ネットワークスペシャリスト 2024年 午後1 問02

解答の論理構成

1. [ア]
   • 問題文:「L社のPEルータと対向するアエッジルータ」
   • MPLS VPNでは利用者側ルータをCustomer Edge（CE）と呼びます。したがって「カスタマー」が入ります。
2. [イ]
   • 問題文:「二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている」
   • OSPFとBGPの経路を相互に移す操作は “再配布（redistribution）” です。
3. [ウ]
   • 問題文:「http/https通信ができるように、ウ のサブネットを宛先とする経路をOSPFで配布」
   • インターネット接続用プロキシサーバはDMZに配置されています。従って「DMZ」が正答です。
4. [エ]
   • 問題文:「AS 内部の経路交換はiBGPが用いられるのに対し…エ が用いられる」
   • 異なる AS 間で使うBGPはeBGP（External BGP）です。
5. [オ]
   • 問題文:「AS 番号65500は…予約されている番号の範囲…このような AS 番号を オ AS 番号という」
   • 予約帯を示す呼称は “プライベート AS 番号” です。
6. [カ]
   • 問題文:「アプリケーショントラフィックを識別したルーティングを カ ルーティングという」
   • トラフィックの内容で経路を選ぶ手法はPolicy-based Routing（ポリシーベース ルーティング）と呼ばれます。

誤りやすいポイント

• CEとCPEの混同: CEは “Customer Edge” でCPE（Customer Premises Equipment）と書かないよう注意。
• 再配布と再配送の言い換え: ネットワーク分野では “redistribution＝再配布” が慣用表現。
• DMZとサーバセグメントの取り違え: 問題文ではプロキシサーバがDMZにある点に着目する。
• eBGP/iBGPの境界: 同一 AS 内外の判定を AS 番号65500と64500の違いで整理する。
• プライベート AS と私設 AS の表記ぶれ: 日本語では「プライベート」が正式。
• ポリシーベース ルーティングとQoS制御の混同: 後者は帯域制御で経路選択とは別。

FAQ

解答の論理構成

1. 支店Vのプレフィックスを確認
   • 【問題文】には「②G社現行ネットワークで利用している各拠点のIPアドレスとAS番号を表2に示す」とあり、表2の「支店V」はIPアドレス「10.3.0.0/16」。したがって a は「10.3.0.0/16」です。
2. as-overrideなしの AS PATH
   • 表1の行見出し「as-override設定無し」には既に AS PATH「64500 65500」が示されています。
3. as-overrideありの AS PATHがどう変化するか
   • 【問題文】「L社のPEルータは、G社との間のBGPピアにas-overrideを設定している。この設定によって、G社の複数の拠点で同一のAS番号を用いる構成が可能になっている」と記載。
   • as-overrideを有効にするとPEルータは受信した経路の AS PATH内に現れる顧客 AS（ここでは「65500」）を自分の AS（「64500」）へ置換します。
   • 置換結果として AS PATHが「64500 64500」になります。よって b は「64500 64500」です。

誤りやすいポイント

• 「as-prepend」と混同し、AS 番号を重ねる理由を誤解する。as-overrideは顧客 AS を“上書き”します。
• 「65500」は拠点側で使用する私設 AS 番号であるのに対し、「64500」はL社VPNの AS 番号である点を取り違える。
• プレフィックスを「10.3.0.0/16」ではなく「10.3.0.0/24」などと誤って細分化して覚えてしまう。

FAQ

解答の論理構成

1. 各拠点が同じ AS 番号を使う
   • 【問題文】「L社のPEルータは、G社との間のBGPピアにas-overrideを設定している。この設定によって、G社の複数の拠点で同一のAS番号を用いる構成が可能になっている。」
     ⇒ データセンター、本社、支店V、支店Wの全拠点が同一 AS 番号を採用できる。
2. G社に割り当てられている AS 番号の確認
   • 【問題文】「L社VPNと接続するために、AS 番号65500が割り当てられている。」
     ⇒ G社が使用する AS 番号は「65500」である。
3. 表2に反映
   • 各拠点欄（データセンター、本社、支店V、支店W）の c～f をすべて「65500」とする。
4. 結果
   • c：65500
   • d：65500
   • e：65500
   • f：65500

誤りやすいポイント

• as-overrideの目的を取り違え、拠点ごとに異なる AS 番号を設定しなければならないと誤解する。
• 「65500」がプライベート AS 番号であることから、インターネット用にユニークな AS 番号が別途必要だと考え、空欄に64500を入れてしまう。
• MPLS VPNの AS 番号「64500」をG社側の AS と誤認し、表に転記する。

