BGP-4マルチホーム接続とトラフィック制御の実践技術

本記事はNWの午後試験・科目B群の学習を支える技術解説です。演習と解答例は当サイトのオリジナルで、IPAの公式問題・公式採点基準ではありません。製品ごとの設定差や、問題文で仮定した条件を区別して読み進めてください。

1. 概要と本質：なぜ企業ネットワークでBGPとマルチホーム接続が必要なのか

企業の基幹システムやWebサービスがクラウドやインターネットに依存する現代において、インターネット回線の単一障害点（SPOF）を排除することは事業継続計画（BCP）の最重要課題です。

単一のISP（インターネットサービスプロバイダ）との回線二重化だけでは、ISP側のコアバックボーン障害や設備トラブルに対応できません。そのため、「独立した2社以上の異なるISP（または異なる経路）に同時接続する『マルチホーム接続』」を採用します。

しかし、複数ISPに接続する際、静的ルーティング（スタティックルート）では「ISP-A側の国際回線が障害を起こした時に、ISP-Bへ自動迂回する」といった柔軟な経路切り替えができません。また、社外からの戻りトラフィックが1本の回線に偏る問題も発生します。

この課題を解決するのが、インターネット全体の自律分散ルーティングプロトコルである「BGP-4（Border Gateway Protocol Version 4: RFC 4271）」です。 本稿では、ネットワークスペシャリスト（NW）午後・科目B試験で頻出するBGPマルチホーム設計、ベストパス選択アルゴリズムの厳密な優先順位、上り／下りトラフィックの制御技術（Local Preference / AS-Path Prepend / MED）、および「自社が勝手に他社通信を中継してしまうトランジット化」の防止策を徹底解説します。

2. BGPの基本アーキテクチャとピア確立メカニズム

BGPは、独立した運用管理ポリシーを持つネットワークの集合体である「AS（Autonomous System：自律システム）」の間で経路情報を交換するための「パスベクタ型（Path Vector）」プロトコルです。

2.1 EBGPとIBGPの違い

BGPピア（ネイバー）接続には、接続相手のAS番号によって2つの形態が存在します。

2.2 TCPセッション確立とBGP状態遷移（ステートマシン）

BGPは信頼性の高い通信を行うため、トランスポート層に TCP（宛先ポート番号：179） を使用します。OSPFのようなブロードキャストやマルチキャストによる自動検出は行わず、管理者が相手ルータのIPアドレスを手動設定します。

1. Idle: リソース初期化状態。相手へのルートが存在するとTCP接続を開始。

2. Connect: TCP 3ウェイハンドシェイクを実行中。

3. Active: TCP接続に失敗し、再度TCP接続を試みている状態。

4. OpenSent: TCP接続が確立し、自身のAS番号、BGPバージョン、BGP Router ID、ホールドタイムを記した OPENメッセージ を送信した状態。

5. OpenConfirm: 相手からのOPENメッセージを正常受信し、接続確認の KEEPALIVEメッセージ を送信した状態。

6. Established: 相手からもKEEPALIVEを受信完了。ピアが完全に確立され、UPDATEメッセージ（経路情報） の送受信が可能になる。

3. BGPベストパス選定アルゴリズムの完全順序

BGPベストパスの評価項目は製品や設定で異なる。以下はCisco系の代表的な評価項目を省略して示した学習用リストであり、完全な共通順位表ではない。同一プレフィックスでNEXT_HOPが到達可能な候補を比較する。

[!IMPORTANT] BGPベストパス選択の優先順位（NW午後試験の実装例の評価項目） 1. Weight（ベンダー独自・自ルータ内のみ有効。値が大きい方を優先） 2. Local Preference（ローカルプレファレンス）（AS内全ルータで共有。値が大きい方を優先・デフォルト100） 3. 自ルータが自身で生成した経路（Locally Originated）（network コマンドや再配送） 4. AS-Path長（AS-Path Length）（通過AS数が短い方を優先） 5. Origin属性（IGP [i] > EGP [e] > Incomplete [?]） 6. MED（Multi-Exit Discriminator）（隣接ASへの要望値。値が小さい方を優先） 7. EBGP経路 > IBGP経路（EBGPから学んだ経路を優先） 8. 最近傍のIGPネイバー（Next-HopへのIGPメトリックが小さい経路） 9. BGP Router ID（値が小さいルータからの経路を優先）

LOCAL_PREF、AS_PATH、MEDがどの範囲で伝達・比較されるかを確認し、問題文の属性値と装置の選択規則から理由を説明する。

4. トラフィックエンジニアリング：上りと下りの完全制御

マルチホーム接続では、「自社からインターネットへ抜ける通信（アウトバウンド／上り）」と、「インターネットから自社へ入ってくる通信（インバウンド／下り）」を別々の手法で制御します。 「上りと下りでは、制御権を持つ主体が異なる」ことが最大の本質です。

