狠狠撸

社内ネットワーク改善
の過程で分かった物理
ゆえの闇と脆弱性 ?
そしてネットワークの
基礎入門 ?
2016.03.03 ZARU

●社内ネットワークの問題
●ネットワークの基礎入門
●物理ゆえの闇と脆弱性
●社内ネットワークの改善
今日話すこと?

●ネットワーク知識に乏しいです
●間違っていたらご指摘ください
お断り??

?社内ネットワークの问题

● インターネットにつながらないことがある
● ネットにはつながるけど、
社内ファイルサーバやプリンタにつながらない
● 社員用の無線LANなのに、
社内ファイルサーバにつながらない
● ゲスト用の無線LANなのに、
社内ファイルサーバにつながる
● 無線LANの電波が弱い

上場を目指している
会社なのに色々やばい?
ごめんなさい?

?ネットワークの基础入门

??IPアドレスの話（IPv4）
IPアドレスはネットワーク部とホスト部、それらを区別する
ためのサブネットマスクによって構成されている。
IPが192.168.1.100で、サブネットマスクが
255.255.255.0の場合、192.168.1がネットワーク部、100
がホスト部になる。
192.168.1.100
ネットワーク部ホスト部
サブネットマスクはCIDR表記すると、192.168.1.1/24とい
う書き方にもなる。これはネットワーク部が24bitというこ
とを示している。

社内ネットワーク改善の过程て?分かった物理ゆえの闇と脆弱性そしてネットワークの基础入门

??ハブ?L2スイッチの話
一般的に言われる「ハブ」とは「L2スイッチ」のこと。本来
はリピーターハブの事を指し機能が違う。
MACアドレステーブルに記録されている、MACアドレスに
基づいて適切なポートにのみイーサネットフレームを転送す
る。

??L3スイッチ?ルータの話
どちらもルーティングを行う。VLANのルーティングなどで
必須の機器。違いは処理方法。
L3スイッチルータ
処理ハードウェアソフトウェア
高速低速速度
TCP/IP いろいろプロトコル
高い安い?高い価格

??VLANの話
Virtual Local Area Network。通常のL2スイッチではすべて
のポートでネットワークを構成するが、VLANを使うことで
特定のポート間だけのネットワークを構築できる。
(*)ポートベースVLANとタグVLANを使い分ければOK

??VLAN間の通信の話
異なるVLAN（セグメント）同士で通信するためにはルーテ
ィングが必要。ここで、L3スイッチ?ルータの出番。

?物理ゆえの闇と脆弱性

穴があったら入れたい问题??

?ループ問題
スイッチが物理的にループ接続されると引き起こされる。
これによってブロードキャストストームが起こる。
ブロードキャストフレーム
全ポートへ全ポートへ
全ポートへ

?異なるネットワーク接続問題
本来接続されるはずのないネットワーク機器が物理的に
つながることにより、ネットワーク内にDHCPサーバが
複数存在したり、別のルータから外部に出てしまう。
インターネット用スイッチ IP電話用スイッチ
超
え
て
は
い
け
な
い
壁
?

尝础狈ケーブルはどこへ消えた问题?

识别タグが付いてます

床や天井を這うLANケーブルの
行く先が確認できて便利?

迷子です?
物理ゆえの探索の難易度、高い

?レイアウト変更問題
レイアウト変更をして、APの場所が移動したりスイッチ
が変わってしまうことにより、本来つながるはずのセグ
メントにならない問題。
192.168.22.1/24 192.168.21.1/24

192.168.22.1/24
AP:192.168.22.10
192.168.21.1/24
AP:192.168.21.10

192.168.22.1/24
AP:192.168.21.10
192.168.21.1/24
AP:192.168.22.10
?

?社内ネットワークの改善

原因を探るために现状把握

最新のネットワーク図

なんか、それっぽいから
答え合わせしましょう

現状に合っているのは
有線環境のみ…?
何するにも情報収集?が必要！

い
い
か
ら
情
報
収
集
だ
！

?インターネットにつながらないことがある
割り振られたIPアドレスを確認。本来であれば、
192.168.1.1/24のアドレスが割り振られるはず。
169.254.0.0/16のアドレスが割り振られる…?
→こいつはリンクローカルアドレスだ！
リンクローカルアドレスとは
DHCPなどが動かず自身でIPを割り当てるためのアドレスブロック。これが
割り振られている場合は、IPアドレスが枯渇している／DHCPサーバが壊れ
ている／LANケーブルなどが物理故障しているなどが考えられる。

?DHCPの状態を確認
DHCPサーバは基本的にゲートウェイ（ルータ）と同居
している。192.168.1.1を確認する。機器によって管理
画面／コンソールログインの仕方が違うので注意。

192.168.1.50?192.168.200がDHCPで払い出しをお
こなすIPアドレスの範囲。つまり151個が上限?
(*)画像は修正後なので若干数値が違います

現状のDHCPで払い出ししたIPアドレス一覧。
…数えてみると、すでに151個に達している?
また、DHCPにはリース期限があり、機器が接続してい
なくても期限が切れるまではIPアドレスを解放しない。

＿人人人人人人人人＿
＞突然のIP枯渇＜
￣Y^Y^Y^Y^Y^Y^Y￣

?対策
?DHCPのIPアドレス範囲を可能な限り広げる
192.168.1.50?192.168.200から
192.168.1.30?192.168.240まで拡大
これで60個IPが増えた
?VLAN（セグメント分割）を行って、
使えるIPアドレスブロックを広げる
VLAN対応機器を追加導入して適切に設計が必要
工数がかかる
?サブネットマスクを変更して、IPアドレスブロックを
広げる（255.255.255.0から255.255.252.0とか）
固定でIPを割り振っている機器の設定を全部やり直し

?ネットにはつながるが社内にアクセス出来ない
割り振られたIPアドレスを確認。本来であれば、
192.168.1.1/24のアドレスが割り振られるはず。
192.168.11.1/24のアドレスが割り振られる…?
→こいつはIP電話のIPだ！
?

?対策?対応
?混線している箇所を特定し解消
1つずつ席の下に潜ってシラミ潰しに探す
?そもそも混線しない工夫をしたい
なかなかいいアイデアが思い浮かばない。
啓蒙活動くらいしかない…？

?無線LANにつながりにくい
IP枯渇という問題とは別に、
電波の干渉?範囲という問題がある。

无线尝础狈の电波の飞び具合を调べたい??

?対策
?周りを考慮しながらチャンネルを変更
?個人で導入している野良APを駆逐する
?なるべく5Ghzを使って干渉しないようにする
?電波の出力を弱めて、複数APを設置する

?まとめ
物理は探索しにくいので、ネットワーク図や
ドキュメントはなるべく残す＆更新する。

狠狠撸

社内ネットワーク改善の过程て?分かった物理ゆえの闇と脆弱性そしてネットワークの基础入门

More Related Content

社内ネットワーク改善の过程て?分かった物理ゆえの闇と脆弱性そしてネットワークの基础入门