ネットワークスペシャリスト 2018年 午後1 問01

　F社は、本社と四つの営業所を拠点として事業を展開している中堅商社である。本社を中心としたハブアンドスポーク構成の IPsec VPN を使って、本社と営業所を接続している。営業所からインターネットへの通信は、全て本社を経由させている。 　現在 F社で利用しているグループウェア機能は、電子メール、スケジューラ、ファイル共有などである。これらの電子メールは社外との連絡にも利用している。 　このたび F社では、グループウェアサーバの老朽化に伴い、グループウェアサーバを廃止し、グループウェア機能をもつ G社 SaaS を導入することにした。また、G社 SaaS の導入に合わせたセキュリティ対策を講じることにした。

〔F社の現行ネットワーク構成と G社 SaaS 導入に合わせたセキュリティ対策〕 　F社の現行ネットワーク構成を、図1に示す。

　・プロキシサーバ及びグループウェアサーバは、本社 DMZ に設置されている。 　・L3SWでは、次のように静的経路設定を行っている。 　　- デフォルトルートのネクストホップを FW に設定している。 　　- 各営業所への経路のネクストホップを本社の IPsec ルータに設定している。 　・社内 PC からインターネットへは、Webアクセスだけが許可されており、プロキシサーバを経由して通信を行っている。 　 　一般に、プロキシには、アプロキシとイプロキシがある。F社のプロキシのようにアプロキシは、社内に対して、アクセス先 URLのロング取得や、外部サーバのコンテンツをキャッシュして使用帯域を削減する目的で用いられる。一方、イプロキシは、外部から公開サーバのオリジナルコンテンツに直接アクセスさせないことによる改ざん防止、キャッシュによる応答速度の向上、及び複数のサーバでの負荷分散を行う目的で用いられる。 　G社 SaaS の導入に合わせて、インターネットへの Webアクセスについてのセキュリティ対策を検討した。検討結果を次に示す。 　・G社 SaaS との通信は、HTTPS によって暗号化する。 　・出張先の PC から直接 G社 SaaS を利用できるようにするために、G社 SaaS では送信元IPアドレスの制限を行わない。 　・G社 SaaS 導入に合わせてセキュリティ強化を行うために、プロキシサーバで次のログを取得する。 　　- アクセス先 URL と利用者ID 　　- G社 SaaS のファイルアップロード／ダウンロードのログと利用者ID 　・社内 PC からインターネットへの Webアクセスでは①プロキシサーバにおいて認証を行う。 　 〔G社 SaaS の試用〕 　F社は、G社 SaaS の本格導入に先立って、本社と一つの営業所を対象に少数ライセンスで G社 SaaS を試用し、システムの利便性と性能を確認することにした。試用に先立ち、G社 SaaS 以外のアクセス先について、プロキシサーバで HTTPS のアクセスログを確認したところ、②アクセス先のホスト名は記録されていたが、URL は記録されていなかった。そこで、アクセス先の URL を把握するために、プロキシサーバで暗号化通信を一旦復号し、必要な処理を行った上で再度暗号化した。しかし、社内 PC でエラーメッセージ“証明書が信頼できない”が表示されたので、社内 PC にウをインストールして解決した。 　G社 SaaS を試用した結果、次の事実が判明した。 　・G社 SaaS にアクセスした際にプロキシサーバを通過するセッション数を実測したところ、スケジューラにアクセスする 1 人当たりのセッション数が大幅に増加した。 　・複数人が同時に大容量のファイルを G社 SaaS に転送している間、本社の FW を経由するインターネット接続回線のスループットが低下した。 　 　このまま全社で G社 SaaS の利用を開始すると、プロキシサーバの処理可能セッション数の超過、インターネット接続回線の帯域不足が予想された。 　 〔SD-WAN ルータの導入〕 　F社は、G社 SaaS の試用で判明した問題を解決するために、IPsec ルータの代わりに SD-WAN（Software-Defined WAN）ルータを使用することにした。 　SD-WAN ルータを使用したネットワーク構成を、図2に示す。

　(1) SD-WAN ルータの概要 　　今回使用する予定の SD-WAN ルータは、SDN〔Software-Defined Networking〕によって制御される IPsec ルータである。SDN は、利用者の通信トラフィックを転送するデータプレーンと、通信装置を集中制御する エ プレーンから構成されており、エ プレーンのソフトウェアでデータ転送を制御する方式である。 　　F社が導入する SD-WAN ルータの仕様を次に示す。 　　・SD-WAN ルータの設定は、SD-WAN コントローラによって集中制御される。 　　・SD-WAN ルータの WAN 側には、インターネットに接続するインタフェースだけでなく、ほかの SD-WAN ルータに接続する IPsec VPN の論理インタフェースがある。 　(2) SD-WAN ルータを用いたときの通信 　　図2の説明を次に示す。 　　・社内 PC から G社 SaaS への Webアクセスは、プロキシサーバを経由せず各 SD-WAN ルータを経由する。 　　・社内 PC から G社 SaaS 以外のインターネットへの Webアクセスは、プロキシサーバを経由する。 　　・L3SW にプロキシサーバへの静的経路情報を追加する。 　　・営業所と本社間の通信は、SD-WAN ルータ間で IPsec によって暗号化する。 　　・本社の社内 PC から G社 SaaS への通信について、③G社 SaaS のIPアドレスが変更された場合でもその都度 L3SW を設定しなくても済むように、L3SW の静的経路情報を設定変更する。 　(3) SD-WAN ルータの運用 　　G社は SaaS に必要なサーバを随時追加している。G社 SaaS が利用しているIPアドレスブロックの更新があるたびに、F社は SD-WAN ルータの設定を変更する必要がある。F社は、G社 SaaS のIPアドレスブロックの更新を、RSS〔Really Simple Syndication〕を利用して知ることができる。 　　F社は、RSS 配信されたIPアドレスブロックを検知するツールを作成して、自動的にツールから オ に指示を行い、全社の SD-WAN ルータの設定を変更することにした。さらに、社内 PC から参照する④プロキシ自動設定ファイルを作成することにした。 　(4) G社SaaSアクセスログの取得 　　G社SaaSへのアクセスログは、⑤プロキシサーバからではなく、G社SaaSのAPIにアクセスして取得することにした。 　 　F社は、G社SaaSの本格導入に向けてSD-WANルータを利用したネットワークの構築プロジェクトを立ち上げた。