ネットワークスペシャリスト 2016年 秋期 午後II 問題

共通の文章

ネットワークシステムの拡張に関する次の記述を読んで,設問1 5に答えよ。 工務店のA社は,全国規模で住宅や店舗の施工を請け負っている。施主への情報 提供に力を入れており,次の三つの機能をもつ情報システムを稼働させている。 ・施工情報管理:外出先又は社内にいるA社の社員や施主が,タブレット端末やPC で動作する,Webブラウザを使って,A社データセンタのWebサーバが管理する 施工情報にHTTPSプロトコルでアクセスする(以下,Webブラウザと,Webブラ ウザが動作しているタブレット上端末やPCを,どちらもブラウザという)。 ・コールセンタ:施主からの問合せ電話を,データセンタのIP-PBXを使って,A tt コールセンタのオペレータが受け付け,必要に応じて営業部や技術部へ転送する。 ・インターネットアクセス:A社の社員が,社内からブラウザを使ってインターネッツ トにアクセスする。 A社の現行情報システムの概要を図1に示す。 外出先の社員||施主 ピアーーロビ!os レ公衆||営業部・技術部! ce| ニーラセンタSe ee |LU*ッノー| |ene)frm AS[ 3h ob yoenzonmexe.OOOCO™~<C~=—s~s~s—sSSSSSCS 図1 A社の現行情報システムの概要 情報システム部は,現在,施主との情報連携を強化するために,ブラウザを活用 した情報システムの機能拡張に取り組んでいる。ネットワーク担当のB君が,ネッ トワークシステムに関する現行仕様の調査と,機能拡張に伴うネットワーク拡張計 画の作成を行っている。 情報システムの機能拡張の構想を次に示す。 es 2—_ ・マルチホーミング:GR,社外との通信が更に重要になるので,データセンタと インターネットとの接続を二重化する。 ・ブラウザを使ったビデオ電話:施主とA社の社員がブラウザを使って,施工状況 などを動画で確認できるようにする。このビデオ電話はブラウザ上で動作するア プリケーション(以下,APという)をAHO Webサーバからダウンロードし, AP間の通信によって実現する。 ・ブラウザを使った音声電話:施主や外出先のA社の社員がブラウザを使って,社 内のA社の社員と音声電話ができるようにする。この電話機能こもビデオ電話と 同じAP(85.IPPBXを介した,社外のブラウザ上で動作するAPと社内のTP 電話機との通信によって実現する。 【現行ネットワーク構成 A社の現行ネットワーク構成を図2に,図2中のスイッチに定義された現行Pア ドレス空間を表1に,それぞれ示す。 ae |一デーー||IP ise apes <> サーバ1 Web FW:ファイアウォール ISP::インターネットサービスプロバイダ L2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチ 図2 A社の現行ネットワーク構成(抜粋) 表1図2中のスイッチに定義された現行IPアドレス空間 ip1/29 ーー3= B君が調査した,A社の現行ネットワークシステムの仕様を次に示す。 ・図2中のブラウザ1がWebサーバ1とWebサーバ2へアクセスする際に,FWの NAT機能が宛先IFアドレスを変換する。変換前と変換後の宛先ITアドレスは, それぞれ表1中のTPアドレス空間|ア|]と[|イ|に属し,変換前と変 換後のTPアドレスの組合せは1:1に固定されている(以下,宛先NATという)。 ・図2中のブラウザ2がインターネットヘアクセスする際に,FWのNAT機能が送 信元Pアドレスと|ウ|の両方をそれぞれ動的に変換する(以下,送信元 NAPTという)。(3)変換後のIPアドレス用に二つのグローバルIPアドレスが割り 当てられている。 ・FWのフィルタリング定義は,図1に示す情報システムの通信だけを許可している。 ・FWには,A社のドメイン権限をもったDNS機能がある。 ・2 BO Webサーバ(Webサーバ1,2)は,FWのDNSラウンドロビピン機能を使っ て負荷分散しており,3台以上の構成へもスケールアウトができる。(b)スケール アウトの際には,DNS機能に関する設定変更など,FWに複数の設定変更が必要 となる。 [マルチホーミング)〕 B君は,二つのISPサービス(ISP1,ISP2)を同時に利用するマルチホーミングの 構成を考えた。