平成29年度秋期 ネットワークスペシャリスト 午後Ⅰ 問1

判断に用いる前提の範囲をそろえる

導入に関する判断では、記述されている条件がどの範囲に適用されるかを意識しましょう。一部に関する前提を全体へ広げていないか、条件と判断の対応を確かめることが、内容を整理する手掛かりになります。

この問題で問われていること

この問題では、判断の根拠となる前提の適用範囲に着目しましょう。対象や場面が変わっても同じ条件をそのまま使ってよいと決めつけず、与えられた情報の範囲で根拠を確かめる姿勢を保つことが大切です。

視点

前提を使って判断するときは、その前提が当てはまる範囲も一緒に捉えましょう。条件と対象の対応を意識することで、書かれている情報を必要以上に広げずに整理できます。

確認ポイント

• 根拠となる条件は、どの範囲に適用されるか
• その範囲を超えて条件を当てはめていないか
• 判断の対象と、前提が適用される範囲は対応しているか

解説

SSL-VPNで社内外のPCを認証し、顧客ごとのIPアドレスを割り当て、FWとL3SWのアクセスリストで通信を制限する問題です。TLSの基本機能に加え、トンネルの通信とトンネル内の通信を区別して経路を追うことが解答の要点です。

問題の全体像

H社には、構築業務と無関係なPCから顧客システムへアクセスされる危険と、顧客が納入前に動作確認できない問題があります。社内の開発PCと社外の顧客PCの双方にSSL-VPNを利用させ、認証したユーザに顧客別のIPアドレスを割り当て、対応する構築ネットワークだけへアクセスさせます。出題趣旨では、SSL-VPNの認証・暗号化とネットワーク機器の機能を組み合わせ、安全なネットワークを構築する能力を問うとしています。図2ではVPN接続の経路と、VPN接続後に顧客システムへ向かう経路を分けて読むことが重要です。

設問1(ア)

公式解答例では「SHA-1」です。空欄の前後では、MD5と並んで十分な安全性を確保できないハッシュアルゴリズムを問うています。暗号化方式の名前ではなく、ハッシュアルゴリズムの名前を答える点に着目します。採点講評でも、TLSの安全性を考慮したプロトコルやバージョンの選定は、ネットワーク技術者に必要な知識とされています。

設問1(イ)

公式解答例では「1.2」です。本文は、MD5やSHA-1を使用しない構成を選べるTLSのバージョンを求めています。TLS 1.2では、従来のハッシュアルゴリズムに依存しない選択が可能になります。ただし、TLS 1.2を選ぶだけで使用アルゴリズムが全て安全になるわけではなく、本文にある暗号スイートの選定も合わせて理解する必要があります。

設問1(ウ)

公式解答例では「Client_Hello」です。本文の「クライアント側から送られる」という記述に着目します。クライアントはこのメッセージで、利用可能なTLSのバージョンや暗号スイートの候補などをサーバに提示します。サーバ側の応答と合わせて、その接続で使う条件を決めます。

設問1(エ)

公式解答例では「Server_Hello」です。本文の「サーバ側から返される」という記述が手掛かりです。サーバはClient_Helloで提示された条件を踏まえ、選択した暗号スイートなどをServer_Helloで通知します。送信する主体と、候補の提示・選択結果の通知という役割を対応させて覚えます。

設問1(オ)

公式解答例では「リバースプロキシ」です。本文ではSSL-VPNの基本的な動作方式として、空欄の方式、ポートフォワーディング、L2フォワーディングを列挙しています。リバースプロキシ方式は、SSL-VPN装置がクライアントからの要求を受け、内部のWebサーバなどへのアクセスを仲介する方式です。本文の3方式を区別して押さえます。

設問2(1)

公式解答例では、2種類の暗号アルゴリズムの用途は「鍵交換」と「認証」、ハッシュアルゴリズムの用途は「メッセージ認証」です。下線（I）の直前に、アプリケーション層の暗号化に使うアルゴリズムは別に示されているので、ここではそれ以外の用途を答えます。鍵交換は暗号通信に必要な鍵を共有するため、認証は相手の正当性を確認するため、メッセージ認証は通信内容の改ざんなどを検出するために用います。採点講評では、暗号スイート中の各項目の用途を正しく理解することが求められています。

設問2(2)

