PCNE 学習ロードマップ — シニア向け (NW 専門 / GCP 本番経験あり)
想定: VPC / Interconnect / BGP は本業で運用、もしくは AWS の Network Specialty 等の他クラウド NW 資格保持者。 期間: 2〜4週間 / 1日 1.5〜2時間 (合計 30〜60時間)
戦略
「GCP 固有の差分」と「最近追加されたサービス」だけに集中する。汎用 NW 知識 (BGP / TLS / MTU 物理) は復習不要。
落としやすい3カテゴリ
- GCP 固有の「セマンティクスの罠」: Subnet expand 制約、Peering の non-transitive、Cloud Router の MED 加算挙動、Shared VPC の subnet-level IAM
- 新サービス・新機能 (2023〜2024 追加): Network Connectivity Center (GA), Cross-Cloud Interconnect, Cloud NGFW Enterprise (L7), Secure Web Proxy, Private NAT, Verified Peering Provider, Cloud Armor Threat Intelligence, DNS-based endpoint for GKE control plane
- 「公式が推す構成パターン」: 99.99% SLA Interconnect, Hub-and-spoke with NCC, PSC for Google APIs, Shared VPC + service projects
Week 1 — 弱点抽出 + 新サービス Catch-up (10〜20h)
Day 1-2: 模擬試験 + 公式サンプル
04_模擬試験/模擬試験1.mdを 2時間制限で実施- 公式 Sample Questions
- Section 別正答率を出して、80%未満のセクションだけを重点復習対象に
Day 3-7: 新サービス Catch-up
チェックリスト方式で 各 30分以内にまとめる。すでに知っているものはチェックして飛ばす。
Network Connectivity Center
- VPC spoke / Hybrid spoke / Producer spoke の役割
- mesh vs star、Hub topology、IP/CIDR フィルタ
- Router Appliance (RA): BGP セッションを RA VM が持つ
- NCC で PSC propagation が可能 (producer spoke)
- Private NAT spoke を hybrid に重ねる
Cross-Cloud Interconnect / Cloud Interconnect 拡張
- CCI は GA、AWS/Azure/OCI/Alibaba 対応
- HA VPN over Interconnect (暗号化要件)
- MACsec on Cloud Interconnect (物理層暗号化, 10G/100G)
Cloud NGFW
- Essentials (旧 VPC firewall rules 相当): GA
- Standard: FQDN/GeoIP/Threat Intelligence: GA
- Enterprise: L7 (TLS inspection, IPS), regional
- Secure tags vs network tag: secure tags は IAM 制御可・transitive、network tag は VPC 内のみ
Secure Web Proxy (SWP)
- egress HTTP/HTTPS URL/host フィルタ
- L7 検査 (TLS 終端)、URL list で許可リスト
- Cloud NAT との違い: NAT は L4、SWP は L7
PSC 拡張
- PSC for Google APIs (consumer endpoint で
googleapis.comをプライベート解決) - PSC Interface (producer → consumer 方向通信)
- PSC NEG として LB backend に組める
Cloud Armor 拡張
- Advanced Network DDoS Protection (Network LB を保護)
- Adaptive Protection (ML ベース異常検出)
- Threat Intelligence (Google が管理する脅威 IP)
- Rate limiting / Bot Management (reCAPTCHA Enterprise 連携)
GKE NW
- DNS-based endpoint for control plane (公開 IP 不要)
- Dataplane V2 (eBPF, Network Policy 強化)
- GKE Gateway controller (Gateway API 採用、Ingress 後継)
Cloud DNS / DNS routing policies
- Geolocation, Weighted, Failover, Health checked
- Cross-project binding (VPC を別プロジェクトの private zone と関連付け)
Week 2 — 試験パターン演習 (15h)
「最も適切な選択」訓練
試験は GCP 固有の正解パターンを問うため、「公式が推す構成」と一致させる訓練が必要。
典型シナリオ (頭の中で即答できるまで)
| シナリオ | 公式が推す解 |
|---|---|
| 99.99% SLA でオンプレと接続 | 2 metros × 2 attachments × 2 Cloud Routers (active/active) |
| 99.9% SLA でオンプレと接続 | 1 metro × 2 attachments × 1 Cloud Router |
| AWS と直接接続 | Cross-Cloud Interconnect (BGP 上で AWS Direct Connect と相互接続) |
| 既存の AWS VPN を使いたい | HA VPN to AWS Transit Gateway |
| 帯域圧縮 + 暗号化 + マルチVPC | HA VPN + NCC hybrid spoke |
| マルチプロジェクトで一元 NW 管理 | Shared VPC + Hierarchical firewall |
| Org 全体で禁止 ports を強制 | Hierarchical firewall policy at org level |
| SaaS 顧客がプライベートで API 利用 | Private Service Connect (Producer publishes endpoint) |
| BigQuery を private IP で叩く | PSC for Google APIs (googleapis.com endpoint) |
| 重複 IP の VPC を統合 | Private NAT + NCC |
| GKE の Pod IP が枯渇 | Additional Pod range (non-RFC1918 / PUPI) |
| WAF + DDoS をエッジで | Cloud Armor edge security policy on Global External Application LB |
| L7 検査 + IPS を VPC 内に | Cloud NGFW Enterprise policy |
| egress URL フィルタ | Secure Web Proxy |
| egress IP 固定化 | Cloud NAT with manual IP |
| 推移ルーティングが必要 | NCC (VPC peering では不可) |
Week 3-4 — 模擬 + 仕上げ (5〜25h)
04_模擬試験/模擬試験2.mdを本番想定 (2時間)- 連続 2 回の模試で 80%超えたら受験
05_用語集/用語集.mdを流し読み- 試験前日: Network Intelligence Center 5 ツールの用途、Cloud NGFW 3 ティアの差を口頭で言えるかチェック
シニアでも引っかかる「ひっかけ」3選
1. VPC Network Peering と Network Connectivity Center の混同
- Peering: 1対1、transitive 不可、VPC を2つ繋ぐだけならこれで十分。
- NCC: hub-spoke、transitive 可、3つ以上の VPC を相互接続、ハイブリッドも統合管理。
- 覚え方: "ピアリングは恋人、NCC は学校"。
2. Subnet 範囲の expand と削減
gcloud compute networks subnets expand-ip-rangeは 拡張のみ、縮小は不可。- 既存 VM の IP は維持される。
3. Cloud Router の Standard vs Legacy best-path selection
- Legacy: MED 比較時に Cloud Router の route priority を加算しない。
- Standard: route priority を加算した値で比較。グローバルダイナミックルーティング推奨は Standard。
おまけ: 試験テクニック
- 設問に 「最もコスト効率の高い」: Standard Tier、Classic VPN、Regional LB を疑え。
- 「最も可用性の高い」: Global LB、HA VPN、99.99% Interconnect、複数リージョン。
- 「最も安全な」: Cloud Armor + VPC-SC + Cloud NGFW Enterprise + Private Service Connect。
- 選択肢に 「Classic VPN」: 高い SLA や HA を要求しているなら不正解の可能性大。