Network Specialist Examination key terms

通信開始前にSYN、SYN+ACK、ACKの3つの制御パケットを交換し、双方の送受信能力と初期シーケンス番号を確認してコネクションを確立する手順。片方向だけの切断を防ぎ、再送や順序制御の起点を作る。

MTUは1つのフレームで運べるIPパケットの最大サイズ、MSSはTCPがやり取りするペイロードの最大量。経路上の最小MTUに合わせないとフラグメントや欠落が起きるため、カプセル化を行う場合は特に調整が必要になる。

IPv4アドレスから同一セグメント上のMACアドレスを解決するプロトコル。ブロードキャストで問い合わせ、応答をARPテーブルに一定時間保持する。代理応答や静的登録で不要な問い合わせを抑える設計も行う。

IPv6で近隣ノードのリンク層アドレス解決、ルータ発見、重複アドレス検出、プレフィックス情報の配布などを行うICMPv6ベースのプロトコル。ARPの機能を置き換え、マルチキャストを使って効率的に問い合わせる。

UDPでL2フレームをカプセル化し、物理網の上に論理的なL2セグメントを作るオーバーレイ技術。24ビットのVNIで多数のテナントを識別でき、データセンター間の延伸や仮想網の分離に使う。

任意のプロトコルをIPでカプセル化するトンネル方式。暗号化は行わないため、機密性が必要な場合はIPsecと組み合わせる。マルチキャストやルーティングプロトコルをトンネル越しに通せる点が特徴。

1つの装置や回線でIPv4とIPv6の両方を同時に運用する方式。移行期に有効だが、アドレス計画、経路、監視、セキュリティポリシーを両方で整備する必要があり、片系だけの穴が障害や侵入経路になる。

1台のスイッチ内を論理的に複数のブロードキャストドメインへ分割する仕組み。ポート単位のVLANとタグ付きフレームによるVLANがあり、セグメント分離と構成変更の容易さを両立する。

IEEE 802.1wで規定されたスパニングツリーの高速版。ポートの役割と状態を細分化し、隣接スイッチとのネゴシエーションで数秒以内に収束させる。ループ防止という基本目的は従来のSTPと同じ。

リンク状態型のIGP。各ルータがLSAを交換して同一エリア内のトポロジを把握し、コストの合計が最小の経路をSPF計算で求める。エリア分割により経路情報と計算負荷を抑える。

AS間で経路を交換するパスベクタ型のEGP。AS_PATHやLOCAL_PREFなどの属性で最適経路を選び、TCPの179番ポートでピアを確立する。ポリシー制御と経路集約が運用の中心になる。

複数の物理リンクを束ねて1つの論理リンクとして扱う技術。帯域の拡大とリンク障害時の継続利用を狙う。両端で同じ設定とLACPなどのネゴシエーションが必要で、ハッシュによりフローを分散する。

同じ宛先に対して等しいコストの経路が複数あるとき、それらへトラフィックを分散させる方式。フロー単位のハッシュが一般的で、特定フローの順序逆転を避ける。リンク障害時は経路が再計算される。

プライベートアドレスとグローバルアドレスを変換する技術。NAPTはポート番号も用いて複数端末で1つのアドレスを共有する。外部から内部への通信は基本的に不可のため、静的変換やポート指定で公開する。

端末にIPアドレス、サブネットマスク、デフォルトゲートウェイ、DNSサーバなどの設定を自動配布するプロトコル。リレーエージェントで別セグメントにも配布でき、リース期間でアドレスを回収する。

複数のWAN回線を論理的に束ね、アプリケーション単位で経路や帯域を制御する技術。拠点側装置と中央管理基盤でポリシーを一元配布し、閉域網とインターネットを用途に応じて使い分ける。

ネットワーク接続機能とセキュリティ機能をクラウド経由で一体提供する考え方。拠点や端末は最寄りの接続点に接続し、ゼロトラストに基づく認証と検査を受けてから業務システムへ到達する。

クラウド事業者が提供する閉域の専用線や相互接続サービスで、自社網とクラウドをプライベートに接続する方式。インターネットを経由しないため帯域と遅延が安定し、経路制御はBGPで行うことが多い。

