平成25年度秋期 ネットワークスペシャリスト 午後Ⅱ 問1

問1 無線LANの導入に関する次の記述を読んで，設問1～5に答えよ。 E社は，コンピュータ関連製品の販売会社である。本社の他に複数の営業所があり，販売代理店経由で製品を販売している。本社では，販売，購買，会計などの基幹システムと，販売業務を支援する各種業務システムを運用している。これらのシステムは，複数台の物理サーバ上の仮想サーバで稼働させている。本社のネットワークシステム構成を，図1に示す。 図1 本社のネットワークシステム構成（抜粋） ここ数年，E社の売上は低迷している。そこで，E社では競争力を強化するために，急速に発展したスマートフォンやタブレット端末などのモバイル端末（以下，MNという）を活用して，顧客の要望に即応できるような体制づくりに着手することを決めた。第1段階として，本社にMNの活用環境を構築・整備することになり，情報システム部のR課長は，部下のS主任に無線LAN導入案の検討を指示した。 S主任は，無線LAN導入案の検討に先立ち，ネットワーク構成の解析訓練を兼ねて，後輩のJ君に本社のネットワーク構成，ネットワークの運用状況などの調査を指示した。 〔現状調査〕 S主任の指示を受けたJ君は，本社のネットワークシステムの現状調査を行った。調査結果は，次のとおりである。 ・現在，本社の機器には固定IPアドレスが設定されている。利用できる基幹システムと業務システムは，部署ごとに決められている。利用制限は，二つの方法によって行われている。一つは，アプリケーションプログラムに組み込まれた認証処理によるアクセス制御である。もう一つは，図1中の，PCからサーバへの経路上の機器である【ア】に設定された，パケットフィルタリング条件の適用である。パケットフィルタリング条件は，接続を許可するPCとサーバのIPアドレスの組合せで記述されている。 ・物理サーバ又は仮想サーバに障害が発生したときには，他の物理サーバで新たに仮想サーバを起動して，基幹システム，業務システムを再稼働させる。 ・図1中の，L3SW1及びL3SW2のP5，P6には，リンクアグリゲーションが設定されている。 ・物理サーバの，L2SW3とL2SW4への接続ポートには，アクティブ／アクティブ構成のチーミング機能が設定されている。 ・L2SWとL3SWでは，STP（Spanning Tree Protocol）が動作している。L3SW1をルートブリッジとするために，L3SW1のブリッジIDは【イ】の値となっている。各リンクのパスコスト値とVLAN IDは，図1中に記載された内容である。 ・L3SW1とL3SW2には，VRRPで仮想ルータが設定されている。L3SW1とL3SW2の仮想ルータの設定内容は，表1のとおりである。 表1 L3SW1とL3SW2の仮想ルータの設定内容 ・L2SW1に接続されたPCのデフォルトゲートウェイにはVIP1が，L2SW2に接続されたPCのデフォルトゲートウェイにはVIP2が設定されている。また，仮想サーバ1と仮想サーバ2のデフォルトゲートウェイにはVIP3が，仮想サーバ3と仮想サーバ4のデフォルトゲートウェイにはVIP4が設定されている。これらの設定によって，仮想ルータの負荷分散が行われている。 J君は，調査結果を整理し，S主任に報告した。現状のネットワーク構成の解析ができたので，S主任は，MNでネットワークシステムを利用するための，無線LANの導入方法を検討することにした。さらに，無線LANの導入では，社内の電波状態を調査するサイトサーベイも必要と考え，サイトサーベイで実施すべき内容についても併せて検討するよう，J君に指示した。 〔無線LANの調査と導入検討〕 J君は，まず，無線LANの特徴とセキュリティ上の問題点を調査した。 無線LANの最初の標準規格IEEE【ウ】は，物理レイヤとMACレイヤの規格で構成され，その規格中には，次に示す認証と暗号化方式が標準化されている。 (1) 認証 ① オープンシステム認証 本認証は，アクセスポイント（以下，APという）での端末認証が，実質的には行われない。 ② 共有鍵認証 本認証は，MNが，APと共有するWEPキーを使用して，APから受信した乱数を【エ】して返送する，チャレンジレスポンス方式で行われる。ただし，WEPキーが，電波を不正に傍受している装置に見破られると，（あ）不正アクセス以外にも重大なセキュリティリスクが発生するので，この認証方式は，一般に利用されない。 (2) 暗号化方式 方式としてWEPが規定されている。WEPは，【オ】と呼ばれる暗号アルゴリズムを基にした共通鍵暗号を採用している。暗号化には，WEPキーと呼ばれる共通鍵が使用される。MNとAPには，同じWEPキーを設定する必要があり，動的に鍵の変更が行われないことから，解読される危険性が高い。 以上の，IEEE【ウ】のセキュリティ上の問題点を解決するために，IEEE 802.11iが規格化された。IEEE 802.11iを基に策定されたWPA2（Wi-Fi Protected Access 2）では，セキュリティ面の改善の他に，（い）事前認証及び認証キーの保持（Pairwise Master Keyキャッシュ）を行う方法が規定されているので，接続先のAPを切り替える時間を短縮することが可能になった。 無線LANにおいて，MNが異なるAP間を渡り歩けるような機能のことを，ローミングという。ローミングのためには，ローミングの対象となる全てのAPについて，ネットワークの識別子である【カ】が同じである必要がある。MNが接続先のAPを切り替えるときには，新たな接続先となるAPとの間で，論理的接続であるアソシエーション，認証処理などが行われる。 IEEE 802.1X認証を行った場合の，無線LANへの接続手順を，図2に示す。 図2 無線LANへの接続手順 調査結果を基に，J君は，導入する無線LANにはWPA2を利用し，認証には，IEEE 802.1Xで利用可能な方式のうち，運用が容易なPEAPを採用することにした。 次に，J君は，図1のネットワークシステムに，無線LANを導入する構成を検討した。J君がまとめた，APの導入構成案を，図3に示す。 図3 APの導入構成案（抜粋） 新規に導入するMNでも，現状と同等のセキュリティ対策が行われるように，MNには，部署ごとに割り当てられた固定IPアドレスを設定したい。しかし，その場合，E社の構成では次のような問題が発生する。図3において，AP1と接続していたMN1が移動して，図2の手順でAPiに接続したとき，MN1は通信を継続できるが，APjに接続すると，（う）サーバやインターネットとの通信ができなくなってしまう。 J君は，この問題の対応策についてS主任に相談した。S主任は，APを集中管理・集中制御する無線LANコントローラ（以下，WLCという）を導入すれば，問題を解決できるのではないかと考え，WLCの調査を指示した。 〔サブネット間のローミングの調査と設計〕 指示を受けたJ君は，WLCについて調査した。調査結果は，次のとおりである。 WLCは，APと連携して認証，暗号化，電波出力調整，ローミングなどの機能を実現する。WLCの実装は，ベンダによって異なっている。ベンダY社のWLCを導入すると，サブネット間のローミングが可能になることが分かった。Y社のWLCは，RFC 2002で基本動作の仕組みが定義されているモバイルIP技術を基にして，これにY社独自の工夫を加えて，無線LANにおけるローミングを可能にしている。そこで，J君は，基になっているRFC 2002のモバイルIPについて調査した。調査結果は，次のとおりである。 ・モバイルIPは，MNが異なるサブネットに移動しても，MNとの通信を試みるホスト（以下，送信ノードという）がMNと通信できるようにする技術である。 ・モバイルIPv4では，MNと送信ノード間の通信を仲介する，home agent（以下，HAという）とforeign agent（以下，FAという）が存在する。 ・MNが本来稼働すべきネットワークを，ホームネットワークという。MNには，ホームネットワークでホームアドレスと呼ばれるIPアドレスが付与されている。 ・HAは，MNのホームネットワークに設置されている。それに対してFAは，MNの移動先である訪問先ネットワークに設置されている。 ・移動先のMNにパケットを渡すための転送先IPアドレスは，気付アドレスと呼ばれる。気付アドレスは，訪問先ネットワークに設置されたFAのIPアドレスでもある。 ・HAとFAを経由したMNの位置登録の通信手順及び送信ノードとMN間の通信手順は，図4のとおりである。 【MNの位置登録の通信手順】 ① MNは，FAから送出されるAdvertisementメッセージを受信し，ホームネットワークにいるのか，訪問先ネットワークにいるのかを判別する。