本社と四つの支社のUTM間にIPsec VPNを構築する。本社を中心として各支社が接続し、支社同士は直接接続しない。

問題

解説：中心の本社がハブ、各支社がスポークに当たる。全拠点間を直接つなぐフルメッシュとは異なる。

SD-WAN装置間のオーバーレイはIPsecトンネルで構成する。コントローラーは経路情報とは別に、トンネルを確立するための情報を各装置へ配布する。

問題

解説：トンネルの接続先を知る情報と、その相手との保護通信を成立させる鍵情報が必要になる。利用者ネットワークの経路情報とは役割が異なる。

社外PCのソフトEは、まずSWGに通信を中継する。社内の業務用サーバへは、DMZのリバースプロキシを利用する。DMZとサーバセグメントの間にはFWがある。直接接続の例外は設定しない。

問題

解説：外部からDMZへ入るときと、DMZからサーバセグメントへ進むときの二度、FWを経由する。SWGを利用しても、社内のセグメント境界がなくなるわけではない。

IPsecルータは、LAN側の通信と、インターネット上でVPNを確立する通信を分ける。それぞれの用途でデフォルト経路を使えるように、VRFを構成する。

問題

解説：同じ装置でも、VRFごとに異なる経路選択ができる。トンネル内の利用者通信とトンネル外の到達用通信を分離する。

IPsecルータのインターネット側はVRF 65000:1に属する。LAN側とトンネルIFはVRF 65000:2に属する。本社のVRF 65000:2には、L3SW経由のデフォルト経路がある。

問題

解説：VPNから取り出した利用者パケットは、トンネルIFの属するLAN側VRFで扱う。VPNの外側を運ぶためのVRF 65000:1とは分けて判断する。

本社のSD-WAN装置2と支店Vの装置3の間には、MPLS VPN上のトンネルとインターネット上のトンネルがある。MPLS側の端点はTE023・TE032、インターネット側はTE123・TE132である。正常時はMPLS VPNを優先する。

問題

解説：二拠点間には直接のトンネルがあるため、データセンターを経由させない。通常時の優先条件を、トンネルの土台となるネットワークに適用する。

本社装置2と支店V装置3には、MPLS VPN上の端点TE023・TE032と、インターネット上の端点TE123・TE132がある。MPLS VPNが使えない場合はインターネット経由を選ぶ。支店VのMPLS VPN接続回線に障害が発生した。

問題

解説：同じ二拠点の通信であっても、使用するアンダーレイが変わるとトンネルの両端点も変わる。故障したMPLS側の片方の端点だけをインターネット側へ置き換えるわけではない。

Z社の閉域LPWA網とY社をIPsecで接続する。IKEv2では四つのメッセージを交換する。保護対象はGメーター管理サーバ宛ての通信である。LTE-M端末には加入者識別用のカードを装着する。測定データは1回100バイトで毎時送る。30日間の基本料金は300円、通信料は1,000バイト当たり1円とする。CoAPはHTTPのように資源を操作するAPIを提供する。

問題

解説：四つのメッセージは要求・応答の二往復となる。LTE-Mの加入者識別と、IPsecで保護する通信の選別は別の機能である。

通信量は100×24×30＝72,000バイトである。料金は300＋72,000÷1,000＝372円となる。原問の課金条件で計算する。

コンテナサーバa・bはそれぞれ独立した仮想ブリッジセグメントを持つ。両セグメントには同じ内部アドレスを割り当てる。外部通信には仮想ルータのNAPTとポートフォワードを使う。

問題

解説：外部からはコンテナサーバ側のIPと公開ポートで接続先を指定する。重複する内部IPは、それぞれ分離された仮想ブリッジ内で使う。

共有リバースプロキシは192.168.0.98である。AP0aはコンテナサーバaの192.168.0.112:8000で公開する。AP0bは192.168.0.113:8000で公開する。PCはAP0のFQDNでアクセスする。

問題

解説：PCは共有入口へ接続する。リバースプロキシはAP0に対応する公開ポート8000へ新たな接続を作る。

コンテナサーバaの公開先192.168.0.112:8000は、内部のWebAPコンテナAP0aへ転送する。AP0aの内部IPは172.16.0.16であり、HTTPは標準ポートで待ち受ける。

問題

解説：外部側の公開ポート8000と、コンテナ内で待ち受けるポート80を混同しない。仮想ルータが宛先IPとポートを対応表に従って変換する。

物理ホスト上に複数の仮想サーバを構成する。APごとに2台を用意し、VRRPv3で仮想IPを共有する。APのFQDNをDNSで仮想IPv4アドレスへ対応付ける。

問題

解説：仮想サーバの実行基盤、冗長グループの識別、名前解決を分けて整理する。利用者は各実サーバではなく、VRRPの仮想IPへ接続する。

専用APはHTTPではない独自のTCP/IPプロトコルを利用する。コンテナからPC・共有DBへ通信する際、仮想ルータがアドレスやポートを変換する。

問題

解説：通信方式がAPごとに異なるため、変換を介した接続でも正常に動くことを個別に確認する。WebAPの動作確認だけでは専用APの互換性を証明できない。

利用者ごとに専用の仮想PCを用意する。仮想PCには固定IPアドレスを設定する。SSL-VPN装置は認証した利用者に応じてDNATの接続先を決定する。

問題

解説：認証結果のIDを検索キーとし、実際の接続先IPアドレスを得るための対応表である。IPアドレスだけの一覧では利用者を対応付けられない。

VM11はL3SW11のVLAN110に接続し、VNIは10010である。VNI10010のマルチキャストグループは239.0.0.1である。VM11がVM31のMACアドレスを調べるためにARP要求を送った。

