【ネスペ過去問解説】平成30年度 午後Ⅰ 問1-設問3

 SD-WAN登場。

でました。SDN系。もう何回か出ているのでそろそろ慣れてきたやつですね。SDN-WANサービスはユーザがそのポータルサイトを使ってWANの設定を行ったり回線状況や利用状況を可視化するものです。WAN接続する各拠点には専用装置CPEを置きます。これが文章の中のSD-WANルータにあたります。

※他の過去問の解説はこちらから

　https://nwspgogomon.blogspot.com/2021/12/blog-post.html?m=1

設問3．[SD-WANルータの導入]について(1)～(5)に答えよ。

(1)本文中の[ エ ]に入れる適切な字句を答えよ。

まだまだSDNが出たときは、この問題は出るでしょうね。SDNの大前提。データを送信するデータプレーンと、装置を管理するコントロールプレーンの2つから構成されます。

答え）コントロール

(2)本文中の下線③について、設定変更後の静的経路情報を、35字以内で答えよ。

このような状況は仕事をしていてもしょっちゅうありますね。まず、Saasを入れる前は、L3スイッチがルーティングを制御するポイントになりますので、クライアントやその機器のデフォルトゲートウェイは、L3スイッチですね。それで、L3スイッチのデフォルトゲートウェイは次のFWになりますね。

今回Saasを入れることで下線③に「SaasのIPアドレスが変更された場合でもその都度L3スイッチを設定しなくても済む…」とあります。

どうすれば、良いか。L3スイッチのデフォルトゲートウェイをSD-WANルータにすればよいのですね。

カンの良い人はここで、「あれ？それじゃ、インターネット見えなくなるじゃない」と思います。が、Webアクセスはプロキシ経由とありました。プロキシサーバが代理応答するので、そのネットワークアドレス向けの経路をL3スイッチに切っておけばOKなんですね。（伝わりますか？？）

答え）ネクストホップがSD-WANおなるデフォルトルート

(3)本文中の[ オ ]に入れる適切な字句を、図２中の機器名で答えよ。

図をアップしてみました。本文ですが、「RSS配信されたIPアドレスブロックを検知するツールを作成して、自動的にツールから[ オ ]に指示を行い、前者のSD-WANルータの設定を変更する」とあります。

難しそうで簡単。SD-WANルータの設定を変更できるのは１つ、SD-WANコントローラのみです。因みにRSS配信されたIPアドレスを受信するとありますが、XMLやJsonファイルをwgetするなどの設定も流行っています。

答え）SD-WANコントローラ

(4)本文中の下線④について、このファイルを作成することによってプロキシから除外する通信を20字以内で答えよ。

下線④は「プロキシ自動設定ファイルを作成」とあります。これはプロキシのpacファイルのことかな。どこもそうだけど、パックファイルはいろんな制約を実現しようとして、かなり激しいことになっていますよね。

まぁ、それは置いといて、今回の場合、インターネットへの通信とSaasへの通信のどちらかしかないから2択です。それでプロキシ通信からの除外なので、Saasへの通信となります。

答えは下ののですが、"HTTPS通信"っているのかな…

答え）G社SaasへのHTTPS通信

(5)本文中の下線⑤について、G社SaaSのAPI経由で取得する理由を二つ挙げ、それぞれ40字以内で述べよ。

1つは簡単。プロキシを経由しなくなるから。2つ目がわからない。

本文を読み直してみると、3ページの真ん中ぐらいに「出張先のPCから直接G社SaaSを利用する」とありました。ここ（SaaSのAPI）でしかログが取れないのですね。私は、この問題は間違えました。

答え）

・社内PCからG社SaaSへのアクセスがプロキシサーバを経由しなくなるから。

・出張先のPCからG社SaaSへのアクセスが記録されるから。

さいごに

夏バテかコロナかわからない。

そもそも無症状の人がいるって病気は、病気なの！？

【ネスペ過去問解説】平成30年度 午後Ⅰ 問1-設問2

もうSquid入れた方が良いかも。

解説書きながら気づきましたが、ネットワークスペシャリストでは、結構プロキシ問題多いです。そんで、大体同じ内容。ネットワーク系のサーバをあまり触ったことが無ければ、クライアントにVMWare入れて、CentOS＋Squid入れて試した方が良いかも。その方が早い気がします。では、始めまーす。

※他の過去問の解説はこちらから

　https://nwspgogomon.blogspot.com/2021/12/blog-post.html?m=1

設問２．[G社Saasの試用]について(1)と(2)に答えよ。

(1)本文中の下線②についてHTTPSでアクセスするためのHTTPプロトコルのメソッド名を答えよ。

この問題も過去に同じ問題が出ていました。プロキシでHTTPS通信する時は、暗号化された文章を復号できないから、そのまま透過させてしまうんですね。そのメソッドは何かと聞いています。squid入れたらログでCONNECTとかでてきますよね。

