追加問題②の解答と解説 TCP/IP プロトコル解答 01 データリンク層 C D セッション層 A E アプリケーション層 B F 解説データリンク層 PPP 主に専用線などのポイントツーポイント回線で利用するデータリンク層プロトコルです ARP IP アドレスから MAC アドレスを対応付け

(1)

追加問題②の解答と解説

■TCP/IP プロトコル

＜解答 01＞データリンク層－C、D セッション層－A、E アプリケーション層－B、F ＜解説＞データリンク層 PPP 主に専用線などのポイントツーポイント回線で利用するデータリンク層プロトコルです。 ARP IP アドレスから MAC アドレスを対応付けるためのプロトコルです。MAC アドレスはデータリンク層のアドレスなので、この問題ではデータリンク層として対応付けます。セッション層 SSL SSL は TCP の通信を暗号化するためのプロトコルです。TCP は OSI 参照モデルのトランスポート層およびセッション層に位置づけられるので、この問題ではセッション層として対応付けます。 NetBIOS

NetBIOS は以前の Windows で利用しているネットワークリソースへアクセスするための API です。NBT（NetBIOS over TCP/IP）として TCP/IP 上で利用できるようにしています。Windows ファイル共有などを実現するためのものなので、この問題ではセッション層として対応付けます。アプリケーション層 FTP FTP はファイル転送を行うためのアプリケーション層プロトコルです。 DNS DNS によってホスト名から IP アドレスへ対応付ける名前解決を行います。TCP/IP の階層ではアプリケーション層に位置付けられています。

(2)

＜解答 02＞ A－2、B－4、C－3、D－5、E－1 ＜解説＞ ping コマンドの表示結果にはいくつかの種類があります。表示結果の意味を以下の表にまとめています。表 ping コマンドの表示結果表示結果意味 ! エコー応答を受信した . タイムアウトした U 送信先に到達できない Q 送信元抑制メッセージを受信した M フラグメントできない ? 不明なパケットタイプ & パケットの TTL 超過 ＜解答 03＞ D ＜解説＞ TCP/IP の通信を行うには、必ず宛先 IP アドレスを指定しなければいけません。ただ、通常私たちはホスト名を指定して通信を行うことが多く、IP アドレスを意識しないことがほとんどです。これは DNS によって宛先のホスト名が IP アドレスを自動的に解決できるようにしているためです。このようにクライアントでアプリケーションの通信を行うときには、自動的に DNS の名前解決が行われます。名前解決の動作は、最初にクライアントから DNS サーバへ名前解決のリクエスト（ネームクエリ）を送信します。ネームクエリには解決したいホスト名が含まれています。DNS サーバはネームクエリに含まれていたホスト名に対応する IP アドレスを応答します。DNS サーバから返ってきた IP アドレスを利用して、クライアントは通信を開始します。以上より、解答は D です。＜ここがポイント！＞・ TCP/IP では必ず IP アドレスを指定する・ DNS によって自動的に宛先 IP アドレスを取得する

(3)

＜解答 04＞ A－5、B－1、C－2、D－4、E－3 ＜解説＞ ip host ホスト名と IP アドレスの対応をスタティックに設定するコマンドです。 ip domain-name ドメイン名を設定するコマンドです。ホスト名とドメイン名を合わせるとフルネームに相当する FQDN（Fully Qualified Domain Name）となります。

show host ip host コマンドでスタティックに設定しているホスト名と IP アドレスの対応を確認します。 ip domain-lookup DNS の問い合わせを有効にするコマンドです。デフォルトで有効化されています。 ip name-server DNS サーバの IP アドレスを設定するコマンドです。

■Cisco デバイスの管理

＜解答 05＞ B ＜解説＞ルータやスイッチの CLI にログインしたときにバナーメッセージを表示することができます。バナーメッセージの設定は、グローバルコンフィグレーションモードで次のコマンドを入力します。

(config)#banner {motd|login|exec} <d> <message> <d>

<d> : 区切り文字

<message> : 表示したいメッセージ

これらの設定のうち、banner motd が CLI にアクセスしたときに最初に表示されるメッセージです。ユーザ認証のプロンプトの前に表示されます。

(4)

に設定している場合は、そのあとに表示されます。banner exec のメッセージはユーザ認証したあとに EXEC モードに入るときに表示されるメッセージです。

＜ここがポイント！＞・バナーメッセージの表示順

banner motd → banner login → banner exec

＜解答 06＞ B ＜解説＞

Cisco IOS ファイルシステム上でファイルを削除するためには、特権 EXEC モードで delete コマンドを利用します。

#delete [/force] [/recursive] [filesystem:] <file-url>

ディレクトリを完全に削除するときには /recursive のオプションを指定します。サブディレクトリと含まれるすべてのファイルを削除します。 / force のオプションはファイルを削除する際の確認プロンプトを省略します。

＜ここがポイント！＞

・ delete コマンドでファイルを削除する

#delete [/force] [/recursive] [filesystem:] <file-url>

＜解答 07＞ A－4、B－2、C－1、D－3 ＜解説＞

show configuration

show startup-configuration の古いフォーマットのコマンドです。startup-config を表示するので、ホスト名や暗号化されていないパスワードを確認できます。

show interfaces

インタフェースの詳細な状態を確認するコマンドです。主にレイヤ 2 の状態を中心に表示します。

(5)

インタフェースの IP アドレスや up/down といった要約情報を一覧で表示します。

show interfaces stats

インタフェースでプロセススイッチや CEF などのスイッチング方式で転送したパケット数を確認できます。 ＜解答 08＞ A－5、B－1、C－2、D－3、E－4 ＜解説＞ Cisco 独自の CDP に相当する標準化されたプロトコルが LLDP です。LLDP によって、直接接続されているさまざまなデバイスを確認できます。LLDP の show コマンドの概要は次の通りです。 show lldp : LLDP の送信頻度やホールドタイムを確認します。 show lldp interface : LLDP が有効化されているインタフェースを確認します。 show lldp entry : 指定したエントリの詳細な情報を確認します。

show lldp neighbor detail : LLDP で認識しているネイバーの詳細を確認します。 show lldp traffic : LLDP の送受信パケット数を確認します。 ＜解答 09＞ C → A → B → D → E ＜解説＞パスワードリカバリによって、パスワード以外の設定はそのままでパスワードを再設定することができます。パスワードリカバリの手順は次の通りです。 Step1 コンソールポートへ接続する ルータのコンソールポートへ接続します。 Step2 ルータをハードブートする ルータの電源を切り、再度電源を入れます。 Step3 ルータ起動途中にブレーク信号を送信し ROM モニタで起動する

