IPアドレスが３個しかないよぉ...
Mitsuhiko Hojo
職場で小規模なLANを構築するよう指示を受けいろいろ悩んでいます。
まず、簡単に状況を説明します。
そもそも職場には、イーサーケーブルによる安価なLANが構築されており、
Windows Network(SMB)を利用したファイル共有やプリンタ共有、あるいはTCP/IPによる
Mailやftp、WWWが自由に利用できるようになっています。
ところが、自分いるフロア内のPCの数が200を越え、セグメント内でのIPアドレスが
枯渇しはじめてしまいました。
そんなところへ、大量のネットワーク機器をテストしなければならなくなるという話
が持ち上がり、１～２ヶ月後には、完全にIPアドレスが枯渇することが判明しました。
そこで、対策として、
(1) そもそもテストを目的とするので、HUBとイーサーケーブルによる小規模な
LANを構築すればよい。(外部との接続は基本的に不要)
⇒ IPアドレスは、プライベートアドレス(192.168.0.1～192.168.255.255)
を割り当てる予定。
(2) しかし、ネットワーク経由でメンテナンスやテストが出来ると便利。そこで
既存のLANと接続を行うGatewayを数箇所も受けたい。
⇒ NICを二枚挿入し、Telnetdを立ち上げて対応する予定。
⇒ OSは未定
(3) ついでに、IPアドレスの枯渇からネットワークに接続することが出来ていない
協力会社の方々もこのLANに接続して利便性を向上したい。
⇒ Proxy Server、IPマスカレードを利用
(4) 予算はとりあえず１万円くらい。(ほんとに職場用LANかいな。しくしく）
⇒ HUB、PC、NIC、イーサーネットケーブル、OSは十分にある
という大方針が決定されました。
しかし、やはりいろいろ疑問は発生します。
(1) 既存のLANとプライベートLAN間で、ファイルやプリンターの共有が出来ないのでは？
(2) IPマスカレードを導入するには、Linuxが必要。でも管理が出来る人が限られてしまう。
なんとかWindows-NTで出来ないかなぁ...
(3) そもそも物理的にネットワークを分離する必要はないのでは？
⇒ 同一LAN上に、既存のIPアドレスとプライベートアドレスが流れても良いのでは？
⇒ でも、Subnet Maskはどんなふうに設定したら良いのだろう？
などなど、そもそものポリシーが不安になるような心配ごとばかり。
なんか良い知恵ありませんか？上記疑問に対する解答でも大歓迎です。
よろしくお願いします。
---
hojo
mura
RFC(1918) で
192.168.0.0/16(192.168.0.0-192.168.255.255)
172.168.0.0/12(172.16.0.0-172.31.255.255)
10.0.0.0/8(10.0.0.0-10.255.255.255)
をプライベート空間と定めていますね。
ですので172.16.0.0/16(SubnetMask 255.255.0.0)のアドレス空間使えばよろし
いかと... トラフィックが気になるようでしたらスイッチング HUB を導入される
のが良いです。LANの場合特別な理由がない限り NAT(Proxy) 等を入れる必要はな
いです。
部署別に3番目を分離すれば管理も楽になりますね。
--
MURA
http://www.murashima.matsudo.chiba.jp
mailto:mu...@murashima.matsudo.chiba.jp
Keisuke Takayama
Mitsuhiko Hojo <ho...@ceres.dti.ne.jp> writes:
MH> (2) IPマスカレードを導入するには、Linuxが必要。
MH> でも管理が出来る人が限られてしまう。
MH> なんとかWindows-NTで出来ないかなぁ...
