Cisco 300-410: 高度なIPv4およびIPv6アドレッシング — 学習ガイド

By Laurynas Brazys · 16 August 2026 · #cisco #300-410 #certification #exam-prep #study-guide

こちらの一部です： Cisco CCNP Enterprise 300-410 ENARSI — 学習ガイド. 検証済みの解答で練習： Cisco試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

概要

高度なIPv4およびIPv6アドレッシングは、安定したルーティング、予測可能なフォワーディング、スケーラブルな集約、そしてセキュアなファーストホップの動作の基盤となります。このセクションでは、プレフィックスの選択方法、アドレッシング計画が要約によってどのようにスケールするか、IPv6アドレッシングとネイバー探索 (Neighbor Discovery) がどのように動作するか、デュアルスタックと移行で考慮すべきこと、そしてフォワーディングを検証する方法について説明します。また、設計と運用が信頼性の高い結果に収束できるように、一般的な障害モードとトレードオフについても解説します。

IPv4ルート選択とスケーラブルなアドレス計画

最長プレフィックス一致 (LPM): ルーターは常に最も具体的なルートを優先します。/32のホストルートは/24を上書きし、/24は/16を上書きします。これはプロトコルに関係ありません。設計上の考慮事項: トラフィックエンジニアリングで精度が求められる箇所では、具体的なルートが存在することを確認してください。そうしないと、要約によって到達可能性の変更が隠蔽され、最適でないパスやブラックホールが発生する可能性があります。
アドミニストレーティブディスタンス (AD): 複数のソースが同じプレフィックス長を提供する場合、AD値が最も低いルートが優先されます (デフォルトでは、connected < static < eBGP < IGP < iBGP)。意図を持って設計してください:
- プライマリの動的ルートの背後にある制御されたフォールバックとして、フローティングスタティック (より高いAD) を使用します。
- 意図しない上書きを避けてください。AD値の低いスタティックルートは、IGPで学習したパスをサイレントに抑制する可能性があります。
スタティックルートの設計:
- ネクストホップ vs 送信インターフェース: ip route 192.0.2.0 255.255.255.0 198.51.100.1 は再帰的な解決を行い、L2の変更に対して回復力があります。ip route 192.0.2.0 255.255.255.0 GigabitEthernet0/0 は、マルチアクセスセグメントでパケットごとのARPをトリガーする可能性があり、複数のネクストホップが存在する場合に誤転送する可能性があります。
- リンク障害: アップストリームの障害時にスタティックなデフォルトルートを無効にするために、インターフェースまたはIP SLAオブジェクトを追跡します。
- 要約の保護: 具体的なルートが欠落している場合にループを防ぐため、要約に一致するNull0への破棄ルートをインストールします。
  - 例: ip route 10.16.0.0 255.255.0.0 Null0 250
可変長サブネットマスク (VLSM): 必要に応じたサイズのサブネットを割り当てます。利点としては、階層化と組み合わせることで、より高い使用率とより少ないプレフィックス数が挙げられます。リスクとしては、要約を妨げるフラグメンテーションが挙げられます。
ルート要約:
- ディストリビューションまたはコアの境界で要約を行い、障害ドメインを抑制し、コントロールプレーンの状態を縮小します。
- ネットワークの成長に合わせて集約を維持するために、境界はバイナリ (ニブル) 境界に合わせる必要があります。
- トレードオフ: 要約は、より具体的なルートの取り消しを隠し、ブラックホールにつながる可能性があります。対策:
  - (トラフィックエンジニアリングなどのために) 重要な具体的なルートをリークし、到達可能性を監視します。
  - 正確な最長一致の例外や、到達可能性プローブに連動した条件付き広告を使用します。
アドレス計画のスケーラビリティと重複:
- 階層的な割り当て: サイト/リージョン/役割ごとにブロックを予約します。要約を破壊する二次的およびアドホックなアドレッシングを防ぎます。
- 割り当てに関する信頼できる唯一の情報源を維持し、各ブロック内で成長分を事前に予約することで、重複を避けます。
- DMZ/ゲスト/サービスの分離は、ポリシーを簡素化し、影響範囲 (blast radius) を縮小します。

