ネットワーク基礎の用語集（187語）

開発時に例のドメインを自分のサーバへ向けるなど、手早い名前解決に使う。1行=IP 名前。

nameserver 行に参照するDNSサーバのIPアドレスを書く。多くの環境では自動生成される。

TCPで通信を始める前に行う挨拶。クライアントがSYN、サーバがSYNとACK、クライアントがACKを返す3往復で、互いに送受信の準備が整ったことを確認する。この手順があるからTCPは信頼性の高い通信を実現できる。UDPにはこの手順がない。

受信側は次に欲しいデータの番号をACK番号として返し、送信側は確認が返らないデータを再送する。TCPの信頼性は、この確認応答と再送の繰り返しで成り立っている。パケットキャプチャを見ると、接続確立後のほとんどのセグメントにACKが立っている。

米国の標準として採用された暗号で、十分な鍵長を使えば現実的な時間では解読できないとされる。WPA2/WPA3の無線LAN暗号化、HTTPSの通信、ディスク暗号化など登場場面は非常に多い。共通鍵暗号なので、鍵をどう共有するかは別の仕組みが必要になる。

Address Resolution Protocolの略。同じLAN内で「このIPの人、MACを教えて」とブロードキャストで問い合わせ、本人だけが返答する。得た対応はARPテーブルに保存され、ip neighで確認できる。

Address Resolution Protocolの略。LAN内で実際にフレームを届けるにはMACアドレスが必要なため、「このIPアドレスの機器はMACアドレスを教えて」とブロードキャストで尋ねる。結果はARPテーブルに一時保存され、arpやip neighコマンドで確認できる。

dig で問い合わせると ANSWER 欄に表示される。IPv6用は AAAA レコード。

ISPや大企業などのAS同士が「このネットワーク宛はこちら経由で届く」と教え合うことで、世界規模のインターネットが1つにつながっている。経路の設定ミスや乗っ取りが世界的な障害につながった例もある。組織内で使うOSPFとはスケールと目的が違う。

ブラウザやOSにはあらかじめ信頼できるCAの証明書が組み込まれており、Webサイトのサーバ証明書はこれをたどって検証される。この信頼の連鎖の頂点がルートCA証明書。サーバ証明書と混同しやすいが、こちらは「保証する側」の証明書である。

IPv4アドレスの枯渇対策として、ISPが顧客をまとめてNAT配下に置く。自宅ルータに割り当てられるのがグローバルアドレスではなくなるため、外部から自宅への直接アクセスができなくなる。自宅サーバ公開やポート開放が効かない原因としてよく登場する。

Classless Inter-Domain Routingの略。かつてのクラスA/B/Cという固定的な区切りをやめ、「192.168.1.0/24」のようにネットワーク部の長さを自由に指定する。アドレスの無駄を減らせるため、現在のIPアドレス管理はこの方式が標準になっている。

例: 192.168.1.0/24 は先頭24ビットがネットワーク部。255.255.255.0 と同じ意味。

192.168.1.0/24なら先頭24ビットがネットワーク部という意味で、サブネットマスク255.255.255.0と同じ内容を短く表せる。クラスにとらわれず好きな長さで区切れるのが本来の意義。ipコマンドやクラウドの設定画面など、現代の実務ではこの表記が標準。

有線のCSMA/CDは衝突を検知してやり直すが、無線では自分の送信中に他の電波を聞き取れず衝突を検知できない。そこで送信前にランダムな待ち時間を入れて衝突自体を回避する。CDが「検知」、CAが「回避」と覚えると混同しない。

初期のイーサネットで使われた通信の交通整理の仕組み。送信中に他の機器との衝突(コリジョン)を検知すると、ランダムな時間待ってから再送する。現在主流のスイッチによる全二重通信では衝突自体が起きないため、ほぼ歴史的な用語になっている。

Dynamic Host Configuration Protocolの略。Discover・Offer・Request・ACKの4段階で、IPアドレス・ゲートウェイ・DNSをまとめて機器に貸し出す。割り当てには期限（リース期間）がある。

Dynamic Host Configuration Protocolの略。IPアドレス・サブネットマスク・デフォルトゲートウェイ・DNSサーバといった設定を、サーバが自動で貸し出す。家庭ではルータがこの役を担う。手動設定の静的IPと違い、アドレスには貸出期限（リース期間）がある。

ドメイン名に対応するIPアドレスやメールサーバ（MXレコード）などを、DNSの応答に近い形で詳しく表示する。問い合わせ先のサーバやレコードの種類を細かく指定できるため、DNSトラブルの調査ではnslookupより情報量が多く実務向き。

example.com のような名前をIPアドレスへ変換する。インターネットの電話帳にあたる。

Domain Name Systemの略。人間が覚えやすい「example.com」のような名前を、通信に必要なIPアドレスへ変換する（名前解決）。世界中のDNSサーバが階層的に分担して動いている。Linuxではdigやnslookupコマンドで動作を確認できる。

従来のDNSは平文のため、どのサイト名を調べたかが通信経路上で見えてしまう。DoHはHTTPS(443番ポート)に載せることでこれを防ぐ。ブラウザ単位で有効化できる手軽さがある一方、社内のDNS監視やフィルタリングが効かなくなるという運用上の論点もある。

複数のアクセスポイントの電波が飛び交う環境で、自分がつなぐべきネットワークを区別するための識別子。単にSSIDとも呼ばれる。名前を隠すステルス設定もあるが、それだけでは対策として不十分で、暗号化方式の設定が本質になる。

双方がFINとACKを交わして接続を閉じるのが正常な終了手順で、片方向ずつ閉じるため半分だけ閉じた状態も存在する。エラー時などに即座に切断するRSTとの違いが混同されやすく、キャプチャでFINかRSTかを見ると切断の性質が分かる。

