出題範囲
- Automation and Programmability
- IP Connectivity
- Security Fundamentals
- Network Access
- Network Fundamentals
- IP Services
例題に挑戦
スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1
DHCPスヌーピング機能が有効なスイッチにおいて、信頼できない（untrusted）ポートとして設定されたインターフェースの動作として適切なものはどれですか。
- クライアントからのDHCP Discoverメッセージをすべて破棄する
- DHCP OfferメッセージやDHCP ACKメッセージを受信した際にそのパケットを破棄する
- DHCP Requestメッセージを受信した際に送信元MACアドレス学習を停止する
- バインディングデータベースに登録されていないIPアドレスを持つすべてのパケットを転送する
- 受信したすべてのDHCPパケットに対してオプション82情報を強制的に付加する
解答と解説を見る
正解: DHCP OfferメッセージやDHCP ACKメッセージを受信した際にそのパケットを破棄する
正解は「DHCP OfferメッセージやDHCP ACKメッセージを受信した際にそのパケットを破棄する」です。DHCPスヌーピングは、ネットワーク内に攻撃者が設置した不正なDHCPサーバから誤ったIPアドレス情報が配布されるのを防ぐセキュリティ機能です。この機能を有効にすると、ポートを「trusted（信頼できる）」と「untrusted（信頼できない）」に分類します。信頼できないポートでは、DHCPサーバが送信する応答メッセージであるDHCP OfferやDHCP ACKなどのパケットを受信した場合、そのパケットを不正なものとみなして破棄します。通常、エンドユーザが接続されるポートは信頼できないポートとして設定し、正規のDHCPサーバが接続されているポートのみを信頼できるポートとして設定します。
例題2
複数の内部プライベートIPアドレスを、単一のパブリックIPアドレスに変換し、ポート番号を利用して各セッションを識別する技術はどれですか。
- ポリシーベースルーティング
- ダイナミックNAT
- スタティックNAT
- NATパススルー
- PAT
解答と解説を見る
正解: PAT
正解は「PAT」です。PAT（Port Address Translation）は、NATオーバーロードとも呼ばれる技術で、複数の内部ローカル（プライベート）IPアドレスを、1つの内部グローバル（パブリック）IPアドレスに変換します。この際、送信元のポート番号をそれぞれ異なる値に書き換えることで、戻りのパケットがどの内部ホスト宛てであるかを識別します。これにより、限られた数のパブリックIPアドレスを効率的に利用することが可能です。一方、スタティックNATは1対1の固定的な変換を行い、ダイナミックNATはアドレスプールから空いているアドレスを1対1で動的に割り当てますが、PATのように1つのアドレスを共有して複数の通信を識別することはできません。
重要用語
- ACL (Access Control List)
- ルータやスイッチを通過するパケットを、送信元・宛先IPアドレスやポート番号などの条件に基づいて許可または拒否するフィルタリング機能です。ネットワークのトラフィック制御やセキュリティ確保のために不可欠な技術であり、標準ACLと拡張ACLの2種類があります。試験では、設定順序や「暗黙の拒否」といった動作特性の理解が非常に重要となります。
- Dynamic ARP Inspection (DAI)
- ARPパケットの内容を検証することで、ARPスプーフィング（なりすまし）攻撃を防ぐレイヤ2セキュリティ機能です。DHCPスヌーピングで作成されたバインディングデータベースを参照し、不正なIPアドレスとMACアドレスの組み合わせを持つARPパケットを破棄します。信頼できるポートと信頼できないポートを区別して設定することが運用のポイントです。
- DHCP Snooping
- 信頼できないポートからの不正なDHCPメッセージを遮断し、正規のDHCPサーバのみがIPアドレスを割り当てられるようにする機能です。IPアドレスとMACアドレスの対応関係を「バインディングテーブル」として記録し、この情報をDAIなどの他のセキュリティ機能と連携させて、ネットワーク全体の安全性を高める役割を果たします。
- Port Security
- スイッチの物理ポートに接続できるデバイスをMACアドレスに基づいて制限する機能です。許可されていないデバイスが接続された場合に、ポートをシャットダウンしたり通信をブロックしたりするアクションを設定できます。ポートに接続可能な最大MACアドレス数を指定することで、不正な接続やMACアドレステーブル溢れ攻撃を防止するのに有効です。
- VPN (Virtual Private Network)
- 公衆ネットワーク上に仮想的な専用線を構築し、安全にデータを送受信するための技術です。暗号化や認証技術を組み合わせることで、データの盗聴や改ざんを防ぎます。拠点間を結ぶサイト間VPNと、個人の端末から接続するリモートアクセスVPNがあり、CCNAではIPsecやSSL/TLSといったプロトコルの基本的な仕組みが問われます。
- MFA (Multi-Factor Authentication)
- ユーザの身元を確認するために、2つ以上の異なる要素（パスワードなどの知識、スマホなどの所持、指紋などの生体）を組み合わせて認証を行う手法です。パスワードが流出した場合でも、他の要素による認証が必要なため不正アクセスを効果的に防げます。現代のネットワークセキュリティにおいて、ID管理の安全性を高める不可欠な概念です。
- Native VLAN
- 802.1Qトランクリンクにおいて、タグが付加されていないフレームが割り当てられる特定のVLANのことです。デフォルトではVLAN 1ですが、セキュリティ対策として未使用のVLAN IDに変更することが推奨されます。これは、ネイティブVLANを悪用して異なるVLANへ不正にアクセスする「VLANホッピング攻撃」を防ぐための基本的な対策です。
- AAA (Authentication, Authorization, and Accounting)
- ネットワークリソースへのアクセスを管理するフレームワークです。Authentication（認証）、Authorization（認可）、Accounting（認可）の3要素で構成されます。RADIUSやTACACS+といったプロトコルを使用して、ユーザが誰か、何ができるか、何をしたかを中央集中型で管理し、大規模なネットワークの安全な運用を支えます。
Cisco Certified Network Associate (CCNA)の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
