CCNP Enterprise ENCOR（Cisco・試験350-401） のナレッジマップ
CCNP Enterprise ENCOR（Cisco・試験350-401） の主要概念 54 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（54）
VLAN（仮想LAN）
物理的な配線を変えずに、スイッチのポートを論理的な複数のブロードキャストドメインに分割する技術。IEEE802.1QのタグVLANはフレームにVLAN IDのタグを付与し、1本のトランクリンクで複数VLANを区別して伝送する。異なるVLAN間の通信にはL3スイッチやルータによるVLAN間ルーティングが必要。
NETCONF・RESTCONF・YANG
YANGは機器の設定・状態をleaf/list/containerの階層で定義するデータモデリング言語。NETCONFはSSH上でXMLメッセージを使い、YANGモデルに基づく設定をcandidate/runningといったデータストア単位でトランザクション的に投入するプロトコル。RESTCONFはHTTP＋JSON/XMLでYANGモデルへアクセスし、GET/POST/PUT/PATCH/DELETEをCRUD操作に対応させる、より馴染みやすいプロトコル。
マルチキャスト
特定のグループに参加したホストにだけ一斉配信する通信方式。ブロードキャスト同様クラウドの仮想ネットワークでは標準サポートされないことが多く、必要な場合はトランジットゲートウェイのマルチキャスト機能のような専用サービスを使うか、設計をユニキャスト前提に置き換える。
SD-Access
Ciscoのインテントベースネットワーキング製品群で、VXLANによるオーバーレイのファブリック（論理ネットワーク）を物理配線に依存しないアンダーレイの上に構築し、Catalyst Centerからポリシー（誰が・何に・どうアクセスできるか）を集中的に定義・自動配布するアーキテクチャ。手作業のCLI個別設定を減らし、セグメンテーションの一貫性と展開速度を高める。
前提: VXLAN
JSON
波括弧とキー・値のペアで構造化データを表す軽量なテキスト形式。API のリクエスト/レスポンスや IAM ポリシー・バケットポリシーのような権限定義など、機械可読性を重視する場面で広く使われる。
Catalyst Center（旧DNA Center）
Ciscoの企業ネットワーク向け一元管理コントローラ。機器の自動検出・一括プロビジョニング、SD-Accessのポリシー配布、アシュアランス（健全性の可視化）、REST APIによる自動化の起点を1つのダッシュボードに統合する。旧称DNA Center。
関連: SD-Access
CRUD操作
データやリソースに対する基本操作の頭文字。作成（Create）・読み取り（Read）・更新（Update）・削除（Delete）を指し、RESTful APIではそれぞれ一般にHTTPのPOST・GET・PUT（またはPATCH）・DELETEに対応する。
XML
タグで階層構造を表すマークアップ言語。NETCONFのメッセージ形式として使われるほか、機器の構成をXML文書として表現する場面もある。JSONより冗長だが、スキーマ（XSD）による厳密な検証やコメントの記述ができる点が異なる。
RSPANとERSPAN
SPANを拡張し、ミラー対象のポートと監視ツールが同一スイッチ上にない場合に使う仕組み。RSPANは専用のVLANを経由してミラートラフィックを別のスイッチへ転送する（同一L2ドメイン内）。ERSPANはGREでカプセル化することでL3をまたいでミラートラフィックを転送でき、遠隔地の監視ツールへも届けられる。
前提: TAPとSPAN、VLAN（仮想LAN）
GRE（Generic Routing Encapsulation）
元のパケット全体を別のIPヘッダで包んでトンネリングするカプセル化専用のプロトコル。マルチキャストや他のプロトコルなど、通常インターネット越しに直接運べないトラフィックもトンネル内に通せるが、GRE自体は暗号化を行わない。機密性が必要な場合はIPsecと組み合わせる（GRE over IPsec）。
IGMP（v2／v3）
ホストがどのマルチキャストグループへの参加を希望しているかをルータへ通知するプロトコル。IGMPv2はグループ単位でのJoin/Leaveのみを扱うのに対し、IGMPv3はグループに加えて特定の送信元を指定するJoinができ、SSM（送信元指定マルチキャスト）を成立させるために必須となる。
前提: マルチキャスト
MSDP（Multicast Source Discovery Protocol）
