平成14年度テクニカルエンジニア（ネットワーク）午後Ⅱ問1

問1 セキュリティを重視したLANの構築に関する次の記述を読んで、設問1～5に答えよ｡

D社は、法人を主な顧客とする中規模な電子部品販売会社である｡最近では、個人に対してもパソコン部品の通信販売を行っている｡業務の効率化を目的として、インターネットを利用した受注システムを開発することにした｡受注システムの開発は、情報システム部が担当する｡

受注システムでは、顧客の利便性の向上や開発コストの抑制を目的として、Webや電子メール(以下、メールという)の仕組みを利用する｡また、開発コストの抑制以外に、適切なサービス応答時間の確保やインターネットを利用する際のセキュリティ確保も必要である｡

〔業務要件〕
D社は、インターネットを利用した受注システムでも従来と同様に、事前に顧客登録を行っている法人と個人を会員として管理し、会員以外には商品を販売しない｡法人の顧客登録はD社の営業員が行い、個人の顧客登録は本人がWebサーバを利用して行う｡会員の氏名や住所などの会員情報は、プライバシ保護の観点からも非常に重要な情報であり、情報漏えいの脅威から保護しなければならない｡
会員は、D社から商品紹介を受けたり、商品の仕様を確認したりするために、Webの仕組みを用いた電子力タログを利用する｡新商品のお知らせは、メールを利用して会員に通知する｡このメールを受け取った会員は、電子力タログを参照することで、詳細な新商品情報を入手できる｡

会員が注文する場合には、定められた注文フォームに必要事項を入力し、Webサーバに見積りを要求する｡Webサーバは、要求した会員に関する過去の購入実績を基に見積りを行い、回答する｡会員は、見積価格を確認して商品を発注する｡
会員からD社への問合せには、メールを利用してもらうため、専用のメールアドレスが設けられている｡このメールは、内容に従って担当者に転送され、その担当者が回答する｡

〔ネットワーク構成の検討〕
受注システムは，小規模なシステム構成でサービスを開始し，将来の需要に応じて拡張が可能なシステム構成にする。
受注システムの開発担当である情報システム部のU君は、D社で保有しているスイッチングハブの利用を予定している。表1にレイヤ2スイッチングハブ（以下，L2スイッチという）の仕様を、表2にレイヤ3スイッチングハブ（以下、L3スイッチという）の仕様を示す。

U君は、SI業者のT氏に受注システムの設計を依頼した。T氏は，受注システムに対する設計要件を確認するため、図1に示す受注システムのネットワーク構成の予備検討案を示して、U君と検討を行った。

T氏：S1は、受注システムのDNSと問合せメール用のSMTP、POPの兼用サーバです｡このサーバは、SMTPを用いてメールの送受信を行います｡S2は、電子力タログ機能を実現するWebとSMTPの兼用サーバです｡このサーバは、会員に電子力タログの情報を提供したり、新商品情報のお知らせをメールで送信したりします｡しかし、メールは受信しません。DB-1は、電子力タログの情報を格納しているデータベースサーバで、S2から参照されます｡S3は、受注機能を実現するWebサーバです｡このサーバは、会員からの注文内容の受信と、会員への見積回答の送信を行います｡DB-2は、会員情報、過去の購入実績及び商品価格を格納しているデータベースサーバです｡S3は、会員の識別のために、DB-2を利用します｡TPCは、受注システムの開発において、システムの初期設定やテストを行うために使用します｡
U君：受注システムの機能をS1、S2及びS3に分割しているのですね｡
T氏：はい｡三つのサーバに分割することで、セキュリティを確保することが目的です｡仮に、一つのサーバに不正侵入されても、ほかのサーバヘの影響を回避するためです｡
U君：DB-1はS2とだけ通信し、DB-2はS3とだけ通信するということで、どちらのデータベースサーバも定められたサーバ以外とは通信しないのですね｡
T氏：はい｡特に、DB-2には会員情報が格納されていますので、情報の漏えいには万全の対策を講じたいと思います｡サーバの静的ルーティング機能とサブネット分割を利用する方法では、不正侵入に対応できないと考えて、L2スイッチを利用したVLANを構成することにしました｡一つのVLANにDB-1とS2、ほかのVLANにDB-2とS3を収容したいと思います｡
U君：ところで、受注システムの各サーバに、プライベートIPアドレスを割り当てるかと思いますが、公開用のグローバルIPアドレスとの変換方法について教えてください｡

T氏：グローバルIPアドレスは、S1、S2及びS3の各サーバを、インターネット経由でアクセスするために利用されます｡これらは、S1のDNSに登録します｡各サーバのプライベートIPアドレスとグローバルIPアドレスの変換は、静的に1対1に対応するNAT機能を利用します｡この機能は、ルータで実現しています｡
U君：例えば、あて先IPアドレスがS1のグローバルIPアドレスの場合、ルータでS1のプライベートIPアドレスに必ず変換されるのですね｡
T氏：はい｡さらに、IPパケットのヘッダ部だけでなく、FTPやDNSなどのプロトコルでは、IPパケットのデータ部に含まれるIPアドレスに対しても同様な変換が行われます｡

