ルーター
この記事ではコンピュータをインターネットゲートウェイ/ルーターに仕立てる方法を解説しています。ゲートウェイはインターネットに直接接続されるため、セキュリティが重要です。外部からアクセスできるサービスを実行するのは好ましくありません。ゲートウェイとして機能するためのサービスだけを実行し、セキュリティ上の穴を作ってしまうおそれがある httpd, ftpd, samba, nfsd などは動かさないようにします。
クロスオーバーケーブルによる PC 間の接続の共有方法については扱っていません。インターネット共有をする方法は、インターネット共有 を見て下さい。
ハードウェアの要件
- 最低でも 1GB のディスク容量が必要です。ベースインストールは大体 500MB くらいですが、ウェブキャッシュプロキシなどを使うことを考えて、キャッシュ用に容量を確保しておく方が良いでしょう。
- 最低でも2つの物理的なネットワークインターフェイスが必要です: ゲートウェイは2つのネットワークを相互に接続します (実際には VLAN インターフェイスを使用して1つの物理インターフェイスを VLAN 対応のスイッチに接続して router-on-a-stick 構成にすることもできますが、この記事では説明しません)。ネットワークは物理的に同一のコンピュータに接続する必要があります。インターフェイスの片方は外部のネットワークに接続し、もう片方は内部のネットワークに接続します。
- ハブやスイッチ、UTP ケーブルが必要です: 他のコンピュータをゲートウェイに接続するための機器が必要です。
ネットワークインターフェイスの設定
永続的な命名とインターフェイス名の変更
Systemd は、すべてのインターフェイスに対して、自動的にユニークなインターフェイス名を選択します。これは永続的なもので、リブートしても変わりません。 しかし、接続するネットワークが異なることを強調するために、インターフェースの名前を変更したい場合があります。このガイドの以下のセクションでは、以下の規約を使用します。
- intern0:LAN に接続されているネットワークカード。実際のコンピュータでは、enp2s0、enp1s1 などの名前がついているはずです。
- 'extern0: 外部ネットワーク (または WAN) に接続されたネットワークカードです。enp2s0、enp1s1 などの名称を持つことが多いでしょう。
デバイスの割り当て名は、Systemd-networkd# インターフェイスの名前を変更 にある Systemd-networkd を使った設定ファイル、または ネットワーク設定#インターフェイス名の変更 にある udev ルールで変更することができます。この記事は例が豊富なため、上記のような名前を選択するとよいでしょう。
IP の設定
netctl を使用
ネットワークインターフェイスを設定する必要があります。一番良い設定方法は netctl プロファイルを使うことです。2つプロファイルを作成してください。
/etc/netctl/extern0-profile
Description='Public Interface.' Interface=extern0 Connection=ethernet IP='dhcp'
/etc/netctl/intern0-profile
Description='Private Interface'
Interface=intern0
Connection=ethernet
IP='static'
Address=('10.0.0.1/24')
次に netctl でインターフェイスをセットアップします:
# netctl enable extern0-profile # netctl enable intern0-profile
systemd-networkd を使用
systemd-networkd を使用すると、ネットワークインターフェイスを簡単に構成できます。
extern0インターフェイスに DHCP クライアント構成 を適用します。intern0インターフェイスに 静的 IP 構成 を適用します。
設定の詳細と利用可能なオプションの概要については、systemd-networkd#設定ファイル を参照してください。 networkctl reload を実行して、設定の変更を適用します。
ADSL 接続/PPPoE
rp-pppoe を使って、ファイアウォールの extern0 インターフェイスに ADSL モデムを接続して Arch で接続を管理することができます。モデムはブリッジモードに設定してください (ハーフブリッジまたは RFC1483)、そうしないとモデムもルーターとして機能してしまいます。rp-pppoe パッケージをインストールしてください。
PPPoE だけを使ってインターネットに接続する場合 (モデムに接続するポート以外に WAN ポートが存在しない場合)、外部の擬似インターフェイスが ppp0 になるので extern0-profile をセットアップする必要はありません。
PPPoE の設定
netctl を使って pppoe 接続のセットアップができます。コピーして編集してください:
