令和4年度 春期 ネットワークスペシャリスト試験 午後II 問2 サーバ仮想化とコンテナ導入によるWebAP・専用APの移行と冗長設計

問2 仮想化技術の導入に関する次の記述を読んで，設問1〜5に答えよ。

U社は社員3,000人の総合商社である。U社では多くの商材を取り扱っており，商材ごとに様々なアプリケーションシステム（以下，APという）を構築している。APは個別の物理サーバ（以下，APサーバという）上で動作している。U社の事業拡大に伴ってAPの数が増えており，主管部署であるシステム開発部はサーバの台数を減らすなど運用改善をしたいと考えていた。そこで，システム開発部では，仮想化技術を用いてサーバの台数を減らすことにし，Rさんを担当者として任命した。
現在のU社ネットワーク構成を図1に示す。

現在のU社ネットワーク構成の概要を次に示す。

• DMZ，サーバセグメント，PCセグメントにはプライベートIPアドレスを付与している。
• キャッシュDNSサーバは，社員が利用するPCやサーバからの問合せを受け，ほかのDNSサーバへ問い合わせた結果，得られた情報を応答する。
• コンテンツDNSサーバは，PCやサーバのホスト名などを管理し，PCやサーバなどに関する情報を応答する。
• プロキシサーバは，PCからインターネット向けの HTTP 通信及び HTTPS（HTTP over TLS）通信をそれぞれ中継する。
• APは，共用DBサーバにデータを保管している。共用DBサーバは，事業拡大に必要な容量と性能を確保している。
• APごとに2台のAPサーバで冗長構成としている。
• APサーバ上で動作する多くのAPは，HTTP通信を利用してPCからアクセスされるAP（以下，WebAPという）であるが，TCP/IPを使った独自のプロトコルを利用してPCからアクセスされるAP（以下，専用APという）もある。
• 監視サーバは，DMZやサーバセグメントにあるサーバの監視を行っている。

〔サーバ仮想化技術を利用した AP の構成〕

Rさんは，WebAPと専用APの2種類のAPについて，サーバ仮想化技術の利用を検討した。サーバ仮想化技術では，物理サーバ上で複数の仮想的なサーバを動作させることができる。
Rさんが考えたサーバ仮想化技術を利用したAPの構成を図2に示す。

ホストサーバでは，サーバ仮想化を実現するためのソフトウェアであるアが動作する。ホストサーバは仮想SWをもち，NICを経由してL2SWと接続する。

AP仮想サーバは，ホストサーバ上で動作する仮想サーバとして構成する。AP仮想サーバの仮想NICは仮想SWと接続する。

一つのAPは2台のAP仮想サーバで構成する。2台のAP仮想サーバでは，冗長構成をとるためにVRRPバージョン3を動作させる。サーバセグメントでは複数のAPが動作するので，VRRPの識別子としてAPごとに異なるイを割り当てる。①可用性を確保するために，VRRPを構成する2台のAP仮想サーバは，異なるホストサーバに収容するように設計する。

VRRPの規格では，最大ウ組の仮想ルータを構成することができる。また，②マスタとして動作しているAP仮想サーバが停止すると，バックアップとして動作しているAP仮想サーバがマスタに切り替わる。

一例として，AP仮想サーバ（AP0a）とAP仮想サーバ（AP0b）とで構成される，AP名がAP0のIPアドレス割当表を表1に示す。

APごとに，AP仮想サーバの仮想NICで利用する二つのIPアドレスとVRRP仮想ルータで利用する仮想IPアドレスの計三つのIPアドレスの割当てと，一つのFQDNの割当てを行う。APごとに，コンテンツDNSサーバにリソースレコードの一つであるエレコードとしてVRRPで利用する仮想IPアドレスを登録し，FQDNとIPアドレスの紐付けを定義する。PCにインストールされているWebブラウザ及び専用クライアントソフトウェアは，DNSのエレコードを参照して接続するAPのIPアドレスを決定する。

