問問1 設問1
設問1本文中の[|ア|-|オ|に入れる適切な字句を答えよ。
ネットワークスペシャリスト 2017年 秋期 午後I 問題
ネットワークスペシャリスト 2017年 秋期 午後Iの問題文8問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
SSL-VPNの導入に関する次の記述を読んで,設問1ー4に答えよ。 H社は,顧客の業務システムの構築(以下,顧客システム構築という)FEHR Begs,中堅のシステム開発会社である。顧客システムは,様々なサーバ機器, OS,ミドルウェアなどを組み合わせて構築され,利用されるプロトコルも様々であ る。H社の拠点で構築されて,最終的に顧客の拠点に納入されたシステムは,顧客 社内のPCなどから利用される。 (H社の現行ネットワーク] H社では,受注した顧客システム構築専用のネットワーク(以下,顧客システム 構築ネットワークという)をそれぞれ設け,一つの顧客システム構築ネットワーク に,H社の内部LANのサブネットを一つ割り当てている。顧客システム構築は,開 発LANに接続されたPCから顧客システム構築ネットワークにアクセスして行って いる。現在,Eth,F社,GO 3社から受注した顧客システムを構築中である。H 社は,内部LANからインターネットへのWebアクセスを,DMZのプロキシサーバ を経由して行っている。H社の現行ネットワーク構成を,図1に示す。 ||| met||Ht i_aii 顧客E社)5 199.x.1.5 we AZ 2—デー ooog ERP ーー |! リーニーリローーii ee |sc|||eens tL172.16.10.0/24)| lif ERY AFA lt F社システムlit G社システム|開発LAN me!172.16.100.0724|!172.16.101.0/24|!172.16.102.0/24|| 社内:192.168.0.0/16|!E社システム構築!!F社システム構築!1G社システム構築 FW::ファイアウォール|!しネツットワークILLネットワーク{|ネットワータ!| L2SW:レイヤ2スイッチ|i| L3SW:レイヤ3スイッチニーーニーーーーービーーーニーピーMSIE mee Su 注記1 199.x.1.5,202.y.44.0/28は,グローバルIPアドレスを示す。 注記2網掛け部分は,追加予定の機器であることを示す。 注記3 E社システム構築ネットワーク,F社システム構築ネットワーク,G社システム構築ネットワークは, 各社の顧客システム構築ネットワークを示す。 図1 H社の現行ネットワーク構成(抜粋) ms 2—_— [顧客システム構築業務の問題とその解決策〕 H社では,顧客システム構築業務において次に示す問題を抱えている。 (問題1)顧客システム構築ネットワークに対して,当該構築業務とは関係がない PCから不正なアクセスを受ける可能性がある。 (問題2)顧客システム構築をH社の拠点で行っているので,顧客はシステムが納 入されるまで動作確認ができない。 これらの問題に対処するために,解決策の検討を任されたH社情報システム部の Sさんは,SSL-VPNを利用すれば解決できると考えた。Sさんの検討結果を次に示す。 (1)SSL-VPNについて SSL-VPNは,SSL/TLSプロトコルを利用したVPN技術である。その利用には, SSL/TLSのプロトコルのバージョン,及びプロトコルに含まれるアルゴリズムに ついて,次に示す点を考慮する必要がある。 ・十分な安全性を確保できないとされるハッシュアルゴリズムであるMD5又は を使用しないで済むように,TLSプロトコルのバージョン |イ ]以上を利用する。 ・SSL/TLSのコネクション開設時に,クライアント側から送られる|ウゥ]メ ッセージと,サーバ側から返される|エ|メッセージの交換が行われる。 このとき,それ以降で用いられる暗号スイート(アルゴリズムの組合せを示し た情報)が決定される。その情報には,アプリケーション層の暗号化に使われ る暗号アルゴリズム以外に,(1)2種類の暗号アルゴリズムと1種類のハッシ ュアルゴリズムが含まれる。 (2)SSL-VPNの動作方式 SSL-VPNの基本的な動作には,|オ|,ポートフォワーディング,L2フォ ワーディングの3方式がある。(LIL)H社の場合はL2フォワーディング方式が望 ましいと,Sさんは判断した。