【SC試験・午前1】ネットワークを攻略！OSI参照モデル・サブネット計算・伝送時間の頻出パターン完全ガイド

「サブネットマスクが /26 のとき、1つのネットワークに入るホストは何台か」

この問いに5秒で答えられるなら、午前1（科目A-1）のネットワーク分野はすでに得点源です。答えられないなら、この記事を読み終えた時点で答えられるようになります。ネットワークは範囲が広く見えますが、午前1で問われる形は「階層の対応表」「装置と動作層」「2の累乗の計算」「速度と時間の割り算」の4種類にほぼ収束します。覚える量より、手を動かす手順を持っているかどうかで差がつく分野です。

なお、IPAの発表によると、2026年度から試験区分の名称が変更される予定です。SC試験では午前Ⅰが科目A-1、午前Ⅱが科目A-2、午後が科目Bという呼び方になり、あわせてCBT方式へ移行する予定とされています（出題範囲・出題数・試験時間に変更はないとされています）。制度変更の詳細は「【2026年度版】情報処理安全確保支援士試験のCBT化で何が変わる？科目A/科目Bの新名称と対策の変え方」で解説しています。いずれも現時点では予定であり確定情報ではありません。本記事では検索でたどり着きやすい「午前1」の呼称を主軸にしつつ、新名称を併記して進めます。

筆者は1999年にインフラエンジニアとして仕事を始めました。当時のメイン業務はラックに据え付けられたサーバーへの設定作業でしたが、ネットワークについては配線をCEに任せ、ルーターの設定と設計を担当していました。サブネットを切り、静的経路を書き、疎通しないと言われては切り分ける。この記事で扱うサブネットマスクやルーティングテーブルは、当時ほぼ毎日触っていた道具です。試験問題として並ぶと無機質に見えますが、中身は現場そのものです。

本シリーズの全体戦略は導入記事「元CIOが実践するスタミナ温存術！「コスパ極振り」最短エスケープルート・完全版ロードマップ」に、前回のソフトウェアとハードウェアは「ソフトウェアとハードウェアを攻略！タスク管理・仮想記憶・論理回路の頻出パターン完全ガイド」にまとめています。本記事はテクノロジ系の第5回にあたり、SC試験の本体に最も直結する分野です。

この記事で学べること

• 午前1のネットワーク分野で「取る問題」と「捨てる問題」の線引き
• OSI基本参照モデル7階層とTCP/IP階層モデルの対応を、代表プロトコルごと1枚で押さえる方法
• リピータ・ブリッジ・ルータ・L3スイッチが動作する層と、分割されるドメインの違い
• サブネットマスクとCIDRの計算を、2の累乗表だけで機械的に解く手順
• ルーティングテーブルの読み方とロンゲストマッチの原則
• TCPとUDPの違い、3ウェイハンドシェイク、ウェルノウンポート番号
• DNS・DHCP・NAT/NAPTの動作と、無線LANの規格・暗号化方式
• 伝送時間と回線利用率の計算を、単位換算のミスなしで解く型

午前1のネットワークは「階層の対応表と3つの計算式」で取り切る

まず投資先を決めます。ネットワークは深追いすると際限がない分野なので、線引きが最も重要です。ここでいう3つの計算式とは、「サブネット計算」「実効速度」「伝送時間」の3つです。この3つと階層の対応表さえ押さえれば、午前1のネットワークは十分に戦えます。

午前1は30問中18問で通過する試験

午前1は50分・30問、基準点は60点です。18問正解すれば通過であり、12問は落としてよい。テクノロジ系は30問中17問前後を占め、そのうちネットワークは2問から3問という安定枠です。SC試験の受験者にとっては午前2・午後にも直結するため、この分野への投資は二重に回収できます。

裏を返すと、ネットワークだけを完璧にしても通過はできません。あくまで「他分野より少しだけ厚めに、ただし深追いはしない」という配分が正解です。

取る問題：階層対応、接続装置、サブネット、伝送時間

このテーマで最優先に投資すべきなのは、次の4つです。

• OSI基本参照モデルとTCP/IPの階層対応、および各層の代表プロトコル
• LAN間接続装置（リピータ・ブリッジ・ルータ・ゲートウェイ）が動作する層
• IPアドレスとサブネットマスクの計算（ネットワークアドレス、ブロードキャストアドレス、収容ホスト数）
• 伝送時間・回線利用率の計算

いずれも解法が短く、手順どおりに書き出せば機械的に答えが出ます。特にサブネット計算と伝送時間は、知識ではなく作業なので、練習した分がそのまま点になります。

捨てる問題：ルーティングプロトコルの内部動作と符号化方式

一方、次の領域は深追いしないと決めてよいでしょう。

• OSPFのLSAの種類やBGPのパス属性など、ルーティングプロトコルの内部仕様
• 変調方式・符号化方式（QAM、マンチェスタ符号など）の詳細
• ATM、フレームリレーなど旧世代WAN技術の細部
• IPv6のアドレス表記の例外的なルールや移行技術の詳細

これらは応用情報以上でまれに出ますが、午前1での出現頻度に対して学習コストが見合いません。見かけたら選択肢を2つに絞って次へ進む。それも立派な戦略です。

ルーターの設定を担当していた頃

筆者がインフラエンジニアだった頃、ネットワーク構築では配線をCEが担当し、筆者はルーターの設定と設計を受け持っていました。当時いちばん神経を使ったのがアドレス設計です。将来の拠点追加を見込んでどこまでサブネットを細かく切るか、切りすぎてホストが足りなくなれば作り直しになる。/24 を /26 に割るか /27 に割るかという、まさに試験に出るあの計算を、電卓ではなく紙に2の累乗を書いて判断していました。午前1のサブネット問題は、当時の設計判断をそのまま4択にしたものです。