U君：部内での検討の結果、問合せメールの受信や各サーバのメンテナンスは、既存の社内LANを経由して社員のパソコンから実施する予定です｡このため、社内LANの接続方法に関しても検討してください｡

T氏：はい｡更に設計を進めます｡

〔ネットワーク構成の再提案〕
T氏は、社内LANの接続を考慮し、受注システムのネットワーク構成に関して、再提案を行った｡

T氏：社内LANの接続も含めて設計しました｡システム監視を行う監視サーバの設置方法については、ほぼ検討が終わっていますが、運用方法が明確になった後で提案させてください｡図2に、受注システムのネットワーク構成を示します｡

U君：予備検討案との大きな違いは、GWの追加やL2スイッチとL3スイッチの使い方ですね｡
T氏：はい｡十分なセキュリティの確保と社内LANの接続方法を検討した結果です｡GWは、S3とDB-2の通信だけを中継します｡VLAN機能はL2スイッチだけで利用し、L3スイッチではフィルタリング機能を利用します｡VLANは、三つのグループにします｡それぞれのVLANは、独立したサブネットにし、ホスト部を8ビットにします｡具体的には、”Q1とQ6とQ9″、”Q2とQ7″、”Q3とQ8″で三つのVLANを構成し、S1、S2及びS3のIPアドレスには、それぞれ”10.10.30.10″、”10.10.40.10″及び”10.10.60.10″を静的に割り当てます｡表3に、各サーバのIPアドレスを示します｡

U君：DB-1、DB-2及びGWの環境構築のために、TPCからtelnetを用いてアクセスする必要があると思います｡このアクセスは、提案されたVLANの設定で、問題なく行うことができるのでしょうか｡
T氏：はい｡できます｡各サブネットに収容されているサーバのデフォルトゲートウェイには、それぞれ ルータのIPアドレスを設定します｡また、受注システムの開発時に限っては、ルータを用いてVLAN間の通信を行います｡このため、DB-1、DB-2及びGWに対しては、アクセス可能なS2とS3のサーバにログインした後、そのサーバからtelnetを利用してアクセスします｡繰り返しになりますが、これらのアクセスは開発時だけ許可し、サービス開始以降は禁止とする必要があります｡
U君：はい｡サービス開始時には十分注意します｡ところで、GWの必要性を教えてください｡
T氏：DB-2の情報を外部から守るため、GWを新たに設置しました｡GWは、S3とDB-2間の通信を定められたルールに基づいて中継します｡仮に、S3からパスワードに対する取得命令が発せられても、GWはこれを排除します｡S3は、会員認証のため、GWを介してDB-2に会員が入力したIDやパスワードなどの認証識別情報を転送します｡その認証結果は、GWを介してDB－2からS3に回答されます｡
U君：DB-2に格納されている商品価格の情報は、社内LANを通じて設定されますが、この構成であれば社内LANへの不正侵入対策も十分だと思います。

〔受注システムのテスト〕
受注システムのテストが始まって間もなく、U君は、情報システム部の後輩であるK君から、サーバに接続できないので助けてほしいとの相談を受けた｡ほかのTPCからは接続できるので、U君は、K君の使用しているTPCにおけるTCP/IPの設定を確認させた｡

K君の使用したTPCのIPアドレスは正しかったが、そのほかの設定に間違いがあったので修正した｡その結果、S1にはアクセスすることができたが、S2にはアクセスすることができなかった｡その後、別の設定の間違いに気付いて、それを修正したところ、S2へのアクセスも可能になった｡K君は、これらをU君に報告した｡
K君：【 c 】の設定を修正したところ、S1だけにはアクセスできましたが、S2にもアクセスするためには、【 d 】の設定の修正が必要でした｡
U君：TPC と S1は、同一のVLAN に収容されています｡しかし、TPCは、【 c 】の設定が正しくないので、S1が同一の【 e 】ドメインに存在しないと判断し、誤った【 d 】ヘの通信を試みます｡
K君：【 d 】を間違えても、S1へのアクセスは可能でした｡なぜでしょうか｡
U君：【 c 】の設定が正しく修正されたので、K君のパソコンがARPを利用して【 f 】の【 g 】を取得できたからです。
K君：分かりました｡ありがとうございました｡
内部に閉じたテストが完了したので、外部からのアクセスに関してテストを行った｡内部に閉じたテストの段階では、S2にプライベートIPアドレスを回答するDNSを構築し、各TPCやサーバがDNSサーバとしてS2を指定していた｡外部からのアクセスを確認するために、グローバルIPアドレスを回答するDNSをS1に構築した｡D社は、S1のDNS設定が正しいことを確認し、利用しているISPに対して、受注システムのゾーン情報のコピーを保有するような設定を依頼した｡
翌日、K君は、TPCが参照するDNSサーバをS2からISPのDNSサーバに変更し、S3の名前解決を試みた｡その結果、TPCには、S3のプライベートIPアドレスが回答された｡次に、K君は、TPCの設定を変更せずに、ISPにダイアルアップ接続して、S3の名前解決を試みた｡今度は、S3のグローバルIPアドレスが回答された｡K君は、U君から、ISPのDNSがフルサービスリゾルバ用のDNSとして機能したので、この動作には問題がないと説明され納得した｡
U君は、テストの終盤に、社内のセキュリティポリシに従い、チェックツールを用いてSMTPに関する設定を確認した｡その結果、S1は、メールの不正中継が可能であることが判明した｡このため、U君は、T氏に対策を相談した｡

