令和4年度 春期 応用情報技術者試験 午後 問5 SaaS導入に伴うFWセッション負荷軽減とネットワーク経路変更の設計

図2「NPCによる各種通信時に経由する社内の機器又はサーバ」の経路設定に基づき解答します。

本文の記述より、外出先及び社内のNPCのWebブラウザには、SaaSなどへ行くためのプロキシ設定としてプロキシサーバのFQDNが登録されています。
図2の「Mサービス又はインターネット上のWebサーバにアクセスするとき」のブロックを見ると、営業所のNPCからの通信は「IPsecルータ2」→「IPsecルータ1」→「L3SW」→「FW」→「プロキシサーバ」の経路をたどります。空欄（あ）はこの経路上の「FW」から「プロキシサーバ」へ向かう区間に位置しています。
宛先IPアドレスは、Webブラウザのプロキシ設定に従い、代理アクセスを行うプロキシサーバのIPアドレスとなります。

高得点のポイント

• 図2の経路上で空欄（あ）がプロキシサーバへの矢印上にあることを確認する。
• 宛先IPアドレスとして設定されている機器がプロキシサーバであることを理解する。

図2「NPCによる各種通信時に経由する社内の機器又はサーバ」の経路設定に基づき解答します。

営業所のNPCがMサービスにアクセスする際、パケットは「営業所LAN」から「IPsecルータ2」を通り、インターネットVPNを経由して本社の「IPsecルータ1」へ到達します。
このインターネットVPNの区間では、元のIPパケットがIPsecによってカプセル化されて送信されます。IPsecルータ1でパケットが復号（デカプセル化）されると、元のIPヘッダが現れます。
したがって、空欄（あ）を通過する内部LAN側のパケットの送信元IPアドレスは、通信を開始した営業所のNPCのまま維持されます。

高得点のポイント

• IPsecによるトンネリング処理（カプセル化と復号）で元のIPヘッダが維持されることを理解する。
• 通信の送信元が営業所のNPCであることを特定する。

図2「NPCによる各種通信時に経由する社内の機器又はサーバ」の経路図から、経由する機器を読み取ります。

図2の「Mサービス又はインターネット上のWebサーバにアクセスするとき」のブロックを確認します。「外出先のNPC」から始まる実線の矢印をたどると、通信は以下の順に社内の機器を経由します。

1. ルータ
2. FW
3. プロキシサーバ

プロキシサーバから折り返した後、再び「FW」と「ルータ」を通ってインターネット上のWebサーバへと向かいます。設問ではL2SW以外の機器・サーバ名を全て答えるよう求められているため、経路上に存在するこれら3つの機器が正解となります。

高得点のポイント

• 図2の「外出先のNPC」からインターネット上のWebサーバへの通信経路（実線矢印）を正確にたどる。
• 経路上に存在する社内機器を漏れなく抽出する。

表1「FWに設定されている通信を許可するルール」の項番1の設定意図から解答を導きます。

項番1は「インターネットからDMZ」へのアクセスで、宛先ポート番号が「TCP/53, UDP/53」に設定されています。これはDNSの問い合わせに使用されるポート番号です。
本文の〔P社のネットワーク機器の設定内容と動作〕には、「外部DNSサーバは，DMZのサーバのグローバルIPアドレスを管理するとともに，DNSキャッシュサーバ機能をもつ」と記載されています。インターネットからのDNS要求を受け付けるのはDMZ上に配置された外部DNSサーバであるため、空欄aにはこれが当てはまります。

高得点のポイント

• TCP/UDPの53番ポートがDNSの通信であることを把握する。
• 本文の記述と図1の構成から、DMZ内でDNS要求に応答するサーバを特定する。

表1「FWに設定されている通信を許可するルール」の項番4の設定意図から解答を導きます。

項番4は「DMZからインターネット」へのアクセスで、宛先ポート番号が「TCP/80, TCP/443」に設定されています。これはHTTPおよびHTTPSの通信に使用されるポート番号です。
本文の記述および図2の経路図から、社内からインターネット上のWebサーバやMサービスへのアクセスは、すべてDMZに配置されたプロキシサーバが代理で行うことがわかります。したがって、DMZからインターネットに向けてHTTP/HTTPS通信を行う送信元（空欄b）はプロキシサーバとなります。

