ネットワークの基礎

「つながりません」——実務で最も頻繁に発生し、 そして新人が最も手も足も出なくなる症状です。

原因を切り分けるには、パケットがどこを通っているかを頭の中に描ける必要があります。 この章はその土台を作ります。

次の章で扱う DNS・TCP・TLS は、すべてこの上に載っています。

層 — どこの話をしているのかを区別する

トラブルの切り分けは、「どの層の問題か」を特定する作業です。

上の層は、下の層の詳細を知りません。 だから Wi-Fi でも有線でも HTTP は動きます。

そして障害は、下から順に確認するのが定石です。 IP が届いていないのに HTTP のヘッダを疑っても、時間を失うだけです。

同じネットワークの中 — MAC アドレスと ARP

同じ LAN（同じスイッチにぶら下がっている範囲）では、 IP ではなく MAC アドレスでやり取りしています。

MAC アドレス  機器に固有の識別子（例: 3c:22:fb:1a:2b:3c）
              工場出荷時に決まり、原則として変わらない
IP アドレス   ネットワーク上の「今いる場所」を表す。繋ぐ場所で変わる

例えるなら、MAC は個人の名前、IP は住所です。

IP アドレスは分かっているが MAC が分からない時、 「この IP の人、MAC を教えてください」と同じネットワーク全体に問いかけます。 これが ARP です。

arp -a          # 手元が把握している IP と MAC の対応表

同じネットワーク内  → 直接届く（スイッチが中継）
違うネットワーク    → ルータに渡す（デフォルトゲートウェイ）

IP アドレスとサブネット — 実務で最も使う知識

これが分からないと、クラウドの VPC もファイアウォールも設定できません。

アドレスは2つの部分でできている

192.168.1.10 / 24
└─────┬─────┘ └┬┘
  アドレス     プレフィックス長

上位 24 ビット = ネットワーク部（どのネットワークか）
残り  8 ビット = ホスト部（その中の何番目か）

/24 は「上位24ビットがネットワーク部」という意味です。 この書き方を CIDR 表記と呼びます。

192.168.1.0/24  というネットワークに属するアドレス:
  192.168.1.0    ← ネットワークアドレス（そのネットワーク自身を指す。ホストに使えない）
  192.168.1.1    ← 使える（ルータに割り当てられることが多い）
  ...
  192.168.1.254  ← 使える
  192.168.1.255  ← ブロードキャストアドレス（全員宛て。ホストに使えない）

使えるホスト数: 256 - 2 = 254

よく使うサイズ

覚え方: /24 から数字が 1 減るごとに、アドレス数は2倍になります。

/24 = 256
/23 = 512
/22 = 1024

0.0.0.0/0    ネットワーク部が 0 ビット = 「すべてのアドレス」

□ 「とりあえず 0.0.0.0/0 で許可」→ SSH ポートが全世界に開く
□ セキュリティグループで最もよくある事故

同じネットワークかどうかの判定

通信相手が同じネットワークにいるかは、ネットワーク部が一致するかで決まります。

自分:   192.168.1.10/24   → ネットワーク部 192.168.1
相手A:  192.168.1.50      → 一致 → 直接届ける
相手B:  192.168.2.50      → 不一致 → ルータ（デフォルトゲートウェイ）に渡す

この判定を間違えると、通信できません。

自分:   192.168.1.10/24
相手:   192.168.1.50/16   ← マスクが違う
→ 自分から見れば同じネットワーク、相手から見れば違うネットワーク
→ 行きは届くが、帰りが返ってこない

「片方向だけ通信できる」という奇妙な症状の原因になります。

プライベート IP と NAT

インターネットで使える IP アドレス（グローバル IP）は有限で、有料です。 そのため、社内やクラウドの内部ではプライベート IP を使います。

10.0.0.0/8         大きい。クラウドの VPC でよく使われる
172.16.0.0/12      Docker が既定で使うことがある
192.168.0.0/16     家庭やオフィスの LAN

これらのアドレスは、インターネット上には存在できません。 だから外に出る時に、グローバル IP に書き換えます。これが NAT です。

[PC 192.168.1.10:52341] → [ルータ] → [インターネット 203.0.113.5:41002]
                            ↑ 送信元 IP とポートを書き換え、対応表を持つ
                            ← 返ってきたら、元に戻して PC へ渡す

□ 家庭のPCは、外から直接アクセスされない（結果的な防御になっている）
□ サーバーを公開するには、明示的に「このポートはこの機器へ」と設定が必要
   （ポートフォワーディング）
□ クラウドでは、外部からアクセスさせたいものにだけグローバル IP や
   ロードバランサを付ける

