変更要約: 初版
4.4QoS・SSH・ファイル転送
トラフィックを識別・優先するQoSのper-hop behavior（分類・マーキング（DSCP）・キューイング・輻輳管理・超過分を破棄するポリシング・バッファで平滑化するシェーピング）、暗号化された遠隔管理を実現するSSHの設定前提（RSA鍵・ドメイン名）とTelnetとの違い、そしてIOSイメージ／設定を転送するTFTP・FTP・SCPの使い分けを、実務判断として学びます。
帯域が有限である以上、音声・映像のような遅延に厳しいトラフィックと、多少遅れても支障のないバックアップ通信を同じ優先度で扱うと通話が途切れます。そこでQoSで重要トラフィックを優先します。また、機器を遠隔管理する経路が平文だと認証情報が盗まれるためSSHで暗号化し、IOSや設定ファイルの授受には用途に応じた転送プロトコルを選びます。この節では、これらを「要件に対してどれを選び、どう設定するか」という実務判断として学びます。
4.4.1QoSのper-hop behavior
- QoSは各ホップ（機器）でパケットをどう扱うか（per-hop behavior）を制御する。まず分類（classification）でトラフィックを種類ごとに識別し（ACL・NBAR等）、マーキング（marking）でパケットに優先度の印を付ける。L3では IPヘッダのDSCP（6ビット・音声はEF＝DSCP46が代表）、L2では 802.1Q のCoSを使い、下流の機器はこの印を信頼して優先制御する。
- 混雑時の扱いにはキューイング（queuing）（優先キューLLQに音声を入れる等、送出順を制御）と輻輳回避（WREDなど、キューが満杯になる前に一部を先に破棄）がある。帯域超過分の制御には2方式：ポリシング（policing）は超過分を破棄（または再マーキング）しバッファしない＝遅延を増やさないが破棄が起きる。シェーピング（shaping）は超過分をバッファに貯めて後で送る＝トラフィックを平滑化するが遅延（レイテンシ）が増える。
4.4.2SSHによる遠隔管理の設定
- SSHは遠隔管理セッションを暗号化する（TCP22）。平文のTelnet（TCP23）は認証情報も操作も盗聴されるため、実務ではSSHのみを許可する。SSHを有効化するには前提設定がある：
①ホスト名の設定（デフォルトのRouter以外）
②ip domain-name <名前>でドメイン名
③crypto key generate rsa（推奨1024ビット以上）でRSA鍵ペアを生成
④ローカルユーザ（username X secret Y）とline vtyでのlogin local
⑤transport input ssh。 - 特にRSA鍵ペアの生成にはホスト名とドメイン名が必須で、これらが未設定だと
crypto key generate rsaが実行できず、結果としてSSHが有効にならない。ip ssh version 2でより安全なSSHv2に固定するのが望ましい。設定確認はshow ip sshやshow ssh。
4.4.3ファイル転送（TFTP／FTP／SCP）
- IOSイメージや設定ファイルの授受には用途で使い分ける：TFTP（UDP69）は認証も暗号化もない軽量・簡易な転送で、設定バックアップやIOS配布に手早く使える（
copy running-config tftpなど）。FTP（TCP20/21）はユーザ名／パスワード認証があり大きめのファイルにも堅牢だが平文。SCPはSSH上で動く暗号化された安全な転送で、機密性が必要ならSCPを選ぶ。 - 選択の勘所：「素早く設定をバックアップしたいだけ・閉じた管理LAN」ならTFTPで十分、「認証をかけたい／大きめのファイル」ならFTP、「経路上の盗聴を防ぎたい」ならSCP。要件（認証の要否・機密性・簡便さ）で選ぶ。
「ポリシング＝超過分を破棄・遅延を増やさない／シェーピング＝バッファで平滑化・遅延が増える」「マーキングはDSCP（L3）／CoS（L2）で下流が信頼」「SSHはRSA鍵生成にホスト名とドメイン名が必須」「Telnetは平文・SSHは暗号化」「TFTP＝簡易無認証／FTP＝認証あり平文／SCP＝SSH上で暗号化」が最頻出です。要件（遅延許容度・機密性・認証）から方式を選ぶ問いに答えられるようにしましょう。