WindowsNT で七転八倒するよりも
UNIX で七転び八起きしたほうがましです。
UNIX とその眷属の運用ノウハウはあとでいくらでも応用がききますが
WindowsNT のノウハウは WindowsNT でしか通用しないものが少なくありません。
ネットワークアドレス/ポート番号変換機構が必要なのであれば
UNIX を使わず専用装置を購入するという手段もあります。
MH> (3) そもそも物理的にネットワークを分離する必要はないのでは？
MH> ⇒ 同一LAN上に、既存のIPアドレスとプライベートアドレスが
MH> 流れても良いのでは？
MH> ⇒ でも、Subnet Maskはどんなふうに設定したら良いのだろう？
別にかまいませんが、
実験用ネットワークと実用ネットワークを混在させるのは
トラブルシュートを困難にさせるだけなのでやめたほうが無難です。
--
高山 啓介 Keisuke TAKAYAMA <ta...@cyber-magic.org> <ta...@magic.uinet.or.jp>
検索用母集団としての用途以外この記事の全文引用を禁じます。
Naoyuki Mori
Mitsuhiko Hojo wrote:
> (1) そもそもテストを目的とするので、HUBとイーサーケーブルによる小規模な
> LANを構築すればよい。(外部との接続は基本的に不要)
> ⇒ IPアドレスは、プライベートアドレス(192.168.0.1～192.168.255.255)
> を割り当てる予定。
特に問題ないでしょう
> (2) しかし、ネットワーク経由でメンテナンスやテストが出来ると便利。そこで
> 既存のLANと接続を行うGatewayを数箇所も受けたい。
> ⇒ NICを二枚挿入し、Telnetdを立ち上げて対応する予定。
> ⇒ OSは未定
”Gatewayを数箇所も受けたい。”が、”Gatwayを数箇所設けたい”だと解釈して、、、、
なんで複数いるの？１個有れば十分だと思いますが、、、？
というより、２つのネットワーク間に複数のGatwayが有っても
問題は無いんですが、その分、ただでさえ不足しているアドレスを
消費しますから、普通はしないと思います。
Telnetdをたちあげても、Gatwayにはなりませんが、、、、routedの事？
NTでもできますが、メンテナンス、パフォーマンス、安定性から、
個人的には、FreeBSDをお勧めします。
また、専用のルータと比べて、性能は劣ると認識しておいてください。
> (3) ついでに、IPアドレスの枯渇からネットワークに接続することが出来ていない
> 協力会社の方々もこのLANに接続して利便性を向上したい。
> ⇒ Proxy Server、IPマスカレードを利用
実験用のネットワークに接続する事自体あまり、お勧めでは有りません。
特に外部に出なくてよければ、この手の設定はしなくて良いと思います。
外部接続はあきらめるくらいに割り切った方がお手軽です。
> (4) 予算はとりあえず１万円くらい。(ほんとに職場用LANかいな。しくしく）
> ⇒ HUB、PC、NIC、イーサーネットケーブル、OSは十分にある
ほとんど何もできない金額ですが、、、、
一部のＰＣは元の用途に使えなくなりますがかまわないんですね。
また、普通、ＮＴライセンスがあまっているとは思えませんが、
メディアが有るからやるというのは違法です。
必然的に、ＦｒｅｅＢＳＤやＬｉｎｕｘを選択する事になると思います。
> (1) 既存のLANとプライベートLAN間で、ファイルやプリンターの共有が出来ないのでは？
そんな事はないです。設定次第で、Gatwayは越しでの出力は行なえます。
> (2) IPマスカレードを導入するには、Linuxが必要。でも管理が出来る人が限られてしまう。
> なんとかWindows-NTで出来ないかなぁ...
