なんえ？なんえ？

記憶の片隅として利用

ネスペ勉強_IGMP

ICT

とは

IGMP（Internet Group Management Protocol)は、ホストがラストホップルータに対してIGMPグループの参加、維持、離脱、を通知するためのプロトコル。
プロトコルのバージョンはv1,v2,v3が存在する。。

IGMP（Internet Group Management Protocol）snooping機能

スイッチがIGMPメッセージをのぞき見して、必要なポートのみにIPマルチキャストパケットを通す機能。
この機能によりスイッチの負荷や不要なフレームの転送を低減することができる。

ネスペ勉強_キャリアグレードNAT

ICT

とは

CGNAT(Carrier Grade NAT)は、インターネットサービスプロバイダ（ISP）などの電気通信事業者が、自社内のネットワークと他社のネットワークの分界点付近でネットワークアドレス変換（NAT）を行うこと。IPv4におけるIPアドレス枯渇問題に対する取り組みの一つとして注目を集めている。

参考

JPNICさんいつもありがとうございます。
インターネット10分講座：大規模NAT(Large Scale NAT:LSN)あるいはキャリアグレードNAT(CGN)https://www.nic.ad.jp/ja/newsletter/No41/0800.html

ネスペ勉強_IDS検知方法

ICT

とは

IDS（侵入検知システム）のこと。センサーと呼ばれる、パケットを取り込んで解析する部分と、コンソールと呼ばれる解析結果を表示する部分がある。FWの外側or内側に置くケースがある。

検知方法

1 シグネチャ型
シグネチャで不正とは何かを定義する。

2 アノマリ型
正常(閾値とうでルールを作成)とは何かを定義し、それ以外を異常と検知する。

ネスペ勉強_SSOの方式

ICT

SSOとは

シングルサインオン(Single Sign-Onのこと。一度の利用者認証で複数のコンピュータやソフトウェア、サービスなどを利用できるようにすること。

最近だと、SAML等でクラウドサービス間で利用者情報を受け渡し、利便性を図っているケースをよく聞く。端的に言うと、一回認証通った後も、各サービスで認証行ってたら、利便性悪くないですか？一回認証したら、その人に適したアクセス範囲のチケット渡しましょうってことです。kerberos認証とかこれですね。

実装方式

・ケルベロス認証

windoes の ADとかですね。

・リバースプロキシ型

リバースプロキシを介在させて処理する方式ディジタル証明書を利用する場合もある。SSOサーバで認証後、HTTP Cookieに認証情報が付与される。ユーザは利用対象のサービスに対してリクエストを発行(SSOサーバで発行された認証情報をHTTP Cookieを付与して)。リバースプロキシがリクエストを受付、認証情報の確認(対SSO)、サービスに対する通信をプロキシしてくれる(対サービス・サーバ)

・エージェント型

対象となるwebサーバに「エージェント」と呼ばれる専用ソフトウェアを導入し、エージェントによる処理をディレクトリ・サービスから統合管理する方式。HTTP cookieが利用されている。リバースプロキシ型と仕組みはほぼ同じ。リクエストを受けた後の処理をどこで実施するかだけ違う。リバプロが全部請け負うか or サービス単位で請け負うか。エージェント型はサーバにインストールする必要があるため、サービスが多いと、リバースプロキシ型の方が運用は楽と推測。

ネスペ勉強_GARP

とは

目的は2つ。

1 自身に設定するIPアドレスの重複確認

2 自身のIPアドレスに対する同一セグメント上のネットワーク機器に対するARPキャッシュの更新
ネットワーク機器に Virtual IP を設定している場合、F/O後に新 Active 機でコネクションを引き継ぐ必要がある。MACマスカレード等を使用しない場合、冗長機器間で VIP は共有だが、MACアドレスは機器固有で保持さている。その場合、F/O後に関連機器に対してMACアドレスの更新を通知しないと、関連機器が通信を処理できない旧ActiveのMAC宛てにパケットを送信しても応答がかえって来ない=通信断の時間が長くなってしまう。だから、F/O直後に関連機器のMACアドレスキャッシュを更新して、切り替え後の影響を低減させる。

どんなパケットなの?

GARPは送信元IPと宛先IPが同じになっているARPパケット。実際はすべて送信元と宛先が同じIP指定とは限らないらしい。
参考http://hamamuratakuo.blog61.fc2.com/blog-entry-546.html

ネスぺ勉強_IEEE802.1Qトンネリング

ICT

とは

802.1qトンネリングは、サービスプロバイダー用に設計された機能。広域イーサネットサービス等で利用される。
ある顧客のIEEE802.1Qタグ付きのイーサネット通信(以下、VLAN通信)を他の顧客の設定に影響を与えずに、NW基盤を経由して転送させるには、IEEE802.1Qトンネリング技術が必要となる。このトンネリングは、顧客のVLANタグ付きのパケットを、更に別のVLANタグをカプセル化する。これは、IEEE802.1adによって標準化。QinQとも呼ばれる。

どこに追加のタグは入るのか？

Ethernet Frame
|DA|SA|EtherType|Data|FCS|

IEEE802.1Qタグ付きフレームフォーマット
|DA|SA|TAG|EtherType|DataFCS|

Double TAG Frame
|DA|SA|TAG|EtherType|TAC(元のタグ)|EtherType|Data|FCS|

2つ目のタグは1つ目のタグを内包する形でタグ付けされるため、1つ目のタグは保持され、変更されない。