令和７年春　午後Ⅰ　問２

問2　ネットワークの改善に関する次の記述を読んで、設問に答えよ。

　私立U中学校(以下、U校という)では、600台のPCをU校のネットワークに接続してS社の教育支援サービス(以下、Eサービスという)を利用している。U校では最近校内サービスの不具合に関する申告が多くの生徒から挙がってきたので、U校は本ネットワークを設計、構築したT社に調査を依頼し、T社のVさんが担当になった。

[U校ネットワークの概要]

　VさんはU校ネットワーク構成を確認した。U校ネットワーク構成を図1に示す。

•ISPとの接続は、最大1Gビット/秒のベストエフォート型インターネット接続サービスを契約して利用している。

•ルータはISPと接続しており、校内からインターネットへのアクセスに対し、NAPTを使って内部の（　a　）IPアドレスをISPから割り当てられた（　b　）IPアドレスに変換している。この変換情報はルータのNAT変換テーブルにNAPT変換エントリーとして格納されている。

•U校内及びISP接続のルーティングは全てスタティックルーティングである。

•APはWi-Fi 6に対応しており、各教室に1台ずつ設置されている。L2SWは、最大30Wを給電する（　c　）機能をもち、イーサネットケーブル経由でAPに電力を供給している。

•PCは、認証サーバによってIEEE802.1X認証を行った上で、APを介してU校ネットワークに接続している。

•DHCPサーバは、U校ネットワークに接続したPCにIPアドレスやサブネットマスクなどを配布している。L3SWにはDHCPリレーエージェントが設定されており、PCから送信されたDHCPDISCOVERメッセージをDHCPサーバに中継している。①そのときにDHCPリレーエージェントは、giaddrフィールドにDHCPDISCOVERメッセージを受信したインタフェースのIPアドレスを格納している。

•全てのネットワーク機器は、syslogサーバにシステムログを送信している。

•Eサービスは、複数のサーバで構成されるクラウド型サービスである。教員及び生徒は、EサービスにPCのWebブラウザからアクセスしログインして利用している。

•1か月前から、毎朝始業直後の8:00〜8:15にEサービスの一つである自習ドリルを用いて全校生徒が一斉に学習している。

•サーバ室の動画サーバには、教職員が管理している複数の教材動画が格納されており、全校生徒が授業や自習のときにPCで視聴している。

[不具合のヒアリングと調査]

　Vさんは、校内サービスの不具合に関する申告についてU校の教職員にヒアリングを行い、次のように整理した。

•Eサービスに対し、毎朝の自習ドリルの時間帯にアクセスすると、タイムアウト画面が出てログイン画面が表示されないと、一部かつ不特定の生徒からの申告がある。

•Eサービスに対し、毎朝の自習ドリルの時間帯にログインできたが、操作後の応答が遅いと、複数の生徒からの申告がある。それ以外の時間帯では申告はない。

•校内の動画サーバの教材動画視聴は、時間帯や教室を問わず不具合申告はない。

　②これらの結果から、VさんはPCからEサービスにアクセスしたときの、(1)インターネット接続帯域の不足、及び(2)NAPT処理能力の不足、の二つの仮説を立てた。

(1)インターネット接続帯域の調査

　Vさんは、U校の許可を得てルータのインターネット側ポートの通信量データを収集した。インターネット通信量(ダウンロード)を図2に示す。

　図2から、実効速度が約200Mビット/秒で頭打ちになっていることが判明した。また、この時ルータのCPU負荷にはまだ余裕があることも確認した。頭打ちの原因をISPに問い合わせて調査したところ、現在の契約では構成や時間帯によって実効速度はその程度になるとのことだった。Vさんは実効速度を改善するために、インターネット接続サービスのベストエフォート型から（　d　）型への契約変更をU校に紹介することにし、ほかの原因の調査を継続した。

(2)NAPT処理能力の調査

　Vさんは、U校の許可を得て各ネットワーク機器の状態ログ、及びsyslogサーバのログを収集し、内容を確認した。ルータのNAT変換テーブルの状態を表1に、ルータのシステムログを図3に示す。

