-Prologue-

Juniper Security

Mac OS X ServerのVPNを使用しVPN接続をしていたが、ルーターの奥に存在しているサーバーと接続するためには、当然ながらNATを使用しなくてはならない。NATを使用した上で、IPSecVPNを使用するにはNAT-Traversalを使う必要があるが、WindowsXP SP2のデフォルトでは切られており、誰でも簡単に設定を変えることはできない。（エンジニアリングに携わる人間やウィンドウズオタクにとっては、iniファイルやレジストリを弄るくらいなんでもないが、「一般人」を自任する人たちにとっては、コントロールパネルを操作することさえ難しい。彼らにできることは、インターネットとメールくらいで、それさえも満足には行えない）

そのような事情から、いっそVPNルーターが欲しいと思うようになった。

某社の法人向けサービスにも活用され、至る所で見かけるYAMAHAのVPNルーターはちょっと高い。JuniperのSSGも気に入ったが、値段帯はかわらない。

そんな話を、Juniperのリセラーに居る方にしたら、Netscreen 5GTを一台くれた。

折角なので、導入と設定の記録を残すことにする。

-Topology-

Security Juniper

まずネットワークの設計をしなくてはならない。
設計といっても、自宅内のネットワークである。事業用のサーバーが置いてあるとは言え、そもそもの要求が大したものでないためここに記録する。

要求仕様

  • 有線ネットワークと無線ネットワークの混在
  • 現状、有線と無線のセグメントは切り離さなくて良い
  • 無線認証は無線APに実装されたWPA(AES CBC-128bit)で行う
  • DHCPサービスはサーバーで行う
  • NetScreen、無線AP、サーバー群のIPはスタティック、クライアントはDHCPを利用する
  • NetScreenのWebUIとSSH接続サービスをInternet側も許可する（プライベート、グローバル両側からの管理アクセス許可）
  • サーバーを公開する（SSH, HTTP, HTTPS, IMAP over SSL, SMTP over SSL）
  • NetScreenのDIによるIPSサービス提供（現用のIDSをリプレース）

とりあえずはこんなところである。

これらを実現するために、まず自宅ネットワークの物理トポロジを変更する必要がある。NetScreenがゲートウェイにならなくてはいけない。

そこで、以下のように物理トポロジを変更した。

アイコンがCiscoのものであることはご容赦いただきたい。JuniperはVisio用のステンシルを数多く提供しているが、私はVisioが嫌いなのだ。非常に便利だと思うが、あれはエンジニアのPCにちゃんとVisioが入っているようなSIerでしか使えない。また、クライアントとの共有にも不都合があることが多い。「問題の方が多いなら、別に好きなツール使った方がいいじゃん？俺Macだし」ってな具合で、私はOmniGraffleを使っている。最新バージョンなので、Visioのステンシルも読めるのだが、Juniperの提供するステンシルはどうやらMicosoftのクローズドな技術を使っているらしく、まともに読み込むことができなかった。

失礼、すこし脱線した。

さて、元のトポロジはNetScreen 5GTの部分が無線ルーターになっていただけだ。WAN側はB FLET'Sであるために、PPPoEの設定をNetScreenに入れなくてはならない。

その前に、このNetScreenは中古品であるため、一応初期化しておこう。現状把握の手間は省きたい。

NetScreenのファクトリーリセットには、コンソール経由の方法と、一般の家庭や小規模拠点用ルーターのようなリセットボタンを使用する方法がある。

自宅にはいまMacとサーバーしか無く、Serial Console<>USBの変換ケーブルも無いため、リセットボタンを使用して初期化を実施することにする。

少々冗長になってきた。続きは明日のエントリに書こう。