テクニカルエンジニア（ネットワーク）過去問 平成15年　午後2　問1　解説

    Powered By 楽天市場

穴埋め問題です。順番に見て行きましょう。
【 a 】
【 b 】

表1の下に【 a 】と【 b 】がありますので、まとめて見てみます。
>図3に示したWebサーバからISPに送信されるパケットが，P1から転送される
>場合には，送信元アドレスが【 a 】になる。また，P2から転送される場合に
>は，表1の設定によって，【 b 】になる。

図3を見ながら考えてみましょう。
Webサーバから出力される時点での送信元IPアドレスは何でしょう？
IP1-2です。これはいいですね。
その後、MH-1を通過した場合に、送信元IPアドレスはどのように変化するでしょう？
それが分かっていれば、問題なく解けますね。

表1の上から順に読んでいきましょう。
・P1でのNAT機能を働かせない透過モードを利用する。
　　--- 送信元IPアドレスはそのままIP1-2でISPに送信されます。【 a 】
・P2だけでNAT機能を働かせる。
　さらに読んでいくと、
　・P2でのアドレス変換は，表1の設定に従って次の手順で行われる。
　　　パケットがP2から出力されるときに，
　　　　　　送信元IPアドレスがNATテーブルのアドレス1に存在する場合
　　　　　　　=>同一行のアドレス2に変換
　　　　　　存在しない場合
　　　　　　　=>P2に設定されたIPアドレスに変換される。
　　今回は存在しますか？表1を見てみましょう。
　　　IP1-2は存在しますね。　では、アドレス2のIP2-2に変換しましょう。【 b 】

【 c 】

　IPsecに関する問題です。
　IPsecに関しては、
　　　ネットワーク関連試験対策ノート（IPsec)
　としてまとめていますので、よろしければご活用ください。

　IPsecのセキュリティサービスを実施するための概念と言えば、
　SA(Security Association）とSPI（Security Parameter Index）
　ですね！ ここでは、SAの方が【 c 】ですので、
　SAまたは、セキュリティアソシエーションでいいでしょう。

【 d 】

かぎ交換の方式です。SAで行いますので、IKE（Internet Key Exchange) でいいでしょう。

　　これは変な問題です。
　　このようなネットワークでは通常、内=>外の通信を直接行わないように、
　　DMZにプロキシサーバを置いて中継し、内<=>プロキシサーバ、プロキシサーバ<=>外で
　　コネクションを貼ります。
　　今回の場合、どうも直接通信を行っているようなので、送信元IPアドレスは、
　　プライベートIPアドレスかグローバルIPアドレスです。
　　通常はプライベートIPアドレスを使用しますが、明記されていませんので、
　　両方を考える必要があります。
　　これらを頭において、P1、P2双方から出て行く通信について考えてきましょう。

　　P1から出て行く場合は、”透過モード”でした。送信元IPアドレスはNATされずに
　　出て行きます。ここで送信元IPアドレスがプライベートIPアドレスの場合と、グローバルIPアドレスの場合について考えてみる必要が出てきます。
　　プライベートIPアドレスの場合は、プライベートIPアドレスのままインターネットに流れることになりますので、破棄されますね。
　　グローバルIPアドレスの場合は、破棄されないのでISP-1から割り振られたグローバルIPアドレスであれば、P1ポートに戻ってくることが出来るでしょう。

　　P2から出て行く場合は、NATです。表1の中に存在しないIPアドレスですから、IP2-1に変換されてインターネットに出て行きます。
　　なので、問題なくP2ポートに戻って来れますね。

　　しかしながら、ここまでの回答を50文字で書かせるのか？と言われると疑問です。
　　下線(a)でも”そのまま利用できる。”と言い切っていますし。
　　「単純に出て行ったポートから返ってくる」みたいな回答を望まれているような気もしています。

