通信の「どこまで成功したか」が、パケットの動きでわかる

DHCP、DNS、ARP、ICMP、TCP、TLS、HTTPを正常系でつなぐ8教材・約40分。

学習成果: Webアクセスを構成する各レイヤーの順序と成功条件を説明できる。

DNS、ARP、VLAN trunk、RSTP、LACP、DHCPの停止地点、設計差、確認順序を比較する13教材・約65分。

学習成果: 端末、Switch、Router、Resolver、DHCP Serverの確認順序と意図したL2制御状態を選べる。

TCP、Security Group、Network ACL、公開port偵察、復路、証明書、WAF、Rate Limit、Load BalancerとBackendを切り分ける13教材・約55分。

学習成果: TCP、TLS、HTTPのどの境界で停止したかを証跡から判断できる。

NAT/PAT、SNAT障害、PAT資源枯渇、非対称逆変換、VPC Endpoint、MTU、HSRP、OSPF、BGPの変換、Gateway冗長化、経路、広告、選択、収束を追う19教材・約100分。

学習成果: 変換前後のtuple、PAT資源、仮想Gateway、装置別state、到達性、隣接、RIB、広告、選択、収束を別の観測点として確認できる。

IPsec、SAML、Kerberos障害・防御、MFA防御、802.1X、OIDC、公開SSH、Access Key対応を比較する15教材・約80分。

学習成果: 通信到達と認証・認可の成功を分け、発行されない後続成果物を確認できる。

DHCP、ARP、DNS、NAT、TCP、TLS、Load Balancer、Backend、依存先、戻り経路を、到達点と応答の違いから比較する17教材・約85分。

学習成果: 到達点、応答、責任装置を証跡で判断し、次の確認項目を選べる。

DNS、VPC Endpoint、Security Group、Network ACL、戻り経路、Load Balancer、Backend、依存先、MTUを横断する10教材・約55分。

学習成果: ClientからクラウドBackendまでの責任境界を分け、確認するログとメトリクスを選べる。

境界防御、公開port偵察、WAF、公開SSH、Kerberos、Access Key、Rate Limit、MFA拒否とpush fatigue対応、OIDC入力検証を防御側から横断する10教材・約55分。

学習成果: 攻撃兆候と防御成功を区別し、影響確認、封じ込め、復旧、再発防止を選べる。

200-301 v1.1のL2転送、LACP topic 2.4、RSTP topic 2.5、IP接続、IPサービスに関係する12教材を、説明、確認、切り分けの観点で学びます。Ciscoによる公認・提携教材ではなく、完全な試験対策や合格を保証するものではありません。

350-401 ENCOR v1.1の3.0 Infrastructureと5.0 Securityに関係するRSTP、LACP、HSRP、OSPF、BGP、IPsecの正常・異常比較18教材を学びます。Ciscoによる公認・提携教材ではなく、CCNP Enterprise全範囲、CCIEラボ、完全な試験対策や合格を保証するものではありません。

