テクニカルエンジニア（ネットワーク）過去問 平成16年　午後2　問1　解説

    Powered By 楽天市場

穴埋め問題です。図2の下です。

>C君：今回の構成では,各支店と両センタ,及び両センタ間のVPN装置が対になって,
>　　 インターネット上にIPsecを使った仮想的な専用通信路を作ります。支店のPC
>　　 はプライベートIPアドレスをもっているので,IPsecの【 ア 】モードを
>　　 使います。それから,VPN装置はファイアウォール機能ももっています。
>B氏：インターネットにデータが流れるわけだが,問題はないのかな。
>C君：IPsecのIKE(Intemet Key Exchange)では,対になるVPN装置ごとに秘密か
>　　 ぎを設定します。この事前共有かぎ方式を利用して,アクセス制御と
>　　 【 イ 】を行うことができます。
>B氏：IPsecとNATは相性が良くないという話をよく聞くが。
>C君：各VPN装置のインターネツト側のインタフェースには,【 ウ 】を付与す
>　　 るので,NATを動作させる必要はありません。

順番に見て行きましょう。

【 ア 】：
　IPSecには2つのモードがありました。
　IPSecについては、
　　ネットワーク関連試験対策ノート（IPsec)
　にまとめてますので、ご参考ください。

　IPSecのモードはトンネルモードとトランスポートモードでした。
　それぞれの特長は？　そして【 ア 】はどっちでしょう？
　プライベートIPアドレスをそのまま使うようなので、VPN間ではパケット全体をカプセル化しないといけないですね。

　ということは、「トンネルモード」です。
【 イ 】：
　IPsecのIKEでは、何を行うことが出来たでしょうか？
　アクセス制限と、暗号化ですね。
　
【 ウ 】：
　　IPsecとNATの相性についての問題ですね。
　　B氏の指摘に対して「【 ウ 】を付与するので,NATを動作させる必要はありません。」
　　とC君は答えてます。

　　IPsecとNATの相性問題はどんな問題でしょう？これは知っていれば解けますね。
　　平成13年　午後2 問1でも問題になってました。

　　アドレス変換問題です。　=>IPsec/IPsecの落とし穴

　　IPsecでは、IPパケットを暗号化します。ルータでNATすると、あて先IPアドレス、送信元IPアドレスは変換されま
　　すが、データ内にIPアドレスが埋め込まれている場合は、暗号化されてしまっているために、変換されません。
　　これが、”相性が悪い”とB氏が指摘している内容です。

　　それに対して、C君は言っているのは、
　　　内部のネットワークでプライベートIPアドレスを使用しているから、インターネットに出るときに、NATする必要が
　　　なのであって、内部ネットワークでグローバルIPアドレスを付与していれば、NATを動作する必要は
　　　ありませんね。　

図2を見てみましょう。

支店1のPCから、インターネット上のWebにアクセスときのルートです。

　”メインモード使えなくなる理由”と問われているので、きっと本文中のアグレッシブモードでは
　使えなくならないのでしょう。

　では実際にそうなのか、調べてみましょう。
　　IPv6styleIPv6セキュリティを支えるIPsec（後編）　ここに詳しく説明されていましたので、
　確認しておきましょう。

　メインモードは、全部で6つのメッセージを交換することによってISAKMP SAを確立します。
　一方、アグレッシブモードは、メインモードと比べて少ない3つのメッセージ交換によって同じようにISAKMP SAを確立しています。

　どちらも、メッセージの中にIPアドレスが使われていますが、注意するところは”ID"の交換です。
　メインモードでは、IDの交換は最後に行われるため、IDが交換されるまでは、識別する手段がIPアドレスしかありません。

　これが、固定されないと識別できませんね。

”ルータ名を”、”図2中から”と但し書きがされているので、注意しましょう。

〔ネットワーク運用の検討〕 C君はネットワーク運用について,次のように考えた。 インターネットを使ったバックアップ経路は,拠点間のネットワークに障害が発生 した場合に用いられる。各拠点のルータには,動的経路制御が無効になったときに静 的経路情報利用するという機能がある。バックアップ経路への自動切替えには,こ の機能を利用する。例えば,支店1のPCからサーバ1を利用している場合に,支店1 のIP-VPNへのアクセス回線に障害が発生したときには,【 エ 】と【 オ 】 はIP-VPNを経由した経路情報のやり取りができなくなる。その結果,支店1のPCと サーバ1は、【 カ 】を介して,データを転送するようになる。

