まず結論から： 物理分離と論理分離は、どちらも「異なるネットワークのデータが相手側へ渡ることができるか」という問いに答える必要があります。ただし、その方法は異なります。前者はハードウェアとチャネルの境界を重視し、後者は共有機器内のパケット処理とアクセスポリシーに依存します。光ファイバーは伝送媒体にすぎません。光ファイバーを使うだけでネットワークが自動的に分離されるわけではなく、複数のサービスが光ファイバーを共有しているというだけで、それらが相互に通信できるとも判断できません。ネットワーク用光多重化装置や光メディアコンバーターを評価するには、ポート間の転送方法、帯域の割り当て方法、管理操作時や障害時にも境界が維持されるかを確認する必要があります。
図を見る際は、まず青色とオレンジ色のデータ経路をたどってください。図1は2つの構成を比較し、図2は独立チャネルが光伝送を共有する仕組みを説明し、図3は分離、帯域、障害の検証を区別しています。本記事はマルチチャネルのイーサネットアクセスを対象とし、主に製品機能の理解と確認の方法を説明します。
1. まず区別する：分離されているのはネットワークか、電気的接続か？
光ファイバーは光信号で伝送するため、リンクの両端で金属導体を介してデータを受け渡す必要がなく、接地電位差や電磁干渉による問題の低減に役立ちます。ただし、両端の機器は引き続きデータを交換しているため、 電気的に絶縁されていても、ネットワーク間に通信経路がないことを意味するわけではありません。一般的な光メディアコンバーターは、通常、電気ポートと光ポートの間でイーサネット信号を変換するだけであり、自動的にファイアウォールになるわけではありません。
論理分離は、共有スイッチ上のVLANでよく使われます。VLANは仮想LANであり、同一機器内で異なるレイヤー2ブロードキャストドメインを分けるものと理解できます。通常のレイヤー2転送ルールでは、VLAN 10に属するブロードキャストフレームは、VLAN 20内のポートへ直接送信されません。データフレームは同じ上位接続用光ファイバー上で交互に伝送され、タグに従って対応するネットワークへ送信されます。 上位接続を共有しても、グループ分けが機能しなくなるわけではありません。ただし、ルーター、レイヤー3スイッチング、または誤ったブリッジ設定が存在する場合、両ネットワークは依然として通信できる可能性があり、それを制限するにはアクセス制御ポリシーが必要です。
機器とリンクを物理的に分けることは、比較的分かりやすい分離構成です。ただし、追加のネットワークケーブル、無線インターフェース、管理機器、その他の迂回経路が両側を接続していないかも確認する必要があります。「チップが2つある」「ルーティング機能がない」という点だけで完全な結論を出すことはできず、まして、設定、配線、運用の誤りによってネットワーク間の接続が生じることは絶対にないと保証することもできません。
2. 独立したサービスチャネルが光ファイバーを共有できるのはなぜか？
別の種類の製品として、複数のイーサネットチャネルが独立したサービスチャネルを使用するネットワーク用光多重化装置や光メディアコンバーターがあります。この方式では、必ずしも電気ポートごとに専用の光ファイバーを敷設するわけではありません。まず各サービスを個別に処理し、固定の対応関係に従って光伝送チャネルに載せ、遠端でそれぞれのポートへ復元します。 共有されるのは伝送媒体であり、サービス間に転送可能な経路があるかどうかは内部構成によって決まります.
飛暢科技 1–4ポート 100Mイーサネット物理分離型光メディアコンバーター の公開情報では、独立したFEインターフェースと専用の時分割チャネル、および4つのチャネルがそれぞれ個別の伝送に対応する設計が説明されています。時分割とは、あらかじめ定めた位置に各チャネルのデータを順番に載せ、受信側で同じルールに従って分離する方式と理解できます。これは、イーサネットスイッチが共有の上位接続上でデータフレームを統計多重化する方式とは異なるサービスの構成方法です。図2はこの違いのみを説明するものであり、いずれのモデルについても実際のチップ配置、タイムスロット長、独自プロトコルの詳細を示すものではありません。
道路の例えも理解に役立ちます。共有の上位接続は複数の交通流が同じ道路に入るようなものであり、独立チャネルは交通流ごとに別々の通行枠を確保するようなものです。ただし、光ファイバー内に目に見える4本の「車線」があるわけではなく、この例えをセキュリティの証明に使うことはできません。独立したインターフェースチップは構成の一部であり、ポートの対応関係、内部転送機能、管理境界は引き続き確認する必要があります。
4つの100Mチャネルが1つの100M上位接続を共有する場合を例にします。この場合、同時トラフィックが上位接続の容量を取り合うことは実際にあり得ます。ただし、すべてのVLAN機器が100Mの上位接続しか備えていないわけではありません。逆に、4つの100Mチャネルが独立したサービス能力を持つからといって、物理的な光回線速度が正確に400Mであるとは直ちに結論できません。伝送には符号化やプロトコルのオーバーヘッドも含まれる可能性があるためです。選定時には、「物理」「論理」という2つの名称だけを比較するのではなく、具体的な機器のサービス容量を比較してください。