Fully Qualified Domain Nameの略。「www.example.com」のように、ホスト名とドメイン名をすべてつなげた完全表記を指す。単なる「www」のような省略形と区別するための用語で、サーバ設定や証明書の場面では正確なFQDNの指定が求められる。

File Transfer Protocolの略。サーバとの間でファイルをアップロード・ダウンロードするために使われてきた。通信が暗号化されず、パスワードも平文で流れるため、現在はSSHを利用するSFTPや、TLSで暗号化するFTPSへの置き換えが進んでいる。

平文で流れるFTPの弱点を補うため、制御用とデータ用の通信をTLSで包む。既存のFTPサーバ資産を活かせる一方、使用ポートの構成が複雑でファイアウォールとの相性問題が起きやすい。SSHベースのSFTPとは別方式で、新規構築ではSFTPが選ばれることが多い。

HyperText Transfer Protocolの略。ブラウザが「このページをください」と要求し、サーバが応答を返すやり取りの形式を定める。標準ではポート80番を使う。通信内容が暗号化されないため、現在は暗号化版のHTTPSが主流になっている。

HTTPをTLS（SSL）で保護したもの。通信内容を暗号化し、さらに証明書で接続先が本物かを確認できる。標準ではポート443番を使う。URLが「https://」で始まり、ブラウザに鍵マークが表示されるサイトはこの方式で通信している。

200 OK / 301 移動 / 404 Not Found / 500 Internal Server Error が代表。curl -I で確認できる。

先頭の数字で大分類され、2xxは成功、3xxはリダイレクト、4xxはクライアント側の誤り、5xxはサーバ側の障害を示す。Webの障害調査ではまずこのコードを確認する。404(存在しない)と403(閲覧禁止)、502と503の区別などが実務でよく問われる。

ページの取得はGET、フォーム送信やデータ作成はPOST、更新はPUT、削除はDELETEというように、サーバに何をしたいかをメソッドで表す。Web APIの設計ではこの使い分けが基本になる。curlコマンドの-Xオプションでメソッドを指定して試せる。

ping や traceroute が利用する。データ転送ではなくネットワークの状態確認が役割。

Internet Control Message Protocolの略。「宛先に届かない」「時間切れ」などの通知を運ぶ、ネットワークの連絡係。疎通確認のpingや経路調査のtracerouteはICMPを利用している。データを運ぶ本体ではなく、制御・通知用という位置づけ。

侵入検知システムの略で、通信を監視して攻撃らしいパターンを見つけると警告を出す。検知するだけで通信自体は止めない点が、遮断まで行うIPSとの違い。SnortやSuricataなどのオープンソース実装が有名。

IEEEが定めた無線LANの規格ファミリーで、末尾の文字で世代や特性が分かれる。802.11axにはWi-Fi 6という別名が付けられた。有線LANの規格である802.3(イーサネット)と対になる存在として覚えるとよい。

メールボックスの本体はサーバ側にあり、スマホとPCのどちらで読んでも既読状態やフォルダ分けが同期される。端末にダウンロードして手元で管理するPOP3との違いが定番の比較点。現在は暗号化したIMAPS(993番ポート)での利用が基本。

Internet Message Access Protocolの略。メールをサーバ上で管理し、端末からは閲覧しにいく方式なので、パソコンとスマホで既読状態やフォルダ分けを共有できる。端末にダウンロードして取り込むPOP3との違いがよく問われる。

「ip addr」でアドレス確認、「ip route」で経路表、「ip link」でインターフェースの状態と、ネットワーク管理の中心になるコマンド。古いifconfigやrouteコマンド（net-tools）の後継で、現在のLinuxではこちらを使うのが標準。

アドレス確認のip addr、経路表のip route、ソケット状態のssなどをまとめたパッケージ。ifconfigやrouteといったnet-tools系の旧コマンドの後継で、新しいディストリビューションには旧コマンドが入っていないことも多い。まずipコマンドに慣れるのが現代流。

IDSが「見つけて知らせる」までなのに対し、IPSは通信経路上に置かれ危険なパケットをその場で止める。防御は強力だが、誤検知すると正常な通信まで遮断してしまうため、検知ルールの調整が運用の鍵になる。

パケットをIP層で暗号化するため、上位のアプリケーションを変更せずに通信全体を守れる。拠点間VPNの標準技術として定番。TLSがアプリ寄りの層で通信を守るのに対し、IPsecはより低い層でネットワーク全体を守る点が違い。

本社と支社のネットワーク同士をインターネット越しに専用線のようにつなぐ用途で定番。ルータやVPNゲートウェイ同士が暗号化トンネルを張る。ブラウザだけで使いやすいSSL-VPNと違い、機器やOS側の設定が必要になることが多い。

アドレスを32ビットで表すため約43億個しか作れず、新規割り当ての在庫はすでに枯渇している。それでもNATやプライベートアドレスの活用で延命され、現在も主流であり続けている。後継のIPv6と併用される移行期が長く続いている。

IPv4のアドレス不足を解決するために作られ、アドレスを128ビットで表すので事実上無尽蔵に割り当てられる。「2001:db8::1」のように16進数とコロンで表記する。IPv4とは互換性がなく、両方を並行して使うデュアルスタック運用が一般的。

IPv4では192.168.1.10のように0〜255の数字4つで表す。ネットワーク部とホスト部に分かれる。

パケットの宛先や送信元を示す、機器ごとの識別番号。IPv4では「192.168.1.1」のように32ビットを4つの数字で表す。ネットワークを示す部分とホストを示す部分に分かれ、その境目を示すのがサブネットマスク。機器固有のMACアドレスとの違いに注意。

IPアドレスに加えてポート番号も変換することで、家中の端末が1つの契約アドレスでインターネットを使える。一般名はNAPTで、IPマスカレードは主にLinuxでの呼び名。外部から内部への接続は変換表に無いため始められず、これが簡易的な防御にもなる。