Tera Term などのターミナルソフトウェアから、IOS を展開中にブレーク信号を送信してブートプロセスを中断し ROM モニタで起動します。

(6)

※ Tera Term ではブレーク信号の送信は［Alt］+［B］です。ターミナルソフトウェアによってブレーク信号の送信方法は異なります。 Step4 コンフィグレーションレジスタを 0x2142 に変更する ROM モニタからコンフィグレーションレジスタを 0x2142 に変更します。これにより、ルータ起動時に startup-config のロードを行わずに初期状態で起動させることができます。コンフィグレーションレジスタの変更は、次のコマンドを入力します。 rommon1>confreg 0x2142

Step5 ROM モニタから IOS のブートを実行する reset コマンドにより、IOS のブートを実行します。

Step6 ユーザ EXEC モードから特権 EXEC モードへ移行する

ルータは初期状態で起動するので、パスワードを入力せずにユーザ EXEC モードから特権 EXEC モードに移行することができます。

Router>enable Router#

Step7 startup-config を running-config にコピーする

初期状態で起動しても、設定は config に保存されたままです。その内容を copy startup-config running-startup-config コマンドで running-startup-config にコピーします。ここでユーザ EXEC モードに戻ってしまうと、パスワードがわからないままなので注意してください。 Step8 必要なインタフェースを no shutdown する 初期状態で起動しているため、インタフェースは shutdown 状態です。そのため、必要なインタフェースを no shutdown コマンドで有効にする必要があります。 Step9 適切なパスワードを設定する 新しいパスワードを設定します。

(config)#enable secret <password>

Step10 コンフィグレーションレジスタを 0x2102 に変更する

(7)

したときに再び初期状態で起動してしまいます。コンフィグレーションレジスタの変更は、グローバルコンフィグレーションモードで次のコマンドを入力します。

(config)#config-register 0x2102

Step11 running-config を startup-config にコピーする

新しく設定したパスワードも含めて設定を保存します。設定を保存しておかなければ、ルータを再起動したときに、またパスワードがわからずに特権 EXEC モードに移れなくなってしまいます。＜ここがポイント！＞・パスワードリカバリを行うには、ルータと管理者の端末を直接コンソール接続して、再起動させなければいけない・パスワードリカバリ時にはコンフィグレーションレジスタを 0x2142 に変更して、初期状態でルータを起動させる

■LAN

＜解答 10＞ A、D ＜解説＞スター型トポロジを利用する規格は UTP ケーブルを利用するイーサネット規格です。10BASE-T/100BASE-TX/1000BASE-T など伝送媒体の特徴を示す部分に「T」が含まれているものが UTP ケーブルを利用するイーサネット規格です。以上より、解答は A、D です。＜ここがポイント！＞・ UTP ケーブルを利用するイーサネット規格はスター型トポロジを利用する ＜解答 11＞ D ＜解説＞イーサネットケーブルの最大長を超えてしまうと、CSMA/CD のコリジョン検出が正常に行えなくなることがあります。CSMA/CD の仕様上、コリジョンは 512 ビット時間以内に検出します。し

(8)

かし、ケーブルが長すぎると 512 ビット時間を超過したあとにコリジョンが発生してしまうことがあります。512 ビット時間を超過したコリジョンはレイトコリジョンと呼ばれます。なお、レイトコリジョンは、対向のポート間で全二重/半二重が不一致担っている場合も発生することがあります。以上より、解答は D です。＜ここがポイント！＞・イーサネットケーブルが長すぎるとレイトコリジョンが発生する可能性がある ＜解答 12＞銅線 A、C、D ／光ファイバ B、E、F ＜解説＞イーサネットの規格名称の最後の部分は、利用する伝送媒体の特徴を表しています。いろいろなバリエーションが存在しますが、「T」とついている規格は、伝送媒体に UTP ケーブルを利用します。UTP ケーブルは 8 本の銅線を 2 本 1 組でより合わせているケーブルです。銅線を利用する規格は、最後の部分に「T」がついている選択肢 A 10BASE-T、選択肢 C 10GBASE-T、選択肢 D 100BASE-TX の 3 つです。それ以外は光ファイバを利用するイーサネット規格です。＜ここがポイント！＞・規格名称の最後に「T」が含まれていると伝送媒体に UTP ケーブルを利用する ＜解答 13＞ストレートケーブル C、D、E ／クロスケーブル A、B、F ＜解説＞

UTP ケーブルを利用するイーサネット規格の RJ-45 インタフェースには MDI と MDI-X の 2 種類あります。機器によって MDI の RJ-45 インタフェースであるか、MDI-X の RJ-45 インタフェースであるかが決まります。

MDI MDI-X

PC、ルータスイッチ、シェアードハブ、ADSL/ケーブルモデム/ONU

MDI と MDI-X を接続するときにはストレートケーブルを利用します。MDI と MDI、MDI-X と MDI-X のように同じ種類のインタフェースを接続するときにはクロスケーブルを利用します。

(9)

選択肢でストレートケーブルを利用する、すなわち、MDI と MDI-X の機器の接続は、次の 3 つです。 C）ルータとケーブルモデム D）PC とスイッチ E）ルータとスイッチそして、残りはクロスケーブルを利用する接続です。＜ここがポイント！＞・イーサネットの RJ-45 インタフェースには MDI と MDI-X の 2 種類ある・ MDI と MDI-X の接続にはストレートケーブルを利用する・同じ種類同士の接続にはクロスケーブルを利用する

■VLAN

＜解答 14＞ B ＜解説＞

switchport voice vlan コマンドはポートの Voice VLAN の設定を行います。Voice VLAN によって、ポートの先に接続する IP Phone が所属する VLAN を指定します。CDP で Cisco IP Phone を検出すると、IP Phone に Voice VLAN の情報を通知して、音声パケットを Voice VLAN 上で転送できるようにします。

以上より、解答は B です。

・ switchport voice vlan コマンドでポートの Voice VLAN を設定する

＜解答 15＞ A ＜解説＞

SVI はレイヤ 3 スイッチで VLAN を相互接続するために作成する仮想的なインタフェースです。レイヤ 3 スイッチ内部のルータと VLAN を接続するインタフェースが SVI です。SVI を作成して内

