ネットワークスペシャリスト 2025年 春期 午後Iの問題文6問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
ルータの更改に関する次の記述を読んで,設問に答えよ。 A社は,従業員800人の建設機械販売会社である。大阪本社のほか,東京に支社を 構えている。大阪本社と東京支社間は,広域イーサネットサービス網とIPsec VPNの 冗長構成(DLE,WANという)で接続されている。A社のネットワーク(以下,AK WELD)はインターネットと接続している。また,WANを経由してプライベートク ラウドである(社のSaaS(以下,CH SaaSという)と接続している。 Att NWの一部を構成するルータのメーカーサポートが終了するので,A社情報シス テム部はルータの更改プロジェクトを立ち上げ,ネットワーク担当のBさんが担当す のにxo OVE [現在のA社NW) 現在のA社NWを図1に示す。 L3SW10のvlanと収容する機器名 parame||C(mises> TT |lesweel| 7= TATED aa i ee ees RET IT Fe my\f- ee]Ge He Le Hm| 1 ade L3SW10 a ae| !1||! |(イ)サーバセグメント!|1[ec}-[pc]| iLPo|~-[eo][rc]-~Lec]:|内部ネットワーク!東京 大阪本社に_内部ネットワークi LOW:レイヤー2スイッチ L3SW:レイヤー3スイッチ FW:ファイアウォールR:ルータ 広域イーサ網:広域イーサネットサービス網:0SPFのエリアの範囲——):eBGPのピア 注記1 FW10とL3SW10は冗長構成であるが,図では省略している。 注記2 L3SW19のポートは全てアクセスポートである。 図1現在のA社NW(抜粋) 現在のA社NWの概要を次に示す。 ーー3ュー ・A社の従業員は,内部ネットワークのPCを利用して,インターネットやサーバセ グメント内のサーバ群及び(社SaaSと通信し,業務を行っている。 ・A社NMでは,動的経路制御の一つであるOSPFを利用している。 -IPsec VPNはDMVPN(Dynamic Multipoint VPN)を用いて広域イーサ網と同様のフ ルメッシュトポロジを実現している。また,IPsec VPNは,次に示すように広域イ ーサ網と同様の経路制御を行っている。 ・A社NWの0SPFのエリアは,エリアIDが0.0.0.0と表記される,|sa|ェリ アだけで構成されている。 ・FW19,R10,R11,L3SW10,R20,R21,R30,R31の各機器が0SPFルータとして動作 している。 ・0SPFルータにはループバックインタフェースが作成され,ループバックIPアドレ スが設定されている。ループバックIPアドレスは,OSPFルータを識別する Lb|TDとして利用されている。 ・OSPFの経路交換をしないインタフェースは,パッシブインタフェースとして設定 されている。 ・OSPFの経路交換をするインタフェースでは,①0SPFのネイバー認証を行うことで, 安全に経路交換をするようにしている。 ・0SPFのコスト設定によって,通常は広域イーサ網を利用して通信し,広域イーサ 網で通信できない場合はIPsec VPNを利用して通信する設計にしている。0SPFルー タの各インタフェースにおけるOSPFのコスト設定を表1に示す。 表1 0SPFルータの各インタフェースにおけるOSPFコスト設定 ||Se ee|(0 [+|そoeo7シタラェース。|sm ・FW19は,.インターネットに向けたデフォルトルートを設定しており,OSPFにイン ターネット向けのデフォルトルートの配布を行っている。 ・FW19はインターネットと接続し,NAPTによってIPアドレスとポート番号の変換を af= 行っている。 ・R39,R31とC#SaaSはeBGPで接続し,経路交換を行っている。eBGP接続は認証 を行うことで,安全に経路交換をするようにしている。 ・②R30,R31は,eBGPで経路広告する際にAS PATHプリペンド設定をしている。