ネットワーク設計書テンプレート

# ネットワーク設計書

- システム名:
- 作成日: YYYY/MM/DD
- 作成者:

## 1. IPアドレス設計

| ネットワーク | CIDR | 用途 | 公開区分 |
| --- | --- | --- | --- |
|  |  |  |  |

## 2. 通信要件

| 送信元 | 宛先 | プロトコル / ポート | 用途 |
| --- | --- | --- | --- |
|  |  |  |  |

## 3. 確認項目

- [ ] 不要な公開ポートがない
- [ ] 管理用通信の送信元が限定されている

# ネットワーク設計書

<!-- 通信要件（誰が・どこへ・何のために）を先に決め、その後にアドレス設計と通信制御を書く -->

## 文書管理情報

| 項目 | 内容 |
| --- | --- |
| システム名 |  |
| 版数 | 1.0 |
| 作成日 | YYYY/MM/DD |
| 作成者 |  |
| 承認者 |  |

## 改版履歴

| 版数 | 日付 | 変更箇所 | 変更内容 | 変更者 |
| --- | --- | --- | --- | --- |
| 1.0 | YYYY/MM/DD | - | 初版作成 |  |

## 1. 概要

- 対象環境:
- 設計方針（公開範囲の最小化・管理経路の分離など）:

## 2. ネットワーク構成図

- 物理構成図:
- 論理構成図:

## 3. IPアドレス設計

| ネットワーク | CIDR | 用途 | 公開区分 | 備考 |
| --- | --- | --- | --- | --- |
| VPC / 拠点全体 | 10.0.0.0/16 |  | - |  |
| パブリックサブネット（a） | 10.0.0.0/24 | ロードバランサー | インターネット公開 |  |
| プライベートサブネット（a） | 10.0.10.0/24 | Web/AP | 非公開 |  |
| データサブネット（a） | 10.0.20.0/24 | DB | 非公開 |  |

## 4. ルーティング

| ルートテーブル | 宛先 | ネクストホップ | 備考 |
| --- | --- | --- | --- |
|  | 0.0.0.0/0 | インターネットゲートウェイ / NAT |  |

## 5. 通信要件

| No | 送信元 | 宛先 | プロトコル / ポート | 用途 |
| --- | --- | --- | --- | --- |
| 1 | インターネット | ロードバランサー | TCP/443 | 利用者アクセス |
| 2 | ロードバランサー | Web/AP | TCP/8080 | アプリケーション |
| 3 | Web/AP | DB | TCP/5432 | DB 接続 |

## 6. 通信制御（ファイアウォール / セキュリティグループ）

| No | 対象 | 方向 | 送信元 / 宛先 | プロトコル / ポート | 許可 / 拒否 | 対応する通信要件 |
| --- | --- | --- | --- | --- | --- | --- |
| 1 |  | 受信 |  |  | 許可 | 1 |

## 7. 名前解決（DNS）

| FQDN | レコード | 値 | TTL | 公開 / 内部 |
| --- | --- | --- | --- | --- |
|  | A / CNAME |  |  |  |

## 8. 外部接続

| 接続先 | 接続方式 | 帯域 | 冗長化 |
| --- | --- | --- | --- |
|  | VPN / 専用線 / インターネット |  |  |

## 9. 確認項目

- [ ] 不要な公開ポートがない
- [ ] 管理用通信（SSH・RDP など）の送信元が限定されている
- [ ] 通信要件と通信制御の設定が 1 対 1 で対応している
- [ ] 他ネットワークとアドレスが重複していない

# ネットワーク設計書

<!-- 通信要件（誰が・どこへ・何のために）を先に決め、その後にアドレス設計と通信制御を書く -->

## 文書管理情報

| 項目 | 内容 |
| --- | --- |
| システム名 |  |
| 版数 | 1.0 |
| 作成日 | YYYY/MM/DD |
| 最終更新日 | YYYY/MM/DD |
| 作成者 |  |
| レビュー者 |  |
| 承認者 |  |

## 改版履歴

| 版数 | 日付 | 変更箇所 | 変更内容 | 変更者 |
| --- | --- | --- | --- | --- |
| 1.0 | YYYY/MM/DD | - | 初版作成 |  |

## 1. 概要

- 対象環境:
- 対象範囲:
- 関連文書（インフラ構成設計書など）:

