ネットワーク中級編第3章実践演習｜DHCP・DNS・NAT・ACL・VPN・監視をまとめて切り分ける

2026年8月11日

ネットワーク中級編｜第3章実践演習

この演習は、「ネットワーク中級編｜構築・検証・障害切り分けを身につける」の第3章「ネットワークサービスとセキュリティ」の章末実践演習です。

DHCPリレー、DNS、NAT、ACL、ステートフルファイアウォール、VPN、IPsec、無線LAN、NTP・Syslog・SNMP、監視設計を、1つの企業ネットワークを題材にまとめて確認します。

← 前の記事：ネットワーク監視の基本設計中級編一覧次：第4章検証とトラブルシューティング →

CHAPTER 3 PRACTICAL EXERCISE

第3章実践演習｜サービス・セキュリティ・監視をまとめて切り分ける

「IPアドレスを取得できない」「名前解決できない」「インターネットへ出られない」「VPNだけつながらない」といった複数の症状を、構成・設定・ログから順番に切り分けます。最後は、再発を早期検知するための監視項目まで設計します。

対象レベル Level 2・中級

想定時間 約60〜90分

満点 100点

修了目安 80点以上

演習環境 ブラウザのみ

第3章では、個別の技術を一つずつ学びました。しかし現場では、利用者から「DNSが壊れています」「NATがおかしいです」と原因まで指定して申告されるとは限りません。

多くの場合は、「ネットにつながらない」「社内システムが開かない」という症状から始まります。この演習では、症状をサービス単位に分解し、確認結果を根拠に原因を絞り込む練習をします。

この演習で確認するスキル

DHCPリレーの設定不備を見つけられる
DNS障害をIP到達性と分けて判断できる
NAT対象漏れを設定から発見できる
ACLの評価順序と暗黙のdenyを考慮できる
ステートフルFWの戻り通信を説明できる
IKEとIPsec SAの状態からVPN障害を切り分けられる
無線LANの認証方式を用途に合わせて選べる
NTP・Syslog・SNMPを監視設計へ落とし込める

演習の進め方

各Partでは、構成情報、設定抜粋、コマンド結果、ログなどを提示します。すぐに解答を開かず、次の順番で自分の判断を書いてから確認してください。

1 症状何ができないのか

2 正常範囲 どこまでは動くか

3 原因候補 何が怪しいか

4 根拠どの結果で判断したか

5 復旧確認 何を再試験するか

10点通信の流れ

15点DHCP

15点DNS

15点NAT・ACL・FW

15点IPsec VPN

10点無線LAN

15点監視設計

5点障害報告

コマンドの完全暗記は採点対象ではありません。

「どの情報を見て、何が正常で、どこが異常か」を説明できることを重視します。

演習シナリオと構成

あなたは、ITJ社のネットワーク運用担当です。本社には社員用LAN、無線LAN、サーバーセグメントがあり、支社とはIPsec VPNで接続されています。ある変更作業の翌朝、複数の利用者から通信不良の申告が入りました。

演習用ネットワーク構成

💻 VLAN10 社員LAN 10.10.10.0/24
GW 10.10.10.1

📶 VLAN20 社員Wi-Fi 10.10.20.0/24
GW 10.10.20.1

🔀 L3SW-01 VLAN間ルーティング
DHCPリレー・ACL

🛡️ FW-01 NAT・Stateful FW
IPsec VPN

☁️ インターネット 外部Web
支社VPN経路

VLAN10 / VLAN20 → L3SW-01 → FW-01 → Internet

🗄️ VLAN100 Server 10.10.100.0/24
GW 10.10.100.1

🧭 DHCP / DNS DHCP 10.10.100.10
DNS 10.10.100.53

📊 MON-01 10.10.100.20
NTP・Syslog・SNMP

🏬 支社LAN 10.20.10.0/24
IPsec VPN接続

主要パラメータ

項目	値	役割
VLAN10	10.10.10.0/24	有線の社員端末
VLAN20	10.10.20.0/24	社員Wi-Fi
VLAN100	10.10.100.0/24	DHCP・DNS・監視サーバー
DHCP Server	10.10.100.10	VLAN10 / VLAN20へアドレス配布
DNS Server	10.10.100.53	社内・外部の名前解決
MON-01	10.10.100.20	NTP・Syslog・SNMP監視
支社LAN	10.20.10.0/24	本社とIPsec VPNで接続
外部Web	203.0.113.80	インターネット疎通確認用

