Red Hat Summit第2章 Networking In-Depth
2.1. 基本的なネットワークの仕組み
ネットワークは、コンピューター間で情報を移動することで設定されます。最も基本的なレベルでは、ネットワークインターフェイスカード(NIC)がインストールされている 2 台のマシン間でケーブルを実行することで実行されます。OSI ネットワークモデルに注目すると、これはレイヤー 1 になります。
会話に 2 台以上のコンピューターを使用する場合は、スイッチ と呼ばれるデバイスを追加して、この設定をスケールアウトする必要があります。スイッチは、追加のマシンを接続する複数のイーサネットポートを持つ専用デバイスです。この構成は、ローカルエリアネットワーク(LAN)と呼ばれます。
スイッチは OSI モデルをレイヤー 2 に移動し、下位レイヤー 1 よりも多くのインテリジェンスを適用します。各 NIC には、ハードウェアに割り当てられた一意の MAC アドレスがあり、この番号により、同じスイッチに接続されているマシンが相互に認識できるようになります。
スイッチは、どの MAC アドレスがどのポートに結線されているかのリストを管理するので、コンピューター間でデータ送信を試みる際に、スイッチは各 NIC が配置されている場所を認識し、ネットワークトラフィックを正しい宛先に転送するように回路を調整します。
2.1.1. 複数の LAN の接続
2 つの別個のスイッチで 2 つの LAN を使用する場合は、次の方法で 2 つの LAN を接続して互いに情報を共有できます。
- トランクケーブル
- 2 つのスイッチは、トランクケーブルと呼ばれる物理ケーブルで直接接続できます。この設定では、トランクケーブルの各エンドを各スイッチのポートに接続し、それらのポートをトランクポートとして定義します。これで、2 つのスイッチが 1 つの大きな論理スイッチとして機能し、接続されているコンピューター間で正常に検出できるようになります。このオプションはあまりスケーラブルではなく、オーバーヘッドによって直接リンクするスイッチが長くなります。
- ルーター
各スイッチからケーブルを接続するには、ルーターと呼ばれるデバイスを使用できます。その結果、ルーターは両方のスイッチに設定されているネットワークを認識します。ルーターに接続する各スイッチはインターフェイスになり、そのネットワークのデフォルトゲートウェイとして知られる IP アドレスが割り当てられます。デフォルトゲートウェイのデフォルトとは、送信先のコンピューターがデータ転送元と同じ LAN 上にないことが明らかな場合に、トラフィックが送信される宛先であることを意味します。
各コンピューターでこのデフォルトゲートウェイを設定した後に、トラフィック送信のために、他のネットワーク上の他のすべてのコンピューターを認識する必要はありません。トラフィックはデフォルトゲートウェイに送信され、ルーターはそこから処理します。ルーターは、どのネットワークがどのインターフェイスに存在するかを認識するため、パケットを目的の宛先に送信できます。ルーティングは、OSI モデルのレイヤー 3 で機能し、IP アドレスやサブネットなどの一般的な概念を利用します。
この概念は、インターネット自体が機能する仕組みです。異なる組織により実行される多くの別個のネットワークは、すべてスイッチおよびルーターを使用して相互接続されています。正しいデフォルトゲートウェイに従うようにしてください。トラフィックは最終的に移動先に到達します。
2.1.2. VLAN
仮想ローカルエリアネットワーク(VLAN)を使用すると、同じスイッチ上で動作するコンピューターのネットワークトラフィックを分割することができます。異なるネットワークのメンバーであるようにポートを設定することで、スイッチを論理的に分割することができます。この設定により、ポートがミニ LAN になり、セキュリティーの目的でトラフィックを分割できるようになります。
たとえば、スイッチに 24 個のポートがある場合、ポート 1 - 6 を VLAN200 に、ポート 7-18 が VLAN201 に属するポートを定義できます。VLAN200 に接続されているコンピューターは、VLAN201 のコンピューターと完全に分離され、直接通信できなくなります。2 つの VLAN 間のトラフィックはすべて、2 つの別個の物理スイッチであるかのようにルーターを通過する必要があります。また、ファイアウォールでセキュリティーを強化することで、相互に通信できる VLAN を判断することもできます。
2.1.3. ファイアウォール
ファイアウォールは、IP ルーティングと同じ OSI レイヤーで動作します。多くの場合、それらはルーターと同じネットワークセグメントにあり、すべてのネットワーク間のトラフィックを制御します。ファイアウォールは、ネットワークに出入りできないトラフィックを規定する事前定義済みのルールセットを使用します。これらのルールは細かくすることができます。たとえば、VLAN 200 上のサーバーが VLAN201 上のコンピューターとのみ通信できるルールを定義でき、その後の水曜日ではしか、トラフィックが Web (HTTP)で、一方向に移動するルールを定義できます。
これらのルールを強制するために、一部のファイアウォールはステートフルパケット検査(SPI)も実行します。ここで、パケットの内容を調べて、それらが要求するものであることを確認します。ハッカーは、マスカレードが他のトラフィックとして送信することで、データを排出することが知られています。SPI は、その脅威を緩和するのに役立つ 1 つのメソッドです。
2.1.4. ブリッジ
ネットワークブリッジは、OSI モデルの同じレベル 2 で動作するスイッチですが、ルーターと同様に別個のネットワークを接続することのみが対象です。