Internet Service Providerの略で、いわゆる「プロバイダ」。契約者の回線をインターネットへつなぎ、グローバルIPアドレスの割り当てやメールなどのサービスを提供する。光回線などの回線事業者とは契約上別の会社、という構成もある。

Local Area Networkの略。1つの建物やフロアなど狭い範囲の機器をつなぐネットワークで、有線LAN（イーサネット）と無線LAN（Wi-Fi）がある。広い地域を結ぶWANと対になる言葉で、自宅のルータの内側はすべてLANと考えてよい。

TIME_WAITは切断後の残り。ss -t で状態列を見ると通信の「今」が読める。

通信相手として自分自身を指定するための名前で、IPv4では127.0.0.1、IPv6では::1に対応する。この宛先への通信はネットワークに出ず、マシン内部で折り返す（ループバック）。開発中のWebアプリを手元で動かして確認するときによく使う。

00:1a:2b:3c:4d:5e のような形式。同一ネットワーク内での宛先指定に使われる。

12:34:56:78:90:ABのように16進数で表す48ビットの番号。前半はメーカー識別子（OUI）、後半は製品ごとの通し番号。同じLAN内で相手を特定するのに使い、ip link showで確認できる。

NICごとに割り当てられた48ビットの識別番号で、「aa:bb:cc:dd:ee:ff」のように16進数で表す。同じLAN内でフレームを届ける宛先として使われる。ネットワーク構成で変わるIPアドレスと違い原則ハードウェア固有だが、近年はプライバシー保護のための乱数化機能もある。

スイッチは受信フレームの送信元MACアドレスとポートの対応を記録して学習し、宛先が表にあればそのポートだけへ転送する。これが全ポートに流すリピータハブとの決定的な違いで、無駄な転送と盗聴のリスクを減らす。表に無い宛先はフラッディングで全ポートへ送る。

元々のメールはASCII文字しか運べなかったため、画像や日本語などをテキスト形式に変換して運ぶルールとして生まれた。データの種類をContent-Typeで示す仕組みはHTTPにも受け継がれ、「text/html」のような表記をWebの世界でも目にする。

宛先までの経路上にある各ルータへ継続的に測定を行い、区間ごとのパケットロス率や遅延を一覧で表示する。どの区間で品質が悪化しているかを特定しやすく、「ネットが時々遅い」といった調査で威力を発揮する。Linuxではパッケージから簡単に導入できる。

Maximum Transmission Unitの略。回線や機器が一度に運べるデータの上限サイズで、これを超えるパケットは分割（フラグメント化）されるか破棄される。VPNなどで実効MTUが小さくなると、「pingは通るのに大きなデータだけ失敗する」型のトラブルの原因になる。

Network Address Translationの略。家庭や社内のプライベートアドレスを、インターネットで通用するグローバルアドレスに変換して通信させる。1つのグローバルアドレスを多数の機器で共有する方式（NAPT/IPマスカレード）が一般的で、IPv4アドレス枯渇の延命策にもなっている。

Network Address Translationの略。ルータが送信元のプライベートIPをグローバルIPに書き換えて外へ通す。ポート番号も組み合わせて複数機器を1つのグローバルIPで通すのがNAPT（IPマスカレード）。

Network Interface Cardの略で、有線LANポートや無線LANアダプタの実体。1枚ごとに固有のMACアドレスを持つ。現在はマザーボードに組み込み済みのことが多い。Linuxでは「ip link」コマンドで、eth0やenp3s0といった名前で確認できる。

ドメイン名からIPアドレス（またはその逆）を調べるツールで、LinuxにもWindowsにも標準で入っている。名前解決の失敗が疑われるときの定番の確認手段。Linuxでは、より詳しい情報が得られるdigコマンドの利用が推奨されることも多い。

Network Time Protocolの略。正確な時刻を持つサーバに問い合わせて、機器の時計のずれを補正する。ログの時刻照合や証明書の有効期限判定など、時刻が狂うと困る場面は多い。Linuxではsystemd-timesyncdやchronyが時刻同期を担当する。

Outbound Port 25 Blockingの略。ウイルスに感染したPCが勝手に迷惑メールを大量送信するのを防ぐため、プロバイダ網から外部の25番ポートへの直接通信を止める。自宅サーバからメールが送れない場合の代表的な原因で、587番と認証を使うのが正しい対処。

上からアプリケーション・プレゼンテーション・セッション・トランスポート・ネットワーク・データリンク・物理の7層。上ほど人に近く、下ほど機械に近い。実装というより整理の枠組みとして使う。

物理層からアプリケーション層まで、通信に必要な機能を7階層に分けたモデルで、ISOが標準化した。「レイヤ2スイッチ」「L3」といった呼び方の土台になっている。実際のインターネットは4階層のTCP/IPモデルで動くが、説明にはOSIの層番号がよく使われる。

各ルータがネットワーク全体の地図を共有し、そこから最短経路を計算して経路を決める。回線速度をコストとして扱うため、ホップ数だけで決める古いRIPより合理的な経路を選べる。組織内部用のプロトコルで、組織間を結ぶBGPとは役割が異なる。

ICMPを用いる。応答が返れば到達可能、返らなければ経路や相手側の問題が疑われる。

ICMPのEcho Requestを送り、Echo Replyが返るかで疎通と応答時間を確認するコマンド。トラブル時は「まずping」が定石で、自分自身→デフォルトゲートウェイ→外部の順に試すと問題の場所を絞れる。相手側がICMPを遮断していると、正常でも応答がない点に注意。

電源工事が難しい天井のアクセスポイントや監視カメラ、IP電話への給電で使われる。給電はPoE対応スイッチやインジェクタが担う。供給できる電力によってPoE/PoE+/PoE++と規格が分かれ、受電する機器の消費電力との対応確認が導入時のポイントになる。

