします。
• 2m : シェーピングのレートを2Mbpsに設定します。

remote 1 ap 0 name ipsec

アクセスポイントの名前(任意、remote nameと同じでも可)を設定します。

remote 1 ap 0 datalink type ipsec

パケット転送方法としてIPsecを選択します。

remote 1 ap 0 ipsec type ike

IPsec情報のタイプに自動鍵交換を設定します。

remote 1 ap 0 ipsec ike protocol esp

自動鍵交換用IPsec情報のセキュリティプロトコルにESP(暗号)を設定します。

remote 1 ap 0 ipsec ike encrypt aes-cbc-256

自動鍵交換用IPsecの暗号情報にAES256ビットを設定します。

remote 1 ap 0 ipsec ike auth hmac-sha1

自動鍵交換用IPsecの認証情報にSHA1を設定します。

remote 1 ap 0 ipsec ike pfs modp1536

自動鍵交換用IPsecのPFS使用時のDH(Diffie-Hellman)グループにmodp1536を設定します。

remote 1 ap 0 ike name local sir2
								

IKE情報の自側装置識別情報を設定します。

remote 1 ap 0 ike shared key text ipseckey
								

IKEセッション確立時の共有鍵(Pre-shared key)を設定します。

remote 1 ap 0 ike proposal 0 encrypt aes-cbc-256

IKEセッション用暗号情報の暗号アルゴリズムにAES256ビットを設定します。

remote 1 ap 0 tunnel remote 220.220.248.2

IPsecトンネルの宛先アドレスの設定をします。

remote 1 ap 0 sessionwatch address 192.168.2.1 192.168.1.1

接続先セッション監視の設定をします。

• 192.168.2.1 : ICMP ECHOパケットの送信元IPアドレスです。
• 192.168.1.1 : ICMP ECHOパケットの宛先IPアドレスです。

remote 1 ip route 0 192.168.1.0/24 1 1

IPsecインターフェースにstatic経路を設定します。

• 192.168.1.0/24 : 宛先ネットワーク/マスクです。
• 1 : metric値です。通常は1で構いません。
• 1 : distance値です。通常は1で構いません。

remote 1 ip msschange 1300

MSS値に1300byteを設定します。

remote 1 ip priority 0 acl 0 express

IPsecインターフェースに帯域制御を設定します。

• acl 0 : 使用するaclの定義番号を指定します。
• express : 最優先データとして扱います。

remote 1 ip priority 1 acl 1 1500kbps

IPsecインターフェースに帯域制御を設定します。

• acl 1 : 使用するaclの定義番号を指定します。
• 1500kbps : 保障帯域を指定します。

remote 1 ip priority 2 acl 2 besteffort

IPsecインターフェースに帯域制御を設定します。

• acl 2 : 使用するaclの定義番号を指定します。
• besteffort : 非優先として扱います。

acl 0 ip 192.168.2.10/32 192.168.1.10/32 any any

VoIP装置間の通信をacl 0に登録します。

• 192.168.2.10/32 : 送信元ネットワーク/マスクです。
• 192.168.1.10/32 : 宛先ネットワーク/マスクです。
• any : プロトコルです。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

acl 1 ip any 192.168.1.20/32 any any

サーバをacl 1に登録します。

• any : 送信元ネットワークです。anyは全てのネットワークをaclの対象にします。
• 192.168.1.20/32 : 宛先ネットワーク/マスクです。
• any : プロトコルです。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

acl 2 ip any any any any

VoIP装置、サーバ以外の通信をacl 2に登録します。

• any : 送信元ネットワークです。anyは全てのネットワークをaclの対象にします。
• any : 宛先ネットワークです。anyは全てのネットワークをaclの対象にします。
• any : プロトコルです。anyは全てのプロトコル番号をaclの対象にします。
• any : tos値です。anyは全てのtos値をaclの対象にします。

syslog pri error,warn,info

syslog facility 23

システムログ情報の出力情報／出力対象ファシリティの設定をします。通常はこのままで構いません。

time zone 0900

タイムゾーンを設定します。通常はこのままで構いません。

consoleinfo autologout 8h

telnetinfo autologout 5m

シリアルコンソール、TELNETコネクションの入出力がない場合のコネクション切断時間を設定します。 通常はこのままで構いません。

terminal charset SJIS

ターミナルで使用する漢字コードをShift JISコードに設定します。