Interactive Network Learning
Webアクセスの成功と通信失敗を、最初から最後まで追う
正常なWebアクセス、NXDOMAINによる名前解決失敗、FirewallによるTCP SYN破棄、戻り経路不在を切り替え、DNS、ARP、TCP、TLS、HTTPが進む条件と止まる地点を、パケット位置とヘッダ差分が同期するタイムラインで確認します。
9つのステップ
DNSキャッシュを確認し、ResolverへAレコードを問い合わせます。
別ネットワーク宛ての次ホップであるデフォルトゲートウェイをARP解決します。
TCP 3-way handshakeとTLS 1.3 handshakeでHTTPS通信路を確立します。
HTTP GETと200 OKを往路・戻り経路の両方で確認し、接続をKeep-Aliveします。
DNS名前解決失敗の4ステップ
ブラウザとOSに有効な回答がなく、Resolverへの問い合わせが必要になります。
存在しないホスト名のAレコードをUDP/53でResolverへ問い合わせます。
RCODE 3を受信し、問い合わせ名が存在しないことをヘッダとdig出力で確認します。
宛先IPが得られないため、Web Server向けARP、TCP、TLS、HTTPへ進まないことを確認します。
Firewall Dropの6ステップ
名前解決とGateway到達は成功しており、失敗箇所がその先にあることを確認します。
Web ServerのTCP/443へ送ったSYNがFirewallまで到達します。
Firewallが応答を返さず破棄し、DropとREJECT/RSTの違いを確認します。
同一SYNの再送後に接続がタイムアウトし、TLSやHTTPへ進まないことを確認します。
戻り経路なしの7ステップ
名前解決とローカルGatewayへの到達が成功していることを確認します。
サーバー側captureで受信SYNを確認し、ClientからWeb Serverまでの往路を切り分けます。
Web Serverが応答を生成しており、TCP/443の待受が正常であることを確認します。
Firewallの経路表と両端captureを比較し、応答未達によってTLSへ進まないことを確認します。
学習の焦点
ルータを越えると次ホップ用MACアドレスが変わり、NATがなければ送信元・宛先IPは維持されることを差分で確認します。
TLS確立後、HTTPメソッド、パス、レスポンス本文がApplication Dataとして暗号化されることを確認します。
往路だけでなく、ルーティングとFirewall状態が戻り通信にも必要であることを確認します。
よくある質問
- 実際のネットワークへ通信しますか？
- いいえ。シナリオに定義した模擬イベントをブラウザ内で再生し、実コマンドや実パケットキャプチャは行いません。
- どのプロトコルを確認できますか？
- Ethernet、ARP、IP、TCP、UDP、DNS、TLS 1.3、HTTPの関連ヘッダを確認できます。