応用情報技術者 2024年秋期午前2 問45

問題文

VLAN 機能をもった1台のレイヤー3スイッチに40台のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき、スイッチのポートをセグメントに分けない場合に比べて得られるセキュリティ上の効果の一つはどれか。

選択肢

ア：スイッチが,PCから送出される ICMP パケットを同一セグメント内も含め、全て遮断するので,PC間のマルウェア感染のリスクを低減できる。

イ：スイッチが,PCからのブロードキャストパケットの到達範囲を制限するので、アドレス情報の不要な流出のリスクを低減できる。（正解）

ウ：スイッチが,PCの MACアドレスから接続可否を判別するので,PCの不正接続のリスクを低減できる。

エ：スイッチが、物理ポートごとに決まったIPアドレスをもつPCの接続だけを許可するので,PCの不正接続のリスクを低減できる。

VLAN機能をもったレイヤー3スイッチのセキュリティ効果【午前2 解説】

要点まとめ

結論：VLANでポートをセグメントに分けると、ブロードキャストの到達範囲が制限され、不要な情報流出リスクが低減します。
根拠：VLANは論理的にネットワークを分割し、同一VLAN内のみでブロードキャストが届くため、他のセグメントへの影響を防ぎます。
差がつくポイント：ブロードキャスト制御の理解と、VLANが物理的分割ではなく論理的分割である点を正確に把握することが重要です。

正解の理由

イは、VLANによってブロードキャストドメインが分割されるため、PCから送信されるブロードキャストパケットが同一VLAN内に限定され、他のセグメントに不要な情報が流出しにくくなることを示しています。これにより、ネットワークのセキュリティが向上します。

よくある誤解

VLANは全ての通信を遮断するわけではなく、ブロードキャストの範囲を制限する機能です。MACアドレスやIPアドレスによる接続制御はVLANの基本機能ではありません。

解法ステップ

VLANの基本機能を理解する（論理的なネットワーク分割）。
ブロードキャストドメインの概念を確認する。
各選択肢がVLANの機能に合致しているか検証する。
ブロードキャスト制限に関する説明が正しいか判断する。
正しい選択肢を選ぶ。

選択肢別の誤答解説

ア：ICMPパケットを全て遮断する機能はVLANにはなく、誤りです。
イ：正解。ブロードキャストの到達範囲を制限し、情報流出リスクを減らします。
ウ：MACアドレスによる接続可否判別はポートセキュリティの機能であり、VLANの基本機能ではありません。
エ：物理ポートごとのIPアドレス制限は一般的なVLAN機能ではなく、誤りです。

補足コラム

VLAN（Virtual LAN）は物理的なネットワーク構成を変えずに、論理的にネットワークを分割する技術です。これにより、同じ物理スイッチに接続された機器でも異なるネットワークセグメントとして扱え、セキュリティや管理性が向上します。特にブロードキャストトラフィックの制御はネットワークの効率化とセキュリティ強化に寄与します。