朝9:10時点の申告

社員Wi-Fiの一部端末がIPアドレスを取得できない
IPを手動設定すると、IPアドレス指定の外部通信は一部できるが名前解決できない
支社から本社サーバーへ接続できない
監視画面では明確な重大アラートが出ていない

Part 1：通信の流れを整理する

10点

障害原因を探す前に、正常時の通信経路を整理します。技術ごとの役割が分かれていないと、確認場所が増えすぎて切り分けが進みません。

課題1-1．社員Wi-Fi端末がWebサイトを表示するまでの流れを書いてください。

次の語をすべて使用します。

DHCP
DNS
ACL
ステートフルファイアウォール
NAT

例：端末起動 → ＿＿＿＿＿＿ → ＿＿＿＿＿＿ → ＿＿＿＿＿＿ → Webサイト表示

解答例を見る

端末がDHCPでIPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバー情報を取得する。
Webサイト名をDNSサーバーへ問い合わせ、接続先IPアドレスを取得する。
端末の通信がL3SW-01へ入り、適用されているACLで通信可否を判定する。
FW-01で外向き通信がセキュリティポリシーにより許可される。
FW-01で送信元アドレスがNATされ、インターネットへ転送される。
戻り通信はFW-01が保持しているセッション情報と照合され、内部端末へ戻される。

課題1-2．支社から本社DNSサーバーへ通信するとき、通常のインターネット通信と異なる点を2つ挙げてください。

ここに回答を書いてください。

解答例を見る

支社LAN 10.20.10.0/24 から本社 10.10.100.0/24 への通信は、通常のインターネット向けNATではなくIPsec VPNへ送る必要がある。
VPN装置間ではIKEで認証・鍵交換を行い、IPsec SAに一致する通信をESPなどで保護して運ぶ。
VPN対象通信を誤ってインターネット向けNATすると、トラフィックセレクターと一致せず通信できないことがある。

Part 2：DHCP障害を切り分ける

15点

症状

VLAN20の社員Wi-Fiへ接続したPC-Aが、業務用IPアドレスを取得できません。同じ時間帯でも、VLAN10の有線PCは正常にアドレスを取得できます。

C:\> ipconfig Wireless LAN adapter Wi-Fi: IPv4 Address. . . . . . . . . . . : 169.254.35.18 Subnet Mask . . . . . . . . . . . : 255.255.0.0 Default Gateway . . . . . . . . . :

L3SW-01の設定抜粋

interface Vlan10 ip address 10.10.10.1 255.255.255.0 ip helper-address 10.10.100.10 ! interface Vlan20 ip address 10.10.20.1 255.255.255.0 ! interface Vlan100 ip address 10.10.100.1 255.255.255.0

DHCPサーバー側

Scope VLAN10 : 10.10.10.100 – 10.10.10.199 Active Scope VLAN20 : 10.10.20.100 – 10.10.20.199 Active DHCP Service : Running

課題2-1．最も疑わしい原因を1つ答えてください。

原因：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答を見る

VLAN20のSVIにDHCPリレー設定がないことが最も疑わしい原因です。

DHCP Discoverはブロードキャストで送信されます。DHCPサーバーが別セグメントの10.10.100.10にあるため、 L3SW-01でVLAN20のDHCP要求をユニキャストへ中継する設定が必要です。

課題2-2．修正すべき設定を答えてください。

interface Vlan20 の下へ追加する設定：＿＿＿＿＿＿＿＿＿＿＿＿

解答を見る

interface Vlan20 ip helper-address 10.10.100.10

製品によってコマンド名は異なりますが、考え方は「VLAN20で受けたDHCP要求を10.10.100.10へ中継する」です。

課題2-3．修正後の復旧確認を3つ挙げてください。

1．＿＿＿＿＿＿　2．＿＿＿＿＿＿　3．＿＿＿＿＿＿

解答例を見る

PC-Aが10.10.20.0/24のIPアドレスを取得できること
デフォルトゲートウェイとして10.10.20.1を取得できること
DNSサーバーとして10.10.100.53を取得できること
DHCPサーバー側に新しいリース情報が作成されること
リース更新後も正常に再取得できること