この構成では,A社が負荷分散の仕組みを用意する必要がある。調査 したところ,マルチホーミング用の人負荷分散装置(以下,LBという)があり,この 装置は,負荷分散機能の他に,DNS機能,NAT機能をもつことが分かった。 B君はLBを利用した新たなネットワーク構成を考えた。 A社の新ネットワーク構成を図3に,図3中のスイッチに定義されたLANの新IP アドレス空間を表2に,それぞれ示す。 i サーバ1 _a Web ーー ンeal サーバ1 Cc D | STUN <> A~D:サーバ,IP-PBXのインタフェース(設問のため接続を省略) | STUN:Session Traversal Utilities for NAT 注記太線で示した部分は,新たに追加されるISP及び機器を示す。 図3 A社の新ネットワーク構成(抜粋) 表2図3中のスイッチに定義された新IPアドレス空間 ip1/29. a ip2/29 LBを使ったマルチホーミングの概要を次に示す。 ・インターネット向けのDNS機能をFWからLBへ移し,ISP2を経由してもその DNS機能を提供できるように,ドメイン登録業者に定義の追加を依頼する。その BR,ISP1,ISP2のいずれからでも同じゾーンファイルが参照されるようにする。 ・LBのDNSラウンドロビン機能を使いインターネットからA社内への通信の負 荷分散を行う。(c)現行のWebサーバ用のグローバルIPアドレスに,新たなグロ ーバルIPアドレスを加え,DNSクエリに対してそれらが交互に返るようにする。 ・A社内からインターネットへの通信は,ISP1とISP2への接続ポートに対して負荷 分散を行う。その際,ISPへ送信するIPパケットの送信元Pアドレスは,送信先 のISPから貸与されたグローバルIPアドレスに変換されるので,FWのNAT機能 をLBへ移して一元化する。 i 5= ・(d)LBは,通信の行きと戻りを同じISP経由にする。 ・LBからISP1のルータ及びISP2のルータへそれぞれ定期的にping確認を行い, ISPの障害を検知した場合には,正常なISPだけを利用する。 [ブラウザを使ったビデオ電話の通信] 情報システム部は,WebRTC(Web Real-Time Communication)に準拠したAPを導 入する予定である。WebRTCは,ブラウザを使った音声,動画などの通信規約であ り,W3C及びIETFから仕様が公開されている。このWebRTCを使ったビデオ電話 では,APをダウンロードしたブラウザ間で直接通信(以下,AP間通信という)を 行う。NAT機能が介在する場合のAP間通信の例を,図4に示す。 +[cz---eee” 宛先<g2),送信元<g1><2)><p)||宛先<p>,送信元<g1D し。 )|/ ミニニアミーマーラ <g1〉,〈g2〉:グローバルIPアドレス (p:プライベートIPアドレス 図4 NAT機能が介在する場合のAP間通信の例 サーバを介さない通信では,通信相手のIPアドレスを知る仕組みが必要である。 4の例では,NAT機能によってブラウザ2のIPアドレス<p>が<g2>に変換さ れている。その場合,ブラウザ1上のAPは,通信相手のIPアドレスとして,Pp ではなく<g2>を用いなければならない。 A社が導入するAPは,NAT機能によって変換されたIPアドレスを,STUNサー バから得る仕様となっている。図4の例では,ブラウザ2上のAPがSTUNプロトコ ルを用いてSTUNサーバ1,2から<g2〉を得て,それをブラウザ1上のAPに通知 する。 STUNプロトコルの概要は次のとおりである。 ・STUNクライアントは,STUNサーバへBindingリクエストを送る。 ー6一 ・STUNサーバは,受け取ったIPパケットのヘッダから送信元のIPアドレスとポー ト番号を取り出し,Bindingレスポンス中のデータに格納して返す。 ・(e)STUNクライアントは,Bindingレスポンス中のデータから,自分とSTUNサー バ間のNAT機能の有無を知り,NAT機能が介在する場合には,そのデータから NAT機能が変換した自分のIPアドレスを得る。 B君は,STUNサーバへのアクセスから音声,ビデオ,データなどの交換までの AP間通信の概要をまとめた。B君がまとめたAP間通信の概要を,図5に示す。 ①STUNサーバへのアクセス①'′STUNサーバへのアクセス サーバ1,2 PE?