普通の人は管理する必要は有りませんから、特に問題ないと思います。
NTで余計な苦労を背負い込む必要はないと思います。
何がしたいのか良く分かりませんが、一般的なWWWやメール程度なら
社内にメールサーバとＰｒｏｘｙサーバを設ければ、
ＩＰマスカレードは必要無い様な気がしますが、、、、
> (3) そもそも物理的にネットワークを分離する必要はないのでは？
> ⇒ 同一LAN上に、既存のIPアドレスとプライベートアドレスが流れても良いのでは？
かまいませんが、同じＬＡＮ上に有っても相互に通信できません。
これを解消するには、Gatway（または相当する機能を持ったスイッチ類）が必要です。
トラフィックに問題が起きる可能性もありますから、
機器に余裕が有るなら分けておく方が良いと思います。
（VLAN機能を持つスイッチを導入するなんてのが普通だと思いますが）
> ⇒ でも、Subnet Maskはどんなふうに設定したら良いのだろう？
サブネットマスクだけではどうにもなりません。
こんなかんじじゃないでしょか？
森 直行
Mitsuhiko Hojo
今、手元に届いているのは、森さん、muraさん、高山さん、及び、メールにて村上さんです。
みなさんアドバイスありがとうございます。参考になります。
Naoyuki Mori wrote:
> > (2) しかし、ネットワーク経由でメンテナンスやテストが出来ると便利。そこで
> > 既存のLANと接続を行うGatewayを数箇所も受けたい。
> > ⇒ NICを二枚挿入し、Telnetdを立ち上げて対応する予定。
> > ⇒ OSは未定
>
> ”Gatewayを数箇所も受けたい。”が、”Gatwayを数箇所設けたい”だと解釈して、、、、
> なんで複数いるの？１個有れば十分だと思いますが、、、？
すみません。日本語間違っていますね。指摘のとおりです。
で、なんで複数いるかといえば、要するに、Windows Networkの問題です。
ファイル共有やプリンターサーバーを両方の真ん中に置いてしまえば、
面倒臭い作業（Routerの管理だの、利用者の教育だのといったこと）から逃れら
れるのではないかと考えたからです。
> Telnetdをたちあげても、Gatwayにはなりませんが、、、、routedの事？
ん？グローバルアドレス空間からプライベートアドレス空間上に存在する
ホストにloginするには、一旦、足場となるマシンが必要と思ったのですが、
あってますよね？
> NTでもできますが、メンテナンス、パフォーマンス、安定性から、
> 個人的には、FreeBSDをお勧めします。
> また、専用のルータと比べて、性能は劣ると認識しておいてください。
性能は問題ありません。実は、ネットワーク機器のテストで問題が生じたときに
遠隔地にいる設計者が確認作業を出来るようにするのが目的です。
パフォーマンスが良いに超したことはありませんが、多少、悪くったって、
新幹線で何時間もかけてくるよりはずっとマシです。
> > (3) ついでに、IPアドレスの枯渇からネットワークに接続することが出来ていない
> > 協力会社の方々もこのLANに接続して利便性を向上したい。
> > ⇒ Proxy Server、IPマスカレードを利用
>
> 実験用のネットワークに接続する事自体あまり、お勧めでは有りません。
> 特に外部に出なくてよければ、この手の設定はしなくて良いと思います。
> 外部接続はあきらめるくらいに割り切った方がお手軽です。
実験用とは行っても、既に設計段階でのテストは終わっており、私の職場でのテストは、
静電気や高温、低音、長期間動作、過負荷動作などが目的です。しかも、ネットワーク
部は単なるメンテナンス用で、これ自体のテストは、いたって単純なものです。
もちろん、この部分もテストが必要なのですが、この部分での異常というのは、まあ、
部品不良か静電破壊くらいしか事例がないので、心配はしていません。
むしろ、外部接続したい直接の理由は、メンテナンスやトラブル発生時の解析の効率化
なわけで、あきらめる訳にはいきません。
> > (4) 予算はとりあえず１万円くらい。(ほんとに職場用LANかいな。しくしく）
> > ⇒ HUB、PC、NIC、イーサーネットケーブル、OSは十分にある
>
> ほとんど何もできない金額ですが、、、、
> 一部のＰＣは元の用途に使えなくなりますがかまわないんですね。
> また、普通、ＮＴライセンスがあまっているとは思えませんが、
> メディアが有るからやるというのは違法です。
本当ですね。実は、うちの職場には、ライセンスは腐るほど余っています。
というのも、とあるテスト用の道具がMS-DOS上でしか動かない関係で、パソコンを買っ
てきては、せっせとMS-DOSをインストールしてしまうからです。
で結果、NTや95のライセンスが山済みに...
