DHCP管理のLANでtelnet等したい時はどうしてますか？

Question

小規模事務所でパソコンとプリントサーバーで合計十数台のノードを運用しています。

でも、常時電源が同時に入るのは、５、６台なので、固定アドレスにしています。

ところで、去年こちらの掲示板で、今どきDHCPが常識だし、早くしないとそのうち収拾がつかなくなって大変ですよ、と御指導いただきました。

しばらく手付かずだったのですが、やっと実行したいと思っています。

そこで素朴な困りごとなのですが．．．

現在WINDOWS98-WIN2000-MAC-OS2WARP-各種プリントサーバの混在イーサネットになっています。

各パソコンどうしで、VNCやデスクトップオンコールのリモコンをしたり、FTPやTELNET、プリントサーバの設定変更などに固定アドレスをありがたく使っているのですが、これらをDHCPに全面移行したばあい、「自分が操作したい対象」を、どうやって見分けたら良いでしょうか？？？

betagamma · Accepted Answer

No.3です。

そうですね、IP固定とDHCPは共存できます。わかりにくいですが。

プロキシサーバーとかWEBサーバーとかメールサーバーとか、サーバー系は固定にして、おのおののユーザーが使うクライアント系は、静的DHCPにしておけばよいのではないでしょうか？

＞（これらの端末にTELNETやVNC等で管理操作をしようという考えがあったらDHCPは
使えない、と考えて差し支えないわけですよね？）

ええ、端末に対してIPアドレス指定でtelnet,VNC等をするつもりであれば、DHCPで勝手にIPアドレスがコロコロかわられたら使えませんね。

ただ、その場合でも、結局IPアドレスと何らかの名前の対応表を動的に構築する仕組みがあれば、使えるんですよ。NetBIOS名もその一つで、個々のパソコンのNetBIOS名さえ設定しておけば、IPアドレスとNetBIOS名の対応表を勝手に構築してくれます。事実、うちでは、帰ってきてノートパソコンを家庭内LANに接続するたびにIPアドレスが変わっていますが、NetBIOS名でノートパソコンにアクセスしているので、ノートパソコンのIPアドレスを全く気にせずに、VNCもtelnetも使用することができています。
Windows,samba入れたLinuxでは、NetBIOS名も、DNS名と同じように勝手に調べてIPアドレスまで変換してくれるようですね。事実、
ping NetBIOS名
とやったら、pingできてしまいました。

＞（あまり知識が無いので今の所、ポートのフィルタリングしかしていない状態です。
メールのウイルス対策は全部OS2で送受信して、感染しても発病／中継しないような
消極的な対策しかしていないので早晩なんとか勉強しなければと思っています）

まず、ウイルスは圧倒的にWindowsでしか動かないものが多いです。OS2で送受信しているというのは、大正解です。OS2で動くウイルスというもの自体が、とても少ないですから。
従って、メールの送受信が全部OS2でできていれば、割と有効なウイルス対策では？という気がします。
ただ、心配なのは、それって、ユーザーがaltosaxさんに無断で他のWindows機でメール受信をしたり、はたまたノートパソコンを持ち込んで勝手に事務所LANに繋いでメール受信したりしたら、一発で崩れますよね（汗
ユーザーの側からしたら、OS2機でだけしか受信できないって割と不便な気がしますが、大丈夫でしょうか？ユーザーを不満なままにさせておくと、いくらいっても、そういうことをやる輩が出てくるような気がします。

で、この「勝手にノートパソコンを持ち込んで」が、おそらくNo.5さんのおっしゃっていることだと思います。つまり、DHCP割り当てができる環境では、何も規制しなければ、ルーター・ハブのLAN端子と自分のパソコンのLAN端子を接続さえすれば、DHCP割り当てが行われて、事務所内PCとして振る舞えてしまいます。もし、そのノートパソコンがウイルスに感染していた場合、インターネットと社内LANの間にいくら高級なファイアウォールで防衛しても、社内LANに直接ウイルスが入り込むことになり、インターネットからの防衛が崩れます。

これを防ぐために、「外部者は自分のノートパソコンを社内LANに勝手に接続しない」というのがルールになっています。

ネットワーク上から、この事態を防ぐには、DHCPに、すべての端末のMACアドレスを登録しておいて、登録されていないMACアドレスを持つ端末には、IPを割り当てないことにすればいいわけです。

一つ一つのOSの異なるパソコンについて、MACアドレスを調べて回るのは、いかにも大変そうに見えますが、Windows機が一台あるのなら、次のようにしてできます。社内LANのネットワークアドレスが、192.168.1.0なら、Windowsで、
ping -t 192.168.1.255
とします。一分ぐらいしたら、止めて、その直後に、以下のコマンドを打ち込みます。
arp -a >list.txt
すると、list.txtに、社内LANに接続されているすべての機器のMACアドレスがリスティングできます。

