ネットワークスペシャリスト午後II 総合事例記述平成27年 秋期
午後II 問2
問2 グローバルIPv4アドレス節約策とVXLANによる仮想サーバ基盤ネットワークの構築
テーマ:NAT444、マルチキャスト通信、およびVXLANを用いたサービス基盤ネットワークの改善
左右2分割表示:左側の問題文をスクロールしながら右側の設問に解答できます
長文事例本文
図表クリックで拡大問2 サービス基盤の改善に関する次の記述を読んで,設問1〜5に答えよ。
中規模のISPであるY社は,IPv4アドレス(以下,IPアドレスという)を使用したインターネット接続サービスとIaaS(Infrastructure as a Service)を提供している。現在のY社のネットワーク構成を図1に示す。
拡大
Y社では,顧客の増加に伴い,二つの課題への対応が急務になっている。一つは,保有するグローバルIPアドレスが不足する事態が近づいていることから,対応策を確立することである。もう一つは,IaaS基盤のネットワーク(以下,基盤ネットワークという)を,顧客の増加に柔軟に対応できる構成に変更することである。
二つの課題への対応策は,ネットワーク技術部で立案することになり,ネットワーク技術部のT部長は,基盤構築グループのI主任とJ君に対応策の検討を指示した。そこで,I主任とJ君は,まず,グローバルIPアドレス不足への対応策を検討し,その後に,基盤ネットワークの改善策を検討することにした。検討作業はJ君が行い,検討結果をI主任が評価することにした。
〔グローバルIPアドレス不足への対応策の検討〕
グローバルIPアドレスの枯渇対策の中に,大規模NAT又はキャリアグレードNAT(以下,CGNという)と呼ばれる,ISP向けのソリューションがある。CGNを導入することによって,インターネット接続サービスで使用しているグローバルIPアドレスを削減でき,それをIaaSに振り向けることができる。CGNでは,アクセスネットワークにプライベートIPアドレスを割り当て,ISP網内でグローバルIPアドレスに変換する。CGNを実現する技術の中に,NAT444がある。NAT444には,顧客の宅内に設置された機器(以下,CPEという)に変更を加えずにCGNに移行できる利点がある。そこで,J君はNAT444について調査した。
〔NAT444の調査〕
現在,Y社の個人顧客向けのインターネット接続サービスでは,顧客に一つずつグローバルIPアドレスを割り当てている。これをISP Shared Address(以下,シェアドアドレスという)と呼ばれるIPアドレスに置き換え,複数の顧客間でグローバルIPアドレスを共用するのがNAT444である。NAT444では,IPアドレスとポート番号を対にした変換が2回行われる。NAT444の構成を図2に示す。
拡大
図2に示したように,NAT444では,インターネットと顧客宅のLANとの間に,(あ)シェアドアドレスとして定義された,100.64.0.0/10のネットワークプレフィックスのネットワークを設ける。NAT444の“444”は,図2に示したように a 種類のネットワークアドレスで運用されるネットワークを指し,各ネットワークの境界でNATを実行することで,グローバルIPアドレスを節約する。
NAT444を導入すると,一部のアプリケーションの動作に不具合が発生する危険性がある。その主因として想定されるのは,次に示す2点である。
(1)1顧客が開設できるセッション数の制限
(2)通信経路中のNAT介在
(1)は,一つのグローバルIPアドレスを複数の顧客で共用することによって発生する。CGNでは, b ビットで構成されているTCP/UDPポート番号を複数の顧客に分配するので,1顧客が使用できるポート数が少ない。例えば,CGN装置に設定する1顧客に割り当てるポート数が,実際に使うポート数よりも少ない場合,Webページの閲覧などで不具合が発生してしまう。そこで,仮に,1顧客に割り当てるポート数を10,000に設定したとすると,インターネット接続サービスで使用するグローバルIPアドレスを約1/6に削減できる。
(2)は,NAT444を導入することで発生する。NATが介在すると,例えば,次のようなアプリケーションで不具合が発生する。
・FTPの c モードのように,インターネット上のサーバからクライアントが指定したポートに対してTCPコネクションの確立を試みるアプリケーション
・SIPのように,送信先となる機器のIPアドレスをパケットのデータ部に埋め込んで指定するアプリケーション
ただし,NATが介在しても,CGN装置,利用するアプリケーションの実装などで,不具合は回避できる可能性がある。今後,その可能性について,より詳細な調査を行うとともに,評価試験も併せて行うことにする。
その他にも,NATが介在すると,顧客がIPsecを利用している場合に問題が発生する危険性がある。J君は,IPsecを利用する顧客への対応策について検討した。
〔IPsecを利用する顧客への対応策〕
NAT機器を経由した通常のIPsecの通信は,AH,ESP及びIKEプロトコルで問題が発生する。NAT機器を経由したIPsec通信で発生する問題を,表1に示す。
