ネットワークスペシャリスト 2021年 春期 午後II 問題

共通の文章

社内システムの更改に関する次の記述を読んで,設問1ー6に答えよ。 G thik,都内に本社を構える従業員600名の建設会社である。G社の従業員は,情 報システム部が管理する社内システムを業務に利用している。情報システム部は, 残り1年でリース期間の満了を迎える,サーバ,ネットワーク機器及びPCの更改を 検討している。 (HAY ATF LOM) G社の社内システムの構成を図1に示す。 社内システム |rsWo|インターネット接続用サブネット 199.e.8.0/26 !内部NW FW.L3SW間サブネット1 TMZサバ収容ネット! H 1 1一容サブネyy ki !VLANIO ee 172.17.10.0124 a7 aD!172.16.254.0/241 |sma sw||(asm Heese): IPC収容サブネット3 Seer”内部サーバ了収容GaN 8 ハ1 1 f\1 !hg”NN VLANII 7 ss Sa| 1 9 172.17.11.0/24!!i Co Qe aw| 1 SY 1 1 Wi b a DNS 1 SeーーでPC収容== L2SW:レイヤ2スイッチL3SW:レイヤ3スイッチFW:ファイアウォールNW:ネットワーク =:リンクアグリゲーションを用いて接続している回線 注記1 199.c.8.0/26は,グローバルIPアドレスを示す。 注記2 PC収容サブネット1のIPアドレスブロックは172.17.101.0/24,VLAN IDは101 CHS. 注記3 PC収容サブネット2のIPアドレスブロックは172.17.102.0/24,VLAN IDは102である。 注記4 PC収容サブネット3のIPアドレスブロックは172.17.103.0/24,VLAN IDは103である。 注記5 L2SW3~L2SW20は,PC収容サブネット1~PC収容サブネット3を構成している。 図1 G社の社内システムの構成(抜粋) ~—2—_— G社の社内システムの概要は,次のとおりである。 ・外部DNSサーバは,DMZのドメインに関するゾーンファイルを管理する権威サー バであり,インターネットから受信する名前解決要求に応答する。 ・内部DNSサーバは,社内システムのドメインに関するゾーンファイルを管理する 権威サーバであり,PC及びサーバから送信された名前解決要求に応答する。 ・内部DNSサーバは,DNS| 。|であり,PC及びサーバから送信された社外 のドメインに関する名前解決要求を,ISPが提供するフルサービスリゾルバに転送 する。 ・全てのサーバに二つのNICを実装し,アクティブンプスタンバイのチーミングを設 定している。 ・L3SW1及びL3SW2でVRRPを構成し,L3SW1の| b|を大きく設定して, マスタルータにしている。 ・L3SW1とL3SW2間のポートを,VLAN10,VLAN11及びVLAN101~VLAN103を I通すトランクポートにしている。 ・L2SW3~L2SW20とL3SW間のポートを,VLAN101~VLAN103を通すトランク ポートにしている。 ・内部NWのスイッチは,IEEE 802.1Dで規定されているSTP(Spanning Tree Protocol)を用いて,経路を冗長化している。 ・内部DNSサーバはDHCPサーバ機能をもち,PCに割り当てるIPアドレス,サブ ネツトマスク,デフォルトゲートウェイのIPアドレス,及び①名前解決要求先の IPアドレスの情報を,PCに通知している。 ・FW1及びFW2は,アクティブスタンバイのクラスタ構成である。 ・FW1及びFW2に静的NATを設定し,インターネットから受信したパケットの宛 先IPアドレスを,公開Webサーバ及び外部DNSサーバのプライベートIPアドレ スに変換している。 ・FW1及びFW2にNAPTを設定し,サーバ及びPCからインターネット向けに送信 されるパケットの送信元IPアドレス及び送信元ポート番号を,それぞれ変換して いる。 G社のサーバ及びPCの設定を表1に,G社のネットワーク機器に設定する静的経 路情報を表2に,それぞれ示す。 表1 G社のサーバ及びPCの設定(抜粋) 機器名IPアドレスのデフォルトゲートウェイ所属 EL VLAN 172.16.254.10~‘。 172.17.11.10~: 172.17.101.10~,がの 172.17.102.10~a * 172.17.103.10~2) 3%”FW1とFW2が共有する仮想IPアドレスである。 