通 常はR30を利用して通信し,R30を利用して通信できない場合はR31を利用して通 信する設計にしている。 ・R39,R31は,eBGPの経路を0SPFに再配布を行っている。 ・R39,R31は,OSPFの経路をeBGPに再配布し,経路広告している。 -R30,R31 lk,eBGPの経路を0SPFに,OSPFの経路をeBGPにそれぞれ再配布を行っ ていることから,経路情報のループを防止するために,eBGP接続でプレフィック スリストによる経路フィルタリングを行っている。 ・R20,R21の内部ネットワークと接続するインタフェースでは,PCに設定するデフ ォルトルートのネクストホップに相当する,|c|の可用性を向上するため に,VRRPが動作している。 ・VRRPのプライオリティの値はR20を105に,R21&100に設定している。 ・VRRPはプリエンプトを設定し,プライオリティの値が大きいルータが常にマスタ ーになるように制御している。また,③プリエンプトディレイを設定し,プライ オリティの値が高いルータの電源をオンにした際や再起動した際などは,一定時 間が経過した後にマスターに状態乱移するように制御している。 [ルータ更改手順の作成 更改対象のルータは,図1中のR10,R11,R20,R21,R30,R31である。A社情報シ ステム部のD課長は,次の方針に従ってルータ更改手順を作成するようにBさんに指 示した。 ・更改対象のルータは,同じルータメーカーの後継機種と交換を行う。後継機種は, 更改対象のルータから取得した設定内容で動作することが保証されている。 ・更改対象のルータを停止しても業務影響がないよう,あらかじめ設定変更によっ て通信が更改対象のルータを潤回するようにしてからルータを停止し,交換作業 を行う。 ・交換作業後は,必要な確認を行った後に,設定変更によって通信の赴回を解除す ー5一 る。 Bさんは方針に従って,ネットワークシミュレーターを使って動作確認をしながら, ルータ更改手順を作成した。ネットワークシミュレーターはメーカーから提供され ているソフトウェア製品であり,A社NWと同等の環境をPCで仮想的に再現できる。 Bさんは,R10を後継機種の新しいR19(LAR,新R19という)に更改する手順を作 成した。Bさんは,④更改手順実施中に業務影響びがないことを確認する方法として, 内部ネットワークのPCから継続してpingコマンドを実行することにした。また,継 LT pingコマンドの結果が正常でパケットロスが確認されなければ業務影響が ないと判断することにした。Bさんが作成したR10の更改手順を表2に示す。 表2 Bさんが作成したR10の更改手順 作業内容 R10の⑤0SPFのコストを変更することで,通信がR19を注回するようにする。 通信がR10を注回して正常に行えることを確認する。 R10の⑥全ての物理インタフェースを閉塞することで,R19をA社NWから切り離す。 RIOの設定内容を保存し,手元にコピーを取得してR10の電源をオフにする。 R10の全てのイーサネットケーブルを抜去する。 R10の電源ケーブルを抜去し,RIOを事前に設定内容が保存されている新RIOと交換す る。 新R10の電源ケーブルを接続し,新R10の電源をオンにする。 新R10の起動後,項番2-1で取得した設定内容と比較し,想定外の差分がないことを確認 する。 新R19に全てのイーサネットケーブルを接続する。 新R10の全ての物理インタフェースの閉塞を解除する。 |ss[Ot R10 DS pingコマンドを実行し,結果が正常でパケットロスがないことを確認す る。 新R10のOSPFのコストを変更することで,通信の注回を解除する。 通信が新R10を経由して正常に行えることを確認する。 注記各項番の作業内容を実施するたびに,継続して実行しているpingコマンドの状況を確認す る。 BさんはR11,R20,R21,R30,R31についてもそれぞれの更改手順を作成した。ネ ットワークシミュレーターを使って,継続してpingコマンドを実行しながらそれぞ れの更改手順を実施し,pingコマンドの結果が正常でパケットロスがないことを確 認した。更改手順に問題がないことを確認できたので,Bさんは更改手順書としてま —6— とめた。Bさんは作成した更改手順書をD課長に提出し,承認された。
