平成26年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2 サービス用システムの構築に関する次の記述を読んで，設問1～5に答えよ。 A社では，VoIP対応電話システム（以下，IPTシステムという）を販売しているが，今後，A社で設備を保有し，サービスとして提供したいと考えている。サービス提供時には，IPTシステム用電話機（以下，IPTELという）を利用企業に設置し，それ以外のIPTシステム用機器をA社センタに設置する形態を想定している。IPTシステム担当部門のK君は，最近のネットワーク技術に詳しいT君の支援を受けながら，IPTシステムのサービス化に向けて，実現性の検討を開始した。 〔サービス用IPTシステムの構成〕 図1は，K君がT君に示したサービス用IPTシステムの全体構成案である。 図1 サービス用IPTシステムの全体構成案 図1は，ある企業グループに属する利用企業1と利用企業2が，サービス用IPTシステムを利用する場合の構成を示している。利用企業1と利用企業2の内部ネットワークは，グループ内で重複しないプライベートIPアドレスを使用している。利用企業内の拠点間通話は内線通話として処理される。 ロガーは，通話を録音するサーバである。ロガー1及びロガー2は，それぞれ利用企業1用及び利用企業2用である。IP-PBXは，その機能を利用企業ごとに独立して利用できるマルチテナント機能をもち，利用企業1と利用企業2で共用する。ロガー及びIP-PBXは，それぞれの仮想サーバで動作させる。利用企業の拠点とA社間は，VPNで接続する。 利用企業の社員が，出張などで拠点外のモバイル環境にいても，サービス用IPTシステムが使えるようにする。このために，モバイル環境のソフトフォン（PC上で動作するソフトウェアで実現する電話機能）を，内線電話機として利用できるようにする。モバイル環境のPCからA社への接続に当たっては，セキュリティ確保のために接続PCごとに認証を行う。 A社のIPTシステムは，RFC 3261で規定されたSIP（Session Initiation Protocol）に準拠している。K君は，IPTシステムについては経験が浅いT君に，概要を説明することにした。次は，K君がT君に説明した内容についてまとめたものである。 SIPは，ユーザエージェントと呼ばれる端末（以下，UAという）間で，セッションの生成，変更，切断を行うプロトコルである。SIPでは，セッション上でやり取りされるデータそのものについては規定していない。生成したセッション上で，どのような通信を行うかは，SIPを使う上位のアプリケーションが，通信相手とのネゴシエーションによって決定する。このとき，セッション生成の過程でのやり取りには，RFC 4566で規定されたSDP（Session Description Protocol）が用いられる。したがって，アプリケーションが，SIPによって制御されたセッションでデータをやり取りする場合，音声データだけなら電話，テキストだけなら［a］，音声と動画を組み合わせることでビデオ会議，というように，幅広い応用の可能性がある。音声データを転送する場合の一般的なプロトコルは，RFC 3550で規定された［b］であり，そのトランスポート層のプロトコルには，リアルタイム性を重視し，再送制御を行わない［c］が使われる。 UAの識別には，sip:xxx@example.ne.jp（xxxは利用者識別子）のようなURI（Uniform Resource Identifier）形式が使われる。SDPのセッション生成情報には，接続相手のURI，自分のURIとIPアドレス，使用するコーデックなどの通信に必要な情報が用いられる。 セッションは，通信を行うUA間で直接やり取りして生成することもできるが，規模の大きな組織の場合は利用者が多く，URIの登録に手間が掛かるので，①セッションの生成を仲介するサーバを設置する。このサーバはSIPサーバと呼ばれ，図1のサービス用IPTシステムでは，IP-PBXがその役割を果たしている。 SIPで使われるメッセージは，［d］形式で記述されるので，判読しやすい。 〔IPTシステムの概要〕 IP-PBXは，VoIP-GWを経由して通信事業者の公衆IP電話網と接続する。VoIP-GWは，両側のSIP制御の実装上の差異を吸収して整合性をとる。 IPTシステムでは，UAは起動後，自分の利用者識別子，自分のIPアドレスを含む登録メッセージをSIPサーバに送信し，初期登録をする。VoIP対応電話機から発呼してIPTELに着呼する場合について，SIPによる電話接続シーケンス例を，図2に示す。 図2 SIPによる電話接続シーケンス例 IP-PBX配下のIPTELを識別するための050電話番号は，公衆IP電話網の通信事業者から割り当てられる。通信事業者の公衆IP電話網の中にもSIPサーバが存在するので，VoIP-GWは，②両方のSIPネットワークに対してUAとして振る舞う特殊なUAであるB2BUA（Back-to-Back User Agent）になる。