ネットワークスペシャリスト試験 のナレッジマップ
ネットワークスペシャリスト試験 の主要概念 137 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（137）
MACアドレス
データリンク層でネットワークインタフェースを一意に識別する48ビットの物理アドレスで、上位24ビットのOUI（製造者識別子）と下位24ビットの製造者内シリアル番号から成る。IPアドレスのように経路によって変化せず機器に固定されている点が特徴で、同一データリンク（L2セグメント）内でのフレーム転送先の特定に用いられる。
IPsec
IPパケット単位で暗号化と認証を行うプロトコル群。サイト間VPN（オンプレとクラウドVNet/VPCの接続）で経路を暗号化するのに使われ、両端の暗号化・整合性・鍵交換の設定が一致していないとトンネルが確立しない。
イーサネット
IEEE 802.3で標準化されたLANのデータリンク層〜物理層技術で、MACアドレスによるアドレッシングとイーサネットフレームによるデータ転送を行う。当初はCSMA/CDによる共有バス方式だったが、現在はスイッチによる全二重専用線接続が主流であり、伝送速度は10Mbpsから400Gbpsまで規格が拡張されている。試験ではフレームフォーマットや速度規格（1000BASE-T等）の命名規則が問われる。
前提: 伝送速度
IPv6アドレス
128ビットで表現されるインターネット層のアドレス。8つの16ビットフィールドをコロン区切り16進数で表記し、連続する0のフィールドは「::」で1回のみ省略できる。プレフィックス長で表しネットワーク部とインタフェースID（下位64ビット）からなる点がIPv4のサブネットマスクと異なる。
前提: サブネットマスク
カプセル化と非カプセル化
上位層のデータに下位層のヘッダ（およびトレーラ）を順次付加してPDUを構成する処理をカプセル化、受信側で下位層から順にヘッダを取り除き上位層へ渡す処理を非カプセル化という。OSI参照モデルの各層はこの処理により独立性を保ち、下位層は上位層のデータ内容を意識せず転送できる。イーサネットフレームにIPパケットが格納され、IPパケットにTCPセグメントが格納される階層構造がその典型例である。
ロードバランサ（L4/L7）
複数サーバへ負荷を分散する装置。L4ロードバランサはIPアドレスとポート番号までで振り分ける。L7ロードバランサはHTTPのURLパスやCookie等アプリケーション層の情報を解釈でき、パスベースの振り分けやCookieによるセッション維持（パーシステンス）を実現する。ヘルスチェックで異常サーバを自動的に振り分け対象から除外する。
DHCP
ネットワークに接続した機器へIPアドレスなどの通信に必要な設定情報を自動的に割り当てるプロトコル。管理者が機器ごとに手動でIPアドレスを設定する手間を省ける。
ブロードキャストドメイン
ブロードキャストフレームが到達しうる範囲を指し、L2スイッチで接続された同一ネットワーク（同一VLAN）全体が1つのブロードキャストドメインとなる。L2スイッチはコリジョンドメインを分割してもブロードキャストドメインは分割せず、ルータやVLAN分割によってのみブロードキャストドメインは分離される。ブロードキャストドメインが大きいほどブロードキャストストームの影響範囲も広がる。
前提: ブロードキャストストーム、L2スイッチ、RADIUS
関連: コリジョンドメイン、VLAN（仮想LAN）
DNSの委任とゾーン
ゾーンはDNSの名前空間のうち1つの権威サーバ群が管理を担う範囲。委任は親ゾーンのネームサーバが子ドメインの管理権限をNSレコードによって別のネームサーバへ移譲する仕組みで、これにより階層的な分散管理が実現される。委任先が権威を持つゾーンはサブゾーンとして独立する。
関連: NSレコード、権威サーバとキャッシュサーバ
フラッディング
L2スイッチが宛先MACアドレスをMACアドレステーブルに保持していない場合や、宛先がブロードキャスト・マルチキャストアドレスの場合に、受信ポートを除く全ポートへフレームを送出する動作を指す。未学習の宛先解決に有効な反面、多用されると帯域を圧迫し、ループ構成下ではブロードキャストストームの原因にもなる。
L2スイッチ
MACアドレスに基づきデータリンク層でフレームを転送するスイッチで、MACアドレステーブルの学習・参照によりポート単位でフレームを中継する。IPアドレスやルーティングを扱わず同一ネットワーク（同一サブネット・VLAN）内の転送に限られ、異なるネットワーク間の通信にはL3スイッチやルータが必要となる。VLANやSTPの実装単位でもある。
前提: MACアドレス
関連: L3スイッチ
メトリック
ルーティングプロトコルが最適経路を選定するために用いる数値指標。ホップ数・帯域幅・遅延・コストなど、プロトコルごとに異なる基準で算出され、値が小さいほど優先される経路として経路表に採用される。同一プロトコル内での経路比較に用い、異なるプロトコル間の比較にはアドミニストレーティブディスタンスが用いられる。
トンネリング
あるプロトコルのパケットを別のプロトコルのパケットでカプセル化し、異種ネットワークや非対応区間を通過させる技術。IPv6 over IPv4（6to4など）やVPN（GRE、IPsecトンネルモードなど）で用いられ、経路上の中継機器はカプセル化前の内容を意識せず転送できる。
VLAN（仮想LAN）
物理的な配線を変えずに、スイッチのポートを論理的な複数のブロードキャストドメインに分割する技術。IEEE802.1QのタグVLANはフレームにVLAN IDのタグを付与し、1本のトランクリンクで複数VLANを区別して伝送する。異なるVLAN間の通信にはL3スイッチやルータによるVLAN間ルーティングが必要。
インターネットVPN
共有のインターネット回線上にIPsecやSSL/TLSでトンネルを構築し暗号化・認証によって仮想的な専用線を実現する方式。閉域網や広域イーサに比べ低コストだが、帯域・遅延はベストエフォートで品質保証がない。
NAPT（IPマスカレード）
プライベートIPアドレスの複数端末が、ポート番号の変換を併用して1つのグローバルIPアドレスを共有してインターネットへ接続する技術。IPアドレスとポートの対応表で通信を管理する。ESP（プロトコル番号50・ポート番号を持たない）はそのままでは変換できず、IPsec VPNではNAT-Tでの対処が必要になる。
前提: IPsec
関連: NAT-T（NATトラバーサル）
ルーティングテーブル（経路表）
