ネットワークスペシャリスト 2017年 秋期 午後II 問題

共通の文章

SDNとクラウドの活用に関する次の記述を読んで,設問1ユー4に答えよ。 A社は,国内外に顧客をもつ生産機械メーカである。A社では,IoT時代に適応す るために,新たな情報システム基盤を整備中である。 現在の情報システム基盤は,国内工場の自社設備と,国内外にサービス用拠点を もつクラウドサービス事業者B社のIaaS環境で構成されている。B社のA社向け IaaS環境は国内にあり,工場とは専用線で接続されている。インターネットと工場 とは,インターネットサービス事業者C社の国内拠点を介して接続されている。 A社の情報システム部は,顧客の拠点で稼働中の生産機械(以下,機械という)と 情報システム基盤のWebサーバで構成されたシステム(以下,新システムという) を開発中である。また,本年度は,ネットワーク(以下,NWという)の拡張を予定 している。NW拡張の概要を図1に示す。 SI 1B社クラウドサービス=Sama ED]1 人 |B社拠点(国内)|| |[11 i Bat(Be)MO)1 |CDN:しISP|ietlen Web-B|1 ;|ヒーRTサーバサーバIaaS環境」|| AHORE||eee ee esas enter we reset| トmeslseeiiemuliens ee ee eee” |0(ee Ta Se、[msp RT-1}y L2SW FW L2SW CDN:Content Delivery Network gee Euーー :Content Delivery Networl|LB||Web-a1||Web-a2| ISP:Internet Service Provider内部NW Le Do SD FW:ファイアウォールBY hs WED RT:ルータ|L2sw』 LB:Aafia BHR-A社の工場 ij1てi6:IPアドレスサーバサーバ(国内) L2SW:レイヤ2スイッチ sos,PE NW拡張によって追加される部分:NW拡張によって更新される部分 注記1 A社は,インターネットを経由してB社APIサービスにアクセスし,HTTPリクエストを使って,利用す るB社クラウドサービスの追加や変更を行う。 注記2 Web-Aは,LBと2台のWebサーバ(Web-A1,Web-A2)から構成された,新システムの試行環境であ る。Web-Aは,既に稼働している。 注記3 Web-Bは,仮想LBと2台のWebサーバ(Web-B1,Web-B2)から構成された,新システムの本運用環境 である。Web-Bは,NW拡張の中で導入される。 図1 NW拡張の概要(抜粋) ーーipーー NW拡張の目的を次に示す。 ・工場LANのSDN(Software-Defined Networking)化:SDN技術を用いて,現在 の工場LANを,ビジネス変化に対応できる柔軟性と拡張性を備えた新たな工場 LAN(LAF,新工場LANという)に吊新する。新工場LANでは,物理配線の変 更なしに,自社要員だけで構成変更ができるようにする。 ・クラウドサービスの利用拡大:開発中の新システムは,国内外の多数の機械に WIS,ファームウェアの一斉更新,稼働状況の定期収集に用いられる。新シス テムの本運用のために,Web-Aよりも大規模なWeb-Bを構築し,B社クラウドサ ービス(図1中のBe CDN,B社ISP)を活用して,Web-Aへのアクセス経路よ りも高速なWeb-Bへのアクセス経路を実現する。 機械からWeb-Aへのアクセスの概要を次に示す。 ・Web-Aを収容しているDMZ ld,プライベートアドレスが割り当てられている。 I.・機械から送信されたIPパケットは,C社ISPを経由し,FWに転送される。その |宛先Pアドレスは,図1中の|あぁ|でぁる。 ・FWは,受信したIPパケットをLBに転送する。その際,FWの|い|機能 によって,宛先Pアドレスは図1中の|う|に書き換えられる。 ・LBは,サーバの稼働状況そをチェックしながら,受信したIPパケットを動的に Web-A1又はWeb-A2に振り分ける。 NW拡張後は,B社クラウドサービスを使って,機械からWeb-Bへ同様のアクセ スが行われるようになる。機械は,Web-AへのアクセスとWeb-Bへのアクセスを切 り換えられるようになっており,試行環境と本運用環境を使い分けながら,新シス テムの機能拡充を進めていく予定である。 情報システム部のNW拡張プロジェクトでは,新工場LANの提案と構築をベンダ に委託し,それ以外の作業を自社要員が担当する。NW拡張プロジェクト発足に先立 ち,情報システム部のDAM,次の準備作業を行っている。 ・新工場LANに適用するSDN技術の調査:ベンダから提案があった,新工場 LANに適用するSDN技術について,その概要を整理する。 