はじめの情報処理安全確保支援士試験講座㉚応用情報技術者試験の過去問題からNAPTについて解説します！

今回も、応用情報技術者試験の過去問題から情報処理安全確保支援士の試験対策を行っていきます。

今回は、NAPTについて解説します。

是非、最後までご覧いただけると嬉しいです。

NAPT

TCP、UDPのポート番号を識別し、プライベートIPアドレスとグローバルIPアドレスとの対応関係を管理することによって、プライベートIPアドレスを使用するLAN上の複数の端末が、一つのグローバルIPアドレスを共有してインターネットにアクセスする仕組みはどれか。

ア　IPスプーフィング

イ　IPマルチキャスト

ウ　NAPT

エ　NTP

引用：応用情報技術者試験　令和２年　秋　午前　問３４

解答

ウ

NAPT

1. NAPTの概要

NAPT（Network Address Port Translation）は、1つのグローバルIPアドレスを複数のプライベートIPアドレスで共有する技術です。主にIPv4環境において、限られたグローバルIPアドレスを効率的に利用するために使用されます。

2. NAPTの仕組み

NAPTでは、プライベートIPアドレスを持つ複数の端末が、単一のグローバルIPアドレスを使用してインターネットと通信します。この際、NAPTルータは各通信セッションのポート番号を変換し、一意の識別情報を確保します。

2.1 パケット変換の流れ

1. 内部端末から外部サーバーへ送信開始
   • 内部端末（例：192.168.1.10:50000）が外部サーバー（例：203.0.113.1:80）に通信を開始します。
2. NAPTルータによる変換
   • NAPTルータは、送信元IPアドレス（192.168.1.10）と送信元ポート番号（50000）を、グローバルIPアドレス（例：203.0.113.100）とNAPTルータの管理するポートプール内で利用可能なポート（例：60000）に変換します。
   • 変換後のIPアドレスとポート番号の組み合わせ（203.0.113.100:60000）と、元の内部端末のIPアドレスとポート番号（192.168.1.10:50000）、および通信のプロトコル（TCPまたはUDP）を変換テーブルに記録します。
3. 外部サーバーへの送信
   • NAPTルータは、変換後のパケット（送信元：203.0.113.100:60000、宛先：203.0.113.1:80）を外部サーバーに送信します。
4. 外部サーバーからの応答
   • 外部サーバーは、受信した送信元IPアドレス（203.0.113.100）とポート番号（60000）を宛先として応答パケットを送信します。
5. NAPTルータによる変換（逆変換）
   • NAPTルータは、変換テーブルを参照して、応答パケットの宛先IPアドレスとポート番号を元の内部端末のもの（192.168.1.10:50000）に変換します。
6. 内部端末への転送
   • NAPTルータは、変換後のパケットを内部端末（192.168.1.10:50000）に転送します。

このように、ポート番号を管理することで、複数の内部端末が1つのグローバルIPを共有できます。

3. NAPTの利点と課題

3.1 NAPTの利点

• IPv4アドレスの節約：限られたグローバルIPアドレスを有効活用できます。
• 内部ネットワークの保護：外部から直接アクセスされにくいため、ある程度のセキュリティ向上につながります。
• コスト削減：ISPから取得するグローバルIPアドレスの数を減らせます。

3.2 NAPTの課題

• ポート枯渇問題：変換可能なポートが限られているため、多数の通信が発生するとポートが足りなくなります。
• 接続の制限：外部からの接続が困難（サーバー公開にはポートフォワーディングが必要）。
• 通信の遅延：アドレス変換の処理が発生するため、通信遅延がわずかに増加します。

4. NAPTの設定例（Linux環境）

Linuxではiptablesまたはnftablesを使用してNAPTを設定できます。ここではiptablesを使用した設定例を説明します。

4.1 必要なカーネル設定

まず、IPフォワーディングを有効化します。これにより、Linuxマシンがルーターとして機能し、パケットを転送できるようになります。

sudo sysctl -w net.ipv4.ip_forward=1

この設定は一時的なものです。システム再起動後も設定を維持するには、/etc/sysctl.conf ファイルに net.ipv4.ip_forward=1 を追記し、sudo sysctl -p コマンドを実行します。