IP層で暗号化と認証を行うプロトコル群。IKEでSAを確立し、AHまたはESPでパケットを保護する。トランスポートモードとトンネルモードがあり、拠点間接続ではトンネルモードが一般的。

TCPなどの信頼できるトランスポート上で、サーバ認証、鍵交換、暗号化通信を提供するプロトコル。証明書で相手を確認し、共通鍵暗号でアプリケーションデータを保護する。バージョンと暗号スイートの選択が重要。

スイッチや無線APのポートに接続した端末を、認証サーバの判定が通るまでネットワークへ通さない仕組み。サプリカント、オーセンティケータ、認証サーバの3役で構成し、EAPで資格情報を運ぶ。

外部公開サーバを内部網から分離して置く中間セグメント。インターネットからは必要なポートのみ許可し、内部網へはさらに制限をかける。侵害時の影響範囲を限定する多段防御の考え方。

認証、認可、アカウンティングをまとめて提供するAAAプロトコル。ネットワーク機器がクライアントとなり、属性の組で利用者ごとのポリシーを適用する。無線LANや802.1Xの認証基盤として広く使う。

ネットワークの内側を信頼する前提を捨て、すべてのアクセスを都度検証する設計思想。利用者と端末の認証、最小権限、通信の検査と記録を組み合わせ、場所ではなく文脈で許可を決める。

IPヘッダのDSCP値でパケットをクラス分けし、中継機器がクラスごとに転送優先度や廃棄制御を行う方式。事前の帯域設計とクラス間の重み付けが品質を左右し、端末側のマーキング制御も必要になる。

複数のルータで仮想IPアドレスとMACアドレスを共有し、1台をマスタとして待機系と冗長化するプロトコル。マスタ障害時は待機系が引き継ぎ、端末のデフォルトゲートウェイを変えずに通信を継続できる。

シェーピングは超過したトラフィックをバッファにためて平滑化し、ポリシングは超過分を廃棄またはマークする。前者は遅延が増え、後者は廃棄と再送が起きるため、用途と上位プロトコルで選ぶ。

現状の利用状況と将来の需要予測から、回線帯域や装置性能の必要量を見積もる活動。ピーク値と平均値、業務の増加計画、障害時の余裕を踏まえ、監視値で継続的に見直す。

ネットワーク機器の状態をMIBという構造化データとして取得・設定するプロトコル。マネージャがエージェントへ問い合わせる方式と、機器からのトラップ通知がある。バージョンによりセキュリティ強度が異なる。

ルータやスイッチが通信フローの統計情報を生成して外部へ送出する仕組み。送信元、宛先、ポート、プロトコル別に通信量を把握でき、帯域分析や異常検知に用いる。サンプリング設定で負荷を調整する。

装置のログをネットワーク経由で集中管理サーバへ転送する標準的な方式。ファシリティと重要度でメッセージを分類し、時刻同期と保存期間の設計が障害解析の成否を左右する。UDPが一般的だが欠落に注意する。

スイッチの特定ポートの送受信フレームを、監視用ポートへ複製して出力する機能。プロトコルアナライザやIDSで通信を解析する際に使う。ミラー対象と帯域、双方向の扱いを設計時に決める。

機能以外の品質と制約を表す要件で、性能、可用性、セキュリティ、拡張性、運用性、移行性などが含まれる。数値目標と測定条件をセットで定義しないと、設計や受入判定の基準にならない。

基本設計では要件を満たす方式、構成、アドレス計画、プロトコル選定などの骨格を決める。詳細設計では機器ごとの設定値、パラメータ、インタフェース、試験項目まで具体化し、構築者が再現できる粒度にする。

構築したネットワークが要件と設計を満たすかを発注者と確認する試験。疎通や性能、冗長切替、セキュリティ設定を試験項目に沿って実施し、結果を記録して合否を判定する。移行前の最終関門になる。

旧環境から新環境へ業務を切り替える作業。切替手順、作業時間、切戻し条件を事前に決め、影響範囲と連絡体制を明確にする。切替直後の疎通確認と監視強化まで含めて計画し、関係者と合意しておく。