ルータが保持する、宛先ネットワークとその到達に用いる次ホップ・出力インタフェース・メトリックなどを対応付けた表。静的経路・動的プロトコルで学習した経路・直接接続経路が統合され、パケット転送時にロンゲストマッチにより最適エントリが選択される。
前提: ロンゲストマッチ
関連: メトリック
WANサービス（専用線・広域イーサ）
拠点間を接続する広域ネットワークサービス。専用線は特定区間を1社が占有し他社と物理的に完全分離される（高品質・高コスト）。広域イーサネットやIP-VPNはキャリア網を共有しつつ論理的に分離する（コスト効率が高い）。要件（分離レベル・帯域保証・コスト）に応じて選択する。
関連: イーサネット
デフォルトルート（デフォルトゲートウェイ）
宛先が自分のネットワーク外のパケットを託す出口。ip route（または route -n）で確認し、無いと外部へ一切出られない。ルーティングテーブルの誤りは ip route del/add default で訂正する。
前提: ルーティングテーブル（経路表）
リソースレコード
ゾーンファイルに記述する DNS の設定単位。SOA（ゾーンの権威情報）、NS（ネームサーバー）、A／AAAA（IPv4／IPv6 アドレス）、MX（メールサーバー）、CNAME（別名）、PTR（逆引き）などの種類がある。
前提: DNSの委任とゾーン、IPv6アドレス
関連: DNSリソースレコードと逆引き
ブロードキャストストーム
L2ネットワークにループがある状態で、TTLを持たないブロードキャストフレームがスイッチ間を無限に周回・増幅し続け、CPU使用率の急上昇と回線の輻輳でネットワークを機能不全に陥らせる障害。STPによるループ防止で未然に回避できる。
DNSリソースレコードと逆引き
DNSのゾーンに登録する情報。A/AAAA（ホスト名→IP）・MX（メール配送先＋プリファレンス値）・CNAME（別名）・NS（委譲）・PTR（IP→ホスト名の逆引き）・TXT（SPF等）などがある。逆引きはIPアドレスを逆順にしたin-addr.arpa（IPv6はip6.arpa）ゾーンにPTRレコードを置き、そのIPブロックの逆引きゾーン委譲を受けて実現する。
前提: DNSの委任とゾーン、IPv6アドレス
関連: リソースレコード
全二重
送信と受信を同時に独立して行える通信方式で、スイッチのポート同士を専用線接続する現代のイーサネットで標準的に用いられる。送受信が同時に行えるためCSMA/CDによる衝突検知・回避が不要になり、コリジョンドメインが発生しない。対義語の半二重は送受信を交互にしか行えない方式で、ハブ接続や無線LANの一部モードで見られる。
IPsecのトランスポートモードとトンネルモード
IPsecのカプセル化形態。トランスポートモードは元のIPヘッダを維持しペイロード部のみを保護するため、主に端末間（ホスト間）通信に用いる。トンネルモードは元のIPパケット全体（ヘッダ含む）を新たなIPヘッダで包んで保護するため、拠点間VPN（ゲートウェイ間）で経路上のアドレス秘匿にも使える。
IPv4アドレス
32ビットで表現されるインターネット層のアドレス。ネットワーク部とホスト部からなり、サブネットマスクまたはCIDR表記（例：/24）でその境界を示す。アドレス枯渇のためNAPTやIPv6併用で運用されることが多い。午前IIではサブネット計算・CIDR集約の基礎として頻出。
MACアドレス学習
L2スイッチが受信フレームの送信元MACアドレスと受信ポートの対応をMACアドレステーブル（FDB）に動的に記録する機能で、以降その宛先MACアドレス宛のフレームは該当ポートへのみ転送される。学習前や未学習の宛先の場合はフラッディングでフレームを送出する。一定時間参照されないエントリはエージングアウトにより削除される。
スパニングツリープロトコル（STP）
L2ネットワークで冗長経路（ループ）が形成された際、ブリッジID（優先度＋MACアドレス）が最小のスイッチをルートブリッジに選出し、冗長なポートを自動的にブロッキング状態にしてループとブロードキャストストームを防ぐプロトコル。収束を高速化したRSTPもある。
前提: ブロードキャストストーム、MACアドレス、ルートブリッジとその選出、STPのポート状態（ブロッキング/リスニング/ラーニング/フォワーディング）
STPのポート状態（ブロッキング/リスニング/ラーニング/フォワーディング）
STPは収束するまでポートを段階的に遷移させ、ループを防ぎながらトポロジを安定させる。ブロッキング状態はBPDUのみ受信しフレーム転送もMAC学習も行わない状態、リスニング状態はBPDUを送受信してトポロジ計算を行うがまだ転送しない状態、ラーニング状態はMACアドレス学習を開始するが転送はまだしない状態、フォワーディング状態はユーザトラフィックの送受信とMAC学習の両方を行う最終状態である。
VXLAN
L2フレームをUDP/IPでカプセル化しL3網上にオーバーレイするトンネル技術。セグメント識別子VNIが24ビットのため約1677万のセグメントを識別でき、IEEE802.1QのVLAN ID（12ビット・最大4094）の上限を打破する。VTEPがカプセル化・非カプセル化を担い、大規模マルチテナントのデータセンターで用いられる。
前提: カプセル化と非カプセル化、トンネリング、VLAN（仮想LAN）
関連: オーバーレイとアンダーレイ
稼働率
システムが正常に稼働している時間の割合。稼働率＝MTBF÷(MTBF＋MTTR) で求められ、故障間隔が長く修復時間が短いほど高くなる。可用性の代表指標で、SLA の合意値（例 99.9%）としても用いる。
前提: 平均故障間隔（MTBF）、メトリック
アドミニストレーティブディスタンス（AD）
複数のルーティングプロトコル（経路情報源）間で、どの経路情報をより信頼できるとみなすかを示す値。小さいほど優先される。同一プレフィックス長の経路が複数プロトコルから学習された場合、メトリック比較の前にADで情報源の優先順位を決める（例：静的1・OSPF110・RIP120）。
ARPスプーフィングと対策
偽装したARP応答をLANに送り、被害端末のARPテーブルにIPアドレスと攻撃者MACの誤った対応を登録させ、通信を攻撃者経由に中継させる（中間者攻撃の入口）攻撃。対策はスイッチのDHCPスヌーピングで作った正当なIP-MAC対応表を用い、ダイナミックARPインスペクション（DAI）で不正なARPを遮断すること。
前提: DHCP、DHCPスヌーピング
閉域網
通信事業者が提供するインターネットを経由しない専用網（L2の広域イーサネット／L3のIP-VPN 等）で、他契約者のトラフィックと論理的に分離され帯域・遅延の品質保証（SLA）を受けやすい。広域イーサネットやIP-VPN（MPLS等）がその代表的な実現手段である。
