第5章 通信の基礎理解（新卒基礎）
5.1 IPアドレスとは
IPアドレスの役割
IPアドレス（Internet Protocol Address）は、ネットワーク上の機器を識別するための番号である。郵便の住所に相当し、データの送信先・送信元を特定するために使われる。
IPv4アドレスの形式
- 0〜255の数値をドットで区切った4つの数値で表現する
- 合計で約43億個のアドレスが存在する
プライベートIPアドレスとグローバルIPアドレス
| 種別 | 範囲（代表例） | 用途 |
|---|---|---|
| プライベートIP | 10.0.0.0 〜 10.255.255.255 | 組織内ネットワーク（大規模） |
| プライベートIP | 172.16.0.0 〜 172.31.255.255 | 組織内ネットワーク（中規模） |
| プライベートIP | 192.168.0.0 〜 192.168.255.255 | 組織内ネットワーク（小規模） |
| グローバルIP | 上記以外 | インターネット上で一意に識別される |
病院ネットワークでのIPアドレス
病院内の機器にはプライベートIPアドレスが割り当てられる。Smart Assist PCも院内ではプライベートIPを持つ。インターネットへ通信する際は、NATによってグローバルIPに変換される（5.8で解説）。
5.2 サブネットとは
サブネットの概念
サブネット（Subnet）は、大きなネットワークを論理的に分割した小さなネットワーク領域である。病院ネットワークでは、用途ごとにサブネットを分けてセキュリティを確保している。
サブネットマスク
サブネットマスクは、IPアドレスのどの部分が「ネットワーク部」でどの部分が「ホスト部」かを示す。
CIDR表記
| サブネットマスク | CIDR | ホスト数 | 用途例 |
|---|---|---|---|
| 255.255.255.0 | /24 | 254台 | 一般的なセグメント |
| 255.255.255.128 | /25 | 126台 | 中規模セグメント |
| 255.255.255.240 | /28 | 14台 | 小規模セグメント（サーバ用） |
| 255.255.0.0 | /16 | 65,534台 | 大規模ネットワーク |
病院での典型的なサブネット構成例
異なるサブネット間の通信はルーター（またはL3スイッチ）を経由する必要がある。
5.3 ルーターとスイッチ
Cisco（代表的なネットワーク機器メーカー）
スイッチ（L2スイッチ）
スイッチは、同じサブネット内の機器同士を接続するための装置である。
| 特徴 | 説明 |
|---|---|
| 動作レイヤー | レイヤー2（データリンク層） |
| 識別に使う情報 | MACアドレス |
| 役割 | 同一セグメント内のフレーム転送 |
| 例 | 医療機器セグメント内のAUTION EYEと他の分析装置の接続 |
Cisco Catalyst スイッチの設置例（ラックマウント型L2スイッチ）
ルーター（L3スイッチ）
ルーターは、異なるサブネット間の通信を中継する装置である。
| 特徴 | 説明 |
|---|---|
| 動作レイヤー | レイヤー3（ネットワーク層） |
| 識別に使う情報 | IPアドレス |
| 役割 | 異なるサブネット間のパケット転送、経路制御 |
| 例 | 医療機器セグメント → LISサーバセグメント間の通信 |
Cisco 2800 シリーズ ルーター（業務用ルーターの例）
Smart Assistの通信経路上のルーター
5.4 DNSの仕組み
DNSとは
DNS（Domain Name System）は、人間が読めるドメイン名（例: smartassist.example.com）をIPアドレス（例: 52.194.10.20）に変換する仕組みである。
DNSの名前解決の流れ
病院環境でのDNS
多くの病院では以下のようなDNS構成をとっている。
| 構成パターン | 説明 |
|---|---|
| 院内DNSサーバ | 院内ホスト名を解決する。外部名はフォワーダ経由 |
| フォワーダ構成 | 院内DNSが外部の問い合わせをプロバイダDNSに転送 |
| プロキシDNS | プロキシサーバがDNSも解決する場合がある |
Smart Assistで重要なポイント
Smart Assistの宛先がFQDN（ドメイン名）で指定されている場合、DNSの名前解決が正常に動作しなければ通信できない。DNS障害はSmart Assistの障害として最も多い原因のひとつである。
Smart Assistの通信障害で一番多い原因がDNSだと書きましたが、そのDNSトラブルの8割は「どのDNSサーバに聞いているか」の問題です。
確認すべきは2つだけ：
ipconfig /allでSmart Assist PCに設定されたDNSサーバのIPを確認- そのDNSサーバが外部FQDN（インターネット上のドメイン名）を解決できるか確認
院内DNSが外部名を解決できない場合、フォワーダ設定が入っていないか、フォワーダ先へのUDP 53通信がFWでブロックされている可能性が高い。まずは nslookup smartassist.example.com 8.8.8.8 で外部DNSに直接聞いてみて、解決できるなら院内DNS側の問題だと切り分けられます。
