VPN設定について

現在IODATA製 WN-G54/DCR を使ってPPTP接続を行うべく
テストしているのですがどうもポート転送(開放）設定が
うまく行えずに悩んでいます
（メーカにも問い合わせはしたが解決せずに状況悪化中）
※　このルータではポート開放＝特定PCへの転送となるようです

接続的にはWN-G54/DCR 配下のPC（XP）でPPTPサーバを起動させ
外部からそのPCに対して接続を行おうとしています
テストしている機器(XP 2台）・回線(2回線）・
ファイヤーウォールはテスト中に変更はしていません
（接続しなおしたりするんでグローバルIPは変ります）

状況として
・WN-G54/DCR のIPはDDNSに登録して使用
　（PPTPサーバ起動させているPCにDiCE入れて更新させています）
　　DiCE　　http://www.hi-ho.ne.jp/yoshihiro_e/dice/
　　DDNS　　http://cybergate.planex.co.jp/
・DMZとして設定した場合問題なく接続できる
　（PCのファイヤーウォール・回線的には問題がない）
・DMZ設定したくない為ポート転送（開放）で設定しなおすと接続できない
・ポート開放で1723のTCP/UDP設定は行っている
・[PPTP VPN有効]のチェックは有効にしている

上記での違いはルータのパケット転送だけの違いなので
その設定の問題であることはわかっているのですが

知りたいのは
１．同様なことをやられて成功している人がいれば
　　具体的な設定（転送設定したポート情報）
２．WindowsでのPPTPにおいて使用ポート情報を
　　持っている人がいればその情報
３．何か思い当たることがあれば何でも
といった内容です

※PPTPではポート1723のTCP/UDP プロトコル47（GRE)使うってことはわかってます
　のでそれ以外に使うポートがあるのならその情報を知りたい
　（どこかで 641とかいうのも見た記憶がありますが 現在探しきれません）

メーカ問い合わせ前はGREが通過できてないのかと思いましたが
メーカ回答と比較するとそうではなさそうでした
（[PPTP VPN有効]にしてくれといわれました）

改めて1（リセット）からやり直したら
現在PPTPサーバ検出自体も出来なくなってしまいました（これが悪化）
（それまではユーザ認証までは進んでました）

何か情報ある方がいたら教えていただけると助かります

No.4 ベストアンサー 回答者： nnori7142 回答日時： 2009/08/13 08:54

　追加補足拝見しました。

通信カード経由での仕様しか組めない環境という点は理解できました。そういった形ですと、サン電子製『Rooster-G8.0』という通信カード対応ルーター（PPTPパススルー、IPSecによるＶＰN機能）が付いておりますので、セキュリティ面から良いますと交換が一番無難な方法ですが、もしどうしてもとなると上記機材へ交換がお勧め（最新ファームウェア更新を実施）ですね。
　既設IO-DATA製ルーターの話に戻ると、仕様上パケットフィルタ等細かなルール規定出来ない（GRE通信制御規定出来ない）点が問題点ではないかと存じます。ブラウザ画面上パケットフィルター規定設定等存在しない様ですので・・・。

この回答への補足

自分でやったことと最終的にやりたいこと（出来なかったわけですが）
を添えてメーカに質問した所
出来る筈　なんていう答えが返ってきてるんで逆に悩んでるんですよね

Roosterですか 以前AirH使ってたときに使ってたな～ 懐かしい
（型番は当然違います）
当時IPSec使ってたんですがPPTP設定も確かにありました
ただそのときも非常に不安定だったんですよねぇ（昔の忌まわしい記憶が）
同じ設定なのにつながるときあり・つながらないときありって感じで
IPSecでは安定してた記憶があります
ただ現段階であんまり費用かけなくない事情もあり機器の置き換え
追加などは一切考えてないです
ただRoosterでもイーモバイル使えるような製品が出ているとは
知りませんでしたので参考にしたいと思います
（しかし当時でもRooster結構高かったような記憶が　って見たら・・・・高っ）

って思ったんですがWillComCore3Gも対応してるのか～
（実はイーモバイルとCore3G回線使用してたりして）
・・・・・・（数が結語に再度）悩むかもしれない

