ネットワークスペシャリスト 2014年 午後1 問02

解答の論理構成

• 【問題文】「FWでは、ア と呼ばれる機能によって、ネットワークアドレス及びポート番号の変換を行っている。」
  → “ネットワークアドレス及びポート番号”の両方を変換するのはNetwork Address Port Translation。略称は “NAPT” であるため ア＝「NAPT」。
• 【問題文】「管理している情報…を自動的に引き継ぐ イ フェールオーバ機能」
  → セッション状態（ステート）を保持して切替える機能は “ステートフル(failover)” と呼ばれる。よって イ＝「ステートフル」。
• 【問題文】「OSI基本参照モデルのウ層での正常接続を表すリンクLED」
  → LEDは物理信号の有無を示す。OSI第1層＝物理層であり、リンクが点灯／消灯するのもここ。したがって ウ＝「物理」。
• 【問題文】「自ポートに設定されたIPアドレスの解決を要求する エ を用いて接続機器のARPテーブルを更新」
  → 自身のIP/MACを通知するARPは “Gratuitous ARP(GARP)” である。従って エ＝「Gratuitous ARP」。
• 【問題文】「仮想FWとの通信は、オVLANを使用して1本のリンクに複数のVLANを収容…（トランク接続）」
  → 1本の物理リンクにVLAN情報を付与して多重化する方式は “タグVLAN” と呼ばれる。以上より オ＝「タグ」。

誤りやすいポイント

• 「NAPT」と「PAT」を同義と捉えつつ、和文で “IPマスカレード” と書いてしまう誤答が多い。
• “ステートフル” を “フェールセーフ” や “ホットスタンバイ” と混同しがち。
• OSI層のLED表示はL2と早合点しやすいが、実際に点灯を司るのはL1。
• “Gratuitous ARP” を “Proxy ARP” と取り違えるケースが頻発。
• “タグVLAN” の対義語 “ポートVLAN(アクセスポート)” と混線し、単に “VLAN” とだけ書くと減点される。

FAQ

解答の論理構成

1. トランク接続が必要となる条件
   • VLAN間ルーティングや複数VLANの集約を1本の物理リンクで行うとき、そのリンクは “タグ付きフレームを通す” トランクポートに設定します。
2. Z社ネットワークに存在する VLAN
   • 【問題文】に「企画部と営業部のPCは部署ごとのVLANに属している。」とあります。よって少なくとも「企画部VLAN」と「営業部VLAN」の2つが同時に存在します。
3. 各スイッチの役割と接続構成
   • L3SWはルーティング機能を担当し、下位のL2スイッチへ各VLANを中継します。
   • SW3は1台のL2スイッチであり、その配下には「企画部VLANの端末」と「営業部VLANの端末」の両方がぶら下がっています。
   • したがって、SW3とL3SW間のリンクだけは2つ以上のVLANを同時に流す必要があり、トランク設定が必須です。
4. 他リンクがトランク不要な理由
   • FWやDMZ側は個別セグメントで運用されており、問題文に「複数VLANを1本に収容する」旨の記載はありません。
   • SW2–L3SW間もDMZ側との単一セグメント接続であり、マルチVLANを流す要件は示されていません。
5. 以上より、機器間がトランク接続でなければならない箇所は
   • 「SW3とL3SWの間」
     が正解になります。

誤りやすいポイント

• DMZ用に複数VLANがあると想定し、SW2–L3SWを選んでしまう。
• ファイアウォールへのリンクは “複数ネットワーク” という言葉から無条件にトランクだと勘違いする。
• 図を見てSW3以外にも複数VLANが書き込まれていると早合点し、根拠を確認せずに複数箇所を回答する。
• トランク＝タグVLANとアクセス＝アンタグVLANの概念整理が不十分で、L3SW側だけをトランクに設定すれば良いと誤解する。

FAQ

解答の論理構成

1. 【問題文】には「FWがフェールオーバした後に、多くのアプリケーションでデータの保全性が保たれて平常どおり通信できるのは、①トランスポート層のプロトコルの機能による」とあります。
2. フェールオーバ直後は一時的なパケットロスや順序乱れが発生します。これを上位層から隠蔽し、通信を継続させる代表的なトランスポート層プロトコルは「TCP」です。
3. TCPは接続型であり、パケット未達を検出すると同一データを再送し、到達確認（ACK）を行うことで「データの保全性」を担保します。
4. よって、①に該当する具体的な機能は「TCPの再送機能」と判断できます。