　表1から、ルータのNAPT変換エントリーの内容には異常は見当たらなかった。また、図3から、始業直後にルータのNAT変換テーブルが枯渇していることが判明した。また、ルータのNAT変換テーブルのエントリー数の上限は65,536であり、設定によって変更することが可能であった。Vさんは、③PC1台当たりのセッション数を最大200と見積もり、全てのPCが問題なく利用できるように、NAT変換テーブルのエントリー数を計算してルータに設定することにした。

[HTTPバージョンとNAPTとの関係]

　Vさんは、二つの仮説の調査結果をまとめて上司のW課長へ報告した。W課長は、その報告のNAPT処理能力に関しては更なる注意が必要と考え、資料を提示してVさんに説明した。HTTPバージョンとNAPTとの関係を図4に示す。

　次はW課長とVさんとの会話である。

W課長：NAPT処理能力に着目したようですが、処理能力のほかにHTTPバージョンとNAPT変換エン
　　　　トリー数との関係も意識しておく必要があると思います。

Vさん：HTTPのバージョンが、NAPT変換エントリー数と何か関係があるのですか。

W課長：図4で説明しましょう。HTTPは長らくHTTP/1.1が主流でしたが、Webサイトが地図などの詳
　　　　細画像、動画、アニメーションなどのコンテンツから構成されるようになるにつれて、④
　　　　HoL(Head of Line)ブロッキングの問題が表面化してきました。これは一般的に、直列処理の
　　　　場合、全ての処理が完了するまでに時間が掛かるという問題です。

Vさん：HTTP/1.1では、HoLブロッキングはどのレイヤーで発生するのですか。

W課長：HTTPレイヤーとTCPレイヤーの両方で発生します。HTTPレイヤーでは、例えばWebページ
　　　　の表示のために10枚の画像データをダウンロードする場合、PCからのHTTP（　e　）と、
　　　　それに対するサーバからのHTTP（　f　）を一つずつ10回実行することになり時間が掛かる
　　　　ので、一般的には複数のTCPコネクションで同時にダウンロードするように実装して対処し
　　　　ます。

Vさん：HTTP/1.1では、TCPコネクションの数が増えそうですね。

W課長：それを抑えるために、HTTP/2では仮想的な通信単位であるストリームの概念が導入されまし
　　　　た。ストリームにはそれぞれ（　g　）が付与され、一つのTCPコネクションの中で複数の
　　　　ストリームを利用できるようになり、HTTPセッションの多重化と（　h　）処理ができるよ
　　　　うになっています。

Vさん：HTTP/2によってTCPコネクションの数も少なくて済むようですね。

W課長：さらにHTTP/3では、TCPの代わりにUDPを利用し、ストリームはQUICで実現することで、
　　　　TCPレイヤーのHoLブロッキングの問題を回避しています。最近のWebブラウザの多くは
　　　　HTTP/3を実装しているので、どのHTTPバージョンが使われるかは主にHTTPサーバ側の実
　　　　装に依存すると考えられます。

Vさん：つまり、TCPとUDPそれぞれに対するルータのNAT変換テーブルの管理方法の違いと、Eサー
　　　　ビスで利用可能なHTTPバージョンが分かれば、もっと改善できるということですね。

W課長：そうです。今回のケースでは、⑤EサービスのサーバがもしHTTP/3に対応していれば、表2の
　　　　保持時間を調整することで、もっとNAT変換テーブルを有効活用できると思います。ただし、
　　　　極端な値にすると別の問題が発生するので、気を付けてください。

Vさん：分かりました。検討してみます。

　Vさんは、調査結果をU校に報告した。その後U校で対策を行い、不具合は解決した。

設問１

［U校ネットワークの概要］について答えよ。

本文中の（　a　）～（　c　）に入れる適切な字句を答えよ。

（a）プライベートIPアドレス

本文では「内部の（a）IPアドレスを変換」と書かれており、図1を見るとU校内のセグメントには192.168.x.xのようなRFC1918で定められたアドレスが割り当てられています。