Post Office Protocol version 3の略。サーバのメールボックスからメールを端末に取り込む受信用プロトコルで、標準ポートは110番。ダウンロード後はサーバから消す使い方が基本のため、複数の端末で同じメールを見たい場合はIMAPのほうが向いている。

社内からのWeb閲覧を一旦集約し、URLフィルタリングやアクセス記録、キャッシュによる高速化を行う用途が典型。逆にサーバ側の手前に置いて負荷分散などを行うものはリバースプロキシと呼ばれ、守る対象の向きが逆である点を区別する。

TCPの「接続確立に往復時間がかかる」「1つの詰まりが全体を止める」といった弱点を解消するために開発され、標準化された。TLSによる暗号化を最初から組み込んでいる。UDPだから信頼性が無いのではなく、再送や順序制御を自前で実装している点が誤解されやすい。

ルータ広告(Router Advertisement)の略で、ネットワークのプレフィックスやデフォルトゲートウェイの情報をルータが定期的に流す。端末はこれを受け取り、SLAACで自分のアドレスを自動生成する。DHCPサーバなしでも設定が進むのがIPv4との大きな違い。

Request for Commentsの略。TCPやHTTPなどインターネットの標準仕様は、IETFが発行するRFCという番号付きの文書で公開されており、誰でも無料で読める。「RFCで決まっている」と言えば、インターネットの公式な取り決めという意味になる。

閉じているポートへ接続しようとしたときや、アプリケーションが異常終了したときにRSTが返される。FINによる正常な終了と違い、その場で接続が破棄される。「Connection reset by peer」というエラーは、このRSTを受け取ったことを意味している。

Windowsのファイル共有で使われるSMBプロトコルをLinux上で実装したもので、Linuxサーバのフォルダを、Windowsから普通の共有フォルダとして利用できる。市販NASの中身としても広く使われている。名前はSMBに母音を足した言葉遊びに由来する。

SSH(22番ポート)の上で動くため、パスワードもファイルの中身も暗号化されて流れる。サーバへのファイル配置やバックアップ転送の定番手段。名前が似たFTPS(FTP+TLS)とは全くの別物で、こちらはFTPを使っていない点が混同ポイント。

ステートレスアドレス自動設定の略。ルータが広告するプレフィックスに端末側で生成した値を組み合わせ、DHCPサーバなしでアドレスが決まる。どの端末がどのアドレスを使ったかサーバ側に記録が残らない点が、DHCPv6との使い分けの論点になる。

エクスプローラーで共有フォルダを開くときに裏で動いているのがSMBで、445番ポートを使う。古いバージョンのSMBv1は脆弱性を突かれた被害が大きく、現在は無効化が推奨される。LinuxではSambaがこのプロトコルを実装している。

Simple Mail Transfer Protocolの略。メールソフトからメールサーバへの送信や、サーバ同士の転送に使われる。標準ポートは25番だが、迷惑メール対策のため利用者の送信には587番（サブミッションポート）を使うのが一般的。受信用のPOP3やIMAPとの役割分担に注意。

「ss -tuln」のように使い、どのポートでどのプログラムが待ち受けているか、どんな接続が張られているかを確認できる。古いnetstatコマンドの後継で、iproute2パッケージに含まれる。サーバが正しく起動しているかの確認に頻出する。

ssh でログイン、scp/rsync で転送。公開鍵認証にするとパスワード不要かつ安全。既定ポートは22。

Secure Shellの略。ネットワーク越しにサーバへログインしてコマンド操作するためのプロトコルで、通信全体が暗号化される。標準ポートは22番。平文で通信する古いTELNETの安全な後継であり、Linuxサーバの管理はほぼSSH経由で行われる。

スマホのWi-Fi設定画面に並ぶネットワーク名がこれにあたる識別名で、最大32文字。同じSSIDと暗号化キーを設定した機器同士が同じ無線LANに参加する。名前を隠すステルス設定もあるが、それだけでは十分な安全対策にならない。

Secure Sockets Layerの略で、Webなどの通信を暗号化するために作られた技術。脆弱性が見つかり、現在は後継のTLSに置き換えられている。ただ名前が広く定着しているため、「SSL証明書」「SSL化」のように、実際はTLSを指してSSLと呼ぶ場面が今も多い。

HTTPSと同じ暗号化技術を使うため、ブラウザがあれば専用機器なしで利用しやすい。在宅勤務で社内システムへ接続する場面でよく使われる。拠点間の常時接続が得意なIPsec-VPNに対し、個人が外から入るリモートアクセス用途に向く。

SMTPやIMAPなどで、まず普通に接続してから「ここから暗号化しよう」と合意して暗号通信へ移行する。最初から暗号化前提のポートに接続するSMTPS(465番)などとは方式が異なる。切り替え前は平文である点と、切り替えを妨害する攻撃がある点に注意。

TCPの接続はSYN、SYN+ACK、ACKの3回のやり取りで確立される。サーバに未完了の接続を大量に抱えさせるSYNフラッド攻撃という悪用もある。ポートスキャンでは、SYNへの応答の違いからポートが開いているかどうかを判定している。

Transmission Control Protocolの略。3ウェイハンドシェイクで接続を確立し、届かなかったデータの再送や順序の並べ直しを行う。Webやメールなど確実に届けたい通信のほとんどで使われる。速度優先で保証のないUDPとの対比で理解するのが基本。

上からアプリケーション層・トランスポート層・インターネット層・ネットワークインターフェース層。OSIの上位3層をアプリケーション層にまとめた形で、HTTP・TCP・IP・Ethernetなどが各層に対応する。

TCPは到達と順序を保証し再送も行う。UDPは確認せず送りっぱなしで、音声・動画やDNSに向く。

NICを流れるパケットを捕まえて内容を表示する、Linux定番のパケットキャプチャツール。「port 80」のような条件式で対象を絞り込める。GUIのないサーバでも使えるのが強みで、採取したデータをWiresharkで開いて詳しく分析する使い方も多い。

