フレッツのVPNの理解

Question

質問がおかしかったらご指摘下さい。
私自身が個人事業な事もあり（関係ないか）小規模の会社のネットワークしかやってきておりませんので少し難しいネットワークになると全く歯が立たないなと思うことがありましたので質問させて頂きます。

先日フレッツを使った拠点間のVPNを設定した会社の再設定を行いました。

業者は支店間が疎通できることだけを確認して帰って行くため、社内のネットワークやファイルサーバー、複合機などの再設定はこちらで再設定する必要があったためです。
本社と支社、それぞれ1つづつを結ぶ、一番基本的な物だと思います。

本社のルーターが192.168.0.1
支社のルーターが192.168.1.1

サブネットはそれぞれが255.255.255.0と言う形です。

ここで私はサブネットは255.255.0.0じゃ無いとダメなのでは無いか？と思っていたのですが、実際はpingも通りますしサーバーのファイルもちゃんと見ることが出来ます（当たり前なのでしょうが・・・

ただPC名ではダメで、ルーターをまたいでる場合はIPでのみ疎通が出来ているようです。

私的にサブネットが255.255.0.0じゃなくても疎通が出来たりとかの理屈がどうしても理解できません。

プログラムの質問とは違いますが何か理解するためのサイトや書籍、資料など、ご提示頂けませんでしょうか？

初心者的な話で申し訳ないのですがよろしくお願い致します。

Answer 1

サブネットとルーティングをごっちゃにしているからだと思います。
ルーティングを司るルーターは基本的に
「自分の範囲内のネットワーク通信かそうでないか」を判断しています。
例えば自分のネットワークが[192.168.0.1]の範囲でサブネットが[255.255.255.0]だとしてPC[192.168.0.10]が「www.google.co.jp」にアクセスするとします。

１．ルーターは「www.google.co.jp」をdnsでIPアドレスを解決し[172.217.161.227]を得ます。
２．[172.217.161.227]は自分の範囲内ではないのでdefaultgatewayに丸投げします。
３．丸投げ先がごちゃごちゃやってルーターに通信を返してくれるので
通信元のPC[192.168.0.10]に内容を返して「www.google.co.jp」が見える

みたいな感じです。
２の「自分の範囲ではない」かどうかを判断するのがサブネットになります。

VPNで接続されている場合は「経路情報」というものを設定しています。
この設定によりアクセス先のIPアドレスの範囲と丸投げ先を個別に設定しています。
『自分の範囲以外はdefaultgatewayに丸投げ』というものに
加えて『[192.168.1.1]の範囲のものは支社ルーターに丸投げ』という
設定をおそらく行っています。

これによって自分の範囲内、範囲外の場合の丸投げ先切り分けということだけで
お互いに通信ができる形になっています。
サブネットを[255.255.0.0]にするというのはあくまで「自分の範囲内を増やす」行為であって「経路情報」とは関係ないのです。

大雑把ですがご参考になれば。

#追記
言葉が多いので難しく感じるかもしれませんが「www.google.co.jp」の代わりに
「192.168.1.10」のPCにアクセスする例でもう少し細かく説明し直します。
書き方を簡略化するために
本社ルーターのネットワーク[192.168.0.0-255]の範囲を[192.168.0.0/24]
支社ルーターのネットワーク[192.168.1.0-255]の範囲を[192.168.1.0/24]
と表記します。割りと普通の書き方です。

・本社ルーター[192.168.0.1]には
[192.168.1.1/24]の通信を支社ルーター[192.168.1.1]に丸投げ
・支社ルーター[192.168.1.1]には
[192.168.0.1/24]の通信を本社ルーター[192.168.0.1]に丸投げ
という設定があると推測されるためその前提で話をしています。

０．本社PC[192.168.0.10]は支社PC[192.168.1.10]にアクセスしようとするが自分自身（PC）の範囲
　　[192.168.0.0/24]内でないため自分自身（PC）のデフォルトゲートウェイである
　　本社ルーター[192.168.0.1]に通信を丸投げして問い合わせます。
１．本社ルーターは通信先[192.168.1.10]をみて、[192.168.1.1/24]の範囲内なので
　　設定通りに支社ルーター[192.168.1.1]に通信を丸投げして問い合わせます。
２．支社ルーターは通信先[192.168.1.10]をみて、自分自身（支社ルーター）の範囲内[192.168.1.1/24]なので
　　そのまま通信先[192.168.1.10]に対して通信します。ここで通信先に対して到達！