ーsーー ・新工場LANの運用の調査:ベンダから提案があった,新工場LANの論理構成 と通信方式の概要を整理する。 ・クラウドサービス利用拡大の検討:新システムの本運用に用いる,Bt CDNと B社ISPを使ったNWの導入案を作成する。 ・A社向け1aaS環境のバックアップの検討:B社拠点(国内)が長時間使えない 場合を想定し,新システムの稼働を再開させるための代替手段を検討する。 〔新工場LANに適用するSDN技術の調査〕 ベンダから提案があったSDN技術について,D君は次のように整理した。 ・従来のスイッチ機能を,経路制御などの管理機能を実行するフローコントローラ (以下,OFCという)と,データ転送を行うスイッチ(以下,OFSという)に分 け,OFSに入るパケットの経路制御をOFCが集中制御する方式を採用する。 ・OFSとOFCは,管理のための専用NW(以下,管理NWという)を介して,通信 メッセージを交換する。OFCとOFS間の通信メッセージを表1に示す。 表1 OFCと0FS間の通信メッセージ(抜粋) ・OFSは,IPアドレス,MACアドレスなどのパケット識別子(Match Field,LAF, MFという)を使ったパケット識別条件と,識別されたパケットの処理(以下, Actionという)の組合せ(以下,エントリという)を,OFS内の管理テーブルで 管理する。 ・OFSは,入力パケットに対して,管理テーブル内のパケット識別条件が一致する エントリを探し,そのエントリのActionを実行する。一致するエントリがない場 合は,事前の設定に従い,入力パケットを破棄するか,Packet-Imメッセージを使 ってOFCに入力パケットを転送する。今回の提案では,OFCへの通信集中を避け るために,入力パケットを破棄させる設定を全OFSに対して行う。 ・MFとActionの例を表2に示す。 et 4 #2 MFとActionの例 MFの例Actionの例 ()内に指定された次に示すパラメータに従い, Ll IIN PORT|入力ポートIDパケットを出力する。 -Output()・ポボートID:指定ポートに出力する。 ETH DST宛先MACアド・controller:Packet-Inメッセージを使いOFCに _nian転送する。 送信元 PEERS S- L2 ETH_TYPE|7,パケットのヘッダの一部を書き換える。 イーサネットタ Set-Field・表記例:Set-Field ETH DST=m1 (Wise MACアドレスをmiに書き換える場合) ue me ow中 13> ベンダの提案では,8 AD OFSを導入する。ベンダから提案があった新工場LAN の物理構成案を,図2に示す。 OFS1 OFS2 OFS3 OFS8 B社クラウドp3 サービスサーバ 。 。 C社ISP 08 pl 。 |機器08-vs a Cf=ティー pl~p9:ポートID 注記新FWは,現行のFWに置き換わる新しい機器である。 2新工場LANの物理構成案(抜粋) OFS同士の接続情報をOFCが収集する通信シーケンスについて,D君はベンダか ら説明を受けた。例えば,2中のOFC A’,OFS1とOFS2の接続情報を得る場合 のOFS接続情報収集の通信シーケンス例は,図3のようになる。 emo 5— OFC OFS1 OFS2 of一み:OFSに接続された機器間の通信 :ーー*:OFCとOFS間の通信 注記1 LLDPフレームの構成は次のとおりである。 @アドレス|アドレス|88CC a注記2イーサネットタイプの88CCは,16進表記である。 詞コ|. 図3 OFS接続情報収集の通信シーケンス例 OFS接続情報の収集では,IEEE 802.1ABで規定されているLLDP(Link Layer Discovery Protocol)の仕組みを流用する。図3中のOFCは,固有のイーサネットタ イプ88CCをもつLLDPフレームを使って,次のように,LLDPフレームXとLLDP フレームYの内容からOFS1のp8とOFS2のp9の接続情報を得ている。 ①orcは,表1中の|え|]メッセージを使って,ETH TYPEが88CCに等 しいときのActionとして,Output(|お|)を,OFS内の管理テーブルに登録 きせる。 ②orcは,表1中の[|か|メッセージを使って,OFS1の全ポートについ て,OFS1の装置名とそれぞれのポートIDを格納したLLDPフレームを出力さ せ,装置名OFS1とポートID p8が格納されたLLDPフレームXをOFS2から受け 取る。 ③OFCは,OFS2に対して②と同様の操作を行い,装置名[き|とポートm |< ]が哲納されたLLDPフレームYをOFS1から受け取る。 