誤りやすいポイント

• 「ウィンドウ制御」「フロー制御」もTCPの機能ですが、問題文が強調する“データの保全性”と“パケットロスへの耐性”に最も直結するのは再送機構です。
• UDPは再送制御を持たないため誤答となります。
• 「シーケンス番号」や「コネクション維持」だけを答えると機能名が不十分で減点対象になり得ます。

FAQ

解答の論理構成

1. まず本文には「フェールオーバリンクには、ケーブル直結にする構成とSWを挟む構成があるが、Z社では、②障害切分けのためにSW2を挟む構成を採用している。」とあります。
2. ケーブル直結の場合、リンクが1本しかないため、ケーブル断や一方のポート障害が起きると両端でリンクダウンが発生し、どちらに原因があるのか判断しづらくなります。
3. 一方、間にスイッチ（SW2）を入れると、FW1‐SW2とFW2‐SW2の2本の物理リンクに分割されます。この構成では、例えばFW1側ポートが故障してもSW2‐FW2間は生きているため、FW2からはリンクアップ状態のままです。
4. したがって「どちらのFW側で障害が起きたか」をリンク状態だけで容易に切り分けられ、もう一方のFWが不要にリンクダウンすることも避けられます。
5. 以上より、設問の利点は「一方のポート故障で対向ポートまで巻き込まず、障害箇所を特定しやすいこと」と説明できます。

誤りやすいポイント

• スイッチを入れる目的を「帯域増加」や「負荷分散」と勘違いする。実際は障害切分けが主目的です。
• フェールオーバリンクをVLANトランキングと混同し、レイヤ3冗長経路だと思い込む。ここでは単純なレイヤ2直結回線です。
• 「SWを挟むと遅延が増えフェールオーバが遅くなる」と決めつける。実用上無視できる程度であり、本問の焦点は信頼性向上です。

FAQ

解答の論理構成

1. 問題文の該当箇所を確認
   引用：
   「FWに接続しているスイッチは、このフレームを受信することで、③レイヤ2機能で用いるテーブルを適切に更新することができる。」
   ここで問われているのは “レイヤ2機能で用いるテーブル” の名称です。
2. レイヤ2スイッチが保持する代表的なテーブルを整理
   • レイヤ2（データリンク層）のスイッチがフレーム転送に利用するのは、宛先MACアドレスとスイッチポートを対応付けるテーブルです。
   • このテーブルには学習したMACアドレスが登録されるため、機器がポートを変更すると書き換えが必要になります。
3. 用語の正式名称を特定
   • 世間一般でも試験対策書でも「MACアドレステーブル」と呼ばれます。
   • 他に「フォワーディングテーブル」「学習テーブル」などの別名がありますが、問題文は “レイヤ2機能で用いる” とだけ述べており、もっとも標準的・直接的な名称で答えるのが適切です。
4. よって解答は
   MACアドレステーブル

誤りやすいポイント

• ARPテーブルと混同する
  ARPテーブルはIPアドレスとMACアドレスの対応関係を保持するL3側のデータです。レイヤ2スイッチが自動学習するテーブルとは役割が異なります。
• CAMテーブルという表現に迷う
  機器ベンダによってはCAM(Content-Addressable Memory)テーブルとも呼びますが、試験では一般的な「MACアドレステーブル」を用いることが多いです。
• ルーティングテーブルを想起してしまう
  フェールオーバの話題で「切り替え＝経路制御」と早合点し、L3のテーブルを答えてしまうミスが散見されます。問題文は “レイヤ2” と明示しています。

FAQ

解答の論理構成

1. ARPテーブルを初期化すべき機器の抽出
   • 表1の(5)では「L3SW, a について初期化する。」とある。
   • 交換後に変化するのは「FW1の各ポートのMACアドレス」なので、FW1と直接IP層で通信し、ARPキャッシュを保持する機器が対象になる。
   • 図1でFW1と直接IP通信を行うのは「ルータ」「DNSサーバ」「Webサーバ」の3機器である。これらはいずれもL3機能（ARPテーブル）を持つホスト／ルータであり、ARPエントリの更新が必要になる。
     ⇒ a＝「ルータ、DNSサーバ、Webサーバ」
2. FW2交換時に確認すべき内容の導出
   • 表1のFW2‐(3) は「Standby動作に入り、b を確認する。」
   • 交換作業手順の目的は、Active側（今回なら「FW1」）と同一の設定でStandbyに入ること。
   • 問題文には「副系のFW2はFW1から設定情報の同期と管理情報の複製を行い、Standby動作に切り替わった。」と記載されている。
   • よって確認すべきなのは「FW1から設定情報が同期されたこと」。
     ⇒ b＝「FW1から設定情報が同期されたこと」