これらはいわゆるプライベートアドレスで、インターネット上ではそのまま利用できません。

そのため、外部と通信するためにはルータでNAPTを行い、プライベートアドレスをグローバルアドレスに変換する必要があります。

NAPTでは「送信元IPアドレスと送信元ポート番号の組み合わせ」を「グローバルIPアドレスと割り当てられたポート番号の組み合わせ」に対応付けて変換テーブルに登録します。

学内600台のPCが一斉に通信しても少数のグローバルアドレスで外部接続できるのは、このNAPTの仕組みによるものです。

（b）グローバルIPアドレス

次に、ISPから割り当てられる（b）の欄にはグローバルIPアドレスが入ります。

これはインターネット上で一意に利用できる「公的な」アドレスです。

表1のNAT変換テーブルでも、registered IP addressの欄にa.b.c.dといったグローバルアドレスが登録されており、実際に外部と通信する際にはこのアドレスが使われています。

NAPTでは、校内の多くのプライベートアドレスが同じグローバルアドレスを共有し、ポート番号によってセッションを区別するため、外部から見ると全ての通信が一つのグローバルアドレスから発生しているように見えます。

今回の問題では、利用できるグローバルアドレスの数そのものよりも、変換テーブルに保持できるセッション数の制約が不具合の原因につながっている点が重要です。

（c）PoE+（IEEE 802.3at）

最後の（c）はL2スイッチの給電機能について問われています。

本文には「最大30Wを給電」とあるため、IEEE 802.3at、通称PoE+が該当します。

通常のPoE（802.3af）は15.4Wが上限であり、最新のWi-Fi 6対応アクセスポイントのように消費電力の大きい機器には不十分な場合があります。

そこで30Wまで供給できるPoE+が使われるのです。

L2スイッチはPSE（給電側機器）としてAPに電力を供給し、APはPD（受電側機器）として動作します。

さらに高出力のPoE++（IEEE 802.3bt）も存在しますが、ここで求められているのは30W対応のPoE+であると判断できます。

• プライベートとグローバルの関係を逆に書いてしまう受験生は多いですが、正しい流れは「プライベートIPアドレスをグローバルIPアドレスに変換する」です。
• PoEの部分は単に「PoE」と答えてしまいがちですが、本文に「最大30W」と明記されているため、必ず「PoE+」と答える必要があります。

本文中の下線①について、DHCPサーバは受け取ったgiaddrフィールドの情報を使って何を識別するかを、15字以内で答えよ。

本文中の下線①では「DHCPリレーエージェントは、giaddrフィールドにDHCPDISCOVERメッセージを受信したインタフェースのIPアドレスを格納している」と説明されています。

この仕組みは、リレーエージェントを経由して届いたDHCPメッセージが、どのネットワークセグメント（どの教室やどのVLANなど）から発生したものかをDHCPサーバが判断するために使われます。

DHCPサーバは受け取ったgiaddr（Gateway IP Address）の値を見て、要求を送ってきたPCが属するセグメントを特定し、そのセグメントに対応したIPアドレス範囲やサブネットマスク、デフォルトゲートウェイなどを割り当てます。

例えば、192.168.10.0/24のセグメントからリクエストがあればその範囲のIPを払い出し、192.168.20.0/24からであれば別の範囲を払い出す、というように動作します。

つまり、giaddrは「どのネットワークからの要求か」を示す指標であり、DHCPサーバはこれを基にPCが属するセグメントを識別するのです。

• giaddrを「要求元のPCのIPアドレス」と混同しやすいですが、正しくは「リレーエージェントが受け取ったインタフェースのIPアドレス」であり、PCそのものを直接示すわけではありません。
• 解答は「サブネット」や「ネットワーク」でもニュアンスは伝わりますが、本問題の趣旨は 「PCが属するセグメント」 と表現するのが適切です。

設問２

［不具合のヒアリングと調査］について答えよ。

本文中の下線②について、Vさんがインターネット接続帯域の不足だけではなく、NAPT処理能力の不足という仮説を立てた理由を、40字以内で答えよ。

本文の不具合申告を振り返ると、Eサービス利用時に「タイムアウトでログイン画面が表示されない」という事象がありました。

ただし特徴的なのは、この問題が 一部のPCだけ、しかも 特定のPCではなく不特定のPC で起きている点です。

もし原因が「インターネット接続帯域の不足」であれば、帯域が逼迫した時間帯には 全体的に通信が遅い、あるいは 全員が同時に影響を受ける といった事象になるはずです。

