ネットワークスペシャリスト 過去問 解説【令和元年度 午後1 問3】

• DHCPリレーエージェントが有効になっているスイッチ名を答える
• ただし、台数が最小となるように考慮する

• PCのIPアドレスはDHCPサーバからもらう
• PCはそもそもフロアにしか存在しない
• PCはDHCPサーバを見つけるために、所属するセグメントでブロードキャストを行う
• ブロードキャストはセグメントをまたぐ際には、通信ができない
• DHCPリレーエージェントはルータやL3SWに設定する機能
• その機能により、PCからのブロードキャストをL3SWでユニキャストに変換する
• この時点で、L3SW1、L3SW2には設定が必須とわかる
• 残り、L3SW0を考慮する必要がある
• L3SW1、L3SW2でユニキャストに変換されるため、宛先（DHCPサーバ）をL3SW0は知っている
• そのため、L3SW0にDHCPリレーエージェントの機能は必要ではない

• 下線②とあるので、それが指すものを明確にする
• 下線②を実施しないことを考える、逆に考えると下線②を実施することで防げている問題が、実施しないことによってあらわになってしまうことを明確にする

●現状

• PCのセキュリティ対策が万全であるかをチェックしている
• セキュリティ対策が万全ではないPCには対処を促している

●問題

• せキィリティ対策をしないままのPCが存在する
• 個人のPCをLANに無断で接続されてしまうことが起きている

●対策

• セキュリティルールに反したPCに対して、LANの利用を制限する
• 要件として、セキュリティ対策をしていないPC（本文の不正PC）とプライベートのPC（本文の未登録PC）の通信を許可しないことにする
• 上記、要件を満たすための具体的な実装案が2つ
  • 案1　DHCPサーバとL2SWによる通信制限
  • 案2　専用機器による通信制限
• 案１に下線部②があるので、案１を考える

DHCPサーバからIPアドレスを取得したPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする

• DHCPサーバからIPアドレスを自動的に取得した正常なPCだけが通信可能となるように、各フロアのL2SWでDHCPスヌーピングを有効にする。
• DHCPスヌーピングを有効にすることで、自動的にIPアドレスを取得した正常なPCだけが通信可能となる
• DHCPスヌーピングによって、静的・手動でIPアドレスを設定した不正なPC・未登録PCが通信可能となってしまうことを防いでいる

DHCPスヌーピングを無効にすることで、静的・手動でIPアドレスを設定した不正なPC・未登録PCが通信可能となってしまう（問題）

DHCPスヌーピングを無効にすることで、静的・手動でIPアドレスを設定した不正なPC・未登録PCが通信可能となってしまう

静的・手動でIPアドレスを設定した不正なPC・未登録PCが通信可能となってしまう(40字)

静的・手動でIPアドレスを設定したPCが通信可能となってしまう(31字)

• フロア1、フロア2のL2SWで、DHCPスヌーピングを有効にする
• L2SWからL3SWへと接続するポートにだけ必要な設定

DHCPスヌーピング

• DHCPクライアント（IPアドレスをもらいたいPCなど）とDHCPサーバ（IPアドレスを付与するサーバ）のやりとり・通信をスヌーピング、つまり覗き見することで監視する機能
•  L2SWに実装される
•  L2SWのポートをtrustedポートとuntrustedポートにわける
•  trustedポートは信頼されるポートで、DHCPサーバと通信することが許可されているポート
•  untrustedポートは信頼されないポートで、untrustedポートに不当なDHCPサーバが接続されたとしても、通信することを許可しない
• 覗き見して、監視することで、不正なDHCPサーバが立つことを防ぐことや手動でIPアドレスを設定したPCが通信することを防ぐことができる

L3SWへの接続ポートをtrustedポートにすることで、正当なDHCPサーバ（図1のサーバ室のDHCPサーバ）と通信できるように許可する設定

trustedポートにすることで、正当なDHCPサーバ（図1のサーバ室のDHCPサーバ）と通信できるように許可する設定

trustedポートにすることで、通信できるように許可する設定（31字）

trustedポートにすることで通信を許可する設定（25字）

●問題（問題文の構成での課題）

• せキィリティ対策をしないままのPCが存在する
• 個人のPCをLANに無断で接続されてしまうことが起きている

●対策

• セキュリティルールに反したPCに対して、LANの利用を制限する
• 要件として、セキュリティ対策をしていないPC（本文の不正PC）とプライベートのPC（本文の未登録PC）の通信を許可しないことにする
• 上記、要件を満たすための具体的な実装案が2つ
  • 案1　DHCPサーバとL2SWによる通信制限
  • 案2　専用機器による通信制限

• 案2　専用機器である通信制限装置を導入して、セキュリティルールに反したPCの通信を制限する
• 案2はARPスプーフィングを利用して、LAN上の通信を制限する
• 通信制限装置は、セグメント内のARPパケットを監視する
  • 排除対象PCが送信したARP要求を検出すると、排除対象PCのパケット送信先が通信制限装置となるように偽装したARP応答を送信する
  • 排除対象PC宛てパケットの送信先が通信制限装置となるように偽装したARP要求を送信する

