ネットワークスペシャリスト 2017年 午後1 問01

解答の論理構成

1. ア
   • 問題文では「十分な安全性を確保できないとされるハッシュアルゴリズムであるMD5又はアを使用しない」と明示しています。
   • 現在“安全性が不十分”とされ、TLS 1.2 以降で使用が推奨されないもう一つの代表的ハッシュは「SHA-1」です。
   • よって ア＝SHA-1 となります。
2. イ
   • 同じ箇所で「TLSプロトコルのバージョンイ以上を利用」とあります。
   • SHA-1 を避けられる最小バージョンは「1.2」です。
   • したがって イ＝1.2 です。
3. ウ と エ
   • 問題文：「SSL/TLSのコネクション開設時に、クライアント側から送られるウメッセージと、サーバ側から返されるエメッセージの交換が行われる。」
   • SSL/TLS ハンドシェイクで最初に送るのは “Client_Hello”、返すのは “Server_Hello” です。
   • よって
   – ウ＝Client_Hello
   – エ＝Server_Hello
4. オ
   • 問題文：「SSL-VPNの基本的な動作には、オポートフォワーディング、L2フォワーディングの3方式がある。」
   • 一般に SSL-VPN で3方式と言えば「リバースプロキシ方式・ポートフォワーディング方式・L2フォワーディング方式」です。
   • よって オ＝リバースプロキシ となります。

誤りやすいポイント

• SHA-256 など“安全なハッシュ”を書いてしまう
  → 問題文は「使用しない」と言っているハッシュを尋ねています。
• TLS 1.3 を記載
  → 「以上」を読んで最新を選びがちですが、最小バージョンを問う文脈です。
• “ClientHello”／“ServerHello” と大文字小文字を変えてしまう
  → 固有名詞は問題文と同じ形式「Client_Hello」「Server_Hello」で書く必要があります。
• 「ポータル方式」を入れてしまう
  → 問題文は“…ポートフォワーディング、L2フォワーディング”と続くため、残る1つは「リバースプロキシ方式」です。

FAQ

解答の論理構成

• 【問題文】では、暗号スイートの内訳について
  「その情報には、アプリケーション層の暗号化に使われる暗号アルゴリズム以外に、（I）2種類の暗号アルゴリズムと1種類のハッシュアルゴリズムが含まれる。」と述べています。
  つまり、暗号スイートには
  ①アプリケーションデータの暗号化アルゴリズム
  ②（I）に示された追加の「2種類の暗号アルゴリズム」
  ③（I）に示された「1種類のハッシュアルゴリズム」
  が含まれる構成です。
• TLS の標準的な暗号スイート構成を整理すると次の4要素に分かれます。
  1. 鍵交換アルゴリズム（例: RSA, Diffie-Hellman など）
  2. サーバ認証／クライアント認証アルゴリズム（例: RSA, ECDSA など）
  3. データ暗号化アルゴリズム（例: AES, ChaCha20 など）
  4. メッセージ認証コード（MAC）を生成するハッシュアルゴリズム（例: SHA-256 など）
• このうち、③は問題文で「アプリケーション層の暗号化に使われる暗号アルゴリズム」として既に別扱いになっています。
  残る ①と②が「2種類の暗号アルゴリズム」、④が「1種類のハッシュアルゴリズム」に相当します。
• それぞれの“用途”をまとめると
  ・1つ目の暗号アルゴリズム：安全にセッション鍵を共有するための「鍵交換」
  ・2つ目の暗号アルゴリズム：認証局証明書と組み合わせてサーバ／クライアントを「認証」
  ・ハッシュアルゴリズム：改ざん検出のため MAC を作る「メッセージ認証」

誤りやすいポイント

• 「ハッシュ＝暗号化」と勘違いし、用途を「暗号化」と答えてしまう。ハッシュは平文復元不可能であり“改ざん検出”が目的です。
• 鍵交換と認証を一緒にしてしまう。TLS では鍵共有（RSA, DH など）と証明書署名アルゴリズム（RSA, ECDSA など）は独立要素です。
• 暗号スイートの4要素を3要素と誤認し、用途数が合わなくなる。

FAQ

解答の論理構成

1. まず、問題文は SSL-VPN の動作方式に関して
   「SSL-VPN の基本的な動作には、オポートフォワーディング、L2フォワーディングの3方式がある。」
   と述べ、下線（II）で「H社の場合はL2フォワーディング方式が望ましい」としています。
2. L2フォワーディング方式は、レイヤ2（Ethernet フレーム）をそのままトンネルで中継するため、上位レイヤでどのようなプロトコルが流れても透過的に扱えます。
3. H社が構築する顧客システムの性質について問題文は
   「顧客システムは、様々なサーバ機器、OS、ミドルウェアなどを組み合わせて構築され、利用されるプロトコルも様々である。」
   と明記しています。
4. 「様々なプロトコル」が流れるネットワークを安全にリモートから扱うには、特定のポートだけを転送するオポートフォワーディングでは対応しきれません。プロトコルが増えるたびに転送設定を追加する手間や、未知プロトコルが通過できないリスクが残るためです。
5. したがって、L2フォワーディング方式を選択した根拠は「顧客システムのプロトコルが多様」という一点に集約され、設問の模範解答「顧客システムは、様々なプロトコルを利用している。」となります。