Part 3：DNS障害を切り分ける

15点

症状

DHCPリレーを修正し、PC-Aは10.10.20.121/24を取得できるようになりました。しかし、Webサイトを名前で開けません。

C:\> ping 10.10.20.1 Reply from 10.10.20.1: bytes=32 time<1ms TTL=255 C:\> ping 203.0.113.80 Reply from 203.0.113.80: bytes=32 time=18ms TTL=52 C:\> nslookup portal.itjump.example 10.10.100.53 DNS request timed out. timeout was 2 seconds. Server: Unknown Address: 10.10.100.53

VLAN20に適用されているACL

ip access-list extended VLAN20-IN 10 permit tcp 10.10.20.0 0.0.0.255 host 10.10.100.20 eq 443 20 deny ip 10.10.20.0 0.0.0.255 10.10.100.0 0.0.0.255 30 permit ip 10.10.20.0 0.0.0.255 any

課題3-1．「DNSサーバー自体の停止」より先に疑うべき箇所はどこですか。理由も書いてください。

疑う箇所：＿＿＿＿＿＿　理由：＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答を見る

VLAN20-INのACLを先に確認します。

203.0.113.80へのIP通信は成功しているため、端末のIP設定、デフォルトゲートウェイ、 FW経由の外部到達性は概ね正常です。一方、10.10.100.53へのDNS通信だけが失敗しています。 ACLの20行目はVLAN20からVLAN100全体へのIP通信を拒否しており、DNS通信もここで拒否されます。

課題3-2．既存の「VLAN100への原則拒否」を維持しながら、DNSだけを利用可能にするルールを考えてください。

追加するpermit条件と、挿入する位置を書いてください。

解答例を見る

20行目のdenyより前に、DNSサーバー宛てUDP/53とTCP/53を許可します。

ip access-list extended VLAN20-IN 10 permit tcp 10.10.20.0 0.0.0.255 host 10.10.100.20 eq 443 11 permit udp 10.10.20.0 0.0.0.255 host 10.10.100.53 eq 53 12 permit tcp 10.10.20.0 0.0.0.255 host 10.10.100.53 eq 53 20 deny ip 10.10.20.0 0.0.0.255 10.10.100.0 0.0.0.255 30 permit ip 10.10.20.0 0.0.0.255 any

ACLは上から順に評価され、最初に一致した条件が適用されます。そのため、DNSのpermitを広いdenyより前へ置く必要があります。

課題3-3．DNS復旧確認として実施する内容を3つ挙げてください。

1．＿＿＿＿＿＿　2．＿＿＿＿＿＿　3．＿＿＿＿＿＿

解答例を見る

nslookupで10.10.100.53から正しいIPアドレスが返ること
ブラウザで名前指定のWebサイトを表示できること
ACLのpermitカウンターが増えること
不要なVLAN100宛て通信は引き続きdenyされること

Part 4：NAT・ACL・ステートフルFWを切り分ける

15点

症状

ACL修正後、DNS名前解決はできるようになりました。しかし、VLAN20から外部WebへのTCP/443通信が失敗します。 VLAN10からは正常です。

FW-01のルーティング

10.10.10.0/24 via 10.10.254.2 inside 10.10.20.0/24 via 10.10.254.2 inside 10.10.100.0/24 via 10.10.254.2 inside 0.0.0.0/0 via 198.51.100.1 outside

FW-01のNAT設定

NAT Rule 10 Source Zone : inside Destination : any Source : 10.10.10.0/24 Translation : interface-address Service : any

セキュリティポリシー

Rule 100 inside -> outside Source : 10.10.0.0/16 Destination : any Service : web-browsing, ssl Action : allow Stateful : yes

課題4-1．ルーティング、ACL、FWポリシー、NATのうち、最も疑わしい箇所はどこですか。

最も疑わしい箇所：＿＿＿＿＿＿　根拠：＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答を見る

NAT設定の対象漏れが最も疑わしいです。

FWには10.10.20.0/24への戻り経路があり、セキュリティポリシーも10.10.0.0/16を許可しています。一方、NAT Rule 10の送信元は10.10.10.0/24だけです。 VLAN20の10.10.20.0/24が変換対象に含まれていません。

