こんにちは、インフラエンジニアのryuです。
この記事は、CCNAの勉強を進めていて、問題集はある程度解けるようになったけれど、実際にルーターやスイッチを設定したことがほとんどない人に向けて書いています。
VLANやルーティングの問題は、選択肢を見れば答えられても、白紙の状態から設定を打ち込むとなると手が止まることがよくあります。
この記事では、1つの小さなネットワークを題材にして、VLANからACLまでの5つの課題を順番に組んでいきます。課題ごとに、打つコマンドと、結果を確認するコマンドの見方をまとめました。
この記事で作る構成と、CCNAの出題分野とのつながり¶
まずは、5つの課題を通して作る構成を見ておきましょう。スイッチ1台、ルーター2台、PC2台の小さなネットワークです。
PC1 (VLAN 10) PC2 (VLAN 20)
192.168.10.10/24 192.168.20.10/24
| Fa0/1 | Fa0/2
+---------- SW1 -----------+
| Gi0/1（トランク）
| Gi0/0（サブインターフェース .10 / .20）
R1
| Gi0/1 10.0.12.1/30
|
| Gi0/1 10.0.12.2/30
R2
Loopback0 172.16.2.1/24
PC1とPC2は同じスイッチにつながっていますが、VLANを分けるので、そのままでは通信できません。R1でVLAN間のルーティングを行い、さらにR2の先にある 172.16.2.0/24 まで届くようにするのが最終的なゴールです。
インターフェース名は機種によって変わります。Packet Tracerなどで試す場合は、自分の環境のポート名に読み替えてください。
課題とCCNA（200-301 v1.1）の出題分野の対応は、次のとおりです。分野の名前と割合は、Ciscoが公開している出題範囲に合わせています。
| 課題 | 内容 | 関係する出題分野 |
|---|---|---|
| 1 | VLANの作成とアクセスポート | 2.0 Network Access（20%） |
| 2 | トランクの設定 | 2.0 Network Access（20%） |
| 3 | VLAN間ルーティング | 3.0 IP Connectivity（25%） |
| 4 | スタティックルート | 3.0 IP Connectivity（25%） |
| 5 | 標準ACL | 5.0 Security Fundamentals（15%） |
この3分野だけで、試験全体の6割になります。設定を自分で組めるようになると、showコマンドの出力を読む問題にも強くなります。
課題は前の課題の設定を前提にしています。途中から始めると動かないので、課題1から順番に進めてください。
5つの構築課題を、順番に組んでみよう¶
ここからが本題です。各課題は、手順、コマンド、確認方法の順で書いています。
設定を打つ前に、「この設定をすると何が変わるか」を一度自分の言葉で考えてから進めると、理解が深まります。
課題1：VLANを作り、PCをそれぞれのVLANに入れる¶
最初の課題は、SW1にVLAN 10とVLAN 20を作り、PC1とPC2をそれぞれのVLANに所属させることです。
VLANの作成と、ポートをアクセスポートにしてVLANを割り当てる設定は、次のようになります。
SW1(config)# vlan 10
SW1(config-vlan)# name SALES
SW1(config-vlan)# vlan 20
SW1(config-vlan)# name DEV
SW1(config-vlan)# exit
SW1(config)# interface fa0/1
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 10
SW1(config-if)# interface fa0/2
SW1(config-if)# switchport mode access
SW1(config-if)# switchport access vlan 20
設定したら、show vlan brief で結果を確認します。VLAN 10の行に Fa0/1、VLAN 20の行に Fa0/2 が表示されていれば成功です。
この時点で、PC1からPC2へ ping を打ってみてください。届かないのが正しい結果です。
VLANが違う端末どうしは、別のネットワークとして扱われます。IPアドレスのネットワークも分けているので、間をつなぐルーターがないと通信できません。VLANの仕組みを確認したい方は、VLANとは？仕組みとスイッチへの設定方法を読んでみてください。
課題2：R1につながるポートをトランクにする¶
次は、SW1のGi0/1をトランクポートにします。1本のケーブルで、VLAN 10とVLAN 20の両方のフレームをR1に送るための設定です。
SW1(config)# interface gi0/1
SW1(config-if)# switchport mode trunk
SW1(config-if)# switchport trunk allowed vlan 10,20
機種によっては、switchport mode trunk の前に switchport trunk encapsulation dot1q を入れないとエラーになることがあります。その場合は、先にカプセル化の方式を指定してください。
確認には show interfaces trunk を使います。見るところは、次の3つです。
| 確認する項目 | 期待する状態 |
|---|---|
| Port と Mode | Gi0/1 が表示され、モードが on になっている |
| Encapsulation と Native vlan | 802.1q で、ネイティブVLANは設定を変えていなければ1 |
| Vlans allowed on trunk | 10,20 になっている |
allowed vlan を設定し忘れると、すべてのVLANが許可された状態になります。今回の構成では動きますが、実務では必要なVLANだけを通すのが一般的なので、ここで習慣にしておきましょう。
アクセスポートとトランクポートの違いは、アクセスポートとトランクポートの違いで詳しく解説しています。
課題3：R1でVLAN間ルーティングを設定する¶
ここで、PC1とPC2が通信できるようにします。R1のGi0/0に、VLANごとのサブインターフェースを作る方法です。ルーター・オン・ア・スティックとも呼ばれます。
R1(config)# interface gi0/0
R1(config-if)# no shutdown
R1(config-if)# interface gi0/0.10
R1(config-subif)# encapsulation dot1Q 10
R1(config-subif)# ip address 192.168.10.1 255.255.255.0
R1(config-subif)# interface gi0/0.20
R1(config-subif)# encapsulation dot1Q 20
R1(config-subif)# ip address 192.168.20.1 255.255.255.0