設問1[現在のA社NW]について答えよ。 (1)本文中の|a||c|に入れる適切な字句を答えよ。 (2)本文中の下線について,OSPFのネイバー認証によって,どのような問題 を防止することができるか。経路交換の安全性の観点から35字以内で答えよ。 (3)本文中の下線の@について,R31が経路広告するAS_PATH長はR30と比較して どうする必要があるか,答えよ。 (4)本文中の下線について,ルータの電源をオンにした際や再起動した際に ー定時間待つのは,ルータがどのような状態になることを待つためか。0SPF を利用していることに着目して25字以内で答えよ。
設問2〔ルータ更改手順の作成】について答えよ。 (1)本文中の下線について,R10の更改手順実施中に,大阪本社の内部ネッ トワークからpingコマンドを実行する際の宛先にすべき対象と,東京支社の 内部ネットワークからpingコマンドを実行する際の宛先にすべき対象を, R10を経由する通信に着目して,図1中の(ア)~ー(ウ)の記号で全て答えよ。 (2)表2中の下線@について,R19のインタフェースに設定するOSPF DIAL をどのような値に変更すべきか。39字以内で答えよ。 (3)表2中の下線⑥について,項番2-1の電源をオフする前に全ての物理イン タフェースを閉塞する理由を30 FUNCHAL. (4)表2について,項番2-6のイーサネットケーブルを接続する際に,誤った インタフェースに接続しないようにするために,WR 2-2の前にどのような 手順を追加するべきか。25字以内で答えよ。 (5)表2中の下線のについて,新R19からpingコマンドを実行する際の宛先に すべき対象を,図1中の機器名を用いて四つ答えよ。 ie he 問2ネットワークの改善に関する次の記述を読んで,設問に答えよ。 私立U中学校(以下,U校という)では,699台のPCをU校のネットワークに接続 してS社の教育支援サービス(以下,Eサービスという)を利用している。U校では最 近校内サービスの不具合に関する申告が多くの生徒から挙がってきたので,U校は本 ネットワークを設計,構築したT社に調査を依頼し,T社のVさんが担当になった。 [U校ネットワークの概要]〕 VさんはU校ネットワーク構成を確認した。U校ネットワーク構成を図1に示す。 C_srつISP:インターネットサービスプロバイダ =LOW:レイヤー2スイッチ tS L3SW:レイヤー3スイッチ i=='AP:無線LANアクセスポイント 1 1 mums・10GBASE-T ョーー:2,5GBASE-T ||ーー08eET i|syslogサーバ||9 fale Last|ーー:無線LAN ———NNーーセグメント smsイア 192.168.1.0/24 lr=|tr”>SE|Pr Sr| !||ia| 1 1 1 1 1' 1!1 1 1 1 ||1 WE! |[ap][AP|etwl|回回回: |「7き中17きせ由17きせ |1 1 1 |gg Pt Le)-Lee]Pt Lee]| '1! 192.168.10,0/24!192.168.20,0/24!192,168.30.0/24! 教室棟1階教室棟2階教室棟3階 図1 U校ネットワーク構成 -ISPとの接続は,最大1Gビットノ秒のベストエフォート型インターネット接続サ ービスを契約して利用している。 —8ーー ・ルータはISPと接続しており,校内からインターネットへのアクセスに対し,NAPT を使って内者の|a|iPアドレスをTSPから割り当てられた|b lr アドレスに変換している。この変換情報はルータのNAT変換テーブルにNAPT変換 エントリーとして格納されている。 ・U校内及びISP接続のルーティングは全てスタティックルーティングである。 ・APはWi-Fi 6に対応しており,各教室に1台ずつ設置されている。L2SWは,最大 30を給電する| c機能をもち,イーサネットケーブル経由でAPに電力を 供給している。 ・PCは,認証サーバによってIEEE802.1X認証を行った上で,APを介してU校ネット ワークに接続している。 ・DHCPサーバは,U校ネットワークに接続したPCにIPアドレスやサブネットマスク などを配布している。L3SWにはDHCPリレーエージェントが設定されており,PCか ら送信されたDHCPDISCOVERメッセージをDHCPサーバに中継している。①そのとき にDHCPリレーエージェントは,giaddrフィールドにDHCPDISCOVERメッセージを受 信したインタフェースのIPアドレスを格納している。 ・全てのネットワーク機器は,syslogサーバにシステムログを送信している。 ・Eサービスは,複数のサーバで構成されるクラウド型サービスである。教員及び生 felt,EサービスにPCのWebブラウザからアクセスしログインして利用している。 ・1か月前から,毎朝始業直後の8:99ー8:15にほサービスの一つである自習ドリルを 用いて全校生徒が一斉に学習している。 ・サーバ室の動画サーバには,教職員が管理している複数の教材動画が格納されて BY,全校生徒が授業や自習のときにPCで視聴している。 〔不具合のヒアリングと調査]〕 Vさんは,校内サービスの不具合に関する申告についてU校の教職員にヒアリング を行い,次のように整理した。 ・Eサービスに対し,毎朝の自習ドリルの時間帯にアクセスすると,タイムアウト画 面が出てログイン画面が表示されないと,一部かつ不特定の生徒からの申告があ fa ・Eサービスに対し,毎朝の自習ドリルの時間帯にログインできたが,操作後の応答 ー9一 が遅いと,複数の生徒からの申告がある。それ以外の時間帯では申告はない。 ・校内の動画サーバの教材動画視聴は,時間帯や教室を問わず不具合申告はない。 ②これらの結果から,VさんはPCからEサービスにアクセスしたときの,(1)イン ターネット接続帯域の不足,及び(2)NAPT処理能力の不足,の二つの仮説を立てた。 (1)インターネット接続帯域の調査 Vさんは,U校の許可を得てルータのインターネット側ポートの通信量データを 収集した。インターネット通信量(ダウンロード)を図2に示す。 (Mビットノ秒) 200 100 NAT 0 7:00 8:00 9:00 10:00 11:00 12:00 13:00 14:00 15:00(時刻) 図2インターネット通信量(ダウンロード) |図2から,実効速度が約209 Mビットン秒で頭打ちになっていることが判明した。 また,この時ルータのCPU負荷にはまだ余裕があることも確認した。頭打ちの原因 をISPに問い合わせて調査したところ,現在の契約では構成や時間帯によって実効 速度はその程度になるとのことだった。Vさんは実効速度を改善するために,イン ターネット接続サービスのベストエフォート型から| d|型への契約変更を U校に紹介することにし,ほかの原因の調査を継続した。 (2)NAPT処理能力の調査 Vさんは,U校の許可を得て各ネットワーク機器の状態ログ,及びsyslogサーバ のログを収集し,内容を確認した。ルータのNAT変換テーブルの状態を表1に,ル =10= ータのシステムログを図3に示す。 表1ルータのNAT変換テーブルの状態(抜粋) (i)local IP(ii)local port(iii)registered(iv assigned er WOGG1 address number IP address port number e ie2168.16.13|5604|abedl 590|eml 162,168,10.22 5002 182,168,20.28 58320 5963|mwl 182,168,30.18 50073 a.b.c.d,a.b.c.e:ISPから割り当てられたIPアドレス 2025-04-26108:00:56.52+09:00 IP NAT translation table full(max entries),dropping packet from 192.168.10.102 to f.g.h.i 