応用情報技術者 2019年 春期 午後 問05

解答の論理構成

1. DHCP機能に関する空欄a
   • 引用：
     「…L3SWという）でDHCPaを稼働させている。」
   • DHCPサーバはサーバセグメントにあり、各VLANに配布するにはL3SWがDHCPリレーエージェントになる必要があります。
   • 解答群で該当するのは「サ：リレーエージェント」。
2. 周波数帯に関する空欄b
   • 引用：
     「IEEE 802.11acとIEEE 802.11nの両方で使用できる b GHz帯を採用する。」
   • 「IEEE 802.11ac」は 5 GHz のみ対応、「IEEE 802.11n」は2.4 GHz / 5 GHz両方対応です。両方で共通なのは5 GHz。
   • 解答群「イ：5」を選択。
3. AESの鍵種別に関する空欄c
   • 引用：
     「データ暗号化方式には、c 鍵暗号方式のAES …」
   • AESは対称鍵暗号＝共通鍵暗号です。
   • 解答群「キ：共通」。
4. 認証規格に関する空欄d
   • 引用：
     「来訪者による社員へのなりすまし対策には、IEEE d を採用し…」
   • 無線LANのポートベース認証は IEEE 802.1X。
   • 解答群「エ：802.1X」。
5. 電源供給方式に関する空欄e
   • 引用：
     「APは e 対応の製品を選定して、APのための電源工事を不要にする。」
   • LANケーブル経由で給電する技術は PoE (Power over Ethernet)。
   • 解答群「オ：PoE」。

誤りやすいポイント

• 802.11acの運用帯域を「2.4 GHz」と誤認し「ア：2.4」を選ぶ。acは5 GHz専用です。
• AESを公開鍵暗号と混同し「ケ：公開」を選択してしまう。AESは共通鍵暗号です。
• 802.1Xを「無線LANの規格＝802.11系」と思い込み「ウ：802.11a」に流れるケース。802.1Xは認証制御の規格です。
• PoEとPPPoEを取り違え「カ：PPPoE」を選ぶミス。PPPoEは接続プロトコルで給電とは無関係です。

FAQ

解答の論理構成

• 【問題文】では、来訪エリアの無線LANについて「図2中の4台のAP」だけでエリア全体をカバーすると示されています。セルが互いに重なる配置である以上、同一チャネルを使うと電波が衝突しやすくなります。
• また、採用する周波数帯は「IEEE 802.11acとIEEE 802.11nの両方で使用できる b GHz帯」と明記されています。5 GHz帯は2.4 GHz帯よりチャネル数が多く、隣接チャネルを分けやすい特徴があります。
• 電波干渉（コチャネル干渉）を防ぐもっとも基本的な方法は、隣接セルごとにチャネルを変えることです。そこで「4台のAPに、それぞれ異なる周波数チャネルを設定する」という運用が導かれます。

誤りやすいポイント

• APを自動チャネル設定モードに任せれば十分と考え、固定で異なるチャネルを割り振らない。混雑時に同一チャネルへ収束しやすく干渉リスクが残ります。
• 2.4 GHz帯の「1・6・11」のように3チャネルだけ分ければよいと早合点し、4台目もどこかへ重ねてしまう。5 GHz帯では余裕があるので4チャネルすべて独立させるのが最適です。
• チャネルを分けてもESSIDを分けないと意味がないと誤解する。干渉対策は物理層（チャネル分離）であり、論理層（ESSID）は別問題です。

FAQ

解答の論理構成

1. 前提条件の把握
   ・問題文には「APには、社員向けと来訪者向けの2種類のESSIDを設定する。」とあります。
   ・さらに「①認証後に、NPCの通信パケットに対して、APで来訪者向けのVLAN100が付与される。」と記載されています。
   ここから、来訪者か社員かを区別するための主たるキーは“2種類のESSID”であることが読み取れます。
2. VLAN付与のトリガ
   ・社員側は「RADIUSサーバ…VLAN情報がRADIUSサーバからAPに送信」される仕組みのため、MACやIPを個別に意識しません。
   ・来訪者側はPSK認証のみで、RADIUSも個別登録も行わないと明記されています（「来訪者の認証は…簡便なPSK（Pre-Shared Key）方式で行う。」）。
3. 設定方法の適合性評価
   ・IPアドレス（イ）：DHCP取得後に決定するため、認証直後にVLANを付与する要件と合致しません。
   ・MACアドレス（ウ）：来訪のたびに全端末のMACを事前登録する運用負荷が高く、「簡便」ではありません。
   ・ESSID（ア）：接続時点で区別でき、AP側で自動的にVLANを割り当てられるため、最小の運用負荷で要件を満たします。
4. 結論
   以上より、下線①を実現する最適解は「ア：ESSIDに対応してVLANを設定する。」となります。

誤りやすいポイント

• PSKを「共有鍵＝利用者共通だからMAC登録が要る」と誤解してウを選ぶケース
• IP払い出し後にVLAN切り替えが可能だと思いイを選ぶケース（実際にはVLANが決まっていないとDHCPブロードキャスト自体が届かない）
• ESSIDは “無線名” としか認識せず、スイッチ／APがVLANマッピングできる機能を見落とすケース