UDP/500到達後、IKE_SA_INITで暗号proposal、DH値、nonceを交換します。

秘密値を表示せず、IDとAUTH payloadの検証成功を確認します。

Traffic SelectorとESP SPIをinstallし、暗号化対象を確定します。

encaps・decaps counterと拠点間pingを関連付けます。

peer IP、経路、境界ACLが正常であることを確認します。

暗号proposalは一致し、暗号方式不一致ではないことを確認します。

PSK値を露出せず、peer IDとkeyring参照、AUTHENTICATION_FAILEDを確認します。

ESP SAとcounterが作成されず、暗号化通信を開始できないことを確認します。

SPがIssuer、ACS、request IDを含む認証要求をIdPへ送ります。

資格情報を記録せず、一次認証成功とMFA承認を監査結果で確認します。

署名、Audience、Recipient、InResponseTo、有効期間をSPで検証します。

Secure Cookieを発行し、認証済みHTTP 200までを追います。

Service到達とAuthnRequest検証が正常であることを確認します。

invalid passwordではなく、その後のMFA段階であることを確認します。

transaction IDでUser拒否とIdP sign-in logを関連付けます。

成功AssertionとSP Sessionを発行せず、認証を停止します。

DNS SRVでrealmのKDCを特定し、ClientとKDCの時刻差が許容範囲内であることを確認します。

pre-authentication付きAS-REQからAS-REPへ進み、Event ID 4768とTGT発行を関連付けます。

対象SPNを指定したTGS-REQからTGS-REPへ進み、Event ID 4769と暗号方式を確認します。

AP-REQとAP-REPでServiceがTicketを検証し、ACL認可後にKerberosでServiceを利用します。

DNS SRVとport 88到達は成功しますが、Clientの420秒の時刻差が許容300秒を超えていることを確認します。

KRB_AP_ERR_SKEW、Event ID 4771、Failure Code 0x25を相関し、TGTと後続成果物が未発行であることを確認します。

信頼するtime sourceへ再同期してoffsetを許容範囲へ戻し、既存Ticket cacheをpurgeします。

TGTとService Ticketを再発行し、相互認証、ACL許可、NTLM fallbackなしのService利用まで確認します。

KDC到達、時刻同期、AS交換、Event ID 4768成功を確認し、User認証の失敗ではないことを切り分けます。

接続先aliasから生成したSPNが未登録で、KDC_ERR_S_PRINCIPAL_UNKNOWNとEvent ID 4769の0x7になる境界を確認します。

要求SPN、正規SPN、Service account、重複を参照専用で確認し、承認済み変更でalias SPNを一意登録します。

4769成功、Service Ticket、相互認証、ACL許可、NTLM fallbackなしのService利用まで復旧を確認します。

通常3件/時・承認2 SPN・AES256に対し、5分間42件・18 SPN・RC4 14件をUserとClientで集約します。

Ticket発行とService利用を分け、AP交換、Session、data access、interactive sign-in、権限変更が0件であることを確認します。

端末隔離とUser blockを先行し、依存Serviceと所有者を確認して承認済みcredential rotationを実施します。

RC4無効、AES-only、interactive logon禁止、最小権限、gMSAを適用し、正規Service成功と不審要求0件を確認します。

同一Userへの10分間6件のPush、全件拒否、攻撃時間窓の成功Assertion・新規Session 0件を突合します。

管理済みの連絡経路で本人を確認し、「心当たりなし」をIncidentへ記録します。

対象Userを一時blockし、既存IdP・SP Sessionを合計3件から0件へ失効します。

資格情報とfactorを安全に再登録し、FIDO2またはnumber matchingを有効化して本人操作だけを復旧します。

文書用予約IP 192.0.2.91から5分間14件を検知し、read-only成功4件とwrite AccessDenied 10件をIncident IAM-6240へ集約します。

台帳の既知連絡先で心当たりなしを確認して正規jobを止め、対象key参照をActiveからInactiveへ変更します。

発行済みSessionを2件から0件へ失効し、後続6件の全拒否と、resource変更・data object read・権限変更・永続化が0件であることを確認します。

長期Keyを1件から0件へ削除し、短期credentialのrole sessionで通常regionから正規API 1件を成功させ、旧Key利用0件を確認します。