2)L3SW1とL3SW2が共有する仮想IPアドレスである。 表2 G社のネットワーク機器に設定する静的経路情報(抜粋) 機器名サブネットマスク ERIM|yyy ーー FW,FW2 SE)L3SW1とL3SW2が共有する仮想IPアドレスである。 2 FW1とFW2が共有する仮想IPアドレスである。 情報システム部の主任が社内システムの更改と移行を担当することになった。更 改と移行に当たって,上司であるM課長から指示された内容は,次のとおりである。 (1)内部NWを見直して,障害発生時の業務への影響の更なる低減を図ること (2)業務への影響を極力少なくした移行計画を立案すること [現行の内部NW調査 JER,まず,現行の内部NWの設計について再確認した。内部NWのスイッチ lk,一つのツリー型トポロジをSTPによって構成し,全てのVLANのループを防止 している。⑨L3SW1に最も小さいブリッジプライオリティ値を,L3SW2に2番目に —4 mm 小さいブリッジプライオリティ値を設定し,L3SW1をルートブリッジにしている。 ルートブリッジに選出されたL3SW1は,STPによって構成されるツリー型トポロ ジの最上位のスイッチである。L3SW1はパスコストを0に設定したBPDU(Bridge Protocol Data Unit)を,接続先機器に送信する。BPDUを受信したL3SW2及び L2SW3 L2SW20(LAF,L3SW2及びL2SW3~L2SW20を非ルートブリッジとい う)は,設定されたパスコストを加算したBPDUを,受信したポート以外のポート から送信する。非ルートブリッジのL3SW及びL2SWの全てのポートのパスコスト に,同じ値を設定している。 STPを設定したスイッチは,各ポートに,ルートポート,指定ポート及び非指定 ポートのいずれかの役割を決定する。ルートブリッジであるL3SW1では,全てのポ ートが|<|ポートとなる。非ルートブリッジでは,パスコストやブリッジプブ ライオリティ値に基づきポートの役割を決定する。例えば,L2SW3において, L3SW2に接続するポートは,| q|ポートでぁる。 STPのネットワークでトポロジの変更が必要になると,スイッチはポートの状態 須移を開始し,|e|]テーブルをクリアする。 ポートをフォワーディングの状態にするときの,スイッチが行うポートの状態須 移は,次のとおりである。 (1)リスニングの状態に遷移させる。 (2)転送遅延に設定した待ち時間が経過したら,ラーニングの状態に居移させる。 (3)転送遅延に設定した待ち時間が経骨したら,フォワーディングの状態に居移さ せる。 J主任は,内部NWのSTPを用いているネットワークに障害が発生したときの復 旧を早くするために,IEEE 802.1D-2004で規定されているRSTP(Rapid Spanning Tree Protocol)を用いる方式と,スイッチのスタック機能を用いる方式を検討するこ にした。 [RSTPを用いる方式 J主任は,トポロジの再構成に掛かる時間を短縮したプロトコルであるRSTPにつ いて調査した。RSTPでは,STPの非指定ポートの代わりに,代替ポートとバックア ップポートの二つの役割が追加されている。RSTPで追加されたポートの役割を,表 3に示す。 表3 RSTPで追加されたポートの役割 ae ルートポボートになり,フォワーディングの状態になるポート 注記ディスカーディングの状態は,MACアドレスを学習せず,フレームを破棄する。 RSTPでは,プロポーザルフラグをセットしたBPDU(以下。プロポーザルという) 及びアグリーメントフラグをセットしたBPDU(以下,アグリーメントという)を使 DT,ポートの役割決定と状態遷移を行う。 調査のために,主任が作成したRSTPのネットワーク図を図2に示す。 代替ポート 注記1全てのスイッチにRSTPを用いる。 注記2スイッチRがルートブリッジである。 2 J主任が作成したRSTPのネットワーク図 スイッチAにおいて,スイッチRに接続するポートのダウンを検知したときに, スイッチAとスイッチBが行うポートの状態乱移は,次のとおりである。 (1)スイッチAは,トポロジチェンジフラグをセットしたBPDUをスイッチBに送 信する。 (2)スイッチBは,スイッチAにプロポーザルを送信する。 (3)スイッチAは,受信したプロポーザル内のブリッジプライオリティ値やパスコ ストと,自身がもつブリッジプライオリティ値やパスコストを比較する。比較結 果から,スイッチAl,スイッチBがRSTPによって構成されるトポロジにおい て| f|であると判定し,スイッチBにアグリーメントを送信し,指定ポー ー6一 トをルートポートにする。 (4)アグリーメントを受信したスイッチBik,代替ポートを指定ポートとして,フ ォワーディングの状態に遷移させる。 ]主任は,調査結果から,STPをRSTPに変更することで,③内部NWに障害が発 生したときの,トポロジの再構成に掛かる時間を短縮できることを確認した。 [スイッチのスタック機能を用いる方式〕 次に,J主任は,ベンダから紹介された,新たな機器が実装するスタック機能を用 いる方式を検討した。新たな機器を用いた社内システム(以下,新社内システムと いう)の内部NWに関して,主任が検討した内容は次のとおりである。 ・新L3SW1と新L3SW2をスタック用ケーブルで接続し,1台の論理スイッチ(以下, スタックL3SWという)として動作させる。 ・スタックL3SWと新L2SW3~Ht L2SW20 Oe,リンクアグリゲーションを用い ,て接続する。 ・新デイレクトリサーバ及び新内部DNSサーバに実装される二つのNICK,アクテ イィイブノアクティブのチーミングを設定し,スタックL3SWに接続する。 検討の内容を基に,J EES,スタック機能を用いることで,障害発生時の復旧を 早く行えるだけでなく,⑧スイッチの情報収集や構成管理などの維持管理に係る運 用負荷の軽減や、⑤回線帯域の有効利用を期待できると考えた。 〔新社内システムの構成設計〕 JER,スイッチのスタック機能を用いる方式を採用し,STP及びRSTPを用い ない構成にすることにした。本主任が設計した新社内システムの構成を,図3に示す。 ーッァー MAY ATA マシターネッ !内部NWスタック5ジージase! の"mmューニャーーっmannニュニュmn|I |[ag Le |レラReペグ本 Zo—iw: |_SS SSO“tSーーも [sec][arc][arec]~[aerc]M7 SLAP][MERE SEN]AES| ディレクト!i EB DNS|||新公開Web部DNS|| RE 一スタック用ケーブル=f:リンクアグリゲーションを用いて接続する回線 注記スタックL2SWは,新L2SW1と新L2SW2をスタック用ケーブルで接続した1台の論理スイッチである。 図3新社内システムの構成(抜粋) 〔新社内システムへの移行の検討] J主任は,現行の社内システムから新社内システムへの移行に当たって,五つの作 業ステップを設けることにした。移行における作業ステップを表4に,ステップ1 完了時のネットワーク構成を図4に示す。ステップ1では,現行の社内システムと 新社内システムの共存環境を構築する。 表4移行における作業ステップ(抜粋) RATS T|作基 ・図4中の新社内システムを構築し,現行の社内システムと接続する。 ・⑥現行のディレクトリサーバから新ディレクトリサーバヘデータを移行する。 ステップ2 1が月・⑦現行の社内システムに接続されたPCから,新公開Webサーバの動作確認を 行う。 ・現行の社内システムから,新社内システムに切り替える。(表8参照 ーー、・新社内システムの安定稼働を確認し,新サーバに不具合が見つかった場合に ・現行の社内システムを切り離す。 3 8(aaa cs新社内システム 社内システム ーー「ユタックィasW!Kho ise TON(i ES :i ee nl ムの構成は,ナーーーランー。でミーーービサーーーラペニーーーービ mae AE:リンクタアグリゲーションを用いて接続する回線 注記1新L2SW3一新L2SW20と新L3SW1,新L3SW2間は接続されていない。 注記2スタックL3SWには,VLAN101てVLAN103に関する設定を行わない。 図4ステップ1完了時のネットワーク構成(抜粋) ステップ1完了時のネットワーク構成の概要は,次のとおりである。 ・新ディレクトリサーバ及び新内部DNSサーバに,172.17.11.0/24のIPアドレスブ ロックから未使用のIPアドレスを割り当てる。 ・⑱新公開Webサーバ及び新外部DNSサーバには,172.16.254.0/24のIPアドレス ブロックから未使用のIPアドレスを割り当てる。 ・現行のL3SW1と新L3SW1間を接続し,接続ポートをVLAN11のアクセスポート にする。 ・スタックL3SWのVLAN11のVLANインタフェースに,未使用のIPアドレスであ る172.17.11.101を,一時的に割り当てる。 ・全ての新サーバについて,デフォルトゲートウェイのIPアドレスは,現行のサー バと同じIPアドレスにする。 ・新社内システムのインターネット接続用サブネットには,現行の社内システムと 同じグローバルIPアドレスを使うので,新外部DNSサーバのゾーンファイルに, 現行の外部DNSサーバと同じゾーン情報を登録する。 ・現行の内部DNSサーバ及び新内部DNSサーバのゾーンファイルに,新サーバに 関するゾーン情報を登録する。 ・新FW1及び新FW2は,アクティブスタンバイのクラスタ構成にする。 ー9一 ・新FW1及び新FW2には,インターネットから受信したパケットの宛先IPアドレ スを,新公開Webサーバ及び新外部DNSサーバのプライベートIPアドレスに変 換する静的NATを設定する。 ・新FW1及び新FW2にNAPTを設定する。 ・新サーバの設定を表5に,新FW及びスタックL3SWに設定する静的経路情報を 表6に,FW及びL3SWに追加する静的経路情報を表7に示す。 表5新サーバの設定(抜粋) 機器名IPアドレスのデフォルトゲートウェイ所属 Ei VLAN 新公開Webサーバ ーームー-(設問のため省略)新FW1,新FW2 172.16.254.1!なし 新外部DNSサーバ 新ディイレクトリサーバ (省略)L3SW1,L3SW2 172.17.11.1?11 SE新FW1と新FW2が共有する仮想IPアドレスである。 99 L3SW1とL3SW2が共有する仮想IPアドレスである。 表6新FW及びスタックL3SWに設定する静的経路情報(抜粋) ee ee 機器名にサブネットマスク wi EWI,新PW2 スタックL3SW 注り新FW1と新FW2が共有する仮想IPアドレスである。 2 L3SW1とL3SW2が共有する仮想IPアドレスである。 表7 FW及びL3SWに追加する静的経路情報(抜粋) ーーアドレス サブネットマスク 注'!L3SW1とL3SW2が共有する仮想IPアドレスである。 次に,J EEL,ステップ3の現行の社内システムから新社内システムへの切替作 業について検討した。本主任が作成したステップ3の作業手順を,表8に示す。 表8ステップ3の作業手順(抜粋) ee SSCSC“‘CNSCN#N#NCN#C#C#“‘dA インターネット接続|・現行のルータ1に接続されているインターネット接続回線を,新ルータ1 回線の切替作業に接続する。 ・新FW1 ROM FW2に設定されているデフォルトルートのネクストホッ Fe,新ルータ1のIPアドレスに変更する。 DMzのネットワーク|'江現行のFW1とL2SW1 fH,及び現行のFW2とL2SW2間を接続してい 構成変更作業るLANケーブルを抜く。 ・⑩ステップ4で,新サーバに不具合が見つかったときの切戻しに掛かる 作業量を減らすために,現行のL2SW1と新L2SW1間を接続する。 ・⑪インターネットから新公開Webサーバに接続できることを確認する。 ・現行のL3SW1及びL3SW2のVLANインタフェースに設定されている全 てのIPアドレス,並びに静的経路情報を削除する。 ・スタックL3SWのVLAN11のVLANインタフェースに設定されているIP 内部NWのネットワ|アドレスを,[|z|]に変更する。 ーク構成変更作業・スタックL3SWに設定されているデフォルトルートのネクストホップを 新FW1と新FW2が共有する仮想IPアドレスに変更する。 ・スタックL3SWに設定されている施先ネットワークアドレスが 172.16.254.128/25の静的経路情報を削除する。 ディレクトリサーバー-、> .と|are-て の切替作業新デイレクトリサーバをマスタとして稼働させる。 a NODE ae css DNSサーバのDHCPサーバ機能を開始する。 、・現行の内部DNSサーバのDHCPサーバ機能を停止する。 °‘DAY 7 L3SWにDHCPリレーエージェントを設定する。 ・スタックL3SWに,VLAN101てVLAN103のVLANインタフェースを作成 し,IPアドレスを設定する。 新PCの接続作業・新L2SW3~#L2SW20と新L3SW1,新L3SW2に,VLAN101~VLAN103 を通すトランクポートを設定し,接続する。 ・新PCから新ディレクトリサーバに接続できることを確認する。 J主任が作成した移行計画はM課長に承認され,主任は更改の準備に着手した。