Sさんがベンダに確認したL2フォワーディング方 式の動作概要を次に示す。 ・PCにインストールするクライアントモジュールからSSL/TLS接続を行う。 ・(U)接続時の認証に応じて,PCに適切なTPアドレスを割り当てる。 ・PCとSSL-VPN装置間のSSL/TLS接続トンネル上で,レイヤ2の中継を行う。 =8= Sさんは,これらの検討結果から,開発LAN及び顧客各社のPCから顧客システ ム構築ネットワークに対する必要なアクセスを全てSSL-VPN経由で行うようにする ことで,問題1と問題2に対応できると考え,SSL-VPN装置を新たに導入すること にした。また,その問題の対応には,FW,L3SWなどの設定変更も必要になると考 系5。 [SSL-VPN装置の導入のための検討] Sさんは,SSL-VPN装置導入のための具体的な項目の検討を行った。検討結果は, 次のとおりである。 (1)SSL-VPN装置の設置位置 ・顧客からインターネット経由でVPN接続することと,開発LANからVPN接続 することを考慮して,SSL-VPN装置の設置位置はDMZとL3SWの間とする。 ・SSL-VPN装置から内部LANへの通信用に,L3SWに新たなVLAN(VLAN201) を設け,SSL-VPN装置の内側のインタフェースをL3SWに接続する。PCから顧 客システム構築ネットワークへのアクセス経路が[PC一SSL-VPN装置っ VLAN201一顧客システム構築ネットワーク]となるように経路を設定する。 (2)SSL-VPN装置へのユーザに関する情報登録 ・SSL-VPN装置に,VPNを利用するユーザに関する情報(以下,ユーザ情報とい う)を登録する。ユーザ情報には,VPN接続時のユーザ認証のための情報も含 まれる。 ・ユーザ情報中の設定項目であるグループ番号には,そのユーザに対応する顧客 番号を設定する。顧客番号は,顧客ごとに割り当てられている1以上100以下 の整数である。UF,この整数をで表す。 (3)IPアドレスの割当て ・顧客番号OFS(以下,顧客をという)に対応する顧客システム構築ネット ワーク:172.16.2.0/24(ここで,zは99十をとする) ・顧客をに対応するVPN接続PC用IPアドレスプール:10.100.k.1~10.100.k.200 ・VPN接続時には,認証されたユーザに対応する顧客番号を用いて,IPアドレス プールを選択する。 =f= (4)FWのルール設定 SSL-VPN導入後のFWのルールは,表1のとおり設定する。 表1通信を許可するFWルール設定(抜粋) 送信元宛先プロトコルアドレス mee ed ee ee ee eee [検討後のネットワーク構成 Sさんは,更に検討を進め,図2に示すネットワーク構成を作成した。 ue 1 ow Imアドレスメデルー1 mzcH//1 202.7.44.0728|E社用:10.100.1.1て200! 顧客G社ie a a a FO!FHA:10.100.2.1~200! WEPーーーーーーー二|.G社用:1010031-200: 顧客E社||rme 199.x.1.5|=| mine! | 192.168.0.1||②③④⑤| 192,168.02_|Cm)Cue)Cas)(msnD| || isc pce|ーー |=e=e=a| |シュニシュニーシュラニ開発LAN |md| ee| |172.16.100.0/24 172.16.101.0/24 172.16.102.0/24| | NIC:ネットワークインタフェースカード WIC:仮想ネットワークインタフェースカード 内部ルータ:L3SW中のL3処理機能 注記1@=—一—@は,SSL-VPNトンネルを示す。 注記2 O~Old,内部ルータの仮想インタフェースを示す。 図2検討後のネットワーク構成(抜粋) [問題1の解決策〕 Sさんは,問題1の解決策として,次の二つの通信制限をすることにした。 ‘imme 5— (1)VLAN間の不正通信制限 (IV)表2に示すアクセスリストをL3SWに設定して通信制限する。 表2 VLAN間通信制限のためのアクセスリスト 注記1 Anyは,パケットフィルタリングにおいてチェックしないことを示す。 注記2アクセスリストは,項番が小さい順に参照され,最初に該当したルールが適用される。 注記3どのルールにも該当しないものは禁止される。 表2のアクセスリストは,H社内のVLAN間通信のうちで不正なものを禁止 する。