NECのUNIVERGEシリーズでVPN構築：業者の説明に困惑

質問

• NECのUNIVERGEシリーズを使用して、本部と６ヵ所の支店にVPNを構築しようとしています。
• IPアドレス設定は問題なく行いましたが、各支店のPCから別の支店のPCへのアクセスができないという問題が発生しています。
• 希望通りに全事業所を１つのLANにすることは、この機種では不可能と業者から言われています。

回答No.1

hirasaku · ベストアンサー

こんにちは。hirasaku です。

まずは、打ち合わせの時点でその要件を業者に伝え書面として残しているのですかね？
今更ですけど・・・

それは置いといて、

では、本部と各支店のIPアドレスを使うホスト（プリンタなど含めて）254台以下ですか？
この台数を超えると 192.168.0.0/24 でまとめることは無理ですね。

それと、WAN側の網は何を使っているのでしょうか？
インターネットVPNでは無理でしょう。広域イーザ網を使わなければ。
網側の選定によって、つなぐ機器を選びますが、広域イーサであればルータが必要ない場合もあります。

ルータはそもそも異なるネットワークをつなぐ機器ですので、セグメントが一緒なら
使う必要がないということですね。

では、今の構成でできないのか。
というと、できないわけではないと思いますが。
（考え方として全拠点のホストと通信できるようにするという考え）
機器を変更せず、インターネットVPNでということで考えますけど。

妥協点として、本部、各拠点のIP構成はセグメントを別としてこのままの構成にする。

で、本部は当然グローバルの固定IPを持ってると思います。
１つ目は
各支店にグローバル固定IPを持っているのならば、各支店に本部以外のIPSecトンネルを
支店分設定し経路を作る。これはメッシュ型の接続です。

２つ目は
本部のみグローバル固定IPで各支店はグローバル動的IPの場合。
各支店はダイナミックDNSを使って1つ目と同じように設定する。
個人的に私はこの設定はおすすめしませんが・・・
個人ならダイナミックDNSはいいですけど、法人ではちょっと。。。

3つ目
各支店はグローバル動的IPのままのでダイナミックDNSを使わないということで。
今の各支店は経路を 192.168.0.0/24 で本部のトンネルに向けてると思いますが、
これを 192.168.0.0/16 で本部のトンネルに経路を向ける。
こうすれは、各支店は本部経由で別支店に通信できます。
ハブ・アンド・スコープ型の接続ですね。
本部との通信が切れると、別支店の通信もできなくなりますが・・・

まあ、業者さんと話し合ってください。

網側を変更するなら、また構成は変わりますが。

では。

補足

hirasakuさん、お答えありがとうございます。

>>ルータはそもそも異なるネットワークをつなぐ機器ですので

この言葉、業者さんにも言われました。
そもそものところで、私に勘違いがありました。
この機械は、VPNのトンネルを作るためのものだとばかり・・・。

とりあえず、出来る可能性があるという事が判っただけでもありがたいです。

現在のところ、業者さんには設定を元に戻して一旦お帰り頂いてます。
もともと、この話を持って行った業者さんから下請けで来た方なので、こちらの意向がうまく伝わってなかったようです。
詳しくない者同士で決めた事を、専門業者が作業して発覚した・・・という感じです。