*” EL omm—rome し|Oemビデオ,データなとの交換=。。。。。。。。|、 図5 AP間通信の概要 APをダウンロードしたブラウザは,図5中の①て③でNAT機能を経由した最適 ルートを確立する(以下,ホールパンチという)。ホールパンチの概要を次に示す。 ①,©APはSTUNサーバ1,2にアクセスし,NAT機能が介在する場合の変換後 のブラウザのIPアドレスを取得する。 ②APは,SDP(Session Description Protocol)オブジェクトを使って,①,©’で 取得したIPアドレスとブラウザ自身のIPアドレスを,通信相手のAPへ通知する。 その際,ブラウザ1,2とWebサーバ1,2間にHTTPSが使われる。 @APは,通知されたIPアドレスを宛先IPアドレスにして通信相手との通信を試 A,相互に通信が成功した場合に,その宛先IPアドレスの組合せを最適ルートと する。 (f)図4 AP間通信は,このようにして確立した最適ルートを使っている。 RB,ホールパンチには,ブラウザのTIPアドレスとNAT機能の変換ルールが,そ ーァー れぞれ一定時間変わらないという前提条件が必要である。例えば,図4中の<p>と (g2>は,AP間通信の間,関連付けられている必要がある。また,IPアドレスだけ ではなくポボート番号の考慮も必要である。 B君は,AP間通信においてAPが使用するポート番号はあらかじめ決められてい ること,及びSTUNサーバを図3のネットワーク内に適切に配置することによって。, ホールパンチがLBのNAT機能に対して有効に働くことをベンダに確認した。そし て,(る@)片方のISPが障害の場合にも利用できるように,STUNサーバのインタフェ ース(図3中のA,B)を,図3中の適切なスイッチに接続することにした。 次に,B Blk,A社のマヤマルチホーミング運用によって,図5中の通信がISP1と ISP2に負荷分散されるかどうかを検討した。そして,図WS,データ量が多い④ に用いられるISPは,|エ|が|オ|をアクセスするときのLBの振分け 結果によって決まることを確認し,負荷分散が行われると判断した。 [ブラウザを使った音声電話の通信〕 ブラウザを使った音声電話の通信では,社外のブラウザ上で動作するAPがIP- PBXを介して社内のTP電話機と通信を行う。 B君はIP-PBXのベンダからIP-PBXのWebRTC機能の情報を入手し,通信方式を 検討した。B君が考えた,社外のAPから社内のIP電話機への通信の概要を,図6 に示す。 IP-PBX IP電話機 ①-1 HTTP GET Upgrade:websocket し|のzorswkcmngmooos|| ||ghmeesrR、 |gzaoog |—___|@sack_ 、 _|@3zookeppォフジェクト)| 図6社外のAPから社内のIP電話機への通信の概要 ae i 図6中の通信の概要は,次のとおりである。 APは,通信プロトコル|カ|を使ってIPPBXヘアクセスし,①-1と①-2に kot,通信プロトコルを|キ|に切り替え,切り替えた通信プロトコルの 上でSIPプロトコルに基づくシグナリングを行う。 ・IP-PBXは,2組のB2BUA(Back-to-Back User Agent)として動作する。(h)インタ ーネット側の二つのVA(User Agent)(clk,それぞれグローバルIPアドレスを割 )当でる。 ・IP-PBXはSession Border Controllerとして動作し,グローバルIPアドレスとプラ イベートIPアドレスを変換する。 *(i)IP-PBXのLANインタフェース(図3中のC,D)を追加し,図3中の適切なス イッチと接続する。 ・図6中の通信の前に,のFQDNに関するクエリが,APか ら|コ|へ発行されることによって,図6中のAPとIPPBX間の通信は ISP1とISP2に負荷分散される。 〔移行計画〕 情報システム部では,保守などでサービス停止の可能性がある場合には,サービ ス停止時間を関係部署へ連絡することになっている。また,連絡したサービス停止 時間内に保守を終えてサービスを再開できるように,部内で作業計画を十分にレビ ューした上で保守を行う運用ルールも設けられている。 B君は,今回の機能拡張に関して,サービス停止時間を見積もりながら,利用者へ の影響が極力小さくなるような移行を考えた。