ゼロから実務まで学ぶネットワーク17ステップで、家のWi-Fiから会社のインフラ運用まで、ひと続きに

ネットワークとは「相手まで届ける約束ごと」の集まり

ネットワークとは、ケーブルや無線でつながった機器の集まり……と説明されがちですが、それだと本質を外します。実際のネットワークは、「誰が、どんな形で、どの順番でデータを渡すか」という約束ごとの集まりです。この約束ごとをプロトコル（protocol）と呼びます。

郵便で考えると分かりやすくなります。手紙を送るとき、私たちは無意識に何段階もの約束ごとを使っています。封筒に住所を書く（宛先の約束）、ポストに入れる（受け渡しの約束）、郵便局が仕分けて運ぶ（中継の約束）、相手が封を開けて読む（中身の約束）。ネットワークもまったく同じで、役割ごとに別々の約束ごとが積み重なっています。

  あなたのパソコン                                    見たいサーバー
  ┌──────────┐   ┌─────┐   ┌──────┐   ┌────────┐   ┌──────────┐
  │  ブラウザ │──▶│ 家の  │──▶│ 回線  │──▶│ インターネット │──▶│ Webサーバー │
  │          │◀──│ルーター│◀──│事業者 │◀──│  （無数の中継） │◀──│          │
  └──────────┘   └─────┘   └──────┘   └────────┘   └──────────┘
       ①            ②          ③            ④              ⑤

  ① 何を送るか決める      ② 家の中と外を橋渡しする    ③ 外まで運ぶ道
  ④ 世界中の中継を経由     ⑤ 受け取って返事を返す

学ぶ順番は「下から上」がいちばん速い

ネットワークには、物理的なケーブルから、目に見えるWebページまで、層（レイヤー）があります。学習は下の層から順に上へ登るのが、遠回りに見えていちばん速い道です。理由は単純で、上の層は下の層がすべて正常に動いている前提で成り立っているからです。

• ケーブルが抜けていれば、どんなに正しいURLを打っても表示されない
• IPアドレスが間違っていれば、DNSは動かない
• DNSが引けなければ、HTTPSは始まらない

この依存関係は、そのまま障害のときの切り分け手順になります。つまり、学習の順番と、実務でのトラブル対応の順番は、まったく同じなのです。だから下から学ぶと、知識がそのまま仕事の手順になります。

このページの使い方

1. 一周目は読むだけ。分からない用語があっても止まらず、最後まで読み通してください。
2. 二周目でコマンドを打つ。各ステップの黒い枠は、あなたのパソコンでそのまま実行できます。
3. 三周目で一問一答。各ステップの最後にある問いに、声に出して答えてください。答えられなければ、その節だけ読み返します。

# Windows の場合
ipconfig /all

# Mac / Linux の場合
ifconfig
ip addr show

この分野の「用語の多さ」との付き合い方

ネットワークは、英語の頭文字を取った略語（TCP、IP、DNS、DHCP、ARP……）が非常に多い分野です。ここで挫折する人がとても多いのですが、対処法ははっきりしています。略語を覚えようとせず、「何をする役目の人か」を一言で覚えることです。

この表は、ステップを進めるたびに戻ってきてください。10個の役目が言えるようになれば、ネットワークの会話の8割はついていけます。

なぜ層に分けるのか

通信の仕事を、役割ごとに層に分けて考えるのがネットワークの基本発想です。分ける理由は3つあります。

1. 入れ替えができる：ケーブルを無線に変えても、上の層（Webの表示など）はそのまま動く
2. 分担できる：機器メーカーが違っても、層の境界の約束さえ守れば組み合わせられる
3. 切り分けられる：不具合が起きたとき、どの層で止まっているかを順に確かめられる

3つ目が、実務でいちばん効きます。層は、そのまま点検の順番表です。

OSI参照モデル（7階層）

OSI参照モデル（オーエスアイさんしょうモデル）は、国際標準化機構が定めた7段階の考え方の枠組みです。実際の通信そのものというより、共通の言葉として使う物差しだと考えてください。下から順に第1層、第2層……と数えます。

実際に使われているのはTCP/IPの4階層

OSIは物差しですが、いま世界中で実際に動いているのはTCP/IPモデルという4階層の体系です。両者の対応を頭に入れておくと、書籍や現場で話が食い違いません。

  OSI参照モデル                 TCP/IPモデル            具体例
  ┌─────────────┐
  │ L7 アプリケーション  │ ┐
  ├─────────────┤ │
  │ L6 プレゼンテーション │ ├──▶ アプリケーション層 ──▶ HTTP / HTTPS / DNS / SMTP
  ├─────────────┤ │
  │ L5 セッション      │ ┘
  ├─────────────┤
  │ L4 トランスポート   │ ───▶ トランスポート層  ──▶ TCP / UDP
  ├─────────────┤
  │ L3 ネットワーク     │ ───▶ インターネット層  ──▶ IP / ICMP / ARP
  ├─────────────┤
  │ L2 データリンク     │ ┐
  ├─────────────┤ ├──▶ ネットワーク    ──▶ Ethernet / Wi-Fi
  │ L1 物理          │ ┘    インターフェース層

カプセル化 ── 封筒を何重にもかぶせていく

データを送るとき、上の層から下の層へ渡されるたびに、その層の宛先情報（ヘッダー）が前に足されていきます。これをカプセル化と呼びます。受け取った側は、下から順に封を開けていきます（非カプセル化）。

