ネットワークスペシャリスト 2016年 午後1 問01

解答の論理構成

1. ［　ア　］
   引用：“外部のメールサーバは、DNS3に設定された資源レコードのうち、アレコードの情報に従って、A社ドメイン宛のメールを…”
   DNSでメール配送先を示す資源レコードは“MX”レコードです。
   よって ［　ア　］＝ MX。
2. ［　イ　］
   引用：“…メールをイに転送する。A社内PCは、イに届いたメールを、POP3を用いて取得する。”
   さらに引用：“A社は、社内利用のためのMSV3を社内に立ち上げ、自社ドメイン（a-sha.co.jp）でメールシステムを運用している。”
   送信先・受信先ともに “MSV3” であることが明示されています。
   よって ［　イ　］＝ MSV3。
3. ［　ウ　］
   引用：“各社員のPCにインストールしたメールクライアントから、ウ にSMTPS…同じサーバにPOP3S…”
   さらに引用：“Q社は、MSV2を…用いて、顧客にメールサービスを提供している。”
   B社はQ社のメールサービスを利用しているため、サーバは “MSV2” です。
   よって ［　ウ　］＝ MSV2。
4. ［　エ　］
   引用：“SMTPプロトコルにてユーザ認証を行う方式である エ を導入し、③ TCP の 587 番ポートで接続を受け付ける。”
   SMTPのユーザ認証方式は“SMTP-AUTH”が標準で、Submissionポート（587/TCP）と組み合わせて利用されます。
   よって ［　エ　］＝ SMTP-AUTH。

誤りやすいポイント

• “外部メールサーバが参照するレコード”をAレコードと誤認しやすい。メール配送可否はMXレコードが基準です。
• “MSV3 は社内向け”という記述から外部配送不可と決めつけ、［　イ　］をDNS3と誤答するケース。問題文で「メールを転送する」相手はMSV3と明示されています。
• B社利用サーバを“ルータ6の外側にある何か”と想像し、［　ウ　］をDNS2などと混同すること。サポートはあくまでメールサービス“MSV2”を使っています。
• ［　エ　］で“SMTPS”と書いてしまうミス。SMTPSは暗号化方式、認証方式はSMTP-AUTHです。

FAQ

解答の論理構成

• 【問題文引用】「たとえB社のPCからMSV3へSMTPによるメール送信ができたとしても、MSV3は、a-sha.co.jpドメイン以外への宛先へは、そのメールを転送しない設定になっています」
  ⇒ 通常は MSV3 が “a-sha.co.jp ドメイン以外” への転送を拒否することで、社外リレーを防止していることが分かります。
• 同設定が「ない」場合、MSV3 は外部宛メールも無条件に転送してしまい、いわゆる “オープンリレー” となります。
• オープンリレーは攻撃者やスパマーに悪用されやすく、正規利用者を装って大量の迷惑メールを送信する踏み台にされる危険があります。
• したがって設問のリスクは「不正メールの踏み台にされる」ことであり、模範解答「不正メールの踏み台にされてしまうリスク」と整合します。

誤りやすいポイント

• 「OP25B があるから安全」と思い込み、サーバ側の転送制限を軽視する。OP25B は“ISP外への25番ポート発信”を制限するだけで、サーバが受けたメールの再配送は防げません。
• リスクを「情報漏えい」と答えてしまう。問題は“外部宛転送”であり、漏えいよりも“第三者送信の踏み台”が本質です。
• 「スパム受信増加」と混同する。設定欠如の直接的影響は受信ではなく送信側の無制限中継です。

FAQ

解答の論理構成

1. OP25B の適用対象を整理
   【問題文】には、ISP の運用方針として
   「自社が動的に割り当てたIPアドレスのホストから、自社のサービスネットワーク外のホストへの宛先ポート番号25のSMTP通信を許可しない」
   とあります。
   したがって、Q 社が払い出した「a.b.0.0/20」（B 社ルータの NAPT で使用）から 自社サービスネットワーク外 に向かう TCP 25番は遮断されます。
2. 遮断される経路を特定
   ・B 社 PC → ルータ6 → ルータ5 → Q 社サービスネットワーク → ルータ4 → インターネット → MSV3
   という経路で、MSV3 は 「自社サービスネットワーク外」 に該当します。
   したがって遮断ポイントは、インターネットとの境界である Q 社の外向きエッジルータ になります。
3. 図中で該当するルータ名を確認
   図1の Q 社側でインターネットに接続しているのは 「ルータ4」 だけです。
4. アクセスリストの内容との整合
   表1 に示されるアクセスリストは
   ・プロトコル：オ = TCP
   ・送信元：カ = a.b.0.0/20
   ・宛先ポート：キ = eq 25
   となっており、まさに OP25B の条件を満たしています。
   これを設定しているルータは、Q 社が管理しインターネット側へ抜ける 「ルータ4」 であると帰結できます。