コリジョンドメイン
複数の端末が同時に送信すると信号が衝突しうる範囲を指し、ハブやリピータで接続されたセグメント全体が1つのコリジョンドメインとなる。L2スイッチは各ポートを個別のコリジョンドメインに分離し、全二重接続では衝突自体が発生しないため実質的に消滅する。ブロードキャストドメインとは対照的に、スイッチのポート単位で分割される点が試験の頻出ポイント。
前提: L2スイッチ
関連: 全二重、ブロードキャストドメイン
媒体アクセス制御方式（CSMA/CD・CSMA/CA）
共有媒体でのアクセス制御方式。CSMA/CD（衝突検知）は半二重の有線イーサネットで衝突を検知して再送する方式。CSMA/CA（衝突回避）は衝突検知が困難な無線LANで、送信前に一定時間待機・確認して衝突を避ける方式。デュプレックスミスマッチ（片側半二重・片側全二重）ではレイトコリジョン・FCSエラーが多発する。
固定割当とリース
固定割当はDHCPサーバがMACアドレスなどのクライアント識別子とIPアドレスを対応付けて常に同一アドレスを払い出す方式で、サーバ機器などアドレス固定が必要な端末に用いる。リースは動的割当において貸与するIPアドレスに設定される有効期限で、期限が近づくとクライアントは（ユニキャストの）DHCPREQUESTで更新要求を行い（リース期間の1/2でT1更新・7/8でT2再バインド）、期限切れ後は再取得が必要となる。
DNSキャッシュポイズニング
キャッシュDNSサーバに偽の名前解決結果を注入し、利用者を攻撃者の用意した偽サイトへ誘導する攻撃。正規の権威DNSサーバからの応答より先に、推測したトランザクションIDや送信元ポート番号を持つ偽の応答を送りつけてキャッシュさせる。対策はソースポートのランダム化やトランザクションIDのランダム化、DNSSECによる応答の署名検証。
前提: Route 53 DNSSEC
関連: 権威サーバとキャッシュサーバ
正引き
ドメイン名からIPアドレスを求めるDNS解決。IPv4はAレコード、IPv6はAAAAレコードを用いる。IPアドレスからドメイン名を求める逆引き（PTRレコードを使用）と対をなす概念で、通常のWebアクセスやメール送信時の名前解決は正引きが用いられる。
グローバルユニキャストアドレス
IPv6においてインターネット上で一意にルーティング可能なアドレス。先頭が2000::/3の範囲に属し、IPv4のグローバルアドレスに相当する。リンクローカルアドレスとは異なりルータを越えて到達可能であり、SLAACやDHCPv6で自動設定される。
前提: IPv6アドレス
L3スイッチ
L2スイッチの高速な物理・データリンク層処理に、ネットワーク層のルーティング機能を統合したスイッチで、VLAN間ルーティングなどをハードウェア（ASIC）処理により高速に行う点がソフトウェアルーティング中心のルータと異なる。1台でVLANの作成とVLAN間の中継を完結できるため、大規模LANの基幹（コア）スイッチとして広く用いられる。
中間者攻撃（Man-in-the-Middle）
通信を行う二者の間に攻撃者が割り込み、双方には正規の相手と直接通信しているように見せかけながら、通信内容の盗聴・改ざんを行う攻撃の総称。ARPスプーフィングや不正DHCPサーバによるゲートウェイ偽装、DNSキャッシュポイズニングなどが手口となる。相互認証（デジタル証明書の検証等）や経路の暗号化・完全性保護で対策する。
前提: DHCP、DNSキャッシュポイズニング
関連: ARPスプーフィングと対策
NAT-T（NATトラバーサル）
NAPT配下からIPsec VPNを確立するための仕組み。ポート番号を持たないESPパケットはNAPTで変換できないため、IKEネゴシエーション時にNAPTの有無を検出し、ESPをUDP（一般にポート4500）でカプセル化してNAPT機器が通常のUDP通信として変換・転送できるようにする。
前提: IPsec、カプセル化と非カプセル化
関連: NAPT（IPマスカレード）
NSレコード
あるゾーンを管理する権威ネームサーバのホスト名を示すDNSリソースレコード。親ゾーンに置かれたNSレコードは子ゾーンへの委任を表し、当該ゾーン自身にも同一内容のNSレコードを置くことで一貫性を保つ。Aレコードによる正引きとは異なり、名前解決の権限所在を示す点が本質。
関連: DNSの委任とゾーン
OSPF
リンクステート型のIGP（内部ゲートウェイプロトコル）。各ルータがネットワーク全体のトポロジ情報（LSA）を共有し、リンクの帯域から算出したコストを合計して最小コスト経路を選択する。エリア分割による階層化で大規模ネットワークに対応し、リンクステート型のため経路変化時の収束が速い。既定のアドミニストレーティブディスタンスは110。
関連: アドミニストレーティブディスタンス（AD）、ルーティングプロトコルの分類（ディスタンスベクタ型・リンクステート型・パスベクタ型）
QoS（優先制御・帯域制御）
限られた帯域を共有する複数トラフィックの通信品質を制御する仕組み。遅延・ジッタに敏感な音声/映像には優先制御（プライオリティキューイング）を、バーストするトラフィックにはシェーピング（超過分をバッファし送出を平滑化）やポリシング（超過分を破棄/マーキング）を適用する。DiffServ（DSCP）でクラス分けする。
RIP
ディスタンスベクタ型のIGP。メトリックにホップ数（経由ルータ数）を用い、ホップ数16を到達不能（無限大）とみなすため有効な最大ホップ数は15に制限される。設定が簡単だが収束が遅く大規模網に不向き。既定のアドミニストレーティブディスタンスは120。
前提: アドミニストレーティブディスタンス（AD）、メトリック、ルーティングプロトコルの分類（ディスタンスベクタ型・リンクステート型・パスベクタ型）
ルートブリッジとその選出
ルートブリッジはSTPが構築するツリー型トポロジの根となる基準点で、全スイッチが自身からルートブリッジへの最短経路を計算する基準になる。選出はBPDUに含まれるブリッジID（ブリッジプライオリティ＋MACアドレス）が最小のスイッチが自動的にルートブリッジとなり、プライオリティが同値の場合はMACアドレスが小さい方が選ばれる。管理者はプライオリティ値を明示的に下げることで意図したスイッチをルートブリッジに固定できる。
前提: MACアドレス
ルーティングプロトコルの分類（ディスタンスベクタ型・リンクステート型・パスベクタ型）
ルーティングプロトコルの動作方式による分類。ディスタンスベクタ型は隣接ルータから距離・方向の情報のみを交換し経路表を段階的に更新する（例：RIP）。リンクステート型は各ルータがネットワーク全体のトポロジ情報を保持し最短経路木を計算する（例：OSPF）。パスベクタ型は経由するAS番号の並びを経路属性として交換し、ループ回避とポリシー制御に用いる（例：BGP）。
