ネットワークスペシャリスト 2018年 午後1 問03

　D社は、東京の本社、名古屋支店及び大阪支店の3拠点にオフィスを構える出版会社である。D社の社内ネットワークは、3拠点をそれぞれ専用線で結ぶWANと、拠点内LANで構成されている。各拠点内の業務にはそれぞれ拠点内の業務サーバを使用し、全社的な業務には本社の業務サーバを使用している。また、各拠点では本社のプロキシサーバを経由してインターネットを利用している。D社の現行ネットワーク構成を図1に示す。

　D社では、拠点間で利用しているルータの更改時期を迎えたことから、将来を見据えてWAN構成を見直すことになり、情報システム部のEさんが検討することになった。 　 〔WAN構成の検討〕 　(1) WAN構成の見直し方針案 　　Eさんは、WAN構成の見直しについてコストも含めて検討し、次の方針案を立てた。 　　・IP-VPNを利用して3拠点間を接続する。 　　・IP-VPNへのアクセス回線は、安価なイーサネット回線サービスを利用する。 　　・通常時は拠点間通信にIP-VPNを用いるが、IP-VPNの障害時にはインターネットVPNをバックアップ回線として用いる。 　　・インターネットVPNは、FWに備わるIPsec方式のVPN機能を用いる。 　　・名古屋支店と大阪支店には、インターネットVPN専用のインターネット回線を敷設し、FWを設置する。 　　・各拠点からのインターネットアクセスは、これまでと同様に本社のプロキシサーバ経由で行う。 　(2) IP-VPN及びIPsecの概要 　　Eさんは、方針案のIP-VPN及びIPsecについて調査し、その結果を次のようにまとめた。 　　(i) IP-VPN 　　　・IP-VPNは、通信事業者が運営する閉域IPネットワーク（以下、事業者閉域IP網という）を利用者のトラフィック交換に提供するサービスである。 　　　・IP-VPNは、①事業者閉域IP網内で複数の利用者のトラフィックを中継するのに、RFC 3031で規定された方式が用いられる。 　　　・利用者のネットワークと事業者閉域IP網との接続点において、利用者が設置するCE（Customer Edge）ルータから送られたパケットは、通信事業者のPE（Provider Edge）ルータでアと呼ばれる短い固定長のタグ情報が付与される。 　　　・事業者閉域IP網内では、②タグ情報を参照して中継され、アは対向側のイで取り除かれる。 　　(ii) IPsec 　　　・IPsecは、暗号技術を利用してノード間通信を行うためのプロトコルであり、IPパケット通信の完全性・機密性を確保する。 　　　・IPsecは、OSI基本参照モデルのウレイヤで動作する。 　　　・3拠点間には、バックアップ回線として3本のIPsecトンネルが必要である。

　　これらの検討を基に、Eさんが考えたD社のネットワーク構成を、図2に示す。

〔冗長化ルーティングの検討〕 　図2のネットワーク構成で拠点間通信を行う場合、正常時は エ を利用するが、エ の障害時は オ に切り替える必要がある。Eさんはそのための対策の検討を行い、次のルーティング方式を考えた。 　・各拠点間のIPsecトンネル及び各拠点内LANのルーティングは、OSPFを利用する。 　・各拠点間のIPsecトンネル接続では、③ GRE over IPsecを利用する。 　・CEルータでもある各拠点のL3SWは、IP-VPN側で隣接するPEルータとBGP4で経路交換する。具体的には、各拠点のL3SWは、自拠点の経路情報をPEルータに広告するとともに、④ PEルータから経路情報を受信する。 　 　この方式で、本社、名古屋支店、大阪支店のL3SWからそれぞれの別拠点への経路の冗長化を行う。各拠点のL3SWは、⑤ 複数のルーティングプロトコルから得た同一宛先への異なる経路情報から、適切な経路を選択する。 　 〔拠点追加の場合のIPsecトンネル接続追加の検討〕 　Eさんは、IPsecトンネル接続の追加について、今後拠点が追加になった場合を想定した検討を始めた。図2のような⑥フルメッシュのIPsecトンネルのネットワーク構成に、追加拠点向けIPsecトンネルを手動で追加設定するネットワーク拡張方式は望ましくないと考え、ネットワーク機器ベンダの技術者に改善案を相談した。その結果、FWのIPsec方式のVPN機能のオプションである、IPsecトンネルを動的に確立する機能（以下、自動トンネル機能という）を活用した方式を提案された。そこで、Eさんは、その方式を前提として次の設計方針を立てた。 　・本社をハブ拠点、支店の2拠点をスポーク拠点とするハブアンドスポーク構成とし、ハブ拠点とスポーク拠点間のIPsecトンネルを従来どおり固定的に設定する。 　・スポーク拠点間IPsecトンネル（以下、S-Sトンネルという）については、拠点間のトラフィックの発生に応じてトンネルを動的に確立させる。 　・S-Sトンネルは、一定時間トラフィックがなければ自動的に切断するようにする。 　・動的にS-Sトンネルを確立するために、NHRP (Next Hop Resolution Protocol) を用いる。 　 　NHRPは、IPsecトンネル確立に必要な対向側IPアドレス情報を、トンネル確立時に動的に得るのに利用される。IPsecトンネルの確立は、スポーク拠点間での通信の発生を契機にして行われる。例えば、名古屋支店内のPCから大阪支店内のサーバへの通信が行われる場合、⑦名古屋支店のFW3はNHRPによって得られた情報を利用してS-Sトンネルを確立する。このように、自動トンネル機能を利用すれば、フルメッシュ構成のトンネルを手動で設定する必要がない。 　Eさんは、それまでの設計方針をまとめ、ネットワーク機器ベンダの技術者らに確認を依頼した。ネットワーク機器ベンダの技術者からは、OSPFと自動トンネル機能を組み合わせて利用する場合の留意点の指摘があった。その指摘の内容は、“スポークとなる機器がOSPFの代表ルータに選出されてしまうと、スポーク拠点間のIPsecトンネルが解放されなくなってしまうので、それを防ぐために、スポークとなる機器のOSPFに追加の設定が必要になる” というものであった。そこで、Eさんは、防止策として⑧追加すべき設定内容を決めた。 　その後、Eさんが考えたネットワーク構成が情報システム部で承認され、Eさんを構築プロジェクトリーダとして、WANの再構築が開始された。