ネットワークスペシャリスト 午後 解答用紙　令和7年春（午後Ⅰ 問1〜3・午後Ⅱ 問1〜2）

この問題の骨格　大阪本社と東京支社を「広域イーサ網（主）＋IPsec VPN（従）」で冗長化し、 C社SaaS とは eBGP でつないだ構成。そこでルータ6台を業務を止めずに交換する。 問われるのは OSPF のコスト設計／eBGP の経路優先／VRRP と OSPF の協調の3点で、 いずれも分野②の中心論点。

設問1(1)　a＝バックボーン、b＝ルータ、c＝デフォルトゲートウェイ

a は「エリア ID が 0.0.0.0 と表記される」で確定。エリア0＝バックボーンエリア。 b は「ループバック IP アドレスは OSPF ルータを識別する□ ID」なのでルータ ID。 物理インタフェースのアドレスはリンクが落ちると消えるが、ループバックは消えないので ルータ ID に使う。c は「PC に設定するデフォルトルートのネクストホップに相当する」ので デフォルトゲートウェイ。ここを VRRP で冗長化する。

設問1(2)　不正な OSPF ルータと隣接関係になり経路交換してしまう問題（35字以内）

OSPF のネイバー認証は、Hello パケットに鍵付きのダイジェストを載せ、 鍵を知らない相手とは隣接関係（アジャセンシー）を張らないようにする仕組み。 防げるのは「偽のルータが勝手に隣接になって、嘘の経路を流し込む」こと。

設問1(3)　（R30 と比較して）長くする

AS_PATH プリペンドは、自 AS 番号を何回も並べて AS_PATH を長く見せるテクニック。 BGP の経路選択では AS_PATH が短いほど優先されるので、 使わせたくない経路をわざと長くする。ここは「通常は R30、R30 が使えないときだけ R31」なので、 R31 側の AS_PATH を長くする。

設問1(4)　OSPF の経路情報が収束した状態（25字以内）

VRRP のプリエンプトディレイを入れる理由。電源を入れた直後のルータは、 VRRP 的にはプライオリティが高いのですぐマスターになれてしまう。 しかし OSPF はまだ隣接確立と LSA 交換の途中で経路表ができていない。 この状態でマスターになると、PC から届いたパケットの転送先が分からず通信が落ちる。 だから OSPF が収束するまで待つ。

設問2(1)　大阪本社＝(ウ)／東京支社＝(ア)と(イ)

「R10 を経由する通信はどれか」を図1で追うだけ。R10 は大阪本社にあって広域イーサ網側を向いている。

大阪本社の内部NW から
  (ア)インターネット   L3SW10 → FW10 → インターネット        R10 を通らない
  (イ)サーバセグメント  L3SW10 → L2SW10                        R10 を通らない
  (ウ)C社SaaS         L3SW10 → R10 → 広域イーサ網 → R30 →   ★通る

東京支社の内部NW から
  (ア)インターネット   R20 → WAN → R10 → L3SW10 → FW10 →    ★通る
  (イ)サーバセグメント  R20 → WAN → R10 → L3SW10 →           ★通る
  (ウ)C社SaaS         R20 → WAN → R30 → C社SaaS             R10 を通らない

東京支社から C社SaaS へは大阪本社を経由せず、WAN から直接 C社データセンターに抜ける。 ここを「全部 R10 経由」と思い込むと落とす。

設問2(2)　65535 といった十分大きな値に変更する（30字以内）

OSPF はコストが小さい経路を選ぶ。R10 を迂回させたいのだから、 R10 のインタフェースのコストを大きくする。問題は「どのくらい大きく」で、 答えは最大値に近い十分大きな値。

設問2(3)　物理インタフェース閉塞の方が素早く切り戻せるから（30字以内）

項番 1-3 で物理インタフェースを閉塞してから、項番 2-1 で電源を切る。 なぜ電源断の前にわざわざ閉塞するのか。閉塞ならコマンド1つですぐ戻せるが、 電源を切ってしまうと起動に数分かかる。何か起きたときに最短で原状復帰できる状態を先に作る。

設問2(4)　イーサネットケーブルにラベルを付与する（25字以内）

項番 2-2 でケーブルを全部抜くので、2-6 で挿し直すときに挿し間違える。 抜く前（2-2 の前）にラベルを貼っておく。技術ではなく作業手順の常識を問う設問で、 ここは確実に取りたい。