訪問先ネットワークへの移動を検出すると，Advertisementメッセージの中から気付アドレスを取得し，MN自体のホームアドレスと気付アドレスを対応付けて，位置登録の要求を行う。 ② FAは，MNから受信した位置登録情報を，MNのホームネットワークのHA宛てに送信する。HAは，MNの気付アドレスとホームアドレスを対にして，転送先テーブルに登録する。登録後，登録完了メッセージをFA宛てに送信する。 【送信ノードとMN間の通信手順】 ③ 送信ノードから送信されたMN宛てのパケットが，MNのホームネットワークに到達すると，（え）HAによって代理受信される。 ④ HAは，転送先テーブルを参照して移動中のMNの気付アドレスを取得し，受信したパケットをカプセル化して，気付アドレス宛てに転送する。 ⑤ FAは，受信したパケットのカプセル化を解除して，MNに送信する。 ⑥ MNのデフォルトゲートウェイにFAが設定されている場合は，MNが送信ノード宛ての返送パケットを，デフォルトゲートウェイであるFA宛てに送信する。 ⑦ FAは，受信したパケットを送信ノードに中継する。 図4 HAとFAを経由したMNの位置登録の通信手順及び送信ノードとMN間の通信手順 図4に示されているように，RFC 2002のMNにはモバイルIP機能の実装が必要である。 E社が想定するMNにはモバイルIP機能がない。しかし，Y社のWLCには，モバイルIP機能が実装されていないMNでも，サブネット間のローミングができるような工夫が施されている。 Y社の資料を参考に，J君は，WLCとAPを導入するときの構成を，図5のように設計した。また，モバイルIPに関連してWLCとAPがもつ機能の名称と機能の概要を整理し，表2を作成した。 図5 WLCとAPを導入するときの構成（抜粋） 表2 モバイルIPに関連してWLCとAPがもつ機能の名称と機能の概要 図5に示したように，Y社のAPはHAとFAをもち，WLCはHAプロキシとFAプロキシをもつ。 MNがAPと接続するときに行われるIEEE 802.1Xの認証では，WLCがオーセンティケータとして働く。MNの認証時に，WLCで稼働するHAプロキシがMNの移動状態を把握して，移動情報テーブルに位置情報を登録する。この処理で，モバイルIP機能をもたないMNでも，移動状態が管理され，サブネット間のローミングを可能にしている。 図5において，MN1がAP1と接続するときには，MN1とWLC間で認証処理が行われる。このとき，表2に示したように，HAプロキシが，認証時のパケットの情報を基に，全AP分の移動情報テーブル中にMN1に関する位置情報を登録する。登録された情報は，MN1のホームネットワークのAP1のHAに送信される。 図5中のAP1に接続していたMN1が，インターネットを経由して社外と通信中にAPjに移動したときのMN1に関連する通信の内容は，図6のようになる。 (i) MN1は，移動後にAPjへの接続処理を行う。そのとき，MN1とWLC間で認証処理が行われる。 (ii) WLCの【a】は，移動情報テーブルのMN1に関する位置情報を更新し，更新内容をMN1のホームネットワークのAP1のHAに送信する。 (iii) MN1はAPjと接続した後，インターネット経由の社外宛てパケットをAPjに送信する。 (iv) APjの【b】は，受信したパケットの送信元IPアドレスと宛先IPアドレスが，APjのサブネットとは異なるサブネットのものなので，受信したパケットをL3SWに送信する。 (v) 社外から，インターネット経由でMN1宛てに送信された応答パケットが，MN1のホームネットワークに到達し，AP1が受信する。 (vi) AP1の【c】は，宛先のMN1が移動中であることを，移動情報テーブルを参照して知り，受信したパケットをカプセル化してWLCに送信する。 (vii) WLCの【d】は，受信したパケットのカプセル化を解除し，宛先IPアドレスからMN1宛てであることを知る。このとき，移動情報テーブルを参照すると，MN1はAPjのサブネットに移動中なので，再度パケットをカプセル化してAPjに送信する。 (viii) APjの【e】は，受信したパケットのカプセル化を解除して，MN1にパケットを送信する。 （以下，省略） 図6 MN1がAPjに移動したときのMN1に関連する通信の内容 J君は，無線LANの導入方法の検討が完了したので，次に，サイトサーベイの検討を行った。 