ネットワークスペシャリスト 2016年 秋期 午後I 問題

共通の文章

電子メールシステムに関する次の記述を読んで,設問1~3に答えよ。 A社は,一般消費者向け製品を製造・販売している。現在,販売後の自社製品の購 入者向けサポート業務(以下,サポート業務という)を自社内で行っているが,今 後はサポート業務をB社に委託する方針である。サポート業務での購入者とのやり 取りは,これまでは電話が中心であったが,電子メール(以下,メールという)を 活用した運用を開始したところである。現在,A社はISPであるP社のインターネ ット接続サービスを利用している。また,B社はISPであるQ社のインターネット 接続サービスを利用している。A社,Bet,社及びQ社のネットワーク構成を, 1に示す。 Pa|Re[ サービスネットワークサービスネットワーク |_| ||3 SE ae|SO naa Ss 2|| 1A社iB社| !||| Pec|192.168.1.0/24 :DMZ x.y.z.0/29|・ 172.16.0.016 ! !社内ネットワーク!MSV1,MSV2,MSV3:メールサーバ i R\FW:ファイアウォール にここニュニニーニニニニニニニニニーごここニーニュニーニニct DNS1。DNS2),DNS8:DNSサーが 注記1 x.yz.0/29は,グローバルIPアドレスを示す。 注記2ルータ5とルータ6間の接続は,詳細を省略している。 図1 Att,B社,P社及び0Q社のネットワーク構成(抜粋) [ネットワークの概要)〕 ・P社及びQ社のサービスネットワークは,顧客にインターネット接続サービスを 提供するためのネットワークであり,インターネットと顧客ネットワークの間の —_2—_ トラフィックの交換を行う。 ・P社とQ社は,MSV1とMSV2をそれぞれ用いて,顧客にメールサービスを提供 している。また,P He Q社は,DNS1とDNS2をそれぞれ用いて,DNSサービ スを提供している。 |・P社及びQ社はいずれも,迷惑メールの送信を防止する対策として,OP25B (Outbound Port 25 Blocking)のポリシでメールシステムを運用している。具体的 には,自社が動的に割り当てたIPアドレスのホストから,自社のサービスネット ワーク外のホストへの殆先ポート番号25のSMTP通信を許可しないという運用上 のルールを適用している。 ・A社は,固定のグローバルIPアドレスブロック(xyz.0/29)を付与されており DMZにそのアドレスを利用している。 ・A社は,専用線でP社サービスネットワークに接続されている。 ・A社は,社内利用のためのMSV3を社内に立ち上げ,自社ドメイン(a-sha.co.jp) でメールシステムを運用している。 ・DNS3 ld,a-sha.co.jpドメインの権威DNSサーバである。 ・B社は,Q社の動的Pアドレス割当てブロック(ajb.0.0/20)から割当てを受けた グローバルIPアドレスを,ルータ6のNAPTに使用することでQ社のサービスネ ットワークに接続している。 ・B社は,社内にメールサーバをもたず,Q社のメールサービスを利用している。 ・B社は,独自のドメインをもたず,Q社のネットワークサービス用ドメイン(q- sha.ne.jp)を利用している。 (A社のメール転送の概要] BALE,A社のメール転送は次のとおり行われている。 ・外部からA社へのメール 外部のメールサーバは,DNS3に設定された資源レコードのうち, レコードの情報に従って,A社ドメイン宛てのメールを|イ|に転送する。 A社内PCは,に届いたメールを,POP3を用いて取得する。 ・A社から外部へのメール A社内PCは,DMZ上のMSV3にSMTPでメールを送信し,MSV3は,外部へ メールを転送する。 [サポート業務委託時のメール運用の検討】 B社がサポート業務を行うときには,B BHO PCT,A社のメールアドレスを用い る。A社のネットワーク担当のXさんとB社のネットワーク担当のYさんは,メー ルシステムの実現方法について検討した。次は,そのときのXさんとYさんの会話 である。 Xさん:B社では,どのようにしてメールの送受信をしていますか。 Yさん:各社員のPCにインストールしたメールクライアントから,に SMTPS(SMTP over TLS)でメールを送信しています。