具体的には,開発LANから顧客システム構築ネットワークへの直接アク セス(SSL-VPNを経由しないアクセス)と,(V)それ以外の不正な通信を禁止 する。 (2)SSL-VPN接続するPC(LAB,VPN-PCという)の通信制限 (VI)表3に示すアクセスリストをL3SWに設定して通信制限する。 表3 VPN-PCの通信制限のためのアクセスリスト 注記1アクセスリストは,項番が小さい順に参照され,最初に該当したルールが適用される。 注記2どのルールにも該当しないものは禁止される。 表3のアクセスリストは,VPN-PCからの不正な通信を禁止する。その通信は, VPN-PCから,そのVPN-PCと関係がない顧客システム構築ネットワークへのア クセスである。 H社では,Sさんの検討結果を踏まえてSSL-VPNの導入を行った。その結果,社 内PCからも顧客PCからも安全にアクセスできる,利便性が高い顧客システム構築 ネットワークが実現した。 —_6_
問問1 設問2
設問2〔顧客システム構築業務の問題とその解決策)〕]について,①)~て(3)に答えよ。 (1)本文中の下線(1))について,2種類の暗号アルゴリズムと1種類のハッシ ュアルゴリズムのそれぞれの用途を答えよ。 (2)本文中の下線(1)について,判断の根拠となった,H社が構築する顧客 システムの特徴を,30字以内で述べよ。 (3)本文中の下線(ル)について,割り当てられたIPアドレスは,PCのどのネ ットワークインタフェースに設定されるか。図2中の字句を用いて答えよ。
問問1 設問3
設問3表1中の|カ|~|ヶ|に入れる適切な字句を答えよ。
問問1 設問4
設問4[問題1の解決策]について,①て(3)に答えよ。 (1)本文中の下線(IV)について,表2のアクセスリストを設定すべきインタ フェースを,図2中の①ゆて⑥の記号で全て答えよ。ここで,アクセスリスト はインタフェースの入力方向に設定するものとする。 (2)本文中の下線(V)について,禁止される通信は何か。本文中の字句を用 いて,45字以内で答えよ。 (3)本文中の下線(VI)について,表3のアクセスリストを設定すべきインタ フェースを,図2中の①て⑥の記号で答えよ。ここで,アクセスリストはイ ンタフェースの入力方向に設定するものとする。 ー%ご
仮想デスクトップ基盤の導入に関する次の記述を読んで,設問1ー4に答えよ。 T社は,従業員数500人の建設会社で,全国10か所に支店がある。T社では,従 業員1人にPC 1台を貸与し,従業員は設計業務や電子メール(以下,メールとい 5),Webサイトの閲覧などにPCを活用している。現在,各従業員のPC内のハー ドディスクには,T社の秘密情報を含む書類が保存されている。そこで,THEE, 情報セキュリティ強化を図るために,仮想デスクトップ基盤(以下,VDIという)を 導入することを決めた。そのための事前調査,検討から設計までを情報システム部 のりさんが担当することになった。 [現行ネットワークの概要〕 T社の現行ネットワーク構成を図1に示す。 支店本社(従業員100人) (各支店の従業員40人)| ロにっサーバ mf ( L2SW:レイヤ2スイッチ L3SW:レイヤ3スイッチUTM:Unified Threat Management 広域イーサ網:広域イーサネットサービス綱 注記1 L2SW,L3SW,UTMは,全てのポートがギガビットイーサネットである。 注記2プリンタとプリントサーバは,USBケーブルで接続されている。 図1 T社の現行ネットワーク構成(抜粋) 各拠点は広域イーサ網で接続されており,アクセス回線の契約帯域は,本社が1G ビットノ秒,各支店が100Mビットノ秒である。インターネット接続回線は,拠点 ごとに契約しており,契約帯域は本社が100Mビットノ秒,各支店が40Mビットノ 秒である。 現行ネットワークでは,次の3種類の通信が行われる。 (1)ファイル転送通信 ・設計資料の共有,バックアップのために,PCがファイルサーバと通信を行う。 —8— ・ピーク時に必要な帯域は,本社従業員向けに200Mビットノ秒,全ての支店従 業員向けの合計が800Mビットノ秒である。 (2)プリント通信 ・設計資料の印刷のために,PCから自拠点に設置しているプリントサーバに印刷 データを送信する。 ・印刷量は拠点によって異なるので,必要な帯域は把握していない。PCからプリ ントサーバに印刷データを送信したときは,①一時的に大量の帯域を使用する。 (3)インターネット通信 ・インターネット上のWebサイトの閲覧,ISPが提供するメールサービスの利用 のために,PCがWebサーバ,メールサーバと通信を行う。 (VDIの事前調査 Uさんは,PC単位のプログラム実行環境(以下,仮想PCという)をソフトウェ アで実現するVDIと,従業員が仮想PCを操作するために使うシンクライアント (以下,TCという)について調査した。調査結果は次のとおりである。 (1)VDIを実現する装置とその関連装置 ・VDIサーバ:VDIを組み込んだサーバ ・TC:ハードディスクなどの情報薔積機能がないPC (2)VDIの動作概要 ・VDIは,VDIサーバ上に仮想PCをTCと1対1で生成する。そのとき,DIは 仮想PCに対してIPアドレスを動的に割り当てる。 ・VDIは,VDIサーバ上に仮想スイッチ(以下,仮想SWという)を生成する。仮 想PCは仮想SWとの接続によって,外部との通信が可能になる。 ・仮想SWは,外部接続用のポートにVDIサーバの物理NIC(Network Interface Card)を使用する。 (3)仮想PCから行われる通信 ・画面転送通信:仮想PCの画面をTCに転送する。TC 1台が使用する帯域は,最 大200kビットノ秒である。 ・ファイル転送通信,プリント通信及びインターネット通信:使用帯域は,現行 と同じである。 ー9一 (SSL可視化装置・標的型攻撃対策装置の導入] Uさんは,T社のサイバーセキュリティ対策の一環として,VDIとともにSSL A 視化装置と標的型攻撃対策装置を導入して情報セキュリティ強化を図ることにした。 そのためにTUさんが選定した装置は,次のとおりである。 SSL可視化装置:平文で行われる通信だけでなく,SSL/TLSによる暗号化通信も 監視するために,暗号化通信の復号,復号した通信データを標的型攻撃対策装置 に転送,復号した通信データを再度暗号化する装置 ・標的型攻撃対策装置:マルウェアに感染した仮想PCがインターネット上のC&C (Command&Control)サーバと行う不正通信を検知し,C&CサーバのIPアド レスを特定する装置 [ネットワーク構成の検討] (1)VDI導入後のネットワーク構成案 Uさんは,これらの事前調査の結果から,VDIサーバなどの装置を本社に設置す ることにした。Uさんが考えたVDI導入後のネットワーク構成案を,2に示す。 マンターネッ本社(従業員100人) 支店 ic ahi 対策装置||可視化装置サーバ トー= [ = Po 注記1 L2SW,L3SW,UTM,標的型攻撃対策装置 帯域制御装置,SSL可視化装置は,全てのポート がギガピットイーサネットである。 注記2 VDIサーバを収容するL2SWとL3SWは,リン クアグリゲーションを利用して接続する。 図2 VDI導入後のネットワーク構成案(抜粋) VDI導入後は,②支店のインターネット接続回線を廃止し,本社のインターネッ ト接続回線の契約帯域を1Gビットノ秒に変更する。 (2)VD導入後の広域イーサ綱 ⑧本社と支店間の広域イーサ網を経由する通信は,VDIの導入で変化する。Uさ んは,広域イーサ網のアクセス回線の契約帯域について,次のとおり整理した。 ・現行のアクセス回線の安全率は,"アクセス回線の契約帯域エピーク時に必要な 帯域|』|'である。YVD導入後も現行の安全率を確保する。 ・全従業員が同時に仮想PCを利用しても,TCの操作に遅れが発生しないように するためには,画面転送通信の帯域を確保する必要がある。 ・印刷量を把握できないプリント通信の帯域は確保しない。 ・VDIの導入でアクセス回線の契約帯域を下げることができる。契約帯域は現行の 安全率を考慮した最低限必要な和帯域とし,本社は|b|]Mピットノ秒,各 支店は|<|]Mビピットノ秒に変更する。 ・プリント通信も広域イーサ綱を経由するので,本社から広域イーサ網方向の通 信に対して,帯域制御が必要になる。 (帯域制御の設計】 Q)帯域制御装置の機能 Uさんは,ネットワークセグメントの構成変更が不要で,帯域制御を行うことが できる燃域制御装置の導入を決めた。Uさんが選定した装置の機能は,次のとおり である。 ・パケットを送出するときに,支店ごとに二つの制御(分類制御,送出制御)が 可能である。 ・分類制御では,IPアドレス,ポート番号などでパケットを分類し,グループ化 する。グループ化の単位をクラスとし,クラス単位でキューを割り当て,パケ ットを格納する。 ・送出制御では,クラス単位の帯域確保の制御と,同一支店への複数クラスのパ ケットに対するシェーピングが可能である。 (2)帯域制御方式の設計 装置の機能を踏まえ,Uさんが考えた帯城制御方式の設計は,次のとおりである。 ・最初にパケットは,IPアドレスで宛先の支店が決定され,支店ごとに設定した 分類制御,送出制御に送られる。 ・分類制御では,画面転送通信のクラスとそれ以外の通信のクラスを定義する。 a 各クラスへのパケットの分類は,ポート番号で識別して行う。 ・送出制御では,④画面転送通信のクラスに,各支店の従業員が同時に仮想PCを 利用するときに,最低限必要な帯域を確保する設定を行う。 ・それ以外の通信のクラスでは,帯域確保の制御を行わなかい。このクラスに分類 されたパケットは,帯域が空いているときにだけ送出される。 ・⑤シェーピングの設定は,各支店における広域イーサ網のアクセス回線の契約 帯域とする。 [仮想PCのマルウェア感染時の対応〕 仮想PCに感染したマルウェアは,別の仮想PCに感染拡大を試みる場合がある。 仮想PCでは物理的にLANケーブルを抜くことができないので,従来の対処方法は 利用できない。そこで,Uさんが考えた対策案は,次のとおりである。 ・ある仮想PCで,ウイルス対策ソフトがマルウェアの感染を検知したときは,情報 セキュリティ管理者がその仮想PCを隔離すべきか否かを判断する。隔離するとき lt,VDIのコンソールを使って,その仮想PCを|ア|から切り苑す。 ・標的型攻撃対策装置が,ある仮想PCの通信からC&CサーバのIPアドレスを特定 したときは,RHO UTMにフィルタリングを設定する。被害の拡大を防ぐために, 他の仮想PCも含めてC&Cサーバと通信を行うことを防ぐ必要があるので,『送 信元=|イ|,宛先=|ウ|,ポート番号=任意,動作三拒否"のフ ィルタリングルールを設定し,インターネット方向の通信を遮断する。 その後,VDIの導入に関するUさんの報告書は企画会議で承認され,導入の準備 を開始した。
問問2 設問1
設問1本文中の下線①の現象を引き起こすみトラフィックを何というか。15字以内で 答えよ。
問問2 設問2
設問2〔ネットワーク構成の検討]について,①)~(③)に答えよ。 (1)本文中の下線について,VDI導入前に広域イーサ網を経由する通信を一 つ,VDI導入後に経由する通信を二つ,本文中の通信名を用いてそれぞれ答え よ。 ー12一 ⑫)本文中の|a||<|]に入れる適切な数値を求めよ。 ⑬)本文中の下線@について,インターネット接続回線を廃止する理由を,イ ンターネット通信に着目して30字以内で述べよ。また,現行ネットワーク構 成と比べたときの情報セキュリティ対策上の利点を30字以内で述べよ。
問問2 設問3
設問3(帯域制御の設計]について,①),②)に答えよ。 (1)本文中の下線@について,帯域確保の設定を行わなかった場合,TCの操作 性が悪化することが懸念される。TCの操作性が悪化する原因を,プリント通 信の特性に着目して25字以内で述べよ。 (2)本文中の下線@について,本社から各支店方向の通信の帯域が,各支店の アクセス回線の契約帯域を超過したときに,帯域制御装置がパケットに対し て行う制御の内容を,15字以内で述べよ。
問問2 設問4
設問4本文中の|ア|]~-|ウ|に入れる適切な字句を答えよ。 ーB= FAS社内ネットワークとクラウドサービスとのネットワーク接続に関する次の記述を 読んで,設問1ンー4に答えよ。 K社は,中堅の加工食品販売会社である。K社では,幾つかあるシステムのうち, 販売管理システムを更改する予定である。販売管理システムは,K社製品の在庫の管 理,販売計画及び販売実績の管理に使用されている。 [クラウドサービスとのネットワーク接続の検討〕 販売管理システムの更改に当たって発足したプロジェクトチームが検討を進めた 結果,L社が提供しているクラウドサービス(以下,L社クラウドサービスという) を利用する案が有力視されている。そこで,L社クラウドサービスを試験的に利用し て評価することになった。プロジェクトチームのOさんが,K社ネットワーク(以 下,K社NWという)とL社クラウドサービスとのネットワーク接続を担当するこ とになった。L社クラウドサービスのサービス仕様に従って0さんが考えた,L社ク ラウドサービスとのネットワーク接続構成を図1に示す。 