4.2 NAPTのルールを設定

以下のコマンドで、eth0 をインターネット向けのインターフェースとしてNAPT（IPマスカレード）を適用します。eth0 は実際のインターネット接続に使用するインターフェース名に置き換えてください。

sudo iptables -t nat -L -v

設定したiptablesのルールは、システム再起動後に失われます。設定を永続化するには、以下のコマンドでルールを保存します。

sudo netfilter-persistent save

ディストリビューションによっては、iptables-save コマンドを使用してルールを保存し、システム起動時に復元する設定を行う必要があります。

4.3 ルールの確認と保存

設定されたiptablesのルールを確認するには、以下のコマンドを実行します。

sudo iptables -t nat -L -v

5. NAPTとNATの違い

NAPTと同じような技術にNATがあります。

NAT（Network Address Translation）は、プライベートIPアドレスとグローバルIPアドレスを相互に変換する技術であり、主にルータやファイアウォールで使用されます。

一方、NAPT（Network Address and Port Translation）は、NATを拡張したもので、IPアドレスだけでなくポート番号も変換することで、複数の内部端末が1つのグローバルIPアドレスを共有できるようにします。これにより、インターネットに接続する際に必要なグローバルIPアドレスの節約が可能となり、同時にセキュリティの向上にも寄与します。

6. まとめ

NAPTは、IPv4のグローバルアドレス不足を解決するために広く使われている技術です。ポート番号を活用して通信の識別を行い、1つのグローバルIPアドレスを複数の端末で共有します。しかし、ポート枯渇や外部接続の制限といったデメリットもあるため、必要に応じてIPv6の導入も検討するのが望ましいでしょう。

IPスプーフィング

1. IPスプーフィングの概要

IPスプーフィング（IP Spoofing）は、攻撃者が送信元IPアドレスを偽装し、不正な通信を行う技術です。この手法は、ネットワーク攻撃や不正アクセスの際に利用され、DDoS攻撃やMITM（Man-in-the-Middle）攻撃などの一部として悪用されることがあります。

2. IPスプーフィングの仕組み

IPスプーフィングでは、攻撃者が自分の端末から送信するパケットのIPヘッダーを書き換え、異なる送信元IPアドレスを設定します。これにより、通信相手は偽装されたアドレスからパケットが送られてきたと認識します。

2.1 パケットの偽装プロセス

1. 攻撃者がパケットを作成
   • 送信元IPアドレスを偽装（例：192.168.1.100を203.0.113.1に変更）
2. 偽装パケットを送信
   • 宛先サーバー（ターゲット）は偽装されたIPアドレスからの通信だと認識
3. 応答パケットの処理
   • 応答パケットは偽装されたIPアドレスに送信されるため、攻撃者は直接応答を受け取れない（ただし、特定の手法では回避可能）

3. IPスプーフィングの用途と悪用例

3.1 悪用例

• DDoS攻撃（分散型サービス拒否攻撃）
  • 大量の偽装パケットを送信し、ターゲットサーバーのリソースを圧迫
• リフレクション攻撃（NTP, DNS, SNMPリフレクション）
  • 偽装されたIPアドレスに対する応答を増幅させ、標的に大規模な負荷をかけます
• なりすまし攻撃
  • 権限を持つIPアドレスを偽装し、ネットワーク内部に侵入

3.2 正当な利用例（ネットワークテスト）

• ネットワーク機器の耐障害性やセキュリティ対策を検証する目的で、IPスプーフィングを用いたテストが行われることがあります。

4. IPスプーフィングの対策

4.1 フィルタリングによる対策

• 送信元IPアドレスのフィルタリング（Ingress Filtering）
  • ルーターやファイアウォールで内部ネットワークからの不正な送信元IPアドレスをブロック
• 受信パケットの検査（Egress Filtering）
  • ネットワークの出口で不正なIPアドレスを含むパケットをフィルタリング

4.2 セキュリティ技術の導入

• TCP SYN Cookie：SYNフラッド攻撃への対策
• DNSSEC：DNSスプーフィング防止
• IPsec（IP Security）：IPパケットの認証と暗号化による安全性向上