受信については, 同じサーバにPOP3S(POP3 over TLS)でアクセスしています。 Xさん:分かりました。B社がA社ドメインのメールでサポート業務を実施するた めに,A社のメールサーバであるMSV3を利用する方式を検討したいと思 います。B社からのMSV3を利用したメール送信について,現在のA社か らのメール送信のように,MSV3にSMTPで転送する方式は,その経路の 途中のISP内でブロックされるので,採用できません。また,①たとえB 社のPCからMSV3へSMTPによるメール送信ができたとしても,MSV3は, a-sha.co.jpドメイン以外への宛先へは,そのメールを転送しない設定になっ CMe a. Yさん:一緒に検討させてください。 B社PCからMSV3に向けたSMTPによるメール送信が不可能となっているのは, @②図1中のあるルータにおいて,表1に示すOP25Bのためのアクセスリストが設定 されているからである。 表1 0P25Bのためのアクセスリスト 2|町|pm|wm|ww|- 注記“一"は,設定がないことを示す。 ーォー 検討の結果,次の方式でB社のPCからサポート業務メールが送受信できることが 確認された。 ・B社のPCからのメール送受信には,MSV3を用いる。 ・MSV3は,SMTPプロトコル上でユーザ認証を行う方式であるを導入 し,③TCPの587番ポートで接続を受け付ける。また,その通信に対してTLSに よる暗号化を行う。 ・認証されたSMTPで送られてきたメールであればA社ドメイン以外の宛先への転 送をするよう,MSV3を設定変更する。 ・受信については,POP3をTLSで暗号化して用いる。 ・送受信のための認証に必要な情報は,事前にA社からB社に提供する。 ・メール送受信の通信の暗号化は,STARTTLS AH(接続時に平文で通信を開始し て,途中で暗号化通信に切り替える方式)を採用し,メールクライアントからの STARTTLSコマンドに応じてTLS暗号化を開始するよう,MSV3を設定変更する。 ・@外部からDMZへの2種類の通信を許可するために,FWを設定変更する。 (SPFの導入] 次にA社は,迷惑メール対策として,SPFを導入することにした。SPFは,送信 メールサーバの正当性(当該ドメインの真正のメールサーバであること)を,受信 メールサーバ側で確認する方式である。SPFの概要は次のとおりである。 ・送信側のドメイン所有者は,あらかじめ,当該ドメインのメールサーバのグロー バルIPアドレスを,SPFレコードとしてDNSに登録しておく。 ・受信側のメールサーバは,メール受信時に,次の手順で送信ドメインを認証する。 (1)©“SMTP通信中にやり取りされる送信元ドメイン名"を得る。 (2)送信元ドメイン名に対するSPFレコードを,DNSに問い合わせる。 (3)得られた©SPFレコードを用いて送信元ドメインの認証を行う。 Xさんが設定したSPFレコードの設定を図2に示す。 ー5一 注記xyz.1は,MSV3のIPアドレスである。 図2 A社ドメインのSPFレコードの設定(抜粋) Xさんは,社外からメールを送信してくる外部メールサーバに対して,SPFによる 送信ドメイン認証処理を行うよう,MSV3の設定変更を行った。 これらのSPF対応によって,A社ドメインを偽る迷惑メールの防止効果が見られ た。また,ドメイン偽装メールの受信拒否も可能となり,メールの信頼性向上が確 認できたので,メールを活用したサポート業務のB社への委託を本格的に開始した。

共通の文章

モバイルネットワークの検討に関する次の記述を読んで,設問1~4に答えよ。 E社は,中堅の運送業者である。E社では,営業活動の効率向上を目的として,販 売管理システム(以下,システムという)を導入することにした。システムでは, 顧客宅を訪問した営業員が,支給されたタブレット端末とモバイルWi-Fiルータを用 いて,サービス紹介などのプレゼンテーション,見積書の作成,及び車両・作業員 の手配を行えるようにする。 〔モバイルネットワークの検討 システムの導入に当たり,社内プロジェクトチームが発足し,O君がモバイルネッ トワークについて検討することになった。O君が考えたモバイルネットワーク構成案 を,図1に示す。 