NWネットワークスペシャリスト試験午後Ⅰ

令和4年度春期ネットワークスペシャリスト午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問2　セキュアゲートウェイサービスの導入に関する次の記述を読んで，設問1～3に答えよ。 N社は，国内に本社及び一つの営業所をもつ，中堅の機械部品メーカである。従業員は，N社が配布するPCを本社又は営業所のLANに接続して，本社のサーバ，及びSaaSとして提供されるP社の営業支援サービスを利用して業務を行っている。 N社は，クラウドサービスの利用を進め，従業員のテレワーク環境を整備することにした。N社の情報システム部は，本社のオンプレミスのサーバからQ社のPaaSへの移行と，Q社のセキュアゲートウェイサービス（以下，SGWサービスという）の導入を検討することになった。SGWサービスは，PCがインターネット上のサイトに接続する際に，送受信するパケットを本サービス経由とすることによって，ファイアウォール機能などの情報セキュリティ機能を提供する。〔現行のネットワーク構成〕 N社の現行のネットワーク構成を図1に示す。図1 N社の現行のネットワーク構成（抜粋） N社の現行システムの概要を次に示す。・本社及び営業所のLANは，IPsecルータを利用したIPsec VPNで接続している。・本社及び営業所のIPsecルータは，IPsec VPNを確立したときに有効化される仮想インタフェース（以下，トンネルIFという）を利用して相互に接続する。・営業所のPCからP社営業支援サービス宛てのパケットは，営業所のIPsecルータ，本社のIPsecルータ，L3SW，FW及びインターネットを経由してP社営業支援サービスに送信される。・FWは，パケットフィルタリングによるアクセス制御と，NAPTによるIPアドレスの変換を行う。・P社営業支援サービスでは，①特定のIPアドレスから送信されたパケットだけを許可するアクセス制御を設定して，本社のFWを経由しない経路からの接続を制限している。本社及び営業所のIPsecルータは，LAN及びインターネットのそれぞれでデフォルトルートを使用するために，VRF（Virtual Routing and Forwarding）を利用して二つの【a】テーブルを保持し，経路情報をVRFの識別子（以下，VRF識別子という）によって識別する。ネットワーク機器のVRFとインタフェース情報を表1に，ネットワーク機器に設定しているVRFと経路情報を表2に示す。表1 ネットワーク機器のVRFとインタフェース情報（抜粋）表2 ネットワーク機器に設定しているVRFと経路情報（抜粋） N社のネットワーク機器に設定している経路制御を，次に示す。・本社のFW，L3SW及びIPsecルータには，OSPFによる経路制御を稼働させるための設定を行っている。・本社のFWには，OSPFにデフォルトルートを配布する設定を行っている。・②本社のIPsecルータには，営業所のIPsecルータとIPsec VPNを確立するために，静的なデフォルトルートを設定している。・本社及び営業所のIPsecルータには，営業所のPCが通信するパケットをIPsec VPNを介して転送するために，トンネルIFをネクストホップとした静的経路を設定している。・本社のIPsecルータには，OSPFに③静的経路を再配布する設定を行っている。〔新規ネットワークの検討〕 Q社のPaaS及びSGWサービスの導入は，N社の情報システム部のR主任が担当することになった。R主任が考えた新規ネットワーク構成と通信の流れを図2に示す。図2 R主任が考えた新規ネットワーク構成と通信の流れ（抜粋） R主任が考えた新規ネットワーク構成の概要を次に示す。・本社のサーバ上で稼働するシステムを，Q社PaaSへ移行する。・Q社SGWサービスを利用するために，本社及び営業所に導入する新IPsecルータ，並びにTPCは，Q社SGWサービスのPOPという接続点にトンネルモードのIPsec VPNを用いて接続する。