〔新工場LANの運用の調査 新工場LANの運用について,ベンダからは次のような提案があった。 ・OFSを使って,図1中の工場の外部NW,DMZ,内部NWに対応した,仮想的な レイヤ2ネットワーク(以下,仮想NWという)を構成する。 ・仮想NW間の通信は,新FVWを経由させる。新FWとOFSはトランク接続し,仮 想NWに対応したVLAN IDを定義する。 ・現行FWのフィルタリング機能とNAT機能を,新FWに移行する。 ー6一 機械から送信されたSYNパケットが,RT-1から振り分け先のWeb-A1に転送され る場合の,新工場LANの論理構成と通信シーケンス例を,図4に示す。 B社クラウド|:仮想NW ml~m5:MACアドレス サービス外部DMZ内部 vl~v3:VLANID s NW NW注記p7v1,p7(v2),p7(v3)は,トラ Oンクポートp7のVLANIDv1,v2, a|vaをそれぞれ表す。 C#ISP O|phe Sl Web-A2| サーバ. mad eb-A2 abr oT| !a ae a et、。rtf ロ5.m3 Z| |iene)BE||| ©新FW ||@-|||||| |||| |ml|||| |||r----!エーーゴF一 \y\Vv y v y RT-1 OFC OFS1新FW LB Web-A1 Web-A2 || @ARP Request外部NWにおける ARPシーケンス |pasketow|のARPRemet | ae ow|fos |Packet our|__|@ARPRequest A ER@ARP Request d®ARP Request Packet-In||のARERepy| uc DMZにおける |Packet-Out_|@ARP Repl ARPシーケンス) @SYN|| DMZにおけるARPシーケンス(⑫)省略 ||ーーーーーーーーーー⑩SyN| B44新工場LANの論理構成(抜粋)と通信シーケンス例 —7— 4中の⑤のパケットヘッダは,転送する複数の装置によってそれぞれ書き換え られる。図4中のパケット⑥,⑱⑬~て⑯のヘッダ情報を,表3に示す。 表3図4中のパケット⑥,O~Oのヘッダ情報 l@lsし(Em Cd) 注記“なし"はVLANヘッダがないことを表す。 4中の通信シーケンスに関する,OFCとOFSの動作を,次に示す。 ・OFCには,次のような仮想NWの構成に関する構成情報が登録されている。 ーOFS1の外部NWの構成要素:p1,p7(v1) ーOFS1のDMZの構成要素:p4,p5,p6,p7(v2) (i)ブロードキャスト通信に関するPacket-Inメッセージを受信したとき,OFCは, これらの構成情報を基に,OFSにPacket-Outメッセージを使った指示を行う。 ・OFCは,ARPを利用して,ユニキャスト通信に対応したエントリをOFSに登録さ せる。そのために,4中の通信シーケンスが始まる前に,(ii)OFCは,ARP RequestとARP ReplyをOFCに通知するためのエントリを,OFS1に登録させる。 Gi)図4では,二つのユニキャスト通信について,エントリ登録の通信シーケンス がそれぞれ示されている。Flow-Mod(1)によって登録されるエントリを表4に, Flow-Mod(2)によって登録されるエントリを表5に,それぞれ示す。 表4図4中のFlow-Mod(1)によって登録されるエントリ IN PORT=pl,VLAN VID=なし,ー Push-VLAN, ーーOutput(p7) ETH DST=m5,ETH SRC=m1 Output(p1) 注記パケット識別条件は,エントリ内に記述された全ての条件が満たされることを表し,Actionは,= ントリ内に記述された全てのActionを実行することを表す。 ーー8ビー 表5図4中のFlow-Mod(2)によって登録されるエントリ ETH DST=|た|,ETHSRC= ETH_DST=m2,ETH SRC=ml Output(p6) [クラウドサービス利用拡大の検討] D君が検討した,B社CDNとB社ISPを利用したNWの概要を次に示す。 ・機械からA社向けIaaS環境へのアクセスは,B社ISPを経由する。 ・B社APITサービスを使って,B社ISP利用時の通信速度を指定する。試行に使って いるC社ISP利用時の通信速度に比べて,十分な通信速度を確保する。 ・機械からWeb-Bへのアクセスは,FQDN“weblive.asha.example.com”を使って行 う。FQDNをWeb-Bのグローバルアドレス(図1中のi6)に変換するために,B 社のDNSサービスを利用する。 ・高負荷が予想されるときには,B社APIサービスを使って,必要な期間だけB社 CDNを適用する。