解決済み: ISR C1111-8pでIPv4固定IP（16個割当）の設定

FirstPeak · ‎2022-01-05

こんにちは

C1111-8PWQ(CIsco IOS 17.05.01a)モデルで、インタネット設定を行っております。

ISP契約で、固定IP(IPv4 16個)を取得し、自社サーバを利用したいと考えています。

WAN接続とプライベートIP間はNAT設定で、インタネット接続は出来ましたが、固定IP設定方法がわかりません。

（WAN接続はPPPoEではなく、Direct接続です）

固定IPを下記の構成通りに利用するためにはどうすれば良いかご教授いただきたいです。

宜しくお願いします。

cja56910tf · ‎2022-01-11

こんにちは。

表記上の問題であり、Vlan910が正であると理解しました。

ただ、それにしても、show ip int briefの status / protocol が down/downになっているのはおかしいと思います。

こちらを up / up にした上で、debug ip packet を仕掛けて、送信元：203.0.113.192　　宛先：118.XXX.YYY.193 のPingを実行してみていただけますでしょうか。また、外部公開サーバ(203.0.113.202)から118.XXX.YYY.193に対してのPingを実行も試してみていただければと思います。

また、再三になりますが、キャリアのサポートに対して問い合わせをお願いします。

WANデフォルトゲートウェイルータと図上ONUと表記している機器で、203.0.113.192/28の経路に対する何らかの制御をされていないか、設定が不足していないかを問い合わせられると良いと思いますし、図上ONUと表記している機器はポート1(LAN1)を利用されているとの事ですが、実はLAN2でないと203.0.113.192/28の経路は利用出来ないのかもしれませんので、ONUと表記している機器の利用方法も問い合わせされると良いと思います。

元の投稿で解決策を見る

FirstPeak · ‎2022-01-11

cja56910tf様

大変感謝致します。

状況の変化がありましたので、ご報告致します。

ISPへ連絡し、「ONUがパケットを通してくれない」と問合せをした結果、割当てられた「IP16個」のアドレスが、私が文書を受領した翌日に変更になっていることを判明しました。（メールで通知したとISPから云われましたが、私が見落としたのかも知れません）

変更になった「IPv4 16個」を設定し、外部と通信ができることを確認しました。

未だ、外部から固定IPへのPingは通っていませんが、これからACL等を見直し、確認したいと思っております。

「ONUの問題ではないか？」とのご指摘が有効になりました。有難う御座いました。

元の投稿で解決策を見る

cja56910tf · ‎2022-01-06

こんばんは。

何点か確認させていただきたいのですが、まず"WAN接続はPPPoEではなく、Direct接続です"とありますが、これはNTTのフレッツ回線を用いたPPPoE接続ではなく、広域イーサネットやIP-VPNなどのサービスを用いて、ルータの物理インターフェース(例えばGi0/0/0など)に直接IPアドレスを付与しているという事で良いでしょうか？

次に、203.0.113.192/28のアドレス帯からアドレスを1つ採番して、ルータのインターフェースに割り当ててあると考えて良いですか？

インターネット接続が出来ているという事なので、恐らくプライベートIP空間側をinside、WAN側の118.xxx.yyy.～側をOutsideとしてNAPTが設定されているのだと思いますが、固定IP割り当てのインターフェースにはip nat inside/outsideの設定はせずに直接IPアドレスを割り当てておけばルーティングされると思うのですが・・・

あとは、上位にあるWAN側デフォルトゲートウェイルータの方に、経路203.0.113.192/28に対するネクストホップをC1111-8pに向けておく必要があると思います

最後に、もし差し支えなければ、セキュリティ上の重要箇所はぼかした上で、show runやshow ip routeの出力結果などをアップロードしていただけると、他の方も回答をしやすいと思います。

FirstPeak · ‎2022-01-07

cja56910tf様

こんにちは。

ご回答頂き、大変有難う御座いました。

ISP回線ですが、「Nuroアクセスインターネット接続サービス」です。図上ONUと表記している機器から有線LAN ４ポートが提供され、

LAN Port1（固定IP）,LAN Port2（DHCP）のみ利用できると案内されました。現状、LAN 1と接続しています。

尚、ご指摘とおり、running-connfigを添付しますので、宜しくお願いします。

（下記表記のIPは架空です）

Building configuration...

