CISCO 2514

CISCO が家にやってきた

そもそもの始まりは勤務先の近所にあるコンピュータショップのジャンクセールで CISCO 2514 を見つけたことだ。 この機種は小規模オフィスなどでのリモートアクセス用という位置付けで普通に買えばン十万円という製品である。 専用線などで使う同期シリアルとLAN用のEthernetポートがそれぞれ2系統ずつあるので、インターネットゲートウェイ/ファイアウォールを構成するのに適している。 同期シリアルポートは自宅の ADSL インターネット接続では無用の長物であるが、LAN ポートが二つあるので公開サーバ用のスクリーニング・ルータとして使おうという腹である。 自宅のサーバシステムは ADSL ルータ(Prestige 314)の SUA 機能を用いてサーバ公開をしていて、特定ポートのみアクセスを許可しているが、 公開ポートについて更に細かなフィルタ設定をするとなると色々と制限があるのだ。 クライアント機のセキュリティは ADSL ルータの NAT 機能である程度確保されているので、公開サーバのみをスクリーニングの対象としたい。

何はともあれ初期化

中古品ということは何処ぞで使用されていたわけで、既になんらかの設定がされている訳だ。 IP アドレスの設定もわからないとなると、シリアルコンソール経由で操作するしかない。 コンソールから各種設定のため管理モードに移行するにはパスワードが必要になるのだが、当然ながらそんなものは判らない。 というわけで下記のページで説明されている方法で強制的に初期化を試みる。 そこにも書かれている通り無保証なので、同じように実行して失敗しても私や紹介サイトの管理人に文句は言わないように。

ネットワーク計画

目的

CISCO 2514 を公開サーバ用のスクリーニングルータとして導入する。

            | LINE(Internet)
    +-------+--------+
    |   ADSL modem   |
    |    [ LAN ]     |
    +-------+--------+
            | 10BASE-T(PPPoE)
    +-------+--------+
    |    [ WAN ]     |
    |  Prestige 314  |
    |    [ LAN ]     |
    +-------+--------+
            | 192.168.1.1
            |                                        192.168.1.0/24
    --------+------+-------------------------+-------------------
                   |                         |
                   |0.0.0.0                  |192.168.0.3〜
          +--------+--------+        +-------+---------+
          |    [ LAN1 ]     |        | クライアント機  |
          |   CISCO 2514    |        +-----------------+
          |    [ LAN2 ]     |
          +--------+--------+
                   |0.0.0.0
                   |                            
  -----------------+--------------------------+-------------
                                              |
                                              |192.168.1.2
                                     +--------+--------+
                                     |    公開サーバ   |
                                     +-----------------+

この図を見て、すぐに気付かれた方も多いと思うが、通常のファイアウォールとは公開サーバとクライアント機の位置が逆である。 一般的なファイアウォール構成ではインターネット側のセグメントは DMZ として、ここに公開サーバやアプリケーションゲートウェイ(proxy)を設置するのだ。 もちろん公開サーバと同じセグメントにクライアント機を置いても良いが、個人使用での利便性を優先している。 この辺りが個人使用ならではのアンビバレンツなところ。

ルータの両側は別々のネットワークグループとするのが一般的であるが、そうすると Prestige 314 の SUA(NAT) 機能が使えなくなってインターネットとの接続ができない可能性がある(未確認)。 元々スクリーニングを導入する必要性が薄いので、こうしておけば現在の ADSL ルータと公開サーバ機などの設定を一切変更せずに導入できるというのがみそだ。 要するに真面目には考えていないのだ。

CISCO 2514 の設定

スクリーニングのために IP フィルター機能を持つブリッジとして設定する。