第1回 問題集（全般）

正解: B. B. IPアドレスによる論理アドレッシングとルーティング

正解の根拠・詳細解説

ネットワーク層（L3）は「異なるネットワーク同士をつなぐ」層で、IPアドレスという論理アドレスを用いた宛先識別（論理アドレッシング）と、ルーティングテーブルに基づく最適経路選択（ルーティング）を担う。論理アドレスは管理者が設計・再割り当てできる階層構造を持つため、プレフィックス単位で経路を集約でき、インターネット規模の経路制御が可能になる。誤答の整理：①MACアドレスによるフレーム転送はデータリンク層（L2）で、MACはNICに焼き付けられた平坦なアドレスのため同一セグメント内でしか通用しない、②ポート番号によるプロセス間通信はトランスポート層（L4）でTCP/UDPが担当、③物理的なビット伝送は物理層（L1）でケーブル・コネクタ・電気信号の規格を扱う。実務では「同一セグメント内の通信不良ならL2（スイッチ・VLAN・ARP）、別セグメント宛の通信不良ならL3（ルーティング・デフォルトゲートウェイ）」と切り分けの起点にできる。

正解: C. C. アプリケーション層

正解の根拠・詳細解説

TCP/IPモデルは実装重視の4層構成（アプリケーション層／トランスポート層／インターネット層／ネットワークインターフェース層）で、OSI参照モデルの上位3層であるアプリケーション層（L7）・プレゼンテーション層（L6）・セッション層（L5）は、まとめてアプリケーション層に統合されている。これは実際のプロトコル実装（HTTP、SMTP、DNSなど）が、データ形式の変換や文字コード・暗号化（L6相当）、セッションの確立と維持（L5相当）を個別の層に分けず一体で扱っているという実態を反映したもの。対応関係の残りは、OSIのトランスポート層（L4）がTCP/IPのトランスポート層、ネットワーク層（L3）がインターネット層、データリンク層（L2）と物理層（L1）がネットワークインターフェース層に相当する。OSIは概念整理と障害切り分けの共通言語として、TCP/IPは実装の枠組みとして使い分けられる。

正解: B. B. 443

正解の根拠・詳細解説

HTTPSはHTTP通信をTLSで暗号化したもので、標準ポートはTCP443番。クライアントは443番へTCP接続した直後にTLSハンドシェイクを行い、サーバ証明書の検証と共通鍵の共有を済ませてから暗号化されたHTTPをやり取りする。誤答の整理：①80番は平文のHTTPで、多くのサイトはここへのアクセスをHTTPSへリダイレクトする、②8080番はプロキシやアプリケーションサーバがよく使う代替HTTPポートだが標準ではない、③22番はSSH。実務では、ファイアウォールやセキュリティグループで443番が閉じているとブラウザから「接続できない」状態になり、80番だけ開いている場合は平文ページのみ表示される、といった切り分けにこの対応関係が効いてくる。なおHTTP/3はQUICを使うためUDPの443番を利用する点も押さえておきたい。

正解: A. A. 53

正解の根拠・詳細解説

DNSは名前解決に53番ポートを使用し、通常の問い合わせと応答はオーバーヘッドの小さいUDP/53、ゾーン転送（AXFR）や応答サイズが大きく切り詰められた場合の再問い合わせは信頼性のあるTCP/53を用いる。UDPを基本とするのは、1往復で完結する短いクエリにTCPの3ウェイハンドシェイクは割高だからである。誤答の整理：①67番（と68番）はDHCPでIPアドレスの自動配布、②123番はNTPで時刻同期、③389番はLDAPでディレクトリ検索（LDAPSは636番）。実務上の注意点として、ファイアウォールでUDP/53だけを許可しTCP/53を塞いでいると、DNSSECやEDNS0で応答が大きくなった際に名前解決が断続的に失敗するという、切り分けの難しい障害が起きやすい。

正解: B. B. 22

正解の根拠・詳細解説

SSH（Secure Shell）はTCP22番ポートを使用し、リモートのCLI操作・ファイル転送（SCP/SFTP）・ポートフォワーディングを暗号化された経路で提供する。通信内容だけでなく認証情報も暗号化され、公開鍵認証やホスト鍵によるサーバ側のなりすまし検知にも対応する。誤答の整理：①21番はFTPの制御用ポートで、データ転送は20番（アクティブモード）や動的ポート（パッシブモード）を使い、いずれも平文のため認証情報が盗聴される、②23番はTelnetで完全に平文、③25番はSMTPでメール送信用。実務ではTelnetとFTPを廃してSSHとSFTPに置き換えるのがセキュリティ上の基本方針であり、ネットワーク機器の管理接続もSSHに統一するのが定石である。

正解: C. C. 255.255.255.0

正解の根拠・詳細解説

クラスCは第1オクテットが192〜223の範囲で、デフォルトサブネットマスクは255.255.255.0（CIDR表記で/24）。上位24ビットがネットワーク部、下位8ビットがホスト部となり、1ネットワークあたり256アドレス、ネットワークアドレスとブロードキャストアドレスを除いた254台がホストに割り当て可能となる。他クラスとの対比：クラスA（1〜126）は255.0.0.0＝/8、クラスB（128〜191）は255.255.0.0＝/16、255.255.255.255は全ビットが1のリミテッドブロードキャストアドレスでサブネットマスクとしては使わない。現在の実運用ではクラスフルアドレッシングは廃れ、CIDRやVLSMで必要なホスト数に応じて任意のプレフィックス長を割り当てるのが一般的だが、試験ではデフォルトマスクの対応関係が前提知識として問われる。

正解: A. A. 192.168.0.0～192.168.255.255

正解の根拠・詳細解説

RFC1918が定めるプライベートIPアドレスは、10.0.0.0/8（10.0.0.0〜10.255.255.255）、172.16.0.0/12（172.16.0.0〜172.31.255.255）、192.168.0.0/16（192.168.0.0〜192.168.255.255）の3つの範囲。これらはインターネット上でルーティングされず組織内で自由に使えるため、外部と通信する際はNAT/PATでグローバルアドレスに変換する必要がある。誤答の整理：11.0.0.0や200.0.0.0、8.8.8.0はいずれもグローバル（パブリック）アドレス空間に属し、勝手に社内で使うと本来の所有者への通信ができなくなる。よくある落とし穴が172系の範囲で、172.16〜172.31までがプライベートであり、172.32.0.0以降はパブリックである点に注意。なお169.254.0.0/16はDHCP取得に失敗した際に自動設定されるAPIPA（リンクローカル）で、これも別枠として区別する。

正解: B. B. 255.255.255.192

正解の根拠・詳細解説

IPv4アドレスは32ビットで、/26はネットワーク部が26ビット、ホスト部が残り6ビットであることを意味する。第4オクテットの上位2ビットがネットワーク部となるため、2進数で11000000＝10進数192となり、サブネットマスクは255.255.255.192となる。1サブネットのアドレス数は2^6＝64個で、ネットワークアドレスとブロードキャストアドレスを除いた62台がホストに割り当て可能。ひとつの/24を4つのサブネット（.0〜.63、.64〜.127、.128〜.191、.192〜.255）に分割できる。他の選択肢との対応は、255.255.255.128が/25（128アドレス・126ホスト）、255.255.255.224が/27（32アドレス・30ホスト）、255.255.255.240が/28（16アドレス・14ホスト）。「128・192・224・240・248・252」という第4オクテットの値の並びを暗記しておくと計算が速い。

正解: C. C. 128ビット

正解の根拠・詳細解説

IPv6アドレスは128ビット長で、IPv4の32ビットに比べてアドレス空間が2^96倍に拡大している。表記は16ビットずつ8つのブロックに区切り、各ブロックを4桁の16進数でコロン区切りに書く（例：2001:0db8:0000:0000:0000:ff00:0042:8329）。各ブロック先頭の0は省略でき、連続する0のブロックは「::」で1回だけ短縮できる。128ビット化の目的はIPv4アドレス枯渇の解消であり、副次的にNATに依存しないエンドツーエンド通信の復活、SLAAC（ステートレスアドレス自動設定）による設定の簡素化、経路集約によるルーティングテーブルの縮小といった利点も得られる。誤答の64ビットという値も無意味ではなく、一般的なIPv6アドレスは前半64ビットがネットワークプレフィックス、後半64ビットがインタフェースIDという構成になっている点は押さえておきたい。

正解: B. B. インターVLANルーティング（Router on a Stickやレイヤー3スイッチ等）

正解の根拠・詳細解説

VLANはブロードキャストドメインをスイッチ内部で論理的に分割する仕組みのため、異なるVLANに属する端末同士はL2では通信できず、L3のルーティング機能を経由する必要がある。これを実現するのがインターVLANルーティングで、実装方式は主に2つ。①ルータオンアスティック：スイッチとルータを1本のトランクリンクで接続し、ルータ側にVLANごとのサブインタフェース（各VLANのデフォルトゲートウェイ）を作る方式。構成は安価だが全VLAN間トラフィックが1本のリンクに集中する。②レイヤー3スイッチ：スイッチ自身にSVI（VLANインタフェース）を作成し、ASICによるハードウェア転送で高速にルーティングする方式で、現在の主流。誤答の整理：STPはL2ループの防止、NATはプライベート／グローバルアドレスの変換、ARPはIPアドレスからMACアドレスを解決する仕組みであり、いずれもVLAN間の到達性そのものは提供しない。

正解: A. A. VLANタグ付け（トランキング）

正解の根拠・詳細解説

IEEE 802.1QはVLANタグ付け（トランキング）の標準規格で、イーサネットフレームの送信元MACアドレスの直後に4バイトのVLANタグを挿入する。タグにはTPID（0x8100）に続いてPCP（優先度3ビット、CoSとしてQoSに利用）、DEI/CFI（1ビット）、VID（VLAN ID 12ビット）が含まれる。VIDが12ビットであるため理論上4096個、予約値を除いた1〜4094が利用可能なVLAN IDとなる。1本のトランクリンク上で複数VLANのフレームをこのタグにより識別・多重化できるので、スイッチ間をVLANの数だけ物理配線する必要がなくなる。なおネイティブVLANのフレームだけはタグを付けずに送出するため、トランク両端でネイティブVLANの設定が食い違うとVLANホッピングの温床になり、通信が意図しないVLANへ漏れる。誤答は、ポートセキュリティ（MACアドレス制限）、リンクアグリゲーション（802.3ad/LACP）、スパニングツリー（802.1D）で、いずれも別の規格。

正解: A. A. ループ防止

正解の根拠・詳細解説

STP（Spanning Tree Protocol、IEEE 802.1D）の目的はL2ループの防止である。スイッチはブロードキャストフレームや宛先不明のユニキャストをフラッディングするが、L2にはIPのTTLに相当する生存時間フィールドが存在しないため、冗長リンクでループが生じるとフレームが永久に回り続けてブロードキャストストームを起こし、MACアドレステーブルも不安定になって回線が飽和する。STPはスイッチ間でBPDUを交換し、ブリッジID（プライオリティ＋MACアドレス）が最小のスイッチをルートブリッジに選出したうえで、ルートまでのパスコストを比較して冗長経路のポートをブロッキング状態に落とし、論理的にループのないツリー構造を作る。障害でアクティブなリンクが切れると、ブロックしていたポートを転送状態に遷移させて自動的に迂回する。収束の遅さ（30〜50秒）を改善した後継が RSTP（802.1w）で、現在はこちらが広く使われる。誤答の暗号化・アドレス変換・帯域制御はいずれもSTPの機能ではない。

正解: B. B. パスベクター型

正解の根拠・詳細解説

BGPはパスベクター型のルーティングプロトコルで、インターネットにおけるAS（自律システム）間の経路交換、すなわちEGPとして使われる（ポートはTCP179番）。経路情報にAS_PATH属性、つまり宛先までに経由するAS番号の並びを付けて広告するのが特徴で、受信したAS_PATHに自分のAS番号が含まれていればその経路を破棄することでループを検出・防止する。経路選択も単純なメトリック最小化ではなく、ローカルプリファレンスやAS_PATH長、MEDといった属性とポリシーに基づいて決定されるため、組織間の契約や運用方針を経路制御に反映できる。誤答との対比：リンクステート型はOSPFやIS-ISで、各ルータがLSAを交換してエリア内の完全なトポロジデータベースを持ちダイクストラ法で最短経路を計算する。距離ベクター型はRIPやEIGRPで、隣接ルータから聞いた距離情報のみを基に判断する。BGPは距離ベクターの発展形だが、距離ではなくASのパス全体を持つ点が本質的な違いである。

正解: A. A. リンクステート型

正解の根拠・詳細解説

OSPF（Open Shortest Path First）はリンクステート型のルーティングプロトコル。各ルータが自分の接続リンクの状態をLSA（リンクステート広告）としてエリア内にフラッディングし、全ルータが同一のリンクステートデータベース（LSDB）＝ネットワーク全体のトポロジ地図を共有する。その地図に対してダイクストラ（SPF）アルゴリズムを走らせ、自分を根とする最短経路ツリーを計算してルーティングテーブルを作る。メトリックには帯域幅に基づくコストを用いるため、ホップ数だけで判断するRIPより回線速度を反映した合理的な経路選択ができる。また変化があった部分だけを即座に広告するトリガードアップデートにより収束が速く、エリア分割によって大規模ネットワークでもLSDBとSPF計算の負荷を局所化できる。誤答との対比：パスベクター型はBGP、距離ベクター型はRIP、スタティックは管理者が手動で登録する固定経路であり、いずれもトポロジ全体を保持しない点でOSPFと異なる。

正解: B. B. スイッチ

正解の根拠・詳細解説

コリジョンドメインとは、同時に送信が起きると衝突（コリジョン）が発生しうる範囲のこと。スイッチはフレームの宛先MACアドレスをMACアドレステーブルで学習し、該当ポートにだけ転送するため、ポートごとに独立したコリジョンドメインが形成される。さらに各ポートは全二重通信が可能で、送受信を別の線対で同時に行えるため、実質的に衝突そのものが発生せずCSMA/CDも不要になる。誤答の整理：ハブは受信した信号を全ポートへそのまま複製する物理層の機器で、接続端末すべてが単一のコリジョンドメインを共有し、端末が増えるほど衝突と再送で実効スループットが落ちる。リピーターも信号を増幅・再生して延長するだけなので同様に分割しない。なおスイッチはコリジョンドメインは分割するが、ブロードキャストは全ポートに転送するためブロードキャストドメインは分割しない（VLANを構成した場合を除く）点との区別が頻出。

正解: C. C. ルーター

正解の根拠・詳細解説

ブロードキャストドメインとは、ブロードキャストフレームが到達する範囲のこと。ルータはネットワーク層で動作し、宛先IPアドレスを見てルーティングテーブルに基づき転送するが、ブロードキャストアドレス宛のパケットは既定で他のインタフェースへ中継しない。そのためルータの各インタフェースを境にブロードキャストドメインが分割される。これによりARPリクエストやDHCPディスカバーなどのブロードキャストがネットワーク全体に拡散するのを防ぎ、セグメントが肥大化した際のブロードキャストストームや帯域の無駄を抑えられる。誤答の整理：スイッチはコリジョンドメインは分割するがブロードキャストは全ポートへフラッディングするため、既定ではブロードキャストドメインを分割しない（VLANを設定した場合のみ論理的に分割できる）。ハブとリピーターは物理層の機器でどちらのドメインも分割しない。実務では、DHCPサーバが別セグメントにある場合にブロードキャストが届かないため、ルータでDHCPリレー（ip helper-address）を設定する必要がある、という形でこの性質が表面化する。

正解: A. A. 中央のデバイス（スイッチ等）に全端末が接続される

正解の根拠・詳細解説

スター型トポロジは、中央のスイッチ（かつてはハブ）に各端末がポイントツーポイントで1本ずつ接続される構成で、現在の有線LANでは事実上の標準となっている。利点は、1本のケーブルや1台の端末に障害が起きても影響がそのポートに限定され、他の通信が継続できること、端末の追加・削除が中央機器へのポート結線だけで済むこと、ポートごとに状態を確認できるため障害箇所の特定が容易なことである。一方の欠点は、中央のスイッチが単一障害点となり、その故障でセグメント全体が停止する点で、実務ではスイッチの冗長化やスタック構成、上位への複数アップリンクで緩和する。誤答の整理：全端末が1本の線を共有するのはバス型（同軸ケーブル時代の構成で、断線が全体に波及する）、環状につながるのはリング型（FDDIやトークンリング）、全端末が相互に直接接続されるのはフルメッシュ型である。

