応用情報技術者 2011年 春期 午後 問05

解答の論理構成

1. サーバ証明書の設置先
   引用: “第三者機関から取得したサーバ証明書は a にインストールする。”
   直前の記述で “リバースプロキシサーバだけをDMZに配置し…ゲートウェイとリバースプロキシサーバの通信ではSSLを用いた通信を行い” とあります。SSLを終端する機器に証明書を置くのが原則なので、a は “リバースプロキシサーバ” となります。
2. FW1で許可すべきポート番号
   引用: “ゲートウェイとリバースプロキシサーバの通信ではSSLを用いた通信を行い”
   SSL (HTTPS) は “HTTPで用いるポート番号は80、HTTPSで用いるポート番号は443” と定義済み。したがって、インターネット側（FW1）で許可するのは “443” です。
   よって b＝443。
3. FW2で許可すべきポート番号
   引用: “リバースプロキシサーバと各Webサーバ…の通信では、SSLは用いない。”
   SSLを用いない＝平文HTTPなので、c にはHTTPの既定ポート “80” を設定します。
4. 転送先URLのスキーム
   表2では “d://192.168.5.201/” などと記載されています。前項で確認したとおり内部通信は非SSLですから、スキームは “http”。
   よって d＝http。

誤りやすいポイント

• “SSLを用いた通信” と聞いて、DMZ内部もすべてHTTPSと決めつけてしまい c まで “443” にしてしまう。
• 証明書はWebサーバに載せるものという思い込みから a を “各Webサーバ” と誤記する。
• 表2の “d://” の空欄をURLの先頭に来る “https” と思い込む（内部通信は平文という条件を見落とし）。

FAQ

解答の論理構成

1. 外部アクセス時のプロトコル
   • 【問題文】「ゲートウェイとリバースプロキシサーバの通信ではSSLを用いた通信を行い」とあるため、外部（携帯電話端末→リバースプロキシサーバ）ではHTTPS（https）を利用します。
   • よって e はhttpsです。
2. 外部アクセス時のホスト名＋パス
   • インターネット側から見えるFQDNは【問題文】「“www.example.com”は、FW1のインターネット側IPアドレスに割り付けられたドメイン名である。」と明示されています。
   • インターネット工事管理システムは【問題文】「表2　リバースプロキシサーバの設定」で /srv2/ が転送対象。ログインページは【問題文】「ログインページのURLパスは、どの工事管理システムも共通でlogin.htmlとする。」とあります。
   • 以上より外部URLはwww.example.com/srv2/login.html。したがって f はwww.example.com/srv2/login.htmlです。
3. 内部転送時のプロトコル
   • 【問題文】「リバースプロキシサーバと各Webサーバ（192.168.5.201、192.168.5.202及び192.168.5.203）の通信では、SSLは用いない。」とあるので平文HTTP（http）となります。
   • したがって g はhttpです。
4. 内部転送時のホスト名＋パス
   • インターネット工事管理システム用Webサーバは【問題文】図2に示すとおり192.168.5.202。
   • リバースプロキシは /srv2/ をhttp://192.168.5.202/ に転送する設定になっているので、ログインページはhttp://192.168.5.202/login.html。
   • よって h は192.168.5.202/login.htmlです。

• e：https
• f：www.example.com/srv2/login.html
• g：http
• h：192.168.5.202/login.html

誤りやすいポイント

• 「リバースプロキシサーバと各Webサーバの通信では、SSLは用いない」を読み落として g をhttpsにしてしまう。
• 表2の「/srv2/」設定を見落とし、/srv1/ や /srv3/ と取り違えて f を誤記。
• 外部URLに内部IPアドレス192.168.5.202を書いてしまうなど、DMZ／社内LANの区別を混同する。

FAQ

解答の論理構成

• 【問題文】には、リバースプロキシサーバが “DMZ” に置かれ、IPアドレスが “192.168.3.90” であると記されています。
  引用：「リバースプロキシサーバ…右上にIPアドレス “192.168.3.90” の表記」
• 同じく【問題文】には、携帯電話端末かどうかの判定を「送信元IPアドレスを参照」して行うと書かれています。
  引用：「携帯電話端末以外からのアクセスか否かの判定は、Webサーバに通知される送信元IPアドレスを参照することで行われる。」
• 変更後は、外部からの通信が必ずリバースプロキシサーバを経由して社内LANの各Webサーバ（ “192.168.5.201” “192.168.5.202” “192.168.5.203” ）に届けられます。
  引用：「リバースプロキシサーバは、インターネットからのアクセスを受け付け…通信を中継する」
• この中継で元の送信元IPはプロキシのIPに書き換えられるため、各Webサーバが受け取るパケットの送信元は常に “192.168.3.90” となります。
  結果として、元々Webサーバで行っていた「送信元IPによるアクセス制御」が機能しなくなります。
• 以上から、解答は「送信元のIPアドレスが、すべて192.168.3.90になるから」となります。

誤りやすいポイント

• 「X-Forwarded-Forヘッダを見れば良い」と考えてしまう
  → 出題はOSI第3層のパケットフィルタ条件について問うており、アプリ層ヘッダは対象外です。
• 「192.168.5.201など社内側で何らかのNATを行えば区別できる」と誤解する
  → 区別したいのは送信元、つまり外部利用者のIP。NATは宛先アドレスの変換であり解決策になりません。
• 「UA（User-Agent）が携帯ブラウザなら判定可能では？」
  → 問題文に「送信元IPアドレスを参照」と明示されているため、他の情報は前提として使えません。

FAQ

解答の論理構成

1. 追加するパケットフィルタの目的
   下線②では、
   “ファイアウォールのパケットフィルタに、携帯電話端末からのアクセス時に使用されるIPアドレスの範囲以外からの通信を禁止する設定を追加する”
   と記載されています。したがって設定は「携帯電話端末の送信元IPアドレス」を識別できる場所に施す必要があります。
2. 送信元IPアドレスを識別できるポイント
   変更後の構成（図2）を見ると、
   ・インターネット → “FW1” → DMZ（“リバースプロキシサーバ”）
   ・DMZ → “FW2” → 社内LAN（各Webサーバ）
   の順でパケットが流れます。
   アクセスは一度リバースプロキシサーバで終端されるため、リバースプロキシサーバより後ろ（すなわち “FW2” 側）では送信元IPが “192.168.3.90” に変わります。外部クライアントの実IPは保持されません。
3. どちらにフィルタを置くべきか
   “FW2” に設定してしまうと、すべての通信の送信元IPはリバースプロキシサーバの “192.168.3.90” であり、携帯電話端末のIP範囲か否かを判定できません。
   一方、“FW1” はインターネットに直接面しており、携帯電話端末が持つグローバルIP範囲をそのまま確認できます。したがって下線②の要件を満たせるのは “FW1” です。
4. 結論
   追加設定を行うファイアウォールは “FW1” となります。

誤りやすいポイント

• 「リバースプロキシサーバがあるから送信元IPが後段でも分かる」と早合点する。実際にはリバースプロキシでTCPセッションが分断されるため、FW2からは外部IPを確認できません。
• 「DMZ内で制御すれば十分」と考えてFW2を選ぶ。外部不正アクセスをDMZ内に入れないこと自体がセキュリティ強化の主旨です。
• “静的アドレス変換” と “逆引きプロキシ” を混同し、どの段階でIPが書き換わるかを取り違える。

FAQ