B社CDNの適用は次のように行う。 ー世界中に設置されているB社CDNのエッジサーバが,指定されたB社のIaaS 環境内のWebサーバ(以下,オリジンサーバという)の処理を代行する。 ーエッジサーバは,HTTPクライアントからのHTTPリクエストに応じて,キャ ッシュ又はプロキシの動作を行う。これらの動作はHTTPプロトコルを使って 自動的に行われるので,特別な運用(データ配信など)は不要である。 ーA社の場合には,Web-Bをオリジンサーバに指定する。B社CDNを適用する場 合には,B社から割り当てられるFQDN“webasha.bshacdn.example.net"を使っ てアクセスする。 B社CDNをA社に適用したときの概念図を,図5に示す。 ー9一 ao!「|pssビー= He B社CDN和己 He a2! b2!en} 7 3 ーー: !yal bly |DNSクライアァントーーmis A社向けIaaS環境 1 1 HTTPクライアント 1|機械a3 ||一eome |C社ISP DNS-A,DNS-B:DNSサーバA社工場 <---------->:DNS問合せ・応答 <ーーーーーーーテ>:HTTIPコネクション 図5 B社CDNをA社に適用したときの概念図 B社CDNを適用する場合には,5中のDNS-Aのゾーンファイルを書き換え, 機械からのアクセスを,Web-Bからエッジサーバムへ切り換える。D君が考えたエッ ジサーバへの切換え方法を,6に示す。 図5中のDNS-Aのゾーンファイル(抜粋)図5中のDNS-BのゾーンファイルGRE) $TTL 3600$TTL 3600 $ORIGIN asha.example.com.$ORIGIN bshacdn.example.net. @IN SOA ns1.asha.example.com.(省略)@IN SOA ns1.bshacdn.example.net.(省略) (省略)(省略) webtest NA il webasha INA[最寄りのエッジサーバのIPアドレス】 weblive IN A i6(省略) (省略) に webtest:試行時のWebサーバのホスト名oad A最適なエッジサーバを weblive:本運用時のWebサーバのホスト名ee||動的に選択する。 webasha:B社から割り当てられたWebサーバ のホスト名B社CDNを適用する場合には,次のレコードに置き換える。 weblive IN webasha.bshacdn.example.net. 図6 D君が考えたエッジサーバへの切換え方法 5と図6の概要を次に示す(al~a3,b1てb3,cl~c3は,MS中のアクセス経 路を示す)。 ・機械の動作には,試行モードと本運用モードがある。 ・試行モードでは,機械からWeb-Aにアクセスする(al,a2,a3)。 ・本運用モードでは,機械からWeb-Bにアクセスする(bl,b2,b3)。 ・本運用モードにおいて高負荷が予想される期間は,B社CDNを適用する(b1,b2, él,2,ca) ‘clにおいて,DNS-Bは,DNSメッセージの送信元IPアドレスを基に,最適なエ ッジサーバを選択し,そのIPアドレスを返す。(iv)EDNS-Client-Subnet(RFC 7871)を使ってDNSクライアントの情報が通知された場合には,その情報も利用 し,より適したエッジサーバを選択する。 ・機械から本運用環境への二つのアクセス(b3,c2)を比較したとき,(y)HTTPの GETリクエストを使うファームウェアの一斉更新の場合に,Bt CDN適用による TAT(Turn Around Time)の改善が期待できる。 (A社向けIaaS環境のバックアップの検討〕 情報システム部では,A社向けIaaS環境へのサーバ移行を順次進めており,A HH 向けIaaS環境が存在するB社拠点(国内)が長時間使えないリスクを想定し,その パックアップ対策QE,DRという)を運用マニュアルに盛り込むことにしている。 現在,A社では,サーバ,LB,DNS-Aの運用は自社の運用要員が行い,それ以外 のNW機器の運用は,ベンダに委託している。NW拡張後は,自社の運用要員が, OFCの管理ソフトウェアを使って新工場LANの構成を変更し,APIサービスを使っ てクラウドサービス利用形態を変更するようになる。D君は,自社の運用要員だけで 対応できることを前提に,新システムのDR案とそのDR案に必要なNWに関する準 備を検討し,次の(1)と(2)を提案することにした。 Q①)自社設備利用DR 3”とNWに関する準備 工場のWeb-Aを使い,A社向け1aaS環境のWeb-Bを代替する。Web-Aの性能不 足に備え,工場内の重要度が低い業務サーバをWebサーバに転用し,Web-Aをス ケールアウトする。