小〜中規模のネットワーク構築 A to Z

２００６年７月２０日

株式会社インターネットイニシアティブ
山口 二郎 (jiro-y@iij.ad.jp)

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

1

目的z データリンク層とネットワーク層の役割を理解する
z 障害が起こりにくいネットワークを設計するにはz ネットワークの冗長化を行うにはz ルーティングが必要な理由
z ダイナミックルーティングが必要な理由
z ダイナミックルーティングの種類と特徴
z 冗長化ネットワークを構築するにはz 広域Ethernetを利用したＷＡＮを構築するにはz インターネットＶＰＮを利用したＷＡＮを構築するには
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

2

発表内容
z データリンク層とネットワーク層の役割
z ハブ、スイッチ、ルータの違い
z ネットワーク設計
z アドレスの割り当てポリシーz スタティックルーティングとダイナミックルーティングの違い
z ダイナミックルーティングの動作原理
z ダイナミックルーティングを用いたバックアップ、バランシングz 広域Ethernetを利用したＷＡＮ構築
z インターネットＶＰＮを利用したＷＡＮ構築
z ネットワーク構築
z ネットワークトラブルシューティング

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

3

ネットワーク表記

HRHz ハブ、スイッチなどは1本の線またはSWで表わします。
z ホストはH、A、B、C、D等で、ルータはR等で表記しますz レイヤ３スイッチなどは説明中ではルータと区別していません
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

4

データリンクフレームとルーティングz ここではデータリンク層とネットワーク層の役割を解説します
z MACアドレス（イーサネットアドレス）とIPアドレスの両方のアドレスが必要な訳
z データリンク層の種類
z ルーティングがなぜ必要なのか
z ルーティングがなくても通信できるのはなぜか

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

5

OSI参照モデルとTCP/IP
OSI参照モデル
７
６
５
４
３
２
１

TCP/IP

アプリケーション層
プレゼンテーション層
セション層
トランスポート層
ネットワーク層
データリンク層
物理層

HTTP,SMTP等
TCP,UDPIP
Ethernet,ADSL,ATM等

ＯＳＩレイヤレイヤ２：データリンク層
レイヤ３：ネットワーク層
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

6

データリンク層の種類
z Multi Access Media （ARP)– MAC(Media Access Control)アドレスを用いて通信を行う– MACアドレスとIPアドレスとの対応はARP(Address Resolution
Protocol)を用いる– Ethernet等

z Multi Access Media (固定)– 特定の識別子とIPアドレスに結び付け、固定的に設定を行う– フレームリレー、ATM等のMulti Access Mode
– EthernetでIPアドレスとMACアドレスを固定的に設定

z Point to Point Media– 通信相手が物理もしくは仮想I/Fで特定されるもの– 64k,128k,1.5M,6M,45M,150M,600M,2.4G,10Gなどの専用線– フレームリレー、ATM等のPoint to Point Mode
– PPPoEを利用したEthernet

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

7

ARPの動作ー１
C

D
Ethernet
B

A
Host
A

IPアドレス
192.168.0.1

MACアドレス
00-00-f8-05-22-c9

Host

IPアドレス

MACアドレスA

192.168.0.1

B

192.168.0.2

不明B

192.168.0.2

不明
00-00-f8-04-c0-11

C

192.168.0.3

不明C

192.168.0.3

不明D

192.168.0.4

不明D

192.168.0.4

不明

Host AのIP/MACアドレス対応表

Host BのIP/MACアドレス対応表

z BはAに通信したいが、BはAのMACアドレスがわからない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

8

ARPの動作ー２

broadcastCD
192.168.0.0/24

Ethernet

ARP message :A

B

192.168.0.1 のMACアドレスは?

Host
A

IPアドレス
192.168.0.1

MACアドレス
00-00-f8-05-22-c9

Host

IPアドレス

MACアドレスA

192.168.0.1

B

192.168.0.2

不明B

192.168.0.2

不明
00-00-f8-04-c0-11

C

192.168.0.3

不明C

192.168.0.3

不明D

192.168.0.4

不明D

192.168.0.4

不明

Host AのIP/MACアドレス対応表

Host BのIP/MACアドレス対応表

z BはAのMACアドレスを尋ねるメッセージをbroadcastする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

9

ARPの動作ー３CD
192.168.0.0/24

Ethernet

ARP message :A

B

192.168.0.1 のMACアドレスは00-00-f8-05-22-C9 です

HostA

IPアドレス
192.168.0.1

MACアドレス
00-00-f8-05-22-c9

Host

IPアドレス

MACアドレスA

192.168.0.1

00-00-f8-05-22-c9

B

192.168.0.2

不明B

192.168.0.2

00-00-f8-04-c0-11

C

192.168.0.3

不明C

192.168.0.3

不明D

192.168.0.4

不明D

192.168.0.4

不明

Host AのIP/MACアドレス対応表

Host BのIP/MACアドレス対応表

z Aは自分のMACアドレスをBに返答する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

10

ARPの動作ー４CD
192.168.0.0/24

Ethernet

宛先：00-00-f8-05-22-c9

A

送信元：00-00-f8-04-c0-11

B

データ：IPデータグラム
Host
A

IPアドレス
192.168.0.1

MACアドレス
00-00-f8-05-22-c9

Host

IPアドレス

MACアドレスA

192.168.0.1

00-00-f8-05-22-c9

B

192.168.0.2

不明B

192.168.0.2

00-00-f8-04-c0-11

C

192.168.0.3

不明C

192.168.0.3

不明D

192.168.0.4

不明D

192.168.0.4

不明

Host AのIP/MACアドレス対応表

Host BのIP/MACアドレス対応表

z BはAに対してデータを送ることができるようになる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

11

Multi Access Media(ARP)−１
z ARP（Address Resolution Protocol)– ARPとはIPアドレスとMACアドレスを対応させるためのプロトコル（
IP以外のプロトコルでも利用されますが、IPに限って説明します）

z IP/MACアドレス表– IP/MACアドレス対応表のことを「ARPテーブル」「ARPキャッシュテ
ーブル」「ARPキャッシュ」などと呼ばれている

z ARPキャッシュ– ARPテーブルに登録されたIP/MACアドレスは一定時間保持（キャッシュ）される– ARPテーブルにIP/MACアドレスが存在するときはARPによる
broadcastは行われずに、ARPテーブルにしたがって通信が行われる。
– 一定時間後、IP/MACアドレスはARPテーブルから削除され、その後通信が行われた場合には再びARPを実施する– キャッシュすることで、ARPによるデータリンク層のbroadcastを抑制している

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

12

Multi Access Media(ARP)−２
z ARPキャッシュのクリア– 機器の交換などでIP/MACアドレス対応に変化がある場合
はARPキャッシュをクリアを行う必要がある場合がある
 arp –d (ホストなど)
 clear arp (ルータなど)– 最近のネットワーク機器やOSは機器交換後に明示的に
ARPキャッシュをクリアしなくても高速にARPキャッシュ反映
されるような実装が増えている

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

13

Multi Access Media(ARP)−３z ARPのメリット– 他の機器のIP/MACアドレス対応表を設定する必要が無い– 機器交換を行ってもARPキャッシュがクリアされれば自動的に反映されるz ARPの運用上の注意点– 機器交換の際にARPキャッシュをクリアしないとすぐに通信できないことがある– broadcastが利用されるため大規模なレイヤ２ネットワークでは帯域を圧迫する– Globalセグメントで多くの利用されていないアドレスが存在す
ると、インターネットから未使用アドレスに対するアクセスによりLANが輻輳することがある
 インターネット上のウイルスに感染したホストなどからのポートスキャンにより発生する(NIMDAなど) 未使用アドレスの個数×リトライ回数のbroadcastが発生する→詳しくは後述
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

14

固定IP/MACアドレス対応表の動作
CD
192.168.0.0/24

Ethernet

宛先：00-00-f8-05-22-c9

A

送信元：00-00-f8-04-c0-11

B

データ：IPデータグラム
Host
A

IPアドレス
192.168.0.1

MACアドレス
00-00-f8-05-22-c9

Host

IPアドレス

MACアドレスA

192.168.0.1

00-00-f8-05-22-c9

B

192.168.0.2

00-00-f8-04-c0-11

B

192.168.0.2

00-00-f8-04-c0-11

C

192.168.0.3

00-60-08-07-07-ac

C

192.168.0.3

00-60-08-07-07-ac

D

192.168.0.4

00-a0-24-4a-7a-12

D

192.168.0.4

00-a0-24-4a-7a-12

Host AのIP/MACアドレス対応表（固定）

Host BのIP/MACアドレス対応表（固定）z IP/MACアドレス対応表は事前に固定的に設定されるため、BはAに対してデータを送ることができる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

15

Multi Access Media(固定）z ARPを用いず固定的に物理アドレスとIPアドレスを結びつける
z ARPを用いないためbroadcastが発生しない
z broadcastが利用できないため、ARPが利用できない
場合に利用
z 機器交換などでIP/MACアドレス対応が変化する場合にはすべての機器の設定を変更する必要がある
z ATMではVPI/VCIを固定的に設定する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

16

Point to Point Mediaの動作
192.168.0.0/24

A
Host
A
B

IPアドレス
192.168.0.1
192.168.0.1以外の192.168.0.0/24

Host Aの通信先

Host
A
B

B
IPアドレス
192.168.0.2以外の192.168.0.0/24
192.168.0.2

Host Bの通信先

z Point to Point Mediaに属しているすべてのネットワークは
相手側に送り出す（ARPや固定アドレス表は不要）
z Point to Point Mediaから来たフレームはすべて受け取るz IP層によってはA、B間をループしてしまうこともある
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

17

Point to Point Media-1
z 自分以外の属しているネットワークに対するすべての通信をPoint to Point Mediaに送り出す
z Point to Point Mediaから来たフレームはすべて受け取る
z 受け取ったフレームはIP層で評価される
z IP層の評価によってはPoint to Point Mediaでループすることもあるz すべてのフレームを選択せずに送り出し、受け取るた
めMACアドレス、broadcastは不要

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

18

Point to Point Media-2
z ATM専用線も設定によりPoint to Point Mediaとして利用することが可能
z ネットワークは一般的に/30もしくはunnumberedが利用される– 192.168.0.0/30 (ネットワーク例)
 192.168.0.1 (Router 1)
 192.168.0.2 (Router 2)– unnumberedインターフェースへのルーティングはインターフェース名などが利用される
 ip route 172.16.0.0 255.255.0.0

2006/7/20

Serial0/0

Copyright © 2006 Internet Initiative Japan Inc.

19

Ethernetを流れるIPデータグラム
C

D
C行

Ethernet

A行

A

B
宛先

Aの MACアドレス

送信元
Bの MACアドレス

ヘッダ部
送信元
Bの IPアドレス

ヘッダ部

2006/7/20

FCS

データ部

データリンクフレーム

Frame Check Sequence

宛先
Aの IPアドレス

IPデータグラムデータ部

Copyright © 2006 Internet Initiative Japan Inc.

20

Connectedなネットワーク
z A、Bは直接同じネットワークに接続している– MACアドレス、IPアドレスの対応表を ARP(address
resolution protocol）などにより持っている↓z これを「connected」な状態という↓z ルーティング設定が不要で、ハブなどで接続すると通信できる
connected

A

B
ネットワーク X

connectedではないR
ネットワーク YC
2006/7/20

D
Copyright © 2006 Internet Initiative Japan Inc.

21

ネットワーク層から見たConnectedな
ネットワーク−１
z Aのアドレス– 192.168.0.1/24

z Aから見たConnectedなアドレス空間– 192.168.0.0 〜 192.168.0.255

z Bに192.168.0.2 〜 192.168.0.254のアドレスを付ける– Bに192.168.0.2を付ける– A-B間の通信が可能
A

通信可能

B
192.168.0.0/24

192.168.0.1/24
2006/7/20

192.168.0.2/24

Copyright © 2006 Internet Initiative Japan Inc.

22

ネットワーク層から見たConnectedな
ネットワーク−２z Aのアドレス– 192.168.0.1/24

z Aから見たConnectedなアドレス空間– 192.168.0.0 〜 192.168.0.255

z Bに192.168.0.2 〜 192.168.0.254以外のアドレスを付
ける– A-B間の通信ができない
通信不可
A

B

192.168.0.1/24
2006/7/20

172.16.1.1/16

Copyright © 2006 Internet Initiative Japan Inc.

