BHR-4GRV で PPTP サーバー構築

質問

LAN内に共有領域を設置し、LAN外部からこの共有領域にアクセスできるようにし、
かつLAN外部のPCからこの共有領域に対しネットワークドライブを割り当てる事を
めざしています。

実際の使用シーンとしては、友人やグループなどが同一のワードやエクセルファイル
に対し、添削や加筆を行う、といったイメージです。

これに関し、関連した質問をさせて頂いたところ、LAN外部のPCがLAN内部の共有領域
に対しネットワークドライブを割り当てる機能を持たせるには、LAN内部にVPNサーバ
を設置する必要がある、との事でしたので、現在は以下のようなネットワーク構成に
落ち着きました。

＜現在のネットワーク構成＞

　　KDDIホームGW　　ルータ兼PPTPサーバ　　無線LAN AP

192.168.0.1 192.168.0.254 　　192.168.2.XXX
　　┌─────┐　　┌─────┐　　　　┌─────┐
　　│ 　　　　　　　│　　│　　　　　　　 │　　　 │　　　　　　 　│
　　│ BL900HW　├─┤ BHR-4GRV├─┬─┤ WR9500N │
　　│　　　　　　 　│　　│　(DMZ) 　 │　　│　│　　　　　　　│
　　└─────┘　　└──┬──┘　　│　└─────┘
　　　　　　　　　　　　　　　　　　　│　　　　　 　│
　　　　　　　　　　　　　　　┌──┴──┐　　│ 　┌───────┐
　　　　　　　　　　　　　　　│ USB HDD │　　├─┤ LS-WX4.0TL/R1│
　　　　　　　　　　　　　　　└─────┘　　│ 　└───────┘
　　　　　　　　　　　　　　　　　　　　　　　　　　　│　　　　　　BuffaloのNAS
　　　　　　　　　　　　　　　　　　　　　　　　　　　│
　　　　　　　　　　　　　　　　　　　　　　　　　　　│ 　┌───────┐
　　　　　　　　　　　　　　　　　　　　　　　　　　　└─┤　自作サーバ　 │
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　└───────┘
　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 Webサーバ＆DNSサーバ

　ａｕひかりを使っている関係上、ルーター機能を有するホームＧＷ（ここでは
　BL900HW）が必須なので、２重ルーターになるのですが、Buffalo の BHR-4GRV
　という有線ブロードバンドルータをDMZ領域においています。BHR-4GRV には
　PPTPサーバ機能があるので、これを活用しています。
　BHR-4GRV の USB 端子に USB HDD を接続し、上記の共有領域にはこの HDD を
　割り当てています。

　その後段の NEC の無線ルータ（WR9500N）は、ルータ機能を停止し無線LANの
　アクセスポイントモードに特化した使い方としています。また WR9500N には
　Biglobe DDNS 機能をサポートしているので、PPTPサーバー構築の際の DDNS
　はここで対応しています。

　更に、LAN 内部に自作のホームページ公開用の Web サーバ をおいていますが、
　ここにはホームページにLAN内部からも http:// 形式でアクセスできるように
　LAN 内部用のDNS サーバー機能も持たしています。

＜現状できているところと解決すべき問題点＞

　(1)BHR-4GRV の PPTP サーバーの設定で、以下のような設定をする。
　　 この時、LAN外部のPCからは問題無くVPN（PPTP）接続が成功する。

　　　(a)サーバーIPアドレス、クライアントIPアドレスとも「自動設定」にする。

　　　(b)DNSサーバーのIPアドレスは、「ブロードステーションのLAN側IPアドレス」
　　　　 とする。（BHR-4GRV の設定画面では、BHR-4GRV の事をブロードステーション
　　　　 と称している。）

　　　(c)PPTP接続ユーザを１つ作成し、「IPアドレス割り当て方法」を
　　　　「PPTPサーバー設定の範囲から取得」とする。

　(2)BHR-4GRV の 「NAS」設定の「共有フォルダ設定」で、
　　　(d)「アクセス制限機能」は「アクセス制限なし（読取／書込可能）」に設定し、
　　　　「Webアクセス設定」は「アクセス制限を使用する」にチェックを入れる。

　(3)BHR-4GRV の 「NAS」設定の「ユーザー管理」で、
　　　(e) 上記の(c)で作成したものと同じユーザー名＆パスワードで、新しく
　　　　　ユーザー名を作成する。

　(4)BHR-4GRV の 「NAS」設定の「共有サービス」で、
　　　(f) 共有フォルダー機能は「使用する」にチェックを入れる。
　　　　　ブロードステーション名はデフォルトのまま。
　　　　　　（デフォルト値は、APXXXXXXXXXXXX　XXはBHR-4GRVのMACアドレス）
　　　　　ワークグループ名はデフォルトの「WORKGROUP」のまま。
　　　　　　（なお、LAN外部のPCのワークグループ名も「WORKGROUP」）