  L7  ［　　　　　　　　  データ（HTTPの中身）　　　　　　　　］

  L4  ［TCPヘッダー｜　　　　　  データ　　　　　　　　　　　］
       └ 宛先ポート番号80 など

  L3  ［IPヘッダー｜TCPヘッダー｜　　  データ　　　　　　　　］
       └ 宛先IPアドレス 93.184.x.x など

  L2  ［Ethernetヘッダー｜IPヘッダー｜TCPヘッダー｜データ｜FCS］
       └ 宛先MACアドレス（次に渡す隣の機器）

  L1  0101110100101110101…（電気信号・光・電波）

ここで最重要のポイントを一つ。IPアドレスは最終目的地、MACアドレスは次に渡す隣の相手です。宅配便でいえば、IPアドレスは伝票の宛先住所、MACアドレスは「次にこのトラックへ積む」という積み替え指示にあたります。IPヘッダーの宛先は最後まで変わりませんが（NATを除く）、L2の宛先は中継のたびに書き換わります。この違いが分かると、ルーターとスイッチの役割の差が一気に腑に落ちます。

# L1/L2 が生きているか（ケーブルとリンク状態）
# Windows
ipconfig
# Mac / Linux
ip link show

# L3 が生きているか（IPで相手まで届くか）
ping 8.8.8.8

# L7 が生きているか（名前で引いて中身を取れるか）
curl -I https://www.iana.org

LANとは「同じ範囲で直接話せる仲間の集まり」

LAN（ラン、Local Area Network）は、家や事務所など限られた範囲のネットワークです。対して、離れた拠点どうしを結ぶ広い範囲のものをWAN（ワン、Wide Area Network）と呼びます。会社でいえば、本社ビルの中がLAN、本社と支社をつなぐ回線がWANです。

LANの中では、ルーターを通らずに直接データをやり取りできます。この「直接話せる範囲」を、専門用語でブロードキャストドメインと呼びます。ここを押さえると、あとで出てくるVLANやサブネットの話が全部つながります。

Ethernet ── 有線LANの世界標準

Ethernet（イーサネット）は、有線LANでほぼ唯一使われている規格です。私たちが「LANケーブル」と呼んでいるものは、正しくはツイストペアケーブルといい、カテゴリ（Cat）という等級で速度が決まります。

MACアドレス ── 機器に焼き付けられた固有の番号

MACアドレス（マックアドレス）は、ネットワーク機器の製造時に割り当てられた12桁の識別番号です。00:1A:2B:3C:4D:5E のように、2桁ずつ6組で表します。前半3組がメーカーを表す番号（OUI）、後半3組がそのメーカーの中の通し番号です。

IPアドレスが「引っ越すと変わる住所」なら、MACアドレスは「変わらないマイナンバー」に近い性質を持ちます。ただし、MACアドレスはLANの中でしか使われません。ルーターを一つ越えた瞬間に、新しいMACアドレスに書き換えられます。

# Windows
getmac /v
ipconfig /all

# Mac
ifconfig en0 | grep ether

# Linux
ip link show

ハブとスイッチ ── 何が違うのか

見た目はどちらも「LANケーブルの差込口がたくさんある箱」ですが、中の動きはまったく違います。この違いは、面接でもよく問われます。

  ■ リピータハブ（L1）：来たものを全ポートにそのまま流す
                    ┌──── PC-B  ← 関係ないのに届く
      PC-A ───▶［ハブ］──── PC-C  ← 関係ないのに届く
                    └──── PC-D  ← 宛先だけが受け取り、他は捨てる
      → 無駄な通信が多い／同時に話すとぶつかる（コリジョン）

  ■ スイッチ（L2）：宛先MACを見て、必要なポートにだけ送る
                    ┌──── PC-B
      PC-A ───▶［SW］      PC-C
                    └───▶ PC-D  ← 宛先のポートにだけ送られる
      → 無駄がない／同時に複数の会話ができる（全二重）

      スイッチの中にある「MACアドレステーブル」
      ┌──────┬──────────────┐
      │ ポート │ 学習したMACアドレス   │
      ├──────┼──────────────┤
      │  1   │ 00:1A:2B:3C:4D:5E  │ ← PC-A
      │  4   │ 00:1A:2B:99:88:77  │ ← PC-D
      └──────┴──────────────┘

スイッチは、通信を見ているだけで自動的にこの表を作ります。「ポート1から来たフレームの送信元MACはこれだった」と記録していくだけです。表にない宛先が来たときだけ、全ポートに流して（フラッディング）返事から学習します。設定なしで賢く動くのは、この学習のおかげです。

ブロードキャストと、なぜVLANが必要になるのか

ブロードキャストとは、同じLAN内の全員に向けた呼びかけです。「このIPアドレスの人、MACアドレスを教えてください」（ARP）のような場面で使われ、ネットワークが動くために欠かせません。

問題は、台数が増えるとこの呼びかけが増えすぎることです。200台の端末が同じLANにいると、全員の呼びかけが全員に届き、無駄な処理が増えます。さらに、経理部のパソコンと来客用の端末が同じ範囲にいるのは、セキュリティ上も好ましくありません。

そこで使うのがVLAN（ブイラン、Virtual LAN）です。1台のスイッチの中を、論理的に複数のLANに区切る機能です。物理的にスイッチを分けなくても、ポートごとにグループを割り当てられます。

            ┌──────────── スイッチ 1台 ────────────┐
            │  VLAN 10（社員）  VLAN 20（来客）  VLAN 30（IP電話） │
            │  ┌───┬───┐   ┌───┬───┐   ┌───┬───┐  │
  ポート番号 →│  │ 1 │ 2 │   │ 5 │ 6 │   │ 9 │10 │  │
            │  └─┬─┴─┬─┘   └─┬─┴─┬─┘   └─┬─┴─┬─┘  │
            └────┼───┼───────┼───┼───────┼───┼────┘
                 PC   PC       来客  来客      電話  電話

  ・VLAN 10 と VLAN 20 の間は、そのままでは通信できない（＝分離できる）
  ・お互いに通信させたいときは、必ずルーター／L3スイッチを経由させる
    → そこでファイアウォールのルールを書ける ＝ 制御できる

