ネットワークスペシャリスト 2018年 午後1 問03

　D社は、東京の本社、名古屋支店及び大阪支店の3拠点にオフィスを構える出版会社である。D社の社内ネットワークは、3拠点をそれぞれ専用線で結ぶWANと、拠点内LANで構成されている。各拠点内の業務にはそれぞれ拠点内の業務サーバを使用し、全社的な業務には本社の業務サーバを使用している。また、各拠点では本社のプロキシサーバを経由してインターネットを利用している。D社の現行ネットワーク構成を図1に示す。

　D社では、拠点間で利用しているルータの更改時期を迎えたことから、将来を見据えてWAN構成を見直すことになり、情報システム部のEさんが検討することになった。 　 〔WAN構成の検討〕 　(1) WAN構成の見直し方針案 　　Eさんは、WAN構成の見直しについてコストも含めて検討し、次の方針案を立てた。 　　・IP-VPNを利用して3拠点間を接続する。 　　・IP-VPNへのアクセス回線は、安価なイーサネット回線サービスを利用する。 　　・通常時は拠点間通信にIP-VPNを用いるが、IP-VPNの障害時にはインターネットVPNをバックアップ回線として用いる。 　　・インターネットVPNは、FWに備わるIPsec方式のVPN機能を用いる。 　　・名古屋支店と大阪支店には、インターネットVPN専用のインターネット回線を敷設し、FWを設置する。 　　・各拠点からのインターネットアクセスは、これまでと同様に本社のプロキシサーバ経由で行う。 　(2) IP-VPN及びIPsecの概要 　　Eさんは、方針案のIP-VPN及びIPsecについて調査し、その結果を次のようにまとめた。 　　(i) IP-VPN 　　　・IP-VPNは、通信事業者が運営する閉域IPネットワーク（以下、事業者閉域IP網という）を利用者のトラフィック交換に提供するサービスである。 　　　・IP-VPNは、①事業者閉域IP網内で複数の利用者のトラフィックを分離するのに、RFC3031で規定された方式が用いられる。 　　　・利用者のネットワークと事業者閉域IP網との接続点において、利用者が設置するCE（Customer Edge）ルータから送られたパケットは、通信事業者のPE（Provider Edge）ルータでアと呼ばれる短い固定長のタグ情報が付与される。 　　　・事業者閉域IP網内では、②タグ情報を参照して中継され、アは対向側のイで取り除かれる。 　　(ii) IPsec 　　　・IPsecは、暗号技術を利用してノード間通信を行うためのプロトコルであり、IPパケット通信の完全性・機密性を確保する。 　　　・IPsecは、OSI基本参照モデルのウレイヤで動作する。 　　　・3拠点間には、バックアップ回線として3本のIPsecトンネルが必要である。

　　これらの検討を基に、Eさんが考えたD社のネットワーク構成を、図2に示す。

〔冗長化ルーティングの検討〕 　図2のネットワーク構成で拠点間通信を行う場合、正常時は エ を利用するが、エ の障害時は オ に切り替える必要がある。Eさんはそのための対策の検討を行い、次のルーティング方式を考えた。 　・各拠点間の IPsec トンネル及び各拠点内 LAN のルーティングは、OSPF を利用する。 　・各拠点間の IPsec トンネル接続では、③ GRE over IPsec を利用する。 　・CE ルータである各拠点の L3SW は、IP-VPN 側で隣接する PE ルータと BGP4 で経路交換する。具体的には、各拠点の L3SW は、自拠点の経路情報を PE ルータに広告するとともに、④ PE ルータから経路情報を受信する。 　 　この方式で、本社、名古屋支店、大阪支店の L3SW からそれぞれの別拠点への経路の冗長化を行う。各拠点の L3SW は、⑤ 複数のルーティングプロトコルから得た同一宛先への異なる経路情報から、適切な経路を選択する。 　 〔拠点追加の場合の IPsec トンネル接続追加の検討〕 　Eさんは、IPsec トンネル接続の追加について、今後拠点が追加になった場合を想定した検討を始めた。図2のような⑥メルソラソの IPsec トンネルのネットワーク機成に、追加拠点向け IPsec トンネルを手動で追加設定するネットワーク拡張方式は望ましくないと考え、ネットワーク機器ベンダの技術者に改善案を相談した。その結果、FWの IPsec 方式の VPN 機能のオプションである、IPsec トンネルを動的に確立する機能（以下、自動トンネル機能という）を活用した方式を提案された。そこで、Eさんは、其の方式を前提として次の設計方針を立てた。 　・本社をハブ拠点、支店の 2 拠点をスポーク拠点とするハブアンドスポーク構成とし、ハブ拠点とスポーク拠点間の IPsec トンネルを従来どおり固定的に設定する。 　・スポーク拠点間 IPsec トンネル（以下、S-S トンネルという）については、拠点間のトラフィックの発生に応じてトンネルを動的に確立させる。 　・S-S トンネルは、一定時間トラフィックがなければ自動的に切断するようにする。 　・動的に S-S トンネルを確立するために、NHRP (Next Hop Resolution Protocol) を用いる。 　 　NHRP は、IPsec トンネル確立に必要な対向側IPアドレス情報を、トンネル確立時に動的に得るのに利用される。IPsec トンネルの確立は、スポーク拠点間での通信の発生を契機にして行われる。例えば、名古屋支店内の PC から大阪支店内のサーバへの通信が行われる場合、⑦名古屋支店の FW3 は NHRP によって得られた情報を利用して S-S トンネルを確立する。このように、自動トンネル機能を利用すれば、フルメッシュ構成のトンネルを手動で設定する必要がない。 　Eさんは、それまでの設計方針をまとめ、ネットワーク機器ベンダの技術者らに確認を依頼した。ネットワーク機器ベンダの技術者からは、OSPF と自動トンネル機能を組み合わせて利用する場合の留意点の指摘があった。その指摘の内容は、“スポークとなる機器が OSPF の代表ルータに選出されてしまうと、スポーク拠点間の IPsec トンネルが解放されなくなってしまうので、それを防ぐために、スポークとなる機器の OSPF に追加の設定が必要になる” というものであった。そこで、Eさんは、防止策として⑧追加すべき設定内容を決めた。 　その後、Eさんが考えたネットワーク構成が情報システム部で承認され、Eさんを構築プロジェクトリーダとして、WANの再構築が開始された。