## 2. 設計方針

| 観点 | 方針 |
| --- | --- |
| セグメント分割 | 公開 / アプリケーション / データ / 管理で分ける |
| 公開範囲 | インターネット公開はロードバランサーのみ |
| 管理経路 | 踏み台または VPN 経由に限定し、多要素認証を必須とする |
| 冗長化 | 2 つ以上のゾーンに同じ構成を配置する |
| 拡張性 | 将来のサブネット追加に備えてアドレスを予約する |

## 3. ネットワーク構成図

- 物理構成図:
- 論理構成図:

## 4. IPアドレス設計

| ネットワーク | CIDR | ゾーン | 用途 | 公開区分 | 予約 / 使用可能数 |
| --- | --- | --- | --- | --- | --- |
| VPC / 拠点全体 | 10.0.0.0/16 | - |  | - |  |
| パブリックサブネット | 10.0.0.0/24 | a | ロードバランサー | インターネット公開 |  |
| パブリックサブネット | 10.0.1.0/24 | c | ロードバランサー | インターネット公開 |  |
| プライベートサブネット | 10.0.10.0/24 | a | Web/AP | 非公開 |  |
| プライベートサブネット | 10.0.11.0/24 | c | Web/AP | 非公開 |  |
| データサブネット | 10.0.20.0/24 | a | DB | 非公開 |  |
| データサブネット | 10.0.21.0/24 | c | DB | 非公開 |  |
| 管理サブネット | 10.0.90.0/24 | a | 踏み台 | 限定公開 |  |

### 4.1 固定IPアドレス

| ホスト / サービス | IPアドレス | 用途 |
| --- | --- | --- |
|  |  |  |

## 5. ルーティング

| ルートテーブル | 関連付けるサブネット | 宛先 | ネクストホップ | 備考 |
| --- | --- | --- | --- | --- |
|  |  | 0.0.0.0/0 | インターネットゲートウェイ |  |
|  |  | 0.0.0.0/0 | NAT ゲートウェイ |  |

## 6. 通信要件

| No | 送信元 | 宛先 | プロトコル / ポート | 用途 | 通信量の目安 |
| --- | --- | --- | --- | --- | --- |
| 1 | インターネット | ロードバランサー | TCP/443 | 利用者アクセス |  |
| 2 | ロードバランサー | Web/AP | TCP/8080 | アプリケーション |  |
| 3 | Web/AP | DB | TCP/5432 | DB 接続 |  |
| 4 | 管理端末 | 踏み台 | TCP/22 | 保守 |  |
| 5 | Web/AP | 外部 API | TCP/443 | 外部連携 |  |

## 7. 通信制御（ファイアウォール / セキュリティグループ）

| No | 対象 | 方向 | 送信元 / 宛先 | プロトコル / ポート | 許可 / 拒否 | 対応する通信要件 | 備考 |
| --- | --- | --- | --- | --- | --- | --- | --- |
| 1 |  | 受信 |  |  | 許可 | 1 |  |
| 99 | すべて | 受信 | すべて | すべて | 拒否 | - | 既定で拒否 |

## 8. WAF・DDoS対策

- WAF の適用範囲とルールセット:
- 検知時の動作（ブロック / カウント）:
- DDoS 対策:

## 9. 名前解決（DNS）

| FQDN | レコード | 値 | TTL | 公開 / 内部 | 管理者 |
| --- | --- | --- | --- | --- | --- |
|  | A / CNAME |  |  |  |  |

## 10. 証明書

| FQDN | 発行元 | 有効期限 | 更新方法 |
| --- | --- | --- | --- |
|  |  | YYYY/MM/DD | 自動 / 手動 |

## 11. 外部接続

| 接続先 | 接続方式 | 帯域 | 冗長化 | 障害時の連絡先 |
| --- | --- | --- | --- | --- |
|  | VPN / 専用線 / インターネット |  |  |  |

## 12. 冗長化・障害時の動作

| 構成要素 | 障害の想定 | 動作 | 切り替え時間 |
| --- | --- | --- | --- |
| ゾーン障害 |  |  |  |
| 外部接続断 |  |  |  |

## 13. ログ

| ログ | 取得対象 | 保管先 | 保管期間 |
| --- | --- | --- | --- |
| フローログ |  |  |  |
| ファイアウォールログ |  |  |  |
| WAF ログ |  |  |  |

## 14. 確認項目

- [ ] 不要な公開ポートがない
- [ ] 管理用通信（SSH・RDP など）の送信元が限定されている
- [ ] 通信要件と通信制御の設定が 1 対 1 で対応している
- [ ] 他ネットワーク・接続先とアドレスが重複していない
- [ ] 証明書の有効期限と更新方法が決まっている
- [ ] ログの取得と保管期間が決まっている