令和7年度 春期 ネットワークスペシャリスト試験 午後II 問題 問1 社内ネットワークのIPv6対応設計

問1 社内ネットワークのIPv6対応に関する次の記述を読んで、設問に答えよ。

Q社は全国に拠点をもつ大手の電機メーカーである。Q社で利用される社内ネットワークにはIPv4アドレスだけが割り当てられており、従業員は社内ネットワークに接続されたPCを利用して、社内Web、電子メール、ファイル共有、チャットやWeb会議などのサービスを提供するV社SaaS、及びインターネット上のWebサイトにアクセスして業務を行っている。

Q社で利用しているSaaSやWebサイトのIPv6の対応状況、及び近年のIPv6普及率の向上を踏まえ、情報システム部はIPv6の調査と社内ネットワークのIPv6対応について検討することにした。IPv6の調査と社内ネットワークのIPv6対応の検討は、情報システム部のP主任が担当することになった。

〔社内ネットワークの概要〕

Q社の現状の社内ネットワーク構成を図1に示す。

図1の概要を次に示す。

• 社内ネットワークのPC，ネットワーク機器及びサーバにはIPv4アドレスを割り当てている。
• ルータBにはデフォルトルート及びNAPTを設定している。
• FWでは，ステートフルパケットインスペクションを用いたアクセス制御を行っていて，許可及び拒否した通信のログを記録している。
• ルータB，FW及び各拠点のL3SWは，OSPFv2を用いて経路制御を行っている。
• ルータBは，OSPFv2でデフォルトルートを配布している。
• データセンターと各拠点との間は，レイヤー2の広域イーサ網で接続されている。
• PCは，IPv4アドレス，デフォルトゲートウェイ及びキャッシュDNSサーバに関する情報を，DHCPサーバから取得している。

〔IPv6対応の方針〕

V社SaaSの一部及びインターネット上のWebサイトの一部は，現時点ではIPv6に対応していない。P主任は，社内ネットワークのIPv6対応後もIPv4のネットワークへの接続を確保する必要があると考えて，社内ネットワークには，IPv4とIPv6のデュアルスタックのネットワークを採用する方針で，IPv6対応について検討することにした。

〔IPv6におけるアドレス解決〕

IPv6におけるアドレス解決では，IPv4のARPに相当する機能をもつ，RFC 4861で規定されたNeighbor Discovery Protocol（以下，NDPという）が用いられる。
IPv4のARPによるアドレス解決では，要求元のノードは，求めるMACアドレスに対応するIPv4アドレスをARPリクエストの a フィールドに入れて，b キャストで送信する。次に，ARPリクエストを受信した，要求されたIPv4アドレスをもつノードは，自身のMACアドレスをARP c の送信元MACアドレスフィールドに入れて，要求元のノード宛てに送信する。
IPv6のNDPによるアドレス解決では，要求元のノードは，求めるMACアドレスに対応するIPv6アドレスをICMPv6のNeighbor Solicitation（以下，NSという）メッセージに入れて，マルチキャストで送信する。次に，NSメッセージを受信した，要求されたIPv6アドレスをもつノードは, Neighbor Advertisement (以下, NAという)メッセージに自身のMACアドレスを入れて, 要求元のノード宛てに送信する。

〔IPv6アドレスの割当て〕

NDPは, ICMPv6のNSメッセージ及びNAメッセージに加えてRouter Solicitation (以下, RSという)メッセージやRouter Advertisement (以下, RAという)メッセージなども用いて, アドレス解決以外の次の機能を実現している。

• データリンク層で通信可能な範囲にあるルータを発見する機能
• サブネットプレフィックスやデフォルトルータを決定するための情報を, ノードに通知する機能
• 利用予定のIPv6アドレスがほかのノードで利用されていないか確認する重複アドレス検出機能

IPv6アドレスの構造, 使用方法及び自動設定については, RFC 4291で規定されたIPv6アドレス体系, 及びRFC 4862で規定されたSLAAC (IPv6 Stateless Address Autoconfiguration)に規定されている。
IPv6アドレスは128ビットで構成され, d ビットずつを“:”で区切って表される。2001:db8:aabb:1::1/64を例とするIPv6アドレスの構造を図2に示す。

IPv6アドレスには, リンクローカルユニキャストアドレス(以下, LLAという)とグローバルユニキャストアドレス(以下, GUAという)がある。①LLAはある範囲でネットワークインタフェースを一意に識別できるIPv6アドレスであり, サブネットプレフィックスには“fe80::/64”を用いる。GUAは, IPv6で構成されるインターネットを含むグローバルなネットワークで, ネットワークインタフェースを一意に識別できるIPv6アドレスである。

