CCNA-126 · 理解確認
IPsec Protocol / Transport Modes · 理解確認
試験項目 4.5 · 36問
IKEの主責任はどれか。
B. Application Dataの暗号化と認証
C. Tunnel/Transport ModeのPacket処理
D. Protected NetworkへのRouting生成
答えと解説
答え：A
IKEはPeer AuthenticationとKey/Security ParameterのNegotiationを担います。
IPsec PeerがAlgorithmやKey Materialを合意し、Data SAを作る前段階で中心となるProtocolはどれか。
B. IKE
C. AH
D. IPsec Transport Mode
答えと解説
答え：B
IPsec SAのNegotiationを支援するControl Plane ProtocolはIKEです。
IKEとESP/AHの関係として正しいのはどれか。
B. ESP/AHがPeer Authenticationだけを行いIKEはDataを運ぶ
C. IKEがNegotiationし、ESP/AHがData Trafficを保護する
D. IKEとESP/AHは同じProtocol名の別表記である
答えと解説
答え：C
IKEはNegotiation/Key Management、ESP/AHはData Protectionを担います。
IKE Negotiation完了後、Application PacketのData Protectionに直接使われるProtocol群はどれか。
B. Tunnel / Transport（IPsec Mode）
C. Remote / Site-to-Site（VPN Type）
D. ESP / AH（Data Protection Protocol）
答えと解説
答え：D
Application DataのIPsec保護に使うProtocolはESP/AHです。
IKE用Negotiation ContextとIPsec Data SAの関係として正しいのはどれか。
B. IKE SAだけでESP/AH Data Trafficも直接保護する
C. IPsec Data SAはTunnel/Transport Modeそのものである
D. IKE SAはRemote Access/Site-to-SiteのVPN Typeそのものである
答えと解説
答え：A
IKE用ContextとESP/AHによるData SAは役割を分けて理解します。
IKE Negotiationは成立したがESPでData Packetを保護するSAがまだない。次に不足しているものはどれか。
B. IPsec Data SA（ESP用SA）
C. Transport Modeの名称だけ
D. Remote AccessというVPN Typeだけ
答えと解説
答え：B
ESP/AHでDataを保護するにはIPsec Data SAが必要です。
Confidentialityを提供可能なIPsec Protocolはどれか。
B. IKE
C. ESP
D. Transport Mode
答えと解説
答え：C
Confidentialityを提供できるIPsec Data ProtocolはESPです。
Packet CaptureでPayloadの内容を第三者から秘匿する必要がある。選ぶべきData Protection Protocolはどれか。
B. IKE
C. Transport Mode
D. ESP
答えと解説
答え：D
PayloadのConfidentiality要件にはESPを利用します。
ESPについて正しい説明はどれか。
B. Confidentialityだけを提供しIntegrityは利用できない
C. Peer AuthenticationとKey Exchangeだけを行う
D. Original IP Header全体を必ず暗号化する
答えと解説
答え：A
ESPはConfidentialityに加えIntegrity/Authentication等も利用できます。
ESP SAでAuthentication機能を利用している。受信側が確認できる性質として適切なのはどれか。
B. Protected DataのIntegrity / Authentication
C. IKE PeerのPasswordそのもの
D. VPN TypeがRemote AccessかSite-to-Siteか
答えと解説
答え：B
ESPのAuthentication機能はProtected DataのIntegrity/Authenticationに関係します。
ESPでReplay Packet対策として利用できるSecurity Serviceはどれか。
B. Peer Authentication
C. Anti-Replay
D. Integrityだけ
答えと解説
答え：C
ESPではAnti-Replayを利用できます。
ESP SAのReplay Windowが進んだ後、既に受信済みSequence NumberのPacketが再到着した。主な処理はどれか。
B. Peer Authenticationを最初からやり直す
C. IKE SAだけを削除してPacketは受理する
D. Anti-Replayにより重複Packetとして拒否する
答えと解説
答え：D
Sequence Number/Windowによる重複Packet拒否はAnti-Replayの具体的な動作です。
AHが提供する主なSecurity Serviceはどれか。
B. Confidentiality / Payload Encryption
C. Peer Authentication / Key Negotiation
D. Tunnel / Transport Modeの選択
答えと解説
答え：A
