基本情報技術者 2009年 秋期 午前（科目A） 問44

パケットフィルタで社内PCからWebサーバへアクセス許可するルール【午前2 解説】

要点まとめ

• 結論：社内PC発信は送信元ポートが1024以上、宛先ポートが80、応答はその逆（送信元80、宛先1024以上）を許可するルールが正解です。
• 根拠：TCPクライアントはエフェメラルポート（通常1024以上）を送信元に使い、Webサーバは固定のサービスポート80で応答するためです。
• 差がつくポイント：パケットフィルタはステートレス扱いと仮定し両方向ルールを明示する必要があり、送受信でポート役割を混同しないこと。

正解の理由

よくある誤解

• 「送信だけ許可すれば応答は返ってくる」はステートレスなパケットフィルタでは成り立たない場合が多いです。
• クライアントの送信元ポートを80だと誤認すると、ルールが逆になりトラフィックが遮断されます。

解法ステップ

1. 要求を整理：社内PC→外部Web（HTTP: TCP/80）へのアクセスを許可する。
2. TCPのポート役割を確認：サーバ側はサービスポート（80）、クライアントはエフェメラルポート（1024以上）。
3. ファイアウォールの種類を確認：パケットフィルタ（ステートレス）なら発信・応答それぞれ許可ルールが必要。
4. 条件に合う選択肢を照合：発信（PC→Web、送元1024以上、宛先80）と応答（Web→PC、送元80、宛先1024以上）を探す。
5. 該当する組合せを選択：イがこれに一致するため正解。

選択肢別の誤答解説

• ア：発信／応答のポート指定が逆転または混同しており、クライアント側が送信元に80を使う形になっているため誤り。
• イ：発信がPCの送信元1024以上→宛先80、応答がWebの送信元80→宛先1024以上となり正しい。
• ウ：発信・応答ともに送信元/宛先ポートの割り当てが不適切で、クライアントとサーバの役割が逆転している。
• エ：一方の向きは合っていてももう一方が逆になっており、双方向での正常なTCP通信を成立させられない。

補足コラム

• エフェメラルポートの範囲はOSや設定により差があり得ますが、問題文の通例として1024以上を想定します。
• ステートフルファイアウォール（コネクション追跡あり）では、アウトバウンドの発信だけ許可すれば応答が自動で許可されることが多く、設定が簡略化できます。
• NATをはさむ環境では、内部のエフェメラルポートが外部で別のポートに変換されるため、ファイアウォール規則はNAT後のポートを意識する必要があります。

FAQ