解説

• 〔P社のネットワーク機器の設定内容と動作〕に、「外出先及び社内のNPCからMサービス及びインターネットへのアクセスは，プロキシサーバ経由で行う」と記載されています。プロキシサーバを利用したWebアクセスでは、クライアントはプロキシサーバに対してHTTP(S)リクエストを送り、プロキシサーバはクライアントから受け取ったHTTP(S)リクエストの内容（GETメソッドのURL）を使って外部の宛先サーバに代理アクセスします。
  
  IPはエンドツーエンドの通信を実現するプロトコルなので、宛先IPアドレスには最終的にパケットを届けたい相手を指定します。最終的な宛先というと"Mサービス"のIPアドレスを考えてしまいますが、プロキシサーバを経由する場合は、パケットを届けたい相手がプロキシサーバになるので、宛先IPアドレスには"プロキシサーバ"のIPアドレスを指定します。経路途中の"FW"や"IPsecルータ"は最終的な宛先ではないので、宛先IPアドレスとするのは不適切です。
  
  図2を見ると、送信元IPアドレスとしては、"営業所のNPC"または通信経路上にある"IPsecルータ2、"IPsecルータ1"もしくは"FW"が解答の候補になると思います。前述のとおり、IPはエンドツーエンドの通信を実現するプロトコルなので、送信元IPアドレスにはパケットの発信元である"営業所のNPC"のIPアドレスが設定されていることになります。
  
  営業所のNPCからプロキシサーバにパケットが届けられる具体的な流れは以下のとおりです。
  1. 営業所のNPCは、宛先IPアドレスにプロキシサーバをセットして、IPsecルータ2に送出する
  2. IPsecルータ2は、受け取ったパケットを暗号化し、新たなIPヘッダーを付けてIPsecルータ1に送出する
  3. IPsecルータ1は、暗号化された部分を取り出し、元のパケットに復号してからL3SWに送出する
  4. L3SWは、宛先IPアドレスを見て、パケットをプロキシサーバに届ける→(あ)を通過するパケット
  
  したがって、(あ)を通過するパケットの宛先IPアドレスは「プロキシサーバ」、送信元IPアドレスは「営業所のNPC」となります。
  
  ∴宛先IPアドレス＝プロキシサーバ
  　送信元IPアドレス＝営業所のNPC
  
  
• 外出先のNPCがインターネットアクセスをするときもプロキシサーバ経由で行います。図2を見ると明らかなように、外出先のNPCがインターネットアクセスする際には、「ルータ→FW→(L2SW)→プロキシサーバ→(L2SW)→FW→ルータ→インターネット上のWebサーバ」というアクセス経路になっています。IPsecルータを利用したインターネットVPNは本社と営業所間を接続しているので、IPsecルータ1は経由しません。
  
  L2SW以外に経由する機器を図2中の名称で答えるので、解答は「ルータ，FW，プロキシサーバ」となります。
  
  ∴ルータ，FW，プロキシサーバ
  
  
• 〔aについて〕
  インターネットからDMZ宛ての通信であること、ポート番号が53(DNS)になっていること、「外部DNSサーバは，DMZのサーバのグローバルIPアドレスを管理する」という記述から、インターネットからやってくるP社ドメインの名前解決要求を許可するためのルールだとわかります。したがって、[a]にはP社ドメインの権威DNSサーバである「外部DNSサーバ」が当てはまります。
  
  ∴a＝外部DNSサーバ
  
  〔bについて〕
  DMZからインターネット宛ての通信であること、ポート番号が80(HTTP)または443(HTTPS)になっていること、DMZにプロキシサーバが設置されていることから、プロキシサーバがNPCを代理して行うWebアクセスを許可するためのルールであることがわかります。したがって、[b]には「プロキシサーバ」が当てはまります。
  
  ∴b＝プロキシサーバ
  
  〔cについて〕
  内部LANから外部DNSサーバ宛ての通信で必要なものを探します。〔P社のネットワーク機器の設定内容と動作〕に次の記述があります。
  • 本社及び営業所(以下，社内という)のNPCは，社内DNSサーバで名前解決を行う。
  • 社内DNSサーバは，内部LANのサーバのIPアドレスを管理し，管理外のサーバの名前解決要求は，外部DNSサーバに転送する。
  社内のNPCが外部DNSサーバに直接アクセスすることはないので、内部LANから外部DNSサーバにアクセスする可能性があるのは、社内DNSサーバに限られます。したがって、[c]には「社内DNSサーバ」が当てはまります。
  
  ∴c＝社内DNSサーバ

解説

解説

• Gサービス利用開始後に発生した問題への対処として、「Mサービス及びGサービス(以下，二つのサービスを合わせてq-SaaSという)には，プロキシサーバを経由せず，外出先のNPCはHTTPSでアクセスし，本社のNPCはIPsecルータ1から，営業所のNPCはIPsecルータ2から，インターネットVPNを経由せずHTTPSでアクセスすることにした」と記載されています。
  
  変更前、本社のNPCがq-SaaSへアクセスする際の経路は「NPC→L3SW→FW→L2SW→プロキシサーバ→L2SW→FW→ルータ→q-SaaS」でしたが、変更後は図4が示すとおり「NPC→L3SW→IPsecルータ1→q-SaaS」となります。これまでq-SaaS宛ての通信はプロキシサーバ経由で行っていたので、L3SWはDMZにパケットを流していましたが、プロキシサーバを経由しなくてよくなるため、q-SaaS宛ての通信をIPsecルータ1に流すことになります。L3SWにはこの設定変更が必要となります。すなわち、q-SaaS宛ての通信をIPsecルータ1に流すための経路設定を追加する必要があります。
  
  ∴q-SaaS宛ての通信のネクストホップがIPsecルータ1となる経路
  
  
• ネットワーク構成が変更される前、IPsecルータ1の設定は、営業所LANと内部LANのパケット通信だけが想定されていました。しかし変更により、IPsecルータ1では、q-SaaS宛ての通信と営業所LAN宛ての通信が混在することになるので、転送処理の変更が必要となります。図2のプロトコルと処理の内容より、どちらに対応するかを考えます。
  
  〔dについて〕
  本文中に「本社のNPCはIPsecルータ1から，…，インターネットVPNを経由せずHTTPSでアクセスすることにした」とあります。プロトコルがHTTPSであること、処理がインターネットに転送となっていることから、q-SaaS宛ての通信に対する処理であることがわかります。したがって、[d]には「q-SaaS」が当てはまります。
  
  ∴d＝q-SaaS
  
  〔eについて〕
  プロトコルがHTTPS以外のとき（VPNプロトコルのポート）に適用されること、処理がインターネットVPNに転送となっていることから、営業所LAN宛ての通信に対する処理であることがわかります。営業所、営業所のNPC、営業所LANなどの解答が考えられますが、設問には「ネットワークセグメント，サーバ又はサービス名」とあるので、[e]に当てはまるのはネットワークセグメント名である「営業所LAN」しかありません。
  
  ∴e＝営業所LAN