平成25年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2　開発システムの再構築に関する次の記述を読んで、設問1～3に答えよ。 IT関連会社のF社とG社は、両社の強みを生かして合併することになった。両社とも、複数の開発部門で各種の製品やシステムを開発している。開発のため、各開発部門は、独自に開発・評価用システム（以下、開発システムという）を構築している。その結果、全社的に見て、サーバ、ストレージ及びネットワークを十分に有効活用できていなかった。 そこで、F社とG社では、合併を機に、情報システム部門が開発システムを一括管理し、利用者である開発部門にITプラットフォームを提供するという形態の新システムに移行することになった。新システムへの移行に伴い、情報システム部門のK主任とT君は、新システムを実現する基盤ネットワークの構築担当になった。 〔新システムへの移行方針と移行後の開発システムの構成〕 K主任は、新システムの検討に当たって、次のような移行方針で進めることにした。 (1) サーバを仮想環境に移行することで、新たなサーバ増設要求への対応時間の短縮及び必要に応じた柔軟な構成の変更を実現する。ただし、移行当初は、既設サーバをそのまま活用する。 (2) PCを収容するレイヤ2スイッチは、コスト削減のために、できるだけ既設のものを流用する。 (3) 利便性向上のために、開発部門のPCは、社内のどこからでも所属部門の開発システムに接続できるようにする。 (4) 各開発部門は、これまで独自に開発システムを運用していたので、各開発・評価用ネットワーク（以下、開発ネットワークという）間でIPアドレスの重複があるが、再設定をせずに新システムに移行できるようにする。 K主任から移行後の開発システムについて検討するよう指示されたT君は、図1に示すような移行後の構成（概要）を考えた。図1中の、異なる網掛けのサーバとPCは、それぞれ別の開発部門に属しているが、新規に導入するスイッチによって物理ネットワークの共用化を目指している。 図1　移行後の開発システムの構成（概要） 〔ネットワーク仮想化技術の調査〕 新システムを実現するためには、各開発部門が独自に構築したネットワークを、一つの物理ネットワークに収容する必要がある。そこで、K主任は、物理ネットワークに依存しない、開発部門ごとの論理的なネットワーク（以下、テナントネットワークという）を構築することにし、T君にネットワーク仮想化技術の調査を指示した。 T君が調査したところ、大別して二つの新しい技術があることが分かった。 一つは、オーバレイ方式と呼ばれるネットワーク仮想化方式で、レイヤ3ネットワーク上にレイヤ2をカプセル化して、同一テナントネットワークに属するサーバ間の接続用トンネルを作ることによって、ネットワーク仮想化を実現する。 もう一つは、スイッチを、経路制御などの管理機能を実行するフローコントローラ（以下、OFCという）と、データ転送を行うフロースイッチ（以下、OFSという）に分け、OFSに入るパケットの経路制御をOFCが集中制御する方式（以下、OF方式という）である。OF方式は、カプセル化を使わず、OFSそれぞれの転送によって実現されることから、ホップバイホップ方式と呼ばれることもある。 オーバレイ方式又はOF方式で実現されたネットワークは、どちらもソフトウェアで定義できることから、【a】と呼ばれている。 OF方式では、OFSに入ってきたパケットのMACアドレス、IPアドレス、TCPポート番号などの属性の組合せを“フロー”と呼び、そのパケットをどのように処理するかの判定に使用する。フローを識別し、入力されたパケットに対する処理を、OFS内のフローテーブル（以下、f-TBLという）に設定する。OF方式でのOFCとOFSの構成を、図2に示す。OFCとOFS間の制御情報（以下、メッセージという）の交換のプロトコルを、OF Protocolと呼ぶ。 図2　OF方式でのOFCとOFSの構成 図2中のf-TBLの一つのエントリには、フローの識別情報（以下、Ruleという）を保持するRuleフィールド、Ruleに一致したフローをもつパケットに対する処理内容（以下、Actionという）を記述したActionフィールド、一致したフローのカウント値を保持するStatisticsフィールドなどがある。RuleとActionは、OFCが設定する。Ruleとして利用できる情報、Action及びメッセージの例を、表1に示す。 表1　Ruleとして利用できる情報、Action及びメッセージの例（抜粋） なお、ネットワークに参加するOFSは最初に必ずOFCに接続し、OFSのポート情報などをOFCに通知する。OFCは、OF Protocolを使ってトポロジを把握する。 フローに対し、f-TBL内にRuleが一致するエントリがあった場合、OFSは当該エントリに記述されたActionの動作を行う。一方、なかった場合は、OFSはPacket InメッセージをOFCに送信し、そのパケットの処理方法を問い合わせるモードで動作する。Packet Inを受信したOFCは、Flow Modメッセージを使用してf-TBLに処理のエントリを登録したり、Packet Outメッセージを使用して指定ポートからのパケット送信をOFSに指示したりする。