23

Connectedではないネットワーク−１
z A、Cはそれぞれ異なるネットワークに接続しているた
め connectedではない
z ルーティング設定なしではA、C間の通信はできない
Aのルーティングテーブル

Cのルーティングテーブル

destination Next Hop 到達性
X
Connected 到達可
Y
なし
到達不可

destination Next Hop 到達性
X
なし
到達不可
Y
Connected 到達可AB
ネットワーク X

通信不可

R
ネットワーク YC
2006/7/20

D
Copyright © 2006 Internet Initiative Japan Inc.

24

Connectedではないネットワーク−２z ルーティング設定を行なう– A: ネットワークYを Rにルーティング– C: ネットワークXを Rにルーティングz これにより、A⇔C間の相互通信が可能となる– Rは A,C共に connectedなため、アドレスを設定するだけで通信が可能Aのルーティングテーブル

Cのルーティングテーブル

destination Next Hop 到達性
X
Connected 到達可YR到達可destination Next Hop 到達性
X
R
到達可
Y
Connected 到達可AB
ネットワーク Y

通信可能

ネットワーク X

R
ネットワーク Y

ネットワーク X

C
2006/7/20

D
Copyright © 2006 Internet Initiative Japan Inc.

25

データリンクフレームの状態
MACアドレス

IPアドレス

A
XA
XR

IA

E-Dest

E-Src

IP-SrcIP-Dest

XR

XA

IA

IC

データ

FCS

YC

YR

IA

IC

データ

FCS

IR0

R
YR

IR1

YC

IC

C

IPデータグラム
Ethernetデータリンクフレームz IPデータグラムの宛先、送信元は途中で変化しない
z データリンクフレームはルータを通過する毎に変化する
z 「データリンクフレームの宛先」＝「IPデータグラムの宛先」とは限らない2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

26

ネットワーク用語のまとめ
z Destination、Destination Address– 目的地という意味、ネットワークでは文字どおり目適地アドレス、
宛先アドレスとして扱われる。Destination（デスティネーション）とそのまま使われることが多い。経路制御ではアドレスだけでなくマスク情報を含んだネットワーク情報もDestinationとして扱われる。

z NEXT HOP、NEXT HOP Address– 次に配送すべきアドレス。ルータやホストはDestinationがConnectedでない場合に次に配送すべきアドレス（NEXT HOP）
を参照してＩＰパケットを送信する。IPパケットを受け取ったルータ
やホストはその次に配送すべきアドレス(NEXT HOP)に送信し、これらを繰り返してDestinationに到達する。

z ルーティング、ルーティング情報– 経路。DestinationとNEXT HOPをペアとしたもの。

z ルーティングテーブル– ルータやホストが持っているルーティングの一覧

z ルーティングする– ルータが正常にルーティングテーブルに基づいてＩＰパケットを送り出している状態「このルータはきちんとルーティングしている」

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

27

データリンクフレームとルーティングのまとめ
z データリンク層、ネットワーク層共にConnectedな状態であればルーティング設定をせずに通信が可能
z Connectedでないネットワーク、ホストとの通信には必ずルータの設置、ルーティング設定が必要
z IPデータグラムの宛先、送信元は途中で変化しな
いz データリンクフレームはルータを通過する毎に変化する
z 「データリンクフレームの宛先」＝「IPデータグラムの宛先」とは限らない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

28

スイッチとルータの機能の違い
z ハブとスイッチの機能の違い
z スイッチを有効に使う方法
z ルータを利用するための設定
z ネットワーク設定の自動化
z スイッチとルータの違い
z スイッチの耐障害性
z ルータの耐障害性
z Broadcast flood問題
z スイッチの耐ウイルス障害性z ルータの耐ウイルス障害性2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

29

ハブとスイッチの違い-1
ハブで構成した場合
A

B
ハブ
A行

C

D

z ハブは全てのポートが常時接続された状態になっている
z このため異なるポート間の通信を、通信に関係の無い他のポートに伝播して、他の通信を妨げる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

30

ハブと スイッチの違い-2スイッチで構成した場合
A

B
スイッチ
A行

C

D

z スイッチは、ポート毎に接続されている機器のMACアドレスを学習し、通信時には必要なポート間のみで通信する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

31

スイッチを有効に使うにはサーバ
1000BaseT
スイッチ
8ポートx100BaseTX

A

B

H

z 主にサーバ、ホスト間のトラフィックの場合に有効
z A ⇔ サーバ:

それぞれ100BaseTXをフルに利用可能

H ⇔ サーバ

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

32

ルータを利用するための設定−１
サーバ
ネットワーク A

C
ネットワーク C

ネットワーク B,Cネットワーク A,BR
ネットワーク A,Cネットワーク A,Cネットワーク B
AB

z ネットワークをサブネットに分割する
z 通信相手のネットワークのルーティングを設定する– DHCP,ダイナミックルーティングプロトコルなどで自動化することもできる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

33

ルータを利用するための設定−２
DHCPサーバC

ネットワーク A

ネットワーク CR

DHCP Relay

ネットワーク BABz DHCPサーバ設定– DHCPサーバは同一ネットワークに存在する必要がある– ルータのDHCP Relay設定により異なるネットワークでもDHCPを利用できる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

34

ネットワーク設定の自動化
z DHCP（Dynamic Host Configuration Protocol)– アドレスの自動割り当てを行う– RFC2131– 主にクライアントで用いられる– Renumberを自動的に行うため、ポータビリティがある

z ダイナミックルーティングプロトコル– 自動的にルーティングが設定される– 主にルータ間で用いられる– RIP,RIP2,OSPFなどがある– 障害時に迂回路などを自動的に選択する
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

35

スイッチとルータの違い
サーバC

ネットワーク A

ネットワーク C
R
ネットワーク BAB

z ルータは、あるネットワーク間の通信を他の関係の無いネットワークに伝播しない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

36

スイッチとルータの機能の違い
z ハブとスイッチの機能の違い– スイッチは異なるポートの通信を他のポートに伝播しない

z スイッチとルータの違い– ルータは異なるネットワークの通信を他のネットワークに伝播しない– スイッチとは異なり、ルーティングの設定が必要– サブネット分割が必要

z スイッチを有効に使うには– トラフィックが集中するようなポートにはスイッチを導入する

次に問題点について検討する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

37

スイッチの耐障害性-1
サーバ

C

ネットワーク A

ネットワーク C
Switchネットワーク B
A

B←サーバと同じIPアドレス

誤ってサーバのIPアドレスを付けたBを設置すると・・

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

38

スイッチの耐障害性-2
サーバ

C

ネットワーク A

ネットワーク C
全てのホストがサーバにSwitchアクセスできなくなる

ネットワーク B
A

B←サーバと同じIPアドレス

z スイッチでは、1クライアントの間違った設定の影響がネットワーク全体に及ぶ

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

39

ルータの耐障害性-1
サーバ

C

ネットワーク A

ネットワーク C
Bのみサーバと通信できないR

ネットワーク B
A

B←サーバと同じIPアドレス

z ルータでは、1クライアントの間違った設定があったとしても、ネットワーク全体に影響を与えることはない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

40

ルータの耐障害性-2
サーバ

C

ネットワーク A

ネットワーク C
ネットワークBのみ
サーバと通信できないR

ネットワーク B
A

B←ルータと同じIPアドレス

z 最悪の場合でも、ルータでは1クライアントの間違った設定の影響は同一セグメント内にとどまる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

41

Broadcast Flood-1
サーバ

C

BroadcastパケットはスイッチのSwitch

全てのポートに影響を与える

BroadcastAB

z ホスト数が増えると、broadcastパケットも無視できない
トラフィックとなる
z Windows系の OSはこのようなbroadcastパケットを大量に発生させる傾向がある

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

42

Broadcast Flood-2
サーバ

C

ルータは BroadcastパケットをR

他のネットワークに通さない

BroadcastA

B

z Broadcast floodは発生しない
z 大規模ネットワークにも対応

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

43

スイッチの耐ウイルス障害性-1
サーバ

C

ネットワーク A

ネットワーク C
Switchネットワーク B
A

B←ウイルスに感染

Bがウイルスに感染すると・・

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

44

スイッチの耐ウイルス障害性-２
サーバ

C

ネットワーク A

ネットワーク C

多量のarp(broadcast)が発生

A

Switchネットワーク B←存在しないホストへの多量のアクセスBz ウイルスの感染によって存在しないホストへの多量のアクセスが発生する
z 存在しないホストへのアクセスは多量のarp(broadcast)を発生させる
z arp(broadcast)はSwitchのすべてのポートを占有する
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

45

スイッチの耐ウイルス障害性-３
サーバ

C

ネットワーク A

ネットワーク C
ネットワークが輻輳し、ネットワーク全体が使用不能となる

Switchネットワーク B
A

B←ウイルスに感染

z スイッチのみの構成では、1台のウイルス感染がネット
ワーク全体を使用不能にする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

46

ルータの耐ウイルス障害性-1
サーバ

C

ネットワーク A

ネットワーク C
ネットワークBのみ
輻輳が発生

R

ネットワーク B
A

B←ウイルスに感染

z ルータでは、ウイルス感染ホストによる多量のarp(broadcast)の影響は接続ネットワークに限られる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

47

ルータの耐ウイルス障害性-2
サーバ

C

ネットワーク A

ネットワーク C
ネットワークA、Cも影響を受けるが、ネットワークBより大きく軽減されるR

ネットワーク B
A

B←ウイルスに感染

z ルータを越えるパケットも存在するが、ネットワークBに比べるとネットワークA、Cへの影響は小さくなる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

48

ルータの耐ウイルス障害性-3
サーバ

C

ネットワーク A

ネットワーク C

ルータに存在しないホストへのアクセスを停止する設定を行うネットワークA、Cの輻輳を防ぐことができるR

ネットワーク B
A

B←ウイルスに感染

z 存在しないホストに対するフィルタをルータに行うことでネットワー
クA、Cに対する輻輳を防ぐことができる
z ネットマスクをできる限り小さくすることでフィルタと同様の効果を得ることができる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

49

ウイルス感染によるネットワーク輻輳の仕組み

ウイルスの感染近隣アドレスへの多量のアクセス

arpのbroadcast
多量のarpが発生

によりネットワークが輻輳z ウイルスの感染– メール、Web、持ち込みPCなどでLAN内にウィルス感染PCが接続される

z 近隣アドレスへの多量のアクセス– ウイルス感染PCよりLANに割り当てられている近隣のアドレスに対して多量のアクセスを試みる

z 多量のarpが発生– ネットワークに存在しているホストに対してはarpは１度だけ実行される– 接続可能な状態にもかかわらずネットワークに存在していないホストに対しては毎回arpが実行される

z arpのbroadcastによりネットワークが輻輳– 未使用アドレスの個数×リトライ回数(通常8回程度)のbroadcastが発生する– 50台ほどのホストが接続されている状態でのbroadcastの状況は

ネットマスク/24利用で(256-50)×8=1,648回のbroadcast
ネットマスク/16利用で(65536-50)×8=523,888回のbroadcast– さらに複数感染した場合には感染PC数を乗じたアクセスとなる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

50

ウイルス感染によるネットワーク輻輳の対策
感染PCと同じネットワーク
スイッチ経由での接続

ネットマスクを最小に変更

ウイルスの感染arpのbroadcastを最小にして、
輻輳を回避

近隣アドレスへの多量のアクセス

感染PCと異なるネットワーク
対策ルータ経由での接続

ルータにて存在

arpのbroadcast

しないホストへのを止め、アクセスをフィルタ

輻輳を回避

z ルータにて存在しないホストへのアクセスをフィルタ– ルータにて存在しないホストへのアクセスをフィルタすることでarpの発生を止め、輻輳を回避することができる

z ネットマスクを最小に変更– ネットマスクを最小にすることで、arpの発生を最小限にし、輻輳を回避することができる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

51

スイッチ VS ルータ
z スイッチの利点– ルーティングを考慮しなくて良い– ハブに比べて効率的なネットワークを構築することができる

z ルータの利点– ダイナミックルーティングプロトコルでバックアップ構成が可能– Broadcast floodが発生しない– ウイルス感染によるネットワーク輻輳を回避できる– 規模が大きくなってもスケールする– 障害時に被害を最小限に抑えることができる– 障害時の切り分け作業が比較的行いやすい

z 結論– ルータでサブネット化を行い、トラフィックが集中するようなポートにはスイッチを導入する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

52

ネットワーク設計-1
左図ネットワーク構成の特徴
サーバ

z 小規模であってもサーバのセグメントを分離する→サーバの安全性を確保するR

H

2006/7/20

Hz クライアントはDHCPによりアドレスの割り当てとdefault経路を得る
H

z Broadcast floodのサーバへの影響を防ぐ

Copyright © 2006 Internet Initiative Japan Inc.

