ネットワークスペシャリスト 2019年 午後1 問03

解答の論理構成

1. 下線①には【問題文】の「①PCのIPアドレスは、DHCPサーバによって割り当てられる」とあるため、PCはDHCPによりIPを取得します。
2. 図1よりDHCPサーバはサーバ室のL2SW02配下、PCはフロア1・フロア2の各LANセグメントに存在し、サーバとPCは “異なるセグメント” です。ブロードキャストであるDHCPDISCOVERは通常セグメント外へ届かないため、中継機能が必須になります。
3. この中継機能はDHCPリレー（IP Helper）であり、一般にレイヤ3デバイスに実装されています。従って機能名は「DHCPリレーエージェント」です。
4. どのスイッチに有効化すべきかを考えます。
   • DHCPサーバがあるサーバ室セグメントは中継不要。
   • フロア1・フロア2のPCセグメントは中継が必要。
   • 各フロアの分岐点はL3SW1とL3SW2です。ここで中継すれば、配下のすべてのPCセグメントを一括してカバーできます。
   • L2SWに設定するとスイッチ数が増えるため、「台数が最少」との条件に反します。
5. 以上より、
   機能名：DHCPリレーエージェント
   スイッチ：L3SW1, L3SW2

誤りやすいポイント

• L2SWにDHCPリレーを設定すると考え、L2SW11など多数列挙してしまう。レイヤ2機器は通常リレー機能をもたない点に注意が必要です。
• サーバ室のL3SW0も設定が要ると勘違いする。DHCPサーバと同一セグメントにあるため中継は不要です。
• 機能名を「DHCPスヌーピング」と誤記するケース。DHCPスヌーピングは不正DHCPを防ぐ機能であり、ブロードキャスト中継とは別物です。

FAQ

解答の論理構成

1. 原文では、案1の仕組みとして
   「②DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする」
   とあります。
2. さらに同案では、
   「正常PCだけにIPアドレスを付与するよう、DHCPサーバに機能追加する」
   と記述されています。
3. つまり「DHCPサーバでのアドレス付与」と「L2SWのDHCPスヌーピング」をセットにして初めて、正常PCだけが通信可能になります。
4. ②を実施しない（＝DHCPスヌーピングを有効にしない）場合、スイッチは“DHCPサーバ経由かどうか”を判定できません。
5. その結果、排除対象PCが自分でIPアドレスを固定設定してもL2SWは遮断せず、LANへの通信を許可してしまいます。
6. よって、問題点は「固定IPを設定すれば正規認証を回避できる」ことです。

誤りやすいポイント

• DHCPスヌーピングを“IP割当の高速化”程度に誤解し、本質である「DHCP経由でない通信の遮断」を見落とす。
• “固定IPではDHCPサーバに登録されない＝通信できない”と早合点し、L2SW側の制御の存在を忘れる。
• ARPスプーフィングやVLAN制御と混同し、②の役割を別機能と取り違える。

FAQ

解答の論理構成

• まず、【問題文】には「②DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする」とあります。
  → 各フロアのL2SW上でDHCPスヌーピングを ON にすることで、正規の「DHCPサーバ」からの割当て以外を遮断する方針です。
• DHCPスヌーピングを有効にした場合、L2SWは “信頼されていない” ポート経由のDHCPサーバ応答（DHCPOFFER、DHCPACKなど）を破棄します。
• しかし「L3SW」と接続する上位ポートは、サーバ室側の「DHCPサーバ」へ到達するトラフィックの通り道です。ここが“信頼されていない”ままだと、下位PCへ正規応答が届きません。
• そこでL3SWへ接続するポートはDHCPスヌーピングのフィルタリング対象外＝“trusted（信頼済み）”に設定する必要があります。
• 以上より、求められる25字以内の記述は「DHCPスヌーピングの制限を受けない設定」となります。

誤りやすいポイント

• 「DHCPサーバが収容されているL2SWのポートだけtrusted」と誤解し、L3SWとのアップリンクを忘れる。
• ポートVLAN・タグVLANの設定と混同し、「VLAN許可」の話を書いてしまう。
• “DHCPリレー（IP helper）設定”と取り違えてしまい、IPv4/UDP 67・68のACL記述を書いてしまう。

