IPoE（IPv6）+PPPoE（IPv4）環境でスマホdeひかり電話

スマホdeひかり電話はNTT東日本がお勧めしている内線電話機能

知っている人は知ってる。知らない人は知らなかった。そんな機能に目を付け、スマホdeひかり電話と名打ってNTT東日本がお勧めしているのがスマートフォンの内線電話機化。

NTT東日本公式サイトでは以下のように紹介されている。

スマホを「ひかり電話」の電話機として使ってみませんか？
「スマホdeひかり電話」があなたの暮らしをもっと快適に。

自分は、知っている人は知っている人だったので、NTT東日本のサイトに紹介される前から使っていた。
わけだが、IPv6接続サービスを導入して以来、何かと不具合が発生し使用を控えていた。
ただ、外出先から自宅への電話がほぼ無料になるなど、やはりとても便利でメリットある機能。復活させるため頑張ってみた。

ところで、スマホdeひかり電話を使うには、電話アプリケーションが必要。
過去には，様々な電話アプリケーションが公開されていたのだが、何故か日本からはインストール出来なくなっていた。この Media5-foneもその一つで、iPhone内に使われずに残っていたモノ。バージョンは、Pro v4.2。一応、iOS12でも使えている。

現状のネットワーク環境を弄りたくない

今現在の自宅のネットワーク環境はご覧の通りな状況。

NTT東日本レンタルの HGWのモードはブリッジ。その配下に 3台のルーター。一部は外部公開用 WEBサーバー等が接続されている。実はご覧のこのサイトもその一つ。

インターネットとの接続は、Router1が IPoE（IPv6）とPPPoE（IPv4）、他は PPPoE（IPv4）のみ。
IPv4と IPv6の二つのアドレス管理はとても煩雑になるので、VLANを切らず、各ルーターの LAN側は全て同一のセグメントのネットワークにしている。

IPv4の DHCPは Router1に請け負わせ、接続端末にどのデフォルトゲートウェイを使わせるかは、その DHCPのオプションで指定している。

出来ることなら、現状の各機器の設定は弄りたくない。難しいことは嫌いなのだ。

ところでIPv6を通すと何が問題なのか…原因究明

スマホdeひかり電話を使うに当たって、IPv4のみの時代は、点線のルートに LANケーブルを這わせ、HGWにローカルな IPアドレスを振ってあげるだけで物理的なネットワーク環境の設定は完了していた。（HGWの電話設定や電話アプリケーションの設定を除けば）

ところが、これに IPv6を通すと想定外の動きをする。どのような問題が発生するのか、また、その原因は何なのか。代表例を 2つばかり。

問題と原因…その１

接続端末に、ルーターと HGWの 2箇所から DHCPv6-PDや RAが降り注ぐ。

⇒2つの IPv6アドレス、2つの一時的な IPv6アドレス、2つの IPv6デフォルトゲートウェイが接続端末に登録される。
動作としては正常。問題なのは、HGW（点線のライン）により配布されたアドレスやルートが有効となった場合、接続端末が直接外からの攻撃に晒されてしまう。

問題と原因…その２

同様に、Router1の WAN側に、HGWからのものと、Router1自身の LAN側から発する DHCOv6、RAが登録されてしまう。

⇒ループの発生。

そんな訳で、これらを解決したい。

つまり、IPv6を遮断してIPv4だけを通過させればよい

IPv6を通過させることが原因。なので、IPv6を遮断してしまえば問題は発生しないはず。

IPv6のみを遮断する方法はいくつかあるが、今回はブリッジを使用。
図中のブリッジは、ルーター下の LAN側ネットワークと HGWへの接続途中に組み込まれ、IPv6を遮断し、IPv4に対しては全てを通過させるブリッジとして機能する。

ブリッジ機能搭載の中古ルーターを使う

IPv6のみ遮断可能なブリッジは、中古ルーターで代用出来る。価格にして 2000円程度。

例えば、NECの IX2005。
ルーターとして作られた製品であるが、ブリッジとしても有能である。設定は 10行程度で終わる。また、スマホdeひかり電話はリンク速度を求めないので、100Mあれば充分。

気を付けなければならない点としては、ファームウエアが余りに古い場合、ブリッジ機能が実装されていない可能性があること。
設定した CONFIGは次の通り。※ 2023/10/01 匿名さまよりご指摘いただき、一部修正しました。

以下は、IX2105版。IX2005の場合は、GigaEthernetの箇所をFastEtherneへ置き換え。

bridge irb enable
no bridge 1 bridge ipv6
!
device GigaEthernet0
!
device GigaEthernet1
!
interface GigaEthernet0.0
no ip address
bridge-group 1
no shutdown
!
interface GigaEthernet1.0
no ip address
bridge-group 1
no shutdown
!
interface Loopback0.0
no ip address
!
interface Null0.0
no ip address
!

