ネットワークスペシャリスト 2024年 午後1 問02

解答の論理構成

1. [ア]
   • 問題文:「L社のPEルータと対向するアエッジルータ」
   • MPLS VPN では利用者側ルータを Customer Edge（CE）と呼びます。したがって「カスタマー」が入ります。
2. [イ]
   • 問題文:「二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている」
   • OSPF と BGP の経路を相互に移す操作は “再配布（redistribution）” です。
3. [ウ]
   • 問題文:「http/https 通信ができるように、ウ のサブネットを宛先とする経路を OSPF で配布」
   • インターネット接続用プロキシサーバは DMZ に配置されています。従って「DMZ」が正答です。
4. [エ]
   • 問題文:「AS 内部の経路交換は iBGP が用いられるのに対し…エ が用いられる」
   • 異なる AS 間で使う BGP は eBGP（External BGP）です。
5. [オ]
   • 問題文:「AS 番号 65500 は…予約されている番号の範囲…このような AS 番号を オ AS 番号という」
   • 予約帯を示す呼称は “プライベート AS 番号” です。
6. [カ]
   • 問題文:「アプリケーショントラフィックを識別したルーティングを カ ルーティングという」
   • トラフィックの内容で経路を選ぶ手法は Policy-based Routing（ポリシーベース ルーティング）と呼ばれます。

誤りやすいポイント

• CE と CPE の混同: CE は “Customer Edge” で CPE（Customer Premises Equipment）と書かないよう注意。
• 再配布と再配送の言い換え: ネットワーク分野では “redistribution＝再配布” が慣用表現。
• DMZ とサーバセグメントの取り違え: 問題文ではプロキシサーバが DMZ にある点に着目する。
• eBGP/iBGP の境界: 同一 AS 内外の判定を AS 番号 65500 と 64500 の違いで整理する。
• プライベート AS と私設 AS の表記ぶれ: 日本語では「プライベート」が正式。
• ポリシーベース ルーティングと QoS 制御の混同: 後者は帯域制御で経路選択とは別。

FAQ

解答の論理構成

1. 支店 V のプレフィックスを確認
   • 【問題文】には「②G社現行ネットワークで利用している各拠点のIPアドレスとAS番号を表2に示す」とあり、表2の「支店V」は IP アドレス「10.3.0.0/16」。したがって a は「10.3.0.0/16」です。
2. as-override なしの AS PATH
   • 表1の行見出し「as-override 設定無し」には既に AS PATH「64500 65500」が示されています。
3. as-override ありの AS PATH がどう変化するか
   • 【問題文】「L社のPEルータは、G社との間のBGPピアに as-override を設定している。この設定によって、G社の複数の拠点で同一のAS番号を用いる構成が可能になっている」と記載。
   • as-override を有効にすると PE ルータは受信した経路の AS PATH 内に現れる顧客 AS（ここでは「65500」）を自分の AS（「64500」）へ置換します。
   • 置換結果として AS PATH が「64500 64500」になります。よって b は「64500 64500」です。

誤りやすいポイント

• 「as-prepend」と混同し、AS 番号を重ねる理由を誤解する。as-override は顧客 AS を“上書き”します。
• 「65500」は拠点側で使用する私設 AS 番号であるのに対し、「64500」は L 社 VPN の AS 番号である点を取り違える。
• プレフィックスを「10.3.0.0/16」ではなく「10.3.0.0/24」などと誤って細分化して覚えてしまう。

FAQ

解答の論理構成

1. 各拠点が同じ AS 番号を使う
   • 【問題文】「L社のPEルータは、G社との間のBGPピアに as-override を設定している。この設定によって、G社の複数の拠点で同一のAS番号を用いる構成が可能になっている。」
     ⇒ データセンター、本社、支店V、支店Wの全拠点が同一 AS 番号を採用できる。
2. G社に割り当てられている AS 番号の確認
   • 【問題文】「L 社 VPN と接続するために、AS 番号 65500 が割り当てられている。」
     ⇒ G社が使用する AS 番号は「65500」である。
3. 表2 に反映
   • 各拠点欄（データセンター、本社、支店V、支店W）の c～f をすべて「65500」とする。
4. 結果
   • c：65500
   • d：65500
   • e：65500
   • f：65500

誤りやすいポイント

• as-override の目的を取り違え、拠点ごとに異なる AS 番号を設定しなければならないと誤解する。
• 「65500」がプライベート AS 番号であることから、インターネット用にユニークな AS 番号が別途必要だと考え、空欄に 64500 を入れてしまう。
• MPLS VPN の AS 番号「64500」を G社側の AS と誤認し、表に転記する。