＃あれが売れれば、予算の問題なんて解消なのに。シクシク。
> 必然的に、ＦｒｅｅＢＳＤやＬｉｎｕｘを選択する事になると思います。
RedHatを選びました。二枚目のNICの認識に苦しんでおります。
> > (1) 既存のLANとプライベートLAN間で、ファイルやプリンターの共有が出来ないのでは？
> そんな事はないです。設定次第で、Gatwayは越しでの出力は行なえます。
まったくやり方が分かりません。ヒントを下さい。キーワードでも結構です調べますので。
> > (2) IPマスカレードを導入するには、Linuxが必要。でも管理が出来る人が限られてしまう。
> > なんとかWindows-NTで出来ないかなぁ...
>
> 普通の人は管理する必要は有りませんから、特に問題ないと思います。
> NTで余計な苦労を背負い込む必要はないと思います。
> 何がしたいのか良く分かりませんが、一般的なWWWやメール程度なら
> 社内にメールサーバとＰｒｏｘｙサーバを設ければ、
> ＩＰマスカレードは必要無い様な気がしますが、、、、
普通ではない、特別なグループウェアがあるんです。こいつを使えるようにしたいと
思っていたのですが、まあ、そうですね無理に導入することもないですね。
> > (3) そもそも物理的にネットワークを分離する必要はないのでは？
> > ⇒ 同一LAN上に、既存のIPアドレスとプライベートアドレスが流れても良いのでは？
>
> かまいませんが、同じＬＡＮ上に有っても相互に通信できません。
> これを解消するには、Gatway（または相当する機能を持ったスイッチ類）が必要です。
> トラフィックに問題が起きる可能性もありますから、
同じ事を、メールで村上さんも指摘して頂けました。本人の承諾は受けていませんが、
有益な情報と思いますので、転載します。
------------------ここから----------------------------------------------
一番危険な思想なので、注意が必要です。
一般的に物理的に同一のLAN上で複数のIPネットワークを運用し、
その相互接続のためにルータを設置した場合、殆どのルータでは、
不明パケットのルーティングによるブロードキャストストームが発生し、
LANの暴走状態に陥ります。
(自分でも経験しました。)
※ SUNシステム管理(ASCII) "6.5.1 ネットワーク・トラブルの例,構成上の誤り"
を参照.
------------------ここまで-------------------------------------------------
とのことだそうです。非常に残念です。
200台を越えるＰＣがあっても、その利用者の大半は、WWW、メール、ファイル共有に
プリンターなのですから、適切なサーバーさえ用意しておけば、それらのＰＣをプラ
イベートアドレス空間に移動させることが出来るのでは？と考えていました。
それによって、大量のグローバルアドレスを捻出してやろうと考えていたのですが、
ちょっと甘かったです。
---
hojo
Naoyuki Mori
Mitsuhiko Hojo wrote:
> ファイル共有やプリンターサーバーを両方の真ん中に置いてしまえば、
複数のGatwayを作る方が面倒なので、どちらかに置きましょう。
> ん？グローバルアドレス空間からプライベートアドレス空間上に存在する
> ホストにloginするには、一旦、足場となるマシンが必要と思ったのですが、
> あってますよね？
アドレスが違っていてもroutedが走っていれば、直接loginできます。
> > > (1) 既存のLANとプライベートLAN間で、ファイルやプリンターの共有が出来ないのでは？
> > そんな事はないです。設定次第で、Gatwayは越しでの出力は行なえます。
> まったくやり方が分かりません。ヒントを下さい。キーワードでも結構です調べますので。
NTサーバが動いている事を前提とすれば、
NTサーバが勝手にWINSサーバになっているはずですから、