ところが実際には、全員ではなく一部の生徒だけがログインできず、他の生徒は利用できている。この差が「単なる帯域不足」だけでは説明できない理由となります。

NAPTはセッションごとに変換テーブルを作成しますが、テーブルが枯渇すると新規セッションを張れなくなり、一部のPCだけがインターネットに接続できない状況が生じます。

つまり、不特定のPCがログイン画面を開けないという事象は、帯域不足ではなく NAPT変換テーブルの枯渇 の可能性を強く示唆するのです。

• 「帯域不足なら全員が遅くなる」点を押さえられず、「回線混雑だから一部がつながらない」と誤解してしまうことがあります。しかし実際は帯域が詰まると全員に均等に影響が出るのが一般的です。
• NAPT枯渇の典型的症状は「一部の端末だけが通信できない」であり、本問はその理解を問うています。

本文中の（　d　）に入れる適切な字句を答えよ。

本文の記述では、U校のインターネット接続が「最大1Gbpsのベストエフォート型」で契約されていると説明されています。

調査の結果、実効速度は200Mbps程度で頭打ちになっており、これは機器の性能不足ではなく、ベストエフォート型契約による制約であることが分かりました。

ベストエフォートとは「できる限りの性能を出す」方式であり、利用者数や時間帯によって速度が大きく変動します。

Vさんはこの状況を改善するために「ベストエフォート型」から （d）帯域確保型 への契約変更を提案しています。

帯域確保型（いわゆる帯域保証型）は、一定の通信速度が契約によって保証されており、利用者が集中しても契約した帯域を下回ることがありません。

そのため、始業直後のように全校生徒が一斉にEサービスを利用するケースでも、安定した通信を維持することができます。

• 「帯域保証」「帯域確保」「保証型」などの表現はいずれも正解に相当しますが、本文の流れでは「ベストエフォート型 → 帯域確保型」と対比しているので、この表現が最も適切です。
• 「専用線」と混同する受験生もいますが、本問は回線の物理的な専有ではなく、契約形態による帯域保証を指しています。

表1について、NAPT変換エントリーを作成する際に、ルータ自身が割り当てている値を、(ⅰ)～(ⅴ)の記号で全て答えよ。

クライアントPCが外部サーバ（例：HTTPS 443/TCP）へ通信を開始するとき、最初のパケット（SYN等）がルータに届いた瞬間に、NAPTは“鍵”となる情報を集めて新規エントリーを作成します。

1. PC側ですでに決まっているもの
   PCは自分の プライベートIP（ⅰ） と、アプリが使う 送信元ポート（ⅱ：エフェメラルポート） を添えて送信します。これはPCが選ぶ（割り当てる）値で、ルータは変更しません。
2. ルータが割り当てるもの（設問の答え）
   ルータは外向きの送信元グローバルIP（ⅲ） を選び（単一アドレスならそれを、複数保有ならプールから選択）、さらに送信元グローバルポート（ⅳ） を未使用の番号から新規に割り当てます。
   • これにより、内部の多数セッションを「グローバルIP:ポート」で一意に区別できます。
   • ポートは普通1024–65535の範囲から重複しないよう確保し、タイムアウトで解放されます。
3. 相手側（インターネット上）ですでに決まっているもの
   通信先の サーバIP/ポート（ⅴ） はアプリ（例：443/TCP）とDNS解決で決まり、ルータは“学ぶ”だけで割り当てません。

具体例：
内部 192.168.10.25:50234 → 203.0.113.80:443 を外へ出す際、
ルータが 198.51.100.10:61000 → 203.0.113.80:443 を割り当てて登録。
戻りはこの対応表で元に戻す（逆変換）。

• （ⅲ）グローバルIP：単一回線でも“どの外向きIPを使うか”をルータが適用（マスカレード）。複数アドレス保有なら負荷分散やポリシーで選択します。
• （ⅳ）グローバルポート：NAPTの肝。未使用ポートの確保・管理はルータの仕事で、ここが枯渇すると新規セッションが作れなくなる（本問の“テーブル枯渇”に直結）。

