令和７年春　午後Ⅰ　問１

問1　ルータの更改に関する次の記述を読んで、設問に答えよ。

　A社は、従業員800人の建設機械販売会社である。大阪本社のほか、東京に支社を構えている。大阪本社と東京支社間は、広域イーサネットサービス網とIPsec VPNの冗長構成(以下、WANという)で接続されている。A社のネットワーク(以下、A社NWという)はインターネットと接続している。また、WANを経由してプライベートクラウドであるC社のSaaS(以下、C社SaaSという)と接続している。

　A社NWの一部を構成するルータのメーカーサポートが終了するので、A社情報システム部はルータの更改プロジェクトを立ち上げ、ネットワーク担当のBさんが担当することになった。

［現在のA社NW］

　現在のA社NWを図1に示す。

現在のA社NWの概要を次に示す。

•A社の従業員は、内部ネットワークのPCを利用して、インターネットやサーバセグメント内のサーバ群及びC社SaaSと通信し、業務を行っている。

•A社NWでは、動的経路制御の一つであるOSPFを利用している。

•IPsec VPNはDMVPN(Dynamic Multipoint VPN)を用いて広域イーサ網と同様のフルメッシュトポロジを実現している。また、IPsec VPNは、次に示すように広域イーサ網と同様の経路制御を行っている。

•A社NWのOSPFのエリアは、エリアIDが0.0.0.0と表記される、（　a　）エリアだけで構成されている。

•FW10、R10、R11、L3SW10、R20、R21、R30、R31の各機器がOSPFルータとして動作している。

•OSPFルータにはループバックインタフェースが作成され、ループバックIPアドレスが設定されている。ループバックIPアドレスは、OSPFルータを識別する（　b　）IDとして利用されている。

•OSPFの経路交換をしないインタフェースは、パッシブインタフェースとして設定されている。

•OSPFの経路交換をするインタフェースでは、①OSPFのネイバー認証を行うことで、安全に経路交換をするようにしている。

•OSPFのコスト設定によって、通常は広域イーサ網を利用して通信し、広域イーサ網で通信できない場合はIPsec VPNを利用して通信する設計にしている。OSPFルータの各インタフェースにおけるOSPFのコスト設定を表1に示す。

•FW10は、インターネットに向けたデフォルトルートを設定しており、OSPFにインターネット向けのデフォルトルートの配布を行っている。

•FW10はインターネットと接続し、NAPTによってIPアドレスとポート番号の変換を行っている。

•R30、R31とC社SaaSはeBGPで接続し、経路交換を行っている。eBGP接続は認証を行うことで、安全に経路交換をするようにしている。

•②R30、R31は、eBGPで経路広告する際にAS_PATHプリペンド設定をしている。通常はR30を利用して通信し、R30を利用して通信できない場合はR31を利用して通信する設計にしている。

•R30、R31は、eBGPの経路をOSPFに再配布を行っている。

•R30、R31は、OSPFの経路をeBGPに再配布し、経路広告している。

•R30、R31は、eBGPの経路をOSPFに、OSPFの経路をeBGPにそれぞれ再配布を行っていることから、経路情報のループを防止するために、eBGP接続でプレフィックスリストによる経路フィルタリングを行っている。

•R20、R21の内部ネットワークと接続するインタフェースでは、PCに設定するデフォルトルートのネクストホップに相当する、（　c　）の可用性を向上するために、VRRPが動作している。

•VRRPのプライオリティの値はR20を105に、R21を100に設定している。

•VRRPはプリエンプトを設定し、プライオリティの値が大きいルータが常にマスターになるように制御している。また、③プリエンプトディレイを設定し、プライオリティの値が高いルータの電源をオンにした際や再起動した際などは、一定時間が経過した後にマスターに状態遷移するように制御している。

［ルータ更改手順の作成］

　更改対象のルータは、図1中のR10、R11、R20、R21、R30、R31である。A社情報システム部のD課長は、次の方針に従ってルータ更改手順を作成するようにBさんに指示した。

