ネットワークトポロジー図：オフィス LAN、サイト間 VPN、クラウド VPC

ネットワーク図を 3 人に頼むと、3 種類の絵が返ってきます。ラックの写真、IP アドレスのスプレッドシート、そしてクラウドコンソールのスクリーンショットです。どれも、レビューや障害対応で出てくる問いには答えられません。どんなセグメントがあるのか、何が何と通信できるのか、オフィスとクラウドのあいだをトラフィックがどう行き来するのか、という問いです。

このガイドでは、典型的な小さな会社の論理ネットワークトポロジー図を作ります。Wi-Fi のあるオフィス LAN と、クラウド VPC へのサイト間 VPN です。あわせて、こうした図を読みやすく保つための約束事も取り上げます。

物理トポロジーか論理トポロジーか

ほとんどの議論で必要なのは論理ビューです。物理ビューはラックで作業する人のために残し、2 つを 1 枚に混ぜないでください。ファイアウォールのポリシーの横にポート番号があると、どちらも読みにくくなります。

よくあるトポロジーを簡単に

• スター型。 すべての機器が中央のスイッチにつながります。オフィス LAN のほとんどは、スター型か、スター型を木のようにつないだ形です。
• メッシュ型。 ノードが複数の相手とつながるので、トラフィックの経路が 2 つ以上あります。コアスイッチ間、データセンターのファブリック、Wi-Fi メッシュシステムでよく使われます。
• ハイブリッド型。 実際のネットワークは両方を組み合わせます。エッジはスター型、コアは冗長リンク、拠点間はトンネルです。

バス型やリング型は、現代の LAN ではほぼ過去のものです。

例：オフィスとクラウド VPC

従業員 40 人の会社に、社員のノート PC、ゲスト用 Wi-Fi、ファイルサーバー、プリンターのあるオフィスがあります。社内アプリはクラウド VPC で動いていて、社員は公衆インターネットではなくサイト間 VPN でアクセスします。

まずアドレス計画を決めます。図はそこから組み立てるからです。社内の範囲はすべて RFC 1918 のプライベートブロックから取り、パブリックアドレスには RFC 5737 のドキュメント用範囲を使います。

この計画を決める規則は 2 つです。1 つ目に、オフィス（10.10.0.0/16）と VPC（10.20.0.0/16）は重なってはいけません。重なると、VPN が両者のあいだをルーティングできません。2 つ目に、オフィスでは 192.168.0.0/24 と 192.168.1.0/24 を避けてください。多くの家庭用ルーターがこれらを使っているので、在宅勤務の社員がクライアント VPN で衝突します。

VLAN 間のルーティングはファイアウォールが行うので、ポリシーもそこに置きます。

サイト間 VPN を 1 段落で

IPsec VPN は、UDP 500 番ポートの IKE でピアを認証して鍵を取り決め、IP プロトコル 50 番の ESP で暗号化されたトラフィックを運びます。経路上に NAT がある場合は UDP 4500 を使います。AWS では、各 Site-to-Site VPN 接続に 2 本のトンネルがあり、それぞれ異なるパブリック IP アドレスを持ち、仮想プライベートゲートウェイかトランジットゲートウェイで終端します。片方のトンネルのメンテナンスでオフィスが切り離されないよう、ファイアウォールには両方を設定してください。オフィス側には固定のパブリック IP が必要です。ルーティングは静的か、BGP による動的で、VPC のルートテーブルには 10.10.0.0/16 への戻りのルートが必要です。仮想プライベートゲートウェイから伝播させるか、手で追加します。

図

図の読み方は次のとおりです。

• 左上、エッジ。 オフィスのファイアウォールは固定のパブリックアドレスを持ち、IPsec のピアになります。3 つの VLAN 間をルーティングし、上のポリシー表を適用します。
• 中央、オフィス LAN。 コアスイッチは VLAN 10、20、30 をトランクで運びます。アクセスポイントはスイッチから電力とトランクを受け取り、社員 SSID を VLAN 10 に、ゲスト SSID を VLAN 20 に対応付けます。
• 右、クラウド。 破線のエッジが VPC への IPsec VPN で、トンネルは 2 本です。アプリサーバーとマネージドデータベースは、インターネットからのルートがないプライベートサブネットにあります。
• 凡例 は線のスタイルを説明します。Ethernet、Wi-Fi、Power over Ethernet、WAN です。

