LPIC-2ホスト・接続サービスのセキュリティオリジナル・公式資料照合難易度★★★☆☆
試験範囲のiptablesインタフェースで、INPUTの既定方針はDROPである。順に「ESTABLISHED,RELATEDをACCEPT」「送信元192.0.2.0/24のTCP宛先22をACCEPT」「TCP宛先22をDROP」と評価する。新規TCP接続を192.0.2.50から22番へ送った場合はどれか。別の表やルールはない。
A
最後に22番DROPがあるので、先に一致したACCEPTも取り消されて拒否する
この条件のACCEPTは終端の判定です。後ろに広いDROPがあっても、先の一致する許可を後から取り消す方式ではありません。
B
NEWはESTABLISHEDと同じなので、最初のルールだけで許可する
新規接続のNEWと既存接続のESTABLISHEDは別です。本問では次の送信元制限のルールに進みます。
C
既定方針がDROPなら、どのACCEPTルールも評価されない
既定方針は通常、チェーンで終端判定が得られない場合に使います。明示されたルールを評価しない意味ではありません。
D
2番目の送信元・宛先ポート条件に一致して許可し、後続の22番DROPへ進まない★ 正解
送信元は192.0.2.0/24内で、TCP宛先22なので2番目に一致します。そのACCEPTでこの判定を終えます。
解説
ここで使うACCEPT/DROPは一致した時点でそのチェーンの判定を終えます。新規接続は最初の既存接続許可ではなく、指定ネットワークのSSH許可に一致します。iptablesのバックエンド実装や永続化方法は別に確認します。
根拠資料・確認情報
対応範囲：LPIC-2 202-450（Objectives v4.5）
資料確認日：2026-10-28
同じレッスンの問題
問題 1
LinuxのPAM対応OpenSSHで、実効設定がPasswordAuthentication no、KbdInteractiveAuthentication yes、UsePAM yes、PubkeyAuthentication yesである。PAMはパスワードで本人確認できる。公開鍵認証の準備は済み、パスワードを使う両経路を止めたい。適切な見直しはどれか。MatchやInclude等の実効値も検証する。
問題 3
LinuxのOpenVPNサーバーはtun側10.8.0.0/24と社内LAN側10.20.0.0/24を中継する。トンネル認証・両方向の経路・必要なFORWARD許可は正常で、サーバーからLANへも接続できる。しかしVPNクライアントからLANへ転送されず、net.ipv4.ip_forward=0だった。この構成で必要な設定はどれか。
問題 4
vsftpdでssl_enable=YES、force_local_logins_ssl=YES、force_local_data_ssl=NOとしている。anonymousは無効で、一般ユーザーのログインはTLSで保護されるが、ファイル転送のデータ接続もTLS必須にしたい。目的に直接対応する設定はどれか。