情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度秋期 午前Ⅱ 問11: VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると，セグメントを分けない場合に比べ

正解

イ. スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

問題の解説

VLANはスイッチのポートを論理的なグループ(セグメント)に分割し、各VLANを別々のブロードキャストドメインにする機能。セグメントを分けるとブロードキャストの到達範囲がVLAN内に限定され、ARP応答などのアドレス情報が無関係な機器へ漏れにくくなる。よってイが正しい。実務では部門分離や攻撃の横展開抑止に使われ、VLAN間はL3で制御する。

選択肢ごとの解説

• アVLANはブロードキャスト境界を作るだけでICMPを一律遮断しないため、この記述は誤り。
• イブロードキャストの到達範囲をVLAN内に制限しアドレス情報の不要な流出を抑える点が正解。
• ウMACアドレスで接続可否を判別するのはポートセキュリティの機能で、VLAN本来の効果ではない。
• エポートごとに特定IPの接続だけ許可するのは別のアクセス制御で、VLANの効果とは異なる。