共通の文章

インターネット接続環境の更改に関する次の記述を読んで,設問1ー4に答えよ。 物品販売を主な事業とするA tlt,近年,ネット通販に力を入れている。A社は, K社が提供するSaaSを利用して,顧客との電子メールやビジネスチャット,ファイ ル共有などを行っている。A社のシステム部では,老朽化に伴うA社インターネッ ト接続環境の新しい機器への交換とインターネット接続の冗長化の検討を進めてい る。システム部門のB課長は,Cさんをインターネット接続環境の更改の担当者と して任命した。 A社は,専用線を利用して,インターネットサービスプロバイダであるZ社を経由 して,インターネットに接続している。現在のA社ネットワーク環境を図1に示す。 ごィシター*ットのK社が提供する 0 4社 : (Smeal !|サーバ2||8| |Gave)|| !!#|ザサーボサーバ! L2SW:レイヤ2スイッチ|![pc][Pc]|1 ARDS L3SW:レイヤ3スイッチ|!5 me ae EW:ファイアウォール|部セクメント,しアーツセグメントドri 注記1 FWはクラスタ構成であり,物理的に2台のFWが論理的に1台のFWとして動作している。 注記2[_|は,交換対象機器を示す。 図1現在のA社ネットワーク環境GRE) 現在のA社ネットワーク環境の概要は次のとおりである。 ・FW lt,ステートフルパケットインスペクション機能をもつ。FWは,A社で必要 な通信を許可し,必要のない通信を拒否している。 ・FWは,許可又は拒否した情報を含む通信ログデータを管理サーバにSYSLOGで 送信している。 ・プロキシサーバは,従業員が利用するPCからインターネット向けのHTTP通信及 びHTTPS通信をそれぞれ中継し,通信ログデータを管理サーバにSYSLOGで送 信している。 ・K社が提供するSaaSとの通信は全てHTTPS通信である。 ・管理サーバには,A社のルータ,FW,L2SW及びL3SW(LAF,A tt NW機器と いう)からSNMPを用いて収集した通信量などの統計データ,FWとプロキシサ ーバの通信ログデータが保存されている。 ・管理サーバは,通信ログデータを基にFWとプロキシサーバの通信ログ分析レポ ートを作成している。 ・監視サーバは,A社NW機器及びサーバを死活監視している。 ・キャッシュDNSサーバは,PCやサーバセグメントのサーバからの名前解決の問 合せ要求に対して,他のDNSサーバへ問い合わせた結果,得られた情報を応答す る。 ・権威DNSサーバ1は,A社内のPCやサーバセグメントのサーバのホスト名など を管理し,名前解決の問合せ要求に対してPCやサーバセグメントのサーバなどに 関する情報を応答する。 ・サーバセグメントには,プライベートIPアドレスを付与している。 ・サーバセグメントからインターネットに接続する際に,FWでNAPTによるIPア ドレスとポート番号の変換が行われる。 ・内部セグメントには,プライベートIPアドレスを付与している。 ・権威DNSサーバ2は,A社内の公開Webサーバのホスト名などを管理し,名前解 決の問合せ要求に対して公開Webサーバなどに関する情報を応答する。 ・DMZには,グローバルIPアドレスを付与している。 ・ルータ10Zには,A社が割当てを受けているグローバルIPアドレスの静的経路設 定がされており,これを基に2Z社内部のルータに経路情報の広告を行っている。 ・ルータ10,FW10及びL3SW40の経路制御は静的経路制御を利用している。 Cさんは,インターネット接続環境の更改の検討を進めるに当たり,まず,インタ ー15一 ーネット接続環境の利用状況を調査することにした。 〔インターネット接続環境の利用状況の調査] 管理サーバは,SNMPを用いて,5分ごとにA tt NW機器の情報を収集している。 A tt NW機器のインタフェースの情報は,インタフェースに関するMIBによって取 得できる。そのうち,インタフェースの通信量に関するMIBの説明を表1に示す。 表1インタフェースの通信量に関するMIBの説明(抜粋) == 例えば,iffnOctetsはカウンタ値で,電源投入によって機器が起動すると初期値の 0から加算が開始され,インタフェースでパケットを受信した際にそのパケットのオ クテット数が加算される。機器は,管理サーバからSNMPで問合せを受けると,そ の時点のカウンタ値を応答する。