平成28年度秋期 ネットワークスペシャリスト 午後Ⅱ 問1

問1　ネットワークシステムの拡張に関する次の記述を読んで、設問1～5に答えよ。 工務店のA社は、全国規模で住宅や店舗の施工を請け負っている。施主への情報提供に力を入れており、次の三つの機能をもつ情報システムを稼働させている。 ・施工情報管理：外出先又は社内にいるA社の社員や施主が、タブレット端末やPCで動作する、Webブラウザを使って、A社データセンタのWebサーバが管理する施工情報にHTTPSプロトコルでアクセスする（以下、Webブラウザと、Webブラウザが動作しているタブレット端末やPCを、どちらもブラウザという）。 ・コールセンタ：施主からの問合せ電話を、データセンタのIP-PBXを使って、A社コールセンタのオペレータが受け付け、必要に応じて営業部や技術部へ転送する。 ・インターネットアクセス：A社の社員が、社内からブラウザを使ってインターネットにアクセスする。 A社の現行情報システムの概要を図1に示す。 図1 A社の現行情報システムの概要 情報システム部は、現在、施主との情報連携を強化するために、ブラウザを活用した情報システムの機能拡張に取り組んでいる。ネットワーク担当のB君が、ネットワークシステムに関する現行仕様の調査と、機能拡張に伴うネットワーク拡張計画の作成を行っている。 情報システムの機能拡張の構想を次に示す。 ・マルチホーミング：今後、社外との通信が更に重要になるので、データセンタとインターネットとの接続を二重化する。 ・ブラウザを使ったビデオ電話：施主とA社の社員がブラウザを使って、施工状況などを動画で確認できるようにする。このビデオ電話はブラウザ上で動作するアプリケーション（以下、APという）をA社のWebサーバからダウンロードし、AP間の通信によって実現する。 ・ブラウザを使った音声電話：施主や外出先のA社の社員がブラウザを使って、社内のA社の社員と音声電話ができるようにする。この電話機能にもビデオ電話と同じAPを使う。IP-PBXを介した、社外のブラウザ上で動作するAPと社内のIP電話機との通信によって実現する。 〔現行ネットワーク構成〕 A社の現行ネットワーク構成を図2に、図2中のスイッチに定義された現行IPアドレス空間を表1に、それぞれ示す。 図2 A社の現行ネットワーク構成（抜粋） 表1 図2中のスイッチに定義された現行IPアドレス空間 B君が調査した、A社の現行ネットワークシステムの仕様を次に示す。 ・図2中のブラウザ1がWebサーバ1とWebサーバ2へアクセスする際に、FWのNAT機能が宛先IPアドレスを変換する。変換前と変換後の宛先IPアドレスは、それぞれ表1中のIPアドレス空間【ア】と【イ】に属し、変換前と変換後のIPアドレスの組合せは1：1に固定されている（以下、宛先NATという）。 ・図2中のブラウザ2がインターネットへアクセスする際に、FWのNAT機能が送信元IPアドレスと【ウ】の両方をそれぞれ動的に変換する（以下、送信元NAPTという）。(a)変換後のIPアドレス用に二つのグローバルIPアドレスが割り当てられている。 ・FWのフィルタリング定義は、図1に示す情報システムの通信だけを許可している。 ・FWには、A社のドメイン権限をもったDNS機能がある。 ・2台のWebサーバ（Webサーバ1、2）は、FWのDNSラウンドロビン機能を使って負荷分散しており、3台以上の構成へもスケールアウトができる。(b)スケールアウトの際には、DNS機能に関する設定変更など、FWに複数の設定変更が必要となる。 〔マルチホーミング〕 B君は、二つのISPサービス（ISP1、ISP2）を同時に利用するマルチホーミングの構成を考えた。この構成では、A社が負荷分散の仕組みを用意する必要がある。調査したところ、マルチホーミング用の負荷分散装置（以下、LBという）があり、この装置は、負荷分散機能の他に、DNS機能、NAT機能をもつことが分かった。 