ポイントは、サブインターフェースに encapsulation dot1Q を先に設定してから、IPアドレスを設定する ことです。順番が逆だと、IPアドレスの設定が受け付けられません。
PC1のデフォルトゲートウェイを 192.168.10.1、PC2を 192.168.20.1 に設定したら、PC1からPC2へ ping を打ちます。今度は応答が返ってくるはずです。
結果は show ip interface brief で確認できます。Gi0/0.10 と Gi0/0.20 の Status と Protocol が両方 up になっていれば、サブインターフェースは動いています。
pingが失敗するときは、物理インターフェースのGi0/0で no shutdown を忘れていないかを最初に確認してください。サブインターフェースは、物理インターフェースが up でないと使えません。
課題4：R2の先のネットワークへスタティックルートを書く¶
次は、R1とR2をつないで、PCから 172.16.2.1（R2のLoopback0）に届くようにします。まずは両方のルーターでインターフェースを設定します。
R1(config)# interface gi0/1
R1(config-if)# ip address 10.0.12.1 255.255.255.252
R1(config-if)# no shutdown
R2(config)# interface gi0/1
R2(config-if)# ip address 10.0.12.2 255.255.255.252
R2(config-if)# no shutdown
R2(config-if)# interface loopback0
R2(config-if)# ip address 172.16.2.1 255.255.255.0
続いて、それぞれのルーターが知らないネットワークへの経路を、スタティックルートで書きます。
R1(config)# ip route 172.16.2.0 255.255.255.0 10.0.12.2
R2(config)# ip route 192.168.10.0 255.255.255.0 10.0.12.1
R2(config)# ip route 192.168.20.0 255.255.255.0 10.0.12.1
ここで大事なのは、R2にも戻りの経路を書くことです。R1に行きの経路だけを書いた状態では、パケットはR2まで届きますが、R2が 192.168.10.0/24 への返し方を知らないので、pingは失敗します。
設定したら、show ip route でルーティングテーブルを確認します。R1では、S のコードが付いた 172.16.2.0/24 の経路と、C（直接接続）の経路が並んでいるはずです。
ルーティングテーブルの読み方に自信がない方は、show ip routeコマンドの使い方と、ルーターで静的ルートを設定する方法をあわせて読んでおくと安心です。
課題5：標準ACLで、VLAN 20だけをR2の先へ通さない¶
最後の課題は、ACLです。VLAN 10のPC1は 172.16.2.0/24 に届くまま、VLAN 20のPC2だけを止めます。
送信元だけで判断するので、標準ACLを使います。R1のGi0/1の出口（out）に適用します。
R1(config)# access-list 10 deny 192.168.20.0 0.0.0.255
R1(config)# access-list 10 permit any
R1(config)# interface gi0/1
R1(config-if)# ip access-group 10 out
設定したら、PC1とPC2の両方から 172.16.2.1 へ ping を打ちます。PC1は届き、PC2は届かなければ成功です。PC1とPC2のあいだの通信は、Gi0/1を通らないので影響を受けません。
確認には show access-lists を使います。各行の後ろにマッチした回数が表示されるので、pingを打つたびに deny の行の数が増えていくのが分かります。
ACLの最後には、表示されない「すべて拒否」の行があります。
permit anyを書き忘れると、VLAN 10の通信まで止まってしまいます。
また、show ip interface gi0/1 を見ると、どのACLが出口側に適用されているかも確認できます。ACLを作っただけで適用し忘れる、というミスはよくあるので、適用先の確認までを1セットにしておきましょう。
うまくいかないときの確認ポイント¶
設定を組んでいると、どこかでpingが通らない場面に必ず出会います。そのときは、思いついた場所から直すのではなく、下の層から順番に確認するのが近道です。
よくある原因と、確認に使うコマンドを表にまとめました。
| 症状 | よくある原因 | 確認するコマンド |
|---|---|---|
| 同じVLANのPCどうしも届かない | ポートが別のVLANに入っている | show vlan brief |
| VLAN間で届かない | トランクで該当VLANが許可されていない | show interfaces trunk |
| VLAN間で届かない | サブインターフェースのVLAN番号の間違い | show running-config |
| ゲートウェイにも届かない | PCのデフォルトゲートウェイの設定漏れ | PC側の設定画面 |
| R2の先に届かない | 戻りのスタティックルートがない | show ip route（R2で） |
| 届くはずの通信が止まる | ACLの permit any の書き忘れ |
show access-lists |
ルーターから打った最初のpingで、1つ目だけが失敗することがあります。これは、ARPでMACアドレスを調べている間に最初のパケットが落ちるためで、2回目以降が成功していれば問題ありません。
また、ルーター自身から打ったpingは、そのルーターの出口側（out）のACLでは止まりません。課題5の確認は、必ずPCから行ってください。
もう1つ、見落としやすいのが設定の保存です。設定モードで打ったコマンドは、まずrunning-config（動いている設定）に入ります。
機器を再起動すると、保存していない設定は消えてしまいます。課題を最後まで組んだら、それぞれの機器で次のコマンドを実行しておきましょう。
R1# copy running-config startup-config
保存したあとに show startup-config を見ると、課題で入れた設定が残っているかを確認できます。running-configとstartup-configの違いは、試験でもよく問われる内容です。
うまくいった構成は、いったん全部消してから、何も見ずにもう一度組んでみるのもおすすめです。2回目に手が止まったところが、まだ理解があいまいな部分です。
確認問題：課題の内容を3問で振り返る¶
最後に、課題で組んだ内容を確認問題で振り返ってみましょう。正解と解説は、各問題の下の引用ブロックにまとめています。
問題1：サブインターフェースの設定順¶
R1のサブインターフェース gi0/0.30 を、VLAN 30のゲートウェイにしたいです。最初に設定するコマンドはどれでしょうか。
- A.