正解: B. B. 接続数がノード数の2乗に比例して増え配線・管理コストが高い

正解の根拠・詳細解説

フルメッシュ型はすべてのノード同士を直接接続する構成で、必要なリンク数はn(n-1)/2本となる。ノード数nの2乗に比例して増えるため、5台なら10本で済むところが10台では45本、20台では190本と急激に膨張し、配線・ポート数・設定・障害切り分けのコストが現実的でなくなる。これがフルメッシュ最大の欠点である。一方で利点は明確で、任意の2点間が直接つながるため経由ホップが最小になり遅延が小さく、どのリンクが切れても代替経路が残るため耐障害性が非常に高い。誤答の整理：単一障害点が存在するのはスター型（中央機器）やハブアンドスポーク型であり、冗長経路の塊であるフルメッシュはむしろ単一障害点を持たない。帯域不足や、ブロードキャストが機能しないという事実もない。実務ではコアやWANの主要拠点間のみフルメッシュ／パーシャルメッシュにし、末端はスター型にする階層構成が一般的である。

正解: C. C. 長距離伝送に適しており伝送距離が長い

正解の根拠・詳細解説

シングルモード光ファイバ（SMF）はコア径が約9マイクロメートルと極めて細く、光が単一の伝送モードのみで直進するため、モード分散（複数の経路を通った光の到達時間差によるパルスの広がり）が原理的に発生しない。光源には指向性の高いレーザーを用い、減衰の少ない1310nmや1550nmの波長帯を使うため、数キロから数十キロ、長距離用途では百キロ超の伝送が可能で、キャンパス間接続やWAN、通信事業者の基幹回線に用いられる。対するマルチモードファイバ（MMF）はコア径が50や62.5マイクロメートルと太く、安価なLEDやVCSELを光源に使えるため機器コストが低いが、モード分散のため距離が伸びず、データセンター内やフロア間といった数百メートル以下の短距離向けとなる。したがって「コア径が大きい」「伝送距離が短い」「短距離専用で安価」はいずれもマルチモードの特徴であり、シングルモードの説明としては誤り。

正解: C. C. 10GBASE-T（10Gbps、100m）

正解の根拠・詳細解説

Cat6Aは伝送帯域500MHzに対応し、10GBASE-T（10Gbps）を最大100mのフル距離で伝送できるように策定された規格。Cat6は帯域250MHzで、10GBASE-Tを流すこと自体は可能だが、隣接ケーブル間のエイリアンクロストーク（外部漏話）の影響で実用距離は概ね55m程度に制限される。Cat6Aはシースの強化や心線のより密度・ペア間セパレータの改良によりこの外部漏話を抑え、100m確保を実現している。その代わりケーブルが太く曲げ半径も大きくなるため、配線ダクトやパッチパネルの収容設計に余裕が必要になる点は実務上の注意点。誤答の整理：10BASE-T（10Mbps）はCat3以上、100BASE-TX（100Mbps）はCat5以上、1000BASE-T（1Gbps）はCat5e以上で動作するが、これらはCat6Aが「対応する規格」を代表する答えにはならない。なおカテゴリには下位互換があるため、Cat6Aケーブルでこれら低速規格を使うこと自体は問題ない。

正解: C. C. Wi-Fi 6

正解の根拠・詳細解説

Wi-Fi Allianceは覚えにくいIEEE規格名の代わりに世代番号を付けており、802.11axがWi-Fi 6にあたる。対応関係は、802.11n＝Wi-Fi 4、802.11ac＝Wi-Fi 5、802.11ax＝Wi-Fi 6（6GHz帯まで拡張したものがWi-Fi 6E）、802.11be＝Wi-Fi 7で、「Wi-Fi 3」という呼称は正式には存在しない。Wi-Fi 6の技術的な要点は、単純な最大速度の向上よりも多数端末が密集する環境での効率改善にある。①OFDMA：1つのチャネルをリソースユニットに細分し複数端末へ同時割り当てすることで、小さいフレームの送信待ちを削減、②上り下り双方向のMU-MIMO：複数端末と同時に通信、③1024-QAM：1シンボルあたりのビット数を増やして高速化、④TWT（Target Wake Time）：端末の起床タイミングを調整しIoT機器のバッテリーを節約。オフィスや学校など高密度環境で効果が出やすい。

正解: A. A. 2.4GHzは到達距離が長く障害物に強いが干渉を受けやすい

正解の根拠・詳細解説

2.4GHz帯は波長が長いため障害物を回り込みやすく減衰も小さいので到達距離が長い。一方でBluetooth、電子レンジ、コードレス電話、無線マウスなど多くの機器が同じISMバンドを使い、20MHz幅では相互に重ならないチャネルが1・6・11の3つしか取れないため、干渉と混雑が起きやすい。5GHz帯はその逆で、直進性が強く壁や床での減衰が大きいので到達距離は短いが、利用できるチャネル数が20以上と格段に多く、チャネル設計の自由度が高くて干渉も少ないため、実効スループットを出しやすい。誤答の整理：「5GHzのほうが到達距離が長い」「2.4GHzのほうがチャネル数が多い」「5GHzが家電の干渉を受けやすい」はいずれも両者の特性が逆になっている。実務では、広いカバレッジや古い端末の収容には2.4GHz、高速性が必要な用途には5GHzと使い分け、5GHzのDFSチャネルを使う場合は気象レーダー検出によるチャネル変更が起きうる点にも注意する。

正解: B. B. Microsoft 365

正解の根拠・詳細解説

SaaSは完成したアプリケーションそのものをサービスとして提供する形態で、利用者はブラウザやクライアントアプリからログインして使うだけでよく、OSやミドルウェア、アプリのバージョン管理や可用性の確保はすべて事業者側の責任範囲となる。Microsoft 365（Exchange Online、SharePoint、Teamsなど）はその代表例。誤答の整理：AWS EC2とAzure VMは仮想マシン（計算資源）を貸し出すIaaSで、利用者はゲストOSより上のパッチ適用・ミドルウェア導入・アプリ配置と、その運用責任を負う。オンプレミスサーバーはそもそもクラウドサービスではなく、ハードウェアから全て自社管理となる。中間に位置するPaaSは、OSやランタイムまで事業者が用意し利用者はアプリケーションコードだけを載せる形態で、責任共有モデル上どこまでを事業者が担うかがIaaS→PaaS→SaaSの順に広がっていく、という整理で覚えるとよい。

正解: B. B. コントロールプレーンとデータプレーンを分離し集中管理する

正解の根拠・詳細解説

SDNの本質は、従来1台のネットワーク機器の中に一体化していたコントロールプレーン（経路を決める頭脳。ルーティングプロトコルの処理やポリシー判断）とデータプレーン（決まったとおりにパケットを転送する手足）を分離し、コントロールプレーンをSDNコントローラに集約する点にある。これにより、ネットワーク全体を1つの論理的なシステムとして俯瞰し、コントローラから一括でポリシーを配布・変更できるようになる。コントローラは南向きAPI（OpenFlowなど）で各機器のフローテーブルを制御し、北向きAPIでアプリケーションや運用ツールから操作を受け付けるため、ネットワーク構成の自動化・プログラマブル化が進む。従来は機器1台ずつにCLIでログインして設定していた作業が、中央からの宣言的な指示に置き換わるのが最大の運用上の利点。誤答にある「ルーターのみを使う」「無線LANを使わない」「VLANを使わない」はいずれもSDNの定義とは無関係。

正解: A. A. 1台の送信元から1台の宛先への通信

正解の根拠・詳細解説

ユニキャストは送信元1台から特定の宛先1台へ届ける1対1の通信で、宛先IPアドレスに個々のホストアドレスを指定する。Webアクセスやファイル転送など、日常のトラフィックの大半がこれにあたる。対比すべき通信形態は次のとおり。①ブロードキャスト：1対全で、同一ブロードキャストドメイン内の全端末に届く。ARPリクエストやDHCPディスカバーで使われるが、ルータを越えないためセグメントが大きいと負荷源になる。なおIPv6にはブロードキャストが存在せず、マルチキャストで代替される。②マルチキャスト：1対グループで、そのグループ（IPv4では224.0.0.0/4のクラスDアドレス）に参加を表明した端末だけが受信する。動画配信やルーティングプロトコルの広告に使われ、帯域効率がよい。③エニーキャスト：同一アドレスを複数拠点に持たせ、経路上最も近いノードに届ける方式で、DNSルートサーバやCDNで使われる。

正解: B. B. プライベートIPアドレスをパブリックIPアドレスに変換する

正解の根拠・詳細解説

NATはプライベートIPアドレスとグローバル（パブリック）IPアドレスを相互に変換する仕組みで、最大の目的はIPv4アドレスの枯渇対策、すなわち限られたグローバルアドレスを多数の内部端末で共有することにある。実際に家庭や企業でよく使われるのはPAT（NAPT、IPマスカレード）で、変換時に送信元ポート番号も書き換えて対応表（変換テーブル）に記録するため、1つのグローバルアドレスで数千の内部端末が同時に外部通信できる。戻りのパケットはこのテーブルを引いて正しい内部ホストへ振り分けられる。副次的な効果として、変換テーブルにエントリのない外部からの通信は内部に到達しないため、内部構成の隠蔽と簡易的な防御にもなるが、これはファイアウォールの代替にはならない。誤答の整理：暗号化はIPsecやTLSの役割、ドメイン名からIPアドレスへの変換はDNS、IPアドレスからMACアドレスの解決はARPであり、いずれもNATとは別の機能。

正解: B. B. 特定のトラフィックを優先制御し帯域や遅延を管理する

正解の根拠・詳細解説

QoSはネットワーク帯域が逼迫した際に、すべてのトラフィックを平等に扱うのではなく、業務上重要なものや遅延に弱いものを優先して転送するための仕組み。VoIPやビデオ会議は、スループットよりも遅延・ジッタ（遅延のばらつき）・パケットロスに敏感で、これらが悪化すると即座に音切れや映像の乱れとして体感されるため、優先制御の主対象となる。実装は、まず送信側でトラフィックを分類・マーキングし（L3ではIPヘッダのDSCP、L2では802.1QタグのPCP／CoS）、経由する機器がそのマークを見てキューイング（優先キューや重み付き公平キュー）、帯域保証、シェーピングやポリシングを行うという流れになる。重要な運用上の前提として、マーキングは経路上のすべての機器が信頼し尊重しなければ意味がなく、途中でDSCPが書き換えられたり無視されたりすると効果が出ない。誤答の暗号化、IPアドレスの自動割り当て（DHCP）、ファイル圧縮はいずれもQoSの機能ではない。

正解: B. B. トランクポートは複数VLANのタグ付きフレームを通す

正解の根拠・詳細解説

アクセスポートとトランクポートの違いは、VLANタグを扱うかどうかにある。アクセスポートはPCやプリンタなど末端の機器を接続するポートで、単一のVLANに所属し、フレームはタグなしでやり取りされる。接続機器はVLANの存在を意識する必要がない。トランクポートはスイッチ間やスイッチとルータ／サーバ間を結ぶポートで、802.1Qタグを付与して複数VLANのフレームを1本の物理リンクに多重化して伝送する。これによりVLANの数だけ物理配線を用意する必要がなくなる。設計上の注意点として、トランクではネイティブVLANのフレームだけタグなしで送出されるため、両端のネイティブVLAN設定が一致していないとフレームが意図しないVLANへ流れ込む。また不要なVLANはトランクから許可VLANリストで除外しておくのが、ブロードキャストの無駄な伝搬とセキュリティ上のリスクを減らす定石である。

正解: A. A. 複数の物理リンクを論理的に1本にまとめ帯域と冗長性を高める

正解の根拠・詳細解説

LACP（IEEE 802.3ad、現在は802.1AX）は、複数の物理リンクをネゴシエーションによって束ね、1本の論理リンク（リンクアグリゲーション、ポートチャネル、EtherChannel）として扱うためのプロトコル。目的は2つで、①帯域の拡大：1Gbps×4本を束ねて合計4Gbpsの転送能力を得る、②冗長性：1本が切れても残りのリンクで通信が継続し、STPによる再収束を待つ必要がない。上位のSTPからは束全体が1本のリンクに見えるため、冗長化してもブロッキングされずに全リンクを使える点が重要。注意すべき実務上の性質として、トラフィックは送信元・宛先のMACやIP、ポート番号のハッシュでリンクに振り分けられるため、単一のフローが束の合計帯域を使えるわけではなく、1フローの上限はあくまで物理リンク1本分となる。誤答のVLANタグ付与は802.1Q、ルーティングテーブルの共有はルーティングプロトコルの役割。

正解: A. A. STPよりコンバージェンス（収束）が速い

正解の根拠・詳細解説

RSTP（IEEE 802.1w）の最大の利点は、トポロジ変化時のコンバージェンス（収束）が従来のSTP（802.1D）より大幅に速いこと。STPはポートがブロッキングからリスニング、ラーニングを経てフォワーディングに至るまでタイマー任せで進むため、リンク障害からの復旧に30〜50秒を要した。RSTPはポート役割をルート／代替（Alternate）／バックアップ／指定に整理し、あらかじめ代替ポートを決めておくことで、障害検知時に即座に切り替えられる。さらに隣接スイッチ間のプロポーザル／アグリーメントというハンドシェイクで、タイマーを待たずに合意形成しながら転送状態へ遷移する。加えて、端末が直接つながるポートをエッジポート（PortFast相当）に指定すれば、リンクアップ後ただちにフォワーディングとなり、PCの起動時にDHCPが取得できないといった問題も避けられる。誤答にあるとおりループを許容するわけではなく、ループ防止という目的自体はSTPと同じである。

正解: D. D. DNSサーバーのルートゾーン署名鍵

正解の根拠・詳細解説

DHCPスコープに設定するのは、そのセグメントの端末へ配布すべきIP設定の情報である。具体的にはアドレスプール（配布範囲）、サブネットマスク、リース期間、除外アドレスや予約（固定割り当て）、およびDHCPオプションとして配布するデフォルトゲートウェイ（オプション3）、DNSサーバーアドレス（オプション6）、DNSドメイン名（オプション15）、NTPサーバーなどが典型。一方、DNSSECのゾーン署名鍵（ZSKやKSK）はDNSゾーンの正当性を保証するためにDNSサーバー側で管理する暗号鍵であり、クライアントへ配布する設定ではないためDHCPスコープの項目には含まれない。実務上の注意点として、リース期間は短くしすぎるとDHCPサーバーへの問い合わせが増え、長くしすぎると来客端末が多い環境でアドレスプールが枯渇しやすくなるため、環境に合わせた設計が必要になる。またDHCPサーバーが別セグメントにある場合は、ルータでDHCPリレーの設定が必須となる。

正解: A. A. メールサーバーの優先順位を指定する

正解の根拠・詳細解説

MXレコード（Mail eXchanger）は、そのドメイン宛のメールをどのメールサーバーが受け取るかと、その優先順位を指定するDNSレコード。値には優先度を表す数値とサーバーのホスト名を書き、数値が小さいほど優先度が高い。送信側のメールサーバーは最も小さい値のホストから順に接続を試み、応答がなければ次の値のホストへフォールバックするため、複数のMXレコードを登録することでメール受信の冗長化ができる。同じ値を複数登録すれば負荷分散にもなる。注意点として、MXレコードの右辺にはホスト名を書く必要があり、IPアドレスを直接書くことはできないため、指定先のホスト名にはAまたはAAAAレコードが別途必要になる。誤答の整理：ホスト名からIPアドレスへの変換はAレコード（IPv6はAAAA）、逆引き名前解決はPTRレコード、ドメインの権威ネームサーバーを指定するのはNSレコードである。