複数のPIM-SMドメイン（それぞれ独自のRPを持つ）にまたがってマルチキャストの送信元情報を共有するプロトコル。あるドメインのRPは自ドメイン内の送信元しか知らないため、MSDPピアを介して他ドメインのRPへ送信元の存在を通知し合うことで、ドメインをまたいだ受信者が別ドメインの送信元からのマルチキャストを受信できるようにする。
PIM（Protocol Independent Multicast）
マルチキャストの配送経路を構築するプロトコル群。PIM-SM（Sparse Mode）は既定でRP（Rendezvous Point）を頂点にした共有ツリーを使ってグループへ配送し、トラフィック量が増えると送信元ごとの最短経路ツリー（SPT）へ切り替えて効率化する。bidir-PIMはRPを介した双方向の共有ツリーのみを使い、多数の送信元がいる環境の状態量を抑える。
前提: マルチキャスト
IPsec
IPパケット単位で暗号化と認証を行うプロトコル群。サイト間VPN（オンプレとクラウドVNet/VPCの接続）で経路を暗号化するのに使われ、両端の暗号化・整合性・鍵交換の設定が一致していないとトンネルが確立しない。
DSCPとPHB
DSCP（Differentiated Services Code Point）はIPヘッダのフィールドにパケットの優先度クラスを刻印する仕組みで、EF（音声等の最優先転送）・AF（保証転送、クラスとドロップ優先度で細分）・CS（旧IP優先度との互換）等の値がある。各ネットワーク機器はDSCP値に応じた転送挙動（PHB＝Per-Hop Behavior）をホップごとに独立して適用し、送信元から宛先まで一貫したQoSを実現する。
DTP（Dynamic Trunking Protocol）
隣接スイッチのポート同士でトランクの自動ネゴシエーションを行うCisco独自プロトコル。利便性がある一方、意図せずトランクが成立するとVLANホッピングの糸口になるため、セキュリティ上は不要なポートでDTPを無効化（nonegotiate）するのが推奨される。
前提: VLAN（仮想LAN）
EtherChannel
複数の物理スイッチポートを1つの論理リンクとして束ねるCiscoの実装名称で、束ねる制御にLACP（標準規格）またはPAgP（Cisco独自）のいずれかを使う。STPからは1本の論理リンクとして見えるため、リンク単位でのブロッキングを避けつつ帯域と冗長性を得られる。
FHRP（First Hop Redundancy Protocol）
複数の物理ルータを1台の仮想ルータとして見せ、端末のデフォルトゲートウェイ（最初のホップ）を冗長化する一群のプロトコルの総称。標準規格のVRRPやCisco独自のHSRP・GLBPが代表例で、いずれも仮想IPアドレスを介して端末設定を変えずにゲートウェイ障害からの自動復旧を実現する。
HSRP（Hot Standby Router Protocol）
FHRPを実現するCisco独自プロトコル。グループ内で最も優先度（priority）が高いルータがアクティブルータとなって仮想IP/仮想MACアドレスを担当し、次点はスタンバイルータとして待機する。アクティブルータが復旧した際に自動的に主導権を取り戻すかどうかはプリエンプトの設定で決まる。
ネイティブVLAN
トランクポート上でIEEE 802.1Qのタグを付与せずに転送される既定のVLAN。トランク両端でネイティブVLANの設定が一致していないと、フレームが誤ったVLANに届いたりVLANホッピング攻撃を許したりする問題が生じる。
前提: VLAN（仮想LAN）
隣接関係（OSPFアジャセンシー）
2台のOSPFルータがLSAを交換し合い、互いのリンクステートデータベースを完全に同期させた状態（Fullステート）。Hello交換だけで留まる隣接（2-Wayステート止まり）とは異なり、アジャセンシーが確立した相手同士のみが経路情報を実際に交換する。ルータID重複・Hello/Deadタイマー不一致・エリア番号不一致などが確立を妨げる典型的な原因となる。
前提: Hello/Deadタイマー（OSPF）、LSA（Link State Advertisement）、ルータID（OSPF）
PAgP（Port Aggregation Protocol）
EtherChannelの束ねを自動ネゴシエーションするCisco独自プロトコル。標準規格であるLACPと役割は同じだが、Cisco機器同士でのみ利用でき、モードにはdesirable（能動）とauto（受動）がある。
関連: EtherChannel
PortFast
PCなど末端ホストのみを接続するアクセスポートで、STPのリスニング/ラーニング状態を省略し即座にフォワーディング状態へ移行させるCisco機能。DHCPクライアントの起動待ちなどSTP収束待ちに起因する遅延を解消するが、スイッチ同士を接続するポートには設定してはならない（ループの危険）。