拡大
表1の問題を解決する手段として,ESPプロトコルに対してIPsec NATトラバーサルが規格化された。IPsec NATトラバーサルは,ESPパケットをUDPでカプセル化することによって,NAT機器によるIPアドレスとポート番号の変換を可能にしている。IPsec NATトラバーサルのパケット構成を,図3に示す。
拡大
UDPによるカプセル化は,IKEで次のように自動的に決定される。
・IKEは,IPsecを使用する機器間でISAKMPメッセージを送受信する際に,経路上にNAT機器が存在するかどうか検査する。
・NAT機器を検出した場合,ISAKMPメッセージの送信元ポート番号及び宛先ポート番号を500から4500に変更して,NATトラバーサルを使用することを通知する。このとき,NATが行われると送信元ポート番号が変換されるので,(え)IPsecを使用する機器の,受信パケットに対するフィルタリング設定を変更する必要がある。
J君は,これまでの調査で,CGNの導入には今後解決すべき問題が残されているが,CGNの導入によって,グローバルIPアドレスを節約できることが分かったので,調査結果をI主任に説明した。I主任は,J君の考えが適切であると判断し,調査結果を基にCGNの導入案をまとめて,T部長に報告することを提案した。
次に,J君は,基盤ネットワークの改善策の検討に取り掛かった。
〔基盤ネットワークの課題とその対応〕
基盤ネットワークでは,通信路を顧客ごとに論理的に分離するために,顧客が利用する仮想サーバ(以下,VMという)にVLANを設定している。IEEE 802.1Qで規定されたVLAN数の制限は,4,094である。各顧客に異なる複数のVLAN IDを割り当てるので,顧客の増加に伴ってVLAN数が不足する可能性があった。そこで,基盤ネットワークでは,レイヤ3ネットワークによって物理サーバが属するサブネットを分けている。課題は,このような構成でVMが他の物理サーバに移動した後も,移動後のVMとの通信を可能にしたいというものである。
対応策として,J君は,レイヤ3のネットワーク上にレイヤ2のネットワークを構成できる,オーバレイネットワークが有効ではないかと考えた。VMで,マルチキャスト通信を利用してオーバレイネットワークを実現する技術として,RFC 7348で提案されたVXLAN(Virtual eXtensible Local Area Network)がある。VXLANは,サーバ仮想化機構に実装されているので導入しやすい。そこで,J君はまず,マルチキャスト通信について調査した。
〔マルチキャスト通信の調査〕
マルチキャスト通信は,特定の複数ノードに対して,一つのデータを同時に送信する通信方式である。マルチキャスト通信例を図4に示す。
拡大
図4の例では,PCbをビデオサーバから送信される画像データの受信者とする。マルチキャスト通信では,データを受け取りたいPCを,マルチキャストIPアドレスでグループ化する。マルチキャストIPアドレスは,クラス d のIPアドレスである。(お)通常,L2SWは,受信したマルチキャストフレームを,受信ポート以外の全てのポートにフラッディングするので,PCaとPCbにマルチキャストフレームが届く。ただし,PCaは,当該マルチキャストグループに参加していないので,受信しない。
マルチキャストIPアドレスが設定されたPCでは,当該マルチキャストIPアドレスを基に生成される e 宛てのフレームを受信するように,NIC(Network Interface Card)が動作する。
マルチキャストグループが存在するサブネットの情報は,ルータ間で行われるIPマルチキャストルーティングプロトコルによって伝達され,各ルータでマルチキャスト経路表が生成される。PCが,あるマルチキャストグループに所属したり,離脱したりするのに,IGMP(Internet Group Management Protocol)が使用される。
ビデオサーバからマルチキャストグループ224.1.1.1宛ての画像データが配信されているときの,IGMPの通信例を図5に示す。
拡大
図5の例では,IGMPが使用されるのは,PCとルータ1間である。(か)ビデオサーバとルータ2間では,IGMPは使用されない。PCが,あるマルチキャストグループに参加するときは,IGMP joinメッセージによって,所属するサブネットのルータに対し,参加するマルチキャストグループを知らせる。逆に,PCが,参加していたマルチキャストグループから離脱するときは,所属するサブネットの全てのルータ宛てに,IGMP leaveメッセージを送信する。
