ANS-C01#5(network-implementation)
ある企業はオンプレミス CGW と AWS の間で Site-to-Site VPN を構築し、FIPS 準拠の暗号要件を満たす必要があります。IKEv2、AES-256-GCM、DH group 20 以上を採用したい意向です。ネットワーク技術者はトンネルパラメータと冗長設計を確認しています。
適切な実装はどれですか。(2 つ選択)
（2つ選択）
正解：B, C
正解の根拠
AWS Site-to-Site VPN は IKEv2 を選択でき、phase1/phase2 の暗号アルゴリズムに AES256-GCM-16、DH group には 19/20/21 などの ECC ベースを指定可能です。FIPS/CC 系要件では IKEv2 + AES-GCM + DH20 の組合せが推奨され、両端で対称に設定する必要があります。
不正解の理由
- A: IKEv1 + DH14 は FIPS の現行推奨から外れ、PFS 強度も AES-256-GCM の意図に届きません。
- D: Global Accelerator は VPN を TLS 化する機能を持たず、暗号要件の代替にはなりません。
- E: AWS 側のトンネルオプションは編集可能で、デフォルト維持では要件の暗号スイートが保証されません。
コメント