ネットワークスペシャリスト午後II 総合事例記述平成27年 秋期
午後II 問2

問2 グローバルIPv4アドレス節約策とVXLANによる仮想サーバ基盤ネットワークの構築

テーマ:NAT444、マルチキャスト通信、およびVXLANを用いたサービス基盤ネットワークの改善
左右2分割表示:左側の問題文をスクロールしながら右側の設問に解答できます

長文事例本文

図表クリックで拡大
問2 サービス基盤の改善に関する次の記述を読んで,設問1〜5に答えよ。  中規模のISPであるY社は,IPv4アドレス(以下,IPアドレスという)を使用したインターネット接続サービスとIaaS(Infrastructure as a Service)を提供している。現在のY社のネットワーク構成を図1に示す。
図1 現在のY社のネットワーク構成 拡大
図1 現在のY社のネットワーク構成
 Y社では,顧客の増加に伴い,二つの課題への対応が急務になっている。一つは,保有するグローバルIPアドレスが不足する事態が近づいていることから,対応策を確立することである。もう一つは,IaaS基盤のネットワーク(以下,基盤ネットワークという)を,顧客の増加に柔軟に対応できる構成に変更することである。  二つの課題への対応策は,ネットワーク技術部で立案することになり,ネットワーク技術部のT部長は,基盤構築グループのI主任とJ君に対応策の検討を指示した。そこで,I主任とJ君は,まず,グローバルIPアドレス不足への対応策を検討し,その後に,基盤ネットワークの改善策を検討することにした。検討作業はJ君が行い,検討結果をI主任が評価することにした。 〔グローバルIPアドレス不足への対応策の検討〕  グローバルIPアドレスの枯渇対策の中に,大規模NAT又はキャリアグレードNAT(以下,CGNという)と呼ばれる,ISP向けのソリューションがある。CGNを導入することによって,インターネット接続サービスで使用しているグローバルIPアドレスを削減でき,それをIaaSに振り向けることができる。CGNでは,アクセスネットワークにプライベートIPアドレスを割り当て,ISP網内でグローバルIPアドレスに変換する。CGNを実現する技術の中に,NAT444がある。NAT444には,顧客の宅内に設置された機器(以下,CPEという)に変更を加えずにCGNに移行できる利点がある。そこで,J君はNAT444について調査した。 〔NAT444の調査〕  現在,Y社の個人顧客向けのインターネット接続サービスでは,顧客に一つずつグローバルIPアドレスを割り当てている。これをISP Shared Address(以下,シェアドアドレスという)と呼ばれるIPアドレスに置き換え,複数の顧客間でグローバルIPアドレスを共用するのがNAT444である。NAT444では,IPアドレスとポート番号を対にした変換が2回行われる。NAT444の構成を図2に示す。
図2 NAT444 の構成 拡大
図2 NAT444 の構成
 図2に示したように,NAT444では,インターネットと顧客宅のLANとの間に,(あ)シェアドアドレスとして定義された,100.64.0.0/10のネットワークプレフィックスのネットワークを設ける。NAT444の“444”は,図2に示したように a 種類のネットワークアドレスで運用されるネットワークを指し,各ネットワークの境界でNATを実行することで,グローバルIPアドレスを節約する。  NAT444を導入すると,一部のアプリケーションの動作に不具合が発生する危険性がある。その主因として想定されるのは,次に示す2点である。 (1)1顧客が開設できるセッション数の制限 (2)通信経路中のNAT介在  (1)は,一つのグローバルIPアドレスを複数の顧客で共用することによって発生する。CGNでは, b ビットで構成されているTCP/UDPポート番号を複数の顧客に分配するので,1顧客が使用できるポート数が少ない。例えば,CGN装置に設定する1顧客に割り当てるポート数が,実際に使うポート数よりも少ない場合,Webページの閲覧などで不具合が発生してしまう。そこで,仮に,1顧客に割り当てるポート数を10,000に設定したとすると,インターネット接続サービスで使用するグローバルIPアドレスを約1/6に削減できる。  (2)は,NAT444を導入することで発生する。NATが介在すると,例えば,次のようなアプリケーションで不具合が発生する。 ・FTPの c モードのように,インターネット上のサーバからクライアントが指定したポートに対してTCPコネクションの確立を試みるアプリケーション ・SIPのように,送信先となる機器のIPアドレスをパケットのデータ部に埋め込んで指定するアプリケーション  ただし,NATが介在しても,CGN装置,利用するアプリケーションの実装などで,不具合は回避できる可能性がある。今後,その可能性について,より詳細な調査を行うとともに,評価試験も併せて行うことにする。  その他にも,NATが介在すると,顧客がIPsecを利用している場合に問題が発生する危険性がある。J君は,IPsecを利用する顧客への対応策について検討した。 〔IPsecを利用する顧客への対応策〕  NAT機器を経由した通常のIPsecの通信は,AH,ESP及びIKEプロトコルで問題が発生する。NAT機器を経由したIPsec通信で発生する問題を,表1に示す。
