本文へ移動

基本情報技術者試験 · 学習ガイド

2019年度 秋期 午後の問題・解答解説

旧制度の午前・午後と、2023年度以降の科目A・科目Bの公開問題を区別しています。現在の試験対策では現行シラバスと科目Bの形式を確認してください。公開問題は本試験の全出題を網羅する資料ではありません。

2019年度 秋期 午後の概要
30:00

問題番号から選ぶ

テレワークの導入に伴うネットワーク構成とパケットフィルタリング

情報セキュリティ · ファイアウォール / パケットフィルタリング / VPN / VDI / ネットワークプレフィクス

テレワーク導入に伴うファイアウォール(FW)のパケットフィルタリング設定に関する次の記述を読み、各設問に答えよ。 ソフトウェア開発会社A社ではテレワークを導入し、シンクライアント端末からVPN経由で接続後、画面転送型の仮想デスクトップ(VDI)を利用して業務を行うこととした。 ・事務室ネットワーク: 192.168.0.0/24(事務PC) ・開発室ネットワーク: 192.168.1.0/24(開発PC) ・VPNクライアント割当IPアドレス: 192.168.16.0/24 ・事務VM割当IPアドレス: 192.168.64.0/24 ・開発VM割当IPアドレス: 192.168.65.0/24 ・開発サーバ群: 192.168.128.0/20 ・VDIサーバ群: 192.168.64.0/20 ・プロキシサーバ: 203.0.113.20(サーバ室セグメント 203.0.113.0/24) ・VPNサーバ: 203.0.113.10(同上) 【表1の初期ルール案(抜粋)】 ルール6: 送信元「192.168.1.0/24」宛先「192.168.128.0/20」サービス「HTTPS, SSH」動作「許可」 ルール7: 送信元「192.168.64.0/23」宛先「192.168.128.0/20」サービス「HTTPS, SSH」動作「許可」 ルール8: 送信元「全て」宛先「全て」サービス「全て」動作「拒否」 [設問1] 表1のルール案ではルール7の送信元条件に誤りがあり、[ a ]ことが分かった。開発サーバへのアクセスを正しく制限するため、送信元を[ b ]に変更した。 [設問2] シンクライアント端末から開発サーバにアクセスするときの接続経路として適切なものを選べ。 [設問3] 社内の事務PC及び開発PCからも仮想マシンを利用したいという要望が出た。この要望に応えるため、表1のルール案に必要な変更として適切なものを選べ。

設問1 a ア
開発PCから開発サーバにアクセスできない
設問1 a イ
開発VMから開発サーバにアクセスできない
設問1 a ウ
事務PCから開発サーバにアクセスできる
設問1 a エ
事務VMから開発サーバにアクセスできる
設問1 b ア
192.168.0.0/24
設問1 b イ
192.168.1.0/24
設問1 b ウ
192.168.16.0/24
設問1 b エ
192.168.64.0/24
設問1 b オ
192.168.65.0/24
設問1 b カ
192.168.128.0/20
設問1 b キ
192.168.128.0/24
設問1 b ク
203.0.113.0/24
設問1 b ケ
インターネット
設問2 ア
シンクライアント端末 → VDI サーバ → VPN サーバ → 開発 PC → 開発サーバ
設問2 イ
シンクライアント端末 → VDI サーバ → VPN サーバ → 開発 VM → 開発サーバ
設問2 ウ
シンクライアント端末 → VDI サーバ → 開発 VM → 開発 PC → 開発サーバ
設問2 エ
シンクライアント端末 → VPN サーバ → VDI サーバ → 開発 PC → 開発サーバ
設問2 オ
シンクライアント端末 → VPN サーバ → VDI サーバ → 開発 VM → 開発サーバ
設問2 カ
シンクライアント端末 → VPN サーバ → 開発 PC → 開発 VM → 開発サーバ
設問3 ア
変更する必要はない。
設問3 イ
ルール番号3と4の間に、送信元を192.168.0.0/23、宛先を192.168.64.0/20、サービスをVDI、及び動作を許可とするルールを新たに挿入する必要がある。
設問3 ウ
ルール番号3と4の間に、送信元を192.168.64.0/23、宛先を192.168.0.0/23、サービスをVDI、及び動作を許可とするルールを新たに挿入する必要がある。
設問3 エ
ルール番号3と4の間に、送信元をインターネット、宛先を192.168.64.0/20、サービスをVDI、及び動作を許可とするルールを新たに挿入する必要がある。
解答・解説を表示

解答

設問1 a: エ, 設問1 b: オ, 設問2: オ, 設問3: イ

解説

まず要点:IPアドレスは「/23」のような長さ(プレフィクス長)によって、まとめて表せる範囲が決まります。その範囲にどの機器が入るかを正しく確かめ、必要な通信だけを許可する許可リスト方式でルールを作ります。範囲を広げすぎると、本来つないではいけない機器まで通してしまいます。

解き方

  1. マスク長/23の範囲(192.168.64.0〜192.168.65.255)を計算し、事務VMと開発VMのどちらが入るかを見て、問題点と正しい送信元を導きます。
  2. 端末からVPNサーバ、VDIサーバの順にたどり、開発VMにログインして、そのVMから目的のサーバへアクセスする流れを整理します。
  3. 事務PCと開発PCのアドレスをまとめた範囲を求め、VDIサーバへのアクセスを許可するルールを考えます。

小問ごとの答え

小問 設問1 a:エ
ルール7の送信元「192.168.64.0/23」は192.168.64.0/24(事務VM)と192.168.65.0/24(開発VM)の両方を含んでいるため、本来アクセスを許可してはならない事務VMから開発サーバにアクセスできる状態になってしまいます。
小問 設問1 b:オ
開発サーバへのアクセスが許可されるべき仮想環境は開発VMのみであるため、送信元は開発VMのネットワークである「192.168.65.0/24」に設定する必要があります。
小問 設問2:オ
利用者はまずVPNクライアントでVPNサーバへ接続し、次にVDIクライアントでVDIサーバに接続して割り当てられた「開発VM」にログインします。開発サーバへアクセスして処理を行うのはその「開発VM」です。
小問 設問3:イ
社内の事務PC(192.168.0.0/24)および開発PC(192.168.1.0/24)をまとめたネットワーク範囲は「192.168.0.0/23」です。これらからVDIサーバ群(192.168.64.0/20)へのVDI接続を許可するため、送信元192.168.0.0/23、宛先192.168.64.0/20、サービスVDIを許可するルールを追加します。

覚えるポイント

  • CIDRの/23は末尾ビットが0と1の連続する2つの/24サブネットを集約した範囲を表す。

間違えやすいところ

  • 192.168.64.0/23には事務VMと開発VMの両方が含まれる点を見落とさないようにしましょう。

出題の前提:令和元年度秋期 基本情報技術者試験 午後 問1

出典:IPA『2019年度 秋期 午後』
公式問題冊子 p.5 ↗(www.ipa.go.jp) / 公式問題冊子 p.6 ↗(www.ipa.go.jp) / 公式問題冊子 p.7 ↗(www.ipa.go.jp) / 公式問題冊子 p.8 ↗(www.ipa.go.jp) / 公式問題冊子 p.9 ↗(www.ipa.go.jp)

2019年度 秋期 午後

参照した公式資料

IPAが公開した2019年度 秋期 午後の問題・解答資料です。