AHはIntegrityとData Origin Authenticationを提供しますがEncryptionはしません。
AH受信側が、Payloadや不変なHeader部分がTransit中に改ざんされていないか検証する。中心となるSecurity Serviceはどれか。
B. Integrity（改ざん検出）
C. Key Negotiation（鍵合意）
D. Tunnel Encapsulation（Packet内包）
答えと解説
答え：B
AHによる改ざん検出の中心はIntegrityです。
AHについて正しいのはどれか。
B. ESPと同じくEncryptionが主責任である
C. Encryption / Confidentialityは提供しない
D. IKE Negotiationだけを行うProtocolである
答えと解説
答え：C
AHはIntegrity/Authentication用でありConfidentialityは提供しません。
Policyが「暗号化は不要だが、送信元認証と改ざん検出は必要」としている。概念的に最も合うProtocolはどれか。
B. IKE（Negotiation）
C. Transport Mode（Encapsulation方式）
D. AH（Integrity / Authentication）
答えと解説
答え：D
Encryptionを要求せずIntegrity/Data Origin Authenticationを重視する概念はAHに一致します。
Tunnel ModeのPacket構造として正しいのはどれか。
B. Original IP HeaderをそのままOuterに使いNew Headerを追加しない
C. Original Payloadだけを保護しInner Headerを持たない
D. IKE HeaderだけをOuter IP Headerとして利用する
答えと解説
答え：A
Tunnel ModeはOriginal Packet全体をInnerとして包み、新しいOuter Headerを追加します。
Packet CaptureでGateway Peer AddressのOuter Headerの内側に、Host間のOriginal IP Packetが確認できた。示すModeはどれか。
B. Tunnel Mode
C. Modeを使わないESP
D. IKE Negotiation Mode
答えと解説
答え：B
Outer/Inner Headerを持ちOriginal Packet全体を内包する構造はTunnel Modeです。
Site-to-SiteのPacket Captureで、Public Gateway AddressがOriginal Host Packetの外側に追加されている。Public Addressの役割はどれか。
B. Protected SubnetのNetwork Address
C. IPsec Tunnel Endpoint / Peer
D. Inner Application Port
答えと解説
答え：C
Outer HeaderはIPsec Tunnel Endpoint/Peerを表します。
Outer Source=203.0.113.1、Outer Destination=198.51.100.1で、InnerにはPrivate Host Addressがある。Outer Addressの意味はどれか。
B. Protected Subnet Selector
C. Application EndpointのService Address
D. VPN Peer / Gateway Address
答えと解説
答え：D
Tunnel ModeのOuter AddressはVPN Peer/Gateway Addressです。
Decapsulation後に現れる10.0.0.10→10.1.0.20のOriginal Packetは、Tunnel Modeで何を表すか。
B. VPN Peer用のOuter Endpoint
C. IKE Negotiation Context
D. IPsec SA Identifier
答えと解説
答え：A
Inner HeaderはOriginal Communication Endpointを保持します。
Inner Source=10.0.0.10、Inner Destination=10.1.0.20で、OuterにはGateway Addressがある。Inner Addressは通常何か。
B. Original Protected Host
C. IKE Peer Identityだけ
D. ESP/AH Protocol Number
答えと解説
答え：B
Inner AddressはOriginal Protected TrafficのHost/Endpointです。
Transport Mode共通の特徴として正しいのはどれか。
B. Site-to-Site専用Modeとして定義する
C. Original Headerを維持しOuter Headerを追加しない
D. AH専用ModeとしてESPでは利用しない
答えと解説
答え：C
Transport ModeはOriginal IP Headerを維持し、通常新しいOuter Headerを追加しません。
2台のIPsec Peer自身がOriginal TrafficのSource/Destinationで、New Outer Headerを増やしたくない。適するModeはどれか。
B. Remote Access VPN
C. Site-to-Site VPN
D. Transport Mode
答えと解説
答え：D
IPsec Peer自身間のTrafficではTransport Modeが典型です。
ESP Transport Modeの保護範囲として適切なのはどれか。
B. Original Packet全体をNew Outer Headerで包みOuter Headerも暗号化する
