LAN内のVPNサーバにアクセス

質問

最終的には、図の2段目のルーター(YAMAHA RTX810)にインターネットからL2TPでアクセスしたいと思います。

…とはいえ、いきなりインターネット越しに設定するのはハードルが高いかと思い、まず図の中の[PC]からRTX810にL2TPで接続したいと思います。

ざっと設定を終えて、アクセスしたところ。

・[PC]がWindows7の場合、エラー789「リモートコンピュータと最初にネゴシエートするときにセキュリティ層でエラーが検出されたため、接続に失敗しました。」

・[PC]がMacの場合は、「L2TP-VPNサーバが応答しませんでした」

ついでに図の中のiPhone(WiFi接続)の場合も「L2TP-VPNサーバが応答しませんでした」

という結果になりました。

基本的には
http://jp.yamaha.com/products/network/solution/smartphone/vpn-smartphone-setup_rtx810_gui/
の設定（L2TP/IPsecの設定以降）をそのまま設定しています。

ヤマハに電話したところ、モバイル用のL2TP機能なので、PCでアクセスするのは想定外のためサポートしかねますということでした。

どなたか詳しい方がいらっしゃったらご教授いただけませんでしょうか。

回答No.4

nnori7142 · ベストアンサー

先ず基点ルーターへポート解放にて、UDP500とUDP4500、espパケット、UDP1701ポートをRTX810のWAN側固定IP宛に転送設定するか、DMZ設定でRTX810のWAN側ポートへ転送するように設定します。
　簡単なのは、基点ルーターへDMZ設定で192.168.253.40登録＋スタティックルート設定で宛先アドレス（192.168.30.0/24）とNexthopゲートウェイ（192.168.253.40）を登録しておきます。
　RTX810側は、WAN側固定ですので、NetvolanteDNSは効かない筈ですので、L2TP-IPSECのモードを3DES-CBCとHMAC-SHAでOKです。コマンドから「ipsec ike nat-traversal 1 on」、 「ipsec transport 1 101 udp 1701」、「ipsec auto refresh on」の登録、「l2tp service on」の登録をします。
　それと重要なのが、RTX810のポート解放設定（IPSECパススルー）設定が必要ですが、「nat descriptor masquerade static 1 1 192.168.30.1 esp」、「nat descriptor masquerade static 1 2 192.168.30.1 udp 500」、「nat descriptor masquerade static 1 3 192.168.30.1 udp 4500」が必要かと存じます。
　因みに外部からのアクセスには、グローバル固定IP若しくは、DDNSドメインが必要ですが、NetvolanteDNSは働かないので、基点ルーターの方にDDNS取得更新機能がある場合には、基点ルーターの方にてDDNS取得更新設定を実施します。　※RTX810のファームウェアは最新版適用にて願います。

お礼

ありがとうございます。
ずいぶん時間がたちましたが、基本的にはDMZで解決できました。

回答No.5

nnori7142

追加補足・時間経過での投稿ですが、Windows7&8の場合ですが、OS側の仕様変更の関連で、3desモードでの接続トンネル設定の場合、不安定・接続不能といったケースもある様です。
　表題の788及び789エラーは、3desモードだった際によく出るエラーの様ですので、aesモードのトンネルと、WindowsXPが介在する場合には、3desモードのトンネルを作成して下さい。
　例えば、トンネル1には「ipsec sa policy 101 1 esp aes-cbc sha-hmac」、トンネル2には「ipsec sa policy 102 2 esp 3des-cbc sha-hmac」といった具合になるかと存じます。
　それぞれのトンネル毎の接続ID＋パスワードも作成して下さい。
　あと、l2tpの接続モードを常時接続ではなく、時間切断にして下さい。
　例えば、「l2tp tunnel disconnect time 600」等になりますが、長時間での接続の場合、切断しても接続履歴が残留し、切断状態にならず再接続されない場合もあります。

回答No.3

Donotrely

No.2 Donotrelyです。

すみません、No.2の情報の下の方を見たら、
最新のファームではNATトラバーサルに対応し、接続できたという証言がありました。

ファームウェアを最新にされてはいかがでしょぅか？
もちろんターゲットはスマホみたいですから、必ずつながるとは言えないのでしょうけど、
NATトラバーサル問題は取り除かれたことになります。

ただあくまでも感触ですが、ヤマハも結構応急処置的に作業した可能性があり、
評価はスマホしかやってないとか、そういうこともあり得なくもありません。
そういう意味で「PCでアクセスするのは想定外」と断ったのかもしれません。

回答No.2

Donotrely

No.1 Donotrelyです。

ソースとしてはあまりパッとしませんが、下記のような情報がありました。

http://blog.glanz-company.com/?p=775
＞NATトラバーサルに未対応（RTX1200モデルのみでの対応）

仮に上記の情報が正しいとしたら、
PC側のNATトラバーサルを解除して繋げばつながる可能性はあります。

もっともそれが繋がったとしても、原因の確認ができたというだけの話ですけどね。
インターネット側からの接続では、
NATトラバーサルができなければ、一般人ユーザでは繋ぎようがありません。

ファームウェアの更新によるNATに期待するしかないのではないでしょうか？
ヤマハ次第ということになります。

回答No.1

Donotrely

詳しくは分かりませんが、Windowsのファイアウォールを無効化してやってみてはどうでしょう。

ポートがブロックされていたりすれば認証段階でエラーが起きたり無反応になったりしても不思議ではありません。
それで成功すれば、ファイアウォールを有効化し、個別に設定すればいいと思います。

補足

他所へのL2TPは問題ありませんので、クライアントのファイアウォール問題ではないと思われます。
念のため、Windowsファイアウォール、セキュリティソフトのファイアウォールを切ってみたしたが、状況は変わりません。
VPNサーバー(RTX810)の設定の問題かと思います。