IPアドレスは「32個の0と1」でできている

ふだん 192.168.1.10 と書いているIPアドレス（IPv4）は、コンピュータの中では32桁の2進数です。これを8桁ずつ4つに区切り、それぞれを10進数に直して点で結んだものが、見慣れたあの表記です。

   192   .   168   .    1    .   10
  11000000.10101000.00000001.00001010
  └─8桁─┘└─8桁─┘└─8桁─┘└─8桁─┘   合計32桁（32ビット）

  8桁の各位が表す数字（ここだけ暗記する）
   128  64  32  16   8   4   2   1
    1   1   0   0   0   0   0   0   → 128+64 = 192
    1   0   1   0   1   0   0   0   → 128+32+8 = 168

ネットワーク部とホスト部

IPアドレスは、前半＝どのネットワークか（ネットワーク部）と、後半＝その中の何番目の機器か（ホスト部）の2つに分かれています。電話番号の市外局番と加入者番号、住所の「町名」と「番地」と同じ関係です。

どこまでが前半かを示すのがサブネットマスクです。255.255.255.0 のように書くほか、1が立っている桁数で /24 と書く方法（CIDR表記、サイダーひょうき）もあります。実務では圧倒的に /24 の書き方を使います。

  IPアドレス     192.168.10.50
                 11000000.10101000.00001010.00110010

  サブネットマスク 255.255.255.0   （＝/24）
                 11111111.11111111.11111111.00000000
                 └────── 1が24個 ─────┘└─ 0が8個 ─┘
                     ネットワーク部          ホスト部

  ネットワークアドレス  … ホスト部を全部0にしたもの
      192.168.10.0    ← 「このネットワークそのもの」を表す。端末には付けない

  ブロードキャストアドレス … ホスト部を全部1にしたもの
      192.168.10.255  ← 「全員宛」を表す。端末には付けない

  端末に使えるアドレス
      192.168.10.1 〜 192.168.10.254  の 254個

使える台数の計算

公式は一つだけです。使える台数 ＝ 2のホスト部ビット数乗 − 2。マイナス2は、ネットワークアドレスとブロードキャストアドレスの分です。

この表は暗記の対象です。とくに /24＝254台、/26＝62台、/30＝2台 の3つは、口をついて出るようにしてください。設計の会話でそのまま使います。

プライベートアドレスとグローバルアドレス

IPアドレスには、インターネットでそのまま使える住所（グローバルアドレス）と、組織の中だけで自由に使ってよい住所（プライベートアドレス）があります。プライベートアドレスの範囲は決められており、これは必ず覚えます。

手を動かす ── サブネットの計算練習

# ipcalc があれば、答え合わせに便利
ipcalc 192.168.10.50/26

# なければ Python でも確認できる（Windowsでも可）
python3 -c "import ipaddress; n=ipaddress.ip_network('192.168.10.0/26'); print(n.network_address, n.broadcast_address, n.num_addresses-2)"

192.168.10.0 192.168.10.63 62

ルーターの仕事は「次に渡す先を選ぶ」だけ

ルーターは、受け取ったパケットの宛先IPアドレスを見て、自分が持っている表（ルーティングテーブル）と照らし合わせ、次に渡すべき隣のルーターを決めます。それだけです。目的地までの全経路を知っているわけではありません。

これは、道に迷ったときに交番で「次の角を右」と教えてもらうのに似ています。交番はゴールまでの全行程を教えてくれるわけではなく、次にどちらへ進むべきかだけを教えます。それを各交差点で繰り返すと、いつか目的地に着きます。インターネットは、この仕組みで世界中がつながっています。

  PC ────▶ ルーターA ────▶ ルーターB ────▶ ルーターC ────▶ サーバー
  192.168.1.10                                             203.0.113.5

  宛先IP     203.0.113.5   203.0.113.5   203.0.113.5   203.0.113.5
              ↑ 最後まで変わらない（NATがある場合を除く）

  宛先MAC    ルーターAの   ルーターBの   ルーターCの   サーバーの
             MACアドレス   MACアドレス   MACアドレス   MACアドレス
              ↑ 1区間ごとに毎回書き換わる

  TTL         64  ──▶  63  ──▶  62  ──▶  61
              ↑ ルーターを1つ越えるたびに1減る。0になると破棄される
                （ループしたパケットが永久に回り続けるのを防ぐ仕組み）

ルーティングテーブルを読む

あなたのパソコンにも、小さなルーティングテーブルがあります。まず自分のものを見てみましょう。

# Windows
route print -4

# Mac
netstat -rn -f inet

# Linux
ip route show

default via 192.168.1.1 dev eth0 proto dhcp metric 100
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.10

• 2行目：宛先が 192.168.1.0/24 の範囲なら、ルーターに頼らず eth0から直接届ける（同じLAN内だから）
• 1行目：それ以外のすべての宛先（default、＝0.0.0.0/0）は、192.168.1.1に丸投げする

この「それ以外は全部ここへ」という投げ先をデフォルトゲートウェイと呼びます。家庭では、これがWi-Fiルーターのアドレスです。設定がおかしくてインターネットだけ出られないという障害の大半は、ここが間違っているか、届かなくなっています。

経路の決め方 ── 静的と動的

初学者がまず理解すべきはスタティック、次にOSPFです。BGPは「インターネット全体の経路交換に使われている」と知っていれば、当面は十分です。

NAT ── 家の中の住所を、外向けの住所に書き換える

プライベートアドレスは、インターネットにそのままでは出られません。そこで、家庭や会社のルーターは、外へ出ていくパケットの送信元アドレスを、自分が持つグローバルアドレスに書き換えます。これがNAT（ナット）です。

ただし、家の中に10台あるとき、全部を同じグローバルアドレスに書き換えたら、返事がどの端末宛か分からなくなります。そこで、ポート番号も一緒に書き換えて区別します。これをNAPT（ナプト）、あるいはIPマスカレードと呼びます。家庭用ルーターがやっているのは、正確にはこちらです。

