ネットワークサービスとクラウド接続
このドメインで問われること
NAT・DHCP・DNS・NTP といった基盤サービスと、オンプレミスをクラウドへつなぐ接続方式（専用線／インターネット VPN）の設計判断が問われる。どの方式を選ぶとどの制約が出るかを説明できるかが核心である。
基盤サービスの要点
- NAT/NAPT はアドレス変換であり、ポート番号まで使うのが NAPT。外側から内側への開始は変換テーブルがないと通らない。
- DHCP は DORA（Discover/Offer/Request/Ack）。リレーエージェントはブロードキャストを宛先サーバへユニキャスト転送する。
- DNS は権威サーバとキャッシュ（再帰）サーバの役割が違う。切替設計では TTL が実効切替時間を決める。
- NTP は stratum で階層を表す。時刻ずれはログ相関や認証失敗の原因になる。
クラウド接続の要点
- 専用線接続は帯域保証と低遅延が利点、インターネット VPN は即時性とコストが利点。いずれも BGP で経路交換し、AS 番号とプライベート AS の設計が必要。
- VRF でテナントや用途ごとに経路表を分離する。
- ロードバランサは L4 か L7 かで振り分け単位が変わる。ヘルスチェックの設計が冗長性を左右する。
実例（アドレス重複の判断）
オンプレの 10.0.0.0/16 とクラウド VPC の 10.0.0.0/16 を接続すると、同じプレフィックスが両側に存在し経路が衝突する。対策は (1) クラウド側を再設計して重複しない範囲に移す、(2) 境界で NAT を置きアドレスを変換する、のいずれか。BGP の経路制御だけでは解決しない点を明示する。
失点しやすい罠
- NAT 越しの IPsec は NAT-T（UDP 4500）が前提。ESP のままでは通過できない環境がある。
- DNS の TTL が長いまま切替を行うと、旧アドレスへの参照が残る。
- 専用線は冗長化しないと物理区間が単一障害点になる。