ネットワークスペシャリスト 2022年 春期 午後II 問題

共通の文章

テレワーク環境の導入に関する次の記述を読んで,設問1こ5に答えよ。 K社は,東京に本社を構える中堅の製造業者である。東京の本社のほかに,AMO 支社,及び関東圏内のデータセンタがある。このたびK社では,テレワーク環境を MAL,K社社員が自宅などをテレワーク拠点として,個人所有のPC(以下,個人 PCという)を利用して業務を行う方針を立てた。EX,業務の重要性から,ネット ワークの冗長化を行うことにした。これらの要件に対応するために,情報システム 部のP主任が任命された。K社の現行のネットワーク及び導入予定の機器を図1に示 ず。 <a PC ae|sl本 !テレワークii|装置 |サーバtee)[gem it DMZ! Gem PoNeZAyh! FW:ファイアウォールLOW:レイヤ2スイッチL3SW:レイヤ3スイッツチ 広域イーサネット:広域イーサネットサービス綱業務サーバ:業務アプリケーションサーバ テレワークサーバセグメント:テレワークのための機器で構成するセグメント 注記網掛け部分は,テレワーク環境として導入予定の機器を示す。 図1 K社の現行のネットワーク及び導入予定の機器(抜粋) [現行のネットワーク構成] 1の概要を次に示す。 ・本社,支社,データセンタはM社の広域イーサネットで接続されている。 ・サーバセグメントに設置された業務サーバに,社内のPCからアクセスして各種業 務を行っつている。 ・FWは,社内からインターネットへのアクセスのためにアドレス変換(NAPT)を 行っている。 5 2 pores ・FWでDMZを構成し,DMZにはグローバルIPアドレスが割り当てられている。 ・DMZ以外の社内の全てのセグメントは,プライベートIPアドレスが割り当てられ ている。 ・経路制御の方式は,OSPFが用いられている。 ・本社のネットワークアドレスには,172.16.1.0/24を割り当てている。 ・支社のネットワークアドレスには,172.16.2.0/24を割り当てている。 ・データセンタのネットワークアドレスには,172.17.0.0/16を割り当てている。 【テレワーク環境導入方針〕 P主任は,テレワーク環境構築に当たって,導入方針を次のように定め,技術検討 を進めることにした。 ・テレワーク拠点の個人PCには業務上のデータを一切置かない運用とするために, 仮想デスクトップ基盤(以下,VDIという)の技術を採用する。 ・データセンタのテレワークサーバセグメントにVDIサーバを導入する。VDIサーバ Aでは,個人ごとの仮想化されたPC(以下,仮想PCという)を稼働させ,個人PC から遠隔で仮想PCを利用可能にする。 ・個人PCには,仮想PCの画面を操作するソフトウェア(以下,VDIクライアント という)を導入する。 ・仮想PCから,業務サーバヘアクセスして業務を行う。社内のPCからは直接業務 サーバヘアクセスできるので,社内のPCから仮想PCは利用しない。 ・DMZにSSL-VPN装置を導入して,テレワーク拠点の個人PCからデータセンタの テレワークサーバセグメントへのアクセスを実現する。 ・情報セキュリティの観点から,SSL-VPNアクセスのための認証は,個人ごとに事 前に発行したクライアント証明書を用いて行う。 ・SSL-VPN装置は,個人PCからの接続時の認証に応じて適切な仮想PCを特定する。 そして,個人PCからその仮想PCへのVDIの通信を中継する。このような機能を もつSSL-VPN装置を選定する。 ・テレワークを行う利用者は最大200人とする。 (SSL-VPN技術調査とテレワーク環境への適用〕 P主任は,テレワーク拠点かホらインターネットを介した社内へのアクセスを想定し Be て,SSL-VPNの技術について調査を行い,結果を次のようにまとめた。 ・SSL-VPNは,TLSプロトコルを利用したVPN技術である。 ・TLSプロトコルは,HTTPS(HTTP over TLS)通信で用いられる暗号化プロトコ ルであり,インターネットのような公開ネットワーク上などで安全な通信を可能 にする。 ・TLSプロトコルのセキュリティ機能は,暗号化,通信相手の認証,及び |テ」cぁs。 ・SSLVPNは,リバースプロキシ方式,ポートフォワーディング方式, 方式の3方式がある。 ・リバースプロキ方式のSSL-VPNは,インターネットからアクセスできない社内 のWebアプリケーションへのアクセスを可能にする。 ・ポートフォワーディング方式のSSL-VPNは,社内のノードに対してTCP又はUDP の任意の[|ウ|]へのアクセスを可能にする。 ・|イ ]方式のSSLVPNは,動的にポート番号が変わちるアプリケーションプロ グラムでも社内のノードへのアクセスを可能にする。 ・リバースプロキシ方式以外のSSL-VPNを利用するためには,SSL-VPN接続を開始 するテレワーク拠点のPCに,SSL-VPN接続を行うためのクライアントソフトウェ アモジュール(以下,SSL-VPNクライアントという)が必要である。 ・TLSプロトコルは,複数のバージョンが存在するが,TLS1.3はTLS1.2よりも安全 性が高められている。一例を挙げると,TLS1.3ではAEAD(Authenticated Encryption with Associated Data)暗号利用モードの利用が必須となっており,①セ キュリティに関する二つの処理が同時に行われる。 ・TLSプロトコルで用いられる電子証明書の形式は,X.509によって定められている。 ・認証局(以下,CAという)によって発行された電子証明書には,②③証明対象を識 別する情報,有効期限。|エ|e,シリアル番号,CAのデジタル署名といっ た情報が含まれる。 P主任は,SSL-VPNの技術調査結果を踏まえ,テレワーク環境への適用を次のとお り定めた。 ・SSL-VPNクライアント,クライアント証明書,及びVDIクライアントを,あらか ー4ォー じめ個人PCに導入する。 ・SSL-VPN装置へのアクセスポートは,TCPの443番ポートとする。 ・SSL-VPN装置で利用するTLSプロトコルのバージョンは,TLS1.3を用い,それ以 外のバージョンが使われないようにする。 ・仮想PCへのアクセスのプロトコルはRDPとし,TCPの3389番ポートを利用す る。 ・SSL-VPN装置がRDPだけで利用されることを踏まえ,SSL-VPNの接続方式は HALTS. (SSL-VPNクライアント認証方式の検討] P主任は,個人PCからSSL-VPN装置に接続する際のクライアント認証の利用につ いて整理した。 ・個人PCからSSL-VPN装置に接続を行う時に利用者のクライアント証明書がSSL- VPN装置に送られ,⑧SSL-VPN装置はクライアント証明書を基にして接続元の身 元特定を行う。K社においては,社員番号を利用者IDとしてクライアント証明書 に含めることにする。 ・TLSプロトコルのネゴシエーション中に,④クライアント証明書がSSL-VPN装置 に送信され,SSL-VPN装置で検証される。 ・©SSL-VPN装置からサーバ証明書が個人PCに送られ,個人PCで検証される。 TLSプロトコルにおける鍵交換の方式には,クライアント側でランダムなプリマス タシークレットを生成して,サーバのRSA|エ|鐘で暗号化してサーバに送付 することで共通鍵の共有を実現する,RSA鍵交換方式がある。また,Diffie-Hellman アルゴリズムを利用する鍵交換方式で,DH公開鍵を静的に用いる方式もある。これ らの方式は,⑥秘密鍵が漏えいしてしまったときに不正に復号されてしまう通信の データの範囲が大きいという問題があり,TLS1.3以降では利用できなくなっている。 TLS1.3で規定されている鍵交換方式は,|カ|,ECDHE,PSKの3方式であ る。 さらにP EE,クライアント証明書の発行に関して次のように検討した。 ・クライアント証明書の発行に必要なCAを自社で構築して運用するのは手間が掛か ーョーー SOC,セキュリティ会社であるS社がSaaSとして提供する第三者認証局サービ ス(以下,CAサービスという)を利用する。 ・新しいクライアント証明書が必要なときは,利用者の公開鍵と秘密鍵を生成し, 公開鍵から証明書署名要求(CSR)を作成して,CAサービスへ提出する。CAサー ビスは,クライアント証明書を発行してよいかどうかをK社の管理者に確認する とともに,⑦CSRの署名を検証して,クライアント証明書を発行する。 ・クライアント証明書の失効が必要なときは,S社のCAサービスによって証明書失 効手続を行うことによって,CAの証明書失効リストが更新される。証明書失効リ ストは,失効した日時とクライアント証明書を一意に示す情報のリストになっ ている。 [テレワーク環境構成の検討] P主任は,ネットワーク構築ベンダQ社の担当者に相談して,Q社の製品を利用し たテレワーク環境の構成を検討した。P主任が考えたテレワーク環境を図2に示す。 また,図2の主要な構成要素の説明を表1に示す。 個人PC SSL-VPN装軒 !テレワークサーバセグメント! のlocalhost:3389 VPN処理!% wm[sen| SSL-VPNクライアントEA NAT U cag| 証明書ストアme ra|ww]| しーー VIP:仮想IPアドレスDNAT:Destination NAT 注記1 1ocahost:3389は,localhostのTCPの3389番待受けポートを示す。 注記2 ev ld,パケットの送信元と宛先を示す。 注記3〇は,待受けポートを示す。 図2 P主任が者えたテレワーク環境 =6 emer Rl図2の主要な構成要素 仮想PC利用者の業務で利用するための仮想化されたPCである。利用者ごとに 仮想PCがあらかじめ割り当てられており,IPアドレスは静的に割り当 てられている。それぞれの仮想PCはRDP接続をTCPの3389番ポート で待ち受けている。 VDIサーバ仮想PCを稼働させるためのサーバである。複数のVDIサーバで,全利 用者分の仮想PCを収容する。システム立上げ時に全仮想PCが起動され る。 VDIサーバ内の仮想PCは仮想L2SWに接続される。仮想L2SWはVDI サーバの物理インタフェースを通じてL2SW39に接続される。 複数のVDIサーバを収容するL2SW CHS, SSL-VPN装置SSL-VPN接続要求を受けてSSL-VPNトンネルの処理を行い,仮想PCへ RDP接続を中継する。この一連の処理をVPN処理という。VPN処理は ユーザテーブルとNATテーブルの二つのテーブルを利用する。DNAT処 理のための仮想的な宛先ITPアドレスであるVIPが設定される。 個人PCで,仮想PCの画面を操作するクライアントソフトウェア SSL-VPNクライアント|SSL-VPNを利用するために個人PCにインストールされたソフトウェア モジュールである。証明書ストアに格納されたクライアント証明書を用 1いて処理を行う。VDIクライアントからlocalhostのTCPの3389番ポー Iトへの接続を受け付け,SSL-VPN装置にその通信を中継する。 SSL-VPN装置のめユーザテーブルは,SSL-VPN接続時の処理に必要な情報が含ま れるテーブルであり,仮想PCの起動時に自動設定される。 SSL-VPN装置のNATテーブルは,SSL-VPNクライアントからの通信を適切な仮想 PCに振り向けるためのテーブルである。SSL-VPN装置がSSL-VPNトンネルからVIP 宛てのパケットを受けると,適切な仮想PCのIPアドレスにDNAT処理して送る。 この処理のためにNATテーブルがあり,SSL-VPNで認証処理中にエントリが作成さ れる。 IPアドレスプールは,SSL-VPNクライアントに付与するIPアドレスのためのアド レスプールであり,172.16.3.1て172.16.3.254を設定する。 P主任が考えた,図2のテレワーク環境のVDIクライアントから仮想PCまでの接 続シーケンスを図3に示す。 —7= VDI SSL-VPN クライアントクライアントSSL-VPN装置ARAB PC TCP 3ウェイハンドシェーク (1)ServerHelo (I)EncryptedExtensions (IV)CertificateRequest (V)Certificate (VI)CertificateVerify (VI)Finished (VIL)Certificate (IX)CertificateVerify (X)Finished Ca>ーーSptzay間をっ a VDIクライアントから仮想PCへの接続確立 M3 VDIクライアントから仮想PCまでの接続シーケンス(抜粋) 図3の動作の概要を次に示す。 (1)個人PCでSSL-VPNクライアントとVDIクライアントを起動する。 (2)SSL-VPNクライアントは,SSL-VPN装置に対するアクセスを開始する。 (3)SSL-VPN装置は。クライアント証明書による認証を行う。 (4)SSL-VPNクライアントとSSL-VPN装置間に,TLSセッションが確立される。こ のTLSセッションはSSL-VPNトンネルとして利用する。 (5)SSL-VPN装置は,SSL-_VPNクライアントに割り当てるIPアドレスを管理するた めのIPアドレスプールからIPアドレスを割り当て,SSL-VPNクライアントに通知 する。この割り当てられたIPアドレスを,クライアントIPという。 (6)SSL-VPN装置は。⑩ユーザテーブルを検索して得られるIPアドレスを用いて, NATテーブルのエントリを作成する。 (7)SSL-VPNクライアントは,localhost:3389の待ち受けを開始する。 (8)VDIクライアントは,localhost:3389へTCP接続を行う。 —8 a (9)SSL-VPNクライアントは,SSL-VPNトンネルを通じて,VIPの3389番ポートへ 向けてのTCP接続を開始する。 (10)SSL-VPN装置は,VIPに届いた一連のパケットをDNAT処理して仮想PCに転 送する。これによって,SSL-VPNクライアントと仮想PCの間にTCP接続が確立 する(以下,この接続をリモート接続という)。 (11)SSL-VPNクライアントは,localhost:3389とりリモート接続の間のデータ中継を行 Da 上記の①)て(11)によって,VDIクライアントから仮想PCまでの接続が確立し,個 人PCから仮想PCのデスクトップ環境が利用可能になる。 [ネットワーク冗長化の検討] 次にP主任は,次のようにネットワークの冗長化を考えた。P主任が考えた新たな 冗長化構成を図4に示す。 ・PCと業務サーバの間のネットワーク機器のうち,PCを収容するL2SW以外の機器 障害時に,PCから業務サーバの利用に影響びがなかいようにする。 ・拠点間接続の冗長化のために,新たにN社の広域イーサネットを契約する。その 回線速度と接続トポロジは現行のM社広域イーサネットと同等とする。 ・通常は,M社とN社の広域イーサネットの両方を利用する。 ・本社にL2SW13,L2SW14,L3SW12,支社にL2SW23,L2SW24,L3SW22,データ センタにL2SW32~L2SW35,L3SW32を新たに導入する。 ・業務サーバのNICはチーミングを行う。 ・サーバセグメントに接続されているL3SWはVRRPによって冗長化を行う。 ・ネットワーク全体の経路制御はこれまでどおり,OSPFを利用し,OSPFエリアは 全体でエリア0とする。 co fy me Ceうつでemの ST<> [\/ee al an le Laswagy PDロSe ma]2 ie© 2 2っ<2[20 2 9っ<29[20|seta Sea |サーバ!1業務|.|業務|!DMZ! !セグメント!にAS! [pc|--[pc][pc|-~[c]}|[Pc}--[pc][pc]~[pc]]fit Lease zay ek| 注記図中のL3SWのポートの数値は,OSPFのコストを示す。 図4 P主任が考えた新たな冗長化構成(抜粋) 全てのL3SWでOSPFを動作させ,冗長経路のOSPFのコストを適切に設定するこ とによって,@OSPFのEqual Cost Multi-path機能(以下.ECMPという)が利用で きると考え,図4に示すコスト設定を行うことにした。その場合,例えば⑫L3SW11 のルーティングテーブル上には,サーバセグメントへの同一コストの複数の経路が 確認できる。 K社で利用しているL3SWのベンダにECMPの経路選択の仕様を問い合わせたと ころ,次の仕様であることが分かった。 ・最大で四つの同一コストルートまでサポートする。 ・動作モードとして,パケットモードとフローモードがある。 ・パケットモードの場合,パケットごとにランダムに経路を選択し,フローモード の場合は,送信元IPアドレスと宛先IPアドレスからハッシュ値を計算して経路選 択を行う。 