表1 NAT 機器を経由した IPsec 通信で発生する問題 拡大
表1 NAT 機器を経由した IPsec 通信で発生する問題
 表1の問題を解決する手段として,ESPプロトコルに対してIPsec NATトラバーサルが規格化された。IPsec NATトラバーサルは,ESPパケットをUDPでカプセル化することによって,NAT機器によるIPアドレスとポート番号の変換を可能にしている。IPsec NATトラバーサルのパケット構成を,図3に示す。
図3 IPsec NAT トラバーサルのパケット構成 拡大
図3 IPsec NAT トラバーサルのパケット構成
 UDPによるカプセル化は,IKEで次のように自動的に決定される。 ・IKEは,IPsecを使用する機器間でISAKMPメッセージを送受信する際に,経路上にNAT機器が存在するかどうか検査する。 ・NAT機器を検出した場合,ISAKMPメッセージの送信元ポート番号及び宛先ポート番号を500から4500に変更して,NATトラバーサルを使用することを通知する。このとき,NATが行われると送信元ポート番号が変換されるので,(え)IPsecを使用する機器の,受信パケットに対するフィルタリング設定を変更する必要がある。  J君は,これまでの調査で,CGNの導入には今後解決すべき問題が残されているが,CGNの導入によって,グローバルIPアドレスを節約できることが分かったので,調査結果をI主任に説明した。I主任は,J君の考えが適切であると判断し,調査結果を基にCGNの導入案をまとめて,T部長に報告することを提案した。  次に,J君は,基盤ネットワークの改善策の検討に取り掛かった。 〔基盤ネットワークの課題とその対応〕  基盤ネットワークでは,通信路を顧客ごとに論理的に分離するために,顧客が利用する仮想サーバ(以下,VMという)にVLANを設定している。IEEE 802.1Qで規定されたVLAN数の制限は,4,094である。各顧客に異なる複数のVLAN IDを割り当てるので,顧客の増加に伴ってVLAN数が不足する可能性があった。そこで,基盤ネットワークでは,レイヤ3ネットワークによって物理サーバが属するサブネットを分けている。課題は,このような構成でVMが他の物理サーバに移動した後も,移動後のVMとの通信を可能にしたいというものである。  対応策として,J君は,レイヤ3のネットワーク上にレイヤ2のネットワークを構成できる,オーバレイネットワークが有効ではないかと考えた。VMで,マルチキャスト通信を利用してオーバレイネットワークを実現する技術として,RFC 7348で提案されたVXLAN(Virtual eXtensible Local Area Network)がある。VXLANは,サーバ仮想化機構に実装されているので導入しやすい。そこで,J君はまず,マルチキャスト通信について調査した。 〔マルチキャスト通信の調査〕  マルチキャスト通信は,特定の複数ノードに対して,一つのデータを同時に送信する通信方式である。マルチキャスト通信例を図4に示す。
図4 マルチキャスト通信例 拡大
図4 マルチキャスト通信例
 図4の例では,PCbをビデオサーバから送信される画像データの受信者とする。マルチキャスト通信では,データを受け取りたいPCを,マルチキャストIPアドレスでグループ化する。マルチキャストIPアドレスは,クラス d のIPアドレスである。(お)通常,L2SWは,受信したマルチキャストフレームを,受信ポート以外の全てのポートにフラッディングするので,PCaとPCbにマルチキャストフレームが届く。ただし,PCaは,当該マルチキャストグループに参加していないので,受信しない。  マルチキャストIPアドレスが設定されたPCでは,当該マルチキャストIPアドレスを基に生成される e 宛てのフレームを受信するように,NIC(Network Interface Card)が動作する。  マルチキャストグループが存在するサブネットの情報は,ルータ間で行われるIPマルチキャストルーティングプロトコルによって伝達され,各ルータでマルチキャスト経路表が生成される。PCが,あるマルチキャストグループに所属したり,離脱したりするのに,IGMP(Internet Group Management Protocol)が使用される。  ビデオサーバからマルチキャストグループ224.1.1.1宛ての画像データが配信されているときの,IGMPの通信例を図5に示す。
図5 IGMP の通信例 拡大
図5 IGMP の通信例