①管理サーバは,5分ごとにSNMPでカウンタ値 を取得し,単位時間当たりの通信量を計算し,統計データとして保存している。単 位時間当たりの通信量の単位はビットノ秒である。②カウンタ値が上限値を超える Be,初期値に戻って(以下,カウンタラップという)再びカウンタ値が加算され る。通信量が多いとカウンタラップが頻繁に起きることから,インタフェースの通 信量の情報を取得する場合には,32ビットカウンタではなく,64ビットカウンタを 利用することが推奨されている。管理サーバに保存された統計データは,単位時間 当たりの通信量の推移を示すトラフィックグラフとして参照できる。 統計データから,過去に何度か利用が増えインターネットに接続する専用線に 幅較が起きていたことが判明したので,専用線を増可する必要があるとCさんは考 えた。また,統計データと通信ログ分析レポートから交換対象機器の通信量や負荷 の状態を確認した結果,ルータ10及びL2SW10は同等性能の後継機種に交換し, FW10は性能が向上した上位機種に交換すればよいとCさんは考えた。 ー16一 [インターネット接続の冗長化検討] Cさんは,インターネット接続の冗長化方法についてZ社に提案を求めた。Z社の 提案は,動的経路制御の一つであるBGPを用いた構成であった。Z社の提案した構 成を図2に示す。 ごzoトークつ各機器に付与されているアドレス一覧 wattトールータngi lsgysam Bi BGP ーー |。|zgyasso| Teyルータ0 _- k。 lb|zgyiee| =i.Ps eT| ee Cs 2 __ aaa ftwo le|egywe| し!:OSPFエリア 注記1 L2SWは冗長構成であるが,図では省略している。 注記2 a~ilt,各機器の物理インタフェースを示す。 注記3 FWはクラスタ構成であり,物理的に2台のFWが論理的に1台のFWとして動作している。 注記4表中のIPアドレスは,グローバルIPアドレスである。 注記5<«—>ld,BGPピアを示す。 図2 Z社の提案した構成(抜粋) Z社の提案した構成の概要は次のとおりである。 ・ルータ10側の専用線を増速する。また,新たに専用線を敷設してZ社に接続する。 新たに敷設する専用線を終端する機器として,ルータ11とルータ11Zを設置する。 ルータ11側の専用線の契約帯域幅は,ルータ10側の専用線と同じにする。 ・平常時はルータ10側の専用線を利用し,障害おがどでルータ10側が利用できない Belk,ルータ11側を利用するように経路制御を行う。 ・ルータ10とルータ11にはループバックインタフェースを作成し,これらにIPア ドレスを設定する。 -a~eの各物理インタフェース及びループバックインタフェースでは,OSPFエリア を構成する。 ・⑨③ルータ10とルータ11はループバパックインタフェースに設定したIPアドレスを 利用し,FW10はeに設定したIPアドレスを利用して,互いにiBGPのピアリング を行う。④BGPのピアリングでは,経路情報を広告する際に,BGPパスアトリ ビュートの一つであるNEXT_HOPのIPアドレスを,自身のIPアドレスに書き換 える設定を行う。 ・ルータ10とルータ10Zの間,及びルータ11とルータ11Zの間では,eBGPのピア リングを行う。ピアリングには,fとh,及びgとiに設定したIPアドレスを利用 する。 ・eBGPのピアリングでは,A社側はプライベートAS番号である64512を,Z社側 はグローバルAS番号である64496を利用する。 Cさんは,Z社の提案を受け,BGPの標準仕様について調査を行った。 BGPでは,それぞれの経路情報に,パスアトリビュートの情報が付加される。 BGPパスアトリビュートの一覧を表2に示す。 表2 BGPパスアトリビュートの一覧(抜粋) AS PATHは,経路情報がどのASを経由してきたのかを示すAS番号の並びである。 eBGPピアにおいて,隣接するASに経路情報を広告する際に,AS PATHに自身の AS番号を追加する。また,⑤隣接するASから経路情報を受信する際に,自身のAS 番号が含まれている場合はその経路情報を破棄する。 NEXT HOPは,宛先ネットワークアドレスへのネクストホップのIPアドレスを 示す。ネクストホップのIPアドレスは,ルータがパケットを転送する宛先を示す。 eBGPピアに経路情報を広告する際には,NEXT HOPを自身のIPアドレスに書き換 えて送信する。