Network Specialist Examination case studies
Network Specialist Examination · Put your knowledge to work in context.
ネットワークスペシャリスト試験（略号NW、英語名称 Network Specialist Examination）は、IPAが実施する情報処理技術者試験の高度試験の一つです。ネットワークの固有技術からサービス動向まで幅広く精通し、目的に適合した大規模かつ堅牢なネットワークを構築・運用できるエンジニアを想定しています。対象者像は、ネットワークの固有技術を活用して情報システム基盤の企画・要件定義・設計・構築・運用・保守で中心的役割を果たし、情報セキュリティを含む領域へ技術支援を行う人材です。期待される水準は、技術・サービスの動向を見通して適用可能な技術を選択する力、業務要求から要求仕様を作成する力、モデリングなどの設計技法・プロトコル・信頼性設計・セキュリティ・コストを評価して論理設計と物理設計をまとめる力、通信事業者やベンダーを活用して構築・運用する力です。学習範囲はプロトコルやルーティングの基礎に加え、クラウド接続を含むネットワークサービス、セキュリティ、信頼性・性能設計、運用管理、要件定義から構築・試験・移行まで及びます。2026年度はCBT方式により前期に実施され、科目A-1とA-2が四肢択一、科目B-1とB-2が記述式です。現行制度は2026年度の実施で終了し、2027年度から新制度へ移行する予定なので、受験計画は制度変更を前提に立ててください。準備はシラバスで範囲を確認し、公開されている過去問題・解答例・採点講評を使い、択一で基礎を固めたうえで記述式の設計答案を時間内に書き切る練習を重ねるのが近道です。当サイトはIPAと関係のない独立した学習サイトであり、最新の制度情報は必ずIPAの公表資料で確認してください。. Topics on this exam: ネットワークアーキテクチャとプロトコル (network architecture and protocols), ルーティングとスイッチング (routing and switching), ネットワークサービスとクラウド接続 (network services and cloud connectivity), ネットワークセキュリティ (network security), 信頼性・性能設計 (reliability and performance design), ネットワーク運用管理 (network operations and management), 要件定義と設計 (requirements definition and design), and 構築・試験・移行 (construction, testing, and migration). The Network Specialist Examination case studies are 5 cases and about 422 words.
1IPv6デュアルスタック化後に大きいレスポンスだけが停止する
中堅製造業の本社（従業員1,200名）で、基幹WebシステムのIPv6デュアルスタック化を進めている。サーバセグメントはIPv6対応済みで、クライアントPC（Windows 11）はIPv6を優先して名前解決する。しかし社内からIPv6でHTTPS接続すると、TCPの3ウェイハンドシェイクとTLSネゴシエーションまでは成功するものの、その後のアプリケーションデータの受信が途中で止まり、ブラウザがタイムアウトする。IPv4で接続すれば問題なく表示される。小さいHTMLページはIPv6でも表示できるが、画像を多く含む大きなレスポンスでは必ず失敗する。境界ファイアウォールはIPv6ポリシーを「最小限」で運用しており、ICMPv6は既定で全遮断、必要なものだけ個別に許可する方針である。サーバセグメントのMTUは1,500バイト、クライアントセグメントはIPv6 over IPv4トンネルを経由するためMTUは1,400バイトである。経路はOSPFv3で広告され、トンネルは端点のルータで終端されている。