3. 分離、帯域、障害の境界をどのように確認するか？
まず通信関係を列挙します。例えば、Aは遠端のAにのみ、Bは遠端のBにのみ到達できるものとします。一部のサービスにドメイン間通信を許可する場合は、許可する方向、プロトコル、ポートを記載します。次に、両端の電気ポート番号、対応するチャネル、速度、デュプレックス、光ポートの仕様、管理アクセス方法を確認します。公式サイトの製品情報に記載された独立チャネル機能は、実際に注文したモデルと納入時の構成に対応付ける必要があり、飛暢科技のすべてのメディアコンバーターが同じ機能を持つという意味に一般化することはできません。
ステップ1：チャネルの対応関係を検証する。 独立した試験環境で、チャネルごとに試験機器を接続し、AからA、BからBといった通信関係を確認します。次に、あるチャネルから識別可能な試験トラフィックを送信し、本来到達してはならないデータフレームが他のチャネルに現れないかを確認します。実際のサービスの通信方向と、ブロードキャストや異なる宛先アドレスの処理の両方を調べる必要があります。あるアドレスへのpingが失敗しても、単にファイアウォール、アドレス、配線が原因である可能性があり、それだけで分離を証明することはできません。
ステップ2：同時通信時の帯域を検証する。 単一チャネルの試験後、すべてのチャネルを同時に動作させ、各チャネルのスループット、パケット損失、遅延の変化を記録します。試験範囲には、フレーム長、方向、負荷、試験時間を含めてください。ポートに100Mのネゴシエーション速度が表示されることや、1回のpingで遅延が変わらないことは、同時負荷時にもそのチャネルが独立したサービス容量を維持することを意味しません。双方向の能力も、両方向で個別に確認する必要があります。
ステップ3：管理と障害を確認する。 管理アカウント、管理インターフェースへのアクセスが許可されるネットワーク、設定権限、および再起動、光伝送路の中断、復旧後のポートの対応関係を確認します。異なるサービス間で相互転送が行われないからといって、共有光ファイバーの断線や機器全体の電源喪失が1つのチャネルだけに影響するわけではありません。より高い可用性が必要な場合は、光伝送路のバックアップ、電源、機器の障害を個別に評価してください。「独立した帯域」は冗長化設計の代わりにはなりません。
ポートのループバックを観察しても、一部のスイッチング動作の発見に役立つ程度であり、分離を判断する十分な証拠にはなりません。 稼働中のサービスネットワークで、2つのポートをネットワークケーブルで直接接続してループを形成しないでください。特別な障害試験が必要な場合は、機器のマニュアルに従い、独立した実験環境で電流制限、記録、復旧の対策を準備してください。
5. サービス分離を暗号化や一方向のセキュリティ分離と表現しない
独立したサービスチャネルは、異なるサービス間の内部転送関係を制限するものであり、通常伝送されるデータを自動的に暗号化するものではありません。光ファイバーは拠点間の導電経路を減らせますが、送信者の身元確認、正規に許可された端末による誤ったコマンドの送出防止、メッセージ認証の代替はできません。CRCは伝送エラーを検出するための検査であり、改ざん防止やアクセス認可の根拠として使用することはできません。これらの機能は、システム全体の構成において、どの機器が担うのかを明確にする必要があります。
双方向の光多重化装置では、対応するポート間で引き続き双方向にデータを交換できます。名称に物理分離が含まれているからといって、一方向伝送装置、エアギャップシステム、または特定のセキュリティ認証を取得した機器と呼ぶことはできません。プロジェクトで厳格なセキュリティ境界が必要な場合は、具体的な製品実装、管理アクセスの入口、外部のブリッジ接続、適用要件を確認してください。NISTのOTセキュリティガイドは、ゾーン分割と制御された通信を重視しており、現場のリスク、許可するサービス、保守方法と併せて設計する必要があります。
電気的絶縁は接地電位差への対処に役立ち、独立したサービスチャネルは各チャネルの対応関係の維持に役立ちます。一方、共有の筐体や光ケーブルには、同時に障害が発生する可能性が残ります。受入報告書では、これらの結論を区別し、試験方向、負荷、バージョン、パケットキャプチャ、復旧時の動作を記録してください。pingの失敗、ポートランプの正常表示、ブロードキャストストームがないことのいずれも、それ単独ではシステムが完全に分離されていることを証明できません。
情報に関する注記：最初の3つの図は一般的な原理を示すものであり、特定モデルの実製品、内部回路、実測データではありません。図中の容量、チャネル、チップ配置はシリーズ全体の仕様を表すものではありません。具体的な機能は、選定したモデルの納入資料に従います。確認用資料： 飛暢科技の物理分離型メディアコンバーター製品カテゴリ, 1–4ポート 100M製品情報, CiscoのVLAN間ルーティングの解説, NIST OTセキュリティガイド.
中国語の技術記事から翻訳。原文の初回公開日：2019-10-14。原文の最終改訂日時：2026-10-13T13:42:26+08:00。 中国語の原文を読む
