平成29年度秋期 ネットワークスペシャリスト 午後Ⅱ 問2

問2 無線LANシステムの導入に関する次の記述を読んで，設問1～5に答えよ。 Y社は，中規模のネットワーク関連製品販売会社であり，オフィスビルの2フロアを使用している本社の他に複数の営業所がある。本社の営業部には110名の営業員が，営業所には合計50名の営業員が在籍している。本社と営業所の営業員には，ノートPC（以下，NPCという）の他にモバイルWi-Fiルータ（以下，Wi-Fiルータという）が貸与され，社外での商品説明，在庫照会，電子メール（以下，メールという）の送受信などに使用されている。社内では，NPCを有線LANに接続して営業業務を行っている。インターネットアクセスは，本社DMZのプロキシサーバ経由で行われている。営業部のNPCは，同一VLANに属している。本社の現在のLAN構成を図1に示す。 図1 本社の現在のLAN構成（抜粋） 〔営業部の課題と対策〕 営業部のフロアには，営業部のオフィスエリアの他に，応接室，会議室などの接客エリアがあるが，取引先の増加に伴って，接客エリアの不足に悩まされている。 Y社を訪問する取引先の営業員（以下，来訪者という）の多くは，NPCを携帯しており，中にはWi-Fiルータを持参してLTE回線経由でインターネットを利用している者もいる。しかし，Wi-Fiルータを持たない来訪者から，インターネット接続環境を提供してほしいとの要望が挙がっている。 Y社では，書類の電子化を推進した結果，書類棚やサイドキャビネットに保管している書類が半減し，机上の書類も一掃された。そこで，営業部の座席をフリーアドレスにしてオフィスエリアを縮小し，接客エリアを拡大することにした。 これらを実現する目的で，営業部フロアに無線LANシステムを導入することを決め，無線LAN導入プロジェクトを発足させた。プロジェクト責任者には情報システム部（以下，情シスという）のM課長が任命された。M課長は，部下のN主任とJ君をプロジェクトメンバに指名し，無線LANシステムの設計を担当させることにした。 無線LANシステムの設計に当たって，N主任は，無線LAN技術の調査と選定をJ君に指示した。 〔無線LAN技術の調査と選定〕 N主任の指示を受け，J君は，無線LAN技術を調査し，その結果を表1～3にまとめた。IEEE 802.11で使用される周波数帯を表1に，無線LANのアクセス制御方式を表2に，無線LANのデータ暗号化方式を表3に示す。 表1 IEEE 802.11で使用される周波数帯 表2 無線LANのアクセス制御方式 表3 無線LANのデータ暗号化方式 Y社のNPCは，IEEE 802.11ac対応の無線LANアダプタを内蔵しているので，IEEE 802.11ac対応の無線LANアクセスポイント（以下，APという）を導入する。来訪者のNPCの中には，IEEE 802.11nしか使用できないものもあると考えられたので，IEEE 802.11nにも対応したAP製品を選定すれば，来訪者へのインターネットアクセス環境も提供できる。 無線LANでは通信に電波が使用されるので，盗聴や不正アクセスを防ぐ対策が重要である。そこで，J君は，暗号化方式と認証方式について検討した。 〔暗号化方式と認証方式の検討〕 無線LANのデータ暗号化方式についてJ君が検討した結果を，次に示す。 (1) WEPでは，1バイト単位の［f］暗号であるRC4を使用して，パケットの暗号化が行われる。WEPは，一つのAPと複数の無線LAN端末間でWEPキーを共有し，WEPキーとIV（Initialization Vector）を基に，暗号鍵であるキーストリームを生成する。WEPは，［g］のWEPキーが使用され続けることに加え，暗号化アルゴリズムも複雑ではないことから，短時間での暗号解読が可能になっているので採用しない。 (2) WPAでは，TKIPによって暗号鍵を生成する。TKIPでは，暗号鍵の基になる一時鍵（Temporal Key）が動的に生成される。エンタープライズモードの場合，一時鍵は，IEEE 802.1Xの認証成功後に［h］で動的に生成されてクライアントに配布されるPMK（Pairwise Master Key）を基に，無線LAN端末及び［h］の両者で生成される。TKIPでは，フェーズ1で，一時鍵，IV及び無線LAN端末の［i］の三つを混合してキーストリーム1を生成する。フェーズ2で，キーストリーム1にIVの拡張された部分を混合して，暗号鍵であるキーストリーム2を生成する。キーストリーム1とキーストリーム2は，通信途中に変更される。2段階の鍵混合，キーストリームの変更によって，WEPよりも高い安全性を実現しているが，脆弱性が報告されているので採用しない。 (3) WPA2では，AESをベースにしたCCMPが採用されている。 WPA2では，事前［j］の方法及びPMKの保持方法が規定されている。これらによって，無線LAN端末がAP間を移動（以下，ハンドオーバという）するタイミングでの認証や認証済みのAPに戻ってきたときのPMKの再生成が不要になることから，ハンドオーバ時間が短縮される。 AESはブロック暗号なので，暗号化するメッセージを一定サイズのブロック単位に分割して処理する必要がある。メッセージをブロック単位に分割すると，最後のメッセージがブロックサイズに満たない場合もあるので，CCMPではカウンタモードが採用されている。カウンタモードでは，暗号化するメッセージをダイレクトに暗号化するのではなく，ブロックサイズと同じバイト数のカウンタ値を暗号化して，暗号化したカウンタ値と暗号化するメッセージとをXOR（排他的論理和）して暗号文を生成する。カウンタモードによる暗号化手順を図2に示す。 図2 カウンタモードによる暗号化手順 CCMPでは，①暗号化と復号は同じ手順で行われ，復号時もAESが使用される。 以上の検討を基に，暗号化方式は安全性が高いWPA2を採用することにした。 次に，J君は，利用者認証方式について検討した。 WPA2の利用者認証には，パーソナルモードと，IEEE 802.1Xを利用するエンタープライズモードがある。営業員の認証にはエンタープライズモードを利用する。IEEE 802.1Xには複数の認証方式がある。その中でセキュリティが強固であるとともに，Y社のNPCでは標準サポートのEAP-TLSを利用することを考え，EAP-TLSの運用に適したRADIUSサーバ製品を選定することにした。 J君は，無線LANはIEEE 802.11acを採用し，IEEE 802.11nにも対応したAP製品を選定することと，暗号化方式はWPA2，認証方式はEAP-TLSを利用することをN主任に報告した。無線LANの規格，暗号化及び認証方式がN主任に了承され，次に，APの設置方法とディジタル証明書の配布方法についての検討を指示された。 〔APの設置方法の検討〕 J君は，フロア図面を基に，APの導入台数と設置について検討した。 現在，Y社では，NPCを100Mビット／秒で有線LANに接続しているので，無線LANでも100Mビット／秒程度の速度で通信できるようにしたい。 IEEE 802.11ac規格では，八つのチャネルを束ねる8チャネルボンディング（160MHzの帯域幅）を行えば，アンテナ1本当たり最大約867Mビット／秒の通信が可能である。8チャネルボンディングと8本のアンテナによるMIMO（Multiple Input Multiple Output）で8ストリームの同時伝送を行えば，理論上最大約6.93Gビット／秒で通信できる。②検討しているAP製品は，4チャネルボンディング（80MHzの帯域幅）まで行え，3本のアンテナが搭載されているので，1Gビット／秒以上の通信速度が達成できる。したがって，APに同時接続させるNPCを10台に制限すれば，1台のNPCで100Mビット／秒以上の通信速度を確保できる。そこで，APに同時接続させるNPC台数を10台に制限して，APの導入台数と配置を決めることにした。 現在，営業部には110名の営業員が在籍しており，営業部のオフィスエリアには120名の収容スペースがある。本社の営業員の在席率は最大で60%程度なので，オフィスエリアを80%に縮小して，削減した20%を接客エリアにすれば接客エリア不足の解消になる。オフィスエリアには，最大で約66名の営業員が同時に在席することになるが，余裕をもたせて8台のAPを設置し，接客エリアには4台のAPを設置する。合計12台のAPの個別管理は困難なので，無線LANコントローラ（以下，WLCという）も導入する。調査したところ，WLCには複数の方式があったが，次の三つの主要機能をもつ製品を選定することにした。 ・有線LAN経由での複数のAPに対する設定変更，ファームウェアのアップデートなどの一括処理機能 ・APの負荷分散制御，PMKの保持などによるハンドオーバ制御機能 ・利用者認証，認証VLANなどのセキュリティ対策機能 選定するWLC製品の概要を次に示す。 WLCは分散処理方式で，通信データの暗号化と復号をAPに任せるものである。WLCでEAP-TLSを利用するときは，APとWLC間でトンネルが設定され，無線LAN端末とWLC間で認証情報の交換が行われる。WLCは，利用者認証を行った後，利用者IDに対応したVLANをAPに設定する認証VLAN機能をもっている。③認証後に行われる無線LAN端末による通信は，WLCを経由しない。 APは，電波の到達性を考慮して天井に設置する。