  家の中                    ルーター                     インターネット
  ┌──────────────┐                              ┌──────────┐
  │PC-A 192.168.1.10 │──┐                          │  Webサーバー │
  │PC-B 192.168.1.11 │──┼─▶［変換］─── 203.0.113.7 ─▶│ 93.184.x.x │
  │スマホ192.168.1.12 │──┘                          └──────────┘
  └──────────────┘

  ルーターが持つ変換表
  ┌──────────────────┬──────────────────┐
  │ 内側（送信元）        │ 外向けに書き換えた値   │
  ├──────────────────┼──────────────────┤
  │ 192.168.1.10 : 51000 │ 203.0.113.7 : 40001 │
  │ 192.168.1.11 : 49820 │ 203.0.113.7 : 40002 │
  │ 192.168.1.12 : 52310 │ 203.0.113.7 : 40003 │
  └──────────────────┴──────────────────┘
  返事が 203.0.113.7:40002 宛で戻ってきたら、192.168.1.11 に返せばよい

ポート番号 ── 建物の中の部屋番号

IPアドレスで「どの機器か」までは決まりますが、1台のサーバーの中ではWebも、メールも、ファイル共有も同時に動いています。そのどれ宛なのかを示すのがポート番号です。IPアドレスがビルの住所なら、ポート番号は部屋番号にあたります。

0〜65535の番号があり、用途で3つに分かれます。

• 0〜1023：ウェルノウンポート。主要なサービス用に予約されている（要管理者権限）
• 1024〜49151：登録済みポート。製品やサービスが登録して使う
• 49152〜65535：動的ポート。接続するたびに、送信元として自動で割り当てられる

★3つは必ず覚えてください。ファイアウォールの設定でも、障害の切り分けでも、毎日のように出てきます。

TCP ── 確実に届ける、几帳面な運び屋

TCPは、相手に確実に、順番どおりに届けることを保証します。そのために、送る前に必ずあいさつ（コネクション確立）をします。これが有名な3ウェイハンドシェイクです。

  クライアント                                    サーバー
      │                                            │
      │──────  ① SYN（つないでいい？）  ──────▶│
      │                                            │
      │◀───  ② SYN + ACK（いいよ、そちらは？） ───│
      │                                            │
      │──────  ③ ACK（了解、始めます）  ─────▶│
      │                                            │
      │══════  ここからデータのやり取り  ══════│
      │                                            │
      │──────  ④ FIN（終わります）  ────────▶│
      │◀─────  ⑤ ACK ─────────────────│
      │◀─────  ⑥ FIN ─────────────────│
      │──────  ⑦ ACK  ───────────────▶│

  SYN … 接続要求   ACK … 確認応答   FIN … 切断要求   RST … 強制切断

TCPは、届いたことの確認（ACK）が返らなければ自動で再送し、順番が入れ替わったら並べ直し、混雑してきたら送る速さを自動で落とします（輻輳制御、ふくそうせいぎょ）。とても賢い代わりに、やり取りが増えるぶん、わずかに遅くなります。

UDP ── 確認しない、速さ優先の運び屋

UDPは、あいさつも確認もせず、投げっぱなしにします。届かなくても再送しません。乱暴に見えますが、これが正解になる場面があります。

手を動かす ── いま何が通信しているか見る

# Windows（-b はプロセス名も表示。管理者権限が必要）
netstat -ano
netstat -anob

# Mac
netstat -an -p tcp
lsof -i -P | grep LISTEN

# Linux（ss が現代の標準。netstat の後継）
ss -tuln
ss -tanp

Proto  ローカルアドレス      外部アドレス          状態
TCP    192.168.1.10:52344   93.184.216.34:443    ESTABLISHED
TCP    0.0.0.0:445          0.0.0.0:0            LISTENING

• ESTABLISHED：いま通信が成立している。:443 なのでHTTPS通信
• LISTENING：接続を待ち受けている状態。0.0.0.0:445 はすべてのネットワークから445番の接続を受け付けているという意味で、セキュリティ上の点検対象
• TIME_WAIT：切断直後の余韻。大量にあるなら、短時間に大量の接続が発生している

なぜDNSが必要なのか

通信に実際に使われるのはIPアドレスですが、人間が 93.184.215.14 を覚えるのは無理があります。そこで、www.example.com のような名前（ドメイン名）を、IPアドレスに変換する仕組みが必要になります。これがDNSです。

DNSは、1台の巨大なサーバーではなく、世界中に分散した階層構造で動いています。この分散こそがDNSの設計思想であり、ここを理解すると障害の切り分け方が見えてきます。

  ①  あなたのPC
       │「www.example.com のIPを教えて」
       ▼
  ②  DNSキャッシュサーバー（プロバイダや社内にある「聞き役」）
       │  ※ここに答えが残っていれば、ここで即返す（キャッシュ）
       │
       ├─③─▶ ルートサーバー（世界に13系統）
       │    ◀── 「.com のことは、このサーバーに聞いて」
       │
       ├─④─▶ .com を管理するサーバー（TLDサーバー）
       │    ◀── 「example.com のことは、このサーバーに聞いて」
       │
       └─⑤─▶ example.com の権威サーバー
            ◀── 「www.example.com は 93.184.215.14 です」（これが正解）
       │
       ▼
  ⑥  PCに答えを返す ＋ 一定時間（TTL）自分でも覚えておく