OSI基本参照モデルとTCP/IP階層モデル：対応表を1枚で覚える

ネットワークの問題は、ほぼすべて「それは何層の話か」に還元できます。まず地図を持ちましょう。

7階層それぞれの役割

OSI基本参照モデル（OSI Reference Model）は、通信機能を7つの階層に分けて整理した国際標準のモデルです。下から順に見ていきます。

• 第1層 物理層：電気信号や光信号、コネクタ形状など、ビットを物理的に伝える取り決め
• 第2層 データリンク層：直接つながっている隣接機器との間で、フレームを正しく届ける。MACアドレスによる識別と誤り検出を担当
• 第3層 ネットワーク層：異なるネットワークをまたいで、終点まで届ける。IPアドレスによる識別と経路選択（ルーティング）を担当
• 第4層 トランスポート層：終端同士の通信を管理する。信頼性の確保、順序制御、フロー制御、ポート番号によるアプリケーションの識別
• 第5層 セッション層：通信の開始から終了までの一連のやり取り（セッション）を管理
• 第6層 プレゼンテーション層：文字コードやデータ形式の変換、暗号化・圧縮の表現形式
• 第7層 アプリケーション層：アプリケーションが直接使う通信サービス（メール、ファイル転送、Webなど）

順番の暗記には、昔から定番の語呂があります。第7層から下に向かって「アプセトネデブ」。アプリケーション、プレゼンテーション、セッション、トランスポート、ネットワーク、データリンク、物理の頭文字です。試験本番で「第3層はどれか」と問われたとき、問題用紙の余白に7層を書き出す1分を短縮できるので、覚えておいて損はありません。

ただし、語呂で順番を言えても問題は解けません。午前1で問われるのは「この装置は何層で動作するか」「このプロトコルは何層か」であり、必要なのは各層の役割です。そこで実務的に効くのは、「1と2は隣まで、3は端まで、4は端のアプリまで」という距離感の整理です。隣の機器までしか届かないのがデータリンク層、ネットワークをまたいで相手のホストまで届くのがネットワーク層、相手ホストの中の特定のアプリまで届くのがトランスポート層。この3段階を押さえるだけで、装置の問題もプロトコルの問題も判断できます。

TCP/IP階層モデルとの対応

実際のインターネットで使われているのはTCP/IP階層モデルです。こちらは4階層で、OSIの7階層と次のように対応します。

• ネットワークインタフェース層（リンク層）：OSIの第1層＋第2層
• インターネット層：OSIの第3層
• トランスポート層：OSIの第4層
• アプリケーション層：OSIの第5層＋第6層＋第7層

対応がずれるのは上下の端です。下は物理層とデータリンク層がまとまり、上はセッション層・プレゼンテーション層・アプリケーション層がまとまる。真ん中の第3層と第4層は1対1で対応します。試験ではこの「まとまる場所」が問われるので、ここだけは正確に覚えてください。

各層の代表プロトコル

階層と代表プロトコルの対応は、そのまま出題されます。

• 物理層：Ethernetの物理仕様（1000BASE-T など）、RS-232C
• データリンク層：Ethernet（MACフレーム）、PPP、ARP（IPアドレスからMACアドレスを求める。第2層と第3層の橋渡しに位置づけられる）
• ネットワーク層：IP、ICMP（pingやtracerouteが使うエラー通知・診断用）、IPsec、OSPF、RIP（経路制御プロトコルは役割上ネットワーク層に分類されますが、RIPは実際にはUDP上で動作します）
• トランスポート層：TCP、UDP
• アプリケーション層：HTTP、HTTPS、SMTP、POP3、IMAP4、FTP、DNS、DHCP、SNMP、NTP、LDAP、Telnet、SSH

ARPの位置づけは受験者がよく迷うところです。ARPはIPアドレス（第3層の情報）を使ってMACアドレス（第2層の情報）を得るプロトコルなので、書籍によってデータリンク層に置いたりネットワーク層に置いたりします。試験では「IPアドレスからMACアドレスを求めるプロトコル」という機能で問われることがほとんどなので、機能で覚えておけば困りません。逆にMACアドレスからIPアドレスを求めるのがRARPです。

ICMPはネットワーク層のプロトコルであり、TCPやUDPの上ではなくIPの上に直接乗ります。「pingはトランスポート層のプロトコルを使わない」という点は、SC試験の午後でICMPを使った攻撃やフィルタリングを扱うときにも効いてきます。

カプセル化とヘッダの付き方

送信側では、上位層から下位層へデータが渡されるたびにヘッダが追加されます。これがカプセル化（encapsulation）です。受信側では逆に、下位層から上位層へ渡すたびにヘッダが外れていきます。

このとき、データの単位の呼び名が層ごとに変わります。

• トランスポート層：セグメント（TCPの場合。UDPではデータグラム）
• ネットワーク層：パケット（IPデータグラム）
• データリンク層：フレーム

つまずきポイントは、日常会話ではすべてを「パケット」と呼んでしまうことです。試験では「MACフレーム」「IPパケット」「TCPセグメント」と層に紐づけて出題されるため、呼び名と層の対応を意識しておくと、問題文の読み違いが減ります。

