ネットワークセキュリティ
このドメインで問われること
ゾーン設計とアクセス制御の「評価順序」、暗号プロトコルの守備範囲、認証の仕組みを、設定の挙動として説明できるかが試される。機器の設定を読んで結果を予測する問題が典型である。
設計の基本
- ゾーンは信頼・DMZ・非信頼のように信頼度で分割し、ゾーン間はステートフルファイアウォールで制御する。戻りパケットはセッションテーブルで許可される。
- ACL は上から順に評価され、最初に一致した行で確定する。末尾に暗黙の deny がある。
- セグメンテーションは横方向の通信を絞る。Zero Trust は「内部だから信頼」を捨て、都度検証する考え方。
プロトコルの守備範囲
- IPsec は IKEv2 で SA を確立し、ESP で暗号化と認証を行う。AH は認証のみで暗号化しない。
- TLS 1.3 はハンドシェイクが短縮され、前方秘匿性が標準。
- 802.1X はサプリカント・認証者・認証サーバの三者構成。認証結果に応じて動的 VLAN を割り当てられる。
- IDS/IPS はインライン配置なら遮断、SPAN/TAP なら検知のみ。
実例（ACL の評価順）
「deny any any」を先頭に置き、その下に「permit tcp any host 10.1.1.10 eq 443」を書くと、すべての通信が 1 行目で拒否される。最初に一致した時点で評価が終わるため、具体的な permit を先に、広い deny を後に置く。
失点しやすい罠
- AH を選ぶと暗号化されない。機密性が必要なら ESP。
- ステートフルファイアウォールでも、セッションを確立しない UDP や非対称経路では戻りが落ちることがある。
- DMZ に置いたサーバから内部への通信を許可すると、侵害時に横展開される。