前提: ルーティングテーブル（経路表）
関連: BGP（経路属性による選択）、OSPF
セッション鍵
通信のたびに新たに生成し、その通信セッション限りで使い捨てにする共通鍵。TLSやIPsecでは、公開鍵暗号や鍵交換アルゴリズム（Diffie-Hellman等）でセッション鍵を安全に共有したうえで、以降の実データ通信は高速な共通鍵暗号で暗号化する。鍵が漏えいしても過去・将来のセッションへの影響を限定できる。
SLAACとNDP（IPv6）
IPv6のアドレス自動設定。NDP（近隣探索プロトコル）はIPv4のARPやルータ探索を統合し、ルータが送るRA（ルータ広告）でプレフィックスを通知する。端末はRAのプレフィックスと自身のインタフェースIDを組み合わせてグローバルユニキャストアドレスを自動生成する（SLAAC＝ステートレスアドレス自動設定）。DHCPv6サーバを要さない。
関連: グローバルユニキャストアドレス
サイト間VPNとリモートアクセスVPN
サイト間VPNは拠点のVPNゲートウェイ同士を常時接続し拠点内の全端末が透過的に利用するのに対し、リモートアクセスVPNは個々の端末にクライアントソフトを導入し個人単位で社内網へ接続する。前者は拠点間通信、後者はテレワーク等の個別アクセスに適する。
VRRP（ゲートウェイ冗長）
複数の物理ルータを1台の仮想ルータとしてまとめ、共通の仮想IPアドレス・仮想MACアドレスを共有するプロトコル。端末のデフォルトゲートウェイに仮想IPを設定しておけば、マスタルータ障害時にバックアップが自動昇格して仮想IP/MACを引き継ぐため、端末設定を変えずにゲートウェイの単一障害点を解消できる。同種にHSRPがある。
サブネットマスク
IP アドレスのうちネットワーク部とホスト部の境界を示す値（例 255.255.255.0）。CIDR のプレフィックス長と表裏一体の表現で、オンプレのネットワーク機器や一部のクラウド設定ではこのドット区切り表記が使われる。
Route 53 DNSSEC
DNS 応答に署名し、改ざんやキャッシュポイズニングを検証で防ぐ仕組み。Route 53 ではゾーン署名と KMS の鍵で有効化する。
前提: DNSの委任とゾーン
仮想化
1台の物理的なコンピュータ上に、複数の仮想的なコンピュータ（仮想マシン）をソフトウェア的に作り出す技術（サーバ仮想化）。ストレージ・ネットワーク・デスクトップなども同様に仮想化できる。ハードウェア資源を効率的に活用でき、集約や柔軟な構成変更が可能になる。
NAT（ネットワークアドレス変換）
プライベート IP アドレスをパブリック IP アドレスへ、またはその逆へ変換する仕組み。ルータやゲートウェイで動作し、組織内の多数の端末が少数（または1つ）のパブリック IP を共有してインターネットへ出られるようにする（NAPT／IPマスカレード）。Linux では iptables の MASQUERADE ターゲット等で実現する。
平均故障間隔（MTBF）
修理して使い続けるシステムで、ある故障から次の故障までの平均稼働時間。値が大きいほど故障しにくく信頼性が高い。総稼働時間÷故障回数で算出する。
IEEE802.1X（ポートベース認証）
LANのポート単位でアクセス認証を行う規格。サプリカント（端末）が認証サーバ（RADIUS）に認証されるまで、スイッチのポートはEAPoLによる認証通信のみを許可し通常のデータ通信を遮断する。認証成功後にポートが開放される。EAP-TLSはクライアント証明書による強固な相互認証方式。
関連: RADIUS
ARP
IPv4で、宛先IPアドレスに対応するMACアドレスを問い合わせて解決するプロトコル。ARP要求をブロードキャストし、該当ホストがARP応答で自分のMACを返す。解決結果はARPテーブルにキャッシュされる。IPv6ではNDPが同等の役割を担う。
認証VLAN
IEEE802.1X等の認証結果に応じて、スイッチが端末の接続先VLANを動的に切り替える仕組み。認証成功時は利用者の所属や権限に応じた業務VLANへ、未認証・認証失敗時はインターネット接続や社内リソースへのアクセスを制限した検疫VLANやゲストVLANへ自動的に収容する。
BGP（経路属性による選択）
AS（自律システム）間の経路制御に用いるパスベクタ型プロトコル。OSPFのコスト合計やRIPのホップ数ではなく、ローカルプリファレンス・AS_PATH長・オリジン・MEDなど複数の経路属性を優先順位に従って比較し、事業者間の契約やポリシーを反映した経路を選択する。
前提: OSPF
収束（コンバージェンス）
ネットワークトポロジの変化（リンク障害・経路追加など）後、全ルータが一致した経路情報を持つ状態に至るまでのプロセス、またはそれに要する時間を指す。収束が遅いと一時的にループやブラックホールが生じうるため、収束時間の短縮はルーティングプロトコル設計上の重要な評価指標である。
前提: メトリック
機器冗長と経路冗長
機器冗長は同一機能を持つ機器を複数台配置し（VRRP/HSRP等による仮想ゲートウェイ、電源・ファンの二重化等）、1台の故障時も他方に自動切替して稼働を継続する構成。経路冗長は物理的に異なる複数の伝送路（回線・スイッチ経路）を用意し、1経路の障害時にルーティングプロトコルやSTP等が代替経路へ自動的に切り替える構成。両者は独立した観点で、機器単体の可用性と経路（リンク）単体の可用性をそれぞれ担保する。
前提: 経路冗長化、VRRP（ゲートウェイ冗長）
DHCPリレーエージェント
DHCPのDISCOVER等はブロードキャストでルータを越えないため、DHCPサーバが無いセグメントのクライアントが別セグメントのサーバを使えるよう、各セグメントのルータ（デフォルトゲートウェイ）に設定する中継機能（IPヘルパー）。受信したDHCPブロードキャストを指定サーバへユニキャストで中継する。1台のサーバで複数サブネットに配布できる。
DoS攻撃/DDoS攻撃とSYN Flood攻撃
DoS攻撃は単一の攻撃元から大量の要求や不正なパケットを送りつけ、サービスを提供不能にする攻撃。DDoS攻撃は多数の踏み台（ボットネット等）から同時に行う分散型のDoS攻撃で、発信元が分散するため遮断が難しい。SYN Flood攻撃はTCPの3ウェイハンドシェイクを悪用し、SYNパケットだけを大量送信してACKを返さず、サーバ側に大量の接続待ち（半接続）状態を残してリソースを枯渇させるDoS攻撃の代表例。SYN Cookieなどで対策する。
動的ルーティングと静的ルーティング
