平成27年度秋期 ネットワークスペシャリスト 午後Ⅰ 問2

条件と評価対象の対応を整理する

構成を検討するときは、説明されている条件と、評価しようとしている対象の対応に注目します。知っている用語から結論を急がず、どの条件の下で何について判断するのかを整理することから始めましょう。

この問題で問われていること

着目したいのは、ある条件を前提とした判断を、別の条件にもそのまま当てはめていないかという点です。扱われている構成について、前提となる条件と判断の対象が対応しているかを確かめましょう。

視点

条件は判断の前提、評価対象は判断したい事柄です。この二つを対応させて整理すると、知識を当てはめる際の前提を意識できます。まずは、与えられた条件と、自分が補って考えている条件を区別してみましょう。

確認ポイント

• 判断の前提となる条件を捉えていますか
• その条件で何を評価するのかを捉えていますか
• 条件と評価対象の対応を保って考えていますか

解説

本問は、透過型LBによるFWの負荷分散を通して、IPとMACの役割、セッション単位の経路統一、各LBの転送量、故障時の性能確保と通信切断の検知を考える問題です。特にLB4はProxyとFWの負荷分散を兼用するため、対象通信が2回通過する点が重要です。

問題の全体像

D社は情報系サービスと電子メールをインターネット上のE社サービスへ移行するため、FWとProxyに現状の1.4倍以上の処理能力が必要になります。そこで、透過型LBによるFWのActive-Active構成とProxyの増設を検討します。出題趣旨では、TCP/IPの各レイヤの動作、性能設計、信頼性設計の理解を問うとしています。図2ではIPとMACの役割を、図3と表1では各LBの通過回数を整理し、故障時にも必要な性能を確保する設計を考えます。

設問1(ア)

「1秒当たりの転送データ量」という定義に着目します。公式解答例では「スループット」です。本文では、1秒当たりに転送できるパケット数にも上限があるため、実際の最大スループットはパケット長によって変わると説明しています。仕様上の転送データ量だけでなく、想定するトラフィックで測定した性能を使う理由まで理解しましょう。

設問1(イ)

「1秒当たりの転送【イ】数」と、その上限によって最大スループットが「転送パケット長」に左右されるという記述を結び付けます。公式解答例では「パケット」です。同じパケット数を転送しても、短いパケットでは転送データ量が小さくなるため、データ量とパケット数の両方から性能を確認する必要があります。

設問1(ウ)

故障時に既存のTCPコネクションへRSTを送るという後続の記述に着目します。公式解答例では「維持」です。本文は、新NWではFWの故障発生時に既存セッションを維持できないと明記しています。その影響を軽減するため、両端のノードへ切断を知らせる処理を行います。

設問2(1)(A)

図2の(A)は、ルータaからLBaへ向かう、振分け前のパケットです。矢印は機器aから機器bへ向かっているので、宛先IPアドレスは最終的な通信相手である機器bです。一方、ルータaの経路情報では、サブネットb1へのゲートウェイがFW1になっています。このため、ルータaが送り出すフレームの宛先MACアドレスはFW1です。公式解答例では「宛先IPアドレス：機器b、宛先MACアドレス：FW1」です。ここではLBaによるFW2への書換えはまだ行われていません。

設問2(1)(B)

図2の(B)は、LBaからFW2へ向かう、振分け後のパケットです。(A)と同じく機器aから機器bへ向かう方向であり、戻り方向ではありません。本文では、LBがFW宛てのフレームの宛先MACアドレスを振分け先FWのものに書き換えるとしています。このTCPコネクションはFW2を経由するので、宛先MACアドレスはFW2になります。宛先IPアドレスは機器bのままです。公式解答例では「宛先IPアドレス：機器b、宛先MACアドレス：FW2」です。

設問2(2)

下線①の「FWはセッションの終端ノードではない」に着目します。通信の宛先はFWの先にある機器なので、負荷分散のために宛先IPアドレスをFWへ変更することはできません。本文の透過モードでは、宛先MACアドレスを書き換えて経由するFWを選びます。公式解答例では「宛先IPアドレスを書き換えられない。」です。20字以内の答案では、変更できない対象が宛先IPアドレスであることを明示します。

設問2(3)

FWが動的フィルタリングを行い、LBがセッション単位で振分け先を管理するという条件に着目します。同じセッションの往路と復路が異なるFWを通ると、通信状態を把握していないFWがパケットを処理することになり、動的フィルタリングを正しく行えません。公式解答例では、セッション単位に2台のLBが同じFWを選択することを挙げています。30字以内では「セッション単位で両LBが同じFWを選択する。」と要点をまとめられます。

設問3(1)

必要な処理能力が現状の1.4倍以上であることと、FW故障時の残存台数に着目します。2台構成では1台故障すると残りは1台となり、必要な処理能力を満たせません。3台構成なら1台故障しても2台が残り、故障時の性能不足を防げます。公式解答例では「故障発生時の性能を不足させないため」です。20字以内の答案では、故障時にも必要な性能を確保する目的を示します。

設問3(2)(あ)

図3でLB3がインターネット側のルータとFWの間にあることを確認します。LB3を通るのは、表1のインターネット―社内NW間の89と、インターネット―DMZ間の10です。社内NW―DMZ間の1はインターネット側へ出ないため、LB3を通りません。したがって、89＋10＝99となり、公式解答例でも【あ】は「99」です。

設問3(2)(い)

PCからインターネット及びDMZ上のWebサーバへの通信は全てProxyを経由し、LB4はProxyとFWの負荷分散を兼用するという二つの条件に着目します。図3では、PC側からProxyへ向かう通信がLB4を通り、ProxyからFWへ向かう通信もLB4を通ります。Proxyのキャッシュ効果とFWのパケット破棄を無視する条件では、インターネット―社内NW間の89と社内NW―DMZ間の1が、それぞれLB4を2回通過します。よって、(89＋1)×2＝180となり、公式解答例でも【い】は「180」です。2倍する理由は往復の別集計ではなく、Proxy側とFW側での2回の通過です。採点講評でも、Proxy経由とLB4の兼用という条件の見落としを指摘しています。

設問3(3)

下線④では、FW自身への応答確認ではなく、FWを経由して対向するLBとの間でヘルスチェック用パケットを送受信します。そのため、FWへの到達だけでなく、FWを通るLB間の経路が正常に通信できるかを確認できます。公式解答例では「FWを経由するLB間の経路の障害を検出できる。」です。30字以内の答案では、検出対象がFW単体にとどまらず、FWを経由するLB間の経路障害であることを示します。

設問3(4)

RSTを送らない場合、両端のノードはFW故障による通信途絶を直ちには把握できず、再送を繰り返してリトライアウトに至るまで待つことになります。両LBがRSTフラグをオンにしたパケットを両端へ送ると、ノードはその受信によってコネクションの切断を検知できます。公式解答例では、リトライアウトを待たずに切断を検知できることを挙げています。30字以内では「リトライアウトを待たずに切断を検知できる。」と要点をまとめられます。

学習のポイント

パケットの位置ごとに宛先IPと宛先MACを区別し、通信経路に沿って装置の通過回数と故障時の残存性能を確認する練習が重点です。