• 排除対象PCが送信したARP要求に対して、「通信制限装置が送信するARP応答」の「送信元ハードウェアアドレス」、つまりMACアドレスを答える
• ↑ARP応答を「通信制限装置が送信する」とある
• 「排除対象PCのパケット送信先が通信制限装置となるように偽装したARP応答を送信する」

• 排除対象PCが送信したARP要求に対して、「通信制限装置が送信するARP応答」の「送信元プロトコルアドレス」、つまりIPアドレスを答える
• ↑ARP応答を「通信制限装置が送信する」とある
• 「排除対象PCのパケット送信先が通信制限装置となるように偽装したARP応答を送信する」
• 排除対象PCが送信したARP要求の送信先プロトコルアドレスが表1からアドレス解決対象のIPアドレスと読み取れる
• つまり、排除対象PCがARP解決したいIPアドレスに対して、正しい機器のMACアドレスを応答するのではなく、通信制限装置のMACアドレスを応答することで、排除対象PCは正しい機器になりすました・偽装した通信制限装置と通信を行うことになる。

• 「通信制限装置が送信するARP要求」の「送信元ハードウェアアドレス」、つまりMACアドレスを答える
• ↑ARP要求を「通信制限装置が送信する」とある
• 「排除対象PC宛パケットの送信先が通信制限装置となるように偽装したARP要求を送信する」

• 「通信制限装置が送信するARP要求」の「送信元プロトコルアドレス」、つまりIPアドレスを答える
• ↑ARP要求を「通信制限装置が送信する」とある
• 「排除対象PC宛パケットの送信先が通信制限装置となるように偽装したARP要求を送信する」
• つまり、排除対象PC宛パケットのIPアドレスに対して、通信制限装置のMACアドレスを応答することで、通信制限装置が排除対象PCになりすまして・偽装するために、ARP要求を送信する

• 「下線③の構成において、」とあるので、下線③を明確にする
• 通信制限装置の最低限の数
• サーバー室を考慮しなくてよい

• 通信制限装置のLANポート数は4つ
• 各LANポートの接続先はすべて異なるセグメントにする
• タグVLANを使用しない
• フロア間の配線はない
• L3SWに通信制限装置を接続する
• L3SW1、L3SW2ではポートVLANを使用

①通信制限装置をL3SWに接続すること
②フロア間の配線はないこと、各フロアに一つずつ通信制限装置が必要
③問題文からサーバ室を考慮しないことになるので、サーバ室のL3SW0には接続しない

• 「下線④について、」とあるので、下線④を明確にする
• 前問の（1）で問われた２台導入する通信制限装置のうち、１台のLANポートの接続先を答える
• ただし、LANポートは小さい順に使用し、使用しないポートは空きと記入する

• 通信制限装置のLANポート数は4つ
• 各LANポートの接続先はすべて異なるセグメントにする
• L3SWに通信制限装置を接続する
• L3SW1、L3SW2ではポートVLANを使用

• 「下線⑤について、」とあるので、下線⑤を明確にする
• 対処用セグメントのPCと通信する他セグメントの機器を答える
• 対処用セグメントを明確にする

• 対処用セグメントとは、不正PCを正常PCに復帰させる対処を行うために、不正PCを接続するセグメント
•  不正PCと正常PCの違いは、セキュリティ対策を施しているかいないかの違い
• PCはメンテナンスサーバを利用して、アップデートを行っている
• PCは内蔵されているセキュリティ検査ツールの結果をPC管理サーバに登録する
• 対処用セグメントはフロア1とフロア2に追加する

①PCはメンテナンスサーバを利用して、アップデートを行っている
②PCは内蔵されているセキュリティ検査ツールの結果をPC管理サーバに登録する

• 対処用セグメントを追加する際に、設定変更が必要な機器が2つ
• またそれらの機器の設定変更内容を答える

• 対処用セグメントとは、不正PCを正常PCに復帰させる対処を行うために、不正PCを接続するセグメント
• 「PCのIPアドレスは、DHCPサーバによって割り当てられる」
• 「ルーティング情報は、全てスタティックに定義してある」

• 「PCのIPアドレスは、DHCPサーバによって割り当てられる」ため、対処用セグメントに配置される不正PCに対して、DHCPサーバで対処用セグメントのIPアドレスを用意する必要がある
• 「ルーティング情報は、全てスタティックに定義してある」ため、L3SW0で対処用セグメントへのルーティング・経路情報を設定追加する必要がある

対処用セグメントに配置される不正PCに対して、DHCPサーバで対処用セグメントのIPアドレスを用意する必要がある（56字）

対処用セグメントに配置される不正PCに対して、対処用セグメントのIPアドレスを用意する必要がある（48字）

対処用セグメントに配置される不正PCに対して、IPアドレスを用意する必要がある（39字）

対処用セグメントの不正PCに、IPアドレスを割り当てる設定（29字）

②L3SW0で対処用セグメントへのルーティング・経路情報を設定追加する必要がある（39字）

対処用セグメントへのルーティング・経路情報を設定追加する必要がある（33字）

対処用セグメントへのルーティング・経路情報を追加する設定（28字）