REST API（ネットワーク自動化）
HTTPのメソッド（GET/POST/PUT/DELETE等）でリソースを操作する設計原則に基づくAPI。Catalyst Centerのようなコントローラへの問い合わせや設定変更をJSON形式のデータでやり取りでき、CLIへ1台ずつログインする代わりにスクリプトから多数の機器を一括操作できる。
RSTPとRapid PVST+
RSTP（IEEE 802.1w）は元のSTP（802.1D）の4状態（ブロッキング/リスニング/ラーニング/フォワーディング）をディスカーディング/ラーニング/フォワーディングの3状態に整理し、代替ポート（バックアップ経路）や提案/合意（proposal/agreement）機構により収束を大幅に高速化する。Rapid PVST+はRSTPをVLANごとに独立して動作させるCisco独自の実装で、VLANごとに異なるルートブリッジやロードバランシングを構成できる。
前提: VLAN（仮想LAN）
Cisco Catalyst SD-WANとNSO
Cisco Catalyst SD-WAN（旧Viptela）は拠点間のWAN接続を集中管理するコントローラベースのSD-WANソリューションで、Catalyst SD-WAN Manager（旧vManage）等のAPIから構成・監視を自動化する。NSO（Network Services Orchestrator）はマルチベンダ環境で、YANGサービスモデルとNETCONFを用いて複数機器への設定投入を宣言的に一括オーケストレーションするツール。
関連: Cisco Catalyst SD-WANのコンポーネント（vManage/vSmart/vBond/cEdge）
NetFlow
ルーターやスイッチが通過したトラフィックを、5-tupleを鍵にしたフロー単位の統計情報（バイト数・パケット数・開始終了時刻等）として出力する技術。パケット全体は保存しないため軽量で、大規模な通信傾向の把握や異常検知に向く（トランザクションデータの代表例）。
TAPとSPAN
いずれも監視ツールへトラフィックのコピーを渡す手段。TAP（Test Access Point）は専用のハードウェア機器を通信経路に物理的に挿入しリンク上の全信号をそのまま複製する。SPAN（Switched Port Analyzer、ポートミラーリング）はスイッチの機能で、指定したポートの通信を別のポートへソフトウェア的にコピーする。SPANはスイッチの負荷が高いとパケットを取り落とす場合があるが、TAPは専用機器のためほぼ取り落としがない。
EEM（Embedded Event Manager）
機器上で発生する事象を検知し、それに応じた処理を自動実行するCisco IOSの仕組み。appletの中でevent（syslogメッセージのパターン一致・タイマー・CLIコマンド実行等のトリガー）を定義し、それが成立した際に実行するaction（別のCLI実行・通知送信等）を組み合わせることで、外部ツールなしに機器単体でトラブルシュートや設定変更を自動化できる。
前提: シスログとシスログ集約
Flexible NetFlow
収集するキー・非キーフィールドを自由に組み合わせて定義できるフローレコード（record）、宛先を指定するエクスポータ（exporter）、両者を結び付けるモニタ（monitor）の3要素を定義し、モニタをインタフェースへ適用することでフロー統計の収集項目を柔軟にカスタマイズできるNetFlowの実装。従来の固定フィールドのNetFlowに比べ、必要な情報だけを効率よく収集できる。
前提: NetFlow
MST（Multiple Spanning Tree）
複数のVLANを少数のスパニングツリーインスタンスにまとめて動作させるIEEE 802.1s規格。VLANごとに個別のSTPインスタンスを持つPVST+と異なりCPU負荷を抑えられる。異なるスイッチが同じMSTリージョンに属すには、リージョン名・リビジョン番号・VLAN-インスタンス対応表の3要素が完全に一致している必要がある。
前提: VLAN（仮想LAN）
RPFチェック
マルチキャストのループを防ぐための仕組み。ルータは受信したマルチキャストパケットについて、そのパケットの送信元アドレスへユニキャストで戻る経路として使うはずのインタフェースと、実際にそのパケットを受信したインタフェースが一致するかを確認し（Reverse Path Forwarding）、一致しなければ破棄する。
前提: マルチキャスト
Cisco Catalyst SD-WANのコンポーネント（vManage/vSmart/vBond/cEdge）
