CCNA-123 · 理解確認
VPN Fundamentals · 理解確認
試験項目 4.5 · 20問
VPNの主目的として最も適切なのはどれか。
B. Peer Authenticationだけを行いData Trafficは保護しない
C. IPsec SAの確立だけでRemote NetworkへのRouteも自動生成する
D. VPN Typeに関係なくTransport Modeへ固定する
答えと解説
答え：A
VPNはUntrusted/Public Network上に保護された論理通信Pathを提供します。
Internet越しに拠点やRemote Userの対象Trafficを保護したい。最も適切な考え方はどれか。
B. 保護対象Trafficを暗号化・認証可能なVPN Tunnelへ通過させる
C. Application Endpointを必ずIPsec Peer Addressへ変更する
D. Remote AccessでもSite-to-SiteでもModeをTransportへ固定する
答えと解説
答え：B
VPN TunnelはUntrusted Network越しの対象Trafficを保護するために利用します。
IPsecで通信内容を第三者から読まれにくくするSecurity Serviceはどれか。
B. Peer Authentication
C. Confidentiality
D. Anti-Replay
答えと解説
答え：C
この設問では「IPsec Confidentiality」を判断するため、Confidentialityは通信内容の秘匿を目的とします。
Packet CaptureでPayloadを第三者が読めない状態にしたい。直接必要なSecurity Serviceはどれか。
B. Integrityによる改ざん検出
C. Peer Authenticationによる相手確認
D. Confidentialityによる内容の秘匿
答えと解説
答え：D
Packet内容を読めなくする要件はConfidentialityです。
Transit中のPacket改ざんを検出するSecurity Serviceはどれか。
B. Confidentiality（内容秘匿）
C. Peer Authentication（相手確認）
D. Anti-Replay（再送検出）
答えと解説
答え：A
この設問では「IPsec Integrity」を判断するため、Integrityは通信途中で内容が変更されていないことを確認します。
受信Packetの内容がTransit中に改ざんされたか検出したい。最も直接関係するSecurity Serviceはどれか。
B. Integrityによる改ざん検出
C. Confidentialityによる内容の秘匿
D. Peer Authenticationによる相手確認
答えと解説
答え：B
Transit中の改ざん検出はIntegrityの責任です。
VPN接続相手が正当なPeerかを確認する概念はどれか。
B. Routing Convergence
C. Peer Authentication
D. Address Translation
答えと解説
答え：C
この設問では「IPsec Peer Authentication」を判断するため、Peer Authenticationは接続相手の正当性を確認します。
VPN Negotiation時に、想定したGateway本人と通信していることを確認したい。最も関係するSecurity Serviceはどれか。
B. Anti-Replayによる再送検出
C. Confidentialityによる内容の秘匿
D. Peer Authenticationによる相手確認
答えと解説
答え：D
VPN Peerの正当性確認はPeer Authenticationです。
過去に取得された有効なIPsec Packetの再送を検出・拒否するSecurity Serviceはどれか。
B. Confidentiality
C. Integrity
D. Peer Authentication
答えと解説
答え：A
過去Packetの再送攻撃への対策はAnti-Replayです。
受信側のReplay Windowが進んだ後、既に処理済みのSequence Numberを持つPacketが再度届いた。主に働く仕組みはどれか。
B. Anti-Replayで重複したSequenceを拒否する
C. ConfidentialityでPayloadを再暗号化する
D. IKEでRouting Tableを再作成する
答えと解説
答え：B
Sequence NumberとReplay Windowによる重複Packetの拒否はAnti-Replayの具体的な動作です。
Site-to-SiteでHost A→Host BのTrafficをGateway A/BがIPsecで保護する。Tunnel Endpointはどれか。
B. Host AとGateway B
C. Gateway AとGateway B
D. Host BとGateway A
答えと解説
答え：C
Gateway A/BがIPsec PeerとしてTunnelを終端し、Host A/BはOriginal TrafficのEndpointです。
Outer IP HeaderのSource/DestinationがGateway A/B、Inner HeaderがHost A/Bの場合、Host A/Bの役割はどれか。
B. IKE Negotiationだけを行うControl Peer
C. VPN HeadendとしてRemote Userを終端するEndpoint
D. Original Application CommunicationのEndpoint
答えと解説
答え：D
Inner HeaderのHost A/BはOriginal Communication Endpointです。
IPsec Tunnelは確立済みだがRemote SubnetへのRouteがない。判断として適切なのはどれか。
B. IPsec SAがRemote SubnetへのRouteも必ず作る
C. ESPがProtected NetworkへのRouteを自動生成する
D. IKEがRouting Policyを自動補完する
答えと解説
答え：A
IPsecの確立とRoutingは別責任です。
VPN SAはUpだが宛先Networkへ到達できない。次に確認すべき観点はどれか。
B. Protected NetworkへのRoutingやPolicyを確認する
C. Tunnel ModeをRemote Accessへ名称変更する
D. Anti-Replay Windowだけを無効化する
答えと解説
答え：B
SA UpでもRouting/Policyが不正ならEnd-to-End通信は失敗します。
IPsec Security Serviceについて最も正確な説明はどれか。
B. IPsecはConfidentialityだけを提供し他Serviceは扱わない
C. 利用Protocolや設定により有効なSecurity Serviceは異なり得る
D. Anti-Replayが無効ならIPsec SA自体は絶対に作れない
答えと解説
答え：C
ESP/AHや設定条件により利用されるSecurity Serviceは異なります。
Anti-Replayの扱いとして最も正確なのはどれか。
B. Confidentialityそのものを提供する暗号方式である
C. Peer Authenticationそのものを置き換える機能である
D. 一般的なSecurity Serviceだが実装や設定により無効化可能な場合がある
答えと解説
答え：D
Anti-Replayは一般的に利用されますが、絶対に無効化不能とは限りません。
VPN Tunnelを利用する代表的なNetwork環境はどれか。
B. 既に物理的に隔離され外部経路を持たない同一Host内部
C. IPsec Peerを必要としない単一Process内部
D. Security Associationを使用しないLocal IPCだけ
答えと解説
答え：A
VPNはUntrusted/Public Network越しの通信保護に代表的に利用されます。
Public Networkを経由してPrivate Trafficを保護する構造として正しいのはどれか。
B. 保護対象TrafficをVPN Tunnelへ通過させる
C. Application Endpointを全てVPN Peer Addressへ変更する
D. IKE SAだけでData Trafficを転送する
答えと解説
答え：B
VPNはPublic Network自体をPrivate化するのではなく、その上に保護された論理Pathを作ります。
User Deviceと企業VPN Gatewayの間に個別のSecure Connectionを作るVPN Typeはどれか。
B. Transport Mode
C. Remote Access VPN
D. Tunnel Mode
答えと解説
答え：C
User/EndpointとHeadendを接続するのはRemote Access VPNです。
拠点LAN同士をGateway間で継続的に接続するVPN Typeはどれか。
B. Transport Mode
C. Host-to-Host IPsec
D. Site-to-Site VPN
答えと解説
答え：D
Gateway間でNetwork同士を結ぶのはSite-to-Site VPNです。