また，VoIP-GWは，SIPネットワークの境界に存在してセッション生成を仲介するとともにRTPパケットの中継も行うSession Border Controller（以下，SBCという）と呼ばれる機能をもつ。 SIPメッセージの例として，セッション生成開始時に使われるINVITEリクエストの内容例を，図3に示す。 図3 INVITEリクエストの内容例（抜粋） インターネット網を経由して，SIPを使った通話を行う場合，企業内のプライベートIPアドレスのUAと外部とを接続するために，アドレス変換を行う必要がある。このときに，③標準的なNAT装置では，通話セッションが生成できないという問題が発生する。K君によれば，④この問題への対応機能をもつSBCがあるということであった。 〔パッシブ方式による音声パケットの収集〕 最近，コンプライアンスの観点から“通話を録音して保存したい”という要望が増えている。そこで，この要望に対応するために，仮想サーバを使って，どのようなシステムを構築できるかを検討することになった。 従来，A社では，IP-PBXシステムに影響を与えない録音の方法を採用していた。この方法は，音声の通信経路にあるスイッチに，音声パケットが通過するポートのフレームをミラーポートに出力するように設定し，ミラーポート出力フレームを，ロガーのNICで直接受ける方式である。この方式を，パッシブ方式と呼ぶ。 ミラーポート出力フレームを，仮想サーバで動作するロガーに取り込む場合には，単純にミラーポートを物理サーバのNICに接続する方式だと，ミラーポートごとにNICが必要となり，NIC搭載数が限られる環境では使いにくい。 そこで，この問題を解決するために，K君は，図1に対応して，図4に示す仮想サーバでロガーを動作させるためのテスト用ネットワークを作成した。 図4 仮想サーバでロガーを動作させるためのテスト用ネットワーク ロガーは，音声パケットを収集するための専用の仮想NICと，運用・保守に使用する仮想NICの二つの仮想NICをもち，それぞれが異なる仮想スイッチに接続する。 K君が考えた方法は，ミラーポート出力フレームを仮想サーバで動作するロガーに転送するためのVLANを定義し，物理サーバのNICとL2SWはトランク接続にする方法である。具体的には，L2SWの別々のVLANに属するポート3とポート6に，それぞれ異なるミラーポート出力フレームを入力して仮想スイッチに転送した後，宛先となるロガーに振り分ける。今回使用した仮想スイッチでは，接続する仮想サーバのMACアドレスは仮想化のための仕組みで把握しているので，通過するフレームによるMACアドレスの学習は行わない。ミラーポート出力フレームを取り込むために，仮想スイッチに接続する⑤ロガーの仮想NICと仮想スイッチの接続ポート間で，適切な動作をさせる。 なお，図4の構成で使用しているL2SWは，VLAN単位に独立したMACアドレステーブルをもつ仕様になっている。したがって，VLANが異なれば同じMACアドレスが学習されても問題がない。 K君がこの構成で実験したところ，期待するフレームがロガーに転送されていないことが分かった。そこで，原因を調べるために，T君とともに次のような点について検討した。 スイッチの設定の不具合の可能性もあり得るので，サーバとL2SW間のフレームをモニタして調べることにした。K君は，図4の（A）と（B）の位置で通過するフレームをモニタしてみた。すると，VoIP-GWが送受信したフレームを，（A）では確認できたが，（B）ではミラーリングしたそれらのフレームの通過が確認できなかった。相談を受けたT君は，L2SWのMACアドレステーブルがどのような状態であるかを調べるよう指示した。その結果を見たT君は，⑥L2SWのポート3に流入するフレームの送信元MACアドレスと宛先MACアドレスの組合せに着目して原因を説明し，対応策を示した。 苦労して音声パケットの収集ができるようにはなったものの，音声パケットを収集するためのネットワークを構成する作業が大変だったので，T君は，別の手段を調査するよう，K君にアドバイスした。 〔アクティブ方式による音声パケットの収集〕 K君は，ミラーポート出力を使わない音声パケットの収集方式について調査した。その結果，アクティブ方式と呼ぶ収集方式があることが分かった。 アクティブ方式では，音声パケットを中継する機器上に，録音したい音声パケットをコピーして転送する機能を実装し，録音クライアント（以下，SRCという）とする。SRCは，音声パケットを受け取って録音する役割の録音サーバ（以下，SRSという）との間にSIPを用いて録音用セッションを生成し，コピーした音声パケットを，そのセッションを用いて転送する。また，音声パケット以外に，音声パケットに関係した通話の属性情報も，通知できる。 通話の収集対象となる二つのUAをUA-AとUA-Bとしたとき，アクティブ方式による動作シーケンスの概要を，図5に示す。 