設問2(5)　L3SW10、R11、R20、R30

新 R10 が正しく復帰したかを確認するので、R10 が OSPF で隣接している相手すべてに ping する。 図1 から R10 の対向は、内部側が L3SW10、同じ拠点の相方が R11、 広域イーサ網の先が東京支社の R20 と C社データセンターの R30。

この問題から持ち帰るもの　①OSPF はコストを十分大きくして計画的に迂回させる。 ②BGP はAS_PATH プリペンドで経路を不利にする。③VRRP のマスター昇格は OSPF の収束を待ってから（プリエンプトディレイ）。 ④手順の理由を問われたら切り戻しの速さ・影響範囲を書く。

この問題の骨格　社内のフォワードプロキシをクラウド型のセキュア Web ゲートウェイ（SWG）に置き換える話。 PC にエージェント（ソフト E）を入れ、Web 通信を全部 SWG 経由にする。既存のプロキシはリバースプロキシに役割を変えて、 社外に持ち出した PC（R-PC）から業務用サーバへ入る入口にする。 問われるのは FW ルールの読み書き／HTTPS 復号の仕組み／通信経路の追跡／送信元 IP が変わることの影響の4点。 分野③の中でも「プロキシ・FW・経路」という最頻出の組合せで、知識より本文と図を正確に読む力で差がつく問題。

設問1(1)　複数機器のログを時系列で確認するため（25字以内）

「ログ解析に着目して」と誘導されている。機器ごとに時計がずれていると、FW のログとプロキシのログを 突き合わせたときに前後関係が分からなくなる。NTP で揃えるのは「正確な時刻を知るため」ではなく、 複数機器のログを同じ時間軸に並べるため。

設問1(2)　ブロックのため／アクセス履歴の確認のため／利用者認証のため（2つ、各35字以内）

「本文中の字句を用いて」なので探すだけ。プロキシサーバの説明にある3つから2つ書く。

p.16  登録した FQDN や IP アドレス宛ての通信をブロックする     → ①フィルタリング
      認証サーバは、プロキシサーバ…の接続時に RADIUS で利用者認証  → ②利用者認証
      syslog に…Web サイトへのアクセス履歴の確認…に利用        → ③アクセス記録

設問1(3)　L3SW の DHCP リースログ

FW の通信ログに残るのは送信元 IP アドレスだけ。PC は DHCP で IP をもらっているので、 「その時刻にその IP を使っていたのは誰か」は DHCP のリースログ（IP ⇔ MAC ⇔ 時刻）でしか分からない。 下線③に並ぶ5種類のログから、IP アドレスと端末を結び付けられるものを選ぶ。

設問1(4)　a＝syslog サーバ、b＝認証サーバ

表1 はポート番号から機器を逆引きする問題。

項番1  DMZ → a            UDP/514   → syslog。DMZ の NTP/プロキシがログを送る先 → syslog サーバ
項番3  プロキシサーバ → b  UDP/1812  → RADIUS 認証。プロキシが利用者認証を頼む先 → 認証サーバ

514＝syslog、1812＝RADIUS 認証（1813＝アカウンティング）、123＝NTP は午後で毎回使う番号なので即答できること。

設問1(5)　c＝10080、d＝443

項番7 は内部セグメントからプロキシへ。本文に「プロキシサーバは TCP/10080 で接続を待ち受ける」とある。 項番8 は内部セグメントから K社SaaS へ直接。冒頭に「HTTPS でアクセス」とあるので 443。

設問2(1)　SWG サービスのルート証明書（20字以内）

SWG が「HTTPS 通信のコンテンツを調査する」＝TLS を一度終端して中身を見る（TLS インスペクション）。 SWG は Web サイトの代わりに自分で発行したサーバ証明書を PC に返す。 PC のブラウザがそれを信頼するには、発行元である SWG の CA 証明書（ルート証明書）を事前に入れておく必要がある。

通常     PC ──TLS──────────────── Web サイト   （サーバ証明書は公開 CA が発行）
SWG 経由 PC ──TLS── SWG ──TLS── Web サイト
             ↑ SWG が「Web サイト名」の証明書をその場で発行
               → 発行元の SWG ルート証明書を PC が信頼していないと警告

設問2(2)　C&C サーバ

「隔離環境上で動作を観察」＝サンドボックス。遠隔操作型のマルウェアを動かすと、 指令を受け取るためにC&C（Command and Control）サーバへ接続しに行く。その通信先を観察して検知する。