誤りやすいポイント

• 「開発LANと顧客LANを同一 VLAN に見せる必要があるから」と理由付けする誤答。必要なのは“プロトコル透過性”であり VLAN 統合は本質ではありません。
• SSL-VPN 装置の機能差（例えばクライアントレス／インストール型）に着目してしまい、レイヤ選択の論点から外れるケース。
• 「ポート数が多い＝L2を選ぶ」と短絡的に覚えるミス。ポートの多寡ではなく“種類が未知・多様”であることが決定打です。

FAQ

解答の論理構成

1. SSL-VPNクライアントは「PCにインストールするクライアントモジュールからSSL/TLS接続を行う。」と記述されています。このモジュールは OS 上に仮想 NIC を生成してトンネルを張るのが一般的です。
2. さらに「接続時の認証に応じて、PCに適切なIPアドレスを割り当てる。」とあるので、割り当てられるのは SSL-VPNトンネル用のアドレス（10.100.k.0/24）です。
3. 図2の顧客 PC には物理「NIC」と並んで「vNIC」が描かれています。物理 NIC は社内ネットワーク（例：192.168.0.0/16）に接続されたままなので、VPN 用アドレスを物理 NIC に設定すると既存経路が上書きされてしまいます。
4. よって、VPN セッション確立時に払い出される IP アドレスは、物理 NIC とは別に作られた仮想インタフェース「vNIC」に設定される必要があります。
5. 以上から、下線（III）の問いに対する答えは図2中の「vNIC」となります。

誤りやすいポイント

• 物理 NIC と vNIC の役割を混同し、VPN 用 IP を物理 NIC に割り当てると判断してしまう。
• SSL-VPN の L2 フォワーディング＝ブリッジ動作だから物理 NIC が直接ブリッジされる、と短絡的に考える。実際はトンネル終端が PC 内の仮想 NIC になる。
• 図2の「NIC・vNIC」の記載を見落として、字母でなく単語で回答してしまう。

FAQ

解答の論理構成

1. 行き先ネットワークの同定
   表1の1行目は「宛先 IP アドレス」が「202.y.44.0/28」です。問題文には
   「DMZ のプロキシサーバを経由して行っている」「SSL-VPN 装置の設置位置は DMZ と L3SW の間とする」
   とあり、このプレフィックスは DMZ を示します。したがって キ ＝ DMZ です。
2. 送信元ネットワークの同定
   顧客システム構築ネットワークや開発 LAN など社内側のアドレスは「172.16.0.0/16」を含む内部 LAN としてまとめられています（問題文冒頭の〔H社の現行ネットワーク〕参照）。よって表1の「送信元 IP アドレス」が「172.16.0.0/16」と対応し、ク ＝ 172.16.0.0/16、カ ＝ 内部 LAN となります。
3. インターネット側から DMZ への SSL-VPN 接続
   表1の3行目は「プロトコル／宛先ポート」が「TCP/443」で、外部から DMZ 内の SSL-VPN 装置に到達させるルールです。問題文(1)「クライアント側から送られる…」及び検討結果(1)に
   「SSL-VPN 装置から内部 LAN への通信用に…」
   とあるとおり、装置のグローバル IP は DMZ 内に配置されます。装置単体への通信なのでホストアドレス表記 /32 が妥当で、ケ ＝ 202.y.44.2/32 です。
4. 方向の検証
   ・1行目：[カ]→[キ] は内部 LAN から DMZ への通信を許可するルール
   ・2行目：DMZ→インターネット（既定）
   ・3行目：インターネット→DMZ（SSL-VPN 用）
   これらは DMZ を境界として内外・外内の最低限の経路を開く設定と一致します。

誤りやすいポイント

• 「送信元／宛先」の向きの取り違え
  DMZ から内部 LAN への通信と勘違いすると [カ] と [キ] を逆に書いてしまいます。
• /28 と /32 の使い分け
  DMZ セグメント全体へ許可する設定なのか、装置単体へ絞るのかを見落とすと「202.y.44.0/28」をそのまま [ケ] に書き込むミスが発生します。
• 172.16.0.0/16 を「開発 LAN」または「顧客システム構築ネットワーク」の一部と読み違える
  問題文では 172.16.0.0/16 を内部 LAN 全体のプレフィックスとしている点に注意が必要です。

