ネットワークスペシャリスト 2019年 午後1 問03

解答の論理構成

1. 下線①には【問題文】の「①PCのIPアドレスは、DHCPサーバによって割り当てられる」とあるため、PC は DHCP により IP を取得します。
2. 図1より DHCPサーバはサーバ室の L2SW02 配下、PC はフロア1・フロア2の各 LAN セグメントに存在し、サーバと PC は “異なるセグメント” です。ブロードキャストである DHCPDISCOVER は通常セグメント外へ届かないため、中継機能が必須になります。
3. この中継機能は DHCP リレー（IP Helper）であり、一般にレイヤ3デバイスに実装されています。従って機能名は「DHCPリレーエージェント」です。
4. どのスイッチに有効化すべきかを考えます。
   • DHCP サーバがあるサーバ室セグメントは中継不要。
   • フロア1・フロア2の PC セグメントは中継が必要。
   • 各フロアの分岐点は L3SW1 と L3SW2 です。ここで中継すれば、配下のすべての PC セグメントを一括してカバーできます。
   • L2SW に設定するとスイッチ数が増えるため、「台数が最少」との条件に反します。
5. 以上より、
   機能名：DHCPリレーエージェント
   スイッチ：L3SW1, L3SW2

誤りやすいポイント

• L2SW に DHCP リレーを設定すると考え、L2SW11 など多数列挙してしまう。レイヤ2機器は通常リレー機能をもたない点に注意が必要です。
• サーバ室の L3SW0 も設定が要ると勘違いする。DHCPサーバと同一セグメントにあるため中継は不要です。
• 機能名を「DHCPスヌーピング」と誤記するケース。DHCP スヌーピングは不正 DHCP を防ぐ機能であり、ブロードキャスト中継とは別物です。

FAQ

解答の論理構成

1. 原文では、案1の仕組みとして
   「②DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする」
   とあります。
2. さらに同案では、
   「正常PCだけにIPアドレスを付与するよう、DHCPサーバに機能追加する」
   と記述されています。
3. つまり「DHCPサーバでのアドレス付与」と「L2SWのDHCPスヌーピング」をセットにして初めて、正常PCだけが通信可能になります。
4. ②を実施しない（＝DHCPスヌーピングを有効にしない）場合、スイッチは“DHCPサーバ経由かどうか”を判定できません。
5. その結果、排除対象PCが自分で IP アドレスを固定設定しても L2SW は遮断せず、LAN への通信を許可してしまいます。
6. よって、問題点は「固定 IP を設定すれば正規認証を回避できる」ことです。

誤りやすいポイント

• DHCP スヌーピングを“IP 割当の高速化”程度に誤解し、本質である「DHCP 経由でない通信の遮断」を見落とす。
• “固定 IP では DHCP サーバに登録されない＝通信できない”と早合点し、L2SW 側の制御の存在を忘れる。
• ARP スプーフィングや VLAN 制御と混同し、②の役割を別機能と取り違える。

FAQ

解答の論理構成

• まず、【問題文】には「②DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする」とあります。
  → 各フロアの L2SW 上で DHCP スヌーピングを ON にすることで、正規の「DHCPサーバ」からの割当て以外を遮断する方針です。
• DHCP スヌーピングを有効にした場合、L2SW は “信頼されていない” ポート経由の DHCP サーバ応答（DHCPOFFER、DHCPACK など）を破棄します。
• しかし「L3SW」と接続する上位ポートは、サーバ室側の「DHCPサーバ」へ到達するトラフィックの通り道です。ここが“信頼されていない”ままだと、下位 PC へ正規応答が届きません。
• そこで L3SW へ接続するポートは DHCP スヌーピングのフィルタリング対象外＝“trusted（信頼済み）”に設定する必要があります。
• 以上より、求められる 25 字以内の記述は「DHCPスヌーピングの制限を受けない設定」となります。

誤りやすいポイント

• 「DHCPサーバが収容されている L2SW のポートだけ trusted」と誤解し、L3SW とのアップリンクを忘れる。
• ポート VLAN・タグ VLAN の設定と混同し、「VLAN許可」の話を書いてしまう。
• “DHCPリレー（IP helper）設定”と取り違えてしまい、IPv4/UDP 67・68 の ACL 記述を書いてしまう。

