ネットワークスペシャリスト 2017年 午後1 問03

解答の導き方

誤りやすいポイント

• 「IPアドレスとポート番号の変換」を問う設問で単にNATと書いてしまう。問題文が「ポート番号の変換」を明記している場合はNAPT（またはPAT）を答える必要があります。
• IKEフェーズ1の認証方式で「鍵を共有する」とあるときに「公開鍵」とだけ書く誤り。公開鍵方式（証明書）と事前共有鍵（PSK）は別物です。設問文の「両方の機器であらかじめ同じ鍵を共有する」は事前共有鍵を指します。
• BGPの単位を問われているのにOSPFの「エリア」と混同する。BGPは AS（Autonomous System）単位、OSPFはエリア（例：エリア0）単位です。
• プロトコルのトランスポート層を誤認しやすい点。BGPはTCP（ポート179）を使用し、OSPFはUDPではなくIPプロトコル番号89を使用します。RIPはUDP（ポート520）です。
• pingの動作を誤解してICMPの代わりにTCP/UDPの応答を期待する誤答。pingはICMPのecho requestとecho replyで動作します。ただし実運用ではFW等でICMPを遮断しているケースがあるため、監視上の到達不可と実サービスの不具合は必ずしも一致しません。

FAQ

解答の論理構成

• 本文は、VPNルータ間のトンネルについて「L社クラウドサービスのVPNルータとK社NWのVPNルータでは、互いのグローバルIPアドレスを利用して、RFC 1853に記載されているIP in IPを用いて、トンネルが構成される。」と明記しています。
• つまり暗号化対象となるパケットの送信元・宛先IPは既に“グローバルIPアドレス”であり、このIP情報をそのままネットワーク上で見せても問題になりません。
• IPsecでトンネルモードを選ぶと、新たな外側IPヘッダを追加してしまいオーバーヘッドが大きくなります。今回のようにヘッダを隠蔽する必要がない場合は、既存ヘッダを温存し余分なヘッダを付けないトランスポートモードが合理的となります。
• したがって「暗号化対象の通信がグローバルIPアドレス間の通信だから」という結論になります。

誤りやすいポイント

• 「IP in IPでトンネルを張る＝必ずIPsecもトンネルモード」と早合点しやすい点。IPヘッダの秘匿が不要ならトランスポートモードでも可です。
• 「グローバルIPアドレスなら安全」と誤認してしまう点。秘匿対象がないだけであり、暗号化自体は必要です。
• トランスポートモードはMTU圧迫が小さい利点を見落としやすい点。ヘッダが増えなければフラグメント発生リスクを抑えられます。

FAQ

解答の論理構成

1. 【問題文】では、VPNトンネルについて
   「②元IPパケットと比較してパケットサイズは大きくなる」
   と明記されています。
2. 同じ段落で
   「トンネルインタフェースではMTUのサイズを適切な値に設定」
   と指示がありますが、設問条件では「トンネルインタフェースのMTUの値を 1,500 とした場合」となっています。
3. IP in IPとIPsec（ESPヘッダなど）によりカプセル化オーバヘッドが発生するため、元のIPパケット長＋追加ヘッダ長 > 1,500 になります。
4. インタフェース側は 1,500 を超えるパケットをそのまま転送できないため、IP層はRFC 791に従い「フラグメンテーション（分割）」を行います。
5. 分割されたIPフラグメントは反対側のVPNルータで「リアセンブル（再構成）」され、初めて復号・カプセル化解除が可能になります。
6. 以上より、「VPNルータで発生する処理」は「フラグメントとリアセンブル」であると結論できます。

誤りやすいポイント

• Path MTU Discoveryが働くと考え、フラグメントせずICMPを返すと誤解する。DFビットを設定していない限り、実際には自動フラグメントが行われます。
• 「トランスポートモードだからヘッダは増えない」と判断してしまう。IP in IPで既に外側ヘッダが付加されるため、モードにかかわらずオーバヘッドが存在します。
• 「送信側だけで分割される」と考え、受信側のリアセンブルを忘れる。

FAQ

解答の論理構成

1. 問題文には「静的経路制御、又は BGP を用いた動的経路制御を選択できる。Oさんは、③BGPを用いた動的経路制御を選択した。」とあります。
2. BGPはピアとのセッション状態を監視し、経路が届かなくなると即座に経路情報を撤回します。
3. 今回の構成では「VPNa1側をアクティブ、VPNb1側をスタンバイ」として二重化されており、どちらかの回線・機器に障害が発生してももう一方へ自動的に経路が切り替わることが求められます。
4. 静的経路では障害検知・経路切替が人手または追加機能に頼るため、迅速なう回が困難です。
5. よって「BGPによって回線断や機器障害を検知し、トラフィックをう回できる」ことが動的経路制御の利点になります。

誤りやすいポイント

• 「BGPはインターネット向けの大規模 AS 間でしか使わない」と誤解し、社内VPNでも有効な冗長化手段である点を見落とす。
• 静的経路でもトンネル監視ICMPなどで切替できると考え、切替時間と運用負荷の差を軽視する。
• 「BGP ＝負荷分散」と短絡的に捉え、ここでは主目的が“障害時の自動う回”であることを答えに反映できない。

