ネットワーク運用管理
このドメインで問われること
状態をどう可視化し、変化をどう統制するかが問われる。監視プロトコルの違い（ポーリングか通知か、ポート番号、重大度）と、ログ・フロー・時刻同期を組み合わせた障害切り分けの設計である。
監視と収集
- SNMP は v2c（コミュニティ）と v3（認証・暗号化）。ポーリングは UDP 161、トラップは UDP 162。MIB の OID で取得対象を指定する。
- syslog は facility と severity（0=emergency 〜 7=debug）で分類する。level 3 は error、4 は warning。
- フロー情報は NetFlow/IPFIX/sFlow で、誰がどこへどれだけ通信したかを可視化する。
- 大規模環境では gNMI などのストリーミングテレメトリで高頻度に取得する。
統制と運用
- コンフィグは取得・版管理・差分比較を行い、変更は承認手続きを経て適用する。変更前のバックアップは必須。
- NTP で全機器の時刻を同期させる。時刻がずれるとログの相関が取れず、証明書検証も失敗する。
- しきい値監視はフラッピングを避けるため、継続時間や回数条件を組み合わせる。
実例（ログが出ない時の切り分け）
機器で障害が起きたのに監視側にログが届かない場合、(1) severity 設定が debug のみで error を送っていない、(2) syslog サーバのアドレス未設定、(3) UDP 514 が ACL で遮断、の順に確認する。ポーリングは正常なのにトラップだけ来ないなら、162 番の経路かトラップ送信設定を疑う。
失点しやすい罠
- SNMP のポーリングとトラップのポート番号を逆に覚える。
- syslog の severity の向き（数値が小さいほど重大）を誤る。
- 時刻同期を後回しにすると、複数機器のログを時系列に並べられない。