B君はLBを利用した新たなネットワーク構成を考えた。 A社の新ネットワーク構成を図3に、図3中のスイッチに定義されたLANの新IPアドレス空間を表2に、それぞれ示す。 図3 A社の新ネットワーク構成（抜粋） 表2 図3中のスイッチに定義された新IPアドレス空間 LBを使ったマルチホーミングの概要を次に示す。 ・インターネット向けのDNS機能をFWからLBへ移し、ISP2を経由してもそのDNS機能を提供できるように、ドメイン登録業者に定義の追加を依頼する。その際、ISP1、ISP2のいずれからでも同じゾーンファイルが参照されるようにする。 ・LBのDNSラウンドロビン機能を使い、インターネットからA社内への通信の負荷分散を行う。(c)現行のWebサーバ用のグローバルIPアドレスに、新たなグローバルIPアドレスを加え、DNSクエリに対してそれらが交互に返るようにする。 ・A社内からインターネットへの通信は、ISP1とISP2への接続ポートに対して負荷分散を行う。その際、ISPへ送信するIPパケットの送信元IPアドレスは、送信先のISPから貸与されたグローバルIPアドレスに変換されるので、FWのNAT機能をLBへ移して一元化する。 ・(d)LBは、通信の行きと戻りを同じISP経由にする。 ・LBからISP1のルータ及びISP2のルータへそれぞれ定期的にping確認を行い、ISPの障害を検知した場合には、正常なISPだけを利用する。 〔ブラウザを使ったビデオ電話の通信〕 情報システム部は、WebRTC（Web Real-Time Communication）に準拠したAPを導入する予定である。WebRTCは、ブラウザを使った音声、動画などの通信規約であり、W3C及びIETFから仕様が公開されている。このWebRTCを使ったビデオ電話では、APをダウンロードしたブラウザ間で直接通信（以下、AP間通信という）を行う。NAT機能が介在する場合のAP間通信の例を、図4に示す。 図4 NAT機能が介在する場合のAP間通信の例 サーバを介さない通信では、通信相手のIPアドレスを知る仕組みが必要である。 図4の例では、NAT機能によってブラウザ2のIPアドレス〈p〉が〈g2〉に変換されている。その場合、ブラウザ1上のAPは、通信相手のIPアドレスとして、〈p〉ではなく〈g2〉を用いなければならない。 A社が導入するAPは、NAT機能によって変換されたIPアドレスを、STUNサーバから得る仕様となっている。図4の例では、ブラウザ2上のAPがSTUNプロトコルを用いてSTUNサーバ1、2から〈g2〉を得て、それをブラウザ1上のAPに通知する。 STUNプロトコルの概要は次のとおりである。 ・STUNクライアントは、STUNサーバへBindingリクエストを送る。 ・STUNサーバは、受け取ったIPパケットのヘッダから送信元のIPアドレスとポート番号を取り出し、Bindingレスポンス中のデータに格納して返す。 ・(e)STUNクライアントは、Bindingレスポンス中のデータから、自分とSTUNサーバ間のNAT機能の有無を知り、NAT機能が介在する場合には、そのデータからNAT機能が変換した自分のIPアドレスを得る。 B君は、STUNサーバへのアクセスから音声、ビデオ、データなどの交換までのAP間通信の概要をまとめた。B君がまとめたAP間通信の概要を、図5に示す。 図5 AP間通信の概要 APをダウンロードしたブラウザは、図5中の①～③でNAT機能を経由した最適ルートを確立する（以下、ホールパンチという）。ホールパンチの概要を次に示す。 ①、①' APはSTUNサーバ1、2にアクセスし、NAT機能が介在する場合の変換後のブラウザのIPアドレスを取得する。 ② APは、SDP（Session Description Protocol）オブジェクトを使って、①、①'で取得したIPアドレスとブラウザ自身のIPアドレスを、通信相手のAPへ通知する。