貴重な情報ありがとうございました

補足日時：2009/08/13 11:11

No.6 回答者： Donotrely 回答日時： 2009/08/13 17:26

#3です。

まあ考えてみたら確かに、NATというかフォワードと言うか開放と言うか、
WAN側TCP/UDPで1723着信を、LAN側のあるアドレスに送る設定の場合に
それを見てGREもそのアドレスにスルーするようになっていればつながっても良さそうなんですけどね。

残念ながらこれ以上は私の知識では推測できません。
お役に立てなくてすみません。

この回答への補足

いえいえ
自分の中での整理をつけるためにもどんなアドバイスでも有効です
ありがとうございました
（正直言えば書き込みがあると思っていないぐらいでした）

メーカが休みなってしまったのか（未確認）
まだ質問の回答が帰ってきてません

こちらの方でも新たな進展があればここに書き込んでみたいと思います

補足日時：2009/08/14 09:46

この回答へのお礼

ちょっと反応無かったのでつついた所回答が返ってきました
最終的にはメーカ側としてもDMZで対処するしか出来ませんとの結論になりました

まあ確かにVPVパススルーとは書いてなかった気もするので
BUGなのか仕様なのかには深く追求しないことにしました
（そんなこと言ってても不毛だし）

出来る運用して行こうと思います
#6さんへのお礼とさせていただきますが
お二方のアドバイスに感謝いたします
ありがとうございました
（最終的に質問閉じるのは数日後とさせていただきます）

お礼日時：2009/08/21 19:30

No.5 回答者： nnori7142 回答日時： 2009/08/13 12:33

　そうですか。

以前サン電子製ルーターを利用されていたのですか。
　確かにPPTP通信周りのトラブルは多々ありますが、特にルーター内部でのPPTPサーバ機能が利用可能な機材においても、大体のメーカーは同時接続台数が5台迄だったり、ルーター自体のCPUやメモリ仕様での処理能力が要求される部分ですので、個人的には、IPsecアグレッシブモードでの接続が可能な機材であればそちらの方が安定動作した経験がある点、プロバイダや回線等のレスポンスの問題もありますね。

この回答への補足

確かにPPTPは手軽に使える分分いろいろ不具合が発生することがありますね・・・・大抵GREがらみで
（AirH時代はそれが原因でPPTPからIPSecに変えました AirHは固定IPで使用）

>同時接続台数が5台迄だったり
これに関しては1台出来ればいいんです
そもそもXPがノーマル（サーバOSではない）なので3クライアントまでしか
接続できなかったかと思います（5だったかも 忘れました）

クライアントで多数つなげたいときはルータがVPNサーバになれる機器使った方が楽だと考えてます
（会社ですが実際そのような環境も構築しててRTX1000使ってます）

実の所PPTP接続させたい最終的な目的というのがありまして
アクセス禁止回避用のプロキシ代わりにしたいのですよ
（海外アクセス禁止されているところに海外からアクセスしたい）
当然のことながら不正使用目的とか言う話ではなくて
単純にアクセス制限回避を行いたいのです
（使用頻度としても頻繁に行うようなことではありません　あって年に数回）

その際の速度が稼げないのは承知の上です（あくまでアクセス制限回避を目的としています）
※　ブラウズアクセスのみをプロキシ経由アクセスではなくて
　　全パケット対象に行いたいのです
　　（PPTP接続することによって実現できることは既に確認しています）
例）
・出先　－－ 目的のデータへアクセス　　　　　　　　　　　　　ではなく
　　　この場合目的側サーバには出先IPからのアクセスになります
・出先　－－ PPTPサーバ　－－　　目的データへアクセス　　　　としたいのです
　　　この場合目的側サーバにはPPTPサーバからのアクセスになります
この場合PPTP接続後の手順が増えるだけで
出先からの操作はまったく同じものとなります

IPSecでは接続先以外へのデータは直接流れるので上記目的は達成できないんですよね
個人で実現したいことなのでなるべく費用もかけたくありません

有料サービスで同様なサービスが存在しているのは知っています
例）　http://www.interlink.or.jp/service/myip/index.html
ただ別に固定IPにしたいわけでもありませんし
月1000円ほどといっても頻繁に必要とする機能でもないので契約する気は今のところありません
（逆に言えばそれだけでの金額でもかけたくない）

