Network Specialist Examination study guide
Network Specialist Examination · Work through your exam, one topic at a time.
ネットワークスペシャリスト試験（略号NW、英語名称 Network Specialist Examination）は、IPAが実施する情報処理技術者試験の高度試験の一つです。ネットワークの固有技術からサービス動向まで幅広く精通し、目的に適合した大規模かつ堅牢なネットワークを構築・運用できるエンジニアを想定しています。対象者像は、ネットワークの固有技術を活用して情報システム基盤の企画・要件定義・設計・構築・運用・保守で中心的役割を果たし、情報セキュリティを含む領域へ技術支援を行う人材です。期待される水準は、技術・サービスの動向を見通して適用可能な技術を選択する力、業務要求から要求仕様を作成する力、モデリングなどの設計技法・プロトコル・信頼性設計・セキュリティ・コストを評価して論理設計と物理設計をまとめる力、通信事業者やベンダーを活用して構築・運用する力です。学習範囲はプロトコルやルーティングの基礎に加え、クラウド接続を含むネットワークサービス、セキュリティ、信頼性・性能設計、運用管理、要件定義から構築・試験・移行まで及びます。2026年度はCBT方式により前期に実施され、科目A-1とA-2が四肢択一、科目B-1とB-2が記述式です。現行制度は2026年度の実施で終了し、2027年度から新制度へ移行する予定なので、受験計画は制度変更を前提に立ててください。準備はシラバスで範囲を確認し、公開されている過去問題・解答例・採点講評を使い、択一で基礎を固めたうえで記述式の設計答案を時間内に書き切る練習を重ねるのが近道です。当サイトはIPAと関係のない独立した学習サイトであり、最新の制度情報は必ずIPAの公表資料で確認してください。. The Network Specialist Examination study guide has 8 sections and about 732 words.
01ネットワークアーキテクチャとプロトコル
カプセル化の階層構造と、TCP/IP の各プロトコルが「なぜそのフィールドを持つのか」を、障害時の挙動まで含めて説明できるかが試される。用語の暗記ではなく、MTU・ウィンドウ・アドレス解決の相互作用を理解しているかが見られる。 OSI 7階層と TCP/IP 4階層の対応を押さえる。L2 フレーム → L3 パケット → L4 セグメントの順にカプセル化される。 ヘッダ長の目安: Ethernet は 14 バイト（802.1Q タグ付きで 18）、IPv4 は 20〜60、TCP は 20〜60。 アドレス解決は IPv4 が ARP、IPv6 が NDP（NS/NA/RS/RA）。SLAAC は RA のプレフィックスとインタフェース ID の結合でアドレスを作る。 3ウェイハンドシェイクで MSS とウィンドウスケールを交換する。MSS は L4 ペイロードの最大長であり、MTU とは階層が違う。IPv4/TCP なら MSS = MTU − 40。 PMTUD は DF ビットと ICMP（IPv4 は Fragmentation Needed、IPv6 は Packet Too Big）で経路上の最小 MTU を学習する。ICMP を遮断すると PMTU ブラックホールになる。 帯域遅延積（BDP）がウィンドウ上限を超えるとスループットが頭打ちになる。 1Gbps・RTT 40ms の経路では BDP = 1e9 × 0.04 ÷ 8 = 5MB。ウィンドウスケールなしの最大 64KB では 64KB ÷ 0.04s ≒ 1.6MB/s（約 12.8Mbps）しか出ない。だからウィンドウスケーリングが必要、と筋道を立てて説明する。 IPv6 の中間ルータはフラグメンテーションせず破棄して ICMPv6 を返す。IPv4 はルータでの分割があり得る。 UDP は再送も順序保証もしない。QUIC は UDP 上で再送と暗号化を実装する。 ARP はブロードキャスト、NDP はマルチキャスト（要請ノード）であり、L2 ブロードキャストの扱いが異なる。. MSS は L4 ペイロード長、MTU は L3 の最大転送単位。IPv4/TCP では MSS = MTU − 40。.
149 words, under 1 min02ルーティングとスイッチング
パケットが「どの経路を選ぶか」という転送プレーンの判断と、L2 ループ防止・リンク集約という収束設計を、選択アルゴリズムの順序で説明できるかが試される。 1. 同一プレフィックスなら管理距離（AD）が小さい方 3.