(10)

部ルータと VLAN をつないで、さらに VLAN に応じた適切な IP アドレスを設定することで、レイヤ 3 スイッチで VLAN 間のルーティングを可能にします。

SVI を作成するには、グローバルコンフィグレーションモードで次のコマンドを利用します。

(config)#interface vlan <vlan-id>

(config-if)#ip address <ip-address> <subnetmask>

以上より、解答は A です。

・ SVI によってレイヤ 3 スイッチ内部のルータと VLAN を接続する・ SVI 作成コマンド

(config)#interface vlan <vlan-id>

■スパニングツリー

＜解答 16＞ C ＜解説＞ Cisco Catalyst スイッチはデフォルトでスパニングツリープロトコル（STP）が有効です。そのため、スイッチのポートに PC を接続しても、すぐにフォワーディング状態にはならずに 50 秒間程度、通信できません。DHCP クライアントが DHCP のメッセージを送信してもスイッチはそのメッセージをブロックしてしまい、DHCP クライアントは IP アドレスなどを取得できないことがあります。そのため PC などが接続されるポートにポートファストを設定することですぐにフォワーディング状態になるようにしておきます。そうすれば、クライアントが DHCP で IP アドレスを取得する妨げになりません。以上より、解答は C です。＜ここがポイント！＞・デフォルトでスイッチはスパニングツリープロトコルが有効化されている・ STP が有効なスイッチのポートに PC を接続しても、ポートはすぐにフォワーディング状態にならない

(11)

＜解答 17＞ A、B ＜解説＞

PAgP によるネゴシエーションでイーサチャネルを構成するときには channel-group コマンドの mode の指定を desirable または auto にします。auto 同士ではイーサチャネルを構成できないので、少なくとも一方は desirable にします。desirable と auto の組み合わせになるのは、選択肢 A と B です。

・ PAgP でのイーサチャネルは channel-group コマンドの mode の指定を desirable または auto にする・ PAgP のイーサチャネルの設定では、少なくとも一方は desirable にする必要がある

■ルーティング

＜解答 18＞ B ＜解説＞ no ip routing コマンドはルーティングを無効化します。ルーティングを無効にしたルータにデフォルトゲートウェイを設定するには、グローバルコンフィグレーションモードで次のコマンドを入力します。

(config)#ip default-gateway <ip-address>

このコマンドはレイヤ 2 スイッチにデフォルトゲートウェイを設定するコマンドと同じです。以上より、正解は B です。＜ここがポイント！＞・ ip default-gateway コマンドでデフォルトゲートウェイを設定する ＜解答 19＞ B、D ＜解説＞

(12)

ダイナミックルーティングの主なメリットには、次のことが挙げられます。・管理者の負担が少ない・ネットワーク構成の変更を自動的にルーティングテーブルに反映させられるダイナミックルーティング（ルーティングプロトコル）の設定は、基本的に各ルータのインタフェースでルーティングプロトコルを有効化するというものです。新しくルータが追加されても、既存のルータの設定変更は特に必要ありません。追加したルータのインタフェースでルーティングプロトコルを有効にするだけです。管理者の設定作業の負担が少なく、ネットワークが拡張されても、速やかに対応させることができます。スタティックルーティングでは、新しくルータが追加されて新しいネットワークを接続すると、追加したルータと既存のすべてのルータのルーティングテーブルにスタティックルートを追加する必要があります。ネットワークが拡張された場合は、既存のルータも含めて、スタティックルートの設定をしなければいけないので、管理者の設定作業の負担が非常に大きくなってしまいます。以上より、正解は B、D です。＜ここがポイント！＞・ダイナミックルーティングのメリット・管理者の負担が少ない・ネットワーク構成の変更を自動的にルーティングテーブルに反映させられる ＜解答 20＞ A ＜解説＞ルーティングテーブルのルート情報はネクストホップアドレスに到達できることが前提です。ネクストホップアドレスに到達できないルート情報は無効なルートとして、ルーティングテーブルに登録されません。問題文には明確に書かれていませんが、デフォルトルートをスタティックルートとして設定していると考えられます。スタティックルートでもネクストホップアドレスに到達できなければルーティングテーブルには登録されません。以上より、解答は A です。

(13)

＜ここがポイント！＞・ルーティングテーブルのルート情報はネクストホップアドレスに到達できることが前提である・ネクストホップアドレスに到達できないルート情報は無効なルート情報でルーティングテーブルに登録されない ＜解答 21＞ C、E ＜解説＞ルータが IP パケットをルーティングするときに、IP パケットの宛先 IP アドレスに一致するプレフィクス（ルート情報）をルーティングテーブルから最長一致検索で検索します。ルーティングテーブルに宛先 IP アドレスに一致するルート情報が複数ある場合は、よりサブネットマスクが長いルート情報を優先して IP パケットのルーティングに利用します。このような最長一致検索の特徴を意味している選択肢は C と E です。＜ここがポイント！＞・ルーティングテーブルのルート情報の検索は最長一致検索を行う・宛先 IP アドレスに一致するルート情報がルーティングテーブルに複数ある場合は、よりサブネットマスクが長いルート情報を優先する ＜解答 22＞ A、C ＜解説＞アドミニストレイティブディスタンスは Cisco 独自のパラメータで、ルートの情報源の信頼性を表していると解説されていることがほとんどです。もう少し本質的な意味を考えると、アドミニストレイティブディスタンスとは、メトリックを比較可能にするためのパラメータです。ルーティングプロトコルで学習するルート情報には、宛先ネットワークまでの距離を表すメトリックがあります。ルータがルーティングプロトコルでルート情報を送信するときにメトリックで距離を計測しているイメージです。ルーティングプロトコルが異なると、メトリックの考え方がまったく異なります。そのため、異なるルーティングプロトコルのメトリックの値を単純に比較できません。したがってアドミニストレイティブディスタンスによって、異なるルーティングプロトコルのメトリックを比較できるようにします。ルーティングプロトコルで計測する宛先ネットワークまでの距離は、アドミニストレイティブディスタンスとメトリックの組み合わせです。なお、アドミニストレイティブディスタンスは、ルータローカルのパラメータでメトリックの計