サーバDB pene][os SSS FW:ファイアウォール Ka]3SW:レイヤ3スイッチ リVPNal,VPNa2,VPNb1,VPNb2:VPNルータ リ注記1 MBM,クラウドサービスへム移行 1d)する予定の機器を示す。 注記2太枠はKK社内に新たに設置する機器を =注記3太い破線は,VPNトンネルを示す。 b示す。 注記4(@)~(h)ik,VPNルータに割り当てたプ サーバ||サーバがDBサーバライベートIPアドレスを示す。 注記5 VPNルータを除き,冗長構成の表記を サーバセグメント省略する。 クライアントセグメント 図1 L社クラウドサービスとのネットワーク接続構成(抜粋) 1の社クラウドサービスとのネットワーク接続構成の概要は,次のとおりで ある。 ・L3SWにVPNセグメントを作成する。VPNルータとしてVPNalとVPNb1を新た に設置し,DMZとVPNセグメントに接続する。 ・VPNa1はVPNa2との間に,VPNb1はVPNb2との間に,VPNトンネルを構成する。 ‘VPNトンネルは,VPNa1側をアクティブ,VPNb1側をスタンバイとする。 ・VPNa1,VPNb1及びL3SWの間ではOSPFで経路情報の交換を行う。 ・L社クラウドサービス内では,評価のために,販売管理サーバと販売管理DBを構 築し,K社NWのクライアントセグメントから利用できるようにする。 ・K社NWのクライアントセグメントのPC及びサーバセグメントのサーバには, L3SWをデフォルトゲートウェイとして設定する。また,L3SWには,FWをデフ オォルトゲートウェイとして設定する。 ・K社NWのPCとサーバには,プライベートIPアドレスを割り当てる。PC及びサ ーバからインターネットへのWeb閲覧などの通信は,FWでIPアドレスとポート 番号の変換処理であるを行う。 〔インターネットVPN接続の検討] L社クラウドサービスのVPNルータとK社NWO VPNルータでは,互いのグロ ーバルIPアドレスを利用して,RFC 1853に記載されているIP in IPを用いて,トン ネルが構成される。このトンネルの通信を,IPsecを用いて暗号化する。 暗号化は,フェーズ1と呼ばれるIKE SAの確立,フェーズ2と呼ばれるIPsec SA の確立を経て行われる。 フェーズ1では,接続する相手を認証する方式として,両方の機器であらかじめ, と呼ばれる同じ鍵を共有する方式を利用する。 フェーズ2では,①TPヘッダを暗号化対象とするトンネルモードではなく,IPへ ッダを暗号化対象としないトランスポートモードを選択する。 IP in IPでトンネルを構成し,更にIPsecを用いて暗号化することによって,Ox のIPパケットと比較してパケットサイズは大きくなる。そこで,IP in IPで作成され たトンネルインタフェースではMTUのサイズを適切な値に設定し,さらに,トンネ ルインタフェースを通過するパケットのTCP MSS(Maximum Segment Size)を適切 =fe= な値に書き換える。 [K社NWとL社クラウドサービスとの経路情報の交換の検討 L社クラウドサービスとのネットワーク接続では,静的経路制御,又はBGPを用 いた動的経路制御を選択できる。Oさんは,BGPを用いた動的経路制御を選択し hee Oさんが考えた,K社NWとL社クラウドサービスとの経路情報の交換の概要を 図2に示す。 Ke EZ 7 REA iOSPFを一?alan agef» Pimゴきキーーー SET meeで||サーバセグメント 注記1太い破線は,VPNトンネルを示す。<>:BGPピア=(___):OSPFエリア 注記2(a)~(h)ld,VPNルータに割り当てたプライベートIPアドレスを示す。 図2 K社NMとL社クラウドサービスとの経路情報の交換の概要 BGPはルーティングプロトコルの一つであり,特定のルーティングポリシで管理 されたルータの集まりを示す|ウ|の間で,経路情報の交換を行うために開発 されたプロトコルである。 BGP接続を行う2台のルータ間ではトランスポートプロトコルの一つである |エ]のポート179番を使用し,経路情報の交換を行う。このコネクションの ことをBGPピアと呼ぶ。 を識別する番号として,VPNalとVPNb1では65505を使用し, VPNa2とVPNb2ではL社クラウドサービスが割当てを受けている64496を使用する。 VPNalとVPNa2間及びVPNb1とVPNb2間ではeBGPピアを設定し,VPNalと VPNb1 fil Cit iBGPビアを設定する。 