イングレスフィルタリング
ISP の X 社は，顧客の Y 社に 203.0.113.0/24 を割り当て，Y 社と接続するルータ R で RFC 2827（BCP 38）に基づくイングレスフィルタリングを行う。R が受信した次のパケットのうち，このフィルタリングによって破棄すべきものはどれか。ここで，各アドレスはインターネット上で正規に割り当てられているものとする。
- アY 社側のインタフェースで受信した，送信元が 203.0.113.25，宛先が 192.0.2.77 のパケット
- イY 社側のインタフェースで受信した，送信元が 192.0.2.77，宛先が 198.51.100.10 のパケット
- ウインターネット側のインタフェースで受信した，送信元が 192.0.2.77，宛先が 203.0.113.25 のパケット
- エY 社側のインタフェースで受信した，送信元が 203.0.113.40，宛先が 198.51.100.10 の大量の TCP SYN パケット
正解と解説を見る
正解 イ
この問題の基礎知識
- イングレスフィルタリング（RFC 2827，BCP 38）は，接続先のネットワークから受信したパケットの送信元アドレスが，そのネットワークに割り当てたプレフィックスの範囲内かを検査し，範囲外のものを破棄する対策である。
- 送信元を詐称したパケットを，そのアドレスをもたないネットワークとの接続点で止めることで，送信元を偽った DoS 攻撃やリフレクション攻撃を抑制する。
- 検査の対象は送信元アドレスであり，宛先アドレスや送信量ではない。大量の通信の抑制はレート制限の役割である。
アY 社側のインタフェースで受信した，送信元が 203.0.113.25，宛先が 192.0.2.77 のパケット
イングレスフィルタリングは送信元アドレスを検査する。送信元は Y 社に割り当てた 203.0.113.0/24 の範囲内なので，宛先がどこであっても通過させる。
イY 社側のインタフェースで受信した，送信元が 192.0.2.77，宛先が 198.51.100.10 のパケット正解
Y 社のネットワークから届いたのに，送信元が Y 社に割り当てた 203.0.113.0/24 の範囲外なので，詐称とみなして破棄する。BCP 38 は，接続先のネットワークのプレフィックス以外を送信元とするパケットを，そのネットワークから受け付けないことを求めている。
ウインターネット側のインタフェースで受信した，送信元が 192.0.2.77，宛先が 203.0.113.25 のパケット
インターネット側から届くパケットの送信元は，インターネット上のどのネットワークでもあり得るので，Y 社向けのフィルタでは詐称と判断できない。BCP 38 は，送信元を詐称したパケットを，そのアドレスをもたないネットワークとの接続点で止める考え方である。
エY 社側のインタフェースで受信した，送信元が 203.0.113.40，宛先が 198.51.100.10 の大量の TCP SYN パケット
送信元は Y 社のプレフィックスの範囲内なので，イングレスフィルタリングでは破棄されない。送信量に基づく遮断はレート制限の機能であり，送信元アドレスの正当性を検査する BCP 38 の対象ではない。
検証用の出典出典照合済み
RFC 2827 Network Ingress Filtering (BCP 38)照合の根拠（3 件）
- イ（正解）/ア（誤り）: 顧客側から入るパケットは送信元が割当てプレフィックス内なら転送し，それ以外は破棄する
IF packet's source address from within 204.69.207.0/24 THEN forward as appropriate IF packet's source address is anything else THEN deny packet
RFC 2827 · Section 3（新しいタブで開きます） - ウ（誤り）: フィルタは顧客ネットワークに接続する入力リンクに掛けるもので，インターネット側から届くパケットは対象外
An input traffic filter on the ingress (input) link of "router 2", which provides connectivity to the attacker's network, restricts traffic to allow only traffic originating from source addresses within the 204.69.207.0/24 prefix
RFC 2827 · Section 3（新しいタブで開きます） - エ（誤り）: 正規のプレフィックスからのフラッディングには何の効果もない
While the filtering method discussed in this document does absolutely nothing to protect against flooding attacks which originate from valid prefixes (IP addresses)
RFC 2827 · Section 1（新しいタブで開きます）
R の Y 社側インタフェースで受信したパケットのうち，送信元が 203.0.113.0/24 の範囲外なのはイ（192.0.2.77）だけである。ウはインターネット側から受信しているので顧客向けのイングレスフィルタの対象外。