  ・②が答えを探しに行く動きを「再帰問い合わせ」
  ・③④⑤の各サーバーが「次はここ」と教える動きを「反復問い合わせ」という

レコードの種類 ── 何を答えるかの型

手を動かす ── DNSを引いてみる

# Windows / Mac / Linux 共通
nslookup www.iana.org

# 参照するDNSサーバーを指定して引く（切り分けの定番）
nslookup www.iana.org 8.8.8.8

# レコードの種類を指定する
nslookup -type=MX iana.org

# Mac / Linux なら dig のほうが情報量が多い
dig www.iana.org
dig iana.org MX +short
dig @1.1.1.1 www.iana.org       # 参照先を指定
dig www.iana.org +trace          # ルートから順にたどる（学習に最適）

# Windows
ipconfig /displaydns
ipconfig /flushdns

# Mac
sudo dscacheutil -flushcache
sudo killall -HUP mDNSResponder

# Linux（systemd-resolved の場合）
resolvectl statistics
sudo resolvectl flush-caches

TTLと、切り替え作業の落とし穴

TTL（ティーティーエル）は、「この答えを何秒間覚えておいてよいか」という有効期限です。TTLが3600なら、1時間は世界中のキャッシュサーバーが古い答えを返し続けます。

DHCP ── 住所を自動で配る

端末をネットワークにつなぐと、IPアドレス・サブネットマスク・デフォルトゲートウェイ・DNSサーバーが自動で設定されます。これを配っているのがDHCPサーバーです。家庭ではルーターが、会社ではサーバーや上位のスイッチが担当します。

やり取りは4段階で、頭文字を取って「DORA（ドラ）」と覚えます。

  クライアント（まだIPを持っていない）              DHCPサーバー
      │                                              │
      │─① DISCOVER ─────────────────────▶│
      │   「誰かIPアドレスをください」（全員へ叫ぶ＝ブロードキャスト）
      │                                              │
      │◀─② OFFER ──────────────────────│
      │   「192.168.1.50 でどうですか」（候補の提示）
      │                                              │
      │─③ REQUEST ──────────────────────▶│
      │   「それをください」（複数サーバーがいる場合の選択も兼ねる）
      │                                              │
      │◀─④ ACK ────────────────────────│
      │   「どうぞ。有効期限は8日間です」（リース期間）
      │
      └─▶ IPアドレス・マスク・GW・DNS が設定され、通信できるようになる

# Windows：いまのIPを返して、取り直す
ipconfig /release
ipconfig /renew

# Mac：DHCPリースを更新（システム設定からでも可）
sudo ipconfig set en0 DHCP

# Linux
sudo dhclient -r eth0
sudo dhclient eth0

ARP ── IPからMACを調べる

同じLAN内で相手にフレームを届けるには、相手のMACアドレスが要ります。しかし手元にあるのはIPアドレスだけです。そこでARP（アープ）を使い、LAN全体に「このIPアドレスの人、MACアドレスを教えてください」と呼びかけます。

  PC-A（192.168.1.10）が 192.168.1.20 と話したい

  ① ARPリクエスト（ブロードキャスト＝全員に届く）
     「192.168.1.20 の人、MACアドレスを教えてください」
        A ──▶ 全員（B、C、D……）

  ② ARPリプライ（ユニキャスト＝Aにだけ返す）
     「私です。00:1A:2B:3C:4D:5E です」
        B ──▶ A

  ③ AはARPテーブルに記録し、しばらく再利用する
     192.168.1.20 → 00:1A:2B:3C:4D:5E （数分で消える）

# 一覧表示（Windows / Mac / Linux 共通に近い）
arp -a

# Windows：ARPキャッシュを消す（管理者権限）
netsh interface ip delete arpcache

# Linux
ip neigh show
sudo ip neigh flush all

ICMP ── 通信の様子を知らせる連絡係

ICMP（アイシーエムピー）は、データを運ぶためではなく、通信の状態を知らせるためのプロトコルです。ping と traceroute はこれを使っています。

まとめ ── ケーブルを挿してから、Webが見えるまで

• L1・L2ケーブルが挿さり、リンクが上がる。スイッチのランプが点灯する
• DHCPDORAの4段階で、IP・マスク・GW・DNSを受け取る
• ARPデフォルトゲートウェイのMACアドレスを調べる
• DNS入力されたURLの名前を、IPアドレスに変換する
• TCP相手の443番へ3ウェイハンドシェイクで接続する
• TLS証明書を確認し、暗号化の鍵を決める
• HTTPページの中身を要求し、受け取って画面に描く

この7行が、ネットワーク技術者の共通言語です。面接でも「URLを入力してからページが表示されるまでに何が起きますか」という形でよく問われます。空で言えるようにしてください。

HTTP ── 要求と応答の、単純な往復

HTTPは、「これをください」（リクエスト）と「はいどうぞ」（レスポンス）の往復だけでできています。中身は人間が読める文字列です。

  ■ リクエスト
     GET /index.html HTTP/1.1
     Host: www.example.com
     User-Agent: Mozilla/5.0 ...
     Accept: text/html

  ■ レスポンス
     HTTP/1.1 200 OK
     Content-Type: text/html; charset=UTF-8
     Content-Length: 1256
     （空行）
     <html> ... ページの中身 ... </html>

HTTPS ── HTTPをTLSで包む

HTTPは中身がそのまま流れるため、途中で読まれます。そこでTLS（ティーエルエス。古い呼び名はSSL）で包んだものがHTTPSです。TLSは3つの問題を同時に解きます。

1. 盗聴を防ぐ（暗号化） ── 途中で見られても内容が分からない
2. 改ざんを検知する（完全性） ── 書き換えられたら受け取り側が気づく
3. なりすましを防ぐ（認証） ── 相手が本物のサーバーか、証明書で確認する

とくに3つ目が重要です。暗号化だけなら誰でもできますが、「その相手が本物かどうか」は、第三者（認証局）の保証がなければ判断できません。ブラウザの鍵マークは、この保証が確認できたという意味です。