図5 アクティブ方式による動作シーケンスの概要 ここでは，アクティブ方式の概念を示すために，必要な機器だけを示している。図5（a）では，SRCが，UA-AとUA-B間の通話の音声パケットを中継するとともに，コピーした音声パケットをSRSに送る場合を，例示している。図5（a）中のSRCは，音声パケットの中継だけでなく，UA-AとUA-B間の通話用セッションの生成にも関与している。 K君は，図5（a）に示すシーケンスを参考に，⑦図1においてSRCを実装する機器を選択し，図5（a）に対応した図1におけるシーケンスとして図5（b）を作成した。 〔外部接続用機器群の検討〕 K君は，外部接続用機器の接続構成について検討した。図6は，図1に示した構成を実現するためにK君が作成した，外部接続用機器の構成図である。モバイル環境のPCは，A社センタへ接続するためにHTTPSを使用する。ここで，外部接続用機器は，利用企業ごとに用意するものとする。 図6 外部接続用機器の構成図 A社では，インターネット接続に関し，セキュリティ強化のために，接続元からのアクセスの違いによって，FWのポート1とポート2のアウトバウンドでは，表1に示すフィルタリングルール（許可条件）を適用する予定である。 表1 フィルタリングルール（許可条件） SSL-VPN装置では，モバイル環境のPCからのアクセスに対し，トークンを利用した利用者認証を行っている。認証されたPCは，⑧新たな仮想NICを生成し，レイヤ2のトンネルを通して，サービス提供用内部LANとの通信が可能になる。 K君は，最近，長期間使用していたSSL-VPN装置が故障した際，保守期間を過ぎていて，大至急別の機器を導入してネットワークを再設計しなければならないという経験をした。そこで，このような事態に対処しやすい方法について，T君に質問した。T君は，これまでの経験と知識を基に，次のように説明した。 ネットワーク機器の機能が，仮想サーバで動作するソフトウェアとして提供される（これを，ネットワーク機器の仮想化という）ようになると，K君が経験した販売・保守の終了という問題への対応ができ，更にそれ以外にもいろいろな利点がある。 例えば，新たな利用者への機能提供の迅速化，構成変更への柔軟性が実現できる。また，保守・運用管理上，FWやVPN装置などの⑨ネットワーク機器が仮想化されている場合，ハードウェア障害に備えた冗長化を実現する上で，コスト面での利点もある。 K君は，T君のアドバイスを参考に，ロガーだけでなく外部接続用機器群も，仮想サーバで動作するソフトウェアとして実現するよう提案することにした。 このようにして，K君とT君は，サービス用IPTシステムを仮想環境上に構築することについて，実現性と将来への考慮点に関する検討結果をまとめた。この検討結果は，プロジェクトの責任者である上長に報告され，了承された。 設問1 〔サービス用IPTシステムの構成〕について，（1），（2）に答えよ。 （1）本文中の［a］～［d］に入れる適切な字句を答えよ。 （2）本文中の下線①の動作を，40字以内で具体的に述べよ。 設問2 〔IPTシステムの概要〕について，（1）～（3）に答えよ。 （1）本文中の下線②のB2BUAがその役割を果たすために，UAとして初期登録する必要がある登録先を，本文中の名称を用いて全て答えよ。 （2）本文中の下線③に示す問題の原因を，図3を参考にして，50字以内で述べよ。 （3）本文中の下線④について，図2の電話接続シーケンス例の場合に，SBCが行うアドレス変換の内容を，60字以内で具体的に述べよ。 設問3 〔パッシブ方式による音声パケットの収集〕について，（1），（2）に答えよ。 （1）本文中の下線⑤について，適切な動作の内容を，60字以内で述べよ。 （2）本文中の下線⑥について，MACアドレステーブルがどのような状態になっていたことが原因だったと考えられるか。50字以内で述べよ。また，T君の示した対応策を，50字以内で述べよ。 設問4 〔アクティブ方式による音声パケットの収集〕について，（1）～（5）に答えよ。 （1）本文中の下線⑦について，IP-PBXは選択できない。その理由を，20字以内で具体的に述べよ。 （2）図5中の［e］，［f］に入れる適切な機器名を，図1中の機器名で答えよ。 （3）図5中の（C）に処理シーケンスを追加して，図5（b）のシーケンスを完成させよ。 （4）図1の構成で，図5（b）の方式を使用した場合，呼情報も録音用セッションを介して取得できる。その理由を40字以内で述べよ。 （5）パッシブ方式に比べてアクティブ方式の方が有利な点を，30字以内で述べよ。 設問5 〔外部接続用機器群の検討〕について，（1）～（3）に答えよ。 （1）表1中の［ア］～［エ］に入れる適切な字句を答えよ。 （2）本文中の下線⑧において，生成された仮想NICに対してどのようなIPアドレスが付与される必要があるかを，35字以内で述べよ。 （3）本文中の下線⑨において，T君がコスト面での利点が得られるとした理由を，40字以内で述べよ。