正解: B. B. 逆引き（IP→名前）解決

正解の根拠・詳細解説

PTRレコードはIPアドレスからホスト名を求める逆引き名前解決に使われるDNSレコード。正引きのAレコードとは別のゾーンで管理され、IPv4ではオクテットを逆順に並べたin-addr.arpaドメイン（例：192.0.2.10なら10.2.0.192.in-addr.arpa）、IPv6ではip6.arpaドメインの下に登録する。正引きゾーンとは独立しているため、Aレコードを作っただけでは逆引きは引けず、多くの場合はそのIPアドレスブロックを保有するISPやクラウド事業者側での設定が必要になる、という点が実務では重要。用途としては、サーバーのログにIPだけでなくホスト名を残す、トラブルシューティング時に相手を特定するなどがあるが、最も影響が大きいのはメールで、受信側のメールサーバーが送信元IPの逆引き名と正引き結果の整合性を確認し、PTRが未設定だとスパム判定されて配送が拒否されることがある。誤答の正引きはAレコード、メールサーバー指定はMXレコードが担う。

正解: A. A. ネットワーク機器の時刻同期

正解の根拠・詳細解説

NTPはネットワーク経由で機器の時刻を同期させるプロトコルで、UDPの123番ポートを使用する。基準となる原子時計やGPS受信機をStratum 0とし、それに直結したサーバーをStratum 1、そこから同期するサーバーをStratum 2……という階層（Stratum）構造をとり、往復の伝送遅延を補正しながら高精度に時刻を合わせる。時刻同期が重要な理由は、単に時計を合わせるためではない。①ログ解析：複数機器のログを時系列で突き合わせて障害や侵害の経路を追跡するには、全機器の時刻が揃っている必要がある、②証明書の検証：TLS証明書の有効期間の判定は端末の時刻に依存するため、時刻がずれていると正当な証明書が期限切れや未発効と判断され通信が失敗する、③Kerberos認証：チケットのタイムスタンプ検証に既定で5分程度の許容差しかなく、それを超えるずれがあると認証自体が通らない。誤答のIPアドレス自動割り当てはDHCP、名前解決はDNSの役割。

正解: A. A. ラベルに基づき高速にパケットを転送するWAN技術

正解の根拠・詳細解説

MPLSはパケットに「ラベル」と呼ばれる固定長の識別子を付与し、経路上のルータ（LSR）がIPヘッダを解析せずラベルだけを見て、あらかじめ確立されたラベルスイッチパス（LSP）に沿って転送するWAN技術。ネットワークの入口のルータ（LER）でラベルを付け、出口で外すという流れになる。L2ヘッダとL3ヘッダの間にラベルが挿入されるため「レイヤー2.5の技術」と表現されることもある。利点は、ラベル単位で経路を明示的に設計できるため、単純な最短経路ではなく帯域や遅延を考慮したトラフィックエンジニアリングが可能になること、ラベルにQoSの優先度情報を持たせてクラスごとに扱いを変えられること、そして事業者網でVRFと組み合わせて顧客ごとに分離されたMPLS-VPNを提供できることである。誤答の整理：無線LANの暗号化はWPA2/WPA3、VLANタグ付けは802.1Q、DNSキャッシュは名前解決の話であり、いずれもMPLSとは無関係。

正解: A. A. 複数のWAN回線をソフトウェアで集中管理し、アプリケーションごとに最適な経路を選択できる

正解の根拠・詳細解説

SD-WANは、SDNの考え方をWAN接続に適用したもので、MPLS専用線・インターネットブロードバンド・LTE/5Gといった複数の異なるWAN回線をソフトウェアで一元管理し、アプリケーション単位で最適な経路を動的に選択する技術。回線の遅延・ジッタ・パケットロスを常時計測し、ポリシーに基づいて「基幹業務システムは品質の安定したMPLS、クラウドのSaaSトラフィックは拠点から直接インターネットへ（ローカルブレイクアウト）」といった振り分けを自動で行える。従来はすべての通信を一度本社データセンターへ集約してから外へ出すヘアピン構成が一般的で、クラウド利用が増えるほど本社の回線と機器がボトルネックになっていたが、SD-WANはこれを解消する。加えて、拠点の追加をコントローラからのゼロタッチプロビジョニングで行える運用面の利点も大きい。誤答にあるように物理ケーブルやVLANが不要になるわけではなく、通信は通常IPsecで暗号化される。

正解: B. B. 異なる拠点のネットワーク同士を恒常的に接続する

正解の根拠・詳細解説

サイト間VPN（Site-to-Site VPN、拠点間VPN）は、本社と支社、あるいはオンプレミス拠点とクラウドのVPCといった、ネットワーク同士を恒常的に接続する用途で使われる。両拠点のVPNゲートウェイ（ルータやファイアウォール）間でIPsecトンネルを常時確立し、インターネットという公衆網を経由しながら、それぞれの内部セグメント同士が専用線のように通信できる状態を作る。重要な特徴は、暗号化処理をゲートウェイが担うため、拠点内の個々の端末にVPNクライアントを入れる必要も、利用者が接続操作をする必要もない点である。対して、在宅勤務者や外出中の社員が自分のPCから社内へつなぐ形態はクライアント-to-サイトVPN（リモートアクセスVPN）と呼ばれ、端末ごとにクライアントソフトとユーザー認証が必要になる。誤答のDNS冗長化やロードバランシングはVPNの機能ではない。

正解: A. A. データの暗号化と認証によるセキュアな通信

正解の根拠・詳細解説

IPsecはIP層で暗号化と認証を提供するプロトコルスイートで、上位のアプリケーションを改修することなく通信全体を保護できる点が特徴。主要な構成要素は、①ESP（Encapsulating Security Payload、プロトコル番号50）：ペイロードの暗号化に加えて完全性の検証も行う、実運用の主役、②AH（Authentication Header、プロトコル番号51）：完全性と認証のみを提供し暗号化はしないため、機密性が必要な用途では使われない、③IKE（UDP 500、NAT越えの場合はUDP 4500）：鍵交換とSA（セキュリティアソシエーション）の確立を担う。動作モードは2つあり、元のIPパケット全体を新しいIPヘッダで包むトンネルモードは拠点間VPNで、ペイロードのみを保護するトランスポートモードはホスト間の直接通信で使われる。誤答の整理：IPアドレスの動的割り当てはDHCP、名前解決はDNS、VLANタグ付与は802.1Qであり、いずれもIPsecの機能ではない。

正解: B. B. データセンターで低遅延かつ高い東西（East-West）トラフィック性能を実現するため

正解の根拠・詳細解説

スパインリーフは、サーバーを収容するリーフスイッチのすべてが、上位のすべてのスパインスイッチと接続される2階層のフラットな構成。この形により、どのサーバーからどのサーバーへ通信しても必ず「リーフ→スパイン→リーフ」の一定ホップ数で到達でき、遅延が予測可能で均一になる。仮想化・分散システム・マイクロサービスの普及でデータセンター内のトラフィックはサーバー間の東西（East-West）通信が支配的になっており、この要件に合致するのが採用理由である。従来のコア／ディストリビューション／アクセスの3層構造は、外部との南北（North-South）通信を前提とし、サーバー間通信がコアまで上って戻るため経路が長く、しかもSTPで冗長リンクの片方がブロックされ帯域が遊んでいた。スパインリーフではECMPやVXLANとの併用で全リンクを同時に使え、帯域不足時はスパインを追加するだけで水平にスケールできる。誤答にあるとおり、配線本数はむしろ増える点に注意。

正解: A. A. 複数のサーバーにトラフィックを分散し可用性とパフォーマンスを向上させる

正解の根拠・詳細解説

ロードバランサーは、複数のバックエンドサーバーへリクエストを分散させることで、単一サーバーへの負荷集中を避けて応答性能を高めると同時に、1台が停止してもサービスを継続できる可用性を実現する装置・機能。中核となるのがヘルスチェックで、各サーバーへ定期的に疎通や応答内容を確認し、異常と判定したサーバーを自動的に振り分け対象から外すため、障害時も利用者に見えるダウンタイムが生じにくい。分散アルゴリズムにはラウンドロビン、最少接続数、送信元IPハッシュ、重み付けなどがあり、用途に応じて選択する。動作レイヤーによる違いも重要で、L4ロードバランサーはIPアドレスとポート番号で振り分けるのに対し、L7ロードバランサーはURLパスやHTTPヘッダ、Cookieの内容まで見て振り分けられるため、パスごとのルーティングやセッション維持（スティッキーセッション）、TLS終端といった高度な処理が可能になる。

正解: A. A. 特定のMACアドレスのみをポートで許可し不正な機器の接続を防止する

正解の根拠・詳細解説

ポートセキュリティは、スイッチのアクセスポート単位で「そのポートに接続してよい機器」をMACアドレスで制限する機能。ポートごとに学習できるMACアドレスの最大数を指定し、許可外のMACアドレスを持つ機器がフレームを送ってきた場合に違反として扱う。運用を楽にするスティッキー学習を使えば、最初に接続された正規機器のMACを自動的に許可リストへ取り込んで設定に保存できる。違反時の動作は通常3種類から選択でき、①シャットダウン：ポートをerr-disable状態にして完全に遮断（既定かつ最も厳格）、②リストリクト：違反フレームを破棄しつつログとカウンタを記録、③プロテクト：単に破棄するのみで通知はしない。想定される脅威は、無断で持ち込まれたPCやハブの接続、MACアドレステーブルを溢れさせるMACフラッディング攻撃など。ただしMACアドレスは詐称可能なため、より強固な認証が必要な場合は802.1Xと組み合わせるのが定石である。

正解: A. A. 音声データは遅延・ジッターに敏感なため優先制御が必要

正解の根拠・詳細解説

VoIPの音声はリアルタイム性が命であり、遅延（レイテンシ）とジッタ（到着間隔のばらつき）、パケットロスの影響を強く受ける。一般に片道遅延が150ms程度を超えると会話が噛み合わなくなり、ジッタが大きいと受信側のジッタバッファで吸収しきれず音が途切れる。しかも音声はUDPで送られるため、ロストしたパケットは再送されずそのまま欠落として聞こえる。一方で大容量のファイル転送やバックアップは多少遅れても実害がないため、輻輳時に音声を優先して転送するQoS設定が必要になる。具体的には音声パケットにDSCP EF（Expedited Forwarding）、呼制御にCS3といったマーキングを行い、経路上の各機器で優先キューに入れる設計が一般的。誤答の整理：音声も盗聴対策として暗号化（SRTP）が推奨されるし、コーデックにもよるが1通話あたり数十kbps程度の帯域を確実に消費するため、「帯域を使用しない」「QoS非対応」はいずれも誤り。

正解: A. A. ポートベースのネットワークアクセス制御

正解の根拠・詳細解説

802.1Xはポートベースのネットワークアクセス制御（PNAC）の規格で、有線スイッチポートや無線LANへの接続時に、通信を許可する前に利用者や端末を認証する。登場人物は3つで、①サプリカント：認証を受けるクライアント端末、②オーセンティケータ：スイッチや無線アクセスポイントで、認証が通るまでそのポートでEAPOL以外の通信を遮断する門番、③認証サーバー：実際に資格情報を検証するRADIUSサーバー。認証情報はEAP（EAP-TLSやPEAPなど）でやり取りされ、成功して初めてポートが開放される。実務上の利点として、認証結果に応じてユーザーごとに動的にVLANを割り当てたり、認証に失敗した端末をゲストVLANや検疫VLANへ隔離したりできる。プリンタなど802.1X非対応の機器にはMAB（MACアドレス認証バイパス）を併用する。誤答のIPアドレス割り当てはDHCP、名前解決はDNSの役割である。

正解: A. A. 各APを個別に手動設定する必要がなくなり一元管理できる

正解の根拠・詳細解説

無線LANコントローラー（WLC）を使う集中管理型アーキテクチャでは、アクセスポイントは軽量AP（Lightweight AP）として動作し、SSIDや暗号化方式、認証、チャネル、送信出力といった設定をすべてWLCから配布する。そのため数十〜数百台規模でも設定変更を一箇所で行えばよく、APを個別にCLIやWeb画面で設定して回る必要がなくなる。さらに重要なのが電波環境の自動最適化で、コントローラーが各APの電波状況を把握し、干渉が少なくなるようチャネルと送信出力を自動調整したり、あるAPが故障した際に周囲のAPの出力を上げて穴を埋めたりできる（RRM）。ローミングもコントローラーが認証情報を保持して高速に引き継ぐため、移動中の端末で通話やセッションが切れにくい。加えて全APの稼働状況・接続端末・不正AP（Rogue AP）の検知を一元的に監視できる。誤答にあるように暗号化が不要になったり、SSIDが1つに制限されたりすることはなく、APは通常PoEの有線で接続する。

正解: A. A. 複数の無線チャンネルを束ねて帯域幅を増やす

正解の根拠・詳細解説

チャネルボンディングは、隣接する複数の無線チャネルを結合してより広い帯域幅として使い、1回の送信で運べるデータ量を増やしてスループットを向上させる技術。標準の20MHz幅に対し、40MHz、80MHz、160MHzと束ねることで理論速度がおおよそ倍々に伸びる。ただし利用可能な周波数は有限であるため、幅を広げるほど互いに重ならないチャネルの数が減り、隣接するAPや他社の電波と干渉しやすくなるというトレードオフがある。特に2.4GHz帯は重ならないチャネルが1・6・11の3つしかなく、ここで40MHz幅を使うと近隣と確実に衝突するため、実務では2.4GHzは20MHz固定とし、チャネル数に余裕のある5GHz帯や6GHz帯で80MHz以上を使う設計が基本になる。またAP密度が高い環境では、あえて幅を狭くしてチャネルの再利用性を優先したほうが全体のスループットが上がることも多い。誤答のSSID非表示、暗号化方式、AP電源管理（PoE）はいずれも別の機能。

正解: B. B. 経路変更が少ない小規模・安定したネットワーク

正解の根拠・詳細解説

静的ルーティングは管理者が宛先ネットワークと次ホップを手動で登録する方式で、経路構成が単純で変更頻度の低い小規模ネットワークに適している。利点は、ルーティングプロトコルの制御パケットや隣接関係維持によるCPU・帯域のオーバーヘッドがまったくない、経路が完全に予測可能で意図しない経路変更が起きない、そして経路情報を外部と交換しないためセキュリティ面でも安全なこと。逆に欠点は、リンク障害が起きても自動で迂回できず、構成変更のたびに全ルータの設定を手作業で直す必要があるため、ノード数が増えると設定ミスと運用負荷が急増する点にある。誤答が示すとおり、経路が頻繁に変化する大規模ネットワークやインターネット全体のルーティングには、変化を自動的に伝搬して収束するOSPFやBGPといった動的ルーティングが必須。実務でよく使われる折衷案が、通常は動的ルーティングを使い、アドミニストレーティブディスタンスを大きくした静的経路をバックアップとして仕込むフローティングスタティックルートである。

正解: B. B. 異なるネットワーク宛のパケットを次のホップへ転送する出口となる

正解の根拠・詳細解説

デフォルトゲートウェイは、ルーティングテーブルに一致する経路がない宛先（＝自分のサブネット外のすべての宛先）へのパケットを送り出す出口となるルータのアドレス。ルーティングテーブル上は0.0.0.0/0（デフォルトルート）として表現され、プレフィックス長が0であるため最長一致検索で最後に選ばれる「最後の頼み」の経路になる。端末の動作を追うと、送信時にまず宛先IPと自分のサブネットマスクを比較し、同一サブネット内ならARPで宛先自身のMACアドレスを解決して直接送るが、サブネット外ならデフォルトゲートウェイのMACアドレスを解決し、宛先IPはそのままにMACアドレスだけゲートウェイ宛にして送出する。この違いから、デフォルトゲートウェイの設定ミスや未設定では「同一セグメント内はpingが通るのに外部に一切出られない」という典型的な症状が現れ、切り分けの重要な手がかりになる。誤答のDNSキャッシュ保持やDHCPリース発行は別機能である。