そのために次のNWに関する準備を行う。 ・(vi)転用後の業務サーバのIPアドレスを決め,それを用いて準備作業を行う。 ・転用後の業務サーバをDMZに接続するために,OFCの管理ソフトウェアに,新 工場LANの構成変更に関する定義を登録する。DR時の新工場LANの構成変更 の概要を図7に示す。 ー1一 内部rai NW of fe)|of— |9 :a0 サーバ|(転用) “TT TT “TT TT aia Tt OT Hw ooHeewl|]www 9 Le 注記Web-A3(転用),Web-A4(転用)は,業務サーバから転用されたWebサーバを表す。 図7 DR時の新工場LANの構成変更の概要 ・(vii)図6中のDNS-Aのゾーンファイルのリソースレコードを置き換えて,機械 の本運用モードのアクセスをWeb-Aに切り換える。そのための手順を用意する。 (2)"B社拠点(国外)利用DR案"”とその準備 B社との現行契約では,Bt APTサービスを使って,B社拠点(国外)OA tt 向けIaaS環境も利用できるので,そこにWeb-Bのバックアップを作成する(以下, NWに関する準備については省略)。 D君は,以上の検討結果を,情報システム部長に報告した。その後,NW拡張プロ ジェクトが開始され,D君はその技術担当リーダに着任した。

共通の文章

無線LANシステムの導入に関する次の記述を読んで,設問1ー5に答えよ。 Y社は,中規模のネットワーク関連製品販売会社であり,オフィスピルの2フロア を使用している本社の他に複数の営業所がある。本社の営業部には110名の営業員 が,営業所には合計50名の営業員が在籍している。本社と営業所の営業員には,ノ ートPC(LAF,NPCという)の他にモバイルWi-Fiルータ(以下,Wi-Fiルータと いう)が貸与され,社外での商品説明,在庫照会,電子メール(以下,メールとい う)の送受信などに使用されている。社内では,NPCを有線LANに接続して営業業 務を行っている。インターネットアクセスは,本社DMZのプロキシサーバ経由で行 われている。営業部のNPCは,同一VLANに属している。本社の現在のLAN構成 を図1に示す。 iDMZ。。1 |エー i|装置||サーバ||サーバ||サーバ|! サン|: perp ar sc ree” L2SW:レイヤ2スイッチne Scie=NPC FW:ファイアウォール|NPC|…|NPC||NPC|…|NPC| L3SW:レイヤ3スイッチ営業部フロア 図1本社の現在のLAN構成(抜粋) [営業部の課題と対策] 営業部のフロアには,営業部のオフィスエリアの他に,応接室,会議室などの接 客エリアがあるが,取引先の増加に伴って,接客エリアの不足に悩まされている。 Y社を訪問する取引先の営業員(以下,来訪者という)の多くは,NPCを携帯し ており,中にはWi-Fiルータを持参してLTE回線経由でインターネットを利用して いる者もいる。しかし,Wi-Fiルータを持たない来訪者から,インターネット接続環 境を提供してほしいとの要望が挙がっている。 Y社では,書類の電子化を推進した結果,書類棚やサイドキャビネットに保管して いる書類が半減し,机上の書類も一掃された。そこで,営業部の座席をフリーアド レスにしてオフィスエリアを縮小し,接客エリアを拡大することにした。 これらを実現する目的で,営業部フロアに無線LANシステムを導入することを決 め,無線LAN導入プロジェクトを発足させた。プロジェクト商任者には情報システ LEB(以下,情シスという)OM課長が任命された。M課長は,部下のN主任と] 君をプロジェクトメンバに指名し,無線LANシステムの設計を担当させることにし ie 無線LANシステムの設計に当たって,N主任は,無線LAN技術の調査と選定を] 君に指示した。 (無線LAN技術の調査と選定 N主任の指示を受け,J君は,無線LAN技術を調査し,その結果を表1こ3にまと めた。IEEE 802.11で使用される周波数帯を表1に,無線LANのアクセス制御方式 を表2に,無線LANのデータ暗号化方式を表3に示す。 表1 IEEE 802.11で使用される周波数帯 表2無線LANのアクセス制御方式 ー15一 表3無線LANのデータ暗号化方式 (Wired Equivalent Privacy)|号方式 (Wi-Fi Protected Access)ロトコルにTKIP(Temporal Key Integrity Protocol)を使用し て暗号強度を高めた方式 暗号化アルゴリズムはAESに対応し,暗号化プロトコルにCCMP よりも堅年なIEEE| e|準拠の方式 Y社のNPCは,IEEE 802.11ac対応の無線LANアダブタを内蔵しているので, IEEE 802.11ac対応の無線LANアクセスポイント(以下,APという)を導入する。 