〔コンテナ仮想化技術を利用した WebAP の構成〕

次に，Rさんはコンテナ仮想化技術の利用を検討した。WebAPと専用APに分け，まずは WebAP について利用を検討した。コンテナ仮想化技術では，ある OS 上で仮想的に分離された複数のアプリケーションプログラム実行環境を用意し，複数の AP を動作させることができる。

Rさんが考えた，コンテナ仮想化技術を利用した WebAP（以下，WebAP コンテナという）の構成を図 3 に示す。

コンテナサーバでは，コンテナ仮想化技術を実現するためのソフトウェアが動作する。コンテナサーバは仮想ブリッジ，仮想ルータをもち，NIC を経由して L2SW と接続する。WebAP コンテナの仮想 NIC は仮想ブリッジと接続する。

WebAP コンテナは，仮想ルータの上で動作する NAPT 機能と TCP や UDP のポートフォワード機能を利用して，PC や共用 DB サーバなどといった外部のホストと通信する。コンテナサーバ内の仮想ブリッジセグメントには，新たに IP アドレスを付与する必要があるので，プライベート IP アドレスの未使用空間から割り当てる。また, ③複数ある全ての仮想ブリッジセグメントには，同じ IPアドレスを割り当てる。

WebAPコンテナには, APごとに一つのFQDNを割り当て, コンテンツDNSサーバに登録する。

WebAPコンテナでは, APの可用性を確保するために, 共用リバースプロキシを新たに構築して利用する。共用リバースプロキシは負荷分散機能をもつ HTTPリバースプロキシとして動作し, クライアントからの HTTPリクエストを受け, ④ヘッダフィールド情報から WebAPを識別し，WebAPが動作する WebAPコンテナへ HTTPリクエストを振り分ける。振り分け先である WebAPコンテナは複数指定することができる。振り分け先を増やすことによって, WebAPの処理能力を向上させることができ, また, 個々の WebAPコンテナの処理量を減らして負荷を軽減できる。

共用リバースプロキシ, コンテナサーバには, サーバセグメントの未使用のプライベート IPアドレスを割り当てる。共用リバースプロキシ, コンテナサーバの IPアドレス割当表を表2に, コンテナサーバ a で動作する仮想ブリッジセグメント a の IPアドレス割当表を表3に示す。

共用リバースプロキシは, 振り分け先である WebAPコンテナが正常に稼働しているかどうかを確認するためにヘルスチェックを行う。ヘルスチェックの結果, 正常な WebAPコンテナは振り分け先として利用され, 異常がある WebAPコンテナは振り分け先から外される。振り分けルールの例を表4に示す。

PCが，表4中のAP0と行う通信の例を次に示す。

1. PCのWebブラウザは，http://ap0.u-sha.com/へのアクセスを開始する。
2. PCはDNSを参照して，ap0.u-sha.comの接続先IPアドレスとしてオを取得する。
3. PCは宛先IPアドレスがオ，宛先ポート番号が80番宛てへ通信を開始する。
4. PCからのリクエストを受けた共用リバースプロキシは振り分けルールに従って振り分け先を決定する。
5. 共用リバースプロキシは宛先IPアドレスが192.168.0.112, 宛先ポート番号がカ番宛てへ通信を開始する。
6. 仮想ルータは宛先IPアドレスが192.168.0.112, 宛先ポート番号がカ番宛てへの通信について，⑤ポートフォワードの処理によって宛先IPアドレスと宛先ポート番号を変換する。
7. WebAPコンテナAP0aはコンテンツ要求を受け付け，対応するコンテンツを応答する。
8. 共用リバースプロキシはコンテンツ応答を受け，PCに対応するコンテンツを応答する。
9. PCはコンテンツ応答を受ける。

WebAPコンテナであるAP0aとAP1aに対するPCからのHTTP接続要求パケットの例を図4に示す。

〔コンテナ仮想化技術を利用した専用APの構成〕

Rさんは，専用APは TCP/IP を使った独自のプロトコルを利用するので，HTTP通信を利用する WebAP と比較して，通信の仕方に不明な点が多いと感じた。そこで，コンテナ仮想化技術を導入した際の懸念点について上司のO課長に相談した。次は，コンテナ仮想化技術を利用した専用AP（以下，専用APコンテナという）に関する，RさんとO課長の会話である。