iBGPピアに経路情報を広告する際には,NEXT HOPを書き換えず, そのまま送信する。 ー18一 MULTI EXIT DISC(LAF,MEDという)ld,eBGPピアに対して通知する,自 身のAS内に存在する宛先ネットワークアドレスの優先度である。MEDはメトリッ クとも呼ばれる。 LOCAL PREFは,iBGPピアに対して通知する,外部のASに存在する宛先ネット ワークアドレスの優先度である。 BGPでは,ピアリングで受信した経路情報をBGPテーブルとして構成する。この BGPテーブルに存在する,同じ宛先ネットワークアドレスの経路情報の中から,最 適経路を一つだけ選択し,ルータのルーティングテーブルに反映する。A社で利用し ている機器の最適経路選択アルゴリズムの仕様を表3に示す。 表3最適経路選択アルゴリズムの仕様 bo お|ピアリングに6用するPT FV ARRE DE RRMMEERTS.| 選択する。 最適経路の選択は,表3中の評価順に行われる。例えば,同じ宛先ネットワーク アドレスの経路情報が二つあった場合には,最初に,LOCAL PREFの値を評価し, 値にこ違いがあれば最も大きい値をもつ経路情報を選択し,評価を終了する。値に違 いがなければ,次のAS PATHの長さの評価に進む。 なお,ルータのルーティングテーブルに最適経路を反映するためには, NEXT HOPのIPアドレスに対応する経路情報が,.ルータのルーティングテーブル に存在し,ルータがパケット転送できる状態にある必要がある。 Cさんは,以上の調査結果を基にZ社の提案した構成を確認した。CさんとZ社の 担当者との会話は,次のとおりである。 ー19一 Cさん:専用線の経路制御はどのように行いますか。 担当者:今回は,LOCAL PREFを利用して,図2中の各ルータ及びFWのパケット 送信を制御します。ルータ10Zとルータ11Zが経路情報を受信した際に, LOCAL PREFの値をそれぞれ設定し,Z社内部の機器に経路情報の広告を 行います。ルータ10とルータ11が経路情報を受信した際も同様に, LOCAL PREFの値をそれぞれ設定し,A社内部の機器に経路情報の広告を 行ってください。 Cさん:BGPで広告する経路情報はどのようなものですか。 担当者:ルータ10Zとルータ11Zはデフォルトルートの経路情報の広告を行います。 ルータ10とルータ11はA社が割当てを受けているグローバルIPアドレス の経路情報の広告を行ってください。平常時のFW10のBGPテーブルは表 4のように,ルーティングテーブルは表5のようになるはずです。 表4 FW10のBGPテーブル(抜粋) oow jew bp| eo jew hb be HS FW19のルーティングテーブル(抜粋) jooom idee esvae(bad|e CZ ee Cさん:分かりました。リンクダウンしないにもかかわらず,通信ができなくなるよ うな専用線の障害時は,どのような動作になりますか。 担当者:BGPでは,メッセージを定期的に送信します。専用線の障害時 には,ルータが||メッセージを受信しなくなることによって,ピ アリングが切断され,AS内の各機器の経路情報が更新されます。 Cさん:分かりました。 ー20一 担当者:ところで,⑯BGPの標準仕様ではトラフィックを分散する経路制御はでき ません。BGPマルチパスと呼ばれる技術を使うことで,平常時からルータ 10側,ルータ11側両方の専用線を使って,トラフィックを分散する経路制 御ができますがいかがですか。教えていただいた,今回利用を検討されて いる機器はどれもBGPマルチパスをサポートしています。BGPマルチパス を有効にすると,BGPテーブル内のLOCAL PREFやAS PATH,MEDの 値は同じで,NEXT HOPだけが異なる複数の経路情報を,同時にルーティ ングテーブルに反映します。その結果,ECMP(Equal-Cost Multi-Path)に よつてトラフィックを分散することができます。 Cさん:いいですね。では,BGPマルチパスを利用したいと思います。 担当者:承知しました。各機器の設定例を後ほどお渡ししますので参考にしてくだ さい。 Cさん:ありがとうございます。 [インターネット接続の冗長化手順] Cさんは,冗長化作業中にインターネット利用に対する影響が最小限となる,イン ターネット接続の冗長化手順の検討を行った。Cさんが検討した冗長化手順を表6に 示す。 