Current configuration : 7801 bytes

!

version 17.5

hostname Router-XXXXXXXXXX

!

boot-start-marker

boot-end-marker

!

no aaa new-model

clock timezone GMT 9 0

!

ip name-server 200.0.0.XXX 200.0.0.XXY

ip dhcp excluded-address 192.168.0.0 192.168.1.20

ip dhcp excluded-address 192.168.1.71 192.168.3.255

!

ip dhcp pool HeadOfficePool

network 192.168.0.0 255.255.252.0

default-router 192.168.0.1

dns-server 200.0.0.XXX 200.0.0.XXY

!

username ooooooooooo privilege 15 secret pppppppppppppppppppppppppppppppppp

!

redundancy

mode none

!

vlan internal allocation policy ascending

!

interface GigabitEthernet0/0/0

ip address 118.XXX.YYY.232 255.255.255.192

ip nat outside

negotiation auto

!

interface GigabitEthernet0/0/1

negotiation auto

!

interface GigabitEthernet0/1/0

switchport access vlan 110

!

interface GigabitEthernet0/1/1

switchport access vlan 110

!

interface GigabitEthernet0/1/2

switchport access vlan 110

!

interface GigabitEthernet0/1/3

switchport access vlan 110

!

interface GigabitEthernet0/1/4

switchport access vlan 110

!

interface GigabitEthernet0/1/5

switchport access vlan 910

!

interface GigabitEthernet0/1/6

switchport access vlan 910

!

interface GigabitEthernet0/1/7

switchport access vlan 910

!

interface Wlan-GigabitEthernet0/1/8

switchport access vlan 110

!

interface Vlan1

no ip address

!

interface Vlan110

ip address 192.168.0.1 255.255.252.0

ip nat inside

!

interface Vlan910

ip address 203.0.113.192 255.255.255.240

!

ip http server

ip http authentication local

ip http secure-server

ip forward-protocol nd

ip nat inside source list 11 interface GigabitEthernet0/0/0 overload

ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 118.XXX.YYY.193

!

ip access-list standard 11

10 permit 192.168.0.0 0.0.3.255

ip access-list standard 91

10 permit 203.0.113.192 0.0.0.15

!

line con 0

transport input none

stopbits 1

line vty 0

login local

length 0

transport input ssh

line vty 1 4

login

transport input ssh

line vty 5 14

login

transport input ssh

!

.

!

end

cja56910tf · ‎2022-01-07

こんにちは。

情報のご開示、ありがとうございます。

「Nuroアクセスインターネット接続サービス」でしたか。であれば、ただのONUではなく何らかの設定が施された別装置ですね。

誠に申し訳ありませんが、当方は上記回線サービスの知識・経験がないので、的確な回答は難しいです。他の有識者の方からの投稿をお待ちいただければと思います。

ただ、コンフィグを拝見する限りは、当方想定と一致しており、特に問題がないように思いました。　

試しにルータから下記のPingを実行してみていただけないでしょうか。

①送信元：203.0.113.192　　宛先：118.XXX.YYY.193

②送信元：118.XXX.YYY.232　宛先：118.XXX.YYY.193

①は恐らく応答があると思いますが、もし②の応答がないのであれば、WANデフォルトゲートウェイルータが203.0.113.192/28の経路情報を保持していない可能性があります。または図上ONUと表記している機器で何らかの制御をしているのかもしれません。