・PC及びTPCからP社営業支援サービス宛てのパケットは，Q社SGWサービスのPOPとFW機能及びインターネットを経由してP社営業支援サービスに送信される。・Q社SGWサービスのFW機能は，パケットフィルタリングによるアクセス制御と，NAPTによるIPアドレスの変換を行う。 R主任は，POPとの接続に利用するIPsec VPNについて，検討した。 IPsec VPNには，IKEバージョン2と，ESPのプロトコルを用いる。新IPsecルータ及びTPCとPOPは，IKE SAを確立するために必要な，暗号化アルゴリズム，疑似ランダム関数，完全性アルゴリズム及びDiffie-Hellmanグループ番号を，ネゴシエーションして決定し，IKE SAを確立する。次に，新IPsecルータ及びTPCとPOPは，認証及びChild SAを確立するために必要な情報を，IKE SAを介してネゴシエーションして決定し，Child SAを確立する。新IPsecルータ及びTPCは，IPsec VPNを介して転送する必要があるパケットを，長さを調整するESPトレーラを付加して【e】化する。次に，新しい【f】ヘッダと，【g】SAを識別するためのESPヘッダ及びESP認証データを付加して，POP宛てに送信する。 R主任は，IPsec VPNの構成に用いるパラメータについて，現行の設計と比較検討した。検討したパラメータのうち，鍵の生成に用いるアルゴリズムと【h】を定めているDiffie-Hellmanグループ番号には，現行では1を用いているが，POPとの接続では1よりも【h】の長い14を用いた方が良いと考えた。〔接続テスト〕 Q社のPaaS及びSGWサービスの導入を検討するに当たって，Q社からテスト環境を提供してもらい，本社，営業所及びテレワーク拠点から，Q社PaaS及びP社営業支援サービスを利用する接続テストを行うことになった。 R主任は，接続テストを行う準備として，P社営業支援サービスに設定しているアクセス制御を変更する必要があると考えた。P社営業支援サービスへの接続を許可するIPアドレスには，Q社SGWサービスのFW機能でのNAPTのために，Q社SGWサービスから割当てを受けた固定のグローバルIPアドレスを設定する。R主任は，Q社SGWサービスがN社以外にも提供されていると考えて，④NAPTのためにQ社SGWサービスから割当てを受けたグローバルIPアドレスのサービス仕様を，Q社に確認した。テスト環境を構築したR主任は，Q社PaaS及び⑤P社営業支援サービスの応答時間の測定を確認項目の一つとして，接続テストを実施した。 R主任は，N社の幹部に接続テストの結果に問題がなかったことを報告し，Q社のPaaS及びSGWサービスの導入が承認された。設問1　〔現行のネットワーク構成〕について，（1）～（6）に答えよ。（1）本文中の下線①のIPアドレスを，表1中のIPアドレスで答えよ。（2）本文中の【a】に入れる適切な字句を答えよ。（3）表2中の【b】～【d】に入れる適切な字句を，表2中の字句を用いて答えよ。（4）“本社のIPsecルータ”が，営業所のPCからP社営業支援サービス宛てのパケットを転送するときに選択する経路は，表2中のどれか。VRF識別子及び宛先ネットワークを答えよ。（5）本文中の下線②について，デフォルトルート（宛先ネットワーク0.0.0.0/0の経路）が必要になる理由を，40字以内で述べよ。（6）本文中の下線③の宛先ネットワークを，表2中の字句を用いて答えよ。設問2　〔新規ネットワークの検討〕について，（1），（2）に答えよ。（1）本文中の【e】～【h】に入れる適切な字句を答えよ。（2）POPとのIPsec VPNを確立できない場合に，失敗しているネゴシエーションを特定するためには，何の状態を確認するべきか。本文中の字句を用いて二つ答えよ。設問3　〔接続テスト〕について，（1），（2）に答えよ。（1）本文中の下線④について，情報セキュリティの観点でR主任が確認した内容を，20字以内で答えよ。（2）本文中の下線⑤について，P社営業支援サービスの応答時間が，現行よりも長くなると考えられる要因を30字以内で答えよ。