問題

解説：ARP要求はブロードキャストであり、原問の設定ではVNIに対応するマルチキャストへ変換して運ぶ。VM31のユニキャストIPアドレスを外側の宛先に設定しない。

L3SW31は、L3SW11から送られたVM11のARP要求を含むVXLANパケットを受信する。その後、VM31のARP応答をL3SW11へユニキャスト転送する必要がある。

問題

解説：返信先端末のMACアドレスだけでは、どのトンネルへ送るか判断できない。仮想L2を識別するVNIと、そこへ到達する遠隔VTEPのIPアドレスを組み合わせる。

VM11とVM31はVNI10010に属する。VM11はL3SW11に、VM31はL3SW31に接続する。両VTEPのIPアドレスはそれぞれ10.0.0.11と10.0.0.31である。ARP要求と応答の交換を終えた。

問題

解説：どちらも同じVNIを学習するが、遠隔VTEPには相手側のアドレスを入れる。自装置のVTEPアドレスを書く誤りに注意する。

EVPNではMP-BGPを使い、遠隔VMのMAC・VNI・VTEPを通信開始前に学習する。また一台の物理サーバを二台のVTEPへリンクアグリゲーションで接続し、両VTEPが同じ接続対象を認識できるようにする。

問題

解説：MACアドレスの所在を先に知れば、宛先不明によるフラッディングを減らせる。ESIはVNIとは異なり、複数のVTEPが共有する接続セグメントを識別する。

新構成ではアンダーレイのIPマルチキャストを使わない。BUMフレームをユニキャストで各遠隔VTEPへ複製転送するため、転送前にそのVTEPのIPアドレスを知る必要がある。

問題

解説：旧構成のように実際のVXLANパケットを受け取ってから学習するのではなく、EVPNの制御情報として先に取得する。

VTEPは、VLAN IDに対応するVNIと、そのVNIに参加する遠隔VTEPをMP-BGPで学習する。ARP要求を受信した際は、IPユニキャストを使って必要な相手へ複製転送する。

問題

解説：ユニキャストで運ぶ場合も、ARP要求を届ける論理的な範囲は同じL2ネットワークである。全VTEPではなく、対応するVNIへの参加者に限定する。

VXLANは約1,677万個のL2オーバーレイネットワークを識別できる。元のEthernetフレームにVXLANヘッダー、トランスポート層のヘッダー、IPv4ヘッダーを付加してVTEP間で送る。

問題

解説：2の24乗は16,777,216であり、本文の規模に対応する。L2フレームをUDP/IPで包むことで、L3ネットワークを越えて同じL2の通信を運ぶ。

受信したVXLANパケットは、外側からIPv4ヘッダー、UDPヘッダー、VXLANヘッダー、元のEthernetフレームの順に構成される。VTEPはこれらを読み、遠隔のサーバへの転送情報を学習する。

問題

解説：元の端末の識別情報と、トンネル端点の識別情報は異なる層に入る。外側のIPアドレスをそのままVMのIPアドレスだと解釈しない。

現行のVXLANでは、ブロードキャスト、宛先未学習のユニキャスト、マルチキャストをBUMフレームと呼ぶ。これらの転送時は、外側IPv4の宛先を、そのVNIに対応するマルチキャストグループアドレスにする。

問題

解説：宛先を一台に絞れないフレームを、同じ仮想L2に属する遠隔拠点へ届ける。異なるVNIを持つ全VTEPへ無条件に配るという意味ではない。

VTEPとなるL3SWは複数の物理リンクを持ち、OSPFで冗長な経路を利用できる。VTEPのIPアドレスには特定の物理インタフェースではなく、ループバックのIPアドレスを用いる。

問題

解説：端点の識別を特定の物理リンクから分離する。別リンクを使ってループバックへ到達できれば、同じVTEPアドレスへの通信を続けられる。

VM11・VM12・VM13のVNIは順に10010・10020・10030である。VM31・VM32・VM33のVNIは順に10010・10040・10030である。送信元VM23のVNIは10040である。異なるVNI間のルーティングは行わない。

問題

解説：同じVNI10040に属するVM32だけが同じ仮想L2ネットワークとなる。VMに同じIPアドレス帯が設定されていても、VNIが違えば同じL2として通信できない。

G社はMPLS VPNで四つの拠点を接続する。顧客側ルータは通信事業者のPEと対向する。拠点内ではOSPF、拠点間ではBGPを利用する。インターネット接続用のプロキシはDMZに置く。導入予定のSD-WANはアプリケーションを識別して転送経路を決める。

問題

解説：機器の所属、経路情報を交換する範囲、転送先を選ぶ条件を分けて捉える。OSPFとBGPを併用するだけでは経路は相互に伝わらないため、境界で再配布を行う。