平成23年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2 IT環境の改善に関する次の記述を読んで，設問1～6に答えよ。 Y社は，従業員400人のコンピュータ関連製品の販売会社で，東京に本社，札幌と福岡に営業所がある。Y社では，全社員が資料作成，インターネット利用などにPCを活用している。営業員は，外出時にPCを携帯して，顧客先での製品説明に活用するとともに，本社のDMZに設置されているリバースプロキシサーバ（以下，RPサーバという）経由で，販売支援サーバを利用している。 Y社のIT基盤である，現在のネットワークシステム構成を，図1に示す。 図1 現在のネットワークシステム構成（抜粋） 情報システム部のF部長は，PCからの情報漏えいと，電子メール（以下，メールという），ファイルデータなど個人が管理しているデータの消失の危険性が内在する，社内のIT環境に不安を抱いていた。 その不安が現実のものとなる事故が発生した。営業員が，外出先で不注意からPCを落とし，破損させてしまったのである。このPCに保存されていたのは，営業活動に欠かせないデータであり，困り果てた営業員は情報システム部に助けを求めてきた。情報システム部では，データ復旧サービスを利用して，PCに保存されたデータを回復させようとしたが，結局，ほとんどのデータが失われてしまった。F部長は，このような事故を回避するために，ネットワーク担当のG主任とサーバ・PC担当のH君に改善策を検討させることにした。 G主任とH君は，PCにデータを保存することが，情報漏えいとデータ消失リスクを大きくしていると考え，データをPCに保存しないシンクライアント（以下，TCという）システムを導入すべきであると判断した。また，メールサーバの運用にも改善すべき課題があったので，メールを一括してサーバに保管できる，外部のメールサービス（以下，メールサービスという）を活用するとともに，懸案であったメールアドレスのドメイン名の変更も提案することにした。二人は，これらの2点を改善策としてまとめ，F部長に報告した。F部長はこの報告を基に，IT環境の改善に関する企画書を作成して取締役会で提案し，承認された。そこでF部長は，早速，G主任とH君をメンバとするIT環境改善プロジェクトを発足させ，TCシステムの設計及びメールサービスへの移行方法の設計を指示した。 指示を受けたG主任とH君は，今後のプロジェクトの進め方と役割分担を決めた。 〔TCシステムの設計〕 TCシステムの設計を担当することになったH君は，まず，TCについて調査した。調査結果は，次のとおりである。 TCシステムには複数の形態があり，その中で，画面の情報をTCに転送する形態（以下，画面転送型という）が，ネットワークへの負荷が少ないことが分かった。 画面転送型TCシステムには，サーバベース方式（以下，SBCという）と仮想PC方式がある。SBCは，サーバで稼働させるPCのアプリケーションプログラム（以下，APという）を，複数のTCで共用する方式である。一方，仮想PC方式は，仮想化機構を組み込んだサーバに，PCの独立したプログラム実行環境をTCと1対1で用意する方式である。 TCシステムを導入するときは，データの移動が必要になる。また，TCでは，APの使用方法が少なからず変わるので，一時的には業務の混乱を招くことが予想される。 H君は，調査結果，現状のネットワークシステムの構成及びPC利用の状況をSI業者のS社に説明して，TCシステムの提案を求めた。S社からは，次の2点を骨子とする提案を受けた。 (1) TCシステムは，画面転送型のSBCとし，次の2段階に分けて導入する。 第1段階は，PCの持出し時の事故による，情報漏えいとデータ消失のリスクが大きい営業員のうち，本社所属の80人に導入する。 第2段階は，第1段階の導入，運用経験を生かして，全社に展開する。 (2) 使用中のPCは，更新時までTCとして活用する。 S社から提案を受けた，TCシステムの構成を，図2に示す。 図2 TCシステムの構成 TCシステムは，TC共用サーバ，TC管理サーバなどで構成される。 TCをTC管理サーバに接続すると，ログインパスワードの入力が求められる。ログインパスワードを入力してTC管理サーバで認証されると，TCはTC共用サーバに接続され，利用可能になる。