U君：不正利用者は、侵入したサーバからメールを自由に送信できるのに、なぜ、中継サーバを利用するのでしょうか｡

T氏：不正利用者の目的は、複数の相手に対して大量にメールを送信することです｡メールの送信処理では、あて先サーバヘのデータ転送に要する時間以外にも、必要な処理に多くの時間が費やされます｡この時間は、複数の異なるあて先に対してメールを送信する場合、より多く必要になります｡そのため、不正利用者は、これらの処理を図3の複数の中継サーバで並列に実行させます｡
U君：SMTPに関する設定がぜい弱だと、S1が図3の中継サーバとして利用されてしまうのですね｡具体的な不正中継対策の方法を教えてください｡

T氏：メールを中継する条件として、あて先か送信元のアドレスにD社のドメインが含まれている場合で、かつ、D社内から発信したメールに限定します｡さらに、ルータの設定も確認してください｡

U君は、S1のSMTPに関する設定を変更した｡また、ルータの設定も確認し、メールの不正中継ができないことを確認した｡

〔監視サーバの運用方法〕
社内LANに接続されたパソコンには、商品価格や電子力タログの更新など、業務上必要なアクセスだけを許可し、ルータやスイッチングハブなどのネットワーク機器とサーバの監視を禁止する｡監視サーバは、SNMPを利用して、サーバやネットワーク機器の動作状態やトラフィックを監視する｡各サーバにおけるサービスプロセスの状態監視は、監視サーバからサービスプロセスに定期的に自動接続して確認する｡
監視サーバは、2枚のLANカードを搭載する｡一方のLANカードは、【 h 】と接続し、もう一方のLANカードは、【 i 】と接続する｡また、今後のサーバ増設を考慮して、静的なルーティング機能は使用しない｡
監視サーバが障害を検知した場合、S2を介したメールで、定められた運用担当者に障害情報を通知する｡障害情報を受け取った運用担当者は、監視サーバから状況を確認する｡_障害の状況に応じて、サーバやネットワーク機器を操作し、障害からの復旧を行う｡

監視サーバを用いた運用方法も確立できたので、D社は、受注システムのサービスを開始した｡

設問1 IPアドレス計画に関する次の問いに答えよ｡
(1) 表3中の【 a 】、【 b 】について、表3のほかの項目表記に従って答えよ｡
(2) 各サーバで使用しているサブネットマスクを答えよ｡

設問2 テスト期間中に発生した事象に関する次の問いに答えよ｡
(1) TPCにおけるTCP/IPの設定に関して、本文中の【 c 】～【 g 】に入れる適切な字句を答えよ｡
(2) TPCが参照するDNSサーバをS2からISPのDNSサーバに変更し、S3の名前解決を試みた結果、S3のプライベートIPアドレスが回答された理由を、70字以内で述べよ｡

設問3 図1の受注システムのネットワーク構成の予備検討案に関する次の問いに答えよ｡
(1) T氏がサーバの静的ルーティング機能とサブネット分割を利用する方法では、不正侵入に対応できないと考えて、L2スイッチを利用したVLANを構成することにした理由を、60字以内で述べよ｡
(2) 図1に示したネットワーク構成のままで、L2スイッチの一つのポートを利用して社内LANを収容した場合に生じる不具合とその発生理由を、50字以内で述べよ｡

設問4 メールの不正中継に関する次の問いに答えよ｡
(1) T氏が述べた中継サーバを利用して並列に実行する処理に関して、中継サーバとあて先サーバのデータ転送以外の処理を、40字以内で述べよ｡
(2) T氏が指示した、D社内から発信したメールに限定するためのルータの設定に関する確認事項を、40字以内で述べよ｡

設問5 図2の受注システムのネットワーク構成に関する次の問いに答えよ｡
(1) 監視サーバの接続方法に関して、本文中の【 h 】、【 i 】に入れる適切なネットワーク機器名を、図2から選び答えよ｡
(2) 監視サーバが設置され、サービスを開始したときのルータのルーティング処理に関して、開発時との変更点を、60字以内で述べよ｡
(3) 予備検討案に社内LANやGWを付加したので、L2スイッチとL3スイッチを入れ替えている｡DB-2とGWを目的どおりに機能させるため、L3スイッチで利用する機能とその設定すべき内容を、80字以内で述べよ｡
U君：S1の設定を見直し、メールの不正中継対策を行いたいと思います｡
T氏：メールの不正中継対策を行うには、SMTPに関する設定を適切に行う必要があります｡図3に、メールの不正中継の代表例を示します｡

最新過去問の解答と詳細解説はGene製作のテクニカルエンジニア（ネットワーク）
平成15,16,17年度分午後問題完全解説集！

詳細はこちら→//www.n-study.com/library/2006/05/post.html