ネットワークスペシャリスト 2019年 秋期 午後I 問題

共通の文章

ネットワークの増強に関する次の記述を読んで,設問1,2に答えよ。 Z社は,小規模なデータセンタ事業者である。Z社は,データセンタビル内で複数 フロアにネットワーク設備を所有している。このたびぴび,データセンタのネットワー クの増強を行うために,実現方式と運用方法の見直しの検討を,ネットワーク技術 者のCさんが担当することになった。 [Z社の現行ネットワーク構成と増強案] Z社の現行ネットワーク構成と増強案を,図1に示す。 7[oe !オA| ERR ER EAS Senet ae ーーae 3 1 =Iス~>NN asm}fs || CMB TAY RL…・Clie 7%Y bom?て顧客セグメントn〉…|CBee 7A bx) ビル3階ビル4階i新規顧客 ! CR:顧客ルータL2SW:レイヤ2スイッチL3SW:レイヤ3スイッチM:監視装置ONU:光回線終端装置 注記1 mmm(4 10GBASE-SR,AAAは1000BASE-LX,一一は1000BASE-Tを示す。 注記2ビル3階とビル4階の間のAAに接続している較は,。メディアコンバータを示す。 注記3一一は,増強によって追加される回線を示す。 注記4!!は,新規顧客を追加したときの構成を示す。 注記5アースは,装置間の回線を示す。 注記6監視装置と監視対象装置との間をつなぐ管理ネットワークの構成は省略している。 図1 Z社の現行ネットワーク構成と増強案(抜粋) 1)現行ネットワーク構成 Z社データセンタは,冗長性確保のためISPとマルチホーム接続をしており,接続 a 2,で 先ISPとデータセンタは異なるAS番号で接続している。コアルータとISPとの間の 冗長経路接続のためのルーティングプロトコルは,パスベクトル型ルーティングプ ロトコルである| 』|が用いられている。コアルータとコアルータとの間,コ アルータとL3SWとの間,L3SWとL3SWとの間のルーティングプロトコルは,リン クステート型ルーティングプロトコルであるOSPFが用いられている。OSPFエリア は一つであり,|bp|]エリアだけで構成されている。L3SW同士を接続してい る回線は,独立したIPセグメントになっている。 L2SWは顧客セグメントを収容するためのスイッチであり,各顧客セグメントへの 接続のために,顧客ごとに一つのVLANを割り当て,2 ABO L2SWのそれぞれから CRに接続し,冗長性を確保している。 L3SWのL2SWへの接続ポートにはタグVLANを設定し,CR経由で顧客セグメン トを接続している。L3SWはVRRPによってL3SW1とL3SW2,L3SW3とL3SW4が aそれぞれ対になるように冗長化しており,マスタルータはL3SW1,L3SW3である。 CRは顧客が設置し,CR及び顧客セグメント内は顧客が構築,運用及び管理を行 う。顧客は,2台のCRのZ社側のインタフェース(以下,インタフェースをIFと いう)にVRRPを設定する。 CRに顧客が設定したデフォルトルートのネクストホップは,L3SWで構成される VRRPの仮想ルータのIPアドレス(以下,仮想ルータのIPアドレスを仮想TPアド レスという)になる。マスタルータが故障した際には,新しくマスタになったルー タが||パケテットをブロードキャストすることによってL2SWのMACアド レステーブルを更新する。 ビル3階とビル4階には,ビル管理会社によってシングルモード光ファイバとそ の両端にメディアコンバータ(以下,MICという)が提供されている。MCは光- 電気変換を行う装置で,1000BASE-Tの制限距離を延伸するために用いている。ビル 管理会社が提供するM/Cには,1000BASE-LX fl IFがリンクダウンしたときに 1000BASE-T側IFを自動でリンクダウンさせる機能はない。 (2)増強案 Cさんに与えられた,ネットワーク増強に伴う設計方針は次のとおりであった。 ・新規顧客は,ビル3階が満床であるので,ビル4階の既設L2SW配下に収容する。 ・ビル4階の顧客について,ISPを経由する合計トラフィック量は,新規の顧客セグ メントを含めて最大2Gビットノ秒とする。 ・ビル3階のL3SW1,L3SW2,L2SW1,L2SW2間の回線の追加,及び顧客セグメン トの変更は行わない。 ・Z社データセンタ内の回線が1が所切れた場合でも,。トラフィックを幅寺させない。 Cさんは,コアルータからビル4階のL2SWまでの回線帯域の増強を検討する必要 があると考え,回線を追加し,リンクアグリゲーション(以下,LAGという)CH つの回線を束ねる方式に関して,次のように検討した。 ©Link Aggregation Control Protocol(以下,LACPという)を設定する。LAGを構 成する回線のうち1本が切れた場合には,②切れた回線を含む同一LAGを構成する IF全てを自動的に閉塞するように設定する。 LAGを構成する回線の負荷分散は,ハッシュ関数によって決定される。Z HOR 置では,ハッシュ関数は[送信元MACアドレス,宛先MACアドレス]の組から計 算する方法と,[送信元TPアドレス,宛先IPアドレス,送信元ポート番号,宛先ボ ート番号]の組から計算する方法の2通りが選択できる。③前者の方法では負人荷分 散がうまくいかないり場合があるので,Cさんは後者の方法を選択した。 [自社サービス提供状況の把握) Z社は,自社の通信装置の稼働状況を把握するために,顧客かのデータが流れるネッ トワークとは独立した管理ネットワークを用い,監視装置から図2中に示した L2SWz1を経由して各監視対象装置の管理TFに対して監視を行っている。監視対象 装置では管理Fと他のIFとの間でルーティングすることはできない。 現行の監視方法は,次のとおりである。 ()[』]プロトュルを利用したpingによって,各監視対象装置の管理TFの IPアドレスに対して死活監視を行う。 Gi)SNMPによって,各監視対象装置からの状態変更通知である|e|を受信 する。 (Gi)SNMPによって,各監視対象装置から5分ごとに管理情報ベースである を取得する。 ー4ォー Cさんは,現行の監視方法では自社の通信装置の故障は把握できるが,顧客へのサ ービスの提供状況そリアルタイムに把握することが難しいと考えた。 そこでCさんは,顧客へのサービスの提供状況を把握するために,④現行の監視 方法に,次の監視方法を追加すれば良いと考えた。 ・監視装置を,新規に設置するL2SWz2経由で各コアルータに接続し,監視装置か ら顧客のデータが流れるネットワークへのパケットの疎通を確保する。 ・L3SWに,VRRPの仮想IPアドレスへのpingに応答する設定を行う。 ・監視装置を送信元,L3SWのVRRPの仮想IP TF KV ALMEL TS pingによって 監視を行う。 監視方法を追加した後の管理ネットワークの構成案を,図2に示す。 TOL swale ビル3階 |L2SW1|ms|L2SW2| 注記1@lt,監視対象装置の管理IFを示す。 注記2一一は,顧客のデータが流れるネットワークを示す。 注記3………は,監視を行うために必要なネットワークを示す。 注記4 ISPとビル4階の構成は省略している。 図2監視方法を追加した後の管理ネットワークの構成案(抜粋) Z社は,Cさんの検討結果を基にネットワークの増強プロジェクトを立ち上げた。

共通の文章

Webシステムの構成変更に関する次の記述を読んで,設問1こ3に答えよ。 A社は,中堅の菓子メーカであり,自社で製造する商品を,店舗とオンラインショ ップで販売している。オンラインショップの利用者は,Webブラウザを使ってWeb システムにアクセスする。A社のオンラインショップを構成する,現行のWebシス テムを図1に示す。 「。Webシステム! 利用者|199.e.のpnsサーバ| Ai|199.09 2Wepサーバ| L2SW:レイヤ2スイッチFW:ファイアウォール 注記1 199.a.8 1及び199.g..2は,グローバルIPアドレスを示す。 注記2インターネットからWebシステムへの通信について,DNSとHTTPSだけを許可するアクセス制 御を,FWに設定している。 図1現行のWebシステム(抜粋) A社では,Webシステムのアクセス数の増加に対応するために,Webサーバの増 設と負荷分散装置(以下,LBという)の導入を決めた。