•更改対象のルータは、同じルータメーカーの後継機種と交換を行う。後継機種は、更改対象のルータから取得した設定内容で動作することが保証されている。

•更改対象のルータを停止しても業務影響がないよう、あらかじめ設定変更によって通信が更改対象のルータを迂回するようにしてからルータを停止し、交換作業を行う。

•交換作業後は、必要な確認を行った後に、設定変更によって通信の迂回を解除する。

　Bさんは方針に従って、ネットワークシミュレータを使って動作確認をしながら、ルータ更改手順を作成した。ネットワークシミュレータはメーカーから提供されているソフトウェア製品であり、A社NWと同等の環境をPCで仮想的に再現できる。

　Bさんは、R10を後継機種の新しいR10(以下、新R10という)に更改する手順を作成した。Bさんは、④更改手順実施中に業務影響がないことを確認する方法として、内部ネットワークのPCから継続してpingコマンドを実行することにした。また、継続してpingコマンドの結果が正常で、パケットロスが確認されなければ業務影響がないと判断することにした。Bさんが作成したR10の更改手順を表2に示す。

　BさんはR11、R20、R21、R30、R31についてもそれぞれの更改手順を作成した。ネットワークシミュレータを使って、継続してpingコマンドを実行しながらそれぞれの更改手順を実施し、pingコマンドの結果が正常でパケットロスがないことを確認した。更改手順に問題がないことを確認できたので、Bさんは更改手順書としてまとめた。Bさんは作成した更改手順書をD課長に提出し、承認された。

設問１

[現在のA社NW]について答えよ。

本文中の（　a　）〜（　c　）に入れる適切な字句を答えよ。

（a）バックボーンエリア

OSPFのネットワーク設計において、エリアID「0.0.0.0」で表記されるのがバックボーンエリアです。

複数のエリアを使う構成では、必ず各エリアがバックボーンエリアに接続しなければなりません。

今回のA社ネットワークは、OSPFを単一エリアで構築しており、その唯一のエリアが「バックボーンエリア」だと説明されています。

したがって、空欄（a）には「バックボーン」が入ります。

（b）ルータID

問題文では「ループバックIPアドレスは、OSPFルータを識別する（b）IDとして利用」とあります。

OSPFでは、各ルータを識別するために「ルータID」という番号を用います。

ルータIDの決定方法には自動選出のルールがあります。

ループバックインタフェースが存在する場合は、その中で最も大きいIPアドレスがルータIDとして選ばれます。

ループバックがなければ、起動時に有効な物理インタフェースの最大IPアドレスがルータIDとなります。

安定性の観点からは、常に存在し続けるループバックIPをルータIDに指定するのが最適です。

このため、空欄（b）には「ルータ」が入ります。

（c）デフォルトゲートウェイ

A社ネットワークの東京支社にあるPCは、外部に通信するときに必ず最初に経由する出口を持っています。

これがデフォルトゲートウェイです。

問題文では「PCに設定するデフォルトルートのネクストホップに相当する、（c）の可用性を向上するためにVRRPが動作」とあります。

VRRPは複数のルータで一つの仮想IPアドレスを共有し、その仮想IPをPCのデフォルトゲートウェイとして設定します。

通常は優先度の高いルータが「マスター」として動作し、もう一方は「バックアップ」として待機します。

もしマスターが落ちても、バックアップがすぐに引き継ぐことでPC側から見たデフォルトゲートウェイは途切れません。

まとめ

今回の空欄補充は、OSPFやVRRPといったルーティングの基礎を問うものでした。

（a）の「バックボーンエリア」はOSPFの心臓部であり、（b）の「ルータID」はOSPFにおけるルータの識別子、そして（c）の「デフォルトゲートウェイ」はPCにとって外部世界への出口です。