VPNa2とVPNb2は,それぞれVPNalとVPNb1に対し,L社クラウドサービス内 のサーバセグメントの経路だけBGPで経路広告する。 ー16一 K社NWのVPNセグメントと接続するVPNa1,VPNb1及びL3SWの各インタフ ェースではOSPFのエリア0を構成し経路情報の交換を行う。さらに,IP in IP Cle 成されたトンネルインタフェースでは,OSPFのエリア0を構成するが,経路情報 の交換を行う必要がないのでパッシブインタフェースとする。 VPNalとVPNb1では,OSPFとBGPの間で経路情報の再配布を行う。 Oさんは,VPNal側をアクティブ,VPNb1側をスタンバイとする構成について, 1主任に相談した。次は,そのときの0さんと1主任の会話である。 Oさん:VPNの経路設計で,VPNa1側をアクティブ,VPNb1側をスタンバイとした いのですが,どのように設計したらよいでしょうか。 [主任:通信の方向それぞれについて経路設計をする必要があります。まずは,社 内からL社クラウドサービスの方向は,L社クラウドサービスを利用する PCからのパケットは全てL3SWに届くので,L3SWがパケットの転送先と UT,VPNalとVPNb1のどちらを選択するか,転送先を決められるように すればよいです。 Oさん:VPNa1とVPNb1が,BGPで受けた経路情報をOSPFに再配布する際に,異 なるコストを付与すると転送先を選択できそうですね。VPNb1側のコスト をVPNal側と比べて|A UT. I主任:次に,L社クラウドサービスから社内の方向はどうでしょう。L社クラウド サービスは,どのようなBGPのパスアトリビュートをサポートしています か。 0さん:MEDとAS PATHを利用できます。今回はAS PATHを使おうと考えてい ます。AS PATHでは,AS PATH長が短い方が選択されます。 I主任:そうですね。そういえば,一点注意が必要です。経路情報の再配布を行う ときには,経路のループを防止しなければいけません。 Oさん:分かりました。ぐ経路のループを防止する経路制御を行います。 [ネットワーク監視の検討] K社NWのサーバセグメントには,ネットワーク及びサーバが正常かどうかを確 認するために監視サーバを設置している。監視にはpingを用いる。ping ld, ー17一 |ォlo echo requestパケットを監視対象に送り,|ヵ|バァットが監視 対象から返つてくることで到達性を確認する。⑥二つあるVPNトンネルがそれぞれ 正常に動作しているかを常に確認するために,監視対象として(e)と⑪を選択した。 実際に,VPNルータを停止するテスト,及びVPNトンネルを切断するテストを行い, 正しく検知できることを確認した。 Oさんは,これまでの結果をまとめて,プロジェクトに報告した。その後,LHF ラウドサービスの試験利用の評価を行った。その結果は良好で,K社ではL社クラ ウドサービスを利用した販売管理システムの更改が決定された。また,K社内のその 他のシステムも順次,L社クラウドサービスム移行する計画が立てられた。 設問1本文中の|ア|~|カ|に入れる適切な字句を答えよ。 設問2〔インターネットVPN接続の検討1について,1),(②⑫)に答えよ。i Q)本文中の下線①について,今回の構成では,トランスポートモードを選択 している。選択した根拠を,IPアドレスに着目して30字以内で述べよ。 (2)本文中の下線@②について,IP in IPで作成されたトンネルインタフェースの MTUの値を1,500とした場合,VPNルータで発生する処理を,30字以内で述 Ak CLC,インターネットを含む全てのインタフェースのMTUの値を 1,500とする。 設問3〔K社NWとL社クラウドサービスとの経路情報の交換の検討]について, (I)~(4)に答えよ。 (1)本文中の下線について,静的経路制御と比較して動的経路制御を選択し た利点を40字以内で述べよ。 (2)本文中の下線のについて,パッシブインタフェースの動作の特徴を,20字 以内で述べよ。 3本文中の[|A|に入れる適切な字句を答えよ。 (4)本文中の下線@について,経路のループを防止するために必要な経路制御 を40字以内で述べよ。 設問4本文中の下線@⑥について,二つあるVPNトンネルをそれぞれ監視する目的を 35字以内で述べよ。 ー18一 CAモ用紙〕
出典
各問題の下に出典を記載しています。