🔍 ネットワーク機器 検査レポート

🔧 みーきゅんクラウド VLAN60ネットワーク大規模再設計 — Claude Code 自動実行指示書

この指示書をそのままClaude Codeに貼り付けてください。 事前に https://wanchance.com/next-mission/ と https://wanchance.com/ip-daichou/ と https://wanchance.com/infra/ を読み込ませてから実行してください。

📋 作業概要

みーきゅんクラウドのネットワーク大規模再設計を自動実行してください。 作業対象は以下の4台です：

🔐 権限と自動承認ルール

以下のルールを厳守してください：

1. 自動承認（確認不要で実行してよい）：

   • R640/SM/12XS/48T/RTX1300 へのSSH接続・コマンド実行
   • スイッチ/ルーターの設定変更（VLAN作成、ACL変更、ポート変更、ルーティング変更）
   • R640上のサービス停止/起動/無効化（Squid含む）
   • R640上のファイル編集・削除・バックアップ
   • netplan変更・適用
   • write memory / save（設定保存）
   • すべてのping/traceroute/show系コマンド
   • ファイルの作成・出力

2. 禁止事項（絶対にやらないこと）：

   • wanchance.com 以外の外部サーバーへのSSH接続
   • 機器の再起動（reboot/reload）— 明示的に指示があった場合のみ可
   • 既存のWireGuard設定の変更（wg0.conf, wg-admin等）
   • Nextcloudのデータ/設定の変更
   • Docker コンテナの停止・削除

3. 物理作業が必要な場合：

   • ケーブル差し替え等の物理作業が必要な箇所は スキップ してください
   • スキップした作業は最終報告書の「物理作業待ちリスト」にまとめてください
   • 論理設定変更で対応可能な部分はすべて自動実行してください

4. 途中確認は不要：

   • 「実行してよいですか？」等の確認は一切不要です
   • 各Phaseを順番に自動実行し、各Phase完了後に結果をログに記録してください
   • エラーが発生した場合のみ停止し、エラー内容を報告してください

🎯 実行する変更内容（6項目）

変更1: VLAN60新設（RTX↔12XS間 P2Pリンク）

• 12XSにVLAN60（WAN-LINK）を作成、SVI: 192.168.60.2/24
• Te2/0/1（RTX接続ポート）を現在のtrunk → access VLAN60 に変更
• RTX1300 LAN3のIPを 192.168.10.254 → 192.168.60.1/24 に変更

変更2: RTX1300 NAT/ルーティング移行

• NATの内側インターフェースをVLAN10→VLAN60に変更
• static routeのnext-hopを 192.168.10.1 → 192.168.60.2 に変更
• VLAN10/30向けルートは削除（到達不可が正しい設計）
• WireGuard NATポートフォワード（UDP:54024, TCP:443, TCP:80）は維持

変更3: VLAN10完全閉域化

• 12XSから interface vlan 10 を削除（SVI削除）
• VLAN10は48T内でL2完結させる
• 48Tに必要ならVLAN10 SVI (192.168.10.1/24) を設定

変更4: Po1をVLAN50専用に変更

• 12XS側: Po1 (Te2/1/3 + Te2/1/4) を trunk → access VLAN50 に変更
• 48T側: Po1 (Te1/1/3 + Te1/1/4) を trunk → access VLAN50 に変更
• VLAN10はPo1から除外される（48T内完結のため不要）

変更5: Squid廃止 → 48T ACLでVLAN50フィルタ

• R640上のSquidを停止・無効化
• Chrome .desktopのproxy設定を復元
• APT proxy設定（/etc/apt/apt.conf.d/01proxy）を削除
• 48TにVLAN50用ACLを作成（許可先IPリストは後述）

変更6: 12XS外部向けACL削除

• VLAN20_INGRESS, VLAN40_EGRESS, VLAN50_EGRESS 等の外部向けACLを削除
• VLAN間分離用ACL（STORAGE保護等）は残す
• default routeを 192.168.10.254 → 192.168.60.1 に変更
• VLAN40 STP priority を 4096 に設定（検査レポートで未設定と判明）