インタフェース識別子の生成方法を次に示す。

• 疑似乱数関数を用いてランダムなインタフェース識別子を生成する方法
• e ビットのMACアドレスからf ビットのModified EUI-64形式のインタフェース識別子を生成する方法

ノード1におけるNDP及びSLAACを用いたIPv6アドレスの生成処理を図3に示す。
なお,Q社の社内ネットワークの拠点1においては,ノード1及びノード2はPCであり,ノード3はL3SW1である。

図3中の処理(i)〜(vi)の概要を次に示す。

(i) ノード1は,仮のLLAを生成してNSメッセージに入れて送信し,ほかのノードからNAメッセージの応答がないことを確認する。
(ii) ノード1は,仮のLLAを正式なLLAとしてNAメッセージに入れて,全ノードマルチキャストアドレス宛てに送信する。
(iii) ノード1は, RSメッセージを全ルータマルチキャストアドレス宛てに送信する。
(iv) RSメッセージを受信したノード3は, GUAの生成に用いるサブネットプレフィックス, 及びデフォルトルータを決定するための情報をRAメッセージに入れて, ノード1宛てに送信する。
(v) ノード1は, RAメッセージのサブネットプレフィックスと生成したインタフェース識別子を組み合わせた仮のGUAをNSメッセージに入れて送信し, ほかのノードからNAメッセージの応答がないことを確認する。
(vi) ノード1は, 仮のGUAを正式なGUAとしてNAメッセージに入れて, 全ノードマルチキャストアドレス宛てに送信する。

ノード1は, ノード3を経由して外部のノードと通信を行うために, 処理(iv)で受信した, RAメッセージの送信元であるノード3のLLAを g に設定する。

Q社のネットワークにおけるIPv6アドレスの割当てについて, P主任が調査した結果の一部を次に示す。

• Q社は, ISPから, プレフィックス長が48又は56のGUAの割当てを受けることができる。
• ISPから割り当てられたGUAを, プレフィックス長が64のネットワークに分割して, 利用することができる。
• SLAACを利用して, PCのLLA, GUA, 及び g を自動で設定することができる。
• ルータB, FW及び各拠点のL3SWには, LLA及びGUAを静的に割り当てることができる。
• 固定のMACアドレスからModified EUI-64形式のインタフェース識別子を生成する方法は非推奨である。

PCのインタフェース識別子が疑似乱数関数を用いてランダムに生成される場合, ②利用者のプライバシー保護に有用であるが, PC管理の観点で考慮が必要になるとP主任は考えた。

〔IPv6の名前解決〕

IPv4の名前解決と比べてIPv6の名前解決では，512バイトよりも大きなDNSメッセージを送受信する可能性が高い。DNSの機能を拡張するためにRFC 6891で規定されたExtension Mechanisms for DNS version 0（以下，EDNSという）では，スタブリゾルバとフルサービスリゾルバとの間，及びフルサービスリゾルバと権威DNSサーバとの間で，UDP上で送受信されるDNSメッセージのサイズの上限を緩和している。
P主任は，IPv6アドレスの名前解決について，フルサービスリゾルバであるキャッシュDNSサーバを管理する情報システム部のR係長に相談した。2人の会話を次に示す。

P主任：社内ネットワークをIPv6に対応させることになった場合に，キャッシュDNSサーバにIPv6アドレスを割り当てる必要がありますか。
R係長：不要です。キャッシュDNSサーバはIPv4のネットワーク上でDNSメッセージを送受信して，FQDNに対応するIPv6アドレスを解決できます。例えば，IPv6とIPv4の両方に対応するWebサイトの名前解決を行う場合に，PCはAAAAレコードとAレコードを用いて名前解決を要求することで，IPv6アドレスとIPv4アドレスの両方を取得します。
P主任：FQDNからIPv6アドレスとIPv4アドレスの両方を解決した場合，Q社のPCはどのように動作するのですか。
R係長：AAAAレコードとAレコードの応答をほぼ同じタイミングで受信した場合には，IPv6を優先して通信を行います。
P主任：IPv6のDNSメッセージは，IPv4のDNSメッセージよりもサイズが大きくなると考えています。UDP上で送受信されるDNSメッセージのサイズには上限がありますが，何か対応が必要でしょうか。
R係長：Q社のキャッシュDNSサーバはEDNSに対応済みです。PCから名前解決の要求を受けたキャッシュDNSサーバが，権威DNSサーバに問い合わせる場合を例に説明します。キャッシュDNSサーバは，まず，DNSを利用して権威DNSサーバのEDNSの対応可否を確認します。EDNSを利用できるときには，両方のサーバ間で調整した最大のメッセージサイズまでであれば，512バイトを超えるDNSメッセージであってもUDPで送受信します。DNSメッセージが最大のメッセージサイズを超えるときや，EDNSに対応していない権威DNSサーバと512バイトを超えるDNSメッセージを送受信するときには，h で送受信することになります。

