令和6年度春期 ネットワークスペシャリスト 午後Ⅰ 問1

問1 コンテンツ配信ネットワークに関する次の記述を読んで，設問に答えよ。 D社は，ゲームソフトウェア開発会社で三つのゲーム(ゲームα，ゲームβ，ゲームγ)をダウンロード販売している。D社のゲームはいずれも利用者の操作するゲー ム端末上で動作し，ゲームの進捗データやスコアはゲーム端末内に暗号化して保存 される。D社のゲームは世界中に利用者がおり，ゲーム本体及びゲームのシナリオデ ータ(以下，両方をゲームファイルという)はインターネット経由で配信されてい る。 〔現状の配信方式〕 D社は，ゲームファイルの配信のためのデータセンターを所有している。 D社データセンターの構成を図1に示す。 ゲーム端末は，インターネット経由でゲームごとにそれぞれ異なる URLにHTTPSで アクセスする。LBは，プライベートIPアドレスが設定されたHTTPの配信サーバにア クセスを振り分ける。また，下線①LBは配信サーバにHTTP アクセスによって死活確認を 行い、動作が停止している配信サーバに対してはゲーム端末からのアクセスを振り 分けない。 ゲームファイルの配信に利用するIPアドレスとポート番号を，表1に示す。 D 社が導入している LB のサーバ振分けアルゴリズムには、ラウンドロビン方式及 び最少接続数方式がある。ラウンドロビン方式は，ゲーム端末からの接続を接続ご とに配信サーバに順次振り分ける方式である。最少接続数方式は，ゲーム端末から の接続をその時点での接続数が最も少ない配信サーバに振り分ける方式である。 D社のゲームファイル配信では，振り分ける先の配信サーバの性能は同じだが，接 続ごとに配信するゲームファイルのサイズに大きなばらつきがあり，配信に掛かる 時間が変動する。各配信サーバへの同時接続数をなるべく均等にするために，LBの 振分けアルゴリズムとして 【ア】方式を採用している。 ゲームβの配信性能向上が必要になる場合には，表1中の所属セグメント【イ】にサーバを増設する。 〔配信方式の見直し〕 D社は，ゲームファイルの大容量化と利用者のグローバル化に伴い，ゲームファイ ルの配信をコンテンツ配信ネットワーク(以下、CDNという)事業者のE社のサービ スで行うことにした。 E社 CDNは，多数のキャッシュサーバを設置する配信拠点(以下，POPという)を 複数もち，その中から，ゲーム端末のインターネット上の所在地に対して最適なPOP を配信元としてコンテンツを配信する。 あるPOP が端末からアクセスを受けると，POP内でLBがキャッシュサーバにアクセ スを振り分ける。E社 CDNのキャッシュサーバにコンテンツが存在しない場合は，D 社データセンターの配信サーバからE社 CDNのキャッシュサーバにコンテンツが同期 される。 配信方式の見直しプロジェクトはXさんが担当することになった。Xさんは，E社 が提供している BGP anycast 方式のPOP 選択方法を調査した。XさんがE社からヒア リングした内容は次のとおりである。 E社 BGP anycast 方式では，同じアドレスブロックを同じAS番号を用いてシンガポ ール POP及び東京 POP の両方からBGP で経路広告する。シンガポールPOPと東京POP の間は直接接続されていない。ゲーム端末が接続する ISPでは，E社 ASの経路情報を 複数の隣接した ASから受信する。どの経路情報を採用するかは BGP の経路選択アル ゴリズムで決定される。ゲーム端末からのHTTPS リクエストのパケットは，決定され た経路で隣接の AS に転送される。 BGP anycast 方式によるE社の経路広告イメージを図2に示す。 図2でIXは，レイヤー2ネットワーク相互接続点であり，接続された隣接の AS 同 士がBGP で直接接続することができる。 BGP での経路選択では、LP(LOCAL_PREF)属性については値が【ウ】経路を優先し、MED(MULTI_EXIT_DISC)属性については値が【エ】経路を優先する。 E社では，LP 属性とMED属性が経路選択に影響を及ぼさないように設定している。こ れによって下線②E社のあるPOP からゲーム端末へのトラフィックの経路は，そのPOPの BGP ルータが受け取るAS Path 長によって選択される。 Xさんは，BGP のセキュリティ対策として何を行っているか，E社の担当者に確認 した。E社BGP ルータは，下線③隣接ASのBGP ルータとMD5 認証のための共通のパスワー ドを設定していると説明を受けた。また，下線④アドレスブロックや AS番号を偽った不 正な経路情報を受け取らないための経路フィルタリングを行っていると説明があっ た。 