RTX1300 ルーター設定

// RTX1300 — Edge Router / MAP-E / NAT / Filter — 2026-05-14 改定後

稼働中 Yamaha RTX1300 / 業務フレッツ光 + 固定IP / MAP-E / VLAN60 経由で 12XS と接続

役割
  • Edge Router: Internet (OCN フレッツ光 / MAP-E) ↔ 内部
  • NAT: 外部 → 内部 (descriptor 20000)
  • IP Filter: tunnel 1 secure filter で公開ポートのみ通す
  • LAN1 LAG: 48T Po2 (Gi1/0/1, Gi1/0/2) と 2G LAG
  • LAN3: 12XS Te2/0/1 (VLAN60 専用 L3 経路)
静的 NAT (descriptor 20000 / MAP-E)
IDプロトコル外部ポート転送先用途
10UDP54024192.168.70.30maguro wg-clients
11TCP443192.168.20.21R640 nginx SNI (katuocloud.com + cloud.k2-o.net passthrough)
12TCP80192.168.20.21R640 nginx (→ 301 / ACME challenge)
13UDP61001192.168.70.30maguro wg-customers
14UDP62001192.168.30.30maguro wg-storage
重要: nat descriptor 1 は空 (未使用)。 有効なのは descriptor 20000 のみ。 設定変更時は descriptor 20000 側を編集すること。
2026-05-14 改定ポイント
NAT ID旧転送先新転送先理由
10 (UDP 54024)192.168.20.21 (R640 wg0)192.168.70.30 (maguro wg-clients)WG 一式 maguro 移植
13 (UDP 61001)(新規)192.168.70.30 (maguro wg-customers)新規追加
14 (UDP 62001)(新規)192.168.30.30 (maguro wg-storage)新規追加
11 (TCP 443)192.168.20.21 (R640 nginx)192.168.20.21 (R640 nginx SNI router)役割を SNI router に変更
追加した IP Filter ルール
番号内容
400060pass * 192.168.70.30 udp * 54024 (wg-clients)
400061pass * 192.168.20.21 tcp * 443 (HTTPS to R640 SNI)
400062pass * 192.168.20.21 tcp * 80 (HTTP, ACME challenge)
400063pass * 192.168.70.30 udp * 61001 (wg-customers)
400064pass * 192.168.30.30 udp * 62001 (wg-storage)

tunnel 1 secure filter in (現在の設定):

ip tunnel secure filter in 400060 400061 400062 400063 400064 \
                            400214 400210 400211 \
                            400003 400020 400021 400022 \
                            400023 400024 400025 \
                            400030 400032
物理 LAN 配線
ポート用途接続先VLAN
LAN1:1, LAN1:2MGMT LAG (Po2 48T側)48T Gi1/0/1, Gi1/0/210 (MGMT)
LAN312XS L3 経路12XS Te2/0/160 (WAN-LINK)
WANOCN フレッツ光 (固定IP)ONU—
主要管理コマンド
# 設定確認
show config

# NAT 設定確認
show nat descriptor address 20000

# トンネル状態確認
show status tunnel 1

# IPv6 状態確認
show status ipv6

# ARP テーブル確認
show arp

# ログ確認 (公開ポート関連)
show log

# LAN1 LAG (LACP/static) 状態
show status lan1

# 設定保存
save
SSH 接続 (運用)
# 管理 PC から RTX1300 への SSH
ssh -o KexAlgorithms=+diffie-hellman-group14-sha1 \
    -o HostKeyAlgorithms=+ssh-rsa \
    -o MACs=+hmac-sha1 \
    admin@192.168.10.254

※ 旧式 KEX / HostKey が必要 (RTX OS の制約)。

VLAN60 経路 (12XS との L3 接続)

RTX1300 LAN3 (192.168.60.254/24) ↔ 12XS Te2/0/1 (192.168.60.1/24)。 12XS の SVI から各 VLAN への L3 routing をここで終端し、 RTX1300 が default route と NAT を持つ。

各 VLAN SVI (12XS) │ Vlan10 → 192.168.10.1 │ Vlan20 → 192.168.20.1 ← サーバの Default GW │ Vlan30 → 192.168.30.1 │ Vlan50 → 192.168.50.1 │ Vlan70 → 192.168.70.1 ▼ Vlan60 → 192.168.60.1 (12XS) │ ▼ Te2/0/1 (VLAN60 access) RTX1300 LAN3 (192.168.60.254/24) │ ▼ Internet (MAP-E + 固定IP)
過去の教訓・トラブルメモ
  • nat descriptor 1 vs 20000: Yamaha RTX は descriptor 番号で挙動が変わる。 MAP-E では 20000 系を使う。 1 を編集しても何も起きないので注意。
  • secure filter の順序: 番号順に評価される。 400060/61/62/63/64 を 4002xx より 先に 並べないと公開ポートが drop されることがある。
  • LAN1 LAG の落とし穴: 48T 側は static (on) で組んでいる (LACP active ではない)。 LACP active で組むと RTX1300 が ID 不一致でリンクが上がらなかった (相互運用問題)。
  • R640 → maguro NAT 切替: WG 移植時に NAT 先 IP を変更。 切替の瞬間 WG は 1〜2 ハンドシェイクぶん切れたが、 PersistentKeepalive=25 で自動復活。
  • 業務フレッツ光 固定IP: 「原則変わらない」契約だが、 万一変わった時のために Cloudflare DNS A レコードを 1 か所更新するだけで済む設計に。 RTX NAT は内部 IP 指定なので影響なし。
セキュリティ補足: 公開しているのは TCP 443/80 + UDP 54024/61001/62001 のみ。 内部 SSH / NC は WG 越し以外不可。 admin / office / mail 等の管理系 FQDN は外部 DNS に出していない。
改定履歴
日付変更
2026-03VLAN60 新設 (RTX1300 LAN3 ↔ 12XS L3 経路)
2026-05-13VLAN70 新設対応の準備 (12XS 側のみ作業)
2026-05-14WG NAT 先を R640 → maguro へ切替 (10/13/14)、 filter 400063/64 追加