ネットワークの運用について、C君の考えが書かれています。
拠点間のネットワークに障害が発生時のバックアップ経路の設定についてです。

本文中の図2に正常時（青ライン）と障害時（赤ライン）のルートを書き込んでみました。
これで回答が見えてきましたね。

IP-VPNのアクセス回線に障害が発生した場合、青の○で囲んだルータ101、ルータ1は
IP-VPNを経由した経路情報のやり取りができなくなります。

その結果,ルータが切替えて、赤の○で囲んだルータ2を介して,データを転送するようになります。

　”具体的に”と問われているので、無難な書き方をせずに、
　”○○の△△を☐☐する”　のようにしっかり書きましょう。

　まずは案2を見てみましょう。　

　災害発生時の対応です。
　サーバ1〜サーバ6に替えてサーバ51〜サーバ56を利用すると書いてます。
　ただ、サーバの切替えは支店にはPCの設定を行える社員がいないのでDNSサーバ1と
　DNSサーバ51の両方を登録してもらい,DNSを用いて,アクセスするサーバを切り替えることにしました。

　その切替方式の案ですね。

　DNSサーバ51の登録情報です。
　正常時はサーバ1〜サーバ6が登録されています。
　これをサーバ51〜サーバ56に切替える変更内容を”具体的に”ですから、

　サーバ1〜6のAレコードをの値をサーバ51〜56のIPアドレスに変更する。（36）

　でいいでしょう。

主要な項目で○×を付けてみましょう。

信頼性で書いてあげればいいですね。

穴埋めです。本文を見てみましょう。

今度は外部とのメールの交換についてです。

通常時：　メールサーバ1　災害発生時：メールサーバ51を利用します。

このメールサーバの切替えについてですね。
ISPが管理しているDNSサーバの登録内容です。

DNSサーバでは、こんな感じで管理されています。
これがイメージできれば解けたようなものですね。

;Nameserver, admin
mail               IN MX 10    mailserver1
                    IN MX 20    mailserver51

とし、

mailserver1　　IN A　61.115.78.101
mailserver51　IN A　61.115.78.102

などを記載しておく  

穴埋めです。本文を見てみましょう。

〔サーバ運用の検討〕についてです。
サーバ運用について、D君が検討した案が表1です。

【 コ 】【 サ 】

ここから、【コ】、【サ】には、要求水準に関する言葉が入るのが分かります。
さらに読んでみると、【 コ】については、

業務システム---【 コ 】が比較的緩やか
グループウェアシステム---【 コ 】が比較的厳しい

緩やか/厳しいをキーワードに本文を見てみましょう。
〔災害対策の検討〕に書かれてますね。

・業務システムは事業の継続に必須であり,災害発生後48時間以内に利用できるようにする。その際にデータ消失は,災害発生時点からさかのぼって1時間以内にとどめる。
・グループウェアシステムは災害発生時の情報伝達に重要な役割を果たすので,災害発生後12時間以内に利用できるようにする。その際のデータ消失は,災害発生時点からさかのぼって48時間以内にとどめる。

ここの緑字について書いてあげればいいでしょう。

【 コ 】：システム停止が許されている時間の制限

【 サ 】

D君は,データ同期運用について,次のように考えた。 業務システムの【 サ 】を満たすためには,一システムセンタから研修センタに,データベース更新用のデータ(以下,更新データという)を数分〜数十分間隔で転送する必要がある。この更新は,サーバのミドルウェアの機能を用いて行われる。すなわち,ストレージ1に格納された更新データは,サーバ4によってサーバ50に転送される。転送された更新データは,サーバ50によってその都度,ストレージ51に反映される。 一方,グループウェアシステムの【 サ 】を満たすためには,日次のデータ同期運用を行えばよい。システムセンタでは日曜日にデータベース全体をバックアップし,平日は前日からの変更分だけをバックアップする。これらのバックアップデータを可搬型の磁気テープに複製し,トラック便を使って研修センタに搬送する。研修センタでは,搬送されてきたバックアップデータを,サーバ50の日次バッチ処理によってストレージ51に反映する。災害によっては,システムセンタとトラック便が同時に影響を受ける可能性もある。このような事態に対して,【 サ 】を満たすためには,システムセンタでバックアップを開始してから,研修センタにトラック便が到着するまでの時間を,最低でも【 シ 】時間以内にする必要がある。

【 サ 】は入れるところが多いので、ピックアップしましょう。

（A)業務システムの【 サ 】を満たすためには,一システムセンタから研修センタに,更新データを数分〜数十分間隔で転送する必要がある。
（B)一方,グループウェアシステムの【 サ 】を満たすためには,日次のデータ同期運用を行えばよい。
（C)このような事態に対して,【 サ 】を満たすためには,システムセンタでバックアップを開始してから,研修センタにトラツク便が到着するまでの時間を,・・・

時間に関することっていうのが分かりますね。バックアップに関することってことも分かります。

・業務システムは事業の継続に必須であり,災害発生後48時間以内に利用できるようにする。その際にデータ消失は,災害発生時点からさかのぼって1時間以内にとどめる。
・グループウェアシステムは災害発生時の情報伝達に重要な役割を果たすので,災害発生後12時間以内に利用できるようにする。その際のデータ消失は,災害発生時点からさかのぼって48時間以内にとどめる。