(14)

測そのものとは直接関係ありません。以上より、解答は A、C です。＜ここがポイント！＞・アドミニストレイティブディスタンスは、ルート情報の情報源の信頼性を表す・アドミニストレイティブディスタンスとメトリックの組み合わせで宛先ネットワークまでの距離を表す ＜解答 23＞ A、B、D ＜解説＞ルーティングプロトコルのルート情報には、メトリックで宛先ネットワークまでの距離を表しています。ただ、ルーティングプロトコルによって、メトリックの考え方が異なるため、単純に比較できません。そこで、宛先ネットワークまでの距離は、アドミニストレイティブディスタンスとメトリックを組み合わせて考えます。宛先ネットワークまでの距離＝アドミニストレイティブディスタンス / メトリック同じ宛先ネットワークのルート情報を複数のルート情報源で学習した場合は、距離が最小となる最適ルートのみをルーティングテーブルに登録します。距離を比較するときには、まず、アドミニストレイティブディスタンスを見ることになります。問題の 3 つのルーティングプロトコルのデフォルトのアドミニストレイティブディスタンスは以下の通りです。 EIGRP：90 OSPF：110 RIP：120

EIGRP よりも OSPF と RIP を優先するためには、EIGRP よりも OSPF と RIP のアドミニストレイティブディスタンスが小さくなるようにします。選択肢 B の OSPF のアドミニストレイティブディスタンスを 70 にすると、EIGRP よりも優先されます。 RIP も同様にアドミニストレイティブディスタンスを小さくすればよいのですが、選択肢には適切なものがありません。選択肢 A と選択肢 D のように EIGRP と RIP のアドミニストレイティブディスタンスをともに 100 にした場合、メトリックの値で最適ルートを決定します。メトリックの値は RIP のほうが確実に小さくなります。RIP のメトリックはホップ数で 1～15 の範囲です。一方、

(15)

EIGRP のメトリックは複合メトリックでさまざまな値から計算しますが、値としては数十万以上の非常に大きな値になるからです。そのため、RIP と EIGRP のアドミニストレイティブディスタンスを同じ 100 にすると、RIP のほうが優先されることになります。以上より、解答は A、B、D です。＜ここがポイント！＞・アドミニストレイティブディスタンスのデフォルト値 EIGRP 90 OSPF 110 RIP 120 ＜解答 24＞ C ＜解説＞インターネットを構成する AS（Autonomous System）間では BGP を利用して、膨大な数のルート情報を交換しています。インターネットにアクセスするには、ISP（AS）とインターネット接続サービスを契約します。インターネット接続を冗長化している場合は、BGP で ISP との間でルート情報を交換して、経路の切り替えや負荷分散を実現することができます。以上より、解答は C です。＜ここがポイント！＞・インターネットを構成する AS 間ではルーティングプロトコルとして BGP を利用している ＜解答 25＞ B、D、E ＜解説＞ BGP ネイバーを確立するときに、以下のステートを遷移します。 BGP ステート概要 Init BGP ネイバーの初期状態 Active TCP コネクションを確立しようとしている状態 Connect TCP コネクションの確立を待っている状態 OpenSent Open メッセージを送信した状態 OpenConfirm ネイバーからの KEEPALIVE を待っている状態

(16)

Established BGP ネイバーを確立した状態

BGP ネイバーの状態は、選択肢 B、D、E です。

＜解答 26＞ B、C ＜解説＞

BGP の network コマンドは、OSPF や EIGRP の network コマンドとは意味が異なります。BGP の network コマンドは指定したネットワークアドレス/サブネットマスクを BGP テーブルに登録するためのものです。その際、ルーティングテーブルを参照して、ルーティングテーブルに登録されている既知のルート情報であることを確認しています。つまり、BGP の network コマンドは、ルーティングテーブル上のルート情報を BGP ルートとして生成するコマンドです。ルーティングテーブルに登録されていればよいので、BGP の network コマンドは直接接続のネットワークアドレスだけではなく、リモートネットワークも指定できます。以上より、解答は B、C です。＜ここがポイント！＞・ BGP network コマンドでルーティングテーブルに登録されている既知のネットワークアドレスを BGP ルートとして生成する ＜解答 27＞ C、E ＜解説＞

BGP は主に AS 間で利用する EGPs（Exterior Gateway Protocols）の典型的なルーティングプロトコルです。膨大な数のインターネット全体のルート情報を扱うことができます。 BGP で交換するルート情報にはルートの特徴を示すパスアトリビュートが複数付加されています。重要なパスアトリビュートが AS_PATH です。BGP ルートが経由してきた AS 番号のリストを表しています。AS_PATH は最適ルートの決定にも重要な意味を持っているので、BGP の動作アルゴリズムとしてパスベクタと表現されることが多くなっています。AS_PATH 以外にもパスアトリビュートがあり、さまざまなパスアトリビュートに基づいて、柔軟なルート制御ができることも BGP の重要な特徴です。以上より、解答は C、E です。

(17)

＜ここがポイント！＞・ BGP は AS 間で利用する EGPs の代表的なルーティングプロトコル・ BGP の動作アルゴリズムはパスベクタ型 ＜解答 28＞ A、C ＜解説＞ EBGP ネイバーは異なる AS に参加しているルータ間の BGP ネイバーです。BGP ネイバーは OSPF などの IGP における動的なネイバー検出とは違って、基本的にお互いのルータ同士で neighbor コマンドによって、明示的にネイバーを設定しなければいけません。ネイバーの設定コマンドは次の通りです。 (config)#router bgp <AS-number>

(config-router)#neighbor <ip-address> remote-as <AS-number>

以上より、解答は A、C です。

・ EBGP ネイバーは異なる AS 間の BGP ネイバー・ BGP ネイバーの設定コマンド

(config)#router bgp <AS-number>

(config-router)#neighbor <ip-address> remote-as <AS-number>

＜解答 29＞ B ＜解説＞ HSRP のアクティブルータはプライオリティによって決定されます。しかし、デフォルトでは preempt が無効なため、すでにアクティブルータが存在しているとプライオリティが大きいルータが後から追加されてもアクティブルータは変更されません。そのため、プライオリティが大きいルータがアクティブルータになっていて、そのルータがダウンしたあと復旧しても、アクティブルータには戻りません。プライオリティが大きいルータが必ずアクティブルータになるようにするためには、プリエンプトを有効にしなければいけません。プリエンプトを有効にするための設定は、インタフェースコンフィグレーションモードで次のコマンドを利用します。