108 words, under 1 min03ネットワークサービスとクラウド接続
NAT・DHCP・DNS・NTP といった基盤サービスと、オンプレミスをクラウドへつなぐ接続方式（専用線／インターネット VPN）の設計判断が問われる。どの方式を選ぶとどの制約が出るかを説明できるかが核心である。 NAT/NAPT はアドレス変換であり、ポート番号まで使うのが NAPT。外側から内側への開始は変換テーブルがないと通らない。 DHCP は DORA（Discover/Offer/Request/Ack）。リレーエージェントはブロードキャストを宛先サーバへユニキャスト転送する。 DNS は権威サーバとキャッシュ（再帰）サーバの役割が違う。切替設計では TTL が実効切替時間を決める。 NTP は stratum で階層を表す。時刻ずれはログ相関や認証失敗の原因になる。 専用線接続は帯域保証と低遅延が利点、インターネット VPN は即時性とコストが利点。いずれも BGP で経路交換し、AS 番号とプライベート AS の設計が必要。 VRF でテナントや用途ごとに経路表を分離する。 ロードバランサは L4 か L7 かで振り分け単位が変わる。ヘルスチェックの設計が冗長性を左右する。 オンプレの 10.0.0.0/16 とクラウド VPC の 10.0.0.0/16 を接続すると、同じプレフィックスが両側に存在し経路が衝突する。対策は (1) クラウド側を再設計して重複しない範囲に移す、(2) 境界で NAT を置きアドレスを変換する、のいずれか。BGP の経路制御だけでは解決しない点を明示する。 NAT 越しの IPsec は NAT-T（UDP 4500）が前提。ESP のままでは通過できない環境がある。 DNS の TTL が長いまま切替を行うと、旧アドレスへの参照が残る。 専用線は冗長化しないと物理区間が単一障害点になる。. NAPT はポート番号も変換するため、外部起点の通信は変換テーブルがないと通らない。.
92 words, under 1 min04ネットワークセキュリティ
ゾーン設計とアクセス制御の「評価順序」、暗号プロトコルの守備範囲、認証の仕組みを、設定の挙動として説明できるかが試される。機器の設定を読んで結果を予測する問題が典型である。 ゾーンは信頼・DMZ・非信頼のように信頼度で分割し、ゾーン間はステートフルファイアウォールで制御する。戻りパケットはセッションテーブルで許可される。 ACL は上から順に評価され、最初に一致した行で確定する。末尾に暗黙の deny がある。 セグメンテーションは横方向の通信を絞る。Zero Trust は「内部だから信頼」を捨て、都度検証する考え方。 IPsec は IKEv2 で SA を確立し、ESP で暗号化と認証を行う。AH は認証のみで暗号化しない。 TLS 1.3 はハンドシェイクが短縮され、前方秘匿性が標準。 802.1X はサプリカント・認証者・認証サーバの三者構成。認証結果に応じて動的 VLAN を割り当てられる。 IDS/IPS はインライン配置なら遮断、SPAN/TAP なら検知のみ。 「deny any any」を先頭に置き、その下に「permit tcp any host 10.1.1.10 eq 443」を書くと、すべての通信が 1 行目で拒否される。最初に一致した時点で評価が終わるため、具体的な permit を先に、広い deny を後に置く。 AH を選ぶと暗号化されない。機密性が必要なら ESP。 ステートフルファイアウォールでも、セッションを確立しない UDP や非対称経路では戻りが落ちることがある。 DMZ に置いたサーバから内部への通信を許可すると、侵害時に横展開される。. ACL は上から順に評価され最初の一致で確定、末尾は暗黙の deny。.
80 words, under 1 min05信頼性・性能設計
冗長化の組み合わせが可用性をどう変えるか、帯域と遅延の設計値がどこで破綻するかを、数値で扱えるかが試される。設計値を計算して妥当性を判断する問題が中心である。 直列構成は可用性の積: 0.999 × 0.999 ≒ 0.998。構成要素が増えるほど下がる。 並列（冗長）構成は 1 − (1−a)(1−b): 0.999 が 2 台なら 0.999999。 MTBF と MTTR から 可用性 = MTBF ÷ (MTBF + MTTR)。MTTR の短縮が効く。 装置冗長は VRRP/HSRP、リンク冗長は LAG と ECMP、経路冗長は動的ルーティングの収束で実現する。 LAG は本数分の帯域になるが、フロー単位のハッシュ分散なので単一フローは 1 本の帯域を超えない。 QoS は分類・マーキング（DSCP は 6 ビット）・キューイング・シェーピング・ポリシングで構成する。シェーピングはバッファに溜めて遅らせ、ポリシングは超過分を破棄する。 オーバーサブスクリプション率とマイクロバーストを意識しないと、平均帯域が足りていても破棄が発生する。 各 0.99 の装置を 2 台直列にすると 0.9801、並列にすると 1 − 0.01² = 0.9999。同じ 2 台でも構成で 2 桁近く差が出るため、可用性目標から構成を決める順序で考える。 並列の計算を単純な平均や積にしてしまう。 LAG を組めば単一フローも高速化すると誤解する。 シェーピングとポリシングの挙動（遅延か破棄か）を逆に覚える。. 直列は可用性の積、並列は 1 − (1−a)(1−b) で計算する。.