📝 実行手順（この順番で実行すること）

Phase 0: 情報収集と事前準備

# 0-1. 全機器の現行config取得・保存
# RTX1300
ssh admin@192.168.10.254 "show config" > /tmp/rtx1300-config-backup.txt

# 12XS
ssh admin@192.168.10.1 "show running-config" > /tmp/12xs-config-backup.txt

# 48T
ssh admin@192.168.10.2 "show running-config" > /tmp/48t-config-backup.txt

# R640
cp /etc/netplan/*.yaml /root/backup-netplan-pre-vlan60/
cp -r /etc/squid/ /root/backup-squid-pre-vlan60/

# 0-2. 現在の状態を記録
# 各機器の show vlan brief / show ip route / show interface status / show etherchannel summary を取得
# RTXの show nat descriptor address / show status tunnel 1 を取得

重要: Phase 0で取得したconfigを分析し、以降のPhaseのコマンドを具体化してから進むこと。 特に以下を確認：

• RTX1300の nat descriptor 番号と設定内容
• RTX1300の ip filter 番号体系
• RTX1300の ip route 設定一覧
• 12XSの現行ACL名と内容（外部向けACLの特定）
• 12XSの Te2/0/1 の現行設定
• Po1 の現行trunk設定（allowed vlan）
• 48Tの現行ACL

Phase B: VLAN60新設

# B-1. 12XSにVLAN60作成
ssh admin@192.168.10.1
conf t
vlan 60
 name WAN-LINK
exit
interface vlan 60
 ip address 192.168.60.2 255.255.255.0
 no shutdown
exit
end
write memory

# B-2. Te2/0/1をVLAN60 accessに変更
# ⚠️ この瞬間RTXとの通信が一時的に切れる
# B-3のRTX設定と素早く連続で実施すること
conf t
interface Te2/0/1
 switchport mode access
 switchport access vlan 60
 no shutdown
exit
end
write memory

# B-3. RTX1300 LAN3をVLAN60に変更
# ※ RTXのconfigを確認して正確なコマンドを確定すること
# 基本形:
ssh admin@192.168.10.254   # ← この時点でVLAN10経由で到達できない可能性あり
                            # コンソール接続 or 48T経由OOBで対応が必要な場合あり
ip lan3 address 192.168.60.1/24

# B-4. 疎通確認
# 12XSから: ping 192.168.60.1
# RTXから: ping 192.168.60.2

⚠️ Phase Bの重要な注意点: Te2/0/1をVLAN60に変えた瞬間、RTXのLAN3(192.168.10.254)と12XSのVLAN10 SVI(192.168.10.1)が別VLANになるため通信断が発生する。

対処法（以下のいずれかで対応）：

1. RTX1300にOOB経由（48T Gi1/0/1 → VLAN10）でアクセスできる場合はそちらから設定変更
2. RTX1300のコンソール接続が必要な場合は「物理作業待ち」としてスキップ
3. 12XS側でVLAN10 SVIを残したまま先にRTXを変更し、確認後にVLAN10 SVIを削除する順序に変更

推奨: 手順3の安全な順序で実施：

• まず12XSにVLAN60 SVIを追加（既存VLAN10はそのまま）
• Te2/0/1をtrunkのままVLAN60を追加（switchport trunk allowed vlan add 60）
• RTX LAN3にVLAN60 tag付きで接続するか、別ポートでVLAN60接続
• VLAN60経由の疎通確認後に、Te2/0/1からVLAN10を除外

Phase C: RTX1300 NAT/フィルター移行

Phase 0で取得したRTX configを分析し、以下を実行：

# C-1. static route変更
# 旧ルート削除（existing routeを正確に確認してから）
# 例:
no ip route 192.168.20.0/24 gateway 192.168.10.1
no ip route 192.168.30.0/24 gateway 192.168.10.1
no ip route 192.168.40.0/24 gateway 192.168.10.1
no ip route 192.168.50.0/24 gateway 192.168.10.1