4.3 ネットワーク機器の設定

• BCP 38（RFC 2827）に基づくパケットフィルタリングの実装
• ファイアウォールのルール設定で不正なIPアドレスの通信を遮断

5. IPスプーフィングのまとめ

IPスプーフィングは、ネットワーク攻撃に悪用される技術の一つであり、DDoS攻撃やなりすましによる不正アクセスなどに利用されることがあります。対策として、パケットフィルタリングの強化、適切なセキュリティ技術の導入、ネットワーク機器の適切な設定が重要です。特に、企業や組織では、BCP 38の実装やファイアウォール設定の最適化を行い、安全なネットワーク運用を心がける必要があります。

IPマルチキャスト

1. IPマルチキャストの概要

IPマルチキャスト（IP Multicast）は、1つの送信元から複数の受信者に同時にデータを配信するための通信方式です。ユニキャスト（1対1通信）やブロードキャスト（ネットワーク全体への配信）と異なり、必要な受信者のみに効率的にデータを届けることができます。

2. IPマルチキャストの仕組み

IPマルチキャストでは、送信元（マルチキャスト送信者）が特定のマルチキャストグループアドレスにデータを送信し、受信者（マルチキャスト参加者）がそのグループに参加することでデータを受け取ります。

2.1 マルチキャストアドレス

• IPv4のマルチキャストアドレス範囲：224.0.0.0/4（224.0.0.0 ～ 239.255.255.255）
• IPv6のマルチキャストアドレス範囲：FF00::/8
• 予約済みアドレスの例:
  • 224.0.0.1：224.0.0.1（すべてのホスト）：ローカルネットワーク上のすべてのマルチキャスト対応ホストが参加するグループです。主にルーティングプロトコルなどで使用されます。
  • 224.0.0.2：ローカルネットワーク上のすべてのマルチキャスト対応ルーターが参加するグループです。主にルーティングプロトコルなどで使用されます。
  • 239.0.0.0/8：組織内でのみ有効なマルチキャストアドレス範囲です。組織外へのマルチキャストトラフィックを抑制するために使用されます。

2.2 マルチキャスト通信の流れ

1. 送信者がマルチキャストアドレスにデータ送信
2. ルーターがIGMP（Internet Group Management Protocol）を使用して受信者を管理
3. 参加者がマルチキャストグループに参加（IGMPメンバーシップ報告）
4. ルーターがPIM（Protocol Independent Multicast）を使用してマルチキャストパケットを転送
5. 受信者がデータを受け取る

IGMP（Internet Group Management Protocol）

IGMP（Internet Group Management Protocol）は、IPマルチキャスト通信において、ホストとルータ間でマルチキャストグループのメンバーシップを管理するプロトコルです。

ホストはIGMPを使用して特定のマルチキャストグループに参加または離脱を通知し、ルータはその情報をもとに適切なマルチキャスト転送を行います。主にIPv4ネットワークで使用され、IGMPv1、IGMPv2、IGMPv3のバージョンが存在します。IGMPスヌーピング機能を備えたスイッチを使用すると、不要なマルチキャストトラフィックを抑制できます。マルチキャストを活用するアプリケーション（例：ストリーミング、オンライン会議など）で重要な役割を果たします。

PIM（Protocol Independent Multicast）

PIM（Protocol Independent Multicast）は、IPマルチキャストのルーティングを行うプロトコルで、ユニキャストルーティングプロトコルに依存せずに動作します。

主に PIM-DM（Dense Mode） と PIM-SM（Sparse Mode） の2つの動作モードがあり、PIM-DMはブロードキャスト的に配信し不要な経路を削除する方式、PIM-SMは中心となるRP（Rendezvous Point）を使用し、必要な経路のみを確立する方式です。PIMは、マルチキャストルータ間で適切な経路を構築し、効率的にマルチキャストトラフィックを転送します。企業ネットワークやストリーミングサービスなど、帯域を効率的に利用する必要がある環境で活用されます。PIMはIPv4およびIPv6の両方で使用可能です。

3. マルチキャストの利点と課題

3.1 利点

• 帯域幅の節約：同じデータを複数の受信者に送る際、ネットワーク負荷を軽減。
• リアルタイム配信：ライブストリーミングや株価情報の配信に適しています。
• スケーラビリティ：受信者の増加に対して送信者の負担が増えない。