正解: A. A. 内部と外部ネットワーク間のトラフィックを制御し不正アクセスを防ぐため

正解の根拠・詳細解説

ファイアウォールを内部ネットワークと外部（インターネット）の境界に置くのは、信頼度の異なるネットワークの接点を1箇所に集約し、そこを通過するすべてのトラフィックをルールに基づいて許可・拒否するため。基本の設計思想は「明示的に許可したもの以外はすべて拒否」というデフォルトデニーで、必要な通信だけを最小限に開けることで攻撃面を減らす。現代のファイアウォールはステートフルインスペクションを行い、内部から出ていった通信のセッション情報をテーブルに保持して、その戻りパケットだけを自動的に許可する。そのため外部から一方的に始まる通信を遮断しつつ、内部からの正常な通信は妨げない。公開Webサーバーのように外部からのアクセスを受ける必要があるものは、内部LANとは分離したDMZに置き、DMZが侵害されても内部へ波及しないようにするのが定石。さらに次世代ファイアウォール（NGFW）はポート番号だけでなくアプリケーションやユーザー、コンテンツまで識別して制御できる。

正解: A. A. サイト間VPNまたは専用線接続（Direct Connect等）

正解の根拠・詳細解説

ハイブリッドクラウドでオンプレミスとクラウドを結ぶ手段は、大きくサイト間VPNと専用線接続の2つ。①サイト間VPN：既存のインターネット回線上にIPsecトンネルを張る方式で、短期間・低コストで開始でき、拠点追加も容易だが、経路がインターネット任せのため遅延や帯域が保証されず、暗号化処理がゲートウェイの負荷になる。②専用線接続（AWS Direct Connect、Azure ExpressRoute、Google Cloud Interconnect等）：事業者の閉域網を経由してクラウドへ直結する方式で、帯域と遅延が安定し、大量データ転送時の通信費も抑えられるが、開通に数週間〜数か月かかり月額費用も高い。可用性を求める構成では、専用線を主系、VPNをバックアップとして併用するのが一般的。誤答の整理：Telnetは平文のリモート接続、SNMPv1は認証がコミュニティ名のみで暗号化のない監視プロトコル、ARPは同一セグメント内のMACアドレス解決であり、いずれも拠点間接続の手段ではない。

正解: A. A. タグなしフレームが属するVLANを指定する

正解の根拠・詳細解説

802.1Qトランクリンクでは通常、どのVLANのフレームかを示すタグを付けて送出するが、ネイティブVLANに指定されたVLANのフレームだけは例外的にタグなし（アンタグ）で送られる。逆に、トランクポートがタグなしフレームを受信した場合は、そのフレームをネイティブVLANに属するものとして扱う。この仕組みは、VLANを解さない旧来の機器やタグを扱えない装置とも同じリンクで相互接続できるようにするための互換性確保が目的である。実務で最も重要なのは設定ミスのリスクで、トランクの両端でネイティブVLANの番号が食い違っていると（ネイティブVLANミスマッチ）、片側でVLAN 10として送ったタグなしフレームが対向ではVLAN 20として受け取られ、本来分離されているはずのVLAN同士がつながってしまう。これはVLANホッピング攻撃（ダブルタギング）の足がかりにもなるため、ネイティブVLANは既定のVLAN 1から未使用のVLANへ変更し、両端で必ず一致させるのが定石である。

正解: A. A. 需要に応じてリソースを自動的に増減させ可用性とコスト効率を最適化する

正解の根拠・詳細解説

オートスケーリングは、CPU使用率やリクエスト数といったメトリクス、あるいはスケジュールに応じて、インスタンス数などのリソースを自動的に増減させる仕組み。目的は2つあり、①可用性・性能の維持：アクセス急増時に自動でリソースを追加し、応答遅延やサービス停止を防ぐ。ヘルスチェックで異常なインスタンスを切り離して新規に置き換えるため、自己修復の効果もある、②コスト効率：負荷が下がった夜間や閑散期にリソースを縮退させ、使った分だけ支払う従量課金の利点を活かす。ピーク需要に合わせて常時サーバーを確保しておく従来型の構成では、平常時の余剰リソースが無駄になっていた。実装ではロードバランサーとの併用が前提で、増減するインスタンスへ自動的にトラフィックを振り分ける。設計上の注意点として、状態をインスタンス内に持たないステートレスな構成にしておかないと、縮退時にセッションが失われる。誤答の経路固定化、DNSレコード削除、VLAN削減はいずれも無関係。

正解: A. A. ネットワーク機器の監視・管理情報の収集

正解の根拠・詳細解説

SNMP（Simple Network Management Protocol）は、ルータ・スイッチ・サーバ・プリンタなどの機器から稼働状況や統計情報を収集し、管理するためのプロトコル。管理対象機器で動作するSNMPエージェントが、インタフェースのトラフィック量、エラーカウンタ、CPU・メモリ使用率といった情報をMIBというツリー構造のデータベースに保持し、各項目はOIDという識別子で指定される。通信は2方向あり、①ポーリング：管理サーバー（マネージャ）がUDP 161番へGetリクエストを送り定期的に値を取得する（グラフ化やしきい値監視に利用）、②トラップ／インフォーム：機器側で障害が起きた際にUDP 162番へ能動的に通知を送る（即時検知に利用）。セキュリティ面が重要で、SNMPv1とv2cは平文のコミュニティ名だけで認証し暗号化もないため盗聴に弱く、ユーザー認証と暗号化に対応したSNMPv3の使用が推奨される。誤答の名前解決はDNS、ファイル転送はFTP/SFTPの役割。

正解: A. A. ネットワーク機器のログを集中的に収集・記録する

正解の根拠・詳細解説

Syslogは、ネットワーク機器やサーバーが出力するログメッセージを、標準的な書式で集中サーバー（Syslogサーバー）へ転送・記録する仕組み。既定ではUDPの514番ポートを使う（信頼性や暗号化を求める場合はTCPやTLSを使う実装もある）。各メッセージには発生元の種別を示すファシリティと、重大度を示すセビリティが付与され、セビリティは0のEmergencyから7のDebugまで8段階で、数値が小さいほど深刻である。運用上は、収集レベルをDebugにすると膨大なログでディスクと帯域を圧迫するため、通常はWarning以上といった形でしきい値を設定する。集中管理する意義は大きく、①機器が故障・再起動してもログが手元に残る、②複数機器のログを時系列で突き合わせて障害や攻撃の経路を追跡できる、③長期保管により監査要件を満たせる。②のためには全機器のNTPによる時刻同期が前提となる点も重要で、収集したログはSIEMで相関分析にかけられることが多い。

正解: A. A. トラフィックの送受信元・量などの統計情報

正解の根拠・詳細解説

NetFlowはトラフィックを「フロー」単位で集計する技術で、フローは一般に送信元IP・宛先IP・送信元ポート・宛先ポート・プロトコル番号の5タプル（実装によりインタフェースやToSも含む）で識別される。機器はフローごとにパケット数、バイト数、開始・終了時刻などを記録し、コレクタへエクスポートする。これによって「誰が誰と、どのアプリケーションで、どれだけ通信したか」が可視化でき、帯域を食っている端末やアプリの特定、想定外の宛先への通信といった異常検知、将来の回線増強を判断するキャパシティプランニングに使える。パケットキャプチャとの違いが重要で、キャプチャはペイロードまで含めて完全な内容を取得できる反面データ量が膨大で常時運用に向かない。NetFlowはヘッダ情報の要約だけを扱うため軽量で常時収集に適するが、通信の中身そのものは分からない。類似技術にサンプリング方式のsFlowや標準化されたIPFIXがある。誤答の暗号鍵やDNSキャッシュの内容は取得できない。

正解: A. A. パケット到達時間のばらつき

正解の根拠・詳細解説

ジッタはパケットの到達時間のばらつき、すなわち遅延の変動を表す指標。送信側が一定間隔で送り出したパケットでも、経路上のキューイングや経路変動によって到着間隔が不揃いになる。遅延（レイテンシ）が「どれだけ遅れて届くか」を表すのに対し、ジッタは「遅れ方がどれだけ揺らぐか」を表す点が本質的な違いで、平均遅延が小さくてもジッタが大きければ品質は劣化する。影響が最も大きいのは音声・映像のリアルタイム通信で、受信側は到着したデータを一定間隔で再生する必要があるため、ジッタバッファに数十ミリ秒分を溜めて揺らぎを吸収する。しかしジッタがバッファ容量を超えると、間に合わなかったパケットは破棄され、音切れやノイズ、映像のコマ落ちとして現れる。逆にバッファを大きくすれば吸収できるが、その分の遅延が上乗せされて会話が不自然になるというトレードオフがある。誤答の帯域幅の最大値、パケット損失率、信号強度はそれぞれ別の指標。

正解: B. B. 帯域幅は理論上の最大伝送容量、スループットは実際に転送できた量

正解の根拠・詳細解説

帯域幅（バンド幅）はリンクが理論上伝送できる最大容量を指すカタログ値で、1Gbpsのイーサネットなら帯域幅は1Gbpsである。対してスループットは、実際の通信で単位時間あたりに転送できた量を表す実測値で、常に帯域幅以下になる。両者に差が生まれる要因は多く、プロトコルヘッダのオーバーヘッド、TCPの再送とウィンドウサイズによる制限、経路上の輻輳や他トラフィックとの共有、CSMA/CDによる衝突や半二重動作、機器のCPU性能や配線品質などが挙げられる。特に遅延の大きい長距離回線では、TCPのウィンドウサイズが小さいと帯域が余っていても速度が出ないという現象（帯域遅延積の問題）が起きる。実務では「1Gbpsの回線を契約しているのに200Mbpsしか出ない」といった申告に対し、どこがボトルネックかを切り分ける必要がある。なお、実データのみを数えた値をグッドプットと呼び、ヘッダ分を除くためスループットよりさらに小さくなる。

正解: A. A. 正常な状態を把握し異常検知の基準とする

正解の根拠・詳細解説

ネットワークベースラインとは、平常時における帯域使用率、CPU・メモリ使用率、遅延、エラーカウンタ、接続端末数などを一定期間にわたり継続測定して記録した「正常な状態の基準値」のこと。目的は、異常を判断する物差しを持つことにある。たとえば回線使用率60%という値だけでは良し悪しを判断できないが、普段が20%だと分かっていれば明らかな異常であり、逆に普段から60%であれば正常と判断できる。ベースラインがあれば、しきい値アラートを現実的な水準で設定でき、誤検知も減らせる。加えて用途は複数あり、①トレンド分析による回線やハードウェアの増強時期の予測（キャパシティプランニング）、②機器の入れ替えや設定変更の前後比較による効果測定、③利用者からの「最近ネットワークが遅い」という主観的な申告を、客観的な数値で検証すること。時間帯や曜日による変動があるため、単発ではなく一定期間の継続測定が必要である。

正解: A. A. 障害発生からシステム復旧までの目標時間

正解の根拠・詳細解説

RTO（Recovery Time Objective、目標復旧時間）は、障害が発生してからシステムやサービスを復旧させるまでに許容できる時間の目標値。「何時間以内に業務を再開できなければならないか」を定義するもので、その値によって取るべき対策が決まる。RTOが数分単位なら、ホットサイトやアクティブ／アクティブ構成、自動フェイルオーバーといった高価な仕組みが必要になり、RTOが数日でよければテープからのリストアで足りる、といった具合にコストと直結する。混同しやすいRPO（Recovery Point Objective）との違いが頻出で、RTOは復旧までの「時間軸の長さ」を表すのに対し、RPOは復旧できるデータの「時点」、すなわち許容できるデータ損失の範囲を表す。両者は独立した指標で、たとえば「RPO 1時間・RTO 4時間」なら、最大1時間分のデータ損失を許容し、4時間以内に復旧するという設計目標になる。誤答のバックアップ保存期間（保管期間ポリシー）や鍵の更新間隔とも区別が必要。

正解: B. B. どの時点までのデータ損失を許容できるかを示す指標

正解の根拠・詳細解説

RPO（Recovery Point Objective、目標復旧時点）は、障害発生時にどの時点のデータまで復旧できればよいか、言い換えれば許容できるデータ損失の最大範囲を示す指標。バックアップ頻度の設計に直結し、たとえば1日1回深夜にバックアップを取る運用ならRPOは最大24時間、つまり最悪1日分の更新が失われることを許容する設計になる。RPOを1時間にしたければ1時間ごとのバックアップやスナップショットが、ほぼゼロにしたければ同期レプリケーションやトランザクションログの継続転送が必要となり、要求を厳しくするほどコストとシステム負荷が増える。RTO（目標復旧時間）との違いを明確に押さえたい。RPOは障害時点から「過去」に遡ってどこまで失うか、RTOは障害時点から「未来」に向かって復旧までどれだけかかるかを表す。両者はビジネスインパクト分析に基づいて業務ごとに個別に定めるべきもので、誤答のバックアップ保管場所や担当者数は指標ではない。

正解: A. A. 完全に稼働可能な状態を常時維持したバックアップ拠点で復旧時間が最短

正解の根拠・詳細解説

ホットサイトは、本番と同等のハードウェア・ソフトウェア・ネットワークを備え、データもリアルタイムまたはそれに近い頻度で同期された、常時稼働可能な災害復旧拠点。障害発生時にはほぼ即座に切り替えられるため復旧時間（RTO）が最短になり、金融や医療など停止が許されない業務で採用されるが、本番環境をもう一式維持することになるため運用コストは最も高い。対比すべき他の方式は次のとおり。①ウォームサイト：ハードウェアやネットワークは用意されているが、データは定期的なバックアップのみで最新ではなく、切り替えにはリストアと設定作業を要する。コストと復旧時間の中間解。②コールドサイト：電源・空調・回線といった設備だけが用意された空きスペースで、機器の調達・搬入・構築を障害後に行うため復旧に数日から数週間かかるが最も安価。近年はクラウドを利用して平常時は最小構成だけ動かし、災害時にスケールアップするパイロットライト方式も一般的である。

正解: B. B. 設備（電源・空調等）はあるがサーバー等は未設置で復旧に時間がかかる

正解の根拠・詳細解説

コールドサイトは、電源・空調・通信回線といった基本的な施設設備だけが用意された空きスペースで、サーバーやネットワーク機器は設置されておらず、データも置かれていない。災害発生後に機器の調達・搬入・設置、ネットワーク構築、バックアップからのデータ復元をすべて行うため、復旧までに数日から数週間を要する。その代わり平常時は場所と最低限の設備を維持するだけでよく、3方式のなかで最もコストが低い。したがって、長時間の停止が許容できる業務や、予算制約の大きい組織向けの選択肢となる。誤答が示す「常時稼働」「自動フェイルオーバー」「データのリアルタイム同期」はいずれもホットサイトの特徴で、ホットサイトは即座に切り替えられる代わりに本番と同等の環境を二重に維持するコストがかかる。中間にあたるウォームサイトは、機器は設置済みでデータは定期バックアップという構成で、復旧時間とコストのバランスを取る。RTOとRPOの要件から逆算してどの方式を選ぶかを決めるのが正しい進め方である。

正解: A. A. 単一障害点を排除し可用性を高める

正解の根拠・詳細解説

冗長化は、機器・リンク・電源・経路などを多重化することで単一障害点（SPOF）を排除し、1箇所の故障がサービス全体の停止に直結しないようにする設計手法。可用性を高めることが目的であり、当然ながら設備が増えるためコストは上がる。したがって「コストを最小化する」は誤り。実際のネットワークで冗長化が適用される代表的な箇所は次のとおり。①電源：デュアル電源ユニットを別系統のPDU・UPSに接続する、②リンク：リンクアグリゲーション（LACP）で複数の物理リンクを束ねる、STPやRSTPで冗長経路を待機させる、③ゲートウェイ：HSRPやVRRPといったFHRPで仮想IPを共有し、アクティブ機の障害時にスタンバイ機が引き継ぐ、④機器：コアスイッチやファイアウォールの二重化、⑤回線：異なる事業者・異経路のWAN回線を用意する。重要なのは、冗長化しても切り替えが正しく動くかを定期的に試験することで、フェイルオーバーの未検証は実障害時に機能しない典型的な落とし穴である。

