Cisco 200-301: IPv6アドレッシングとIPv6ルーティング — 学習ガイド

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNA 200-301 — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

IPv6は、枯渇しやすいIPv4アドレッシングを、はるかに広大で構造化された空間と、ブロードキャストなしで動作するように設計された制御プレーンプロトコルで置き換えます。このセクションでは、IPv6のアドレッシングとルーティングの概念を、設定箇所や設計選択の背後にある運用上の理由とともに説明します。障害モード、ファーストホップでのセキュリティ、そして実践的なトラブルシューティングのワークフローに重点を置いています。

IPv6アドレッシングの基礎

表記法、圧縮、展開：

• IPv6アドレスは128ビットの値で、16進数の8つの16ビットヘキストで記述され、コロンで区切られます（例：2001:0db8:0000:0000:0500:000a:400f:583b）。
• ヘキスト内の先頭のゼロは省略できます。連続するすべてゼロのヘキストの1つの連なりは、::を使用して1回だけ圧縮できます。圧縮例：2001:db8::500:a:400f:583b。
• 展開は、省略されたゼロとヘキストを復元することで、このプロセスを逆にします。

アドレスの種類：

• グローバルユニキャスト (GUA): 2000::/3。パブリックにルーティング可能。IPv4のパブリックアドレスに類似しています。ドメイン間通信に使用されます。
• ユニークローカル (ULA): fc00::/7（ローカルで割り当てられる場合は一般的にfd00::/8）。サイト内またはVPN接続されたサイト間で到達可能ですが、パブリックインターネットでのルーティングは意図されていません。内部の安定性やラボ/テスト環境で役立ちます。
• リンクローカル: fe80::/10。すべてのIPv6インターフェースで必須。NDPなどのオンリンク通信や、ルーティングのネクストホップとして使用されます。リンク外には決してルーティングされません。
• マルチキャスト: ff00::/8。ブロードキャストを置き換えます。スコープが到達範囲を定義します（例：ff02::/16はリンクローカルスコープ）。
• エニーキャスト: 複数のインターフェースに設定された1つのユニキャストアドレス。ルーティングはトポロジー的に最も近い宛先に配信します。DNSやリーフスパイン設計のデフォルトゲートウェイなどのサービスでよく使用されます。エニーキャストには特別なビットパターンはなく、運用上の慣行です。

プレフィックス、インターフェース識別子、サブネット計画：

• 最も一般的なLANのプレフィックス長は/64です。SLAACには/64が必要です。インターフェース識別子 (IID) は64ビットです。
• IIDの形成方法：
  • EUI-64は、インターフェースのMACアドレスの中央にfffeを挿入し、universal/localビット（7ビット目）を反転させることでIIDを導出します。Cisco IOSでの例：ipv6 address 2001:DB8:5:112::/64 eui-64。
  • プライバシーIID（一時アドレス）は、ホストの追跡を軽減するためにIIDをランダム化します。RFC 7217は、プレフィックスごとに安定しつつランダムなIIDを定義しています。
• 計画のガイダンス：
  • 階層的な集約を使用します（例：サイトごとに/48、ビルごとに/56、VLANごとに/64）。
  • ポイントツーポイントリンクでは/127を使用して、サブネットルーターエニーキャストを排除し、特定のスキャン攻撃やND枯渇攻撃を防ぐことができます。ただし、そのようなリンクでSLAACを使用する場合は/64を維持します。
  • インターネットから到達可能なネットワークにはGUAを予約します。純粋に内部のセグメントには、内部アドレッシングをISPの割り当てから切り離すためにULAを検討します。NAT66は避けてください。ポリシーやプロバイダーからの独立性のために変換が必要な場合は、慎重に対称性を考慮したNPTv6プレフィックス変換を優先します。

