IPA WAN・VPN・ネットワーク仮想化 — 頻出論点と過去問

頻出論点

1. この分野は何か

離れた拠点どうしをつなぐ回線上の手順や、既存のネットワークの上に別のネットワークを重ねるトンネリング、機器の制御をソフトウェアに任せる仕組みなど、物理的な配線にとらわれずにネットワークを組み立てる技術を扱います。共有の回線上に仮想的な専用の通信路を作るVPNと、ネットワークの仮想化や集中制御の仕組みがその中心になります。

2. 実際の出題のされ方

広域接続やVPNの基本方式とネットワーク制御の概念は、応用情報技術者や高度試験の午前Iで問われます。シリアル回線と同じデータリンク確立・転送をLAN上で実現するPPPoE、ネットワーク層で動作しAH（認証ヘッダー）とESP（暗号ペイロード）を含むIPsec、IPv6の拡張ヘッダーとして備わる暗号化通信機能、VPNで用いられるL2TP・IPsec・TLSのOSI階層における上下関係が出題されています。中でも、データ転送機能と制御機能を論理的に分離して集中制御を行うSDN（OpenFlow）の定義は繰り返し出題されています。

午前II（情報処理安全確保支援士やネットワークスペシャリストなど）では、PPPの認証フェーズの位置やOpenFlowのメッセージ名など、手順やヘッダーの中身まで問われます。PPPにおいてリンク確立フェーズの後に認証を実行できること、ラベルを挿入してIPアドレスに依存しない転送を行うMPLS、レイヤ3のネットワーク上に論理的なレイヤ2の区間をカプセル化で構築するVXLANが出題されています。また、ルータやファイアウォールなどの機能を汎用サーバの仮想マシン上のソフトウェアで実現するNFV、OpenFlowスイッチが未知のパケットをコントローラーへ送るPacket-Inメッセージ、IPsecのESPトンネルモードで暗号化される電文の範囲なども問われています。

3. 学習のポイント

• トンネリングとVPNプロトコルの動作階層: OSI基本参照モデルの下位から順に、データリンク層（第2層）のフレームをカプセル化するPPTPやL2TP、ネットワーク層（第3層）のIPパケットを対象とするIPsec、トランスポート層より上位で動作するTLSやSSHの階層関係を整理します。
• IPsecの構成要素とESPトンネルモードの範囲: IPsecは暗号化と認証を行うESP、認証のみを行うAH、鍵交換やアルゴリズム交渉を行うIKEで構成されます。ESPトンネルモードでは、新IPヘッダー・ESPヘッダー・オリジナルIPヘッダー・TCPヘッダー・データ・ESPトレーラ・ESP認証データの順に並ぶうち、オリジナルIPヘッダーからESPトレーラまでが元のIPヘッダーを含めて暗号化される範囲です（認証範囲はESPヘッダーからESPトレーラまで）。
• WAN接続（PPP・PPPoE・MPLS）とオーバーレイ（VXLAN）: PPPはリンク確立フェーズ（LCP）の後に認証フェーズを実行でき、専用線や全二重・同期式回線でも利用可能です。このPPPをイーサネット上で動かすのがPPPoEです。また、短いラベルの付与で高速転送するのがMPLS、レイヤ2フレームをUDP/IPで包んでレイヤ3上に論理レイヤ2網を作るのがVXLANです。
• SDN/OpenFlowとNFVの役割分担: SDNはネットワーク機器のデータ転送機能と制御機能を分離してコントローラーで集中制御するアーキテクチャです。OpenFlowでは、スイッチからコントローラーへのパケット転送にPacket-In、コントローラーからスイッチへのフローテーブル変更指示にFlow-Mod、指定ポートからの送出指示にPacket-Outを使います。一方、専用機器の機能を汎用サーバ上の仮想マシンでソフトウェア化するのがNFVです。

4. 間違えやすいところ

• ESPトンネルモードの暗号化範囲とIKEの役割: ESPトンネルモードの電文図から暗号化範囲を選ぶ問題では、認証の対象範囲であるESPヘッダーからESPトレーラまでや、配送に使う新IPヘッダー、末尾のESP認証データまで含めた範囲が誤答肢に並んでいました。また、暗号化や認証のアルゴリズムを交渉するのはAHヘッダーではなくIKEであり、HMAC-SHA1は暗号化ではなくメッセージ認証用のアルゴリズムである点にも注意します。
• SDNとNFV、および仮想ネットワーク技術の混同: SDNの説明にNFV（ネットワーク機能の仮想マシン化）や物理サーバ内の仮想スイッチ通信、あるいはホワイトボックススイッチの説明を混ぜた誤答肢があります。逆にNFVを問う問題では、OpenFlowの専用機器だけを使うとしたり、専用機器でVLANやVPNを実現するとしたりする誤答がありました。
• カプセル化の対象階層の取り違え: ネットワーク層のパケットをIPパケットでカプセル化するプロトコルを問う問題で、データリンク層を扱うL2TPやPPTPを選ばせたり、レイヤ3上にレイヤ2を構築するVXLANの選択肢としてレイヤ2多重化のIEEE 802.1ad（QinQ）やPPPoEを並べたりするひっかけに注意が必要です。