99 words, under 1 min06ネットワーク運用管理
状態をどう可視化し、変化をどう統制するかが問われる。監視プロトコルの違い（ポーリングか通知か、ポート番号、重大度）と、ログ・フロー・時刻同期を組み合わせた障害切り分けの設計である。 SNMP は v2c（コミュニティ）と v3（認証・暗号化）。ポーリングは UDP 161、トラップは UDP 162。MIB の OID で取得対象を指定する。 syslog は facility と severity（0=emergency 〜 7=debug）で分類する。level 3 は error、4 は warning。 フロー情報は NetFlow/IPFIX/sFlow で、誰がどこへどれだけ通信したかを可視化する。 大規模環境では gNMI などのストリーミングテレメトリで高頻度に取得する。 コンフィグは取得・版管理・差分比較を行い、変更は承認手続きを経て適用する。変更前のバックアップは必須。 NTP で全機器の時刻を同期させる。時刻がずれるとログの相関が取れず、証明書検証も失敗する。 しきい値監視はフラッピングを避けるため、継続時間や回数条件を組み合わせる。 機器で障害が起きたのに監視側にログが届かない場合、(1) severity 設定が debug のみで error を送っていない、(2) syslog サーバのアドレス未設定、(3) UDP 514 が ACL で遮断、の順に確認する。ポーリングは正常なのにトラップだけ来ないなら、162 番の経路かトラップ送信設定を疑う。 SNMP のポーリングとトラップのポート番号を逆に覚える。 syslog の severity の向き（数値が小さいほど重大）を誤る。 時刻同期を後回しにすると、複数機器のログを時系列に並べられない。. SNMP ポーリングは UDP 161、トラップは UDP 162。v3 は認証と暗号化を提供する。.
97 words, under 1 min07要件定義と設計
利用者の要望を、測定可能な非機能要件とアドレス設計・文書構成に落とせるかが試される。「可用性を高く」といった曖昧な表現を、数値と設計判断に変換する力が問われる。 機能要件は「何ができるか」、非機能要件は「どの程度の品質か」。可用性・性能・拡張性・セキュリティ・運用性・移行性に分けて整理する。 非機能要件は必ず測定可能な形にする。例: 稼働率 99.9%、基幹業務の RTT 10ms 以内、将来 3 年で帯域 2 倍。 制約条件（予算、既存設備、回線事業者の提供地域、法令）を先に洗い出し、設計の選択肢を絞る。 HLD（概要設計）は方式選定と構成、LLD（詳細設計）はアドレス表・VLAN 表・設定パラメータ・接続表まで含む。 IP アドレッシングは集約可能なように上位ビットから連番で割り当てる。拠点ごとに /24 を連続で振れば 1 本の集約経路で広告できる。 要件と設計項目の対応（トレーサビリティ）を残す。試験項目も要件から導出する。 10.10.0.0/24、10.10.1.0/24、10.10.2.0/24 を 3 拠点に割り当てれば 10.10.0.0/22 で集約でき、上位ルータの経路数は 1 本で済む。これに対し 10.10.0.0/24、10.20.0.0/24、10.30.0.0/24 と飛び番にすると 3 本の経路が必要になり、将来の拡張余地も読みにくい。 非機能要件を数値化せず、試験で判定できない状態にする。 ピーク率やバーストを考慮せず平均帯域だけで設計する。 収容数を現状だけで決め、拡張時の再設計コストを見積もらない。. IP アドレスは集約可能な連番で割り当て、経路数を抑える。.
60 words, under 1 min08構築・試験・移行
設計を実際に動く状態へ移す工程管理が問われる。試験の階層（単体・結合・総合・受入）、切戻しの現実性、作業時間内に収まる手順かどうかが判定される。 単体試験は機器ごとの設定と疎通、結合試験は機器間の連携、総合試験は業務視点の通信、受入試験は要件を満たすかの確認。 疎通マトリクスを作り、送信元・宛先・プロトコル・ポートごとに期待結果を事前に定義する。結果は証跡として残す。 設定は投入前にバックアップを取り、差分をレビューする。 カットオーバー手順は、事前準備・切替・確認・切戻し判断・連絡体制で構成する。 切戻しは実際にリハーサルし、所要時間を見積もる。時間内に戻せない手順は移行計画として不十分。 DNS やクライアント設定の切替が絡む場合、TTL を事前に短縮しておく。 並行稼働できる系は、一定期間だけ新旧を併走させてから旧系を停止する。 作業ウィンドウが 4 時間で、切替に 1.5 時間、確認に 1 時間かかるなら、残りは 1.5 時間。切戻しに 2 時間かかる手順では、確認で問題が出た時点で戻せない。したがって切替を分割するか、設定を事前に投入しておきケーブル切替だけで済むよう手順を組み替える。 試験項目が要件と結びついておらず、受入判定ができない。 切戻し手順を未検証のまま本番に臨む。 作業後の確認コマンド（経路表、ログ、アラーム）を手順に含めず、障害の初動が遅れる。. DNS 切替が絡む場合は事前に TTL を短縮する。.
47 words, under 1 min