# 新ルート追加（VLAN60経由）
ip route 192.168.20.0/24 gateway 192.168.60.2
ip route 192.168.40.0/24 gateway 192.168.60.2
ip route 192.168.50.0/24 gateway 192.168.60.2
# ※ VLAN10/30のルートは追加しない（到達不可が正しい）

# C-2. NAT descriptor変更
# ※ Phase 0で確認したnat descriptor番号に合わせて変更
# 内側アドレスレンジを確認し、VLAN60経由のサブネットをNAT対象に

# C-3. WireGuard NATポートフォワード確認
# UDP:54024 → 192.168.20.21 が維持されていることを確認
# TCP:443 → 192.168.20.21
# TCP:80 → 192.168.20.21

# C-4. フィルター設定
# RTXのWAN inbound/outbound フィルターを確認
# VLAN60サブネット(192.168.60.0/24)からの通信を許可するフィルタを追加
# 不要になったVLAN10向けフィルタを整理

# C-5. IPv6 RA制御
# LAN3以外のインターフェースでRA無効化を確認

# C-6. 設定保存
save

Phase D: 12XS ルーティング変更・ACL整理

# D-1. default route変更
conf t
no ip route 0.0.0.0 0.0.0.0 192.168.10.254
ip route 0.0.0.0 0.0.0.0 192.168.60.1

# D-2. 外部向けACL削除
# Phase 0で特定した外部向けACLを削除
# 例: VLAN50_EGRESS, VLAN20_INGRESS, VLAN40_EGRESS 等
# ※ VLAN間分離ACL（STORAGE保護等）は残すこと

# D-3. VLAN40 STP priority修正
spanning-tree vlan 40 priority 4096

# D-4. NTP設定（検査レポートで未設定と判明）
ntp server 192.168.10.254

# D-5. logging level修正
no logging buffered debugging
logging buffered 65536 informational

end
write memory

# D-6. 疎通確認
# DarkHero(VLAN40) → ping 8.8.8.8
# R640(VLAN20) → ping 8.8.8.8
# traceroute 8.8.8.8 で 192.168.60.1 が経路に見えることを確認

Phase E: VLAN10のXSからの切り離し

# E-1. 12XS VLAN10 SVI削除
conf t
no interface vlan 10
end
write memory

# E-2. 48TにVLAN10 SVI設定（管理用）
ssh admin@192.168.10.2
conf t
interface vlan 10
 ip address 192.168.10.1 255.255.255.0
 no ip route-cache
exit
end
write memory

# E-3. 確認
# VLAN10機器間ping → 成功
# VLAN10 → ping 8.8.8.8 → timeout（正しい）

Phase F: Po1をVLAN50専用に変更

# F-1. 12XS側
ssh admin@192.168.10.1
conf t
interface Port-channel1
 switchport mode access
 switchport access vlan 50
exit
interface range TenGigabitEthernet2/1/3 - 4
 switchport mode access
 switchport access vlan 50
exit
end
write memory

# F-2. 48T側（⚠️ この時点で48TへのSSH経路を確認）
# Po1がVLAN50になると、48TへのSSHはVLAN10経由のみ
# 48TのVLAN10 SVIにIPがあることを確認してからPo1を変更
ssh admin@192.168.10.2
conf t
interface Port-channel1
 switchport mode access
 switchport access vlan 50
exit
interface range TenGigabitEthernet1/1/3 - 4
 switchport mode access
 switchport access vlan 50
exit
end
write memory

# F-3. 確認
# show etherchannel summary → Po1がVLAN50 accessであること
# R640(192.168.50.10) → ping 192.168.50.1 (12XS VLAN50 SVI)

Phase G: 48T VLAN50 ACL設定

# G-1. VLAN50 ACL作成
# 以下のドメインのIPレンジを許可するACLを作成
# まずdigでIP確認:
dig +short archive.ubuntu.com
dig +short security.ubuntu.com
dig +short registry-1.docker.io
dig +short pypi.org
dig +short github.com
dig +short dl.google.com