4.1 アウトバウンド（上り）の制御：Local Preference

自社のクライアント端末やサーバが外部へアクセスする際、通常は広帯域な「ISP-A」をメインで使い、障害時のみ「ISP-B」を使わせたい場合：

• 設計手法:

- 自社ルータR1（対ISP-A）で受信したルートに対し、ルートマップで `Local Preference` を 200 に設定。 - 自社ルータR2（対ISP-B）で受信したルートに対し、`Local Preference` を 100（デフォルト） に設定。 - IBGPを通じて社内ルータ全員にこの値が共有され、値が大きい「ISP-A経由」が全社のアウトバウンド・ベストパスに選ばれます。

4.2 インバウンド（下り）の制御：AS-Path Prepending

外部のWeb閲覧者や取引先から自社公開サーバへ向かうトラフィックを「ISP-A経由」に誘導したい場合、相手側のASでどの経路が選ばれるかは相手のポリシー次第です。 しかし、世界中のほとんどのルータは「AS-Pathが短い経路」を優先します。

• 設計手法（AS-Path Prepending：水増し）:

- メイン回線（ISP-A）へは、自社の正規AS番号のみを広報（例: AS-Path: 65100）。 - サブ回線（ISP-B）へ広報する際、自社のAS番号を意図的に複数回重ねて広報する（例: AS-Path: 65100 65100 65100 65100）。 - インターネット上の他ASから見ると、「ISP-B経由は自社に到達するまでに余分なASを多数経由する遠回りなルート」に見えるため、他の優先条件が同等なら「ISP-A経由」が選ばれやすくなります。

4.3 MEDによる隣接ASへの入口指定

同一の接続先AS（例: 同一ISPの東京POPと大阪POP）に対して2本の回線を持つ場合、MED（Multi-Exit Discriminator） を用いて「東京側の回線を使って入ってきてほしい」という希望を伝達できます（値が小さい方を優先）。 ただし、MEDは異なるAS間（ISP-AとISP-B）の比較にはデフォルトでは使われません（bgp always-compare-med がない限り比較対象外）。

5. 運用上の重大インシデントとトラブルシューティング

5.1 「意図しないトランジットAS化」による回線パンク事故

BGPマルチホーム導入時、最も恐ろしい設定ミスが「自社ASがISP間のトランジット（中継）ネットワークになってしまう事故」です。

• 事故原因:

- 自社ルータR1がISP-Aから受信したインターネット全経路（インターネットの多数の経路）を、自社ルータR2がフィルタリングせずにそのままISP-Bへ広報（再広報）してしまった。 - ISP-Bから見ると、「自社AS 65100を経由すればISP-A配下のネットワークへ抜けられる」と判断され、ISP-AとISP-Bを行き来する膨大なインターネットバックボーントラフィックが、自社の細い1Gbps回線に流れ込み、瞬時に帯域がパンクして社内通信が全滅した。

• 防止策（鉄則）:

- 自社がEBGPで対外広報する経路は「自社が保有するIPアドレスブロック（自社プレフィックス）」のみに限定するプレフィックスリスト（Prefix-list）またはAS-Pathフィルタを厳格にインバウンド／アウトバウンド両方に適用する。

5.2 IBGPにおける「Next-Hop-Self」の欠如

• 現象: EBGPで学習した経路をIBGPピアに広報した際、社内ルータがその宛先へ通信できずパケットがブラックホールに消える。

• 原因: EBGPから学習した経路の「Next-Hop IPアドレス」は、対向ISPのルータのアドレス（例: 203.0.113.1）になっている。IBGPはデフォルトでNext-Hopを書き換えないため、社内ルータはこの外部IPアドレスへの到達経路を知らず、ルーティング不能となる。

• 対策：NEXT_HOPへのIGP到達性を確保する、またはiBGP向けにnext-hop-selfを設定する。ループバック等へ変更する場合は、そのアドレスへの到達性も確認する。

6. 午後・科目B形式 実戦演習

【問題シナリオ】

中堅ITサービスのK社は、データセンタで運用する自社ECサイトの可用性向上のため、自律システム番号「AS 65200」および「203.0.113.0/24」のIPアドレス空間を取得し、2社のISP（ISP-X：AS 64510、ISP-Y：AS 64520）とBGPによるマルチホーム接続を開始した。 各対外ルータ（R1、R2）および社内L3スイッチの構成は以下の通りである。

K社の設計方針は以下の通りである。

1. 通常運用時は、広帯域な「ISP-X」を主回線とし、社内からのアウトバウンド通信およびインターネットからのインバウンド通信の双方をISP-Xに集中させる。

2. ISP-Xの回線断またはルータ障害発生時のみ、自動的に「ISP-Y」の副回線へすべての通信を切り替える。

3. K社ルータがISP-XとISP-Yの間でインターネット通信を中継（トランジット）することは固く禁止する。

【設問1】

通常時において、インターネット上の一般的なクライアントからK社のWebサーバ（203.0.113.0/24）への下りトラフィックを、主回線であるISP-X経由に誘導するため、ルータR2がISP-Yに対してBGP UPDATEメッセージを送信する際に行うべき設定を、変更対象となるBGP属性名を明記し、35字以内で述べよ。