設問3(1)　2 と 7

フォワードプロキシを止めると要らなくなるルールを表1 から選ぶ。 「フォワードプロキシだから必要だったもの」だけを消し、リバースプロキシになっても使うものは残す。

項番2  プロキシ → インターネット TCP/80,443   PC の代理で外に出る通信 → 不要  ★削除
項番7  内部セグメント → プロキシ TCP/10080     PC がプロキシに頼む通信   → 不要  ★削除
項番1  DMZ → syslog                             ログ送信は続く            → 残す
項番3  プロキシ → 認証サーバ UDP/1812          リバースプロキシでも利用者認証する → 残す
項番8  内部セグメント → K社SaaS TCP/443        もともとプロキシ非経由    → 残す（後で SWG 経由に変わるが、この設問の対象外）

設問3(2)　(B)，(A)，(H)，(I)，(E)，(I)，(K)

下線⑦の書き方「(G),(F),(I),(H),(J)」に合わせて、通過する機器を順に全部書く。R-PC から業務用サーバへは、 SWG を通ってから J社のリバースプロキシに入り、そこから業務用サーバへ行く。

(B) R-PC
 → (A) ソフト E        PC 内のローカルプロキシ。社外でも SWG 経由にする
 → (H) SWG サービス    インターネット側で検査、送信元を SWG-GIP に変換
 → (I) FW              インターネットから DMZ へ入る
 → (E) リバースプロキシ ここで利用者認証、業務用サーバへ中継
 → (I) FW              DMZ から L3SW 側へ出るのに FW をもう一度通る
 → (K) 業務用サーバ

設問3(3)　送信元＝内部セグメント、宛先＝SWG サービス、TCP/443

本文「ソフト E は…HTTP 及び HTTPS の通信を SWG サービスの TCP/443 ポート宛てに中継する」から。 送信元は社内の PC がいる内部セグメント（ソフト E でも可）。HTTP（80）も 443 に乗せて運ぶので、80 は書かない。

設問3(4)　アクセスを許可する送信元を SWG-GIP に変更する（35字以内）

冒頭に「K社SaaS では、アクセスを許可する送信元を J社のグローバル IP アドレスだけに制限」とある。 SWG 経由にすると、K社SaaS から見た送信元は J社の IP ではなく SWG-GIP になる。許可リストを書き換えないと全員が弾かれる。

設問3(5)　FW の負荷軽減／RTT の短縮（10字以内）

直接接続リストに業務用サーバを入れないと、社内 PC から社内の業務用サーバへの通信が いったんインターネットの SWG まで出て、また FW から戻ってくる（ヘアピン）。

登録しない  PC → ソフトE → FW → SWG → FW → リバースプロキシ → FW → 業務用サーバ   FW を3回、インターネット往復
登録する    PC → L3SW → 業務用サーバ                                            社内で完結

利点は「経路が短くなる」ことから導けるものなら何でもよく、解答例は FW（回線）の負荷軽減、RTT 短縮、 可用性向上（SWG や回線が落ちても業務用サーバは使える）の3つ。

この問題から持ち帰るもの　①FW ルールはポート番号から機器を逆引きできるようにしておく（514・1812・123・10080 のような本文指定値）。 ②HTTPS 検査は SWG のルート証明書を PC に入れる。③サンドボックスで見るのは C&C への通信。 ④経路を書く設問は同じ機器を2回通ることがある、図を指でなぞる。⑤クラウドプロキシにすると相手から見える送信元 IP が変わる。 ⑥社内宛て通信をクラウドに回すとヘアピンになるので直接接続リストで除外する。

この問題の骨格　IPv4 だけの社内ネットワークを IPv4/IPv6 デュアルスタックにする検討。 前半が NDP と SLAAC によるアドレス自動設定、中盤が デュアルスタックの DNS、 後半が OSPFv3 の経路設計。午前Ⅱで落とした IPv6（NDP・OSPFv3）が、そのまま午後Ⅱ1問分になっている。 令和7年度の最新問題がこれということは、IPv6 は今後も本命テーマ。

設問1　a＝宛先 IP アドレス、b＝ブロード、c＝リプライ

IPv4 の ARP の手順をなぞるだけ。求めたい相手の IPv4 アドレスを ARP リクエストの 宛先（ターゲット）IP アドレスフィールドに入れてブロードキャストで撒き、 該当するノードが ARP リプライの送信元 MAC アドレスフィールドに自分の MAC を入れて返す。

IPv4  ARP リクエスト → ブロードキャスト（全員が受け取って処理）
IPv6  NS メッセージ  → 要請ノードマルチキャスト（下位24ビットが一致するノードだけ）