補足日時：2009/08/13 13:03

No.3 回答者： Donotrely 回答日時： 2009/08/13 08:29

#2です。

ポート開放と言うのは、あるひとつのLAN側のアドレスに対してしかできないのでしょうか？
いくつか選べるんでしょうか？

それが一つしかできないならGREもどこに投げるか選ぶ余地無く自動的に決まります。
しかし複数できるなら、TCP/UDPしかNATで投げられないないと、
折角GREがパススルーして入って来てもどこへ投げていいか分かりません。

この辺、機器で可能な設定機能はどうなってますか？

この回答への補足

>ポート開放と言うのは、あるひとつのLAN側のアドレスに対してしかできないのでしょうか？

複数設定可能です（何個までできるかは確認して無いので分かりませんが）
例えば
ポート5900を開放してそれをIPアドレス192.168.1.20に転送する
といったような設定になります
※　転送先のPCは固定IPアドレスを振る必要があります
　　（これはPC側で行っています）
　　上の例はVNCの場合ですがこの設定を行うことで
　　外部からのリモート操作が出来ることを確認しています

>それが一つしかできないならGREもどこに投げるか選ぶ余地無く自動的に決まります。
もっともな話です
メーカにも確認した所それを決めるために上記のように
IPアドレス指定する必要があるのだという回答が返ってきています

ただその設定にプロトコルとしてTCP/UDPしか選べないので
GREはどうするんですか？
と問い合わせた所
それに関してはポート開放ではなくて
[PPTP VPN有効]のチェックをすれば良いという回答で
そのチェックがしてないかポート開放の設定が足りないんではないかと言われている状況です

#ポート1723を使ってGREパケットのやり取りでPPTPが行われている
#と考えれば確かにサポート回答のようにつながってもいいんではないかと考えています
#1723のポート開放設定の有無と上記そのチェックの有無の組み合わせで確認してますが
#確かにそれぞれで挙動は変るんですよね（困ったもんだ）

そんなことは無いだろうと思いつつWEB検索していたら
どこかでポート641が関係あるようなことが書かれていた記事を
見つけたと思ったのですがブックマークしておかなかった為に
現在同じ記事が見つけられていません

ちなみに641を追加してもつながりませんでした
というか1～65535までを転送するように設定したのですがつながりませんでした
（それでつながらないのでもやはサポートも設定ポートが足りないんでは？とはいえないんではないかと考えています）

補足日時：2009/08/13 10:47

No.2 回答者： Donotrely 回答日時： 2009/08/13 06:16

＞・DMZとして設定した場合問題なく接続できる

＆
＞（それまではユーザ認証までは進んでました）

経験的にはメーカが云ってるように、
GRE47番がPPTPサーバにとどいてない可能性が高いですね。

NATの設定はどうですか？
TCP/UDPの1723ポート以外に、
プロトコル番号47番を投げてやる必要がありますが。

もし選べるなら全プロトコルをPPTPサーバに投げてテストし、
うまくいったら絞り込むという手順が能率がいいんですけどね。

この回答への補足

アドバイスありがとうございます

>経験的にはメーカが云ってるように、
>GRE47番がPPTPサーバにとどいてない可能性が高いですね。
それはメーカが言ってるんじゃなくて挙動を見ての私の予測です
それを踏まえてメーカに問い合わせた所　[PPTP VPN有効]　を
チェックすればGREパケットが通過するようになるとのことでした
（そのチェックは既にしてました）

通常のフィルタ設定の対象はTCP/UDPのみ上記チェックをすることで
GREも対象となる　　らしいです

DMZ設定にしても [PPTP VPN有効]　をチェックしないと接続できない為
確かに何らかの違いはありそうです

>NATの設定はどうですか？
>TCP/UDPの1723ポート以外に、
>プロトコル番号47番を投げてやる必要がありますが。

NATというかポート開放の設定自体がが転送設定になっていて
どの機器に対して行うかを設定する形となっています

私の理解も正確ではないのですがPPTP通信は
ポート1723を使ってTCP/GREパケットのやり取りになるのとは違うのでしょうか？
そうだとすれば　ポート開放　1723 プロトコルTCP/UDP　と
（プロトコルとしてTCP/UDPしか選択できません）
[PPTP VPN有効]を有効にすれば基本間違っていないのではないのかと理解しています
（この設定でGREパケットが通過するようになるとメーカ回答を受けています）

