変更要約: 初版
6.3ネットワーク管理と性能
SNMPによるMIBのポーリング・トラップを使ったネットワーク管理、帯域・スループット・レイテンシなどの性能指標、QoSによる優先制御、無線LAN（SSID・チャネル・ローミング）、そして負荷分散を、監視・性能要件に適した構成を選ぶ判断とあわせて学びます。
ネットワークは構築して終わりではなく、継続的な監視と性能管理があって初めて安定運用できます。SNMPによる監視は障害の早期検知に有効ですが、古いバージョン(SNMPv1/v2c)はコミュニティ名が平文であるなど、監視の仕組み自体が攻撃対象になり得る点に注意が必要です。この節では、監視・性能要件からどの管理手法・構成が適切かを判断する力を養います。
6.3.1SNMPとネットワーク管理
- SNMP＝ネットワーク機器の状態を監視・制御するプロトコル。管理対象機器が保持する管理情報のデータベースをMIB（Management Information Base）と呼び、各項目はOID（オブジェクト識別子）で一意に指定される。
- 監視方式には、管理サーバが定期的に機器へ問い合わせるポーリングと、機器側の異常発生時に自発的に管理サーバへ通知するトラップがある。ポーリングは確実だが監視間隔の分だけ検知が遅れ、トラップは即時性が高い一方で通知自体がロスすると気づけない。両者を併用するのが実務上の定石。
- セキュリティ上の留意点として、SNMPv1/v2cは認証に平文のコミュニティ名を使うため盗聴・なりすましのリスクがある。SNMPv3では認証・暗号化に対応しており、監視トラフィックが流れるネットワークの信頼度に応じてバージョンを選定すべき。
6.3.2ネットワーク性能とQoS
- 帯域（帯域幅）＝単位時間あたりに伝送できる理論上の最大データ量。スループット＝実際に観測される単位時間あたりの伝送データ量（プロトコルのオーバーヘッドや輻輳で帯域より小さくなる）。レイテンシ＝データ送信から到達までの遅延時間。
- QoS（Quality of Service）＝限られた帯域の中で、トラフィックの種類ごとに優先度をつけて制御する仕組み。音声通話（VoIP）や制御系トラフィックのように遅延・ジッタに敏感な通信を優先し、ファイル転送のような遅延に寛容な通信は後回しにする、という要件に応じた優先制御の設計判断が問われる。
「帯域＝理論上の最大値」「スループット＝実測値（帯域以下）」「レイテンシ＝遅延時間」の違いを取り違えないこと。「SNMPv1/v2cはコミュニティ名が平文＝盗聴リスク」「SNMPv3は認証・暗号化に対応」という版ごとの違いも頻出です。QoSは帯域を増やす対策ではなく、既存の帯域の中で優先順位を配分する対策である点も要注意。
6.3.3無線LANと負荷分散
- 無線LANではSSID（アクセスポイントの識別名）ごとに異なるチャネル（周波数帯）を割り当て、隣接APとの電波干渉を避ける設計が要る。移動端末が複数APのエリアをまたいで接続を維持するローミングは利便性を高める一方、SSIDをブロードキャストしたままにすると第三者に存在を把握されやすく、また暗号化方式に脆弱なWEPやWPA2の脆弱な実装を使うと通信内容の盗聴・解読リスクが残る（WPA3の採用が望ましい）。
- 負荷分散＝複数のサーバにリクエストを振り分けて特定のサーバへの過負荷を防ぐ仕組み。ラウンドロビン等の分散方式に加え、特定サーバへのDDoS的な集中を避ける観点や、SSLアクセラレーション（TLS終端の集約）を負荷分散装置に担わせる構成など、性能要件だけでなくセキュリティ要件も踏まえた構成選定が実務では求められる。
あるシステム管理者が、拠点間をつなぐ社内ネットワークで「制御系の重要なトラフィック（工場のPLC監視データ）が、ファイル転送の混雑時に遅延・パケットロスして異常検知が遅れる」という障害報告を受けた場面を想定します。まず現状分析として、帯域（回線の理論上限）は十分にあるにもかかわらず、スループット（実測値）が業務時間帯に大きく低下しレイテンシが増大していることをSNMPのポーリングで収集したMIB情報から確認します。ここで「帯域を増強する」のではなく、QoSで制御系トラフィックに最優先のキューを割り当て、ファイル転送のような遅延許容度の高いトラフィックには低優先度を設定するという判断を下します——帯域を増やすだけでは繁忙期に再び輻輳するリスクが残るためです。次に、この監視自体をSNMPv1で行っていたことが判明し、コミュニティ名が平文でネットワーク上を流れているため盗聴・不正な機器操作のリスクがあると判断し、認証・暗号化に対応したSNMPv3への切り替えを推奨します。あわせて、工場フロアの無線LANがSSIDをブロードキャストしたままWPA2の初期設定で運用されていたことも判明し、SSIDのステルス化・WPA3への移行・不要なローミング範囲の見直しを行い、制御系ネットワークへの不正接続の入り口を塞ぎます。このように、性能問題は帯域増強だけでなくQoSによる優先制御で、監視は手法自体のセキュリティ（SNMPバージョン）まで含めて、無線LANは利便性と盗聴リスクのバランスまで含めて、それぞれ要件に応じた構成を選び取るのが実務判断です。
| バージョン | 認証方式 | 暗号化 | 留意点 |
|---|---|---|---|
| SNMPv1/v2c | 平文のコミュニティ名 | なし | 盗聴・なりすましのリスク |
| SNMPv3 | ユーザーベース認証 | 対応（暗号化可能） | 信頼度の低い経路では推奨 |
ひっかけ： 「スループットが低いのは常に帯域不足が原因なので帯域を増強すべき」は誤りです——輻輳・プロトコルオーバーヘッド・QoS未設定など帯域以外の要因でスループットが低下することも多く、まずMIB等で実態を確認しQoSによる優先制御で解決できる場合があります。また「SNMPv1は暗号化されていないが認証は安全である」も誤り＝コミュニティ名は平文で送信されるため盗聴されれば認証情報自体が漏えいします。「ローミングはセキュリティリスクを一切伴わない利便性向上策である」も誤り＝SSIDのブロードキャストや弱い暗号化方式と組み合わさると不正接続の入り口になり得ます。
6.3.4この節のまとめ
- SNMPはポーリング（定期・確実）とトラップ（即時・ロスの懸念）を併用し、SNMPv1/v2cの平文コミュニティ名リスクを踏まえSNMPv3を選定する
- スループット低下は帯域不足とは限らず、QoSによる優先制御で輻輳時の重要トラフィックを守れる場合がある
- 無線LANはSSIDステルス化・WPA3採用・ローミング範囲の適正化で利便性と盗聴リスクのバランスを取る
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ネットワーク管理者が、社内の監視システムがSNMPv1でコミュニティ名を平文送信していることに気づいた。監視トラフィックが信頼度の低いセグメントを経由する構成であるとき、最も適切な対応はどれか。
Q2. システム管理者が、制御系の重要トラフィックがファイル転送との輻輳時に遅延・パケットロスする障害の調査で、帯域は十分だがスループットが業務時間帯に低下していることをMIB情報から確認した。最も適切な対応はどれか。
Q3. 工場フロアの無線LANが、SSIDをブロードキャストしたままWPA2の初期設定で運用されており、複数アクセスポイント間のローミングも有効になっている。制御系ネットワークへの不正接続リスクを下げる対応として最も適切なものはどれか。