基本情報技術者 2013年春期午前（科目A）問42

問題文

パケットフィルタリング型ファイアウォールがルール一覧に基づいてパケットを制御する場合、パケットAに対する制御はどれか。ここで、ファイアウォールでは、ルール一覧に示す番号の1から順にルールの適用判断を行い、一つのルールが適用されたときには残りのルールは適用しない。

🖊️ 解答を隠して解いてみる

選択肢

ア：番号1によって、通過を禁止する。（正解）

イ：番号2によって、通過を許可する。

ウ：番号3によって、通過を許可する。

エ：番号4によって、通過を禁止する。

🔒 解説は解答すると表示されます

パケットフィルタリング【午前解説】

正解の理由

パケットAの送信元アドレスは10.1.2.3であり、ルール一覧の番号1は送信元アドレスが10.1.2.3である場合に対象とするため、ルール1がパケットAに一致します。ファイアウォールはルールを上から順に評価し、最初に適用されたルールで処理を終えるため、番号1の「通過禁止」がそのまま適用されます。したがって正解はアです。

解法ステップ

パケットAの各フィールド（送信元IP、宛先IP、プロトコル、ポート）を確認する。
ルール一覧を番号1から順に見ていき、各ルールの条件と照合する。
最初にすべての条件を満たす（ルールのワイルドカードは任意一致）ルールを発見したら、そのルールの動作を適用して評価を終える。
見つからなければ次のルールへ進む。最終行まで一致がなければデフォルト動作を適用する（本問では明示的に番号4で拒否）。
本問では番号1の送信元アドレスが一致するため、そこで処理終了＝通過禁止。

選択肢別の誤答解説

ア: 正解。ルール1の送信元アドレスがパケットAと完全一致するため、先頭一致ルールにより通過禁止となります。
イ: 誤り。番号2は宛先が10.2.3.*かつプロトコルTCPかつ宛先ポート25でありパケットAはこれに一致するが、番号1が先に一致するため番号2は評価されません。
ウ: 誤り。番号3も条件上は一部一致するが（宛先10.1.*を期待するため実際は宛先が一致しない）、仮に一致していても番号1が先にあるため適用されません。
エ: 誤り。番号4は最終的な通過禁止ルールだが、番号1が先に一致しているため番号4が適用されることはありません。

よくある誤解

誤解1：より詳細な（ポートやプロトコルが一致する）ルールが常に優先されると考える。実際はルールの「順序」が優先されます。
誤解2：ワイルドカード（*）があるとマッチしないと思う。ワイルドカードは「任意一致」を意味し、条件が満たされればマッチします。
誤解3：暗黙的に「最後に拒否」がある場合のみ拒否されると想像する。今回は明示的な番号4の通過禁止があるが、先に一致するルールがあればそれで終了します。

補足コラム

パケットフィルタリング方式では「ルールの順序」が最も重要な設計要素です。運用では、一般的に「明示的な拒否ルール」を先に置くか、「より狭い許可ルールを先に置く」などのポリシーを設計します。またステートフルファイアウォールでは接続状態も考慮されるため、同じ条件でも振る舞いが異なることがあります。ACL 設計時は「最初に一致したら止める」動作を意識してルール順を決めましょう。

FAQ

Q1: なぜ「具体的なルールが常に優先」ではないのですか？
A1: 実装によっては具体度優先のものもありますが、パケットフィルタの多くは単純な先頭一致方式であり、実運用では順序で制御します。仕様確認が重要です。

Q2: ワイルドカードがあるルールが先にあると全て拒否されますか？
A2: はい。ワイルドカードは任意一致を意味するため、そのルールが先に一致すれば以降のルールは評価されません。

Q3: ステートフルフィルタだと結果は変わりますか？
A3: 接続追跡情報を使うステートフルファイアウォールでは、既存接続のパケットは許可されるなど振る舞いが変わる可能性があります。設問のような単純な静的ルール評価とは別に考えてください。

関連キーワード: パケットフィルタリング、ファイアウォール、ACL、ルール順序、先頭一致、IPアドレス、ポート番号、TCP、セキュリティ設計

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

基本情報技術者を
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！