動的ルーティングはルーティングプロトコルが経路情報を自動的に交換・学習し、トポロジ変化に追従して経路表を更新する方式。静的ルーティングは管理者が経路を手動設定し、変更がない限り固定される。動的は運用負荷が低く大規模網向き、静的は経路が単純・少数の環境やスタブネットワークでオーバーヘッドがなく予測可能という特徴を持つ。
前提: ルーティングテーブル（経路表）
VLAN間ルーティング
異なるVLAN（＝異なるブロードキャストドメイン）間で通信するにはレイヤ3の経路制御が必要であり、これをVLAN間ルーティングと呼ぶ。代表的な実装は、1本のトランクリンク上でVLANごとにサブインタフェースを設定するルータオンアスティックと、スイッチ自体がVLANごとのSVI（仮想インタフェース）を持ちルーティングを行うL3スイッチの2方式である。
前提: ブロードキャストドメイン
関連: L3スイッチ、VLAN（仮想LAN）
ジッタとジッタバッファ
ジッタはパケット到着間隔のばらつき（遅延の揺らぎ）。平均遅延が許容範囲でもジッタが大きいと音声・映像が途切れる。受信側にジッタバッファ（ゆらぎ吸収バッファ）を設け、到着したパケットを一定時間バッファリングしてから一定間隔で再生することで、ばらつきを吸収し滑らかな再生を実現する。
鍵配送問題
共通鍵暗号では、通信当事者が同じ鍵を安全に共有する必要があるが、その鍵自体を安全に届ける手段が別途必要になるという課題。公開鍵暗号を用いて共通鍵（セッション鍵）を暗号化して配送する、あるいはDiffie-Hellman鍵交換で通信路上に鍵そのものを流さずに共有するハイブリッド方式でこの問題を解決する。
L2ループ
スイッチ間を冗長経路で接続した際にSTP等のループ防止機構が働かないと発生する、レイヤ2ネットワーク上の経路ループ。ブロードキャストフレームが宛先MACアドレスなしにループ上を無限に増幅・循環するブロードキャストストームや、MACアドレステーブルの不安定化を引き起こし、ネットワーク全体を機能不全に陥らせる。
前提: ブロードキャストストーム、MACアドレス
リンクローカルアドレス
IPv6において同一リンク内でのみ有効なアドレスで、fe80::/10の範囲を用いる。ルータを越えて転送されず、インタフェースには自動的に必ず付与される点でグローバルユニキャストアドレスと異なる。近隣探索プロトコル（NDP）などリンク内制御通信に用いられる。
関連: グローバルユニキャストアドレス
NFV（ネットワーク機能仮想化）
FW・ロードバランサ・ルータ等の専用ハードウェアアプライアンスが担っていた機能を、汎用サーバ上の仮想化ソフトウェア（VNF）として実装する技術。専用機の個別調達を不要にし、機能を需要に応じてソフトウェア的に増減できる。経路制御のプレーン分離を扱うSDNとは目的の軸が異なる。
前提: 仮想化、ロードバランサ（L4/L7）
オーバーレイとアンダーレイ
アンダーレイは物理スイッチ・ルータで構成される実際の転送基盤（IP到達性）を指し、オーバーレイはその上にVXLANやGREなどのトンネリングで構築される論理ネットワークを指す。オーバーレイは物理トポロジに依存せず柔軟な仮想ネットワーク・セグメンテーションを実現する。
前提: トンネリング
関連: VXLAN
優先制御方式（厳格優先/WFQ）
厳格優先（PQ: Priority Queuing）は高優先度キューに常に先着で送出権を与え、そのキューが空になるまで低優先度キューを処理しない方式で、高優先トラフィックの遅延・ジッタを最小化できる反面、高優先が輻輳すると低優先が飢餓（スタベーション）に陥る。WFQ（Weighted Fair Queuing）は各キューに重みに応じた帯域比率を保証しつつ複数キューを交互に処理する方式で、飢餓を防ぎつつ相対的な優先度差を実現する。
前提: ジッタとジッタバッファ
プライベートアドレス
RFC 1918で定義された組織内ネットワークでのみ使用するIPv4アドレス空間（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）。インターネット上ではルーティングされず、外部通信にはNAPTによるグローバルアドレスへの変換が必要となる。
経路冗長化
単一の回線・機器の障害がネットワーク全体の到達性喪失に直結しないよう、宛先への経路を複数確保する設計手法。動的ルーティングによる代替経路への自動切替や、等コストの複数経路を用いたロードバランシングと組み合わせて可用性を高める。
SD-WAN
SDNの考え方をWANに適用し、複数の回線（専用線・インターネット回線等）をソフトウェアで一元管理し、アプリケーションの特性やポリシーに応じて最適な経路へ動的に振り分ける技術。拠点間WANの俊敏性とコスト効率を高める。
ステートレス
各リクエストやパケットを、それ以前の通信状態（コネクション情報・セッション情報）を保持・参照せず独立に処理する性質。ステートレスなパケットフィルタリングは各パケットのヘッダ情報のみで許可・拒否を判定するため高速・低負荷だが、ステートフルインスペクションのようなセッション文脈に基づく高度な制御はできない。負荷分散やスケールアウトの観点では、サーバ側の状態を持たないステートレス設計の方が任意のサーバへ自由に振り分けやすいという利点がある。
前提: ステートフルインスペクション
STPのポート役割（ルートポート/指定ポート）
STPは各スイッチ・各セグメントで転送に使うポートを役割によって決定する。ルートポートは非ルートブリッジがルートブリッジへ最短コストで到達する経路上の1ポート（各スイッチに1つのみ）であり、指定ポートは各セグメントでそのセグメントへのトラフィックを転送する役割を持つポート（セグメントごとに1つ）である。いずれにも選ばれなかったポートはブロッキング状態となり非指定ポートと呼ばれる。
伝送速度
単位時間あたりに伝送できるビット数を表す指標で、bps（ビット毎秒）で表される回線・インタフェースの理論上限（帯域）を指す。実効的なデータ転送量であるスループットとは異なり、伝送速度はプロトコルオーバーヘッドや輻輳の影響を受けない物理・データリンク層の公称値である点が問われる。伝送効率（伝送速度×伝送効率＝実効転送速度）の計算問題でも頻出。
前提: メトリック
VNF（仮想化ネットワーク機能）
ルータ・ファイアウォール・ロードバランサ等の専用ハードウェアが担っていたネットワーク機能を、汎用サーバ上の仮想マシンやコンテナ上のソフトウェアとして実装したもの。NFV基盤（NFVI）上で稼働し、迅速な導入・スケール・機器更改の柔軟性を実現する。
前提: 仮想化、ロードバランサ（L4/L7）
単一障害点（SPOF）
そこが壊れるとシステム全体が止まる箇所。マルチ AZ 配置・冗長化・ロードバランサ・自動フェイルオーバーで排除する。可用性設計の出発点＝SPOF を洗い出して潰す。