それぞれがネットワークの安定運用に欠かせない役割を担っており、試験対策だけでなく実務でも押さえておくべき重要ポイントです。

本文中の下線①について、OSPFのネイバー認証によって、どのような問題を防止することができるか。経路交換の安全性の観点から35字以内で答えよ。

下線①：OSPFのネイバー認証とは何か

OSPFはルータ同士が「ネイバー（隣接関係）」を結んで経路情報を交換するプロトコルです。

しかし、この隣接関係は「同じネットワーク上でOSPFを話すルータ同士」であれば自動的に成立してしまいます。

もし認証が設定されていないと、攻撃者が勝手にOSPFルータをネットワークに接続し、偽の経路情報を流し込むことが可能になってしまいます。

認証がなければ起こる問題

認証なしの状態では、以下のような危険があります。

• 攻撃者が不正なOSPFルータを接続し、存在しないネットワークの経路を広告してしまう
• 結果として、正しい通信が攻撃者ルータへ迂回し、盗聴やサービス妨害が可能になる
• 組織内のネットワークが、意図しない経路に誘導されてしまう

このように、不正なルータと隣接関係を結んでしまうことが最大のリスクです。

認証による防止効果

OSPFには「ネイバー認証」の仕組みがあり、正しい認証情報（パスワードや鍵）を持つルータ同士でしか隣接関係を結べないようにできます。

これにより、内部の正規ルータ以外とは経路交換が行えなくなり、ネットワークの安全性が大幅に向上します。

まとめ

問題の問いは「経路交換の安全性の観点から、どのような問題を防止できるか」です。

つまり、ネイバー認証を行うことで「信頼できるルータだけが経路交換に参加できるようになる」のです。

OSPFのネイバー認証は、例えるなら「社員証を見せてから会議に参加できるルール」のようなものです。

認証がなければ誰でも会議室に入れてしまい、勝手に嘘の情報を発言できてしまいます。

認証を導入することで、正しい人だけが隣接関係を結び、正しい経路情報だけが交換されるようになります。

本文中の下線②について、R31が経路広告するAS_PATH長はR30と比較してどうする必要があるか、答えよ。

AS_PATHとは何か

BGP（Border Gateway Protocol）では、インターネット上の経路情報をやり取りする際に「AS_PATH」という属性が重要な役割を果たします。

AS_PATHは「その経路がどの自律システム（AS）を通ってきたか」を示すリストであり、ルーティングの経路選択に直接影響します。

BGPルータは複数の経路がある場合、まずAS_PATHが短い方を優先して採用します。

つまり、AS_PATHの長さは「どの経路を優先的に使うか」を決める大きな基準となるのです。

R30とR31の役割

A社ネットワークでは、R30とR31の2台のルータがC社SaaSと接続し、BGPによって経路情報を交換しています。

通常の通信はR30を経由させ、もしR30が利用できない場合のみR31を使う、という設計方針になっています。

この「優先順位の付け方」に使われているのがAS_PATHの調整です。

具体的には、R30からの経路広告は通常通りに配布し、R31からの経路広告については「AS_PATHプリペンド」という設定を加えます。

AS_PATHプリペンドとは、あえて自分のAS番号を複数回追加して広告する方法です。

これにより、見かけ上「長い経路」のように見せかけ、BGPルータに「こちらは優先度が低い経路ですよ」と伝えることができます。

なぜR31のAS_PATHを長くするのか

もしR30とR31が同じAS_PATH長で経路を広告してしまうと、外部から見たときに「どちらを優先するか」が明確に決まりません。

その結果、負荷分散や意図しないルート選択が起こり、設計通り「まずはR30、ダメならR31」というフェイルオーバー動作が実現できなくなります。

そのため、R31が広告するAS_PATHはR30よりも長くしておく必要があります。

そうすることで、BGPのルート選択では常にR30の経路が優先され、R30が使えないときだけR31の経路が選ばれる仕組みになるのです。

まとめ

AS_PATHはBGPが「どの道が近いか」を判断するための“距離のようなもの”です。

R30とR31の二本の道がある場合、R30は短い道、R31はあえて遠回りの道として広告することで、常にR30が優先されます。

もしR30が通れなくなったときにだけ、遠回りのR31が使われる。

これがAS_PATHプリペンドを使った経路制御の基本です。

本文中の下線③について、ルータの電源をオンにした際や再起動した際に一定時間待つのは、ルータがどのような状態になることを待つためか。OSPFを利用していることに着目して25字以内で答えよ。

