IPv4のノードは、相手のIPv4アドレスを基にMACアドレスを調べる。要求を同一セグメントへ広く送り、該当アドレスを持つノードが自身のMACアドレスを返す。

問題

解説：解決したい対象のIPv4アドレスを要求に入れ、そのアドレスの所有者から応答を受ける。原問の空欄b・cは語の一部だが、本教材では送信方式とメッセージ名を全体で答える。IPv6で同じ役割を担うのはNDPである。

学校のPCは192.168.10.0/24などの校内セグメントに属する。インターネット接続ルータはNAPTを使い、内部アドレスをISPから割り当てられたアドレスへ変換する。L2スイッチはイーサネットケーブルでAPへ最大30Wを給電する。

問題

解説：NAPTは、内部側のプライベートIPアドレスとポート番号を、外部側のグローバルIPアドレスとポート番号へ対応付ける。給電については、原問の「最大30W」という条件からPoE+を選ぶ。

PCとDHCPサーバは別セグメントにある。L3スイッチはDHCPDISCOVERを中継するとき、受信インタフェースのIPアドレスをgiaddrフィールドに格納する。

問題

解説：中継元のL3インタフェースは、PC側のセグメントに属している。DHCPサーバはその情報から、どのセグメント用のアドレスを配布すべきか判断できる。PC自身がまだIPアドレスを取得していない段階で使う情報である。

FTAは、工場の管理セグメントと事務所のOAセグメントに直接接続する。FTAには静的経路も動的経路制御も設定しない。工場の制御セグメントと管理セグメントの間でもルーティングは行わない。

問題

解説：FTAが直接接続する二つのセグメントを対象にする。制御セグメントからは、管理セグメントを経由して自由にIP転送できる構成ではない。

旧PCは172.17.101.0/24側にある。新公開WebサーバはDMZ側にある。旧L3SW1は、新DMZ宛てをVLAN11上のスタックL3SWへルーティングする。

問題

解説：IPパケットの最終宛先はWebサーバでも、この区間のEthernet宛先は次ホップである。ルーティングによって区間ごとにL2ヘッダを作り直す。

旧DMZ・新DMZのサーバはともに172.16.254.0/24として設定する。旧サーバは.10〜.100を使用する。

旧L3SWは172.16.254.128/25だけをスタックL3SWへ送る。スタックL3SWは同じ/25を新FWへ送る。新FWのDMZ側は172.16.254.0/24の直結ネットワークである。

問題

解説：経路の/25は新側へ送る範囲を選ぶための設定であり、サーバ自身のサブネットは/24である。そのため.128もホストアドレスとして使える。.255は/24のブロードキャストなので除く。

内部サーバのデフォルトゲートウェイは旧L3SWの仮想IP172.17.11.1である。共存中のスタックL3SWはVLAN11に仮アドレス172.17.11.101を使う。切替時に旧L3SWのIP設定を削除する。

問題

解説：サーバ側のゲートウェイ設定を維持するため、移行先が同じアドレスを引き継ぐ。旧側の削除と新側の設定は重複を起こさない順序で行う。

PCは複数のサブネットに分かれている。スタックL3SWはDHCPDISCOVERを受け、受信インタフェースのIPをgiaddrへ設定してDHCPサーバへ転送する。

問題

解説：リレーによって届く要求だけでは、サーバ自身の受信インタフェースからPCの所属先を判断できない。giaddrが元のサブネットを選ぶ手掛かりになる。

在庫管理端末はDHCPクライアントである。本社にはDHCPサーバとDNSサーバがある。

問題

解説：DNSサーバが名前解決を行うことと、そのDNSサーバのアドレスを端末へ配布することを区別する。端末設定の配布を担当するのはDHCPサーバである。

本社と店舗は同じ192.168.1.0/24を使う。本社はサーバ3台、L2SW1台、端末2台である。各店舗はL2SW1台と端末2台を置く。各機器はIPアドレスを一つ使う。

問題

解説：/24の利用可能ホストアドレスは254個である。本社で6個を使うので、店舗向けは248個になる。248÷3の整数部分は82である。

PCはL3SWのDHCPサーバからIPアドレスとサブネットマスクを取得する。PCは社内DNSで名前を解決し、別セグメントにあるプロキシやサーバへ接続する。

問題

解説：名前をアドレスに変換する先と、直接接続していない宛先へ転送する先の両方が必要である。

本社・支社UTMには、外側のVPN接続用に固定グローバルIPアドレスを設定する。一方、IP-in-IP over IPsecのトンネルインタフェースにはIP Unnumberedを設定する。

問題

解説：外側のVPN接続用アドレスが存在することと、各トンネルインタフェースへ個別にIPアドレスを割り当てることは別である。設問では後者を省く設定を説明する。

増強後のDNSには、既存ECサーバの新ホスト名ecsv1と192.168.1.5を登録する。従来のサービス用IPはLBのVIPに使う。

問題

解説：DNSだけを書き換えてもサーバのインタフェース設定は変わらない。LBのVIPと重複しない新しい実IPをサーバ側にも設定する。

最初の案では、LBはクライアントの送信元IPを変えずにECサーバへ転送する。ECサーバの既存デフォルトゲートウェイはFWzである。応答はLBを通ってからFWzへ戻す必要がある。

問題

解説：送信元がクライアントのままなので、サーバは外部クライアント宛ての応答をデフォルトゲートウェイへ送る。原問では、この案は運用PCへの応答に問題が生じるため、後でソースNAT方式に変更する。

PACにisInNet(ip, "172.16.0.0", "255.240.0.0")という条件がある。ここではホストへの割当て可能範囲ではなく、条件に一致するアドレス空間の両端を求める。