正解: A. A. ネットワーク変更による予期せぬ障害を防ぎ影響範囲を事前評価するため

正解の根拠・詳細解説

変更管理は、ネットワークへの変更を行き当たりばったりに実施せず、内容・影響範囲・実施手順・切り戻し（ロールバック）手順を文書化し、事前に承認を得てから実施するためのプロセス。ネットワーク障害の相当な割合が計画外・未検証の設定変更に起因するため、その予防効果は大きい。一般的な流れは、①変更要求（RFC）の起票：目的、変更内容、想定される影響、実施時間を記載、②リスク評価と承認：変更諮問委員会（CAB）などが影響度を評価して可否を判断、③実施：業務影響の小さいメンテナンスウィンドウで、事前に決めた手順に沿って作業、④検証とクローズ：正常性を確認し、記録を構成管理情報へ反映。特に重要なのがロールバック手順を「事前に」用意しておくことと、切り戻しを判断する期限を決めておくことで、これがないと障害時に長時間の復旧作業へ引きずり込まれる。誤答のパスワード変更やケーブル長の記録は変更管理そのものの目的ではない。

正解: A. A. デバイスの設定情報のバックアップとバージョン管理

正解の根拠・詳細解説

構成管理の中核は、機器の設定（コンフィグ）を定期的にバックアップし、いつ・誰が・何を変えたのかを追える形でバージョン管理すること。これにより、①機器の故障時に代替機へ最新の設定を投入して短時間で復旧できる、②設定変更後に問題が起きた際、直前のバージョンとの差分を取って原因箇所を特定し、確実に切り戻せる、③承認されていない設定変更（設定ドリフト）を検出できる、④監査時に構成の証跡を提示できる、といった効果が得られる。実務では、設定を自動収集してGitなどのリポジトリで版管理し、標準設定（ゴールデンコンフィグ）との差分を定期的に比較する運用が広く行われている。加えて、機器のモデル・シリアル番号・ファームウェアバージョン・ライセンス・保守契約の期限といった資産情報も構成管理の対象で、脆弱性が公表された際に「影響を受ける機器がどこに何台あるか」を即座に把握できるかどうかは、この情報の整備状況で決まる。

正解: A. A. トラブルシューティングや変更作業の際に正確な現状把握ができるため

正解の根拠・詳細解説

ネットワーク図が古いままだと、担当者は実在しない経路や既に撤去された機器を前提に判断してしまい、障害の原因特定が遅れるだけでなく、影響範囲を読み違えた変更作業によって二次障害を引き起こす。したがって変更のたびに更新し、正確性を維持することが重要になる。ネットワーク図は目的の異なる2種類を用意するのが基本で、①物理構成図：機器の設置ラックや位置、ポート番号、ケーブルの配線と種別を示し、現地作業や配線の追跡に使う、②論理構成図：IPアドレス体系、VLAN、サブネット、ルーティングの流れを示し、経路や到達性の検討に使う。加えて、フロア図に情報コンセントとパッチパネルの対応を書いたラベリング／配線図があると、現場での切り分けが劇的に速くなる。更新を確実にする最善策は、変更管理プロセスの完了条件にドキュメント更新を組み込むことで、担当者の善意任せにしないことである。

正解: A. A. IPアドレスの割り当て状況を一元管理し重複や枯渇を防ぐ

正解の根拠・詳細解説

IPAM（IP Address Management）は、組織内のIPアドレスの割り当て状況を一元的に管理する仕組み。どのサブネットがどの拠点・用途に割り当てられ、その中のどのアドレスが使用中・予約済み・空きなのかをデータベースとして保持し、重複割り当てによる通信障害や、サブネット内アドレスの枯渇を未然に防ぐ。表計算ソフトによる台帳管理は更新漏れが起きやすく、規模が大きくなると破綻するため、専用ツールの導入が一般的である。実務ではDNS・DHCPと統合した「DDI」として運用されることが多く、新しいホストの登録時にIPアドレスの払い出し、DHCP予約の作成、DNSのAレコードとPTRレコードの登録を一括で行える。加えて、実際のネットワークをスキャンして台帳と実態の差異を検出したり、サブネットの使用率を可視化して枯渇前に増設を計画したり、IPv6の広大なアドレス空間を体系立てて管理したりといった用途にも効く。誤答の暗号化、VLAN自動構成、帯域計測はIPAMの機能ではない。

正解: A. A. 将来の需要を見据えてネットワークリソースを適切に拡張計画する

正解の根拠・詳細解説

キャパシティプランニングは、現在の利用状況を継続的に測定してトレンドを分析し、将来必要になる帯域・機器性能・ポート数などを予測して、不足が顕在化する前に増強計画を立てる活動。ネットワークの性能問題は、ある日突然発生するというより、使用率が徐々に上がって限界に達したときに表面化するため、事前の予測が有効に働く。前提となるのは平常時のベースライン測定で、回線使用率、機器のCPU・メモリ使用率、スイッチの空きポート数、無線APあたりの接続端末数、ストレージ容量などを長期にわたり記録し、季節変動や業務イベントによるピークも考慮したうえで、たとえば「現在の伸びなら8か月後に上位リンクが飽和する」といった判断を行う。加えて、新規拠点の開設、クラウド移行、リモートワークの拡大といった事業計画による需要変化も織り込む必要がある。誤答のログ削除やVLAN数の固定、暗号化方式の統一はいずれもキャパシティプランニングとは無関係。

正解: A. A. 既知の脆弱性の修正や機能改善を安全に反映するため

正解の根拠・詳細解説

ネットワーク機器のファームウェアには既知の脆弱性が公表されることがあり、放置すると管理インタフェースの乗っ取りや任意コード実行の踏み台にされる恐れがあるため、更新によって修正を適用する必要がある。同時に、バグ修正や新機能・新規格への対応といった機能改善も得られる。一方で更新には相応のリスクが伴い、適用中は機器の再起動によって通信が断となり、新バージョンで別の不具合や既存設定との非互換が生じることもある。そのため「計画的に」行うことが重要で、実務上の要点は、①事前に変更管理プロセスで承認を得て、業務影響の小さいメンテナンスウィンドウに実施する、②リリースノートで既知の不具合と設定の互換性を確認し、可能なら検証環境で試験する、③更新前に設定と旧イメージをバックアップし、問題発生時に切り戻せるようにする、④冗長構成の機器は片系ずつ順に更新して無停止を狙う。誤答のケーブル長やIPアドレス、VLAN数とは関係がない。

正解: A. A. ネットワークを流れるパケットを詳細に解析し問題を特定する

正解の根拠・詳細解説

パケットキャプチャは、ネットワークを流れるパケットをそのまま取得し、プロトコルごとに解析して問題の原因を特定する手法。Wiresharkやtcpdumpを使い、TCPの3ウェイハンドシェイクが成立しているか、どちら側がRSTを返しているか、再送やウィンドウフルが多発していないか、DNS応答が返っているか、DHCPのDORAシーケンスがどこで止まっているかといった、上位のログでは分からない事実を確認できる。「サーバーが悪いのかネットワークが悪いのか」という水掛け論を、実際のパケットという客観的な証拠で決着させられる点が最大の価値である。実務上の注意点として、スイッチはフレームを宛先ポートにしか転送しないため、他ホストの通信を見るにはポートミラーリング（SPAN）やネットワークTAPの設置が必要になる。また、キャプチャ量は膨大になりやすいのでキャプチャフィルタで絞ること、TLSで暗号化された通信は中身が読めずヘッダ情報の分析にとどまること、通信内容を扱うため取り扱いに関する規程や許可が必要なことも押さえておきたい。

正解: A. A. 機器の熱暴走や電源障害を未然に検知し可用性を保つため

正解の根拠・詳細解説

データセンターの環境モニタリングは、温度・湿度・電源・漏水といった物理環境の異常を、機器障害に至る前に検知して可用性を守るために行う。温度が上がりすぎるとCPUのサーマルスロットリングによる性能低下や、保護機能による突然のシャットダウン、部品寿命の短縮を招く。湿度も両方向に問題があり、低すぎると静電気（ESD）が発生して基板を損傷し、高すぎると結露や腐食の原因になるため、適正範囲を維持する必要がある。電源については、UPSのバッテリー劣化や入力電圧の異常、PDU単位の消費電力を監視し、片系電源の喪失やブレーカー容量超過を早期に把握する。監視の要点は、しきい値を超えたら即座に担当者へ通知する仕組みを作ることと、冷却設計に沿って測定点を選ぶことで、ホットアイル／コールドアイル構成ではラック吸気側の温度を測らなければ意味のある値にならない。誤答の帯域拡張、VLAN統合、DNSキャッシュ更新とは無関係である。

正解: A. A. 停電時に一時的に電力を供給し安全なシャットダウンや切替を可能にする

正解の根拠・詳細解説

UPS（無停電電源装置）の役割は、停電や瞬時電圧低下が起きた際に内蔵バッテリーから一時的に電力を供給し、その間にシステムを安全に停止させるか、非常用発電機への切り替えを完了させるための時間を稼ぐこと。バッテリー容量は通常数分から数十分程度で、長時間の停電をUPSだけで乗り切る想定ではない点が重要である。サーバーへ電源断を通知して自動シャットダウンさせる管理ソフトと組み合わせるのが基本で、これによりファイルシステムの破損やRAIDの不整合といった、電源が突然落ちることによる論理障害を防げる。方式には差があり、常時商用給電方式は安価だが切り替えに数ミリ秒を要し、常時インバーター給電（オンライン・ダブルコンバージョン）方式は入力を一度直流に変換してから供給するため切り替え時間がなく、電圧変動やノイズも除去できる。運用面では、バッテリーが数年で劣化する消耗品であることを踏まえ、定期的な自己診断と計画的な交換が欠かせない。

正解: A. A. 定型的な作業のミスを減らし運用効率を高める

正解の根拠・詳細解説

ネットワーク自動化の最大の利点は、繰り返し発生する定型作業から手作業を排除することで、打ち間違いや手順の抜け漏れといったヒューマンエラーを減らし、同時に作業時間を短縮できる点にある。100台のスイッチへ同じACLを追加するような作業は、手作業では時間がかかるうえ必ずばらつきが生じるが、スクリプトやAnsibleなどの構成管理ツールを使えば全台に一貫した設定を短時間で適用でき、設定内容をコードとしてバージョン管理できる（Infrastructure as Code）。設定の収集・比較、機器の初期投入（ゼロタッチプロビジョニング）、監視アラートを起点とした一次対応なども自動化の対象になる。ただし誤答が示すとおり万能ではなく、①ハードウェア故障や回線障害といった物理的な事象は自動化では防げない、②ハードウェアコストが必ず下がるわけではない、③むしろ設計・実装・保守を担う人材と、自動化の誤りが一斉に全機器へ波及するリスクへの備えが新たに必要になる。

正解: A. A. プログラムから機器の設定や情報取得を自動的に行える

正解の根拠・詳細解説

APIを使ったネットワーク管理では、機器の設定変更や状態取得をプログラムから機械的に実行できる。従来はCLIへ人が接続してコマンドを打ち、返ってきたテキストを目で読むか、書式が変わると壊れやすいスクリプトで無理に解析していたが、APIはJSONやXMLといった構造化データをやり取りするため、解析が安定し他システムとの連携も容易になる。ネットワーク機器で使われる代表的なインタフェースは、HTTPベースのREST API、データモデルにYANGを用いるNETCONF（SSH上で動作）やRESTCONFなど。これにより、監視システムが異常を検知したら自動で設定を変更する、資産管理システムと設定内容を突き合わせる、変更をコードとして記述しレビューを経てから適用する、といった運用が可能になり、効率と一貫性が大きく向上する。実務上は、APIアクセス用のアカウント権限を最小限にし、トークンを安全に管理することが重要。誤答の物理ケーブル不要、暗号化不可、VLAN使用不可はいずれも根拠がない。

正解: A. A. トラブル対応の遅延や誤った変更による障害拡大

正解の根拠・詳細解説

ドキュメントが不十分だと、障害発生時に現在の構成を把握するところから始めなければならず、原因の切り分けに時間がかかって復旧が遅れる。さらに深刻なのは、不正確な情報に基づいて誤った変更を行い、被害を拡大させてしまうケースで、たとえば古い構成図を信じて「使っていないはず」のリンクを抜いた結果、実は現用だった経路を落とすといった事故が典型である。ほかにも、担当者しか知らない設定が属人化してその人の不在時に手が出せない、新任者の立ち上がりが遅い、監査で構成の証跡を示せない、災害復旧時に何をどう再構築すべきか分からない、といった問題が生じる。整備すべきものは、物理・論理のネットワーク図、IPアドレスとVLANの台帳、機器の資産・保守契約情報、配線ラベリング、標準作業手順書（SOP）、エスカレーション連絡先、そして復旧手順である。実効性を保つ鍵は、変更管理の完了条件にドキュメント更新を組み込み、更新されない文書を放置しないことにある。

正解: A. A. 単一の強固な対策だけに依存せず複数層のセキュリティ対策を組み合わせる

正解の根拠・詳細解説

多層防御は、単一の強固な対策に依存せず、性質の異なる複数の防御層を重ねることで、どこか1つが突破されても被害が最終的な資産に到達しないようにする考え方。前提にあるのは「どの対策にもいつか破られる可能性がある」という認識で、攻撃者にすべての層を順に突破させることで、攻撃コストを引き上げると同時に検知の機会を増やす。層の例としては、物理（入退室管理、施錠）、境界（ファイアウォール、IDS/IPS）、ネットワーク内部（VLANによるセグメンテーション、ACL、802.1X）、ホスト（OSのハードニング、EDR、パッチ適用）、アプリケーション（入力検証、WAF）、データ（暗号化、アクセス制御、バックアップ）、そして人（教育、訓練）が挙げられる。誤答が示す「ファイアウォールのみ」「パスワードのみ」「暗号化のみ」といった単層依存は、その1点が破られた瞬間に内部が無防備になるため、境界を越えられた後の横展開を許してしまう。

正解: A. A. 内部ネットワークだからといって自動的に信頼せず、すべてのアクセスを検証する

正解の根拠・詳細解説

ゼロトラストは「決して信頼せず、常に検証する（Never Trust, Always Verify）」を原則とし、社内ネットワークの内側にいるという理由だけでアクセスを信頼せず、すべてのアクセス要求をその都度検証するモデル。従来の境界型防御は、ファイアウォールの内側を安全地帯とみなす前提だったが、クラウド利用やリモートワークで境界が曖昧になり、また一度侵入されると内部を自由に横展開（ラテラルムーブメント）されるという弱点が顕在化したため、この考え方が広まった。実装の柱は、①強力なアイデンティティ検証：多要素認証を前提に、利用者と端末の両方を確認する、②最小権限：職務に必要な範囲だけを許可し、アクセスは時間や条件で限定する、③マイクロセグメンテーション：ネットワークを細かく分割し、内部通信も検査する、④継続的な検証と可視化：一度の認証で永続的に信頼せず、状況（端末の健全性、場所、振る舞い）を都度評価し、すべてのアクセスを記録する。誤答のとおり、外部だけを検証したり永続的に信頼したりするのはゼロトラストではない。

正解: A. A. データが正確で改ざんされていないことを保証する

正解の根拠・詳細解説

CIAトライアドの完全性（Integrity）は、データが不正または偶発的に改変・破壊されておらず、正確で信頼できる状態にあることを保証する性質。守るべき対象は、悪意ある改ざんだけでなく、伝送中のビット誤りやソフトウェア不具合による破損も含む。技術的な担保手段としては、①ハッシュ値（SHA-256など）の比較によるファイル・メッセージの改変検出、②デジタル署名やHMACによる、改ざん検出と送信者の正当性の同時保証、③イーサネットのFCSやIPヘッダのチェックサムといった伝送誤りの検出、④ファイル整合性監視（FIM）による重要ファイルの変更検知、⑤変更管理やアクセス制御による、権限のない更新の抑止が挙げられる。残る2要素との区別が頻出で、機密性（Confidentiality）は「必要な人だけが見られること」で暗号化やアクセス制御が手段、可用性（Availability）は「必要なときに使えること」で冗長化やバックアップ、DDoS対策が手段となる。暗号化は機密性の手段であり、それ自体が完全性の定義ではない点にも注意。