朝の一斉アクセスでは、各PC・各タブ・各オブジェクトで多数のセッションが立ち上がり、（ⅳ）グローバルポート消費が急増します。

HTTP/1.1は並列化のため複数TCPコネクションを張りがち → エントリー増。HTTP/2/3は多重化でコネクション数を抑制 → エントリー節約。

したがって、“一部がログイン不可”という症状は、帯域不足より新規NAPTエントリーの確保失敗の説明がつきやすい、というわけです。

• （ⅰ）（ⅱ）はPCが決める値。ルータは参照するだけ。
• （ⅴ）は相手サーバ側で決まる値。ルータは保持しても割り当てはしない。
• ルータが能動的に割り当てるのは（ⅲ）（ⅳ）であることを押さえる。

本文中の下線③について、現状の設定で問題なく同時利用できるPC台数の上限を、整数で答えよ。また、全てのPCが問題なく同時利用するために、ルータのNAT変換テーブルのエントリー数を最低幾つ以上に設定すればよいかを、整数で答えよ。ここで、PC以外の通信は考慮しないものとする。

本問は「PC1台あたり最大200セッションを張る」という前提で、①現在のNATテーブル上限（65,536エントリー）で同時利用できるPC台数の上限、②全600台が同時利用できるように必要なNATエントリー数、の2点を求めます（PC以外の通信は無視）。

① 現状で同時利用できるPC台数の上限

上限 65,536 エントリーを、1台あたり 200 エントリーで割って上限台数を求めます。

よって、現状で同時利用できる上限は327台です。

② 全600台に必要なNATエントリー数

次に、全校の600台が同時に問題なく利用するための必要エントリー数を考えます。

600 台がそれぞれ 200 エントリーを使うので、単純に 200×600＝120,000 エントリー必要です。

よって、ルータのNAT変換テーブルは 少なくとも 120,000 以上 に設定すれば、全員が同時に利用しても枯渇しません。

設問３

［HTTPバージョンとNAPTとの関係］について答えよ。

本文中の下線④について、全ての処理が完了するまでに時間が掛かる理由を、30字以内で答えよ。

「HTTPは長らくHTTP/1.1が主流でしたが、Webサイトが地図などの詳細画像、動画、アニメーションなどのコンテンツから構成されるようになるにつれて、④HoL(Head of Line)ブロッキングの問題が表面化してきました。これは一般的に、直列処理の場合、全ての処理が完了するまでに時間が掛かるという問題です。」

設問は、この下線④に関連して「全ての処理が完了するまでに時間が掛かる理由」を30字以内で答えるものです。

なぜ時間がかかるのか

HTTP/1.1の動作では、1つのTCPコネクション上でリクエストとレスポンスを「順番」に処理します。

例えば、あるWebページに10枚の画像が埋め込まれている場合、ブラウザはそれぞれの画像データを1つずつ順番に要求し、サーバも1つずつ応答を返します。

このとき、最初の画像データの取得に時間がかかると、その後に続く9つの画像の取得も待たされることになり、結果的にページ全体の表示が遅れてしまいます。

設問の解答例「先行の処理が終わるまで後続の処理が待たされるから」は、この仕組みを端的に表現しています。

HoLブロッキングという背景

この現象は「Head of Lineブロッキング」と呼ばれ、HTTPレイヤーとTCPレイヤーの両方で起こります。

HTTPレイヤーでは前述の通り、複数リソースの取得が直列になるために起こり、TCPレイヤーではパケットが欠落すると再送が完了するまで後続パケットをアプリに渡せない仕組みにより起こります。

いずれにしても「先頭が詰まると後続も動けない」という共通点があります。

その後の対策とのつながり

HTTP/1.1時代はこの問題を回避するために、ブラウザが複数のTCPコネクションを同時に張って並行してデータを取りに行く実装をしました。

しかしコネクションが増えれば、その分だけNAPTの変換エントリーも増加し、ルータ側のリソースを圧迫します。

今回の問題シナリオでNAPTテーブルが枯渇したのも、この仕組みが間接的に影響していると考えられます。

HTTP/2以降では「ストリーム多重化」という仕組みによってこの制約を解消し、さらにHTTP/3ではUDP＋QUICでTCPレベルのHoLブロッキングも避けられるようになりました。