来訪者のNPCの中には,IEEE 802.11nしか使用できないものもあると考えられたの で,IEEE 802.11nにも対応したAP製品を選定すれば,来訪者へのインターネツトア クセス環境も提供できる。 無線LANでは通信に電波が使用されるので,盗聴や不正アクセスを防ぐ対策が重 要である。そこで,Jt,暗号化方式と認証方式について検討した。 [暗号化方式と認証方式の検討] 無線LANのデータ暗号化方式について」君が検討した結果を,次に示す。 (1)WEPでは,1バイト単位の|f暗号であるRC4を使用して,パケット の暗号化が行われる。WEP lt,一つのAPと複数の無線LAN端末間でWEPキー を共有し,WEPキーとTIV(Initialization Vector)を基に,暗号鍵であるキーストリ ームを生成する。WEPは,|g|のWEPキーが使用され続けることに加え, 暗号化アルゴリズムも複雑ではないことから,短時間での暗号解読が可能になっ ているので採用しない。 (2)WPAでは,TKIPによって暗号鍵を生成する。TKIPでは,暗号鍵の基になる一 時鍵(Temporal Key)が動的に生成される。エンタープライズモードの場合,一時 鍵は,IEEE 802.1Xの認証成功後にで動的に生成されてクライアント に配布されるPMK(Pairwise Master Key)を基に,無線LAN端末及び ー16一 [oh|の両者で生成される。TKIPでは,フェーズ1で,一時鍵,IV及び無 線LAN端末の|i|の三っを混合してキーストリーム1を生成する。フェ ーズ2で,キーストリーム1にIVの拡張された部分を混合して,暗号鍵であるキ ーストリーム2を生成する。キーストリーム1とキーストリーム2は,通信途中 に変更される。2段階の鍵混合,キーストリームの変更によって,WEPよりも高 い安全性を実現しているが,脆静性が報告されているので採用しない。 (3)WPA2では,AESをベースにしたCCMPが採用されている。 WPA2では,事前|j|の方法及びPMKの保持方法が規定されている。 これらによって,無線LAN端末がAP間を移動(以下,ハンドオーバという)す るタイミングでの認証や認証済みのAPに戻ってきたときのPMKの再生成が不要 になることから,ハンドオーバ時間が短縮される。 AESはブロック暗号なので,暗号化するメッセージを一定サイズのブロック単 位に分割して処理する必要がある。メッセージをブロック単位に分割すると,最 後のメッセージがブロックサイズに満たない場合わあるので,CCMPではカウン タモードが採用されている。カウンタモードでは,暗号化するメッセージをダイ レクトに暗号化するのではなく,ブロックサイズと同じバイト数のカウンタ値を 暗号化して,暗号化したカウンタ値と暗号化するメッセージとをXOR(排他的諭 理和)して暗号文を生成する。カウンタモードによる暗号化手順を図2に示す。 te ae ae Cで中1 ctn ml(oR)mu op.NON(OR)c:カウンタ値 .mi,mz,mn:平文ブロック 1 eo en er€2,en:暗号文ブロック 注記平文は,mi me,…,mo CHEN,暗号文は,ei,ez,…。eaで表される。 図2カウンタモードによる暗号化手順 CCMPでは,①暗号化と復号は同じ手順で行われ,復号時もAESが使用される。 以上の検討を基に,暗号化方式は安全性が高いWPA2を採用することにした。 4= 次に,]君は,利用者認証方式について検討した。 WPA2の利用者認証には,パーソナルモードと,IEEE 802.1Xを利用するエンター プライズモードがある。営業員の認証にはエンタープライズモードを利用する。 IEEE 802.1Xには複数の認証方式がある。その中でセキュリティが強固であるととも に,Y社のNPCでは標準サポートのEAP-TLSを利用することを考え,EAPTLSの 運用に適したRADIUSサーバ製品を選定することにした。 J ilk,無線LANはIEEE 802.11acを採用し,IEEE 802.11nにも対応したAP製品 を選定することと,暗号化方式はWPA2,認証方式はEAPTLSを利用することをN 主任に報告した。無線LANの規格,暗号化及び認証方式がN主任に了承され,次に, APの設置方法とディジタル証明書の配布方法についての検討を指示された。 [APの設置方法の検討] ]君は,フロア図面を基に,APの導入台数と設置について検討した。 現在,Y社では,NPCを100Mビットノ秒で有線LANに接続しているので,無線 LANでも100Mビットンノ秒程度の速度で通信できるようにしたい。 