誤りやすいポイント

• SW2やSW4を a に入れてしまう
  レイヤ2スイッチはARPテーブルを保持しないため初期化対象外です。
• 「管理情報の複製」まで b に含めてしまう
  確認ステップは“設定情報”にフォーカスしており、用語を広げると減点対象になります。
• Active / Standbyの立場を取り違える
  FW1交換時はFW2がActive、FW2交換時はFW1がActiveという前提を忘れやすいです。

FAQ

解答の論理構成

1. 仮想FW導入後は、FWとの間を「“オVLANを使用して1本のリンクに複数のVLANを収容する接続（以下、トランク接続という）”」で結ぶ計画です。
2. トランク接続では、VLAN間ルーティングを行うレイヤ3機能を持つスイッチがFW直近に位置していることが望ましく、仮想FWに接続するスイッチにはIPルーティング機能が必要です。
3. ところが本文には「“DNSサーバ及びWebサーバは現在のままとし、トランク接続を使用しない。”」とあり、DMZ側（DNS／Webサーバ側）はレイヤ2スイッチで十分であることが示唆されています。
4. 現状の図1では、FWに最も近い位置にあるDMZ側のスイッチが「SW4」、社内VLAN間ルーティングを担っているのが「L3SW」です。
5. そこで「“④2台のスイッチを相互に入れ替えて”」という指示の対象は、
   ・FW直近に置いてトランク接続を張りたいL3機能付きスイッチ … 「L3SW」
   ・DMZだけを収容し、レイヤ2で足りるスイッチ … 「SW4」
   の2台になります。
6. ゆえに解答は「SW4とL3SWを相互に入れ替える。」となります。

誤りやすいポイント

• “トランク接続を使用しない”の主語を取り違え、DMZ側ではなく社内側と誤解する。
• 「相互に入れ替える」を単純に“前後の配線を差し替える”と受け取り、物理配置変更の必要性を見落とす。
• レイヤ2／レイヤ3スイッチの機能差を意識せず、トランキングとルーティングの関係を結び付けられない。

FAQ

解答の論理構成

1. 問題文は、仮想FWを「複数定義できる機能」とし、「仮想FWごとに独立して設定」できると述べています。
   引用: 「仮想FWとは、FW1及びFW2の中に論理的なFWの機能を複数定義できる機能である。フィルタリングルールは、仮想FWごとに独立して設定できる。」
2. また、負荷分散の鍵となる記述として、下線⑤には「Active動作に設定した仮想FWを適切に配置」とあります。
   引用: 「⑤Active動作に設定した仮想FWを適切に配置すると、物理FW間での負荷が分散可能」
3. 負荷を分散したい対象は「企画部用の仮想FW及び営業部用の仮想FW」であり、両方を「FW1及びFW2に定義」すると記載されています。
   引用: 「企画部門の仮想FW及び営業部門の仮想FWの両方を、それぞれFW1及びFW2に定義する構成案」
4. 以上より、最適な配置は
   ・企画部用の仮想FWはFW1がActive／FW2がStandby
   ・営業部用の仮想FWはFW2がActive／FW1がStandby
   と互い違いにすることで、2台の物理FWの処理をバランス良く分散できます。
5. 模範解答は次の2パターンを提示しています。
   引用:
   「・FW1で企画部用の仮想FWを、FW2で営業部用の仮想FWを、それぞれActiveにする。
   　・FW2で企画部用の仮想FWを、FW1で営業部用の仮想FWを、それぞれActiveにする。」
6. いずれも「互い違いのActive割当」である点が共通で、これが設問要求「⑤Active動作に設定した仮想FWを適切に配置」の具体的内容となります。

誤りやすいポイント

• 2つの仮想FWを同一物理FWでどちらもActiveにすると、負荷分散にならず設問意図を満たしません。
• Standbyの割当を記述せずActiveだけを書き並べると、構成が不明確として減点対象になりやすいです。
• 「トランク接続」や「VLAN番号」の話題と混同し、配置ではなく接続方式を答えてしまうミスが散見されます。

FAQ