VRRPとプリエンプトディレイの役割

A社ネットワークでは、R20とR21がVRRPを使ってPCに提供する「デフォルトゲートウェイ」を冗長化しています。

通常は優先度の高いR20がマスターとなり、PCからの通信はすべてR20を通ります。

なぜなら、R20が起動してすぐにVRRPのマスターへ復帰してしまうと、ルータ内部のOSPFがまだ正しく経路を学習できていない可能性があるからです。

その状態でマスターに戻ると、PCの通信はR20に集まるのに、R20自身は正しい経路を持たず、結果として通信が途切れてしまいます。

そこで使われるのがプリエンプトディレイです。

一定時間待つことで、ルータ内部のOSPFが安定した状態になるのを保証します。

「経路情報が集束する」とは何か

OSPFでは、ルータが起動すると近隣のルータと「Helloパケット」を交換し、隣接関係を結び、リンクステート情報をやり取りします。

その後、各ルータは最短経路を計算してルーティングテーブルを更新します。

もしOSPFが収束していない状態でマスターに切り替わると、「デフォルトゲートウェイとしては選ばれているのに、正しい経路がなく通信できない」という矛盾が発生します。

これを防ぐために、プリエンプトディレイで時間を稼ぐのです。

まとめ

設問の答えは次のようにまとめられます。

プリエンプトディレイは、例えるなら「家の電気を入れてすぐに炊飯器や電子レンジを同時に使わない」のと同じです。

電源が安定するまで少し待つことでトラブルを防げるように、ルータもOSPFの経路が安定するまで待ってからマスターに戻る仕組みを持っています。

これにより、利用者のPCは常に安定して外部と通信できるのです。

設問２

[ルータ更改手順の作成]について答えよ。

本文中の下線④について、R10の更改手順実施中に、大阪本社の内部ネットワークからpingコマンドを実行する際の宛先にすべき対象と、東京支社の内部ネットワークからpingコマンドを実行する際の宛先にすべき対象を、R10を経由する通信に着目して、図1中の(ア)〜(ウ)の記号で全て答えよ。