IPv6自動設定、近隣探索、マルチキャスト

ルーター広告 (RA) とアドレス割り当て：

• RAは、オンリンクプレフィックス、デフォルトゲートウェイのライフタイム、およびホストの動作を制御するフラグを伝達します：
  • SLAAC: ホストはRAのプレフィックス情報オプション (PIO) を使用してIID（EUI-64またはプライバシー）を作成します。
  • ステートレスDHCPv6: RAの「Other Configuration」フラグが設定されます。ホストはDNSやその他のパラメータにはDHCPv6を使用しますが、アドレスには使用しません。
  • ステートフルDHCPv6: RAの「Managed」フラグが設定されます。ホストはDHCPv6からアドレスとパラメータを取得します。RAは引き続きデフォルトゲートウェイを提供することがあります。
• Ciscoに関する注意：ipv6 unicast-routingが有効で、リンクプレフィックスが存在する場合、L3インターフェースからRAが送信されます。ipv6 ndコマンドによるチューニングで、間隔やフラグを制御します。
• SVIでステートレスDHCPv6を通知する例：
  • interface Vlan10 ipv6 address 2001:db8:10:10::1/64 ipv6 nd other-config-flag

近隣探索プロトコル (NDP) とICMPv6：

• ICMPv6はIPv6の制御を支えます：ルーター要請 (RS)、ルーター広告 (RA)、近隣要請 (NS)、近隣広告 (NA)、リダイレクト。
• 重複アドレス検出 (DAD) は、仮アドレスの要請ノードマルチキャスト宛にNSを使用します。応答 (NA) を受信した場合、そのアドレスは割り当てられません。
• デフォルトルーターの選択はRAから導出されます。近隣ノードとデフォルトルーターは近隣キャッシュ（ARPテーブルに類似）にキャッシュされます。運用上の問題は、しばしば古い、または不完全な近隣キャッシュエントリに起因します。

マルチキャストの動作と要請ノードマルチキャスト：

• IPv6にはブロードキャストがありません。マルチキャストグループは特定の機能を対象とします：
  • ff02::1 全ノード（IPv6が有効になるとすべてのインターフェースが参加）。
  • ff02::2 全ルーター（ルーターインターフェースは参加するが、ホストは参加しない）。
  • ff02::1:ffXX:XXXX 要請ノードマルチキャスト。割り当てられた各ユニキャスト/エニーキャストアドレスは、アドレスの下位24ビットを使用して1つの要請ノードグループにマッピングされます。NDPがL2アドレスを効率的に解決するために使用します。
• IPv6マルチキャストのレイヤー2マッピングには、MACアドレス 33:33:xx:xx:xx:xx を使用します。スイッチでのイーサネットマルチキャストフィルタリングとMLDスヌーピングにより、過剰なフラッディングを防ぎます。

一般的な障害モードとトレードオフ：

• RAが欠落またはフィルタリングされると、ホストはリンクローカルアドレスのみを自己設定することになり、接続性がローカルのみに限定されてしまいます。
• RAフラグの誤設定は、意図しないDHCPv6への依存やDNS設定の欠如を引き起こします。
• EUI-64はOUI由来の識別子を公開してしまいます。プライバシーIIDは、ACLの運用安定性を犠牲にして追跡を軽減します。
• DADの失敗は、同一リンク上でのエニーキャストのような重複アドレスで発生します。それに応じてゲートウェイの冗長性設計を調整してください。

IPv6ルーティングと移行

静的ルートとデフォルトルート:

• デフォルトルート: ::/0。例:

undefined

• リンクローカルのネクストホップを使用する場合、スコープを明確にするために出口インターフェースを含めます。

• ネットワークルートの例:

undefined

undefined

• 運用上の注意点:
  • 再帰的なネクストホップ解決にはネイバーエントリが必要です。NDの障害は、CEFで未解決の隣接関係として表示されます。
  • アドミニストレーティブディスタンスとメトリックが候補ルート間の優先度を決定し、転送にはロンゲストプレフィックスマッチが使用されます。

ルーティングテーブルのルックアップ:

• ロンゲストプレフィックスマッチにより最も具体的なルートが選択されます。一致した場合は、プロトコルの優先度とメトリックが考慮されます。Connectedルートとlocalルートが最も優先され、直接接続されたネクストホップを提供します。

デュアルスタック、トンネリング、および移行:

• デュアルスタック: IPv4とIPv6を並行して実行します。トラブルシューティングが最も簡単で、ネイティブなパフォーマンスを提供しますが、コントロールプレーンとセキュリティポリシーの作業が2倍になります。
• トンネリング (IPv6-in-IPv4): 手動または動的トンネル、GRE、および6RDは、IPv4コア上でIPv6を伝送します。プロバイダーがネイティブIPv6を提供していない場合に役立ちますが、MTUとPMTUDの考慮が重要です。トンネルはカプセル化のオーバーヘッドと運用上の複雑さを追加します。
• 変換: NAT64/DNS64は、IPv6のみのクライアントがIPv4のみのサーバーに到達できるようにします。ステート、プロトコルのエッジケース（埋め込みIP、リテラル）、およびデバッグの複雑さを導入します。NPTv6は、対称パスを持つプロバイダーからの独立性のために、ステートレスなプレフィックス変換を提供します。
• 設計上のトレードオフ:
  • まずエッジで、次にコアでネイティブのデュアルスタックを優先します。
  • 明確な廃止計画とともに、移行のための一時的な足場としてトンネルを使用します。
  • IPv6のみのセグメントについては、アプリケーションの準備状況とNAT64の配置を計画します。

IPv6ファーストホップセキュリティの概念:

• RA Guard: 信頼されていないアクセスポートで不正なRAをブロックし、不正なゲートウェイを防ぎます。
• DHCPv6 Guard: 不正なDHCPv6サーバーメッセージをブロックします。
• IPv6 Snooping and Binding Table: IPv6-MAC-ポートのバインディングを学習し、強制機能に情報を提供します。
• IPv6 Source Guard and ND Inspection: 送信元アドレスの有効性を強制し、バインディングテーブルに対してNDPメッセージを検証して、スプーフィングを停止します。
• SeND (Secure NDP) は存在しますが、PKIの複雑さのため、めったに展開されません。
• MLD Snooping: マルチキャストを関心のある受信者に限定し、フラッディングを削減します。

検証とトラブルシューティングのワークフロー

ベースラインチェック:

• グローバルIPv6が有効になっていることを確認:

undefined

。

• インターフェースの状態とアドレッシング:

undefined

;

undefined

でリンクローカル、RA設定、NDパラメータを確認。

• ホストが学習したRAとデフォルトルーターを検証:

undefined

、およびホスト上でデフォルトルートとSLAAC/DHCPv6の状態を調査。

ネイバー探索とパス解決:

• ネイバーキャッシュを確認:

undefined

; エントリが古い場合は

undefined

。

• IPv6でpingとtracerouteを使用。リンクローカル（送信インターフェースでスコープ指定）とグローバルアドレスの両方をテストし、オンリンクとオフリンクの問題を切り分ける。

ルーティング:

• ルーティングテーブルを調査:

undefined

; 宛先に対する最長一致を確認。

• 静的ルートとネクストホップへの到達可能性を検証。リンクローカルのネクストホップについては、指定された出力インターフェースがネイバーをREACHまたはSTALE状態で保持していることを確認。
• CEFと隣接関係:

undefined

で解決済みの隣接関係を確認。未解決の場合はNDまたはARPと同様の障害を示唆。

コントロールプレーンの健全性:

• ICMPv6カウンター:

undefined

でNS/NA/RA/RSの量とドロップを監視。

• スイッチ上で、ファーストホップのセキュリティポリシーとMLDスヌーピングのステータスを検証し、正当な制御トラフィックがブロックされていないことを確認。

よくある落とし穴:

• ルーターで

undefined

を忘れると、RAとルーティングが妨げられる。

• プレフィックス長の設定ミスは、ホストが宛先をオンリンクまたはオフリンクとして誤って扱う原因となる。症状には、オフリンクプレフィックスに対するNDPクエリやデフォルトルートの欠落が含まれる。
• トンネル越しのMTU/フラグメンテーションはPMTUDを破壊する。大きすぎるICMPv6「Packet Too Big」メッセージの処理を監視する。