誤りやすいポイント

• 「サービスネットワーク内でブロックされる」と読んで ルータ5 と誤答するケース
  → OP25B は「外部への 25 番」を遮断するため、インターネット境界で行うのが一般的です。
• A 社側の OP25B と混同し ルータ1 を選んでしまうケース
  → 本設問は「B社PCからMSV3へSMTPが不可能」と明記されており、Q 社側の制御を指しています。
• 「メールがそもそも送れない＝B 社内部の設定ミス」と考え、アクセスリストの意図を見落とすケース

FAQ

解答の論理構成

1. OP25B の目的
   【問題文】には「P社及びQ社はいずれも、迷惑メールの送信を防止する対策として、OP25B…“自社が動的に割り当てたIPアドレスのホストから、自社のサービスネットワーク外のホストへの宛先ポート番号25のSMTP通信を許可しない”」とあります。
   したがってアクセスリストは「動的 IP アドレス帯 → 外部ホスト → 宛先ポート 25（SMTP）」を “禁止” します。
2. プロトコル［　オ　］
   SMTP が利用するトランスポート層プロトコルは “TCP” です。従って［　オ　］＝「TCP」。
3. 送信元 IP アドレス［　カ　］
   B 社は「Q社の動的IPアドレス割当てブロック（a.b.0.0/20）から割当てを受けたグローバルIPアドレスを、ルータのNAPTに使用」しています。動的割当てであることから OP25B の対象はこの範囲です。よって［　カ　］＝「a.b.0.0/20」。
4. 宛先ポート番号［　キ　］
   SMTP の標準ポート番号は “25”。OP25B はまさにこのポートを遮断する仕組みなので［　キ　］＝「25」。
5. ルータの位置づけ
   【問題文】で「②図1中のあるルータにおいて、表1に示すOP25Bのためのアクセスリストが設定」とあるため、該当ルータは Q 社側でインターネットへ抜ける前段に配置され、B 社発の SMTP（Port 25）を外部へ出さないよう制御しています。この振る舞いと整合するのが上記 3 つの値です。

誤りやすいポイント

• UDP と記入してしまう
  SMTP はコネクション指向のため必ず TCP を用います。
• 「x.y.z.0/29」と勘違いする
  A 社の固定アドレスは動的割当てではないので OP25B の対象外です。
• 587 番ポートを書いてしまう
  587/TCP は submission ポートで、OP25B の制限対象は 25/TCP のみです。

FAQ

解答の論理構成

1. OP25Bの影響
   【問題文】では、P社・Q社が「OP25B（Outbound Port 25 Blocking）」を実施し、「自社が動的に割り当てたIPアドレスのホストから、自社のサービスネットワーク外のホストへの宛先ポート番号25のSMTP通信を許可しない」と明言しています。
   ⇒ 動的IPを使う B社PC からはポート25/TCPで MSV3 へメールを送れません。
2. 認証付き SMTP への移行
   Xさんは「SMTPプロトコルにてユーザ認証を行う方式である エ を導入し、③ TCP の 587 番ポートで接続を受け付ける」と計画しています。
   ⇒ ポート25を避け、OP25Bを回避しつつユーザ認証を必須化する設計です。
3. IANA 登録名称の確認
   IANA “Service Name and Transport Protocol Port Number Registry” では 587/TCP が “submission” と定義されています。日本語解説書や総務省ガイドラインでも 587/TCP を「サブミッションポート」と呼称します。
4. 結論
   以上より、③で指定された「TCP の 587 番ポート」の呼称は「サブミッションポート」となります。