FAQ

解答の論理構成

1. ARP応答の目的の確認
   【問題文引用】「排除対象PCのパケット送信先が通信制限装置となるように偽装したARP応答を送信する」
   送信元（＝偽装先）のMACは “通信制限装置” でなければなりません。
   ➡ 送信元ハードウェアアドレス [a]＝「エ：通信制限装置のMACアドレス」。
2. ARP応答で偽装する IP
   同じく上記引用より、排除対象PCが求めた “アドレス解決対象のIPアドレス” を装った応答を返します。
   ➡ 送信元プロトコルアドレス [b]＝「ア：アドレス解決対象のIPアドレス」。
3. ARP要求の目的の確認
   【問題文引用】「排除対象PC宛てパケットの送信先が通信制限装置となるように偽装したARP要求を送信する」
   これはグラチュイタスARPの形で、各端末に “排除対象PCのIPは通信制限装置のMAC” と覚えさせるためのものです。
   ・送信元ハードウェアアドレスは“通信制限装置”
   ・送信元プロトコルアドレスは“排除対象PCのIP”
   ➡ [c]＝「エ：通信制限装置のMACアドレス」、[d]＝「オ：排除対象PCのIPアドレス」。
4. まとめ
   a：エ
   b：ア
   c：エ
   d：オ

誤りやすいポイント

• 「ARP要求は質問だから送信元IPは自分自身」と思い込み、[d] に「ウ：通信制限装置のIPアドレス」を選ぶミス。今回のARP要求は“偽装”用であり一般的な質問用途ではありません。
• ARP応答とARP要求で同じIPを使うと勘違いし、[b] と [d] を同じ答えにしてしまう。
• “MACを書き換えているのは片方向だけ” と早合点し、[c] に「カ：排除対象PCのMACアドレス」を選択してしまう。

FAQ

解答の論理構成

1. 監視対象となるセグメント数を確定
   【問題文】図1より、フロア1に2セグメント、フロア2に2セグメント、さらに運用整備で「不正PCを接続するセグメント（以下、対処用セグメント）」を両フロアに追加すると記載されています。したがってフロア1で3セグメント、フロア2で3セグメント、合計6セグメントが通信制限装置の対象です。
   ※「サーバ室での不正PCや未登録PCの利用対策は、考慮しなくてよい」との指示があるのでサーバ室は除外します。
2. 1台あたりで接続できるセグメント数
   「通信制限装置のLANポート数は4であり、各LANポートの接続先は、全て異なるセグメントでなければならない。」と明示されています。よって1台で最大4セグメントをカバーできます。
3. タグVLANを使えない制約
   「③タグVLANを使用せず、フロア間の配線も追加しない構成」を選択しています。タグVLANを利用すれば1ポートで複数セグメントを束ねられますが、本構成では禁止されています。したがってセグメント数とポート数が原則1:1になります。
4. フロア間で装置を共用できない理由
   同一フロア内であれば既設L3SWに装置を直結できますが、「フロア間の配線も追加しない」ため、1階の装置を2階に回線延長して共用することはできません。また「④通信制限装置を接続するスイッチは、既設のL3SWとした」とあるので各フロアのL3SWにそれぞれ装置を接続する必要があります。
5. 必要台数の算出
   ・フロア1：対象セグメント3 ≤ 装置1台の4ポート → 1台で収容可能
   ・フロア2：対象セグメント3 ≤ 装置1台の4ポート → 1台で収容可能
   よって最少台数は2台となります。

誤りやすいポイント

• タグVLANを利用して1ポートで複数セグメントを束ねられると勘違いする
  →「③タグVLANを使用せず」という条件で明確に否定されています。
• フロア間の配線追加が認められると考え、1台で両フロアをカバーできると判断する
  →「フロア間の配線も追加しない構成」であるため、装置を物理的に1階と2階へ引き回せません。
• サーバ室のセグメントも台数計算に入れてしまう
  →設問指示で除外されています。

FAQ

解答の論理構成

• 【問題文】に「④通信制限装置を接続するスイッチは、既設のL3SWとした」とあるので、接続相手は “L3SW0・L3SW1・L3SW2” のいずれかになることが確定します。
• 同じく【問題文】の「通信制限装置のLANポート数は4であり、各LANポートの接続先は、全て異なるセグメントでなければならない。また、タグVLANに対応可能である。」という条件があります。
• ところが「③タグVLANを使用せず、フロア間の配線も追加しない構成」と明示されているため、LANポート単位で “物理的に” セグメントを分けるしかありません。
• 図1より、
  ・フロア1の「L3SW1」にはポートVLANで2セグメント
  ・フロア2の「L3SW2」にはポートVLANで2セグメント
  ― 計4セグメントが存在します。
• 1台の通信制限装置で監視できるセグメントは最大4、本問ではそのうちの2セグメントだけを担当させれば要件を満たします（残り2ポートは未使用可）。
• したがって、
  ・装置をフロア1に設置する場合は “L3SW1の2ポート” に接続
  ・フロア2に設置する場合は “L3SW2の2ポート” に接続
  という2パターンがあり、いずれもポート3・4は “空き” となります。
• 以上より、LANポート1〜4の接続先は「L3SW1, L3SW1, 空き, 空き」又は「L3SW2, L3SW2, 空き, 空き」のどちらかの組になります。LANポート1と2は同じL3SWに接続し、ポート3・4は空きです。

