平成27年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2　サービス基盤の改善に関する次の記述を読んで、設問1～5に答えよ。 中規模のISPであるY社は、IPv4アドレス（以下、IPアドレスという）を使用したインターネット接続サービスとIaaS（Infrastructure as a Service）を提供している。現在のY社のネットワーク構成を図1に示す。 図1 現在のY社のネットワーク構成 Y社では、顧客の増加に伴い、二つの課題への対応が急務になっている。一つは、保有するグローバルIPアドレスが不足する事態が近づいていることから、対応策を確立することである。もう一つは、IaaS基盤のネットワーク（以下、基盤ネットワークという）を、顧客の増加に柔軟に対応できる構成に変更することである。 二つの課題への対応策は、ネットワーク技術部で立案することになり、ネットワーク技術部のT部長は、基盤構築グループのI主任とJ君に対応策の検討を指示した。そこで、I主任とJ君は、まず、グローバルIPアドレス不足への対応策を検討し、その後に、基盤ネットワークの改善策を検討することにした。検討作業はJ君が行い、検討結果をI主任が評価することにした。 〔グローバルIPアドレス不足への対応策の検討〕 グローバルIPアドレスの枯渇対策の中に、大規模NAT又はキャリアグレードNAT（以下、CGNという）と呼ばれる、ISP向けのソリューションがある。CGNを導入することによって、インターネット接続サービスで使用しているグローバルIPアドレスを削減でき、それをIaaSに振り向けることができる。CGNでは、アクセスネットワークにプライベートIPアドレスを割り当て、ISP網内でグローバルIPアドレスに変換する。CGNを実現する技術の中に、NAT444がある。NAT444には、顧客の宅内に設置された機器（以下、CPEという）に変更を加えずにCGNに移行できる利点がある。そこで、J君はNAT444について調査した。 〔NAT444の調査〕 現在、Y社の個人顧客向けのインターネット接続サービスでは、顧客に一つずつグローバルIPアドレスを割り当てている。これをISP Shared Address（以下、シェアードアドレスという）と呼ばれるIPアドレスに置き換え、複数の顧客間でグローバルIPアドレスを共用するのがNAT444である。NAT444では、IPアドレスとポート番号を対にした変換が2回行われる。NAT444の構成を図2に示す。 図2 NAT444の構成 図2に示したように、NAT444では、インターネットと顧客宅のLANとの間に、（あ）シェアードアドレスとして定義された、100.64.0.0/10のネットワークプレフィックスのネットワークを設ける。NAT444の“444”は、図2に示したように【a】種類のネットワークアドレスで運用されるネットワークを指し、各ネットワークの境界でNATを実行することで、グローバルIPアドレスを節約する。 NAT444を導入すると、一部のアプリケーションの動作に不具合が発生する危険性がある。その主因として想定されるのは、次に示す2点である。 (1) 1顧客が開設できるセッション数の制限 (2) 通信経路中のNAT介在 (1)は、一つのグローバルIPアドレスを複数の顧客で共用することによって発生する。CGNでは、【b】ビットで構成されているTCP/UDPポート番号を複数の顧客に分配するので、1顧客が使用できるポート数が少ない。例えば、CGN装置に設定する1顧客に割り当てるポート数が、実際に使うポート数よりも少ない場合、Webページの閲覧などで不具合が発生してしまう。そこで、仮に、1顧客に割り当てるポート数を10、000に設定したとすると、インターネット接続サービスで使用するグローバルIPアドレスを約1/6に削減できる。 (2)は、NAT444を導入することで発生する。NATが介在すると、例えば、次のようなアプリケーションで不具合が発生する。 ・FTPの【c】モードのように、インターネット上のサーバからクライアントが指定したポートに対してTCPコネクションの確立を試みるアプリケーション ・SIPのように、送信先となる機器のIPアドレスをパケットのデータ部に埋め込んで指定するアプリケーション ただし、NATが介在しても、CGN装置、利用するアプリケーションの実装などで、不具合は回避できる可能性がある。今後、その可能性について、より詳細な調査を行うとともに、評価試験も併せて行うことにする。 