(18)

(config-if)#standby <group-number> preempt プライオリティを最大にしてなおかつ、プリエンプトを有効にしておけば、特定のルータがアクティブなときに、常に HSRP アクティブルータになるようにできます。以上より、解答は B です。＜ここがポイント！＞・プリエンプトを有効にすることで、プライオリティの大きいルータが必ずアクティブルータになる ＜解答 30＞ B、C ＜解説＞ HSRPv1 と HSRPv2 は、基本的な動作の仕組みは同じです。HSRPv2 の概要は次の通りです。 ・グループ番号の拡張 HSRPv2 ではグループ番号として 0～4095 まで拡張されています。これにより VLAN 番号とのマッピングを行いやすくなります。 ・仮想 MAC アドレス グループ番号の拡張にともなって HSRPv2 では仮想 MAC アドレスは「00-00-0C-9F-Fx-xx」に変更されています。下位 12 ビットに HSRP グループ番号を埋め込んだフォーマットです。 ・ HSRP メッセージの宛先 IP アドレス HSRPv1 では 224.0.0.2 のマルチキャストグループの IP アドレスを利用しています。一方、HSRpv2 では 224.0.0.102 の予約されたマルチキャストアドレスを利用するように変更されています。 ・ IPv6 サポート HSRPv2 は IPv6 もサポートできるようにパケットフォーマットに変更が加えられています。以上より、解答は B、C です。

(19)

＜ここがポイント！＞・ HSRPv2 は 255 よりも大きなグループ番号を利用可能・ HSRPv2 の仮想 MAC アドレス「00-00-0C-9F-Fx-xx」

■RIP

＜解答 31＞ A ＜解説＞ RIP はデフォルトでスプリットホライズンが有効です。そのため、ルート情報を受信したインタフェースからはそのルート情報を送信しません。ルート情報を受信したインタフェースからそのルート情報を送信できるようにするためには、スプリットホライズンを無効化します。 RIP のスプリットホライズンを無効化するには、インタフェースコンフィグレーションモードで以下のコマンドを入力します。 (config-if)#no ip split-horizon 以上より、正解は A です。＜ここがポイント！＞・ RIP のスプリットホライズンの無効化 (config-if)#no ip split-horizon

■OSPF

＜解答 32＞ C ＜解説＞問題文の条件に基づいて、R1 で OSPF を有効にするインタフェースは R2～R5 と接続している次の 4 つです。

(20)

インタフェース IP アドレス Fa0/0 10.10.2.29/30 Fa0/1.3 10.10.2.17/30 Fa0/1.4 10.10.2.21/30 Fa0/1.5 10.10.2.25/30

インタフェースで OSPF を有効にするには、network コマンドを利用します。network コマンドによって、OSPF を有効にしたいインタフェースがどんなビットパターンの IP アドレスを持っているかを指定します。選択肢 C の network コマンドの設定は、「network 10.10.2.16 0.0.0.15」です。この IP アドレスとワイルドカードマスクの組み合わせは、IP アドレスの範囲として「10.10.2.16～ 10.10.2.31」を表しています。上記の表の IP アドレスがすべて含まれるので、選択肢 C の設定で Fa0/0、Fa0/1.3、Fa0/1.4、Fa0/1.5 の 4 つのインタフェースで OSPF が有効化されることになります。そして、OSPF でデフォルトルートをアドバタイズするためには、OSPF のコンフィグレーションモードで次のコマンドを入力します。 (config-router)#default-information originate このコマンドはルーティングテーブル上のデフォルトルートを OSPF LSA タイプ 5 として、他の OSPF ルータにアドバタイズするための設定です。選択肢 C には、スタティックルートでデフォルトルートが設定されているので、 default-information originate コマンドが機能します。R1 から他の OSPF ルータへ OSPF でデフォルトルートがアドバタイズされることになります。

以上より、解答は C です。

・ OSPF の network コマンドは OSPF を有効化したいインタフェースが持つ IP アドレスのビットパターンを指定する

・ default-information originate コマンドによって、OSPF でデフォルトルートをアドバタイズする

(21)

＜解答 33＞一致する必要がある B、C、F ／一致する必要がない A、D、E ＜解説＞ EIGRP ネイバーになるためには、AS 番号と K 値が一致していなければいけません。また、認証を行っているときには認証パスワードも一致している必要があります。 Hello タイマ/Dead タイマは一致している必要がなく、小さい方の値に合わせます。ルータ ID が重複してしまっていてはネイバーになることができません。＜ここがポイント！＞・ EIGRP ネイバーで一致していなければいけないパラメータ・AS 番号・K 値・認証 ＜解答 34＞ B、C ＜解説＞「スタブ」という用語は、たいていは小規模な拠点のことを意味します。小規模な拠点向けのオプションとしてスタブ機能を利用できるルーティングプロトコルは OSPF と EIGRP です。ただし、 OSPF のスタブと EIGRP のスタブでは、その機能の動作がまったく異なります。

OSPF のスタブは、LSA のアップデートを制限する機能です。小規模な拠点には、必要ない LSA のアップデートを止めることで、OSPF のルーティングを効率よく行います。EIGRP のスタブは、 EIGRP クエリを制限する機能です。小規模な拠点の EIGRP ルータの方向には代替ルートはまずありません。代替ルートが存在しないような小規模な拠点には、必要ない EIGRP ネイバーへのクエリの送信を止めることで、EIGRP のコンバージェンスを早くします。以上より、解答は B、C です。＜ここがポイント！＞・ OSPF と EIGRP には小規模な拠点向けのスタブ機能がある

■WAN

＜解答 35＞ B

(22)

＜解説＞

PPPoE は FTTH や ADSL などのブロードバンドインターネットアクセスサービスでよく利用されます。手軽なイーサネットインタフェースを利用して PPP の通信を行うために、PPPoE を利用します。PPPoE によって ISP は FTTH や ADSL 回線上のユーザを認証して、IP アドレスの割当などもできます。以上より、解答は B です。＜ここがポイント！＞・ FTTH や ADSL などのブロードバンドインターネットアクセスサービスで PPPoE を利用する