2025-04-26T08:01:00.66+09:00 IP NAT translation table full(max entries),dropping packet from 192.168.30.29 to f.g.h.i 2025-04-26T08:01:05.23+09:00 IP NAT translation table full(max entries),dropping packet from 192.1168.20.19 to f.g.h.i f.g.h.i:EサービスのIPアドレス 図3ルータのシステムログ(抜粋) 表1から,ルータのNAPT変換エントリーの内容には異常は見当たらなかった。ま た,図3から,始業直後にルータのNAT変換テーブルが枯潟していることが判明した。 また,ルータのNAT変換テーブルのエントリー数の上限は65,536であり,設定によ って変更することが可能であった。Vさんは,③PC1台当たりのセッション数を最大 209と見積もり,全てのPCが問題なく利用できるように,NAT変換テーブルのエント リー数を計算してルータに設定することにした。 (HTTPバージョンとNAPTとの関係〕 Vさんは,二つの仮説の調査結果をまとめて上司のW課長へ報告した。W課長は, その報告のNAPT処理能力に関しては更なる注意が必要と考え,資料を提示してVさ んに説明した。HTTPバージョンとNAPTとの関係を図4に示す。 PC(Webブラウザ)ルータ |mm a APT変換エントリー| HTTP/2し=|TCPコネクション|NAPT変換エントリーa: ——(aed eee 昌和 /1 ソイ HTTP/3—NAPT変換エントリー[= (ee 5 /( 図4 HTTPバージョンとNAPTとの関係 次はW課長とVさんとの会話である。 W課長:NAPT処理能力に着目したようですが,処理能力のほかにHTTPバージョンと NAPT変換エントリー数との関係も意識しておく必要があると思います。 Vさん:HTTPのバージョンが,NAPT変換エントリー数と何か関係があるのですか。 W課長:図4で説明しましょう。HTTPは長らくHTTP/1.1が主流でしたが,Webサイト が地図などの詳細画像,動画.アニメーションなどのコンテンツから構成 されるようになるにつれて,④HoL(Head of Line)ブロッキングの問題が 表面化してきました。これは一般的に,直列処理の場合,全ての処理が完 了するまでに時間が掛かるという問題です。 Vさん:HTTP/1.1では,HoLブロッキングはどのレイヤーで発生するのですか。 W課長:HTTPレイヤーとTCPレイヤーの両方で発生します。HTTPレイヤーでは,例え ばWebページの表示のために10枚の画像データをダウンロードする場合, PCからのHTTP| e|e,それに対するサーバからのHTTP|Ff|] を一つずつ10回実行することになり時間が掛かるので,一般的には複数の TCPコネクションで同時にダウンロードするように実装して対処します。 Vさん:HTTP/1.1では,TCPコネクションの数が増えそうですね。 W課長:それを抑えるために,HTTP/2では仮想的な通信単位であるストリームの概念 が導入されました。ストリームにはそれぞれ|9|が付与され,一っ ー12一 のTCPコネクションの中で複数のストリームを利用できるようになり,HTTP セッションの多重化と|h|処理ができるようになっています。 Vさん:HTTP/2によってTCPコネクションの数も少なくて済むようですね。 W課長:さらにHTTP/3では,TCPの代わりにUPを利用し,ストリームはQUIC CR 現することで,TCPレイヤーのHoLブロッキングの問題を回避しています。 最近のWebブラウザの多くはHTTP/3を実装しているので,どのHTTPバージ ョンが使われるかは主にHTTPサーバ側の実装に依存すると考えられます。 Vさん:つまり,TCPとUDPそれぞれに対するルータのNAT変換テーブルの管理方法 の違いと,Eサービスで利用可能なHTTPバージョンが分かれば,もっと改 善できるということですね。 