令和4年度 春期 ネットワークスペシャリスト試験 午後I 問2 VRFを用いた経路制御とSGWサービス導入に伴うIPsec網の更改

問2 セキュアゲートウェイサービスの導入に関する次の記述を読んで，設問1〜3に答えよ。

N社は，国内に本社及び一つの営業所をもつ，中堅の機械部品メーカである。従業員は，N社が配布するPCを本社又は営業所のLANに接続して，本社のサーバ，及びSaaSとして提供されるP社の営業支援サービスを利用して業務を行っている。
N社は，クラウドサービスの利用を進め，従業員のテレワーク環境を整備することにした。N社の情報システム部は，本社のオンプレミスのサーバからQ社のPaaSへの移行と，Q社のセキュアゲートウェイサービス（以下，SGWサービスという）の導入を検討することになった。SGWサービスは，PCがインターネット上のサイトに接続する際に，送受信するパケットを本サービス経由とすることによって，ファイアウォール機能などの情報セキュリティ機能を提供する。

〔現行のネットワーク構成〕

N社の現行のネットワーク構成を図1に示す。

N社の現行システムの概要を次に示す。

• 本社及び営業所のLANは，IPsecルータを利用したIPsec VPNで接続している。
• 本社及び営業所のIPsecルータは，IPsec VPNを確立したときに有効化される仮想インタフェース（以下，トンネルIFという）を利用して相互に接続する。
• 営業所のPCからP社営業支援サービス宛てのパケットは，営業所のIPsecルータ，本社のIPsecルータ，L3SW，FW及びインターネットを経由してP社営業支援サービスに送信される。
• FWは，パケットフィルタリングによるアクセス制御と，NAPTによるIPアドレスの変換を行う。
• P社営業支援サービスでは，①特定のIPアドレスから送信されたパケットだけを許可するアクセス制御を設定して，本社のFWを経由しない経路からの接続を制限している。

本社及び営業所のIPsecルータは，LAN及びインターネットのそれぞれでデフォルトルートを使用するために，VRF（Virtual Routing and Forwarding）を利用して二つのaテーブルを保持し，経路情報をVRFの識別子（以下，VRF識別子という）によって識別する。ネットワーク機器のVRFとインタフェース情報を表1に，ネットワーク機器に設定しているVRFと経路情報を表2に示す。

N社のネットワーク機器に設定している経路制御を，次に示す。

• 本社のFW，L3SW及びIPsecルータには，OSPFによる経路制御を稼働させるための設定を行っている。
• 本社のFWには，OSPFにデフォルトルートを配布する設定を行っている。
• ②本社のIPsecルータには，営業所のIPsecルータとIPsec VPNを確立するために，静的なデフォルトルートを設定している。
• 本社及び営業所のIPsecルータには，営業所のPCが通信するパケットをIPsec VPNを介して転送するために，トンネルIFをネクストホップとした静的経路を設定している。
• 本社のIPsecルータには，OSPFに③静的経路を再配布する設定を行っている。

〔新規ネットワークの検討〕

Q社のPaaS及びSGWサービスの導入は，N社の情報システム部のR主任が担当することになった。R主任が考えた新規ネットワーク構成と通信の流れを図2に示す。

R主任が考えた新規ネットワーク構成の概要を次に示す。

• 本社のサーバ上で稼働するシステムを，Q社PaaSへ移行する。
• Q社SGWサービスを利用するために，本社及び営業所に導入する新IPsecルータ，並びにTPCは，Q社SGWサービスのPOPという接続点にトンネルモードのIPsec VPNを用いて接続する。
• PC及びTPCからP社営業支援サービス宛てのパケットは，Q社SGWサービスのPOPとFW機能及びインターネットを経由してP社営業支援サービスに送信される。
• Q社SGWサービスのFW機能は，パケットフィルタリングによるアクセス制御と，NAPTによるIPアドレスの変換を行う。

R主任は，POPとの接続に利用するIPsec VPNについて，検討した。
IPsec VPNには，IKEバージョン2と，ESPのプロトコルを用いる。新IPsecルータ及びTPCとPOPは，IKE SAを確立するために必要な，暗号化アルゴリズム，疑似ランダム関数，完全性アルゴリズム及びDiffie-Hellmanグループ番号を，ネゴシエーションして決定し，IKE SAを確立する。次に，新IPsecルータ及びTPCとPOPは，認証及びChild SAを確立するために必要な情報を，IKE SAを介してネゴシエーションして決定し，Child SAを確立する。

新 IPsecルータ及び TPC は，IPsec VPNを介して転送する必要があるパケットを，長さを調整する ESPトレーラを附加して e 化する。次に，新しい f ヘッダと， g SA を識別するための ESPヘッダ及び ESP認証データを付加して，POP宛てに送信する。

R主任は，IPsec VPNの構成に用いるパラメータについて，現行の設計と比較検討した。検討したパラメータのうち，鍵の生成に用いるアルゴリズムと h を定めている Diffie-Hellmanグループ番号には，現行では 1を用いているが，POPとの接続では 1よりも h の長い 14を用いた方が良いと考えた。

〔接続テスト〕

Q社の PaaS 及び SGW サービスの導入を検討するに当たって，Q社からテスト環境を提供してもらい，本社，営業所及びテレワーク拠点から，Q社 PaaS 及び P社営業支援サービスを利用する接続テストを行うことになった。

R主任は，接続テストを行う準備として，P社営業支援サービスに設定しているアクセス制御を変更する必要があると考えた。P社営業支援サービスへの接続を許可する IPアドレスには，Q社 SGW サービスの FW 機能での NAPT のために，Q社 SGW サービスから割当てを受けた固定のグローバル IPアドレスを設定する。R主任は，Q社 SGW サービスが N社以外にも提供されていると考えて，④NAPT のために Q社 SGW サービスから割当てを受けたグローバル IPアドレスのサービス仕様を，Q社に確認した。

テスト環境を構築した R主任は，Q社 PaaS 及び⑤P社営業支援サービスの応答時間の測定を確認項目の一つとして，接続テストを実施した。

R主任は，N社の幹部に接続テストの結果に問題がなかったことを報告し，Q社の PaaS 及び SGW サービスの導入が承認された。