正解：ア
各選択肢の解説
ア両拠点のルータの間をIPsecでつなぎ、IPパケットの単位で暗号化するVPNを構成する。
正解。IPsecはIPの層で暗号化するので、その上で動くアプリケーションの種類を問わず、 拠点間を流れる通信をまとめて守れます。アプリケーション側の改修は要りません。
イ各業務システムをTLSに対応させ、アプリケーションごとに通信を暗号化する。
誤り。TLSは、対応したアプリケーションの通信をそれぞれ暗号化します。 守れるのは対応させたものだけで、改修できないアプリケーションの通信は平文のまま残ります。
ウ支店の無線LANをWPA3に切り替え、端末とアクセスポイントの間を暗号化する。
誤り。WPA3が暗号化するのは、無線の端末とアクセスポイントの間の区間だけです。 アクセスポイントから先、インターネットを通って本社に届くまでの区間は守れません。
エ両拠点のルータでパケットフィルタリングを設定し、不要な通信を遮断する。
誤り。パケットフィルタリングは、通信を通すか止めるかを決める仕組みです。 通した通信の中身は暗号化されないので、インターネット上で盗み見られるおそれは残ります。
理解を深めるために
荷物ごとに鍵をかけるか、トラックごと鍵をかけるか
本社と支店の間で毎日たくさんの荷物を運ぶとき、荷物の一つ一つに鍵付きの箱を用意するのは手間で、 箱に入らない荷物も出てきます。トラックの荷台ごと鍵をかけてしまえば、中身が何であっても まとめて守れます。IPsecは、この「荷台ごと鍵をかける」方式です。
なぜIPsecならアプリケーションを問わないのか
通信は層に分かれていて、アプリケーションのデータは下の層でIPパケットに詰められて運ばれます。
- IPsec: IPの層で、パケットを暗号化し改ざんを検知する。上の層のアプリケーションは 暗号化を意識しなくてよい。拠点のルータどうしで構成すれば、拠点間のすべての通信が対象になる
- TLS: その上の層で、対応したアプリケーションの通信ごとに暗号化する。 Webやメールなど対応したものには手軽だが、対応していないものは守れない
このように拠点のルータどうしをIPsecでつなぎ、インターネット上に専用線のような経路を作る構成を 拠点間VPNと呼びます。
混同しやすいものとの違い
| 仕組み | 守る範囲 |
|---|---|
| IPsec（拠点間VPN） | 拠点間を流れるIPパケットすべて |
| TLS | 対応したアプリケーションの通信ごと |
| WPA3 | 無線の端末とアクセスポイントの間 |
| パケットフィルタリング | 暗号化しない。通信を通すか止めるかを決める |
試験では「どの区間を」「どの層で」守るかで見分けます。アプリケーションを問わず拠点間を まとめて暗号化するならIPsec、無線区間だけならWPA3です。