社内サーバへの配送

端末からWebサーバへ送るパケットは、途中のルータを宛先IPにして進むのでしょうか。通常のルーティングでは、宛先IPは最終的な相手のままです。次に渡す機器と最終宛先を分けると、サブネット、経路表、NATの役割がつながります。

この記事で理解すること

IPアドレスとプレフィックスから同じネットワークか判定する。
経路表の最長一致で次ホップを選び、往復の経路を確認する。
NAT・NAPTの前後でIPアドレスとポートを追う。

例は架空のオフィスです。端末は192.168.10.70/26、ゲートウェイは192.168.10.65、社内サーバは192.168.20.10です。外部サーバと境界の外側アドレスには文書用の203.0.113.80、198.51.100.10を使います。実際のインターネット上で使う接続先ではありません。

IPアドレスとサブネット：32ビットの境界を読む

IPv4アドレスは32ビットで、通常は8ビットずつ四つの十進数で表します。/26は先頭26ビットをネットワーク部として扱う表記で、残る6ビットがその範囲内の位置を表します。サブネットマスクは255.255.255.192です。

宛先が同じサブネットかは、自分と宛先のIPアドレスに同じマスクでビットANDを行い、ネットワーク部が一致するかで判定します。先頭の三つの数が同じでも、/26なら最後の8ビットの上位2ビットまで比較するため、必ず同じとは限りません。

text

端末 192.168.10.70/26
最後の8ビット：70 = 01000110
マスクの最後：192 = 11000000
ANDの結果：64 = 01000000
ネットワーク：192.168.10.64/26
範囲：192.168.10.64 ～ 192.168.10.127

対象	この例での値
ネットワークアドレス	192.168.10.64
ブロードキャストアドレス	192.168.10.127
通常の端末用範囲	192.168.10.65～126
通常の端末用個数	2の6乗−2＝62

一般的なIPv4サブネットでは先頭をネットワークアドレス、末尾をブロードキャストアドレスに使います。/31のポイントツーポイント接続や/32の単一アドレスなどは扱いが異なるため、「どんなプレフィックスでも必ず2を引く」と覚えないようにします。IPv6もこの個数計算をそのまま適用しません。

同じネットワークへ直接送る場合と、ルータへ渡す場合

端末の通常の接続経路では、192.168.10.90は同じ/26の範囲なので、相手へ直接渡します。192.168.10.130は別の範囲なので、別の経路指定がなければゲートウェイへ渡します。端末にも経路表があり、特別な経路が設定されている場合はその条件を含めて判断します。

IPv4のEthernetでは、同じリンク上の次ホップのMACアドレスをARPで調べます。相手が別ネットワークなら、調べるのは通常ゲートウェイのMACアドレスです。遠くのサーバのMACアドレスをARPで取得して、そのまま全経路を進むわけではありません。

社内サーバへの配送

IPの最終宛先と、リンク上で次に渡す相手は別です。各Ethernet区間ではフレームの送信元・宛先MACが変わります。

NATがなければ、送信元IPは端末、宛先IPは社内サーバのままです。ルータはIPv4のTTLを減らし、出力先リンクに合わせてフレームを作ります。TTLは転送ループによる無限の周回を抑える値で、DNSのキャッシュ有効時間を表すTTLとは用途が違います。

経路表：最も長く一致するプレフィックスを選ぶ

ルータは宛先に一致する経路の中で、通常はプレフィックス長が最も長い経路を選びます。これを最長一致と呼びます。複数の同じ長さの経路がある場合は、優先度・メトリックや等コスト分散などの規則が関わるため、問題や設定の条件を確認します。

宛先ネットワーク	転送先
192.168.20.0/24	社内サーバ用リンク
192.168.0.0/16	拠点向けルータ
0.0.0.0/0	インターネット境界

192.168.20.10は/24と/16と/0に一致し、/24を選びます。192.168.30.10は/16、203.0.113.80は/0を選びます。デフォルトルートの/0は、より具体的な一致がないときの送り先です。経路表の上に書かれた行を無条件に使うわけではありません。

次ホップは、その経路で次に渡すルータです。経路があることと相手へ到達できることは同じではありません。次ホップまでのリンク障害、転送禁止、相手の停止、戻り経路の欠落でも応答は得られません。通信を往路だけで判断しないことが大切です。