図1 N社の現行のネットワーク構成（抜粋）。本社と営業所をIPsec VPNで接続し，本社のFW，L3SW，サーバ及びPC，営業所のL2SWとPC，インターネット上のサービスを示す構成図。

表1 ネットワーク機器のVRFとインタフェース情報（抜粋）。本社及び営業所のFW・IPsecルータについて，VRF識別子，インタフェース，IPアドレス，サブネットマスク，接続先を整理した表。

表2 ネットワーク機器に設定しているVRFと経路情報（抜粋）。本社FW及びIPsecルータ，営業所IPsecルータのVRF識別子，宛先ネットワーク，ネクストホップ，経路制御方式を示す表。

図2 R主任が考えた新規ネットワーク構成と通信の流れ（抜粋）。本社，営業所，テレワーク拠点をQ社SGWサービスのPOPへIPsec VPN接続し，PaaSやP社サービスへ通信する新構成図。

解き方のヒントを見る

前提条件と判断対象の対応を整理する

この分野の問題では、判断に使う条件が何を対象としているかに注目しましょう。条件と対象の対応を整理し、異なる対象についての条件を混ぜて考えていないかを確かめることが、検討の出発点になります。

この問題で問われていること

着目するのは、ある条件を、どの対象についての判断に用いているかという対応関係です。提示された情報を整理する際には、その条件が別の対象にも当てはまると、根拠なく広げて解釈していないかを確認しましょう。

視点

条件は、どの対象について述べられているかと組にして整理すると、判断の根拠を追いやすくなります。条件を別の対象にも適用して考えている場合は、その対応を裏付ける情報があるかを確かめましょう。

確認ポイント

判断に用いる条件の対象を把握したか
その条件と判断対象の対応を説明できるか
条件の対象を根拠なく広げていないか

正解と解説を見る

解説

本問は、クラウド移行とテレワーク対応に伴うSGWサービス導入を題材に、VRFごとの経路選択、IPsec VPNの確立と暗号化、NAPT後のアクセス制御及び経由先の追加による遅延を問う問題です。

問題の全体像

N社は、本社と営業所をIPsec VPNで接続し、本社のFWを経由してP社営業支援サービスを利用しています。クラウド移行とテレワーク対応のため、各拠点からQ社SGWサービスのPOPへVPN接続する構成を検討します。出題趣旨では、VRFを用いたネットワーク設計、IPsec VPNの設計・構築、SGW導入後の通信制御を実務に活用できるかを問うとしています。現行構成の経路選択を正確に読み、新構成でのVPN確立、アクセス制御、応答時間への影響につなげて考えます。

設問1(1)

公式解答例では「a.b.c.d」です。本文では、本社のFWがNAPTを行い、P社営業支援サービスは本社のFWを経由した接続だけを許可しています。P社側で確認できる送信元IPアドレスは、NAPT後の本社FWのグローバルIPアドレスです。表1で本社FWのINT-IFに設定されている「a.b.c.d」を選びます。

設問1(2)

公式解答例では「ルーティング」です。本文の「LAN及びインターネットのそれぞれでデフォルトルートを使用するため」に着目します。VRFはルーティングテーブルを分け、同じ宛先ネットワークの経路でも別々に管理できる仕組みです。本問では、表1の65000:1がINT-IFに、65000:2がLAN-IF及びトンネルIFに対応し、それぞれのテーブルにデフォルトルートを保持します。

設問1(3)(b)

公式解答例では「本社のL3SW」です。空欄bは、本社IPsecルータのVRF 65000:2にある、宛先0.0.0.0/0の動的経路のネクストホップです。本文では、本社FWがOSPFへデフォルトルートを配布し、営業所PCからP社宛てのパケットは本社IPsecルータ、L3SW、FWの順に通るとされています。このため、インターネット上の宛先へ向かう当該経路のネクストホップは本社のL3SWです。営業所LAN宛ての172.17.1.0/24をトンネルIFへ転送する経路は、表2の別行です。

設問1(3)(c)

公式解答例では「静的経路制御」です。空欄cの行は、本社IPsecルータから営業所LANの172.17.1.0/24へ向かう経路で、ネクストホップはトンネルIFです。本文には、トンネルIFをネクストホップとした静的経路を設定すると明記されています。OSPFへ再配布する設定があっても、本社IPsecルータ上でのこの経路の設定方式は静的経路制御です。

設問1(3)(d)

公式解答例では「静的経路制御」です。空欄dは、営業所IPsecルータのVRF 65000:2にあるデフォルトルートの経路制御方式です。本文のトンネルIFをネクストホップとした静的経路の設定に対応します。営業所PCからP社営業支援サービスなどへ向かうパケットを、トンネルIFから本社へ転送するための静的なデフォルトルートです。

設問1(4)(VRF識別子)

公式解答例では「65000:2」です。表1では、本社IPsecルータのトンネルIFとLAN-IFが65000:2に属しています。営業所PCからP社宛てのパケットは、VPNを通って本社のトンネルIFに到着するので、VPNの内側のパケットを転送するときは65000:2のルーティングテーブルを使用します。65000:1はINT-IFに対応するVRFであり、インターネットを介してVPNを確立する外側の通信に用います。

設問1(4)(宛先ネットワーク)

公式解答例では「0.0.0.0/0」です。P社営業支援サービスはインターネット上の宛先なので、表2のVRF 65000:2にある営業所LAN向けの172.17.1.0/24には該当しません。このため、同じVRFのデフォルトルートを選び、ネクストホップである本社のL3SWへ転送します。その後は本文の記述どおり、FWとインターネットを経由してP社へ送られます。

設問1(5)