hy|)_N@g(D)(E) Pe Trae ea pos] EEにa 注記(A\~(E)ik,ネットワークセグメントを表す。 図1モバイルネットワーク構成案 モバイルネットワーク構成案の概要は,次のとおりである。 ・タブレット端末とモバイルWi-Fiルータの接続は,無線LANを用いる。 ・モバイルWi-Fiルータとインターネットの接続は,通信事業者のLTE回線を用い る。 ・VPNサーバ及びFWとインターネットの接続は,SW1,ルータを介して行う。 ・タブレット端末は,VPNサーバとVPN接続を行い,VPN接続後の名前解決は, 内部DNSサーバを用いて行う。 ・タブレット端末から販売管理サーバ及びインターネット上のサーバへの通信は, VPN接続を通して,プロキシサーバ経由で行う。 リョ ・タタブレット端末から販売管理サーバへの通信には,HTTPSを用いる。 ・プロキシサーバ及び内部DNSサーバからインターネットへの通信は,FWを介し ToT. ・販売管理サーバ,プロキシサーバ及び内部DNSサーバには,プライベートIPT EK レスを割り当てる。 〔無線LAN接続の検討] 導入が検討されているモバイルWi-Fiルータでは,アクセスポイント保護のために 次のセキュリティ対策機能が搭載されている。 ・SSIDの値を変更する機能 ・SSIDを隠ぺいするゆ①ゆステルス機能 ・MACアドレスフィルタリング機能 ②ステルス機能とMACアドレスフィルタリング機能を用いたセキュリティ対策だ けでは不十分なので,無線LAN通信の暗号化を行う。導入が検討されているタプレ ット端末及びモバイルWi-Fiルータは,WEP,WPA及びWPA2に対応しており,こ のうちのWPA2を採用する。WPA2は,無線LANの暗号化アルゴリズムとして |ア|が初めて採用された方式である。認証方式には,あらかじめタプレット WALES ID WERルータに同じパスフレーズを設定する|イ|認証を用い る。このパスフレーズは一定以上の長さで十分に複雑な文字列とし,SSIDと同様に, モバイルWi-Fiルータごとに異なる値を設定する。 タブレット端末が無線LANに接続すると,モバイルWi-Fiルータは,DHCPによ ってプライベートIPアドレスの配布を行うb。③このプライベートIPアドレスは他の ネットワークと重複しないように設計する。 (LTE回線を用いたインターネット接続の検討] モバイルWiFiルータには,通信事業者が契約者を識別する情報が記録されている が挿入されている。モバイルWi-Fiルータには,利用者Dやパスワード といった認証情報に加えて,LTE回線からインターネットのようなネットワークへ のゲートウェイの指定を意味する,|エエ|の情報を設定する。 モバイルWiFiルータは,電源投入時に自動的にインターネット接続を開始し,7 ー8一 ローバルIPアドレスが割り当てられる。タブレット端末がインターネット上のサー バと通信を行う際に,モバイルWi-FRiルータでは|オ|にょるTPアドレスとポ ート番号の変換処理が行われる。 タプレット端末が,インターネットに接続できるようになると,営業員が業務に 必要のないWeb閲覧を行うなど,不適切な利用が行われる可能性がある。その対策 として,通信可能な接続先TPアドレスを制限するLTE回線のオプションサービスを 利用し,モバイルWi-Fiルータからの通信が可能な範囲を,VPNサーバとその名前 解決に用いる外部DNSサーバに限定する。 (VPN接続の検討] 導入が検討されているタブレット端末には,L2TP over IPsecを用いたVPN接続機 能が搭載されており,これを利用する。E社データセンタのVPNサーバには,グロ ーバルIPアドレスを割り当てる。 VPNサーバへの不正アクセスを防止するためのセキュリティ対策を行う。例えば, 利用者ID,固定パスワードを用いて利用者認証を行う場合,これらが漏えいすると, 直ちにインターネットから不正アクセスが可能となり,危険である。その対策とし て,ハードウェアトークンを利用する。ハードウェアトークンでは,一定時間ごと に変化する数字が表示されるので,これをワンタイムパスワードとして利用する。 タブレット端末がVPN接続を行うと,VPNサーバは,タブレット端末に対して図 1中のネットワークセグメント(E)からプライベートIPアドレスを割り当てる。 