課題4-2．修正方針を答えてください。

修正方針：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答例を見る

VLAN20を既存NATルールの対象へ追加するか、VLAN20専用のNATルールを追加します。ただし、IPsec VPNなどNATしてはいけない通信がある場合は、 NAT除外ルールを通常のインターネットNATより優先させる必要があります。

課題4-3．ステートフルファイアウォールでは、なぜHTTPSの戻り通信を毎回「outside → inside」で個別許可しなくても通信できるのでしょうか。

理由：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答を見る

ステートフルファイアウォールは、許可した外向き通信について送信元・宛先IP、ポート、プロトコル、 TCP状態などのセッション情報を保持します。戻りパケットが既存セッションに一致すれば、正当な応答として通過させられます。

一方、単純なACLは基本的にパケット単位で条件を評価するため、適用方向や戻り通信の条件を別途考慮する必要があります。

Part 5：IPsec VPN障害を切り分ける

15点

症状

支社からインターネットへは接続できますが、本社DNSサーバー10.10.100.53へ到達できません。 VPN装置同士のIKE認証は成功しています。

本社FW-01

IKE SA Peer State Version 198.51.100.50 READY IKEv2 IPsec SA Name State Local TS Remote TS BRANCH-VPN DOWN 10.10.100.0/24 10.20.10.0/24 Last error: TS_UNACCEPTABLE

本社側 Phase2 / Child SA 条件

Local subnet : 10.10.100.0/24 Remote subnet : 10.20.10.0/24

支社側 Phase2 / Child SA 条件

Local subnet : 10.20.10.0/24 Remote subnet : 10.10.10.0/24

課題5-1．IKE SAとIPsec SAのどちらまで成功していますか。

IKE SA：＿＿＿＿＿＿　IPsec SA：＿＿＿＿＿＿

解答を見る

IKE SA：成功（StateがREADY）
IPsec SA：失敗（StateがDOWN、TS_UNACCEPTABLE）

つまり、対向装置への到達、IKEの基本交渉・認証までは進んでいますが、実データを保護するChild SA / IPsec SAの条件合意で失敗しています。

課題5-2．設定不一致を1か所特定し、正しい値を答えてください。

誤っている値：＿＿＿＿＿＿　正しい値：＿＿＿＿＿＿

解答を見る

支社側のRemote subnetが10.10.10.0/24になっている点が不一致です。本社DNSサーバーを含むネットワークは10.10.100.0/24なので、支社側Remote subnetを10.10.100.0/24へ修正します。

課題5-3．修正後に確認する項目を4つ挙げてください。

1．＿＿＿＿＿＿　2．＿＿＿＿＿＿　3．＿＿＿＿＿＿　4．＿＿＿＿＿＿

解答例を見る

IKE SAが引き続き確立していること
IPsec SA / Child SAがUPになること
暗号化・復号カウンターが双方で増加すること
支社端末から10.10.100.53へ到達できること
支社から本社DNSの名前解決が成功すること
VPN対象通信が通常のインターネットNATへ誤って一致していないこと

Part 6：無線LANの認証・暗号化を見直す

10点

現行設計

SSID	用途	認証・暗号化	運用
ITJ-STAFF	社員70名	WPA2-PSK	全社員で同じPSKを共有
ITJ-GUEST	来訪者	WPA2-PSK	受付でPSKを案内

退職者が出るたびに社員用PSKを変更すると、70台以上の端末で再設定が必要になります。そのため、実際には長期間同じPSKが使われています。

課題6-1．社員用SSIDの改善案を答えてください。

改善案：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答例を見る

社員用SSIDは、可能であればWPA2-Enterprise / WPA3-Enterpriseと802.1X認証へ移行します。利用者・端末ごとに認証できるため、退職者だけを無効化でき、共有PSKの使い回しを減らせます。