　　でも、文面だけを読むとこれが回答ですので、これで作っておきましょう。

　　早速下線(b)を見てみましょう

　　（b）Y社から転送される電子メールの受信がISPのポリシによって拒否されるという問題が発生する可能性が
ある。

　　ですね。”電子メール”、”ポリシ”をキーワードにして、第３者中継への対策を思いつけば、
　　この問題も解けたも同然ですよね。思いつかなかった場合はこれを機に勉強してみてください。

　　SMTPでは、認証を行わずにメール送信できるため、（いわゆるポストに入れるだけで郵便物を送れる）
　　成りすましが結構簡単に出来ちゃいます。
　　その対策として、(1)、(2)のような設定がされています。
　　　(1)POP before SMTP
　　　(2)SMTP-AUTH　【SMTP Authentication】
　　　(3)送信元IPアドレス または、あて先IPアドレスが自ドメインでなければ転送しない（拒否する）
　　この設問は(3)についての問題ですね。

　　メールについては、今後セキュリティ対策でも重要になってきますので、勉強しておきましょう。
　　　（参考）ネットワーク早分かり講座：スパムを防げ！SMTP認証の基礎（キーマンズネット）

　　メールを使用する場合、メーラの設定の中に”SMTPサーバのIPアドレス”を入力する画面があります。
　　通常、ISPのメールサーバのIPアドレスを入力します。
　　今回の場合、ISP-1、ISP-2どちらかの、メールサーバのIPアドレスを入力することになりますが、
　　それは本文に明記されていません。
　　ですので、ISP-1のメールサーバを使用したと仮定しましょう。
　　メール送信も他通信同様、MH-1で負荷分散されます。
　　P1経由で出る場合は問題ないですけど、P2経由で出る場合はどうなるでしょう？
　　送信元IPアドレスがISP-2から配布されたものに変換されるので、拒否されちゃいますね。
　　これが回答でしょう。

VPNの設定内容ですね。表2が参考になりますので、比較しながら確実に解いていきましょう。
表2のVPN ＃２の逆を書いてあげればいいですね。

　　この問題は本文中のオートネゴシエーションの意味が分かれば解けますね。
　　LANでは、共有ネットワークですから、送信速度や通信モード（半二重、全二重）
　　が一致していないと同期が取れないので、送受信できなくなります。
　　ですので、それぞれの機器で対応している速度やモードを調べて、設定するわけですが、
　　機器の台数が増えると大変です。

　　そこで、その速度やモードに対する最初のネゴシエーションを自動的に行えばラクでしょ？
　　と開発されたのが「オートネゴシエーション」です。

　　今回リンクランプが点灯せず、原因を追求したら、「速度の不一致が原因」だったと言っています。
　　その理由を問われているのなら、回答は結構複雑なのですが、ここでの問いは、
　　どのような対策を施したのか？ですので、
　　単純に
　　　・オートネゴシエーションを止めた
　　　・手動で速度を一致させた
　　でいいでしょう。

　　まず、下線(d)を見てみましょう

　（d）運用開始後に再度確認することにした。

　　問題文を読むと、運用開始前は、累積データ量が設定された比率とは大きく異なって
　　いたが、運用を開始すると設定した比率に近い数字になったと読み取れます。
　　それはなぜ？というのが問題ですね。

　　何のデータについて問われてるかは、下線(d)の上側に書かれています。

>両方のポートにLANケーブルを接続して，アウトバウンドトラフィックの振り分け
>動作を表4中の�@について確認した。MH−1のログで振り分け状態を調べたところ，
>トラフィックは振り分けられていたが，ポートごとに送受信された累積データ量は，
>設定された比率と大きく異なっていたので，運用開始後に再度確認することにした。

　　web閲覧のアウトバウンドトラフィックの振り分け状態を聞いていることが分かりました。
　　問題でいう”最初に”と言ってるのは、この確認段階のことでしょう。

　　この確認段階では、振り分けが比率とは大きく異なったのに、運用してみると設定した比率に
　　近くなったみたいですね。なぜなんでしょう？

　　アウトバンドの振り分け確認は�@web閲覧と�Aメールの合計で見るのに、�@web閲覧だけで確認
　　したら比率が異なったんでしょう。web閲覧は一つのセッションで多くの通信をしています。
　　”web閲覧”これがキーワードでしょう。
　　通信の数が50：50でも、通信量が50：50かというとそうではありません。
　　特にweb閲覧では貼り付けられているデータなどが大きいなど、接続先に影響されやすい
　　通信です。振り分けはセッション単位で正常に振り分けていても、データ量としては、
　　うまく振り分けられない可能性はありますね。これが原因でしょう。