公式解答例では「ISPが割り当てる営業所のIPsecルータのIPアドレスが動的だから」です。表1の注4に、営業所のINT-IFのw.x.y.zは動的なグローバルIPアドレスとあります。VPNの対向先のIPアドレスが変わる可能性があるため、本社側は固定の宛先だけに依存せず、デフォルトルートでISPのルータへ転送できるようにします。40字以内の答案では、営業所IPsecルータに割り当てられるIPアドレスが動的である点を押さえます。採点講評でも、この条件を本文から読み取ることが求められています。

設問1(6)

公式解答例では「172.17.1.0/24」又は「営業所のLAN」です。表2で、本社IPsecルータのVRF 65000:2に設定された、トンネルIFをネクストホップとする静的経路に着目します。この経路は、営業所LAN宛てのパケットを本社からトンネルIFへ転送するための経路です。これをOSPFへ再配布することで、本社のL3SWやFWが営業所LANへの経路を学習できます。営業所PCを送信元とするパケットの往路ではなく、営業所LANを宛先とする方向を捉えることが重要です。

設問2(1)(e)

公式解答例では「暗号」です。本文では、VPNを介して転送するパケットに、長さを調整するESPトレーラを付加してから処理するとあります。ここはESPによる暗号化の説明なので、「暗号」を入れて「暗号化する」となります。トンネルモードでは、元のIPパケットを内側に収めて暗号化し、その後に外側のヘッダなどを付加します。

設問2(1)(f)

公式解答例では「IP」です。新構成では、POPへトンネルモードのIPsec VPNで接続します。元のIPパケットは暗号化された内側のデータとなるため、インターネット上でPOPまで配送するために、新しい外側のIPヘッダを付加します。元の通信相手への宛先と、VPNの接続先であるPOPへの宛先を区別して読みます。

設問2(1)(g)

公式解答例では「Child」です。本文では、まずIKE SAを確立し、その後に認証とChild SAの確立に必要な情報をネゴシエーションするとあります。ESPによるデータ通信に使うSAはChild SAなので、ESPヘッダが識別する対象は「Child SA」です。IKE SAは、その確立などに必要な制御情報をやり取りするために用います。

設問2(1)(h)

公式解答例では「鍵長」です。本文の「鍵の生成に用いるアルゴリズムと…を定めている」「1よりも…の長い14」という二つの記述から判断します。Diffie-Hellmanグループ番号は鍵生成に用いる方式と鍵長に関係するため、空欄は「鍵長」です。採点講評では、IKEのバージョンやDiffie-Hellmanグループ番号など、IPsec VPNで選択するパラメータを正しく理解することが求められています。

設問2(2)(①)

公式解答例では「IKE SA」です。本文では、暗号化アルゴリズム、疑似ランダム関数、完全性アルゴリズム、Diffie-Hellmanグループ番号を決定し、最初にIKE SAを確立します。まずIKE SAの状態を確認することで、最初の確立段階まで進めているかを切り分けられます。答案では、本文中の字句である「IKE SA」を示します。

設問2(2)(②)

公式解答例では「Child SA」です。本文では、IKE SAを介して認証及びChild SAの確立に必要な情報をネゴシエーションします。IKE SAが確立していても、Child SAが確立していなければ、後続の認証やChild SA確立の段階を確認する必要があります。IKE SAとChild SAの両方の状態を見ることで、失敗している段階を切り分けます。

設問3(1)

公式解答例では「N社専用のIPアドレスであること」です。P社営業支援サービスは、NAPT後の送信元グローバルIPアドレスを基に接続を許可します。本文の「SGWサービスがN社以外にも提供されている」に着目すると、同じIPアドレスを他社と共有している場合、他社からの通信まで許可するおそれがあります。20字以内の答案では、割り当てられたIPアドレスがN社専用であることを示します。

設問3(2)

公式解答例では「Q社SGWサービスの経由によって発生する遅延」です。図2と本文では、P社営業支援サービスへの通信がQ社SGWサービスのPOPとFW機能を経由します。採点講評では、SGW経由によって経路が長くなったり、サービス内で遅延が発生したりする可能性への理解が求められています。30字以内の答案では、Q社SGWサービスを経由することで発生する遅延を要因として示します。

学習のポイント

VPNの外側と内側の通信を区別し、受信インタフェースのVRF、宛先ネットワーク、ネクストホップを対応付けて読むことが重点です。

出典：独立行政法人情報処理推進機構（IPA）令和4年度春期ネットワークスペシャリスト試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

令和4年度春期 ネットワークスペシャリスト 午後Ⅰ 問2

問題