HOME»ネットワークスペシャリスト掲示板»令和3年午後2問2 外部からDMZへの経路は?
投稿する

令和3年午後2問2 外部からDMZへの経路は? [0475]

 にゃむさん(No.1) 
移行後のネットワーク構成について疑問があります。
移行作業により、ルータ10やルータ11は静的経路が削除されているように見受けられます(表6 Cさんが検討した冗長化手順)
この構成では、ルータ10やルータ11はどうやってDMZ向けの経路を、FW10へ転送しているのでしょうか?

問題文中からははっきりと根拠となる対処策が見つからなかったので、自分でこうするのではないかなと考えましたが、どれも疑念が残ります。
①静的経路
ルータ10やルータ11には静的経路が登録されていないはずですが、あくまでそれは"インターネット向けの通信"であり、"DMZ向けの通信"でない、と無理やり解釈したケースです。
この場合、例えばルータ10へは以下のルーティングテーブルを登録するのかなと思います。
===
宛先ネットワークアドレス→DMZのネットワークアドレス
ネクストホップ→α.β.γ.19/29(インタフェースeのIPアドレス)
===
これで一見ルータ10からFW10への転送はできそうです。
ただし静的経路の性質上、これでは冗長性が確保できないように見えます。
ルータ10は転送の際に上記ネクストホップをARP解決しようとしますが、もしルータ10とL2SW10の間のリンクに障害が発生していたらARP解決できず、通信を転送できなくなります。

②FW10からiBGPでDMZへの経路を広告している
FW10が、DMZへの経路をルータ10やルータ11へ広告するケースです。
当方、iBGPの設定にはあまり詳しくないですが、これならばルータ10やルータ11はDMZへの経路を動的に制御できるかなと思います。
ただしそもそもBGPはEGPであり、こういった内部向けのルーティング向けでは一般に使用されない認識です。
BGPの一般的な性質に反したこの設計が妥当であり、上手く機能するかが疑問です。

③FW10からOSPFでDMZへの経路を広告している
iBGPの冗長性を確保するために設計したOSPFを再利用するケースです。FW10のDMZ向けインタフェースをパッシブインタフェースにして、ルータ10やルータ11へ広告すれば、DMZ向けの通信を実現できるのではないかと思います。
ただし問題文中の構成図を見てみるとOSPFエリアはあくまでルータ10やルータ11、FW10の間のみに限定されており、DMZはOSPFエリアに含まれていないように見えます。また、そもそもこの手法を使うならば、設問2(2)でnext-hop-selfを設定しなくても、ルータ10やルータ11は外部ルータへのネクストホップをOSPFで広告すればよいのではないでしょうか。

①~③ともにこれは妥当な手法なのか疑問が残るため、どうやってルータ10やルータ11からDMZ向けのルーティングを行っているのか教えていただきたいです(問題文中には書かれていないため、行間を読む形とはなってしまいますが...)
2025.01.23 20:32
 にゃむさん(No.2) 
誤字修正
冒頭から4行目
誤:この構成では、ルータ10やルータ11はどうやってDMZ向けの経路を、FW10へ転送しているのでしょうか?
正:この構成では、ルータ10やルータ11はどうやってDMZ向けのパケットを、FW10へ転送しているのでしょうか?

②の4行目
誤:ただしそもそもBGPはEGPであり、こういった内部向けのルーティング向けでは一般に使用されない認識です。
正:ただしそもそもBGPはEGPであり、こういった内部で閉じたルーティングでは一般に使用されない認識です。
2025.01.23 20:55
返信投稿用フォーム
お名前
顔アイコン

本文(コミュニティガイドライン⇱を順守して適切な投稿を心がけましょう)
🔐投稿削除用のパスワード
投稿プレビュー
※宣伝や迷惑行為を防止するため、当サイト、姉妹サイト、IPAサイト以外のURLを含む文章の投稿はできません。
投稿記事削除用フォーム
投稿No. パスワード 
© 2015- ネットワークスペシャリストドットコム All Rights Reserved.

Pagetop