ネットワーク設計書には何を書く？
実際の設計書から見る基本構成

ネットワーク設計書とは

ネットワーク設計書は、構築するネットワークの要件と設計内容を整理し、構築・レビュー・運用で共通認識を持つための資料です。

今回ベースにした設計書では、最初に「検証環境を構築する目的」と「満たすべき基本要件」を整理し、その後に物理構成、論理構成、VLAN、ルーティング、セキュリティ、トラフィックフロー、監視へ展開しています。

1. 最初に「概要・基本要件」を書く

設計書の最初に置きたいのが、ネットワークを構築する目的と基本要件です。今回の設計書では、複数ベンダーのネットワーク機器を利用すること、有線・無線からインターネットへ接続できること、管理用セグメントを用意すること、用途ごとの通信を分離することなどを要件として整理していました。

目的
  技術検証を行うためのネットワーク環境を構築する

基本要件
  ・複数ベンダーのネットワーク機器を利用する
  ・有線 / 無線の双方から外部ネットワークへ接続できる
  ・管理用ネットワークを分離する
  ・用途ごとに通信セグメントを分ける
  ・セキュリティ機器を経由して通信を制御する

2. 設計項目を先に整理する

今回の設計書では、目次として物理概要図、論理概要図、ホスト名、VLAN、リンクアグリゲーション、ルーティング、セキュリティゾーン、アドレスオブジェクト、ポリシー、トラフィックフロー、セキュリティ、NTP、パケットキャプチャ、監視を並べていました。

• 構成：物理構成図 / 論理構成図
• 機器管理：ホスト名 / 管理アドレス / 管理方式
• L2：VLAN / Access・Trunk / Link Aggregation
• L3：Routing / Default Route
• Security：Zone / Address Object / Policy
• 通信：Traffic Flow
• 運用：NTP / Packet Capture / Monitoring

最初に設計項目を決めておくと、「構成図だけ作って終わる」「IPアドレスはあるが通信ポリシーが整理されていない」といった抜けを減らしやすくなります。

3. 物理構成図と論理構成図を分ける

物理構成図では、どの機器のどのインターフェース同士が接続されるのか、リンク速度や冗長構成を含めて整理します。一方、論理構成図ではVLAN、IPセグメント、Gateway、通信経路など、通信上の関係を表現します。

今回の資料でも、物理構成図には機器・ポート・リンク速度、論理構成図にはVLANや各ネットワークの関係が描かれており、同じネットワークを異なる視点から確認できる構成になっていました。

4. ホスト名・管理情報を一覧にする

機器が増えると、「どの機器が何の役割なのか」「どこから管理するのか」が分かりにくくなります。設計書では、ホスト名、機種、管理アドレス、管理方式などを一覧にしておくと確認しやすくなります。

公開記事では実際のホスト名や管理IPアドレスは掲載せず、例示用の値へ置き換えています。

5. VLAN設計は「ID・IP・接続方式・用途」で整理する

今回の設計書では、VLAN ID、IPアドレス、Access / Trunk、用途を1つの表にまとめていました。この形式にすると、「何番のVLANが何のために存在するのか」を一目で確認できます。

VLAN名や用途だけでなく、IPセグメントとAccess / Trunkの扱いまで同じ表で管理することで、スイッチ設定との対応を確認しやすくなります。

6. ルーティングは「方式」と「出口」を決める

今回の設計書では、ルーティング方式としてStatic Routingを採用し、インターネット向け通信にはDefault Routeを利用する方針が明記されていました。

Routing Method
  Static Routing

Internet Traffic
  Default Route

Internal Networks
  Destination NetworkごとにNext Hopを定義

設計書ではコマンドそのものを書く前に、「どのルーティング方式を使うか」「Default Routeをどこへ向けるか」といった方針を先に決めておくと、機器設定へ落とし込みやすくなります。

7. Security ZoneとFirewall Policyを分けて整理する

ファイアウォール設計では、最初にSecurity Zoneを定義し、そのZone間でどの通信を許可するかをPolicyとして整理します。

今回の設計書では、Firewall PolicyについてもSource Zone、Destination Zone、Source Address、Destination Address、Service、NAT、Log、Actionを表形式で整理していました。

Src Zone | Dst Zone | Src Addr | Dst Addr | Service | NAT | Log | Action
Trust    | Untrust   | USER-NET | Internet | HTTPS   | -   | ALL | Accept
Trust    | Untrust   | ALL      | ALL      | ALL     | -   | ALL | Deny

「許可する通信」と「それ以外を拒否する通信」を表にすると、レビュー時にポリシーの意図を確認しやすくなります。

8. Traffic Flowで通信経路を確認する

物理構成図や論理構成図だけでは、特定の通信がどの機器を通るのか分かりづらい場合があります。そのため、今回の設計書ではインターネット向け通信のTraffic Flowを別の図として整理していました。

Traffic Flowを用意すると、「どのFirewall Policyにマッチするか」「どのRouteを利用するか」「戻り通信は同じ経路を通るか」といった確認がしやすくなります。

9. 構築後の運用も設計書に含める

ネットワーク設計は、通信できれば終わりではありません。今回の資料では、NTP同期、パケットキャプチャ、監視も設計項目として含まれていました。

• NTP：機器間で時刻を揃え、ログを時系列で追えるようにする
• Monitoring：機器やインターフェースの状態を継続的に確認する
• Packet Capture：障害解析時に通信を確認できるポイントを決める
• Management Network：管理用通信を業務通信から分離する

今回の設計書では外接ルータをNTPサーバとして利用し、そのルータ自身はインターネット上のNTPサーバと同期する構成が記載されていました。

設計を進めやすくするポイント

ネットワーク設計を進めるときは、要件から始まり、構成、L2 / L3、Security、Traffic Flow、運用へ順番に整理していくと、設計内容を段階的に具体化しやすくなります。

特に、構成図で全体像を整理したあとに、VLANやRouting、Security Policyを表形式で具体化し、最後にTraffic Flowで通信の流れを確認すると、設計内容と機器設定の対応関係が分かりやすくなります。レビューや構築時の確認もしやすくなるため、設計書を作る際は「全体像 → 詳細設計 → 通信確認」の順でまとめると効率的です。

まとめ

ネットワーク設計書には、構成図だけでなく、要件、機器管理、VLAN、Routing、Security Zone、Firewall Policy、Traffic Flow、NTP、監視など、構築から運用までに必要な情報を整理します。

重要なのは、設定コマンドを先に書くことではなく、「何を実現するのか」「どのような構成にするのか」「どの通信を許可するのか」を設計として整理し、その結果を機器設定へ落とし込むことです。

次回は、ネットワーク設計書の中でも特に重要な「物理構成図と論理構成図の書き分け方」を取り上げます。

記事について

本記事は、Stractoが保有していたネットワーク検証環境の設計書を基に、公開可能な内容へ一般化・匿名化して構成しています。