修了演習：経路を組み立てて curl でゴールまで届かせる

STEP 02 · TL-SG108E の空き access 設定と演習経路を比べる

ここは受講者が Linux で打つ操作ではありません。Ch3 の復習として、TL-SG108E の Port 5・6 は VLAN10 access 設定だが現在は接続先なしで、将来の物理端末用だと読みます。演習の VM 間通信は learner01 の ens20.10 → VM-103 の net2 → vmbr2 → l3router01 / webserver01 と進みます。

VLAN ID: 10
Port role: access / untagged
PVID: 10
Connected host: 接続先なし（将来の物理端末用）

物理 access ポートではスイッチ側がタグなしフレームを VLAN に割り当てます。一方、この演習の learner01 は物理 access ポートへ接続されておらず、自身の 802.1Q サブインターフェース ens20.10 でタグを扱います。TL-SG108E の Port 3 にある VLAN10 / VLAN20 trunk 設計は、複数 VLAN を物理配線へ運ぶ場合との比較として読みます。

STEP 03 · NIC が VLAN10 の IP を持っていることを確認する

learner01 の NIC が VLAN10 のアドレス（172.16.10.x/24）を持っていることを確認します。修了演習では 自分がつないでいる NIC を作り直すと SSH が切れるため、ここでは確認に徹します。

IF=ens20.10
ip -br addr show dev $IF
# → ens20.10 UP 172.16.10.20/24  （VLAN10 のIPが付いていればOK）

STEP 04 · l3router01 へ ping し、ARP を見る

まず同じ VLAN10 にいるゲートウェイ 172.16.10.1 へ届くかを確認します。成功したら ip neigh で ARP 解決も見ます。

ping -c 3 172.16.10.1
ip neigh show 172.16.10.1
# 例:
# 172.16.10.1 dev ens20.10 lladdr bc:24:11:aa:bb:cc REACHABLE

REACHABLE や STALE が見えれば、learner01 は l3router01 の MAC アドレスを知っています。ここまでは同じ VLAN10 の L2 到達です。

STEP 05 · VLAN20 宛の経路を外す ── それでも default があると偶然届く

ここでは、VLAN20 宛の明示的な経路を消したあと、すぐには失敗しないことを確かめます。宛先ごとの経路が無くても、default（最後の受け皿）が残っていれば、そちら経由で偶然届いてしまうからです。「なぜ届くのか」を体で覚えてから、default も外して本当の失敗を作ります。

sudo ip route del 172.16.20.0/24
ip route
ping -c 3 172.16.20.10
# default via 172.16.10.1 dev ens20.10   ← 20 宛の経路は消えたが default は残る
# 64 bytes from 172.16.20.10: icmp_seq=1 ttl=63 time=...   ← まだ届く！

では、default も一時的に外して、本当に出口が無い状態を作ります。

sudo ip route del default
ping -c 3 172.16.20.10
# → ping: connect: ネットワークに届きません
# (Network is unreachable)

STEP 06 · 消した 2 つの経路を戻して成功させる

外した default と VLAN20 宛の経路を、どちらも l3router01 172.16.10.1 経由で戻し、同じ ping を再実行します。失敗から成功に変わる点を確認します。

sudo ip route add default via 172.16.10.1 dev ens20.10
sudo ip route add 172.16.20.0/24 via 172.16.10.1 dev ens20.10
ip route
ping -c 3 172.16.20.10
# 64 bytes from 172.16.20.10: icmp_seq=1 ttl=63 time=...

ttl=63 のように 1 つ減っていれば、l3router01 を1回またいで届いていると読めます。既に経路が設定済みの場合は RTNETLINK answers: File exists と表示されますが、ip route で両方見えていれば問題ありません。（再起動すれば netplan の設定から元の経路が復元されます。）

STEP 07 · OSPF neighbor Full を観察する

ここからは router 側の観察です。vtysh は router 上の管理CLIなので、受講者は実行しません。l3router01 と core01 が VLAN20 上で OSPF neighbor になっている証拠を読みます。

Neighbor ID     Pri State           Dead Time Address         Interface
172.16.20.2       1 Full/DR         00:00:3x  172.16.20.2     eth2:172.16.20.1

• Neighbor ID 172.16.20.2: 相手は core01（RID 172.16.20.2）
• State Full/DR: OSPF neighbor が成立済み（完全隣接）
• Address 172.16.20.2: VLAN20 上で隣り合っている

STEP 08 · 手で書いていない OSPF 経路を読む

l3router01 の経路表に、VLAN30 への道が OSPF 由来で生えています。受講者は静的経路を1行も書いていません。出力から、core01 経由で VLAN30 へ行く道を読みます。

Codes: K - kernel route, C - connected, S - static, O - OSPF, B - BGP

C>* 172.16.10.0/24 is directly connected, eth1
C>* 172.16.20.0/24 is directly connected, eth2
O>* 172.16.30.0/24 [110/2] via 172.16.20.2, eth2, weight 1

O>* の O は OSPF 由来、via 172.16.20.2 は core01 の VLAN20 側 IP です。発展Aでは、この経路を core01 側の経路表と読み比べ、手で書いていない経路が隣接から学習されることを観察します。

STEP 09 · tc netem で100ms遅延を注入する

Ch5 の復習です。learner01 側で一時的に netem delay 100ms を入れ、webserver01 への ping RTT が増えることを観察します。最後に必ず解除します。

IF=ens20.10
ping -c 3 172.16.20.10
sudo tc qdisc replace dev $IF root netem delay 100ms
ping -c 3 172.16.20.10
sudo tc qdisc del dev $IF root 2>/dev/null || true
# → delay 注入後の time= が、おおむね 100ms 分大きくなる

STEP 10 · iptables で VLAN20 への ICMP を止め、解除する

今度は iptables で VLAN20 宛ての ICMP を止めます。ping が失敗することを確認し、すぐに同じルールを削除して復旧します。

sudo iptables -I OUTPUT -d 172.16.20.0/24 -p icmp -j DROP
ping -c 3 172.16.20.10
# → 100% packet loss
sudo iptables -D OUTPUT -d 172.16.20.0/24 -p icmp -j DROP
ping -c 3 172.16.20.10
# → 64 bytes from 172.16.20.10 ...