監視担当からは「IPv6はまだ不安定なのでIPv4に戻してほしい」という声が出ている。. この障害の原因として最も疑わしいものを特定し、症状の現れ方（ハンドシェイク成功／大きなレスポンスのみ失敗／IPv4では正常）と結びつけて論理的に説明せよ。あわせて、原因を確定させるための切り分け手順を3つ以上示せ。. 恒久対策を設計せよ。ICMPv6を最小限しか許可しないというセキュリティ方針との整合をとりながら、複数の対策を階層的に組み合わせ、それぞれの副作用も述べること。. 結論：PMTUD（Path MTU Discovery）のブラックホールである。 根拠を症状ごとに整理する。 TLSハンドシェイクまで成功 ：TCPの確立や証明書交換は数百〜数KBの小さなパケットで完結するため、MTUに触れずに通過する。つまり「通信できない」のではなく「大きいパケットだけ通らない」状態である。 大きなレスポンスだけ失敗 ：経路上のMTUがサーバ側1,500、クライアント側1,400で食い違っている。1,400バイトを超えるセグメントはトンネル端点で転送できなくなる。 IPv6特有の挙動 ：IPv6では経路途中のルータはフラグメントせず、送信元にICMPv6 Type 2（Packet Too Big）を返してMTUを通知する。ところがファイアウォールがICMPv6を全遮断しているため通知が届かず、送信側は同じサイズで再送を繰り返す。これがPMTUDブラックホールである。 IPv4では正常 ：IPv4は経路途中のルータがフラグメントできるため、同じポリシーでも通信が成立する。この差分が「IPv6だけ不安定」に見える理由である。 切り分け手順 1. サイズを変えたping6（1,200／1,380／1,450バイトなど）を実行し、失敗し始める境界を探す。境界が1,400付近ならMTU起因とほぼ確定できる。 2. クライアントとサーバで同時にパケットキャプチャし、ICMPv6 Type 2が返っているか、同一セグメントの再送が繰り返されているか、TCPウィンドウが更新されないまま止まっていないかを見る。 3.
78 words, under 1 min2VRRPマスタとSTPルートブリッジの不一致による基幹リンク逼迫
ある自治体の庁舎ネットワークは、基幹L3スイッチ2台（Core-A、Core-B）とフロアスイッチ8台で構成される。各フロアスイッチは1Gbpsのアップリンク2本をCore-AとCore-Bに1本ずつ接続し、Core間は1Gbps×2のリンクアグリゲーションで接続している。VLANは10（職員）、20（来客）、30（音声）の3つで、各VLANのデフォルトゲートウェイはVRRPで冗長化されている。VRRP優先度はCore-Aが200、Core-Bが100で、通常はCore-Aがマスタである。RSTPは全VLANで同一のブリッジ優先度32768で運用しており、機器のMACアドレス関係からCore-Bがルートブリッジになっている。最近、昼休みに職員VLANの通信が遅くなるという苦情が増えた。監視ツールでは、Core間リンクの利用率が平常時20%から最大92%まで上昇する一方、フロアスイッチのアップリンク利用率は10%程度のままである。ルーティングはCore-A/BでOSPFを動作させ、上流ルータへデフォルトルートを広告している。上流ルータはCore-A側にのみ接続されている。. Core間リンクの利用率だけが92%まで上昇し、フロアスイッチのアップリンクは10%程度に留まる理由を、フロア端末から上流ルータまでのトラフィック経路を追って説明せよ。. キーポイントは「VRRPマスタ＝Core-A」「STPルートブリッジ＝Core-B」という役割の不一致である。 行きの経路 端末のデフォルトゲートウェイはVRRP仮想IPであり、その仮想MACはCore-Aが応答する。端末はCore-A宛てのフレームを送り出す。 しかしフロアスイッチSW1からCore-Aへの直接リンクは、ルートブリッジがCore-Bであるためブロッキング状態にある。SW1はフレームをCore-Bへ送るしかない。 Core-Bはレイヤ2で転送するだけなので、フレームはCore間リンクを通ってCore-Aに到達し、そこで初めてルーティングされ上流ルータへ出る。 戻りの経路 上流ルータはCore-A側にしか接続されていないため、戻りパケットはCore-Aに入る。 