問題の考え方

設問は「なぜ処理が遅れるのか」を簡潔に答えることを求めていますが、背景を理解すると答えやすくなります。

HTTP/1.1の特徴は直列処理であり、先行処理が終わらない限り後続処理が進められないため、全体の処理完了まで時間がかかるのです。

この理解をもとに「先行の処理が終わるまで後続の処理が待たされるから」と答えれば満点になります。

• 「通信に時間が掛かるから」とだけ答えると理由がぼやけてしまいます。本質は 処理が直列的で、先行処理が終わるまで後続が待たされる という点にあります。
• HTTP/2やHTTP/3はこの問題を解決するために「ストリームの多重化」や「UDP＋QUIC」を採用していることと対比すると理解が深まります。

本文中の（　e　）～（　h　）に入れる適切な字句を答えよ。

（e）リクエスト

本文には「PCからのHTTP（e）と、それに対するサーバからのHTTP（f）を一つずつ10回実行する」とあります。

Webブラウザがサーバに対して「このリソースをください」と要求を送るのが HTTPリクエスト です。

例えば、画像やHTMLファイル、CSSなどを取得するときに毎回送信されます。

HTTP/1.1ではこのリクエストを逐次的に繰り返す必要があり、処理が直列になってしまいます。

（f）レスポンス

HTTPリクエストを受けたサーバが、要求に応じたデータを返すのが HTTPレスポンス です。

レスポンスにはステータスコード（200 OK、404 Not Foundなど）と、実際のコンテンツデータが含まれます。

本文の例では「10枚の画像」に対して、それぞれ10回レスポンスを返すことになります。

リクエストとレスポンスは常に対になっており、1つのリクエストに対して必ず1つのレスポンスが返ってくるのが基本です。

（g）ストリームID

HTTP/2で導入された「ストリーム」は、一つのTCPコネクション内に複数存在できる仮想的な通信単位です。

各ストリームを区別するために割り当てられるのが ストリームID です。

これによって、1本のTCPコネクションの中でも複数のやり取りを同時並行で処理できるようになります。

例えば、画像、CSS、JavaScriptの取得をそれぞれ別のストリームで進めることが可能になります。

（h）並列

HTTP/2の大きな特徴は「ストリーム多重化」と「並列処理」です。

HTTP/1.1では、先行のリクエスト処理が終わらないと次が進めない「直列処理」でしたが、HTTP/2では複数ストリームを一度に処理できるため、待ち時間を大幅に削減できます。

これが 並列処理 です。

ブラウザは1つのTCPコネクション内で多数のリクエストとレスポンスを同時にやり取りできるため、Webページ全体の読み込み速度が向上し、NAPTテーブルに不要なエントリーが大量に増えるのも防ぐ効果があります。

本文中の下線⑤の保持時間の調整について、どの通信プロトコルをどのように変更するか、25字以内で答えよ。また、それによる効果を45字以内で答えよ。

調整：UDPの保持時間を短縮する理由

HTTP/3はTCPの代わりにUDPを利用します。

TCPでは接続の終了をFINやRSTといった制御フラグで判断できるため、不要になったセッションは比較的早くNAPTテーブルから削除されます。

本文の表2によると、UDPの保持時間は300秒です。

この値が大きすぎると、すでに利用されていないセッションも最大5分間残り続けます。

特に全校生徒が一斉にアクセスする時間帯には、大量の未使用UDPエントリーがテーブルを占有し、新しいセッションを張ろうとしたときに空きが不足して枯渇が起こります。

効果：保持時間短縮による改善

UDPの保持時間を短く設定すると、不要になったセッションのエントリーが早めに削除されます。

これにより、実際に利用している通信のためにテーブルの空きを確保できるようになります。

その結果、NAPTテーブルを効率的に活用でき、全校規模での同時利用時にも「新しいセッションが作れずログインできない」といった問題が起きにくくなります。