ネットワークスペシャリスト｜NATを通った後、どのアドレスが残る？旧NW2題の変換・認証・SIP
「NATがアドレスを書き換える」
この一文を覚えていても、変換の問題で迷うことがあります。Webサーバに見えるのは、どの段階の送信元でしょうか。IPアドレスを書き換えても、認証は成立するでしょうか。パケットが相手へ届けば、その中のSIPメッセージに書かれたアドレスも、相手が使えるものになっているでしょうか。
この記事は、旧ネットワークスペシャリスト試験の公式2題から、8小問を選んだ演習です。変換前後の名前を覚えるだけでなく、外から見える値、認証・暗号化の対象、メッセージの中に残る値を、それぞれの図へ書き込みます。
ケース1：NAT444の2段変換。Web側の情報から、どこまで戻れるか
ケース2：AH・ESP・NATトラバーサル。変えられない欄と、外へ追加する欄
ケース3：SIPとSBC。IPヘッダの変換だけでは、メッセージ内に残るもの
収録物は、記入済み確認票3式、文字図6点、誤読修正6組、空欄票3式。公式の8小問には複数の項目を答えるものがあり、本稿では合計11解答要素として扱います。無料部分はケース1の4要素、有料部分はケース2・3の7要素です。2大問の全問解説ではありません。
既存記事と共通する方法、今回の具体的な追加
ネットワークの切り分け帳には、通信ごとに送信元・ポート・プロトコル・時刻をそろえ、時計の不確かさも残す方法があります。ログ時系列の教材にも、成功した事実と未確認の範囲を分ける見方があります。経路制御の記述対策の、具体的な主体・条件・動作を答案へ残す方法も共通です。
「IPとポートと時刻を組み合わせる」という考え方そのものが、新しい有料価値なのではありません。本稿の追加は、次の指定原問と完成結果です。
PC→CPE→CGNの2段変換を、ポート再利用のある小ログから逆にたどる
AHの認証対象、ESP内の暗号化されたポート、NAT-Tで追加する外側UDPを並べて比較する
B2BUAの登録先2か所と、SIP内アドレスをVoIP-GWのグローバルIPへ変える位置を対応させる
同シリーズのFWの入口・経由、SSHの主体を扱う教材とも、層を区別して読む方法は共通です。一般的なNAT用語だけを知りたい方や、今回の公式小問を自力で処理できる方は、購入を急ぐ必要はありません。
基本的な通信経路の読み方は既刊と共通です。NAT444・IPsec・SIPの指定小問と完成票が必要か、無料見本でご確認ください。同じ条件の教材をお持ちなら重ねて購入する必要はありません。
採用する素材
ケース：1・無料
公式素材：2015秋NW午後II問2
採用小問：設問2(1)(2)
要素数：4
ケース：2・有料
公式素材：同上
採用小問：設問3(1)(2)(3)
要素数：3
ケース：3・有料
公式素材：2014秋NW午後II問2
採用小問：設問2(1)(2)(3)
要素数：4
「午後II」は当時の冊子表記です。旧問題の指定された構成・動作を読解する教材で、現行製品の設定手順ではありません。特にIPsec、SIP、NATの実装には条件差があります。原問の答案を、そのまま現在のFWの許可ルールへ変換しないでください。
図と小ログは筆者が必要部分を整理したものです。公式にないポート値・時刻・通信例は、その都度「筆者補助」と区別します。
ケース1 外から同じIPに見える通信を、二段階で戻す
参照：2015秋NW午後II問題13〜16・22ページ、公式解答3ページ。
設問2(1)はネットワークアドレスが重なる場合を50字以内で説明します。設問2(2)はWebサーバがログへ残す必要のある情報を三つ、各10字以内で答えます。
1 NAT444では、外へ出る途中で二度変わる
原問の構成では、顧客宅のPCがプライベートIPアドレスを使います。その外側にCPEがあり、CPEとISPのCGN装置の間ではシェアードアドレスを使います。CGNを出ると、インターネット側に見えるグローバルIPアドレスになります。
文字図1 Webサーバに届く送信元は、一番外側
顧客宅のPC CPE CGN Webサーバ
プライベートIP ──〔変換1〕── シェアードIP ──〔変換2〕── グローバルIP
送信元ポートp 送信元ポートq 送信元ポートr
Web側で記録できる送信元：グローバルIPとr
PCの元の送信元：変換1・変換2の対応を戻して確認するポートp・q・rは説明用の記号です。常に三つとも異なる番号になるという意味ではありません。原問では、アドレスとポート番号を対象とする変換が二回あることを押さえます。
原図のシェアードアドレスのネットワークプレフィックスは100.64.0.0/10です。ここを「インターネットから直接見えるグローバルIP」と呼ばないようにします。CGNの内側と外側で、アドレスの役割が違います。
2 CPEの内側と外側が、同じネットワークになったら
設問2(1)は、シェアードアドレスの代わりにプライベートIPを使った場合の問題を聞いています。「プライベートIPは外で使えないから」とだけ答えると、原図のどの範囲が衝突するかが抜けます。
見るのは、次の二つです。
PCがいるネットワーク
CPEとCGN装置の間のネットワーク
この二つのネットワークアドレスが重なる場合、CPEの内外のアドレス空間を分ける前提が崩れ、インターネットへアクセスできなくなる不具合が起こり得ます。