Core-Aは端末のMACをCore-B方向で学習しているので、Core間リンクに再度送出し、Core-BからSW1へ転送される。 結論 東西方向のほぼ全トラフィックがCore間リンクを必ず1回（往復で2回）通過する。これが利用率92%の直接原因である。一方、フロアスイッチのアップリンクは2本のうち1本しか使われず、しかも遅い側に集約されるため利用率は低く見える。利用率の高低だけを見て「アップリンクに余裕がある」と判断してはならない典型例である。 なお、VLAN10のフロア間通信やブロードキャストも同じ経路を通るため、昼休みのような同時利用時間帯に劣化が顕在化する。. 案A：STPのルートブリッジをVRRPマスタに一致させる Core-Aのブリッジ優先度を4096、Core-Bを8192とし、VLAN10/20/30すべてでCore-Aがルートブリッジになるようにする。 メリット：設定変更のみで完結し、機器投資が不要。経路が最短になり、Core間リンクの負荷が激減する。 デメリット：VRRPの切替とSTPの再収束が独立して動くため、Core-A障害時は「VRRPはCore-Bへ切替わるがSTPルートブリッジも動く」という二重の変更が同時に起きる。切替直後は一時的に非対称経路になりうる。 対策：VRRPにpreempt delayを設定し、STP収束後に切戻す。障害試験で両方の連動を確認する。 案B：アップリンクをLAG化し、M-LAG／vPC等でアクティブ-アクティブ化する 各フロアスイッチの2本のアップリンクを1つの論理リンクにまとめ、両Coreで同時利用する。 メリット：帯域を2倍使え、片系障害時の収束も速い。STPへの依存度が下がる。 デメリット：機器ベンダの対応機能に依存し、設定が複雑。ループ防止と整合性チェックの設計が必須。既存の全フロアスイッチが対応できるとは限らない。 案C：アクセス層をレイヤ3化する フロアスイッチにSVIを持たせ、CoreまでOSPFでルーティングする。STPの影響を実質的に排除できる。 デメリット：設計・運用の変更が最も大きく、来客VLANのような共通セグメントの扱いを再設計する必要がある。今回は投資対効果の面で過剰になりやすい。 比較の結論 短期的には案A、中期的に案Bを組み合わせるのが現実的である。案Cは次回更改時の選択肢とする。 作業上最も注意すべき点 STPのブリッジ優先度変更はルートブリッジの移動を伴い、ブロッキングポートが入れ替わる。変更中に一時的なループや通信断が起こりうるため、メンテナンス時間に実施し、変更前後のトポロジ（各VLANのルートブリッジ、ブロッキングポート）を記録する。ロールバック手順と、変更直後に確認するコマンド（STPトポロジ、VRRP状態、経路対称性）を手順書に明記しておく。.
45 words, under 1 min3専用線とIPsecバックアップの併用における切替遅延と転送性能
ある企業は、オンプレミスのデータセンター（AS 65001）とクラウド（AS 64512）を、1Gbpsの専用線接続とインターネット経由のIPsec VPN（実効200Mbps）で接続している。専用線側はeBGPで経路交換し、クラウドのVPC CIDR（/16）をローカルプリファレンス200で受信している。VPN側も同じ経路をローカルプリファレンス100で受けており、通常は専用線が優先される。BGPのKeepaliveは60秒、Holdtimeは180秒で、BFDは未設定である。オンプレ側の境界ルータは1台構成で、VPN終端も同一機器で行っている。先月、専用線の保守作業で回線が10分間切断された際、VPNへの切り替えに約3分かかり、その間の業務システムのセッションが切れ、復旧後もアプリケーションを手動で再起動するまで回復しなかった。さらに、VPN経由で通信している間、大容量ファイル転送が極端に遅いという報告があった。VPN区間のMTUは1,400バイトに設定されているが、MSS調整は行っていない。監視担当からの要望は「次回の保守までに切り替えを速くしてほしい」という一点のみである。. 切替に約3分を要した原因を、BGPのタイマと経路選択の観点から説明せよ。そのうえで、切替時間を10秒以内に短縮する設計を、実現可能性と副作用を含めて提案せよ。. VPN経由時の大容量ファイル転送が極端に遅い原因を説明し、対策を示せ。