解説
この問題の骨格 MPLS VPN で4拠点をつないでいる会社に SD-WAN を入れる話。
SD-WAN は看板で、中身はBGP（AS_PATH とループ検出）・OSPF（LSA のタイプ）・再配布という
分野②の基礎そのもの。あなたが午前Ⅱで落としている論点がほぼ全部入っているので、
②の7問の中ではこれを最優先で潰す価値がある。
設問1 ア＝カスタマー、イ＝再配布、ウ＝DMZ、エ＝eBGP、オ＝プライベート、カ＝ポリシーベース
PE ルータ（Provider Edge）の対向にあるのは CE ルータ（Customer Edge）
→ ア＝カスタマー
OSPF と BGP4 という別プロトコル間で経路を渡すこと＝経路の再配布（redistribute）
→ イ＝再配布
全拠点からのインターネット向け http/https はプロキシサーバ経由。
プロキシサーバは DMZ にある（図1）ので、OSPF で配るのは DMZ のサブネット宛て経路
→ ウ＝DMZ
AS 内の BGP ピアが iBGP。拠点ルータ（AS65500）と PE ルータ（AS64500）は AS が違う
→ エ＝eBGP
インターネットに出ない AS のために予約された番号（64512〜65534）
→ オ＝プライベート
アプリケーションを見分けて経路を変える＝ポリシーベースルーティング
→ カ＝ポリシーベース
iBGP と eBGP の切り分け 「同じ AS 内のピア＝iBGP、違う AS 間＝eBGP」。
AS 番号を比べるだけで決まる。本文が L社VPN＝64500、G社＝65500 と
わざわざ両方書いているのは、ここを判断させるため。
設問2(1) a＝10.3.0.0/16、b＝64500 64500
a は表2 から支店V のネットワークをそのまま。問題は b。
as-override は何をする機能かを本文から読み取る。
本文は「この設定によって、G社の複数の拠点で同一の AS 番号を用いる構成が可能になっている」と書いている。
なぜ普通は不可能なのか——BGP は AS_PATH に自分の AS 番号が入っている経路を、ループとみなして捨てるから。
as-override 無し
支店V(AS65500) → PE3 → L社VPN(AS64500) → PE2 → 本社ルータ2(AS65500)
本社に届く AS_PATH ＝ 64500 65500
本社ルータ2 は「自分と同じ 65500 が入っている」→ ループと判断して破棄 ✗
as-override 有り
PE2 が広告する直前に、AS_PATH 中の「受信側顧客と同じ AS 番号(65500)」を
自分の AS 番号(64500)に書き換える
本社に届く AS_PATH ＝ 64500 64500 → 自分の番号が無いので受け入れる ✓
ここが BGP の本質 BGP のループ防止はAS_PATH を見るだけ。
RIP のホップ数でも OSPF の SPF 計算でもない。
「自 AS 番号が含まれる経路は捨てる」——これが分かっていれば、
as-override という初見の用語でも本文から機能を逆算できる。
午後は知らない用語が必ず出るが、知っている原理に結びつけて読むのが解法。
設問2(2) c＝d＝e＝f＝65500（全部同じ）
「G社現行ネットワークで用いられている AS 番号は何か」。
本文に「L社VPN と接続するために、AS 番号 65500 が割り当てられている」とあり、
さらに as-override のおかげで4拠点すべてが同じ 65500 を使える。
だから表2 の空欄は全部 65500。
引っかかりやすい点 拠点ごとに違う番号を書きたくなるが、
設問2(1)でやったばかりの as-override が「同一 AS 番号を使うための設定」だと気づけば一本道。
設問が前後でつながっているので、(1)が解けたら(2)は確定する。
設問3(1) ルーティングループによる障害（20字以内）
ルータ1〜4 は OSPF と BGP4 の間で双方向に再配布している。フィルターが無いと、
OSPF で学んだ経路を BGP に出し、それがまた別の拠点で OSPF に戻り……と循環する。
OSPF ──再配布──> BGP4 ──再配布──> OSPF ──再配布──> BGP4 …
（元は自分が出した経路なのに、他人から教わった新しい経路に見えてしまう）
相互再配布にはフィルター（またはタグ）が必須というのは設計の定石。
設問3(2) タイプ＝Type5（外部 LSA）／生成した機器＝ルータ3
DMZ 宛ての経路は、もともと BGP4 で運ばれてきて、各拠点のルータで OSPF に再配布される。
OSPF から見れば外部から持ち込まれた経路なので Type5（AS 外部 LSA）。