# cp /etc/netctl/examples/pppoe /etc/netctl/
インターフェイスを選択し、編集を開始します。インターフェイスの設定は、モデムに接続するインターフェイスを選択します。PPPoE でしかインターネットに接続しない場合は、おそらくextern0 になるでしょう。残りのフィールドには、ISP の情報を入力します。フィールドの詳細については、netctl.profile(5) man page の PPPoE のセクションを参照してください。
DNS と DHCP
LAN のための DNS と DHCP デーモンとして dnsmasq を使います。dnsmasq は小規模なネットワーク用に設計されています。公式リポジトリから dnsmasq をインストールしてください。
DHCP サーバーにするには以下のように Dnsmasq の設定が必要です:
/etc/dnsmasq.conf
interface=intern0 # make dnsmasq listen for requests only on intern0 (our LAN)
expand-hosts # add a domain to simple hostnames in /etc/hosts
domain=foo.bar # allow fully qualified domain names for DHCP hosts (needed when
# "expand-hosts" is used)
dhcp-range=10.0.0.2,10.0.0.255,255.255.255.0,1h # defines a DHCP-range for the LAN:
# from 10.0.0.2 to .255 with a subnet mask of 255.255.255.0 and a
# DHCP lease of 1 hour (change to your own preferences)
静的な DHCP リースを追加して、LAN 上のコンピュータの MAC アドレスに対して IP アドレスを割り当てることもできます。その場合、コンピュータが新しいリースを要求すると、常に同一の IP が取得されます。DNS レコードを使用するネットワークサーバーで有用です。特定の MAC アドレスから IP を取得できないように設定することもできます。
設定したら dnsmasq.service を起動・有効化してください。
systemd-networkd 経由の DHCP
DHCP サーバとして dnsmasq の代わりに systemd-networkd を使うには、[DHCPServer] セクションを intern0 インタフェース用の設定ファイルに追加します。利用できるオプションは Systemd-networkd#[DHCPServer] を参照してください。
接続の共有
ネットワークインターフェイスを互いに結びつけます。
マニュアル
まず、パケットが 1 つのネットワーク インターフェイスから別のネットワーク インターフェイスにホップできるようにする必要があります。 このためには、sysctl(8) を介してカーネルでパケット転送を有効にする必要があります。詳細は インターネット共有#パケット転送の有効化 を参照してください。
net.**forwarding が正しく設定されている (つまり 1) と仮定して、パケットはまだ適切に送受信される必要があります。そのため、外部に面したネットワークとローカルで使用するサブネットの間で IP アドレスを変換する必要があります。この技術は、"マスカレード" と呼ばれます。また、接続を維持し、LAN から WAN への転送を可能にするために、2つの転送ルールが必要です。このタスクでは、iptables を使用する予定です。
extern0 のインターフェースやパッケージを intern0 から extern0 にマスカレードする方法については、インターネット共有#NAT の有効化 の項を参照してください。その後、iptables-save -f /etc/iptables/iptables.rules で新しく追加したルールを永続化します。詳細は iptables#iptables の設定と実行 を参照してください。
iptables.service を 起動 して 有効化 します。これでルーターは完全に機能し、トラフィックをルーティングできるようになりました。ルーターは公共のインターネットに面しているので、シンプルなステートフルファイアウォール を使って追加で保護するのが理にかなっています。
systemd-networkd を使用
以前説明した intern0 のネットワーク設定を、IPMasquerade=ipv4 オプションを [Network] セクションに含むように修正または作成します。この設定により、すべてのインターフェイスでパケット転送が暗黙のうちに有効になります (systemd.network(5) を参照してください) 設定例については Systemd-networkd#[DHCPServer] を参照してください。
Shorewall との接続共有
