平成29年度秋期 ネットワークスペシャリスト 午後Ⅰ 問3

問3　社内ネットワークとクラウドサービスとのネットワーク接続に関する次の記述を読んで、設問1～4に答えよ。 K社は、中堅の加工食品販売会社である。K社では、幾つかあるシステムのうち、販売管理システムを更改する予定である。販売管理システムは、K社製品の在庫の管理，販売計画及び販売実績の管理に使用されている。 〔クラウドサービスとのネットワーク接続の検討〕 販売管理システムの更改に当たって発足したプロジェクトチームが検討を進めた結果，L社が提供しているクラウドサービス（以下、L社クラウドサービスという）を利用する案が有力視されている。そこで、L社クラウドサービスを試験的に利用して評価することになった。プロジェクトチームのOさんが、K社ネットワーク（以下、K社NWという）とL社クラウドサービスとのネットワーク接続を担当することになった。L社クラウドサービスのサービス仕様に従ってOさんが考えた、L社クラウドサービスとのネットワーク接続構成を図1に示す。 図1　L社クラウドサービスとのネットワーク接続構成（抜粋） 図1のL社クラウドサービスとのネットワーク接続構成の概要は、次のとおりである。 ・L3SWにVPNセグメントを作成する。VPNルータとしてVPNa1とVPNb1を新たに設置し、DMZとVPNセグメントに接続する。 ・VPNa1はVPNa2との間に、VPNb1はVPNb2との間に、VPNトンネルを構成する。 ・VPNトンネルは、VPNa1側をアクティブ、VPNb1側をスタンバイとする。 ・VPNa1、VPNb1及びL3SWの間ではOSPFで経路情報の交換を行う。 ・L社クラウドサービス内では、評価のために、販売管理サーバと販売管理DBを構築し、K社NWのクライアントセグメントから利用できるようにする。 ・K社NWのクライアントセグメントのPC及びサーバセグメントのサーバには、L3SWをデフォルトゲートウェイとして設定する。また、L3SWには、FWをデフォルトゲートウェイとして設定する。 ・K社NWのPCとサーバには、プライベートIPアドレスを割り当てる。PC及びサーバからインターネットへのWeb閲覧などの通信は、FWでIPアドレスとポート番号の変換処理である【ア】を行う。 〔インターネットVPN接続の検討〕 L社クラウドサービスのVPNルータとK社NWのVPNルータでは、互いのグローバルIPアドレスを利用して、RFC1853に記載されているIP in IPを用いて、トンネルが構成される。このトンネルの通信を、IPsecを用いて暗号化する。 暗号化は、フェーズ1と呼ばれるIKE SAの確立、フェーズ2と呼ばれるIPsec SAの確立を経て行われる。 フェーズ1では、接続する相手を認証する方式として、両方の機器であらかじめ、【イ】と呼ばれる同じ鍵を共有する方式を利用する。 フェーズ2では、①IPヘッダを暗号化対象とするトンネルモードではなく、IPヘッダを暗号化対象としないトランスポートモードを選択する。 IP in IPでトンネルを構成し、更にIPsecを用いて暗号化することによって、②元のIPパケットと比較してパケットサイズは大きくなる。そこで、IP in IPで作成されたトンネルインタフェースではMTUのサイズを適切な値に設定し、さらに、トンネルインタフェースを通過するパケットのTCP MSS（Maximum Segment Size）を適切な値に書き換える。 〔K社NWとL社クラウドサービスとの経路情報の交換の検討〕 L社クラウドサービスとのネットワーク接続では、静的経路制御、又はBGPを用いた動的経路制御を選択できる。Oさんは、③BGPを用いた動的経路制御を選択した。 Oさんが考えた、K社NWとL社クラウドサービスとの経路情報の交換の概要を図2に示す。 図2　K社NWとL社クラウドサービスとの経路情報の交換の概要 BGPはルーティングプロトコルの一つであり、特定のルーティングポリシで管理されたルータの集まりを示す【ウ】の間で、経路情報の交換を行うために開発されたプロトコルである。 BGP接続を行う2台のルータ間ではトランスポートプロトコルの一つである【エ】のポート179番を使用し、経路情報の交換を行う。このコネクションのことをBGPピアと呼ぶ。 【ウ】を識別する番号として、VPNa1とVPNb1では65505を使用し、VPNa2とVPNb2ではL社クラウドサービスが割当てを受けている64496を使用する。 