C. Original IP Headerだけを暗号化しPayloadは保護しない
D. ESP TransportではConfidentialityを利用できない
答えと解説
答え：A
ESP TransportではOriginal IP Headerを維持し、ESPは後続Payload側を保護します。
ESP Transport ModeでConfidentialityを有効にしたPacketを確認した。通常暗号化の中心となる部分はどれか。
B. Original IP Payload側
C. New Outer IP Header
D. IKE Negotiation Header
答えと解説
答え：B
ESP TransportのConfidentialityはOriginal IP Payload側を中心に保護します。
AH TransportでAuthentication計算を考える。不変なOriginal IP Header部分の扱いとして正しいのはどれか。
B. PayloadをConfidentialityで暗号化する
C. 不変なOriginal Header部分もIntegrity対象になり得る
D. Original Packet全体を必ずNew Outer Headerで包む
答えと解説
答え：C
AH Transportでは不変なOriginal IP Header部分もIntegrity/Authenticationに関係します。
「Transport ModeではOriginal IP Headerは一切保護対象にならない」という説明が誤りになる主な理由はどれか。
B. IKEがPeer Authenticationを行うため
C. Tunnel ModeではInner Headerを持つため
D. AH Transportでは不変Header部分もIntegrity対象になり得る
答えと解説
答え：D
Transport Modeの共通点はOriginal Headerを維持することで、AHでは一部HeaderもIntegrity対象です。
Gatewayが背後Network同士を保護する典型Scenarioに適するModeはどれか。
B. Transport Mode（Peer自身間）
C. Remote Access（VPN Type）
D. Site-to-Site（VPN Type）
答えと解説
答え：A
Gatewayが背後Trafficを代理する典型ScenarioではTunnel Modeが適します。
2台のIPsec Peer自身間のTrafficを保護し、Original IP Headerを維持したい。適するModeはどれか。
B. Transport Mode
C. Remote AccessというMode
D. Site-to-SiteというMode
答えと解説
答え：B
Peer自身間のTrafficにはTransport Modeが典型です。
Remote Access / Site-to-SiteとTunnel / Transportの関係として正しいのはどれか。
B. ESP/AHがVPN Typeの別名になる
C. VPN TypeとIPsec Modeは独立した判断軸である
D. IKEがVPN TypeからModeを固定決定する
答えと解説
答え：C
VPN TypeとIPsec Modeは別軸です。
あるVPNがSite-to-Siteと説明されている。これだけからIPsec Modeを一意に断定できるか。
B. できる。Site-to-Siteなら必ずTransport Modeだけである
C. できないが、ESP/AHを使わないことだけは確定する
D. できない。ModeはOriginal EndpointとEncapsulation要件も見て判断する
答えと解説
答え：D
VPN TypeだけではModeを一意に決めず、Traffic EndpointとPacket構造も確認します。
Confidentialityが必須の要件で選ぶべきData Protection Protocolはどれか。
B. AH
C. IKE
D. Transport Mode
答えと解説
答え：A
Confidentiality要件にはESPを選びます。
暗号化は不要だが、Payloadと不変Header部分のIntegrity/Data Origin Authenticationを重視したい。概念的に最も近いのはどれか。
B. AH（Integrity / Authentication）
C. IKE（Key Negotiation）
D. Tunnel Mode（Encapsulation方式）
答えと解説
答え：B
暗号化不要でIntegrity/Data Origin Authenticationを重視する概念はAHに一致します。
装置AではAnti-Replayが有効、装置BではPolicy上無効だが、どちらもIPsec SAは成立している。最も適切な解釈はどれか。
B. Confidentiality Algorithmそのものである
C. 一般的に利用されるが実装/設定で無効化可能な場合がある
D. Peer Authenticationを完全に置き換える機能である
答えと解説
答え：C
Anti-Replayは一般的なSecurity Serviceですが、実装/設定によって無効化可能な場合があります。
ある装置でPolicyによりAnti-Replayを無効化してもIPsec SA自体は確立した。この事実から適切に言えるのはどれか。
B. Anti-ReplayはConfidentialityと同一機能である
C. Anti-Replayが無効ならVPN TypeはRemote Accessへ変わる
D. Anti-Replayは重要なSecurity Serviceだが常に無効化不能な固定条件ではない
答えと解説
答え：D
Anti-Replayは重要ですが、実装/設定で無効化可能な場合があるためSA成立の絶対条件とは限りません。