まずは、下線（e）を見てみましょう。

(e)PCのプロキシサーバを利用する設定を外し，ブラウザに本社のWebサーバのIPアドレスを直接入力
して行った。

インバウンド動作確認として、�E 本社のWebサーバ 閲覧をする際に、
・PCのプロキシサーバを利用する設定を外す
・ブラウザに本社のWebサーバのIPアドレスを直接入力する
この２つを実施したと言っています。

逆にいうと、これらをやらないとうまく動作確認が出来ないということになりますね。
それはなぜなんでしょう？

通信確認はどこからやっているでしょう？きっと社内でしょう。
しかし、インバウンドですから、ISP経由で本社のWebサーバにアクセスしないと確認できません。
社内からでもISP経由で接続することは出来ます。でも、今の設定ではISP経由で通信できないですね。それが分かれば解けたも同然です。

その理由が、上に書いた
・PCのプロキシサーバを利用する設定である
・ブラウザに本社のWebサーバのIPアドレスを直接入力しないといけない
です。

まず、PCのプロキシサーバを利用する設定だとなぜいけないかを考えてみましょう。
プロキシサーバ経由で設定すると、PCとプロキシサーバ、プロキシサーバと本社のWebサーバで通信が確立されます。
通信経路を考えると分かりますが、両方社内で完結しちゃいますね。これが一つの原因でしょう。

もうひとつのブラウザに本社のWebサーバのIPアドレスを直接入力しないといけない理由はなんでしょう？

これは単純に、下線（e）の下に書いてある
>PCにISP1のDNSサーバのIPアドレスを設定し，ブラウザに本社のWebサーバの
>URLを入力して行った。
から見て、PCにDNSサーバのIPアドレスを設定していなかったんでしょう。

では、上の２つの変更をすればどうなるでしょう？
IPアドレス（本社のWebサーバはIP1-2でした）を入力すると、PCに設定されたデフォルトゲートウエイに出て行きます。

デフォルトゲートウエイはどこに設定されているでしょうか？
（MH1：IP1-1）であれば、午後１問題レベルです。そうでないところが、午後２のそれも
最後の問題なんですね。
確認したPCはどんなPCだったでしょう？
>インバウンドの動作確認を，VPNの動作を確認したPCを使用して
行ってますね。

では、そのPCの設定内容は？少し上に書いてます。
>VPNの動作確認を，各営業所のPCの設定を変更しないで，業務サーバや社内メールサーバ
>の利用及び社外のWebサーバの閲覧が可能かどうかを検証
してます。
ということは、PCに設定されているデフォルトゲートウエイのIPアドレスは？
もう網分かりましたね。 MH-2です。

MH-2に転送されたパケットはアウトバンドですからセッション単位で振り分けられて、
ISP-1または、ISP-2に出て行きます。あて先が社内でしたらVPNを張りますが、
社外ですから、そのまま出て行きますね。その後、MH-1を経由して本社Webサーバに入ってきますので、インバウンドになりますね。

この流れをキーワードとして列挙するとこうなります。
・プロキシサーバを経由しないと、デフォルトゲートウエイに転送される
・確認試験を行っているPCのデフォルトゲートウエイは、VPNの動作を確認してから
　変更していないので、MH-2.
・MH-2に転送されたパケットはISP-1、ISP-2どちらかに振り分けられて出て行く。
・出て行ったパケットはインバウンドとしてMH-1経由で本社Webサーバにアクセスされる

これらをまとめて書いてあげればいいでしょう。