正解: A. A. バッジ認証・施錠・監視カメラによる入退室管理

正解の根拠・詳細解説

物理セキュリティは、サーバールームやデータセンター、配線盤といった設備への物理的な立ち入りを制御する対策で、バッジ（IDカード）認証による入退室管理、扉やラックの施錠、監視カメラによる記録がその代表例。物理的にアクセスされてしまえば、機器のコンソールポートからのパスワードリセット、ストレージの持ち出し、スイッチへの不正機器の接続、単純な電源断による停止など、論理的な対策の多くが無力化されるため、あらゆるセキュリティ対策の土台となる。具体的な手法としては、正規の入室者に続いて許可のない者が入り込むテールゲーティングを防ぐアクセス制御ベスティビュール（マントラップ）、フェンスや照明、警備員、入退室ログの記録と定期的なレビュー、来訪者の受付と同行、機器の資産タグと持ち出し管理などがある。誤答のパスワードポリシー、ファイアウォールルール、VLAN分割はいずれも論理的（技術的）対策であり、物理セキュリティ対策には該当しない。

正解: A. A. 攻撃対象領域（アタックサーフェス）を減らすため

正解の根拠・詳細解説

未使用のポートやサービスを無効化する目的は、攻撃対象領域（アタックサーフェス）、すなわち攻撃者が接触して悪用しうる入口の総量を減らすこと。動いているサービスにはいつ脆弱性が公表されるか分からず、使っていないものほどパッチ適用や監視の対象から漏れがちで、気づかれないまま侵入経路になりやすい。存在しないサービスは攻撃できないというのが最も確実な防御である。ネットワーク機器における具体策としては、①未使用のスイッチポートをシャットダウンし、あわせて未使用VLANへ割り当てて、会議室や空きデスクからの無断接続を防ぐ、②TelnetやHTTP、旧世代のSNMPv1/v2cといった平文の管理プロトコルを停止し、SSHやHTTPS、SNMPv3に限定する、③使っていないCDP/LLDPなどの情報提供機能や、不要なルーティングプロトコルを止める、④既定の管理者アカウントの改名・パスワード変更を行う。これらはハードニング（要塞化）の基本項目であり、誤答の帯域増加やVLAN数、暗号化速度とは無関係である。

正解: A. A. 偽のARP応答を送信し通信を傍受・改ざんする

正解の根拠・詳細解説

ARPスプーフィング（ARPポイズニング）は、攻撃者が偽装したARP応答を送りつけ、被害端末のARPテーブルに「ゲートウェイのIPアドレス＝攻撃者のMACアドレス」という誤った対応を書き込ませる攻撃。ARPには送信元を認証する仕組みがなく、要求していないのに届いた応答（Gratuitous ARP）も受け入れてキャッシュを更新してしまうという、プロトコル自体の設計上の弱点を突いている。汚染が成立すると、被害端末が外部へ送るフレームはすべて攻撃者へ届き、攻撃者がそれを本物のゲートウェイへ転送すれば通信は正常に見えたまま内容を傍受・改ざんできる（中間者攻撃）。転送しなければサービス妨害にもなる。同一ブロードキャストドメイン内でしか成立しない点が重要な特徴で、対策としてはDHCPスヌーピングで作成したバインディングテーブルを基に不正なARPを破棄するダイナミックARPインスペクション（DAI）が有効である。誤答のDNSキャッシュポイズニング、不正DHCPサーバー、証明書偽造はそれぞれ別の攻撃手法。

正解: A. A. 偽の名前解決結果をキャッシュさせ悪意あるサイトへ誘導する

正解の根拠・詳細解説

DNSキャッシュポイズニングは、攻撃者がDNSキャッシュサーバーに偽の名前解決結果を注入し、利用者を本物そっくりの悪意あるサイトへ誘導する攻撃。目的は認証情報の窃取（フィッシング）やマルウェアの配布で、利用者はブラウザに正規のドメイン名を入力しているため異変に気づきにくい点が厄介である。成立の背景には、DNSがUDPベースで応答の正当性を強く検証しない設計であることがあり、攻撃者は正規の権威サーバーより先に、トランザクションIDと問い合わせポートを推測した偽の応答を送り込む。一度キャッシュされるとTTLが切れるまで偽の情報が使われ続け、そのキャッシュサーバーを参照する利用者全員が影響を受ける。対策としては、問い合わせの送信元ポートとトランザクションIDのランダム化、キャッシュサーバーを外部から再帰問い合わせできないよう制限すること、そして応答に電子署名を付けて改ざんを検出するDNSSECの導入が挙げられる。誤答のARPテーブル書き換えはARPスプーフィング、別の攻撃である。

正解: A. A. 悪意あるDNS設定やゲートウェイ情報をクライアントに配布し通信を傍受できる

正解の根拠・詳細解説

ローグDHCP（不正DHCPサーバー）の本質的なリスクは、クライアントに悪意あるネットワーク設定を配布できてしまう点にある。DHCPクライアントは最初に届いたDHCPオファーを採用するため、攻撃者のサーバーが正規サーバーより早く応答すれば、デフォルトゲートウェイやDNSサーバーのアドレスを攻撃者の機器に指定できる。その結果、クライアントの通信はすべて攻撃者を経由することになり、内容の傍受・改ざんや、偽サイトへの誘導が可能になる中間者攻撃が成立する。なお、社員が持ち込んだ家庭用無線ルーターを誤ってLAN側に接続したことによる、悪意のない事故としても頻発し、この場合はIPアドレスの二重配布によって広範囲の通信障害を引き起こす。対策の定番はスイッチのDHCPスヌーピングで、正規のDHCPサーバーがつながるポートだけを信頼ポートとして指定し、それ以外のポートから届いたDHCPオファーやACKを破棄する。誤答の帯域増加、VLAN統合、暗号化強化はいずれも起こらない。

正解: A. A. 正規のAPになりすました不正な無線アクセスポイントを設置し通信を傍受する攻撃

正解の根拠・詳細解説

エビルツインは、正規のアクセスポイントと同じSSID（場合によっては同じ見た目の認証画面）を持つ不正APを設置し、利用者を誤って接続させて通信を傍受する無線LAN特有の攻撃。無線クライアントは通常、同じSSIDのうち電波が強いAPを選ぶため、攻撃者が利用者の近くで強い電波を出すだけで接続を奪える。さらに、正規APに接続中の端末へ偽装した認証解除（Deauth）フレームを送りつけて強制的に切断し、再接続時に自分へ引き寄せる手口も併用される。接続後は、攻撃者が中間者となって平文通信を盗み見たり、偽のキャプティブポータル（Wi-Fi認証画面）を表示して利用者のIDとパスワードを入力させたりする。空港やカフェなど公衆無線LANでの被害が典型的。対策としては、利用者側ではVPNの利用と自動接続設定の無効化、組織側では認証解除フレームの偽装を防ぐPMF（802.11w、WPA3では必須）や、証明書でサーバー側を検証できるWPA2/WPA3-Enterprise、そして不正AP検知の運用が有効である。

正解: A. A. ダブルタギングを利用して異なるVLANへ不正アクセスする

正解の根拠・詳細解説

VLANホッピングは、本来アクセスできないVLANのトラフィックに到達しようとする攻撃で、代表的な手法がダブルタギングである。攻撃者は802.1Qタグを二重に付けたフレームを送出し、最初のスイッチが外側のタグ（トランクのネイティブVLANと同じ値）を剥がして転送すると、対向のスイッチには内側のタグだけが残ったフレームが届き、そのタグが示す別VLANへ配送されてしまう。成立条件は、攻撃者が接続されたアクセスポートのVLANとトランクのネイティブVLANが一致していることで、また一方向のみの攻撃となるため応答は戻らない。もう1つの手法がスイッチスプーフィングで、攻撃端末が自らスイッチを装いDTPでトランクを自動確立させ、全VLANのフレームを受け取るというもの。対策は、①ネイティブVLANを未使用のVLANへ変更し、既定のVLAN 1を使わない、②未使用ポートを無効化して未使用VLANへ割り当てる、③DTPを無効化し、アクセスポートを明示的に固定設定する、である。

正解: A. A. IDSは検知のみ、IPSは検知に加えて自動的にブロックする

正解の根拠・詳細解説

IDSとIPSの決定的な違いは、通信経路に対する設置位置と、検知後に取る行動にある。IDSはスイッチのミラーポート（SPAN）やTAPからトラフィックのコピーを受け取るアウトオブバンド構成で動作し、不正な通信を検知するとアラートやログを出すだけで、通信そのものは止められない。IPSは通信経路上に直列（インライン）で設置され、検知したパケットをその場で破棄・遮断できるため、攻撃が到達する前に防げる。この違いはそのままトレードオフになる。IPSは即座に防御できる反面、誤検知（フォルスポジティブ）が起きると正当な業務通信まで遮断してしまい、また機器自体が単一障害点となって性能上のボトルネックにもなりうる。IDSは業務への影響がなく、まず検知だけを行って挙動を観察するのに向くが、対応は人手に依存する。導入時は、IPSを最初から全面ブロックモードにせず、一定期間は検知のみで運用してシグネチャをチューニングしてからブロックへ移行するのが実務的な進め方である。

正解: A. A. 認証・認可・アカウンティング（AAA）の集中管理

正解の根拠・詳細解説

RADIUS（Remote Authentication Dial-In User Service）は、ネットワークへのアクセスに関するAAA、すなわち認証（Authentication：利用者が本人か）、認可（Authorization：何を許可するか）、アカウンティング（Accounting：いつ誰がどれだけ使ったかの記録）を、集中管理するためのプロトコル。スイッチや無線APといったネットワークアクセスサーバーが利用者の資格情報をRADIUSサーバーへ転送し、サーバーが一元的に判定する構成をとる。これにより、機器1台ごとにアカウントを作る必要がなくなり、既存のディレクトリサービス（Active Directoryなど）と連携して認証基盤を統合できる。用途としては802.1Xによる有線・無線LANの認証、VPNのリモートアクセス認証が代表的で、通信はUDPの1812番（アカウンティングは1813番）を使う。セキュリティ上の注意点として、RADIUSはパケット全体ではなくパスワード部分しか暗号化しないため、EAPやRadSecと組み合わせるか、保護された経路上で使うことが望ましい。誤答の名前解決、IPアドレス割り当て、ファイル転送は別プロトコルの役割。

正解: A. A. TACACS+は認証・認可・アカウンティングを個別に分離して処理できる

正解の根拠・詳細解説

TACACS+はCiscoが開発したAAAプロトコルで、RADIUSとの主な違いは3点。①AAAの分離：TACACS+は認証・認可・アカウンティングを個別のプロセスとして分離して処理できるため、認証は既存のシステムで行い認可だけをTACACS+で細かく制御するといった柔軟な組み合わせができる。RADIUSは認証と認可を一体で扱う。②トランスポート：TACACS+はTCP（ポート49）を使い到達確認ができるのに対し、RADIUSはUDPを使う。③暗号化範囲：TACACS+はパケットのペイロード全体を暗号化するが、RADIUSはパスワード属性のみしか暗号化しない。この特性から、両者は用途で使い分けられる。TACACS+はコマンド単位の認可とその実行ログを取得できるため、ネットワーク機器そのものへの管理者ログイン（デバイスアドミニストレーション）に適する。RADIUSは標準規格で幅広いベンダーが対応しており、802.1Xやリモートアクセスといった利用者のネットワーク接続認証に広く使われる。誤答のとおり、Cisco独自なのはRADIUSではなくTACACS+である。

正解: A. A. SAE（Simultaneous Authentication of Equals）によるより強固なハンドシェイク

正解の根拠・詳細解説

WPA3の中核となる強化点は、事前共有鍵を使うパーソナルモードにおいて、WPA2の4ウェイハンドシェイクをSAE（Simultaneous Authentication of Equals、Dragonflyハンドシェイク）に置き換えたこと。WPA2ではハンドシェイクを一度キャプチャすれば、あとはオフラインで無制限にパスワード候補を試す辞書攻撃が可能で、単純なパスフレーズは容易に破られていた。SAEは鍵交換の過程でパスワードそのものを検証可能な形で送らず、各試行に相手とのやり取りを必要とするため、オフラインでの総当たりが成立せず、弱いパスワードでも解読の難易度が大幅に上がる。さらに前方秘匿性（Forward Secrecy）を備えており、将来パスワードが漏れても過去に記録された通信は復号できない。あわせて、管理フレームの保護（PMF／802.11w）が必須化されて認証解除フレームの偽装攻撃に耐性を持ち、認証なしの公衆無線LAN向けには通信を暗号化するEnhanced Open（OWE）が用意された。誤答のとおり、暗号化の廃止やパスワード不要化ではない。

正解: A. A. 802.1X/RADIUSを用いて個別のユーザー認証を行う

正解の根拠・詳細解説

エンタープライズモード（WPA2/WPA3-Enterprise）は802.1XとRADIUSサーバーを用い、利用者ごと・端末ごとに個別の資格情報で認証する。パーソナルモード（PSK）が全端末で同一の事前共有鍵を共有するのに対し、この差から運用面で大きな違いが生まれる。①退職者や紛失端末が出た場合、該当アカウントを無効化するだけでよく、PSKのように全端末のパスワード変更を強いられない、②誰がいつ接続したかをアカウンティングで個別に記録できるため、追跡と監査が可能、③認証結果に応じてユーザーやグループごとに動的なVLAN割り当てやアクセス制御ができる、④暗号鍵が接続ごと・利用者ごとに異なるため、鍵を知る他の利用者に通信を復号される恐れがない。認証にEAP-TLSを使えばクライアント証明書による強固な認証となり、あわせてサーバー証明書を検証することで偽のAP（エビルツイン）に資格情報を渡してしまう事故も防げる。誤答のとおり、暗号化しないわけでもSSIDを使わないわけでもない。

正解: A. A. 外部公開サーバーを内部ネットワークから分離し被害拡大を防ぐ

正解の根拠・詳細解説

DMZ（スクリーンドサブネット）は、Webサーバーやメールサーバー、DNSといった外部に公開する必要のあるサーバーを、内部LANとは分離した専用のセグメントに配置する構成。公開サーバーは不特定多数からのアクセスを受け付ける以上、脆弱性を突かれて侵害される可能性が相対的に高いため、あらかじめ内部と切り離しておき、万一侵害されても内部ネットワークへ横展開されないようにするのが目的である。設計の要点はファイアウォールのルールで、①外部→DMZ：必要な公開ポート（HTTPSなど）のみ許可、②DMZ→内部：原則拒否し、どうしても必要なもの（アプリケーションサーバーから内部DBへの特定ポートなど）だけを限定的に許可、③内部→DMZ：管理用途などに限定、という非対称な制御を行う。特に②を絞ることが被害の封じ込めに直結する。実装形態としては、1台のファイアウォールの第3のインタフェースをDMZにする方式と、外側と内側に2台のファイアウォールを置いてその間をDMZとする方式がある。

正解: A. A. 従業員へのセキュリティ教育・意識向上

正解の根拠・詳細解説

ソーシャルエンジニアリングは、技術的な脆弱性ではなく人の心理や習慣の隙を突く攻撃であるため、ファイアウォールや暗号化といった技術的対策だけでは防ぎきれない。フィッシングメールのリンクを本人が自らクリックし、正規の手順で認証情報を入力してしまえば、システムから見れば正当なアクセスにしか見えないからである。したがって、最終的な判断を行う従業員の教育と意識向上が最も重要な対策となる。具体的には、不審なメールの見分け方（差出人ドメインの確認、緊急性や恐怖を煽る文面、不自然なリンク先）、電話やSMSでの本人確認手順の徹底、身元不明の来訪者への対応、実際の模擬フィッシング訓練の実施、そして「怪しいと思ったら報告してよい」という報告しやすい文化の醸成が挙げられる。もっとも教育だけに頼るのも危険で、多要素認証やメールフィルタリング、権限の最小化といった技術的対策を組み合わせ、人が一度間違えても被害が拡大しない多層防御にしておくことが実務では重要になる。