FAQ

解答の論理構成

• 【問題文】では、ルータ1～4で「二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている」と述べています。ここでの イ はプロトコル間再配布を示します。
• 続けて「一方のルーティングプロトコルで学習された経路がもう一方のルーティングプロトコルに渡されて③再び同じルーティングプロトコルに渡されることのないように経路フィルタが設定されている」と明記されています。
• すなわち、OSPF で学習した経路を BGP4 に再配布した後、その経路が再び OSPF に戻らないようフィルタを掛けているという状況です。
• もしこのフィルタがなければ、同じ経路が OSFP ↔ BGP4 間で無限に行き来し、経路が増殖・循環してしまいます。これは典型的な「ルーティングループ」です。
• ルーティングループが発生すると、CPU 使用率の悪化、テーブル肥大化、パケットが目的地に届かないなど様々なネットワーク障害を引き起こします。
• したがって「経路フィルターによって防止することが可能な障害」は「ルーティングループによる障害」となります。

誤りやすいポイント

• ルーティングループと経路冗長化を混同し、「冗長経路を失う障害」と書いてしまう。
• ループの影響を「輻輳」や「帯域逼迫」とだけ記載し、障害名を示さない。
• 再配布で起こり得る別の問題（メトリック不整合など）を答えてしまう。

FAQ

解答の論理構成

1. OSPFで生成されるLSAの種類
   ・外部経路再配布時に用いられるのは「Type5（AS-external LSA）」です。
   ・問題文では「ルータ1～4で二つのルーティングプロトコル間におけるルーティングを可能にするために、経路情報の イ をしている。」とあり、イ ＝ “再配布” であることが文脈から分かります。
   ・さらに「全拠点からインターネットへの http/https 通信ができるように、ウ のサブネットを宛先とする経路を OSPF で配布している。この経路情報は、途中 BGP4 を経由して、④ 3拠点（本社、支店 V、支店 W）のルータ及び L3SW に届く。」とあるため、BGPで受け取った経路をOSPFへ“再配布”していると読み取れます。
   ・BGPはOSPF外部のプロトコルなので、その経路をOSPFに取り込む装置（ASBR）が生成するのはType5 LSAとなります。
   よってLSAのタイプは「Type5 又は 外部LSA」です。
2. LSAを生成した機器の特定
   ・BGP経路は各拠点のルータ（図1：ルータ2・ルータ3・ルータ4）で受信され、そのルータがOSPFへ再配布します。
   ・支店Vに着目すると、支店V側でBGPピアを張っているのは「ルータ3」です。したがって支店VのL3SW3に到達したType5 LSAは「ルータ3」が生成したものです。

誤りやすいポイント

• 「デフォルトルートだからType3」と早合点する
  → 本文に“BGP4 を経由”と明記されており外部再配布のシナリオです。
• ASBR＝データセンター側ルータ1と決めつける
  → 拠点ごとにBGP経路を受け取り各拠点内で再配布しているため、支店Vではルータ3がASBRとなります。
• Type7 LSA（NSSA用）と混同する
  → 問題文には全エリアが「OSPFエリアは全てエリア0」とあるためNSSA条件に該当しません。

FAQ

解答の論理構成

1. 問題文には「SD-WAN コントローラが SD-WAN 装置に配布する主な情報は、SD-WAN 装置ごとのオーバレイの経路情報と、⑤ IPsec トンネルを構築するために必要な情報の 2 種類がある。」とあります。
2. IPsec トンネルを構築する際に必須となるのは、(1) 対向装置を特定するための IP アドレス（トンネルエンドポイント）と、(2) 暗号化／認証を行うための鍵（プリシェアドキーや証明書など）です。
3. したがって、「SD-WAN コントローラから送られる情報」は
   　①「IPsec トンネル確立のための IP アドレス」
   　②「IPsec トンネル確立のための鍵情報」
   　となります。

誤りやすいポイント

• TE 番号やインタフェース名を答えてしまう
  IPsec の確立には“番号”ではなく実際の IP アドレスが必要です。
• BFD のパラメータや QoS ポリシーを挙げる
  どちらもトンネルの監視・制御に役立ちますが、問題が聞いている「構築に必要な情報」ではありません。
• 経路情報を再掲してしまう
  経路情報はすでに「もう一方の主な情報」として別に示されているため二重回答になります。