どの端末でも、社内LAN上でIPアドレスで通信できている以上、通信先のパソコンのMACアドレスとIPアドレスの対応表（arpテーブルといいます）を動的に作って持っているわけです。自分のWindowsXPでは、一分ぐらいで頻繁に更新されていました。
これを逆手にとって、ブロードキャストで全部の端末に返答させた直後に、自分が持っているarpテーブルを表示させれば、社内LANに繋がっているすべての端末のMACアドレスが手に入るわけです。

UN*X機でも、root権限（たぶん必要）があれば、同様のことが可能です。原理的には、どのパソコンでも同じ情報が撮れるのですが、自分はWindowsとUN*Xしか知りません。

これをやれば、悪意・技術のない普通の外部者が、危険であることを知らずに、自分のノートパソコンを社内LANに接続することによって、ウイルス感染するのを防ぐことができます。

ただ、悪意と技術があって、社内LANに接続しようと思っている人には、万全ではありません。たとえば、社内で使っているネットワークアドレスが、192.168.1.0であることが見破られれば、DHCPサーバーなどに頼らなくても自分で勝手に固定アドレスを設定して入ってくるかもしれません。また、MACアドレスは、実は変更できます。使っているネットワークカードにもよりますが、Windowsでは、レジストリの一部をいじることで、自分のMACアドレスを偽装することができます。これで、あらかじめ登録してある端末のうち一つでもMACアドレスが分かれば、上記の対策を取ったとしても、社内LANに接続できてしまいます。

betagamma · Answer

たびたびすみません。

外部者がノートパソコンを持ち込んで・・・と書きましたが、別に、社外の人に限りません。
むしろ、社内の人間が、危険を知らずに無知で、自分のノートパソコンを持ってきて社内LANに繋げたりして、そこからウイルスが感染する・・・つまり、ノートパソコンがウイルスの媒介役になっているというのが、よくある話のようです。No.5さんの例も、この例です。

静的DHCPにすることは、この例に対する対策にもなっています。固定IPでは、社内の人間にちょっと知識があれば、自分の普段使っている端末の電源を消しておいて、代わりに自分が新しく持ってきたノートパソコンに、端末と同じIPアドレスをつければ、社内LANに勝手に接続できてしまいます。静的DHCPでは、最初からあった端末と、社員が勝手に持ってきたノートパソコンではMACアドレスが違うので、接続できません。

あ、あと、Windowsのコマンドは、98ではうまくいかないかも知れません。2000でAdministrator権限下でやれば、きっとうまくいくと思います。自分が試したのはXPなので。

・・・ってことで、長くなりましたが、結論としては、
まあ、まず端末に対しては静的DHCPを試して
サーバーに関しては固定IPを試してみたら、どうでしょう？
ということです。

mii-japan · Answer

>家庭用パソコンのウインドウズ９系やマックだと「固定にするかＤＨＣＰにするか」のどちらか二者択一でしか選べないようになっている様子ですが、これは高度な管理のできるＮＴ系列やマックのＯＳＸなどＵＮＩＸ系統で可能ということになるのでしょうか？ 

少し難しくお考えのようですな

ことは簡単です

DHCPサーバの割当範囲は、ルータによって異なりますが
少ないのは32とかです、多いものならば32とか64とかに制限します
そうしますと、DHCPでは使用されないアドレスが出来ます、ここを固定アドレスで使用します（実際は使用しやすい部分を固定アドレスで、残った適当なところをDHCPの割当範囲とします）

個々のクライアントは固定アドレスか自動割当のどちらかです、ワンタッチで切替　と言うわけには行きません
（この点を過大に受け取っているのでは）

要は、アドレスがダブルことの無いようにすれば良いのです

なお、余談ですが、自動割当にしておくと、無断でネットワークに接続しようとする輩が出てくるようです、そして、それが、ウィルス対策やセキュリティ対策が不十分でネットワーク障害を引き起こす例が多いようです

つい先日の書き込みでも、ネットワーク障害の原因を究明していったら、無断接続（個人のPCの）でそのPCがウィルスに汚染されていた　　　というのがありました

mii-japan · Answer

No.1です　補足します

サーバ等がある場合は、全てをDHCP割当ではなく

他からアクセスさせる機器（サーバ、プリントサーバ等）は固定アドレスとするのが一般的です

アドレス192.168.x.yの場合
ｙは　ルータを　1、DHCP割当範囲を　129～

サーバは　17～
固定アドレスのクライアントは　33～
ルータが複数の場合　2～

のように決めておくと便利です

クライアントもA部門は33～　B部門は　49～
(あるいは　10進で判りやすく　10～　20～　30～　）のようにしておけば、IPアドレスからだけで　おおよその見当はつきます

betagamma · Answer

＞現在WINDOWS98-WIN2000-MAC-OS2WARP
ここが一番やっかいですね。十数台レベルで、ここまで混在したLAN環境の管理をしないといけないこと自体が珍しいと思います。