もうこれも知識問題です。覚えましょう。

答え）CONNECTメソッド

また、このメソッドを用いる場合、社内に侵入したマルウェアによる通信（ただしHTTPS以外の通信）を遮断するためのプロキシサーバでの対策を30時以内で述べよ。

１つの問の中に2つの問題。「やめてよ…」と思っても、合格しないので何か書かないといけません。でも、これは難しいですね。上に書いたように、CONNECTだと全部透過してしまうんですね。だからクライアント側でFTPとかをCONNECTメソッド指定しちゃうと、インターネット上のC&Cサーバ等の悪いサーバに対しても、何か送ってしまうことも出できます。（悪さが簡単にできる）

まぁ、大体のネットワークは、プロキシの前にはFWがいるから、そこでも対応するのだけれど。squidを設定する時は以下のおまじないを書きます。「SSL_ports以外のCONNECTメソッド接続を拒否する」というルールです。

***********************************

http_access deny CONNECT !SSL_ports

***********************************

答え）HTTPS以外のポートのCONNECTを拒否する。

(2)本文中の[ ウ ]に入れる適切な字句を、20字以内で答えよ。

本文中に「アクセス先のURLを把握するために、プロキシサーバで暗号化通信を一旦復号し、必要な処理を行った上で再度暗号化した。」とあります。これは、マジで、過去問に同じ問題があったと思って調べてみたら、「H26の午後Ⅱ問１」でした。過去問は5，6年分は、一通りした方が良いかもです。

因みに、今回の場合の動きは、こうなります。

①PCから「https://aaa.bbb」に通信するために、プロキシにCONNECTメソッド送信

②プロキシは、自分が「https://aaa.bbb」として証明書を作成

③プロキシは、PCに②の証明書を提示

④プロキシは、①～③までとは別に本物の「https://aaa.bbb」と代理で通信する。

①～③のあと、PCでエラーが出ないためには何が必要か。

そうです。プロキシのルート証明書です。実はプロキシで復号するために、よくやる手です。ADのグループポリシーとかでルート証明書を配布しているかもです。

答え）プロキシサーバのルート証明書

さいごに

今年のお盆は、里帰りもできないです。

コロナよ、本当にやってくれたなー！！

【ネスペ過去問解説】平成30年度 午後Ⅰ 問1-設問1

SaaS化をする時はプロキシから。

ふと思い立って、前に書いていたブログを開いてみたところ、意外とアクセスされていたようで、皆様のお役に少しは立っているのかなとも考え、久しぶりに始めてみました。
コロナ渦の中いかがお過ごしでしょうか。私は、在宅勤務がなかなかうまくできず爆発寸前。打合せやら電話、メールの数が半端なく増えた…

では、愚痴からのスタートですが、、最初はSasSする時のプロキシですね。がんばろう！

※他の過去問の解説はこちらから

　https://nwspgogomon.blogspot.com/2021/12/blog-post.html?m=1

設問１．[F社の現行ネットワーク構成とG社Saas導入に合わせたセキュリテ　ィ]について(1)と(2)に答えよ。

(1)本文中の[ ア ]、[ イ ]に入れる適切な字句を答えよ。

これは、サービス問題ですね。過去問を解いていたらすぐ解けたはずです。

試験中に確実に正解な問題が出たら安心するよね。逆にど忘れしちゃうと、後にすごい響きますが。

うまい説明がないかとググってみたら過去の午前問が出てきました。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

問。TCP/IPネットワークのフォワードプロキシに関する説明のうち，

　　最も適切なものはどれか。

ア、Webサーバと同一の組織内(例えば企業内)にあって，

　　Webブラウザからのリクエストに対してWebサーバの代理として応答する。

イ、Webブラウザと同一の組織内(例えば企業内)になければならない。

ウ、Webブラウザの代理として，Webサーバに対するリクエストを送信する。

エ、電子メールをインターネット上の複数のサーバを経由して転送する。

＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊

答え：ウ（因みにリバースプロキシは"ア"です。"エ"を選択した人は"振出し"に戻る。）

仕事柄スイッチやルータ系ばっかりで「サーバは知らん！」という方は、

プロキシの種類は2種類で"中→外"がフォワード、"外→中"がリバースと覚えて良いのでは。

まぁ、クラウドが流行って何が"中"かという話もありますが。

（やべ、いろんな人に怒られそう）

答え）ア：フォワード、　イ：リバース

(2)本文中の[ ア ]、[ イ ]に入れる適切な字句を答えよ。

プロキシ認証をすると、認証されたユーザだけがインターネットをできることになるわけです。最近のプロキシ絡み問題の王道は、「認証に使うユーザ情報がログに出ます」と「プロキシの証明書を使います」の2つはですね～。今回は前者。

プロキシ認証ではユーザID（利用者ID）とパスワードが必要です。

さすがにセキュリティのためにプロキシ認証して、パスワードをログには書かんでしょ。

ということで、答えは残るもの。

答え）利用者ID

さいごに

機械がなかなか出荷されない…　機械触りたい…

コロナに負けずにがんばるぞ～～。