生成した機器は、再配布を行ったルータ＝ASBR。支店V の L3SW3 から見ると、
支店V で再配布しているのはルータ3。
OSPF の LSA タイプ（午後で問われるのはほぼ 1・2・3・5）
Type1 ルータ LSA 各ルータが自分のリンク情報をエリア内に流す
Type2 ネットワーク LSA DR がマルチアクセスセグメントの情報を流す
Type3 サマリ LSA ABR がエリア間の経路を流す
Type4 ASBR サマリ LSA ABR が ASBR の居場所を知らせる
Type5 AS 外部 LSA ASBR が再配布した外部経路を流す ← これ
採点講評 正答率が低かった設問で、IPA は
「OSPF における経路情報交換の基本的な仕組みを正しく理解していない受験者が多いと推察される。
OSPF がどのように LSA を交換して経路表を作るかという動作の仕様や各 LSA の役割などについては、
OSPF の基本事項なので、しっかりと理解してほしい」と書いている。
「OSPF ＝リンクステート」を暗記しているだけでは解けない層の設問で、
LSA のタイプと「誰が生成するか」まで持っておく必要がある。
間違えやすいのは「生成した機器」 L3SW3 に届いた LSA なので
送ってきた直近の機器を書きたくなるが、LSA は生成者の情報を持ったまま flooding される。
中継した機器ではなく最初に作った ASBRを答える。
設問4(1) ① IPsec トンネル確立のための IP アドレス ② IPsec トンネル確立のための鍵情報
SD-WAN コントローラーが配るのは「経路情報」と「IPsec トンネルを構築するために必要な情報」の2種類。
後者を2つに割ると、相手の居場所（IP アドレス）と暗号化に使う鍵。
SD-WAN が何を楽にしたのか 従来は拠点が増えるたびに、
全拠点のルータに相手の IP アドレスと事前共有鍵を手で入れて回る必要があった（フルメッシュなら N×(N−1)/2 本）。
コントローラーが配ってくれるので、新拠点はコントローラーに登録するだけで済む。
冒頭の「支店の追加による設定作業を行いやすくする」という改善方針がこれに対応している。
設問4(2) IPsec トンネルに障害があった場合の検出を高速にする（35字以内）
BFD（Bidirectional Forwarding Detection）は、障害検出だけに特化した軽いプロトコル。
ルーティングプロトコル自身の Hello／Dead タイマーに任せると、
OSPF なら標準で Dead interval 40秒かかる。BFD ならミリ秒単位で落ちたことが分かる。
採点講評 ここも正答率が低い。設問が
「“IPsec トンネル”という用語を用いて」と指定しているので、
単に「障害検出を速くする」だけでは不足。何の障害かを書く。
IPA は「BFD のような障害検知のための技術はネットワークを安定的に稼働させるために役に立つ。
障害検知の手法や関連知識を広く身に付けておくことは重要」と締めている。
設問5(1) TE023、TE032 ／ (2) TE123、TE132
図3 の TE 名に規則があることに気づけば一瞬で終わる。
TE □ △ ○
│ │ └─ 相手の装置番号
│ └─── 自分の装置番号
└───── 0 = GE0（L社VPN側・実線） 1 = GE1（インターネット側・破線）
通常時：本文⑦より L社VPN を優先 → GE0 側＝TE0xx を使う
本社(装置2) → 支店V(装置3) ：TE023
支店V(装置3) → 本社(装置2) ：TE032
支店V の L社VPN 回線が障害 → インターネット側にフォールバック → TE1xx
本社(装置2) → 支店V(装置3) ：TE123
支店V(装置3) → 本社(装置2) ：TE132
往復2つ答える 「通過する TE を全て答えよ」なので、
行きと帰りの両端のトンネルエンドポイントを書く。片方だけだと減点。
また、データセンター（装置1）は経由しない——拠点間はフルメッシュで直接つながっているので、
図2・図3 を見て本社と支店V が直結していることを確認する。
この問題から持ち帰るもの ①BGP のループ防止は AS_PATH に自 AS があれば破棄。
as-override はそれを回避するための書き換え。②プライベート AS 番号は 64512〜65534。
③同一 AS 内が iBGP、異なる AS 間が eBGP。④相互再配布にはフィルターが要る（でないとループ）。
⑤再配布された外部経路は Type5 LSA で、生成者は再配布したルータ（ASBR）。
⑥BFD はルーティングプロトコルのタイマーより速く障害を検出するための専用機能。