 図5の例では,IGMPが使用されるのは,PCとルータ1間である。(か)ビデオサーバとルータ2間では,IGMPは使用されない。PCが,あるマルチキャストグループに参加するときは,IGMP joinメッセージによって,所属するサブネットのルータに対し,参加するマルチキャストグループを知らせる。逆に,PCが,参加していたマルチキャストグループから離脱するときは,所属するサブネットの全てのルータ宛てに,IGMP leaveメッセージを送信する。  ルータ1は,IGMP joinメッセージを受信することによって,配下のサブネットにマルチキャストグループ224.1.1.1が存在するのを知り,ビデオサーバから受信した224.1.1.1宛てのパケットをL2SWに送信する。L2SWは,図4に示したように,受信したフレームを,受信ポート以外の全てのポートにフラッディングするので,どのPCにも224.1.1.1宛てのパケットが届く。しかし,L2SWが,図5中の①と②のフレームを受信した段階では,PC2は224.1.1.1に所属していないので,L2SWのp2からのマルチキャストフレームの転送は不要である。L2SWに実装されるIGMPスヌーピングによって,マルチキャストフレームを必要なポートだけに転送させることができる。IGMPスヌーピングとは,IGMPメッセージの中身をのぞき見することをいい,IGMPスヌーピング機能をもったL2SWは,IGMPメッセージの情報を基にMACアドレステーブルを更新する。J君が調査したL2SWでは,IGMP joinやIGMP leaveメッセージなどから,指定されたマルチキャストグループが存在するポートを知り,自分のMACアドレステーブルにマルチキャストエントリを作成する。通常,MACアドレステーブルには,複数のポートに同じMACアドレスが存在することはないが,マルチキャストMACアドレスは例外である。  図5中のL2SWでIGMPスヌーピング機能を働かせたとき,L2SWに作成されるMACアドレステーブルを,表2に示す。
表2 L2SW に作成される MAC アドレステーブル 拡大
表2 L2SW に作成される MAC アドレステーブル
 J君は,マルチキャスト通信の調査を終え,次にVXLANの導入について検討した。 〔VXLANの導入検討〕  VXLANは,カプセル化によってオーバレイネットワークを実現する技術である。VXLANのフレーム構成を図6に示す。
図6 VXLAN のフレーム構成 拡大
図6 VXLAN のフレーム構成
 VXLANでは,図6に示した4種類のヘッダを付加して元のイーサネットフレームをカプセル化し,IPネットワーク上で転送する。VXLANヘッダには,VXLANネットワーク識別子である24ビットのVNI(VXLAN Network Identifier)があり,VNIごとにVXLANセグメントが構成される。VXLANセグメントによって通信路が論理的に分離されるので,(き)VXLANを導入すれば,VLAN数の制限を緩和できる。  VXLANは,トンネルの終端ポイントであるVTEP(VXLAN Tunnel End Point)で元のイーサネットフレームにカプセル化を実施又は解除して,VTEP間でトンネルを構成する。レイヤ3のネットワーク上に構成されるオーバレイネットワークでは,UDPを使ったマルチキャスト通信に対する応答によって通信先のVTEPが特定され,VM間でのデータリンク層の通信を可能にする。VNIはVMのMACアドレスとひも付けされ,同じ値のVNIのVXLANセグメントに属するVM同士は,VMが同一サブネットの他の物理サーバや,異なるサブネットの物理サーバに移動しても,移動前と同じ通信手順でVM間の通信を継続できる。VTEPは,サーバ仮想化機構の仮想スイッチやVXLANゲートウェイに実装されている。  J君は,VXLANをY社の基盤ネットワークに導入したときの動作について検討した。Y社の基盤ネットワークへのVXLAN導入構成案を,図7に示す。図7では,物理サーバ1に存在していたVM3が,物理サーバ2に移動した状態を示している。
図7 基盤ネットワークへの VXLAN 導入構成案(抜粋) 拡大
図7 基盤ネットワークへの VXLAN 導入構成案(抜粋)
 J君は,図7の構成でVXLANを導入したときのVM2とVM3間の通信方法について考え,VM3が物理サーバ2に移動したときの,VM2とVM3間の通信手順を,図8にまとめた。
図8 VM2 と VM3 間の通信手順 拡大
図8 VM2 と VM3 間の通信手順
 J君は,広域イーサ網を介した顧客のPCとVM3間でも,移動後のVM3との通信は正常に行えることを確認した。基盤ネットワークにVXLANを導入することによって,顧客の増加に対応できる見通しが立ったので,検討結果をI主任に説明した。I主任は,VXLANの導入が効果的な改善策であると判断した。  I主任とJ君は検討結果を基に,グローバルIPアドレスの不足への対応策と基盤ネットワークの改善策及び今後の進め方をまとめ,T部長に報告した。