ルータ1は,IGMP joinメッセージを受信することによって,配下のサブネットにマルチキャストグループ224.1.1.1が存在するのを知り,ビデオサーバから受信した224.1.1.1宛てのパケットをL2SWに送信する。L2SWは,図4に示したように,受信したフレームを,受信ポート以外の全てのポートにフラッディングするので,どのPCにも224.1.1.1宛てのパケットが届く。しかし,L2SWが,図5中の①と②のフレームを受信した段階では,PC2は224.1.1.1に所属していないので,L2SWのp2からのマルチキャストフレームの転送は不要である。L2SWに実装されるIGMPスヌーピングによって,マルチキャストフレームを必要なポートだけに転送させることができる。IGMPスヌーピングとは,IGMPメッセージの中身をのぞき見することをいい,IGMPスヌーピング機能をもったL2SWは,IGMPメッセージの情報を基にMACアドレステーブルを更新する。J君が調査したL2SWでは,IGMP joinやIGMP leaveメッセージなどから,指定されたマルチキャストグループが存在するポートを知り,自分のMACアドレステーブルにマルチキャストエントリを作成する。通常,MACアドレステーブルには,複数のポートに同じMACアドレスが存在することはないが,マルチキャストMACアドレスは例外である。
図5中のL2SWでIGMPスヌーピング機能を働かせたとき,L2SWに作成されるMACアドレステーブルを,表2に示す。
拡大
J君は,マルチキャスト通信の調査を終え,次にVXLANの導入について検討した。
〔VXLANの導入検討〕
VXLANは,カプセル化によってオーバレイネットワークを実現する技術である。VXLANのフレーム構成を図6に示す。
拡大
VXLANでは,図6に示した4種類のヘッダを付加して元のイーサネットフレームをカプセル化し,IPネットワーク上で転送する。VXLANヘッダには,VXLANネットワーク識別子である24ビットのVNI(VXLAN Network Identifier)があり,VNIごとにVXLANセグメントが構成される。VXLANセグメントによって通信路が論理的に分離されるので,(き)VXLANを導入すれば,VLAN数の制限を緩和できる。
VXLANは,トンネルの終端ポイントであるVTEP(VXLAN Tunnel End Point)で元のイーサネットフレームにカプセル化を実施又は解除して,VTEP間でトンネルを構成する。レイヤ3のネットワーク上に構成されるオーバレイネットワークでは,UDPを使ったマルチキャスト通信に対する応答によって通信先のVTEPが特定され,VM間でのデータリンク層の通信を可能にする。VNIはVMのMACアドレスとひも付けされ,同じ値のVNIのVXLANセグメントに属するVM同士は,VMが同一サブネットの他の物理サーバや,異なるサブネットの物理サーバに移動しても,移動前と同じ通信手順でVM間の通信を継続できる。VTEPは,サーバ仮想化機構の仮想スイッチやVXLANゲートウェイに実装されている。
J君は,VXLANをY社の基盤ネットワークに導入したときの動作について検討した。Y社の基盤ネットワークへのVXLAN導入構成案を,図7に示す。図7では,物理サーバ1に存在していたVM3が,物理サーバ2に移動した状態を示している。
拡大
J君は,図7の構成でVXLANを導入したときのVM2とVM3間の通信方法について考え,VM3が物理サーバ2に移動したときの,VM2とVM3間の通信手順を,図8にまとめた。
拡大
J君は,広域イーサ網を介した顧客のPCとVM3間でも,移動後のVM3との通信は正常に行えることを確認した。基盤ネットワークにVXLANを導入することによって,顧客の増加に対応できる見通しが立ったので,検討結果をI主任に説明した。I主任は,VXLANの導入が効果的な改善策であると判断した。
I主任とJ君は検討結果を基に,グローバルIPアドレスの不足への対応策と基盤ネットワークの改善策及び今後の進め方をまとめ,T部長に報告した。
拡大図1 現在のY社のネットワーク構成
拡大図2 NAT444 の構成
拡大表1 NAT 機器を経由した IPsec 通信で発生する問題
拡大図3 IPsec NAT トラバーサルのパケット構成
拡大図4 マルチキャスト通信例
拡大図5 IGMP の通信例
拡大表2 L2SW に作成される MAC アドレステーブル
拡大図6 VXLAN のフレーム構成
拡大図7 基盤ネットワークへの VXLAN 導入構成案(抜粋)
拡大図8 VM2 と VM3 間の通信手順
設問一覧 & 解答・演習
まずは解答を作成してみましょう。「解答例を見る」をクリックするとIPA公式解答例と採点基準が開きます。
設問1 [ a ]記述問題
制限字数:5 字以内
本文中の a に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ b ]記述問題
制限字数:5 字以内
本文中の b に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ c ]記述問題
制限字数:10 字以内
本文中の c に入れる適切な字句又は数値を答えよ。
0 / 10 文字
設問1 [ d ]記述問題
制限字数:5 字以内
本文中の d に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ e ]記述問題
制限字数:20 字以内