ご参考にしていただければ幸いです。

FirstPeak · ‎2022-01-07

こんにちは。

ご回答を頂き、有難う御座いました。

試しにPingを実施しました。

①送信元：203.0.113.202　　宛先：118.XXX.YYY.193　-> 応答なし

②送信元：118.XXX.YYY.232　宛先：118.XXX.YYY.193　-> 応答あり

でした。

参考までですが、

③送信元：192.168.1.21　　宛先：118.XXX.YYY.193　-> 応答あり

④送信元：203.0.113.194 　宛先：118.XXX.YYY.232　-> 応答あり

⑤送信元：203.0.113.194 　宛先：118.XXX.YYY.193　-> 応答なし（上記②と同じですが・・・）

お教え頂きました、Pingケースと異なるように思えますが、

上記のPing結果が何か検討材料になりますでしょうか？

大変お手数をお掛け致しますが、宜しくお願い致します。

cja56910tf · ‎2022-01-07

こんにちは。

すみません。投稿内容を誤って記載しておりました。

【誤】

①は恐らく応答があると思いますが、もし②の応答がないのであれば

【正】

②は恐らく応答があると思いますが、もし①の応答がないのであれば

さて、Ping結果を見ますと、やはりWANデフォルトゲートウェイルータまたは図上ONUと表記している機器の問題であるように思います。

※もし可能であればdebug ip packet コマンドを仕掛けた上で、PingパケットがGigabitEthernet0/0/0から送出されている事を確認されるとなお良いと思います。

WANデフォルトゲートウェイルータはFirstPeak様の管理されているルータでしょうか？そちらの管理者に対して、当該ルータが203.0.113.192/28の経路情報を保持しているかと、ACLなどの何らかのフィルタが適用されていないかを確認いただけますでしょうか。

また、図上ONUと表記している機器はキャリアからの貸与品？かと思いますが、こちらでは何らかの制限・制約が掛かっていないかをサポート担当に問い合わせされる事をお勧めします。

FirstPeak · ‎2022-01-07

こんにちは

ご確認いただき、有難う御座いました。

debug ip packet コマンドでPingログを確認しましたが、203.0.113.194から118.XXX.YYY.193へのPingで、GigabitEthernet0/0/0を通過するのが見当たりません。

申し訳ございませんが、何か検討すべきのがあるかお教えて頂けないでしょうか？

お手数をお掛け致しますが、宜しくお願い致します。

cja56910tf · ‎2022-01-07

こんばんは。

う～ん。自発パケットだと表示されないのだろうか・・・

「送信元：118.XXX.YYY.232　宛先：118.XXX.YYY.193」のPingを実行した場合だとdebug出力が何か表示されますか？

または、プライベートIP空間のPCや外部公開サーバ(203.0.113.202)からPingを実行した場合だとdebug出力が何か表示されますか？

あと、前から気になっていたのですが、「203.0.113.192/28」というアドレス帯はキャリア(サービスプロバイダ)から提示されたアドレス帯でしょうか？このアドレス帯を使用するにあたっての注意事項など何か提示されていませんでしょうか？

"Nuroアクセスインターネット接続サービス"と"図上ONUと表記している機器"の仕様・設定が分からないので何とも申し上げようが無いですが、あとはISR C1111-8pルータのshow ip route , show ip int brief , show ip nat translationの出力が分れば解決につながるかもしれません。

FirstPeak · ‎2022-01-11

こんにちは。

遅くなりました。

＞＞「送信元：118.XXX.YYY.232　宛先：118.XXX.YYY.193」のPingを実行した場合だとdebug出力が何か表示されますか？

取得して見ました。合ってるかわかりませんが・・・

*Jan 11 08:36:48.224: IP: s=118.XXX.YYY.232 (local), d=118.XXX.YYY.193 (nil), len 100, local feature, feature skipped, NAT(2), rtype 0, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE
*Jan 11 08:36:48.224: IP: tableid=0, s=118.XXX.YYY.232 (local), d=118.XXX.YYY.193 (GigabitEthernet0/0/0) nexthop=118.XXX.YYY.193, routed via FIB
*Jan 11 08:36:48.224: IP: s=118.XXX.YYY.232 (local), d=118.XXX.YYY.193 (GigabitEthernet0/0/0), len 100, sending
*Jan 11 08:36:48.224: IP: s=118.XXX.YYY.232 (local), d=118.XXX.YYY.193 (GigabitEthernet0/0/0), len 100, output feature, feature skipped, Post-routing NAT Outside(26), rtype 1, forus FALSE, sendself FALSE, mtu 0, fwdchk FALSE

