1.1企業ネットワーク設計原則と高可用性

ENCOR のアーキテクチャ領域は「モデル名を覚える」試験ではありません。問われるのは、与えられた可用性要件・障害モード・運用制約に対して、どの階層構成とどの冗長化技術を組み合わせるかという判断です。同じ「二重化」でも、機器そのものを二重化するのか（スタック/VSS）、機器内のスーパーバイザを二重化するのか（SSO）、デフォルトゲートウェイの役割を二重化するのか（FHRP）で、守られる障害が違い、切替に要する時間も、切替時に失われるものも違います。この節では設計モデルの選び分けと、冗長化技術がどの単一障害点を消すのかを整理します。

1.1.1設計モデルの選び分け

• 3-tier（3階層）＝アクセス層（エンドポイント収容）・ディストリビューション層（ポリシー適用・集約・L2/L3境界）・コア層（高速で単純な転送に徹するバックボーン）に分ける。ディストリビューションブロックごとに障害と設定変更の影響を閉じ込められるため、建屋やブロック数が多い大規模キャンパスほど効く。コア層には原則としてポリシーを載せず、転送の単純さと安定性を保つ。
• 2-tier（collapsed core）＝ディストリビューションとコアを1層に統合した構成。ブロック数が少ない中小規模では、コアを別に立てても中継ホップと機器コストが増えるだけで可用性はさほど上がらないため、統合が妥当な判断になる。ただしブロックが増えると統合層に全ての相互接続が集中し、将来の拡張時に再設計が必要になりやすい点は理解しておく。
• ファブリック＝物理的な到達性を担うアンダーレイの上に、カプセル化による論理網＝オーバーレイを重ねる方式。VLAN や配線に縛られずポリシーを配れるため、同じポリシーを場所に依存せず適用したいキャンパスやデータセンタで採用する。クラウドは事業者インフラ側にワークロードを置く形態で、拠点設計としては「どこで終端し、どう暗号化し、どの経路で抜けるか」というWAN/セキュリティ設計の問題になる。

1.1.2冗長化技術が消す単一障害点

• FHRP（First Hop Redundancy Protocol）＝複数のルータ/L3スイッチで仮想IP（デフォルトゲートウェイ）を共有し、アクティブ機が落ちたら待機機が引き継ぐ。消えるのは「ゲートウェイ機器そのものの停止」という単一障害点で、ホスト側は設定変更なしで通信を継続できる。HSRP（Cisco・Active/Standby・優先度既定100・preempt既定無効）、VRRP（標準・Master/Backup・preempt既定有効）が代表。
• SSO（Stateful Switchover）＝1台の筐体内で冗長スーパーバイザを持ち、アクティブ側の障害時にスタンバイ側が状態を引き継いで制御を続ける。消えるのは「スーパーバイザ（制御エンジン）の故障」であって、電源系や上流リンクの障害ではない。SSO は L2 の状態や設定を引き継ぐが、ルーティングプロトコルの隣接を維持するには NSF/NSR などの補助機能が併用される点が実務上の要点。
• スタック／VSS＝複数の物理筐体を1つの論理スイッチとして扱う技術。管理面が1台に集約されるだけでなく、両筐体をまたぐ MEC（マルチシャーシ EtherChannel） を組めるため、下位スイッチから見て冗長リンクが1本の論理リンクになり STP のブロッキングを避けられるのが最大の設計効果。消えるのは「筐体単位の故障」だが、論理的には1台なのでソフトウェア更新の影響は全体に及ぶという裏返しがある。

1.1.3可用性要件から技術を選ぶ

• 要件が「ゲートウェイ機器が1台落ちても端末の通信を止めない」なら FHRP。要件が「筐体は1台のまま、制御エンジンの故障で落ちない」なら SSO。要件が「冗長リンクを遊ばせず帯域として使い、STP の再収束を待たせない」ならスタック/VSS ＋ MEC。要件の言葉が指す障害モードを先に特定するのが、選択を誤らない最短経路になる。
• 冗長化は足せば足すほど良いわけではない。FHRP・スタック・SSO を無秩序に重ねると、切替イベントが多層で連鎖し、かえって収束が読めなくなる。設計としてはL2/L3境界をどこに置くかを決め、その境界に対応した冗長化を1組選ぶのが基本。加えて、切替時間の要件（秒単位か、サブ秒か）が、タイマ調整や BFD 併用の要否を決める。

あなたは2棟・6ブロック規模のキャンパスを運用しており、「四半期に一度、ディストリビューションスイッチの片系を再起動すると業務端末が15〜30秒ほど通信断になる」という申告を受けました。構成はアクセス層のL2スイッチが2台のディストリビューションスイッチへそれぞれ別々のL2リンクで上がり、ディストリビューション2台で HSRP を組んでデフォルトゲートウェイを冗長化しています。ここで「HSRP を入れているのだから切替は速いはず」と考えるのが典型的な誤診です。show standby で確認すると HSRP 自体は数秒以内に Active を引き継いでいるのに断が長い——この差分こそが原因の在処で、遅いのはL3のゲートウェイ切替ではなく、その下でL2トポロジが再計算されている時間です。アクセスからの2本が別々のL2リンクである以上、片方は STP でブロッキングされており、上位が落ちるとブロッキングポートが転送状態へ遷移するまでの再収束を待たされます。妥当な打ち手は、ディストリビューション2台を VSS（またはスタック）で論理1台に束ね、アクセスからの2本を MEC として1本の論理リンクにすることです。こうすると下位から見て冗長リンクは常に転送状態にあり、片系の再起動は EtherChannel のメンバ1本の消失としてサブ秒で吸収され、そもそも HSRP の切替も STP の再収束も発生しません（ゲートウェイは論理1台のままなので FHRP 自体が不要になる）。ここで「HSRP のホールドタイマを短縮する」だけを選ぶと、L3の切替は速くなってもL2再収束の待ち時間は残るため部分的な改善に留まり、逆にタイマを詰めすぎて瞬断で不要なフラップを誘発するリスクを負います。同様に「アクセススイッチにも SSO 対応機を入れる」は、申告された障害モード（計画的な片系再起動時の切替）とは別の単一障害点（スーパーバイザ故障）に効く対策で、症状に対応しません。症状の時間軸を分解し、どの層の収束が支配的かを特定してから技術を選ぶのが、この種の設計課題の解き方です。

1.1.4この節のまとめ

• 設計モデルは規模と要件で選ぶ：ブロックが多い大規模は3-tier、少数なら2-tier（collapsed core）、場所に依存しないポリシー配布はファブリック（アンダーレイ＋オーバーレイ）
• 冗長化は消したい単一障害点で選ぶ：ゲートウェイ機器＝FHRP（HSRP/VRRP）、筐体内の制御エンジン＝SSO（隣接維持はNSF/NSR併用）、筐体そのもの＝スタック/VSS
• 切替が遅い症状はどの層の収束が支配的かを分解して診断する。L2再収束が支配的ならVSS/スタック＋MECで冗長リンクを常時転送にするのが根治策