FAQ

解答の論理構成

• 【問題文】では、ルータ1～4で「二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている」と述べています。ここでの イ はプロトコル間再配布を示します。
• 続けて「一方のルーティングプロトコルで学習された経路がもう一方のルーティングプロトコルを介して③再び同じルーティングプロトコルに渡されることのないように経路フィルターが設定されている」と明記されています。
• すなわち、OSPFで学習した経路をBGP4に再配布した後、その経路が再びOSPFに戻らないようフィルタを掛けているという状況です。
• もしこのフィルタがなければ、同じ経路がOSFP ↔ BGP4間で無限に行き来し、経路が増殖・循環してしまいます。これは典型的な「ルーティングループ」です。
• ルーティングループが発生すると、CPU使用率の悪化、テーブル肥大化、パケットが目的地に届かないなど様々なネットワーク障害を引き起こします。
• したがって「経路フィルターによって防止することが可能な障害」は「ルーティングループによる障害」となります。

誤りやすいポイント

• ルーティングループと経路冗長化を混同し、「冗長経路を失う障害」と書いてしまう。
• ループの影響を「輻輳」や「帯域逼迫」とだけ記載し、障害名を示さない。
• 再配布で起こり得る別の問題（メトリック不整合など）を答えてしまう。

FAQ

解答の論理構成

1. OSPFで生成されるLSAの種類
   ・外部経路再配布時に用いられるのは「Type5（AS-external LSA）」です。
   ・問題文では「ルータ1～4で二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている。」とあり、イ ＝ “再配布” であることが文脈から分かります。
   ・さらに「全拠点からインターネットへのhttp/https通信ができるように、ウ のサブネットを宛先とする経路をOSPFで配布している。この経路情報は、途中BGP4を経由して、④ 3拠点（本社、支店V、支店W）のルータ及びL3SWに届く。」とあるため、BGPで受け取った経路をOSPFへ“再配布”していると読み取れます。
   ・BGPはOSPF外部のプロトコルなので、その経路をOSPFに取り込む装置（ASBR）が生成するのはType5 LSAとなります。
   よってLSAのタイプは「Type5又は 外部LSA」です。
2. LSAを生成した機器の特定
   ・BGP経路は各拠点のルータ（図1：ルータ2・ルータ3・ルータ4）で受信され、そのルータがOSPFへ再配布します。
   ・支店Vに着目すると、支店V側でBGPピアを張っているのは「ルータ3」です。したがって支店VのL3SW3に到達したType5 LSAは「ルータ3」が生成したものです。

誤りやすいポイント

• 「デフォルトルートだからType3」と早合点する
  → 本文に“BGP4を経由”と明記されており外部再配布のシナリオです。
• ASBR＝データセンター側ルータ1と決めつける
  → 拠点ごとにBGP経路を受け取り各拠点内で再配布しているため、支店Vではルータ3がASBRとなります。
• Type7 LSA（NSSA用）と混同する
  → 問題文には全エリアが「OSPFエリアは全てエリア0」とあるためNSSA条件に該当しません。

FAQ

解答の論理構成

1. 問題文には「SD-WANコントローラがSD-WAN装置に配布する主な情報は、SD-WAN装置ごとのオーバレイの経路情報と、⑤ IPsecトンネルを構築するために必要な情報の2種類がある。」とあります。
2. IPsecトンネルを構築する際に必須となるのは、(1) 対向装置を特定するためのIPアドレス（トンネルエンドポイント）と、(2) 暗号化／認証を行うための鍵（プリシェアドキーや証明書など）です。
3. したがって、「SD-WANコントローラから送られる情報」は
   　①「IPsecトンネル確立のためのIPアドレス」
   　②「IPsecトンネル確立のための鍵情報」
   　となります。

誤りやすいポイント

• TE番号やインタフェース名を答えてしまう
  IPsecの確立には“番号”ではなく実際のIPアドレスが必要です。
• BFDのパラメータやQoSポリシーを挙げる
  どちらもトンネルの監視・制御に役立ちますが、問題が聞いている「構築に必要な情報」ではありません。
• 経路情報を再掲してしまう
  経路情報はすでに「もう一方の主な情報」として別に示されているため二重回答になります。

