ポート番号とは？

ポート番号の意味

トランスポート層で、同じ端末上のどのアプリケーションへ渡すかを区別する16ビットの番号。0〜1023はウェルノウンポートとして主要なサービスに予約され、クライアント側は動的な番号を使う。宛先IPアドレス・ポート・送信元IPアドレス・ポート・プロトコルの組で通信を一意に識別する。

ポート番号の具体例

HTTPは80、HTTPSは443、SSHは22、DNSは53。ファイアウォールで「443だけ許可」と設計したり、NAPTで内部の複数端末を1つのグローバルアドレスに変換する際に、送信元ポート番号を付け替えて区別したりする。

ポート番号は試験でどう引っ掛けられる？

ポート番号はTCPとUDPで別々の空間を持ち、同じ53番でも用途が異なる。また「ポートを閉じれば安全」ではなく、開けている443番の上で動くアプリケーションの脆弱性は防げない。番号の変更も対策としては弱い。

ポート番号と関連する用語

• NAT／NAPT
• TCPとUDPの使い分け
• ファイアウォール

ポート番号が出た過去問

• インターネットとの接続において、ファイアウォールのNAPT機能によるセキュリティ上の効果はどれか。

  正解：内部ネットワークからインターネットにアクセスする利用者PCについて、インターネットからの不正アクセスを困難にすることができる。

  要点：NAPTは内部アドレスを隠し外部からの直接アクセスを困難にする

  NAPT（IPマスカレード）は、内部の複数の私用IPアドレスを1つのグローバルIPアドレスとポート番号の組に変換する機能である。内部から外部への通信をきっかけに変換表が作られるため、外部から内部の個々のPCを名指しで指定することができず、インターネット側からの不正アクセスが困難になるという副次的な効果が得られる。

  出典：令和1年度 秋期 高度共通_午前I試験 am1 問12（IPA）

• プライベートIPアドレスを割り当てられたPCがNAPT(IPマスカレード)機能をもつルータを経由して、インターネット上のWebサーバにアクセスしている。Webサ…

  正解：宛先IPアドレスと宛先ポート番号が書き換えられる

  要点：NAPTは往路で送信元、復路で宛先のIPとポートを書き換える

  NAPTは、内部のプライベートIPアドレスとポート番号の組を、グローバルIPアドレスと別のポート番号の組に変換する。Webサーバから戻ってくる応答パケットでは、宛先がルータのグローバルIPアドレスとその変換済みポート番号になっているため、ルータはこれを本来のPCのプライベートIPアドレスと元のポート番号に書き戻す。したがって書き換えられるのは宛先IPアドレスと宛先ポート番号である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問10（IPA）

• TCP, UDPのポート番号を識別し、プライベートIPアドレスとグローバルIPアドレスとの対応関係を管理することによって、プライベートIPアドレスを使用するLA…

  正解：NAPT

  要点：NAPTはIPとポートを組で変換し1つのグローバルIPを共有する

  NAPT（IPマスカレード）は、プライベートIPアドレスとポート番号の組を、1つのグローバルIPアドレスと重複しないポート番号の組に変換して対応表で管理する仕組みである。ポート番号で通信を区別するため、LAN内の複数端末が1つのグローバルアドレスを共有してインターネットへアクセスできる。IPアドレスだけを1対1で変換するNATとの違いはここにある。

  出典：令和2年度 10月 高度共通_午前I試験 am1 問11（IPA）

• 1個のTCPパケットをイーサネットに送出したとき、イーサネットフレームに含まれる宛先情報の、送出順序はどれか。

  正解：宛先MACアドレス、宛先IPアドレス、宛先ポート番号

  要点：フレームは下位層のヘッダほど先頭、MAC→IP→ポートの順

  イーサネットフレームは下位層のヘッダほど先頭に置かれる。先頭がデータリンク層のイーサネットヘッダで宛先MACアドレス、続いてネットワーク層のIPヘッダで宛先IPアドレス、その後にトランスポート層のTCPヘッダで宛先ポート番号が現れる。したがって送出順序はMAC、IP、ポート番号となる。

  出典：令和5年度 春期 高度共通_午前I試験 am1 問10（IPA）

• スパムメール対策として、サブミッションポート（ポート番号587）を導入する目的はどれか。

  正解：SMTP-AUTHを使用して、メール送信者を認証する。

  要点：サブミッションポート587はSMTP-AUTHで送信者を認証する

  サブミッションポートは、メール送信者からメールサーバへの送信専用の窓口としてポート587を使う仕組みである。ここでSMTP-AUTHによる利用者認証を必須にすることで、認証を通った正規の利用者だけが送信できるようになり、迷惑メールの踏み台にされることを防ぐ。

  出典：令和5年度 春期 高度共通_午前I試験 am1 問14（IPA）