ITパスポート 2022年 問64

ファイアウォールの設置で実現できる事項【ITパスポート 解説】

正解の理由

• ファイアウォールは「ネットワークの出入口で通過する通信を監視・制御する装置」です。したがって、外部と内部の通信を分離して特定の通信だけを許可する仕組み（DMZの構築）や、不正アクセスを防止するためのルール設定は本来の機能であり実現可能です。
• 一方、サーバルームの物理的な入退室管理（選択肢 c）はドアや入退室管理システムによる「物理セキュリティ」であって、ネットワークの通信制御を行うファイアウォールの役割ではありません。
• 大量要求を複数サーバに振り分ける（選択肢 d）は「ロードバランサ（負荷分散装置）」やリバースプロキシの仕事であり、ファイアウォールの基本機能ではありません。

• ファイアウォール（防火壁のように通信を遮断・許可する装置）
• DMZ（demilitarized zone：外部公開サーバを内部ネットワークから切り離す領域）
• サーバ（サービスを提供するコンピュータ）、クライアント（サービスを利用する側の機器）
• ロードバランサ（負荷分散装置：複数サーバに処理を振り分ける機器）

解法ステップ

1. 「ファイアウォール」の定義を思い出す：ネットワーク通信の監視・制御を行う装置とルールのこと。
2. 各選択肢が「通信の制御（論理）」か「物理的制御」か、あるいは「負荷分散」かを分類する。
3. ファイアウォールで実現可能なもの（通信のフィルタリングやDMZによる分離）が正解候補。
4. 物理入室管理や専用の負荷分散機能は別の装置・仕組みを想定する。
5. a と b がファイアウォールの範囲であるため、選択肢 ア を選ぶ。

選択肢別の誤答解説

• ア（a, b）
  正しい。a は公開サーバを外部から直接内部へ接続させないための DMZ 構築が可能、b はファイアウォールの基本機能で不正アクセス防止ができる。
• イ（a, b, d）
  誤り。d（負荷分散）はロードバランサの役割であり、通常のファイアウォールでは実現しない。特殊な機能を持つ機器を除けば誤りとなる。
• ウ（b, c）
  誤り。b は正しいが、c（サーバルームの入室制御）は物理セキュリティでありファイアウォールでは実現できない。
• エ（c, d）
  誤り。c は物理入退室管理、d は負荷分散の話で、どちらもファイアウォールの本来の機能ではない。

よくある誤解

1. 「ファイアウォールは何でもできる」
   → 最近の高機能（次世代）ファイアウォールは多機能ですが、物理的な入退室管理や本格的な負荷分散は別装置の役割である点は変わりません。
2. 「DMZは外部に丸見えにすること」
   → DMZ は公開サーバを置いて外部と通信させる領域ですが、内部ネットワークからは切り離して守るために設けるものです。丸見えにすることが目的ではなく、公開と内部保護の両立が目的です。

補足コラム

• パケットフィルタ型：IPアドレスやポート番号で通信を許可・拒否する基本的なタイプ。処理が軽い。
• ステートフルインスペクション型：通信の状態（接続が確立されているか）を追跡して制御する。
• アプリケーション層（プロキシ）型：HTTPやメールなどアプリケーションの内容を詳しく検査できる。
• 次世代ファイアウォール（NGFW）：上記を組み合わせ、識別力の高い制御やIPS（侵入防止）機能を持つことが多い。

FAQ