変更要約: Professional Cloud Network Engineer 第2章を新規作成（ドメイン2「実装」: VPC/サブネット/ファイアウォールルール・ポリシー、VPC ピアリング(非推移)、Shared VPC と compute.networkUser、Private Google Access、VPC Service Controls 境界、サブネット拡張、静的/Cloud Router 動的ルーティング、ルート優先度/ネットワークタグ、内部 LB ネクストホップ、ポリシーベースルーティング、Network Connectivity Center のスポーク/トポロジ/Private NAT/PSC 伝播/CIDR フィルタ、GKE＝VPC ネイティブ/限定公開クラスタ/承認済みネットワーク/DNS ベースエンドポイント/Dataplane V2/IP マスカレード/ネットワークポリシー/Pod・Service 範囲）。
2.2Network Connectivity Center と GKE クラスタ
Network Connectivity Center のスポーク種別（VPC/ハイブリッド/プロデューサ）、トポロジ（スター/ハブ&スポーク/メッシュ）、Private NAT と PSC 伝播、CIDR フィルタ、VPC ネイティブクラスタ（エイリアス IP）、Shared VPC でのクラスタ、限定公開クラスタとコントロールプレーンエンドポイント、承認済みネットワーク、DNS ベースエンドポイント、Dataplane V2、SNAT/IP マスカレード、ネットワークポリシー、Pod/Service 範囲を理解します。
多数のネットワークの集約と、GKE クラスタのネットワーク実装を扱います。NCC で到達性を中央管理し、GKE は IP・公開範囲・ポリシーを正しく構成します。
2.2.1Network Connectivity Center の構成
Network Connectivity Center（NCC）はハブに スポーク を接続して到達性を中央管理します。スポークは VPC スポーク（VPC を接続）・ハイブリッドスポーク（VPN/VLAN アタッチメント）・プロデューサスポーク（マネージドサービス）に分かれます。トポロジは スター・ハブ&スポーク・メッシュ を要件で選び、推移的な到達性（ピアリング単体では作れない）を実現します。NAT は Private NAT、サービス公開の伝播は PSC 伝播 で構成し、不要な経路は CIDR 範囲フィルタ で絞り込み、NCC を 監視/トラブルシュート します。「VPC ピアリングでは作れない推移的接続＝NCC」を押さえます。
2.2.2GKE クラスタのネットワーク実装
GKE は VPC ネイティブ クラスタ（エイリアス IP）で作り、Shared VPC 上にも配置できます。セキュリティ要件では 限定公開クラスタ と 限定公開コントロールプレーン エンドポイント を選び、管理元は 承認済みネットワーク や DNS ベースのエンドポイント で限定します。データプレーンは eBPF ベースの Dataplane V2 を有効化し、可視化とネットワークポリシーを得ます。外向きの送信元変換は SNAT/IP マスカレード ポリシー で制御し、Pod 間通信の許可/拒否は GKE ネットワークポリシー で定義します。Pod 範囲 と Service 範囲 を割り当て、足りなければ 追加 Pod 範囲 を投入します。クラスタ内 DNS は kube-dns / Cloud DNS / ローカル DNS キャッシュ で構成します。
「要件 → 手段」が頻出。例：「多数 VPC とハイブリッドを推移的に集約」＝NCC スポーク、「VPN/VLAN をハブへ」＝ハイブリッドスポーク、「Pod 間通信を制御」＝GKE ネットワークポリシー（＋Dataplane V2）、「ノードを非公開」＝限定公開クラスタ、「コントロールプレーン管理元を限定」＝承認済みネットワーク/DNS ベースエンドポイント、「外向き送信元 IP を変換制御」＝IP マスカレード。
混同に注意：
①GKE の ネットワークポリシー（Pod 間 L3/L4）と Cloud NGFW/VPC ファイアウォール（VPC レベル）はレイヤーが別。
②Pod/Service 範囲を過小にするとスケールできない＝追加 Pod 範囲で拡張。
③承認済みネットワークと限定公開エンドポイントを併用して管理経路を絞る。
2.2.3この節のまとめ
- NCC＝VPC/ハイブリッド/プロデューサのスポークでハブ集約、ピアリングでは作れない推移的到達性
- GKE＝VPC ネイティブ（エイリアス IP）/限定公開クラスタ/承認済みネットワーク/Dataplane V2
- Pod 間制御＝GKE ネットワークポリシー、外向き送信元＝IP マスカレード、Pod/Service 範囲を確保
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. VPN/VLAN アタッチメントや多数の VPC を 1 つのハブに接続し、推移的な到達性を中央管理したい。最適なのはどれですか？
Q2. GKE で Pod と Service に専用のセカンダリ範囲を使う VPC ネイティブクラスタにしたい。必要な仕組みはどれですか？
Q3. GKE の Pod 間通信を名前空間やラベルに基づいて許可/拒否したい。使う仕組みはどれですか？
Q4. GKE コントロールプレーンへの管理アクセスを、社内の特定 IP 範囲だけに限定したい。設定はどれですか？
Q5. Pod が外部へ出る際の送信元 IP の変換（SNAT）対象範囲を、GKE で制御したい。使うのはどれですか？