2026-07-18 11:11:50

ファイアウォール（FW）の「ステートフルインスペクション」とルーティングを混同していた

ネットワークスペシャリスト試験の過去問を使った勉強をしているときに、タイトルの内容を混同していたのでメモ。

2022年 令和4年 の午前1の問2の設問1の(5)の解説に悩みました。

なぜ本社の IPsec ルータに静的なデフォルトルートが必要なのかが分からなかったです。

最初はこう考えていました

1. 営業所の IPsec ルータが本社の IPsec ルータと IPsec VPN を確立するための通信を開始する
2. 本社の IPsec ルータが何かしらの返答を行いたい
3. 営業所からのリクエストに対するレスポンスなのでルーティングテーブルにエントリーがなくてもOK
4. ＝＞ﾀﾞﾒｰ

正しくこうみたい（これが正しいかは不明です）

1. 営業所の IPsec ルータが本社の IPsec ルータと IPsec VPN を確立するための通信を開始する
2. 本社の IPsec ルータが何かしらの返答を行いたい
3. 返答を行うために表２の｛拠点：本社、機器名： IPsec ルータ、 VRF 識別子：65000:1 （インターネット側用ルーティング）｝に記載されているデフォルトルートが必要
4. ｵﾜﾘ

デフォルトルートが必要な理由には営業所のIPsecルータのインターネット側のグローバルIPアドレスが動的だからデフォルトルート(宛先ネットワークが 0.0.0.0/0 )が必要という内容が求められていました。

なぜ勘違いしていたか

ルータ系はリクエストに対するレスポンスならルーティングテーブルにエントリーがなくても通信できると思っていましたが、冷静に考えて無理です。

何を勘違いしていたかと言うとタイトルにあるとおり、FWの「ステートフルインスペクション」と混同していました。「ステートフルインスペクション」の僕の理解は、「リクエストに対応するレスポンスは、ルールになくても自動的に通信を許可する」というものです。

おわり

少しだけ解像度が上がりました。