53

ネットワーク設計-2
サーバの増設z サーバセグメントの安全性を保ちつつ
増設する

サーバ

サーバ

z クライアントセグメントのbroadcast を
そのセグメント内に留められるため
broadcast flood現象の発生を抑制で
きる

R

H

H

H

H

H

H
ネットワークの追加

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

54

ネットワーク設計-3
サーバ

サーバ

サーバ

サーバセグメントの増設

サーバ

z さらにセグメントを増設する際は、バックボーンセ
グメントを高速化するだけで、対応が可能

R

R
バックボーンセグメント
100BaseTXスイッチ、
ギガビットイーサ等

H

R

R

H

H

H

H

H

H

z スイッチングベースのネッ
トワークから、左図のような大規模ネットワークに拡張する場合、リナンバ
リングが避けられないH
さらにネットワークを追加

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

55

ネットワーク設計のまとめ
z スケーラビリティを考慮するとサブネット化は不可欠
z 安全性を考慮してサーバは別のセグメントに
z トラフィックの集中するサーバ、ルータなどにはスイッチを導入する
z 規模の拡大を見越したネットワークトポロジの設計

ネットワーク規模拡大を考慮したアドレス割り当て

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

56

アドレスの割り当てポリシーとは
z 規模の拡大を想定しネットワークアドレスの組織内割り当てを考えるz 最適なネットマスクでの利用
z 最適なIPアドレスの割り当て方法– ネットマスク変更法– サブネット追加法

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

57

最適なネットマスクでの利用
z ホスト数 50台を想定したネットワーク– 172.16.0.0/16 利用の場合未使用IPアドレス 65484
 ウイルス感染などによるarp broadcast floodの発生状況
—65484 × 8 = 52万回程度のbroadcastが発生– 192.168.0.0/24 利用の場合未使用IPアドレス 234
 ウイルス感染などによるarp broadcast floodの発生状況
—204 × 8 = 1632回程度のbroadcastが発生– 192.168.0.0/26 利用の場合未使用IPアドレス 12
 ウイルス感染などによるarp broadcast floodの発生状況
—12 × 8 = 96回程度のbroadcastが発生

z 最適なマスク設定の必要性– 拡張性のために大きめのネットワークである/16や/24を設定す
るとウイルス感染時に脆弱なネットワークとなってしまう– broadcastはスイッチであってもすべてのポートを占有するため、少量のパケットでも輻輳が発生しやすい。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

58

最適なネットマスクでの利用
z 拡張性を持たせつつ、マスクを最長(最少ネットワーク)にするにはどうすれば良いか– 拡張性を持たせるには未使用IPアドレス空間を持たせる必要がある– 未使用アドレス空間を大きくしすぎるとウイルス感染時に脆弱なネットワークとなってしまう

最適なIPアドレス割り当てをどうすべきか？

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

59

ネットマスク変更法1
予約IPアドレス

利用IPアドレス192.168.0.0/26

192.168.0.0/25

192.168.0.0/24

z ネットマスク変更法によるネットワーク拡張– 最初から/24程度まで拡張することを前提にIPアドレスを予約する– 実際に利用するIPアドレスは/26空間のみとし、/26で不足する場合には/25、/24とマスクを拡張していく– /24以上の大きさに対してはサブネット追加を行う
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

60

ネットマスク変更法2
R1
SW1

R1

R1
48 port192.168.0.0/26

SW1

48 portSW1

48 portSW2

48 portSW2

48 portSW3

48 port192.168.0.0/25

192.168.0.0/24

z ネットマスク変更法によるネットワーク拡張– マスク変更を前提とした割り当てはL2ネットワークを拡張していく必要があるため、カスケードされたL2ネットワークとなる場合が多い– カスケードされたL2ネットワークは障害箇所の特定などが困難となるだけでなく、broadcastドメインを大きくし、パフォーマンスを低下させる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

61

サブネット追加法1

192.168.0.128/26

192.168.0.64/26

192.168.0.64/26

192.168.0.0/26

192.168.0.0/26

利用IPアドレス192.168.0.0/26

z サブネット追加法によるネットワーク拡張– 実際に利用するIPアドレスは/26空間のみとし、/26が不足した場合には/26サブネットを別に構築する– 追加されたネットワークはルータなどを経由してトラフィック交換されるため、L2接続に依存したアプリケーションは利用できない
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

62

サブネット追加法2
R1

R1

R1

SW1

48 port192.168.0.0/26

SW1

48 portSW1

48 port192.168.0.0/26

192.168.0.0/26

SW2

SW2

48 port192.168.0.64/26

48 port192.168.0.64/26

SW3

48 port192.168.0.128/26

z サブネット追加法によるネットワーク拡張– サブネット追加による拡張では、スイッチの物理ポートとサブネット
が対応し、スイッチの増設に合わせてサブネットも追加される– broadcastドメインの広さ(L2ネットワークの大きさ)を一定の大きさに保つことができるため、安定した拡張を行うことができる– 管理しやすくするために/24を予約して、/26だけ使っても良い
スペース重視： 管理重視：

2006/7/20

192.168.0.0/26, 192.168.0.64/26, 192.168.0.128/26
192.168.0.0/26, 192.168.1.0/26, 192.168.2.0/26

Copyright © 2006 Internet Initiative Japan Inc.

63

IPアドレスの割り当てポリシーz ネットマスク変更法によるネットワーク拡張– 最初から/24程度まで拡張することを前提にIPアドレスを予約する– 実際に利用するIPアドレスは/26空間のみとし、/26で不足する場合には/25、/24とマスクを拡張していく– L2ネットワークをそのまま拡張できるため、L2接続に依存したアプリケーションも対応可能– マスク変更時には同一サブネットの既存ホストの変更が必要となるため、拡張時に負担がかかる

z サブネット追加法によるネットワーク拡張– 実際に利用するIPアドレスは/26空間のみとし、/26が不足した場合には/26サブネットを別に構築する– 追加されたネットワークはルータなどL3レベルでトラフィック交換される
ため、L2接続に依存したアプリケーションは利用できない
L2接続に依存したアプリケーションとは、IPアドレスを付与せずにプリンタ出力できたり、ファイル交換するアプリケーションがあげられる。
 このようなアプリケーションはネットワーク拡張に支障をきたすことが多い– ネットワークを設計するうえで、あらかじめ24portや48port HUBごとに
サブネット化する仕様としておけば容易に拡張することができる– L3レベルでのトラフィック交換を前提としたアプリケーション利用とする必要がある– 管理しやすくするために/24を予約して、/26だけ使っても良い
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

64

インターネットへの接続形態
Internet
Internetdefault WWWサーバ等
サーバ

ISPによりルーティング
ISPによりルーティング

通信可能
defaultz DefaultとはR– コンピュータ、インターネット業界用語– 特に指定が無い場合に選択される指定のこと– 債務不履行ではない

defaultAz Internet接続したルータに defaultルートを向けることにより、internet上のサーバ群と通信が行える
z Internet接続にはルーティングは必須

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

65

インターネット接続事例ーAInternet
Internetz サーバレス運用– ISPのDNS,Mail,Webサー
ビスを利用

GlobalNAT

Rz セキュリティ

PrivatePC

2006/7/20

PC– 低い– ルータのNAT機能に依存– 重要なデータをPCに置けない

Copyright © 2006 Internet Initiative Japan Inc.

66

インターネット接続事例ーB
Internet
Internetz 自社サーバ運用
z 外部サーバ– DMZ（Demilitarized Zone)に設置– 公開Web– 外部DNSR
GlobalDMZ

z 内部サーバFW
Private外部サーバ– Mail– 内部DNSz セキュリティ– 標準的Private内部サーバ

2006/7/20

PC

PC

Copyright © 2006 Internet Initiative Japan Inc.

67

インターネット接続事例ーCInternet
Internetz 自社サーバ運用
z 外部サーバ– DMZ（Demilitarized Zone)に設置– 公開Web– 外部DNSR
GlobalDMZ

FW
Privatez 内部サーバR

外部サーバ– Mail– 内部DNSz セキュリティ– 標準的Privatez 内部サーバの保護
内部サーバ

2006/7/20

PC

PC

Copyright © 2006 Internet Initiative Japan Inc.

68

インターネット接続事例ーD
z 自社サーバ運用

Internet
Internetz 外部サーバ

R

R

Global

DMZ

FW

FW

z 内部サーバ– Mail– 内部DNS

外部サーバ

Private– DMZ（Demilitarized Zone)に設置– 公開Web– 外部DNSRR

z セキュリティ– 標準的

z 内部サーバの保護
z 回線、機器の二重化

内部サーバ

PC
2006/7/20

PC– HSRP,VRRPの利用

Copyright © 2006 Internet Initiative Japan Inc.

69

ネットワーク拡張（スター型）
R

Network A
Network B
Network C

z スター型拡張– スター型のネットワーク拡
張はルーティングを単純化できるだけでなくポリシー制御も容易なため、小規模から大規模まで幅広く利用されれいるz 特徴
Network X

ネットワーク拡張の基本であり、特別な事情がない限り、まずこの形式を検討すべきである

2006/7/20– ルーティングが容易– ポリシー制御が容易– 大規模となると集約されるルータを高性能化する必要がある– 多くのネットワークを収容できるルータが必要となるが、VLANなどの利用で安価に構成できるようになった

Copyright © 2006 Internet Initiative Japan Inc.

70

ネットワーク拡張（数珠型）
Network A

R

Network B

R

A，B
Network C

R

PCX
Network X

z 数珠型拡張– フロアやビル間などを１つのネットワークで構成し、かつ、そのネットワーク上にクライアントが繋がれる
モデル

z 特徴
– 大規模になるにつれてルーティングが複雑になる– ダイナミックルーティングとスタティックルーティングが混在し、誤動作する恐れがある

物理的にこの形式しか組めない場合を除いて避けるべき構成である

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

71

ネットワーク拡張（L2バックボーン型）
R

Network A

R

Network B

z L2バックボーン型拡張– １つのLayer 2をルータが共有し、PCやサーバとルータを混在させないように
する。

z 特徴
R

Network C

R

Network X

ルータのみに接続するバックボーン

ネットワーク– ルーティングはルータのみで行えるため、スタティックからダイナミックまで拡張が可能– １つのLayer 2を共有する
ため、長距離の伝送が難しい– １つのLayer 2が大きくなりすぎる前にバックボーンの階層化を検討する必要がある

同一構内などのLAN接続などに有効に利用できる2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

72

ネットワーク拡張（L３バックボーン型）
R

Network A

R

Network B

z L３バックボーン型拡張– ルータ間をPoint to Point
ネットワークで接続し、るーたのみのバックボーン
ネットワークを構築する

z 特徴
R

Network C

R

Network X

ルータのみに接続する

バックボーンネットワーク– ルーティングはルータのみで行えるため、スタティックからダイナミックまで拡張が可能– 専用線などが利用でき、長距離の伝送が容易– L2バックボーンに比べて高価なため、拠点間などの長距離に用いる拠点間などに利用される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

73

ネットワーク拡張事例
Internet

R
SV

SV

PC

スター型

FW
R

R

R

R

L2バックボーン型

R

L3バックボーン型
R

R
PC

スター型

スター型
PC

2006/7/20

PC

PC

PC

Copyright © 2006 Internet Initiative Japan Inc.

74

経路制御解説
ここではダイナミックルーティングの原理について解説します
z 静的経路制御（スタティック）、動的経路制御（ダイナミック）の特徴
z ダイナミックルーティングの動作原理
z ダイナミックルーティングの種類、特徴
z RIP解説z VLSMz OSPF解説

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

75

静的な経路制御と動的な経路制御
z 静的（スタティック）な経路制御の特徴– 手作業により固定的に経路を設定する– 安定している– トラフィックや伝送障害の影響を受けない– ルーティングプロトコルのためのトラフィックが発生しない

z 動的（ダイナミック）な経路制御の特徴– 自動的に経路を設定する– ネットワークの変化に対応できる– 自動的に最適経路を選択できる– 自動的にバックアップ経路を選択できる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

76

スタティックルーティングによるネットワーク構築
スタティックルーティング

Internet

すべてのDestinationアドレス、

本社

Next HOPを設定

Ｒ
R
R
R

Ａ支社
R

C支社
R

R
R

2006/7/20

Ｂ支社

R R

R

Copyright © 2006 Internet Initiative Japan Inc.