ここで,サービス停止時間とは,切 替作業,切替作業後の動作確認及び問題発生時の|サ|に要する時間の合計で ある。 B君が作成したネットワークの移行計画案を,図7に示す。 ~f= Poネットワークのな用人 行のネットワーク構成 サーパ1ー施工情報管理 ーコールゼザッみ 切替1の主な作業 1.1LB(設置,新構成用の設定,結線) 1-2 L2SW2(設置,新構成用の設定,結線) 1-3 ISP2(立会い試験,NSレコードの登録) L4FW(新構成用の機能設定,中間構成用のフィルタリング設定) 中間のネットワーク構成・ネットワークの主な用途 サーバ1|施工情報管理 a sl Prea ーコールセンタ (マルチホーミング運用 切替2の主な作業(Webサーバ内の作業を除く) 2-1 STUNサーバ(設置,結線。新構成用の設定) 2-2 IP-PBX(インタフェース追加,結線,新構成用の設定) 2-3 FW(新構成用のフィルタリング設定) 新たなネットワーク構成・ネットワークの主な用途 サーバの1|施工情報管理 aula ープラウザを使ったビデオ 電話(AP問通信) サーバ1』ーーブラウザを使った音声電 cob pen]DIP HAA OWES) ーーマ話(社外のAPから社内 A~D:%4-/5,IPPBXのインタフェース(設問のため接続を省略) 図7ネットワークの移行計画案 ネットワーク移行のための切替えは2段階で行う。7中の切替1と切替2につ WT,B君は次のように考えた。 (切替1について) ・LBの設定は,切替1で全ての定義を盛り込み,その後の変更を不要にする。例え ばDNS機能こついては,新たなネットワーク構成に必要な次のAレコードを全て 設定する。 ー①Webサーバ1とWebサーバ2に関する四つのAレコード ー(k)APが名前解決しなければならないFQDNに関するAレコード(AP内の定義 には,IPアドレスではなく,FQDNを用いることにする。) ・FWのフィルタリング変更は,中間のネットワーク構成の通信に関して変更する。 ・次の点を考慮し,切替1のサービス停止時間は2時間とする。 ー(U)機器の変更は,あらかじめ2通りの定義ファイルをもたせておき,定義ファ イルを指定した再起動によって行う。 ー約1時間,一部の利用者に情報システムを利用してもらい,(m)3種類の通信を 発生させて,動作の正常性を確認する。 —(n)ドメイン登録業者に依頼する定義変更に関しては,情報システム部が正常性 を確認する。利用者サービスへ直接影響しないので,その作業はサービス停止 時間には含まない。 (切替2について) ・(o)FWのフィルタリング変更は,新たなネットワーク構成の通信に関して変更す ee ・機器の変更と動作の正常性確認を含めた切替2のサービス停止時間について,IP- PBXのベンダに見積りを依頼する。 B君は,検討結果をまとめ,情報システム部長に報告した。その後,顧客システム の機能拡張のプロジェクトが発足し,B君はネットワークチームのリーダとして参画 することになった。

共通の文章

WAN回線の冗長化設計に関する次の記述を読んで,設問1ー5に答えよ。 Y社は,従業員400名の医療機器販売会社で,東京本社の他に名古屋,大阪,福岡 に営業所がある。本社と営業所間は,広域イーサネットサービス網(以下,広域イ ーサ網という)で接続されている。本社で各種のサーバを運用し,営業所は,広域 イーサ網経由でサーバにアクセスしている。また,本社及び営業所からのインター ネットアクセスは,本社のプロキシサーバ経由で行っている。現在のY社のネット ワーク構成を図1に示す。 名古屋営業所本社Pgーー |Webメール3 H |pc||Pc||rzsw| |17216128020】 大阪営業所|raow|ren foreseen pi 72180016レーーLPM “Lec|LSW|17216.16.020| 福岡営業所|rsW| 172.19.0.016|| ! EW:ファイアウォールーー L2SW:レイヤ2スイッチ 13SW:レイヤ3スイッチ DMサーバ:文書管理サーバ 注記1綱掛け部分は,データセンタに移設する予定の機器を示す。 注記2 FWは,ルータに接続するポートでNATを行っている。 注記3広域イーサ綱へのアクセス回線は,本社が100Mビットン秒,営業所が10Mビットノ秒である。 注記4インターネットへのアクセス回線は,100Mビットノ秒である。 