＞＞「203.0.113.192/28」というアドレス帯はキャリア(サービスプロバイダ)から提示されたアドレス帯でしょうか？このアドレス帯を使用するにあたっての注意事項など何か提示されていませんでしょうか？

キャリアから提示されたアドレスで、特に注意事項はありませんでした。

＞＞show ip route , show ip int brief , show ip nat translationの出力

Router#show ip route 
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP
       n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       H - NHRP, G - NHRP registered, g - NHRP registration summary
       o - ODR, P - periodic downloaded static route, l - LISP
       a - application route
       + - replicated route, % - next hop override, p - overrides from PfR
       & - replicated local route overrides by connected

Gateway of last resort is 118.XXX.YYY.193 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 118.XXX.YYY.193, GigabitEthernet0/0/0
      118.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C        118.XXX.YYY.192/26 is directly connected, GigabitEthernet0/0/0
L        118.XXX.YYY.232/32 is directly connected, GigabitEthernet0/0/0
　　　　　　　　　　　　２０３.0.0.0/16 is variably subnetted, 2 subnets, 2 maskes
C        203.0.113.192/28 is directly connected, vlan190
L        203.0.113.193/32 is directly connected, vlan190
C     192.168.0.0/22 is directly connected, Vlan110
      192.168.0.0/32 is subnetted, 1 subnets
L        192.168.0.1 is directly connected, Vlan110


Router#show ip int bri 
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   118.XXX.YYY.232 YES TFTP   up                    up      
GigabitEthernet0/0/1   unassigned      YES DHCP   down                  down    
GigabitEthernet0/1/0   unassigned      YES unset  down                  down    
GigabitEthernet0/1/1   unassigned      YES unset  down                  down    
GigabitEthernet0/1/2   unassigned      YES unset  down                  down    
GigabitEthernet0/1/3   unassigned      YES unset  down                  down    
GigabitEthernet0/1/4   unassigned      YES unset  down                  down    
GigabitEthernet0/1/5   unassigned      YES unset  down                  down    
GigabitEthernet0/1/6   unassigned      YES unset  down                  down    
GigabitEthernet0/1/7   unassigned      YES unset  down                  down    
Wl0/1/8                unassigned      YES unset  up                    up      
Vlan1                  unassigned      YES unset  down                  down    
Vlan110                192.168.0.1     YES NVRAM  up                    up      
Vlan190                203.0.113.193   YES manual down                  down    

Router#show ip nat translations 
Pro  Inside global         Inside local          Outside local         Outside global
udp  118.XXX.YYY.232:5124  192.168.1.83:64124    XXX.YYY.222.222:53     XXX.YYY.222.222:53
tcp  118.XXX.YYY.232:5202  192.168.1.83:59618    XXX.YYY.5.93:443       XXX.YYY.5.93:443
tcp  118.XXX.YYY.232:5193  192.168.1.83:59621    XXX.YYY.226.250:443    XXX.YYY.226.250:443
udp  118.XXX.YYY.232:5257  192.168.1.83:65349    XXX.YYY.222.222:53     XXX.YYY.222.222:53
udp  118.XXX.YYY.232:5335  192.168.1.83:62054    XXX.YYY.220.220:53     XXX.YYY.220.220:53
tcp  118.XXX.YYY.232:5261  192.168.1.83:59628    XXX.YYY.168.221:443    XXX.YYY.168.221:443
udp  118.XXX.YYY.232:5296  192.168.1.83:51427    XXX.YYY.220.220:53     XXX.YYY.220.220:53
udp  118.XXX.YYY.232:5313  192.168.1.83:51080    XXX.YYY.220.220:53     XXX.YYY.220.220:53
tcp  118.XXX.YYY.232:5271  192.168.1.83:53083    XXX.YYY.46.4:443       XXX.YYY.46.4:443
udp  118.XXX.YYY.232:5312  192.168.1.83:64966    XXX.YYY.220.220:53     XXX.YYY.220.220:53
tcp  118.XXX.YYY.232:5191  192.168.1.83:53065    XXX.YYY.31.163:80      XXX.YYY.31.163:80
udp  118.XXX.YYY.232:5250  192.168.1.83:59080    XXX.YYY.222.222:53     XXX.YYY.222.222:53
udp  118.XXX.YYY.232:5341  192.168.1.83:51121    XXX.YYY.220.220:53     XXX.YYY.220.220:53
udp  118.XXX.YYY.232:5255  192.168.1.83:62153    XXX.YYY.222.222:53     XXX.YYY.222.222:53
udp  118.XXX.YYY.232:5319  192.168.1.83:53818    XXX.YYY.220.220:53     XXX.YYY.220.220:53
tcp  118.XXX.YYY.232:5251  192.168.1.83:53062    XXX.YYY.136.9:443      XXX.YYY.136.9:443