※ここから支社ルーターは通信した結果を通信元の本社PC[192.168.0.10]を返そうとします。

３．支社ルーターは通信先（元）[192.168.0.10]をみて、[192.168.0.1/24]の範囲内なので
　　設定通りに本社ルーター[192.168.0.1]に通信を丸投げして返します。
４．本社ルーターは通信先（元）[192.168.0.10]をみて、自分自身（本社ルーター）の範囲内[192.168.0.1/24]なので
　　そのまま通信先（元）[192.168.0.10]に対して通信します。
５．本社PC[192.168.0.10]と支社PC[192.168.1.10]の疎通完了！

ざっくりですがこんな感じのイメージです。
・自分自身の範囲内、外を判断して
・外側の場合に次はどのルーターに聞くのか
ということをひたすらやっていて、それらが相互に作用することで「通信」というものが
成り立っていることがわかるかと思います。まだわかりにくいかもしれませんがご参考になれば。

Comments

[退会済みユーザー]

Windows ネットワークと インターネット通信がごっちゃになってますよ＾＾；

[sousuke]

ごっちゃにしているつもりは無いのですが…私も絶対間違ってないとは思いませんがルーターの仕事にフォーカスして説明したつもりだったのですが違うところもあるのかもしれませんね。しかしwindowsネットワークというものに関しては話している気がまるでないので何故この語句が出てくるのかわかりません…。

[退会済みユーザー]

> ただPC名ではダメで、ルーターをまたいでる場合はIPでのみ疎通が出来ているようです。

そもそもの質問が、Windows ネットワークの話です。

この質問、L2 で 拠点間接続した経験のある人が L3 の VPN サービス使って、戸惑ってるって内容なので、インターネット通信の説明しても混乱するかと。

まぁ、私の回答もひどいですけどｗ

[sousuke]

私は「サブネットが255.255.0.0じゃ無いとダメなのでは無いか？」に関しての考え方にだけ答えていますので、windowsネットワークはこの部分だけでいうと関係ないかなと思っています。

[landy77]

わかりにくい質問で申し訳ございません！

overさんの答えにコメントした事に更についかすれば、あくまで同じネットワーク上にいるかどうかの判断材料がサブネットである。
今回の件で言えば、本社において同じネットワークでないと判断されるとルーターに投げて、ルーターがその際にルーティングされている事によって支社のルーターへ投げる等の処理をしているという理解で合ってますでしょうか？

[sousuke]

単に「同じネットワーク」というと語弊が生まれるので止めた方がいいです。VPNを含めれば「同じネットワーク」と言えてしまうからです。意地汚い言い方をすればインターネットができる世の中の全てのルーターも「同じネットワーク」上にいると言えるくらいです。

ものの言い方は自分の考え方をスッキリさせることにも一役買ってくれると思っているので私は結構こだわります。

本題ですが、少しおかしい部分があります。
「本社において同じネットワークでないと判断されるとルーターに投げて」とありますが「本社において同じネットワークでないと判断」しているのは基本的には（本社）ルーターです。なのでこの文はおかしい事になります。

Answer 2

ここで私はサブネットは255.255.0.0じゃ無いとダメなのでは無いか？と思っていたのですが

上記まで理解できているのであれば、答えにすぐ辿りつけそうですね。

本社のルーターが192.168.0.1
支社のルーターが192.168.1.1

上記を255.255.0.0で設定した場合は同一ネットワークで疎通ができると理解できていると読めます。
逆に255.255.255.0にした場合は別のネットワークであると理解できているでしょうか?

そこまで理解できているのであれば、「ネットワークセグメント 疎通」等、サイト検索してみればご期待のサイトを見つけることができると思います。

上記で調べた結果(機能)は「フレッツのVPN」が提供しています。

ただPC名ではダメで、ルーターをまたいでる場合はIPでのみ疎通が出来ているようです。

ネットワークノードは基本的に、IPアドレスで通信元/通信先を評価します。
これに対し、利便性/視認性を考慮して名称等キャラクタベースでの通信を可能とするサービスが提供されています。
代表的なものはDNSサービスです。

ご質問者様の保守している環境は推察するにWindowsOS環境であり、NetBIOSの名前解決に頼った運用をしていると考えられます。
NetBIOSはWindowsOS独自の名前解決の仕組みであり、ブロードキャスト範囲に自身のホスト名を通知します。
ブロードキャスト範囲は基本、同一ネットワーク内となり、別ネットワークには伝搬しません。

もし、別セグメント間でのホスト名による疎通をお望みであれば、DNS or Wins サーバを構築する必要があります。

Comments

[landy77]

あ、つまり「同一ネットワーク」かどうかを判断するための材料が「サブネット」であるって事であってますかね？
もう少し今回の件に関して言えば「同じルーター上」＝「同じネットワーク」であり、同じネットワークのPCかどうかを判断するのが「サブネット」であると。