図1現在のY社のネットワーク構成 このたび,Y社では,WAN回線の可用性向上を目的に,ネットワーク再構築プロ ジェクトを発足させた。プロジェクト責任者には情報システム部のM課長が任命さ れ,M課長は,ネットワーク担当のN主任とJ用をプロジェクトメンバに指名し, 新ネットワークの検討を指示した。その際,M課長が示した新ネットワークの要件 を,次に示す。 ・インターネットVPNを新たに導入してWAN回線を冗長化し,アクセス先のサー バによって使用するWAN回線を分け,WAN回線を有効に活用すること ・本社のDMサーバ以外のサーバを,Z社のデータセンタに移設する。このとき,+ ーバのIPアドレスの変更が生じないようにすること N主任は,インターネットVPNと既設の広域イーサ綱間でOSPFを稼働させれば, これらの要件を満たすことができると考えた。そこで,君に,インターネットVPN の構築技術の検討を指示した。 [インターネットVPNの構築技術の検討] J君はまず,インターネットVPNの構築に広く利用されているIPsecを調査し,そ の結果を次のとおり整理した。 (1)IPsecルータ ・IPsecで使用される認証方式,暗号化方式,暗号鍵などは,IPsecルータ同士に よるIKE(Internet Key Exchange)のネゴシエーションによって,IPsecルータ 間で合意される。この合意は,SA(Security Association)と呼ばれる。 ・SAの内容が確定すると,SAに関連付けされたSPI(Security Parameters Index) が,ビットの整数値で割り当てられる。SPIは,IPsec通信の各パケ ット中に挿入され,そのパケットに適用されたSAの識別キーとなる。 ・IPsecルータは,通信相手のIPsecルータにパケットを送信するとき,IPsec通信 を行うか否か,IPsec通信を行うときはどのSAを使うかなど,当該パケットに 施す処理を示したセキュリティポリシ(以下,SPという)を選択する。処理に は,PROTECT(IPsecを適用して送信),BYPASS(IPsecを適用せずに送信), DISCARD(廃棄)の3種類がある。 ‘spを選択するキーを|イ ]と呼びPDアドレス,プロトコル,ポート番 号などが利用される。SPは,SPデータベースで管理される。SPデータベース は経路表に似た構造をもっている。 ・IPsecルータは,通信相手のIPsecルータからパケットを受信すると,パケット 中のSPIでSAを識別し,当該SAに関連する情報を取り出す。その情報を基に, 受信したパケットを処理する。 =ho (2)IPsecの通信 ・IPsecの通信手順は,図2のとおりである。 IKEフェーズ1 ee|TRSeeで信用する,CPU bie IPsecによるセキュアな通信 図2 IPsecの通信手順 ・IKEフェーズ1では,IKEフェーズ2で使用するISAKMP(Internet Security Association and Key Management Protocol)SA又はIKE SA(以下,両方を ISAKMP SAという)に必要なパラメータの交換,鍵交換及び認証が行われる。 IKEフェーズ1には,メインモードとモードがある。メインモード では3往復の通信が行われるが,モードは1往復半の通信で完了す る。IKEフェーズ1で決定されるパラメータを表1に示す。 表1 IKEフェーズ1で決定されるパラメータ(抜粋) ハッシュアルゴリズム ・IKEフェーズ2では,IPsec SAに必要なパラメータが決定される。IKEフェーズ 2で決定されるパラメータを表2に示す。 =窟王 表2 IKEフェーズ2で決定されるパラメータ(抜粋) ・IKEフェーズ2の通信は,IKEフェーズ1で確立したISAKMP SAを使って行わ nS,KEフェーズ2では,1往復半の通信でIPsec SAを確立する。IPsec通信 は,IKEフェーズ2で確立したIPsec SAを使って行われる。 ・IPsecは,暗号化機能とトンネリング機能をもち,通信相手のIPsecルータの誰 a,安全な鍵生成,転送データの暗号化,転送データの完全性の認証などを行 ウリ ・トンネリングは,インターネットのような共用ネットワーク上の2点間で,仮 想の専用線を構築することである。トンネリングは,あるプロトコルのトラフ ィックを別のプロトコルでカプセル化することで実現する。 ・IPsecでは,ユニキャストのIPパケットをカプセル化して転送する。 調査の結果,(a)Y社で検討中のIPsecルータは,OSPFの通常の設定では,リンク ステート情報の交換パケットをカプセル化できないので,J Blk,IPsecによってイ ンターネットVPNを構築したとき,OSPFを稼働することができないと考えた。静 的経路制御でも広域イーサ網との間で負荷分散を行うことができるが,運用管理を 容易にするためにOSPFを稼働させたい。 そこで,J Blk,調査結果を基にN主任に相談したところ,“他のトンネリング技 術についても調査するように”"という指示を受けた。 [トンネリング技術の調査 ネットワーク層のプロトコルをトンネリングするプロトコルには,GRE(Generic Routing Encapsulation)があり,データリンク層のプロトコルをトンネリングするプ ー16一 ロトコルには,L2TP(Layer 2 Tunneling Protocol)がある。 ]君が調査した結果,OSPFのリンクステート情報の交換パケットをGRE又は L2TPでカプセル化すれば,そのパケットはIPsecでカプセル化できるので,インタ ーネットVPNでOSPFを稼働できることが分かった。 そこで,]君はまず,GREを調査した。 GREは,RFC 1701,RFC 2784で仕様が公開されている。GREは,ネットワーク 層のプロトコルのパケットをカプセル化して転送する機能をもつ。GREでは,IP 7 ロードキャストもIPマルチキャストパケットもカプセル化して転送できる。カプセ ル化とカプセル化の解除は,GREトンネリングを行う両端の機器で行われる。IPパ ケットがGREでカプセル化されたときのパケット形式を,図3に示す。 IP GRE IP|TCP/UDP wk バイト数 図3 IPパケットがGREでカプセル化されたときのパケット形式 IPパケットをGREでカプセル化すると,カプセル化された元のパケットの宛先へ の|エ|情報をインターネットがもたなくても,元のパケットによるエンドツ ーエンドの通信が可能になる。GRE利用時の通信例を図4に示す。 イントラネットイントラネット Lc|セタサーマシーッジー人ルーター @.0.0.1 g.0.0.1 i GREトンネルーー PCとサーバとの間の通信 注記eg.0.0.1,8.0.0.1は,グローバルIPアドレスを示す。 図4 GRE利用時の通信例 3に示したカプセル化によって,図4中の,GREトンネルインタフェースの MTUは,イーサネットインタフェースのMTUよりも24バイト小さくなる。このと き,図4中のPC及びサーバのイーサネットインタフェースのMTUサイズを適切な 値に変更することによって,パケットの[|オォ|を防げる。 次に,]君は,RFC 2661で仕様が公開されているL2TPを調査した。 L2TPは,PPPフレームをカプセル化して転送する機能をもつ。カプセル化とカプ セル化の解除は,L2TPトンネリングを行うLAC(L2TP Access Concentrator)又は LNS(L2TP Network Server)の機能をもつ両端の機器で行われる。LACは,トンネ リングを要求する機器で,LNSは受け入れる機器である。L2TPでカプセル化された ときのパケット形式を,図5に示す。 バイト数|2|8|5|2|%|olILいWW] 図5 L2TPでカプセル化されたときのパケット形式 L2TPを利用することによって,LAC機能を実装したPCは,LNS機能をもつ VPN装置にインターネット経由で接続して,イントラネット内のサーバにリモート アクセスできる。PCがPPPoEでWANに接続する構成における,L2TP利用時の通 信例を図6に示す。 LACアクセス回線綱LNS Tl Leo RES PCとサーバとの間の通信 注記本例では,PCがPPPoEによって,IPアドレスを動的に取得する構成例を示す。 図6 L2TP利用時の通信例 ー18一 J Blt,GRE及びL2TPの機能と動作については理解できたが,どちらのプロトコ ルを利用すべきか判断できなかったので,調査結果を基にN主任に相談した。N主 任からは,"トンネリングプロトコルを使用する目的と,使用したときの影響の度合 いを考慮して判断するように”という指示を受けた。 