W課長:そうです。今回のケースでは,⑤EサービスのサーバがもしHTTP/3に対応 していれば,表2の保持時間を調整することで,もっとNAT変換テーブルを 有効活用できると思います。ただし,極端な値にすると別の問題が発生す るので,気を付けてください。 Vさん:分かりました。検討してみます。 表2現在のルータのNAPT変換エントリー保持時間 mI 保持時間:無通信状態のNAPT変換エントリーを保持する時間 Vさんは,調査結果をU校に報告した。その後U校で対策を行い,不具合は解決し だ。 設問1【U校ネットワークの概要)について答えよ。 (1)本文中の| a|~|<|に入れる適切な字句を答えよ。 (2)本文中の下線①について,DHCPサーバは受け取ったgiaddrフィールドの ー13一 情報を使って何を識別するかを,15字以内で答えよ。 設問2【〔不具合のヒアリングと調査]について答えよ。 (1)本文中の下線のについて,Vさんがインターネット接続帯域の不足だけで はなく,NAPT処理能力の不足という仮説を立てた理由を,49字以内で答えよ。 (2)本文中の|d|に入れる適切な字句を答えよ。 (3)表1について,NAPT変換エントリーを作成する際に,ルータ自身が割り当 てている値を,(ji)一(v)の記号で全て答えよ。 (4)本文中の下線について,現状の設定で問題なく同時利用できるPC台数の 上限を,整数で答えよ。また,全てのPCが問題なく同時利用するために,ID ータのNAT変換テーブルのエントリー数を最低幾つ以上に設定すればよいか を,整数で答えよ。ここで,PC以外の通信は考慮しないものとする。
設問3〔HTTPバージョンとNAPTとの関係〕について答えよ。 (1)本文中の下線のについて,全ての処理が完了するまでに時間が掛かる理由 を,39字以内で答えよ。 (2)本文中の|se|-|h|に入れる適切な字句を答えよ。 (3)本文中の下線⑤の保持時間の調整について,どの通信プロトコルをどのよ うに変更するか,25字以内で答えよ。また,それによる効果を45字以内で BAL. =id=
セキュアWebゲートウェイの導入に関する次の記述を読んで,設問に答えよ。 J社は従業員59名の部品メーカーである。J社ではPCのWebブラウザを利用して, 社内の業務用サーバ,K社が提供する電子メール・ストレージサービス(以下,K社 SaaSという)にHTTPSでアクセスして業務を行っている。このたび,テレワーク勤 務の導入,プロキシサーバの運用作業の省力化及びセキュリティ強化のため,L社が 提供するセキュアWebゲートウェイサービス(以下,SWGサービスという)を導入す ることになり,その担当として情報システム部のC主任が任命された。 [J社のネットワーク構成 J社のネットワークは,DMZセグメント(LAB,DMZという),サーバセグメント及 び内部セグメントから構成されている。現状のJ社のネットワーク構成を図1に示 す。 くシターネッ J社 iDM2。! Leh REIT ーバ1ーバy i ![es}!BER| Ey:zal to Tianヒー|2}! 1 |FEal !サーパバ|) 人 1 ts ich ns mt SG aA Dm me i en’es ihe Cm,se 3 Pe|e|Le}-Le}! LAW:レイヤー2スイッチ L3SW:レイヤー3スイッチ FW:ファイアウォール 図1現状のJ社のネットワーク構成 K社SaaSは,電子メールの送受信,ファイルの保存・参照・ダウンロードの機能 を提供している。K社SaaSでは,アクセスを許可する送信元をJ社のグローバルIP アドレスだけに制限し,利用時は利用者認証を行っている。 ー15一 DMZには,NTPサーバ及びプロキシサーバが設置されている。NTPサーバはプロバ イダが提供する公開NTPサーバと時刻同期しており,①社内のネットワーク機器,サ ーバ及びPCの時刻補正に利用されている。プロキシサーバはPCからインターネット へのアクセスに対して,登録したFQDNやIPアドレス宛ての通信をブロックする。