ネットワークスペシャリスト 2022年 午後1 問01

〔現状のネットワーク〕 　A社は、精密機械部品を製造する中小企業であり、敷地内に事務所と工場がある。 　事務所には電子メール（以下、メールという）送受信やビジネス資料作成などのためのOAセグメントと、社外との通信を行うDMZが設置されている。工場には工作機械やセンサを制御するための制御セグメントと、制御サーバと操作端末のアクセスログ（以下、ログデータという）や制御セグメントからの測定データを管理するための管理セグメントが設置されている。 　センサや工作機械を制御するコントローラの通信は制御セグメントに閉じた設計としているので、事務所と工場の間は、ネットワークで接続されていない。また制御セグメントと管理セグメントの間には、制御サーバが設置されているがルーティングは行わない。 　操作端末は、制御サーバを介してコントローラに対し設定値やコマンドを送出する。コントローラは、常に測定データを制御サーバに送信する。制御サーバは、収集した測定データを、1日1回データヒストリアンに送る。データヒストリアンは、ログデータ及び測定データを蓄積する。 　A社ネットワークの構成を、図1に示す。

　ログデータの転送は、イベント通知を転送する標準規格（RFC 5424）のaプロトコルを利用している。データストリアンに蓄積された測定データとログデータは、ファイル共有プロトコルで操作端末に共有され、社員がUSBメモリを用いてOAセグメント内のPCに1週間に1回複製する。 　制御サーバ、操作端末及びデータストリアンのソフトウェア更新は、必要の都度、OAセグメントのPCでインターネットからダウンロードしたソフトウェア更新ファイルを、USBメモリを用いて操作端末に複製した上で実施される。 　A社の社員は、PCでメールの閲覧やインターネットアクセスを行う。OAセグメントからインターネットへの通信はDMZ経由としており、DMZには社外とのメールを中継する外部メールサーバと、OAセグメントからインターネットへのWeb通信を中継するプロキシサーバがある。DMZにはグローバルIPアドレスが、OAセグメントにはプライベートIPアドレスがそれぞれ用いられている。 　社員のメールボックスをもつ内部メールサーバと、プロキシサーバは、ユーザ認証のためにLDAPサーバを参照する。プロキシサーバのユーザ認証には、Base64でエンコードするBasic認証方式と、MD5やSHA-256でハッシュ化するb認証方式があるが、A社では後者の方式を採用している。また、プロキシサーバは、HTTPのcメソッドでトンネリング通信を提供し、トンネリング通信に利用する通信ポートを443に限定する。 　 〔ネットワークの更改方針〕 　A社では、USBメモリ紛失によるデータ漏えいの防止、測定データのリアルタイムの可視化、及び過去の測定データの蓄積のために、USBメモリの利用を廃止し、工場と事務所をネットワークで接続することにした。A社技術部のBさんが指示された内容を次に示す。 　(a) データストリアンにあるログデータをPCにファイル送信できるようにする。またPCにダウンロードしたソフトウェア更新ファイルを操作端末にファイル送信できるようにする。 　(b) 測定データの統計処理を行い時系列グラフとして可視化するサーバと、長期間の測定データを加工せずそのまま蓄積するサーバをOAセグメントに設置する。 　(c) セキュリティ維持のために、工場の制御セグメント及び管理セグメントと、事務所のOAセグメントとの間はルーティングを行わない。 　Bさんは、工場のネットワークを設計したベンダに実現方式を相談した。指示(a)と(c)については、ファイル転送アプライアンス（以下、FTAという）がベンダから提案された。指示(b)と(c)については、ネットワークパケットブローカ（以下、NPBという）、可視化サーバ、キャプチャサーバがベンダから提案された。 　Bさんがベンダから提案を受けた、A社ネットワークの構成を、図2に示す。

〔管理セグメントとOAセグメント間のファイルの受渡し〕 　FTAは、分離された二つのネットワークでルーティングすることなくファイルの受渡しができるアプライアンスである。ファイルの送信者は、①FTAにWebブラウザを使ってログインし、受信者を指定してファイルをアップロードする。ファイルの受信者は、FTAにWebブラウザを使ってログインし、自身が受信者として指定されたファイルだけをダウンロードできる。 　FTAの機能を使い、ファイルの受渡しの際に上長承認手続きを必須にする。上長への承認依頼、受信者へのファイルアップロード通知は、FTAが自動的にメールを送信して通知する。承認は設定された上長だけが行うことができる。 　Bさんが検討したFTAの利用時の流れを、表1に示す。

　②指示(c)のとおり、FTA には静的経路や経路制御プロトコルの設定は行わない。③FTA は、認証及び認可に必要な情報について、既存のサーバを参照する。 　Bさんは、ベンダから FTA を借りて想定どおりに動作をすることを確認した。 　 〔測定データの可視化〕 　NPB は事前に入力ポート、出力ポートを設定し、入力したパケットを複数の出力ポートに複製する装置である。NPB ではフィルタリングを設定して、複製するパケットを絞り込むことができる。可視化サーバは複製されたパケット（以下、ミラーパケットという）を受信して統計処理を行い、時系列グラフによって可視化をすることができる。キャプチャサーバは大容量のストレージをもち、ミラーパケットをそのまま長期間保存することができ、必要時にファイルを抽出することができる。 　Bさんは、NPB の動作の詳細についてベンダに確認した。Bさんとベンダの会話を次に示す。 　 　Bさん：L2SW と NPB の転送方式は、何が違うのですか。 　ベンダ：L2SW の転送方式では、受信したイーサネットフレームのヘッダにある送信元 MAC アドレスと L2SW の入力ポートを MAC アドレステーブルに追加します。フレームを転送するときは、宛先 MAC アドレスが MAC アドレステーブルに学習済みかどうかを確認した上で、学習済みの場合には学習されているポートに転送します。宛先 MAC アドレスが学習されていない場合はd します。 　　これに対して NPB の転送方式では、入力ポートと出力ポートの組合せを事前に定義して通信路を設定します。今回の A社の構成では、一つの入力ポートに対して出力ポートを二つ設定し、パケットの複製を行っています。 　　NPB の入力は、L2SW からのミラーポートと接続する方法と、ネットワークタップと接続する方法の二つがあります。ネットワークタップは、既存の配線にインラインで接続し、パケットを NPB に複製する装置です。今回検討したネットワークタップを使う方法では、送信側、受信側、それぞれの配線でパケットを複製するので、NPB の入力ポートは 2 ポート必要です。④今回採用する方法では、想定トラフィック量が少ないので既存の L2SW のミラーポートを用います。NPB につながるケーブルは全て 1000BASE-SX です。 　 　Bさんは、ベンダへの確認結果を基に A社における NPB による測定データの送信について整理した。その内容を次に示す。 　・可視化サーバとキャプチャサーバを OA セグメントに設置する。 　・コントローラは、更新前と同様に測定データを制御サーバに常時送信する。 　・⑤制御セグメントに設置されている L2SW の特定ポートにミラー設定を行い、L2SW の該当ポートの送信側、受信側、双方のパケットを複製して NPB に送信させる。 　・NPB は受信したミラーパケットを必要なパケットだけにフィルタリングした後に再度複製し、⑥可視化サーバとキャプチャサーバに送信する。 　 　Bさんは、FTA、NPB によるネットワーク接続方式を上司に説明し、承認を得た。