なお、ヘッダの大きさも問われます。IPv4ヘッダは最小20バイト、IPv6ヘッダは固定40バイト、TCPヘッダは最小20バイト、UDPヘッダは固定8バイトです。EthernetのMTU（Maximum Transmission Unit）は標準で1500バイトで、これを超えるIPパケットは分割（フラグメンテーション）されます。

LAN間接続装置：どの層で中継するかがすべて

装置の問題は毎回同じ形で出ます。「この装置は何層で動作するか」「何を見て転送先を決めるか」。この2つに答えられれば終わりです。

リピータとハブは物理層

リピータ（repeater）は、減衰した電気信号を増幅・整形して延長する装置で、物理層で動作します。複数ポートを持つものがリピータハブ（ハブ）です。

リピータハブは受け取った信号を全ポートにそのまま流します。宛先を見て選ぶという判断をしないため、接続された機器はすべて同じコリジョンドメイン（衝突が起きうる範囲）に属します。台数が増えるほど衝突が増えて効率が落ちるのは、この構造が理由です。

ブリッジとL2スイッチはデータリンク層

ブリッジ（bridge）は、MACアドレスを見て、必要なポートにだけフレームを転送する装置です。データリンク層で動作します。多ポート化してハードウェアで高速転送するようにしたものがL2スイッチ（スイッチングハブ）です。

ブリッジはMACアドレステーブル（アドレス学習表）を持ち、どのポートの先にどのMACアドレスがあるかを、流れてきたフレームの送信元MACアドレスから自動的に学習します。宛先がテーブルにないときや、宛先がブロードキャストアドレスのときは、受信ポート以外の全ポートに送出（フラッディング）します。

重要なのは、ブリッジはコリジョンドメインを分割するが、ブロードキャストドメインは分割しないという点です。ブロードキャストフレームは素通しするため、同じスイッチにぶら下がる機器は同じブロードキャストドメインに残ります。分割したい場合はVLANを使うか、次のルータを使います。

ルータはネットワーク層

ルータ（router）は、IPアドレスを見て、どのネットワークへ転送するかを決める装置です。ネットワーク層で動作します。

ルータはブロードキャストドメインを分割します。ブロードキャストパケットを転送しないため、ブロードキャストの影響範囲がルータで止まる。これがネットワークをセグメントに分ける最も基本的な効果であり、SC試験でセグメント分割やDMZ設計が問われるときの土台にもなります。

L3スイッチとゲートウェイ

L3スイッチは、ルータと同じくIPアドレスを見て転送しますが、処理をASICなどのハードウェアで行うことで高速化した装置です。試験では「ネットワーク層で動作する」と整理して構いません。ルータとの違いは、WAN側のインタフェースや高度なプロトコル変換の対応範囲にあります。

ゲートウェイ（gateway）は、トランスポート層以上の層でプロトコル変換を行う装置の総称です。異なるプロトコル体系をつなぐ役割で、第4層から第7層で動作すると整理されます。なお「デフォルトゲートウェイ」という言葉は、自分のネットワーク外へ出るときの出口となるルータのIPアドレスを指す用語で、装置分類のゲートウェイとは別の使い方である点に注意してください。

コリジョンドメインとブロードキャストドメイン

2つのドメインの分割可否は、そのまま4択の選択肢になります。整理します。

• リピータハブ：どちらも分割しない
• ブリッジ／L2スイッチ：コリジョンドメインは分割する、ブロードキャストドメインは分割しない
• ルータ／L3スイッチ：どちらも分割する

「L2スイッチはブロードキャストを止める」という選択肢は典型的な誤りです。止めるのはルータ（またはVLAN境界）である、と覚えてください。

なお、有線Ethernetの媒体アクセス制御方式はCSMA/CD（搬送波感知多重アクセス／衝突検出）です。信号を送る前に回線が空いているか確認し、衝突が起きたら検出して一定時間待って再送します。ただし現在の全二重スイッチング環境では衝突自体が発生しないため、CSMA/CDは実質的に使われません。試験では用語として問われるので、名称と動作は押さえておきましょう。

IPアドレスとサブネット計算：午前1で最も点になる計算

ここが本命です。手順を固定してしまえば、暗算に頼らず確実に正解できます。

IPv4アドレスの構造

IPv4アドレスは32ビットで、8ビットずつ4つに区切って10進数で表記します（ドット付き10進表記）。アドレスはネットワーク部とホスト部に分かれ、どこまでがネットワーク部かを示すのがサブネットマスクです。

かつてはクラスA（先頭8ビットがネットワーク部）、クラスB（16ビット）、クラスC（24ビット）という固定の区切りが使われていました。現在はクラスにとらわれず任意のビット位置で区切るCIDR（Classless Inter-Domain Routing）が主流で、192.168.10.0/24 のようにネットワーク部のビット数をスラッシュで表記します（プレフィックス長）。

サブネットマスクは、ネットワーク部を1、ホスト部を0で埋めた32ビット値です。/24 なら 255.255.255.0、/26 なら 255.255.255.192 になります。

特別なアドレス

各ネットワークの中で、次の2つは端末に割り当てられません。

• ネットワークアドレス：ホスト部がすべて0。そのネットワーク自体を表す
• ブロードキャストアドレス：ホスト部がすべて1。そのネットワーク内の全ホスト宛て

このため、ホスト部が n ビットのとき、割り当て可能なホスト数は 2^n ではなく 2^n − 2 になります。計算問題でこの「−2」を忘れるのが、最も多い失点パターンです。