〔配信拠点の保護〕 D社ではDDoS攻撃を受けることが何度かあった。そこでXさんは，コンテンツ配信 サーバへのDDoS攻撃対策について，どのような対策を行っているかE社の担当者に 確認したところ，E社では RFC 5635の中で定義された Destination Address RTBH (Remote Triggered Black Hole) Filtering(以下，RTBH方式という)のDDoS 遮断 システムを導入しているとの回答があった。E社 POPの概要を図3に示す。 E社のDDoS 遮断システムは，RFC 3954で定義される NetFlow で得た情報を基に DDoS攻撃の宛先IPアドレスを割り出し，該当IPアドレスへの攻撃パケットを廃棄す ることで，ほかのIPアドレスへの通信に影響を与えないようにする。DDoS 検知サー バは，E社 POP内の各BGPルータとiBGP ピアリングを行っている。 E社のBGP ルータは，インターネット側インタフェースから流入するパケットの送 元と宛先のIPアドレス，ポート番号などを含む NetFlow パケットを生成する。生 成された NetFlow パケットは DDoS 検知サーバに送信される。DDoS 検知サーバは，送 られてきた NetFlow パケットを基に独自アルゴリズムで DDoS攻撃の有無を判断し， 攻撃を検知した場合は DDoS攻撃の宛先 IPアドレスを取得する。 DDoS 検知サーバは，検知したDDoS攻撃の宛先 IPアドレスへのホスト経路を生成し RTBH 方式の対象であることを示すBGPコミュニティ属性を付与して各BGPルータに経 路広告する。RTBH 方式の対象であることを示す BGP コミュニティ属性が付いたホス ト経路を受け取った各BGP ルータは，そのホスト経路のネクストホップを廃棄用イン タフェース宛てに設定することで，DDoS攻撃の宛先 IPアドレス宛ての通信を廃棄す る。 DDoS 遮断システムの今後の開発予定をE社技術担当者に確認したところ，RFC 8955 で定義されるBGP Flowspec を用いる対策(以下、BGP Flowspec方式)をE社が提供 する予定であることが分かった。 BGP Flowspec 方式では，DDoS検知サーバからの iBGP ピアリングで，DDoS攻撃の宛 先IPアドレスだけではなく，DDoS攻撃の送信元IPアドレス，宛先ポート番号などを 組み合わせて BGP ルータに広告して該当の通信をフィルタリングすることができる。 Xさんは，下線⑤BGP Flowspec 方式の方が有用であると考え，E社技術担当者に早期提 供をするよう依頼した。 Xさんは，E社CDNとDDoS 遮断システムを導入する計画を立て，計画はD社内で承 認された。 設問1〔現状の配信方式〕について答えよ。 (1) 本文中の下線①について，HTTPではなく ICMP Echoで死活確認を行った場 合どのような問題があるか。50字以内で答えよ。 (2) 本文中の【ア】に入れる適切な字句を，本文中から選んで答えよ。 また，本文中の【イ】に入れる適切なセグメントを、表1中から選んで 答えよ。 (3) HTTPSに必要なサーバ証明書はどの装置にインストールされているか。必 ず入っていなければならない装置を一つだけ選び，図1中の字句で答えよ。 設問2〔配信方式の見直し〕について答えよ。 (1) 本文中の【ウ】、【エ】に入れる適切な字句を，“大きい”，“小 さい”のいずれかから選んで答えよ。 (2) 本文中の下線②について，図2でAS-E東京 POPにAS-GからのHTTPS リク エストのパケットが届く場合、E社のトラフィックはどちらの経路から配信さ れるか。途中通過する場所を，図2中の字句で答えよ。ここで，AS Path 長以 外は経路選択に影響せず，途中に無効な経路や経路フィルタリングはないも のとする。 (3) 本文中の下線③の設定をすることで何を防いでいるか。“BGP” という字句 を用いて10字以内で答えよ。 (4) 本文中の下線④について，フィルタリングせずに不正な経路を受け取った 場合に、コンテンツ配信に与える悪影響を “不正な経路”という字句を用い て 40字以内で答えよ。 設問3 〔配信拠点の保護〕について答えよ。 (1) 図3において，インターネットからBGPルータ1を経由してLB11にHTTPS Flood 攻撃があったとき，FW1でフィルタリングする方式と比較した RTBH方 式の長所は何か。30字以内で答えよ。 (2) 本文中の下線⑤について，RTBH方式と比較した BGP Flowspec 方式の長所は 何か。30字以内で答えよ。