【伝送交換主任技術者】過去問準拠 予想演習 問011 解説｜思考ルート
IPsecを用いたVPN構築および運用管理において、実務上遵守すべき適切な手順やセキュリティ設定に関する記述のうち、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.011
IPsecを用いたVPN構築および運用管理において、実務上遵守すべき適切な手順やセキュリティ設定に関する記述のうち、最も不適切なものはどれか。
選択肢
IPsecのトンネルモードでは、元のIPパケット全体を暗号化および認証し、新たなIPヘッダを付加してルータ間やサイト間でセキュアなカプセル化通信を行う。
セキュリティプロトコルとしてAHを用いる場合、認証と改ざん検知の機能は提供されるが暗号化機能は持たないため、データの秘匿が必要な場合はESPを使用する。
ファイアウォールやNAT装置が介在する環境でIPsec通信を行う際は、カプセル化やポート番号500および4500番等の通過設定を確認しトラブルシューティングを行う。
トランスポートモードはルータ間のサイト間接続において網全体のIPヘッダを隠蔽するために使用され、エンド・ツー・エンドのホスト間通信にはトンネルモードが適用される。
正解と解説（思考ルート）
【正解】 選択肢 4
■【設問の意図と背景】
ネットワーク層のセキュリティを担うIPsecのトンネルモードとトランスポートモードの適用範囲や、運用時の実務対応について正確な知識を問う。
■【正解の根拠とメカニズム】
選択肢4の記述は逆である。ルータ間やサイト間を接続して網全体のIPヘッダを隠蔽・保護するのはトンネルモードであり、トランスポートモードはペイロードのみを保護するため主にエンド・ツー・エンドのホスト間通信に用いられる。
■【各選択肢の徹底検証】
・選択肢1：トンネルモードは元パケット全体を暗号化・認証し新IPヘッダを付加してサイト間でカプセル化するため正しい。
・選択肢2：AHは認証と完全性のみで暗号化を持たず、秘匿にはESPを用いるため正しい。
・選択肢3：NATやFW環境ではUDPポート500/4500等の通過設定確認が不可欠であり正しい。
・選択肢4：サイト間接続に用いるのはトンネルモードであり、記述が逆であるため不適切。
■【本番での即断ポイント】
サイト間（ルータ間）＝トンネルモード、ホスト間（エンド端）＝トランスポートモードという基本原則を瞬時に思い出すこと。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。