PCNE 学習ロードマップ — 中堅向け (GCP 経験 1〜3年)
想定: VPC や LB は本番で触ったことがある。Interconnect/BGP は仕組みは知っているが構築経験は薄い、もしくは AWS/Azure 経験はあるが GCP は浅い、というレンジ。 期間: 6〜8週間 / 1日 1.5〜2時間 (合計 80〜120時間)
戦略
新人ロードマップと違い、**「知らないトピックの逆引きで穴埋め」**する戦略を取る。最初に弱点診断 (Week 0) を必ず実施する。
Week 0: 弱点診断 (8h) ─→ 弱いセクションに学習時間を再配分
Week 1: VPC / IPAM 設計 (15h)
Week 2: LB / DNS / CDN (15h)
Week 3: Interconnect / VPN / BGP (15h)
Week 4: NCC / GKE NW / Private Service Connect (15h)
Week 5: Security (NGFW/Armor/SWP/VPC-SC) (15h)
Week 6: Monitoring / Troubleshoot + 模擬試験 (15h)
Week 7-8: 弱点復習 + 模擬試験 (15-30h)
Week 0 — 弱点診断 (8h)
やること
- 公式サンプル問題 (Form) を時間制限なしで解く
04_模擬試験/模擬試験1.mdを 時間無制限で解く- セクション別の正答率を出す
アウトプット
Section 1 (設計): __% → 補強要否: [ ]
Section 2 (実装): __% → 補強要否: [ ]
Section 3 (マネージド): __% → 補強要否: [ ]
Section 4 (Hybrid): __% → 補強要否: [ ]
Section 5 (運用): __% → 補強要否: [ ]
Section 6 (Security): __% → 補強要否: [ ]
60%未満のセクションは Week 1〜6 の学習時間を 1.5倍に。
Week 1 — VPC / IPAM 設計 (15h)
落とし穴 (中堅でよく間違える)
- Auto-mode VPC はサブネットが各リージョンに自動作成され、
10.128.0.0/9内から払い出される。本番では基本使わない、と覚える。 - Shared VPC で IAM の subnet-level role (
networkUser) が必要。プロジェクトレベル付与しても動かない罠。 - Privately Used Public IP (PUPI) は VPC ピアリング先からは到達不可 (export/import を明示)。
- Private NAT は GA。「重複IP問題」を解くソリューションとして近年頻出。
- MTU: VPC のデフォルトは 1460。Interconnect / HA VPN で 1500/8896 をサポートするが、ハイブリッドは両端揃える。
ハンズオン
- Shared VPC を host project + 2 service projects で構成
- IPAM:
192.168.0.0/16内で複数 subnet を割り、後から subnet expand
Week 2 — LB / DNS / CDN (15h)
落とし穴
- Global External Application LB はクロスリージョン backend を許す。
- Regional External Application LB は単一リージョン。
Standard Tierでも動く。 - Cross-region Internal Application LB は近年追加。マルチリージョン内部 LB が使える。
- Passthrough LB は IP/ポート保存 (クライアントIP保持)。Proxy LB は TLS 終端可能。
- Internal Passthrough LB を Next Hop に指定 (custom route の next hop)、サードパーティ NVA で必須パターン。
- session affinity: Client IP / Generated cookie / Header field / HTTP cookie / Client IP & protocol & port (NLB)
- Cloud DNS: Cross-project binding で他プロジェクトの VPC に private zone を見せる。
- DNS forwarding (outbound) と inbound server policy の役割を逆に覚えがち。
表で整理: LB決定木 (要暗記)
| 用途 | LB |
|---|---|
| HTTP(S) を世界中に公開 (CDN/WAF も) | Global External Application LB |
| HTTP(S) を1リージョン内に公開 (Standard Tier 可) | Regional External Application LB |
| TCP/UDP/SCTP/ESP を世界中に公開 | Global External Proxy NLB (TCP/UDP/SSL Proxy) / External Passthrough NLB (regional anycast IP) |
| VPC 内 HTTP(S) | Internal Application LB (regional / cross-region) |
| VPC 内 TCP/UDP (IP/Port保存, NextHop可) | Internal Passthrough NLB |
Week 3 — Interconnect / VPN / BGP (15h)
落とし穴