77

ダイナミックルーティングによるネットワーク構築
ダイナミックルーティング

Internet

I/F単位ごとに利用の有無を設定

本社
Ｒ
R
R
R

Ａ支社
R

C支社
R

R
R

2006/7/20

Ｂ支社

R R

R

Copyright © 2006 Internet Initiative Japan Inc.

78

スタティックルーティングの設定
Network D

Network E

R4

R5
Network X

R1

R2

R3

Network A

Network B

Network C

R1

R2

R3

R4

R5

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

B

R2

A

R1

A

R1

A

R1

A

R1

C

R3

C

R3

B

R2

B

R2

B

R2

D

R4

D

R4

D

R4

C

R3

C

R3

E

R5

E

R5

E

R5

E

R5

D

R4

z スタティックルーティングはそれぞれのルータに設定する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

79

スタティックルーティングの追加
Network D

Network E

Network F

R4

R5

R6
Network X

R1

R2

R3

Network A

Network B

Network C

R1

R2

R3

R4

R5

R6

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destina
tion

Next
Hop

Destination

Next Hop

B

R2

A

R1

A

R1

A

R1

A

R1

A

R1

C

R3

C

R3

B

R2

B

R2

B

R2

B

R2

D

R4

D

R4

D

R4

C

R3

C

R3

E

R5

E

R5

E

R5

E

R5

C

R3

D

R4

D

R4

F

R6

F

F

R6

F

R6

F

R6

E

R5

R6

z ネットワークが追加されると全てのルータに設定を追加する必要がある
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

80

ダイナミックルーティングの設定
Network D

Network E

R4

R5
Network X

R1

R2

R3

Network A

Network B

Network C

R1

R2

R3

R4

R5

Protocol

Net

Protocol

Net

Protocol

Net

Protocol

Net

Protocol

Net

OSPF

X

OSPF

X

OSPF

X

OSPF

X

OSPF

X

OSPF(p)A

OSPF(p)

B

OSPF(p)C

OSPF(p)D

OSPF(p)Ez ダイナミックルーティングの設定は利用するプロトコルとネッ
トワークを指定する
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

81

ダイナミックルーティングの追加
Network D

Network E

Network F

R4

R5

R6
Network X

R1

R2

R3

Network A

Network B

Network C

R1

R2

R3

R4

R5

R6

Protocol

Net

Protocol

Net

Protocol

Net

Protocol

Net

Protocol

Net

Protocol

Net

OSPF

X

OSPF

X

OSPF

X

OSPF

X

OSPF

X

OSPF

X

OSPF(p)A

OSPF(p)

B

OSPF(p)C

OSPF(p)D

OSPF(p)E

OSPF(p)Fz ネットワークが追加された場合には追加されたネットワーク
が接続されているルータのみに設定すればよい
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

82

ルーティング設定まとめ
z スタティックルーティングの場合はバックボーンに新しいルータ、ネットワークが接続されると同じバックボーンを利用しているルータ全てに設定を行う必要がある
z ダイナミックルーティングを導入すると新規導入する
ルータにのみ設定を入れればよい
z ダイナミックルーティングを利用すると自動的にバックアップできる
z 中規模、大規模のネットワークにはダイナミックルー
ティングを導入したほうが良い

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

83

ダイナミックルーティング：経路情報の伝播
Internet

R1

default

R2

2006/7/20

R3

Copyright © 2006 Internet Initiative Japan Inc.

84

ダイナミックルーティング：伝播後の経路情報
Internet

R1

default routeR2

2006/7/20

R3

Copyright © 2006 Internet Initiative Japan Inc.

85

ダイナミックルーティングプロトコルの種類
zRIP–RFC1058

zRIP２–RFC2453

zOSPF–RFC2328

zBGP4–RFC1771

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

86

RIP
z Routing Information Protocol version 1
z RFC1058
z アドレスのみの伝播– VLSM使用不可

z ベクトル距離経路制御
z Broadcastのみ
z UNIXに標準添付されている（routed）

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

87

RIP2
z Routing Information Protocol version 2
z RFC2453
z netｍaskを伝播できる– VLSM使用可能

z ベクトル距離経路制御
z RIPと互換性があり、併用も可能
z Multicastを利用可能– ホストの軽減を図る

z 最近では対応したroutedがある
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

88

OSPF ‐1z Open shortest path firstz RFC2328
z Protocol 89– TCP（protocol 6)でもUDP(protocol 17)でもない

z netmaskを伝播できる– VLSM利用可能

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

89

OSPF ‐2z Multicast(224.0.0.5/224.0.0.6)を利用する
z Load-balancingを行う
z UNIX標準で添付されていない– gated等をインストールする必要がある

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

90

BGP4 ‐1z Border Gateway Protocol version 4z RFC1771
z TCP 179z EGPとしてのEBGPとIGPとしてのIBGPがある
z AS pathの長さにより経路を選択する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

91

BGP4 ‐2z 複数の経路が存在する場合は最適経路のみ伝播するz Load-balancingは行わない
z Updateプロトコルである
z Aggregateできる。Classless InterDomain Routing(CIDR)対応※ＢＧＰはここでは扱いません

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

92

ダイナミックルーティングの解説
z RIPを理解する– RIPを理解すれば、OSPF、BGP4を概念的に理解することは容易

z 現場ではいまだにRIPが使用される場合がある– OSPFを利用できないルータが存在するため– Defaultだけを流すのでRIPで十分

z OSPF解説– RIPの知識をベースに解説します

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

93

RIPの動作原理 -1

ベクトル距離経路制御(vector-distance/Bellman-Ford)

vector=destination(ネットワーク)
distance=HOP count(通過したルータの数)

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

94

ルータを通る度にdistanceが１追加される

192.168.1.0

RIP

Ｒ1

RIP

Ｒ2

Dest=192.168.1.0
Dist= 0

Dest=192.168.1.0
Dist= 1

Ｒ3
Dest=192.168.1.0
Dist= 2

Dest=Destination
Dist= Distance

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

95

同じdestinationの場合はdistanceが小さい方を選択小さい方を選択

Dist= 0192.168.1.0

Dist= 1

RIP

RIP

R1

Dist= 2

R3

R2

選択されないDist= 3

R4

R5
RIP

RIP
Dist= 1

RIP

Dist= 2

同じDestination同じDistanceの場合は最初に到着した経路を選択
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

96

３０秒ごとにbroadcastされる
192.168.4.0
30秒に１回R1
1

192.168.2.0
2

3

4

5

R2

R3

R4

R5

192.168.4.0

192.168.4.0

192.168.4.0

192.168.4.0

192.168.2.1

192.168.2.1

192.168.2.1

192.168.2.1

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

97

3分間経路が到着しないと経路は削除
される
R1

障害が発生！！ → １８０秒経過

2

3

4

5

R2

R3

R4

R5

192.168.4.0

192.168.4.0

192.168.4.0

192.168.4.0

192.168.2.1

192.168.2.1

192.168.2.1

192.168.2.1

削除

削除

削除

削除

RIPで得られた経路情報は１８０秒
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

98

ＲIPの動作原理-2
z ネットワーク障害時には3分間で経路が切り替わる。 複数ルータがある場合には3分×ルータ数
z RIPはネットマスクを伝播しない
z クラスフルなマスクと見なされる– 利用可能な例

2006/7/20



192.168.1.0/24



172.16.0.0/16



10.0.0.0/8

Copyright © 2006 Internet Initiative Japan Inc.

99

ＲIP伝播Internet
192.168.2.0
192.168.3.0

R1

192.168.4.0

default

default

192.168.1.0/24

192.168.4.0

R4192.168.4.0/24

192.168.1.0
192.168.4.0

R2

default

192.168.2.0
192.168.3.0
192.168.3.0

192.168.2.0/24

R3
192.168.3.0/24

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

100

ＲIP伝播後の経路情報
Internet
192.168.2.0
192.168.3.0

R1

192.168.4.0

default

default

192.168.1.0/24

192.168.4.0

R4192.168.1.0
192.168.4.0

R2

default
192.168.4.0/24

192.168.2.0
192.168.3.0
192.168.3.0

192.168.2.0/24

R3
192.168.3.0/24

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

101

ＲIPの動作原理-3

z 利用不可能な例– 192.168.1.0/26– 172.16.0.0/24

z 0.0.0.0というアドレスはdefaultとして機能する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

102

ＲIPのまとめ-1
z ベクトル距離経路制御(vector-distance/bellman-ford)– Vector=destination(ネットワーク)– Distance=hop count(通過したルータの数)

z ルータを通る度にdistanceが1追加される
z 同じdestinationの場合はdistanceが小さい方を選択
z 同じdestination同じdistanceの場合は最初に到着した経路を選択

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

103

ＲIPのまとめ-2
z 30秒ごとにbroadcastする
z 3分間経路が到着しないと経路は削除
される
z ネットワーク障害時には3分間で経路が切り替わる。
– 複数ルータがある場合には3分×ルータ数

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

104

VLSM(Variable Length Subnet Mask)
z ネットワーク例– 192.168.5.0/26– 192.168.5.64/26– 192.168.5.128/25
z 192.168.5.1が192.168.5.128を受け取った場合– 192.168.5.128/26と誤認する– 192.168.5.192〜192.168.5.255がルーティングされない
z RIPだけではVLSMに対応できない– VLSM対応には RIP2、OSPFを利用

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

105

ルータでのRIP制御
z 聞く 広告2006/7/20○○ RIPのみで運用可能

×○

defaultのみ広告を行うなどで利用○

×

defaultを告知しない場合に利用

Copyright © 2006 Internet Initiative Japan Inc.

106

RIPを用いたバックアップ-経路の伝播（定常時）
A-Dist：１
B-Dist：２
Net. A
A-Dist：０
B-Dist：３

R1

R2
Net. B
Net. B

Net. A
メイン回線

A-Dist：２
B-Dist：1

R3

Net. A

R4
Net. A

Net. A

R5
A-Dist：１
B-Dist：３

Net. B A-Dist：３
B-Dist：０

Net. A

Net. B

R6
Net. B

Net. B

Net. A

サブ回線

Net. A

Net. B

A-Dist：２
B-Dist：２

R7
Net. B A-Dist：３
B-Dist：１

他方よりもDistanceが大きいため選択されない
z RIPを利用し、主にバックアップを目的とした構成
z 通常時はメイン回線のみを利用する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

107

RIPを用いたバックアップ -ルーティングテーブル（定常時）Net. B

Net. A

R2

Net. A

メイン回線

Net. A

Net. B

R1
Net. A

R4

Net. B

Net. B

Net. A
Net. A

サブ回線

Net. A

Net. B

R3

R5

R6Net. B

R7
Net. Bz RIPの経路情報が伝播することにより、各ルータに経路情報が設定される
z Distanceの違いから、メイン回線側の経路が選択される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

108

RIPを用いたバックアップ-トラフィックの流れ（定常時）Net. B
R2

メイン回線

R3
R4

R1
サブ回線

Net. AR5

R6

R7z 通常時はメイン回線のみが利用される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

109

RIPを用いたバックアップ-経路の伝播（障害時）A-Dist：１
B-Dist：４
Net. A

障害発生

Net. A

R4

Net. A
Net. B

Net. A

Net. A

R5
A-Dist：１
B-Dist：３

R6
Net. B

Net. B

Net. A

サブ回線

Net. A

Net. B A-Dist：４
B-Dist：０

R3

R2

A-Dist：０
B-Dist：４

R1

Net. B

A-Dist：５
B-Dist：1

A-Dist：２
B-Dist：２

R7
Net. B

A-Dist：３
B-Dist：１

z メイン回線に障害が発生したため、経路情報の伝播が変化する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

110

RIPを用いたバックアップ-ルーティングテーブル（障害時）障害発生
Net. A

Net. B
Net. B

R3

R2

R4Net. A

R1

Net. B

Net. A

Net. A

Net. A

サブ回線

Net. A

Net. A

R5

R6
Net. B

Net. B

R7
Net. Bz 経路情報の伝播が変化するため、各ルータに設定されている経路情報が変更される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

111

RIPを用いたバックアップ-トラフィックの流れ（障害時）障害発生

Net. B
R3

R2

R4
R1
サブ回線

Net. AR5

R6

R7z メイン回線に障害が発生しているため、トラフィックの流れも変化する
z サブ回線を利用して、通信のバック
アップを行う2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

