質問

2013年08月07日 21時50分
  • ファイアウォール(デフォルトゲートウェイ)停止時の影響範囲

情シスのオープンナレッジ『Syszo』サービス終了のお知らせ

質問

こんにちわ。どなたか教えてください。

各拠点には、ファイアウォール、VPNルーターがあり
ファイアウォールにルート情報(拠点間通信はVPNルーターへホップ等)を持っています。
各PC・サーバーのデフォルトゲートウェイは、ファイアウォールのIPアドレスを指定しています。

この場合、ファイアウォールを停止した場合、各PC・サーバーは拠点間通信は不能となるのでしょうか?

ファイアウォールの入替を控えており、先日、上司に入替作業時の影響範囲を問われました。
インターネット不能は想定できるのですが、拠点間通信については回答に窮しました。

私の考え(答えがでません)

その1.拠点間通信時は、宛先IPアドレスからデフォルトゲートウェイである
ファイアウォールに送信し、VPNルーターにルーティングしている。
よってファイアウォールが停止した場合は、拠点間通信は不能。

その2.route print で表示されるルーティング情報は、
PC・サーバーのOS上で記憶しているため、ファイアウォールではなく、VPNルーターに直接送信する。
よってroute printにルート情報あれば、ファイアウォールが停止した場合でも拠点間通信ができる。

認識違いもあるかと思います。皆様の見解、ご意見を聞かせてください。

さらに疑問点、、、
route printを実行するとWinXP、2003はたくさんのルートを確認できますが、
Win7、2008は、WinXP、2003のようなルート情報を確認できません。
この違いは何でしょうか?

宜しくお願い致します。

2件の回答があります

回答

私はこういうことには詳しくないので断言はできません。逆に詳しくないから言うのですが...
こういう場合は
(1)業者にまかせるor相談する 金はかかるかも知れませんが”モチ屋は餅屋”で確実ですし、なにかあっても責任押し付けができる立場(「つながるまでなんとかしろ」と言える立場)になるのがいいです。業者ならその業者ではできなくてもより詳しい業者をつれてくるでしょう。

(2)自分でやるなら、明確なテスト計画、移行計画を立案しておく。わからないところはわからないので、テスト計画で「A拠点とB拠点で一時的に切り替えて影響度をテストする」としてどうなるのか実験する。

(3)ファイアウォールの移行後につながるという絶対の自信があるなら(なけりゃ困ります)、移行計画の中で「O時O分〜O時X分までは拠点間通信も不能」としておく(”その2”のようにたとえつながったとしても”不能”としておけば安心)。

というようにされてはいかがでしょうか。

このような微妙な質問は(環境についての100%の説明がされないかぎり)断定的な回答は無理だと思います。

2013年08月08日 05時23分

回答

まず、PCのIPアドレスとサブネットマスクを確認してください。
デフォルトゲートウェイがダウンすると、PCのブロードキャストドメインとなるセグメント内の通信以外は通らなくなります。
これは拠点内のホストへの通信(ファイルサーバなど)以外の通信はすべて利用できなくなることを意味します。
投稿者様のネットワークの詳細はわかりませんが、一般的な構成であればPCから送信される拠点間通信は切れます。

「その2」に関して、ルーティング情報を持っていた場合でも、宛先ホストがPCとは違うセグメントに存在する場合にはやはりデフォルトゲートウェイがダウンすると通信ができなくなると思います。

これらのことを確認するにはtracertを使ってください。
出力の途中にファイアーウォールのIPアドレスが表示されたら、それは切れる通信だということです。

最後の疑問についてですが、route printで出力されるルーティング情報の数はそのPCに備わるネットワークインターフェースの数によって変化します。
Windows7とXPで比較されたようですが、VirtualBoxやVmware、VPNクライアントなどの仮想インターフェースをインストールするようなソフトウェアは入っていませんか?
OSの違いではなくPC環境の違いが原因である可能性があります。

これらのことを理解せずに入替作業を行うのはかなり危険な気もします。できることなら事前に仮の環境を作り、きちんとテストを行うべきです。
逆にテストができないのであればユーザへの通知を徹底し、通信が全て止まることを前提として作業を行うことを強く推奨します。

2013年08月08日 23時53分
csp

あなたもコメントしましょう!