ネットワーク(旧)
用語
サーバネットワーク
サーバ類を置くためのネットワーク
外部からの通信の待受やインターネット越しの別ネットワークとの接続が重要視される
各機器のセキュリティは正しく設定されていることが前提になっている
ホームネットワーク
生活のためのネットワーク
ネットワークに関する設定ができないような機器も存在するので，各機器を安全に接続するためのファイアウォールが重要視される
物理構成
https://scrapbox.io/files/6367619056a59e00231c5d1a.png
概観
NURO光の下り帯域 2Gbps を活かすためにサーバネットワークとホームネットワークでルータを分離している
NURO光に加えてアパートに併設されている無料インターネット(バックボーンがぷらら)が存在するためマルチホーム構成になっている
機器
NSD-G1000T
NURO光側 ONU 兼ルータ
IX2105
サーバーネットワーク側ルータ
IPsec 性能が高いことからこちら側に採用されているがまだどことも接続されていない
実際はほぼ L3 スイッチとしてしか動作していない
NETGEAR G308E
ポートごとに VLAN の設定ができる L2 スイッチ
Raspberry Pi 4B
Kubernetesクラスタの controle-plane
ちょっとした worker もしている
tosuke/ndp-proxy をデプロイする予定
EdgeRouter Lite 3
ホームネットワーク側ルータ
ルーティング性能が高く，iptables をバックにした強力なファイアウォールが構成できることからこちら側に採用されている
普通に Linux が動いているので tosuke/ndp-proxy をデプロイしたりもできている，便利
NETGEAR G305E
サーバー側のやつのお下がり
ポートごとの VLAN 設定は使われていないが，ホームネットワーク自体は VLAN も使う構成になっているために VLAN を破壊しない保証があるということで採用されている
Unifi U6 Lite
エンタープライズな感じの機能を提供する WiFi6 対応 WiFi AP
IoT 機器用の隔離されたネットワークを作ったりするのに使っている
論理構成
https://scrapbox.io/files/63678c4556a59e00231e0340.png
サブネット・セグメント
インターネット・相互接続関連
NURO光
何らかの方法，おそらく DHCP と DHCPv6-PD で IPv4 アドレスや IPv6 の /56 プレフィックス，DNS サーバなどの情報が降ってきている
192.168.0.0/24,240d:x:y:zz00::/64
NSD-G1000T に接続するための空間
IPv6 に関しては特段複雑なアドレス変換は行っていないのでこの空間で OSPF を使った経路交換もしている
IPv4 に関しては内部で public ip アドレスへの経路を持つ関係上次のような構成になっている
1. NSD-G1000T からは192.168.0.4を DMZ に指定
2. IX2105 では 192.168.0.4/24 をサブ ip アドレスとして設定し，NAT を使って public ip アドレスに変換
直接 DMZ を public ip にすればいいんじゃないかと思われそうだが，NSD-G1000T はなぜか192.168.0.0/24のアドレスしか DMZ に設定できない
192.168.1.0/24
前述の変な変換によって，192.168.0.0/24の経路を通すと IX2105 から EdgeRouter Lite 3 の public ip からのパケットのソースが変換されてしまい正常に動作しなくなるため，内部用の経路として用意している
OSPF を使って EdgeRouter Lite 3 と経路交換している
192.168.129.0/24
無料インターネットを提供するルータの持つサブネット
130.158.0.0/16
筑波大学の持つサブネットに EdgeRouter Lite 3 の持つ L2TP/IPsec クライアント接続機能を使って接続している
あまり振られるアドレス空間が大きくないようなので怒られそうならやめる
ソースルーティングを使ってホームネットワークからのみルーティングされるようになっている
自宅から学内専用サイトにいつでも接続できて便利
ホームネットワーク
192.168.10.0/24,240d:x:y:zz10::/64
生活用ネットワーク
一般的なレベルの SPI ファイアウォールが用意されている
mDNS のプロキシが用意されているので，こちらからは IoT 機器用ネットワークが同じセグメントにあるのと同じ感覚で扱える
192.168.11.0/24
IoT 機器用ネットワーク
Unifi U6 Lite の機能により VLAN を使って分離されている
こちらから生活用ネットワークに接続しに行くことはできない
サーバネットワーク
192.168.2.0/24
スイッチなどの設定を行うためのネットワーク
生活用ネットワークとしか通信できないようになっている
192.168.20.0/24,240d:x:y:zz20::/64
サーバの計算機が持つアドレスのネットワーク
192.168.21.0/24,240d:x:y:zz21::/64
Kubernetes が管理するアドレス
IPv4
192.168.21.0/24を PureLB が割り当てる内部向けロードバランサ IP アドレスとして確保している
IPv6
240d:x:y:zz21:706f:6400::/88が IPv6 の PodCIDR
240d:x:y:zz21:7376:6300::/112が IPv6 の ServiceCIDR
240d:x:y:zz21:cafe::/120が PureLB が割り当てるロードバランサ IP アドレス
このうち PodCIDR とロードバランサ IP に関してはインターネットとの接続性を確保する必要があるが，これを ND Proxy に頼っている
あまり良い構成であるとは言えないが，NSD-G1000T とうまく付き合っていく関係上 ND Proxy を切り離すことはできない