設問一覧 & 解答・演習

まずは解答を作成してみましょう。「解答例を見る」をクリックするとIPA公式解答例と採点基準が開きます。

設問1 [ a ]記述問題
制限字数:5 字以内
本文中の a に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ b ]記述問題
制限字数:5 字以内
本文中の b に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ c ]記述問題
制限字数:10 字以内
本文中の c に入れる適切な字句又は数値を答えよ。
0 / 10 文字
設問1 [ d ]記述問題
制限字数:5 字以内
本文中の d に入れる適切な字句又は数値を答えよ。
0 / 5 文字
設問1 [ e ]記述問題
制限字数:20 字以内
本文中の e に入れる適切な字句又は数値を答えよ。
0 / 20 文字
設問2 (1)記述問題
制限字数:50 字以内
〔NAT444の調査〕について,本文中の下線(あ)について,シェアドアドレスではなく,プライベートIPアドレスを用いたときに,インターネットアクセスができなくなる不具合が発生する可能性がある。どのような場合に発生するか,図2中の機器名称を用いて,50字以内で述べよ。
0 / 50 文字
設問2 (2)記述問題
制限字数:10 字以内
〔NAT444の調査〕について,顧客宅のPCがインターネット上のWebサーバにアクセスしたとき,PCを特定するのにWebサーバがログとして記録する必要がある情報を三つ挙げ,それぞれ10字以内で答えよ。
0 / 10 文字
設問3 (1)記述問題
制限字数:60 字以内
〔IPsecを利用する顧客への対応策〕について,表1中の下線(い)の認証エラーが発生する理由を,認証対象に着目して,60字以内で述べよ。
0 / 60 文字
設問3 (2)記述問題
制限字数:50 字以内
〔IPsecを利用する顧客への対応策〕について,表1中の下線(う)のESPにおいてポート変換が行えない理由を,50字以内で述べよ。
0 / 50 文字
設問3 (3)記述問題
制限字数:50 字以内
〔IPsecを利用する顧客への対応策〕について,本文中の下線(え)で必要とする変更を,50字以内で具体的に述べよ。
0 / 50 文字
設問4 (1)記述問題
制限字数:40 字以内
〔マルチキャスト通信の調査〕について,本文中の下線(お)について,フラッディングされるのはマルチキャストMACアドレスが学習されないからである。その理由を,40字以内で述べよ。
0 / 40 文字
設問4 (2)記述問題
制限字数:35 字以内
〔マルチキャスト通信の調査〕について,本文中の下線(か)について,IGMPが使用されない理由を,図5の通信内容に着目して,35字以内で述べよ。
0 / 35 文字
設問4 (3)記号・選択式
〔マルチキャスト通信の調査〕について,表2中の ア に入れる適切なマルチキャストMACアドレスを答えよ。また,イ は,図5中の①〜③のフレームを受信した順に遷移する。①を受信したとき,②を受信したとき,及び③を受信したときのポートIDを,それぞれ答えよ。ここで,表2は,PC1,PC2,PC3がマルチキャストグループに参加していない状態から,図5中の①〜③のフレームを受信して作成されるものとする。
【選択肢】 クリックして選択(複数選択可)
選択中の解答:未選択(上の選択肢ボタンをクリックしてください)
設問5 (1)記述問題
制限字数:25 字以内
〔VXLANの導入検討〕について,本文中の下線(き)について,VLAN数の制限が緩和される理由を,25字以内で述べよ。
0 / 25 文字
設問5 (2)記述問題
制限字数:30 字以内
〔VXLANの導入検討〕について,図8中の(ⅱ)におけるVXLANの通信は,マルチキャストで行われる。ユニキャストで行われない理由を,20字以内で述べよ。また,(ⅱ)のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。
0 / 30 文字
設問5 (3)記述問題
制限字数:60 字以内
〔VXLANの導入検討〕について,図8中の(ⅲ)で送信されるマルチキャストパケットがVTEP2に届くのは,VM3が移動してきたことをVTEP2が知ったとき,VTEP2によって行われる通信の結果である。その通信について,宛先と送信されるパケットの内容を,60字以内で述べよ。
0 / 60 文字
設問5 (4)記述問題
制限字数:60 字以内
〔VXLANの導入検討〕について,図8中の(ⅵ)におけるVXLANの通信は,ユニキャストで行われる。仮に,VTEP間の通信が全てマルチキャストで行われる場合を想定したとき,物理サーバ,VM及びL3SWの数が多いネットワークの場合に顕在化する問題について,60字以内で述べよ。また,(ⅵ)のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。
0 / 60 文字
午後II長文記述の得点力を引き上げる定番対策書Amazon・楽天 公式提携
PR
徹底攻略 ネットワークスペシャリスト教科書 令和8年度
IPA 厳選対策書徹底攻略 ネットワークスペシャリスト教科書 令和8年度瀬戸 美月 著 / インプレス
NW徹底攻略
瀬戸 美月 著 / インプレス

