こちら模範解答が「来客用無線LANからインターネットにアクセスする場合の送信元IPアドレスをa1.b1.c1.d1とはべつのIPアドレスにする」とありますが、これにより来客は自端末にファイルをダウンロードできなくなるのではないでしょうか。
また、来客がファイルをダウンロードできるなら、従業員も私用端末を持ち込んでダウンロードして持ち去れることになり、方法2への対策とはならないのではないでしょうか。
あるいは、この解答は実際に対策になるかどうかではなく、題意である「FWのNATの設定を変更する」ことのうちできることとして模範解答のような記述がされているのでしょうか。

つたない文章で申し訳ありませんが、よろしくお願いいたします。

> これにより来客は自端末にファイルをダウンロードできなくなるのではないでしょうか。
> また、来客がファイルをダウンロードできるなら、従業員も私用端末を持ち込んでダウンロードして持ち去れることになり、方法2への対策とはならないのではないでしょうか。

来客には上長の承認の上で外部共有リンクが発行されます。
そして、このリンクを従業員が入手することはできません。(上長を騙すリスクはあるが、それは上で説明されている)

IPアドレスで制限されているのはM社従業員のユーザーでのログインのみですので、来客は影響を受けません。

X8bWw様

迅速なご返答ありがとうございます。

> 来客には上長の承認の上で外部共有リンクが発行されます。
そして、このリンクを従業員が入手することはできません。(上長を騙すリスクはあるが、それは上で説明されている)

> IPアドレスで制限されているのはM社従業員のユーザーでのログインのみですので、来客は影響を受けません。

IPアドレスで制限されているのはログインでなはくアクセスだと勘違いをしておりました。
簡潔に指摘してくださり、ありがとうございました。