ip address 192.168.30.1 255.255.255.0 - B.
encapsulation dot1Q 30 - C.
switchport access vlan 30 - D.
switchport mode trunk
正解：B サブインターフェースでは、先に
encapsulation dot1QでVLAN番号を指定してから、IPアドレスを設定します。C と D はスイッチのポートに使うコマンドで、ルーターのサブインターフェースには使いません。
問題2：ACLの暗黙の拒否¶
課題5の構成で、access-list 10 deny 192.168.20.0 0.0.0.255 の1行だけを作り、R1のGi0/1の出口に適用しました。PC1から 172.16.2.1 への通信はどうなるでしょうか。
- A. VLAN 10は拒否の対象ではないので、届く
- B. ACLの最後にある暗黙の拒否に一致して、届かない
- C. 1行だけのACLは無効になるので、届く
- D. VLAN 10はGi0/1を通らないので、影響を受けない
正解：B ACLは上から順に条件を比べ、どの行にも一致しなかったパケットは最後の暗黙の拒否で破棄されます。PC1の通信は1行目に一致しないので、暗黙の拒否で止まります。許可したい通信がある場合は、
permit anyなどを明示的に書く必要があります。
問題3：戻りの経路¶
課題4で、R1に ip route 172.16.2.0 255.255.255.0 10.0.12.2 だけを設定し、R2にはスタティックルートを設定しませんでした。PC1から 172.16.2.1 へのpingはどうなるでしょうか。
- A. 行きの経路があるので成功する
- B. R1でパケットが破棄されるので失敗する
- C. R2まで届くが、R2が応答を返す経路を知らないので失敗する
- D. R2のループバックは応答しないので失敗する
正解：C pingは、要求が届くだけでなく、応答が戻ってきて初めて成功します。R2のルーティングテーブルには
192.168.10.0/24への経路がないため、応答を返せません。通信は行きと帰りの両方の経路が必要です。
3問とも迷わず解けたなら、課題の内容はしっかり身についています。迷った問題があれば、その課題をもう一度組み直してみてください。
InfraAcademyで、同じ構成を組み続ける¶
この記事の課題は、Packet Tracerのようなシミュレーターでも試せます。使い方が分からない方は、Packet Tracerでネットワーク構築を練習する方法から始めてみてください。
InfraAcademyのネットワークの講座には、ブラウザ上でルーターやスイッチを設定して、ping で疎通を確認できるシミュレーターがあります。ソフトを入れずに、VLANやルーティングの設定を手を動かして確かめられます。講座の順番は、ネットワークのロードマップにまとめています。
組めるようになったら、次は試験の形式で知識を確認しましょう。InfraAcademyでは「CCNA模擬試験200問」を用意しています。InfraAcademy の資格模擬問題から、今回の課題で扱った分野の問題を解いてみてください。
設定で手を動かす時間と、問題で知識を確認する時間を交互にとると、どちらか片方だけよりも理解が定着しやすくなります。
まとめ¶
CCNAの知識は、実際に設定を組んで、結果を確認してはじめて自分のものになります。
この記事では、VLAN、トランク、VLAN間ルーティング、スタティックルート、標準ACLの5つの課題を、1つの構成の上で順番に組みました。どの課題も、設定したあとに show コマンドと ping で結果を確かめるところまでが1セットです。
うまくいかなかった課題こそ、試験で問われやすい理解の穴が見つかる場所です。失敗したら、表の確認ポイントを下の層から順に見ていきましょう。
試験が近い方はCCNA試験まであと1週間の復習表も、勉強の全体の流れを見直したい方はCCNAの勉強方法の記事も参考にしてください。手を動かした分だけ、本番で迷う問題は確実に減っていきます。