その他にも、NATが介在すると、顧客がIPsecを利用している場合に問題が発生する危険性がある。J君は、IPsecを利用する顧客への対応策について検討した。 〔IPsecを利用する顧客への対応策〕 NAT機器を経由した通常のIPsecの通信は、AH、ESP及びIKEプロトコルで問題が発生する。NAT機器を経由したIPsec通信で発生する問題を、表1に示す。 表1 NAT機器を経由したIPsec通信で発生する問題 表1の問題を解決する手段として、ESPプロトコルに対してIPsec NATトラバーサルが規格化された。IPsec NATトラバーサルは、ESPパケットをUDPでカプセル化することによって、NAT機器によるIPアドレスとポート番号の変換を可能にしている。IPsec NATトラバーサルのパケット構成を、図3に示す。 図3 IPsec NATトラバーサルのパケット構成 UDPによるカプセル化は、IKEで次のように自動的に決定される。 ・IKEは、IPsecを使用する機器間でISAKMPメッセージを送受する際に、経路上にNAT機器が存在するかどうか検査する。 ・NAT機器を検出した場合、ISAKMPメッセージの送信元ポート番号及び宛先ポート番号を500から4500に変更して、NATトラバーサルを使用することを通知する。このとき、NATが行われると送信元ポート番号が変換されるので、（え）IPsecを使用する機器の、受信パケットに対するフィルタリング設定を変更する必要がある。 J君は、これまでの調査で、CGNの導入には今後解決すべき問題が残されているが、CGNの導入によって、グローバルIPアドレスを節約できることが分かったので、調査結果をI主任に説明した。I主任は、J君の考えが適切であると判断し、調査結果を基にCGNの導入案をまとめて、T部長に報告することを提案した。 次に、J君は、基盤ネットワークの改善策の検討に取り掛かった。 〔基盤ネットワークの課題とその対応〕 基盤ネットワークでは、通信路を顧客ごとに論理的に分離するために、顧客が利用する仮想サーバ（以下、VMという）にVLANを設定している。IEEE 802.1Qで規定されたVLAN数の制限は、4、094である。各顧客に異なる複数のVLAN IDを割り当てるので、顧客の増加に伴ってVLAN数が不足する可能性があった。そこで、基盤ネットワークでは、レイヤ3ネットワークによって物理サーバが属するサブネットを分けている。課題は、このような構成でVMが他の物理サーバに移動した後も、移動後のVMとの通信を可能にしたいというものである。 対応策として、J君は、レイヤ3のネットワーク上にレイヤ2のネットワークを構成できる、オーバレイネットワークが有効ではないかと考えた。VMで、マルチキャスト通信を利用してオーバレイネットワークを実現する技術として、RFC 7348で提案されたVXLAN（Virtual eXtensible Local Area Network）がある。VXLANは、サーバ仮想化機構に実装されているので導入しやすい。そこで、J君はまず、マルチキャスト通信について調査した。 〔マルチキャスト通信の調査〕 マルチキャスト通信は、特定の複数ノードに対して、一つのデータを同時に送信する通信方式である。マルチキャスト通信例を図4に示す。 図4 マルチキャスト通信例 図4の例では、PCbをビデオサーバから送信される画像データの受信者とする。 マルチキャスト通信では、データを受け取りたいPCを、マルチキャストIPアドレスでグループ化する。マルチキャストIPアドレスは、クラス【d】のIPアドレスである。（お）通常、L2SWは、受信したマルチキャストフレームを、受信ポート以外の全てのポートにフラッディングするので、PCaとPCbにマルチキャストフレームが届く。ただし、PCaは、当該マルチキャストグループに参加していないので、受信しない。 マルチキャストIPアドレスが設定されたPCでは、当該マルチキャストIPアドレスを基に生成される【e】宛てのフレームを受信するように、NIC（Network Interface Card）が動作する。 マルチキャストグループが存在するサブネットの情報は、ルータ間で行われるIPマルチキャストルーティングプロトコルによって伝達され、各ルータでマルチキャスト経路表が生成される。PCが、あるマルチキャストグループに所属したり、離脱したりするのに、IGMP（Internet Group Management Protocol）が使用される。 