FAQ

解答の論理構成

1. 目的の整理
   【問題文】には、「社員と来訪者が利用できるネットワークを分離するために、図3中の②L2SW8のポートに、VLAN10～50又はVLAN100を設定する」とあります。
   すなわち、
   • 部門用の「VLAN10～50」
   • 来訪者用の「VLAN100」
   のどちらか（＝“又は”）を、L2SW8の各ポートへ割り当てる方針です。
2. L2SW8各ポートの接続先を確認
   図3では、
   • [a]ポート ―― ルータ2（インターネット側）
   • [b]ポート ―― L3SW（社内ネットワーク側）
   • [c]ポート ―― AP（来訪エリア）
   • [d]ポート ―― AP（来訪エリア）
   と明示されています。
3. VLANの必要数を判断
   (1) ルータ2への [a]ポート
   来訪者の通信は「認証後に、…APで来訪者向けのVLAN100が付与される」ため、[a]ポートは来訪者トラフィックのみをルータ2へ転送します。したがって「VLAN100」“1つだけ”で足ります。
   (2) L3SWへの [b]ポート
   社員トラフィックは「APでVLAN10〜50の部署向けのVLANが付与される」ので、[b]ポートは「VLAN10～50」をまとめて受け取れる必要があります。複数VLANが必須です。
   (3) AP直結の [c]／[d]ポート
   APは社員用と来訪者用の2つのESSIDを持ち、ダイナミックVLAN機能で「VLAN10～50」または「VLAN100」を付与します。よって、APとの接続はタグVLANを複数通す“トランク”設定が必要です。
4. 結論
   • 一つのVLANを設定する箇所　→ [a]
   • 複数のVLANを設定する箇所　→ [b], [c], [d]

誤りやすいポイント

• 「来訪者はインターネットしか使わないから [a] も [c]/[d] もVLAN100だけ」と短絡すると、AP側で部門用VLAN10～50も必要なことを見落とします。
• [b]ポートを“来訪者分離だからVLAN100だけ”と誤認しやすいですが、L3SW側は来訪者トラフィックを扱わない設計です。
• “タグVLAN＝トランク”と“アクセスポート”の区別を混同すると、ポートごとに複数／単一のVLANをどう設定するか判断できなくなります。

FAQ

解答の導き方

1. 社員のNPCの扱いを確認する
   • 本文に「社員のNPCは、APに接続するとRADIUSサーバでクライアント認証が行われ、認証後にVLAN情報がRADIUSサーバからAPに送信される。APに実装されたダイナミックVLAN機能によって、当該NPCの通信パケットに対して、APでVLAN10〜50の部署向けのVLANが付与される。」とあります。これにより社員端末はAPでVLAN10～50のタグが付いたフレームとしてネットワークに出ることがわかります。
   • また本文に「DHCPサーバからIPアドレスなどのネットワーク情報をNPCに設定するために、レイヤ3スイッチ（以下、L3SWという）でDHCPaを稼働させている。」とあり、さらに「社員のNPCの通信パケットは、APでVLAN IDが付与されるとサーバセグメントに設置されているDHCPサーバと通信できるようになり、DHCPサーバによってネットワーク情報が設定され、E社LANを利用できるようになる。」ともあります。ここから、IPアドレスの発行元はサーバセグメントのDHCPサーバであり、L3SWはDHCPの中継等を行うレイヤ3装置として動作していることが読み取れます。
   • 図3の構成を見ると、VLAN10～50の各セグメントはL3SWを経由して他ネットワークに接続されている（L3SWが各VLANの終端・ルーティングを担う構成）ため、同一VLAN内の端末が外部に出る際のデフォルトゲートウェイ（そのVLANのレイヤ3アドレス）はL3SWに存在すると判断できます。したがって社員のNPCのデフォルトゲートウェイはL3SWです。
2. 来訪者のNPCの扱いを確認する
   • 本文に「来訪者のNPCは、APに接続するとPSK認証が行われる。①認証後に、NPCの通信パケットに対して、APで来訪者向けのVLAN100が付与される。」とあります。来訪者端末はAPでVLAN100が付与されます。
   • さらに本文に「来訪者のNPCの通信パケットは、APでVLAN IDが付与されるとルータ2と通信できるようになり、ルータ2のDHCPサーバ機能によってNPCにネットワーク情報が設定され、インターネットを利用できるようになる。」と明記されています。ここから、VLAN100のIP割当（DHCP）とインターネット出口はルータ2側で処理される設計であることが読み取れます。
   • DHCPサーバが動作している装置がそのVLANのレイヤ3終端（デフォルトゲートウェイ）であることが一般的であり、文章どおりルータ2がVLAN100のネットワーク情報を付与してインターネット接続を実現しているため、来訪者のNPCのデフォルトゲートウェイはルータ2です。

• 社員のNPC：L3SW
• 来訪者のNPC：ルータ2

誤りやすいポイント

• DHCPサーバ＝デフォルトゲートウェイと誤認する。DHCPはIP設定を配布する役割であり、デフォルトゲートウェイは同一サブネットのレイヤ3終端（インターフェース）である。本文では社員のIPはサーバセグメントのDHCPサーバが配布しており、L3SWは中継やVLAN終端（ゲートウェイ）を務める点に注意する。
• L3SWが直接DHCPサーバだと読み取るミス。本文の「L3SWでDHCPaを稼働させている。」は中継（リレー）や関連機能を示す記述で、IP割当そのものはサーバセグメントのDHCPサーバが行う。
• APがVLANを付与するからAPがゲートウェイだと誤解する。APは認証結果に基づいてVLANタグ付け（ダイナミックVLAN）を行うが、L3のルーティングやデフォルトゲートウェイ機能はL2／L3スイッチやルータ側で実装される。
• 図の接続関係（L2SW8とルータ2、L3SWの位置）を見誤ると来訪者の出口をルータ1と誤答する恐れがある。文章中の「ルータ2のDHCPサーバ機能…」の記述を確認すること。

FAQ