訪問した顧客宅での利用が前提となるタブレット端末,モバイルWi-Fiルータ及び ハードウェアトークンは,紛失する可能性がある。④営業員が,これらを紛失した 際には,直ちにモバイルネットワーク管理者に報告するという運用ルールを策定す る。不正アクセスが行われた際の影響を最小限にとどめるために,©VPN接続で許 可する通信を必要最小限に設定する。 〔プロキシサーバの検討] プロキシサーバは,タブレット端末の通信ログを取得する目的で利用し,⑥プロ キシサーバのログから各営業員を特定できるようにする。プロキシサーバは,HTTP プロキシとHTTPSプロキシの各機能をもつ。HTTPプロキシの場合,プロキシサー ー9一 バは,タブレット端末からのリクエストを受け付け,その内容を基に新たにHTTP サーバヘリクエストを開始する。一方,HTTPSプロキシの場合,プロキシサーバは, タブレット端末からの|カカ要求によってHTTPSサーバへのTLSトンネルを 中継し,その後のリクエストは,TLSトンネルの中をそのまま転送する。⑦HTTPS の場合は,HTTPと比較して取得できるログの内容が限らちられるが,システム運用上問 題はない。 O Blt,以上の検討結果をまとめて,プロジェクトに提案した。その結果,OB 考えたネットワーク構成案は,プロジェクトで採用され,システムが構築されるこ どになった。

共通の文章

メールサーバの更改に関する次の記述を読んで,設問1-3に答えよ。 D社では,老朽化したメールサーバの更改を計画している。D社の現行ネットワー ク(以下,現行NWという)OFF Me,図1に示す。 iDMZ Foss|} ‘Tawに[eew| (ュュンー|mewl EYE[ec]--[re] MSV:メールサーバMGW:中継メールサーバSW:スイッチングハブ DNS:DNSサーバFW:ファイアウォールL3SW:レイヤ3スイッチ LDAP:LDAP(Lightweight Directory Access Protocol)サーバ 注記MSV1~3は,個々にホットスタンバイ構成による冗長化をしている。 図1現行NWの構成(抜粋) [現行NWの仕様 現行NWの仕様を次に示す。 (1)D社のプライマリDNSはDNS1である。DNS2は非公開のD社内ゾーン情報だ けを保有すするセカンダリDNSである。DNS3は公開ゾーン情報だけを保有するセ カンダリDNSである。プライマリDNSは,セカンダリDNSとだけ通信を行う。 ゾーン情報の更新時には,プライマリDNSがセカンダリDNSへ更新通知 (NOTIFYメッセージ)を送信する。これを契機として,| 』|が行われる。 (2)社員のメールボックス(以下,MBOXという)は,MSVI~3に分散収容してお り,メールアドレスとそのMBOXを収容するMSVとの対応を,LDAPに登録して いる。MSV1-3 ld,LDAPを参照して,受信したメールの殆先メールアドレスに 対応するMBOXが収容されているMSVを決定し,他のMSVへの転送,又は自分 のMBOXへの格納を行う。この動作をメールルーティングと呼ぶ。 (3)①MGWからMSVへのメール転送は,DNSラウンドロビンを用いても,負荷の 偏りが生じやすい。また,社外から届くメールを負荷分散しなくても,MSVの性 能に問題がないので,MGWの転送先はMSV1に固定している。 (4)MGW1,2とも正常動作時には,社内から社外へのメールはMGW1が,社外か ら社内へのメールはMGW2が中継先として選択される。一方のMGWが停止して いるときは,他方のMGWが,両方向のメールの中継先に選択される。 (5)FWによって,DMZ上の機器とMSV及びDNSとの間で許可されている通信 を,表1に示す。 表1 DMZ上の機器とMSV及びDNSとの間で許可されている通信 注記FWでは,ステートフルインスペクションを使用している。 〔新メールサーバの負荷分散の仕様] 更改対象はMSVであり,MGWは更改しない。更改によって新規に設置される MSV(以下,新MSVという)は2台である。更改後のネットワーク(以下,更改後 NWという)における,社内-社外間の正常時のメール転送経路を図2に示す。 