TCP/IPと表記される、インターネット標準のプロトコル一式。リンク層・インターネット層・トランスポート層・アプリケーション層の4階層で整理される。OSI参照モデルが理論的な7階層なのに対し、こちらは実際に世界中で動いている体系。

遠隔ログインのための古典的なプロトコルで、標準ポートは23番。通信もパスワードも平文で流れるため、現在の遠隔操作にはSSHを使うのが常識。ただしtelnetコマンド自体は「指定ポートにつながるか」を確かめる簡易テストに今でも使われることがある。

Transport Layer Securityの略。通信内容の暗号化、改ざんの検知、証明書による相手の本人確認を提供する。HTTPSやメールの暗号化など、安全な通信の土台として幅広く使われる。SSLの後継だが、慣習的にSSLという呼び名も残っている。

TTLを1から順に増やしたパケットを送り、途中のルータから返ってくる「時間切れ」の通知を利用して経路を割り出す。どの地点で通信が止まっているかの切り分けに使う。Linuxではtraceroute、Windowsではtracertと、コマンド名が異なる。

Time To Liveの略。IPパケットのヘッダにあり、ルータを1つ通過するごとに1減って、0になるとそのパケットは捨てられる。経路のループでパケットが永遠に回り続ける事故を防ぐ仕組み。tracerouteはこのTTLをわざと小さくして経路を調べている。

User Datagram Protocolの略。TCPのような接続確立や再送の仕組みがなく、送りっぱなしで通信する。その分軽くて速いので、動画配信・音声通話・DNSの問い合わせなど、多少のデータ欠落よりも遅延の少なさが大事な用途で使われる。

Uniform Resource Locatorの略。「https://example.com/index.html」のように、プロトコル・ホスト名・パスを組み合わせて資源の場所を一意に示す。ドメイン名はURLの一部であって同じものではない、という区別を押さえておきたい。

Virtual LANの略。物理的な配線を変えずに、スイッチの設定でポートやIDごとにネットワークを論理的に分けられる。部署ごとの分離やゲスト用ネットワークの隔離などに使う。分割したVLAN同士が通信するには、ルータかL3スイッチが必要になる。

1〜4094の範囲の番号が使われ、IEEE 802.1Qで定められたタグとしてイーサネットフレームに埋め込まれる。1台のスイッチ上に部署用・来客用など複数の仮想LANを共存させ、スイッチ間はタグ付きの1本のケーブル(トランク)でまとめて運べる。

Virtual Private Networkの略。インターネットなど共用の回線上に暗号化されたトンネルを作り、あたかも専用線のように安全に通信する。外出先から会社のネットワークへ安全に接続するリモートアクセスなどで広く使われている。

SQLインジェクションやクロスサイトスクリプティングなど、Webアプリの弱点を突く攻撃を遮断する。ポートやアドレス単位で制御する通常のファイアウォールでは防げない層を守る。クラウド型サービスとして手軽に導入されることも多い。

Wide Area Networkの略。本社と支社のように地理的に離れたLAN同士を、通信事業者の回線を使って結ぶネットワークを指す。家庭用ルータの「WANポート」は、インターネット側の回線をつなぐ差し込み口という意味で使われている。

無線LANの盗聴対策として最初に普及したが、暗号方式の欠陥により短時間で鍵を割り出せることが判明した。現在は使用禁止レベルの旧規格で、WPA2やWPA3への移行が必須。古い機器の設定画面に選択肢として残っていても選んではいけない。

IEEE802.11規格の無線LAN機器について、業界団体Wi-Fi Allianceが相互接続性を認証したことを示す名称。現在では無線LANそのものの通称として定着した。Wi-Fi 6のような世代名は、802.11axなどの規格名を分かりやすく言い換えたもの。

OFDMAという技術で複数端末へ同時に電波を割り当てられるため、家族全員がつなぐ家庭や混雑したオフィスでも性能が落ちにくい。規格名の802.11axでは分かりにくいため、世代番号で呼ぶ命名が導入された。後継にWi-Fi 6EやWi-Fi 7がある。

キャプチャしたパケットを層ごとに色分け・分解して表示してくれるGUIツール。フィルタで特定の通信だけを追いかけられる。プロトコルの学習にも実務のトラブル解析にも使われる。他人の通信を無断で採取してはいけない点には注意が必要。

WEPの脆弱性を受けて登場し、WPA2でAES暗号が標準となって長く使われてきた。最新のWPA3ではパスワード推測攻撃への耐性がさらに強化されている。家庭のWi-FiルータでもWPA2以上を選ぶのが最低ラインとなる。

スマホやPCはまずアクセスポイントに接続し、そこから有線LANやインターネットへ出て行く。家庭用Wi-Fiルータはルータ機能とアクセスポイント機能が一体になった機器。設置場所や電波の重なり具合が通信品質を大きく左右する。

通信モデルの一番上にあり、WebのHTTP、メール送信のSMTP、名前解決のDNSなど、利用者の目的に直結するプロトコルが属する層。下の層が「データを届ける」役割なのに対し、この層は「届けたデータで何をするか」を決める。

LANケーブルを使った有線ネットワークの標準規格で、IEEE802.3として標準化されている。データをフレームという単位で送り、宛先はMACアドレスで指定する。1Gbpsや10Gbpsなど速度の異なる規格が、同じ基本の仕組みの上に積み重なっている。

各国のプロバイダや組織のネットワークが相互接続してできた巨大なネットワーク。共通のルールであるTCP/IPを使うことで、メーカーや国が違う機器同士でも通信できる。Webはインターネット上で動くサービスの1つであり、両者は同じものではない。

