ゲートウェイ（GW）— 違うネットワークの出入口

「知らない宛先はGWへ」という合言葉の裏で、実は最初の判断は端末側で下されています。ゲートウェイの物語は、端末が「これは自分の管轄か、境界の外か」を仕分ける瞬間から始まります。

1. 端末は宛先IPと自IPを、それぞれサブネットマスクでAND演算し、ネットワーク部を取り出す
2. 2つのネットワーク部が一致すれば同一ネットワーク——相手へ直接フレームを届ける
3. 一致しなければ境界の外——届け先をデフォルトゲートウェイに決める
4. どちらに転んでも、実際にフレームを出す相手（次ホップ）のMACが要る。そこで次の段（ARP）へ進む

登場人物メモ（※の説明）:

• ※1 サブネットマスク — IPのどこまでがネットワーク部で、どこからがホスト部かを区切る物差し。AND演算でネットワーク部だけを取り出せる
• ※2 デフォルトゲートウェイ — 「自ネットワーク外宛」の既定の預け先。端末にとっての境界の出口

⚠️ イレギュラー（判定を誤ると）:

• マスクの設定違い — サブネットマスクが誤っていると、外宛を「内」と誤判定し、届くはずのないローカルへ直接投げて失敗する
• 同一セグメントなのにGW経由に見える — 逆にマスクが広すぎると、外を「内」と見なしARPを撒いて応答が返らず、通信が止まる

内外を仕分けても、フレームを渡せる相手は同じデータリンク上にいる誰かだけです。ここにARPが越えられない壁があり、それがゲートウェイの存在理由を裏づけます。

1. 外宛と決まると、端末はまず次ホップ（＝デフォルトゲートウェイ）のIPを思い浮かべる
2. そのIPからMACを引くため、ARP要求を同一セグメント内にブロードキャストする
3. GWが「そのIPは私」とARP応答を返し、端末はGWのMACを得る
4. 端末はあて先IP＝外のサーバ／あて先MAC＝GWという組み合わせでフレームを出す（IPは最終目的地、MACは目の前の次ホップ、という二段構えがポイント）
5. GWは受け取ったフレームのMACを次の区間用に書き換えながら、境界の向こうへ中継していく

登場人物メモ（※の説明）:

• ※1 ARP — 同一セグメント内で、IPアドレスからMACアドレスを割り出す仕組み。ルーターを越えて外へは届かない
• ※2 次ホップ — 最終目的地ではなく、「次にフレームを手渡す目の前の相手」。外宛ではこれがGWになる

なぜ外のサーバのMACを直接引かないのか——ARP要求は同一セグメント内にしか流れないので、外のサーバのMACはそもそも引けないからです。だから端末は「目の前の門番（GW）のMAC」だけを引き、その先はGWに託します。

⚠️ イレギュラー（ここが破れると）:

• ARP解決の失敗 — GWのMACが引けないと、内外判定が正しくても最初のフレームすら送れない
• ARPスプーフィング — 攻撃者が「GWは私」と偽のARP応答を撒くと、境界を通る通信が攻撃者へ吸い込まれる（中間者攻撃の入口）

境界は「便利な出入口」であると同時に、負荷も障害も設定ミスも集まる一点です。最後に、ゲートウェイという境界の弱点を整理します。

• 単一障害点（SPOF） — 内外の通信がすべて一点を通るため、GWが落ちれば外との通信が丸ごと止まる。重要な境界はGWを冗長化（VRRPなどで予備へ切替）して備える
• 境界での輻輳 — 帯域も処理能力も一点に集中するため、GWがボトルネックになりやすい。NAPTの変換表や経路表の処理が飽和すると、全体が遅くなる
• ルーティングの誤設定 — 宛先ネットや次ホップを間違えると、届かない・片道になる・ループする。デフォルトルートの向き先ミスは「内は繋がるのに外へ出られない」典型
• ARP／変換表への攻撃 — 偽ARPで境界を乗っ取る中間者攻撃や、変換表を溢れさせる枯渇攻撃など、一点集中ゆえに狙われやすい
• 「境界さえ守れば安全」という過信 — GWはあくまで既知の経路と変換を捌く仕組み。認可やアプリ層の防御を境界任せにすると、通過した通信は素通りになる。多層で守る前提を崩さない

まとめ——ゲートウェイの正体は、内か外かを仕分ける判断（サブネット）／次ホップへ渡す段取り（ARP）／どこへ渡すかの表（ルーティング）／住所と形式の橋渡し（NAT・プロトコル変換）という、境界に集まった一連の仕事です。速さではなく境界での判断と橋渡し——ここが見えれば、ファイアウォールやロードバランサ、VPNの終端といった「境界に置かれる装置」たちも、同じ境界に別の判断を重ねた応用として読めるようになります。