平成30年度秋期 ネットワークスペシャリスト 午後Ⅰ 問3

問3　企業内ネットワーク再構築に関する次の記述を読んで，設問1～4に答えよ。 D社は，東京の本社，名古屋支店及び大阪支店の3拠点にオフィスを構える出版会社である。D社の社内ネットワークは，3拠点をそれぞれ専用線で結ぶWANと，拠点内LANで構成されている。各拠点内の業務にはそれぞれ拠点内の業務サーバを使用し，全社的な業務には本社の業務サーバを使用している。また，各拠点では本社のプロキシサーバを経由してインターネットを利用している。D社の現行ネットワーク構成を図1に示す。 図1 D社の現行ネットワーク構成（抜粋） D社では，拠点間で利用しているルータの更改時期を迎えたことから，将来を見据えてWAN構成を見直すことになり，情報システム部のEさんが検討することになった。 【WAN構成の検討】 （1）WAN構成の見直し方針案 Eさんは，WAN構成の見直しについてコストも含めて検討し，次の方針案を立てた。 ・IP-VPNを利用して3拠点間を接続する。 ・IP-VPNへのアクセス回線は，安価なイーサネット回線サービスを利用する。 ・通常時は拠点間通信にIP-VPNを用いるが，IP-VPNの障害時にはインターネットVPNをバックアップ回線として用いる。 ・インターネットVPNは，FWに備わるIPsec方式のVPN機能を用いる。 ・名古屋支店と大阪支店には，インターネットVPN専用のインターネット回線を敷設し，FWを設置する。 ・各拠点からのインターネットアクセスは，これまでと同様に本社のプロキシサーバ経由で行う。 （2）IP-VPN及びIPsecの概要 Eさんは，方針案のIP-VPN及びIPsecについて調査し，その結果を次のようにまとめた。 （i）IP-VPN ・IP-VPNは，通信事業者が運営する閉域IPネットワーク（以下，事業者閉域IP網という）を利用者のトラフィック交換に提供するサービスである。 ・IP-VPNは，①事業者閉域IP網内で複数の利用者のトラフィックを中継するのに，RFC 3031で規定された方式が用いられる。 ・利用者のネットワークと事業者閉域IP網との接続点において，利用者が設置するCE（Customer Edge）ルータから送られたパケットは，通信事業者のPE（Provider Edge）ルータで【ア】と呼ばれる短い固定長のタグ情報が付与される。 ・事業者閉域IP網内では，②タグ情報を参照して中継され，【ア】は対向側の【イ】で取り除かれる。 （ii）IPsec ・IPsecは，暗号技術を利用してノード間通信を行うためのプロトコルであり，IPパケット通信の完全性・機密性を確保する。 ・IPsecは，OSI基本参照モデルの【ウ】レイヤで動作する。 ・3拠点間には，バックアップ回線として3本のIPsecトンネルが必要である。 これらの検討を基に，Eさんが考えたD社のネットワーク構成を，図2に示す。 図2 Eさんが考えたD社のネットワーク構成（抜粋） 〔冗長化ルーティングの検討〕 図2のネットワーク構成で拠点間通信を行う場合，正常時は【エ】を利用するが，【エ】の障害時は【オ】に切り替える必要がある。Eさんはそのための方策の検討を行い，次のルーティング方式を考えた。 ・各拠点間のIPsecトンネル及び各拠点内LANのルーティングは，OSPFを利用する。 ・各拠点間のIPsecトンネル接続では，③GRE over IPsecを利用する。 ・CEルータでもある各拠点のL3SWは，IP-VPN側で隣接するPEルータとBGP4で経路交換する。具体的には，各拠点のL3SWは，自拠点の経路情報をPEルータに広告するとともに，④PEルータから経路情報を受信する。 この方式で，本社，名古屋支店，大阪支店のL3SWからそれぞれの別拠点への経路の冗長化を行う。各拠点のL3SWは，⑤複数のルーティングプロトコルから得た同一宛先への異なる経路情報から，適切な経路を選択する。 