ネットワークスペシャリスト 2013年 午後1 問01

　A社は、従業員数100人のソフトウェア開発会社であり、開発の一部を関連会社であるB社に委託している。従来、B社の開発者は、仕様書を自社に持ち帰って作業を行っていたが、このたび、情報保護、品質管理及び進捗管理の強化のために、A社の開発システムを、インターネット経由でB社にも利用してもらうことにした。 　A社の情報システム部のM課長は、ネットワーク担当のN君に対し、ネットワーク構成とその運用を検討するように指示した。B社からの接続を可能にするためにN君が考えた、新ネットワークの構成を、図1に示す。

　開発システムは、設計書やソフトウェアモジュールなどを管理する資産管理サーバ、及びテストを行うためのテスト環境サーバから構成されている。A社の情報システム部がまとめた、ネットワーク要件を次に示す。 　・B社の開発者は、B社の自席PCのブラウザからインターネット経由でA社の開発システムを利用する。 　・B社のネットワークの変更は、最小限に抑える。 　・A社のFWで、DMZと内部LANへは必要なパケットだけを通すようにする。 　・A社とB社間の通信は暗号化する。 　・サーバとPCは、ともに電子証明書を使った認証を行う。 　・サーバの電子証明書は、信頼できる機関から発行されたものを利用する。 　・B社のPCからのウイルスによる感染や情報漏えいを防止する。 　 〔リモート接続ネットワーク構成の検討〕 　N君はまず、現状のB社のネットワークを変更せず、既存のPCのブラウザから開発システムを利用するために、SSL-VPNを採用した。さらに、N君は、B社の開発者に、クライアント証明書を格納したUSBデバイス（以下、トークンという）を貸与することによって不正アクセスを防止を図ることにした。 　SSLには、PCとSSL-VPN装置間において、SSLセッションを確立させるためのハンドシェイクプロトコルが規定されている。ハンドシェイクプロトコルでは、ア メッセージによって暗号化アルゴリズムを決定し、公開鍵による電子証明書の確認後、共通鍵での暗号化と、メッセージ認証コードのチェックを行い、SSLセッションを確立する。 　次に、N君は、PCとSSL-VPN装置の通信にSSLトンネルを利用するポートフォワード方式を採用した。 　ポートフォワード方式の場合、PCからSSL-VPN装置に接続したときに認証が行われ、SSL-VPN装置からPCにJavaアプレットがダウンロードされ、SSLトンネルが確立される。また、Javaアプレットによって、PCのhostsファイルに、ループバックアドレスと開発システムの各サーバの宛先を対応させた定義が追加される。①ループバックアドレスの利用は、社内で使用中のプライベートアドレスを利用するとよりも利点があり、127.0.0.1〜イの範囲内で利用可能である。 　N君は、ループバックアドレス127.0.1.10を資産管理サーバのウに対応付けるように設計したので、Javaアプレットは、“127.0.1.10 shisankannri.example.com”という定義をhostsファイルに追加し、事前に指定したポート番号で待ち受ける。 　N君が設計した、B社のPCから開発システムへの接続概念図を、図2に示す。

　B社のPCでは、図2中で示した(a)において、Javaアプレットが事前に指定したポート番号で待ち受け、B社の開発者がPCのブラウザに表示されたメニューの中からアプリケーション名を選択することで、SSLトンネルを経由してSSL-VPN装置へアクセスデータを送る。SSL-VPN装置では、図2中で示した(b)において、ソフトウェアモジュールがポートマッピングテーブルを参照して、待受ポートとプライベートアドレスに対応する転送先ポートへデータを送る。②この方式では、使用できないアプリケーションが発生するが、今回の開発システムでは問題がないことをN君は確認した。また、SSL-VPN装置のログアウト時に、Javaアプレットがhostsファイルを編集前の設定に戻すことも確認した。さらに、N君は、開発作業のピーク時に開発システムの利用頻度が増大すると考慮し、③SSL-VPN装置において、SSLセッションのキャッシュ時間を延ばす設定を行うことにした。 　N君は、図1と図2を基に、FWの通信を許可する追加設定を、表1にまとめた。

〔リモート接続ネットワークの運用の検討〕 　N君は、リモート接続ネットワークの運用の検討を行った。サーバ証明書の正当性は、証明書が、信頼できる認証機関である エ から発行されていることを、PC側で検証することで確認される。また、B社のPC側の利用者の正当性は、トークンに格納されたクライアント証明書で確認される。今回、A社では、独自にクライアント証明書を発行するとともに、クライアント証明書を管理する運用担当者を選定することにした。N君は、④クライアント証明書の管理に必要な情報を、運用担当者に自動的に通知する仕組みを作ることにした。さらに、N君は、B社内のPCからA社の開発システムを利用するところ、ウイルスによる感染や情報漏えいを防止する要件を満たすために、⑤SSL-VPN装置へのログイン時とログアウト時に、Javaアプレットがもつつき機能を調査し、問題がないことを確認した。 　リモート接続ネットワークの基本構成が了承され、構築作業が開始された。