3 Minutes Networking Step-by-Step
No.10

ネットワークなぜなに講座

構築第10回サーバを内部と外部に公開しよう

■ 構築問題 第十問

おねーさん

おね〜さんと、

ほげたん

ほげたんのっ!!

おねーさん

3 Minutes Networking、

ほげたん

Step by Step !!

おねーさん

前回、ファイアウォールを導入して内部ネットワークを守る構成にしたわけだけど。

ほげたん

ファイアウォールは大事なもう1つの役割がある?

おねーさん

そう、その話だったわね。
ファイアウォールをフィルタするための機器として覚えちゃダメってね。

ほげたん

でもさぁ、おね〜さん。ファイアウォールは普通、フィルタをしてパケットを制限することにより内部ネットワークを守るものだよ〜。

おねーさん

うん、それはそうよ。間違ってない。

ほげたん

じゃあ、なんで?

おねーさん

あのね……、それを解説するために問題をやりましょう。

サーバを内部と外部に公開しなさい

第十問

[FigureSS10-01:第十問]

  • 内部公開用Webサーバを追加しなさい
    • 現在のネットワーク構成は第九回の問題と同じとする
    • 外部Webサーバは外部向けのサイトのみを保有する
    • 内部Webサーバは全社的に使用するものとする
    • IPアドレスも設定しなさい
    • グローバルIPアドレスは[200.100.10.0/28]を取得した。
    • フロアに対するIPアドレスは第六回の問題同様、DHCPによる動的割り当てを行う。
おねーさん

いわゆる、エンタプライズサーバを置いてね。

ほげたん

IPアドレスも設定するの?

おねーさん

うん、実は内部サーバの設置はダシで、そっちがキモ。

ほげたん

そなの?

解答は非表示になっています。自分なりの答えができた方は表示させてください

■ 構築問題 第十問 解答

ほげたん

え〜っと、じゃあ、とりあえずIPアドレスは置いておいて、内部サーバを配置したよ。

ほげたんの解答

[FigureSS10-02:ほげたんの解答]

おねーさん

あ〜、たしかにコレでもいいわね。

ほげたん

あれ? 違った?

おねーさん

ん? いえ、どちらかといえば、ほげたんの方がよりよい答えね。
私はこう考えてたの。

おね〜さん案

[FigureSS10-03:おね〜さん案]

ほげたん

たいして変わらない気がするけど?

おねーさん

そうでもないわ。内部Webサーバへのアクセスと、外部へのアクセスがすべて内部ルータ・ファイアウォール間に集中しちゃうもの。

おね〜さん案・トラフィック集中

[FigureSS10-04:おね〜さん案・トラフィック集中]

おねーさん

だから構成的には、ほげたんの方が正解。

ほげたん

構成的には?

おねーさん

ルータのインタフェース数の問題ね。4つあればいいけど。もしくはレイヤ3スイッチなら問題ないわ。

ほげたん

そうか〜、インタフェースの数か。考えてなかったな〜。

おねーさん

ま、今回は私の案でいきましょ。
じゃ。ほげたん、IPアドレスを書いて。

ほげたん

ん〜っと、……あれ? どうなるんだろ?
……とりあえず、内部だけでいい? あとファイアウォールってIPアドレスいるよね?

おねーさん

もちろん。内部だけでいいから書いてみて?

ほげたん

じゃ、こんなん。

IPアドレス設定・内部

[FigureSS10-05:IPアドレス設定・内部]

おねーさん

うん、いいわ。
じゃ、外部も書いてね。

ほげたん

う、ううぅ。外部? 外部?
え〜、こう、なるのかな?

IPアドレス設定・外部(案)

[FigureSS10-06:IPアドレス設定・外部(案)]

おねーさん

ふ〜ん。ルータがNATするの?

ほげたん

う、うん。

おねーさん

違うわね。

ほげたん

え? そうなの?

おねーさん

うん。今回最大のポイントよ、いい、よく聞きなさい。
ファイアウォールの正体は『NATマシン』なの

ほげたん

へ? あの、ふぃるたりんぐは……?

おねーさん

NATマシン。
ネットワーク構成図として、ファイアウォールはNATをするものと覚えなさい。つまり、こう。

IPアドレス設定・外部

[FigureSS10-07:IPアドレス設定・外部]

おねーさん

おね〜さん、CiscoのPIXの講習会で、Ciscoパートナーの企業の人で、講師やってた人から聞いたんだけどね。
もともと、CiscoのファイアウォールであるPIXって、NAT専用機だったらしいのよ。

ほげたん

NAT専用機? そんなのがあったの?