# 48TにACL設定（IPベース）
ssh admin@192.168.10.2
conf t

ip access-list extended VLAN50_UPDATE_FILTER
 ! DNS (必須)
 permit udp 192.168.50.0 0.0.0.255 any eq 53
 permit tcp 192.168.50.0 0.0.0.255 any eq 53
 ! HTTP/HTTPS (許可先のみ — CDN利用のため広めに許可)
 permit tcp 192.168.50.0 0.0.0.255 any eq 443
 permit tcp 192.168.50.0 0.0.0.255 any eq 80
 ! NTP
 permit udp 192.168.50.0 0.0.0.255 any eq 123
 ! ICMP (ping許可)
 permit icmp 192.168.50.0 0.0.0.255 any
 ! 上記以外は拒否
 deny ip any any log

! ACL適用（VLAN50 SVI に適用）
interface vlan 50
 ip access-group VLAN50_UPDATE_FILTER in
exit
end
write memory

# ※ 注意: 上記ACLはHTTP/HTTPS全許可の暫定版です
# ドメインベースのフィルタはL3 ACLでは困難なため、
# ポートベース（443/80許可、それ以外拒否）で暫定運用し、
# 将来的にはRTX1300側でより細かいフィルタを追加する方針

Phase H: Squid廃止・R640整理

# H-1. Squid停止・無効化
sudo systemctl stop squid
sudo systemctl disable squid

# H-2. Chrome .desktop復元
sudo cp /usr/share/applications/google-chrome.desktop.bak \
       /usr/share/applications/google-chrome.desktop

# H-3. APT proxy削除
sudo rm -f /etc/apt/apt.conf.d/01proxy

# H-4. R640 netplan確認
# デフォルトルートがVLAN20 GW(192.168.20.1)経由であることを確認
cat /etc/netplan/*.yaml | grep -A5 routes
ip route show default

🔍 Phase Z: 最終検査（全項目実施すること）

全Phaseの作業完了後、以下のテストをすべて実施し結果を記録してください。

# === 外部接続テスト ===
# Z-1. VLAN40(DarkHero) → Internet
# DarkHeroにSSHできない場合はスキップし報告

# Z-2. VLAN20(R640) → Internet
ping -c 3 8.8.8.8
traceroute -m 5 8.8.8.8    # 192.168.60.1が経路に見えること

# Z-3. VLAN50(R640 UPDATE) → apt update
sudo apt update              # 成功すること

# Z-4. VLAN50 → 許可外アクセス
curl -s --connect-timeout 5 https://twitter.com  # 拒否されること

# Z-5. VLAN20 IPv6（WGクライアント確認が必要な場合はスキップ）
ping6 -c 3 google.com

# === 閉域テスト ===
# Z-6. VLAN10 → Internet（48T経由で確認）
# VLAN10機器から ping 8.8.8.8 → timeout であること

# Z-7. VLAN10 内部通信
# VLAN10機器間 ping → 成功すること

# Z-8. VLAN30 → Internet
# VLAN30にIPがあるR640(192.168.30.20)から
# ping -I 192.168.30.20 8.8.8.8 → timeout

# === サービス確認 ===
# Z-9. NFS
showmount -e 192.168.30.30
mount | grep nfs

# Z-10. WireGuard
sudo wg show wg0
# handshake時刻が最近であること

# Z-11. dnsmasq
sudo systemctl status dnsmasq

# Z-12. nginx
sudo nginx -t
sudo systemctl status nginx

# Z-13. Nextcloud
curl -sk https://cloud.k2-o.net/status.php | grep installed
# "installed":true であること

# Z-14. Collabora
sudo docker exec -u www-data nextcloud-stack-app-1 php occ richdocuments:activate-config

# Z-15. R640 IPv6 グローバルアドレス確認
ip -6 addr show | grep "scope global"
# グローバルIPv6が付いていないこと（VLAN10閉域化の効果確認）

# === スイッチ状態確認 ===
# Z-16. 12XS
ssh admin@192.168.10.1
show vlan brief
show ip route
show etherchannel summary
show spanning-tree summary
show access-lists

