平成30年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2 サービス基盤の構築に関する次の記述を読んで，設問1～5に答えよ。 Y社は，データセンタ（以下，DCという）を運営し，ホスティングサービスを提供している。ホスティングサービスのシステムは，顧客ごとに独立したネットワークとサーバから構成されている。Y社が運営しているホスティングサービスのシステム構成を図1に示す。 図1 Y社が運営しているホスティングサービスのシステム構成（抜粋） このたび，Y社では，新規顧客へのサービスの提供やサーバの増設を迅速に行えるようにするとともに，導入コストや運用コストを削減してサービスの収益性を高める目的で，サービス基盤の構築を決定した。このサービス基盤では，ネットワークと物理サーバを顧客間で共用し，論理的に独立した複数の顧客システムを稼働させる，マルチテナント方式のIaaS（Infrastructure as a Service）を提供する。 サービス基盤構築プロジェクトリーダに指名された，基盤開発部のM課長は，部下でネットワーク構築担当のN主任に，次の3点の要件を提示し，サービス基盤の構成を検討するよう指示した。 (1) サーバの仮想化によって，サーバ増設要求に迅速に対応可能とすること (2) サービス基盤で稼働する顧客システムは，顧客ごとに論理的に独立させること (3) サービス基盤は冗長構成とし，サービス停止を極力抑えられるようにすること N主任は，SDN（Software-Defined Networking）技術を用いず，従来の技術を用いた方式（以下，従来方式という）とSDN技術を用いた方式（以下，SDN方式という）の二つの方式に関して，サービス基盤を構築する場合や顧客が増減した場合の作業内容などを比較して，構築方式を決めることにした。この方針を基に，N主任は，部下のJさんに，サービス基盤の構成について検討するよう指示した。 〔従来方式でのサービス基盤の構成案〕 Jさんは，まず，従来方式で構築する場合のサービス基盤の構成を検討した。Jさんが設計した，従来方式によるサービス基盤の構成案を図2に示す。 図2 従来方式によるサービス基盤の構成案 サービス基盤は，VLANによって顧客間のネットワークを論理的に独立させる。 図2中の既設のL2SW及びL3SWのサービス基盤への接続ポートには，それぞれリンクアグリゲーションを設定する。既設のL2SW又はL3SWに接続するL2SWaとL2SWbのポートには，接続先の顧客ごとにリンクアグリゲーションとVLANを設定する。L2SWaとL2SWbの間及びL2SWcとL2SWdの間は，【ア】接続して，それぞれ，一つのL2SWとして動作できるようにする。 FWは，①装置の中に複数の仮想FWを稼働させることができ，②装置の冗長化ができる製品を選定する。冗長構成では，アクティブの仮想FWが保持しているセッション情報が，装置間を直結するケーブルを使って，スタンバイの仮想FWに転送される。セッション情報を継承することで，仮想FWの【イ】フェールオーバを実現している。 LBは，負荷分散対象のサーバ群を一つのグループ（以下，クラスタグループという）としてまとめ，クラスタグループを複数設定できる製品を選定する。クラスタグループごとに仮想IPアドレスと【ウ】アルゴリズムが設定できるので，複数の顧客の処理を1台で行える。LBも冗長化が可能であり，FWと同様の方法で冗長構成を実現している。 図2の構成案では，FWとLBは，FWaとLBaをアクティブに設定する。スタンバイの装置がアクティブに切り替わる条件は，両装置とも同様であり，両装置は連動して切り替わる。 物理サーバには2枚のNICを実装し，【エ】機能を利用してアクティブ／アクティブの状態にする。L2SWcとL2SWdには，リンクアグリゲーションのほかに，③仮想サーバの物理サーバ間移動に必要となるVLANを設定する。 〔SDN方式でのサービス基盤の構成案〕 次に，Jさんは，SDN製品のベンダの協力を得て，SDN方式で構築する場合のサービス基盤の構成を検討した。 SDNを実現する技術の中に，OpenFlow（以下，OFという）がある。今回の検討では，標準化が進んでいるOFを利用することにした。 OFは，データ転送を行うスイッチ（以下，OFSという）と，OFSの動作を制御するコントローラ（以下，OFCという）から構成される。