【ネットワークスペシャリスト試験 令和元年度 秋期 午後1 問2 No.3】

ネットワークスペシャリスト試験 令和元年度 秋期 午後1 問2

【出典：ネットワークスペシャリスト試験 令和元年度 秋期 午後1 問2（一部、加工あり）】

[WAFサービス停止時の対応検討]
　Uさんは、障害などでWAFサービスを１日以上利用できなくなった場合に備え、対応を検討した。WAFサービス停止期間中も、オンラインショップでの商品販売を継続させたい。Uさんは、WAFサービスを経由せずに、利用者のWebブラウザとWebシステム間で直接通信させるために、WAFサービス導入時に設定変更を予定している（カ）の④設定を変更することと、図2中の⑤資源レコードの1行を書き換えることで対応できると考えた。
　Uさんは、WebAPのアクセスログについて、WAFサービスの有無にかかわらず、XFFヘッダの情報からWebシステムへのアクセス時の送信元IPアドレスを記録することとし、⑥LBに設定を追加した。

　その後、Webシステムの構成変更に関するUさんの報告書は経営会議で承認され、導入の準備を開始した。

（カ）に入れる機器を、図3中のDNSサーバ以外の機器名で答えよ。：FW

　WAFサービス停止時にはWAFサービスを経由しない通信となることを前提に、図3（構成変更後のWebシステム（抜粋））を見て、通信経路を確認しましょう。
　インターネットからのアクセスは、FWとLBを経由してWebサーバに接続します。
　FWとLBで、WAFサービス導入についての設定を確認すると、「Uさんは、FWに設定しているWebシステムへのHTTPS通信に関するアクセス制御について、IP-w2を送信元とする通信だけを許可するように、設定を変更することにした」とあります。
　LBについては、WAFサービス導入による設定変更の記述はありません。
　したがって、設定変更が必要となるのはFWになります。

下線④の変更内容を35字以内で答えよ。：任意のIPアドレスからWebシステムへのHTTPS通信を許可する。

　上記のとおり、FWの設定変更内容としては、インターネット（任意のIPアドレス）からWebシステムへのHTTPS通信を許可することになります。

下線⑤について、書換え後の資源レコードを答えよ。：shop IN A 199.α.β.2

　DNSの現状設定において、WebシステムへのアクセスはCNAMEレコードで「shop IN CNAME waf-asha.tsha.net.」となっていて、WAFサービスを指定しています。
　WAFサービス経由ではなく、直接LBのIPアドレスを指定するようにするには、Aレコードで「shop IN A 199.α.β.2」と指定すればいいです。

下線⑥の設定内容を、30字以内で答えよ。：XFFヘッダに送信元IPアドレスを追加する設定

　まず、現状のXFFヘッダの付与はどのように行っているかを確認します。
　すると問題文に「WAFサービスは、アクセスを許可したHTTPリクエストの送信元IPアドレスを、HTTPヘッダのX-Forwardes-Forヘッダフィールド（以下、XFFヘッダという）に追加する」とあり、WAFサービスによって付与されていることがわかります。
　そこでWAFサービスを経由しない通信においてもXFFヘッダに送信元IPアドレスを付与するには、LBで付与すればいいと考えられます。
　LBの機能として問題文に「A社が導入するLBは、・・・HTTPヘッダの編集（追加、変更、削除）機能を持っている」とあり、問題なさそうです。