ネットワーク設計書（完成版 / Notion保存用）

🎯 設計目的

本構成は以下を同時に成立させる。

• Zero Trust 管理
• 顧客通信と管理通信の完全分離
• ストレージ高速同期（Ceph対応）
• 更新通信の強制制御（Proxy経由）
• OSのルーティング暴走防止
• 将来DC拡張可能な三層構造

🧠 全体設計思想（最重要）

“`

❌ VLANだけで分離しない

✅ 用途ごとにネットワーク層を物理分離

“`

🏗 ネットワーク命名（正式採用）

🧱 三層ネットワーク構成

Internet
   │
RTX1300
   │
──────────────
CORE : Cisco 3850-12XS (XS)
──────────────
   │ LACP
ACCESS : Cisco 3850-48T
   │
MGMT / UPDATE 集約

🔐 セキュリティ原則（絶対ルール）

“`

Default Gateway 原則

✅ R640 の Default GW は VLAN20のみ

禁止：

• VLAN10 に GW
• VLAN50 に GW
• WG interface に GW

👉 二重出口防止（最重要）

SSHポリシー

Windows Firewall：

VLAN40 → TCP22 DROP
```

VLAN10 → TCP22 ALLOW

🌍 VLAN役割詳細

“`

🟦 VLAN10 — MGMT

用途：

• 機器管理
• SSH
• WGadmin
• iDRAC

特徴：

• Internetへ直接出ない
• 閉域管理LAN

🟩 VLAN20 — DATA（主ネット）

用途：

• WG0
• WG1
• 顧客通信
• R640 Default GW

特徴：

✅ 唯一の外部出口

🟪 VLAN30 — STORAGE

用途：

• R640 ⇄ Supermicro
• Storage LACP

特徴：

• サーバのみ接続
• クライアント禁止
• GWなし
• DNSなし

🟨 VLAN50 — UPDATE（超重要）

目的：

👉 OS更新専用ネット

通信経路：

Server
```

↓
VLAN50
↓
R640 Proxy
↓
VLAN20(Default GW)
↓
Internet

“`

制御内容

XS ACL：

VLAN50 → R640 Proxy のみ許可
```

VLAN50 → 他VLAN 禁止

“`

R640 FW：

UPD IF → 外部直接通信 DROP
```

Proxyのみ許可

⚡ FABRICネットワーク（DC設計）

“`

🔴 FABRIC-A（DarkHero ⇄ Supermicro）

• 10G直結
• GWなし
• DNSなし
• ファイル転送専用

用途：

• 大容量コピー
• 作業転送

🔵 FABRIC-B（R640 ⇄ Supermicro）

• QSFP 40G ×2
• balance-xor LACP
• Ceph対応

用途：

• Cluster同期
• 将来Cephバックボーン

“`

🖥 DarkHero 構成

ルール：

直結NIC = GWなし / DNSなし

🖥 R640 構成

“`

ルーティング

Default GW → VLAN20 ONLY

“`

🖥 Supermicro 構成

🧠 重要設計（事故防止の核心）

“`

なぜGWを1本にする？

Linux/Windowsは：

• metric
• reverse path
• auto route

で出口を変える。

結果：

• ❌ 応答が別IFから出る
• ❌ VPN崩壊
• ❌ セッション切断

解決

出口 = VLAN20 ONLY

＋

FWで補強
```

Policy routingで固定

🔥 更新通信（完成フロー）

Supermicro/R640
   │
VLAN50
   │
R640 Proxy
   │
VLAN20(Default Route)
   │
RTX1300
   │
Internet

👉 更新通信をネットワーク側で強制制御。

⭐ この設計レベル

評価：