復習問題 2026-09-23

b（/26）

昨日は「8分割するには？」と分割数から逆算しました。今日は収容台数から逆算する形です。向きが違うだけで、使う表は同じです。

ポイントは、1ブロックのアドレス数がそのまま収容台数にはならないことです。各サブネットでネットワークアドレスとブロードキャストアドレスの2個が埋まるので、収容できるホスト数＝ブロック幅 − 2 になります。

50 台を収容できるのは /26（62台）までで、/27 は 30 台しか入らず足りません。a の /25 でも収容はできますが、2分割にしかならず「最もサブネット数が多く」の条件で負けます。つまり条件を満たすぎりぎりの行を選ぶ問題です。

この「−2」を忘れると、ちょうど境目（50台に対する /27 の30台、100台に対する /26 の62台）で必ず1行ずれます。表を書いたら先に「−2」まで書いてしまうのが安全です。

b（ドメイン名から IP アドレスを求める）

昨日の第2問・第3問で出てきた誤答の選択肢が、そのまま今日の a・c・d です。4つまとめて一枚の表にしておくと、以後この系統は考えずに切れます。

Web ページを開くまでの順番で並べると、この4つは一本につながります。①DHCP で自分の IP と DNS サーバの場所をもらう → ②DNS でアクセス先の IP を引く → ③その IP が同一セグメントの外なら ARP でゲートウェイの MAC を引く → ④ルータで NAPT により変換されて外へ出る。バラバラに覚えるより、この1本の流れで覚えるほうが崩れません。

a（ポートフォワーディング／静的 NAT の設定）

昨日の NAPT の続きです。NAPT の変換表は内側から外へ出ていく通信のときに作られます。「この内側 IP＋ポートは、外向きにはこのポート番号」という対応が、そのとき初めて記録される。

ということは、外から突然パケットが届いても、ルータは変換表に手がかりがなく、どの内側ホストへ渡せばよいか決められません。だから外発の通信は素通しでは届かない。これは NAPT の欠陥ではなく、結果的に簡易なファイアウォールとして働いている状態です。

そこであらかじめ対応を固定で書いておくのがポートフォワーディングです。「TCP 443 番宛ては 192.168.1.10 の 443 番へ」と静的に登録しておけば、変換表を引くまでもなく転送されます。

b はゲートウェイを消すだけでサーバが外部と通信できなくなり逆効果です。c の /32 は自分自身だけのアドレス範囲になり、同じく通信できません。d の ARP テーブルは同一セグメント内の MAC 解決の話で、そもそも外部からの到達性とは層が違います（ARP は L2、ここで必要なのは L3/L4 の変換）。「届かない」の原因がどの層にあるかを先に決めると、この手の選択肢は落ち着いて切れます。

c（管理者が変更できない場所へ保全し、保存期間を定める）

昨日の最小権限の続きで、午後 問11 システム監査の頻出論点です。監査証跡に求められるのは、ひとことで言えば「操作した本人が、後から書き換えられないこと」。これに尽きます。

監査は「ルールどおり運用されたか」を事後に検証する作業なので、検証の材料であるログを、検証される側が自由にできてはいけません。だからログサーバを別に立てて転送する、書き換え不可の媒体に残す、といった形をとります（職務分掌の考え方が、そのままログの置き場所に現れた形です）。

a は事故が起きてから取り始めても、肝心の事故の前後が残っていないので証跡になりません。b は本人が消せる状態そのもので、不正の隠蔽を許します。d は逆方向のやりすぎで、ログには誰が何にアクセスしたかという機微な情報が含まれるため、参照権限も必要な人に限ります（最小権限は、ログ自体にも適用される）。

保存期間を定める点も忘れがちですが、これも重要です。短すぎれば検証できず、無期限に貯めれば管理コストと漏えいリスクだけが増える。「定めて管理している」こと自体が監査の確認事項になります。