ちなみに、秋葉原実店舗であれば、2019年6月現在、ヴィゴラスネットで在庫を確認。

また、例えばヤマハのファイアウォールルーター FWX120。
こちらもブリッジ機能を実装している。

bridge member bridge1 lan1 lan2
ip bridge1 address xxx.xxx.xxx.xxx/24
ipv6 lan1 inbound filter list 100
ipv6 lan2 inbound filter list 200
ipv6 inbound filter 100 reject-nolog * * * * *
ipv6 inbound filter 200 reject-nolog * * * * *
telnetd host lan
httpd host any

真っ赤な筐体がカッコイイ。

ついでと言っては何だが、せっかくファイアーウォールルータ FWX120を使っているので、IPv4のフィルタ例を掲載。

FWX120を使って IPv4を透過させているが、そのままだと SIPアプリと HWG間に必要なパケット以外も通過させてしまう。
と言うことで、通過させるパケットを必要最低限にするため FWX120にフィルタを組み込む。

FWX120の LAN1をローカルネットワークへ、LAN2を HGWへ接続している。
通過させるのは、ICMP、NTP（FWX120時間調整用）通話コネクション用のSIP Port：5060/udp,tcp、そして音声データ送受信用の RTP Port：4000-4001/udp。

RTPの Portは接続するクライアントによって異なる。iPhone用アプリ AGEphoneだと4000と 4001。
これがヤマハの NVR500だと初期値は 5004。下の例は AGEphone用。

また、ローカル PCから HGWと FWX120をメンテナンスできるように、Port 80（www）も開けておく。
それ以外のパケットは遮断。

以下はあくまで参考用。HGWとローカルネットワーク間の不要なパケットを遮断するだけの機能。
セキュリティは上がると思うけど、それを目的で作ってはいない。

login password *
administrator password *
ip route default gateway 192.168.0.zzz
bridge member bridge1 lan1 lan2
ip bridge1 address 192.168.0.xxx/24
ip lan1 inbound filter list 101 102 103 104 105 106 107 108 100
ipv6 lan1 inbound filter list 100
ip lan2 inbound filter list 201 202 203 204 205 206 207 200
ipv6 lan2 inbound filter list 200
provider ntpdate 192.168.0.zzz
ip inbound filter 100 reject-nolog * * * * *
ip inbound filter 101 pass-nolog 192.168.0.0/24 * icmp * *
ip inbound filter 102 pass-nolog 192.168.0.0/24 * icmp-error * *
ip inbound filter 103 pass-nolog 192.168.0.0/24 * icmp-info * *
ip inbound filter 104 pass-nolog 192.168.0.0/24 192.168.0.yyy tcp,udp * 5060
ip inbound filter 105 pass-nolog 192.168.0.0/16 192.168.0.yyy udp 4000 *
ip inbound filter 106 pass-nolog 192.168.0.0/24 192.168.0.yyy udp 4001 *
ip inbound filter 107 pass-nolog 192.168.0.0/24 192.168.0.xxx * * www
ip inbound filter 108 pass-nolog 192.168.0.0/24 192.168.0.yyy * * www
ip inbound filter 200 reject-nolog * * * * *
ip inbound filter 201 pass-nolog 192.168.0.yyy * icmp * *
ip inbound filter 202 pass-nolog 192.168.0.yyy * icmp-error * *
ip inbound filter 203 pass-nolog 192.168.0.yyy * icmp-info * *
ip inbound filter 204 pass-nolog 192.168.0.yyy tcp,udp * 5060 *
ip inbound filter 205 pass-nolog 192.168.0.yyy 192.168.0.0/24 udp * 4000
ip inbound filter 206 pass-nolog 192.168.0.yyy 192.168.0.0/24 udp * 4001
ip inbound filter 207 pass-nolog 192.168.0.yyy 192.168.0.0/16 * www *
ipv6 inbound filter 100 reject-nolog * * * * *
ipv6 inbound filter 200 reject-nolog * * * * *
syslog notice on
telnetd host lan
httpd host any

VPNで外出先からも接続可能。やはり便利

家庭内のルーターの何台かは、外出先から VPN接続が可能な設定にしてある。外出先からスマートフォンをどのルーターに VPNで接続しても、内線電話機として使用出来る。