数値の根拠も示すこと。. 原因の分解 BGPの障害検出はKeepalive 60秒／Holdtime 180秒に依存する。Holdtimeは「3回分のKeepaliveが届かない場合にピアダウンとみなす」設計であり、最悪180秒（3分）検出できない。実測3分はこの値と一致する。 物理インターフェースのダウンなら即時検出されるが、伝送装置の障害や片方向断、保守作業に伴う論理的な停止ではインターフェースがUpのまま残る。今回はこのケースである。 BGPは「経路の撤回を受けてから」代替経路に切り替わる。VPN側のセッションが常時Establishedで、VPN経由の経路が事前にRIBへ入っていなければ、切替はさらに遅れる。 短縮設計（複合が必要） 1. BFDの導入 ：専用線区間にBFD（例：300ms×3）を設定する。BFDエコーモードが使えるか、クラウド側／キャリア側がBFDに対応しているかを事前に確認する。対応していない場合はこの案は成立しない。 2. BGPタイマの短縮 ：Keepalive 10秒／Holdtime 30秒。両端で設定が必要で、ピア間でネゴシエーションされるため片側だけでは効かない。CPU負荷の増加と、瞬断時のフラップ誘発に注意する。 3.
100 words, under 1 min4病院での有線802.1X展開-IP電話のMAB失敗と医用機器の可用性
病院（職員800名、ベッド400床）で有線802.1Xの全館展開を計画している。RADIUSサーバは導入済みで、まず外来棟の200ポートでパイロットを行った。PC（Windows 11）は端末証明書によるEAP-TLSで認証に成功し、データVLANに割り当てられた。しかしIP電話（PoE給電、802.1X非対応）を接続したポートで問題が発生した。電話機はMAC認証バイパス（MAB）で登録したが認証に失敗し、その後同じポートに接続したPCも通信できなくなった。このポートは電話機の背面ポートにPCを接続するデイジーチェーン構成で、スイッチから見えるのは電話機のMACアドレスのみである。また電子カルテ用の医用機器（固定IP、802.1X非対応）が数台あり、MABで通す予定だがMACアドレスの事前登録が間に合っていない。認証失敗時の動作は「ポートを閉塞」としており、ナースステーションで通信断が発生した。病院側からは「医療機器を止めるわけにはいかない」と強い要望が出ている。音声VLAN（VLAN 30）とデータVLAN（VLAN 10）は分離済みで、DHCPは外部サーバにある。. 電話機のMAB認証が失敗し、さらに後段のPCも通信できなくなった理由を、スイッチから見た認証の単位（サプリカント、認証ドメイン）に触れて説明せよ。. 認証セッションの単位がポートであること スイッチポートは既定では1つの認証セッションしか持てない。MABで電話機のMACを認証しても、そのセッションは電話機のものとして扱われる。 電話機の背面に接続されたPCのEAPOLフレームは、802.1X非対応の電話機を通過できない。つまりPCはサプリカントとしてスイッチに見えていない。スイッチから見えるサプリカントは電話機だけである。 2. 認証ドメインの未設定 音声端末とデータ端末を同一ポートで扱うには、マルチドメイン認証（データドメインと音声ドメインを別々に認証する仕組み）の設定が必要である。これがないと、どちらか一方しか認証できない。 音声ドメインを許可するポリシーがRADIUS側にない場合、MACが正しくてもMABは失敗する。原因は「MACの登録漏れ」だけではない可能性が高い。 3. 音声VLANの割当方法の誤り 音声VLANは、認証結果としてのVLANアサイン、LLDP-MED／CDPによる音声VLAN通知、ポートの静的設定のいずれかで割り当てる。音声VLANが通知されていない状態でMABだけ設定しても、電話機はデータVLAN側で認証を試みることになる。 4. 失敗時ポリシーによる全断 認証失敗時の動作を「ポート閉塞」としているため、電話機の認証失敗がポート全体の停止に直結し、後段のPCも巻き添えになった。1つの認証失敗がポート全体を落とす設計は、共有ポートでは危険である。 以上をまとめると、原因は「MAC登録の有無」ではなく、認証ドメイン設計と失敗時ポリシーの設計不足である。.
