CGNAT環境のYAMAHA VPN：RTXを公開VPSへ接続する方法
CGNAT配下のYAMAHA RTXから公開VPSへL2TPv3 over IPsecを開始し、拠点間VPN、遠隔LANアクセス、公開ポートを復旧する実践ガイドです。
短い答え
CGNAT配下のYAMAHA RTX / NVRは、固定公開IPv4を持つVPSへL2TPv3 over IPsecを開始する構成が適しています。VPS上のSoftEther VPN Serverをセンターにし、YAMAHA側でNATトラバーサル、DPD、キープアライブを有効化すると、拠点間VPN、遠隔LANアクセス、必要な公開ポートを同じ入口へ集約できます。まずYAMAHAのWAN IPv4と現在の公開IPv4を比較し、CGNATか二重NATかを確定してからVPSを選びます。
CGNAT側から公開VPSへVPNを開始する
CGNAT配下のYAMAHA RTX / NVRは、インターネット側から直接VPN着信を受けるのではなく、固定公開IPv4を持つVPSへL2TPv3 over IPsecを開始する構成にすると接続経路が明確になります。
VPS上のSoftEther VPN Serverがセンターになり、YAMAHAはNATトラバーサル、DPD、キープアライブで外向き接続を維持します。これで拠点間VPN、遠隔LANアクセス、必要な公開ポートを同じ入口へまとめられます。
最短の構成判断
WANと公開IPv4が一致
通常のYAMAHA VPN設定を検証
WANが100.64.0.0/10
CGNAT側からVPSへ常時接続
WANが192.168/10/172.16–31
二重NATを解消、またはVPSへ常時接続
CGNATを越えるYAMAHA VPNの接続図
重要なのは、共有IPv4の外からYAMAHAを探すのではなく、YAMAHA自身が到達できる公開対向先を用意することです。
CGNAT側
YAMAHA RTX / NVR
外向きにL2TPv3 over IPsecを開始し、NAT-Tとキープアライブで接続を維持します。
公開側
固定IPv4のVPS
SoftEther VPN Serverが安定した待受先になり、公開IP、ファイアウォール、転送先をまとめます。
利用先
拠点・端末・公開サービス
拠点LAN、遠隔端末、必要な公開ポートへ、目的別の経路を分けて届けます。
YAMAHAの接続経路を先に判定
YAMAHAの「ダッシュボード」または「show status pp / show status lan」でWAN IPv4を確認します。入力値はこのページ内で比較され、フォームから保存されません。
WANと公開IPv4を比較
YAMAHAの管理画面でWAN IPv4を確認し、この回線から見える公開IPv4と比較します。
目的別の構成と得られる価値
| 目的 | 推奨構成 | 得られる価値 |
|---|---|---|
| 拠点間VPN | CGNAT側のYAMAHAからVPSへ常時接続 | 固定IPオプションを各拠点へ追加せず、センター型のVPN経路を作れます。 |
| 外出先から社内LANへ接続 | VPSを公開ゲートウェイにし、YAMAHA側LANへルーティング | 接続先をVPSの固定アドレスへ統一し、回線側のIP変更から利用者を切り離せます。 |
| サーバーやゲームのポート公開 | VPSの必要ポートだけをトンネル先へ転送 | YAMAHAのWANまで届かない着信を、管理できる公開入口から届けられます。 |
YAMAHA RTXと公開VPSを6ステップで接続
RTX810、RTX830、RTX1300などでコマンドや対応機能が異なるため、投入前に機種とファームウェアのコマンドリファレンスを照合します。全体の流れは共通です。
CGNATと二重NATを判定する
YAMAHAのWAN IPv4と同じ回線から見える公開IPv4を比較します。WANが100.64.0.0/10ならCGNATの強い証拠です。プライベートIPv4なら上流ルーターも確認します。
固定公開IPv4のVPSを用意する
YAMAHAから近い地域でVPSを作成し、公開IPv4、FQDN、SSH鍵、ファイアウォールを設定します。通常は地域が広く導入しやすいVultrを先に選び、東京・アジア経路を重視する場合はDMITを比較します。
SoftEther VPN Serverを導入する
VPSへSoftEther VPN Serverを導入し、EtherIP / L2TPv3 over IPsecサーバー機能、仮想HUB、拠点固有ID、十分に長い事前共有鍵を設定します。
YAMAHAでL2TPv3/IPsecとNAT-Tを設定する
VPSのFQDNを対向先にし、ipsec ike nat-traversal、DPD、keepalive、local name、PSKを設定します。CGNAT側のYAMAHAが常時接続を開始する形にします。
LAN経路とフィルターを通す
接続したいLANサブネットへの往路と戻り経路を作り、重複アドレスを避けます。VPS側はUDP 500/4500と必要なサービスだけを許可し、YAMAHA側もトンネルの入出力フィルターを合わせます。
SA・トンネル・ポートを外部から検証する
show status ipsec saとshow status tunnelで確立を確認し、VPSの待受と転送先を検証します。最後に4G/5Gなど別回線からVPSの公開IPへ接続して完了です。
NAT-Tを使うYAMAHA設定の骨格
ipsec auto refresh on
tunnel select 1
tunnel encapsulation l2tpv3
tunnel endpoint name <VPSのFQDN> fqdn
ipsec tunnel 101
ipsec sa policy 101 1 esp aes-cbc sha-hmac
ipsec ike nat-traversal 1 on keepalive=30 force=off
ipsec ike keepalive use 1 on dpd 10 6 0
ipsec ike pre-shared-key 1 text <十分に長い共有鍵>
ipsec ike local name 1 <拠点固有ID> fqdn
ipsec ike remote address 1 <VPSのFQDN>
l2tp always-on on
l2tp keepalive use on 5 10
tunnel enable 1
l2tp service on l2tpv3YAMAHA VPNの公開ハブに向くVPS
この構成で買う価値は、単なるCPUや容量ではありません。固定公開IPv4を持つ管理可能な対向先が、CGNAT側のYAMAHAから常時到達できるVPNハブになり、拠点、利用者、公開ポートを同じ入口へ集約します。
Vultrの$300特典は対象の新規アカウントと申込時のキャンペーン条件に従います。DMITの返金は利用期間、転送量、その他の公開条件を満たす注文が対象です。
VPN・経路・ポートを4段階で検証
SAが確立しただけで完了にせず、トンネル、戻り経路、待受、外部接続まで順に確認します。チェックすると現在地を記録できます。
検証の進捗
YAMAHA VPNがつながらない時の切り分け
IKEが開始しない
VPSのUDP 500/4500、PSK、FQDN、時刻、YAMAHA側のNAT-T
VPSのファイアウォールとYAMAHAのIKEログを同じ時刻で照合します。
SAはあるがPingが通らない
LANサブネット、静的経路、戻り経路、フィルター、重複アドレス
トンネル両端から順に疎通し、最初に失敗する区間へ絞ります。
しばらくすると切れる
DPD、keepalive、heartbeat、SA寿命、回線再接続後の再確立
CGNAT側から定期送信し、NATマッピングとトンネルを維持します。
VPN内は通るが公開ポートが閉じる
VPSの待受、転送ルール、宛先サービス、TCP/UDP、端末ファイアウォール
サービスを起動した状態で、別回線からVPSの公開IPを検証します。