Cisco Catalyst SD-WAN（旧Viptela）を構成する4つの主要コンポーネント。vManage（SD-WAN Manager）は構成・監視の管理プレーン、vSmartは経路とポリシーを配布する制御プレーン、vBondは各コンポーネント同士の初回認証と接続仲介を行うオーケストレーション、vEdge/cEdgeはトンネルを終端し実データを転送するデータプレーンを担う（cEdgeはIOS XEベース、vEdgeは旧Viptela OSベースのエッジルータ）。制御プレーンの経路配布にはOMP（Overlay Management Protocol）が使われる。なお現行ではvManageはCatalyst SD-WAN Managerに改称されている。
SSM（Source-Specific Multicast）
受信者があらかじめ「どのグループの、どの送信元からの」マルチキャストを受信したいかを明示的に指定する方式。RPを介した共有ツリーを使わず、受信者は直接その送信元への最短経路ツリーだけを構築するため、RPの単一障害点や不要なトラフィック受信を避けられる。受信者側の指定にはIGMPv3が必要。SSMはAWSの構成管理サービスSystems Manager（同じ「SSM」の略）とは別概念。
前提: PIM（Protocol Independent Multicast）、マルチキャスト
関連: IGMP（v2／v3）
Cisco TrustSec（SGT）
IPアドレスではなくSGT（Security Group Tag）というグループ識別子でトラフィックを分類し、そのグループ同士の通信可否をSGACL等のポリシーとして一元的に定義・適用するグループベースのセグメンテーション技術。端末のIPアドレスやVLANが変わってもグループの所属に基づき一貫したポリシーを適用できる。
前提: VLAN（仮想LAN）
VXLAN
L2フレームをUDP/IPでカプセル化しL3網上にオーバーレイするトンネル技術。セグメント識別子VNIが24ビットのため約1677万のセグメントを識別でき、IEEE802.1QのVLAN ID（12ビット・最大4094）の上限を打破する。VTEPがカプセル化・非カプセル化を担い、大規模マルチテナントのデータセンターで用いられる。
前提: VLAN（仮想LAN）
RADIUS
認証・認可・アカウンティング（AAA）を集中管理するプロトコル。無線LANやVPN、IEEE802.1X環境で認証サーバとして用いられ、利用者ごとの認証情報を一元管理してネットワークアクセスを制御する。
AAA（認証・認可・アカウンティング）
ネットワーク機器やサービスへのアクセス制御を担う3つの機能の総称。認証（Authentication）は利用者が誰かを確認し、認可（Authorization）は確認済みの利用者に何を許可するかを決め、アカウンティング（Accounting）は実行内容を記録する。Cisco機器ではRADIUSやTACACS+をAAAサーバとして利用しこれらを一元管理する。
Ansible（ネットワーク自動化）
YAML形式のPlaybookに望ましい構成を宣言的に記述し、SSHやAPI経由でエージェント不要（エージェントレス）に多数のネットワーク機器へ一括適用する構成管理ツール。Pythonで書かれたモジュールが機種ごとの差異を吸収し、同じPlaybookを繰り返し実行しても結果が変わらない冪等性を重視する。
BPDU Guard
PortFastを設定したポートでBPDU（STPの制御フレーム）を受信した場合に、そのポートを即座にerr-disable状態にして遮断するCisco機能。末端ホスト専用のはずのポートにスイッチが誤接続・不正接続された場合の、意図しないトポロジ変化やループを防ぐ。
前提: PortFast
LSA（Link State Advertisement）
OSPFルータが自身に接続するリンクの状態（インタフェース・コスト・接続先等）を広告する情報単位。全ルータから収集したLSAの集合がリンクステートデータベース（LSDB）を構成し、各ルータはこれを基にSPFアルゴリズムで最短経路木を計算する。LSAの種類（Type 1〜等）によって広告範囲や内容が異なる。
ルータID（OSPF）
OSPFプロセスがネットワーク内でルータを一意に識別するために使う32ビットの値。明示的に手動設定しない場合、ループバックインタフェースの最大IPアドレス、なければ物理インタフェースの最大IPアドレスが自動選出される。ルータID重複は隣接関係の形成を妨げる典型的な障害原因となる。
TACACS+
機器管理（デバイスへのログインやコマンド実行の可否）向けのAAAを提供するCisco独自プロトコル。TCPを使い、パケット全体を暗号化し、認証・認可・アカウンティングを独立したプロセスとして扱える点で、UDPを使い認証と認可を1つのパケットにまとめ主にネットワークアクセス制御に使われるRADIUSと役割が異なる。
前提: RADIUS
