応用情報技術者 2023年 春期 午後 問05

解答の論理構成

1. 問題文には、次の記述があります。
   「F社のL3SWの経路表には、b-DCのWebサイトへの経路と①デフォルトルートが登録されている。」
   デフォルトルートは、L3SWが“その他すべての宛先”にパケットを転送する際の経路です。
2. 図1では、L3SWからインターネット側へ出る際に中継している機器は「FWf」と名前が付けられています。
   すなわち、L3SWが“未知の宛先＝インターネット”へパケットを流す場合、最初に渡す相手（ネクストホップ）は「FWf」です。
3. したがって、下線①のデフォルトルートのネクストホップとなる機器は
   【模範解答】で示されたとおり「FWf」となります。

誤りやすいポイント

• 「FWb」はb-DC側のファイアウォールであり、L3SW（社内）とは直接つながっていない点を見落としてしまう。
• 「広域イーサ網」へ直接ルートがあると誤解し、ネクストホップをWAN側と答えてしまう。
• NATやDMZの記述に気を取られ、経路制御（ルーティング）の観点を後回しにしてしまう。

FAQ

解答の導き方

1. 宛先となるDNSサーバを特定する
   問題文に「運用PCには、②優先DNSサーバとして、FQDNがnsb.f-sha.example.lanのDNSサーバbが登録されている」とあるので、運用PCはまず「nsb.f-sha.example.lan」に対応するIPアドレスへパケットを送ることになります。
2. FQDN→IPの対応を確認する
   表1を見ると、項番3に「nsb.f-sha.example.lan」「192.168.0.1/24」が登録されています。したがって運用PCが送る宛先IPは「192.168.0.1」であり、これはプライベートアドレス空間の一つです。
3. 宛先の配置を図で確認する
   図1ではWebサイトbのDMZに「L2SWb」があり、その下に「192.168.0.0/24」と記載され、DNSサーバbはL2SWbに接続されています。よって宛先はL2SWb配下のセグメントに属します。
4. 運用PC→宛先までの経路をたどる（機器名ベース）
   図1で運用PCは「L3SW」に接続されています。また問題文に「F社のL3SWの経路表には、b-DCのWebサイトへの経路と①デフォルトルートが登録されている」とあるため、L3SWは宛先がb-DC側ネットワーク（192.168.0.0/24）であることを判定すると、b-DCへの経路を使ってパケットを送ります。図の接続関係から、その経路はL3SW → （広域イーサ網経由） → FWb → L2SWb → DNSサーバbとなります。
5. 設問が求めるものに合わせる（経由する「機器名」）
   設問は「パケットがDNSサーバbに到達するまでに経由する機器名を、図1中の名称で全て答えよ」とあるため、途中で通る機器名（出発点と到達点は含めない）を列挙します。したがって正答は L3SW、FWb、L2SWb となります。

誤りやすいポイント

• 表1の「項番1」にあるグローバルアドレス（例えば「200.a.b.1/28」）と混同して、必ずインターネット経由（FWfを通る）と考える。
  → 本問では運用PCの優先DNSが「nsb.f-sha.example.lan」（項番3の192.168.0.1）であり、かつL3SWにb-DCへの経路があるため、FWfではなくFWb経由となります。
• 「広域イーサ網」や「インターネット」を経由機器に含めてしまう。
  → 設問は『機器名』を問うており、広域イーサ網やインターネットは図中でネットワーク（経路）を表す要素であって単一の機器名ではないため、経由する機器名としては含めません。
• 経由機器に出発点（運用PC）や到達点（DNSサーバb）を含めてしまう。
  → 「到達するまでに経由する機器」を答える問題なので、途中で通る機器のみを書くこと。
• L2/L3の役割を取り違えて順序を間違える。
  → 図1の接続順序（運用PC→L3SW→…→L2SWb→DNSサーバb）に従うこと。

FAQ

解答の論理構成

1. 顧客がアクセスするURLは本文で
   「顧客と同じURLであるhttps://a/ でWebAPサーバbにアクセスし」と示されています。
2. 顧客向けに公開されているWebAPサーバbのFQDNは表1の項番2に記載された
   「サーバのFQDN：miap.example.jp」です。
   これはインターネット向けドメイン example.jp 配下に登録されているグローバル公開用の名前であり、顧客も同じ名前でアクセスします。
3. 従って a には「miap.example.jp」が入るのが妥当です。