# 実際、他の環境ではPPTP設定で1723とGREの設定しかしていません
# （YAMAHA RTX1000 と XP間でのPPTP設定での話）

>もし選べるなら全プロトコルをPPTPサーバに投げてテストし、
>うまくいったら絞り込むという手順が能率がいいんですけどね。

さすがに其処まではできないです（設定もないし）

ただ#1さんの補足に書きましたが
全ポートのTCP/UDPを転送設定しても接続できない為
何らかのBugがあるのではないかと思っているところです

仕様って言われて逃げられることもあるかもですが
（サポートで出来るって言ったのは何なんだよ　って気になるかもしれませんけど）

補足日時：2009/08/13 06:44

No.1 回答者： nnori7142 回答日時： 2009/08/13 04:05

　お尋ねの件ですが、考えられる要因は幾つかありますが、既設無線ルーターの仕様を拝見するとPPTPパススルー制御がうまくいかない（GREパケットの通過設定）ケースですが、通常他社SOHO向けルーターでしたらGREパケットをパケットフィルタ制御内に登録し、TCP1723と合わせてルール規定するだけでOKなので、そのあたりの通信制御がうまくいかないルーターかと存じます。

ニュアンス的に「PPTP VPN有効」機能は、こちらのルーターの配下に接続されているPCが、ルーターに追装しているデータ通信カードにてPPTPクライアント通信を発信若しくは、ダイアルアップVPN発信制御も機能的に使う場合の設定箇所かと存じます。ルーター本体としては、こちらの配下にPPTPサーバが存在する場合には、GREパケットを外部から透過出来ない仕様はメーカーサポート情報にて雰囲気で解りましたよ。
　よって、ルーター本体のWAN～LAN通信制御仕様としてPPTPパススルーに対応出来るルーターを追加導入をお勧め致します。
　お勧めは、アライドテレシス製「CentreCOM AR260S V2」や、ヤマハ製「RT58i」、Planex製「BRC-14VG」あたりですが、こちらの機材ですと細かくパケット制御内設定にて、GRE透過設定及びVPN PPTPルール規定可能な機材となります。お持ちのルーターですと方法論的にDMZ開放しかないのでは
？　

この回答への補足

回答ありがとうございます
>GREパケットをパケットフィルタ制御内に登録し、TCP1723と合わせてルール規定するだけでOKなので
そうですよね　他にポートなんか無いですよねぇ
その後テストしてましてファームのBUG（最終的には仕様って逃げられるかもですが）の気がしてきてます
というのもポート開放にて設定できる全ポ－トをPPTPサーバに向けても接続できなかったので（その旨メーカには連絡しました）

一応サポートからは出来るはずだと言う回答は受けてるんですけど
実の所疑ってかかってます（私としても最悪DMZで出来るからいいか～って思いもある）

DMZ設定にしてても PPTP VPN有効 にしないと接続できないので
それは生きているんだと思います
# これでGREパケット通過設定がされるらしいです

最悪DMZで実現できることはわかってるんでそれでもいいんですが
直結になってしまうので他のLAN PCと共有など考えると
DMZには極力したくないんですよね

更に回線の関係上（イーモバイル接続）該当ルータを置き換えすることも出来ないんです
イーモバイルなので余りルータ中継させたくも無いですし
下手するとイーモバイルが数ヶ月したらWiMaxになる可能性もあるので
今の段階で費用かけてまで実現したいとは思っていないのです

PLANEXの同等製品を前に使ってましたが
安定性の悪さサポートの質の低さファームの出来の悪さで
PLANEXには見切りを付けて本製品に置き換えました
（しばらくPLANEX製品に手を出すことは無いでしょう）

尚状態悪化したと書いてたのは私の操作ミスだったのか現状では回復しています

しばらくはメーカとのやり取りとここでの情報待ちという形でのテストが続きそうです

補足日時：2009/08/13 04:38