プライベートIPアドレスは組織内で自由に使えるアドレスで、次の3つの範囲が定められています。

• 10.0.0.0 〜 10.255.255.255（10.0.0.0/8）
• 172.16.0.0 〜 172.31.255.255（172.16.0.0/12）
• 192.168.0.0 〜 192.168.255.255（192.168.0.0/16）

172系の範囲が 172.16 から 172.31 までである点は、選択肢で 172.32 などを混ぜて引っかけてくる定番です。このほか、127.0.0.0/8 はループバックアドレス（自分自身）、169.254.0.0/16 はDHCPサーバから応答が得られなかったときに自動割当てされるリンクローカルアドレス（APIPA）です。

計算手順：2の累乗表を書いてから始める

サブネット計算は、次の手順に固定します。

1. プレフィックス長からホスト部のビット数を出す（32 − プレフィックス長）
2. ホスト部のビット数から、ブロックサイズ（2^ホスト部ビット数）を出す
3. ブロックサイズ刻みで区切り、対象アドレスが入る区間を見つける
4. 区間の先頭がネットワークアドレス、末尾がブロードキャストアドレス、間が利用可能ホスト

暗算の助けとして、8ビット分の2の累乗だけ紙の端に書いておきます。

2^1=2, 2^2=4, 2^3=8, 2^4=16, 2^5=32, 2^6=64, 2^7=128, 2^8=256

これさえあれば、以降の計算はすべて足し算で片付きます。

計算例1：192.168.10.0/24 を /26 に分割する

192.168.10.0/24 を4つのサブネットに分けたい、という設計を考えます。4つに分けるには2ビット借りればよいので、プレフィックスは 24 + 2 = /26 になります。

手順に沿って計算します。ホスト部は 32 − 26 = 6ビット。ブロックサイズは 2^6 = 64。したがって第4オクテットを64刻みで区切ります。

• 第1サブネット：192.168.10.0/26（ネットワークアドレス .0、ブロードキャスト .63、ホスト .1〜.62）
• 第2サブネット：192.168.10.64/26（.64、.127、ホスト .65〜.126）
• 第3サブネット：192.168.10.128/26（.128、.191、ホスト .129〜.190）
• 第4サブネット：192.168.10.192/26（.192、.255、ホスト .193〜.254）

収容できるホスト数は 2^6 − 2 = 62台です。サブネットマスクは 255.255.255.192（256 − 64 = 192）と求められます。「マスクの最後の値はブロックサイズを256から引いた数」と覚えておくと速くなります。

計算例2：所属するネットワークアドレスを求める

172.16.35.200/21 が属するネットワークアドレスとブロードキャストアドレスを求めます。

プレフィックスが21なので、境界は第3オクテットの途中（16 + 5 = 21、つまり第3オクテットの上位5ビットまでがネットワーク部）にあります。ホスト部は 32 − 21 = 11ビットです。

第3オクテットで見ると、ホスト部にかかるのは下位3ビットなので、ブロックサイズは 2^3 = 8。第3オクテットを8刻みで区切ると、0, 8, 16, 24, 32, 40, ... となり、35 は 32 以上 40 未満なので区間は32から39です。

• ネットワークアドレス：172.16.32.0
• ブロードキャストアドレス：172.16.39.255
• 利用可能ホスト：172.16.32.1 〜 172.16.39.254
• ホスト数：2^11 − 2 = 2046台
• サブネットマスク：255.255.248.0（256 − 8 = 248）

オクテットをまたぐ問題は身構えがちですが、やっていることは計算例1と同じです。「どのオクテットに境界があるか」を先に決め、そのオクテットだけでブロックサイズの刻みを考える。この2手だけです。

必要ホスト数からプレフィックスを逆算する

「100台を収容できる最小のサブネットは」という逆向きの出題もあります。この場合は 2^n − 2 ≧ 100 となる最小の n を探します。2^6 − 2 = 62 では足りず、2^7 − 2 = 126 なら足ります。よってホスト部は7ビット、プレフィックスは 32 − 7 = /25 です。

ここでも「−2」を忘れると、126台のところを128台と数えてしまい、境界のケースで誤答します。

IPv6の要点

IPv6アドレスは128ビットで、16ビットずつ8つのブロックに区切り、コロンで区切った16進数で表記します。連続する0のブロックは :: で1回だけ省略できます。ヘッダは40バイト固定で、IPv4にあったヘッダチェックサムは廃止され、フラグメント処理は送信元ホストが行う形に変わりました。

午前1レベルでは、「128ビット」「16進コロン表記」「ヘッダ簡素化」「NATを前提としないアドレス空間の広さ」を押さえれば十分です。移行技術（デュアルスタック、トンネリング）の名称も、用語として知っておくと安心です。

ルーティングの基本：どの経路を選ぶかの原則

ルータの中身は、実は1枚の表とその引き方に尽きます。

ルーティングテーブルとロンゲストマッチ

ルータはルーティングテーブル（経路表）を持ち、宛先ネットワークごとに次に渡す相手（ネクストホップ）と出力インタフェースを記録しています。パケットが届くと、宛先IPアドレスと一致するエントリを探し、該当する経路へ転送します。

このとき、複数のエントリに合致した場合はプレフィックス長が最も長い（最も細かい）エントリを選びます。これがロンゲストマッチ（最長一致）の原則です。

例として、次の2つのエントリを持つルータを考えます。

• 10.1.0.0/16 → ネクストホップ A
• 10.1.4.0/22 → ネクストホップ B

宛先が 10.1.5.10 のパケットはどちらへ行くでしょうか。10.1.4.0/22 の範囲は 10.1.4.0 から 10.1.7.255 なので、10.1.5.10 は両方に合致します。プレフィックス長は /22 のほうが長いため、選ばれるのはネクストホップ B です。