PC のプロキシ設定はPACファイルを利用して,インターネット上のWebサイトへはプ ロキシサーバを経由し,業務用サーバやK社SaaSへはプロキシサーバを経由せずに 直接接続する設定としている。プロキシサーバはTCP/10080で接続を待ち受ける設定 にしている。 内部セグメントには,PCが設置されており,L3SWのもつDHCPサーバ機能でIPア ドレスなどが割り当てられている。 サーバセグメントには,業務用サーバ,認証サーバ及びsyslogサーバが設置され ている。認証サーバは,プロキシサーバ及び業務用サーバの接続時にRADIUSプロト コルを用いて利用者認証を行っている。syslogサーバは,③プロキシサーバ及び業 務用サーバのアクセスログ,認証サーバの認証ログ,FWの通信ログ,L3SWのDHCPリ ースログ,J社内のサーバやスイッチのシステムログを保存している。syslogサーバ に保存しているログは,業務用サーバやWebサイトへのアクセス履歴の確認,障害発 生時の原因分析に利用されている。 J社のネットワークからインターネットには,FWがもつキャッシュDNSサーバ及び NAPTの機能を利用してアクセスしている。FWの許可ルールを表1に示す。 表1 FWの許可ルール(抜粋) i Ca|還間間間[ZIT証還還 |*|mwezzt mmz<|mym| Pe awezzzt[ree fre| 注記FWは応答パケットを自動的に通過させるステートフルパケットインスペクション機能をもつ。 ー16一 (SWGサービスの仕様調査 C主任はSHGサービスの仕様を調査した。 SWGサービスは,セキュリティ機能及びプロキシ機能をもつクラウド型のサービス である。PCにエージェントソフト(以下,ソフトEという)を導入し,Wedブラウザ からソフトE及びSWGサービスを経由してWebサイトにアクセスする。④SMGサービ スはHTTPS通信のコンテンツを調査する機能をもつ。SWGサービスを経由してWebサ イトにアクセスするHTTPS通信を信頼させるために,PCに証明書をあらかじめイン ストールする。 SWGサービスは,一部のWebサイトで実施される送信元アドレス制限に対応するた め,契約した企業単位に固定のグローバルIPアドレス(以下,SMG-GIPという)を 割り当てるサービスメニューをもつ。契約した企業の通信をSMGサービスが中継する 際,送信元アドレスをSWG-GIPに変換する。 ソフトEを導入すると,PCのプロキシ設定が変更され,プロキシサーバとしてソ フトEが設定される。ソフトEはPCのローカルプロキシとして動作し,HTTP及び HTTPSの通信をSWGサービスのTCP/443ポート宛てに中継する。ソフトEはSWGサー ビスに登録された直接接続リストをダウンロードして,このリストに登録されたWeb サイトにはSWGサービスを経由させずに,ソフトEから直接接続する。ソフトE ld, SWGサービスにアクセスするときに利用者認証を行い,認証に失敗した場合又は未認 証の場合,ソフトE及びSWGサービスはHTTP及びHTTPSの通信をブロックする。 SMGサービスのセキュリティ機能を表2に示す。 表2 SWGサービスのセキュリティ機能(抜粋) きい値以上の安全性をもつWebサイトだけに接続を許可する機能 [導入検討〕 C主任は,SWGサービスの導入に向けて,F課長と検討を行った。 a=#7中 F課長:まずは,社内ネットワークの変更点を説明してください。 CEE:PC AS SWGサービスを利用するため,全てのPCにソフトEを導入します。 これによって,社内で利用するPC及びテレワーク勤務のために社外に持ち 出したPC(以下,R-PCという)からのアクセスが,SWGサービスを経由す るようになります。SWGサービスのサービスメニューを利用して,SWG-GIP を割り当ててもらいます。また,RPCから業務用サーバに接続できるよう に,現在利用している社内のプロキシサーバは,設定を変更してフォワー ドプロキシサーバからリバースプロキシサーバに利用方法を変更します。 ⑥フォワードプロキシサーバの機能停止に伴ってFWの許可ルールを削除し, リバースプロキシサーバのために許可ルールを追加します。 