Nuro光でYAMAHAルーター(RTX1200)でVPNを設定する

Nuro光で外から自宅ネットワークに接続するVPN（L2TP/IPsec）の設定方法を紹介します。

今回手元にあるRTX1200での設定方法を紹介します。
コマンドでの設定になるので、RTX1210やRTX830でも同様の方法で設定可能かと思われます。

ネットワーク構成

自宅ネットワークの構成は以下のようになっています。

NUROルーターから、YAMAHAルーターの「LAN1ポート」にLANケーブルを接続します。

YAMAHAルータの設定

細かい設定の意味については割愛しますが、以下のような設定を行います。
（LAN2とtunnel1 の設定は、以前使用していたプロバイダーの設定が残っています)

IPアドレス関連は以下のような設定です

LAN1のIPアドレスを192.168.1.254を設定
デフォルトデートウェイに、ONUの192.168.1.1を設定
VPNで接続した機器のIPアドレスを、192.168.1.225-192.168.1.253で設定

またVPNのポート用にUDPの500, 1701, 4500を設定しており、NUROのルーターにもポートフォワーディングの設定が必要になりますので、次章で説明します。

ip routing process fast
ip route default gateway 192.168.1.1
ip filter source-route on
ip filter directed-broadcast on
ipv6 prefix 1 ra-prefix@lan2::/64
description lan1 LAN
ip lan1 address 192.168.1.254/24
ip lan1 proxyarp on
ip lan1 secure filter in 100000 100001 100002 100003 100004 100005 100006 10000
7 100099
description lan2 WAN
ipv6 lan2 prefix change log on
ipv6 lan2 mtu 1500
ipv6 lan2 secure filter in 1010 1011 1012 2000 3000
ipv6 lan2 secure filter out 3000 dynamic 100 101 102 103 104 105 108 109
ipv6 lan2 dhcp service client ir=on
// NUROの前に契約していたプロバイダーのもので設定だけ残してあります。
//（今回は使用しないですが、余計なFilterが分かるように一応記載しておきますので、不要であれば削除お願いします）
pp select 1
 description pp "PRV/PPPoE/0:nifty PPPoE"
 pp keepalive use lcp-echo
 pp keepalive interval 30 retry-interval=30 count=12
 pp always-on on
 pppoe use lan2
 pppoe auto connect on
 pppoe auto disconnect off
 // NURO以前に使用していたプロバイダーのものなので無視してください
 // pp auth accept pap chap
 // pp auth myname <プロバイダーからのパス> <パスワード>
 ppp lcp mru on 1454
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type none
 ip pp mtu 1454
 ip pp secure filter in 201030 201032 201050 201051 201052 201053 201089
 ip pp secure filter out 201020 201021 201022 201023 201024 201025 201026 20102
7 201099 dynamic 201080 201081 201082 201083 201084 201085 201098 201099
 ip pp nat descriptor 1
 ip pp tcp mss limit auto
 pp enable 1
pp select anonymous
 pp bind tunnel2
 pp auth request mschap-v2
 pp auth username <VPN接続するユーザーネーム> <パスワード>
 ppp ipcp ipaddress on
 ppp ipcp msext on
 ppp ccp type stac
 ip pp remote address pool 192.168.1.225-192.168.1.253
 ip pp mtu 1258
 pp enable anonymous
tunnel select 1
 description tunnel DS-Lite
 tunnel encapsulation ipip
 tunnel endpoint address 2404:8e00::feed:100
 ip tunnel mtu 1500
 ip tunnel secure filter in 201000 201001 201002 201003 201020 201021 201022 20
1023 201024 201025 201030 201032
 ip tunnel secure filter out 201010 201011 201012 201013 201020 201021 201022 2
01023 201024 201025 201026 201027 201099 dynamic 201080 201081 201082 201083 20
1084 201085 201098 201099
 ip tunnel tcp mss limit auto
tunnel select 2
 tunnel encapsulation l2tp
 ipsec tunnel 2
  ipsec sa policy 2 2 esp aes-cbc sha-hmac
  ipsec ike keepalive use 2 off
  ipsec ike local address 2 192.168.1.254
  ipsec ike nat-traversal 2 on
  ipsec ike pre-shared-key 2 text <各自でクライアントと共有するキーを設定>
  ipsec ike remote address 2 any
 l2tp tunnel disconnect time off
 l2tp keepalive use on 10 3
 l2tp keepalive log on
 l2tp syslog on
 ip tunnel tcp mss limit auto