一方、宛先が 10.1.9.10 なら /22 の範囲外なので、合致するのは /16 だけとなり、ネクストホップ A へ転送されます。

デフォルトルート

どのエントリにも合致しない宛先のための「それ以外はここへ」という経路がデフォルトルートで、0.0.0.0/0 と表記します。プレフィックス長が0なのですべてのアドレスに合致しますが、最も短いためロンゲストマッチでは最後に選ばれる。この仕組みによって、社内ルータは自組織のネットワークだけを個別に持ち、残りはすべて上流へ流す、という単純な設定で運用できます。

スタティックルーティングとダイナミックルーティング

経路情報を管理者が手で書くのがスタティックルーティング、ルータ同士が経路情報を交換して自動的に作るのがダイナミックルーティングです。

ダイナミックルーティングのプロトコルは、大きく2つに分類されます。

• IGP（Interior Gateway Protocol）：同一組織内（AS内）で使う。RIP（距離ベクトル型、ホップ数を評価、最大15ホップ）、OSPF（リンクステート型、回線速度に基づくコストで評価）
• EGP（Exterior Gateway Protocol）：組織間（AS間）で使う。BGP（正確にはBGP-4。経路制御ポリシーに基づいて選択）

午前1では「RIPはホップ数、OSPFはコスト」「BGPはAS間」という区別まで押さえれば十分です。それ以上の内部仕様は捨ててよい領域と割り切ります。

TCPとUDP：信頼性を取るか速度を取るか

トランスポート層は、SC試験の午前2・午後にも直結する重要ポイントです。

2つのプロトコルの性格の違い

TCP（Transmission Control Protocol）はコネクション型です。通信の前に相手と接続を確立し、届いたことを確認応答（ACK）で確かめ、届かなければ再送し、順序が入れ替わったら並べ直します。確実だが、そのぶんやり取りが増えます。

UDP（User Datagram Protocol）はコネクションレス型です。相手の状態を確認せず、いきなり送りつけます。確認応答も再送も順序制御もありませんが、その代わり遅延が小さく、ヘッダも8バイトと軽い。音声・映像のリアルタイム配信、DNSの問い合わせ、SNMPの通知など、少々の欠落より速さが優先される用途で使われます。

ブロードキャストやマルチキャストを使えるのはUDPだけである点も、比較問題でよく問われます。TCPは1対1のコネクションを前提とするため、1対多の同時送信はできません。

3ウェイハンドシェイク

TCPのコネクション確立は、3回のやり取りで行われます。

1. クライアント → サーバ：SYN（接続要求。自分の初期シーケンス番号を通知）
2. サーバ → クライアント：SYN/ACK（要求への確認応答と、サーバ側の接続要求を同時に送る）
3. クライアント → サーバ：ACK（サーバの要求への確認応答）

この3回が終わってはじめてデータ転送が始まります。切断時は FIN と ACK を双方向でやり取りするため、原則4回のやり取りになります。

3ウェイハンドシェイクを知っていることは、SC試験の本体で効いてきます。SYNだけを大量に送りつけてサーバに接続待ちの状態（ハーフオープン）を積み上げさせるSYN Flood攻撃は、3段階目のACKを返さないことで手順を2段階目のまま止めてしまう攻撃です。ポートスキャンの手法も、SYNだけ送ってSYN/ACKが返るかを見るSYNスキャンなど、この流れの理解が前提になります。

ポート番号の考え方

ポート番号は16ビット（0〜65535）で、通信相手のホストの中で「どのアプリケーションか」を識別します。IPアドレスが建物の住所なら、ポート番号は部屋番号にあたります。

範囲は3つに分かれます。

• ウェルノウンポート：0〜1023。主要なサーバ側サービスに予約
• 登録済みポート：1024〜49151。特定製品向けに登録
• 動的・私用ポート：49152〜65535。クライアント側の送信元ポートなどに一時的に使用

覚えておきたいウェルノウンポートを整理します。

• 20/21：FTP（20がデータ、21が制御）
• 22：SSH（SFTP、SCPも同じ）
• 23：Telnet
• 25：SMTP、587：SMTP Submission
• 53：DNS（通常の問い合わせはUDP、ゾーン転送や大きな応答はTCP）
• 67/68：DHCP（67がサーバ、68がクライアント）
• 80：HTTP、443：HTTPS
• 110：POP3、143：IMAP4
• 123：NTP
• 161/162：SNMP（161がポーリング、162がトラップ）
• 389：LDAP、636：LDAPS

DNSがUDPとTCPの両方を使う点と、SNMPが2つのポートを使い分ける点は、選択肢の作りやすい引っかけです。ポート番号のさらに詳しい整理は「【直前対策】試験によく出るポート番号とプロトコル総まとめ！過去問から紐解く頻出問題の解き方」にまとめています。

ウィンドウ制御とフロー制御

TCPは1つ送るたびに応答を待つのではなく、確認応答を待たずに送ってよいデータ量（ウィンドウサイズ）を決めて、まとめて送ります。受信側は自分のバッファの空きに応じてウィンドウサイズを通知し、送信側はそれに合わせて流量を調整します。これがフロー制御です。

