マルチポート光メディアコンバーターによるネットワーク分離：VLANと物理的分離
閲覧数： 85 +2FCTELEによるオリジナル記事著者：FCTELE技術チーム
概要マルチポート光メディアコンバータは、接続されたネットワークを物理的に分離しますか？
光ファイバを使用しているだけでは、物理的に分離されているとはいえません。複数の電気ポートがスイッチングファブリック、アップリンク、電源、管理システムを共有している場合があります。VLANは正しく設定すれば論理的な転送を制限できますが、光区間が除去するのは特定の導電経路です。正式な物理的分離を確認するには、これらの異なる意味の分離を同一視せず、別の場所で再接続される経路も含めて、アーキテクチャ全体と要件を検討する必要があります。
3つの仕組みと検証の適用範囲信号の流れを追い、実際のサービスを検証する
01共有リソースを明確にする
複数のアクセスポートが、共通のアップリンクやスイッチングリソースを奪い合う場合があります。
02論理的なグループ分けを確認する
VLANのメンバーシップは、定義されたレイヤー2の転送範囲を制御します。
03共通の依存関係をたどる
共有機器や管理接続が、意図した分離境界を越える場合があります。
スワイプして3つの図を比較 →
概念を説明するための図であり、実測波形、設置配線図、特定製品の内部構成を示すものではありません。- 01
共有リソースを明確にする共有容量と、どの障害が両方のグループに影響するかを記録します。
- 02
論理的なグループ分けを確認するルーティング経路も含め、許可される通信と禁止される通信をテストします。
- 03
共通の依存関係をたどる端末からアップリンクまでの経路全体と、管理経路全体を確認します。
選定・検証チェックリスト確認項目と関連ガイドを展開する
光接続が1つのマルチポート機器は、通常、複数の電気ポートを同じスイッチングファブリックに接続し、光ポートを介してアップリンクします。VLANを分割できるか、ポート間通信を制限できるか、真に独立したデータチャネルを提供できるかは、内部構造と機能によって異なります。論理的分離は設定に依存し、物理的分離は実際のハードウェア境界に依存します。光ファイバを使用しているというだけで、2つのネットワークがすでに物理的に分離されていると主張することはできません。
複数の電気ポートが同じスイッチチップを共有している場合がある
一般的な、光接続が1つのマルチポート機器はレイヤー2スイッチングを行い、各電気ポートに独立した光回線を提供するものではありません。複数の端末がアップリンク帯域幅と機器リソースを共有するため、各ポートの速度、アップリンク容量、転送能力を確認する必要があります。電気ポート間の通信を禁止する必要がある場合は、ポート分離機能が明確に規定されていなければなりません。異なるサービスをグループ分けする必要がある場合は、VLANへの対応が明確に規定されていなければなりません。一般的なアンマネージド機器には、これらの設定機能がない場合があり、ポート数から推測することはできません。
光ファイバによる電気的絶縁は、ネットワーク分離とは異なる
光ファイバは両端を導体で接続しないため、接地電位差や一部の電気的干渉の影響を低減できますが、データは引き続き伝送します。両端のイーサネット機器は通常どおり通信でき、悪意のあるパケットや誤ったパケットも、このリンクを通じて反対側に到達する可能性があります。電気的絶縁、データアクセス制御、ネットワークの物理的分離は、それぞれ異なる問題です。名称に絶縁や分離を含む製品は、その対象が電源なのか、インターフェースの電気的特性なのか、ポート間転送なのか、あるいはサービスチャネル全体なのかを説明する必要があります。
複数の電気ポートがスイッチチップとアップリンクを共有している場合があります。VLANが設定するのは、定義された論理的な転送境界に限られます。
VLANは論理的な境界を分けるが、リソースは引き続き共有され得る
