ゾーンで分けて考える

ネットワークは、信頼の度合いでゾーン（区画）に分けます。インターネット、社内、そしてその間に置いて外向けのサーバを入れる DMZ（スクリーンドサブネット）です。ゾーンの境目に、守りの機器を置きます。

ファイアウォールの種類

• パケットフィルタ・ステートフル … アドレスとポートで通信を絞る。ステートフルは通信の流れを覚える
• 次世代ファイアウォール（NGFW） … アプリの種類まで見て判断する
• WAF … Web アプリへの攻撃（SQL インジェクションなど）を止める

IDS と IPS

IDS（侵入検知）は見つけて知らせるだけ、IPS（侵入防止）は通信の通り道に置いて止めます。故障したときに通信を通すか止めるか（フェイルオープンとフェイルクローズ）も選びます。

安全につなぐ

社外から入るときは VPN（IPsec や TLS）を使います。管理の作業は踏み台のサーバ（ジャンプサーバ）を通して行い、Web へのアクセスはプロキシで中継します。SD-WAN や SASE も用語として出ます。

入れる端末を選ぶ

802.1X と RADIUS で、ネットワークにつなぐ前に端末や人を認証します。NAC は、パッチの状態などを確かめてから接続を許します。

問題の読み方

「どこに置くか」「何を止めたいか」を問題文から読み、置く場所と働きが合う機器を選びます。

• ゾーンと DMZ（スクリーンドサブネット）の考え方
• ファイアウォール・NGFW・WAF の違い
• IDS と IPS の違いと、フェイルオープン・フェイルクローズ
• VPN・ジャンプサーバ・プロキシ・802.1X・NAC の使いどころ