112

OSPF解説ー１
z 解説方針– ここではOSPFを知らない方のために一般的な利用法について解説します。
– わかりやすさを重視して説明するため、RFCで定義されている厳密なOSPFの定義とは異なる部分もありますが、ご了承願います。
– 大規模ネットワークではBGPとの連携は欠かせませんが、ここでは説明しません。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

113

OSPF解説−２
z Link State型ルーティングプロトコル– ネットワークトポロジをLSA(Link State
Advertisement)と呼ばれる形式でデータベース
化し、最適な経路を選択する。
 RIPやBGPと異なり、単純な経路交換を行なわないため、経路フィルタをかけることは難しい– トポロジに変更が合った場合にすぐ変更がかかる– ルータ故障検出も可能
 HELLOパケットによりルータの故障を検出し、バックアップ経路を選択できる。
 切り替え時間がRIPよりずっと早い(数秒〜1分程度)

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

114

OSPFコストとは
z OSPFではRIPでいうDistanceの変わりにコストを利用する– OSPFコストは0〜65535の値を取る– インターフェース毎に自由にコストを設定することができる– コストは小さければ小さいほどネットワーク的に近距離に見せられる– ルータによっては回線速度に応じて自動的にコストを付与するものもあるが、ネットワークの高速化などに対応できなくなるだけでなく、運用が困難になるため、明示的に設定したほうが良い

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

115

簡単なOSPFコストの計算法−１
Net.Aまでのコスト
０

Net.Aまでのコスト
７６Net. A

Net. A

H1

Net.A

Net.Aまでのコスト
８６

回線
R1

R2

R3

Cost:10

Cost:66

Cost:10Net.Ｂ

H2

それぞれのＩ／Ｆにコストを設定z Ｒ1から見たH1への経路– Ｒ1は直接Net.Aに接続されているため、同じNet.Aに接続されているH1はコスト0として見える

z Ｒ2から見たH1への経路– R2からは(R1のI/Fに設定されたNet.Aのコスト+R1と接続するI/Fに設定されたコスト)となる

z R3から見たH1への経路– R3からは(R2から見たNet.Aのコスト+R2と接続するI/Fに設定されたコスト)となる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

116

簡単なOSPFコストの計算法−２
Net.Bまでのコスト
８６

Net.Bまでのコスト
２０Net. B

Net. B

H1

Net.A

Net.Bまでのコスト
０

回線
R2

R1

R3

Net.Ｂ

H2

それぞれのＩ／Ｆにコストを設定Cost:66

Cost:10

Cost:10z R3から見たH2への経路– R3は直接Net.Bに接続されているため、同じNet.Bに接続されているH2はコスト0として見える

z Ｒ2から見たH2への経路– R2からは(R3のI/Fに設定されたNet.Bのコスト+R3と接続する
I/Fに設定されたコスト)となる

z R1から見たH2への経路– R1からは(R2から見たNet.Bのコスト+R2と接続するI/Fに設定されたコスト)となる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

117

簡単なOSPFコストの計算法−３
Net.A: ０
Net.B:８６

Net.A:７６
Net.B:２０
Net. A,B

Net. A,B

H1

Net.A

Net.A:８６
Net.B: ０

回線
R2

R1

R3

Net.Ｂ

H2

それぞれのＩ／Ｆにコストを設定Cost:10

Cost:66

Cost:66

Cost:10

Cost:10

Cost:10z 同じI/Fに同じコストを付けることにより、行きと帰りのコストを一致させることができる
z 行きと帰りで異なるコストを付与することもできるが、管理が煩雑になるため、理由なく行なうべきではないz ここで示した図は経路を交換しているように書かれているが、実際はトポロジデータベースの交換により経路を確定している

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

118

バックアップ、バランシングを行なうにはz OSPFでは複数の経路を持った場合にバック
アップやバランシングを行なうことができる
z 異なるコストの経路がある場合– コストが小さい経路をメインとして利用しコストが大きい経路をバックアップとして利用できる

z 同じコストの経路がある場合– バランシングを行ない、トラフィック分散することが可能– バランシングを行なっている経路の１つが切断されても残った経路でバックアップすることも可能

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

119

OSPFを用いたバックアップ-経路の伝播（通常時）
Cost：10
Cost：10

メイン回線
A-Cost(R1)：20
B-Cost(R3)：86

A-Cost(R2)：86
B-Cost(R4)：20

A-Cost(R1): 0
B-Cost(R2)： 96
B-Cost(R5)：163

R2

R1

Costを大きく設定

Net. A

Cost：66

R5

Cost：133

A-Cost(R1): 20
B-Cost(R2): 96
B-Cost(R6):153

R3

R4
R6
A-Cost(R3): 96
A-Cost(R5):153
B-Cost(R4): 20

サブ回線
z OSPFを利用して、通常時はメイン回線のみを利用するz 障害時にはサブ回線を利用してバックアップを行う
2006/7/20

B-Cost(R4): 0
A-Cost(R3): 96 Net. B
A-Cost(R6):163

Copyright © 2006 Internet Initiative Japan Inc.

Cost：10

Cost：10

選択されない経路
コスト値
伝播元ルータ名（NEXT HOP)

120

OSPFを用いたバックアップ-トラフィックの流れ（通常時）
Cost：10
Cost：10
A-Cost(R1): 0
B-Cost(R2)： 96
B-Cost(R5)：163

メイン回線
A-Cost(R1)：20
B-Cost(R3)：86

R2

A-Cost(R2)：86
B-Cost(R4)：20

R3

Cost：66

R1
Net. A

R4
R5
A-Cost(R1): 20
B-Cost(R2): 96
B-Cost(R6):153

R6

Cost：133

A-Cost(R3): 96
A-Cost(R5):153
B-Cost(R4): 20

サブ回線
z サブ回線にもOSPF HELLOパケットが流れるため、トラフィックをゼロにはできない

2006/7/20

B-Cost(R4): 0
A-Cost(R3)： 96 Net. B
A-Cost(R6)：163

Copyright © 2006 Internet Initiative Japan Inc.

Cost：10

Cost：10

Net.A向けのトラフィック

Net.B向けのトラフィック

121

OSPFを用いたバックアップー経路の伝播（障害時）
メイン回線

Cost：10 A-Cost(R1)： 20
B-Cost(R6)：163

Cost：10

A-Cost(R1): 0
B-Cost(R5):163

R2

A-Cost(R6)：163
B-Cost(R4)： 20
Cost：66

R3

R1
Net. A

B-Cost(R4): 0
A-Cost(R6):163 Net. B

R4
R5

Cost：133

A-Cost(R1): 20
B-Cost(R6):153

R6
A-Cost(R5):153
B-Cost(R4): 20

Cost：10

Cost：10サブ回線
z 回線の切断によりR2-R3間のネットワー
クが削除される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

コスト値
伝播元ルータ名（NEXT HOP)

122

OSPFを用いたバックアップートラフィックの流れ（障害時）
メイン回線

Cost：10 A-Cost(R1)： 20
B-Cost(R6)：163

Cost：10

A-Cost(R1): 0
B-Cost(R5):163

R2

A-Cost(R6)：163
B-Cost(R4)： 20
Cost：66

R3

R1
Net. A

R4
R5

Cost：133

A-Cost(R1): 20
B-Cost(R6):153

R6
A-Cost(R5):153
B-Cost(R4): 20

サブ回線
z サブ回線を利用したバックアップが完了

2006/7/20

B-Cost(R4): 0
A-Cost(R6):163 Net. B

Copyright © 2006 Internet Initiative Japan Inc.

Cost：10

Cost：10

Net.A向けのトラフィック

Net.B向けのトラフィック

123

OSPFバックアップルーティングの特徴
z RIPとは異なり、すばやいバックアップが可能
z バックアップ用の回線上もOSPF HELLOが流れるため、サブ回線を切断することはできない– ISDNなどでバックアップさせるにはOSPFだけのチューニングでは難しい

z ２本の回線を別々の用途に利用して障害時にそれぞれバックアップとして利用することが可能

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

124

OSPFを用いたバックアップ、バランシング-経路の伝播（通常時）
Cost：10
Cost：10
A-Cost(R1): 0
B-Cost(R2):96
B-Cost(R5):96

R2

R3

Cost：66

同じコストに調整する

R1
Net. A

A-Cost(R2):86
A-Cost(R6):96
B-Cost(R4):20

A-Cost(R1):20
B-Cost(R3):86
B-Cost(R5):96

R5

Cost：66

A-Cost(R1):20
B-Cost(R2):96
B-Cost(R6):86

R4
R6

A-Cost(R3):96
A-Cost(R5):86
B-Cost(R4):20

z ２本の回線を同じコストに設定する
z R１からNet.Bに対してR2,R5両方とも同じコストにするz R4からNet.Aに対してR3,R6両方とも同じコストにする2006/7/20

B-Cost(R4): 0
A-Cost(R3):96 Net. B
A-Cost(R6):96

Copyright © 2006 Internet Initiative Japan Inc.

Cost：10

Cost：10

選択されない経路
コスト値
伝播元ルータ名（NEXT HOP)

125

OSPFを用いたバックアップ、バランシング-トラフィックの流れ（通常時）
Cost：10
Cost：10
A-Cost(R1): 0
B-Cost(R2):96
B-Cost(R5):96

R2

R3

Cost：66

同じコストに調整する

R1
Net. A

A-Cost(R2):86
A-Cost(R6):96
B-Cost(R4):20

A-Cost(R1):20
B-Cost(R3):86
B-Cost(R5):96

R5
A-Cost(R1):20
B-Cost(R2):96
B-Cost(R6):86

Cost：66

B-Cost(R4): 0
A-Cost(R3):96 Net. B
A-Cost(R6):96

R4
R6

A-Cost(R3):96
A-Cost(R5):86
B-Cost(R4):20

Cost：10

Cost：10

Net.A向けのトラフィック

z OSPFを利用して、通常時にそれぞれの回線をバランシングして利用する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

Net.B向けのトラフィック

126

OSPFを用いたバックアップ、バランシング-経路の伝播（障害時）
Cost：10

A-Cost(R6):96
B-Cost(R4):20

A-Cost(R1):20
B-Cost(R5):96

Cost：10
A-Cost(R1): 0
B-Cost(R5):96

R2

同じコストに調整する

R1
Net. A

R3

Cost：66

R5
A-Cost(R1):20
B-Cost(R6):86

Cost：66

R4
R6

A-Cost(R5):86
B-Cost(R4):20

z 障害発生により、R2-R3間のネットワーク
情報が削除される

2006/7/20

B-Cost(R4): 0
A-Cost(R6):96 Net. B

Copyright © 2006 Internet Initiative Japan Inc.