〔拠点追加の場合のIPsecトンネル接続追加の検討〕 Eさんは，IPsecトンネル接続の追加について，今後拠点が追加になった場合を想定した検討を始めた。図2のような⑥フルメッシュのIPsecトンネルのネットワーク構成に，追加拠点向けIPsecトンネルを手動で追加設定するネットワーク拡張方式は望ましくないと考え，ネットワーク機器ベンダの技術者に改善案を相談した。その結果，FWのIPsec方式のVPN機能のオプションである，IPsecトンネルを動的に確立する機能（以下，自動トンネル機能という）を活用した方式を提案された。そこで，Eさんは，その方式を前提として次の設計方針を立てた。 ・本社をハブ拠点，支店の2拠点をスポーク拠点とするハブアンドスポーク構成とし，ハブ拠点とスポーク拠点間のIPsecトンネルを従来どおり固定的に設定する。 ・スポーク拠点間IPsecトンネル（以下，S-Sトンネルという）については，拠点間のトラフィックの発生に応じてトンネルを動的に確立させる。 ・S-Sトンネルは，一定時間トラフィックがなければ自動的に切断するようにする。 ・動的にS-Sトンネルを確立するために，NHRP（Next Hop Resolution Protocol）を用いる。 NHRPは，IPsecトンネル確立に必要な対向側IPアドレス情報を，トンネル確立時に動的に得るのに利用される。IPsecトンネルの確立は，スポーク拠点間での通信の発生を契機にして行われる。例えば，名古屋支店内のPCから大阪支店内のサーバへの通信が行われる場合，⑦名古屋支店のFW3はNHRPによって得られた情報を利用してS-Sトンネルを確立する。このように，自動トンネル機能を利用すれば，フルメッシュ構成のトンネルを手動で設定する必要がない。 Eさんは，それまでの設計方針をまとめ，ネットワーク機器ベンダの技術者に確認を依頼した。ネットワーク機器ベンダの技術者からは，OSPFと自動トンネル機能を組み合わせて利用する場合の留意点の指摘があった。その指摘の内容は，“スポークとなる機器がOSPFの代表ルータに選出されてしまうと，スポーク拠点間のIPsecトンネルが解放されなくなってしまうので，それを防ぐために，スポークとなる機器のOSPFに追加の設定が必要になる”というものであった。そこで，Eさんは，防止策として⑧追加すべき設定内容を定めた。 その後，Eさんが考えたネットワーク構成が情報システム部で承認され，Eさんを構築プロジェクトリーダとして，WANの再構築が開始された。 設問1　本文中の【ア】～【オ】に入れる適切な字句を答えよ。 設問2　【WAN構成の検討】について，（1），（2）に答えよ。 （1）本文中の下線①について，IP-VPNサービス提供のために事業者閉域IP網内で用いられるパケット転送技術を答えよ。 （2）本文中の下線②について，事業者閉域IP網内の利用者トラフィック中継処理において，タグ情報を利用する目的を，25字以内で述べよ。 設問3　【冗長化ルーティングの検討】について，（1）～（3）に答えよ。 （1）本文中の下線③について，GRE over IPsecを利用する目的を，25字以内で述べよ。 （2）本文中の下線④について，各拠点のCEルータが受信する経路情報を，15字以内で答えよ。 （3）本文中の下線⑤について，Eさんが検討したルーティング方式において，L3SWでの経路の優先選択の考え方を，25字以内で述べよ。 設問4　〔拠点追加の場合のIPsecトンネル接続追加の検討〕について，（1）～（3）に答えよ。 （1）本文中の下線⑥について，望ましくない理由を，30字以内で述べよ。 （2）本文中の下線⑦について，NHRPから得られる情報を，25字以内で答えよ。 （3）本文中の下線⑧について，追加設定が必要な機器を，図2中の機器名で全て答えよ。また，追加すべきOSPFの設定を，25字以内で述べよ。