FAQ

解答の論理構成

1. 問題文では「OSPFのエリア0を構成するが、④経路情報の交換を行う必要がないのでパッシブインタフェースとする。」と記述されています。
2. OSPFは隣接ルータと「Helloパケット」を交換して隣接関係を確立し、その後にLSDB（Link State Database）更新を行います。
3. パッシブインタフェースを設定すると、そのインタフェースではルーティングプロトコル用の制御パケット（OSPFではHelloパケット）を送出しません。
4. しかし、そのネットワーク情報自体はルーティングテーブルに載り、他インタフェース経由で広告されます。したがって“経路情報の交換を行う必要がない”という要件を満たします。
5. 以上より「Helloパケットを出さない。」が妥当な記述となります。

誤りやすいポイント

• パッシブインタフェースを「OSPFの広告も一切しない状態」と誤解する。実際にはHello送信だけを停止し、ネットワーク情報は他インタフェース経由で広報される。
• “受信”も停止すると考えてしまう。受信は行われるが隣接関係を形成しないため受信したHelloも無視される。
• “管理下ネットワークが経路表に載らなくなる”と勘違いし、必要なルート広告が欠落する設定をしてしまう。

FAQ

解答の論理構成

1. 目的の整理
   本文では「VPNa1側をアクティブ、VPNb1側をスタンバイ」にしたいと述べています。アクティブ経路は常時利用され、スタンバイ経路は障害時にのみ利用される経路です。
2. 方向別に考慮すべき経路
   I主任は「通信の方向それぞれについて経路設計をする必要があります」と説明し、まず「社内からL社クラウドサービスの方向」を取り上げています。ここで経路選択を行う装置は「L3SW」です。
3. 経路選択の判定基準
   L3SWはルーティングプロトコルとしてOSPFを用いており、OSPFでは“コストが小さい経路が優先”されます。したがってVPNa1を優先するには、L3SWが見るVPNa1までのOSPFコストをVPNb1までより小さくしておけばよいことになります。
4. コスト設定の具体的方法
   Oさんの発言を引用すると
   「VPNb1側のコストをVPNa1側と比べて A とします。」
   ここでアクティブ経路（VPNa1）が選択されるためには、スタンバイ側（VPNb1）のコストを意図的に“高く”設定する必要があります。
   つまり、空欄 A には「大きく」を入れるのが妥当です。
5. 結論
   A に入る適切な字句は
   「大きく」
   となります。

誤りやすいポイント

• 「スタンバイ側は障害時に使う＝コストを小さくしておく」と逆に考えてしまう。OSPFでは小さいコストが優先されるため、スタンバイ側は“大きい”コストを設定します。
• OSPFの“コスト”と他プロトコルの“メトリック”や“管理距離”を混同する。管理距離は異種プロトコル間の優先度、OSPFコストは同一プロトコル内での最短経路判定です。
• アクティブ／スタンバイの切替はBGPパス属性で行うと誤解する。本文の方向「社内 → クラウド」はL3SWがOSPFで経路を学習しているため、BGP属性ではなくOSPFコストが決定要因です。

FAQ

解答の論理構成

1. 【問題文】では「VPNa1とVPNb1では、OSPFとBGPの間で経路情報の再配布を行う。」とあり、二つのプロトコル間で相互にルートを受け渡す構成です。
2. さらに下線⑤として「経路のループを防止する経路制御」が必要と明記されています。
3. 何もしない場合、
   • eBGPで受信した“クラウド側サーバセグメント”の経路
   • → OSPFへ再配布
   • → OSPF経由で別のVPNルータへ渡る
   • → 再びeBGPへ再配布
     という流れで同一経路が“行って戻る”循環が起こります。
4. ループを断つ最もシンプルな方法は、①でeBGP→OSPFへ流した経路を②でOSPF→eBGPへ逆戻りさせないフィルタを適用することです。
5. よって「eBGPからOSPFへ再配布された経路を再びeBGPへ再配布しない。」が適切な経路制御となります。

誤りやすいポイント

• OSPFパッシブインタフェース設定（④）は「OSPFでの隣接関係抑止」であり、BGP↔OSPFループ対策とは別物です。
• iBGPループ防止（AS_PATH変化しない問題）と混同しやすいですが、本設問は“eBGP→OSPF→eBGP”の再配布ループが論点です。
• MEDやAS_PATH長での優先度調整は“到達経路選択”であり、ループ防止策ではありません。

FAQ

解答の論理構成

1. 【問題文】は下線部⑥で、
   「二つあるVPNトンネルがそれぞれ正常に動作しているかを常に確認する」
   と述べています。ここで注目すべき語は「それぞれ正常」「常に確認」です。
2. 本システムでは、VPNトンネルを
   「VPNa1 ⇔ VPNa2」と「VPNb1 ⇔ VPNb2」の二系統で構成し、
   VPNa1側をアクティブ、VPNb1側をスタンバイとする冗長構成を採っています。
3. 冗長構成の目的は、どちらか一方が故障しても通信を継続できる可用性の確保です。しかし一方が故障すると、通信そのものは生きていても“冗長性”は失われます。
4. そこでping監視を (e)・(f) の両トンネル先端に向けて行い、各トンネルの到達性を独立して判定します。
5. 判定結果により「冗長構成が維持されている／失われた」を即時に把握できるため、解答は
   「ネットワーク接続の冗長構成が失われたことを検出するため」
   となります。

誤りやすいポイント

• 「通信断の検出」が目的だと早合点しやすい
  → 一系統が生きていれば通信は継続するため、監視の主眼は“冗長性の喪失”です。
• MTU・MSSなどトンネル設定の技術的課題と混同する
  → 監視項目は単純な到達性(ping)であり、パケットサイズ最適化とは別問題です。
• アクティブ／スタンバイの切替機構を答えてしまう
  → 設問は「監視の目的」を問うており、切替方法自体は対象外です。

FAQ