IEEE 802.11ac規格では,八つのチャネルを東ねる8チャネルボンディング(160 MHzの帯域幅)を行えば,アンテナ1本当たり最大約867Mビットノ秒の通信が可 能である。8チャネルボンディングと8本のアンテナによるMIMO(Multiple Input Multiple Output)で8ストリームの同時伝送を行えば,理論上最大約6.93Gビットノ 秒で通信できる。②検討しているAP製品は,4チャネルボンディング(80 MHzの 帯域幅)FECHA,3本のアンテナが搭載されているので,1Gビットノ秒以上の通 信速度が達成できる。したがって,APに同時接続させるNPCを10台に制限すれば, 1台のNPCで100Mビットノ秒以上の通信速度を確保できる。そこで,APに同時接 続きさせるNPC台数を10台に制限して,APの導入台数と配置を決めることにした。 現在,営業部には110名の営業員が在籍しており,営業部のオフィスエリアには 120名の収容スペースがある。本社の営業員の在席率は最大で60%程度なので,オ フィスエリアを80%に縮小して,削減した20%を接客ーエリアにすれば接客エリア不 足の解消になる。オフィスエリアには,BATH 66名の営業員が同時に在席するこ とになるが,余裕をもたせて8台のAPを設置し,接客エリアには4 AO APを設置 する。合計12台のAPの個別管理は困難なので,無線LANコントローラ(以下, =gies WLCという)も導入する。調査したところ,WLCには複数の方式があったが,KO 三つの主要機能をもつ製品を選定することにした。 ・有線LAN経由での複数のAPに対する設定変更,ファームウェアのアップデート などの一括処理機能 ・APの負荷分散制御。PMKの保持などによるハンドオーバ制御機能 ・利用者認証,認証VLANなどのセキュリティ対策機能 選定するWLC製品の概要を次に示す。 WLCは分散処理方式で,通信データの暗号化と復号をAPに任せるものである。 WLCでEAP-TLSを利用するときは,APとWLC間でトンネルが設定され,無線 LAN端末とWLC間で認証情報の交換が行われる。WLCは,利用者認証を行った後, 利用者IDに対応したVLANをAPに設定する認証VLAN機能をもっている。ぐ③認証 後に行われる無線LAN端末による通信は,WLCを経由しない。 APは,電波の到達性を考慮して天井に設置する。営業部のオフィスエリアに,営 業員が自由に着席できる机が均等に配置されたときの,営業部フロアへのAPの設置 イメージを図3に示す。 営業部オフィスエリア接客エリア (HONONORG Sexy ーーうーうーうージーて PTYエエ、 (Reneneniaivay 0:@-.@<5«5 @:AP 注記図中の円弧は,APがカバーするエリア(以下,セルという)を示す。 図3営業部フロアへのAPの設置イメージ APの設置場所は,営業部フロアでの電波伝搬状態を測定してから決める。このと き,③④外来電波による悪影響が発生する可能性があるかどうかを調査し,必要に応 じて対策を講じる。電波伝搬状態の測定,外来電波の影響調査,APの設置設計及び ー19一 設置工事は,業者に委託する。 APは天井に設置することから,天井裏でのケーブル配線が必要になる。APを接続 するL2SWを営業部フロアに設置すれば,L2SWと全てのAPとをLANケーブルで 直結できる。L2SWのPoE(Power over Ethernet)機能を利用することによって, LANケーブル経由でAPに電源が供給できるので,PoE対応のAPを導入する。この とき,APを収容することになる図1中のL2SW4は,PoE対応の製品に交換し,適 切な場所に設置する必要がある。 以上の検討結果を基に,J Blk,導入するAP,WLC及びRADIUSサーバ製品を選 定した。選定したAP製品の消費電力は最大18 Wなので,IEEE 802.3af規格では供 給電力が不足することが分かった。そこで,⑤IEEE 802.3at対応のL2SWを1台導 入することにした。 次に,]君は,ディジタル証明書の配布方法について検討した。 [ディジタル証明書の配布方法の検討] ディジタル証明書の配布方法について君が検討した結果を,次に示す。 選定したRADIUSサーバ製品は,EAP-TLSで必要になるディジタル証明書(サー バ証明書又はクライアント証明書)を発行するCA(Certification Authority)機能を もっている。サーバ証明書とクライアント証明書は,RADIUSサーバのCA機能を使 って発行する。 クライアント証明書は,情シスの担当者が本社の営業員のNPCに直接インストー ルすれば安全であるが,情シスの負担が大きい。