P主任は,K社の社内のPCと業務サーバ間の通信における⑱通信品質への影響を 考慮して,フローモードを選択することにした。また,フローモードでも⑭複数回 ー10一 線の利用率がほぼ均等になると判断した。 次に,P主任は,サーバセグメントに接続されているL3SWの冗長化について,図 5のように行うことにした。 M社広域N社広域 イーザネット,イーサザネッツト Lo| L_.------}--------!VRRP グループ ザーバ 図5サーバセグメントに接続されているL3SWの冗長化 図5において,L3SW31とL3SW32でVRRPを構成し,L3SW31がVRRPマスタと なるように優先度を設定する。また,L3SW31において,⑯図5中のa又はbでの障 害をトラッキングするようにVRRPの設定を行う。これによって,a又はbのインタ フェースでリンク障害が発生した場合でも,業務サーバからPCへのトラフィックの 分散が損なわれないと考えた。 P主任は,以上の技術項目の検討結果について情報システム部長に報告し,SSL- VPN導入,N社とS社サービス利用及びネットワーク冗長化について承認された。

共通の文章

仮想化技術の導入に関する次の記述を読んで,設問1て5に答えよ。 U社は社員3,000人の総合商社である。U社では多くの商材を取り扱っつており,商 材ごとに様々なアプリケーションシステム(以下,APという)を構築している。AP は個別の物理サーバ(以下,APサーバという)上で動作している。U社の事業拡大 に伴ってAPの数が増えており,主管部署であるシステム開発部はサーバの人台数を減 らすなど運用改善をしたいと考えていた。そこで,システム開発部では,仮想化技 術を用いてサーバの台数を減らすことにし,Rさんを担当者として任命した。 現在のU社ネットワーク構成を図1に示す。 遇|7 DNSサーバ||DNSサーバ||サーバ! :a |-R| i aaa|ee Law[wi LE: !1|監視 |pe[me|rae ee! しPCセタダメシト1|PEA EEAかセタメッント) FW:ファイアウォール L2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチ DB:データベース 注記ルータ,FW,L2SW,L3SW,コンテンツDNSサーバ,キャッシュDNSサ ーバ,プロキシサーバ,共用DBサーバ,監視サーバは冗長構成であるが, 図では省略している。 図1現在のU社ネットワーク構成(抜粋) 現在のU社ネットワーク構成の概要を次に示す。 ・DMZ,サーバセグメント,PCセグメントにはプライベートIPアドレスを付与して いる。 ・キャッシュDNSサーバは,社員が利用するPCやサーバからの問合せを受け,ほ かのDNSサーバへ問い合わせた結果,得られた情報を応答する。 ・コンテンツDNSサーバは,PCやサーバのホスト名などを管理し,PCやサーバな どに関する情報を応答する。 ・プロキシサーバは,PCからインターネット向けのHTTP通信及びHTTPS(HTTP over TLS)通信をそれぞれ中継する。 ・APは,共用DBサーバにデータを保管している。共用DBサーバは,事業拡大に 必要な容量と性能を確保している。 ・APごとに2台のAPサーバで冗長構成としている。 ・APサーバ上で動作する多くのAP lt,HTTP通信を利用してPCからアクセスされ るAP(LAF,WebAPという)であるが,TCP/IPを使った独自のプロトコルを利 用してPCからアクセスされるAP(以下,専用APという)もある。 ・監視サーバは,DMZやサーバセグメントにあるサーバの監視を行っている。 [サーバ仮想化技術を利用したAPの構成 Rさんは,WebAPと専用APの2種類のAPについて,サーバ仮想化技術の利用を 検討した。サーバ仮想化技術では,物理サーバ上で複数の仮想的なかサーバを動作さ せることができる。 Rさんが考えたサーバ仮想化技術を利用したAPの構成を図2に示す。 |! :サーバ |! !| || |wal AP AP AP AP 1||仮想サーバ||仮想サーバ仮想サーバ||仮想サーバ AP仮想サーバ:APが動作する,仮想化技術を利用したサーバ ホストサーバ:複数のAP仮想サーバを収容する物理サーバ 仮想SW:仮想L2SW NIC:ネットワークインタフェースカード 注記()内はAP仮想サーバ名を示し,AP名とそのAP仮想サーバが動作 するホストサーバの識別子で構成する。