3.2 課題

• ルーターの対応：マルチキャスト対応のルーターが必要。
• 管理の複雑さ：IGMPやPIMの設定が必要で、適切なネットワーク設計が求められます。
• インターネット上での利用制限：インターネットでは基本的にマルチキャストがサポートされていないため、VPNや専用ネットワークが必要。

4. IPマルチキャストのまとめ

IPマルチキャストは、ネットワーク帯域を効率的に活用しながらリアルタイムにデータを配信できる技術です。しかし、ルーターの対応やネットワーク設計が必要となるため、導入には適切な環境構築が求められます。企業内ネットワークやVPN環境では有効活用できるため、適切なプロトコルと設定を行い、安定したマルチキャスト通信を実現しましょう。

NTP

1. NTPの概要

NTP（Network Time Protocol）は、ネットワーク上で時刻同期を行うためのプロトコルです。コンピュータやネットワーク機器の時刻を正確に保つことで、ログ管理や認証システムなどの時間依存機能の精度を向上させます。

2. NTPの仕組み

NTPは階層構造を持つサーバーとクライアントのモデルで動作します。

2.1 NTPの階層（ストラタム）

• Stratum 0：原子時計やGPSなどの高精度な基準時計
• Stratum 1：Stratum 0 に直接接続されたNTPサーバー
• Stratum 2：Stratum 1 から時刻を取得するサーバー
• Stratum 3 以降：より下位のNTPサーバーやクライアント

2.2 時刻同期の流れ

1. クライアントがNTPサーバーに時刻同期を要求
2. NTPサーバーが現在の時刻を応答
3. クライアントが遅延や偏差を補正し、時刻を調整
4. 定期的に時刻同期を行い、誤差を最小限に保つ

3. NTPの設定（Linux環境）

3.1 NTPのインストール

Debian系（Ubuntuなど）

sudo apt install ntp

RHEL系（CentOS, Rocky Linuxなど）

sudo yum install ntp

3.2 NTPサーバーの設定

設定ファイル /etc/ntp.conf を編集し、使用するNTPサーバーを指定します。

server ntp.nict.jp iburst
server time.google.com iburst

3.3 NTPサービスの起動と有効化

sudo systemctl enable ntp
sudo systemctl start ntp

3.4 時刻同期の確認

ntpq -p

または

chronyc tracking

ntpd と chronyd の違い

ntpd は従来の NTP 実装で、安定した環境での時刻同期に適しています。一方、chronyd は可変的なネットワーク環境（モバイル端末や仮想マシン）での高速な同期を得意とします。ntpd は時間の補正が遅めですが、chronyd はオフライン時の補正能力が高く、短時間で正確な時刻に調整できます。一般的に、サーバー環境では ntpd、クライアントや動的な環境では chronyd が推奨されます。

4. NTPのセキュリティ対策

• NTPリフレクション攻撃対策
  • restrict default noquery を設定することで、外部からの不正なクエリを遮断し、NTPサーバーが攻撃に悪用されるのを防ぎます。
• 認証の強化
  • ntp.conf に restrict を設定し、特定のIPアドレスのみ許可することができます。
• ファイアウォール設定
  • NTPはUDPポート123を使用します。ファイアウォールでこのポートへのアクセスを適切に制限することで、外部からの不正なアクセスを遮断できます。

5. NTPのまとめ

NTPはシステムの時刻精度を維持するために不可欠なプロトコルです。適切なNTPサーバーを選択し、定期的な同期を行うことで、ログの正確性や認証システムの信頼性を向上させることができます。また、セキュリティ設定を適用し、不正アクセスや攻撃を防ぐことが重要です。

まとめ

今回は、下記について説明しました。

• NAPT

NAPTは、限られたグローバルIPアドレスを複数の端末で共有できる効率的な技術です。ポート番号による識別で通信を管理しますが、ポート枯渇や一部のアプリケーションが正常に動作しない問題もあります。今後のネットワーク環境を考慮し、IPv6の活用も視野に入れることが重要です。

これからも、Macのシステムエンジニアとして、日々、習得した知識や経験を発信していきますので、是非、ブックマーク登録してくれると嬉しいです！

それでは、次回のブログで！