徹底攻略 ネットワークスペシャリスト教科書 令和8年度

💡 推薦ポイント:午後I・午後IIの長文ネットワーク構成事例でどこに着目してパケットの流れや設定不備を読み解くか、実践的な解法プロセスを身につけられます。
※本リンク先はプロモーション(アフィリエイト広告)が含まれています
【出題趣旨】IPA公式発表
グローバルIPv4 アドレスの枯渇が,インターネット経由で提供される各種のサービス拡大の足かせになってきた。また,サーバ仮想化技術を活用して多数の顧客を収容したサービス基盤の基盤ネットワークが,仮想サーバの急激な増大に柔軟に対応できない問題も顕在化してきた。 これらの状況を基に,本問では,インターネット接続サービスとIaaS を提供するISP を取り上げ,インターネット接続サービスで使用するグローバルIPv4 アドレスの節約策とIaaS の基盤ネットワークを仮想サーバの増大に対応させる方策を題材にした。本文に,NAT444,マルチキャスト通信及びVXLAN(Virtual eXtensible Local Area Network)などの技術の概要を説明し,受験者が習得した技術や経験を基に,説明された新技術の仕組みや動作を理解し,それを実務に適用できるかどうかを問う。
【採点講評】IPA公式発表
問2 では,サービス基盤の改善をテーマに,インターネット接続サービスとIaaS を提供するISP が直面する課題を取り上げた。その中で,NAT444,マルチキャスト通信及びVXLAN(Virtual eXtensible Local Area Network)などの技術の理解を問うた。全体として,よく理解されていた。記述問題の中では,設問3(1),(2)の正答率が高かった。一方,設問4(1),(2)の正答率は低かった。これは,IPsecNAT トラバーサルが広く利用されているのに対し,マルチキャスト通信を利用する機会が少ない結果と考えられた。しかし,マルチキャスト通信は,今後拡大すると考えられる,VXLAN のようなオーバレイネットワークの構築に欠かせない技術なので,理解しておいてほしい。 設問1 では,c の正答率が低かったが,全体では正答率が高かった。c は,FTP のモードの知識問題だったので,本問を機に理解しておいてほしい。 設問2 は,NAT444 に関連する問題だったが,(2)に比して(1)の正答率が低かった。設問の趣旨が適切に理解されていない解答が散見された。本文に記述された内容と設問で問われている内容とをよく理解して,解答を導き出すよう心掛けてほしい。 設問3 では,IPsec 通信がNAT を介したときに発生する問題について問うた。正答率が高く,この問題は,受験者に広く理解されていることがうかがえた。 設問4 では,マルチキャスト通信について問うた。(1)と(2)の正答率が低かった。マルチキャスト通信では,宛先は,IP アドレスとMAC アドレスともマルチキャストのアドレスになるが,送信元は,必ず,ユニキャストのアドレスになること,及びスイッチによるMAC アドレスの学習は,送信元のMAC アドレスを基に行われることを忘れないでほしい。 設問5 は,VXLAN 関連の設問だったが,正答率は比較的高かった。本設問は,VXLAN に関する知識や経験がなくても,TCP/IP 通信の基本的な技術と,本文に記述された内容から解答が導き出せるものだったので,受験者の基本技術の理解度が高いことがうかがえた。
本番形式・制限時間付きで演習する
平成27年 秋期 午後II(2問中1問選択・120分)を実戦演習モードで通し解答し、総合採点を受けられます。
実戦演習を始める