NATとNAPT：何を変換するかを区別する

NATはネットワークアドレスを別のアドレスへ対応付ける仕組みです。NAPTはIPアドレスに加えてTCP・UDPのポートなども対応付け、複数の内部通信を一つの外側IPアドレスで区別できます。実務で「NAT」とまとめて呼ぶことがありますが、問題では変換対象を明示します。

プライベートIPv4アドレスは10.0.0.0/8、172.16.0.0/12、192.168.0.0/16です。組織の内部で利用でき、別組織でも同じ値を使えますが、そのまま一般のインターネットへ経路広告して到達させるためのアドレスではありません。

外向きNAPTの前後

目的と処理する場所を対応付けて読みます。

この例では境界装置が送信元を変換し、変換表を保持します。戻るパケットの宛先198.51.100.10:40001を内部の192.168.10.70:51000へ戻します。同じ外側IPを使う別端末には別の対応を作ります。値の割当方法や表のキーは装置・方式によって異なります。

外から内部サービスへ接続させる場合は、静的な宛先変換やポート転送などの設定と許可規則を確認します。変換する設定だけで通信を許可するとは限りません。NATは暗号化や利用者認証の代わりにはならず、FWの許可・拒否やTLSの経路保護と役割が異なります。

疎通しないときの切り分け

まず端末のIP・マスク・ゲートウェイを確認し、次に同じリンク、経路、変換、許可規則、相手の待受け、戻り経路を追います。マスクを誤って/24にすると、実際は別リンクの192.168.10.130を直接接続だと思い、ゲートウェイを使わずARPを繰り返すことがあります。

pingへの応答がないだけでは、機器の停止とは断定できません。ICMPを拒否していてもWeb接続は許可される場合があります。端末・境界・サーバの記録を時刻と変換表で対応付け、どこまで要求が届いたかを確かめます。NAPTで送信元が変わるため、外側ログのIPだけで内部端末を一意に決めないようにします。

演習1：同じサブネット

条件：端末は192.168.10.70/26。宛先は192.168.10.90。特別な経路はない。

問い：通常は直接送るか。

解答例：直接送る。どちらも192.168.10.64/26に属するため。

根拠と誤答の確認：先頭三つの数だけでなく/26の範囲を確認します。

演習2：アドレス数

条件：通常のIPv4 LANに192.168.10.64/26を割り当てる。

問い：端末用に使える個数は幾つか。

解答例：62個。ホスト部6ビットの64個からネットワークとブロードキャストの2個を除く。

根拠と誤答の確認：ゲートウェイもこの62個の一つを使用するため、一般端末を62台置けるとは限りません。

演習3：最長一致

条件：上の経路表で宛先は192.168.20.10。

問い：どの経路を選ぶか。

解答例：192.168.20.0/24の経路。宛先に一致する中で最も長いプレフィックスのため。

根拠と誤答の確認：デフォルトルートに一致しても、より具体的な経路を優先します。

演習4：ゲートウェイへの送信

条件：端末から社内の別ネットワークへ送る。NATはない。

問い：最初のフレームの宛先MACとパケットの宛先IPは誰のものか。

解答例：宛先MACは次ホップのゲートウェイ、宛先IPは最終宛先のサーバ。

根拠と誤答の確認：ルータへ渡すたびにIPの宛先をルータ自身へ置き換えるわけではありません。

演習5：NAPTの応答

条件：外側の送信元が198.51.100.10:40001に変換され、内部の対応は192.168.10.70:51000。

問い：戻る応答の宛先はどう変換するか。

解答例：198.51.100.10:40001から192.168.10.70:51000へ戻す。

根拠と誤答の確認：往路の送信元変換に対応する復路の宛先変換を追います。

演習6：片道だけの経路

条件：要求はサーバに届くが、サーバ側ルータに端末ネットワークへの経路がない。

問い：応答が返らない理由を述べる。

解答例：戻りのパケットを端末側へ転送する経路がなく、往復通信が成立しないため。

根拠と誤答の確認：往路の経路があるという事実だけでは復路を保証しません。

参照資料とこの記事の範囲

事例・図・演習は教材用に独自に作成しました。技術仕様とIPAの公開資料を照合し、特定年度の問題本文を前提にせず学べる構成にしています。

RFC4632 CIDR

RFC3022 NATとNAPT

RFC1918 プライベートアドレス

RFC3021 /31のポイントツーポイント接続

IPA APシラバス

IP・サブネット・経路・NAT｜宛先と変換前後を追って通信を理解する