先日、事務所のインターネット回線をフレッツ光クロス環境へ移行しました。

回線速度そのものは問題なく、インターネット接続も無事に復旧しました。ところが、そのあとにハマったことがありました。

それが、固定IPを使った社内サーバへの外部接続です。

当社では、社内でFileMaker ServerやSynology NASを利用しています。外出先からFileMakerに接続したり、Synology Driveでファイル同期を行ったりするため、固定IPとドメインを使って外部からアクセスできるようにしていました。

DS-LiteとIPIPを混同していた

今回いちばんハマったのは、ここだったと思います。

フレッツ光クロス移行後、ルーター側ではIPv4 over IPv6の設定を行います。そこで最初は、通常のインターネット接続としてDS-Liteの設定を追っていました。

実際、DS-Liteでインターネットには出られます。IPv6も問題なく使えます。見た目としては「つながっている」状態です。

ただ、固定IPを使って外部から社内サーバへ入る場合、今回必要だったのはDS-Liteではありませんでした。

必要だったのは、固定IPサービス用のIPIP接続でした。

ここを理解するまで、少し遠回りしました。

ざっくり整理すると、今回の自分の理解ではこうです。

DS-Lite
→ 通常のIPv4通信に使う
→ 外向き通信はできる
→ 固定IPでの外部公開には向かない

IPIP
→ 固定IPサービス側で使う
→ 外部から固定IP宛にアクセスするために必要

以前は、固定IPの情報がプロバイダからそのまま送られてきて、それをルーターに設定する感覚でした。そのため、今回も同じように考えてしまいました。

しかし今回は、固定IPそのものを直接設定するというより、ルーターが固定IP用の接続情報を取得するための認証情報が必要でした。

プロバイダの管理画面に、自動設定取得ID と 自動設定取得パスワード が表示されていました。

これを見落としていたため、最初はルーター側で国内標準プロビジョニング方式を使っても、うまく固定IP側の接続が確立できませんでした。

RTX830側では「ユーザー認証あり」にする必要があった

RTX830側では、IPv4 over IPv6トンネルの設定で、国内標準プロビジョニング方式を使います。

ここで最初は、ユーザー認証を使用しない設定にしていました。

通常のDS-Lite接続であれば、それでも動く場合があります。しかし、今回の固定IPサービスでは、プロバイダ管理画面に表示されていた自動設定取得IDとパスワードを使う必要がありました。

そのため、最終的には以下のような考え方になりました。

IPv4 over IPv6トンネル：使用する
国内標準プロビジョニング方式：使用する
ユーザー認証：使用する
自動設定取得ID：プロバイダ管理画面の値
自動設定取得パスワード：プロバイダ管理画面の値

この設定にしたところ、ようやく固定IP側の接続が確立しました。

ここまで来るのに、DS-Lite側を疑ったり、XG-100NE側の設定を確認したり、RTX830のトンネル状態を見たりと、かなり遠回りしました。

実はこの設定に辿り着くまで。平日午後の3時間、まるまるネットが繋りませんでした。復旧の見込みも手探りだったので、かなり焦りました。繋がった時にはホッとしましたし、どっと疲れました。

ルーター側の設定も、接続経路に合わせる必要がある

もうひとつハマったのが、ルーター側のNAT設定です。

外部からFileMaker Serverへ接続する場合、FileMakerでは通常 TCP 5003 を使います。

そのため、ルーターで以下のように転送する設定が必要です。

外部 TCP 5003
↓
社内のFileMaker Server

ただし、今回のようにIPv4 over IPv6や固定IP用のトンネルが複数ある環境では、どのNAT設定にポート転送を追加するかが重要でした。

最初は別のNAT設定に追加していたため、設定自体は正しく見えていても、実際の固定IP経路には効いていませんでした。

最終的には、固定IP側のNAT設定に対して、

TCP 5003 → FileMaker Server

を追加することで、外部からFileMaker Goで接続できるようになりました。

Synology Driveも同じ考え方で解決

同じ考え方で、Synology NASの外部接続も見直しました。

Synology Driveの同期に使うポートは TCP 6690 です。

そのため、固定IP側のNAT設定に、

TCP 6690 → Synology NAS

を追加したところ、こちらも無事に外部から接続できるようになりました。

DSMの管理画面を外部公開する方法もありますが、セキュリティ面を考えると、必要なポートだけを開ける方が安全です。

今回はSynology Driveの利用が目的だったため、まずは 6690 のみを開ける形にしました。

今回の教訓

今回の教訓は、かなりはっきりしています。

固定IPサービスを追加した場合、通常のIPv4 over IPv6接続と固定IP用の接続を分けて考える必要がある。

特に、DS-Liteでインターネットに出られているからといって、固定IPで外部公開できるとは限りません。

また、ルーター側のNAT設定も、固定IP側の接続経路に対して設定しないと意味がありません。

今回のポイントをまとめると、以下のようになります。

通常のインターネット接続確認だけでは不十分
固定IPサービスではIPIP側の接続情報を確認する
自動設定取得IDとパスワードを見落とさない
ルーターのNAT設定は固定IP側の経路に追加する
FileMakerは TCP 5003
Synology Driveは TCP 6690

以前は固定IP情報がわかりやすく提供されていたため、今回もその感覚で進めてしまいました。

しかし、フレッツ光クロスやIPv4 over IPv6の環境では、接続方式によって見るべき設定が変わります。

「インターネットには出られるのに、固定IPで外から入れない」という状態になったら、まずはDS-LiteとIPIPを分けて考えるのがよさそうです。

今回はかなりハマりましたが、そのぶん次に同じような環境を設定するときには、かなり落ち着いて対応できそうです。