受信側が「あとこれだけ受け取れる」と通知し、送信側はその範囲までまとめて送れる。値が大きいほど効率が良いが、受信側の処理が追いつかないと0になり送信が止まる。遅延の大きい回線で速度が出ない原因を探るときにも登場する値。

HTTP=80、HTTPS=443、SSH=22、DNS=53 など。慣習として主要サービスに割り当てられている。

HTTP=80、HTTPS=443、SSH=22、DNS=53、SMTP=25などが該当する。番号が固定されているため、クライアントは相手に確認せず定番のポートへ接続できる。

HTTPの80、HTTPSの443、SSHの22のように、広く使われるサービス向けにあらかじめ割り当てられた0〜1023番のポート。サーバ側はこの番号で待ち受けるのが慣例で、Linuxではこの範囲のポートで待ち受けるのに管理者権限が必要になる。

サーバは80番や443番など決まったポートで待つが、クライアント側の送信元ポートはOSが空いている高い番号(Linuxでは32768〜60999あたり)から自動で割り当てる。「はかない」という意味の名前どおり、接続が終われば解放されて再利用される。

アプリのデータにトランスポート・IP・Ethernetの各ヘッダを順に付け足して送出できる形にすること。受信側は逆順にヘッダを外していく（非カプセル化）。層ごとに宛名や制御情報が入れ子になる。

送信時、アプリのデータにTCPヘッダ、IPヘッダ、イーサネットヘッダが順に付け足されて送り出される。この包み込みがカプセル化で、受信側は逆の順序で開いていく。階層モデルが実際にどう動くのかを理解する鍵になる考え方。

Webブラウザやメールソフトのように、サーバへ「これをください」と要求を出す側を指す。1台のマシンが、ある通信ではクライアント、別の通信ではサーバというように、場面によって役割が入れ替わることもある。

インターネット全体で重複しないよう、管理団体を通じて割り当てられるアドレス。プロバイダとの契約により自宅のルータなどに割り当てられる。LAN内だけで通用するプライベートIPアドレスとの対比で理解する用語で、外部にサーバを公開するときに必要になる。

Webページを返すWebサーバ、メールを扱うメールサーバのように、要求を受けて機能を提供する側を指す。専用の高性能マシンを指すこともあるが、本質は「サービスを提供する役割」のこと。Linuxはサーバ用のOSとして世界中で広く使われている。

例: 255.255.255.0。1のビット部分がネットワーク部を表す。CIDRでは /24 のように書く。

「255.255.255.0」のように表し、IPアドレスをネットワーク部とホスト部に区切る境界を示す。これにより通信相手が同じネットワーク内か、ルータ越しかを判断できる。CIDR表記の「/24」は、サブネットマスクをビットの桁数で表したもの。

送信に25番ポートを使うと迷惑メール対策のOP25Bで遮断されるため、利用者からの投稿(サブミッション)は認証付きの587番で受け付ける。サーバ間の配送には今も25番が使われる。最初からTLSで包む465番(SMTPS)も送信用として併用される。

LAN内で複数の機器をつなぐ機器。届いたフレームの宛先MACアドレスを学習し、関係するポートだけに転送するので無駄な通信が減る。全ポートにデータを垂れ流す昔のリピータハブと違い、現在のLANではほぼこの方式が使われている。

経路が単純で変化の少ない小規模ネットワークに向き、動作が予測しやすく余計な通信も発生しない。一方、障害時に自動で迂回せず、ネットワークが増えるたびに手作業が必要になる。規模が大きくなるとダイナミックルーティングとの併用が現実解になる。

LANにループができるとブロードキャストが回り続けてネットワーク全体が停止する(ブロードキャストストーム)。STPはループの一部のポートを自動で遮断して論理的な木構造を作り、障害時にはそこを開いて迂回路にする。高速化した改良版のRSTPが現在の主流。

従来の境界型防御は、社内ネットワークに入れば信頼される前提だったが、クラウド利用や在宅勤務でその境界が崩れた。ゼロトラストでは利用者・端末・通信を場所にかかわらず常に認証・検証する。特定の製品名ではなく設計思想である点に注意。

ss や lsof で、開いているソケットと状態（LISTEN/ESTABLISHED）を確認できる。

RIPやOSPF、BGPといったルーティングプロトコルを使い、障害が起きると自動で迂回経路に切り替わる。大規模ネットワークでは必須の仕組み。便利な反面、設定ミスが広範囲に伝わる怖さもあり、スタティックルーティングとの使い分けが設計の勘所になる。

OSI参照モデルの第2層で、イーサネットが代表例。MACアドレスを使って同一LAN内の機器へフレームを届ける。スイッチングハブ（L2スイッチ）はこの層で動作する。ネットワークをまたぐ配送は上のネットワーク層の仕事、という区別が重要。

サーバプロセスのように、ユーザーの操作とは独立して裏で動き続けるプログラムの呼び名。sshdやhttpdのように、名前の末尾にdが付くものが多い。現在のLinuxではsystemdがこれらの起動・停止を管理し、systemctlコマンドで操作する。

PCは宛先が同一ネットワークなら直接送り、違えばデフォルトゲートウェイへ送る。家庭ではWi-FiルータのLAN側アドレスがこれにあたる。設定が誤っていると「同じLAN内とは通信できるのにインターネットへ出られない」という典型的な症状が出る。

宛先が同一ネットワークにない通信はここへ転送される。家庭や社内ではルータが担う。

ルーティングテーブルに載っていない宛先への通信を、とりあえず引き受けてくれる出口のルータ。家庭では家のルータのアドレス（例:192.168.1.1）がこれにあたる。この設定が間違っていると、LAN内は通じるのにインターネットへ出られない症状になる。

ドメイン名は右から左へ階層をたどる構造で、頂点の直下にある区分がトップレベルドメイン(TLD)。国別の.jpや汎用の.com、比較的新しい.devなど多数ある。DNSの問い合わせは、ルートDNSサーバからTLDのサーバへと委任をたどって進んでいく。