5.5 ポート番号の意味
ポート番号とは
ポート番号は、同一の機器上で動作する複数のサービスを識別するための番号である。IPアドレスが「建物の住所」だとすれば、ポート番号は「部屋番号」に相当する。
主要なポート番号
| ポート番号 | プロトコル | 用途 |
|---|---|---|
| 80 | HTTP | 暗号化なしのWeb通信 |
| 443 | HTTPS | 暗号化ありのWeb通信（Smart Assistで使用） |
| 53 | DNS | 名前解決 |
| 22 | SSH | セキュアなリモート接続 |
| 3389 | RDP | リモートデスクトップ |
Smart Assistで使用するポート
Smart Assistの通信は HTTPS (443/tcp) を使用する。ファイアウォールでは、Smart Assist PCから外部への443/tcp通信を許可する必要がある。
FW許可申請で「HTTPS 443/tcp を許可してください」と申請して、DNS の 53/udp を忘れる。これ、本当に"あるある"です。第12章のケーススタディ（12.1）でもまさにこの事例を取り上げています。
FQDN許可を使う場合、FW自身がDNS解決を行うので問題にならないこともありますが、直接DNSの場合は Smart Assist PC → DNSサーバ → 外部DNS への 53/udp が通らないと名前解決できません。
FW許可申請のチェックリストに「DNS 53/udp」を入れておく。これだけで、導入時のDNSトラブルの半分は防げます。
許可ルール例:
送信元: 192.168.10.50 (Smart Assist PC)
宛先: smartassist.example.com
宛先ポート: 443/tcp
アクション: 許可
5.6 TCPとHTTPS
TCPとは
TCP（Transmission Control Protocol）は、データを確実に相手に届けるための通信プロトコルである。
TCPの特徴
| 特徴 | 説明 |
|---|---|
| コネクション型 | 通信開始前に接続を確立する（3ウェイハンドシェイク） |
| 信頼性 | データの到着確認、再送制御がある |
| 順序保証 | データが送信順に届く |
3ウェイハンドシェイク
HTTPSとは
HTTPS（HTTP over TLS）は、HTTPの通信をTLSで暗号化したプロトコルである。
Smart Assistの通信はHTTPSを使用しており、データの暗号化・サーバの認証・データの完全性がすべて保証されている。
5.7 TLS暗号化の仕組み
TLSとは
TLS（Transport Layer Security）は、通信を暗号化し、盗聴・改ざん・なりすましを防止するプロトコルである。
TLSが提供する3つの保護
| 保護 | 内容 | Smart Assistでの意味 |
|---|---|---|
| 暗号化 | 通信内容を第三者が読めない | 検査画像データが経路上で盗聴されない |
| 認証 | 接続先が本物であることを確認 | 偽のサーバに接続させられない |
| 完全性 | データが途中で改ざんされていないことを保証 | 分類結果が途中で書き換えられない |
TLSハンドシェイクの概要
サーバ証明書とは
サーバ証明書は、接続先サーバが本物であることを証明する電子的な身分証明書である。
| 証明書の要素 | 内容 |
|---|---|
| 発行先（CN/SAN） | サーバのドメイン名（例: smartassist.example.com） |
| 発行者 | 認証局（CA）の名前 |
| 有効期間 | 証明書の有効開始日と終了日 |
| 公開鍵 | 暗号化に使用する鍵 |
証明書の有効期限が切れている場合や、認証局が信頼されていない場合、TLSハンドシェイクは失敗し通信できなくなる。
5.8 NATの役割
NATとは
NAT（Network Address Translation）は、プライベートIPアドレスとグローバルIPアドレスを変換する仕組みである。
なぜNATが必要なのか
院内のSmart Assist PCはプライベートIPアドレスを持っているが、インターネット上ではプライベートIPは使えない。NATによってグローバルIPに変換することで、インターネットとの通信が可能になる。
NATの動作
| ステップ | 内容 |
|---|---|
| 1. 送信 | Smart Assist PC (192.168.10.50) がAWSへパケットを送信 |
| 2. NAT変換（行き） | NAT装置が送信元IPをグローバルIP (203.0.113.1) に変換 |
| 3. サーバ応答 | AWSが203.0.113.1宛にレスポンスを返す |
| 4. NAT変換（戻り） | NAT装置がグローバルIPをプライベートIP (192.168.10.50) に戻す |
| 5. 受信 | Smart Assist PCがレスポンスを受信する |
ファイアウォールとNATの関係
多くの病院では、ファイアウォール装置がNAT機能も兼ねている。つまり、ファイアウォールのルール設定とNATの設定は同じ装置で行うことが多い。
次章では、ここで学んだ基礎知識を使い、Smart Assistの実際の通信シーケンスを技術的に解剖する。