P主任が作成したDNSの通信例を図4に，V社SaaSのFQDNに対するAAAAレコードの応答例を図5に示す。

③IPv6のネットワークだけが不通となった場合に，利用しているOSやWebブラウザによっては従業員が異常に気付くことができず，情報システム部に異常を連絡できない可能性があるとP主任は考えた。IPv6のネットワークの異常を検知するために，データセンターに監視サーバを導入して，IPv6のインターネットへのアクセスや，各拠点のL3SWのGUAに対してping6コマンドによる監視を行うことにした。

〔IPv6ネットワークの設計〕

P主任は，図1の社内ネットワークを基に，IPv4とIPv6のデュアルスタックのネットワークを設計した。P主任が設計した社内ネットワーク構成を図6に示す。

図6の概要を次に示す。

• IPv4のネットワーク設計に関する変更はない。
• PC, ネットワーク機器及び監視サーバには, IPv4アドレスに加えてIPv6アドレスを割り当てる。
• ISPからQ社に割り当てられるGUAを, 2001:db8:yyyy::/48として設計する。
• ルータBには, ルータAのLLAをネクストホップとするデフォルトルートを設定する。
• ルータB, FW及び各拠点のL3SWは, OSPFv3を用いてIPv6の経路制御を行う。
• OSPFv3ではLLAを用いて隣接関係を確立してIPv6の経路制御を行うので, ④FWと各拠点のL3SWとの間の, PCやサーバを接続しないネットワークにGUAを割り当てる必要はないが, 静的に割り当てる。
• ルータBは, OSPFv3でデフォルトルートを配布する。
• ⑤PCは, SLAACを用いてIPv6アドレス及びデフォルトルートを設定する。

ルータB, FW及びL3SW1のIPv6の経路情報を表1に示す。

IPv6のネットワーク設計について, P主任は情報システム部のS課長に, 図6及び表1を用いて説明した。2人の会話の一部を次に示す。

P主任: ISPには, Q社にプレフィックス長が48のGUAを割り当ててもらえることを確認しました。図6及び表1はISPから割り当てられるGUAを2001:db8:yyyy::/48として作成しています。ISPのルータAには, ルータBのLLAをネクストホップとする2001:db8:yyyy::/48宛ての静的経路が設定されます。
S課長：表1の経路情報について説明してください。
P主任：項番1は，ISPを経由してインターネットにアクセスするためのデフォルトルートです。項番2は，ISPから割り当てられるプレフィックス長が48のGUAのうち，使用されないGUAが存在するので設定します。⑥項番2の経路情報を設定しない場合，ルーティングループが発生します。⑦項番1と項番2の両方の経路情報に該当するIPパケットの転送では，ルータBは項番2の経路情報を選択します。社内ネットワークの経路制御にはOSPFv3を利用します。項番3と項番5は，拠点1のネットワーク宛ての経路情報です。項番4と項番6は，ルータBから配布されるデフォルトルートによって登録される経路情報です。
S課長：IPv6のネットワークは，IPv4のネットワークと比較して情報セキュリティ面で違いはありますか。
P主任：異なる点があります。IPv4のネットワークではFWによるアクセス制御に加えて，ルータBに i を設定しているので，インターネットから社内ネットワークには簡単に通信できない設計になっています。IPv6のネットワークでは i を利用しないので，FWのアクセス制御の設計については慎重に検討する必要があります。
S課長：FWでは，インターネットから社内ネットワーク宛ての全ての通信を拒否する設定を行えばよいのでしょうか。
P主任：IPv6の通信では，ICMPv6メッセージを通信の制御に利用しているので，ICMPv6メッセージを拒否すると通信障害を発生させるおそれがあります。例えば，中継する機器がMTUサイズよりも大きいサイズのIPパケットを転送できないときに，⑧中継する機器から送信元にタイプ2のICMPv6メッセージである“Packet Too Big”を送信するPMTUD（Path MTU Discovery）に利用されています。ほかにも，ICMPv6メッセージのタイプによってはFWで許可すべきものがあるので，調査する予定です。

P主任によるIPv6の調査とIPv6対応の検討の結果は情報システム部で承認されて，社内ネットワークへのIPv6導入において活用されることになった。