この設問は、「R10を更改している最中でも業務に影響が出ていないことを確認するため、どの宛先にpingを打つべきか」を問うています。

図1に出てくる (ア)〜(ウ) の位置関係と、R10を通過する経路に着目するのがポイントです。

R10の位置と通信経路

図1を見ると、R10は大阪本社側に配置されていて、東京支社やC社SaaSと接続する際に経由されるルータです。

つまり、R10が使えなくなると、大阪から東京、または大阪から外部に出る通信が影響を受けます。

逆に、大阪内部だけで閉じる通信（たとえば同じ拠点内のPC同士や大阪内のサーバとの通信）はR10を通らないので、監視対象としては不適切です。

大阪本社からの監視（pingの宛先）

大阪本社から通信を送る場合、R10を通るのは「東京支社やSaaSとの通信」です。

問題文の「R10を経由する通信に着目」という条件を満たすためには、大阪内部だけで閉じる宛先ではなく、必ずR10を経由して届く先を選ぶ必要があります。

図1中でR10を経由する代表的な宛先は （ウ） に示された東京支社側の機器です。

そのため、大阪本社からのping先は（ウ）となります。

東京支社からの監視（pingの宛先）

一方、東京支社から大阪へ通信するときも、R10を経由する経路を選ばなければなりません。

東京支社から大阪の内部ネットワークに向かう通信は、R10を経由してサーバ群やPC群に届きます。

図1中でその対象に当たるのが （ア）と（イ） です。

つまり、東京支社からは（ア）、（イ）に対してpingを実行するのが適切です。

まとめ

この問題の本質は「監視用のpingは、問題となるルータを必ず経由する通信経路を選ばなければ意味がない」という点です。

大阪からなら東京にある宛先を選ぶべきですし、東京からなら大阪にある宛先を選ぶべきです。

もし同じ拠点内のPCにpingしてしまうと、R10を通らずに届いてしまい、ルータ更改の影響を検知できません。

表2中の下線⑤について、R10のインタフェースに設定するOSPFのコストをどのような値に変更すべきか。30字以内で答えよ。

この設問は 「ルータ更改のためにR10を一時的に経路から外すとき、OSPFのコストをどう設定すればよいか」 を問うています。

OSPFのコストとは

OSPFでは、ルータ間のリンクに「コスト」という値を設定します。

コストは「その経路の使いやすさ（距離のようなもの）」を数値化した指標で、OSPFルータはコストの合計が最も小さい経路を優先して使います。

例えば、通常は広域イーサ網のコストを 100、IPsec VPNのコストを 1000 にして、「まずは広域イーサを使い、障害時にVPNへ切り替える」といった設計をします。

更改作業とコスト変更の狙い

R10を交換する際には「一時的にR10を通らないようにする」必要があります。

単純に電源を切ってしまうと、その瞬間に経路が切断され、通信が途切れてしまいます。

これを避けるために、あらかじめOSPFコストを非常に大きな値に設定しておくことで「R10経由の経路は極端に使いにくい」と認識させ、他のルータ経由の経路を選ばせるのです。

実際に設定する値

OSPFのコストは 1 以上 65535 以下で設定できます。

通常のコスト（10 や 1000）に比べて圧倒的に大きな値、例えば 65535 に設定すれば、他の経路に比べて必ず優先度が下がります。

これにより、R10を迂回するように経路が再計算され、業務影響を出さずに更改作業を進められます。

まとめ

OSPFコストは、例えるなら「通行料」のようなものです。

普段は 100 円の広域イーサ経路を使い、仕方がないときだけ 1000 円のVPN経路を使う設計です。

R10を更改するときには、その通行料を「6万5千円」と法外な額にしてしまえば、誰もそこを通ろうとしなくなります。

そうすれば自然と他の道が選ばれ、安心してR10を止められるのです。

表2中の下線⑥について、項番2-1の電源をオフする前に全ての物理インタフェースを閉塞する理由を30字以内で答えよ。

この設問は 「なぜ電源を切る前に、まずインタフェースを閉塞する必要があるのか」 を問うています。

更改作業におけるリスク管理

ルータを更改するとき、手順の一つに「古いR10の電源をオフにする」という工程があります。

しかし、電源を切るという操作は、一度やってしまうとすぐには元に戻せません。

特に企業ネットワークでは、電源を落とした後に「やっぱり通信を戻したい」となっても、再起動に時間がかかってしまい、その間業務に影響が出てしまいます。

そこでまず行うのが、物理インタフェースの閉塞（shutdown）です。

インタフェースを閉塞すると、R10はネットワーク上から一時的に切り離された状態になり、OSPFの経路計算でも「R10経由は使えない」と認識されます。

この時点で他の経路に切り替わるため、迂回の状態が確認できます。

閉塞と電源オフの違い

インタフェース閉塞と電源オフには次のような違いがあります。

• インタフェース閉塞：コマンド1つで即座にON/OFFが可能。すぐに通信を戻したい場合も、閉塞を解除するだけで元に戻せる。
• 電源オフ：電源断後に復旧するには、再度電源投入から起動シーケンスを待つ必要があるため、切り戻しに時間がかかる。

つまり、インタフェース閉塞の方がリスクが低く、切り戻しも素早く行えるのです。

まとめ

ルータの電源を切るのは「ブレーカーを落とす」のと同じで、復旧に時間がかかります。

一方でインタフェース閉塞は「ケーブルを抜く」ようなイメージで、すぐに差し直せば通信が戻ります。

だからまずインタフェースを閉塞して安全に確認を行い、問題がなければ電源を落とす、という順番にしているのです。

表2について、項番2-6のイーサネットケーブルを接続する際に、誤ったインタフェースに接続しないようにするために、項番2-2の前にどのような手順を追加するべきか。25字以内で答えよ。