Cost：10

Cost：10

コスト値
伝播元ルータ名（NEXT HOP)

127

OSPFを用いたバックアップ、バランシング-トラフィックの流れ（障害時）
Cost：10

A-Cost(R6):96
B-Cost(R4):20

A-Cost(R1):20
B-Cost(R5):96

Cost：10
A-Cost(R1): 0
B-Cost(R5):96

R2

Cost：66

R3

R1
Net. A

B-Cost(R4): 0
A-Cost(R6):96 Net. B

R4
R5
A-Cost(R1):20
B-Cost(R6):86

Cost：66

R6
A-Cost(R5):86
B-Cost(R4):20

Cost：10

Cost：10

Net.A向けのトラフィック

z 障害が発生していない回線を利用してバックアップを行う

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

Net.B向けのトラフィック

128バックアップ、バランシングの特徴
z 障害発生時には50%の帯域でバックアップ
z バランシング(ECMP:Equal Cost Multipath)は基本的に1:1でバランスするため、速度の異なる回線をバランスさせることは難しい
z 2本の回線を有効に利用し、回線コストを抑えることができる
z LAN等に利用すると100Mbpsメディアを200Mbpsメディ
アとして利用することもできる
z バランシングの精度はルータの機能に依存するため、
1:1のバランシングとならない場合がある
z バランシング（ECMP）は一部のルータやL3SW等では機能しないため、注意が必要

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

129

初心者のためのOSPF設定−１
z エリア– 必ず0を設定する
 OSPFでは経路の集約のためにエリアという概念があるが、小規

模なネットワークではバックボーンエリア=エリア0だけで構築すればよく、エリアを分けて構築する必要はない
 エリア0以外のエリアは必ずエリア0と接している必要があるため、むやみにエリア分けをするとバックボーンの拡張が難しくなる
 ISPなど大規模ネットワークとなるとBGP+OSPFが主流であり、経路の集約という観点ではBGPのほうが優れているため、バックボーン以外のエリアを積極的に使っていくことはあまりない
 使用機器などの制限によりBGPが利用できず、OSPFで多くの経路を扱う場合にはエリアを利用して経路集約を図る必要がある

z デフォルトルート– 必ずstaticなどでデフォルトルートを確保してからOSPFでデフォルトルートを流す 余力があればExternal Type 1で流す

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

130

初心者のためのOSPF設定−２
z Staticからの経路注入– デフォルトルートなどと同じくExternal Type 1で流す
 OSPFではOSPF以外のstaticやRIPなどから経路を注入するときにExternal Type 1とExternal Type 2が選べるようになっている
 External Type 1とは— 注入時に付与したコストに、注入された場所から実際にOSPFの経路を受けるルータまでのOSPFコストを加えて評価する。同じ経路が複数注入されたときに最も近い出口から出るように制御するために使われる。
Staticは注入された個所が最も近いと判断できるため、Type 1が向いている。

 External Type 2とは— 注入時に付与したコストをそのまま維持する。同じ経路が複数注入されたときに注入の際に付けられた優先順位に基づいて評価される。これはBGPなど他のプロトコルの情報をOSPFで実現するために有効な手法だが、現状BGPをそのままOSPFには流せないため、あまり意味がない— Ciscoのルータはデフォルト設定がExternal Type 2であるため、注意が必要
 External Type 1とExternal Type 2を混ぜない— OSPFコストとは別にExternal Type 1 > External Type 2という優先順位があるため、障害の切り分けが難しくなる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

131

初心者のためのOSPF設定−３z ルータID– 小規模では特に気にしなくても良いが、loopbackイ
ンターフェースを設定したほうが良い。
 OSPFではルーター間通信にルータID(ルータについているIPアドレス)を用いる。
 通常はloopbackインターフェースを設定するとそのアドレスが使われる 同じアドレスを複数のルータのloopbackインターフェースに付けると誤動作するため、注意が必要

z ルータを立ちあげる順番– 能力が高く、負荷が低いルータを先に立ち上げたほうがよい。
 OSPFではDR(Designated Router)「指定ルータ」、BDR(Backup

DR)、DROTHERが立ち上がった順に決まり、Ethernetなどマルチ
アクセスメディアの通信はDRが情報を管理するため、処理能力の余裕があるルータに行なわせたほうが良い。
 小規模では意識しなくても問題が発生しないことがほとんど。
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

132

DRとBDRの役割
R1

R2

DR

BDR

R3

R4

R5

z DRの役割– DRはEthernetなどのマルチアクセスメディア利用時に、同じセグメン
トの代表して経路交換を行う– DRが存在することで、経路交換数は接続ルータ数に比例した量に抑えることができるDRといった概念が無い場合には接続ルータ数の二乗に比例する

z BDRの役割– BDRはDRに障害が発生したときにすみやかにDRとなる役割を持つ
DR: Designated Router
BDR: Backup Designated Router
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

133

DRとBDRの選出-1
R1

R2

R3

R4

R5

RP:1
起動:1

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

RP: Router Priorityz DRとBDRの選択の方法– 最初に起動したルータはDRとなる– ２番目に起動したルータはBDRとなる– ３番目以降に起動したルータはDROTHERとなる

z 上記ネットワークにおけるDR、BDRはどれか？

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

134

DRとBDRの選出-2
R1

R2

R3

R4

R5

RP:1
起動:1

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

DR

BDR

DROTHER

DROTHER

DROTHER

RP: Router Priorityz DRとBDRの選択の結果– 最初に起動したR1はDRとなる– ２番目に起動したR2はBDRとなる– ３番目以降に起動したR3〜R5はDROTHERとなる2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

135

DRとBDRの選出-3
障害
R1

R2

R3

R4

R5

RP:1
起動:1

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

DR

BDR

DROTHER

DROTHER

DROTHER

RP: Router Priority

z DRに障害が発生した場合– DRとBDRはどのように選択されるのか？

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

136

DRとBDRの選出-4
障害
R1

R2

R3

R4

R5

RP:1
起動:1

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

DR

DROTHER

DROTHERBDR

RP: Router Priority

z DRに障害が発生した場合– DRに障害が発生するとBDRがDRとなる– BDRがDRとなると、新しいBDRがRouter Priorityの大きなルータとなる2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

137

DRとBDRの選出-5
障害
R1

R2

R3

R4

R5

RP:1
起動:1

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

復旧

DR

DROTHER

DROTHERBDR

RP: Router Priorityz 障害が復旧した場合– 障害が復旧した場合DRは変化するか？

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

138

DRとBDRの選出-6
R1

R2

R3

R4

R5

RP:1
起動:6

RP:2
起動:2

RP:3
起動:3

RP:4
起動:4

RP:5
起動:5

DROTHERDR

DROTHER

DROTHERBDR

RP: Router Priorityz 障害が復旧した場合– DRに変動はない– R1は障害発生のため、起動順番が最後となる
 起動順番が３以降の場合は、起動順番がDR選択に影響を与えることはない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

139

DRとBDRのまとめ
z DRとBDRの役割– DRはEthernetなどのマルチアクセスメディア利用時に、同じセグメントの代表
して経路交換を行う– DRが存在することで、経路交換数は接続ルータ数に比例した量に抑えることができるDRといった概念が無い場合には接続ルータ数の二乗に比例する– BDRはDRに障害が発生したときにすみやかにDRとなる役割を持つ

z DRとBDRの選出– DRとBDRは起動順に決定される– DR、BDRに障害が発生した場合にはRouter Priorityが高いルータが選出される– 常にDR、BDRを希望のルータにしておくことは困難– Router Priorityを0にすることで、DR、BDRにならないルータを作ることができる

広域Ethernetの小規模拠点に有効

z 初心者のためのDR、BDR– LANでOSPFを利用している場合にはそれほど意識する必要は無い– 広域EthernetなどのWAN利用の際には小規模拠点のRouter Priorityを0としたほうが良い2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

140

OSPF利用上の注意点
z アドレスの重複には細心の注意を払う– loopbackアドレスはOSPF Router IDとして利用されるため、重複した場合にはOSPFデータベースが正常に維持できず、経路障害となる– LAN IPアドレスの重複が発生した場合にもデータベースが混乱し、該当ネットワークへの到達生が失われるだけで無く、多量のOSPF更新情報が流れ続けるなどの障害が発生する– shutdown状態のインターフェースであってもOSPFデータベースに登録されてしまう場合があるため、移行作業時などのIP
アドレスの消しこみは速やかに実施した方がよい

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

141

ダイナミックルーティングのまとめ
z VLSMを考慮するとRIP2,OSPFを利用すべき
z 単純なネットワーク構成はstaticを選択
z Defaultのみを利用する場合はRIPでも十分
z バランシングなどを行なう場合はOSPFを用いる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

142

ダイナミックルーティングプロトコルを用いた障害に強いネットワーク構成
z デュアル構成＋OSPFによるバックアップ、バランシング
z リングトポロジによるバックアップ

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

143

デュアル構成＋OSPFを用いたバックアップ、バランシング
接続図Net. A
R1

Net.X

R2

SW1

SW2
R3

2006/7/20

Net.Y

Copyright © 2006 Internet Initiative Japan Inc.

R4

144

デュアル構成＋OSPFを用いたバックアップ、バランシング‐経路の伝播（通常時）
Net. A

Net.X スイッチ
Net. A

R1

R2

RX

Net. A

Net.Y スイッチ

Net. A
Net. Az OSPFで Net.Aの経路情報を広告する
z 経路情報は各ルータに対して、2つのスイッチから等価に伝播する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

145

デュアル構成＋OSPFを用いたバックアップ、バランシング‐ルーティングテーブル（通常時）Net. A

Net.Xスイッチ
Net. A

R1

R2

RX

Net. A

Net.Yスイッチ

Net. A
Net. Az 伝播した経路情報により、各ルータに経路情報が設定される。
z ２つのスイッチから等価な経路情報が伝播してきたた
め、２つの経路情報が設定される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

146

デュアル構成＋OSPFを用いたバックアップ、バランシング-トラフィックの流れ（通常時）
Net.X スイッチ
R1

R2

RX
Net.Y スイッチ

Net. Az 通常時には、2つのスイッチを経由するトラフィックがバランスする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

147

デュアル構成＋OSPFを用いたバックアップ、バランシング-経路の伝播（障害時）Net. A

障害発生

Net.X スイッチ
R1

R2

RX

Net. A

Net.Y スイッチ

Net. A
Net. Az 障害発生により、経路情報の伝播に一部に変化が生じる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

148

デュアル構成＋OSPFを用いたバックアップ、バランシング‐ルーティングテーブル（障害時）Net. A

障害発生

Net.X スイッチ
R1

R2

RX

Net. A

Net.Y スイッチ

Net. A
Net. Az 伝播する経路情報が変化するため、各ルータに設定されている経路情報も変化する
z 一方のスイッチからの経路が消えても、もう一方のスイッチからの経路でバックアップを行う

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

149

デュアル構成＋OSPFを用いたバックアップ、バランシング-トラフィックの流れ（障害時）障害発生

Net.X スイッチ
R1

R2

RX
Net.Y スイッチ

Net. Az 障害時には、2つのスイッチどちらかを利用して障害を迂回することができる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

150

リングトポロジによるバックアップ-経路の伝播（通常時）
Distanceが最も小さいので選択される

他方よりDistanceが大きいので選択されない
R2

Net. A
Distance=1

Distance=2

R1Net. A

Net. A

R3
Net. A
Distance=1

z RIPで Net.Aの経路情報を広告する
z 通常時は最短な経路が優先される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

151

リングトポロジによるバックアップ-ルーティングテーブル（通常時）
R2Net. A

R1

R3
Net. A

Net. Az 伝播した経路情報から、各ルータに経路情報が設定される

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

152

リングトポロジによるバックアップ- トラフィックの流れ（通常時）
R2

R1

R3

Net. Az 通常時は最短な経路が優先されて、通信が行われる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

153

リングトポロジによるバックアップ-経路の伝播（障害時）障害発生

R2Net. A
Distance=2

R1Net. A

R3
Net. A
Distance=1z 障害により、経路情報の伝播に変化が生じる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

154

リングトポロジによるバックアップ-ルーティングテーブル（障害時）障害発生

R2Net. A

R1

R3
Net. A

Net. Az 伝播する経路情報の変化により、ルータに設定されている経路情報も変化する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

155

リングトポロジによるバックアップ-トラフィックの流れ（障害時）
障害発生

R1

R2

R3

Net. Az 障害時には、遠回りな経路を利用して通信をバックアップする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

156

WAN構築ここでは利用回線別のＷＡＮ構築の方法について解説しますz 広域Ethernetを利用したＷＡＮ
z インターネットVPNを利用したＷＡＮ

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

157

広域Ethernetを利用したWAN
z 広域Ethernetを利用する理由– 安価– IP以外のパケットが通る(SNAなど)– ATMやPOSなどの高価なWAN I/Fが不要– ルータを利用せずにHUBだけでネットワークが構築できる– Tag VLANを利用して複数のVLANを複数拠点に容易に持っていくことができるz 今回とりあげるポイント– IPのみを利用、ルータを利用、ダイナミックルーティング

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

158

ネットワーク構成
R

R
広域Ethernet網
R

R
R

R

R

R

R

R

z 広域Ethernet網はLANのEthernetと同様に見える
z 基本的にはLANと同じ設計手法が使える

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

159

HUBのみで構成した場合
128k
10Mbps
PC

PC

PC

…

PC

PC

広域Ethernet網
10Mbps…

…

10Mbps

10Mbps

PC
PC

PC

PC

…

PC

…

z 広域EthernetはLANと同様にHUBのみでもネットワークを構成することができる。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

160

HUBのみで構成した場合の問題点
ブロードキャスト
パケット

5拠点で100台のMACを管理128k

10MbpsPC

PC…

ブロードキャストパケッ
トにより回線が輻輳PC

広域Ethernet網

PC×20台PC

PC

PC×20台10Mbps…

…
PC×20台10Mbps

10Mbps

PC
PC

PC

PC

…

PC×20台PC…

PC×20台z HUBのみで構築し、PC端末を直接広域Ethernetに接続す
ると広域Ethernet内で管理すべきMACが増加する。
z これによりARPやWindows系のブロードキャストが増加
し、回線の細い拠点が輻輳する。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