誤りやすいポイント

• 465/TCP (smtps) と混同する
  465 は一旦廃止→再割当てされた経緯があり、現在は“implicit TLS”用の“smtps”扱い。問題文は STARTTLS を使う 587/TCP なので注意。
• 「MSA（Mail Submission Agent）」という用語をそのまま答案に書く
  ポートの名称を問われているため、「MSAポート」「Submission Agent」だけでは減点対象になりやすいです。
• 「ポート25の別名」と答えてしまう
  ポート25は“smtp”。別名ではなく、役割分担が異なる点を押さえましょう。

FAQ

解答の論理構成

1. 送信メールの新経路は
   【問題文】
   “MSV3は、SMTPプロトコルにてユーザ認証を行う方式である エ を導入し、③ TCP の 587 番ポートで接続を受け付ける。”
   と明記されています。したがって、外部（B社）から DMZ 内 MSV3 へ届くメール送信要求を通すため、587 番ポートをファイアウォールで許可する必要があります。
2. 受信メールの新経路は
   【問題文】
   “受信については、POP3をTLSで暗号化して用いる。”
   “メール送受信の通信の暗号化は、STARTTLS方式 …”
   STARTTLS を用いる POP3 は平文の 110 番ポートで接続を開始し、コマンド交換後に TLS へ昇格します。したがって、外部から DMZ 内 MSV3 に対して POP3 を許可するには 110 番ポートを開放します。
3. ④ で求められているのは「外部からDMZへの2種類の通信」の宛先ポート番号です。
   以上より
   ・SMTP Submission（ユーザ認証付き）：587
   ・POP3（STARTTLS 利用）：110

誤りやすいポイント

• POP3 を TLS 化＝995 と誤解しがち
  STARTTLS を採用しているため平文接続の 110 を開けるのが正解です。
• SMTP Submission と SMTPS（465 番）を混同しやすい
  【問題文】で“③ TCP の 587 番ポート”と明示されている点を見落とさないこと。
• “外部からDMZ” の方向を読み違え、社内→外部のフィルタ条件と混同してしまうケース。

FAQ

解答の論理構成

1. SPF が確認するのはエンベロープ送信者に含まれるドメイン
   【問題文】には
   “SPFは、送信メールサーバの正当性…受信メールサーバは、…⑥ SPFレコードを用いて送信元ドメインの認証を行う”
   とあり、認証対象となるのは SMTP で通知される「エンベロープ」のドメインです。
2. エンベロープ送信者を通知する SMTP コマンド
   SMTP では、送信側クライアントが
   MAIL FROM:local-part@domain
   を送出して送信元（Return-Path）を宣言します。このコマンドに含まれる domain が SPF で検証されるドメインです。
3. ⑤で求められているもの
   ⑤ は “SMTP通信中にやり取りされる送信元ドメイン名” と明示されています。
   送信元ドメイン名を明示的にやり取りする唯一のコマンドが MAIL FROM であるため、解答は「MAIL FROM」となります。

誤りやすいポイント

• HELO/EHLO と混同
  HELO/EHLO でもホスト名を名乗りますが、これは「送信元サーバのホスト名」であり SPF の検証対象ではありません。
• From ヘッダの勘違い
  メールヘッダの「From:」は表示用アドレスであり、SMTP レベルのエンベロープとは別物です。
• RCPT TO を選ぶ誤り
  RCPT TO は宛先（受信者）のエンベロープであり、送信元ではないため不正解です。

FAQ

解答の論理構成

• 【問題文】で SPF の概要として
  「送信側のドメイン所有者は、あらかじめ、当該ドメインのメールサーバのグローバル IP アドレスを、SPFレコードとして DNS に登録しておく。」
  と明記されています。
  → SPFレコードに登録される値は “メールサーバの IP アドレス” です。
• 受信時の処理手順では
  (1) 「⑤“SMTP通信中にやり取りされる送信元ドメイン名”を得る」
  (2) そのドメインの SPF レコードを取得
  (3) 「得られた⑥ SPFレコードを用いて送信元ドメインの認証を行う」
  と段階的に示されています。
• 認証の実体は、「接続してきた送信元メールサーバの IP アドレス」と、手順 (2) で取得した SPF レコードに列挙された IP アドレス群を照合し、合致すれば正当と判断する方式です。
• したがって、下線部⑥で SPF レコードと照合される具体的な情報は
  「送信元メールサーバの IP アドレス」
  になります。