link up後、unauthorized状態でEAP IdentityをAccess SWへ送ります。

EAP payload、session ID、端末MAC、接続portをAccess-Requestで関連付けます。

秘密鍵を表示せず、client certificateのchain、用途、有効期間を検証します。

Access-Accept、AUTHORIZED、VLAN 20割り当て、Service疎通までを確認します。

SupplicantとAccess SWのEAP Identity交換が正常であることを確認します。

Access-Request受信から、RADIUS未達やNAS client不一致を除外します。

NotAfterと検証時刻を比較し、certificate_expiredを停止境界として特定します。

Access-Reject、UNAUTHORIZED、VLAN未割り当て、業務通信未到達を確認します。

state・nonce・verifierを秘匿し、S256 challengeと登録済みredirect_uriを送ります。

資格情報を記録せず認証・認可し、登録済みcallbackへ短命codeを返します。

code_verifierをToken endpointで検証し、値を表示せずID TokenとAccess Tokenを発行します。

署名、issuer、audience、nonce、時刻を検証し、認証SessionとAPI 200まで確認します。

ClientとAuthorization ServerのHTTPS、PKCE準備、認可request受信は正常です。

登録値と末尾slash付きrequest値を比較し、invalid_requestとして拒否します。

Authorization Server自身でエラーを表示し、callbackへcodeやerrorを送りません。

Token endpoint、Client Session、Resource ServerへのAPI requestがすべて未実行であることを確認します。

DNSキャッシュを確認し、ResolverへAレコードを問い合わせます。

別ネットワーク宛ての次ホップであるデフォルトゲートウェイをARP解決します。

TCP 3-way handshakeとTLS 1.3 handshakeでHTTPS通信路を確立します。

HTTP GETと200 OKを往路・戻り経路の両方で確認し、接続をKeep-Aliveします。

IP未設定のClientがVLAN 10へDHCPDISCOVERをBroadcastします。

Routerがgiaddrを設定して中継し、Serverが利用可能LeaseをOfferします。

ClientがOfferを選択し、ServerがLeaseとOptionをACKで確定します。

IP、Gateway、DNSを反映し、Default Gatewayへの疎通成功まで確認します。

ClientがRD bit付きのAレコードQueryをResolverへ送ります。

ResolverがAuthoritative DNSへ到達し、NOERRORのAレコード応答を得ます。

ResolverがTTL付きで回答を保存し、同じ問い合わせへ再利用できる状態にします。

Clientが宛先IPを取得し、そのIPへのTCP接続を開始します。

直結IP疎通後、Area、Mask、timerが一致するHelloを相互送信します。

DBD、LSR、LSU、LSAckを交換し、NeighborをFullへ進めます。

同期したLSDBから最短pathを計算し、OSPF経路をRouting tableへinstallします。

学習した経路で宛先prefixへpingし、0% lossを確認します。

peer間疎通と3-way handshakeを完了し、OPEN交換へ進みます。

一致するASNを検証し、FSMをEstablishedへ進めます。

RIB完全一致prefixをLoc-RIBへ投入し、NLRIを対向へ広告します。

対向のPfxRcd 1とRouting tableを確認し、学習経路で疎通します。