161

ルータを設置した場合
ブロードキャスト
パケット

5拠点で5台のMACを管理
RR
広域Ethernet網
RRR

z ルータを設置した場合には広域Ethernet内でのMAC
はルータの台数に限られるため、ブロードキャストの増加を防ぐことができる。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

162

ルータを設置すべきか
z ルータを設置すべきか、HUBのみで構築すべきか– 広域EthernetはHUBだけで容易にネットワークを構築できるが、スケールするネットワークとするためにはルータを設置すべきである。
– 小規模拠点などHUBのみで構築が必要な場合にはルータ接続拠点とは異なるVLANで構築することが望ましい。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

163

広域EthernetでのOSPFの利用
R

R
広域Ethernet網
R

R
R

OSPF

z 広域Ethernet網でのOSPFの利用– 広域EthernetではLANと同様にダイナミックルーティン
グを利用できるが、一般的にはOSPFを用いられることが多い。
– 広域Ethernet網でのOSPF利用のポイントについて解説する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

164

多拠点でのOSPFの利用
R

R
広域Ethernet網
R

R
…
R

R

OSPF

B地区:50拠点

C地区:50拠点
A地区: 50拠点

z 多くの拠点を1つの広域Ethernet網で結び、OSPFを動かす。
z 図ではA,B,C地区それぞれに50拠点接続しており、合計150台のルータが同一の広域Ethernet網を利用している。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

165

OSPF利用時のトラブルシューティング
細い回線
が輻輳

R

R
広域Ethernet網
R

R
…
DR

BDR

OSPF B地区:50拠点

C地区:50拠点
A地区: 50拠点

負荷の増大

z 細い回線の輻輳– OSPFのHelloパケットにより細い回線が輻輳してしまう

z DR/BDRの負荷増大– DRおよびBDRに負荷が集中し、不安定となる– DR,BDRに高いスペックのルータが必要となる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

166

OSPFトラブル解決法
A地区GW
C地区GW R

OSPF timer
をチューニング

R B地区GW

R

R

R
広域Ethernet網

広域Ethernet網
広域Ethernet網

R

R

…
R

R

OSPF B地区:50拠点

C地区:50拠点
A地区: 50拠点

z 広域Ethernet網の分割及び中継ルータの設置– 巨大すぎる広域Ethernet網を1セグメント50台程度として分割– それぞれの広域Ethernet網を中継するルータを設置– 広域Ethernetを分割することで、OSPFマルチキャストを減らすことができる– セグメントの分割により、DR、BDRを分散配置でき、負荷を下げることができる

z OSPF timerのチューニング

– 細い回線を収容している広域Ethernet網のOSPFのHello間隔を伸ばし、輻輳を回避する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

167

広域Ethernetを利用したWAN:まとめz HUBのみで構築すべきか、ルータを設置すべきか– ルータを設置したほうがスケールする– HUBのみの構成とルータ設置の構成が混在する場合にはTag VLANなどを利用して異なるネットワークに収容する

z ルータの設置台数が50台を超えるようであれば広域
Ethernetを分割して、それぞれのネットワークを接続
する中継ルータを用意する
z 細い回線を利用する場合にはOSPF timerをチューニングして輻輳しないようにする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

168

インターネットVPNを利用したWAN
z インターネットのブロードバンド化と低価格化、VPN装置の低価格化と高性能化により、急激にインターネット
VPNが普及してきている。
z ここではネットワークという切り口からWANとしてインターネットVPNを利用することを前提とする。
z VPNにはさまざまなプロトコル、暗号化技術、認証シス
テムなどの要素があるが、プライベートネットワーク間で影響を受ける部分にのみ着目して解説する。暗号化されたパケットの状態など、プライベートネットワーク間では隠される要素に関してしはここではブラックボック
スとして扱うものとする。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

169

一般的なインターネットVPN構成
インターネット
R

R
VPN

VPN1

R

VPN2

VPN

VPN

z 一般的なインターネットVPNの構成– インターネット接続ルータの下にVPN装置を設置し、VPN装置間でVPNを張る– VPNに流せるパケットはVPN依存– 暗号化パケットのスループットの高いVPN装置ではVPN
間でOSPFなどのダイナミックルーティングが利用できな
いことが多いスループットとダイナミックルーティングなどを両立するためには
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

170

ネットワーク化されたインターネットVPN構成
インターネット
R

R
VPN

VPN1

R

VPN2

TUN

Tunnel 1

VPN

Tunnel 2

VPN
TUN

TUN

z ネットワーク化されたインターネットVPN構成– インターネット接続ルータの下にVPN装置を設置し、VPN装置
間でVPNを張る(IPsecなど)– VPN装置の内側にtunnelルータを設置し、VPN上にtunnelを張る(GRE、ipipなど)– Tunnelは暗号化する必要はない– Tunnelは専用線と同等に見えるため、ダイナミックルーティングが利用できる– VPN装置はダイナミックルーティングを利用できなくてよい

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

171

VPNで利用されるプロトコルz IPsec– IP Security Protocol– 認証、暗号化を行う– RFC2401〜2412,2451,2857,3526,3554,3566,3602– Protocol 50(ESP:encapsulating security payload)– Protocol 51(AH:authentication header)z GRE– Generic Routing Encapsulation– レイヤ3 tunnelを行う– RFC1701,1702– Protocol 47(GRE)z ＩＰＩＰ– IP Encapsulation within IP– レイヤ3 tunnelを行う– RFC2003– Protocol 4(IP-ENCAP:IP encapsulated in IP)

z GIF– Generic Tunnel Interface– IPIPをUNIXなどで扱うときに利用される– IPIP tunnelのことをGIF tunnelと呼ぶこともある
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

172

ネットワーク化されたインターネットVPN構成
tunnel1

tunnel2

TUN

TUN
TUN

z プライベート側からみたネットワーク構成– Tunnelルータ間はtunnel1およびtunnel2の2つの専用線で接続されていることと同様に扱える– OSPFなどのダイナミックルーティングを容易に扱うことができる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

173

インターネットVPNの解決すべき問題点
z MTUが1500より小さくなることによる問題点– インターネットVPNなど既存のネットワークの上にtunnelを張って利用する場合にはMTU(Maximum
Transmission Unit)が1500より小さくなることによる問題が発生する– Path MTU Discovery Blackhole問題
RFC1191 Path MTU Discovery
 RFC2923 TCP Problems with Path MTU Discovery→詳しくは後述– Path MTU Discovery Blackhole以外のMTU1500を必要とするアプリケーションの問題


DF=1で送信を行うLANアプリケーション– フラグメントによるパフォーマンスの低下

小さいMTU個所を通過する際にフラグメントが許可されていれば、フラグメントすることによりすべてのサイズのIPパケットを通過させることができる
 ただし、フラグメントによりスループットが低下する恐れがある

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

174

Path MTU Discovery の動作原理
MTU1500
A

MTU1500

MTU1300
TUN

TUN

B
Size=1500/*DF=1**ICMP Type3 Code4
MTU of next hop:1300
Size=1300/DF=1*DF

Don’t Fragment**ICMP
Type3

Destination Unreachable

Code4

Fragmentation Needed and Don’t Fragment was Set

z Path MTU Discoveryの原理– DF=1としたIPパケットを送出し、Destination Unreachableが戻ってきたときに適切なIPパケットサイズに調整して送信することで、エンド-エンド間の最大で最適なMTUを利用する仕組み
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

175

Path MTU Discovery Black hole問題
MTU1500
A

MTU1500

MTU1300
TUN

TUN

ICMP Unreachableを送信しない設定となっているか、フィルタされている

B
Size=1500/DF=1*ICMP Type3 Code4
適切なMTUを得られず、DF=1のパケッ
トが出つづけ、通信できない状態となる

MTU of next hop:1300
Size=1500/DF=1

*ICMP
Type3

Destination Unreachable

Code4

Fragmentation Needed and Don’t Fragment was Set

z Path MTU Discovery Black holeとは– Path MTU Discoveryの原理で重要な役割を持つICMP
Unreachableがフィルタされることで、適切なIPパケットの送信が行えず、通信できなくなる状態のこと
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

176

Path MTU Discovery Black hole問題の解決法1
MTU1500

MTU1500

MTU1300

A

TUN

TUN

B

MSS=1260
Size<1300/DF=1

Size=1300/DF=1

MSS:Maximum Segment Size (TCP Only)z TCPのMSSを利用する– TCPでは1度に送出する最大のセグメントサイズMSSを指定することができる。このパラメータをMTUが小さくなるポイントで書き換えることで、TCPに限ってPath MTU Discovery Blackholeを解決することができる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

177

Path MTU Discovery Black hole問題の解決法2
MTU1500
MTU1300

MTU1500
A

TUN

MTU1500
TUN

Size=1300/DF=0

B
Size=1500/DF=1

Size= *200/DF=0

Size=1500/DF=1*実際はカプセリングのためのオーバーヘ
ッドのために200より大きくなりますz TunnelのMTUを1500に拡張する– TunnelのMTUを1500に拡張することで、tunnel区間をパケットを分割して通過させることができる– TCP(Protocol:6)以外のUDP(Protocol:17)やESP(Protocol:50)などの1500バイトパケットを通すことができる– Path MTU Discovery以外の要因によるDF=1のIPにも対応が可能
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

178

インターネットVPNの問題点の解決
z MTUが1500より小さくなることによる問題点の解決– TCPについてはMSS調整により解決を行う
Path MTU Discovery Black holeの解決とスループット低下の防止が同時に行われる
 多くのアプリケーションがTCPを利用しているため、MSS調整により問題が解消することが多い
– TCP以外のプロトコルはMTU拡張により解決を行う
暗号化パケットのESPやUDPなどTCPでないプロトコルの解決には
MTU拡張を行い、パケットを分割して通すようにする。
 パケットを分割することでパフォーマンスは低下するが、すべてのIPパケ
ットを通すことができる
– 2つの手法の併用「MSS調整」と「MTU拡張」を同時に設定することですべてのIPパケットが通るだけでなく、TCPは効率よく通すことができる。
 MTUを設定すると自動的にMSS値が決定するようなVPN機器、tunnel
ルータは2つの手法の併用はできない。
Tunnel MTU=1500→MSS=1460ではMTU1300の物理I/Fに対しMSS調整されたパケットがフラグメントしてしまい効率よく転送することができない— Tunnel MTU=1300→MSS=1260ではTCP以外のDF=1のIPパケットが通らない。1300バイトより大きいDF=1のUDP、ESPが通らない—

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

179

多拠点でのインターネットVPN接続
B地区:50拠点
Internet VPN網

TUN

TUN

TUN

TUN
A地区: 50拠点
TUN

…
TUN

どのようなVPN構成が適切か？

C地区:50拠点

R
VPN
TUN

TUN

TUNはtunnelルータを表し、前述のとおり、物理的にはには下記の3つの機器を表す
・インターネット接続ルータ
・VPN装置z インターネットVPNの構成

・Tunnelルータ– インターネットVPNは各拠点間を自由に結ぶことができる– どのような接続法が望ましいのか検討する
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

180

VPNフルメッシュ構成
B地区:50拠点
Internet VPN網

TUN

TUN

TUN

TUN
A地区: 50拠点
TUN

…
TUN

C地区:50拠点

z フルメッシュ構成– すべての拠点間をVPNで結ぶ– 拠点の数:mとしたときのVPNの数
m(m − 1) m 2 − m=
VPNの数 =
2
2

– VPNの数が拠点数の二乗に比例するため多拠点の管理が煩雑– 1拠点追加ですべての拠点のVPN機器の変更が必要– 拠点数が増えるとすべての拠点のVPN機器の性能を上げる必要がある

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

181

VPNスター構成

Internet VPN網
TUN

センター拠点B地区:50拠点

TUN

TUN

TUN

TUN
A地区: 50拠点
TUN

…
TUN

C地区:50拠点

z スター構成– 各拠点とセンター拠点との間をVPNで結ぶ– 拠点の数:mとしたときのVPNの数は
VPNの数 = m − 1– VPNの数は拠点数に比例するため多拠点の管理が容易– 1拠点追加でセンター拠点のVPN機器の変更だけで済む– スターの中心となるセンター拠点のtunnelルータの障害ですべての拠点の通信ができなくなる– 拠点数が増えるとセンター拠点に多数のＶＰＮを収容する必要があり、高性能なVPN機器が必要となる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

