令和6年度 春期 ネットワークスペシャリスト試験 午後Ⅰ 問3 ローカルブレイクアウトとプロキシ自動設定

問3 ローカルブレイクアウトによる負荷軽減に関する次の記述を読んで，設問に答えよ。

A社は，従業員300人の建築デザイン会社である。東京本社のほか，大阪，名古屋，仙台，福岡の4か所の支社を構えている。本社には100名，各支社には50名の従業員が勤務している。
A社は，インターネット上のC社のSaaS（以下，C社SaaSという）を積極的に利用する方針にしている。A社情報システム部ネットワーク担当のBさんは，C社SaaS宛ての通信がHTTPSであることから，ネットワークの負荷軽減を目的に，各支社のPCからC社SaaS宛ての通信を，本社のプロキシサーバを利用せず直接インターネット経由で接続して利用できるようにする，ローカルブレイクアウトについて検討することにした。

〔現在のA社のネットワーク構成〕

現在のA社のネットワーク構成を図1に示す。

現在のA社のネットワーク構成の概要を次に示す。

• 本社及び各支社は IPsec VPN機能をもつUTMでインターネットに接続している。
• プロキシサーバは，従業員が利用するPCのHTTP通信，HTTPS通信をそれぞれ中継する。プロキシサーバではセキュリティ対策として各種ログを取得している。
• DMZや内部ネットワークではプライベートIPアドレスを利用している。
• PCには，DHCPを利用してIPアドレスの割当てを行っている。
• PCが利用するサーバは，全て本社のDMZに設置されている。
• A社からインターネット向けの通信については，本社のUTMでNAPTによるIPアドレスとポート番号の変換をしている。

〔現在のA社のVPN構成〕

A社は，UTMの IPsec VPN機能を利用して，本社をハブ，各支社をスポークとするア型のVPNを構成している。本社と各支社との間のVPNは，IP in IPトンネリング（以下，IP-IPという）でカプセル化し，さらに IPsec を利用して暗号化することで IP-IP over IPsec インタフェースを構成し，2拠点間をトンネル接続している。①本社のUTMと支社のUTMのペアでは IPsec で暗号化するために同じ鍵を共有している。②この鍵はペアごとに異なる値が設定されている。

③IPsec の通信モードには，トランスポートモードとトンネルモードがあるが，A社のVPNではトランスポートモードを利用している。

A社のVPNを構成するIPパケット構造を図2に示す。

VPNを構成するために，本社と各支社のUTMには固定のグローバルIPアドレスを割り当てている。④IP-IP over IPsec インタフェースでは，IP Unnumbered 設定が行われている。また，⑤IP-IP over IPsecインタフェースでは，中継するTCPパケットのIPフラグメントを防止するための設定が行われている。

〔プロキシサーバを利用した制御〕

BさんはUTMについて調べたところ，追加ライセンスを購入することでプロキシサーバ（以下，UTMプロキシサーバという）として利用できることが分かった。

Bさんは，ネットワークの負荷軽減のために，各支社のPCからC社SaaS宛ての通信は，各支社のUTMプロキシサーバをプロキシサーバとして指定することで直接インターネットに向けることを考えた。また，各支社のPCからその他インターネット宛ての通信は，通信相手を特定できないことから，各種ログを取得するために，これまでどおり本社のプロキシサーバをプロキシサーバとして指定することを考えた。各支社のPCから，C社SaaS宛てとその他インターネット宛ての通信の流れを図3に示す。

Bさんは，各支社のPCが利用するプロキシサーバを制御するためにプロキシ自動設定（以下，PACという）ファイルとWebプロキシ自動検出（以下，WPADという）の導入を検討することにした。

〔PACファイル導入検討〕

BさんはPACファイルの作成方法について調査した。PACファイルはJavaScriptで記述する。PACファイルに記述するFindProxyForURL関数の第1引数であるurlにはアクセス先のURLが，第2引数であるhostにはアクセス先のURLから取得したホスト名が渡される。これらの引数に渡された値を様々な関数を用いて条件分けし，利用するプロキシサーバを決定する。FindProxyForURL関数の戻り値が“DIRECT”ならば，プロキシサーバを利用せず直接通信を行う。戻り値が“PROXY host:port”ならば，指定されたプロキシサーバ（host）のポート番号（port）を利用する。

テスト用に大阪支社のUTMを想定したPACファイルを作成した。Bさんが作成した大阪支社のUTMのPACファイルを図4に示す。

Bさんは，テスト用のPCとテスト用のUTMプロキシサーバを用意し，作成したPACファイルを利用することで，テスト用のPCからC社SaaS宛ての通信が，期待どおりの本社のプロキシサーバを利用せずに，テスト用のUTMプロキシサーバを利用することを確認した。⑥Bさんは各支社のPACファイルを作成した。

〔WPAD導入検討〕

WPADは，イやウの機能を利用して，PACファイルの場所を配布するプロトコルである。PCやWebブラウザのWebプロキシ自動検出が有効になっていると，イサーバやウサーバと通信を行い，アプリケーションレイヤープロトコルの一つであるエを利用してエサーバからPACファイルのダウンロードを試みる。

WPADの利用には，PCやWebブラウザのWebプロキシ自動検出を有効にするだけでよく，簡便である一方，悪意のあるイサーバやウサーバがあると⑦PCやWebブラウザが脅威にさらされる可能性も指摘されている。Bさんは，WPADは利用しないことにし，PCやWebブラウザのWebプロキシ自動検出を無効にすることにした。PCやWebブラウザにはPACファイルのオを直接設定する。

Bさんが検討した対応案が承認され，情報システム部はプロジェクトを開始した。