その際、ブラウザ1、2とWebサーバ1、2間にHTTPSが使われる。 ③ APは、通知されたIPアドレスを宛先IPアドレスにして通信相手との通信を試み、相互に通信が成功した場合に、その宛先IPアドレスの組合せを最適ルートとする。 (f)図4のAP間通信は、このようにして確立した最適ルートを使っている。 なお、ホールパンチには、ブラウザのIPアドレスとNAT機能の変換ルールが、それぞれ一定時間変わらないという前提条件が必要である。例えば、図4中の〈p〉と〈g2〉は、AP間通信の間、関連付けられている必要がある。また、IPアドレスだけではなくポート番号の考慮も必要である。 B君は、AP間通信においてAPが使用するポート番号はあらかじめ決められていること、及びSTUNサーバを図3のネットワーク内に適切に配置することによって、ホールパンチがLBのNAT機能に対して有効に働くことをベンダに確認した。そして、(g)片方のISPが障害の場合にも利用できるように、STUNサーバのインタフェース（図3中のA、B）を、図3中の適切なスイッチに接続することにした。 次に、B君は、A社のマルチホーミング運用によって、図5中の通信がISP1とISP2に負荷分散されるかどうかを検討した。そして、図5から、データ量が多い④に用いられるISPは、【エ】が【オ】をアクセスするときのLBの振分け結果によって決まることを確認し、負荷分散が行われると判断した。 〔ブラウザを使った音声電話の通信〕 ブラウザを使った音声電話の通信では、社外のブラウザ上で動作するAPがIP-PBXを介して社内のIP電話機と通信を行う。 B君はIP-PBXのベンダからIP-PBXのWebRTC機能の情報を入手し、通信方式を検討した。B君が考えた、社外のAPから社内のIP電話機への通信の概要を、図6に示す。 図6 社外のAPから社内のIP電話機への通信の概要 図6中の通信の概要は、次のとおりである。 ・APは、通信プロトコル【カ】を使ってIP-PBXへアクセスし、①-1と①-2によって、通信プロトコルを【キ】に切り替え、切り替えた通信プロトコルの上でSIPプロトコルに基づくシグナリングを行う。 ・IP-PBXは、2組のB2BUA（Back-to-Back User Agent）として動作する。(h)インターネット側の二つのUA（User Agent）には、それぞれグローバルIPアドレスを割り当てる。 ・IP-PBXはSession Border Controllerとして動作し、グローバルIPアドレスとプライベートIPアドレスを変換する。 ・(i)IP-PBXのLANインタフェース（図3中のC、D）を追加し、図3中の適切なスイッチと接続する。 ・図6中の通信の前に、【ク】のFQDNに関する【ケ】クエリが、APから【コ】へ発行されることによって、図6中のAPとIP-PBX間の通信はISP1とISP2に負荷分散される。 〔移行計画〕 情報システム部では、保守などでサービス停止の可能性がある場合には、サービス停止時間を関係部署へ連絡することになっている。また、連絡したサービス停止時間内に保守を終えてサービスを再開できるように、部内で作業計画を十分にレビューした上で保守を行う運用ルールも設けられている。 B君は、今回の機能拡張に関して、サービス停止時間を見積もりながら、利用者への影響が極力小さくなるような移行を考えた。ここで、サービス停止時間とは、切替作業、切替作業後の動作確認及び問題発生時の【サ】に要する時間の合計である。 B君が作成したネットワークの移行計画案を、図7に示す。 図7 ネットワークの移行計画案 ネットワーク移行のための切替えは2段階で行う。図7中の切替1と切替2について、B君は次のように考えた。 （切替1について） ・LBの設定は、切替1で全ての定義を盛り込み、その後の変更を不要にする。例えばDNS機能については、新たなネットワーク構成に必要な次のAレコードを全て設定する。 －(j)Webサーバ1とWebサーバ2に関する四つのAレコード －(k)APが名前解決しなければならないFQDNに関するAレコード（AP内の定義には、IPアドレスではなく、FQDNを用いることにする。） ・FWのフィルタリング変更は、中間のネットワーク構成の通信に関して変更する。 ・次の点を考慮し、切替1のサービス停止時間は2時間とする。 －(l)機器の変更は、あらかじめ2通りの定義ファイルをもたせておき、定義ファイルを指定した再起動によって行う。 －約1時間、一部の利用者に情報システムを利用してもらい、(m)3種類の通信を発生させて、動作の正常性を確認する。 －(n)ドメイン登録業者に依頼する定義変更に関しては、情報システム部が正常性を確認する。利用者サービスへ直接影響しないので、その作業はサービス停止時間には含まない。 （切替2について） ・(o)FWのフィルタリング変更は、新たなネットワーク構成の通信に関して変更する。 ・機器の変更と動作の正常性確認を含めた切替2のサービス停止時間について、IP-PBXのベンダに見積りを依頼する。 B君は、検討結果をまとめ、情報システム部長に報告した。その後、顧客システムの機能拡張のプロジェクトが発足し、B君はネットワークチームのリーダとして参画することになった。 設問1〔現行ネットワーク構成〕について、(1)～(3)に答えよ。 (1)本文中の【ア】～【ウ】に入れる適切な字句を答えよ。 (2)本文中の下線(a)について、送信元NAPTが同時に処理できるTCPコネクション数の上限を答えよ。ここで、2¹⁶＝65、536である。 (3)本文中の下線(b)について、DNS機能以外のFWの設定変更内容を二つ挙げ、それぞれ20字以内で答えよ。 設問2〔マルチホーミング〕について、(1)、(2)に答えよ。 (1)本文中の下線(c)について、現行のグローバルIPアドレスと追加するグローバルIPアドレスとの違いを20字以内で述べよ。 (2)本文中の下線(d)において、通信の行きと戻りが同じISPではない場合の問題を、社外からWebサーバへのアクセスを例に、IPアドレスという用語を用いて40字以内で述べよ。 設問3〔ブラウザを使ったビデオ電話の通信〕について、(1)～(4)に答えよ。 (1)本文中の下線(e)について、STUNクライアントはどのようにしてNAT機能の有無を判定するかを、50字以内で述べよ。 (2)本文中の下線(f)について、図4の通信のために、ブラウザ2がSDPオブジェクトに格納する二つのIPアドレス候補を、図4中の字句を用いて答えよ。 (3)本文中の下線(g)の接続先を、表2中のVLAN名でそれぞれ答えよ。 (4)本文中の【エ】、【オ】に入れる適切な字句を答えよ。 設問4〔ブラウザを使った音声電話の通信〕について、(1)～(4)に答えよ。 (1)本文中の【カ】、【キ】に入れる適切な字句を答えよ。 (2)本文中の下線(h)について、マルチホーミングのために、グローバルIPアドレスをどのように割り当てるかを、40字以内で述べよ。 (3)本文中の下線(i)の接続先を、表2中のVLAN名でそれぞれ答えよ。 (4)本文中の【ク】～【コ】に入れる適切な字句を答えよ。 設問5〔移行計画〕について、(1)～(7)に答えよ。 (1)本文中の【サ】に入れる適切な字句を答えよ。 (2)本文中の下線(j)の四つのAレコードに記述されている、FQDNとグローバルIPアドレスの数をそれぞれ答えよ。 (3)本文中の下線(k)のFQDNに対応する機器名を、全て答えよ。 (4)本文中の下線(l)について、2通りの定義ファイルが必要な機器名を答えよ。 (5)本文中の下線(m)の3種類の通信を、それぞれ20字以内で答えよ。 (6)本文中の下線(n)の確認内容を、30字以内で述べよ。 (7)本文中の下線(o)のフィルタリング変更について、切替2で許可する通信を全て挙げ、図5中の記号（①、①'、②～④）を用いて答えよ。