f-TBL内のRule及びAction内容の例を、表2に示す。 表2　f-TBL内のRule及びAction内容の例 表2中に示した機能のうち、転送機能はネットワーク機器の【b】としての機能を実現するために使われる。また、パケット書換え機能は【c】としての機能を実現するために使われる。 K主任から、これまで調べた二つの仮想化方式の違いを説明するように指示されたT君は、ネットワーク仮想化方式の説明図を図3に、オーバレイ方式とOF方式の比較を表3にまとめた。OF方式では、仮想SWもOFSとして動作する。 図3　ネットワーク仮想化方式の説明図 表3　オーバレイ方式とOF方式の比較 次は、表3に関するK主任とT君の会話である。 K主任：技術の動向としては、どういうところがポイントなのかな。 T君：そうですね。集中管理によるネットワークの運用性の改善や帯域の有効利用を目指した技術の開発が進んでいるといったところです。 K主任：オーバレイ方式は既設ネットワークの再利用性が高いが、既設サーバの接続や拠点間接続がある場合には、何か対応が必要ではないのか。 T君：既設サーバの接続では、図3中のサーバ接続用スイッチに【ア】する機能が必要になりますし、拠点間の接続では【イ】への対応が必要となる可能性があります。 K主任：既存システムでは老朽化した機器も多いし、合併を機にシステムも刷新したいから、OF方式を取り入れた新システムを開発できるかどうか検討してくれないか。 T君：分かりました。 〔テナントネットワーク実現性の検討〕 新システムの検討に先立ち、T君は、共用する物理ネットワーク内の、テナントネットワークの実現性について検討することにした。 OF方式では、基本的にレイヤ2でネットワークを構成するので、レイヤ2で接続機器を識別するMACアドレスと、接続機器がどのテナントネットワークに属するかを識別するテナントネットワーク識別情報（以下、テナントIDという）は、全て、OFC側で集中管理される。また、OFSのポートに、どのテナントネットワークに属する機器が接続されるかも、OFC側で集中管理される。この前提を基に、ブロードキャストとユニキャストについて、どのようにフレーム転送を制御すればよいかを検討した。 T君が作成した、テナントネットワーク実現のためのOFCとOFSの動作説明図を図4に示す。 図4　テナントネットワーク実現のためのOFCとOFSの動作説明図 T君は、ARPによるアドレス解決がされていれば、ユニキャストのフレーム転送では、送信端末がどのテナントネットワークに属しているかを判断することなく、宛先MACアドレスをもつ端末に向けてフレームを中継していくという単純な実装ができると考えた。①図4中のPC1からPC7へユニキャストフレームを転送する場合について、f-TBLに一致するRuleがなかった場合の処理を、T君は次のように考えた。“OFCは中継するOFSに対して宛先MACアドレスをもつ機器までのRuleとActionをf-TBLに設定し、転送を指示すればよい。” 一方、ARPやDHCPといったブロードキャストフレームの転送では、送信端末の属するテナントネットワークに限定してフレームを送出する必要がある。例えば、②図4中のPC1が、所属するテナントネットワークのPC7にパケットを送信するために、ARP要求を送信した場合について、T君は次のように考えた。“機器のMACアドレスと所属するテナントネットワークの対応情報は、OFCにあらかじめ登録されている。その情報を使って、OFCから、同一テナントネットワークに属する機器が接続されているポートをもつOFSに対し、直接ブロードキャストフレーム（複製）の送信を指示すればよい。” しかし、OF方式に非対応のL2SWが図4のように接続されている場合には、③T君が考えた単純な方式でPC1からのARP要求を処理しようとすると、問題が発生する可能性がある。このため、OF方式に非対応のL2SWに、異なるテナントネットワークに属するPCを同時に接続することはできない。 〔テナントネットワークへのPC接続方式の検討〕 T君は、OFCとOFSで構成された基盤ネットワーク上のテナントネットワークにPCを接続する方式について、次のように考えた。 ・開発部門のPCは、社内各所に用意された自部門の接続用ポートを利用して、所属部門の開発システムに接続できるようにする。 ・ある部門の接続用ポートに、他部門のPCを接続しようとした場合には、通信できないようにする。 ・これまでと同様に、テナントネットワーク内のIPアドレスの管理は、開発システム側の事情に配慮し、各利用部門に任せる。 ネットワークに接続される機器のMACアドレスは、テナントネットワーク実現のために、OFCで参照できるように登録管理されている。そこで、T君は、④各テナントネットワークとそれに属する機器のMACアドレスの一覧表を使えば、PCのOFSへの接続可否制御が可能になると考えた。 さらに、T君は、今後、無線LAN経由の接続が必要になった場合や、よりセキュリティの高い認証方式の採用が必要になった場合でも、OF方式で対応が可能かどうかを評価することにした。この目的で、IEEE 802.1Xの認証方式を選び、OF方式のネットワークとの組合せについて評価することにした。