  クライアント                                     サーバー
      │─ ClientHello（使える暗号方式の一覧）──────▶│
      │◀─ ServerHello（使う方式を選択）───────────│
      │◀─ Certificate（サーバー証明書を提示）───────│
      │                                               │
      │  ① 証明書を検証する                            │
      │    ・信頼できる認証局が署名しているか            │
      │    ・有効期限内か                               │
      │    ・アクセス先のドメイン名と一致しているか        │
      │                                               │
      │──── 鍵交換（共通鍵を安全に決める）──────────▶│
      │◀═══ ここから先は暗号化された通信 ═══════▶│

# ヘッダーだけ取得する（状態コードの確認に最適）
curl -I https://www.iana.org

# 通信の詳細を表示（TLSのやり取りも見える）
curl -v https://www.iana.org

# 証明書の中身と有効期限を確認する
openssl s_client -connect www.iana.org:443 -servername www.iana.org

# 有効期限だけを取り出す
echo | openssl s_client -connect www.iana.org:443 2>/dev/null | openssl x509 -noout -dates

規格と世代 ── 数字の読み方

Wi-Fiの正式名称はIEEE 802.11（アイトリプルイー はちまるにいてんいちいち）です。末尾のアルファベットが世代を表しますが、分かりにくいため、近年はWi-Fi 6のような通し番号でも呼ばれます。

2.4GHzと5GHz ── 性格が正反対

  ○ 正しい配置                     × 悪い配置
  ┌─────┬─────┬─────┐      ┌─────┬─────┬─────┐
  │ ch1 │ ch6 │ ch11│      │ ch1 │ ch3 │ ch6 │
  └─────┴─────┴─────┘      └─────┴─────┴─────┘
   電波が重ならない                ch3 が ch1 と ch6 の
   → 3台とも本来の速度が出る        両方に干渉して全部遅くなる

  ※ 5GHz帯はチャネルが多いので、この制約はゆるい

暗号化と認証 ── 安全な順に

「Wi-Fiが遅い」への向き合い方

• まず確認有線でも遅いか？　有線でも遅ければ、Wi-Fiの問題ではありません（回線か上位側）
• 電波強度端末に表示される強度（RSSI）。−70dBmより弱いと実用が厳しい
• 干渉近隣のアクセスポイントと同じチャネルになっていないか。スマホアプリでも調べられる
• 端末数1台のアクセスポイントに何台ぶら下がっているか。目安は20〜30台まで。会議室に人が集まると起きる
• 帯域古い端末が2.4GHzで低速通信していると、全体の速度を引き下げる
• 上流アクセスポイントとスイッチをつなぐ線が1Gbpsのままではないか（Wi-Fi 6には不足）

# Windows：接続中の無線情報（信号品質・チャネル・速度）
netsh wlan show interfaces

# 保存されているプロファイルの一覧
netsh wlan show profiles

# 近くのアクセスポイントを一覧（BSSIDと信号強度）
netsh wlan show networks mode=bssid

# Mac（Option キーを押しながらWi-Fiアイコンでも詳細が見えます）
system_profiler SPAirPortDataType

# Linux
iwconfig
nmcli device wifi list

機器の役割を、層で整理する

小規模オフィスの典型的な構成

                        インターネット
                             │
                       ┌─────┴─────┐
                       │  ONU（回線終端） │  ← 回線事業者の機器
                       └─────┬─────┘
                             │
                    ┌────────┴────────┐
                    │ ルーター／UTM       │  ← NAT・ファイアウォール
                    │ (WAN: 203.0.113.7) │     VPNの出入口
                    └────────┬────────┘
                             │
                  ┌──────────┴──────────┐
                  │  コアスイッチ（L3スイッチ）  │  ← VLAN間ルーティング
                  │  VLAN10/20/30/99 の集約   │
                  └───┬──────┬──────┬───┘
                      │      │      │
            ┌─────────┘      │      └─────────┐
      ┌─────┴─────┐   ┌──────┴──────┐   ┌─────┴──────┐
      │ フロアSW 1F  │   │  フロアSW 2F  │   │  サーバー用SW │
      └──┬────┬───┘   └──┬─────┬───┘   └──┬─────┬──┘
         │    │           │     │           │     │
        PC   無線AP       PC    無線AP      NAS   業務サーバー

  VLAN設計例
    VLAN 10  社員用   192.168.10.0/24
    VLAN 20  来客用   192.168.20.0/24  ← 社内へは通さない
    VLAN 30  サーバー 192.168.30.0/24
    VLAN 99  管理用   192.168.99.0/24  ← 機器の設定画面はここだけ

この図が読めて、自分で描けるようになれば、構築の打ち合わせに参加できます。まずは自分の職場や自宅の構成を、この形式で描き出してみてください。それが最良の練習になります。

回線の種類

機器を選ぶときの判断軸

1. ポート数：現在の台数＋将来の増加分＋予備。埋まってから買い足すと配線が乱れます
2. PoE対応か：無線APやIP電話、カメラはLANケーブルから給電（PoE）できると配線が激減します
3. 管理機能：VLANやログが必要なら「インテリジェントスイッチ」。単なる分岐なら安価なもので足ります
4. 冗長性：電源が二重化できるか、機器を2台構成にできるか
5. 保守：故障時に何日で代替機が届くか。ここが実務では最重要で、値段より優先されることがあります

アドレス設計 ── 最初に決めて、後から変えない

ネットワーク構築で、後から変更するのが最も大変なのがIPアドレス設計です。機器は交換できますが、アドレス体系を変えると、サーバー、プリンタ、ファイアウォールの設定、業務システムの接続先まで、すべてを直すことになります。だから最初に、余裕をもって決めます。

冗長化 ── 1つ壊れても止めない

IPv6 ── 避けて通れなくなってきた

IPv4のアドレスは約43億個で、すでに枯渇しています。そこで、128ビット（事実上無尽蔵）のIPv6への移行が進んでいます。表記は 2001:db8::1 のように、16進数を : で区切ります。

