基本情報技術者 2019年 秋期 午後 問01

解答の導き方

誤りやすいポイント

• VPN接続後の端末のアドレスと、仮想マシンのアドレスを混同しないようにします。開発サーバへアクセスするのは仮想マシンなので、ルール番号7では仮想マシンのアドレスを送信元として考えます。
• 「192.168.64.0/23」を「192.168.64.0/24」と同じ範囲だと思わないようにします。「/23」は「192.168.64.0/24」と「192.168.65.0/24」の両方を含みます。
• 開発部の従業員が使う機器には、開発PCと開発VMがあります。ルール番号6は開発PCのネットワーク「192.168.1.0/24」からの通信を許可するルールです。ルール番号7で許可する範囲は、開発VMだけに絞る必要があります。

FAQ

解答の導き方

1. まず、VPNサーバに接続します。
   シンクライアント端末は、業務データを端末に保存しない端末です。本文の手順では、最初にVPNクライアントを起動してVPNサーバに接続します。VPN（Virtual Private Network：インターネット上に安全な接続経路を作る仕組み）によって、端末からA社のネットワークに接続できるようになります。
2. 次に、VDIサーバに接続します。
   VPNでA社のネットワークにつながった後、利用者はVDIクライアントを起動してVDIサーバに接続します。VDI（Virtual Desktop Infrastructure：サーバ上の仮想デスクトップを遠隔から使う仕組み）では、利用者が使う仮想マシン（ソフトウェア上に作られたコンピュータ）が割り当てられます。
3. 開発部の従業員には、開発VMが割り当てられます。
   本文には、開発部の従業員には「事務業務及びソフトウェア開発業務が行える」開発VMを割り当てるとあります。したがって、開発サーバにアクセスするのは、事務所にある開発PCではなく、テレワーク用に割り当てられた開発VMです。
4. 開発VMから開発サーバにアクセスします。
   図2では、開発VMがあるVDI用ネットワークと開発サーバのネットワークがA社FWを介して接続されています。また、表1のルール番号7は、開発VMに割り当てられるアドレスを含む送信元から、開発サーバのネットワークへの通信を許可しています。これらから、開発サーバに接続する経路は開発VMを通ると分かります。

誤りやすいポイント

• VDIサーバとVPNサーバの順番を逆にしないようにします。
  本文の手順では、VPNサーバに接続した後にVDIサーバへ接続します。
• 開発PCと開発VMを混同しないようにします。
  開発PCは開発室に設置されたPCです。テレワークでは、VDIサーバから割り当てられる開発VMを使います。
• シンクライアント端末が開発サーバに直接つながると考えないようにします。
  端末と仮想マシンの間で送受信するのは、画面データと操作データです。開発サーバにアクセスするのは仮想マシンです。

FAQ

解答の導き方

1. 通信の出発点は、事務PCと開発PCです。
   本文では「事務PC及び開発PCからも仮想マシンを使用したい」とあります。図2では、事務PCは192.168.0.0/24、開発PCは192.168.1.0/24のネットワークに接続されています。
   この2つのネットワークをまとめると、送信元は192.168.0.0/23です。/23は、192.168.0.0から192.168.1.255までを含む範囲なので、事務PCと開発PCの両方を指定できます。
2. 通信の行き先は、仮想マシンのネットワークです。
   仮想マシンは、ソフトウェア上に作られたコンピュータです。本文では、事務VMには192.168.64.0/24、開発VMには192.168.65.0/24の範囲からIPアドレスを割り当てるとあります。IPアドレスは、ネットワーク上の機器を識別する番号です。
   この2つの範囲はどちらも192.168.64.0/20に含まれます。したがって、宛先は192.168.64.0/20とすれば、事務VMと開発VMの両方を指定できます。
3. 許可するサービスはVDIです。
   VDI（Virtual Desktop Infrastructure：仮想マシンの画面を遠隔の端末に送り、操作させる仕組み）を使う通信を許可します。本文には、VDIクライアントと仮想マシンの間では、画面データとキーボード・マウスの操作データだけを送受信するとあります。
4. VPN用のルールだけでは、今回の通信を許可できません。
   VPN（Virtual Private Network：インターネット上に安全な仮想専用線を作る仕組み）で接続するテレワーク利用者には、192.168.16.0/24のIPアドレスが割り当てられます。表1のルール番号3は、このネットワークから仮想マシンのネットワークへ向かうVDI通信を許可するルールです。
   しかし、事務PCと開発PCは192.168.16.0/24ではなく、192.168.0.0/23に含まれるネットワークを使います。そのため、ルール番号3では今回の通信は許可されません。なお、本文には「A社のネットワーク内からアクセスするのでVPNで接続する必要はなく」とあります。したがって、VPN接続の許可を追加するのではなく、社内ネットワークからのVDI通信を別のルールで許可します。
5. 最後に、通信を許可するルールを追加します。
   表1では、ルール番号の小さいものから順に判定され、全ての通信を拒否するルール番号8もあります。社内PCから仮想マシンへの通信を許可するには、送信元を192.168.0.0/23、宛先を192.168.64.0/20、サービスをVDI、動作を許可とするルールが必要です。

誤りやすいポイント

• ルール番号3があるので、社内PCからの接続も許可されると思ってしまう
  ルール番号3の送信元は192.168.16.0/24です。事務PCと開発PCのネットワークとは異なるため、そのままでは許可されません。
• 送信元と宛先を逆にする
  今回は事務PC・開発PCから仮想マシンへ接続します。仮想マシンから社内PCへ向かう通信ではありません。選択肢ウは通信の向きが逆です。
• インターネットからの接続を許可してしまう
  今回許可したいのは、社内ネットワークにある事務PCと開発PCからの接続です。送信元をインターネットにすると、許可する範囲が必要以上に広くなります。
• ルールの追加が不要だと思ってしまう
  既存のルール番号3の送信元には社内PCのネットワークが含まれていません。許可ルールを追加しなければ、通信は全ての通信を拒否するルール番号8により拒否されます。

FAQ