スイッチとVLAN【情報処理安全確保支援士講座】
今回は情報処理安全確保支援士で問われるスイッチとVLANについて学習します。
スイッチとVLAN
それでは、スイッチとVLANについて確認していきましょう。
スイッチについて
スイッチは、LANに接続される各ホストの集線装置として設置され、各ホストが発信するパケットのヘッダ情報(主にMACアドレス)に基づいて、適切な接続ポートにパケットを高速送信することで正しい接続先につなぐ役割を果たす装置です。
ブリッヂとの違い
スイッチと似たような仕組みとして、ネットワークセグメントを繋ぐブリッジがあります。具体的な違いは以下の通りです。
- 処理方式:ブリッジはソフトウェアを用いて、スイッチはASICと呼ばれるハードウェアを用いる
- 1台当たりのポート数:ブリッジは数ポートであり、スイッチは数十～数百もありうる
- フレーム転送方式:ブリッジはストアアンドフォアード方式であり、スイッチはカットアンドスルー方式・フラグメントフリー方式もある
| フレーム転送方式 | 説明 | 強み | 弱み |
| ストアアンドフォワード方式 | フレームを最初に読み込み、チェックを行ってから転送する方式 | 信頼性が高い | 転送速度が遅い |
| カットアンドスルー方式 | まずはフレームの先頭6バイトを読み込み、チェックを行わずに転送する方式 | 転送速度が速い | エラーチェックがないため、信頼性が低い |
| フラグメントフリー方式 | フレームの先頭64バイトを読み込み、衝突して壊れたフレーム(Runtフレーム)を取り除いて転送する方式 | ・衝突して壊れたフレームを取り除ける ・信頼性と転送速度のバランスが取れている |
・壊れたフレーム以外はチェックされない ・処理速度はカットアンドスルー方式より遅い |
スイッチの必要性
一般的なバス型LANにおいては、各ホストが1本のケーブルを共同利用していることが多いです。
もしスイッチを導入していないLANでは、接続されたホストが発信するフレームがあて先になくてもLAN上を流れてしまうため、トラフィックが増大するデメリットや通信データが盗聴されるリスクが高まります。
これらの問題点を解決するために、LANを論理的に小さなグループにわけ、実際のあて先に限定してフレームを転送する制御が必要であり、この技術がスイッチに該当します。
レイヤ3(L3)スイッチとは
レイヤ3スイッチは、スイッチにルーティング機能を追加したものです。
スイッチ技術が広く浸透する前は、ルータを用いて基幹ネットワークを構築していました。
しかし、トラフィックが増大するに伴ってルータに負荷が集まってしまい、結果ボトルネックトなってネットワーク全体のスループットが低下するといった問題が発生していました。
また、ルータはソフトウェアによってパケット制御をしているため、ハードウェアでパケットを処理しているスイッチよりも処理速度が高速化しづらいといった問題点もあります。
これらの問題を解決するために、スイッチにルーティング機能を追加して処理を分散することで、ネットワーク全体のスループットを向上させようといった考えが生まれ、レイヤ3スイッチが登場しました。
レイヤ3スイッチはルータよりもはやい速度でルーティング処理が可能となります。
VLAN(Virtual LAN)について
VLANとは、スイッチ(スイッチングハブ・レイヤ2スイッチ)に接続されたいくつかのホストをグループに分けることで、仮想的に作り出されたLANのことです。
物理的な接続とは関係なく、スイッチの設定を変更することで自由にグループを作成できるため、Virtual LANと呼ばれています。
ここでのグループは、MACアドレスで直接通信することが可能なホストの集まりで、ブロードキャストドメインとも呼ばれます。
VLANを構築することで、個々のVLANは個別のネットワークとして認識されるため、ブロードキャストフレームも送信されません。
したがって、同一のスイッチに接続されていても、異なるVLANであれば全く別のネットワークとなります。
VLANの間でフレームをやり取りするためには、ルータやレイヤ3スイッチを介さなければなりません。
VLANの構成
VLANを構築する方式を確認していきましょう。
ポートベースVLAN
ポートベースVLANは、スイッチのポート単位に物理的にVLANグループを設定する方式です。
接続するポートによってどのVLANに属するかが決まるため、最も簡単な方式です。
接続すれば誰でもVLANに参加できる可能性があるため、セキュリティ面で問題がある点は押さえておきましょう。
あわせて、接続するポートを変えるとVLANの設定も変える必要があるため、設定変更時に手間が発生する点も押さえておかなければいけません。
アドレスベースVLAN
アドレスベースVLANは、スイッチに接続される各機器に付されたアドレスでVLANグループを設定する方式です。
ノードを識別するためのアドレス情報として、MACアドレスやIPアドレスが使われます。
IPアドレスを用いてVLANを構築する場合、レイヤ3スイッチを使用しないといけない点も押さえておきましょう。
アドレスベースVLAN方式では、スイッチのポートとVLANグループの間に関連性がないため、柔軟にネットワークを構築できる点が強みです。
ポリシベースVLAN
ポリシベースVLANでは、ユーザがVLANを構築するポリシを決定し、それに沿ってVLANを構築する方式です。
通信プロトコルごとにVLANを構築するプロトコルベースVLANや、サブネットごとに構築するサブネットベースVLANがあります。
タグVLAN
タグVLAN方式は、パケット内の拡張タグに指定された情報によってVLANを構築する方式で、複数のスイッチにまたがったVLANを構築できます。
タグVLAN方式では、タグ付きのフレームを認識できるスイッチで統一しなければなりません。
VXLAN
VXLAN(Virtual eXtensible Local Area Network)は、レイヤ3ネットワーク内に論理的なレイヤ2ネットワークを構築するプロトコルです。
VXLANでは、24ビットのVXLAN IDでイーサネットフレームをカプセル化し、最大約1,600万のネットワークを構築できます。
スイッチとVLANの例題
実際に例題を解いて問題に慣れていきましょう。
問1
ア:スイッチが，PCから送出されるICMPパケットを全て遮断するので，PC間のマルウェア感染のリスクを低減できる。
イ:スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
ウ:スイッチが，PCのMACアドレスから接続可否を判別するので，PCの不正接続のリスクを低減できる。
エ:スイッチが，物理ポートごとに，決まったIPアドレスのPC接続だけを許可するので，PCの不正接続のリスクを低減できる。
(ログイン後回答すると、ここに前回の正誤情報が表示されます)
問2
ア:DHCP
イ:Webシングルサインオン
ウ:認証VLAN
エ:パーソナルファイアウォール
(ログイン後回答すると、ここに前回の正誤情報が表示されます)
問3
ア:アクセスポート
イ:代表ポート
ウ:トランクポート
エ:ルートポート
(ログイン後回答すると、ここに前回の正誤情報が表示されます)
スイッチとVLANのまとめ
スイッチとVLANは正しく設定することで、仮想単位で端末のグルーピングができます。
適切に設定することで便利かつセキュリティの面で強固にできます。
次回はクラウドコンピューティングについて学習します。