あなたはWAN回線が混雑する拠点のQoSを設計しています。IP電話の音声（遅延・ジッタに極めて敏感）と、夜間の大容量バックアップ（多少の遅延は許容）が同じ回線を共有し、通話品質が劣化していました。まず音声トラフィックを分類し（例：音声VLANやポートで識別）、マーキングで DSCP EF（46） を付与して、下流の各ホップがこの印を信頼して優先キュー（LLQ）へ入れるようper-hop behaviorを統一します。次に、WAN出口で契約帯域を超えないよう制御する必要がありますが、ここでポリシングとシェーピングのどちらを選ぶかが判断の肝です。ポリシングは超過分を即座に破棄するためバッファ遅延は増えませんが、バースト時にパケットが落ち、遅延に敏感でも損失に弱い音声には向きません（また落とされた再送でかえって輻輳が悪化しがち）。一方、シェーピングは超過分をバッファに貯めて平滑化し、契約帯域内に収めながら破棄を避けられるため、ISPのポリサに引っかからないよう自拠点の送出を整えるWAN出口の送信側では一般にシェーピングが適切です（トレードオフとして遅延は増える）。この「破棄を許容できるか／遅延を許容できるか」というトレードオフから方式を選ぶのがQoS設計の核心です。次に、この拠点ルータの遠隔管理をTelnetからSSHへ移行する際は、hostname・ip domain-nameを設定してから crypto key generate rsa でRSA鍵を作り（ホスト名/ドメイン名が無いと鍵生成が失敗する点に注意）、line vty に transport input ssh と login local を設定します。最後に、移行後の設定を保全するバックアップは、管理LANが閉じているなら手早いTFTP、盗聴を防ぎたいならSCPを選ぶ、という具合に要件で判断します。
| 項目 | 動作／特徴 | 遅延・機密性への影響 | 選択の勘所 |
|---|---|---|---|
| ポリシング | 超過分を破棄／再マーキング（バッファしない） | 遅延は増えないが破棄が発生 | 受信側の帯域制限・破棄を許容できる場面 |
| シェーピング | 超過分をバッファに貯めて平滑化 | 破棄を避けるが遅延が増える | WAN出口の送信整形・破棄を避けたい場面 |
| Telnet | 平文の遠隔管理（TCP23） | 盗聴に弱い | 実務では非推奨（SSHに置換） |
| SSH | 暗号化された遠隔管理（TCP22・RSA鍵要） | 機密性が高い | 遠隔管理の標準。鍵生成にホスト名/ドメイン名要 |
ひっかけ： 「シェーピングは超過トラフィックを破棄するので遅延を増やさない」は誤りです——破棄するのはポリシングで、シェーピングは超過分をバッファに貯めて後で送る＝遅延（レイテンシ）が増える代わりに破棄を避けます。この2つの役割を逆に覚えないこと。また「SSHはコマンド transport input ssh を書けばすぐ使える」も誤り＝ホスト名とドメイン名を設定してRSA鍵（crypto key generate rsa）を生成しなければSSHは有効化されません。さらに「TFTPは認証つきで安全」も誤り＝TFTPは認証も暗号化もない簡易転送で、暗号化が必要ならSCP（SSH上）を使います。
4.4.4この節のまとめ
- QoSのper-hop behaviorは分類→マーキング（DSCP/CoS）→キューイング。帯域超過はポリシング＝破棄（遅延増やさない）／シェーピング＝バッファで平滑化（遅延増える）
- SSH（TCP22・暗号化）は平文のTelnet（TCP23）を置換。ホスト名＋ドメイン名＋RSA鍵生成が有効化の前提
- ファイル転送はTFTP＝簡易・無認証／FTP＝認証あり・平文／SCP＝SSH上で暗号化。要件（認証・機密性・簡便さ）で選ぶ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. WAN出口で自拠点の送出トラフィックを契約帯域内に収めたい。遅延に敏感な音声も流れており、可能な限りパケットの破棄を避けたい。ポリシングとシェーピングのどちらを選ぶべきか、その理由として最も適切なものはどれか。
Q2. 新設ルータでSSHによる遠隔管理を有効化しようとし、`line vty 0 4` で `transport input ssh` と `login local` を設定したが、SSHで接続できない。`crypto key generate rsa` を実行しようとしても鍵を生成できなかった。最も可能性の高い原因はどれか。
Q3. 運用中のルータの設定ファイルを、管理用の閉じたLAN上のサーバへ手早くバックアップしたい。認証や暗号化の要件は特にない。最も簡便で適切な転送方式はどれか。