182

VPNデュアルスター構成
Internet VPN網センター拠点

TUN

TUN

センター拠点B地区:50拠点

TUN

TUN

TUN

TUN
A地区: 50拠点
TUN

…
TUN

C地区:50拠点

z デュアルスター構成– 各拠点から2箇所のセンター拠点にVPNで結ぶ– 拠点の数:mとしたときのVPNの数は

VPNの数 = 2(m − 1)
– VPNの数は拠点数に比例するため多拠点の管理が容易– 1拠点追加でセンター拠点のVPN機器の変更だけで済む– スターの中心となるセンター拠点のtunnelルータに障害が発生してもバックアップされる– 拠点数が増えるとセンター拠点に多数のVPNを収容する必要があり、高性能なVPN機器が必要となる– 地区ごとにデュアルスター構成を行い、さらにセンター拠点ともデュア
ル構成とすることでVPN機器の負荷の集中を防ぐことができる
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

183

VPNスター＆メッシュ構成
Internet VPN網
メッシュ

B地区:50拠点

TUN

TUN

TUN

TUN
A地区: 50拠点

C地区:50拠点

スター

…

TUN

TUN
TUN
スター

z スター＆メッシュ構成

スター– 地区ごとにスター型にVPNを構成。スター型の頂点の拠点間をメッシ
ュ状にVPNで結ぶ– 拠点の数:m、スターの頂点をnとしたときのVPNの数は(n 2 − n) n 2 − 3n + 2m=
VPNの数 = m − n +22– VPNの数は拠点数に比例するため多拠点の管理が容易– 頂点の数はVPNの数の二乗に比例するが、多く設置する必要は無
いためVPNの数への影響は少ない– 1拠点追加でセンター拠点のVPN機器の変更だけで済む– スターの頂点のtunnelルータの障害が発生しても全体ではなく局所化した障害となる– スター構成をデュアルスター構成に変更すればバックアップも可能
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

184

ネットワーク構築
z ネットワーク構築に必要なL2ネットワー
クの構成法について解説します
z 配線に必要な部材について紹介します

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

185

L2ネットワーク構成 カスケードなし
R

HUB
H

H
z
z
z
z

2006/7/20

H

H

H

H

H

H

H

H

H

H

標準的なカスケードの無いL2ネットワーク
ホストの数だけ多ポートのHUBを用意する必要がある
遅延は少なく、L2障害発生の可能性も低く安定している
HUBのカスケード接続は許可しないため、L2ループなどの障害発生を防止できる

Copyright © 2006 Internet Initiative Japan Inc.

186

L2ネットワーク構成 横繋ぎカスケード
R
HUB2

HUB1
H

H

H

H

H

H

H

HUB3

H

H

H

H

H

z 横繋ぎカスケードによるL2ネットワーク
z 安価なHUBをカスケード接続利用できる
z 障害発生時に障害箇所の特定が困難
z カスケードポイントに障害が発生するとL2ネットワークが分断し、正常に冗長化できない
z 誤ったカスケード構成によりループが発生する可能性がある

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

187

L2ネットワーク構成 ツリー型カスケード
R
HUB1
HUB3

HUB2
H

H

H

H

H

H

H

HUB4

H

H

H

H

H

z ツリー型カスケードによるL2ネットワーク
z 安価なHUBをカスケード接続利用できる
z 障害箇所をある程度局所化できる
z カスケードポイントに障害が発生するとL2ネットワークが分断し、正常に冗長化できない
z 誤ったカスケード構成によりループが発生する可能性がある
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

188

冗長化L2ネットワーク構成 カスケードなし
R1

R2

HUB
H

H

H

H

H

H

H

H

H

H

H

H

z
z
z
z

標準的なカスケードの無いL2ネットワーク
ホストの数だけ多ポートのHUBを用意する必要がある
遅延は少なく、L2障害発生の可能性も低く安定している
HUBのカスケード接続は許可しないため、L2ループなどの障害発生を防止できるz １台のHUBの障害で１つのL2ネットワークが全滅してしまうため、完全な冗長化とはならない

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

189

冗長化L2ネットワーク構成 ２台カスケード
R1

R2
HUB2

HUB1
H

H

H

H

H

H

H

H

H

H

H

H

z ２台カスケードによるL2ネットワーク
z カスケードポイントに障害が発生するとL2ネットワークが分断し、正常に冗長化できない– この区間のみSTPやチャネル接続などにより冗長化をはかる方法もある– STPを利用することで、STP要因による障害も発生する可能性があるため、カスケード
ケーブルが短い場合には冗長化せずに接続する方がよい

z 1台のHUBが故障してももう１台のHUBによりL2ネットワークの一部が動作し続ける
z ホストも冗長化し、２台のHUBに接続すれば完全な冗長化を図ることが可能
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

190

冗長化L2ネットワーク構成 ３台以上カスケード
R1

R2
HUB2

HUB1
H

H

H

H

H

H

H

HUB3

H

H

H

H

H

z 3台以上カスケードによるL2ネットワーク
z 安価なHUBをカスケード接続利用できる
z 障害発生時に障害箇所の特定が困難
z HUB2に障害が発生するとL2ネットワークが分断し、正常に冗長化できない
z 3台以上をカスケードし、冗長化を図るにはSTPが必要になる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

191

冗長化L2ネットワーク構成 STP利用
R2

R1
Root Bridge

HUB2

HUB1
HUB4

HUB3
H

H

H

H

H

H

H

H

H

z
z
z
z
z

STPを利用したカスケードによるL2ネットワーク
安価なHUBをカスケード接続利用できる
障害発生時にはSTPの状態を確認するスキルが必要
カスケードポイントに障害が発生してもSTPにより冗長化される
STPの特性により、障害時の切り替え時間、切り戻り時の通信不
通時間が長くなる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

H

H

HUB5

H

192

L2ネットワーク構成のまとめ
z L2ネットワークは極力カスケードしないほうがよい
z 多くのホストを収容する場合には多ポートのHUBを利用する
z 多ポートのHUBでも収容できない場合にはサブネットを分割し、異なるL2/L3ネットワークに収容する
z やむを得ずカスケードする場合にはツリー型カスケードとする
z L2ループを防止するため、カスケードするHUBを管理する
z 冗長化ネットワーク構成を組む場合にはカスケードは２台までとする
z ３台以上のカスケードを行う必要がある場合にはSTPを利用する必要がある2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

193

配線部材 （メタル）Ethernet規格と対応ケーブル

10BASE-T
100BASE-TX
1000BASE-T
1000BASE-TX

カテゴリ3
○

カテゴリ5 カテゴリ5e カテゴリ6
○
○
○
○
○
○
○
○
○

※カテゴリ5e:エンハンスト・カテゴリ5

z エッジスイッチ-端末間– カテゴリ5eを推奨– カテゴリ6であればすべての規格に対応するが、コスト高となる

z ルータ-エッジスイッチ間– カテゴリ6を推奨– 1000BASE-TXを利用しない場合でも今後のLANの高速化への対応と下位規格での安定した品質を提供できる

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

194

配線部材 （光ファイバ）
Ethernet規格と対応光ファイバ

100BASE-FX
1000BASE-SX
1000BASE-LX
1000BASE-ZX

MMF
○
○
△

SMF

DSF

○
△

○

MMF: Multi-mode Fiber
SMF: Single-mode Fiber
DSF: Dispersion Sifted Single-mode Fiberz

同一ラック内、同一フロア内– MMFを推奨– SMFでも支障はないが、安価な1000BASE-SX対応スイッチ利用できなくなるため、コスト高となる– MMF新規敷設であれば50/125μm GI(Graded Index)ファイバを選択

z

異なるフロア間––––z

SMFを推奨MMFでは長距離を引き伸ばすことができない
SMFはWAN回線の延長や事前敷設、10GbEにも利用可能
SMFは多くのメディアコンバータにも対応しており、100BASE-TXや1000BASE-Tを安価に延長できる

異なるビル間– SMFを推奨。長距離となる場合にはDSFを検討しても良い。

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

195

配線例

他のフロアへCat5e (100BASE-TX端末接続用)
Cat6 (1000BASE-Tサーバ接続用)
SMF (1000BASE-LXフロア間用)

z 適切なケーブル敷設により低コストと高い拡張性を実現する– 端末接続用にはCat5eで100BASE-TXを利用 (1000BASE-Tまで対応可能)– サーバ接続用にはCat6で1000BASE-Tを利用– フロア間接続にはSMF(光ファイバ)で1000BASE-LXを利用
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

196

ネットワークトラブルシューティング1
z Ethernetを利用したLANや回線で遅かったり、エラーが出る– Duplexミスマッチ
 対向となる通信機器のDuplexが異なることによる通信エラー
 Late collisionなどが検出される
 Full Duplex-Full Duplex(全二重同士)/Half Duplex-Half Duplex(半二重同士)など、おなじDuplexに設定することで問題は解消する
 Autoに設定するとHalf Duplexとなる機器
 Autoに設定しないとFull Duplex動作しない機器
 Full Duplexに設定するとエラーが出る機器– ケーブル不良
 ケーブル自体、コネクタ、継ぎ手、パッチパネルなどの不良による品質劣化

による通信エラー
 CRCエラーなどが検出される
 ケーブルの交換、継ぎ手やパッチパネル区間を無くすか品質の高いものに交換することで問題は解消する
 継ぎ手やパッチパネルなどは極力なくして配線したほうがよい
 市販ケーブルであってもクロストークなどが測定できるケーブルテスターでテストを行う2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

197

ネットワークトラブルシューティング2z Ethernetを利用したLANや回線で遅かったり、エラーが出る（続き）– STPに起因する問題
 利用していないSTPによる通信エラー
 ネットワーク高負荷時にCRCエラーが0.01%程度観測される
 STPをoffにすることで問題は解消する

z HSRP/VRRPが一時的に両方がアクティブなり、誤動作する– STPに起因する問題
 STPネゴシエーション時にリンクはあがっている状態にも関わらず通信できない状態が発生し、このとき、HSRP/VRRPが誤動作する
 STPをoffもしくはportfastに設定する– VLAN trunkに起因する問題
 VLAN trunkのネゴシエーション時に、リンクはあがっている状態にも関わらず通信

できない状態が発生し、このとき、HSRP/VRRPが誤動作する
 VLAN trunk上でHSRP/VRRPを利用しないようにネットワークを変更する
 HSRP/VRRP timerを調整し、hold timeをネゴシエーション時間より長くする

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

198

まとめ−１z データリンク層とネットワーク層の違い– データリンクフレームは中継が起こる毎に変化する– IPデータグラムは変化しない– データリンクフレームの宛先＝IPデータグラムの宛先とは限らない

z ハブとスイッチ、スイッチとルータの違い– スイッチはハブに比べLANを有効に利用できる– スイッチのみのネットワークはbroadcastに脆弱で、ウイルスを原因としたLAN輻輳を起こしてしまう– ルータを利用することでbroadcast floodを回避し、ウイルスを原因としたLAN輻輳を回避でき、障害に強ネットワークを構築することができるz インターネット接続にはルーティングは必須
z サーバなどの安全性を要求されるものは別のセグメントに配置する
z ネットワークの拡張を考慮したアドレス割り当てポリシーで運用する
2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

199

まとめー２z 一定の規模を超えるとスタティックルーティングより
ダイナミックルーティングの方が容易に管理することができるようになる
z ダイナミックルーティングは「経路の流れる方法と、経路が向く方向が逆になる」という基本法則を理解すればどのようなＩＧＰを利用してもネットワーク設
計をすることができる
z ダイナミックルーティングを利用すれば障害に強い
ネットワークを構築できる
z OSPFを利用すればバランシングとバックアップを同時に実現可能2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

200

まとめ−３z 広域Ethernetを利用した大規模なWANでは適切な規模ごとにネッ
トワークを分離して細い回線の輻輳を防止する必要がある
z インターネットVPNではＶＰＮ装置だけでなくtunnelルータを設置することで専用線と同様にダイナミックルーティングを利用したネットワークを構築することができる
z インターネットVPNではPath MTU Discovery Block holeの解決をはかる必要がある
z L2ネットワークでは極力カスケード接続を避ける
z 冗長化L2ネットワークでは２台カスケード構成とする
z 配線はできるがきりパッチパネルを利用せず、I/Fのエラーの状況か
らトラブルを解決する

2006/7/20

Copyright © 2006 Internet Initiative Japan Inc.

201