FAQ

解答の論理構成

1. 目的の再確認
   【問題文】には
   「“表2のアクセスリストは…開発LANから顧客システム構築ネットワークへの直接アクセス（SSL-VPNを経由しないアクセス）と、（V）それ以外の不正な通信を禁止する。”」
   とあるように、表2は “VLAN間を横断する不正パケット” を止めるためのリストです。
   したがって、L3SW が “VLAN間ルーティング” を行う地点でフィルタリングする必要があります。
2. ACL の内容を確認
   表2の 1 行目は
   「禁止　Any → 172.16.0.0/16」
   です。これは “内部LAN全体（172.16.0.0/16）へ向かうトラフィック” を遮断します。
   2 行目「許可　Any → Any」は “それ以外は通過” を意味します。
   よって、この ACL が付いたインタフェースに入って来るパケットは、宛先が 172.16.0.0/16 なら拒否され、そうでなければ通過します。
3. どの VLAN でチェックすべきか
   ACL を “入力方向” に付けるので、
   「他の VLAN から来たパケットが最初に L3SW に入る場所」
   に設定すれば効果的です。
   • 顧客システム構築ネットワークの SVI
   – 172.16.100.0/24（図2の②）
   – 172.16.101.0/24（図2の③）
   – 172.16.102.0/24（図2の④）
   • SSL-VPN から社内へ入る VLAN201 の SVI（図2の⑤）
   以上4か所に付ければ、開発LANや他 VLAN から “目的 VLAN 以外へ向かう 172.16..” を一律に遮断できます。
4. 付けないインタフェース
   • ①（VLAN200：FW との経路）はインターネット通信用であり対象外。
   • ⑥（VLAN101：開発LAN）は “発信元側” であり、ここに表2を付けると開発LAN → インターネット通信まで巻き込むおそれがあります。
   よって設定対象外とします。
5. 結論
   インタフェース番号で答えると
   「②、③、④、⑤」
   になります。

誤りやすいポイント

• 「出力方向に付ける」と勘違いし、②〜⑤ではなく⑥に付けてしまう。表2は “入力方向” 指定なので要注意です。
• VLAN200 や FW 側にも付けたくなりますが、宛先 172.16.0.0/16 をフィルタする目的には不要です。
• 表2の 2 行目「許可 Any → Any」を見落とし、“全部禁止になる” と誤解して解答を外すケース。

FAQ

解答の論理構成

• 【問題文】には「顧客システム構築ネットワークは…顧客ごとに設け」られ、「開発LANから顧客システム構築ネットワークへの直接アクセス（SSL-VPNを経由しないアクセス）と、（V）それ以外の不正な通信を禁止する」とあります。
• ここで “それ以外” とは、同じ内部 172.16.0.0/16 の中で発生し得る不正通信の残りを指します。開発LANからの直接アクセスは既に列挙済みなので、残る可能性は「顧客Ａのネットワークから顧客Ｂのネットワークへ」という相互アクセスです。
• 顧客間のネットワークは “顧客システム構築ネットワーク” という共通名称でまとめられているため、禁止対象を本文の語句で表すと「顧客システム構築ネットワークから他社の顧客システム構築ネットワークへの通信」と整理できます。

誤りやすいポイント

• 「開発LAN関連だけを禁止」と早合点し、顧客間通信を見落とす。
• “他社” の代わりに “他拠点” など本文にない語を使い減点される。
• 「SSL-VPN経由の通信」まで禁止対象と誤解し、正当な経路を遮断してしまう。

FAQ

解答の論理構成

1. VPN-PC のトラフィックが L3SW に最初に入る場所を特定
   【問題文】の「PCから顧客システム構築ネットワークへのアクセス経路が『PC→SSL-VPN 装置→VLAN201→顧客システム構築ネットワーク』となるように経路を設定する。」より、VPN-PC のパケットは SSL-VPN 装置を出た後に L3SW の VLAN201 へ流入します。
2. 表3 ACL の目的を確認
   【問題文】「表3のアクセスリストは、VPN-PCからの不正な通信を禁止する。」とあるため、VPN-PC 由来のパケットを L3SW に入る瞬間で選別するのが最も効果的です。
3. ACL を“入力方向”で適用する指示
   小問説明に「アクセスリストはインタフェースの入力方向に設定するものとする。」とあるため、VLAN201 へ到着するパケットを対象とします。
4. VLAN201 に対応する番号を図2から読み取る
   図2 のインタフェース番号は①〜⑥で示され、VLAN201 が ⑥ であることが示されています。ゆえに ACL を設定すべきインタフェースは ⑥ です。

誤りやすいポイント

• 「出力方向」に ACL を設定してしまう
  指示は“入力方向”です。方向を誤ると VPN-PC からの不正通信を遮断できません。
• VLAN201 と VLAN101 の取り違え
  VPN-PC が入るのは VLAN201、開発 LAN は VLAN101 です。番号の読み違いに注意しましょう。
• SSL-VPN 装置側でのフィルタリングと勘違い
  問題は「L3SW に設定」と明示されています。装置側のポリシーでは解答になりません。

FAQ