FAQ

解答の論理構成

1. ARP 応答の目的の確認
   【問題文引用】「排除対象 PC のパケット送信先が通信制限装置となるように偽装した ARP 応答を送信する」
   送信元（＝偽装先）の MAC は “通信制限装置” でなければなりません。
   ➡ 送信元ハードウェアアドレス [a]＝「エ：通信制限装置のMACアドレス」。
2. ARP 応答で偽装する IP
   同じく上記引用より、排除対象 PC が求めた “アドレス解決対象の IP アドレス” を装った応答を返します。
   ➡ 送信元プロトコルアドレス [b]＝「ア：アドレス解決対象のIPアドレス」。
3. ARP 要求の目的の確認
   【問題文引用】「排除対象 PC 宛てパケットの送信先が通信制限装置となるように偽装した ARP 要求を送信する」
   これはグラチュイタス ARP の形で、各端末に “排除対象 PC の IP は通信制限装置の MAC” と覚えさせるためのものです。
   ・送信元ハードウェアアドレスは“通信制限装置”
   ・送信元プロトコルアドレスは“排除対象 PC の IP”
   ➡ [c]＝「エ：通信制限装置のMACアドレス」、[d]＝「オ：排除対象PCのIPアドレス」。
4. まとめ
   a：エ
   b：ア
   c：エ
   d：オ

誤りやすいポイント

• 「ARP 要求は質問だから送信元 IP は自分自身」と思い込み、[d] に「ウ：通信制限装置のIPアドレス」を選ぶミス。今回の ARP 要求は“偽装”用であり一般的な質問用途ではありません。
• ARP 応答と ARP 要求で同じ IP を使うと勘違いし、[b] と [d] を同じ答えにしてしまう。
• “MAC を書き換えているのは片方向だけ” と早合点し、[c] に「カ：排除対象PCのMACアドレス」を選択してしまう。

FAQ

解答の論理構成

1. 監視対象となるセグメント数を確定
   【問題文】図1より、フロア1に2セグメント、フロア2に2セグメント、さらに運用整備で「不正 PC を接続するセグメント（以下、対処用セグメント）」を両フロアに追加すると記載されています。したがってフロア1で3セグメント、フロア2で3セグメント、合計6セグメントが通信制限装置の対象です。
   ※「サーバ室での不正PCや未登録PCの利用対策は、考慮しなくてよい」との指示があるのでサーバ室は除外します。
2. 1台あたりで接続できるセグメント数
   「通信制限装置の LAN ポート数は 4 であり、各 LAN ポートの接続先は、全て異なるセグメントでなければならない。」と明示されています。よって1台で最大4セグメントをカバーできます。
3. タグ VLAN を使えない制約
   「③タグ VLAN を使用せず、フロア間の配線も追加しない構成」を選択しています。タグ VLAN を利用すれば1ポートで複数セグメントを束ねられますが、本構成では禁止されています。したがってセグメント数とポート数が原則 1:1 になります。
4. フロア間で装置を共用できない理由
   同一フロア内であれば既設 L3SW に装置を直結できますが、「フロア間の配線も追加しない」ため、1階の装置を2階に回線延長して共用することはできません。また「④通信制限装置を接続するスイッチは、既設の L3SW とした」とあるので各フロアの L3SW にそれぞれ装置を接続する必要があります。
5. 必要台数の算出
   ・フロア1：対象セグメント3 ≤ 装置1台の4ポート → 1台で収容可能
   ・フロア2：対象セグメント3 ≤ 装置1台の4ポート → 1台で収容可能
   よって最少台数は 2 台となります。

誤りやすいポイント

• タグ VLAN を利用して 1 ポートで複数セグメントを束ねられると勘違いする
  →「③タグ VLAN を使用せず」という条件で明確に否定されています。
• フロア間の配線追加が認められると考え、1 台で両フロアをカバーできると判断する
  →「フロア間の配線も追加しない構成」であるため、装置を物理的に1階と2階へ引き回せません。
• サーバ室のセグメントも台数計算に入れてしまう
  →設問指示で除外されています。

FAQ

解答の論理構成

• 【問題文】に「④通信制限装置を接続するスイッチは、既設の L3SW とした」とあるので、接続相手は “L3SW0・L3SW1・L3SW2” のいずれかになることが確定します。
• 同じく【問題文】の「通信制限装置の LAN ポート数は 4 であり、各 LAN ポートの接続先は、全て異なるセグメントでなければならない。また、タグ VLAN に対応可能である。」という条件があります。
• ところが「③タグ VLAN を使用せず、フロア間の配線も追加しない構成」と明示されているため、LAN ポート単位で “物理的に” セグメントを分けるしかありません。
• 図1より、
  ・フロア1の「L3SW1」にはポート VLAN で 2 セグメント
  ・フロア2の「L3SW2」にはポート VLAN で 2 セグメント
  ― 計 4 セグメントが存在します。
• 1 台の通信制限装置で監視できるセグメントは最大 4、本問ではそのうちの 2 セグメントだけを担当させれば要件を満たします（残り 2 ポートは未使用可）。
• したがって、
  ・装置をフロア1に設置する場合は “L3SW1 の 2 ポート” に接続
  ・フロア2に設置する場合は “L3SW2 の 2 ポート” に接続
  という 2 パターンがあり、いずれもポート 3・4 は “空き” となります。
• 以上より、模範解答は
  LANポート1：L3SW1 又は L3SW2
  LANポート2：L3SW1 又は L3SW2
  LANポート3：空き
  LANポート4：空き
  となる理由が導けます。