、ンストレージ (凡例)一テ:社内から社外宛てメールのSMTP転送 ーーと:社外から社内宛てメールのSMTP転送 図2社内-社外間の正常時のメール転送経路 図2のメール転送の負荷分散と冗長化の仕様を,次に示す。 (1)MBOXは新MSV1,2の共用ストレージに配置する。どちらの新MSVからも全 てのMBOXにアクセスできる。 (2)新MSV1,2とも正常時には,PCからのアクセスが分散し,一方の故障時には ー12一 他方にだけアクセスが行われるように,VRRPとDNSラウンドロビンを併用する。 ‘(Loa|]と[|ec]に,VRRPを2グループ設定する。それぞれのグルー プをVRRPg1,VRRPg2と呼ぶ。 ・新MSV1 OZ IPアドレスはIP1,新MSV2の実PアドレスはTIP2,VRRPg1の 仮想TPアドレスはVIP1,VRRPg2の仮想IPアドレスはVIP2 CHS. ・VRRPg1は| d|の優先度を高く設定し,VRRPg2は| e ]の優先度 を高く設定する。 ・新MSV1のホスト名はmsv1,新MSV2のホスト名はmsv2,新MSV1,2共通の ホスト名はmsvcである。 ・PCのメールソフトのメール送受信サーバには,msvcを設定する。 (3)MGWから新MSV1,2へのメール転送は,正常時には新MSV1に転送されるよ うに,転送先をVIP1に固定する。新MSV1の故障時には,VRRPによって転送先 が切り替わる。 (4)メールの転送方向に応じたMGWの選択方法は,GT NWの仕様〕」の(4)から 変更しない。 (MSVの移行 現行NWから更改後NWへの移行期間中のネットワーク(以下,移行中NWとい う)の構成を,図3に示す。 yaa) ‘swに[vewl| ストレージ(Ye) af ol|SM四9000 ae ストレージ新MSV:新設メールサーバ 図3移行中NWの構成(抜粋) ー13一 図3から旧MSV13と,それらに接続したストレージを撤去したものが,更改後 NWの構成となる。 現行NWから移行中NWへの変更点を,次に示す。 ・旧MSVと新MSVとを並行稼働させる。すなわち,IA MSV,新MSVとも,社 内・社外宛てのメール送信,及び社内・社外からのメール受信を可能にする。 -@新MSVも,IH MSVと同様に,LDAPの情報を月いてメールルーティングを行 う。 MSVの移行で,MBOXを新MSVのものに変更するが,IB MSV1~3のMBOX内 のメールを移動や複製はしない。 移行中NWにおける,MSV移行工程の概要を,表2に示す。 表2 MSV移行工程の概要 各工程の概要 ・現行NWに対し,機器の追加,設定を行い,移行中NWを構築する。 開始工程|・MGW1,2の,社内宛てメールの転送先PYアドレスを,VIP1に変更する。 ・開始工程終了時点では,社員がアクセスするMSVは,旧MSVだけである。 ・次の二つの実施によって,社員ごとに,メール送受信サーバを新MSVに変更する。 (1)PCと新MSVの間でメール送受信を行えるように,PCのメールソフトのメール送受信サー バ設定に,新MSVを追加する。また,IA MSVの使用も継続できるように,IB MSVの設定は 残す。この設定作業は,各社員が行う。 移行工程(2)各社員の申告に基づいて,⑧LDAPの情報を変更する(申告を受け付け,LDAPの情報を変 7更するWebアプリケーションが,事前に用意されている)。 ・各社員は,任意の日時に,移行工程の作業を実施する。このため,移行工程の期間は,メール送 受信サーバの変更を実施済みの社員と,未実施の社員(以下,未変更社員という)が混在する。 ・移行工程の期間は,あらかじめ全社員に周知する。その期間の経過後は,未変更社員が残ってい Ct,次行程(終了工程)に移る。 ・新MSVの設定を変更し,LDAPの情報によるメールルーティングを停止する。この後の未変更社 員宛てのメールは,新MSVのMBOXに格納される。示変更社員は,PCのメールソフトのメー 終了エ程ル送受信サーバ設定を変更するまで,新たなメールの受信が行えない。 ・事前に周知した期間経過後,旧MSVを停止する。旧MSVに残ったメールは,消去する。 ・各社員は,PCのメールソフトのメール送受信サーバ設定から,IAMSVの定義を削除する。 以上の計画に基づいて,D社のメールサーバ移行は実施され,新サーバへの更改は 完了した。