お手数をお掛け致しますが、宜しくお願いいたします。

cja56910tf · ‎2022-01-11

こんにちは。

以前ご提示いただいたshow run の出力では、203.0.113.192が割り当てられているSVIは Vlan910となっていました。

～抜粋～

interface Vlan910

　ip address 203.0.113.192 255.255.255.240

しかし、今回ご提示いただいたshow ip int briefの出力結果では、Vlan910が存在せず、代わりにVlan190が存在し、それに対して203.0.113.193が割り当てられています。そして、そのインターフェースはdownしている状態です。

203.0.113.193を割り当てる(利用される)VLANは、190と910のどちらが正しいのでしょうか？

また、それを送信元にしてPingを実行する場合は、SVIがup/upになっている必要があります。

コンフィグやケーブル結線など、今一度見直しをしていただければと思います。

FirstPeak · ‎2022-01-11

こんにちは。

大変失礼しました。

ご指摘のVlan190↔Vlan910のい違いは、マスク過程で起きった単純ミスです。

同じ物としてご覧頂ければと思います。

cja56910tf · ‎2022-01-11

こんにちは。

表記上の問題であり、Vlan910が正であると理解しました。

ただ、それにしても、show ip int briefの status / protocol が down/downになっているのはおかしいと思います。

こちらを up / up にした上で、debug ip packet を仕掛けて、送信元：203.0.113.192　　宛先：118.XXX.YYY.193 のPingを実行してみていただけますでしょうか。また、外部公開サーバ(203.0.113.202)から118.XXX.YYY.193に対してのPingを実行も試してみていただければと思います。

また、再三になりますが、キャリアのサポートに対して問い合わせをお願いします。

WANデフォルトゲートウェイルータと図上ONUと表記している機器で、203.0.113.192/28の経路に対する何らかの制御をされていないか、設定が不足していないかを問い合わせられると良いと思いますし、図上ONUと表記している機器はポート1(LAN1)を利用されているとの事ですが、実はLAN2でないと203.0.113.192/28の経路は利用出来ないのかもしれませんので、ONUと表記している機器の利用方法も問い合わせされると良いと思います。

FirstPeak · ‎2022-01-11

cja56910tf様

大変感謝致します。

状況の変化がありましたので、ご報告致します。

ISPへ連絡し、「ONUがパケットを通してくれない」と問合せをした結果、割当てられた「IP16個」のアドレスが、私が文書を受領した翌日に変更になっていることを判明しました。（メールで通知したとISPから云われましたが、私が見落としたのかも知れません）

変更になった「IPv4 16個」を設定し、外部と通信ができることを確認しました。

未だ、外部から固定IPへのPingは通っていませんが、これからACL等を見直し、確認したいと思っております。

「ONUの問題ではないか？」とのご指摘が有効になりました。有難う御座いました。

cja56910tf · ‎2022-01-11

こんにちは。

情報共有連絡ありがとうございます。

文面を拝読するに、完全解決にはまだ至っていないようですが、被疑箇所が特定され解決に向かいそうである事が分かり、大変喜ばしく思っています。

多少なりともお役に立てたのであれば幸いです。