この問題は、正直なところ問題文の中に直接的なヒントがほとんどありません。

OSPFやVRRPのように知識がそのまま答えに結びつくタイプではなく、実際のネットワーク更改作業をイメージできるかどうかが問われています。

初めて読んだときに「何を答えればいいのかわからない」と感じるのは自然なことです。

こうした問題では、現場での手順や運用の工夫を思い出しながら「どうすれば人的ミスを防げるか」という視点で考えるのがポイントになります。

ケーブル接続時のリスクと対策

ルータを新旧入れ替える作業では、多数のイーサネットケーブルを一度外し、新しいルータに差し直す必要があります。

このとき一番ありがちなミスが、誤ったインタフェースに接続してしまうことです。

インタフェースは外見上どれも同じに見えるため、特に急いで作業すると間違えて差してしまいがちです。

誤接続は通信断や経路の誤動作を引き起こし、業務に大きな影響を与えます。

そこで役立つのが、ケーブルにラベルを付与する作業です。

事前に「このケーブルはR10のGigabitEthernet0/0 → FW10」といった情報をラベルに書いておけば、差し直すときに迷うことはなくなります。

ラベル付けは一見地味ですが、作業品質を大きく向上させる実務上の常識です。

人的ミスを防ぐ工夫

こうしたミスを防ぐための基本は「事前準備」です。

項番2-2では「旧R10のケーブルを外す」作業がありますが、それを行う前にどのケーブルがどのインタフェースに接続されていたのかを明確にしておく必要があります。

そのための代表的な方法が「ケーブルにラベルを付ける」ことです。

ラベルには、接続先の機器名やポート番号を書いておくのが一般的です。

例えば「R10-Gi0/0 → FW10」といった情報を書いたタグをケーブルに取り付ければ、誰が作業しても正しいポートに差し直せるようになります。

まとめ

この問題は暗記だけではなく「実務をイメージできるか」を問うものでした。

問題文に直接のヒントがなくても、「更改作業＝ケーブルの抜き差しが発生する」「人的ミスを防ぐために現場でよくやる工夫は何か」という連想でたどり着けます。

試験本番では、知識問題と実務イメージ問題の両方が出るので、落ち着いて「現場ならどうする？」という視点を持つことが大切です。

表2中の下線⑦について、新R10からpingコマンドを実行する際の宛先にすべき対象を、図1中の機器名を用いて四つ答えよ。

この設問は 「新しいR10を設置したあと、正しく通信できるかを確認するためにどこにpingを打つべきか」 を問うています。

新R10設置後の確認の目的

ルータ更改作業では、新R10を接続して起動した後に「ちゃんと他の機器と通信できるか」を確認する必要があります。

その確認手段として使われるのが pingコマンド です。

pingはシンプルながら、接続・経路・設定が正しく反映されているかを素早く確かめられる便利なツールです。

ここで重要なのは「新R10が正しく他の機器と隣接関係を結び、通信ルートに組み込まれているか」を確認することです。

そのためには、R10と直接関係を持つ代表的な機器を選んで宛先とする必要があります。

宛先に選ぶべき機器

1. L3SW10
   大阪本社のコアスイッチであり、新R10の直近の隣接機器です。ここにpingが通ることで、大阪拠点内の内部ネットワークと新R10の接続が確認できます。
2. R11
   大阪側の冗長ルータで、R10のペアとなる機器です。R10とR11の間でOSPFのネイバー関係が確立し、経路交換ができていることを確認するには必須の宛先です。
3. R20
   東京支社側のルータです。新R10からR20へpingが届けば、WANを経由した本社–支社間の接続が正しく確立されていることを意味します。
4. R30
   C社SaaSと接続するルータです。新R10からR30に到達できれば、WAN経由の外部接続やBGP再配布を含む経路が問題なく機能していることが確認できます。

まとめ

新しいルータを設置したら、単に「電源が入った」だけでは安心できません。

近くの機器（L3SW10）、ペアとなる機器（R11）、遠隔拠点（R20）、そして外部接続用の機器（R30）と順にpingを通すことで、段階的に「内部→冗長→拠点間→外部」とすべての経路が問題なく動いていることを確認できます。