IPv6アドレスタイプと計画設計

リンクローカル (FE80::/10): 自動設定され、すべてのインターフェースで必須です。リンク上でのNDおよびルーティングのネクストホップに使用されます。ルーティング不可であり、アンダーレイの隣接関係において唯一機能するアドレスである場合があります。運用上の注意: スタティックルートでリンクローカルのネクストホップを使用する場合、送信インターフェースを指定する必要があります。
グローバルユニキャスト (2000::/3): インターネット上でルーティング可能です。階層的に割り当てます (例: サイトごとに/48、LANごとに/64)。ACLと要約を簡素化するために、ニブル境界に合わせた割り当て (/48, /56, /60, /64) を推奨します。
マルチキャスト (FF00::/8): ND (要請ノードマルチキャスト)、ルーティングプロトコル、およびサービスによって使用されます。高密度のL2ドメインでは、MLDとコントロールプレーンポリシングがこれらのグループを考慮していることを確認してください。
エニーキャスト: 複数のノードに同じアドレスが設定されます。トラフィックはルーティングによって最も近いインスタンスに配信されます。一般的に、ファーストホップゲートウェイや再帰DNSに使用されます。障害モード: 運用上、ユニキャストと区別がつきません。場所を文書化し、到達可能性を監視しないと、間違ったノードをトラブルシューティングする可能性があります。
ユニークローカル (FC00::/7): インターネットでルーティング不可で、内部で一意です。内部サービスや、プロバイダーの再ナンバリングが予想される場合の安定した識別子として役立ちます。プロバイダー変更後もホストアドレッシングを維持する必要がある場合にのみNPTv6を使用してください。NPTv6はプレフィックス長は保持しますが、エンドツーエンドのアドレス透過性は保持しないことを理解してください。
インターフェース識別子: プライバシー漏洩を減らすために、EUI-64よりも安定したランダムなIID方式 (RFC 7217) を推奨します。サーバーやインフラストラクチャには、OAMとACLを簡素化するために番号付きIIDを使用します。

IPv6近隣探索、ICMPv6、および自動設定

ICMPv6はコントロールプレーンで非常に重要です:
- ルーター要請 (RS) とルーター広告 (RA) は、デフォルトゲートウェイの学習とオンリンク判定を駆動します。
- 近隣要請 (NS) と近隣広告 (NA) はARPを置き換えます。到達可能性とDADはこれらに依存します。
- リダイレクトはファーストホップのパス最適化を提供します。セキュアなセグメントでは無効化を検討してください。
重複アドレス検出 (DAD): アドレスが有効になる前に実行されます。障害モード: VMや不正な動作をするホストが有効なアドレスをNAKする可能性があります。DADの障害をログに記録し、port-securityやNDインスペクションを介して違反者を隔離します。
SLAACとDHCPv6の比較:
- SLAAC: ホストはRAからアドレスを生成し、デフォルトゲートウェイもRAから取得します。利点: サーバーへの依存がなく、運用がシンプルです。制限事項: 中央集権的な制御が限定的で、ホストのDNSオプションにはRAのRDNSSまたはDHCPv6が必要です。
- ステートレスDHCPv6: SLAACをアドレスではなくパラメータ (DNS、ドメイン) で補完します。RAフラグ: O=1, M=0。
- ステートフルDHCPv6: サーバーがアドレスとオプションを割り当てます。RAフラグ: M=1 (Oは0または1の場合があります)。監査や予約が必要な場合 (サーバー、規制対象デバイス) に使用します。
リレーエージェントの設計:
- DHCPv6サーバーを中央に配置し、L3ゲートウェイに ipv6 dhcp relay destination <server-address> [interface] を使用してリレーを展開します。
- リレーがサーバーへの最短パスをたどること、およびインフラのACLがUDP 546/547とICMPv6を許可することを確認します。
- 障害モード: 非対称ルーティングによりリプライがリレーに到達できなくなることがあります。プレフィックスの重複やRAストームはアドレスチャーンを引き起こします。デバイスの役割を制御することで、意図したルーターのみがアクセスセグメントでRAを送信するようにします。