問題

解説：マスク255.240.0.0は/12である。第2オクテットの上位4ビットが固定され、下位4ビットは0〜15となるため、第2オクテットは16〜31となる。

公開名y-mail1.y-sha.comのAレコードは200.a.b.1を示す。DMZで同じサーバが利用するプライベートIPアドレスは192.168.0.1である。インターネットからの通信はFWで静的NATする。

問題

解説：インターネット側は公開DNSで得たグローバルIPアドレスへ送る。FWがDMZ内部のアドレスに変換して中継する。a・bは原問のアドレス表記である。

NAPTテーブルは、内部IPアドレス、内部ポート番号、変換後IPアドレス、変換後ポート番号、IPプロトコルを管理する。内部PCから発生したフローを、ルータの外部側アドレスへ変換する。

問題

解説：内部IPアドレス、内部ポート番号、IPプロトコルは、受信した通信が持つ情報である。ルータは外部へ送信するときのアドレスとポートを割り当て、戻りの通信を元のPCへ対応付ける。

運用PCのセグメントは192.168.0.0/24である。運用PCはL3SWに接続する。L3SWは広域イーサ網でデータセンターのFWzへ接続し、FWzの先のL2SWにECサーバがある。社内名はDMZのプライベートIPへ解決される。

問題

解説：社内用の名前からプライベートIPが得られるため、インターネット側ではなく広域イーサ網経由のDMZ経路を使う。

IPv6アドレスは128ビットである。コロン区切りで表記する。インタフェース識別子の生成方法として、MACアドレスからModified EUI-64形式へ変換する方法が示されている。

問題

解説：128ビットのアドレスを16ビットずつ8区画で表す。/64のアドレスでは、前半64ビットがサブネットプレフィックス、後半64ビットがインタフェース識別子となる。MACアドレスの長さとIPv6アドレス全体の長さを取り違えない。

IPv6ではリンクローカルユニキャストアドレス（LLA）とグローバルユニキャストアドレス（GUA）を使い分ける。LLAは、ある範囲内でネットワークインタフェースを識別する。

問題

解説：同じLLAを異なるリンクで使う構成が原問に登場する。アドレスだけでインターネット全体の機器を一意に示す用途ではない。そのためLLAをネクストホップにするときは、出口インタフェースの情報と合わせて読む。

ノードは仮のLLAやGUAを作り、対象アドレスをNSメッセージに入れて送信する。他ノードからNAメッセージの応答がないことを確認してから使用する。

問題

解説：自動生成したアドレスでも、使用前の重複確認が必要となる。確認対象は同じリンク上でのアドレス重複であり、外部サイトとの疎通やDNS登録の確認ではない。

正式なLLAはfe80::8:800:200c:417aである。受信したRAのサブネットプレフィックスは2001:db8:aabb:1::/64である。インタフェース識別子はLLAと共通とする。

問題

解説：RAで得た前半64ビットと、LLAの後半64ビットを連結する。LLAのfe80という部分を、そのままGUAの途中に残さない。/64はプレフィックスの長さであり、アドレス全体の長さではない。

PCはRSを送信し、ルータからRAを受信する。PCはそのルータを経由して、リンク外のノードと通信する。

問題

解説：RAはGUA生成用のプレフィックスだけでなく、リンク外への出口を決める情報も提供する。出口を指定するのはルータのLLAであり、PC自身に割り当てたGUAではない。

PCはSLAACでIPv6アドレスとデフォルトルータを設定する。PCの接続先は拠点L3スイッチであり、PCはルータを探すためのICMPv6メッセージを送る。

問題

解説：RSが要求、RAがルータからの通知である。MACアドレス解決のNS・NAと混同しない。PCはRAからアドレス生成とリンク外への通信に必要な情報を得る。

従来のIPv4ネットワークは、FWのアクセス制御に加えて、社内の複数PCの通信をルータBの外部側IPアドレスとポートへ変換していた。IPv6の設計では、この変換を利用しない。

問題

解説：アドレスだけでなくポート番号を対応付ける変換である。原問は、IPv6ではこれを使わないため、FWのアクセス制御を慎重に設計する必要があるとしている。アドレス変換とアクセス許可の役割は分けて考える。

中継装置が、出口のMTUより大きいIPv6パケットを転送できない場合、送信元へICMPv6タイプ2のPacket Too Bigを返す。この通知はPMTUDで使われる。

問題

解説：送信元の直結リンクだけでなく、通信先までの経路全体で通せるサイズを調べる。原問は、必要なICMPv6まで一律に拒否すると、この制御を妨げて通信障害になり得ることを指摘している。

HTTP/3はQUICでストリームを実現し、トランスポートにUDPを使う。ルータは無通信状態のUDPのNAPTエントリーを300秒保持する。TCPではFINやRSTを見て保持時間を短くする設定がある。

問題

解説：HTTP/3の通信が終わっても、UDPの変換状態が長く残ればテーブルを占有する。保持時間の短縮で未使用状態を早く回収する。ただし原問は、極端な短縮で別の問題が起こり得ることも注意しており、短ければ短いほどよいとはしていない。

公開ECアドレス100.α.β.2は、FWzで192.168.1.2へ変換される。増強後は192.168.1.2をLBの仮想IPとして使う。LBの物理IPは192.168.1.4、既存ECサーバの新IPは192.168.1.5である。

クライアントからFWz、LB、既存ECサーバの順に通信する。LBがソースNATを行う場合は、バックエンドへ送る通信の送信元をLBの物理IPへ変換する。

問題

解説：FWは公開IPと内部のサービスIPを対応付ける。LBはサービスIPで受けた通信を実サーバへ振り分ける。ソースNATを有効にすると、実サーバから見える送信元はLBになる。