Basic認証・APIキー・Bearerトークン
API認証の代表的な3方式。Basic認証はユーザー名とパスワードをBase64エンコードしてヘッダに載せる簡易だが弱い方式。APIキーは発行された固定の鍵文字列をヘッダやクエリパラメータで送る方式。Bearerトークンは認証後に発行される一時的なトークン（OAuthのアクセストークン等）を「Authorization: Bearer」ヘッダで提示する方式で、有効期限を切れることでキー漏洩時の被害を抑えられる。
前提: OAuth（認可フレームワーク）
モデル駆動プログラマビリティ
機器ごとに異なるCLIコマンドを個別に叩くのではなく、YANGのような共通のデータモデルを介して機器の構成・状態を統一的に操作する考え方。同じモデルであれば異機種・複数ベンダーの機器を同じコード・同じ処理で扱えるようになり、自動化のスケールを支える。
エージェント型自動化（Puppet／Chef）
管理対象の機器・サーバ上に常駐エージェントを事前導入しておき、そのエージェントがマスタへ定期的に問い合わせて構成を取得・適用するプル型の自動化方式。代表例はPuppetとChef。SSH経由でエージェント不要（エージェントレス）にプッシュ型で構成を適用するAnsibleとは対照的に、エージェントの導入・維持というコストがかかる一方、変更の定期的な自己修復に向く。
LISP（Locator/ID Separation Protocol）
SD-Accessの制御プレーンで使われるプロトコル。エンドポイントの「誰か」を表すEID（Endpoint Identifier）と「どこにいるか」を表すRLOC（Routing Locator）を分離し、マッピングシステムに問い合わせてEIDに対応するRLOCを解決することで、端末が移動してもIDを変えずに到達性を維持できる。
前提: SD-Access
MACsec（IEEE 802.1AE）
IEEE 802.1AEで規定される、スイッチ間やスイッチ-端末間などL2のホップ単位でフレームを暗号化・認証する規格。IPsecがL3のエンドツーエンドまたはサイト間で暗号化するのに対し、MACsecは隣接するリンク1本ごとに保護をかける点が異なり、リンクの盗聴・改ざん・なりすましを防ぐ。
前提: IPsec
ノースバウンドAPIとサウスバウンドAPI
コントローラを基準にしたAPIの向きの呼び名。ノースバウンドAPIはコントローラが上位のアプリケーションや自動化ツールへ提供するインタフェース（例：REST API）で、サウスバウンドAPIはコントローラが配下の機器を制御するために使うインタフェース（例：NETCONF、OpenFlow）を指す。
Hello/Deadタイマー（OSPF）
OSPFが隣接ルータの生存を確認する周期を定める2つのタイマー。Helloタイマーの間隔でHelloパケットを送り合い、Deadタイマー（既定でHelloの4倍）の間Helloが届かなければ隣接ルータをダウンとみなし経路を再計算する。隣接するインタフェース間でHello/Deadタイマーの値が一致していないと隣接関係が形成されない。
root guard
スイッチポートで、本来ルートブリッジになるべきでない側から優位なBPDU（自分より小さいブリッジID）を受信した場合に、そのポートをroot-inconsistent状態にしてブロックするSTP機能。誤接続や不正な機器がルートブリッジの座を奪うトポロジ変化を未然に防ぐ。BPDU自体の受信でポートをerr-disableにするBPDU guardとは対処が異なる。
前提: BPDU Guard
QoS（優先制御・帯域制御）
限られた帯域を共有する複数トラフィックの通信品質を制御する仕組み。遅延・ジッタに敏感な音声/映像には優先制御（プライオリティキューイング）を、バーストするトラフィックにはシェーピング（超過分をバッファし送出を平滑化）やポリシング（超過分を破棄/マーキング）を適用する。DiffServ（DSCP）でクラス分けする。
前提: DSCPとPHB
シスログとシスログ集約
Syslogは機器のイベント・エラー等のログをUDP/TCP 514番等で標準化された形式（ファシリティ・重大度レベルを含む）で送信するプロトコル。多数の機器から出力されるログを1台のシスログサーバに集約（一元収集）することで、横断的な相関分析・障害の時系列突き合わせ・長期保存によるコンプライアンス対応が可能になる。UDP利用時は再送保証がなく、ログ欠落のリスクがある点に注意が必要。
OAuth（認可フレームワーク）
利用者に代わって第三者アプリがリソースへアクセスする権限を、パスワードを渡さずにアクセストークンとして委譲する「認可」フレームワーク。認証（本人確認）そのものを行う仕組みではない点に注意（認証にはOpenID Connectを重ねる）。