平成31年度春期 情報処理安全確保支援士 午前Ⅱ 問12

VLANは“部屋分け”して余計な通信を広げない仕組みだよ

レイヤ3スイッチのポートを VLAN で分けると、同じスイッチにつながっていても、ネットワーク上は別々の部屋に分けたように扱えるよ。すると、ブロードキャストという“みんな聞いて！”の通信が、その VLAN の中だけに届くようになるんだ。だから、アドレス情報などが関係ない端末にまで広がるのを抑えられるよ。ICMP を全部止める話でも、MAC アドレスだけで接続を許可・拒否する話でもない点に注意しよう。

この問題で問われていること

VLAN を“本人確認をする認証機能”として見るのではなく、“通信が届く範囲を分ける仕切り”として理解できるかがポイントだよ。

Security Effect of VLAN Segmentation

VLAN segmentation reduces unnecessary exposure by limiting the broadcast domain rather than by providing endpoint authentication by itself

split broadcast domains\nlimit spread of address information\nnot an authentication function\nnot simply ICMP blocking

確認ポイント

• VLAN はブロードキャスト範囲分割だと押さえる。
• 認証機能と混同しない。
• 情報流出範囲の縮小で考える。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。VLANは部屋を分ける仕組みであって、ICMP、つまりpingなどの通信を全部止める防火扉ではないんだ。ICMPを遮断したいなら、ファイアウォールやACLのような別のルール設定が必要だよ。

選択肢イ（正解）

これは正解だよ。VLANでポートをグループ分けすると、社内放送のスピーカーを部署ごとに分けるみたいに、ブロードキャストが同じグループ内だけに届くようになるんだ。だから、ARPなどで出るアドレス情報が関係ないPCにまで広がりにくくなり、不要な情報流出のリスクを減らせるよ。

選択肢ウ

これは不正解だよ。MACアドレスで「このPCは入っていい？」と判定するのは、入口で社員証をチェックするような仕組みで、VLANでポートをグループ分けすること自体の効果ではないんだ。VLANは部屋分けに近く、入室者の本人確認までは別の機能で行うよ。

選択肢エ

これは不正解だよ。VLANのポート分けは「この席は営業部、この席は開発部」みたいなグループ分けであって、「この席にはこのIPアドレスのPCだけ座ってよし」と細かく許可する仕組みではないんだ。IPアドレスで接続可否を制御するなら、別の認証・制御機能が必要だよ。