iptables フロントエンドの Shorewall を使うことで簡単に設定できます。詳しくは Shorewall を見てください。
IPv6 のヒント
役に立つ読み物: IPv6 と wikipedia IPv6
一意のローカルアドレス
ISP から IPv6 アドレスを取得していない場合でも、ルーターを IPv6 モードで使用できます。IPv6 を無効にしない限り、すべてのインターフェイスには一意の fe80::/10 アドレスが割り当てられているはずです。
内部ネットワーク用には、fc00::/7 ブロックが予約されています。これらのアドレスは一意であることが保証されており、オープンなインターネットからルーティングできないようになっています。fc00::/7 ブロックに属するアドレスは、Unique Local Addresses と呼ばれています。まずは、ULA/64ブロックを生成する して、ネットワークで使用します。この例では fd00:aaaa:bbbb:cccc::/64 を使用することにします。まず、内部インターフェイスに静的 IPv6 を割り当てる必要があります。上記で作成したintern0-profile を修正し、以下の行を追加します
Address6=('fd00:aaaa:bbbb:cccc::1/64')
これにより、ULA が内部インターフェイスに追加されます。ルーターに関する限り、設定する必要があるのはこれだけです。
グローバルユニキャストアドレス
ISP または WAN ネットワークが IPv6 インターネットにアクセスできる場合、さらにルーターにグローバルリンクアドレスを割り当て、SLAAC を通じて内部ネットワークに伝播させることができます。グローバルユニキャストプレフィックスは通常、静的 か プレフィックス委任 によって提供されます。
静的 IPv6 プレフィックス
ISP から静的プレフィックスが提供されている場合は、/etc/netctl/extern0-profile を編集して、提供された IPv6 と IPv6 プレフィックス (通常は /64) を追加します。
Address6=('2002:1:2:3:4:5:6:7/64')
上記の ULA アドレスに加えて、これを使用できます。
DHCPv6-PD による IPv6 プレフィックスの取得
ISP がプレフィックス委譲で IPv6 を扱っている場合は、IPv6#プレフィックス委譲 (DHCPv6-PD) の指示に従って、ルーターを適切に設定することができます。この記事の規約に従って、WANインターフェースは extern0 です。(PPPoE で接続している場合はppp0)、LAN インタフェースは intern0 です。
ルーター広告およびステートレス自動設定 (SLAAC)
ネットワーククライアントに IPv6 を適切に配布するために、広告デーモンを使用する必要があります。radvd の設定方法は、IPv6 のメイン記事 の詳細に従ってください。このガイドの規約では、LAN に面したインターフェイスは intern0 とします。すべてのプレフィックスをアドバタイズするか、ローカルネットワークに割り当てるプレフィックスを選択することができます。
その他の設定
UPnP
shorewall の上記設定に UPnP のサポートは含まれていません。UPnP を使用すると LAN の中からゲートウェイに攻撃を受けた場合に脆弱になるので UPnP の使用は非推奨です。ただし、アプリケーションによっては UPnP が必要となるケースもあります。
ルーターで UPnP を有効にするには、UPnP インターネットゲートウェイデーモン (IGD) をインストールする必要があります。miniupnpd パッケージをインストールしてください。
詳細は Shorewall guide on UPnP を読んで下さい。
リモート管理
OpenSSH を使うことでルーターをリモートで管理することができます。"ヘッドレス" (モニタや入力デバイスを接続しない) に動かしたいときに有用です。
ウェブキャッシュプロキシ
ブラウジングを高速化したり、セキュリティ層を追加したりするための Web プロキシのセットアップについては、Squid を参照してください。
時刻サーバー
ルーターをタイムサーバーとして使用するには、利用可能なネットワークタイムプロトコル (NTP) サーバーの実装のために システム時刻#時刻同期 を参照してください。
その後、NTP トラフィックの出入りを許可するように shorewall または iptables を設定します。
コンテンツフィルタリング
コンテンツフィルタリングが必要なときは DansGuardian や Privoxy をインストール・設定してください。
トラフィックシェーピング
トラフィックシェーピングは LAN 上に複数のマシンがある場合にとても便利です。トラフィックのタイプにあわせて優先度を割り当てます。インタラクティブなトラフィック (ssh やオンラインゲーム) は高い優先度を必要としますが、P2P のトラフィックは一番優先度が低くても問題ありません。
shorewall によるトラフィックシェーピング
Shorewall#トラフィックシェーピング を読んで下さい。