高得点のポイント

• TCPの80番・443番ポートがHTTP/HTTPS通信であることを把握する。
• Webアクセスの代理処理を行う機器がプロキシサーバであることを特定する。

表1「FWに設定されている通信を許可するルール」の項番5の設定意図から解答を導きます。

項番5は「内部LANからDMZ」へのアクセスで、宛先が外部DNSサーバ、宛先ポート番号が「TCP/53, UDP/53（DNS）」となっています。
本文の〔P社のネットワーク機器の設定内容と動作〕には、「社内DNSサーバは，（中略）管理外のサーバの名前解決要求は，外部DNSサーバに転送する」と記載されています。
内部LAN内で名前解決の転送処理を行い、DMZの外部DNSサーバに対して問い合わせ（通信）を送信するのは社内DNSサーバです。したがって、空欄cにはこれが当てはまります。

高得点のポイント

• 本文中のDNS名前解決の要求転送の仕組みを理解する。
• 内部LANから外部DNSサーバへ通信を送信する機器を特定する。

ISサーバの廃止に伴って不要となるプロキシ例外設定について、対象の機器を特定します。

本文の〔P社のネットワーク機器の設定内容と動作〕には、「社内のNPCからISサーバへのアクセスは，プロキシサーバを経由せずに直接行う」と記載されています。プロキシサーバを経由させないためには、Webブラウザのプロキシ例外設定に対象サーバのFQDNを登録しておく必要があります。
今回、ISサーバを廃止してGサービスへ移行することになったため、例外設定に登録されていたISサーバのFQDNが不要となり、削除されます。

高得点のポイント

• 本文中の「プロキシサーバを経由せずに直接行う」という記述から、例外設定に登録されている機器を特定する。
• ISサーバの廃止によって不要になる設定項目であることを理解する。

本社のNPCからq-SaaSへの新しいアクセス経路を実現するための、L3SWの経路表への追加設定について解答します。

本文の〔Gサービス利用開始後に発生した問題と対策〕および図4「外出先及び社内のNPCからq-SaaSアクセス時に経由する社内の機器」によると、FWの負荷を軽減するため、本社のNPCからq-SaaSへの通信経路が変更されました。
変更前は「L3SW → FW → プロキシサーバ」という経路でしたが、変更後はプロキシサーバを経由せず「L3SW → IPsecルータ1 → q-SaaS」という直接アクセスする経路になります。
この通信を正しく転送するために、L3SWにはq-SaaS宛ての通信を受け取った際のネクストホップ（次にパケットを渡す機器）を、FWではなくIPsecルータ1へ向ける経路情報が必要となります。

高得点のポイント

• L3SWに追加すべき経路の宛先がq-SaaSであることが明記されている。
• その宛先に対するネクストホップ（転送先）がIPsecルータ1であることが示されている。

表2「設定変更後のIPsecルータ1の処理内容」の項番1について、照合する宛先情報（空欄d）を解答します。

項番1の処理は「NAPT後にインターネットに転送」であり、照合するプロトコルは「HTTPS」となっています。
本文および図4の構成変更により、本社のNPC（内部LAN）からq-SaaSへのHTTPSアクセスは、IPsecルータ1を経由してインターネットへ直接出力されるようになりました。
IPsecルータ1は、このq-SaaS宛てのパケットを受信した際、送信元IPアドレスをNAPTで変換し、インターネット側へ転送します。したがって、この通信の宛先を示す空欄dにはq-SaaSが当てはまります。

高得点のポイント

• 構成変更後の本社NPCからのq-SaaSアクセスの経路を正しく理解する。
• NAPT変換の対象となる通信の宛先サービスを特定する。

表2「設定変更後のIPsecルータ1の処理内容」の項番2について、照合する宛先情報（空欄e）を解答します。

項番2の処理は「インターネットVPNに転送」となっています。
図1および図3のネットワーク構成図に示されている通り、インターネットVPN（IPsecトンネル）は本社と営業所を接続するために利用されています。
IPsecルータ1は、内部LANから営業所LAN宛てに送信される通信（プロトコルはany）を受信した場合に、それらをインターネットVPNへ転送して営業所側のIPsecルータ2へ届けます。したがって、空欄eには営業所LANが当てはまります。

高得点のポイント

• IPsecルータ1とIPsecルータ2間のインターネットVPNがどのセグメント間を接続しているかを把握する。
• 内部LANからVPNへ転送される通信の宛先ネットワークを特定する。