正解: A. A. 問題を特定する（Identify the problem）

正解の根拠・詳細解説

CompTIAが定めるトラブルシューティング方法論は7ステップで、その最初は「問題を特定する（Identify the problem）」。全体の流れは、①問題の特定、②推定原因の理論を確立する、③理論をテストして原因を確定する、④解決計画を立てる、⑤解決策を実施するかエスカレーションする、⑥システム全体の動作を検証し、必要なら再発防止策を講じる、⑦発見事項・対応・結果を文書化する、となる。第1ステップで行う作業は、利用者への聞き取り（いつから、誰が、何ができないのか）、症状の切り分け、直近に何か変更がなかったかの確認、可能なら問題の再現、そして複数の問題が混在している場合はそれぞれを個別に扱うこと。ここを飛ばして思い込みで機器を再起動したり設定を変えたりすると、症状が隠れて原因が分からなくなり、かえって復旧が遅れる。誤答にある解決策の実装は⑤、動作検証は⑥、文書化は⑦であり、いずれも後半のステップにあたる。

正解: C. C. 発見事項を文書化する

正解の根拠・詳細解説

CompTIAのトラブルシューティング方法論7ステップの最後は「発見事項・対応・結果の文書化」である。復旧して通信が戻った時点で作業を終わらせてしまいがちだが、記録を残さなければその対応は個人の経験にとどまり、組織の資産にならない。文書化すべき内容は、発生日時と影響範囲、報告された症状、切り分けの過程で確認した事実、特定した根本原因、実施した対応内容、動作検証の結果、そして再発防止のために必要な恒久対策や残課題である。これが蓄積されることで、①同じ症状が再発した際に過去の記録を参照して即座に対処できる、②繰り返し発生している問題を発見し、根本的な設計改善につなげられる、③対応内容が構成変更を伴う場合、ネットワーク図や構成管理情報の更新に反映できる、④監査や報告の証跡になる、といった効果が得られる。誤答の「理論を確立する」は第2ステップ、「解決策を計画する」は第4ステップ、「問題を特定する」は第1ステップにあたる。

正解: A. A. 理論をテストして原因を確認する

正解の根拠・詳細解説

「推定原因の理論を確立する（Establish a theory of probable cause）」の次に行うのは、「理論をテストして原因を確定する（Test the theory to determine cause）」ステップである。仮説を立てただけで正しいと決めつけて対処に進むと、見当違いの変更を加えて状況を悪化させたり、真の原因を見逃したまま問題を再発させたりする。そのため、実際に検証して仮説の正否を確かめる工程が必ず挟まる。たとえば「ケーブル不良ではないか」と考えたなら別のケーブルに交換して症状が消えるかを見る、「DNSの問題ではないか」と考えたならIPアドレス直接指定で通信できるかを試す、といった具合である。ここで理論が誤りだと分かった場合は、新しい理論を立て直して再びテストするか、自分の権限や知識の範囲を超えると判断した時点でエスカレーションする。理論が確認できて初めて、第4ステップの解決計画の策定へ進む。誤答の文書化は第7ステップ、機器の再起動は検証や解決策の一手段にすぎず、方法論上のステップではない。

正解: A. A. 隣接するケーブル間での電磁的な信号干渉

正解の根拠・詳細解説

クロストークは、隣接する銅線のペア間で電磁誘導により信号が漏れ込み、互いにノイズとなって干渉する現象。ある線対を流れる電流が周囲に磁界を作り、それが隣の線対に誘導起電力を生じさせることが原因で、周波数が高いほど影響が大きくなる。UTPケーブルが線を対で撚ってあるのはこの対策で、撚りによって誘導の向きが交互に打ち消し合い、さらにペアごとに撚りのピッチを変えることで相互干渉を抑えている。実務で最も多い原因は施工品質にあり、コネクタやパッチパネルへの成端時に撚りをほどきすぎる（一般に13mm以内に収める）とその区間で打ち消し効果が失われ、クロストークが急増する。種類としては、送信端側で測るNEXT（近端漏話）、対向端で測るFEXT（遠端漏話）、そして隣接する別ケーブルからの影響であるエイリアンクロストークがあり、最後のものは10GBASE-Tで特に問題となる。誤答の光ファイバの汚れは光の減衰要因であり、光ファイバは電磁誘導を受けないためクロストークとは無縁である。

正解: A. A. ケーブル長が規定（例：UTPで100m）を超えることによる信号強度の低下

正解の根拠・詳細解説

減衰（Attenuation、挿入損失）は、信号がケーブルを進むにつれて導体の抵抗や誘電体での損失によりエネルギーを失い、強度が低下する現象。距離が長いほど、また周波数が高いほど大きくなる。受信側で信号がノイズに埋もれる水準まで弱まると、ビット誤りや再送が増えて速度が落ち、最終的にはリンクが確立しなくなる。このためツイストペアケーブルによるイーサネットには100mという最大長が規格で定められており（パッチコードを含む全長）、これを超える施工が典型的な原因となる。ほかにも、規格外の粗悪なケーブル、コネクタや中継点での接触不良、極端な低温・高温といった環境も損失を増やす。対策としては、途中にスイッチやリピーターを挟んで信号を再生する、あるいは減衰の小さい光ファイバへ置き換えて長距離を確保する方法がある。症状として現れる「距離の遠い島だけ通信が不安定」といった申告では、まず配線長を疑うのが定石である。誤答のIPアドレス重複やVLAN設定はL2/L3の論理的問題で、物理層の減衰とは無関係。

正解: A. A. リンクは確立するがクロストークが増加し通信品質が低下する

正解の根拠・詳細解説

スプリットペアは、両端のピン番号の対応（ワイヤマップ）としては正しく見えるものの、本来1つの撚り対にすべき2本を別々のペアから取ってしまう配線ミス。導通は取れているためケーブルテスターの単純な導通試験やワイヤマップ試験では正常と判定されやすく、リンクも確立してしまう点が厄介である。しかし、信号を送る2本が撚られていないため、差動伝送によるノイズ打ち消しとクロストーク抑制の効果が失われ、NEXT（近端漏話）が大幅に悪化する。その結果、通信自体はできるがエラーと再送が多発し、速度低下や断続的な切断として現れる。低速な10BASE-Tや100BASE-TXでは問題が表面化せず、全4対を使う1000BASE-T以上に切り替えた途端に不安定になる、という形で発覚することが多い。検出にはNEXTを測定できる認証テスターが必要で、単純な導通チェッカーでは見つけられない。誤答のとおり、リンクが完全に確立しなくなるわけではなく、暗号化やVLANとも無関係である。

正解: A. A. ケーブルの断線位置や長さを特定する

正解の根拠・詳細解説

TDR（Time Domain Reflectometer、時間領域反射計）は、銅線ケーブルにパルス信号を送出し、インピーダンスが変化する箇所で返ってくる反射波を解析する測定器。信号の伝搬速度が既知であるため、送出から反射が戻るまでの時間からその地点までの距離を算出でき、断線やショート、コネクタの接触不良、規格外の分岐といった障害がケーブルのどのあたりにあるかを特定できる。壁内や天井裏、地中に敷設されたケーブルでは目視で確認できないため、掘り返したり天井を開けたりする前に問題箇所を絞り込めることの価値が大きい。あわせてケーブルの実長も測定できるので、100m制限を超えていないかの確認にも使える。反射の極性や波形から、開放（断線）か短絡かといった障害の種類も判別できる。光ファイバに対しては同じ原理を光で行うOTDRを使う。誤答の無線電波強度の測定はWi-Fiアナライザーやスペクトラムアナライザーの役割で、DNSやVLANの確認とは分野が異なる。

正解: A. A. 光ファイバケーブルの障害箇所特定や減衰測定

正解の根拠・詳細解説

OTDR（Optical Time Domain Reflectometer、光時間領域反射計）は、光ファイバに光パルスを入射し、途中で生じる後方散乱光と、接続点や破断面からの反射（フレネル反射）を時間軸で解析する測定器。これにより、ファイバのどの地点で何が起きているかを距離付きで可視化でき、断線位置の特定、融着接続点やコネクタ部分の接続損失の測定、曲げすぎ（マクロベンド）による損失箇所の発見、ケーブル全長の確認が行える。長距離の光ファイバでは目視点検が不可能なため、障害区間を数メートル単位で絞り込めることが復旧時間の短縮に直結する。混同しやすい測定器として光パワーメーターと光源の組み合わせがあり、こちらは区間全体の総損失（減衰量）を測るには適するが、損失がどこで起きているかまでは分からない。銅線ケーブルに対する同等の機器がTDRであり、誤答のとおりOTDRは銅線には使えない。無線チャネル確認やDHCPスコープ確認とも用途が異なる。

正解: A. A. Bluetooth機器や電子レンジなど同じ周波数帯を使用する機器

正解の根拠・詳細解説

無線LANの電波干渉で一般的な原因は、同じ周波数帯を使う他の機器である。特に2.4GHz帯はISMバンドとして開放されており、Bluetooth機器、電子レンジ、コードレス電話、ワイヤレスカメラ、無線マウス・キーボードなどが同居しているうえ、20MHz幅では互いに重ならないチャネルが1・6・11の3つしか取れないため、近隣のAPとも競合しやすい。電子レンジのように広い帯域を占有するノイズ源が近くにあると、その稼働中だけ通信が極端に遅くなるという分かりにくい症状になる。干渉が起きるとフレームの衝突や再送が増え、スループット低下、遅延の増大、接続の断続として現れる。切り分けと対策の手順としては、まずWi-Fiアナライザーで周囲のAPとチャネル利用状況を確認し、他機器由来のノイズが疑われる場合はスペクトラムアナライザーで非Wi-Fi電波を確認する。そのうえでチャネルの再設計、チャネル幅を20MHzに抑える、干渉源から距離を取る、チャネル数の多い5GHz帯へ端末を誘導するといった対応を取る。

正解: A. A. チャンネル干渉（隣接チャンネル干渉）によるスループット低下

正解の根拠・詳細解説

隣接して設置されたAPが同一または近接（部分的に重なる）チャネルを使うと干渉が起こり、再送の増加によってスループットが低下する。2つの現象を区別しておきたい。①同一チャネル干渉（コチャネル干渉）：同じチャネルを使うAPと端末はCSMA/CAによって電波を譲り合うため、フレームは壊れないが1つのチャネルの時間を全員で分け合うことになり、1台あたりの実効速度が下がる。②近接（重複）チャネル干渉：チャネル1と3のように周波数が部分的に重なる場合、互いの信号は復号できないただのノイズとして届き、フレームが破損して再送が発生するため、同一チャネルよりむしろ品質が悪化しやすい。このため2.4GHz帯では、20MHz幅で完全に重ならない1・6・11の3チャネルだけを使い分けるのが原則となる。設計上は、隣り合うAPに異なるチャネルを割り当て、送信出力を過度に上げないことが重要で、出力を上げすぎるとセル同士が重なって干渉範囲を広げてしまう。誤答の暗号化解除やVLANタグ消失は起こらない。

正解: A. A. 両方の端末で通信が不安定になったり接続できなくなったりする

正解の根拠・詳細解説

同一のIPアドレスを持つ端末がネットワーク上に複数存在すると、両方の端末で通信が不安定になったり、断続的に接続できなくなったりする。原因はARPによるアドレス解決の競合にある。他の端末やルータがそのIP宛にARP要求を出すと2台とも応答してしまい、ARPキャッシュに記録されるMACアドレスがそのときどきで入れ替わるため、パケットが意図しない側の端末へ届いて通信が成立しない。どちらか一方だけが完全に不通になるのではなく、両者が交互に不安定になるのが特徴的な症状である。多くのOSは自分のIPを使い始める際に重複検知用のARP（Gratuitous ARP）を送出し、応答があれば「IPアドレスの競合が検出されました」といった警告を表示するため、これが発見の手がかりになる。実務で最も多い原因は、DHCPの配布範囲内のアドレスを手動で固定設定してしまうケースで、対策としては静的割り当て用のアドレスをDHCPスコープの除外範囲にする、あるいはDHCP予約で管理する運用が確実である。

正解: A. A. 同一セグメント内の通信は可能だが外部ネットワークへ到達できない

正解の根拠・詳細解説

デフォルトゲートウェイの設定が誤っていると、同一セグメント内の端末とは問題なく通信できるのに、他のネットワークやインターネットへまったく到達できないという症状が出る。これは端末の送信処理の仕組みから説明できる。端末は宛先IPと自分のIPをサブネットマスクで比較し、同一サブネット内であればARPで相手のMACアドレスを直接解決して送るため、ゲートウェイの設定は一切関与しない。一方、サブネット外の宛先については、ゲートウェイのMACアドレス宛にフレームを送って中継を委ねるため、ゲートウェイのアドレスが誤っていたり未設定だったりすると、そもそもパケットを外へ送り出せない。切り分けの手順としては、①同一セグメント内の端末へping（成功する）、②自分のデフォルトゲートウェイへping（失敗するか、そもそもARPが解決できない）、③ipconfig/ifconfigで設定値を確認、という流れで素早く特定できる。誤答のとおり、全通信が不能になるわけでも、DNSだけが失敗するわけでもない。

正解: A. A. 同一ネットワークのはずの端末同士で通信できなくなる、または誤ったセグメント判定が起こる

正解の根拠・詳細解説

サブネットマスクはIPアドレスのどこまでがネットワーク部でどこからがホスト部かを決める値なので、これを誤ると端末は「宛先が自分と同じネットワークにあるかどうか」の判定を誤る。同一ネットワークだと判断すればARPで直接届けようとし、別ネットワークだと判断すればデフォルトゲートウェイへ送るため、判定を誤った時点で通信経路が破綻する。特徴的なのが、両端でマスクが食い違ったときに起こる片方向だけの障害である。たとえばAが/24、Bが/16と設定されていると、Bから見てAは同一ネットワークなので直接ARPを送るが、Aから見てBは別ネットワークなのでゲートウェイへ返してしまい、経路が噛み合わず通信が成立しないか、非常に分かりにくい断続的な症状になる。また、マスクを広く取りすぎると本来別セグメントの端末を同一とみなしてゲートウェイを経由せず、狭く取りすぎると同一セグメントの端末にも無駄にゲートウェイを経由しようとする。切り分けでは、通信できない相手のアドレスと自分のマスクを突き合わせるのが基本となる。

正解: A. A. IPアドレスでの接続は可能だがドメイン名でのアクセスができない

正解の根拠・詳細解説

DNSの設定ミスや障害では、「IPアドレスを直接指定すれば通信できるが、ドメイン名ではアクセスできない」という切り分けやすい症状が出る。ネットワークの経路自体は正常で、名前からIPアドレスへの変換だけが失敗しているためである。利用者からは「インターネットにつながらない」と報告されることが多いが、8.8.8.8など数値のアドレスへpingが通り、www.example.comへのpingが「ホストが見つかりません」で失敗すれば、DNSに問題を絞り込める。確認手順としては、①端末に設定されているDNSサーバーのアドレスをipconfig /allなどで確認、②そのDNSサーバーへpingで到達できるか、③nslookupやdigで直接問い合わせて応答が返るか、④別のDNSサーバーを指定して解決できるか、と進める。原因は、DHCPで配布されるDNSサーバーアドレスの誤り、DNSサーバー自体の停止、レコードの記述ミスやTTL切れ、古いキャッシュの残存など。誤答の物理リンク断やVLANタグ消失であれば、IPアドレス指定の通信も失敗するはずなので区別できる。

正解: A. A. 新しい端末がIPアドレスを取得できずネットワークに接続できなくなる

正解の根拠・詳細解説

DHCPスコープのアドレスが枯渇すると、新しく接続した端末はDHCPサーバーから割り当てを受けられず、IPアドレスを取得できないためネットワークに参加できない。WindowsなどのOSでは、この場合169.254.x.xというAPIPA（自動プライベートIPアドレッシング）のアドレスが自動設定されるため、「IPアドレスが169.254で始まっている」ことが枯渇やDHCP到達不能を示す典型的な手がかりになる。重要な特徴として、既にリースを受けている端末は期限まで通信を続けられるので、症状は新規接続の端末だけに現れる。原因としては、①会議室やゲスト用ネットワークで一時的に端末が急増した、②リース期間が長すぎて、既に立ち去った端末のアドレスが解放されずに滞留している、③そもそもスコープの範囲設計が実際の端末数に対して小さい、④不正なDHCPサーバーや攻撃（DHCPスタベーション）によるアドレスの大量取得、が挙げられる。対策はリース期間の短縮、スコープ範囲の拡大やサブネットの再設計となる。