実践的な問題シナリオ

Northwind Textiles社は、MPLS WANが6ヶ月間IPv4のみのままである中、本社キャンパスにIPv6を展開しています。課題は、ユーザーVLANにデュアルスタックサービスを提供し、ネイティブIPv6インターネットアクセスとセキュアなファーストホップの動作を確保しつつ、IPv4のMPLSコアを使用してビル間でIPv6を伝送することです。

アプローチ:

1. IPv6の有効化とアドレッシング計画の確立

• キャンパスルーターとSVIで

undefined

を設定。ISPから/48 GUAを

undefined

として割り当て、ユーザーVLANごとに/64を、ルーテッドPoint-to-Pointリンクには/127を切り出す。論理的根拠: /64はSLAACをサポートし、P2Pの/127は攻撃対象領域を削減し、サブネットルーターエニーキャストを排除する。

2. DNS用にステートレスDHCPv6とSLAACを展開

• SVIで、

undefined

と

undefined

を設定。RDNSSオプションのためにDHCPv6を立ち上げるか、ステートレスDHCPv6を使用してDNSサーバーを提供する。論理的根拠: SLAACはクライアント設定のオーバーヘッドを最小限に抑え、ステートレスDHCPv6はアドレスの状態を追加することなく重要な非アドレスパラメータを供給する。

3. MPLSコアを越えるIPv6-in-IPv4 GREトンネルの構築

• ビル間のルーターにキープアライブ付きのPoint-to-Point GREトンネルを作成し、IPv6 IGPを実行するか、トンネルを越える静的なIPv6ルートを配置する。論理的根拠: GREはIPv4のみのプロバイダー上でIPv6を予測可能なパスでカプセル化し、キープアライブはパス障害を検出する。MTUはフラグメンテーションを避けるために調整される（tunnel path-mtu-discoveryまたはinterface mtuチューニング）。

4. インターネットエッジからデフォルトルートを広告

• インターネットエッジで、ISPに向けて

undefined

をインストールし、デフォルトルートをキャンパスIGPに広告する。論理的根拠: 一元化された出口は対称的なフローと一貫したポリシー制御を保証し、デフォルトルートの配布はキャンパスのルーティングを簡素化する。

5. アクセススイッチでファーストホップを保護

• ユーザー向けポートでRA GuardとDHCPv6 Guardを有効にする。IPv6 Snoopingを有効にしてバインディングテーブルを生成し、IPv6 Source Guardを強制する。論理的根拠: 不正なRAや未承認のDHCPv6サーバーを防ぎ、送信元検証はスプーフィングやネイバーキャッシュポイズニングを阻止する。

6. IIDとプライバシーの標準化

• インフラストラクチャのインターフェースには、安定したIID（手動の::1, ::2）または適切な場合はEUI-64を使用する。ユーザーにはプライバシー拡張を許可する。論理的根拠: 予測可能なインフラアドレスは運用を簡素化し、プライバシーIIDはゲートウェイの運用に影響を与えることなくユーザーを追跡から保護する。

7. 検証と監視

undefined

と

undefined

でRAを検証し、

undefined

と

undefined

でネイバーテーブルとトンネルの隣接関係を確認する。利用可能な場合は

undefined

とNetFlow/IPFIXでベースラインを確立する。論理的根拠: 初期のベースラインは逸脱を迅速に特定し、NDとトンネルの健全性は転送に直接影響する。

8. IPv6のみのサービスに対するコンティンジェンシープラン

• パイロット的なIPv6のみのセグメントが必要な場合は、IPv4のみのサイトへのアクセスのためにキャンパスエッジにNAT64/DNS64を配置する。論理的根拠: NAT64は、対象となる最新のエンドポイントでデュアルスタックを避けつつ、段階的なIPv6導入を可能にする。スコープを限定した使用は、変換の複雑さを抑制する。

この計画は、最小限の中断でIPv6をオンラインにし、ファーストホップのリスクを抑制し、ネイティブIPv6がエンドツーエンドで利用可能になるまで、制御されたトンネリングで一時的なプロバイダーのギャップを埋めるものです。

← IPv4アドレッシング、サブネッティング、ルーティング · すべてのドメイン · 動的ルーティングとIP接続性 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →