【伝送交換主任技術者】過去問準拠 予想演習 問091 解説｜思考ルート
IPsecを用いたVPNを構築する際の実務運用およびトラブルシューティングにおける手順・遵守事項として、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.091
IPsecを用いたVPNを構築する際の実務運用およびトラブルシューティングにおける手順・遵守事項として、最も不適切なものはどれか。
選択肢
ファイアウォールやNAT装置が設置されたネットワーク環境を経由してIPsec通信を行う場合、NATトラバーサルを有効にしてUDPの500番ポートおよび4500番ポートの通信許可を設定する。
拠点間のルータ間でIPsecのトンネルモードを設定する際、暗号化アルゴリズムや認証アルゴリズム、および事前共有鍵や証明書などのセキュリティパラメータが双方の機器で完全に一致していることを確認する。
パケットの秘匿性（暗号化）を担保せずに、通信データの認証と改ざん検知（完全性保証）のみを適用したい場合には、ESPではなくAHプロトコルを選択して適用する。
トランスポートモードは、ルータ間を結ぶサイト間VPNの構築において、元のIPパケット全体を暗号化して新しいIPヘッダを付加するために最も頻繁に用いられる標準的な通信モードである。
正解と解説（思考ルート）
【正解】 選択肢 4
■【設問の意図と背景】
IPsecを用いたVPN構築において、通信モード（トンネルモードとトランスポートモード）やプロトコル（AHとESP）の適用要件を正しく理解し、現場での誤った設計を防ぐ実務対応能力を問う。
■【正解の根拠とメカニズム】
ルータ間を結ぶサイト間VPNでは、元のIPパケット全体をカプセル化し新しいIPヘッダを付加する「トンネルモード」を使用する。トランスポートモードはペイロードのみを保護するため、主にホスト間のエンド・ツー・エンド通信に用いられる。
■【各選択肢の徹底検証】
・選択肢1：NAT環境下でのIPsecでは、UDP 500番や4500番を使ったNATトラバーサル設定が不可欠であり適切である。
・選択肢2：IPsecのSA確立には双方の暗号・認証アルゴリズムや鍵情報の完全な一致が必要であり適切である。
・選択肢3：AHは暗号化を行わず認証と完全性保証のみを提供するプロトコルであり、秘匿性不要時の選択として適切である。
・選択肢4：サイト間VPNで用いられるのはトンネルモードであり、トランスポートモードとする記述は誤りである。
■【本番での即断ポイント】
サイト間VPN＝トンネルモード、ホスト間通信＝トランスポートモードという基本対比を即座に思い出すこと。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。