VLANはレイヤー2ネットワークをグループ分けします。正しく設定されていれば、異なるグループはレイヤー2で直接通信しませんが、ルーティングや他の経路を介して、ルールに従って相互にアクセスできる場合があります。共有機器のプロセッサ、電源、ファームウェア、管理アクセスポイントは分離されておらず、設定ミスや機器障害が複数のグループに影響する可能性があります。したがって、VLANは明確な論理分割のニーズには適していますが、共有リソースのないハードウェア分離の証拠として扱うことも、暗号化の仕組みとして扱うこともできません。
物理的分離は経路全体にわたって確認する必要がある
2つのネットワークを物理層で分離する必要がある場合は、ケーブルの一区間だけを見るのではなく、端末、スイッチング機器、回線、管理接続、アップリンクが真に独立しているかを確認してください。独立したポートや独立した光ファイバ心線も、最終的には共通のスイッチング機器に集約される場合があります。筐体を共有しながら内部チャネルが独立している製品では、アーキテクチャ、試験、適用範囲を明確に規定する必要があります。特定のセキュリティ規格が関わる場合は、概念的な代替物ではなく、正式な要件と検証資料に基づく必要があります。
論理的なグループ分けと独立したハードウェア経路は異なります。物理的分離には、光ファイバの一区間ではなく、ネットワーク全体の確認が必要です。
分離要件をテスト可能な条件として記述する
例えば、どの端末間の通信を許可し、どの端末間の通信を禁止するか、誰に管理アクセスを認めるか、障害が複数の関係者に同時に影響することを許容するかを規定し、そのうえで機器構造と設定を選定します。受入試験では、許可された経路が正常に動作することを確認するとともに、禁止された経路での通信も試み、電源喪失、復旧、設定リセット後の動作を確認する必要があります。トポロジー、ポート一覧、設定のバックアップを保存してください。用語を議論するよりも、実行可能なテストチェックリストのほうが有用ですが、テスト結果も、要件で求められる正式な認証の代わりにはなりません。
例：生産ネットワークと保守ネットワークが1台の機器を共有する場合
プロジェクトで論理的分離が認められている場合は、明確なポート設定とVLAN設定に基づいて2つのグループを構成し、そのうえで不正アクセスの防止と管理境界を検証できます。ただし、両グループが電源、スイッチチップ、管理システムなどを共有していることを正確に明記する必要があり、納入文書に完全に独立したハードウェアとして記載してはなりません。障害が相互に影響してはならない場合や、正式な物理的分離が求められる場合は、共有構造を再評価する必要があり、独立した機器や回線の使用が必要になることもあります。光ファイバ心線を2本使用していても、バックエンドの共通アップリンクで再び合流する場合があります。端末からアップリンクまでの経路全体が、分離要件と整合していなければなりません。
中国語の技術記事から翻訳。原文初公開：2019-07-25。原文最終改訂：2026-10-13T22:50:44+08:00。 中国語の原文を読む
実務上のよくある質問
光アップリンクが1つあれば、接続された各銅線ポートに独立した光チャネルが提供されますか？
いいえ。スイッチング方式の設計では、共有リソース上に各ポートのトラフィックを集約できます。アクセスポート数を根拠に独立したチャネルがあると主張する前に、アーキテクチャとサービス上の制限を確認してください。
1台のコンバータ上の別々のVLANを、完全に独立した物理ネットワークとして文書に記載できますか？
いいえ。論理的なグループ分けでは、ハードウェアや管理機能が共有される場合があり、ルーティングによってグループ同士が再接続されることもあります。VLAN設定を物理的分離と表現するのではなく、実際の境界を明示し、すべての代替経路を点検してください。
別々の光ファイバ心線を2本使用しても、物理的なネットワーク分離の要件を満たせないことがあるのはなぜですか？
共通のスイッチング機能、管理機能、その他のリソースに集約される場合があるためです。実際の要件に照らしてシステム全体を評価してください。ケーブルの心線が独立しているだけでは、独立したネットワークであることにはなりません。
出典と適用範囲
これらの補足は一般的な仕組みを説明するものです。対応機能、接続の詳細、受入判定基準は、実際の機器、ソフトウェア、運用条件に合わせて検証する必要があります。図は測定結果や認証の証拠ではありません。