■アクセスリスト

＜解答 36＞ A → F → C → D → B → E ＜解説＞アクセスリストには標準アクセスリストと拡張アクセスリストがあります。今回の問題では、アクセスリスト番号は選択肢 F の 10 と考えられるので標準アクセスリストです。標準アクセスリストのコマンド構文は以下の通りです。

(config)#access-list <ACL-number> {permit|deny} <source-address> <wildcard> [log-input]

コマンド構文にしたがって、選択肢の内容を正しい順番にすると、以下のようになります。

access-list 10 permit 192.168.0.0 0.0.255.255 log-input

・標準アクセスリストのコマンド構文

(config)#access-list <ACL-number> {permit|deny} <source-address> <wildcard> [log-input]

(23)

■ネットワーク管理

＜解答 37＞ E → D → B → A → C → F ＜解説＞ Cisco ルータを DHCP サーバとして設定するためには、DHCP クライアントに配布する設定情報をまとめた DHCP プールを作成します。DHCP プールの作成手順は次のようになります。 1. DHCP プールを作成

(config)#ip dhcp pool <pool-name>

2. プールのネットワークアドレス/サブネットマスクの指定 (dhcp-config)#network <network> mask <subnet-mask>

3. ドメイン名の指定 (dhcp-config)#domain-name <domain > 4. DNS サーバの指定 (dhcp-config)#dns-server <ip-address> 5. デフォルトゲートウェイの IP アドレスの指定 (dhcp-config)#default-router <ip-address> 6. リース時間の指定

(dhcp-config)#lease {<days> [<hours>] | inifinite}

※ 他のオプションの指定もあります。

※ Cisco のコンフィグレーションガイドに基づいた順序です

また、クライアントに配布しない IP アドレスとして除外アドレスの指定を行います。

(config)#ip dhcp excluded-address <low-address> <high-address>

DHCP プール内のさまざまなパラメータの設定には、特に依存関係がなく、順番通りに設定する必要はありませんが、「Cisco 推奨の」設定手順として、Cisco のコンフィグレーションガイドの順序を推奨と考えます。また、除外アドレスの指定はオプションなので、手順の最後として解答しま

(24)

す。 ＜解答 38＞ A、B ＜解説＞スタティック IP アドレスの PC へは問題なく、DHCP で IP アドレスを設定している PC への通信ができないのは、明らかに DHCP の問題です。選択肢の中から、DHCP に関するものを考えると、 A と B です。選択肢 A の DHCP サーバでクライアントに割り当てるプールの設定が間違っていると、クライアントには適切な TCP/IP の設定がされなくなり、通信ができません。 DHCP サーバと DHCP クライアントが異なるネットワークに接続されていると、ルータで DHCP リレーエージェント機能を利用して、DHCP パケットを転送できるようにします。もし、経路上の他のルータで DHCP パケットがフィルタされてしまうと、DHCP クライアントは IP アドレスを取得できずに通信できません。以上より、解答は A、B です。＜ここがポイント！＞・ DHCP によって IP アドレスなどの必要な TCP/IP 設定を自動的に取得する・ DHCP に問題があると、DHCP クライアントは通信できない ＜解答 39＞ C、D ＜解説＞ DHCP スヌーピングはレイヤ 2 スイッチで DHCP メッセージの内容をチェックして、不正な DHCP サーバの接続を防止する機能です。正規の DHCP サーバが接続されている方向のインタフェースを Trust インタフェースとして設定し、DHCP サーバからの DHCPOFFER などのメッセージは、Trust インタフェースでのみ受信するようにします。また、DHCP クライアントに割り当てた IP アドレスと DHCP クライアントの MAC アドレスの対応をレイヤ 2 スイッチで保持します。その情報に基づいて、正しい IP アドレスと MAC アドレスの組み合わせになっているパケットのみを転送する IP ソースガード機能も利用できるようにします。IP ソースガードによって、不正なホストの接続を防止することもできます。以上より、解答は C、D です。

(25)

＜ここがポイント！＞・ DHCP スヌーピングはレイヤ 2 スイッチで DHCP メッセージの内容をチェックする機能・不正な DHCP サーバの接続を防止する・ DHCP スヌーピングで保持する IP アドレスと MAC アドレスの対応情報によって、不正なホストの接続を防止する ＜解答 40＞ B ＜解説＞ ip helper-address コマンドは、特定のブロードキャストパケットをユニキャストパケットに変換するための設定です。DHCP クライアントと DHCP サーバが異なるネットワーク上に接続されているとき、DHCP のブロードキャストパケットをユニキャストに変換する DHCP リレーエージェントのためによく利用されています。 DHCP リレーエージェントとして、ip helper-address を設定するのは、DHCP クライアントと同じネットワーク上のルータのインタフェースです。

(config-if)#ip helper-address <ip-address>

DHCPDISCOVER などの DHCP のブロードキャストパケットを DHCP サーバの IP アドレス宛てのユニキャストパケットに変換して転送します。また、DHCP サーバからの応答となる DHCPOFFER などのパケットは、再びブロードキャストに変換して DHCP クライアントへ転送します。以上より、解答は B です。＜ここがポイント！＞・ ip helper-address コマンドは DHCP リレーエージェントのためによく利用する・ ip helper-address コマンドは DHCP クライアントと同じネットワーク上のルータのインタフェースに設定する ＜解答 41＞ B ＜解説＞ネットワーク上を転送されるイーサネットフレームをキャプチャするために SPAN（Switch Port ANalyzer）の設定を行います。スイッチのインタフェースで送受信するイーサネットフレームをコ

(26)

ピーして、WireShark などのキャプチャデバイスが接続されるインタフェースに転送します。 SPAN にはローカルスイッチのイーサネットフレームをキャプチャするためのローカル SPAN とリモートスイッチのイーサネットフレームをキャプチャするリモート SPAN があります。ローカル SPAN の設定手順は次の通りです。 1. SPAN 送信元インタフェースの設定 2. SPAN 宛先インタフェースの設定「1.」を設定すると、SPAN 送信元インタフェースで扱うイーサネットフレームをキャプチャ対象とします。SPAN 送信元には、レイヤ 2 のスイッチポートまたは VLAN を指定します。VLAN を指定すると指定した VLAN に参加するすべてのインタフェースが一括で SPAN 送信元インタフェースになります。また、送信元インタフェースで扱う受信フレームか送信フレーム、あるいはその両方をキャプチャ対象として指定します。