そこで,本社LANに,クライアン ト証明書をNPCにダウンロードさせるサーバ(以下,ダウンロードサーバという) を新規に構築して,LAN経由でクライアント証明書を配布すれば情シスの負担が抑 えられる。 ダウンロードサーバによるクライアント証明書の配布案内は,無線LAN導入後に, 情シスから多営業員宛てに一斉メールで通知する。案内文には,ダウンロードサー バの導入目的,利用方法。ダウンロードサーバのURLなどを記載する。その後,各 営業員に,ダウンロードサーバ利用のための利用者IDとパスワードを個別に連絡す る。営業員は,情シスからの案内を基に,クライアント証明書のインストールを行 ー20一 Do J Blt,ダウンロードサーバの機能とクライアント証明書の運用について検討した。 検討結果を次に示す。 (1)クライアント証明書の管理機能 ダウンロードサーバは,RADIUSサーバで生成されたクライアント証明書と⑥そ の他にNPCで必要となる情報をRADIUSサーバからコピーし,RFC 7292で規定 されているPKCS#12形式のファイルに変換して管理する。 (2)NPCへのダウンロード機能 ダウンロードサーバは,アクセスした営業員を利用者ID,パスワードてで認証し, 認証を受けた営業員のNPCに,PKCS#12形式のファイルを一度だけダウンロー ドさせる。NPCは,ダウンロードしたファイルを直接インポートできる。 (3)クライアント証明書の運用 情シスの担当者は,クライアント証明書の有効期限の1か月前に,RADIUSサー バパでクライアント証明書を発行し,ダウンロードサーバに保管して,クライアン ト証明書の更新案内を当該営業員にメールで通知する。 次に,]君は。ダウンロードサーバの設置場所について検討した。 最初に,無線LAN経由でダウンロードサーバにアクセスさせる方法を検討した。 この方法では,NPCにクライアント証明書がインストールされていないので,認証 エラーになる。そこで,認証エラー時にWLCの認証VLAN機能によって,特別な VLANをAPに設定し,このVLANにダウンロードサーバを設置することを考えた。 しかし,その場所にダウンロードサーバを設置すると,⑦クライアント証明書の配 布に関してセキュリティ上問題がある。さらに,クライアント証明書の更新のため のダウンロードもできない。そこで,営業部オフィスエリアの有線LAN接続でアク セスできる場所にダウンロードサーバを設置することにした。無線LANに移行した 後,営業部オフィスエリアをフリーアドレスにしてNPC接続用の有線LANは撤去 するが,クライアント証明書の更新は無線LAN経由で可能である。しかし, によっては,クライアント証明書をダウンロードできない本社の営業員も出てくる。 その営業員には,情シスの担当者がクライアント証明書などの必要な情報をNPCに インストールして,当該営業員に渡す。 =i a ]Blk,APの設置方法とディジタル証明書の配布方法についてN主任に説明し, 了承されたので,最後に,既設LANへの無線LANの接続構成の設計を行った。 (HERE LANへの無線LANの接続構成の設計 ]君が設計した,既設LANに無線LANシステムを導入したときのLAN構成を図4 に示す。 プー | ia[ 注記細掛部分は新規に導入する機器を示す。にーー a Fe @〆w 図4既設LANに無線LANシステムを導入したときのLAN構成(抜粋) Y社では,。DHCPサーバでPCとNPCにIPアドレスなどのネットワーク情報を付 与している。無線LAN MAKE,本社の営業員のNPCにはDHCPサーバでネット ワーク情報を付与する。 EAP-TLSで認証を受けた本社の営業員のNPCには,営業員向けのVLAN (VLAN100)を割り当て,既設の有線LAN使用時と同じ作業ができるようにする。 オフィスエリアのAPには来訪者のNPCは接続させないが,接客エリアのAPには 営業員と来訪者が無線LANを同時に利用できる設定を行う。 NPCを持参した来訪者には,Y社の担当者が,©WPA2又はWPAのパーソナルモ ードで無線LANに接続するための情報を教える。来訪者は,教えられた情報をNPC に設定することで,無線LANの利用が可能になる。来訪者のNPCには,APが ESSIDに対応した来訪者向けのVLAN(VLAN200)を割り当てる。VLAN200が割り 当てられることによって,来訪者のNPCは,無線LANへのアソシエーション後に, ー22一 ルータ2がもつDHCP機能でネットワーク情報が付与され,インターネットアクセ スだけができるようになる。 J Bld,以上の設計内容をN主任に説明した。N主任は,」君の設計内容を基に無 線LAN導入計画書を作成し,]君と一緒にM課長に説明したところ,導入計画書は M課長に承認され,実施に移されることになった。