OFSによるデータ転送は，OFCによって設定されたフローテーブル（以下，Fテーブルという）に基づいて行われる。 Jさんが設計した，OFによるサービス基盤の構成案を図3に示す。 図3 OFによるサービス基盤の構成案 OFSは2台構成とし，相互に接続する。図3中の既設のL2SW及びL3SWのサービス基盤への接続ポートには，リンクアグリゲーションを設定し，OFS1とOFS2に接続する。物理サーバには，図2と同様に2枚のNICを実装して各NICをアクティブ／アクティブの状態にする。FWとLBには，仮想サーバ上で稼働する仮想アプライアンス製品を利用する。OFCは，OFS1とOFS2の管理用ポートに接続する。 これらのOFSは，起動するとOFCとの間でTCPコネクションを確立する。その後は，OFCとの間の通信路となるOFチャネルが開設され，それを経由してOFCからFテーブルの作成や更新が行われる。したがって，OFSの導入時には，④OFCとのTCPコネクションの確立に必要な最小限の情報を設定すればよく，導入作業は容易である。 Jさんは，二つの方式で設計したサービス基盤の構成をN主任に説明したところ，二つの方式を比較し，Y社に適した方式を提案するよう指示を受けた。 〔二つの方式の比較〕 Jさんは，図2と図3のサービス基盤を構築する場合について，二つの方式で実施することになる作業内容などを基に，比較表を作成した。Jさんが作成した二つの方式の比較を表1に示す。 表1 Jさんが作成した二つの方式の比較 以上の比較検討を基に，Jさんは，OFを用いると技術習得などに時間を要することになるが，今後のサービス拡大に柔軟に対応できるようになると判断し，OFによるサービス基盤の構築を，N主任に提案した。N主任は，Jさんの提案がY社にとって有益であると考え，Jさんの提案を基にサービス基盤の構築案をまとめ，M課長に報告したところ，テストシステムを構築して，OFの導入効果を確認するようにとの指示を受けた。 〔技術習得を目的とした制御方式の設計〕 テストシステムの構築に当たって，N主任とJさんの2人は最初に，OFの技術習得を目的として，MACアドレスの学習によるパケットの転送制御方式を考えることにした。 テストシステムは，図1中のP社，Q社及びZ社の3顧客向けのシステムを収容した構成である。テストシステムの構成を図4に，テストシステム中の機器と仮想サーバのMACアドレスを表2に示す。 図4 テストシステムの構成 表2 テストシステム中の機器と仮想サーバのMACアドレス 図4に示したように，P社にはVLAN IDに100，110，120，Q社にはVLAN IDに200，210，Z社にはVLAN IDに300，310を，それぞれ割り当てる。各顧客のWebサーバと業務サーバ間の通信は発生しない。 2人は，Fテーブルの構成について検討した。Fテーブルは，OFSのデータ転送動作を確認しやすくするために，最初に処理されるFテーブル0と，パケットの入力ポートに対応して処理されるFテーブル1～4の五つの構成とした。2人がまとめた，五つのFテーブルの役割を表3に示す。 表3 五つのFテーブルの役割 Fテーブルは，複数のフローエントリ（以下，Fエントリという）からなる。 Fエントリは，OFSに入力されたパケットがどのFエントリに一致するかを判定するためのマッチング条件，条件に一致したパケットに対する操作を定義するアクション，パケットが複数のFエントリに一致した場合の優先度などで構成される。入力されたパケットが，Fテーブル内の複数のFエントリのマッチング条件に一致した場合は，優先度が最も高いFエントリのアクションが実行される。また，どのマッチング条件にも一致しないパケットは廃棄される。一つのFエントリには，複数のアクションを定義できる。 OFCとOFSの間では，メッセージの交換が行われる。このメッセージの中には，OFSに対してFエントリを設定するFlow-Modメッセージ，OFSが受信したパケットをOFCに送信するPacket-Inメッセージ，OFCがOFSに対して指定したパケットの転送を指示するPacket-Outメッセージなどがある。 次に，2人は，3顧客で全てのサーバとの通信が正常に行われたとき（以下，正常通信完了時という）に，OFCによってOFSに生成されるFエントリを，机上で作成した。正常通信完了時のFテーブル0～4を，それぞれ表4～8に示す。 