ネットワークスペシャリスト 2018年 秋期 午後I 問題

共通の文章

SaaSの導入に関する次の記述を読んで,設問1ー3に答えよ。 F社は,本社と四つの営業所を拠点として事業を展開している中堅商社である。本 社を中心としたハブアンドスポーク構成のIPsec VPNを使って,本社と営業所を接 続している。営業所からインターネットへの通信は,全て本社を経由させている。 現在F社で利用しているグループウェア機能は,電子メール,スケジューラ。ファ イル共有などである。このうち電子メールは社外との連絡にも利用している。 このたびF社では,グループウェアサーバの老朽化に伴い,グループウェアサー バを廃止し,グループウェア機能をもつG社SaaSを導入することにした。また,G 社SaaSの導入に合わせたセキュリティ対策を講じることにした。 [F社の現行ネットワーク構成とG th SaaS導入に合わせたセキュリティ対策] F社の現行ネットワーク構成を,図1に示す。 1 ae!|G社Sss5| | FW L2SWサーバ|IN ||zaw HE: 用グループウェア1 !サーバDMZ!a IPs営業所IPs FW:ファイアウォールLOW:レイヤ2スイッチ L3SW:レイヤ3スイッチ 注記1(Gis,G社SasS導入に伴って追加予定の構成示す。 注記2 QRS.G社SaaS導入後,廃止予定の機器を示す。 図1『社の現行ネットワーク構成(抜粋) ・プロキシサーバ及びグループウェアサーバは,本社DMZに設置されている。 ・L3SWでは,次のように静的経路設定を行っている。 —_2— -デフオォルトルートのネクストホップをFWに設定している。 -各営業所への経路のネクストホップを本社のIPsecルータに設定している。 ・社内PCからインターネットへは,Webアクセスだけが許可されており,プロキシ サーバを経由して通信を行っている。 一般に,プロキシには,|ア|プロキシと[|イ|プロキシがあぁる。F社 のプロキシのように|ア|プロキシは,社内に対して,アクセス先URLのロ グ取得や,外部サーバのコンテンツをキャッシュして使用帯域を削減する目的で用 いられる。一方,|イ|プロキシは,外部から公開サーバのオリジナルコンテ ンツに直接アクセスさせないことによる改ざん防止,キャッシュによる応答速度の 向上,及び複数のサーバでの負荷分散を行う目的で用いられる。 G社SaaSの導入に合わせて,インターネットへのWebアクセスについてのセキュ |リティ対策を検討した。検討結果を次に示す。 ・G社SaaSとの通信は,HTTPSによって暗号化する。 ・出張先のPCから直接G社SaaSを利用できるようにするために,G社SaaSでは送 信元IPアドレスの制限を行わない。 ・G社SaaS導入に合わせてセキュリティ強化を行うために,プロキシサーバで次の ログを取得する。 -アクセス先URLと利用者ID -G社SaaSsのファイルアップロードンダウンロードのログと利用者D ・社内PCからインターネットへのWebアクセスでは①ゆプロキシサーバにおいて認 証を行う。 (G社SaaSの試用〕 F社は,G社SaaSの本格導入に先立って,本社と一つの営業所を対象に少数ライ センスでG tt SaaSを試用し,システムの利便性と性能を確認することにした。試用 に先立ち,G tt SaaS以外のアクセス先について,プロキシサーバでHTTPSのアク セスログを確認したところ,②③アクセス先のホスト名は記録されていたが,URLは 記録されていなかった。そこで,アクセス先のURLを把握するために,プロキシサ ーバで暗号化通信を一旦復号し,必要な処理を行った上で再度暗号化した。しかし, ー3一 社内PCでエラーメッセージ“証明書が信頼できない"が表示されたので,社内PC に|ウ ]をインストールして解決した。 G tt SaaSを試用した結果,次の事実が判明した。 ・G tt SaaSにアクセスした際にプロキシサーバを通過するセッション数を実測した ところ,スケジューラにアクセスする1人当たりのセッション数が大幅に増加し た。 ・複数人が同時に大容量のファイルをG社SaaSに転送している間,AAO FWを経 由するインターネット接続回線のスループットが低下した。 