F課長:SMGサービスを導入した場合,社内のPCからK社SaaSsへのアクセス経路を 教えてください。 C主任:SWGサービス導入時のネットワーク構成を図2に示します。図2の⑦(6), (F),(1),(H),(J)の経路になります。 OZ | CPL (J)K社 J社i} iDMZ。!1 1|] |[esr}セグメント|ORR): 1 yD !|(リバース!!ee |eae!Len{Yee|} EEプーーーーーーーーーーーーーoe| as| ン[NS IE OOo N Noe !内部セグメントーーぞ! Ieee Lest! i}aot 1 1の1 iCey>トのツテののテテのC78} 1 1 || ーー ——>:社内のPCからK社SaaSへのアクセス経路 図2 SWGサービス導入時のネットワーク構成 F課長:FWに,⑧PCがSWGサービスへ接続するための許可ルールが必要ですね。次 にSWGサービスのセキュリティ機能の利用方針を説明してください。 C主任:サイトブロック機能には,フォワードプロキシサーバでブロック先として登 録していたFQDNやIPアドレスを設定します。レビュテーション機能では, 安全性が高いWebサイトだけに接続させるため,導入時はできるだけしきい 値を高く設定しておき,業務影響を確認しながら調整していきます。 F課長:現在は,PCから業務用サーバ及びK社SaaSには直接接続していますが,SWG サービスを導入した場合にダイレクト通信機能は利用しないのですか。 (主任:業務用サーバ及びK社SaaSには,SWGサービスを経由して通信させるため, ダイレクト通信機能は利用しない予定です。併せて,OK社SaaSの設定を BALES.Kk,業務用サーバへSWGサービスからの通信を「FWで許可し ます。 F課長:なるほど。PC,R-PCどちらもSWGサービスを経由させてセキュリティポリシ ーを合わせていますが,⑩通信の経路を考慮すると業務用サーバのプライ ベートIPアドレスは直接接続リストに登録した方が良いですね。 C主任:分かりました。業務用サーバのプライベートIPアドレスを直接接続リスト に登録します。 F課長:SMGサービスは9日間のトライアル利用ができるので,機能確認や移行方法 を検討してください。 C主任はトライアルの結果を基に,SMGサービスの導入計画を立案し,承認された。
設問1(J社のネットワーク構成】について答えよ。 (1)本文中の下線について,複数機器の時刻を補正する目的を,ログ解析に 着目して25字以内で答えよ。 (2)本文中の下線のについて,J社がプロキシサーバを経由させる目的を,本 文中の字句を用いて二つ挙げ,それぞれ35字以内で答えよ。 (3)本文中の下線のうち,FWの通信ログにおいて,PCからの不正な通信が確 認された後でPCを特定するために確認するログを本文中の字句で答えよ。 ax HY (4)表1中の|a|,|b|に入れる適切な機器名を,図1中の字 名で答えよ。 (5)表1中の|c|],|9|に入れる適切な数字を答えよ。
設問2[SWGサービスの仕様調査]について答えよ。 (1)本文中の下線について,あらかじめPCにインストールする証明書を20 字以内で答えよ。 (2)表2中の下線@について,ファイルが遠隔操作可能なマルウェアを含む場 合,隔離環境上での動作時に観察される外部通信先の名称を答えよ。
設問3[導入検討について答えよ。 (1)本文中の下線⑥の機能停止に伴って削除する許可ルールを,表1中の項番 1~8から二つ選んで数字で答えよ。 (2)(B)R-PCから(K)業務用サーバに接続する場合のアクセス経路を,図2中の (A)~(WERT,本文中の下線⑦の記述に従って答えよ。 (3)本文中の下線について,FWに追加する許可ルール(送信元,宛先,プロ トコル/宛先ポート番号)を答えよ。 (4)本文中の下線@つについて,K社SaaSの設定の変更内容を35字以内で答え よ。 (5)本文中の下線⑩によって得られる利点を,通信の経路に着目して10字以内 で答えよ。 | ー9一 [xモ用紙) ー21一 [メモ用紙] ー22一 [xモ用紙〕
各問題の下に出典を記載しています。