DHCPでも、アドレスを固定にすることはできます。MACアドレスとIPアドレスの対応を、あらかじめDHCPサーバーに登録しておいて、「静的割り当て」にしておくことができます。MACアドレスは、必ずすべてのPCで違うように製造されていますので、DHCPサーバーの設定だけで集中管理することができます。これが、いちばんよくやられている手法です。
平たく言えば、MACアドレスとIPの対応表を、DHCPサーバー一カ所にまとめておくわけです。純粋な静的IPとの違いは、純粋な静的IPは、各PCがどのIPアドレスを名乗るべきかの設定を個別に持っているのに対して、「IPのMACアドレスによる静的割り当て」では、MACアドレスとIPの対応表をDHCPサーバーが集中的に持っているところでしょう。

後は、クライアントがWindowsだけで十数台なら、NetBIOS名という識別方法があります。NetBIOS名は、Windowsのいわゆる「コンピューター名」です。
これは、すべてのパソコンが一つのLANにつながっている場合、ブロードキャストを通して、各PCがNetBIOS名と自分のIPアドレスを放送して、お互いに知らせあうことで、サーバーなしでも管理できるものです。うちは、家庭内LANでこれを使っています。
NetBIOS名は、Windowsのファイル共有・ネットワークプリンタの管理プロトコルである、sambaプロトコルにおいて名前解決をするためのもので、Linuxなど他のOSが混在していてもsambaサーバー・NetBIOS名解決サーバーであるsmbd,nmbdを立ち上げれば、解決できます。現に、これを書いているうちの自宅のシステムでは、Linux機には全部sambaを入れることで、WindowsとLinuxが混在した状況において、NetBIOS名で各PCを特定しています。

後は、DNSサーバー（ほとんどの場合、bindですが）を立ち上げるっていう方法があるみたいですが、全クライアントがグローバルIPならいざしらず、ローカルIPが混ざっている場合の設定をするのが難しそうなので使っていません。

で、結論を言うと、DHCPに移行した場合、
「MACアドレスとIPの静的対応」
をDHCPサーバーに登録しておくのが最も効率的な手法だと思います。こうすれば、今の固定IPとIPアドレス自体はかわらないので、いままでと同じように使用することができる上に、設定の詩間違いでIPがかち合ってしまう（IPアドレスの競合）ような自体もおこりません。
MACアドレスによるIPとの静的対応機能は、今では市販のルーターでも普通に備えている非常に標準的な機能です。

noname#21592 · Answer

自分もイントラ側のＤＨＣＰを、使ってみたのですが、１０数台で、混在となると、固定ＩＰの方が、結局、楽です。

まず、プリンターは、共用することが、多いので、ＤＨＣＰは、ＯＦＦにしました。また、プロトコルが、混在なので、ＰＣもＤＨＣＰを使わず、ＯＳ毎に、スコープを割り付けた方が、管理しやすいと思いました。

クラスＣで、セグメントの値をグループ分けして覚えておくのが、ＰＩＮＧを打つのに、楽だと思いました。

エクセルで、固定ＩＰとＭＡＣアドレスの表を作りました。

ＴＥＬＮＥＴは、勉強中ですので、回答不能です。

mii-japan · Answer

>今どきDHCPが常識だし、早くしないとそのうち収拾がつかなくなって大変ですよ、と御指導いただきました。

指導なさった方は、管理されていませんね

管理しないのならばDHCPは楽でよいのですが

管理が大変です（ネットワーク管理、ウィルス汚染時・障害対応・・）

十数台で、IPアドレス管理ができるのならば、今まで通り固定アドレスで行くことをお勧めします
（当然IPアドレス管理票のようなものは整備しておきます）

DHCP管理のLANでtelnet等したい時はどうしてますか？

No.3です。

たびたびすみません。

この回答への補足

No.1です 補足します

この回答への補足

＞現在WINDOWS98-WIN2000-MAC-OS2WARP

この回答への補足

自分もイントラ側のＤＨＣＰを、使ってみたのですが、１０数台で、混在となると、固定ＩＰの方が、結局、楽です。

>今どきDHCPが常識だし、早くしないとそのうち収拾がつかなくなって大変ですよ、と御指導いただきました。

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング

No.1です　補足します