一例として,AP0aは,AP名が AP0のAPが動作する,ホストサーバa上のAP仮想サーバ名である。 図2サーバ仮想化技術を利用したAPの構成 ホストサーバでは,サーバ仮想化を実現するためのソフトウェアである |ア|が動作する。ホストサーバは仮想SWをもち,NICを経由してL2SWと 接続する。 AP仮想サーバは,ホストサーバ上で動作する仮想サーバとして構成する。AP仮想 サーバの仮想NICは仮想SWと接続する。 ーつのAPは2 BO AP仮想サーバで構成する。2台のAP仮想サーバでは,冗長構 成をとるためにVRRPバージョン3を動作させる。サーバセグメントでは複数のAP が動作するので,VRRPの識別子としてAPごとに異なるを割り当てる。 ①可用性を確保するために,VRRPを構成する2台のAP仮想サーバは,異なるホス トサーバに収容するように設計する。 VRRPの規格では,最大|ウ|組の仮想ルータを構成することができる。ま た,②マスタとして動作しているAP仮想サーバが停止すると,バックアップとして 動作しているAP仮想サーバがマスタに切り替わる。 ー例として,AP仮想サーバ(APOa)とAP仮想サーバ(APOb)とで構成される, AP名がAPOのIPアドレス割当表を表1に示す。 表1 AP9のIPアドレス割当表 APごとに,AP仮想サーバの仮想NICで利用する二つのIPアドレスとVRRP仮想 ルータで利用する仮想IPアドレスの計三つのIPアドレスの割当てと,一つのFQDN の割当てを行う。APごとに,コンテンツDNSサーバにリソースレコードの一つであ るレコードとしてVRRPで利用する仮想TPアドレスを登録し,FQDNと IPアドレスの紐付けを定義むする。PCにインストールされているWebブラウザ及び専 用クライアントソフトウェアは,DNSの|エ|レコードを参照して接続する APのIPアドレスを決定する。 ー]5一 [コンテナ仮想化技術を利用したWebAPの構成] MIL,Rさんはコンテナ仮想化技術の利用を検討した。WebAPと専用APに分け, まずはWebAPについて利用を検討した。コンテナ仮想化技術では,あるOS上で仮 想的に分離された複数のアプリケーションプログラム実行環境を用意し,複数のAP を動作させることができる。 Rさんが考えた,コンテナ仮想化技術を利用したWebAP(LAK,WebAPコンテナ という)の構成を図3に示す。 es 7.2 ee プロキシサーバ! 3! porta時le a7ッジ!Baa,リッvi 7A kal|au :|| |WebAP WebAP|WebAP WebAP} |コンテナayer| !||1コッダナコッテチ| a 3 Fa| ee a nd ee eteしーーここだここここ= コンテナサーバaコンテナサーバb 注記1共用リバースプロキシは冗長構成であるが,図では省略している。 注記2()内はWebAPコンテナ名を示し,AP名とそのWebAPコンテナが動作するコン テナサーバの識別子で構成する。一例として,APOaは,AP名がAPOのAPが動作す る,コンテナサーバa上のWebAPコンテナ名である。 図3 WebAPコンテナの構成 コンテナサーバでは,コンテナ仮想化技術を実現するためのソフトウェアが動作 する。コンテナサーバは仮想ブリッジ,仮想ルータをもち,NICを経由してL2SWと 接続する。WebAPコンテナの仮想NICは仮想ブリッジと接続する。 WebAPコンテナは,仮想ルータの上で動作するNAPT機能とTCPやUDPのポー トフォワード機能を利用して,PCや共用DBサーバなどといった外部のホストと通 信する。コンテナサーバ内の仮想ブリッジセグメントには,新たにIPアドレスを付 与する必要があるので,プライベートIPアドレスの未使用空間から割り当てる。ま た,⑧③複数ある全ての仮想ブリッジセグメントには,同じIPアドレスを割り当てる。 WebAPコンテナには,APごとに一つのFQDNを割り当て,コンテンツDNSサー バに登録する。 WebAPコンテナでは,APの可用性を確保するために,共用リバースプロキシを新 たに構築して利用する。