前提: ロードバランサ（L4/L7）
DHCPスヌーピング
スイッチのポートを信頼済み（正規のDHCPサーバ接続）と非信頼（一般端末）に分類し、非信頼ポートからのDHCPサーバ応答（OFFER/ACK）を破棄する機能。不正なDHCPサーバによる偽のゲートウェイ配布（中間者攻撃）を防止する。
TLS
通信を暗号化し、証明書によってサーバー（要件次第ではクライアントも）を認証するプロトコル。ハンドシェイクで鍵交換と認証を行った後、対称鍵でデータを暗号化して送受信する。クラウドのロードバランサやCDNで終端し、証明書はマネージドサービスで発行・更新するのが一般的。
前提: ロードバランサ（L4/L7）
AWS WAF
Web アプリケーションファイアウォール。SQL インジェクションやクロスサイトスクリプティング等の不正な HTTP リクエストを、マネージドルールやレート制限で検査・ブロックする。CloudFront・ALB・API Gateway に適用。
前提: SQLインジェクション
DDoS 攻撃の種類（L3/L4 と L7）
L3/L4 攻撃＝大量パケットで回線/資源を飽和（SYN フラッド・リフレクション/増幅）→Shield/NLB/スクラビングで吸収。L7 攻撃＝正規に見えるリクエストでアプリを枯渇→WAF のレートベースルールや Shield Advanced で防ぐ。層に応じた防御を重ねる。
エッジコンピューティング
ユーザーやデータの近く（エッジ）で処理し、遅延を減らす考え方。AWS では CloudFront/Lambda@Edge/CloudFront Functions（配信エッジ）、Local Zones・Wavelength（低遅延ゾーン）、Outposts（オンプレ）で実現する。
前提: DNSの委任とゾーン
送信ドメイン認証（SPF／DKIM／DMARC）
送信ドメイン認証の 3 要素。SPF はそのドメインからの送信を許可する IP を列挙し、DKIM は電子署名でメール本文の改ざんの無さと送信元を証明し、DMARC は SPF/DKIM の検証結果に基づく処理方針（隔離/拒否）と結果通知先を宣言する。なりすまし・フィッシング対策として TXT レコードで設定し、Google Workspace でも受信側の迷惑メール判定に強く影響する。
前提: 電子署名
ハイブリッド暗号方式
共通鍵暗号の処理速度と公開鍵暗号の鍵配送の安全性を組み合わせた方式。データ本体は共通鍵で暗号化し、その共通鍵自体を受信者の公開鍵で暗号化して送る。S/MIMEやPGP、TLS1.2以前などで使われる（現行のTLS1.3では鍵交換に(EC)DHEを用い、共通鍵を公開鍵で暗号化して送る方式は使われない）。
前提: 共通鍵暗号方式
SQLインジェクション
Webアプリケーションの入力欄に不正なSQL文の断片を注入し、データベースを意図しない形で操作・閲覧させる攻撃手法。バインド機構（プレースホルダ）の利用や入力値の検証で防止する。
VPN（仮想プライベートネットワーク）
公衆ネットワーク上に暗号化された仮想的な専用回線を構築し、拠点間や在宅勤務者と社内ネットワークを安全に接続する技術。トンネリングと暗号化により通信内容の盗聴・改ざんを防ぐ。
前提: トンネリング
電子署名
公開鍵暗号の仕組みを利用して、電子文書の作成者本人であることの証明（本人性）と、文書が改ざんされていないことの証明（完全性）を行う技術。
共通鍵暗号方式
暗号化と復号に同じ鍵（共通鍵）を使う暗号方式。処理は高速だが、通信相手ごとに鍵を安全に共有する必要があり、相手が増えるほど鍵管理が煩雑になる。
アクセスポートとトランクポート
アクセスポートは単一VLANにのみ属するスイッチポートで、フレームにVLANタグを付与せず端末を収容する。トランクポートは複数VLANのフレームを1本の物理リンクで転送するポートで、IEEE 802.1Q等でVLANタグを付与して識別する。トランクではネイティブVLAN（タグなしで転送する既定VLAN）の不一致がセキュリティ上の問題（VLANホッピング等）を招きうる。
前提: VLAN（仮想LAN）
キャパシティ管理とボトルネック診断
回線・機器のトラフィック量や利用率を継続的に監視し、将来の増設要否を予測・計画するプロセス。ボトルネック診断では、経路上の各区間の利用率・遅延・廃棄率を比較し、最も処理能力に対する負荷率が高い（待ち行列理論上ρが1に近い）区間を特定して増強対象を絞り込む。SNMPやNetFlow等によるトラフィック統計収集が実務上の基礎データとなる。
前提: 待ち行列理論（M/M/1）、SNMP
コントロールプレーンとデータプレーン
コントロールプレーンは経路計算やポリシー決定など転送規則を作る制御機能を、データプレーンは決定された規則に従いパケットを実際に転送する機能を指す。SDNはこの両者を分離しコントロールプレーンを集中管理することで、ネットワーク全体の柔軟な制御を可能にする。
DHCPスコープ設計
DHCPサーバが払い出すIPアドレス範囲（スコープ）と、除外範囲・リース期間・付随オプション（デフォルトゲートウェイ、DNSサーバなど）をサブネットごとに定義する設計。固定割当対象や他用途で予約すべきアドレスを除外範囲として切り分け、同時接続端末数とリース期間のバランスでアドレス枯渇を防ぐ点が設計上の要点となる。
誤り制御
伝送中に発生するビット誤りを検出・訂正するための機構で、パリティチェックやCRC（巡回冗長検査）による誤り検出と、ハミング符号などによる誤り訂正（FEC）、および誤り検出時に再送を要求するARQ方式に大別される。イーサネットフレームはFCS（CRC）で誤り検出のみを行い、誤り訂正・再送は上位層（TCP等）に委ねる設計となっている。
前提: イーサネット
ファイアウォールの方式（パケットフィルタ型/アプリケーションゲートウェイ型）
パケットフィルタ型は送信元・宛先IPアドレスとポート番号など（トランスポート層まで）でパケットごとに許可・拒否を判定する最も基本的な方式。アプリケーションゲートウェイ型（プロキシ型）はアプリケーション層のプロトコルを解釈し、通信を一旦終端・代理中継することでコマンドやデータの内容まで検査できるが、対応プロトコルごとに専用の処理が必要で処理負荷も高い。動的にセッション状態を記憶するステートフルインスペクションはこれらとは別方式。
前提: ステートフルインスペクション
ヘルスチェック
ロードバランサや冗長化構成において、配下のサーバや機器が正常に応答可能かを定期的に確認する仕組み。TCP接続確立の可否を見るL4ヘルスチェックと、HTTPリクエストを送信しステータスコードや応答内容まで検証するL7ヘルスチェックがあり、異常検知した対象は振り分け・切替の対象から自動的に除外される。