本文中の e に入れる適切な字句又は数値を答えよ。
0 / 20 文字
設問2 (1)記述問題
制限字数:50 字以内
〔NAT444の調査〕について,本文中の下線(あ)について,シェアドアドレスではなく,プライベートIPアドレスを用いたときに,インターネットアクセスができなくなる不具合が発生する可能性がある。どのような場合に発生するか,図2中の機器名称を用いて,50字以内で述べよ。
0 / 50 文字
設問2 (2)記述問題
制限字数:10 字以内
〔NAT444の調査〕について,顧客宅のPCがインターネット上のWebサーバにアクセスしたとき,PCを特定するのにWebサーバがログとして記録する必要がある情報を三つ挙げ,それぞれ10字以内で答えよ。
0 / 10 文字
設問3 (1)記述問題
制限字数:60 字以内
〔IPsecを利用する顧客への対応策〕について,表1中の下線(い)の認証エラーが発生する理由を,認証対象に着目して,60字以内で述べよ。
0 / 60 文字
設問3 (2)記述問題
制限字数:50 字以内
〔IPsecを利用する顧客への対応策〕について,表1中の下線(う)のESPにおいてポート変換が行えない理由を,50字以内で述べよ。
0 / 50 文字
設問3 (3)記述問題
制限字数:50 字以内
〔IPsecを利用する顧客への対応策〕について,本文中の下線(え)で必要とする変更を,50字以内で具体的に述べよ。
0 / 50 文字
設問4 (1)記述問題
制限字数:40 字以内
〔マルチキャスト通信の調査〕について,本文中の下線(お)について,フラッディングされるのはマルチキャストMACアドレスが学習されないからである。その理由を,40字以内で述べよ。
0 / 40 文字
設問4 (2)記述問題
制限字数:35 字以内
〔マルチキャスト通信の調査〕について,本文中の下線(か)について,IGMPが使用されない理由を,図5の通信内容に着目して,35字以内で述べよ。
0 / 35 文字
設問4 (3)記号・選択式
〔マルチキャスト通信の調査〕について,表2中の ア に入れる適切なマルチキャストMACアドレスを答えよ。また,イ は,図5中の①〜③のフレームを受信した順に遷移する。①を受信したとき,②を受信したとき,及び③を受信したときのポートIDを,それぞれ答えよ。ここで,表2は,PC1,PC2,PC3がマルチキャストグループに参加していない状態から,図5中の①〜③のフレームを受信して作成されるものとする。
【選択肢】 クリックして選択(複数選択可)
選択中の解答:未選択(上の選択肢ボタンをクリックしてください)
設問5 (1)記述問題
制限字数:25 字以内
〔VXLANの導入検討〕について,本文中の下線(き)について,VLAN数の制限が緩和される理由を,25字以内で述べよ。
0 / 25 文字
設問5 (2)記述問題
制限字数:30 字以内
〔VXLANの導入検討〕について,図8中の(ⅱ)におけるVXLANの通信は,マルチキャストで行われる。ユニキャストで行われない理由を,20字以内で述べよ。また,(ⅱ)のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。
0 / 30 文字
設問5 (3)記述問題
制限字数:60 字以内
〔VXLANの導入検討〕について,図8中の(ⅲ)で送信されるマルチキャストパケットがVTEP2に届くのは,VM3が移動してきたことをVTEP2が知ったとき,VTEP2によって行われる通信の結果である。その通信について,宛先と送信されるパケットの内容を,60字以内で述べよ。
0 / 60 文字
設問5 (4)記述問題
制限字数:60 字以内
〔VXLANの導入検討〕について,図8中の(ⅵ)におけるVXLANの通信は,ユニキャストで行われる。仮に,VTEP間の通信が全てマルチキャストで行われる場合を想定したとき,物理サーバ,VM及びL3SWの数が多いネットワークの場合に顕在化する問題について,60字以内で述べよ。また,(ⅵ)のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。
0 / 60 文字
午後II長文記述の得点力を引き上げる定番対策書Amazon・楽天 公式提携
PR
IPA 厳選対策書徹底攻略 ネットワークスペシャリスト教科書 令和8年度瀬戸 美月 著 / インプレス
NW徹底攻略瀬戸 美月 著 / インプレス
徹底攻略 ネットワークスペシャリスト教科書 令和8年度
💡 推薦ポイント:午後I・午後IIの長文ネットワーク構成事例でどこに着目してパケットの流れや設定不備を読み解くか、実践的な解法プロセスを身につけられます。
¥3,278(税込)
※本リンク先はプロモーション(アフィリエイト広告)が含まれています
【出題趣旨】IPA公式発表
【採点講評】IPA公式発表
本問に関連するネットワークスペシャリスト重要用語解説
本番形式・制限時間付きで演習する
平成27年 秋期 午後II(2問中1問選択・120分)を実戦演習モードで通し解答し、総合採点を受けられます。