このとき，TCは最も低負荷のTC共用サーバに接続され，TC共用サーバの負荷が平準化される。 次は，TCシステムの構成に関する，S社のIさん，G主任及びH君の会話である。 Iさん：TCシステムは，仮想化機構によって作成された仮想サーバ上で稼働させます。第1段階では，物理サーバを2台導入して，TC共用サーバとTC管理サーバを稼働させます。第1段階の導入では，既設のサーバ，L3SW1及びFWのIPアドレスの変更は伴いませんが，本社のPCのIPアドレスの変更とL3SW1へのIPアドレスの追加設定が必要になります。 H君：構成については分かりました。NASは，どんな用途に使用するのですか。 Iさん：用途は，二つあります。一つは，利用者ごとのTC利用環境を作るための情報を記録したファイル（以下，プロファイルという）を保管します。プロファイルの働きによって，①TC共用サーバにログインすると，ログインした利用者のTC利用環境が作られます。二つ目は，TC利用者が作成したファイル類を保管します。第1段階で，本社のFSをNASに統合します。 H君：FSのデータバックアップ作業が負担になっていましたから，助かります。営業所のFSもNASに統合しますよね。 Iさん：それは，第2段階で行うことを提案します。 H君：そうですか。 G主任：サーバとネットワーク機器の冗長化は，どのような方法で行うのですか。 Iさん：L2SWAとL2SWB，L2SWCとL2SWDは，スタック接続して一つのスイッチとして扱えるようにします。これらのL2SWから，サーバ，NAS間の接続には，リンクアグリゲーションを設定します。サーバとNASのNICには，チーミング機能を設定して2本の回線に負荷を分散させ，【ア】と冗長化を図ります。L3SWA，L3SWB及びL3SW1では，静的経路制御を行わせます。L3SWAとL3SWBにおけるVRRP関連の設定内容は，表1のとおりです。 G主任：L2SW1，L2SW2，L3SWA，L3SWB間でループが発生しませんか。 Iさん：表1の構成なので，ループは発生しません。また，②ポートやケーブルの障害時には，全てのVRRPが同期して，同じL3SWがマスタルータになります。 G主任：分かりました。 表1 L3SWAとL3SWBにおけるVRRP関連の設定内容（抜粋） VRRPでは，VRRPメッセージ（VRRP advertisement）がマスタルータから【イ】ルータへ送信され，マスタルータの稼働状態が報告される。VRRPメッセージは，宛先IPアドレスが224.0.0.18の【ウ】キャスト通信である。Priority値は，大小関係で優先順位が決まり，Preemptモードでは L3SWの起動タイミングに関係なく，最も【エ】値をもつルータが，マスタルータになる。 〔社外でのTC使用時のセキュリティ対策〕 社外でTCを使用しても，社内と全く同じ処理ができる。そこでG主任は，社外でのTC使用時には，どのようなセキュリティ対策を講じるのかを，Iさんに確認した。 Iさんの説明を，次に示す。 社外でTCを使用するときには，トークンを使ったワンタイムパスワード（以下，OTPという）方式の認証でセキュリティを確保する。OTPの認証処理を行う認証サーバは，新たに導入してL3SW1に接続する。また，認証からTC共用サーバへのログインまでの，一連の処理を自動化する機能をもつSSL-VPN装置を，DMZに設置する。社外でTCを使用するための認証システム構成を，図3に示す。 図3 社外でTCを使用するための認証システム構成 社外でTCを使用するときには，まずTCをSSL-VPN装置に接続させると，SSL-VPN装置から，利用者ID，ログインパスワード，OTPの入力が求められる。これらを入力すると，SSL-VPN装置の連携機能によって，OTPの認証，ログインパスワードの認証及びTC共用サーバへのログインが自動的に行われる。ログイン後，TCにはデスクトップ画面が表示され，必要なAPを使用することができる。 OTPは，時刻同期方式を利用する。社員に，あらかじめトークンと呼ばれるパスワード生成器を配布する。トークンが生成する数字は1分経過ごとに変化し，一度しか使用できない。本方式では，時刻のずれが発生するので，ずれの許容範囲を設定する。認証サーバは，許容範囲内で認証を試みて，認証できたらトークンとの時刻のずれを推定して記憶し，次回の認証時に，記憶したずれを基に時刻の補正を行う。 