IPv6ルーティング、ファーストホップセキュリティ、デュアルスタック、およびトラブルシューティング

IPv6静的ルート:
- デフォルト: ipv6 route ::/0 GigabitEthernet0/0 fe80::1 (リンクローカルネクストホップにはインターフェースの指定が必要)。
- グローバルユニキャストを使用した再帰的ネクストホップ: ipv6 route 2001:db8:10::/48 2001:db8:ffff::1
- プロバイダーパスに障害が発生した際にデフォルトルートを無効にするため、オブジェクトトラッキングでアップストリームの到達可能性を追跡する。
送信元ベースルーティング:
- 従来のRIBは宛先ベースです。IPv6 PBRまたはVRF選択を使用して、送信元を意識した転送を実装します。
- 例 (IPv6 PBR):
  - ipv6 access-list SRC-SITEA permit ipv6 host 2001:db8:100::/64 any
  - route-map V6-SADR permit 10 match ipv6 address SRC-SITEA set ipv6 next-hop 2001:db8:1::1
  - interface GigabitEthernet0/1 ipv6 policy route-map V6-SADR
- 注意: ポリシーベースルーティングは、ルーティングテーブルを変更せずに転送を変更します。障害処理は慎重にテストしてください。一部のset default next-hopの亜種は、ネクストホップが解決できなくても転送してしまいます。
デュアルスタック、変換、移行のトレードオフ:
- デュアルスタック: IPv4とIPv6をネイティブに実行します。利点: プロトコルの等価性、変換の複雑さが最小限。欠点: コントロールプレーンの規模が2倍になる。セキュリティポリシーは両方のファミリーをカバーする必要がある。
- 変換: NAT64/DNS64により、IPv6のみのクライアントがIPv4サーバーに到達できます。利点: IPv6のみのアクセスレイヤーの導入を加速します。欠点: リテラルのIPv4アドレスが機能しなくなり、IPリテラルやALGを使用するアプリケーションに影響を与える可能性があります。
- トンネリング: 限定されたドメインや、アンダーレイにIPv6がない場合に適しています。利点: 迅速な有効化が可能。欠点: MTU/PMTUDの複雑さ、運用の不透明性、追加のカプセル化オーバーヘッド。
- 移行ガイダンス: コアとディストリビューションではデュアルスタックを推奨します。新しいグリーンフィールドセグメントでは、NAT64を使用したIPv6のみのアクセスを検討してください。
IPv6ファーストホップセキュリティ:
- RA Guard: アクセスポートで不正なRAをブロックします。正規のルーターへのアップリンクのみを信頼します。バイパスを避けるため、プラットフォームが拡張ヘッダーを認識するRA Guardをサポートしていることを確認してください。
- DHCPv6 Guard: 信頼できないポートでサーバーメッセージをブロックします。正規のDHCPv6サーバーまたはリレーへのアップリンクのみを信頼します。
- ND inspection: SLAACおよびDHCPv6アドレスのバインディングを学習して保護し、NDスプーフィングやネイバーキャッシュの枯渇を防ぎます。ホストの頻繁な入れ替え時に誤検知を避けるため、port-securityと連携させます。
アドレッシングの検証とルート検索のトラブルシューティング:
- インターフェースアドレッシングとNDの検証:
  - show ipv6 interface brief
  - show ipv6 neighbors
- VRFごとのRIB/FIBの確認:
  - show ip route vrf NAME
  - show ipv6 route vrf NAME
  - show ip cef exact-route SRCIP DSTIP
  - show ipv6 cef exact-route SRCv6 DSTv6
- RA/DHCPv6の状態の確認:
  - show ipv6 routers
  - show ipv6 dhcp interface
- 送信元アドレスを明示したパケットテスト:
  - ping ipv6 DESTINATION source INTERFACE
- よくある落とし穴:
  - 最長プレフィックスが意図しない集約ルートを上書きします。漏洩した/32または/128ルートがないか確認してください。
  - ダウンしたインターフェースを指す静的ルートは、トラッキングによって削除されるまで残ります。
  - IPv6では、リンクローカルネクストホップでインターフェースを指定しないと、未解決のルートになります。
  - RA Guard/DHCPv6 Guardポリシーの適用場所を誤ると、正当な制御メッセージをブロックする可能性があります。インフラストラクチャポートを信頼済みとしてマークしてください。

実践的な問題シナリオ

Contoso Manufacturing社は、IPv4サービスを維持しつつ、2つのキャンパスにわたってIPv6を展開しています。同社は、スケーラブルなアドレッシング、安全なファーストホップの動作、キャンパスごとのデュアルアップリンク、および特定のVLANから送信されるトラフィックを優先ISPに誘導するポリシーを必要としています。