実装時はRADIUSなどの認証基盤、証明書運用、対応端末、移行期間を確認します。

課題6-2．社員SSIDとゲストSSIDを分離する理由を、セキュリティと運用の観点から2つ以上挙げてください。

ここに回答を書いてください。

解答例を見る

来訪者端末から社内サーバーや管理セグメントへ到達させないため
ゲスト通信をインターネット向けだけに制限しやすくするため
社員認証とゲスト向け簡易認証を別運用にできるため
監査ログ、利用規約、帯域制御などのポリシーを用途別に適用しやすくするため

Part 7：NTP・Syslog・SNMPを使った監視設計を作る

15点

追加で分かった問題

FW-01とL3SW-01のログ時刻が約7分ずれている
VPN断は利用者申告まで気づけなかった
APのCPU使用率・接続台数の履歴を取得していない
Syslogは保存しているが、重要イベントの通知条件がない
SNMPは有効だが、監視項目が「ping応答」だけになっている

課題7-1．今回の構成に対して、最低6項目の監視設計を作ってください。

「対象」「監視項目」「方式」「判定条件」「重要度・一次対応」を書きます。

対象	監視項目	方式	判定条件	重要度・一次対応
記入	記入	記入	記入	記入
記入	記入	記入	記入	記入
記入	記入	記入	記入	記入
記入	記入	記入	記入	記入
記入	記入	記入	記入	記入
記入	記入	記入	記入	記入

監視設計の解答例を見る

対象	監視項目	方式	判定条件の例	重要度・一次対応
FW-01	死活	ICMP・1分	3回連続失敗	重大・電源、上位回線、経路を確認
FW-01	IPsec VPN状態	SNMP / API / CLI連携	SA Downを検知	重大・IKE、Child SA、対向到達性を確認
L3SW-01	重要IF状態	SNMP・1分＋Trap	FW / AP / Server接続ポートDown	重大または警告・物理状態と対向を確認
AP	CPU・接続台数	SNMP / API・5分	基準超過が継続	警告・高負荷、収容数、電波状況を確認
DNS	名前解決	DNS問い合わせ・1分	3回連続失敗 / 応答不正	重大・DNSサービス、ACL、経路を確認
DHCP	アドレス払い出し	サービス監視 / ログ	払い出し失敗、プール枯渇	重大・サービス、リレー、スコープを確認
全NW機器	時刻同期	NTP状態確認・5分	同期外れ / 時刻差が基準超過	警告・NTP到達性と設定を確認
全NW機器	重要ログ	Syslog	VPN、認証、設定変更、リンクDown等	イベント別に警告 / 重大へ分類

課題7-2．なぜNTPが障害調査で重要なのか、今回のケースを使って説明してください。

説明：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿

解答例を見る

FW-01、L3SW-01、AP、サーバーの時刻がずれていると、 DHCP失敗、ACL拒否、VPN再接続、設定変更など複数機器のイベントを正しい順番で並べられません。 NTPで時刻をそろえることで、Syslogや監視イベントを時系列で相関でき、原因調査の精度が上がります。

監視の目的は「値を集めること」ではありません。

異常を検知し、影響を判断し、担当者が行動し、復旧を確認できるところまで設計して初めて監視として機能します。

Part 8：調査結果を障害報告へまとめる

5点

最後に、技術的な原因を「自分だけが分かるメモ」で終わらせず、上司や顧客が判断できる形へ整理します。

事象何ができなかったか

影響対象ユーザー・拠点・サービス

確認結果 正常だった範囲と異常だった範囲

原因設定不備・障害箇所と、その根拠

対応何を変更・復旧したか

復旧確認 何を再試験し、正常と判断したか

再発防止 レビュー、監視、手順改善など

課題8-1．今回の「VLAN20でDHCP取得不可」を、上の形式で100〜200字程度にまとめてください。

ここに自分の障害報告を書いてください。

報告例を見る

9:10頃、社員Wi-Fi（VLAN20）の一部端末でIPアドレスを取得できない事象を確認しました。 VLAN10では正常に取得でき、DHCPサーバーも稼働していたためL3SW-01のVLAN20設定を確認したところ、 DHCPリレー設定が欠落していました。10.10.100.10向けのリレー設定を追加後、 VLAN20の端末でIP・GW・DNS情報を正常取得できることを確認しました。再発防止としてVLAN追加時の設定レビュー項目へDHCPリレー確認を追加します。