次に，G主任とH君は，メールサービスの利用について検討した。 〔現在のメールシステムの構成と利用状況〕 まず，G主任はH君に対して，図1に示した現在のメールシステムの構成と利用状況を，次のように説明した。 DMZに，Y社ドメイン（以下，y-sya.example.co.jpという）宛てのメールを受信するメール中継サーバがあり，社外へのメールも，このサーバが中継している。社内には，社員が送受信に使用する社内メールサーバがある。 DMZに設置された，DNSサーバのゾーンデータファイルの内容を，図4に示す。 図4 DNSサーバのゾーンデータファイルの内容（抜粋） Y社では，メール消失事故を防ぐために，数年前にIMAP4の使用を推奨した。しかし，強制をしなかったので，現在でも多くの社員がPOP3を使用している。IMAP4の利用者は，社内メールサーバに作成したフォルダにメールを保存している。POP3の利用者は，PCに作成したフォルダにメールを保存し，メールボックスのメールは，メーラでダウンロード後に消去されるように設定している。Y社では，PCのフォルダに保存したメールの障害時に備えた対応作業は，社員に任せている。 POP3とIMAP4の違いは，メーラを使っているだけではほとんど意識されない。しかし，③複数のPCで同じメールアカウントを使用するときには，違いが分かる。 〔メールサービスへの移行方法の設計〕 メールサービスについては，サービス料金，機能，保存可能なメール容量，セキュリティ対策状況などを調査し，M社のメールサービスを利用することにした。 二人が設計した，IT環境改善後のネットワークシステム構成を，図5に示す。 図5 IT環境改善後のネットワークシステム構成（抜粋） 次に，二人は，M社のメールサービスへの移行方法の設計を行った。 M社のメールサービスでは，メールを長期間保存できるだけの容量とアーカイブサービスが提供されているので，メール消失リスクを回避できる。メールサービスでは，使用中のメーラを継続して使えるだけでなく，Webブラウザのメーラ（以下，Webメールという）も提供されている。M社のWebメールは，使用中のメーラと同等の操作性なので，運用の容易さを重視し，TCではWebメールを使用させることにする。Webメールでは，社内メールサーバ及びPCに作成されたフォルダは使用できないので，Webメール使用前に，使用中のメーラを使って，必要なメールをメールサービスに移動させる。社内メールサーバに登録されているメーリングリスト（以下，MLという）には，社内用，社外向けに公開しているものなど多種のものがあり，それらの中には，利用されていないものも多い。MLのメールサービスへの登録は，移行ツールが提供されていないので，個別に登録する必要がある。そこで，MLは，メールサービス利用開始後に，必要性を精査して登録することにする。 M社のメールサービスでは，メールサービスの利用契約を締結した後に，統一するY社の新しいドメイン（以下，y-sya.example.comという）が設定され，M社のDNSサーバで公開される。 二人がまとめた，メールサービスへの切替スケジュールを，図6に示す。 図6 メールサービスへの切替スケジュール 図6中の項番で，各作業者が行う具体的な作業内容を，次に示す。 1. メールサービスに，社員のアカウントを登録する。個人のメールアドレスのユーザ名は，使用中のものをそのまま使う。また，メールサービスがy-sya.example.co.jp宛てのメールを受信したとき，そのユーザのアカウントが登録されていれば，メールサービスのメールボックスに配信され，登録されていないアカウントやMLのときはy-sya.example.co.jpに中継されるように，あらかじめ設定しておく。 2. メールサービスのツールで，パスワードを設定する。また，使用中のメーラでメールサービスへの接続設定を行う。社内メールサーバとPCに保存されたメールをメールサービスに移動させるために，メール読出しはIMAP4を使用する。これらの設定によって，使用中のメーラで，メールサービスと社内メールサーバの両方でメール送受信を行えるようになる。この段階では，メールの送受信を社内メールサーバで行うように設定する。 3. 社内メールサーバが受信したメールを，メールサービスに配送させるために，社内メールサーバに，メールアドレスの変換設定を行う。