- 99.99% Interconnect SLA: 2 metro + 4 attachments + 2 Cloud Router + active/active routing。図を自分の手で描けるかで合否が分かれる。
- 99.9% は 1 metro + 2 attachments + 1 Cloud Router。
- HA VPN over Interconnect: 暗号化要件で Interconnect 上に HA VPN を載せる構成 (近年頻出)。
- MACsec on Cloud Interconnect は GA で物理回線暗号化。
- Partner Interconnect は L2 or L3 を partner が提供。L3 は BGP セッションがパートナー側にある。
- Cross-Cloud Interconnect: AWS/Azure/OCI 等への物理接続。
- Cloud Router の MED: 小さいほど優先。GCP は受信した MED に route priority を加算した値で経路選択 (legacy vs standard mode で挙動差)。
- BFD は Cloud Router 単独では非対応の組み合わせがあるので注意。
Week 4 — NCC / GKE NW / PSC (15h)
Network Connectivity Center
- VPC spoke: VPC を hub に集める (peering の上位互換的存在 = transitive 可能)。
- Hybrid spoke: HA VPN / VLAN attachment / Router Appliance。
- Producer spoke: PSC エンドポイント propagation。
- mesh / star トポロジー、IP/CIDR フィルタで spoke 間到達制御。
Private Service Connect (PSC)
- Endpoint (consumer 側に IP を払い出して producer へ): 内向き。
- Backend (LB の backend に PSC NEG): producer 公開用。
- Interface (producer VPC から consumer VPC 内へ通信): producer 側 NW を消費者 NW に出す。
- PSC for Google APIs:
googleapis.comを private IP で叩く (Private Google Access の上位)。
GKE
- VPC-native (alias IP) が必須。route-based は legacy。
- secondary range: Pod range と Service range。最初の設計で IP 空間を確保しないとスケールできない。
- Dataplane V2: eBPF ベース、Network Policy / FQDN ベースポリシーが入る。
- Private cluster + DNS-based endpoint で control plane 公開IP不要に。
Week 5 — Security (15h)
落とし穴
- Hierarchical firewall policy は org/folder レベル。evaluation order: hierarchical → network global → network regional → VPC firewall rules。最初に match した allow/deny で確定 (goto_next 例外あり)。
- Cloud NGFW Enterprise だけが L7 inspection (TLS 検査) をサポート。Standard は FQDN/threat intelligence、Essentials は基本のみ。
- secure tags は GA で、network tag よりも IAM 制御が効く。
- Cloud Armor edge policy は CDN/LB のエッジで、backend policy はバックエンド前。
- VPC Service Controls はネットワークではなく API レベル境界。BeyondCorp のサービス。
- Cloud NAT: dynamic port allocation で port 不足を緩和。endpoint-independent mapping は P2P で必要。
- Secure Web Proxy (SWP) は egress HTTP/HTTPS の URL/host ベース制御。Cloud NAT との違いに注意。
Week 6 — Monitoring / Troubleshoot + 模擬試験 (15h)
Network Intelligence Center の 5本柱 (頻出)
| ツール | 用途 |
|---|---|
| Network Topology | スループット/トラフィックフローの可視化 |
| Connectivity Tests | source→destination の到達性とブロック箇所診断 |
| Performance Dashboard | パケロス/レイテンシ (Google-wide / project scoped) |
| Firewall Insights | shadowed / unused / overly permissive 検出 |
| Network Analyzer | misconfiguration / suboptimal 検出 |
Week 6 末
- 模擬試験1 / 2 のうち未実施分を 2時間制限で実施。
- 78%以上で本番予約。
Week 7-8 — 弱点復習 + 受験
- 60%未満の Section を再度学習。
- 用語集 (
05_用語集/用語集.md) を毎日 30分。 - 当日: BGP MED 計算と LB 決定木をホワイトボードに書いてから挑む。