誤りやすいポイント

• タグVLANを使わない条件を見落とし、1本のトランクで2セグメントを流せると誤解する。
• 「各LANポートの接続先は、全て異なるセグメント」という文を “異なるスイッチ” と読み違え、L3SW0・1・2の3台に分散接続しようとする。
• 通信制限装置1台で4セグメントすべてを担当させる必要があると早合点し、ポート3・4も必ず使用すると判断する。

FAQ

解答の論理構成

1. 不正PCの復帰手順
   • 本文には「PCはメンテナンスサーバを利用して、OSやアプリケーションプログラムのアップデート、ウイルス定義ファイルのアップデートなどを行う。」とあり、アップデート先は “メンテナンスサーバ” であると明示されています。
   • さらに「Sエージェントは、検査結果をPC管理サーバに登録する。」とあり、合否の再判定には “PC管理サーバ” への通信が必須です。
2. パケットフィルタリングの方針
   • 下線⑤のとおり「⑤対処用セグメントから他セグメントの機器への通信は、L3SW1及びL3SW2のパケットフィルタリングによって必要最小限に制限する」。
   • “必要最小限” とは、①アップデートの取得、②検査結果の登録という復帰に要する通信だけを許可することを意味します。
3. 許可対象の選定
   • 復帰作業に本質的に関わるのは
     ① アップデートを提供する “メンテナンスサーバ”
     ② 検査結果を受け付ける “PC管理サーバ”
   • 他の機器（業務サーバやDHCPサーバなど）は、対処用セグメントのPCが正常判定を受けるまでアクセス不要であり、最小限ではありません。
4. よって、対処用セグメントから通信を許可すべき他セグメント機器は
   ・「PC管理サーバ」
   ・「メンテナンスサーバ」
   となります。

誤りやすいポイント

• DHCPサーバも必要と考えてしまう
  → 対処用セグメントに接続した段階で既にIPアドレスは持っている前提です。復帰作業のみに絞ればDHCPとの通信は不要です。
• 業務サーバを許可対象に含める
  → 不正PCは業務利用を停止するのが目的のため、復帰前に業務サーバへ接続させると本末転倒です。
• L3SWなどネットワーク機器名を書いてしまう
  → 設問は「他セグメントの機器」を聞いており、スイッチは対象外です。

FAQ

解答の論理構成

1. 対処用セグメントを追加
   • 問題文には「不正PCを接続するセグメント（以下、対処用セグメントという）を、フロア1とフロア2に追加することにした。」とある。
   • 新セグメントでPCを動かすには、IPアドレス払い出しとルーティングが必須。
2. 静的ルーティング環境での影響範囲を整理
   • 「ルーティング情報は、全てスタティックに定義してある。」と明記されている。
   • したがって、ネットワーク全体のデフォルトゲートウェイである「L3SW0」に対処用セグメントへの経路を手動登録しなければ、別フロアやサーバ室との疎通が成立しない。
3. IPアドレス払い出し元を特定
   • PCは「①PCのIPアドレスは、DHCPサーバによって割り当てられる。」ため、対処用セグメント用のアドレスプール（スコープ）を「DHCPサーバ」に追加する必要がある。
   • これを怠ると、対処用セグメントに接続したPCがアドレス未取得のまま通信不能となる。
4. L3SW1・L3SW2以外で設定変更が要る機器を抽出
   • 問題文には「⑤対処用セグメントから他セグメントの機器への通信は、L3SW1及びL3SW2のパケットフィルタリングによって必要最小限に制限する。」とあり、この2台は既に変更対象。
   • 残る必須作業は
     • L3SW0：静的経路追加
     • DHCPサーバ：新スコープ追加
   • よって模範解答は
     ① 機器：L3SW0／変更内容：対処用セグメントへのルーティング情報を追加する。
     ② 機器：DHCPサーバ／変更内容：対処用セグメントのアドレスプールを追加する。

誤りやすいポイント

• L3SW1・L3SW2でフィルタ設定を行うだけで十分と思い込み、ネットワーク全体の静的ルートを失念する。
• 「③タグVLANを使用せず、フロア間の配線も追加しない構成」を読んでタグVLANに気を取られ、DHCPスコープの追加を見落とす。
• L2SW側でのVLAN設定変更が必要と早合点し、レイヤ3機器の設定変更を後回しにする。

FAQ