正解: A. A. 経路情報の誤設定により複数のルーター間でパケットが循環し続ける

正解の根拠・詳細解説

ルーティングループは、経路情報の誤設定や矛盾により、複数のルータの間でパケットが同じ区間を行き来し続けてしまう状態。たとえばルータAが宛先Xへの次ホップをB、BがXへの次ホップをAと認識していると、パケットは両者の間を往復し続ける。IPヘッダのTTLが各ルータの通過ごとに1ずつ減り、0になった時点で破棄されるため無限には回らないが、それまでの間は帯域とCPUを浪費し、周囲の通信にも影響する。発見の手がかりはtracerouteで、同じルータのアドレスが繰り返し現れたあと宛先に到達せず終わるという特徴的な出力になる。発生原因は、静的経路の設定ミス（互いを次ホップに指定する、経路の再配布による循環）や、距離ベクター型プロトコルにおける収束途中の不整合が代表的。距離ベクター型では対策として、学習した経路をその方向へ広告し返さないスプリットホライズン、切れた経路を無限大メトリックで広告するルートポイズニング、一定時間更新を受け付けないホールドダウンタイマーといった仕組みが備わっている。誤答のケーブル断線やIP重複は別の障害。

正解: A. A. ステートフルファイアウォールが戻りパケットを正規の通信と認識できず破棄してしまう場合

正解の根拠・詳細解説

非対称ルーティングは、行きと戻りで異なる経路を通る状態で、それ自体は複数の出口を持つ冗長構成では珍しくなく、パケットが届くだけなら問題は起きない。問題になるのはステートフルファイアウォールが経路上に存在する場合である。ステートフルファイアウォールは通過した通信のセッション情報（送信元・宛先・ポート・状態）をテーブルに記録し、その戻りパケットだけを自動許可する仕組みで動く。ところが戻りパケットが別の経路を通って別のファイアウォールに届くと、そちらのセッションテーブルには対応する記録が存在しないため、TCPのハンドシェイク途中から始まる不正なパケットとみなして破棄してしまう。結果として、pingは通るのにTCP接続が確立しない、特定の宛先とだけ通信できないといった、切り分けの難しい症状になる。対策としては、経路を対称になるよう設計する、ファイアウォールをクラスタ化してセッション情報を同期させる、あるいは該当セッションだけ状態チェックを緩めるといった方法が取られる。負荷分散やIPS、NATを行う機器でも同種の問題が起こる。

正解: A. A. 大きなパケットが分割（フラグメンテーション）されたり破棄されたりして通信エラーが起こる

正解の根拠・詳細解説

MTU（最大転送単位）は1回のフレームで運べるペイロードの最大サイズで、イーサネットでは通常1500バイト。経路上にこれより小さいMTUの区間があると、①ルータがパケットを分割（フラグメンテーション）して転送するため、処理負荷と再構成のオーバーヘッドが増え、1つの断片が失われると全体を再送する羽目になる、②IPヘッダのDF（Don't Fragment）ビットが立っている場合は分割できないためパケットが破棄される、という問題が起きる。本来はパス最大MTU探索（PMTUD）が働き、ルータが「フラグメント化が必要」というICMPエラー（Type 3 Code 4）を返して送信側がサイズを下げるが、途中のファイアウォールがICMPを一律遮断しているとこの通知が届かず、送信側は延々と大きなパケットを送り続けて通信が固まる。これがブラックホール化と呼ばれる状態である。典型的な症状は「pingは通り、Webページの表示も始まるが、大きなデータ転送やHTTPS接続の途中で停止する」というもの。GREやIPsecのトンネルはヘッダの分だけ実効MTUが小さくなるため、この問題が起きやすい。

正解: A. A. 宛先ホストへの到達性と応答時間（RTT）を確認する

正解の根拠・詳細解説

pingはICMPのエコー要求（Type 8）を送り、エコー応答（Type 0）が返るかどうかで宛先への到達性を確認する、最も基本的な疎通確認コマンド。あわせて往復にかかった時間（RTT）が表示されるため遅延の目安になり、複数回の実行結果から応答時間のばらつきやパケットロスの有無も読み取れる。返ってくるTTL値からおおよそのホップ数を推測することもできる。切り分けでは段階的に使うのが定石で、①ループバック（127.0.0.1）でTCP/IPスタック自体の動作、②自分のIPアドレス、③デフォルトゲートウェイでセグメント内の疎通、④外部のIPアドレスで経路、⑤ドメイン名でDNSまで含めた確認、と順に範囲を広げていく。重要な注意点として、多くのサーバーやファイアウォールはセキュリティ上ICMPを遮断しているため、pingが返らないことはホストの停止を必ずしも意味しない。その場合はTCPポートへの接続確認など別の手段で判断する。誤答のルーティングテーブル表示はroute/netstat -r、DNS照会はnslookup/digの役割。

正解: A. A. 宛先までの経路上の各ホップを特定し遅延箇所を調べる

正解の根拠・詳細解説

tracerouteは、宛先までの経路上にある各ルータ（ホップ）を順に洗い出し、それぞれの応答時間を表示するコマンド。仕組みは巧妙で、TTLを1、2、3……と1ずつ増やしながらパケットを送り、TTLが0になったルータが返す「時間超過」のICMPエラーメッセージから、その地点のルータのアドレスを知るというもの。これにより、通信がどこまで到達しているのか、どのホップから急に遅延が跳ね上がるのかが分かり、障害やボトルネックが自組織内にあるのかISP側にあるのかを切り分けられる。実装差もあり、Windowsのtracertは既定でICMPエコー要求を使うのに対し、UNIX系のtracerouteは既定でUDPを使うため、経路上のフィルタリング方針によって結果が変わることがある。読み方の注意点として、途中のホップが「*」で応答しなくてもICMPを返さない設定なだけのことが多く、その先が正常に続いていれば問題ではない。また特定ホップだけ応答が遅い場合も、そのルータがICMP応答を後回しにしているだけで転送性能に問題がないケースがある。

正解: A. A. DNSレコードの照会・名前解決のトラブルシューティング

正解の根拠・詳細解説

nslookupとdigはDNSサーバーへ直接問い合わせを行い、名前解決の動作確認やトラブルシューティングに使うコマンド。単に名前からIPアドレスを引くだけでなく、レコード種別を指定してA/AAAA（ホストのIP）、MX（メールサーバー）、NS（権威ネームサーバー）、CNAME（別名）、TXT（SPFやDKIMなどの検証情報）、SOA（ゾーンの管理情報）、PTR（逆引き）を個別に照会できる。さらに問い合わせ先のDNSサーバーを指定できるため、社内DNSと外部の公開DNS（8.8.8.8など）で結果を比較し、「社内のキャッシュが古いのか、権威サーバー側の設定が誤っているのか」を切り分けられる点が実務では重要になる。digはより詳細な出力を返し、応答のTTLやフラグ、権威応答かキャッシュ応答かまで確認できるため、DNS変更の反映状況を追う場面で有用。誤答のルーティングテーブル表示はroute print、ARPテーブル表示はarp -a、ポートスキャンはnmapといった別のツールが担当する。

正解: A. A. IPアドレスとMACアドレスの対応表（ARPキャッシュ）

正解の根拠・詳細解説

arp -aは、その端末が保持しているARPキャッシュ、すなわちIPアドレスとMACアドレスの対応表を表示するコマンド。端末は同一セグメント内の相手へフレームを送る際にARPでMACアドレスを解決し、その結果を一定時間キャッシュして問い合わせを繰り返さないようにしている。このキャッシュを見ることで、①デフォルトゲートウェイのMACアドレスが正しく解決できているか、②同じMACアドレスが複数のIPに紐づいていないか（ARPスプーフィングやIPアドレス重複の兆候）、③相手のNICのベンダーをMACアドレスの先頭3バイト（OUI）から推測する、といった調査ができる。同一セグメント内の相手と通信できない場合に、そもそもARP解決ができていない（エントリが「不完全」になっている）のか、解決はできているが上位で弾かれているのかを区別できる点が切り分けに効く。誤答の整理：DNSキャッシュはipconfig /displaydns、ルーティングテーブルはroute printやnetstat -r、アクティブなTCP接続一覧はnetstatで確認する。

正解: A. A. アクティブな接続やリスニングポートの一覧

正解の根拠・詳細解説

netstatは端末上のネットワーク接続の状態を表示するコマンドで、代表的な用途はアクティブなTCP/UDP接続の一覧と、待ち受け（LISTENING）中のポートの確認。ローカルアドレスと外部アドレス、ポート番号、TCPの状態（LISTENING、ESTABLISHED、TIME_WAIT、SYN_SENTなど）が表示され、Windowsでは-anoオプションでプロセスID（PID）まで、Linuxでは-pで対応するプロセス名まで併せて確認できる。実務での使いどころは、①サービスが期待どおりポートを開いているかの確認、②「ポートが既に使用中」でアプリが起動しない場合の占有元プロセスの特定、③想定外の外部アドレスへの接続がないかというセキュリティ調査、④SYN_SENTのまま滞留していればファイアウォールで遮断されている疑い、といった具合に、疎通の可否だけでなくどの段階で止まっているかを判断できる点にある。近年のLinuxではより高速なssコマンドが後継として推奨されている。誤答のケーブル断線位置はTDR、電波強度はWi-Fiアナライザーの領域。

正解: A. A. プロトコルレベルでの詳細な通信内容を解析し問題の根本原因を特定したい場合

正解の根拠・詳細解説

パケットキャプチャは、実際にやり取りされているパケットをそのまま取得してプロトコルレベルで解析できるため、他のツールでは原因が突き止められない複雑な問題の根本原因調査に用いる。pingやtracerouteは「届いているか」しか分からないが、キャプチャなら、TCPの3ウェイハンドシェイクがどの段階で止まっているか、どちら側がRSTを送って切断しているか、再送やゼロウィンドウが多発していないか、DHCPのDORAシーケンスがどこで途切れているか、TLSハンドシェイクが証明書のどの段階で失敗しているかまで確認できる。そのため「サーバー側の問題かネットワーク側の問題か」という切り分けを、推測ではなく実際のパケットという証拠で決着させられる。一方で、取得したデータ量が膨大になり解析にも相応の知識と時間を要するため、誤答が示すような単純な到達性確認にわざわざ使うのは非効率であり、まずping・traceroute・機器のログといった軽い手段で範囲を絞ってから使うのが正しい順序である。他ホストの通信を取得するにはポートミラーリングやTAPが必要になる点も押さえたい。

正解: A. A. ケーブルの劣化・コネクタの緩み・無線干渉・電源の不安定さなど複数の要因

正解の根拠・詳細解説

間欠的な接続断は、常時不通の障害と違って再現性が低く、原因を1つに絞り込みにくい。したがって物理層から順に、複数の要因を体系的に確認していく必要がある。確認すべき代表的な項目は、①ケーブルとコネクタ：被覆の劣化や折れ、RJ45のツメ折れによる緩み、パッチパネルでの半挿し、動作中の振動や人の出入りによる接触変動、②配線環境：蛍光灯や動力線に近接した経路によるEMI（電磁干渉）、規格上限に近い配線長、③無線：他機器やAPとの電波干渉、電子レンジ稼働時のみの症状、電波が弱い場所でのローミング失敗、④電源：PoE給電の容量不足、電源やUPSの不安定さによる機器の再起動、⑤機器側：スピード／デュプレックスのオートネゴシエーション不整合、機器の熱による不安定化、ソフトウェア不具合、⑥論理的要因：IPアドレスの重複やDHCPリースの競合。切り分けの鍵は、症状が出た時刻とそのときの状況を記録し、インタフェースのエラーカウンタやログの推移と突き合わせて相関を探すことである。

正解: A. A. 帯域使用率・エラー率・遅延・パケットロス率などの複数の指標

正解の根拠・詳細解説

ネットワーク全体の速度低下は原因が多岐にわたるため、単一の値ではなく複数の指標を組み合わせて確認する必要がある。見るべき代表的な指標は、①帯域使用率：どのリンクが飽和しているか。特にアップリンクやWAN回線がボトルネックになりやすく、NetFlowを併用すればどの端末・アプリケーションが帯域を消費しているかまで特定できる、②インタフェースのエラーカウンタ：CRCエラーやコリジョン、廃棄カウンタの増加は、ケーブル不良やデュプレックス不整合といった物理層の問題を示す、③遅延（RTT）とジッタ：経路上のどこで遅延が増えているかはtracerouteやpingで追える、④パケットロス率：わずかな損失でもTCPの再送と輻輳制御によって実効スループットは大きく落ちる、⑤機器のCPU・メモリ使用率：転送性能の頭打ちやプロセススイッチングの発生を示す。加えて重要なのが平常時のベースラインとの比較で、基準値がなければ現在の数値が異常かどうかを判断できない。誤答のパスワード強度やSSID名、VLAN名は性能とは無関係。

正解: A. A. ケーブルの接続状態とポートの有効化状態

正解の根拠・詳細解説

リンクライトが点灯しないのは物理層でリンクが確立していないことを示すため、まずケーブルの接続状態とポートの有効化状態という基本を確認する。具体的には、①両端のコネクタが奥まで挿さりツメがかかっているか、パッチパネル側も含めて正しいポートに接続されているか、②ケーブルの断線や折れ、ツメ折れによる緩みがないか（別の既知の良品ケーブルに交換して切り分けるのが最も速い）、③スイッチポートが管理者によって無効化（shutdown）されていないか、④別の正常なポートに挿し替えてリンクするか、⑤端末側のNICが無効化されていないか、⑥速度／デュプレックスが両端で固定設定され食い違っていないか、⑦PoE給電機器なら給電が足りているか、といった順に確認する。OSI参照モデルの下位層から上に切り分けるボトムアップ・アプローチの典型例であり、物理層が上がっていない段階でIPアドレスやDNS、ルーティングを調べても無意味である。誤答のDNS設定やVLANタグ、ルーティングテーブルはいずれも上位層の話で、リンクが確立してから確認する項目にあたる。

正解: A. A. DNSのリダイレクト設定やブラウザのキャッシュ・証明書信頼設定の問題

正解の根拠・詳細解説

キャプティブポータルは、未認証の端末からのHTTPアクセスを認証ページへ強制的に誘導する仕組みで、DNSのリダイレクト（すべての名前解決を認証装置のアドレスへ返す）とHTTPのリダイレクトに依存している。そのため、DNS側やブラウザ側の要因で画面が出ないという問題が起きやすい。典型的な原因は、①端末が固定のDNSサーバーやDoH（DNS over HTTPS）を使う設定になっており、ポータル側のDNSリダイレクトが効かない、②ブラウザのキャッシュやHSTSの記録により、最初にアクセスしたサイトが強制的にHTTPSになり、暗号化された通信は途中で書き換えられないため誘導が成立しない（この際に証明書エラーだけが表示されることもある）、③ポータルが提示する証明書を端末が信頼していない、④OSが自動判定に使う接続確認用URLへの通信が遮断されている、といったもの。対処としては、ブラウザのキャッシュ削除、HTTPのサイト（またはOSが案内する接続確認ページ）へのアクセス、DNS設定を自動取得に戻す、別ブラウザやシークレットウィンドウでの再試行が有効である。誤答の断線やVLANタグ欠落なら、そもそもIPアドレスの取得段階で失敗する。

正解: A. A. 修正が問題を解決し、かつ新たな問題を引き起こしていないことを確認するため

正解の根拠・詳細解説

CompTIAのトラブルシューティング手法では、原因を特定して対策を実施したあとに「全体動作の検証」というステップが置かれている。これは、実施した修正が報告された症状を実際に解消したかを確認すると同時に、その変更が他の機能に副作用を生んでいないかを確かめるためである。ネットワーク機器の設定変更は影響範囲が広く、たとえばVLANやルーティング、ファイアウォールのルールを1か所直したことで、別のセグメントの通信や他サービスへの到達性が失われることがある。利用者が申告した箇所だけを見て完了と判断すると、こうした二次障害が後日まったく別のインシデントとして表面化し、原因の切り分けがかえって難しくなる。そのため、関連するサービスや通信経路まで含めて通しで動作を確認し、必要に応じて再発防止策を適用したうえで、最後に対応内容と結果を文書化する流れになっている。文書化を省略するための工程ではなく、次の障害を予測することを目的とした工程でもない点に注意したい。