[over]

> あ、つまり「同一ネットワーク」かどうかを判断するための材料が「サブネット」であるって事であってますかね？
その理解で良いと思います。
しかし、この発言ですと、何を以て「255.255.0.0」であれば疎通できるとの理解に至ったのか・・・

> もう少し今回の件に関して言えば「同じルーター上」＝「同じネットワーク」であり、同じネットワークのPCかどうかを判断するのが「サブネット」であると。

こちらに関しては間違っています。
ルータとは、別ネットワークの通信を橋渡しする役割を持った機能/機器名称です。
従って、「同じルーター上」と言ってしまうと、別ネットワークも接続されていることがほとんどです。

Answer 3

VPN の仕様によります。
L2 で結ぶ場合は、サブネットマスクは255.255.0.0
L3 で結ぶ場合は、サブネットマスクは255.255.255.0
となります。

実運用としては、VPN での拠点間接続は、ブロードキャストドメインを分けたほうが何かと都合が良いので、L2 で結んだ場合も、どこかでルータを入れて拠点間のセグメントを分けるケースも多いです。

追記
回答がザツすぎたので補足します。

VPN に関して

まずは余談ですが、いわゆる VPN 接続は、使用する網の種類により大きく 2 つに分類されます。
・インターネット VPN
・閉域網サービス
（ただし、今回の話とはあまり関係ありません）

で、使用する仮想インターフェイスの種類によっても 2 種類に分類されます。
・L2 サービス
・L3 サービス
（こっちは関係あります。）

VPN と呼ばれるものは、何らかの網の上に仮想的な閉域網を構築する仕組みを指しますが、仮想網の終端をルータ（L3）のインターフェイスにするのかスイッチ（L2）のインターフェイスにするのかで大きく分類されます。

このことが分かれば、あとは通常のネットワーク構築と同じです。

L2 サービスを使用した場合は、通常のスイッチに繋がった端末と同じ動作をするので、
本社と支社を L2 で同じサブネット内に閉じ込めることが可能です。
双方で
192.168.0.0/16
等の、ネットワークを使用することができ、
サブネットマスクは255.255.0.0
等が使用されます。

こちらの設計であれば、特別な設定をせず、Windows ネットワーク（NetBIOS）で通信させることができます。
（つまり、名前解決に PC の名前が使用できます）
landy77 さんがイメージしていたのはこちらのネットワーク構成です。

*ただし、ブロードキャストドメインが拠点間をまたがるのを嫌い、拠点の出入り口でネットワークを分割するケースも多くあります。その場合、以下の L3 サービスを使用した場合と同じイメージとなります。

L3 サービスを使用した場合は、本社と支社は別ネットワークとなり
本社 192.168.0.0/24 と 支社 192.168.1.0/24
等を使用し、
サブネットマスクは255.255.255.0
等が使用されます。

今回はこちらを採用されているようです。
こちらを使用した場合、Windows ネットワークを両拠点間で使用しようとすると、なんらかの設計と設定が必要になります。（サーバ建てるとか、ブリッジネットワーク構成するとか、リレーするとか）

TCP/IP 通信

異なるサブネットに属する端末同士の通信は、「ルーティング」によって制御されます。
このルーティングは「ルーティングテーブル」に従って、制御されます。この挙動は、始点となる端末と中継機器が対象となります。
ルーティングテーブルには、「ネットワークアドレス」と「宛先のインターフェイス」が対となり登録されており、そのテーブル情報に従ってパケットを投げます。
一般的な PC 端末であれば、ルーティングテーブル上に「0.0.0.0」「デフォルトゲートウェイのアドレス」が登録されており、特別な設定をしない限り、デフォルトゲートウェイのアドレスにパケットを投げることになります。そして、中継機器（ルータ等）はその機器のルーティングテーブルに従って、次の宛先インターフェイスへパケットを投げます。
*昨今の PC 環境（特にエンジニアの環境）は、ルーティングテーブルがワリと汚いケースがあります。この辺の基本動作を押さえておかないと、障害時に切り分けができないケースが発生します。

今回は関係なかったようですが、拠点間接続の多くの場合、インターネットへの出口が変わったり、拠点間にあるルータが複数になったりするので、ルーティング情報（経路情報）をルーティングに関連する機器に適切に設定してあげる必要があります。

一般的なオフィスのネットワークは、「イーサネット」と「TCP/IP」の組み合わせの世界なので
業務で使用するのであれば、一度体系的に学習されることをオススメします。
回答としてイーサネットに関しても本来であれば触れるべきですが、省略しているのでぜひご自身で確認してください。