FAQ

解答の論理構成

1. 本文では、SD-WAN装置の機能として「RFC 5880で規定されたBFD (Bidirectional Forwarding Detection) 機能を有する。」と明記されています。
2. 加えて下線⑥で「拠点のSD-WAN装置のトンネルインタフェースで、BFDを有効化する」とあります。
3. BFDはレイヤ3の双方向疎通を数ミリ秒オーダで監視し、リンクやトンネルの障害を即座に検出できるプロトコルです。
4. 本設計では複数のIPsecトンネル（L社VPN経由とインターネット経由）を張り、下線⑦に示すように「L社VPNを優先的に利用し、L社VPNが使えないときはインターネットを経由する」というフェイルオーバー制御を行います。
5. 障害発生時に切替えを迅速に行うには、トンネル障害を素早く検出する機構が必要であり、その役割をBFDが担います。
6. したがって、解答は「IPsecトンネルの障害を高速検出するため」と導かれます。

誤りやすいポイント

• BFDを「帯域増強のため」と誤認し、障害検出用途と結び付けない。
• 「トンネル」だけを対象とし、設問に要求される「IPsecトンネル」という用語を入れ忘れる。
• OSPF HelloやDeadインターバルで十分と考え、独立した高速検出プロトコルの必要性を見落とす。

FAQ

解答の論理構成

1. 通信経路の優先度を確認
   本文の下線⑦は「L社VPNを優先的に利用し、L社VPNが使えないときはインターネットを経由する」と明記しています。したがって通常時（L社VPNに障害が無い平常状態）は L社VPN経由のIPsecトンネル が選択されます。
2. L社VPN経由のトンネルはどのインタフェースか
   図3では、L社VPN経由のIPsecトンネルが 実線 で描かれ、SD-WAN装置の GE0インタフェース に割り当てられています。インターネット回線側（破線）はGE1です。よって平常時は各装置のGE0に付与されたTE (Tunnel Endpoint) が経路上に載ります。
3. 本社 → 支店V間で使われるTEの組を特定
   ・本社に設置されるSD-WAN装置2のGE0には TE021, TE024, TE023 が示されています。
   ・支店Vに設置されるSD-WAN装置3のGE0には TE032, TE031, TE034 が示されています。
   図3の実線トンネル対応表より、SD-WAN装置2とSD-WAN装置3を直結するL社VPNトンネルは TE023 – TE032 の組です。
4. 結論
   以上より、通常時に本社のPCから支店VのPCへ流れる通信が通過するTEは
   「TE023, TE032」 です。

誤りやすいポイント

• 「優先的に利用」という文言を読み飛ばし、インターネット側（GE1）のTEを選んでしまう。
• 図3の破線／実線の区別を逆に覚え、GE0とGE1を取り違える。
• SD-WAN装置間がフルメッシュであることを意識せず、同一装置内のTEを両端に書いてしまう。

FAQ

解答の論理構成

1. 【問題文】には、SD-WANのトラフィック選択方針として「⑦L社VPNを優先的に利用し、L社VPNが使えないときはインターネットを経由する」と記載されています。
   よって、支店VのL社VPN接続回線に障害が発生した場合、本社―支店V間の通信は必ずインターネット経由のトンネルを採用します。
2. 図3の凡例では、
   ・実線：IPsecトンネル（L社VPN）
   ・破線：IPsecトンネル（インターネット）
   と定義されています。質問条件は「支店VのL社VPN接続回線に障害」なので、実線側（GE0のTE0**）は利用不可、破線側（GE1のTE1**）が選択対象です。
3. 本社と支店Vが保有する“インターネット側TE”を図3で確認すると、
   ・本社（SD-WAN装置2）GE1：TE121, TE124, TE123
   ・支店V（SD-WAN装置3）GE1：TE132, TE131, TE134
   など複数あります。どの組合せが本社―支店V間の1対1トンネルかは、図3の「破線」で接続されたペアで判断します。
4. 図3の破線は本社側 TE123 と支店V側 TE132 を直接結んでいます。
   したがって、障害発生時に本社PC → 支店V PCのパケットが通過するトンネル終端は「TE123, TE132」となります。
5. 以上より、設問(1)の解答は【模範解答】どおり
   「TE123, TE132」です。

誤りやすいポイント

• 「VPN障害＝通信断」と思い込み、インターネット側トンネルを確認し忘れる。
• 図3のTEを単純に羅列し、破線・実線の区別を見落とす。
• 本社側に複数あるGE1のTE番号のうち、破線で接続されていないTE121/TE124を選んでしまう。
• TE番号が似ているため、支店VのTE131とTE132を取り違える。

FAQ