表6 Cさんが検討した冗長化手順 手順1,2では,新たに導入する機器の設置及びケーブルの接続を行い,物理構成 ー2]一 を完成する。手順3では,作業対象機器の物理インタフェースの設定及びIPアドレ スの設定を行い,機器間で疎通の確認を行う。疎通の確認では,pingを用いて,パ ケットロスが観測されないことを確認する。手順4てこ7で,BGPやOSPFを順次設定 する。続いて,手順8を実施する。②⑦A社からインターネットへ向かう通信につい ては,手順8の静的経路の削除が行われた時点で,動的経路による制御に切替えが 行われ,冗長化が完成する。最後に,手順9では,インターネット利用に対する影 手が最小限になるように機器を操作しながら,作業対象機器をあらかじめ設定を投 入しておいた後継機種又は上位機種に交換する。例えば,ルータ10の交換に当たっ ては,⑬③通信がルータ10を経由しないようにルータ10に対して操作を行った後に 交換作業を実施する。 Cさんは,これまでの検討結果をインターネット接続環境の更改案としてまとめ, B課長に報告した。B課長は,専用線に幅較が発生していたこと,及び監視サーバで 検知できなかったことを問題視した。想定外のネットワーク利用などによって突発 的に発生した通信や幅寺を迅速に検知できるように,単位時間当たりの通信量の監 視(以下,トラフィック監視という)について,Cさんに検討するよう指示した。 [トラフィック監視の導入〕 監視サーバの死活監視は,監視対象に対して,1回につきICMPのエコー要求を3 パケット送信し,エコー応答を受信するかどうかを確認する。1分おきに連続して5 回,一つもエコー応答を受信しなかった場合に,アラートとして検知する。エコー 要求のタイムアウト値は1秒である。Cさんは,OQHAMOMRERMT SEHK, 監視サーバの監視対象として,ルータ10Zとルータ11Zを追加することを考えたが, 問題があるため見送った。 そこで,Cさんは,通信量のしきい値を定義し,上限値を上回ったり,下限値を下 回っつたりするとアラートとして検知する監視(以下,しきい値監視という)の利用 を検討した。通信を均等に分散できると仮定すると,インターネット接続の冗長化 導入によって利用できる帯域幅は専用線2回線分になる。どちらかの専用線に障害 が発生すると,利用できる帯域幅は専用線1回線分になる。Cさんは,どちらかの専 用線に障害が発生した状況において,専用線に流れるトラフィックの幅較の発生を 避けるためには,平常時から,それぞれの専用線で利用できる帯域幅の ー22一 %を単位時間当たりの通信量の上限値としてしきい値監視すればよいと 考えた。このしきい値監視でアラートを検知すると,トラフィック増の原因を調査 して,必要であれば専用線の契約帯域幅の増速を検討する。 次に,Cさんは,想定外のネットワーク利用などによって単位時間当たりの通信量 が突発的に増えたり,A社NW機器の故障などによって単位時間当たりの通信量が 突発的に減っのたりすること(UE,トラフィック上異常という)を検知する監視の利 用を検討した。Cさんは機械学習を利用した監視(以下,機械学習監視という)の製 品を調査した。 Cさんが調査した製品は,過去に収集した時系列の実測値を用いて,傾向変動や周 期性から近い将来の値を予測し,異常を検衝することができる。例えば,単位時間 当たりの通信量について,その予測値と新たに収集した実測値を基に,トラフィッ ク異常を検燥することができる。 Cさんは,管理サーバに保存されている単位時間当たりの通信量の統計データを用 いて,機械学習監視製品の試験導入を行った。Cさんは,これまで検知できなかった トラフィック異常が検知できることを確認した。さらに,⑩管理サーバに保存され ている,統計データとは別のデータについても,機械学習監視製品を用いて監視す ることで,トラフィック異常とは別の異常が検和できることを確認した。複数のデ ータを組み合わせて,機械学習監視製品を用いて監視することで,ネットワーク環 境の状況を素早く,かつ,詳細に把握できることが分かった。 Cさんは,機械学習監視製品の試験結果についてまとめ,B課長に報告を行い,イ ンターネット接続環境の更改に併せて,管理サーバにしきい値監視と機械学習監視 製品を導入することが決まった。 その後,A社では,Cさんがまとめたインターネット接続環境の更改案を基に設備 更改が実施され,また,しきい値監視と機械学習監視製品が導入された。