90 words, under 1 min5基幹スイッチ更改カットオーバーで発生した全館停止
小売チェーンの中規模物流センターで、基幹L3スイッチ2台（導入9年、ベンダサポート終了）を新款に更改する。稼働系はVRRPで冗長化され、VLANは12、収容端末は約600台、上流はWANルータ2台とOSPFで接続している。制約は次のとおり。停止可能な時間は土曜22:00〜日曜04:00の6時間。新旧機は同一IPアドレス、同一VLAN ID、同一VRRPグループを使用する（IPアドレス体系は変更しない）。リハーサルは1回のみで所要4時間だった。当日の手順書は「①旧機の電源を切る ②新機をラックに搭載し電源を入れる ③コンフィグを投入する ④疎通確認」という順序で、新機のVRRP優先度は旧機と同じ200、STPブリッジ優先度も同一に設定していた。当日、②の段階で新機の電源を入れた直後から全館で通信断が発生し、復旧に90分を要した。その間、入出荷指示システムが停止し、復旧後に手動でのデータ整合確認が必要になった。事後分析では、手順書の順序と重複した識別子の扱いに問題があったと指摘されている。. 旧機は稼働したまま ：①の「旧機の電源を切る」が実施される前に、②で新機の電源が投入された。この時点で旧機がVRRPマスタ、OSPFネイバー、STPルートブリッジとして全館のトラフィックを処理している。 2. 同一VRRPグループに2台のマスタが出現 ：新機の優先度は旧機と同じ200である。VRRPでは優先度が同じ場合、IPアドレスの大小でマスタが決まる。新機が上位のIPを持てばマスタを奪い、持てなければバックアップに留まるが、いずれにせよ同一仮想MAC・同一仮想IPを持つ機器が2台存在する状態になる。 3. MACアドレステーブルのフラップ ：同一仮想MACが2つの物理ポートから学習されるため、各スイッチのMACテーブルが交互に書き換わる。ユニキャストフレームの転送先が定まらず、通信が不安定になる。 4. STPの再計算とブロードキャストストーム ：新機の起動によりトポロジ変更が通知され、全スイッチでRSTPの再計算が走る。この間にブロードキャストがループする経路が生じると、ストーム化して全館の帯域を消費する。 5. OSPFの隣接関係の混乱 ：同一ルータID／同一IPを持つ機器が現れると、OSPFのネイバーシップがフラップし、経路が不安定になる。上流WANルータ側でも経路が揺れる。 6.
109 words, under 1 minMore study resources for Network Specialist Examination
- Practice questionsOSI基本参照モデルにおいて、IPアドレスに基づくルーティング（経路選択）を担う層はどれか。.
- FlashcardsTCP 3ウェイハンドシェイク. SYN、SYN/ACK、ACKの3メッセージでコネクションを確立する手順。初期シーケンス番号を交換し、双方向通信の信頼性制御の基点を作る。.
- Cheat sheetOSI 7階層とTCP/IP 4階層の対応: アプリケーション層はOSI第5〜7層、トランスポート層は第4層、インターネット層は第3層、ネットワークインターフェース層は第1〜2層をまとめる。.
- Key termsTCP三次ハンドシェイク. 通信開始前にSYN、SYN+ACK、ACKの3つの制御パケットを交換し、双方の送受信能力と初期シーケンス番号を確認してコネクションを確立する手順。片方向だけの切断を防ぎ、再送や順序制御の起点を作る。.
- Study planTCP/IP の各層で働く主要プロトコル (IP, TCP, UDP, HTTP/2, QUIC, DNS) のヘッダ構造とカプセル化の流れを、実際のパケットを眺めながら自分の言葉で説明できるようにする.