TLSを確立し、Load BalancerのListenerへGETを送ります。

healthyなBackendを選び、request IDとClient情報を付けて転送します。

Handlerと依存先が期限内に完了し、有効なHTTP 200を生成します。

LB status 200、Target status 200、処理時間をログで相関します。

ブラウザとOSに有効な回答がなく、Resolverへの問い合わせが必要になります。

存在しないホスト名のAレコードをUDP/53でResolverへ問い合わせます。

RCODE 3を受信し、問い合わせ名が存在しないことをヘッダとdig出力で確認します。

宛先IPが得られないため、Web Server向けARP、TCP、TLS、HTTPへ進まないことを確認します。

設定済みResolverへUDP/53のA Queryを送信し、Client captureで送信を確認します。

同じDNS IDがGatewayを通過することを確認し、Client LANとL3経路を切り分けます。

Firewall deny logとResolver未受信を比較し、応答のないままQueryが再送される流れを追います。

RCODEを受信せずtimeoutし、宛先IPがないためTCP、TLS、HTTPへ進まないことを確認します。

ClientからResolverへQueryが届き、Client側のDNS到達性が正常であることを確認します。

ResolverのCache miss後、別Transaction IDでAuthoritative DNSへ問い合わせる流れを追います。

Authoritativeサービス停止により、Upstream Query 3件に対してResponseが0件となる状態を確認します。

ClientがRCODE 2を受信し、NXDOMAINのRCODE 3、Client timeoutのResponse 0件と比較します。

名前解決とGateway到達は成功しており、失敗箇所がその先にあることを確認します。

Web ServerのTCP/443へ送ったSYNがFirewallまで到達します。

Firewallが応答を返さず破棄し、DropとREJECT/RSTの違いを確認します。

同一SYNの再送後に接続がタイムアウトし、TLSやHTTPへ進まないことを確認します。

Load Balancerの公開IPを取得し、Internet Gateway経由の経路がactiveであることを確認します。

SYNがLoad Balancer Interfaceへ届いても、Security Group評価前はBackendへ転送されません。

inbound TCP/443の許可元とClient IPが一致せず無応答でDropされる状態と、statefulな戻り通信を確認します。

Flow Logs REJECT、Load Balancer access log未記録、target転送0件を突合し、再送後のtimeoutまでを追います。

Load Balancerの公開IPとInternet Gateway経由のactiveな経路を確認します。

inbound TCP/443をACCEPTし、Security Groupを通過してLoad BalancerがSYNを受信します。

SYN/ACKの宛先ephemeral portがoutbound ruleにないため、statelessなNACLが復路だけをREJECTします。

往路ACCEPT、復路REJECT、SG ALLOWを突合し、SYN再送後にTLS未開始でtimeoutする流れを追います。

EndpointがAvailableでもPrivate DNSが無効なら、AWSサービス標準hostnameはpublic IPを返すことを確認します。

NAT Gatewayへのdefault routeがないため、public service IPへのTCP/443送信前に経路選択で停止します。

Endpoint connection数とEndpoint ENI Flow Logsが0件で、Endpoint SGとpolicyが未評価であることを突合します。