Rさん：専用APですが，APサーバ上で動作する専用APと同じように，専用APコンテナとして動作させることができたとしても，⑥PCや共用DBサーバなどといった外部のホストとの通信の際に，仮想ルータのネットワーク機能を使用しても専用APが正常に動作することを確認する必要があると考えています。

O課長：そうですね。専用APはAPごとに通信の仕方が違う可能性があります。APサーバと専用APコンテナの構成の違いによる影響を受けないことを確認する必要がありますね。それと，⑦同じポート番号を使用する専用APが幾つかあるので，これらの専用APに対応できる負荷分散機能をもつ製品が必要になります。

Rさん：分かりました。

Rさんは専用APで利用可能な負荷分散機能をもつ製品の調査をし，WebAPと併せて検討結果を取りまとめ，O課長に報告した。

Rさんが，サーバの台数を減らすなど運用改善のために検討したまとめを次に示す。

• 第一に，リソースの無駄が少ないことやアプリケーションプログラムの起動に要する時間を短くできる特長を生かすために，コンテナ仮想化技術の利用を進め，順次移行する。
• 第二に，コンテナ仮想化技術の利用が適さないAPについては，サーバ仮想化技術の利用を進め，順次移行する。
• 第三に，移行が完了したらAPサーバは廃止する。

〔監視の検討〕

次に，Rさんが考えた，監視サーバによる図3中の機器の監視方法を表5に示す。

監視サーバは3種類の監視を行うことができる。ping監視は，監視サーバが監視対象の機器に対してICMPのエコー要求を送信し，一定時間以内に キ を受信するかどうかで，IPパケットの到達性があるかどうかを確認する。TCP接続監視では，監視サーバが監視対象の機器に対してSYNパケットを送信し，一定時間以内に ク パケットを受信するかどうかで，TCPで通信ができるかどうかを確認する。URL接続監視では，監視サーバが監視対象の機器に対して HTTP ケ メソッドでリソースを要求し，一定時間以内にリソースを取得できるかどうかで HTTPサーバが正常稼働しているかどうかを確認する。ping監視で WebAPコンテナの稼働状態を監視することはできない。⑧表5のように複数の監視を組み合わせることによって，監視サーバによる障害検知時に，監視対象の状態を推測することができる。

〔移行手順の検討〕

Rさんは，コンテナ仮想化技術を利用した WebAPの移行手順を検討した。

2台の APサーバで構成する AP0を，WebAPコンテナ（AP0a）と WebAPコンテナ（AP0b）へ移行することを例として，WebAPの移行途中の構成を図5に，WebAPの移行手順を表6に示す。

Rさんは表6のWebAPの移行手順をO課長に報告した。次は，WebAPの移行手順に関する，O課長とRさんの会話である。

O課長：今回の移行はAPサーバとWebAPコンテナを並行稼働させてDNSレコードの書換えによって切り替えるのだね。
Rさん：そうです。同じ動作をするので，DNSレコードの書換えが反映されるまでの並行稼働期間中，APサーバとWebAPコンテナ，どちらにアクセスが行われても問題ありません。
O課長：分かりました。並行稼働期間を短くするためにDNS切替えの事前準備は何があるかな。
Rさん：はい。⑪あらかじめ，DNSのTTLを短くしておく方が良いですね。
O課長：そうですね。移行手順に記載をお願いします。
Rさん：分かりました。
O課長：動作確認はどのようなことを行うか詳しく教えてください。
Rさん：はい。WebAPコンテナ2台で構成する場合は，⑫次の3パターンそれぞれでAPの動作確認を行います。一つ目は，全てのWebAPコンテナが正常に動作している場合，二つ目は，2台のうち1台目だけWebAPコンテナが停止している場合，最後は，2台目だけWebAPコンテナが停止している場合です。また，障害検知の結果から，正しく監視登録されたことの確認も行います。
O課長：分かりました。良さそうですね。

APを，仮想化技術を利用したコンテナサーバやホストサーバに移行することによって期待どおりにサーバの台数を減らせる目途が立ち，システム開発部では仮想化技術の導入プロジェクトを開始した。