正解：イ
各選択肢の解説
ア社内用のSSIDのパスフレーズを来訪者に伝え、退出後にパスフレーズを変更する。
誤り。退出後に変えても、滞在中の来訪者の端末は社内LANの中にいて、ファイルサーバに 届きます。パスフレーズの管理は「誰を入れるか」の話で、入った後にどこまで届くかは 変わりません。社内の全員に新しいパスフレーズを配り直す手間も毎回かかります。
イ社内LANから切り離し、インターネットにだけ出られる来訪者用の無線LANを用意する。
正解。来訪者の端末が届く範囲を最初からインターネットだけに限ります。 接続できても社内LANに経路がないので、ファイルサーバに触れられません。
ウ来訪者用に別のSSIDを用意し、社内用と同じ社内LANにつないで使わせる。
誤り。SSIDは無線LANの名前で、名前を分けても行き先が同じ社内LANなら、 来訪者の端末からファイルサーバに届きます。分けるべきなのは名前ではなく、 つながる先のネットワークです。
エ来訪者の端末のMACアドレスを登録し、社内用の無線LANに接続させる。
誤り。MACアドレスフィルタリングは、つないでよい端末を絞る仕組みです。 登録した端末は社内LANに入るので、ファイルサーバに届く点は変わりません。 MACアドレスは偽装もできるため、それ自体の効き目も限られます。
理解を深めるために
来客用の応接室を、執務室とは別に用意するのと同じ
来訪者を執務室の中に通してから「書類は見ないでください」と頼むより、 最初から別の応接室に通すほうが確実です。無線LANも同じで、 来訪者の端末を社内LANと同じネットワークに入れないことが出発点になります。
なぜ「入れる人」ではなく「つながる先」で考えるのか
無線LANの対策には、性格の違う2種類があります。
- 入れる人・端末を絞る: パスフレーズ、MACアドレスフィルタリングなど
- 入った後に届く範囲を限る: ネットワークを分ける（社内LANとの経路を持たせない）
来訪者には、そもそも接続を認めるのが前提です。接続を認める以上、前者はいくら固くしても 来訪者の端末が社内LANに入ることを止めません。来訪者に必要なのはインターネットだけなので、 社内LANから切り離した来訪者用のネットワークにすれば、ファイルサーバへの経路が無くなります。 多くの無線LANアクセスポイントは、SSIDごとに別のネットワークへつなぐ設定ができます。 大事なのはSSIDを分けることそのものではなく、その先を分けることです。
混同しやすいものとの違い
| 対応 | 何を変えるか | 来訪者の端末からファイルサーバに届くか |
|---|---|---|
| 来訪者用のネットワークを切り離す | つながる先 | 届かない |
| 社内用のパスフレーズを教えて後で変える | 入れる期間 | 滞在中は届く |
| SSIDだけ分けて同じ社内LANにつなぐ | 無線LANの名前 | 届く |
| MACアドレスを登録する | 入れる端末 | 届く |
試験では、来訪者や私物端末に接続を認める場面が出たら、 「接続を認めた後にどこまで届くか」を限る選択肢を探します。