ビデオサーバからマルチキャストグループ224.1.1.1宛ての画像データが配信されているときの、IGMPの通信例を図5に示す。 図5 IGMPの通信例 図5の例では、IGMPが使用されるのは、PCとルータ1間である。（か）ビデオサーバとルータ2間では、IGMPは使用されない。PCが、あるマルチキャストグループに参加するときは、IGMP joinメッセージによって、所属するサブネットのルータに対し、参加するマルチキャストグループを知らせる。逆に、PCが、参加しているマルチキャストグループから離脱するときは、所属するサブネットの全てのルータ宛てに、IGMP leaveメッセージを送信する。 ルータ1は、IGMP joinメッセージを受信することによって、配下のサブネットにマルチキャストグループ224.1.1.1が存在するのを知り、ビデオサーバから受信した224.1.1.1宛てのパケットをL2SWに送信する。L2SWは、図4に示したように、受信したフレームを、受信ポート以外の全てのポートにフラッディングするので、どのPCにも224.1.1.1宛てのパケットが届く。しかし、L2SWが、図5中の①と②のフレームを受信した段階では、PC2は224.1.1.1に所属していないので、L2SWのp2からのマルチキャストフレームの転送は不要である。L2SWに実装されるIGMPスヌーピングによって、マルチキャストフレームを必要なポートだけに転送させることができる。IGMPスヌーピングとは、IGMPメッセージの中身をのぞき見することをいい、IGMPスヌーピング機能をもったL2SWは、IGMPメッセージの情報を基にMACアドレステーブルを更新する。J君が調査したL2SWでは、IGMP joinやIGMP leaveメッセージなどから、指定されたマルチキャストグループが存在するポートを知り、自分のMACアドレステーブルにマルチキャストエントリを作成する。通常、MACアドレステーブルには、複数のポートに同じMACアドレスが存在することはないが、マルチキャストMACアドレスは例外である。 図5中のL2SWでIGMPスヌーピング機能を働かせたとき、L2SWに作成されるMACアドレステーブルを、表2に示す。 表2 L2SWに作成されるMACアドレステーブル J君は、マルチキャスト通信の調査を終え、次にVXLANの導入について検討した。 〔VXLANの導入検討〕 VXLANは、カプセル化によってオーバレイネットワークを実現する技術である。VXLANのフレーム構成を図6に示す。 図6 VXLANのフレーム構成 VXLANでは、図6に示した4種類のヘッダを付加して元のイーサネットフレームをカプセル化し、IPネットワーク上で転送する。VXLANヘッダには、VXLANネットワーク識別子である24ビットのVNI（VXLAN Network Identifier）があり、VNIごとにVXLANセグメントが構成される。VXLANセグメントによって通信路が論理的に分離されるので、（き）VXLANを導入すれば、VLAN数の制限を緩和できる。 VXLANは、トンネルの終端ポイントであるVTEP（VXLAN Tunnel End Point）で元のイーサネットフレームにカプセル化を実施又は解除して、VTEP間でトンネルを構成する。レイヤ3のネットワーク上に構成されるオーバレイネットワークでは、UDPを使ったマルチキャスト通信に対する応答によって通信先のVTEPが特定され、VM間でのデータリンク層の通信を可能にする。VNIはVMのMACアドレスとひも付けされ、同じ値のVNIのVXLANセグメントに属するVM同士は、VMが同一サブネットの他の物理サーバや、異なるサブネットの物理サーバに移動しても、移動前と同じ通信手順でVM間の通信を継続できる。VTEPは、サーバ仮想化機構の仮想スイッチやVXLANゲートウェイに実装されている。 J君は、VXLANをY社の基盤ネットワークに導入したときの動作について検討した。Y社の基盤ネットワークへのVXLAN導入構成案を、図7に示す。図7では、物理サーバ1に存在していたVM3が、物理サーバ2に移動した状態を示している。 図7 基盤ネットワークへのVXLAN導入構成案（抜粋） J君は、図7の構成でVXLANを導入したときのVM2とVM3間の通信方法について考え、VM3が物理サーバ2に移動したときの、VM2とVM3間の通信手順を、図8にまとめた。 （i）VM2は、VM3のMACアドレスを取得するために、ARP要求を送信する。 （ii）ARP要求を受信したVTEP1は、図6のカプセル化を行い、VXLANフレームを送信する。 （iii）VTEP1が送信したフレームは、L3SWで経路制御され、VTEP2に届く。 （iv）VTEP2は、VM3が物理サーバ2に移動してきていることを認めると、カプセル化を解除してARP要求をVM3宛てに転送する。 （v）VM3は、受信したARP要求に対して、ARP応答を送信する。 （vi）ARP応答を受信したVTEP2は、図6のカプセル化を行い、VXLANフレームを送信する。 （vii）VTEP2が送信したフレームは、L3SWで経路制御され、VTEP1に届く。 （viii）VTEP1は、VM2が物理サーバ1に存在することを認めると、カプセル化を解除してARP応答をVM2宛てに転送する。 （ix）VM2は、VM3のMACアドレスを取得したので、VM3宛ての通信を行う。 （以下、省略） 図8 VM2とVM3間の通信手順 J君は、広域イーサ網を介した顧客のPCとVM3間でも、移動後のVM3との通信は正常に行えることを確認した。基盤ネットワークにVXLANを導入することによって、顧客の増加に対応できる見通しが立ったので、検討結果をI主任に説明した。I主任は、VXLANの導入が効果的な改善策であると判断した。 I主任とJ君は検討結果を基に、グローバルIPアドレスの不足への対応策と基盤ネットワークの改善策及び今後の進め方をまとめ、T部長に報告した。 設問1　本文中の【a】～【e】に入れる適切な字句又は数値を答えよ。 設問2　〔NAT444の調査〕について、(1)、(2)に答えよ。 (1) 本文中の下線（あ）について、シェアードアドレスではなく、プライベートIPアドレスを用いたときに、インターネットアクセスができなくなる不具合が発生する可能性がある。どのような場合に発生するかを、図2中の機器名称を用いて、50字以内で述べよ。 (2) 顧客宅のPCがインターネット上のWebサーバにアクセスしたとき、PCを特定するのにWebサーバがログとして記録する必要がある情報を三つ挙げ、それぞれ10字以内で答えよ。 設問3　〔IPsecを利用する顧客への対応策〕について、(1)～(3)に答えよ。 (1) 表1中の下線（い）の認証エラーが発生する理由を、認証対象に着目して、60字以内で述べよ。 (2) 表1中の下線（う）のESPにおいてポート変換が行えない理由を、50字以内で述べよ。 (3) 本文中の下線（え）で必要とする変更を、50字以内で具体的に述べよ。 設問4　〔マルチキャスト通信の調査〕について、(1)～(3)に答えよ。 (1) 本文中の下線（お）について、フラッディングされるのはマルチキャストMACアドレスが学習されないからである。その理由を、40字以内で述べよ。 (2) 本文中の下線（か）について、IGMPが使用されない理由を、図5の通信内容に着目して、35字以内で述べよ。 (3) 表2中の【ア】に入れる適切なマルチキャストMACアドレスを答えよ。また、【イ】は、図5中の①～③のフレームを受信した順に遷移する。①を受信したとき、②を受信したとき、及び③を受信したときのポートIDを、それぞれ答えよ。ここで、表2は、PC1、PC2、PC3がマルチキャストグループに参加していない状態から、図5中の①～③のフレームを受信して作成されるものとする。 設問5　〔VXLANの導入検討〕について、(1)～(4)に答えよ。 (1) 本文中の下線（き）について、VLAN数の制限が緩和される理由を、25字以内で述べよ。 (2) 図8中の（ii）におけるVXLANの通信は、マルチキャストで行われる。ユニキャストで行われない理由を、20字以内で述べよ。また、（ii）のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。 (3) 図8中の（iii）で送信されるマルチキャストパケットがVTEP2に届くのは、VM3が移動してきたことをVTEP2が知ったとき、VTEP2によって行われる通信の結果である。その通信について、宛先と送信されるパケットの内容を、60字以内で述べよ。 (4) 図8中の（vi）におけるVXLANの通信は、ユニキャストで行われる。仮に、VTEP間の通信が全てマルチキャストで行われる場合を想定したとき、物理サーバ、VM及びL3SWの数が多いネットワークの場合に顕在化する問題について、60字以内で述べよ。また、（vi）のVXLANフレームの宛先IPアドレスと送信元IPアドレスをそれぞれ答えよ。