ルーティング — 経路の決め方

自分のネットワークの外に出す時、どのルータに渡すかを決めるのがルーティングです。

# 経路表を見る
ip route          # Linux
netstat -rn       # macOS

default via 192.168.1.1 dev en0        ← どれにも当てはまらない時はここへ（デフォルトゲートウェイ）
192.168.1.0/24 dev en0                 ← このネットワークは直接届く
10.8.0.0/16 via 10.8.0.1 dev utun0     ← VPN 経由

より具体的な（プレフィックス長が長い）経路が優先されます。

10.0.0.0/8   → ルータA
10.0.5.0/24  → ルータB     ← 10.0.5.x 宛てはこちらが選ばれる

ポート番号 — どのアプリに渡すか

IP アドレスは機械を指しますが、1台の機械では複数のアプリが動いています。 どのアプリに渡すかを決めるのがポート番号です。

通信相手は「IP アドレス : ポート番号」の組で決まる
   203.0.113.5:443

ss -s                    # 状態ごとの接続数を見る
ss -tan | awk '{print $1}' | sort | uniq -c

Linux で「1024未満のポートで listen するには root 権限が必要」という制約があるのは、 コンテナを非 root で動かす時（Docker を使いこなす）に効いてきます。 アプリは 8080 で listen し、外側で 80 に変換するのが定石です。

TCP と UDP

迷ったら TCP です。UDP を選ぶのは、 「多少落ちても、速いほうが価値がある」場合に限られます。

なお、HTTP/3 は UDP の上に作られています（QUIC）。 「信頼性が要らない」のではなく、TCP の制約を避けるために、 必要な仕組みを自前で持っているという構成です。

MTU — 一度に送れる大きさ

1回で送れるデータの上限を MTU と呼びます（Ethernet では通常 1500 バイト）。 これを超えるデータは、分割されて送られます。

□ 小さいリクエスト → 通る
□ 大きいリクエスト → 途中で捨てられ、応答が返らない（タイムアウト）

# 分割を禁止して、通るサイズを調べる（macOS）
ping -D -s 1472 8.8.8.8

クラウドと Kubernetes でどう現れるか

ここまでの知識は、そのままクラウドの設定画面に出てきます。

1サブネットあたり使えるアドレス: 約250
Kubernetes では、Pod ごとに IP が割り当てられることがある
→ Pod が250を超えた時点で、それ以上スケールできない

Kubernetes では、さらに層が重なります。

Pod IP        Pod ごとに割り当てられる。再作成のたびに変わる
Service       変わらない仮想 IP（ClusterIP）。Pod への振り分けを担う
DNS           service-name.namespace.svc.cluster.local で解決される

「Pod の IP を直接指定してはいけない」理由は、これで説明がつきます（コンテナと Kubernetes）。

実務の落とし穴まとめ

1. 0.0.0.0/0 で許可 — 全世界に開く。セキュリティグループの事故の定番
2. サブネットマスクの不一致 — 片方向だけ通信できるという奇妙な症状
3. サブネットを小さく切りすぎる — 後からアドレスが足りなくなる
4. 接続を毎回張り直す — エフェメラルポートが枯渇する
5. MTU を疑わない — 大きいリクエストだけ失敗する
6. Pod IP を直接指定 — 再作成で変わる
7. 127.0.0.1 で listen — 外から繋がらない（Docker を使いこなす）
8. プライベート IP に外から繋ごうとする — NAT の対応表が無い

まとめ

• 切り分けはどの層の問題かを特定する作業。下から順に見る
• MAC は名前、IP は住所。同じネットワークか外かで経路が変わる
• CIDR（/24 など）はネットワーク部の長さ。 /24 は254台、数字が1減るごとにアドレス数は2倍
• 0.0.0.0/0 はすべて。ファイアウォールでは危険、listen では必要
• プライベート IP は外に出られない。NAT が書き換える。 だから外から中には入れない
• 経路はより具体的なものが優先。ip route で確認する
• 通信相手は IP:ポート の組。エフェメラルポートは枯渇する
• 迷ったら TCP。HTTP/3 は UDP の上に必要な仕組みを自前で持つ
• MTU は「大きいものだけ失敗する」の原因
• これらはそのまま VPC・サブネット・セキュリティグループとして現れる

さらに学ぶには

この章は実務で必要な範囲に絞っています。 体系的に学ぶなら、次が定番です。

1. この章と次の章を読む（実務の切り分けはここまでで足りる）
2. 詰まった箇所だけ、上の資料で該当部分を読む
3. 余裕ができたら『ネットワークはなぜつながるのか』を通読する

公式ドキュメント

上の資料は解説です。仕様そのものを確かめたい時はこちらに戻ってください。

章末問題

次の章では、この上で動く DNS・TCP・TLS を見ていきます。