VPNa1とVPNa2及びVPNb1とVPNb2間ではeBGPピアを設定し、VPNa1とVPNb1間ではiBGPピアを設定する。 VPNa2とVPNb2は、それぞれVPNa1とVPNb1に対し、L社クラウドサービス内のサーバセグメントの経路だけBGPで経路広告する。 K社NWのVPNセグメントと接続するVPNa1、VPNb1及びL3SWの各インタフェースではOSPFのエリア0を構成し経路情報の交換を行う。さらに、IP in IPで作成されたトンネルインタフェースでは、OSPFのエリア0を構成するが、④経路情報の交換を行う必要がないのでパッシブインタフェースとする。 VPNa1とVPNb1では、OSPFとBGPの間で経路情報の再配布を行う。 Oさんは、VPNa1側をアクティブ、VPNb1側をスタンバイとする構成について、I主任に相談した。次は、そのときのOさんとI主任の会話である。 Oさん：VPNの経路設計で、VPNa1側をアクティブ、VPNb1側をスタンバイとしたいのですが、どのように設計したらよいでしょうか。 I主任：通信の方向それぞれについて経路設計をする必要があります。まずは、社内からL社クラウドサービスの方向は、L社クラウドサービスを利用するPCからのパケットは全てL3SWに届くので、L3SWがパケットの転送先として、VPNa1とVPNb1のどちらを選択するか、転送先を決められるようにすればよいです。 Oさん：VPNa1とVPNb1が、BGPで受けた経路情報をOSPFに再配布する際に、異なるコストを付与すると転送先を選択できそうですね。VPNb1側のコストをVPNa1側と比べて【A】します。 I主任：次に、L社クラウドサービスから社内の方向はどうでしょう。L社クラウドサービスは、どのようなBGPのパスアトリビュートをサポートしていますか。 Oさん：MEDとAS_PATHを利用できます。今回はAS_PATHを使おうと考えています。AS_PATHでは、AS_PATH長が短い方が選択されます。 I主任：そうですね。そういえば、一点注意が必要です。経路情報の再配布を行うときには、経路のループを防止しなければいけません。 Oさん：分かりました。⑤経路のループを防止する経路制御を行います。 〔ネットワーク監視の検討〕 K社NWのサーバセグメントには、ネットワーク及びサーバが正常かどうかを確認するために監視サーバを設置している。監視にはpingを用いる。pingは、【オ】のecho requestパケットを監視対象に送り、【カ】パケットが監視対象から返ってくることで到達性を確認する。⑥二つあるVPNトンネルがそれぞれ正常に動作しているかを常に確認するために、監視対象として（e）と（f）を選択した。 実際に、VPNルータを停止するテスト、及びVPNトンネルを切断するテストを行い、正しく検知できることを確認した。 Oさんは、これまでの結果をまとめて、プロジェクトに報告した。その後、L社クラウドサービスの試験利用の評価を行った。その結果は良好で、K社ではL社クラウドサービスを利用した販売管理システムの更改が決定された。また、K社内のその他のシステムも順次、L社クラウドサービスへ移行する計画が立てられた。 設問1　本文中の【ア】～【カ】に入れる適切な字句を答えよ。 設問2　〔インターネットVPN接続の検討〕について、(1)、(2)に答えよ。 (1)　本文中の下線①について、今回の構成では、トランスポートモードを選択している。選択した根拠を、IPアドレスに着目して30字以内で述べよ。 (2)　本文中の下線②について、IP in IPで作成されたトンネルインタフェースのMTUの値を1、500とした場合、VPNルータで発生する処理を、30字以内で述べよ。ここで、インターネットを含む全てのインタフェースのMTUの値を1、500とする。 設問3　〔K社NWとL社クラウドサービスとの経路情報の交換の検討〕について、(1)～(4)に答えよ。 (1)　本文中の下線③について、静的経路制御と比較して動的経路制御を選択した利点を40字以内で述べよ。 (2)　本文中の下線④について、パッシブインタフェースの動作の特徴を、20字以内で述べよ。 (3)　本文中の【A】に入れる適切な字句を答えよ。 (4)　本文中の下線⑤について、経路のループを防止するために必要な経路制御を40字以内で述べよ。 設問4　本文中の下線⑥について、二つあるVPNトンネルをそれぞれ監視する目的を35字以内で述べよ。