設問2(1)　d＝16、e＝48、f＝64

IPv6 は 128 ビットを 16 ビットずつ “:” で区切って 8 ブロックで書く。 インタフェース識別子は 48 ビットの MAC アドレスから 64 ビットの Modified EUI-64 を作る （真ん中に ff:fe を挿入して 64 ビットにし、先頭から7ビット目の U/L ビットを反転する）。

設問2(2)　データリンク層で通信可能な範囲（20字以内）

LLA（fe80::/64）が一意であればよい範囲＝同じリンクの中だけ。 だからルータを越えると届かないし、別のリンクでは同じ fe80::1 を使い回してよい。

設問2(3)　同じデータリンク層上に同じ IPv6 アドレスを使用しているノードがいないことを確認するため（55字以内）

図3 の処理(i)（仮の LLA）と処理(v)（仮の GUA）は、どちらも DAD（重複アドレス検出）。 仮アドレスを NS に入れて投げ、NA の応答が返ってこなければ誰も使っていないと判断して正式採用する。 LLA と GUA で2回やるので、図3 に NS/NA が2往復出てくる。

(i)   NS  仮の LLA で DAD      → 応答なし
(ii)  NA  正式な LLA を全ノードに通知
(iii) RS  ルータいますか（全ルータマルチキャスト宛て）
(iv)  RA  ルータ(ノード3)が プレフィックス＋デフォルトルータ情報 を返す
(v)   NS  RAのプレフィックス＋自分の識別子で作った仮の GUA で DAD
(vi)  NA  正式な GUA を全ノードに通知

設問2(4)　GUA＝2001:db8:aabb:1:8:800:200c:417a ／ プレフィックス長＝64

GUA は RA でもらったサブネットプレフィックス＋すでに決まっているインタフェース識別子で作る。 識別子は正式な LLA fe80::8:800:200c:417a の下位64ビット＝8:800:200c:417a。 これをプレフィックス 2001:db8:aabb:1::/64 にくっつける。

fe80:0000:0000:0000 : 0008:0800:200c:417a   ← LLA（上位64が fe80::/64）
2001:0db8:aabb:0001 : 0008:0800:200c:417a   ← 上位64 を RA のプレフィックスに差し替える

SLAAC では識別子は使い回すので、新しく作るのは上位64ビットだけ。

設問2(5)　g＝デフォルトルータ（デフォルトゲートウェイ）

RA の送信元（ノード3＝L3SW1）の LLA をデフォルトルータに設定する。 IPv6 のデフォルトルータは GUA ではなく LLA で指すのが普通。 これは設問4(4) の経路表のネクストホップが全部 fe80:: になっていることと同じ話。

設問2(6)　PC を特定しづらくなるから（20字以内）

識別子を MAC から作ると、どのネットワークに移動しても下位64ビットが同じになり、 外部から同一端末だと追跡できてしまう。だから乱数で作るのが推奨（本文も EUI-64 は非推奨と書いている）。 その裏返しで、社内では「このアドレスはどの PC か」を特定しづらくなる——これが設問の答え。

設問3(1)　h＝TCP

DNS は通常 UDP だが、EDNS が使えない相手と 512 バイトを超えるメッセージをやり取りするときは TCPに切り替える。 IPv6 では AAAA レコードが増えて応答が大きくなるので、この話が出てくる。

DNS の使い分け
  UDP 53   通常の問合せ（512バイトまで）
  EDNS0    UDP のまま 512 バイト超を許す拡張（双方が対応していれば）
  TCP 53   EDNS が使えない／上限を超える／ゾーン転送(AXFR)

設問3(2)　IPv6 アドレス＝2001:db8:xxxx::10 と ::20 ／ FQDN＝ns1.example.net. と ns2.example.net.