誤りやすいポイント

• タグ VLAN を使わない条件を見落とし、1 本のトランクで 2 セグメントを流せると誤解する。
• 「各 LAN ポートの接続先は、全て異なるセグメント」という文を “異なるスイッチ” と読み違え、L3SW0・1・2 の 3 台に分散接続しようとする。
• 通信制限装置 1 台で 4 セグメントすべてを担当させる必要があると早合点し、ポート 3・4 も必ず使用すると判断する。

FAQ

解答の論理構成

1. 不正 PC の復帰手順
   • 本文には「PCはメンテナンスサーバを利用して、OSやアプリケーションプログラムのアップデート、ウイルス定義ファイルのアップデートなどを行う。」とあり、アップデート先は “メンテナンスサーバ” であると明示されています。
   • さらに「Sエージェントは、検査結果をPC管理サーバに登録する。」とあり、合否の再判定には “PC管理サーバ” への通信が必須です。
2. パケットフィルタリングの方針
   • 下線⑤のとおり「⑤対処用セグメントから他セグメントの機器への通信は、L3SW1 及び L3SW2 のパケットフィルタリングによって必要最小限に制限する」。
   • “必要最小限” とは、①アップデートの取得、②検査結果の登録という復帰に要する通信だけを許可することを意味します。
3. 許可対象の選定
   • 復帰作業に本質的に関わるのは
     ① アップデートを提供する “メンテナンスサーバ”
     ② 検査結果を受け付ける “PC管理サーバ”
   • 他の機器（業務サーバや DHCP サーバなど）は、対処用セグメントの PC が正常判定を受けるまでアクセス不要であり、最小限ではありません。
4. よって、対処用セグメントから通信を許可すべき他セグメント機器は
   ・「PC管理サーバ」
   ・「メンテナンスサーバ」
   となります。

誤りやすいポイント

• DHCP サーバも必要と考えてしまう
  → 対処用セグメントに接続した段階で既に IP アドレスは持っている前提です。復帰作業のみに絞れば DHCP との通信は不要です。
• 業務サーバを許可対象に含める
  → 不正 PC は業務利用を停止するのが目的のため、復帰前に業務サーバへ接続させると本末転倒です。
• L3SW などネットワーク機器名を書いてしまう
  → 設問は「他セグメントの機器」を聞いており、スイッチは対象外です。

FAQ

解答の論理構成

1. 対処用セグメントを追加
   • 問題文には「不正 PC を接続するセグメント（以下、対処用セグメントという）を、フロア 1 とフロア 2 に追加することにした。」とある。
   • 新セグメントで PC を動かすには、IP アドレス払い出しとルーティングが必須。
2. 静的ルーティング環境での影響範囲を整理
   • 「ルーティング情報は、全てスタティックに定義してある。」と明記されている。
   • したがって、ネットワーク全体のデフォルトゲートウェイである「L3SW0」に対処用セグメントへの経路を手動登録しなければ、別フロアやサーバ室との疎通が成立しない。
3. IP アドレス払い出し元を特定
   • PC は「①PCのIPアドレスは、DHCPサーバによって割り当てられる。」ため、対処用セグメント用のアドレスプール（スコープ）を「DHCPサーバ」に追加する必要がある。
   • これを怠ると、対処用セグメントに接続した PC がアドレス未取得のまま通信不能となる。
4. L3SW1・L3SW2 以外で設定変更が要る機器を抽出
   • 問題文には「⑤対処用セグメントから他セグメントの機器への通信は、L3SW1 及び L3SW2 のパケットフィルタリングによって必要最小限に制限する。」とあり、この 2 台は既に変更対象。
   • 残る必須作業は
     • L3SW0：静的経路追加
     • DHCPサーバ：新スコープ追加
   • よって模範解答は
     ① 機器：L3SW0／変更内容：対処用セグメントへのルーティング情報を追加する。
     ② 機器：DHCPサーバ／変更内容：対処用セグメントのアドレスプールを追加する。

誤りやすいポイント

• L3SW1・L3SW2 でフィルタ設定を行うだけで十分と思い込み、ネットワーク全体の静的ルートを失念する。
• 「③タグ VLAN を使用せず、フロア間の配線も追加しない構成」を読んでタグ VLAN に気を取られ、DHCP スコープの追加を見落とす。
• L2SW 側での VLAN 設定変更が必要と早合点し、レイヤ 3 機器の設定変更を後回しにする。

FAQ