最終更新日: 2002/10/04

RTW65bなどの無線ルータを使うと、 SOHO環境や家庭で無線LANから簡単にインターネットにアクセスできるようになります。 この無線ルータを使って、 職場で来客向けのインターネットアクセスポイントを 構築する方法を検討してみました。

ここで、設定のポイントとなるのは、

• セキュリティ上、 来客者には職場のネットワークへのアクセスを許可しない
• 来客者には、そもそも職場のネットワークを 経由してインターネットにアクセスしていることを 意識させない

職場のネットワーク環境は、だいたい下図のようになっています。

       Internet
          |
          | global IP address
     +----------+
     | firewall | NAT/Masquerade, DNS, syslogd
     +----------+
          | 172.16.2.1
          |
    ------+---------+------------ 172.16.2.0/24
                    |
                    | 172.16.2.254
                  +---+
                  | R |
                  +---+
                    |      +---+
   172.16.0.0/16 backbone--| R |----> 172.16.3.0/14
                    |      +---+
                  +---+
                  | R |
                  +---+
                    | 172.16.4.254
                    |
    ----------------+------------ 172.16.4.0/24

無線アクセスポイントを 直接インターネットにつなげられると話が早いのですが、 場所の都合でそれはできません。 来客者がアクセスしやすい場所あたりには、 176.16.4.0/24のサブネットが来ているので、 ここにルータを接続することとします。

全体の接続は、次の図のようになります。

       Internet
          |
          | global IP address
     +----------+
     | firewall | NAT/Masquerade, DNS, syslogd
     +----------+
          | 172.16.2.1
          |
    ------+---------+------------ 172.16.2.0/24
                    |
                    | 172.16.2.254
                  +---+
                  | R |
                  +---+
                    |      +---+
   172.16.1.0/24 backbone--| R |----> 172.16.3.0/14
                    |      +---+
                  +---+
                  | R |
                  +---+
                    | 172.16.4.254
                    |
    -------+--------+------------ 172.16.4.0/24
           |
       WAN | 172.16.4.1
       +--------+
       | RTW65b | NAT/Masquerade/Packet Filtering
       +--------+
       LAN | 192.168.0.1
           |
    -------+--------------------- 192.168.0.0/24

設定は以下のようにしました。 RTW65bのLAN側の192.168.0.0/24が 来客者が利用するネットワークです。

ip filter 10 reject 172.16.0.0/12 * * *
ip filter 20 pass * 172.16.2.1/28 tcp,udp * domain
ip filter 30 reject * 172.16.0.0/12 * * *
ip filter 99 pass * * * * *
ip lan1 address 192.168.0.1/24
ip lan1 routing protocol none
ip lan1 rip listen none
ip lan1 secure filter in 10 20 30 99
ip lan2 address 172.16.4.1
ip lan2 routing protocol none
ip lan2 rip listen none
ip lan2 nat descriptor 1
ip route default gateway 172.16.4.254
nat descriptor type 1 masquerade
nat descriptor address outer 1 primary
airlink essid GuestAccess
syslog host 172.16.2.1
syslog notice on
httpd service off
dhcp service server
dhcp scope 1 192.168.0.2-192.168.0.191/24
dns server 172.16.2.1

30番のパケットフィルタリングルールで、 来客者のネットワークから、 職場のネットワークである172.16.0.0/16へのアクセスを拒否しています。

ルータに以上の設定をしておき、 来客者のパソコンで

• 周波数チャネルを1にする (2412MHz)
• ESS-IDを「GuestAccess」にする
• IPアドレスその他は自動設定