階層的なIPv6ブロックの割り当て

Campus Aに2001:db8:100::/48を、Campus Bに2001:db8:200::/48を割り当てます。各/48を、ビルごとに/56、VLANごとに/64にサブディビジョンします。
論理的根拠: ニブルアラインの境界により、ディストリビューションおよびキャンパスコアでのクリーンな集約が可能になり、ACLとルート広告が簡素化されます。

コアとディストリビューションにデュアルスタックを展開

ルーテッドリンク上でIPv4とIPv6を維持します。IPv6にはOSPFv3、IPv4にはOSPFv2を使用し、キャンパス間で/48の集約ルートを広告します。
論理的根拠: ネイティブ転送はトンネルのオーバーヘッドを回避し、トラブルシューティングを容易にすると同時に、エッジでの段階的なIPv6有効化を可能にします。

ユーザーVLANにはSLAACとステートレスDHCPv6を、サーバーにはステートフルDHCPv6を使用

ユーザーVLANのSVIでO=1、M=0のRAを有効にします。DNSとドメインオプションのためにDHCPv6を実行します。サーバーVLANではM=1を使用して、予約付きでアドレスを中央で割り当てます。
論理的根拠: ユーザーには最小限の運用オーバーヘッドで俊敏性が必要であり、サーバーには決定論的なアドレッシングと監査可能性が必要です。

ファーストホップのセキュリティを確保

すべてのアクセスポートにRA GuardとDHCPv6 Guardを適用します。ディストリビューションスイッチへのアップリンクのみを信頼します。アクセスVLANでND inspectionを有効にします。
論理的根拠: デフォルトゲートウェイをハイジャックしたり、ネイバーキャッシュを汚染したりする可能性のある不正なRAやDHCPv6サーバーをブロックします。ND inspectionは、強制適用のための正当なバインディングを構築します。

リンクローカルネクストホップを使用した回復力のあるIPv6デフォルトルーティングを設定

各キャンパスコアに、追跡される2つのデフォルトルートを設定します。
- ipv6 route ::/0 GigabitEthernet0/0 fe80::ISP1 track 10
- ipv6 route ::/0 GigabitEthernet0/1 fe80::ISP2 5
論理的根拠: リンクローカルネクストホップはインターフェースの指定が必要であり、プロバイダーの再ナンバリングがあっても安定しています。トラッキングにより、わずかに高いアドミニストレーティブディスタンスまたはメトリックを持つセカンダリへの迅速なフェイルオーバーが保証されます。

IPv6 PBRを使用して送信元ベースの出力ステアリングを実装

ビルA1のユーザーVLANではトラフィックをISP1に、ビルA2ではISP2に誘導します。
- route-map V6-STEER-A1 permit 10 match ipv6 address prefix-list A1-SOURCES set ipv6 next-hop 2001:db8:ISP1::1
- route-map V6-STEER-A2 permit 10 match ipv6 address prefix-list A2-SOURCES set ipv6 next-hop 2001:db8:ISP2::1
- 対応するSVIインターフェースにポリシーを適用します。
論理的根拠: 標準のRIBは宛先ベースの決定を行いますが、PBRはグローバルルーティングテーブルを変更せずに選択的に転送を上書きします。これにより、特定の送信元ブロックに対してSADRのような結果が達成されます。

破棄ルートで集約と保護を行う

Campus Aから2001:db8:100::/48を広告し、ipv6 route 2001:db8:100::/48 Null0 250を設定します。
論理的根拠: 集約はコントロールプレーンのチャーンを削減します。破棄ルートは、より具体的なルートが予期せず取り消された場合にループを防ぎます。

検証と継続的な運用

RAとDHCPv6の動作を確認:
- show ipv6 routers
- show ipv6 dhcp interface
ネイバーテーブルとバインディングを検証:
- show ipv6 neighbors
- プラットフォームごとのND inspectionのshowコマンド
ステアリングと到達可能性をテスト:
- sourceをA1およびA2のVLAN SVIに設定して、ping ipv6 2001:db8:: ターゲットに実行
- show ipv6 cef exact-route SRCv6 DSTv6 でPBRの決定を検証
論理的根拠: 送信元を明示したテストは、デフォルトゲートウェイの学習とPBRのパス選択を証明し、CEFのルックアップは実際のラインレートでの転送パスを確認します。継続的な監視により、RA/DHCPの異常を早期に検出できます。

すべてのドメイン · OSPFの設計、最適化、トラブルシューティング →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

試験に合格する →