LinuCレベル4 システムアーキテクト ネットワークとストレージの選定 問26
ネットワークとストレージの選定／拠点間のネットワーキングリモートワーカーがスマートフォンのテザリングや外出先のWi-Fiなど、IPアドレスが移動中に変わる環境から社内ネットワークへVPNで接続する。再認証・再接続なしにVPNを維持できる設計として最も適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル4 システムアーキテクトの出題範囲「ネットワークとストレージの選定」に対応。実際の試験問題ではありません）
- AIPsecのトランスポートモードを採用し、IPアドレスが変わるたびに素早く再確立できるようデッドピア検出（DPD）の間隔を短く設定する
- BL2TP/IPsecで接続し、PPPセッションがIPsec SAの再確立後もL2TPのトンネルを維持することで接続の継続性を確保する
- CIKEv2とMOBIKE（RFC 4555）を使い、クライアントのIPアドレスが変わっても確立済みのSAを維持して通信を継続できるようにする
- DOpenVPNをUDPモードで動作させ、クライアントのIPアドレス変化を検知した際に自動的にトンネルを再確立する仕組みを有効にする
正解：C
解説
IKEv2のMOBIKE拡張（RFC 4555）は、クライアントのIPアドレスやネットワークインターフェースが変わっても既存のIKE SAとIPsec SAを切断せずに維持します。クライアントは新しいIPアドレスをINFORMATIONAL交換でサーバーへ通知するだけで、SA全体を再ネゴシエーションする必要がありません。strongSwan等の主要なIPsecサーバーや多くのOSのVPNクライアントがIKEv2とMOBIKEをサポートしています。
選択肢ごとの解説
- A誤り。IPsecのトランスポートモードはホスト間の直接暗号化に使うもので、IPアドレス変化への追随機能はありません。アドレスが変わればSAは無効になり、新たなIKEネゴシエーションが必要になります。
- B誤り。L2TP/IPsecではIPsecのSAが切断されるとL2TPトンネルも維持できなくなります。IPアドレス変化に追随してSAを維持する仕組みがなく、接続の継続性は保証されません。
- C正しい。IKEv2+MOBIKEはモバイル端末向けに設計されたRFC 4555の拡張です。クライアントのアドレス変化をINFORMATIONAL交換で通知するだけで確立済みのSAが維持され、再認証なしに通信を継続できます。
- D誤り。OpenVPNはIPアドレスが変わると接続が切れ、クライアントが再接続を試みます。自動再接続機能はありますが、それは切断後の再確立であり、SAを維持したまま継続するMOBIKEとは異なります。