　　この状態でLAN外部PCから、ネットワークドライブの割り付けを以下のように
　　行うと、「アクセスできません」というエラーが返ってくる。
　　もちろんLAN内部のPCではこの設定でネットワークドライブの割り当てが
　　できています。

　　　　￥￥（ブロードステージョン名）￥disk1_pt1

　　　　　　　　文字化けのため￥は全角文字としています。

なお、disk1_pt1 は BHR-4GRV が自動的に付ける名前。（１番目のディスクの
　　パーティション１）

　　外部PCは、WindowsXP と Windows7 の両方で確認したが現象は変わらず。

　　いろいろと試行錯誤した結果、以下のような設定をすると　WinsowsXP と
　　Windows 7　の両方でネットワークドライブの割り当てができました。

　(5)LAN外部PCの Windows ファイヤーウオールを「無効」にし、かつ上記(c)で
　　 「IPアドレス割り当て方法」を「DHCPサーバー設定の範囲から取得」に変更する。

　　しかし、この場合は、LAN外部PCから、LAN内部のNASに対してもネットワーク
　　ドライブの割り当てができてしまうし、何よりもファイヤーウオールを「無効」
　　にする事が気持ち悪いと思っています。

　　そこで、LAN外部PCの Windows ファイヤーウオールは「有効」の状態で、各種
　　設定（例外設定等）で対処し、かつLAN外部PCからネットワークドライブが
　　割り当てられるのは BHR-4GRV に接続された USB HDD までとしたい、という
　　事を実現したいのですが、以上に述べた設定をどのように変更したら良いのか
　　に関し、ご教示をお願いいたします。

回答No.40

hirasaku

こんにちは。hirasaku です。

間が空いちゃいましたね。
申し訳ございません。本業が忙しかったもんで。

ところで、状況はどうでしょう？
って、YAMAHAを買っちゃいました？

過去からのやり取りをもう一度確認しました。
ここで、いったんクリアしてですね。
下記のようにBLとBHRを設定していただけないですか。
（APはいじらなくて大丈夫です）

まず、BLはやれること限られるので、普通に設定
BLのLAN側IPが 192.168.0.1/24 で、NAPTでインターネットへ。
DMZ設定で相手が 192.168.0.254（BHRのWAN側IP）に設定
もし、静的ルートの設定があるのなら、余計なので削除してください。
BuffaloのNASを 192.168.0.200 などにIPを設定
デフォルト・ゲートウェイは 192.168.0.1でいいです。
NASをBLのLAN側に接続してください。

BHRの設定
WAN側IPを 192.168.0.254/24 デフォルト・ゲートウェイを 192.168.0.1
LAN側IPを 192.168.2.1/24 NAPTでLAN側をWAN側に出す。
DHCPなどの機能を使うなら設定してください。
USB-HDDをBHRに接続。共有の設定をしてください。
APをアクセスポイント・モードで設定（されてると思いますが）
IPを192.168.2.254/24 などと設定。
BHRのLAN側に接続。.

BHRにPPTPの設定
PPTP接続してくるクライアントに割り当てるIPアドレスは
192.168.2.のセグメントならDHCPでも手動でも構いません。

クライアントPCを無線で接続。
インターネットに出れるか確認
NASの192.168.0.200に疎通確認
PCでコマンドプロンプトを開き、ping 192.168.0.200
応答（reply）が返ってきたら疎通はOK
NASの共有フォルダにアクセスできるか確認
\\192.168.0.200\共有フォルダ名
アクセスできればOK
できなければ、BHRのフィルタでWindowsファイル共有系の
ポートを通過させる設定。

PPTPでクライアントをつなぐ
BHRのUSB-HDDにアクセスできればOK
NAS（192.168.0.200）にアクセスできるか確認
できちゃった場合、PPTPの設定で
リモートゲートウェイを使うのチェックが入っているか確認
入っていたらはずす。
PPTP接続をやり直してNASにアクセスできるか確認
できなければOK

こんな感じですか。

PPTPにてクライアントに192.168.0 セグはおかしいという
話ですが、なぜかというと、外からLAN側にアクセスさせる
技術なのにWAN側（外側）アドレスはないでしょ。
ということです。
たまたま、多段NATによって、BHRのWAN側のアドレスは
プライベートですけど、本来そこはグローバルです。
トンネル掘って中に入ったのにまた、外に出された感じですか。
普通そんなことしませんよね。