〔サイトサーベイの検討〕 J君は，無線LAN導入に当たって留意すべき事項を調査し，その結果，サイトサーベイの実施について，次のように進めた。 本社は，テナントビルに入居し，隣接した複数のフロアを使用している。各フロアのオフィスは，壁やパーティションなどで分割されている。本社のオフィスに複数のAPを導入するとき，サイトサーベイを実施しないと，（お）(a)導入後に通信できないエリアが発生する，(b)他社の無線LANの影響を受ける，(c)期待どおりの通信速度が得られない，などの問題が発生する可能性が高い。この問題を防ぐためには，専用機材を用いて，APから送出される電波の伝搬状態及び電波干渉の発生源を十分に把握しておくことが重要である。 APから送出される電波の伝搬状態を把握していないと，APの最適な場所への設置，適切な電波強度の設定ができない。電波状態の調査には専門的なノウハウが必要であることから，J君は，サイトサーベイは，専門業者に委託するのがよいと判断し，調査・検討の結果を，S主任に報告した。 S主任とJ君は，これまでの検討を基に設計した無線LAN導入構成及びサイトサーベイの実施方法を，R課長に報告した。説明を受けたR課長は，設計内容及びサイトサーベイの実施方法に問題がないことを確認できたので，無線LANの導入を進めることにした。 設問1 本文中の【ア】～【カ】に入れる適切な字句を答えよ。 設問2 〔現状調査〕について，(1)～(5)に答えよ。 (1) 図1において，L3SW1のP5とL3SW1のP6の組，及びL3SW2のP5とL3SW2のP6の組以外に，リンクアグリゲーションが2組設定されている。その組を，それぞれ図1中の機器名，ポートIDで答えよ。 (2) 表1中の仮想ルータVR1がマスタルータとなるスイッチ名を，図1中の機器名で答えよ。 (3) L2SW2とL3SW1間の経路において，L2SW2のP11がブロッキングポートになる。その理由を，STPの経路計算アルゴリズムを基に，図1を参照して，40字以内で述べよ。 (4) L3SW1，L3SW2，L2SW3及びL2SW4の間を接続する経路のブロッキングポートを，図1中の機器名とポートIDで答えよ。 (5) 図1中のPC1と仮想サーバ3間のフレーム転送経路を，次の【転送経路】に示す。（A），（B）に入れる適切な機器名を，【転送経路】の表記方法に従い，経由する順に列挙せよ。 【転送経路】 PC1 → 【A】 → L2SW3及びL2SW4 → 仮想サーバ3 仮想サーバ3 → L2SW3及びL2SW4 → 【B】 → PC1 設問3 〔無線LANの調査と導入検討〕について，(1)～(3)に答えよ。 (1) 本文中の下線（あ）のセキュリティリスクの内容を，25字以内で述べよ。 (2) 本文中の下線（い）によって，ローミング時間が短縮される。その理由を，図2の手順を参考にして，25字以内で述べよ。 (3) 本文中の下線（う）が発生する理由を，MN1に設定されているネットワーク情報が変更されないことに着目して，35字以内で述べよ。 設問4 〔サブネット間のローミングの調査と設計〕について，(1)～(4)に答えよ。 (1) 図4中の①で，FAから送信されるAdvertisementメッセージには，IPヘッダが付加される。このIPヘッダの宛先IPアドレスの種類を答えよ。 (2) 図4中の②で，転送先テーブルを更新した後，HAは，サブネット内のホスト宛てに，ある通信を行う。その通信プロトコルの名称を答え，その目的を，40字以内で述べよ。 (3) 図4中の下線（え）のために，MN宛てのARP要求に対してHAが行う処理の内容を，20字以内で述べよ。 (4) 図6中の【a】～【e】に入れる適切な字句を，表2中の機能の名称で答えよ。 設問5 〔サイトサーベイの検討〕について，(1)～(3)に答えよ。 (1) 本文中の下線（お）の問題が発生するのを避けるために，サイトサーベイで調査すべき電波の状態を二つ挙げ，それぞれ25字以内で答えよ。 (2) サイトサーベイの調査結果を基に，導入作業前に確定すべき設計項目を二つ挙げ，それぞれ15字以内で答えよ。 (3) 無線LANを設置した後，pingコマンドによる接続確認テストの他に，MNを使用して実施すべきテストを二つ挙げ，それぞれ25字以内で答えよ。