表4 正常通信完了時のOFS1とOFS2のFテーブル0 表5 正常通信完了時のOFS1とOFS2のFテーブル1 表6 正常通信完了時のOFS1とOFS2のFテーブル2 表7 正常通信完了時のOFS1とOFS2のFテーブル3 表8 正常通信完了時のOFS1とOFS2のFテーブル4 表8中の項番2は，イーサタイプがARP，VLAN IDが100及び宛先MACアドレスがFF-FF-FF-FF-FF-FFのパケットを，VLANタグを削除してp1から出力することを示している。 OFSにパケットが入力されると，OFSは表4のFテーブル0の処理を最初に実行する。例えば，図4中のQ社のIPsecルータからOFS1のp2にARPリクエストパケットが入力された場合，そのパケットは，表4中の項番2に一致するので，パケットにVLAN IDが200のVLANタグをセットし，次に表5のFテーブル1で定義された処理を行う。表5のFテーブル1では，項番1に一致するので，当該パケットはPacket-Inメッセージに収納されて，OFCに送信される。OFCは受信したパケットの内容を基に，Flow-ModメッセージでFエントリを生成したり，Packet-OutメッセージなどをOFSに送信したりする。 N主任とJさんは，作成したFテーブルの論理チェックを行い，五つのFテーブルによってテストシステムを稼働させることができると判断した。 パケット転送制御方式の机上作成を通してOFの動作イメージが学習できたので，次に，2人は，実際にテストシステムを構築して，動作検証と性能評価を行うことにした。 設問1 本文中の【ア】～【エ】に入れる適切な字句を答えよ。 設問2 〔従来方式でのサービス基盤の構成案〕について，(1)～(3)に答えよ。 (1) 本文中の下線①の要件が必要になる理由を，30字以内で述べよ。 (2) 本文中の下線②の機能について，アクティブのFWをFWaからFWbに切り替えるのに，FWa又はFWbが監視する内容を三つ挙げ，図2中の機器名を用いて，それぞれ25字以内で答えよ。 (3) 本文中の下線③について，VLANを設定するポート及び設定するVLANの内容を，50字以内で具体的に述べよ。 設問3 本文中の下線④の情報を，15字以内で答えよ。 設問4 〔二つの方式の比較〕について，(1)，(2)に答えよ。 (1) 表1中の項番2について，従来方式の場合，FWでは複数の仮想FWを設定することになる。仮想FWの設定に伴って，各仮想FWに対して設定が必要なネットワーク情報を三つ挙げ，それぞれ15字以内で答えよ。 (2) 表1中の項番3について，従来方式の場合，追加する顧客に対応したVLAN設定がサービス基盤の全ての機器及びサーバで必要になる。その中で，ポートVLANを設定する箇所を，図2中の名称を用いて，40字以内で答えよ。 設問5 〔技術習得を目的とした制御方式の設計〕について，(1)～(4)に答えよ。 (1) 本番システムにおいて，図4の形態で3顧客の仮想サーバを配置した場合に発生する可能性がある問題を，40字以内で述べよ。また，その問題を発生させないための仮想サーバの配置を，40字以内で述べよ。 (2) 表8のFテーブル4中には，FWpの内部側のポートからLBpの仮想IPアドレスをもつポートに，パケットを転送させるためのFエントリが生成されない。当該FエントリがなくてもFWpとLBp間の通信が行われる理由を，70字以内で述べよ。 (3) P社のWebサーバ利用者から送信された，Webサーバ宛てのユニキャストパケットがWebサーバp1に転送されるとき，パケットの転送は，次の【パケット転送処理手順】となる。 【パケット転送処理手順】 ルータ→L2SW→Fテーブル0，項番1→【オ】→FWp→LBp→【カ】→【キ】→Webサーバp1 【パケット転送処理手順】中の【オ】～【キ】に入れる適切なFテーブル名と項番を答えよ。Fテーブル名は，Fテーブル0～4から選べ。また，項番は表4～8中の項番で答えよ。ここで，パケット転送制御を行うOFSは特定しないものとする。 (4) P社のWebサーバp4が物理サーバ2に移動し，表7のOFS1のFテーブル3中の項番5によって，OFCにPacket-Inメッセージが送信されると，OFCは表8のFテーブル4中の二つの項番を変更する。Fテーブル4が変更されるOFS名を全て答えよ。また，項番3のほかに変更される項番及び変更後のアクションを答えよ。