T君がまとめたIEEE 802.1X認証方式の概要を、表4に示す。表4には、OF方式に非対応のL2SWを使用した中継スイッチ（以下、中継SWという）を経由した複数PCの接続についても示している。 表4　IEEE 802.1X認証方式の概要 中継SWを用いて接続する場合を含め、IEEE 802.1X対応認証SWへのPCの接続形態を、図5のようにまとめた。 図5　IEEE 802.1X対応認証SWへのPCの接続形態 既設スイッチを活用して、PCをOFSに接続したいと考えているT君は、表4に示されたNo.3～6の中継SWを使用した場合について詳細に検討することにした。⑤同一テナントネットワークに属するPCを中継SWを経由して複数台接続する場合、中継SWは、表4中のNo.4の要件を満たす必要がある。既設SWについて、この要件を満たすかどうかを調査したところ、満たさないものがあることが分かった。しかし、それらを入れ替えた場合でも、費用への影響は少ないと考えられた。一方、⑥ポートベース認証を使用した場合は、表4中のNo.5のセキュリティ問題が発生する。しかし、OF方式では、この問題への対処が容易なことが分かった。 IEEE 802.1X認証方式によるPCのテナントネットワークへの接続シーケンス例を、図6に示す。 図6　IEEE 802.1X認証方式によるPCのテナントネットワークへの接続シーケンス例（概要） 図6中の管理用LANは、図3に示したOFCとOFS間のメッセージ交換用及びRADIUSサーバとOFC間の通信に使われる専用のLANである。また、複数のPCを接続するために、PCとOFS1は、中継SWを経由して接続する構成にしている。 図6では、PCがネットワークに接続し、自部門の仮想化された開発用サーバに接続するためのアドレス解決までのシーケンスを表示している。PCのOSによっては、デフォルトではEAPOL-Startを出さない場合もある。その場合、認証SWがPC間のリンクアップを検出して、EAP-Requestを発行する設定で対応する方法があるが、⑦中継SWを経由した図6の構成では、PCがEAPOL-Startを送信することによって認証を始める必要がある。 T君は、これまでの検討から、今後、無線LAN経由の接続が必要になった場合、よりセキュリティの高いポートベースの認証方式の採用が必要になった場合でも、OF方式で対応可能と考え、検討結果をK主任に報告し、了承された。 このようにして、K主任とT君は新しい基盤ネットワークの実現性に目途をつけることができたので、必要機器の選定・調達と詳細な設計を開始した。 設問1〔ネットワーク仮想化技術の調査〕について、(1)～(3)に答えよ。 (1) 本文中の【a】～【c】に入れる適切な字句を答えよ。 (2) 本文中の【ア】、【イ】に入れる適切な字句を、それぞれ20字以内で答えよ。 (3) OF方式は、TRILL（Transparent Interconnection of Lots of Links）方式と異なり、経路選択に柔軟性があるので回線を有効利用できる。TRILL方式と比較したときの柔軟性を、20字以内で述べよ。 設問2〔テナントネットワーク実現性の検討〕について、(1)～(3)に答えよ。 (1) テナントネットワーク実現のためのメッセージ使用例を、次の表5のようにまとめたい。本文中の下線①及び下線②の場合に、図4中の(A)、(C)ではどのようなメッセージを使用しているか。表1中の字句を用いて、表5の空欄を埋めて、表を完成させよ。ここで、PC4は接続されておらず、構成上の問題はない環境で動作しているものとする。 なお、各欄には複数のメッセージが入る場合がある。また、該当するメッセージがない場合には、“なし”と記入すること。 表5　テナントネットワーク実現のためのメッセージ使用例 (2) 本文中の下線③について、図4中のPC4とPC7のIPアドレスが重複していた場合に、PC1に発生する可能性のある問題を挙げ、50字以内で述べよ。 (3) 本文中の下線③について、図4中のPC1とPC2のIPアドレスが重複していた場合に、PC4に発生する可能性のある問題を挙げ、50字以内で述べよ。 設問3〔テナントネットワークへのPC接続方式の検討〕について、(1)～(6)に答えよ。 (1) 本文中の下線④について、OFCはどのような接続制御処理をすればよいか。35字以内で述べよ。 (2) 本文中の下線⑤について、図5中の中継SWに必要な機能を、特別のMACグループアドレスを使用するEAPフレームの転送の観点から、20字以内で答えよ。 (3) 本文中の下線⑥について、発生するセキュリティ問題を、35字以内で述べよ。また、この問題に関してOF方式で考えられる対処方法を、40字以内で述べよ。 (4) 図6中で、IEEE 802.1Xのオーセンティケータとして動作している機器を、図6中の機器名で答えよ。 (5) 本文中の下線⑦について、PCがEAPOL-Startを送信することによって認証を始める必要がある。その理由を、50字以内で述べよ。 (6) 図6中の(D)、(E)の処理内容について、どのような種類のフレームを、どのポートに出力するかを含め、それぞれ55字以内で述べよ。