さらに、ネットワーク自体が混雑したときに送信量を絞る輻輳制御も持ちます。午前1レベルでは「ウィンドウサイズによって確認応答を待たずに連続送信できる」「受信側の都合で流量を調整する」という2点で十分です。

DNS・DHCP・NAPT：アプリケーション層の実務三役

ここからは、実際のネットワークを成り立たせている3つの仕組みです。

DNSの名前解決の流れ

DNS（Domain Name System）は、ドメイン名とIPアドレスを相互に変換する分散型のデータベースです。名前解決は次の流れで進みます。

1. PC内のスタブリゾルバが、社内やISPのフルサービスリゾルバ（キャッシュDNSサーバ）へ問い合わせる（再帰問い合わせ）
2. フルサービスリゾルバは、ルートDNSサーバへ問い合わせ、.jp などのTLDを管理するサーバを教えてもらう
3. 続いてTLDのサーバへ問い合わせ、example.jp を管理する権威DNSサーバを教えてもらう
4. 権威DNSサーバへ問い合わせ、目的のIPアドレスを得る（2〜4が反復問い合わせ）
5. 得た結果をTTLの期間だけキャッシュし、クライアントへ返す

主なレコード種別は、Aレコード（ホスト名からIPv4アドレス）、AAAAレコード（IPv6アドレス）、MXレコード（メールサーバ）、CNAMEレコード（別名）、NSレコード（権威サーバ）、TXTレコード（任意の文字列。SPFやDMARCの記述に使う）、PTRレコード（IPアドレスからホスト名の逆引き）です。

キャッシュを持つという構造は利便性の源であると同時に、偽の応答を先に信じ込ませるDNSキャッシュポイズニングの入口でもあります。セキュリティ面の掘り下げは「DNSの仕組みと脅威を徹底解説！キャッシュポイズニングから防御策まで」を参照してください。

DHCPのアドレス配布

DHCP（Dynamic Host Configuration Protocol）は、IPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバのアドレスなどを自動的に配布する仕組みです。やり取りは4段階で進みます。

1. DHCPDISCOVER：クライアントがブロードキャストでサーバを探す
2. DHCPOFFER：サーバが貸し出す候補アドレスを提示する
3. DHCPREQUEST：クライアントが使用したいアドレスを要求する
4. DHCPACK：サーバが承認し、リース期間とともに確定する

最初のDISCOVERはブロードキャストで送られるため、ルータを越えられません。異なるセグメントのDHCPサーバを使いたい場合は、ルータにDHCPリレーエージェントの機能を持たせて中継します。

NATとNAPTの違い

NAT（Network Address Translation）は、プライベートIPアドレスとグローバルIPアドレスを1対1で変換する仕組みです。同時に外部と通信できる端末数は、保有するグローバルアドレスの数までに制限されます。

NAPT（Network Address Port Translation、IPマスカレードとも呼ばれる）は、IPアドレスに加えてポート番号も併せて変換します。1つのグローバルアドレスを、送信元ポート番号の違いで多数の端末が共有できるため、家庭や企業のインターネット接続はほぼこの方式です。

試験での区別は明確です。「複数の端末が1つのグローバルアドレスを同時に共有できるのはどちらか」と問われたらNAPT。「変換するのはIPアドレスだけか、ポート番号も含むか」で判断します。

副次的な効果として、NAPT環境では外部から内部の端末を直接名指しできません。これは簡易的なアクセス制限として働きますが、ファイアウォールの代わりにはなりません。「NAPTがあるからセキュリティは大丈夫」という選択肢は誤りです。

プロキシサーバ

プロキシサーバ（proxy server）は、クライアントに代わって外部のサーバへアクセスする中継役です。アプリケーション層で動作するため、URLフィルタリング、アクセスログの取得、コンテンツのキャッシュ、マルウェア検査といった処理ができます。

外向きの通信を代理する通常のプロキシに対し、外部からのアクセスを受けて内部のWebサーバへ中継するのがリバースプロキシです。負荷分散やSSL/TLS処理の集約、WAFの設置点としても使われます。

筆者がCIOだった頃、ファイアウォールとプロキシの導入を決めたときは現場から強い反発を受けました。それまでは社員が各自でフリーソフトを入れ、社外と自由にチャットしていたからです。導入後、そうした通信は一掃されました。技術的にはプロキシとフィルタリングの機能そのものですが、実際に効いたのは「どの通信が許可され、どれが許可されないかを組織として決めた」ことでした。試験に出るアクセス制御は、突き詰めると技術の話ではなく合意形成の話でもあります。

無線LANの要点：規格と暗号化方式だけ押さえる

無線LANは午前1では1問出るかどうかですが、SC試験の本体では頻出です。用語の整理だけしておきます。

規格とアクセス制御

無線LANの規格はIEEE 802.11シリーズです。世代の呼び名（Wi-Fi 4以降）と対応させて覚えます。

• 802.11n：2.4GHz／5GHz、Wi-Fi 4
• 802.11ac：5GHz、Wi-Fi 5
• 802.11ax：2.4GHz／5GHz（6GHz対応はWi-Fi 6E）、Wi-Fi 6
• 802.11be：6GHz帯まで対応、Wi-Fi 7

媒体アクセス制御方式はCSMA/CA（衝突回避）です。無線では送信中に他局の信号を検出できないため、衝突を検出するCSMA/CDではなく、送信前にランダムな時間待って衝突を避ける方式が採られます。「有線はCD、無線はCA」の対比は定番の出題です。

