令和元年度秋期 ネットワークスペシャリスト 午後Ⅰ 問3

問3　LANのセキュリティ対策に関する次の記述を読んで、設問1～4に答えよ。 E社は、小売業を営む中堅企業である。E社のネットワーク構成を、図1に示す。 図1 E社のネットワーク構成（抜粋） 図1の概要、及びPCのセキュリティ対策について、次に示す。 ・PCを接続するLANは、各フロア二つ、計四つのセグメントに分かれている。 ・ルーティング情報は、全てスタティックに定義してある。 ・L3SW1、L3SW2で設定されているVLANは、全てポートVLANである。 ・①PCのIPアドレスは、DHCPサーバによって割り当てられる。 ・PCはメンテナンスサーバを利用して、OSやアプリケーションプログラムのアップデート、ウイルス定義ファイルのアップデートなどを行う。 ・PCには、E社のセキュリティルールに従っているかどうかを検査するソフト（以下、Sエージェントという）がインストールされている。 ・Sエージェントは、検査結果をPC管理サーバに登録する。 E社では、情報システム部（以下、情シス部という）が、定期的にPC管理サーバを参照して、検査結果が不合格であるPCの利用者に、対処を指示している。しかし、対処をしないままPCを使用し続ける利用者が、少なからず存在する。また、無断で個人所有のPCをLANに接続することが、度々起きていた。そこでE社は、セキュリティルールに反したPCに対し、LANの利用を制限することにした。 〔LAN通信制限方法の検討〕 情シス部は、LAN通信制限の要件を次のとおり整理した。 ・通信を許可するかしないかは、PC管理サーバ上の情報によって決定する。 ・PC管理サーバ上の情報に応じて、PCを次の三つに区分する。 　正常PC：Sエージェントの検査結果が合格のPC 　不正PC：Sエージェントの検査結果が不合格のPC 　未登録PC：PC管理サーバに登録がないPC（無断持込みのPCは、これに該当） ・正常PCは、通信を許可し、不正PCと未登録PC（以下、排除対象PCという）は、通信を許可しない。 情シス部は、LAN通信制限の実現策として、次の2案を検討した。 案1：DHCPサーバとL2SWによる通信制限 ・正常PCだけにIPアドレスを付与するよう、DHCPサーバに機能追加する。 ・②DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする。 案2：専用機器による通信制限 ・ARPスプーフィングの手法を使って、LAN上の通信を制限する機能をもつ機器（以下、通信制限装置という）を新たに導入し、排除対象PCによる通信を禁止する。 案2の通信制限装置は、セグメント内のARPパケットを監視し、排除対象PCが送信したARP要求を検出すると、排除対象PCのパケット送信先が通信制限装置となるように偽装したARP応答を送信する。同時に、排除対象PC宛てパケットの送信先が通信制限装置となるように偽装したARP要求を送信する。これら各ARPパケットのデータ部を、表1に示す。 表1 各ARPパケットのデータ部 なお、通信制限装置が送信するARP応答は10秒間隔で繰り返し送信され、あらかじめ設定された時間、又はオペレータによる所定の操作があるまで、継続する。 案1、案2ともに、同等のLAN通信制限ができるが、案2の通信制限装置には、PC管理サーバとの連携を容易にする機能が存在する。そこで、情シス部は案2を採用することにした。 〔通信制限装置の導入〕 通信制限装置のLANポート数は4であり、各LANポートの接続先は、全て異なるセグメントでなければならない。また、タグVLANに対応可能である。 通信制限装置の価格、セグメント数やタグVLAN対応に応じたライセンス料、フロア間配線の工事費用、既存機器の設定変更の工数などを勘案し、情シス部は、③タグVLANを使用せず、フロア間の配線も追加しない構成を選択した。また、④通信制限装置を接続するスイッチは、既設のL3SWとした。 〔運用の整備〕 新規に調達されたPCは、PC管理サーバに検査結果が登録されていないので、通信制限装置の排除対象になってしまう。そこで、新規のPCは、情シス部がPC管理サーバに正常PCとして登録した後に、利用者に配布する運用にした。 また、不正PCを正常PCに復帰させる対処を行うために、不正PCを接続するセグメント（以下、対処用セグメントという）を、フロア1とフロア2に追加することにした。⑤対処用セグメントから他セグメントの機器への通信は、L3SW1及びL3SW2のパケットフィルタリングによって必要最小限に制限する。 情シス部が作成した計画に基づいて、E社はLANのセキュリティ対策を導入し、運用を開始した。 設問1　本文中の下線①について、DHCPサーバとPCのセグメントが異なっている場合に必要となる、スイッチの機能名を答えよ。また、その機能が有効になっているスイッチを、図1中の機器名で、全て答えよ。ただし、その機能が有効になっているスイッチは、台数が最少となるように選択すること。 設問2　〔LAN通信制限方法の検討〕について、（1）～（3）に答えよ。 （1）案1において、本文中の下線②を実施しない場合に生じる問題を、35字以内で述べよ。 （2）図1中のフロア1、フロア2のL2SWで、DHCPスヌーピングを有効にする際に、L3SWと接続するポートにだけ必要な設定を、25字以内で述べよ。 （3）表1中のa～dに入れる適切な字句を解答群の中から選び、記号で答えよ。 解答群 ア　アドレス解決対象のIPアドレス イ　アドレス解決対象のMACアドレス ウ　通信制限装置のIPアドレス エ　通信制限装置のMACアドレス オ　排除対象PCのIPアドレス カ　排除対象PCのMACアドレス 設問3　〔通信制限装置の導入〕について、（1）、（2）に答えよ。 （1）本文中の下線③の構成において、必要となる通信制限装置の最少台数を答えよ。ただし、サーバ室での不正PCや未登録PCの利用対策は、考慮しなくてよいものとする。 （2）本文中の下線④について、導入する通信制限装置のうちの1台を対象として、そのLANポート1～4の接続先を、図1中の機器名でそれぞれ答えよ。ただし、LANポート1～4は番号の小さい順に使用し、使用しないポートには“空き”と記入すること。 設問4　〔運用の整備〕について、（1）、（2）に答えよ。 （1）本文中の下線⑤について、対処用セグメントのPCの通信先として許可される他セグメントの機器を二つ挙げ、それぞれ図1中の機器名で答えよ。 （2）対処用セグメントを追加する際に、L3SW1、L3SW2以外に設定変更が必要な機器を二つ挙げ、それぞれ図1中の機器名で答えよ。また、それぞれの機器の変更内容を、30字以内で述べよ。