# Z-17. 48T
ssh admin@192.168.10.2
show vlan brief
show etherchannel summary
show access-lists

# Z-18. RTX1300
ssh admin@192.168.10.254   # VLAN60経由で到達確認
show config
show ip route
show nat descriptor address
show status tunnel 1

# Z-19. Po1確認
# 12XS: show interface Port-channel1 → VLAN50 access であること
# 48T: show interface Port-channel1 → VLAN50 access であること

# Z-20. Squid無効化確認
systemctl is-enabled squid    # disabled であること
systemctl is-active squid     # inactive であること

📄 最終出力物（すべて作成すること）

出力1: 作業報告書

作業の全ログ、各Phaseの実行結果、テスト結果をまとめた報告書を作成してください。

出力2: 物理作業待ちリスト

スキップした作業がある場合、その一覧と必要な物理作業の内容をまとめてください。

出力3: 完成後の全体構成ドキュメント（HTML）

これが最も重要な出力物です。

以下の内容を含む、WordPressカスタムHTMLブロックにそのまま貼れる完成HTML形式で出力してください：

• <section class="mikyun-doc"> から開始
• <style> を内包（背景透明、14px基準、ダーク/ライト対応）
• h1/h2不使用、.title .section .sub を使用

含める内容：

1. 新ネットワーク全体構成図（ASCII） — VLAN60を含む完成後のトポロジー
2. 完成後の全VLAN設計一覧 — VLAN10〜60、999
3. 完成後のIPアドレス台帳（全機器・全IF） — R640/SM/DH/RTX/12XS/48Tの全NIC
4. 12XSポートマップ（完成版） — 全ポートの接続先・VLAN・モード
5. 48Tポートマップ（完成版） — 全ポートの接続先・VLAN・モード
6. RTX1300構成（完成版） — LAN/NAT/フィルター/ルーティング
7. VLAN間通信マトリクス — どこからどこに通信できるか
8. IPv6ポリシー表
9. DNS設計表
10. 装置別役割分担表
11. 全体ルール集（設計の憲法） — DGWルール、DNS禁止ルール、Fabric原則等
12. ACL一覧（12XS/48T/RTX） — 残存ACLの内容と適用箇所
13. Squid廃止の記録 — 廃止日時、旧allowed-domains.txt、旧設定内容

出力ファイル名: mikyun-cloud-network-final-config.html

⚠️ エラー時の対応ルール

1. SSH接続失敗: 3回リトライ。それでも失敗なら「物理作業待ち」としてスキップ
2. コマンドエラー: エラー内容を記録し、代替コマンドを試行。解決不能なら報告して次のPhaseへ
3. 通信断: Phase B/Cで通信断が発生した場合、2分待ってリトライ。復旧しなければロールバック実行：
   • 12XS: ip route 0.0.0.0 0.0.0.0 192.168.10.254 + Te2/0/1をtrunk VLAN10に戻す
   • RTX: load /flash/backup-pre-vlan60.config
4. テスト失敗: 失敗したテスト項目を報告書に記録。致命的な場合（DarkHeroがInternet到達不可等）はロールバック

🏁 完了条件

以下がすべて満たされたら作業完了：

• [ ] VLAN60新設・疎通確認済み
• [ ] RTX NATがVLAN60経由で動作
• [ ] VLAN10が48T内で完全閉域化（Internet到達不可確認済み）
• [ ] Po1がVLAN50 accessに変更済み
• [ ] Squid停止・無効化済み
• [ ] 48T VLAN50 ACL適用済み
• [ ] 12XS外部向けACL削除済み
• [ ] 全テスト項目（Z-1〜Z-20）実施・結果記録済み
• [ ] 最終構成ドキュメント（HTML）出力済み
• [ ] 作業報告書出力済み

すべて完了したら「作業完了」と報告してください。お疲れ様です！