このまま全社でGH SaaSの利用を開始すると,プロキシサーバの処理可能セッシ ョン数の超過,インターネット接続回線の帯域不足が予想された。 [SD-WANルータの導入] F社は,G社SaaSの試用で判明した問題を解決するために,IPsecルータの代わり にSD-WAN(Software-Defined WAN)ルータを使用することにした。 SD-WANルータを使用したネットワーク構成案を,図2に示す。 i! G社SaS Leese eae) {eeeしーサーパ群tt ina。 Fーーニーニーーーーーーーーーニーーーニーーニーここーー1 H Foxy)DMZ Lv[、 コントローラ—— SD-WAN営業所[Sp-WAN 注記SD-WANコントローラの接続構成は省略する。 図2 SD-WANルータを使用したネットワーク構成案(抜粋) —4— (1)SD-WANルータの概要 今回使用する予定のSD-WANルータは,SDN(Software-Defined Networking)に よって制御されるIPsecルータである。SDNは,利用者の通信トラフィックを転 送するデータプレーンと,通信装置を集中制御する|エ|プレーンから構成 されており,プレーンのソフトウェアでデータ転送を制御する方式で ある。 F社が導入するSD-WANルータの仕様を次に示す。 ・SD-WANルータの設定は,SD-WANコントローラによって集中制御される。 ・SD-WANルータのWAN側には,インターネットに接続するインタフェースだけ でなく,ほかのSD-WANルータに接続するIPsec VPNの論理インタフェースが ある。 (2)SD-WANルータを用いたときの通信 図2の説明を次に示す。 ・社内PCからG社SaaSへのWebアクセスは,プロキシサーバを経由せず各SD- WANルータを経由する。 ・社内PCからG社SaaS以外のインターネットへのWebアクセスは,プロキシサ ーバを経由する。 ・L3SWにプロキシサーバへの静的経路情報を追加する。 ・営業所と本社間の通信は,SD-WANルータ間でIPsecによって暗号化する。 ・本社の社内PCからG tt SaaSへの通信について,OG社SaaSのIPアドレスが 変更された場合でもその都度L3SWを設定しなくても済むように,L3SWの静的 経路情報を設定変更する。 (3)SD-WANルータの運用 G社はSaaSに必要なサーバを随時追加している。G社SaaSが利用しているIP アドレスブロックの更新があるたびに,F社はSD-WANルータの設定を変更する 必要がある。F tlk,G tt SaaSのIPアドレスプブロックの更新を,RSS(Really Simple Syndication)を利用して知ることができる。 F社は,RSS配信されたIPアドレスブロックを検知するツールを作成して,自 動的にツールからに指示を行い,全社のSD-WANルータの設定を変更 することにした。さらに,社内PCから参照する④プロキシ自動設定ファイルを作 ー5— 成することにした。 (4)G社SaaSsアクセスログの取得 G tt SaaSへのアクセスログは,⑤プロキシサーバからではなく,G社SaaSの APIにアクセスして取得することにした。 F社は,G社SaaSの本格導入に向けてSD-WANルータを利用したネットワークの 構築プロジェクトを立ち上げた。

共通の文章

ネットワーク監視の改善に関する次の記述を読んで,設問ユー4に答えよ。 A社は従業員数200人の流通業者である。A社のシステム部門では,統合監視サー バ(以下,監視サーバという)を構築し,A社のサーバやLANの運用監視を行って いる。. 監視サーバは,pingによる死活監視(以下,ping監視という)とSYSLOGによる 異常検知監視(以下,SYSLOG監視という)を行っている。現在定義されている LANに関するSYSLOG監視は,ポートのリンク状態遷移,STP(Spanning Tree Protocol)状態遷移及びVRRP(Virtual Router Redundancy Protocol)状態遷移の3種 類である。 HOA,“従業員が使用するPCからファイルサーバを利用できない"という苦情 が,システム部門に多数寄せられた。調査した結果,ケーブルの断線による障害と 判明して対処したが,監視サーバで検知できなかったことが問題視された。 (A社LANの概要 A社は,オフィスビルの1フロアを利用している。A社LANの構成を,図1に示 す。 ー7ァー pl YLAN100 pl VLAN100 [ars] pe)9 es P3 VLAN300 VLAN200 VLAN300 VLAN200 TCSに SW:スイッチ 注記1コアSW1,コアSW2は,レイヤ3スイツッチである。 注記2フロアSW1~<フロアSW4,サーバSW,SW1~SW32は,レイヤ2スイッチである。 注記3 pl~pald,スイッチのポートを示す。 注記4 VLAN100,VLAN200,VLAN300は,スイッチのアクセスポートのVLAN IDを示す。 図1 A社LANの構成(抜粋) コアSWには,。サーバSWとフロアSWが接続されている。サーバSWは,監視サ ーバとファイルサーバを収容している。フロアSWには,従業員が使用するPCを収 容するSWが接続されている。 A社LANは次のように設計されている。 ・コアSWには,①VRRPが設定してあり,②正常時は,コアSW1がマスタルータ で,コアSW2がバックアップルータとなるように設定している。 ・A社LANは,ループ構成を含んでいる。例えば,コアSW1-サーバSW-コア SW2-コアSW1はループ構成のーつである。IEEE 802.1Dで規定されているSTP を用いて,レイヤ2ネットワークのループを防止している。正常時はコアSW1が |ルートブリッジとなるように設定している。 ・コアSWのp1ポート,p2ポート及びp3ポートはアクセスポートで,③⑧p4ポート をIEEE 802.190を用いたトランクポートに設定している。 [監視サーバの概要)〕 監視対象機器は,コアSW,サーバSW及びフロアSWである。 a 8ーー ping監視には,RFC 792で規定されているプロトコルであるを利用す る。echo requestパケットの宛先として,監視対象機器には|イ|を割り当て る必要がある。 リンクダウンなどの異常が発生した機器は,監視サーバに対して直ちにSYSLOG メッセージを送信する。監視サーバは,受信したSYSLOGメッセージの分析を直ち に行い,定義に従って異常として検知する。SYSLOGは,トランスポートプロトコ ルとしてREC 768で規定されている|ウ|を用いている。 [監視サーバの問題〕 ネットワークに異常が発生した際に,監視サーバで検知できなかった問題につい て,システム部門のB課長は,部下のCさんに障害発生時の状況確認とネットワー ク監視の改善策の立案を指示した。 [障害発生時の状況確認] ケーブルの断線による障害発生時の構成を,図2に示す。 サーバルーム ーー|コアSW| !D2 p2 ケーブル1! ZRF ye ipl pl |フロアァSwim 707 swe ip3 ケーブル2! 注記破線は,断線したケーブルを示す。 図2ケーブルの断線による障害発生時の構成(抜粋) Cさんが行った状況確認の結果は,次のとおりである。 ・障害発生時,フロアラック1の近くでフロアのレイアウト変更が行われていた。そ の影響で,フロアSW1のp1ポートとコアSW1のp2ポートを接続するケーブル1 ーー9— が断線した。同時に,フロアSW1のp3ポートとSW4を接続するケーブル2が断 線した。 ・ケーブル1の断線によって,④⑧フロアSW2のplポートのSTPのポート状態がブ ロッキングから,リスニング,ラーニングを経て,フォワーディングに居移した。 また,監視サーバでは,SYSLOG監視によって,ケーブル1が接続されているポ ートのリンク状態遷移が発生したことを検知した。 ・ケーブル2の断線に伴って⑤フロアSW1が送信した,リンク状態短移を示す SYSLOGメッセージが監視サーバに到達できなかった。その結果,監視サーバは, ケーブル2が接続されているポートのリンク状態遷移を検知できなかった。 〔ネットワーク監視の改善策の立案 Cさんは,ネットワーク監視の改善策として,新たにSNMP(Simple Network Management Protocol)を使って監視することを検討した。Cさんは,監視対象機器 で利用可能なSNMPv2cについて調査を行った。 