平成27年度秋午後1問2

ファイアウォールの負荷分散の問題です。

開発経験あるのに全然解けません。反省して勉強します。

■前提知識
・TCPコネクションの制御方法

設問1

ア　bps　スループット

イ　フレーム　パケット

ウ　転送データ量　維持

設問2

(1)(A)宛先IPアドレス：ルータb　機器b

　　　宛先MACアドレス：機器ｂ　FW1

　 (B)宛先IPアドレス:ルータｂ　機器ｂ

　   　宛先MACアドレス:FW2

※本文中に、負荷分散ではパケットに対して行われる操作に制限があり、仮想IPアドレスを使う方式がつかえないと記載されている為、宛先IPアドレスはどちらも終端の機器bをさすような設定となる。
※(A)の宛先MACはルーティング情報を参考にFW1となる。(B)の時点では宛先MACが書き換えられるのでFW2となる。

(2)一定時間に処理することのできるパケット数
宛先IPアドレスを書き換えられない
※一般的に負荷分散は仮想IPを書き換えて行われるのだが、この装置は仮想IPを使う方式がつかえないとなっているので、宛先IPアドレスを書き換えることができないことが制限となる。

(3)同一セッションの送信を同一のFWに割り当てる

セッション単位に、2台のLBがFWを選択する
※行きのパケットと帰りのパケットが別のFWを選択する状況だと、帰りのパケットを廃棄してしまうので、セッション単位に使用するFWを割り当てるような仕組みが必要になる。

設問3

(1)1台故障した時に負荷分散が動作しなくなってしまうため
故障発生時の性能を不足させないため

(2)あ、89　99

　 い、100　180

※LB3にはインターネット⇔社内NWの89＋インターネット⇔DMZの10が流れる。
※LB4にはインターネット⇔社内NWの89＋社内NW⇔DMZの1が流れる。
ただし、この通信は社内Proxyを経由するので、90+90の180が回答になる。

(3)対抗側のLBとFW間の通信も含めた故障検出が可能となる

(4)いち早く故障を検出することができる
リトライアウトを待たずにコネクションの切断を検知できる

※RSTフラグをオンにしたパケットを送信しないと、故障の発生をリトライアウトで検出するしかなくなる。それと比較して故障を早く検出することができるようになるのが利点。