• 0の省略：連続する0のかたまりは :: で1回だけ省略できる
• NATが要らない：全端末にグローバルアドレスを付けられる（だからファイアウォールがより重要になる）
• ブロードキャストがない：マルチキャストで代替される
• 自動設定：ルーターの広告（RA）を受け取り、端末が自分でアドレスを作れる

# Windows
ping -4 www.google.com
ping -6 www.google.com
netsh interface ipv6 show address

# Mac / Linux
ping -4 www.google.com
ping6 www.google.com
ip -6 addr show

大原則 ── 下から上へ、近くから遠くへ

切り分けの手順は、STEP 1で学んだ層の順番そのままです。L1から順に、確認できたところまでを「白」にしていく。これを機械的に行えば、勘に頼らず原因にたどり着けます。

  ① 範囲の確認     …「誰が」「いつから」「何ができない」
     └ 1人だけ？ 全員？ 特定のサイトだけ？ ← ここで原因の8割が絞れる

  ② L1 物理       … ケーブル、ランプ、電源
     └ ipconfig / ip link show でリンク状態を確認

  ③ L2/L3 自分自身 … 自分にIPアドレスが正しく付いているか
     └ ipconfig /all  → 169.254 なら DHCP異常で確定
     └ ping 127.0.0.1（自分自身が生きているか）

  ④ L3 同一LAN内   … 隣まで届くか
     └ ping デフォルトゲートウェイ（例: ping 192.168.1.1）
     └ 失敗 → LAN内（ケーブル、スイッチ、VLAN設定）の問題

  ⑤ L3 外部       … インターネットまで届くか
     └ ping 8.8.8.8（名前を使わずIPで試すのが重要）
     └ 失敗 → ルーター、回線、NAT の問題
     └ tracert / traceroute でどこまで進むか確認

  ⑥ 名前解決      … 名前が引けるか
     └ nslookup www.example.com
     └ 8.8.8.8 は通るのに名前が引けない → DNSの問題で確定

  ⑦ L4/L7 サービス … 相手のポートが開いているか、中身が返るか
     └ Test-NetConnection host -Port 443 / nc -vz host 443
     └ curl -I https://host

コマンド早見表 ── これだけ覚えれば戦える

pingの読み方 ── 数字に意味がある

# Windows：回数を指定、連続実行、サイズ指定
ping 8.8.8.8 -n 10
ping 8.8.8.8 -t          # 止めるまで continuous（Ctrl+C で停止）
ping 8.8.8.8 -l 1472 -f  # 分割禁止で大きなパケット（MTUの確認）

# Mac / Linux
ping -c 10 8.8.8.8
ping -s 1472 -M do 8.8.8.8

64 bytes from 8.8.8.8: icmp_seq=1 ttl=118 time=8.42 ms
--- 8.8.8.8 ping statistics ---
10 packets transmitted, 10 received, 0% packet loss
rtt min/avg/max/mdev = 8.21/8.90/9.87/0.52 ms

• time（往復時間）：同一LAN内なら1ms未満、国内のサーバーなら10〜30ms、海外なら100ms超が目安
• packet loss：0%が正常。数%でも出ていれば異常。会議の音声が途切れる原因になります
• ばらつき（mdev／ジッター）：平均が良くても揺らぎが大きいと、音声や映像は乱れます
• ttl：残りの生存回数。値から、途中で通過したルーター数を推測できます

tracerouteで、どこまで進んだかを見る

# Windows
tracert -d www.iana.org      # -d で名前解決を省略して速くする

# Mac / Linux
traceroute www.iana.org
mtr www.iana.org             # 経路と損失を継続表示（最も便利）

やってはいけない対応

• まず再起動する ── 直ることはありますが、原因が消えて再発します。せめて再起動前に ipconfig /all の結果を保存しておく
• 複数の設定を同時に変える ── どれが効いたか分からなくなる。1回に1つ
• 記録を取らない ── いつ何をして、どうなったか。これが翌日の自分と、次の担当者を助けます
• 推測で断定する ── 「たぶん回線障害です」と伝えて違った場合、失う信頼は大きい。確認できた事実と、推測を分けて話す

監視の3つの層

SNMP（エスエヌエムピー）は、機器から情報を集める標準的な仕組みです。監視サーバーが各機器に定期的に問い合わせ（ポーリング）、逆に機器側から異常を通知することもできます（SNMPトラップ）。Syslog（シスログ）は、機器のログを1か所のサーバーに集める仕組みです。

何を、どのくらいで警告するか

• 回線使用率：70%を超えたら注意。100%になってからでは遅い。バースト（瞬間的な跳ね上がり）も見る
• CPU・メモリ：平常時との差を見る。急に上がった＝何かが変わった
• エラーカウンタ：スイッチのポートのエラー数。増え続けるならケーブルや機器の劣化。断線の予兆
• パケットロス・遅延：0%からの変化。会議品質の悪化として先に現れる
• 証明書の有効期限：30日前に警告。期限切れは毎年どこかで起きる定番の事故

パケットキャプチャ ── 実際に流れているものを見る

推測ではなく事実を見る、最終手段がパケットキャプチャです。Wireshark（ワイヤーシャーク）という無料ソフトが標準的に使われます。

# Linux / Mac：eth0 のHTTPS通信だけを表示
sudo tcpdump -i eth0 port 443 -nn

# ファイルに保存して、あとでWiresharkで開く
sudo tcpdump -i eth0 -w capture.pcap

# 特定の相手との通信だけを見る
sudo tcpdump -i eth0 host 192.168.1.50 -nn -v

# DNSのやり取りだけを見る（学習に最適）
sudo tcpdump -i eth0 port 53 -nn

# Windows（標準機能。あとでWiresharkで開ける）
netsh trace start capture=yes tracefile=C:\temp\net.etl
netsh trace stop

ファイアウォール ── 通す通信を、明示的に決める

ファイアウォールは、通信の条件を見て、通すか捨てるかを判断する機器です。判断に使うのは、送信元IP・宛先IP・宛先ポート・プロトコル・通信の向きです。

設計の原則は一つだけ、デフォルト拒否（ホワイトリスト方式）です。「危ないものを塞ぐ」のではなく、「必要なものだけ通し、残りは全部捨てる」。危ないものを列挙する方式は、必ず漏れます。