誤りやすいポイント

• 社内向けの「apb.f-sha.example.lan」と混同する
  → .lanドメインは社内専用であり、顧客は使用しません。
• IPアドレス（「200.a.b.2/28」など）を直接URLと誤解する
  → 問題文は「URL」の空欄を問うており、数値ではなくFQDNを要求しています。
• Webサイト増設後に追加される「200.c.d.82/28」のAレコードと早合点する
  → 設問は「現在の応答速度低下の調査」に関する部分であり、増設前の状況を問います。

FAQ

解答の論理構成

1. 問題が尋ねているのは下線③「広域イーサ網経由でWebAPサーバbにログインしてCPU使用率を調べた」際の“アクセス先サーバのFQDN”です。
2. WebAPサーバbには、外部公開用と社内向けの2つの名前が割り当てられています。表1に
   ・項番2「WebAPサーバb」「miap.example.jp」
   ・項番4「WebAPサーバb」「apb.f-sha.example.lan」
   と明記されています。
3. 「広域イーサ網経由」はF社とb-DCを結ぶ閉域網であり、インターネット側のNAT（“DMZに設定されたプライベートアドレスとインターネット向けのグローバルアドレスを1対1で静的に変換する”）を通りません。したがって利用されるのはDMZ内のプライベートアドレスに紐づく社内向けドメインです。
4. 表1項番4に示される社内向けFQDNは「apb.f-sha.example.lan」であり、これがSSHの接続先になります。
5. よって回答は「apb.f-sha.example.lan」となります。

誤りやすいポイント

• 「顧客と同じURL＝miap.example.jp」をそのままSSHでも使うと誤解する。SSHの通信経路と公開Webの経路は異なるため、異なるFQDNが使われる点を混同しがちです。
• “広域イーサ網＝インターネット”と早合点し、グローバル側の名前を選んでしまう。設問中のネットワーク図と「DMZ-NAT設定」の記述を突き合わせる必要があります。
• 表1の項番番号で覚えようとして番号を取り違える。番号は採点対象ではないので、必ずFQDN文字列そのものを確認しましょう。

FAQ

解答の論理構成

1. b の判定
   • 本文には「運用PCには、新たにbを代替DNSサーバに登録して、bも利用できるようにする。」とあります。「新たに」「も利用できるようにする」とあるので、運用PCが今使っているものとは別のDNSサーバを追加で登録する、という意味です。
   • 運用PCに今登録されているDNSサーバは、下線②のとおり「優先DNSサーバとして、FQDNがnsb.f-sha.example.lanのDNSサーバb」です。
   • 増設後の構成では、c-DCのWebサイトcにDNSサーバcが加わります。表2にも、社内向けドメインのレコードとして「DNSサーバc　nsc.f-sha.example.lan　192.168.1.1/24」があり、運用PCから広域イーサ網経由で問い合わせることができます。
   • DNSサーバbはプライマリ、DNSサーバcはセカンダリとして同じゾーン情報をもつので、DNSサーバcを代替DNSサーバに登録しておけば、DNSサーバbが応答しないときにもDNSサーバcで名前解決を続けられます。
   • したがって b には「DNSサーバc」が入ります。
2. c の判定
   • 本文には「DNSサーバb、cにはc転送の設定を行い、DNSサーバbの情報を更新すると、その内容がDNSサーバcにコピーされるようにする。」とあります。
   • プライマリDNSサーバのゾーン情報をセカンダリDNSサーバにコピーする仕組みは「ゾーン転送」です。よって c には「ゾーン」が入ります。
3. d の判定
   • 本文の手順(i)は「事前にDNSサーバbのリソースレコードの d を小さい値にする。」です。
   • リソースレコードのうち、ほかのDNSサーバやクライアントがキャッシュしてよい時間を表す値はTTL（Time To Live）です。表2の注記にも「各リソースレコードのTTLは、表1と同じ604800を設定する。」とあり、このままでは手順(ii)でAレコードを無効化しても、キャッシュが最長604,800秒（7日間）残ります。前もってTTLを小さくしておけば、無効化がすぐに反映されます。よって d には「TTL」が入ります。