営業部のオフィスエリアに，営業員が自由に着席できる机が均等に配置されたときの，営業部フロアへのAPの設置イメージを図3に示す。 図3 営業部フロアへのAPの設置イメージ APの設置場所は，営業部フロアでの電波伝搬状態を測定してから決める。このとき，④外来電波による悪影響が発生する可能性があるかどうかを調査し，必要に応じて対策を講じる。電波伝搬状態の測定，外来電波の影響調査，APの設置設計及び設置工事は，業者に委託する。 APは天井に設置することから，天井裏でのケーブル配線が必要になる。APを接続するL2SWを営業部フロアに設置すれば，L2SWと全てのAPとをLANケーブルで直結できる。L2SWのPoE（Power over Ethernet）機能を利用することによって，LANケーブル経由でAPに電源が供給できるので，PoE対応のAPを導入する。このとき，APを収容することになる図1中のL2SW4は，PoE対応の製品に交換し，適切な場所に設置する必要がある。 以上の検討結果を基に，J君は，導入するAP，WLC及びRADIUSサーバ製品を選定した。選定したAP製品の消費電力は最大18Wなので，IEEE 802.3af規格では供給電力が不足することが分かった。そこで，⑤IEEE 802.3at対応のL2SWを1台導入することにした。 次に，J君は，ディジタル証明書の配布方法について検討した。 〔ディジタル証明書の配布方法の検討〕 ディジタル証明書の配布方法についてJ君が検討した結果を，次に示す。 選定したRADIUSサーバ製品は，EAP-TLSで必要になるディジタル証明書（サーバ証明書又はクライアント証明書）を発行するCA（Certification Authority）機能をもっている。サーバ証明書とクライアント証明書は，RADIUSサーバのCA機能を使って発行する。 クライアント証明書は，情シスの担当者が本社の営業員のNPCに直接インストールすれば安全であるが，情シスの負担が大きい。そこで，本社LANに，クライアント証明書をNPCにダウンロードさせるサーバ（以下，ダウンロードサーバという）を新規に構築して，LAN経由でクライアント証明書を配布すれば情シスの負担が抑えられる。 ダウンロードサーバによるクライアント証明書の配布案内は，無線LAN導入後に，情シスから全営業員宛てに一斉メールで通知する。案内文には，ダウンロードサーバの導入目的，利用方法，ダウンロードサーバのURLなどを記載する。その後，各営業員に，ダウンロードサーバ利用のための利用者IDとパスワードを個別に連絡する。営業員は，情シスからの案内を基に，クライアント証明書のインストールを行う。 J君は，ダウンロードサーバの機能とクライアント証明書の運用について検討した。検討結果を次に示す。 (1) クライアント証明書の管理機能 ダウンロードサーバは，RADIUSサーバで生成されたクライアント証明書と⑥その他にNPCで必要となる情報をRADIUSサーバからコピーし，RFC 7292で規定されているPKCS #12形式のファイルに変換して管理する。 (2) NPCへのダウンロード機能 ダウンロードサーバは，アクセスした営業員を利用者ID，パスワードで認証し，認証を受けた営業員のNPCに，PKCS #12形式のファイルを一度だけダウンロードさせる。NPCは，ダウンロードしたファイルを直接インポートできる。 (3) クライアント証明書の運用 情シスの担当者は，クライアント証明書の有効期限の1か月前に，RADIUSサーバでクライアント証明書を発行し，ダウンロードサーバに保管して，クライアント証明書の更新案内を当該営業員にメールで通知する。 次に，J君は，ダウンロードサーバの設置場所について検討した。 最初に，無線LAN経由でダウンロードサーバにアクセスさせる方法を検討した。この方法では，NPCにクライアント証明書がインストールされていないので，認証エラーになる。そこで，認証エラー時にWLCの認証VLAN機能によって，特別なVLANをAPに設定し，このVLANにダウンロードサーバを設置することを考えた。しかし，その場所にダウンロードサーバを設置すると，⑦クライアント証明書の配布に関してセキュリティ上問題がある。さらに，クライアント証明書の更新のためのダウンロードもできない。そこで，営業部オフィスエリアの有線LAN接続でアクセスできる場所にダウンロードサーバを設置することにした。無線LANに移行した後，営業部オフィスエリアをフリーアドレスにしてNPC接続用の有線LANは撤去するが，クライアント証明書の更新は無線LAN経由で可能である。しかし，⑧状況によっては，クライアント証明書をダウンロードできない本社の営業員も出てくる。