また,昨今,Webアプリケ ーションプログラム(以下,WebAPという)の脆弱性を悪用したサイバー攻撃が幸 告されていることから,WAF(Web Application Firewall)サービスの導入を検討する ことになった。そのための事前調査から設計までを情報システム部のUさんが担当 することになった。 [WAFサービス導入の検討] Uさんは,SaaS事業者のT社が提供するWAFサービスを調査した。T社による WAFサービスの説明は,次のとおりである。 ・WAFサービスは,利用者のWebブラウザとWebシステム間のHTTPS通信を中継 する。利用者のWebブラウザは,WAFサービスにアクセスするためのIPアドレ A(以下,IPewlという)宛てにHTTPリクエストを送信する。 ・WAFサービスは,HTTPS fee SULT HTTPリクエストを検査する。そのた cs fl a めに,A社は,現行と同じコモンネームのサーババ証明書と秘密鍵を,WAFサービ スに提供する必要がある。 ・WAFサービスは,WebAPへのサイバー攻撃が疑われる通信を検知し,Webシステ ムへのアクセスを制御する。 ・WAFサービスは,アクセスを許可したHTTPリクエストの送信元IPアドレスを, HTTPヘッダのX-Forwarded-ForヘッダフィールドGAR,XFFヘッダという)に 追加する。XFFヘッダへの追加後に,HTTPリクエストの送信元Pアドレスを, HTTP VARY AMS WAFサービスに送られるようにするためのIPアドレス(以 下,IP-w2という)に変更する。 ・WAFサービスは,HTTPリクエストを再度HTTPSで暗号化して,Webシステム にアクセスするためのIPアドレスである199.0.8.2宛てに転送する。 ・WAFサービスは,HTTPレスポンスを検査する。HTTPレスポンスに対する処理 の説明は省略する。 Uさんは,Webブラウザから送信されるHTTPリクエストを,WAF Y-EART に変える方法について,T社に確認した。T社からの回答は,次のとおりである。 ・A社DNSサーバに,RDATAにIP-wlを設定したAレコードを登録する方式と, RDATAにT社WAFサービスのFQDNを設定したCNAMEレコードを登録する方 式がある。 -T社は,IP-w1を変更する場合があるので,①CNAMEレコードを登録する方式を 推奨している。 T社からの説明を踏まをえて,Uさんが検討したA社DNSサーバのゾーンファイル を,図2に示す。 eo Em $ORIGIN asha.com. $TTL 3600 (省略) IN NS ns] nS IN A 199.0.B.1 shop IN CNAME waf-asha.tsha.net. (省略) 注記“wafLasha.tshanet.′は,A社WebシステムでWAFサービス を利用するために,T社から割り当てられたFQDN CHS, 図2 A社DNSサーバのゾーンファイル(抜粋) 現行のWebAPでは,Webシステムへのアクセス時の送信元IPアドレスをアクセ スログに記録している。Uさんは,送信元IPアドレスの代わりにXFFヘッダの情報 を記録するように,WebAPの設定を変更することにした。 Uさんは,FWに設定しているWebシステムへのアクセス制御について,IP-w2を 送信元とする通信だけを許可するように,設定を変更することにした。 (LBに関する検討] A社が導入するLBは,HTTPリクエストの振分け機能,死活監視機能,セッショ ン維持機能,TLSアクセラレーション機能,HTTPヘッダの編集(追加,変更,削 除)機能をもっている。 HTTPリクエストの振分け機能について,Uさんは,HTTPリクエストをWebサ ーバに|ア ]に振り分けるラウンドロビピン方式を採用することにした。 死活監視機能について,Uさんは,WebAPの稼働状況を監視するために,レイヤ 7方式を利用することにした。死活監視に用いるメッセージの設定を表1に示す。 