ネットワーク分離と接続制御

ネットワーク分離と接続制御は、組織内のネットワークを複数の区画に分け、区画どうしや端末からの通信を条件に応じて許可または拒否する考え方である。分離は被害の広がりを抑え、接続制御は誰がどの資源に到達できるかを限定する。両者は一体で運用されることが多く、試験でも組み合わせて問われる。

分離の原理と仕組み

ネットワーク分離には、回線や機器を物理的に分ける方式と、同じ機器の上に論理的な区画を作る方式がある。物理分離は区画が確実に分かれる一方、機器や配線が増えるためコストと運用の手間がかかる。論理分離はVLANやサブネットによって区画を作る方式であり、多くの組織で用いられている。

過去問の例では、幹部と一般従業員のPCとサーバがすべて1台のネットワークスイッチに接続される環境が示されている。このように1台の機器に全端末が集まる構成では、機器の配置だけでは区画を分けられないため、VLANなどの論理的な区分とIPアドレスの範囲による接続制御を組み合わせる必要がある。

接続制御は、送信元や宛先のIPアドレスやポートを条件に通信を許可するもので、ファイアウォールやアクセス制御リストで実現される。サーバへの接続を許可するネットワークアドレスを指定する設定は、最も基本的な接続制御の形である。

動的な割当てと認証の役割

静的VLANは、スイッチのポートごとにVLANを固定する方式である。この方式では、そのポートに接続した端末の持ち主が誰であっても同じ区画に入るため、席が日によって変わるフリーアドレス制の環境では、幹部のPCだけを特定の区画に入れることができない。

この問題を解決するのが認証VLANである。端末や利用者を認証し、その結果に応じて所属すべきVLANを動的に割り当てる。幹部用のIPセグメントを認証結果に基づいて割り当て、そのセグメントからの通信だけをサーバ側で許可すれば、どの席に座っても幹部のPCだけがサーバへ到達できる。

認証は相手が誰かを確かめる行為であり、認可はその相手に何を許すかを決める行為である。認証VLANは、認証で得た身元を区画の割当てに結び付ける点で両者を組み合わせた技術といえる。