認証と暗号化

暗号化方式は世代とともに変わってきました。

• WEP：RC4を使用。鍵の再利用による脆弱性があり、現在は使用禁止
• WPA：TKIPを採用しWEPの弱点を暫定的に補ったもの
• WPA2：CCMP（AESベース）を採用。長く標準として使われた
• WPA3：鍵交換にSAE（Simultaneous Authentication of Equals）を採用し、辞書攻撃への耐性を高めた

企業利用では、利用者ごとに認証するWPA2/WPA3-Enterprise（IEEE 802.1XとRADIUSサーバを組み合わせる方式）が使われます。全員が同じパスフレーズを共有するパーソナルモードとの違いは、退職者が出たときに全端末の設定変更が必要かどうかという運用面に直結します。

なお、SSIDを隠す（ステルスSSID）ことやMACアドレスフィルタリングは、いずれも簡単に回避できるため、暗号化の代替にはなりません。この点は「対策として適切なものはどれか」型の問題でよく狙われます。無線LANのセキュリティは「Wi-Fi 7時代の無線LANセキュリティ完全解説｜WPA3・SSID Confusion・Evil Twin対策をSC試験向けに徹底理解」で詳しく扱っています。

伝送時間と回線利用率：速度系の公式は2つだけ

速度が絡む計算問題は、実はほぼこの1パターンです。型を作ってしまいましょう。

基本の2式

サブネット計算を除けば、速度系で覚える式は2つだけです。

• 実効速度＝回線速度 × 回線利用率
• 伝送時間＝データ量 ÷ 実効速度

そして計算前に必ず行う作業が1つあります。単位をビットにそろえることです。データ量はバイト、回線速度はビット／秒で与えられるのが通例なので、データ量を8倍する。この一手を忘れると答えが8分の1になり、そして選択肢には必ずその8分の1の値が用意されています。

計算例1：伝送時間を求める

「3Mバイトのファイルを、回線速度100Mビット／秒、回線利用率20%の回線で転送するのに要する時間は何秒か」

手順どおりに進めます。

1. データ量をビットに換算：3Mバイト × 8 = 24Mビット
2. 実効速度：100Mビット／秒 × 0.2 = 20Mビット／秒
3. 伝送時間：24Mビット ÷ 20Mビット／秒 = 1.2秒

Mどうしは約分されるので、途中で 24,000,000 のような大きな数に展開する必要はありません。単位の頭（M、G）をそろえたまま割るのが速く、計算ミスも減ります。

計算例2：回線利用率を求める

「回線速度10Mビット／秒の回線で、1秒あたり平均500kバイトのデータを転送している。回線利用率は何%か」

1. データ量をビットに換算：500kバイト × 8 = 4000kビット = 4Mビット
2. 回線利用率：4Mビット／秒 ÷ 10Mビット／秒 = 0.4 = 40%

利用率は「実際に流れている量 ÷ 流せる量」です。分母と分子のどちらに何を置くか迷ったら、答えが1（100%）を超えないほうが正しい、と確認できます。

計算例3：必要な回線速度を求める

「1件2kバイトの電文を1秒間に150件処理する。回線利用率の上限を40%とするとき、必要な回線速度は最低何Mビット／秒か」

1. 1秒あたりのデータ量：2kバイト × 150 = 300kバイト = 2400kビット = 2.4Mビット
2. 必要な回線速度：2.4Mビット／秒 ÷ 0.4 = 6Mビット／秒

ここでは利用率で「割る」ことに注意してください。実効速度を求めるときは掛け、必要な回線速度を求めるときは割る。式は1つで、求めたいものがどこにあるかが違うだけです。

単位換算の罠

計算問題で落とす原因は、知識ではなくほぼ単位です。3つだけ確認しておきます。

• バイトとビット：1バイト＝8ビット。ファイルサイズはバイト、回線速度はビット／秒
• kとM：通信の分野では 1k＝10^3、1M＝10^6 として計算する（記憶容量の 2^10 とは異なる）
• msとs：応答時間が絡む問題ではミリ秒が混ざる。1ms＝10^-3秒

筆者は新卒エンジニア向けの研修で講師をしていた時期がありますが、単位変換のミスは本当に多く、繰り返し指導した記憶があります。理屈を理解している人ほど、単位を軽く見て取りこぼす。試験でも同じで、式が立てられるのに答えが合わない人は、たいてい8倍か1000倍のどこかでずれています。計算を始める前に「バイトか、ビットか」と一言つぶやく癖をつけるだけで、正答率は目に見えて上がります。

SC試験での出題パターンと対策

最後に、この分野の投資回収の仕方を整理します。

午前1で狙われる論点

繰り返し問われるのは次の形です。

• 「〇〇はOSI基本参照モデルの第何層で動作するか」（装置・プロトコルの層の特定）
• 「ブロードキャストドメインを分割する装置はどれか」（ドメイン分割の可否）
• 「このIPアドレスとサブネットマスクのとき、ホストとして使えるアドレスの範囲はどれか」
• 「〇〇Mバイトのデータを伝送するのに要する時間は何秒か」（伝送時間）
• 「TCPとUDPの違いとして適切なものはどれか」
• 「NAPTの説明として適切なものはどれか」

どれも解法が短く固定されています。ネットワークは範囲が広い分野ですが、午前1の出題面積はこの6パターンでほぼ覆えると考えて構いません。

学び始めの人がつまずく3つのポイント

1つ目は、層の混同です。 MACアドレスとIPアドレスの役割を「どちらもアドレスだから似たもの」と捉えると、装置の問題で必ず迷います。MACアドレスは隣の機器まで、IPアドレスは相手のホストまで、という到達範囲の違いで整理してください。転送のたびにMACアドレスは書き換わりますが、IPアドレスは原則として終点まで変わりません（NAPTを通る場合を除く）。