で、重要なことはPPTP接続してくるクライアントの
PPTP接続設定の設定で「リモートゲートウェイを使う」の
チェックです。
これはクライアントに 192.168.0 セグをあたえたとしても
リモゲーを使うにチェック入れられちゃうと
192.168.2 セグと通信できてしまうということです。
これは、PPTP接続してくる端末の設定になるので、
友達にお願いしてチェックをはずしてもらっても、再度入れられたら
通信可能になるわけですよ。

なので、NASの共有フォルダにはアクセス権をつけるべきだと思います。
プレステや、その他の機器でもWindows共有の仕組みを使うのなら
ユーザー認証にも対応してると思いますが。

ちょっと、長文になってしまったので、今回はこの辺で。

では。

補足

hirasakuさん、本業でご多忙のところ、コメントを頂きまして感謝いたします。

まず、現時点での状況を報告いたします。

＞ところで、状況はどうでしょう？
＞って、YAMAHAを買っちゃいました？

YAHAHAのルーターは購入せずに、BHR-4GRVで実際に友人宅の有線ブロードバンド環境で動作確認してもらったところ、当初の目的であるワードやエクセルファイルの共用化に関しては、特にパフォーマンス（キー入力から表示応答までの時間等）にも問題無い状態との事でしたので、当面はこれで様子を見たいと考えています。

＜現在の環境＞
(1)共有のUSB-HDDは、BL900HWのUSBポートに接続。
(2)BL900HWのLAN側IPアドレスは、192.168.0.1。
(3)BL900HWのDMZホスト機能を有効にし、BHR-4GRVをDMZに置き、そのIPアドレスを 192.168.0.254 とする。
(4)BL900HWのポートマッピング設定で、TCPの任意のポートの信号とgre（プロトコル番号47）の信号を 192.168.0.254 にマッピングする。　また、BHR-4GRV側もWAN→LANへ、プロトコル番号47の信号とTCPのポート1723の信号を通過させる。
(5)BL900HWの静的ルーティング設定のエントリーで、宛先IPアドレスを 192.168.2.0/24 ゲートウェイを 192.168.0.254 に設定する。
(6)PPTP接続ユーザのIPアドレスは、192.168.0.100 からユーザー分（現在は４個）を手動割り当てを行う。
(7)BL900HWのWeb設定画面で、ユーザー名とパスワードは保存しない。
(8)外部のPPTPユーザーのPCにて、PPTP接続時のTCP/IP設定で、「リモートネットワークでデフォルトゲートウェイを使う」のチェックを外す。

なお、今回の検討をするに当たり、既存の 192.168.2.XXX のシステムには手を加えない事を前提としています。ここは、単にBuffalo のNASだけではなく、スカパーチューナーの録画保存先のHDDが接続されていたり、プレステ３用のHDDが接続されていたりしており、またそれ以外にも家族のPCのWindowsログオン時のユーザー名やパスワードも私は全部把握できていないので、ここに手を入れるのは影響が大きいからです。

当初は、USB-HDDをBHR-4GRVのUSBポートに接続し、PPTPクライアントのIPアドレスを、192.168.2.200 から割り当てて、このIPアドレスの信号をUSB-HDDにマッピングする事を考えていましたが、BHR-4GRVではこのようにPPTP接続ユーザー経路を編集する事はできないので、この考えは断念しました。

＞PPTPにてクライアントに192.168.0 セグはおかしいという
話ですが、なぜかというと、外からLAN側にアクセスさせる
技術なのにWAN側（外側）アドレスはないでしょ。
ということです。
たまたま、多段NATによって、BHRのWAN側のアドレスは
プライベートですけど、本来そこはグローバルです。
トンネル掘って中に入ったのにまた、外に出された感じですか。
普通そんなことしませんよね。

ここのところがよく理解できていません。BL900HWがルーター機能を禁止できればBHRのWAN側はグローバルIPとなりますが、BL900HWのルーター機能を禁止できず今回のような設定をすると、BL900HWのLAN側は 192.168.0.XXX のネットワーク系になり、192.168.0.XXX のネットワーク系に簡易NASとしてUSB-HDDが置かれており、192.168.0.100 ～　のIPアドレスを割り当てられたPPTPユーザーはこの簡易NASにアクセスできる、という事が実現できているように思っています。

いずれにせよ、当面は友人たちに、このソリューション（といったら大げさな表現になりますが）をもう少し活用してもらい評価していきたいと思っています。

Buffalo製品は企業向けには信頼性がいまいち、という評価が多いですが、実売４５００円程度でPPTPサーバーが簡単に構築できるので、プライベート用途として割り切って使えば、それなりに活用できると今回思いました。