共用リバースプロキシは負荷分散機能をもつHTTPリバー スプロキシとして動作し,クライアントからのHTTPリクエストを受け,③④ヘッダ フィールド情報からWebAPを識別し,WebAPが動作するWebAPコンテナへHTTP リクエストを振り分ける。振り分け先であるWebAPコンテナは複数指定することが できる。振り分け先を増やすことによって,WebAPの処理能力を向上させることが でき,また,個々のWebAPコンテナの処理量を減らして負荷を軽減できる。 共用リバースプロキシ,コンテナサーバには,サーバセグメントの未使用のプラ イベートIPアドレスを割り当てる。共用リバースプロキシ,コンテナサーバのIPア ドレス割当表を表2に,コンテナサーバaで動作する仮想ブリッジセグメントaのJP アドレス割当表を表3に示す。 表2共用リバースプロキシ,コンテナサーバのIPアドレス割当表(抜粋) ーー 表3仮想ブリッジセグメントaのTIPアドレス割当表(抜粋) ————— 共用リバースプロキシは,振り分け先であるWebAPコンテナが正常に稼働してい るかどうかを確認するためにヘルスチェックを行う。ヘルスチェックの結果,正常 なWebAPコンテナは振り分け先として利用され,異常があるWebAPコンテナは振り 分け先から外される。振り分けルールの例を表4に示す。 ー17一 HA振り分けルールの例(抜粋) PCが,表4中のAPOと行う通信の例を次に示す。 (1)PCのWebブラウザは,http:/ap0.u-sha.com/へのアクセスを開始する。 (2)PCはDNSを参照して,ap0.u-sha.comの接続先下アドレスとしてを 取得する。 (3)PCは宛先TPアドレスが|オ|,宛先ポート番号が80番宛てへ通信を開始 する。 (4)PCからのリクエストを受けた共用リバースプロキシは振り分けルールに従って 振り分け先を決定する。 (5)共用リバースプロキシは宛先TPアドレスが192.168.0.112,宛先ポート番号が |カ|番発てへ通信を開始する。 (@)仮舞ルータは宛先TPアドレスが192.168.0.112,宛先ポート番号が[|B 宛てへの通信について,ポートフォワードの処理によって宛先IPアドレスと宛 先ポート番号を変換する。 (7)WebAPコンテナAP0aはコンテンツ要求を受け付け,対応するコンテンツを応答 する。 (3)共用リバースプロキシはコンテンツ応答を受け,PCに対応するコンテンツを応 答する。 (9)PCはコンテンツ応答を受ける。 WebAPコンテナであるAPOaとAP1aに対するPC PSO HTTP接続要求パケット の例を図4に示す。 ー]8一 (i)の箇所で通信が確認できるHTTP接続要求パケット galees|swe lamom|w| 共用リバース キーの(い)[eamaeas|aeg amem|mw| (ii)の箇所で通信が確認できるHTTP接続要求パバケット ft>(iii)ー___- (iii)の箇所で通信が確認できるHTTP接続要求パケット ーーーーー cares)||(APt@)|[enae|asmm mway|mw 注記一一一*ヶは,通信の方向を示す。 図4 AP9aとAP1aに対するPC DSO HIP接続要求パケットの例 [コンテナ仮想化技術を利用した専用APの構成] Rさんは,専用APはTCP/IPを使った独自のプロトコルを利用するので,HTTP通 信を利用するWebAPと比較して,通信の仕方に不明な点が多いと感じた。そこで, コンテナ仮想化技術を導入した際の懸念点について上司の0課長に相談した。次は, コンテナ仮想化技術を利用した専用AP(以下,専用APコンテナという)に関する, Rさんと0課長の会話である。 Rさん:専用APですが,APサーバ上で動作する専用APと同じように,BA APT ンテナとして動作させることができたとしても,OPCや共用DBサーバな どといった外部のホストとの通信の際に,仮想ルータのネットワーク機能 を使用しても専用APが正常に動作することを確認する必要があると考えて います。 ORR::そうですね。専用APはAPごとに通信の仕方が違う可能性があります。AP サーバと専用APコンテナの構成の違いによる影響を受けないことを確認す る必要がありますね。