ゲートウェイ（GW）— 違うネットワークの出入口

「知らない宛先はGWへ」という合言葉の裏で、実は最初の判断は端末側で下されています。ゲートウェイの物語は、端末が「これは自分の管轄か、境界の外か」を仕分ける瞬間から始まります。

1. 端末は宛先IPと自IPを、それぞれサブネットマスクでAND演算し、ネットワーク部を取り出す
2. 2つのネットワーク部が一致すれば同一ネットワーク——相手へ直接フレームを届ける
3. 一致しなければ境界の外——届け先をデフォルトゲートウェイに決める
4. どちらに転んでも、実際にフレームを出す相手（次ホップ）のMACが要る。そこで次の段（ARP）へ進む

登場人物メモ（※の説明）:

• ※1 サブネットマスク — IPのどこまでがネットワーク部で、どこからがホスト部かを区切る物差し。AND演算でネットワーク部だけを取り出せる
• ※2 デフォルトゲートウェイ — 「自ネットワーク外宛」の既定の預け先。端末にとっての境界の出口

⚠️ イレギュラー（判定を誤ると）:

• マスクの設定違い — サブネットマスクが誤っていると、外宛を「内」と誤判定し、届くはずのないローカルへ直接投げて失敗する
• 同一セグメントなのにGW経由に見える — 逆にマスクが広すぎると、外を「内」と見なしARPを撒いて応答が返らず、通信が止まる

内外を仕分けても、フレームを渡せる相手は同じデータリンク上にいる誰かだけです。ここにARPが越えられない壁があり、それがゲートウェイの存在理由を裏づけます。

1. 外宛と決まると、端末はまず次ホップ（＝デフォルトゲートウェイ）のIPを思い浮かべる
2. そのIPからMACを引くため、ARP要求を同一セグメント内にブロードキャストする
3. GWが「そのIPは私」とARP応答を返し、端末はGWのMACを得る
4. 端末はあて先IP＝外のサーバ／あて先MAC＝GWという組み合わせでフレームを出す（IPは最終目的地、MACは目の前の次ホップ、という二段構えがポイント）
5. GWは受け取ったフレームのMACを次の区間用に書き換えながら、境界の向こうへ中継していく

登場人物メモ（※の説明）:

• ※1 ARP — 同一セグメント内で、IPアドレスからMACアドレスを割り出す仕組み。ルーターを越えて外へは届かない
• ※2 次ホップ — 最終目的地ではなく、「次にフレームを手渡す目の前の相手」。外宛ではこれがGWになる

なぜ外のサーバのMACを直接引かないのか——ARP要求は同一セグメント内にしか流れないので、外のサーバのMACはそもそも引けないからです。だから端末は「目の前の門番（GW）のMAC」だけを引き、その先はGWに託します。

⚠️ イレギュラー（ここが破れると）:

• ARP解決の失敗 — GWのMACが引けないと、内外判定が正しくても最初のフレームすら送れない
• ARPスプーフィング — 攻撃者が「GWは私」と偽のARP応答を撒くと、境界を通る通信が攻撃者へ吸い込まれる（中間者攻撃の入口）

GWが「どこへ渡すか」を決める判断表がルーティングテーブルです。中身は難しくなく、「宛先ネットワーク → 次ホップ」の対応表として読めます。

• 宛先ネットワーク（例、192.168.10.0/24）— この範囲宛なら…という条件。/24 のようなプレフィックス長が「どこまでがネットワーク部か」を示す
• 次ホップ — 条件に合ったとき、フレームを手渡す相手（隣のルーターのIP、または「直結」）
• 0.0.0.0/0（デフォルトルート） — どの具体的な経路にも当てはまらなかったときの受け皿。端末ではこの次ホップがデフォルトゲートウェイ

選び方の要はロンゲストマッチ（※1）です。宛先IPに最も長く一致する行を選ぶので、具体的な経路が優先され、/0 は「最後の砦」として働きます。

登場人物メモ（※の説明）:

• ※1 ロンゲストマッチ — 複数の経路が当てはまるとき、プレフィックスが最も長い（最も具体的な）行を選ぶ規則。だから 0.0.0.0/0 は最も弱い一致になる

⚠️ イレギュラー（テーブルの綻び）:

• 経路の穴 — 宛先に合う行もデフォルトルートも無いと、パケットは「宛先不明」で捨てられる
• 戻りの経路が無い — 行きの経路だけ設定して戻りを忘れると、要求は届くのに応答が返らない（片道の落とし穴）

「ゲートウェイ」は一枚岩ではありません。境界での橋渡しには、扱う層の深さで大きく2種類あります。

• L3ゲートウェイ（ルーティング） — IPという共通の土台の上で、異なるネットワーク間を経路判断で中継する。私たちが普段GWと呼ぶのはたいていこれ。パケットの中身（アプリ層）は作り替えない
• プロトコル変換ゲートウェイ — 話す言葉が違う網どうしを、上位層のプロトコルやデータ形式まで翻訳して橋渡しする。異種メール網の相互接続、レガシー網やIoT機器の独自プロトコルとIP網の橋渡しなどがこれにあたる

違いを一言でいえば、L3GWは「同じ言語圏の中で道を選ぶ通訳不要の案内係」、プロトコル変換GWは「異言語圏をつなぐ翻訳者」。前者は経路の判断が主役、後者は形式の変換が主役です。

境界でどの層まで踏み込むかが、この2つを分けます。層の全体像は ネットワーク層 を参照。

境界GWのもう一つの顔が、プライベートとグローバルの住所を橋渡しする役割です。家の中だけで通じる私設の住所を、外の世界で通じる公の住所へ変換します。

1. 内部端末はプライベートIP（家の中だけの住所）でGWへパケットを送る
2. GWは送信元を自分のグローバルIPへ書き換えて外へ出す（NAT）
3. 1つのグローバルIPを複数端末で共有するため、送信元ポートも付け替え、「どの内部端末のどの通信か」を変換表に記録する（NAPT／IPマスカレード）
4. 戻りパケットは、そのポートを鍵に変換表を逆引きし、正しい内部端末へ返す

つまりNAPTのポート書き換えは飾りではなく、共有した1つのグローバルIPから、戻り先を一意に特定するための鍵です。この変換が成り立つおかげで、家中の端末が1つの公の住所を分け合えます。

登場人物メモ（※の説明）:

• ※1 NAT — プライベートIPとグローバルIPを相互変換する仕組み。境界GWの代表的な仕事の一つ
• ※2 NAPT — ポート番号まで併せて変換し、1つのグローバルIPを多数の内部端末で共有する方式（IPマスカレードとも呼ぶ）

⚠️ イレギュラー（変換ゆえの制約）:

• 外から中へは入りにくい — 変換表は内→外の通信で作られるため、外から自発的に中へ入る通信は原則届かない（ポート開放やUPnPで例外的に穴を開ける）
• ポート枯渇 — 同時接続が膨大だと変換表のポートを使い切り、新規通信が張れなくなる

境界は「便利な出入口」であると同時に、負荷も障害も設定ミスも集まる一点です。最後に、ゲートウェイという境界の弱点を整理します。

• 単一障害点（SPOF） — 内外の通信がすべて一点を通るため、GWが落ちれば外との通信が丸ごと止まる。重要な境界はGWを冗長化（VRRPなどで予備へ切替）して備える
• 境界での輻輳 — 帯域も処理能力も一点に集中するため、GWがボトルネックになりやすい。NAPTの変換表や経路表の処理が飽和すると、全体が遅くなる
• ルーティングの誤設定 — 宛先ネットや次ホップを間違えると、届かない・片道になる・ループする。デフォルトルートの向き先ミスは「内は繋がるのに外へ出られない」典型
• ARP／変換表への攻撃 — 偽ARPで境界を乗っ取る中間者攻撃や、変換表を溢れさせる枯渇攻撃など、一点集中ゆえに狙われやすい
• 「境界さえ守れば安全」という過信 — GWはあくまで既知の経路と変換を捌く仕組み。認可やアプリ層の防御を境界任せにすると、通過した通信は素通りになる。多層で守る前提を崩さない

まとめ——ゲートウェイの正体は、内か外かを仕分ける判断（サブネット）／次ホップへ渡す段取り（ARP）／どこへ渡すかの表（ルーティング）／住所と形式の橋渡し（NAT・プロトコル変換）という、境界に集まった一連の仕事です。速さではなく境界での判断と橋渡し——ここが見えれば、ファイアウォールやロードバランサ、VPNの終端といった「境界に置かれる装置」たちも、同じ境界に別の判断を重ねた応用として読めるようになります。