セグメント越の印刷

質問

知識不足でおかしなことを書いていたらすみません。

プリンタサーバが、現在１セグメントからしか見れず、
全部で３セグメントからプリント出来るようにしたいのです。
そこでルータを使用して設定できないかと考えています。
※現在はサーバにNICを３枚挿すという方法ですが、少し問題があるので。。

全てWindows2000環境です。
(1)ネットワーク　172.16.211.0
　サブネットマスク　255.255.255.0

(2)ネットワーク　192.168.1.0
　サブネットマスク　255.255.255.0

プリンタサーバは192.168.1.5に設定しています。

(1)から(2)のプリンタサーバを認識して、かつ(1)と(2)は
それ以外の共有など一切出来ないようにしなくてはなりません。

ルータはプラネックスのBRL-04Nを使用します。

ルータのWAN側を
(1)と同じセグメントで172.16.211.42としました。
LAN側を(2)と同じセグメントで192.168.1.1としました。
ローカルサーバに（サーバを公開する機能）
192.168.1.5としてポートを515と設定しました。

その後(1)のローカルPCより(2)セグメントを認識するため
コマンドで
route add 192.168.1.0 mask 255.255.255.0 172.16.211.42 metric 1
と打ちました。
同じローカルPCで、プリンタのTCP/IPポート設定で
172.16.211.42として、
ポートの構成をLPRと選択しました。
ポート名は、プリンタサーバに設定してあるポート名を入れ、
キュー名は、良く意味がわからず、プリンタの商品名を入れておきました。

結果として、まずルータが(1)ネットワーク内で認識出来ませんでした。
ローカルPCからpingが通りません。
印刷も全く出来ません。
ケーブルの接続にも問題があるのでしょうか？
よろしくお願いします。

回答No.2

you-m · ベストアンサー

Windows関連の環境について、説明が無いので決め打ちになります。

案１
Windowsのドメインを構築します。
二つのネットワークの両者が、同じドメインに所属しているなら、グループを作成しそれぞれネットワーク毎にユーザを振り分けます。
データに関しては、そのグループ単位できっちりアクセス制御を行います。
プリンタについては、プリントサーバまでIPによる通信ができればよいわけで、どちらからも普通に使えます。

案２
Windowsのドメインを2つ構築します。
データ共有も含めて、完全に別々にログオンさせるため、ドメインを跨ったデータ共有は、管理者がそのような設定変更をしない限りできない。
プリンタについては、案１と同様普通に接続できる。

案３
今思い出したのですが、ルータにて制限するならば、destアドレスがプリントサーバのアドレスのみ通信を許可するようなフィルタを定義する方法があります。
セキュリティを重視する向きには良く使われる方法ですが、のちのち運用が面倒になる事が多いので、管理者は結構嫌がります。私も嫌いです（笑）
また、一般的なLAN間ルータならば何の問題もないこの設定も、ブロードバンドルータできちんと実現可能かどうかが不明です。もともとLAN間ルータとして設計されたわけではありませんから、挙動については調査が必要でしょう。

１、２のやり方は、WindowsのACLを使って互いのデータは見られないようにしようという考え方です。
従って、この認証の手の届かない部分の制限はできません。
例えば、利用者が勝手にFTPサーバを立てて、サブネットを跨ってデータ共有をしてしまうなどです。
もっとも、このような利用者がいるとすれば、モラルに問題があるといえますが。

そもそも、データのやり取りがどのような物をさしているのかが今もって不明なので、とりあえずこのような前提で回答してみました。

一つだけ、注意すべきなのは場当たり的に簡単な方法で逃げるべきではないという事です。
先々、きちんと運用していけるよう全体を視野にいれて、方法を考えないと、半年後・1年後、あるいは2年後に泣く可能性大です。

お礼

何度も丁寧に回答を頂いてありがとうございました。
データのやり取り、というのはネットワークが見られないこと、ということです。現在業務用の回線を専用線で引いており、不用意にインターネットから専用線内が見られることのないようにとの取決めになっております。私の知識不足により確かな説明が出来なくて申し訳ありません。

現在、既に暫定的な方法（ファイルサーバにネットワーク分のNICを挿してプリンタを共有にしている→サーバの不具合で印刷が出来なくなる）をとったため、色々と不都合が出ていたのですが、本業の合間に行う作業のため、場当たり的な設定であったことは否めません。

というわけでドメイン構築について勉強しながら、案１と２についてまず検討してみようと思います。
案３も、こちらの環境で問題が少ないようであれば試してみたいと思います。
重ね重ねありがとうございました。

回答No.1

you-m

いろいろ質問の意味がわからない部分があるので、回答としては的外れになる可能性はありますが・・・。

不明点
１．セグメントという言葉の意味が正しくないと思われる。
　この場合は、サブネットでいいのでは？
２．３つセグメントがあると言っているが、2つしか出てこない。
３．わざわざ、簡易F/Wまで使って環境を分けようとしてる理由が今ひとつ不明。より上位のアプリで認証などを利用して、分けるほうが現実的なのでは？

問題点
１．間にはさんでいるのは、F/W機能付きのブロードバンドルータのようだが、これをはさんで且つポートも制限した上で、pingが通るはずは無い。
２．LPR印刷は受け付けポートこそ515だが、データセッション用のポートは動的に決定されるので、フィルタの設定をかなりザルにしない限り、この構成はそもそも不可能。
３．キュー名は適当に設定していいものではないので、プリントサーバのマニュアルを読まなければならない。

とまあ、こんなところでしょうか。
回答というより、コメントですね。

補足

回答ありがとうございます。
不明点について補足します。
1.申し訳ありません。１つのネットワークという意味で使っていました。
2.ややこしくなってすみません。実際は３つあるのですが、２つのネットワークでテストをしているため、このように書きました。
3.実は字数制限で落としている内に理由も省いてしまいました。業務上、ネットワーク間ではデータのやり取りを行ってはならないという約束事があるため、プリンタのみ使用できるようにしなくてはならない、ということです。
問題点については、３はともかく、１と２からすると、プリント機能のみを共有するというのは無理がありそうですね。
図々しいのを承知で再度、お伺いしたいのですが、「上位のアプリで認証などを利用して～」というのは、考え方としてどうすることなのでしょうか。
印刷をするためには？と考えたのですが、アプリは何を使うのかというのがわかりません。
よろしくお願いします。