(config)#monitor session <session-num> source {interface <interface> | vlan <vlan-id>} [rx|tx|both]

<session-num> : セッション番号

<interface> : SPAN 送信元インタフェース名 <vlan-id> : SPAN 送信元 VLAN 番号

「2.」で設定する SPAN 宛先インタフェースは、Wireshark などキャプチャデバイスが接続されるインタフェースです。SPAN 宛先インタフェースは物理的なレイヤ 2 ポートのみが対象です。

(config)#monitor session <session-num> destination interface <interface> [encapsulation replicate]

<session-num> : セッション番号

<interface> : SPAN 宛先インタフェース名

SPAN 宛先インタフェースに転送するフレームは VLAN タグを付加しません。VLAN タグがついているイーサネットフレームをそのまま SPAN 宛先インタフェースに転送するときには、 encapsulation replicate のオプションを指定します。なお、SPAN 宛先インタフェースに指定したポートは、通常のイーサネットフレームの転送が無効化されます。

(27)

・ SPAN によってイーサネットフレームをキャプチャできるようにする

・ monitor session source コマンドでキャプチャ対象のインタフェースや VLAN を指定できる

＜解答 42＞ B、D ＜解説＞ SPAN では送信元インタフェースとして、物理ポートだけではなくイーサチャネルを設定することもできます。SPAN の送信元インタフェースとしてイーサチャネルを設定する場合には、物理ポートをグループ化した Port-Channel インタフェースを指定します。また、SPAN 送信元インタフェースで扱う入力と出力の両方のイーサネットフレームをキャプチャすることができます。以上より、解答は B、D です。＜ここがポイント！＞・ SPAN では、送信元インタフェースを入力、出力するイーサネットフレームをキャプチャできる・ SPAN の送信元インタフェースとしてイーサチャネルを指定することもできる ＜解答 43＞ C ＜解説＞ MIB へのアクセスを制御するためには SNMP ビューを利用します。SNMP ビューは、ユーザ単位でアクセスできる MIB のオブジェクトの集合を表します。SNMP ビューの設定は、グローバルコンフィグレーションモードで次のコマンドを利用します。

(config)#snmp-server view <view-name> <oid> {include | exclude}

任意のビューの名前を<view-name>で指定して、include でアクセス可能な MIB オブジェクトの OID を指定します。exclude はアクセスできない MIB オブジェクトの OID を指定します。以上より、解答は C です。

(28)

＜解答 44＞ C ＜解説＞ SNMPv3 でセキュリティが強化されて、暗号化や認証がサポートされるようになっています。解答は C です。＜ここがポイント！＞・ SNMPv3 で暗号化や認証がサポートされる

■インテリジェントネットワーク

＜解答 45＞ A ＜解説＞ QoS を実現するためには、ネットワーク上を転送されるパケットがどのようなアプリケーションのものであるかを分類しなければいけません。アプリケーションの分類を効率よく行うための機能が NBAR（Network Based Application Recognition）です。

NBAR はアプリケーション層レベルの情報に基づいて、パケットがどのようなアプリケーションのものであるかを柔軟に分類することができます。以上より、正解は A です。＜ここがポイント！＞・ NBAR によってアプリケーションの通信を柔軟に分類できる ＜解答 46＞ A ＜解説＞

AAA を利用するためには、グローバルコンフィグレーションモードでまず aaa new-model コマンドを入力する必要があります。aaa new-model で AAA を有効にしたあとに、aaa authentication コマンドで認証の設定を行います。また、aaa authorization コマンドは認可、aaa accounting コマンドはアカウンティングの設定です。

(29)

以上より、解答は A です。

・ aaa new-model コマンドで AAA を有効にする

＜解答 47＞ B ＜解説＞

aaa authentication login コマンドでログイン認証時の認証メソッドリストを設定できます。問題文はデフォルトで存在する「default」という名前の認証メソッドリストの設定です。認証メソッドリストの設定は、認証メソッドを試行順に指定します。この設定は、まず、TACACS サーバでの認証を行います。TACACS サーバにアクセスできないと次にローカルユーザデータベースを参照します。local-case の場合は、ユーザ名/パスワードの大文字・小文字を区別して認証します。なお、TACACS サーバへアクセスできて、TACACS サーバでの認証が NG の場合は、ログインできません。この場合は、ローカルユーザデータベースを参照することなく、TACACS サーバの認証結果に従います。以上より、解答は B です。＜ここがポイント！＞

・ aaa authentication login コマンドで認証メソッドリストを設定する・認証メソッドリストの設定は、認証メソッドを試行順に指定する ＜解答 48＞ A ＜解説＞スタックによって複数のスイッチを仮想的に 1 つのスイッチとして扱うことができます。スタックを構成するためには、スイッチの StackWise ポートをスタックケーブルでリング状に接続する必要があります。以上より、解答は A です。＜ここがポイント！＞・スタックは、複数のスイッチを仮想的に 1 つのスイッチとして扱うことができる機能である・スタックを構成するには、スイッチの StackWise ポートをスタックケーブルで接続する

(30)

＜解答 49＞ C ＜解説＞

スイッチにおいてインタフェースの Voice VLAN の設定を確認するには、show interfaces switchport コマンドでスイッチポートとしてのインタフェースの詳細情報を確認します。以下は、 show interfaces switchport コマンドのサンプルです。

Switch#show interfaces fa 0/2 switchport Name: Fa0/2

Switchport: Enabled

Administrative Mode: static access Operational Mode: static access

Administrative Trunking Encapsulation: dot1q Operational Trunking Encapsulation: native Negotiation of Trunking: Off

Access Mode VLAN: 2 (VLAN0002) Trunking Native Mode VLAN: 1 (default) Voice VLAN: none

～省略～

・ show interfaces switchport コマンドで Voice VLAN を確認できる

＜解答 50＞ C ＜解説＞

APIC-EM は既存の Cisco デバイスで SDN を構築するためのコントローラです。APIC-EM 上で動作するツールにパストレースツールがあります。指定した宛先と送信元間のパスをトレースして分析します。その際に ACL の分析のオプションを有効にすることで、パス上の ACL のエントリがフローにどのような影響を与えるかが視覚的にわかりやすく確認できます。

(31)