同じ標準hostnameがEndpoint ENIのprivate IPを返し、VPC local routeでTCP/443を開始する変化を追います。

標準hostnameがEndpoint ENIのprivate IPを返し、VPC local routeでTCP/443 SYNを送ります。

Endpoint SGの許可元sg-batchとApplicationのsg-appが一致せず、ENI境界で無応答となります。

Flow Logs REJECT、CloudTrail API記録0件、TLS未開始、Endpoint policy未評価を確認します。

sg-appからのTCP/443を許可し、Flow ACCEPT、TCP ESTABLISHED、TLS開始までを追います。

TCP/22のFlow ACCEPTと、文書用予約IPから複数Userへ分散した認証失敗を突合します。

接続元、対象User数、5分の時間窓を集約し、認証成功0件・Session 0件を含むIncidentを作成します。

承認済み手順で接続元を一時遮断し、Flow REJECT、新規認証失敗0件、権限変更0件を確認して証跡を保全します。

Internet向けTCP/22とpassword認証を閉じ、Session ManagerまたはVPN経由の鍵認証へ管理経路を限定します。

同一接続元・宛先への10分間12 portを集約し、443のACCEPT 1 portとREJECT 11 portsを確認します。

Incidentに接続元denyを関連付け、HTTP・WAF・Backend・認証の成功成果が0件であることを確認します。

TCP/80と8080を削除し、公開ruleを3件から承認済みHTTPS 443の1件へ減らします。

後続通信の全件REJECTを確認し、接続元変更と公開設定ドリフトの検知を継続します。

接続元・Host・正規化分類・5分窓で120件を集約し、個別の入力内容は保存しません。

全120件がEdgeでBLOCKされ403となり、正規利用者の利用量制御によるHTTP 429とは異なることを確認します。

Incidentに基づいてCOUNTをBLOCKへ変更し、後続15件がLoad Balancer到達前に止まることを確認します。

下流の成功成果0件と、別接続元からの正常request 3件がWAF ALLOW・Backend転送・HTTP 200となることを突合します。

名前解決とGateway到達は成功しており、失敗箇所がTCP接続先にあることを確認します。

サーバー側captureでTCP/443宛てSYNを確認し、往路とFirewall通過を切り分けます。

未待受portからの明示的な拒否応答とLISTEN socketの確認点を追います。

SYN再送なしでConnection Refusedとなる点を、無応答でtimeoutするFirewall Dropと比較します。

DNSとARPに続いてTCP 3-way handshakeが完了し、L3/L4とTCP/443の待受が正常であることを確認します。

接続先hostnameをSNIとして送信し、Serverが証明書を選ぶ条件を確認します。

有効期間とchainは正常でも、接続先hostnameが証明書SANに含まれなければ検証に失敗することを確認します。

Clientがfatal TLS alertでhandshakeを中止し、HTTP GETを送らず証明書エラーになる流れを追います。

宛先IPを取得できており、名前解決が原因ではないことを確認します。

別ネットワーク宛ての次ホップとなるGateway MACをブロードキャストで問い合わせます。

ARP Replyがなく、neighbor entryがFAILEDになるまでを確認します。

Ethernetフレームを組み立てられず、TCP SYNが端末外へ出ないことを確認します。

有効なリースがなく、IP、Gateway、DNSが未設定のINIT状態を確認します。

UDP 68から67へのDHCPDISCOVERをブロードキャストし、Access SWがVLAN 10内へ転送します。

RouterはDiscoverを受信しますが、転送先IPが未設定のためDHCP Serverへ中継できません。

OfferがないままDiscoverを再送し、timeout後に169.254.0.0/16を自己割り当てして外部通信不能となります。

IPv4未設定のClientがDiscoverを送信し、Access SWがVLAN 10内へ転送します。

Routerの中継カウンタとServer受信ログから、Relay経路とUDP/67到達性が正常であることを確認します。

Active、Available、Excluded、Declinedの内訳を比較し、ServerがOfferを生成できない理由を確認します。

DiscoverはServerへ繰り返し届きますがOfferは0件のままで、Clientはtimeout後にAPIPAとなります。

Clientは正常なDiscoverを送信しますが、所属VLANはSwitchのAccess port設定で決まります。

本来VLAN 10の収容portがVLAN 20に設定され、Client MACもVLAN 20として学習されます。

VLAN別captureとRelay counterから、Router受信0・Server受信0であることを確認します。

DiscoverはVLAN 20へ繰り返し入り、OfferがないままClientはtimeout後にAPIPAとなります。

DNS cacheからPublic WebのIPを取得し、default routeとGateway MACでNAT Firewallまでの配送条件を確認します。

inside captureのPrivate tupleを基準に、Public IPとsource portを割り当てたtranslation entryを確認します。

Public WebにはPublic tupleが見え、戻りSYN/ACKは同じentryでPrivate tupleへ復元されます。

TLS 1.3とHTTP 200、Server access log、NAT entryのforward・reverse hit増加を同じflow IDで突合します。

DNS、default route、Gateway ARPを通過し、Private tupleのSYNがFirewall insideへ届くことを確認します。

対象10.0.10.0/24がSNAT ruleに登録されておらず、rule lookup 0件で変換を開始できません。

Public tupleは未割当で、translation table、outside capture、Public Server logがすべて0件であることを突合します。