筆者補助として、両方に同じ10.0.0.0/24を割り当てる場面を想像すると、重なる場所を指せます。ただし、これは公式の実アドレスではなく、問題文にない具体的な経路表や機器の処理まで断定する例でもありません。
答案例：PCのネットワークと、CPEとCGN装置間のネットワークのアドレスが重なった場合（40字、50字以内）
「PC」「CPE」「CGN装置」を残すことで、どこでも起こり得る一般的な重複ではなく、この原図の衝突を答えています。
3 IPだけ、IPとポート、そこへ時刻を足した場合
以下は、原問の必要情報を確かめるための筆者作成の小ログです。実在の利用者やアクセス履歴ではありません。
条件を固定します。
すべて同じTCP、同じWebサーバ・同じ宛先ポートへの通信
時刻は対応する記録同士でそろっている
表にない通信や、同じ時刻内での追加再割当ては考えない
「10:00」「10:10」は、この小例で対応関係を一意に示せる時刻ラベル
実際のログでは必要な時刻精度、割当て期間、時計ずれを別途確認する
Gは共有するグローバルIP、SA・SBはそれぞれCPE側のシェアードIPです。PC-A・PC-Bも、各顧客内のプライベートIPを表す記号です。
記入済み確認票1 2段変換の対応と、Web側の見え方
行：1
時刻：10:00
PC側の送信元：PC-A:12345
CPE変換後：SA:30000
CGN変換後＝Web側の送信元：G:50000
行：2
時刻：10:00
PC側の送信元：PC-B:23456
CPE変換後：SB:30001
CGN変換後＝Web側の送信元：G:50001
行：3
時刻：10:10
PC側の送信元：PC-B:34567
CPE変換後：SB:30002
CGN変換後＝Web側の送信元：G:50000
この表は、比較のためにWeb側・CGN側・CPE側の情報を合わせた完成票です。Webサーバが自力で左側の列まで取得したという意味ではありません。
調べたいWeb記録を「G、送信元ポート50000、10:00」とします。
手掛かり：Gだけ
この小例で残る候補行：1・2・3の3通信
まだ区別できないこと：PC-AとPC-B、複数の時刻
手掛かり：Gと50000
この小例で残る候補行：1・3の2通信
まだ区別できないこと：10:00と10:10の再割当て
手掛かり：Gと50000と10:00
この小例で残る候補行：1の1通信
まだ区別できないこと：PCへ戻すには変換記録の照合が要る
候補3というのは、PCが3台いるという意味ではありません。この例はPC2台、通信3件です。IPだけで通信や人を一つに決めないための表です。
文字図2 Web記録からPCまで、対応表を一つずつ戻る
Web側：10:00 / G:50000
↓ CGNの同時刻の変換対応を照合
CPE側：10:00 / SA:30000
↓ CPEの同時刻の変換対応を照合
PC側：10:00 / PC-A:12345
10:10 / G:50000なら、戻る先はSB:30002 → PC-B:34567
同じG:50000でも、時刻を落とすと別通信が混ざるしたがって、設問2(2)のWebサーバで必要な三つは次のとおりです。
送信元IPアドレス（9字）
送信元ポート番号（8字）
アクセス時刻（6字）
いずれも10字以内です。宛先IPや利用者名を答える問いではありません。
ただし、三つを記録すれば、そのWebログだけでPCや操作した人を必ず特定できるという結論にはしません。CGNやCPEの対応記録がなければ、外側から内側へ戻す情報が足りません。記録があっても、時計ずれ、保存期間、接続やアカウントの共有などの確認が残ります。
修正1 グローバルIPが同じなら、同じPC？
誤読：Gのアクセスが複数回あったので、すべて同じPCの通信とする。
修正：原問のNAT444は複数顧客でグローバルIPを共有します。筆者小例のGには、PC-AとPC-Bの通信が混在しています。
ここで必要なのは、共有前の対応を戻すための情報です。「同じIP」という見た目だけで主体をまとめません。
修正2 ポートも同じなら、時刻はいらない？
誤読：G:50000が一致したため、10:00と10:10を同じ通信として扱う。
修正：割当ては時刻によって変わり得ます。小例では10:10に別PCの通信へ再利用されています。必要な精度の時刻と、対応する割当て記録を残します。
原問で三つ答える欄を、IPとポートの二つで終わらせない理由がここにあります。一方で、時刻までそろったことを、人の操作の証明へ拡張するのも行き過ぎです。
空欄票1 二つの変換と、必要情報を戻す
PC側のアドレスの種類：
CPEとCGNの間の種類：
Web側へ出るアドレスの種類：
重なると問題になるネットワーク二つ：
50字以内の答案：
Web側で記録する三つ〔各10字以内〕：
1．
2．
3．
Web記録からCPE側へ戻すために必要な記録：
CPE側からPCへ戻すために必要な記録：
時刻が一致したように見えても、確認を残す条件：
この照合だけで操作した人を断定できるか：これで設問2(1)(2)の4解答要素は完結です。ここからは、変換対象の値が「見えるか」だけでなく、「変えると認証に響くか」「メッセージの中に残っていないか」を確認します。
