応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問45: VLAN 機能をもった 1 台のレイヤー3 スイッチに 40 台の PC を接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき，スイッチ

問題本文

VLAN 機能をもった 1 台のレイヤー3 スイッチに 40 台の PC を接続している。スイッチのポートをグループ化して複数のセグメントに分けたとき，スイッチのポートをセグメントに分けない場合に比べて得られるセキュリティ上の効果の一つはどれか。

選択肢

• ア.スイッチが，PC から送出される ICMP パケットを同一セグメント内も含め，全て遮断するので，PC 間のマルウェア感染のリスクを低減できる。
• イ.スイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
• ウ.スイッチが，PC の MAC アドレスから接続可否を判別するので，PC の不正接続のリスクを低減できる。
• エ.スイッチが，物理ポートごとに，決まった IP アドレスをもつ PC の接続だけを許可するので，PC の不正接続のリスクを低減できる。

正解

イ. スイッチが，PC からのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

解説

VLAN はスイッチのポートをグループ化して論理的に複数のセグメント（ブロードキャストドメイン）に分割する機能である。同一 VLAN 内にしかブロードキャストパケットが届かなくなるため、ARP 要求などで流れる IP アドレスや MAC アドレスといったアドレス情報が、無関係な他セグメントの PC まで届くことを防げる。したがって“ブロードキャストパケットの到達範囲を制限し、アドレス情報の不要な流出リスクを低減する”としたイが正解となる。

選択肢ごとの解説

• ア.VLAN は同一セグメント内の通信は通すのが本来の機能であり、ICMP パケットを同一セグメント内も含め全て遮断するわけではないため誤り。
• イ.正しい。VLAN はブロードキャストの到達範囲をセグメント内に限定するため、ブロードキャストで広がるアドレス情報が不要に他セグメントへ流出するリスクを下げられる。
• ウ.MAC アドレスで接続可否を判別するのはポートセキュリティや認証の機能であり、ポートをグループ化する VLAN 本来の効果ではないため誤り。
• エ.物理ポートごとに特定 IP アドレスの PC だけ許可するのは VLAN によるセグメント分割の効果ではないため誤り。VLAN はあくまで論理的なセグメント分割である。