パストレースツールを ACL のオプションに付けると、パス上で一致した ACL のエントリを確認できます。

・ APIC-EM パストレース ACL 分析ツールによって、パス上で一致した ACL のエントリを確認できる ＜解答 51＞ C ＜解説＞ CAM テーブルオーバフロー スイッチの CAM テーブル（MAC アドレステーブル）のエントリをオーバーフローさせることでフラッディングされたイーサネットフレームを不正に取得しようとする攻撃です。 DHCP スプーフィング DHCP サーバを偽装して、不正な DHCP サーバから設定を取得したクライアントの通信内容を不正に取得する攻撃です。主に DHCP スヌーピングで対策します。 VLAN ホッピング

ある VLAN から別の VLAN へイーサネットフレームを送り込む攻撃です。ネイティブ VLAN をデフォルトから変更することで対策できます。 MAC スプーフィング MAC アドレスを偽装する攻撃です。偽装された MAC アドレスを利用している通信を防止するには、IP ソースガードが有効です。以上より、解答は C です。

■IPv6

(32)

＜解答 52＞ A－4、B－2、C－3、D－1 ＜解説＞ :: 128 ビットのすべてのビットが「0」な場合、IPv6 アドレスが指定されていない未指定アドレスを意味します。 FF01::2 「FF」ではじまる IPv6 アドレスは IPv6 マルチキャストアドレスです。 2020:10DB:0:0:85AB:800:52:734B ホストなどのインタフェースに設定するユニキャストの IPv6 アドレスです。 D8FC:93FF:FED8:050A

modified EUI-64 による IPv6 アドレスの後半 64 ビットのインタフェース ID です。48 ビットの MAC アドレスから自動的に 64 ビットのインタフェース ID を生成できます。

＜解答 53＞ A ＜解説＞

IPv6 用の OSPFv3 でもネイバーを確立するための状況は OSPFv2 と基本的に同じです。

・エリア ID が一致している・ Hello/Dead タイマが一致している・スタブフラグが一致している・認証の設定が一致している問題文の設定を見ると、R1 Fa0/0 と R2 Fa0/0 でエリア ID の設定が異なっています。 R1 interface FastEthernet0/0 ipv6 ospf 1 area 0

(33)

R2

interface FastEthernet0/0 ipv6 ospf 1 area 1

エリア ID が異なっているため R1 と R2 はネイバーになれないと考えられます。以上より、解答は A です。＜ここがポイント！＞・ OSPFv3 のネイバー確立の条件は、OSPFv2 と同様 ＜解答 54＞ A、B ＜解説＞

IPv6 EIGRP のルート情報のメトリックは IPv4 EIGRP と同様にデフォルトでは帯域幅と遅延から計算します。解答は A、B です。＜ここがポイント！＞・ IPv6 EIGRP のメトリックはデフォルトで帯域幅と遅延から計算する

■複合問題

＜解答 55＞ SW1>enable SW1#configure terminal SW1(config)#vlan 100 SW1(config-vlan)#name Sales SW1(config-vlan)#exit SW1(config)#vlan 200 SW1(config-vlan)#name Marketing

(34)

SW1(config-vlan)#exit

SW1(config)#interface FastEthernet0/1 SW1(config-if)#switchport mode access SW1(config-if)#switchport access vlan 100 SW1(config-if)#exit

SW1(config)#interface FastEthernet0/2 SW1(config-if)#switchport mode access SW1(config-if)#switchport access vlan 200 SW1(config-if)#exit

SW1(config)#interface FastEthernet0/8

SW1(config-if)#switchport trunk encapsulation dot1q SW1(config-if)#switchport mode trunk

※ SW2 も SW1 と同じ設定＜解説＞ SW1 と SW2 の 2 台のスイッチをまたがって VLAN100 と VLAN200 を作成する設定を行います。 VLAN の作成は、グローバルコンフィグレーションモードで次のコマンドを入力します。 (config)#vlan <vlan-id> (config-vlan)#name <vlan-name> また、インタフェースをアクセスポートとして、VLAN に割り当てるにはインタフェースコンフィグレーションモードで次のコマンドを入力します。

(config-if)#switchport mode access

(config-if)#switchport access vlan <vlan-id>

以上を踏まえると、SW1 で問題文の表に挙げられている VLAN の作成とインタフェースの VLAN の割り当ては、次のように設定を行います。 SW1(config)#vlan 100 SW1(config-vlan)#name Sales SW1(config-vlan)#exit SW1(config)#vlan 200 SW1(config-vlan)#name Marketing

(35)

SW1(config-vlan)#exit

SW1(config)#interface FastEthernet0/1 SW1(config-if)#switchport mode access SW1(config-if)#switchport access vlan 100 SW1(config-if)#exit

SW1(config)#interface FastEthernet0/2 SW1(config-if)#switchport mode access SW1(config-if)#switchport access vlan 200

そして、2 台のスイッチをまたがって VLAN100 と VLAN200 の通信を行うためには、スイッチ間をトランクポートで接続します。トランクポートの設定はインタフェースコンフィグレーションモードで次のコマンドを入力します。

(config-if)#switchport mode trunk

なお、トランクプロトコルとして IEEE802.1Q と ISL の両方をサポートしている機器では、 switchport modo trunk コマンドの前に、次のカプセル化プロトコルの設定も必要です。

(config-if)#switchport trunk encapsulation {dot1q|isl}

SW1-SW2 間、すなわち、SW1 の Fa0/8 を IEEE802.1Q のトランクポートにするためには以下のように設定します。

SW1(config)#interface FastEthernet0/8

SW1(config-if)#switchport trunk encapsulation dot1q SW1(config-if)#switchport mode trunk

SW2 でもまったく同じ設定を行います。これにより、SW1 と SW2 をまたがって VLAN100 の PC1-PC3 間および VLAN200 の PC2-PC4 間の通信が可能です。

設定の確認には、次の 2 つのコマンドが便利です。

・ show vlan brief

作成した VLAN と割り当てられているアクセスポートを確認します。

(36)

トランクポートの概要を確認します。＜ここがポイント！＞・ VLAN の作成コマンド (config)#vlan <vlan-id> (config-vlan)#name <vlan-name> ・アクセスポートの設定コマンド (config-if)#switchport mode access

(config-if)#switchport access vlan <vlan-id>

・トランクポートの設定コマンド

(config-if)#switchport trunk encapsulation {dot1q|isl} (config-if)#switchport mode trunk