J君は,(b)GREを利用することにして,GRE over IPsecを稼働させる方法につい て検討した。 (GRE over IPsecの稼働方法の検討] インターネットVPNではデータの暗号化が必要になるので,ESPを利用する。(c) 通信モードは,トランスポートモードを選択する。そのときの,GRE over IPsecの パケット形式を図7に示す。 |元のパケットの構成 カブセル化されたパケットの構成 Fe 図GRE over IPsecのパケット形式 ]君は,GRE over IPsecを稼働させたときのOSPFの通信の概要を図8にまとめた。 ig 本社又は営業所 IPsec(トランスポートモード) 8 GRE over IPsecを稼働させたときの0SPFの通信の概要 図7に示したように,GRE over IPsecを稼働させるとカプセル化のオーバヘッド が大きくなる。そこで,必要に応じてIPsecルータでMSS(Maximum Segment Size) ー19一 を適切な値に書き換えるとともに,トンネルインタフェースに適切なMTUの値を設 定する。 図8中のIPsecルータには,IPsec,GRE及びOSPFの設定を行う。PCとサーバか らインターネットVPN向けに送信されるパケット,及びOSPFによってインターネ ットVPNに広告されるリンクステート情報には,GREによるカプセル化とIPsecに よる暗号化を設定する。 J Blk,GRE over IPsecの稼働方法をまとめた後に,WANの設計を行った。 [WAN Oat) 現在使用中の広域イーサ網へのアクセス回線は,継続して使用する。本社とデー タセンタ間は,10Mビットノ秒の専用線を新たに導入して直接接続する。インター ネットVPNのアクセス回線は,営業所に100Mビットノ秒,データセンタに1Gビ ットグ秒のものを新たに導入する。本社では,既設のインターネットアクセス回線 をインターネットVPNのアクセス回線として転用する。データセンタには,インタ ーネットアクセス用に,1Gビットノ秒のアクセス回線を導入する。インターネット1 に公開されるDMZのサーバのグローバルIPアドレスは,FWの静的NAT機能によ って,サーバに設定されているプライベートIPアドレスに変換される。J君が設計 したWAN回線の構成を図9に示す。 本社データセンタ サージWeb||中継メール ,‘a i rambo Re CARD heseルータSHサーバ eTレン/\Ee ジン専用線|) ルータ|200LL3SW| |rssw fg i 注記1大阪営業所と福岡営業所は,名古屋営業所と同構成である。 注記2 IPsecルータとL3SWのポートの数値は,OSPFで設定するコスト値である。 注記3 IPsecルータのポートに示した()内の数値はトンネルインタフェースに設定するコスト値を示す。 図9 J君が設計したWAN回線の構成 図9中のIPsecルータとL3SWでOSPFを稼働させる。インターネットVPNは, データセンタと本社間,及びデータセンタと営業所間で設定する。 図9中の,本社,営業所及びデータセンタ内のL3SWとIPsecルータ間では,それ ぞれVRRPを稼働させる。OSPFのリンクステート情報の交換は,L3SWとIPsec JV ータのWANへのアクセス回線を接続するポートだけでなく,L3SWとIPsecルータ を直接接続するポートでも行わせる。このとき,L3SWとIPsecルータのポートには, 図中に示したコスト値を設定する。 図9に示したWAN回線の構成で,図中のコスト値を設定することによって,BR 所のPCからサーバへのアクセスは,広域イーサ網とインターネットVPNを使い分 けることができる。PCからサーバへのアクセス経路の一覧を表3に示す。 表3 PCからサーバへのアクセス経路の一覧(抜粋) 本(④PCつ専用線つデータセンタープロキシサ なーイ>ーネッっーデー‘= - ザーが 営業所のPC系PCっインターネットVPNつデータセンター プロキシサーバーインターネット PCつ広域イーサ網一本社つDMサーバ 名古屋営業所の=ー VPN接続シサーバーインターネット 人所の 以上の検討を基に,]君はM課長から示された要件を満たすWAN回線の冗長化構 成の設計を完了させ,検討結果をN主任に説明した。N主任は,設計内容に問題が ないことを確認し,」君とともに検討結果をM課長に報告したところ,設計内容が承 認された。