  番号 送信元          宛先            ポート    動作   目的
  ────────────────────────────────────────────────
   10  192.168.10.0/24  any            80,443   許可   社員のWeb閲覧
   20  192.168.10.0/24  192.168.30.10  445      許可   ファイルサーバー
   30  192.168.20.0/24  192.168.0.0/16 any      拒否   来客→社内は全遮断
   40  192.168.20.0/24  any            80,443   許可   来客のWeb閲覧のみ
   50  any             192.168.99.0/24 any      拒否   管理VLANへの接触禁止
  ────────────────────────────────────────────────
  999  any             any            any      拒否   ★暗黙の全拒否（最後の砦）

  ※ 順番が命。30 と 40 を入れ替えると、来客が社内に入れてしまう
  ※ 最後は必ず「全部拒否」。ここに到達したものは、想定外の通信

ステートフルインスペクションという当たり前

現代のファイアウォールは、通信の状態を覚えています。内側から外へ出た通信に対する返事は、自動的に通します。これをステートフルインスペクションと呼びます。だからこそ「外から中への接続だけを拒否する」という設定が成立します。もしこれがなければ、返事の通信ごとに手で穴を開ける必要があり、実質的に運用できません。

VPN ── 公衆回線の上に、専用の通り道を作る

境界防御の限界と、ゼロトラスト

従来の考え方は境界防御でした。「社内は安全、社外は危険。境目にファイアウォールを置いて守る」。しかし、この前提はすでに崩れています。

• クラウドを使うため、守るべきデータが社内にない
• 在宅勤務で、社員が社外から働く
• 侵入されれば、社内は無防備（内部で自由に横移動される）

そこで登場したのがゼロトラストです。「何も信用せず、毎回確認する」という考え方で、次の3つが柱になります。

1. すべてのアクセスを検証する ── 社内からでも、毎回認証する
2. 最小権限にする ── 必要な人に、必要な範囲だけ
3. 常に記録し、監視する ── 侵入される前提で、異常を早く見つける

代表的な攻撃と、ネットワーク側の対策

クラウドでも、原理は何も変わらない

安心してください。クラウドのネットワークは、これまで学んだことの言い換えです。ケーブルを挿す代わりに画面で設定するだけで、IPアドレスもサブネットもルーティングもファイアウォールも、まったく同じ考え方で動いています。

VPCの基本設計 ── パブリックとプライベート

  ┌──────────────── VPC  10.0.0.0/16 ────────────────┐
  │                                                        │
  │  ┌── パブリックサブネット 10.0.1.0/24 ──┐              │
  │  │  ・ロードバランサ                      │              │
  │  │  ・NATゲートウェイ                     │──▶ インターネット
  │  │  ・踏み台サーバー                      │      ゲートウェイ
  │  └──────────────┬─────────────┘              │
  │                       │                                │
  │  ┌── プライベートサブネット 10.0.2.0/24 ─┐              │
  │  │  ・アプリケーションサーバー             │              │
  │  │  ・データベース                        │              │
  │  │  （インターネットから直接到達できない）    │              │
  │  └──────────────────────────────┘              │
  └────────────────────────────────────────────────┘

  ・パブリック  … インターネットゲートウェイへの経路を持つサブネット
  ・プライベート … その経路を持たない。外に出るときだけNAT経由

  ★「公開が必要なものだけ、外から見える場所に置く」
    これは物理の世界でDMZを作るのと、まったく同じ考え方

セキュリティグループとネットワークACL

クラウド設計での定番の失敗

• VPCのアドレス範囲を、社内と重ねてしまう ── あとで専用線やVPNで接続するとき、重複していると接続できません。将来つなぐ可能性があるなら、社内の設計台帳と突き合わせてから決めます
• サブネットを小さく取りすぎる ── クラウドのサブネットは後から広げられません。/24 程度で余裕を持たせます
• データベースをパブリックに置く ── 世界中からアクセス可能な状態になります。実際の情報漏えい事故の典型例です
• 0.0.0.0/0 からのSSH（22番）を許可する ── 数分で総当たり攻撃が始まります。接続元IPを限定するか、踏み台やセッション管理機能を使います

技術力より先に信頼されるのは、この3つ

1. 記録を残す人 ── 「なぜこの設定にしたか」が書いてある。半年後の自分と、次の担当者が助かる
2. 事実と推測を分けて話す人 ── 「確認できたのはここまで、ここから先は推測です」と言える
3. 止める判断ができる人 ── 「今日の作業は中止して、明日やり直します」と言える。無理に進めた作業が、いちばん大きな事故になります

ネットワーク作業の進め方

• ① 要件何台つながるか、何を止めてはいけないか、予算と期限、将来の拡張
• ② 設計構成図・アドレス設計表・VLAN一覧・機器一覧・ファイアウォールルール一覧
• ③ 手順書作業を1手順ずつ。各手順に「確認方法」と「戻し方」を必ず書く
• ④ 事前検証できる限り試す。本番と同じ機器がなくてもシミュレータで確認する
• ⑤ 作業手順どおりに、1つずつ。変更前の設定を必ず保存してから触る
• ⑥ 確認設計どおりに通るか、通ってはいけないものが遮断されているかも確認する
• ⑦ 記録実際にやったこと、想定と違った点、次回への申し送りを残す

手を動かして学べる環境をつくる

資格 ── 順番と、意味のある使い方