WINSサーバを設定すれば、ネットワーク接続はできます。
あとは、LMHOSTSだったけかの設定次第だと思います。
> 普通ではない、特別なグループウェアがあるんです。こいつを使えるようにしたいと
> 思っていたのですが、まあ、そうですね無理に導入することもないですね。
ん？良く分かりませんが、TCP/IPで通信するようなタイプであれば、
Gatewayの機能やIPマスカレードの有無に関係なく接続はできると思いますが、、、、
サーバが遠隔地に有るなら、プライベートの所から接続するには、
IPマスカレードが必要になると思います。
> 一般的に物理的に同一のLAN上で複数のIPネットワークを運用し、
> その相互接続のためにルータを設置した場合、殆どのルータでは、
> 不明パケットのルーティングによるブロードキャストストームが発生し、
> LANの暴走状態に陥ります。
やはりVLANの機能を持つクラス３スイッチが必要という事ですねえ。
これでは、１００万円以上の費用が発生しますから、
ネットワークは分割した方が無難という事ですね。
#理屈上はそうならないことになってるんですけどね。
> 200台を越えるＰＣがあっても、その利用者の大半は、WWW、メール、ファイル共有に
> プリンターなのですから、適切なサーバーさえ用意しておけば、それらのＰＣをプラ
> イベートアドレス空間に移動させることが出来るのでは？と考えていました。
配線さえ分離すれば、ほぼ実現できると思います。
メールはローカルにメールサーバを置けばＯＫでしょう。
ファイル共有やプリンタ共有も同じ
ＷＷＷはＰＲＯＸＹサーバを作れば、問題ないと思います。
わけの分からないグループウエアはなんとも言えません。
--
村田製作所 IE部企画課
森 直行
Minoru Oikawa
うに思われたので消してしまいました。
Mitsuhiko Hojo (ho...@ceres.dti.ne.jp) wrote:
: 同じ事を、メールで村上さんも指摘して頂けました。本人の承諾は受けていませんが、
: 有益な情報と思いますので、転載します。
: ------------------ここから----------------------------------------------
: 一番危険な思想なので、注意が必要です。
: 一般的に物理的に同一のLAN上で複数のIPネットワークを運用し、
: その相互接続のためにルータを設置した場合、殆どのルータでは、
: 不明パケットのルーティングによるブロードキャストストームが発生し、
: LANの暴走状態に陥ります。
: (自分でも経験しました。)
いいえ、一般にはそうなりません。そんなのを一般化した常識と
して広めないで下さいまし。
うちのネットワークはグローバルな IP アドレスとプライベート
な IP アドレスが 60 以上のサブネットワークにわたって二重に振っ
てあった時期があり、OSPF ルーティングの下で共存したまま一年
以上動いていました。
ブロードキャストストームが発生するのには、幾つか特殊な条件
が必要なはずです。
# RIPv1 がそのうちの一つで有ろう事は覚えてます。
# わたし自身も昔それをやってしまった経験が有ったりして。
: 200台を越えるＰＣがあっても、その利用者の大半は、WWW、メール、ファイル共有に
: プリンターなのですから、適切なサーバーさえ用意しておけば、それらのＰＣをプラ
: イベートアドレス空間に移動させることが出来るのでは？と考えていました。
わたしがアドレスを二重に振っていたのも「プライベートアドレ
スへの移行」が目的でした。ですから、お望みの事は実施可能です。
適切な RFC に段取りが書いてありますから、それを捜して目を通
しておく事をお勧めしておきます。
RFC には「ルール」だけでなく「過去の経験」「ノウハウ」も書
いてあるですよ。
# たぶん、最低限用意すべきなのは、サーバではなくて「適切に設
#定されたルータ」。
--- mino