今度は赤茶色の部分でしょう

【 サ 】：データ消失を許されている時間の制限

【 シ 】

グループウェアシステムで災害によっては,システムセンタとトラック便が同時に影響を受けるような事態での対応ですね。
システムセンタでバックアップを開始してから,研修センタにトラツク便が到着するまでの時間は何時間以内にする必要があるでしょう？

グループウェアシステムでは、48時間という【 サ＝データ消失を許されている時間の制限 】を満たすため、日単位でデータのバックアップが行われています。つまり、48時間前のデータを保証するためには、その半分の期間にあたる24時間単位でバックアップすることが必要になります。

ことのめ、研修センタでバックアップする場合でも48時間以内というデータ消失を許されている時間の制限を満たすには、どのようなケースに遭遇しても必ず24時間以内に研修センタにバックアップデータを届ける必要がありますね。

更新データをネットワーク転送するときの経由です。
”ルータ、サーバ全て”と書かれているので、注意しましょう。

逆に、SWや、VPNは書かれていないので、書いてはいけません。
これは書かないように注意しましょう。

転送については少し上に書かれてました。

すなわち, 　ストレージ1に格納された更新データは,サーバ4によってサーバ50に転送される。 　転送された更新データは,サーバ50によってその都度,ストレージ51に反映される。

これを図2と照らし合わせてみましょう。

ストレージ1 => サーバ4 => ？？？ => サーバ50 => サーバ51
です。
この？？？に入るルートが分かれば、解けますね。
これは正常時のルートなので、下図のようになります。

経路どおりに書くと、

サーバ4,ルータ1,ルータ51,ルータ52,サーバ50
となります。

計算問題です。慎重に解いていきましょう。

単位の換算ですね。 [バイト/分]を[ ビット/秒]に換算します。
1[バイト/分] ＝　8/60 [ ビット/秒]です。

これを当てはめてみましょう。
3×10^6[バイト/分] ＝　3×10^6 × 8/60 ＝ 0.4 ×10^6 [ビット/秒] = 400 ×10^3 [ビット/秒]＝400 [kビット/秒]

何を問われているかにチェック！

サーバ名と理由を問われています。
”サーバ名は、表1中から選ぶ”と但し書きされていますので、注意しましょう。

まず、”サーバ名は、表1中から選ぶ”と書かれているので、これを見てみます。

これを頭において、図2を見てみましょう。

サーバ50〜サーバ56はFWで守られているのに、メールサーバ51だけはDMZにあります。
通常時、教育、開発などに使用しているサーバをメールサーバとして、DMZに収容替えするってことですね。

何か問題がありそうです。
FWの設定変更無く行うには、穴が空きそうです。
機密情報が多そうなサーバをDMZに置くのは危険です。

何を問われているかにチェック！作業を2回に分ける理由を問われています。

”図3のサーバ切替作業において”と書かれていますので、早速図3を見てみましょう。

"システムファイルのリストアと起動"が「サーバ55、サーバ56」と、「サーバ51〜サーバ54」で分けています。
一緒にやってしまえば、ラクでいいのに何で？ってのが質問です。

この手の問題の解き方は、
「サーバ55、サーバ56」と、「サーバ51〜サーバ54」の違いは何？
違うから、なんで分けれるの？

が整理できれば解けます。

まず、「サーバ55、サーバ56」と、「サーバ51〜サーバ54」の違いは何でしょう？
表1ですね。

「サーバ55、サーバ56」はグループウエアとして使用、「サーバ51〜サーバ54」は業務サーバとして使用です。

では何で、グループウエアの「サーバ55、サーバ56」を先にやって、業務サーバの「サーバ51〜サーバ54」を後でやったのでしょう？

〔災害対策の検討〕に立ち返りましょう。

グループウエアと業務システムでは、復旧させるための制限時間が違いましたね。
制限時間が違う理由（災害発生時の情報伝達に重要な役割を果たす）まで書ければBESTです。

何を問われているかにチェック！作業を問われています。

まず、DNSサーバを変更する必要があります。
あと、ひとつは、上位DNSサーバに対して変更を通知することですね。

"ネットワークの動作確認(グループウェアシステム用)"で確認すべきテストです。
この前後には何をしてるでしょう？
設問4 （4）で解いたようにDNSサーバの切り替えを行いました。
メールサーバ51のシステムファイルのリストアと起動も終わっています。

この"ネットワークの動作確認(グループウェアシステム用)"が終われば、グループウエアの動作確認を行います。

サーバ55、56のシステムファイルのリストア後には、この動作確認が必要ないのもヒントになるかもしれません。

サーバ55、56は特に移設とかしてないけど、メールサーバは移設、DNSサーバは切り替えを行ってます。
なので、ネットワークの動作確認をしておく必要があるのでしょう。

具体的にどんなテストが必要でしょう？pingですね。

何を問われているかにチェック！通常時に定期的に行う作業内容を問われています。
緊急時でなく、普段行っている内容を思い出しながら考えていきましょう。

備えあれば、憂いなし。。。

考えられる内容を回答として書きました。