公式解答例では「顧客システムは，様々なプロトコルを利用している。」です。根拠は冒頭の「利用されるプロトコルも様々である」という記述です。L2フォワーディングはトンネル上でレイヤ2の中継を行うため、多様なプロトコルを使う顧客システムへのアクセスに適しています。30字以内の答案では、顧客システムの特徴である「様々なプロトコルを利用している」を中心にまとめます。採点講評でも、方式の理解と問題文全体の読み取りが重視されています。

設問2(3)

公式解答例では「vNIC」です。図2のPCにはNICとvNICが描かれ、SSL-VPNトンネルの端点はvNIC側にあります。接続時の認証に応じて割り当てられる10.100.k.1～10.100.k.200のIPアドレスは、VPN通信に使う仮想ネットワークインタフェースに設定されます。例えばE社PCのNICに示された192.168.0.2は、顧客社内のネットワークへ接続するためのアドレスです。

設問3(カ)

公式解答例では「内部LAN」です。表1の第1行は、宛先がDMZのネットワークである202.y.44.0/28の通信を許可しています。H社では内部LANからDMZのプロキシサーバへアクセスし、導入後は開発LANからDMZ側のSSL-VPN装置へも接続します。この通信の出発側が内部LANなので、アクセス経路の【カ】に入ります。

設問3(キ)

公式解答例では「DMZ」です。表1の第1行の宛先202.y.44.0/28は、図1・図2でDMZに割り当てられているネットワークです。したがって、この行のアクセス経路は「内部LAN→DMZ」となります。宛先IPアドレスと図中のネットワーク名を対応させて判断します。

設問3(ク)

公式解答例では「172.16.0.0/16」です。図1・図2でH社の内部LAN全体に示されているネットワークアドレスを用います。開発LANの172.16.10.0/24は内部LANの一部ですが、表1の第1行は内部LANからDMZへの通信を許可するルールなので、送信元には内部LAN全体の範囲を記入します。

設問3(ケ)

公式解答例では「202.y.44.2/32」です。表1の第3行は、インターネットからDMZへのTCP/443の通信を許可するルールです。顧客PCが接続する相手はSSL-VPN装置であり、そのDMZ側IPアドレスは図中の202.y.44.2です。/32は、この1台のアドレスだけを指定することを表します。DMZ全体やプロキシサーバのアドレスを指定せず、VPN接続先と対応させます。

設問4(1)

公式解答例では「②，③，④，⑤」です。表2は、宛先が内部LANの172.16.0.0/16である通信を禁止し、それ以外を許可します。入力方向への設定なので、顧客システム構築ネットワークから内部ルータへ入る②・③・④と、開発LANから入る⑤に適用します。これにより顧客間の通信と、開発LANからの直接アクセスを禁止できます。一方、VPN-PCへの応答は宛先が10.100.k.xなので、この禁止ルールには該当しません。⑥に設定するとVPN経由の正当な顧客システムへのアクセスも禁止してしまいます。①側からの直接アクセスについては、表1のFWルールも合わせて判断します。採点講評でも、隣接するFWの設定を考慮しない誤答が指摘されています。

設問4(2)

公式解答例では「顧客システム構築ネットワークから他社の顧客システム構築ネットワークへの通信」です。表2を②・③・④の入力方向に設定すると、ある顧客の構築ネットワークから別の顧客の構築ネットワークへ向かう通信も、宛先が172.16.0.0/16に含まれるため禁止されます。設問は開発LANからの直接アクセス以外を尋ねているので、45字以内で「顧客システム構築ネットワークから」「他社の顧客システム構築ネットワークへの通信」という送信元・宛先を明示します。

設問4(3)

公式解答例では「⑥」です。本文は、VPN接続後のアクセス経路を「PC→SSL-VPN装置→VLAN201→顧客システム構築ネットワーク」としています。VPN-PCからの通信は、トンネルを出た後にVLAN201から⑥を通って内部ルータへ入るので、⑥の入力方向に表3を適用します。表3は、E社用の10.100.1.0/24からE社用の172.16.100.0/24への通信など、顧客ごとの対応だけを許可し、それ以外は暗黙に禁止します。顧客別の認証結果をIPアドレスに反映し、そのアドレスを使ってアクセス先を制限する仕組みです。

学習のポイント

暗号スイートの用途、SSL-VPNの方式選択、物理NICとvNICの違い、入力方向のアクセスリストとFWルールの組合せを重点的に学習してください。