SNMPは機器を管理するためのプロトコルで,⑥SNMPエージェントとSNMPマ ネージャで構成される。SNMPエージェントとSNMPマネージャは,同じグループ であることを示す|エ|を用いて,機器の管理情報(LF,MIB EWS)を共 有する。 SNMPの基本動作として,ポーリングとトラップがある。ポーリングは,SNMP マネージャが,SNMPエージェントに対して,例えば5分ごとといった定期的に MIBの問合せを行うことによって,機器の状態を取得できる。一方.トラップは, MIBに変化が起きた際に,SNMPエージェントが直ちにメッセージを送信し,SNMP マネージャがメッセージを受信することによって,機器の状態を取得できる。 Cさんは,OS分間隔のポーリング,又はトラップを使用して監視しても,今回発 生したネットワークの異常においてはそれぞれ問題があることが分かった。しかし, SNMPのインフォームと呼ばれるイベント通知機能を利用すれば,これらの問題に 対応できると考えた。 SNMPのインフォームでは,MIBに変化が起きた際に,SNMPエージェントが直 ちにメッセージを送信し,SNMPマネージャからの確認応答を待つ。確認応答を受 信できない場合,SNMPエージェントは,SNMPマネージャがメッセージを受信し ー10一 なかったと判断し,メッセージの再送信を行う。Cさんは,⑧今回と同様なネットワ ークの異常が発生した場合に備えて,SNMPマネージャがインフォームの受信を行 えるよう,SNMPエージェントの設定パラメタを考えた。 その後,CさんはSNMPのインフォームを用いたネットワーク監視の改善策をB 課長に報告し,その内容が承認された。

共通の文章

企業内ネットワーク再構築に関する次の記述を読んで,設問1ー4に答えよ。 D社は,東京の本社,名古屋支店及び大阪支店の3拠点にオフィスを構える出版会 社である。D社の社内ネットワークは,3拠点をそれぞれ専用線で結ぶWANと,拠 AA LANで構成されている。各拠点内の業務にはそれぞれ拠点内の業務サーバを使 用し,全社的な業務には本社の業務サーバを使用している。また,各拠点では本社 のプロキシサーバを経由してインターネットを利用している。D社の現行ネットワー ク構成を図1に示す。 *DE 5サーバ ese): Gea TM 7 ESS a 大阪支店専用線名古屋支店 TI中 ==L2SW:レイヤ2スイッチ sameサーバFW:ファイアウォール 図1 D社の現行ネットワーク構成(抜粋) D社では,拠点間で利用しているルータの更改時期を迎えたことから,将来を見据 えてWAN構成を見直すことになり,情報システム部のEEさんが検討することになっ FE (WAN構成の検討] (1)WAN構成の見直し方針案 Eさんは,WAN構成の見直しについてコストも含めて検討し,次の方針案を立 でだ。 ・IP-VPNを利用して3拠点間を接続する。 ・IP-VPNへのアクセス回線は,安価なねイーサネット回線サービスを利用する。 ・通常時は拠点間通信にIPVPNを用いるが,IP-VPNの障害時にはインターネット VPNをバックアップ回線として用いる。 ・インターネットVPNは,FWに備わるIPsec方式のVPN機能を用いる。 ・名古屋支店と大阪支店には,インターネットVPN専用のインターネット回線を 敷設し,FWを設置する。 ・各拠点からのインターネットアクセスは,これまでと同様に本社のプロキシサ ーバ経由で行う。 (2)IP-VPN及びIPsecの概要 Eさんは,方針案のIP-VPN及びIPsecについて調査し,その結果を次のように まとめた。 (i)IP-VPN ・IP-VPNは,通信事業者が運営する閉域IDネットワーク(以下,事業者閉域 IP網という)を利用者のトラフィック交換に提供するサービスである。 ・IP-VPNは,①事業者閉域TP網内で複数の利用者のトラフィックを中継するの に,RFC 3031で規定された方式が用いられる。 ・利用者のネットワークと事業者閉域TP網との接続点において,利用者が設置 するCE(Customer Edge)ルータから送られたパケットは,通信事業者のPE (Provider Edge)ルータで|ア|と呼ばれる短い固定長のタグ情報が付 与される。 ・事業者閉域P網内では,④タグ情報を参照して中継され,|ア|は対向 側の|イ|で取り除かれる。 (ii)IPsec IPsecは,暗号技術を利用してノード間通信を行うためのプロトコルであり, IPパケット通信の完全性・機密性を確保する。 ・TPsecは,OSI基本参照モデルの|ウ|レイヤで動作する。 ・3拠点間には,バックアップ回線として3本のIPsecトンネルが必要である。 eg= これらの検討を基に,Eさんが考えたD社のネットワーク構成を,図2に示す。 本社SN CAO注記1破線は,IPsecトンネルを示す。 oon ara注記2網掛け部分は,追加された機器を示す。 るーー|S 7: ooンーインターネット TO 7でや、 TO中 図2 Eさんが考えたD社のネットワーク構成(抜粋) 〔冗長化ルーティングの検討 図2のネットワーク構成で拠点問通信を行う場合,正常時は|エ|を利用す るが,|エ|の障害時は[|オ|に切り替える必要がある。Eさんはそのた めの方策の検討を行い,次のルーティング方式を考えた。 ・各拠点問のIPsecトンネル及び各拠点内LANのルーティングは,OSPFを利用す る。 ・各拠点間のIPsecトンネル接続では,OGRE over IPsecを利用する。 ・CEルータでもある各拠点のL3SWは,IP-VPN側で隣接するPEルータとBGP4で 経路交換する。具体的には,各拠点のL3SWは,自拠点の経路情報をPEルータに 広告するとともに,③④PEルータから経路情報を受信する。 この方式で,At,名古屋支店,大阪支店のL3SWからそれぞれの別拠点への経 路の冗長化を行う。各拠点のL3SWは,⑧複数のルーティングプロトコルから得た 同一宛先への異なる経路情報から,適切な経路を選択する。 [拠点追加の場合のIPsecトンネル接続追加の検討] Eさんは,IPsecトンネル接続の追加について,今後拠点が追加になった場合を想 定した検討を始めた。図2のような⑥フルメッシュのIPsecトンネルのネットワーク 構成に,追加拠点向けIPsecトンネルを手動で追加設定するネットワーク拡張方式は 望まほしくないと考え,ネットワーク機器ベンダの技術者に改善案を相談した。その 結果,FWのIPsec方式のVPN機能のオプションである,IPsecトンネルを動的に確 立する機能(以下,自動トンネル機能という)を活用した方式を提案された。そこ で,EEさんは,その方式を前提として次の設計方針を立てた。 ・本社をハブ拠点,支店の2拠点をスポーク拠点とするハブアンドスポーク構成と し,ハブ拠点とスポーク拠点問のIPsecトンネルを従来どおり固定的に設定する。 ・スポーク拠点問IPsecトンネル(LAF,SSトンネルという)については,拠点間 のトラフィックの発生に応じてトンネルを動的に確立させる。 ・S-Sトンネルは,一定時間トラフィックがなければ自動的に切断するようにする。 ・動的にS-3トンネルを確立するために,NHRP(Next Hop Resolution Protocol)を 用いる。 NHRPは,IPsecトンネル確立に必要な対向側IPアドレス情報を,トンネル確立 時に動的に得るのに利用される。IPsecトンネルの確立は,スポーク拠点問での通信 の発生を契機にして行われる。例えば,名古屋支店内のPCから大阪支店内のサーバ への通信が行われる場合,⑦名古屋支店のFW3はNHRPによって得られた情報を利 用してS-Sトンネルを確立する。このように,自動トンネル機能を利用すれば,フル メッシュ構成のトンネルを手動で設定する必要がない。 Eさんは,それまでの設計方針をまとめ,ネットワーク機器ベンダの技術者に確認 を依頼した。ネットワーク機器ベンダの技術者からは,OSPFと自動トンネル機能を 組み合わせて利用する場合の留意点の指摘があった。その指摘の内容は,“スポーク となる機器がOSPFの代表ルータに選出されてしまうと,スポーク拠点間のIPsecト ンネルが解放されなくなってしまうので,それを防ぐために,スポークとなる機器 のOSPFに追加の設定が必要になる"というものであった。そこで,Eさんは,防止 策として⑧追加すべき設定内容を定めた。 EOE,FEさんが考えたネットワーク構成が情報システム部で承認され,FEさんを =7= 構築プロジェクトリーダとして,WANの再構築が開始された。