誤りやすいポイント

• b を単に「DNSサーバ」と答えてしまう。代替DNSサーバに「DNSサーバ」を登録する、では文が成り立ちません。登録する機器を、図2の機器名で特定して答えます。
• b を「DNSサーバb」と答えてしまう。DNSサーバbは既に優先DNSサーバとして登録されているので、「新たに」登録するものではありません。
• c を「データ」「レコード」と答えてしまう。DNSサーバ間で同期する単位はゾーンです。
• d を「有効期限」や「キャッシュ時間」と書いてしまう。リソースレコードの項目名としてはTTLが正式な名称です。

FAQ

解答の論理構成

1. 【問題文】では、二つのWebサイトの負荷分散方式として“DNSラウンドロビン”を採用し、通常は“WebAPサーバb、cが同じ割合で利用”されると記載されています。
2. ところが下線④の手順では、“メンテナンス中は、一つのWebサイトでサービスを提供する”と明示されています。すなわち、ラウンドロビンによる負荷分散が停止し、残った片方のWebAPサーバに全アクセスが集中します。
3. 既に現状でも“WebAPサーバbの処理能力不足が応答速度低下の原因”と判断されていることから、片方に負荷を一本化すれば再び同様の事象が発生し得ると推論できます。
4. したがって顧客に表れる影響は“応答速度が低下することがある”という点に収束し、模範解答「Mシステムの応答速度が低下することがある。」となります。

誤りやすいポイント

• 「サービス停止」と即断し、稼働継続中である点を見落とす。実際は“一つのWebサイトでサービスを提供”するため完全停止ではありません。
• “レスポンス遅延”と“接続失敗”を混同する。問題文では性能劣化の再発が論点で、接続不可までは示唆していません。
• 影響対象を“運用担当者”と誤解する。設問は“顧客への影響”を問うています。

FAQ

解答の導き方

1. 問題文に「Mシステムを利用するにはログインが必要である」とあり、利用者はWebアプリの認証を経てサービスを利用することが分かります。
2. メンテナンス手順では（i）リソースレコードのTTLを小さくし、（ii）「メンテナンスを行うWebサイトの、インターネットに公開するドメインのWebAPサーバのFQDNに対応するAレコードを、DNSサーバ上で無効化する」としています。さらに手順⑤で「⑤手順(ii)でAレコードを無効化したWebAPサーバの状態を確認」と指示されています。
3. Aレコード無効化により新規アクセスは他方のWebサイトへ回されますが、既に認証済みの利用者セッションや接続が残っていると、その利用者がサービスを途中で切断される恐れがあります（問題文の「メンテナンス中は、一つのWebサイトでサービスを提供することになるので、Mシステムを利用する顧客への影響は避けられない」より）。
4. 以上より、⑤で確認すべき具体的な内容は「ログイン中の利用者がいないこと」です（ここでの「ログイン中」は後述の通りWebアプリケーションの認証セッションを指します）。
   答え：「ログイン中の利用者がいないこと」

• アプリケーションのセッション管理領域（セッションDB／セッションテーブル／セッションストア）に当該WebAPサーバに紐づく有効な認証セッションがないことを確認する。
• Webアプリの管理画面やダッシュボードでアクティブセッション数が0であることを確認する。
• アクセスログや認証ログで直近に認証成功（ログイン）した記録がないこと、最終アクセス時刻を確認する。
• ss/netstatなどでHTTPS(443)のESTABLISHED接続が残っていないか確認する（ただし接続がない＝セッションがないとは限らないので、セッションストア確認を優先する）。
• 運用者向けにSSH等の管理用ログインが残っていないかも合わせて確認する。

誤りやすいポイント

• 「ログイン」をOSのシェルログインと誤解する：設問は「Mシステムを利用するにはログインが必要である」を前提とするため、主にWebアプリの認証セッションを確認することが目的です。
• TCP接続の有無だけで判断する：HTTP/HTTPSのTCP接続が切れていてもアプリ側のセッション情報は残る場合があるため、セッションストア／DBの確認が必須です。
• Aレコード無効化＝直ちに影響なしと誤解する：手順(i)でTTLを小さくするとはいえ、クライアント側のキャッシュやブラウザのDNS保持で切替が遅れることがあるため、TTL分の待機とセッション確認が必要です。
• 確認範囲が狭い：管理者のSSHログインやバッチ処理など、運用に支障をきたすセッションを見落とすと作業中に問題が発生します。

FAQ