解答への思考プロセス

• 事実関係と要件:

- インターネットから自社へのインバウンド（下り）トラフィックをISP-Xに誘導し、ISP-Yをバックアップ（待機）にしたい。 - 自社から制御できるインバウンド制御の王道は 「AS-Path Prepending」。 - R2からISP-Yへ自社プレフィックスを広報する際、自社AS番号（AS 65200）を複数個付加（プリペンド）して、AS-Path長を水増しする。 - これにより、外部ASから見てISP-Y経由の経路が遠回り（AS-Pathが長い）と判定され、ISP-X経由が優先される。

• 制限字数（35字以内）への整形:

- 「AS-Path属性に自社AS番号を複数追加して経路長を長く見せる。」

模範解答

AS-Path属性に自社AS番号を複数追加して経路長を水増しする。

解答で確認したい論点

• ×「Local Preferenceの値を小さく設定して広報する。」（Local PreferenceはEBGPピアを跨いで外部へ広報されないため完全に誤り。論点不足）

• △「MEDの値を大きく設定する。」（MEDは異なるAS間ではデフォルトで比較されないため、ISP-XとISP-Y間では有効に機能しない可能性が高く説明の確認が必要）

【設問2】

K社が「意図しないトランジットAS化」となり、他社のインターネットトラフィックが自社のデータセンタ回線へ流入して帯域が飽和することを防ぐため、ルータR1およびR2から各ISPへ送信するBGP経路広告において実施すべきフィルタリング設定を、広報を許可する対象に着目して35字以内で述べよ。

解答への思考プロセス

• 事実関係と要件:

- トランジット化とは、自社がISP-Xから受け取った経路をISP-Yへ広報したり、その逆を行ったりすることで発生する。 - 防ぐためには、自社から各ISPへ送信（アウトバウンド）する経路を厳格に制限する必要がある。 - 自社がインターネットへ広報してよいのは「自社が保有するIPアドレスブロック（自社プレフィックス：203.0.113.0/24）」のみである。

• 制限字数（35字以内）への整形:

- 「各ISPへ広告する経路を自社の保有するIPプレフィックスのみに制限する。」

模範解答

各ISPへ広報する経路を自社保有のプレフィックスのみに限定する。

解答で確認したい論点

• ×「ISPから受信するデフォルトルートのみを許可する。」（インバウンドフィルタの話になっており、設問の「他社トラフィックの流入防止（自社からの不要な経路広報遮断）」に正対していない）

• △「不要なパケットをファイアウォールで遮断する。」（BGP経路広告のフィルタリングを問う設問であり、データプレーンのFWの話ではないため必要な論点が不足）

7. まとめと次ステップ

BGPによるマルチホーム接続は、大規模エンタープライズやクラウド基盤の可用性を担保する心臓部です。

• アウトバウンドは自社AS内のLocal Preference等で優先経路を制御する。

• インバウンド（下り）は対外広報の AS-Path Prepending で誘導する。

• トランジット化防止のために、自社プレフィックス以外は絶対に外部広報しない。

次稿 NWP-06（権威DNSとキャッシュDNSの分離設計およびDNSSECの実装） では、インターネットの名前解決基盤であるDNSの階層構造、キャッシュポイズニング攻撃の防御策、および暗号連鎖によるDNSSECの仕組みを徹底解説します。

BGPポリシーの適用範囲

経路は宛先の最長一致が先に評価され、同じプレフィックスの有効候補からBGPベストパスを選ぶ。Weight、既定AD 20/200、TTL 1/255等は製品の例でありBGP共通仕様ではない。表の優先順も共通項目を学ぶための一例で、全製品・全条件の完全な順位表ではない。

AS-Path Prependingは相手ASのLOCAL_PREF等を上書きできず、下り経路を保証しない。MEDの比較対象やタイブレークは実装・設定に依存する。iBGPのNEXT_HOPがIGPで到達できればnext-hop-selfは必須ではない。

経路漏洩防止は、各ISPへの送信広告に自社の許可プレフィックスだけを通すexportフィルタを設定する。受信まで自社プレフィックスだけに限定すると外部経路を学習できないため、importは必要経路・不正経路拒否・最大経路数を別の方針で設計する。

BGPはEstablished状態のままUPDATEを交換する。静的経路でもトラッキング等による切替は可能だが、BGPは対外的な経路情報とポリシー交換を行う点に特徴がある。本文の私用AS番号と203.0.113.0/24は教材用の値で、実運用の割当ではない。

参考資料・関連する学習記事

RFC 4271

RFC 8212

次に読む：権威DNSとキャッシュDNSの分離設計およびDNSSECの実装