回答には「X社が運用保守を行う機器からX社FW方向に確立されるTCPコネクションだけを許可する」

とありますが、それだとTCPのSYNは社外に抜けていきそうですが、応答のSYNACKや、TCPコネクション確立後のMQTTで配信されるメッセージなどがFWで止められてしまいそうなイメージがあります。

FWは社外へのTCP通信要求とその応答を許可する必要がありそうですが、FWでは要求/応答単位までは許可/禁止制御しないのでしょうか？

まだ、MQTTが一度確立されたコネクション内で通信されることは理解済みですが、だとしても社外からくるMQTT通信を許可するような設定はFWには不要なのでしょうか？

この投稿は投稿者により削除されました。(2019.09.07 12:57)

もう１つ同じ大問について質問させてください。
設問4の(4)の回答は
1.静的双方向NATの設定をNATルーターに追加する
2.通信を許可するルールを通信装置内のNATに追加する

とありますが、新規で追加したWEBAPの絶対URLをなんかサーバーに登録する必要は無いのですか？

一つ目の質問に関しては、FWの動的フィルタリングでなんとかなるのだと思ってます。
二つ目の質問に関しては、僕もそう思いました。しかし、追加したWEBAPと既存のWEBAP、同じURIでなんとかしてるのでは？
最近、ネスペの知が出たので、そこで詳しく解説見てみたいですね。