おねーさん

ルータでもNATができるけどNAT分の負荷を減らしたいじゃない? 特に大きな企業になればなるほど、NATの回数は増えるわけだし。
そこで、NAT専用機の出番ってわけね。

ほげたん

は〜、SSLアクセラレータみたいだね。

おねーさん

で、内部・外部の境界にNAT専用機を置くでしょ。位置的にはファイアウォールと全く同じ位置に。
そこから、セキュリティのことも考えていくと、そのNAT専用機がファイアウォールへと進化していった、と。

ほげたん

なるほど。確かにNATを行う位置と、ファイアウォールの位置って同じの場合が多いかなぁ。

おねーさん

そゆこと。まぁ、PIXももともとはCiscoの製品じゃなくて、買収した会社のものだってオチがあるけど、それはそれとして。
つまりよ、ほげたん。多くの人はファイアウォールでフィルタリングすることは知っているわけよ。常識として。

ほげたん

常識……、まぁ常識かも。

おねーさん

でも、ファイアウォールでNATをするとは、普通の参考書には載ってないの
だから、強調するわけ。ファイアウォールはNATマシン。コレよ。

ほげたん

う〜ん、なるほど〜。確かにファイアウォールのことは書いてある。NATのことも書いてある。
でも、「ファイアウォールでNATする」ということを解説してあるのって少ないかも。

おねーさん

使ってる人から見れば、何言ってんの? って感じなんだけどね。
構築初心者から見ると、なかなかわからないわけよ。

ほげたん

うん、それは確かにそうかな?
家庭用ブロードバンドルータとか、CCNAの勉強とかしてると、ルータでNATってのが普通に思えちゃうかも。

おねーさん

そうでしょ。ご家庭やSOHOレベルならルータでNATもいいけど、企業ならファイアウォールでNAT。外部接続ルータに負荷をかけないためにもね。

ほげたん

わかったよ。ファイアウォールはフィルタ+NATだね

おねーさん

そうよ、ほげたん。特にネットワーク構成図ではフィルタリングよりもNATの方が重要だったりするから、ね。
じゃ、最後に全体の構成図とNATテーブルを書くわね。

全体の構成図

[FigureSS10-08:全体の構成図]

分類インタフェースIPアドレスインタフェースIPアドレス
NAPTWAN200.100.10.3LAN172.16.0.0/24
LAN172.16.1.0/24
LAN172.16.2.0/24

[TableSS10-01:NATテーブル]

ほげたん

そういえば、おね〜さん。外部との接続はunnumberedを使うんだね?

おねーさん

あ、そうね、言い忘れてたわ。ルータのLAN側インタフェースにグローバルIPアドレスを与える必要があるから、unnumberedを使うわ。そうしてファイアウォールの外側とか外部公開サーバにグローバルIPアドレスを与えるわけ。

ほげたん

へ〜。そういうもんなんだ。

おねーさん

そういうものよ。もちろんうなるほどグローバルIPアドレスがあれば話は別だけど。
まぁ、通常は外部接続ルータはunnumbered方式を使用するわね。

ほげたん

了解ッス。

おねーさん

だいたいね、テクニカルエンジニア(ネットワーク)の問題のネットワーク構成図はunnumberedやファイアウォールでNATする形で書いてあるわけよ。でも、ほとんどの問題集はそのことは置いておいて、問題の解説しかしてないの。

ほげたん

そうかも。普通は問題の「解説本」だからね。

おねーさん

でもね、おね〜さんこう思うのよ。こういう事を知ることがまず先じゃない、と。
たしかに問題には直接関係ないかもしれない。でも、「どうしてこの形なのか」を知っておくのが先決なんじゃないか、って。

ほげたん

だからこの講座、なわけでしょ?

おねーさん

うん。そういうこと。自分でネットワーク構成図が書けるようになる。ここから始めるのよ。
というところでまた次回。おね〜さんと、

ほげたん

ほげたんのっ!!

おねーさん

3 Minutes Networking、

ほげたん

Step by Step !! でした〜〜〜っ!!
まったね〜〜〜!!

3 Minutes Networking Step-by-Step No.10

管理人:aji-ssz(at)selene.is.dream.jp