CCNA-125 · 理解確認
IPsec Site-to-Site VPN · 理解確認
試験項目 4.5 · 20問
Site-to-Site VPNの典型Topologyはどれか。
B. Remote Endpoint → Headend → Private Resource
C. IPsec Peer自身 → Transport Mode → IPsec Peer自身
D. Single Host → Remote Access Headend → Single Host
答えと解説
答え：A
Site-to-SiteはGateway間で背後Network同士を接続します。
2拠点のLANをInternet越しに継続的に接続したい。最も適切なVPN Typeはどれか。
B. Site-to-Site VPN
C. Transport ModeというVPN Type
D. Tunnel ModeというVPN Type
答えと解説
答え：B
Network-to-Networkの要件はSite-to-Siteです。
Site-to-SiteでIPsec Peerになるのは通常どれか。
B. Protected Subnet全体
C. 各SiteのVPN Gateway
D. Remote User Endpoint
答えと解説
答え：C
Gateway同士がIPsec PeerとしてTunnelを終端します。
Host A→Host BのTrafficをRouter A/BがIPsecで保護し、Outer HeaderはRouter A/BのPublic Addressだった。Peer Addressはどれか。
B. Protected SubnetのNetwork Address
C. Application ServerのService Address
D. Router A/BのVPN外側Address
答えと解説
答え：D
Outer HeaderのRouter AddressがSite-to-SiteのPeer/Tunnel Endpointを表します。
192.168.10.0/24と192.168.20.0/24がVPNで保護され、Peerは203.0.113.1/198.51.100.1。Protected Networkはどれか。
B. 203.0.113.1 と 198.51.100.1
C. 203.0.113.0/24 と 198.51.100.0/24
D. VPN Peer自身のManagement Addressだけ
答えと解説
答え：A
Private Subnet PairがProtected Networkで、Public Peer AddressはTunnel Endpointです。
Outer HeaderがPublic Peer Address、Inner HeaderがPrivate Host Addressの場合、Inner Addressは何を表すか。
B. Original TrafficのEndpoint
C. IKE Negotiation Context
D. IPsec SA Identifier
答えと解説
答え：B
Inner HeaderはOriginal CommunicationのEndpointを表します。
Site-to-Site VPNで背後LAN Hostに通常必要ないものはどれか。
B. Protected Networkへの通常のRouting
C. 各Hostへの個別IPsec Client
D. Gatewayを経由するPath
答えと解説
答え：C
Site-to-SiteではGatewayがHostの代わりにIPsec処理を行うため、各Hostに個別Clientは通常不要です。
Branch PCにVPN SoftwareがなくてもSite-to-Site通信できている。最も適切な説明はどれか。
B. Protected SubnetがIKE Peerとして直接Negotiationする
C. 各ApplicationがESPを個別生成する
D. Gatewayが背後HostのTrafficを代理してIPsec処理する
答えと解説
答え：D
Site-to-SiteではVPN Gatewayが背後HostのIPsec処理を代理します。
Gatewayが背後NetworkのPacketを代理し、Original Packetを内包してPeer間へ送る。典型的に使うModeはどれか。
B. Transport Mode（Original Headerを維持）
C. Remote Access（VPN Type）
D. Site-to-Site（VPN Type）
答えと解説
答え：A
Gatewayが背後Trafficを代理する場合はOriginal Packetを内包できるTunnel Modeが典型です。
Site-to-SiteでGateway A/BがPeer、Host A/BがOriginal Endpointである。Tunnel Modeがこの構造に適する理由はどれか。
B. GatewayをOuter PeerにしOriginal PacketをInner保持できる
C. Transport Modeだけで背後Hostを保護する
D. IKEがOriginal PacketをData Planeとして運ぶ
答えと解説
答え：B
GatewayをOuter PeerにしつつOriginal Host PacketをInnerに保持できることがTunnel Modeの利点です。
Site-to-Site TunnelがUpでもRemote LANへ通信できない。次に確認すべきものはどれか。
B. Peer Authentication方式だけを再確認する
C. Remote SubnetへのRoute / Policy
D. ESP/AHのProtocol番号だけを再確認する
答えと解説
答え：C
Tunnel確立とProtected NetworkへのRouting/Policyは別です。
GatewayにRemote Protected Subnetへの経路がない。IPsec SAが存在していてもどうなるか。
B. AHがProtected Routeを自動広告する
C. ESPがRouting Tableを自動修正する
D. End-to-End通信は失敗し得る
答えと解説
答え：D
RoutingがなければProtected Trafficを適切に転送できません。
Tunnel Upを確認できた。これだけで直接確認できる範囲として最も適切なのはどれか。
B. Remote Application Serviceまで正常であること
C. Protected Networkへの全Routeが最適であること
D. Application用Policyが全てPermitであること
答えと解説
答え：A
Tunnel UpはVPN Peer/SAの状態を示しますが、End-to-End正常までは保証しません。
TunnelはUp、Routeも正常だがServer Serviceが停止している。判断はどれか。
B. VPN外のApplication Service障害も切り分ける
C. Tunnel ModeをTransport Modeへ変更する
D. IKE SAを削除すれば必ず直る
答えと解説
答え：B
VPNやRoutingが正常でもApplication Service障害は別に存在します。
Site-to-Site VPNで保護対象を表すものとして適切なのはどれか。
B. Peer自身のManagement Trafficだけに固定する
C. Gateway背後の指定Network間TrafficをPolicyで選ぶ
D. IKE Negotiation Packetだけを保護する
答えと解説
答え：C
Site-to-SiteのProtected Trafficは指定Network/Selector/Policyに従います。
Site Aの一部SubnetだけがSite BへのVPN対象として定義されている。他Subnetについて正しいのはどれか。
B. ESP SAが全Subnetを自動的にSelectorへ追加する
C. IKE Negotiationが全RouteをTunnel対象へ変更する
D. Policy次第ではTunnel保護対象外になり得る
答えと解説
答え：D
Tunnelの存在だけで全Subnetが自動的に保護対象になるわけではありません。
2つのBranch Gateway間を継続的に接続する要件はどちらか。
B. Remote Access VPN
C. Host-to-Host Transportのみ
D. Client-to-Headend VPNのみ
答えと解説
答え：A
Gateway間の拠点接続はSite-to-Siteです。
各Userが個別Tunnelを張るのではなく、Gateway間に1つの拠点間VPNを維持してLAN Trafficを通す。最も一致するのはどれか。
B. Site-to-Site VPN
C. Client-to-Headend Remote Access
D. Peer自身間Transportのみ
答えと解説
答え：B
Gateway間でNetwork Trafficを透過的に保護するのはSite-to-Siteです。
HQ 10.0.0.0/24とBranch 10.1.0.0/24を両拠点Routerで保護するScenarioはどれか。
B. Transport Mode（Peer自身間）
C. Site-to-Site VPN（Gateway間）
D. Remote Access VPN（Client単位）
答えと解説
答え：C
Gateway背後のNetwork同士を保護する構成はSite-to-Siteです。
各SiteのUserはVPN Client操作をせず、Gatewayが自動的に拠点間Trafficを保護している。この運用上の特徴はどれか。
B. Host自身が全てIPsec Peerになる方式
C. ApplicationごとにTransport Modeを手動選択する方式
D. Site-to-SiteでGatewayが背後Hostを代理する方式
答えと解説
答え：D
Site-to-SiteではGatewayが背後Hostを代理してVPN処理します。