関連: ロードバランサ（L4/L7）
ロードバランサの分散方式（ラウンドロビン/最小コネクション）
ラウンドロビンは実サーバへ順番に均等にリクエストを割り当てる最も単純な分散方式で、各リクエストの処理負荷が均一な場合に有効だが、処理時間のばらつきがあると特定サーバに負荷が偏りうる。最小コネクション方式はその時点で処理中の接続数が最も少ないサーバへ優先的に割り当てる方式で、リクエストごとの処理時間差が大きい環境でも負荷を実態に近い形で平準化できる。
前提: ロードバランサ（L4/L7）
伝送符号化
デジタルデータのビット列を物理媒体上で伝送可能な電気信号や光信号の波形に変換する方式で、マンチェスタ符号やNRZ、4B/5B、8B/10Bなどが代表例である。受信側でのクロック同期の取りやすさや直流成分の抑制、伝送効率（符号化効率）が方式選定の観点となり、規格（10BASE-T、1000BASE-T等）ごとに採用符号化方式が異なる。
前提: イーサネット
ロンゲストマッチ
IPルーティングで、宛先アドレスに一致する経路が複数あるとき、プレフィックス長が最も長い（最も限定的な）経路を優先して選択する原則。デフォルトルート（0.0.0.0/0）は他に一致する経路がない場合の最終手段となる。
多重化
複数の信号やデータストリームを1つの伝送路上で同時に送るための技術で、周波数を分割するFDM、時間を分割するTDM、光の波長を分割するWDM（光ファイバ）、符号で分離するCDMAなどの方式がある。1本の物理回線を効率的に共用できる反面、多重分離（デマルチプレクス）を受信側で正しく行う必要がある。
再帰問い合わせと反復問い合わせ
再帰問い合わせは、問い合わせを受けたDNSサーバが最終的な回答（または存在しないことの確認）を得るまで代理で他サーバへ問い合わせを続け、依頼元には最終結果のみを返す方式。反復問い合わせは、問い合わせを受けたサーバが自身の知る範囲で最善の回答（多くは他サーバへの参照）を返し、後続の問い合わせは依頼元自身が行う方式。一般にスタブリゾルバからキャッシュサーバへは再帰、キャッシュサーバから権威サーバへは反復で行われる。
前提: 権威サーバとキャッシュサーバ
SDN（Software-Defined Networking）
経路制御を担うコントロールプレーンと、パケット転送を担うデータプレーンを分離し、SDNコントローラがネットワーク全体を把握して経路制御を集中計算し、OpenFlow等で各スイッチに転送ルールを配信するアーキテクチャ。機器ごとの個別設定に頼らない集中制御・自動化を実現する。
セッション維持（スティッキーセッション）
ロードバランサが同一クライアントからの一連のリクエストを常に同一の実サーバへ振り分ける機能。送信元IPアドレスに基づく方式や、Cookieにサーバ識別子を埋め込む方式がある。サーバ側にセッション状態（ログイン情報等）を保持するアプリケーションで、リクエストごとに異なるサーバへ振られると状態不整合が生じるため必要となる。
関連: ロードバランサ（L4/L7）
トラフィックシェーピングとポリシング
シェーピングは規定速度を超えるトラフィックをバッファにキューイングして送出間隔を平滑化し、パケット廃棄を避けつつ遅延を許容する制御。ポリシングは超過分を即座に廃棄またはマーキング（DSCP再設定等）するだけでバッファリングせず、遅延は増やさないが廃棄が発生しうる。シェーピングは主に送信側（下り方向の平滑化）、ポリシングは主に受信側（契約帯域超過の取り締まり）で用いられる。
SSL-VPN
HTTPS（TLS/SSL）を用いたリモートアクセスVPN。特にクライアントレス方式は専用VPNソフトの導入が不要でWebブラウザだけで利用でき、ゲートウェイが仲介する特定Webアプリのみにアクセスを限定しやすい。管理の及ばない私物端末・委託先PCからの限定アクセスに適する。
SASE（Secure Access Service Edge）
ネットワーク機能（SD-WAN等）とセキュリティ機能（SWG・CASB・ゼロトラストネットワークアクセス等）をクラウド上で統合し、利用者やデバイスがどこからでも一貫したポリシーで安全にアクセスできるようにする概念。境界防御からクラウド前提の防御への移行を支える。
前提: SD-WAN
ステートフルインスペクション
通過する通信のコネクション（セッション）状態をファイアウォールが動的に記憶し、内部から開始した通信に対応する戻りの応答パケットのみを自動的に許可する方式。単純パケットフィルタリングと異なり戻り通信ごとに静的ルールを書く必要がない。
待ち行列理論（M/M/1）
客の到着や窓口でのサービスをランダムな事象としてモデル化し、待ち時間や行列長を確率的に分析する理論。M/M/1モデルでは到着率λ・サービス率μに対して利用率ρ=λ/μを求め、ρが1に近づくほど平均待ち時間・平均待ち行列長が急激に増大する。窓口数やサービス能力の設計に用いられる。
OSI参照モデル
ネットワーク通信の機能を7つの階層（物理層・データリンク層・ネットワーク層・トランスポート層・セッション層・プレゼンテーション層・アプリケーション層）に分けて整理した標準モデル。各層の役割を理解することでプロトコルの位置づけを把握できる。
平均修復時間（MTTR）
故障が発生してから復旧するまでの平均時間。値が小さいほど早く復旧でき、保守性（メンテナンス性）が高い。総修復時間÷故障回数で算出する。稼働率＝MTBF÷(MTBF＋MTTR) の分母に含まれ、MTBF（平均故障間隔）と対にして信頼性・保守性を評価する。
前提: 稼働率、平均故障間隔（MTBF）
HOLブロッキング
先頭（Head of Line）のパケットやリクエストが何らかの理由（受信側バッファ枯渇、順序保証の待ち等）で処理を待たされ、後続の本来処理可能なパケット・リクエストまで足止めされてしまう現象。単一FIFOキューを共有する構成やTCPのパケットロス時の順序復元待ち、HTTP/1.1のパイプライン処理などで発生し、仮想出力キュー（VOQ）の採用やHTTP/2以降の多重化により緩和される。
前提: 多重化
MPLS
パケットにラベルを付与し、網内のルータがIPヘッダを都度解析せずラベルに基づいて高速転送するラベルスイッチング技術。IP-VPNサービスの基盤として、共有網でありながら顧客ごとの経路を分離し、拠点間の任意接続を効率的に提供する。
MTUとMSS
