IPAの解答では，「ルータ2への接続ポートだけに，VLAN200のポートVLANを設定する．」とありました．
来訪者のNPCから送出されたデータがL2SW5-L3SW間を通らないようにするための設定だと思いますが，上の解答とは逆に「L3SWへの接続ポートだけに，VLAN100のポートVLANを設定する．」とするのは間違いでしょうか．

設問のとおり、「インターネットアクセスだけを可能にする」という条件を満たす必要があります。
ご提示の内容ですと、来訪者がインターネットにアクセスできるかどうかがわかりません。

設問5(3)より(イ)がタグVLAN、それ以外はポートVLANになります。
ルータ2側のポートだけにポートVLAN200にすれば、必然的にL3SW側は、VLAN200以外のポートVLANとなり、インターネットだけに接続させる条件を満たせます。

hisashi様

ご回答ありがとうございます．
「L3SWへの接続ポートだけに，VLAN100のポートVLANを設定する．」が必然的に「ルータ2側は来訪者のNPCしか通れない」ことの説明になっていると思っていましたが，これだけでは説明不足なのですね．
ありがとうございました．