それと,⑦同じポート番号を使用する専用APが幾つ かあるので,これらの専用APに対応できる負荷分散機能をもつ製品が必要 になります。 Rさん:分かりました。 Rさんは専用APで利用可能な負荷分散機能をもつ製品の調査をし,WebAPと併せ て検討結果を取りまとめ,O課長に報告した。 Rさんが,サーバの台数を減らすなど運用改善のために検討したまとめを次に示す。 ・第一に,リソースの無駄が少ないことやアプリケーションプログラムの起動に要 する時間を短くできる特長を生かすために,コンテナ仮想化技術の利用を進め, 順次移行する。 ・第二に,コンテナ仮想化技術の利用が適さないAPについては,サーバ仮想化技術 の利用を進め,順次移行する。 ・第三に,移行が完了したらAPサーバは廃止する。 [監視の検討〕 次に,Rさんが考えた,監視サーバによる図3中の機器の監視方法を表5に示す。 表5図3中の機器の監視方法(抜粋) a eae 共用リバパースプロキシ |3|pine wet TCP HERE eーー(APOa)|192.168.0.112:8000 =共用リバースプロキシ |7|URL Best Pe| 監視サーバは3種類の監視を行うことができる。ping監視は,BAYNE 人の機器に対してICMPのエコー要求を送信し,一定時間以内に[|キ|を受信 するかどうかで,IPパケットの到達性があるかどうかを確認する。TCP接続監視で it,監視サーバが監視対象の機器に対してSYNパケットを送信し,一定時間以内に |ク|バケットを受信するかどうかで,TCPで通信ができるかどうかを確認す る。URL接続監視では,監視サーバが監視対象の機器に対してHTTP|ヶ|メ ソッドでリソースを要求し,一定時間以内にリソースを取得できるかどうかでHTTP サーバが正常稼働しているかどうかを確認する。ping監視でWebAP IVT FORM 状態を監視することはできない。⑧@表5のように複数の監視を組み合わせることによ って,監視サーバによる障害検知時に,監視対象の状態を推測することができる。 [移行手順の検討] Rさんは,コンテナ仮想化技術を利用したWebAPの移行手順を検討した。 2台のAPサーバで構成するAPOを,WebAPコンテナ(AP0a)とWebAPコンテナ (APOb)へ移行することを例として,WebAPの移行途中の構成を図5に,WebAPの 移行手順を表6に示す。 プロキシサーバ AP LN|NIC| NIC Ni WebAP WebAP コンテナンチナ 図5 WebAPの移行途中の構成(抜粋) 表6 WebAPの移行手順 a[APR(7S APサーバの前際する。= Rさんは表6のWebAPの移行手順を0課長に報告した。次は,WebAPの移行手順 に関する,O課長とRさんの会話である。 ORE:今回の移行はAPサーバとWebAPコンテナを並行稼働させてDNSレコード の書換えによって切り替えるのだね。| Rさん:そうです。同じ動作をするので,DNSレコードの書換えが反映されるまでの 並行稼働期間中,APサーバとWebAPコンテナ,どちらにアクセスが行われ ても問題ありません。 0課長:分かりました。並行稼働期間を短くするためにDNS切替えの事前準備は何 があるかな。 Rさん:はい。⑪あらかじめ,DNSのTTLを短くしておく方が良いですね。 ORR::そうですね。移行手順に記載をお願いします。 Rさん:分かりました。 O課長:動作確認はどのようなことを行うか詳しく教えてください。 Rさん:はい。WebAPコンテナ2台で構成する場合は,⑫次の3パターンそれぞれで APの動作確認を行います。一つ目は,全てのWebAPコンテナが正常に動作 している場合,二つ目は,2台のうち1台目だけWebAPコンテナが停止し ている場合,最後は,2台目だけWebAPコンテナが停止している場合です。 また,障害検知の結果から,正しく監視登録されたことの確認も行います。 ORR:分かりました。良さそうですね。 ー22一 APを,仮想化技術を利用したコンテナサーバやホストサーバに移行することによ って期待どおりにサーバの台数を減らせる目途が立ち,システム開発部では仮想化 技術の導入プロジェクトを開始した。