表1メッセージの設定(抜粋) HTTPリクエストas d ims 9_— セッション維持機能には,HTTPリクエストの送信元IPアドレスに基づいて行う BRL,LBによって生成されるセッションIDに基づいて行う方式がある。セッシ ョンIDに基づいて行う方式では,WebサーバとWebブラウザ間で状態を管理するた めに用いられるCookieを利用する。LBは,HTTPレスポンスの|エ|ヘッタ フィールドにセッションIDを追加する。HTTPレスポンスを受け取った利用者の Webプラウザは,|エ|]ヘッダフィールドにあるセッションIDを,次に送信す るHTTPリクエストの|オ|ヘッダフィールドに追加する。HTTPリクエスト を受け取ったLBは,|オ|ヘッダフィールドのセッションIDに基づいて,セ ッション維持を行う。Uさんは,②WAFサービスの利用を考慮し.セッションD に基づいて行う方式を採用した。 TLSアクセラレーション機能は,TLSの暗号化・復号処理を専用ハードウェエアで 高速に処理する機能である。Uさんは,TLSの暗号化・復号処理の性能向上の目的 と,⑨③LBが行うある処理のために,TLEアクセラレーション機能を利用することに した。Uさんは,LBとWebサーバ間の通信にHTTPを用い,ポート番号にHTTP のウェルノウンポート番号を用いることにした。 構成変更後のWebシステムを図3に示す。 ae wf ashatshanet|199.4,8.psy|Wehジステム: こインターネットつSW ns.asha.com 192.1681.)e495—83]| |ALAN 199.0.8.2)LB| ne REM op 0818 NOIR 図3構成変更後のWebシステム(抜粋) (WAFサービス停止時の対応検討] Uさんは,障害などでWAFサービスを1日以上利用できなくなった場合に備え, 対応を検討した。WAFサービス停止期間中も,オンラインショップでの商品販売を 継続させたい。Uさんは,WAFサービスを経由せずに,利用者のWebブラウザと Webシステム間で直接通信させるために,WAFサービス導入時に設定変更を予定し ている|カ|]の@設定を変更することと,図2中の⑤資源レコードの1行を書 _ー10一 き換えることで対応できると考えた。 Uさんは,WebAPのアクセスログについて,WAFサービスの有無にかかわらず, XFFヘッダの情報からWebシステムへのアクセス時の送信元TPアドレスを記録する こととし,⑥LBに設定を追加した。 その後,Webシステムの構成変更に関するUさんの報告書は経営会議で承認され, 導入の準備を開始した。

共通の文章

LANのセキュリティ対策に関する次の記述を読んで,設問14に答えよ。 E社は,小売業を営む中堅企業である。E社のネットワーク構成を,図1に示す。 サーバ室 See| !|サーバ||サーバ1 Mrzswalに1:LANセグメント eo caeromsee,|LASS be vere ee Nrzowel|カチシ|L3SW:レイヤ3スイッチ IIZSW02|サーバ|注記)インターネット利用に関す ーる構成は省略している。 ia|注記2 L2SWとPC間の接続は省 もにニーニーニコニーューコーニニニューーー|略している。 フロア1 iam(Lass)lpswal fas Le TLETLe] Se a|Se ca RSE ea フロア2 ose)pywag|(Lesa)Las |pe ml#Lee}-Lee J} ミコーーここコこきたのここここなこもここここでこらこここここら 図1 E社のネットワーク構成(抜粋) 図1の概要,及びPCのセキュリティ対策について,次に示す。 ・PCを接続するLANは,各フロアニニつ,計四つのセグメントに分かれている。 ・ルーティング情報は,全てスタティックに定義してある。 ・L3SW1,L3SW2で設定されているVLANは,全てポートVLANである。 ・①PCのIPアドレスは,DHCPサーバによって割り当てられる。 ・PCはメンテナンスサーバを利用して,OSやアプリケーションプログラムのアッ プデート,ウイルス定義ファイルのアップデートなどを行う。 ・PCには,E社のセキュリティルールに従っているかどうかを検査するソフト(以 下,Sエージェントという)がインストールされている。 ・Sエージェントは,検査結果をPC管理サーバに登録する。 E社では,情報システム部(以下,情シス部という)が,定期的にPC管理サーバ を参照して,検査結果が不合格であるPCの利用者に,対処を指示している。しかし, 対処をしないままPCを使用し続ける利用者が,少なからず存在する。また,無断で 個人所有のPCをLANに接続することが,度々起きていた。そこでE社は,セキュ リティルールに反したPCに対し,LANの利用を制限することにした。 (LAN通信制限方法の検討] 情シス部は,LAN通信制限の要件を次のとおり整理した。 ・通信を許可するかしないかは,PC管理サーバ上の情報によって決定する。 ・PC管理サーバ上の情報に応じて,PCを次の三つに区分する。 正常PC:Sエージェントの検査結果が合格のPC 不正PC:Sエージェントの検査結果が不合格のPC 未登録PC:PC管理サーバに登録がないPC(無断持込みのPCは,これに該当) ・正常PCは,通信を許可し,不正PCと未登録PC(以下,排除対象PCという)は, 通信を許可しない。 情シス部は,LAN通信制限の実現策として,次の2案を検討した。 案1:DHCPサーバとLaswによる通信制限 ・正常PCだけにIPアドレスを付与するよう,DHCPサーバに機能追加する。 ・⑫DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように, 各フロアのL2SWでDHCPスヌメービングを有効にする。 案2:専用機器による通信制限 ・ARPスプーフィングの手法を使って,LAN上の通信を制限する機能をもつ機 ae(以下,通信制限装置という)を新たに導入し,排除対象PCによる通信を 禁止する。 ー13一 案2の通信制限装置は。セグメント内のARPパケットを監視し,排除対象PCが 送信したARP要求を検出すると,排除対象PCのパケット送信先が通信制限装置と なるように偽装したARP応答を送信する。同時に,排除対象PC宛てパケットの送 信先が通信制限装置となるように偽装したARP要求を送信する。これら各ARPパケ ットのデータ部を,表1に示す。 表1各ARPパケットのデータ部 フィールドド名排除対象PCが通信制限装置が通信制限装置が 送信したARP要求|送信するARP応答|送信するARP要求 ここニー、排除対象PCのIPア =‘アドレス解決対象の|排除対象PCのIPア|アドレス解決対象の なお,通信制限装置が送信するARP応答は10秒間隔で繰り返し送信され,あらか じめ設定された時間,又はオペレータによる所定の操作があるまで,継続する。 #1,案2ともに,同等のLAN通信制限ができるが,案2の通信制限装置には, PC管理サーバとの連携を容易にする機能が存在する。そこで,情シス部は案2を採 用することにした。 [通信制限装置の導入] 通信制限装置のLANポート数は4 CHV,各LANポートの接続先は,全て異な るセグメントでなければならない。また,タグVLANに対応可能である。 通信制限装置の価格,セグメント数やタグVLAN対応に応じたライセンス料,フ ロア間配線の工事費用,既存機器の設定変更の工数などを勘案し,情シス部は,© タグVLANを使用せず,フロア間の配線も追加しない構成を選択した。また,④通 信制限装置を接続するスイッチは,既設のL3SWとした。 [運用の整備] 新規に調達されたPCは,PC管理サーバに検査結果が登録されていないので,通 信制限装置の排除対象になってしまう。そこで,新規のPCは,情シス部がPC管理 サーバに正常PCとして登録した後に,利用者に配布する運用にした。 また,不正PCを正常PCに復帰させる対処を行うために,不正PCを接続するセ グメント(以下,対処用セグメントという)を,フロア1とフロア2に追加するこ とにした。⑥⑤対処用セグメントから他セグメントの機器への通信は,L3SW1及び L3SW2のパケットフィルタリングによって必要最小限に制限する。 情シス部が作成した計画に基づいて,E社はLANのセキュリティ対策を導入し, 運用を開始した。