「example.com」のようにドットで区切られた階層構造の名前で、右側ほど上位（トップレベルドメイン）にあたる。DNSによってIPアドレスへ変換されて初めて通信できる。URL全体と混同されがちだが、ドメイン名はURLの一部分にすぎない。

TCPとUDPが属する層。届いたデータをポート番号でどのアプリに渡すか振り分け、TCPなら再送や順序の保証も行う。ネットワーク層が「コンピュータまで」届けるのに対し、この層は「その中のアプリまで」届けると覚えると区別しやすい。

ルーティングテーブルの各行には宛先ネットワークとネクストホップが対で書かれており、ルータは一区間ずつバケツリレー式に転送する。最終目的地ではなく「次の一手」だけを示す点が名前の由来。経路の調査ではこの連鎖をtracerouteでたどる。

パソコンやスマホ、サーバなどをケーブルや電波でつなぎ、データを交換できるようにしたもの。家庭や会社の中の小さなLANから、世界中をつなぐインターネットまで規模はさまざま。Linuxではipコマンドなどで自分のマシンのネットワーク設定を確認できる。

192.168.1.0/24の「192.168.1.0」がこれにあたり、個々の機器には割り当てられない。ルーティングテーブルでは宛先ネットワークをこのアドレスで表す。「ネットワークアドレスをPCに設定してしまって通信できない」は初心者の典型的なつまずきの一つ。

有線・無線・仮想などの種類があり、各々にIPアドレスとMACアドレスが結び付く。

OSI参照モデルの第3層で、IPが代表的なプロトコル。宛先IPアドレスをもとに、複数のネットワークを経由してパケットを運ぶ経路制御（ルーティング）を担当する。ルータやL3スイッチはこの層で動作する機器にあたる。

IPアドレスはネットワーク部とホスト部に分かれ、ネットワーク部が同じ機器同士は同じネットワークにいるとみなされ、ルータなしで直接通信できる。異なればルータ経由になる。どこまでがネットワーク部かは、サブネットマスクやプレフィックス長で決まる。

ネットワークでは大きなデータをそのまま送らず、小さなかたまりに分けて送る。その1つ1つがパケットで、宛先などを書いたヘッダとデータ本体でできている。分割して送ることで、1本の回線を多くの通信が効率よく共有できる。

通信トラブルの原因調査やプロトコル学習の基本手段で、GUIのWiresharkやCLIのtcpdump・tsharkが定番ツール。実際のヘッダやフラグを目で確認できるため、教科書の知識が現物と結びつく。他人の通信を勝手に採取すれば盗聴になるため、自分の環境で行うのが原則。

ファイアウォールの最も基本的な機能で、「外からの22番ポート宛は拒否」のようにルールで通信を制御する。Linuxではiptablesやnftablesがこの役割を担う。パケットの中身までは見ないため、通信内容に潜む攻撃の検出はIDS/IPSやWAFの仕事になる。

ネットワークの出入り口で通信を検査し、許可した通信だけを通す防火壁の役割を持つ。送信元・宛先のIPアドレスやポート番号などの条件で判断するものが基本形。Linuxではiptablesやfirewalld、ufwといったツールで設定する。

10.0.0.0〜、172.16.0.0〜、192.168.0.0〜 の範囲。世界中の別々のLANで同時に使われており、外へ出るにはNATによる変換が必要。IPv4アドレスの節約に役立っている。

192.168.0.0～や10.0.0.0～など、組織内で自由に使ってよいと決められた範囲のアドレス。同じ番号が別々の家庭や会社で重複して使われても問題ない。インターネットと通信するときは、ルータのNATでグローバルIPアドレスに変換される。

データリンク層での送信単位で、宛先・送信元のMACアドレスや誤り検出用のFCSを含む。ネットワーク層のパケットをフレームで包んで運ぶ関係にあり、「層が違えばデータの呼び名も変わる」ことを理解する例としてよく登場する。

この数字が大きいほどネットワークは小さく分割される。/24なら254台、/30なら2台分のホストを収容できる。IPv6でも同じ考え方を使い、家庭には/64などが配られる。サブネットマスクと同じ情報の別表現である点を押さえると混乱しない。

特定の1台に送るユニキャストに対し、同一ネットワークの全機器へ一斉送信する方式。ARPの問い合わせなどで使われる。ルータはブロードキャストを外へ中継しないため、その届く範囲をブロードキャストドメインと呼ぶ。多用するとネットワークの負荷になる。

192.168.1.0/24なら192.168.1.255がこれにあたる。DHCPの最初のやり取りなど「相手がまだ分からない」通信で使われる。ネットワークアドレスと同様に機器へは割り当てられず、使えるホスト数の計算で2を引く理由の片方になる。

「どんな順番で、どんな形式のデータを送るか」を定めた通信の規約。TCP/IPやHTTP、DNSなど役割ごとに多くのプロトコルがあり、層状に組み合わせて使う。メーカーやOSが違う機器同士でも通信できるのは、同じプロトコルに従っているため。

本体データ（ペイロード）の前に付く制御情報。IPヘッダには宛先IPアドレス、TCPヘッダにはポート番号などが入る。各層は自分のヘッダだけを読み、中身のペイロードには手を出さない。

荷物の伝票にあたる部分で、宛先・送信元のアドレスやデータの種類、誤り検出用の値などが入る。TCPヘッダ、IPヘッダのように各層が自分のヘッダを付ける。パケットキャプチャで通信を解析するときは、このヘッダを読むことが中心になる。

IPアドレスが住所なら、ポートは部屋番号。Webは80/443、SSHは22など。

1台のサーバ上で複数のサービスを区別するための番号。HTTPは80、HTTPSは443、SSHは22が代表例。サービスが「待ち受け（LISTEN）」しているポートに通信が届く。

