ネットワークスペシャリスト 2022年 午後1 問02

　N社は、国内に本社及び三つの営業所をもつ、中堅の機械部品メーカーである。従業員は、N社が配布するPCを本社又は営業所のLANに接続して、本社のサーバ、及びSaaSとして提供されるP社の営業支援サービスを利用して業務を行っている。 　N社は、クラウドサービスの利用を進め、従業員のテレワーク環境を整備することにした。N社の情報システム部は、本社のオンプレミスのサーバからQ社のPaaSへの移行と、Q社のセキュアゲートウェイサービス（以下、SGWサービスという）の導入を検討することになった。SGWサービスとは、PCがインターネット上のサイトに接続する際に、送受信するパケットを本サービス経由とすることによって、ファイアウォール機能などの情報セキュリティ機能を提供する。 　 〔現行のネットワーク構成〕 　N社の現行のネットワーク構成を図1に示す。

　N社の現行システムの概要を次に示す。 　・本社及び営業所のLANは、IPsecルータを利用したIPsec VPNで接続している。 　・本社及び営業所の IPsec ルータは、IPsec VPN を確立したときに有効化される仮想インタフェース（以下、トンネル IF という）を利用して相互に接続する。 　・営業所の PC から P 社営業支援サービス宛てのパケットは、営業所の IPsec ルータ、本社の IPsec ルータ、L3SW、FW 及びインターネットを経由して P 社営業支援サービスに送信される。 　・FW は、パケットフィルタリングによるアクセス制御と、NAPT によるIPアドレスの変換を行う。 　・P 社営業支援サービスでは、①特定のIPアドレスから送信されたパケットだけを許可するアクセス制御を設定して、本社の FW を経由しない経路からの接続を制限している。 　 　本社及び営業所の IPsec ルータは、LAN 及びインターネットのそれぞれでデフォルトルートを使用するために、VRF（Virtual Routing and Forwarding）を利用して二つの a テーブルを保持し、経路情報を VRF の識別子（以下、VRF 識別子という）によって識別する。ネットワーク機器の VRF とインタフェース情報を表1に、ネットワーク機器に設定している VRF と経路情報を表2に示す。

　N社のネットワーク機器に設定している経路制御を、次に示す。 　・本社の FW、L3SW 及び IPsec ルータには、OSPF による経路制御を稼働させるための設定を行っている。 　・本社の FW には、OSPF にデフォルトルートを配布する設定を行っている。 　・②本社の IPsec ルータには、営業所の IPsec ルータと IPsec VPN を確立するために、静的なデフォルトルートを設定している。 　・本社及び営業所の IPsec ルータには、営業所の PC が通行するパケットを IPsec VPN を介して転送するために、トンネル IF をネクストホップとした静的経路を設定している。 　・本社の IPsec ルータには、OSPF に③静的経路を再配布する設定を行っている。 　 〔新規ネットワークの検討〕 　Q社の PaaS 及び SGW サービスの導入は、N社の情報システム部の R 主任が担当することとなった。R 主任が考えた新規ネットワーク構成と通信の流れを図2に示す。

　R主任が考えた新規ネットワーク構成の概要を次に示す。 　・本社のサーバ上で稼働するシステムを、Q社PaaSへ移行する。 　・Q社SGWサービスを利用するために、本社及び営業所に導入する新IPsecルータ、並びにTPCは、Q社SGWサービスのPOPという接続点にトンネルモードのIPsecVPNを用いて接続する。 　・PC及びTPCからP社営業支援サービス宛てのパケットは、Q社SGWサービスのPOPとFW機能及びインターネットを経由してP社営業支援サービスに送信される。 　・Q社SGWサービスのFW機能は、パケットフィルタリングによるアクセス制御と、NAPTによるIPアドレスの変換を行う。 　 　R主任は、POPとの接続に利用するIPsecVPNについて、検討した。 　IPsecVPNには、IKEバージョン2と、ESPのプロトコルを用いる。新IPsecルータ及びTPCとPOPは、IKE SAを確立するために必要な、暗号化アルゴリズム、疑似ランダム関数、完全性アルゴリズム及びDiffie-Hellmanグループ番号、ネゴシエーションして決定し、IKE SAを確立する。次に、新IPsecルータ及びTPCとPOPは、認証及びChild SAを確立するために必要な情報を、IKE SAを介してネゴシエーションして決定し、Child SAを確立する。 　新 IPsec ルータ及び TPC は、IPsec VPN を介して転送する必要があるパケットを、長さを調整する ESP トレーラを付加して e 化する。次に、新しい f ヘッダと、g SA を識別するための ESP ヘッダ及び ESP 認証データを付加して、POP 宛てに送信する。 　R 主任は、IPsec VPN の構成に用いるパラメータについて、現行の設計と比較検討した。検討したパラメータのうち、鍵の生成に用いるアルゴリズムと h を定めている Diffie-Hellman グループ番号には、現行では 1 を用いているが、POP との接続では 1 よりも h の長い 14 を用いた方が良いと考えた。 　 〔接続テスト〕 　Q社の PaaS 及び SGW サービスの導入を検討するに当たって、Q社からテスト環境を提供してもらい、本社、営業所及びテレワーク拠点から、Q社 PaaS 及び P 社営業支援サービスを利用する接続テストを行うことになった。 　R 主任は、接続テストを行う準備として、P 社営業支援サービスに設定しているアクセス制御を変更する必要があると考えた。P 社営業支援サービスへの接続を許可するIPアドレスには、Q社 SGW サービスの FW 機能での NAPT のために、Q社 SGW サービスから割り当てを受けた固定のグローバルIPアドレスを設定する。R 主任は、Q社 SGW サービスが N 社以外にも提供されていると考えて、④NAPT のためにQ社 SGW サービスから割り当てを受けたグローバルIPアドレスのサービス仕様 を、Q社に確認した。 　テスト環境を構築した R 主任は、Q社 PaaS 及び P社営業支援サービスの応答時間の測定を確認項目の一つとして、接続テストを実施した。 　 　R 主任は、N 社の幹部に接続テストの結果に問題がなかったことを報告し、Q社の PaaS 及び SGW サービスの導入が承認された。