MTU（最大転送単位）は、データリンク層が1フレームで運べる上位層データ（IPパケット）の最大サイズ（例：イーサネットは1500バイト）。VPN等のカプセル化で追加ヘッダーが付くと実効MTUが縮小し、大きなパケットで断片化・再送が増え特定アプリだけ遅くなることがある。MSS（最大セグメントサイズ）はTCPが1セグメントで送るデータ上限で、トンネル分を見込んで調整すると断片化を避けられる。
前提: カプセル化と非カプセル化、イーサネット
ネットワークアドレスとブロードキャストアドレス
IPv4サブネットにおいて、ネットワークアドレスはホスト部をすべて0にした先頭アドレスでそのネットワーク自体を識別し、ブロードキャストアドレスはホスト部をすべて1にした末尾アドレスでサブネット内全ホストへの一斉送信に用いる。いずれもホストには割り当てられず、利用可能ホスト数は総アドレス数から2を引いた値になる。
ポートセキュリティ
スイッチのポートごとに、学習・許可するMACアドレス数の上限や特定のMACアドレスを設定し、上限超過や未許可MACの検出時にポートを遮断またはフレームを破棄する機能。大量の偽装送信元MACでテーブルを溢れさせるMACアドレステーブルオーバーフロー（MACフラッディング）攻撃を防ぐ。
SNMP
ネットワーク機器を監視・管理するプロトコル。マネージャがエージェントへ定期的に問い合わせるポーリング（GET）に加え、エージェントが事象発生時に自発的に通知するトラップを持つ。管理情報はMIB（OIDで識別）で構造化される。SNMPv3は認証と暗号化を備え、平文のコミュニティ名に依存する v1/v2c の弱点を解消する。
関連: SNMPコミュニティ名
SPFアルゴリズム（ダイクストラ法）
重み付きグラフにおいて、始点から各ノードまでの最短経路を求めるアルゴリズム。リンクステート型ルーティングプロトコルが、収集したリンクステート情報からネットワーク全体のトポロジグラフを構築し、自ルータを根とする最短経路木を計算する際の基盤理論として用いられる。
無線LANの周波数帯（2.4/5/6GHz帯）
2.4GHz帯は障害物に強く到達距離が長い一方、電子レンジ等との干渉やチャネル数の少なさが弱点。5GHz帯はチャネル数が多く高速だが到達距離が短い。6GHz帯（Wi-Fi 6E/7）はさらに広い連続帯域を持ち、既存機器との干渉が少なく多数の高速チャネルを確保できる。
Wi-Fi 6（IEEE802.11ax）
無線LAN規格IEEE802.11ax。OFDMA（直交周波数分割多元接続）により1チャネルを複数のリソース単位に分割して複数端末へ同時多重伝送でき、多数の端末が混在する環境での実効スループットを大きく改善する。6GHz帯を使うWi-Fi 6Eもある。
AH（認証ヘッダ）
IPsecを構成するプロトコルの一つで、IPパケットの完全性と送信元認証を提供するが暗号化（機密性）は行わない。IPヘッダも認証対象に含むため、経路上でアドレスを書き換えるNATと整合せず相性が悪い。機密性が必要ならESPを用いる。
前提: IPsec
RADIUS
認証・認可・アカウンティング（AAA）を集中管理するプロトコル。無線LANやVPN、IEEE802.1X環境で認証サーバとして用いられ、利用者ごとの認証情報を一元管理してネットワークアクセスを制御する。
VLSM（可変長サブネットマスク）
1つのアドレス空間を、部門やセグメントごとに必要なホスト数に応じて異なる長さのサブネットマスクで分割する手法。各セグメントに過不足のないサイズを割り当てることでアドレスの無駄を抑え、攻撃対象領域の不要な拡大も避けられる。
前提: サブネットマスク
MTU とジャンボフレーム
経路上で送れる最大パケットサイズ。VPC 内は最大 9001（ジャンボフレーム）、IGW/VPC ピアリング経由は 1500、Transit Gateway は 8500、Site-to-Site VPN は最大 1500（IPsec で実効はさらに小さい）。DF ビット付きで小さい MTU を越えるとパス MTU 探索の ICMP（Fragmentation Needed）が必要で、これを SG/NACL で塞ぐと接続はできるのに大きな転送だけ固まる典型障害になる。
前提: IPsec
ハッシュ関数（改ざん検知）
任意長のデータから固定長の値（ハッシュ値）を算出する関数。同じ入力からは常に同じ値が得られ、わずかな変更でも値が大きく変わるため、データの改ざん検知やパスワードの保管に利用される。
IKE ポリシー
IPsecトンネルの鍵交換方式を定めるInternet Key Exchangeの設定。暗号アルゴリズム・ハッシュ・Diffie-Hellmanグループ・SAの有効期間などをオンプレ機器とクラウド側VPNゲートウェイの両方で一致させる必要がある。
前提: IPsec
標的型攻撃
特定の組織や個人を狙い、業務に関係あるように装ったメール（標的型攻撃メール）などで機密情報の窃取やシステム破壊を狙う攻撃。不特定多数を狙うばらまき型の攻撃とは異なる。
SNMPコミュニティ名
SNMP v1/v2cにおいて、マネージャとエージェント間の認証に用いる平文の共有文字列。read-only（参照のみ）とread-write（設定変更可）の権限区分を持ち、正しいコミュニティ名を含まない要求はエージェントに拒否される。平文伝送のため盗聴・推測に弱く、機密性が必要な環境ではSNMPv3のユーザベース認証・暗号化への移行が推奨される。
関連: SNMP
サイバーキルチェーン
標的型攻撃の一連の流れを「偵察→武器化→配送→攻撃→インストール→遠隔操作（C&C）→目的の実行」の段階に分けて整理するモデル。各段階で有効な防御策を検討し、どこで攻撃を断ち切れるかを分析するために用いられる。
前提: 標的型攻撃
HMAC（鍵付きハッシュメッセージ認証コード）
共有した秘密鍵とハッシュ関数を組み合わせてメッセージ認証コード（MAC）を生成する方式。受信側は同じ鍵で再計算して照合し、改ざんの有無と「鍵を持つ相手からの送信であること」を検証できる。公開鍵基盤を要さず完全性・真正性を確保できる。
前提: ハッシュ関数（改ざん検知）
EDR（Endpoint Detection and Response）
PCやサーバーなどのエンドポイント上での挙動を常時監視・記録し、侵入後の不審な振る舞い（プロセス起動・通信・ファイル改変など）を検知して隔離や調査を行う仕組み。入口対策であるアンチウイルス（既知パターンの検出）に対し、侵入されることを前提にした事後対応・可視化を担う。
前提: 多層防御（入口・内部・出口対策）
多層防御（入口・内部・出口対策）
侵入を100%防ぐことは不可能という前提に立ち、入口対策（FW/WAFで侵入自体を防ぐ）・内部対策（権限管理やEDRで侵入後の被害を局所化する）・出口対策（DLPやプロキシで外部への情報流出を止める）を多段に組み合わせる考え方。単一の対策への過信を避ける。