インターネット側から届いた特定ポート宛の通信を、あらかじめ指定したLAN内マシンの特定ポートへ届ける仕組み。NAT環境で自宅サーバを外部に公開するときなどに使う。SSHにも同名の転送機能（トンネリング）があり、文脈でどちらを指すか区別する。

docker run の -p ホスト:コンテナ で指定する。例: -p 8080:80 ならホスト8080番への通信がコンテナ80番へ転送される。

IPアドレスが建物の住所なら、ポート番号は部屋番号にあたる。0〜65535の範囲があり、Webは80/443、SSHは22のように用途が決まっているものも多い。同じマシンで複数のサービスを同時に動かせるのは、この番号で通信を振り分けているため。

同じネットワーク内では機器ごとに異なる値を持つ。ホスト部が全ビット0のものはネットワークアドレス、全ビット1のものはブロードキャストアドレスとして予約され、機器には割り当てられない。使えるホスト数の計算で必ず登場する概念。

アプリの依頼を受けてDNSサーバへ問い合わせるOS側の機能(スタブリゾルバ)と、ルートサーバから順にたどって答えを見つけ出すフルサービスリゾルバがある。Linuxでは問い合わせ先の設定ファイルとして/etc/resolv.confが登場する。

多くの環境ではNetworkManager等が自動生成する。手で書いても再生成で上書きされることがある。

サービスが起動して、あるポート番号で接続要求を受けられるようにしている状態。ss -tln で待ち受け中のポート一覧を確認でき、:22 や :80 のような番号が窓口を表す。

IPv6ではfe80::で始まるアドレスが全インターフェースに自動で付き、隣接機器とのやり取りやRAの受信に使われる。IPv4でもDHCPに失敗すると169.254.x.xが自動設定される。このアドレスしか無い状態は「ネットにつながらない」トラブルの典型的なサイン。

169.254.x.x の範囲のアドレス。DHCPサーバから応答が得られないと機器が自動でこのアドレスを割り当てる。これが表示されていたらDHCPにつながっていないサインで、ケーブルやサーバ側を疑う。

パケットの宛先IPアドレスを見て、次にどこへ転送するかをルーティングテーブルに従って決める機器。家庭ではインターネットと家庭内LANの橋渡し役になる。同じLANの中で機器をつなぐスイッチングハブとは役割が異なる点がよく問われる。

ルータが宛先IPアドレスとルーティングテーブルを照らし合わせ、次にどのルータへ渡すかを決めること。管理者が手で経路を書く静的ルーティングと、OSPFやBGPなどのプロトコルで自動的に経路を学習する動的ルーティングがある。

パケットが届くたびに宛先アドレスと照合され、最も具体的に一致する行(ロンゲストマッチ)が選ばれる。どの行にも該当しない場合はデフォルトルートが使われる。Linuxではip routeコマンドで確認でき、通信トラブル調査の基本の見どころになる。

OSが参照し、該当ルートがなければデフォルトゲートウェイへ送る。ip route で確認できる。

ルータやコンピュータが持つ「宛先ネットワーク→次の転送先」の対応表。パケットが届くたびにこの表を引いて転送先を決める。Linuxでは「ip route」コマンドで自分のマシンの経路表を確認でき、通信トラブル調査の基本になっている。

フルサービスリゾルバはまずルートサーバに問い合わせ、「.comのことはこのサーバへ」という委任情報を得て下位をたどる。世界に13系統(A〜M)の名前があり、実体は各地に分散配置されている。ここが止まると新規の名前解決が世界規模で困る重要基盤。

外部に出ず自機内で完結する通信に使う。ローカルで動くサービスの確認に便利。

ログに残ったIPアドレスの素性を確認したり、メールサーバの正当性チェックに使われたりする。正引きと逆引きの結果は必ずしも一致せず、逆引きが設定されていないアドレスも多い。digやhostコマンドに-xオプションを付けて調べられる。

AESが代表例で、処理が速いため大量のデータの暗号化に向く。ただし相手に鍵をどう安全に渡すかという問題があり、鍵が漏れれば解読されてしまう。実際のTLS通信では、鍵の受け渡しに公開鍵暗号方式を併用して弱点を補っている。

公開鍵で暗号化したデータは対になる秘密鍵でしか復号できないため、鍵を事前に安全に渡す必要がない。RSAや楕円曲線暗号が代表例。処理が遅いので、実際は共通鍵の受け渡しやデジタル署名に使い、本文の暗号化は共通鍵方式に任せる。

変換の対応が固定なので、外部から内部のサーバへアクセスさせたい場合に使う。社内のWebサーバをインターネットに公開する場面が典型。多数の端末が1つのグローバルアドレスを共有するIPマスカレード(NAPT)とは、対応が固定か動的かで区別される。

OSI参照モデルの第1層。ケーブルやコネクタの形状、電気信号や光信号の仕様など、0と1を物理的に運ぶ部分を定める。LANケーブルや光ファイバ、無線の電波はこの層の話。通信トラブルの切り分けでは、まずケーブル抜けなどこの層から疑うのが定石。

IEEE802.11規格に基づき、電波で機器をつなぐLAN。アクセスポイントを中心に接続し、SSIDでネットワークを識別する。Wi-Fiという呼び名が広まっているが、厳密にはWi-Fiは業界団体の認定名称。電波は傍受されやすいため、WPA2/WPA3などの暗号化が必須。

アプリは名前で接続を要求し、DNSがIPアドレスを返すことで実際の通信先が決まる。

「example.comはどのIPアドレスか」のように、名前と実際のアドレスを対応づけること。通常はDNSサーバへの問い合わせで行われるが、Linuxでは/etc/hostsファイルが先に参照される設定が一般的。Webがつながらない原因がここにあることも多い。