図5 を上から読む。saas.example.com. は CNAME で dual-saas.example.net. を指しており、AAAA はそちらに付いている。 だからアクセス先アドレスは 2001:db8:xxxx::10 と ::20 の2つとも。

権威 DNS サーバは AUTHORITY SECTION を見る。example.net. の NS が ns1.example.net. と ns2.example.net.。 ADDITIONAL SECTION にある 198.51.100.α／β はその権威サーバの IPv4 アドレス（グルーレコード）で、 聞かれているのは FQDN なのでこちらではない。

設問3(3)　IPv4 にフォールバックして SaaS の同じ Web ページにアクセスするから（45字以内）

デュアルスタックでは AAAA と A の両方が引ける。IPv6 が優先されるが、 IPv6 がつながらなければ OS や ブラウザが黙って IPv4 で再試行する（Happy Eyeballs）。 利用者からは普通に見えてしまうので、IPv6 だけが死んでいても誰も申告してこない。

設問4(1)　インターネットからルータA、ルータB及び FW にアクセスできないようにするため（50字以内）

図6 の a〜d は LLA だけで GUA が「未割当て」。GUA がなければインターネットから到達しようがない。 IPv6 は NAT を使わない前提なので、アドレスを付けないこと自体がアクセス制御になる。

設問4(2)　traceroute6 を利用して調べるときに各機器を識別しやすくする（45字以内）

PC もサーバも載っていないリンクに、なぜわざわざ GUA を静的に振るのか。 traceroute6 は経路上の各ルータが返す ICMPv6 の送信元アドレスを並べて表示する。 GUA が無いと LLA しか出ず、どの機器のどのインタフェースか判別できない。

設問が「経由するネットワーク機器を調べるときに使用されるコマンド名を用いて」と わざわざ指定しているので、答えにコマンド名を必ず入れること。

設問4(3)　PC が送信した RS メッセージに対して RA メッセージを応答する（40字以内）

下線⑤「PC は SLAAC を用いて IPv6 アドレス及びデフォルトルータを設定する」を成立させるために、 L3SW 側がやること。図3 の処理(iii)(iv) そのもの。 「ICMPv6 のメッセージ名を用いて」と指定されているので RS／RA を必ず書く。

設問4(4)　ア fe80::1／イ b／ウ fe80::2／エ c／オ fe80::1／カ d／キ fe80::2／ク f／ケ fe80::1

図6 の表から LLA を拾って、「出口インタフェースの対岸にいる機器の LLA」を書くだけ。

ルータB ::/0                  → 対岸はルータA の a = fe80::1 、出口は b
ルータB 2001:db8:yyyy:3::/64  → 対岸は FW の d      = fe80::2 、出口は c
FW     ::/0                  → 対岸はルータB の c  = fe80::1 、出口は d
FW     2001:db8:yyyy:3::/64  → 対岸は L3SW1 の g   = fe80::2 、出口は f
L3SW1  ::/0                  → 対岸は FW の f      = fe80::1 、出口は g

設問4(5)　ホップリミットが0になるまで相互に転送し合い、廃棄する（35字以内）

項番2 は 2001:db8:yyyy::/48 → Null、いわゆるヌルルート（ブラックホール経路）。 これが無いとどうなるかを追う。

インターネットから 未使用の GUA（例 2001:db8:yyyy:9::1）宛てのパケットが来る
  ルータA : /48 の静的経路があるので ルータB へ送る
  ルータB : その宛先に一致する経路が ::/0 しかない → ルータA へ送り返す
  ルータA : また ルータB へ …（往復）

これがルーティングループ。IPv6 では IPv4 の TTL に相当するのがホップリミットで、 転送のたびに1ずつ減り、0 になった時点で廃棄される。

設問4(6)　ロンゲストマッチによって選択されるから（25字以内）

項番1（::/0）と項番2（/48）の両方に当てはまるとき、 プレフィックス長が長い方＝より具体的な方が選ばれる。だから /48 のヌルルートが効いてループが止まる。

設問4(7)　i＝NAPT

IPv4 側はルータB に NAPT があるので、内側から出た通信の戻りしか入ってこない＝事実上の防壁になっていた。 IPv6 は端末までグローバルアドレスを振るので NAPT が無く、FW のアクセス制御だけが頼りになる。

設問4(8)　通信経路における最小の MTU（20字以内）

PMTUD は、経路上の機器が「大きすぎて転送できない」ときに返す ICMPv6 タイプ2 “Packet Too Big” を使って、経路上で一番小さい MTU を突き止める仕組み。

この問題から持ち帰るもの　①NDP は NS/NA（アドレス解決・DAD）＋RS/RA（ルータ探索・プレフィックス通知）の4本。 ②SLAAC は RA のプレフィックス＋自分の識別子。識別子は使い回す。 ③OSPFv3 のネクストホップは LLA。リンクごとに重複してよいので出口インタフェースとセット。 ④デュアルスタックは IPv4 にフォールバックするせいで障害に気付けない→ping6 監視が必要。 ⑤IPv6 には NAPT もブロードキャストも途中フラグメントも無い。無いものリストで覚える。