 tunnel enable 2
ip filter 100000 reject * * udp,tcp 135 *
ip filter 100001 reject * * udp,tcp * 135
ip filter 100002 reject * * udp,tcp netbios_ns-netbios_dgm *
ip filter 100003 reject * * udp,tcp * netbios_ns-netbios_dgm
ip filter 100004 reject * * udp,tcp netbios_ssn *
ip filter 100005 reject * * udp,tcp * netbios_ssn
ip filter 100006 pass * * udp,tcp 445 *
ip filter 100007 pass * * udp,tcp * 445
ip filter 100099 pass * * * * *
ip filter 201000 reject 10.0.0.0/8 * * * *
ip filter 201001 reject 172.16.0.0/12 * * * *
ip filter 201002 reject 192.168.1.0/16 * * * *
ip filter 201003 reject 192.168.100.0/24 * * * *
ip filter 201010 reject * 10.0.0.0/8 * * *
ip filter 201011 reject * 172.16.0.0/12 * * *
ip filter 201012 reject * 192.168.1.0/16 * * *
ip filter 201013 reject * 192.168.100.0/24 * * *
ip filter 201020 reject * * udp,tcp 135 *
ip filter 201021 reject * * udp,tcp * 135
ip filter 201022 reject * * udp,tcp netbios_ns-netbios_ssn *
ip filter 201023 reject * * udp,tcp * netbios_ns-netbios_ssn
ip filter 201024 reject * * udp,tcp 445 *
ip filter 201025 reject * * udp,tcp * 445
ip filter 201026 restrict * * tcpfin * www,21,nntp
ip filter 201027 restrict * * tcprst * www,21,nntp
ip filter 201030 pass * 192.0.0.0/8 icmp * *
ip filter 201032 pass * 192.0.0.0/8 tcp * ident
ip filter 201050 pass * 192.168.1.254 udp * 500
ip filter 201051 pass * 192.168.1.254 esp * *
ip filter 201052 pass * 192.168.1.254 udp * 1701
ip filter 201053 pass * 192.168.1.254 udp * 4500
ip filter 201089 reject * * * * *
ip filter 201099 pass * * * * *
ip filter dynamic 201080 * * ftp
ip filter dynamic 201081 * * domain
ip filter dynamic 201082 * * www
ip filter dynamic 201083 * * smtp
ip filter dynamic 201084 * * pop3
ip filter dynamic 201085 * * submission
ip filter dynamic 201098 * * tcp
ip filter dynamic 201099 * * udp
nat descriptor type 1 masquerade
nat descriptor timer 1 600
nat descriptor timer 1 tcpfin 30
nat descriptor address outer 1 ipcp
nat descriptor address inner 1 auto
nat descriptor masquerade static 1 1 192.168.1.254 udp 500
nat descriptor masquerade static 1 2 192.168.1.254 udp 4500
nat descriptor masquerade static 1 3 192.168.1.254 esp
ipsec auto refresh on
ipsec transport 1 2 udp 1701
ipsec transport 2 2 udp 1701
ipv6 filter 1010 pass * * icmp6 * *
ipv6 filter 1011 pass * * tcp * ident
ipv6 filter 1012 pass * * udp * 546
ipv6 filter 2000 reject * * * * *
ipv6 filter 3000 pass * * * * *
ipv6 filter dynamic 100 * * ftp
ipv6 filter dynamic 101 * * domain
ipv6 filter dynamic 102 * * www
ipv6 filter dynamic 103 * * smtp
ipv6 filter dynamic 104 * * pop3
ipv6 filter dynamic 105 * * submission
ipv6 filter dynamic 108 * * tcp
ipv6 filter dynamic 109 * * udp
syslog notice on
syslog debug on
dhcp service server
dhcp server rfc2131 compliant except remain-silent
dhcp client release linkdown on
dns host lan1
dns service fallback on
dns server 8.8.8.8 8.8.4.4 2001:4860:4860::8888 2001:4860:4860::8844
dns server dhcp lan2
dns private address spoof on
schedule at 1 */* 01:00:00 * ntpdate ntp.nict.jp syslog
l2tp service on