ラベルを付けるもの

• 各セグメントの範囲と VLAN ID。 10.10.10.0/24 のない「社員ネットワーク」という箱は、何とも照合できません。
• ゲートウェイと VPN ピア。 各セグメントをどの機器がルーティングするのか、どのパブリックアドレスがトンネルを構成するのか。
• 境界を越えてよいもの。 ポリシーはファイアウォールの設定の中だけでなく、エッジの上か、図の横の表に書きます。
• SSID と VLAN の対応 を、すべての無線ネットワークについて書きます。
• 通信を始める方向 が重要な場合は、それも書きます。たとえば、クラウドのサブネットは応答するだけ、といったことです。

省くもの

• ノート PC や電話の 1 台 1 台。 セグメントごと、機器の種類ごとに 1 ノードあれば十分です。
• 論理図でのケーブルの色やポート番号。 それらは物理図に書くものです。
• クラウドプロバイダー内部の詳細。 VPN のエンドポイントは仮想プライベートゲートウェイのものです。トンネルの AWS 側を描く必要はありません。

凡例を使う

ネットワーク図では線のスタイルが意味を持つので、説明しましょう。Ethernet、Wi-Fi、Power over Ethernet、WAN、VPN を並べた小さな凡例は 1 分で追加でき、新しい読み手が推測する手間を省きます。セグメントを色分けするなら、色の意味も書いておきます。

最新の状態に保つ

ネットワーク図は、予告なしの変更が 1 回入った時点で古くなります。図を変更の一部にしましょう。誰かが VLAN を追加したり、ファイアウォールのルールを変えたり、トンネルを追加したりしたら、変更チケットから更新後の図にリンクし、レビュー担当が両方を確認します。腐らない構成図では、まさにそのためのワークフローを紹介しています。クラウド側をさらに詳しく知りたい場合は AWS VPC 構成図のガイドを、フラットなオフィスネットワークを ID ベースのアクセスに置き換えるにはゼロトラストアーキテクチャ図を参照してください。

Archboard で作る

1. Google または GitHub でサインインし、図を作成します。
2. オフィスのエッジと LAN 用に、ネットワークパックから インターネット、ファイアウォール、スイッチ、無線 のノードを追加します。
3. VLAN 10、20、30 用にネットワークパックの サブネット フレームを 3 つ追加し、各フレームの CIDR フィールドに範囲を入れます。各フレームの中には デバイス か サーバー のノードを置きます。社員のノート PC、ゲストの端末、ファイルサーバーです。
4. ネットワークパックの VPC フレームを追加してその中に サブネット フレームを置き、そのサブネットにクラウドパックの コンピューティング ノードと マネージドデータベース ノードを置きます。
5. ノードを接続し、各エッジの接続の種類（Ethernet、Wi-Fi、PoE、WAN）を設定します。VPN は、ファイアウォールから VPC への破線のエッジとして描きます。
6. 接続の種類を説明するために、ネットワークパックの ネットワーク凡例 を追加します。

この例で使うダイアグラムノードは 15 個で、Free プランの範囲に収まります。ネットワークパックでほかに何ができるかは、ネットワークのユースケースのページで紹介しています。

よくある質問

ネットワーク図とネットワークトポロジー図の違いは何ですか？ この 2 つの用語は、同じ意味で使われることがよくあります。トポロジー図はセグメントと機器のつながり方を重視し、論理トポロジー図はそこにアドレス範囲、ルーティング、ポリシーを加えます。

図に IP アドレスを載せるべきですか？ 各セグメントの範囲と、ゲートウェイおよび VPN ピアのアドレスを載せます。個々のホストのアドレスは、IP アドレス管理ツールで管理するものです。

なぜゲストを別の VLAN に分けるのですか？ ファイアウォールがゲストにインターネットだけを提供し、それ以外は何も許可しないようにするためです。共有セグメントでは、ゲストの端末がプリンターやファイル共有など、ローカルネットワークを信頼しているあらゆるものに到達できてしまいます。

VPN トンネルは 2 本必要ですか？ AWS では各接続に 2 本のトンネルが付いてくるので、両方を自分の機器に設定しておきます。そうすれば、一方がメンテナンスで止まっているあいだも、もう一方がトラフィックを運べます。

ネットワーク図はどのくらいの頻度で更新すべきですか？ アドレス設計、ルーティング、ファイアウォールのルールに関わる変更のたびに更新します。図はカレンダーではなく、変更プロセスに結び付けてください。

無料で始める — 1 シート、クレジットカード不要。