その営業員には，情シスの担当者がクライアント証明書などの必要な情報をNPCにインストールして，当該営業員に渡す。 J君は，APの設置方法とディジタル証明書の配布方法についてN主任に説明し，了承されたので，最後に，既設LANへの無線LANの接続構成の設計を行った。 〔既設LANへの無線LANの接続構成の設計〕 J君が設計した，既設LANに無線LANシステムを導入したときのLAN構成を図4に示す。 図4 既設LANに無線LANシステムを導入したときのLAN構成（抜粋） Y社では，DHCPサーバでPCとNPCにIPアドレスなどのネットワーク情報を付与している。無線LAN導入後も，本社の営業員のNPCにはDHCPサーバでネットワーク情報を付与する。 EAP-TLSで認証を受けた本社の営業員のNPCには，営業員向けのVLAN（VLAN100）を割り当て，既設の有線LAN使用時と同じ作業ができるようにする。オフィスエリアのAPには来訪者のNPCは接続させないが，接客エリアのAPには営業員と来訪者が無線LANを同時に利用できる設定を行う。 NPCを持参した来訪者には，Y社の担当者が，⑨WPA2又はWPAのパーソナルモードで無線LANに接続するための情報を教える。来訪者は，教えられた情報をNPCに設定することで，無線LANの利用が可能になる。来訪者のNPCには，APがESSIDに対応した来訪者向けのVLAN（VLAN200）を割り当てる。VLAN200が割り当てられることによって，来訪者のNPCは，無線LANへのアソシエーション後に，ルータ2がもつDHCP機能でネットワーク情報が付与され，インターネットアクセスだけができるようになる。 J君は，以上の設計内容をN主任に説明した。N主任は，J君の設計内容を基に無線LAN導入計画書を作成し，J君と一緒にM課長に説明したところ，導入計画書はM課長に承認され，実施に移されることになった。 設問1 表1～3中の［a］～［e］に入れる適切な字句又は数値を答えよ。 設問2 〔暗号化方式と認証方式の検討〕について，(1)，(2)に答えよ。 (1) 本文中の［f］～［j］に入れる適切な字句を答えよ。 (2) 本文中の下線①について，図2中の暗号文ブロックe1を平文ブロックm1に復号する手順を，40字以内で述べよ。 設問3 〔APの設置方法の検討〕について，(1)～(5)に答えよ。 (1) 本文中の下線②について，検討しているAP製品で最大約867Mビット／秒の通信速度を得るのに，最低限必要な周波数帯域幅とアンテナ本数を，それぞれ答えよ。 (2) 本文中の下線③の方式について，無線LAN端末による通信がWLCを経由する方式と比較したときの利点を二つ挙げ，それぞれ40字以内で述べよ。 (3) 本文中の下線④の悪影響の内容を，25字以内で述べよ。 (4) 図3の構成でAPを設置して，チャネルボンディングした周波数帯が重ならないようにするためには，少なくとも幾つの周波数帯のグループが必要になるかを答えよ。また，各APのセルを重ねる目的を，25字以内で述べよ。 (5) 本文中の下線⑤について，IEEE 802.3at規格のPoE機能の呼称，及び当該L2SWで今回必要になる最小供給電力を，それぞれ答えよ。 設問4 〔ディジタル証明書の配布方法の検討〕について，(1)～(3)に答えよ。 (1) 本文中の下線⑥について，NPCで必要になる情報を二つ挙げ，それぞれ15字以内で答えよ。 (2) 本文中の下線⑦の問題を，60字以内で述べよ。 (3) 本文中の下線⑧について，ダウンロードできない本社の営業員を，25字以内で答えよ。ただし，NPCの紛失，故障などで新たに貸与されるケースは除く。 設問5 〔既設LANへの無線LANの接続構成の設計〕について，(1)～(6)に答えよ。 (1) 図4中で，IEEE 802.1Xのサプリカントとなる機器及びオーセンティケータとなる機器を，図4中の機器名でそれぞれ答えよ。 (2) 本文中の下線⑨について，来訪者に教える情報を二つ挙げ，それぞれ答えよ。 (3) 図4中で，今回新たにタグVLANが設定される箇所を，図4中の㋐～㋓から選び，記号で答えよ。 (4) 図4の構成で，来訪者のNPCにインターネットアクセスだけを可能にするための，L2SW5へのVLAN設定内容を，40字以内で述べよ。 (5) 図4中のNPCが認証された後にWLCに障害が発生した場合，当該NPCで発生する問題を，20字以内で答えよ。また，その理由を，40字以内で述べよ。 (6) 図4中で，認証後の営業員のNPCによるインターネットアクセスにおいて，経由する機器名又はサーバ名を，【転送経路】の表記法に従い，経由する順に全て列挙せよ。 【転送経路】 NPC → ［経由する順に全て列挙］ → インターネット