静的パケットフィルタでSMTPの往復をどう許可するか
基本情報技術者試験 平成30年度春期 午前 問44 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
社内ネットワークとインターネットの接続点に，ステートフルインスペクション機能をもたない，静的なパケットフィルタリング型のファイアウォールを設置している。このネットワーク構成において，社内のPCからインターネット上のSMTPサーバに電子メールを送信できるようにするとき，ファイアウォールで通過を許可するTCPパケットのポート番号の組合せはどれか。ここで，SMTP通信には，デフォルトのポート番号を使うものとする。
- ア
送信元PC → 宛先SMTPサーバ：送信元ポート番号25，宛先ポート番号1024以上 送信元SMTPサーバ → 宛先PC：送信元ポート番号1024以上，宛先ポート番号25
- イ
送信元PC → 宛先SMTPサーバ：送信元ポート番号110，宛先ポート番号1024以上 送信元SMTPサーバ → 宛先PC：送信元ポート番号1024以上，宛先ポート番号110
- ウ
送信元PC → 宛先SMTPサーバ：送信元ポート番号1024以上，宛先ポート番号25 送信元SMTPサーバ → 宛先PC：送信元ポート番号25，宛先ポート番号1024以上
- エ
送信元PC → 宛先SMTPサーバ：送信元ポート番号1024以上，宛先ポート番号110 送信元SMTPサーバ → 宛先PC：送信元ポート番号110，宛先ポート番号1024以上
会話形式の解説
講師この問題では、PCからの送信とサーバからの応答を、別々に確認します。まず、SMTPサーバが待ち受けるポートは何番ですか。
受験者25番です。PCから送るなら、宛先を25にするのですね。
講師そのとおりです。設問ではPC側のポートは1024以上なので、PCからサーバへは送信元が1024以上、宛先が25になります。
受験者応答では、送信元と宛先の番号を入れ替えて、サーバ側が25、PC側が1024以上ですか。
講師はい。ステートフルインスペクション機能がない静的なフィルタなので、その応答方向も通過を許可する必要があります。この両方向の組合せが正解です。
受験者PCからの送信元を25、サーバの宛先を1024以上とする組合せは、PC側とサーバ側を逆にしていますね。
講師そうです。サーバが待ち受ける25を、PCから送るパケットの送信元に置いているため誤りです。
受験者110を使う組合せもあります。これはSMTPのポートではないのですね。
講師110はPOP3のポートです。PCからの宛先を1024以上、送信元を110とする組合せは、サーバの待受ポート25も宛先に指定できていません。
受験者もう一方の110を使う組合せは、PCからの宛先が110なので、やはりSMTPサーバへの接続に合いません。
講師はい。迷ったら、待ち受けるサーバの25を往路の宛先に置き、復路では送信元に置いて確かめます。
まとめ
正解はウです。PCからSMTPサーバへのパケットは送信元ポートが1024以上、宛先ポートが25です。サーバからの応答では送信元が25、宛先が1024以上に入れ替わります。静的なパケットフィルタでは、この両方向の通過条件を確認します。
解答・解説
正解はウです
この問題のテーマ
静的なパケットフィルタでSMTP通信を通すために、送信方向と応答方向のポート番号をどう指定するかを問う問題です。
解き方の考え方
SMTPサーバが待ち受けるポートは25、設問で示されたPC側のポートは1024以上です。まずPCからサーバへの通信について送信元と宛先を当てはめ、応答ではその組合せを逆にします。ステートフルインスペクション機能がないため、両方向の通過を許可する必要があります。
選択肢ごとの解説
- ×ア 送信元PC → 宛先SMTPサーバ：送信元ポート番号25，宛先ポート番号1024以上 送信元SMTPサーバ → 宛先PC：送信元ポート番号1024以上，宛先ポート番号25PCからSMTPサーバへ送る行で、宛先が1024以上になっています。サーバの待受ポートである25が送信元に置かれており、PC側とサーバ側の指定が逆です。
- ×イ 送信元PC → 宛先SMTPサーバ：送信元ポート番号110，宛先ポート番号1024以上 送信元SMTPサーバ → 宛先PC：送信元ポート番号1024以上，宛先ポート番号110PCから送る行の宛先が1024以上で、サーバの待受ポートを指定できていません。また、ここで使われている110はPOP3のポートであり、SMTPの25とは異なります。
- ○ウ 送信元PC → 宛先SMTPサーバ：送信元ポート番号1024以上，宛先ポート番号25 送信元SMTPサーバ → 宛先PC：送信元ポート番号25，宛先ポート番号1024以上PCからの送信は、PC側の1024以上を送信元、SMTPサーバの25を宛先にします。サーバからの応答では送信元が25、宛先がPC側の1024以上となり、両方向とも対応しています。
- ×エ 送信元PC → 宛先SMTPサーバ：送信元ポート番号1024以上，宛先ポート番号110 送信元SMTPサーバ → 宛先PC：送信元ポート番号110，宛先ポート番号1024以上PCから送る行でサーバの宛先ポートが110になっています。SMTPサーバへ接続する本問の条件では宛先は25なので、応答方向の指定も含めて通信に合いません。
POINT
- 通信を始めるPCと、待ち受けるSMTPサーバのどちらのポートかを先に区別します。
- 応答パケットでは、往路の送信元と宛先が入れ替わります。
- 静的なパケットフィルタでは、往路と復路それぞれの通過条件を確認します。