同じSYNの再送もNAT境界で止まり、SYN/ACK、TLS、HTTPを開始せず接続timeoutとなります。

Public port poolの空き0件を確認しつつ、割当済みentryを使う既存flowはHTTP 200を継続します。

新規Private tupleはFirewall insideへ届き、SNAT設定漏れと異なりPAT rule lookupは1件一致します。

Available 0件によりPublic tupleと新規entryを作成できず、新規outside SYN・Server connectionは0件です。

新規SYN再送は同じ割当失敗となり、TLS・HTTP未開始でtimeoutする一方、既存flowはESTABLISHEDを維持します。

Private tupleをPublic tupleへ変換し、Aのentry ACTIVEと変換後SYNのServer到達を確認します。

Serverは受信したPublic tupleへ正常に応答し、待受や往路障害を除外します。

戻り経路不在ではなく、ECMP routeによりsession未同期のB outsideへSYN/ACKが到達します。

Bは逆変換entryを見つけられず応答を破棄し、A reverse hit 0、Client SYN/ACK 0、TLS・HTTP未開始となります。

名前解決とローカルGatewayへの到達が成功していることを確認します。

サーバー側captureで受信SYNを確認し、ClientからWeb Serverまでの往路を切り分けます。

Web Serverが応答を生成しており、TCP/443の待受が正常であることを確認します。

Firewallの経路表と両端captureを比較し、応答未達によってTLSへ進まないことを確認します。

TCPとTLSが成立しても、大型パケットの通過までは保証されないことを確認します。

1500-byteのDF付きIPパケットがMTU 1400のトンネル区間へ到達します。

Fragmentation NeededがClientへ届かず、Path MTUを学習できないblack holeを確認します。

同じTCP Sequenceとpacket sizeの再送を比較し、DF ping、tracepath、MTU/MSSの修正方針を確認します。

両RouterのInterfaceとpingが正常でも、OSPF隣接成立は別に確認する必要があります。

IP Protocol 89のHelloからArea ID、Mask、Hello・Dead intervalを両端で比較します。

R1のArea 0とR2のArea 1が一致せず、受信HelloがNeighbor処理前に破棄されます。

Fullへ進まずLSA交換も始まらないため、R2配下のOSPF経路を学習できません。

全NeighborがFullで、R1–R2のcost 10主経路とR3経由のcost 30予備経路を確認します。

物理link DownによりDead timerを待たず、R1–R2 NeighborがFullからDownへ遷移します。

増加したRouter-LSA sequenceをR3経由で広報し、同期したLSDBからSPFを再計算します。

Next-hopをR3へ変更し、cost 30の経路install後にR1–R3–R2で通信を再開します。

pingと3-way handshakeが成功し、下位到達性とBGP Sessionを分けて確認します。

R1は誤ったlocal ASをMy ASとしてOPENへ格納し、R2へ送信します。

R2のremote-as期待値と受信My ASが異なり、NOTIFICATION 2/2を返します。

TCPを閉じてActiveへ戻り、UPDATE交換前のため受信prefixは0件のままです。

TCP/179とBGP FSMがEstablishedで、対向の受信prefixだけが0件であることを確認します。

network指定の/24に対してRIBには2本の/25だけがあり、完全一致しない状態を確認します。

Loc-RIB未投入、advertised-routes 0、Updates sent 0とR2のPfxRcd 0を照合します。

/24 Null0経路を追加し、UPDATE送信、R2のPfxRcd 1とRouting tableへのinstallまでを追います。

DNS、ARP、TCP、TLSがすべて成功し、ClientとLoad Balancer間の通信が正常であることを確認します。

GET /がHTTPS listenerへ到達し、TLS障害ではなくHTTP処理以降の障害であることを確認します。

Backend 2台のhealth check失敗により、Load Balancerがrequestを転送できない状態を追います。

LB生成の503、Retry-After、target health、access log、Backend復旧後の200確認を順に確認します。

DNS、ARP、TCP、TLSが成功し、GET /reportsがLoad Balancerへ到達することを確認します。

503と異なりtargetが選択され、Backend access logへrequestが記録されることを確認します。

health checkは成功していても、実requestがDB lock待ちで応答できない状態を追います。

LBの30秒timeout、request IDによるログ相関、DB待ち解消、LB経由200までを確認します。

DNS、ARP、TCP、TLSが成功し、GET /api/ordersがLoad Balancerへ到達することを確認します。

503と異なりtargetが選択され、Backend application logへrequestが記録されることを確認します。

実request handlerの例外によって、有効なHTTP response headersより前にTCP RSTが返る状態を追います。

LB生成502、503・504との差、request IDによるログ相関、Backend直アクセスとLB経由200までを確認します。

ガイドは「ここから見る」で開始点を予告し、再生中はpacketと現在経路を追い、工程末は「結果を確認」と固定説明帯へ注目を移します。各ステップの観測点と次に起きることも並べて確認できます。

1xをゆっくり読める標準速度とし、0.5xのじっくり確認から2xの復習まで切り替えられます。

フローは既定で次のステップへ自動で進み、停止または同じステップをループへ切り替えられます。ガイドは各工程の最後で停止し、「理解して次へ」または「もう一度見る」を選んで進めます。

ルータを越えると次ホップ用MACアドレスが変わり、NATがなければ送信元・宛先IPは維持されることを差分で確認します。

TLS確立後、HTTPメソッド、パス、レスポンス本文がApplication Dataとして暗号化されることを確認します。

往路だけでなく、ルーティングとFirewall状態が戻り通信にも必要であることを確認します。