2つ目は、ホスト数の「−2」の忘れです。 2^n をそのまま答えると、選択肢にはその数がダミーとして必ず用意されています。ネットワークアドレスとブロードキャストアドレスの2つは端末に割り当てられない、と手順に組み込んでしまうのが確実です。

3つ目は、単位換算です。 前節で触れたとおり、伝送時間の計算はバイトとビットの換算で決まります。設問に「Mバイト」と書いてあったら、まず8を掛ける。それだけで大半の失点は防げます。

時間配分：計算問題は先に手を動かす

午前1は50分で30問、1問あたり平均100秒です。ネットワークの計算問題は、公式を思い出す時間より書き出す時間のほうが短いので、迷ったら先に手を動かすほうが速く終わります。逆に、ルーティングプロトコルの内部仕様やIPv6の細かい表記規則で悩み始めたら、そこは捨てると決めた領域なので、選択肢を2つに絞って次へ進んでください。

SC試験本体（午前2・午後）への接続

この分野は、午前1で終わりではありません。SC試験の午前2・午後（科目A-2・科目B）では、ここで学んだ知識が前提として扱われます。

• 3ウェイハンドシェイクを知らないと、SYN Flood攻撃やポートスキャンの仕組みが読めない
• サブネットとルーティングを知らないと、午後のネットワーク構成図でセグメント分割やアクセス制御の妥当性を判断できない
• DNSの名前解決の流れを知らないと、キャッシュポイズニングやDNSを悪用したC&C通信の対策が理解できない
• ポート番号を知らないと、ファイアウォールのルール設定問題が解けない

つまり、午前1のネットワークに投じた時間は、そのまま午後の得点に転用できます。全分野の中で最も費用対効果が高い投資先と言ってよいでしょう。土台部分をさらに固めたい場合は「【ネットワーク基礎】OSI参照モデルとTCP/IPを完全理解｜セキュリティの「地図」を手に入れる」と「ネットワークの住所と扉を完全理解！IP・MAC・ポート番号の仕組みとセキュリティ」を、午後の構成図読解に進みたい場合は「【完全攻略】午後試験ネットワーク図問題の頻出パターンと解法テクニック」を続けて読んでください。

【演習】ネットワーク 理解度チェック（全10問）

午前1（科目A-1）のネットワークでは、OSI基本参照モデルの層の特定や装置の分類といった知識問題と、サブネットの範囲・ホスト数・伝送時間を求める計算問題が組み合わせて出題されます。定番のひっかけは、L2スイッチがブロードキャストドメインを分割すると書く選択肢、ホスト数から「−2」を引かせない選択肢、伝送時間の計算でバイトとビットの換算を省いた8分の1の値、そしてNATとNAPTを入れ替えた説明です。以下の練習問題で本記事の理解度を確認してみましょう。

まとめ：ネットワークは「どの層の話か」で全部が決まる

ネットワークの分野は用語が多く、覚えることが際限なくあるように見えます。しかし午前1で問われる形に絞れば、判断の軸は1本です。それは「いまの話はどの層のことか」という問いです。

装置の問題は、その装置が何を見て転送を決めるかで層が決まります。プロトコルの問題は、それが隣まで届けるのか、相手ホストまで届けるのか、相手のアプリまで届けるのかで層が決まります。そしてIPアドレスとサブネットの計算は、ホスト部のビット数を出してブロックサイズを求め、区間を区切るという手順に固定できます。伝送時間は、単位をビットにそろえ、実効速度を出し、割る。この3手順です。

持ち帰るべきものを整理します。TCP/IPでまとまるのは上下の端の層。ブロードキャストドメインを分割するのはルータから。ホスト数は必ず2の累乗から2を引く。ロンゲストマッチは最も細かい経路が勝つ。TCPは確認応答と再送と順序制御、UDPはそのどれも持たない代わりに軽い。NAPTはポート番号まで変換するから共有できる。伝送時間の計算は必ずバイトを8倍する。この程度の分量で、午前1のネットワークの出題はほぼ拾えます。

インフラエンジニアだった頃、ある公共機関のファイアウォールが障害でダウンし、翌朝までに復旧させるため徹夜で対応したことがあります。朝までかけて復旧させるというのは、当時はよくあることでした。ああいう夜に効くのは、機器のマニュアルを引く速さではなく、どの層で何が止まっているのかを切り分ける順序を持っているかどうかでした。リンクは上がっているか、隣まで届いているか、経路はあるか、ポートは開いているか。試験で問われる階層モデルは、そのまま障害切り分けの順序でもあります。だからこの分野は、覚えるというより、切り分けの手順として身につけるのが近道です。

次回はテクノロジ系の第6回として、データベースを扱います。正規化、E-R図、SQLの基本、トランザクションのACID特性と排他制御。午前1では計算より読解に近い出題が中心で、こちらも準備した分だけ確実に返ってくる分野です。

本記事は情報処理安全確保支援士（SC）試験対策を目的として作成しています。

参考資料

• IPA 情報処理技術者試験・情報処理安全確保支援士試験 2026年度以降の試験について
• IPA 情報処理技術者試験 出題範囲・シラバス
• IPA 情報処理安全確保支援士試験（SC）
• 総務省 国民のためのサイバーセキュリティサイト 無線LAN（Wi-Fi）の安全な利用