FAQ

解答の論理構成

1. 本文では、SD-WAN 装置の機能として「RFC 5880 で規定された BFD (Bidirectional Forwarding Detection) 機能を有する。」と明記されています。
2. 加えて下線⑥で「拠点の SD-WAN 装置のトンネルインタフェースで、BFD を有効化する」とあります。
3. BFD はレイヤ 3 の双方向疎通を数ミリ秒オーダで監視し、リンクやトンネルの障害を即座に検出できるプロトコルです。
4. 本設計では複数の IPsec トンネル（L 社 VPN 経由とインターネット経由）を張り、下線⑦に示すように「L 社 VPN を優先的に利用し、L 社 VPN が使えないときはインターネットを経由する」というフェイルオーバー制御を行います。
5. 障害発生時に切替えを迅速に行うには、トンネル障害を素早く検出する機構が必要であり、その役割を BFD が担います。
6. したがって、解答は「IPsec トンネルの障害を高速検出するため」と導かれます。

誤りやすいポイント

• BFD を「帯域増強のため」と誤認し、障害検出用途と結び付けない。
• 「トンネル」だけを対象とし、設問に要求される「IPsecトンネル」という用語を入れ忘れる。
• OSPF Hello や Dead インターバルで十分と考え、独立した高速検出プロトコルの必要性を見落とす。

FAQ

解答の論理構成

1. 通信経路の優先度を確認
   本文の下線⑦は「L 社 VPN を優先的に利用し、L 社 VPN が使えないときはインターネットを経由する」と明記しています。したがって通常時（L 社 VPN に障害が無い平常状態）は L 社 VPN 経由の IPsec トンネル が選択されます。
2. L 社 VPN 経由のトンネルはどのインタフェースか
   図3では、L 社 VPN 経由の IPsec トンネルが 実線 で描かれ、SD-WAN 装置の GE0 インタフェース に割り当てられています。インターネット回線側（破線）は GE1 です。よって平常時は各装置の GE0 に付与された TE (Tunnel Endpoint) が経路上に載ります。
3. 本社 → 支店V 間で使われる TE の組を特定
   ・本社に設置される SD-WAN 装置2 の GE0 には TE021, TE024, TE023 が示されています。
   ・支店Vに設置される SD-WAN 装置3 の GE0 には TE032, TE031, TE034 が示されています。
   図3の実線トンネル対応表より、SD-WAN 装置2 と SD-WAN 装置3 を直結する L 社 VPN トンネルは TE023 – TE032 の組です。
4. 結論
   以上より、通常時に本社の PC から支店V の PC へ流れる通信が通過する TE は
   「TE023, TE032」 です。

誤りやすいポイント

• 「優先的に利用」という文言を読み飛ばし、インターネット側（GE1）の TE を選んでしまう。
• 図3の破線／実線の区別を逆に覚え、GE0 と GE1 を取り違える。
• SD-WAN 装置間がフルメッシュであることを意識せず、同一装置内の TE を両端に書いてしまう。

FAQ

解答の論理構成

1. 【問題文】には、SD-WAN のトラフィック選択方針として「⑦L 社 VPN を優先的に利用し、L 社 VPN が使えないときはインターネットを経由する」と記載されています。
   よって、支店 V の L 社 VPN 接続回線に障害が発生した場合、本社―支店 V 間の通信は必ずインターネット経由のトンネルを採用します。
2. 図 3 の凡例では、
   ・実線：IPsec トンネル（L 社 VPN）
   ・破線：IPsec トンネル（インターネット）
   と定義されています。質問条件は「支店 V の L 社 VPN 接続回線に障害」なので、実線側（GE0 の TE0**）は利用不可、破線側（GE1 の TE1**）が選択対象です。
3. 本社と支店 V が保有する“インターネット側 TE”を図 3 で確認すると、
   ・本社（SD-WAN 装置2）GE1：TE121, TE124, TE123
   ・支店 V（SD-WAN 装置3）GE1：TE132, TE131, TE134
   など複数あります。どの組合せが本社―支店 V 間の 1 対1 トンネルかは、図 3 の「破線」で接続されたペアで判断します。
4. 図 3 の破線は本社側 TE123 と支店 V 側 TE132 を直接結んでいます。
   したがって、障害発生時に本社 PC → 支店 V PC のパケットが通過するトンネル終端は「TE123, TE132」となります。
5. 以上より、設問(1)の解答は【模範解答】どおり
   「TE123, TE132」です。

誤りやすいポイント

• 「VPN 障害＝通信断」と思い込み、インターネット側トンネルを確認し忘れる。
• 図 3 の TE を単純に羅列し、破線・実線の区別を見落とす。
• 本社側に複数ある GE1 の TE 番号のうち、破線で接続されていない TE121/TE124 を選んでしまう。
• TE 番号が似ているため、支店 V の TE131 と TE132 を取り違える。

FAQ