この変換は，メールアドレスのy-sya.example.co.jpをy-sya.example.comに書き換えるもので，MLに関しては，個人アドレスに展開された後に，この変換が行われる。宛先ドメインが書き換えられたメールは，メールサービスに配送されることになる。 4. メールの送受信をメールサービスに切り替える。 5. 社内メールサーバとPCに保存されたメールをメールサービスに移動する。 6. MLを見直して，メールサービスに登録する。 7. 項番1でメールサービスに設定した，y-sya.example.co.jpへの中継を解除する。 8. DNSサーバのMXレコードを変更し，y-sya.example.co.jp宛てのメールをメールサービスに配送させる。 9. 社内メールサーバとメール中継サーバを撤去する。 なお，TCシステムの導入には，ファイルの移動と既設のPC，ネットワーク機器の設定変更などが必要になることから，メールサービスに移行した後，TCシステムを導入することにした。 G主任とH君からの設計内容の説明を受けたF部長は，TCシステムの方式とその導入ステップ及びメールサービスへの切替手順に問題がないと判断し，プロジェクトメンバに改善への取組みを指示した。 設問1 本文中の【ア】～【エ】に入れる適切な字句を答えよ。 設問2 〔TCシステムの設計〕について，(1)～(5)に答えよ。 (1) 本文中の下線①を実現させるためには，何と何が対応付けられる必要があるかを，15字以内で答えよ。 (2) 営業所のFSのNASへの統合を第2段階で行うのは，どのような問題の発生を避けるためか。その問題の内容を，25字以内で述べよ。 (3) 図2中のL2SW1，L2SW2，L3SWA，L3SWB間でループは発生しない。表1を参照し，その理由を，25字以内で述べよ。 (4) 本文中の下線②の動作のために設定している項目を，表1から答えよ。また，その項目を設定した場合，障害発生時のVRRPの動作を，50字以内で述べよ。 (5) VRRPメッセージに含まれる情報を，表1中の項目で，三つ答えよ。 設問3 〔社外でのTC使用時のセキュリティ対策〕について，(1)，(2)に答えよ。 (1) トークンが生成する数字を変化させる時間間隔を長くすると，トークンに表示された数字を正しく入力しても，不正パスワードになるケースが発生することがある。その理由を，20字以内で述べよ。 (2) 本文中の時刻同期方式で，ずれた時刻を認証サーバが推定する方法を，50字以内で述べよ。 設問4 〔現在のメールシステムの構成と利用状況〕について，(1)～(3)に答えよ。 (1) 社員に任せている，障害時に備えた対応作業の内容を，30字以内で述べよ。 (2) 本文中の下線③のときに，POP3で発生する問題を，30字以内で述べよ。 (3) 図4において，セカンダリDNSサーバが，ゾーンデータファイルをコピーすべきか否かをチェックする時間間隔を答えよ。 設問5 〔メールサービスへの移行方法の設計〕について，(1)～(3)に答えよ。 (1) 図6中の項番2の作業期間中，メール送受信を社内メールサーバだけで行わせる理由を，50字以内で述べよ。 (2) 図6中の項番3の作業の代わりに，社内メールサーバがメールを受信したときに，そのメールをそのままメールサービスに転送させる中継設定を行ったとする。この場合，メールサービスにアカウントが存在しないメールアドレス宛てのメールで問題が発生する。その問題を，40字以内で述べよ。 (3) 図6中の項番4の実施後，項番6でMLが登録されるまでの間に，社内から，Y社の社員だけが登録されているML宛てに送信されたメールは，どのように転送されてメールサービスのメールボックスに配信されるか。メールサーバ名又はメールサービスを，【転送経路】の表記方法に従い，経由する順に全て列挙せよ。 【転送経路】 ［経由する順に全て列挙］→ メールサービス → メールボックス 設問6 第1段階のTCシステム導入時の作業と変更について，(1)，(2)に答えよ。 (1) 移動すべきデータを二つ挙げ，それぞれの移動先とともに答えよ。 (2) 本社の既設のPCとL3SW1に設定されているネットワーク関連情報のうち，機器のインタフェースのIPアドレス以外に，変更されるべき情報を二つ挙げ，それぞれ20字以内で述べよ。