解説

VLAN（Virtual LAN）は、レイヤ3スイッチ（あるいはレイヤ2スイッチ）のポートを論理的にグループ化し、物理的な接続とは独立した複数の仮想的なネットワークセグメント（ブロードキャストドメイン）に分割する機能です。同じVLANに属するポート同士は同一セグメントとして通信できますが、異なるVLAN間の通信はルーティングを介する必要があり、ブロードキャストは同じVLAN内にしか届きません。このセグメント分割により、ブロードキャストパケット（ARP要求など、ネットワーク内の全端末に届く通信）の到達範囲が、そのVLAN内に限定されます。その結果、ブロードキャストによって流れるアドレス情報（IPアドレスとMACアドレスの対応など）が他のセグメントへ不要に流出するのを防げ、盗聴などのリスクを低減できます。選択肢bの「スイッチが、PCからのブロードキャストパケットの到達範囲を制限するので、アドレス情報の不要な流出のリスクを低減できる」が、VLANによるセグメント分割のセキュリティ効果として正しく、正解です。VLANはブロードキャストドメインの分割が本質であり、ICMPの遮断やMAC・IPアドレスによる接続制御といった機能とは区別されます。

なぜ他の選択肢は違うのか

選択肢 ア

「スイッチが、PCから送出されるICMPパケットを全て遮断するので、PC間のマルウェア感染のリスクを低減できる」は誤りです。VLANはセグメントを分割する機能であり、ICMPパケットを一律に遮断する機能ではありません。同一VLAN内ではICMPも通常どおり通り、マルウェア感染を直接防ぐものでもありません。

選択肢 ウ

「スイッチが、PCのMACアドレスから接続可否を判別するので、PCの不正接続のリスクを低減できる」は誤りです。MACアドレスによる接続可否の判別は、ポートセキュリティやMACアドレスフィルタリングの機能であり、ブロードキャストドメインを分割するVLANの効果とは異なります。MACアドレスによる接続可否の判別はポートセキュリティやMACアドレスフィルタリングの機能であり、ブロードキャストドメインを分割するVLANの効果とは異なる機能です。

選択肢 エ

「スイッチが、物理ポートごとに、決まったIPアドレスをもつPCの接続だけを許可するので、PCの不正接続のリスクを低減できる」は誤りです。IPアドレスによる接続許可はIPアドレスの制限に関する機能であり、ブロードキャストの到達範囲を限定するVLANのセキュリティ効果とは異なります。IPアドレスによる接続許可はIPアドレスの制限に関する機能であり、ブロードキャストの到達範囲を限定してアドレス情報の流出を防ぐVLANのセキュリティ効果とは異なります。

解くときのポイント

VLAN＝ポートを論理グループ化してブロードキャストドメインを分割。効果＝ブロードキャストの到達範囲を限定し、アドレス情報の不要な流出を防ぐ。ICMP遮断・MAC/IPによる接続制御（ポートセキュリティ等）とは別機能。