ネットワークスペシャリスト 2018年 午後1 問01

　F社は、本社と四つの営業所を拠点として事業を展開している中堅商社である。本社を中心としたハブアンドスポーク構成のIPsec VPNを使って、本社と営業所を接続している。営業所からインターネットへの通信は、全て本社を経由させている。 　現在F社で利用しているグループウェア機能は、電子メール、スケジューラ、ファイル共有などである。このうち電子メールは社外との連絡にも利用している。 　このたびF社では、グループウェアサーバの老朽化に伴い、グループウェアサーバを廃止し、グループウェア機能をもつG社SaaSを導入することにした。また、G社SaaSの導入に合わせたセキュリティ対策を講じることにした。

〔F社の現行ネットワーク構成とG社SaaS導入に合わせたセキュリティ対策〕 　F社の現行ネットワーク構成を、図1に示す。

　・プロキシサーバ及びグループウェアサーバは、本社DMZに設置されている。 　・L3SWでは、次のように静的経路設定を行っている。 　　- デフォルトルートのネクストホップをFWに設定している。 　　- 各営業所への経路のネクストホップを本社のIPsecルータに設定している。 　・社内PCからインターネットへは、Webアクセスだけが許可されており、プロキシサーバを経由して通信を行っている。 　 　一般に、プロキシには、アプロキシとイプロキシがある。F社のプロキシのようにアプロキシは、社内に対して、アクセス先URLのログ取得や、外部サーバのコンテンツをキャッシュして使用帯域を削減する目的で用いられる。一方、イプロキシは、外部から公開サーバのオリジナルコンテンツに直接アクセスさせないことによる改ざん防止、キャッシュによる応答速度の向上、及び複数のサーバでの負荷分散を行う目的で用いられる。 　G社SaaSの導入に合わせて、インターネットへのWebアクセスについてのセキュリティ対策を検討した。検討結果を次に示す。 　・G社SaaSとの通信は、HTTPSによって暗号化する。 　・出張先のPCから直接G社SaaSを利用できるようにするために、G社SaaSでは送信元IPアドレスの制限を行わない。 　・G社SaaS導入に合わせてセキュリティ強化を行うために、プロキシサーバで次のログを取得する。 　　- アクセス先URLと利用者ID 　　- G社SaaSのファイルアップロード／ダウンロードのログと利用者ID 　・社内PCからインターネットへのWebアクセスでは①プロキシサーバにおいて認証を行う。 　 〔G社SaaSの試用〕 　F社は、G社SaaSの本格導入に先立って、本社と一つの営業所を対象に少数ライセンスでG社SaaSを試用し、システムの利便性と性能を確認することにした。試用に先立ち、G社SaaS以外のアクセス先について、プロキシサーバでHTTPSのアクセスログを確認したところ、②アクセス先のホスト名は記録されていたが、URLは記録されていなかった。そこで、アクセス先のURLを把握するために、プロキシサーバで暗号化通信を一旦復号し、必要な処理を行った上で再度暗号化した。しかし、社内PCでエラーメッセージ“証明書が信頼できない”が表示されたので、社内PCにウをインストールして解決した。 　G社SaaSを試用した結果、次の事実が判明した。 　・G社SaaSにアクセスした際にプロキシサーバを通過するセッション数を実測したところ、スケジューラにアクセスする1人当たりのセッション数が大幅に増加した。 　・複数人が同時に大容量のファイルをG社SaaSに転送している間、本社のFWを経由するインターネット接続回線のスループットが低下した。 　 　このまま全社でG社SaaSの利用を開始すると、プロキシサーバの処理可能セッション数の超過、インターネット接続回線の帯域不足が予想された。 　 〔SD-WANルータの導入〕 　F社は、G社SaaSの試用で判明した問題を解決するために、IPsecルータの代わりにSD-WAN（Software-Defined WAN）ルータを使用することにした。 　SD-WANルータを使用したネットワーク構成案を、図2に示す。

　(1) SD-WANルータの概要 　　今回使用する予定のSD-WANルータは、SDN〔Software-Defined Networking〕によって制御されるIPsecルータである。SDNは、利用者の通信トラフィックを転送するデータプレーンと、通信装置を集中制御する エ プレーンから構成されており、エ プレーンのソフトウェアでデータ転送を制御する方式である。 　　F社が導入するSD-WANルータの仕様を次に示す。 　　・SD-WANルータの設定は、SD-WANコントローラによって集中制御される。 　　・SD-WANルータのWAN側には、インターネットに接続するインタフェースだけでなく、ほかのSD-WANルータに接続するIPsec VPNの論理インタフェースがある。 　(2) SD-WANルータを用いたときの通信 　　図2の説明を次に示す。 　　・社内PCからG社SaaSへのWebアクセスは、プロキシサーバを経由せず各SD-WANルータを経由する。 　　・社内PCからG社SaaS以外のインターネットへのWebアクセスは、プロキシサーバを経由する。 　　・L3SWにプロキシサーバへの静的経路情報を追加する。 　　・営業所と本社間の通信は、SD-WANルータ間でIPsecによって暗号化する。 　　・本社の社内PCからG社SaaSへの通信について、③G社SaaSのIPアドレスが変更された場合でもその都度L3SWを設定しなくても済むように、L3SWの静的経路情報を設定変更する。 　(3) SD-WANルータの運用 　　G社はSaaSに必要なサーバを随時追加している。G社SaaSが利用しているIPアドレスブロックの更新があるたびに、F社はSD-WANルータの設定を変更する必要がある。F社は、G社SaaSのIPアドレスブロックの更新を、RSS〔Really Simple Syndication〕を利用して知ることができる。 　　F社は、RSS配信されたIPアドレスブロックを検知するツールを作成して、自動的にツールから オ に指示を行い、全社のSD-WANルータの設定を変更することにした。さらに、社内PCから参照する④プロキシ自動設定ファイルを作成することにした。 　(4) G社SaaSアクセスログの取得 　　G社SaaSへのアクセスログは、⑤プロキシサーバからではなく、G社SaaSのAPIにアクセスして取得することにした。 　 　F社は、G社SaaSの本格導入に向けてSD-WANルータを利用したネットワークの構築プロジェクトを立ち上げた。