平成23年度 特別 午前 問44
セキュリティ
パケットフィルタリングの問題
社内ネットワークとインターネットの接続点にパケットフィルタリング型ファイアウォールを設置して，社内ネットワーク上の PC からインターネット上の Web サーバ（ポート番号80）にアクセスできるようにするとき，フィルタリングで許可するルールの適切な組合せはどれか。
〔選択肢の4つの表（いずれも列は 送信元・あて先・送信元ポート番号・あて先ポート番号）〕 ア | PC → Web サーバ | 80 | 1024 以上 |
| Web サーバ → PC | 80 | 1024 以上 |
イ | PC → Web サーバ | 80 | 1024 以上 |
| Web サーバ → PC | 1024 以上 | 80 |
ウ | PC → Web サーバ | 1024 以上 | 80 |
| Web サーバ → PC | 80 | 1024 以上 |
エ | PC → Web サーバ | 1024 以上 | 80 |
| Web サーバ → PC | 1024 以上 | 80 |
（各行は「送信元 → あて先 ／ 送信元ポート番号 ／ あて先ポート番号」の順）
- ア（上記アの表）
- イ（上記イの表）
- ウ（上記ウの表）
- エ（上記エの表）
答えと解説を見る
✓ これが正解ウ（上記ウの表）
解説
行きと帰りで80番が付く側が入れ替わります。
通信を始めるのは社内の PC の側です。PC は自分の側で空いている番号を一つ選んで送信元とし、あて先には相手のサービスに割り当てられた番号を書きます。Web サーバのポート番号は80ですから、行きのパケットは送信元が1024以上、あて先が80です。応答として返ってくるパケットは、この二つがそのまま入れ替わった形になり、送信元が80、あて先が1024以上になります。パケットフィルタリングで許可を書くときは、この二つの向きの両方をそろえて書く必要があります。判定の軸はここだけです。行きの向きで80がどちら側に置かれているか、そして帰りの向きでそれがきちんと入れ替わっているかを見ます。
ほかの選択肢はなぜ違うのか
- ア（上記アの表）：戻ってくる側の一行は正しく書けていますが、社内から出ていく側の一行で、サービスに割り当てられた番号が発信の側に置かれています。これでは要求を出す立場と受ける立場が逆になってしまいます。
- イ（上記イの表）：二つの行のどちらも、発信の側と受け取りの側の番号が入れ替わった並びになっています。実際に流れるパケットとは反対の書き方なので、この組合せでは要求も応答も許可されません。
- エ（上記エの表）：社内から出ていく側の一行は正しく書けていますが、戻ってくる側の一行が出ていく側と同じ並びのまま置かれています。応答は発信の側にサービスの番号が立つはずなので、返信が落とされてしまいます。
この問題の用語
- パケットフィルタリング通信を小さな単位ごとに見て、通すか止めるかを決める方式です。あて先や送信元の番号を条件にして、出入りを制限します。
- ポート番号同じ機器の中で、どの用途の通信かを見分けるための番号。住所が建物にあたるなら、これは部屋番号にあたります。
- ファイアウォール内と外の境目に置いて、通してよい通信だけを選び、残りを遮る仕組み。どの相手のどの用途かという条件を見て判断します。
出典：平成23年度 特別 基本情報技術者試験 午前 問44（改変：原典の図表をテキストに書き起こした）
同じ用語が出る問題
- 令和5年度 科目A 問10：WAFの設置場所（ファイアウォール）
- 令和元年度 秋期 午前 問42：DMZに関する問題（ファイアウォール）
- 令和元年度 秋期 午前 問34：ポート番号に関する問題（ポート番号）
- 令和元年度 秋期 午前 問33：グローバルIPアドレスの問題（パケットフィルタリング）
- 平成30年度 春期 午前 問44：SMTPに関する問題（パケットフィルタリング）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）